Das erste in Polen gegen die polnische Tochtergesellschaft der EU-weit agierenden Aktiengesellschaft Bisnode AB verhängte Bußgeld beträgt ca. EUR 220.000. Diese Strafe löste viele Kontroversen aus, die Expertenmeinungen sowie Pressestimmen gehen dabei stark auseinander.
Wegen Nichterfüllung von Informationspflichten nach Art. 14 DSGVO hat die polnische Datenschutzaufsichtsbehörde ein Bußgeld in Höhe von ca. 220.000 Euro dem Unternehmen Bisnode Polska – einem großen Anbieter für digitale Wirtschaftsinformationen, Bonitätsprüfung, Kreditauskünfte sowie Firmendatenbanken mit Unternehmens- und Personeninformationen – auferlegt.
Über 7 Mio. Datensätze aus öffentlichen Quellen, beispielsweise dem polnischen Handelsregister oder dem Zentralregister der Wirtschaftlichen Tätigkeit hatte das Unternehmen verarbeitet. Die gesammelten Daten wurden in einer Datenbank erfasst und für kommerzielle Zwecke verwendet.
Da die Angabe der E-Mail-Adresse im entsprechenden Register freiwillig war, hatte das Unternehmen seine Informationspflicht aus Art. 14 DSGVO nur gegenüber einigen wenigen Personen ausgeübt von denen die E-Mail-Adresse vorlag. Das Unternehmen verzichtete darauf, weitere Personen per Post oder Telefon zu informieren und veröffentlichte stattdessen eine Informationsklausel auf der Unternehmens-Website. Somit war vielen betroffenen Personen die kommerzielle Verarbeitung ihrer Daten durch das Unternehmen nicht bekannt. Dies stellte einen Verstoß gegen die Informationspflichten laut der polnischen Datenschutzaufsichtsbehörde dar.
Eine Bereitstellung von Informationen auf der Website des Unternehmens wurde als unzureichend angesehen, da die betroffenen Personen keine Kenntnis von der Verarbeitung ihrer Daten durch das Unternehmen hatten. Zudem wurde eine vorsätzliche Verletzung, da sich das Unternehmen ihrer Informationspflichten durchaus bewusst war, sowie eine unzureichende Kooperation mit den Datenschutzaufsichtsbehörden bemängelt.
Unverhältnismäßiger Aufwand vs. Betroffenenrechte?
Aus der Sicht des Unternehmen stellt die aktive Informationserteilung per Post aufgrund der zu hohen Kosten einen unverhältnismäßigen Aufwand dar. Tatsächlich sieht Art. 14 Abs. 5 lit. b DSGVO eine Ausnahme der Informationspflicht für solche Fälle vor, in denen sich die Erteilung der Information als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde.
Die Aufsichtsbehörde hielt hingegen eine Informationserteilung per einfachen Brief für ein Unternehmen, das personenbezogene Daten zu kommerziellen Zwecken verarbeitet, für zumutbar. Da die Mehrzahl der betroffenen Personen keine Möglichkeit hatte der kommerziellen Verarbeitung ihrer Daten zu widersprechen oder eine Berichtigung oder eine Löschung zu verlangen, stellt dies einen schwerwiegenden Verstoß gegen die Informationspflichten dar, so die Behörde.
Die Entscheidung der Behörde hat kontroverse Diskussionen ausgelöst
Die restriktive Entscheidung sowie die Bußgeldhöhe werden stark kritisiert. Des Weiteren wird das Bußgeld als erstes symbolisches DSGVO-Bußgeld in Polen in Frage gestellt.
Im Gegensatz dazu sind viele Experten der Meinung, dass die Informationserteilung per einfachen Brief keinen unverhältnismäßigen Aufwand darstellt. Ein Unternehmen, dass seit Jahren personenbezogene Daten zur kommerziellen Zwecken verarbeitet und damit Gewinne erzieht, sollte in der Lage sein die Aufwendungen für die Erfüllung der Informationspflichten nach DSGVO zu tragen.
Die Bisnode Polska möchte gegen die Entscheidung gerichtlich vorgehen. Sollte der Rechtsstreit bis zum EuGH kommen, so wird die Entscheidung europaweite Bedeutung haben.