Bußgeld wegen Datenschutzverstoß nur bei vorsätzlichem oder fahrlässigem Handeln

Im Fall des Immobilienunternehmens Deutsche Wohnen hat Manuel Campos Sánchez-Bordona, Generalanwalt am Europäischen Gerichtshofs (EuGH), Ende April seine Schlussanträge vorgelegt. Darin stellt er klar, wann seiner Auffassung nach Bußgelder wegen Datenschutzverstößen gegen Unternehmen gerechtfertigt sind. Er geht davon aus, dass nur im Fall von nachweislich vorsätzlichem oder fahrlässigem Handeln ein Bußgeld verhängt werden könne.

„Die Schlussanträge des EuGH-Generalanwalts Sánchez-Bordon sind für den EuGH nicht bindend, in der Regel wird aber der entsprechenden Rechtsauffassung gefolgt“, so Dragana Dujak, Expertin für Datenschutzrecht bei Pinsent Masons. „Erforderlich ist der konkrete Nachweis eines zumindest fahrlässigen Handelns eines Mitarbeiters. Eine objektive Pflichtverletzung wird demnach für die Aufsichtsbehörden zur Verhängung eines Bußgeldes nicht mehr ausreichen. Dies wird die Aufsichtsbehörden insbesondere in Konzernstrukturen vor eine nicht unerhebliche Hürde stellen. Der damit verbundene Mehraufwand wäre von den Datenschutzaufsichtsbehörden aus offensichtlichen Kapazitätsgründen nicht zu leisten. Die Entscheidung des EuGH ist daher von erheblicher Bedeutung für die Durchsetzungspraxis und wird mit Spannung erwartet.“

Die Deutsche Wohnen geht gegen einen Bußgeldbescheid der Berliner Datenschutzbehörde (BlnBDI) vor. Das Bußgeld wurde wegen angeblicher Verstöße gegen die Datenschutz-Grundverordnung (DS-GVO) verhängt.

Die BlnBDI wirft der Deutsche Wohnen vor, mit den personenbezogenen und zum Teil sensiblen personenbezogenen Daten der Mieter nicht ordnungsgemäß umgegangen zu sein. Unter anderem habe die Deutsche Wohnen die die Daten weiter gespeichert, obwohl sie nicht mehr benötigt wurden. Auch, nachdem die BInBDI auf das Fehlverhalten hingewiesen hatte, verstieß das Immobilienunternehmen nach Auffassung der Behörde weiterhin gegen die DG-SVO.  Daher verhängte die BInBDI 2020 ein Bußgeld in Höhe von 14 Millionen Euro.

Wie viele deutsche Datenschutzbehörden vertritt auch die BInBDI die Auffassung, dass bei der Verhängung von Bußgeldern gegen Unternehmen wegen Verstößen gegen die DS-GVO nicht nachgewiesen werden muss, dass der Datenschutzverstoß vorsätzlich oder fahrlässig begangen wurde. Im Fall der Deutschen Wohnen ging die Behörde jedoch von Vorsatz aus.

Die Deutsche Wohnen klagte vor dem Landgericht (LG) Berlin gegen die Sanktion und hatte Erfolg. Daraufhin focht die Staatsanwaltschaft Berlin die Entscheidung vor dem Kammergericht (KG) an. Das KG legte dem EuGH im Rahmen des Verfahrens zwei Fragen zur Vorabentscheidung vor: Es soll geklärt werden, ob eine Sanktion gegen eine juristische Person verhängt werden kann, ohne dass zuvor die Verantwortlichkeit einer natürlichen Person festgestellt werden muss, und ob der sanktionierte Verstoß in jedem Fall vorsätzlich oder fahrlässig begangen worden sein muss, oder ob eine rein objektive Pflichtverletzung ausreicht.

Generalanwalt Sánchez-Bordon führt in seinen Schlussanträgen aus, dass die Datenschutzaufsichtsbehörden zwar Bußgelder nach der DS-GVO direkt gegen das Unternehmen verhängen dürfen. Er setzt jedoch den Nachweis eines vorsätzlichen oder fahrlässigen Handelns eines Mitarbeiters voraus. Eine Regelung in Paragraf 30 des Gesetzes über Ordnungswidrigkeiten, die etwas Gegenteiliges vorsieht, verstoße gegen EU-Recht und dürfe daher im verhandelten Fall nicht angewendet werden.

„Eine andere Ansicht hätte zur Folge, dass Verstöße gegen die DS-GVO nicht geahndet werden könnten, wenn keine natürlichen Personen beteiligt sind, die die juristische Person vertreten, leiten oder ihre Geschäfte führen“, so Dujak. „Generalanwalt Sánchez-Bordon führt in seinen Schlussanträgen aus, dass dies darauf beruhe, dass diese Personen den jeweiligen Leitungsorganen des Unternehmens unterstehen und diese ihren Aufsichts- und Kontrollpflichten nicht ordnungsgemäß nachkommen. Dies führe letztlich zu einer Zurechenbarkeit zur juristischen Person selbst.“