Niedersächsische Landesdatenschutzbeauftragte verhängt Millionenbußgeld gegen Volkswagen

ESV-Redaktion Recht

Ein Testfahrzeug von VW hatte das Verkehrsgeschehen um sich herum aufgezeichnet und dabei auch andere Verkehrsteilnehmer gefilmt (Foto: New Africa / stock.adobe.com)

Die niedersächsische Landesbeauftragte für den Datenschutz (LfD), Barbara Thiel, hat gegen den Volkswagen-Konzern wegen Datenschutzverstößen bei Forschungsfahrten eine Geldbuße in Höhe von 1,1 Mio. Euro verhängt. Der Konzern hat die Geldbuße bereits akzeptiert.

Dem Verfahren lag folgender Sachverhalt zu Grunde: Ein Volkswagen-Testfahrzeug hatte das Verkehrsgeschehen um das Fahrzeug herum mit einer Video-Kamera aufgezeichnet und dabei auch Verkehrsteilnehmer ohne deren Kenntnis gefilmt. Das Fahrzeug wurde eingesetzt, um die Funktionsfähigkeit eines Fahrassistenzsystems zur Vermeidung von Verkehrsunfällen zu testen und zu trainieren. Den Polizisten fielen ungewöhnliche Anbauten an dem Fahrzeug auf, die bei näherer Betrachtung als Kameras erkennbar waren.

Am Fahrzeug fehlten allerdings eine Beschilderung mit einem Kamerasymbol und den weiteren datenschutzrechtlich vorgeschriebenen Informationen für andere Verkehrsteilnehmer. Nach Ansicht der Landesdatenschutzbeauftragten führte dies zu mehrfachen Verstößen gegen die DS-GVO.

Der kostenlose Newsletter Recht – Hier können Sie sich anmelden!

Redaktionelle Meldungen zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps.

Die einzelnen Verstöße gegen die DS-GVO:

Informationspflichten (Artikel 13): Die gefilmten Verkehrsteilnehmenden hätten als datenschutzrechtlich Betroffene nach Artikel 13 DS-GVO unter anderem darüber aufgeklärt werden müssen, wer die Verarbeitung zu welchem Zweck durchführt und wie lange die Daten gespeichert werden.

Auftragsdatenverarbeitungsvertrag (Artikel 28): Volkswagen hatte zudem keinen Auftragsverarbeitungsvertrag mit dem Unternehmen abgeschlossen, das die Fahrten durchführte. Dieses wäre gemäß Artikel 28 DSGVO erforderlich gewesen. Die Auftragsdatenverarbeitung durch Dritte muss demnach danach auf Grundlage eines Vertrags erfolgen, in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind.

Dokumentationspflichten (Artikel 30): Des Weiteren fehlte eine Erläuterung der technischen und organisatorischen Schutzmaßnahmen im Verzeichnis der Verarbeitungstätigkeiten. Damit lag ein Verstoß gegen die Dokumentationspflichten nach Artikel 30 DS-GVO vor.

Datenschutz-Folgeabschätzung (Artikel 35): Schließlich wurde keine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO durchgeführt. Mit dieser müssen vor Beginn einer Datenverarbeitung mögliche Risiken und deren Eindämmung bewertet werden.

Die Höhe der Geldbuße (Artikel 83)

Allein der Verstoß gegen Artikel 13 DSGVO kann nach Artikel 83 Absatz 5 DSGVO bei einem Unternehmen mit einer Geldbuße von bis zu 4 % des gesamten weltweiten Jahresumsatzes des vergangenen Geschäftsjahrs sanktioniert werden. Bei der konkreten Ausgestaltung der Höhe der Geldbuße wurde gemäß Artikel 83 Absatz 2 DSGVO berücksichtigt, dass die vier Verstöße einen jeweils niedrigen Schweregrad hatten, von denen keiner weiterhin andauert, und dass der Volkswagen-Konzern umfassend mit der Datenschutzbehörde kooperiert hat.

Die eigentlichen Forschungsfahrten wurden von der Landesdatenschutzbeauftragten datenschutzrechtlich hingegen nicht beanstandet, da die dabei anfallende Erhebung und Weiterverarbeitung personenbezogener Daten grundsätzlich zulässig sei. Die Datenschutzverstöße bezogen sich zudem nur auf das Forschungsfahrzeug und nicht auch etwa auf Serienfahrzeuge von Volkswagen.

Quellen: PM der LfD Niedersachsen vom 26. Juli 2022 – Getzestext der DS-GVO

König Kundendaten

Handbuch Kundendatenschutz

Der sichere Umgang mit Kundendaten ist heute in fast allen Unternehmen ein kritischer Erfolgsfaktor. Dabei bergen Unsicherheiten bei der datenschutzrechtlichen Beurteilung erhebliche Kosten- und Sanktionsrisiken. Auch erschwert die Komplexität technischer Vorgänge, etwa von Datenverarbeitungen oder im Online-Marketing, das Verständnis der entscheidenden Sachverhalte.

Wie Sie den Kundendatenschutz effizient und rechtssicher gestalten, zeigt Ihnen der erfahrene Datenschutzprofi Simon Menke mit vielen Beispielen und konkreten praktischen Handlungsempfehlungen.

Rechtliche Anforderungen nach DSGVO/BDSG, nach dem TTDSG und weiteren relevanten Regelungen (u.a. auch kartellrechtlich im Kontext von Online-Plattformen) sowie Folgen von Datenschutzverstößen

Technische und organisatorische Maßnahmen etwa im Direkt- und Onlinemarketing/-tracking, Umgang mit Datenpannen, Datentransfers in Drittländer, Bonität/Factoring/Inkasso u.v.m.

Dabei werden wichtige neue Praxisthemen detailliert behandelt: z.B. PIMS, Browser-Fingerprinting, RTB-Verfahren, der Einsatz von Facebook Custom Audiences sowie das „Privacy Sandbox Projekt“.

Hören Sie hier einen Interview-Podcast mit dem Autor Dr. Simon Menke.

Dr. Simon Menke: „Anonymiserungen wären beim Online-Tracking eine gute Alternative zur Einwilligung“

Verlagsprogramm

Weitere Nachrichten aus dem Bereich Recht

(ESV/cw)