Bußgelder: Unterschied zwischen den Versionen
(Die Seite wurde neu angelegt: „'''Bußgelder''' sind aus Sicht der DSGVO eine deutsche Ausformung der allgemeineren Begriffe '''Geldbußen''' und '''Sanktionen'''. == Sanktionen in der DSGV…“) |
(kein Unterschied)
|
Version vom 8. November 2019, 11:18 Uhr
Bußgelder sind aus Sicht der DSGVO eine deutsche Ausformung der allgemeineren Begriffe Geldbußen und Sanktionen.
Inhaltsverzeichnis
Sanktionen in der DSGVO
Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder von bis zu vier Prozent des Vorjahresumsatzes vor ─ je nachdem welche Zahl höher ist.
Überblick zu Bußgeldern aus deutscher Sicht
Die DSGVO regelt Bußgelder etwas allgemeiner im Kapitel VIII - Rechtsbehelfe, Haftung und Sanktionen. Diese werden vor allem in den Erwägungsgründen 141 bis 152 erläutert. Konkret Bußgelder sind für Deuschland in Kapitel 5 - Sanktionen, den §§ 41 ff. BDSG geregelt.
Vorläufiges deutsches Sanktionskonzept
Vorläufiges Konzept zur Bemessung der Bußgelder der DSK im Bereich von Unternehmen, nicht für Geldbußen gegen Vereine oder natürliche Personen außerhalb ihrer wirtschaftlichen Tätigkeit und ohne Verbindlichkeit für Gerichte.[1][2]:
- 1. Kategorisierung der Unternehmen nach Größenklassen/Jahresumsatz, vgl Art. 86 Abs. 4 bis 6 DSGVO, EG 150
| Kleinstunternehmen sowie kleine und mittlere Unternehmen (KMU) | Großunternehmen | |||
| Kleinstunternehmen | Kleine Unternehmen | Mittlere Unternehmen | ||
| A | B | C | D | |
| Jahresumsatz | <= 2 Mio. € | > 2 Mio. € bis 10 Mio. € | > 10 bis 50 Mio. € | > 50 Mio € |
| A.I <= 700.000 € | B.I > 2 Mio. € bis 5 Mio. € | C.I > 10 Mio. € bis 12,5 Mio. € | D.I > 50 Mio. € bis 75 Mio. € | |
| A.II > 700.000 € bis 1,4 Mio. € | B.II > 5 Mio. € bis 7,5 Mio. € | C.II >12,5 Mio € bis 15 Mio. € | D.II > 75 Mio. € bis 100 Mio. € | |
| A.III > 1,4 Mio. € bis 2 Mio.€ | B.III > 7,5 Mio. € bis 10 Mio. € | C.III > 15 Mio. € bis 20 Mio. € | D.III > 100 Mio. € bis 200 Mio. € | |
| C.IV > 20 Mio. € bis 25 Mio. € | D.IV > 200 Mio. € bis 300 Mio. € | |||
| C.V > 25 Mio. € bis 30 Mio. € | D.V > 300 Mio. € bis 400 Mio. € | |||
| C.VI > 30 Mio. € bis 40 Mio. € | D.VI > 400 Mio. € bis 500 Mio. € | |||
| C.VII > 40 Mio. € bis 50 Mio. € | D.VII > 500 Mio. € | |||
- 2. Mittlerer Jahresumsatzes der jeweiligen Untergruppe der Größenklasse (also Umsatz in Verbindung mit Unternehmenskategorie wie Kleinstunternehmen, kleines und mittleres Unternehmen etc.)
| Kleinstunternehmen sowie kleine und mittlere Unternehmen (KMU) | Großunternehmen | |||
| Kleinstunternehmen | Kleine Unternehmen | Mittlere Unternehmen | ||
| A | B | C | D | |
| Jahresumsatz | A.I 350.000 € | B.I 3,5 Mio. € | C.I 11,25 Mio. € | D.I 62,5 Mio. € |
| A.II 1.050 Mio.€ | B.II 6,25 Mio. € | C.II 13,75 Mio. € | D.II 87,5 Mio. € | |
| A.III 1,7 Mio.€ | B.III 8,75 Mio. € | C.III 17,5 Mio. € | D.III 150 Mio. € | |
| C.IV > 22,5 Mio. € | D.IV > 250 Mio. € | |||
| C.V > 27,5 Mio. € | D.V > 350 Mio. € | |||
| C.VI > 35 Mio. € | D.VI > 450 Mio. € | |||
| C.VII > 45 Mio. € | D.VII > konkreter Jahresumsatz[3] | |||
- 3. Ermittlung des wirtschaftlichen Grundwertes (mittlerer Jahresumsatz der Untergruppe, in die das Unternehmen eingeordnet wurde, durch 360 (Tage) geteilt)
| Kleinstunternehmen sowie kleine und mittlere Unternehmen (KMU) | Großunternehmen | |||
| Kleinstunternehmen | Kleine Unternehmen | Mittlere Unternehmen | ||
| A | B | C | D | |
| Jahresumsatz | A.I 972€ | B.I 9.722 € | C.I 31.250 € | D.I 173.611 € |
| A.II 2.917 € | B.II 17.361 € | C.II 38.194 € | D.II 243.056 € | |
| A.III 4.722 € | B.III 24.306 € | C.III 48.611 € | D.III 416.667 € | |
| C.IV > 62.500 € | D.IV > 694.444 € | |||
| C.V > 76.389 € | D.V > 972.222 € | |||
| C.VI > 97.222 € | D.VI > 1,25 Mio. € | |||
| C.VII > 125.000 Mio. € | D.VII > konkreter Tagessatz[4] | |||
- 4. Vervielfältigung des Grundwertes nach Schweregrad der Tat (leicht bis sehr schwer, wobei die Art des Verstoßes berücksichtigt wird)
- Im Hinblick auf die unterschiedlichen Bußgeldrahmen sind dabei für formelle (Art. 83 Abs. 4 DSGVO) und materielle (Art. 83 Abs. 5, 6 DSGVO) Verstöße jeweils unterschiedliche Faktoren zu wählen.
| Schweregrad der Tat | Faktor für formelle Verstöße nach Art. 83 Abs. 4 DSGVO |
Faktor für materielle Verstöße gemäß § [sic!] 83 Abs. 5, 6 DSGVO |
| Leicht | 1 bis 2 | 1 bis 4 |
| Mittel | 2 bis 4 | 4 bis 8 |
| Schwer | 4 bis 6 | 8 bis 12 |
| Sehr Schwer [sic!] | > 6 | > 12 |
- 5. Sonstige für und gegen den Betroffenen sprechenden Umstände
- Der unter 4. errechnete Betrag wird anhand aller für und gegen den Betroffenen sprechenden Umstände angepasst, soweit diese noch nicht unter 4. berücksichtigt wurden. Hierzu zählen insbesondere sämtliche täterbezogenen Umstände (vgl. Kriterienkatalog des Art. 83 Abs. 2 DSGVO) sowie sonstige Umstände, wie z.B. eine lange Verfahrensdauer oder eine drohende Zahlungsunfähigkeit des Unternehmens.
Berlin
Im Land Berlin berücksichtigte Umstände[1]:
- Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens
- Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes
- Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens
- Grad der Verantwortung unter Berücksichtigung der getroffenen TOM
- etwaige einschlägige frühere Verstöße
- Qualität der Zusammenarbeit mit der Aufsichtsbehörde zum Schutz der Betroffenen
- betroffene Kategorien personenbezogener Daten
- Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere Mitteilung durch das Unternehmen
- Frühere Anordungen in derselben Sache
- Einhaltung von genehmigten Verhaltensregeln oder genehmigten Zertifizierungsverfahren
- sonstige erschwerende oder mildernden Umstände, wie etwa finanzielle Vorteile oder vermiedene Verluste
andere nationale Gesetzgebung in Europa
Praxis
Europa
2019
- Polen, 2019: 644.000 € gegen den Netzladen Morele.net. Ein Hackerangriff griff Daten von 2,2 Millionen Kunden ab und offenbarte unzureichende TOM. Zu den betroffenen Daten gehörten unter anderem die Kontaktdaten sowie in einigen Fällen Daten aus Ratenkreditanträgen.[5]
Netzverweise
Auf http://enforcementtracker.com/ kann man einige europäische Sanktionen finden.
Deutschland
Die Beispiele sind zeitlich geordnet, um Entwicklungen abschätzen zu können. Das jeweilige Bundesland wird vorangestellt, um Unterschiede innerhalb Deutschlands erkennbar zu machen.
2019
- Berlin, 23.09.2019: 195.407 € gegen Takeaway.com (Rechtsnachfolger von Delivery Hero SE). Das Unternehmen hat die Strafe bereits akzeptiert. Zuvor hatten Kunden unerwünschte Werbe-E-Post erhalten. Das Unternehmen hatte Konten ehemaliger Kunden nicht gelöscht und mehrfach das Auskunftsrecht missachtet.[5]
- Berlin, September 2019: 50.000 € gegen Netzbank N26[1]
- Berlin, 05.11.2019; 14,5 Mio € gegen Deutsche Wohnen wegen unzulässiger Speicherung von Mieterselbstauskünften über den Mietvertragsschluss hinaus und trotz mehrfacher Aufforderung, dieses Verhalten abzustellen.[6]
