BB-Kommentar
Geltung des Rechtsträgerprinzips im DS-GVO-bedingten Bußgeldverfahren
Problem
Das LG Berlin hat am 18.2.2021 entschieden, dass ein Bußgeldverfahren gegen ein Immobilienunternehmen aufgrund eines Verfahrenshindernisses einzustellen ist und im Rahmen der Entscheidungsgründe insbesondere darauf hingewiesen, dass bei der Verhängung einer Geldbuße gegen eine juristische Person wegen eines Verstoßes nach Art. 83 Abs. 4 bis 6 DS-GVO § 30 OWiG Anwendung findet. Das LG Berlin hat somit – zu Recht – konträr zum LG Bonn, welches eine Anwendung des § 30 OWiG bei der Verhängung von Bußgeldern aufgrund von Verstößen nach Art. 83 Abs. 4 bis 6 DS-GVO im sog. selbstständigen Bußgeldverfahren (§ 30 Abs. 4 OWiG) verneint hat (LG Bonn, Urt. v. 11.11.2020 – 29 OWi 1/20 (= BeckRS 2020, 35663 = MMR 2021, 173 = ZD 2021, 154), entschieden. Die Diskussion um die Frage der Anwendbarkeit des § 30 OWiG in aufgrund von Datenschutzverstößen angestrengten Bußgeldverfahren nimmt somit an Fahrt auf. Kern dieser rechtlichen Diskussion ist die Frage, ob § 30 OWiG auf DS-GVO-Bußgeldverfahren anzuwenden ist mit der Folge, dass gegen ein Unternehmen i. S. d. Art. 4 Nr. 18 DS-GVO im selbstständigen Bußgeldverfahren (§ 30 Abs. 4 OWiG) ein Bußgeld nur verhängt werden kann, wenn einer Leitungsperson (vgl. § 30 Abs. 1 Nr. 1 bis 5 OWiG) eine Anknüpfungstat vorgeworfen bzw. zugerechnet werden kann (s. zum Diskussionsstand auch Venn/Wybitul, NStZ 2021, 204, 205; Ebner/Schmidt, CCZ 2020, 84). Neben dem LG Bonn wird die Anwendbarkeit des § 30 OWiG im Rahmen der Ahndung von DS-GVO-Verstößen namentlich von den (deutschen) Datenschutzaufsichtsbehörden (vgl. die Entschließung der 97. Konferenz der DSK v. 3.4.2019, abrufbar unter https://www.datenschutzkonferenz-online.de/media/en/20190405_Entschliessung_Unternehmenshaftung.pdf; Ambrock, ZD 2020, 492, 493) abgelehnt. Zur Begründung wird angeführt, § 41 BDSG nehme unionsrechtswidrig § 30 OWiG nicht von der Anwendbarkeit in Bußgeldverfahren mit Bezug zur DS-GVO aus, weswegen § 30 OWiG zur Durchsetzung des Unionsrechts nicht anzuwenden sei (effet utile).
Zusammenfassung
Im Ergebnis lässt sich festhalten, dass mit der vorzugswürdigen Rechtsauffassung des LG Berlin im datenschutzrechtlichen Bußgeldverfahren § 30 OWiG uneingeschränkt Anwendung findet (so auch Venn/Wybitul NStZ 2021, 204). Dies hat zur Folge, dass gegen ein Unternehmen ein Bußgeld nur verhängt werden kann, wenn einer Leitungsperson eine bußgeldbewährte Tat i. S. d. Ordnungswidrigkeitenrechts vorgeworfen werden kann. Dies folgt unmittelbar aus § 41 Abs. 1 BDSG. Die Norm ordnet für Verstöße nach Art. 83 Abs. 4 bis 6 DS-GVO an, dass die Vorschriften des OWiG sinngemäß gelten. § 30 OWiG wird von diesem Verweis auch nicht ausgenommen und wurde vom nationalen Gesetzgeber bei Schaffung der Ausnahmen auch nicht “übersehen.” Vielmehr folgt aus der Gesetzgebungshistorie, dass der nationale Gesetzgeber sich – aus nicht näher dargelegten Gründen – für eine Anwendbarkeit des § 30 OWiG und des im nationalen Recht geltenden Rechtsträgerprinzip entschieden hat. Nichts anderes ergibt sich aus der DS-GVO bzw. deren Erwägungsgründen. Sofern unter Bezugnahme auf ErwG 150 DS-GVO argumentiert wird, im Rahmen der Ahndung von Verstößen gelte das europäische Kartellbußgeldverfahrensrecht, wird verkannt, dass ErwG 150 DS-GVO lediglich für den Unternehmensbegriff, nicht aber für das gesamte Bußgeldverfahren auf das Kartellrecht verweist. Selbst wenn man mit der Gegenauffassung von einer Unionsrechtswidrigkeit des § 41 BDSG ausgehen wollte, würde dies eine Nicht-Anwendung des § 30 OWiG nicht rechtfertigen. Zwar ist dem Unionsrecht zu einer größtmöglichen Geltung zu verhelfen, weswegen von mehreren möglichen Auslegungen stets die europarechtsfreundlichste den Vorzug genießt. Eine Auslegung nationalen Rechts contra legem ist indessen nicht möglich (EuGH, 16.6.2005 – C-105/03, NJW 2005, 2839; BGH, 5.10.2019 – XI ZR 759/17, NJW 2019, 148). Aufgrund des insoweit unmissverständlichen Wortlauts des § 41 BDSG kann von einer Anwendung des § 30 OWiG somit auch in DS-GVO-bedingten Bußgeldverfahren nicht abgesehen werden.
Praxisfolgen
Geht man mit dem LG Berlin und der hier vertretenen Rechtsauffassung davon aus, dass gegen ein Unternehmen im (datenschutzrechtlichen) selbstständigen Bußgeldverfahren nur unter den allgemeinen ordnungswidrigkeitsrechtlichen Grundsätzen (s. o.) ein Bußgeld verhängt werden kann, bedeutet dies für die Praxis, dass ein Bußgeld gegen ein Unternehmen nicht verhängt werden darf, wenn einer Leitungsperson des Unternehmens keine bußgeldbehaftete Tat i. S. d. Ordnungswidrigkeitenrechts vorgeworfen werden kann. Demgemäß sollten die zur Einhaltung datenschutzrechtlicher Vorgaben verpflichteten Unternehmen durch die Schaffung unternehmensinterner Strukturen und die Überwachung deren Einhaltung dafür Sorge tragen, dass Verstöße gegen die DS-GVO vermieden werden. Kommt es entgegen der geschaffenen Maßnahmen dennoch zu datenschutzrelevanten Vorfällen, die nicht in der Verantwortlichkeit der Leitungspersonen liegen, insbesondere, weil Aufsichtspflichten nicht verletzt wurden, kann dies der Behörde im Verwaltungsverfahren angezeigt werden. Gerade in stark regulierten Branchen (z. B. der Finanzdienstleistungs- und der Telekommunikationsbranche) ist den regulierten Unternehmen bereits aufgrund aufsichtsrechtlicher Vorgaben die Schaffung einer gewissen Organisationsstruktur vorgeschrieben, welcher die Leitungsfunktionen sowie deren nachgeordnete Stellen zu entnehmen sind. Die (Datenschutz-)Behörden können somit die unternehmensinternen Verantwortlichkeiten ohne Weiteres nachvollziehen, weswegen jedenfalls unter diesem Gesichtspunkt die befürchtete Einschränkung bei der Ahndung von Datenschutzverstößen nicht besteht. Die vorliegende Entscheidung zeigt somit, dass es angezeigt sein kann, sich gegen Bußgeldbescheide zur Wehr zu setzen.