Databeschermingschendenmeten sijn een IT-probleem, of sie des andere risico in kind
Voor bedrijven betekenen ze miljoenenboetes, persoonlijke aansprakelijkheid van leidinggevenden, reputatieschade en rechtszaken. Reef Rechtsanwälte ondersteunt bedrijven bij het strategisch beheersen van dataprivacyrisico’s: preventief door compliance- en dataprivacystructuren, en reactief door verdediging in boete- en gerechtelijke procedures.
Warm dataprivacy-compliance voor bedrijven - het belangrikk van %goedne bescherming
Met de Algemene Verordening Gegevensbescherming (AVG) is de omgang met persoonsgegevens een centraal compliancethema geworden. Overtredingen kunnen worden bestraft met boetes tot 10 miljoen euro of 2% van de wereldwijd behaalde jaaromzet; bij bijzonder ernstige overtredingen stijgt het kader tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van de groep waartoe het bedrijf behoort (Art. 83 lid 4, 5 AVG; HvJ EU, arrest van 13.02.2025 – boetegrens op basis van groepsomzet).
- Tegelijkertijd hebben het HvJ EU en de BGH de voorwaarden voor boetes en schadevergoeding gepreciseerd:
Het HvJ EU heeft verduidelijkt dat boetes kunnen worden opgelegd aan bedrijven als ‘economische eenheid’ – zonder identificatie van een concrete natuurlijke persoon – mits sprake is van een opzettelijke of nalatige overtreding (o.a. HvJ EU, arrest van 05.12.2023 – C683/21 ‘NVSC’; HvJ EU, zaak C807/21 ‘Deutsche Wohnen’). - Tegelijkertijd heeft het HvJ EU beslist dat niet elke AVG-overtreding automatisch een recht op schadevergoeding volgens Art. 82 AVG geeft; er is sprake van een concrete immateriële schade vereist.
- De BGH heeft deze lijn voortgezet en zich onder andere uitgesproken over de vraag van immateriële schade in verband met ongeoorloofde reclame, verlies van controle en loutere vrees voor datamisbruik (BGH, arrest van 18.11.2024 – VI ZR 10/24; voortzetting in beslissing van 27.01.2025 over ongevraagde reclame-e-mails).
Voor bedrijven betekent dit: Toezichthoudende autoriteiten, concurrenten en betrokkenen kunnen dataprivacy-overtredingen steeds effectiever aanpakken – boete, staking, schadevergoeding en reputatieschade grijpen in elkaar.
Dataprivacy-boetegrakemen – strategische verdediging van boetetrajecten
2.1. Juridisch kader van boeteprocedures in de gegevensbescherming
De AVG vormt samen met de Duitse federale gegevensbeschermingswet (BDSG) het kader voor gegevensbeschermingsboetes:
- Art. 83 AVG legt de algemene voorwaarden en sanctiekaders voor boetes vast.
- § 41 BDSG verklaart de Wet op de economische delicten (OWiG) van toepassing en verwijst daarmee naar centrale procedurele normen, waaronder § 55 OWiG (hoorrecht) en § 77 OWiG (vrije rechterlijke bewijswaardering) in de gerechtelijke procedure.
De Europese richtlijnen voor de vaststelling van boetes worden geconcretiseerd door richtlijnen van de Europese Gegevensbeschermingsraad (EDSA). De huidige richtlijnen 04/2022 voor de berekening van bestuurlijke boetes geven toezichthoudende autoriteiten een vijfstappenschema: bepaling van de relevante overtreding, vaststelling van de omzet, classificatie van de ernst, aanpassing op basis van de criteria van Art. 83 lid 2 AVG en een laatste evenredigheidstoets.
Belangrijke, recentelijk verduidelijkte vragen:
- Bedrijfsbegrip en § 30 OWiG: De vraag of voor een AVG-boete het bewijs van een leidinggevende persoon in de zin van § 30 OWiG vereist is, was in de Duitse rechtspraak omstreden. Het HvJ EU heeft de toezichthoudende autoriteiten versterkt door de rechtstreekse bedrijfsaansprakelijkheid in de zin van het Unierecht te bevestigen.
- Schuld: Tegelijkertijd vereist het HvJ EU een opzettelijk of nalatig gedrag van de verantwoordelijke als voorwaarde voor een boete – loutere resultaatsaansprakelijkheid is niet toegestaan.
Reef Rechtsanwälte verbindt deze Europese kaders met de bijzonderheden van het Duitse boeteprocedurerecht en ontwikkelt op basis daarvan op maat gemaakte verdedigingsstrategieën.
Typische affolop van een dataprivacy-boetetraject
Verloop van een gegevensbeschermingsboeteprocedure: voorprocedure en hoofdprocedure
Een boeteprocedure in de gegevensbescherming verloopt regelmatig in twee fasen:
Fase 1: Voorprocedure bij de toezichthoudende autoriteit
1. Uitgangspunt
Veelvoorkomende aanleidingen zijn:
- Klachten van betrokkenen
- Meldingen van datalekken (Art. 33 AVG)
- Informatie van concurrenten of werknemers
- Proactieve controles door toezichthoudende autoriteiten
2. Verzoek om informatie en eerste reactie
De bevoegde deelstaatgegevensbeschermingsautoriteit of LDI richt een verzoek om informatie aan het bedrijf. Deze brief bevat regelmatig gedetailleerde vragen over technische en organisatorische maatregelen (TOM), rechtsgronden, contracten met dienstverleners en interne processen.
3. Formele hoorzitting volgens § 55 OWiG
Als er een eerste verdenking bestaat, start de autoriteit een formele hoorzittingsprocedure. Het bedrijf krijgt de gelegenheid om op de beschuldigingen te reageren. Deze reactie is regelmatig beslissend voor de verdere koers van de procedure.
4. Beslissing van de autoriteit
Op basis van de onderzoeksresultaten en de reactie beslist de autoriteit of de procedure
- wordt beëindigd,
- wordt voortgezet met een waarschuwing,
- of met een boetebesluit wordt voortgezet.
In deze fase is het van centraal belang voldoende mee te werken zonder onnodig belastende feiten te onthullen – ook tegen de achtergrond van het recht op zwijgen en de meldingsplichten volgens Art. 33 AVG.
Fase 2: Hoofdprocedure voor de kantonrechter
Als het tot een boetebesluit komt, kan het bedrijf bezwaar maken. Over het bezwaar beslist de kantonrechter in de gerechtelijke boeteprocedure. Hier gelden met name:
- § 77 OWiG (vrije rechterlijke bewijswaardering)
- Volledig bewijs door getuigen, documenten, deskundigen
- Opnieuw toetsen van de rechtstoepassing, de hoogte van de boete en de evenredigheid
Rechtbanken toetsen onder andere:
- of de autoriteit de EDSA-richtlijnen voor de boeteberekening correct heeft toegepast,
- of er een functionerend compliancesysteem bestond (dit kan boeteverlagend werken),
- of de gebruikte bedrijfsomzet voldoet aan de Unierechtelijke vereisten (groepsomzet).
Reef Rechtsanwälte neemt de gerechtelijke vertegenwoordiging over, ontwikkelt bewijsstrategieën, valt onderzoeksachterstanden aan en onderhandelt, waar zinvol, over minnelijke oplossingen.
Typische AVG-ootredingen – en hoe REEF Rechtsanwälte helft, siefsup ze verwijder
1. Ontbrekende rechtsgrondslag (Art. 6 AVG)
De meest voorkomende overtreding is de verwerking van persoonsgegevens zonder houdbare rechtsgrondslag:
- Ongeoorloofd gebruik van e-mailadressen voor marketingdoeleinden zonder geldige toestemming
- Verstrekkende profilering zonder belangenafweging van legitieme belangen
- Te lange opslag van werknemers-, klanten- of sollicitantgegevens
De rechtspraak houdt zich ook steeds vaker bezig met de verweving van AVG-overtredingen en mededingingsrecht, bijvoorbeeld bij foutieve of intransparante informatieplichten en toestemmingen.
Dienstverlening van Reef Rechtsanwälte: Analyse van verwerkingsprocessen, juridische classificatie volgens Art. 6 AVG, opstellen en documenteren van toestemmingsverklaringen en belangenafwegingen, afweren van stakings- en schadevergoedingsvorderingen.
2. Gebrekkige verwerkersovereenkomsten (Art. 28 AVG)
Zodra een externe dienstverlener persoonsgegevens verwerkt in opdracht, is een conforme verwerkersovereenkomst (AVV) dwingend vereist.
Kernpunten volgens Art. 28 AVG:
- Onderwerp, duur, doel en aard van de verwerking
- Categorieën van gegevens en betrokkenen
- Instructierecht van de verantwoordelijke
- Vertrouwelijkheidsverplichtingen
- Gedetailleerde beschrijving van de TOM (Art. 32 AVG)
- Regeling van onderaannemers
- Meldingsplicht bij dataprivacy-incidenten (Art. 33 AVG)
- Controle- en auditrechten
De toezichthoudende autoriteiten toetsen verwerkersovereenkomsten zowel in procedures als in routinematige controles zeer intensief.
Dienstverlening van Reef Rechtsanwälte: Opstellen en herzien van verwerkersovereenkomsten, contracttoetsing van cloud-, SaaS- en outsourcingcontracten, implementeren van praktijkgerichte controle- en auditconcepten, ondersteuning bij elektronische contractsluiting (Art. 28 lid 9 AVG).
3. Onvoldoende technische en organisatorische maatregelen (TOM, Art. 32 AVG)
Art. 32 AVG vereist van de verantwoordelijke en de verwerker geschikte TOM om de vertrouwelijkheid, integriteit, beschikbaarheid en robuustheid van de systemen te waarborgen.
Typische tekortkomingen:
- Ontbrekende encryptie en pseudonimisering
- Onvoldoende autorisatie- en toegangsbeheer
- Geen nood- en back-upconcept
- Weinig bewustwording en training van medewerkers
De TOM moeten zich richten op de stand van de techniek, het risico en de omvang van de verwerking – en navolgbaar gedocumenteerd zijn.
Dienstverlening van Reef Rechtsanwälte: Juridische beoordeling van de TOM, begeleiding van technische implementatie met IT-partners, opstellen van TOM-bijlagen (bijv. bij de verwerkersovereenkomst) en documentatiemateriaal, strategisch advies over risicodocumentatie voor autoriteit en rechter.
4. Ontbrekende gegevensbeschermingseffectbeoordeling (Art. 35 AVG)
Voor verwerkingsactiviteiten met een waarschijnlijk hoog risico (bijv. biometrische procedures, profilering, uitgebreide monitoring) is een gegevensbeschermingseffectbeoordeling (DPIA) voorgeschreven.
De DPIA omvat:
- Beschrijving van de verwerkingsactiviteiten en doeleinden
- Beoordeling van de noodzaak en evenredigheid
- Risicobeoordeling voor de rechten en vrijheden van de betrokkenen
- Maatregelen voor risicobeperking
Toezichthoudende autoriteiten voeren lijsten bij wanneer een DPIA dwingend vereist is; ontbrekende DPIAs zijn regelmatig onderwerp van kritiek van de autoriteit.
Dienstverlening van Reef Rechtsanwälte: Identificatie van DPIA-plichtige processen, gestructureerde uitvoering en documentatie van de DPIA, betrekken van de functionaris voor gegevensbescherming, begeleiding in de dialoog met toezichthoudende autoriteiten.
5. Onvoldoende transparantie en informatieplichten
Ontbrekende of onduidelijke privacyverklaringen, intransparante cookiebanners en onnauwkeurige informatie over doeleinden en ontvangers van de gegevensverwerking behoren tot de standaardbevindingen van toezichthoudende autoriteiten en rechtbanken.
Dienstverlening van Reef Rechtsanwälte: Opstellen en herzien van de privacyverklaring (web, app, offline), ontwerpen van rechtsconforme toestemmingsbanners, harmoniseren van informatieplichten in verkoop, HR en IT.
6. Gebrekkige verwijderings- en bewaarconcepten
De AVG verankert het beginsel van gegevensminimalisatie en opslagbeperking. Bedrijven moeten verwijderingstermijnen bepalen, documenteren en implementeren; overtredingen hiervan waren al onderwerp van boeteprocedures (o.a. in verband met uitgebreide data-archieven).
Dienstverlening van Reef Rechtsanwälte: Opstellen van verwijderings- en bewaarconcepten, afstemming met HGB- en fiscale bewaarplichten, procesmatige implementatie samen met IT en vakafdelingen.
7. Datalekken en meldingsplichten (Art. 33, 34 AVG)
Meldingsplicht bij datalekken: 72-uurstermijn volgens Art. 33 AVG
Art. 33 AVG verplicht tot melding van inbreuken in verband met persoonsgegevens aan de toezichthoudende autoriteit ‘onverwijld en indien mogelijk binnen 72 uur’, Art. 34 AVG tot kennisgeving aan de betrokkenen bij een hoog risico.
Veelvoorkomende fouten:
- Onduidelijke interne meldingswegen (‘niemand voelt zich verantwoordelijk’)
- Ontbrekende documentatie, hoewel er geen meldingsplicht bestaat (Art. 33 lid 5 AVG)
- Onvoldoende of te late meldingen die het boeterisico verhogen
Dienstverlening van Reef Rechtsanwälte: Inrichten van incident response-processen, opstellen van meldingssjablonen, 24/7-noodadvies bij datalekken, strategische begeleiding richting toezichthoudende autoriteiten.
Proactieve dataprivacy-audits en certificaties
De 6 kerngebieden van een professionele gegevensbeschermingsaudit
1. Gegevensbeschermingsaudit als compliance-onderdeel
Een gestructureerde gegevensbeschermingsaudit is de meest effectieve maatregel om risico’s vroegtijdig te identificeren en in geval van nood boeteverlagende gronden te kunnen aantonen.
Reef Rechtsanwälte toetst onder andere:
- Juridische beoordeling & register van verwerkingsactiviteiten (Art. 30 AVG)
- Volledigheid en actualiteit van het register
- Afstemming met feitelijke processen
- Contractvormgeving (Art. 28 AVG)
- Verwerkersovereenkomsten met dienstverleners, met name cloud- en SaaS-aanbieders
- Regelingen voor onderaannemers, TOM-bijlagen, auditrechten
- TOM volgens Art. 32 AVG
- Technische beveiligingsmaatregelen, toegangsconcepten, back-upstrategieën
- DPIA (Art. 35 AVG)
- Toetsing van de DPIA-plicht
- Kwaliteit en volledigheid van bestaande DPIAs
- Trainings- en bewustwordingsprogramma’s
- Trainingsniveau van medewerkers
- Processen voor herhaalde bewustwording
- Verwijderings- en bewaarconcepten
- Uitvoerbare verwijderingsconcepten
- Afstemming met wettelijke bewaartermijnen
2. Certificering en bewijs van compliance (Art. 42 AVG)
De AVG voorziet met Art. 42 in een systeem van certificeringen die kunnen dienen als bewijs van een passend gegevensbeschermingsniveau. Certificeringen door instituten zoals TÜV of andere geaccrediteerde instanties worden steeds vaker door zakenpartners en autoriteiten gezien als compliance-indicator.
Reef Rechtsanwälte begeleidt bedrijven op weg naar certificering:
- Voorbereiding van de auditscope
- Dichten van geïdentificeerde hiaten
- Samenstellen van bewijsmateriaal
- Begeleiding en communicatie met de certificeringsinstantie
Boeten, schadeverloaen en rechtspraktijche folgen
AVG-boetes: Maximale sanctiehoogtes volgens Art. 83 AVG
1. Boetehoogte volgens Art. 83 AVG
De boetepraktijk van de toezichthoudende autoriteiten oriënteert zich steeds meer op de EDSA-richtlijnen 04/2022 en de beslissingen van het HvJ EU en nationale rechtbanken.
Belangrijke factoren:
- Aard, ernst en duur van de overtreding
- Aantal betrokkenen en omvang van de gegevens
- Opzet of nalatigheid
- Omvang van de samenwerking met de autoriteit
- Aanwezigheid van een effectief compliancesysteem
Het HvJ EU vereist dat boetes effectief, evenredig en afschrikwekkend moeten zijn, maar zich moeten richten op de economische draagkracht van de bedrijfsgroep.
2. AVG-schadevergoeding (Art. 82 AVG)
Art. 82 AVG geeft betrokkenen recht op materiële en immateriële schadevergoeding. Het HvJ EU en nationale rechtbanken hebben verduidelijkt dat:
- een overtreding alleen niet voldoende is – er moet sprake zijn van individuele schade,
- immateriële schade onder andere kan bestaan uit verlies van controle, angst, stigmatisering of andere aantastingen,
- de drempel niet triviaal is, maar er geen ‘wezenlijkheidsdrempel’ wordt vereist.
De huidige rechtspraak over informatieplichten, profilering, datalekken en direct marketing laat een dynamisch veld zien waarin de omvang van de aansprakelijkheid en de vaststelling van immateriële schade zich verder ontwikkelen.
Reef Rechtsanwälte ondersteunt bedrijven zowel bij het afweren van onterechte massale schadevergoedingsvorderingen als bij de strategische afhandeling van gerechtvaardigde claims.
Hoe REEF Rechtsanwälte ondersteeunt vertomingswerken
Reef Rechtsanwälte biedt onder andere:
- Lopende begeleiding bij de implementatie van een gegevensbeschermingscompliance-systeem
- Juridische beoordeling van gegevensverwerkingsprocessen, opstellen en toetsen van verwerkersovereenkomsten en privacyverklaringen
- Uitvoeren van gegevensbeschermingsaudits met een plan van aanpak op basis van prioriteiten
- Advisering over gegevensbeschermingseffectbeoordelingen, DPIA-documentatie en communicatie met toezichthoudende autoriteiten
- Nood- en crisisadvies bij datalekken inclusief beoordeling van meldings- en kennisgevingsplichten
- Verdediging in boeteprocedures en gerechtelijke procedures voor de kantonrechters, rechtbanken en hoven
- Ondersteuning in schadevergoedings- en mededingingsrechtelijke procedures met AVG-raakvlak
