Hintergrund des Verfahrens
Bei einer sog. Vor-Ort-Kontrolle im Jahr 2017 stellte die Berliner Beauftragte für den Datenschutz fest, dass die Tochtergesellschaften der Deutsche Wohnen SE personenbezogene Daten von Mietenden in einem elektronischen Archivsystem speichern. Sie beanstandete, dass nicht nachvollzogen werden könne, ob die Speicherung erforderlich sei. Darüber hinaus bemängelte sie, dass ein Löschkonzept für nicht mehr erforderliche Daten fehle und forderte die Immobiliengesellschaft auf, die Daten aus dem Archivsystem zu löschen.
Nachdem die Datenschutzbehörde im Jahr 2020 bei 16 Stichproben aus dem Datenbestand der Konzernzentrale feststellte, dass dies nicht erfolgt ist, hat die Behörde einen Bußgeldbescheid erlassen, in dem sie der Deutsche Wohnen SE vorwirft, es vorsätzlich unterlassen zu haben, ein effektives Löschkonzept einzuführen und personenbezogene Daten von mindestens 15 Mietenden nach wie vor gespeichert zu haben, obwohl dies bekannterweise nicht mehr erforderlich war.
Wegen des vorsätzlichen Verstoßes gegen die Datenverarbeitungsgrundsätze der Rechtmäßigkeit, Datenminimierung und Speicherbegrenzung gem. Art. 25 Abs. 1, Art. 5 Abs. 1 lit. a), c) und e) der Datenschutzgrundverordnung (DS-GVO), verhängte die Datenschutzbehörde eine Geldbuße in Höhe von 14,39 Mio. € sowie 15 weitere Geldbußen in Höhe von jeweils 3.000 € bis 17.000 € wegen fehlender Rechtsgrundlage für die Verarbeitung im Sinne von Art. 6 Abs. 1 DS-GVO.
Landgericht Berlin stellt Verfahren wegen „gravierender Mängel“ ein
Nach Einspruch der Deutsche Wohnen SE, stellte das Landgericht Berlin das Bußgeldverfahren wegen „gravierenden Mängeln“ des Bußgelbescheids ein. Das Landgericht begründete seine Entscheidung damit, dass lediglich natürliche Personen in vorwerfbarer Weise Ordnungswidrigkeiten begehen könnten, während juristischen Personen lediglich ein Handeln ihrer Organmitglieder oder Vertreter zugerechnet werden könnte. Andernfalls könne eine juristische Person nicht Betroffene eines Bußgeldverfahrens sein. Hintergrund des Erfordernisses der Anknüpfung an die Handlung einer natürlichen Person sei das aus dem Grundgesetz folgende Schuldprinzip.
Kammergericht Berlin bezieht EuGH mit ein
Das Kammergericht Berlin als nächsthöhere Instanz setzte das Verfahren vorläufig aus und legte dem EuGH zur Vorabentscheidung die beiden folgenden Fragen zur Auslegung von Art. 83 Abs. 4 bis Abs. 6 DS-GVO vor:
- Kann ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden und ist damit – anders als im deutschen Ordnungswidrigkeitenrecht – gerade nicht die Feststellung erforderlich, dass die Ordnungswidrigkeit von einer natürlichen und identifizierten Person begangen worden ist?
- Muss das Unternehmen den von Mitarbeitenden verübten Verstoß schuldhaft begangen haben oder reicht für eine Bebußung bereits eine zurechenbare objektive Pflichtenverletzung aus?
Generalanwalt bejaht unmittelbare Haftung von Unternehmen
In seinen Schlussanträgen verweist der Generalanwalt darauf, dass es nach den Bestimmungen der DS-GVO selbstverständlich sei, dass Verstöße unmittelbar gegen eine juristische Person verhängt werden, ohne dass der Verstoß zunächst einer natürlichen Person zugerechnet werden müsse. Dies ergebe sich aus dem Wortlaut der Art. 4, 58 und 83 DS-GVO.
- In den Definitionen des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters in Art. 4 werde ausdrücklich darauf verwiesen, dass es sich um juristische Personen handeln könne.
- In Art. 58 Abs. 2 werde Aufsichtsbehörden eingeräumt Geldbußen gegenüber den Verantwortlichen oder Auftragsverarbeitern zu verhängen, wozu demnach auch juristische Personen gehören.
- In der Aufzählung der Kriterien für die Festsetzung der Geldbußen in Art. 83 DS-GVO fänden sich Faktoren, die ohne Weiteres im Rahmen des Handelns juristischer Personen erfüllt sein könnten.
Überdies handele es sich um einen Schlüsselmechanismus, welcher die Wirksamkeit der DS-GVO gewährleiste.
Bei seinen Ausführungen bezieht sich der Generalanwalt auf den Unternehmensbegriff der wirtschaftlichen Einheit aus dem europäischen Kartellrecht, da nur so sichergestellt werden könne, dass Geldbußen gemäß Art. 83 Abs. 1 DS-GVO wirksam, verhältnismäßig und abschreckend seien.
Fahrlässigkeitsmaßstab des Generalanwalt entspricht faktisch verschuldensunabhängiger Haftung
Hinsichtlich der zweiten Vorlagefrage bestätigt der Generalanwalt zwar die Voraussetzung eines Verschuldens in Form von Vorsatz oder Fahrlässigkeit, allerdings sei die Grenze zwischen Verschulden und rein objektiven Verstößen im Verwaltungssanktionsrecht nicht eindeutig zu ziehen. Die Übernahme der dogmatischen Kategorien des Strafrechts „nulla poena sine culpa“ (niemand darf für eine Tat bestraft werden, wenn ihn keine Schuld trifft) in das Verwaltungssanktionsrecht führe zu erheblichen Auslegungsschwierigkeiten, da unter den Begriff des Verschuldens (in der Variante der Fahrlässigkeit) bereits Fälle der bloßen Nichtbeachtung einer Rechtsvorschrift fallen könnten, wenn der Handelnde wissen musste, welches Handeln von ihm verlangt wird. Nach der Ansicht des Generalanwalts ist die Fahrlässigkeitsschwelle so niedrig, dass dies faktisch einer verschuldensunabhängigen Haftung entspricht.
Praktische Bedeutung des ausstehenden Urteils
Für die Praxis wird das Urteil des EuGH von erheblicher Bedeutung sein. Sollte der EuGH den Schlussanträgen des Generalanwalts folgen, würde es für die Aufsichtsbehörden, durch die niedrige Schwelle zur Fahrlässigkeit, deutlich einfacher sein, Bußgelder in größerem Umfang zu verhängen. Faktisch würde dann der Nachweis einer objektiven Pflichtverletzung ausreichen.
Im Übrigen würden Muttergesellschaften auch für Datenschutzverstöße ihrer Tochtergesellschaften haften, sollte der EuGH den Unternehmensbegriff der DS-GVO, wie der Generalanwalt als wirtschaftliche Einheit aller Konzerngesellschaften verstehen. Vor dem Hintergrund, dass die Höhe etwaiger Bußgelder vom Jahresumsatz des Unternehmens abhängt, hätte dies gewaltige Auswirkungen.
Gleichzeitig würde eine solche Entscheidung des EuGH voraussichtlich bedeuten, dass Unternehmen oder auch Konzerngesellschaften, welche Verantwortliche sind, zunehmend von Privatpersonen auf Schadensersatz gem. Art. 82 Abs. 1 DS-GVO in Anspruch genommen werden.
Sollte der EuGH den Schlussanträgen des Generalanwalts folgen, wird es für Unternehmen faktisch nicht mehr möglich sein, durch den Nachweis fehlender Fahrlässigkeit Bußgelder wegen Datenschutzverstößen abzuwenden. Eine solche Entscheidung würde den hohen Stellenwert des Datenschutzes in der Unternehmenspraxis weiter untermauern und es für Unternehmen noch wichtiger machen, datenschutzkonform aufgestellt zu sein.
Quellen: