EDPBI:LT:OSS:D:2021:298

Was passiert ist

Die litauische Aufsichtsbehörde erfuhr über eine öffentlich zugängliche Datenbank von einem Vorfall, bei dem personenbezogene Daten von 110.302 Kunden - darunter Namen, Adressen, Telefonnummern, E-Mail-Adressen, Personenidentifikationsnummern, Führerscheinnummern und Zahlungskartendaten - seit dem 27. Februar 2018 ungeschützt abrufbar waren; der externe Zugriff wurde erst am 16. Februar 2021 gesperrt. Die Daten lagen unverschlüsselt vor, Passwörter waren nur schwach mit SHA-1 gesichert, Zugriffsrechte und Protokollierung fehlten. Die Behörde stellte Verstöße gegen Art. 32(1)(a), (b) und (d) sowie gegen die Verantwortungspflicht nach Art. 24(1) DSGVO fest (u. a. keine Benennung einer verantwortlichen Person für Sicherheit und Risikomanagement, mangelnde Aufgaben trennung) und verhängte eine Buße von EUR 110.000.

Verfahrensgang

1. 29.11.2021 — Behörde
   festgesetzt · 110.000,00 €
   Art. 24Art. 32

   Es liegt nur eine öffentliche Zusammenfassung ('Summary Final Decision Art 60') der Entscheidung vor, nicht der Volltext; der Controller wird nicht namentlich genannt, seine Branche ist der Zusammenfassung nicht zu entnehmen (Hinweise auf Zahlungsabwicklung sprechen für Online-Handel, das Dokument benennt sie aber nicht - daher null). Register listet zusätzlich Art. 33 und 34; nach der Zusammenfassung hatte der Controller zwar eine Meldung abgegeben und eine Verstoßanalyse nach Art. 33(3) durchgeführt, Verstöße gegen Art. 33 oder 34 werden jedoch nicht festgestellt - die Feststellungen betreffen nur Art. 24(1) und Art. 32(1).

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2022-03/lt_2021-11_summarypublic.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:LT:OSS:D:2021:298 vorschlagen.