Bei dem nachfolgend geschilderten Fall wurden gleich zwei Datenschutzverst\u00f6\u00dfe begangen und entsprechend von der franz\u00f6sischen Datenschutzbeh\u00f6rde CNIL (Commission Nationale de l\u00b4Informatique et des Libert\u00e9s) geahndet. <\/p>\n
Zum einen wurden Betroffene nicht \u00fcber die Datenverarbeitung informiert und zum anderen fehlt die Vereinbarung \u00fcber die Auftragsverarbeitung mit dem eingebundenen Auftragsverarbeiter.<\/p>\n
Es handelte sich dabei um mehr als 200 betroffene europ\u00e4ische Personen des \u00f6ffentlichen Lebens, deren personenbezogene Daten zum Zweck der Lobbyarbeit gespeichert wurden. Ziel war es, eine weltweite Interessenvertretung bez\u00fcglich der Verwendung von Glyphosat zu sammeln und zu organisieren. \u2028\u2028Aus diesen Gr\u00fcnden wurde gegen Monsanto, einem amerikanischen Unternehmen der landwirtschaftlichen Biotechnologie, eine Geldstrafe in H\u00f6he von 400.000 Euro verh\u00e4ngt. <\/p>\n
Die Erf\u00fcllung der Informationspflichten aus Art. 13 DSGVO, die Sie gegen\u00fcber Ihren Mitarbeitern, Kunden, Lieferanten etc. erbringen, kennen Sie bereits. Dies umfasst personenbezogene Daten, die Sie direkt beim Betroffenen erhoben haben. <\/p>\n
Die Erf\u00fcllung der Informationspflichten aus Art. 14 DSGVO umfassen dagegen personenbezogene Daten, die Sie nicht beim Betroffenen erhoben, sondern aus einer anderen Quelle erhalten haben. Eine solche andere Quelle kann das Internet oder ein Adressh\u00e4ndler sein. <\/p>\n
Sollten Sie also Daten von Personen aus dem Internet oder einer sonstigen Quelle verarbeiten, geben Sie uns bitte Bescheid, damit wir Sie bei der Umsetzung der Informationspflichten unterst\u00fctzen k\u00f6nnen. Beachten Sie bitte, dass der Betroffene zum Zeitpunkt der Erhebung der Daten oder innerhalb einer angemessenen Frist (sp\u00e4testens nach einem Monat) \u00fcber die Verarbeitung und die weiteren Empf\u00e4nger informiert werden muss. <\/p>\n
Mehrere Medien enth\u00fcllten im Zuge der Glyphosat-Debatte, dass personenbezogene Daten von mehr als 200 Personen des \u00f6ffentlichen Lebens (Politiker, Wissenschaftler, Journalisten, etc.) durch das Unternehmen Monsanto in einem Dateisystem verarbeitet wurden. Zu den betroffenen Daten geh\u00f6ren die Stellenbeschreibung, berufliche E-Mail-Adresse, Telefonnummer, Twitter-Account sowie eine Bewertung zum Einfluss und zur Unterst\u00fctzung der Aktivit\u00e4ten von Monsanto. Sieben Beschwerden von Betroffenen gingen der franz\u00f6sischen Datenschutzbeh\u00f6rde CNIL dazu ein.<\/p>\n
\u2028Die Erstellung von solcherlei Kontaktdateien zum Zweck der Lobbyarbeit ist an sich nicht illegal. Die Betroffenen m\u00fcssen jedoch \u00fcber die Verarbeitung ihrer Daten gem. Art. 14 DSGVO informiert werden, damit diese ihr Widerspruchsrecht gegen die Verarbeitung wahrnehmen k\u00f6nnen. Die Aus\u00fcbung der Rechte der Betroffenen gem\u00e4\u00df Datenschutzgrundverordnung wurde demnach stark beeintr\u00e4chtigt. <\/p>\n
\u2028\u2028Zudem stellte die franz\u00f6sische Datenschutzbeh\u00f6rde einen Versto\u00df gegen Art. 28 DSGVO fest. Monsanto ist ein f\u00fcr die Verarbeitung Verantwortlicher, der Subunternehmen mit der Verarbeitung personenbezogener Daten beauftragt hat. Bei der Beauftragung von Auftragsverarbeitern ist eine Vereinbarung gem. Art. 28 DSGVO, ein sogenannter Auftragsverarbeitungsvertrag, zu schlie\u00dfen, der die wesentlichen Gew\u00e4hrleistungen zur Sicherheit der Datenverarbeitung beinhaltet. Dies wurde vers\u00e4umt. \u2028\u2028Durch die franz\u00f6sische Datenschutzbeh\u00f6rde wurden daraufhin Kontrollma\u00dfnahmen bei Monsanto und dem Auftragsverarbeiter durchgef\u00fchrt, um die Einhaltung der einschl\u00e4gigen gesetzlichen Regelungen zum Datenschutz und zur Informationstechnologie zu \u00fcberpr\u00fcfen.<\/p>\n