Rekordverdächtige DSGVO-Strafe in Ungarn: 290.000 EUR wegen mangelnder Webseiten-Sicherheit

Keine Frage, ein Verstoß gegen Datenschutzgesetze kann teuer werden: Das musste auch das ungarische Telekommunikationsunternehmen Digi schmerzhaft erfahren, denn es wurde mit einem rekordverdächtigen DSGVO-Bußgeld in Höhe von 290.000 EUR belegt – die höchste von der ungarischen Datenschutzbehörde (NAIH) verhängte Strafe bisher.

Wie kam es dazu?

Ein Hacker hatte sich Zugang zu zwei Datenbanken von Digi verschafft, die u.a. persönliche Daten von Abonnenten enthielten – eine Schwachstelle der Webseite, die zwar seit Jahren bekannt, aber trotzdem nicht behoben worden war. In einer der beiden Datenbanken des Unternehmens wurden persönliche Daten von Kunden (bis zu 800.000 Haushalte in Ungarn) gespeichert, die nicht verschlüsselt waren und laut NAIH für Identitätsdiebstahl hätten verwendet werden können. Die genaue Anzahl der von dem Vorfall betroffenen Personen gab die Behörde allerdings nicht bekannt. Einiges deutet aber laut des Urteils darauf hin, dass die Datenmenge relativ hoch gewesen sein muss.

Bernulius / shutterstock.com

Im Falle von Digi entspricht das Bußgeld von 100 Millionen HUF (ca. 290.000 EUR) etwa 0,2% des Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr. Generell gilt: Verstöße gegen die DSGVO werden in der Regel mit bis zu 4% des weltweiten Jahresumsatzes geahndet.

Mehr zu allen Geldbußen, die Datenschutzbehörden innerhalb der EU aufgrund von Verstößen gegen die DSGVO bisher verhängt haben, finden Sie im Enforcement Tracker. 

Wichtig zu wissen: Es muss nicht erst der Ernstfall (z.B. Datenklau) eintreten, damit Ihr Unternehmen abgemahnt werden kann. Die bloße Existenz einer Sicherheitslücke oder das unrechtmäßige Speichern von Nutzerdaten sind beispielsweise bereits Grund genug, um mit einem erheblichen DSGVO-Bußgeld belegt zu werden. 

Was nun?

⇨ Prüfen Sie zunächst, welche Daten von Ihrem Unternehmen zu welchem Zweck – und vor allem auf welcher rechtlichen Grundlage – gespeichert werden. Um auf der sicheren Seite zu sein, könnte es sinnvoll sein, mehrere verschiedene Datenbanken zu erstellen, die für jeden Zweck klar getrennt sind. Weitere Tipps zur Gestaltung einer DSGVO-konformen Customer Journey finden Sie hier 

Um ein Datenleck zu identifizieren, braucht man nicht unbedingt einen professionellen Hacker. Viele DSGVO-Verstöße können bereits mit einfachen technischen Mitteln von Ihren Webseitenbesuchern oder Mitbewerbern aufgedeckt werden.

Falls es zu einer Abmahnung kommt, können Sie nicht darauf vertrauen, dass Ihnen die Behörden mildernde Umstände gewähren. Denn selbst wenn Sie voll und ganz kooperieren, werden Sie nicht um ein Bußgeld herum kommen oder einen niedrigeren Betrag bezahlen müssen. Das zeigt auch der Fall Digi: Hier hatte das Unternehmen den Datenschutzverstoß sogar selbst innerhalb der 72-Stunden-Frist den Behörden gemeldet und das Leck behoben sowie die unrechtmäßig gespeicherten Daten gelöscht. Trotzdem wurde das Bußgeld in voller Höhe erlassen. 

Was nun?

⇨ Vorsicht ist also besser als Nachsicht. Lassen Sie Ihr System überprüfen – wenn möglich von Experten außerhalb Ihres Unternehmens. Denn da diese nicht an der Einrichtung Ihrer Datenbank beteiligt waren, haben sie meist einen deutlich objektiveren Blick auf die ganze Angelegenheit. 

Wenn Sie Nutzerdaten sammeln, speichern und für Marketingzwecke verwenden wollen, müssen Sie laut DSGVO zunächst die Zustimmung Ihrer Webseitenbesucher einholen. 

Was nun?

⇨ Eine einfache und vor allem gesetzeskonforme Art dies zu tun, ist über eine so genannte „Consent Management Platform (CMP)“.  

Sie möchten mehr über die Usercentrics CMP erfahren?