Der Europäische Gerichtshof (EuGH) hat am 05.12.2024 in der Rechtssache C-807/21 (Deutsche Wohnen) ein wegweisendes Grundsatzurteil zu den Voraussetzungen für die Verhängung von (verwaltungsrechtlichen) Geldbußen bei DS-GVO-Verstößen gefällt.
Konkret ging es um den Fall der „Deutsche Wohnen SE“ (Deutsche Wohnen). Die Berliner Aufsichtsbehörde verhängte gegen diese als juristische Person im Jahr 2019 ein Bußgeld in Höhe von gut 14 Millionen Euro. Der Grund: Trotz mehrfacher Aufforderung durch die Aufsichtsbehörde wurden Mieterdaten nicht gelöscht.
Nachdem die Deutsche Wohnen gegen den Bußgeldbescheid Rechtsmittel eingelegt hatte, wurde dieser vom Landgericht Berlin aufgehoben. Die zuständige Staatsanwaltschaft hat gegen den Beschluss des Gerichts sofortige Beschwerde beim Kammergericht eingelegt. Wenn eine Entscheidung von der Auslegung von Unionsrecht abhängt, muss ein in letzter Instanz tätiges nationales Gericht diese entscheidungserheblichen Auslegungsfragen nach Art. 267 AEUV grundsätzlich dem EuGH vorlegen. Dem ist das Kammergericht nachgekommen
1. Geldbußen sind unmittelbar gegen juristische Personen möglich
Der EuGH entschied, dass Datenschutzaufsichtsbehörden bei DS-GVO-Verstößen Geldbußen direkt gegen juristische Personen verhängen dürfen und dass die EU-Mitgliedstaaten deren Verhängung nicht von der Bedingung abhängig machen können, dass der Verstoß zuvor einer identifizierten natürlichen Person zugerechnet werden muss. Der EuGH stellt sich damit hinter das von deutschen Gerichten bereits praktizierte „Funktionsträgerprinzip“ (s.a. IDSG Beschluss vom 27.09.2021, IDSG 08/2021).
2. Verstoß durch untergeordnete Mitarbeiter genügt
Nach der von dem EuGH vertretenen Auffassung können gegen Unternehmen Bußgelder auch verhängt werden, wenn die Verstöße von irgendeiner Person begangen werden, die im Rahmen der Geschäftstätigkeit des Unternehmens und für dessen Rechnung handelt. Es muss also lediglich feststehen, dass irgendein Mitarbeiter einen Verstoß gegen die DS-GVO begangen hat. Dieser Mitarbeiter muss auch nicht näher bestimmt werden.
3. Unternehmen muss aber schuldhaft gehandelt haben
Die Verhängung einer Geldbuße setzt aber voraus, dass das Unternehmen den Verstoß gegen die DS-GVO vorsätzlich oder zumindest fahrlässig begangen hat. Das bedeutet, dass Geldbußen gegen Unternehmen nicht verschuldensunabhängig verhängt werden können. Die DS-GVO knüpft für die Entscheidung, ob und in welcher Höhe ein Bußgeld verhängt wird, gerade an den Verschuldensgrad an, so der EuGH.
Der EUGH stellt ferner klar, dass es für ein fahrlässiges Handeln ausreicht, dass der Verantwortliche also das Unternehmen sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, egal, ob ihm der Verstoß tatsächlich bewusst war. Außerdem stellt er klar, dass für eine Strafverhängung gegen juristische Personen weder eine Handlung noch eine Kenntnis seitens eines ihrer Leitungsorgane vorliegen muss.
Fazit:
Die Verhängung von Bußgeldern gegen juristische Personen (z.B. Unternehmen) setzt nach der Entscheidung des EuGH Folgendes voraus:
- Das Unternehmen ist eine juristische Person und Verantwortlicher i. S. d. DS-GVO.
- Es steht fest, dass irgendein Mitarbeiter des Unternehmens einen bußgeldfähigen Verstoß gegen die DS-GVO begangen hat.
- Das Unternehmen trifft nachweislich ein Verschulden (Vorsatz oder Fahrlässigkeit).
Liegen diese Voraussetzungen vor, dürfen DS-GVO-Bußgelder direkt gegen das Unternehmen als juristische Person verhängt werden, die als Verantwortlicher i. S. d. DS-GVO zu qualifizieren sind.
