Das heißt laut EuGH, dass die Verhängung eines Bußgeldes immer dann in Frage kommt, wenn sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein musste. Ob er oder sie wusste, dass damit gegen die DSGVO verstoßen wird, ist hingegen unerheblich. Basis für die Entscheidung waren zwei Sachverhalte, einer aus Litauen, der andere aus der Bundesrepublik. Die mit ihnen befassten Gerichte baten den EuGH um Auslegung der DSGVO. In beiden Fällen ging es um die Verhängung von Geldbußen seitens der zuständigen Aufsichtsbehörden gegen Personen, die für die Datenverarbeitung zuständig waren. In Deutschland hatte der Fall für Schlagzeilen gesorgt: Die Berliner Datenschutzbehörde hatte das Immobilienunternehmen Deutsche Wohnen, das mittlerweile zu Vonovia gehört, zu einer Geldbuße von über 14 Millionen Euro verdonnert. Der Grund: Das Unternehmen hatte Daten von Mietern länger als erforderlich gespeichert

Höhe bemisst sich nach dem Gesamtjahresumsatz

Jetzt handelt es sich bei dem Unternehmen Deutsche Wohnen um eine juristische Person. Dazu führt der EuGH aus, dass es nicht darauf ankommt, ob ein Leitungsorgan den Verstoß begangen oder davon Kenntnis hat. Eine juristische Person haftet demnach sowohl für Verstöße, die von ihren Vertretern, Leitungspersonen oder Geschäftsführern begangen werden, als auch für Verstöße, die von jeder sonstigen Person begangen werden, die im Rahmen ihrer unternehmerischen Tätigkeit in ihrem Namen handelt. Eine Geldbuße ist ferner auch dann möglich, wenn Dienstleister Datenverarbeitungsvorgänge durchführen. Bei gemeinsamer Verantwortlichkeit von zwei oder mehr Einrichtungen reicht aus, dass diese an der Entscheidung über Zweck und Mittel der Datenverarbeitung mitgewirkt haben, eine förmliche Vereinbarung ist nicht notwendig. Im Fall der Deutsche Wohnen kommt als die wirksame Verhängung einer Geldbuße in Betracht. Bleibt noch die Frage nach deren Höhe. Da muss sich die Aufsichtsbehörde laut EuGH auf den wettbewerbsrechtlichen Unternehmensbegriff stützen. Das heißt, dass der Höchstbetrag auf Grundlage eines Prozentsatzes des gesamten Jahresumsatzes zu berechnen ist, den das betreffende Unternehmen als Ganzes im vorangegangenen Geschäftsjahr erzielt hat – weltweit. Die EU-Verordnung sieht bei Verstößen gegen die DSGVO bis zu vier Prozent dieses Gesamtjahresumsatzes vor. Im Fall der Deutsche Wohnen wäre insofern sogar eine Geldbuße in Höhe von rund 28 Millionen Euro in Frage gekommen.  

Copyright Bild: IMAGO / Panthermedia