EuGH erklärt DSGVO-Verwaltungsstrafen gegen Unternehmen für zulässig
Article • Bank-, Versicherungs- und Wertpapieraufsichtsrecht
Wann darf gegen ein Unternehmen eine Verwaltungsstrafe verhängt werden? Nach österreichischem Verwaltungsstrafrecht war die Antwort darauf lange einfach – nur dann, wenn auch natürliche Personen einen Verstoß gesetzt haben. Die europäische Datenschutz-Grundverordnung ("DSGVO") sieht demgegenüber vor, dass die jeweils zuständigen nationalen Behörden gegen juristische Personen unmittelbar Geldstrafen verhängen können.
- In der Entscheidung vom 5.12.2023 (C-807/21 -“Deutsche Wohnen”) stellt der Europäische Gerichtshof (“EuGH”) in diesem Zusammenhang nun klar, dass nationale Vorschriften, die für die verwaltungsstrafrechtliche Verantwortlichkeit einer juristischen Person das Fehlverhalten einer zuvor identifizierten natürlichen Person voraussetzen, nicht mit dem Haftungsregime der DSGVO vereinbar sind.
- Im Ausgangsfall drohte einer deutschen Immobiliengesellschaft wegen des datenschutzwidrigen Speicherns von personenbezogenen Daten der Mieterin eine Strafe in Millionenhöhe. Das Verfahren wurde jedoch vom Landesgericht Berlin im Jahr 2021 mit der Begründung eingestellt, dass der Bußgeldbescheid mangels Nachweises eines konkreten Verhaltens der Unternehmensverantwortlichen fehlerhaft war. Gleich wie die Rechtslage in Österreich setzt auch das deutsche Verwaltungsstrafgesetz für die Verbandsverantwortlichkeit ein tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer vorab namentlich genannten natürlichen Person voraus, die der juristischen Person zuzurechnen ist.
- Wie der EuGH jedoch nun klarstellt, hat der Unionsgesetzgeber im Bereich der DSGVO davon abweichende Haftungsvoraussetzungen vorgesehen: Alleinige Voraussetzung für die Haftung nach der DSGVO ist, dass die verantwortliche Person über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet – unabhängig davon, ob es sich dabei um eine natürliche oder eine juristische Person handelt. Dementsprechend dürfen die zuständigen Behörden auch unmittelbar gegen juristische Personen Geldbußen verhängen, sofern diese selbst als für die betreffende Datenverarbeitung “Verantwortliche Personen” zu qualifizieren sind. Das darüber hinausgehende Erfordernis der Zurechnung des Verstoßes einer zuvor identifizierten natürlichen Person berge das Risiko, die Wirksamkeit und abschreckende Wirkung von Geldbußen zu schwächen.
- In Österreich widerspricht die aktuell geltende Rechtslage dem noch (vgl etwa § 30 Abs 1 DSG) – ob der Gesetzgeber hier noch nachzieht, ist derzeit noch unklar.
