Bußgeld nach Art. 83 DSGVO: was der Rahmen sagt

„Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes“ ist der meistzitierte Satz der DSGVO und der am häufigsten falsch verwendete. Art. 83 kennt zwei Stufen, nicht eine, und beide sind Rahmen für den denkbar schwersten Fall. Wichtiger als die Zahl ist, welche Pflichtverletzung in welche Stufe fällt und welche Umstände die Behörde nach Art. 83 Abs. 2 abwägt. Dieser Beitrag sortiert beides.

Zwei Stufen, zwei Kataloge

Art. 83 Abs. 4 DSGVO stellt die niedrigere Stufe bereit: bis zu 10 Millionen Euro oder, bei Unternehmen, bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Abs. 5 verdoppelt beides auf 20 Millionen Euro beziehungsweise 4 Prozent.

Was den Betrag im Einzelfall bestimmt

Art. 83 Abs. 1 DSGVO verlangt, dass die Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Abs. 2 listet die Umstände auf, die dabei gebührend zu berücksichtigen sind. Elf davon lassen sich in drei Gruppen ordnen:

Der zweite Punkt ist der praktisch wirksamste: Eine selbst gemeldete Panne mit dokumentierter Abhilfe steht anders da als eine, die die Aufsichtsbehörde durch eine Beschwerde erfährt. Das ist kein Versprechen, sondern die Aufzählung des Gesetzes.

Wo die Pflicht anfängt, für die es keinen Rahmen braucht

Drei Pflichten entscheiden in der Praxis darüber, ob es überhaupt zu einem Verfahren kommt, und keine davon ist aufwendig:

• Die Antwortfrist. Ein Monat ab Eingang der Anfrage (Art. 12 Abs. 3 DSGVO), Verlängerung um zwei weitere Monate nur mit begründeter Mitteilung binnen des ersten Monats.
• Die Meldung der Datenpanne. 72 Stunden ab Kenntnis bei wahrscheinlichem Risiko (Art. 33 Abs. 1 DSGVO); die Dokumentation nach Art. 33 Abs. 5 ist immer Pflicht, auch ohne Meldung.
• Das Verarbeitungsverzeichnis. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten entfällt bereits, wenn eine von drei Bedingungen zutrifft; eine laufende Lohnabrechnung ist „nicht nur gelegentlich“.

Wie die Monatsfrist im Einzelnen gerechnet wird, steht in unserem Beitrag zur Frist bei einer Betroffenenanfrage. Warum die 250er-Ausnahme fast nie trägt, erklärt der Beitrag zum Verarbeitungsverzeichnis und der 250-Ausnahme.

BetroffenenRecht24 führt die Fristen, die Vorgänge und den Nachweis, dass sie eingehalten wurden. Es bewertet nicht, ob ein Verstoß vorliegt: Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen.

Der Satz, der nicht in eine Kundenmail gehört

Der Rahmen des Art. 83 DSGVO taugt nicht als Argument gegenüber Beschäftigten, Dienstleistern oder Kunden. Er beschreibt eine Obergrenze für den schwersten denkbaren Fall bei einem Konzern mit Milliardenumsatz. Für einen Betrieb mit 30 Beschäftigten sagt er über die zu erwartende Folge eines Fehlers wenig.

Nützlicher ist die Reihenfolge, in der Aufsichtsbehörden ihre Befugnisse einsetzen: Art. 58 Abs. 2 DSGVO nennt neben der Geldbuße Verwarnungen, Anweisungen, Beschränkungen und die Anordnung, einer Betroffenenanfrage nachzukommen. Die Geldbuße ist eine Möglichkeit unter mehreren und nicht der Regelweg.

Häufige Fragen

Wie hoch kann ein DSGVO-Bußgeld sein?

Art. 83 DSGVO kennt zwei Stufen: bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Abs. 4) und bis 20 Millionen Euro oder 4 Prozent (Abs. 5), jeweils der höhere Betrag. Beides sind Obergrenzen für den schwersten denkbaren Fall und keine Regelbußen.

In welche Stufe fällt eine nicht beantwortete Auskunftsanfrage?

In die obere. Verstöße gegen die Betroffenenrechte der Art. 12 bis 22 DSGVO stehen im Katalog des Art. 83 Abs. 5 DSGVO, also im Rahmen bis 20 Millionen Euro oder 4 Prozent.

Was mindert die Höhe?

Art. 83 Abs. 2 DSGVO nennt unter anderem Maßnahmen zur Minderung des Schadens, den Grad der Zusammenarbeit mit der Aufsichtsbehörde und die Art der Kenntniserlangung. Eine selbst gemeldete Panne mit dokumentierter Abhilfe steht anders da als eine, die über eine Beschwerde bekannt wird.

Verhängt die Aufsichtsbehörde immer ein Bußgeld?

Nein. Art. 58 Abs. 2 DSGVO stellt daneben Verwarnungen, Anweisungen, Beschränkungen der Verarbeitung und Anordnungen bereit, einer Betroffenenanfrage nachzukommen. Die Geldbuße ist eine Befugnis unter mehreren.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.