Heute vor drei Jahren, am 25. Mai 2018, wurde die Datenschutz-Grundverordnung anwendbar. Damals überschlugen sich die Schlagzeilen über drohende Millionenstrafen, Abmahnwellen und das Ende des Fotografierens. Zeit für eine nüchterne Bilanz: Welche DSGVO-Bußgelder wurden tatsächlich verhängt, wen hat es getroffen, und was lernen kleine und mittlere Unternehmen daraus?
Der Bußgeldrahmen zur Erinnerung
Die DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für bestimmte Verstöße liegt die Obergrenze bei 10 Millionen Euro beziehungsweise 2 Prozent. Die Bußgelder sollen nach dem Willen des Gesetzgebers wirksam, verhältnismäßig und abschreckend sein. Die deutschen Aufsichtsbehörden haben im Herbst 2019 ein gemeinsames Konzept zur Berechnung von Bußgeldern veröffentlicht, das sich stark am Umsatz orientiert.
DSGVO-Bußgelder: Die bekanntesten Fälle
| Unternehmen | Behörde | Höhe | Vorwurf |
|---|---|---|---|
| Frankreich (CNIL), 2019 | 50 Mio. € | mangelnde Transparenz und unwirksame Einwilligung bei personalisierter Werbung | |
| H&M | Hamburg, 2020 | 35,3 Mio. € | umfangreiche Erfassung privater Informationen über Beschäftigte eines Servicecenters |
| Deutsche Wohnen | Berlin, 2019 | 14,5 Mio. € | Archivsystem ohne Möglichkeit, nicht mehr benötigte Mieterdaten zu löschen |
| notebooksbilliger.de | Niedersachsen, 2021 | 10,4 Mio. € | Videoüberwachung von Beschäftigten über längere Zeit ohne ausreichende Rechtsgrundlage |
| 1&1 Telecom | Bundesbeauftragter, 2019 | 9,55 Mio. € | unzureichende Authentifizierung von Anrufern im Kundenservice |
Nicht jedes Bußgeld hat vor Gericht gehalten. Im Fall 1&1 hat das Landgericht Bonn das Bußgeld im vergangenen Herbst deutlich auf 900.000 Euro reduziert. Im Fall Deutsche Wohnen hat das Landgericht Berlin das Verfahren Anfang 2021 aus formalen Gründen eingestellt; hier ist das letzte Wort noch nicht gesprochen. Auch im Ausland wurden angekündigte Rekordbußen teilweise deutlich gesenkt, etwa bei British Airways und Marriott in Großbritannien.
Und der Mittelstand?
Die großen Zahlen gehen durch die Presse, aber der Alltag der Aufsichtsbehörden sieht anders aus. Die meisten Verfahren betreffen kleine und mittlere Unternehmen, Vereine und Selbstständige, und die meisten enden ohne Bußgeld, mit einer Verwarnung, einer Anordnung oder einem Bußgeld im vier- bis fünfstelligen Bereich. Typische Auslöser aus den Tätigkeitsberichten der Aufsichtsbehörden:
- Beschwerden von Kunden oder ehemaligen Mitarbeitern,
- nicht oder zu spät gemeldete Datenpannen,
- Videoüberwachung von Mitarbeitern, Kunden oder öffentlichem Raum,
- E-Mails mit offenem Verteiler,
- Werbung ohne Einwilligung,
- Auskunftsersuchen, die ignoriert oder unvollständig beantwortet wurden,
- Unterlagen, die im Altpapier oder auf dem Wertstoffhof gefunden wurden.
Fünf Lehren aus drei Jahren DSGVO
1. Mitarbeiterdaten sind ein Schwerpunkt
Zwei der größten deutschen Bußgelder betrafen den Umgang mit Beschäftigtendaten. Überwachung, Kameras und das Sammeln privater Informationen sind ein Minenfeld. Hier sollte jede Maßnahme vorher geprüft werden.
2. Löschen ist Pflicht, nicht Kür
Der Fall Deutsche Wohnen zeigt: Daten unbegrenzt aufzubewahren, ist selbst ein Verstoß. Ein Löschkonzept gehört zu den Grundlagen.
3. Prozesse zählen mehr als Papier
Die meisten Bußgelder entstehen nicht, weil eine Datenschutzerklärung fehlt, sondern weil im Alltag etwas schiefläuft: am Telefon, bei der Kamera, im Archiv.
4. Kooperation lohnt sich
Wer mit der Aufsichtsbehörde kooperiert, Fehler einräumt und abstellt, wird in aller Regel milder behandelt. Ignorieren ist die schlechteste Strategie.
5. Bußgelder sind nicht das einzige Risiko
Schadensersatzforderungen von Betroffenen nach Artikel 82 DSGVO nehmen zu, und die Gerichte beschäftigen sich zunehmend damit. Dazu kommen Reputationsschäden, die oft teurer sind als jedes Bußgeld.
Was sich in drei Jahren verändert hat
Neben den Bußgeldern haben auch Gerichtsurteile die Praxis geprägt. Der Europäische Gerichtshof hat 2019 klargestellt, dass für Cookies, die nicht technisch notwendig sind, eine aktive Einwilligung nötig ist; vorangekreuzte Kästchen reichen nicht. Mit dem Schrems-II-Urteil im Juli 2020 hat er das Privacy Shield für Datenübermittlungen in die USA gekippt. Und die Pandemie hat ganz neue Fragen gebracht: Homeoffice, Videokonferenzen, Gästelisten, Gesundheitsdaten von Beschäftigten. Datenschutz ist damit kein einmaliges Projekt von 2018, sondern ein laufendes Thema, das regelmäßig nachjustiert werden muss.
Ihr Drei-Jahres-Check
- Ist das Verarbeitungsverzeichnis aktuell, auch mit den Tools, die in der Pandemie dazugekommen sind?
- Gibt es ein Löschkonzept, und wird es gelebt?
- Wissen alle Mitarbeiter, was bei einer Datenpanne zu tun ist?
- Sind Videoüberwachung und Mitarbeiterkontrollen geprüft und dokumentiert?
- Sind Auftragsverarbeitungsverträge vollständig, inklusive Drittlandtransfers nach Schrems II?
- Wann war die letzte Datenschutzschulung?
Unser Fazit
Eines fällt beim Blick auf die bekannten Fälle auf: Fast immer hätte schon eine einfache, ehrliche Frage gereicht, um den Verstoß zu vermeiden. Brauchen wir diese Daten wirklich? Dürfen wir das? Wie lange heben wir das auf? Wer diese Fragen im Alltag stellt, ist schon weiter als viele andere.
Drei Jahre DSGVO haben gezeigt: Die Aufsichtsbehörden meinen es ernst, aber sie sind nicht auf der Jagd nach kleinen Betrieben. Wer die Grundlagen im Griff hat und im Alltag sorgfältig mit Daten umgeht, muss sich vor DSGVO-Bußgeldern nicht fürchten. Die Panik von 2018 war übertrieben, die Gelassenheit, die manche heute an den Tag legen, ist es aber auch.
Wir helfen Ihnen gerne
Sie möchten wissen, wo Ihr Unternehmen nach drei Jahren DSGVO steht? Das Datenschutz-Team der Mittelstandsoptimierer macht mit Ihnen einen kompakten Datenschutz-Check und übernimmt auf Wunsch die Aufgabe des externen Datenschutzbeauftragten. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
