Wenn ein Unternehmen in Europa personenbezogene Daten falsch behandelt, werden die Konsequenzen durch ein recht einfaches Rahmenwerk festgelegt. Das Verständnis der DSGVO-Strafen und Bußgeldstufen hilft zu erklären, warum Aufsichtsbehörden so handeln, wie sie handeln, und es zeigt auch normalen Menschen, welche Möglichkeiten sie haben, wenn ein Unternehmen etwas falsch macht. Dieser Leitfaden, basierend auf einer aktuellen Übersicht von LegalHelp, erläutert, wie die Bußgelder strukturiert sind, wie die Durchsetzung funktioniert und welche Optionen über die Strafen der Aufsichtsbehörde hinaus bestehen.

Wie DSGVO-Strafen und Bußgeldstufen funktionieren

Die Datenschutz-Grundverordnung teilt ihre maximalen Verwaltungsbußgelder in zwei Stufen ein, die in Artikel 83 festgelegt sind.

  • Untere Stufe: bis zu 10 Millionen € oder 2 % des gesamten weltweiten Jahresumsatzes eines Unternehmens, je nachdem, welcher Betrag höher ist.
  • Obere Stufe: bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Zwei Details sind hier wichtig. Erstens sind dies Obergrenzen, keine festen Preise. Die Aufsichtsbehörden berechnen den tatsächlichen Betrag von Fall zu Fall, sodass ein Bußgeld deutlich unter dem Höchstbetrag liegen kann. Zweitens bedeutet die Formulierung „je nachdem, welcher Betrag höher ist", dass der Prozentsatz bei großen multinationalen Unternehmen den festen Euro-Betrag übersteigen kann. Eine feste Obergrenze allein wäre für ein Unternehmen mit enormem Umsatz ein Rundungsfehler, und die umsatzbasierte Option verleiht den Regeln in dieser Größenordnung wirkliches Gewicht.

Die obere Stufe ist im Allgemeinen den schwerwiegenderen Verstößen vorbehalten. Die untere Stufe deckt weniger schwerwiegende Verstöße ab. In der Praxis signalisiert die Stufe, in die ein Fall fällt, wie ernst die Aufsichtsbehörde das Verhalten einschätzt.

Was große Durchsetzungsfälle über Datenmissbrauch verraten

Bußgeldstufen wirken abstrakt, bis man sieht, wie sie angewendet werden. Durchsetzungsfälle zeigen, welche Arten von Verstößen die größte Aufmerksamkeit erregen und wie die Aufsichtsbehörden die Umstände bei der Festsetzung eines Betrags abwägen.

Unsere Berichterstattung über Ubers 825-Mio.-€-DSGVO-Bußgeld ist ein nützliches Beispiel dafür, wie eine Strafe am oberen Ende der Skala zustande kommt und was sie anderen Unternehmen signalisiert, die Daten über Grenzen hinweg verarbeiten. Kinderdaten sind ein weiterer Bereich, der stark unter Beobachtung steht. Unser Beitrag darüber, warum Checkbox-Compliance unter den DSGVO-Kinderdatenschutzregeln scheitert, zeigt, dass Aufsichtsbehörden zunehmend über das Papier hinausschauen und darauf achten, was Organisationen tatsächlich mit personenbezogenen Daten tun.

Der gemeinsame Nenner ist, dass sich die Aufsichtsbehörden auf die tatsächliche Praxis konzentrieren. Eine Datenschutzrichtlinie, die nur auf dem Papier existiert, schützt ein Unternehmen nicht, wenn seine tatsächliche Datenverarbeitung zu wünschen übrig lässt.

Wie man eine Beschwerde bei seiner Datenschutzbehörde einreicht

Bußgelder werden von Aufsichtsbehörden verhängt, aber die Aufsichtsbehörden erfahren oft von Problemen, weil Einzelpersonen sie melden. Wenn Sie glauben, dass eine Organisation Ihre Daten missbraucht hat, haben Sie grundsätzlich das Recht, eine Beschwerde bei einer Datenschutzbehörde (DSB) einzureichen. Das genaue Verfahren variiert von Land zu Land, daher ist der beste Ausgangspunkt die Website der DSB in Ihrem eigenen EU-Mitgliedstaat.

Einige praktische Schritte machen eine Beschwerde in der Regel stärker:

  1. Beginnen Sie mit dem Unternehmen. Senden Sie eine schriftliche Anfrage, welche Daten es über Sie speichert, wie sie verwendet werden und mit wem sie geteilt werden. Behalten Sie eine Kopie und das Datum, an dem Sie sie gesendet haben.
  2. Sammeln Sie Beweise. Speichern Sie E-Mails, Screenshots, Kontoseiten und alle Antworten, die Sie erhalten, einschließlich einer fehlenden Antwort.
  3. Seien Sie konkret. Beschreiben Sie, was passiert ist, wann es passiert ist und welche Ihrer Daten betroffen waren.
  4. Reichen Sie bei der richtigen Behörde ein. Nutzen Sie das Beschwerdeformular oder den Kontaktkanal Ihrer nationalen DSB und fügen Sie Ihre Dokumentation bei.

Eine Beschwerde garantiert kein Bußgeld. Die Aufsichtsbehörde entscheidet, ob sie ermittelt und welche Maßnahmen, falls überhaupt, sie ergreift. Aber Beschwerden sind Teil davon, wie Muster von Fehlverhalten ans Licht kommen.

Jenseits von Bußgeldern: Privatklagen und Unternehmensberufungen

Verwaltungsbußgelder sind nur ein Teil des Bildes. Die Übersicht von LegalHelp behandelt auch Durchsetzungsbefugnisse jenseits von Bußgeldern, Privatklagen und Berufungsmöglichkeiten.

Auf der individuellen Seite können Personen, die durch einen Verstoß geschädigt wurden, möglicherweise Schadensersatzansprüche vor Gericht verfolgen. Dieser Weg ist getrennt von einem Bußgeld der Aufsichtsbehörde: Das Geld aus einer Verwaltungsstrafe geht nicht an die betroffene Person. Wenn Sie rechtliche Schritte in Erwägung ziehen, ist es ratsam, mit einem qualifizierten Anwalt in Ihrer Gerichtsbarkeit zu sprechen, da die Regeln und Verfahren unterschiedlich sind.

Auf der Unternehmensseite können Organisationen, die eine Strafe erhalten, diese in der Regel anfechten. Das bedeutet, dass ein Schlagzeilen-Bußgeld nicht immer das letzte Wort ist und Beträge oder Feststellungen angefochten werden können. Leser, die einen großen Fall verfolgen, sollten die erste Ankündigung als eine Phase in einem längeren Prozess betrachten.

Was das für Sie bedeutet

Die zweistufige Struktur mag wie eine Angelegenheit für Compliance-Teams von Unternehmen erscheinen, aber sie prägt Ihren Hebel als Einzelperson. Da Strafen 2 % oder 4 % des globalen Umsatzes erreichen können, haben Unternehmen einen starken finanziellen Grund zu reagieren, wenn Datenschutzbehörden eingreifen. Ihre Beschwerde oder Auskunftsanfrage speist sich in dieses System ein.

Dies gilt auch, wenn Sie im Alltag nicht in der EU sind. Viele globale Dienste verarbeiten die Daten europäischer Bürger, und die Regeln sind darauf ausgelegt, den Daten zu folgen. Ein VPN oder andere Datenschutztools können reduzieren, wie viele Informationen Sie preisgeben, aber gesetzliche Rechte decken ab, was mit Daten passiert, sobald ein Unternehmen sie bereits hat. Die beiden Ansätze funktionieren am besten zusammen.

Wichtigste Erkenntnisse

  • DSGVO-Strafen und Bußgeldstufen sind auf 10 Millionen € oder 2 % des weltweiten Umsatzes (untere Stufe) und 20 Millionen € oder 4 % (obere Stufe) begrenzt, je nachdem, welcher Betrag höher ist.
  • Diese Zahlen sind Höchstbeträge. Die Aufsichtsbehörden legen die tatsächlichen Bußgelder auf der Grundlage der Besonderheiten jedes Falls fest.
  • Sie können eine Auskunftsanfrage an ein Unternehmen senden und bei Bedarf eine Beschwerde bei Ihrer nationalen Datenschutzbehörde einreichen.
  • Schadensersatzansprüche vor Gericht sind getrennt von behördlichen Bußgeldern, und Unternehmen können Strafen anfechten.

Wenn eine Organisation Ihre Daten schlecht behandelt hat, nutzen Sie diese Rechte. Senden Sie die Auskunftsanfrage, dokumentieren Sie die Antwort und reichen Sie eine Beschwerde ein, wenn sie unzureichend ist. Um zu sehen, wie die Durchsetzung in der Praxis abläuft, lesen Sie unsere Analyse des Uber-Bußgelds und unseren Bericht über Kinderdatenschutzregeln.