Engel links, Teufel rechts – Der DSB im Dilemma

Interessenkonflikt beim Datenschutzbeauftragten

 

Die Rolle des Datenschutzbeauftragten ist ein Kernpunkt im Datenschutz.

Es gibt interne und externe Datenschutzbeauftragte. Manche kommen aus der IT, andere hingegen aus der Juristerei.

Häufig wird die Rolle auch missverstanden, als derjenige, der sich um den Datenschutz kümmert. Eine Sache ist dabei aber immer essentiell wichtig: Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten übernehmen, aber diese dürfen nicht zu einem Interessenkonflikt führen.

Diese Anforderung stellt die DSGVO in Art. 38 Abs. 6 S. 2 klar auf. Diese Anforderung findet in der Praxis wenig Beachtung. Häufig sind Kompetenzen oder Motivation im Bereich entscheidender, um diese Rolle zu bekleiden. Übergeht man die Anforderung, kann das aber harte Konsequenzen nach sich ziehen.

Eine Tochtergesellschaft eines Berliner E-Commerce-Konzerns hatte einen Datenschutzbeauftragten benannt, der als Geschäftsführer von Dienstleistern, die wiederum auch Teil des Konzerns waren, tätig war.

Ein Bußgeld in Höhe von 525.000 € wurde verhängt. Dies ist allerdings noch nicht rechtskräftig.

Der Fall zeigt, dass man bei der Bestellung des DSB die Interessenlage zumindest mal prüfen sollte, bevor man handelt.

DSB

Mit unserer Unterstützung als externer Datenschutzbeauftragter machen wir das Unternehmen fit im Thema Datenschutz.

Wem droht hier eine hohe Strafe?

Hohe Bußgelder in Niedersachsen

Die Landesbeauftragte für den Datenschutz Niedersachsen hat in kurzer Zeit, zwei größere Bußgelder verhängt. Das erste Bußgeld in Höhe von 1,1 Millionen Euro wurde gegen die VW Aktiengesellschaft verhängt.

Um Fahrassistenzsysteme zu testen und diese anzulernen, hatte VW auf Forschungsfahrten, die Fahrzeuge mit Kameras ausgestattet, welche die Umgebung aufzeichneten.

Im Zuge dieser Datenverarbeitung stellte die LfD Niedersachsen fest, dass sowohl den Informationspflichten nicht nachgekommen war, als auch kein Auftragsverarbeitungsvertrag mit dem Unternehmen, welches die Fahrten durchführte, geschlossen wurde.

Außerdem fehlte es einer Datenschutz-Folgenabschätzung und einer Erläuterung der TOM im Verzeichnis von Verarbeitungstätigkeiten. Für die Behörde stellten diese Verstöße eines niedrigen Schweregrades dar.

In die Berechnung des Bußgeldes flossen unter anderem mit ein, dass die Zusammenarbeit mit VW gut ablief und der Umstand, dass VW die Mängel umgehend eingestellt hat. So konnte VW ein höheres Bußgeld noch vermeiden.

Das zweite Bußgeld traf ein Kreditinstitut, welches Profile erstellt hatte, ohne vorherige Einwilligung. Im Konkreten hatte das Kreditinstitut Daten von Bestandskunden nach Neigungen für digitale Medien untersucht.

Ziel war es, den Kunden personalisierte Werbung zukommen zu lassen. Rechtsgrundlage der Verarbeitung war Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO. Nach Auffassung der Behörde, ist die Verarbeitung allerdings nicht mit der Rechtsgrundlage vereinbar. Der Bescheid ist allerdings noch nicht rechtskräftig.

Eine solche Konstellation ist kein Einzelfall. Immer wieder wird Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO als Auffangtatbestand verstanden. Bereits rechtmäßig erhobene Daten, werden weiter verarbeitet. Die geforderte Interessenabwägung bleibt entweder ganz aus, oder wird nur unzureichend durchgeführt.

Q1: 1,1 Millionen Euro Bußgeld gegen Volkswagen https://lfd.niedersachsen.de/startseite/infothek/presseinformationen/1-1-millionen-euro-bussgeld-gegen-volkswagen-213835.html

 

Q2: 900.000 Euro Bußgeld gegen Kreditinstitut wegen Profilbildung zu Werbezwecken https://lfd.niedersachsen.de/startseite/infothek/presseinformationen/900-000-euro-bussgeld-gegen-kreditinstitut-wegen-profilbildung-zu-werbezwecken-213925.html

Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis von Verarbeitungstätigkeiten ist das A und O im Datenschutz.

Artikel 30 DSGVO stellt hohe Anforderungen an das Verzeichnis von Verarbeitungstätigkeiten.

Wir unterstützen bei der Erstellung des Verzeichnis von Verarbeitungstätigkeiten.

Cookie Consent mit Real Cookie Banner