Die polnische Datenschutzaufsichtsbehörde UODO hat ein europaweit bedeutsames Exempel statuiert: Auf der Basis von Art.14 DSGVO hat sie ein Bußgeld in Höhe von 220.000 EUR wegen der Verletzung der Informationspflicht verhängt. Das betroffene Unternehmen Bisnode ist ein Anbieter von Wirtschaftsinformationen.
Das Unternehmen verarbeitet Unternehmensdaten aus öffentlich zugänglichen Quellen. In seinen Datenbanken sind die Unternehmensdaten von rund 6 Millionen Einzelunternehmern, darunter 2,3 Millionen ehemalige Geschäftsleute. Diese Personen wurden überwiegend nicht über die Datenverarbeitung informiert. Nur 90.000 Betroffene, deren E-Mail-Adressen vorlagen, erhielten eine E-Mail nach Art. 14 DSGVO.
Bei allen anderen verfügte Bisnode nur über Adressen und/oder Telefonnummern. Ihre Benachrichtigung per Brief hätte nach Angaben des Unternehmens fast 8 Millionen Euro gekostet und unterblieb deshalb. Dass Bisnode auf seiner Website über die Datenverarbeitung informierte, genügt den Anforderungen des Art. 14 DSGVO nicht. Eine Ausnahme von der Informationspflicht wegen unverhältnismäßigen Aufwandes nach Art. 14. Abs. 5 b DSGVO sah die Datenschutzbehörde nicht als gegeben an, da die Daten der Personen vorlagen und nicht erst ermittelt werden mussten.
Von den 90.000 Betroffenen, die informiert wurden, haben rund 12.000 Personen Widerspruch gegen die Datenverarbeitung eingelegt. Das zeige, so OUDO, wie wichtig die Erfüllung der Informationspflichten im Einklang mit der DSGVO für die Rechtsausübung der Betroffenen sei.
Strafverschärfend wirkte sich aus, dass das Unternehmen sich der Verpflichtung bewusst war und die Nichterfüllung unter anderem auf Kostengründen basierte. Dies sei besonders negativ zu bewerten, weil das Unternehmen sein Geschäft auf Grundlage der fremden Daten professionell betreibe. Von einem Unternehmen, das sein Geschäftsmodell in der Datenverarbeitung sieht, sei zu verlangen, dass es keine Kosten und Mühen scheut, seine geschäftliche Tätigkeit gesetzeskonform auszugestalten.
Die UODO sprach die Hoffnung aus, dass das Urteil abschreckende Wirkung entfalten wird und bei den Unternehmen die Botschaft ankommt, dass Datenschutz ernst genommen werden muss.