60.000 EUR Bußgeld wegen unverschlüsselter USB Sticks

Erstaunlich häufig nutzen Unternehmen noch immer USB-Sticks zur Speicherung und zum Transport von Daten. Da gerade ein USB Stick immer mit einem besonderen Verlustrisiko behaftet ist, gilt hier

Die spanische Datenschutz-Aufsichtsbehörde AEPD hat am 19.11.2019 ein Bußeld in Höhe von 60.000 EUR wegen  Verstößen gegen die DSGVO gegen die Corporación de Radio y Televisión Española verhängt.

Konkret geht es um 6 unverschlüsselte Wechseldatenträger (USB-Sticks), die im Zeitraum von November 2018 bis September 2019 abhanden gekommen waren und personenbezogene Daten, darunter sogar besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Informationen zu Behinderungen, strafrechtliche Verurteilungen, usw.) enthielten. Von dem Datenschutzvorfall waren etwa 11.000 Personen betroffen.

Grundsätzlich entspricht die Verschüsselung von personenbezogenen Daten dem sog. Stand der Technik und ist damit eine absolute Datenschutz-Standardanforderung. Der Stand der Technik ist zwar immer auch unter Berücksichtigung der wirtschaftlichen Angemessenheit zu beurteilen (ein Kleinbetrieb wird also regelmäßig nicht gezwungen sein, die Anforderungsniveau eines Großkonzerns zu erfüllen). Jedoch wäre im vorliegenden Beispiel bereits die Nutzung eines verschlüsselten USB Sticks (Amazon-Link) für ein paar EUR ausreichend, um der Anforderung zu entsprechen.