DSGVO: 65.000 Euro Bußgeld für den Einsatz veralteter Software

Der Einsatz von veralteter Software kann teuer werden. Das musste ein Unternehmer auf die harte Tour lernen. Die Datenschutzbeauftragte des Landes Niedersachsen, Barbara Thiel, belegte ein Unternehmen wegen eines Datenschutzverstoßes mit einem hohen Bußgeld, nachdem es die personenbezogenen Daten seiner Kunden nicht ausreichend geschützt hatte.

Massiv veralteter Web-Shop

Der Landesdatenschutzbeauftragten war ein Datenschutzvorfall gemeldet worden, den sie zum Anlass nahm, um die Internetseite des betreffenden Unternehmens unter technischen Gesichtspunkten zu prüfen. Dabei stellte sie fest, dass der Betreiber der Seite eine veraltete Web-Shop-Anwendung einsetzte. Die von ihm genutzte Version war seit spätestens 2014 veraltet und wurde vom Hersteller nicht mehr mit Sicherheitsupdates versorgt.

Kundenpasswörter waren schlecht geschützt

Die Ermittlungen der Datenschutzbeauftragten kamen zu dem Schluss, dass es im vorliegenden Fall für einen Angreifer mit überschaubarem Aufwand möglich gewesen wäre, an die Kundenpasswörter des Web-Shops zu kommen. Da die E-Mail-Adressen der Kunden ebenfalls in der veralteten Datenbankanwendung hinterlegt waren, hätten Kriminelle im Erfolgsfall erhebliche Schäden anrichten können.

Schutzniveau nicht eingehalten

Die durch das Unternehmen ergriffenen technischen Maßnahmen waren nach Überzeugung der Landesdatenschutzbeauftragten nicht dem Schutzbedarf der personenbezogenen Daten angemessen. Aus diesem Grund verhängte sie ein Bußgeld in Höhe von 65.000 Euro wegen eines Verstoßes gegen Artikel 32 Absatz 1 DSGVO. Das Unternehmen hat das Bußgeld mittlerweile akzeptiert.

Veraltete Software kann Datenschutz gefährden

Das Urteil zeigt deutlich, dass Unternehmer ihre Software auch aus datenschutzrechtlichen Gründen aktuell halten sollten. Die Nutzung von veralteter Software hingegen kann einen Verstoß gegen die DSGVO darstellen, wenn sie dazu führt, dass der Schutz von personenbezogenen Daten gefährdet wird – beispielsweise durch den Einsatz mangelhafter kryptografischer Verfahren. (tku)