Source: https://www.dataprotect.at/info/geldbu%C3%9Fen/dsgvo/
Timestamp: 2019-09-18 07:22:47
Document Index: 175317910

Matched Legal Cases: ['Art 8', 'Art 11', 'Art 25', 'Art 26', 'Art 27', 'Art 28', 'Art 29', 'Art 30', 'Art 31', 'Art 32', 'Art 33', 'Art 34', 'Art 35', 'Art 36', 'Art 37', 'Art 38', 'Art 39', 'Art 42', 'Art 43', 'Art 42', 'Art 41', 'Art 5', 'Art 6', 'Art 7', 'Art 9', 'Art 12', 'Art 13', 'Art 14', 'Art 15', 'Art 17', 'Art 19', 'Art 20', 'Art 21', 'Art 22', 'Art 44', 'Art 58', 'Art 58', 'Art 83', 'Art 25', 'Art 32', 'Art-9', 'Art-10', 'Art 40', 'Art 42', 'Art 24']

DSGVO: Geldbußen bis EUR 20.000.000,-- - dataprotect - Informationen zum Datenschutz in Österreich und der EU (DSGVO, DSG)
DSGVO: Geldbußen bis EUR 20.000.000,--
Der Strafrahmen für Datenschutzverletzungen steigt mit Geltung der DSGVO (25.5.2018) dramatisch, und zwar auf 4 % des weltweiten Konzernumsatzes des Vorjahres / EUR 20.000.000,-- als maximale Strafe bzw. 2 % des weltweiten Konzernumsatzes des Vorjahres / EUR 10.000.000,-- bei "geringfügigeren Delikten", wobei dies jeweils die absolute Obergrenze darstellt und immer der Betrag anwendbar ist, der "höher" ist.
Erste DSGVO-Strafe in Schweden – EUR 18.500,-- gegen eine Schule wegen Gesichtserkennung
PWC erhielt in Griechenland eine DSGVO-Strafe von EUR 150.000
Geldstrafe in Rumänien gegen Hotel – Liste mit 46 Frühstücksgästen fotografiert und online gestellt
Geldbuße nach der DSGVO bis EUR 10 Mio oder 2 % des weltweiten Konzernumsatzes des Vorjahres
Verantwortlicher / Auftragsdatenverarbeiter verletzt die Pflichten
- dabei handelt es sich im Wesentlichen um organisatorische Verpflichtungen, die den Verantwortlichen oder den Auftragsdatenverarbeiter treffen -
Art 8 (Bedingungen für die Einwilligung eines Kindes in Bezug auf DIenste der Informationsgesellschaft),
Art 11 (Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist)
,Art 25 (Datenschutz durch Technikgestaltung - privacy by design - und durch datenschutzfreundliche Voreinstellungen - privacy by default)
Art 26 (gemeinsam für die Verarbeitung Verantwortliche)
Art 27 (Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsdatenverarbeitern)
Art 28 (Auftragsdatenverarbeiter)
Art 29 (Verarbeitung unter Aufsicht des Verantwortlichen oder des Auftragsdatenverarbeiters)
Art 30 (Verzeichnis von Verarbeitungen)
Art 31 (Zusammenarbeit mit der Aufsichtsbehörde)
Art 32 (Sicherheit der Verarbeitung)
Art 33 (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde)
Art 34 (Benachrichtigung der von Verletzung des Schutzes personenbezogener Daten betroffen Person)
Art 35 (Datenschutz-Folgenabschätzung und vorherige Konsultation)
Art 36 (Vorherige Konsultation)
Art 37 (Benennung eins Datenschutzbeauftragten)
Art 38 (Stellung des Datenschutzbeauftragten)
Art 39 (Aufgaben des Datenschutzbeauftragten)
Art 42 (Zertifizierung)
Art 43 (Zertifizierungsstellen)
eine Zertifizierungsstelle verletzt die Pflichten gemäß den Art 42 und 43
Überwachungsstelle verletzt die Pflichten gemäß Art 41 Absatz 4
Geldbuße nach der DSGVO bis EUR 20 Mio oder 4 % des weltweiten Konzernumsatzes des Vorjahres
Verantwortlicher / Auftragsdatenverarbeiter verletzt Pflichten, die sich aus folgenden Artikeln der DSGVO ergeben
dabei handelt es sich um die "Grundprinzipien" der Datenverarbeitung
nach der DSGVO sowie die
Individualrechte der betroffenen Person
die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß
Art 5: Grundsätze für die Verarbeitung personenbezogener Daten - "Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit
Art 6: Rechtmäßigkeit der Verarbeitung (Detailbestimmung, die den "Rechtsgrund" der Verarbeitung z.B. Einwilligung oder vertragliche Grundlage oder berechtigtes Interesse darlegt)
Art 7: Bedingungen für die Einwilligung
Art 9: Verarbeitung besonderer Kategorien personenbezogener Daten
die Rechte der betroffenen Person gemäß
Art 12: Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
Art 13: Informationspflicht bei der Erhebung von personenbezogenen Daten bei der betreffenden Person
Art 14: Informationspflicht, wenn die personenbezogenen Daten nich bei der betroffenen Person erhoben wurden
Art 15: Auskunftsrecht der betroffenen Person
Art 17: Recht auf Löschung ("Recht auf Vergessenwerden")
Art 19: Mitteilungspflicht iZhg mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung
Art 20: Recht auf Datenübertragbarkeit
Art 21: Widerspruchsrecht
Art 22: Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Art 44 bis 49
alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kap IX erlassen wurden;
Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Art 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Art 58 Absatz 1.
Strafzumessungsgründe / Kriterien, die bei der Verhängung der Geldbuße nach der DSGVO zu berücksichtigen sind
Die DSGVO legt fest, dass Geldbu0en wirksam, verhältnismäßig und abschreckend sein sollen (siehe Art 83 (1) DSGVO). Der EDSA (Europäische Datenschutz Ausschuss) kann Leitlinien für die Festsetzung von Geldbußen ausarbeiten.
Folgende Umstände werden in jedem Einzelfall berücksichtigt:
der Verschuldensgrad, dh ob die Tat vorsätzlich oder fahrlässig begangen wurde
Schadensminderungsmaßnahen
Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen getroffenen technischen und organistorischen Maßnahmen gemäß den
Art 25: privacy by design und privacy by Default und
Art 32: Sicherheit der Verarbeitung, und zwar z.B. durch:
Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicher zu stellen,
Fähigkeit, die Verfügbarkeit und den Zugang von personenbezogenen Daten bei einem Zwischenfall rasch wieder herzustellen,
Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit Maßnahmen
einschlägige frühere Verstöße (dh Verstöße in einem gewissen sachlichen Zusammenhang)
(dh ob Art-9-Daten oder Art-10-Daten betroffen sind, oder andere personenbezogene Daten)
Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbes. eine etwaige data breach notification
Einhaltung der in Bezug auf denselben Gegenstand angeordneten Maßnahmen
Einhaltung von genehmigten Verhaltensregeln nach Art 40 oder genehmigten Zertifizierungsverfahren nach Art 42
jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste (hier werden auch technische und organisatorische Maßnahmen nach Art 24 zu berücksichtigen sein)