Behörden-Beanstandung zum Löschkonzept bereits seit 2017
Die Behörde hatte bereits im Jahr 2017, also noch vor Inkrafttreten der DSGVO, bei einer Vor-Ort-Prüfung beanstandet, dass das Unternehmen zahlreiche personenbezogenen Daten archivierte, bei denen nicht überprüft worden sei, ob eine Speicherung noch zulässig sei. Das Unternehmen speicherte sensible Daten von Mietern oder Interessenten zu den persönlichen und finanziellen Verhältnissen. Dazu zählten Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen, Steuer-, Sozial- und Krankenversicherungsdaten sowie Kontoauszüge. Die Daten wurden sogar auch nach Beendigung der Mietverhältnisse noch vorgehalten.
Verstoß gegen Grundsatz der Datenminimierung und Speicherbegrenzung
Die Aufsichtsbehörde sah darin einen Verstoß gegen Art. 5 DSGVO (Grundsatz der Datenminimierung und Speicherbegrenzung) und Art. 25 (DSGVO Datenschutz durch Technikgestaltung). Nach diesen Vorschriften dürfen Unternehmen personenbezogene Daten nur so lange speichern und verarbeiten, wie dies für den Zweck, zu dem sie erhoben wurden, erforderlich ist. Bei einer erneuten Prüfung im März 2019 hatte die Deutsche Wohnen die Daten jedoch weder gelöscht noch konnte sie rechtliche Gründe für die fortdauernde Speicherung der Daten anführen.
Bußgeldhöhe lediglich im mittleren Bereich
Zur Bemessung des Bußgeldes führte die Berlinische Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, aus:
"Für die konkrete Bestimmung der Bußgeldhöhe hat die Berliner Datenschutzbeauftragte unter Berücksichtigung aller be- und entlastenden Aspekte die gesetzlichen Kriterien herangezogen. Belastend wirkte sich hierbei vor allem aus, dass die Deutsche Wohnen SE die beanstandete Archivstruktur bewusst angelegt hatte und die betroffenen Daten über einen langen Zeitraum in unzulässiger Weise verarbeitet wurden. Bußgeldmildernd wurde hingegen berücksichtigt, dass das Unternehmen durchaus erste Maßnahmen mit dem Ziel der Bereinigung des rechtswidrigen Zustandes ergriffen und formal gut mit der Aufsichtsbehörde zusammengearbeitet hat.
Auch mit Blick darauf, dass dem Unternehmen keine missbräuchlichen Zugriffe auf die unzulässig gespeicherten Daten nachgewiesen werden konnten, war im Ergebnis ein Bußgeld im mittleren Bereich des vorgegebenen Bußgeldrahmens angemessen. Neben der Sanktionierung dieses strukturellen Verstoßes verhängte die Berliner Datenschutzbeauftragte gegen das Unternehmen noch weitere Bußgelder zwischen 6.000 – 17.000 Euro wegen der unzulässigen Speicherung personenbezogener Daten von Mieterinnen und Mietern in 15 konkreten Einzelfällen."
Die Deutsche Wohnen hat angekündigt, gegen die Entscheidung Rechtsmittel einlegen zu wollen.
