EuGH soll über eine Grundsatzfrage zur Sanktionierung von Datenschutzverstößen durch Unternehmen entscheiden

Der EuGH soll darüber entscheiden, ob eine ein Unternehmen betreibende juristische Person unmittelbar für Datenschutzverstöße nach der DSGVO sanktioniert werden kann, ohne dass eine Ordnungswidrigkeit einer natürlichen und identifizierten Leitungsperson festgestellt werden muss.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hatte gegen eine ein Unternehmen führende juristische Person im Jahr 2019 ein Bußgeld in Höhe von 14,5 Millionen Euro wegen einer ausufernden Speicherung von Mieterdaten verhängt.

Das Landgericht Berlin stellte das Verfahren ein. Die Entscheidung des Landgerichts beruht auf der Rechtsauffassung, dass Bußgelder wegen Verstößen gegen die Datenschutz-Grundverordnung gegen juristische Personen nur verhängt werden könnten, wenn der Verstoß von einer Leitungsperson begangen worden ist, entweder durch eigenes Handeln oder durch Verletzung von Aufsichtspflichten. Dies entspricht dem deutschen Ordnungswidrigkeitenrecht, nicht jedoch den Grundsätzen der Sanktionierung von Ordnungswidrigkeiten im EU-Recht.

Aufgrund einer Beschwerde durch die Staatsanwaltschaft im Einvernehmen mit der Berliner Datenschutzbeauftragten ist das Verfahren nun beim Berliner Kammergericht anhängig, das wesentliche Rechtsfragen dem EuGH zur Vorabentscheidung vorgelegt hat.

Vor dem EuGH geht es nun um die Grundsatzfrage, ob eine ein Unternehmen betreibende juristische Person in Deutschland nach den Grundsätzen des EU-Rechts unmittelbar für Datenschutzverstöße nach der Datenschutz-Grundverordnung (DSGVO) sanktioniert werden kann, ohne dass eine Ordnungswidrigkeit einer natürlichen und identifizierten Leitungsperson festgestellt werden muss. Solche Vorgaben sind der DSGVO fremd.

Diesbezüglich fand am Dienstag, den 17. Januar 2023, die mündliche Verhandlung beim Europäischen Gerichtshof (EuGH) statt. Der EuGH interessierte sich in der mündlichen Verhandlung insbesondere dafür, inwieweit nationale Regelungen in Deutschland Hindernisse bei der europäischen Harmonisierung darstellen. Aufgrund der wesentlichen Bedeutung des Falls hat sich die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) im Vorfeld der Verhandlung mit einer rechtlichen Einschätzung (https://uldsh.de/230118-dsk [PDF]) positioniert.

In dieser Einschätzung kommt die DSK zu dem Schluss, dass eine verschuldensunabhängige Bebußung nach Art. 83 DSGVO ist auch mit dem Unionsrecht vereinbar ist, da sie verhältnismäßig ausgestaltet ist.

Es bleibt nun abzuwarten, wie der EuGH entscheidet. Die Entscheidung in diesem Verfahren wird in jedem Fall für Deutschland eine grundlegende Weichenstellung bedeuten. Sie wird daher von den deutschen Datenschutzaufsichtsbehörden mit Spannung erwartet.

Fundstelle: Pressemitteilung der DSK vom 18.01.2023: „Europäischer Gerichtshof verhandelt Grundsatzfrage zur Sanktionierung von Datenschutzverstößen von Unternehmen“ – abrufbar im Internet unter https://datenschutzkonferenz-online.de/media/pm/20230119_pm_Grundsatzfrage_Datenschutzverstoesse_Unternehmen.pdf