Berliner Beauftragte für Datenschutz und Informationsfreiheit gegen Deutsche Wohnen
Nachdem die Berliner Beauftragte für Datenschutz und Informationsfreiheit, kurz BlnBDI, gegen die Deutsche Wohnen ein Bußgeld von 14,5 Millionen Euro verhängte, musste zunächst das Landgericht Berlin über dessen Rechtmäßigkeit entscheiden. Es stellte fest, dass die Deutsche Wohnen als juristische Person in dem Bußgeldverfahren nicht Betroffene nach Art. 83 DSGVO, sondern nur Nebenbeteiligte sein könne, weil eine Ordnungswidrigkeit nur von einer natürlichen Person begangen werden könne. Als Entscheidungsgrundlage wurde insbesondere § 30 OWiG – Gesetz über Ordnungswidrigkeiten – herangezogen, also nationales Recht.
EuGH zum Fall Deutsche Wohnen
Das Kammergericht Berlin setzte das Verfahren erst einmal aus und legte dem Europäischen Gerichtshof gleich mehrere Fragen zu diesem Fall vor. Dabei ging es insbesondere um die unternehmerische Bußgeldhaftung. Das EuGH stellte fest, dass diese nicht davon abhängig ist, ob festgestellt werden konnte, dass eine natürliche Person – als Vertreter des Unternehmens – gegen die Vorgaben des Datenschutzes verstoßen habe. Dies kann als Bestätigung für das Vorgehen der Datenschutzbehörden in Deutschland aufgefasst werden, die davon ausgehen, dass Unternehmen für Datenschutzverstöße haften und dass zudem weder der verantwortliche Mitarbeiter gefunden werden noch dass es sich bei diesem um einen Unternehmensrepräsentanten handeln müsse.
Der Begriff des Verantwortlichen
Der EuGH hinterfragte insbesondere den Begriff des Verantwortlichen und stellte fest: Verantwortliche sind alle natürlichen oder juristischen Personen, Behörden, Einrichtungen oder anderen Stellen, die über Mittel und Zweck der Verarbeitung personenbezogener Daten entscheiden. Folglich sei laut DSGVO in Haftungsfragen zwischen juristischen und natürlichen Personen nicht zu unterscheiden. Damit haftet auch eine juristische Person wie die Deutsche Wohnen für alle Verstöße von Personen, die diese im Zusammenhang mit der unternehmerischen Tätigkeit der juristischen Person beziehungsweise in deren Namen begehen.
Gegen wen wird das Bußgeld verhängt?
- Wird eine juristische Person als verantwortlich identifiziert, muss es auch möglich sein, die laut Datenschutzgrundverordnung vorgesehenen Bußgelder unmittelbar gegen diese zu verhängen. Das verantwortliche Unternehmen muss also auch haften. Was nur logisch ist, weil ja keine natürliche Person als verantwortlich identifiziert werden muss.
- Darüber hinaus muss der Verstoß noch nicht einmal einer konkreten, handelnden natürlichen Person innerhalb des Unternehmens zugeordnet werden. Die Diskussion, ob es sich bei den handelnden Personen um Führungskräfte handeln muss, ist dementsprechend obsolet.
- Es blieb die Frage offen, ob die Handlung, die der juristischen Person zugeordnet werden kann, auch schuldhaft erfolgt sein muss. Das EuGH verlangt, dass die Datenschutzbehörden die Schuldhaftigkeit von Verstößen feststellen müssen – ganz gleich, ob diese fahrlässig oder vorsätzlich erfolgten.
Sie wollen mehr über die Details dieser Entscheidung wissen?
Dann kommen Sie gern mit uns ins Gespräch. Sie erreichen uns telefonisch unter 09122 6937302 oder mit Ihrer digitalen Nachricht. Wir freuen uns auf den Austausch mit Ihnen!
Ihr Team von Datenschutz Prinz