Unabhängig vom betriebswirtschaftlichen Hintergrund ist es für jeden Unternehmer von Interesse zu wissen, welche Haftungsszenarien sich ereignen können.

Die zur Harmonisierung in der Europäischen Union erlassene Datenschutzgrundverordnung (DSGVO – EU) enthält eine Vielzahl an datenschutzrechtlichen Sanktionsmöglichkeiten. Diese können bei Nichteinhaltung der Umsetzungsfrist bis zum 25.05.2018 zum Haftungsrisiko werden. Zunehmend an Bedeutung gewinnt auch die im Vorfeld durchzuführende Risikoanalyse  zur Beurteilung eines angemessenen Schutzniveaus für die Rechte und Freiheiten natürlicher Personen. Bei der Auswahl der technischen und organisatorischen Maßnahmen zur Schaffung eines Datenschutzmanagements ist die verantwortliche Stelle relativ frei, denn es wird grundsätzlich kein Maßnahmenkatalog vorgegeben. Dennoch werden einige unterstützende Maßnahmen (z. B. Pseudonymisierung, Verschlüsselung) beschrieben und im Rahmen der compliancegerechten Datenschutzorganisation turnusmäßige Datenschutzauditierungen nahegelegt.

Die Einhaltung der datenschutzrechtlichen Regelungen obliegt insbesondere Unternehmen mit Sitz in der EU und Unternehmen soweit diese die Tätigkeit im Zusammenhang mit der Erhebung, Verarbeitung und Nutzung von  personenbezogenen Daten über in der EU ansässige Personen auf die EU ausrichten. Bei der Beurteilung des Unternehmensbegriffs ist dabei auf das Marktverhalten und die wirtschaftliche Einheit abzustellen, welches zur Betrachtung als Unternehmenskonzern führt.

Eine explizite Regelung zur Haftung und dem Recht auf Schadensersatz gegen den Verantwortlichen oder den Auftragsdatenverarbeiter wurde in Artikel 82 DSGVO-EU normiert. Als Neuerung zum Bundesdatenschutzgesetz wurde aufgenommen, dass nunmehr auch auf Auftragsdatenverarbeiter bei Schadensersatzforderungen  zurück gegriffen werden kann. Zur Sicherstellung einer wirksamen Durchsetzung von Schadenersatzforderungen für den Betroffenen haften grundsätzlich, bei mehreren Verantwortlichen für die Datenverarbeitung, diese gemeinsam für den gesamten Schaden. Allerdings  hat die verantwortliche Stelle die Möglichkeit eine Schuldbefreiung zu erreichen, in dem sie nachweist, dass keine Schuld für eine Verletzung besteht. Gleichwohl liegt die Grenze für die Haftung bei den  für den Auftragsdatenverarbeiter festgelegten Rechten und Pflichten.

Für den Schadensfall sind die von Artikel 83 DSGVO-EU genannten Bemessungskriterien heranzuziehen, welche sich aus dem nachfolgenden Katalog zusammensetzen:

„a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

1. b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
2. c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
3. d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
4. e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
5. f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
6. g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
7. h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
8. i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
9. j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
10. k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.“

Bei dem Nachweis einer unrechtmäßigen Datenverarbeitung soll der Betroffene auch immaterielle Schäden geltend machen können.

Bußgelder können bis zu 100 Millionen oder 4 Prozent des weltweiten Jahresumsatzes der verantwortlichen Stelle veranschlagt werden. Die Sanktionen  sollen je nach Einzelfall wirksam, verhältnismäßig und abschreckend sein. Je nach Schwere des Verstoßes können auch strafrechtliche Sanktionen durch die Mitgliedsstaaten erlassen werden. Zudem können auch Handlungsmaßnahmen aufsichtsbehördlicher Art in Betracht kommen, welche in der Regel durch die Aufsichtsbehörden der jeweiligen Mitgliedsstaaten bzw. gemäß Artikel 56, 60 DSGVO-EU bei internationalem Datenverkehr durchgesetzt werden. Dabei können Überwachungs- und Durchsetzungsbefugnisse wie eine Gewinnabschöpfung (bei illegal beschafften Daten), Verbot der Datenverarbeitung oder Anweisungen in Betracht kommen.

Betroffene haben gemäß Art. 77 Abs. 1 DSGVO-EU das Recht eine Beschwerde bei der zuständigen Aufsichtsbehörde zu erheben. Sofern keine fristgerechte Rückmeldung (in der Regel Zeitrahmen von drei Monaten) von der Aufsichtsbehörde erfolgt, kann auch direkt das Gericht hinzugezogen werden.

Weiterhin sind rein haftungsrechtlich auch die Abmahnmöglichkeiten wegen der im letzten Jahr vorgenommenen Änderungen im Unterlassungsklagegesetz (UKlaG) zu beachten. Nach Art. 80 Abs. 1 DSGVO-EU können nun auch datenschutzrechtliche Verstöße von Vereinigungen, Organisationen und Einrichtungen geltend gemacht werden (z. B. Abmahnung wegen fehlerhaften Datenschutzerklärung auf der Internetseite).

Gerne stehen wir Ihnen für die weiteren Umsetzungsschritte im Datenschutzrecht zur Verfügung.