Datenschutz: Passwort genügt nicht

Das Risiko, bei Schluderei im Umgang mit Personendaten ertappt zu werden, erscheint auf den ersten Blick begrenzt: Nach Erfahrungen von Hülsmann müssen meldepflichtige Organisationen - etwa Auskunfteien, Online-Branchenauskünfte oder Unternehmen der Pharma-, Chemie- und TK-Branche - alle drei bis fünf Jahre mit einer behördlichen Routinekontrolle rechnen.

Andere Unternehmen werden in erster Linie bei entsprechenden Vorkommnissen überprüft. "Allerdings knöpfen sich die Behörden immer wieder ad hoc eine Branche vor - man kann also nicht vorher wissen, ob es einen erwischt", gibt Lüllemann zu bedenken. Auch der wenig überschaubare Endverbrauchermarkt berge seine Risiken. "Es kann durchaus sein, dass ein sachkundiger Rechtsanwalt oder Datenschutzbeauftragter einen Verstoß gegen das Gesetz registriert und an die große Glocke hängt". (Katharina Friedmann/mje)

Wehe, wenn der Prüfer kommt …

Bei Nicht- oder Scheinbestellung eines Datenschutzbeauftragten droht ein Bußgeld bis zu 25 000 Euro. Eine Scheinbestellung liegt unter anderem vor, wenn der Zuständige nicht über die erforderliche Fachkunde verfügt oder ein Interessenskonflikt gegeben ist.

Bereits ein fahrlässiger Gesetzesverstoß - etwa wenn personenbezogene, nicht allgemein zugängliche Daten unbefugt erhoben oder verarbeitet werden - kann mit einer Geldstrafe bis zu 250000 Euro geahndet werden.

Bei einem vorsätzlichen Gesetzesverstoß (mit Bereicherungsabsicht oder dem Ziel, andere zu schädigen) droht neben dem Bußgeld eine Freiheitsstrafe bis zu zwei Jahren.