Millionen-Bußgeld gegen Deutsche Wohnen: Europäischer Gerichtshof bestätigt Rechtsauslegung der Berliner Datenschützer

Im Streit um ein Millionen-Bußgeld der Berliner Datenschutzbehörde gegen den Wohnungskonzern Deutsche Wohnen hat der Europäische Gerichtshof (EuGH) die Rechtsauffassung der Datenschützer bestätigt.

Wie die Richter am Dienstag entschieden, können datenschutzrechtliche Bußgelder gegen Unternehmen festgesetzt werden, ohne dass eine Pflichtverletzung einer Leitungsperson nachgewiesen werden muss. Damit bestätigt der EuGH die Sanktionspraxis der Datenschutzaufsichtsbehörden und stärkt so die effektive Durchsetzung von Sanktionen gegenüber Unternehmen.

Die Datenschutzbehörde hatte das Bußgeld in Höhe von 14,5 Millionen Euro am 30. September 2019 wegen des Vorwurfs von Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) verhängt. Die Deutsche Wohnen speichere ausufernd Mieterdaten, hieß es damals.

Landgericht stellte Verfahren ein

Weil die Behörde das Bußgeld gegen die juristische Person verhängte, die das Unternehmen führt, stellte das Berliner Landgericht nach einem Einspruch des Unternehmens das Verfahren gegen die Deutsche Wohnen zunächst ein. Zur Begründung hieß es damals: Im deutschen Recht gelten Datenschutzverstöße als Ordnungswidrigkeiten. Diese können nach deutscher Auffassung nur von natürlichen Personen begangen werden. Darüber hinaus habe der Bußgeldbescheid „gravierende Mängel“ aufgewiesen.

Im durch das Berliner Kammergericht ausgelösten Verfahren am EuGH ging es um die Grundsatzfrage, ob eine juristische Person in Deutschland, die ein Unternehmen betreibt, nach den Grundsätzen des EU-Rechts unmittelbar für Datenschutzverstöße nach der Datenschutz-Grundverordnung sanktioniert werden kann, ohne dass eine Ordnungswidrigkeit einer natürlichen und identifizierten Leitungsperson festgestellt werden muss.

Wie der EuGH am Dienstag bestätigte, reicht für eine direkte Sanktionierung des Unternehmens die Feststellung aus, dass Mitarbeitende eines Unternehmens einen Verstoß begangen haben, ohne dass die konkret handelnden Personen ermittelt werden oder Leitungspersonen des Unternehmens sein müssen. Das Gericht begründete seine Entscheidung damit, dass jeder Verstoß eines Mitarbeitenden letztendlich auf ein Versagen der unternehmensinternen Aufsicht schließen lasse.

Meike Kamp, die den Posten der Berliner Datenschutzbeauftragten vor etwas mehr als einem Jahr übernommen hatte, begrüßte das Urteil des Gerichtshofs. „Der EuGH unterstreicht die Wichtigkeit der Datenschutz-Compliance und der Harmonisierung des Datenschutzrechts in Europa. Er stellt klar, dass auch in deutschen Bußgeldverfahren bei der Zurechnung von Verstößen allein die Datenschutz-Grundverordnung maßgeblich ist“, erklärte Kamp.