Landgericht Berlin: Keine autonome Verbandshaftung wegen Datenschutzverstößen (Fall „Deutsche Wohnen")

Bußgelder gegen Unternehmen wegen Verletzungen der Datenschutz-Grundverordnung (DS-GVO) dürfen nur verhängt werden, wenn eine dem betroffenen Unternehmen zurechenbare schuldhafte Handlung eines ihrer Repräsentanten vorliegt. Das hat das Landgericht Berlin entschieden und ein Bußgeldverfahren gegen die Deutsche Wohnen SE eingestellt. Der zugrundeliegende Bußgeldbescheid über 14,55 Millionen Euro hatte keine Anknüpfungstat eines Repräsentanten erwähnt. Ihm attestiert das Landgericht „gravierende Mängel“. 

Einordnung

Dem liegt ein Streit darüber zugrunde, ob nach der DS-GVO eine autonome Verbandssanktionierung möglich ist. Dies hatte das Landgericht Bonn noch vor wenigen Monaten bejaht. Es hatte als erstes deutsches Gericht im Zusammenhang mit einem nach der DS-GVO verhängten Bußgeld das Erfordernis einer zurechenbaren Handlung einer natürlichen Person für ein  Bußgeld abgelehnt und eine unmittelbare Verbandshaftung bejaht (vgl. Update Compliance 3/2021). Demgegenüber vertreten weite Teile der Literatur, dass auch das Sanktionsregime der DS-GVO den Regeln über die Verhängung einer Verbandsgeldbuße nach dem Ordnungswidrigkeitenrecht zu folgen habe, die die Feststellung einer betriebsbezogenen Tat durch eine Leitungsperson des Unternehmens voraussetzt (sog. „Zurechnungsmodell“).

Diesen Streit hat das Landgericht Berlin im ihm vorliegenden Fall nunmehr im Sinne des Zurechnungsmodells entschieden.

Der Beschluss des LG Berlin

Dem Verfahren vor dem LG Berlin lag ein Bußgeldbescheid der Berliner Beauftragte für Datenschutz („BInBDI“) als Aufsichtsbehörde gegen die Deutsche Wohnen zugrunde, der mit verschiedenen vorsätzlichen Datenschutzverstößen im Unternehmen begründet wurde. Diese Vorwürfe wurden in dem Bescheid weder tatsächlich noch rechtlich näher bezeichnet. Insbesondere fehlte die – ermittelbare – Angabe von Tatzeit und Tatort sowie des Organmitglieds, das schuldhaft und dem Unternehmen zurechenbar die Erfüllung der datenschutzrechtlichen Anforderungen unterlassen haben soll.

Vor diesem Hintergrund stellte das LG Berlin im gerichtlichen Einspruchsverfahren fest, dass dieser Bußgeldbescheid nicht die an diesen zu stellenden Anforderungen erfülle. Erforderlich sei, dass auch im Falle einer Geldbuße gegen eine juristische Person im Rahmen des Bußgeldbescheides dargelegt werde, dass eines ihrer –  konkret benannten – Organe eine Ordnungswidrigkeit begangen habe, die dem Unternehmen zuzurechnen sei:

Verbandsgeldbuße gemäß § 30 OWiG (ggf. i.V.m. § 130 OWiG)

Das LG Berlin begründete dies damit, dass eine unmittelbare Verbandsverantwortlichkeit durch das deutsche Odnungswidrigkeitengesetz nicht vorgesehen sei:

Die Verhängung von Geldbußen gegen juristische Personen sei in § 30 OWiG normiert, der über § 41 Abs. 1 des Bundesdatenschutzgesetzes (BDSG) auch auf Verstöße gegen die DS‑GVO Anwendung finde. Nach dem deutschen Sanktionsregime kann nur eine natürliche Person eine Ordnungswidrigkeit vorwerfbar begehen (vgl. allein Szesny, in: Szesny/Kuthe, Kapitalmarkt Compliance, 2. Aufl., Kap. 20 Rn. 158). Einer juristischen Person können lediglich betriebsbezogene Straftaten oder Ordnungswidrigkeiten ihrer Organmitglieder oder Repräsentanten zugerechnet werden. Eine solche betriebsbezogene Ordnungswidrigkeit stellt auch ein Verstoß gegen die Vorschrift des § 130 OWiG dar, der Verstöße gegen die Pflichten von Führungspersonen zur Aufsicht, Auswahl und Überwachung der ihr untergeordneten Mitarbeiter sanktioniert. Damit ist auch im Falle einer  Verfehlung eines Mitarbeiters unterhalb der Führungsebene ein Bußgeld gegen das Unternehmen möglich. In diesen Fällen entspricht es der heute wohl herrschenden Meinung auch in der Rechtsprechung, dass neben der konkreten Tat beispielsweise auch die Person des nach § 130 OWiG Verantwortlichen sowie ihre hierarchische Stellung im Unternehmen im Bußgeldbescheid benannt werden muss.

Vor diesem Hintergrund bestätigte das LG Berlin im Rahmen seines Beschlusses diese Rechtsprechung vollumfänglich und erklärte diese auch auf Verstöße gegen die DS-GVO für anwendbar, indem es in dem Verfahren gegen die Deutsche Wohnen die Feststellung eines vorwerfbaren Datenschutzverstoßes eines Organmitglieds beziehungsweise einer Führungsperson des Unternehmens im Bußgeldbescheid forderte.

Gleichzeitig setzte sich das Gericht damit ausdrücklich in Widerspruch zu einer erst kürzlich ergangenen Entscheidung des LG Bonn:

Abkehr von der Rechtsansicht des LG Bonn

Das LG Bonn hatte erst vor wenigen Wochen im Rahmen eines datenschutzrechtlichen Bußgeldverfahrens – gemäß der Rechtsansicht der Datenschutzaufsichtsberhörden – vertreten, dass Art. 83 DS GVO allein hinreichende Rechtsgrundlage für eine unmittelbare Verbandshaftung juristischer Personen sei. Es sei ausreichend, dass ein Verstoß begangen wurde, nicht, wer und in welcher Funktion. Den Vorschriften der DS GVO komme insoweit ein Anwendungsvorrang gegenüber den nationalen Vorschriften (des OWiG) zu, um ungewünschte Wettbewerbsverzerrungen zu anderen europäischen Jurisdiktionen zu vermeiden. Die Vorschriften des § 41 Abs. 1 BDSG i.V.m. §§ 30, 130 OWiG seien aufgrund des Grundsatzes der praktischen Wirksamkeit (effet utile) so auszulegen, dass ihre Anwendung nicht zu Vollzugsdefiziten führe. Auch sei aus den Erwägungsgründen der DS-GVO erkennbar, dass sich der europäische Verordnungsgesetzgeber bei dem Sanktionsregime der DS-GVO an dem des europäischen Kartellrechts orientiert habe, das eine unmittelbare Verbandshaftung vorsehe. Die juristische Person könne im Falle datenschutzrechtlicher Verstöße gemäß dem unmittelbar anwendbaren Unionsrecht selbst Täter und schuldfähig sein.

Abweichende Begründung des LG Berlin

Dem trat das LG Berlin entgegen: Die DS-GVO sehe zwar die grundsätzliche Möglichkeit von Geldbußen gegen juristische Personen vor, treffe jedoch keine näheren Bestimmungen zu deren strafrechtlichen Verantwortlichkeit beziehungsweise der Zurechenbarkeit von schuldhaften DS-GVO-Verstößen natürlicher Personen. Eine solche Regelung zur Zurechnung sei jedoch erforderlich, da die juristische Person nicht selbst, sondern nur durch ihre Organe und Vertreter handeln könne. Damit sei die Feststellung eines vorwerfbaren Verhaltens einer natürlichen Person die notwendige Grundvoraussetzung für die Begründung einer Verantwortlichkeit des möglicherweise pflichtigen Rechtsträgers. Insoweit seien die Regelungen des OWiG über die Vorschrift des § 41 BDSG heranzuziehen. Dies gelte insbesondere auch für die Vorschriften der §§ 30, 130 OWiG. Eine Einschränkung der Anwendbarkeit dieser Vorschriften sei den hier anwendbaren Vorschriften, insbesondere des BDSG, nicht zu entnehmen.

Dies entspreche im Übrigen auch dem Willen des historischen Gesetzgebers des BDSG, der – sich der Problematik bewusst  – augenscheinlich ebenfalls von der Anwendbarkeit der §§ 30, 130 OWiG ausgegangen sei. Diese eindeutige Entscheidung des deutschen Gesetzgebers finde auch einen guten Grund in den Grenzen der verfassungsmäßigen Ordnung, genau genommen dem Rechtsstaatsprinzip des Art. 20 Abs. 3 GG, Art. 103 Abs. 2 GG, der allgemeinen Handlungsfreiheit sowie der grundgesetzlich verankerten Menschenwürde und dem aus diesen Vorschriften folgenden Schuldprinzip. Die Geltung desselben auch im Ordnungswidrigkeitenrecht sei anerkannt. Auch für schuldhaftes Handeln, Verantwortung und Willensfreiheit sei die Anknüpfung an die Handlung einer natürlichen Person erforderlich. Dieses Konzept (Verantwortlichkeit einer natürlichen Person) werde vom deutschen Gesetzgeber auch in aktuellen Gesetzgebungsverfahren zum Verbandssanktionengesetz (§ 3 VerSanG-E) vorausgesetzt.

Insoweit das LG Bonn zur Begründung seiner Entscheidung auf das Sanktionsregime des europäischen Kartellrechts abstellt, überzeuge dies aufgrund der untschiedlichen Kompetenzen (eropäische anstelle einer deutschen Behörde) ebenfalls nicht. Insbesondere greife das nationale Kartellbußgeldrecht (GWB) ebenfalls auf das Rechtsträgerprinzip, insbesondere §§ 30, 130 OWiG, zurück. Der Hinweis auf Erwägungsgrund 150 der DS-GVO gehe ebenfalls fehl, da dieser allein die Bemessung der Bußgeldhöhe betreffe, und sich nicht auch zu den Voraussetzungen eines Bußgeldes verhalte; im Übrigen stelle ein Rückgriff auf diese Erwägungsgründe einer europäischen Verordnung in diesem Zusammenhang einen Verstoß gegen das Gesetzlichkeitsprinzip dar. Zuletzt ergebe sich die Pflicht zur Übernahme der Verbandsverantwortlichkeit auch nicht aus dem unionsrechtlichen Effektivitätsgebot, da den Mitgliedsstaaten bei der Ausgestaltung des Sanktionsregimes ein Ermessensspielsraum zukomme, der verfassungskonform – und in Deutschland damit unter Beachtung des Schuldgrundsatzes – auszufüllen sei. Auch die Pflicht zur unionskonformen Auslegung finde in den allgemeinen Rechtsgrundsätzen, insbesondere dem Grundsatz der Rechtssicherheit, insoweit ihre Schranken, als dass sie nicht als Grundlage für eine Auslegung des nationalen Rechts contra legem dienen darf. Dies gelte erst Recht auf dem hier betroffenen Gebiet des Straf- und Ordnungswidrigkeitenrechts. Nach der Rechtsprechung könne eine gesetzlich nicht vorgesehene strafrechtliche Verantwortlichkeit auf eine unionsrechtskonforme Auslegung selbst dann nicht gestützt werden, wenn die in Rede stehende nationale Regelung sich andernfalls als unionsrechtswidrig erweisen könnte.

Bewertung

Diese Entscheidung des LG Berlin ist begrüßenswert.  Sie stimmt – im Gegensatz zu der im Rahmen des Update Compliance 3/2021 bereits kritisierten Entscheidung des LG Bonn – mit der Systematik des deutschen Rechts und insbesondere den verfassungsrechtlichen Grundprinzipien überein.

Die Vorschriften der §§ 30, 130 OWiG sind parlamentarisch abgesichert auf alle Bußgeldverstöße in Deutschland anwendbar. Sie stellen – über entsprechende Verweise – die Grundregeln für die insoweit konkretisierenden Vorschriften anderer – auch europäischer – Gesetze, wie des Geldwäschegesetzes, des nationalen Kartellrechts usw., dar. Mangels Rechtsetzungskompetenz des europäischen Verordnungsgebers im Bereich des Strafrechts und der Verwaltungssanktionen sind Abweichungen hiervon, selbst wenn sie sich aus der DS-GVO herauslesen lassen könnten, unzulässig.

In Übereinstimmung mit der Rechtsauffassung des LG Berlin ist auch im Falle datenschutzrechtlicher Verstöße davon auszugehen, dass die Vorschriften der §§ 30, 130 OWiG i.V.m. § 41 BDSG die bußgeldrechtliche Inanspruchnahme ausschließen, soweit dem Vorwurf und Bußgeldbescheid keine für die Verantwortlichkeit der juristischen Person erforderliche schuldhafte Handlung eines ihrer Repräsentanten zugrunde liegt oder zugrundegelegt werden kann. Dieses Erfordernis kann wie gezeigt auch nicht im Wege der Auslegung der Norm oder durch die Annahme einer Verbandsverantwortlichkeit „sui generis“ entfallen, ohne die Wortlautgrenze zu überschreiten und damit einen Verstoß gegen das Analogieverbot des Art. 103 Abs. 2 GG zu begründen.

Praxishinweis

Inzwischen hat einer Pressemitteilung zufolge die Staatsanwaltschaft Berlin Beschwerde gegen den Beschluss des LG Berlin eingelegt, der damit zunächst nicht in Rechtskraft erwächst.

Da Datenschutzverstöße empfindlichst sanktioniert werden können, ist eine rechtliche Klärung des vorliegenden Streits wünschenswert. Die zuständigen Behörden werden Datenschutzverstöße auch zukünftig streng verfolgen, und Unternehmen sind gut beraten, ihrer Datenschutz-Compliance hohe Priorität einzuräumen.

Damit gilt es für Unternehmen nach wie vor, Datenschutzverstöße – von allen Mitarbeitern im Unternehmen – bereits vor ihrer Entstehung zu verhindern: Es müssen belastbare DS-GVO-Strukturen implementiert, Schwachstellen identifiziert und behoben und – sämtliche – Mitarbeiter sensibilisiert, instruiert und geschult werden. Dieses System gilt es zudem in regelmäßigen Abständen auf den Prüfstand zu stellen. Ansonsten drohen auch im Falle geringer Verstöße nicht nur Rufschädigung und erhebliche Bußgelder, sondern auch Schadensersatzansprüche der gegebenenfalls vielfach und in großer Anzahl betroffenen Personen. Dies gilt unabhängig davon, ob die Bußgeldbehörden zukünftig im Rahmen des Bußgeldverfahrens den Umweg über die Feststellung der für den Verstoß verantwortlichen Person und Tathandlung sowie deren Zurechenbarkeit gehen müssen.