Prädiktoren der DSGVO-Bußgeldhöhe deutscher Aufsichtsbehörden

Die Durchsetzung datenschutzrechtlicher Vorgaben stützt sich maßgeblich auf das in der Datenschutz-Grundverordnung verankerte Sanktionsregime, das Aufsichtsbehörden weitreichende finanzielle Eingriffsbefugnisse einräumt. Trotz unionsweit harmonisierter Kriterienkataloge zeigen sich in der administrativen Rechtsanwendung erhebliche Varianzen hinsichtlich der tatsächlichen Bußgeldhöhen, was die Frage nach den maßgeblichen Bestimmungsfaktoren behördlicher Entscheidungen aufwirft [3]. Die föderale Struktur der Bundesrepublik Deutschland verstärkt diese Dynamik durch die parallele Zuständigkeit unabhängiger Landesdatenschutzbehörden zusätzlich.

In der behördlichen Praxis erweist sich die Gewichtung einzelner Zumessungskriterien gemäß Artikel 83 DSGVO als komplexes Zusammenspiel aus Unternehmensumsatz, Schwere des Vorfalls und kooperativem Nachtatverhalten. Empirische Analysen früherer Vollzugsmaßnahmen belegen, dass gravierende Sicherheitsvorfälle und systematische Verstöße gegen fundamentale Grundsätze der Datenverarbeitung tendenziell strenger geahndet werden als isolierte Dokumentationsversäumnisse [5]. Dennoch bleibt die konkrete Quantifizierung einzelner Einflussfaktoren auf die Sanktionshöhe aufgrund uneinheitlicher Transparenzstandards und divergierender Zumessungsmodelle oft uneindeutig geregelt [8].

Ziel dieser Untersuchung ist die theoriegeleitete und evidenzbasierte Systematisierung der zentralen Prädiktoren, welche die Höhe verhängter Datenschutzbußgelder deutscher Aufsichtsbehörden determinieren. Anhand vergleichender Dokumentenanalysen behördlicher Leitlinien und veröffentlichter Sanktionsfälle werden materielle Zumessungskriterien mit den Berechnungsmodellen des Europäischen Datenschutzausschusses abgeglichen [2]. Die Arbeit leistet damit einen Beitrag zur Schließung der Forschungslücke zwischen normativer Sanktionsdogmatik und tatsächlicher behördlicher Entscheidungspraxis im deutschen Datenschutzvollzug.