Bußgelder treffen nicht nur die Großen

Zwischen dem Heranreifen von Kindern und der Entstehung von Gesetzen bestehen erstaunliche Parallelen. Nachdem sie häufig sehnsüchtig erwartet werden, erblicken sie das Licht der Welt durch einen mühseligen Prozess. Die Entwicklung danach ist schwer abzusehen, und erst nach Jahren wird deutlich, ob sich die positiven Erwartungen erfüllen.
So ist es auch mit der Datenschutz-Grundverordnung der Europäischen Union (kurz DSGVO). Seit dem 25. Mai 2018 ist sie geltendes Recht; im Mai diesen Jahres hat sie also ihren dritten Geburtstag gefeiert. Das ist ein guter Zeitpunkt, um zu hinterfragen, ob sich die Erwartungen an die Reform bestätigen, und um ein Fazit aus dem Blickwinkel der Unternehmen zu ziehen.

Die DSGVO hat nur wenig am bereits davor in Deutschland geltenden materiellen Recht geändert. So waren die Datenschutzgrundsätze, die jeden Umgang mit personenbezogenen Daten regeln, seit Langem bekannt. Auch die Rechte von Verbrauchern gegenüber Unternehmen – zum Beispiel das Recht auf Auskunft über verarbeitete Daten – sind keine Erfindung der DSGVO. Dennoch hat ihr Inkrafttreten zu Recht große mediale Aufmerksamkeit erregt.

Die für Unternehmen wohl wichtigsten Änderungen haben die Durchsetzung des Rechts betroffen: So wurde mit der DSGVO die Obergrenze für Bußgelder erheblich angehoben – von 300.000 auf 20 Mio. Euro oder vier Prozent des Konzernumsatzes. Zugleich hat sie Firmen für die Beantwortung der Auskunfts- sowie der neu geschaffenen Löschungsansprüche eine kurze Frist von einem Monat gesetzt.

Diese Änderungen sind nicht folgenlos geblieben. Wer glaubt, Datenschutz-Bußgelder würden nur „große Player“ am Markt treffen, wie zum Beispiel H&M (35,2 Mio. Euro), der irrt sich. Ein Blick in die Statistik zeichnet ein anderes Bild: Die meisten Bußgelder lagen 2020 im drei- bis fünfstelligen Bereich und trafen kleine und mittlere Unternehmen, Vereine und Soloselbstständige.
Auch müssen viele Firmen mehr Kapazitäten darauf verwenden, Auskunfts- und Löschungsansprüche von Verbrauchern zu beantworten. Beflügelt von Mustern im Internet, nehmen Verbraucher ihre Betroffenenrechte wesentlich häufiger wahr und lassen nach Erhalt eines unerwünschten Newsletters direkt alle Daten löschen. Unternehmen stehen unter dem Druck, alle Anfragen innerhalb der Monatsfrist zu beantworten.

Eine einseitige Beurteilung der DSGVO als Belastung von Unternehmen greift jedoch zu kurz. Die DSGVO ist auch ein Wachstumsmotor für die Wirtschaft. Geschickt kommunizierte Datenschutzhinweise und die Wahl starker Datenschutz-Partner schaffen Kundenvertrauen und somit einen Wettbewerbsvorteil. Außerdem führen die in der EU verpflichtend geltenden Datenschutz-Standards dazu, dass internationale Konzerne Rechenzentren nach Europa verlagern oder sich neue Firmen hier ansiedeln.
Fazit: Das „Kind“ DSGVO macht Unternehmen Arbeit. Diese kann aber Früchte tragen, wenn Firmen aktiv die Entwicklung gestalten.

von Martin Bastius