Source: https://www.datenschutz-notizen.de/datenschutz-grundverordnung-rechtsbehelfe-und-sanktionen-3414720/
Timestamp: 2017-07-23 02:45:44+00:00

Document:
Die Praxis zeigt, dass die Höchstgrenzen der vorgesehenen Bußgelder durch die Aufsichtsbehörden bisher noch nicht ausgereizt wurden. Ebenso wenig ist bekannt, dass Gerichte Freiheitsstrafen wegen Datenschutzverstößen verhängt hätten. Ferner haben Betroffene bisher keinerlei wirkliche Handhabe, die Aufsichtsbehörden dahingehend in die Pflicht zu nehmen, dass diese etwa bei einem Datenlöschungs- oder Berichtigungsbegehren auch innerhalb eines bestimmten Zeitraumes tätig werden (wir berichteten). Schließlich ist auch der für Betroffene vorgesehene direkte Anspruch gegen den Verletzer auf materiellen Schadensersatz aus § 7 BDSG bisher lediglich Inhalt weniger Gerichtsverfahren gewesen. Dies wohl auch vor dem Hintergrund, dass ein materieller Schaden bei einem Datenschutzverstoß häufig nur schwer bezifferbar und ein teures Klageverfahren daher relativ unsicher bleibt.
Wird nun durch die DSGVO alles besser? Können Betroffene ihre Rechte nun endlich einfach, wirksam und zügig durchsetzen? Und werden vor allem die großen Datenkraken wie Google und Co. endlich durch das aufsichtsrechtliche bzw. gerichtliche „Lasso“ eingefangen und erhalten bei Verstößen solche Sanktionen, die sie wirklich empfindlich treffen? Fragen, die wohl erst beantwortet werden können, nachdem die Verordnung in Kraft getreten ist und sich zeigt, wie die Vorschriften in der Praxis angenommen bzw. umgesetzt werden. Die am 04.05.2016 im EU-Amtsblatt veröffentliche Endfassung der DSGVO vom 27.04.2016 lässt zumindest erkennen, dass einigen dieser Fragen Beachtung geschenkt und Antwortmöglichkeiten aufzeigt werden. Im Einzelnen:
Konkret normierte Rechtsbehelfe – mehr Rechtsschutz für Betroffene?
Wenn Betroffene der Ansicht sind, dass die Verarbeitung sie betreffender personenbezogener Daten unzulässig sei, haben sie gemäß Art. 77 Abs. 1 DSGVO das Recht, entweder Beschwerde bei der Aufsichtsbehörde ihres Mitgliedsstaates, ihres Aufenthaltsortes, ihres Arbeitsplatzes oder des Ortes des Verstoßes zu erheben. Ausweislich des Erwägungsgrundes Nr. 141, der die Verordnung insoweit konkretisiert, soll jede Aufsichtsbehörde dabei Maßnahmen zur Erleichterung der Einreichung von Beschwerden treffen, wie etwa die Bereitstellung eines Beschwerdeformulares. Damit wird den Betroffenen zuerkannt, dass sie ihre Beschwerde in einer ihnen vertrauten Sprache und in der Nähe ihres Lebensmittelpunktes verfassen und einreichen können.
Die Aufsichtsbehörde wird ferner gemäß Art. 77 Abs. 2 DSGVO dazu verpflichtet, den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs gegen die Aufsichtsbehörde zu unterrichten. Außerdem ist es den Betroffenen gemäß Art. 78 Abs. 2 DSGVO nun möglich, das Gericht anzurufen, wenn die Aufsichtsbehörde sich nicht mit der Beschwerde befasst oder nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde informiert.
Einheitlich in Art. 79 Abs. 1 DSGVO normiert ist nunmehr auch das direkte Klagerecht für Betroffene gegen die für die Verarbeitung Verantwortlichen oder gegen deren Auftragsverarbeiter. Klagen kann danach, wer der Ansicht ist, dass seine personenbezogenen Daten nicht im Einklang mit der Verordnung verarbeitet wurden. Betroffene haben hier die Wahl, ihre Klage am Ort einer Niederlassung der datenverarbeitenden Stelle zu erheben oder an ihrem eigenen Aufenthaltsort. Das Spektrum der Klagemöglichkeiten reicht von Schadensersatz-, Unterlassungs-, und Feststellungsklagen bis hin zu Klagen auf Auskunft, Berichtigung oder Löschung von Datensätzen. Neu ist insoweit, dass auch Auftragsverarbeiter direkt in die Pflicht genommen werden können; bisher konnte zumindest im Außenverhältnis ausschließlich die für die Datenverarbeitung verantwortliche Stelle rechtlich belangt werden.
Gemäß Art. 80 Abs. 1 DSGVO ist es den Betroffenen möglich, sich für die Rechtsdurchsetzung entsprechender Einrichtungen, Organisationen oder Vereinigungen zu bedienen und diese zu beauftragen, in ihrem Namen Beschwerde oder Klage zu erheben. Außerdem können die Mitgliedsstaaten festlegen, dass diese Einrichtungen, Organisationen oder Vereinigungen, auch unabhängig von einem Auftrag der Betroffenen, in deren Mitgliedsstaat das Recht bekommen, selbständig und im eigenen Namen Beschwerde einzulegen oder zu klagen, wenn ihrer Ansicht nach durch unzulässige Datenverarbeitung Betroffenenrechte verletzt worden seien. Dem vermeintlich „kleinen“ Bürger wird somit zumindest ansatzweise die Möglichkeit gegeben, auf Augenhöhe gegen das häufig übermächtig erscheinende datenverarbeitende Unternehmen zu prozessieren. Wer genau jedoch mit „Einrichtungen, Organisationen und Vereinigungen“ gemeint ist, bleibt bisher unklar. Naheliegend ist hier, dass diese den in § 3 des Unterlassungsklagengesetz (UKlaG) genannten Stellen ähneln müssen.
Ein weiterer Anreiz für eine zukünftig gesteigerte Klagefreudigkeit Betroffener könnte ferner sein, dass der in Art. 82 Abs. 1 normierte Schadensersatzanspruch ausdrücklich nicht nur – wie bisher gemäß § 7 BDSG für nicht-öffentliche Stellen vorgesehen – den materiellen Schaden erfasst, sondern um den immateriellen Schaden erweitert wird. Fraglich ist hier, inwieweit und vor allem in welcher Höhe ein solcher immaterieller Schaden von den Gerichten zugesprochen wird. Hilfreich könnte etwa eine durch die Rechtsprechung zu entwickelnde Kasuistik mit dazu korrespondierenden Pauschalbeträgen sein, wie etwa im Bereich des Urheber- und Lizenzrechts.
Sensiblere Sanktionstatbestände
Eine maßgebliche Änderung zum derzeit geltenden BDSG ist sicherlich der erweiterte Sanktionsrahmen der DSGVO. So können gemäß Art. 83 Abs. 4 DSGVO bei Verstößen gegen
c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4. Geldbußen von bis zu 10.000.000 EUR oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden, je nachdem, welcher der Beträge höher ist. Gemäß Art. 83 Abs. 5 DSGVO können bei Verstößen gegen
e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz
sogar Geldbußen von bis zu 20.000.000 EUR oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden, je nachdem, welcher der Beträge höher ist.
Ferner legt Erwägungsgrund 150 der DSGVO klar fest, dass bei der Auferlegung von Geldbußen auf den Unternehmensbegriff der Artikel 101, 102 AEUV (Vertrag über die Arbeitsweise der EU), also auf die gesamte wirtschaftliche Tätigkeit und somit den Konzerngesamtumsatz abzustellen ist.
Dies hört sich zunächst so an, als dass es den großen Unternehmen nun endlich „an den Kragen geht“. Relativiert wird dieser zunächst drakonisch anmutende Sanktionsrahmen jedoch durch die in Art. 83 Abs. 1,2 DSGVO normierten Bedingungen für die Bestimmung der Geldbuße im Einzelfall. Aufsichtsbehörden sollen die Geldbußen danach für jeden Einzelfall so festsetzen, dass sie gemäß Art. 83 Abs. 1 DSGVO „wirksam, verhältnismäßig und abschreckend“ sind. Zur Auslegung dieser unbestimmten Rechtsbegriffe soll jeweils gemäß Art. 83 Abs. 2 DSGVO berücksichtigt werden:
i) Einhaltung der nach Artikel58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, falls solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
Es ist daher zu erwarten, dass Exculpationsmöglichkeiten wie die vorherige Zertifizierung nach Art. 42 DSGVO oder die Einhaltung von Verhaltensregeln nach Art. 40 DSGVO dazu führen werden, dass der Sanktionsrahmen auch weiterhin selten ausgeschöpft wird. Dafür müssten schon nahezu sämtliche „Auslegungshilfen“ des Art. 83 Abs. 2 DSGVO gegen das jeweilige Unternehmen sprechen. Trotzdem bietet der Bußgeldkatalog zumindest die Möglichkeit, den „Datenkraken“ im Zweifelsfall empfindlich zuzusetzen. Die Rechtsprechung sollte hier bei der jeweiligen Bußgeldbemessung im Einzelfall maßvoll abwägen und insbesondere die Größe des Unternehmens und deren Leistungsfähigkeit im Hinblick auf die Umsetzung eines angemessenen Datenschutz- und Datensicherheitskonzepts berücksichtigen. Es sollte z.B. klar sein, dass bei Google höhere Standards anzusetzen sind als bei einem kleinen Einzelhändler mit wenigen Angestellten und entsprechend geringerem Datenaufkommen.
Gemäß Art 83 Abs. 7 DSGVO obliegt es den Mitgliedstaaten selbst, ob und in welcher Höhe diese für ihre eigenen Behörden oder öffentlichen Einrichtungen Bußgelder verhängen. Interessant wird hier sein, wie ein etwaiges Sanktionierungsverfahren tatsächlich ausgestaltet wird, d.h. wer etwa die Behördenbußgelder festsetzt und letztlich „eintreibt“. Außerdem bleibt die Frage, ob nicht in vielen Fällen einfach nur eine „Umbuchung“ zwischen den Behörden stattfände.
Schließlich bietet Art. 84 Abs. 1 DSGVO die Möglichkeit, dass Mitgliedstaaten für solche Verstöße, die keiner in Art. 83 DSGVO genannten Geldbuße unterliegen, alle erforderlichen Maßnahmen festlegen, um deren Durchführung bzw. Sanktionierung zu gewährleisten. Auch die Mitgliedstaaten haben sich jedoch nach den Auslegungskriterien „wirksam, verhältnismäßig und abschreckend“ zu richten.
Die im Rahmen der DSGVO festgesetzten Rechtsbehelfe und Sanktionen stellen eine begrüßenswerte Verschärfung der geltenden nationalen Normen dar. Außerdem bieten sie genug Auslegungsspielraum für die Rechtsprechung, die allgemeinen Kriterien „wirksam, verhältnismäßig und abschreckend“ in jedem Einzelfall entsprechend zur Unternehmensgröße und Schwere des Verstoßes zu würdigen. Wichtig ist hier, dass zukünftig auch der gesamte Gesetzesrahmen ausgenutzt wird.
Begrüßenswert ist weiterhin, dass Betroffene die Wahl haben, ihre Beschwerden entweder bei einer naheliegenden Behörde oder einem Gericht, ggf. auch mit Unterstützung einer entsprechenden Organisation, geltend zu machen. Sollte die angerufene Behörde dabei nicht innerhalb von drei Monaten tätig werden, kann außerdem ein Gericht die „Untätigkeit“ überprüfen. Ferner können Betroffene einen immateriellen Schadensersatzanspruch in Geld beanspruchen. Eines häufig sehr schwer zu beziffernden materiellen Schadens bedarf es somit nicht mehr. Gleichwohl muss es möglich sein, die Höhe des (ebenfalls schwer bezifferbaren) immateriellen Schadens in das Ermessen des jeweiligen Gerichts zu stellen, welches diesen regelmäßig und in angemessener Höhe zuspricht.
Auch wenn viele Bereiche der DSGVO nach diesseitiger Ansicht gar nicht oder nur teilweise zu Ende gedacht wurden, erscheinen zumindest die gefassten Rechtsbehelfe und Sanktionstatbestände lobenswert. Ziel muss es sein, diese aktiv anzunehmen und die allgemein herrschende Zurückhaltung bei der Geltendmachung von Datenschutzverstößen ein Stück weit umzukehren.
23. Mai 2016 | Datenschutz-Grundverordnung |	DSGVO, Geldbuße, Rechtsbehelfe, Sanktionen	« Dashcam-Bilder vor Gericht als Beweis verwertbar	Wer zu spät kommt, den bestraft das Leben – Biometrische Zeiterfassung in der Schule »	Hinterlassen Sie einen Kommentar Cancel	Name (freiwillig) Bitte vervollständigen Sie die Gleichung (Pflichtfeld): Time limit is exhausted. Please reload CAPTCHA.
E-Mail-, SMS- und Internetwerbung stellen ein datenschutzrechtliches Dauerthema dar, mit dem wir uns bereits mehrfach beschäftigt haben. Nun hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in einem Informationsblatt noch einmal... Müssen Partner von SGB II-Empfängern ihre Gehaltsabrechnung beim Jobcenter vorlegen? 24. April 2017
Ein Unternehmer, der einen anderen Unternehmer mit der Erbringung von Werk- oder Dienstleistungen beauftragt, haftet seit dem 01. Januar 2015 für die Verpflichtung dieses Unternehmers zur Zahlung des gesetzlichen Mindestlohns... Dürfen potentielle Arbeitgeber im Bewerbungsverfahren frühere Arbeitgeber des Bewerbers anrufen? 28. März 2017

References: § 7
 Art. 77
 Art. 77
 Art. 78
 Art. 79
 Art. 80
 § 3
 Art. 82
 § 7
 Art. 83
 Art. 83
 Art. 83
 Art. 83
 Art. 83
 Art. 42
 Art. 40
 Art. 83
 Art. 84
 Art. 83