Datenschutz-Bußgelder: Grundlagen, Berechnung und Bedeutung

Wie setzen sich Datenschutz-Bußgelder zusammen?

Die Höhe eines Datenschutz-Bußgeldes wird von den zuständigen Aufsichtsbehörden anhand mehrerer Kriterien festgelegt. Maßgeblich sind unter anderem:

• Art, Schwere und Dauer des Verstoßes: War es ein einmaliger Fehler oder ein systematischer Missstand?
• Grad der Verantwortung: Hat das Unternehmen fahrlässig oder vorsätzlich gehandelt?
• Art der betroffenen Daten: Besonders sensible Daten (z. biometrische, Gesundheitsdaten) führen zu höheren Sanktionen.
• Anzahl der betroffenen Personen: Je mehr Menschen betroffen sind, desto höher das Risiko und die Sanktion.
• Kooperationsbereitschaft mit der Behörde: Wer transparent mitarbeitet, kann mit milderen Strafen rechnen.
• Vorkehrungen und Maßnahmen: Gab es technische und organisatorische Schutzmaßnahmen? Wurde der Vorfall gemeldet?
• Wiederholungsgefahr und Prävention: Hat das Unternehmen aus früheren Fehlern gelernt oder nicht?

Diese Kriterien sind in Art. 83 Abs. 2 DSGVO festgelegt und dienen den Behörden als Bewertungsmaßstab. In Deutschland sind zusätzlich die Vorgaben des Bundesdatenschutzgesetzes (BDSG) zu beachten, insbesondere bei der Verarbeitung von Beschäftigtendaten (§ 26 BDSG).

Warum sind Datenschutz-Bußgelder so wichtig?

Bußgelder haben eine doppelte Funktion: Sie sollen abschrecken und sensibilisieren. Datenschutz ist kein „Nice-to-have“, sondern ein Grundrecht. Unternehmen, die personenbezogene Daten verarbeiten, egal ob von Kunden, Mitarbeitenden oder Besuchern, tragen eine hohe Verantwortung. Die Sanktionen zeigen: Wer Datenschutz ignoriert, riskiert nicht nur finanzielle Schäden, sondern auch Vertrauensverlust, Reputationsschäden und rechtliche Konsequenzen.

Bedeutung von Datenschutz-Bußgeldern für Ihr Unternehmen: Bei diesen Sicherheitslösungen ist Vorsicht geboten

Moderne Sicherheitslösungen, von Videoüberwachung mit KI bis zur Zutrittskontrolle per Biometrie, versprechen Schutz und Effizienz. Doch sie bringen erhebliche datenschutzrechtliche Risiken mit sich. Weltweit haben Aufsichtsbehörden bereits hohe Bußgelder verhängt, wenn solche Systeme ohne Beachtung der DSGVO eingesetzt wurden. Im Folgenden beleuchten wir einige dieser Technologiebereiche, die in Sicherheitsinfrastrukturen üblich sind, und zeigen typische Datenschutz-Verstöße sowie Praxisfälle mit Bußgeldern. Außerdem nennen wir die wichtigsten rechtlichen Grundlagen (DSGVO und BDSG), um aufzuzeigen, worauf Mitarbeitende und Unternehmen achten müssen.

Videotechnik mit KI (Prädiktive Videoüberwachung)

Sicherheitskameras mit künstlicher Intelligenz zur Gefahrenfrüherkennung oder zur Analyse von Personenverhalten (z. B. Kundenströme, verdächtige Aktivitäten). Diese Systeme erfassen ständig Videodaten von Personen. KI-Module können Gesichter erkennen, Bewegungsmuster auswerten oder „auffälliges Verhalten” melden. Dies geschieht oft automatisiert.

Die spanische Supermarktkette Mercadona installierte in ca. 40 Filialen ein Gesichtserkennungssystem, um Ladendiebe mit Hausverbot zu erkennen. Dabei wurden alle Kunden gescannt, selbst Daten Unbeteiligter erfasst und offenbar keine DSFA durchgeführt. Die Folge war ein Bußgeld der spanischen AEPD über 2,5 Mio. €; Mercadona stoppte das Pilotprojekt umgehend.

Zutrittskontroll-Systeme (Zugang “Go-with-the-flow”)

Elektronische Zugangssysteme, die Mitarbeiter oder Besucher identifizieren, um Türen oder Schranken zu öffnen. Moderne Lösungen arbeiten z. B. mit berührungslosem Zugang („go with the flow“, was so viel bedeutet wie: fließender Durchgang ohne Stop). Dabei kommen Chipkarten, Mobile-Apps oder biometrische Merkmale (Fingerabdruckscanner, Irisscan, Gesichtserkennung) zum Einsatz, oft kombiniert mit intelligenter Software für Berechtigungsverwaltung.

Ein Unternehmen aus den Niederlanden ersetzte Ausweiskarten durch einen Fingerabdruck-Scanner für den Zugang und die Zeiterfassung. Die Beschäftigten wurden vor vollendete Tatsachen gestellt. Mehrere Mitarbeiter beschwerten sich daraufhin bei der Behörde. Die niederländische Datenschutzaufsicht stellte fest, dass keine zulässige Rechtsgrundlage für die Verarbeitung der Fingerabdrücke vorlag. Biometrie ist besonders geschützt und weder eine gültige Einwilligung noch ein anderer Ausnahmegrund nach Art. 9 Abs. 2 DSGVO war gegeben. Das Unternehmen erhielt eine Strafe von 725.000 €.

Fazit: Fingerabdrücke oder andere biometrische Verfahren sollten nur in Ausnahmefällen eingesetzt werden. In Deutschland rät man eher zu alternativen Lösungen (Karten, Codes) oder es muss eine freiwillige Opt-in-Option geben, bei der Beschäftigte auch eine nicht-biotische Zugangsmethode wählen dürfen, ohne Nachteile.