Am 27.04.2023 hielt der Generalanwalt Manuel Campos Sánchez-Bordon des Gerichtshofs der Europäischen Union (EuGH) seinen Schlussvortrag in dem Rechtsstreit Deutsche Wohnen SE (in der Rechtssache C 807/21). Deutsche Wohnen ist ein Immobilienunternehmen aus Berlin. Dieses wehrte sich gegen einen im Oktober 2020 ergangenen Bußgeldbescheid der Berliner Datenschutzbehörde (BIndBDI). Demnach soll die Deutsche Wohnen personenbezogene Daten der Mieter nicht ordnungsgemäß verwaltet haben. Betroffen waren Identitätsnachweise, Steuer-, Sozial- und Krankversicherungsdaten, die fortgesetzt gespeichert wurden. Der Bußgeldbescheid ist in einer Höhe von über 14 Millionen Euro ergangen.
Im Juni 2017 beanstandete die Behörde erstmals mögliche Verstöße. Die BIndBDI stellte bei einer Vor-Ort-Überprüfung fest, dass personenbezogene Daten von Mietern in einem elektronischen Archivsystem gespeichert wurden durch die Deutsche Wohnen. Nach den Feststellungen war es nicht möglich, die nicht mehr erforderlichen Daten zu löschen. An diesem Umstand änderte sich bis März 2019 nichts, weswegen die Behörde den Bußgeldbescheid erließ.
Das Unternehmen klagte zunächst erfolgreich vor dem Landgericht Berlin gegen die Sanktion. Nachdem die Staatsanwaltschaft Berlin die Entscheidung vor dem Kammergericht angefochten hatte, legte dieses dem EuGH zwei Fragen zur Vorabentscheidung vor.
Das Landgericht Berlin vertrat die Auffassung, dass nach Art. 83 DSGVO in Verbindung mit Art. 4 Nr.7 und 8 DSGVO Geldbußen grundsätzlich nicht nur gegen natürliche Personen, sondern auch gegen juristische Personen verhängt werden können. § 30 OWiG ermögliche nach Ansicht des Landgerichts Berlin nur dann den Erlass eines Bußgeldbescheids gegen eine juristische Person, wenn auch eine schuldhafte Handlung einer der natürlichen Personen des § 30 Abs. 1 OWiG festzustellen sei. Dies folge bereits aus dem Rechtsstaatsprinzip sowie aus dem Schuldprinzip. Gegen diese Prinzipien würde man verstoßen, bejahe man die Haftung von juristischen Personen ohne die Anknüpfung an eine schuldhafte Handlung einer natürlichen Person.
Darüber hinaus war das LG Berlin der Ansicht, dass eine unmittelbare Verbandsverantwortlichkeit, wie sie im europäischen Kartellrecht vorgesehen sei, nicht für die DSGVO existiere. Der europäische Gesetzgeber habe nicht das kartellrechtliche Sanktionssystem mit der DSGVO nachbilden wollen. Mit dieser Begründung vertrat das Landgericht Berlin die genau gegenteilige Auffassung zu dem Landgericht Bonn in einem Bußgeldverfahren gegen 1&1.
Das Kammergericht wollte daher nun geklärt wissen, ob nach Unionsrecht eine Sanktion gegen eine juristische Person auch dann ergehen kann, wenn der vorangegangene Verstoß vorher keiner natürlichen Person zugerechnet wird. Die zweite Vorlage betraf die Frage, ob der Verstoß gegen die DSGVO schuldhaft begangen worden sein muss.
Neben der BInBDI sind auch andere Datenschutzbehörden in Deutschland der Auffassung, dass bei möglichen Datenschutzverstößen von Unternehmen eine Sanktion auch dann unmittelbar verhängt werden kann, wenn ein Verschulden nicht nachgewiesen ist. Eine Aufsichtspflichtverletzung oder sonst vorwerfbares Verhalten müsse nicht nachgewiesen werden.
Die Deutsche Wohnen berief sich hingegen auf §§ 30, 130 OWiG, wonach Bußgelder gegen Unternehmen nur dann verhängt werden könnten, wenn ein vorwerfbares Handeln der Unternehmensleitung oder sonstiger gesetzlicher Vertreter nachgewiesen werden könne durch die Behörde.
Der Generalanwalt trug nun vor, dass die Behörde Bußgelder wergen DSGVO Verstößen direkt gegen Unternehmen verhängen könnte. Dies setzte allerdings den Nachweis eines vorsätzlichen oder fahrlässigen Handelns eines Mitarbeiters voraus. Er spricht sich gegen eine verschuldensunabhängige Haftung nach EU-Recht aus. Eine „strict liability“ gebe es demnach nicht.
Sowohl die Behördenleitung der Berliner Datenschutzbehörde, als auch die Vertreter des Immobilienunternehmens Deutsche Wohnen positionierten sich bereits zu dem Schlussvortrag des Generalanwalts. Die Vertreter der Deutschen Wohnen begrüßten den Vortrag, da die Forderung der Datenschutzbehörde gegen das Schuld- und Rechtsstaatsprinzip verstoße. Die Leiterin der Berliner Datenschutzbehörde zeigte sich ebenfalls erfreut über die Stellungnahme. Sie betonte dabei einen anderen Aspekt, nämlich dass der Generalanwalt klargestellt habe, dass es gerade nicht auf ein Verschulden der Unternehmensleitung selbst ankomme. Zwar ist der EuGH nicht an die Schlussanträge des Generalanwalts gebunden, aber in vielen Fällen folgt er aber der vorgetragenen Rechtsauffassung.
Vergleiche zum Ganzen auch das aktuelle Urteil des EuGH in der Rechtssache C-300/21 (Österreichische Post).
"DSGVO Verstoß bei Deutsche Wohnen"
von Laura Bindrich, wissenschaftliche Mitarbeiterin