![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2013\/04\/FB_thumb.jpg\")
Irlands Datenschutzbeh\u00f6rde (Irish Data Protection Commission, DPC) hat einen DSGVO-Fall aus 2019 abgeschlossen und der Facebook-Mutter Meta eine Strafe in H\u00f6he von 91 Mio. Euro auferlegt. Der Hintergrund: Meta bzw. Facebook hatte Passw\u00f6rter im Klartext auf internen Servern gespeichert.<\/p>\n
<\/p>\n
Im M\u00e4rz 2019 meldete die Meta Platforms Ireland Limited (MPIL) der irischen Datenschutzbeh\u00f6rde, dass es versehentlich bestimmte Passw\u00f6rter von Nutzern sozialer Medien im \"Klartext\" (d. h. ohne kryptografischen Schutz oder Verschl\u00fcsselung) auf seinen internen Systemen gespeichert hatte. Das MPIL ver\u00f6ffentlichte im M\u00e4rz 2019 auch Informationen zu diesem Vorfall. Der Fall hatte insoweit keine Konsequenzen, weil diese Passw\u00f6rter keinem Dritten zug\u00e4nglich gemacht wurden.<\/p>\n
Die irische Datenschutzbeh\u00f6rde (Irish Data Protection Commission) leitete darauf hin im\u00a0April 2019 eine Untersuchung ein. Es wurde gepr\u00fcft, ob das MPIL die Datenschutzgrundverordnung (DSGVO) einh\u00e4lt, und insbesondere, ob das MPIL Ma\u00dfnahmen ergriffen hat, um ein Sicherheitsniveau zu gew\u00e4hrleisten, das den mit der Verarbeitung von Passw\u00f6rtern verbundenen Risiken angemessen ist. Weiterhin wurde gepr\u00fcft, ob MPIL seinen Verpflichtungen nachgekommen ist, Verst\u00f6\u00dfe gegen personenbezogene Daten zu dokumentieren und dem Datenschutzbeauftragten zu melden.<\/p>\n
Die DSGVO verlangt von den f\u00fcr die Datenverarbeitung Verantwortlichen, dass sie bei der Verarbeitung personenbezogener Daten angemessene Sicherheitsma\u00dfnahmen ergreifen und dabei Faktoren wie die Risiken f\u00fcr die Nutzer der Dienste und die Art der Datenverarbeitung ber\u00fccksichtigen. Um die Sicherheit aufrechtzuerhalten, sollten die f\u00fcr die Datenverarbeitung Verantwortlichen die mit der Verarbeitung verbundenen Risiken bewerten und Ma\u00dfnahmen zur Minderung dieser Risiken ergreifen.<\/p>\n
Die Datenschutz-Grundverordnung verpflichtet die f\u00fcr die Verarbeitung Verantwortlichen au\u00dferdem, Verletzungen des Schutzes personenbezogener Daten ordnungsgem\u00e4\u00df zu dokumentieren und die Datenschutzbeh\u00f6rden \u00fcber Verletzungen zu informieren. Eine Verletzung des Schutzes personenbezogener Daten kann, wenn sie nicht angemessen und rechtzeitig behoben wird, zu Sch\u00e4den wie dem Verlust der Kontrolle \u00fcber personenbezogene Daten f\u00fchren. Wenn ein f\u00fcr die Verarbeitung Verantwortlicher feststellt, dass eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist, sollte er daher die Aufsichtsbeh\u00f6rde unverz\u00fcglich in der in Artikel 33 DSGVO vorgeschriebenen Weise benachrichtigen.<\/p>\n