Bußgelder gegen Unternehmen wegen Datenschutzverstößen

Das Landgericht Berlin hat ein Verfahren um ein Bußgeld wegen DSGVO-Verstößen gegen die Deutsche Wohnen SE eingestellt – und stellt sich in der Sache gegen ein früheres Urteil des Landgericht Bonn.

Nachdem im November 2020 das Landgericht Bonn ein erstes Urteil (29 OWi 1/20) zu einem Bußgeld wegen eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) gefällt hatte, liegt nun eine zweite Entscheidung des Landgerichts Berlin vor [(526 OWi LG) 212 Js – OWi /20 (1/20)]. Der Beschluss ist nun im Volltext verfügbar.

Beide Entscheidungen drehen sich um das sehr praxisrelevante Problem der Bußgeldverhängung gegen Unternehmen sowie weitere wichtige Fragen wie die nach der Bußgeldbemessung. Beide Beschlüsse beleuchten damit einen Teilausschnitt einer deutlich umfassenderen Problematik, nämlich der Einbettung von Normen des direkt anwendbaren europäischen Sanktionsrechts in das nationale deutsche Straf- und Ordnungswidrigkeitenrecht. Konkret geht es um Art. 83 DSGVO und dessen direkte Anwendbarkeit auf juristische Personen oder Personengesellschaften.

Inwieweit die Handlung einer natürlichen Person einem Unternehmen zugerechnet werden kann, ist dabei nicht der einzige Reibungspunkt. Weitere Friktionen können sich bei der Frage vorsätzlichen oder fahrlässigen Handelns – in Art. 83 DSGVO nur als Bußgeldbemessungskriterium genannt – sowie bei der Verjährung stellen.

Die Entscheidung des LG Berlin

Dem Beschluss des LG Berlin lag ein Bußgeldbescheid der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) wegen vorsätzlicher Verstöße gegen die DSGVO in Höhe von ca. 14,5 Mio. Euro zugrunde. Adressatin des Bußgeldbescheides und alleinige Betroffene im Bußgeldverfahren war eine juristische Person, die Deutsche Wohnen SE.

Das Gericht stellte das Verfahren durch Beschluss aufgrund eines Verfahrenshindernisses ein. Der Bußgeldbescheid leide unter derart gravierenden Mängeln, dass er nicht Grundlage das Verfahrens sein könne. Nach Auffassung des LG Berlin könne die juristische Person als solche nicht Betroffene in einem Bußgeldverfahren sein, auch nicht in einem solchen nach Art. 83 DSGVO. Denn nur eine natürliche Person könne eine Ordnungswidrigkeit vorwerfbar begehen. Der juristischen Person könne lediglich das Handeln der Organmitglieder oder Repräsentanten zugerechnet werden. Es gelte also das Rechtsträgerprinzip. Die Deutsche Wohnen SE könne deshalb im Bußgeldverfahren nur Nebenbeteiligte sein. Zu einem möglichen Anknüpfungstäter und dessen Verschulden enthalte der Bußgeldbescheid aber keine Ausführungen.

Auseinandersetzung mit dem Urteil des LG Bonn

Das LG Berlin setzte sich ausführlich mit der datenschutzrechtlichen Literatur und der Entscheidung des LG Bonn auseinander. Das LG Bonn hatte ein Bußgeld gegen die 1&1 Telecom GmbH zwar deutlich reduziert, aber das Bußgeld grundsätzlich aufrechterhalten und festgestellt, dass § 30 OWiG keine Anwendung fände, da die DSGVO Anwendungsvorrang genösse. So war die Bonner Kammer zu dem Ergebnis gekommen, dass Art. 83 DSGVO allein hinreichende Rechtsgrundlage für die unmittelbare Verbandshaftung juristischer Personen sei. Es bestehe ein Anwendungsvorrang der DSGVO vor nationalen Vorschriften. Denn es könne ansonsten wegen unterschiedlicher Handhabung der Bußgeldnorm zu Wettbewerbsverzerrungen innerhalb der EU kommen.

Dem stellt sich das LG Berlin ausdrücklich entgegen. Zwar sehe die DSGVO vor, dass Bußgelder nach Art. 83 Abs. 4 bis 6 DSGVO auch gegen juristische Personen verhängt werden könnten. Gleichwohl finde nach § 41 BDSG das Ordnungswidrigkeitengesetz (OWiG) Anwendung. Öffnungsklausel innerhalb der DSGVO sei Art. 83 Abs. 8, wonach die Mitgliedsstaaten für die Ausübung der Befugnisse gemäß Art. 83 DSGVO durch die zuständige Aufsichtsbehörde angemessene Verfahrensgarantien einschließlich wirksamer Rechtsbehelfe und ordnungsgemäßer Verfahren vorzusehen hätten. Das habe der deutsche Gesetzgeber im Bundesdatenschutzgesetz (BDSG) getan.

§ 41 Abs. 1 BDSG erkläre das OWiG ausdrücklich für anwendbar und nehme nur einige wenige Vorschriften aus. Die Regelung in § 30 OWiG, die eine Zurechnung des Handelns natürlicher Personen auf juristische Personen oder Personengesellschaften zulasse, freilich nur unter bestimmten Voraussetzungen, seien in § 41 Abs. 1 BDSG gerade nicht ausgeschlossen.

Zwar sehe § 41 Abs. 1 BDSG nur die sinngemäße Anwendung des OWiG vor. Aber auch die historische Auslegung führe zu einer Anwendbarkeit von § 30 OWiG, da im Erstentwurf von § 41 Abs. 1 BDSG die Anwendbarkeit von § 30 OWiG noch ausdrücklich ausgeschlossen war. Die Anwendung von § 30 OWiG entspreche auch dem verfassungsrechtlich garantierten Schuldprinzip.

Auch sei der Vergleich mit dem europäischen Kartellrecht nicht geeignet, eine unmittelbare Verbandsverantwortlichkeit zu begründen. Lediglich das unmittelbar angewandte europäische Kartellrecht folge dem Funktionsträgerprinzip. Für das deutsche Kartellsanktionsrecht habe sich der nationale Gesetzgeber für das Rechtsträgerprinzip und damit die Anwendung von § 30 OWiG entschieden. Dies sei auch für das europäische Datenschutzrecht notwendig. Denn anders als das europäische Kartellrecht werde die DSGVO auch durch nationale Aufsichtsbehörden ausgeführt.

Rechtliche Einordnung

Die Entscheidungen des LG Bonn und des LG Berlin stehen in der Tradition zunehmender Europäisierung des nationalen Straf- und Ordnungswidrigkeitenrechtes. Ging es hier zunächst um die Harmonisierung nationaler Gesetzte durch europäisches Recht, ist seit dem Vertrag von Lissabon sogar die Kompetenz zur originären Strafrechtsetzung jedenfalls zum Schutz der finanziellen Interessen der Union (Art. 325 Abs. 4 AEUV) angedeutet. Die Schaffung eines eigenen Bußgeldtatbestandes in Art. 83 DSGVO ist nur eine weitere Stufe dieser Entwicklung. Denn erstmals gibt es hiermit eine Sanktionsnorm im unmittelbar anwendbaren Sekundärrecht. Die Haftungssystematik unterscheidet sich damit grundlegend von bisherigen sekundärrechtlichen Verbotsnormen, die von nationalen Straf- oder Bußgeldnormen flankiert werden, bspw. Art. 67 der REACH-VO (Verordnung (EG) 1907/2006) oder Art. 15 der Marktmissbrauchsverordnung (Verordnung (EU) 596/2014). Das eigentliche Verbot bestimmter Handlungen ist jeweils auf europäischer Ebene geregelt, die jeweiligen Bußgeldtatbestände finden sich aber in nationalen Blankettnormen (§§ 6 Abs. 2 ChemSanktionsVO, 26 Abs. 1 Nr. 11 ChemG bzw. § 120 Abs. 15 Nr. 2WpHG) und reihen sich so ganz selbstverständlich in nationale Normenhierarchie und Verfahrensgefüge ein.

Für eine unmittelbare Bußgeldhaftung aus dem EU-Sekundärrecht ist aber bereits die Ermächtigung fraglich. Zwar sieht Artikel 16 Abs. 2 AEUV vor, dass Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten erlassen werden dürfen. Von Geldbußen ist dort aber keine Rede.

Den Schulterschluss zum Kartellrecht sucht die DSGVO in Erwägungsgrund 150 selbst herzustellen. Das ist es dann aber auch mit der Vergleichbarkeit zum europäischen Kartellrecht – und das ist ein wesentlicher Erkenntnisgewinn der Entscheidung des LG Berlin gegenüber der des LG Bonn.

Art. 103 Abs. 1 AEUV enthält die Ermächtigung zum Erlass zweckdienlicher Verordnungen oder Richtlinien zur Verwirklichung des Verbots wettbewerbsbeschränkender Vereinbarungen. Art. 103 Abs. 2 lit. a AEUV sieht zu diesem Zweck ausdrücklich Geldbußen vor. Die aufgrund dieser Vorschrift in Art. 23 der Kartellverfahrensverordnung (Verordnung (EG) 1/2003) festgelegten Geldbußen werden im Gegensatz zu solchen nach Art. 83 DSGVO nur gegen Unternehmen verhängt. Art. 23 der Kartellverfahrensverordnung hat insoweit weniger den Charakter einer Sanktion im herkömmlichen Sinne als die Bußgeldtatbestände der DSGVO.

Das Verfahren zur Bußgeldverhängung nach Art. 83 muss nationalen Regelungen unterliegen. Das erkennt auch der deutsche Gesetzgeber. § 41 BDSG ist diesbezüglich eindeutig, indem er – bis auf wenige Ausnahmen – die Regelungen des OWiG und mittelbar der StPO für anwendbar erklärt. § 30 OWiG ist hiervon ausdrücklich nicht ausgenommen. Eine derart weitgehende Anwendung des deutschen Verfahrensrechts widerspricht auch dem europäischen Recht nicht. Art. 83 Abs. 8 DSGVO sieht schließlich ausdrücklich vor, dass die Verfahrensgarantien nach dem Recht der Mitgliedstaaten einzuhalten sind.

Auch ohne diese Klarstellung wäre Art. 83 DSGVO uneingeschränkt an den nationalen Verfahrensgrundsätzen – insbesondere auch an Art. 103 Abs. 2 GG – zu messen. Denn auch im Ordnungswidrigkeitenrecht gilt der strenge Bestimmtheitsgrundsatz, sodass, solange § 41 BDSG die Anwendung von § 30 OWiG nicht ausdrücklich ausschließt, diese Vorschrift anzuwenden ist.

Etwas anderes widerspräche auch fundamental dem Schuldprinzip. Denn Sanktionierbarkeit, also Kriminal- wie Ordnungswidrigkeitenunrecht, setzt schuldhaftes Handeln voraus. Zwar kann der Notwendigkeit einer strengen Geltung des Schuldprinzips im Ordnungswidrigkeitenrecht entgegengehalten werden, dass durch dessen Nichtanwendung entstehende Härten über das Opportunitätsprinzip abgemildert werden können. Das wird in der Praxis aber kaum Wirksamkeit entfalten. Bußgelder, die auf Grundlage von Art. 83 DSGVO verhängt werden, sind schließlich empfindlich, sie sollen schlicht abschreckend wirken, wie Art. 83 Abs. 1 DSGVO selbst formuliert. Sobald die Bußgelder aber spezial- wie generalpräventiv wirken sollen, setzen sie voraus, dass der Normunterworfene sein Handeln am Normappell ausrichten kann. Dies setzt zurechenbare schuldhafte Begehung voraus. Schlicht dadurch wird der Anwendungsbereich auf natürliche Personen beschränkt. Juristische Personen und Personengesellschaften können nicht per se schuldhaft handeln, ihnen kann schuldhaftes Handeln Dritter lediglich zugerechnet werden. Als hohes Verfassungsrechtsgut ist das Schuldprinzip auch prinzipiell integrationsfest.

Im Übrigen überzeugt der Einwand der BlnBDI nicht, die notwendige Feststellung eines Individualverantwortlichen gefährde die Effektivität der Verfahren erheblich. Dieser Einwand ist nichtssagend; er kann bei Lichte betrachtet gegen alle rechtsstaatlichen Verfahrensprinzipien erhoben werden. Er darf diese deshalb nicht von der Anwendbarkeit ausschließen, sondern ist mit ihnen in Ausgleich zu bringen. Zudem lehrt die praktische Erfahrung, dass auch in Bußgeldverfahren nach nationalem Recht, also unter zwingender Anwendung von § 30 OWiG, die Zurechnung nicht allzu große praktische Schwierigkeiten bereitet, steht hier doch regelmäßig eine „Verlängerung“ der Zurechnung nach § 130 OWiG zur Verfügung. Die Effektivität der Verfolgung leidet hierunter nicht, selbst wenn Bußgelder nicht einvernehmlich zwischen Betroffenem, Nebenbeteiligtem und Behörde bzw. Staatsanwaltschaft vereinbart werden.

Ausblick

Die Entscheidungen der Landgerichte Bonn und Berlin dürften Auftakt zu einer Vielzahl weiterer Verfahren sein, die Fragen der Zurechenbarkeit und Bußgeldverhängung gegen juristische Personen zum Gegenstand haben werden. Denn die Datenschutzbehörden zeigen zunehmende Verfolgungswilligkeit. Und die Höhe der bislang verhängten Bußgelder dürfte auch für viele Betroffene motivierend genug wirken, die gerichtliche Überprüfung im Einspruchsverfahren zu suchen.

Der Beschluss des LG Berlin ist nicht rechtskräftig. Wie aus einer Pressemitteilung der BlnBDI hervorgeht, hat die Staatsanwaltschaft gegen die Entscheidung Rechtsbeschwerde eingelegt, sodass das Kammergericht zur Entscheidung berufen ist. Klarheit wird indes nur eine Vorlage zum EuGH bringen. Es bleibt zu hoffen, dass das Kammergericht sich zu einer solchen Vorlage durchringen wird.