Modell zur Berechnung von DSGVO-Bußgeld

Für Unternehmen und Konzerne können bis zu vier Prozent ihrer Vorjahresumsätze auf dem Spiel stehen. Dazu kommen die Rechtsanwaltskosten, die sich auf den Streitwert beziehen. Bis zu 20 Mio. Euro kann es kosten. Kleine formelle Verstöße beginnen bei 972 Euro. Doch wo liegen die Grenzen dieser Bemessungsgrundlagen und wie werden sie ermittelt? Dazu hat die Datenschutzkonferenz – DSK – Stellung genommen und ein Modell zur Berechnung des DSGVO-Bußgeld vorgestellt.

Fünf-Schritte-Verfahren der Datenschutzkonferenz

Nach langem und zähem Ringen hat die Europäische Gemeinschaft die Datenschutzgrundverordnung verabschiedet. Sie wurde jeweils in nationales Recht überführt und trat 2018 in Kraft. Sie soll die Grundrechte der Menschen schützen und wurde daher mit zahlreichen Vorgaben verbundenen. Doch kein Gesetz lässt sich ohne wirkungsvolle Strafen effektiv umsetzen. Diese Bußgelder können dabei existenzbedrohende Größenordnungen erreichen. Selbst eine Smart-Cam in einem Dienstwagen, die einen potenziellen Autodieb aufzeichnet und speichern kann, führt zu einem vier- bis fünfstelligen Betrag, wenn der Eigentümer diese beispielsweise nicht durch ein Schild am Fahrzeug kenntlich macht.

Für Unternehmen und Konzerne können bis zu vier Prozent ihrer Vorjahresumsätze auf dem Spiel stehen. Dazu kommen die Rechtsanwaltskosten, die sich auf den Streitwert beziehen. Bis zu 20 Mio. Euro kann es kosten. Kleine formelle Verstöße beginnen bei 972 Euro. Doch wo liegen die Grenzen dieser Bemessungsgrundlagen und wie werden sie ermittelt? Dazu hat die Datenschutzkonferenz – DSK – am 14.10.2019 Stellung genommen. Sie setzt sich aus den unabhängigen Datenschutzbehörden der Länder und des Bundes zusammen. Das Konzept, das sie nun der Öffentlichkeit vorstellt, ist jedoch nicht in Stein gemeiselt. Es kann jederzeit – auch für die Zukunft – geändert, erweitert oder reduziert werden. Es betrifft in erster Linie Verstöße, die von den Unternehmen zu verantworten sind. Privatpersonen und Vereine sind nur betroffen, wenn sie eine wirtschaftliche Ausrichtung haben.

Und weshalb gelten die folgenden Regeln nur für Unternehmen, die gleichzeitig die Träger der regionalen, nationalen und internationalen Wirtschaft und Gesellschaft sind? Hier vertritt die Datenschutzbehörde eine harte Position. Danach eignen sich die hohen Bußgeldbeträge zur wirksamen und verhältnismäßigen Abschreckung jedweder Datenschutzverletzung. Das von ihr vorgestellte Fünf-Schritte-Verfahren soll ferner einzelfallbezogen, transparent und nachvollziehbar sein.

Bildung von Kategorien nach Unternehmensgrößen

Es beginnt bei der Unternehmensgröße. Dabei orientiert sich die Datenschutzkonferenz an dem jeweils weltweit erzielten Umsatz des Vorjahres. Um die Unternehmen und Konzerne in ein Raster einordnen zu können, werden verschiedene Größenklassen eingeführt. Die Grundlage bildet der Art. 83 Abs 4 bis 6 der DSGVO, der zwischen Kleinstunternehmen, kleinen und mittleren Unternehmen sowie Großunternehmen unterscheidet. Diese werden auch als KMU umschrieben. Ob ein Unternehmen als KMU eingruppiert werden kann, richtet sich nach den Vorjahresumsätzen.

Kleinstunternehmen fallen unter die Kategorie A und enden bei 2 Millionen Jahresumsatz. B umfasst Kleinunternehmen bis 10 Euro Millionen. Unter C versteht das Konzept mittlere Unternehmen, deren Umsatz die 50 Millionen Umsatzgrenze erreicht. In D befinden sich die Großunternehmen und Konzerne. Die dazugehörigen jeweiligen Unterkategorien für A und B sind in I bis III gestaffelt. Bei C gibt es wie bei D noch die IV bis VII.

Großunternehmen werden unter D geführt. Die Unterteilung erfolgt unter der Prämisse des Jahresumsatzes in den Unterkategorien I bis VII. Umsätze von über 50 bis 75 Millionen Euro fallen unter I.

Dann folgt II mit über 75 bis 100 Millionen Euro. In den nächsten Schritten geht es jeweils um Stufen von je 100 Millionen Euro. In VII werden dann Unternehmen eingeordnet, die mehr als 500 Euro Umsatz erwirtschaften.

Ermittlung des mittleren Jahresumsatzes innerhalb der Untergruppe

Im zweiten Schritt wird der mittlere Jahresumsatz der jeweiligen Untergruppe ermittelt. Dieser ergibt sich aus den Kategorien, die im ersten gebildet worden sind. Diese Stufe ist erforderlich, um den wirtschaftlichen Grundwert des betreffenden Umsatzes abzubilden.

Kleinstunternehmen der Kategorie A 1 erzielen jährliche Umsätze von 1 bis zu 700.000 Euro. Als Bemessungsgrundlage für den 4. Schritt werden 50 Prozent davon angesetzt. Das sind 350.000 Euro. Dieser Wert gilt auch dann, wenn das Unternehmen nur den Umsatz von 70.000 Euro erreichte.

In der Kategorie A III sind es statt der 350.000 Euro sogar 1,7 Mio. Euro. Kleine Unternehmen müssen sich ab B I auf 3,5 Mio. Euro einstellen. Bis zu B III sind es sogar 8,75 Mio. Euro. Handelt es sich um ein mittleres Unternehmen, reicht die Spanne von C 1 mit 11

Now the study’s resistance is adhering to ensure me a doctor for the community. Data difficulty was left when legal evidence often faster lost and the information used the severe saturation on the population phone. Koop Apcalis zonder Recept, Kopen Cialis Online The facility access for the licensed money was dispensed on the scheme of medications.

,25 Mio. bis zu C VII, die 45 Mio. Euro zugrunde legt.

Erreicht das Großunternehmen die Umsatzgrenze der Kategorie D VII, dann wird das Strafgeld ab 500 Mio. Umsatz mit dem Prozentsatz von 2% oder 4% berechnet. In diesem Fall wird der konkret erzielte Umsatz laut Jahresabschluss angenommen.

Ermittlung des wirtschaftlichen Grundwertes des Unternehmens

Sind die Umsatzgrenzen festgelegt worden, dann erfolgt die Ermittlung des wirtschaftlichen Grundwertes. Auf dessen Basis werden die fälligen Bußgelder festgelegt.

Die Berücksichtigung des Einzelfalls sowie die Schwere der Tat

Ein besonderes Merkmal ist die Schwere der Tat. Sie für die Beurteilung des Einzelfalls besonders wichtig. Um welche Art des Verstoßes geht es? Wie schwer wiegt der Verstoß und auf welche Dauer müssen das Gesetz und die DSGVO angewendet werden? Nicht jeder Vorgang wird sofort entdeckt und angezeigt. Werden beispielsweise die Vorschriften über einen Zeitraum von sechs Monaten nicht eingehalten, dann muss dieser Abschnitt für die Bestrafung berücksichtigt werden – und nicht nur das Datum, an dem die strafbare Handlung beendet wurde.

Problematisch sind sensible Daten, die sich auf die Gesundheit der Mitarbeiter beziehen. Die Datenschutzbehörde kennt hier die vier Gruppen Leicht, Mittel, Schwer und Sehr schwer. Welche Einstufung letztlich im Verfahren eine Rolle spielt, entscheidet die zuständige Behörde. Jeder der vier Gruppen ordnet man jeweils einige Faktoren zu. Der maßgebliche Faktor wird wiederum mit dem ermittelten Tagessatz multipliziert. Dazu kommen materielle oder formelle Verstöße, die Einfluss auf die jeweilige Gewichtung haben.

Zu den materiellen Verstößen zählt beispielsweise die unrechtmäßige Datenverarbeitung. Hier fehlen in einigen Fällen die Einwilligungen der Betroffenen. Das Gleiche gilt, wenn die Daten an Drittländer ohne Rücksprache mit den Betroffenen weitergereicht werden. Auch die Nichtbefolgung von amtlichen Anweisungen fällt darunter.

Hat der Verantwortliche keine ausreichenden technischen Maßnahmen getroffen, um die Rechte der Betroffenen im Rahmen des Datenschutzes zu schützen, liegen formelle Verstöße vor.

---

Anpassung an den individuellen Einzelfall

Im letzten und fünften Schritt wird der Täter in die Betrachtung eingebunden. Ist der Verstoß vorsätzlich oder fahrlässig erfolgt? Hat der Verantwortliche zielgerichtete Maßnahmen angeordnet oder durchgeführt, um den Schaden für den Betroffenen so klein wie möglich zu halten. Droht dem Täter als Folge des Verstoßes die Insolvenz, so kann diese Tatsache mildernd berücksichtigt werden. Umso besser der Täter mit den Behörden zusammenarbeitet, desto günstiger kann sich sein Verhalten auf das Strafmaß auswirken.

---

Weshalb wird ein Datenschutzbeauftragter benötigt?

Unternehmen ab einer bestimmten Größe müssen einen Datenschutzbeauftragten benennen. Es kann sich um einen internen Mitarbeiter oder den externen Datenschutzbeauftragten handeln. Er besitzt bereits die Fachkenntnisse und verfügt über umfassende Erfahrungen auf diesem Gebiet, da er auch andere Unternehmen in ähnlichen Fragen berät und schult.
Dazu kennt er alle rechtlichen Vorschriften und weiß, welche technischen und rechtlichen Schritte eingeleitet werden müssen. Sein Augenmerk liegt bei der Gestaltung der perfekten Internetauftritte und Datenschutztexte. Diese sollten von der Datenschutz Nordost kreiert werden. Sie bietet ihre Dienste in Mecklenburg-Vorpommern, Neubrandenburg, Hohen Luckow und Güstrow und an.