Sanktionen bei Datenschutzverstößen / 2.1.4 Bußgeldvorschriften

Art. 83 DSGVO gibt die Bedingungen für die Verhängung und die maximale Bußgeldhöhe vor. Zusätzlich sind in § 43 Abs. 1 BDSG noch zwei bußgeldbewehrte Tatbestände aufgeführt:

Es haftet, wer fahrlässig oder vorsätzlich

• einen Verstoß gegen das Auskunftsrecht des Betroffenen nach § 30 Abs. 1 BDSG zu vertreten hat oder
• entgegen § 30 Abs. 2 Satz 1 BDSG (Abschluss eines Verbraucherdarlehensvertrags oder eines Vertrags über eine entgeltliche Finanzierungshilfe) einen Verbraucher nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterrichtet.

Der angesprochene § 30 BDSG bezieht sich auf die geschäftsmäßige Datenerhebung zum Zweck der anonymisierten Übermittlung. Dieser Prozess dürfte bei Wohnungsunternehmen nicht relevant sein.

Die Umsetzung in nationales Recht erfolgt in Deutschland in § 41 BDSG.

Gesetz über Ordnungswidrigkeiten (OWiG)

Rechtsgrundlage für die Verhängung von Bußgeldern nach deutschem Recht ist nach § 41 Abs. 1 BDSG das Gesetz über Ordnungswidrigkeiten (OWiG). Geldbußen gegen Unternehmen sind nach § 30 OWiG nur möglich, wenn eine natürliche Person eine Pflichtverletzung begangen hat. Nach einem Beschluss des LG Berlin^[1] kann eine juristische Person nicht mit einem Bußgeld belangt werden, auch nicht nach Art. 83 DSGVO, weil eine Ordnungswidrigkeit nur eine natürliche Person vorwerfbar begehen kann. Der juristischen Person kann lediglich ein Handeln ihrer Organmitglieder oder Repräsentanten (der natürlichen Personen) zugerechnet werden – sie kann deshalb im Bußgeldverfahren nur Nebenbeteiligte sein. Ein Bußgeld kann gegen die juristische Person entweder in einem einheitlichen Verfahren gegen die juristische Person oder in einem selbstständigen Verfahren festgesetzt werden.

Ein einheitliches Verfahren ist gegeben, wenn wegen der Tat eines Organmitglieds oder Repräsentanten, also einer natürlichen Person, gegen diese ein Bußgeldverfahren durchgeführt wird. Voraussetzung für ein selbstständiges Bußgeldverfahren nach § 30 Abs. 4 OWiG ist, dass wegen der Tat des Organmitglieds oder Repräsentanten der juristischen Person ein Verfahren nicht eingeleitet oder ein solches Verfahren eingestellt wird. Allerdings muss, da die juristische Person selbst keine Ordnungswidrigkeit begehen kann, auch in diesem sogenannten selbstständigen Verfahren eine vorwerfbare Ordnungswidrigkeit eines Organmitglieds der juristischen Person von der Aufsichtsbehörde festgestellt werden. Für die Verhängung eines Bußgelds muss deshalb zunächst bei den Unternehmensverantwortlichen (Geschäftsführungsorgan) ein persönliches Verschulden für den Verstoß festgestellt werden. Damit ist dann die Unternehmensleitung direkt Beteiligter bzw. Betroffener im Bußgeldverfahren. Aus § 30 OWiG ergibt sich für juristische Personen, dass dem Geschäftsführungsorgan des Unternehmens eine Ordnungswidrigkeit vorzuwerfen sein muss, um auch gegen das Unternehmen ein Bußgeld erheben zu können. Aus der Konzeption der DSGVO wäre allerdings das Unternehmen als Verantwortlicher mit dem Bußgeld zu belegen.

Das Kammergericht Berlin^[2] hat dem Europäischen Gerichtshof^[3] die Frage vorgelegt, ob Art. 83 DSGVO dahingehend auszulegen sei, dass ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann. Der Ausgang des Verfahrens bleibt abzuwarten.

[1] LG Berlin, Beschluss v. 18.2.2021, 526 OWi LG.

[2] KG Berlin, Beschluss v. 6.12.2021, 3 Ws 250/21.

[3] EuGH, C 807/21 (anhängig).