Source: https://edpb.europa.eu/news/national-news/2018_sv
Timestamp: 2020-08-11 11:21:05+00:00

Document:
Nationella nyheter | Europeiska dataskyddsstyrelsen
News Nationella nyheter Nationella nyheter
deBaden-Württemberg supervisory authority issues first German GDPR fine
The German supervisory authority LfDI Baden-Württemberg imposed the first fine in Germany under the GDPR. Due to a violation of Art. 32 GDPR (Security of Processing), a German social network operator was fined EUR 20.000 in September 2018.
The company had notified a data breach from July 2018 to the supervisory authority in accordance with Art. 33 GDPR, reporting that personal data of 330.000 users, such as e-mail addresses and passwords, had been hacked. The company fully cooperated and gave insights on internal structures, which showed that passwords had been stored unencrypted. The company thereby failed to grant data security according to Art. 32 (1) (a) GDPR. Due to its exemplary cooperation and readiness to follow all recommendations of the supervisory authority – also taking into account the total financial burden of the additional costs of implementation and the fine – the company was not fined higher.
LfDI Baden-Württemberg verhängt sein erstes Bußgeld in Deutschland
nach der DS-GVO
- Kooperation mit Aufsicht macht es glimpflich -
Wegen eines Verstoßes gegen die nach Art. 32 DS-GVO vorgeschriebene Datensicherheit hat die Bußgeldstelle des LfDI Baden-Württemberg mit Bescheid vom 21.11.2018 gegen einen baden-württembergischen Social-Media-Anbieter eine Geldbuße von 20.000,- Euro verhängt und - in konstruktiver Zusammenarbeit mit dem Unternehmen - für umfangreiche Verbesserungen bei der Sicherheit der Nutzerdaten gesorgt.
Das Unternehmen hatte sich am 08. September 2018 mit einer Datenpannenmeldung an den LfDI gewandt, nachdem es bemerkt hatte, dass durch einen Hackerangriff im Juli 2018 personenbezogene Daten von circa 330.000 Nutzern, darunter Passwörter und E-Mail-Adressen, entwendet und Anfang September 2018 veröffentlicht worden waren. Ihre Nutzer informierte das Unternehmen nach den Vorgaben der EU-Datenschutzgrundverordnung (DS-GVO) unverzüglich und umfassend über den Hackerangriff. Gegenüber dem LfDI legte das Unternehmen in vorbildlicher Weise sowohl Datenverarbeitungs- und Unternehmensstrukturen als auch eigene Versäumnisse offen. Hierdurch wurde dem LfDI bekannt, dass das Unternehmen die Passwörter ihrer Nutzer im Klartext, mithin unverschlüsselt und unverfremdet (ungehasht), gespeichert hatte. Diese Klartextpasswörter nutzte das Unternehmen beim Einsatz eines sog. „Passwortfilters“ zur Verhinderung der Übermittlung von Nutzerpasswörtern an unberechtigte Dritte mit dem Ziel, die Nutzer besser zu schützen.
Durch die Speicherung der Passwörter im Klartext verstieß das Unternehmen wissentlich gegen seine Pflicht zur Gewährleistung der Datensicherheit bei der Verarbeitung personenbezogener Daten gem. Art. 32 Abs. 1 lit a DS-GVO.
Innerhalb des Bußgeldrahmens gemäß Art. 83 Abs. 4 DS-GVO sprach die sehr gute Kooperation mit dem LfDI in besonderem Maße zu Gunsten des Unternehmens. Die Transparenz des Unternehmens war ebenso beispielhaft wie die Bereitschaft, die Vorgaben und Empfehlungen des Landesbeauftragten für den Datenschutz und die Informationsfreiheit, Dr. Stefan Brink, umzusetzen. Auf diese Weise konnte in sehr kurzer Zeit die Sicherheit der Nutzerdaten des Social-Media-Dienstes deutlich verbessert werden. In Abstimmung mit dem LfDI wird die Sicherung der Nutzerdaten in den kommenden Wochen noch weiter ausgebaut. Bei der Bemessung der Geldbuße wurde neben weiteren Umständen die finanzielle Gesamtbelastung für das Unternehmen berücksichtigt. Bußgelder sollen nach der DS-GVO nicht nur wirksam und abschreckend, sondern auch verhältnismäßig sein. Unter Einbeziehung der aufgewendeten und avisierten Maßnahmen für IT-Sicherheit hat das Unternehmen einschließlich der Geldbuße infolge des Verstoßes einen Gesamtbetrag im sechsstelligen Euro-Bereich zu tragen.
„Wer aus Schaden lernt und transparent an der Verbesserung des Datenschutzes mitwirkt, kann auch als Unternehmen aus einem Hackerangriff gestärkt hervorgehen“, betonte Dr. Brink abschließend. „Als Bußgeldbehörde kommt es dem LfDI nicht darauf an, in einen Wettbewerb um möglichst hohe Bußgelder einzutreten. Am Ende zählt die Verbesserung von Datenschutz und Datensicherheit für die betroffenen Nutzer.“
Bei Rückfragen erreichen Sie uns unter der Telefonnummer 0711/615541-716.
Weitere Informationen zum Datenschutz finden Sie im Internet unter
www.baden-wuerttemberg.datenschutz.de oder unter www.datenschutz.de.
For further information please contact the LfDI Baden-Württemberg (contact details above).
seFirst Swedish GDPR audit completed
atFirst Austrian Fine: CCTV Coverage - Summary
On September 12th 2018, the Austrian DPA made its very first administrative penal decision for infringements of the GDPR and Austrian Data Protection Act.
The Austrian DPA imposed a fine on a Limited Liability Company which is running a sports betting café as the controller within the meaning of Article 4. 7 GDPR of an image processing system (video surveillance). The subject cameras have been in use at least since March 22nd 2018.
The controller has violated Art. 5 para. 1 lit. a and c as well as Art. 6 para. 1 of the General Data Protection Regulation (GDPR) and several provisions of the Austrian Data Protection Act (DSG).
Due to these administrative offences, the Limited Liability Company as a controller is imposed administrative fines to the total amount of € 5.280,00.
The infringements refer to the following: the video surveillance system covers public streets as well as parking lots, both part of the public area in front of the entrance of the sports betting café. This is not adequate for the purposes of the processing and is not limited to a necessary extent. There are no logs of video surveillance processing operations. There is no deletion of the personal image data recorded by the video surveillance within 72 hours and no separate logs for processing in this regard and a justification for an extended storage period is missing (as determined in the Austrian Data Protection Act). In Addition to that, the filmed area does not have adequate signage about CCTV.
The controller lodged a complaint with the Federal Administration Court against this decision.

References: Art. 32
 Art. 33
 Art. 32
 Art. 32
 Art. 32
 Art. 83
 Art. 5
 Art. 6