Verstöße gegen die DSGVO: Hohe Bußgelder und wichtige Lehren

Vorbei sind die Zeiten, in denen Unternehmen einfach eine Firewall einrichten, Datenschutzrichtlinien auf ihren Websites hinzufügen, grundlegende Authentifizierungsmaßnahmen implementieren und die Sache damit erledigt haben konnten. Heute gilt die DSGVO uneingeschränkt, und niemand, nicht einmal Meta oder Google, entgeht ihr. 

In den letzten zwei Jahren wurden über 247 Bußgelder verhängt, deren durchschnittliche Höhe 4.4 Millionen Euro übersteigt. Die Kenntnis Ihrer Kosten für die Einhaltung der DSGVO hilft Ihnen, Investitionen gegen diese horrenden Strafsummen abzuwägen. Angesichts der Tatsache, dass die durchschnittliche Höhe der Bußgelder für DSGVO-Verstöße 4.4 Millionen Euro übersteigt (einige Fälle erreichten sogar über eine Milliarde Euro), ist die Botschaft eindeutig: Halten Sie sich an die DSGVO oder drohen Ihnen hohe Strafen.

Dennoch bergen diese Bußgelder wertvolle Lehren für uns. Sie offenbaren eine Reihe von Schwachstellen und Lücken und liefern klare Erkenntnisse darüber, wo Organisationen ihre Datenschutzstrategien verbessern und die Schwachstellen beheben können, um ähnliche Verstöße zu verhindern.

Mit diesen Erkenntnissen im Hinterkopf wollen wir uns nun den Lehren zuwenden, die uns diese Verstöße vermitteln können. 

Meta muss 1.2 Milliarden Euro Strafe zahlen: Das Debakel um den grenzüberschreitenden Datentransfer

Nachdem der Europäische Gerichtshof den EU-US-Datenschutzschild, einen Mechanismus, der es US-Organisationen ermöglichte, Daten aus der EU über sichere Kanäle in die USA zu übertragen, für ungültig erklärt hatte, befand sich die Rechtmäßigkeit der Datenübertragung an Server in den USA in einer rechtlichen Grauzone. Schließlich verhängte die irische Datenschutzkommission (DPC) im Jahr 2023 eine Geldstrafe von 1.2 Milliarden Euro gegen Meta wegen Verstoßes gegen zwei Bestimmungen der DSGVO. 

1) Grenzüberschreitende Übermittlung von Daten

Die Behörden kamen zu dem Schluss, dass Meta sich auf Standardvertragsklauseln berufen hatte, um die Rechtmäßigkeit der Datenübermittlung von EU-Bürgern und -Kunden in die USA zu rechtfertigen, obwohl der Europäische Gerichtshof in einem wegweisenden Urteil die Mechanismen, die diese Klauseln stützten, für ungültig erklärt hatte. Folglich wurde festgestellt, dass Meta die Daten von Millionen EU-Bürgern potenziell Bedrohungsakteuren, Überwachungsbehörden und anderen ausgesetzt hat, da die Datenschutzbestimmungen in den USA nicht den gleichen Schutz wie die DSGVO bieten. 

2) Verarbeitung von Kinderdaten ohne Einwilligung des Erziehungsberechtigten

Meta hat es versäumt, die Verarbeitung von Kinderdaten ohne elterliche Einwilligung zu verhindern. Für SaaS-Unternehmen, die Nutzerdaten aus der EU verarbeiten, ist das Verständnis der DSGVO-Anforderungen für SaaS-Unternehmen entscheidend, um ähnliche behördliche Maßnahmen zu vermeiden. Das Unternehmen sammelte diese Daten über Facebook und Instagram und verstieß damit gegen Artikel 8 der DSGVO.

Googles Verstoß gegen das Recht auf Vergessenwerden gemäß DSGVO.

Die schwedische Datenschutzbehörde verhängte eine Geldstrafe von 75 Millionen Euro gegen Google wegen Nichteinhaltung des Rechts auf Vergessenwerden und kam zu dem Schluss, dass Google versucht hatte, Webseiten bei der Umgehung der Regelung zu unterstützen. 

Das Thema:

Das „Recht auf Vergessenwerden“ ist ein grundlegendes Datenschutzrecht gemäß Artikel 17 der DSGVO. Es ermöglicht Einzelpersonen, die Entfernung von Links zu ihren personenbezogenen Daten aus den Suchergebnissen zu verlangen oder diese dauerhaft zu löschen. Suchmaschinen wie Google sind aufgrund dieses Gesetzes verpflichtet, Links zu Daten von Personen, die die Entfernung oder Löschung beantragen, ebenfalls aus den Suchergebnissen zu entfernen. Im vorliegenden Fall hat Google die Links zu Webseiten, die die personenbezogenen Daten der betroffenen Person enthielten, nicht entfernt, was zu folgenden Verstößen führte:

• Nichtbeachtung von LöschungsanträgenAuf Anfrage von Einzelpersonen hat Google nicht rechtzeitig reagiert und bestimmte Links in den Suchergebnissen, die Nutzer zu persönlichen Informationen dieser Nutzer führten, nicht entfernt, obwohl die schwedische Datenschutzbehörde dies angeordnet hatte. 

• Benachrichtigung an Website-BetreiberAls Google Webseiten aus den Listen entfernte, benachrichtigte das Unternehmen auch die betroffenen Webseiten, was zu einer erneuten Veröffentlichung und Listung der Inhalte führte, was rechtlich als Umgehung der Vorschriften angesehen wird. 

• Ausführungslücken: Die schwedische Datenschutzbehörde stellte außerdem fest, dass Google die Links und Websites, die aus der Liste entfernt werden mussten, nicht korrekt bewertet hatte. 

Verstöße gegen Artikel der DSGVO:

Artikel 17 (Recht auf Löschung) : Dieser Artikel besagt, dass betroffene Personen die Entfernung, Streichung oder Löschung ihrer personenbezogenen Daten verlangen können und dass Unternehmen diesem Antrag unverzüglich nachkommen müssen.

Artikel 5(1)(a) (Rechtmäßigkeit, Fairness und Transparenz) : Die DSGVO schreibt vor, dass Daten unter rechtmäßigen, fairen und transparenten Bedingungen verarbeitet werden müssen. Googles Vorgehen war nicht vollständig transparent, da die betroffenen Personen nicht über etwaige Lücken informiert wurden.

Artikel 5(1)(b) (Zweckbindung) : Da Google die Webseiten darauf hingewiesen hat, haben diese die Daten versehentlich für Zwecke verwendet, für die sie nicht erhoben wurden, und damit gegen Artikel 5(1)(b) der DSGVO verstoßen.

Artikel 6 (Rechtmäßigkeit der Verarbeitung) : Die schwedische Datenschutzbehörde stellte fest, dass Google keine Rechtsgrundlage für die Benachrichtigung der Website-Betreiber über die Entfernung von Suchergebnissen hatte und somit gegen die Bedingungen verstieß, unter denen personenbezogene Daten rechtmäßig verarbeitet werden dürfen.

Twitters Versäumnis, den Verstoß zu melden 

Im Jahr 2018 führte der Datenverstoß bei Twitter zu einer wegweisenden Entscheidung der irischen Datenschutzbehörde, die Geldstrafen in Höhe von insgesamt über 450 Millionen US-Dollar verhängte. 

Das Thema:

Die Sicherheitslücke entstand durch einen Fehler, der Daten von Nutzern mit dem Status „geschützt“ offenlegte, die ihre E-Mail-Adresse über Twitter geändert hatten und deren Tweets öffentlich einsehbar waren. Dieser Fehler bedeutete, dass jeder Twitter-Nutzer mit dem Status „geschützt“ riskieren konnte, sein Konto ohne seine Zustimmung auf „ungeschützt“ umzustellen, wenn er Android nutzte. 

Darüber hinaus meldete Twitter den Verstoß erst am 8. Januar 2019, obwohl die Meldung eigentlich bis zum 3. Januar hätte erfolgen müssen. 

Verstöße gegen Artikel der DSGVO:

• Artikel 33 Absatz 1: Artikel 31(1) verpflichtet Datenverarbeiter, Datenbearbeiter und Verantwortliche, die Behörden oder die Datenschutzbehörde innerhalb von 72 Stunden nach Feststellung einer Datenschutzverletzung zu benachrichtigen. Twitter entdeckte den Fehler am 26. Dezember 2018 und benachrichtigte die Behörden bis zum 8. Januar 2019, also nach Ablauf der 72-Stunden-Frist. Das Unternehmen wurde wegen Verstoßes gegen die DSGVO zur Rechenschaft gezogen.  

• Artikel 33 Absatz 5: Der Artikel verpflichtet Datenverantwortliche, Datenschutzverletzungen und alle damit zusammenhängenden Fakten zu dokumentieren. Sie müssen außerdem die Auswirkungen und die ergriffenen Abhilfemaßnahmen festhalten. Ziel des Dokuments ist es, den Behörden die Überprüfung der Einhaltung von Artikel 31 zu ermöglichen. Die Datenschutzbehörde (DPA) stellte zudem fest, dass Twitters Bemühungen in diesem Bereich mangelhaft waren. 

Cathay Pacific: Ein Weckruf für die Branche 

Cathay Pacific wurde am 4. März 2020 mit einer Geldstrafe von 500,000 £ belegt – dem Höchstbetrag, den die britische Datenschutzbehörde ICO zu diesem Zeitpunkt verhängen konnte. Der Datenverstoß führte zu einem katastrophalen Datenleck von 9.4 Millionen Kundendaten, darunter sensible persönliche Informationen wie Name, Alter, Passnummer und mehr. Damit wurden zahlreiche Datenschutzrechte der DSGVO verletzt. 

Das Thema

Im Zuge der Untersuchung wurde festgestellt, dass die Sicherheitsvorkehrungen von Cathay Pacific in vielerlei Hinsicht mangelhaft waren, selbst bei so grundlegenden Dingen wie Verschlüsselung und Multi-Faktor-Authentifizierung. Betrachten wir diese Punkte im Detail:

1) Nicht behobene Sicherheitslücken

• In einem unvorstellbaren Versäumnis bei den Sicherheitsmaßnahmen versäumte es Cathay Pacific, eine 2007 aufgedeckte Sicherheitslücke zu schließen, obwohl die Schwachstellenscanner im System diese seit 2014 erkannten. Dieses Versäumnis, das über ein Jahrzehnt andauerte, ermöglichte es Angreifern, in das Netzwerk einzudringen und die Schwachstelle auszunutzen, um katastrophalen Schaden anzurichten. 

2) Veraltete Betriebssysteme

• Die Aktualisierung von Betriebssystemen ist die routinemäßigste und gleichzeitig effektivste Sicherheitsmaßnahme. Trotzdem stellte sich heraus, dass Cathay Pacific ein veraltetes Betriebssystem nutzte, das vom Hersteller nicht einmal mehr unterstützt wurde. Dadurch blieben kritische Sicherheitslücken ungelöst und das Unternehmen war selbst einfachen Angriffen ausgesetzt. 

3) Schwache Zugriffskontrollen

• Strenge Zugriffskontrollen tragen dazu bei, negative Ereignisse selbst im Falle eines Sicherheitsvorfalls einzudämmen. Sind solche Kontrollen jedoch nicht ausreichend implementiert, können sich Angriffe schnell zu ausgewachsenen Sicherheitslücken ausweiten. Genau das ist auch Cathaway Pacific passiert. 

• Ein weiterer Aspekt, der die Sicherheitslücke eindämmt, ist der Zugriff auf administrative Kontrollmechanismen. Diese Kontrollmechanismen regeln, ob sich eine kleine Sicherheitslücke aufgrund einer Rechteausweitung zu einer Katastrophe ausweiten kann. In diesem Fall war die administrative Konsole öffentlich zugänglich, und die Schutzmaßnahmen waren unzureichend. 

4) Fehlende Risikobewertungen

• Das Unternehmen hat es versäumt, eine rechtzeitige Risikobewertung für seine Lieferanten und Drittparteien durchzuführen, wodurch das Risiko eines öffentlichen Zugangs zu sensiblen Daten hätte gemindert werden können. 

5) Unzureichende Serverhärtung

• Serverhärtung ist im Allgemeinen eine Schutzmethode, um Server widerstandsfähiger gegen Angriffe zu machen, indem ihre Ports, Zugriffspunkte und Berechtigungen durch VPN, Firewall und physische Sicherheitsmaßnahmen isoliert werden. Cathay Pacific ließ ihre Ports und Dienste offen, was ihre Angriffsfläche drastisch vergrößerte. 

6) Ungeschützte Sicherungsdateien (Verschlüsselung)

• Die Sicherungsdateien mit sensiblen Daten waren weder verschlüsselt noch passwortgeschützt, sodass Angreifer nach dem Eindringen in die Systeme die Daten problemlos extrahieren konnten.

7) Verzögerte Erkennung

• Die Organisation konnte den Sicherheitsverstoß nicht rechtzeitig erkennen, und Bedrohungsakteure hatten in den Jahren zwischen 2014 und 2018 weiterhin Zugriff auf die Daten, was auf unzureichende Überwachungs- und Bedrohungserkennungsbemühungen hindeutet. 

8) Fahrlässigkeit bei der Umsetzung der Richtlinien

• Die Fluggesellschaft hat ihre eigene IT-Asset-Lifecycle-Management-Richtlinie nicht durchgesetzt, die den Austausch oder die Aktualisierung von Systemen vorschrieb, die das Ende ihrer Lebensdauer erreichten.

Verstoßene Artikel:

• Artikel 32, Sicherheit der Verarbeitung: Dies erfordert, dass der Verantwortliche und der Datenverarbeiter auf Organisationsebene Kontrollmechanismen gemäß den DSGVO-Richtlinien implementieren, um die Verarbeitung von Daten zu gewährleisten, ohne die Vertraulichkeit, Integrität oder Verfügbarkeit zu gefährden. 

Artikel 25 , Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: Dieser Artikel beschreibt die Maßnahmen, die ein Unternehmen ergreifen muss, um Datenschutz in seine Abläufe und Prozesse zu integrieren. Cathay Pacific erkannte die Datenschutzverletzung jahrelang nicht und verfügte weder über Praktiken wie Verschlüsselung noch über Maßnahmen zur Serverhärtung, um die Verletzung einzudämmen.

TIM SPA – Verletzung der Rechte betroffener Personen

Die italienische Datenschutzbehörde verhängte gegen TIM SPA eine Geldstrafe in Höhe von 27.8 Millionen Euro wegen mehrerer aufeinanderfolgender Verstöße gegen die DSGVO im Zusammenhang mit der unrechtmäßigen Verarbeitung von Daten und der Nichtbeachtung von Nutzerinhalten zu Marketingzwecken.  

Die Angelegenheit?

Die Organisation nutzte die Kontakte in ihrer Datenbank für Marketingzwecke und kontaktierte sie unaufgefordert per Telefon, ohne deren ausdrückliche Einwilligung einzuholen. Selbst Nutzer, die ihre Einwilligung ausdrücklich verweigert oder sich aus dem öffentlichen Register austragen lassen hatten, wurden kontaktiert, was gegen das Widerspruchsrecht zur Datenverarbeitung verstieß. Darüber hinaus führte die Organisation Wettbewerbe durch und verlangte hierfür die Einwilligung zu Marketingzwecken. 

Verstöße gegen folgende Artikel:

Da die Organisation die Einwilligung der betroffenen Personen nicht respektierte und deren Daten weiterhin auf unrechtmäßige Weise verarbeitete, verstieß sie dabei gegen mehrere Artikel der DSGVO:

1. Artikel 5 und 6 (Grundsätze bezüglich der Rechtmäßigkeit der Verarbeitung personenbezogener Daten)Der Artikel beschreibt den Prozess der rechtmäßigen, fairen und transparenten Datenverarbeitung. Die Organisation hat jedoch nicht explizit dargelegt, wie ihre Daten verwendet werden, und verstößt damit gegen die Transparenzpflicht. 

2. Artikel 17 (Recht auf Löschung oder „Recht auf Vergessenwerden“)Dieser Artikel stellt sicher, dass Einzelpersonen das Recht haben, ihre Daten auf Anfrage löschen zu lassen. Die Organisation hat es versäumt, rechtzeitig Maßnahmen zu ergreifen, um den Anfragen der Betroffenen nachzukommen, ihre personenbezogenen Daten löschen zu lassen und ihre Einwilligung durch Umgehung des Sperrregisters für Werbeanrufe zu widerrufen. 

3. Artikel 21 (Widerspruchsrecht)Dieser Artikel ermöglicht es Einzelpersonen, der Verwendung ihrer personenbezogenen Daten und deren Nutzung für Marketingzwecke zu widersprechen. TIM ignorierte dieses Recht, indem das Unternehmen Personen kontaktierte, die über öffentliche Register Widerspruch eingelegt oder sich abgemeldet hatten.

4. Artikel 32 (Sicherheit der Verarbeitung)Erfordert angemessene Sicherheitsmaßnahmen zum Schutz der Daten. Der Umgang von TIM mit Daten, insbesondere im Hinblick auf Datenschutzverletzungen und die sichere Verwaltung personenbezogener Daten, wurde als mangelhaft eingestuft.

Mit Sprinto wird die DSGVO-Konformität einfach und zum Standard.

Diese Beispiele verdeutlichen die Botschaft: Selbst kleine und scheinbar harmlose Fehler können zu schwerwiegenden Verstößen gegen die DSGVO führen. Und da die Datenschutzbehörden ihre Kontrollen gegenüber Unternehmen verschärfen, ist in den kommenden Jahren mit einem deutlichen Anstieg der Bußgelder und Strafen zu rechnen. 

Sprinto macht es Ihnen einfacher: Mit unserem umfassenden, sofort einsatzbereiten Compliance-Programm umgehen Sie Komplexität, minimieren Chaos und erreichen im Handumdrehen DSGVO-Konformität. Verbinden Sie Sprinto mit Ihren Systemen, um automatisch Nachweise zu sammeln und Ihre Bereitschaft mit vordefinierten Kontrollen zu überprüfen. Ermitteln Sie geltende Datenschutzgesetze und -vorschriften mithilfe anpassbarer Richtlinienvorlagen, die direkt in die Plattform integriert sind, und gewährleisten Sie die Einhaltung der Richtlinien durch kontinuierliches Kontrollmonitoring und intelligente Warnmeldungen, die Ihnen helfen, Abweichungen von der DSGVO zu vermeiden. Ein zentrales Dashboard visualisiert, welche Prüfungen fehlschlagen und warum, und ermöglicht es Ihnen, direkt von der Plattform aus Gegenmaßnahmen einzuleiten.  

Häufig gestellte Fragen