Wie sich mittlerweile herumgesprochen haben sollte, drohen bei Verstößen gegen die EU-Datenschutzgrundverordnung (EU-DSGVO) Geldbußen von bis zu EUR 20.000.000,- oder im Falle eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs.

Diese existenzvernichtende Drohung des europäischen Gesetzgebers hat ihre Wirkung nicht verfehlt: Die europäischen Unternehmen wurden in helle Aufregung versetzt und bemühen sich seit Monaten intensiv, nicht zuletzt um solche Geldbußen zu vermeiden, ihre Geschäftsmodelle bis zum 25.05.2018 fit für die EU-DSGVO zu machen.

Für österreichische Unternehmen kann nun teilweise Entwarnung gegeben werden. Am 20.04.2018 wurde das „Bundesgesetz, mit dem das Datenschutzgesetz geändert wird (Datenschutz-Deregulierungs-Gesetz 2018)“ im Nationalrat angenommen. Der neu verfasste § 11 DSG sieht nun vor, dass die Datenschutzbehörde die Bestimmungen des Art 83 DSGVO, wo die oben erwähnte Geldbußen festgelegt sind, so anzuwenden hat, dass die Verhältnismäßigkeit gewahrt wird. Bei erstmaligen Verstößen wird die Datenschutzbehörde von ihren Abhilfebefugnissen insbesondere durch Verwarnungen Gebrauch machen.

Somit gilt, dass grundsätzlich erst eine Verwarnung auszusprechen ist, bevor es zu einer Strafe kommt. Und selbst wenn eine Strafe ausgesprochen werden sollte, dann sicher nicht in einer Höhe, die ein Unternehmen in die Insolvenz treiben könnte. Die Höhe der Geldbuße muss verhältnismäßig sein und sich an der Schwere des Verstoßes und an der Größe des Unternehmens orientieren.

Es besteht somit kein Grund, dem 25. Mai 2018 sorgenvoll entgegen zu blicken. Die EU-DSGVO wird wohl nicht so heiß gegessen werden, wie es der Aufruhr um sie in den letzten Monaten vermuten lässt. Dies ist jedoch kein Grund, nun die Füße hochzulegen und die DSGVO zu ignorieren. Auch eine Verwarnung kann sehr unangenehme Folgen haben und sich negativ auf das Image des Unternehmens auswirken. Außerdem drohen bei Verstößen nicht nur Geldbußen der Behörde, sondern auch Schadenersatzansprüche der Betroffenen. Außerdem könnte ein Verstoß gegen eine Bestimmung des Datenschutzgesetzes als unlauterer Wettbewerb betrachtet werden und entsprechende Unterlassungsklagen von Konkurrenten nach sich ziehen.