DSGVO: Zahl der Verstöße und Bußgeldbescheide wächst

Seit dem 25. Mai 2018 gilt die DSGVO. Laut dem Präsidenten des IT-Verbands Bitkom, Achim Berg, hat das komplexe Gesetz sein wichtigstes Ziel – den rechtlichen Rahmen und die Anwendungspraxis beim Datenschutz europaweit zu harmonisieren – jedoch verfehlt. Er beklagt zu viele Öffnungsklauseln, die nationale Sonderwege ermöglichen.

Gleichzeitig ist eine Zunahme der gemeldeten Datenpannen und Bußgelder zu beobachten. So wurden 2020 deutschlandweit 26.057 Fälle gemeldet, die meisten in einem Jahr seit Einführung der Verordnung. Zu den häufigsten Verstößen gehören Verletzungen gegen die Auskunfts- und Informationspflichten (Art. 12 bis 15 DSGVO), die unrechtmäßige Verarbeitung personenbezogener Daten (Art. 5 und 6 DSGVO), wie beispielsweise Videoüberwachung, unzulässige Datenbankabfragen sowie die Übermittlung von Daten an Dritte. Auch fehlende oder unzureichende Schutzmaßnahmen für die Datenverarbeitung (Art. 32 DSGVO) gehören zu den geahndeten Verstößen, etwa im Zusammenhang mit dem Dokumentversand.

Die höchsten verhängten DSGVO-Geldbußen in Deutschland sind bisher:

H&M Hennes & Mauritz Online Shop 35,2 Millionen Euro

notebooksbilliger.de 10,4 Millionen Euro

AOK Baden-Württemberg mit 1,2 Millionen Euro

Abgesehen von der Rekord-Geldbuße der AOK Baden-Württemberg (siehe oben) scheint der Gesundheitsbereich bei den gemeldeten Fällen unterrepräsentiert. Das Portal "typo3/das Portal https://www.enforcementtracker.com/," , das alle gemeldeten Verstöße auflistet, weist seit Beginn der Aufzeichnung nur sieben Bußgelder gegen Gesundheitsdienstleister sowie gegen drei Ärzte in Frankreich und auf Zypern aus.

Die Bußgelder betrugen in Orientierung am Praxisumsatz 3.000, 6.000 und 14.000 Euro. Einmal lautete die Anschuldigung auf „unzureichende Rechtsgrundlage für die Datenverarbeitung”, zweimal auf „unzureichende technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit”.

Das dsgvo-portal.de listet weitere Fälle, in denen Arztpraxen Bußgeldbescheide zugestellt wurden. Hintergrund waren hier mangelhafte technische Schutzmaßnahmen, unerlaubte Wahlwerbung mit Patientendaten – oder deren Nutzung durch einen Praxisnachfolger ohne ausdrückliche Zustimmung der Patienten.