Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in seinem kürzlich veröffentlichten Tätigkeitsbericht für das Jahr 2023 eine bemerkenswerte Feststellung verkündet: Die Behörde hat eine Rekordzahl an Bußgeldern verhängt seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO). Die Gesamtsumme dieser Sanktionen beläuft sich auf rund 3,8 Millionen Euro, wobei ein erheblicher Anteil auf ein einzelnes Technologieunternehmen entfällt. Diese Entwicklung verdeutlicht die verstärkte Durchsetzung der Datenschutzvorschriften in Bayern.
Im Bericht des BayLDA werden jedoch keine spezifischen Informationen über die genauen Beträge der Strafen offenbart. Traditionell zeigt sich die Behörde zurückhaltend, insbesondere bei Fällen, die Privatpersonen betreffen, oder wenn es sich lediglich um geringfügige Strafen handelt. Das Beispiel des jüngsten Berichts unterscheidet sich jedoch, da das verhängte Bußgeld erheblich höher liegt als die zusammengefassten Beträge der im Bericht erwähnten Vorfälle.
Die Aufgaben des BayLDA umfassen die Aufsicht über den Datenschutz im nicht-öffentlichen Bereich in Bayern. In diesem Bundesland ist die Datenschutzaufsicht zwischen zwei Behörden aufgeteilt: Das BayLDA kümmert sich um die Privatwirtschaft, während der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) den öffentlichen Sektor überwacht. Diese Aufteilung findet ihre Grundlage in den Regelungen der DSGVO sowie im Bayerischen Datenschutzgesetz, das diese duale Struktur seit jeher ermöglicht.
Von besonderem Interesse im aktuellen Bericht ist das Bußgeld von rund 3,2 Millionen Euro, das gegen ein Technologiekonzern verhängt wurde. Dem Unternehmen wurde vorgeworfen, personenbezogene Daten ohne wirksame Einwilligung für Marketingzwecke verarbeitet zu haben. Diese Praxis war in Verbindung mit einem US-amerikanischen Technologietool durchgeführt worden, bei dem regelmäßig Daten in ein Drittland übermittelt wurden. Trotz mildernder Umstände, wie der Kooperation mit der Behörde und der Bereitschaft, die Datenschutzpraktiken zu verbessern, hielt die Behörde die verhängte Sanktion aufgrund der Schwere der Verstöße als angemessen.
Der Fall demonstriert die wachsende Entschlossenheit der Datenschutzbehörden, Verstöße ernsthaft zu verfolgen und stellt Unternehmen vor die Verantwortung, ihre Datenschutzrichtlinien streng zu überwachen. Insbesondere für Unternehmen in hochregulierten Technologiebereichen bietet dieser Bericht wertvolle Erkenntnisse und betont die Notwendigkeit, eine wirksame Compliance-Struktur zu etablieren, um gesetzliche Anforderungen nicht nur formell, sondern auch in der Praxis zu erfüllen.
