Studie: Datenschutz darf für Europa nicht zur Innovationsbremse werden

Zu den wichtigsten Ergebnissen der Studie von DLA Piper gehören:

• Bußgelder werden in Europa vor allem gegen Unternehmen im Bereich Social Media und Big Tech verhängt.
• Datenschutzbehörden setzten im Jahr 2023 europaweit und darüber hinaus Bußgelder in Höhe von 1,78 Milliarden Euro an.
• Irland nimmt den Spitzenplatz mit den am höchsten verhängten Bußgeldern seit Einführung der Datenschutzgrundverordnung (DSGVO) ein. Deutschland liegt auf dem sechsten Platz.
• Deutschland führt 2023 die Liste der Meldungen von Datensicherheitsverletzungen (Datenpannen) mit über 32.000 Meldungen an.

„Die rekordverdächtigen Geldbußen der DSGVO treffen vor allem global tätige Unternehmen, zum Beispiel aus den Bereichen Social Media und Big Tech, besonders hart. Datenschutz darf in Europa nicht zur Innovationsbremse werden“, so Dr. Jan Geert Meents, Managing Director UK & Europe und Partner der deutschen IPT-Gruppe anlässlich der Veröffentlichung eines neuen Reports der Kanzlei, der Bußgelder wegen Verstößen gegen die DSGVO in allen 27 Mitgliedstaaten der Europäischen Union sowie im Vereinigten Königreich, in Norwegen, Island und Liechtenstein untersucht.

Im Jahr 2023 haben die europäischen Aufsichtsbehörden Bußgelder in Höhe von insgesamt 1,78 Milliarden Euro verhängt, was einem Anstieg von 14 Prozent gegenüber dem Vorjahreszeitraum entspricht. Die wesentlich geringere Steigerung im Vergleich zu dem im letzten Jahr gemeldeten Anstieg um 50 Prozent ist unter anderem auf eine Reihe erfolgreicher Einsprüche in verschiedenen Jurisdiktionen zurückzuführen, bei denen die Geldbußen reduziert oder in einigen Fällen ganz aufgehoben wurden.

Irland nimmt in diesem Jahr wiederholt die Spitzenposition mit den höchsten DSGVO-Bußgeldern ein, die seit dem 25. Mai 2018 verhängt wurden; auch die größte jemals verhängte Einzelgeldbuße fällt auf Meta in Irland. Der Gesamtwert der in Irland verhängten DSGVO-Bußgelder liegt nun bei 2,86 Milliarden Euro. Zum Vergleich: Der Wert der in Deutschland verhängten DSGVO-Bußgelder liegt insgesamt bei über 78 Millionen Euro, womit Deutschland den sechsten Platz hinter Luxemburg, Frankreich, Italien und Spanien einnimmt. Als beliebter Standort für Technologieunternehmen, die ihre Hauptniederlassung in der EU errichten wollen, überrascht es nicht, dass Irland die Länderrangliste anführt.

„Die Beschränkungen der DSGVO für die Übermittlung personenbezogener Daten an Drittländer haben für die europäischen Aufsichtsbehörden nach wie vor Priorität, wobei die gegen Meta in Irland verhängte Geldbuße in Höhe von 1,2 Milliarden Euro besonders hervorsticht“, so Verena Grentzenberg, Partnerin der Praxisgruppe Intellectual Property & Technology (IPT) von DLA Piper in Deutschland mit Fokus auf Datenschutz.

Mit Blick auf Deutschland ergänzt sie: „Deutschland meldete 2023 mit rund 32.000 die meisten Datenpannen. Im Durchschnitt gab es in den untersuchten Ländern 335 Meldungen über Datenpannen pro Tag.“ Unter Berücksichtigung der Fehlermarge ist die Zahl der Meldungen im Vergleich zum Vorjahr (328 Meldungen) damit nahezu unverändert hoch geblieben.

Jan Pohle, ebenfalls IPT-Partner mit Spezialisierung im Bereich Datenschutz, rät: „Governance und ein wirksames Risikomanagement sind für Unternehmen von entscheidender Bedeutung, um diese Komplexität im Kontext der DSGVO und das Compliance-Risiko zu bewältigen sowie die Geschäftsfortführung im Krisenfall zu gewährleisten.“

Über den Report

Die internationale Wirtschaftskanzlei DLA Piper hat den „GDPR Fines and Data Breach Report 2024“ am 18. Januar 2024 veröffentlicht. Die Erhebung wirft einen Blick auf die wichtigsten Kennzahlen der Datenschutzgrundverordnung (DSGVO) für den Europäischen Wirtschaftsraum (EWR) und das Vereinigte Königreich seit der Einführung der DSGVO am 25. Mai 2018 und für das am 28. Januar 2023 beginnende Jahr. Der EWR umfasst alle 27 Mitgliedstaaten der Europäischen Union sowie Norwegen, Island und Liechtenstein. Das Vereinigte Königreich verließ die EU am 31. Januar 2020. Das Vereinigte Königreich hat die DSGVO in allen Rechtsordnungen des Vereinigten Königreichs (England, Nordirland, Schottland und Wales) in nationales Recht umgesetzt. Zum Zeitpunkt dieser Umfrage ist die britische DSGVO in allen wesentlichen Punkten mit der EU-Grundverordnung identisch. Dennoch schlägt die britische Regierung vor, die britischen Datenschutzgesetze zu ändern, und hat den Data Protection and Digital Information Bill veröffentlicht. Es bleibt abzuwarten, inwieweit diese Änderungen von der EU-DSGVO abweichen werden.