Im Rechtsstreit um ein DSGVO-Bu\u00dfgeld in H\u00f6he von 14,5 Millionen Euro gegen den Immobilienkonzern Deutsche Wohnen, der seit 2021 zu Vonovia geh\u00f6rt, gibt es Entwicklungen. Der Europ\u00e4ische Gerichtshof (EuGH) hat die Position der Berliner Datenschutzbeh\u00f6rde gest\u00e4rkt. Nach dem Urteil des EuGH geht es wie folgt weiter.<\/p>\n
Der Immobilienkonzern Deutsche Wohnen, der gegen einen Bu\u00dfgeldbescheid von 14,5 Millionen Euro aufgrund eines Datenschutzversto\u00dfes gem\u00e4\u00df der Datenschutz-Grundverordnung (DSGVO) k\u00e4mpft, den die unabh\u00e4ngige oberste Landesbeh\u00f6rde Berliner Beauftragte f\u00fcr Datenschutz und Informationsfreiheit (BlnBDI) im Oktober 2020 erlassen hatte, befindet sich im Rechtsstreit. Der Versto\u00df bezog sich auf das Speichern von Mieterdaten.<\/p>\n
Der EuGH hat nun festgestellt, dass nur ein schuldhafter Versto\u00df \u2013 sei es vors\u00e4tzlich oder fahrl\u00e4ssig \u2013 gegen die DSGVO zu einer Geldbu\u00dfe f\u00fchren kann. Die H\u00f6he der Geldbu\u00dfe kann sich am Umsatz des Unternehmens oder der Muttergesellschaft orientieren.<\/p>\n
Dieses Urteil folgte unter anderem einer Vorlage (Art. 267 AEUV) des Berliner Kammergerichts, das die Frage aufwarf, ob DSGVO-Bu\u00dfgeldverfahren direkt gegen Unternehmen gerichtet werden k\u00f6nnen. In diesem Fall betraf es die Deutsche Wohnen SE. (EuGH, Urteil v. 5.12.2023, Az. C-807\/21)<\/p>\n
Das Berliner Landgericht hat vorerst das Verfahren gegen die Deutsche Wohnen eingestellt, da der Bu\u00dfgeldbescheid im Februar 2021 als unwirksam erkl\u00e4rt wurde. Diese Entscheidung beruhte darauf, dass der Bescheid keine Angaben zu konkreten Tathandlungen eines Organs des Unternehmens enthielt (LG Berlin, Beschluss der 26. Gro\u00dfen Strafkammer v. 18.2.2021, Az. 526 AR).<\/p>\n
Die Staatsanwaltschaft legte dagegen Beschwerde ein, und das Kammergericht Berlin muss nun als n\u00e4chsth\u00f6here Instanz diese Entscheidung \u00fcberpr\u00fcfen. Das dortige Verfahren (Az. 3 Ws 250\/21) wurde ausgesetzt, da rechtliche Fragen zur Kl\u00e4rung dem EuGH mit Beschluss vom 6.12.2021 vorgelegt wurden, wie ein Gerichtssprecher im Januar 2022 mitteilte.<\/p>\n
Im EuGH-Verfahren ging es um die grundlegende Frage, ob eine juristische Person in Deutschland, die ein Unternehmen betreibt, nach den Grunds\u00e4tzen des EU-Rechts direkt f\u00fcr Verst\u00f6\u00dfe gegen die Datenschutz-Grundverordnung (DSGVO) sanktioniert werden kann, ohne dass eine Ordnungswidrigkeit einer nat\u00fcrlichen und identifizierten Leitungsperson festgestellt werden muss. Der EuGH entschied, dass Verst\u00f6\u00dfe durch Vertreter ausreichen, und best\u00e4tigte somit die Rechtsauffassung der Datenschutzbeh\u00f6rde. Das Berliner Kammergericht wird nun auf Basis dieses EuGH-Urteils abschlie\u00dfend im Fall „Deutsche Wohnen“ entscheiden m\u00fcssen.<\/p>\n
Am 27. April 2023 legte Generalanwalt Manuel Campos S\u00e1nchez-Bordon seine Schlussantr\u00e4ge in der Rechtssache C\u2011807\/21 (Deutsche Wohnen SE gegen Staatsanwaltschaft Berlin) vor. Er kam zu dem Schluss, dass die Beh\u00f6rden bei Verst\u00f6\u00dfen von Mitarbeitern direkt Bu\u00dfgelder nach der Datenschutz-Grundverordnung (DSGVO) gegen ein Unternehmen verh\u00e4ngen k\u00f6nnen, wenn diesen ein vors\u00e4tzliches oder fahrl\u00e4ssiges Handeln nachgewiesen werden kann. Der Europ\u00e4ische Gerichtshof (EuGH) hat sich somit der Rechtsauffassung von S\u00e1nchez-Bordon angeschlossen.<\/p>\n
Die Berliner Datenschutzbeh\u00f6rde erhob konkrete Vorw\u00fcrfe gegen die Deutsche Wohnen, indem sie behauptete, dass das Unternehmen es zwischen Mai 2018 und M\u00e4rz 2019 vers\u00e4umt habe, ausreichende Ma\u00dfnahmen zur regelm\u00e4\u00dfigen L\u00f6schung nicht mehr ben\u00f6tigter Mieterdaten zu implementieren. Zu diesem Zeitpunkt soll es m\u00f6glich gewesen sein, im Archiv des Konzerns auf pers\u00f6nliche Daten der Mieter zuzugreifen und diese zu verarbeiten. Hierzu geh\u00f6rten Informationen \u00fcber Sozial- und Krankenversicherung, Arbeitsvertr\u00e4ge sowie Details zu finanziellen Verh\u00e4ltnissen.<\/p>\n
Erstmals wurde die Deutsche Wohnen der Beh\u00f6rde im Juni 2017 auff\u00e4llig. Zu diesem Zeitpunkt stellte die Beh\u00f6rde fest, dass personenbezogene Daten von Mietern in einem Archivsystem gespeichert wurden, in dem nicht mehr erforderliche Daten nicht gel\u00f6scht werden konnten. Da dieser Zustand bis M\u00e4rz 2019 unver\u00e4ndert blieb, griff die Beh\u00f6rde zu drastischen Ma\u00dfnahmen. Es ist zu beachten, dass die versch\u00e4rfte Regelung der Datenschutz-Grundverordnung (DSGVO) erst am 25. Mai 2018 in Kraft trat.<\/p>\n
Neben der Sanktionierung des strukturellen Versto\u00dfes verh\u00e4ngte die Beh\u00f6rde weitere Bu\u00dfgelder gegen die Deutsche Wohnen. Die unzul\u00e4ssige Speicherung von personenbezogenen Daten von Mietern in 15 konkreten F\u00e4llen soll allein zwischen 6.000 und 17.000 Euro kosten.<\/p>\n
Gem\u00e4\u00df der EU-Verordnung k\u00f6nnen bei DSGVO-Verst\u00f6\u00dfen Zwangsgelder von bis zu 20 Millionen Euro oder bis zu vier Prozent des Gesamtumsatzes verh\u00e4ngt werden. Der zugrunde gelegte Umsatz der Deutsche Wohnen im Jahr 2018 h\u00e4tte ein Bu\u00dfgeld von insgesamt bis zu 28 Millionen Euro erlaubt.<\/p>\n
Es gibt Handlungsbedarf bei Wohnungsunternehmen in Sachen Datenschutz.
\nIm Juli 2019 beispielsweise wurde beim Wohnungsunternehmen LEG vor\u00fcbergehend ein Mieterportal deaktiviert, nachdem ein Informatikstudent Sicherheitsl\u00fccken \u00f6ffentlich gemacht hatte. Ein Bericht des Westdeutschen Rundfunks (WDR) betonte, dass keinerlei besondere Computerkenntnisse erforderlich waren, um auf s\u00e4mtliche Daten anderer Mieter zuzugreifen. Die damalige Berliner Datensch\u00fctzerin Maja Smoltczyk erkl\u00e4rte in einem Interview mit dem „Tagesspiegel“ im November 2019, dass die umfangreiche Datenspeicherung h\u00e4ufig vorkomme und Unternehmen oft wenig dar\u00fcber nachd\u00e4chten, ob die Daten tats\u00e4chlich gespeichert werden m\u00fcssten.<\/p>\n
Obwohl Wohnungsunternehmen Vorhaltepflichten h\u00e4tten, seien sie verpflichtet, L\u00f6schfristen f\u00fcr personenbezogene Mieterdaten zu beachten. Zur Unterst\u00fctzung bei der Umsetzung der Datenschutz-Grundverordnung hat die Gesellschaft f\u00fcr Datenschutz und Datensicherheit (GDD) Praxishilfen ver\u00f6ffentlicht, die auch von Branchenverb\u00e4nden, insbesondere in der Immobilienbranche, genutzt werden k\u00f6nnen.<\/p>\n