EU - Datenschutzgrundverordnung im Arbeitsrecht: Sanktions & Haftungsrisiken

Die Europäische Datenschutzgrundverordnung (EU DSGVO) hatte 4000 Änderungsanträge zum ersten Entwurf, und wurde doch a.E. mit grossem Konsens zwischen Europäischem Parlament, Europarat und der EU - Kommission vereinbart. 

Sie gilt seit Mai 2018 und hat auch die Rechte des einzelnen Arbeitnehmers , Beschäftigter nach der DSGVO, gestärkt und neue sanktionsbewährte Informations- sowie Beteiligungsrechte für Arbeitnehmer geschaffen.

Vielen  Arbeitgebern und Arbeitnehmern ("Beschäftigte" nach der EU - DSGVO) ist weiter nicht bewusst, welche Sanktionsmöglichkeiten bei Verstoss des Arbeitgebers gegen die EU - DSGVO drohen (können).

Verstoss gegen Datenschutz

Bei Verstoss gegen Datenschutzvorschriften, jetzt insbesondere auch die DSGVO, gewährleisten Art. 77 - 84 DSGVO ein ganzes Bündel an abgestuften Rechts- und Sanktionsmöglichkeiten gegen die zuständige Aufsichtbehörde sowie vor allem gegen Verantwortliche und Auftragsverarbeiter.

Bei Verstössen gegen die DSGVO und das Datenschutzgesetz

• macht der Arbeitgeber sich grundsätzlich nach  30 OWIG bussgeldpflichtig.

Die Kriterien für die Höhe der zu verhängender Geldbussen sind in Art. 83 II DSGVO im allgemeinen aufgestellt. Art. 83 III DSGVO listet zusätzlich einen

• Katalog wichtiger Verstösse auf, die mit Geldbussen bis 10.000 000,00 €,  oder bei Unternehmen bis zu 2 % des Jahresumsatz,

sanktioniert sein können.

Bei besonders schwerwiegenden Verstössen nach Art. 83 IV DSGVO  sieht das Gesetz

• sogar Geldbussen bis € 20.000 000,00 , oder bei Unternehmen 4 % des Jahresumsatzes, vor.

Weiterhin besteht nach § 29a OWIG neuerdings die

• Möglichkeit zu "Gewinn - Einzug" des durch Datenschutzverstoss erwirtschafteten, wenn eine Geldbusse nicht festgesetzt wird.

Nach Art. 82 I DSGVO hat der Beschäftigte

• Anspruch auf Schadensersatz, wenn ihm

1. wegen eines Verstosses gegen die DSGVO,
2. durch Verschulden des Verantwortlichen, oder Auftragsverarbeiters,
3. ein materieller oder immaterieller Schadenentstanden ist.

Der Verantwortliche kann sich "exculpieren", wenn er nach Art. 82 III DSGVO

1. nachweist,
2. dass er für den Umstand, durch den der Schaden entstanden ist,
   nicht verantwortlich

Mehrere Verantwortliche haften als Gesamtschulder.

Nach dem Wortlaut ist "jeder" Verstoss gegen die DSGVO sanktioniert. Nach den Erwägungsgründen zur DSGVO sollen Schäden ersetzt werden, die "einer Person aufgrund einer Verarbeitung entstehen".

Denkbar sind weiter auch deliktische Schadensersatzansprüche wegen Eingriff in die aus Art 1 I , Art 2 I GG geschützten Persönlichkeitsrechte des Beschäftigten.