Wir möchten Ihnen einen aktuellen Überblick über die derzeitige datenschutzrechtliche Haftungslage und entsprechenden Tendenzen geben.

1. Aktuelle gesetzliche Lage und Tendenzen

Nach dem Bundesdatenschutzgesetz können gemäß § 43 BDSG derzeit im Einzelfall Bußgelder bis 300.000 € erlassen werden und die strafrechtlichen Sanktionen richten sich nach § 44 BDSG.

Interessant ist, dass Ende des letzten Jahres das Oberlandesgericht Köln (Az. 20 U 83/16) darüber entschieden hat, ob ein Anspruch auf Schmerzensgeld bei einer Datenschutzverletzung in Betracht kommt. Sachverhaltsgegenstand war die Weitergabe von Gesundheitsdaten durch eine Versicherungsgesellschaft an den Arbeitgeber des Klägers (Arbeitnehmer) wegen einer Berufsunfähigkeitsversicherung. Nach Kenntnisnahme der unrechtmäßig weitergegebenen Daten kündigte der Arbeitgeber fristlos das Arbeitsverhältnis. Dem Kläger wurde gerichtlich am 30.09.2016 bestätigt, dass die besonderen personenbezogenen Daten ohne Rechtsgrundlage weitergegeben wurden. Es wurde ein etwaiger immaterieller Schaden vom Gericht anerkannt, aber über die genaue Höhe des Schmerzensgeldes muss derzeit noch durch eine Feststellungsklage verhandelt werden.

2. Zukünftige gesetzliche Lage nach der EU-DSGVO

In der EU-Datenschutz-Grundverordnung befinden sich die Regelungen über Sanktionen in den Artikeln 83 und 84 EU-DSGVO. Die Höhe des Bußgeldes wurde auf bis zu 20 Millionen Euro oder bis zu 4% des gesamten weltweiten Vorjahresumsatzes angehoben.

Nach dem Text der Verordnung sollen Sanktionen wirksam, verhältnismäßig und abschreckend sein. Hinsichtlich der strafrechtlichen Folgen obliegt es allerdings wiederrum den einzelnen Mitgliedsstaaten eigene Rahmenbedingungen festzulegen. Als sonstige Sanktionen kommen Beseitigungsanordnungen der Datenschutzverletzung (Rüge bzw. Anweisung der Anpassung der Datenverarbeitung sowie ein begrenztes oder endgültiges Verbot der Datenverarbeitung) oder eine Gewinnabschöpfung in Betracht. Grundsätzlich an die Haftungsgrundsätze zu richten haben sich Unternehmen mit einem Sitz in der EU oder Unternehmen, die personenbezogene Daten über in der EU ansässige Personen erheben, verarbeiten und nutzen (soweit diese Unternehmen ihre Tätigkeit auf die EU ausrichten).

Es wird weiterhin so sein, dass die Aufsichtsbehörden der Länder für die Verhängung von datenschutzrechtlichen Sanktionen gemäß Art. 55 EU-DSGVO verantwortlich sind. Eine Ausnahme stellt lediglich der internationale Datentransfer dar, bei welchem eine übergeordnete Behörde gemäß Art. 56,60 EU-DSGVO zuständig ist.

Nach dem Gesetzesentwurf des Datenschutz-Anpassungs- und -Umsetzungsgesetz EU sind im Bereich der Sanktionierungen bei Datenschutzrechtsverletzungen einige Änderungen zu beachten. Aus der aktuellen Stellungnahme des Bundesrates vom 10.03.2017 zum (Drucksache 110/70) geht zum Beispiel hervor, dass derzeit noch geprüft werden soll, ob es europarechtlich zulässig ist eine Haftungsobergrenze für eine verschuldensunabhängige Haftung auf Schadensersatz und Entschädigung einzuführen.

In der Praxis ist damit zu rechnen, dass zunehmend Überprüfungen durch die Aufsichtsbehörden vorgenommen werden und die Datenschutzbeauftragten weitergehende Verpflichtungen treffen werden. Einige Aufsichtsbehörden haben bereits in Pressemeldungen angekündigt stichprobenartige Überprüfungen der Datenströme (insbesondere beim Datentransfer mit dem Ausland) durchzuführen.

Gerne stehen wir Ihnen für Rückfragen zur Verfügung.