DSGVO: Rechtsdurchsetzung und Strafen

Allgemeine Informationen zu Rechtsfolgen bei Datenschutzverstößen

Verstöße gegen Datenschutz können schnell passieren, daher können auch Sanktionen bei Datenschutzverstößen jedes Unternehmen treffen, das personenbezogene Daten verarbeitet. Für Datenschutzverletzungen können insbesondere haften:

• Unternehmen jeder Größe (KMU ebenso wie Großunternehmen)
• Unternehmen jeder Rechtsform (juristische Personen wie eine GmbH ebenso wie Einzelunternehmer:innen oder Personengesellschaften)
• Alle an der Verarbeitung beteiligten Unternehmen 

Die Höhe der Sanktionen soll verhältnismäßig und abschreckend sein. Deshalb drohen Ihrem Unternehmen höhere Strafen, wenn Sie einen schwerwiegenden Verstoß begehen (z. B. wenn Ihr Unternehmen überhaupt keine Datensicherheitsmaßnahmen setzt oder Videoüberwachungen von Toiletten der Mitarbeitenden durchführt). 

Es muss daher kein einzelner Mitarbeitender oder keine Führungskraft „schuldig“ gesprochen werden. Der Verstoß muss daher nicht unbedingt auf Ebene der Geschäftsleitung erfolgt sein. Es ist außerdem nicht entscheidend, ob die Geschäftsführung vom Verstoß wusste.

Verantwortliche können auch für Fehlverhalten ihrer Auftragsverarbeiter verantwortlich gemacht werden, wenn diese bei der Auswahl, Kontrolle oder Instruktion des Auftragsverarbeiters Sorgfaltspflichten verletzt haben (Auswahlverschulden). 

Wann liegt ein Datenschutzverstoß vor?

Unternehmen verstoßen gegen Datenschutzvorgaben, wenn sie ihre Pflichten betreffend die Verarbeitung personenbezogener Daten nicht erfüllen. 

Ein Datenschutzverstoß liegt (vereinfacht) immer dann vor, wenn Unternehmen personenbezogene Daten verarbeiten, ohne ihre damit einhergehenden Pflichten aus der DSGVO oder dem DSG einzuhalten.

• Datenschutz-Pflichten für Verantwortliche ($Link FAQ zum Verantwortlichen_Welche Pflichten müssen Verantwortliche erfüllen? 
• Datenschutz-Pflichten für Auftragsverarbeiter ($Link FAQ zum Auftragsverarbeiter_Welche Pflichten gelten für Auftragsverarbeiter?)
  

Beispiele für Datenschutzverstöße
Unternehmen X hält die Frist für die Data-Breach-Meldung ($Link Data Breach Meldung) nicht ein, Unternehmen Y kooperiert nicht mit der Aufsichtsbehörde, Unternehmen Z missachtet die Vorgaben für die Sicherheit der Verarbeitung.

Wie können betroffene Personen ihre Datenschutz-Rechte geltend machen?

Betroffene Personen ($Link Begriffsbestimmungen_Betroffene Person) können sich an folgende Stellen wenden um ihre Rechte bzw. eine datenschutzrechtliche Verletzung gelten zu machen:

1. Direkt beim Verantwortlichen (und damit an Sie)
   1. Geltendmachung der Betroffenenrechte ($Link Betroffenenrechte) direkt beim Verantwortlichen 
2. Bei der Datenschutzbehörde (DSB)
   1. Beschwerde bei der DSB
   2. Anregung eines amtswegigen Prüfverfahrens bei der DSB
3. Bei den Zivilgerichten
   1. Klage vor dem Zivilgericht
4. Bei der Exekutive
   1. Strafanzeige bei der Polizei
      

Geltendmachung der Betroffenenrechte direkt beim Verantwortlichen

Die Betroffenenrechte sind direkt beim Verantwortlichen geltend zu machen. Die Aufsichtsbehörde entscheidet hier bei Streitigkeiten in der 1. Instanz. Nähere Informationen dazu finden Sie hier (LINK zu Betroffenenrecht - Welche Rechte Betroffene haben und welche Pflichten sich daraus für Verantwortliche ergeben)

Beschwerde bei der Datenschutzbehörde

Betroffene Personen können eine Beschwerde bei der Datenschutzbehörde (DSB) einreichen, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO oder gegen das DSG verstößt.

Die Beschwerde ist das wichtigste Rechtsschutzinstrument der DSGVO für betroffene Personen. Beschwerden bei der DSB müssen bestimmte formale Bedingungen erfüllen. Details dazu finden Sie unter § 24 DSG oder unter dsb.gv.at.

Anregung eines amtswegigen Prüfverfahrens

Die DSB kann ein amtswegiges Prüfverfahren einleiten, wenn eine Verletzung des Datenschutzrechts (DSG, DSGVO) behauptet wird. Eine betroffene Person kann daher mittels Anzeige bei der DSB ein amtswegiges Prüfverfahren anregen. Dabei hat sie allerdings keine Parteistellung und wird auch nicht über den Ausgang des Verfahrens informiert.

Klage vor dem Zivilgericht

Unabhängig von den oben angeführten Möglichkeiten der Beschwerde oder der Anregung eines amtswegigen Prüfverfahrens bei der DSB, kann eine betroffene Person ihre Datenschutzrechte auch vor einem Zivilgericht geltend machen. Dabei fallen jedoch Gerichtsgebühren an und sie trägt zudem das Prozessrisiko. Gegen Entscheidungen des Zivilgerichts kann Berufung eingelegt werden. 

Strafanzeige bei der Polizei

Handelt es sich um Verstöße gegen Tatbestände des StGB betreffend den Missbrauch von personenbezogenen Daten (z. B. widerrechtlicher Zugriff auf ein Computersystem, missbräuchliches Abfangen von Daten, Datenbeschädigung, Störung der Funktionsfähigkeit eines Computersystems, Missbrauch von Computerprogrammen oder Zugangsdaten), so besteht die Möglichkeit sich an die Polizei zu wenden und eine Strafanzeige zu erstatten. 

Zum Nachschlagen

• DSGVO Artikel 77 - Recht auf Beschwerde bei einer Aufsichtsbehörde
• DSGVO Artikel 78 - Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde 
• DSGVO Artikel 79 - Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter
• DSG § 24 - Beschwerde an die Datenschutzbehörde
  

Wie können betroffene Personen auf Schadenersatz klagen?

Jede Person, die wegen eines Datenschutzverstoßes einen materiellen oder immateriellen Schaden erlitten hat, kann vor den Zivilgerichten Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter geltend machen.

Ursache der Klage können Verstöße gegen 

• die DSGVO 
• das Grundrecht auf Datenschutz oder 
• Bestimmungen zur Durchführung der DSGVO sein.
  

Kläger:innen können die Klage bei dem Landesgericht einbringen, wo sie ihren gewöhnlichen Aufenthalt oder Sitz haben. Sie können die Klage aber auch beim Gericht des gewöhnlichen Aufenthalts oder Sitzes/Niederlassung des Beklagten einreichen.

Bei Schadenersatzklagen fallen Gerichtsgebühren an und die Kläger:innen tragen das Prozessrisiko.

Wann und in welchem Ausmaß haften Unternehmen bei Schadenersatzklagen?

Jede Person, der wegen eines Verstoßes gegen die DSGVO, das Grundrecht auf Datenschutz oder die der Durchführung der DSGVO dienenden Bestimmungen ein materieller oder immaterieller Schaden entstanden ist, hat das Recht gegen den Verantwortlichen oder den Auftragsverarbeiter vor den Zivilgerichten Schadenersatz geltend zu machen.

Dabei ist aber zu beachten, dass nach der Rechtsprechung des EuGH nicht jeder Verstoß gegen die DSGVO immer auch zu einem Schadenersatzanspruch führt. Das Vorliegen eines solchen Schadens muss von der klagenden Partei somit bewiesen werden. Andererseits hat der EuGH aber auch festgehalten, dass alleine die Befürchtung, dass personenbezogene Daten auf Grund eines Verstoßes unbefugt offengelegt wurden, einen immateriellen Schaden darstellen kann. Die Gerichte können sogar selbst bei fehlender Schwere des entstandenen Schadens einen geringfügigen Schadenersatz zusprechen, wenn dieser den entstandenen Schaden auszugleichen vermag. Bei Datenschutzverstößen mit potenziell vielen betroffenen Personen können sich deswegen daher beträchtliche Summen ergeben.

Beispiel
Unternehmen A betreibt einen Onlineshop und kümmert sich nicht oder nicht ausreichend um die Daten- und IT-Sicherheit des Onlineshops. Aufgrund dessen wird A gehackt und Daten der Nutzer:innen werden offengelegt und missbraucht, sodass die Nutzer:innen einen finanziellen Schaden erleiden. 

Jeder an einer Verarbeitung Beteiligte, der bei der Verarbeitung von Daten gegen die Bestimmungen der DSGVO verstoßen hat, haftet für den dadurch entstandenen Schaden. Sind mehrere Unternehmen an der Verarbeitung beteiligt, haftet jedes Unternehmen für den gesamten Schaden. Sie können sich jedoch untereinander regressieren, d. h. einen Teil des Schadenersatzanspruches von den übrigen an der Verarbeitung Beteiligten verlangen. 

Der Verantwortliche und der Auftragsverarbeiter sind von der Haftung befreit, wenn sie nachweisen können, dass sie in keiner Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich sind.

Wann und in welchem Ausmaß haften Auftragsverarbeiter bei Schadenersatzklagen?

Der Auftragsverarbeiter haftet nur dann für entstandene Schäden, wenn einer der folgenden Fälle zutrifft:

• Der Auftragsverarbeiter kommt seinen speziell gesetzlich auferlegten Pflichten nicht nach.
  

  ---

  Beispiel: Er hat einen Sub-Auftragsverarbeiter herangezogen, ohne vorher die Zustimmung des Verantwortlichen eingeholt zu haben.

• ---

  Der Auftragsverarbeiter leistet einer rechtmäßig erteilten Anweisung des Verantwortlichen nicht Folge.
• Der Auftragsverarbeiter verstößt gegen die Anweisung des Verantwortlichen.  
  

Sind mehrere Auftragsverarbeiter an einer Datenverarbeitung beteiligt, so haftet jeder einzelne für den gesamten Schaden. Damit soll ein wirksamer Schadenersatz für die betroffene Person gewährleistet werden. Muss ein Auftragsverarbeiter für den gesamten Schaden haften, kann er sich bei den übrigen Beteiligten regressieren.

Auftragsverarbeiter sind von der Haftung befreit, wenn sie nachweislich keine Verantwortung für den entstandenen Schaden tragen. Sie müssen nachweisen können, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich sind.

Welche Geldstrafen drohen bei Datenschutzverstößen?

Generell gilt: Geldbußen für Verstöße gegen die DSGVO müssen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. 

In diesem Abschnitt werden folgende Fragen beantwortet:

• Welche Faktoren beeinflussen die Höhe von Geldstrafen bei Datenschutzverstößen?
• Wie bemessen sich Geldbußen nach der DSGVO?
• Wie bemessen sich Geldbußen nach dem DSG?
• Wie bemisst sich die Strafe bei einem gerichtlich strafbaren Tatbestand?
• Wie bemisst sich die Strafe, wenn Sie gegen mehrere Bestimmungen der DSGVO verstoßen? 
  

Welche Faktoren beeinflussen die Höhe von Geldstrafen bei Datenschutzverstößen?

Ob und in welcher Höhe eine Geldbuße verhängt wird, hängt immer vom konkreten Einzelfall ab. Dabei berücksichtigt die DSB unter anderem auch folgende Faktoren:

• Um welche Art von Verstoß handelte es sich? 
• Wie schwerwiegend war der Verstoß?
• Wie lange hat der Verstoß angedauert?
• Hat der Verantwortliche / der Auftragsverarbeiter den Schaden vorsätzlich oder fahrlässig verursacht? 
• Welche Maßnahmen wurden getroffen, um den Schaden zu mindern?
• Welche technischen und organisatorischen Maßnahmen wurden im Vorfeld getroffen?
• Gab es in der Vergangenheit bereits etwaige einschlägige Datenschutzverstöße?
• Wie arbeitete das Unternehmen mit der Aufsichtsbehörde zusammen, um den Verstoß zu beseitigen und seine möglichen nachteiligen Auswirkungen zu mindern?
• Welche Kategorien personenbezogener Daten sind von dem Verstoß betroffen?
• Inwieweit wurden frühere Anordnungen der DSB eingehalten? 
  Dieser Aspekt trifft nur zu, wenn bereits Maßnahmen in Bezug auf denselben Gegenstand angeordnet wurden.
• Inwieweit wurden genehmigte Verhaltensregeln eingehalten oder liegt für eine Datenverarbeitung eine Zertifizierung vor?
• Gibt es andere erschwerende oder mildernde Umstände im jeweiligen Fall? Dazu zählen unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
  

Neben diesen Faktoren muss die Behörde die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten berücksichtigen. Im Falle einer juristischen Person muss die Unternehmensgröße berücksichtigt werden. Dabei prüft die DSB etwa, ob das zu bestrafende Unternehmen einem Konzern angehört. 

Wie bemessen sich Geldbußen nach der DSGVO?

Die Höhe von Geldbußen beträgt bei Verstößen gegen die DSGVO 

• bis zu 10 Millionen Euro oder
• im Falle eines Unternehmens bis zu 2 % des weltweit erzielten Jahresumsatzes 
  

Welche der beiden Berechnungsgrundlagen die DSB heranzieht, hängt davon ab, welcher Betrag höher ist. 

Als schwerwiegend gelten unter anderem Verstöße gegen die Grundsätze der Verarbeitung, die Einhaltung der Betroffenenrechte oder die Übermittlung personenbezogener Daten in Drittländer. In diesen Fällen drohen Strafen

• bis zu 20 Millionen Euro oder 
• 4 % des weltweit erzielten Jahresumsatzes.
  

Wie bemessen sich Geldbußen nach dem DSG? 

Die DSB kann eine Geldstrafe von bis zu EUR 50.000 verhängen, wenn einer der folgenden Punkte zutrifft:

• Jemand verschafft sich vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung innerhalb eines Unternehmens.
• Ein Unternehmen lässt einen erkennbar widerrechtlichen Zustand vorsätzlich bestehen.
• Das Unternehmen verletzt bei der Datenübermittlung vorsätzlich das Datengeheimnis.
  Dies gilt insbesondere, wenn ein Unternehmen Daten, die ihm unter gewissen Voraussetzungen anvertraut wurden, vorsätzlich für andere unzulässige Zwecke verarbeitet.
• Das Unternehmen verschafft sich unter Vortäuschung falscher Tatsachen vorsätzlich personenbezogene Daten im Katastrophenfall.
• Das Unternehmen verweigert der DSB den Zugang zur Datenverarbeitung und den diesbezüglichen Unterlagen.  
  

Bei den oben angeführten Punkten gilt: Auch der Versuch ist strafbar.

Weiters kann auch der Verfall (behördliche Abnahme) von Datenträgern und Programmen sowie Bildübertragungs- und Bildaufzeichnungsgeräten ausgesprochen werden, wenn diese Gegenstände mit der Verwaltungsübertretung in Zusammenhang stehen.  

Wie bemisst sich die Strafe, wenn Sie gegen mehrere Bestimmungen der DSGVO verstoßen?

Wenn gleiche oder miteinander verbundene Verarbeitungsvorgänge gegen mehrere Bestimmungen der DSGVO verstoßen, darf die Gesamtstrafe den Strafbetrag für den schwerwiegendsten Verstoß nicht übersteigen. In diesem Fall wird zwar eine „Gesamtstrafe“ verhängt, aber mehrere Verstöße führen zu einer Erhöhung der Geldbuße.

Wie bemisst sich die Strafe bei einem gerichtlich strafbaren Tatbestand? 

In Falle eines gerichtlich strafbaren Tatbestands können ordentliche Gerichte eine Freiheitsstrafe bis zu einem Jahr oder eine Geldstrafe bis zu 720 Tagessätzen verhängen, wenn

•  jemand mit dem Vorsatz sich oder einen Dritten dadurch unrechtmäßig zu bereichern, oder
•  mit der Absicht, einen anderen dadurch in seinem Grundrecht auf Datenschutz zu schädigen, personenbezogene Daten, die ihm ausschließlich auf Grund seiner berufsmäßigen Beschäftigung anvertraut oder zugänglich geworden sind oder die er sich widerrechtlich verschafft hat, selbst benützt, einem anderen zugänglich macht oder veröffentlicht, obwohl die betroffene Person an diesen Daten ein schutzwürdiges Geheimhaltungsinteresse hat.  
  

Beispiele

• Eine externe Datenschutzbeauftragte erfährt von einem großen Kündigungsvorhaben einer ihrer Kundinnen. Sie informiert die betroffenen Mitarbeitenden ohne entsprechenden Auftrag der Kundin. 
• Ein Fitnessstudio veröffentlicht Fotos aus den Umkleidekabinen.
  

Voraussetzung ist weiters, dass die Tat nicht nach einer anderen Bestimmung mit strengerer Strafe bedroht ist.  

Zum Nachschlagen: Gesetzliche Bestimmungen zur Rechtsdurchsetzung

• DSGVO Artikel 77 - Recht auf Beschwerde bei einer Aufsichtsbehörde
• DSGVO Artikel 78 - Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde 
• DSGVO Artikel 79 - Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter
• DSGVO Artikel 82 – Haftung und Recht auf Schadenersatz
• DSGVO Artikel 83 – Allgemeine Bedingungen für die Verhängung von Geldbußen
  
• DSG § 24 - Beschwerde an die Datenschutzbehörde
• DSG § 62 - Verwaltungsstrafbestimmung
• DSG § 63 - Datenverarbeitung in Gewinn- oder Schädigungsabsicht 
• DSG § 22 – Befugnisse
  
• StGB § 118a - Widerrechtlicher Zugriff auf ein Computersystem
• StGB § 119a - Missbräuchliches Abfangen von Daten
• StGB § 126a – Datenbeschädigung
• StGB § 126b - Störung der Funktionsfähigkeit eines Computersystems
• StGB § 126c - Missbrauch von Computerprogrammen oder Zugangsdaten
  

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite