Aktuell in der CR

Unternehmenshaftung unter der DSGVO nach „Deutsche Wohnen“ – Verschuldenshaftung ohne Zurechnungserfordernis (Grages/Strassemeyer, CR 2024, 10)

Das Urteil des EuGH in der Sache „Deutsche Wohnen“ (Rs. 807/21) vom 5.12.2023 war mit Spannung erwartet worden. Würde das Gericht den von den Behörden propagierten Weg einer verschuldensunabhängigen Gefährdungshaftung („strict liability“) eröffnen oder mit den Unternehmensvertretern die Zurechnungsprinzipien des deutschen Rechts anerkennen? Im Ergebnis hat der EuGH das Verschuldenserfordernis gewahrt und gleichzeitig Zurechnungsanforderungen relativiert. In Bezug auf die konkreten Voraussetzungen des Verschuldens verwies das Gericht auf seine kartellrechtliche Rechtsprechung, die allerdings aus deutscher Perspektive eher vage bleibt. Dieser Beitrag untersucht die praktischen Auswirkungen der Entscheidung.

INHALTSVERZEICHNIS:

I. Das Urteil des EuGH

1. Ausgangssituation

2. Kein Zurechnungserfordernis in Bezug auf die Unternehmensleitung

3. Keine verschuldensunabhängige Haftung

4. Deutung in der Debatte

II. Praktische Umsetzung der Vorgaben

1. Ermessen der Behörde als Korrektiv

2. Verschulden des Verantwortlichen

3. Beweislast als wesentliche Stellschraube

III. Konsequenzen für die Praxis

1. Keine Sanktionierung ohne Verschuldensnachweis

2. Keine Exkulpation ohne Beleg durch Rechenschaftspflicht

Leseprobe:

"I. Das Urteil des EuGH

Der EuGH hatte zwei Vorlagefragen im Zusammenhang mit der Auslegung von Art. 83 Abs. 4 bis 6 DSGVO zu beantworten:¹1) Kann ein Bußgeld gegen eine juristische Person ohne Zuordnung des Fehlverhaltens zu einer natürlichen Person verhängt werden? 2) Kann ein Bußgeld auch ohne Nachweis eines schuldhaft begangenen Verstoßes verhängt werden?

1. Ausgangssituation

Gegenstand des zugrunde liegenden Verfahrens ist der Bußgeldbescheid gegen ein Unternehmen wegen unzureichender Löschroutinen. Die Berliner Datenschutzbehörde verhängte deshalb ein hohes Bußgeld, das Unternehmen legte Einspruch gegen den Bescheid ein. Umstritten war nun, ob eine Zurechnung konkreten Fehlverhaltens zu den natürlichen Personen in der Unternehmensleitung erforderlich ist und inwieweit dabei ein Verschulden nachgewiesen werden muss. Während die Behörde im Grundsatz für eine verschuldensunabhängige Gefährdungshaftung argumentierte, forderte die Verteidigung eine Orientierung an den Vorgaben des OWiG.

Insofern war in der deutschen Debatte unabhängig von diesem Fall umstritten, ob bei der Verhängung von Sanktionen gem. Art. 83 DSGVO das „Rechtsträgerprinzip“ des deutschen Rechts aus § 30 OWiG anzuwenden ist, das die Unternehmenshaftung auf Verstöße der natürlichen Leitungspersonen zurückführt.²Oder ob wegen der europäischen Dimension das „Funktionsträgerprinzip“ Vorrang genießt, das das Unternehmen insgesamt in den Blick nimmt.³§ 41 Abs. 1 Satz 1 BDSG sieht im Grundsatz eine Anwendung des OWiG-Regelungen vor.

In der deutschen Rechtsprechung waren zuletzt beide Ansätze verfolgt worden. Das LG Bonn wendete in der Sache „1&1“ einen …"

Hier direkt weiterlesen im juris PartnerModul IT-Recht

Verlag Dr. Otto Schmidt vom 12.01.2024 11:23

zurück zur vorherigen Seite