Datenschutzverstoß im Internet

Was sind Verstöße gegen den Datenschutz?

Ein Datenschutzverstoß im Bereich des Internetrechts liegt vor, wenn ein Unternehmen oder eine andere verantwortliche Stelle beim Betrieb einer Website, eines Onlineshops oder einer App gegen die Vorgaben der Datenschutz-Grundverordnung oder nationaler Datenschutzgesetze verstößt. Im Kern geht es dabei immer um den Schutz personenbezogener Daten, also um Informationen, die sich einer bestimmten Person zuordnen lassen, etwa Name, IP-Adresse, Bestelldaten oder ein Bild, das eine Person erkennbar zeigt.

Die DSGVO regelt, wie diese Daten beim Besuch einer Webseite erhoben, gespeichert und verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Pflichten Unternehmen bei der Datenverarbeitung treffen.

Wann liegt ein Verstoß gegen den Datenschutz vor?

Ein Verstoß liegt in der Praxis meist dann vor, wenn Datenschutzmaßnahmen auf einer Website fehlen, unzureichend umgesetzt sind oder schlicht nicht eingehalten werden. Typische Fälle im Internetrecht sind eine fehlende oder veraltete Datenschutzerklärung, das Einbinden von Tracking-Tools oder Like-Buttons ohne wirksame Cookie-Einwilligung, ein ungesichertes Kontaktformular, über das Daten im Klartext übertragen werden, oder die fehlende Meldung eines Vorfalls an die zuständige Datenschutzaufsichtsbehörde.

Auch wenn ein Auftragsverarbeiter wie ein Hosting-Anbieter ohne entsprechenden Vertrag mit dem Verantwortlichen Daten verarbeitet, liegt ein Verstoß vor. Entscheidend ist immer der konkrete Fall: Umfang, Art und Schwere der Datenverarbeitung auf der jeweiligen Plattform bestimmen, wie ein Vorfall rechtlich einzuordnen ist.

Datenschutzverstoß oder Datenschutzverletzung: Wo liegt der Unterschied?

Die Begriffe werden oft synonym verwendet, meinen rechtlich aber nicht dasselbe. Ein Datenschutzverstoß beschreibt allgemein jede Missachtung von Datenschutzrecht, etwa eine unvollständige Datenschutzerklärung oder fehlende Einwilligungen auf einer Website. Eine Datenschutzverletzung im Sinne der DSGVO ist enger gefasst: Sie liegt vor, wenn es zu einem Vorfall wie dem Verlust, der unbefugten Offenlegung oder der Veränderung von Daten kommt, etwa durch einen Hackerangriff auf einen Onlineshop oder eine falsch konfigurierte Datenbank, über die Kundendaten frei zugänglich im Web lagen, also einer Verletzung der Datensicherheit im engeren Sinne.

Datenschutzverletzungen müssen unter bestimmten Voraussetzungen innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden. Ein allgemeiner Datenschutzverstoß löst diese Meldepflicht nicht automatisch aus. Bleibt ein solcher Datenschutzvorfall unentdeckt oder wird er verschleiert, drohen zusätzliche Sanktionen. Ob im Einzelfall überhaupt eine meldepflichtige Datenschutzverletzung vorliegt, lässt sich oft erst nach rechtlicher Prüfung sicher sagen. Hier unterstützt Sie die Kanzlei Siebert Lexow bei der Einordnung.

DSGVO-Verstöße und ihre Risiken für Unternehmen

DSGVO-Verstöße bringen für Unternehmen mehrere Risiken mit sich. Neben Bußgeldern drohen Anordnungen der Aufsichtsbehörden, etwa zur Beendigung eines rechtswidrigen Trackings oder einer rechtswidrigen Datenverarbeitung auf der eigenen Website, sowie aufwendige Untersuchungen durch die Datenschutzaufsichtsbehörde. Hinzu kommt das Reputationsrisiko im Netz: Werden Verstöße öffentlich, verbreitet sich das schnell über negative Online-Bewertungen oder Kommentare in sozialen Netzwerken, und das Vertrauen von Kunden und Mitarbeitern leidet gleichermaßen.

Bei besonders sensiblen Datenverarbeitungen, etwa beim Tracking großer Nutzerzahlen, kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein, um Risiken frühzeitig zu erkennen. Wer diese Schritte versäumt, erhöht das Risiko weiterer Sanktionen im Wiederholungsfall. Siebert Lexow begleitet Unternehmen dabei, auf Anfragen und Anordnungen der Aufsichtsbehörden angemessen zu reagieren, bevor daraus ein förmliches Verfahren wird.

Haftung bei Datenschutzverstößen

Für Datenschutzverstöße haften in erster Linie verantwortliche Stellen, also jene, die über Zweck und Mittel der Datenverarbeitung entscheiden, in der Regel also der Betreiber der Website oder des Onlineshops selbst. Wurde ein externer Auftragsverarbeiter eingebunden, etwa ein Webhoster, ein Cloud-Anbieter oder ein E-Mail-Marketing-Dienst, kann auch dieser haften, wenn er gegen vertragliche Vorgaben verstößt. Betroffene Personen haben zudem das Recht, bei einem Auskunftsersuchen Zugang zu den über sie gespeicherten Daten zu verlangen. Wird diesem Recht nicht nachgekommen, kann das zusätzlich als eigenständiger Verstoß gewertet werden.

In der Praxis empfiehlt sich daher eine klare interne Zuordnung von Verantwortung zwischen Unternehmen und Dienstleister, bevor es zu Beschwerden bei der Datenschutzbehörde kommt. Siebert Lexow prüft bestehende Verträge mit Auftragsverarbeitern und klärt, wer im konkreten Fall haftet.

Wie hoch ist die Strafe bei Datenschutzverletzung? DSGVO-Bußgelder im Überblick

Die Höhe der Strafe bei einer Datenschutzverletzung richtet sich nach dem DSGVO-Bußgeldkatalog der jeweiligen Datenschutzaufsichtsbehörde und kann je nach Land unterschiedlich ausfallen. Die DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

In der Übersicht der Bußgeldkataloge zeigt sich: Kleinere Verstöße, etwa eine unvollständige Datenschutzerklärung, werden meist milder bestraft als schwerwiegende Datenschutzverletzungen mit Verlust großer Datenmengen, für die deutlich höhere Strafen drohen. Neben Geldstrafen können Aufsichtsbehörden auch Anordnungen zur Umsetzung zusätzlicher Datenschutzmaßnahmen erlassen. Ein Blick in die aktuelle Bußgeldpraxis der Datenschutzbehörden verschiedener Bundesländer gibt eine erste Ansicht davon, mit welchen Sanktionen im eigenen Fall zu rechnen ist.