EuGH, Rechtssache C-807/21
Nach Art. 83 DS-GVO können Verstöße gegen die DS-GVO mit Bußgeldern geahndet werden. Dass dies auch in der Praxis umgesetzt wird, zeigen medienwirksame Beispiele, in denen die zuständigen Behörden Bußgelder in Millionenhöhe gegen Konzerne wie Google oder H&M, verhängen. Dabei sind insbesondere im Hinblick auf die Haftung von Unternehmen viele Einzelheiten noch ungeklärt. Etwas Licht ins Dunkel bringt möglicherweise eine Entscheidung des EuGH. Dieser hatte sich am 17.01.2023 in einer mündlichen Verhandlung mit zwei Vorlagefragen des Kammergerichts Berlin auseinanderzusetzen, deren Beantwortung voraussichtlich bedeutende Weichen stellen wird.
Vorlagefragen des Kammergerichts Berlin
Den Vorlagefragen liegt die Prüfung der Rechtmäßigkeit eines Bußgeldes in Höhe von 14,5 Mio. Euro zugrunde, das der Deutsche Wohnen SE auferlegt worden ist, da diese personenbezogene Daten der Mieter länger als nötig aufbewahrt hatte. Das Landgericht Berlin stellte das Verfahren auf den Einspruch des Unternehmens hin ein und begründete dies mit dem aus §§ 30, 130 OWiG folgenden sogenannten Rechtsträgerprinzip. Hiernach können Bußgelder gegen juristische Personen nur dann verhängt werden, wenn diesen ein schuldhafter Datenschutzverstoß durch eine Leitungsperson oder die Verletzung einer dahingehenden Aufsichtspflicht zugerechnet werden kann. Gegen diese Entscheidung wandte sich die Staatsanwaltschaft mit einer sofortigen Beschwerde unter Berufung auf die unionsrechtlichen Grundsätze der Sanktionierung von Ordnungswidrigkeiten, sodass sich fortan das Kammergericht Berlin mit der Sache zu beschäftigen hatte.
Dieses legte dem EuGH zum einen die Rechtsfrage vor, ob – vereinfacht ausgedrückt – ein Bußgeldverfahren wie auch im EU-Wettbewerbsrecht unmittelbar gegen ein Unternehmen geführt werden kann und ob hierfür die Begehung einer Ordnungswidrigkeit durch eine natürliche und identifizierte Person erforderlich ist. Zum anderen fragt das KG Berlin an, ob in der Konsequenz – ebenso wie im EU-Wettbewerbsrecht – ein Verschulden dieser natürlichen Person erforderlich ist oder ein bloßer Pflichtenverstoß, der dem Unternehmen zugeordnet werden kann, für die Bebußung genügt.
Standpunkte
Die Verfahrensbeteiligten vertraten hierzu in der mündlichen Verhandlung vor dem EuGH verschiedene Standpunkte.
Die Europäische Kommission, das Europäische Parlament sowie Vertreter der Niederlande sehen die Voraussetzungen für eine Bebußung abschließend in Art. 83 DS-GVO geregelt. Ein Rückgriff auf nationale Regelungen wie beispielsweise das dem deutschen Ordnungswidrigkeitenrecht zugrundeliegende Rechtsträgerprinzip sei daher ausgeschlossen. Dieser Ansicht schloss sich auch die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) mit der Begründung an, dass die Verhängung von Bußgeldern andernfalls erheblich eingeschränkt würde. So wäre es mit einem enormen personellen und finanziellen Aufwand verbunden, wenn man trotz des Feststehens eines Verstoßes gegen Vorschriften der DS-GVO in einem Unternehmen noch die Organisationsstrukturen und interne Verantwortlichkeit aufklären müsste, um ein Bußgeld verhängen zu können.
Demgegenüber sind die Deutsche Wohnen SE sowie Vertreter der Bundesrepublik Deutschland und Estlands der Auffassung, dass Art. 83 DS-GVO zu unbestimmt sei, um eine abschließende Regelung über die Bebußung zu treffen. Den Mitgliedsstaaten sei daher ein gewisser Gestaltungsspielraum zuzubilligen. Die bestehenden Regelungslücken könnten darüber hinaus nicht durch einen Rückgriff auf das EU-Wettbewerbsrecht geschlossen werden. Folgt man dieser Auffassung, so wäre Raum für den Rückgriff auf nationale Regelungen, sodass das Rechtsträgerprinzip Anwendung finden könnte. Im Ergebnis würde die Bebußung eines Unternehmens daher davon abhängen, ob ein zurechenbarer schuldhafter Verstoß einer Leitungsperson oder eine dahingehende Aufsichtspflichtverletzung vorliegt.
Die Schlussanträge des Generalanwalts des EuGH, die typischerweise eine gewisse Tendenz vorgeben, wurden für den 27. April angekündigt.
Auswirkungen in der Praxis
Die bisherige Praxis ist sowohl auf Seiten der Behörden als auch der betroffenen Unternehmen von Rechtsunsicherheit geprägt, die durch die Vorabentscheidung des EuGH beseitigt werden könnte. Hält man – wie unter anderem auch die Europäische Kommission – die Regelung des Art. 83 DS-GVO für abschließend, so wäre ein Zugriff auf das Unternehmen ohne größeren Aufwand möglich. Demgegenüber hätte – wie bereits dargestellt – der gebotene Rückgriff auf das Rechtsträgerprinzip nach §§ 30, 130 OWiG, wie er von der Bundesrepublik befürwortet wird, zur Folge, dass zunächst die Organisationsstrukturen und Verantwortlichkeiten im Unternehmen aufgeklärt werden müssten, was mit einem erhöhten Aufwand für die zuständigen Behörden verbunden sein könnte.
Darüber hinaus wird die Entscheidung des EuGH voraussichtlich auch die Bebußung von Konzernen konkret betreffen. So ist mangels Rechtssicherheit bis dato nicht geklärt, wer der richtige Adressat des Bußgeldbescheides ist: Haftet bei DS-GVO-Verstößen durch eine Tochtergesellschaft diese selbst oder richtet sich das Bußgeld vielmehr gegen die Muttergesellschaft? Auf einer zweiten Stufe ist hiervon sodann auch die Höhe des Bußgeldes abhängig: Stellt man auf den Umsatz des Konzerns, der Muttergesellschaft oder der Tochtergesellschaft ab?
Fazit
Der Streit über die Voraussetzungen für die Bebußung von Unternehmen für Datenschutzverstöße ist – wie die weitreichenden Folgen zeigen – nicht nur von akademischer Natur. Sein Ausgang wird insofern von großer Bedeutung für die Behördenpraxis sein und voraussichtlich zu einem gewissen Maß an Rechtssicherheit für Unternehmen und Aufsichtsbehörden beitragen. Über die mit Spannung zu erwartenden, abschließenden Entscheidungen des EuGH, mit der regelmäßig einige Monate nach den Schlussanträgen zu rechnen ist, sowie des Kammergerichts Berlin halten wir Sie selbstverständlich auf dem Laufenden.
