Die Bußgelder der DSGVO

Die Bußgelder der DSGVO

Eines der Dinge, die man zuverlässig erfährt, wenn man sich mit der neuen Datenschutz-Grundverordnung (DSGVO) beschäftigt, ist, dass es horrende Bußgelder gibt: 4 Prozent des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro soll derjenige berappen, der sich nicht an die komplexen neuen Vorschriften hält.

Neuer Bußgeldrahmen

Tatsächlich sieht die DSGVO neue Bußgeldrahmen vor: Lagen diese bisher bei bis zu 50.000 Euro (bzw. bis zu 300.000 Euro in schwerwiegenderen Fällen), liegen die Grenzen nunmehr bei bis zu 10 Millionen Euro oder im Falle eines Unternehmens bei bis zu 2% des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres (bzw. bis zu 20 Millionen Euro oder 4% des Umsatzes bei schwerwiegenderen Fällen).

Alternativen zum Bußgeld

Die Geldbußen sollen nach der DSGVO „wirksam, verhältnismäßig und abschreckend“ sein.

In Art. 83 Abs. 2 Satz 1 DSGVO heißt es: „Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach […] verhängt.“ Das bedeutet, dass das sog. Opportunitätsprinzip, nicht dagegen das Legalitätsprinzip gilt.

Die Behörde muss einen Verstoß nicht mit einem Bußgeld belegen. Sie kann ihr pflichtgemäßes Ermessen im Einzelfall ausüben und von einem Bußgeld absehen. Sie kann anstelle dessen etwa eine Verwarnung aussprechen oder durch Weisungen die Verarbeitung von Daten bestimmen. Insgesamt ist aber von höheren Bußgeldern auszugehen, da sich der Bußgeldrahmen nach oben verschoben hat.

Wie die Höhe des Bußgeldes bestimmt wird

• Art, Schwere und Dauer des Verstoßes
• Art, Zweck, Umfang der betreffenden Verarbeitung
• Zahl der betroffenen Personen
• Ausmaß des erlittenen Schadens
• Vorsatz oder Fahrlässigkeit des Verstoßes
• Getroffene Maßnahmen zur Minderung des entstandenen Schadens
• Grad der Verantwortung des Verantwortlichen oder Auftragsverarbeiters unter Berücksichtigung der von ihnen getroffenen technischen oder organisatorischen Maßnahmen
• Etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters
• Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern
• Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind
• Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und ggf. in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat.

• Die Bußgelder sind hoch, aber sie werden nicht ausgeschöpft werden
• Es gibt viele Handlungsoptionen, um Bußgelder auch nachträglich zu verhindern oder zu mindern.
• Die eigentliche Gefahr sind für Online-Händler womöglich nicht die Datenschutzbehörden, sondern die Abmahnungen durch Mitbewerber oder Verbände.