Datenschutz-Bußgeld gegen die Bildungsbehörde der Stadtverwaltung Oslo

Datum: 18.02.2020

Grund für das Datenschutz-Bußgeld: Sicherheit der App „Skolemelding“ war nicht gewährleistet

Gegen die Bildungsbehörde der Stadtverwaltung Oslo, ist eine Verwaltungsstrafe von 120.000 Euro verhängt wurden, weil die Sicherheit der Verarbeitung der mobilen App „Skolemelding“ nicht gewährleistet war. Die App wird für die Kommunikation zwischen Schulangestellten, Eltern und Schülern verwendet.

Die Geldbuße wurde verhängt, weil die Stadtverwaltung keine geeigneten technischen und organisatorischen Maßnahmen zur Gewährleistung eines risikoadäquaten Sicherheitsniveaus getroffen hatte. Die folgenden Punkte waren Schlüsselelemente in der Beurteilung der Datenschutzbehörde:

1. Eine der beabsichtigten Verwendungen der App ist es, dass Eltern Nachrichten über ihre Kinder und deren Abwesenheit von der Schule über ein Freitextfeld senden. Dies ermöglicht die Kommunikation von speziellen Kategorien persönlicher Daten, wie z. B. Gesundheitsdaten, die die Kinder betreffen. Es gibt keine technischen Maßnahmen, um dies zu verhindern, und innerhalb der App wird keine Information gegeben, dass eine solche Übertragung vermieden werden sollte. Im Einklang mit dem „Data Protection by Design“ und den Standardeinstellungen sind alternative Maßnahmen wie Drop-Down-Listen und Kontrollkästchen geeigneter.
2. Durch die schlechte Sicherheit des App-Logins war es Unbefugten möglich, auf die persönlichen Daten von mehr als 63.000 Schülern der ersten bis zehnten Klasse zuzugreifen und diese zu ändern.
3. Als Konsequenz der unzureichenden Sicherheitstests vor der Inbetriebnahme der App, enthielt diese bekannte Sicherheitslücken.

Zuvor hatte die Datenschutzbehörde ihre Absicht mitgeteilt, als Reaktion auf die oben genannten Feststellungen eine Geldbuße von 200.000 Euro zu verhängen. Der endgültige Betrag wurde jedoch auf 120.000 Euro reduziert, da in diesem Fall mildernde Umstände vorlagen.

Die Stadtverwaltung hat Maßnahmen zur Schadensbegrenzung ergriffen, sobald sie auf die Sicherheitsmängel aufmerksam gemacht wurde, und sie hat ihre Bereitschaft gezeigt, die Probleme zu lösen. Die Stadtverwaltung von Oslo legte gegen die Entscheidung keine Berufung ein.

Höhe des Datenschutz-Bußgeldes: 120.000 Euro

Land: Norwegen

Quelle: Europäischer Datenschutzausschuss

Zurück zur Übersicht der Datenpannen