Der schnelle Überblick per E-Mail
Immer auf dem Laufenden mit dem kostenlosen NVwZ-Newsletter: Dieser informiert Sie pünktlich über das neue Heft und punktet mit einer qualifizierten Inhaltsübersicht mit Abstracts der Aufsätze und den amtlichen Leitsätzen der Rechtsprechung. Selbstverständlich vollverlinkt zu beck-online. Ideal für den schnellen Überblick auf dem Smartphone!
Gleich
anmelden und von den Vorteilen profitieren!
Geldbuße nur bei schuldhaftem DS-GVO-Verstoß
Von
EuGH | Dez 06, 2023
Der EuGH hat in zwei Fällen die Voraussetzungen präzisiert, unter denen nationale Aufsichtsbehörden eine Geldbuße wegen Verstoßes gegen die DS-GVO verhängen können. Das Gericht hat dabei klargestellt, dass nur schuldhafte Verstöße geahndet werden können, geht aber von einem weiten Verständnis zurechenbaren Handelns aus.
Das Nationale Zentrum für öffentliche Gesundheit beim Gesundheitsministerium Litauens wendete sich gegen eine Geldbuße, die ihm im Zusammenhang mit der Entwicklung einer mobilen Anwendung auferlegt worden war, die der Erfassung und Überwachung der Daten von an Covid-19 Erkrankten dienen sollte. In einem zweiten fall aus Deutschland wehrte sich das Immobilienunternehmen Deutsche Wohnen gegen eine Geldbuße, die ihm auferlegt worden war, weil es personenbezogene Daten von Mietern länger als erforderlich gespeichert hatte. Die mit den Rechtsstreiten befassten nationalen Gerichte baten den Gerichtshof um Auslegung der DS-GVO.
Dieser (Urt. v. 05.12.2023- C-683/21; C-807/21) hat entschieden, dass gegen einen für die Datenverarbeitung Verantwortlichen nur dann eine Geldbuße wegen Verstoßes gegen die DS-GVO verhängt werden kann, wenn der Verstoß schuldhaft begangen worden ist. Dazu müsse der Verantwortliche die Rechtswidrigkeit seines Verhaltens erkannt haben. Juristische Person hafteten dabei nicht nur für Verstöße ihrer Vertreter, Leitungspersonen oder Geschäftsführer, sondern auch für Verstöße, die von jeder sonstigen Person begangen werden, die im Rahmen ihrer unternehmerischen Tätigkeit in ihrem Namen handelt. Darüber hinaus seien auch Verstöße eines Auftragsverarbeiters zurechenbar.
Eine gemeinsame Verantwortlichkeit von zwei oder mehr Einrichtungen sei anzunehmen, wenn die Einrichtungen an der Entscheidung über die Zwecke und Mittel der Verarbeitung mitgewirkt haben. Die Einstufung als "gemeinsam Verantwortliche“ setze keine förmliche Vereinbarung zwischen den betreffenden Einrichtungen voraus. Gehöre der Adressat der Geldbuße zu einem Konzern, sei bei der Berechnung der Geldbuße auf den Umsatz des Konzerns abzustellen (Urt. v. 05.12.2023 - C-683/21).
Weiterführende Links
Aus der Datenbank beck-online
Roßnagel/Rost, Eine Geldbuße kommt selten allein, ZD 2023, 502
Klaas/Weber/Wybitul/Zimmer-Helfrich, Interview: Drei Blickwinkel auf Geldbußen wegen Datenschutzverstößen, ZD 2023, 478