DSGVO-Bußgeld: Welche Datenschutz-Strafen drohen bei Verstößen?

Kann bei einem Verstoß gegen Datenschutz ein Bußgeld drohen?

Verstoßen Unternehmen gegen die Datenschutzgrundverordnung, weil sie beispielsweise personenbezogene Daten nicht nach DSGVO-Vorgaben verarbeiten, droht ihnen ein Bußgeld.

In der Praxis drohen Datenschutz-Strafen zum Beispiel, wenn:

• eine fehlerhafte Datenschutzerklärung auf der Unternehmens-Website eingebunden ist oder gänzlich fehlt;
• personenbezogene Daten über Kontaktformulare unverschlüsselt übertragen werden;
• kein Datenschutzbeauftragter benannt wurde, obwohl das Unternehmen dazu verpflichtet wäre oder
• eine Datenschutzverletzung vertuscht wurde.

Ihre Datenschutzerklärung ist fehlerhaft und Sie wissen nicht, wie diese aussehen soll? Unsere Vorlage für eine Datenschutzerklärung schafft Abhilfe!

Bußgelder vermeiden: Datenpannen rechtzeitig erkennen und melden

Bis zu 20 Mio. EUR Bußgeld bei nicht gemeldeten Datenschutzverletzungen – unsere Data-Breach-Software hilft Ihnen, die 72-Stunden-Frist einzuhalten. Automatisierte Workflows führen Sie durch die Meldepflicht und dokumentieren rechtssicher für Aufsichtsbehörden.

Jetzt Data-Breach-Management entdecken

Welche Strafen und Konsequenzen sind beim Verstoß gegen den Datenschutz möglich?

Bei Verstößen gegen Kernpflichten (Art. 83 Abs. 2 DSGVO) drohen Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – es gilt der höhere Wert. Dazu zählen etwa Verstöße gegen die Rechtmäßigkeit der Verarbeitung, die Einwilligung oder die Betroffenenrechte.

Andere Verstöße (Art. 83 Abs. 3 DSGVO) ziehen Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich. Auch hier gilt der höhere Wert. Dies betrifft etwa Verstöße gegen Dokumentationspflichten oder Meldepflichten.

Das bisher höchste DSGVO-Bußgeld von 1,2 Milliarden Euro wurde gegen Meta verhängt.

Weitere mögliche Konsequenzen

• Anordnungen der Aufsichtsbehörde: Behörden können beispielsweise Maßnahmen zur Mängelbeseitigung, Einschränkung oder Verbot von Datenverarbeitungen anordnen

• Schadensersatz: Betroffene können unter Umständen materiellen und immateriellen Schadenersatz verlangen; bei vielen Betroffenen kann das schnell hohe Summen ergeben

• Arbeitsrechtliche Konsequenzen: Bei Verstößen durch Mitarbeitende sind je nach Schwere Abmahnungen oder (außerordentliche) Kündigungen möglich.

• Reputations- und Geschäftsschäden: Öffentlich bekannt gewordene Vorfälle können Vertrauen kosten und zu Umsatz- oder Vertragsnachteilen führen

• „DSGVO-Abmahnung“: Bei bestimmten, nach außen sichtbaren Datenschutzverstößen wie Fehlern in der Datenschutzerklärung können Wettbewerber unter Umständen eine Abmahnung eine Abmahnung nach dem Gesetz gegen unlauteren Wettbewerb (UWG) geltend machen – nicht auf Basis der DSGVO selbst

• Strafrechtliche Sanktionen (nationale Ebene): Nach § 44 BDSG drohen Freiheitsstrafen bis zu drei Jahren oder Geldstrafen bei vorsätzlichen Verstößen gegen Datenschutzpflichten

Je nach Umständen können außerdem interne Regress- oder Haftungsfragen relevant werden.

Bußgeldkatalog Datenschutz: Wonach richtet sich die Bußgeldhöhe bei einem Datenschutzverstoß?

Wie hoch ein Bußgeld ausfällt, kann stark variieren. Maßgeblich sind die Bemessungskriterien nach Art. 83 Abs. 2 DSGVO. Dieser Kriterienkatalog gibt den Datenschutzbehörden einen Ermessensspielraum.

Berücksichtigt werden dabei insbesondere:

• Art, Schwere und Dauer des Verstoßes

• Vorsatz oder Fahrlässigkeit

• Maßnahmen zur Minderung des Schadens der betroffenen Personen

• Grad der Verantwortung unter Berücksichtigung der technischen und organisatorischen Maßnahmen (TOM)

• frühere einschlägige Verstöße  

• Umfang der Zusammenarbeit mit der Datenschutzaufsichtsbehörde zur Abhilfe oder Minderung

• Kategorien personenbezogener Daten, die betroffen sind

• Art und Weise der Bekanntgabe an die Behörde, insbesondere ob und wie der Verstoß gemeldet wurde  

• Einhaltung genehmigter Verhaltensregeln oder Zertifizierungen

• sonstige erschwerende oder mildernde Umstände, wie erlangte wirtschaftliche Vorteile oder vermiedene Verluste durch den Verstoß

• Die Datenschutzbehörden haben also einen erheblichen Ermessensspielraum in der Bewertung. Wie hoch Bußgelder und Sanktionen tatsächlich ausfallen, kann somit stark variieren.

Die Datenschutzbehörden haben also einen erheblichen Ermessensspielraum in der Bewertung. Wie hoch Bußgelder und Sanktionen tatsächlich ausfallen, kann somit stark variieren.

Weitere mögliche Sanktionen

Der Bußgeldkatalog im Datenschutz, wie ihn die DSGVO festlegt, ist nicht abschließend. Die einzelnen Mitgliedstaaten der Europäischen Union können nach Art. 84 DSGVO andere Sanktionen für Verstöße gegen die Verordnung festlegen. Dabei gibt die DSGVO nur vor, dass diese wirksam, verhältnismäßig und abschreckend sein müssen. Zuständig für die Verhängung von Bußgeldern ist die entsprechende Aufsichtsbehörde im Hoheitsgebiet des einzelnen Mitgliedstaates.

Neben Bußgeldern drohen Unternehmen bei Datenschutzverletzungen unter Umständen auch andere Anordnungen durch die Aufsichtsbehörde, beispielsweise eine vorübergehende oder endgültige Beschränkung oder ein Verbot der Verarbeitung von Daten.

Fazit: Warum Unternehmen den Bußgeldkatalog im Datenschutz ernst nehmen sollten

Datenschutz-Strafen können für Unternehmen schnell zur finanziellen Belastung werden. Unter Umständen kann eine Durchgriffshaftung eine Vollstreckung in das Privatvermögen des Geschäftsführers zur Folge haben.  

Hinweis zu Versicherungsschutz: Viele Datenschutzhaftpflichtversicherungen decken fahrlässig begangene Verstöße ab. Vorsätzliche Handlungen können jedoch aus dem Versicherungsschutz ausgenommen sein oder unterliegen Beschränkungen.

Unternehmen sollten deshalb dringend an der Einhaltung datenschutzrechtlicher Vorschriften arbeiten, um das Risiko eines DSGVO-Bußgelds gering zu halten. Mit Hilfe eines Datenschutzbeauftragten und eines umfassenden Datenschutz-Managements können Sie den Datenschutz im Unternehmen im Betriebsalltag umsetzen.

Um das Risiko eines Bußgelds möglichst gering zu halten, sollten Sie daher handeln. Mit Hilfe eines Datenschutzbeauftragten oder zumindest eines umfassenden Datenschutz-Managements können Sie den Datenschutz im Unternehmen im Betriebsalltag umsetzen.

Denken Sie daran: Schon die kleinste Lücke im Unternehmen kann zu Verstößen gegen die DSGVO führen, wodurch Bußgelder oder gegebenenfalls Abmahnungen durch Konkurrenten drohen können. Darum sollten Sie auch alle Mitarbeiter hinsichtlich des Datenschutzes sensibilisieren und mit Mitarbeiterschulungen vorbereiten.

Die Experten von Proliance unterstützen Sie gern dabei, wenn Datenschutz zwar eine hohe Priorität in Ihrem Unternehmen genießt, die personellen Ressourcen jedoch knapp sind.