Bußgelder nach der DSGVO
Die DSGVO bietet nach Artikel 83 die Möglichkeit, Bußgelder bis zu 20. 000. 000 Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs zu verhängen. Dieses publikumswirksame Schreckensszenario wurde in den letzten zwei Jahren pressewirksam vermarktet.
Insbesondere klein- und mittelständische Unternehmen sahen sich nach den vielen Veröffentlichungen einem existenzgefährdendem Risiko ausgesetzt.
Wie sieht es jetzt in der Praxis aus?
Der folgende Artikel des Heise Verlags, der im Mai veröffentlicht wurde weist auf ca. 75 Bußgeldverfahren in Deutschland hin.Dabei wurden die Aufsichtsbehörden aktiv befragt, zwei Bundesländer wollten hierzu keine Angaben machen. Das Handelsblatt weist auf ca. 70 Bußgelder bis Mai 2019 hin.
Während die Bußgelder in Deutschland vergleichsweise gering ausfallen, werden in anderen Ländern hingegen deutlich höhere Bußgelder verhängt. So wird im folgenden Artikel über das 50 Mio. Euro Bußgeld der französischen Aufsichtsbehörde gegenüber Google vom Januar 2019 berichtet. Und bereits im Oktober 2018 wurde z.B. durch die FAZ von dem gegen ein protugisisches Krankenhaus verhängte hohe Bußgeld berichtet.
Eine weitere Quelle für verhängte Bußgelder, die recht aktuell ist, findet man auf der Seite von Data Agenda. Und der „GDPR Enforcement Tracker“ von CMS versucht, eine Liste aller bekanntgewordenen Bußgelder aktuell zu halten.
Erstaunlicherweise gibt es hierzu kaum konsolidierte Veröffentlichungen von den deutschen Aufsichtsbehörden. Es ist nicht ganz klar, warum die deutschen Aufsichtsbehörden nur so spärlich Informationen zu verhängten Bußgeldern publizieren, denn Abschreckung wäre doch die beste Motivation zur Umsetzung.
Mehr Transparenz ist erforderlich
Stattdessen schwanken Betroffene und Unternehmen weiter zwischen „das muss man doch alles nicht so ernst nehmen“ und wirtschaftlicher Panik. Die deutschen Aufsichtsbehörden würden das Ziel der EU-Richtlinie und insbesondere deren Akzeptanz deutlich erhöhen, wenn sie hier mehr veröffentlichen würden. Dabei geht es nicht um den Namen des Unternehmens, sondern um den Anwendungsfall und die verhängte Bußgeldhöhe durch die jeweilige Aufsichtsbehörde.
Ebenso unbekannt ist, wieviele der Verfahren tatsächlich nach rechtlicher Klärung zum Erfolg geführt haben.
Interessant wäre auch, wieviele Meldungen von Unternehmen durch die verschärften Meldepflichten an die Aufsichtsbehörden eingegangen sind oder in welcher Anzahl Betroffene Meldung bei der Aufsichtsbehörde der Länder zu vermeintlichen Datenschutzverstößen machen.
Die überschaubaren Information suggerieren teilweise den Eindruck, als wäre die lasche Anwendung der DSGVO mit minimalem Aufwand für den Verantwortlichen die günstigere Variante, unter Berücksichtigung des unternehmerischen Risikos.
Wir sind allerdings der Überzeugung, dass mehr passiert als tatsächlich kundgetan wird, so dass wir davon abraten, dass Thema auf die leichte Schulter zu nehmen.
