DSGVO im Blick behalten Die größten Datenpannen im Jahr 2022

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Ein Krisenjahr wie 2022 lässt die Herausforderungen bei der Umsetzung der DSGVO (Datenschutz-Grundverordnung) klein erscheinen. Unternehmen und Behörden sollten aber die DSGVO nicht einfach hinten anstellen, sie ist und bleibt wichtig. Das zeigen auch die Datenschutzverletzungen, die die Datenschutzaufsichtsbehörden in 2022 sanktioniert haben. Wir geben einen Überblick.

„Im Vergleich zum Vorjahr stieg die Zahl der Datenpannen-Meldungen um etwa 60 Prozent“, erklärte Marit Hansen, die Landesbeauftragte für Datenschutz Schleswig-Holstein, im Februar 2022 mit Blick auf das Jahr 2021. „Dennoch zeigt sich in unseren Prüfungen, dass es noch immer Fälle gibt, in denen die Verantwortlichen ihrer Meldepflicht nicht nachgekommen sind“, so Marit Hansen weiter.

Das Datenschutz-Jahr 2021

Die größten Datenpannen des Jahres 2021

Die Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten (Datenpannen) ist eine rechtliche Anforderung und muss von den Verantwortlichen umgesetzt werden. Hansens Dienststelle wirbt aber auch dafür, dass man diese Pflicht als Chance begreift, damit alle Beteiligten aus den Fehlern lernen können. „Hinterher ist man immer schlauer“ gelte nur dann, wenn die Verantwortlichen feststellen, was schiefgelaufen ist, und wenn sie daraus abgeleitete Maßnahmen treffen, damit sich die Datenschutzverletzungen nicht wiederholen.

Aus diesem Grund lohnt es sich auch für Unternehmen und Behörden, jetzt zum Jahresbeginn 2023 auf die größten Datenpannen aus 2022 zu blicken.

Aus Datenpannen lernen, auch für die IT-Sicherheit

Offene E-Mail-Verteiler, Fehladressierungen oder verlorene unverschlüsselte USB-Sticks gehören weiterhin zu den Dauerthemen bei den Datenpannen-Meldungen. Der große Anstieg der Meldezahlen ergab sich aber auch aus mehreren Wellen von Angriffen über das Internet auf Server von Firmen und Behörden, bei denen personenbezogene Daten betroffen waren.

Marit Hansen kommentierte dies so: „Mit Sorge blicke ich auf das Thema Informationssicherheit. Einerseits haben immer noch viele Organisationen ihre Hausaufgaben nicht gemacht, um bekannte Schwachstellen in IT-Systemen zu beseitigen – die Datenpannen-Meldungen zeigen uns, wie solche Sicherheitslücken immer wieder ausgenutzt werden und oft auch Daten abfließen können. Andererseits mehren sich auch die Angriffe auf IT-Systeme, die nicht mit Updates in den Griff zu bekommen sind.“

Security-Insider Podcast – Folge 65

KRITIS, Krieg und Kernfusion, das war 2022!

Hier ist leider nicht mit Entspannung zu rechnen. „Das Fortschreiten der Digitalisierung hat während der Pandemie nicht angehalten, ganz im Gegenteil“, so der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) Prof. Dr. Dieter Kugelmann. „In manchen Bereichen wurde die Digitalisierung sogar deutlich beschleunigt. Denken Sie nur an Home-Office, Home-Schooling und Videokonferenzen. Und auch abseits von Corona-Maßnahmen werden immer noch mehr und mehr personenbezogene Daten verarbeitet, vom digitalen Konsum bis hin zu Verwaltungsfachsystemen“, gibt Prof. Kugelmann zu bedenken.

Beispiele für das Einschreiten der Datenschutzaufsicht

Im Jahr 2022 spielte die konforme Verarbeitung personenbezogener Daten zur Pandemiebekämpfung weiterhin eine große Rolle. Nachdem der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz davon Kenntnis erlangte, dass die Staatsanwaltschaft Mainz zusammen mit der lokalen Polizeibehörde und dem örtlichen Gesundheitsamt über die LUCA-App erfasste Kontaktdaten von Besuchern einer Mainzer Gastwirtschaft zu Ermittlungszwecken erhoben und genutzt hat, hat er umgehend aufsichtsrechtliche Verfahren eingeleitet, so Prof. Kugelmann im Januar 2022. Dabei sollen insbesondere die Umstände geklärt werden, die ungeachtet der eindeutigen Rechtslage zu der datenschutzrechtlich unzulässigen Abfrage und Nutzung der ausschließlich zu Infektionsschutzzwecken erfassten Kontaktdaten geführt haben.

„Für mich ist es zunächst einmal besorgniserregend, dass sowohl Staatsanwaltschaft als auch Gesundheitsamt die bereits vor einiger Zeit geänderte Rechtslage im Infektionsschutzgesetz und damit zusammenhängende datenschutzrechtliche Bestimmungen offensichtlich nicht kannten oder sich darüber hinweggesetzt haben“, kommentierte der Landesbeauftragte Prof. Dr. Kugelmann den Vorfall.

„Die aktuellen Lockerungen im Rahmen des Infektionsschutzgesetzes des Bundes nehme ich zum Anlass, um auf Fristen für die Löschung der gesammelten Daten hinzuweisen“, mahnte Bettina Gayk, Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen im April 2022. „Die von den Arbeitgeberinnen und Arbeitgebern erhobenen Daten müssen spätestens sechs Monate nach Erhebung vernichtet oder gelöscht werden. Da die Rechtsgrundlage entfallen ist, gehen wir davon aus, dass die Speicherung regelmäßig nicht mehr erforderlich ist und die Daten schon jetzt gelöscht werden sollten“, erklärte Bettina Gayk.

Synergien Datenschutz und IT-Sicherheit

So hilft die Security bei der Auskunftspflicht nach DSGVO

Vorsicht bei Profilbildung für Werbezwecke

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat in 2022 eine genossenschaftliche Bank überprüft, die als Pilotbank sogenannte Smart-Data-Verfahren testete. Die bislang dabei erlangten Erkenntnisse haben die LfD dazu veranlasst, Warnungen vor der Durchführung solcher Verfahren an die anderen 89 genossenschaftlichen Banken in Niedersachsen zu versenden.

Die Smart-Data-Verfahren dienen dazu, aus dem Kundenbestand gezielt Personen für bestimmte Werbemaßnahmen herauszufiltern. Hierfür werden Scorewerte gebildet, die eine Aussage darüber treffen sollen, ob eine Kundin oder ein Kunde mit hoher Wahrscheinlichkeit Interesse an einem bestimmten Produkt hat. Das kann zum Beispiel ein Immobilienkredit, eine Kreditkarte oder ein Wertpapiersparplan sein. Anschließend erhält die Kundin oder der Kunde Werbung für das entsprechende Produkt. Zur Bildung der Scorewerte werden unter anderem Zahlungsverkehrsdaten analysiert und bei einigen Verfahren auch Daten über das Wohnumfeld der Kundinnen und Kunden von externen Dienstleistern hinzugezogen.

Das Problem: Die Durchführung von Verhaltensprognosen auf Grundlage von Zahlungsverkehrsdaten entspricht nicht den vernünftigen Erwartungen der Kundinnen und Kunden. Das müsste aber unter anderem der Fall sein, damit eine Interessenabwägung als Rechtsgrundlage herangezogen werden könnte. Bereits in einem anderen Fall hatte die LfD Niedersachsen im Juli 2022 ein Bußgeld von 900.000 Euro verhängt, weil eine Bank die Grenzen der Interessenabwägung bei der Verarbeitung personenbezogener Daten für Werbezwecke überschritten hatte.

Das Unternehmen hatte Daten aktiver sowie ehemaliger Kundinnen und Kunden ohne deren Einwilligung ausgewertet. Dazu analysierte es das digitale Nutzungsverhalten und wertete unter anderem das Gesamtvolumen von Einkäufen in App-Stores, die Häufigkeit der Nutzung von Kontoauszugsdruckern sowie die Gesamthöhe von Überweisungen im Online-Banking im Vergleich zur Nutzung des Filialangebots aus. Hierzu bediente es sich eines Dienstleisters. Ergänzend wurden die Ergebnisse der Analyse mit einer Wirtschaftsauskunftei abgeglichen und von dort angereichert.

„Die Verantwortlichen holen sich für solche Auswertungen häufig keine Einwilligung der Kundinnen und Kunden ein“, sagte die Landesdatenschutzbeauftragte Barbara Thiel. „Stattdessen berufen sie sich auf eine Interessenabwägung nach DSGVO. Diese Rechtsgrundlage erlaubt es aber nicht, Profile für Werbezwecke zu bilden, indem man große Datenbestände auswertet.“

„Zahlungsverkehrsdaten sind sehr sensibel, weil sie Informationen über das Konsumverhalten, Beziehungen zu anderen Menschen, die wirtschaftliche Lage und persönliche Vorlieben enthalten. Sie ermöglichen so eine Vielzahl von Rückschlüssen auf das berufliche und private Leben der Betroffenen“, erläuterte die Landesdatenschutzbeauftragte Barbara Thiel. „Es muss deshalb sichergestellt sein, dass die betroffenen Personen die Kontrolle über die Verarbeitung dieser Daten ausüben können. Ich habe mich dazu entschieden, Warnungen auszusprechen, um die Banken davon abzuhalten, schwerwiegende Verstöße gegen das Datenschutzrecht zu begehen. Ich werde auch Vor-Ort-Kontrollen durchführen, um zu überprüfen, ob die Banken die Verfahren trotz der Warnung einführen.“

Cisco Consumer Privacy Survey 2022

Deutsche möchten mehr Transparenz beim Datenschutz

Achtung bei „Forschungsfahrten“

Ein weiteres, spannendes Beispiel für eine Datenpanne aus Niedersachsen: Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hatte in 2022 gegen die Volkswagen Aktiengesellschaft eine Geldbuße nach Art. 83 DSGVO in Höhe von 1,1 Millionen Euro festgesetzt. Grund waren Datenschutzverstöße in Zusammenhang mit dem Einsatz eines Dienstleisters bei Forschungsfahrten für ein Fahrassistenzsystem zur Vermeidung von Verkehrsunfällen.

„Die eigentlichen Forschungsfahrten waren datenschutzrechtlich nicht zu beanstanden“, sagte die Landesdatenschutzbeauftragte Barbara Thiel. „Gegen die dabei anfallende Erhebung und Weiterverarbeitung personenbezogener Daten bestehen von unserer Seite keine Bedenken.“

Aber: Am Fahrzeug fehlten aufgrund eines Versehens Magnetschilder mit einem Kamerasymbol und den weiteren vorgeschriebenen Informationen für die datenschutzrechtlich Betroffenen, in diesem Fall die anderen Verkehrsteilnehmenden. Diese müssen laut DSGVO bei einer Datenverarbeitung unter anderem darüber aufgeklärt werden, wer die Verarbeitung zu welchem Zweck durchführt und wie lange die Daten gespeichert werden.

Bei der weiteren Prüfung wurde zudem festgestellt, dass Volkswagen keinen Auftragsverarbeitungsvertrag mit dem Unternehmen abgeschlossen hatte, das die Fahrten durchführte. Dieser wäre nach Artikel 28 DSGVO erforderlich gewesen. Weiterhin war keine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO durchgeführt worden, mit der vor Beginn einer solchen Verarbeitung mögliche Risiken und deren Eindämmung bewertet werden müssen. Schließlich fehlte eine Erläuterung der technischen und organisatorischen Schutzmaßnahmen im Verzeichnis der Verarbeitungstätigkeiten, was einen Verstoß gegen die Dokumentationspflichten nach Artikel 30 DSGVO darstellte.

Grundbuchdaten sind kein „Freiwild“

Auch bei der Verarbeitung von Daten im öffentlichen Bereich kommt es zur Datenschutzverletzung. Wegen rechtswidriger Datenerhebung und –weitergabe und Verstößen gegen die Informationspflichten hatte der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Geldbußen gegen ein Bauträgerunternehmen und einen Vermessungsingenieur in Höhe von 50.000 Euro und 5.000 Euro verhängt.

Ein Grundstückseigentümer in einem Neubaugebiet hatte ein Schreiben eines Bauträgers erhalten, in dem ihm ein Kaufpreisangebot für sein Grundstück unterbreitet wurde. Eine Information über die Herkunft seiner Daten enthielt das Schreiben nicht, auch auf Nachfrage wurde dem Adressaten nicht mitgeteilt, woher der Bauträger dessen Daten hatte, insbesondere die Kenntnis von dessen Eigentümerstellung.

Der Landesbeauftragte Dr. Stefan Brink sagte dazu: „Verantwortliche sollten sich bewusstmachen, dass auch öffentliche Daten Schutz genießen und nicht zur freien Verfügung stehen. Die im vorliegenden Fall verhängten Geldbußen machen deutlich, dass sich heimliche Datenverarbeitungen unter Ausnutzung spezieller Zugriffsrechte nicht auszahlen. Die Datenschutz-Grundverordnung gilt auch im hart umkämpften Markt um Bauland.“

Digitalisierung „made in Europe“

Die DSGVO als Chance für die digitale Souveränität Europas

Analyse von Haarfrisuren und Körpergeruch sowie von Fotos im Internet

Zwei Beispiele aus Baden-Württemberg und Bremen unterstreichen, wie weit Datenanalysen heute schon gehen. Nachdem bereits 2021 Medienberichte darlegten, dass das Unternehmen PimEyes „massenhaft Gesichter im Internet nach individuellen Merkmalen“ scannt und biometrische Daten (also persönliche Merkmale wie Gesichtsform, Augenfarbe oder den Abstand von Mund zu Nase) speichert, mit denen sich jeder Mensch treffsicher identifizieren lässt, hatte der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Dr. Stefan Brink ein Verfahren gegen das Unternehmen eröffnet und es zu einer Stellungnahme zu den durch das Unternehmen verarbeiteten Daten aufgefordert.

Am 1. November 2022 erhielt der Landesbeauftragte eine Stellungnahme von PimEyes, in der das Unternehmen auf die Rechtsgrundlage der Verarbeitung biometrischer Daten zur Identifizierung von Personen, technisch-organisatorische Maßnahmen (TOMs) und Maßnahmen gegen den Missbrauch der Daten eingeht.

PimEyes stellt in seiner Stellungnahme fest, lediglich öffentlich verfügbare Bilder zu verarbeiten und dass es diese selbst nicht Personen zuordnen könne. Für von PimEyes gespeicherte Daten bestehe daher gar kein Personenbezug, es fehle damit an einer Verarbeitung personenbezogener Daten. Würde man – entgegen der Ansicht von PimEyes – dennoch einen Personenbezug annehmen, so sei dies jedenfalls als eine zulässige Verarbeitung im öffentlichen Interesse, im Rahmen einer öffentlichen Aufgabe bzw. zum Schutze lebenswichtiger Interessen der betroffenen Personen anzusehen.

Diesen Aussagen tritt der Landesbeauftragte wegen der massiven Gefährdung der Rechte und Freiheiten der Bürgerinnen und Bürger, auch in Baden-Württemberg, energisch entgegen und hat ein Bußgeldverfahren eröffnet.

In dem zweiten Fall ist es bereits zu der Verhängung eines Bußgeldes gekommen. Die BREBAU GmbH hatte mehr als 9.500 Daten über Mietinteressentinnen und Mietinteressenten verarbeitet, ohne dass es hierfür eine Rechtsgrundlage gab. Beispielsweise Informationen über Haarfrisuren, den Körpergeruch und das persönliche Auftreten sind für den Abschluss von Mietverhältnissen nicht erforderlich.

Bei mehr als der Hälfte der Fälle handelte es sich darüber hinaus um Daten, die nach der DSGVO besonders geschützt sind. Rechtswidrig verarbeitet wurden auch Informationen über die Hautfarbe, die ethnische Herkunft, die Religionszugehörigkeit, die sexuelle Orientierung und über den Gesundheitszustand. Auch hat die BREBAU GmbH Anträge Betroffener auf Transparenz über die Verarbeitung ihrer Daten bewusst konterkariert. Die nach DSGVO verhängte Geldbuße beläuft sich auf rund 1,9 Millionen Euro.

Datenschutz bei Office 365

Sollten Unternehmen Microsoft 365 nutzen oder nicht?

Datenschutz schützt uns Menschen

Wie die Beispiele für Datenpannen zeigen, sollten man auch und gerade in Krisenzeiten an den Datenschutz denken, nicht etwa als Selbstzweck. „Datenschutz ist in unserer Gesellschaft keine lästige Pflicht, es ist eine wesentliche Aufgabe, um sicherzustellen, dass die Rechte und Interessen der Bürgerinnen und Bürger in Nordrhein-Westfalen gewahrt werden“, erklärte Bettina Gayk, Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen. „Denn tatsächlich schützen wir nicht nur Daten, wir schützen Menschen und ihre Persönlichkeitsrechte und Freiheiten. Und das heißt: Wir achten auf die Einhaltung von Grundrechten“, so der Appell von Bettina Gayk.

(ID:48974303)