Bußgeld

Ein Bußgeld ist eine behördlich verhängte Geldsanktion, mit der Verstöße gegen gesetzliche Vorschriften geahndet werden. Im Datenschutzrecht können die zuständigen Aufsichtsbehörden nach Art. 83 DS-GVO Geldbußen verhängen, wenn Verantwortliche oder Auftragsverarbeiter gegen bestimmte datenschutzrechtliche Pflichten verstoßen. Die Sanktionen sollen wirksam, verhältnismäßig und abschreckend sein.

Wann droht ein Bußgeld wegen eines Datenschutzverstoßes?

Ein Datenschutzbußgeld kann verhängt werden, wenn gegen eine bußgeldbewehrte Vorschrift der DS-GVO verstoßen wird.

Dabei kommen unterschiedliche Pflichtverletzungen infrage.

Typische Beispiele sind:

• Unrechtmäßige Datenverarbeitung: Personenbezogene Daten werden ohne geeignete Rechtsgrundlage verarbeitet.
• Verletzung von Betroffenenrechten: Ein Unternehmen erfüllt gesetzliche Auskunfts- oder Löschpflichten nicht.
• Unzureichende Datensicherheit: Erforderliche technische und organisatorische Schutzmaßnahmen werden nicht getroffen.
• Fehlerhafte Auftragsverarbeitung: Gesetzliche Anforderungen an die Zusammenarbeit mit Auftragsverarbeitern werden missachtet.
• Unzulässige Datenübermittlung: Personenbezogene Daten werden unter Verstoß gegen die gesetzlichen Anforderungen in ein Drittland übermittelt.
• Verletzung von Meldepflichten: Eine meldepflichtige Datenschutzverletzung wird nicht ordnungsgemäß an die zuständige Aufsichtsbehörde gemeldet.

Nicht jeder Datenschutzverstoß führt automatisch zu einem Bußgeld.

Die zuständige Aufsichtsbehörde prüft die Umstände des Einzelfalls und entscheidet, welche Abhilfemaßnahme angemessen ist.

Neben oder anstelle einer Geldbuße können beispielsweise Verwarnungen, Anweisungen zur Herstellung eines rechtmäßigen Zustands oder Beschränkungen der Datenverarbeitung in Betracht kommen.

Wie hoch können Bußgelder nach der DS-GVO ausfallen?

Art. 83 DS-GVO unterscheidet insbesondere zwei wesentliche Bußgeldrahmen.

1. Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Nach Art. 83 Abs. 4 DS-GVO können bestimmte Verstöße mit Geldbußen von bis zu 10 Millionen Euro geahndet werden.

Bei Unternehmen kann stattdessen ein Betrag von bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres maßgeblich sein, sofern dieser höher ist.

Hierzu gehören beispielsweise Verstöße gegen bestimmte Pflichten zur Auftragsverarbeitung, zur Datensicherheit oder zur Benennung eines Datenschutzbeauftragten.

2. Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes

Für bestimmte schwerwiegende Verstöße sieht Art. 83 Abs. 5 DS-GVO einen erhöhten Bußgeldrahmen vor.

Dieser beträgt bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Dazu gehören insbesondere Verstöße gegen:

• Die grundlegenden Datenschutzprinzipien nach Art. 5 DS-GVO
• Die Anforderungen an die Rechtmäßigkeit der Verarbeitung
• Die Rechte betroffener Personen
• Die Vorschriften über internationale Datenübermittlungen

Die genannten Beträge sind gesetzliche Höchstgrenzen und keine pauschalen Bußgelder.

Die tatsächlich verhängte Geldbuße kann erheblich niedriger ausfallen und richtet sich nach den Umständen des jeweiligen Verstoßes.

Nach welchen Kriterien wird die Höhe eines Datenschutzbußgeldes bestimmt?

Die Höhe eines Bußgeldes wird nicht allein anhand des betroffenen Unternehmens oder der verletzten Vorschrift festgelegt.

Art. 83 Abs. 2 DS-GVO enthält verschiedene Kriterien, die bei der Entscheidung über die Verhängung und Bemessung einer Geldbuße zu berücksichtigen sind.

Dazu gehören insbesondere:

• Art und Schwere des Verstoßes
• Dauer des Verstoßes
• Anzahl der betroffenen Personen
• Vorsatz oder Fahrlässigkeit
• Ergriffene Gegenmaßnahmen
• Zusammenarbeit mit der Aufsichtsbehörde
• Frühere Verstöße

Auch die Kategorien der betroffenen personenbezogenen Daten sowie weitere gesetzlich vorgesehene Umstände können bei der Bemessung eine Rolle spielen.

Die Aufsichtsbehörde muss sicherstellen, dass das Bußgeld im konkreten Einzelfall wirksam, verhältnismäßig und abschreckend ist.

Der Umsatz eines Unternehmens kann bei der Bemessung ebenfalls relevant sein. Ein hoher Unternehmensumsatz führt jedoch nicht automatisch zur Verhängung des gesetzlichen Höchstbetrags.

Wer verhängt Datenschutzbußgelder und wie läuft das Verfahren ab?

Datenschutzbußgelder werden von den jeweils zuständigen Datenschutzaufsichtsbehörden verhängt.

In Deutschland sind dies insbesondere die Datenschutzaufsichtsbehörden der Bundesländer sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im Rahmen seiner gesetzlichen Zuständigkeiten.

Ein Bußgeldverfahren kann beispielsweise durch eine Beschwerde, eine behördliche Kontrolle oder die Bekanntgabe einer Datenschutzverletzung ausgelöst werden.

Die Aufsichtsbehörde prüft zunächst den Sachverhalt und ermittelt, ob ein bußgeldbewehrter Datenschutzverstoß vorliegt.

Dabei kann sie insbesondere Auskünfte verlangen und weitere Untersuchungsbefugnisse nach Art. 58 DS-GVO ausüben.

Vor einer belastenden Entscheidung sind die einschlägigen Verfahrensrechte zu beachten. Dazu gehört grundsätzlich auch die Möglichkeit, sich zu den erhobenen Vorwürfen zu äußern.

Stellt die Behörde einen entsprechenden Verstoß fest, kann sie unter Berücksichtigung der gesetzlichen Voraussetzungen eine Geldbuße verhängen.

Gegen einen Bußgeldbescheid stehen den Betroffenen die gesetzlich vorgesehenen Rechtsbehelfe offen. Das konkrete Verfahren richtet sich nach den jeweils anwendbaren Vorschriften.

Praxisbeispiel: Bußgeld wegen unzureichenden Schutzes von Kundendaten

Ein Unternehmen betreibt einen telefonischen Kundenservice.

Mitarbeiter geben auf telefonische Anfrage personenbezogene Kundendaten heraus. Zur Identitätsprüfung verlangen sie lediglich den Namen und das Geburtsdatum des Kunden.

Eine weitergehende Überprüfung findet nicht statt.

Dadurch besteht das Risiko, dass unberechtigte Personen unter Verwendung fremder Kundendaten Auskünfte erhalten.

Die zuständige Datenschutzaufsichtsbehörde stellt bei einer Überprüfung fest, dass die eingesetzten Sicherheitsmaßnahmen den Anforderungen des Art. 32 DS-GVO nicht genügen.

Da Verstöße gegen Art. 32 DS-GVO nach Art. 83 Abs. 4 DS-GVO bußgeldbewehrt sind, prüft die Behörde die Verhängung einer Geldbuße.

Dabei berücksichtigt sie insbesondere die Schwere und Dauer des Verstoßes, mögliche Folgen für die betroffenen Personen sowie die vom Unternehmen ergriffenen Gegenmaßnahmen.

Nach Abwägung der maßgeblichen Umstände verhängt die Aufsichtsbehörde ein angemessenes Bußgeld gegen das Unternehmen.

legal data Einschätzung: Unternehmen sollten Datenschutzverstöße nicht erst dann ernst nehmen, wenn eine Aufsichtsbehörde ein Verfahren einleitet. Entscheidend ist, datenschutzrechtliche Pflichten frühzeitig zu erkennen und geeignete Schutzmaßnahmen umzusetzen. Werden Schwachstellen festgestellt, sollten diese nachvollziehbar geprüft und zeitnah behoben werden. Eine angemessene Datenschutzorganisation kann das Risiko von Verstößen und daraus folgenden Bußgeldern reduzieren.

Rechtsgrundlagen

Art. 58 Abs. 2 DS-GVO

Art. 83 DS-GVO

Art. 84 DS-GVO

ergänzend Art. 5, Art. 6, Art. 12–22, Art. 28, Art. 32 und Art. 33 DS-GVO sowie die jeweils anwendbaren nationalen Verfahrens- und Bußgeldvorschriften