EDPBI:DE:OSS:D:2020:139

Was passiert ist

Ein Unternehmen versandte auf Auskunftsersuchen nach Art. 15 DSGVO passwortgeschützte Dateien mit hochempfindlichen Nutzerdaten (u. a. Ausweiskopien, PayPal-Daten, Kontodaten) und übermittelte das Entschlüsselungspasswort wenige Minuten später in einer lediglich transportverschlüsselten E-Mail; das Passwort folgte zudem dem Schema „Vorname Nachname123“. Nachdem die Landesdatenschutzbehörde dieses Verfahren bereits für andere Webseiten des Unternehmens als Verstoß gegen Art. 32 DSGVO bewertet hatte, wurde es dort geändert, für die hier betroffenen Webseiten aber erst acht Monate später angepasst. Wegen der vorsätzlichen Fortsetzung über 81 Betroffene hinweg verhängte die Behörde eine Geldbuße von 300.000 EUR.

Verfahrensgang

1. 25.09.2020 — Behörde
   festgesetzt · 300.000,00 €
   Art. 32

   Dokument durchgängig mit Schwärzungen/unkenntlichem Text (pdftotext lässt Namen als Lücken erscheinen): Adressat nicht rekonstruierbar, daher subject_name null; erkennbar nur juristische Person (Unternehmen als Verantwortlicher). Vor der Geldbuße zusätzlich Kosten des Bußgeldverfahrens (Gebühren EUR 7.500,00, Auslagen EUR 3,50; Gesamtzahlung EUR 307.503,50) – in fine_amount nur die Geldbuße von EUR 300.000,00 erfasst. Originalbehörde deutsch (Verweis auf BDSG/OWiG, 'LDA'), vorliegende Bescheidfassung englischsprachig. Datum 2020-09-25 steht als 'Date' auf dem Deckblatt der abschließenden Entscheidung; Register stimmt überein. Der Feststellungstext nennt teilweise nur 'Art. 32 (1) (a), (2)'; Register führt allein Artikel 32 ohne Absatz.

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2021-08/debb_2020-09_data_security_decisionpublic_redacted.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:DE:OSS:D:2020:139 vorschlagen.