DSGVO-Bußgelder

Über DSGVO-Bußgelder wird meist mit der Höchstsumme geworben und selten mit der Systematik. Dabei ist die Systematik das, was im Einzelfall zählt: Sie entscheidet, welcher Rahmen gilt, woran die Behörde die Summe misst und an welchen Stellen ein Unternehmen sie selbst beeinflussen kann.

Zwei Rahmen, nicht einer

Art. 83 DSGVO unterscheidet:

Der niedrigere Rahmen – bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – gilt für Verstöße gegen organisatorische Pflichten. Dazu zählen das fehlende Verzeichnis von Verarbeitungstätigkeiten, unzureichende technische und organisatorische Maßnahmen, die unterlassene Meldung einer Datenpanne, der fehlende Auftragsverarbeitungsvertrag und die nicht erfolgte Benennung eines Datenschutzbeauftragten.

Der höhere Rahmen – bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – gilt für Verstöße gegen die Grundsätze der Verarbeitung: fehlende Rechtsgrundlage, Verletzung der Informationspflichten, Missachtung von Betroffenenrechten, unzulässige Drittlandübermittlung.

Maßgeblich ist jeweils der höhere der beiden Werte. Für ein kleines Unternehmen ist damit faktisch der absolute Betrag die Obergrenze, für einen Konzern der Prozentsatz.

Der Unternehmensbegriff ist der wesentliche Hebel

Die Prozentangabe bezieht sich nicht auf die verantwortliche Gesellschaft, sondern auf das Unternehmen im wettbewerbsrechtlichen Sinn – also die wirtschaftliche Einheit. Bei einer Konzerntochter wird der weltweite Konzernumsatz zugrunde gelegt, nicht ihr eigener.

Das ist der Grund, warum dieselbe Verfehlung in einer Tochtergesellschaft eines internationalen Konzerns eine völlig andere Größenordnung erreicht als in einem eigenständigen Mittelständler.

Wonach die Höhe bemessen wird

Art. 83 Abs. 2 nennt die Kriterien. Die praktisch wichtigsten:

  • Art, Schwere und Dauer des Verstoßes sowie Zahl der betroffenen Personen und Ausmaß des Schadens
  • Vorsatz oder Fahrlässigkeit – der bewusste Verstoß wiegt schwerer als das Versäumnis
  • Maßnahmen zur Schadensminderung
  • Grad der Verantwortung unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen
  • frühere Verstöße
  • Zusammenarbeit mit der Aufsichtsbehörde
  • Kategorien der betroffenen Daten – besondere Kategorien nach Art. 9 wiegen schwerer
  • wie die Behörde von dem Verstoß erfahren hat – die eigene Meldung wirkt sich aus

Der letzte Punkt wird unterschätzt. Wer eine Datenpanne selbst meldet, steht messbar besser da als das Unternehmen, dessen Verstoß über eine Beschwerde ans Licht kommt. Der Ablauf steht unter Datenschutzvorfall melden.

Verschulden ist erforderlich

Der Europäische Gerichtshof hat entschieden, dass ein Bußgeld gegen einen Verantwortlichen nur bei schuldhaftem Handeln verhängt werden darf – vorsätzlich oder fahrlässig. Zugleich hat er klargestellt, dass es dafür nicht des Handelns oder der Kenntnis einer Leitungsperson bedarf: Der Verstoß eines beliebigen Beschäftigten, der im Rahmen der Unternehmenstätigkeit handelt, kann dem Unternehmen zugerechnet werden.

Für die Praxis heißt das zweierlei. Ein Unternehmen kann sich nicht damit verteidigen, die Geschäftsführung habe nichts gewusst. Und umgekehrt gewinnt der Nachweis an Gewicht, dass Beschäftigte geschult und Regelungen getroffen wurden – er ist das Gegenstück zum Fahrlässigkeitsvorwurf.

Das Bußgeld ist nicht der einzige Kostenpunkt

Daneben steht der Schadensersatz nach Art. 82 DSGVO. Einzelne Beträge sind meist gering, aber sie vervielfachen sich, sobald ein Muster erkannt ist und viele Betroffene klagen. In der Summe kann das die Behördenentscheidung übersteigen.

Hinzu kommen die Anordnungen der Behörde. Die Befugnis, eine Verarbeitung zu untersagen, trifft ein Unternehmen härter als eine Zahlung – wenn der untersagte Vorgang zum Geschäftsmodell gehört.

Was die Höhe nach unten bewegt

Vier Dinge, alle vorab zu erledigen:

  1. Dokumentation, die vorzeigbar ist. Verzeichnis, Maßnahmen, Löschkonzept, Abwägungen. Sie belegen den Grad der Verantwortung.
  2. Ein Meldeweg für Vorfälle, der die 72 Stunden hält.
  3. Nachweisbare Schulung. Sie entzieht dem Fahrlässigkeitsvorwurf die Grundlage.
  4. Kooperation, wenn es ernst wird. Fristen halten, vollständig antworten, Abhilfe belegen.

Was dagegen nicht hilft: die Hoffnung, klein genug zu sein. Der Rahmen ist zwar umsatzabhängig, das Verfahren ist es nicht – und Beschwerden treffen kleine Unternehmen genauso.

Kontakt

Sie wollen wissen, wo Ihr Haus im Ernstfall stünde? Eine Bestandsaufnahme beantwortet genau diese Frage.