Ausgabe

Dies ist eine dauerhafte Ausgabe. Sie enthält das Briefing genau so, wie es an diesem Tag veröffentlicht wurde, und ändert sich nicht.

CNIL verhängt gegen EXTIA eine Geldstrafe von 300.000 EUR wegen Mängeln bei der Ausübung von Betroffenenrechten

Bußgeld: EUR 300,000

Die CNIL verhängte am 21. Juli 2026 gegen EXTIA eine Geldstrafe von 300.000 EUR wegen mehrfacher Mängel bei der Bearbeitung von Löschanträgen von betroffenen Personen. Dieser Entscheidung ging eine Prüfung im April 2025 voraus, bei der Verstöße gegen die Pflichten der DSGVO bezüglich Transparenz und individueller Rechte festgestellt wurden.

Der eingeschränkte Ausschuss der CNIL stellte fest, dass 12 von EXTIA erhaltene Löschanträge nicht bearbeitet wurden, was die Kontrolle der Personen über ihre Daten beeinträchtigte. Zudem wurden 166 Personen, die einen Löschantrag gestellt hatten, nicht über die ergriffenen Maßnahmen informiert, was einen Verstoß gegen Artikel 12 der DSGVO darstellt. Weitere 27 Personen erhielten die Informationen verspätet, über die gesetzliche Frist von einem Monat hinaus, wobei sich die Verzögerungen auf mehrere Monate erstreckten. Bei der Festsetzung der Geldstrafe wurden die Verletzung wesentlicher Grundsätze in Bezug auf individuelle Rechte, die Anzahl der betroffenen Personen und die Tatsache berücksichtigt, dass EXTIA zuvor zwei Erinnerungen an ihre Pflichten erhalten hatte. Die Untersuchung begann nach mehreren Beschwerden von ehemaligen Mitarbeitern oder Bewerbern bezüglich Schwierigkeiten bei der Ausübung ihres Rechts auf Löschung und war Teil einer koordinierten Durchsetzungsmaßnahme zum „Recht auf Löschung“, die der EDSA im Jahr 2025 eingeleitet hatte.

Organisationen haben häufig Schwierigkeiten mit der operativen Komplexität der Erfüllung von Anträgen auf Betroffenenrechte, wie die 265 Löschanträge zeigen, die EXTIA in einem Jahr erhalten hat.

Originaltitel: Non respect des droits des personnes : sanction de 300 000 euros à l’encontre de la société EXTIA

Verwaltungsstrafe der CNIL

Wen das bindet
Alle Organisationen, die personenbezogene Daten in Frankreich verarbeiten, sind rechtlich durch die DSGVO verpflichtet, auf Anträge von betroffenen Personen zu reagieren.
Was sich geändert hat
Die Entscheidung der CNIL stellt klar, dass die Nichtbearbeitung von Löschanträgen und die Nichtinformation von betroffenen Personen über ergriffene Maßnahmen einen Verstoß gegen Artikel 12 und 17 DSGVO darstellt.
Was zu prüfen ist
Organisationen sollten ihre Prozesse zur Bearbeitung von Löschanträgen von betroffenen Personen überprüfen, insbesondere die rechtzeitige Bearbeitung und Mitteilung der Ergebnisse, wie in Artikel 12 DSGVO gefordert.
Was das nicht bedeutet
Diese Entscheidung bedeutet nicht, dass alle Anträge von betroffenen Personen zur Datenlöschung führen müssen; sie betrifft die ordnungsgemäße Bearbeitung und Kommunikation des Antrags selbst.

An Ihr Team weiterleiten

Die CNIL verhängte gegen EXTIA eine Geldstrafe von 300.000 EUR, weil sie Löschanträge von betroffenen Personen nicht bearbeitet und die Personen nicht über die ergriffenen Maßnahmen informiert hatte, was die Bedeutung der Einhaltung der Artikel 12 und 17 DSGVO für alle Organisationen unterstreicht.

Die Frage des Tages

Eine Datenschutzbehörde verhängte eine erhebliche Geldstrafe gegen eine Organisation, weil diese wiederholt Anträge von betroffenen Personen auf Löschung von Daten nicht bearbeitet und die Personen nicht über die zu ihren Anträgen ergriffenen Maßnahmen informiert hatte. Welches der folgenden Prinzipien wurde von der Organisation primär verletzt?

  1. Die Verpflichtung, die Ausübung der Rechte betroffener Personen zu erleichtern und transparent zu kommunizieren.
  2. Die Anforderung, geeignete technische und organisatorische Maßnahmen zur Datensicherheit zu implementieren.
  3. Der Grundsatz der Datenminimierung, der sicherstellt, dass personenbezogene Daten angemessen, relevant und auf das Notwendige beschränkt sind.
  4. Die Notwendigkeit, eine ausdrückliche Einwilligung für die Verarbeitung besonderer Kategorien personenbezogener Daten einzuholen.

Diese Frage auf der Website beantworten

Ebenfalls wissenswert

  1. ICO untersucht Police Scotland wegen Einhaltung von Auskunftsersuchen

    Organisationen, insbesondere öffentliche Stellen, sollten robuste Prozesse für die Bearbeitung von Auskunftsersuchen sicherstellen, da Aufsichtsbehörden wie das ICO aktiv die Nichteinhaltung gesetzlicher Fristen untersuchen.

  2. New Yorker Generalstaatsanwältin erzielt 8 Millionen US-Dollar Vergleich mit Betreiber von Online-Gewinnspielkasinos

    Anbieter digitaler Dienste sollten sich bewusst sein, dass Generalstaatsanwälte aktiv Durchsetzungsmaßnahmen gegen Online-Unternehmen verfolgen, die auch datenbezogene Aspekte umfassen können, selbst wenn diese in ersten Pressemitteilungen nicht explizit detailliert sind.

  3. Italienischer Garante verhängt gegen Banco Bilbao Italia eine Geldstrafe von 5,5 Millionen EUR

    Finanzinstitute, die in Italien tätig sind, sollten ihre Datenverarbeitungspraktiken überprüfen, da der Garante erhebliche Geldstrafen für die Nichteinhaltung verhängt, was ein strenges Durchsetzungsumfeld signalisiert.

  4. Niederländische DPA veröffentlicht Genehmigungsformular für Datenpannenmeldungen von Auftragsverarbeitern

    Verantwortliche, die Auftragsverarbeiter einsetzen, sollten die Verwendung des neuen Genehmigungsformulars der niederländischen DPA in Betracht ziehen, um die Verantwortlichkeiten für die Meldung von Datenpannen zu formalisieren und so Klarheit und die Einhaltung von Artikel 33 DSGVO zu gewährleisten.

  5. Medizinische Gruppen einigen sich in Sammelklagen wegen Datenpannen

    Die Sammelklagenvergleiche von Palomar Health und Summit Health zeigen, dass Gesundheitsdienstleister auch ohne spezifische finanzielle Details greifbare rechtliche und finanzielle Auswirkungen von Datenpannen erfahren.

An jenem Morgen aus Behörden, Gerichts und Aufsichtsquellen zusammengestellt. Primärquellen sind bei jeder Meldung verlinkt.