Schlussanträge des Generalanwalts zu "Deutsche Wohnen": DSGVO-Buß­gelder setzen schuld­haften Ver­stoß voraus

Am Donnerstag hat der Generalanwalt Manuel Campos Sánchez-Bordon des Europäischen Gerichtshofs (EuGH) seine Schlussanträge in der Sache "Deutsche Wohnen" vorgelegt. Darin erteilt er der Forderung deutscher Datenschutzbehörden nach einer verschuldensunabhängigen Haftung von Unternehmen für DSGVO-Verstöße eine Absage.

Das Immobilienunternehmen "Deutsche Wohnen" aus Berlin wehrt sich gegen einen Bußgeldbescheid der Berliner Datenschutzbehörde (BlnBDI) wegen angeblicher Verstöße gegen die Datenschutzgrundverordnung (DSGVO). Die BlnBDI wirft dem Unternehmen vor, personenbezogene Daten der Mieter der Immobilien nicht korrekt verwaltet zu haben. Bei diesen Daten handelt es sich u.a. um Identitätsnachweise, Steuer-, Sozial- und Krankenversicherungsdaten sowie Angaben zu Vormietverhältnissen. Das Unternehmen habe nicht mehr erforderliche Daten fortgesetzt gespeichert und es unterlassen, entsprechende Maßnahmen zur Löschung zu treffen. Im Oktober 2020 erließ die Behörde daher einen Bußgeldbescheid in Höhe von über 14 Millionen Euro.

Die BlnBDI – ist wie andere Datenschutzbehörden in Deutschland – der Ansicht, dass Geldbußen gegen Unternehmen wegen möglicher Datenschutzverstöße nach der DSGVO unmittelbar und unabhängig von einem nachgewiesenen Verschulden verhängt werden könnten. Der Nachweis einer Aufsichtspflichtverletzung oder eines sonstigen vorwerfbaren Verhaltens sei nicht nötig. Die entsprechenden Paragraphen im Ordnungswidrigkeitengesetz (§§ 30, 130 OWiG) seien nicht anwendbar. Aus diesem Grund legte die Behörde im Prozess das Leitungsverschulden nicht dar. Im übrigen ging die Behörde aber vom Vorsatz des Unternehmens aus. 

Das Immobilienunternehmen "Deutsche Wohnen" verwies dagegen auf das deutsche Gesetz über Ordnungswidrigkeiten (OWiG) und behauptete, dass Bußgelder nur dann gegen Unternehmen verhängt werden können, wenn die Behörde ein vorwerfbares Handeln der Unternehmensleitung - beispielsweise eine unzureichende Überwachung - oder sonstiger gesetzlichen Vertreter nachweise.

Das KG legt dem EuGH vor

Nachdem das Unternehmen erfolgreich vor dem Landgericht (LG) Berlin gegen die Sanktion geklagt hatte, focht die Staatsanwaltschaft Berlin die Entscheidung vor dem Kammergericht (KG) an. Das KG legte dem EuGH daraufhin zwei Fragen zur Vorabentscheidung vor. 

Zum einen soll der EuGH klären, ob nach dem Unionsrecht eine Sanktion gegen eine juristische Person wegen eines Verstoßes gegen die DSGVO verhängt werden kann, ohne dass dieser Verstoß zuvor einer natürlichen Person zugerechnet werden muss. Mit der zweiten Frage wollte das KG wissen, ob der Verstoß gegen die DSGVO schuldhaft begangen worden sein muss oder ob das Unternehmen - so die Ansicht der Datenschutzbehörde - verschuldensunabhängig haften muss. 

Generalanwalt: Nachweis eines schuldhaften Verstoßes notwendig

Generalanwalt Sánchez-Bordon kam in seinen Schlussanträgen zu dem Ergebnis, dass die Behörden DSGVO-Bußgelder zwar direkt gegen Unternehmen verhängen könnten. Allerdings setze dies den Nachweis eines vorsätzlichen oder fahrlässigen Handelns eines Mitarbeiters voraus. "Strict liability" - also eine verschuldensunabhängige Haftung - bestehe nach EU-Recht in solchen Fällen nicht.

Die Kanzlei Latham & Watkins vertritt das Immobilienunternehmen in dem Rechtsstreit. Sie begrüßt die Positionierung des Generalanwalts in der Sache. "Die Schlussanträge des Generalanwalts zeigen, dass sich Unternehmen erfolgreich gegen Geldbußen wehren können, die auf der unverhältnismäßigen Auslegung der Vorgaben des europäischen Datenschutzrechts beruhen", so Tim Wybitul, Partner und spezialisiert auf Datenschutz bei Latham & Watkins in Frankfurt. Die Forderung der deutschen Datenschutzbehörden, Unternehmen ohne Feststellung eines vorwerfbaren Handelns sanktionieren zu wollen, verstoße gegen das Schuldprinzip und gegen das Rechtsstaatsprinzip.

Die Leiterin der Berliner Datenschutzbehörde Meike Kamp betonte hingegen einen anderen Aspekt und zeigte sich in einer Stellungnahme erfreut darüber, dass der Generalanwalt klargestellt habe, dass es nicht auf ein Verschulden gerade der Unternehmensleitung ankomme. 

Der EuGH ist an die Schlussanträge des Generalanwalts nicht gebunden, in vielen Fällen aber folgt er der entsprechenden Rechtsauffassung. Wann der EuGH sein Urteil fällt, ist noch nicht bekannt.

lmb/LTO-Redaktion

Aktualisierte Fassung vom 28.04.23, 18:16 Uhr