EuGH verhandelt Grundsatzfrage zur Ahndung von Datenschutzverstößen durch Unternehmen

ESV-Redaktion Recht

Datenschutzbehörden: Das in Deutschland geforderte Leitungsverschulden bei der Ahndung von Verstößen gegenüber juristischen Personen unterscheidet sich erheblich vom Ansatz der DSGVO (Foto: peterschreiber.media / stock.adobe.com)

Kommt es bei Datenschutzverstößen von juristischen Personen darauf an, dass einer konkreten Leitungsperson ein Verstoß nachgewiesen werden kann? Diese Frage liegt dem EuGH momentan zur Entscheidung vor.

Gegenstand des Verfahrens ist ein Bußgeld in Höhe von 14,5 Mio. Euro, das die Berliner Beauftragte für Datenschutz und Informationsfreiheit im Jahr 2019 gegen das Unternehmen Deutsche Wohnen SE wegen der ausufernden Speicherung von Mieterdaten verhängt hat.

LG Berlin: DSGVO-Verstöße gegen juristische Personen sind nach deutschem Ordnungswidrigkeitenrecht zu ahnden

Das LG Berlin hatte das Verfahren eingestellt, da Bußgelder wegen Verstößen gegen die DSGVO gegen juristische Personen nach Auffassung des Gerichts nach § 30 OWiG nur verhängt werden könnten, wenn der Verstoß von einer Leitungsperson begangen worden sei, entweder durch eigenes Handeln oder durch Verletzung von Aufsichtspflichten.

Der kostenlose Newsletter Recht – Hier können Sie sich anmelden!

Redaktionelle Meldungen zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps.

Vorabentscheidungsersuchen des KG Berlin an den EuGH

Aufgrund einer Beschwerde durch die Staatsanwaltschaft im Einvernehmen mit der Berliner Datenschutzbeauftragten ist das Verfahren nun beim Berliner Kammergericht (KG) anhängig. Das KG hat die wesentlichen Rechtsfragen dem EuGH zur Vorabentscheidung vorgelegt. In der Praxis wird nämlich die Sanktionierung von Datenschutzverstößen durch Unternehmen in Deutschland gegenüber anderen EU-Mitgliedstaaten erschwert, da bei großen Konzernen der Nachweis einer persönlichen Verursachung in der Unternehmensleitung häufig nicht gelingt.

Spannungsfeld zwischen nationalem und EU-Recht

Das im deutschen Ordnungswidrigkeitenrecht vorgesehene Rechtsträgerprinzip und das Erfordernis von Leitungsverschulden unterscheidet sich wesentlich vom Ansatz des in der DSGVO und dem im europäischen Kartellrecht vorgesehenen Funktionsträgerprinzips im Wesentlichen wie folgt:

Funktionsträgerprinzip: Nach Auffassung der beschwerdeführenden Datenschützer bedürfe es bei Verstößen gegen die DSGVO wie im EU-Kartellrecht (Art. 101 und 102 AEUV) nur der Feststellung, dass Mitarbeitende des Unternehmens einen Verstoß gegen die DSGVO begangen haben. Eine Leitungsfunktion der konkret handelnden Mitarbeitenden ist nicht erforderlich.

Kein Verschulden erforderlich: Die fehlende Anknüpfung an die Handlung einer Leitungsperson eines Unternehmens verstößt demnach auch nicht gegen das Schuldprinzip, weil für die Verhängung von Bußgeldern gegenüber Unternehmen nach EU-Recht bereits ein objektiver Pflichtenverstoß ausreicht, der dem Unternehmen zuzurechnen ist.

Effektivitätsgebot: Schließlich folgt aus dem Effektivitätsgebot, dass die Anwendung von mitgliedstaatlichem Recht die Wirksamkeit des Unionsrechts nicht praktisch unmöglich macht oder übermäßig erschweren darf, so die Datenschützer weiter. Danach zeigt der Vergleich mit anderen Mitgliedstaaten, dass dies beim Rechtsträgerprinzip von § 30 OWiG unzulässigerweise der Fall ist und somit ein Verstoß gegen das Effektivitätsgebot vorliegt. Damit wäre § 30 OWiG nicht anwendbar.

Die mündliche Verhandlung vor dem EuGH fand am 17.01.2023 statt; eine Entscheidung steht noch aus.

Quelle: PM der Datenschutzkonferenz vom 05.01.2023

Wo Datenschützer ihre Nase reinstecken

PinG Privacy in Germany

PinG Privacy in Germany – Die Zeitschrift für alle, die mit Datenschutz in Unternehmen zu tun haben und bei der regelkonformen Umsetzung stets auf der sicheren Seite sein wollen:

Privacy Topics – Spezialthemen und richtungweisende Beiträge aus dem In- und Ausland,

Privacy News – prägnante Artikel zu aktuellen rechtspolitischen Themen,

Privacy Compliance – Antworten auf alle drängenden Fragen aus dem betrieblichen Alltag.

PinG ist interdisziplinär, international, intermedial: PinG versteht sich als Forum für ein breites interdisziplinäres Meinungsspektrum. Hier schreiben Insider, Experten und hochkarätige Autoren aus aller Welt.

PinG ist innovationsfreudig: u.a. in der Kolumne „Neues aus der Digitalwirtschaft“, die digitalen Entrepreneuren und juristischen Vordenkern eine Stimme gibt, lesen Sie konzentriert, was die Digital-Wirtschaft datenschutzrechtlich bewegt.

PinG ist vielstimmig – auch durch den hochkarätig besetzten Beirat, der das PinG-Team mit zusätzlicher Expertise und meinungsstarken Positionen verstärkt.

PinG macht transparent – mit klarer Sprache und innovativem Layout.

PinG erscheint in enger Zusammenarbeit mit der Stiftung Datenschutz, deren Vorstand sich in jeder Ausgabe zu aktuellen Themen äußert.

Testen Sie PinG Privacy in Germany doch einmal kostenlos und unverbindlich.

Verlagsprogramm

Weitere Nachrichten aus dem Bereich Recht

Im Wortlaut: § 30 OWiG - Geldbuße gegen juristische Personen und Personenvereinigungen

(1) Hat jemand

1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs,

2. als Vorstand eines nicht rechtsfähigen Vereins oder als Mitglied eines solchen Vorstandes,

3. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft,

4. als Generalbevollmächtigter oder in leitender Stellung als Prokurist oder Handlungsbevollmächtigter einer
juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung oder

5. als sonstige Person, die für die Leitung des Betriebs oder Unternehmens einer juristischen Person
oder einer in Nummer 2 oder 3 genannten Personenvereinigung verantwortlich handelt, wozu auch
die Überwachung der Geschäftsführung oder die sonstige Ausübung von Kontrollbefugnissen in
leitender Stellung gehört,

eine Straftat oder Ordnungswidrigkeit begangen, durch die Pflichten, welche die juristische Person oder die Personenvereinigung treffen, verletzt worden sind oder die juristische Person oder die Personenvereinigung bereichert worden ist oder werden sollte, so kann gegen diese eine Geldbuße festgesetzt werden.

DSGVO-Erwägungsgrund Nummer 150 Satz 3

Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff „Unternehmen“ im Sinne der Artikel 101 und 102 AEUV verstanden werden.

(ESV/cw)