Aufsichtsbehörde verhängt Bußgeld in Höhe von 195.407 Euro gegen Delivery Hero

“Die Ver­hän­gung der Geld­bu­ße im Fal­le von Deli­very Hero zeigt ein­mal mehr, dass es den Auf­sichts­be­hör­den ernst ist mit der Ein­hal­tung der Regeln zum Daten­schutz.” – Mar­kus Spöhr

Wie der Pres­se­mit­tei­lung der Ber­li­ner Daten­schutz­be­auf­trag­ten zu ent­neh­men ist, ahn­de­te die­se meh­re­re daten­schutz­recht­li­che Ein­zel­ver­stö­ße des Unter­neh­mens Deli­very Hero. Ins­be­son­de­re ging es um die Ver­nach­läs­si­gung der gesetz­li­chen Betrof­fe­nen­rech­te der Arti­kel 12 bis 23 DSGVO. Hier­zu zäh­len unter ande­rem das Recht auf Aus­kunft über die Ver­ar­bei­tung der eige­nen Daten, das Recht auf Löschung der Daten und das Recht auf Widerspruch.

Meh­re­re Beschwer­den Betroffener

Der Lie­fer­dienst hat­te in zehn Fäl­len die per­so­nen­be­zo­ge­nen Daten ehe­ma­li­ger Kun­din­nen und Kun­den nicht gelöscht, obwohl die­se seit dem Jahr 2008 nicht mehr auf der Platt­form aktiv waren. Wider­sprü­che gegen den Ver­sand von uner­wünsch­ten Werbe-E-Mails wur­de nicht aus­rei­chend nach­ge­gan­gen. In einem Fall hat­te ein Betrof­fe­ner, nach­dem er der Nut­zung sei­ner Daten für Wer­be­zwe­cke aus­drück­lich wider­spro­chen hat­te, 15 wei­te­re Werbe-E-Mails erhal­ten. Acht wei­te­re ehe­ma­li­ge Kun­den beschwer­ten sich eben­falls über uner­wünsch­te Werbe-E-Mails bei der Daten­schutz­auf­sicht. Dar­über hin­aus wur­den 5 Fäl­le bekannt, in denen die gefor­der­te Beaus­kunf­tung nicht oder erst nach Auf­for­de­rung durch die Auf­sichts­be­hör­de erteilt wurde.

Stan­den in der Ver­gan­gen­heit die meis­ten Geld­bu­ßen in Ver­bin­dung mit einer Daten­pan­ne, wur­de im vor­lie­gen­den Fall die Geld­bu­ße auf­grund der Ver­nach­läs­si­gung der Betrof­fe­nen­rech­te erlas­sen. Die Betrof­fe­nen­rech­te sind für den Ein­zel­nen essen­ti­ell, wenn es dar­um geht sein Grund­recht auf infor­ma­tio­nel­le Selbst­be­stim­mung durch­zu­set­zen. Dem Gesetz­ge­ber war es hier­bei ein beson­de­res Anlie­gen die Rech­te des Ein­zel­nen in der Daten­schutz­grund­ver­ord­nung zu stär­ken. Umso wich­ti­ger ist es also, dass Unter­neh­men sowohl tech­ni­sche als auch orga­ni­sa­to­ri­sche Maß­nah­men bereit­stel­len, um einen aus­rei­chen­den Daten­schutz zu gewährleisten.

Kein aus­rei­chen­des Datenschutzmanagementsystem

Laut Anga­ben von Deli­very Hero waren tech­ni­sches Ver­sa­gen und Mit­ar­bei­ter­ver­se­hen der Grund für die Daten­schutz­ver­let­zun­gen. Die Häu­fig­keit der Beschwer­den der Betrof­fe­nen legt jedoch wohl nahe, dass von einem struk­tu­rel­len Orga­ni­sa­ti­ons­pro­blem aus­zu­ge­hen war. Trotz mehr­fa­cher Hin­wei­se durch die Auf­sichts­be­hör­de, war Deli­very Hero nicht in der Lage oder Wil­lens, den Rech­ten der Betrof­fe­nen aus­rei­chend nach­zu­kom­men. Die Ein­füh­rung eines Daten­schutz­ma­nage­ment­sys­tems hät­te hier gege­be­nen­falls Abhil­fe schaf­fen können.

Zur Deli­very Hero Ger­ma­ny GmbH gehö­ren die Mar­ken Lie­fer­held, Pizza.de und foodo­ra. Die­se wur­den am 1. April 2019 von dem nie­der­län­di­schen Kon­zern Takeaway.com über­nom­men. Die Daten­schutz­ver­stö­ße lagen hier­bei alle vor der Über­nah­me. Takeaway.com hat die Buß­geld­be­schei­de anstands­los akzep­tiert und legt kei­ne Rechts­mit­tel ein. Nach eige­ner Aus­sa­ge lege das Unter­neh­men selbst gro­ßen Wert auf den Daten­schutz und wol­le die Ereig­nis­se zum Anlass neh­men, die inter­nen daten­schutz­recht­li­chen Pro­zes­se gründ­lich zu prüfen.

Wei­te­re Geld­bu­ßen folgen

Die Ver­hän­gung der Geld­bu­ße im Fal­le von Deli­very Hero zeigt ein­mal mehr, dass es den Auf­sichts­be­hör­den ernst ist mit der Ein­hal­tung der Regeln zum Daten­schutz. Die Ber­li­ner Daten­schutz­be­hör­de hat in die­sem Kon­text ange­kün­digt, Buß­gel­der in zwei­stel­li­ger Mil­lio­nen­hö­he zu verhängen.

In der Pres­se­mit­tei­lung wen­det sich die Ber­li­ner Beauf­trag­te für Daten­schutz und Infor­ma­ti­ons­frei­heit Frau Maja Smolt­c­zyk unter ande­rem mah­nend an ande­re Unternehmen:

„Ich hof­fe, dass die­se Buß­gel­der auch auf ande­re Unter­neh­men eine mah­nen­de Wir­kung ent­fal­ten. Wer mit per­so­nen­be­zo­ge­nen Daten arbei­tet, braucht ein funk­tio­nie­ren­des Daten­schutz­ma­nage­ment. Das hilft nicht nur, Buß­gel­der zu ver­mei­den, son­dern stärkt auch das Ver­trau­en und die Zufrie­den­heit der Kundschaft.“

Live-Ticker für Geldbußen 

Wer sich dafür inter­es­siert, wel­che Buß­gel­der wegen Daten­schutz­ver­stö­ßen auf natio­na­ler als auch inter­na­tio­na­ler Ebe­ne erlas­sen wer­den, kann sich über die Web­site http://www.enforcementtracker.com auf dem Lau­fen­den hal­ten. Der Enforce­ment Tra­cker ist ein Dienst der Kanz­lei CMS Hasche Sig­le und lis­tet zeit­nah alle Geld­bu­ßen wegen Daten­schutz­ver­let­zun­gen in Europa.