{"id":4878,"date":"2019-12-17T17:46:54","date_gmt":"2019-12-17T16:46:54","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=4878"},"modified":"2019-12-18T10:32:08","modified_gmt":"2019-12-18T09:32:08","slug":"verfehlte-bussgeldpraxis-warum-tagessaetze-zur-bemessung-von-dsgvo-bussgeldern-untauglich-sind","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2019\/12\/17\/verfehlte-bussgeldpraxis-warum-tagessaetze-zur-bemessung-von-dsgvo-bussgeldern-untauglich-sind\/","title":{"rendered":"Verfehlte Bu\u00dfgeldpraxis: Warum &#8222;Tagess\u00e4tze&#8220; zur Bemessung von DSGVO-Bu\u00dfgeldern untauglich sind"},"content":{"rendered":"<p>Der <em>Bundesdatenschutzbeauftragte<\/em> (BfDI) gab j\u00fcngst bekannt, dass er gegen die <em>1&amp;1 Telecom GmbH<\/em> ein Bu\u00dfgeld in H\u00f6he von 9,55 Mio. EUR verh\u00e4ngt hat. <em>1&amp;1<\/em> hat gute Chancen, gerichtlich gegen den Bu\u00dfgeldbescheid vorzugehen. Denn der Bu\u00dfgeldbescheid ist v\u00f6llig \u00fcberh\u00f6ht.<\/p>\n<p><strong>Ansatz des BfDI<\/strong><\/p>\n<p>In dem Verfahren der Bonner Datensch\u00fctzer ging es um die Servicehotline von <em>1&amp;1<\/em>. Einem Anrufer war es nach den Feststellungen des <em>BfDI<\/em> gelungen, durch Angabe des Namens und Geburtsdatums seines Ex-Lebenspartners Informationen \u00fcber dessen Vertrag zu erlangen (siehe\u00a0<a href=\"https:\/\/newsroom.1und1.de\/2019\/12\/09\/11-klagt-gegen-bussgeldbescheid-der-datenschutzbehoerde\/#page-content\" target=\"_blank\" rel=\"noopener\"><em>1&amp;1<\/em>, &#8222;1&amp;1 klagt gegen Bu\u00dfgeldbescheid der Datenschutzbeh\u00f6rde&#8220;,\u00a0v. 9.12.2019<\/a>).<\/p>\n<p>Nach Auffassung des <em>BfDI<\/em> lag hierin ein Versto\u00df gegen Art. 32 DSGVO, da <em>1&amp;1<\/em> keine ausreichenden Vorkehrungen zur Datensicherheit getroffen habe (<a href=\"https:\/\/www.bfdi.bund.de\/DE\/Infothek\/Pressemitteilungen\/2019\/30_BfDIverh%C3%A4ngtGeldbu%C3%9Fe1u1.html\" target=\"_blank\" rel=\"noopener\"><em>BfDI<\/em>, &#8222;BfDI verh\u00e4ngt Geldbu\u00dfen gegen Telekommunikationsdienstleister&#8220;, v. 9.12.2019<\/a>).<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Bu\u00dfgeld in Tagess\u00e4tzen<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Besonders bemerkenswert: Die Datenschutzbeh\u00f6rde meinte, das stattliche Bu\u00dfgeld bewege sich \u201eim unteren Bereich des m\u00f6glichen Bu\u00dfgeldrahmens\u201c. Dabei bezogen sich die Datensch\u00fctzer ersichtlich auf das k\u00fcrzlich von den deutschen Beh\u00f6rden verabschiedete \u201eBu\u00dfgeldkonzept\u201c (kritisch <a href=\"https:\/\/www.cr-online.de\/61089.htm\" target=\"_blank\" rel=\"noopener\"><em>Timner\/Radlanski\/Eisenfeld<\/em>, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2019%22%7D,%7B%22txt%22:%22source_page:782%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2019, 782<\/a> ff.<\/a>). Das \u201eBu\u00dfgeldkonzept\u201c sieht eine schematische Berechnung der Bu\u00dfgelder anhand von \u201eTagess\u00e4tzen\u201c vor. Die \u201eTagess\u00e4tze\u201c bemessen sich nach dem Jahresumsatz des jeweiligen Unternehmens.<\/p>\n<p style=\"padding-left: 30px;\">\u201eTagess\u00e4tze\u201c, wie man sie eigentlich nur aus dem Strafrecht kennt, lohnen sich bei einem umsatzstarken Unternehmen. Die 1<em>&amp;1 Telecom GmbH<\/em> geh\u00f6rt zum <em>United Internet<\/em>-Konzern, der 2018 einen Umsatz von 5,13 Milliarden EUR erzielte (<a href=\"https:\/\/www.united-internet.de\/uploads\/tx_unitedinternetpublication\/United_Internet_GB_2018.pdf\" target=\"_blank\" rel=\"noopener\">United Internet, Gesch\u00e4ftsbericht 2018<\/a>). Teilt man diesen Betrag durch 360, ergibt sich hieraus ein \u201eTagessatz\u201c von 14,25 Mio. EUR.<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Gewichtung nach Bu\u00dfgeldkonzept:<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Nach dem deutschen \u201eBu\u00dfgeldkonzept\u201c werden Bu\u00dfgelder berechnet, indem Datenschutzverst\u00f6\u00dfe mit Faktoren zwischen 1 und 12 gewichtet werden. Der (einfache) \u201eTagessatz\u201c bildet somit die Untergrenze. Und es wird sofort verst\u00e4ndlich, weshalb man in Bonn meint, man habe sich mit 9,55 Mio. EUR ma\u00dfvoll \u201eim unteren Bereich\u201c bewegt und sogar noch gn\u00e4dig von seinem Ermessen Gebrauch gemacht, das bei mildernden Umst\u00e4nden ein Unterschreiten der Untergrenze zul\u00e4sst.<\/p>\n<p><strong>Zul\u00e4ssigkeit nach DSGVO<\/strong><\/p>\n<p>Aber ist es nach der DSGVO \u00fcberhaupt zul\u00e4ssig, die Bemessung der Bu\u00dfgeldh\u00f6he ganz wesentlich an der Umsatzh\u00f6he zu orientieren?<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Kriterien nach Wortlaut<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Kriterien f\u00fcr die Bemessung des Bu\u00dfgelds sind in Art. 83 Abs. 2 Satz 2 DSGVO zu finden. Danach bemisst sich das Bu\u00dfgeld unter anderem nach der <span style=\"text-decoration: underline;\">Art<\/span>, <span style=\"text-decoration: underline;\">Schwere<\/span> und <span style=\"text-decoration: underline;\">Dauer<\/span> des Rechtsversto\u00dfes sowie nach dem <span style=\"text-decoration: underline;\">Schaden<\/span>, den Betroffene erlitten haben (Art. 83 Abs. 2 Satz 2 lit. a DSGVO), nach dem <span style=\"text-decoration: underline;\">Verschuldensgrad<\/span> (Art. 83 Abs. 2 Satz 2 lit. b DSGVO) und nach den <span style=\"text-decoration: underline;\">Kategorien von Personendaten<\/span>, die von dem Rechtsversto\u00df betroffen sind (Art. 83 Abs. 2 Satz 2 lit. g DSGVO).<br \/>\n=&gt;\u00a0 Der Umsatz des Unternehmens wird in dem Kriterienkatalog des Art. 83 Abs. 2 Satz 2 DSGVO nicht genannt. Der Gesetzeswortlaut legt es daher keineswegs nahe, bei der Bemessung des Bu\u00dfgelds stets prim\u00e4r auf die Umsatzzahlen des Unternehmens abzustellen, das den Rechtsversto\u00df begangen hat (so auch <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=cr.2019.12.i.0782.01.a\" target=\"_blank\" rel=\"noopener\"><em>Timner\/Radlanski\/Eisenfeld<\/em>, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2019%22%7D,%7B%22txt%22:%22source_page:782%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2019, 782<\/a>, 783 Rz. 8-14<\/a>).<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Leitlinie:<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Art. 83 Abs. 1 DSGVO schreibt als Leitlinie vor, dass Bu\u00dfgelder \u201ein jedem Einzelfall wirksam, verh\u00e4ltnism\u00e4\u00dfig und abschreckend\u201c sein m\u00fcssen. Welche konkreten Folgerungen sich hieraus ableiten lassen, ist unklar (vgl. <a href=\"https:\/\/www.juris.de\/perma?d=samson-ovsBDSGT0000\" target=\"_blank\" rel=\"noopener\"><em>Becker<\/em> in Plath DSGVO\/BDSG, 3. Aufl. 2018, Art. 83 DSGVO, Rz. 6<\/a>; <em>Golla<\/em> in Auernhammer, DSGVO BDSG, 6. Aufl. 2018, Art. 83, Rz. 10 f.; <em>Popp<\/em> in Sydow, DSGVO, 2. Aufl. 2018, Art. 83 DSGVO, Rz. 10: \u201eallgemein gehaltene traditionelle Floskel europ\u00e4ischer Rechtsakte\u201c).<\/p>\n<p style=\"padding-left: 30px;\">Allerdings erscheint es vertretbar, aus dem Erfordernis des \u201eWirksamkeit\u201c und \u201eAbschreckung\u201c abzuleiten, dass das Bu\u00dfgeld der H\u00f6he nach geeignet sein muss, das Unternehmen zu einer Verhaltens\u00e4nderung zu motivieren (zweifelnd <em>Moos\/Schefzig<\/em> in Taeger\/Gabel, DSGVO BDSG, 3. Aufl. 2019, Art. 83 DSGVO, Rz. 26).<\/p>\n<p><strong>Unzul\u00e4ssigkeit von Tagess\u00e4tzen<\/strong><\/p>\n<p>Wenn die Umsatzh\u00f6he ein Faktor ist, der in Art. 83 Abs. 2 DSGVO zwar nicht ausdr\u00fccklich genannt wird, aber dennoch in die Bemessung der Bu\u00dfgeldh\u00f6he einflie\u00dfen darf, hei\u00dft dies noch lange nicht, dass die Datenschutzbeh\u00f6rden anhand des Umsatzes \u201eTagess\u00e4tze\u201c bilden und bei jedem Bu\u00dfgeldbescheid von Umsatzgr\u00f6\u00dfen ausgehen d\u00fcrfen.<\/p>\n<p>Mindestens vier Gr\u00fcnde sprechen gegen die Rechtm\u00e4\u00dfigkeit von \u201eTagess\u00e4tzen\u201c als Berechnungsgrundlage f\u00fcr Bu\u00dfgelder:<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Bestimmtheitsgebot:<\/span><br \/>\nNach Art. 49 Abs. 1 Satz 1 GRCh gilt f\u00fcr Strafgesetze das Bestimmtheitsgebot, das sich nicht auf die gesetzlich festzulegende Straftat, sondern auch auf deren Folge \u2013 die Strafe \u2013 erstreckt (<em>Jarass<\/em> in Jarass, CRCh, 3. Aufl. 2016, Art. 49, Rdnr. 11). Daher ist es mehr als zweifelhaft, ob es verfassungsrechtlich zul\u00e4ssig ist, bei der Strafzumessung zentral auf \u201eTagess\u00e4tze\u201c abzustellen, obwohl der Umsatz als Kriterium f\u00fcr die Strafzumessung in Art. 83 Abs. 2 DSGVO nicht einmal erw\u00e4hnt wird (so auch <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=cr.2019.12.i.0782.01.a\" target=\"_blank\" rel=\"noopener\"><em>Timner\/Radlanski\/Eisenfeld<\/em>, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2019%22%7D,%7B%22txt%22:%22source_page:782%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2019, 782<\/a>, 784 Rz. 22 und 25-28<\/a>).<\/li>\n<li><span style=\"text-decoration: underline;\">Grundrechtsschutz:<\/span><br \/>\nDas europ\u00e4ische Datenschutzrecht dient erkl\u00e4rterma\u00dfen dem Schutz der Grundrechte europ\u00e4ischer B\u00fcrger (vor allem Art. 8 GRCh). Und der Grundrechtsschutz unterscheidet und gewichtet nicht nach Unternehmensgr\u00f6\u00dfen. Ein kleines Unternehmen, das seine Mitarbeiter und Kunden bis in die Intimsph\u00e4re ausspioniert, greift deutlich tiefer in Grundrechte ein als ein gro\u00dfer TK-Konzern, der Vertragsinformationen unzureichend gegen den Zugriff Dritter sch\u00fctzt (so auch <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=cr.2019.12.i.0782.01.a\" target=\"_blank\" rel=\"noopener\"><em>Timner\/Radlanski\/Eisenfeld<\/em>, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2019%22%7D,%7B%22txt%22:%22source_page:782%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2019, 782<\/a>, 787 Rz. 44-48<\/a>, die insoweit den Verh\u00e4ltnism\u00e4\u00dfigkeitsgrundsatz, das Willk\u00fcrverbot und das\u00a0Schuldprinzip\u00a0verletzt sehen).<\/li>\n<li><span style=\"text-decoration: underline;\">Keine Parallele zum Kartellrecht:<\/span><br \/>\nDas Datenschutzrecht hat Schutzanliegen, die mit dem Kartellrecht nicht vergleichbar sind. Das Kartellrecht sch\u00fctzt die Funktionst\u00fcchtigkeit des Marktes und m\u00f6chte beispielsweise verhindern, dass sich Unternehmen durch Preisabsprachen unlautere Vorteile verschaffen. Diese Vorteile lassen sich in Euro und Cent beziffern, sodass es nur logisch erscheint, Strafen anhand der entsprechenden Betr\u00e4ge zu ermessen. Die Vorteile eines Datenschutzversto\u00dfes sind dagegen zumeist schwer messbar. Wer Mitarbeiter und Kunden ausspioniert, verschafft sich hierdurch oft keine in Geld messbaren Vorteile. Der Datenschutzversto\u00df ist dennoch gravierend wegen der gezielten Missachtung der Rechte der Betroffenen. M\u00f6chte man hierf\u00fcr einen Ausgleich schaffen, w\u00e4re eine Orientierung an \u201eTagess\u00e4tzen\u201c willk\u00fcrlich (zum Willk\u00fcrverbot siehe <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=cr.2019.12.i.0782.01.a\" target=\"_blank\" rel=\"noopener\"><em>Timner\/Radlanski\/Eisenfeld<\/em>, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:2019%22%7D,%7B%22txt%22:%22source_page:782%22%7D,%7B%22txt%22:%22all_source_2:cr%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">CR 2019, 782<\/a>, 787 Rz. 47 f.<\/a>).<\/li>\n<li><span style=\"text-decoration: underline;\">Missverst\u00e4ndnis des Kartellrechts:<\/span><br \/>\nSelbst wenn man sich bei der Bu\u00dfgeldbemessung am Kartellrecht orientieren k\u00f6nnte, gibt die kartellrechtliche Praxis nichts f\u00fcr \u201eTagess\u00e4tze\u201c her. Denn die kartellrechtliche Bu\u00dfgeldpraxis orientiert sich keineswegs an \u201eTagess\u00e4tzen\u201c, sondern an einem \u201eGrundbetrag\u201c. Bei der Bemessung dieses \u201eGrundbetrages\u201c schaut die <em>Europ\u00e4ische Kommission<\/em> nicht auf den Jahresumsatz des jeweiligen Unternehmens, sondern auf den Wert der \u201everkauften Waren oder Dienstleistungen, die mit dem Versto\u00df in einem unmittelbaren oder mittelbaren Zusammenhang stehen\u201c (<a href=\"https:\/\/ec.europa.eu\/competition\/antitrust\/legislation\/fines_de.pdf\" target=\"_blank\" rel=\"noopener\"><em>EU-Kommission<\/em>, &#8222;Leitlinien f\u00fcr das Verfahren zur Festsetzung von Geldbu\u00dfen&#8220;<\/a>). Die Bu\u00dfgeldh\u00f6he legitimiert sich somit nicht aus der Gr\u00f6\u00dfe des jeweiligen Unternehmens, sondern aus den Vorteilen, die das Unternehmen aus dem Rechtsversto\u00df gezogen hat.<\/li>\n<\/ul>\n<p><strong>Gerichtliche Kl\u00e4rung<\/strong><\/p>\n<p>Nach den ersten deutschen Millionenbu\u00dfgeldern sind jetzt die Gerichte am Zug. Sehr unwahrscheinlich, dass nach den ersten Gerichtsverfahren viel von dem \u201eBu\u00dfgeldkonzept\u201c und den \u201eTagess\u00e4tzen\u201c \u00fcbrigbleiben wird.<\/p>\n<p><em>(Diesen Beitrag habe ich gemeinsam mit meinem Kollegen Lasse Konrad verfasst: https:\/\/www.haerting.de\/team\/lasse-konrad. Der Beitrag ist der sechste Teil der Beitragsreihe zur \u201cDSGVO im Rechtsstaat\u201d<\/em>)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Der Bundesdatenschutzbeauftragte (BfDI) gab j\u00fcngst bekannt, dass er gegen die 1&amp;1 Telecom GmbH ein Bu\u00dfgeld in H\u00f6he von 9,55 Mio. EUR verh\u00e4ngt hat. 1&amp;1 hat gute Chancen, gerichtlich gegen den Bu\u00dfgeldbescheid vorzugehen. Denn der Bu\u00dfgeldbescheid ist v\u00f6llig \u00fcberh\u00f6ht. Ansatz des BfDI In dem Verfahren der Bonner Datensch\u00fctzer ging es um die Servicehotline von 1&amp;1. Einem [&hellip;]<\/p>\n","protected":false},"author":5233,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,34,9,51,29],"tags":[736,504,498,145,515,568,703,301],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4878"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/5233"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=4878"}],"version-history":[{"count":6,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4878\/revisions"}],"predecessor-version":[{"id":4884,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4878\/revisions\/4884"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=4878"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=4878"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=4878"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}