2,5 Mio. Euro Bußgeld gegen Enérgya-VM
Unberechtigtes Sammeln personenbezogener Daten durch einen Drittdienstleister.

Die spanische Datenschutzbehörde reagierte auf eine Meldung der Polizei. Die AEPD untersuchte daraufhin das datenverarbeitende Unternehmen Nivalco. Dieses war Jahre zuvor vom Energieversorger Enérgya-VM (Energya) beauftragt worden und verarbeitete im Namen Energyas personenbezogene Daten.

Die Untersuchung ergab, dass Energya unter anderem keine angemessenen Risikoanalysen im Bezug auf die Datenverarbeitung seitens Nivalco durchgeführt hatte. Das Promotion-Unternehmen hatte Daten ohne Rechtsgrundlage und auf eine nicht-DSGVO-konforme Weise verarbeitet. Energya hatte auf diese Verstöße nur reagiert, aber nach Ansicht der AEPD trotz Kenntnis der Mißstände keine präventiven Maßnahmen zur Verhinderung der Verstöße getroffen und weiterhin an Nivalco als Auftragsverarbeiter für die Verarbeitung von Kundendaten festgehalten.

Nachtrag vom 19.09.2024:

Energya legte Einspruch gegen die Entscheidung ein, den die AEPD ablehnte.