6.5.3 Sanktionen nach der DSGVO

Ist der betroffenen Person ein materieller oder immaterieller Schaden aufgrund eines Verstoßes gegen die DSGVO entstanden, so hat diese einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter (Art 82 Abs 1 DSGVO).

Dabei haftet jeder an einer Verarbeitung beteiligte Verantwortliche für den Schaden der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Ein Auftragsverarbeiter haftet allerdings nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat (Art 82 Abs 2 DSGVO).

Um einen wirksamen Schadenersatz für die betroffene Person herzustellen, ordnet Art 82 Abs 4 DSGVO an, dass jeder Verantwortliche oder jeder Auftragsverarbeiter für den gesamten Schaden haftet, wenn mehrere Verantwortliche oder Auftragsverarbeiter bei der Verarbeitung involviert waren. Die Person, die den gesamten Schaden beglichen hat, hat nach Abs 5 leg cit einen Regressanspruch gegenüber den übrigen Beteiligten.

Keine Haftung ist jedoch gegeben, wenn der Verantwortliche oder der Auftragsverarbeiter nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist (Art 82 Abs 3 DSGVO).

§ 29 Abs 2 DSG sieht vor, dass für Klagen auf Schadenersatz in erster Instanz das mit der Ausübung der Gerichtsbarkeit in bürgerlichen Rechtssachen betraute Landesgericht zuständig ist, in dessen Sprengel der Kläger (Antragsteller) seinen gewöhnlichen Aufenthalt oder Sitz hat. Klagen (Anträge) können aber auch bei dem Landesgericht erhoben werden, in dessen Sprengel der Beklagte seinen gewöhnlichen Aufenthalt oder Sitz oder eine Niederlassung hat.

Neben dieser allgemeinen Haftung und Recht auf Schadenersatz sieht die DSGVO die Verhängung von Geldbußen vor. Zentrale Bestimmung, in welcher die allgemeinen Bedingungen für die Verhängung von Geldbußen einer rechtlichen Grundlage zugeführt werden, ist der Art 83 DSGVO. Dessen Abs 1 legt zunächst fest, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss.

Die Aufsichtsbehörde hat bei ihrer Entscheidung über die Verhängung einer Geldbuße und über deren Betrag jedenfalls bestimmte Faktoren zu berücksichtigen, die in Abs 2 leg cit dargelegt werden. Exemplarisch seien Folgende genannt:

• Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens (Buchstabe a)
• Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Buchstabe b)
• Etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters (Buchstabe e)
• Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind (Buchstabe g)
• Jegliche andere erschwerende oder mildernde Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste (Buchstabe k)

Die Abs 4 bis 6 des Art 83 DSGVO sehen unterschiedliche Höchstgrenzen der Geldbußen vor, je nachdem, um was für einen Verstoß es sich handelt. So normiert Abs 4, dass (im Einklang mit den in Abs 2 zu berücksichtigenden Faktoren) Geldbußen bis zu EUR 10,000.000,– oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs (je nachdem, welcher der Beträge höher ist) zu verhängen sind, wenn Verstöße gegen

• die Pflichten der Verantwortlichen und der Auftragsverarbeiter gem den Art 8, 11, 25 bis 39, 42 und 43 (Buchstabe a),
• die Pflichten der Zertifizierungsstelle gem den Art 42 und 43 (Buchstabe b),
• die Pflichten der Überwachungsstelle gem Art 41 Abs 4 (Buchstabe c)

vorliegen.

Empfindlich höher ist die Geldbuße gegen in Art 83 Abs 5 DSGVO genannte Verstöße, denn hier verschiebt sich die Höchstgrenze auf EUR 20,000.000,– oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Derartige Geldbußen (wieder im Einklang mit den in Abs 2 genannten Faktoren) können etwa bei Verstößen gegen

• die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gem den Art 5, 6, 7 und 9 (Buchstabe a),
• die Rechte der betroffenen Person gem den Art 12 bis 22 (Buchstabe b),
• die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gem den Art 44 bis 49 (Buchstabe c),
• alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden (Buchstabe d),
• Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gem Art 58 Abs 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Art 58 Abs 1 (Buchstabe e)

verhängt werden.

Die Geldbußen können gem Art 83 Abs 2 DSGVO zusätzlich zu oder anstelle von Maßnahmen nach Art 58 Abs 2 Buchstaben a bis h und j verhängt werden. Nach der verwiesenen Bestimmung ist es nämlich Aufsichtsbehörden gestattet, über die dort genannten Abhilfebefugnisse zu verfügen.

So fallen beispielsweise Warnungen an Verantwortliche oder Auftragsverarbeiter, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen, Verwarnungen des Verantwortlichen oder Auftragsverarbeiters, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat oder Anweisungen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen, darunter.