Eine Ende 2019 vom Handelsblatt durchgeführte Umfrage unter den Datenschutzbeauftragten der Länder zeigt, dass im Jahr 2019 auf Basis der DSGVO 187 Bußgelder verhängt wurden. Zuvor hatten die Aufsichtsbehörden erst 40 Strafen ausgesprochen. Sanktionen und die Höhe der Strafgelder richten sich dabei nach der Art der Verstöße. So spielt es eine Rolle, wie viele Personen die Verletzung betrifft, ob das Unternehmen absichtlich handelte oder sich die Firma kooperativ verhält.
„Nur, weil man von Millionenstrafen für Facebook und Co. hört, heißt das jedoch nicht, dass kleinere Unternehmen mit solchen enormen Summen belastet würden. Sanktionen sollen grundsätzlich bewirken, dass sich Unternehmen an die DSGVO halten und sich mit ihr auseinandersetzen. Oft erfolgen zunächst Mahnungen und eventuell folgende Strafen müssen verhältnismäßig sein. Erhalten Unternehmen eine Anfrage ihrer Datenschutzbehörde, sollten sie den Beistand eines Experten suchen. Es lassen sich Datenschutz-Verletzungen durch einfache Maßnahmen, bei denen Experten helfen können, abwenden“, erklärt Haye Hösel, Geschäftsführer der Hubit Datenschutz GmbH & Co. KG in Stuhr.
Nach Artikel 83 der DSGVO sind bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Jahresumsatzes möglich. Facebook droht infolge des Cambridge-Analytica-Skandals beispielsweise eine Strafzahlung im Milliardenbereich. Die bisher höchste Strafzahlung verhängte Frankreich gegen Google. Die französische Datenschutzbehörde CNIL legte eine Forderung von 50 Millionen Euro fest. In Deutschland liegt der höchste Bußgeldbescheid bei 14,5 Millionen Euro. Die „Welt“ stellte in einer Zusammenfassung der DSGVO-Bußgelder fest, dass die Durchschnittshöhe der Strafen in Deutschland bei circa 6.000 Euro lag.
Experten rechnen damit, dass es in Zukunft häufiger zu Bußgeldern kommt, da die Datenschutz-Behörden mehr Kontrollen angekündigt haben. Die Konferenz der unabhängigen Datenschutz-Aufsichtsbehörden des Bundes und der Länder (DSK) gab bekannt, ein einheitliches Konzept zur Bußgeld-Bemessung zu entwickeln. Abzuwarten bleibt, wie das Vorgehen gegen die großen IT-Konzerne enden wird. Sicher ist allerdings, dass die Verfahren gegen Google und Facebook aus der Sicht der Datenschützer erst der Anfang sein sollen.
