EU-Parlament soll im Februar 2024 über Neuregelung zur Sanktionierung von DSGVO-Verstößen entscheiden

Die geplante Neuregelung soll im Februar im EU-Parlament verabschiedet werden. Sie wäre sehr nachteilig, wenn ihr euch gegen den Vorwurf möglicher DSGVO-Verstöße verteidigen müsstet. Das geplante Gesetzesvorheben dürfte die Entwicklung hin zu höheren Geldbußen bei DSGVO-Verstößen noch weiter erheblich verstärken. Unternehmen haben aber jetzt noch die Möglichkeit, auf diese Entwicklung Einfluss zu nehmen oder jedenfalls ihre Auswirkungen zu begrenzen. Hier wäre aber ein zeitnahes Handeln notwendig.

Überblick: Die EU-Kommission hat im Juli 2023 den Erlass der sog. Enforcement-Verordnung angekündigt. Die geplante Verordnung zur Ergänzung der DSGVO zielt vor allem darauf ab, die Durchführung von Bußgeldverfahren zu vereinheitlichen und zu beschleunigen. Dies betrifft vor allem grenzüberschreitende Sachverhalte. Zudem sieht der Entwurf eine weitreichende Ausweitung der Rechte von Beschwerdeführern und eine Ausweitung von Akteneinsichtsrechten für alle Beteiligten vor.

Auswirkungen: Sollten die geplanten Regelungen in dieser oder ähnlicher Form in Kraft treten, hätte dies für die Praxis weitreichende Folgen. Insbesondere würde es für Unternehmen erheblich schwieriger, sich effektiv in Bußgeldverfahren zu verteidigen. Gleichzeitig steigt durch die Enforcement-Verordnung das Risiko höherer Bußgelder für Unternehmen massiv an.

Risiken für Unternehmen

• Höhere Geldbußen: Die geplante Enforcement-Verordnung sieht unter anderem vor, dass die an Verfahren beteiligten Aufsichtsbehörden (Concerned supervisory authorities – CSAs) deutlich mehr Einfluss auf das Ob und Wie von Bußgeldentscheidungen Einfluss nehmen. Dies dürfte es Behörden erheblich erleichtern, schneller hohe Geldbußen durchzusetzen. Insbesondere können CSAs die federführenden Aufsichtsbehörde (Lead Supervisory Authority – LSA) früh in Ermittlungen durch einen verbindlichen Beschluss des EDSA (EDPB) überstimmen. Dies gibt Aufsichtsbehörden in allen Mitgliedsstaaten weitreichende Rechte bei grenzüberschreitenden Fällen. Aktuelle Bußgelder zeigen, dass viele Behörden zunehmend auf eine weitere Verschärfung der europäischen Bußgeldpraxis dringen. Zugleich zielt die Enforcement-Verordnung darauf ab, Bußgeldverfahren erheblich zu beschleunigen. Unternehmen drohen damit nicht nur höhere Geldbußen, sondern auch deutlich schnellere Verfahren mit eingeschränkten Verteidigungsrechten.
• Ausweitung der Rechte von Beschwerdeführern: Die geplante Enforcement-Verordnung sieht zudem zusätzliche Befugnisse für Beschwerdeführer vor, die deutlich über die bisherigen Beteiligungsrechte nach der DSGVO oder nach nationalem Recht hinausgehen. Insbesondere sollen Beschwerdeführer umfassende Einsichtsrechte in die Fallakten der Behörden erhalten. Zudem sind Aufsichtsbehörden verpflichtet, die Position von Beschwerdeführern im Rahmen des Verfahrensverlaufs umfassender zu beteiligen. Beschwerdeführer könnten dann deutlich stärkeren Einfluss auf den Ausgang (aber auch die Publizität) von Bußgeldverfahren nehmen. Die entsprechenden Rechte sollen dabei aber nicht nur den Beschwerdeführern selbst zustehen. Vielmehr sollen sie auch für Verbraucherschutz- und Datenschutzorganisationen gelten, die Beschwerdeführer in dem Verfahren vertreten (wie etwa NOYB, EuGD oder kleinfee).
• Risiko von Massenklagen: Es ist sehr wahrscheinlich, dass Verbraucher- und Datenschutzorganisationen die weitgehenden Einsichtsrechte auch gezielt für andere Zwecke nutzen könnten. Beispielsweise können sich Informationen verschaffen, die sie später in Rechtsstreitigkeiten gegen das Unternehmen nutzen können. Dies gilt insbesondere für Schadensersatzklagen nach Art. 82 DSGVO. Hier drohen Unternehmen zunehmend Massenklagen, etwa nach bekannt gewordenen Datenpannen. Auch in dieser Hinsicht bringt die Enforcement-Verordnung daher erhebliche zusätzliche Risiken mit sich.
• Einschränkung von Verteidigungsrechten: Die geplante Enforcement-Verordnung schränkt die Verteidigungsrechte von Unternehmen erheblich ein. Der bisherige Entwurf sieht vor, dass Unternehmen nur noch Stellungnahmen einreichen dürfen, die voraussichtlich nicht mehr als 20 bis 30 Seiten betragen sollen. In so einem engen Rahmen lassen sich die wesentlichen Aspekte des Sachverhaltes und die Rechtsausführungen aber kaum überzeugend darstellen.

Bewertung: Die geplante Enforcement-Verordnung ist für Unternehmen mit erheblichen Risiken verbunden. Sie führt nicht nur zu einer massiven und einseitigen Einschränkung von Betroffenenrechten. Zudem drohen Unternehmen deutliche höhere Geldbußen als bislang. Die Enforcement-Verordnung dürfte die Verteidigung gegen DSGVO-Geldbußen daher erheblich erschweren. Gleichzeitig verstößt die geplanten Einschränkungen von Verteidigungsrechten gegen die Justizgrundrechte in der EU-Grundrechtecharte. Wir haben die wesentlichen Inhalte der Enforcement-Verordnung auch noch mal in der anliegenden Übersicht ausführlicher dargestellt.

Ausblick und mögliche Maßnahmen: Derzeit befasst sich das EU-Parlament mit dem Entwurf. Mit einer Entscheidung ist hier bis Anfang Februar zu rechnen. Sofern Branchen- und Interessenverbände hier noch ihre Positionen einbringen wollen, ist somit Eile geboten.

Eine ausführlichere Analyse und Darstellung der Folgen der geplanten Neuregelung können Sie auf dem CR-online Blog hier abrufen.