Wer haftet für DSGVO-Verstöße in Unternehmen?

Ausgangsfall und Vorlagefragen

Ge­gen­stand des Ver­fah­rens sind zwei Vor­la­ge­fra­gen, die das Kam­mer­ge­richt (KG) Ber­lin dem EuGH im De­zem­ber 2021 in Zu­sam­men­hang mit einem von der Ber­li­ner Da­ten­schutz­behörde ge­genüber der Deut­sche Woh­nen SE verhäng­ten Bußgeld we­gen ver­meint­li­cher DS­GVO-Verstöße ei­ner Toch­ter­ge­sell­schaft vor­ge­legt hatte. Als Grund für das Bußgeld von über 14 Mio. Euro gibt die Ber­li­ner Da­ten­schutz­behörde die fort­ge­setzte Spei­che­rung per­so­nen­be­zo­ge­ner Mie­ter­da­ten in min­des­tens 15 Fällen an, ob­wohl eine Spei­che­rung nicht (mehr) er­for­der­lich ge­we­sen sei.

© unsplash

Mit den Vor­la­ge­fra­gen wollte das KG Ber­lin er­fah­ren, ob,

1. ein DS­GVO-Bußgeld­ver­fah­ren un­mit­tel­bar ge­gen ein Un­ter­neh­men geführt wer­den darf, ohne dass es ei­ner durch eine iden­ti­fi­zierte natürli­che Per­son be­gan­ge­nen Ord­nungs­wid­rig­keit be­darf und
2. so­fern dies der Fall ist, ob es für eine Bebußung des Un­ter­neh­mens im Grund­satz be­reits aus­reicht, wenn ein dem Un­ter­neh­men zu­zu­ord­nen­der ob­jek­ti­ver Pflich­ten­ver­stoß vor­liegt (sog. „strict lia­bi­lity“) oder ob ein durch den Mit­ar­bei­ter des Un­ter­neh­mens schuld­haft be­gan­ge­ner Ver­stoß er­for­der­lich ist.

Der Ge­ne­ral­an­walt hat sich nun dafür aus­ge­spro­chen, dass Geldbußen grundsätz­lich ge­gen ju­ris­ti­sche Per­so­nen als Ver­ant­wort­li­che im Sinne der DS­GVO verhängt wer­den können. Nichts­des­to­trotz bedürfe es dafür aber ei­nes vorsätz­li­chen oder fahrlässi­gen Ver­stoßes. Ein rein ob­jek­ti­ver Pflich­ten­ver­stoß genügt da­mit nach An­sicht des Ge­ne­ral­an­walts nicht.

Was bedeuten die Schlussanträge des Generalanwalts für Unternehmen?

Die Schlus­santräge des un­par­tei­ischen Ge­ne­ral­an­walts sind für die Ent­schei­dung des EuGH nicht ver­bind­lich. Er­fah­rungs­gemäß sind die Aus­sa­gen des Ge­ne­ral­an­walts als Gut­ach­ten zur Un­terstützung des EuGH bei der Ent­schei­dungs­fin­dung aber eine er­ste Ten­denz für das zu die­sem Zeit­punkt noch aus­ste­hende Ur­teil.

Der Ge­ne­ral­an­walt for­dert zwar einen vorsätz­li­chen oder fahrlässi­gen Ver­stoß ge­gen die DS­GVO, be­tont aber auch, dass die­ser im Zwei­fel auf einen Man­gel des Kon­troll- und Über­wa­chungs­sys­tems in­ner­halb ei­nes Un­ter­neh­mens zurück­ge­hen kann. Das Auf­stel­len, Ein­hal­ten und die Kon­trolle von Da­ten­schutz-Com­pli­ance-Maßnah­men sind in ih­rer Be­deu­tung für das bei DS­GVO-Verstößen im Raum ste­hende Ver­schul­den des Un­ter­neh­mens als Bußgeld­adres­sat des­halb nicht zu un­ter­schätzen.

Klarstellung zur Höhe der Bußgeldbemessung in Konzernstrukturen

Be­reits vor Be­kannt­gabe des Ur­teils dürfte für Un­ter­neh­men so­wohl in der da­ten­schutz­recht­li­chen Ri­si­ko­be­wer­tung als auch im Kon­flikt­fall außer­dem be­son­ders in­ter­es­sant sein, wie sich der Ge­ne­ral­an­walt in sei­nen Schlus­santrägen zur Bußgeld­be­mes­sung in Kon­zern­struk­tu­ren geäußert hat. Diese können laut DS­GVO bis zu 4 % des ge­sam­ten welt­weit er­ziel­ten Jah­res­um­sat­zes des vor­an­ge­gan­ge­nen Ge­schäfts­jah­res be­tra­gen. Bis­her ist nicht ab­schließend geklärt, ob laut DS­GVO für die Bußgeld­be­mes­sung der Kon­zern­um­satz oder der je­wei­lige Um­satz der ein­zel­nen kon­zern­an­gehöri­gen Un­ter­neh­men her­an­zu­zie­hen ist. Der Ge­ne­ral­an­walt spricht sich nun für eine Bußgeld­be­mes­sung an­hand des Kon­zern­um­sat­zes aus, wie es auch im eu­ropäischen Wett­be­werbs­recht ge­hand­habt wird. Gleich­zei­tig be­tont er aber, dass die DS­GVO nur bezüglich der Bußgeld­be­mes­sung auf die wett­be­werbs­recht­li­chen Grundsätze ver­weist. Of­fen lässt er ex­pli­zit, ob das glei­che Verständ­nis des Un­ter­neh­mens­be­griffs hin­sicht­lich der Haf­tung der Mut­ter­ge­sell­schaft für Da­ten­schutz­verstöße der Toch­ter­ge­sell­schaft her­an­zu­zie­hen ist.

Mangelhafte Datenschutz-Compliance kann teuer werden

Es bleibt ab­zu­war­ten, ob der EuGH in sei­nem Ur­teil die Chance er­greift und ne­ben der Be­ant­wor­tung der kon­kre­ten Vor­la­ge­fra­gen zur Frage der da­ten­schutz­recht­li­chen Ver­ant­wort­lich­keit und Haf­tung im Kon­zern grundsätz­li­che Aus­sa­gen tref­fen wird. Die Schlus­santräge des Ge­ne­ral­an­walts un­ter­strei­chen aber be­reits jetzt das fi­nan­zi­elle Ri­siko, das man­gel­hafte Da­ten­schutz-Com­pli­ance für kon­zern­an­gehörige Un­ter­neh­men seit In­kraft­tre­ten der DS­GVO dar­stellt.