Aktuelle Bußgelder in Sachen Datenschutz - Rechts- und Patentanwälte

Deutsch / English

Aktuelle Bußgelder in Sachen Datenschutz

Seit Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) in Kraft. Zwar sind die angekündigten Abmahnwellen bislang ausgeblieben, die behördlichen Sanktionen sind jedoch nicht unbeachtlich. Wir geben Ihnen einen Überblick über die aktuelle Bußgeld-Praxis.

Erheblicher Bußgeldrahmen

Mit der DSGVO wollte die EU den Datenschutzbehörden der Mitgliedstaaten ein „scharfes Schwert“ zur Durchsetzung des Datenschutzes zur Verfügung stellen. Diesen stehen gemäß Art. 83 DSGVO bei datenschutzrechtlichen Verstößen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des vom Verletzer weltweit erzielten Jahresumsatzes zur Verfügung. Zwar wurde in Deutschland bisher noch keine Millionenstrafe verhängt, der internationale Vergleich zeigt jedoch das Potential dieser Strafandrohung.

Spitzenreiter Google

Das bisher höchste DSGVO-Bußgeld wurde in Frankreich gegen Google verhängt. Dem Internetriesen wurde vorgeworfen, seine Nutzer nicht ausreichend transparent über die Datenverarbeitung zu unterrichten. Die Informationen seien zu schwer aufzufinden und ungenau formuliert gewesen, weshalb die zuständige Behörde ein Bußgeld in Höhe von 50 Millionen Euro verhängte.

Dieses Beispiel zeigt auch für kleinere und mittelständische Unternehmen, wie wichtig die ordnungsgemäße Information der datenschutzrechtlich Betroffenen ist.

Patientendaten in Portugal

Als Eindrucksvoll erweist sich auch ein Fall aus Portugal: der Klinik Barreiro Montijo wurde im Oktober 2018 ein Bußgeld in Höhe von 400.000 € auferlegt, weil zu viele nichtberechtigte Mitarbeiter uneingeschränkten Zugriff auf Patientendaten hatten. Diese konnten sich als Ärzte einloggen. Bei 296 beschäftigten Ärzten waren 985 aktive „Ärzte“ als Nutzer registriert.

Dies zeigt, dass nur Berechtigte Zugriff auf besondere Datenkategorien haben dürfen. In anderen Unternehmen dürfte die Buchhaltung entsprechend zu schützen sein.

Polnischer Datenklau

Die Polnische Datenschutzbehörde verhängte im April 2019 gegen die Bisnode AB eine Geldbuße von knapp 1 Millon Zloty, umgerechnet ca. 220.000 Euro, wegen der Sammlung von Datensätzen ohne Belehrung der Betroffenen. Selbst nach Abschreiben aus Telefonbüchern muss in der Folge belehrt werden.

Dies hat auch Auswirkungen auf jegliche Akquisetätigkeiten in gewöhnlichen Unternehmen. Eine Belehrung ist stets Pflicht.

Deutsche Schadensbegrenzung

Im direkten Vergleich zeigen sich die deutschen Behörden dagegen bisher eher zurückhaltend. Der deutsche „Rekord“ liegt derzeit bei 80.000 €. Auch hier ging es um Gesundheitsdaten, welche versehentlich im Internet veröffentlicht wurden.

Insgesamt verhängten die Datenschutzbeauftragten der Länder innerhalb des ersten DSGVO-Jahres in etwa 75 Fällen Bußgelder – in Summe ca. 500.000 €.

Festzustellen ist jedoch auch, dass die Höhe des Bußgeldes entscheidend vom Bemühen des Verletzers zur Beseitigung des Verstoßes abhängt. So wurde im September 2018 bekannt, dass Hacker etwa 1,8 Millionen Datensätze von Nutzern der Website Knuddels.de auslesen konnten, welche auf den Servern unverschlüsselt gespeichert waren. Die Websitebetreiber wandten sich daraufhin umgehend an den zuständigen Landesdatenschutzbeauftragten und übermittelten umfangreiche Informationen zu dem Vorfall. Die Kooperation lohnte sich: Trotz des erheblichen Ausmaßes des Verstoßes wurde Knuddels.de ein Bußgeld von nur 20.000 € auferlegt.

Fazit

Die Geldbußen der Datenschutzbehörden sind stets so ausgestaltet, dass sie unabhängig von der Größe des Unternehmens empfindlich, jedenfalls ärgerlich ausfallen. Wichtig ist neben der guten Kooperation mit der Behörde dabei stets ein gelungenes Krisenmanagement, das die Aufarbeitung der Datenschutzverstöße sowie die Gestaltung tauglicher Gegenmaßnahmen umfasst. Dennoch kann die Wahrscheinlichkeit eines Datenschutzverstoßes nur durch ein ganzheitliches Datenschutzmanagement und die Umsetzung durch alle Mitarbeiter gewährleistet werden.

Neben unserem Schulungsangebot für Ihre Mitarbeiter halten wir selbstverständlich auch im Falle von Datenschutzverstößen umfassende Maßnahmen zur Abmilderung der Konsequenzen zur Verfügung. Sprechen Sie uns daher an, sollten Sie einen Datenschutzverstoß feststellen.

Alexander Brittner, LL.M.
Rechtsanwalt, Datenschutzbeauftragter (TÜV)

E-Mail: alexander.brittner@bolex.de
Telefon: +49 (234) 91360