Bußgeldrechtliche Verbandshaftung nach der DSGVO

Im Anschluss an die Entscheidung des Europäischen Gerichtshofs (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen) vom 5. Dezember 2023 (wir berichteten) hat das Kammergericht Berlin (KG) das Verfahren fortgesetzt und es mit Beschluss vom 22. Januar 2024 an das Landgericht zurückverwiesen.

Die Entscheidungsgründe lassen aufhorchen: sehr deutlich setzt das KG das Judikat des EuGH um und bestätigt, dass sich ein Bußgeldbescheid gegen ein Unternehmen richten kann, wenn es als Verantwortliche für die Datenverarbeitung zu qualifizieren ist. Unter Bezug auf den EuGH betont es mehrfach, dass ein Verstoß von einer identifizierten natürlichen Person nicht erforderlich sei. Die bereits in der EuGH-Entscheidung angelegte Verbandshaftung wird vom KG voll aufgegriffen. Spärlich sind allerdings vom KG die Ausführungen zum Verschulden. Dieses Erfordernis hatte der EuGH ausdrücklich aufrechterhalten, auch wenn die Anforderungen an dieses bereits vom EuGH deutlich herabgesetzt schienen. Das KG setzt dies fort, indem es betont, dass damit alle Personen, die im Rahmen der unternehmerischen Tätigkeit handeln, in den abstrakten Verantwortungskreis der juristischen Person fallen, und selbst eine normentsprechende Organisation – jedenfalls in aller Regel – nicht zur Exkulpation führe. Dies entspräche dem Effektivitätsgrundsatz des europäischen Rechts (Rn. 14). Den Hinweis auf „die Regel“ konkretisiert das KG dann später etwas, wenn es von „verringerten Exkuplationsmöglichkeiten“ spricht, Rn. 15. Damit bleibt abzuwarten, wie sich die Rechtsprechung zum Verschulden im Rahmen der nunmehr anzunehmenden „entpersonalisierten“ Unternehmenshaftung weiter entwickelt. Das Bußgeldrisiko für Unternehmen dürfte jedoch künftig weiter steigen.