Im Verfahren um ein Bußgeld nach der DS-GVO gegen die Deutsche Wohnen SE hat der Generalanwalt am Europäischen Gerichtshof Campos Sánchez-Bordona seine Schlussanträge vorgelegt. Danach können die Datenschutzbehörden Bußgelder direkt gegen Unternehmen verhängen. Dies setze aber den Nachweis eines vorsätzlichen oder fahrlässigen Handelns eines Mitarbeiters voraus.
Speicherung von Mieterdaten
Das Verfahren geht auf einen Bescheid der Berliner Datenschutzbehörde aus dem Jahr 2019 zurück. Sie hatte dem Immobilienkonzern vorgeworfen, Maßnahmen zur regelmäßigen Löschung von Mieterdaten nicht ausreichend umgesetzt zu haben. Die Deutsche Wohnen hatte ein Archivsystem installiert, das personenbezogene Daten speicherte, aber keine Möglichkeit zur Löschung etwa bei Beendigung des Mietverhältnisses vorsah. Die Behörde hatte daher einen Bußgeldbescheid in Höhe von 14,5 Millionen Euro gegen den Konzern erlassen. Das LG Berlin erklärte diesen für unwirksam, weil keine konkreten Tathandlungen eines Unternehmensorgans dargelegt seien. Das KG hatte das Verfahren ausgesetzt und dem EuGH die Frage vorgelegt, ob eine Sanktion unmittelbar gegen eine juristische Person verhängt werden kann, ohne dass zuvor die Verantwortlichkeit einer natürlichen Person festgestellt zu werden braucht. Außerdem will es wissen, ob der geahndete Verstoß vorsätzlich oder fahrlässig begangen worden sein muss oder ob ein rein objektiver Verstoß gegen eine Verpflichtung genügt ("strict liability").
Keine verschuldensunabhängige Haftung
Generalanwalt Sánchez-Bordona kommt zu dem Ergebnis, dass die Datenschutzbehörden Bußgelder nach der DS-GVO direkt gegen Unternehmen verhängen können. Dies setze aber den Nachweis eines vorsätzlichen oder fahrlässigen Handelns eines Mitarbeiters voraus. Eine verschuldensunabhängige Haftung ("strict liability") komme nicht in Betracht. Die Einhaltung der Vorgaben der DS-GVO erfordert aus Sicht des Generalanwalts "einen komplexen Bewertungs- und Beurteilungsprozess, der über die bloße Feststellung eines formalen Verstoßes hinausgeht". Soweit der juristischen Person das schuldhafte Handeln eines Mitarbeiters unterhalb der Leitungsebene zugerechnet werden soll, muss aus Sicht von Sánchez-Bordona eine Aufsichtspflichtverletzung vorliegen. Für einen Verstoß des Mitarbeiters, der auf einen Mangel des Kontroll- und Überwachungssystems zurückgehe, seien die Leitungsorgane unmittelbar verantwortlich, schreibt er in seinen Schlussanträgen.
zu EuGH, Schlussanträge vom 27.04.2023 - C-807/21
Weiterführende Links
Aus der Datenbank beck-online
Venn/Wybitul, Die bußgeldrechtliche Haftung von Unternehmen nach Art. 83 DS-GVO, NStZ 2021, 204
Meyer, Bußgelder bei Datenschutzverstößen: Wird es jetzt teuer?, ZVertriebsR 2020, 1