Der EuGH hat in zwei Fällen die Voraussetzungen präzisiert, unter denen nationale Aufsichtsbehörden eine Geldbuße wegen Verstoßes gegen die DS-GVO verhängen können. Das Gericht hat dabei klargestellt, dass nur schuldhafte Verstöße geahndet werden können, geht aber von einem weiten Verständnis zurechenbaren Handelns aus.
Das Nationale Zentrum für öffentliche Gesundheit beim Gesundheitsministerium Litauens wendete sich gegen eine Geldbuße, die ihm im Zusammenhang mit der Entwicklung einer mobilen Anwendung auferlegt worden war, die der Erfassung und Überwachung der Daten von an Covid-19 Erkrankten dienen sollte. In einem zweiten fall aus Deutschland wehrte sich das Immobilienunternehmen Deutsche Wohnen gegen eine Geldbuße, die ihm auferlegt worden war, weil es personenbezogene Daten von Mietern länger als erforderlich gespeichert hatte. Die mit den Rechtsstreiten befassten nationalen Gerichte baten den Gerichtshof um Auslegung der DS-GVO.
Dieser (Urteile vom 05.12.2023- C-683/21; C-807/21) hat entschieden, dass gegen einen für die Datenverarbeitung Verantwortlichen nur dann eine Geldbuße wegen Verstoßes gegen die DS-GVO verhängt werden kann, wenn der Verstoß schuldhaft begangen worden ist. Dazu müsse der Verantwortliche die Rechtswidrigkeit seines Verhaltens erkannt haben. Juristische Person hafteten dabei nicht nur für Verstöße ihrer Vertreter, Leitungspersonen oder Geschäftsführer, sondern auch für Verstöße, die von jeder sonstigen Person begangen werden, die im Rahmen ihrer unternehmerischen Tätigkeit in ihrem Namen handelt. Darüber hinaus seien auch Verstöße eines Auftragsverarbeiters zurechenbar.
Eine gemeinsame Verantwortlichkeit von zwei oder mehr Einrichtungen sei anzunehmen, wenn die Einrichtungen an der Entscheidung über die Zwecke und Mittel der Verarbeitung mitgewirkt haben. Die Einstufung als "gemeinsam Verantwortliche“ setze keine förmliche Vereinbarung zwischen den betreffenden Einrichtungen voraus. Gehöre der Adressat der Geldbuße zu einem Konzern, sei bei der Berechnung der Geldbuße auf den Umsatz des Konzerns abzustellen (Urt. v. 5.12.2023 - C-683/21).
Zum Thema im Internet
Die Urteile des Gerichtshofs in den Rechtssachen C-683/21 und C-807/21 finden Sie auf den Internetseiten der Europäischen Justiz.
Aus der Datenbank beck-online
Roßnagel/Rost, Eine Geldbuße kommt selten allein, ZD 2023, 502
Klaas/Weber/Wybitul/Zimmer-Helfrich, Interview: Drei Blickwinkel auf Geldbußen wegen Datenschutzverstößen, ZD 2023, 478