Ausgabe

Dies ist eine dauerhafte Ausgabe. Sie enthält das Briefing genau so, wie es an diesem Tag veröffentlicht wurde, und ändert sich nicht.

Die spanische Datenschutzbehörde verhängt Geldbuße gegen Securitas Direct wegen Behinderung der Ausübung von Betroffenenrechten

Die spanische Datenschutzbehörde hat Securitas Direct mit einer Geldbuße belegt, weil das Unternehmen die Ausübung von Datenschutzrechten durch Einzelpersonen erschwerte, indem es diese an eine kostenpflichtige Telefonnummer verwies. Diese Entscheidung unterstreicht die Notwendigkeit, zugängliche und kostenlose Kanäle für Betroffene bereitzustellen, um ihre Rechte auszuüben.

Die spanische Datenschutzbehörde verhängte gegen Securitas Direct eine Geldbuße von 100.000 EUR und erließ eine Anordnung zur Einhaltung der Vorschriften, da das Unternehmen von Einzelpersonen verlangte, eine kostenpflichtige Telefonnummer zu nutzen, um ihre Zugangs- und Widerspruchsrechte auszuüben. Die Behörde befand, dass diese Praxis den Betroffenen Kosten auferlegte und ihre Fähigkeit zur Ausübung ihrer Rechte gemäß der DSGVO behinderte.

Die spanische Datenschutzbehörde hat Securitas Direct mit einer Geldbuße belegt.

Wen das bindet
Alle Organisationen, die personenbezogene Daten in Deutschland verarbeiten.
Was sich geändert hat
Diese Entscheidung stellt klar, dass Organisationen sicherstellen müssen, dass die Ausübung von Betroffenenrechten, wie dem Zugangs- und Widerspruchsrecht, für Einzelpersonen nicht unangemessen erschwert oder kostenpflichtig gemacht wird. Die Bereitstellung ausschließlich kostenpflichtiger Telefonnummern für solche Zwecke wird als Verstoß gegen die Transparenz- und Zugänglichkeitsanforderungen für die Ausübung von Betroffenenrechten gemäß Artikel 12 DSGVO angesehen.

Die Frage des Tages

Ein IT-Dienstleister wurde von der schwedischen DPA mit einer Geldstrafe belegt, weil er nach einem Cyberangriff unzureichende Sicherheitsmaßnahmen getroffen hatte. Welche der folgenden Maßnahmen hätte das Unternehmen ergreifen müssen, um die Anforderungen der DSGVO zu erfüllen?

  1. Angemessene technische und organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus implementieren.
  2. Ein umfassendes Programm zur Schulung des Personals im Bereich Datenschutz und Datensicherheit einführen.
  3. Regelmäßige DSFA für alle neuen Datenverarbeitungsvorgänge durchführen.
  4. Eine Datenschutzrichtlinie veröffentlichen, die die Rechte der betroffenen Personen klar darlegt.

Diese Frage auf der Website beantworten

Ebenfalls wissenswert

  1. Die niederländische Datenschutzbehörde verhängt Geldbuße gegen Uber wegen unrechtmäßiger automatisierter Entscheidungsfindung und unzureichender Informationen zur Profilbildung

    Die niederländische Datenschutzbehörde verhängte gegen Uber eine Geldbuße von 824.990.000 EUR, da sie feststellte, dass Uber vollständig automatisierte Entscheidungen zur Deaktivierung oder vorübergehenden Sperrung von Fahrerkonten aufgrund von Betrugsverdacht oder niedrigen Kundenbewertungen nutzte. Die Behörde stellte außerdem fest, dass Uber den Fahrern keine ausreichenden Informationen über diese Profiling-Praktiken zur Verfügung stellte, was gegen Artikel 22 und 13 der DSGVO verstößt.

  2. Die schwedische Datenschutzbehörde verhängt Geldbuße von 160.000 EUR gegen Miljödata i Karlskrona wegen unzureichender Sicherheitsmaßnahmen nach Cyberangriff

    Die Überprüfung der IMY ergab, dass Miljödata kein ausreichend hohes Niveau an technischen und organisatorischen Sicherheitsmaßnahmen aufrechterhielt, insbesondere angesichts der Art der von ihr verarbeiteten personenbezogenen Daten. Die kompromittierten Daten umfassten persönliche Identifikationsnummern, Kontaktdaten und sensible Daten im Zusammenhang mit Krankheitsurlaub, Rehabilitation und studentenbezogenen Vorfällen in Schulen. Zu den von dem Angriff betroffenen Kunden des IT-Dienstleisters gehörten die Mehrheit der schwedischen Gemeinden, mehrere Regionen, Regierungsbehörden und zahlreiche private Unternehmen. Der böswillige Akteur erhielt Zugang zu einer großen Menge personenbezogener Daten und veröffentlichte diese anschließend im Darknet. Miljödata verfügte auch nicht über eine automatisierte Echtzeitüberwachung ihrer Systeme zur Erkennung von Eindringversuchen oder verdächtigen Aktivitäten, was zur Feststellung der Fahrlässigkeit beitrug. Die IMY bewertete diese Fahrlässigkeit als Verstoß gegen Artikel 32 Absatz 1 der DSGVO.

An jenem Morgen aus Behörden, Gerichts und Aufsichtsquellen zusammengestellt. Primärquellen sind bei jeder Meldung verlinkt.