Bußgelder wegen Verstoßes gegen die DSGVO

Der europäische Gesetzgeber wollte die Bedeutung der Bestimmung deutlich machen, indem er bei Verstößen gegen die DSGVO strenge verwaltungsrechtliche und/oder strafrechtliche Sanktionen festlegte.

Je nach Schwere der Zuwiderhandlung werden die Geldbußen in zwei Stufen unterteilt:

■ Bis 10 Mio. Euro bzw. für Unternehmen bis 2% des weltweiten Jahresumsatzes des Vorjahres

Geldbuße verhängt für die Verletzung von Grundsätzen wie Privacy by Design oder das Versäumnis, Daten vor ihrer Gestaltung zu schützen oder das Fehlen geeigneter Maßnahmen, um einen guten Sicherheitsstandard zu gewährleisten.

■ Bis zu 20 Millionen Euro bzw. für Unternehmen bis zu 4% des weltweiten Jahresumsatzes des Vorjahres

Geldbuße bei Verletzung grundlegender Prinzipien, wie z. B. Verweigerung des Rechts auf Vergessenwerden oder Undurchsichtigkeit beim Ersuchen um Dateneinwilligung.

Solche strafrechtlichen Sanktionen können auch den Abzug von Gewinnen gestatten, die durch die Verletzung der Vorschriften erzielt wurden.

Die Verhängung strafrechtlicher Sanktionen darf jedoch niemals im Gegensatz zu den Prinzip "ne bis in idem", das heißt, Sie können nicht zweimal wegen derselben Tatsache vor Gericht gestellt werden, aber Sie können mehrmals verurteilt werden.

KORREKTURSANKTIONEN

Die korrigierenden Sanktionen sind mit den Befugnissen der Aufsichtsbehörde verbunden, die bestehen aus:

• Warnungen an den Datenverantwortlichen oder Datenverarbeiter, dass die geplanten Behandlungen gegen die DSGVO verstoßen können
• Warnungen an den Eigentümer und die Behandlung oder den für die Behandlung verantwortlichen Person auszugeben, wenn die Behandlungen gegen die Bestimmungen der DSGVO verstoßen haben
• Den Datenverantwortlichen oder Datenverarbeiter anzuweisen, den Anfragen der betroffenen Person zur Ausübung der damit verbundenen Rechte nachzukommen
• Den Verantwortlichen oder Auftragsverarbeiter anzuweisen, die Bestimmungen der DSGVO einzuhalten, auch unter Angabe, wie und innerhalb welcher Frist
• Den Datenverantwortlichen anzuweisen, die betroffene Person über eine Verletzung des Schutzes personenbezogener Daten zu informieren
• Auferlegen einer vorläufigen oder endgültigen Einschränkung der Verarbeitung, einschließlich eines Verarbeitungsverbots
• die Berichtigung, Löschung der personenbezogenen Daten oder Einschränkung der Verarbeitung und Mitteilung dieser Maßnahmen an die Empfänger, denen die personenbezogenen Daten offengelegt wurden, anordnen
• Widerruf der Zertifizierung oder Anordnung der Zertifizierungsstelle, die gemäß §§ 42 und 43 erteilte Zertifizierung zu entziehen, oder die Zertifizierungsstelle nicht zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt sind
• Zusätzlich zu diesen Maßnahmen ein Bußgeld zu verhängen (siehe oben)
• Anordnung der Aussetzung von Datenflüssen an einen Empfänger in einem Drittland oder eine internationale Organisation