DSGVO-Bußgeld

Subscribe to DSGVO-Bußgeld via RSS
Paragraph sign made from binary code over abstract background

EU-Parlament soll im Februar 2024 über Neuregelung zur Sanktionierung von DSGVO-Verstößen entscheiden

von Tim Wybitul und Dr. Isabelle Brams 

Die geplante Neuregelung soll im Februar im EU-Parlament verabschiedet werden. Sie wäre sehr nachteilig, wenn ihr euch gegen den Vorwurf möglicher DSGVO-Verstöße verteidigen müsstet. Das geplante Gesetzesvorheben dürfte die Entwicklung hin zu höheren Geldbußen bei DSGVO-Verstößen noch weiter erheblich verstärken. Unternehmen haben aber jetzt noch die Möglichkeit, auf diese Entwicklung Einfluss zu nehmen oder jedenfalls ihre Auswirkungen zu begrenzen. Hier wäre aber ein zeitnahes Handeln notwendig.

Überblick: Die EU-Kommission hat im Juli 2023 den Erlass der sog. Enforcement-Verordnung angekündigt. Die geplante Verordnung zur Ergänzung der DSGVO zielt vor allem darauf ab, die Durchführung von Bußgeldverfahren zu vereinheitlichen und zu beschleunigen. Dies betrifft vor allem grenzüberschreitende Sachverhalte. Zudem sieht der Entwurf eine weitreichende Ausweitung der Rechte von Beschwerdeführern und eine Ausweitung von Akteneinsichtsrechten für alle Beteiligten vor.

Auswirkungen: Sollten die geplanten Regelungen in dieser oder ähnlicher Form in Kraft treten, hätte dies für die Praxis weitreichende Folgen. Insbesondere würde es für Unternehmen erheblich schwieriger, sich effektiv in Bußgeldverfahren zu verteidigen. Gleichzeitig steigt durch die Enforcement-Verordnung das Risiko höherer Bußgelder für Unternehmen massiv an.

Paragraph sign made from binary code over abstract background

Von Tim Wybitul, Dr. Marc Philipp Weber, Tim Wybitul und Dr. Arne Klaas

Die Verhängung von Geldbußen nach Art. 83 DS-GVO nimmt in der Praxis eine immer wichtigere Stellung ein. Deutsche und andere europäische Aufsichtsbehörden verhängen immer mehr und höhere Bußgelder wegen Datenschutzverstößen.

Viele Fragen zur Verhängung solcher Geldbußen sind dabei sehr umstritten. Die Zeitschfit für Datenschutz (ZD) hat mit Dr. Marc Philipp Weber, Tim Wybitul und Dr. Arne Klaas drei Praktiker zum Interview gebeten, die sich in ihrer…

Paragraph sign made from binary code over abstract background

von Tim Wybitul

Die deutschen Datenschutzbehörden fordern eine unmittelbare Unternehmenshaftung bei möglichen Verstößen gegen die DSGVO. Unter anderem wollen sie Geldbußen gegen Unternehmen verhängen können, ohne eine Aufsichtspflichtverletzung oder sonstiges schuldhaftes Handeln nachweisen zu müssen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat hierzu eine „Stellungnahme zu Grundsatzfragen zur Sanktionierung von Datenschutzverstößen von Unternehmen“ veröffentlicht. Eine kritische Einordnung der Stellungnahme der DSK zur geforderten unmittelbaren Unternehmenshaftung aus der aktuellen Zeitschrift für Datenschutz (ZD) können…

Lock background v2.0

von Tim Wybitul

Bußgelder wegen Verstößen gegen die komplexen Anforderungen des EU-Datenschutzrechts werden zu einem immer größeren Risiko für Unternehmen. Europäische Aufsichtsbehörden haben bereits mehrere dreistellige Millionenbußgelder verhängt. Pro Verstoß drohen bis zu vier Prozent des globalen Vorjahresumsatzes. Zudem haben die EU-Aufsichtsbehörden mittlerweile ein Modell zur Berechnung von DSGVO-Bußgeldern verabschiedet, das künftig wohl zu noch höheren Sanktionen führt. Gleichzeitig legen die Aufsichtsbehörden viele Anforderungen der DSGVO sehr weitgehend aus. Andererseits kann man sich gegen den Verdacht von Verstößen gegen datenschutzrechtliche…

CPU With Binary Numbers And Blueprint

von Tim Wybitul, Prof. Dr. Thomas Grützner, Dr. Stefan Bartz, Dr. Isabelle Brams

Die deutschen Datenschutzbehörden verhängen derzeit Bußgelder wegen Verstößen gegen die DSGVO direkt gegen das jeweilige Unternehmen. Diese Möglichkeit ergibt sich nach Ansicht der Behörden aus dem sogenannten (kartellrechtlichen) „funktionalen Unternehmensbegriff“, der in Erwägungsgrund 150 S. 3 DSGVO angelegt sei. Art. 83 DSGVO enthalte demnach eine Funktionsträgerhaftung, die den Regelungen des deutschen Ordnungswidrigkeitengesetzes (OWiG) vorgehe. Für die Behörden würde dies in der Praxis – vereinfacht gesagt – zu faktischen Beweiserleichterungen bei der Verhängung von Bußgeldern führen.

Das Landgericht Bonn gab den Datenschutzbehörden in dieser Frage in einer Entscheidung aus dem Jahr 2020 Recht. Die nach deutschem Recht geltenden §§ 130, 30 OWiG, die eine zurechenbare Anknüpfungstat einer Leitungsperson voraussetzen, widersprächen EU-Recht. Sie seien daher bei DSGVO-Bußgeldern nicht anwendbar. Das Landgericht Berlin gelangte in einer nicht rechtskräftigen Entscheidung zum gegenteiligen Ergebnis.

von Tim Wybitul

Mittlerweile haben mehrere deutsche Datenschutzaufsichtsbehörden zweistellige Millionenbußgelder nach Art. 83 DSGVO verhängt. Kurz nach Geltung der DSGVO war es teilweise noch durchaus möglich, sich mit den zuständigen Behörden einvernehmlich auf niedrige Bußgeldzahlungen zu einigen. So konnten wir beispielsweise bei einem der ersten auf der Grundlage der DSGVO verhängten Bußgelder mit der zuständigen Behörde eine Einigung auf eine Zahlung von 20.000 Euro erzielen. Derartige Erfolge werden vor dem Hintergrund der mittlerweile oft sehr hohen in Deutschland und anderen EU-Mitgliedstaaten verhängten Bußgelder wegen Datenschutzverstößen schwieriger.

von Tim Wybitul

Viele deutsche Datenschutzbehörden verhängen Bußgelder wegen Verstößen gegen die DSGVO direkt gegen das jeweilige Unternehmen. Dies begründen Sie damit, dass Art. 83 DSGVO eine unmittelbare Funktionsträgerhaftung regele, die den deutschen Regelungen des Ordnungswidrigkeitengesetzes (OWiG) vorgehe. Daher gelte bei Datenschutzverstößen eine Art Sonderbußgeldrecht, bei dem die Datenschutzbehörden keine Pflichtverstöße einer Leitungsperson des Unternehmens feststellen müssten. Eine Zurechnung des Verhaltens einzelner natürlicher Personen gegenüber dem Unternehmen sei nicht nötig.

von Tim Wybitul und Dr. Wolf-Tassilo Böhm

Das Landgericht Bonn hat am 11. November 2020 erstmals in einem Bußgeldverfahren ein Urteil erlassen:

„Die 9. Kammer für Bußgeldsachen des Landgerichts Bonn hat heute entschieden, dass das Bußgeld, welches der Bundesbeauftragte für den Datenschutz und Informationsfreiheit (BfDI) gegen einen Telekommunikationsdienstleister aufgrund eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) verhängt hat, dem Grunde nach berechtigt, aber unangemessen hoch sei. Die Kammer hat das Bußgeld von ursprünglich 9,55 Millionen Euro daher auf 900.000 Euro herabgesetzt.“…

von Tim Wybitul, Valentino Halim, Dr. Wolf-Tassilo Böhm

Der Bundesgerichtshof (BGH) hat in einem Grundsatzurteil vom 28. Mai 2020 (Cookie-Einwilligung II-Urteil) darüber entschieden, welche Anforderungen die an Einwilligungen von Website-Nutzern in den Einsatz von Cookies zu stellen sind. Danach dürfen Website-Betreiber für den Betrieb der Website nicht unbedingt erforderliche Cookies auf dem Endgerät eines Nutzers nur nach dessen vorheriger aktiver Einwilligung (sogenanntes Opt-in) setzen. Damit folgt der BGH einer Entscheidung des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2019 (Planet49-Urteil), dem er den Rechtsstreit zur Vorabentscheidung vorgelegt hatte. Der BGH hatte unter anderem über die Kernfrage zu entscheiden, auf welchem Wege Website-Betreiber Einwilligungen ihrer Nutzer in das Setzen und Auslesen von Cookies einholen müssen. Konkret stand in Streit, ob dies im Wege eines Opt-in erfolgen muss, oder ob auch das Nichtabwählen eines voragekreuzten Kästchens eine wirksame Einwilligung darstellt (sogenanntes Opt-out).

Von Tim Wybitul

Die französische Datenschutzbehörde CNIL hatte 2019 gegen ein Technologieunternehmen ein hohes Bußgeld verhängt. Das Unternehmen war dann gerichtlich gegen das Bußgeld vorgegangen. Das zuständige Gericht für die Überprüfung des Bußgelds war der Conseil d’État. In einer Entscheidung vom 19. Juni 2020 haben die Richter nun entschieden, dass das Unternehmen Nutzern keine ausreichend klaren und transparenten Informationen zur Verfügung stellte. Dies versetze die Nutzer nicht in die Lage, eine freie und informierte Zustimmung zur Verarbeitung ihrer personenbezogenen…