Eine routinemäßige Aufsichtsmaßnahme der kroatischen Datenschutzbehörde AZOP wurde für ein Immobilienbüro zum teuren Weckruf: Die Behörde sprach ein Bußgeld in Höhe von 100.000 Euro aus. Auslöser war kein Datenleck oder Hackerangriff – sondern fast 12.000 Formulare, die schlicht niemand je gelöscht hatte.
Der Fall zeigt: Die größte Datenschutzgefahr im Unternehmensalltag ist nicht nur „böser Wille“, sondern genauso schleichende Nachlässigkeit und strukturelles Organisationsversagen.
Was war passiert?
Im Rahmen einer Aufsichtsmaßnahme prüfte die Datenschutzbehörde die Datenverarbeitungspraktiken eines Immobilienbüros. Dabei wurden drei wesentliche strukturelle Verstöße gegen die DSGVO festgestellt.
Verstoß 1: 14 Jahre altes Archiv – und niemand hat gelöscht
Im physischen Archiv des Unternehmens fanden die Prüfer insgesamt 11.887 Formulare – darunter Immobilienmaklerverträge, Mietverträge und Maklerlisten. Die ältesten Unterlagen stammten aus dem Jahr 2010, die jüngsten aus 2019. Für all diese Datensätze war der ursprüngliche Verarbeitungszweck längst weggefallen – die Daten wurden dennoch weiter aufbewahrt.
Dies verstößt gegen Art. 5 Abs. 1 lit. e DSGVO – den Grundsatz der Speicherbegrenzung. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Ist dieser Zweck erfüllt oder entfallen, sind die Daten – sofern keine gesetzlichen Aufbewahrungspflichten bestehen – zu löschen.
Lehre daraus: Jedes Unternehmen benötigt ein funktionierendes Löschkonzept, das klar regelt, welche Daten wie lange aufbewahrt werden dürfen – und wann sie zu löschen sind.
Verstoß 2: Ausweiskopien, Bankkarten, Krankenversicherungskarten – ohne Rechtsgrundlage
In denselben Archivunterlagen fanden die Prüfer 914 Kopien von Ausweisdokumenten und Zahlungsmitteln, darunter:
- 898 Personalausweiskopien
- 6 Reisepasskopien
- 3 Bankkartenkopien
- 1 Krankenversicherungskartenkopie
- 1 Personalausweiskopie eines minderjährigen Kindes
- 2 Führerscheinkopien
- 2 ausländische Reisepasskopien
- 1 Aufenthaltserlaubniskopie
Für keine dieser Kopien konnte das Unternehmen eine Rechtsgrundlage nachweisen. Dies verstößt gegen Art. 6 Abs. 1 DSGVO in Verbindung mit dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.
Besonders brisant: Der Geschäftsführer gab bei der Prüfung an, keine Bankkartenkopien zu sammeln – obwohl genau diese in den Unterlagen enthalten waren. Ein klares Zeichen dafür, dass er keinen Überblick über die tatsächlichen Verarbeitungspraktiken seiner Mitarbeitenden hatte.
Lehre daraus: Ausweiskopien und Finanzdokumente dürfen nur auf einer klaren Rechtsgrundlage verarbeitet werden. Im Regelfall ist für Immobilienvermittlungen keine Kopie des Personalausweises erforderlich – das Einsehen und Notieren der notwendigen Angaben reicht in den meisten Fällen aus. Wer dennoch Kopien anfertigt, muss dies rechtlich sauber begründen können.
Verstoß 3: Mitarbeiter unzureichend geschult und unbeaufsichtigt
Der dritte Verstoß betrifft die technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 4 DSGVO. Das Unternehmen hatte seine Mitarbeitenden weder ausreichend geschult noch hinreichend beaufsichtigt. Datenschutzschulungen wurden laut Prüfungsergebnis nur unregelmäßig und unzureichend durchgeführt.
Nach Art. 32 Abs. 4 DSGVO müssen Verantwortliche sicherstellen, dass alle Personen, die unter ihrer Aufsicht personenbezogene Daten verarbeiten, dies ausschließlich auf ihre Anweisung hin tun. Wer seine Mitarbeitenden nicht schult, verliert die Kontrolle über die eigenen Verarbeitungsprozesse – wie dieser Fall eindrücklich belegt.
Lehre daraus: Datenschutzschulungen sind keine einmalige Pflichtübung, sondern müssen regelmäßig, dokumentiert und nachweisbar durchgeführt werden. Gerade in Unternehmen, in denen Mitarbeiter regelmäßig mit sensiblen Kundendaten in Berührung kommen, ist dies unerlässlich.
Fahrlässigkeit statt Vorsatz – trotzdem 100.000 Euro
Ein bemerkenswerter Aspekt des Falls: Die Datenschutzbehörde stellte ausdrücklich fest, dass die Verstöße auf Fahrlässigkeit und nicht auf vorsätzlichem Handeln beruhten. Den betroffenen Personen entstand nachweislich kein konkreter Schaden. Dennoch erließ sie ein Bußgeld in Höhe von 100.000 Euro.
Dies verdeutlicht, dass es für eine empfindliche Strafe keines gezielten Angriffs auf Personendaten bedarf. Schon das strukturelle Versagen bei grundlegenden Datenschutzpflichten – fehlendes Löschkonzept, fehlende Rechtsgrundlagen, fehlende Mitarbeiterschulungen – reicht aus, um erhebliche Sanktionen auszulösen.
Fazit: Die Basics entscheiden
Dieser Fall ist kein Einzelfall. Viele Unternehmen, gerade im Mittelstand, haben über Jahre Daten gesammelt, Kopien angefertigt und Schulungen aufgeschoben, ohne sich der rechtlichen Konsequenzen bewusst zu sein. Die drei festgestellten Verstöße sind keine exotischen Randprobleme der DSGVO. Sie gehören zum absoluten Grundgerüst des Datenschutzes.
Die Botschaft der Behörde ist unmissverständlich: Wer die Basics nicht beherrscht, zahlt – auch ohne böse Absicht.
Drei Fragen, die sich jedes Unternehmen jetzt stellen sollte:
- Löschkonzept: Wissen wir, welche Daten wir wie lange aufbewahren dürfen – und löschen wir konsequent?
- Rechtsgrundlagen: Können wir für jede Kopie, jedes Dokument eine gültige Rechtsgrundlage nachweisen?
- Schulungen: Sind unsere Mitarbeiter nachweislich und regelmäßig im Datenschutz geschult?
Wer auch nur eine dieser Fragen nicht sicher mit „Ja" beantworten kann, sollte jetzt handeln – bevor es eine Behörde tut.
Keine Kommentare