Probefahrtverträge und Ausweiskopien auf der Straße: Warum ein Automobilhändler 120.000 Euro Bußgeld zahlte
Ein aufmerksamer Bürger bemerkte, dass ein Entsorgungsfahrzeug auf dem Weg zum Entsorgungshof einen Teil seiner Papierladung auf der Fahrbahn verloren hatte. Die Polizei stellte fest, dass es sich um Dokumente eines ortsansässigen Automobilhändlers handelte, darunter Probefahrtverträge sowie Kopien von Personalausweisen und Führerscheinen von Kunden. Was wie ein unglücklicher Zufall wirkt, war das Ergebnis strukturell unzureichender technisch-organisatorischer Maßnahmen. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) verhängte ein Bußgeld von 120.000 Euro.
Was das Unternehmen gemacht hat und was schiefging
Der Automobilhändler fertigte bei Probefahrten zur Sicherheit Kopien des Personalausweises und Führerscheins der Entleihenden an und verwahrte diese zusammen mit den Probefahrtverträgen. Nach Rückgabe des Fahrzeuges sollten die Unterlagen zu einem späteren Zeitpunkt vernichtet werden. Das hausinterne Konzept sah vor, dass an jedem Arbeitsplatz zwei Behältnisse stehen: eines für normalen Papiermüll und eines für Datenmüll. Die Entsorgung des Datenmülls oblag ausschließlich den Mitarbeitenden, nicht dem Reinigungsunternehmen. Die Dokumente sollten in einem zentralen, geschlossenen Datenentsorgungscontainer an anderer Stelle im Betrieb entsorgt werden.
In der Praxis zeigte sich: Kopien von Personalausweisen und Führerscheinen lagen in offenen Müllbehältnissen an den Arbeitsplätzen. Der Weg zum zentralen Entsorgungscontainer war weit. An dem betreffenden Tag landeten die Unterlagen im gewöhnlichen Papiermüll, wurden vom Entsorgungsunternehmen aufgesammelt und fielen auf dem Weg zum Entsorgungshof auf die Straße. Wer die Dokumente in den falschen Behälter geworfen hat, ließ sich im Verfahren nicht ermitteln.
Warum eine Dienstanweisung nicht ausreicht
Das Unternehmen hatte eine klare interne Regelung zur Entsorgung, die aber in der Praxis nicht eingehalten wurde. Der LfDI BW stellt dazu klar: Eine Dienstanweisung, die die Verantwortung für die korrekte Entsorgung auf einzelne Mitarbeitende überträgt, reicht als technisch-organisatorische Maßnahme im Sinne von Art. 32 DS-GVO nicht aus, wenn die Infrastruktur selbst Anreize für Fehlverhalten schafft. Offene Arbeitsbehältnisse für Datenmüll an Arbeitsplätzen, kombiniert mit langen Wegen zum zentralen Entsorgungscontainer, sind eine offensichtliche Schwachstelle. Dokumente, die in offenen Behältnissen zwischengelagert werden, können jederzeit eingesehen, abfotografiert oder entnommen werden.
Das Entsorgungsunternehmen war nur für normalen Papiermüll zuständig und hatte mit der Datenmüllentsorgung ausdrücklich nichts zu tun. Dass ein solches Unternehmen beim Transport des normalen Papiermülls gelegentlich Dokumente verliert, ist eine vorhersehbare Möglichkeit. Die Offenlegung der Kundendaten ist dem Automobilhändler daher zuzurechnen, weil die unsichere Zwischenlagerung diese Möglichkeit erst eröffnet hat. Der LfDI BW sah darin einen zumindest fahrlässigen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f) DS-GVO. Das Bußgeld wurde wegen der Kooperation des Unternehmens auf 120.000 Euro reduziert.
Was das Unternehmen hätte besser machen müssen
Der LfDI BW nennt die Lösung: Datenmüll muss direkt am Arbeitsplatz in geschlossenen, gesicherten Behältnissen zwischengelagert werden. Lange Wege zu einem zentralen Container sind keine geeignete Maßnahme, wenn sie in der Praxis dazu verleiten, Datenmüll in den nächstgelegenen Papiermüll zu werfen. Für größere Unternehmen empfiehlt sich der Einsatz von Aktenvernichtern an jedem Arbeitsplatz oder zumindest die Bereitstellung geschlossener Datenmüllbehälter in unmittelbarer Nähe der Arbeitsplätze. Beauftragen Sie für die Datenmüllentsorgung ausschließlich zertifizierte Dienstleister nach DIN 66399 und schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO ab.
Unsere Empfehlungen
Unternehmen und KMU
Prüfen Sie, ob Ihre Datenmüllentsorgung die Realität des Arbeitsalltags berücksichtigt. Eine Regelung, die davon abhängt, dass alle Mitarbeitenden immer den richtigen Behälter nutzen, ist strukturell unsicher. Stellen Sie geschlossene Datenmüllbehälter direkt an den Arbeitsplätzen bereit, beauftragen Sie zertifizierte Aktenvernichter mit einem Auftragsverarbeitungsvertrag, und stellen Sie sicher, dass normales Reinigungspersonal keinen Zugang zu Datenmüll hat.
Behörden und öffentliche Stellen
Auch im öffentlichen Sektor entstehen regelmäßig Papierdokumente mit personenbezogenen Daten, etwa Ausweiskopien, Antragsunterlagen oder interne Protokolle. Die Entsorgung dieser Dokumente muss durch ein strukturell sicheres System gewährleistet werden, das nicht auf die lückenlose Disziplin einzelner Mitarbeitender angewiesen ist.
Gesundheitseinrichtungen
In Arztpraxen und Kliniken fallen täglich Papierausdrucke mit Gesundheitsdaten an. Eine unsichere Zwischenlagerung in offenen Mülleimern ist besonders kritisch. Rüsten Sie alle Arbeitsplätze mit Aktenvernichtern oder geschlossenen Datenmüllbehältern aus und schulen Sie Mitarbeitende regelmäßig zu den Anforderungen an die sichere Entsorgung.
Kanzleien und Freiberufler
Anwaltskanzleien und Steuerberatungsbüros verarbeiten regelmäßig besonders schutzwürdige Dokumente. Die Entsorgung dieser Unterlagen muss durch zertifizierte Dienstleister nach DIN 66399 erfolgen. Stellen Sie sicher, dass normale Reinigungsunternehmen keinen Zugang zu Datenmüll haben, und dokumentieren Sie die Vernichtung schriftlich.
Quelle: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks