Deezer-Datenleck führt zu Geldstrafe von 1 Million Euro für Werbefirma

Französische Aufsichtsbehörden haben nach einer langjährigen Datenschutzuntersuchung im Zusammenhang mit Deezer-Nutzerdaten eine erhebliche Geldstrafe verhängt. Die Geldstrafe nach dem Deezer-Datenleck zeigt, dass Auftragsverarbeiter auch nach dem Ende kommerzieller Geschäftsbeziehungen weiterhin vollständig unter der DSGVO haften. Die Behörden stellten fest, dass ein Werbeunternehmen Millionen von Datensätzen ohne Genehmigung gespeichert und wiederverwendet hatte, was schwerwiegende Compliance-Mängel offenlegte.

Hintergrund des Deezer-Datenvorfalls

Der Fall geht auf einen Sicherheitsvorfall zurück, der Deezer-Nutzer in großem Umfang betraf. Personenbezogene Daten von mehreren zehn Millionen Konten wurden aufgrund mangelhafter Datenverarbeitungspraktiken eines Drittanbieters offengelegt.

Obwohl das Werbeunternehmen nicht mehr mit Deezer zusammenarbeitete, speicherte es weiterhin Nutzerdaten. Diese Entscheidung erhöhte das Risiko eines unbefugten Zugriffs und trug letztlich zur Datenoffenlegung bei.

Die Aufsichtsbehörden kamen zu dem Schluss, dass das Unternehmen die Daten nach Beendigung des Vertrags hätte löschen müssen. Die weitere Speicherung diente keinem rechtmäßigen Zweck und verstieß gegen grundlegende Datenschutzprinzipien.

Von den Behörden festgestellte DSGVO-Verstöße

Die französische Datenschutzbehörde stellte im Rahmen ihrer Untersuchung mehrere Verstöße gegen die DSGVO fest.

Das Unternehmen bewahrte Nutzerdaten weit über den erforderlichen Zeitraum hinaus auf. Dies verstieß gegen die Grundsätze der Datenminimierung und der Speicherbegrenzung.

Zudem stellten die Ermittler fest, dass das Unternehmen die Daten intern weiterverwendete. Dies geschah ohne klare Weisungen oder eine rechtliche Grundlage für die Verarbeitung.

Darüber hinaus führte das Unternehmen keine ordnungsgemäßen Verzeichnisse seiner Verarbeitungstätigkeiten. Dies erschwerte die Aufsicht und zeigte erhebliche Defizite bei den internen Kontrollmechanismen.

Warum die Geldstrafe von 1 Million Euro wichtig ist

Die Geldstrafe nach dem Deezer-Datenleck sendet ein deutliches Signal an Auftragsverarbeiter in Europa. Unternehmen dürfen Nutzerdaten nach Vertragsende nicht als wiederverwendbare Ressourcen betrachten.

Die Aufsichtsbehörden berücksichtigten sowohl das Datenvolumen als auch die Dauer der Verstöße. Millionen von Nutzern blieben über einen längeren Zeitraum betroffen.

Zudem betonte die Behörde, dass Auftragsverarbeiter die Verantwortung mit den Verantwortlichen teilen. Outsourcing mindert die rechtlichen Verpflichtungen nach der DSGVO nicht.

Breitere Auswirkungen auf die Datenverarbeitungspraxis

Der Fall unterstreicht den zunehmenden regulatorischen Fokus auf Drittanbieter. Unternehmen verlassen sich zunehmend auf externe Dienstleister, doch die Verantwortung geht nicht automatisch mit dem Datenzugang über.

Organisationen müssen sicherstellen, dass Partner strenge Löschrichtlinien einhalten. Zudem müssen sie die Einhaltung regelmäßig überprüfen, anstatt sich ausschließlich auf vertragliche Zusicherungen zu verlassen.

Unterlassene Durchsetzung solcher Maßnahmen führt zu langfristigen rechtlichen und reputationsbezogenen Risiken.

Fazit

Die Geldstrafe nach dem Deezer-Datenleck zeigt, wie Datenschutzbehörden die DSGVO mit wachsender Präzision durchsetzen. Das unbefugte Aufbewahren und Wiederverwenden personenbezogener Daten stellt unabhängig von der Absicht einen schweren Verstoß dar. Für Auftragsverarbeiter und Verantwortliche sind strenge Löschverfahren, dokumentierte Verarbeitung und kontinuierliche Aufsicht nicht länger optional. Sie sind entscheidend für die Einhaltung der Vorschriften im heutigen regulatorischen Umfeld.