LG Bonn Datenschutzverstoß Zukunftssicher
Die 9. Kammer für Bußgeldsachen des Landgerichts Bonn (offizielle Pressemitteilung) hat am 11.11.2020 entschieden, dass das Bußgeld, welches der Bundesbeauftragte für den Datenschutz und Informationsfreiheit (BfDI) gegen das Telekommunikationsunternehmen 1&1 aufgrund eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) verhängt hat, dem Grunde nach berechtigt, aber unangemessen hoch sei. Die Kammer hat das Bußgeld von ursprünglich 9,55 Millionen Euro daher auf 900.000 Euro herabgesetzt. Hierbei wurden zahlreiche umstrittene Rechtsfragen entschieden, die auch für weitere Bußgeldverfahren von Bedeutung sind.
Das Urteil (LG Bonn, 29 OWi 1/20 LG) finden Sie in Kürze bei uns im Volltext.
Hier vorab die wichtigsten Punkte der Entscheidung:
LG Bonn: Unmittelbare Haftung des Unternehmens
In der Literatur ist umstritten, ob nach Art. 83 Abs. 4 bis 6 DSGVO das Unternehmen unmittelbar haftet und selbst eine Ordnungswidrigkeit begehen kann oder ob nur natürliche Personen Ordnungswidrigkeiten begehen können und Unternehmen nur dafür – auf der Rechtsfolgenseite als sog. „Nebenbetroffene“ – haften.
Der Unterschied ist durchaus bedeutend:
Nach deutschem Recht haften juristische Personen und Personenvereinigungen nur für Ordnungwidrigkeiten ihrer Organe oder sonstige Leistungspersonen. Für eine Geldbuße gegen die juristische Person oder Personenvereinigungen muss daher die Aufsichtsbehörde – hier der BfDI – ein konkretes Fehlverhalten einer solchen Leitungsperson nachweisen.
Neu im deutschen Recht (!): Nach dem Landgericht Bonn haftet das Unternehmen selbst (unmittelbare Verbandshaftung). Es reicht aus, dass sicher festgestellt ist, dass „das Unternehmen“ einen Datenschutzverstoß begangen hat. Nicht erforderlich ist, dass ermittelt wird, wer konkret gehandelt oder etwas unterlassen hat. Zudem bedarf es keines individuellen Verschuldens der handelnden Person. Es genügt, wenn der Datenschutzverstoß für das Unternehmen vermeidbar war. Faktisch führt dies zu einer enormen Haftungserweiterungen im Unternehmen. Bisher konnte nur eine Haftung nach Bußgeldtatbeständen in Frage kommen, wenn ein Fehlverhalten leitender Personen nachgewiesen werden konnte. Es musste also zu dem vollem Schuldnachweis auch noch die Stellung des Täters die richtige sein. Aus Sicht der Unternehmen war es natürlich genauso verführerisch einen Täter als “Bauernopfer” zu benennen, der gerade zu den unteren Chargen im Unternehmen gehört. Dies funktioniert jetzt bei Verstößen gegen die DSGVO nicht mehr.
LG Bonn: Strafe muss nicht nur zum Täter passen, sondern auch zur Tat
Nach dem Bußgeldkonzept der Datenschutzkonferenz (dazu näher: hier) wird das Bußgeld maßgeblich nach dem Umsatz eines Unternehmens nach Art des strafrechtlichen Tagessatzmodells bemessen. Das hat zur Folge, dass auch bei geringen Datenschutzverstößen erhebliche Geldstrafen verhängt werden. Der BfDI hatte in dem vom Landgericht Bonn entschiedenen Fall einen nur geringen Datenschutzverstoß gesehen, aber dennoch beachtlich 9,55 Millionen Euro verhängt.
Hier blieb das Landgericht Bonn den Maximen des hergebrachten Grundsätzen des deutschen Rechts treu! Das Landgericht Bonn hat dem Bußgeldbemessungskonzept der Datenschutzkonferenz eine klare Absage erteilt. Bei geringen Datenschutzverstößen sei eine maßgeblich am Umsatz eines Unternehmens nicht angezeigt. Die Geldbuße müsse der Tat angemessen sein. Der Umsatz des Unternehmens habe zwar Bedeutung im Hinblick darauf, dass für umsatzstarke Unternehmen nur tendenziell hohe Geldbußen spürbar sein. Im konkreten Fall sei eine Geldbuße von „lediglich“ 900.000 Euro angemessen.
LG Bonn: Es haftet nicht die juristische Person, sondern das Unternehmen
Viele Unternehmen – so auch im Fall 1&1 – werden von vielen verschiedenen Rechtsträgern getragen. Der Konzern 1&1 z.B. gliedert sich in mehr als 10 juristische Personen. Hier stellt sich die Frage, ob nur gegen die „handelnde“ Gesellschaft eine Geldbuße verhängt werden kann oder das Gesamtunternehmen.
Das Landgericht Bonn hat hierzu entschieden, dass bei einem Unternehmen sämtliche juristischen Personen des Unternehmens gesamtschuldnerisch für die einheitliche Unternehmensgeldbuße haften.