Datenschutzrecht: Neues DSGVO-Bußgeldmodell

Die deutschen Datenschutzbehörden haben am 14. Oktober 2019 ihr Konzept zur Bußgeldbemessung bei Verstößen von Unternehmen gegen die Datenschutz-Grundverordnung (DSGVO) veröffentlicht.

Hintergrund

Hintergrund ist, dass in der Vergangenheit die Praxis der verschiedenen Landesdatenschutzbehörden bei der Verhängung von Bußgeldern uneinheitlich war und die diversen Berechnungsmodelle auch nicht veröffentlicht waren. Während die Höhe eines Bußgeldes bislang maßgeblich vom Sitz des betroffenen Unternehmens abhängig war, soll das neue Verfahren nun eine nachvollziehbare, transparente und einzelfallgerechte Form der Bußgeldzumessung gewährleisten und damit für mehr Rechtssicherheit bei den Betroffenen sorgen.

Funktionsweise

Nach dem neuen Modell erfolgt die Bußgeldzumessung in fünf Schritten:

1. Zunächst wird das betroffene Unternehmen einer von vier Größenklassen zugeordnet, die sich nach dem gesamten weltweit erzielten Vorjahresumsatz bestimmt. Die Größenklassen sind unterteilt in Kleinstunternehmen, kleine und mittlere Unternehmen sowie Großunternehmen.
2. Danach wird der mittlere Jahresumsatz der Untergruppe, in die das betroffene Unternehmen eingeordnet wurde, bestimmt.
3. Der ermittelte Wert wird durch 360 (Tage) geteilt, so dass sich ein Bußgeld-Tagessatz ergibt.
4. Sodann erfolgt eine Einordnung des Schweregrads des Verstoßes in „leicht“, „mittel“, „schwer“ oder „sehr schwer“. Je nach Schweregrad wird dem zu ahndenden Verstoß ein Faktor zwischen 1 und 12 (im Einzelfall noch höher) zugewiesen, mit dem der zuvor ermittelte Tagessatz multipliziert wird.
5. Im Rahmen einer Gesamtabwägung wird schließlich der zuvor errechnete Betrag anhand aller sonstigen für bzw. gegen das betroffene Unternehmen sprechenden Umstände angepasst. Hier wird im Wesentlichen auch berücksichtigt werden, ob und wie das Unternehmen mit den Behörden zusammenarbeitet.

Das Konzept findet ausdrücklich keine Anwendung auf Vereine oder natürliche Personen. Gerichte sind daran nicht gebunden.

Anmerkungen

Bußgelder wegen Verstößen gegen die DSGVO werden auf dieser Berechnungsgrundlage künftig - deutschlandweit - deutlich höher als bislang ausfallen. Das neue Konzept ist darauf ausgelegt, die Möglichkeiten der DSGVO voll auszuschöpfen. Millionenbußgelder im zwei- oder dreistelligen Bereich, wie sie beispielsweise von britischen und französischen Behörden bereits verhängt worden sind, werden in Zukunft auch in Deutschland eine Rolle spielen. In der Tat hat die Berliner Datenschutzbehörde bereits angekündigt, bald ein entsprechendes Bußgeld auszusprechen.

Zwar können Bußgeldrisiken infolge des neuen Konzepts leichter identifiziert und kalkuliert werden. Nichtsdestotrotz bleiben Unsicherheiten, insbesondere hinsichtlich der Bestimmung des Schweregrads des Verstoßes sowie im Rahmen der Gesamtabwägung, die eine Bezifferung auf den Euro genau auch in Zukunft unmöglich machen. Außerdem schweigt das Bußgeldmodell zum Umgang mit mehreren gleichzeitig vorliegenden Verstößen. Unklar ist, ob es insoweit zu einer Art Gesamtstrafenbildung oder aber einem schlichten Zusammenaddieren kommen wird.

Vor diesem Hintergrund gilt es nun v.a. zu verfolgen, ob bzw. inwieweit sich die gerichtliche Entscheidungspraxis bei der Überprüfung von festgesetzten Bußgeldern dem Modell der Datenschutzbehörden anschließen wird. Zudem ist das eigene Setup zu kontrollieren, da nunmehr nicht mehr von einer zurückhaltenden Anwendung ausgegangen werden kann.