Wichtige Lektionen aus einem teuren DSGVO-Verstoß

Was Sie von diesem Fall lernen können.

in der heutigen Ausgabe möchten wir Ihre Aufmerksamkeit auf ein Bußgeldverfahren aus dem vergangenen Jahr lenken, das die Bedeutung der Datenschutz-Grundverordnung (DSGVO) bzw. die Verarbeitung personenbezogener Daten von Mitarbeitenden unterstreicht.

Ein Berliner Unternehmen, die Humboldt Forum Service GmbH, wurde mit einem Bußgeld in Höhe von 215.000 Euro belegt, nachdem es eine Liste mit Namen von Mitarbeitenden angefertigt hatte, die sich noch in der Probezeit befanden.

Um sich auf mögliche Kündigungen am Ende der Probezeit vorzubereiten, hatte ein Vorgesetzter – auf Anweisung der Unternehmensleitung – eine Tabelle erstellt, in der alle Mitarbeitenden in der Probezeit zusammengefasst wurden – die Weiterbeschäftigung von elf Personen wurde als „kritisch“ oder „sehr kritisch“ in dieser Liste bewertet.

Die Gründe für diese Bewertung wurden in einer Spalte mit der Überschrift Begründung erläutert. Dazu gehörten u.a.: persönliche Erklärungen einzelner Personen, gesundheitliche Probleme sowie externe Faktoren, die einer flexiblen Zeiteinteilung des zukünftigen Angestellten im Wege stehen würden.

Es wurde ebenfalls dokumentiert, ob ein mögliches Interesse an der Bildung eines Betriebsrats bestand oder ob der Mitarbeiter regelmäßig an Therapiesitzungen teilnahm.

In vielen Fällen hatten die Mitarbeiter selbst diese Informationen für den Planungsprozess zur Verfügung gestellt, ohne sich darüber im Klaren zu sein, ob bzw. wie diese Informationen anschließend verwendet werden würden.

Eine der geschassten Personen nahm diese Verfahrensweise der Mitarbeiterbewertung zum Anlass, sich bei der Berliner Datenschutzbehörde zu beschweren, die – wenig überraschend – prompt eine Überprüfung des Unternehmens startete.

Bußgeld in vier Akten

Der Bußgeldbescheid setzte sich insgesamt aus vier einzelnen Datenschutzverstößen zusammen. Neben dem Bußgeld für die unrechtmäßige Verarbeitung personenbezogener Daten, führten drei weitere Datenschutzvergehen zu diesem erheblichen Bußgeld:

Der Datenschutzbeauftragte wurde bei der Erstellung der Liste nicht beteiligt bzw. nicht dazu befragt, welche Daten für den beabsichtigten Zweck erhoben werden durften.
Die beschriebene Excel-Liste ist – im DSGVO-Sprech – ein Verfahren, das im VVT (Verzeichnis der Verarbeitungstätigkeiten) hätte aufgeführt werden müssen.
Verspätete Meldung einer Datenschutzpanne: die unrechtmäßige Verarbeitung der Mitarbeiterdaten hätte als Datenschutzvorfall bewertet und als solche gemeldet werden müssen

Dieser Fall zeigt, dass die Nichtbeachtung der DSGVO-Vorschriften gravierende finanzielle Folgen nach sich ziehen kann. Soweit nichts Neues.

Und die Moral von der Geschichte – und was daraus gelernt werden kann

Einbeziehung des Datenschutzbeauftragten – die frühzeitige und kontinuierliche Einbindung des Datenschutzbeauftragten in alle Prozesse, die personenbezogene Daten betreffen, ist unerlässlich.
Transparenz und Dokumentation – alle Verarbeitungstätigkeiten mit personenbezogenen Daten müssen im Verarbeitungsverzeichnis dokumentiert und transparent gemacht werden.
Bewusstsein und Schulung – die Sensibilisierung und regelmäßige Schulung der Mitarbeitenden bezüglich der DSGVO und des Datenschutzes im Allgemeinen sind entscheidend, um solche Verstöße zu vermeiden.

Fazit

Dieser Fall unterstreicht die Notwendigkeit, Datenschutz als integralen Bestandteil der Unternehmenskultur zu begreifen und die DSGVO nicht als bürokratisches Hindernis, sondern als Chance zur Verbesserung der Datenschutzpraktiken und zur Stärkung des Vertrauens Ihrer Mitarbeitenden und Kunden zu sehen.

Bei Fragen oder Unsicherheiten stehen wir Ihnen gerne zur Seite. Lassen Sie uns gemeinsam sicherstellen, dass Ihr Unternehmen die Datenschutzanforderungen erfüllt und solche kostspieligen Fehler vermieden werden.

Sollten Sie hierzu Fragen haben und / oder Support benötigen: Melden Sie sich jederzeit bei uns – gerne auch direkt bei Ihrem F2C (Face to the Customer), also Ihre direkten Datenschutzberater bei Cortina Consult.

Jörg ter Beek

Datenschutzexperte & DSB

Sie benötigen Hilfe bei der Umsetzung der DSGVO?

Als Datenschutzbeauftragter unterstützen wir Sie gerne bei der Umsetzung der gesetzlichen Vorgaben.

Datenschutz Newsletter

Kostenloser Newsletter mit lesenswerten Neuigkeiten zum Datenschutz und Best-Practices zur Umsetzung.

Ihre Vorteile mit Cortina Consult

Cortina Consult hilft Unternehmen dabei, die Anforderungen des Datenschutzes im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen.