Lesen Sie hier das Schreiben der brandenburgischen Datenschützer im Wortlaut

Ein Informant hat sich im April mit Hinweisen über mutmaßliche Datenschutzverstöße beim Elektroautohersteller Tesla an Brandenburgs Landesbeauftragte für den Datenschutz gewendet. In dem Bundesland liegt Teslas deutsche Giga-Fabrik.

Zu den Daten, die bei Tesla nicht ausreichend geschützt gewesen sein sollen, zählen demnach vertrauliche Informationen über mehr als hunderttausend Mitarbeiter, unter anderem Privatanschriften und Gehälter. Das Handelsblatt hat bei der Behörde nachgefragt. Am 15. Mai hat sie geantwortet:

Ihre Presseanfrage vom 9. Mai 2023 zu einer möglichen Datenschutzverletzung durch den Automobilkonzern Tesla

Sehr geehrter Herr Nagel,

vielen Dank für Ihre Anfrage vom 9. Mai 2023. Sie baten uns darin, zu bestätigen, dass der Landesbeauftragten Hinweise auf mögliche Datenschutzverletzungen durch den Automobilkonzern Tesla vorliegen und ein entsprechendes Aufsichtsverfahren geführt wird. Gerne beantworten wir Ihre Anfrage.

Der Landesbeauftragten liegen ernstzunehmende Hinweise auf mögliche Datenschutzverletzungen durch den Automobilkonzern Tesla vor. Im Wesentlichen handelt es sich um Hinweise darauf, dass sensitive Beschäftigungsdaten aufgrund der unzureichenden Beschränkung von Zugriffsrechten innerhalb des Konzerns sehr weitreichend zugänglich sein könnten. Sollte sich dies als zutreffend erweisen, wäre die Angelegenheit aus datenschutzrechtlicher Sicht auch wegen der Zahl der weltweit betroffenen Personen besonders schwerwiegend.

Bei den betroffenen Personen handelt es sich nicht nur um Beschäftigte am brandenburgischen Produktionsstandort des Automobilkonzerns Tesla, sondern auch um Beschäftigte an anderen deutschen und europäischen Standorten. Aufgrund dieser internationalen Dimension hat die Landesbeauftragte die niederländische Datenschutzaufsichtsbehörde (https://autoriteitpersoonsgegevens.nl/) bereits über den Fall in Kenntnis gesetzt. Sie wird die förmliche Unterrichtung im Rahmen eines für solche Verfahren vorgesehenen elektronischen Informationssystems morgen vornehmen. Dieses Vorgehen ist mit der Datenschutzaufsichtsbehörde des Landes Berlin, in dem der Sitz der deutschen Hauptniederlassung des Konzerns liegt, abgestimmt. Wir gehen davon aus, dass das weitere Aufsichtsverfahren von unseren Kolleginnen und Kollegen in Den Haag geführt werden wird.

Zum rechtlichen Hintergrund:

Die Datenschutz-Grundverordnung sieht vor, dass in Fällen grenzüberschreitender Datenverarbeitung eine europaweite Zusammenarbeit der Datenschutzaufsichtsbehörden stattfinden muss. Eine solche grenzüberschreitende Verarbeitung liegt zum Beispiel dann vor, wenn der Verantwortliche personenbezogene Daten von betroffenen Personen aus mehreren Mitgliedstaaten verarbeitet. Zuständig für die Einleitung und Durchführung eines Aufsichtsverfahrens ist die Aufsichtsbehörde der Hauptniederlassung des Verantwortlichen. Im Falle des Tesla-Konzerns liegt die europäische Hauptniederlassung im Königreich der Niederlande. Nach der Unterrichtung der federführenden Aufsichtsbehörde hat diese mehrere Wochen Zeit, zu entscheiden, ob sie sich mit dem Fall im Rahmen eines europäischen Verfahrens befasst.

Daneben beteiligen sich betroffene Aufsichtsbehörden aus europäischen Mitgliedstaaten an dem Verfahren. Ihre Betroffenheit ergibt sich beispielsweise daraus, dass in ihrem Zuständigkeitsbereich weitere Niederlassungen des Verantwortlichen liegen, die Datenverarbeitungen Auswirkungen auf betroffene Personen mit Wohnsitz in diesem Bereich haben oder solche eine Beschwerde eingelegt haben.

Ich hoffe, Ihnen mit diesen Ausführungen weitergeholfen zu haben. Sollten Sie Rückfragen haben, stehen wir Ihnen natürlich gerne zur Verfügung. Bitte wenden Sie sich am 16. und 17. Mai 2023 damit an unsere zentrale E-Mail-Adresse (...) bzw. an die zentrale Rufnummer (...), da ich erst am 19. Mai 2023 wieder in der Dienststelle sein werde.

Für eine Information über Zeitpunkt und Inhalt Ihrer Berichterstattung wären wir dankbar.

Freundliche Grüße

(...)