Fast 1 Million Zloty – Polen verhängt erstes Bußgeld nach DSGVO

Wegen Nichterfüllung von Informationspflichten nach Art. 14 DSGVO (auf Polnisch RODO) hat die polnische Datenschutzaufsicht UODO (Urząd Ochrony Danych Osobowych) dem Aktienunternehmen Bisnode AB, einem Anbieter für digitale Wirtschaftsinformationen, ein Bußgeld in Höhe von 943.000 Zloty (ca. 220.000 Euro) auferlegt. Das Unternehmen hat personenbezogene Daten gesammelt, um diese in einer eigenen Datenbank zu erfassen und für kommerzielle Zwecke zu verwenden. Betroffen sind laut Angaben der UODO 3,6 Millionen Datensätze geschäftstätiger natürlicher Personen und etwa 2,33 Millionen solcher, die ihre Wirtschaftstätigkeit aufgegeben haben.

Nichterfüllung von Informationspflichten

Dem mit Stammsitz in Schweden ansässigen Aktienunternehmen wird vorgeworfen, dass nicht jede betroffene Person von den rund 6 Millionen Einträge umfassenden Datenpool über die in Art. 13, 14 DSGVO enthaltenen Betroffenenrechte informiert wurde, sondern lediglich diejenigen, dessen E-Mail-Adresse sich in der Datenbank befand. In den Augen der Präsidentin der UODO, Dr. Edyta Bielak-Jomaa, sei Bisnode AB seiner Informationsverpflichtung deshalb nur gegenüber etwa 90.000 Personen in ausreichendem Maße nachgekommen. Im Fall der übrigen Personen sei eine Information unterblieben, da laut Aufsichtsbehörde eine Informationsbereitstellung via Telefon oder Brief in rund 6 Millionen Fällen zu aufwendig sei. Wie wichtig die Bereitstellung von Informationen über Betroffenenrechte jedoch sei, zeige, dass von den 90.000, etwa 12.000 Personen der Verarbeitung durch Bisnode AB widersprochen haben, betont die Präsidentin auf einer eigens einberufenen Pressemitteilung am 25. März.

Vorsätzliches Handeln und fehlende Kooperationsbereitschaft

Aus Sicht der Datenschutzbehörde haben die Verantwortlichen die Nichtinformation vorsätzlich begangen, da sich während des Verfahrens herausgestellt habe, dass Bisnode AB die Notwendigkeit der Bereitstellung von entsprechenden Informationen über Betroffenenrechte jederzeit bewusst war. Dieser Umstand, sowie die mangelnde Einsicht haben sich auf die Höhe des festgesetzten Bußgeldes unmittelbar ausgewirkt.

Unverhältnismäßig hohe Kosten vs. Betroffenenrechte?

Bisnode AB sieht sich laut einer Mitteilung zu Unrecht beschuldigt. Einerseits habe man auf der Homepage eine Information für betroffene Personen bereitgestellt und so jedermann eine Möglichkeit eröffnet, über Betroffenenrechte informiert zu werden. Andererseits stammen die personenbezogenen Daten aus öffentlichen Quellen, wie etwa dem elektronischen Zentralregister (CEIDG), sodass eine Informationspflicht nach Art. 14 DSGVO des Unternehmens gegenüber den Betroffenen gar nicht bestehe. Zu seiner Verteidigung führt das Unternehmen zudem an, dass gemäß Art. 14 Abs. 5 lit. b DSGVO eine Informationspflicht nach Art. 14 Abs. 1 bis 4 DSGVO unterbleibt, wenn und soweit

„die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; […]“.

Dieses Privileg würde hier eingreifen. Nach ersten Schätzungen eines polnischen Nachrichtenportals würden sich die Kosten für eine Informationserteilung per Telefon oder auf dem postalischen Wege als Einschreiben per Brief auf ca. 10 bis 30 Millionen Zloty belaufen, sollten rund 6 Millionen Menschen informiert werden. Ein Kostenaufwand, der aus Sicht von Bisnode AB in keinem Verhältnis zu den Betroffenenrechten stehe.

Aus der Sich der UODO ist eine Bereitstellung von Informationen auf der Homepage des Unternehmens unzureichend, da betroffene Personen schon keine Kenntnis von der Verarbeitung durch Bisnode AB hätten und die Lösung, entsprechende Informationen durch den Betroffenen ohne jegliche Anhaltspunkte zu suchen, „völlig am Ziel vorbeischieße“. In der Pressemitteilung teilte die Präsidentin mit, dass weitere Möglichkeiten bestünden, betroffene Personen zu informieren. Art. 14 DSGVO beschränke sich nach Ansicht der UODO nicht bloß auf „typische“ Mitteilungen über E-Mail, Brief oder Telefon, sondern ermögliche dem Verantwortlichen seiner Informationspflicht über die Betroffenenrechte etwa in Gestalt eines kurzen Werbespots vor den Hauptnachrichten, SMS-Nachrichten oder als Werbung auf viel frequentierten Internetportalen nachzukommen.

Bisnode AB hat angekündigt die Datensätze nicht informierter Personen zu löschen und gegen den Bußgeldbescheid gerichtlich vorgehen zu wollen. Man prüfe derzeit eine Klage vor dem Oberverwaltungsgericht in Warschau und ziehe auch den weiteren Gang vor den Europäischen Gerichtshof (EuGH) in Betracht.

Fazit und Ausblick

Erstmalig seit dem Inkrafttreten der DSVGO hat eine europäische Datenschutzbehörde ein Bußgeld wegen der Verletzung der Informationspflichten verhängt. Anders als etwa im Falle ungenügender Sicherheitsvorkehrungen vor Angriffen Dritter (wir berichteten) wurde dem verantwortlichen Unternehmen das bewusste Nichtinformieren betroffener Personen zur Last gelegt.

Zweifelsfrei gehört die Informationserteilung nach Art. 13, 14 DSGVO zu den Kardinalspflichten eines jeden Verantwortlichen. Die Betroffenenrechte müssen den betroffenen Personen in einer geeigneten Form bereitgestellt werden. Ob und inwieweit Bisnode AB sich tatsächlich auf das Privileg des Art. 14 Abs. 5 lit. b DSGVO wegen unverhältnismäßig hoher Kosten zurückziehen kann, bleibt abzuwarten. Aus dem Erwägungsgrund 62 zur DSGVO geht hervor, dass

„die Pflicht, Informationen zur Verfügung zu stellen, [sich jedoch] erübrigt […], wenn die betroffene Person die Information bereits hat, wenn die Speicherung oder Offenlegung der personenbezogenen Daten ausdrücklich durch Rechtsvorschriften geregelt ist oder wenn sich die Unterrichtung der betroffenen Person als unmöglich erweist oder mit unverhältnismäßig hohem Aufwand verbunden ist.[…] Als Anhaltspunkte sollten dabei die Zahl der betroffenen Personen, das Alter der Daten oder etwaige geeignete Garantien in Betracht gezogen werden. “

Zu den interessanten Fragestellungen gehört sicherlich auch, ob die Gerichte dem Argument Gehör schenken, dass die Daten im vorliegenden Fall nicht aus einer Direkterhebung, sondern aus öffentlich zugänglichen Quellen stammen. Sollte der Rechtsstreit bis zum EuGH kommen, so steht bereits jetzt fest, dass die Entscheidung europaweite Bedeutung haben wird.