TL;DR für den Datenschutzbeauftragten
Drei Fälle, drei Fehler, die überall vorkommen: Daten, die zu einem öffentlichen Zweck erhoben wurden, für einen anderen zu nutzen; Ausweisdokumente zu kopieren, ohne die Erforderlichkeit zu belegen; und die Daten der eigenen Beschäftigten offen liegen zu lassen. Keiner davon verlangt anspruchsvolle Technik.
Die Zahlen
2025 erließ der Präsident des Amtes für den Schutz personenbezogener Daten sechzehn Bußgeldentscheidungen gegen achtzehn Stellen, mit einer Summe von über vierundsechzig Millionen Zloty. Im Jahr davor lag die Summe bei knapp vierzehn Millionen. Das ist kein allmählicher Anstieg, sondern ein Sprung in der Größenordnung — und die drei höchsten je in Polen verhängten Bußgelder fallen in diese zwölf Monate.
Post: siebenundzwanzig Millionen für zweckfremd genutzte Daten
Das höchste Bußgeld betrifft den nationalen Postbetreiber und die Daten von rund dreißig Millionen Bürgerinnen und Bürgern aus dem Melderegister PESEL, entnommen im Vorfeld der Briefwahlen 2020 und ohne tragfähige Grundlage verarbeitet. Es ist der Lehrbuchfall der Zweckbindung: Daten, die rechtmäßig in einem öffentlichen Register stehen, werden dadurch nicht für einen anderen Zweck verwendbar — auch dann nicht, wenn dieser Zweck selbst öffentlich ist.
Bank: achtzehn Komma vier Millionen für Kopien von Ausweisdokumenten
Ein Kreditinstitut wurde sanktioniert, weil es Ausweisdokumente der Kundschaft kopierte und einscannte, ohne darzulegen, dass dies zur Erfüllung geldwäscherechtlicher Pflichten erforderlich war. Das ist der Punkt, der die meisten Unternehmen betrifft: Das Geldwäscherecht verlangt Identifizierung, nicht automatisch das Fotokopieren. Die Erforderlichkeit der Kopie ist zu belegen, nicht zu unterstellen — und fast niemand hebt die Bewertung auf, die sie rechtfertigt.
Gastronomie: sechzehn Komma neun Millionen für die eigenen Beschäftigtendaten
Die dritte Entscheidung traf eine Gastronomiekette nach einem Vorfall, bei dem Informationen über Beschäftigte öffentlich zugänglich wurden. Es lohnt der Blick darauf, wessen Daten es waren: nicht die der Kundschaft, sondern die der Belegschaft — jene Kategorie, die Risikoanalysen regelmäßig als weniger exponiert behandeln und die tatsächlich die höchsten Bußgelder erzeugt, weil das Arbeitsverhältnis der betroffenen Person keine Alternative lässt.
Was jetzt zu tun ist, wenn Sie Mandanten mit Präsenz in Polen haben
1) Prüfen Sie, ob jemand Ausweisdokumente kopiert, und fragen Sie, wo festgehalten ist, warum das erforderlich ist; 2) stellen Sie sicher, dass Daten aus öffentlichen Registern oder Stellen nicht zweckfremd weiterverwendet werden; 3) behandeln Sie die Personalakte mit derselben Sorgfalt wie die Kundendaten, denn die Behörde tut es.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
