Einheitliche Sanktionierung: Datenschutzverstöße sollen in ganz Europa vergleichbar geahndet werden

Deutschland hat den Weg geebnet, und nun zieht Europa nach: Die einheitliche Sanktionierung von Datenschutzverstößen schreitet voran. Der Europäische Datenschutzausschuss hat Leitlinien zur Bußgeldbemessung definiert, um mehr Transparenz zu schaffen.

Die Datenschutz-Grundverordnung (DSGVO) befähigt europäische Aufsichtsbehörden nicht nur zur eigenständigen Ermittlung von Datenschutzverstößen, sondern auch zur effektiven Sanktionierung. Bei schwerwiegenden Verstößen können Bußgelder in beträchtlicher Höhe verhängt werden. In extremen Fällen können die Bescheide Summen von bis zu 20 Millionen Euro einfordern, maximal gelten vier Prozent des weltweiten Jahresumsatzes eines Unternehmens als Obergrenze für die Bußgeldbemessung.

Um die europaweite Transparenz bei Bußgeldern zu erhöhen, hat die Datenschutzkonferenz (DSK) unter der Federführung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Dr. Stefan Brink, bereits im Oktober 2019 ein eigenes Konzept zur Bußgeldzumessung entwickelt. Nun hat der Europäische Datenschutzausschuss in seiner Sitzung vom 12. Mai Leitlinien zur Bußgeldbemessung („Guidelines on the calculation of fines“) verabschiedet, die den Vorschlägen aus Deutschland weitgehend entsprechen.

Ein zentrales Ziel dieser Leitlinien ist die weitere Harmonisierung der europäischen Bußgeldpraxis. Vergleichbar mit den Ansätzen im Konzept der DSK wurde ein Grundbetrag („starting point“) für die Bußgeldzumessung definiert. Der Grundbetrag ist angelehnt an die Erheblichkeit des Datenschutzverstoßes, berücksichtigt die Norm, gegen die verstoßen wurde, und setzt dies in Relation zum Jahresumsatz des Unternehmens. Beispielsweise kann der Grundbetrag bei mittelschweren Verstößen bis zu 20 Prozent der gesetzlichen Bußgeldgrenze betragen. Für Kleinstunternehmen mit einem Umsatz von höchstens 2 Millionen Euro wird dieser Betrag auf 0,2 Prozent reduziert. Der Europäische Datenschutzausschuss verdeutlicht damit seine Absicht, eine einheitliche Vorgehensweise zu fördern.

Der EDSA macht damit deutlich, dass der Unternehmensumsatz auch für die konkrete Bußgeldberechnung eine maßgebliche Größe ist, Bußgelder umgekehrt die Unternehmen auch nicht überfordern dürfen.

Zustimmung aus Deutschland

Der Landesbeauftragte Stefan Brink begrüßt in seiner Stellungnahme vom 19. Mai 2022 die vom EDSA vorgelegten Leitlinien als einen wichtigen Baustein zur einheitlichen Anwendung der Datenschutz-Grundverordnung: „Wir schaffen in Europa mehr Transparenz in der Bußgeldpraxis und sorgen für Rechtsklarheit in zentralen Fragen der Bußgeldbemessung. Die Leitlinien sind allerdings kein „Bußgeldrechner“, vielmehr bedarf eine wirksame, verhältnismäßige und abschreckende Sanktionierung nach wie vor einer konkreten Abwägung im Einzelfall durch die Gerichte, die Datenschutzvergehen verhandeln.“

Hintergrund: Der Europäische Datenschutzausschuss (EDSA) ist ein unabhängiges europäisches Gremium. Es fungiert als Dachorganisation, die die nationalen Datenschutzbehörden der Länder des Europäischen Wirtschaftsraums sowie den Europäischen Datenschutzbeauftragten (EDPS) zusammenbringt.

Der EDSA stellt sicher, dass die europäische Datenschutzgrundverordnung rechtlich durchgesetzt wird sowie eine Strafverfolgungsrichtlinie zur Anwendung kommt. Der EDSA fasst regelmäßig Entscheidungen bei grenzüberschreitenden Fällen von Datenschutzverstößen, um eine europaweit einheitliche Rechtsprechung anzustreben.

Der EDSA verfügt über ein Büro mit Sitz in Brüssel, das vom EDPS bereitgestellt wird. Der EDSA wird von seiner Vorsitzenden, Anu Talus, und zwei stellvertretenden Vorsitzenden, Irene Loizidou Nicolaidou und Aleid Wolfsen, die für eine Amtszeit von fünf Jahren gewählt werden, geleitet.