Vor wenigen Tagen wurde bekannt, dass die polnische Aufsichtsbehörde (UODO) gegen den Adresshändler Bisnode ein Bußgeld in Höhe von ca. 220.000 € wegen Verstoßes gegen die Informationspflichten nach Art. 14 DSGVO verhängt hat.
Datenerhebung aus allgemein zugänglichen Quellen
Der Adresshändler Bisnode sammelte in Polen für kommerzielle Zwecke aus öffentlich zugänglichen Quellen (bspw. aus dem elektronischen Zentralregister) unter anderem personenbezogene Daten, die die Wirtschaftstätigkeit der betroffenen Personen betrafen. Hierzu wurde eine entsprechende Datenbank eingerichtet, die insgesamt ca. 7,5 Millionen Datensätze über natürliche Personen, einschließlich Einzelunternehmer und Personen, die Gesellschafter oder Mitglieder der Organe von Unternehmen, Stiftungen und Vereinen sind, beinhaltet.
Nur eingeschränkte Information der Betroffenen
Mit Wirksamwerden der DSGVO im Mai 2018 hatte Bisnode lediglich ca. 680.000 Personen aus der Datenbank nach Art. 14 DSGVO informiert, da zu diesen Personen E-Mail Adressen in der Datenbank hinterlegt waren. Zu den übrigen Personen in der Datenbank hatte Bisnode in der Regel nur die Adresse als Kontaktdaten gespeichert. Eine Information dieser Personen erfolgte nicht, da sich Bisnode diesbezüglich auf den unverhältnismäßigen Aufwand der Informationspflicht nach Art. 14 DSGVO berief. Eine postalische Information (Bisnode ging von einer Information per Einschreiben aus) sei organisatorisch und finanziell mit zu hohem Aufwand verbunden. Stattdessen hatte Bisnode einen entsprechende Datenschutzinformation auf ihrer Webseite veröffentlicht.
Wertung der Aufsichtsbehörde: Verstoß gegen Art. 14 DSGVO
Aus Sicht der UODO genügte dies nicht den Anforderungen von Art. 14 DSGVO nachzukommen. In dem Bußgeldbescheid traf die Aufsichtsbehörde folgende Feststellungen:
- Die Platzierung der Informationen auf der Unternehmenswebseite genügt nicht zur Information der Betroffenen nach Art. 14 DSGVO
- Eine postalische Information der Betroffenen sei nicht nach Art. 14 Abs. 5 Buchst. b DSGVO unmöglich oder erfordert keinen unverhältnismäßigen Aufwand.
- Ein unverhältnismäßiger Aufwand liege nur dann vor, wenn ein Unternehmen Kontaktdaten erst recherchieren müsste, sofern zu den Datensätzen weder Adressdaten noch Handynummer oder E-Mail-Adresse gespeichert sind.
Damit vertritt die polnische Aufsichtsbehörde – wie bereits häufiger unter Geltung der EU- Datenschutzrichtlinie aus dem Jahr 1995 – eine sehr restriktive Auslegung der Datenschutzgrundverordnung.
Zum Fortgang des Verfahrens
Nach ersten Verlautbarungen wird Bisnode das Bußgeld nicht akzeptieren. In einem Gerichtsverfahren könnte eine Vorlage an den EuGH erfolgen, sofern Unklarheiten hinsichtlich der Auslegung europäischen Rechts bestehen.
Es ist mit Spannung zu erwarten, ob dieser Fall gerichtlich geklärt wird und ob sich weitere Aufsichtsbehörden der Auffassung der polnischen Behörde anschließen werden.
Für Rückfragen zur Umsetzung der Informationspflichten nach Art. 13, 14 DSGVO wenden Sie sich an Hr. Rechtsanwalt Wilfling unter 0228/6 20 90 60
