Artikel drucken
06.09.2019

DSGVO: Datenschutzbehörden berechnen Bußgelder nach neuem Modell

Weitgehend unbemerkt von der Öffentlichkeit haben sich die Datenschutzaufsichtsbehörden auf ein Modell verständigt, mit dem sie aktuell die Höhe der Geldbußen bestimmen. Danach können Strafen in zweistelliger Millionenhöhe auch in Deutschland Realität werden. JUVE liegen Unterlagen vor, wie die Behörden konkret rechnen.

Im Juni trafen sich die deutschen Datenschutzexperten zur ‚Zwischenkonferenz 2019 der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder‘ und diskutierten ein neues Rechenmodell. Das berechnet übersichtlich und sehr schematisch die Höhe der Geldbußen, die künftig für Datenschutzverstöße fällig werden können. Die Datenschutzbehörde in Niedersachsen hat auf JUVE-Anfrage bestätigt, damit bereits zu arbeiten. Sie zählt genau wie Berlin und Baden-Württemberg zu den Treibern. „Wir haben aktuell mehrere Fälle auf dem Tisch, in denen die Behörden Bußgelder nach diesem Modell berechnet haben“, bestätigt Tim Wybitul, Partner bei Latham & Watkins. Bereits im August hatte die Sprecherin der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Dalia Kues, gegenüber dpa angekündigt, bald ein Bußgeld in Millionenhöhe verhängen zu wollen. Allerdings stehe man noch am Anfang.

Wie deutlich die Datenschützer hinter dem Konzept stehen, lässt das Protokoll der Zwischenkonferenz erahnen. Darin heißt es, dass das vorgestellte Konzept des ‚AK Sanktionen‘ auf Interesse gestoßen sei, da es „im Gegensatz zu anderen Modellen eine systematische, transparente und nachvollziehbare Bußgeldbemessung“ gewährleiste. Es ist eine Reaktion auf das Modell der französischen Datenschutzbehörde CNIL, das den deutschen Datenschützern zu wenig nachvollziehbar und zu sehr einzelfallbezogen war. Von den 17 Teilnehmern der Zwischenkonferenz stimmten 16 für das neue Modell, einer enthielt sich. Nun soll der ‚AK Sanktionen‘ laut Protokoll „das Konzept unter Einbeziehung der damit gemachten praktischen Erfahrungen der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder weiterentwickeln“.

Aufschläge für Wiederholungstäter – bis zu 300 Prozent

Danach berechnet sich der Bußgeldrahmen wie folgt: Bemessungsgrundlage ist der weltweite Unternehmensumsatz des Vorjahres, aus dem sich der Tagessatz ergibt. Der wird multipliziert mit einem Faktor, der abhängig vom Schweregrad des Verstoßes ist, etwa Faktor 1 bis 4 bei einem leichten Verstoß, bis hin zu einem Faktor zwischen 12 bis 14,4 bei einem sehr schweren Verstoß. Der Schweregrad wiederum ist das Ergebnis eines Punktesystems, das senkend, gleichbleibend oder erhöhend wirkt. Maßgeblich für die Punktzahl ist unter anderem die Dauer des Verstoßes, die Zahl der betroffenen Personen und das Ausmaß des erlittenen Schadens.

Das Modell berücksichtigt außerdem – jeweils schematisch – den Verschuldungsgrad. Handelt es sich um eine geringe oder unbewusste Fahrlässigkeit, vermindert sich die Summe um 25 Prozent. Bei normaler Fahrlässigkeit bleibt sie gleich, sie erhöht sich um 25 oder sogar 50 Prozent bei Vorsatz oder Absicht. Hat sich das Unternehmen bereits in der Vergangenheit bei der Behörde etwas zuschulden kommen lassen, schlägt sich das ebenfalls nieder: Ein erneuter Verstoß bringt einen Aufschlag von 50 Prozent, zwei einen Aufschlag von 150 Prozent und drei oder mehr Verstöße einen Aufschlag um 300 Prozent. Zu Buche schlagen außerdem weitere Faktoren, beispielsweise wie die Behörde die Zusammenarbeit mit ihr beurteilt oder auch welche Maßnahmen das Unternehmen bereits ergriffen hat, um den Schaden zu mindern.

Frankreich hat bereits mit hohen Bußgeldern von sich reden gemacht: mit 50 Millionen Euro wurde Google zur Kasse gebeten. Großbritannien war noch strenger und verhängte 110 Millionen Euro gegen die Hotelkette Marriott und 204 Millionen Euro gegen die Fluglinie British Airways. Deutschlands Behörden agieren bis jetzt im Vergleich dazu moderat, ihre Linie ist es, den möglichen Strafrahmen nicht maximal auszuschöpfen. Bereits verhängte Strafen halten sich eher im Rahmen von fünf- bis maximal sechsstelligen Summen. (Eva Flick)

Mehr dazu lesen Sie im kommenden JUVE Rechtsmarkt 10/2019, der am 25. September erscheint.

  • Teilen