I. Vorbemerkung
Der nachfolgende Beitrag beschäftigt sich mit der Thematik, ob aufgrund der Verletzung datenschutzrechtlicher Vorgaben Ansprüche, insbesondere Unterlassungs-, Schadenersatz- und Kostenerstattungsansprüche, gegen den Rechtsverletzer geltend gemacht werden können oder ob die Verletzung dieser Vorgaben – von Strafrechts- oder Ordnungswidrigkeitsverfahren abgesehen – sanktionslos bleibt. Bei der Beratung der meisten Unternehmen war diese Thematik in der Vergangenheit eher zweitrangig und tangierte wohl (nur) die Unternehmen, die von ihnen erhobene und gespeicherte Daten, ohne Einwilligung der Betroffenen, zu Werbezwecken oder zum Zwecke des Adresshandels nutzen wollten (vgl. § 28 Abs. 3 BDSG). Aufgrund neuer Entwicklungen in der Gesetzgebung und der Rechtsprechung dürfte sich dies aber nun geändert haben.
II. Erhebung, Verarbeitung und Nutzung personenbezogener Daten
Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur zulässig, soweit das Bundesdatenschutzgesetz (BDSG) oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat, § 4 Abs. 1 BDSG. Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person, § 3 Abs. 1 BDSG (im Detail: Bergmann/Eßer, BDSG, 4. Aufl., § 3 Rn 5–35). Wurden z.B. einem Unternehmen nur zum Zwecke der Abwicklung eines Rechtsgeschäftes personenbezogene Daten, beispielsweise die postalische Adresse und/oder die E-Mail-Adresse zur Verfügung gestellt, war die Erhebung dieser Daten insoweit zulässig, deren Verarbeitung zum Zwecke der Werbung (für andere Produkte und/oder Dienstleistungen) oder des bloßen Adresshandels aber unzulässig (vgl. § 28 Abs. 3 S. 1 BDSG; vgl. auch § 28 Abs. 1 S. 2 BDSG zur Zweckbestimmung). Sollte ein Unternehmen insoweit (i.d.R. wohl vorsätzlich) Daten unbefugt benutzt haben, dürfte den betroffenen Unternehmen bekannt gewesen sein, dass dies rechtliche Konsequenzen haben könnte.
Da der Wert (personenbezogener) Daten für Unternehmen in den vergangenen Jahren zugenommen hat und Daten zunehmend als Wirtschaftsgut betrachtet werden ("Kommerzialisierung von Daten"), wurde die rechtskonforme Behandlung der Daten – insbesondere deren Erhebung, Verarbeitung, Nutzung – in den Fokus rechtlicher Betrachtungen gerückt. Je wichtiger Daten für einzelne Unternehmen und die gesamte Wirtschaft werden (insofern wird immer wieder der Begriff "Big Data" genannt; vgl. hierzu Ehlen/Brandt CR 2016, 570), desto eher muss der rechtskonforme Umgang mit denselben gewährleistet sein. Aufgrund dieser zu Recht hohen Bedeutung der Einhaltung datenschutzrechtlicher Vorgaben war zuletzt, insbesondere im Online-Sektor, zu beobachten, dass die fehlende Vorhaltung von Datenschutzerklärungen auf Unternehmens-Websites als Wettbewerbsverstoß qualifiziert worden ist. Dass Datenschutzerklärungen vorzuhalten sind, mag vielen Unternehmen mangels entsprechender Sensibilisierung nicht bewusst sein. Solche Unkenntnis schützt Unternehmen aber nicht vor dem Erhalt von (teuren) Abmahnungen, entweder durch Mitbewerber oder sogar durch Verbände.
Hinweis:
An dieser Stelle ist ferner zu berücksichtigen, dass mit Wirkung zum 24.2.2016 die Regelung des § 2 Abs. 2 S. 1 Nr. 11 UKlaG eingeführt worden ist (hierzu Jaschinski/Piltz WRP 2016, 420). Diese Norm ermöglicht es nunmehr u.a. Verbraucherschutzverbänden, die Verletzung datenschutzrechtlicher Vorgaben zu ahnden. Aufgrund dieser Aspekte dürfte die Beratung betreffend die Einhaltung datenschutzrechtlicher Vorgaben zukünftig von größerer Bedeutung werden. Vor allem Unternehmen, die (auch) online tätig sind, werden hiervon betroffen sein, da durch Bildschirmausdrucke die Verletzung datenschutzrechtlicher Vorgaben leicht nachweisbar ist.
III. Sanktionierung datenschutzrechtlicher Verstöße
1. Bundesdatenschutz-/Telemediengesetz
Wird den Bestimmungen des Bundesdatenschutzgesetzes (BDSG) u.a. im Hinblick auf die Erhebung, Verarbeitung und Nutzung personenbezogener Daten zuwider gehandelt, enthält § 43 Abs. 1, 2 BDSG einen Katalog von Bußgeldvorschriften, der Geldbußen i.S.d. § 43 Abs. 3 S. 1 BDSG vorsieht. Die Geldbuße soll den wirtschaftlichen Vorteil übersteigen, den der Täter aus der Ordnungswidrigkeit gezogen hat, § 43 Abs. 3 S. 2 BDSG. Die in § 43 Abs. 3 S. 1 BDSG genannten Bußgeldbeträge können jedoch überschritten werden, § 43 Abs. 3 S. 3 BDSG. § 44 Abs. 1 BDSG sieht ferner strafrechtliche Konsequenzen für den Fall vor, dass eine der in § 43 Abs. 2 BDSG genannten Handlungen mit Bereicherungs- oder Schädigungsabsicht durchgeführt wird. Allerdings wird diese Tat nur auf Antrag verfolgt, § 44 Abs. 2 BDSG. Darüber hinaus sieht § 38 Abs. 5 BDSG vor, dass die Aufsichtsbehörde bei der Feststellung von Verstößen gegen das BDSG Maßnahmen einleiten kann, z.B. als ultima ratio bei schwerwiegenden Verstößen, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, die Untersagung der Erhebung, Verarbeitung oder Nutzung von Verfahren zur Verarbeitung von Daten (vgl. ferner die Informationspflicht von Unternehmen gem. § 42a BDSG).
Die Einleitung von Ordnungswidr...