Dr. Anna-Lena Glander, Julian Rosenfeld
Zusammenfassung
Datenschutzverstöße im Unternehmen können nicht nur zu Reputationsschäden, sondern auch zu Sanktionen und erheblichen Bußgeldern sowie Schadensersatzansprüchen der ggf. in großer Anzahl betroffenen Personen führen und erhebliche wirtschaftliche Nachteile mit sich bringen.
Der Beitrag gibt einen Überblick über die möglichen Sanktionen und Haftungspflichten bei Datenschutzverstößen und zeigt, wie sich Unternehmen dafür schützen können bzw. wie sie sich im Fall der Fälle verhalten sollten.
1 Sanktionen von Datenschutzverstößen nehmen zu
Fast 10 Jahre nach Inkrafttreten und ca. 7 Jahre nach Geltung der Datenschutz-Grundverordnung ("DSGVO") in Deutschland werden Datenschutzverstöße durch die Aufsichtsbehörden heute streng verfolgt und geahndet.
Aufgrund der Möglichkeit der Aufsichtsbehörden, bei Datenschutzverstößen erhebliche Bußgelder zu verhängen, bergen Datenschutzverstöße für Unternehmen zunächst hohe wirtschaftliche Risiken. Das höchste in Deutschland verhängte Bußgeld betrug ca. 35 Mio. EUR, internationale Bußgelder haben bereits die Milliardenschwelle überschritten. Neben der Gefahr von hohen Bußgeldern drohen Unternehmen bei Verletzungen der Datenschutzvorschriften zudem Reputationsrisiken sowie weitere finanzielle Verluste durch Schadensersatzklagen von ggf. vielfach und in großer Anzahl Betroffenen.
Aufgrund der Komplexität und der großen Anzahl an gesetzlichen und behördlichen Vorgaben zum Datenschutz ist es für Unternehmen aber oftmals schwierig, die an sie gesetzten Anforderungen vollständig zu erfüllen. Die Praxis zeigt, dass es selbst bei Unternehmen, die bereits Maßnahmen zum Datenschutz implementiert haben, z. B. aufgrund von externen Angriffen oder Unachtsamkeiten einzelner Mitarbeiter zu Datenschutzverstößen kommen kann. Umso mehr gilt dies für Unternehmen, die bislang nur wenige, nicht ausreichende oder gar keine Maßnahmen umgesetzt haben.
Vor diesem Hintergrund und der erheblichen Praxisrelevanz wird in diesem Beitrag gezeigt,
- wie auch Ihr Unternehmen Datenschutzverstöße bestmöglich vermeiden kann (s. Kap. 2),
- welche Konsequenzen im Falle eines dennoch eingetretenen Verstoßes zu erwarten sind (s. Kap. 3) und
- wie eine Verteidigungsstrategie im potenziellen Bußgeldverfahren und im Fall von geltend gemachten Schadensersatzansprüchen aussehen könnte (s. Kap. 4).
2 Vermeidung von Datenschutzverstößen
Wie bereits eingangs erläutert, gibt es eine Vielzahl gesetzlicher und behördlicher Vorgaben zum Datenschutz. Unternehmen müssen sich mit diesen Vorgaben auseinandersetzen, um datenschutzkonform handeln zu können und Datenschutzverstöße zu vermeiden. Vorbehaltlich der im Einzelfall relevanten Details und Einzelfragen gibt es eine gewisse Schnittmenge an Strukturen und Grundsätzen, die erfahrungsgemäß in einem Unternehmen implementiert werden sollten bzw. müssen, um eine solide Basis zu schaffen, auf der die jeweiligen datenschutzrechtlichen Themen im Einzelnen umgesetzt und Verstöße vermieden werden können. Relevant sind z. B. folgende Aspekte:
- Datensicherheit: Der Schutz von personenbezogenen Daten ist ein elementarer Bestandteil des Datenschutzes, dessen Missachtung sowohl Bußgeldverfahren als auch Ansprüche auf Schadensersatz auslösen kann. Es ist daher unerlässlich, ausreichende und effektive Sicherheitsvorkehrungen zu treffen, die insbesondere vor dem Verlust sowie der unbefugten Offenlegung der Daten schützen und jeweils dem aktuellen Stand der Technik entsprechen. Als Orientierungshilfe für solche Schutzmaßnahmen kann z. B. der IT-Grundschutz des BSI oder auch die Checkliste für technische und organisatorische Maßnahmen des Bayrischen Landesamtes für Datenaufsicht dienen. Ebenfalls kann insbesondere bei Unternehmen, die als Auftragsverarbeiter tätig sind, eine Zertifizierung des unternehmenseigenen Informationssicherheitssystems nach der ISO-Norm 27001 hilfreich sein, mit der gleichzeitig die erste Stufe des Datenschutz-Audits durch den Verantwortlichen erfüllt werden kann.
- Privacy by Design and Default: Unternehmen sollten sicherstellen, dass bereits bei der Entwicklung neuer Prozesse oder dem Einkauf neuer Produkte von Beginn an die Einhaltung der datenschutzrechtlichen Voraussetzungen sichergestellt wird. Dementsprechend sollte auch darauf geachtet werden, datenschutzfreundliche Prozesse und Systeme (technisch) zu entwickeln und zu integrieren. Um dies sicherzustellen, sollten frühzeitig der Datenschutzbeauftragte oder auf Datenschutz spezialisierte externe Berater (z. B. Rechtsanwälte) hinzugezogen werden. Bereits bestehende, nicht rechtskonforme Unternehmensprozesse oder Kundenangebote im Nachhinein noch so abzuändern, dass sie den Datenschutzanforderungen entsprechen, gestaltet sich meist sowohl aus technischer als auch aus unternehmenspolitischer Sicht schwierig und oftmals teu(r)er.
- Awareness: Datenschutz – wie auch sonstige Compliance-Regeln – funktionieren nur, wenn sie im Unternehmen auch gelebt werden. Vor diesem Hinter...