Bußgelder für Unternehmen – der EuGH klärt offene Fragen

In einem vor Kurzem (05.12.2023) erschienenen Urteil hatte der Europäische Gerichtshof (EuGH) über Fragen zu entscheiden, die die Bedingungen für die Verhängung von Geldbußen betreffen (Rechtssache C-807/21).

Der Fall

Konkret ging es um den Fall der „Deutsche Wohnen SE“ (Deutsche Wohnen). Gegen diese wurde als juristische Person im Jahr 2019 ein Bußgeld in Höhe von gut 14 Millionen Euro von der Berliner Aufsichtsbehörde verhängt. Der Grund: Selbst nach mehrfacher Aufforderung der Aufsichtsbehörde wurden Mieterdaten nicht gelöscht (wir berichteten).

Nachdem die Deutsche Wohnen gegen den Bußgeldbescheid Rechtsmittel eingelegt hatte, wurde dieser vom Landgericht Berlin aufgehoben. Das Bußgeld war also erst einmal aus der Welt (wir berichteten).

Dies wollte die zuständige Staatsanwaltschaft jedoch nicht auf sich sitzen lassen und wandte sich ihrerseits mit einer Beschwerde an das nächst höhere Kammergericht Berlin. Dieses war sich in einigen Punkten auch nicht sicher und machte von der Möglichkeit Gebrauch, beim EuGH nachzufragen.

So wurde die Frage aufgeworfen, ob ein Bußgeld überhaupt gegen eine juristische Person verhängt werden darf. Denn nach dem deutschen Recht (§ 30 OWiG) sei es durchaus denkbar, dass eine Ordnungswidrigkeit nur von einer natürlichen Person begangen und dieser zugerechnet werden kann und eben nicht einer juristischen Person.

Der EuGH hatte zwei Fragen zu beantworten

Dieser Ansicht folgte der EuGH jedoch nicht. Denn schon aus der Begriffsbestimmung der DSGVO selbst (Art. 4 Nr. 7) folge, dass auch eine juristische Person Verantwortlicher im datenschutzrechtlichen Sinne sein kann.

„Verantwortlicher [ist] die natürliche oder juristische Person, […] die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet […]“ (Art. 4 Nr. 7 DSGVO; Fettung nicht im Original)

Und wenn in Art. 83 Abs. 3 DSGVO von Geldbußen gegen Verantwortliche die Rede ist, dann sei eben auch die juristische Person hiervon umfasst.

 „Verstößt ein Verantwortlicher […] vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“ (Art. 83 Abs. 3 DSGVO; Fettung nicht im Original)

Bußgelder für juristische Personen?

Bußgelder gegen juristische Personen stellen somit nach Auffassung des EuGH grundsätzlich kein Problem dar. Besonders beachtenswert ist, dass es nach Ansicht des EuGH noch nicht einmal erforderlich ist, die natürliche Person zu identifizieren, die den Verstoß konkret begangen hat oder der der Verstoß zuzurechnen wäre.

Für den vorliegenden Fall der Deutsche Wohnen bedeutet dies, dass der vom Landgericht aufgehobene Bußgeldbescheid möglicherweise doch wieder wirksam werden könnte. Dies muss jetzt aber das Berliner Kammergericht klären, welches auch den EuGH beteiligt hatte.

Verschuldensunabhängige Geldbuße

In diesem Zusammenhang wird auch die Antwort des EuGHs auf eine zweite Frage relevant werden, die aufgeworfen wurde. Denn welche Rolle spielen Vorsatz und Fahrlässigkeit, wenn, wie festgestellt, auch eine juristische Person Adressat eines Bußgeldes werden kann, ohne dass die verursachende natürliche Person überhaupt identifiziert werden muss?

Auch hier hält sich der EuGH eng an den Wortlaut der DSGVO und verweist darauf, dass nach Art. 83 Abs. 2 lit. b DSGVO Vorsatz und Fahrlässigkeit als eines von mehreren Kriterien genannt werden, die bei der Verhängung von Bußgeldern heranzuziehen sind.

Vorsatz und Fahrlässigkeit spielen also in jedem Fall eine Rolle. Tatsächlich könnte man sich aber an dieser Stelle noch immer fragen, ob man trotz des Fehlens von Vorsatz und Fahrlässigkeit einfach ein Bußgeld verhängen könnte, wenn die anderen Kriterien des Art. 83 Abs. 2 DSGVO vorliegen. Müssen also immer Vorsatz oder Fahrlässigkeit vorliegen, um ein Bußgeld zu verhängen, oder kann auch trotz des Fehlens von Vorsatz und Fahrlässigkeit ein Bußgeld verhängt werden, dessen Zumessung in der Höhe dann vielleicht geringer ausfällt.

Hier führt der EuGH dann aber wieder Art. 83 Abs. 3 DSGVO ins Feld, welcher im Rahmen der Auslegung für die Verhängung von Geldbußen immer entweder Vorsatz oder Fahrlässigkeit fordert.

 „Verstößt ein Verantwortlicher […] vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“ (Art. 83 Abs. 3 DSGVO; Fettung nicht im Original)

Eine verschuldensunabhängige Geldbuße kann demnach nach Ansicht des EuGHs nicht verhängt werden.

Es geht weiter

Das Berliner Kammergericht muss die Ausführungen des EuGH nun berücksichtigen. Es ist also durchaus denkbar, dass der Bußgeldbescheid gegen die Deutsche Wohnen in Höhe von gut 14 Millionen Euro doch wieder greift.

Spannend wird, wie in dem Verfahren der Nachweis von Vorsatz und Fahrlässigkeit erbracht wird bzw. wurde. Zwar könnte der Nachweis an sich im vorliegenden Fall ggf. recht einfach gelingen, da die Deutsche Wohnen ja selbst nach Hinweis der Aufsichtsbehörde den Verstoß nicht beseitigte. Andererseits mag sich in dem Verfahren auch noch die ein oder andere formale Frage verstecken, die bei dem Erlass des Bußgeldbescheids eine Rolle spielte – z. B. wie sehr dieser auf Vorsatz und Fahrlässigkeit eingehen muss. Wir werden den Verfahrensgang im Auge behalten und Sie auf dem laufenden halten (kennen Sie schon unseren Blog-Newsletter?).

Ein Urteil mit weitreichenden Auswirkungen

Insgesamt wird es in Zukunft wohl spannend, wie in Bußgeldverfahren Vorsatz und Fahrlässigkeit einer juristischen Person festgestellt werden sollen. Denn nach dem deutschen Recht stehen Vorsatz und Fahrlässigkeit eigentlich immer mit einer natürlichen Person in Verbindung. Vielleicht wird an dieser Stelle dann aber auch wieder die Organisation des Datenschutzes innerhalb der juristischen Person eine Rolle spielen. Also z. B. die, wie sehr Mitarbeiter geschult und wie detailliert Regelungen vorgegeben werden müssen, wie sehr kontrolliert und wie gut alles (datenschutzrechtlich) organisiert sein muss. Aber auch die Bewertung von Fällen, in denen sog. Mitarbeiterexzesse (vgl. unseren Blogbeitrag hier) eine Rolle spielen, könnte spannend werden. Auch dies behalten wir natürlich im Blick und werden weiter berichten.