Mobile-Menu

Datenschutzverletzungen made in Germany Die größten Datenpannen in 2024

Von Dipl.-Phys. Oliver Schonschek 6 min Lesedauer

Anbieter zum Thema

bb-net media GmbH
JACOB Elektronik GmbH
Impossible Cloud GmbH

Bußgelder und Sanktionen nach DSGVO in Deutschland waren auch 2024 nicht die Millionenbeträge, die die Schlagzeilen füllen. Doch auch aus diesen Datenpannen kann und soll man lernen. Noch werden aber viel zu wenig Lehren aus Datenschutzverletzungen gezogen.

In diesem Beitrag machen wir einen Datenschutz-Rückblick mit Fokus auf Datenpannen in Deutschland.(Bild: knowhowfootage - stock.adobe.com)
In diesem Beitrag machen wir einen Datenschutz-Rückblick mit Fokus auf Datenpannen in Deutschland.
(Bild: knowhowfootage - stock.adobe.com)

Es ist eine gute Tradition, zu Beginn eines neuen Jahres auf die besonders schwerwiegenden IT-Sicherheitsvorfälle und Datenpannen des Vorjahres zu blicken. Wenn man sich dabei auf Deutschland fokussiert, findet man aber kaum einmal eine Datenpanne, die zu Bußgeldern in Millionenhöhe führte. Solche Datenpannen findet man in anderen Ländern häufiger.

Trotzdem sind Unternehmen in Deutschland gut beraten, sich mit besonders auffälligen Datenschutzverletzungen aus deutschen Landen zu befassen, denn diese zeigen, wo hierzulande die Fehler gemacht werden und worauf die Datenschutzaufsichtsbehörden besonders geachtet und reagiert haben. Der Lerneffekt kann hier besonders hoch sein, noch wird dies aber zu wenig genutzt, wie am Ende des Beitrags gezeigt werden wird.

Die Datenpannen nehmen weiter zu

Auch wenn die Datenschutz-Grundverordnung (DSGVO) inzwischen schon viele Jahre zur Anwendung kommt, stellen die meisten der deutschen Aufsichtsbehörden eine weitere Zunahme bei der Datenschutzverletzungen fest.

So berichtete zum Beispiel der Hessische Beauftragte für Datenschutz und Informationsfreiheit im April 2024: „Die Meldungen von Datenschutz­verletzungen an die Datenschutzaufsichtsbehörden gemäß Art. 33 DSGVO nahmen im Berichtszeitraum von 1.754 im Jahr 2022 auf 1.934 im Jahr 2023 zu“. Insbesondere hob er den Anstieg bei Angriffen auf IT-Systeme hervor. „Cyberangriffe werden qualitativ immer raffinierter und professioneller. Sie richten sich zunehmend gegen Auftragsverarbeiter, die für viele Unternehmen und Behörden arbeiten, und verstärken damit das Schadenspotential“, so der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) Prof. Dr. Alexander Roßnagel.

Auch die Datenschutzaufsicht von Niedersachsen stellte einen Anstieg der gemeldeten Datenschutzverletzungen um rund 13 Prozent (+153) fest. „Seit Einführung der DSGVO steigen die Meldungen von Datenschutzverletzungen kontinuierlich an“, erklärte der Landesbeauftragte für den Datenschutz Niedersachsen.

Dabei hat die Reaktion der Aufsichtsbehörden auf Datenpannen nicht nur finanzielle Folgen für die jeweils verantwortlichen Unternehmen. „Wir freuen uns, dass wir mit unserer Prüfung nicht nur Datenschutzverstöße feststellen, sondern diese auch gleich beheben konnten – nicht zuletzt, weil alle betroffenen Unternehmen ausnahmslos unseren fachlichen Empfehlungen gefolgt sind“, so Denis Lehmkemper, Landesbeauftragter für den Datenschutz Niedersachsen, mit Blick auf eine Prüfung der niedersächsischen Datenschutzbehörde bei 20 Unternehmen zu Sicherheitslücken in ihren Microsoft-Exchange-Servern.

Ein Beispiel für höhere Bußgelder

Die Liste der Beispiele aus Deutschland beginnt mit einem Bußgeld von immerhin 900.000 Euro. Obwohl Löschfristen abgelaufen waren, hat ein Hamburger Dienstleister aus der Forderungsmanagement-Branche Datensätze mit personenbezogenen Daten ohne Rechtsgrundlage bis zu fünf Jahre lang aufbewahrt. Diese Ordnungswidrigkeit hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) mit einem Bußgeld in Höhe von 900.000 Euro geahndet. Aufgefallen war der Verstoß, weil der HmbBfDI im Rahmen einer Schwerpunktprüfung marktstarke Unternehmen aus dem Forderungsmanagement geprüft hatte.

Dazu Thomas Fuchs, der Hamburgische Beauftrage für Datenschutz und Informationsfreiheit: „Wenn die Kundenbeziehung endet, sind die erhobenen Daten sofort beziehungsweise nach festgelegten Fristen zu löschen. Deshalb sollten Unternehmen bereits bevor sie Daten erheben eine Bestandsaufnahme machen, welche Daten gesammelt und wie lange sie vorgehalten werden dürfen. Es ist nicht akzeptabel, wenn Unternehmen, die in datengetriebenen digitalen Branchen arbeiten, kein kohärentes Löschkonzept entwickelt haben.“

Weitere Beispiele für Datenpannen aus Deutschland

Wenn man sich weitere konkrete Fälle ansieht, über die die Aufsichtsbehörden in 2024 berichtet haben, fallen zum Beispiel diese auf:

  • Bußgeld gegen eine Bank wegen mangelnder Transparenz: Gegen eine Bank aus Berlin wurde ein Bußgeld in Höhe von 300.000 Euro verhängt, weil sie ihren Transparenzpflichten im Zusammenhang mit einer automatisierten Einzelentscheidung nicht nachgekommen war. Das Unternehmen hatte sich geweigert, einem Kunden nachvollziehbare Auskünfte über die Gründe der automatisierten Ablehnung eines Kreditkartenantrags zu erteilen.
  • Bußgeld nach Sammlung besonders schützenswerter Daten: Ein Unternehmen aus dem Kulturbereich wurde mit einem Bußgeld von 215.000 Euro belegt. Es hatte unzulässigerweise Informationen über den Gesundheitszustand von Beschäftigten sowie deren Interesse an der Gründung eines Betriebsrates dokumentiert. Mit den Informationen sollten Kündigungen von Beschäftigten vorbereitet werden, die sich in Probezeit befanden.
  • Bußgeld wegen verdeckter Videoüberwachung am Arbeitsplatz: In einem anderen Fall hatte ein Unternehmen drei Praktikanten an ihrem Arbeitsplatz durch in Steckdosen versteckte Videokameras überwacht, ohne dass die Betroffenen Kenntnis davon hatten. Gegen das Unternehmen wurde ein Bußgeld in Höhe von 4.000 Euro verhängt, weil die Videoüberwachung nicht erforderlich und unverhältnismäßig war.

Zahlreiche, weitere Bußgelder wegen unzulässiger Videoüberwachung sind: Unzulässige Videoüberwachung der Trainingsfläche (Fitnessstudio), unerlaubte Überwachung des öffentlichen Verkehrsraums durch Livestreaming von Fahrstunden ins Internet (Fahrschule) oder Videoüberwachung einer Veranstaltungsfläche und deren Umgebung mit unzureichender Erfüllung der Informationspflichten.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mangelnde IT-Sicherheit führt häufig zu Datenpannen

Viele Datenpannen sind aber auch direkt mit Mängeln in der IT-Sicherheit verbunden, wie ein unverschlüsseltes Backup mit personenbezogenen Daten auf dem USB-Stick am Schlüsselbund des Geschäftsführers, um ein Beispiel zu nennen. Ein weiterer Fall: Wegen verletzter Löschpflichten wurde in Hamburg ein Bußgeld in Höhe von 11.500 Euro gegenüber einem Unternehmen aus der Werbewirtschaft festgesetzt, dessen IT-System zudem technische Sicherheitslücken aufwies.

Ein anderes Unternehmen fiel einem Ransomware-Angriff zum Opfer. Es meldete der Datenschutztaufsicht von Brandenburg den Vorfall als Datenschutzverletzung. Sein gesamtes IT-System war durch das Schadprogramm verschlüsselt und das letzte Backup der Daten gelöscht worden. Zudem verzeichnete es einen enormen Datenabfluss. Vom Vorfall betroffen waren die personenbezogenen Daten der Beschäftigten, der Kundinnen und Kunden sowie der Aktionärinnen und Aktionäre. Später teilte das Unternehmen jedoch mit, dass von ihm getroffene Sicherheitsmaßnahmen bewirkt hätten, dass personenbezogene Daten doch nicht von allen Servern abgeflossen seien.

Bußgelder sind nicht immer die Folge

Nicht nur in der Weihnachtszeit verzichten Aufsichtsbehörden auch auf weitere Sanktionen. Das dürfen sie auch. Der EuGH (Europäischer Gerichtshof, Rechtssache C-768/21) stellte hierzu fest, dass die Datenschutzaufsichtsbehörden, auch wenn sie eine Verletzung des Schutzes personenbezogener Daten feststellen, nicht verpflichtet sind, eine Abhilfemaßnahme zu ergreifen, insbesondere Geldbußen zu verhängen, wenn dies nicht erforderlich ist, um der festgestellten Unzulänglichkeit abzuhelfen und die Einhaltung der DSGVO zu gewährleisten.

Nun zu der Datenpanne ohne Sanktion: Im hektischen Vorweihnachtsgeschäft hatte ein Mitarbeiter eines Elektronikmarkts vergessen, die beiliegende Speicherkarte einer zurückgegebenen VR-Brille zu löschen, sodass die VR-Brille datenunbereinigt wieder ins Verkaufsregal gelangte. Aufgefallen war es einer Kundin, die diese Virtual-Reality-Brille als Weihnachtsgeschenk für ihren Sohn erwarb. Auf die Bescherung folgte eine böse Überraschung: Mit dem Gerät waren bereits Facebook- und Instagram-Konten verknüpft, mit personenbezogenen Daten und vermutlich wenig kindgerechten Inhalten.

Der Elektronikmarkt meldete die Datenpanne umgehend. Der betroffene erste Käufer der VR-Brille hatte keine Kontaktdaten bei seinem Einkauf hinterlegt und konnte somit nicht informiert werden. Da es sich um menschliches Versehen in einem Einzelfall handelte und geeignete Clearing-Prozesse grundsätzlich in dem Elektronikmarkt existierten, wurde von Sanktionsmaßnahmen abgesehen.

Doch leider wird aus Datenpannen noch zu wenig gelernt

Auch in den nächsten Jahren werden sich wieder längere Listen von Datenpannen aus Deutschland und anderen Ländern erstellen lassen. Gründe dafür findet man zum Beispiel in der Auswertung einer Kampagne zur Sensibilisierung zu Verstößen gegen den Schutz personenbezogener Daten, die der Europäische Datenschutzbeauftragte (EDSB) von März bis Oktober 2024 durchgeführt hatte.

Die Kampagne endete mit drei wichtigen Erkenntnissen: Verantwortliche sollten mit Unterstützung ihrer Datenschutzbeauftragten das Bewusstsein ihrer Mitarbeiter für die Risiken von Datenschutzverletzungen schärfen. Es sind mehr Ressourcen erforderlich, um die Compliance zu unterstützen und das Management von Datenschutzverletzungen aufrechtzuerhalten, und die Einrichtungen müssen einen formellen Rahmen für das Risikomanagement schaffen, um Risiken zu erkennen und zu mindern.

Es gilt also die notwendigen Grundlagen zu stärken, damit aus Datenpannen wirklich gelernt wird und werden kann.

(ID:50281334)

Weiterführende Inhalte

Jobs