3.4.4 Chancen und Grenzen der Daten-Monetarisierung

Mit der neuen Ordnung wurden Datenschutzverletzungen unter hohe Strafen gestellt, deren Höhe in Abhängigkeit des Unternehmensumsatzes festgelegt wird. Darüber hinaus werden Geschäftsführer auch privatrechtlich in die Haftung genommen, wenn es zu solchen Vorfällen kommt. Bei im Gesetz als besonders gravierend definierten Verstößen können Bußgelder in Höhe von zu 20 Millionen Euro oder im Fall eines Unternehmens bis zu 4% des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr verhängt werden. Bei der Bemessung der Strafe gilt immer die höhere Zahl.

Einer der bisher spektakulärsten Verstöße in Deutschland war bisher die Verhängung von über 35 Mio. Euro Bußgeld durch den Hamburgischen Datenschutzbeauftragten gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG als deutsche Tochter des schwedischen Bekleidungshändlers. Hierbei ging es um die unerlaubte Erfassung und Dokumentation auf Netzlaufwerken von detaillierten Informationen zu Lebensumständen und Krankheitssituationen der Mitarbeiter[1].

Die Wohnbaugesellschaft Deutsche Wohnen musste im Jahr 2019 die bis dato Rekordsumme für Deutschland von 14,5 Mio. EUR bezahlen, da sie Mitarbeiterdaten über mehrere Jahre in IT-Systemen gespeichert und nicht fristgerecht gelöscht hatte[2]. Das Verfahren wurde jedoch 2021 aufgrund gravierender Mängel im Jahr 2021 zunächst vor dem Landgericht Berlin eingestellt. Grund war hier, dass Bußgelder gegen Unternehmen nur bei nachweisbarem Verschulden von Leitungspersonen verhängt werden können und nicht gegen die Unternehmen selbst. Hier darf man gespannt sein, welche Rechtsaufassung sich am Ende durchsetzt und ob die Strafe tatsächlich bezahlt werden muss[3].

Während es in den beiden aus Deutschland bekannt gewordenen Fällen, um die inkorrekte Sammlung und Speicherung personenbezogener Daten ging, wurde der italienische Telekommunikationsanbieter TIM für den illegalen Einsatz von Kundendaten zu Direktmarketing Zwecken zu einem Bußgeld von 28 Mio. EUR auf der Grundlage der DSGVO verurteilt. Das Callcenter Team hatte wiederholt Kunden kontaktiert, obwohl diese keine Zustimmung zur Verwendung Ihrer Daten erteilt hatten. In einem Fall wurde eine Person 115 Mal in einem Monat von Call Center Mitarbeitern kontaktiert. Die Strafe wurde aufgrund zahlreicher Kundenbeschwerden verhängt[4].

Auch der italienische Energieversorger Eni Gas wurde wegen unlauterer Datennutzung für Werbemaßnahmen laut einer Meldung des European Data Protection Board im Januar 2020 mit einem Bußgeld von 11,5 Mio. EUR belegt[5].

Die Caixa Bank in Spanien wurde im Oktober 2021 zu einer Strafe von 3 Mio. EUR verurteilt, weil sie Kreditprofile von Nicht-Kunden ohne deren Einwilligung erstellte, um das Ausfallrisiko im Falle einer Kreditvergabe zu beurteilen.

[1]

Martin Schemm, 2020

[2] Ingo Dachwitz, 2019

[3] Elke Zapf, 2021

[4] European Data Protection Board, 2020

[5] European Data Protection Board, 2020