DSGVO-Bußgelder für Websites: was die Behörden tatsächlich durchsetzen

In diesem Artikel

Das meiste, was Websitebetreiber über die Durchsetzung der DSGVO hören, stammt aus Schlagzeilen über neunstellige Bußgelder gegen die größten Technologiekonzerne. Diese Fälle sind real, sagen aber wenig über das Risiko einer typischen Unternehmenswebsite oder eines Onlineshops. Die Durchsetzung, die gewöhnliche Websites erreicht, beginnt meist mit einer Beschwerde, endet mit einer Anordnung, etwas zu beheben, und hängt an Nachweisen, die der Betreiber vorab hätte erstellen können.

01Die Obergrenze, nicht die Regel

Art. 83 DSGVO legt zwei Höchstbeträge fest. Verstöße unter anderem gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern können mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4). Verstöße gegen die Grundsätze der Verarbeitung einschließlich der Bedingungen für die Einwilligung, gegen die Rechte der betroffenen Personen und gegen die Regeln zu internationalen Übermittlungen können mit bis zu 20 Mio. € oder 4 % geahndet werden (Art. 83 Abs. 5).

Das sind Obergrenzen. Art. 83 Abs. 2 verlangt von den Behörden, im Einzelfall Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Minderung des Schadens, den Grad der Zusammenarbeit, frühere Verstöße und die betroffenen Datenkategorien zu berücksichtigen. Die EDSA-Leitlinien 04/2022 zur Berechnung von Geldbußen legen eine gemeinsame Methode fest, bei der die Größe des Unternehmens einer der Ausgangspunkte ist. Geldbußen müssen wirksam, verhältnismäßig und abschreckend sein, was für ein kleines Unternehmen etwas ganz anderes bedeutet als für eine globale Plattform.

02Zwei rechtliche Wege: die DSGVO und das nationale Cookie-Recht

Die bisher höchsten Bußgelder im Zusammenhang mit Websites waren gar keine DSGVO-Bußgelder. Cookies und ähnliche Technologien unterliegen den nationalen Gesetzen zur Umsetzung von Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland § 25 TDDDG. Diese Gesetze setzen nationale Behörden durch, und wie der EDSA in seiner Stellungnahme 5/2019 zum Zusammenspiel von ePrivacy-Richtlinie und DSGVO erläutert hat, gilt das One-Stop-Shop-Verfahren der DSGVO dafür nicht.

Die französische CNIL hat diesen Weg mehrfach genutzt. Am 7. Dezember 2020 verhängte sie gegen Google LLC und Google Ireland Limited insgesamt 100 Mio. € und gegen Amazon Europe Core 35 Mio. €, weil Werbe-Cookies ohne vorherige Einwilligung und ohne ausreichende Information gesetzt wurden. Am 31. Dezember 2021 verhängte sie gegen Google insgesamt 150 Mio. € und gegen Facebook Ireland 60 Mio. €, weil das Ablehnen von Cookies schwerer war als das Akzeptieren. Im Januar 2022 bestätigte der Conseil d’État, Frankreichs oberstes Verwaltungsgericht, die Sanktion gegen Google von 2020 und die Zuständigkeit der CNIL außerhalb des One-Stop-Shop-Verfahrens.

Für Websitebetreiber heißt das praktisch: Die Behörde jedes Landes, in dem die Website genutzt wird, kann wegen ihrer Cookies tätig werden, ganz gleich, wo das Unternehmen in der EU niedergelassen ist.

03Wogegen Behörden am häufigsten vorgehen

In veröffentlichten Entscheidungen und Leitlinien der Behörden wiederholen sich bei Websites dieselben Themen:

• Cookies vor der Einwilligung und Banner, die das Ablehnen schwerer machen als das Akzeptieren (siehe Bannergestaltungen, die Aufsichtsbehörden beanstanden).
• Fehlende oder unvollständige Datenschutzerklärungen. Art. 12 bis 14 DSGVO verlangen präzise, transparente Informationen darüber, wer Daten zu welchen Zwecken, auf welcher Rechtsgrundlage, wie lange und mit wem verarbeitet.
• Keine wirksame Rechtsgrundlage für die Verarbeitung, etwa Newsletter-Anmeldungen, die für andere Werbung genutzt werden.
• Ignorierte Betroffenenanfragen. Anträge auf Auskunft, Löschung und Widerspruch müssen beantwortet werden, in der Regel innerhalb eines Monats (Art. 12 Abs. 3).
• Sicherheitsmängel bei Kontaktformularen, Logins und Kundenkonten (Art. 32), oft entdeckt durch eine Datenpanne, die der Behörde gemeldet werden muss (Art. 33).
• Internationale Übermittlungen über eingebettete Werkzeuge Dritter. Nachdem der Gerichtshof der EU den EU-US Privacy Shield in Schrems II (C-311/18, 2020) für ungültig erklärt hatte, stellten mehrere Behörden in Entscheidungen, die ab Anfang 2022 veröffentlicht wurden, fest, dass bestimmte Nutzungen von Google Analytics zu unzulässigen Übermittlungen führten. Der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 hat diese Bewertung für Übermittlungen an zertifizierte US-Unternehmen geändert.

04Wie ein Verfahren meist beginnt

Nur wenige Verfahren gegen Websites beginnen mit einer Prüfung aus eigener Initiative der Behörde. Auslöser ist meist eine Beschwerde nach Art. 77 DSGVO, oft von einem Besucher, dessen Auskunftsersuchen unbeantwortet blieb oder der nach seiner Ablehnung weiterhin Tracking bemerkt hat. Organisierte Beschwerdekampagnen wie die von noyb zu Cookie-Bannern im Jahr 2021 können viele Websites auf einmal ins Blickfeld einer Behörde rücken. Behörden führen außerdem branchenweite Prüfungen durch und reagieren auf Meldungen von Datenpannen.

Auf eine Beschwerde folgt in der Regel ein Schreiben mit der Bitte um Stellungnahme. Was Sie zu diesem Zeitpunkt vorlegen können, also Ihre Dokumentation, Ihre Einwilligungskonfiguration, Ihre Scan-Berichte und Ihre Antworten an die betroffene Person, prägt alles, was danach kommt.

05Was meist statt eines Bußgeldes geschieht

Art. 58 Abs. 2 DSGVO gibt den Behörden eine Reihe von Abhilfebefugnissen: Warnungen, Verwarnungen, Anordnungen, einem Antrag der betroffenen Person zu entsprechen, Anordnungen, die Verarbeitung innerhalb einer Frist in Einklang mit der Verordnung zu bringen, vorübergehende oder endgültige Beschränkungen der Verarbeitung und Geldbußen, die zusätzlich zu oder anstelle der anderen Maßnahmen verhängt werden können. Bei kleinen Organisationen und ersten Verstößen sind eine Verwarnung und eine Anordnung, das Problem innerhalb einer Frist zu beheben, häufige Ergebnisse. Wer einer solchen Anordnung nicht nachkommt, begeht selbst einen Verstoß, der mit einer Geldbuße geahndet werden kann (Art. 83 Abs. 6).

06Private Durchsetzung: Schadensersatz und Wettbewerber

Behörden sind nicht der einzige Weg. Nach Art. 82 DSGVO kann jede Person, der wegen eines Verstoßes ein materieller oder immaterieller Schaden entstanden ist, Schadensersatz verlangen. In Österreichische Post (C-300/21, 2023) entschied der Gerichtshof der EU, dass ein bloßer Verstoß für sich genommen keinen Anspruch begründet, die Person muss einen Schaden nachweisen, dass es für immaterielle Schäden aber keine Erheblichkeitsschwelle gibt. Im Januar 2022 sprach das Landgericht München I einem Besucher 100 € zu, weil eine Website seine IP-Adresse durch das Laden von Google Fonts von Googles Servern ohne Einwilligung an Google weitergegeben hatte; das Urteil löste in Deutschland eine Welle von Abmahnschreiben aus.

In Lindenapotheke (C-21/23, 4. Oktober 2024) bestätigte der Gerichtshof der EU, dass das nationale Recht Wettbewerbern erlauben darf, DSGVO-Verstöße als unlautere Geschäftspraktiken einzuklagen, in Deutschland über das UWG. Und die Verbandsklagen-Richtlinie ((EU) 2020/1828) führt die DSGVO unter den Rechtsakten, für die qualifizierte Einrichtungen Verbandsklagen im Namen von Verbrauchern erheben können.

07Das Risiko für die eigene Website einschätzen

Allen Wegen gemeinsam ist, dass der Ausgang stark davon abhängt, was der Websitebetreiber nachweisen kann. Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche für die Einhaltung verantwortlich und muss sie nachweisen können. In der Praxis heißt das, Folgendes vorzuhalten:

• eine aktuelle Datenschutzerklärung und Cookie-Richtlinie, die dem entsprechen, was die Website tatsächlich tut;
• eine Dokumentation der Einwilligungskonfiguration und der erteilten Einwilligungen, wo Sie sich auf eine Einwilligung stützen;
• datierte Scan-Berichte, die zeigen, was vor und nach der Einwilligung lädt und was Sie behoben haben;
• Verträge mit Auftragsverarbeitern wie Hosting-, E-Mail- und Analyseanbietern (Art. 28);
• ein Verzeichnis der Betroffenenanfragen und Ihrer Antworten.

Nichts davon erfordert ein großes Budget. Es erfordert regelmäßige Prüfungen und die Aufbewahrung der Ergebnisse, und genau hier sind die automatischen Werkzeuge, die wir testen und vergleichen, am nützlichsten.

08Quellen und weiterführende Literatur

Die oben genannten Rechtstexte und offiziellen Leitlinien. Die Links führen zu den offiziellen Herausgebern.

1. Verordnung (EU) 2016/679 (DSGVO) (eur-lex.europa.eu)
2. § 25 TDDDG (gesetze-im-internet.de)
3. EDSA-Leitlinien 04/2022 zur Berechnung von Geldbußen (edpb.europa.eu)
4. EDSA-Stellungnahme 5/2019 zum Zusammenspiel von ePrivacy-Richtlinie und DSGVO (edpb.europa.eu)
5. CNIL: Der Conseil d’État bestätigt die Cookie-Sanktion von 2020 gegen Google (cnil.fr)
6. Gerichtshof der EU, Rechtssache C-311/18 Schrems II (curia.europa.eu)
7. Durchführungsbeschluss (EU) 2023/1795 der Kommission (EU-US Data Privacy Framework) (eur-lex.europa.eu)
8. Gerichtshof der EU, Rechtssache C-300/21 Österreichische Post (curia.europa.eu)
9. Gerichtshof der EU, Rechtssache C-21/23 Lindenapotheke (curia.europa.eu)
10. Richtlinie (EU) 2020/1828 (Verbandsklagen-Richtlinie) (eur-lex.europa.eu)