Sollte man kennen: Acht wich­tige EuGH-Ent­schei­dungen 2023

Bußgeld gegen Unternehmen nur bei Verschulden des Unternehmens

Die zwei Aussagen des EuGH-Urteils vom 5. Dezember im Fall "Deutsche Wohnen" (Az. C-807/21) sind zentral: Für Datenschutzverletzungen muss eine juristische Person nur bei Verschulden ein Bußgeld zahlen. Ein schuldhaftes Fehlverhalten muss aber nicht bei einer identifizierten natürlichen Person als Repräsentant des Unternehmens nachgewiesen sein; vielmehr genügt ein Unternehmens- bzw. Organisationsverschulden.

Das stellte der EuGH zu Art. 83 der Datenschutz-Grundverordnung (DSGVO) fest und beantwortete damit zwei Vorlagefragen des Kammergerichts (KG). 

Hintergrund des Ausgangsfalls in Berlin waren verschiedene DSGVO-Verstöße der Deutsche Wohnen SE. Der Wohnungsgesellschaft wird insbesondere vorgeworfen, Mieterdaten länger als zulässig gespeichert zu haben. Die Berliner Datenschutzbeauftragte erließ einen Bußgeldbescheid in Höhe von 14,5 Millionen Euro, der die juristische Person zur Kasse bat, ohne zu benennen, wer im Unternehmen genau Fehler begangen hat. Das Landgericht Berlin erklärte den Bescheid deshalb für unwirksam, die Voraussetzungen von Geldbußen gegen juristische Personen nach § 30 Ordnungswidrigkeitengesetz (OWiG) seien nicht dargelegt. Das KG muss nun über die hiergegen von der Berliner Staatsanwaltschaft eingelegte Beschwerde entscheiden. Wie das KG die Vorgaben des EuGH zur Bußgeldhaftung von Unternehmen für DSGVO-Verstöße ins System der §§ 30, 130 OWiG integriert, wird durchaus spannend.

Interessanterweise verbuchten sowohl Datenschützer als auch Vertreter der Deutsche Wohnen das EuGH-Urteil als Erfolg. Kann das sein oder zeichnet eine Seite hier ein geschöntes Bild? Dieser Frage ist Datenschutzrechtler Dr. Markus Wünschelbaum nachgegangen. Er zeigt dabei auf, dass der EuGH hier keine gänzlich neuen Grundsätze der Unternehmenshaftung entwickelt, sondern vor allem seine Rechtsprechung aus dem Kartellrecht ins Datenschutzrecht übertragen hat.

Das liegt schon deshalb nahe, weil Nutzerdaten Vermögenswerte sein und Marktmacht begründen können – ein Gedanke, der auch die nächsten beiden Verfahren prägt.