Ein Unternehmen wurde von der luxemburgischen Datenschutzaufsichtsbehörde mit einer Geldstrafe von 18.000 EUR belegt, weil der konzernweit benannte Datenschutzbeauftragte nicht ausreichend eingebunden worden war.

Konkret wurden folgende Punkte kritisiert:

• Der Datenschutzbeauftragte wurde nicht in alle Fragen des Schutzes personenbezogener Daten einbezogen.
• Es wurden dem Datenschutzbeauftragten nicht die notwendigen Ressourcen zur Verfügung gestellt.
• Der Datenschutzbeauftragte hatte nicht die Möglichkeit, den Verantwortlichen zu unterrichten und zu beraten.

Das luxemburgische Verwaltungsgericht bestätigte die Geldstrafe. Auch wenn der Datenschutzbeauftragte regelmäßig über einzelne Themen informiert worden sei, beispielsweise durch Besprechungsprotokolle, sahen die Datenschutzaufsichtsbehörde und das Gericht dies nicht als ausreichende Einbindung an. Der Datenschutzbeauftragte müsse aktiv und direkt in alle datenschutzrelevanten Angelegenheiten eingebunden werden, etwa durch Mitgliedschaft in den relevanten Gremien. Zudem müsse, angesichts der Unternehmensgröße (70 Standorte, 1.600 bis 2.100 Beschäftigte und etwa 25.000 Verbraucher pro Tag), mindestens eine Vollzeitstelle ausschließlich für Datenschutzfragen bereitgestellt werden.