Die Datenschutzbehörde (DSB) Österreichs hat ein Unternehmen mit einer Busse von EUR 9’500 bestraft, weil das Unternehmen ein Auskunftsbegehren zuerst liegengelassen und die Personendaten dann gelöscht statt beauskunftet hatte, anscheinend aber nicht vorsätzlich, sondern fahrlässig.
Dieser Entscheid stützt sich direkt auf die Deutsche-Wohnen-Rechtsprechung des EuGH, wonach die Mitgliedstaaten eine Busse nach der DSGVO nicht davon abhängig machen können, dass der Verstoss einer bestimmten Person zugerechnet wird; juristische Personen sollen vielmehr für alle Verstössen haften, die im Rahmen der unternehmerischen Tätigkeit begangen wurden. § 30 des österreichischen Datenschutzgesetzes sieht vor, dass eine Busse gegen eine juristische Person die Zurechnung der Verletzung zu einer bestimmten und genannten natürlichen Person voraussetzt. Aufgrund des EuGH-Entscheids wendet die DSB diese Bestimmung nun nicht mehr an.
Bei der Zumessung der Busse waren u.a. folgende Faktoren relevant:
- Der Konzernumsatz, hier rund EUR 98 Mio.;
- es lagen keine früheren Verstösse gegen die DSGVO vor;
- das Unternehmen hatte mit der DSB zusammengearbeitet, “indem sie insbesondere den vorgeworfenen Sachverhalt nicht in Abrede stellte, ihr Fehlverhalten einräumte und sich nach Zustellung der Aufforderung zur Rechtfertigung einsichtig zeigte. Die Beschuldigte zeigte sich reuig und die DSB geht davon aus, dass sie künftig eine derartige Verletzung von Rechten einer betroffenen Person nicht vornehmen wird”;
- das Unternehmen hatte im Beschwerdeverfahren Auskunft über die noch vorhandenen Daten erteilt.
Unternehmen sollten Betroffenenrechte zur Risikominderung bzw. zur Senkung der Busse also besser spät als nie erfüllen, auch wenn schon einiges schiefgegangen ist, und selbstverständlich hilft es, mit Behörden in einem vernünftigen Rahmen zu kooperieren.