400T € Bußgeld für Speicherung öffentlich zugänglicher Kontaktdaten – was ist passiert?
Bei dem nachfolgend geschilderten Fall wurden gleich zwei Datenschutzverstöße begangen und entsprechend von der französischen Datenschutzbehörde CNIL (Commission Nationale de l´Informatique et des Libertés) geahndet.
Zum einen wurden Betroffene nicht über die Datenverarbeitung informiert und zum anderen fehlt die Vereinbarung über die Auftragsverarbeitung mit dem eingebundenen Auftragsverarbeiter.
Es handelte sich dabei um mehr als 200 betroffene europäische Personen des öffentlichen Lebens, deren personenbezogene Daten zum Zweck der Lobbyarbeit gespeichert wurden. Ziel war es, eine weltweite Interessenvertretung bezüglich der Verwendung von Glyphosat zu sammeln und zu organisieren. Aus diesen Gründen wurde gegen Monsanto, einem amerikanischen Unternehmen der landwirtschaftlichen Biotechnologie, eine Geldstrafe in Höhe von 400.000 Euro verhängt.
Was bedeutet das für Sie?
Die Erfüllung der Informationspflichten aus Art. 13 DSGVO, die Sie gegenüber Ihren Mitarbeitern, Kunden, Lieferanten etc. erbringen, kennen Sie bereits. Dies umfasst personenbezogene Daten, die Sie direkt beim Betroffenen erhoben haben.
Die Erfüllung der Informationspflichten aus Art. 14 DSGVO umfassen dagegen personenbezogene Daten, die Sie nicht beim Betroffenen erhoben, sondern aus einer anderen Quelle erhalten haben. Eine solche andere Quelle kann das Internet oder ein Adresshändler sein.
Sollten Sie also Daten von Personen aus dem Internet oder einer sonstigen Quelle verarbeiten, geben Sie uns bitte Bescheid, damit wir Sie bei der Umsetzung der Informationspflichten unterstützen können. Beachten Sie bitte, dass der Betroffene zum Zeitpunkt der Erhebung der Daten oder innerhalb einer angemessenen Frist (spätestens nach einem Monat) über die Verarbeitung und die weiteren Empfänger informiert werden muss.
Details zum Fall:
Mehrere Medien enthüllten im Zuge der Glyphosat-Debatte, dass personenbezogene Daten von mehr als 200 Personen des öffentlichen Lebens (Politiker, Wissenschaftler, Journalisten, etc.) durch das Unternehmen Monsanto in einem Dateisystem verarbeitet wurden. Zu den betroffenen Daten gehören die Stellenbeschreibung, berufliche E-Mail-Adresse, Telefonnummer, Twitter-Account sowie eine Bewertung zum Einfluss und zur Unterstützung der Aktivitäten von Monsanto. Sieben Beschwerden von Betroffenen gingen der französischen Datenschutzbehörde CNIL dazu ein.
Die Erstellung von solcherlei Kontaktdateien zum Zweck der Lobbyarbeit ist an sich nicht illegal. Die Betroffenen müssen jedoch über die Verarbeitung ihrer Daten gem. Art. 14 DSGVO informiert werden, damit diese ihr Widerspruchsrecht gegen die Verarbeitung wahrnehmen können. Die Ausübung der Rechte der Betroffenen gemäß Datenschutzgrundverordnung wurde demnach stark beeinträchtigt.
Zudem stellte die französische Datenschutzbehörde einen Verstoß gegen Art. 28 DSGVO fest. Monsanto ist ein für die Verarbeitung Verantwortlicher, der Subunternehmen mit der Verarbeitung personenbezogener Daten beauftragt hat. Bei der Beauftragung von Auftragsverarbeitern ist eine Vereinbarung gem. Art. 28 DSGVO, ein sogenannter Auftragsverarbeitungsvertrag, zu schließen, der die wesentlichen Gewährleistungen zur Sicherheit der Datenverarbeitung beinhaltet. Dies wurde versäumt. Durch die französische Datenschutzbehörde wurden daraufhin Kontrollmaßnahmen bei Monsanto und dem Auftragsverarbeiter durchgeführt, um die Einhaltung der einschlägigen gesetzlichen Regelungen zum Datenschutz und zur Informationstechnologie zu überprüfen.
Die Ergebnisse der Kontrollen sowie der nähere Sachverhalt samt Begründung werden hier https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000043860997/ ausführlich erläutert.
