Prof. Dr. Michael Nietsch und Daniel Osmanovic, LL.M., RA

Zurechnung von DSGVO-Verstößen im Unternehmensbereich

Der Unternehmensbegriff der DSGVO bestimmt seit einiger Zeit die Diskussion über die Zurechnung von Datenschutzverstößen bei juristischen Personen. Angesprochen ist damit zum einen die Frage der Anwendung des § 30 OWiG, zum anderen das Konzept der wirtschaftlichen Einheit bei der Bestimmung des Bußgeldadressaten. Im Zentrum beider Fragen steht, ob der Unternehmensbegriff im Datenschutzrecht kartellrechtlich verstanden werden muss oder nicht. Jüngst haben sich erstmals zwei Instanzgerichte mit der Problematik beschäftigt und sind dabei zu widerstreitenden Ergebnissen gelangt. Der Beitrag vollzieht die Entwicklung nach und zeigt auf, welche Zurechnungskonzepte auf Ebene der Einzelgesellschaft und im Konzern Anwendung finden können.

I. Datenschutzrechtliche Sanktionsrisiken und Zurechnung als Fragestellung

Nicht von ungefähr sieht eine zunehmend größere Zahl von Unternehmen Verstöße gegen Datenschutzbestimmungen als größtes Compliance-Risiko an. Grund hierfür ist neben den zahlreichen Unschärfen auf Seiten der Pflichtenlage der nach Art. 83 DSGVO drohende Bußgeldrahmen. Dieser sieht nach Absatz 4 der Vorschrift einen Betrag von bis zu 10 000 000 Euro vor oder “im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs (vor), je nachdem, welcher der Beträge höher ist”. Nach Art. 83 Abs. 5 DSGVO sind es sogar 4 % des Jahresumsatzes. Gesetzlich nicht ausdrücklich geregelt ist dabei, ob die Sanktionierung des Verstoßes in Deutschland einer Zurechnung nach § 30 Abs. 1 OWiG bedarf oder gem. der Verfolgungspraxis der EU-Kommission bei Kartellverstößen die “Feststellung der Rechtsverletzung als solche”, d. h. unabhängig von einem nach dieser Vorschrift handelnden Repräsentanten, genügt. Ebenso bleibt offen, ob die Geldbuße nur gegen den hiervon betroffenen Rechtsträger oder auch im Konzern, z. B. gegen die Muttergesellschaft oder Schwestergesellschaften, verhängt werden darf. Angesprochen ist mit beidem das aus Art. 101, 102 AEUV abgeleitete Prinzip der “wirtschaftlichen Einheit”, dessen Äquivalent im Datenschutzrecht vor allem unter dem Begriff des “Funktionsträgerprinzips” diskutiert wird.