DSGVO: Weitere Bußgelder verhängt – 5.000,00 für fehlenden Auftragsdatenverarbeitungsvertrag

Seit Anwendung der DSGVO Ende Mai 2018 gab es nur sehr vereinzelte Fälle von Bußgeldern, die von den Aufsichtsbehörden aufgrund von Verstößen gegen die DSGVO verhängt wurden. Ein erster Bußgeldbescheid erging gegen das Karlsruher Unternehmen Knuddels wegen unzureichendem Passwortschutz der User. Es deutet allerdings einiges darauf hin, dass es nun vermehrt zu Bußgeldern kommen wird.

Ein weiterer Fall wurde nun aus Hamburg bekannt. Dort hatte die Datenschutzbehörde mit Datum vom 17.12.2018 einen Bußgeldbescheid an das kleine Versandunternehmen Kolibri Image versandt.

Höhe des Bußgeldes: 5000 Euro zuzüglich 250 Euro Gebühren.

Begründung: Fehlen eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO

Das mutet kurios an, da der Sachverhalt erst aufgrund einer Beratungsanfrage des Unternehmens bei der Aufsichtsbehörde bekannt wurde.

Ausgangspunkt für dieses Schreiben war eine E-Mail des Unternehmens an den Hessischen Beauftragten für den Datenschutz im Mai 2018. Darin fragte man um Rat hinsichtlich eines beauftragten Dienstleisters, der Kundendaten verarbeitet, aber trotz mehrfacher Anforderung keinen Vertrag zur Auftragsverarbeitung übersandt hatte. Die Behörde antwortete darauf, dass die Pflicht, eine solche Vereinbarung abzuschließen, nicht nur den Dienstleister, sondern auch den Auftraggeber als datenschutzrechtlich Verantwortlichen treffe. Das Unternehmen solle und müsse daher selbst eine entsprechende Vereinbarung verfassen und an den Auftragsverarbeiter zu Unterschrift schicken. Hierfür gäbe es auch entsprechende Vorlagen auf der Seite der Verwaltung.

Das ist zwar grds. richtig, scheint aber vorliegend unverhältnismäßig. Damit gibt es jedoch weitere Kriterien bei der Bußgeldbemessung.

Die Behörde hat mitgeteilt, dass über 70 weitere Verfahren anhängig sind und das sich die Zahl der Anzeigen verdreifacht hat. Da wird also noch Einiges kommen.