Abmahnungen, Bußgelder und andere Sanktionen

Nun ist die Datenschutzgrundverordnung (DSGVO) seit einem Monat in Kraft. Allen optimistischen Vorhersagen von Seiten der Juristen und einiger Politiker zum Trotz,  eine Abmahnwelle sei nicht zu erwarten, sind die ersten Abmahnungen bekannt. Betreiber von Webseiten ohne Datenschutzerklärung oder ohne Impressum sind in besonderem Maße gefährdet.

Aber Vorsicht: Auch Anwälte können Rechtsverstöße im Internet nicht per se zum Gegenstand einer Abmahnung machen. Immer müssen sie darlegen und beweisen, dass sie jemanden vertreten, der z.B. einen Wettbewerbsverstoß behauptet. Diese Aktivlegitimation ist essenziell. Im Falle einer (berechtigten) Abmahnung wird gefordert, den Rechtsverstoß beispielsweise durch das Einstellen der unterlassenen Datenschutzerklärung zu beseitigen und eine sog. Unterlassungserklärung abzugeben, um die Wiederholungsgefahr auszuschließen.

Beides hat zwar noch keine pekuniären Folgen. Allerdings wird der Rechtsverstoß in der Regel mit der Übernahme der Kosten der Abmahnung verknüpft. Diese können erheblich sein. Schon aus diesem Grunde sollte eine Unterlassungserklärung nicht ungeprüft abgegeben werden. Keiner kann zum jetzigen Zeitpunkt rechtssicher beantworten, ob eine Abmahnung berechtigt ist, denn es gibt noch keine einschlägigen Urteile. Es ist durchaus denkbar, dass die konkret abgemahnten Verstöße wettbewerbsrechtlich nicht relevant sind oder aber durch die DSGVO, beispielsweise durch das berechtigte Interesse des Abgemahnten, gedeckt sind. Auch wird  aus der Politik immer häufiger eine schnelle Gesetzesänderung gefordert, um einer Abmahnwelle entgegenzuwirken und zu verhindern, dass sich eine Abmahnindustrie etabliert.

Darüber hinaus können die nationalen Aufsichtsbehörden bei Verstößen gegen die DSGVO Geldbußen und andere Sanktionen verhängen. Die immer wieder genannten Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes eines Unternehmens sind allerdings Ausnahmen und sollen Aufmerksamkeit erhaschen. In jedem Einzelfall müssen die Bußgelder wirksam, verhältnismäßig und abschreckend sein. (Art. 83 Abs. 1 DSGVO).

Den Aufsichtsbehörden steht bei ihrer Entscheidung, ob und in welcher Höhe Sanktionen verhängt werden, ein gesetzlicher Kriterienkatalog zur Verfügung. Dieser Katalog ist in Art 83 Abs. 2 lit. (a) bis (k) DSGVO geregelt und umfasst als straferhöhende Kriterien beispielsweise die Vorsätzlichkeit eines Verstoßes oder etwaige einschlägige frühere Verstöße.  Den Aufsichtsbehörden wird hiermit eine gesetzliche Entscheidungshilfe an die Hand gegeben, um ihre getroffene Sanktion dem Grunde und der Höhe nach zu rechtfertigen und damit für den Betroffenen transparent zu machen.

Aber wie erlangt die nationale Aufsichtbehörde Kenntnis von einem ahndungswürdigen Sachverhalt? Zum einen durch eine pro aktive Überprüfungstätigkeit der Aufsichtsbehörde. Aber auch durch einen unzufriedenen Mitarbeiter, der das Unternehmen anschwärzt, durch Kunden, die eine Meldung bei der Aufsichtsbehörde machen, durch eine Selbstanzeige oder aber auch durch die Presse beispielsweise durch einen sog. investigativen Journalismus. Es bleibt abzuwarten, wie die ersten Gerichte, die sich mit dem neuen Datenschutz beschäftigen, urteilen. Auf jeden Fall bleibt das Thema auch zukünftig spannend.