Tim Wybitul, RA/CIPP-E, und Dr. Arne Klaas, RA

Erfahrungsbericht: Verteidigung gegen DSGVO-Bußgelder

Bußgelder wegen Verstößen gegen die komplexen Anforderungen des EU-Datenschutzrechts werden zu einem immer größeren Risiko für Unternehmen. Europäische Aufsichtsbehörden haben bereits mehrere dreistellige Millionenbußgelder verhängt. Pro Verstoß drohen bis zu vier Prozent des globalen Vorjahresumsatzes. Zudem haben die EU-Aufsichtsbehörden mittlerweile ein Modell zur Berechnung von DSGVO-Bußgeldern verabschiedet, das künftig wohl zu noch höheren Sanktionen führt. Gleichzeitig legen die Aufsichtsbehörden viele Anforderungen der DSGVO sehr weitgehend aus. Andererseits kann man sich gegen den Verdacht von Verstößen gegen datenschutzrechtliche Vorschriften auch erfolgreich verteidigen. Dieser Beitrag beschreibt den typischen Ablauf entsprechender Verfahren. Er fasst Erfahrungen aus laufenden und abgeschlossenen Prozessen zusammen. Zudem gibt er zahlreiche Praxistipps zur Verringerung von Haftungsrisiken und zur Verteidigung gegen drohende Bußgelder.

I. Einführung: Ausgangslage und maßgeblicher Rechtsrahmen

Das Datenschutzrecht birgt Haftungsrisiken für Unternehmen und deren Leitungsorgane. Die Regelungen der DSGVO sind komplex und keinesfalls leicht umzusetzen. Gleichzeitig legen die Aufsichtsbehörden datenschutzrechtliche Vorschriften oft auf eine Weise aus, die deren Umsetzung in der Praxis erschwert. Dabei sind fast alle Handlungsvorgaben der DSGVO mit hohen Bußgeldern bewehrt.