Wie werden Bußgelder, die im Rahmen der neuen DSGVO gegen Unternehmen verhängt werden können, genau berechnet? Zu dieser Frage herrschte auch nach Inkrafttreten der Datenschutzgrundverordnung lange Unklarheit. Jetzt wurden Details dazu bekanntgegeben.

Die Datenschutzgrundverordnung (DSGVO), welche das Recht natürlicher Personen auf Schutz ihrer personenbezogenen Daten wahren soll, ist bekanntlich 2018 in Kraft getreten. Für Datenschutzverstöße ist dort ein Bußgeldrahmen von bis zu 20 Millionen Euro oder vier Prozent des weltweit erzielten Umsatzes festgelegt, wobei die höhere Summe maßgeblich ist. Unklarheit bestand bislang über die konkrete tatsächliche Bemessung von Bußgeldern gegenüber Unternehmen. Nunmehr hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder ihr Berechnungsmodell offengelegt.

Kompliziertes mehrstufiges Verfahren

Die konkrete Berechnung erfolgt in mehreren Schritten. Zunächst wird das betroffene Unternehmen einer bestimmten Größenklasse zugeordnet, die sich am Jahresumsatz orientiert. Dann wird der mittlere Jahresumsatz ermittelt und anschließend der wirtschaftliche Grundwert. Letzterer orientiert sich am Tagessatz. Dies ist der mittlere Umsatz dividiert durch 360. Dieser Wert wiederum wird multipliziert mit einem Faktor, welcher die Schwere der Tat berücksichtigt und schließlich anhand später bezogener und sonstiger noch nicht berücksichtigter Umstände angepasst. Letzteres sind insbesondere im Vorfeld getroffene Maßnahmen zur Schadensbeseitigung.

Eine Beispielrechnung

Tendenziell dürften Strafen zukünftig höher ausfallen. Das Gesetz soll abschreckend wirken. Selbst bei lediglich geringen Verstößen wird der Tagessatz mit Faktor 1 bis 4 multipliziert werden. Hat ein Unternehmen beispielsweise einen Jahresumsatz von 90 Millionen Euro, beträgt der Tagessatz 250.000 Euro und gibt dann die Möglichkeit, ein Bußgeld zwischen 250.000 Euro und 1 Million Euro festzusetzen. Bei 9 Millionen Jahresumsatz beträgt der einfache Tagessatz immer noch  25.000,00 Euro.

Aus Sicht der betroffenen Unternehmen bedeutet insbesondere die Orientierung am Umsatz (anstelle der Ertragskraft) ein immenses wirtschaftliches Risiko bei Datenschutzverstößen. Allerdings unterliegen verhängte Bußgelder immer noch einer gerichtlichen Überprüfung

Die genannten Beispiele belegen, welchen hohen Stellenwert der Datenschutz gerade im unternehmerischen Bereich einnehmen muss, um existenzgefährdende Risiken zu vermeiden.

Bildquelle: Wael Khalill alfuzai/shutterstock