Nicht aus Deutschland aber aus Polen gibt es ein Urteil gegen die Datenschutzbehörden.

Was war passiert? Bisnode, eine polnische Gesellschaft des weltweit tätigen Bisnode Konzerns, der Wirtschaftsauskünfte, insbesondere Kreditauskünfte, anbietet, kassierte ein Bußgeld in Höhe von 220.000 € von der polnischen Datenschutzbehörde. Bisnode hatte ca. 6.000.000 Datensätze von Unternehmern aus öffentlichen Quellen verarbeitet, aber nur die Unternehmer informiert, von denen auch eine E-Mail-Adresse vorlag (ca. 680.000 Personen). Alle anderen erhielten keine Nachricht. Bisnode sah den durch Postversand entstehenden Aufwand als unverhältnismäßig an und von der Information gem. Art. 14 DSGVO ab. Stattdessen platzierte Bisnode eine Information auf der eigenen Website.

Dieses Bußgeld wiederum kassierte das Provinzverwaltungsgericht Warschau mit Urteil vom 11.12.2019 (Az. II SA/Wa 1030/19) wegen Verfahrensfehlern. So werde die Höhe des Bußgeldes maßgeblich durch die konkrete Anzahl der betroffenen Datensätze bestimmt. Die Datenschutzbehörde sei einfach von 6.000.000 betroffenen Datensätzen ausgegangen, habe es aber nicht nachgewiesen, nachdem Bisnode dies bestritten hatte.

Zudem hatte die Datenschutzbehörde die Höhe des Bußgeldes mit allgemeinen, generalpräventiven Erwägungen begründet. Die DSGVO bestimme aber ausdrücklich, dass ein verhängtes Bußgeld mit dem konkret festgestellten Sachverhalt in Verbindung stehen müsse. Die Begründung reichte nicht aus.

Die Anforderungen für die Verhängung von Bußgeldern scheinen damit von den Gerichten höher angesetzt zu werden als es sich die Datenschutzbehörden dachten. Insbesondere der Grundsatz der Nachweispflicht für den Verantwortlichen gilt danach zumindest im Gerichtsverfahren nicht.

Möglicherweise erweist sich das Urteil aus Warschau aber als Danaergeschenk. Das Gericht nahm auch dazu Stellung, ob Bisnode alle Betroffenen hätte informieren müssen. Hier vertrat das Gericht die Ansicht, die hohen Kosten für den Postversand seien jedenfalls nicht mit einem unverhältnismäßigem Aufwand, der eine Datenschutzinformation nach der DSGVO erübrige, gleichzusetzen. Konkret: Bisnode hätte alle 6.000.000 Betroffenen über die Datenspeicherung informieren müssen, notfalls auch per Brief. Ob dies zu einer weiteren Welle verstopfter Briefkästen führt?