Datenschutz: Mehr als „nur“ Compliance

Datenschutz ist längst kein reines Compliance-Thema mehr, sondern entscheidet darüber wie wettbewerbsfähig Ihr Unternehmen in der Zukunft sein wird. So ergab eine Cisco-Studie aus dem Jahr 2019, dass die meisten Unternehmen umsatztechnisch „von ihren Datenschutzinvestitionen, die über bloße Compliance hinausgehen“ profitieren. Genauso zeigte eine Studie von OpinionTRAIN aus 2022, dass für 70 Prozent der Verbraucher der Datenschutz beim Online-Kauf eine erhebliche Rolle spielt. Ein TÜV-Siegel zur Datensicherheit habe demnach einen erheblichen Einfluss auf das Kaufverhalten der User. Der CEO von Apple, Tim Cook bezeichnete das Datenschutzthema als das wichtigste neben dem Klimawandel für das 21. Jahrhundert.

„Privacy and climate change are the top issues of the century“. Tim Cook, CEO von Apple

 

Datenschutz im Zeitalter der Digitalisierung

Mittlerweile ist Datenschutz zu einem Megatrend geworden. Denn mit der zunehmenden Digitalisierung ergeben sich für Unternehmen neue Herausforderungen. Um konkurrenzfähig und wirtschaftlich zu bleiben, bedarf es einer digitalen Strategie in Ihrem Unternehmen. Das bringt allerdings wieder neue Anforderungen auf den Tisch. Datenschutz und Datensicherheit sind dabei stetige Begleiter. Sie benötigen also technisches, wirtschaftliche und rechtliches Knowhow um erfolgreich zu sein.

Sie brauchen einen Datenschutzbeauftragten

Für welche Unternehmen die Benennung eines Datenschutzbeauftragten erforderlich ist, habe ich bereits in diesem Post erläutert. Ich persönlich glaube, dass bald schon die meisten auch kleineren und mittelständischen Unternehmen einen Datenschutzbeauftragten einsetzen müssen, da sie auch mit neuen Technologien wie KI, Big Data oder Blockchain arbeiten werden. Das hat dann automatisch zur Folge, dass sie entsprechende Risikoabschätzungen machen müssen. Damit ist ein Datenschutzbeauftragter verpflichtend.

Ich biete Ihnen Rechtssicherheit

Doch ein Datenschutzbeauftragter ist nicht nur eine unangenehme und unfreiwillige gesetzgeberische Forderung. Sie kann und sollte freiwillig erfolgen und ein wertvolles Investment sein. Um Sie vor hohen Bußgeldern zu schützen (einen Bußgeldkatalog finden Sie hier), biete ich Ihnen, eine Beratung an, die sie rechtssicher macht. Der Datentransfer ist heute international, weshalb auch hier internationales Recht anzuwenden ist. Als Wirtschaftsjurist für IT- und Internetrecht habe ich mich auf das europäische und internationale Datenschutzrecht spezialisiert. Auch die Anwendung von Künstlicher Intelligenz ist grundsätzlich mit dem Datenschutzrecht nicht vereinbar. Ich helfe Ihnen dabei diese Tücken zu überwinden und neue Technologien rechtskonform zu entwickeln und einzusetzen.

Ich biete Ihnen technisches Knowhow und sichere Ihre digitale Strategie

Als Ingenieur und Projektmanager in diversen Digitalisierungsprojekten weiß ich, worauf es bei digitalen Projekten ankommt. Der Ausgleich zwischen Geld, Zeit und Qualität ist die Königsdisziplin des Projektmanagements. Ich begleite Ihre IT und die FuE-Abteilung bei der Entwicklung oder Einführung von neuen digitalen Produkten und berate sie zum Datenschutz. Eine gute digitale Strategie benötigt auch ein erstklassiges Datenschutzmanagement. Ich qualifiziere mich stetig weiter und biete neben Datenschutz auch Schulungen und Beratung zu IT-Sicherheit gemäß ISO 27001 und IT-Grundschutz nach BSI-Standard an.

Ich biete Ihnen wirtschaftliche Lösungen

Datenschutz wird oft als eine teure, unbeliebte Angelegenheit gesehen. Tatsächlich bietet es wirtschaftliche Vorteile. Im B2C-Bereich, aber vor allem auch im B2B-Geschäft, ist Datenschutz längst zu einem Auswahlkriterium geworden. Datenschutz und Datensicherheit kann ihr Alleinstellungsmerkmal sein, während andere den Trend verschlafen. Ich arbeite daher mit Legal-Tech-Software und spare dadurch erheblich Zeit und Geld. Meinen Mandanten kann ich somit einfache, schnelle und wirtschaftliche Lösungen anbieten. Vor allem denke ich als Selbstständiger wirtschaftlich und unternehmerisch. Ich bin Ihr Berater und vermittle zwischen Kundenwusch aus Compliance-Sicht und Ihren betriebswirtschaftlichen Interessen.

Interdisziplinär und vielschichtig

Als Wirtschaftsjurist und Wirtschaftsingenieur vereine ich die drei Kriterien Rechtssicherheit, digitales Denken und Wirtschaftlichkeit. Ich tausche mich mit den Behörden aus und kenne daher die Anforderungen, die sie an Sie stellen. Ich befasse mich mit der Zukunft und den globalen Megatrends und bin für Sie Schnittstelle zwischen den Aufsichtsbehörden, den Interessen Ihrer Kunden und Ihrem Wettbewerbsvorteil.

Ich prüfe, ob eine Förderung möglich ist.

Tatsächlich bieten Länder und das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) auch Fördermöglichkeiten. Ich prüfe für Sie, ob eine Beteiligung an einem Förderprogramm möglich ist. Es gibt Förderprogramme, die eine Zuwendung von bis zu 80 Prozent der Datenschutzkosten ermöglicht. So z.B. das Förderprogramm unternehmerisches Knowhow. Dazu arbeite ich mit anderen Gesellschaften zusammen, um Ihnen diese Förderung zu ermöglichen und Ihr Datenschutzkonzept nahezu kostenfrei zu implementieren. Sie haben keinen Aufwand dadurch. Ich manage dies für Sie von der Antragsstellung bis zur Nachweispflicht.

Zu meinen Leistungen gehören:

• Datenschutzschulungen vor Ort und online
• Schulungen und Beratung zu Datensicherheit und IT-Sicherheit gem. ISO 27001 und BSI IT-Grundschutz
• Erstellung aller relevanter Datenschutzdokumente
• Risikoanalysen, Datenschutzfolgeabschätzungen
• Erstellung von Löschkonzepten und Umgang mit Betroffenenrechten
• Beratung zu Privacy by Design in der Produktentwicklung
• Beratung bei Einführung neuer Technologien wie Künstliche Intelligenz (KI), Big Data, VR/AR-Brillen
• Entwicklung und Einführung eines Datenschutzmanagementsystems gem. ISO 27701
• Alle Aufgaben des Datenschutzbeauftragten gem. Artikel 39 DSGVO
• Rechtsberatung zu DSGVO, BDSG, Länderdatenschutzgesetze und Internationales Datenschutzrecht

Was mich von anderen unterscheidet?

Ich vereine durch mein Studium zum Wirtschaftsingenieur und zum Wirtschaftsjuristen für Internet- und IT-Recht die drei Disziplinen Recht, Wirtschaft und Technik. Für mich ist Datenschutz nicht nur eine gesetzgeberische Notwendigkeit, sondern Ausdruck von Professionalität und Zukunftsorientiertheit. Datenschutz und Datensicherheit sind für mich Verkaufsargumente. Ich bin regional verankert und komme aus dem Mittelstand. Als Geschäftsführer eines Handelsunternehmens kenne ich die Anforderungen meiner Mandanten und ihr geschäftliches Alltagsleben. Ich vereine Datenschutz und Datensicherheit, die für mich zusammengehören.

Meine Vision ist es, digitale Strategien meiner Kunden rechtsicher und wirtschlich umzusetzen und dadurch meinen Beitrag an der Zukunft zu leisten.

Daher berate ich Sie vollumfänglich und bei Ihnen vor Ort. Ich bin nicht nur Ansprechpartner für Sie gegenüber den Aufsichtsbehörden, sondern ich gehe auch auf Ihre Wünsche ein und bringe Ihr Geschäftsmodell in rechtssicheres Fahrwasser.

Sie wünschen mehr zu erfahren?

Rufen Sie mich für ein kostenloses, unverbindliches Gespräch an oder schauen Sie einmal bei „Über mich“ vorbei!

Angeblich soll es sie immer noch geben: Unternehmen, die sich nicht an die Grundbestimmungen im Datenschutz halten. Insbesondere im mittelständischen Bereich bekomme ich häufig mit, dass noch nicht bei allen Unternehmern das Thema „Datenschutz“ so priorisiert wird, wie es die Aufsichtsbehörden gerne hätten. Dabei ist Datenschutz spätestens seit der Einführung der DSGVO in aller Munde. Dennoch nehmen nicht alle das Themen so ernst, wie es sich neben den Behörden vielleicht auch Kunden und Geschäftspartner wünschen.
Dass der Staat bei Verstößen beim Datenschutz nicht zimperlich ist, möchte ich in diesem kurzen Artikel verdeutlichen. Wie schon an anderer Stelle berichtet gelten für Verstöße teilweise drakonische Strafen und Bußgelder für Unternehmen von bis zu 20 Millionen EUR. Für große global agierende Unternehmen hat der Gesetzgeber sogar ein Bußgeld von bis zu 4 Prozent des weltweiten Jahresumsatzes vorgesehen. Doch greifen diese Restriktionen in dieser Härte tatsächlich in der Praxis? Dies wollen wir u.a. nun ergründen.

Welche Verstöße können ein Bußgeld nach sich ziehen?

Ein Verstoß stellt zunächst einmal eine Ordnungswidrigkeit dar. In Härtefällen kann dies sogar zur Ahndung über das Strafgesetz führen. Eine Ordnungswidrigkeit liegt z.B. vor, wenn der Verantwortliche seiner Auskunftspflicht bei Verbraucherkrediten nicht nachkommt. Hier erwartet den Unternehmer ein Bußgeld von bis zu 50.000 EURO.

Wer unzulässig die personenbezogenen Daten von Kindern, ohne die Einwilligung der Sorgeberechtigten verarbeitet, kann sogar bis zu 10 Millionen EUR löhnen. Oder auch gerne 2 Prozent des weltweiten Jahresumsatzes. Wer keine oder nicht ausrechende technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten ergreift, muss ebenfalls bis zu 10 Mio. EUR oder sogar 2 Prozent vom globalen Umsatz entrichten.

Wer keinen Datenschutzbeauftragten benennt oder derselbe sich nicht an die in Art. 39 DSGVO festgeschriebenen Aufgaben hält, muss ebenfalls mit einem Bußgeld in Millionenhöhe rechnen.
Mit bis zu 20 Mio. EUR oder der absoluten Keule mit 4 Prozent des weltweit erzielten Vorjahresumsatzes, wird belegt, wer gegen einen der Grundsätze im Datenschutz verstößt. Diese sind die rechtmäßige, transparente, zweckgebundene, datensparsame Datenverarbeitung und letztlich die Rechenschaftspflicht. Ach ja, eine habe ich noch vergessen: Die Speicherbegrenzung. Sie dürfen also nicht unendlich viele Daten ihrer Kunden speichern. Wer das macht, wird gem. Art. 83 Abs. 5a DSGVO verantwortlich zitiert.

Ist die Einwilligung zur Datenverarbeitung eines Betroffenen erforderlich – und das ist sie öfters, als sie glauben – sprechen wir ebenfalls von derartig drakonischen Bußgeldern. Natürlich nur bei Zuwiderhandlung.

Eine Straftat stellt es dar, wenn sie z.B. wissentlich und unberechtigterweise personenbezogene Daten an eine große Anzahl von Dritten übermitteln oder auf andere Art und Weise zugänglich machen. Hier können bis zu 3 Jahre Freiheitsstrafe kommen.

Es handelt sich hierbei wohlgemerkt nur um einen Auszug des Bußgeldkataloges. Im Folgenden möchte ich selbigen noch einmal in seiner Gesamtheit zusammenfassen:

Wer ist nun für die Durchsetzung eines Bußgeldes zuständig?

Verantwortlich für die Durchsetzung von DSGVO-Bußgeldern sind die Aufsichtsbehörden für den Datenschutz und die Datensicherheit. Dazu zählt vor allem der Bundesdatenschutzbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Neben dem Bund, sind die Datenschutzbeauftragten der Länder für die Durchsetzung von Bußgeldern verantwortlich. Im Land Brandenburg ist der Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg.
Hier geht es zu einer Liste der aktuellen Landesdatenschutzbehörden mit allen relevanten Kontaktinformationen.

Gegenüber den Aufsichtsbehörden können Betroffene mögliche Verstöße melden.

Schadensersatzanspruch? Nicht nur Bußgelder bei DSGVO-Verstoß möglich

Neben den zugegeben sehr hoch angesetzten Bußgeldern, Geld- und Freiheitsstrafen, haftet der Unternehmer auch für eventuelle Schäden bei Betroffenen. So heißt es in Art. 82 Abs. 1 DSGVO wortwörtlich: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Das heißt, jeder Betroffene, der einen Schaden durch den vom Unternehmer hervorgerufenen Datenschutzverstoß erleidet, kann dafür Ersatzanspruch geltend machen. Das gilt also nicht nur für die Verantwortlichen, sondern auch für jene, die im Auftrag von Verantwortlichen handeln. Das sind z.B. Lohnbuchhaltungsunternehmen, Anbieter von Cloud-Diensten oder Marketing-Agenturen.
Der Verantwortliche kann allerdings gem. Art. 82 Abs. 5 DSGVO auch von anderen Verantwortlichen und Auftragsverarbeitern, die für den Datenschutzverstoß haftbar gemacht werden können, auf Schadensersatz beanspruchen.

Warum sind die Bußgelder und Strafen so hoch?

Immer wieder stellt sich in der Öffentlichkeit die Frage nach der Verhältnismäßigkeit. Angesichts der Tatsache, dass in der Regel niemand einen wirklich lebensbedrohlichen Schaden durch die meisten Datenschutzverstöße erleidet, erscheinen die Sanktionen ziemlich hart. Ich nehme an, dass der Gesetzgeber damit eine möglichst hohe Abschreckung gewährleisten möchte. Denn sind wir doch einmal ehrlich. Während im Mai 2018 alle Unternehmer wegen der Einführung der DSGVO aus allen Wolken gefallen sind, gab es diese Datenschutzbestimmungen bereits schon vorher auf nationaler Ebene. Wenn auch das Bundesdatenschutzgesetz entsprechend angepasst wurde, so hatte dies bereits vor der DSGVO eine ähnliche Gangart in Umgang mit personenbezogenen Daten verlangt. Dennoch haben sich nur die wenigsten Unternehmen darangehalten. Wir leben an der Schwelle zu einer digitalen, vielleicht sogar von KI gesteuerten Lebensweise. Digitale Daten werden zunehmend wichtiger. Informationen waren schon immer das kostbarste für Unternehmen. Die Digitalisierung eröffnet vorher ungekannte Möglichkeiten zum Austausch und der Verarbeitung von Daten.
Informationen bedeuten einen unternehmerischen Vorteil. Personenbezogene Daten sind in der heutigen Zeit bares Geld.

Und wie sieht die Realität aus?

Es stellt sich nun die Frage, ob derartig hohe Bußgelder in der Praxis überhaupt verhängt werden können bzw. verhängt werden. Mittlerweile haben wir nach jetzt mehr als 3 Jahren ein etwaiges Gefühl dafür, wie die Rechtsprechung mit dem Thema umgeht. In 2020 wurden in Deutschland 283 Bußgelder insgesamt in Höhe von ca. 48 Mio. EUR verhängt. Im Vorjahr waren es laut DSGVO-Portal, eine Datenbank, die alle Verstöße erfasst, etwa 190 Verstöße, die geahndet wurden . Das entspricht einem Anstieg um ca. 50 Prozent.
Den größten Bußgeldbescheid bekam die H&M Hennes & Mauritz Online Shop A.B. & Co. KG mit über 35 Mio. EUR. Das Vergehen bestand darin, dass unnötige Informationen über Mitarbeiter von mindestens 2014 an permanent auf dem Server gespeichert wurden. Darunter befanden sich z.B. Daten über religiöse Bekenntnisse, familiäre Umstände, Urlaubs- sowie Krankenabwesenheitszeiten und die dazugehörigen Krankheitssymptome. Diese Daten konnten von mehreren Führungskräften regelmäßig eingesehen werden. Die Hamburgische Behörde ließ in ihrem Bescheid auch mildernde Umstände einfließen. So war H&M offensichtlich kooperativ und daran interessiert, dass das Vergehen lückenlos aufgeklärt wurde. Es handelt sich daher um einen eher milderen Beschluss, der auch hätte viel härter ausfallen können.

Urteil des LG Bonn: Deutet sich eine Korrektur an?

Für viel Aufsehen sorgte ein im November 2020 erfolgtes Urteil des Landgericht Bonn. In dem Gerichtsverfahren klagte der Telekommunikationsanbieter 1&1. Zuvor setzte der Bundesdatenschutzbeauftragte ein Bußgeld in Höhe von 9,55 Mio. EUR fest. Der Vorwurf bestand in der Tatsache, dass es in einem konkreten Fall sehr leicht für eine Person war, Daten ihres Ex-Freundes im Call-Center des Unternehmens in Erfahrung zu bringen. Die Frau war eine Stalkerin. Zur Authentifizierung gab sie lediglich nur den Namen und das Geburtsdatum des Mannes an. Der Call-Center-Mitarbeiter gab daraufhin die Telefonnummer des Ex-Partners raus. Da die Herausgabe von wesentlichen personenbezogenen Daten so freigiebig geschah, sah die Bundesdatenschutzbehörde ein Bußgeld von über 9,5 Mio. EUR als gerechtfertigt an. daraufhin klagte 1&1, worauf das LG Bonn das Bußgeld auf 900.000 EUR herabstufte.

Offenbar sah das Gericht das hohe Bußgeld vom Bundesdatenschutzbeauftragten als nicht verhältnismäßig an. Laut Urteil handele es sich nur um einen geringen Verstoß, da Telefonnummern keine sensiblen Daten darstellen. Hätte die Frau sich nach Kontoverbindungen, Verkehrsdaten oder Einzelverbindungsnachweisen erkundigt, hätte sie ohne ein hinreichendes Authentifizierungsverfahren keine Chance gehabt. Damit korrigierte und reduzierte das Gericht das Bußgeld um ca. 90 Prozent.
Zum Volltext des Urteils geht es hier.

Das Urteil könnte richtungsweisend in der künftigen Festlegung von Bußgeldern sein. Das höchste Bußgeld in 2020 betrug jedoch immerhin satte 10,4 Mio. EUR in Deutschland. Hier bestand der Verstoß in der permanenten Videoüberwachung von Mitarbeitern über 2 Jahre. Das Bußgeld setzte die Niedersächsische Datenschutzbehörde fest.

Wie vermeide ich Bußgelder und Strafen?

Es liegt auf der Hand, dass Datenschutz damit nicht nur ein gutes Verkaufsargument gegenüber ihren Kunden ist, sondern tatsächlich bares Geld ausmacht. Mögen die Bußgelder auch drakonische und vielleicht für den einen oder anderen nicht nachvollziehbare Höhen besitzen. Dennoch sind sie in der DSGVO sowie dem BDSG festgelegt und sollten daher erstgenommen werden.
Wie Sie solche Bußgelder vermeiden können? Betreiben Sie ein umfangreiches und sicheres Datenschutzmanagement! Hier ein kleiner Leitfaden für Sie (https://pro-id.net/datenschutz/datenschutzmanagement-nach-der-dsgvo-ein-kleiner-leitfaden/). Sobald Sie mehr als 20 Mitarbeiter haben, müssen sie einen Datenschutzbeauftragten benennen, der sie berät und Verantwortung in diesem Bereich übernimmt. Ich rate ihnen auch dann einen Datenschutzberater ins Haus zu holen, wenn diese Pflicht de jure nicht erforderlich ist. De facto allerdings sind Unternehmer meist ausgelastet und haben nicht die Zeit und nicht das nötige Wissen entsprechende Präventionen zu gewährleisten. Lesen Sie dazu auch meinen Artikel „Warum und wann brauche ich einen Datenschutzbeauftragten?“.

Holen Sie sich das Know-how ins Haus!

Jetzt Kontakt aufnehmen unverbindlich ein kostenloses Beratungsgespräch anfordern!