Source: https://www.haufe.de/recht/kanzleimanagement/datenschutz-anpassungs-und-umsetzungsgesetz-sanktionen_222_450884.html
Timestamp: 2018-05-27 23:58:15
Document Index: 314240131

Matched Legal Cases: ['Art 5', 'Art. 5', 'Art. 5', 'Art.1', 'Art. 5', 'Art. 2', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 17', 'Art. 37', 'Art. 51', 'Art. 82', 'Art. 30', 'Art. 30']

DSGVO Sanktionen und Haftungsgefahren für das Management | Recht | Haufe
15.05.2018 | Managementhaftung
DSGVO bringt strengere Datenschutz-Sanktionen
Ab 25.5. gelten die strengeren Vorgaben der Datenschutzgrundverordnung, die auch auf die Mamnagerhaftung durchschlagen können Bild: mauritius images / Wolfgang Filser /
Am 25.5.2018 endet die Übergangsfrist für die Datenschutz-Grundverordnung. Die DSGVO enthält eine ganze Reihe teils noch ungewohnter Verbote und Pflichten rund um den Datenschutz, bei deren Verletzung hohe Geldbußen drohen, in schweren Fällen bis zu 4 % des weltweiten Jahresumsatzes. Da Datenschutzbehörden keinen großen Ermessensspielraum haben, ob sie Verstöße verfolgen und Art 5 Abs. 2 DSGVO eine Beweislastumkehr enthält, steigt der Druck auf das Management.
Freiberufler, Unternehmen, Vereine und Behörden – mit Ausnahme der Strafverfolgungsbehörden – müssen ab dem 25. Mai mit einschneidenden Sanktionen rechnen, wenn sie zu diesem Zeitpunkt die rechtlichen Anforderungen nicht erfüllen. Das bringt auf für Führungskräfte ein höheres Haftungsrisiko.
Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO bringt Beweislastumkehr
Art. 5 Abs. 2 DSGVO besagt, dass der Verantwortliche für die Einhaltung des ordnungsgemäßen Umgangs mit personenbezogenen Daten verantwortlich sei und ihn nachweisen können muss.
Die EU-Datenschutz-Grundverordnung nennt zwar keine konkreten Nachweispflichten, es ist aber jedenfalls von Dokumentationspflichten auszugehen.
Da Verstöße hohe Vermögensschäden durch Bußgelder und ein Imageverluste erwarten lassen ist anzunehmen, dass die Verantwortliche von den Unternehmen in Haftung genommen werden,
denn das Management ist verantwortlich, dass technisch wie organisatorisch ein System entsteht, der DSGVO-konformen Datenumgang sichergestellt ist.
Steigende Fallzahlen bei D&O-Versicherungen erwartet
Versicherungsrechtler gehen in Anbetracht der nach immer neuen Umfragen weiter schlechten Vorbereitung auf die DSGVO davon aus, dass sie auch zu einer steigenden Zahl an Managerhaftplichtfällen führen wird, da durch die Beweislastumkehr nicht die durch mangelhaften Datenschutz Geschädigten beweisen müssen, sondern Unternehmen, Freiberufler etc. darlegen müssen, dass die Vorgaben der DSGVO korrekt eingehalten wurden.
Die Haftung setzt voraus, dass dem Unternehmen aufgrund einer Pflichtverletzung ein Schaden entstanden ist. In diesem Fall ist der hypothetische Zustand herzustellen, der ohne die zum Ersatz verpflichtende Tatsache bestünde. So kann der Schaden in einem auferlegten Bußgeld und notwendigen Anwaltskosten liegen.
Die D&O -Versicherung soll dem Führungspersonal in einem solchen Fall Schutz bei Haftungsfolgen von Fehleinschätzungen, Fehlentscheidungen, Verletzung der Aufsichtspflicht und sonstigen Sorgfaltspflichtverletzungen bieten.
Recht jedes Bürgers auf Schutz personenbezogener Daten
Die EU hat mit der DSGVO eine Grundlage geschaffen, personenbezogene Daten einem grundsätzlichen Schutz zu unterziehen und damit das Allgemeine Persönlichkeitsrecht ihrer Bürger zu stärken.
Art.1 Abs.2 DSGVO garantiert den EU-Bürgern ein Recht auf den Schutz ihrer personenbezogenen Daten. Gemäß Art. 5 DSGVO sind bei der Verarbeitung personenbezogener Daten ethische Grundsätze zu beachten wie
Sachlicher Anwendungsbereichder DSGVO
Gemäß Art. 2 DSGVO gilt die Verordnung für jegliche ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Dabei sind gemäß Art. 4 DSGVO personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Hinweis: Hiernach sind bereits handschriftliche Aufzeichnungen zur Vorbereitung der Datenerfassung, sei es für die spätere elektronische Speicherung oder nur für die Ablage in einem Aktenordner, von der Verordnung erfasst.
Daten-Profiling - die Analyse und Bewertung der Daten
Art. 4 Nr. 4 DSGVO unterstellt das so genannte Profiling einem besonderen Schutz. Unter Profiling wird verstanden die Bewertung personenbezogener Daten für besondere Aspekte wie Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, allgemein zu erwartendes Verhalten oder sonstige Zukunftsprognosen.
Sobald Profiling-Maßnahmen nach Art. 4 Nr. DSGVO durchführt, muss der Betroffene über Tragweite und die angestrebten Auswirkungen des Verfahrens informiert werden. Das schließt auch Angaben zu der dazu verwendeten Logik oder dem Algorithmus mit ein.
Das Datenschutz-Recht auf Löschung
Art. 17 der Verordnung gewährt ein Recht auf Löschung u.a. bei
Widerruf einer erforderlichen Einwilligung,
unrechtmäßiger Verarbeitung der Daten.
Neue Datenschutz-Verpflichtungen der Unternehmen ab 25. Mai
Außerdem postuliert die neue Verordnung eine ganze Reihe von Unternehmenspflichten wie
Meldepflichten bei Sicherheitsvorfällen
sowie der Verpflichtung, möglichen Datenpannen vorzubeugen.
Wie einige Umfragen bei Unternehmen ergeben haben, sehen die Verantwortlichen in größeren Unternehmen noch erhebliche Probleme in einer der Verordnung gerecht werdenden Datenverwaltung. In komplexen Datenverwaltungen wissen große Unternehmen oft gar nicht, wo sich überall Kundendaten befinden. Probleme bei der Fragmentierung von Daten, bei der Verschlüsselung sind oft noch ungelöst. Die für den Datenschutz Verantwortlichen in nicht wenigen Großunternehmen haben mittlerweile sehen daher noch erhebliche Probleme bei der Umsetzung der DSGVO.
Unternehmen müssen einen Verantwortlichen benennen
Für Unternehmen ist wichtig, dass grundsätzlich zunächst die Leitung des Unternehmens verantwortlich für die Umsetzung der Verordnung ist. In der Regel ist ein Datenschutzbeauftragter zu benennen, Art. 37 DSGVO. Dies kann in größeren Unternehmen beispielsweise der Chief-Information-Security-Officer, der Chief-Executive-Officer oder eine sonstige mit der Überwachung von Compliance beauftragte Person sein.
Mitgliedstaaten müssen die Anwendung der DSGVO überwachen
Sobald die Verordnung in Kraft tritt, wird es für die Unternehmen ungemütlich.
Gemäß Art. 51 DSGVO muss jeder Mitgliedstaat eine Aufsichtsbehörde benennen, die für die Überwachung und Anwendung der Verordnung zuständig ist.
Anspruch auf Schadensersatz der Betroffenen bei Verstoß
Gemäß Art. 82 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den für den Verstoß Verantwortlichen bzw. gegen den Auftragsverarbeiter. Das gibt der Umsetzung der Neuregelung wünschenswerte Antriebskraft, könnte aber auch Begehrlichkeiten wecken und dem Abmahnmissbrauch vergleichbaren Geschäftsmodellen generieren. Unternehmen sind gut beraten, das auf dem Schirm zu haben.
Bei Verstößen drohen happige Sanktionen
Höhe der Geldbußen die ab Mai bei DSGVO-Verstößen drohen
Diese enorm hohen Geldbußen, die geeignet sind, eine Unternehmensbilanz negativ zu beeinflussen, sollen eine hohe Abschreckungswirkung erzielen und dabei helfen, der Verordnung eine nachhaltige Geltung zu verschaffen. Die den Unternehmen verbleibende Zeit zur Vorbereitung wird knapper. Am 25.5.2018 wird es ernst.
Schlagworte zum Thema: Datenschutz, Datenschutz-Grundverordnung, Sanktion, Geldbuße, Datenschutz-Management
Datenschutz, Verzeichnis der Verarbeitungen für Auftragsverarbeiter, Art. 30 Abs. 2 DSGVO
Kurzbeschreibung Werden Daten im Auftrag eines Verantwortlichen durchgeführt, muss der Auftragsverarbeiter gem. Art. 30 Abs. 2 DSGVO ein Verzeichnis führen. Vorbemerkung Ab dem 25.5.2018 entfaltet die Europäische Datenschutz-Grundverordnung (kurz "DSGVO") ...mehr