DSGVO-Gazette #58 Verschuldenserfordernis bei DSGVO-Bußgeldern gegen Unternehmen

Ein vergessenes Löschkonzept, unklare Zuständigkeiten oder fehlende Kontrollen können für Unternehmen teuer werden. Denn bei der Verhängung von Bußgeldern nach der DSGVO kommt es nicht zwingend darauf an, welcher konkrete Mitarbeiter den Datenschutzverstoß verursacht hat.

Der Europäische Gerichtshof (EuGH) hat mit seinen Entscheidungen vom 5. Dezember 2023 klargestellt: Ein Unternehmen kann unmittelbar mit einem DSGVO-Bußgeld belegt werden, ohne dass zuvor eine bestimmte natürliche Person als Täter identifiziert werden muss. Gleichzeitig bleibt aber ein wichtiges Schutzprinzip bestehen: Ein Bußgeld setzt Vorsatz oder Fahrlässigkeit voraus. Eine reine Erfolgshaftung kennt die DSGVO nicht.

Für Unternehmen bedeutet das vor allem eines: Der Blick richtet sich zunehmend auf die Qualität der eigenen Datenschutzorganisation.

Nicht mehr entscheidend: Wer war persönlich schuld?

Nach dem deutschen Ordnungswidrigkeitenrecht war die Unternehmensgeldbuße stark an das Verhalten bestimmter Leitungspersonen gekoppelt. Genau daraus ergab sich in Datenschutzverfahren regelmäßig ein praktisches Problem: In größeren Unternehmen lässt sich häufig kaum feststellen, welche konkrete Person einen Datenschutzverstoß verursacht hat.

Datenschutzverstöße entstehen schließlich oft nicht aufgrund einer einzelnen Fehlentscheidung. Häufig sind sie das Ergebnis mehrerer Faktoren: ungeklärte Verantwortlichkeiten, unzureichende Prozesse, veraltete IT-Systeme oder fehlende Kontrollen.

Der EuGH verfolgt deshalb einen organisationsbezogenen Ansatz. Für ein Bußgeld gegen ein Unternehmen ist eine namentliche Identifizierung eines bestimmten Mitarbeiters nicht erforderlich. Entscheidend ist vielmehr, ob innerhalb des Unternehmens ein vorsätzliches oder fahrlässiges Verhalten vorliegt, das dem Unternehmen zugerechnet werden kann.

Damit wird für Unternehmen eine andere Frage wichtiger:

War der Datenschutzverstoß bei einer angemessenen Organisation vermeidbar?

Was bedeutet „Fahrlässigkeit“ in der Praxis?

Der vom EuGH zugrunde gelegte Maßstab ist für Unternehmen durchaus streng. Danach kann ein Verantwortlicher sanktioniert werden, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte. Ein detailliertes Bewusstsein darüber, gegen welche konkrete Vorschrift der DSGVO verstoßen wird, ist nicht erforderlich.

In der Praxis bedeutet das: Unternehmen können sich regelmäßig nicht darauf zurückziehen, eine bestimmte datenschutzrechtliche Vorgabe nicht gekannt oder deren Bedeutung anders eingeschätzt zu haben.

Besonders kritisch können beispielsweise folgende Situationen werden:

§  Personenbezogene Daten werden unbegrenzt gespeichert, weil kein verbindliches Löschkonzept existiert.

§  Es ist nicht eindeutig festgelegt, wer für die Löschung oder Überprüfung bestimmter Datenbestände verantwortlich ist.

§  Datenschutzrechtliche Risiken sind intern bekannt, werden aber über längere Zeit nicht behoben.

§  Mitarbeiter erhalten keine oder nur unregelmäßige Datenschutzschulungen.

§  Berechtigungen zu personenbezogenen Daten werden nicht regelmäßig überprüft.

§  Datenschutzprozesse bestehen zwar auf dem Papier, ihre tatsächliche Umsetzung wird aber nicht kontrolliert.

Das Risiko liegt damit zunehmend in der Organisation selbst.

Der Fall Deutsche Wohnen zeigt, worauf es ankommt

Das Unternehmen speicherte in einem Archivsystem zahlreiche personenbezogene Daten von Mietern, unter anderem Gehaltsnachweise, Kontoauszüge sowie Steuer- und Versicherungsinformationen. Beanstandet wurde insbesondere, dass nicht regelmäßig geprüft wurde, ob die weitere Speicherung dieser Daten noch erforderlich war.

Die Berliner Datenschutzaufsicht verhängte zunächst ein Bußgeld von 14,5 Millionen Euro. Nach der Entscheidung des EuGH wurde das Verfahren vor dem Landgericht Berlin fortgeführt. Am 9. Juni 2026 verhängte das Gericht schließlich ein Bußgeld von 900.000 Euro.

Interessant für andere Unternehmen ist dabei nicht nur die Höhe des Bußgeldes, sondern auch die Begründung seiner deutlichen Reduzierung.

Zu Gunsten der Deutsche Wohnen berücksichtigte das Gericht unter anderem, dass das Unternehmen externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet hatte, um ein datenschutzkonformes System aufzubauen.

Das zeigt einen wichtigen praktischen Punkt: Nachweisbare Compliance-Maßnahmen können im Bußgeldverfahren eine erhebliche Rolle spielen.

Unternehmen sollten daher nicht nur Datenschutzmaßnahmen umsetzen. Sie sollten auch dokumentieren können, was sie wann und warum getan haben.

Denn wenn die Aufsichtsbehörde untersucht, ob ein Datenschutzverstoß fahrlässig verursacht wurde, können gerade interne Unterlagen entscheidend sein. Dazu gehören beispielsweise Prozessbeschreibungen, Audit- und Kontrollprotokolle sowie die Dokumentation technischer und organisatorischer Maßnahmen.

In der Praxis sollte ein Unternehmen daher jederzeit nachvollziehbar beantworten können:

Wer ist verantwortlich? Was wird kontrolliert? In welchen Abständen? Welche Risiken wurden erkannt? Welche Maßnahmen wurden daraufhin ergriffen?

Fehlt eine solche Dokumentation vollständig, kann es im Nachhinein schwierig sein zu belegen, dass angemessene Datenschutzmaßnahmen tatsächlich bestanden.

Fünf Maßnahmen, die Unternehmen jetzt prüfen sollten

1.     Löschkonzepte nicht nur erstellen, sondern technisch umsetzen

Löschfristen sollten für die wesentlichen Datenkategorien definiert und möglichst automatisiert umgesetzt werden. Ebenso wichtig ist eine regelmäßige Kontrolle, ob das Löschkonzept tatsächlich funktioniert.

2.     Verantwortlichkeiten eindeutig festlegen

Unternehmen sollten klar dokumentieren, wer beispielsweise für Löschfristen, Betroffenenanfragen, Datenschutzverletzungen, Berechtigungsprüfungen oder die Kontrolle von Dienstleistern verantwortlich ist.

3.     Datenschutzkontrollen regelmäßig durchführen

Ein Datenschutzkonzept, das einmal erstellt und anschließend nicht mehr überprüft wird, reicht langfristig nicht aus.

Sinnvoll sind insbesondere regelmäßige interne Audits, stichprobenartige Kontrollen und eine Überprüfung besonders risikoreicher Verarbeitungsvorgänge.

4.     Mitarbeiter und Führungskräfte schulen

Datenschutz ist nicht allein Aufgabe des Datenschutzbeauftragten.

Gerade Mitarbeiter, die regelmäßig mit personenbezogenen Daten arbeiten, sollten wissen, welche internen Prozesse gelten und wann Datenschutzverantwortliche einzubeziehen sind. Für Führungskräfte kommt hinzu, dass sie organisatorische Defizite erkennen und beheben müssen.

Regelmäßige Schulungen gehören daher zu den zentralen Maßnahmen einer wirksamen Datenschutzorganisation.

5.     Entscheidungen dokumentieren

Besonders wichtig ist die Dokumentation bei rechtlich oder technisch schwierigen Fragen.

Hat sich ein Unternehmen mit einem Datenschutzproblem auseinandergesetzt, fachlichen Rat eingeholt, unterschiedliche Lösungswege geprüft und anschließend eine begründete Entscheidung getroffen, sollte dieser Prozess dokumentiert werden.

Eine solche Dokumentation verhindert einen Datenschutzverstoß zwar nicht automatisch. Sie kann aber später zeigen, dass das Unternehmen Risiken erkannt und sich ernsthaft um eine DSGVO-konforme Lösung bemüht hat.

Auch Dienstleister bleiben ein Thema

Unternehmen dürfen sich außerdem nicht darauf verlassen, dass datenschutzrechtliche Risiken vollständig auf externe Dienstleister verlagert werden können.

Die parallele EuGH-Entscheidung C-683/21 zeigt, dass auch Verstöße eines eingesetzten Auftragsverarbeiters für den Verantwortlichen relevant werden können

Für Unternehmen bedeutet das: Auch die Auswahl, vertragliche Einbindung und Kontrolle von Auftragsverarbeitern sollte Teil des Datenschutz-Compliance-Systems sein.

Positiv ist: Ohne Vorsatz oder Fahrlässigkeit darf kein DSGVO-Bußgeld verhängt werden. Ein objektiver Datenschutzverstoß allein reicht nicht.

Gleichzeitig wird es für Behörden einfacher, unmittelbar gegen Unternehmen vorzugehen. Sie müssen nicht mehr feststellen, welcher konkrete Mitarbeiter oder welche konkrete Leitungsperson den Verstoß verursacht hat.

Damit gewinnt die interne Datenschutzorganisation erheblich an Bedeutung.

Für Geschäftsführung und Compliance-Verantwortliche sollte die entscheidende Frage deshalb nicht erst im Bußgeldverfahren lauten: „Wer hat den Fehler gemacht?“

Besser ist es, vorher zu fragen:

Haben wir unsere Prozesse so organisiert und dokumentiert, dass Datenschutzverstöße möglichst verhindert, frühzeitig erkannt und nachvollziehbar bearbeitet werden?

Wer diese Frage überzeugend beantworten kann, reduziert nicht nur das Risiko eines Datenschutzverstoßes, sondern verbessert zugleich seine Position gegenüber der Aufsichtsbehörde.

Bei Fragen stehe ich Ihnen jederzeit gerne zur Verfügung

Viele Grüße aus Aachen

Ingo Goblirsch
Externer Datenschutzbeauftragter
Datenschutz | Compliance | Informationssicherheit
52076 Aachen

Das Beitragsbild wurde mithilfe von OpenAI's ChatGPT generiert. Die kommerziellen Nutzungsrechte liegen vollständig beim Ersteller. OpenAI erhebt kein Urheberrecht an diesem Inhalt. Alle dargestellten Elemente sind frei erfunden und dienen ausschließlich illustrativen Zwecken. Marken oder Persönlichkeitsrechte Dritter werden nicht verletzt.