Für eine fehlende Schulung allein wird in der Praxis selten ein Bußgeld verhängt — sie wirkt als Verstärker. Kommt es zu einem Vorfall, dann wird geprüft, ob die Organisation dahinter stimmte. Fehlt die Unterweisung, fällt der mildernde Umstand aus Art. 83 Abs. 2 lit. d DSGVO weg, und derselbe Vorfall wird teurer bewertet als bei einem Unternehmen, das seine Beschäftigten nachweislich geschult hat.
Der Rahmen selbst ist hoch: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Sicherheitspflichten aus Art. 32, bis zu 20 Millionen Euro oder 4 Prozent bei Verstößen gegen die Grundsätze aus Art. 5 und 6 — jeweils der höhere Betrag. Für einen Mittelständler sind das theoretische Zahlen; entscheidend ist, dass die Behörde den Umsatz als Maßstab nimmt und nicht den Schaden.
Realistischer als das Bußgeld sind die Folgekosten eines Vorfalls, der durch eine Schulung vermeidbar gewesen wäre: die Aufarbeitung, die Meldung, die Information der Betroffenen, der Schadensersatzanspruch aus Art. 82 DSGVO, der Aufwand im Vertrieb, wenn Kunden nachfragen. Diese Summen fallen an, ohne dass eine Behörde beteiligt sein muss.
Niemand kann Ihnen eine seriöse Zahl nennen, die Sie mit einer Schulung „sparen“. Wer mit einem konkreten Bußgeldbetrag für fehlende Schulungen wirbt, erfindet ihn. Die belastbare Aussage ist eine andere: Die Unterweisung ist die günstigste organisatorische Maßnahme, die Sie überhaupt treffen können, und sie wirkt in jedem Verfahren zu Ihren Gunsten.
Fundstelle: Art. 82, Art. 83 Abs. 2 lit. d, Art. 83 Abs. 4 lit. a, Art. 83 Abs. 5 DSGVO