Bußgelder wegen unzulässiger Auftragsverarbeitung

Werden bei der Zusammenarbeit mit anderen Unternehmen personenbezogene Daten verarbeitet, gibt es in der DS-GVO unter anderem die Konstellation der weisungsgebundenen Auftragsverarbeitung. Liegt eine solche vor, gibt es einige wichtige Voraussetzungen zu beachten. So ist die Auftragsverarbeitung nur zulässig, wenn sie auf Grundlage einer Auftragsverarbeitungsvereinbarung (AVV) erfolgt, die die Mindestanforderungen von Art. 28 Abs. 3 DS-GVO erfüllt.

Mehr Informationen zur Auftragsverarbeitung

Ausführlichere Informationen zur Auftragsverarbeitung und Auftragsverarbeitungsvereinbarung finden Sie in unseren ABC-Texten!

Sowohl das fehlen als auch inhaltliche Mängel und die Nichteinhaltung der geregelten vertraglichen Pflichten können mit Bußgeldern belegt werden.

Die Übersicht der Bußgelder ist noch in Arbeit und wird in Kürze ergänzt.

Deutschland

Das betroffene Unternehmen hatte eine Anfrage an die Datenschutzbehörde Hessens gestellt, in der es wissen wollte, wie mit einem Diensteanbieter umgegangen werden muss, der keine AVV unterschreiben möchte. Seinerseits wollte das Unternehmen keine AVV verfassen, da der Dienstleister in Spanien sitzt und die Übersetzung zu teuer sei. Der Fall wurde an die örtlich zuständige Datenschutzbehörde von Hamburg weitergeleitet. Diese verhängte daraufhin eine Geldbuße gegen das Unternehmen als Verantwortlichen, da es personenbezogene Daten ohne AVV verarbeiten ließ. Das Unternehmen legte aber erfolgreich Rechtsmittel gegen diese Entscheidung ein.

Das Bußgeld wurde aufgrund von fehlender Beweisbarkeit zurückgezogen.

Ein Schwimmbadbetreiber hatte einen externen Dienstleister mit der Wartung der Videoüberwachungslage beauftragt, der auch Zugriff auf die Aufnahmen hatte. Mit diesem hatte der Betreiber allerdings keine AVV abgeschlossen. Hinzu kam, dass die Videoüberwachung rechtswidrig war und der Betreiber keinen Datenschutzbeauftragten benannt hatte.

Ein Unternehmen setzte für die Bearbeitung von Auskunftsersuchen gem. Art. 15 DS-GVO einen Dienstleister ein. Neben Verstößen gegen das Transparenz- und Verständlichkeitsgebot bei der Bearbeitung der Betroffenenanfragen  hatte das Unternehmen mit dem Dienstleister auch keinen Vertrag über die Auftragsverarbeitung abgeschlossen.