Dieser Beitrag vertieft die Sanktionsseite aus dem Überblick DSGVO im Maklerbüro. Er zeigt, was bei einem Datenschutzverstoss droht und wo die Versicherung ihre Grenzen hat. Wer die Deckung seiner Berufshaftpflicht insgesamt verstehen will, findet die Lücken im Beitrag Wann Ihre Vermögensschadenhaftpflicht nicht zahlt.

Das Bussgeld: zwei Stufen, ein Massstab

Die DSGVO gibt den Aufsichtsbehörden ein scharfes Schwert. Jede Geldbusse muss im Einzelfall wirksam, verhältnismässig und abschreckend sein, und der Rahmen ist bewusst hoch angesetzt. Er ist zweistufig:1

  • Untere Stufe: bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des Vorjahres. Sie erfasst vor allem die „technischen" Pflichten, etwa das fehlende Verarbeitungsverzeichnis, den fehlenden Auftragsverarbeitungsvertrag, mangelnde Datensicherheit oder eine versäumte Datenpannenmeldung.
  • Obere Stufe: bis zu 20 Millionen Euro oder 4 Prozent. Sie erfasst die in Art. 83 Abs. 5 genannten Verstösse gegen die Grundsätze und Rechtsgrundlagen der Verarbeitung, gegen die Rechte der Betroffenen und gegen die Regeln der Datenübermittlung in Drittländer oder an internationale Organisationen.

Massgeblich ist jeweils der höhere der beiden Beträge. Innerhalb des Rahmens bemisst die Behörde die Höhe nach einem Katalog von Kriterien: Art, Schwere und Dauer des Verstosses, Vorsatz oder Fahrlässigkeit, betroffene Datenkategorien, Massnahmen zur Schadensminderung, frühere Verstösse und der Grad der Zusammenarbeit. Verstösst ein Büro bei einem Vorgang gegen mehrere Vorschriften, wird nicht einfach addiert: Der Gesamtbetrag übersteigt nicht den Rahmen des schwersten Verstosses.1

Zwei Dinge, die Makler oft unterschätzen. Erstens: Das Bussgeld kann unmittelbar gegen die GmbH verhängt werden; es muss nicht erst einer bestimmten Person nachgewiesen werden. Zweitens: Erforderlich ist zwar ein Verschulden, doch dafür genügt einfache Fahrlässigkeit, und die liegt schon vor, wenn man sich über die Rechtswidrigkeit nicht im Unklaren sein konnte. „Das habe ich nicht gewusst" schützt also selten. Die Prozent-Grenze knüpft zudem an den Umsatz des gesamten Unternehmens an, bei Konzernstrukturen an die wirtschaftliche Einheit.1

Der Schadenersatz des Kunden

Das Bussgeld fliesst an den Staat, nicht an den geschädigten Kunden. Dieser hat einen eigenen Anspruch: Wer durch einen DSGVO-Verstoss einen Schaden erleidet, kann Ersatz verlangen, und zwar ausdrücklich für materielle wie immaterielle Schäden (Art. 82 DSGVO). Der Anspruch richtet sich in erster Linie gegen den Verantwortlichen, also den Makler.2

Wie weit dieser Anspruch reicht, hat zuletzt eine Reihe von Urteilen geklärt. Ein blosser Verstoss genügt nicht; nötig sind ein Verstoss, ein konkreter Schaden und der Zusammenhang zwischen beiden. Eine Bagatell- oder Erheblichkeitsschwelle für immaterielle Schäden gibt es aber nicht: Der Europäische Gerichtshof hat klargestellt, dass auch kleine Beeinträchtigungen zu ersetzen sind, und dass schon der blosse Verlust der Kontrolle über die eigenen Daten oder die begründete Befürchtung ihres Missbrauchs ein ersatzfähiger immaterieller Schaden sein kann. Die blosse Normverletzung oder ein rein hypothetisches Risiko genügt dagegen nicht; ein eigener Schaden muss vorliegen. Der Bundesgerichtshof hat diese Linie für Deutschland übernommen und für den blossen Kontrollverlust eine Grössenordnung von rund 100 Euro genannt, als Orientierung, nicht als feste Summe.2

Die Zahl der Betroffenen kann das Gesamtrisiko erhöhen. Eine Panne mit vielen Betroffenen kann viele Einzelansprüche auslösen. Jede Person muss jedoch einen eigenen materiellen oder immateriellen Schaden und dessen Zusammenhang mit dem DSGVO-Verstoss darlegen. Eine Multiplikation eines festen Pauschalbetrags findet nicht statt. Wie eine Datenpanne zu behandeln ist und wie Sie das Risiko begrenzen, lesen Sie in Die Datenpanne im Maklerbüro.2

Zahlt die Versicherung? Bussgeld und Schadenersatz im Unterschied

Jetzt zur Frage, die für das Maklerbüro am Ende zählt. Hier verläuft eine klare Trennlinie zwischen den beiden Folgen.3

Eine Deckung von DSGVO-Geldbussen darf nicht vorausgesetzt werden. Zu prüfen sind der konkrete Bedingungswortlaut, Adressat, Verschuldensgrad, Sanktionszweck und zwingendes Recht. Zivilrechtliche Ansprüche nach Art. 82 DSGVO sind davon getrennt zu behandeln und können bedingungsabhängig gedeckt sein.3

Bei D&O-Deckung sind direkte Sanktionen gegen das Organ, ein möglicher zivilrechtlicher Regress der Gesellschaft und die Versicherbarkeit dieses Regresses zu unterscheiden. Ausschlüsse und zwingendes Recht sind getrennt zu prüfen. Weder die Zulässigkeit eines Bussgeldregresses noch seine Deckung folgt automatisch aus der Bezeichnung D&O.3

Berufshaftpflicht und Cyberpolice: was gedeckt ist

Bleibt die Frage, welche Police den zivilrechtlichen Schaden auffängt. Zwei kommen in Betracht.4

Die Berufshaftpflicht (Vermögensschaden-Haftpflicht) ist für den Makler Pflicht und deckt Vermögensschäden aus der Vermittlungs- und Beratungstätigkeit. Ob ein DSGVO-Schadenersatzanspruch darunter fällt, ist anhand der konkreten Bedingungen zu klären. Bei vorsätzlich und widerrechtlich herbeigeführtem Schaden gilt § 103 VVG. Wissentliche Pflichtverletzungen können nach § 12 Abs. 5 VersVermV durch eine wirksame Klausel ausgeschlossen sein; Voraussetzung und Beweis sind gesondert zu prüfen. Welche weiteren Lücken die Berufshaftpflicht hat, vertieft Wann Ihre Vermögensschadenhaftpflicht nicht zahlt.4

Eine Cyberpolice kann je nach Bedingungen Forensik, Wiederherstellung, Betriebsunterbrechung, Drittschäden oder Benachrichtigungskosten decken. Selbstbehalte, Sublimits sowie Ausschlüsse für Vorsatz, wissentliche Pflichtverletzung oder Geldbussen sind aus der konkreten Police und unter Beachtung zwingenden Rechts zu prüfen.4

Die praktische Konsequenz: Klären Sie anhand der konkreten Berufshaftpflicht und einer etwaigen Cyberpolice, ob und in welchem Umfang DSGVO-Ansprüche gedeckt sind. Planen Sie vorsorglich ohne sichere Bussgelddeckung. Ob im Einzelfall Versicherungsschutz besteht und rechtlich zulässig ist, hängt von Police, Adressat, Verschulden, Sanktionszweck und zwingendem Recht ab. Prävention bleibt deshalb ein eigenständiger Schutz.

Das Aufsichtsverfahren

Wie kommt es überhaupt zu einem Bussgeld? Am Anfang steht die Aufsichtsbehörde des Bundeslandes, die für den Makler zuständig ist. Sie hat weitreichende Befugnisse (Art. 58 DSGVO): Sie kann Auskünfte verlangen, Datenschutzprüfungen durchführen und Zugang zu den Geschäftsräumen erhalten (Untersuchungsbefugnisse). Und sie kann anordnen: warnen, verwarnen, Anweisungen erteilen, Verarbeitungen beschränken oder verbieten und eben Geldbussen verhängen (Abhilfebefugnisse).5

Für das Maklerbüro sind dabei zwei Schutzmechanismen wichtig. Erstens darf Auskunft nach § 40 Abs. 4 BDSG verweigert werden, soweit sie den Auskunftspflichtigen oder einen Angehörigen der Gefahr straf- oder ordnungswidrigkeitenrechtlicher Verfolgung aussetzen würde. Zweitens bestehen besondere Verwendungsbeschränkungen für Meldungen nach Art. 33 und Benachrichtigungen nach Art. 34 Abs. 1 DSGVO: In Strafverfahren gilt § 42 Abs. 4 BDSG, in Ordnungswidrigkeitenverfahren § 43 Abs. 4 BDSG. Die Meldung oder Benachrichtigung darf dort gegen den Meldepflichtigen oder Benachrichtigenden und dessen in § 52 Abs. 1 StPO bezeichnete Angehörige nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden. Gegen einen Bussgeldbescheid kann man Einspruch einlegen; gegen sonstige Anordnungen der Behörde steht der Verwaltungsrechtsweg offen.5

Was das praktisch heisst

Beim Datenschutz gilt mehr noch als sonst: Vorbeugen ist günstiger als zahlen. Planen Sie erstens vorsorglich ohne sichere Bussgelddeckung; ob im Einzelfall Deckung besteht und rechtlich zulässig ist, hängt von Police, Adressat, Verschulden, Sanktionszweck und zwingendem Recht ab. Prüfen Sie zweitens Berufshaftpflicht und eine etwaige Cyberpolice gezielt auf zivilrechtliche Datenschutzansprüche. Wahren Sie drittens im Aufsichtsverfahren Fristen und Rechte, insbesondere die Grenzen der Auskunftspflicht und den Einspruch gegen einen Bussgeldbescheid.