EuGH Urteil vom 05.12.2023 - C-807/21

Entscheidungsstichwort (Thema)

Vorlage zur Vorabentscheidung. Schutz personenbezogener Daten. Begriff ‚Verantwortlicher‘. Abhilfebefugnisse der Aufsichtsbehörden. Verhängung von Geldbußen gegen eine juristische Person. Voraussetzungen. Gestaltungsspielraum der Mitgliedstaaten. Erfordernis der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes

Normenkette

EUVO 679/2016; EUVO 679/2016 Art. 4 Nr. 7, Art. 58 Abs. 2, Art. 83

Beteiligte

Deutsche Wohnen

Deutsche Wohnen SE

Staatsanwaltschaft Berlin

Tenor

1.Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 1 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

sind dahin auszulegen, dass

sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.

2.Art. 83 der Verordnung 2016/679

ist dahin auszulegen, dass

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.

Tatbestand

In der Rechtssache C-807/21

betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Kammergericht Berlin (Deutschland) mit Beschluss vom 6. Dezember 2021, beim Gerichtshof eingegangen am 21. Dezember 2021, in dem Verfahren

Deutsche Wohnen SE

gegen

Staatsanwaltschaft Berlin

erlässt

DER GERICHTSHOF (Große Kammer)

unter Mitwirkung des Präsidenten K. Lenaerts, des Vizepräsidenten L. Bay Larsen, der Kammerpräsidenten A. Arabadjiev, C. Lycourgos, E. Regan, T. von Danwitz und Z. Csehi, der Kammerpräsidentin O. Spineanu-Matei, der Richter M. Ilešič und J.-C. Bonichot, der Richterin L. S. Rossi sowie der Richter A. Kumin, N. Jääskinen (Berichterstatter), N. Wahl und M. Gavalec,

Generalanwalt: M. Campos Sánchez-Bordona,

Kanzler: D. Dittert, Referatsleiter,

aufgrund des schriftlichen Verfahrens und auf die mündliche Verhandlung vom 17. Januar 2023,

unter Berücksichtigung der Erklärungen

• –        der Deutsche Wohnen SE, vertreten durch Rechtsanwälte O. Geiss, K. Mertens, N. Venn und T. Wybitul,

• –        der deutschen Regierung, vertreten durch J. Möller und P.-L. Krüger als Bevollmächtigte,

• –        der estnischen Regierung, vertreten durch M. Kriisa als Bevollmächtigte,

• –        der niederländischen Regierung, vertreten durch C. S. Schillemans als Bevollmächtigte,

• –        der norwegischen Regierung, vertreten durch L.-M. Moen Jünge, M. Munthe-Kaas und T. Westhagen Edell als Bevollmächtigte,

• –        des Europäischen Parlaments, vertreten durch G. C. Bartram und P. López-Carceller als Bevollmächtigte,

• –        des Rates der Europäischen Union, vertreten durch J. Bauerschmidt und K. Pleśniak als Bevollmächtigte,

• –        der Europäischen Kommission, vertreten durch A. Bouchagiar, F. Erlbacher, H. Kranenborg und G. Meessen als Bevollmächtigte,

nach Anhörung der Schlussanträge des Generalanwalts in der Sitzung vom 27. April 2023

folgendes

Urteil

Entscheidungsgründe

Rz. 1

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2) (im Folgenden: DSGVO).

Rz. 2

Es ergeht im Rahmen eines Rechtsstreits zwischen der Deutsche Wohnen SE (im Folgenden: DW) und der Staatsanwaltschaft Berlin (Deutschland) über Geldbußen, die gegen DW gemäß Art. 83 DSGVO wegen eines Verstoßes gegen Art. 5 Abs. 1 Buchst. a, c und e, Art. 6 sowie Art. 25 Abs. 1 DSGVO verhängt wurden.

Rechtlicher Rahmen

Unionsrecht

Rz. 3

In den Erwägungsgründen 9, 10, 11, 13, 74, 129 und 150 der DSGVO heißt es:

„(9)      … Unterschiede beim Schutzniveau für die Rechte und Freiheiten von natürlichen Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten in den Mitgliedstaaten, vor allem beim Recht auf Schutz dieser Daten, können den unionsweiten freien Verkehr solcher Daten behindern. Diese Unterschiede im Schutzniveau können daher ein Hemmnis für die unionsweite Ausübung von Wirtschaftstätigkeiten darstellen, den Wettbewerb verzerren und die Behörden an der Erfüllung der ihnen nach dem Unionsrecht obliegenden Pflichten hindern. …

(10)      Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die R...