Strafen bei Verstößen gegen die DSGVO – Welche sind zu erwarten?

Datenschutzverstöße werden seit dem 25. Mai 2018 stärker bestraft. Die Höchststrafe für Unternehmen und Organisationen bei Nichteinhaltung der Datenschutz-Grundverordnung kann nach Art. 83 (5) DSGVO bis zu 20 Mio. €  oder 4% des jährlichen weltweiten Umsatzes betragen, je nachdem welcher Wert größer ist. Nach Art. 83 (4) DSGVO gibt es einen abgestuften Ansatz zu Geldstrafen. Ein Unternehmen kann z.B. zu 2 Prozent des jährlichen Weltumsatzes  verurteilt werden, wenn seine Aufzeichnungen nicht die richtige Reihenfolge aufweisen (Artikel 28), die Überwachungsbehörde nicht darüber benachrichtigt  und die Betroffenen nicht ausreichend über einen Verstoß informiert wurden, bzw. keine Folgenabschätzung durchgeführt wurde. Details zu den Strafen finden Sie in diesem Beitrag.

Was ist geblieben und was hat sich geändert?

Regeln – Welche gelten weiterhin?

Nicht alles hat sich unter der neuen EU-DSGVO verändert. Folgende Bestimmungen gelten auch weiterhin: 

1. Die Grundrechte und Grundfreiheiten von natürlichen Person zu schützen, bleibt weiterhin als primäres Ziel bestehen. Das Recht auf informationelle Selbstbestimmung bleibt ebenfalls unberührt.
2. Der zweite Grundsatz, dass keine personenbezogenen Daten erhoben oder verarbeitet werden dürfen, solange eine Rechtsvorschrift etwas Anderes bestimmt, bleibt in Kraft. Ausnahmen werden weiterhin streng reguliert.
3. Die Verarbeitung von sensiblen personenbezogenen Daten unterliegen weiterhin strengen Voraussetzungen. Eine vorherige Einwilligung des Betroffenen bleibt ebenfalls Pflicht.
4. Unternehmen, deren Hauptaktivität die Datenerhebung und Datenverarbeitung von natürlichen Personen ist, benötigen einen betrieblichen Datenschutzbeauftragten.
5. Die jeweilige Zweckbestimmung ist für eine Weiterverarbeitung entscheidend und bedürfen einer entsprechenden Transparenz. Eine Zweckentfremdung von personenbezogene Daten bleibt verboten.

Was hat sich seit Einführung der DSGVO konkret geändert?

1. Eindeutige Definition von personenbezogenen Daten: Dies sind sämtliche Daten, die der Identifizierung einer Person dienen
2. Mehr Rechte für natürliche Personen

   a) Ausdrückliche Zustimmung erforderlich
   b) Recht auf Vergessen
   c) Information, welche Daten wo und seit wann gespeichert werden
   d) Anspruch auf Schadensersatz bei materiellem oder immateriellem Schaden durch DSGVO-Verstöße 

3. Höhere Bußgelder bei Verstößen
4. Extraterritoriale Anwendung: Es zählt alleinig, wohin die Daten fließen und nicht von wo man operiert.
5. Risikobasierte Rechenschaftspflicht: Der Verantwortliche hat dafür Sorge zu tragen, dass alle wirksamen Maßnahmen ergriffen werden.
6. Mitteilungspflicht bei Verletzungen: Bei einer Datenverletzung muss der Verantwortlich innerhalb von 72 Stunden die Betroffenen darüber informieren.
7. Konkretere Bestimmung, wann genau ein Datenschutzbeauftragter zu ernennen ist.

Brauche ich einen Datenschutzbeauftragten?

Nach Artikel 37 DSGVO ist ein Datenschutzbeauftragter zu ernennen, sofern

1. die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird (Gerichte ausgenommen)
2. die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht bei dem eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich ist oder
3. die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht. Die Bestimmung einen Datenschutzbeauftragten zu ernennen, gilt für Datenverantwortliche als auch für Datenverarbeiter, unabhängig von ihrer Größe. 

Die Bestimmung einen Datenschutzbeauftragten zu ernennen, gilt für Datenverantwortliche als auch für Datenverarbeiter, unabhängig von ihrer Größe. 

Bei Nichteinhaltung der Verpflichtung können bis zu 2 Prozent des weltweiten Umsatzes oder 10 Mio. € erhoben werden, je nachdem, welcher Wert höher ist. Wenn ein Unternehmen beschließt, keinen Datenschutzbeauftragten zu ernennen, müssen die Gründe für diese Entscheidung aufgezeichnet werden.

Fehlerquellen beim Datenschutz in Gastronomie und Hotellerie

Die Branche rund um Gastronomie und Hotellerie ist in vielen Situationen mit der Datenverarbeitung konfrontiert, manche werden erst auf den zweiten Blick sichtbar. Für Reservierungen oder Buchungen werden eine Vielzahl personenbezogener Daten wie Name, Anschrift, Geburtsdatum und auch die Bankverbindung sowie einige mehr regelmäßig erfasst. Online-Aktivitäten wie Newsletter oder Werbemails, Facebookwerbung etc. verarbeiten sensible Daten, auch die Übermittlung von Kundendaten an Drittanbieter zählt dazu. Hierunter fallen beispielsweise Caterer, Softwarehersteller, Telefon- und Schließanlagentechniker, die alle direkt oder indirekt Zugriff auf personenbezogene Daten erhalten.

Wechselnde Mitarbeiter, Stress während der Stoßzeiten in der Lobby oder im Restaurant: Als Fehlerquellen bezüglich des Datenschutzes zeigen sich sehr häufig Unerfahrenheit oder Sorglosigkeit der Mitarbeiter. Um das Haftungsrisiko für den Verantwortlichen zu verringern, ist das Unternehmen auf die „DSGVO – Fehlerquellen im Unternehmen“ zu überprüfen.

Big Brother is watching you

Videoüberwachung ist seit jeher ein heikles Thema, die Datenschutz-Grundverordnung hat die Gesetzeslage noch einmal verschärft. Wir haben für Sie die Rechte und Pflichten rund um die Videoüberwachung zusammengestellt.