Kategorie: EuGH-Urteil
15. Mai 2023
Der langjährige Rechtsstreit um eine Geldstrafe gegen die Deutsche Wohnen SE, die von der Berliner Aufsichtsbehörde (BlnBDI) verhängt wurde, steht erneut im Fokus des Datenschutzrechts. Nachdem das Kammergericht Berlin (KG) vorläufig den Europäischen Gerichtshof (EuGH) angerufen hatte und die Parteien in einer mündlichen Verhandlung vor dem EuGH angehört wurden, äußerte sich Ende April auch Generalstaatsanwalt Campos Sánchez-Bordona zu dem Fall. In seinen Schlussanträgen bestätigte der Generalanwalt zwar, dass Bußgelder gemäß der Datenschutz-Grundverordnung (DSGVO) grundsätzlich direkt gegen Unternehmen verhängt werden können, lehnte jedoch die Frage ab, ob diese auch unabhängig von einem Verschulden erlassen werden können. Damit wurde der Forderung nach einer Haftung ohne Verschulden, auch bekannt als “strict liability”, eine Absage erteilt. Eine endgültige Entscheidung des EuGH zur Klärung dieser Fragen steht noch aus und wird mit Spannung in naher Zukunft erwartet.
Rechtlicher Hintergrund
Im Oktober 2019 verhängte die Berliner Aufsichtsbehörde gegen den Immobilienkonzern Deutsche Wohnen SE eine Geldstrafe in Höhe von 14,5 Millionen Euro aufgrund von Datenschutzverstößen gegen die DSGVO. Der Vorwurf der BlnBDI lautete, dass der Immobilienkonzern personenbezogene Mieterdaten unrechtmäßig lange aufbewahrt und keine angemessenen Maßnahmen zur Löschung ergriffen hatte.
Im Rahmen eines Einspruchsverfahrens erklärte das zuständige Berliner Landgericht den Bescheid zugunsten der Deutschen Wohnen SE für ungültig. Das Gericht war der Ansicht, dass nach deutschem Ordnungswidrigkeitenrecht juristische Personen nur dann direkt sanktioniert werden können, wenn den Unternehmensverantwortlichen ein konkretes Fehlverhalten nach dem gesetzlichen “Rechtsträgerprinzip” gemäß § 30 OWiG nachgewiesen werden kann. Da ein solches Fehlverhalten seitens der Aufsichtsbehörde nicht nachgewiesen werden konnte, hob das Gericht den Bescheid auf. Die zuständige BlnBDI und die Staatsanwaltschaft legten gemeinsam Beschwerde beim Kammergericht Berlin gegen die Einstellung des Verfahrens ein. Die Kammer setzte das Verfahren vorerst aus und legte dem Europäischen Gerichtshof (EuGH) zwei Fragen zur Vorabentscheidung vor.
Vorabentscheidungsverfahren beim EuGH
Im Gegensatz zum erstinstanzlichen Landgericht Berlin hat sich das Kammergericht Berlin an den Europäischen Gerichtshof gewandt und ein Vorabentscheidungsersuchen gestellt, um zwei zentrale Fragen zur Auslegung von Art. 83 Abs. 4-6 DSGVO zu klären. Das Kammergericht Berlin wollte vom EuGH im Wesentlichen wissen:
Ob Geldbußen gemäß der DSGVO direkt gegen rechtswidrig handelnde Unternehmen verhängt werden können.
Ob ein Unternehmen den Verstoß, der von einem Mitarbeiter begangen wurde, schuldhaft begangen haben muss oder ob für eine Bestrafung bereits eine objektive Pflichtverletzung ausreicht (sogenannte “strict liability”).
Unternehmen als Adressaten von Sanktionen?
Nach Ansicht des Generalanwalts können Unternehmen direkte Adressaten von Geldbußen sein. Dies sei nicht nur in mehreren Bestimmungen der DSGVO vorgesehen, sondern nach Aussage des Generalanwalts auch ein Schlüsselmechanismus zur Gewährleistung der Wirksamkeit der DSGVO. Der Generalanwalt argumentierte, dass dies aus dem Wortlaut einzelner Normen der DSGVO hervorgehe. Insbesondere Artikel 4, 58 und 83 der DSGVO lassen darauf schließen, dass Sanktionen, insbesondere Geldbußen, direkt gegen juristische Personen verhängt werden können. Die Frage, ob das deutsche Ordnungswidrigkeitengesetz, insbesondere § 30 OWiG, die Anforderungen der DSGVO in dieser Hinsicht ausreichend berücksichtigt, wurde vom Generalanwalt nicht abschließend beantwortet. Er verwies auf das Landgericht Berlin, das diese Frage noch ausreichend klären müsse.
Sanktionen und schuldhaftes Handeln
Dies ist nur der Fall, wenn der Sanktionierung vorsätzliches oder fahrlässiges Handeln eines Mitarbeitenden des Unternehmens vorausgegangen ist. Ein rechtswidriges Verhalten eines einzelnen Beschäftigten genügt bereits, um gegen das Unternehmen eine entsprechende Geldbuße zu verhängen. Der Generalanwalt ist der Ansicht, dass ein konkreter Nachweis einer Aufsichtspflichtverletzung erforderlich ist, damit das schuldhafte Handeln eines Mitarbeitenden, der nicht zur Führungsriege gehört, den Leitungsorganen zugerechnet und somit sanktioniert werden kann.
Der Generalanwalt erklärt dies wie folgt:
“Es handelt sich schließlich um natürliche Personen, die zwar nicht selbst Vertreter einer juristischen Person sind, aber unter der Aufsicht derjenigen handeln, die Vertreter der juristischen Person sind und die eine unzureichende Überwachung oder Kontrolle über die zuerst genannten Personen ausgeübt haben. Letzten Endes führt die Zurechenbarkeit zu der juristischen Person selbst, soweit der Verstoß des Mitarbeiters, der unter der Aufsicht ihrer Leitungsorgane handelt, auf einen Mangel des Kontroll- und Überwachungssystems zurückgeht, für den die Leitungsorgane unmittelbar verantwortlich sind.”
Damit beantwortet der Generalanwalt auch die Frage, ob bereits eine objektive Pflichtverletzung ausreicht, um eine Geldbuße zu verhängen. Diese Frage verneint der Generalanwalt und erklärt, dass Aufsichtsbehörden keine verschuldensunabhängigen Geldbußen gegen Unternehmen verhängen können, da einer Geldbuße stets ein zuzurechnendes Verschulden vorausgehen muss. Dies bedeutet, dass Aufsichtsbehörden zumindest im Rahmen des Bußgeldverfahrens ein Verschulden feststellen müssen.
Der Generalanwalt führt dazu aus:
“Was die in der DSGVO vorgesehenen Verpflichtungen betrifft, einschließlich derjenigen, von denen die Verarbeitung von Daten (Artikel 5 DSGVO) und deren Rechtmäßigkeit (Artikel 6 DSGVO) abhängt, erfordert die Beurteilung, ob diese Verpflichtungen erfüllt wurden, einen komplexen Bewertungs- und Beurteilungsprozess, der über die bloße Feststellung eines formalen Verstoßes hinausgeht.”
Falls die Richter dem Votum des Generalanwalts folgen, würde dies bedeuten, dass Bußgelder zukünftig nicht mehr nach dem Prinzip der “strict liability” verschuldensunabhängig verhängt werden können. Die Richter sind zwar nicht an die Empfehlungen des Generalanwalts gebunden, folgen seiner Rechtsauffassung aber in der Regel. Der Zeitpunkt für eine Entscheidung ist derzeit noch nicht bekannt.
Aussage der Berliner Aufsichtsbehörde
Zwischenzeitlich äußerte sich auch die neue Datenschutz- und Informationsfreiheitsbeauftragte Meike Kamp auf ihrem eigenen Mastodon-Account und unterstützte die Ansichten des Generalanwalts. Aus ihren Aussagen geht hervor, dass ein Urteil, das die Schlussanträge des Generalanwalts aufgreift, in Deutschland endlich einheitliche Standards für die Verhängung von Sanktionen bei rechtswidrigem Verhalten schaffen würde, wie es in der übrigen EU bereits der Fall ist. Dies würde dem Ziel einer einheitlichen Durchsetzung des europäischen Rechts gerecht werden und die Bußgeldverfahren der deutschen Aufsichtsbehörden erheblich vereinfachen.
Fazit
Bereits jetzt zeichnet sich ab, obwohl das Urteil des EuGH noch aussteht, dass dies erhebliche Auswirkungen auf die Praxis der Bußgeldverhängung durch deutsche Aufsichtsbehörden haben wird. Die Schlussanträge des Generalanwalts geben eine erste Richtung vor, wie die Richter am EuGH in naher Zukunft entscheiden könnten, und erhöhen bereits jetzt die Spannung, insbesondere in der Datenschutzberatung.
Wenn die Richter des EuGH tatsächlich den Schlussanträgen des Generalanwalts in ihrem Urteil folgen, hätte dies nicht nur erhebliche Auswirkungen auf zukünftige Bußgeldverfahren, sondern auch unmittelbar auf Unternehmen. Obwohl den deutschen Aufsichtsbehörden die Möglichkeit genommen würde, Bußgelder verschuldensunabhängig zu verhängen, dürfte dies in der Praxis nur begrenzt Erleichterung bringen, da zumindest das Vorliegen fahrlässigen Verschuldens seitens der Beschäftigten in den meisten Fällen vermutet werden kann. Der einzige tatsächliche Unterschied besteht darin, dass die Aufsichtsbehörden im Rahmen des Verfahrens zur Überprüfung des Verschuldens einen zusätzlichen Aufwand betreiben müssten.
8. Mai 2023
Vergangene Woche traf der Gerichtshof der Europäischen Union (EuGH) mehrere Entscheidungen im Rahmen eines Vorabentscheidungsverfahrens, die die Auslegung der Datenschutz-Grundverordnung (DSGVO) betrafen (Urteil immaterieller Schadensersatz bei DSGVO-Verstößen- wir berichteten -).
Unter anderem entschied der EuGH (Rs. Az. C-60/22) über die Frage, ob ein unrechtmäßige Datenverarbeitung iSd Art. 17 Abs. 1 lit. d und Art. 18 Abs. 1 lit. b DSGVO vorliege, soweit ein Verantwortlicher seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nicht nachkomme. Dabei sei der Rechenschaftspflicht unzureichend nachgekommen worden, aufgrund einer fehlenden Vereinbarung über die gemeinsame Verantwortlichkeit (Art. 26 DSGVO) und einem unvollständigen Verzeichnis für Verarbeitungstätigkeiten (Art. 30 DSGVO).
Die Hintergründe
Dem Ausgangsverfahren lag der Antrag des Klägers auf internationalen Schutz beim zuständigen Bundesamt zu Grunde. Seine Entscheidung traf das Bundesamt unter Verwendung einer elektronischen Akten. Anschließend klagte der Betroffene vor dem Verwaltungsgericht gegen die Ablehnung auf internationalen Schutz. Im Rahmen des Prozesse übermittelte das Bundesamt dem Verwaltungsgericht die elektronische Akte des betroffenen Klägers, sodass Bundesamt und Verwaltungsgericht gemeinsam verantwortlich nach Art. 26 DSGVO waren. Aus Sicht des Klägers verstieß das Verwaltungsgericht gegen seine Rechenschaftspflicht aus der DSGVO, indem es weder einen Vertrag über die gemeinsame Verantwortlichkeit vorlegen konnte noch die Übermittlung in das Verzeichnis für Verarbeitungstätigkeiten aufgenommen hatte.
Keine unrechtmäßige Verarbeitung
Der EuGH äußerte sich dazu, ob die fehlende Vereinbarung über eine gemeinsame Verantwortlichkeit und das lückenhaft Verzeichnis für Verarbeitungstätigkeiten eine unrechtmäßige Verarbeitung iSd DSGVO sei. Danach richte sich, ob die betroffene Person ein Recht auf Löschung der verarbeiteten personenbezogenen Daten nach Art. 17 Abs. 1 lit. d und ein Recht auf Einschränkung der Verarbeitung nach Art. 18 Abs. 1 lit. b DSGVO habe.
Dazu führte der Gerichtshof erstens aus, dass ein Verantwortlicher nach Art. 5 Abs. 1 und 2 DSGVO sicherstellen müsse, dass die Datenverarbeitung rechtmäßig sei. Die Rechtmäßigkeit der Datenverarbeitung regele die DSGVO nach Art. 6. Demnach müsse eine der nach Abs. 1 lit. a bis f DSGVO alternativ aufgeführten Bedingungen erfüllt sein. Die nach Art. 26 und 30 DSGVO vorgesehenen Pflichten seien aber „(…) nicht zu den in nach Art. 6 Abs. 1 Unterabs. 1 genannten Gründen für die Rechtmäßigkeit der Verarbeitung [zu] zählen.“ (EuGH, Urteil vom 4.5.2023, C-60/22 Rn. 59) Die Pflichten nach Art. 26 und 30 DSGVO seien nicht dafür gedacht die Anforderungen an eine rechtmäßige Verarbeitung iSd nach Art. 6 Abs. 1 DSGVO genauer zu bestimmen.
Zweitens führte das Gerichts aus, dass die Rechtmäßigkeit zu den Grundsätzen der Datenverarbeitung zähle. Stattdessen seien die Vereinbarung über die gemeinsame Verantwortlichkeit und das Verzeichnis über Verarbeitungstätigkeiten allgemeine Pflichten des Verantwortlichen.
Außerdem führte der Gerichtshof drittens aus, dass bei einem Verstoß gegen Art. 26 und 30 DSGVO noch keine Verletzung des Grundrechts auf den Schutz personenbezogener Daten vorliege.
Fazit
Abschließend stellte der Gerichtshof fest, dass der Verstoß gegen Art. 26 und 30 DSGVO keine unrechtmäßige Verarbeitung nach Art. 17 Abs. I lit. d und Art. 18 Abs. 1 lit. b DSGVO sei. Da das Urteil erst vor kurzem erschienen ist, bleiben Reaktionen der Aufsichtsbehörden noch abzuwarten.
4. Mai 2023
Der Europäische Gerichtshof (EuGH) urteilte am 04.05.2023 über eine wichtige Grundsatzfrage zum Schadensersatzanspruch (Rechtssache C-300/21). Dabei ging es insbesondere um die Frage, unter welchen Umständen es bei Verstößen gegen den Datenschutz zu Schadensersatzforderungen kommen kann.
Vorgeschichte
Im Jahr 2017 hatte die Österreichische Post begonnen, Informationen über die politischen Präferenzen der österreichischen Bevölkerung zu sammeln. Mithilfe eines Algorithmus wurden aus verschiedenen sozialen und demografischen Merkmalen “Zielgruppenadressen” definiert, die dann an verschiedene Organisationen verkauft wurden, um ihnen gezielte Werbung zu ermöglichen. Dabei wurden Kundendaten wie Name, Geschlecht und Alter mit verschiedenen Wahl-Statistiken kombiniert, um herauszufinden, welcher politischen Partei ihre Kunden nahestanden. Mehr als zwei Millionen Österreicher waren von diesem Vorfall betroffen.
Der Kläger, der nicht der Verarbeitung seiner personenbezogenen Daten zugestimmt hatte, fühlte sich beleidigt, als die Österreichische Post aufgrund ihrer Datenverarbeitung eine hohe Affinität zu einer bestimmten politischen Partei bei ihm feststellte. Er reichte Klage gegen die Österreichische Post ein, um die Verarbeitung seiner Daten zu stoppen und eine Entschädigung für den immateriellen Schaden zu erhalten, den er erlitten hatte. Das Landesgericht für Zivilrechtssachen Wien gab ihm in Bezug auf die Verarbeitung seiner Daten Recht, lehnte jedoch sein Schadenersatzbegehren ab.
Das Oberlandesgericht Wien bestätigte das erstinstanzliche Urteil und verwies auf die Vorschriften der DSGVO in Bezug auf die zivilrechtliche Haftung. Es stellte fest, dass ein Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten nicht automatisch zu einem immateriellen Schaden führe und nur dann einen Schadenersatzanspruch begründete, wenn ein solcher Schaden eine “Erheblichkeitsschwelle” erreiche. In diesem Fall sah das Gericht keine Erheblichkeitsschwelle überschritten.
Vorlage an den EuGH
Der Oberste Gerichtshof Österreichs bestätigte die Entscheidung des Landesgerichts in Bezug auf die Unterlassungsverpflichtung der Österreichischen Post, gab jedoch dem Schadenersatzbegehren des Klägers vorerst nicht statt. Das Verfahren wurde ausgesetzt und der Gerichtshof bat nun den EuGH um Klärung der folgenden Fragen:
- Erfordert der Zuspruch von Schadenersatz nach Art. 82 DSGVO neben einer Verletzung von Bestimmungen der DSGVO auch, dass der Kläger einen Schaden erlitten hat oder reicht bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz aus?
- Bestehen für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts?
- Ist die Auffassung mit dem Unionsrecht vereinbar, dass Voraussetzung für den Zuspruch immateriellen Schadens ist, dass eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegt, die über den durch die Rechtsverletzung hervorgerufenen Ärger hinausgeht?
Schadenersatzanspruch setzt Verstoß, Schaden und Kausalzusammenhang voraus
Der EuGH stellte klar, dass die Begriffe der DSGVO für die Anwendung der Verordnung als autonome Begriffe des Unionsrechts anzusehen seien, die in allen Mitgliedstaaten einheitlich auszulegen sind. Der Wortlaut von Art. 82 Abs. 1 DSGVO zeige, dass das Vorliegen eines Schadens eine der Voraussetzungen für den Schadenersatzanspruch sei, zusammen mit einem Verstoß gegen die DSGVO und einem Kausalzusammenhang zwischen dem Schaden und dem Verstoß. Eine Auslegung, dass jeder Verstoß gegen die DSGVO automatisch den Schadenersatzanspruch eröffnet, würde dem Wortlaut von Art. 82 Abs. 1 DSGVO widersprechen. Dies werde auch durch den Zusammenhang bestätigt, in den sich diese Bestimmung einfüge, sowie durch die Erläuterungen in den Erwägungsgründen 75, 85 und 146 der DSGVO.
Modalitäten müssen Äquivalenz- und Effektivitätsgrundsatz entsprechen
Das Urteil kommt zu dem Ergebnis, dass es mangels einschlägiger Unionsregeln nach dem Grundsatz der Verfahrensautonomie Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats sei, die verfahrensrechtlichen Modalitäten der Rechtsbehelfe, die zum Schutz der Rechte der Bürger bestimmt sind, festzulegen. Dies setze allerdings voraus, dass diese Modalitäten bei unter das Unionsrecht fallenden Sachverhalten nicht ungünstiger sind als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz). Darüber hinaus dürften sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz). Es sei somit Sache des vorlegenden Gerichts, festzustellen, ob die im österreichischen Recht vorgesehenen Modalitäten für die gerichtliche Festsetzung des Schadenersatzes, der aufgrund des in Art. 82 DSGVO verankerten Schadenersatzanspruchs geschuldet werde, die Ausübung der durch das Unionsrecht und insbesondere durch diese Verordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren. Im Übrigen sei eine auf Artikel DSGVO gestützte finanzielle Entschädigung als „vollständig und wirksam“ anzusehen, wenn sie es ermögliche, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen.
Keine Erheblichkeitsschwelle für immaterielle Schäden
Das Gericht bejaht die Frage, ob nationale Regelungen oder Praktiken, die den Ersatz eines immateriellen Schadens von einer bestimmten Erheblichkeit abhängig machen, mit Art. 82 Abs. 1 DSGVO unvereinbar sind. Die DSGVO definiere den Begriff “Schaden” nicht und lege keine Erheblichkeitsschwelle fest. Die Definition des Begriffs “Schaden” sollte den Zielen der DSGVO in vollem Umfang entsprechen. Eine Erheblichkeitsschwelle würde die Kohärenz der DSGVO beeinträchtigen, da sie je nach Beurteilung durch die Gerichte unterschiedlich hoch ausfallen könnte. Allerdings sei eine betroffene Person weiterhin verpflichtet, nachzuweisen, dass sie einen immateriellen Schaden erlitten habe.
Fazit
Das Urteil aus Luxemburg hat mehrere wichtige Aspekte der Datenschutz-Grundverordnung (DSGVO) beleuchtet. Zunächst betont das Gericht, dass das Recht auf Entschädigung gemäß der DSGVO drei kumulative Bedingungen unterliegt: Verstoß gegen die DSGVO, materieller oder immaterieller Schaden infolge dieses Verstoßes und ein kausaler Zusammenhang zwischen dem Schaden und dem Verstoß. Daher führt ein bloßer Verstoß gegen die DSGVO nicht automatisch zu einem Entschädigungsanspruch. Diese Interpretation entspricht der Formulierung und den Erwägungsgründen der DSGVO.
Zweitens hat das Gericht klargestellt, dass keine Anforderung besteht, dass der erlittene immaterielle Schaden einen bestimmten Schweregrad erreichen muss, um ein Recht auf Entschädigung zu begründen. Dies bedeutet, dass jeder Art von immateriellem Schaden, unabhängig von seiner Schwere, potenziell zu einer Entschädigung führen kann, wenn die anderen beiden Bedingungen erfüllt sind.
Die Entscheidung des Gerichts ist bedeutend, da sie bestätigt, dass das Recht auf Entschädigung für immaterielle Schäden infolge rechtswidriger Datenverarbeitung eine wichtige Sicherung der Datenschutzrechte von Einzelpersonen darstellt. Es erkennt auch die breite Auffassung zum “Schaden” an, die von der EU-Gesetzgebung übernommen wurde, zu der jegliche Art von Schaden gehört, den eine Person erleidet. Das Gericht betonte jedoch auch, dass die DSGVO keine spezifischen Regeln zur Bewertung von Schäden enthält und es den Rechtsordnungen der einzelnen Mitgliedstaaten überlassen bleibt, den Umfang der in diesem Zusammenhang zu leistenden Entschädigung festzulegen. Solange die Grundsätze der Gleichwertigkeit und Wirksamkeit eingehalten werden, sind die Mitgliedstaaten frei, die detaillierten Regeln für Maßnahmen zur Sicherung der Rechte festzulegen, die Einzelpersonen aus der DSGVO ableiten, und insbesondere die Kriterien zur Bestimmung des Umfangs der in diesem Zusammenhang zu zahlenden Entschädigung.
Insgesamt unterstreicht dieser Gerichtsbeschluss die Bedeutung des Schutzes der Datenschutzrechte von Einzelpersonen und der Gewährleistung wirksamer Abhilfemaßnahmen für jeglichen Schaden, der als Folge rechtswidriger Verarbeitung personenbezogener Daten erlitten wurde. Er hebt auch die Notwendigkeit hervor, dass die Mitgliedstaaten klare und wirksame Mechanismen zur Bestimmung von Entschädigungen in Fällen von immateriellen Schäden infolge von DSGVO-Verstößen schaffen.
