News
DSGVO-Bußgeldverfahren: Mehr Klarheit durch Musterrichtlinien der DSK
Das Ziel der Richtlinien ist es, eine bundesweit einheitliche Vorgehensweise bei datenschutzrechtlichen Bußgeldverfahren zu schaffen. Für reine Verwaltungsverfahren, bei denen kein Bußgeld verhängt wird (z. B. Verwarnungen), gelten die Richtlinien gemäß Nr. 2 Abs. 1 S. 2 nicht. Nachfolgend stellen wir die wichtigsten Punkte aus den Richtlinien vor.
Zuständigkeit
Bei mehrfacher Zuständigkeit soll das Verfahren künftig durch eine Vereinbarung an eine einzige Behörde übertragen werden, wenn dies sachdienlich erscheint. Dies soll die Abläufe beschleunigen und für mehr Effizienz sorgen. Auch für Unternehmen ist diese Festlegung (soweit sie von den Behörden angewendet wird) vorteilhaft, da sie für Klarheit im Hinblick auf die Zuständigkeiten in Bußgeldverfahren sorgt.
Polizeiliche Anzeigen als Beschwerden nach Art. 77 DSGVO
Eine wichtige Regelung findet sich in Nr. 8 Abs. 2 der Musterrichtlinien: Anzeigen bei der Polizei können nun als Hinweis oder als Beschwerde im Sinne des Art. 77 DSGVO umgedeutet werden. Für betroffene Personen ist das von großer Bedeutung, da zuvor Unsicherheit bestand, ob eine solche Umdeutung zulässig ist, wenn kein Ermittlungsverfahren eingeleitet wurde. In der Vergangenheit wurde teilweise angenommen, dass mit dieser Entscheidung die Anzeige erledigt ist und daher eine gesonderte Beschwerde eingereicht werden muss. Die neue Regelung steht im Einklang mit dem Gesetzeszweck, den effektiven Schutz der Rechte Betroffener zu gewährleisten und trägt dem Umstand Rechnung, dass für Beschwerden nach Art. 77 DSGVO keine bestimmte Form vorgeschrieben ist. Für Unternehmen bedeutet das aber, dass das Risiko der Einleitung eines Bußgeldverfahrens etwas höher wird.
Rückgabe von Verfahren innerhalb der Behörde
Die Datenschutzbehörden in Deutschland haben eine Doppelrolle: Sie bearbeiten sowohl „klassische“ Verwaltungsverfahren als auch Bußgeldverfahren, die dem Ordnungswidrigkeitenrecht zuzuordnen sind. In der Vergangenheit war umstritten, ob ein Verfahren nach Übergabe an die Bußgeldstelle bei fehlendem Anfangsverdacht wieder an das Fachdezernat zurückgegeben werden darf. Die Richtlinien, die das nun explizit erlauben, schaffen hier mehr Klarheit. So kann die Behörde z. B. ein Unternehmen zunächst wegen eines beabsichtigten Bußgelds anhören, sich dann aber dennoch für eine Verwarnung entscheiden.
Meldung nach Art. 33 DSGVO
Nr. 9 Abs. 3 der Richtlinien regelt, dass das Verwendungsverbot aus § 43 Abs. 4 BDSG (bzw. aus entsprechenden Landesregelungen) nur greift, wenn die meldende Stelle mit ihrer Meldung ein Verschulden am Datenschutzverstoß einräumt oder auf ihr Verschulden daraus geschlossen werden kann. Das bedeutet: Werden lediglich Fakten gemeldet, aus denen kein Verschulden abgeleitet werden kann, dürfen diese Informationen im Bußgeldverfahren immer verwendet werden. Hierzu zwei Beispiele:
- Beispiel 1: Ein Unternehmen meldet, dass es am 22. Juni 2025 einen Hackerangriff gab. Diese Information ist verwertbar, da sie nichts über das Verschulden des Verantwortlichen aussagt. Die gemeldeten Umstände können in die Bewertung eines möglichen Verstoßes gegen Art. 32 DSGVO miteinfließen, etwa wenn sich später herausstellt, dass keine ausreichenden Schutzmaßnahmen vorhanden waren.
- Beispiel 2: Ein Unternehmen meldet, dass auf ausdrückliche Anweisung der Geschäftsführung Gesundheitsdaten ohne Schutzmaßnahmen nach China (oder in ein anderes Drittland ohne Angemessenheitsbeschluss) übermittelt wurden. Diese Information darf nur verwendet werden, wenn das Unternehmen der Verwertung nicht widerspricht.
Auskunftsersuchen im Verfahren
Ein weiterer wichtiger Punkt betrifft Auskunftsersuchen im Bußgeldverfahren. Die Musterrichtlinien stellen klar: Unternehmen sind gegenüber der Datenschutzbehörde im Bußgeldverfahren grundsätzlich nicht zur Auskunft verpflichtet. Zwar ergibt sich das bereits aus dem Grundsatz der Selbstbelastungsfreiheit. In der Praxis war es aus Anhörungsschreiben nicht immer eindeutig klar.
Weitere Beweismittel sind dagegen nicht eingeschränkt. Die Zeugen können vernommen werden und Unternehmen müssen, sofern die gesetzlichen Voraussetzungen erfüllt sind, Beweismittel wie Datenträger vorlegen.
Mitteilungen an das Gewerbezentralregister
Datenschutzverstöße können grundsätzlich auch Auswirkungen auf die Gewerbeerlaubnis haben. Nr. 21 der Richtlinien sieht vor, dass Verstöße an das Gewerbezentralregister gemeldet werden können. Dies ist allerdings lediglich eine „Bestandsaufnahme“ der aktuellen Rechtslage. Ernsthafte Konsequenzen drohen nur bei schwerwiegenden Verstößen.
Mitteilungen an die Öffentlichkeit
Nr. 23 der Richtlinien regelt die Information an die Medien. Gerade bei Datenschutzverstößen großer Unternehmen besteht regelmäßig ein öffentliches Interesse an einer entsprechenden Berichterstattung. Die Behörden können selbst entscheiden, ob sie die Medien informieren, solange die Informationen sachlich und korrekt sind. Für Unternehmen kann dies im Ernstfall zu erheblichen Imageschäden führen.
Fazit
Die Musterrichtlinien sind ein wichtiger Schritt zur deutschlandweiten Harmonisierung der datenschutzrechtlichen Bußgeldverfahren. Sie sind überwiegend allgemein gehalten und lassen an einigen Stellen Raum für Interpretationen, beantworten aber auch viele bislang umstrittene Fragen. Den größten Mehrwert haben die Richtlinien für die Behörden selbst. Dies zeigt sich bereits an den teilweise sehr spezifischen Regelungen, die darauf abzielen, praktische Probleme aus dem Behördenalltag zu lösen. Dennoch können auch Unternehmen wertvolle Erkenntnisse daraus ableiten.
Ein genauer Zeitplan für die Umsetzung der Richtlinien als Verwaltungsvorschriften steht noch nicht fest. Aufgrund des großen Umsetzungsinteresses der Behörden ist damit wohl noch bis Ende 2025 zu rechnen.
News
Bestandskundenwerbung (nur) nach UWG: EuGH-Entscheidung Inteligo Media
Der EuGH hat in der Rechtssache C-654/23 (Inteligo Media) klargestellt, dass bei Bestandskundenwerbung nach Art. 13 Abs. 2 ePrivacy-RL die Rechtmäßigkeitsvoraussetzungen des Art. 6 Abs. 1 DSGVO nicht zur Anwendung kommen. Damit weicht das Urteil von der bislang vielfach vertretenen Behördenpraxis ab. Zugleich erweitert der EuGH durch seine Auslegung des Begriffs „Verkauf“ den Anwendungsbereich der Bestandskundenausnahme.
Wer ist „Geschäftsleitung“ nach dem BSIG? Prokurist, CIO, Komplementär im Fokus
Das durch die europäische NIS-2-Richtlinie geänderte Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) bringt eine ganze Reihe an Neuerungen im Bereich der IT-Sicherheit. Im Gegensatz zu sonstigen Rechtsakten der europäischen Digitalgesetzgebung enthalten die Änderungen des BSIG durch die NIS-2-Richtlinie eine neue Vorgabe, die explizit Geschäftsleitungen von BSIG-relevanten Unternehmen und sonstigen Stellen besonders interessieren dürfte.
Vom Abwasser bis zur IT — Eigenbetriebe als potenziell wichtige oder besonders wichtige Einrichtungen nach dem BSIG
Hinsichtlich öffentlicher Stellen der Länder verhält sich das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) sehr zurückhaltend. Nicht zuletzt aufgrund der Verteilung der Gesetzgebungskompetenzen zwischen Bund und Ländern finden sich zwar insbesondere in § 29 und Teil 3 Kapitel 3 BSIG Regelungen betreffend die Bundesverwaltung. Entsprechende Regelungen in Bezug auf Verwaltungen der Länder fehlen indes, sodass man auf die Idee kommen könnte, dass insbesondere Einrichtungen außerhalb der Bundes- und Landesverwaltung nicht vom BSIG adressiert werden.
Konzern-IT-Gesellschaften unter der NIS-2-Richtlinie – Neue Herausforderungen für Managed Service Provider und Managed Security Service Provider?
Viele Konzerne oder Unternehmensgruppen betreiben eine eigene IT-(Service) Gesellschaft, die bspw. ERP, MS 365 & Co. ausschließlich für andere Konzerngesellschaften bereitstellt. Mit Geltung der neuen Vorgaben der NIS-2-Richtlinie stellt sich die Frage, ob diese eigene interne IT nach dem deutschen NIS-2-Umsetzungsgesetz (= § 2 Nr. 26 BSIG) als „Managed Service Provider“ (MSP) einzuordnen ist – und sich daher spezifische Pflichten ergeben.
Blackout in Berlin – Meldepflichten für Unternehmen?
Von dem großflächigen Stromausfall im Berliner Südwesten sind etwa 2.200 Unternehmen betroffen. Viele davon müssen wohl leider damit rechnen, noch bis Donnerstag nicht wieder an das Stromnetz angeschlossen zu werden. Der Blackout hat für Unternehmen auch eine (datenschutz- und IT-Sicherheits-)rechtliche Dimension. Die Datenschutz-Grundverordnung sowie das BSI-Gesetz sehen für relevante Sicherheitsvorfälle Meldepflichten vor.
Private Nutzung betrieblicher E-Mail-Postfächer
Für die Zulässigkeit von Zugriffen auf Mitarbeiter-E-Mails ist die Anwendbarkeit des Fernmeldegeheimnisses höchst relevant. In der Vergangenheit wurden Arbeitgeber oft als Telekommunikationsanbieter eingestuft, wenn eine private Nutzung erlaubt war. Seit der Neuregelung der relevanten Vorschriften im Jahr 2021 vertreten die Aufsichtsbehörden zunehmend, dass das Fernmeldegeheimnis nicht greift. Auch die Bundesnetzagentur lehnt diese Einordnung in einem neuen Papier mit überzeugenden Argumenten ab. Aber welche Folgen hat das für die Unternehmen?
Mit dieser Frage befasst sich der aktuelle Beitrag von Dr. Carlo Piltz und Ilia Kukin in der K&R. Der Volltext ist hier abrufbar.