EuGH-Urteil zu Deutsche Wohnen: Auswirkungen auf Datenschutzverfahren
Das EuGH-Urteil zu Deutsche Wohnen hat erhebliche Auswirkungen auf Datenschutzverfahren in Österreich und Deutschland. Die Entscheidung betrifft die Verhängung von Geldbußen gegen Unternehmen im Zusammenhang mit Datenschutzverstößen.
Ausgangslage und nationale Gesetzgebung
Die nationale Gesetzgebung in Österreich und Deutschland sah bisher keine verschuldensunabhängige Geldbuße gegen Unternehmen vor. Dies bedeutete, dass natürliche Personen, die für das schuldige Unternehmen verantwortlich waren, ebenfalls angeklagt werden mussten. Ein prominentes Beispiel ist ein großes österreichisches Logistikunternehmen, gegen das ein Strafverfahren mit einer Geldbuße von EUR 18 Millionen vom Bundesverwaltungsgericht (BvWG) eingestellt wurde, weil keine natürliche Person mitbeklagt war. Die Datenschutzbehörde wollte die Rechtsfrage dem EuGH vorlegen, was jedoch vom BvWG abgelehnt wurde.
Ähnliche Entwicklungen gab es auch in Deutschland, insbesondere im Fall „Deutsche Wohnen“. Das Verfahren führte zu einem ähnlichen Ergebnis, jedoch wurde hier die Vorlage beim EuGH initiiert (C-807/21).
C-807/21 und die Voraussetzungen für Geldbußen
Im Rahmen des Rechtsstreits „Deutsche Wohnen“ gegen die Staatsanwaltschaft Berlin wurde der EuGH angerufen, um die Voraussetzungen für die Verhängung von Geldbußen zu klären. Die österreichische Datenschutzbehörde setzte alle Verwaltungsstrafverfahren gegen juristische Personen aus und wartete auf die Entscheidung des EuGH zu Art 83 der Datenschutz-Grundverordnung (DSGVO).
Die Entscheidung des EuGH am 5. Dezember 2023 legt fest, dass eine Geldbuße immer schuldhaftes Verhalten erfordert, sei es vorsätzlich oder fahrlässig. Die Feststellung eines Datenschutzverstoßes im Unternehmen genügt für eine Bußgeldverhängung, ohne dass dies einer konkreten Person zugeschrieben werden muss. Verstöße von allen natürlichen Personen im Unternehmen können gegenüber der juristischen Person zu einer Geldbuße führen.
Konsequenzen und Umsetzung der Entscheidung
Die ausgesetzten Verfahren in Österreich und Deutschland werden fortgesetzt. Die österreichische Datenschutzbehörde hat seit dem Urteil bereits in 19 Verfahren gegen juristische Personen Geldbußen in Höhe von insgesamt 233.000 Euro verhängt. Der österreichische Verwaltungsgerichtshof (VwGH) und das Kammergericht Berlin setzen die Verfahren über EUR 18 Millionen bzw EUR 14,5 Millionen Bußgeld gegen die Unternehmen fort.
Das EuGH-Urteil stellt klar, dass das Vorliegen eines Verschuldens nach wie vor von der zuständigen Behörde nachgewiesen werden muss. Geldbußen können auch für das Fehlverhalten von Auftragsverarbeitern oder gemeinsamen Verantwortlichen verhängt werden.
Ein Nebenschauplatz des Urteils beendet auch die seit Jahren schwelende Diskussion, ob die Strafbemessung am Umsatz des schuldigen Unternehmens oder des gesamten Konzerns bemessen werden soll. Bei der Bemessung von Geldbußen wird wie im Kartellrecht der Umsatz von wirtschaftlichen Einheiten, also Unternehmensgruppen und Konzernen, relevant.
Ausblick
Für die Zukunft bedeutet das wohl höhere Strafen, weil der Ausgangswert für Geldbußen von den Behörden nun am Konzern bemessen werden muss.
Wenn die Schuld an einem Datenschutzvergehen bewiesen ist, spielt die Person eines verantwortlichen Mitarbeiters keine Rolle mehr.
Nationale Abweichungen von diesen Prinzipien sind nicht zulässig, um Kohärenz bei den Entscheidungen der EU-Behörden sicherzustellen.
Zum Beitrag
Produkt-Empfehlungen
