Was passiert, wenn es zu Verstößen des Daten­schutzes kommt?

Warum Datenschutzverstöße jeden treffen können

Datenschutzverstöße sind keine Seltenheit mehr. Täglich werden Unternehmen aller Größen mit dem Thema konfrontiert – sei es durch einen Hackerangriff, einen versehentlich falsch adressierten E-Mail-Anhang oder den ungesicherten Laptop eines Mitarbeiters im Homeoffice.

Was passiert, wenn es zu Verstößen des Datenschutzes kommt? Diese Frage stellen sich Unternehmensverantwortliche, Datenschutzbeauftragte und betroffene Privatpersonen gleichermaßen. Die Antwort ist komplex – und die Konsequenzen reichen von empfindlichen Bußgeldern über zivilrechtliche Schadensersatzansprüche bis hin zu strafrechtlichen Ermittlungen.

Die Behörden verfügen über deutlich schärfere Instrumente und die Rechenschaftspflicht von Unternehmen ist zu einem zentralen Prinzip des Datenschutzrechts geworden. Wer die Anforderungen der DSGVO und des Bundesdatenschutzgesetzes (BDSG) ignoriert, riskiert nicht nur finanzielle Schäden – sondern auch erhebliche Reputationsverluste und persönliche Haftung.

Rechtliche Grundlagen: DSGVO, BDSG und StGB

Die DSGVO als europäischer Rahmen

Die Datenschutz-Grundverordnung bildet das zentrale Regelwerk des europäischen Datenschutzrechts. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und schafft einen einheitlichen Standard für die Verarbeitung personenbezogener Daten.

Zentrale Pflichten für Verantwortliche ergeben sich insbesondere aus:

• Art. 5 DSGVO – Grundsätze der Datenverarbeitung
• Art. 25 DSGVO – Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
• Art. 32 DSGVO – Sicherheit der Verarbeitung: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen (TOMs) treffen
• Art. 33 DSGVO – Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten gegenüber der Aufsichtsbehörde
• Art. 34 DSGVO – Benachrichtigungspflicht gegenüber den betroffenen Personen
• Art. 83 DSGVO – Bußgeldtatbestände und Bußgeldrahmen

Das BDSG als nationale Ergänzung

Das Bundesdatenschutzgesetz (BDSG) ergänzt und präzisiert die DSGVO auf nationaler Ebene. Es enthält unter anderem Regelungen zur Datenverarbeitung durch öffentliche Stellen, zur Videoüberwachung und – besonders relevant – zur strafrechtlichen Verantwortlichkeit im Datenschutzkontext.

§ 42 BDSG normiert eigenständige Straftatbestände im Datenschutzrecht. Wer personenbezogene Daten, die nicht allgemein zugänglich sind, unbefugt verarbeitet und dabei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, macht sich strafbar. Die Strafe kann bis zu drei Jahre Freiheitsstrafe oder Geldstrafe betragen.

§ 43 BDSG regelt Ordnungswidrigkeiten, die mit Bußgeldern geahndet werden können.

Strafrechtliche Relevanz: Das StGB im Kontext von Datenschutzverstößen

Datenpannen können auch Straftatbestände des Strafgesetzbuches (StGB) berühren – insbesondere dann, wenn es sich um gezielte Angriffe auf Datensysteme handelt:

• § 202a StGB – Ausspähen von Daten: Strafbar ist das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten.
• § 202b StGB – Abfangen von Daten: Das unbefugte Abfangen nicht öffentlicher Datenübermittlungen.
• § 202c StGB – Vorbereitung des Ausspähens: Strafbar ist bereits die Vorbereitung solcher Taten durch entsprechende Software oder Passwörter.
• § 303a StGB – Datenveränderung: Das unbefugte Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern von Daten.
• § 303b StGB – Computersabotage: Erhebliche Beeinträchtigungen von Datenverarbeitungen.

Die Schnittstelle zwischen Datenschutzrecht und Strafrecht ist komplex und wird in der Praxis häufig unterschätzt. Unternehmen, die Opfer eines Cyberangriffs werden, sind gleichzeitig Geschädigte und potenzielle Beschuldigte – etwa wenn sie die Meldepflichten nicht einhalten oder unzureichende Sicherheitsmaßnahmen nachgewiesen werden.

Zivilrechtliche Folgen

Unternehmen drohen zunehmend auch zivilrechtliche Konsequenzen. Betroffene Personen können Schadensersatz nach Art. 82 DSGVO direkt vor den Zivilgerichten einklagen – sowohl für materielle Schäden (z. B. finanzielle Verluste durch Identitätsdiebstahl) als auch für immaterielle Schäden wie Stress, Kontrollverlust oder Reputationseinbußen.

Verwaltungsrechtliche Folgen

Neben dem Bußgeld stehen den Datenschutzaufsichtsbehörden weitere verwaltungsrechtliche Instrumente zur Verfügung, die in der Praxis oft unterschätzt werden. Gemäß Art. 58 DSGVO können die Behörden unter anderem Anweisungen und Verwarnungen aussprechen, die zwar kein Bußgeld bedeuten, aber offiziell dokumentiert sind und bei späteren Verstößen erschwerend wirken, Verarbeitungstätigkeiten vorübergehend oder dauerhaft untersagen – ein Eingriff, der für viele Unternehmen schwerwiegendere operative Folgen hat als ein Bußgeld, die Aussetzung von Datentransfers in Drittländer anordnen sowie Nachweise und Dokumentationen einfordern sowie Überprüfungen und Audits anordnen.

Verwaltungsrechtliche Maßnahmen können mit oder ohne gleichzeitiges Bußgeld ergehen. Gerade die Untersagung bestimmter Verarbeitungstätigkeiten kann für datengetriebene Geschäftsmodelle existenzbedrohend sein. Unternehmen sollten daher behördliche Anfragen und Untersuchungsverfahren nicht auf die leichte Schulter nehmen – und frühzeitig rechtliche Begleitung suchen.

Was passiert nach einem Datenschutzverstoß? Die wichtigsten Konsequenzen

1. Bußgelder der Datenschutzbehörden

Der wohl bekannteste Konsequenz eines Datenschutzverstoßes ist das Bußgeld u. a. bei Verstößen gegen Pflichten des Verantwortlichen und Auftragsverarbeiters, Meldepflichten gegenüber der Aufsichtsbehörde, Benachrichtigungspflichten gegenüber Betroffenen, Grundsätze der Datenverarbeitung, Bedingungen für die Einwilligung, Rechte der betroffenen Person sowie Übermittlung personenbezogener Daten in Drittländer.

2. Die 72-Stunden-Meldepflicht

Wird ein Datenschutzverstoß festgestellt, beginnt die Uhr zu ticken. Gemäß Art. 33 DSGVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden – es sei denn, der Verstoß führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Die Meldung muss u. a. enthalten: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten, Beschreibung der wahrscheinlichen Folgen sowie ergriffene oder geplante Maßnahmen.

3. Benachrichtigung betroffener Personen

Bei einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen muss nach Art. 34 DSGVO auch die betroffene Person unverzüglich benachrichtigt werden. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen und die wesentlichen Informationen zum Vorfall sowie Empfehlungen zur Schadensbegrenzung enthalten.

4. Schadensersatzansprüche Betroffener

Art. 82 DSGVO gibt betroffenen Personen ein Recht auf Schadensersatz. Wer durch einen Datenschutzverstoß einen materiellen oder immateriellen Schaden erlitten hat, kann Ersatz verlangen. Verantwortliche und Auftragsverarbeiter haften – es sei denn, sie können nachweisen, dass sie nicht für den Schaden verantwortlich sind.

Datenschutzverstöße ernst nehmen – und vorbereitet sein

Was passiert, wenn es zu Verstößen des Datenschutzes kommt? Die Antwort ist eindeutig: Die Konsequenzen sind vielfältig, empfindlich und in manchen Fällen existenzbedrohend. Bußgelder, Schadensersatzansprüche von Betroffenen und – im schlimmsten Fall – strafrechtliche Ermittlungen zeigen, dass Datenschutz kein bürokratisches Thema ist, sondern eine echte Rechtspflicht mit harten Sanktionen.

Gleichzeitig gilt: Wer gut vorbereitet ist, reagiert schneller und besser. Unternehmen, die über klare Prozesse, einen kompetenten Datenschutzbeauftragten und ein funktionierendes Incident-Response-System verfügen, können den Schaden im Ernstfall erheblich begrenzen.

Für alle, die mit einem konkreten Datenschutzverstoß konfrontiert sind – als Unternehmen, Verantwortlicher oder betroffene Person –, empfiehlt sich frühzeitig juristische Begleitung. Wir stehen Ihnen mit langjähriger Erfahrung an der Schnittstelle von IT-Recht, Datenschutzrecht und Strafrecht zur Seite – bundesweit und auf Wunsch auch per Videokonferenz oder telefonisch.