Der größte Schrecken bei der DSGVO sind die Bußgelder, insbesondere die Höhe, die bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweiten Jahresumsatzes eines Unternehmens im vorangegangenen Geschäftsjahr betragen kann, je nachdem, welcher Betrag höher ist.
Während einige Datenschutzbehörden wirklich hohe Geldbußen verhängt haben, verhängt die slowakische Datenschutzbehörde Geldbußen von nicht mehr als ein paar tausend Euro. Aus der Praxis des Amtes und den bisher ergangenen Entscheidungen geht hervor, dass die bisher verhängten Bußgelder hauptsächlich für individuelles und nicht für systematisches Fehlverhalten verhängt wurden. Zur Verdeutlichung: Die geprüften Personen verfügten zwar über Systeme zum Schutz personenbezogener Daten, verstießen aber in einzelnen Fällen gegen die Bestimmungen der Datenschutz-Grundverordnung. So verarbeitete beispielsweise ein Privatunternehmen personenbezogene Daten auf der Grundlage eines berechtigten Interesses. Das Unternehmen verfügte jedoch nicht über ordnungsgemäße Verhältnismäßigkeitsprüfungen, sondern nur über „beschreibende“ Prüfungen und konnte daher nicht nachweisen, dass seine Rechte gegenüber den Rechten der betroffenen Personen überwiegen, und wurde mit einer Geldstrafe von 7 000 EUR belegt.
Zur Frage der Verhängung von Geldbußen bei Verstößen gegen die Datenschutz-Grundverordnung hat der Europäische Gerichtshof (EuGH) am 26. September 2024 in der Rechtssache TR gegen Land Hessen eine interessante Entscheidung getroffen. Der Fall betraf einen Kläger, TR, der ein Bankkonto bei der Land Hessen Bank hatte. Die Bank erlitt eine Verletzung des Datenschutzes des Klägers TR, die in einem widerrechtlichen Zugriff eines ihres Mitarbeiters zu den Daten von TR bestand. Die Bank meldete den Datenschutzverstoß ordnungsgemäß, die Aufsichtsbehörde untersuchte die Angelegenheit, verhängte aber keine Geldbuße, was TR jedoch ablehnte und verklagte. Der EuGH entschied, dass eine Aufsichtsbehörde nicht immer verpflichtet ist, eine Geldbuße wegen eines Verstoßes gegen die Datenschutz-Grundverordnung zu verhängen. Dies ist insbesondere dann der Fall, wenn die Aufsichtsbehörde die Beschwerde und/oder den Datenschutzverstoß gründlich untersucht und geeignete Maßnahmen ergreift, um Abhilfe zu schaffen, was laut EuGH im vorliegenden Fall geschehen ist.
Eine weitere interessante Entscheidung des EuGHs ist die Entscheidung vom 4. Oktober 2024 in der Rechtssache A v Patērētāju tiesību aizsardzības centrs (Anm.: Zentrum für den Schutz der Verbraucherrechte in Lettland). In dieser Entscheidung stellte der EuGH fest, dass ein Verstoß gegen die DSGVO nicht automatisch Schadensersatz bedeutet, und wenn ein Schaden nachgewiesen wird, kann dieser nur durch eine Entschuldigung ausgeglichen werden. Aus der Sicht der Slowakei und des Schadensersatzes unter unseren Umständen ist dies keine ungewöhnliche Entscheidung, aber aus der Sicht anderer Mitgliedstaaten kann sie erhebliche Folgen haben.
Sinn dieses Artikels ist es nicht, die Einhaltung der DSGVO-Verpflichtungen zu trivialisieren, sondern vielmehr darum, die Tatsache hervorzuheben, dass, wenn Unternehmen ordnungsgemäße Verfahren zum Schutz personenbezogener Daten eingerichtet haben, Geldstrafen für festgestellte Verfehlungen von der Behörde nicht liquidiert werden. Mit Verweis auf neueste EuGH-Entscheidungen kann man bei der Kommunikation mit der Behörde sogar argumentieren, dass das Ergebnis eines Fehlverhaltens nicht automatisch eine Geldstrafe nach sich ziehen muss, sondern dass es ausreicht, geeignete Abhilfemaßnahmen zu ergreifen.
Kinstellar, s. r. o.
Kinstellar ist eine der führenden europäischen Wirtschaftskanzleien mit mehr als 500 Professionals in Deutschland, Europa und den USA. Mit Lösungen für komplexe und anspruchsvolle rechtliche Fragestellungen schaffen wir einen echten Mehrwert für unsere Mandanten. Das Besondere an Kinstellar ist die Verbindung einer breiten fachlichen Exzellenz mit innovativem Denken, internationaler Erfahrung und Industrieexpertise. Auf unseren Rat vertrauen börsennotierte und multinationale Konzerne, große und mittelständische Familienunternehmen ebenso wie Finanzinstitute und internationale Investoren.
Im Austausch mit unseren Mandanten entwickeln wir die passenden Antworten auf alle Fragen des Wirtschaftsrechts einschließlich Gesellschaftsrecht, Mergers & Acquisitions, Wettbewerbs- und Kartellrecht, Bank- und Kapitalmarktrecht, Unternehmensfinanzierung, IP, IT-Recht, Telekommunikationsrecht, Vertriebsrecht, Immobilienrecht, Arbeitsrecht, Insolvenzrecht, Umweltrecht und Prozessvertretung. Darüber hinaus bietet das Team in Bratislava umfassende Unterstützung bei der Strukturierung und Finanzierung von Investitionsvorhaben.