30-Millionen-Forint-Strafe für ein Schönheitszentrum in Budapest von der Datenschutzbehörde verhängt

Am 6. Februar 2023 verhängte die ungarische Nationale Datenschutzbehörde (NAIH) eine Geldstrafe in Höhe von 30.000.000 HUF (ca. 70 Tausend EUR) gegen ein Unternehmen, das ein Schönheitszentrum in Budapest betreibt, weil es durch die kontinuierliche Aufzeichnung der Arbeitsabläufe und die Überwachung der Gäste gegen Artikel 5 Absatz 1 Buchstabe a) und b) sowie Artikel 6 Absatz 1 des DSGVO verstoßen hat.

Diese Entscheidung nimmt Stellung zu einer Reihe von Fragen im Zusammenhang mit der Datensammlungspraxis von Unternehmen, der Datenverarbeitung, der Festlegung von Verarbeitungszwecken, der Sammlung sensibler Daten und schließlich der Verwendung von Überwachungssystemen mit Kameras und der Erstellung von Aufzeichnungen. Sie untersucht auch die Datenverarbeitung, die die persönlichen Daten der Mitarbeiter des Schönheitszentrums und der Kunden betrifft.

Die NAIH hat eine Reihe von Beschwerden erhalten, in denen die Melder beklagten, dass das Unternehmen in allen Räumen Kameras betreibt. 

Im Rahmen ihrer Untersuchung stellte die NAIH fest, dass insgesamt 32 Kameras auf dem Gelände des Schönheitszentrums installiert und betrieben wurden, einschließlich an der Eingangstür, im Flur, im Büro, im Wartezimmer und sogar in Behandlungs- und Diagnoseräumen.

Nach den Beschwerden wurden sowohl Mitarbeiter als auch Kunden im Managerbüro abgehört. Auf den von der Behörde bei der Vor-Ort-Inspektion angeschauten Kamerabildern waren unter anderem die Arbeitsplätze der Mitarbeiter zu sehen, so dass an jedem Ort die Arbeit der Mitarbeiter während der Arbeit zu sehen und zu hören war.

Das Unternehmen hat neben der Videoüberwachung auch eine erhebliche Menge an persönlichen Daten gesammelt und verarbeitet, einschließlich sensibler Informationen, und damit mehrere Bestimmungen der DSGVO und des Informationsfreiheitsgesetzes verletzt. 

In beiden Fällen fehlten oder waren die vom DSGVO vorgeschriebenen Informationen und Beschreibungen unzureichend, und es fehlte eine angemessene Folgenabschätzung.

Bei der Begründung der hohen Geldstrafe stellte die Behörde fest, dass das Unternehmen versäumt hat, eine Rechtsgrundlage für die Verwendung von CCTV-Kameras an verschiedenen Orten anzugeben und personenbezogene Daten ohne Zustimmung der Betroffenen gesammelt hat. Die Behörde hat in ihrer Entscheidung die kamerabasierte Datenverarbeitung in den Behandlungsräumen untersagt und das Unternehmen angewiesen, die unrechtmäßig verarbeiteten Daten zu löschen und den Betroffenen eine klare und transparente Information über alle Datenverarbeitungen und deren Umstände bereitzustellen.

Die Behörde hat in ihrer Entscheidung auch auf Aspekte wie die Überwachung von Mitarbeitern und Gästen, die Aufzeichnung von Audio und Video, die Anforderungen an die Fairness der Datenverarbeitung, den Zugang zu Kamerabildern und den Zweck und die Rechtsgrundlage der Verarbeitung personenbezogener Daten eingegangen.

Die Entscheidung enthält wichtige Feststellungen darüber, wie Unternehmen Überwachungssysteme am Arbeitsplatz und bei der Erbringung von Dienstleistungen einsetzen sollten. 

Bemerkenswert ist, dass die nationale Datenschutzbehörde das Unternehmen vor der Entscheidung bereits zweimal mit Geldbußen in Höhe von 500.000,- Forint (ca. 1250 EUR) bzw. 600.000,- Forint (ca. 1500 EUR) belegt hatte, weil es seiner Informationspflicht nicht nachgekommen war und nur unvollständig und verspätet auf die Anfragen der Behörde geantwortet hatte. Es empfiehlt sich daher, die Anfragen der nationalen Datenschutzbehörde ernst zu nehmen und sich auf eine angemessene Antwort vorzubereiten.

Viele Unternehmer empfinden den Umgang mit Datenschutzfragen als lästig. Die Entscheidung zeigt jedoch, wie wichtig es ist, dies ernst zu nehmen, da die Rechtsvorschriften was die Datensammlung, die Information und Rechte der Betroffenen, die Dokumentation der Datenverarbeitung und den Umgang mit Daten betrifft, streng sind. 

Um eine Überprüfung bzw. Strafe von der Datenschutzbehörde zu vermeiden, empfehlen wir, Ihre Datenverarbeitungspraxis regelmäßig von einem Datenschutzexperten überprüfen zu lassen.

Das Team budlegal kann Ihnen dabei unterstützen, Ihre Geschäftstätigkeit in Ungarn mit angemessenen Datenschutzprozessen und Dokumentation zu leiten.