Über Bussgelder wird viel geschrieben, meist mit Blick auf spektakuläre Einzelfälle gegen sehr grosse Unternehmen. Für die Einschätzung des eigenen Risikos sind diese Fälle wenig aussagekräftig — aussagekräftig sind die Gründe, aus denen sie verhängt wurden.
Der Rahmen
Die DSGVO sieht zwei Stufen vor. Für bestimmte Verstösse — etwa gegen Pflichten des Verantwortlichen und des Auftragsverarbeiters — gilt der niedrigere Rahmen, für andere — etwa Verstösse gegen die Grundsätze der Verarbeitung oder gegen die Rechte betroffener Personen — der höhere.
Bemessen wird jeweils nach dem höheren Wert aus einem festen Betrag und einem Prozentsatz des weltweiten Jahresumsatzes des Unternehmens.
Das Schweizer Recht folgt einer anderen Logik: Es sieht Bussen gegen natürliche Personen vor, nicht gegen das Unternehmen. Die Beträge sind niedriger, treffen aber Verantwortliche persönlich.
Woraus die grossen Fälle entstanden sind
Ein wiederkehrender Grund ist die fehlende oder unwirksame Rechtsgrundlage für Verarbeitungen zu Werbezwecken — insbesondere Konstruktionen, die eine Einwilligung mit der Nutzung eines Dienstes verknüpfen.
Ein zweiter Grund sind Übermittlungen in Drittländer ohne tragfähige Grundlage.
Ein dritter sind unzureichende technische und organisatorische Massnahmen, die einen Zugriff Unbefugter ermöglicht haben.
Ein vierter, der weniger Aufmerksamkeit erhält und für kleinere Unternehmen relevanter ist: unzureichende Erfüllung von Auskunfts- und Löschersuchen.
Was das Bussgeld beeinflusst
Der Rechtsakt nennt Kriterien: Art, Schwere und Dauer des Verstosses, Vorsatz oder Fahrlässigkeit, Massnahmen zur Minderung des Schadens, der Grad der Verantwortung, frühere Verstösse, der Umfang der Zusammenarbeit mit der Aufsicht und die Art der Feststellung.
Zwei davon sind unmittelbar beeinflussbar. Die Zusammenarbeit mit der Aufsicht — eine kooperative, vollständige Auskunft wirkt mildernd. Und die eigene Meldung: Wer einen Vorfall selbst meldet, steht anders da als jemand, dessen Verstoss durch eine Beschwerde bekannt wird.
Was für kleinere Unternehmen tatsächlich das Risiko ist
Nicht die spektakuläre Millionenbusse, sondern die Beschwerde einer betroffenen Person. Das ist der häufigste Auslöser eines Verfahrens, und die häufigsten Beschwerdegründe sind nicht behandelte Auskunftsersuchen, nicht umgesetzte Löschungen und Werbung ohne Grundlage.
Daraus folgt eine Priorisierung, die von den öffentlich diskutierten Fällen abweicht: Ein funktionierender Ablauf für Betroffenenrechte reduziert das Risiko stärker als aufwendige Dokumentation an anderer Stelle.
Ein zweites reales Risiko sind zivilrechtliche Ansprüche betroffener Personen auf Ersatz eines Schadens. Sie treten unabhängig von Bussgeldverfahren auf.
Der Reputationsteil
Verfahren und Entscheidungen werden teils veröffentlicht. Für Anbieter im Geschäftskundenumfeld ist der Eintrag in einer Beschaffungsprüfung häufig folgenreicher als der Betrag selbst.
In einem kleinen Markt wie der Schweiz gilt das verstärkt — hier wirkt Bekanntwerden schneller und länger als in grossen Märkten.
Was daraus folgt
Die Betrachtung der Rahmenbeträge führt zu Angst, aber nicht zu Handlung. Nützlicher ist die Frage, welche der wiederkehrenden Gründe im eigenen Haus zutreffen könnten.
Vier Fragen decken den grössten Teil ab: Können wir ein Auskunftsersuchen fristgerecht beantworten. Erreicht eine Löschung alle Speicherorte. Haben wir für jede Werbeverarbeitung eine tragfähige Grundlage. Und wissen wir, in welche Länder Daten fliessen.
Wer diese vier beantworten kann, hat das relevante Risiko weitgehend adressiert — unabhängig davon, was in den grossen Fällen verhandelt wurde.