Der erste DSGVO-Bußgeldbescheid

Wir wetten, die deutschen Unter­nehmen fürchten sich vor der Daten­schutz­grund­ver­ordnung (DSGVO) mehr als der Prophet Mohammed persönlich vor einem Prager Schinken. Hakt man nach, hört man die unglaub­lichsten Anekdoten, was nun alles nicht mehr gehen soll, denn – so sagt der kaufmän­nische Volksmund – es drohen die unglaub­lichsten Strafen in Millio­nenhöhe, wenn nicht gar der sofortige Ruin.

Diesem Schre­ckens­sze­nario wird das erste auf Grundlage der DSGVO nun verhängte Bußgeld nicht gerecht. 20.000 EUR muss das Netzwerk „Knuddels“ zahlen, das besonders von Kindern und Jugend­lichen genutzt wird. Diesem Netzwerk waren durch einen Hacker­an­griff Daten von 330.000 Nutzern, u. a. E‑Mailadressen und Passwörter, abhanden gekommen. Das Unter­nehmen meldete das, der Landes­be­auf­tragte für Daten­schutz und Infor­ma­ti­ons­freiheit (LfDI) Baden-Württemberg wurde aktiv, und dann stellte sich heraus, dass es zu dem Leck wohl gekommen war, weil das Netzwerk auf die Passwörter nicht richtig aufge­passt hatte, es hatte sie entgegen Art. 32 Abs. 1 lit a DS-GVO unver­schlüsselt gespeichert.

Das Unter­nehmen warf sich vor dem LfDI quasi in den Staub. Innerhalb weniger Wochen brachte es seine Daten­ver­ar­beitung auf neuesten Stand, es koope­rierte so vorbildlich, dass das sogar in der Presse­mit­teilung des LfDI lobend erwähnt wird, und es gab für die Aufar­beitung und die Erneuerung der Daten­ver­ar­bei­tungs­struktur einen sechs­stel­ligen Betrag aus. All das fiel bei der Bemessung des Bußgeldes ins Gewicht. Zudem handelt es sich um ein kleineres, deutsches Netzwerk, dessen Jahres­um­sätze weit, weit entfernt sind von denen der kalifor­ni­schen Giganten.

Es geht aus Art. 83 Abs. 2 DSGVO hervor, dass alle diese Punkte sich auf die Höhe des Bußgeldes auswirken sollen. Im Übrigen muss ein Bußgeld stets wirksam, verhält­nis­mäßig und abschre­ckend sein, so steht es in Art. 83 Abs. 1 DSGVO. Gerade die Verhält­nis­mä­ßigkeit, also die Angemes­senheit von Zweck und Mittel, begrenzt die Höhe der Bußgelder. Mit anderen Worten: Auch eine Daten­schutz­be­hörde darf niemanden köpfen, nur weil er sich eine leichte Schus­se­ligkeit zuschulden hat kommen lassen. Das bedeutet: Die in Art. 83 Abs. 4 DSGVO genannten Obergrenzen für Bußgelder von 10 Mio. EUR bzw. 2% der weltweiten Umsätze im voran­ge­gan­genen Geschäftsjahr sind für schwere Fehler und maximal unkoope­rative Verant­wort­liche gedacht.

All das ist in die Bemessung der 20.000 EUR Bußgeld einge­flossen. Zusammen mit den von der Behörde erwähnten sechs­stel­ligen Kosten dürfte der Schaden für das Unter­nehmen zuzüglich des Rufschadens trotzdem erheblich sein, auch wenn zumindest ein Teil des Geldes schon vor dem 25.05.2018 für mehr Daten­schutz hätte ausge­geben werden müssen. Es gibt also keinen Grund, sich beruhigt wieder hinzu­legen und den Daten­schutz gedanklich in den Keller zu schicken. Die verbreitete Panik, man dürfe jetzt gar nichts mehr tun, weil ansonsten der Ruin droht, wird aber, wie dieser Bußgeld­be­scheid zeigt, ebenfalls der Sache nicht gerecht.

2018-11-23T00:23:44+01:0023. November 2018|Datenschutz, Wettbewerbsrecht|

Bundesrat und Datenschutz

Kaum hat das erste Gericht einen Daten­schutz­sünder auf eine Konkur­ren­ten­ab­mahnung zur Unter­lassung verur­teilt, rudert die Politik zurück: So hat man es sich mit dem Daten­schutz dann offenbar doch nicht vorge­stellt. Daten­schutz ja, aber soll wirklich jeder jeden Wettbe­werber wegen eines Verstoßes gegen die teilweise doch sehr detail­lierten Regeln der DSGVO kosten­pflichtig abmahnen können?

Manche meinen, das sei ohnehin gar nicht möglich. Denn die DGVO sei in Hinblick auf die Folgen von Verstößen abschließend. Fürchten müsste man sich dann nur vor den Daten­schutz­be­hörden, aber vor neidi­schen Konkur­renten sei man sicher. Nun gut, wir werden sehen, was eines schönen, aber vermutlich fernen Tages der BGH dazu sagt.

Der Bundesrat will nun klare Verhält­nisse schaffen. Auf S. 6 der hier verlinkten Ausschuss­emp­feh­lungen für den 19.10.2018 verlangen die Bundes­rats­aus­schüsse etwas verklau­su­liert, dass Wettbe­werber keine Daten­schutz­ab­mah­nungen aussprechen können sollen.

Damit wäre der Daten­schutz entgegen aller Ängste aus dem Frühjahr ein deutlich zahnlo­serer Tiger als früher. Denn das BDSG enthielt anerkann­ter­weise Markt­ver­hal­tens­re­ge­lungen, die abgemahnt werden konnten. Da es viel mehr Konkur­renten gibt als Daten­schutz­be­hörden, und die meist rund 1.500 EUR Abmahn­kosten auch mehr schmerzen als ein Hinweis und das oft nicht gar so hohe Bußgeld würde die Motivation vieler Unter­nehmen, sich daten­schutz­rechtlich nach der Decke zu strecken, doch deutlich abnehmen. Es bleibt also spannend, wie der Bundesrat sich positio­niert und was der Bundestag dann daraus macht.

2018-10-11T22:54:49+02:0011. Oktober 2018|Allgemein, Wettbewerbsrecht|

Abmahnung wegen DSGVO-Verstoß

Erinnern Sie sich an diese Welle der Panik im Frühjahr? Die Daten­schutz­grund­ver­ordnung (DSGVO) musste bis zum 25.05.2018 umgesetzt werden, und alle, die über mehrere Jahre hinweg den Daten­schutz auf die sehr leichte Schulter genommen hatten, befiehl die Angst. Lauerten etwa im Dickicht der vielen neuen (und manchmal auch nur gefühlt neuen) Pflichten schon die Abmahn­an­wälte, um Unter­nehmen, die beispiels­weise ihre Daten­schutz­er­klärung nicht bis ins letzte korrekt gefasst hatten, kosten­pflichtig abzumahnen?

Schon damals wurde disku­tiert, ob das überhaupt recht­mäßig möglich sei. Unter anderem der Vater der DSGVO, der grüne Europa­po­li­tiker Jan Philipp Albrecht (heute Minister in Kiel) verneinten dies. Art. 80 Abs. 2 die DSGVO ordne nämlich an, dass die DSGVO die Rechts­folgen von Verstößen abschließend regele. Abmah­nungen sind in der DSGVO aber nicht erwähnt. Die Daten­schutz­be­hörden sind hier vielmehr als Wächter des Daten­schutzes instal­liert, faktisch sind sie aber weit weniger gefürchtet als die Glücks-und Gebüh­ren­jäger, die im Auftrag von Konkur­renten tätig werden.

Schon damals im Mai war durchaus zweifelhaft, ob diese beruhi­gende Auskunft wirklich stimmt. Denn schließlich war auch in der Vergan­genheit über § 3a UWG der Daten­schutz­verstoß als wettbe­werbs­wid­riger Rechts­bruch abmahnbar. Entspre­chend ist es keine wirkliche Überra­schung, dass das Landge­richt (LG) Würzburg am 13.9.2018 (Az.: 11 O 1741/18) als erstes Landge­richt eine Abmahnung wegen fehler­hafter Daten­schutz­er­klärung für recht­mäßig erklärt und den Verwender der unzurei­chenden Daten­schutz­er­klärung zur Unter­lassung verur­teilt hat. Die größte Überra­schung an diesem Verfahren ist höchstens, dass nicht nur der Abmah­nende, sondern auch der abgemahnte ein Rechts­anwalt ist.

Doch natürlich ist in dieser Sache das letzte Wort noch nicht gesprochen. Unabhängig von der Frage, ob der hier Unter­legene die Angele­genheit überprüfen lässt, wird es sicherlich weitere Verfahren und irgendwann ober- und höchst­ge­richt­licher Entschei­dungen geben. Doch mindestens bis zu diesem Zeitpunkt muss man davon ausgehen, dass Abmah­nungen wegen Daten­schutz­ver­stößen eine ernst zu nehmendes Risiko darstellen. Entspre­chend heißt es jetzt: Wer sich immer noch nicht sicher ist, ob der Daten­schutz in seinem Unter­nehmen, auf jeden Fall aber auf seiner Homepage, so aussieht, wie die DSGVO es verlangt, sollte unbedingt nachlegen.

2018-10-05T00:21:52+02:005. Oktober 2018|Wettbewerbsrecht|