Source: https://datenschutzbeauftragter-hamburg.de/2018/11/erstes-bussgeld-nach-ds-gvo-in-deutschland-verhaengt/
Timestamp: 2019-12-08 04:34:46
Document Index: 326993838

Matched Legal Cases: ['Art. 83', '§ 43', 'Art. 33', 'Art. 34', 'Art. 33', 'Art. 32', 'Art. 33', '§ 43', 'Art. 83', 'Art. 33']

23. November 2018 /in Aktuelles, Datenschutz, Newsletter /von Datenschutzbeauftragter/tma
Es ist soweit: nachdem bereits vor Kurzem das erste Bußgeld nach DSGVO überhaupt verhängt wurde (wir berichteten hier), haben wir nun das erste Bußgeld nach DSGVO in Deutschland.
Die € 20.000 erscheinen im Vergleich zu dem Bußgeld, welches in Portugal verhängt worden war, eher gering. Dies dürfte zum einen daran liegen, dass das Unternehmen sich kooperativ gezeigt hat. Zum anderen wird knuddels.de nach Angabe der Behörde Investitionen im 6-stelligen Euro-Bereich tätigen, um die IT-Sicherheit weiter deutlich zu erhöhen. Es kann davon ausgegangen werden, dass diese Tatsachen (insbesondere die Kosten) in die Bemessung des Bußgelds eingeflossen sind. Die Bußgelder sollen nach Art. 83 Abs. 1 DSGVO „wirksam, verhältnismäßig und abschreckend“ sein. Insbesondere dürfte hier das Kriterium der Verhältnismäßigkeit die Höhe des Bußgeldes stark beeinflusst haben.
Die Frage ist, warum überhaupt ein Bußgeld verhängt wurde. Schließlich regelt § 43 Abs. 4 BDSG, dass eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO in einem Ordnungswidrigkeitsverfahren gegen den Meldepflichtigen oder Benachrichtigenden nur mit dessen Zustimmung verwendet werden darf. Hintergrund ist das verfassungsrechtliche Verbot des Zwangs zur Selbstbezichtigung. Somit ist anzunehmen, dass der Verstoß der Aufsichtsbehörde entweder ohne eine Meldung von knuddels.de bekannt wurde, oder dass die Meldung die Anforderungen des Art. 33 DSGVO nicht vollständig erfüllte (bzw. die Meldung nicht vollumfänglich war), so dass der Behörde durch weitere Ermittlungen weitere Informationen oder Verstöße bekannt wurden. Da die offiziellen Informationen hierzu keine Hinweise enthalten, bewegen wir uns hier aber im Bereich der Spekulationen.
Feststeht, dass ein Verstoß gegen Art. 32 DSGVO vorlag und das Bußgeld, sofern es verhängt werden musste, die Kriterien wirksam, abschreckend und verhältnismäßig zu erfüllen hatte. Mit € 20.000 dürfte die Aufsichtsbehörde hier ein recht gutes Fingerspitzengefühl bewiesen haben.
Was lernen wir nun aus diesem ersten Bußgeld? Nun ja – zum einen wir haben gelernt, dass die Aufsichtsbehörden nun beginnen, tatsächlich Bußgelder zu verhängen. Zum anderen haben wir gelernt, dass auch eine Meldung nach Art. 33 DSGVO nicht zwingend vor einem Bußgeld schützt, obwohl § 43 BDSG eine entsprechende Regelung enthält.
An dieser Stelle möchten wir auch noch einmal darauf hinweisen, dass für Sicherheitsmaßnahmen, die nicht dem Stand der Technik entsprechen oder sonst ungenügend sind, zwar nach Art. 83 Abs. 4 lit. a DSGVO nur das „niedrige“ Bußgeld zur Anwendung kommt, für dieses aber auch bereits ein Rahmen von bis zu € 10.000.000 (oder 2% des weltweiten Vorjahres-Brutto-Konzernumsatzes) festgelegt ist. Es ist also durchaus empfehlenswert, bei meldepflichtigen Vorfällen kooperativ, ehrlich und vor allem bemüht zu sein, tatsächlich eine Verbesserung der Situation herzustellen. Und es ist ausgesprochen wichtig, dass die gegebenenfalls abzugebende Meldung die Anforderungen des Art. 33 Abs. 3 DSGVO vollständig erfüllt. Die Einbeziehung des Datenschutzbeauftragten ist in solchen Fällen unerlässlich.
DSGVO Datenschutzprüfung in Bayern und Niedersachen Erhebung personenbezogener Daten