Bisnode Polska Sp. z o.o. erhielt von der Aufsichtsbehörde eine Geldstrafe von ca. € 220.000,--.

 

 

Bisnode informierte die Personen in der Wirtschaftsdatenbank nur dann, wenn eine Email-Adresse zur Verfügung stand. Andere Betroffene wurden aus Kostengründen nur über die Website informiert.

 

 

Hätte nicht auch die Österreichische Post bei den Marketingdaten die betroffenen Personen informieren müssen?

Der Sachverhalt.

 

Auf der Homepage von Bisnode Polska Sp.z.o.o. wird das Verfahren der polnischen Aufsichtsbehörde Urzad Ochrony Danych Osobowych (UODO) bestätigt.

 

Bisnode hatte 679.000 Personen, über deren Email-Adresse das Unternehmen verfügt, über die Verarbeitung ihrer Daten iSd Art 14 DSGVO in Kenntnis gesetzt.

 

Bei weiteren 5.700.000 von Einzelunternehmern und Mitgliedern von Gesellschaftsorganen von Unternehmen wurde keine Information an die betroffenen Personen gesandt, da eine Informationserteilung per Post bzw. per Telefon nach Ansicht von Bisnode einen unverhältnismäßigen Aufwand darstellt.

 

 

 

Die polnische Aufsichtsbehörde sah dies anders.

 

„Der Verantwortliche war sich seiner Informationspflicht bewusst. Daher haben wir die Entscheidung gefällt, eine Geldstrafe zu verhängen.“ Dr Edyta Bielak-Jomaa, President of UODO

 

 

 

Die UODO gab auch bekannt, dass von den 90.000 Personen, die von Bisnode über die Verarbeitung der Daten gem. Art 14 DSGVO informiert wurden, 12.000 Personen Widerspruch erhoben haben. Dies zeige auch, wie wichtig es sei, dass die Information erfolge, damit die Personen, deren Daten verarbeitet werden, ihre Rechte nach der DSGVO wahrnehmen können.

 

Nach Ansicht der UODO war die Information per Email an diejenigen Betroffenen, deren Email-Adresse bekannt war, und die Information auf der Website von Bisnode an die anderen Personen nicht ausreichend. Es standen Kontaktdaten zu diesen Personen zur Verfügung, und die Information gem. Art 14 DSGVO hätte an diese erfolgen müssen.

 

Im Verfahren hatte Bisnode offensichtlich (das ergibt sich mE aus der Information auf der Homepage der UODO) argumentiert, dass die Information an die betroffenen Personen per Post mittels Einschreiben hätte erfolgen müssen, und dies betriebswirtschaftlich nicht sinnvoll gewesen wäre, da dadurch sehr hohe Kosten verursacht worden wären. Die Aufsichtsbehörde entgegnete, dass eine Versendung per Einschreiben nicht notwendig gewesen wäre, sodass dies Kosten geringer gewesen wären.

 

Bisnode stützte sich dabei auf die Ausnahme von der Informationspflicht gem. Art 14 Abs 5 lit b DSGVO, wonach die Information nicht erteilt werden muss, wenn sie sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde.

 

UODO lehnte das Argument des unverhältnismäßigen Aufwandes ab.

 

Die Rechtsverletzung betreffe Grundrechte und Grundfreiheiten von Personen, deren Daten verarbeitet werden, und bezieht sich auf einen wesentlichen Aspekt: Die Information über die Datenverarbeitung.

 

 

 

Verschuldensgrad.

 

Bemerkenswert ist mE auch, dass UODO feststellt, dass die Verletzung durch den Verantwortlichen vorsätzlich erfolgt sei, da er sich der Verpflichtung zur Informationserteilung und Notwendigkeit der direkten Information an die betroffenen Personen bewusst war.

 

 

 

Schlussfolgerung und Auswirkungen.

 

Hätte nicht auch die Österreichische Post sämtliche betroffene Personen, deren Daten sie für Marketingzwecke gesammelt und an dritte Unternehmen verkauft hat, über die Datensammlung informieren müssen?

 

Wenn man die Entscheidung der polnischen Aufsichtsbehörde der Bewertung zugrunde legt, dann ist diese Frage mit einem eindeutigen JA zu beantworten.

 

Die Post verfügt über die Kontaktdaten, und eine Information iSd Art 14 DSGVO ist nicht unverhältnismäßig, wenn man berücksichtigt, dass das dieser spezielle Verantwortliche dies zu „Selbstkosten“ durchführen kann.

 

01.04.2019, Autor:

 

Michael Schweiger,  zert. DSBA