DSGVO: Millionenbußgeld für Datenschutzverstoß bei Krankenkasse
Ein Datenschutzverstoß bei der AOK Baden-Württemberg zieht ein Bußgeld über 1.240.000 Euro nach sich: Der Landesdatenschutzbeauftragte Stefan Brink hat das Bußgeld im Rahmen der Datenschutzgrundverordnung (DSGVO) verhängt(öffnet im neuen Fenster) . Die Krankenkasse hatte zwischen 2015 und 2019 zu unterschiedlichen Anlässen Gewinnspiele veranstaltet und die so erhobenen personenbezogenen Daten teils widerrechtlich zu Werbezwecken verwendet.
Bei den besagten Gewinnspielen erhob die AOK personenbezogene Daten der Teilnehmer wie die Kontaktdaten und die Krankenkassenzugehörigkeit. Diese wollte die Krankenkasse auch zu Werbezwecken nutzen, sofern die Teilnehmer hierzu eingewilligt hatten. Die Daten von 500 Gewinnspielteilnehmern wurden laut Brink jedoch ohne eine entsprechende Einwilligung zu Werbezwecken verwendet.
Zwar habe die Krankenkasse versucht, dies über technische und organisatorische Maßnahmen wie interne Richtlinien und Datenschutzschulungen zu verhindern, erklärte Brink. Diese hätten jedoch nicht den gesetzlichen Anforderungen entsprochen. Verhindert hätten sie die missbräuchliche Verwendung der Daten ohnehin nicht.
Unmittelbar nach Bekanntwerden des Vorfalls habe die AOK alle vertrieblichen Maßnahmen eingestellt, um sämtliche Abläufe auf den Prüfstand zu stellen, schreibt die Datenschutzbehörde. In einer Kooperation mit dem Landesdatenschutzbeauftragten sei das Datenschutzniveau bei den Vertiebstätigkeiten der AOK erhöht worden.
Bei der Bußgeldbemessung seien die konstruktive Zusammenarbeit, die vorgenommenen Anpassungen sowie die andauernden Herausforderungen durch die Coronapandemie berücksichtigt worden, erklärte Brink. Die Bußgelder sollten nicht nur wirksam und abschreckend, sondern auch verhältnismäßig sein. "Wir streben keine besonders hohen Bußgelder, sondern ein besonders gutes und angemessenes Datenschutzniveau an," betonte der Datenschützer. Brink lobte zugleich die konstruktive Zusammenarbeit mit der Krankenkasse, welche "die Weichen für eine Verbesserung der technischen und organisatorischen Maßnahmen zum Schutz persönlicher Daten" gestellt habe.