{"id":5058,"date":"2020-06-08T15:00:58","date_gmt":"2020-06-08T14:00:58","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=5058"},"modified":"2020-07-15T12:35:51","modified_gmt":"2020-07-15T11:35:51","slug":"teil-1-bussgelder-aufgrund-von-datenschutzverstoessen","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2020\/06\/08\/teil-1-bussgelder-aufgrund-von-datenschutzverstoessen\/","title":{"rendered":"Bu\u00dfgelder aufgrund von Datenschutzverst\u00f6\u00dfen (Teil 1)"},"content":{"rendered":"<p>Der Erlass eines Bu\u00dfgeldbescheides gegen ein Unternehmen aufgrund eines Datenschutzversto\u00dfes stellt die Beh\u00f6rden seit jeher vor Probleme. Zwar sieht Art. 83 DSGVO als \u201eSchreckensnorm des europ\u00e4ischen Datenschutzrechts\u201c (Niko H\u00e4rting <a href=\"https:\/\/www.cr-online.de\/blog\/2019\/09\/11\/dsgvo-bussgelder-gegen-unternehmen-in-deutschland-oft-unmoeglich\/\">\u201eDSGVO-Bu\u00dfgelder gegen Unternehmen in Deutschland oft unm\u00f6glich\u201c<\/a>)\u00a0bei einem Versto\u00df gegen die DSGVO Bu\u00dfgelder in H\u00f6he von bis zu 4% des gesamten weltweit erzielten Jahresumsatzes vor.\u00a0 Da es sich bei einem Unternehmen jedoch um ein rechtliches Gebilde und somit in aller Regel um eine juristische Person handelt, ist eine Sanktionierung im Wege eines Bu\u00dfgeldes nur dann m\u00f6glich ist, wenn das Handeln eines Mitarbeiters oder Gesch\u00e4ftsleiters, somit einer nat\u00fcrlichen Person, dem Unternehmen zugerechnet werden kann. Dies setzt grunds\u00e4tzlich voraus, dass:<\/p>\n<ul>\n<li>eine Person einen Datenschutzversto\u00df begangen hat und<\/li>\n<li>das Unternehmen f\u00fcr diesen Versto\u00df verantwortlich ist.<\/li>\n<\/ul>\n<p>Art. 83 DSGVO verliert selbst kein Wort \u00fcber die Voraussetzungen einer solchen Zurechnung.<\/p>\n<p><strong>Nationales Recht in Deutschland &#8211; \u00a7\u00a7 30 und 130 OWiG<\/strong><\/p>\n<p>Nach \u00a7 41 Abs. 1 Bundesdatenschutzgesetz (BDSG) findet das Gesetz \u00fcber Ordnungswidrigkeiten (OWiG) auf DSGVO-Bu\u00dfgelder Anwendung. Von besonderer Relevanz sind hierbei \u00a7 30 und \u00a7 130 OWiG, welche die Voraussetzungen festlegen, unter welchen gegen ein Unternehmen strafrechtliche Sanktionen verh\u00e4ngt werden k\u00f6nnen. Diese Vorschriften sind somit auch auf Datenschutzverst\u00f6\u00dfe anwendbar.<\/p>\n<ul>\n<li><u>Tat &amp; T\u00e4ter:\u00a0<\/u>Gem\u00e4\u00df \u00a7 30 OWiG ist ein Bu\u00dfgeld gegen ein Unternehmen nur dann erlaubt, wenn ein Organ oder ein Mitarbeiter in leitender Position eine Straftat oder Ordnungswidrigkeit begangen hat und wenn hierdurch Pflichten des Unternehmens verletzt worden sind oder das Unternehmen bereichert wird.<\/li>\n<\/ul>\n<ul>\n<li><u>Schuld:\u00a0<\/u>130 OWiG wiederum nimmt einen anderen Blickwinkel ein und erlaubt ein Bu\u00dfgeld gegen ein Unternehmen, wenn der Inhaber eines Unternehmens oder ein Organ des Unternehmens vors\u00e4tzlich oder fahrl\u00e4ssig Aufsichtsma\u00dfnahmen unterl\u00e4sst, die erforderlich sind, um Zuwiderhandlungen gegen Straf- oder Bu\u00dfgeldnormen zu verhindern und es zu einer Zuwiderhandlung gekommen ist, die durch geh\u00f6rige Aufsicht verhindert oder wesentlich erschwert worden w\u00e4re.<\/li>\n<\/ul>\n<p>30 und \u00a7 130 OWiG stellen somit erhebliche H\u00fcrden auf: Kann nicht festgestellt werden, dass ein leitender Mitarbeiter des Unternehmens die Ordnungswidrigkeit begangen hat oder eine Aufsichtspflicht verletzt hat, kann kein Bu\u00dfgeld aufgrund einer Datenschutzverletzung verh\u00e4ngt werden. Somit ist die blo\u00dfe Zuordnung einer Datenschutzverletzung zu der juristischen Person nicht ausreichend, denn hieraus folgt nicht, dass ein konkret bestimmbarer Mitarbeiter in leitender Funktion f\u00fcr die Datenschutzverletzung verantwortlich ist. Erst dies erm\u00f6glicht die Zurechnung.<\/p>\n<p><strong>Rechtsprechung zu Bu\u00dfgeldern gegen Unternehmen in Deutschland <\/strong><\/p>\n<p>In Hinblick auf datenschutzrechtliche Problematiken im Rahmen von \u00a7 30 und \u00a7 130 OWiG fehlt es nach Geltung der DSGVO (seit Mai 2018) an relevanter Rechtsprechung durch deutsche Gerichte. Nichtsdestotrotz k\u00f6nnen die bisher in Bezug auf \u00a7 30 und \u00a7 130 OWiG ergangenen Urteile deutscher Gerichte herangezogen werden. Auch wenn diese keinen direkten datenschutzrechtlichen Bezug vorweisen, sind die Urteile doch in Hinblick auf die Anwendung der Vorschriften des OWiG von Relevanz und etablieren Grunds\u00e4tze f\u00fcr die Zurechnung von Handlungen nat\u00fcrlicher Personen in Bezug auf das Unternehmen als juristische Person, welche auch in datenschutzrechtlichen Konstellationen Anwendung beanspruchen k\u00f6nnen. Siehe hierf\u00fcr die relevantesten deutschen Urteile: <a href=\"https:\/\/www.cr-online.de\/blog\/2019\/09\/13\/bussgelder-gegen-unternehmen-sechs-beispiele-aus-der-rechtsprechung\/\">https:\/\/www.cr-online.de\/blog\/2019\/09\/13\/bussgelder-gegen-unternehmen-sechs-beispiele-aus-der-rechtsprechung\/<\/a><\/p>\n<p><strong>\u00dcbertragbarkeit auf DSGVO-Verst\u00f6\u00dfe<\/strong><\/p>\n<p>Nach unserer Auffassung <em>H\u00e4rting\/Konrad<\/em> DSGVO im Praxistest, Rz. 323-351 (<em>erscheint am 22.06.2020<\/em>) sind die Grundgedanken und Prinzipien, die durch die deutschen Gerichte f\u00fcr die Anwendung der \u00a7 30 und \u00a7 130 OWiG herausgestellt wurden, \u201eohne weiteres\u201c auf Bu\u00dfgelder nach der DSGVO zu \u00fcbertragen. Kommt es beispielsweise zu einer Datenpanne, so reicht es f\u00fcr ein Bu\u00dfgeld nicht aus, allgemein davon auszugehen, dass die Panne durch geeignete Anweisungen der Unternehmensspitze h\u00e4tten verhindern lassen. Vielmehr bedarf es konkreter Feststellungen, welche Handlungen welcher bestimmter Leitungspersonen zu dem Vorfall gef\u00fchrt haben, beziehungsweise welche Handlungen den Vorfall h\u00e4tten verhindern k\u00f6nnen.<\/p>\n<p><strong>Anforderung an Bu\u00dfgeldbescheid<\/strong><\/p>\n<p>Somit besteht eine erhebliche H\u00fcrde f\u00fcr den rechtm\u00e4\u00dfigen Erlass eines Bu\u00dfgeldbescheids: Die blo\u00dfe Feststellung eines Datenschutzversto\u00dfes ist bei weitem noch nicht ausreichend, um ein Bu\u00dfgeld zu verh\u00e4ngen. Es bedarf der Feststellung, dass eine Person aus der F\u00fchrungsebene einen Datenschutzversto\u00df begangen oder Aufsichtspflichten verletzt hat und dabei vors\u00e4tzlich oder fahrl\u00e4ssig gehandelt hat. Der Nachweis dieser Tatbestandsvoraussetzungen obliegt der Aufsichtsbeh\u00f6rde. Hierbei werden sich die Datenschutzbeh\u00f6rden in den n\u00e4chsten Jahren den ein oder anderen \u201erechtsstaatlichen Zahn\u201c ausbei\u00dfen (Niko H\u00e4rting \u201eDSGVO-Bu\u00dfgelder gegen Unternehmen in Deutschland oft unm\u00f6glich\u201c, CR-online.de Blog, 11.9.2019) da es nicht ausreichend ist, einen Datenschutzversto\u00df nachzuweisen, der \u201edurch das Unternehmen\u201c begangen worden ist.<\/p>\n<p>Wie bereits angesprochen gibt es zu den in Deutschland geltenden Normen bez\u00fcglich der Bu\u00dfgelder aufgrund von Datenschutzverst\u00f6\u00dfen keine neue geltende Rechtsprechung der Gerichte. Anders sieht es in unserem Nachbarland \u00d6sterreich aus. Dort hat das Bundesverwaltungsgericht in einem Urteil zu Datenschutzverst\u00f6\u00dfen in Unternehmensbereichen Stellung genommen. <a href=\"https:\/\/www.cr-online.de\/blog\/?p=5060&amp;preview=true\"><em>Mit dieser Rechtsprechung setzt sich der n\u00e4chste Beitrag am <strong>10.06.2020<\/strong> auseinander.<\/em><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Der Erlass eines Bu\u00dfgeldbescheides gegen ein Unternehmen aufgrund eines Datenschutzversto\u00dfes stellt die Beh\u00f6rden seit jeher vor Probleme. Zwar sieht Art. 83 DSGVO als \u201eSchreckensnorm des europ\u00e4ischen Datenschutzrechts\u201c (Niko H\u00e4rting \u201eDSGVO-Bu\u00dfgelder gegen Unternehmen in Deutschland oft unm\u00f6glich\u201c)\u00a0bei einem Versto\u00df gegen die DSGVO Bu\u00dfgelder in H\u00f6he von bis zu 4% des gesamten weltweit erzielten Jahresumsatzes vor.\u00a0 Da [&hellip;]<\/p>\n","protected":false},"author":5244,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[9],"tags":[802,800,801,515,803],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/5058"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/5244"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=5058"}],"version-history":[{"count":9,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/5058\/revisions"}],"predecessor-version":[{"id":5247,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/5058\/revisions\/5247"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=5058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=5058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=5058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}