Lokale Gesetze zur Harmonisierung des AVG-Artikels gesperrt

Trotz unterschiedlicher Meinungen zwischen verschiedenen Datenschutzbehörden (DPAs) darüber, wie strafbar sie die DSGVO durchsetzen sollten, scheint es nun, dass einige Gerichtsbarkeiten festgestellt haben, dass lokale Gesetze bevorzugt oder vollständig beherrscht werden können.

Im Februar wurde gegen die Deutsche Wohnen eine Geldbuße in Höhe von 14,5 Mio. € (17,2 Mio. US $) abgelehnt, nachdem das Landgericht Berlin entschieden hatte, dass das Unternehmen nach deutschem Recht nicht für die Verletzung der AVG haftbar gemacht werden kann, es sei denn, es handelt sich um eine bestimmte Schuld Einzelperson oder Führungskraft – auch wenn eine solche Anforderung in der AVG selbst nicht besteht.

In Bezug auf Abschnitt 83 der Verordnung, der sich auf die Verwaltung von Geldbußen bezieht, müssen Unternehmen und nicht Einzelpersonen für die Verletzung des Datenschutzes haftbar gemacht werden.

Das deutsche Verwaltungsvergehensgesetz sieht jedoch vor, dass gegen Unternehmen nur dann Geldbußen verhängt werden können, wenn Beweise für eine bestimmte Handlung des Managements oder der gesetzlichen Vertreter vorliegen, die zu einem Verstoß gegen das Gesetz geführt hat. Die Staatsanwaltschaft legte gegen die Entscheidung des Berliner Gerichts Berufung ein.

Die Konferenz der deutschen Datenschutzorganisationen (DSK) hat konsequent die Ansicht vertreten, dass eine Datenschutzbehörde nur einen Verstoß gegen die AVG feststellen muss, damit ein Unternehmen zur Verantwortung gezogen und mit einer Geldstrafe belegt werden kann . Laut DSK muss keine Person (ein Mitarbeiter oder ein Senior Manager) identifiziert werden.

Camilla Winlo, Director of Consulting bei der Datenschutzfachfirma DQM GRC, bezeichnete das Urteil als „unerwartet“.

‚Das Berliner Gericht hat entschieden, dass die Datenschutzbehörde in Berlin die Fahrlässigkeit einzelner Fahrer nachweisen musste, um die Geldbuße zu verhängen. „Es scheint, dass sie tatsächlich Beweise für die Nichteinhaltung über einen bestimmten Zeitraum liefern“, sagte sie. Dies zeigt, wie schwierig es ist, die BIPs dazu zu bringen, Geldstrafen einzuhalten. ‚

Winlo fügt hinzu, dass es möglicherweise schwierig ist, den Grad der Beteiligung des Managements in künftigen GDPR-Fällen nachzuweisen: „Die Berliner Datenschutzbehörde hat sich offenbar darauf konzentriert, die Nichteinhaltung der Datenschutzanforderungen in Bezug auf das Löschen von Daten und die Begrenzung von Datenschutzverletzungen nachzuweisen. Speichern. Aus einer Reihe von Audits ging hervor, dass das Problem angesprochen und nicht angesprochen wurde. In der Regel ist es jedoch nicht die Aufgabe eines Abschlussprüfers, die persönliche Verantwortung für die Behebung von Problemen zu übertragen. ”

„Nur die Zeit wird zeigen, ob dieses Problem europaweit angegangen werden kann, und das Ergebnis wird für die künftige Aufrechterhaltung der AVG von großer Bedeutung sein.“

Lars Lensdorf, Partner, Covington & Burling

Obwohl viele Experten der Ansicht sind, dass das Land durch die Entscheidung des Berliner Gerichts in Konflikt mit der AVG steht und wie andere EU-Gerichtsbarkeiten es angewendet haben, haben Gerichte in anderen EU-Mitgliedstaaten die gleiche Art eingeführt.

Im vergangenen Jahr hat das Bundesverwaltungsgericht Österreich eine Entscheidung aufheben Um gegen die österreichische Post eine Geldbuße in Höhe von 18 Mio. EUR (20 Mio. USD) zu verhängen, muss eine Aufsichtsbehörde unter Berufung auf das österreichische Verfahrensrecht eine oder mehrere Personen (nicht unbedingt Manager) eines Unternehmens haben einen Verstoß gegen die DSGVO begangen.

Im Dezember hat der französische Datenschutzbeauftragte CNIL AVG vollständig umgangen und das landesweite Datenschutzgesetz verwendet, um Google und Amazon eine Geldstrafe von 135 Millionen Euro (163 Millionen US-Dollar) für die Verwendung von Cookies aufzuerlegen.

Zu dieser Zeit schlugen viele Anwälte vor, dass Frankreich vor Inkrafttreten der AVG beschlossen habe, „kreative“ Gesetze zu erlassen, um die Unternehmen schneller zu erörtern, als es die von ihnen benannten Aufsichtsbehörden – Irland (Google) und Luxemburg (Amazon) – können der langsame und viel kritisierte „One-Stop-Shop“ -Mechanismus der AVG. Mehrere Experten glauben, dass andere Länder mit einem starken AVG-Appetit – wie Spanien, Italien und Belgien – diesem Beispiel folgen können.

Experten vermuten, dass Gerichte in anderen Ländern wahrscheinlich auch gesehen haben, dass die AVG auch im Widerspruch zur bestehenden lokalen Gesetzgebung steht (und möglicherweise an zweiter Stelle steht). Die Tatsache, dass nicht alle EU-Datenschutzbehörden Informationen zu strafrechtlichen Entscheidungen veröffentlichen, erschwert eine ordnungsgemäße Analyse und einen Vergleich – ein Thema, das von der britischen Informationskommissarin Elizabeth Denham angesprochen wurde, ist ebenfalls aufgetaucht.

Akber Datoo, CEO des Rechtsberatungsbüros D2 Legal Technology, sagt, dass der Fall Deutsche Wohnen und andere „zeigen, dass sich die Berechnung und Bestimmung der AVG-Bußgelder noch weiterentwickelt“ und dass es erneut betont, dass es sich lohnen könnte, das BIP in Frage zu stellen Geldstrafen vor Gericht. . Dies gilt insbesondere für Deutschland, weil „die feinen Linien der deutschen Datenschutzbehörden nicht mehr angewendet werden können, da festgestellt wird, dass sie nicht den geforderten Artikel 83-Normen entsprechen“.

Laut Lars Lensdorf, Partner der Anwaltskanzlei Covington & Burling, kann die Frage der Wechselwirkung zwischen § 83 AVG und den nationalen Beweis- und Verfahrensregeln endgültig an den Gerichtshof der Europäischen Union verwiesen werden. „Nur die Zeit wird zeigen, ob dieses Problem europaweit angegangen werden kann, und das Ergebnis wird für die Aufrechterhaltung der AVG-Zukunft von großer Bedeutung sein“, sagte er.

Winlo rät jedoch zur Vorsicht. „Ich denke, es ist keine gute Idee, aus einer Gerichtsentscheidung zu viele Schlussfolgerungen zu ziehen, gegen die noch Berufung eingelegt und rückgängig gemacht werden kann“, sagt sie.