Im Oktober 2019 verhängte der Berliner Beauftragte für Datenschutz und Informationsfreiheit das damals höchste Bußgeld gegen ein deutsches Unternehmen, die Deutsche Wohnen SE. Das Unternehmen sollte eine Strafe von EUR 14,5 Mio. zahlen, weil personenbezogene Daten der Mieter deutlich länger als notwendig gespeichert und nicht gelöscht wurden. Die Entscheidung der Aufsichtsbehörde erregte damals wegen der Höhe des Bußgelds hohe mediale Aufmerksamkeit.

Aufhebung des Bußgeldbescheides über EUR 14,5 Mio. durch LG Berlin wegen gravierender Mängel

Entsprechend groß war die Verwunderung, als das Landgericht Berlin nun am 18. Februar 2021 (Az. 212 Js-OWi 1/20) im Widerspruchsverfahren den Bußgeldbescheid der Aufsichtsbehörde vollständig aufhob. Die Begründung der Richter war, dass der Bescheid unter derart gravierenden Mängeln leide, dass er nicht Grundlage eines Bußgeldverfahrens sein könne. Auf die Höhe des Bußgelds oder auf den dahinterstehenden Verstoß gegen datenschutzrechtliche Pflichten gingen die Richter gar nicht ein.

Für das Landgericht war vielmehr entscheidend, dass sich das Bußgeldverfahren unmittelbar gegen eine juristische Person richtete, nämlich direkt gegen die Deutsche Wohnen SE. Zwar sieht Art. 83 der europäischen DSGVO vor, dass Bußgelder grundsätzlich auch gegen juristische Personen verhängt werden können. Die DSGVO wird in Deutschland aber im Rahmen der Öffnungsklauseln durch das BDSG konkretisiert. Dieses legt in § 41 Abs. 1 BDSG fest, dass für Verstöße nach Art. 83 der DSGVO bis auf wenige Ausnahmen die Vorschriften des „Gesetz über Ordnungswidrigkeiten" (OWiG) „sinngemäß" Anwendung finden. Und hier kommt es zum Problem: Nach dem OWiG können juristische Person nicht per se Betroffene in einem Bußgeldverfahren sein.

Hintergrund der Entscheidung

Im Ordnungswidrigkeitenrecht können juristische Personen vielmehr nur dann als Adressaten mit einem Bußgeld belegt werden, wenn ein Organmitglied oder Repräsentant des Unternehmens eine Pflichtverletzung begeht, welche wiederum Pflichten der juristischen Person verletzt. Mit anderen Worten: Es muss ein nachweisbares Fehlverhalten einer natürlichen Person feststellbar sein, das dem Unternehmen zuzurechnen ist. Da eine solche konkrete Pflichtverletzung eines Organmitglieds der Deutsche Wohnen SE anscheinend nicht durch die Berliner Aufsichtsbehörde geprüft und dementsprechend nicht festgestellt wurde, befand das Landgericht Berlin den Bußgeldbescheid gegen das Unternehmen folglich für unwirksam.

Bußgelder zukünftig nur noch gegen verantwortliche Führungsorgane?

Sollte sich diese Ansicht des LG Berlin durchsetzen, werden Behörden bei der Verhängung von Bußgeldern in Zukunft konkret prüfen müssen, welches Organ eines Unternehmens einen Datenschutzverstoß zu verantworten hat. Dies führt in der Praxis zu erheblichen Schwierigkeiten. Insofern besteht nun die Gefahr, dass die Aufsichtsbehörden Bußgelder von vornherein direkt gegen die Führungsorgane verhängen, die das Unternehmen nach außen vertreten. Dies würde dazu führen, dass die Führungsorgane persönlich für Datenschutzverstöße des Unternehmens haften.

Aus diesem Grund vertreten – wenig überraschend – alle Datenschutzbehörden der Länder die Auffassung, dass die Vorschriften der DSGVO den Regelungen im BDSG vorgehen. Da gem. Art. 83 DSGVO auch gegen juristische Personen ein Bußgeld verhängt werden kann, seien die einschränkenden Regelungen im OWiG nicht anzuwenden. Diese Auffassung vertritt auch das LG Bonn, das sich in einer Entscheidung vom 11. November 2020 (Az. 29 OWi 1/20 LG) darauf berufen hat, nur so ein einheitliches Datenschutzniveau in der EU sicherstellen zu können.

Die unterschiedliche Rechtsauslegung der Gerichte bedarf also einer dringenden höchstrichterlichen Klärung. Aus diesem Grund hat die Staatsanwaltschaft für die Berliner Aufsichtsbehörde vor kurzem Rechtsmittel gegen den Beschluss des Landgerichts eingelegt. Bis der BGH oder gar der EuGH sich hierzu klärend geäußert haben, bleibt es also spannend, ob weitere gegen Unternehmen verhängte Bußgelder durch die Landgerichte „einkassiert" werden.