Kurz gesagt: Die Aufsichtsbehörden können nach Art. 83 DSGVO Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, was höher ist. Betroffene können Schadensersatz verlangen. Wer Daten vorsätzlich gegen Entgelt oder mit Schädigungsabsicht missbraucht, kann sich nach §42 BDSG strafbar machen.
Datenschutz hat Zähne. Seit der DSGVO gibt es Bußgelder in Höhen, die früher undenkbar waren, und Betroffene klagen häufiger auf Schadensersatz. Für dich als Wachperson ist vor allem wichtig, wo die Grenze zwischen einem Fehler des Unternehmens und einer eigenen Straftat verläuft. In der Prüfung werden Höchstbeträge, Zuständigkeiten und die Straftatbestände abgefragt.
Drei Arten von Folgen
- Bußgeld: verhängt von der Datenschutzaufsichtsbehörde, meist gegen das Unternehmen
- Schadensersatz: verlangt von der betroffenen Person, notfalls vor dem Zivilgericht
- Strafe: verhängt von einem Strafgericht, gegen den einzelnen Täter
Dazu kommen für Beschäftigte arbeitsrechtliche Folgen wie Abmahnung oder Kündigung. Im Bewachungsgewerbe kann eine Verurteilung außerdem bei der Zuverlässigkeitsprüfung eine Rolle spielen.
Bußgelder nach Art. 83 DSGVO
Die DSGVO kennt zwei Stufen:
| Stufe | Höchstbetrag | Beispiele |
|---|---|---|
| Art. 83 Abs. 4 | 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes | Pflichten des Verantwortlichen und Auftragsverarbeiters, etwa fehlende TOM, unterlassene Meldung einer Datenpanne, fehlender Datenschutzbeauftragter |
| Art. 83 Abs. 5 | 20 Millionen Euro oder 4 Prozent des weltweiten Vorjahresumsatzes | Verstöße gegen die Grundsätze, Verarbeitung ohne Rechtsgrundlage, Missachtung der Betroffenenrechte, Nichtbefolgen von Anordnungen der Behörde |
Bei Unternehmen gilt jeweils der höhere der beiden Beträge. Die Höchstbeträge sind Obergrenzen, keine Regelstrafen. Bußgelder müssen nach Art. 83 Abs. 1 DSGVO wirksam, verhältnismäßig und abschreckend sein. Bei der Höhe berücksichtigt die Behörde unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, die Zahl der Betroffenen, die Art der Daten, frühere Verstöße und ob das Unternehmen den Schaden begrenzt und mit der Behörde zusammengearbeitet hat.
Zuständig für Unternehmen ist in der Regel die Datenschutzaufsichtsbehörde des Bundeslandes, in dem sie ihren Sitz haben. Gegen Behörden und sonstige öffentliche Stellen des Bundes werden keine Bußgelder verhängt (§43 Abs. 3 BDSG). Für Behörden der Länder regeln das die Landesdatenschutzgesetze, die Bußgelder meist ebenfalls ausschließen.
Wen das Bußgeld trifft
Adressat ist in aller Regel der Verantwortliche, also das Unternehmen. Fehler seiner Beschäftigten werden ihm zugerechnet. Nach der Rechtsprechung des Europäischen Gerichtshofs setzt das Bußgeld zwar ein schuldhaftes Handeln voraus, die Behörde muss aber nicht nachweisen, welcher Geschäftsführer konkret einen Fehler gemacht hat.
Anders sieht es aus, wenn ein Beschäftigter eigenmächtig für eigene Zwecke Daten nutzt, etwa aus Neugier oder um jemandem zu schaden. Dann gilt er nach verbreiteter Ansicht selbst als Verantwortlicher und kann ein eigenes Bußgeld bekommen.
Schadensersatz nach Art. 82 DSGVO
Wer durch einen Verstoß einen materiellen oder immateriellen Schaden erleidet, hat Anspruch auf Schadensersatz. Immateriell heißt zum Beispiel Bloßstellung, Ärger oder die Sorge über einen Kontrollverlust. Nach dem Europäischen Gerichtshof gibt es keine Bagatellgrenze, die betroffene Person muss den Schaden aber darlegen. Der bloße Verstoß allein reicht nicht.
Straftaten
§42 BDSG
- Absatz 1: Wer wissentlich nicht allgemein zugängliche Daten einer großen Zahl von Personen ohne Berechtigung übermittelt oder zugänglich macht und dabei gewerbsmäßig handelt, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.
- Absatz 2: Wer nicht allgemein zugängliche Daten ohne Berechtigung verarbeitet oder sich durch unrichtige Angaben erschleicht und dabei gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht handelt, wird mit Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe bestraft.
- Absatz 3: Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind unter anderem die betroffene Person, der Verantwortliche und die Aufsichtsbehörde.
Weitere Straftatbestände
- §201 StGB: unbefugtes Aufnehmen des nichtöffentlich gesprochenen Wortes
- §201a StGB: verletzende Bildaufnahmen, etwa aus Umkleiden oder von hilflosen Personen
- §202a StGB: Ausspähen von Daten, die gegen unberechtigten Zugang besonders gesichert sind
- §33 KUG: Verbreiten von Bildnissen ohne Einwilligung, ebenfalls nur auf Antrag
Eine Besonderheit für die Meldung einer Datenpanne: Was der Meldepflichtige der Behörde mitteilt, darf ohne seine Zustimmung nicht im Straf- oder Bußgeldverfahren gegen ihn verwendet werden (§42 Abs. 4 und §43 Abs. 4 BDSG). Ehrlich melden lohnt sich also.
Ein Fall aus dem Dienst
Du arbeitest in der Videoleitstelle eines Hotels. Ein bekannter Fußballspieler checkt nachts mit einer Begleitung ein. Ein Kollege kopiert die Aufnahme auf einen Stick und bietet sie einer Boulevardzeitung gegen Geld an.
Der Kollege macht sich mehrfach strafbar. Er verarbeitet nicht allgemein zugängliche Daten ohne Berechtigung gegen Entgelt (§42 Abs. 2 BDSG). Wird das Video veröffentlicht, kommt das Verbreiten eines Bildnisses ohne Einwilligung nach §33 KUG dazu. Arbeitsrechtlich droht die fristlose Kündigung. Für das Hotel und den Sicherheitsdienst stellt sich die Frage, ob ihre Schutzmaßnahmen ausreichten, etwa gesperrte USB-Anschlüsse und protokollierte Exporte. Fehlen sie, kann gegen das Unternehmen zusätzlich ein Bußgeld verhängt werden. Bemerkst du so etwas, meldest du es sofort.
Typische Prüfungsfallen
- 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Die 10 Millionen und 2 Prozent gehören zur niedrigeren Stufe.
- Bußgelder verhängt die Aufsichtsbehörde, nicht das Strafgericht und nicht der Datenschutzbeauftragte.
- §42 BDSG ist ein Antragsdelikt.
- Nicht jeder Datenschutzverstoß ist eine Straftat. Für §42 Abs. 2 braucht es Entgelt, Bereicherungs- oder Schädigungsabsicht.
- Gegen Bundesbehörden gibt es nach §43 Abs. 3 BDSG keine Bußgelder. Bußgeldadressat ist im Normalfall das Unternehmen.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Wie hoch kann ein Bußgeld nach Art. 83 Abs. 5 DSGVO gegen ein Unternehmen höchstens sein?
Wer verhängt Bußgelder wegen Datenschutzverstößen gegen ein Sicherheitsunternehmen?
Welche Aussagen zu §42 BDSG treffen zu?
Ein Kollege verkauft eine Aufnahme aus der Videoleitstelle an eine Zeitung. Welche Folgen kommen in Betracht?
Was gilt für den Schadensersatz nach Art. 82 DSGVO?
Ein Unternehmen meldet eine Datenpanne ordnungsgemäß der Aufsichtsbehörde. Was gilt für die Meldung?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 83 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.