Der Hamburgische Datenschutzbeauftragte hat gegen das Unternehmen Kolibri Image ein Bußgeld iHv. 5.000,- EUR wegen fehlender Erstellung einer DSGVO-Auftragsverarbeitung verhängt.
Kolibri Image hatte ursprünglich beim Hessischen Datenschutzbeauftragten nachgefragt, da ein Postdienstleister trotz mehrfacher Aufforderungen keinen Vertrag über eine Auftragsverarbeitung zugesandt hatte. Die Behörde antwortete, dass die Verantwortung zur Erstellung eines solchen Kontraktes auch die Firma selbst treffe und nicht nur den Dienstleister. Das Amt verwies auf entsprechende Dokumente auf seiner Webseite.
Der genaue, weitere Sachverhalt kann bei Heise Online nachgelesen werden.
Kolibri Image schloss letztendlich keinen solchen Vertrag ab. Das Verfahren wurde nach Hamburg gegeben. Dort verhängt der Hamburgische Datenschutzbeauftragte nun ein entsprechendes Bußgeld iHv. 5.000,- EUR wegen der fehlenden DSGVO-Vereinbarung über die Auftragsverarbeitung.
Die Entscheidung ist nicht rechtskräftig. Kolibri Image hat angekündigt, Rechtsmittel gegen den Bescheid einzulegen.
Anmerkung von RA Dr. Bahr:
Der Sachverhalt ist trotz der relativ ausführlichen Darstellung bei Heise Online in den relevanten Punkten noch unklar.
Die wichtige Frage ist nämlich, ob hier überhaupt die Notwendigkeit zum Abschluss einer Auftragsverarbeitung bestand. Kolibri Image ist der Ansicht, dass eine solche Pflicht nicht bestanden habe und die ursprüngliche Anfrage beim Hessischen Datenschutzbeauftragten nur der reinen Vorsorge gedient habe. Der Hamburgische Datenschutzbeauftragte sah diese Einlassungen hingegen als bloße Schutzbehauptungen an.
Solange nicht genau bekannt ist, was der beauftragte Postdienstleister genau macht, kann nicht abschließend beurteilt werden, ob nun objektiv eine Auftragsverarbeitung vorliegt - oder eben nicht.