Schluss mit lustig beim Datenschutz

Bußgeld-Berechnung bei DSGVO-Verstößen

Das Thema Datenschutz bleibt topaktuell. Bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) können Aufsichtsbehörden im Einzelfall Geldbußen verhängen. Auf europäischer Ebene gibt es bislang noch kein Konzept für die Bemessung von Geldbußen. Laut DSK, dem Gremium der deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, wird allerdings darüber verhandelt. 

Zumindest für Deutschland dürfte durch den vorgestellten Bußgeldkatalog ein wenig mehr Klarheit herrschen. Auch Klarheit darüber, dass jedes Unternehmen mit einem Bußgeld rechnen muss, wenn es gegen die Vorschriften zum Datenschutz verstößt.

Wie wird das Bußgeld berechnet?

1. Das Unternehmen wird einer Größenklasse zugeordnet

Jedes Unternehmen wird künftig einer Größenklasse zugeordnet. Insgesamt sind vier Klassen (A bis D) vorgesehen, differenziert nach Kleinstunternehmen, kleinen Unternehmen, mittleren Unternehmen und Großunternehmen. Maßgeblich für die Einteilung ist der Vorjahresumsatz. Mittelständler finden sich erwartungsgemäß in der ersten Kategorie (bis zu 2 Millionen Euro Jahresumsatz) wieder. Die einzelnen Kategorien verfügen zudem bis zu sieben Untergruppen, um die Firmengröße präziser bei der Bemessung des Bußgeldes in Ansatz zu bringen.

Für Mittelständler bedeutet das drei Untergruppen, beginnend mit einem Jahresumsatz von

• A I: bis zu 700.000 Euro
• A II: über 700.000 bis 1,4 Millionen Euro
• A III: über 1,4 bis 2 Millionen Euro.

2. Bestimmung des mittleren Jahresumsatzes

Ist ein Unternehmen einer Untergruppe zugeordnet, wird der mittlere Jahresumsatz ermittelt. Bei Kleinstunternehmen beträgt danach der mittlere Jahresumsatz 350.000 Euro, etwas größere Firmen haben einen mittleren Jahresumsatz von 1.050.000 Euro und noch größere einen in Höhe von 1.700.000 Euro.

3. Berechnung des wirtschaftlichen Grundwerts

Ist der mittlere Jahresumsatz festgestellt, wird dieser Betrag durch 360 geteilt. Das Ergebnis ist eine Art Tagessatz und bildet den sogenannten wirtschaftlichen Grundwert. Dieser die Basis für die weitere Festlegung des Bußgelds.

4. Ableitung eines Multiplikationsfaktors aus der Schwere der Tat

Im Anschluss befasst sich die Behörde mit dem konkreten Sachverhalt. Die Kriterien: Art und Dauer des Verstoßes, die Anzahl der betroffenen Personen, das Ausmaß des Schadens, den diese erlitten haben oder die Kooperation mit den Aufsichtsbehörden. Daraus wird ein Faktor errechnet. Je nach Schwere des Verstoßes kann ein Faktor zwischen 1 und 6 (bei formellen Verstößen) oder 1 bis 12 (bei materiellen Verstößen) in Ansatz gebracht werden.

Der wirtschaftliche Grundwert wird dann mit diesem Faktor multipliziert und ergibt das vorläufige Bußgeld.

5. Anpassung des vorläufigen Bußgeldes

Um weiteren Umständen gerecht zu werden, kann das vorläufige Bußgeld nochmals angepasst werden. So spielt es etwa eine Rolle, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und wie lange das Verfahren gedauert hat. Auch die wirtschaftliche Lage des Unternehmens kann eine Rolle spielen.

Fazit

Die künftigen Datenschutzregeln sehen ein gestuftes Konzept vor, das die Umstände des Einzelfalls – Unternehmensgröße, Art der Verarbeitung und Gefährdungspotenzial – in Ansatz bringt. Großkonzerne wie Google werden daher andere Standards implementieren müssen als ein Elektriker mit 10 Angestellten. Mit der Frage, wie Daten im Betrieb geschützt werden, müssen sich hingegen alle Unternehmen gleichermaßen befassen.

PS: Lesen Sie in der kommenden IMPULSE den vollständigen Artikel zum Thema Bußgeld-Berechnung bei DSGVO-Verstößen.