240.832 Euro Bußgeld gegen ID Finance Poland Sp. z o.o.
Inadäquate Schutzmaßnahmen und verzögerte Benachrichtigung nach Datenpanne mit hohem Risiko.

Bei dem Bußgeldempfänger handelt es sich um ein Finanzinstitut, welches über die Website moneyman.pl Kredite vergibt. Die polnische Datenschutzbehörde verhängte das Bußgeld, nachdem es beim Verantwortlichen zu einer Datenpanne gekommen war, bei der unautorisierte Dritte auf die vom Unternehmen verarbeiteten personenbezogenen Daten von 140.699 Kunden zugegriffen hatten, die auf der Website registriert waren. Zu den abgegriffenen Daten gehörte der Name, der Bildungsgrad, die E-Mail-Adresse, die Beschäftigungsverhältnisse, das Gehalt, der Familienstand, die Telefonnummer, die Sozialversicherungsnummer, die Nationalität, die Steuernummer, das Accountpasswort, der Geburtsort, die postalische Adresse sowie die Kontonummer der Betroffenen.

Gekommen war es zu dem Vorfall aufgrund des manuellen Neustarts eines Servers, auf dem die betroffenen Daten gespeichert waren, der von einem Mitarbeiter des von dem Beklagten beauftragten Serverproviders IDFT nach Betriebsproblemen durchgeführt wurde. Dieser führte, anders als der übliche automatisierte Neustart, bei dem Einstellungen übernommen werden, zur Zurücksetzung der Sicherheitssoftware und machte die Daten öffentlich zugänglich. So konnten diese von Cyber-Kriminellen abgegriffen und vom Server gelöscht werden, die nun im Gegenzug für eine Aushändigung der gestohlenen Daten eine Zahlung verlangen.

Wie die Datenschutzbehörde feststellte, hatte der Verantwortliche unzureichende technische und organisatorische Maßnahmen umgesetzt, um den Schutz der Verarbeitung zu gewährleisten, obwohl für die Betroffenen aufgrund der Art der verarbeiteten Daten ein hohes Risiko bestand. Ebenso hatte das Unternehmen die zuständige Datenschutzbehörde nicht fristgemäß in adäquatem Umfang über den Vorfall informiert.