300.000 Euro DSGVO-Bußgeld für den VfB Stuttgart: "Spürbar, aber glimpf­lich"

Nach mehreren Monaten der Prüfung hat der baden-württembergische Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI), Stefan Brink, am Mittwoch ein Bußgeld in Höhe von 300.000 Euro wegen fahrlässiger Verletzung der datenschutzrechtlichen Rechenschaftspflicht gemäß Art. 5 Abs. 2 der Datenschutzgrundverordnung (DSGVO) gegen die VfB Stuttgart 1893 AG verhängt. Der VfB zeigte sich mit der Sanktion einverstanden und erklärte, auf Rechtsmittel zu verzichten.

Brink sprach von einem "spürbaren Bußgeld". Nach Angaben des Datenschützers muss der VfB zudem dafür sorgen, dass es in seinen Reihen zu "erheblichen organisatorischen und technischen Verbesserungen in Sachen Datenschutz" kommt. Außerdem sei für den Verein ein Engagement bei der Aufklärung über Datenschutzanliegen geplant, mit dem vor allem junge Menschen angesprochen werden sollen.

Hintergrund des DSGVO-Bußgeldverfahrens gegen den VfB Stuttgart sind Vorfälle im Vorfeld der Mitgliederversammlung des Vereins im Juni 2017, die das Sportmagazin Kicker aufgedeckt hatte. Danach schickten leitende Mitarbeiter des Klubs wiederholt Mitgliederdaten an Dritte, darunter auch Festnetz- und Handynummern, E-Mail-Adressen oder Angaben zu Teilnahmen an zurückliegenden Mitgliederversammlungen.

Kooperationsbereitschaft des VfB zahlt sich aus

Bei der Mitgliederversammlung 2017 sollten die Mitglieder des Vereins über die Ausgliederung der Profifußballabteilung abstimmen. Dies gelang auch: Über 80 Prozent der seinerzeit mehr als 14.000 im Gottlieb-Daimler-Stadion anwesenden Mitglieder stimmten letztlich für eine Ausgliederung. Seither gibt es den VfB Stuttgart 1893 e.V. und die VfB Stuttgart 1893 AG. Eine derartige Aufspaltung im Profifußball ist fast schon üblich: In der Mehrzahl haben sich die Bundesligisten in den vergangenen Jahren in Kapitalgesellschaften umgewandelt. Hintergrund für diesen Schritt sind vor allem Haftungsrisiken, die mit einer insofern als veraltet angesehenen Vereinsstruktur verbunden sein sollen.

Mit dem nunmehr verhängten Bußgeld in Höhe von 300.000 Euro ist der schwäbische Bundesligist allerdings mit einem blauen Auge davongekommen. Brink selbst hatte zu Beginn des Bußgeldverfahrens Anfang Februar gegenüber dem SWR noch darauf hingewiesen, dass die DSGVO "in einem solchen Bußgeldverfahren" ein erhebliches Bußgeld vorsehe, "das bis zu 20 Millionen Euro betragen kann".

Dass es die Summe nunmehr erheblich geringer ausgefallen ist, hat viel mit der Kooperationsbereitschaft beim Fußball-Bundesligisten zu tun: "Die Verantwortlichen des VfB Stuttgart 1893 e.V. und der VfB Stuttgart 1893 AG haben die Aufklärungs- und Ermittlungsmaßnahmen des Landesbeauftragten unterstützt, durch eigene Initiative gefördert sowie mit der Behörde des Landesbeauftragten umfangreich kooperiert", lobte Brink heute in seiner Erklärung.

Gegenüber LTO sagt er: "In Zeiten, in denen sich Gerichte - ob europäisch oder national - eher zu Unsicherheitsfaktoren entwickeln, hilft bei Datenschutzverstößen nur eines verlässlich: die Kooperation mit der Aufsichtsbehörde. Wirkt der Verantwortliche bei der Aufklärung mit und zeigt er ein vernünftiges Nachtatverhalten, dann bleiben Bußgelder selbst bei gravierenden Verstößen glimpflich."

"Kostenträchtige Umstrukturierung des Datenschutzmanagements"

Wie Brink weiter in seiner Mitteilung erläuterte, werde die VfB Stuttgart 1893 AG neben der auferlegten Bußgeldzahlung und einer "kostenträchtigen Umstrukturierung und Verbesserung ihres Datenschutzmanagements" in Abstimmung mit dem LfDI künftig dazu verpflichtet, Maßnahmen zur Sensibilisierung junger Menschen für Datenschutzanliegen zu ergreifen. Gefördert werden soll das Projekt "Datenschutz geht zur Schule". Darüber hinaus werde es Schulungen für die Fußballnachwuchsmannschaften des VfB zum Thema "Datenschutz bei Jugendlichen" geben.

Brink zeigte sich mit dem Abschluss des Verfahrens am Mittwoch insgesamt zufrieden:"Mit dem Erlass dieses Bußgeldbescheides schließen wir ein Verfahren ab, das auch für uns als Aufsichtsbehörde ungewöhnlich war. Ungewöhnlich war nämlich nicht nur der Gegenstand unseres Verfahrens, sondern vor allem das hiermit verbundene öffentliche und mediale Interesse." Aus diesem Verfahren heraus ergebe sich die gute Chance, so Brink weiter, dass der VfB Stuttgart künftig beim fairen Umgang mit den Daten der Mitglieder besser aufgestellt ist. "Auch wenn wir mit Blick auf Verjährungsvorschriften nicht alle öffentlich diskutierten Vorgänge vollständig untersuchen konnten, ist doch das jetzt einvernehmlich gefundene Ergebnis überzeugend".

VfB Stuttgart: "Wir wollen Vertrauen zurückerlangen"

Erleichtert reagierten auch die Verantwortlichen des VfB Stuttgart: "Die VfB Stuttgart 1893 AG wird die behördlich vorgegebenen Maßnahmen umgehend und vollumfänglich umsetzen", hieß es in einer Erklärung. "Wir haben unser Möglichstes getan, um die damaligen Verstöße umfassend aufzuklären und konnten das Verfahren nun abschließen", sagte Thomas Hitzlsperger, Vorstandsvorsitzender der VfB-AG.

Hitzelsberger räumte ein, dass der VfB in der Vergangenheit im Umgang mit personenbezogenen Daten sowohl den rechtlichen Vorgaben als auch seinen eigenen Ansprüchen nicht gerecht geworden sei. "Deshalb gilt es nun, mit den bereits eingeleiteten und noch anstehenden weiteren Maßnahmen in puncto Datenschutz und Compliance, solche Verstöße künftig auszuschließen und mit unserer täglichen Arbeit verloren gegangenes Vertrauen zurückzuerlangen.“ Claus Vogt, Präsident des VfB Stuttgart 1893 e.V. und Aufsichtsratsvorsitzender der VfB Stuttgart 1893 AG lobte den "konstruktiven Austausch" mit der Datenschutzbehörde.

Beim Aufsteiger VfB Stuttgart läuft es in dieser Saison zwar sportlich einigermaßen gut, allerdings tobt im Ländle seit Monaten ein veritabler Machtkampf um die Führung. Um die Datenaffäre beim Fußballbundesligisten aufzuklären, hatte VfB-Präsident Vogt im vergangenen Oktober auch die Berliner Kanzlei Esecon Legal Services mandatiert.