BB-Kommentar

EuGH klärt wesentliche Anforderungen zur Verhängung von Bußgeldern nach der DSGVO

Problem

Das hier vorab gedruckte Urteil des EuGH stellt eine Richtungsentscheidung dar und klärt wesentliche Anforderungen zu der Verhängung von DSGVO-Bußgeldern (vgl. Ashkar/Lantwin/Schröder, BB 2022, 771, 772. Wie das gegenständliche Bußgeldverfahren der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BInBDI) zeigt, handelt es sich hierbei um sehr relevante Vorgaben mit erheblichen Implikationen für die Bebußung von Unternehmen. So hatte die BInBDI im Jahr 2019 das in Deutschland damalige Rekord-DSGVO-Bußgeld i. H. v. 14,5 Mio. Euro gegen ein Immobilienunternehmen festgesetzt. Das LG Berlin stellte dieses Verfahren dann aber im Jahr 2021 (18.2.2021 – 526 OWi LG 1/20, BB 2021, 1041) ein. Hierzu führte das LG aus, dass die BInBDI – entgegen der Vorgabe des OWiG – keine dem betroffenen Unternehmen zurechenbare vorwerfbare Tat eines Organmitglieds festgestellt habe. Demgegenüber vertritt die BInBDI, dass eine solche Feststellung nach dem Willen des EU-Gesetzgebers nicht notwendig sei (Pressemitteilung vom 3.3.2021). Der EuGH hat nun klargestellt, dass kein Unternehmen allein wegen eines DSGVO-Verstoßes bußgeldpflichtig ist. Ein solcher muss stets zumindest fahrlässig begangen worden sein.

Zusammenfassung

Nach der sofortigen Beschwerde der Staatsanwaltschaft gegen die Einstellung durch das LG Berlin hatte sich das KG Berlin mit folgenden Fragen an den EuGH gewandt (KG, 6.12.2021 – 3 Ws 250/21 – 161 AR 84/21, K&R 2022, 135); “Ist Art. 83 Abs. 4–6 DSGVO dahin auszulegen, dass . . . ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person . . . begangenen Ordnungswidrigkeit bedarf?” Für den Fall der Bejahung, fragte das KG, ob “das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss, oder . . . für eine Bebußung . . . ein ihm zuzuordnender objektiver Pflichtenverstoß aus[reicht]”. Hierbei handelte es sich um in der Rechtsliteratur und gerichtlichen Praxis umstrittene Rechtsfragen (K&R 2022, 135, 136 ff. m. w. N.; vgl. Ashkar/Lantwin/Schröder, BB 2022, 771, 772.

Zur ersten Frage stellt der EuGH nun klar, dass die DSGVO-Vorgaben “einer nationalen Regelung entgegenstehen”, nach der eine DSGVO-Geldbuße “gegen eine juristische Person . . . nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.” (Rn. 60).