Keine Löschmöglichkeit vorgesehen

In dem Bußgeld-Bescheid vom Herbst 2019 ging es in erster Linie um das Archivsystem der Deutsche Wohnen SE. Hier hatte das Team der Datenschutz-Beauftragten Maja Smoltczyk bereits im Juni 2017 jede Menge nicht mehr benötigte sensible Informationen gefunden. Über Jahre hinweg wurden demnach Gehaltsbescheinigungen, Selbstauskünfte, Konto-Auszüge und Versicherungsdaten der Mieterinnen und Mieter gespeichert. Dabei gab es dafür laut Smoltczyk weder Anlass noch Rechtsgrundlage. Tatsächlich bot das Archivierungsprogramm nicht einmal die Möglichkeit, ältere Daten zu entfernen. Schon damals sprach die Datenschutz-Beauftragte eine dringende Empfehlung aus, das System umzustellen.

Smoltzcyk kritisiert „Datenfriedhof“

Beim nächsten Vor-Ort-Besuch im März 2019 stellte die Behörde zwar fest, dass die Deutsche Wohnen Vorbereitungen für eine Änderung vorgenommen hatte. Ein rechtmäßiger Zustand allerdings war in den vergangenen zwei Jahren nicht hergestellt worden. Und das, obwohl die DSGVO zu diesem Zeitpunkt bereits neun Monate lang anwendbar war. Auf genau dieses Dreivierteljahr bezog sich dann auch der Bußgeldbescheid: Wegen Verstößen gegen Artikel 25 Absatz 1 und Artikel 5 zwischen Mai 2018 und März 2019 sollte das Unternehmen 14,5 Millionen Euro bezahlen. Smoltczyk sprach damals von einem eklatanten Verstoß gegen den Datenschutz.

Unternehmen widerspricht

Die Höhe des Bußgelds orientierte sich am Jahresumsatz der Deutsche Wohnen. Er lag laut Bescheid im Geschäftsjahr 2018 bei mehr als einer Milliarde Euro. Doch die Aktiengesellschaft legte Einspruch ein. Begründung: Der Konzern habe bereits 2017 Veränderungen eingeleitet, um alle Anforderungen der DSGVO zu erfüllen. Darüber hinaus betonte man, dass keinerlei Mieterdaten an Dritte außerhalb des Unternehmens gelangt seien. Der Bescheid müsse daher gerichtlich überprüft werden.

Fazit

Nun also vermeldet die Deutsche Wohnen, das Landgericht Berlin habe das Verfahren eingestellt. Demnach sei der „Bußgeldbescheid unwirksam“ gewesen. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit kann innerhalb einer Woche Beschwerde beim Kammergericht einlegen. Ob sie von dieser Möglichkeit Gebrauch machen wird, ist noch nicht bekannt.