Die DSGVO Bußgelder Ab 2020 - Und Wie Man Sie Vermeidet

Innerhalb des letzten Jahres meldeten die EU-Länder einen Anstieg der Meldungen von Datenschutzverstößen um 19 %. Dies entspricht einem Durchschnitt von 331 Meldungen pro Tag. Die Aufsichtsbehörden haben seit dem 28. Januar 2020 insgesamt 158,5 Mio. Euro an Bußgeldern verhängt, doch das ist noch nicht alles. Einige Unternehmen haben erfolgreich Einspruch gegen diese Forderungen eingelegt, was zu einer starken Reduzierung der zu erwartenden Geldbußen führte. Die Bußgelder wurden um 80–90 % reduziert – zum Teil aufgrund der finanziellen Schwierigkeiten, die durch Covid-19 verursacht wurden.

Die wichtigste Erkenntnis hier: Es lohnt sich, Einspruch zu erheben und die vorgesehenen Bußgelder anzufechten.

Da jedes Land seine eigene Aufsichtsbehörde hat, variieren Datenschutzverletzungen und Geldstrafen von Land zu Land. Auch wenn alle Datenschutzgesetze in der EU und im Vereinigten Königreich ihren Ursprung in der DSGVO haben, unterscheiden sich die Compliance-Kulturen in Unternehmen stark.

Hinzu kommt, dass die einzelnen Datenschutzbehörden die Gesetzgebung unterschiedlich auslegen und daher unterschiedliche Durchsetzungsmethoden haben. Diese Unsicherheit ist für multinationale Unternehmen, die in vielen verschiedenen Ländern tätig sind, die größte Herausforderung, da es für sie schwieriger ist, die unterschiedlichen Auslegungen der DSGVO zu antizipieren und umzusetzen. Dennoch wurden die nachfolgend zusammengefassten Bußgelder unabhängig von der Aufsichtsbehörde häufig verhängt.

Unternehmen sind in Schwierigkeiten geraten, wenn sie Nutzern gegenüber nicht offen und klar dargelegt haben, wie sie deren personenbezogenen Daten verarbeiten. Die wichtigste Art und Weise, wie sie dies zeigen, ist in ihrem Datenschutzhinweis. Dieser Hinweis muss den einzelnen Nutzern auf einfache Weise erklären, wie das Unternehmen die personenbezogenen Daten verwendet und wie seine Praktiken mit der DSGVO übereinstimmen.

Unternehmen werden bestraft, wenn sie übermäßig komplizierte Datenschutzhinweise haben. Sie wurden auch bestraft, wenn die Hinweise zu grob, ungenau oder unvollständig waren. Wenn Sie beispielsweise personenbezogene Daten in ein Drittland (das nicht in der EU liegt) übermitteln, dies aber nicht kommunizieren, ist Ihr Datenschutzhinweis. Weitere Informationen darüber, wie Sie sicherstellen können, dass Sie die DSGVO einhalten und Geldbußen vermeiden, finden Sie hier.

Die Herausforderung bei der Formulierung von Datenschutzhinweisen kann darin bestehen, dass Ihr Publikum, wenn Sie zu viele Details angeben, diese möglicherweise nicht versteht, was gegen den Transparenzgrundsatz der DSGVO verstößt. Wenn Sie andererseits zu wenig ins Detail gehen, riskieren Sie ein Bußgeld für ungenaue oder unvollständige Informationen.

Mögliche Lösung: Wählen Sie in Bezug auf Datenschutzhinweise einen „mehrstufigen Ansatz“. Bei diesem Ansatz wird der Datenschutzhinweis auf drei verschiedene Arten präsentiert.

1. Ein kurzer Hinweis (eine kurze Erklärung, warum Sie personenbezogene Daten verwenden, und wo man weitere Informationen erhält).

2. Ein mittellanger Hinweis (eine Grafik, die beschreibt, wie Sie personenbezogene Daten verwenden).

3. Ein langer Hinweis (ein vollständiger und gründlicher Hinweis, der alle notwendigen Informationen zur Einhaltung der DSGVO enthält).

Doch auch dies ist keine hundertprozentige Lösung. Unternehmen wurden auch für diese Methode schon zu Bußgeldern verurteilt, da die Benutzer in einigen Fällen zu viele verschiedene Datenschutzhinweise lesen und abhaken mussten. In diesem Fall wurden die Informationen auf eine Weise präsentiert, die für den Benutzer viel zu kompliziert war.

Die Quintessenz ist, dass es äußerst schwierig sein kann, normalen Verbrauchern, die kein Jurastudium absolviert haben, die Komplexität der Datenverarbeitung zu erklären. Unterm Strich hatte der Bericht keine überzeugende Lösung für dieses Problem. Die wichtigste Erkenntnis hier: Gehen Sie beim Verfassen von Datenschutzhinweisen mit Vorsicht vor und holen Sie sich im Zweifelsfall Hilfe.

Es gibt viele verschiedene Szenarien, in denen Ihr Unternehmen einen rechtlichen Grund für die Verarbeitung von Daten hat.

Zum Beispiel: Ihr Unternehmen verkauft ein Abonnement für eine Musik-App und bittet den Verbraucher um Zustimmung, damit Sie seine musikalischen Vorlieben berücksichtigen können, um ihm andere Lieder und Künstler vorzuschlagen, die ihm gefallen könnten.

Gegen Unternehmen wurden Bußgelder verhängt, weil es ihnen rechtlich nicht erlaubt war, personenbezogene Daten zu verarbeiten. Sie wurden sogar dann mit einem Bußgeld belegt, wenn zwar eine Rechtsgrundlage für die Verarbeitung bestand, das Unternehmen diese aber nicht ordnungsgemäß nachgewiesen oder dokumentiert hatte. Aus diesem Grund ist die Dokumentation genauso wichtig wie das Vorhandensein einer Rechtsgrundlage für die Verarbeitung.

Und schließlich wurden Unternehmen mit Bußgeldern belegt, wenn die Verarbeitung auf einer ungültigen Zustimmung beruhte. Dies ist ein weit gefasster Begriff, der ein breites Spektrum an Situationen abdeckt. Dazu gehören: Jemand könnte bestraft werden oder eine Chance verpassen, wenn er keine Zustimmung gibt, er könnte nicht erkennen, dass er seine Zustimmung gegeben hat, die Organisation nennt sich nicht ausdrücklich, wenn sie um Zustimmung bittet, und viele mehr. 

1. Um sicherzustellen, dass personenbezogene Daten legal verwendet werden, sollten Unternehmen Folgendes haben.

2. Gute Datenzuordnung in gründlichen und genauen Aufzeichnungen der Verarbeitung.
   

3. Regeln und Richtlinien, die personenbezogene Daten angemessen schützen.

4. Dokumentation, die zeigt, dass sie personenbezogene Daten legal verwenden können. 

5. Klare Datenschutzhinweise, die jede Verarbeitungsaktivität mit dem Gesetz in Zusammenhang bringen, das ihnen die Verwendung der Daten erlaubt. 

    

Mögliche Lösung: Sie können einen risikobasierten Ansatz anwenden, bei dem sie risikoreicheren Verarbeitungsaktivitäten mehr Zeit und Aufmerksamkeit widmen. Für diese Aktivitäten ist es wichtig, dass sie eine Datenschutz-​Folgenabschätzung (Data Protection Impact Assessment, DPIA) durchführen. Dabei handelt es sich um eine Art von Risikoeinschätzung, die dabei helfen kann, festzustellen, wo bei einem bestimmten Projekt oder Plan Datenschutzrisiken bestehen. Wenn Sie dieses Bewertungsinstrument richtig einsetzen, können Sie nachweisen, auf welche Weise Sie alle Ihre Datenschutzverpflichtungen einhalten 

Gemäß DSGVO müssen Unternehmen „angemessene“ Maßnahmen ergreifen, um ein Sicherheitsniveau zu gewährleisten, das dem Risiko für die Person gerecht wird, deren Daten Sie verarbeiten. Der Begriff „angemessen“ ist sehr subjektiv, was es für Unternehmen schwierig macht, solche Maßnahmen adäquat zu identifizieren und umzusetzen. Anhand der Bußgelder, die im vergangenen Jahr verhängt wurden, können wir jedoch ein besseres Gefühl dafür bekommen, was als angemessene Sicherheitsmaßnahmen gilt.

Die folgende Tabelle ist eine Auflistung von Sicherheitsmaßnahmen, die zur Vermeidung eines Bußgeldes erforderlich sein können.

Mögliche Lösung: Unternehmen sollten prüfen und evaluieren, ob eine dieser Maßnahmen im Rahmen ihrer Bemühungen zum Schutz personenbezogener Daten erforderlich ist. Unternehmen sollten auch erwägen, die Grundlage dafür zu dokumentieren, warum sie eine bestimmte Sicherheitsmaßnahme eingeführt oder weggelassen haben.