Sind DSGVO Bußgelder – versicherbar?

Sind DSGVO Bußgelder – versicherbar?

Gegenüber ihrem rechtlichen Vorgänger enthält die DSGVO schärfere Sanktionsmechanismen. Dies hat zum Ziel, den Vorgaben der DSGVO zur tatsächlichen Beachtung zu verhelfen. Eine Sanktionsmöglichkeit enthält Art. 83 DSGVO: Das Bußgeld. Doch wann fällt dieses gefürchtete Bußgeld an und kann man sich dagegen versichern?

Art. 83 DSGVO

Ein Bußgeld nach Art. 83 DSGVO kann gegenüber Verantwortlichen und Auftragsverarbeitern verhängt werden. Nach Art. 83 V DSGVO liegt die Obergrenze bei 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes des betroffenen Unternehmens oder Konzerns (je nachdem, welcher Betrag höher ist). Bei weniger gravierenden Verstößen wie z.B. reinen Organisationsmängeln sinkt die Obergrenze auf 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 IV DSGVO). Der Jahresumsatz wird dabei anhand des Umsatzes im vorangegangenen Jahr bestimmt.

Wie die Höhe des Bußgeldes letztendlich ausfällt, richtet sich nach vielen Zumessungskriterien wie Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, frühere Verstöße usw. Dies wird ausführlich durch Art. 83 I und II DSGVO geregelt.

An Fällen, in denen Bußgelder verhängt wurden, zeigt sich, dass die zuständigen Aufsichtsbehörden (Art. 58 II lit. i DSGVO) diesen Rahmen durchaus ausschöpfen, wenn Bußgelder tatsächlich verhängt werden. Andererseits kann die Aufsichtsbehörde aber auch auf ein Bußgeld verzichten und ggf. andere Maßnahmen verhängen.

Man kann Bußgelder im Vorfeld oft sogar verhindern und im Falle des Verstoßes verringern in dem man die Anforderungen an den Datenschutz erfüllt z.B. mit der Bestellung eines Datenschutzbeauftragten, prinzipiell gilt je besser man die Anforderungen an den Datenschutz erfüllt umso geringer fällt am Ende das Bußgeld aus.

Solange ein Mitarbeiter nicht völlig eigenverantwortlich und im eigenen Interesse handelt, wird sein Verstoß dem Unternehmen zugerechnet. Entsteht einem Unternehmen durch einen von ihm beauftragten Dienstleister oder ähnlichem ein mit Bußgeld sanktionierter Verstoß, kann das Unternehmen diesen als Schadensersatz gegenüber dem Dienstleister geltend machen.

Versicherung

Grundsätzlich ist es möglich, sich gegen DSGVO-Bußgelder zu versichern (soweit dies nach geltendem Recht möglich ist). Bußgelder, die im eigenen Unternehmen anfallen, sind durch die meisten Haftpflichtversicherungen abgedeckt. Fällt das Bußgeld in einem anderen Unternehmen an, bei dem das eigene Unternehmen Dienstleistungen verrichtet hat, bei denen es zum DSGVO-Verstoß kam, kann das andere Unternehmen dies als Schadensersatz gegenüber dem dienstleistenden Unternehmen geltend machen (Regressanspruch). Auch solche Vorfälle sind von den meisten Vermögensschadenhaftpflichtversicherung abgedeckt.

Entscheidend ist hierbei, beim Abschluss der Versicherung auf die maximale Deckungssumme zu achten. Dazu sollte zunächst der Jahresumsatz des eigenen Unternehmens betrachtet werden, um zu sehen, bei welchem Höchstbetrag man nach den Regelungen des Art. 83 DSGVO ankommen würde. Nicht vergessen werden darf dabei, dass es auch dazu kommen kann, dass das Bußgeld, dass die eigene Versicherung ersetzen muss, bei einem Unternehmen anfällt, für dass das eigene Dienstleistungen vornimmt. Dann richtet sich das Bußgeld nach dem Umsatz des „Kunden-Unternehmens“. Beim Abschluss der Haftpflichtversicherung muss also auch schon einkalkuliert werden, wie umsatzstark die Unternehmen sein werden, für die das eigene Unternehmen arbeiten wird. Ggf. muss die Haftpflichtversicherungen im Laufe der Unternehmenskarriere auch mehrmals angepasst werden.

Aktuelle Entwicklung der Bußgeldpraxis

Die Bußgeldpraxis der europäischen Aufsichtsbehörden hat sich seit Inkrafttreten der DSGVO deutlich verschärft. Die verhängten Bußgelder sind in den vergangenen Jahren stetig gestiegen, sowohl in der Häufigkeit als auch in der Höhe. Spitzenreiter sind Bußgelder gegen große Technologieunternehmen, die in die Hunderte Millionen Euro gehen können. Aber auch kleine und mittelständische Unternehmen werden zunehmend mit empfindlichen Strafen belegt.

In Deutschland haben die Aufsichtsbehörden der Bundesländer ihre Prüfaktivitäten deutlich intensiviert. Branchenweite Prüfungen, etwa zum Einsatz von Tracking-Tools auf Websites oder zur Umsetzung der Cookie-Einwilligung, führen regelmäßig zu einer Vielzahl von Verfahren. Unternehmen, die ihre Datenschutzpflichten vernachlässigen, müssen daher mit einer steigenden Wahrscheinlichkeit eines Bußgeldverfahrens rechnen.

Berechnung von DSGVO-Bußgeldern

Seit 2023 wenden die europäischen Datenschutzbehörden ein einheitliches Berechnungsmodell für DSGVO-Bußgelder an, das vom Europäischen Datenschutzausschuss (EDSA) entwickelt wurde. Die Berechnung erfolgt in fünf Schritten: Zunächst wird der Ausgangsbetrag anhand der Art des Verstoßes und des Jahresumsatzes des Unternehmens bestimmt. Dann wird die Schwere des Verstoßes bewertet, gefolgt von erschwerenden und mildernden Umständen. Schließlich wird geprüft, ob das Bußgeld den gesetzlichen Höchstbetrag überschreitet.

Mildernde Umstände können die Höhe des Bußgeldes erheblich reduzieren. Dazu zählen unter anderem die Kooperation mit der Aufsichtsbehörde, die frühzeitige Meldung des Verstoßes, bereits getroffene Abhilfemaßnahmen und die Bestellung eines Datenschutzbeauftragten. Dies unterstreicht, wie wichtig ein professionelles Datenschutzmanagement für die Risikominimierung ist.

Arten von Datenschutzversicherungen

Am Markt gibt es verschiedene Versicherungsprodukte, die Datenschutzrisiken abdecken. Die klassische Vermögensschadenhaftpflichtversicherung (VSH) deckt Schadensersatzansprüche Dritter ab, die aus Datenschutzverstößen resultieren. Die Cyber-Versicherung geht darüber hinaus und deckt auch eigene Schäden des versicherten Unternehmens ab, etwa Kosten für Datenwiederherstellung, Betriebsunterbrechungsschäden und Krisenmanagement.

Spezielle Datenschutz-Rechtsschutzversicherungen übernehmen die Kosten für die rechtliche Verteidigung in Bußgeldverfahren und Schadensersatzprozessen. Einige Versicherungen bieten auch die Übernahme von Bußgeldern selbst an, wobei die Versicherbarkeit von Bußgeldern in Deutschland rechtlich umstritten ist.

Rechtliche Grenzen der Versicherbarkeit

Die Frage, ob DSGVO-Bußgelder versicherbar sind, ist juristisch komplex. In Deutschland wird überwiegend die Auffassung vertreten, dass Bußgelder grundsätzlich versicherbar sind, da sie keine Strafe im strafrechtlichen Sinne darstellen. Allerdings gibt es gewichtige Gegenstimmen, die argumentieren, dass die Versicherung von Bußgeldern den Sanktionszweck unterlaufe und daher gegen die öffentliche Ordnung verstoße.

Der Europäische Gerichtshof hat sich zu dieser Frage noch nicht geäußert. Es besteht daher die Möglichkeit, dass eine künftige Entscheidung die Versicherbarkeit von DSGVO-Bußgeldern einschränkt oder ganz ausschließt. Unternehmen sollten sich daher nicht allein auf ihre Versicherung verlassen, sondern vorrangig in die Einhaltung der Datenschutzvorschriften investieren.

Worauf beim Versicherungsabschluss zu achten ist

Beim Abschluss einer Datenschutzversicherung sollten Unternehmen auf mehrere Aspekte achten. Die Deckungssumme muss ausreichend bemessen sein und sollte sich am potenziellen Bußgeldrahmen orientieren. Die Versicherungsbedingungen sollten genau geprüft werden, insbesondere hinsichtlich Ausschlüsse und Obliegenheiten. Viele Versicherungen setzen voraus, dass das Unternehmen bestimmte Mindeststandards im Datenschutz einhält, etwa die Bestellung eines Datenschutzbeauftragten oder die Durchführung regelmäßiger Schulungen.

Zudem sollte geklärt werden, ob die Versicherung auch die Kosten für Krisenmanagement, forensische Untersuchungen und Rechtsberatung im Falle eines Datenschutzvorfalls abdeckt. Diese Kosten können die Höhe des eigentlichen Bußgeldes schnell übersteigen.

Prävention als beste Versicherung

Die wirksamste Strategie zur Vermeidung von DSGVO-Bußgeldern bleibt die konsequente Einhaltung der Datenschutzvorschriften. Ein professioneller externer Datenschutzbeauftragter hilft bei der Identifikation und Behebung von Datenschutzrisiken, bevor sie zu einem Bußgeldverfahren führen. Die Investition in präventive Maßnahmen wie regelmäßige Datenschutzaudits, Mitarbeiterschulungen und die Implementierung geeigneter technisch-organisatorischen Maßnahmen ist in der Regel deutlich günstiger als die Folgen eines Datenschutzverstoßes.

Internationale Perspektive auf DSGVO-Bußgelder

Die Bußgeldpraxis unterscheidet sich erheblich zwischen den einzelnen EU-Mitgliedstaaten. Während die irische Datenschutzbehörde als Aufsichtsbehörde für viele US-Technologiekonzerne die höchsten Einzelbußgelder verhängt hat, zeichnen sich andere Behörden durch eine höhere Anzahl kleinerer Bußgelder aus. Die spanische Datenschutzbehörde AEPD verhängt beispielsweise besonders viele Bußgelder gegen kleine und mittelständische Unternehmen und zeigt damit, dass nicht nur Großkonzerne im Fokus der Aufsichtsbehörden stehen.

Für deutsche Unternehmen, die in anderen EU-Mitgliedstaaten tätig sind, kann dies bedeuten, dass sie mit unterschiedlichen Bußgeldpraktiken konfrontiert werden. Das One-Stop-Shop-Prinzip der DSGVO sieht zwar vor, dass grenzüberschreitende Verarbeitungen von der federführenden Aufsichtsbehörde am Hauptsitz des Unternehmens beaufsichtigt werden, doch bei rein nationalen Verarbeitungstätigkeiten ist die jeweilige nationale Behörde zuständig.

Die Erfahrung zeigt, dass Unternehmen mit einem professionellen Datenschutzmanagement deutlich seltener mit Bußgeldern konfrontiert werden. Die Investition in einen externen Datenschutzbeauftragten und regelmäßige Datenschutzaudits zahlt sich langfristig aus und bietet einen besseren Schutz als jede Versicherung.

Zusammenfassung und Handlungsempfehlung

DSGVO-Bußgelder stellen für Unternehmen jeder Größe ein ernstzunehmendes finanzielles Risiko dar. Die Versicherbarkeit dieser Bußgelder bietet zwar eine gewisse Absicherung, ist aber rechtlich nicht vollständig geklärt und sollte keinesfalls als Ersatz für ein funktionierendes Datenschutzmanagement verstanden werden. Die beste Strategie gegen DSGVO-Bußgelder ist und bleibt die konsequente Einhaltung der datenschutzrechtlichen Vorschriften. Unternehmen, die in professionelle Datenschutzberatung, regelmäßige Schulungen ihrer Mitarbeiter und die Implementierung angemessener technisch-organisatorischer Maßnahmen investieren, reduzieren ihr Bußgeldrisiko erheblich und schaffen gleichzeitig Vertrauen bei ihren Kunden und Geschäftspartnern.

Abschließend bleibt festzuhalten, dass die Frage der Versicherbarkeit von DSGVO-Bußgeldern nur ein Aspekt eines umfassenden Risikomanagements im Datenschutz ist. Unternehmen, die sowohl auf präventive Maßnahmen als auch auf eine angemessene Absicherung setzen, sind für die zunehmend strenge Durchsetzung der DSGVO bestens gerüstet und können sich auf ihr Kerngeschäft konzentrieren.

Zur Einschätzung im Einzelfall sollte immer fachkundige Beratung herangezogen werden.