LG Bonn senkt DSGVO-Bußgeld gegen 1&1 auf 900.000 Euro

Ende 2019 hatte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gegen den Telekommunikationsanbieter 1&1 ein Bußgeld von rund 9,55 Millionen Euro verhängt; wir hatten darüber berichtet. Nun hat das Landgericht Bonn mit Urteil vom 11. November 2020 (Az. 29 OWi 1/20 LG) entschieden: Das Bußgeld ist dem Grunde nach berechtigt, aber deutlich zu hoch. Das Gericht setzte es auf 900.000 Euro herab. Es handelt sich um eines der ersten gerichtlichen Urteile über ein Millionenbußgeld nach der DSGVO in Deutschland.

Der Sachverhalt

Eine Anruferin hatte sich gegenüber der Kundenhotline als Ehefrau eines Kunden ausgegeben und lediglich dessen Namen und Geburtsdatum genannt. Daraufhin erhielt sie seine neue Mobilfunknummer. Der BfDI sah darin einen Verstoß gegen Art. 32 DSGVO: Das Authentifizierungsverfahren im Callcenter sei nicht ausreichend gewesen, um Kundendaten vor unbefugtem Zugriff zu schützen.

Die Entscheidung des Landgerichts

Das Gericht bestätigte zunächst den Datenschutzverstoß und traf eine grundsätzliche Weichenstellung: Nach Auffassung des LG Bonn kann ein Bußgeld unmittelbar gegen das Unternehmen verhängt werden, ohne dass der Verstoß einer konkreten Leitungsperson nachgewiesen werden muss. Die Zurechnungsregeln des deutschen Ordnungswidrigkeitenrechts seien insoweit nicht maßgeblich; die DSGVO enthalte keine entsprechende Einschränkung. DSGVO-Bußgelder gegen Unternehmen sind damit gerichtlich grundsätzlich durchsetzbar, auch ohne Nachweis eines Fehlverhaltens der Geschäftsleitung.

Bei der Höhe des Bußgeldes sah das Gericht den Verstoß jedoch als gering an. Es sei nicht zu einer massenhaften Herausgabe von Daten an Unberechtigte gekommen. Zudem habe das Authentifizierungsverfahren jahrelang unbeanstandet bestanden und es habe an verbindlichen Vorgaben für Callcenter gefehlt. Der Rechtsverstoß sei vermeidbar, aber nachvollziehbar gewesen. Auf dieser Grundlage hielt das Gericht ein Bußgeld von 900.000 Euro für angemessen.

Bedeutung für das Bußgeldkonzept der Behörden

Die deutschen Aufsichtsbehörden hatten 2019 ein Konzept zur Bußgeldbemessung vorgestellt, das sich stark am Umsatz des Unternehmens orientiert. Die Entscheidung aus Bonn wird in der Fachwelt überwiegend als Signal verstanden, dass Gerichte die Umstände des Einzelfalls, also Schwere, Dauer, Folgen und Verschulden, stärker gewichten und sich nicht allein an Umsatzzahlen orientieren. Ob die Entscheidung Bestand hat und welche Linie sich durchsetzt, bleibt abzuwarten.

Was Unternehmen daraus lernen können

• Wer telefonisch oder per E-Mail Auskünfte erteilt, braucht ein Verfahren, das die Identität des Anfragenden zuverlässig prüft. Name und Geburtsdatum reichen erkennbar nicht aus. Das gilt auch bei der Beantwortung von Auskunftsersuchen nach Art. 15 DSGVO.
• Unternehmen können sich nicht darauf zurückziehen, dass ein einzelner Mitarbeiter einen Fehler gemacht hat. Organisation und Schulung sind Leitungsaufgabe.
• Ein nachvollziehbar begründetes und dokumentiertes Sicherheitskonzept wirkt sich bei der Bußgeldbemessung positiv aus.
• Wer Verstöße einräumt, Maßnahmen ergreift und mit der Behörde zusammenarbeitet, verbessert seine Position.

Ein Bußgeldbescheid ist kein Schlusspunkt; die Höhe lässt sich gerichtlich überprüfen. Wichtig ist, die Einspruchsfrist von zwei Wochen nicht verstreichen zu lassen. Haben Sie einen Anhörungsbogen oder Bußgeldbescheid einer Datenschutzbehörde erhalten, verteidigen wir Sie im Verfahren. Kontaktieren Sie uns oder buchen Sie kurzfristig einen Termin.