Bußgelder 2019 – ist die Schonfrist vorbei?

Im Januar ist gegenüber einem kleinen deutschen Unternehmen ein Bußgeld in Höhe von 5.000 EUR durch die Aufsichtsbehörde in Hamburg verhängt worden. Der Grund war eine fehlende Auftragsverarbeitungsvereinbarung. Besonders brisant an diesem Fall ist, dass dem Bußgeld eine Anfrage seitens des Unternehmens an die Behörden vorausgegangen war, in welcher das Unternehmen angegeben hat, der Auftragnehmer würde keine Auftragsvereinbarung liefern und man selbst sich nicht die Mühe (sowie den finanziellen Aufwand) machen wolle, eine Vereinbarung zu entwerfen. Hier hat sich die Aufsichtsbehörde klar positioniert: wer Daten an Dritte für eine Verarbeitung im Auftrag weitergibt, der ist auch für die Einhaltung des Art. 28 DSGVO zuständig. Und dieser sieht eine Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag vor.
 
In einem weiteren Fall ist ein Bußgeld über 80.000 EUR durch die Aufsichtsbehörden in Baden-Württemberg wegen der Veröffentlichung von Gesundheitsdaten im Internet verhängt worden. Verglichen sind diese Bußgelder in der europäischen Skala aber noch immer ein „Pappenstiel“. Die französische Datenschutz-Aufsichtsbehörde CNIL hat gegen Google ein Bußgeld in Höhe von 50 Mio. EUR verhängt. Dies ist das erste mal, dass wir uns jenseits der Millionengrenze bewegen.
 
Mittlerweile scheinen Sanktionen durch die Aufsichtsbehörden also keine Seltenheit mehr zu sein. Alleine in Bayern laufen aktuell über 80 Bußgeldverfahren, von denen ein Großteil durch Beschwerden Betroffener ausgelöst werden. Derzeit sind wir (in Deutschland) zwar noch weit von den möglichen Höchststrafen (bis zu 4% des weltweiten Jahresumsatzes oder 20 Mio. EUR) entfernt, trotzdem zeigt sich ein deutlicher Trend: die Aufsichtsbehörden nehmen ihren Job ernst und verhängen Bußgelder und Sanktionen. Stefan Brink, Baden-Württembergs Datenschutzbeauftragter, erklärte vor kurzem im „Spiegel“, dass ein fünfstelliges Bußgeld in Zukunft keine Seltenheit mehr sein wird. Und da viele Verfahren durch Beschwerden ins Rollen gebracht werden, sollten Sie immer darauf achten, die Informationspflichten sowie Rechte Ihrer Betroffenen zu wahren. Dazu gehören nicht nur transparente und verständliche Datenschutzinformationen, sondern auch ein interner Prozess zum Bearbeiten und Beantworten von Auskunfts-, Lösch- oder Berichtigungsanfragen. Des Weiteren sollten Sie anhand Ihrer Liste externer Dienstleister überprüfen, ob eine Verarbeitung im Auftrag und ob Sie eine entsprechende  Auftragsverarbeitungsvereinbarung bereits geschlossen haben.