Source: https://datenrecht.ch/lfdi-busse-von-eur-1-24m-wegen-einwilligungslos-versandter-werbe-e-mails/
Timestamp: 2020-07-10 07:16:53+00:00

Document:
LfDI: Busse von EUR 1.24M gegen Krankenkasse wegen einwilligungslos versandter Werbe-E-Mails - daten:recht
LfDI: Bus­se von EUR 1.24M gegen Kran­ken­kas­se wegen ein­wil­li­gungs­los ver­sand­ter Wer­be-E-Mails
1. Juli 2020 1. Juli 2020 von David Vasella
Der Lan­des­be­auf­trag­te für den Daten­schutz und Infor­ma­ti­ons­frei­heit Baden-Würt­tem­berg (LfDI) hat gegen eine Kran­ken­kas­se (AOK Baden-Würt­tem­berg) eine Bus­se von EUR 1,24 Mio. ver­hängt (vgl. Medi­en­mit­tei­lung).
Eine Ver­let­zung der DSGVO erkann­te der LfDI dar­in, dass die AOK in den Jah­ren 2015 bis 2019 im Rah­men von Gewinn­spie­len Per­so­nen­da­ten der Teil­neh­mer erho­ben hat­te, u.a. Kon­takt­da­ten und Kran­ken­kas­sen­zu­ge­hö­rig­keit. Die­se Daten soll­ten zu Wer­be­zwecken genutzt wer­den. Die AOK woll­te dabei durch tech­ni­sche und orga­ni­sa­to­ri­sche Mass­nah­men (u. a. inter­ne Richt­li­ni­en und Daten­schutz­schu­lun­gen) sicher­stel­len, dass nur Daten von Teil­neh­mern ver­wen­det wer­den, die ein­ge­wil­ligt hat­ten. Den­noch wur­den Per­so­nen­da­ten von mehr als 500 Teil­neh­mern ohne Ein­wil­li­gung zu Wer­be­zwecken ver­wen­det (nicht aber Ver­si­cher­ten­da­ten). Damit stand für den LfDI fest, dass die AOK unzu­rei­chen­de Sicher­heits­mass­nah­men getrof­fen hat­te, was gegen Art. 32 DSGVO ver­stiess.
Bei der Bemes­sung der Bus­se fiel der Medi­en­mit­tei­lung zufol­ge ins Gewicht:
die Grö­sse und Bedeu­tung der AOK Baden-Würt­tem­berg, ins­be­son­de­re der Umstand, dass die Aok eine gesetz­li­che Kran­ken­ver­si­che­rung und damit “ein wich­ti­ger Bestand­teil unse­res Gesund­heits­sy­stems” ist,
dass umfas­sen­de inter­nen Über­prü­fun­gen und Anpas­sun­gen der tech­ni­schen und orga­ni­sa­to­ri­schen Mass­nah­men erfolgt sind,
die “kon­struk­ti­ve Koope­ra­ti­on” mit dem LfDI,
dass kei­ne Ver­si­cher­ten­da­ten betrof­fen waren,
dass durch die Bus­se die Erfül­lung der gesetz­li­chen Auf­ga­be der AOK nicht gefähr­det wer­den darf, wobei die Her­aus­for­de­run­gen infol­ge der Coro­na-Pan­de­mie beson­ders berück­sich­tigt wur­de.
Mit ande­rem Wor­ten hät­te die Bus­se ohne die­se Umstän­de auch erheb­lich höher aus­fal­len kön­nen. – Wie berich­tet wird, wird die AOK die Bus­se nicht anfech­ten.
Offen ist der­zeit, ob die Höhe der Bus­se auf die Anwen­dung des umstrit­te­nen Sank­ti­ons­mo­dells der DSK zurück­zu­füh­ren ist und wes­halb der LfDI den Ver­stoss bei Art. 32 DSGVO und nicht z.B. Art. 5 (Grund­sät­ze), Art. 6 (Rechts­grund­la­ge), Art. 24 (Grund­satz der Pflicht, die Ein­hal­tung der DSGVO sicher­zu­stel­len) oder Art. 25 DSGVO (Pri­va­cy by Design) ange­sie­delt hat.
Dem Ent­scheid darf man ent­neh­men, dass die Behör­den zwi­schen Papier­com­pli­an­ce und geleb­ter Com­pli­an­ce zu unter­schei­den wis­sen und die Schon­frist bei Bus­sen (auch die infor­mel­le Schon­frist auf­grund der Coro­na-Pan­de­mie) wohl abge­lau­fen ist.
LfDI Baden-Wür­t­­te­m­­berg: Muster Auf­trags­ver­ar­bei­tungs­ver­ein­ba­rung LfDI Baden-Wür­t­­te­m­­berg: Vor­la­ge für Joint-Con­­trol­­ler-Ver­­­trä­­ge neu auch auf Eng­lisch BfDI: Bus­se von EUR 9.5 Mio. gegen einen Tele­­com-Pro­­­vi­­der Öster­reich: Bus­se von EUR 18 Mio. gegen die Öster­rei­chi­sche Post Spa­ni­en: DSGVO-Bus­­se gegen Rechts­an­walt
Kategorien Behörden Tags Datensicherheit, Deutschland, DSGVO 32, DSGVO 83, Sanktionen Beitrags-Navigation
LfDI Baden-Würt­tem­berg: Muster Auf­trags­ver­ar­bei­tungs­ver­ein­ba­rung
LfDI Baden-Würt­tem­berg: Vor­la­ge für Joint-Con­trol­ler-Ver­trä­ge neu auch auf Eng­lisch
BfDI: Bus­se von EUR 9.5 Mio. gegen einen Tele­com-Pro­vi­der
Öster­reich: Bus­se von EUR 18 Mio. gegen die Öster­rei­chi­sche Post
Spa­ni­en: DSGVO-Bus­se gegen Rechts­an­walt

References: Art. 32
 Art. 32
 Art. 5
 Art. 6
 Art. 24
 Art. 25