Behörden halten sich mit Geldstrafen noch zurück – Österreich verzeichnet stärksten Anstieg bei Beschwerden.

Foto: EY Rechtsanwalt Thomas Breuss: „Die Schonfrist wird bald vorbei sein“ Am 25. Mai wurde die Datenschutzgrundverordnung der Europäischen Union (DSGVO) ein Jahr alt – Zeit, eine erste Bilanz zu ziehen. Hat sich die DSGVO tatsächlich als „scharfes Schwert“ erwiesen? Gab es die erwarteten hohen Geldstrafen? EY Law hat untersucht, wie intensiv in verschiedenen europäischen Ländern von den Vollzugsmöglichkeiten Gebrauch gemacht wurde und dazu europaweit Daten von Aufsichtsbehörden angefragt sowie Tätigkeitsberichte der Aufsichtsbehörden und andere öffentlich zugängliche Quellen ausgewertet.

Das wichtigste Ergebnis der Analyse: Die europäischen Datenschutzbehörden waren bei der Anwendung der neuen Strafbestimmungen im Jahr 2018 insgesamt noch überaus zurückhaltend. In Österreich wurden nur vier Verwarnungen und drei Geldstrafen aufgrund von datenschutzrechtlichen Verstößen ausgesprochen. In Deutschland kam es zu 54 Verwarnungen, während in 42 Fällen Bußgelder verhängt wurden, die sich im Durchschnitt auf gut 16.100 Euro beliefen. Damit waren die deutschen Behörden im europäischen Vergleich am aktivsten. Die Anzahl der Verwarnungen war hingegen in den Niederlanden besonders hoch: Dort wurden 1.018 Verwarnungen gezählt, allerdings nur ein einziger Bußgeldbescheid in Höhe von 600.000 Euro gegen einen Mobilitätsdienstleister wegen eines Verstoßes gegen Sicherheit der Datenverarbeitung. Dieses Bußgeld war zugleich die höchste in der EU im Jahr 2018 verhängte Strafgebühr.

Verstöße werden schärfer geahndet. 

Immerhin in neun der 16 Länder, aus denen Daten vorliegen, wurde in keinem einzigen Fall ein Bußgeld verhängt. In sechs Ländern gab es nicht einmal eine Verwarnung wegen DSGVO-Verstößen. Inzwischen scheinen die Aufsichtsbehörden aber schärfer gegen Verstöße vorzugehen: Im Januar 2019 verhängte die französischen Aufsichtsbehörde CNIL gegen einen amerikanischen Suchmaschinenbetreiber ein Bußgeld in Höhe von 50 Millionen Euro wegen Verstößen gegen die Rechtmäßigkeit der Verarbeitung sowie der Transparenz- und Informationspflichten.

Thomas Breuss, Rechtsanwalt und Director bei EY Law Österreich (Pelzmann Gall Größ Rechtsanwälte): „Die Schonfrist wird bald vorbei sein. Wir erwarten, dass die europäischen Aufsichtsbehörden ihre Ankündigungen für das Jahr 2019 umsetzen und verstärkt zu höheren Geldstrafen greifen werden.“

Zwar war die Zahl der Geldstrafen und sonstiger Sanktionen im Jahr 2018 noch überschaubar – dennoch brachte das Jahr 2018 bereits einen enormen Anstieg von Datenschutzanfragen und -meldungen an die zuständigen Behörden. Denn neben der Durchsetzung des neuen Datenschutzrechts haben die Datenschutzbehörden auch die Aufgabe, zu beraten und zu sensibilisieren.

Beschwerden haben sich fast versechsfacht.

 „Österreich ist mit Abstand der Spitzenreiter beim Zuwachs der Datenschutzbeschwerden. Mit insgesamt 1.036 gab es 2018 um 564 Prozent mehr Beschwerden als im Vorjahr. Der zweitstärkste Zuwachs fällt mit 125 Prozent in Luxemburg deutlich niedriger aus. Da sich der Personalstand der Datenschutzbehörde natürlich nicht versechsfacht hat, verlängert sich die Verfahrensdauer erheblich. Das nehmen wir aktuell in unseren Verfahren vor der Datenschutzbehörde auch so wahr. Lediglich sieben Geldstrafen oder Verwarnungen stehen in einem kritischen Missverhältnis zu den 1.036 Datenschutzbeschwerden“, so Breuss.

Auch die Meldungen von Datenschutzpannen gemäß Artikel 33 DSGVO liegen in den untersuchten europäischen Ländern mit durchschnittlich 2.960 pro Behörde auf einem sehr hohen Niveau. Obwohl die Pflicht zur Meldung von Datenschutzverletzungen keine Neuerung ist, hat die DSGVO zu einer höheren Sensibilität geführt.

Breuss: „In den letzten Jahren hat Österreich enorm aufgeholt und könnte bald zu den datenschutzrechtlich starken Ländern wie Deutschland oder Frankreich aufschließen. Ich bin davon überzeugt, dass eine starke Datenschutzkultur ein erheblicher Wettbewerbsvorteil in der digitalen Zukunft sein wird. Es ist kein Zufall, dass viele innovative Länder auch außerhalb der EU, wie Israel oder die Schweiz, ebenfalls ein starkes Datenschutzrecht haben. Wir hoffen, dass eine vorausschauende Politik die Datenschutzbehörde stärkt und nicht riskiert, dass die Fortschritte der vergangenen Jahre wieder verspielt werden“.