Im Jahr 2020 haben die deutschen Datenschutzbehörden insgesamt Bußgelder im hohen zweistelligen Millionenbereich festgesetzt. Dies zeigt, dass die erste Karenzzeit nach Inkrafttreten der DSGVO im Jahr 2018 endgültig vorbei ist. Unternehmen (und Privatpersonen) müssen davon ausgehen, dass die Anzahl von Anzeigen wegen Datenschutzverstößen zunimmt, die Behörden diese immer konsequenter verfolgen und damit auch das Risiko (hoher) Bußgelder zunimmt.
Die sanktionierten Verhaltensweisen reichen von der Versendung von E-Mails mit offenem E-Mail-Verteiler über den unzureichenden Schutz von Bewerberdaten in einem Jobportal, die grundlose Speicherung personenbezogener Daten ehemaliger Vertragspartner oder die ungesicherte Entsorgung personenbezogener Daten im einfachen Papiermüll bis hin zur jahrelangen Erfassung intimster Informationen über Mitarbeiter (was vom zuständigen Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit mit einem Bußgeld in Höhe von EUR 35.258.708 geahndet wurde).
Während der zuletzt genannte und am höchsten bebußte Fall von einer detaillierten Überwachung des Personals zeugt, um anhand dieses Profils der Beschäftigten Maßnahmen und Entscheidungen im Arbeitsverhältnis zu treffen, somit also der Datenschutzverstoß mindestens vorsätzlich erfolgte, lag anderen DSGVO-widrigen Handlungen oftmals ein bloßes Organisationsverschulden zugrunde: Pflichten nach der DSGVO waren nicht bekannt oder deren Einhaltung wurde nicht durch Arbeitsanweisungen und unternehmensinterne Prozesse sichergestellt. Vorsätzliche Verstöße beruhen oftmals auf einer zweifelhaften Unternehmenskultur und können nur durch einen Kulturwandel beseitigt werden. Dagegen ist organisatorisches Fehlverhalten durch Einführung entsprechender Maßnahmen und Schulung der Mitarbeiter und damit mit überschaubarem Aufwand vermeidbar.
Angesichts des drohenden Bußgeldrisikos bis zu 10 Millionen Euro bzw. bis 2 % des weltweiten Jahresumsatzes oder in schweren Fällen sogar bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes sollten alle Unternehmen dringend prüfen, ob sie die Vorgaben der DSGVO umgesetzt, die erforderlichen Maßnahmen ergriffen und ihre Mitarbeiter ausreichend geschult haben.
