Die EU verhängte im vergangenen Jahr Strafen in Höhe von rund 160 Millionen Euro. Die Meldungen sind dabei zurückgegangen, jedoch wurden insgesamt höhere und härtere Strafen gegen DSGVO-Verstöße verhängt. 

Alles was Sie zu diesem Thema wissen müssen, erfahren Sie in diesem Artikel!

Warum höhere Strafen?

Strafen sollen durch Generalprävention wirksam und abschreckend sein. Dadurch soll die Allgemeinheit von Verstößen abgehalten und das Vertrauen der Allgemeinheit in die Geltung des Rechts gestärkt werden. Dabei soll die Schwere des Verstoßes in einem angemessenen Verhältnis zur Sanktion stehen.

Art. 83 DSGVO stellt für Unternehmen, aus unserer Sicht, ein immer höheres Risiko dar, datenschutzrechtlich einen Verstoß zu begehen.

Außerdem haben auch Datenschutzbehörden höhere Befugnisse erhalten, um Verstöße zu sanktionieren. 

Droht bei jedem Verstoß gegen die DSGVO ein Bußgeld?

Die DSGVI lässt grundsätzlich sehr wenig Spielraum und auch die EU-Kommission ist angehalten die DSGVO umzusetzen. Zur Umsetzung bedarf es Sanktionen. Art. 83 Abs. 4, 5 und 6 DSGVO nehmen auf fast alle Handlungspflichten Bezug. Daher können wir im Allgemeinen sagen, dass sogar wegen eines eher „kleineren“ Verstoßes (z.B. Verstoß gegen Kooperationspflichten), ein Bußgeld gem. Art. 83 Abs. 4 DSGVO fällig werden kann. 

Rechtstipp: Auch Verstöße gegen das BSDG können mit einem Bußgeld belegt werden! (Vgl. § 26 BDSG)

Adressaten der Bußgelder und Kriterien der Bußgeldhöhe

Die Adressaten der Bußgelder sind gem. Art. 83 Abs. 4-6 DSGVO die Auftragsverarbeiter. Ein Blick in Art. 4 Nr.7 DSGVO zeigt, dass auch natürliche Personen Adressaten von Sanktionen werden können, wenn die Person über den Zweck der Verarbeitung entscheidet.

Art. 83 Abs.2 DSGVO nennt übrigens Kriterien über die Höhe des Bußgeldes. Demnach kann ein Mitgliedsstaat nicht selbst über die Sanktionshöhe entscheiden. Kriterien, die die Art und Höhe des Bußgeldes beeinflussen sind dabei, die Schwere des Verstoßes, die Frage des Vorsatzes oder der Fahrlässigkeit, oder ob der Auftragsverantwortliche schon einmal sanktioniert wurde und was der Verantwortliche getan hat, um den Schaden zu minimieren.

Bußgeldmodell

Mit einem Bußgeldmodell will man weiterhin eine harmonisierte Bußgeldpraxis schaffen. Das Modell orientiert sich dabei an Art. 83 DSGVO. Dadurch sollen systematische, transparente und nachvollziehbare Bußgeldbemessungen folgen, indem Unternehmen in Größenklassen und weitere Kriterien eingeteilt werden. Dadurch sollen Bußgelder gem. Art. 83 Abs.1 DSGVO verhältnismäßig sein. Es sollen beispielsweise eine drohende Zahlungsunfähigkeit oder in der Branche zu erwartende besonders geringe Renditen Berücksichtigung finden.

Rechtlich gesehen ist so ein Modell aber kritisch zu betrachten, weil es vor allem auf den Umsatz eines Unternehmens abstellt! Außerdem führt, wie die Praxis schon bewiesen hat, so ein Konzept auch bei verhältnismäßig geringen Verstößen, zu höheren Bußgeldern.

Was ist mit der DSGVO definitiv nicht vereinbar?

Mit der DSGVO ist nicht vereinbar Kundendaten über Jahre hinweg zu speichern. Kundendaten sind dabei E-Mail Adressen, Passwörter, Adressen; nicht jedoch eine Kopie der Gesundheitskarte. 

Es ist wichtig, dass die Kundendaten für das Unternehmen relevant sind. Des Weiteren müssen solche Daten verschlüsselt abgespeichert werden. Außerdem darf von Kunden auch keine „generelle Einwilligung“ für alle in der Zukunft durchzuführenden Vorgänge einholen.

Neuer Trend – Strafschadensersatz 

Verschiedene neuere Urteile aus dem vergangenen Jahr zeigen, dass seit neuestem weniger hohe Anforderungen an den Schadensbegriff gem. Art. 82 Abs. 1 DSGVO gestellt wurden. Daraus kommt es zu einem Strafschadensersatz bei DSGVO-Verstößen, wenn ein Schaden zB. schon bei Kontrollverlust anerkannt wird. Auch eine Abschreckungswirkung bei ausgesprochen Schadensersatzansprüche scheint mit Begründung der europarechtlichen Verpflichtung äußerst fraglich! 

Lesen Sie dazu unseren Beitrag: „Strafschadensersatz wegen DSGVO-Verstößen – Ein Überblick“

Fazit 

Die nationalen Aufsichtbehörden sind verpflichtet DSGVO-Verstöße mit Bußgeldern bzw. Strafen zu verhängen. Sie sind auch verpflichtet dem Unternehmen eine Frist zu setzen die Verstöße umgehend zu unterlassen und ihre Unternehmenspraxis nachweislich DSGVO-konform umzustellen. Natürlich muss auch hier die Höhe des Bußgeldes verhältnismäßig sein. Für die Einhaltung der Verhältnismäßigkeit nutzt die Aufsichtbehörde einen vorher festgelegten „Sanktionen-Katalog“. Straferhöhend wirken sich unter anderem vorsätzliche Verstöße, Versäumnisse und keine Zusammenarbeit mit der jeweiligen Aufsichtsbehörde aus. 

Sie haben Fragen zum Thema DSGVO? Ihnen wird ein Verstoß gegen die DSGVO vorgeworfen oder Sie sehen Ihre personenbezogenen Daten gefährdet? Melden Sie sich bei uns!

Unser im Datenschutzrecht spezialisiertes Team steht Ihnen schnell und unkompliziert zur Seite und berät Sie gern.