Ein halbes Jahr DSGVO – welche Sanktionen gab es bisher?

Vor allem sind der Datenfluss und die Frage, wo denn die personenbezogenen Daten liegen und die Zugriffsberechtigungen ein großes Problem gewesen. Dass sich diese Problemstellungen in vielen Unternehmen nach wie vor stellen, zeigen die bereits verhängten Strafen. So wurde in Portugal eine Strafe in der Höhe von 400.000 Euro an ein Krankenhaus verhängt, welches unter anderem zu vielen Personen (IT-Technikern und Ärzten aus anderen Abteilungen) Zugriff auf Patientenakten und damit auf sensible Daten ermöglicht hat. Der KSV1870 gab Ende November 2018 bekannt, dass nur knapp 38 % der Firmen in Österreich die DSGVO so umgesetzt haben, wie es sein sollte. Anders gesagt, sechs von zehn Unternehmen erfüllen die gesetzlichen Vorgaben (noch) nicht vollständig.

Doch nicht nur diese Zahlen lassen Nervosität aufkommen, auch das öffentliche Bekenntnis des Europäischen Datenschutzbeauftragten Giovanni Buttarelli Ende des Jahres 2018, indem er auf die immer stärker werdende Beschwerdewelle innerhalb der EU hinwies und mahnte, dass die Behörden nun endgültig ernst machen und europaweit Strafen für non-compliance verteilen würden. Diese Entwicklung lässt sich nicht zuletzt auch daraus ableiten, dass bereits knapp 800 Beschwerden in Österreich eingegangen sind. Das entspricht jetzt schon doppelt so vielen Beschwerden wie vor der DSGVO. Tendenz ist weiter steigend. Weiters gab es über 250 Meldungen von sogenannten Data Breaches, also Verletzungen des Schutzes von personenbezogenen Daten. Außerdem sind über 110 Verwaltungsstrafverfahren anhängig und 60 weitere amtswegige Prüfverfahren eingeleitet.

Auch in Österreich wurde bereits dreimal gestraft, wobei es sich um eher geringere Strafhöhen gehandelt hat. Betroffen waren kleine Unternehmen, die ihre Videoüberwachung nicht ausreichend gekennzeichnet hatten. Bemerkenswert an dieser Stelle ist, dass die österreichische Datenschutzbehörde nicht wie eigentlich in § 11 DSG 2018 angekündigt, erst „verwarnt“, sondern gleich direkt zur Geldstrafe übergegangen wurde. Außerhalb der österreichischen Grenzen wurden Strafen gegen eine Autofirma (40.000 Euro), ein weltweit-tätiges Dienstleistungsunternehmen für Personenbeförderungen (knapp 1 Million Euro in zwei Staaten) und gegen einen kleinen Social-Media-Anbieter (20.000 Euro) verhängt.