Die 5 häufigsten Datenschutzverstöße

Wer an Datenschutzverstöße denkt, denkt an Hackerangriffe. In der Beratungspraxis sieht es anders aus: Die Fälle, die Aufsichtsbehörden beschäftigen, entstehen meist am Schreibtisch, nicht im Serverraum. Fünf Muster kommen dabei immer wieder vor, und für jedes gibt es eine klare Rechtsgrundlage.

1. Der falsche Empfänger

Die Gehaltsliste an den Kollegen statt an die Buchhaltung, der Arztbericht an den Namensvetter, die Kündigung an die alte Adresse. Jeder dieser Fälle ist eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO und löst die Prüfpflicht nach Art. 33 DSGVO aus: Besteht ein Risiko für die betroffene Person, ist binnen 72 Stunden an die Aufsichtsbehörde zu melden. Bei Gesundheits- oder Bewerberdaten ist dieses Risiko schnell erreicht.

Technisch lässt sich das Muster entschärfen, etwa durch eine kurze Verzögerung beim Versand mit Rückholmöglichkeit, Warnhinweise bei externen Empfängern oder verpflichtende Verschlüsselung bei sensiblen Anhängen. Das ist keine Kür, sondern Teil der „geeigneten technischen und organisatorischen Maßnahmen“ aus Art. 32 DSGVO.

2. Der offene Mailverteiler

Ein Serienbrief an 300 Empfänger im CC statt im BCC offenbart allen Beteiligten, wer sonst noch auf der Liste steht. Bei einem Newsletter ist das unangenehm, bei einer Einladung zur Selbsthilfegruppe, einem Gläubigerrundschreiben oder einer Patienteninformation offenbart es Daten nach Art. 9 DSGVO oder wirtschaftliche Verhältnisse. Genau solche Fälle haben in Deutschland mehrfach zu Bußgeldern geführt, weil der Verstoß leicht zu beweisen und der Betroffenenkreis groß ist.

Abhilfe ist banal und wird trotzdem selten umgesetzt: Serien-E-Mails gehören nicht ins Mailprogramm, sondern in ein Werkzeug, das jede Nachricht einzeln versendet. Wo das nicht geht, hilft eine Regel, die CC-Versand an mehr als eine externe Adresse blockiert.

3. Weitergabe ohne Rechtsgrundlage

Kundendaten an den Vertriebspartner, Beschäftigtendaten an die Konzernmutter, Bewerberdaten an ein Tochterunternehmen. Jede Übermittlung braucht eine eigene Grundlage nach Art. 6 Abs. 1 DSGVO, und Konzernzugehörigkeit ist keine. Ein häufiger Irrtum betrifft auch Dienstleister: Wer Daten in Ihrem Auftrag verarbeitet, etwa ein Lohnbüro, ein Hoster oder ein CRM-Anbieter, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO. Fehlt er, ist die Verarbeitung selbst dann angreifbar, wenn inhaltlich alles korrekt läuft.

4. Verspätete oder unvollständige Auskunft

Das Auskunftsrecht aus Art. 15 DSGVO ist der häufigste Anlass für Beschwerden bei Aufsichtsbehörden, weil jeder es geltend machen kann und die Frist hart ist: Nach Art. 12 Abs. 3 DSGVO ist „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zu antworten. Die Frist lässt sich um zwei Monate verlängern, „wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist“, aber nur, wenn Sie die Person darüber innerhalb des ersten Monats unterrichten. Wer die Verlängerung stillschweigend in Anspruch nimmt, ist in Verzug.

Auskunftsanträge treffen erfahrungsgemäß dann ein, wenn es ohnehin Streit gibt, etwa nach einer Kündigung. Ohne vorbereiteten Prozess (Wer sucht in welchen Systemen? Wer prüft Rechte Dritter? Wer gibt frei?) ist ein Monat knapp.

5. Unzureichende Sicherheit

Der Klassiker ist das ungesicherte Endgerät: das unverschlüsselte Notebook im Zug, der USB-Stick mit Bewerberdaten, der Backup-Datenträger im Auto. Auch veraltete Software, geteilte Zugänge und fehlende Rollentrennung gehören hierher. Maßstab ist Art. 32 DSGVO, der Sicherheitsmaßnahmen nach Risiko und Stand der Technik verlangt, und in der Aufzählung ausdrücklich Verschlüsselung und Pseudonymisierung nennt.

Wirksame Verschlüsselung zahlt sich doppelt aus: Geht ein verschlüsselter Datenträger verloren, kann die Benachrichtigung der Betroffenen nach Art. 34 Abs. 3 lit. a DSGVO entfallen. Aus einem meldepflichtigen Vorfall mit Rufschaden wird dann ein dokumentierter Vorfall ohne Außenwirkung.

Was ein Verstoß kosten kann

Der Bußgeldrahmen richtet sich nach der verletzten Norm, und die Unterscheidung wird oft übersehen. Art. 83 Abs. 4 DSGVO gilt für die Pflichten aus den „Artikeln 8, 11, 25 bis 39, 42 und 43“, darunter Art. 32 DSGVO (Sicherheit), Art. 28 DSGVO (Auftragsverarbeitung), Art. 30 DSGVO (Verzeichnis) und Art. 33/34 DSGVO (Meldung): bis zu 10 Mio. Euro oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Wert höher ist.

Art. 83 Abs. 5 DSGVO verdoppelt das auf 20 Mio. Euro oder 4 % und erfasst unter anderem Verstöße gegen die Grundsätze aus Art. 5 DSGVO, die Rechtmäßigkeit nach Art. 6 DSGVO, die Einwilligung nach Art. 7 DSGVO und die Betroffenenrechte aus Art. 12 bis 22 DSGVO. Praktisch heißt das: Ein und derselbe Vorfall kann beide Rahmen berühren, etwa wenn eine Fehlversendung sowohl auf mangelnde Sicherheit (Art. 32 DSGVO, 2 %) als auch auf einen Verstoß gegen Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO, 4 %) zurückgeht. Hinzu kommen Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO, die unabhängig vom Bußgeld bestehen.