Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: Bußgeld & Aufsicht

  • Abmahnung wegen Datenschutzverstoß erhalten: So reagieren Sie richtig

    Ein Schreiben mit kurzer Frist, einer vorformulierten Unterlassungserklärung und einer Kostennote: Abmahnungen wegen Datenschutzverstößen sind für viele kleine Unternehmen ein Schreckmoment. Seit der EuGH sowohl Verbraucherverbänden als auch Mitbewerbern ein Klagerecht bei DSGVO-Verstößen zugestanden hat, ist das Risiko gestiegen. Hinzu kommen Forderungen von Privatpersonen. Wer richtig reagiert, kann den Schaden begrenzen oder unberechtigte Forderungen abwehren.

    Schritt 1: Ruhe bewahren, Frist notieren

    Abmahnungen setzen meist kurze Fristen von einer bis zwei Wochen. Die Frist sollte ernst genommen werden, denn nach ihrem Ablauf droht eine einstweilige Verfügung oder Klage. Ignorieren ist keine Option. Ebenso wenig sollte die beigefügte Unterlassungserklärung ungeprüft unterschrieben werden.

    Schritt 2: Wer mahnt ab, und mit welchem Recht?

    • Verbraucherverbände müssen bestimmte Voraussetzungen erfüllen, etwa die Eintragung in die Liste qualifizierter Einrichtungen.
    • Mitbewerber müssen tatsächlich in einem konkreten Wettbewerbsverhältnis stehen.
    • Privatpersonen können Unterlassung und unter Umständen Schadensersatz verlangen, wenn ihre eigenen Daten betroffen sind.

    Bei auffälligen Serienforderungen, etwa nach Newsletter-Anmeldung mit sofortigem Auskunftsersuchen, kann ein Rechtsmissbrauch vorliegen. Der EuGH hat dies in seinem Urteil vom März 2026 anerkannt; siehe unseren Beitrag „Missbräuchliche Auskunftsersuchen“.

    Schritt 3: Liegt der Verstoß tatsächlich vor?

    Häufige Vorwürfe sind: Tracking ohne Einwilligung, dynamisch eingebundene Schriftarten oder Karten, fehlerhafte Datenschutzerklärung, Werbe-E-Mails ohne Einwilligung, unbeantwortete Auskunftsersuchen. Prüfen Sie den Vorwurf technisch und rechtlich und beheben Sie einen tatsächlichen Verstoß sofort. Praktische Hinweise geben unsere Beiträge zum Cookie-Banner und zur Datenschutzerklärung.

    Schritt 4: Die Unterlassungserklärung prüfen

    Eine strafbewehrte Unterlassungserklärung bindet dauerhaft. Verstößt das Unternehmen später erneut, wird eine Vertragsstrafe fällig. Vorformulierte Erklärungen sind oft zu weit gefasst, enthalten feste hohe Vertragsstrafen oder ein Schuldanerkenntnis. In vielen Fällen ist eine modifizierte Unterlassungserklärung sinnvoll, die nur den konkreten Verstoß erfasst und eine angemessene Vertragsstrafe vorsieht. Ob überhaupt eine Erklärung abgegeben werden sollte, hängt von der Berechtigung der Abmahnung ab.

    Schritt 5: Kosten und Schadensersatz

    Ob und in welcher Höhe Abmahnkosten zu erstatten sind, hängt vom Abmahnenden und von gesetzlichen Beschränkungen ab. Mitbewerber können bei bestimmten Datenschutzverstößen kleinerer Unternehmen nach dem UWG keinen Aufwendungsersatz verlangen. Schadensersatzforderungen von Privatpersonen setzen einen tatsächlich erlittenen Schaden voraus; Einzelheiten in unserer Zwischenbilanz zum DSGVO-Schadensersatz.

    Vorbeugen

    Die beste Verteidigung ist eine regelmäßig geprüfte Website und funktionierende Prozesse für Betroffenenanfragen. Ein jährlicher Datenschutz-Check der Website kostet wenig im Vergleich zu einer Abmahnung.

    Nicht jede Abmahnung ist berechtigt, aber jede verdient eine sorgfältige Prüfung; unterschreiben Sie die Unterlassungserklärung nie ungeprüft. Liegt Ihnen eine Abmahnung wegen eines Datenschutzverstoßes vor, prüfen wir sie kurzfristig und vertreten Sie. Schreiben Sie uns oder buchen Sie einen Termin.

  • NIS2-Umsetzungsgesetz in Kraft: Cybersicherheit trifft Datenschutz

    Nach langem Gesetzgebungsverfahren hat der Bundestag am 13. November 2025 das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) beschlossen; es ist am 6. Dezember 2025 in Kraft getreten. Es setzt die europäische NIS-2-Richtlinie um und erweitert den Kreis der Unternehmen mit gesetzlichen Cybersicherheitspflichten erheblich. Eine Übergangsfrist gibt es nicht. Viele mittelständische Unternehmen müssen nun klären, ob sie betroffen sind und wie die neuen Pflichten mit dem Datenschutz zusammenhängen.

    Wer ist betroffen?

    Das Gesetz erfasst Unternehmen in zahlreichen Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzwesen, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Unterschieden wird zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Maßgeblich sind neben dem Sektor vor allem Größenschwellen: In der Regel sind Unternehmen ab 50 Beschäftigten oder ab bestimmten Umsatz- und Bilanzschwellen erfasst. Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz. Unternehmen, bei denen die erfassten Tätigkeiten nur einen vernachlässigbaren Teil ausmachen, sollen nicht automatisch erfasst sein. Die Betroffenheit muss jedes Unternehmen selbst prüfen.

    Die wichtigsten Pflichten

    • Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Voraussetzung ist ein Unternehmenskonto („Mein Unternehmenskonto“).
    • Verlangt sind angemessene technische, operative und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken, etwa zu Notfallmanagement, Backups, Zugangskontrolle, Verschlüsselung und Sicherheit der Lieferkette.
    • Erhebliche Sicherheitsvorfälle sind in einem mehrstufigen Verfahren an das BSI zu melden.
    • Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und kann bei Pflichtverletzungen persönlich haften.

    Zusammenspiel mit der DSGVO

    NIS2 dient der Sicherheit von Netz- und Informationssystemen, die DSGVO dem Schutz personenbezogener Daten. Trotz unterschiedlicher Ziele überschneiden sich beide Regelwerke stark:

    • Ein Cyberangriff kann zugleich ein meldepflichtiger NIS2-Vorfall gegenüber dem BSI und eine meldepflichtige Datenschutzverletzung gegenüber der Datenschutzaufsicht nach Art. 33 DSGVO sein. Beide Meldungen haben eigene Fristen und Adressaten. Der Notfallplan sollte beide Wege abbilden; siehe unseren Beitrag „Ransomware-Angriff: Datenschutz-Notfallplan für KMU“.
    • Viele NIS2-Maßnahmen sind zugleich technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Ein integriertes Sicherheitskonzept spart Aufwand.
    • Die NIS2-Anforderungen an die Sicherheit der Lieferkette lassen sich mit der Prüfung von Auftragsverarbeitern verbinden.

    Auch nicht erfasste Unternehmen sind betroffen

    Wer selbst nicht unter das Gesetz fällt, kann als Zulieferer oder Dienstleister einer erfassten Einrichtung mittelbar betroffen sein. Kunden werden vermehrt vertragliche Sicherheitszusagen und Nachweise verlangen.

    Sinnvoll ist, Cybersicherheit und Datenschutz in einem gemeinsamen Managementsystem mit klaren Meldewegen für beide Regelwerke zusammenzuführen. Ob Ihr Unternehmen unter NIS2 fällt und wie sich die Prozesse abstimmen lassen, prüfen wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Ransomware-Angriff: Datenschutz-Notfallplan für KMU

    Am Montagmorgen startet kein Rechner, auf dem Bildschirm erscheint eine Lösegeldforderung: Ransomware-Angriffe treffen längst nicht mehr nur Konzerne, sondern zunehmend kleine und mittlere Unternehmen, Praxen und Kanzleien. Neben dem Betriebsausfall drohen datenschutzrechtliche Folgen, nämlich Meldepflichten, Benachrichtigungen und Schadensersatzforderungen. Ein solcher Angriff ist IT-Notfall, Betriebsnotfall und Datenschutzvorfall zugleich. Wer einen Notfallplan hat, verliert in der Krise keine Zeit.

    Warum ein Cyberangriff fast immer eine Datenpanne ist

    Ransomware verschlüsselt Daten und macht sie unzugänglich. Das allein ist bereits eine Verletzung der Verfügbarkeit personenbezogener Daten. Hinzu kommt, dass viele Angreifer vor der Verschlüsselung Daten kopieren und mit deren Veröffentlichung drohen („Double Extortion“). Damit liegt regelmäßig auch eine Verletzung der Vertraulichkeit vor. Beides kann eine Meldepflicht nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigungspflicht nach Art. 34 DSGVO auslösen. Die Grundlagen beschreibt unser Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Der Notfallplan: Die ersten 72 Stunden

    1. Betroffene Rechner vom Netz trennen, aber nicht ausschalten, wenn forensische Spuren gesichert werden sollen.
    2. Das Krisenteam zusammenrufen: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, gegebenenfalls externe IT-Forensik und Rechtsberatung.
    3. Besteht eine Cyberversicherung, deren Meldepflichten und Vorgaben beachten.
    4. Strafanzeige erstatten. Die Polizei verfügt über spezialisierte Ansprechstellen für Cybercrime.
    5. Klären, welche Systeme betroffen sind, welche Daten dort liegen und ob es Hinweise auf einen Datenabfluss gibt.
    6. Die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis informieren, notfalls als Erstmeldung mit späterer Ergänzung.
    7. Bei hohem Risiko, etwa wenn Gesundheits- oder Bankdaten abgeflossen sind, die Betroffenen benachrichtigen.
    8. Alle Schritte, Erkenntnisse und Entscheidungen dokumentieren.

    Lösegeld zahlen?

    Ermittlungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Datenschutzrechtlich beseitigt eine Zahlung die Meldepflicht nicht. Die Entscheidung sollte nicht ohne rechtliche Beratung getroffen werden.

    Haftung und Schadensersatz

    Ein Hackerangriff befreit das Unternehmen nicht automatisch von der Haftung. Der EuGH hat entschieden, dass der Verantwortliche nachweisen muss, dass seine Schutzmaßnahmen geeignet waren, und dass schon die begründete Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann; mehr dazu in unserem Beitrag „Schon die Angst vor Datenmissbrauch kann ein Schaden sein“. Eine sorgfältige Dokumentation der IT-Sicherheit ist daher auch im Haftungsfall wertvoll.

    Vorsorge: Was jetzt zu tun ist

    • mindestens eine Sicherung, die vom Netzwerk getrennt ist, und regelmäßige Wiederherstellungstests,
    • Zwei-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administratorkonten,
    • zeitnahe Updates, insbesondere für Firewalls und VPN-Gateways,
    • Phishing-Schulungen, denn die meisten Angriffe beginnen mit einer E-Mail,
    • ein schriftlicher Notfallplan mit Telefonliste, ausgedruckt, weil im Ernstfall die Systeme nicht funktionieren,
    • Reaktionszeiten und Meldepflichten der Dienstleister, geregelt im Auftragsverarbeitungsvertrag.

    Der beste Zeitpunkt für einen Notfallplan liegt vor dem Angriff. Ist Ihr Unternehmen bereits betroffen, unterstützen wir Sie auch kurzfristig bei Meldung und Kommunikation; ebenso erarbeiten wir mit Ihnen vorab einen Notfallplan. Kontakt aufnehmen oder Termin buchen.

  • EuGH Deutsche Wohnen: Bußgeld gegen Unternehmen nur bei Verschulden

    Wie Unternehmen für Datenschutzverstöße ihrer Beschäftigten haften und ob ein Bußgeld ein Verschulden voraussetzt, hat der Gerichtshof der Europäischen Union am 5. Dezember 2023 in der Rechtssache C-807/21 (Deutsche Wohnen) entschieden, gemeinsam mit einem litauischen Verfahren (C-683/21). Das Urteil hat erhebliche Bedeutung für die Bußgeldpraxis der deutschen Aufsichtsbehörden.

    Der Hintergrund

    Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hatte gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro verhängt, weil personenbezogene Daten von Mieterinnen und Mietern länger als erforderlich gespeichert worden waren. Das Landgericht Berlin stellte das Verfahren ein: Nach deutschem Ordnungswidrigkeitenrecht (§ 30 OWiG) könne ein Bußgeld gegen ein Unternehmen nur verhängt werden, wenn einer konkreten Leitungsperson ein Verstoß nachgewiesen werde. Das Kammergericht legte die Frage dem EuGH vor.

    Die Kernaussagen

    1. Ein Bußgeld kann unmittelbar gegen ein Unternehmen als Verantwortlichen verhängt werden. Es ist nicht erforderlich, den Verstoß zuvor einer identifizierten natürlichen Person, etwa einem Vorstandsmitglied, zuzurechnen. Die einschränkende deutsche Regelung ist insoweit mit der DSGVO nicht vereinbar. Unternehmen haften dabei für Verstöße ihrer Leitungspersonen, aber auch für Verstöße anderer Personen, die im Rahmen ihrer unternehmerischen Tätigkeit und in ihrem Namen handeln.
    2. Eine verschuldensunabhängige Haftung gibt es nicht. Ein Bußgeld darf nur verhängt werden, wenn der Verantwortliche den Verstoß vorsätzlich oder fahrlässig begangen hat. Dafür genügt es, dass er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, unabhängig davon, ob ihm bewusst war, gegen die DSGVO zu verstoßen.
    3. Gehört der Adressat zu einem Konzern, ist für die Bemessung des Bußgeldes der Unternehmensbegriff des europäischen Wettbewerbsrechts maßgeblich, also gegebenenfalls der Umsatz der gesamten wirtschaftlichen Einheit.

    Das Kammergericht muss nun auf dieser Grundlage über das Bußgeld gegen die Deutsche Wohnen entscheiden.

    Einordnung

    Das Urteil bestätigt im Ergebnis die Linie, die das Landgericht Bonn bereits im Verfahren gegen 1&1 vertreten hatte; wir berichteten im Beitrag „LG Bonn senkt DSGVO-Bußgeld gegen 1&1“. Für die Aufsichtsbehörden wird die Verhängung von Bußgeldern einfacher, weil sie keine konkrete Leitungsperson ermitteln müssen. Zugleich müssen sie aber ein Verschulden des Unternehmens darlegen. Eine reine Gefährdungshaftung scheidet aus.

    Was Unternehmen daraus ableiten sollten

    • Unternehmen haften für Verstöße, die im Rahmen ihrer Tätigkeit begangen werden. Klare Prozesse, Schulungen und Kontrollen sind deshalb unverzichtbar.
    • Der Fall zeigt, dass schon die zu lange Speicherung von Daten zu Millionenbußgeldern führen kann. Ein funktionierendes Löschkonzept gehört zur Basis-Compliance.
    • Wer nachweisen kann, dass er angemessene Vorkehrungen getroffen hat, verbessert seine Position bei der Frage des Verschuldens und der Bußgeldhöhe.
    • Tochtergesellschaften müssen damit rechnen, dass Bußgelder am Konzernumsatz bemessen werden.

    Die Haftung ist damit unmittelbar, aber nicht verschuldensunabhängig, und eine nachweisbar gute Datenschutzorganisation gewinnt weiter an Gewicht. In Bußgeldverfahren verteidigen wir Unternehmen und prüfen dabei insbesondere die Verschuldensfrage. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.

  • 1,2 Mrd. Euro Bußgeld gegen Meta: Folgen für US-Datentransfers

    Am 22. Mai 2023 hat die irische Datenschutzbehörde (Data Protection Commission, DPC) gegen Meta Platforms Ireland ein Bußgeld von 1,2 Milliarden Euro verhängt. Es ist das höchste Bußgeld seit Geltung der DSGVO. Gegenstand sind die Übermittlungen personenbezogener Daten europäischer Facebook-Nutzer in die USA. Meta hat angekündigt, gegen die Entscheidung vorzugehen.

    Der Hintergrund

    Das Verfahren ist eine direkte Folge des Schrems-II-Urteils des EuGH aus dem Jahr 2020. Nach dem Wegfall des Privacy Shields stützte Meta die Übermittlungen auf Standardvertragsklauseln in Verbindung mit zusätzlichen Maßnahmen. Die DPC kam zu dem Ergebnis, dass diese Maßnahmen die Risiken für die Grundrechte der Nutzer nicht ausräumten, die sich aus dem Zugriff US-amerikanischer Behörden ergeben.

    Die Rolle des Europäischen Datenschutzausschusses

    Bemerkenswert ist das Zustandekommen der Entscheidung. Der ursprüngliche Entscheidungsentwurf der irischen Behörde sah kein Bußgeld vor. Andere europäische Aufsichtsbehörden erhoben Einwände. Der Europäische Datenschutzausschuss (EDSA) fasste daraufhin im Streitbeilegungsverfahren nach Art. 65 DSGVO einen verbindlichen Beschluss, auf dessen Grundlage die DPC das Bußgeld verhängte.

    Die Anordnungen

    • Meta muss künftige Übermittlungen personenbezogener Daten in die USA innerhalb von fünf Monaten aussetzen.
    • Meta muss innerhalb von sechs Monaten die rechtswidrige Verarbeitung, einschließlich der Speicherung in den USA, von bereits rechtswidrig übermittelten Daten europäischer Nutzer beenden.

    Bedeutung für kleine und mittlere Unternehmen

    Auf den ersten Blick betrifft die Entscheidung nur einen Großkonzern. Die rechtliche Argumentation gilt aber für jedes Unternehmen, das Daten in die USA übermittelt oder US-Dienste nutzt: Standardvertragsklauseln allein genügen nicht, wenn der Empfänger Überwachungsgesetzen unterliegt und die Daten im Klartext verarbeiten kann. Das deckt sich mit der Linie, die etwa die österreichische Datenschutzbehörde zu Google Analytics vertreten hat.

    Hoffnung auf ein neues Abkommen

    Die EU-Kommission arbeitet an einem neuen Angemessenheitsbeschluss für die USA, dem sogenannten EU-US Data Privacy Framework. Grundlage ist eine Executive Order des US-Präsidenten vom Oktober 2022, die die Zugriffe der Nachrichtendienste beschränken und einen neuen Rechtsbehelfsmechanismus schaffen soll. Ob und wann der Beschluss erlassen wird, ist offen. Ebenso offen ist, ob er einer erneuten Überprüfung durch den EuGH standhalten würde.

    Was Unternehmen jetzt tun sollten

    1. Übermittlungen in die USA im Verzeichnis von Verarbeitungstätigkeiten erfassen und aktualisieren.
    2. Sicherstellen, dass die neuen Standardvertragsklauseln verwendet werden und ein Transfer Impact Assessment vorliegt.
    3. Wirksame zusätzliche Maßnahmen prüfen, etwa Verschlüsselung mit Schlüsselhoheit in der EU.
    4. Für kritische Anwendungen Alternativen mit Datenverarbeitung in der EU in Betracht ziehen.
    5. Die Entwicklung rund um das Data Privacy Framework verfolgen.

    Bis eine tragfähige Nachfolgeregelung für das Privacy Shield vorliegt, bleibt der Datentransfer in die USA ein Thema, das dokumentiert geprüft und regelmäßig neu bewertet werden muss. Wir unterstützen Sie dabei, Ihre US-Dienste rechtssicher aufzustellen. Zum Kontaktformular oder Termin buchen.

  • EuGH: Verbraucherverbände dürfen Datenschutzverstöße abmahnen

    Gegen Datenschutzverstöße gehen nicht nur Aufsichtsbehörden und betroffene Personen vor, sondern auch Verbraucherschutzverbände. Ob deren Klagerecht nach deutschem Recht mit der DSGVO vereinbar ist, war lange umstritten. Mit Urteil vom 28. April 2022 (Rs. C-319/20, Meta Platforms Ireland) hat der Gerichtshof der Europäischen Union die Frage zugunsten der Verbände geklärt.

    Der Ausgangsfall

    Der Verbraucherzentrale Bundesverband (vzbv) hatte gegen den Betreiber von Facebook geklagt. Gegenstand war das sogenannte App-Zentrum, in dem Nutzern kostenlose Spiele von Drittanbietern angeboten wurden. Beim Aufruf mancher Spiele wurde darauf hingewiesen, dass die App bestimmte Daten erhalten und in bestimmten Fällen im Namen des Nutzers posten dürfe. Der vzbv hielt die Informationen für unzureichend und sah darin unter anderem einen Verstoß gegen Datenschutz- und Verbraucherschutzrecht. Der Bundesgerichtshof legte dem EuGH die Frage vor, ob ein Verband ohne Auftrag eines Betroffenen überhaupt klagen darf.

    Die Entscheidung

    Der EuGH entschied, dass Art. 80 Abs. 2 DSGVO nationalen Regelungen nicht entgegensteht, nach denen Verbraucherschutzverbände unabhängig von der konkreten Verletzung der Rechte einer betroffenen Person und ohne entsprechenden Auftrag gerichtlich gegen mutmaßliche Datenschutzverstöße vorgehen können. Voraussetzung ist, dass die Verarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen beeinträchtigen kann. Es genügt, dass der Verband geltend macht, die Datenverarbeitung verletze die Rechte betroffener Personen nach der DSGVO; ein konkret Betroffener muss nicht benannt werden. Der EuGH betonte zudem, dass solche Verbandsklagen zu einem hohen Schutzniveau beitragen.

    Was bedeutet das für Unternehmen?

    Neben die Aufsichtsbehörden treten damit endgültig auch Verbände als Akteure der Datenschutzdurchsetzung. Besonders im Fokus stehen typischerweise Verstöße, die viele Verbraucher gleichzeitig betreffen: unzureichende Datenschutzhinweise, unwirksame Einwilligungen, problematische Cookie-Banner oder die Einbindung von Drittdiensten, wie sie zuletzt das LG München I im Google-Fonts-Fall beanstandet hat. Ein Verbandsverfahren beginnt in der Regel mit einer Abmahnung und der Aufforderung, eine strafbewehrte Unterlassungserklärung abzugeben.

    Offen: Klagen von Wettbewerbern

    Nicht entschieden hat der EuGH in diesem Verfahren, ob auch Mitbewerber Datenschutzverstöße als Wettbewerbsverstöße abmahnen dürfen. Diese Frage wird in der deutschen Rechtsprechung weiterhin unterschiedlich beantwortet und dürfte die Gerichte noch beschäftigen.

    Wie Unternehmen sich vorbereiten

    • Prüfen Sie Ihre verbrauchernahen Angebote wie Website, App, Online-Shop und Newsletter auf typische Verstöße.
    • Reagieren Sie auf eine Abmahnung fristgerecht, aber nicht übereilt. Eine vorschnell abgegebene Unterlassungserklärung bindet dauerhaft.
    • Lassen Sie prüfen, ob der Vorwurf zutrifft und ob die geforderte Erklärung zu weit gefasst ist.

    Neben den Aufsichtsbehörden müssen Unternehmen künftig verstärkt mit Abmahnungen von Verbraucherverbänden rechnen. Liegt Ihnen bereits eine solche Abmahnung vor, prüfen wir die Vorwürfe und vertreten Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.

  • 10,4 Mio. Euro Bußgeld: Videoüberwachung von Mitarbeitern

    Die Landesbeauftragte für den Datenschutz Niedersachsen hat Anfang Januar 2021 bekanntgegeben, dass sie gegen den Online-Händler notebooksbilliger.de AG ein Bußgeld in Höhe von 10,4 Millionen Euro verhängt hat. Grund ist eine nach Auffassung der Behörde unzulässige Videoüberwachung von Beschäftigten. Es handelt sich um eines der höchsten Bußgelder, die eine deutsche Datenschutzbehörde bislang ausgesprochen hat. Der Bescheid ist nicht rechtskräftig; das Unternehmen hat angekündigt, sich dagegen zu wehren.

    Was wurde dem Unternehmen vorgeworfen?

    Nach den Angaben der Behörde hatte das Unternehmen mindestens zwei Jahre lang Beschäftigte per Video überwacht, ohne dass hierfür eine Rechtsgrundlage bestand. Die Kameras erfassten unter anderem Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche. Das Unternehmen begründete die Überwachung mit der Verhinderung und Aufklärung von Straftaten sowie der Nachverfolgung von Warenströmen. Die Aufnahmen wurden nach Angaben der Behörde in vielen Fällen 60 Tage gespeichert und damit deutlich länger als erforderlich.

    Die rechtliche Bewertung

    Die Videoüberwachung von Beschäftigten ist ein erheblicher Eingriff in deren Persönlichkeitsrecht. Sie richtet sich nach § 26 BDSG bzw. Art. 6 Abs. 1 lit. f DSGVO und muss erforderlich und verhältnismäßig sein. Eine Überwachung zur Aufdeckung von Straftaten ist nach § 26 Abs. 1 Satz 2 BDSG nur zulässig, wenn ein begründeter Verdacht gegen konkrete Personen besteht und die Maßnahme zeitlich und räumlich begrenzt ist. Eine allgemeine, anlasslose Dauerüberwachung zur Abschreckung lässt sich darauf regelmäßig nicht stützen. Die Behörde betonte zudem, dass mildere Mittel wie stichprobenartige Taschenkontrollen beim Verlassen der Betriebsräume vorrangig zu prüfen seien.

    Checkliste: Videoüberwachung im Betrieb

    1. Den Zweck konkret festlegen, etwa Schutz vor Einbruch außerhalb der Geschäftszeiten oder Schutz von Kassenbereichen.
    2. Prüfen, ob es mildere Mittel gibt, etwa bessere Schlösser, Zugangskontrollen oder Alarmanlagen.
    3. Keine Kameras in Pausenräumen, Umkleiden oder Sanitärbereichen. Eine dauerhafte Überwachung von Arbeitsplätzen ist nur in absoluten Ausnahmefällen denkbar.
    4. Die Speicherdauer kurz halten. Aufsichtsbehörden halten in der Regel wenige Tage für ausreichend, um festzustellen, ob ein Vorfall vorliegt.
    5. Hinweisschilder an den Zugängen anbringen und ausführlich nach Art. 13 DSGVO informieren.
    6. Den Betriebsrat beteiligen, denn Videoüberwachung ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.
    7. Interessenabwägung, Eintrag im Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung dokumentieren.

    Der Eintrag in das Verarbeitungsverzeichnis ist Pflicht. Wie Sie es aufbauen, erklären wir in unserer Anleitung zum Verzeichnis von Verarbeitungstätigkeiten.

    Bußgeldhöhe und Rechtsschutz

    Die Höhe des Bußgeldes orientiert sich auch am Umsatz des Unternehmens. Dass Gerichte die Bemessung durchaus kritisch überprüfen, hat zuletzt das Landgericht Bonn gezeigt, das ein Millionenbußgeld deutlich herabgesetzt hat (dazu unser Beitrag „LG Bonn senkt DSGVO-Bußgeld gegen 1&1“). Wie das Verfahren um notebooksbilliger.de ausgeht, bleibt abzuwarten.

    Videoüberwachung „zur Sicherheit“ ist kein Freibrief. Wer Kameras betreibt oder plant, sollte prüfen, ob Arbeitsplätze erfasst werden, wie lange gespeichert wird und ob die Maßnahme dokumentiert begründet ist. Wir sehen uns Ihr Konzept an und begleiten auch die Verhandlungen mit dem Betriebsrat. Kontakt · Termin buchen

  • LG Bonn senkt DSGVO-Bußgeld gegen 1&1 auf 900.000 Euro

    Ende 2019 hatte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gegen den Telekommunikationsanbieter 1&1 ein Bußgeld von rund 9,55 Millionen Euro verhängt; wir hatten darüber berichtet. Nun hat das Landgericht Bonn mit Urteil vom 11. November 2020 (Az. 29 OWi 1/20 LG) entschieden: Das Bußgeld ist dem Grunde nach berechtigt, aber deutlich zu hoch. Das Gericht setzte es auf 900.000 Euro herab. Es handelt sich um eines der ersten gerichtlichen Urteile über ein Millionenbußgeld nach der DSGVO in Deutschland.

    Der Sachverhalt

    Eine Anruferin hatte sich gegenüber der Kundenhotline als Ehefrau eines Kunden ausgegeben und lediglich dessen Namen und Geburtsdatum genannt. Daraufhin erhielt sie seine neue Mobilfunknummer. Der BfDI sah darin einen Verstoß gegen Art. 32 DSGVO: Das Authentifizierungsverfahren im Callcenter sei nicht ausreichend gewesen, um Kundendaten vor unbefugtem Zugriff zu schützen.

    Die Entscheidung des Landgerichts

    Das Gericht bestätigte zunächst den Datenschutzverstoß und traf eine grundsätzliche Weichenstellung: Nach Auffassung des LG Bonn kann ein Bußgeld unmittelbar gegen das Unternehmen verhängt werden, ohne dass der Verstoß einer konkreten Leitungsperson nachgewiesen werden muss. Die Zurechnungsregeln des deutschen Ordnungswidrigkeitenrechts seien insoweit nicht maßgeblich; die DSGVO enthalte keine entsprechende Einschränkung. DSGVO-Bußgelder gegen Unternehmen sind damit gerichtlich grundsätzlich durchsetzbar, auch ohne Nachweis eines Fehlverhaltens der Geschäftsleitung.

    Bei der Höhe des Bußgeldes sah das Gericht den Verstoß jedoch als gering an. Es sei nicht zu einer massenhaften Herausgabe von Daten an Unberechtigte gekommen. Zudem habe das Authentifizierungsverfahren jahrelang unbeanstandet bestanden und es habe an verbindlichen Vorgaben für Callcenter gefehlt. Der Rechtsverstoß sei vermeidbar, aber nachvollziehbar gewesen. Auf dieser Grundlage hielt das Gericht ein Bußgeld von 900.000 Euro für angemessen.

    Bedeutung für das Bußgeldkonzept der Behörden

    Die deutschen Aufsichtsbehörden hatten 2019 ein Konzept zur Bußgeldbemessung vorgestellt, das sich stark am Umsatz des Unternehmens orientiert. Die Entscheidung aus Bonn wird in der Fachwelt überwiegend als Signal verstanden, dass Gerichte die Umstände des Einzelfalls, also Schwere, Dauer, Folgen und Verschulden, stärker gewichten und sich nicht allein an Umsatzzahlen orientieren. Ob die Entscheidung Bestand hat und welche Linie sich durchsetzt, bleibt abzuwarten.

    Was Unternehmen daraus lernen können

    • Wer telefonisch oder per E-Mail Auskünfte erteilt, braucht ein Verfahren, das die Identität des Anfragenden zuverlässig prüft. Name und Geburtsdatum reichen erkennbar nicht aus. Das gilt auch bei der Beantwortung von Auskunftsersuchen nach Art. 15 DSGVO.
    • Unternehmen können sich nicht darauf zurückziehen, dass ein einzelner Mitarbeiter einen Fehler gemacht hat. Organisation und Schulung sind Leitungsaufgabe.
    • Ein nachvollziehbar begründetes und dokumentiertes Sicherheitskonzept wirkt sich bei der Bußgeldbemessung positiv aus.
    • Wer Verstöße einräumt, Maßnahmen ergreift und mit der Behörde zusammenarbeitet, verbessert seine Position.

    Ein Bußgeldbescheid ist kein Schlusspunkt; die Höhe lässt sich gerichtlich überprüfen. Wichtig ist, die Einspruchsfrist von zwei Wochen nicht verstreichen zu lassen. Haben Sie einen Anhörungsbogen oder Bußgeldbescheid einer Datenschutzbehörde erhalten, verteidigen wir Sie im Verfahren. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.

  • Datenpanne melden: So reagieren Sie richtig in 72 Stunden

    Eine E-Mail mit Kundendaten geht an den falschen Verteiler, ein Firmenlaptop wird im Zug gestohlen oder ein Trojaner verschlüsselt den Server: Datenpannen passieren auch in gut organisierten Unternehmen. Dann muss schnell und richtig reagiert werden. Die DSGVO sieht in Art. 33 eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden vor, in bestimmten Fällen nach Art. 34 zusätzlich eine Benachrichtigung der betroffenen Personen.

    Was ist eine „Verletzung des Schutzes personenbezogener Daten“?

    Art. 4 Nr. 12 DSGVO versteht darunter jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind also nicht nur Hackerangriffe, sondern auch alltägliche Fehler: der offene E-Mail-Verteiler, der verlorene USB-Stick, der Brief an die falsche Adresse oder die versehentlich gelöschte Kundendatenbank ohne Backup.

    Wann muss gemeldet werden?

    Grundsätzlich ist jede Datenpanne der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Diese Ausnahme ist eng. Ein Risiko liegt etwa nahe, wenn Gesundheits-, Bank- oder Zugangsdaten betroffen sind, wenn viele Personen betroffen sind oder wenn die Daten in die Hände unbekannter Dritter gelangt sein können. Kein Risiko besteht dagegen häufig, wenn ein ordnungsgemäß verschlüsseltes Gerät verloren geht.

    Besteht voraussichtlich ein hohes Risiko, müssen zusätzlich die Betroffenen unverzüglich und in klarer, einfacher Sprache informiert werden (Art. 34 DSGVO). Sie sollen sich schützen können, etwa indem sie Passwörter ändern oder eine Kreditkarte sperren lassen.

    Die 72-Stunden-Frist

    Die Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wird, nicht erst, wenn alle Details geklärt sind. Wochenenden und Feiertage werden nicht ausgeklammert. Liegen noch nicht alle Informationen vor, darf die Meldung schrittweise erfolgen: Melden Sie zunächst, was Sie wissen, und reichen Sie weitere Angaben nach. Eine verspätete Meldung ist zu begründen.

    Notfallplan in fünf Schritten

    1. Schaden eindämmen: betroffene Systeme vom Netz nehmen, Zugänge sperren, Empfänger einer Fehlversendung um Löschung bitten.
    2. Geschäftsleitung und, falls vorhanden, den Datenschutzbeauftragten sofort einbinden.
    3. Das Risiko einschätzen: Welche Daten, wie viele Personen, welche möglichen Folgen?
    4. Die Aufsichtsbehörde informieren (die meisten Länderbehörden bieten Online-Formulare an) und gegebenenfalls die Betroffenen benachrichtigen.
    5. Den Vorfall intern dokumentieren. Das verlangt Art. 33 Abs. 5 DSGVO für jede Datenpanne, auch wenn keine Meldung erfolgt.

    Was gehört in die Meldung?

    Mindestens anzugeben sind: die Art der Verletzung, soweit möglich die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

    Vorsorge ist die beste Reaktion

    Unternehmen, die vorab Zuständigkeiten festlegen, eine Checkliste bereithalten und ihre Mitarbeitenden sensibilisieren, verlieren im Ernstfall keine wertvolle Zeit. Ebenso wichtig sind angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dass Aufsichtsbehörden Sicherheitsmängel ahnden, zeigt etwa das Bußgeld gegen einen Social-Media-Anbieter wegen unzureichender Datensicherheit. Wer einen Datenschutzbeauftragten hat, sollte ihn eng einbinden. Ob eine Benennungspflicht besteht, erläutern wir in unserem Beitrag zur 20-Personen-Regel. Verschweigen ist im Übrigen die schlechteste aller Optionen: Eine unterlassene Meldung kann selbst ein Bußgeld nach sich ziehen.

    Wenn bei Ihnen eine Datenpanne eingetreten ist, zählt jede Stunde. Wir helfen kurzfristig bei Bewertung und Meldung und erstellen auf Wunsch auch einen Notfallplan für die Zukunft. Schreiben Sie uns oder vereinbaren Sie online einen Termin.