Verstoß gegen Datenschutzgesetze: Müssen Sie wirklich hohe Geldstrafen befürchten?

Hohe DSGVO-Strafen von bis zu 20 Millionen Euro sind möglich, doch als durchschnittliches KMU müssen Sie diese Höchstbeträge in der Regel nicht fürchten. Bei der Festlegung einer Strafe berücksichtigt die niederländische Datenschutzbehörde (AP) die Schwere des Verstoßes und die Größe Ihres Unternehmens. Daher fällt eine mögliche Strafe für kleinere Unternehmen meist deutlich geringer aus als die in den Medien oft genannten Millionenbeträge. Dennoch ist das Risiko real genug, um Ihre Datenschutzangelegenheiten ernsthaft zu regeln: Selbst eine „niedrigere“ Strafe kann teuer werden, und die AP legt zunehmend Wert auf Abhilfemaßnahmen und die Zahlung von Strafen.

Was ist eine DSGVO-Strafe?

Die Datenschutz-Grundverordnung (DSGVO) regelt, wie Organisationen mit personenbezogenen Daten umgehen müssen. In den Niederlanden ist die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) die zuständige Aufsichtsbehörde. Verstößt eine Organisation gegen ihre Pflichten, kann die Datenschutzbehörde verschiedene Maßnahmen ergreifen

• Eine Warnung oder Rüge – eine formelle Aufforderung zur Behebung des Verstoßes.
• Bei einer Bestellung, für die eine Strafzahlung anfällt , müssen Sie innerhalb einer bestimmten Frist eine Korrektur vornehmen, andernfalls wird eine Strafzahlung fällig.
• Eine Verwaltungsstrafe – eine Geldstrafe als Sanktion für den Verstoß.

Eine Geldbuße ist daher nicht das einzige und oft auch nicht das erste Mittel. In der Praxis setzt die Straßenverkehrsbehörde häufig zunächst auf Abhilfemaßnahmen: Sie erhalten die Möglichkeit, den Verstoß zu beenden, bevor eine Geldbuße verhängt wird. Dennoch ist es ratsam, das System der Geldbußen zu kennen, um das finanzielle Risiko realistisch einschätzen zu können.

Wie hoch kann eine Geldbuße gemäß DSGVO ausfallen?

Die DSGVO sieht zwei gesetzliche Höchststrafen vor. Welche anwendbar ist, hängt von der Art des Verstoßes ab. In jedem Fall gilt der höhere der beiden Beträge: der Prozentsatz oder der feste Betrag

• Bei Verstößen gegen zusätzliche administrative Pflichten, wie das Fehlen eines Verarbeitungsregisters oder einer Auftragsverarbeitungsvereinbarung, drohen Geldstrafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
• Bei schwerwiegenderen Verstößen, wie der Verletzung der Grundprinzipien der DSGVO oder der Rechte betroffener Personen, drohen Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes

Wichtig zu verstehen: Es handelt Höchstbeträge, nicht um Standardbeträge. Die Millionen-Euro-Strafen, über die in den Nachrichten berichtet wird, betreffen fast immer große (oft international tätige) Unternehmen mit enormen Umsätzen und schwerwiegenden, groß angelegten Verstößen. Für den durchschnittlichen KMU sind diese Beträge völlig unerreichbar.

Wie berechnet die niederländische Datenschutzbehörde eine Geldbuße?

Die niederländische Datenschutzbehörde (AP) arbeitet seit 2023 mit aktualisierten Bußgeldrichtlinien. Für Unternehmen orientiert sich die AP bei der Berechnung von Bußgeldern an den europäischen Leitlinien. Ein wichtiger Unterschied zum alten System besteht darin, dass die Unternehmensgröße nun von Anfang an in die Berechnung einbezogen wird. Dadurch entspricht das Bußgeld besser der tatsächlichen finanziellen Leistungsfähigkeit. Im Wesentlichen funktioniert das System wie folgt:

1. Der gesetzliche Höchstbetrag wird ermittelt. Die AP prüft zunächst, ob der Verstoß unter die mildere (2 % / 10 Millionen) oder die härtere (4 % / 20 Millionen) Regelung fällt.
2. Der Schweregrad des Verstoßes wird klassifiziert. Die AP kategorisiert Verstöße nach Schweregrad. Je schwerwiegender der Verstoß, desto höher ist der Anteil der Höchststrafe, der als Ausgangspunkt dient. Geringfügige Verstöße führen zu einem deutlich niedrigeren Ausgangspunkt als schwerwiegende.
3. Die Unternehmensgröße bestimmt die Höhe des Bußgeldes. Ein Unternehmen mit geringem Umsatz zahlt nur einen Bruchteil des Bußgeldes, das für ein Großunternehmen gelten würde. Dies reduziert die Geldbuße erheblich, insbesondere für KMU.
4. Erschwerende und mildernde Umstände. Anschließend prüft die AP die konkreten Umstände: die Dauer des Verstoßes, die Anzahl der Beteiligten, ob Sie vorsätzlich oder fahrlässig gehandelt haben und ob Sie kooperiert und den Schaden begrenzt haben. Bei wiederholten Verstößen fällt die Geldbuße höher aus.

Das Ergebnis: Es gibt keine festgelegte Strafe pro Verstoß. Zwei Unternehmen, die formal gegen dieselbe Regel verstoßen, können je nach Größe und Umständen sehr unterschiedliche Bußgelder erhalten.

Die in älteren Artikeln und Richtlinien (mit festen Bußgeldern pro Kategorie) festgelegten Bußgeldbeträge sind veraltet. Rechnen Sie daher nicht anhand veralteter Tabellen; das aktuelle System berücksichtigt explizit Ihre Unternehmensgröße.

Wann riskieren Sie als Unternehmer eine Geldstrafe?

Die AP kann bei verschiedenen Verstößen Maßnahmen ergreifen. Häufige Risikobereiche für KMU-Unternehmer sind:

• Kein oder nur ein unvollständiges Verarbeitungsverzeichnis. Viele Organisationen sind verpflichtet, Aufzeichnungen darüber zu führen, welche personenbezogenen Daten sie verarbeiten und warum.
• Fehlende Datenverarbeitungsvereinbarungen. Wenn Sie einen externen Dienstleister mit der Verarbeitung personenbezogener Daten in Ihrem Auftrag beauftragen (z. B. einen Cloud-Dienst oder eine Buchhaltungssoftware), müssen Sie diesbezüglich schriftliche Vereinbarungen treffen.
• Keine oder nur eine unzureichende Datenschutzerklärung. Sie müssen Besucher und Kunden klar darüber informieren, was Sie mit ihren Daten tun.
• Cookies ohne gültige Einwilligung. Das Platzieren von Tracking- und Marketing-Cookies ohne vorherige Einwilligung ist ein häufiger Fehler.
• Die Nichtbeachtung oder zu späte Beantwortung der Rechte von betroffenen Personen, wie beispielsweise eines Antrags auf Auskunft oder Löschung.
• Versäumnis, eine Datenschutzverletzung (zeitnah) zu melden, wenn dazu verpflichtet ist.

Bei Weitem nicht jeder Verstoß führt direkt zu einer Geldstrafe. Sie erhöhen jedoch Ihr Risiko und können bei einer Kontrolle oder einer Beschwerde den Unterschied zwischen einer freundlichen Ermahnung und einem Bußgeldverfahren ausmachen.

Eine Beschwerde eines (ehemaligen) Kunden oder Mitarbeiters ist oft der Auslöser für eine Untersuchung. Auch in kleinen Unternehmen kann eine unzufriedene betroffene Person, die sich an den Datenschutzbeauftragten wendet, den Stein ins Rollen bringen. Bearbeiten Sie daher Anfragen auf Auskunft oder Löschung Ihrer Daten unbedingt ernst und zeitnah.

Wie kann man eine DSGVO-Strafe vermeiden?

Die günstigste Strafe ist die, die man nie erhält. Mit einigen konkreten Schritten können Sie Ihre Datenschutzrichtlinien in Ordnung bringen:

1. Erstellen Sie ein Verarbeitungsverzeichnis und halten Sie es stets aktuell. Dies ist häufig der Ausgangspunkt jeder Datenschutzprüfung. Das DSGVO-Verarbeitungsverzeichnis.
2. Schließen Sie mit allen Ihren Lieferanten, die personenbezogene Daten für Sie verarbeiten, eine umfassende Datenverarbeitungsvereinbarung ab .
3. Veröffentlichen Sie eine klare Datenschutzerklärung auf Ihrer Website und halten Sie diese auf dem neuesten Stand.
4. Verwalten Sie Ihre Cookies korrekt – mit einem aussagekräftigen Cookie-Banner und einer klaren Erklärung.
5. Legen Sie ein Verfahren für Datenschutzverletzungen und Anfragen betroffener Personen fest , damit Sie innerhalb der vorgegebenen Fristen reagieren können.
6. Führen Sie regelmäßige Überprüfungen durch. Gesetze, Vorschriften und Ihre eigenen Prozesse ändern sich; regelmäßige Kontrollen gewährleisten die Einhaltung der Vorschriften.

Sie sind sich unsicher, wie Ihre Rechtslage aussieht? Ein kurzer Datenschutzcheck deckt schnell die größten Risiken auf. Unsere Rechtsexperten beraten Sie gerne zu Datenschutz und Datensicherheit.

Was tun Sie im Falle einer Inspektion oder eines Bußgelds durch die niederländische Datenschutzbehörde?

Stehen Sie vor einer Untersuchung, einer Informationsanfrage oder einer (vorgeschlagenen) Geldstrafe seitens der Polizei? Dann handeln Sie umgehend:

• Ignorieren Sie keine Korrespondenz. Antworten Sie umgehend und vollständig; Kooperation kann sich zu Ihrem Vorteil auswirken.
• Den Schaden begrenzen. Den Verstoß so schnell wie möglich beenden und die ergriffenen Abhilfemaßnahmen dokumentieren.
• Informieren Sie sich über das Verfahren. Eine Mitteilung über die beabsichtigte Verhängung einer Geldbuße stellt noch keine endgültige Entscheidung dar. Sie können eine Stellungnahme einreichen und später Einspruch erheben.
• Suchen Sie rechtlichen Beistand. Eine gut begründete Stellungnahme kann eine Geldstrafe verhindern, reduzieren oder in eine mildere Maßnahme umwandeln.

Unsere Spezialisten sind mit den Durchsetzungspraktiken der niederländischen Datenschutzbehörde und unterstützen Sie während des gesamten Prozesses.

Häufig gestellte Fragen zu DSGVO-Bußgeldern

Wie hoch ist die DSGVO-Strafe für ein KMU?

Es gibt keinen festen Betrag. Die AP berücksichtigt die Schwere des Verstoßes sowie die Größe Ihres Unternehmens. Daher fällt die Geldbuße für kleinere Unternehmen in der Regel deutlich niedriger aus als die gesetzlichen Höchstbeträge von 10 oder 20 Millionen Euro. In der Praxis gelten diese Höchstbeträge vor allem für große Unternehmen, die schwere und umfangreiche Verstöße begehen.

Werde ich wegen Verstoßes gegen die DSGVO sofort mit einer Geldstrafe belegt?

Nicht unbedingt. Die AP verfügt über verschiedene Instrumente und entscheidet sich in der Regel zunächst für Abhilfemaßnahmen oder eine Anordnung, die mit einer Geldbuße verbunden ist. Ob anschließend eine Geldbuße verhängt wird, hängt von der Schwere des Verstoßes, den Umständen und Ihrer Kooperation ab.

Gilt die DSGVO auch für Freiberufler und Kleinunternehmen?

Ja. Die DSGVO gilt für alle Organisationen, die personenbezogene Daten verarbeiten, unabhängig von ihrer Größe – also auch für Freiberufler und kleine Unternehmen. Die Größe Ihres Unternehmens spielt keine Rolle für die Pflicht zur Einhaltung der DSGVO, beeinflusst aber die Höhe eines möglichen Bußgeldes.

Worin besteht der Unterschied zwischen den beiden Bußgeldhöchstgrenzen der DSGVO?

Der niedrigere Höchstbetrag (bis zu 2 % des weltweiten Jahresumsatzes oder 10 Millionen Euro) gilt für leichtere Ordnungswidrigkeiten, wie beispielsweise ein fehlendes Verarbeitungsverzeichnis. Der höhere Höchstbetrag (bis zu 4 % oder 20 Millionen Euro) gilt für schwerwiegendere Verstöße, wie etwa die Verletzung der Grundprinzipien der DSGVO oder der Rechte betroffener Personen. In beiden Fällen gilt der jeweils höhere Prozentsatz oder der höhere Betrag.

Wird mein Umsatz bei der Berechnung der Geldstrafe berücksichtigt?

Ja. Seit der Aktualisierung der Strafrichtlinien spielt die Unternehmensgröße bei der Berechnung der Strafe eine entscheidende Rolle. Unternehmen mit geringerem Umsatz unterliegen einer niedrigeren Ausgangsstrafe, wodurch die Strafe besser ihrer finanziellen Leistungsfähigkeit entspricht.

Kann ich gegen eine DSGVO-Strafe Einspruch erheben?

Ja. Eine Mitteilung über die beabsichtigte Verhängung einer Geldbuße stellt noch keine endgültige Entscheidung dar; Sie können zunächst eine Stellungnahme einreichen. Gegen eine endgültige Geldbußenentscheidung können Sie Einspruch und anschließend Berufung einlegen. Lassen Sie sich diesbezüglich gut beraten, da eine stichhaltige Begründung entscheidend sein kann.

Probleme vermeiden: Schützen Sie Ihre Privatsphäre richtig

Die Strafen für Verstöße gegen Datenschutzgesetze sind beträchtlich, doch als Unternehmer in einem kleinen oder mittelständischen Unternehmen müssen Sie selten Millionenbeträge fürchten. Viel wichtiger ist es, die Grundlagen zu beachten: ein aktuelles Verarbeitungsverzeichnis, rechtssichere Datenverarbeitungsvereinbarungen und eine klare Datenschutzerklärung. So minimieren Sie nicht nur das Risiko von Strafen, sondern vermeiden auch Reputationsschäden und Ärger mit Kunden und Aufsichtsbehörden.

Möchten Sie sichergehen, dass Ihre DSGVO-Angelegenheiten korrekt sind, oder droht Ihnen eine Untersuchung oder ein Bußgeld der niederländischen Datenschutzbehörde? Unsere Datenschutzanwälte beraten Sie gern. Vereinbaren Sie ein Erstgespräch und regeln Sie Ihre Datenschutzangelegenheiten sorgenfrei.