EDPBI:FR:OSS:D:2021:310

Was passiert ist

Der beschlussfähige Ausschuss der CNIL verhängt nach einer Online- und einer Vor-Ort-Prüfung gegen einen Händler ein Bußgeld von 120.000 EUR. Das Unternehmen hatte für Kundendaten keinerlei Löschfristen definiert und hielt Daten hunderttausender Konten (teils ohne je eine Bestellung, teils seit Jahren inaktiv) in der aktiven Datenbank vor. Löschgesuche wurden nur durch Deaktivierung des Kontos 'beantwortet', die Daten blieben erhalten; die Datenschutzinformation nannte nicht alle Verarbeitungsziele und Rechtsgrundlagen; mit Auftragsverarbeitern waren teils keine geeigneten Verträge geschlossen; und gehashte Passwörter waren durch fehlenden Schutz gegen Brute-Force-Angriffe nach Kompromittierung der Server nicht angemessen gesichert. Festgestellt wurden Verstöße gegen Art. 5 Abs. 1 lit. e, Art. 13, 17, 28 und 32 DSGVO; wegen inzwischen erfolgter Anpassungen unterblieb eine Abhilfeanordnung.

Verfahrensgang

1. 30.12.2021 — Behörde
   festgesetzt · 120.000,00 €
   Art. 5Art. 13Art. 17Art. 28Art. 32

   Name des Adressaten, dessen Website und Umsatzzahlen sind in der veröffentlichten Fassung geschwärzt; Branche (Handel/E-Commerce) aus dem Sachzusammenhang. Das Unternehmen beruft sich auf seine schlechte finanzielle Lage (Umsatz ca. 23 bzw. 30 Mio. EUR, Nettoverluste) - der Ausschuss setzte die Strafe entsprechend niedrig an. Keine Verletzung von Art. 6 als eigenständigem Verstoß festgestellt; die im Register genannten Artikel entsprechen dem Bescheid.

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2022-02/fr_2021-12_decisionpublic.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:FR:OSS:D:2021:310 vorschlagen.