DSG: Verwaltungsstrafe bis EUR 25.000,-- DSGVO: Geldbußen bis EUR 20.000.000,--

1. Datenverarbeitung ohne Erfüllung der Meldepflicht / Betrieb einer Datenanwendung außerhalb der Meldung
   
   
2. Datenübermittlung/-überlassung ins (EU-)Ausland ohne erforderliche Genehmigung
3. Nichteinhaltung von Zusagen gegenüber der DSB oder von Auflagen der DSB
4. Verletzung der Offenlegungs- oder Informationspflichten nach §§ 23 (Informationspflicht zur Offenlegung nicht-meldepflichtiger Datenanwendungen), 24 (Informationspflicht des Auftraggebers), 25 (Pflicht zur Offenlegung der Identität des Auftraggebers) sowie  50d (Information durch Kennzeichnung bei Videoüberwachungen)
5. gröbliche Außerachtlassung der Datensicherheitsmaßnahmen (nach § 14 DSG).
6. Außerachtlassung der Sicherheitsmaßnahmen bei Videoüberwachungen
7. Unterlassung der Löschung von Videoaufzeichnungen nach der Löschungsfrist

Datenverwendung in Gewinn- oder Schädigungsabsicht

§ 51. Wer mit dem Vorsatz, sich oder einen Dritten dadurch unrechtmäßig zu bereichern, oder mit der Absicht, einen anderen dadurch in seinem von § 1 Abs. 1 gewährleisteten Anspruch zu schädigen, personenbezogene Daten, die ihm ausschließlich auf Grund seiner berufsmäßigen Beschäftigung anvertraut oder zugänglich geworden sind oder die er sich widerrechtlich verschafft hat, selbst benützt, einem anderen zugänglich macht oder veröffentlicht, obwohl der Betroffene an diesen Daten ein schutzwürdiges Geheimhaltungsinteresse hat, ist, wenn die Tat nicht nach einer anderen Bestimmung mit strengerer Strafe bedroht ist, vom Gericht mit Freiheitsstrafe bis zu einem Jahr zu bestrafen.

Verantwortlicher / Auftragsdatenverarbeiter verletzt Pflichten, die sich aus folgenden Artikeln der DSGVO ergeben

dabei handelt es sich um die "Grundprinzipien" der Datenverarbeitung

nach der DSGVO sowie die

Individualrechte der betroffenen Person

1. die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß
   
   Art 5: Grundsätze für die Verarbeitung personenbezogener Daten - "Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit
   
   Art 6: Rechtmäßigkeit der Verarbeitung (Detailbestimmung, die den "Rechtsgrund" der Verarbeitung z.B. Einwilligung oder vertragliche Grundlage oder berechtigtes Interesse darlegt)
   
   Art 7: Bedingungen für die Einwilligung
   
   Art 9: Verarbeitung besonderer Kategorien personenbezogener Daten 
   
   
2. die Rechte der betroffenen Person gemäß
   Art 12: Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
   Art 13: Informationspflicht bei der Erhebung von personenbezogenen Daten bei der betreffenden Person
   Art 14: Informationspflicht, wenn die personenbezogenen Daten nich bei der betroffenen Person erhoben wurden
   Art 15: Auskunftsrecht der betroffenen Person
   Art 16: Recht auf Berichtigung
   Art 17: Recht auf Löschung ("Recht auf Vergessenwerden")
   Art 18: Recht auf Einschränkung der Verarbeitung
   Art 19: Mitteilungspflicht iZhg mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung
   Art 20: Recht auf Datenübertragbarkeit
   Art 21: Widerspruchsrecht
   Art 22: Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
   
3. die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Art 44 bis 49
   
   
4. alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kap IX erlassen wurden;
   
   
5. Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Art 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Art 58 Absatz 1.

1. Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
   
   
2. der Verschuldensgrad, dh ob die Tat vorsätzlich oder fahrlässig begangen wurde
   
   
3. Schadensminderungsmaßnahen
   
   
4. Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen getroffenen technischen und organistorischen Maßnahmen gemäß den
   
   Art 25: privacy by design und privacy by Default und
   
   Art 32: Sicherheit der Verarbeitung, und zwar z.B. durch:
   Pseudonymisierung und Verschlüsselung,
   Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicher zu stellen,
   Fähigkeit, die Verfügbarkeit und den Zugang von personenbezogenen Daten bei einem Zwischenfall rasch wieder herzustellen,
   Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit Maßnahmen
   
   
5. einschlägige frühere Verstöße (dh Verstöße in einem gewissen sachlichen Zusammenhang)
   
   
6. Umfang der Zusammenarbeit mit der Aufsichtsbehörde
   
   
7. die betroffenen Kategorien personenbezogener Daten
   (dh ob Art-9-Daten oder Art-10-Daten betroffen sind, oder andere personenbezogene Daten)
   
   
8. Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbes. eine etwaige data breach notification
   
   
9. Einhaltung der in Bezug auf denselben Gegenstand angeordneten Maßnahmen
   
   
10. Einhaltung von genehmigten Verhaltensregeln nach Art 40 oder genehmigten Zertifizierungsverfahren nach Art 42 
    
    
11. jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste (hier werden auch technische und organisatorische Maßnahmen nach Art 24 zu berücksichtigen sein)