Mit reichlich Spannung wurde das Urteil des Europäischen Gerichtshofs (EuGH) in Sachen „Deutsche Wohnen“ erwartet (Urteil vom 05.12.2023, C-807/21). Das Urteil hielt jedoch wenig Überraschendes bereit. Im Wesentlichen folgte der EuGH den Ausführungen des Generalanwalts.
Zum einen stellte der EuGH klar, dass Bußgelder gegen Unternehmen verhängt werden können, ohne dass der Verstoß gegen die DSGVO einer natürlichen Person zugerechnet werden müsse. Zum anderen erteilte der EuGH einer verschuldensunabhängigen Haftung eine Absage.
Hintergrund
Dem Urteil war ein Bußgeldbescheid der Berliner Datenschutzbehörde gegen das Immobilienunternehmen Deutsche Wohnen SE wegen angeblicher Verstöße gegen die DSGVO vorausgegangen. Die Aufsichtsbehörde warf dem Unternehmen vor, personenbezogene Daten von Mietern unrechtmäßig lange gespeichert und keine Maßnahmen zur Löschung getroffen zu haben. Daher erließ die Behörde im Oktober 2020 einen Bußgeldbescheid in Höhe von über 14,5 Mio. Euro.
Die Deutsche Wohnen SE klagte vor dem Landgericht Berlin gegen den Bußgeldbescheid. Nach Auffassung des Unternehmens fänden die Vorschriften des deutschen Ordnungswidrigkeitenrecht Anwendung, sodass Bußgelder nur dann verhängt werden dürfen, wenn der Unternehmensleitung ein vorwerfbares Fehlverhalten nachgewiesen werden könne, § 30 OWiG.
Die Aufsichtsbehörde vertrat hingegen den Standpunkt, dass Bußgelder gegen Unternehmen wegen Verstößen gegen die DSGVO unmittelbar und unabhängig von einem nachgewiesenen Verschulden verhängt werden können. Der Nachweis einer Aufsichtspflichtverletzung sei gerade nicht erforderlich.
Das Landgericht Berlin folgte der Ansicht der Deutsche Wohnen SE und stellte das Verfahren wegen gravierender Mängel des Bußgeldbescheids ein. Dagegen legte die Staatsanwaltschaft Berlin Beschwerde beim Kammergericht Berlin ein. Infolgedessen legte das Kammergericht dem EuGH zwei Fragen zur Auslegung von Art. 83 Abs. 4 bis 6 DSGVO vor:
- Mit der ersten Vorlagefrage sollte geklärt werden, ob ein Bußgeld wegen eines Verstoßes gegen die DSGVO unmittelbar gegen ein Unternehmen verhängt werden kann, ohne dass dieser Verstoß einer natürlichen und identifizierten Person zugerechnet werden muss.
- Die zweiten Vorlagefrage zielte darauf ab, ob der Verstoß gegen die DSGVO schuldhaft begangen werden muss oder ob Unternehmen im Rahmen des Bußgeldverfahrens verschuldensunabhängig („strict liability“) haften.
Entscheidung des EuGH
In seiner Entscheidung stellte der EuGH klar, dass Unternehmen nicht nur für Verstöße haften, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Personen handelt (Rn. 44). Bußgelder gegen nach Art. 83 DSGVO können daher unmittelbar juristischen Personen auferlegt werden. Eine andere Auslegung „würde die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden“ (Rn. 51).
Im Rahmen der zweiten Vorlagefrage stellte der EuGH zwar klar, dass die DSGVO keine „strict liabilty“ (verschuldensunabhängige Haftung) vorsehe. Die Verhängung einer Geldbuße setze ein schuldhaftes, also ein vorsätzliches oder fahrlässiges Handeln, des Verantwortlichen voraus (Rn. 68). Die hieran gestellten Anforderungen sind jedoch nicht sehr hoch. Für ein schuldhaftes Verhalten des Verantwortlichen genüge es, wenn der Verantwortliche „sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt“ (Rn. 76). Hierfür sei „keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person“ notwendig (Rn. 77).
Fazit
Die Entscheidung hielt wenig Neues bereit. Aufsichtsbehörden müssen nachweisen, dass dem Verstoß gegen die DSGVO ein vorsätzliches oder fahrlässiges Handeln zugrunde liegt. Alleine der Verstoß ist nicht ausreichend. Die Anforderungen an das schuldhafte Handeln sind jedoch nicht allzu hoch. Um sich effektiv vor Bußgeldern verteidigen zu können, ist daher umso wichtiger datenschutzrechtliche Vorgaben umzusetzen und einzuhalten. Insbesondere die sorgsame Auswahl der Auftragsverarbeiter als auch die Dokumentation von Auftragsverarbeitungsverträgen oder Vereinbarungen über gemeinsame Verantwortlichkeiten sollte sichergestellt werden. Für das Verfahren gegen die Deutsche Wohnen SE bleibt abzuwarten, ob das Kammergericht Berlin nach den Vorgaben des EuGH die Entscheidung des Landgerichts Berlin bestätigt oder dessen Beschluss über die Einstellung des Bußgeldverfahrens aufhebt.