DSGVO-Bußgelder in Deutschland

DSGVO-Bußgelder in Deutschland: der Rahmen

DSGVO-Bußgelder werden von den Datenschutzaufsichtsbehörden nach Art. 83 der Datenschutz-Grundverordnung (DSGVO) verhängt. Die Verordnung sieht dabei zwei unterschiedliche Obergrenzen vor. Verstöße gegen Pflichten wie Datenschutz durch Technikgestaltung, das Verzeichnis von Verarbeitungstätigkeiten, die Sicherheit der Verarbeitung, die Meldung von Datenschutzverletzungen und die Vorschriften über Datenschutzbeauftragte können mit Geldbußen von bis zu 10 Millionen Euro oder, bei einem Unternehmen, von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).

Verstöße gegen die Grundsätze der Verarbeitung, die Rechtsgrundlagen einschließlich der Einwilligung, die Rechte der betroffenen Personen und die Vorschriften über Drittlandübermittlungen können mit Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Die Nichtbefolgung einer Anweisung der Aufsichtsbehörde fällt in die höhere Kategorie (Art. 83 Abs. 6 DSGVO).

In Deutschland richtet sich das Bußgeldverfahren nach dem Gesetz über Ordnungswidrigkeiten (OWiG), angepasst durch das Bundesdatenschutzgesetz (BDSG). Die Aufsicht ist aufgeteilt: Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt öffentliche Stellen des Bundes sowie Telekommunikations- und Postunternehmen, während die Datenschutzaufsichtsbehörden der Länder die meisten privaten Unternehmen beaufsichtigen. In der Praxis wird das Risiko eines DSGVO-Bußgelds mit der Behörde des Landes gesteuert, in dem das Unternehmen seine Hauptniederlassung hat – oder bei grenzüberschreitender Verarbeitung über das Verfahren der Zusammenarbeit und Kohärenz der DSGVO (One-Stop-Shop).

Wie das deutsche Recht auf DSGVO-Bußgelder anzuwenden ist

§ 41 BDSG erklärt das OWiG mit wichtigen Abweichungen für DSGVO-Bußgelder für anwendbar. Die Vorschriften des OWiG über das allgemeine Höchstmaß und die Zumessung der Geldbuße (§ 17 OWiG) und über die Zuständigkeit der Verwaltungsbehörden (§§ 35, 36 OWiG) finden keine Anwendung, weil die DSGVO diese Punkte selbst regelt.

Übersteigt die festgesetzte Geldbuße den Betrag von 100.000 Euro, entscheidet über einen Einspruch das Landgericht statt des Amtsgerichts (§ 41 Abs. 1 BDSG). Gegen Behörden und sonstige öffentliche Stellen im Sinne des BDSG werden keine Geldbußen verhängt (§ 43 Abs. 3 BDSG). Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO darf in einem Bußgeldverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden (§ 43 Abs. 4 BDSG).

Das Urteil Deutsche Wohnen

Der deutsche Ansatz wurde im Fall Deutsche Wohnen grundlegend auf die Probe gestellt. Die Berliner Datenschutzbehörde hatte gegen ein großes Wohnungsunternehmen ein Bußgeld von über 14 Millionen Euro verhängt, weil es Daten von Mietern länger als erforderlich gespeichert hatte. Die Berliner Gerichte bezweifelten, dass gegen eine juristische Person ein Bußgeld verhängt werden kann, ohne zuvor eine natürliche Person – einen Geschäftsleiter oder Mitarbeiter – festzustellen, deren Verhalten dem Unternehmen zugerechnet wird, wie es das herkömmliche Modell der Unternehmensgeldbuße nach dem OWiG verlangt. Der Gerichtshof der Europäischen Union (EuGH) hat darauf mit Urteil vom 5.12.2023 – C-807/21 (Deutsche Wohnen) geantwortet.

Nach der Pressemitteilung des EuGH gilt:

• Eine Geldbuße darf nur verhängt werden, wenn der Verstoß schuldhaft – vorsätzlich oder fahrlässig – begangen wurde; das ist der Fall, wenn sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichgültig, ob ihm dabei bewusst war, dass er gegen die DSGVO verstößt;
• eine juristische Person haftet für Verstöße ihrer Vertreter, Leitungspersonen und Geschäftsführer sowie jeder anderen Person, die im Rahmen ihrer unternehmerischen Tätigkeit und in ihrem Namen handelt; der Verstoß muss nicht von einem Leitungsorgan begangen worden sein, und die Verhängung einer Geldbuße darf nicht von der vorherigen Feststellung abhängig gemacht werden, dass eine identifizierte natürliche Person den Verstoß begangen hat;
• gehört der Adressat zu einem Unternehmen, wird der Höchstbetrag der Geldbuße auf Grundlage des gesamten weltweit erzielten Jahresumsatzes des Unternehmens als Ganzes – der wirtschaftlichen Einheit im kartellrechtlichen Sinne – im vorangegangenen Geschäftsjahr berechnet.

Das Urteil hat das bisherige deutsche Erfordernis der Identifizierung für DSGVO-Bußgelder beseitigt und den Konzernumsatz als Grundlage der Obergrenze bestätigt.

In der Praxis konzentrieren sich die Behörden nun auf die Organisation des Unternehmens: ob es angemessene Prozesse, Anweisungen und Kontrollen zur Verhinderung des Verstoßes hatte. Der Nachweis eines funktionierenden Datenschutzmanagementsystems ist daher nicht nur für die Compliance von Bedeutung, sondern auch für die Beurteilung der Fahrlässigkeit und die Höhe eines etwaigen Bußgelds. Der EuGH hat in weiterer Rechtsprechung bestätigt, dass der kartellrechtliche Unternehmensbegriff auch für die Bemessung der angemessenen Höhe einer Geldbuße maßgeblich ist, nicht nur für die Obergrenze. Unser Beitrag zum Urteil Deutsche Wohnen erläutert die Begründung ausführlicher.

Wie ein DSGVO-Bußgeld berechnet wird

Art. 83 Abs. 2 DSGVO verlangt von den Behörden, alle Umstände zu berücksichtigen, darunter Art, Schwere und Dauer des Verstoßes, die Zahl der betroffenen Personen und das Ausmaß des erlittenen Schadens, den vorsätzlichen oder fahrlässigen Charakter, Maßnahmen zur Minderung des Schadens, den Grad der Verantwortung unter Berücksichtigung der technischen und organisatorischen Maßnahmen, frühere Verstöße, die Zusammenarbeit mit der Behörde, die Kategorien der Daten, die Art und Weise, wie der Verstoß der Behörde bekannt wurde, die Einhaltung früherer Anordnungen, die Einhaltung von Verhaltensregeln sowie sonstige erschwerende oder mildernde Umstände. Geldbußen müssen wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO).

Die Leitlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen legen eine Methodik fest: Einstufung des Verstoßes nach seiner Schwere, Bestimmung eines an den Umsatz geknüpften Ausgangsbetrags, Anpassung an erschwerende und mildernde Umstände sowie Prüfung des gesetzlichen Höchstbetrags und der Verhältnismäßigkeit. Die deutschen Behörden wenden diese Leitlinien an, die das frühere, von der Datenschutzkonferenz entwickelte deutsche Bußgeldkonzept abgelöst haben.

Grenzüberschreitende Fälle und der One-Stop-Shop

Unternehmen mit Niederlassungen in mehreren Mitgliedstaaten, die grenzüberschreitend Daten verarbeiten, haben es nach dem One-Stop-Shop-Mechanismus der DSGVO mit einer federführenden Aufsichtsbehörde zu tun – der Behörde ihrer Hauptniederlassung. Andere betroffene Behörden können Einwände erheben, und Streitigkeiten werden vom Europäischen Datenschutzausschuss entschieden.

Für Konzerne mit Sitz in Deutschland ist die federführende Behörde in der Regel die Datenschutzaufsichtsbehörde des Landes, in dem sich die Hauptniederlassung befindet. Für Konzerne mit Sitz in einem anderen EU-Mitgliedstaat handeln die deutschen Behörden als betroffene Behörden und können Beschwerden deutscher betroffener Personen vor Ort bearbeiten. Unternehmen sollten ihre Hauptniederlassung sorgfältig bestimmen, denn sie entscheidet darüber, welche Behörde federführend ist und welche Verfahrenskultur gilt.

Einzelpersonen, Geschäftsleiter und interne Verantwortlichkeit

DSGVO-Bußgelder richten sich gegen Verantwortliche und Auftragsverarbeiter, also in der Regel gegen Unternehmen. Einzelne Mitarbeiter, die personenbezogene Daten außerhalb ihrer Aufgaben zu eigenen Zwecken nutzen, können selbst Verantwortliche werden und Bußgeldern oder nach § 42 BDSG für bestimmte vorsätzliche Handlungen strafrechtlicher Verantwortung ausgesetzt sein. Geschäftsführer werden für DSGVO-Verstöße des Unternehmens als solche nicht persönlich mit Bußgeldern belegt, sie können aber wegen einer unzureichenden Compliance-Organisation internen Haftungsansprüchen und nach allgemeinem deutschem Recht Bußgeldern wegen Verletzung der Aufsichtspflicht ausgesetzt sein. Geschäftsleitungen sollten daher regelmäßig über Datenschutzrisiken unterrichtet werden und sicherstellen, dass der Datenschutzbeauftragte und die Compliance-Funktion angemessen ausgestattet sind; siehe unseren Beitrag zu Datenschutzbeauftragten.

Typische Auslöser für ein DSGVO-Bußgeld in Deutschland

Deutsche Aufsichtsbehörden haben Bußgelder in den vergangenen Jahren am häufigsten verhängt wegen:

• übermäßiger Speicherdauer und fehlender Löschkonzepte;
• unzulässiger Beschäftigtenüberwachung, einschließlich Videoüberwachung und Profilbildung über Beschäftigte;
• unzureichender technischer und organisatorischer Sicherheitsmaßnahmen, die zu Datenschutzverletzungen führten;
• unzulässiger Werbung, unzulässigen Trackings und Cookies ohne wirksame Einwilligung auf Websites und in Apps;
• nicht vollständiger oder nicht fristgerechter Beantwortung von Betroffenenanfragen innerhalb der Monatsfrist;
• unzulässiger Übermittlungen von Daten in Drittländer;
• verspäteter Meldung von Datenschutzverletzungen oder unterlassener Benachrichtigung betroffener Personen, soweit erforderlich.

Viele Verfahren beginnen in der Praxis mit einer Beschwerde einer betroffenen Person oder einer Meldung einer Datenschutzverletzung. Die Behörden führen außerdem Prüfungen und branchenweite Untersuchungen durch, etwa zum Website-Tracking oder zum Kredit-Scoring. Ehemalige Mitarbeiter, die mit ihrem Arbeitgeber im Streit liegen, sind eine häufige Quelle von Beschwerden, oft in Verbindung mit Auskunftsersuchen nach Art. 15 DSGVO. Auch Medienberichte über Datenvorfälle können die Behörden veranlassen, von Amts wegen Verfahren einzuleiten, weshalb die Kommunikation über Vorfälle rechtlich abgestimmt werden sollte.

Verteidigung gegen DSGVO-Bußgelder

1. Die erste Anfrage sorgfältig beantworten: Auskunftsersuchen der Behörde sind oft der Beginn eines Bußgeldverfahrens; die Antworten sollten zutreffend, vollständig und mit den Rechtsberatern abgestimmt sein.
2. Verschulden und Zurechnung prüfen: Nach Deutsche Wohnen ist die Fahrlässigkeit das zentrale Streitfeld – dokumentieren Sie Compliance-Maßnahmen, eingeholten Rechtsrat und vertretbare Auslegungen unklarer Vorschriften.
3. Die Umsatzgrundlage überprüfen: Klären Sie, welche Gesellschaften die wirtschaftliche Einheit bilden und ob die verwendeten Umsatzzahlen zutreffen.
4. Mildernde Umstände nutzen: Zusammenarbeit, Abhilfe, Entschädigung der betroffenen Personen und Verbesserungen des Compliance-Programms senken die Bußgelder.
5. Verständigungsmöglichkeiten prüfen: Das OWiG-Verfahren erlaubt informelle Lösungen, einschließlich reduzierter Bußgelder, wenn das Unternehmen kooperiert und Verantwortung übernimmt.
6. Das Gerichtsverfahren vorbereiten: Einsprüche führen zu Verfahren vor dem Amts- oder Landgericht unter Beteiligung der Staatsanwaltschaft; das Gericht prüft den Fall neu und ist an die Bemessung durch die Behörde nicht gebunden.

DSGVO-Bußgelder und andere Folgen

Bußgelder sind für Unternehmen nur ein Risiko unter mehreren. Betroffene Personen können nach Art. 82 DSGVO Ersatz materieller und immaterieller Schäden verlangen, und Verbraucherverbände können Unterlassungs- und Abhilfeklagen erheben; siehe unseren Beitrag zu Schadensersatzansprüchen nach der DSGVO. Die Behörden können die Einstellung der Verarbeitung anordnen, die Löschung verlangen oder Datenübermittlungen aussetzen, was einschneidender sein kann als ein Bußgeld. Wettbewerber können Datenschutzverstöße in manchen Fällen zudem in lauterkeitsrechtlichen Verfahren geltend machen.

Das Risiko im Vorfeld verringern

Der wirksamste Weg, das Risiko eines DSGVO-Bußgelds zu verringern, ist ein dokumentiertes Compliance-Programm, mit dem das Unternehmen zeigen kann, dass es nicht fahrlässig gehandelt hat: Verzeichnisse von Verarbeitungstätigkeiten, in den IT-Systemen umgesetzte Löschkonzepte, Datenschutz-Folgenabschätzungen für Verarbeitungen mit hohem Risiko, ein Dienstleistermanagement mit Auftragsverarbeitungsverträgen, Mitarbeiterschulungen, Verfahren zur Reaktion auf Datenschutzverletzungen und regelmäßige Audits. Versicherungen können Verteidigungskosten abdecken, ob Bußgelder selbst nach deutschem Recht versicherbar sind, ist aber zweifelhaft, sodass die Prävention im Mittelpunkt bleibt.

So unterstützt TRW & Co bei DSGVO-Bußgeldern

Wir beraten Unternehmen, die sich datenschutzrechtlichen Ermittlungen und Bußgeldverfahren in Deutschland gegenübersehen: bei der Beantwortung behördlicher Anfragen, beim Management von Meldungen von Datenschutzverletzungen, beim Aufbau einer Verteidigung zu Verschulden, Zurechnung und Umsatz, bei Verhandlungen mit den Aufsichtsbehörden und bei der Vertretung in Einspruchsverfahren vor den Gerichten. Wir helfen Mandanten außerdem, ihr Risiko durch Compliance-Programme und Audits im Vorfeld zu verringern. Siehe unsere Seite zu DSGVO und Datenschutz oder kontaktieren Sie uns.