Das Arbeitsgericht Düsseldorf hat einer betroffenen Person in erster Instanz einen Schadenersatz von 5.000,- € zugesprochen. Grund dafür ist, dass die erfragte Auskunft vom ehemaligen Arbeitgebenden weder fristgerecht noch vollständig erteilt wurde.

Schadenersatz für ehemaligen Mitarbeitenden

Die betroffene Person verlangte bereits im Sommer 2018 Auskunft über die Verarbeitung der persönlichen Daten beim ehemaligen Arbeitgeber. Somit machte die Person von ihrem Recht Gebrauch, das durch die DSGVO (und auch lokale Datenschutzgesetze) jeder betroffenen Person zusteht – dem Recht auf Auskunft.

Monate später – fernab von der in der DSGVO festgelegten Monatsfrist – erhielt die Person eine Auskunft, die jedoch die Fragestellung keineswegs beantwortete. Aus diesem Grund reichte der ehemalige Mitarbeitende Klage wegen Nichterteilung der Auskunft ein. Und verlangte 140.000,- € als Wiedergutmachung für den erlittenen Schaden!

Schadenersatz freigegeben

Das Arbeitsgericht Düsseldorf gab dieser Klage nun teilweise statt. Das Vorgehen des ehemaligen Arbeitgebenden stellt eine Verletzung des Auskunftsrechts dar und behindert somit eine Ausübung der Rechte im Sinne der DSGVO. Diese Beeinträchtigung ist als immaterieller Schaden anzusehen. Das Gericht spracht in erster Instanz „nur“ 5.000,- € als Schadenersatz zu. 

Unser Praxistipp

• Beantworten Sie Auskunftsbegehren immer sorgfältig und fristgerecht. Sie haben dafür nur einen Monat Zeit, das ist wirklich kein langer Zeitraum!
• Erarbeiten Sie intern ein Konzept oder Leitfaden, in dem genau festgelegt ist, wer für die Beantwortung zuständig ist. Sie können dazu auch eine „Muster-Auskunft“ vorbereiten.
• Weitere Informationen zum Auskunftsbegehren erhalten Sie in diesem Beitrag.
• Kontaktieren Sie uns bei weiteren Fragen.

Gegen das deutsche Versandunternehmen Kolibri Image wurde eine DSGVO-Strafe über 5000,- € verhängt. Der Grund dafür war, dass kein Auftragsverarbeiter-Vertrag mit einem von ihm beauftragten Dienstleister abgeschlossen wurde.

Auftragsverarbeiter-Vertrag für jeden Dienstleister

Dieser Dienstleister verarbeitete im Auftrag des verantwortlichen Kleinstunternehmens Kundendaten, ein Auftragsverarbeiter-Vertrag, der gemäß DSGVO verpflichtend ist, war jedoch nicht vorhanden.

Das Fehlen eines solches Vertrages rechtfertigte Kolibri Image damit, dass die internen Prozesse des Dienstleisters nicht bekannt waren. Außerdem wäre die Übersetzung für den spanischen Anbieter zu teuer gewesen. Diese Rechtfertigung wurde von der zuständigen Datenschutzbehörde jedoch nicht akzeptiert. Schließlich liegt die Verantwortung zum Vertragsabschluss sowie zur Kontrolle des Dienstleisters IMMER beim auftraggebenden Unternehmen.

Strafverschärfend kam außerdem hinzu, dass die Geschäftsbeziehung weiterhin ohne Vertrag aufrecht erhalten wurde.

Mehr Informationen finden Sie in diesem Beiträge. Hier widmen wir uns voll und ganz dem Thema Auftragskontrolle und den dazugehörigen Maßnahmen, wie unter anderem der Verpflichtung zur Abschließung eines Auftragsverarbeiter-Vertags.

Unsere Praxistipps

• Überprüfen Sie Ihre Auftragsverarbeiter sorgfältig und regelmäßig.
• Schließen Sie unbedingt mit jedem Auftragsverarbeiter einen Vertrag ab.
• Prüfen Sie auch regelmäßig die TOMs Ihres Auftragsverarbeiters.
• Bei weiteren Fraegn kontaktieren Sie uns, wir unterstützen Sie gerne.

In einem rumänischen Hotel wurde eine Liste mit 46 Frühstücksgästen von unbefugten Personen abfotografiert und anschließend im Internet veröffentlicht. Das Hotel selbst meldete die Datenpanne vorschriftsmäßig an die Datenschutzbehörde.

Dieser Fall „kann“ jedem Veranstalter, jedem Hotel/Restaurant, jedem Fortbildungsinstitut passieren.

Strafe wegen Datenschutzverletzung

Die Datenschutzbehörde verhängte eine Geldstrafe von 15.000,- € aufgrund der Datenschutzverletzung. Die Begründung war, dass der Hotelbetreiber nicht ausreichend sichergestellt hatte, dass jene Mitarbeitenden, die Zugang zu personenbezogenen Daten haben, diese ausschließlich rechtmäßig verarbeiten. Die Aufsichtsbehörde sah demnach einen erheblichen Mangel in den technischen und organisatorischen Maßnahmen (TOMs) des Hotels.

Unser Praxistipp

• Informieren Sie sich ausführich über die TOMs: Die TOMs – Maßnahmen zum Datenschutz und Die TOMs 2.0 – Praxistipps
• Überprüfen Sie genau, welche Schutzmaßnahmen Sie im Datenschutz umgesetzt haben: Sind diese ausreichend und auf dem neuesten Stand? Gibt es nicht noch weitere sinnvolle Möglichkeiten, die Sie in Ihrem Unternehmen umsetzen könnten? Arbeiten Sie stets auf der datenschutzsicheren Seite? Sind Ihre Mitarbeiter entsprechend instruiert?
• Kontaktieren Sie uns für einen Beratungstermin bezüglich Ihrer TOMs und deren korrekter betrieblicher Umsetzung. Wir freuen uns auf Ihre Anfragen.
  

In Holland stellte eine Großmutter Fotos ihrer Enkelkinder auf Facebook und Pinterest und weigerte sich, diese auf Aufforderung der Mutter wieder aus dem Netz zu entfernen. Diese zeigte sie daraufhin mit Verweis auf die DSGVO an.

Strafe wegen Fotos auf Social Media

Die Großmutter hatte ein Foto ihres Enkels auf Facebook und ein weiteres der anderen beiden Enkelkinder auf Pinterest veröffentlicht. Ihre Tochter forderte sie daraufhin mehrmals auf, die Fotos der Kinder aus dem Internet zu löschen – ihre Mutter kam der Aufforderung jedoch nicht nach. Daraufhin brachte die dreifache Mutter den Fall vor Gericht und forderte dort mit Bezug auf die DSGVO die sofortige Löschung der veröffentlichten Fotos der fünf- bis vierzehnjährigen Kinder. Das Gericht gab ihr Recht und verhängte gegen die Großmutter eine Geldstrafe von 50,- € (bis hin zu einer Höchstestrafe von 1.000,- €) für jeden weiteren Tag, an dem sie die Fotos nicht löschte. Die Entscheidung wurde damit begründet, dass es sich um einen Verstoß gegen die DSGVO handle. Das Sorgerecht lag nicht bei der Oma und es handle sich dabei um keine private Aktivität, die Fotos auf Social-Media-Plattformen zu veröffentlichen und somit unter Umständen auch über Suchmaschinen wie Google auffindbar zu machen. Achtung: Das Posten von Fotos anderer Personen im Internet ist aus zweierlei Gründen heikel: Erstens wird dadurch das „Recht am eigenen Bild“ eventuell verletzt. Zweitens kann es sich um einen Datenschutzverstoß handeln, wenn man keine Einwilligung dazu hat. Besonders interessant in diesem Fall aus Holland ist noch: Die DSGVO kommt im privaten Bereich eigentlich gar nicht zur Anwendung. Trotzdem hat sich das Gericht darauf bezogen. Eine Verletzung des Rechts am eigenen Bild (ein weiteres Menschenrecht) stellt der Vorgang aber in jedem Fall dar.

Fotos der Mitarbeitenden

Sollten Sie beispielsweise Fotos Ihrer Mitarbeitenden auf Ihrer Website oder in Social-Media-Kanälen posten, müssen diese das vor dem Posting erlauben. Für solche Muster-Einwilligungen können Sie uns gerne kontaktieren.

Unsere Praxistipps

• Seien Sie auch privat äußerst vorsichtig beim Posten.
• Stellen Sie keine Kinderfotos ins Netz. Diese sind schließlich (noch) nicht in der Lage, in eine Veröffentlichung einzuwilligen oder zu widersprechen.
• Was Mitarbeitende und Kollegen betrifft: Unbedingt eine Einwilligung einholen!
• Wenn Sie weitere Fragen haben, kontaktieren Sie uns.

Aufgrund einer Veröffentlichung von sensiblen Gesundheitsdaten verhängte die schwedische Aufsichtsbehörde „Datainspektionen“ eine DSGVO-Strafe in der Höhe von 11.000,- € gegen die Gesundheitsbehörde „Health & Medical Care“.

Strafe wegen Offenlegung von Gesundheitsdaten

Die Daten wurden im Internet veröffentlicht und somit über die Website Unbefugten zugänglich gemacht. Bei der betroffenen Person handelte es sich um einen Patienten, der in eine forensisch-psychiatrische Klinik eingewiesen wurden. Offengelegt wurden Identifikationsinformationen, wie unter anderem die persönliche Identifikationsnummer, Kontaktdaten, Informationen zum forensisch-psychiatrischen Gesundheitszustand sowie zu einer Urinprobe des Betroffenen!

Für die Veröffentlichung dieser besonders schutzbedürftigen Gesundheitsdaten gab es weder eine Rechtsgrundlage noch einen anderen Grund, menschliches Versagen führte zu der unbeabsichtigten Offenlegung.

Die Datenschutzbehörde kam zu dem Schluss, dass das Unternehmen keine ausreichenden technischen und organisatorischen Maßnahmen (TOMs) getroffen hatte, die eine versehentliche Veröffentlichung verhindert hätten. Zudem wurden Anweisungen bezüglich einer rechtmäßigen Vorgehensweise beim Veröffentlichen auf der Website nur mündlich, jedoch nicht schriftlich erteilt.

Die verantwortliche Gesundheitsbehörde wurde angewiesen, schriftliche Konzepte zur Veröffentlichung auf der Website zu erstellen und sicherzustellen, dass Informationen künftig nur unter Einhaltung dieser Maßnahmen veröffentlicht werden. Zudem wurde sie zur Begleichung einer Geldstrafe von 120.000 Schwedischen Kronen – umgerechnet 11.000,- € verurteilt.

Unsere Praxistipps

• Überprüfen Sie Ihre TOMs  regelmäßig sehr genau, denn sie sind das Grundgerüst Ihrer datenschutzkonformen Arbeit: Ist diese nicht datenschutzkonform, droht auch eine persönliche Haftung für die Geschäftsführung! Ersellen Sie Leitfäden und Konzepte und fassen Sie diese schriftlich für Ihre Mitarbeitenden zusammen.
• Schulen Sie Ihre Mitarbeitenden regelmäßig, denn eines darf nicht vergessen werden: Ein Unternehmen ist nur so datenschutzsicher, wie jeder einzelne Mitarbeitende. Und jede einzelne Führungskraft.
  
• Kontaktieren Sie und bei weiteren Frage.