Latham & Watkins verteidigt Mandantin in wegweisendem EuGH-Verfahren um Datenschutzbußgelder

Am 27. April 2023 hat der Generalanwalt am Europäischen Gerichtshof (EuGH) Campos Sánchez-Bordona seine Schlussanträge in einem wichtigen Verfahren gegen eine deutsche Latham-Mandantin gestellt. Der Generalanwalt bestätigte, dass die Datenschutzbehörden keine verschuldensunabhängigen Geldbußen gegen Unternehmen verhängen können. Zwar könnten die Behörden DSGVO-Bußgelder direkt gegen Unternehmen verhängen, dies setze aber den Nachweis eines vorsätzlichen oder fahrlässigen Handelns eines Mitarbeiters voraus. Einen solchen Nachweis hatte die zuständige Behörde gerade nicht erbracht, sondern war von einer vermeintlichen „strict liability“ ausgegangen.

Die deutschen Datenschutzbehörden fordern, dass sie Geldbußen gegen Unternehmen für Vorwürfe möglicher Datenschutzverstöße nach der EU Datenschutz-Grundverordnung (DSGVO) unmittelbar und unabhängig von einem nachgewiesenen Verschulden verhängen dürften. Der Nachweis einer Aufsichtspflichtverletzung oder eines sonstigen vorwerfbaren Verhaltens sei nicht nötig. Das deutsche Gesetz über Ordnungswidrigkeiten (OWiG) fordert dagegen, dass Bußgelder nur dann gegen Unternehmen verhängt werden können, wenn die Behörde ein vorwerfbares Handeln der Unternehmensleitung oder sonstiger gesetzlichen Vertreter nachweist. In der Bußgeldpraxis deutscher Behörden ist beispielsweise eine unzureichende Überwachung durch den Vorstand oder die Geschäftsführung oft ein Anknüpfungspunkt für solche Verfahren.

Das vorliegende Verfahren geht auf einen Bescheid Berliner Datenschutzbehörde aus dem Jahr 2019 zurück. Er wirft wichtige Fragen darüber auf, wie die Vorgaben der DSGVO auf nationaler und internationaler Ebene umgesetzt werden sollten.

„Es ist sehr zu begrüßen, dass der Generalanwalt sich gegen die von den Behörden geforderte verschuldensunabhängige Bußgeldhaftung ausspricht. Im bisherigen Verfahren hatten weder das Landgericht Berlin noch das Kammergericht einen Verstoß oder ein schuldhaftes Handeln eines Mitarbeiters des Unternehmens festgestellt. Die Schlussanträge des Generalanwalts zeigen, dass sich Unternehmen erfolgreich gegen Geldbußen wehren können, die auf der unverhältnismäßigen Auslegung der Vorgaben des europäischen Datenschutzrechts beruhen. Der Generalanwalt folgt den Argumenten aus unserem Plädoyer vor dem EuGH in Bezug auf die Unzulässigkeit einer vermeintlichen "strict liability“, also einer verschuldensunabhängigen Haftung“. Diese Forderung der deutschen Datenschutzbehörden, Unternehmen ohne Feststellung eines vorwerfbaren Handelns sanktionieren zu wollen, verstößt gegen das Schuldprinzip und gegen das Rechtsstaatsprinzip“, so Tim Wybitul, Datenschutzpartner bei Latham & Watkins in Frankfurt.