Auch Geschäftsführern und Mitarbeitern drohen Bußgelder Umsetzungsgesetz für EU-DSGVO verschärft Haftung

Mit Einführung der EU-Datenschutz-Grundverordnung (EU-DSGVO) steigt das Haftungsrisiko für Datenschutzverletzungen nicht nur für Unternehmen, sondern auch für Geschäftsführer, Mitarbeiter und interne Datenschutzbeauftragte. Bei Verstößen drohen bis zu 20 Millionen Euro Bußgeld und sogar Freiheitsstrafen.

Anbieter zum Thema

Vogel IT-Medien GmbH

Insider Research

Southern Tech GmbH

eco - Verband der Internetwirtschaft e. V.

Die Bundesregierung arbeitet mit Hochdruck daran, das nationale Datenschutzrecht neu zu strukturieren und an die EU-Datenschutz-Grundverordnung (EU-DSGVO) anzupassen. Was sich dabei abzeichnet, ist, dass durch die Neuregelung Bußgeldhöhen für Unternehmen stark angehoben werden. Bislang galt laut Bundesdatenschutzgesetz (BDSG) eine Haftungshöchstgrenze von maximal 300.000 Euro.

Jetzt bietet unter anderem Art. 83 Abs. 5 der DSGVO den Aufsichtsbehörden die Möglichkeit, Bußgelder bis zu 20 Millionen Euro beziehungsweise bei Konzernen bis zu vier Prozent des weltweiten Umsatzes des Vorjahres zu verhängen. Diese hohen Bußgelder sollen abschrecken und laut DSGVO vor allem für Unternehmen anfallen, Mitgliedsstaaten könnten „andere Sanktionen“ bei Verstößen festlegen.

Rechtsanwältin Dr. Katharina Küchler.

Haftungsverschärfung für natürliche Personen

Nach dem nunmehr eingebrachten Entwurf zum Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG) sieht es so aus, als würde der deutsche Gesetzgeber von dieser Möglichkeit Gebrauch machen. So sehen die Paragrafen 41–43 DSAnpUG Sanktionsmöglichkeiten bei Datenschutzverletzungen auch gegenüber natürlichen Personen vor. „Somit steigt das Haftungsrisiko für Datenschutzverletzungen mit der DSGVO nicht nur für Unternehmen, sondern auch für Geschäftsführer, Mitarbeiter und interne Datenschutzbeauftragte. Sie müssen bei Verstößen gegen die Datenschutzvorschriften oder ihre Aufsichtspflichten mit weitaus höheren Strafen rechnen als bisher“, erklärt Rechtsanwältin Dr. Katharina Küchler, Legal Department bei eco – Verband der Internetwirtschaft e.V. Und nicht nur das: „Bei Verstößen im Umgang mit personenbezogenen Daten drohen ihnen laut Paragraf 42 DSAnpUG über die Geldbußen hinaus strafrechtliche Sanktionen wie eine Freiheitsstrafe von bis zu drei Jahren“, ergänzt Dr. Küchler.

Um sich vor den harten Strafen zu schützen, sollten Unternehmen spätestens jetzt eine Compliance-Struktur aufbauen, also konkrete Grundsätze und Maßnahmen zur Einhaltung der Datenschutzregeln festlegen. Dabei sollten sie beispielsweise genau prüfen, welche Daten es in ihrem Unternehmen gibt, ob diese rechtssicher verarbeitet und gesetzeskonform mit Subunternehmen oder Filialen in anderen Ländern geteilt werden. Wichtig sind hierbei regelmäßige Audits, um zu prüfen, inwieweit das Unternehmen den gesetzlichen, datenschutzrechtlichen Anforderungen entspricht. Entscheidend ist auch, Management und Mitarbeiter in Bezug auf Datenschutz und -sicherheit zu schulen und sie für den Umgang mit personenbezogenen Daten zu sensibilisieren. Zudem können technische Lösungen unterstützen, etwa die Implementierung eines Datenmanagementsystems, um Daten sicher zu erfassen, zu speichern, zu verarbeiten und zu analysieren.

Externer Datenschutzbeauftragter verlagert Risiko

Verarbeitet ein Unternehmen besonders sensible Daten, erhebt oder übermittelt es personenbezogene Daten geschäftsmäßig oder beschäftigt es mindestens zehn Mitarbeiter, die personenbezogene Daten automatisiert verarbeiten – dann muss es einen Datenschutzbeauftragten bestellen. Dieser hilft dem Unternehmen, datenschutzkonform zu agieren. Gerade für kleine und mittelständische Unternehmen ist es oftmals schwierig, eigene Mitarbeiter mit dieser Aufgabe zu betrauen. Zudem müssen interne Datenschutzbeauftragte ihre Arbeit zwischen ihrem eigentlichen Beruf und der neuen Herausforderung aufteilen, aufwändige Schulungs- und Weiterbildungsmaßnahmen absolvieren und vor allem oder trotzdem besteht das Risiko der hohen Bußgelder.

„Die Bestellung eines externen Datenschutzbeauftragten kann eine gute Alternative sein, da diese Herausforderungen dadurch obsolet sind und vor allem das Haftungsrisiko nach außen getragen wird“, rät Dr. Küchler. Der Verband der Internetwirtschaft, eco, stellt seinen Mitgliedsunternehmen auf Wunsch diesen externen betrieblichen Datenschutzbeauftragten. Er berät unter anderem fachkundig bei der Erfüllung der datenschutzrechtlichen Anforderungen, schult die Mitarbeiter und führt auch Datenschutzaudits durch. Damit erfüllen Unternehmen ihre gesetzlichen Verpflichtungen.

Datenschutzänderungen müssen zeitnah erfolgen

Die EU-Datenschutz-Grundverordnung (EU-DSGVO) ist schon seit vergangenem Jahr in Kraft und am 25. Mai 2018 endet die Umsetzungsfrist. Die EU-DSGVO gilt dann in allen EU-Mitgliedstaaten und Bundesdatenschutzgesetz, Landesdatenschutzgesetze sowie die EU-Datenschutzrichtlinie 95/46 sind nicht mehr anwendbar beziehungsweise aufgehoben. Nachdem die ersten Referentenentwürfe aufgrund der sehr scharfen Kritiken zurückgezogen wurden, hat das Bundeskabinett am 1. Februar 2017 den Entwurf zum Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) beschlossen. Bei der ersten Lesung im Bundestag kam es am 9. März 2017 zu heftigen Debatten. Und am Tag darauf forderte der Bundesrat bei seiner ersten Beratung zu dem Thema umfassende Änderungen, beispielsweise im Hinblick auf Auskunfts- und Löschrechte. Angestrebt wird aber, bereits im Mai 2017 das deutsche Umsetzungsgesetz zur DSGVO im Bundesgesetzblatt zu veröffentlichen, um allen Beteiligten genug Zeit zu geben, sich auf die neue Rechtslage vorzubereiten.

(ID:44616417)