Source: https://www.pingdigital.de/blog/2018/11/15/sanktionen-der-datenschutz-grundverordnung/1465
Timestamp: 2020-08-09 14:12:44+00:00

Document:
Sanktionen der Datenschutz-Grundverordnung - PinG Privacy in Germany
Autor: Pauline Engels Erstellt am: 15. November 2018 Rubrik: Datenschutzbehörde, Sanktionen
Aber welche Sanktionen drohen denn nun wirklich und wo findet sich ihre rechtliche Grundlage? Gibt es einen Unterschied zwischen vorsätzlichem und fahrlässigem Verstoß? Und wie äußern sich die zuständigen Aufsichtsbehörden zu ihrem bisherigen Vorgehen?
Allgemeine Vorgaben für die Sanktionierung aus der DSGVO
Kernanliegen der Datenschutzreform ist die Verstärkung der Autorität und Kontrollfunktion der Aufsichtsbehörden. Art. 58 DSGVO zielt mit der Ausstattung der Aufsichtsbehörden mit einheitlichen Befugnissen auf eine einheitliche Überwachung und Durchsetzung der DSGVO ab. So soll ein gleichmäßiges Datenschutzniveau innerhalb der EU erreicht werden. Aus den Art. 82 – 84 DSGVO bzw. den Erwägungsgründen (ErwG) 146 bis 152 zur DSGVO gehen allgemeine Grundsätze der Sanktionierung hervor.
Geldbußen als Sanktionsmechanismus
Neben den weiteren in Art. 58 DSGVO aufgeführten Befugnissen der Aufsichtsbehörden ist die Verhängung von Geldbußen eines ihrer Abhilfebefugnisse. Weitere Befugnisse sind etwa die Anordnung zur Beendigung des Verstoßes oder der Ausspruch eines zeitlich begrenzten oder auch endgültigen Verbots der Datenverarbeitung.
Zentrale Norm über die Verhängung von Geldbußen bei DSGVO-Verstößen ist Art. 83 DSGVO. Konkrete Auslegungshilfen zur Norm finden sich in den ErwG 148, 150, 151, 152 und 153. Daneben verdienen auch die Leitlinien vom 3.10.2017 des Datenschutzausschusses besondere Beachtung, welche sich der Sicherstellung der Anwendung von Geldbußen widmen.
Diese verweisen auch auf die Tatsache, dass die Bußgeldregelungen der DSGVO an das europäische Wettbewerbsrecht anknüpfen. Sie bilden die Grundlage eines behördlichen Sanktionssystems, welches bei datenschutzrechtlichen Verstößen neben dem privaten Schadensersatzanspruch das Rechtsdurchsetzungsregime mit mehr Durchsetzungskraft darstellen soll.
Dabei hat dieser Sanktionsmechanismus sowohl Abschreckungs-, als auch general- und spezialpräventive Wirkung.
Art. 83 I DSGVO besagt, dass Geldbußen allein eine wirksame und verhältnismäßige Sanktion mit Abschreckungswirkung darstellen und verbietet es Aufsichtsbehörden insbesondere, die Höhe der Geldbußen an Schadensersatzforderungen anzugleichen oder eigenverantwortlich von der Verhängung von Geldbußen abzusehen.
Höhe der Geldbuße – Differenzierung zwischen Vorsatz und Fahrlässigkeit
Nach Art. 83 II DSGVO richtet sich die Verhängung und Höhe der Geldbuße nach spezifischen Kriterien des Einzelfalls. Die Zuständigkeit der Aufsichtsbehörde, geregelt in Art. 58 DSGVO, ist den Art. 55 f. DSGVO zu entnehmen. In Bezug auf natürliche Personen kann gem. ErwG 148 S. 2 eine Verwarnung gegebenenfalls , sofern diese in Anbetracht der persönlichen wirtschaftlichen Lage eine unverhältnismäßige Belastung darstellt oder die datenschutzrechtlichen Verstöße nur in geringem Umfang stattfanden.
Der Katalog der Kriterien zur Ermittlung der Bußgeldhöhe beginnt mit Art. 83 II a) DSGVO, wonach Art und Schwere des Verstoßes zu berücksichtigen sind. Die Schwere des Verstoßes wird auch dadurch beeinflusst, ob der Schaden rückgängig gemacht werden kann oder ob die betroffene Person dadurch bloßgestellt wurde.
Buchst. b) beurteilt den Grad des Verschuldens des Verantwortlichen oder Auftragsverarbeiters und unterscheidet zwischen Vorsatz und Fahrlässigkeit. Dabei geht es in erster Linie um leitende Angestellte sowie Personen, die mit der Verarbeitung personenbezogener Daten betraut sind. Außerdem erhöht sich die Bußgeldsumme, wenn ein Organisationsverschulden vorliegt.
Ein Anzeichen für einen vorsätzlichen Verstoß ist die Missachtung von Hinweisen von Datenschutzbeauftragten, beispielsweise bei Erwerb der Beschäftigten eines Wettbewerbers, um diesen zu diskreditieren. Von Fahrlässigkeit wird ausgegangen, wenn das Unternehmen keine Datenschutzregeln aufgestellt hatte, diese nicht beachtet wurden oder mangelhafte Updates Ursache des Verstoßes waren.
ErwG 146 erläutert die Beweislast der Verantwortlichen sowie den Wegfall des Schadensersatzanspruchs, wenn die Verantwortlichen keine Schuld an dem Verstoß gegen die DSGVO trifft.
Eine weitere Rolle spielt nach Art. 83 II c) DSGVO, ob der Verantwortliche Maßnahmen ergreift, um eine Wiedergutmachung des entstandenen Schadens herbeizuführen, und welchen Umfang seine Bemühungen haben.
Weiterhin ist es gem. Buchst. d) entscheidend, welche technisch-organisatorischen Maßnahmen von dem Unternehmen getroffen wurden, wobei umfassende Investitionen in dem Bereich eine Geldbuße verringern können. Die Aufteilung der Verantwortung zwischen den Verantwortlichen soll ermittelt und die Höhe der Geldbuße daran entsprechend angepasst werden.
Im Sinne der präventiven Sanktionswirkung zielt Buchst. e) darauf ab, vorherige Verstöße der Verantwortlichen gegen das Datenschutzrecht in die Bemessung des Bußgelds mit einzubeziehen. Im Falle eines Verstoßes gegen EU-Recht bzw. gleichwertiges Recht ist diese Einbeziehung jedenfalls verpflichtend.
Gem. Art. 83 II Buchst. f) DSGVO kann eine Kooperation der Verantwortlichen und Auftragsverarbeiter mit den Aufsichtsbehörden hinsichtlich der Verringerung der eingetretenen Schäden zu einer geringeren Geldbuße führen, sofern sie über die gesetzlichen Verpflichtungen der Verantwortlichen hinausgeht. Zur Erhöhung des Bußgelds hingegen führt gem. Buchst. g) auch eine Missachtung der Sorgfaltspflichten im Umgang mit bestimmten Kategorien personenbezogener Daten, die in Art. 8-10 DSGVO genannt werden.
Die Einhaltung der Meldepflicht an die Aufsichtsbehörde gem. Art. 33 I DSGVO wird in Buchst. h) berücksichtigt. Bei Verstoß gegen die Meldepflicht ist eine Erhöhung des Bußgelds möglich, wobei eine pflichtgemäße Meldung nicht zur Minderung der Geldbuße führen kann. Buchst. i) betont die Relevanz früherer Weisungen, die durch die zuständige Aufsichtsbehörde erteilt und nicht befolgt wurden, während j) zur Einhaltung genehmigter Verhaltensregeln nach Art. 40 und Zertifizierungsverfahren nach Art. 42 DSGVO verpflichtet. Art. 40 IV DSGVO verpflichtet die Aufsichtsbehörden zwar zur Überwachung der Verhaltensregeln, was jedoch ihr Recht zur Verhängung von Bußgeldern unberührt lässt.
Buchst. k) bildet einen Auffangtatbestand, der den Aufsichtsbehörden gewährt, gebührend von ihrem Ermessen bezüglich der Berücksichtigung der Kriterien aus Art. 83 II DSGVO Gebrauch zu machen.
Was passiert beim Verstoß gegen mehrere DSGVO-Bestimmungen?
Aus Art. 83 III DSGVO geht hervor, dass sich die Geldbuße erhöht, wenn ein Verstoß gegen mehrere Bestimmungen der DSGVO vorliegt. Erfolgen die Verstöße bei demselben oder miteinander verbundenen Verarbeitungsvorgängen, beschränkt sich das Bußgeld auf den schwerwiegendsten
Verstoß. Kann die Verbundenheit des Verarbeitungsvorgangs jedoch nicht nachgewiesen werden, ist es der Aufsichtsbehörde untersagt, lediglich eine einheitliche Geldbuße zu verhängen, da diese keine abschreckende Wirkung mehr entfalten könnte.
Durch die DSGVO festgelegte Geldbußen
In den Absätzen 4 – 6 des Art. 83 werden explizit die mit Geldbußen bewährten Regelungen dargelegt.
Unterschieden wird gem. Art. 83 IV, V DSGVO zwischen zwei Obergrenzen von 10 Mio. € oder zwei Prozent des Jahresumsatzes des Unternehmens und 20 Mio. € oder vier Prozent des Jahresumsatzes. Die zu zahlende Geldbuße im konkreten Fall richtet sich nach dem jeweils höheren Betrag. Der Unternehmensbegriff beschreibt hier jede Einheit, die eine wirtschaftliche Tätigkeit ausübt. Dabei kann es sich auch um mehrere natürliche oder juristische Personen handeln. Bezugspunkt für die Bemessung des Bußgelds ist immer die wirtschaftliche Einheit insgesamt.
Ferner wird unterschieden, ob gegen die Vorschriften der DSGVO oder gegen Anordnungen der Aufsichtsbehörden verstoßen wurde.
Im ersten Fall, der Inhalt der Art. 83 IV und V DSGVO ist, folgt die Verhängung der Geldbuße direkt auf die Feststellung des Verstoßes.
Im zweiten Fall des Art. 83 VI DSGVO liegen dazwischen die Abhilfeanordnung durch die Aufsichtsbehörde und gegebenenfalls die Feststellung der Nichtbefolgung durch das Unternehmen, woraufhin dann eine Geldbuße verhängt wird. Trotz dieser Unterscheidung gilt jedoch weiterhin der Grundsatz des Abs. 2, nach dem die Aufsichtsbehörden ihren Ermessensspielraum im Einzelfall vollumfänglich ausschöpfen können.
In Art. 83 IV DSGVO wird konkret das Fehlverhalten einzelner Personen, also des Verantwortlichen oder der Personen, die für ihn tätig sind, sanktioniert. Dieses umfasst den Verstoß gegen für sie verpflichtende Verhaltensweisen oder Maßnahmen.
Abs. 5 Buchst. a) sanktioniert den Verstoß gegen die Grundsätze der Verarbeitung sowie die Bedingungen für die Einwilligung in den Art. 5, 6, 7, und 9 DSGVO. Zweifel bestehen hier an der Rechtssicherheit der Norm. Die Grundsätze der Verarbeitung enthalten lediglich unkonkrete Begriffe und bieten daher auch keine Orientierung für ein rechtskonformes Verhalten. Anknüpfungspunkt der Sanktionierung auf Grundlage des Buchst. a) sollte daher weiterhin der konkrete Rechtsverstoß sein und weniger die kontextlose Interpretation der Norm.
Abs. 5 Buchst. b) – e) geht bei der Sanktionierung vom Standpunkt des Betroffenen aus und sanktioniert die besondere Gefährdung personenbezogener Daten. Dazu werden Verstöße gegen die Betroffenenrechte gezählt, wie das Informationsrecht Betroffener, die Übermittlung von personenbezogenen Daten an ein Land außerhalb der EU, die Sensibilität besonderer Verarbeitungsvorgänge sowie das Recht der Aufsichtsbehörden, Anweisungen zu erteilen gem. Art. 58 II DSGVO.
Ähnlich wie der Abs. 5 bezieht sich auch der Abs. 6 auf die Abhilfebefugnisse der Aufsichtsbehörden gem. Art. 58 II DSGVO, wobei der Fokus des Abs. 6 auf der Sanktionierung nicht befolgter Abhilfeanordnungen der Aufsichtsbehörde liegt. Es handelt sich um ein gestrecktes Verfahren, in dem der Adressat der Abhilfeanordnung die Möglichkeit hat, gegen diese rechtlich vorzugehen.
Weitere Befugnisse der Aufsichtsbehörden
Abs. 7 des Art. 83 DSGVO eröffnet den Mitgliedsstaaten die Möglichkeit, von der Verhängung von Bußgeldern gegen öffentliche Stellen abzusehen. Auf Bundesebene wird von dieser Möglichkeit mit Art. 43 II BDSG (neu) Gebrauch gemacht. Vor dem Hintergrund, dass die Verhängung von Sanktionen durch eine Behörde eines Rechtsträgers gegen Behörden desselben Rechtsträgers zu einer Konfusion führen würde, lässt sich aus der DSGVO diesbezüglich eher ein Optimierungsauftrag entnehmen, der auf eine verschärfte Binnenkontrolle abzielt.
Umfang und weitere Regelungen zu Geldbußen gegen Unternehmen oder natürliche Personen werden in EG 150 erläutert.
Abs. 8 legt fest, dass die Ausübung der Befugnisse der Aufsichtsbehörden angemessenen Verfahrensgarantien unterliegen muss. Diese werden konkretisiert durch die GRCh der EU sowie das mitgliedsstaatliche Recht. In Deutschland wird diesbezüglich § 46 OWiG iVm der StPO herangezogen.
Geltungsrang der DSGVO
Art. 83 IX DSGVO schließlich schafft mit einer Öffnungsklausel den Ausgleich zwischen mitgliedsstaatlichem Recht und der unmittelbaren Geltung des Unionsrechts. In den Mitgliedsstaaten Estland und Dänemark ist laut ErwG 151 das Verhängen einer Geldstrafe nicht mit der Rechtsordnung vereinbar und muss durch ebenso wirksame wie abschreckende Sanktionsmechanismen ersetzt werden, womit der materielle Durchgriff des Unionsrechts abgesichert werden soll.
ErwG 147 hebt die Geltung hindernder allgemeiner Vorschriften zur Gerichtsbarkeit aus der Verordnung des Europäischen Parlaments und des Rates über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen auf. Ziel der Verordnung sind die Gewährleistung von Rechtssicherheit und Rechtsschutz im Verhältnis der EU-Mitgliedsstaaten zur Union. In ErwG 148 werden das Recht der Mitgliedsstaaten, Sanktionen zu verhängen, sowie einzelne Ausnahmeregelungen dargelegt.
Weitere Sanktionsmöglichkeiten der Mitgliedsstaaten
Art. 84 DSGVO ist Ausgangspunkt der Möglichkeit der Mitgliedsstaaten, weitere Sanktionsmittel straf- und verwaltungsrechtlicher Art zu erlassen. Die Norm bildet die Verbindung zum Recht der Mitgliedsstaaten. Auf Bundesebene ist dieses Recht im StGB, im TKG sowie im neuen BDSG festgelegt. Das Augenmerk des Art. 84 liegt hier vor allem auf dem Strafrecht, jedoch werden auch verwaltungsrechtliche Sanktionen nicht gänzlich ausgeschlossen.
EG 152 S. 2 ermächtigt die Mitgliedsstaaten schließlich, eigene, wirksame, abschreckende und verhältnismäßige Regelungen zu erlassen. Diese Möglichkeit besteht bei mangelnder Harmonisierung verwaltungsrechtlicher Maßnahmen oder bei schweren Verstößen gegen die Verordnung, bei denen es notwendig ist, den verwaltungsrechtlichen Rahmen zu verlassen. Dabei ist das Strafrecht außerhalb des Zuständigkeitsbereichs der Aufsichtsbehörden anzuwenden, was der Verhältnismäßigkeit sowie der Subsidiarität der Mitgliedsstaaten gerecht wird. Dennoch werden strafrechtliche Sanktionen als nachrangig betrachtet, da die Normen gegenüber ihrer ehemaligen Bezeichnung in Art. 78, 79 DSGVO – E(KOM), der Entwurfsfassung, in der endgültigen Fassung der DSGVO deutlich weiter hinten platziert wurden.
Der begrenzte Ermessensspielraum der Aufsichtsbehörden
Dem Aufsichtsbehörden steht ein Ermessensspielraum bei der Sanktionierung zu, der insbesondere die Gewichtung der Kriterien aus Art. 83 II DSGVO betrifft sowie die Bestimmung der Bußgeldhöhe im Einzelnen nach Art. 83 IV und V DSGVO.
Grundsätzlich muss sich ihr Handeln jedoch an den allgemeinen Rechtsgrundsätzen des Unionsrechts und dem nationalen Recht orientieren. Besondere Beachtung muss der Grundsatz der Gleichbehandlung finden. In jedem Fall müssen sich die Sanktionen laut ErwG 150 S. 4 auch an dem durchschnittlichen Einkommensniveau des entsprechenden Mitgliedsstaates orientieren.
Besondere mitgliedsstaatliche Regelungen – Umsetzung in Deutschland
Jenseits der verwaltungsrechtlichen Sanktionen, die durch die DSGVO festgelegt werden, verfügen die Mitgliedsstaaten über eine gewisse Entscheidungshoheit. Beispielsweise können einzelne mit der Datenverarbeitung verbundene Vergehen als strafwürdig qualifiziert werden. In Deutschland finden sich solche Regelungen z.B. in Form des § 201 StGB, der Verletzung der Vertraulichkeit des Wortes, oder in § 206 StGB, der Verletzung des Post- und Fernmeldegeheimnisses.
Zur Ausfüllung der Öffnungsklausel in Art. 83 VII DSGVO, die nationalen Gesetzgebern Raum für die nationale Ausgestaltung der Verordnung gibt, trat eine neue Version des Bundesdatenschutzgesetzes in Kraft. Aus diesen rein gesetzlich festgelegten Maßnahmen ergibt sich der folgende Sanktionskatalog, der bereits eine erste Orientierung bietet.
42 BDSG ist Teil des Nebenstrafrechts und unterliegt der Geltung des Allgemeinen Teils des StGB. Gem. Art. 84 DSGVO sind die Mitgliedsstaaten dazu angehalten, weitere Sanktionen für Verstöße gegen die DSGVO festzulegen. § 42 I, II BDSG als materielle Strafnormen enthalten Sanktionen, die vom nationalen Gesetzgeber in Fällen besonders schwerer Verstöße in der Praxis für notwendig erachtet werden. Ferner enthalten § 42 III, IV BDSG ein Strafantragserfordernis für § 42 I, II BDSG sowie ein Verwendungsverbot für Meldungen über Datenpannen.
Mit einer Geldstrafe oder Freiheitsstrafe bis zu drei Jahren wird gem. § 42 I BDSG bestraft, wer wissentlich, gewerbsmäßig und ohne Befugnis einer großen Personenanzahl nicht allgemein zugängliche personenbezogene Daten offenbart. Wer diese Daten mit Absicht erschleicht oder verarbeitet ohne dazu berechtigt zu sein, riskiert nach § 42 II BDSG eine Geld- oder Freiheitsstrafe von bis zu zwei Jahren.
43 BDSG orientiert sich an § 43 III S. 1 BDSG aF. Die Norm reduziert mögliche Bußgelder auf maximal 50.000€ bei Verstößen gegen § 30 BDSG und richtet sich gegen Stellen, die personenbezogene Daten, die ausschließlich für die Beurteilung der Kreditwürdigkeit von Verbrauchern verwendet werden dürfen, geschäftsmäßig zum Zwecke der Übermittlung verarbeiten. Der Fokus des Gesetzgebers liegt hier auf Verstößen gegen das Auskunftsrecht sowie die nicht rechtzeitige Unterrichtung Betroffener. Der vergleichsweise niedrige Bußgeldrahmen ergibt sich aus der Orientierung der Norm an § 43 III S. 1 BDSG (alte Fassung). Dieser Verknüpfung lässt sich eine Schwäche in der praktischen Wirksamkeit der DSGVO entnehmen, jedoch gleichzeitig auch die Priorität, Verstöße grundsätzlich zu erkennen und zu sanktionieren.
Eine zivilrechtliche Maßnahme, die die Mitgliedsstaaten treffen können, ist die Schadensersatzforderung. Unabhängig vom BDSG legt die DSGVO in Art. 82 I einen Schadensersatzanspruch fest. Ein solcher setzt nach ErwG 146 S. 3 voraus, dass ein Verstoß gegen die DSGVO besteht, welcher einen materiellen oder immateriellen Schaden nach sich zieht, den der Verantwortliche oder der Auftragsverarbeiter zu verschulden hat. Der Schadensersatzanspruch gründet sich ferner auf dem allgemeinen Persönlichkeitsrecht sowie der informationellen Selbstbestimmung.
Eine genaue Höhe des Schadensersatzes bestimmt sich nach dem Umfang des Schadens im konkreten Fall. Nach ErwG 146 S. 3 sind bei der Ermittlung der Anspruchshöhe sowohl die Rechtsprechung des EuGH als auch die Ziele der DSGVO zu beachten. Den Mitgliedsstaaten obliegt die Berücksichtigung des Äquivalenz- und Effektivitätsgrundsatzes.
Orientierungswerte richten sich nach der innerstaatlichen Rechtsprechung, welche jedoch bisher keine Entscheidungen in vergleichbaren Sachverhalten traf. Anhaltspunkte bietet jedoch die Rechtsprechung des BGH zur dreifachen Schadensberechnung bei der Verletzung von Immaterialgüter- und Persönlichkeitsrecht. Demnach umfasst der zu verlangende Schadensersatz auch entgangene Gewinne.
Auch kann ein abstrakter Wertausgleich anhand des Wertes des betroffenen Datensatzes vorgenommen werden.
Bei immateriellen Schäden richtet sich die Höhe des Schadensersatzes nach dessen Funktionen, der Genugtuungs- und Abschreckungsfunktion.
Die Möglichkeit eines rein symbolischen Schadensersatzanspruchs muss jedoch von vorneherein ausgeschlossen werden, da die Maßnahme gem. Art. 83 I DSGVO nur wirksam sei, wenn sie eine angemessen abschreckende Wirkung zeige.
Ausnahmen bilden nach ErwG 148 S. 2 lediglich Fälle, in denen die wirtschaftliche Situation einer natürlichen Person die entsprechende Sanktionierung verbietet und der Verstoß gegen die DSGVO in keinem ausgewogenen Verhältnis zur Sanktion steht. In diesen Fällen kann anstelle einer Geldbuße auch eine Verwarnung erteilt werden.
Bisherige Rechtsprechung und Positionierung der Aufsichtsbehörden
Die Rechtsprechung bezüglich der DSGVO steht, wie auch die schleichende Konkretisierung einzelner Vorgaben der DSGVO auf nationaler Ebene, noch am Anfang. Dabei ist in letzter Instanz die Beurteilung der Umsetzung der DSGVO durch den EuGH maßgeblich. Aktuell bieten weder vergangene Urteile noch angedrohte Sanktionen in vergleichbaren Fällen Orientierung, mit der sich Unsicherheiten im Umgang mit der DSGVO überwinden ließen.
Auch die zuständigen Aufsichtsbehörden halten sich nach Angaben der Landesdatenschutzbeauftragten des Landes Niedersachsen, Barbara Thiel, mit der Sanktionierung von DSGVO-Verstößen bisher zurück. Besonders bei Erstverstößen bleibe die Verhängung von Bußgeldern vorerst aus; stattdessen liege der Fokus auf Aufklärung durch die Behörden und der Vermittlung wertvoller Ratschläge zur Umsetzung der Verordnung.
Nach Aussage Thiels sei weder eine Überprüfung einzelner kleiner Betriebe noch eine vollständige Prüfung einzelner Branchen geplant. Im Moment wird in Niedersachsen eine Querschnittsprüfung durchgeführt, für die einzelne Unternehmen zu den von ihnen getroffenen datenschutzrechtlichen Vorkehrungen befragt und gegebenenfalls beraten werden. Auf die Prüfung folgt dann eine Bedarfsanalyse, mit deren Hilfe einzelne Unternehmen gezielter beraten und Orientierungshilfen entwickelt werden können.
Auch in NRW gibt es nach Angaben des Landesdatenschutzbeauftragten keinen Anlass zur Furcht vor der willkürlichen Verhängung hoher Geldbußen durch die Aufsichtsbehörden- an erster Stelle stünde die Beratung der Unternehmen. Selbst im Falle einer Sanktionierung seien Geldbußen nur eine der möglichen Maßnahmen, welche von den Aufsichtsbehörden erst nach gründlicher Abwägung des Einzelfalls gewählt würden.
Abschließend ist zu betonen, dass trotz der bisher mangelnden Rechtsprechung die Bedeutung der DSGVO nicht zu unterschätzen ist. Zwar besteht weiterhin Anpassungsbedarf des Datenschutzrechts auf nationaler Ebene. Diese Tatsache sollte jedoch keinesfalls Anlass dafür bieten, datenschutzrechtliche Vorkehrungen und deren Anpassung an DSGVO-Vorgaben auf die lange Bank zu schieben. Die Datenschutzreform, deren Resultat die DSGVO ist, sollte als Anlass wahrgenommen werden, der wachsenden Bedeutung des Schutzes personenbezogener Daten ausreichend Raum zu geben und den Datenschutz sowohl im privaten wie auch im unternehmerischen Bereich ernst zu nehmen. Zwar steht das schrittweise Vorgehen der nationalen Aufsichtsbehörden auf den ersten Blick im Widerspruch zu der Panik, die die strengen Sanktionen der DSGVO im April 2018 auslösten. Jedoch verliert die DSGVO deshalb weder ihre mahnende Wirkung noch ihre Geltung.
Rubrik: Datenschutzbehörde, Sanktionen Stichwörter: Aufsichtsbehörden, Bußgelder, Schadenersatz

References: Art. 58
 Art. 82
 Art. 58
 Art. 83

Art. 83
 Art. 83
 Art. 58
 Art. 55
 Art. 83
 Art. 83
 Art. 83
 Art. 8
 Art. 33
 Art. 40
 Art. 42
 Art. 40
 Art. 83
 Art. 83
 Art. 83
 Art. 83
 Art. 83
 Art. 83
 Art. 83
 Art. 5
 Art. 58
 Art. 58
 Art. 83
 Art. 43
 § 46

Art. 83

Art. 84
 Art. 84
 Art. 78
 Art. 83
 Art. 83
 § 201
 § 206
 Art. 83
 Art. 84
 § 42
 § 42
 § 42
 § 42
 § 42
 § 43
 § 30
 § 43
 Art. 82
 EuGH 
 BGH 
 Art. 83
 EuGH