Geschrieben am 12.12.2023 von:
Team MORGENSTERN
MORGENSTERN kann Rechtsberatung rund um alle Themen der Digitalisierung und IT.
zum Profil
Kontaktiere mich:
+49 (0) 6232 – 100119 0
E-Mail senden
Mit Urteil vom 05. Dezember 2023 entscheidet der Europäische Gerichtshof (Az. C-807/21) über die Voraussetzungen der Verhängung einer Geldbuße bei Verstoß gegen die Datenschutz-Grundverordnung. Hintergrund war ein Vorabentscheidungsersuchen im Rahmen des Rechtsstreits zwischen der Deutsche Wohnen SE und der Staatsanwaltschaft Berlin über Geldbußen betreffend die Auslegung von Art. 83 Abs. 4-6 DS-GVO. Welche Folgen diese Entscheidung für Unternehmer*innen hat, stellen wir weiter unten dar.
Dem Rechtsstreit liegen mehrere Bußgeldbescheide der Berliner Beauftragte für Datenschutz zugrunde. So wurde u.a. am 30. Oktober 2019 ein Bescheid erlassen, in welchem gegen die Deutsche Wohnen SE ein Bußgeld in Höhe von 14.385.000 Euro verhängt wurde. Ferner wurden 15 weitere, kleinere Geldbußen zwischen 3.000 Euro und 17.000 Euro verhängt. Hintergrund für die Bußgelder war die vermeintlich vorsätzliche Speicherung und Aufbewahrung von Mieter*innendaten über den erforderlichen Zeitraum hinweg. Die Aufsichtsbehörde warf dem Konzern vor, die notwendigen Maßnahmen zur Sicherstellung der regelmäßigen Löschung nicht vorgenommen zu haben.
Gegen die Bescheide wurde Einspruch eingelegt, über welchen das Landgericht Berlin per Beschluss entschied. Dagegen legte das Kammergericht Berlin sofortige Beschwerde ein. Das darauffolgende Verfahren wurde zum Vorabentscheidungsersuchen ausgesetzt. Konkret wollte das Kammergericht Berlin wissen, ob das Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die „Bebußung“ [sic!] nicht der Feststellung einer durch eine natürliche und identifizierte Person begangene Ordnungswidrigkeit bedarf. Falls diese Frage bejaht werden würde, wollte das Kammergericht ferner wissen, ob Art. 83 Abs. 4-6 DS-GVO dahingehend auszulegen seien, dass der datenschutzrechtliche Verstoß schuldhaft begangen sein müsse oder ob bereits ein dem Unternehmen zuzuordnender objektiver Pflichtenverstoß ausreiche.
Der EuGH führt aus, dass juristische Personen „nicht nur für Verstöße haften, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Personen handelt“. Ferne müsse es möglich sein, „die in Art. 83 DSGVO für solche Verstöße vorgesehenen Geldbußen unmittelbar gegen juristische Personen zu verhängen, wenn diese als für die betreffende Verarbeitung Verantwortliche eingestuft werden können“. Die Verhängung eines Bußgeldes davon abhängig zu machen, dass der bußgeldbewehrte Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde, lehnt der EuGH ab.
Ferner stellt der EuGH klar, dass nur Verstöße gegen die Bestimmungen der DS-GVO, die schuldhaft (Vorsatz oder Fahrlässigkeit) vom Verantwortlichen begangen worden sind, zur Verhängung einer Geldbuße führen können.
Im Ergebnis heißt das für Unternehmen, dass die Gefahr eines Bußgeldes für alle schuldhaft begangenen Verstöße von allen Mitarbeitenden besteht. Da der EuGH bereits die Fahrlässigkeit als Voraussetzung zur Verhängung eines Bußgeldes gereichen lässt, sind Unternehmer*innen nun umso mehr in der Verantwortung, ihre Mitarbeitende für die datenschutzrechtlichen Grundstrukturen zu sensibilisieren und die mit der Verarbeitung personenbezogener Daten befassten Mitarbeitende entsprechend zu schulen.
In der Pressemitteilung steht zusätzlich als „obiter dictum“ (nebensächlich gesagtes): „Gehört der Adressat der Geldbuße zu einem Konzern, bemisst sich die Geldbuße nach dem Jahresumsatz des Konzerns.“
Die beste Zeit, der Gefahren von empfindlichen Geldbußen entgegen zu wirken, ist jetzt! Gerne begleiten wir dich auf diesem Weg – entweder in einer 1zu1Beratung oder durch die Bereitstellung von eLearning-Einheiten, die genau auf deine Bedürfnisse zugeschnitten sind! Komm einfach auf uns zu.