Bußgeldpraxis: Harmonie in Europa
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hatte bereits im Oktober 2019 ihr angekündigtes Konzept zur Zumessung von Geldbußen bei Verstößen gegen die DS-GVO durch Unternehmen vorgelegt. Das Konzept für Bußgeldzumessung gestaltete im Wesentlichen die Vorgaben des Art. 83 DS-GVO aus und war auf Fortentwicklung angelegt. Ziel des Konzepts war es, den Datenschutzaufsichtsbehörden eine einheitliche Methode für eine systematische, transparente und nachvollziehbare Bemessung von Geldbußen zur Verfügung zu stellen.
Mit der Veröffentlichung Konzeptes zur Bemessung von Geldbußen sollte nach Auffassung der deutschen Datenschutz-Aufsichtsbehörden ein Beitrag zur Transparenz im Hinblick auf die Durchsetzung des Datenschutzrechts geleistet werden, so die DSK in ihrem damaligen Konzeptpapier. Es sollte Verantwortliche und Auftragsverarbeiter in die Lage versetzen, die Entscheidungen der Aufsichtsbehörden nachzuvollziehen.
Die Aufsichtsbehörden wiesen bereits in dem damaligen Papier darauf hin, dass die vorgestellten Leitlinien nicht als erschöpfend zu verstehen sind und die Konkretisierung der Festsetzungsmethodik späteren Leitlinien des EDSA (Europäischer Datenschutzausschuss) vorbehalten bleibe.
Der EDSA hat in seiner Sitzung vom 24. Mai 2023 die endgültigen Leitlinien zur Bußgeldzumessung nach einer öffentlichen Konsultation angenommen.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sieht darin eine „historische erstmalige Vereinheitlichung der Bußgeldpraxis von Datenschutzbehörden in unterschiedlichen Mitgliedsstaaten.“ Die Leitlinien seien damit der konsequente nächste Schritt in der europäischen Integration und können künftig auch Vorbild und Orientierung für die Durchsetzung anderer EU-Gesetze sein.“
Neben Regelungen zur maximalen Bußgeldhöhe ist Kernelement der Leitlinien – ähnlich wie im nun obsolet gewordenen Bußgeldkonzept der DSK – die Festlegung eines Grundbetrags („starting point“) für die Zumessung. Dieser bestimme sich aus drei Größen:
- der Einordnung der Tat anhand der verletzten Norm,
- der Schwere der konkreten Tat sowie
- des Unternehmensumsatzes.
EDSA
(Foto: fotomek – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Webinar Verarbeitungsverzeichnis softwaregestützt erstellen, dokumentieren, pflegen und archivieren
Mit dem webbasierten Management-System DataAgenda Datenschutz Manager können Sie alle Maßnahmen zum Datenschutz erfassen, verwalten und dokumentieren (VVT, DSFA etc.) und so Ihre Rechenschaftspflicht gemäß DS-GVO erfüllen. Der Referent zeigt, wie Sie mit einem Verzeichnis der Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DS-GVO einen zentralen Baustein der Datenschutzdokumentation erstellen. Sie erfahren, wie der DataAgenda Datenschutz Manager
Mehr erfahren -
BSI veröffentlicht Handreichung zur NIS-2-Geschäftsleitungsschulung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Handreichung zur Geschäftsleitungsschulung im Rahmen der NIS-2-Umsetzung veröffentlicht. Die Publikation richtet sich an Führungsebenen von Unternehmen und Einrichtungen, die künftig unter die NIS-2-Regulierung fallen – also als „wichtige“ oder „besonders wichtige Einrichtungen“ gelten. Ziel ist es, Geschäftsleitungen auf ihre neuen Pflichten im Bereich Cybersicherheit
Mehr erfahren -
Refurbished Notebook mit ungelöschten Daten – wer ist verantwortlich?
Der Erwerb gebrauchter oder „refurbished“ IT-Geräte wirft nicht nur technische, sondern auch datenschutzrechtliche Fragen auf. Besonders heikel wird es, wenn auf einem erworbenen Notebook noch personenbezogene Daten des Vorbesitzers vorzufinden sind. Doch wer trägt in diesem Fall die Verantwortung nach der DS-GVO? Verantwortlichenbegriff nach Art. 4 Nr. 7 DS-GVO Nach Art. 4 Nr. 7 DS-GVO
Mehr erfahren
