Datenschutz: Deutsche Wohnen droht Millionenbußgeld nach EuGH-Urteil
Datenschutzbehörden dürfen auch dann Bußgelder gegen Unternehmen verhängen, wenn ihnen keine konkrete verantwortliche Person für den Datenschutzverstoß bekannt ist. Das entschied der Europäische Gerichtshof (EuGH) am 5. Dezember 2023 in einem Verfahren gegen den Immobilienkonzern Deutsche Wohnen. Jedoch dürfen Bußgelder dem Urteil zufolge nur dann verhängt werden, wenn ein Verstoß schuldhaft, das heißt vorsätzlich oder fahrlässig, begangen wurde ( Rechtssache C-807/21(öffnet im neuen Fenster) ).
Hintergrund des sogenannten Vorabentscheidungsersuchens war ein Bußgeldbescheid in Höhe von 14,5 Millionen Euro, den die damalige Berliner Datenschutzbeauftragte Maja Smoltczyk im November 2019 gegen die Deutsche Wohnen verhängt hatte . Zum Teil sollen Jahre alte persönliche Daten von Mietern in einem Archiv gespeichert worden sein, ohne dass eine Löschmöglichkeit vorgesehen gewesen sei. Zudem habe keine Überprüfung stattgefunden, ob das Speichern der Daten weiterhin zulässig sei.
Landgericht wies Bußgeldbescheid zurück
Der Konzern klagte erfolgreich vor dem Landgericht Berlin gegen den Bescheid . Die Staatsanwaltschaft Berlin legte anschließend Beschwerde gegen die Entscheidung ein . Das Berliner Kammergericht wandte sich dann in dem Verfahren an den EuGH.
Dem Urteil(öffnet im neuen Fenster) zufolge steht die EU-Datenschutzgrundverordnung (DSGVO) deutschen Regelungen entgegen, wonach eine Geldbuße wegen eines Datenschutzverstoßes "gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde" .
Unternehmen haften für Verstöße aller Mitarbeiter
Mit Blick auf Unternehmen bedeutet dies nach Ansicht des Gerichts, "dass diese nicht nur für Verstöße haften, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Personen handelt" . Es gebe hingegen in der DSGVO "keine Bestimmung, die die Verhängung einer Geldbuße gegen eine juristische Person als Verantwortliche davon abhängig macht, dass zuvor festgestellt wird, dass dieser Verstoß von einer identifizierten natürlichen Person begangen wurde" .
Der Entscheidung des Landgerichts Berlin lag jedoch die Auffassung zugrunde, dass Bußgelder gegen Unternehmen nur bei nachweisbarem Verschulden von Leitungspersonen verhängt werden können. Bei der Überprüfung des Urteils durch das Kammergericht Berlin ist daher zu erwarten, dass die Entscheidung im Sinne der DSGVO aufgehoben wird.
Unwissenheit könnte vor Strafe schützen
Allerdings stellte der EuGH auch klar, dass nach Artikel 83 der DSGVO eine Geldbuße nur dann verhängt werden darf, wenn sich der Verantwortliche "über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt" .
Ein solcher Nachweis könnte wohl dadurch geführt werden, indem dargelegt wird, dass das Unternehmen von der Aufsichtsbehörde auf die Missstände hingewiesen wurde. Im konkreten Fall hatte die Berliner Datenschutzbehörde bereits im Juni 2017 das Archivsystem von Deutsche Wohnen bemängelt und das Unternehmen aufgefordert, mit Blick auf das Inkrafttreten der DSGVO im Mai 2018 das System umzustellen.