Endlich mit Biss

Missy

Das Zittern war groß, als nach zweijähriger Übergangsfrist – für viele Unternehmen offenbar dennoch völlig unvermittelt – im Mai 2018 die Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union ihre Wirkung entfaltete. 20 Millionen Euro oder vier Prozent des gesamten weltweit erzielten Jahresumsatzes: Diese Zahlen, die den maximalen Bußgeldrahmen bei Verstößen gegen das europäische Datenschutzrecht abstecken, bereiteten den Führungsetagen so manch schlaflose Nacht. Der zahnlose Tiger hatte über Nacht mächtige Beißwerkzeuge bekommen.

Doch es passierte … nichts. Die so sehr heraufbeschworene Bußgeldwelle blieb aus. Die Datenschutzbehörden, personell zu unterbesetzt, um den Ansturm an DSGVO-Anfragen auch nur ansatzweise bewältigen zu können, hatten Wichtigeres zu tun, als fleißig Bußgeldbescheide zu schreiben. Das erste bekannt gewordene Bußgeld ließ bis zum November 2018 auf sich warten: 20000 Euro für den Chatdienst knuddels.de wegen unverschlüsselt gespeicherter Nutzerpasswörter. Man hätte schnell den Eindruck gewinnen können, dass die deutschen Datenschutzbehörden, anders als ihre europäischen Kollegen, zum business as usual zurückkehren und in Sachen Bußgeldhöhe eher zurückhaltend agieren.

Ein Jahr später, im November 2019, haben wir eine völlig neue Situation. Die Berliner Datenschutzbeauftragte Maja Smoltczyk hat uns jüngst das erste Rekordbußgeld beschert und damit eine neue Ära eingeläutet: 14,5 Millionen Euro soll die Wohnungsgesellschaft „Deutsche Wohnen“ zahlen, weil sie ein Archivsystem verwendete, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen.

Es darf also wieder gezittert werden, diesmal aber zu Recht. Die Datenschutzkonferenz (DSK), das Gremium aller Datenschutzbehörden der Länder, hat nämlich fast gleichzeitig ein Konzept zur Bußgeldbemessung vorgestellt, das bereits angewendet wird. Das Papier hat Sprengkraft. Jetzt kann sich nämlich jeder Geschäftsführer anhand des Umsatzes den für sein Unternehmen vorgesehenen Bußgeldkorridor ausrechnen (mehr dazu auf Seite 102). Und so viel sei verraten: Es wird teuer!

Zum erwähnten Maximalbußgeld gesellt sich quasi ein individuelles Basisbußgeld, das bei schon geringen Datenschutzverstößen grundsätzlich fällig wird. Für Heise Medien, das Mutterschiff der iX, beträgt der untere Bußgeldrahmen beispielsweise rund 416000 Euro. Vor Jahren versendete ein von uns beauftragter rammdösiger Dienstleister versehentlich ein Werbemailing an die komplette Blacklist, also an Kunden, die ausdrücklich keine Werbung wünschten. Damals musste Heise ein Bußgeld von nicht einmal 300 Euro zahlen. Damit dürfte klar sein, wohin die Reise geht.

Umsatzstarke Unternehmen dürfen sich auf saftige Bußgelder gefasst machen. Und dies ist auch ein wesentlicher Kritikpunkt. Bei ein und demselben Datenschutzverstoß können je nach Umsatz des betroffenen Unternehmens höchst unterschiedliche Bußgelder fällig werden. Auch für kleine Tochterunternehmen wird der Umsatz der Konzernmutter für die Bußgeldberechnung zugrunde gelegt. Das wird im Einzelfall zu absolut unverhältnismäßigen Bußgeldern führen. Es liegt auf der Hand, dass daher viele Bußgeldverfahren letztlich vor Gericht landen werden, auch die „Deutsche Wohnen“ wird sich zur Wehr setzen. Ich wage vorauszusagen, dass die Richter eher eine Korrektur nach unten vornehmen werden, sie sind schlicht derart hohe Bußgelder bei Datenschutzverstößen noch nicht gewohnt.

Es bleibt zu hoffen, dass ein wichtiges Kriterium für die Bußgeldbemessung nicht außer Acht gelassen wird: Augenmaß. Bußgelder müssen eben nicht nur wirksam und abschreckend, sondern auch immer verhältnismäßig sein (vgl. Art. 80 DSGVO).

PS: Während des Redaktionsschlusses dieser Ausgabe der iX wurde die Datenschutzkonferenz erneut tätig und äußerte sich endlich zum heiklen Einsatz von Windows 10 in Unternehmen. Mehr dazu auf Seite 12.

ist Syndikusanwalt der Heise Medien und daneben als Rechtsanwalt in Hannover tätig.

Nicolas Maekeler: ist Syndikusanwalt der Heise Medien und daneben als Rechtsanwalt in Hannover tätig.