Das Bußgeldverfahren gegen die Deutsche Wohnen SE ist erneut Gegenstand einer gerichtlichen Entscheidung. Nachdem die Berliner Datenschutzaufsicht bereits 2019 ein Bußgeld in Höhe von 14,5 Millionen Euro wegen eines rechtswidrigen Archivsystems verhängt hatte, stellte das LG Berlin das Verfahren im Jahr 2021 zunächst ein. Nun hat das LG Berlin I nach erneuter Hauptverhandlung ein Bußgeld in Höhe von 900.000 Euro verhängt. Das Urteil ist noch nicht rechtskräftig.
Ausgangspunkt: Archivsystem und Löschpflichten
Der ursprüngliche Bußgeldbescheid aus dem Jahr 2019 betraf ein Archivsystem, das nach Darstellung der Berliner Datenschutzaufsicht nicht gewährleistete, dass nicht mehr erforderliche personenbezogene Daten von Mieterinnen und Mietern entfernt werden konnten. Daten zu persönlichen und finanziellen Verhältnissen konnten trotz Wegfalls des Erhebungszwecks weiterhin eingesehen werden. Die Aufsichtsbehörde stützte den Bußgeldbescheid insbesondere auf Verstöße gegen Art. 25 Abs. 1 DSGVO und Art. 5 DSGVO.
Im Jahr 2021 stellte das LG Berlin das Verfahren zunächst ein. Das Gericht sah den Bußgeldbescheid wegen gravierender Mängel als unwirksam an. Nach Auffassung der Kammer fehlten insbesondere Angaben zu konkreten Tathandlungen eines Organs des Unternehmens. Eine juristische Person könne nicht ohne entsprechende Zurechnung Betroffene eines Bußgeldverfahrens sein.
Verfahrensgang über Kammergericht und EuGH
Die Einstellung des Verfahrens blieb nicht abschließend. Auf die sofortige Beschwerde der Berliner Beauftragten für Datenschutz und Informationsfreiheit gelangte das Verfahren zum Kammergericht. Dieses legte dem EuGH verschiedene europarechtliche Fragen vor. Nach der Grundsatzentscheidung des EuGH im Dezember 2023 hob das Kammergericht den Einstellungsbeschluss auf und verwies die Sache erneut an das LG Berlin I zurück.
Entscheidung des LG Berlin I
Das LG Berlin I sah es nun als erwiesen an, dass Deutsche Wohnen im Zeitraum vom 25. Mai 2018 bis 5. März 2019 gegen die Grundsätze der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO und der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verstoßen hat.
Es sei dem Unternehmen danach zumutbar und technisch möglich gewesen, sensitive Daten ehemaliger Mieter, darunter Gehaltsbescheinigungen, Kontoauszüge und Personalausweisdokumente, besser zu schützen und rechtzeitig zu löschen. Zudem stellte das Gericht in Einzelfällen vorsätzliche Verstöße gegen Art. 6 Abs. 1 DSGVO fest.
Die Geldbuße fiel mit 900.000 Euro deutlich niedriger aus als ursprünglich von der Aufsichtsbehörde festgesetzt. Das Gericht berücksichtigte unter anderem, dass Deutsche Wohnen externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet hatte, um die IT-Systeme auf die neuen Anforderungen umzustellen. Ebenfalls wurde gewürdigt, dass die Verstöße in der Einführungsphase der DSGVO lagen und auch die Aufsichtsbehörde Schwierigkeiten hatte, den Ist-Zustand gerichtsfest zu dokumentieren.
Fazit
Die Entscheidung verdeutlicht die praktische Bedeutung wirksamer Löschkonzepte. Unternehmen müssen organisatorisch und technisch sicherstellen, dass personenbezogene Daten nach Wegfall des Verarbeitungszwecks nicht weiter vorgehalten oder genutzt werden.
Zugleich zeigt das Verfahren, dass DSGVO-Bußgeldverfahren weiterhin maßgeblich von Fragen der Zurechnung, des Verschuldens, der Nachweisbarkeit und der konkreten Umsetzungssituation geprägt sind. Bis zur Rechtskraft bleibt die weitere Entwicklung abzuwarten.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
