Das Prinzip "Verwarnen statt strafen“ greift bei schweren Verstößen nicht.
Wien. Müssen Unternehmen tatsächlich keine Angst mehr vor hohen Strafen bei Datenschutzverstößen haben? Wurden bei der innerstaatlichen Umsetzung die strengen Strafbestimmungen der Datenschutz-Grundverordnung wirklich so sehr aufgeweicht – über Gebühr, wie Kritiker meinen?
Wäre das so, wäre es wohl unvereinbar mit den EU-Vorgaben. Ganz so apodiktisch ist der Grundsatz „Erst verwarnen, dann strafen“ in der Neuregelung jedoch auch wieder nicht formuliert. Vielmehr heißt es da, dass die österreichische Datenschutzbehörde bei der Anwendung der Strafbestimmungen die Verhältnismäßigkeit wahren solle – was an und für sich allgemeinen Grundsätzen zur Strafbemessung entspricht. Und weiter: „Insbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art. 58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen.“
„Signal an KMU“
„Diese Bestimmung könnte als Empfehlung an die Datenschutzbehörde gedeutet werden sowie als Signal insbesondere an KMU, denen die Umsetzung der DSGVO sehr viel abverlangt“, sagt Georg Kresbach, Partner bei Wolf Theiss. Wirklich neu sei das jedoch nicht – auch schon bisher habe es die Behörde bei Ersttätern nicht selten bei einer Verwarnung belassen. Bei vorsätzlichen schweren Verstößen sei das aber auch künftig schwer vorstellbar, sagt der Jurist. Zudem sei „mehr als fraglich, ob eine nationale Regelung die Datenschutzbehörde in ihrer durch die DSGVO garantierten Unabhängigkeit und somit Entscheidungsfreiheit überhaupt einschränken kann“.
Fazit: Auf Milde werden Unternehmen auch in Zukunft vor allem bei geringfügigen Verstößen hoffen können – bei schwerwiegenden müssen jedoch auch Ersttäter mit Strafen rechnen. Nebenbei bemerkt: Das Prinzip „Erst verwarnen, dann strafen“ stand auch schon im Regierungsprogramm – und wurde damals überwiegend positiv kommentiert.
("Die Presse", Print-Ausgabe, 03.05.2018)