[datensicherheit.de, 16.10.2019] Die deutschen Datenschutzbehörden haben heute ihr Modell zur Festlegung von wirksamen und abschreckenden Bußgeldern nach Art. 83 EU-Datenschutz-Grundverordnung (DSGVO) vorgestellt. Damit wird die Bemessung von Bußgeldern nach der DSGVO künftig auf eine neue verbindliche Grundlage gestellt. Das Bußgeldmodell der Datenschutzbehörden kann gerade für größere Unternehmen und Konzerne zu sehr hohen Bußgeldern führen, denn die Behörden berechnen die Bußgelder auf der Basis des Umsatzes der „wirtschaftlichen Einheit“, also oftmals der Unternehmensgruppe.

Bußgeldrisiken müssen identifiziert und einkalkuliert werden

Für Vorstände, Datenschützer und Risikomanager bedeutet dies, dass sie zukünftig Bußgeldrisiken identifizieren und einkalkulieren müssen. „Das neue Modell ermöglicht es, die Höhe drohender Bußgeldrisiken nun deutlich präziser als bislang zu berechnen“, erläutert Tim Wybitul, Datenschutzexperte der Kanzlei Latham & Watkins, und ergänzt: „Für Vorstände bringt das neue Bußgeldmodell neue Anforderungen mit sich. Denn Risiken beim Datenschutz lassen sich nun deutlich genauer berechnen. Daher sollten Vorstände auch dafür Sorge tragen, dass das Risikomanagement eingebunden wird, um Bußgeldrisiken bei möglichen Verstößen gegen die DSGVO zu identifizieren und zu bewerten. Gegebenenfalls müssen Unternehmen, auch Rückstellungen bilden oder Anleger nach den Vorgaben des Wertpapierhandelsrechts informieren. Das hängt von der Höhe der im Einzelfall zu erwartenden Bußgelder und der Eintrittswahrscheinlichkeit solcher Risiken ab.“

Bußgelder werden zukünfitg höher ausfallen

Mit dem neuen Modell werden Bußgelder wegen Datenschutzverstößen nun auch in Deutschland deutlich höher als bislang ausfallen. So hat die Berliner Datenschutzbehörde bereits im August angekündigt, ein möglicherweise zweistelliges Millionenbußgeld zu verhängen. In anderen Ländern der Europäischen Union sind solche Beträge nichts Neues mehr. Die britische Datenschutzbehörde ICO hat in diesem Jahr Bußgelder in Höhe von etwa EUR 200 Millionen und in einem anderen Fall von EUR 100 Millionen angekündigt. Die französische Behörde hatte zuvor bereits ein Bußgeld in Höhe von EUR 50 Millionen verhängt. Das neue deutsche Bußgeldmodell ist darauf ausgelegt, die sehr hohen Bußgeldrahmen der DSGVO bei schweren Verstößen voll auszuschöpfen. Aber auch bei leichteren Übertretungen der DSGVO drohen großen Unternehmen schon Millionenbußgelder.

Latham & Watkins hat Mandanten in der Vergangenheit bereits mehrfach erfolgreich bei Bußgeldverfahren beraten. So hat das Team um Tim Wybitul beispielsweise die Knuddels GmbH & Co. KG, Betreiber der deutschsprachigen Chatcommunity Knuddels.de, erfolgreich in einem DSGVO-Bußgeldverfahren um gestohlene Nutzerdaten verteidigt. Der maximale Bußgeldrahmen der DSGVO sieht pro einzelnem Verstoß Geldbußen von bis zu EUR 20 Mio. oder 4% des Umsatzes des vorangegangenen Geschäftsjahres vor. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg verhängte dennoch nur ein sehr niedriges Bußgeld in Höhe von EUR 20.000 gegen die Latham & Watkins-Mandantin.

„Das neue Datenschutzmodell ist nur für deutsche Aufsichtsbehörden verbindlich. Weder Gerichte noch andere EU-Behörden sind an die Vorgaben des Berechnungsmodells gebunden. Allerdings stimmen sich die Behörden auch auf EU-Ebene intensiv miteinander ab, um ein gemeinsames Bußgeldmodell anzuwenden. Wenn sich die Bußgeldpraxis in der EU an dem deutschen Modell orientieren sollte, müssen sich Unternehmen in allen europäischen Mitgliedsstaaten auf gravierende Bußgelder einstellen“, so Wybitul.

Weitere Informationen zum Thema:

datensicherheit.de, 21.08.2019
DSGVO vs. CLOUD Act: EU-Unternehmen im Spannungsfeld

datensicherheit.de, 15.08.2019
Datenschutz: Latham & Watkins rät Unternehmen zu guter Vorbereitung

datensicherheit.de, 25.07.2019
Ein Jahr DSGVO: Immer noch Unsicherheit über die rechtlichen Auswirkungen

[datensicherheit.de, 24.01.2019] Laut der im Mai 2018 verbindlich in Kraft getretenen europäischen Datenschutzgrundverordnung können die nationalen Aufsichtsbehörden Bußgelder für bestimmte Datenschutzverstöße verhängen. Für besonders gravierende Verstöße beträgt der Bußgeldrahmen bis zu 20 Millionen Euro oder im Fall eines Betriebes bis zu 4% des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr – je nachdem, welcher Wert der höhere ist. Seit letztem Mai sind hohe Sanktionen gegen Großkonzerne bisher allerdings ausgeblieben. Im Oktober letzten Jahres war in Portugal die europaweit erste substanzielle Geldstrafe wegen eines Verstoßes gegen die Verordnung verhängt worden. Damals gab die portugiesische Datenschutzbehörde CNPD (Comissão Nacional de Protecção de Dados) bekannt, dass das Krankenhaus Barreiro Montijo unweit von Lissabon 400.000 Euro bezahlen solle. Der Hauptgrund für die behördliche Ahndung war, dass hier klinikintern zu viele Personen Zugriff auf vertrauliche Patientendaten hatten.

Hohe Geldbuße

Wie Anfang dieser Woche berichtet wurde, muss der US-Suchmaschinenriese Google in Frankreich die erste hohe Geldbuße aufgrund von Verstößen gegen die EU-DSGVO zahlen. Konkret beläuft sich die zu zahlende Strafe auf 50 Millionen Euro. Als Grund gab die französische Datenschutzbehörde CNIL (Commission Nationale de l’Informatique et des Libertés) fehlende Transparenz an. Die Nutzer von Google seien nicht „klar und verständlich“ über die Nutzung der persönlichen Daten informiert worden. Um die Informationspolitik des Konzerns gegenüber seinen Nutzern zu überprüfen, ging die CNIL schrittweise die Anmeldung eines mobilen Users des Android-Betriebssystems für die Eröffnung eines Google-Kontos durch. Bemängelt wurde unter anderem, dass Nutzer mehrere Klicks benötigen würden, um an wichtige Informationen bezüglich der Zwecke der Datenverarbeitung und der Datenspeicherungsdauer zu gelangen und diese oft auf mehrere Dokumente verteilt worden seien.

Grundlage der Bußgeld-Forderung waren zum einen die Klage der österreichischen Non-Profit-Organisation NOYB um den Datenschutzaktivist Max Schrems, und einer französischen NGO namens LQDN. Im Hinblick auf die DSGVO stellt der Fall einen der ersten in dieser Art dar – die französische Datenschutzbehörde ist die erste Kontrollinstitution, die in dieser Form einen globalen Internetkonzern abstraft.

Bei der Sanktion gegen Google in Frankreich handelt es sich im Rahmen der DSGVO um eine erhebliche Geldstrafe. Zwar stellen die 50 Millionen Euro bei weitem nicht die maximal verfügbare Buße dar, doch der Betrag reicht allemal, um andere Firmen aufhorchen zu lassen und Notiz zu nehmen. Der Fall zeigt weiterhin, dass kein Unternehmen über dem Gesetz steht und die Regulierungsbehörden künftig große, namhafte Konzerne verfolgen könnten.

Foto: clearswift

Dr. Guy Bunker, Senior VP of Products & Marketing bei Clearswift

Betriebe, die aufgrund der jüngsten Entwicklungen erhebliche Geldstrafen gegenüber ihrem eigenen Unternehmen befürchten, sollten sich bewusst machen, dass der Schlüssel zur DSGVO-Compliance sich auf drei zentrale Aspekte erstreckt: Menschen, Prozesse und Technologien. Dies sind die wichtigen Bereiche, welche von Firmen überprüft werden müssen, um Sichtbarkeit und Kontrolle der kritischen Daten zu erlangen und schließlich mit der Datenschutzgrundverordnung konform zu sein. Hierbei ist es essentiell, dass der Vorstand und die mittlere Führungsebene zusammenarbeiten, um ein klares Verständnis vom aktuellen Status der Datensicherheit und des Datenschutzes zu erhalten. Nur durch effektive betriebsinterne Kooperation kann ein hohes Level an Sicherheit sowie die Konformität mit der Verordnung erreicht und aufrechterhalten werden.

Weitere Informationen zum Thema:

Clearswift
Cyber Security und Lösungen zum Schutz vor Datenverlust

datensicherheit.de, 26.11.2018
Gesundheitsdienstleister müssen IT Sicherheit hohe Priorität einräumen