Das seit Jahren andauernden Verfahren, in dem es um ein gegen die Deutschen Wohnen SE verhängtes Bußgeld seitens der Berliner Aufsichtsbehörde (BlnBDI) geht, rückt wieder in den datenschutzrechtlichen Fokus. Nachdem das Kammergericht Berlin (KG) zwischenzeitlich im Rahmen eines Vorabentscheidungsverfahrens den Europäischen Gerichtshof (EuGH) angerufen hat und die Prozessparteien in einer mündlichen Verhandlung seitens des EuGH angehört wurden, äußerte sich Ende April auch der zuständige Generalstaatsanwalt Campos Sánchez-Bordona. In seinen Schlussanträgen bestätigte der Generalanwalt zwar, dass DSGVO-Bußgelder grundsätzlich direkt gegen ein Unternehmen verhängt werden können, verneinte allerdings zugleich die vorgelegte Frage, ob diese auch verschuldensunabhängig erlassen werden können und erteilte der Forderung nach einer verschuldensunabhängigen Haftung – der sog. „strict liability“ – eine Absage. Eine rechtsgültige Entscheidung des EuGH zur Klärung der vorgetragenen Fragen steht indes noch aus und ist mit Spannung zeitnah zu erwarten.

Hintergrund

Die Berliner Aufsichtsbehörde hatte im Oktober 2019 gegen den Immobilienkonzern Deutsche Wohnen SE eine Geldbuße in Höhe von 14,5 Millionen Euro aufgrund von Datenschutzverstößen gegen die DSGVO verhängt. Dem Immobilienkonzern wurde seitens der BlnBDI vorgeworfen, personenbezogene Mieterdaten unrechtmäßig lange aufbewahrt sowie keine entsprechenden Maßnahmen zur Löschung getroffen zu haben (wir berichteten hier und hier).

Das zuständige Berliner Landgericht hat in einem Einspruchsverfahren den Bescheid zugunsten der Deutschen Wohnen SE für unwirksam erklärt, da nach Auffassung des Landgerichts nach deutschem Ordnungswidrigkeitenrecht juristische Personen nur dann direkt sanktioniert werden können, wenn den Unternehmensverantwortlichen ein konkretes Fehlverhalten – entsprechend dem gesetzlichen „Rechtsträgerprinzip“ gemäß § 30 OWiG – nachgewiesen werden kann. Ein solches Fehlverhalten konnte vorliegend seitens der Aufsichtsbehörde nicht nachgewiesen werden, sodass das Gericht den Bescheid aufhob. Gegen die Einstellung des Verfahrens reichte die zuständige BlnBDI im Einvernehmen mit der Staatsanwaltschaft Beschwerde beim Kammergericht Berlin ein. Die zuständige Kammer setzte das Verfahren „on hold“ und legte dem EuGH kurzerhand zwei Fragen zur Vorabentscheidung vor.

Vorgelegte Fragen im Vorabentscheidungsverfahren

Anders als das erstinstanzliche LG Berlin wandte sich das KG Berlin an den EuGH im Wege eines Vorabentscheidungsersuchens, um zwei zentrale Fragen zur Auslegung von Art. 83 Abs. 4 – 6 DSGVO zu klären. Im Kern wollte das KG Berlin vom EuGH wissen,

  1. ob Geldbußen nach der DSGVO direkt gegen rechtswidrig agierende Unternehmen verhängt werden können;
  2. ob ein Unternehmen den von einem Mitarbeitenden verschuldeten Verstoß schuldhaft begangen haben muss oder ob für eine Sanktionierung bereits eine zurechenbare objektive Pflichtenverletzung ausreicht („strict liability“)

Unternehmen als Adressaten einer Sanktion nach der DSGVO?

Nach Auffassung des Generalanwalts können Unternehmen unmittelbare Adressaten von Geldbußen sein. Dies sei nicht nur in mehreren Bestimmungen der DSGVO vorgesehen, sondern stellt nach Aussage des Generalanwalts auch einen der Schlüsselmechanismen dar, um die Wirksamkeit der DSGVO zu gewährleisten. Dem Generalanwalt nach ergibt sich dies aus dem Wortlaut einzelner Normen der DSGVO. Insbesondere die Art. 4, 58 und 83 DSGVO lassen darauf schließen, dass Sanktionen – insbesondere Geldbußen direkt gegen juristische Personen verhängt werden können. Die Frage, ob das deutsche Ordnungswidrigkeitengesetz insbesondere der § 30 OWiG die Anforderungen der DSGVO diesbezüglich hinreichend berücksichtigt, ließ der Generalanwalt offen und verwies dabei auf das LG Berlin, welches die Frage noch hinreichend klären muss.

Sanktionierung setzt schuldhaftes Handeln voraus

Jedoch nur dann, sofern der Sanktionierung ein vorsätzliches oder fahrlässiges Handeln eines Mitarbeitenden des Unternehmens vorausgegangen ist. So reicht bereits ein rechtswidriges Verhalten eines einzelnen Beschäftigten aus, um gegen das Unternehmen eine entsprechende Geldbuße zu verhängen. So bedarf es nach Ansicht des Generalanwaltes auch eines konkreten Nachweises einer Aufsichtspflichtverletzung, damit ein schuldhaftes Handeln eines Beschäftigten, welcher nicht der Führungsriege angehört, überhaupt den Leitungsorganen zugerechnet und damit sanktioniert werden kann.

Hierzu führt der Generalanwalt wörtlich aus:

„Es handelt sich schließlich um natürliche Personen, die zwar nicht selbst Vertreter einer juristischen Person sind, aber unter der Aufsicht derjenigen handeln, die Vertreter der juristischen Person sind und die eine unzureichende Überwachung oder Kontrolle über die zuerst genannten Personen ausgeübt haben. Letzten Endes führt die Zurechenbarkeit zu der juristischen Person selbst, soweit der Verstoß des Mitarbeiters, der unter der Aufsicht ihrer Leitungsorgane handelt, auf einen Mangel des Kontroll- und Überwachungssystems zurückgeht, für den die Leitungsorgane unmittelbar verantwortlich sind.“

Damit beantwortet der Generalanwalt gleichzeitig auch die vorgelegte Frage, ob bereits eine objektive Pflichtverletzung ausreiche, um ein Bußgeld zu verhängen. Diese Frage verneint der Generalanwalt und führte aus, dass Aufsichtsbehörden keine verschuldensunabhängigen Geldbußen gegen Unternehmen aussprechen können, da einer Geldbuße stets ein zuzurechnendes Verschulden vorausgehen muss. Was zur Konsequenz hat, dass Aufsichtsbehörden zumindest ein Verschulden im Rahmen des Bußgeldverfahrens feststellen müssen.

Hierzu heißt es wörtlich:

„Was die in der DSGVO vorgesehenen Verpflichtungen anbelangt – einschließlich derer, von denen die Verarbeitung von Daten (Art. 5 DSGVO) und deren Rechtmäßigkeit (Art. 6 DSGVO) abhängt –, so setzt die Beurteilung der Frage, ob sie eingehalten wurden, einen komplexen Bewertungs- und Beurteilungsprozess voraus, der über die bloße Feststellung eines formalen Verstoßes hinausgeht.“

Sollten die Richter nach dem Votum des Generalanwalts entscheiden, würde dies für die Praxis bedeuten, dass Bußgelder künftig nicht mehr nach dem Grundsatz der sog. „strict liabilitiy“ verschuldensunabhängig verhängt werden können. Die Richter sind zwar nicht an die Anträge des Generalanwalts gebunden, folgen der Rechtsauffassung aber in der Regel. Wann eine Entscheidung fallen wird, ist aktuell noch nicht bekannt.

Kurzes Statement von der Berliner Aufsichtsbehörde

Zwischenzeitlich meldete sich auch die neue Beauftragte für Datenschutz und Informationsfreiheit Meike Kamp auf dem eigenen Mastodon-Auftritt kurz zu Wort und begrüßte die Ansichten des Generalanwalts. Ihrer Aussage ist zu entnehmen, dass ein Urteil, welches die Schlussanträge des Generalanwaltes aufgreift, in Deutschland endlich dieselben Maßstäbe für die Verhängung von Sanktionen für rechtswidriges Verhalten wie in der restlichen EU schaffen würde. Dies würde dem Ziel einer einheitlichen Durchsetzung des europäischen Rechts Rechnung tragen sowie Busgeldverfahren der deutschen Aufsichtsbehörden erheblich erleichtern.

Fazit

Bereits jetzt deutet sich an, obwohl der EuGH sein Urteil noch nicht gesprochen hat, dass dieses zu erheblichen Auswirkungen auf die Verhängungspraxis von Bußgeldern der deutschen Aufsichtsbehörden haben wird. Die Schlussanträge des Generalanwalts zeigen dabei eine erste wegweisende Tendenz auf, wie die Richter am EuGH zeitnah entscheiden könnten und lassen bereits jetzt – zumindest in der Datenschutzberatung – die Anspannung steigen.

Sollten die EuGH-Richter tatsächlich den Schlussanträgen des Generalanwalts in ihrem Urteil folgen, so hätte dies nicht nur erhebliche Auswirkungen auf künftige Bußgeldverfahren, sondern unmittelbar auch auf Unternehmen. Auch wenn den hiesigen Aufsichtsbehörden dadurch die Möglichkeit genommen wird, Bußgelder verschuldensunabhängig zu verhängen, so kann dies in der Praxis nur bedingt für Erleichterung sorgen, da in den meisten Sachverhalten zumindest das Vorliegen eines fahrlässigen Verschuldens seitens eines Beschäftigten zumindest vermutet werden kann. Der einzige tatsächliche Unterschied, der hier gesehen werden kann, liegt in dem Mehraufwand, welchen die Aufsichtsbehörden im Rahmen des Verfahrens zur Prüfung des Verschuldens aufbringen müssten.

Aber lassen wir uns überraschen, was der EuGH entscheidend wird und ob dieser der aufgezeigten Tendenz des Generalanwalts folgen wird. Da die Schlussanträge nicht bindend sind, lässt sich aktuell nicht final sagen, was uns erwarten wird. Wenn es soweit ist, werden wir selbstverständlich berichten!