Rekordbußgeld wegen Datenschutzverstößen: „Ich empfehle jedem, sich direkt an die Deutsche Wohnen zu wenden“

Berlins oberste Datenschützerin Maja Smoltczyk erklärt, wie es zum Riesen-Bußgeldbescheid von 14,5 Millionen Euro gegen die Deutsche Wohnen kam. Sie warnt vor Panik, erklärt aber auch, dass solche Vergehen häufiger vorkommen könnten.

Frau Smoltczyk, die Deutsche Wohnen hat sensible Mieter-Daten jahrelang rechtswidrig gespeichert – vom Kontoauszug bis zum Arbeitsvertrag. Ist das ein extremer Einzelfall oder hat das System?
Wir gehen nicht davon aus, dass es sich um einen Einzelfall handelt. Aber es ist der erste Fall in diesem Umfang, mit so einer extremen Menge von Daten, den wir hier in Berlin haben. Aus unserer Aufsichtspraxis ergibt sich, dass es die massive Speicherung von Daten häufiger gibt. Unternehmen machen sich oft wenig Gedanken darum, ob es einen Grund gibt, diese Daten zu speichern.

Wie viele Menschen sind betroffen?
Es werden nach unserem Kenntnisstand nur die Daten der Mieterinnen und Mieter gespeichert. Wie viele Daten das sind, können Sie sich vorstellen, wenn sie überlegen, dass die Deutsche Wohnen über 160 000 Wohnungen in ihrem Bestand hat.

Wie schwerwiegend ist der Verstoß?
Wir sollten nicht übertreiben: Es sind beispielweise keine Gesundheitsdaten betroffen und nach unseren Informationen wurden auch keine Daten an Dritte weitergegeben. Trotzdem sind das aber persönliche Daten in erheblicher Menge. Das System liefert Einblicke in die Leben vieler, vieler Menschen. Sie können erkennen, wer mit wem zusammenlebt, welche Ausbildung jemand hat oder wo er zuvor gewohnt hat. Das sind Dinge des alltäglichen Lebens, die wir nicht so einfach teilen würden.

Also ist alles nur eine Gedankenlosigkeit oder steckt dahinter Vorsatz?
Es ist sicher beides. Die Deutsche Wohnen wollte bei der Speicherung der Mieter-Daten auf Nummer sicher gehen, sie wollten gesetzlichen Vorgaben entsprechen – Wohnungsunternehmen haben bestimmte Vorhaltepflichten. Diese Vorhaltepflichten gelten aber nicht für die beanstandeten Kategorien von personenbezogenen Daten; hier existieren je nach Kategorie unterschiedliche Löschfristen.

Was hätte die Deutsche Wohnen anders machen müssen?
Es gibt technische Systeme, die helfen können, Daten mit unterschiedlichen Löscherfordernissen voneinander zu trennen. Das Unternehmen hatte ein solches System sogar. Sie haben es aber nicht entsprechend eingesetzt.

Wie sind sie auf die Verstöße der Deutsche Wohnen aufmerksam geworden?
Wir hatten eine Beschwerde, die war der Anlass, dass wir uns das Unternehmen genauer angeschaut haben. Im Zuge dieser Kontrolle im Jahr 2017 ist uns aufgefallen, dass deren Speicherpraxis nicht den Vorgaben entspricht. Unsere Juristen und Techniker haben das monatelang ausgewertet – das war ein enormer Kraftakt.

Die von Ihnen verhängte Strafe ist die höchste, die in Deutschland jemals wegen Verstößen gegen die Datenschutzgrundverordnung erlassen wurde. Wieso muss die Deutsche Wohnen 14,5 Millionen Euro zahlen?
Wir haben uns streng nach dem Gesetz gerichtet, dem Regelungswerk der DSGVO. Die Strafen sollen wirksam, angemessen und abschreckend sein. Bei solchen technisch-organisatorischen Verstößen liegt der Bußgeldrahmen bei 10 Millionen Euro oder 2 Prozent des Vorjahresumsatzes, je nach dem, was höher ist.

Bei der Deutsche Wohnen waren es 1,4 Milliarden Euro. Es wäre eine noch höhere, eine doppelt so hohe Strafe möglich gewesen: 28 Millionen Euro. Warum liegt das von Ihnen verhängte Bußgeld darunter?
Wir haben es hier mit einem mittelschweren Fall zu tun. Belastend hat sich ausgewirkt, dass die Deutsche Wohnen die Archivstruktur bewusst angelegt hatte und die betroffenen Daten über einen langen Zeitraum unzulässig verarbeitet wurden. Bußgeldmildernd haben wir berücksichtigt, dass das Unternehmen zumindest formal mit uns zusammengearbeitet hat. Außerdem wurden die Daten wie gesagt nicht an Dritte weitergereicht.

Wie weiß ich, ob die Deutsche Wohnen meine Daten gespeichert hat und welche es sind?
Ich empfehle jedem, sich direkt an die Deutsche Wohnen zu wenden und die vom Gesetz gegebenen Auskunftsrechte geltend zu machen.