Foto: sasun Bughdaryan - stock.adobe.com
Geld- und Fragezeichensymbol über zwei Händen.

Digitalisierung + IT

DSGVO-Verstöße: So werden Bußgelder berechnet

Die deutschen Datenschutzbehörden haben ihr Konzept für die Bußgeld-Berechnung bei DSGVO-Verstößen vorgestellt. Fünf Schritte sollen Klarheit bringen.

Auf einen Blick:

  • Die Datenschutz-Grundverordnung (DSGVO) regelt nur die möglichen Höchststrafen bei Datenschutzverstößen. Wie hoch ein Bußgeld im Einzelfall ausfällt, bleibt den Datenschutzbehörden überlassen.
  • Die Datenschutzbehörden von Bund und Ländern haben sich jetzt auf ein einheitliches Konzept geeinigt. Die Festsetzung des Bußgeldes erfolgt dabei in fünf Schritten. Ausgangspunkt ist jeweils, der Vorjahresumsatz.
  • Neben der wirtschaftlichen Kraft eines Unternehmens wird bei der Berechnung auch die Schwere des DSGVO-Verstoßes berücksichtigt. Bei Bedarf haben die Behörden die Möglichkeit, das berechnete Bußgeld anzupassen.
  • Das Konzept gilt in Deutschland so lange, bis es auf europäischer Ebene Leitlinien für die Bemessung von Bußgeldern gibt.

Bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) können Aufsichtsbehörden im Einzelfall Geldbußen verhängen. Das neue Datenschutzrecht regelt allerdings nur die möglichen Höchststrafen. Die liegen laut Artikel 83 DSGVO bei 20 Millionen Euro oder 4 Prozent des gesamten weltweit erzielten Vorjahresumsatzes. Ein Konzept, wie Bußgelder bei DSGVO-Verstößen zu bemessen sind, gab es bislang nicht. Jetzt haben sich die Datenschutzbehörden von Bund und Ländern auf ein gemeinsames Konzept verständigt. Damit wollen sie die Bemessung von Geldbußen „transparent“ und „nachvollziehbar“ machen.

DSGVO: Behörde verhängt erstes Bußgeld wegen Datenpanne

Hacker haben bei einem Angriff zahlreiche E-Mail-Adressen und Passwörter entwendet. Eine Chat-Plattform muss wegen dieser Datenpanne das erste DSGVO-Bußgeld zahlen.
Artikel lesen

Bußgeld: In fünf Schritten erfolgt die Berechnung

Um ein Bußgeld zu ermitteln, das gegen ein Unternehmen verhängt werden soll, sind dem Konzept zufolge fünf Schritte nötig. Ausgangspunkt der Bußgeldbemessung ist der Umsatz eines Unternehmens. Den Datenschutzbehörden von Bund und Ländern zufolge soll das die „Wirksamkeit, Verhältnismäßigkeit und abschreckende Wirkung der Verhängung von Geldbußen sicherstellen“.

Schritt 1: Unternehmen einer Größenklasse zuordnen

Es gibt vier Größenklassen – das Konzept differenziert zwischen Kleinstunternehmen, kleinen Unternehmen, mittleren Unternehmen und Großunternehmen. Diese Größenklassen sind jeweils in bis zu sieben Gruppen untergliedert. Hier muss das betroffene Unternehmen anhand des Jahresumsatzes, den es im Vorjahr weltweit erzielt hat, eingeordnet werden.

Als Kleinstunternehmen gelten zum Beispiel Betriebe mit einem Jahresumsatz bis zu 2 Millionen. Hier gibt es folgende Untergruppen:

  • A.I: Jahresumsatz bis 700.000 Euro
  • A.II: Jahresumsatz über 700.00 bis 1,4 Millionen Euro
  • A.III: Jahresumsatz über 1,4 bis 2 Millionen Euro

Schritt 2: Den mittleren Jahresumsatz bestimmen.

Für jede Untergruppe wird der mittlere Jahresumsatz ermittelt.

Konkrete Zahlen: Bei Kleinstunternehmen der Untergruppe A.I beträgt der mittlere Jahresumsatz 350.000 Euro. Bei Betrieben der Gruppe A.II sind es 1.050.000 Euro und bei Kleinstunternehmen der Gruppe A.III 1,7 Millionen.

Schritt 3: Den wirtschaftlichen Grundwert ermitteln

Auf Grundlage des mittleren Jahresumsatzes wird für das Unternehmen der wirtschaftliche Grundwert berechnet. Dabei handelt es sich um eine Art Tagessatz. Berechnet wird der, indem der mittlere Jahresumsatz durch 360 geteilt wird.

Beispiel: Der Tagessatz beträgt für ein Kleinstunternehmen der Gruppe A.I 972 Euro. Bei Betrieben der Gruppe A.II liegt der wirtschaftliche Grundwert bei 2.917 Euro. Und für Kleinstunternehmer der Gruppe A.III sind es 4.722 Euro.

Schritt 4: Multiplikationsfaktor für den Schweregrad des Verstoßes bestimmen

Als Nächstes wird der Schweregrad der Tat bestimmt. Ob ein DSGVO-Verstoß als leicht, mittel, schwer oder sehr schwer einzustufen ist, hängt von den konkreten tatbezogenen Umständen des Einzelfalls ab. Der Kriterienkatalog, der die möglichen Umstände genauer beschreibt, ist in Artikel 83, Absatz 2 DSGVO zu finden. Dazu gehören zum Beispiel die Art, die Schwere und die Dauer des Verstoßes.

Aus dem Schweregrad der Tat ergibt sich ein Multiplikationsfaktor. Bei formellen Verstößen – das sind Verstöße gegen Verfahrensanforderungen wie zum Beispiel das Führen eines Verfahrensverzeichnisses – liegt der Faktor zwischen 1 und 6. Bei materiellen Verstößen – sie betreffen Datenverarbeitungen – liegt der Faktor zwischen 1 und 12. Einen materiellen Verstoß können Betriebe zum Beispiel begehen, indem sie die Rechte der betroffenen Person auf Auskunft oder Löschung verletzen.

Um das Bußgeld zu ermitteln, wird schließlich der wirtschaftliche Grundwert mit dem Faktor für die Schwere der Tat multipliziert.

Beispiel: Ein Kleinstunternehmen der Gruppe A.I hat einen leichten Verstoß gegen die DSGVO begangen, für den die zuständige Behörde den Multiplikationsfaktor 1 festlegt. Das Bußgeld beträgt in diesem Fall 972 Euro.

Schritt 5: Das Bußgeld im Einzelfall anpassen

Das in Schritt 4 berechnete Bußgeld wird gegebenenfalls noch nach oben oder unten hin angepasst. Dabei werden sämtliche täterbezogenen Umstände berücksichtigt, aber auch die Verfahrensdauer oder die drohende Zahlungsunfähigkeit des Unternehmens.

Was der Bußgeldkatalog für Betriebe bedeuten könnte

Ob fehlerhafte Datenschutzerklärung auf der Website oder eine E-Mail, die versehentlich an einen offenen E-Mail-Verteiler geschickt wird – es gibt viele mögliche Datenschutzverstöße zu begehen. Doch wie genau werden Vergehen künftig von den Behörden geahndet?

„Es ist schwierig, genaue Kategorien zu bilden“, sagt Dieter Kugelmann, Landesbeauftragter für den Datenschutz und die Informationsfreiheit in Rheinland-Pfalz. „Unser Ziel ist Einzelfallgerechtigkeit“, so der Jurist. Weil bei der Bemessung jeweils die genauen Umstände eine Rolle spielen, ist es nicht möglich, allgemeingültige Beispiele für Bußgelder zu nennen.

Beispiele: Drei Verstöße, drei mögliche Bußgelder

Dieter Kugelmann nennt aber einige Beispiele, die im Handwerk denkbar sind.

  • Eine E-Mail an mehrere Empfänger, bei denen die E-Mail-Adressen im CC und nicht im BCC stehen. „Das ist vermutlich ein leichter Verstoß“, sagt der rheinland-pfälzische Landesdatenschutzbeauftragte. Auch müsse ein solcher Verstoß nicht unbedingt ein Bußgeld zur Folge haben.
  • Eine fehlerhafte Datenschutzerklärung. „Das ist vermutlich ein leichter Verstoß, wenn nicht für den Nutzer wichtige Informationen ganz fehlen“, meint Kugelmann. Ein Bußgeld für ein Kleinstunternehmen mit einem Jahresumsatz bis 700.000 könnte sich daher in der Spanne von 972 bis 3888 Euro bewegen.
  • Heimliche Überwachung von Mitarbeitern. „Das wäre sicher ein schwerer Verstoß“, sagt der Landesdatenschutzbeauftragte aus Rheinland-Pfalz. Allerdings seien bei der Bußgeldbemessung die Umstände des Einzelfalls zu beachten. Dabei spiele es beispielsweise eine Rolle, ob sich das Unternehmen kooperativ gezeigt hat. „Kooperation mit den Behörden fällt grundsätzlich positiv ins Gewicht“, so Kugelmann. Zieht man das Konzept heran, dürfte sich das Bußgeld für Kleinstunternehmen mit einem Jahresumsatz bis 700.000 Euro etwa im Rahmen von 7.776 bis 11.664 Euro bewegen.

Wie lange gilt das Bußgeldkonzept?

Auf europäischer Ebene gibt es bislang noch kein Konzept für die Bemessung von Geldbußen. Laut DSK, dem Gremium der deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, wird allerdings darüber verhandelt. Das Konzept der deutschen Datenschutzbehörden gilt daher nur solange, bis der Europäische Datenschutzausschuss endgültige Leitlinien zur Festsetzung von Geldbußen erlässt.

Das vollständige Konzept der Datenschutzbehörden finden Sie auf der Website der Datenschutzkonferenz.

Auch interessant: [embed]https://www.handwerk.com/muessen-aufsichtsbehoerden-unternehmen-zur-dsgvo-beraten[/embed]

Handlungsempfehlung und Muster zur Umsetzung der DSGVO

In wenigen Tagen tritt die Datenschutz-Grundverordnung in Kraft. Was Betriebe deshalb umsetzen sollten, verrät eine Handlungsempfehlung des ZDH. Dazu gibt es zahlreiche Muster.
Artikel lesen

Häufige Fragen zur DSGVO: Eine Behörde antwortet

Ob Datenschutzerklärung, Direktmarketing oder Verschlüsselung – zur DSGVO tauchen noch immer Fragen auf. Die häufigsten hat eine Landesbehörde jetzt mit einem FAQ beantwortet.
Artikel lesen
DSGVO-Verstöße: So werden Bußgelder berechnet > Paragraphs > Image Paragraph
Geld- und Fragezeichensymbol über zwei Händen.

Wir haben noch mehr für Sie!

Praktische Tipps zur Betriebsführung und Erfahrungsberichte von Kollegen gibt es dienstags und donnerstags auch direkt ins Postfach: nützlich, übersichtlich und auf den Punkt.
Melden Sie sich jetzt für unseren Newsletter an - schnell und kostenlos!
Wir geben Ihre Daten nicht an Dritte weiter. Die Übermittlung erfolgt verschlüsselt. Zu statistischen Zwecken führen wir ein anonymisiertes Link-Tracking durch.

Datenschutz-Grundverordnung

DSGVO-Verstoß: Welche Datenpannen sind meldepflichtig?

Laut DSGVO müssen Betriebe bestimmte Datenpannen an die zuständige Datenschutzbehörde melden. Doch welche sind das? Ein Dokument gibt erste Hinweise.

    • Recht, Digitalisierung + IT

Datenschutz-Grundverordnung

Oberlandesgericht sagt „vielleicht“ zu DSGVO-Abmahnungen

Das erste Oberlandesgericht sollte entscheiden, ob DSGVO-Verstöße wettbewerbsrechtlich abgemahnt werden können. Es kommt darauf an, sagen die Hamburger Richter.

    • Recht, Digitalisierung + IT

Datenschutz-Grundverordnung

DSGVO-Abmahnungen: Zwei Gerichte, zwei Meinungen

Abmahnungen wegen DSGVO-Verstößen? Davor fürchten sich viele Unternehmer. Doch sind die eigentlich erlaubt? Zwei Gerichte haben eine Antwort gefunden.

    • Recht, Digitalisierung + IT
Mitarbeiterin macht freiwillig beim Videodreh mit: Aber ihre Einwilligung hatte sie zuvor nicht schriftlich erteilt.

Datenschutz-Grundverordnung

Teures Betriebsvideo: Ex-Mitarbeiterin klagt und bekommt Recht

Eine Mitarbeiterin spielt im Recruiting-Video eines Betriebs mit. Als sie ihn verlässt, klagt sie auf Schadensersatz. Erfolgreich – wegen eines DSGVO-Verstoßes.

    • Recht