DSGVO-Bußgelder gehören auch Jahre nach Inkrafttreten der Verordnung zu den am meisten missverstandenen Teilen des europäischen Datenschutzrechts. Schlagzeilen konzentrieren sich meist auf die auffälligen Höchstbeträge, aber die tatsächliche Strafstruktur, die Aufsichtsbehörden verwenden, ist differenzierter, und sie zu verstehen ist wichtig, ob Sie nun ein kleines Unternehmen führen oder einfach wissen möchten, wie ernst Ihre Daten geschützt werden.
Die zweistufige Struktur hinter DSGVO-Bußgeldern
DSGVO-Sanktionen basieren auf zwei getrennten Stufen, und welche davon Anwendung findet, hängt von der Art des Verstoßes ab, nicht nur von dessen Ausmaß. Die untere Stufe deckt verfahrensbezogene Verstöße ab, etwa unzureichende Dokumentation, das Unterlassen der Bestellung eines Datenschutzbeauftragten, wenn dies erforderlich ist, oder die nicht ordnungsgemäße Meldung einer Verletzung. Die obere Stufe ist schwerwiegenderen materiellen Verstößen vorbehalten, darunter Verstöße gegen die Kernprinzipien der Datenverarbeitung, unrechtmäßige Übermittlungen personenbezogener Daten oder die Missachtung der Rechte von Personen auf Zugriff oder Löschung ihrer Daten.
Aufsichtsbehörden sind nicht verpflichtet, direkt zur Höchststrafe in einer der beiden Stufen zu greifen. Stattdessen hat der Europäische Datenschutzausschuss Berechnungsleitlinien festgelegt, die die Datenschutzbehörden verwenden, um ein Bußgeld an die tatsächlichen Umstände des Einzelfalls anzupassen. Faktoren wie die Dauer des Verstoßes, ob er vorsätzlich oder fahrlässig begangen wurde, wie viele Personen betroffen waren und ob das Unternehmen mit den Ermittlern kooperiert hat, fließen alle in die endgültige Zahl ein. Deshalb können zwei Unternehmen, die ähnliche Verstöße begehen, am Ende völlig unterschiedliche Bußgelder erhalten: Die Berechnung ist kein pauschal automatisch angewandter Prozentsatz, sondern eine Berechnung, die auf den Besonderheiten des Falls basiert.
Warum das Höchstbußgeld selten die ganze Geschichte erzählt
Eines der hartnäckigsten Missverständnisse über die DSGVO ist, dass jeder Verstoß ein Bußgeld von 20 Millionen Euro riskiert. In der Praxis stellen die Obergrenzen ein Worst-Case-Szenario für die schwersten und vorsätzlichsten Verstöße dar, nicht ein typisches Ergebnis. Wie in einer verwandten Analyse erläutert, warum die 20-Millionen-Euro-Obergrenze selten zur Anwendung kommt, liegen die meisten Durchsetzungsmaßnahmen weit unter dem Maximum, und die Aufsichtsbehörden reservieren die größten Sanktionen tendenziell für Wiederholungstäter, groß angelegten Datenmissbrauch oder Unternehmen, die frühere Warnungen ignoriert haben.
Dennoch zeigen einige der Bußgelder, die Schlagzeilen gemacht haben, wie hoch diese Sanktionen werden können, wenn die Aufsichtsbehörden der Ansicht sind, dass der Verstoß dies rechtfertigt. Ein aktuelles Beispiel ist der Fall der Ubers 825-Millionen-Euro-DSGVO-Bußgeld wegen Fahrerdaten, der als eine der größten je unter der Verordnung verhängten Sanktionen gilt. Fälle wie dieser verdeutlichen, wie Durchsetzungsbehörden Bußgelder nicht nur auf Grundlage eines Prozentsatzes vom Umsatz berechnen, sondern auch anhand des Umfangs und der Sensibilität der betroffenen Daten sowie der Dauer, wie lange die missbräuchliche Praxis fortbestand, bevor sie behoben wurde.
DSGVO-Bußgelder sind Teil eines breiteren europäischen Durchsetzungstrends
Die DSGVO existiert nicht isoliert. Andere Jurisdiktionen in Europa haben eigene Rahmenwerke geschaffen, die sie spiegeln oder mit ihr interagieren. Im Vereinigten Königreich beispielsweise legt der Data Protection Act 2018 sieben Kernprinzipien und eine eigene Bußgeldstruktur fest, die dem EU-Modell auch nach dem Brexit eng folgt. Die Schweiz hat mit ihrem aktualisierten Datenschutzgesetz einen ähnlichen Ansatz gewählt, und Organisationen, die grenzüberschreitend tätig sind, müssen nun Compliance-Anforderungen unter dem Schweizer Datenschutzgesetz getrennt von ihren EU-DSGVO-Verpflichtungen verfolgen. Für jedes Unternehmen, das Daten in mehreren Ländern verarbeitet, ist dieses Flickwerk aus überlappenden, aber unterschiedlichen Regeln oft ein größerer Compliance-Kopfschmerz als die Bußgelder selbst.
Was das für Sie bedeutet
Wenn Sie ein Unternehmen führen, das personenbezogene Daten erhebt oder verarbeitet, sollten DSGVO-Bußgelder Ihre Denkweise über Compliance lange prägen, bevor eine Aufsichtsbehörde überhaupt eingeschaltet wird. Die gestufte Struktur belohnt Organisationen, die angemessene Schutzmaßnahmen, zeitnahe Meldung von Datenschutzverletzungen und Kooperation mit den Datenschutzbehörden nachweisen können. Zu warten, bis eine Untersuchung beginnt, um Lücken in Ihren Datenverarbeitungspraktiken zu schließen, ist weitaus riskanter, als diese proaktiv anzugehen.
Für normale Verbraucher dienen diese Bußgelder als Signal dafür, wie ernst (oder nicht) ein Unternehmen Ihre persönlichen Daten nimmt. Ein Muster von Sanktionen, insbesondere großen, die mit den Kernprinzipien des Datenschutzes zusammenhängen und nicht mit Papierkram-Fehlern, ist ein nützlicher Indikator dafür, wie ein Unternehmen Ihre Daten im Alltag behandelt.
Wichtigste Erkenntnisse
DSGVO-Bußgelder folgen einem zweistufigen System, bei dem die Schwere des Verstoßes – nicht nur die Unternehmensgröße – bestimmt, welche Obergrenze gilt. Aufsichtsbehörden berechnen Sanktionen mithilfe von Leitlinien, die Fahrlässigkeit, Dauer und Kooperation abwägen, anstatt standardmäßig pauschale Höchstbußgelder zu verhängen. Unternehmen sollten Compliance als fortlaufende Praxis betrachten und nicht als Reaktion auf Durchsetzungsmaßnahmen, da dokumentierte Schutzmaßnahmen und zeitnahe Meldung von Datenschutzverletzungen das Risiko erheblich reduzieren. Und für Verbraucher bietet die Beobachtung, wie Unternehmen auf DSGVO-Durchsetzungsmaßnahmen reagieren, eine praktische Möglichkeit zu beurteilen, welche Organisationen den Schutz personenbezogener Daten tatsächlich priorisieren.
