DSGVO-Bußgelder: Aktuelle Entscheidungen der Datenschutzbehörden.

Die großen Verfahren richten sich gegen internationale Konzerne, weil dort der Umsatz und damit der Bußgeldrahmen am höchsten ist. Die zugrundeliegenden Verstöße sind aber keine Konzernprobleme: Unzureichende Rechtsgrundlagen für Werbung, fehlende Transparenz oder mangelhafter Schutz sensibler Daten kommen genauso in KMU vor. Deutsche Aufsichtsbehörden verhängen regelmäßig Bußgelder im vier- bis sechsstelligen Bereich gegen mittelständische Unternehmen.

Der häufigste Grund für DSGVO-Bußgelder ist eine fehlende oder unwirksame Rechtsgrundlage für die Datenverarbeitung, insbesondere im Bereich Werbung und Tracking. Danach folgen Verstöße gegen Transparenzpflichten nach Art. 13 und 14 DSGVO, mangelhafter technischer Schutz nach Art. 32 DSGVO und unzulässige Drittlandübermittlungen nach Art. 46 DSGVO.

Art. 83 DSGVO sieht zwei Bußgeldrahmen vor: bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes für weniger schwerwiegende Verstöße, bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes für schwerwiegendere Fälle. Maßgeblich sind unter anderem die Schwere des Verstoßes, die Zahl der Betroffenen, ergriffene Maßnahmen zur Schadensbegrenzung und die Kooperation mit der Behörde.

Die meisten großen US-Technologieunternehmen haben ihren europäischen Hauptsitz in Irland gewählt. Nach dem One-Stop-Shop-Prinzip der DSGVO ist damit der irische Data Protection Commissioner die federführende Aufsichtsbehörde für deren EU-weite DSGVO-Verfahren. Das erklärt, warum Verfahren gegen Meta, TikTok, LinkedIn oder WhatsApp in Dublin geführt werden, selbst wenn der Verstoß EU-weit Auswirkungen hat.