Source: https://ensecur.de/bussgeldkonzept-der-datenschutzaufsichtsbehoerden-wieviel-darfs-denn-kosten/
Timestamp: 2020-02-17 16:41:06+00:00

Document:
Bußgeldkonzept der Datenschutzaufsichtsbehörden
In ALLGEMEIN, ENSECUR
Bußgeldkonzept der Datenschutzaufsichtsbehörden – Wieviel darf’s denn kosten?!
Der Hype um die Datenschutz-Grundverordnung (DS-GVO) und die regelrechte Panikmache wegen den Bußgeld“androhungen“ sind verflacht, obwohl zunächst der Schrecken wegen der deutlichen Anhebung des Bußgeldrahmens hoch war. Denn die bisher verhängten Bußgelder wurden eher als mäßig angesehen. Dies könnte sich nun ändern. „Bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes, je nach dem was höher liegt“, so die „Preisrange“ des Art. 83 DS-GVO.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder haben sich auf ein Bußgeldkonzept geeinigt. Dieses beschreibt, wie sich die Höhe eines Bußgeldes Deutschlandweit gleich berechnen soll, um Standortunterschiede der Unternehmen im Umgang mit Datenschutzverstößen zu vermeiden. Für Unternehmen und Datenschutzbeauftragte ist dieses Konzept interessant, um Risiken für das Unternehmen nicht pauschal, sondern gezielter bestimmen zu können. Insbesondere für Datenschutzbeauftragte kann dies ein Werkzeug sein, die Beteiligten für die Umsetzung zu sensibilisieren.
Warum das wichtig ist: Das Bußgeld berechnet sich nach dem Umsatz eines Unternehmens. Der Abschnitt behandelt die Frage, welcher Umsatz anzusetzen ist.
Ein großer Streitfall bei der Verhängung von Bußgeldern ist insbesondere der Unternehmensbegriff. In Art. 4 Nr. 18 und 19 DS-GVO wird zwischen Unternehmen als einzelne wirtschaftliche Person und einer Unternehmensgruppe als hierarchische Einheit von Unternehmen unterschieden. In Art. 83 DS-GVO, der die Verhängung von Bußgeldern regelt, wird jedoch nur von Unternehmen gesprochen, nicht von einer Unternehmensgruppe. Nach der Legaldefinition wäre davon auszugehen, dass Bußgelder nur gegen das verursachende Unternehmen selbst, aber nicht den gesamten Konzernverbund zu verhängen sind.
In Erwägungsgrund 150 der DS-GVO wird hingegen der funktionale Unternehmensbegriff – wie im EU-Kartellrecht – für die Verhängung von Bußgeldern beschrieben. Daher soll die wirtschaftliche Einheit, also die Unternehmensgruppe, für die Verhängung von Bußgeldern herangezogen werden.
Die Aufsichtsbehörden haben mit dem Bußgeldkonzept diesen Meinungsstreit für sich entschieden und sich auf den funktionalen Unternehmensbegriff geeinigt. Ob dieser gerichtlich Bestand haben wird, bleibt jedoch weiterhin offen. Für die Feststellung des unternehmerischen Risikos kann der funktionale Unternehmensbegriff, und damit die Verwendung des Konzernumsatzes, zur Berechnung eines Bußgeldes nur empfohlen werden.
Berechnungsgrundlage eines Bußgeldes ist der Vorjahresumsatz.
Jahresumsätze bis 500 Mio. Euro
Der Jahresumsatz unter 500 Mio. Euro ist in die nachfolgende Tabelle (Tabelle 1) einzuordnen. Die Zellenbezeichnung wird dazu verwendet, den „mittleren Jahresumsatz“ zu ermitteln und daraus den „wirtschaftlichen Grundwert“ (Tabelle 2) abzuleiten. Der Schritt 2 (mittlerer Jahresumsatz) kann aber auch zur Bußgeldermittlung übersprungen werden.
A – Kleinstunternehmen
B – Kleine Unternehmen
C – Mittlere Unternehmen
D – Großunternehmen
A.I bis. 700.000 € B.I 2 Mio. bis 5 Mio. € C.I 10 Mio. bis 12,5 Mio. € D.I 50 Mio. bis 75 Mio. €
A.II 700.000 bis 1,4 Mio. € B.II 5 Mio. bis 7,5 Mio. € C.II 12,5 Mio. bis 15 Mio. € D.II 75 Mio. bis 100 Mio. €
A.III 1,4 Mio. € bis 2 Mio. € B.III 7,5 Mio. 10 Mio. € C.III 15 Mio. bis 20 Mio. € D.III 100 Mio. bis 200 Mio. €
C.IV 20 Mio. bis 25 Mio. € D.IV 200 Mio. bis 300 Mio. €
C.V 25 Mio. bis 30 Mio. € D.V 300 Mio. bis 400 Mio. €
C.VI 30 Mio. bis 40 Mio. € D.VI 400 Mio. bis 500 Mio. €
C.VII 40 Mio. bis 50 Mio. €
Wirtschaftlicher Grundwert
A.I 972 € B.I 9.722 € C.I 31.250 € D.I 173.611 €
C.IV 62.500 € D.IV 694.444 €
C.V 76.389 € D.V 972.222 €
C.VI 97.222 € D.VI 1,25 Mio. €
C.VII 125.000 €
Jahresumsatz über 500 Mio. Euro
Liegt der Jahresumsatz (JU) über 500 Mio. Euro ist zur Ermittlung des wirtschaftlichen Grundwertes (wG) der genauere Wert zu nehmen und durch 360 Tage zu teilen.
wG = JU / 360
Ermittlung des Bußgeldes
Anhand der Kriterien aus Art. 83 Abs. 2 DS-GVO ist die Schwere des Verstoßes festzulegen in „leicht“, „mittel“, „schwer“ und „sehr schwer“. Mit der Zusammenführung, gegen welche Gesetz verstoßen wurde, wird der Faktor ermittelt, mit dem der wirtschaftliche Grundwert zu multiplizieren ist, um das Bußgeld zu ermitteln. Der Faktor wird jedoch nicht konkret bestimmt, sondern auch hier wird ein „Spielraum“ definiert, indem aufgrund der bestehenden Gegebenheiten und sonstigen Umstände (z.B. eine lange Verfahrensdauer oder eine drohende Zahlungsunfähigkeit des Unternehmens) der Wert festgelegt werden kann.
Schweregrad der Tat Faktor für formelle Verstöße gemäß Art. 83 Abs. 4 DS-GVO Faktor für materielle Ver-stöße gemäß § 83 Abs. 5, 6 DS-GVO
Bußgeldgrenzen
Die DS-GVO setzt Grenzen für die Verhängung von Bußgeldern. Diese sind nach Art. 83 Abs. 4 DS-GVO 10 Mio. € oder 2 % des weltweiten Jahresumsatzes oder nach Art. 83 Abs. 5 und 6 DS-GVO 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
Ebenso kann nicht außer Acht gelassen werden, dass es in Deutschland kein Unternehmensstrafrecht gibt. Bußgelder gegen Unternehmen können nach dem Gesetz über Ordnungswidrigkeiten nur verhängt werden, wenn das Vergehen durch eine Leitungsperson begangen oder im Auftrag gegeben wurde. Auch hierzu macht der Bußgeldkatalog des DSK keinerlei Aussagen.
Gibt es schon Beispiele für die Anwendung des Konzeptes?
Offizielle Angaben hierzu sind uns nicht bekannt. Jedoch kann beispielhaft das Bußgeld der Deutschen Wohnen herangezogen werden, welches die Berliner Datenschutzbeauftragte in Höhe von 14,5 Mio. Euro vor kurzem verhängte.
Nach der Pressemitteilung der Berliner Datenschutzbeauftragten wurde ein Maximalvolumen von 28 Mio. Euro festgestellt. Bei einem Jahresumsatz von über 1,4 Milliarden Euro laut der veröffentlichten Gewinn- und Verlustrechnung, entspricht dies 2 % des Umsatzes. Also einem Verstoß nach Art. 83 Abs. 4 DS-GVO. Nimmt man den Umsatz und teilt diesen durch 360 und teilt das Bußgeld durch den ermittelt Grundwert, erhält man einen Faktor von ca. 3 bis 4, also einen mittleren Schwergrad.
Das Bußgeldkonzept kann als weiterer Faktor in die Risikobewertung von Datenschutzrisiken oder -Maßnahmen genutzt werden. Besser als bisher können die Auswirkungen möglicher Vorfälle und Berücksichtigung der ergriffenen Maßnahmen zum möglichen Schadensausmaß eines Vorfalls genutzt werden. Natürlich ist dies nur ein näherungsweiser Ansatz, da die genaue Bewertung der Behörde immer unterschiedlich ausfallen kann.
Bildquelle: Bild von Steve Buissine auf pixabay

References: Art. 83
 Art. 4
 Art. 83
 Art. 83
 Art. 83
 § 83
 Art. 83
 Art. 83
 Art. 83