Das Nationale Zentrum für öffentliche Gesundheit beim Gesundheitsministerium Litauens wendete sich gegen eine Geldbuße, die ihm im Zusammenhang mit der Entwicklung einer mobilen Anwendung auferlegt worden war, die der Erfassung und Überwachung der Daten von an Covid-19 Erkrankten dienen sollte. In einem zweiten fall aus Deutschland wehrte sich das Immobilienunternehmen Deutsche Wohnen gegen eine Geldbuße, die ihm auferlegt worden war, weil es personenbezogene Daten von Mietern länger als erforderlich gespeichert hatte. Die mit den Rechtsstreiten befassten nationalen Gerichte baten den Gerichtshof um Auslegung der DS-GVO.
Dieser (Urteile vom 05.12.2023 - C-683/21; C-807/21) hat entschieden, dass gegen einen für die Datenverarbeitung Verantwortlichen nur dann eine Geldbuße wegen Verstoßes gegen die DS-GVO verhängt werden kann, wenn der Verstoß schuldhaft begangen worden ist. Dazu müsse der Verantwortliche die Rechtswidrigkeit seines Verhaltens erkannt haben. Juristische Person hafteten dabei nicht nur für Verstöße ihrer Vertreter, Leitungspersonen oder Geschäftsführer, sondern auch für Verstöße, die von jeder sonstigen Person begangen werden, die im Rahmen ihrer unternehmerischen Tätigkeit in ihrem Namen handelt. Darüber hinaus seien auch Verstöße eines Auftragsverarbeiters zurechenbar.
Eine gemeinsame Verantwortlichkeit von zwei oder mehr Einrichtungen sei anzunehmen, wenn die Einrichtungen an der Entscheidung über die Zwecke und Mittel der Verarbeitung mitgewirkt haben. Die Einstufung als "gemeinsam Verantwortliche" setze keine förmliche Vereinbarung zwischen den betreffenden Einrichtungen voraus. Gehöre der Adressat der Geldbuße zu einem Konzern, sei bei der Berechnung der Geldbuße auf den Umsatz des Konzerns abzustellen.
