EuGH Deutsche Wohnen: Bußgeld gegen Unternehmen nur bei Verschulden

Wie Unternehmen für Datenschutzverstöße ihrer Beschäftigten haften und ob ein Bußgeld ein Verschulden voraussetzt, hat der Gerichtshof der Europäischen Union am 5. Dezember 2023 in der Rechtssache C-807/21 (Deutsche Wohnen) entschieden, gemeinsam mit einem litauischen Verfahren (C-683/21). Das Urteil hat erhebliche Bedeutung für die Bußgeldpraxis der deutschen Aufsichtsbehörden.

Der Hintergrund

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hatte gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro verhängt, weil personenbezogene Daten von Mieterinnen und Mietern länger als erforderlich gespeichert worden waren. Das Landgericht Berlin stellte das Verfahren ein: Nach deutschem Ordnungswidrigkeitenrecht (§ 30 OWiG) könne ein Bußgeld gegen ein Unternehmen nur verhängt werden, wenn einer konkreten Leitungsperson ein Verstoß nachgewiesen werde. Das Kammergericht legte die Frage dem EuGH vor.

Die Kernaussagen

1. Ein Bußgeld kann unmittelbar gegen ein Unternehmen als Verantwortlichen verhängt werden. Es ist nicht erforderlich, den Verstoß zuvor einer identifizierten natürlichen Person, etwa einem Vorstandsmitglied, zuzurechnen. Die einschränkende deutsche Regelung ist insoweit mit der DSGVO nicht vereinbar. Unternehmen haften dabei für Verstöße ihrer Leitungspersonen, aber auch für Verstöße anderer Personen, die im Rahmen ihrer unternehmerischen Tätigkeit und in ihrem Namen handeln.
2. Eine verschuldensunabhängige Haftung gibt es nicht. Ein Bußgeld darf nur verhängt werden, wenn der Verantwortliche den Verstoß vorsätzlich oder fahrlässig begangen hat. Dafür genügt es, dass er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, unabhängig davon, ob ihm bewusst war, gegen die DSGVO zu verstoßen.
3. Gehört der Adressat zu einem Konzern, ist für die Bemessung des Bußgeldes der Unternehmensbegriff des europäischen Wettbewerbsrechts maßgeblich, also gegebenenfalls der Umsatz der gesamten wirtschaftlichen Einheit.

Das Kammergericht muss nun auf dieser Grundlage über das Bußgeld gegen die Deutsche Wohnen entscheiden.

Einordnung

Das Urteil bestätigt im Ergebnis die Linie, die das Landgericht Bonn bereits im Verfahren gegen 1&1 vertreten hatte; wir berichteten im Beitrag „LG Bonn senkt DSGVO-Bußgeld gegen 1&1“. Für die Aufsichtsbehörden wird die Verhängung von Bußgeldern einfacher, weil sie keine konkrete Leitungsperson ermitteln müssen. Zugleich müssen sie aber ein Verschulden des Unternehmens darlegen. Eine reine Gefährdungshaftung scheidet aus.

Was Unternehmen daraus ableiten sollten

• Unternehmen haften für Verstöße, die im Rahmen ihrer Tätigkeit begangen werden. Klare Prozesse, Schulungen und Kontrollen sind deshalb unverzichtbar.
• Der Fall zeigt, dass schon die zu lange Speicherung von Daten zu Millionenbußgeldern führen kann. Ein funktionierendes Löschkonzept gehört zur Basis-Compliance.
• Wer nachweisen kann, dass er angemessene Vorkehrungen getroffen hat, verbessert seine Position bei der Frage des Verschuldens und der Bußgeldhöhe.
• Tochtergesellschaften müssen damit rechnen, dass Bußgelder am Konzernumsatz bemessen werden.

Die Haftung ist damit unmittelbar, aber nicht verschuldensunabhängig, und eine nachweisbar gute Datenschutzorganisation gewinnt weiter an Gewicht. In Bußgeldverfahren verteidigen wir Unternehmen und prüfen dabei insbesondere die Verschuldensfrage. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.