Suche
Contact
07.07.2022 | KPMG Law Insights

Neue Leitlinien zur Berechnung von Bußgeldern bei Datenschutzverstößen

Der Europäische Datenschutzausschuss (EDSA) hat am 12. Mai 2022 Leitlinien zur Harmonisierung der Berechnung von Bußgeldern durch die Datenschutzbehörden zur Konsultation veröffentlicht. Die vom EDSA vorgeschlagene Berechnungsmethode dient der Vereinheitlichung der Bußgeldpraxis in den Mitgliedstaaten und soll weitere Rechtsklarheit und Transparenz hinsichtlich der Anwendung der Kriterien des Art. 83 DSGVO schaffen. Welche Auswirkungen die neue Leitlinie auf die Bußgeldpraxis konkret haben wird, ist noch nicht abzusehen. Für große und umsatzstarke Unternehmen könnte dies im europaweiten Durchschnitt jedoch zukünftig zu höheren Geldbußen führen.

 

Das Fünf-Schritte-Modell

In der Leitlinie schlägt der EDSA ein Fünf-Schritte-Modell zur Bestimmung der Höhe von Bußgeldern vor. Hierbei soll es sich jedoch nicht um ein starres mathematisches Vorgehen handeln. Die individuelle Festsetzung eines Bußgeldes bleibt im Wesentlichen von der Beurteilung aller Umstände des Einzelfalls abhängig.

  1. Ermittlung der Anzahl der Verstöße
  2. Bestimmung des Ausgangsbetrages
    a. Ermittlung der Art des Verstoßes (Art. 83 Abs. 4-6 DSGVO)
    b. Prüfung der Schwere des Verstoßes (Art. 83 Abs. 2 DSGVO)
    c. Bestimmung des Jahresumsatzes des Unternehmens
  3. Bewertung aller erschwerenden und mildernden Umstände
  4. Bestimmung der Bußgeldobergrenze
  5. Finale Evaluation

 

  1. Ermittlung der Anzahl der Verstöße

Im ersten Schritt ermittelt die Datenschutzbehörde die relevanten Datenschutzverletzungen und prüft, ob diese jeweils einen oder mehrere einzeln zu ahndende Verstöße gegen das Datenschutzrecht begründen.

 

  1. Bestimmung des Ausgangsbetrages

Anschließend ist der Ausgangsbetrag für die weitere Berechnung der Geldbuße zu ermitteln. Hierzu sind (i) die Art des Verstoßes, (ii) die Schwere des Verstoßes und (iii) der Jahresumsatz des Unternehmens zu bestimmen.

a. Zunächst sind die Verstöße den beiden in Art. 83 DSGVO bestimmten Kategorien zuzuordnen. Hiernach bestimmt sich der gesetzliche Höchstbetrag des zu verhängenden Bußgeldes. Verstöße nach Abs. 4 werden mit einer Maximalstrafe von 10 Mio. Euro bzw. 2 % des weltweiten Vorjahresumsatzes und Verstöße nach Abs. 5 und 6 mit einer Höchststrafe von 20 Mio. Euro bzw. 4 % des weltweiten Vorjahresumsatzes geahndet.

b. Sodann ist die Schwere des jeweiligen Verstoßes zu bewerten. Verstöße sollen nach einer umfassenden Gesamtbetrachtung des Einzelfalls als gering, mittel oder hoch eingestuft werden. Dabei sind insbesondere die in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien einzubeziehen. So können etwa Verstöße im Rahmen der Verarbeitung von Daten besonders schutzbedürftiger Personen (wie z.B. Arbeitnehmer oder Kinder), besonderer Kategorien personenbezogener Daten (wie z.B. Gesundheitsdaten), Verstöße, die die Kerntätigkeit des Verantwortlichen berühren, oder eine hohe Anzahl Betroffener besonders schwer wiegen. Zudem ist der Grad des Verschuldens zu berücksichtigen. Abhängig von der Schwere des Verstoßes ist ein angemessener Ausgangsbetrag zu bestimmen. Hierbei sehen die Leitlinien folgende Abstufung vor:

      • Schwere des Verstoßes: Gering; Ausgangsbetrag: 0 – 10 % der gesetzlichen Höchstsumme
      • Schwere des Verstoßes: Mittel; Ausgangsbetrag: 10 – 20 % der gesetzlichen Höchstsumme
      • Schwere des Verstoßes: Schwer; Ausgangsbetrag: 20 – 100 % der gesetzlichen Höchstsumme

c. Der konkreten Berechnung des Ausgangsbetrages soll die Datenschutzbehörde auch den weltweiten Jahresumsatz des Unternehmens zugrunde legen. Hierbei können entsprechend der Schwere des Datenschutzverstoßes für Unternehmen mit geringerem Jahresumsatz Anpassungen an dem Ausgangsbetrag vorgenommen werden. Hierbei schlägt der EDSA folgende Abstufung vor:

      • Jährlicher Umsatz in EUR: ≤ 2 Mio.; maximale Reduktion auf: 0,2 % des Ausgangsbetrages
      • Jährlicher Umsatz in EUR: ≤ 10 Mio.; maximale Reduktion auf: 0,4 % des Ausgangsbetrages
      • Jährlicher Umsatz in EUR: ≤ 50 Mio.; maximale Reduktion auf: 2 % des Ausgangsbetrages
      • Jährlicher Umsatz in EUR: 50 Mio. – 100 Mio.; maximale Reduktion auf: 10 % des Ausgangsbetrages
      • Jährlicher Umsatz in EUR: 100 Mio. – 250 Mio.; maximale Reduktion auf: 20 % des Ausgangsbetrages
      • Jährlicher Umsatz in EUR: ≥ 250 Mio.; maximale Reduktion auf: 50 % des Ausgangsbetrages

In der Regel gilt: Je höher der Umsatz des Unternehmens innerhalb der jeweiligen Stufe, desto höher ist der Ausgangsbetrag. Die Datenschutzbehörde ist jedoch nicht verpflichtet, diese Anpassung vorzunehmen, wenn sie für eine abschreckende Wirkung nicht erforderlich ist.

 

  1. Bewertung aller erschwerenden und mildernden Umstände

Im dritten Schritt wird der ermittelte Ausgangsbetrag unter Berücksichtigung der verbleibenden erschwerenden und mildernden Faktoren angepasst (Art. 83 Abs. 2 DSGVO).

Dabei ist vor allem das Verhalten des Unternehmens in der Vergangenheit und im Laufe des Bußgeldverfahrens zu betrachten. Insbesondere können dabei Maßnahmen des Verantwortlichen zur Schadensminderung für die Betroffenen, frühere Datenschutzverstöße des Verantwortlichen, die Art und Weise, wie der Verstoß der Datenschutzbehörde bekannt wurde, der Grad der Kooperation mit den Datenschutzbehörden oder die Erzielung eines wirtschaftlichen Gewinns aus dem Verstoß berücksichtigt werden.

 

  1. Bestimmung der Bußgeldobergrenze

Im vierten Schritt ermittelt die Datenschutzbehörde die Höchstbeträge für die Datenschutzverletzung und legt die Obergrenze für die Geldbußen fest. Maßgeblich ist der weltweite Jahresumsatz des Unternehmens bezogen auf die gesamte Wirtschaftseinheit. Entsprechend dem so ermittelten Gesamtjahresumsatz kann entweder die statische Höchstsumme von 10 Mio. bzw. 20 Mio. Euro oder die dynamische Höchstsumme von 2 % bzw. 4 % des weltweiten Jahresumsatzes relevant werden, je nachdem, welcher Betrag höher ist.

 

  1. Finale Evaluation

Abschließend wird evaluiert, ob das ermittelte Bußgeld wirksam, verhältnismäßig und abschreckend ist. Dieser Schritt stellt ein letztes Korrektiv im Sinne einer abschließenden Gesamtbetrachtung dar. Sollte die Datenschutzbehörde zu dem Schluss kommen, dass z.B. der ermittelte Gesamtbetrag nicht hinreichend geeignet ist, die genannten Ziele zu erreichen, oder die Geldbuße über das hinaus geht, was zur Erreichung der mit der DSGVO verfolgten Ziele erforderlich ist, kann der Betrag noch entsprechend korrigiert werden. Hierbei kann in begründeten Ausnahmefällen auch die wirtschaftliche Leistungsfähigkeit des Unternehmens berücksichtigt werden, etwa wenn das Unternehmen darlegt und beweist, dass das Bußgeld die wirtschaftliche Leistungsfähigkeit des Unternehmens nachhaltig beeinträchtigt.

 

Auswirkungen der Leitlinie

Nachdem der EDSA bis zum 27. Juni 2022 Gelegenheit gegeben hatte, zu der Leitlinie Stellung zu nehmen, wird erwartet, dass der Leitlinienentwurf im 4. Quartal dieses Jahres fertig gestellt und offiziell angenommen wird.

Das vorgestellte Berechnungsmodell bietet eine einheitliche Basis für die Berechnung von Bußgeldern bei Datenschutzverstößen und trägt damit zu einer Harmonisierung der Bußgeldpraxis auf europäischer Ebene bei. Es löst auch das bisher bestehende Berechnungsmodell der deutschen Behörden ab. Durch den strukturierten Berechnungsansatz wird die Transparenz der Bußgeldfestsetzung erhöht. Verantwortliche in der gesamten Union werden damit in die Lage versetzt, das jeweilige Bußgeldrisiko anhand der konkretisierten Bemessungskriterien und aufgezeigten Beispiele besser einordnen zu können. Es verbleibt jedoch ein erheblicher Ermessensspielraum für die Datenschutzbehörden, sodass genaue Vorhersagen weiterhin nicht möglich sind. Ob das neue Berechnungsmodell in Deutschland im Vergleich zur bisherigen Berechnungsmethode generell zu höheren oder niedrigeren Bußgeldern führen wird, kann daher nicht mit Sicherheit bestimmt werden. Die Kriterien der Bußgeldbemessung zu kennen ist jedoch der Schlüssel für Verantwortliche, um durch geeignete Gegenmaßnahmen auf möglichst geringe Bußgelder hinzuwirken.

Explore #more

13.06.2024 |

Kommentar zum Hinweisgeberschutzgesetz (HinSchG) erschienen mit Beiträgen von KPMG Law

Nach jahrelangem Ringen haben Bundestag und Bundesrat im Jahr 2023 die Whistleblowing-Richtlinie der EU in nationales Recht umgesetzt: Das seit Juli 2023 geltende Hinweisgeberschutzgesetz (HinSchG)…

13.06.2024 | Pressemitteilungen

Handelsblatt und Best Lawyers zeichnet KPMG Law Expert:innen aus

Best Lawyers hat erneut exklusiv für das Handelsblatt die besten Wirtschaftsanwältinnen und -anwälte Deutschlands für das Jahr 2024 ermittelt. Insgesamt wurden 28  Anwältinnen und Anwälte…

12.06.2024 | KPMG Law Insights

Podcast-Serie „KPMG Law on air“: KI und Datenschutz – darauf sollten Start-ups achten

Start-ups stehen für neue Ideen, Pioniergeist und Tatendrang. Datenschutz und Datenmanagement sind vielen jungen Unternehmen eher lästig und werden als Bremse betrachtet. Gleichzeitig sind die…

11.06.2024 | KPMG Law Insights

Podcast-Serie „KPMG Law on air“: US Immigration

Für eine Einreise in die USA stehen eine Reihe von Visa zur Verfügung, doch welches ist das richtige? Kann man visumsfrei einreisen oder benötigt man…

07.06.2024 | PR-Veröffentlichungen

Beitrag auf FINANCE mit KPMG Law Statement: Ist die Rechtsabteilung Sache des CFOs?

In dem Artikel vom 07. Juni 2024 findet sich ein Beitrag mit Statement von KPMG Law Experte Andreas Bong. Ist die Rechtsabteilung Sache des…

05.06.2024 | KPMG Law Insights

Bereit für DORA? Diese Vertragsanpassungen sind notwendig

Mit der fortschreitenden Digitalisierung steigt auch das Risiko für Cyberangriffe im Finanzsektor. Um Marktteilnehmende zu schützen, hatte die EU im Dezember 2022 den Digital Operational…

04.06.2024 | PR-Veröffentlichungen

Gastbeitrag zu Klimaklagen in der Börsen-Zeitung

Klimaklagen sind trotz rechtlicher Hindernisse ein reales Risiko für Unternehmen und Regierungen. Welche präventiven Maßnahmen angeraten sind, wissen KPMG Law Expertinnen Isabelle Knoché und Jasmina…

30.05.2024 | PR-Veröffentlichungen

Gastbeitrag zur Stiftungsrechtsreform im Private Banking Magazin

Am 1. Juli 2023 trat die wohl größte Stiftungsrechtsreform in Deutschland seit 1896 in Kraft – und nach knapp einem Jahr gibt es erste Erfahrungen…

28.05.2024 |

Veröffentlichungen in der ESGZ im Mai

Die KPMG Law Expertinnen Isabelle Knoché und Denise Spinnler-Weimann haben einen Beitrag über „Die zweite Reform des KSG“ in der Mai Ausgabe der ESGZ veröffentlicht.…

27.05.2024 | KPMG Law Insights

BImSchG-Novelle soll Genehmigungsverfahren beschleunigen

Am 17.05.2024 haben sich die Ampel-Fraktionen auf die Novelle des Bundes-Immissionsschutzgesetzes (BImSchG) geeinigt. Mit dem Gesetz sollen schnellere und unbürokratischere Verfahren geschaffen und so Genehmigungsverfahren…

Kontakt

Francois Heynike, LL.M. (Stellenbosch)

Partner
Leiter Technologierecht

THE SQUAIRE Am Flughafen
60549 Frankfurt am Main

tel: +49-69-951195770
fheynike@kpmg-law.com

© 2024 KPMG Law Rechtsanwaltsgesellschaft mbH, assoziiert mit der KPMG AG Wirtschaftsprüfungsgesellschaft, einer Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG-Organisation unabhängiger Mitgliedsfirmen, die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalten. Für weitere Einzelheiten über die Struktur der globalen Organisation von KPMG besuchen Sie bitte https://home.kpmg/governance.

KPMG International erbringt keine Dienstleistungen für Kunden. Keine Mitgliedsfirma ist befugt, KPMG International oder eine andere Mitgliedsfirma gegenüber Dritten zu verpflichten oder vertraglich zu binden, ebenso wie KPMG International nicht autorisiert ist, andere Mitgliedsfirmen zu verpflichten oder vertraglich zu binden.

Scroll