5 Datenschutzverletzungen mit besonders hohem Risiko für eine Strafe

Nicht jede Datenschutzverletzung führt gleich zu DSGVO-Strafen. Bestimmte Verstöße landen aber besonders oft bei der Datenschutzbehörde: weil sie von außen sichtbar sind, weil Betroffene sich beschweren oder weil Sie selbst eine Datenpanne melden müssen. Wer mit begrenzter Zeit und begrenztem Budget Prioritäten setzen muss, sollte bei diesen fünf Punkten beginnen.

Im ersten Teil dieser Serie ging es um fünf typische Datenschutzverletzungen, die im Alltag oft unbemerkt passieren. In diesem Beitrag geht es um die Verstöße mit dem höchsten Risiko für DSGVO-Strafen.

Wie hoch können DSGVO-Strafen sein?

Die DSGVO sieht in Art. 83 zwei Stufen von Geldbußen vor:

• bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, was höher ist – etwa bei Verstößen gegen Pflichten zur Datensicherheit, zur Meldung von Datenpannen oder zum Verarbeitungsverzeichnis (Art. 83 Abs. 4),
• bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist – etwa bei Verstößen gegen die Grundsätze der Verarbeitung, fehlender Rechtsgrundlage oder Missachtung der Betroffenenrechte wie dem Auskunftsrecht (Art. 83 Abs. 5).

Das sind Höchstbeträge. Die Behörde muss nach Art. 83 Abs. 2 DSGVO unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, getroffene Gegenmaßnahmen und die Zusammenarbeit mit der Behörde berücksichtigen. Das österreichische Datenschutzgesetz sieht in § 11 außerdem vor, dass die Datenschutzbehörde insbesondere bei erstmaligen Verstößen vor allem von ihren Abhilfebefugnissen Gebrauch macht, etwa durch eine Verwarnung. Ein Freibrief ist das nicht: Wiederholte, schwere oder vorsätzliche Verstöße werden bestraft. Daneben können Betroffene nach Art. 82 DSGVO Schadenersatz fordern.

1. Mangelhafte Kennzeichnung der Videoüberwachung

Fast jedes Unternehmen mit Kameras hat ein Hinweisschild. Ob dieses Schild den Anforderungen der DSGVO entspricht, ist eine andere Frage. Videoüberwachung ist eine Verarbeitung personenbezogener Daten. Bei Unternehmen stützt sie sich in der Regel nicht auf eine Einwilligung, sondern auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), etwa Schutz vor Einbruch oder Diebstahl. Dann gilt die Informationspflicht nach Art. 13 DSGVO. Mitzuteilen sind insbesondere:

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls seines Vertreters
• gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten
• Zwecke und Rechtsgrundlage der Verarbeitung
• bei Art. 6 Abs. 1 lit. f DSGVO: das konkrete berechtigte Interesse
• gegebenenfalls Empfänger der Aufnahmen (z. B. Polizei, Sicherheitsdienst)
• Speicherdauer oder die Kriterien für ihre Festlegung
• die Rechte der Betroffenen, einschließlich Beschwerderecht bei der Datenschutzbehörde

In der Praxis bewährt sich ein zweistufiges Vorgehen: Das Schild am Eingang enthält die wichtigsten Angaben und verweist auf die vollständige Information (Aushang, Website, QR-Code). Achten Sie auch auf den Bildausschnitt. Das Bundesverwaltungsgericht hat 2019 in einem Fall eine zu weit reichende Kamera, eine Speicherdauer von 14 Tagen und die fehlende Kennzeichnung beanstandet (Übersicht des Parlaments).

2. Ihre Website

Die Website ist Ihr Schaufenster: Neukunden, Bewerber, Lieferanten, aber auch Mitbewerber sehen sie zuerst. Fehler sind hier für jeden sichtbar, und das Risiko einer Beschwerde ist entsprechend hoch. Typische Schwachstellen sind:

• ein Cookie-Banner, der Tracking- oder Marketing-Cookies setzt, bevor eingewilligt wurde, oder bei dem „Ablehnen“ versteckt ist
• extern nachgeladene Inhalte wie Schriftarten, Karten oder Videos, die beim Seitenaufruf die IP-Adresse an Dritte übertragen – dynamisch eingebundene Google Fonts waren 2022 Anlass zahlreicher Forderungsschreiben an österreichische Unternehmen
• eine Datenschutzerklärung, die nicht zu den tatsächlich eingesetzten Tools passt
• Kontaktformulare ohne verschlüsselte Übertragung (HTTPS)

Für Cookies, die nicht technisch notwendig sind, brauchen Sie eine Einwilligung; in Österreich regelt das § 165 Abs. 3 Telekommunikationsgesetz 2021 (TKG 2021). Lassen Sie Ihre Website bei einem Relaunch und danach regelmäßig, etwa jährlich, prüfen. Eine billige Website ohne Datenschutzprüfung kann später teuer werden.

3. Nichterfüllung der Auskunftspflicht

Nach Art. 15 DSGVO kann jede Person von Ihnen eine Bestätigung verlangen, ob Sie Daten über sie verarbeiten. Wenn ja, hat sie Anspruch auf eine Kopie der Daten und auf Informationen, unter anderem zu Zwecken, Empfängern, Speicherdauer und Herkunft der Daten.

Die Frist: Sie müssen unverzüglich, spätestens innerhalb eines Monats antworten. Bei komplexen oder vielen Anträgen ist eine Verlängerung um weitere zwei Monate möglich. Die betroffene Person müssen Sie darüber aber innerhalb des ersten Monats informieren und die Verzögerung begründen (Art. 12 Abs. 3 DSGVO). Die erste Kopie ist kostenlos.

Warum das Risiko hoch ist: Wer ein Auskunftsbegehren stellt, kennt seine Rechte meist und ist oft schon verärgert, etwa nach einer Kündigung oder einem Streit über eine Rechnung. Bleibt die Antwort aus oder ist sie unvollständig, folgt häufig eine Beschwerde bei der Datenschutzbehörde (Art. 77 DSGVO, § 24 DSG). Verstöße gegen Betroffenenrechte fallen in die höhere Bußgeldstufe des Art. 83 Abs. 5 DSGVO.

Der Aufwand hängt davon ab, wie gut Sie Ihre Verarbeitungen kennen. Mit einem aktuellen Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) wissen Sie, in welchen Systemen Sie suchen müssen: Buchhaltung, Lohnverrechnung, CRM, E-Mail, Newsletter-Tool, Videoaufzeichnung.

4. Soziale Medien

Bei sozialen Netzwerken haben Sie auf die Datenverarbeitung des Plattformbetreibers kaum Einfluss. Trotzdem tragen Sie Verantwortung: Der Europäische Gerichtshof hat 2018 entschieden, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich ist (EuGH, Rs. C-210/16, Wirtschaftsakademie Schleswig-Holstein). Daraus folgt:

• Erwähnen Sie Ihre Unternehmensprofile und die damit verbundene Datenverarbeitung in Ihrer Datenschutzerklärung.
• Binden Sie Datenschutzerklärung und Impressum auch im Unternehmensprofil ein oder verlinken Sie sie.
• Setzen Sie Social-Media-Buttons auf der Website so ein, dass erst nach einem Klick bzw. einer Einwilligung Daten an die Plattform fließen.
• Prüfen Sie Ihre Angaben regelmäßig, denn die Plattformen ändern ihre Bedingungen laufend.

Ein Restrisiko bleibt. Überlegen Sie daher bei jeder Plattform, ob sie für Ihr Geschäft wirklich nötig ist.

5. Data Breach: Datenpannen nicht oder zu spät gemeldet

Ein Data Breach (Datenpanne, Datenleck) ist nach Art. 4 Z 12 DSGVO eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Beispiele: ein Ransomware-Angriff, ein gestohlener Laptop ohne Verschlüsselung, ein verlorenes Diensthandy, ein E-Mail mit Lohnzetteln aus der Lohnverrechnung an den falschen Empfänger.

Die Pflichten:

• Meldung an die Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis, außer die Panne führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Eine spätere Meldung ist zu begründen.
• Benachrichtigung der Betroffenen, wenn voraussichtlich ein hohes Risiko besteht (Art. 34 DSGVO).
• Dokumentation jeder Panne, auch wenn sie nicht gemeldet werden muss (Art. 33 Abs. 5 DSGVO).

Cyberangriffe auf österreichische Unternehmen haben in den letzten Jahren deutlich zugenommen, auch kleine Betriebe sind betroffen. Das Risiko senken Sie mit regelmäßigen Backups, die vom Netzwerk getrennt sind, aktuellen Updates, Zwei-Faktor-Anmeldung, verschlüsselten mobilen Geräten und Schulungen. Art. 32 DSGVO verlangt solche Sicherheitsmaßnahmen ausdrücklich. Wer nachweisen kann, dass er vorgesorgt und richtig reagiert hat, steht im Verfahren deutlich besser da.

Checkliste: DSGVO-Strafen vermeiden

• Kameraschild mit allen Angaben nach Art. 13 DSGVO, kurze und begründete Speicherdauer, Bildausschnitt auf das Nötige beschränkt
• Cookie-Banner: Einwilligung vor dem Setzen nicht notwendiger Cookies, „Ablehnen“ gleich einfach wie „Akzeptieren“
• Schriftarten und externe Inhalte lokal eingebunden oder erst nach Einwilligung geladen
• Datenschutzerklärung passt zu Website-Tools und Social-Media-Profilen
• Ablauf für Auskunftsbegehren: Wer bearbeitet, Frist im Kalender, Vorlage für die Antwort
• Verzeichnis der Verarbeitungstätigkeiten aktuell
• Notfallplan für Datenpannen: Meldung an die Datenschutzbehörde binnen 72 Stunden, Dokumentation
• Backups, Updates, Verschlüsselung und Schulungen regelmäßig geprüft

Fazit

Wer mit der Umsetzung der DSGVO erst beginnt, sollte zuerst die nach außen sichtbaren und beschwerdeanfälligen Bereiche absichern: Videoüberwachung, Website, Auskunftsbegehren, Social Media und den Umgang mit Datenpannen. Konzentrieren Sie sich aber nicht nur auf die offensichtlichen Schwachstellen. Interne Fehler wie offene Rundmails oder ein fehlendes Löschkonzept beschreiben wir im Beitrag zu den fünf Datenschutzverletzungen, die KMU unbewusst begehen.

Unterstützung bei der Umsetzung finden Sie in unserer Beratung zur DSGVO für Unternehmen. Dieser Beitrag ist allgemeine Information und keine Rechtsberatung.

Häufige Fragen