Datenschutzverstöße sind kein IT-Problem, sondern ein Geschäftsrisiko
Für Unternehmen bedeuten sie Bußgelder in Millionenhöhe, persönliche Haftung von Geschäftsleitern, Reputationsschäden und Folgeprozesse. Reef Rechtsanwälte unterstützt Unternehmen dabei, Datenschutzrisiken strategisch zu steuern: präventiv durch Compliance- und Datenschutz-Strukturen, und reaktiv durch Verteidigung in Bußgeld- und Gerichtsverfahren.
Warum Datenschutz-Compliance für Unternehmen „unternehmenskritisch“ ist
Mit der Datenschutz-Grundverordnung (DSGVO) ist der Umgang mit personenbezogenen Daten zu einem zentralen Compliance-Thema geworden. Verstöße können mit Bußgeldern von bis zu 10 Millionen Euro oder 2% des weltweit erzielten Jahresumsatzes geahndet werden; bei besonders schweren Verstößen steigt der Rahmen auf bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes des Konzerns, zu dem das Unternehmen gehört (Art. 83 Abs. 4, 5 DSGVO; EuGH, Urt. v. 13.02.2025 – Bußgeldobergrenze nach Gesamtkonzernumsatz).
- Gleichzeitig haben EuGH und BGH die Voraussetzungen für Bußgelder und Schadensersatz präzisiert:
Der EuGH hat klargestellt, dass Bußgelder gegen Unternehmen als „wirtschaftliche Einheit“ verhängt werden können – ohne Identifikation einer konkreten natürlichen Person –, sofern ein vorsätzlicher oder fahrlässiger Verstoß vorliegt (u.a. EuGH, Urt. v. 05.12.2023 – C683/21 „NVSC“; EuGH, Rs. C807/21 „Deutsche Wohnen“). - Zugleich hat der EuGH entschieden, dass nicht jeder DSGVO-Verstoß automatisch einen Schadensersatzanspruch nach Art. 82 DSGVO auslöst; erforderlich ist ein konkreter immaterieller Schaden.
- Der BGH hat diese Linie fortgeführt und u.a. zur Frage des immateriellen Schadens im Zusammenhang mit unzulässiger Werbung, Kontrollverlust und bloßer Befürchtung des Datenmissbrauchs Stellung genommen (BGH, Urt. v. 18.11.2024 – VI ZR 10/24; Fortführung in Entscheidung vom 27.01.2025 zu unverlangten Werbe-E-Mails).
Für Unternehmen bedeutet dies: Aufsichtsbehörden, Wettbewerber und Betroffene können Datenschutzverstöße zunehmend effektiver angreifen – Bußgeld, Unterlassung, Schadensersatz und Reputationsschäden greifen ineinander.
Datenschutz-Ordnungswidrigkeitenverfahren – strategische Verteidigung statt Schadensbegrenzung
2.1. Rechtlicher Rahmen von OWi-Verfahren im Datenschutz
Die DSGVO bildet zusammen mit dem Bundesdatenschutzgesetz (BDSG) den Rahmen für Datenschutz-Ordnungswidrigkeiten:
- Art. 83 DSGVO legt die allgemeinen Voraussetzungen und Sanktionsrahmen für Bußgelder fest.
- § 41 BDSG erklärt das Gesetz über Ordnungswidrigkeiten (OWiG) für anwendbar und verweist damit auf zentrale Verfahrensnormen, u. a. § 55 OWiG (Anhörung) und § 77 OWiG (freie richterliche Beweiswürdigung) im gerichtlichen Verfahren.
Die europarechtlichen Vorgaben zur Bußgeldbemessung werden durch Leitlinien des Europäischen Datenschutzausschusses (EDSA) konkretisiert. Die aktuellen Leitlinien 04/2022 zur Berechnung von Verwaltungsstrafen geben Aufsichtsbehörden ein fünfstufiges Schema vor: Bestimmung des relevanten Verstoßes, Ermittlung des Umsatzzugangs, Einstufung der Schwere, Anpassung anhand der Kriterien des Art. 83 Abs. 2 DSGVO sowie abschließende Verhältnismäßigkeitsprüfung.
Wesentliche, aktuell geklärte Fragen:
- Unternehmensbegriff und § 30 OWiG: Die Frage, ob für ein DSGVO-Bußgeld der Nachweis einer Leitungsperson i. S. d. § 30 OWiG erforderlich ist, war in der deutschen Rechtsprechung umstritten (LG Bonn vs. LG Berlin). Der EuGH hat die Aufsichtsbehörden gestärkt, indem er die unmittelbare Unternehmenshaftung im unionsrechtlichen Sinne bestätigt hat.
- Verschulden: Gleichzeitig verlangt der EuGH ein vorsätzliches oder fahrlässiges Verhalten des Verantwortlichen als Voraussetzung für ein Bußgeld – reine Erfolgshaftung ist unzulässig.
Reef Rechtsanwälte verknüpft diese europarechtlichen Leitplanken mit den Besonderheiten des deutschen OWi-Verfahrensrechts und entwickelt auf dieser Basis maßgeschneiderte Verteidigungsstrategien.
Typischer Ablauf eines Datenschutz-OWi-Verfahrens
Ablauf eines Datenschutz-Ordnungswidrigkeitsverfahrens: Vorverfahren und Hauptverfahren
Ein Ordnungswidrigkeitsverfahren im Datenschutz verläuft regelmäßig in zwei Phasen:
Phase 1: Vorverfahren bei der Aufsichtsbehörde
1. Ausgangspunkt
Häufige Auslöser sind:
- Beschwerden von Betroffenen
- Meldungen von Datenpannen (Art. 33 DSGVO)
- Hinweise von Wettbewerbern oder Mitarbeitern
- Proaktive Prüfungen der Aufsichtsbehörden
2. Auskunftsersuchen und erste Stellungnahme
Die zuständige Landesdatenschutzbehörde oder der LDI wendet sich mit einem Auskunftsersuchen an das Unternehmen. Dieses Schreiben enthält regelmäßig detaillierte Fragen zu technischen und organisatorischen Maßnahmen (TOM), Rechtsgrundlagen, Verträgen mit Dienstleistern und internen Prozessen.
3. Formelle Anhörung nach § 55 OWiG
Liegt ein Anfangsverdacht vor, leitet die Behörde ein förmliches Anhörungsverfahren ein. Das Unternehmen erhält Gelegenheit, zu den Vorwürfen Stellung zu nehmen. Diese Äußerung ist regelmäßig entscheidend für die weitere Weichenstellung des Verfahrens.
4. Entscheidung der Behörde
Auf Grundlage der Ermittlungsergebnisse und der Stellungnahme entscheidet die Behörde, ob das Verfahren
- eingestellt,
- mit einer Verwarnung,
- oder mit einem Bußgeldbescheid fortgeführt wird.
In dieser Phase ist es von zentraler Bedeutung, ausreichend mitzuwirken, ohne unnötig belastende Sachverhalte zu offenbaren – auch vor dem Hintergrund der Selbstbelastungsfreiheit und der Meldepflichten nach Art. 33 DSGVO.
Phase 2: Hauptverfahren vor dem Amtsgericht
Kommt es zu einem Bußgeldbescheid, kann das Unternehmen Einspruch einlegen. Über den Einspruch entscheidet das Amtsgericht im gerichtlichen OWi-Verfahren. Hier gelten insbesondere:
- § 77 OWiG (freie richterliche Beweiswürdigung)
- Voller Beweis durch Zeugen, Urkunden, Sachverständige
- Erneute Prüfung der Rechtsanwendung, der Bußgeldhöhe und der Verhältnismäßigkeit
Gerichte überprüfen u. a.:
- ob die Behörde die EDSA-Leitlinien zur Bußgeldberechnung korrekt angewendet hat,
- ob ein funktionierendes Compliance-System bestand (dies kann bußgeldmindernd wirken),
- ob der zugrunde gelegte Unternehmensumsatz unionsrechtlichen Anforderungen entspricht (Konzernumsatz).
Reef Rechtsanwälte übernimmt die gerichtliche Vertretung, entwickelt Beweisstrategien, greift Ermittlungsdefizite an und verhandelt, wo sinnvoll, über einvernehmliche Lösungen.
Typische DSGVO-Verstöße – und wie REEF Rechtsanwälte hilft, sie zu vermeiden
1. Fehlende Rechtsgrundlage (Art. 6 DSGVO)
Der häufigste Verstoß ist die Verarbeitung personenbezogener Daten ohne tragfähige Rechtsgrundlage:
- Unzulässige Nutzung von E-Mail-Adressen zu Marketingzwecken ohne wirksame Einwilligung
- Weitreichende Profilbildung ohne legitime Interessenabwägung
- Überlange Speicherung von Mitarbeiter-, Kunden- oder Bewerberdaten
Die Rechtsprechung befasst sich zunehmend auch mit der Verzahnung von DSGVO-Verstößen und Wettbewerbsrecht, etwa bei fehlerhaften oder intransparenten Informationspflichten und Einwilligungen.
Leistung von Reef Rechtsanwälte: Analyse der Verarbeitungsprozesse, rechtliche Einordnung nach Art. 6 DSGVO, Gestaltung und Dokumentation von Einwilligungserklärungen und Interessenabwägungen, Abwehr von Unterlassungs- und Schadensersatzansprüchen.
2. Mangelhafte Auftragsverarbeitungsverträge (Art. 28 DSGVO)
Sobald ein externer Dienstleister personenbezogene Daten nach Weisung verarbeitet, ist ein konformer Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich.
Kernpunkte nach Art. 28 DSGVO:
- Gegenstand, Dauer, Zweck und Art der Verarbeitung
- Kategorien von Daten und Betroffenen
- Weisungsrecht des Verantwortlichen
- Vertraulichkeitsverpflichtungen
- Detaillierte Beschreibung der TOM (Art. 32 DSGVO)
- Regelung von Subunternehmern
- Meldepflicht bei Datenschutzvorfällen (Art. 33 DSGVO)
- Kontroll- und Auditrechte
Die Aufsichtsbehörden prüfen AVV sowohl in Verfahren als auch in Routinekontrollen sehr intensiv.
Leistung von Reef Rechtsanwälte: Erstellung und Überarbeitung von AVV, Vertragsprüfung von Cloud-, SaaS- und Outsourcing-Verträgen, Implementierung praxisnaher Kontroll- und Auditkonzepte, Unterstützung beim elektronischen Vertragsschluss (Art. 28 Abs. 9 DSGVO).
3. Unzureichende technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)
Art. 32 DSGVO verlangt vom Verantwortlichen und Auftragsverarbeiter geeignete TOM zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.
Typische Defizite:
- Fehlende Verschlüsselung und Pseudonymisierung
- Unzureichendes Berechtigungs- und Zugriffsmanagement
- Kein Notfall- und Backup-Konzept
- Geringe Sensibilisierung und Schulung der Mitarbeitenden
Die TOM müssen sich am Stand der Technik, dem Risiko und dem Umfang der Verarbeitung orientieren – und nachvollziehbar dokumentiert sein.
Leistung von Reef Rechtsanwälte: Rechtliche Bewertung der TOM, Begleitung technischer Umsetzung mit IT-Partnern, Erstellung von TOM-Anhängen (z. B. zum AVV) und Dokumentationsunterlagen, strategische Beratung zur Risikodokumentation für Behörde und Gericht.
4. Fehlende Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Für Verarbeitungsvorgänge mit voraussichtlich hohem Risiko (z. B. biometrische Verfahren, Profiling, umfangreiche Überwachung) ist eine Datenschutz-Folgenabschätzung (DSFA) vorgeschrieben.
Die DSFA umfasst:
- Beschreibung der Verarbeitungsvorgänge und Zwecke
- Bewertung der Notwendigkeit und Verhältnismäßigkeit
- Risikobewertung für die Rechte und Freiheiten der Betroffenen
- Maßnahmen zur Risikominderung
Aufsichtsbehörden führen Listen, wann eine DSFA zwingend erforderlich ist; fehlende DSFAs sind regelmäßig Gegenstand behördlicher Kritik.
Leistung von Reef Rechtsanwälte: Identifikation DSFA-pflichtiger Prozesse, strukturierte Durchführung und Dokumentation der DSFA, Einbindung des Datenschutzbeauftragten, Begleitung im Dialog mit Aufsichtsbehörden.
5. Unzureichende Transparenz und Informationspflichten
Fehlende oder unklare Datenschutzhinweise, intransparente Cookie-Banner und unpräzise Informationen über Zwecke und Empfänger der Datenverarbeitung gehören zu den Standardbefunden von Aufsichtsbehörden und Gerichten.
Leistung von Reef Rechtsanwälte: Erstellung und Überarbeitung der Datenschutzerklärung (Web, App, Offline), Gestaltung rechtskonformer Consent-Banner, Harmonisierung der Informationspflichten in Vertrieb, HR und IT.
6. Mangelhafte Lösch- und Aufbewahrungskonzepte
Die DSGVO verankert das Datenminimierungs- und Speicherbegrenzungsprinzip. Unternehmen müssen Löschfristen bestimmen, dokumentieren und implementieren; Verstöße hiergegen waren bereits Gegenstand von Bußgeldverfahren (u. a. im Zusammenhang mit umfangreichen Datenarchiven).
Leistung von Reef Rechtsanwälte: Erstellung von Lösch- und Aufbewahrungskonzepten, Abstimmung mit HGB- und steuerlichen Aufbewahrungspflichten, prozessuale Umsetzung gemeinsam mit IT und Fachbereichen.
7. Datenpannen und Meldepflichten (Art. 33, 34 DSGVO)
Meldepflicht bei Datenpannen: 72-Stunden-Frist nach Art. 33 DSGVO
Art. 33 DSGVO verpflichtet zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden“, Art. 34 DSGVO zur Benachrichtigung der Betroffenen bei hohem Risiko.
Häufige Fehler:
- Unklare interne Meldewege („niemand fühlt sich zuständig“)
- Fehlende Dokumentation, obwohl keine Meldepflicht besteht (Art. 33 Abs. 5 DSGVO)
- Unzureichende oder verspätete Meldungen, die das Bußgeldrisiko erhöhen
Leistung von Reef Rechtsanwälte: Einrichtung von Incident-Response-Prozessen, Erstellung von Meldevorlagen, 24/7-Notfallberatung bei Datenpannen, strategische Begleitung gegenüber Aufsichtsbehörden.
Proaktive Datenschutz-Audits und Zertifizierungen
Die 6 Kernbereiche eines professionellen Datenschutz-Audits
1. Datenschutz-Audit als Compliance-Baustein
Ein strukturiertes Datenschutz-Audit ist die effektivste Maßnahme, um Risiken frühzeitig zu erkennen und im Ernstfall Bußgeldminderungsgründe vorweisen zu können.
Reef Rechtsanwälte prüft u. a.:
- Rechtliche Bewertung & Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
- Vollständigkeit und Aktualität des Verzeichnisses
- Abgleich mit tatsächlichen Prozessen
- Vertragsgestaltung (Art. 28 DSGVO)
- AVV mit Dienstleistern, insbesondere Cloud- und SaaS-Anbieter
- Regelungen zu Subunternehmern, TOM-Anhängen, Auditrechten
- TOM nach Art. 32 DSGVO
- Technische Sicherheitsmaßnahmen, Zugriffskonzepte, Backup-Strategien
- DSFA (Art. 35 DSGVO)
- Prüfung der DSFA-Pflicht
- Qualität und Vollständigkeit vorhandener DSFAs
- Schulungs- und Sensibilisierungsprogramme
- Schulungsstand der Mitarbeitenden
- Prozesse zur wiederkehrenden Sensibilisierung
- Lösch- und Aufbewahrungskonzepte
- Umsetzbare Löschkonzepte
- Abstimmung mit gesetzlichen Aufbewahrungsfristen
2. Zertifizierung und Nachweis der Compliance (Art. 42 DSGVO)
Die DSGVO sieht mit Art. 42 ein System von Zertifizierungen vor, die als Nachweis für ein angemessenes Datenschutzniveau dienen können. Zertifizierungen durch Institute wie den TÜV oder andere akkreditierte Stellen werden zunehmend von Geschäftspartnern und Behörden als Compliance-Indikator wahrgenommen.
Reef Rechtsanwälte begleitet Unternehmen auf dem Weg zur Zertifizierung:
- Vorbereitung des Audit-Scopes
- Schließen identifizierter Lücken
- Zusammenstellung der Nachweise
- Begleitung und Kommunikation mit der Zertifizierungsstelle
Bußgeldrisiko, Schadensersatz und wirtschaftliche Folgen
DSGVO-Bußgelder: Maximale Sanktionshöhen nach Art. 83 DSGVO
1. Bußgeldhöhe nach Art. 83 DSGVO
Die Bußgeldpraxis der Aufsichtsbehörden orientiert sich zunehmend an den EDSA-Leitlinien 04/2022 und den Entscheidungen von EuGH und nationalen Gerichten.
Wesentliche Faktoren:
- Art, Schwere und Dauer des Verstoßes
- Zahl der Betroffenen und Umfang der Daten
- Vorsatz oder Fahrlässigkeit
- Umfang der Zusammenarbeit mit der Behörde
- Vorhandensein eines wirksamen Compliance-Systems
Der EuGH verlangt, dass Bußgelder wirksam, verhältnismäßig und abschreckend sein müssen, sich aber an der wirtschaftlichen Leistungsfähigkeit der Unternehmensgruppe orientieren.
2. DSGVO-Schadensersatz (Art. 82 DSGVO)
Art. 82 DSGVO gewährt Betroffenen einen Anspruch auf materiellen und immateriellen Schadenersatz. EuGH und nationale Gerichte haben klargestellt, dass:
- ein Verstoß allein nicht genügt – es muss ein individueller Schaden vorliegen,
- immaterielle Schäden u. a. in Kontrollverlust, Angst, Stigmatisierung oder anderen Beeinträchtigungen liegen können,
- die Schwelle nicht trivial ist, aber keine „Erheblichkeitsschwelle“ verlangt wird.
Die aktuelle Rechtsprechung zu Auskunftspflichten, Profiling, Datenlecks und Direktwerbung zeigt ein dynamisches Feld, in dem sich Haftungsumfang und Bemessung von immateriellen Schäden weiterentwickeln.
Reef Rechtsanwälte unterstützt Unternehmen sowohl bei der Abwehr unberechtigter Massenschadensersatzforderungen als auch bei der strategischen Regulierung berechtigter Ansprüche.
Wie REEF Rechtsanwälte konkret unterstützt
Reef Rechtsanwälte bietet u.a.:
- Laufende Begleitung bei der Implementierung eines Datenschutz-Compliance-Systems
- Rechtliche Bewertung von Datenverarbeitungsprozessen, Erstellung und Prüfung von AVV und Datenschutzhinweisen
- Durchführung von Datenschutz-Audits mit priorisiertem Maßnahmenplan
- Beratung zu Datenschutz-Folgenabschätzungen, DSFA-Dokumentation und Kommunikation mit Aufsichtsbehörden
- Notfall- und Krisenberatung bei Datenpannen inklusive Bewertung der Melde- und Benachrichtigungspflichten
- Verteidigung in Ordnungswidrigkeitenverfahren und gerichtlichen Verfahren vor den Amtsgerichten, Landgerichten und Obergerichten
- Unterstützung in Schadensersatz- und wettbewerbsrechtlichen Verfahren mit DSGVO-Bezug
