Beispiele für Datenschutz-Vorfälle Lernen aus Datenpannen

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

Aus Fehlern lernen, das sollte man auch im Datenschutz noch mehr beherzigen. Es sind nicht nur die Datenschutzverletzungen, die zu hohen Bußgeldern führen, die Probleme im Datenschutz offenlegen. Es lohnt sich, weitere Fälle anzusehen, von denen die Aufsichtsbehörden berichten. Wir nennen konkrete Beispiele, aus denen man seine Lehren für den eigenen Datenschutz ziehen kann.

Die Aufsichtsbehörden für den Datenschutz berichten regelmäßige über Vorfälle, in denen die Datenschutz-Grundverordnung (DSGVO) nicht eingehalten wurde. Darunter sind mitunter wirklich erstaunliche Beispiele für Datenschutzverletzungen, kuriose Vorkommnisse, aber auch Datenschutz-Pannen, bei denen so manches Unternehmen denken wird, das könnte bei mir auch passieren.

DSGVO im Blick behalten

Die größten Datenpannen im Jahr 2022

Genau solche Vorfälle sollte man sich weitaus mehr ansehen. Gelegenheit dazu gab zum Beispiel das Pressegespräch „Best of Datenschutz – Spannende Datenschutzfälle aus 2022 und 2023“ des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

Unter den dort vorgestellten Datenschutzfällen sei dieses Beispiel genannt: In der Nacht vom 7. auf den 8. Juni 2023 wurde die Hochschule Kaiserslautern Ziel eines Hacker-Angriffs. Die Angreifenden erbeuteten große Mengen personenbezogener Daten, die teils in sensible Kategorien fallen wie Krankenkassendaten und Daten über Schwerbehinderungen. Bald nach dem Angriff wurden die gestohlenen Daten im Darknet zum Kauf angeboten, so berichtete die Aufsichtsbehörde. 60 Prozent der Daten wurden tatsächlich veräußert, der Rest frei im Darknet veröffentlicht.

Das Präsidium der Hochschule Kaiserslautern hat den Hacking-Angriff innerhalb der gesetzlich vorgesehenen Frist von 72 Stunden gemeldet. Das Prüfverfahren läuft. Der Aufsichtsbehörde geht es nun unter anderem um die Frage, ob die Hochschule im Vorfeld des Angriffs die gesetzlichen Löschfristen beachtet hat oder ob sich unter dem Diebesgut auch solche Daten finden, die eigentlich schon hätten gelöscht sein müssen.

Ganz gleich, was die Prüfung ergibt: Unternehmen sollten sich genau das fragen. Werden die Daten fristgerecht gelöscht? Zum einen ist dies eine Vorgabe der DSGVO, zum anderen führt Datenminimierung und fristgerechtes Löschen auch zu einem kleineren Datenbestand und somit einer kleineren, möglichen Datenbeute. Löschen lohnt sich also mehrfach, auch mit Blick auf das Risiko durch Cyberattacken.

Entscheidungen von Maschinen transparent machen

Ein weiterer Datenschutz-Fall, der in Zukunft viele Unternehmen betreffen könnte: Werden Computer zu Entscheidern, muss dies nachvollziehbar sein, auch und gerade in Zeiten einer zunehmenden Nutzung von Künstlicher Intelligenz (KI).

Der Beispiel-Fall: Eine Bank hatte sich geweigert, einem Kunden nachvollziehbare Auskünfte über die Gründe der automatisierten Ablehnung eines Kreditkartenantrags zu erteilen. Dabei ist eine automatisierte Entscheidung eine Entscheidung, die ein IT-System ausschließlich auf Grundlage von Algorithmen und ohne menschliches Eingreifen trifft. Für diesen Fall sieht die Datenschutz-Grundverordnung (DSGVO) spezielle Transparenzpflichten vor. So müssen personenbezogenen Daten in einer für die betroffenen Personen nachvollziehbaren Weise verarbeitet werden. Betroffene Personen haben einen Anspruch auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung. Beantragen betroffene Personen bei den Verantwortlichen eine Auskunft, müssen diese aussagekräftige Informationen über die involvierte Logik hinter der automatisierten Entscheidung erteilen, wie die Berliner Beauftragte für den Datenschutz deutlich machte. Die Bank machte dem Kunden auch auf Nachfrage lediglich pauschale und vom Einzelfall gelöste Angaben zum Scoring-Verfahren. Sie weigerte sich jedoch, ihm mitzuteilen, warum sie in seinem Fall von einer schlechten Bonität ausging.

Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit, erklärte dazu: „Wenn Unternehmen automatisiert Entscheidungen treffen, sind sie verpflichtet, diese stichhaltig und nachvollziehbar zu begründen. Die Betroffenen müssen in der Lage sein, die automatisierte Entscheidung nachzuvollziehen.“

Sensible Informationen über Beschäftigte in der Probezeit

Ein weiterer Fall aus Berlin: Um mögliche Kündigungen zum Ende der Probezeit vorzubereiten, führte eine Vorgesetzte auf Weisung der Geschäftsführung des Unternehmens von März bis Juli 2021 eine tabellarische Übersicht aller Beschäftigten in der Probezeit. Die Berliner Datenschutzbeauftragte erfuhr durch Medienberichte und eine persönliche Beschwerde eines Betroffenen von dem Vorfall und leitete eine Prüfung ein.

Dabei zeigte sich: In der Übersicht listete die Vorgesetzte alle Mitarbeitenden in der Probezeit auf und bewertete die weitere Beschäftigung von elf Personen als „kritisch“ oder „sehr kritisch“. Diese Einstufung wurde in einer Tabellenspalte mit der Überschrift „Begründung“ näher erläutert. Hier fanden sich Angaben zu persönlichen Äußerungen sowie gesundheitlichen und außerbetrieblichen Gründen, die einer flexiblen Schichteinteilung entgegenstehen würden. Auch ein mögliches Interesse an der Gründung eines Betriebsrates und die regelmäßige Teilnahme an einer Psychotherapie wurden hier genannt.

Sanktionen nach Datenschutzverletzung

So werden Bußgelder nach DSGVO berechnet

Die Berliner Datenschutzbeauftragte kam bei ihrer Prüfung zu dem Ergebnis, dass die Verarbeitung der erhobenen Daten in den beanstandeten Fällen nicht rechtmäßig war. Zudem fehlte die Beteiligung der betrieblichen Datenschutzbeauftragten bei der Erstellung der Liste und die fehlende Erwähnung der Liste im Verarbeitungsverzeichnis.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit gab den Hinweis: „Die Erhebung, Speicherung und Verwendung von Beschäftigtendaten müssen stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen. Das war in diesem Fall nicht gegeben. Insbesondere Gesundheitsdaten sind besonders sensitive Informationen, die nur in engen Grenzen verarbeitet werden dürfen.“

Nutzung von IT-Systemen Dritter

Die Datenschutzaufsichtsbehörde von Brandenburg hat auf ein weiteres Datenschutz-Problem hingewiesen: Bei einer anlasslosen Prüfung von Autohäusern standen insbesondere der Umgang mit Unterlagen wie Fahrzeugbriefen, Rechnungen und Personalausweiskopien sowie die Nachweisführung zur Erfüllung der datenschutzrechtlichen Anforderungen im Fokus. Im Ergebnis fand die Aufsicht einen durchgehend laxen Umgang mit personenbezogenen Daten.

Datenschutzerklärungen waren mangelhaft, Dokumentationspflichten wurden nicht erfüllt, Daten führten die Autohäuser oftmals doppelt und speicherten sie viel zu lange, so die Aufsichtsbehörde. Als Hauptursache der zu langen Speicherung von personenbezogenen Daten erwies sich die Nutzung herstellereigener IT-Systeme. Keines davon ermöglichte eine Löschung der personenbezogenen Daten, wenn erst einmal finanzielle Transaktionen vorlagen. Unklar war zudem, ob die Systeme eine Datenübermittlung in Nicht-EU-Länder vorsahen.

Dazu die Landesbeauftragte Dagmar Hartge: „Einerseits werden Unternehmen zur Nutzung herstellereigener IT-Systeme gedrängt, andererseits birgt dies in vielen Fällen die Gefahr möglicher Datenschutzverstöße. Technische und organisatorische Mängel können letztlich auch die Unternehmen selbst bedrohen. Diese bleiben datenschutzrechtlich aber jederzeit verantwortlich. An die Herstellerbetriebe appelliere ich, ihre Verantwortung wahrzunehmen und die Anforderungen des Datenschutzes bei der Konzeption ihrer Systeme von vornherein zu berücksichtigen.“

Es zeigt sich: Die Aufsichtsbehörden finden häufig Situationen vor, in denen grundlegende Datenschutzvorgaben nicht umgesetzt wurden, zum Beispiel fristgerechtes Löschen, die Zweckbindung von Daten, mangelnde Transparenz in der Datenverarbeitung. Die Beispiele sind zwar alle unterschiedlich, und es könnte schwierig erscheinen, alle diese Fälle wirklich sicher zu vermeiden.

Doch es gibt einen entscheidenden Rat: So kompliziert die DSGVO auch erscheinen mag, die sogenannten Grundsätze für die Verarbeitung personenbezogener Daten, zu finden in Artikel 5 DSGVO, sind mehr als hilfreich und entscheidend. Wer diese als Grundprinzipien beachtet, hat schon sehr viel erreicht, denn alle genannten Fälle hätten so vermieden werden können.

(ID:49708194)