Stellungnahme vom 5. Januar 2023 zu Grundsatzfragen zur Sanktionierung von Datenschutzverstößen von Unternehmen – EuGH-Rechtssache C-807/21

A. Zusammenfassung

Nach der Auffassung der Datenschutzkonferenz ist die erste Vorlagefrage des Berliner Kammergerichts (KG) dahingehend zu beantworten, dass Art. 83 Abs. 4 bis 6 der Datenschutz-Grundverordnung (DSGVO) so auszulegen ist, dass der funktionale Unternehmensbegriff und das Funktionsträgerprinzip aufgrund des Willen des europäischen Gesetzgebers (vgl. Erwägungsgrund 150 Satz 3 DSGVO) von den Datenschutzaufsichtsbehörden bei der Bußgeldverhängung anzuwenden ist. Entgegenstehende Vorschriften, die wie § 30 des Gesetzes über Ordnungswidrigkeiten (OWiG) das Rechtsträgerprinzip vorsehen, sind nicht anzuwenden. Es bedarf wie im EU-Kartellrecht (Art. 101 und 102 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV)) nur der Feststellung, dass Mitarbeitende des Unternehmens einen Verstoß gegen die DSGVO begangen haben, ohne dass die konkret handelnden Mitarbeitenden ermittelt werden oder Leitungspersonen des Unternehmens sein müssen. Die Notwendigkeit der Feststellung eines Leitungsverschuldens würde unter Verletzung des Effektivitätsgebots („effet utile“) den Vollzug des Art. 83 DSGVO in Deutschland ansonsten erheblich erschweren.

Die zweite Vorlagefrage des KG ist so zu beantworten, dass für eine Bebußung des Unternehmens nach Art. 83 Abs. 4 bis 6 DSGVO im Grundsatz bereits ein dem Unternehmen zuzuordnender objektiver Pflichtenverstoß ausreicht („strict liability“). Diese vom europäischen Gesetzgeber gewollte Erleichterung für die Datenschutzaufsichtsbehörden ist verhältnismäßig, denn sie hält zum Schutz der Grundrechte natürlicher Personen die Verantwortlichen und Auftragsverarbeiter zur Einhaltung der Pflichten aus der DSGVO an.

B. Zur ersten Vorlagefrage: Funktionsträgerprinzip

I. Inhalt der Vorlagefrage

In seiner ersten Vorlagefrage hat das KG den EuGH gefragt, ob Art. 83 Abs. 4 bis 6 DSGVO dahingehend auszulegen ist, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des dem § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf.

II. Historie der DSGVO – Von nationalen Bußgeldtatbeständen zu einem supranationalen Sanktionsregime

Mit Art. 83 DSGVO wird nach dem Willen des Unionsgesetzgebers das Ziel verfolgt, das Grundrecht auf Datenschutz durch die Androhung empfindlicher und dadurch abschreckender Geldbußen – insbesondere gegen Unternehmen – in der gesamten EU abzusichern.

Das Grundrecht auf Datenschutz ist als solches insbesondere in Art. 8 (Schutz personenbezogener Daten) der Charta der Grundrechte der Europäischen Union (GRCh) verankert. Um dieses in allen Mitgliedstaaten gleichermaßen zu schützen, setzt sich der Unionsgesetzgeber mit der DSGVO im Bereich der Sanktionen deutlich von der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Richtlinie – DS-RL) ab und überlässt es nicht mehr – wie seinerzeit Art. 24 DS-RL – allein dem nationalen Gesetzgeber, Regelungen zur Sanktionierung von Verstößen zu treffen (vgl. hierzu Art. 24 DS-RL, ABl L 1995/281, 31 idF L 2017/40, 78).

Dem Unionsgesetzgeber kam es mit der Schaffung des Art. 83 DSGVO insbesondere darauf an, die Durchsetzung eines unionsweit einheitlichen Datenschutzstandards durch den Rechtsaktwechsel von einer Richtlinie hin zu einer unmittelbar wirksamen Verordnung für den gesamten räumlichen Geltungsbereich durch ein supranationales (und damit einheitliches) Sanktionsregime sicherzustellen (vgl. Erwägungsgrund 9, 10 Satz 1, 11, 13 Satz 1, 129 Satz 1, 148 Satz 1 und 152 Satz 1 DSGVO; LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 33). Damit das in der Grundrechte-Charta verankerte Grundrecht auf Datenschutz einheitlich gewährleistet werden kann, darf es daher nicht zu regionalen Unterschieden bei der Ahndung von Datenschutzverstößen durch Unternehmen aufgrund unterschiedlicher nationaler Bestimmungen und einer unterschiedlichen Vollzugspraxis kommen.

Bei der gemäß Art. 83 DSGVO zu verhängenden Geldbuße handelt es sich insoweit um eine verwaltungs- und keine strafrechtliche Sanktion. Dies ergibt sich schon aus dem Kompetenzbereich der EU, da die Mitgliedstaaten keine Strafgewalt an die EU übertragen haben. Dies bedeutet allerdings nicht, dass die EU in ihrem Kompetenzbereich auf den Einsatz von Sanktionen im Fall von Zuwiderhandlungen gegen gemeinschaftliche Bestimmungen verzichten muss (Schwarze , EuZW 2003, 261). Insofern beinhaltet Art. 16 Abs. 2 AEUV, obwohl dies dort nicht ausdrücklich vorgesehen ist, als Annex auch eine Regelungskompetenz der EU für Vorgaben zum Erlass von Verwaltungssanktionen wie Geldbußen (vgl. EuGH, Urt. v. 23. Oktober 2007 – C-440/05, NStZ 2008, 703 Rn. 70 und 71). Die gemäß Art. 83 DSGVO durch die Aufsichtsbehörden zu verhängenden Geldbußen sind demnach keine kriminalstrafrechtlichen Sanktionen im eigentlichen Sinne. Vielmehr handelt es sich nach dem unionsrechtlichen Verständnis um ein (rein) administratives Sanktionsinstrument (vgl. Ehmann , in: Gola/Heckmann, DSGVO BDSG, 3. Aufl. 2022, § 41 BDSG Rn. 6).

Während der europäische Gesetzgeber demnach von sog. „administrative fines“, also Verwaltungsgeldbußen ausgeht, ordnet die deutsche Rechtstradition die Bußgeldtatbestände des Art. 83 Abs. 4 bis 6 DSGVO über § 41 Bundesdatenschutzgesetz (BDSG) dem Ordnungswidrigkeitenrecht als Sonderstrafrecht zu. Diese in Deutschland gewählte Zuordnung darf jedoch nicht dazu führen, die Durchsetzung des Willens des europäischen Gesetzgebers zu erschweren oder zu verhindern.

Das deutsche Ordnungswidrigkeitenrecht geht davon aus, dass Verstöße gegen nationale Bußgeldtatbestände nur von natürlichen Personen begangen werden können. Täter ist daher nach § 1 OWiG zunächst die natürliche Person, die rechtswidrig gehandelt hat. Dem folgend eröffnet dann nur der auf dem Rechtsträgerprinzip basierende § 30 OWiG die Möglichkeit, gegen juristische Personen und Personenvereinigungen eine Sanktion in Form einer Geldbuße zu verhängen, wenn eine ihrer Leitungspersonen eine Ordnungswidrigkeit begangen hat. Diese muss in einem Zurechnungszusammenhang zum Unternehmen stehen, weil durch sie Pflichten der juristischen Person oder Personenvereinigung verletzt worden sind oder durch sie eine Bereicherung der juristischen Person oder Personenvereinigung erreicht wurde oder werden sollte (Meyberg , in: BeckOK OWiG, 36. Edition, Stand: 1. Oktober 2022, § 30 vor Rn. 1). Begehen aber Mitarbeitende unterhalb der Leitungs- oder Kontrollebene Ordnungswidrigkeiten, kommt eine Geldbuße gegen die juristische Person nur noch in Betracht, wenn Leitungspersonen Aufsichtspflichten gemäß § 130 OWiG verletzt haben. Das im deutschen Ordnungswidrigkeitenrecht vorgesehene Rechtsträgerprinzip und das Erfordernis von Leitungsverschulden unterscheidet sich damit wesentlich vom Ansatz des in der DSGVO und dem europäischen Kartellrecht vorgesehenen Funktionsträgerprinzips.

III. Keine Anwendbarkeit des § 30 OWiG

1. DSGVO sieht Bußgelder direkt gegen juristische Personen und Unternehmen vor

Die Bußgeldvorschriften der DSGVO und Erwägungsgrund 150 Satz 3 DSGVO zeigen eindeutig auf, dass der europäische Gesetzgeber von einer direkten Sanktionierung juristischer Personen und Unternehmen im Sinne des Funktionsträgerprinzips ausgegangen ist.

a) Adressatenkreis ergibt sich bereits aus Art. 83 Abs. 4 bis 6 DSGVO i. V. m. Art. 4 Nr. 7 und Nr. 8 DSGVO

Das Bußgeldsystem der DSGVO sieht juristische Personen als Teil des Kreises von Bußgeldadressaten vor. Die Bußgeldtatbestände in Art. 83 Abs. 4 bis 6 DSGVO knüpfen an diverse Pflichten nach der DSGVO an, die mit wenigen Ausnahmen ausschließlich Verantwortliche und/oder Auftragsverarbeiter treffen. Verantwortliche und Auftragsverarbeiter können dabei gemäß Art. 4 Nr. 7 und Nr. 8 DSGVO auch juristische Personen sein.

Handelt es sich um juristische Personen, werden Mitarbeitende, auch leitende Mitarbeitende inkl. gesetzliche Vertreter:innen (ausgenommen sie handeln im Exzess) nicht als Verantwortliche angesehen, unterliegen somit auch nicht den Verpflichtungen der DSGVO und gehören daher nicht zum Adressatenkreis nach Art. 83 Abs. 4 bis 6 DSGVO (vgl. Interdiözesanes Datenschutzgericht (IDSG), Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 44 ff.; Art. 29-Datenschutzgruppe , Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169, S. 19). Die DSGVO geht in der Definition des Verantwortlichen in Art. 4 Absatz 7 DSGVO explizit davon aus, dass (auch) die juristische Person über Mittel und Zwecke der Datenverarbeitung entscheiden kann d.h. die juristische Person als Verantwortliche ist – handelnd durch ihre Organe – dazu in der Lage und nimmt diese Kompetenz auch regelmäßig wahr, um die Aufgaben der Einrichtung und die Unternehmensziele zu erreichen (vgl. IDSG, Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 44). Die juristische Person ist es, die die primären Folgen – die datenschutzrechtlichen Pflichten – und die sekundären Folgen – die Haftung und die Sanktionen der Datenschutzaufsichtsbehörden – treffen sollen (vgl. IDSG, Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 44). Sie hat die tatsächliche Entscheidungsgewalt über die Mittel und Zwecke der Verarbeitung und die für einen umfassenden Schutz der Grundrechte der von der Verarbeitung betroffenen Personen erforderliche rechtliche Befugnis und die tatsächliche Entscheidungsgewalt, den Beanstandungen der Datenschutzaufsichtsbehörden abzuhelfen. Sie verfügt auch über die nötige Haftungsmasse für eine Sanktionierung (vgl. IDSG, Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 46 f.).

Das Abstellen auf die juristische Person als Verantwortliche führt dabei auch nicht zu Schutzlücken, denn das Handeln ihrer Organe und Mitarbeitenden sowie auch das Handeln teilweise verselbständigter Organisationseinheiten, etwa der ITAbteilung, werden der juristischen Person zugerechnet (vgl. IDSG, Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 47). Den Gegensatz zwischen der juristischen Person als Verantwortlicher, die Weisungen erteilt, und den weisungsabhängigen unterstellten Mitarbeitenden bringen Art. 29 DSGVO und Art. 4 Nr. 10 DSGVO deutlich zum Ausdruck. Da das Handeln von Mitarbeitenden der juristischen Person als Verantwortliche zugerechnet wird, können etwa nach Art. 4 Nr. 10 DS-GVO Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen befugt sind, personenbezogene Daten zu verarbeiten, nicht „Dritte“ i. S. d. DSGVO sein (vgl. IDSG, Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 49). Die Regelung des Art. 29 DSGVO benennt ausdrücklich Personen, die dem Verantwortlichen unterstellt sind und Zugang zu personenbezogenen Daten haben, und zeigt dadurch, dass die weisungsabhängigen Mitarbeitende nicht mit dem Verantwortlichen i. S. d. Art. 4 Nr. 7 DSGVO identisch sind (vgl. IDSG, Beschl. v. 14. Dezember 2020 – IDSG 01/2020, Rn. 47).

In Art. 83 Abs. 4 bis 6 DSGVO werden des Weiteren „Unternehmen“ als mögliche Bußgeld-adressat:innen explizit genannt („im Fall eines Unternehmens“ ). Dass in Art. 83 Abs. 4 bis 6 DSGVO nicht die identische Formulierung des Art. 23 Abs. 1 KartellVO verwendet wurde, („Die Kommission kann gegen Unternehmen und Unternehmensvereinigungen durch Entscheidung Geldbußen […] festsetzen“ ) dürfte an dem kartellrechtlich bedingten wirtschaftlichen Fokus liegen, dass Art. 23 KartellVO ausschließlich Bußgelder gegen „Unternehmen“ und „Unternehmensvereinigungen“ ermöglicht.

Im Gegensatz dazu richten sich Art. 83 Abs. 4 bis 6 DSGVO (vgl. Erwägungsgrund 150 Satz 4 DSGVO) auch gegen Verantwortliche und Auftragsverarbeiter, die keine „Unternehmen“ sind, wie z. B. gegen nicht kommerziell handelnde juristische und natürliche Personen. Die Öffnungsklausel in Art. 83 Abs. 7 DSGVO eröffnet den Mitgliedstaaten die Möglichkeit, Bußgelder gegen Behörden und sonstige öffentliche Stellen zu verhängen, sodass der Adressatenkreis des Gesetzgebers bewusst weiter gewählt wurde als im europäischen Kartellrecht.

b) Funktionsträgerprinzip bei Sanktionen nach der DSGVO

Vor dem Hintergrund des Erwägungsgrunds 150 Satz 3 DSGVO eröffnet der europäische Gesetzgeber in Art. 83 Abs. 4 bis 6 DSGVO die Möglichkeit der Bußgeldverhängung gegen „Unternehmen“ im Sinne einer direkten Unternehmensgeldbuße nach Vorbild des Funktionsträgerprinzips aus dem EUKartellrecht (vgl. LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 22 ff.; IDSG, Beschl. v. 12. Juli 2021 – IDSG 21/2020, Rn. 79 ff.; Europäischer Datenschutzausschuss (EDSA) , Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 1.0, Adopted on 12 May 2022, Rn. 123; Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) , Entschließung der 97. Konferenz am 3. April 2019; Albrecht/Jotzo, Das neue Datenschutzrecht der EU, 1. Aufl. 2017, Teil 8 Rn. 35).

Erwägungsgrund 150 Satz 3 DSGVO sieht Folgendes vor: „Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff ‚Unternehmen‘ im Sinne der Artikel 101 und 102 AEUV verstanden werden.“ Nach dem Funktionsträgerprinzip aus dem EU-Kartellrecht werden dabei einem „Unternehmen“, also jeder eine wirtschaftliche Tätigkeit ausübenden Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung (vgl. EuGH, Urt. v. 10. April 2014 – C-231/11 P – Siemens Österreich, EuZW 2014, 714 Rn. 42–44; EuGH, Urt. v. 23. April 1991 – Rs C-41/90 – Höfner und Elser, NJW 1991, 2891 Rn. 21), alle Verstöße irgendeiner Person (ausgenommen Exzess), die berechtigt ist, für das Unternehmen tätig zu werden, zugerechnet, unabhängig ob es sich dabei um Leitungspersonen handelt (vgl. LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 22 ff.; IDSG, Beschl. v. 12. Juli 2021 – IDSG 21/2020, Rn. 79 ff.; EDSA, Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 1.0, Adopted on 12 May 2022, Rn. 123; DSK, Entschließung der 97. Konferenz am 3. April 2019; vgl. auch zum europäischen Kartellrecht: EuGH, Urt. v. 7. Juni 1983 – 100/80 – SA Musique Diffusion francaise/KOM, BeckRS 2004, 70610 Rn. 97; EuGH, Urt. v. 7. Februar 2013 – C-68/12, EuZW 2013, 438 Rn. 25; EuGH, Urt. v. 21. Juni 2016 – C-542/14, EuZW 2016, 737 Rn. 23 f.; EuGH, Urt. v. 16. Februar 2017 – C-95/15 P, BeckRS 2017, 101804 Rn. 34). Welche Mitarbeiterin oder welcher Mitarbeiter gehandelt hat, muss nicht einmal ermittelt werden (vgl. EuGH, Urt. v. 18. September 2003 – C-338/00 P, BeckRS 2003, 154494 Rn. 98; Generalanwältin beim EuGH, Schlussantrag v. 18. April 2013 – C-501/11 P, BeckRS 2013, 80815 Rn. 125 ff.; EDSA, Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 1.0, Adopted on 12 May 2022, Rn. 123).

Mit dem Begriff „Unternehmen“ in Erwägungsgrund 150 Satz 3 1. Halbsatz DSGVO ist auch nicht die datenschutzrechtliche Definition des Art. 4 Nr. 18 DSGVO gemeint. Es handelt sich um unterschiedliche Unternehmensbegriffe, wie die klare und nicht zufällige Begriffstrennung in der englischen Fassung („undertaking“ in Erwägungsgrund 150 Satz 3 DSGVO und Art. 83 DSGVO sowie „enterprise“ in Art. 4 Nr. 18 DSGVO) zeigt. Während sich der in Art. 4 Nr. 18 DSGVO definierte Begriff „enterprise“ an verschiedenen Stellen der DSGVO wiederfindet, hat sich der Gesetzgeber bewusst dafür entschieden, im Art. 83 DSGVO und Erwägungsgrund 150 DSGVO einen anderen Begriff („undertaking“ ) zu verwenden. Mit dieser sprachlichen Differenzierung macht der Gesetzgeber deutlich, dass nicht lediglich auf der Rechtsfolgenseite, sondern im gesamten Bußgeldverfahren, der Unternehmensbegriff nach dem europäischen Kartellrecht maßgeblich ist (vgl. LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 59). Die Auslegung des Begriffs richtet sich nach den Auslegungsregeln des Europarechts und daher nicht nur nach der deutschen Sprachfassung. Insbesondere stellt die deutsche Sprachfassung nicht die äußere Wortlautgrenze zur Auslegung dar. Der tatsächliche gesetzgeberische Wille und Inhalt der Norm ist europarechtsautonom unter Heranziehung auch anderer Sprachfassungen zu ergründen (vgl. ständige Rspr. des EuGH, Urt. v. 5. Dezember 1967 – 19/67, BeckRS 2004, 72119; EuGH, Urt. v. 8. Dezember 2005 – C-280/04, IStR 2006, 58 Rn. 31). Die sprachliche Differenzierung ist im Übrigen auch keine Eigenart der englischen Sprachfassung. Sie findet sich etwa auch in der bulgarischen Fassung, in der dänischen Fassung, in der gälischen Fassung, in der kroatischen Fassung und in der slowenischen Fassung (LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 59; Uebele , EuZW 2018, 443 m. w. N.).

c) Erwägungsgrund 150 Satz 3 DSGVO ist zwingend zu berücksichtigen

Erwägungsgrund 150 Satz 3 ist integraler Teil der DSGVO und als solcher vom Gericht bei der Auslegung des Art. 83 DSGVO zu berücksichtigen.

Gemäß Art. 296 Abs. 2 AEUV sind Rechtsakte mit einer Begründung „zu versehen“, die sich in den dem operativen Teil der Unionsrechtsakte voranstehenden Erwägungsgründen wiederfindet, sodass die Begründung ein wesentlicher Teil des Rechtsakts selbst ist (vgl. EuGH, Urt. v. 23. Februar 1988 – Rs. 131/86 – „Vereinigtes Königreich/Kommission“, BeckRS 2004, 71529 Rn. 36 f.). Rechtsakt und Begründung werden insofern als ein „unteilbares Ganzes“ bezeichnet (vgl. EuGH, Urt. v. 15. Juni 1994 – C-137/92 Rn. 67 – „Kommission/BASF u. a.“; EuG, Urt. v. 7. Juni 2006 – T-613/97 Rn. 69 – „Ufex u. a./Kommission“).

Erwägungsgründe werden dabei insbesondere zur im EU-Recht besonders wichtigen teleologischen Auslegung herangezogen (vgl. EuGH, Urt. v. 26. Mai 2005, Rs. 478/03 Rn. 38 – „Celtec“).

Es ist vorliegend auch nicht so, dass der Inhalt von Erwägungsgrund 150 Satz 3 DSGVO keinen Anklang in den Artikeln der DSGVO gefunden hat, denn in Art. 83 Abs. 4 bis 6 DSGVO wird ausdrücklich auf Unternehmen Bezug genommen („im Fall eines Unternehmens“ ).

d) Erwägungsgrund 150 Satz 3 DSGVO betrifft nicht nur Bußgeldzumessung

Der Erwägungsgrund 150 Satz 3 DSGVO hat bereits Relevanz für den Adressatenkreis von Art. 83 Abs. 4 bis 6 DSGVO und nicht nur für die Bußgeldbemessung.

Bei der Behauptung des Landgerichts (LG) Berlin, Erwägungsgrund 150 Satz 3 DSGVO greife nur, wenn überhaupt ein Bußgeld gegen ein Unternehmen verhängt werde, weshalb der funktionale Unternehmensbegriff auf der Ebene des „Ob“ der Verhängung keine Rolle spiele (vgl. LG Berlin, Beschl. v. 18. Februar 2021 – (526 OWi LG) 212 Js-OWi 1/20 (1/20), BeckRS 2021, 2985), handelt es sich um einen Zirkelschluss. Wenn deutsche Aufsichtsbehörden bei Bußgeldbescheiden nach Art. 83 Abs. 4 bis 6 DSGVO den § 30 OWiG anzuwenden hätten, würde ein Bußgeld gegen Unternehmen überhaupt nicht möglich sein. § 30 OWiG sieht nur Bußgelder gegen juristische Personen oder Personenvereinigungen vor und nicht gegen Unternehmen. Das Unternehmen als Bußgeldadressat ist dem deutschen Ordnungswidrigkeitenrecht vollkommen fremd.

Des Weiteren kann die Begründung der Höhe eines Bußgeldes nicht vom Adressaten der Ebene des „Ob“ abgekoppelt werden, sondern die Ebene des „Wie“ hängt damit unmittelbar zusammen, sodass bei einer Trennung der Ebenen schon keine rechtssichere Ermittlung der Höhe der Geldbuße durch die Datenschutzaufsichtsbehörden möglich wäre.

2. Die Datenschutzaufsichtsbehörden der Mitgliedstaaten sanktionieren wie die EUKommission im EU-Kartellrecht direkt auf Grundlage einer europäischen Verordnung

Die DSGVO sieht mit Art. 83 eine eigenständige, an das europäische Kartellrecht angelehnte Bußgeldnorm vor, die durch nationale Behörden vollzogen wird.

Das Sanktionsregime der DSGVO ist dem unionsrechtlichen Wettbewerbsrecht nachempfunden, insbesondere den Bußgeldern gegen Unternehmen nach Art. 23 der Verordnung (EG) Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln (KartellVO) (vgl. LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 31; Eckhardt , in: Spindler/Schuster, Recht der elektronischen Medien, 4. Auflage 2019, Art. 83 DSGVO Rn. 6; Albrecht , CR 2016, 88 (96)). Auch der Verweis in Erwägungsgrund 150 Satz 3 DSGVO auf Art. 101 und 102 AEUV verdeutlicht die Parallelen zwischen den beiden Rechtsgebieten.

Sowohl im europäischen Datenschutzrecht als auch – soweit ersichtlich – im gesamten europäischen Sanktionsrecht bewirkt die Einführung des Art. 83 DSGVO dabei eine Epochenwende. Als Novum verhängen erstmalig Aufsichtsbehörden der Mitgliedstaaten auf Grundlage einer unmittelbar anwendbaren Bußgeldnorm Geldbußen anstatt auf Grundlage von nationalen Bußgeldnormen.

Die nationalen Datenschutzaufsichtsbehörden leiten, wie die EU-Kommission im EUKartellrecht, die Befugnis zur Sanktionierung unmittelbar aus einer europäischen Verordnung her und nicht aus nationalem Recht. Insofern entsprechen die Befugnisund Bußgeldnormen des Datenschutzrechts (Art. 58, 83 DSGVO) denen des EUKartellrechts (Art. 17 ff., 23 KartellVO). Art. 58 DSGVO weist den Aufsichtsbehörden der Mitgliedstaaten direkt eine Vielzahl von unionsrechtlichen Ermittlungs- und Abhilfebefugnissen zu, so wie das europäische Kartellrecht der EU-Kommission in Art. 17 ff. KartellVO ebenfalls direkt Befugnisse einräumt. Es bedarf daher im Datenschutzrecht grundsätzlich keines Rückgriffs auf nationale Befugnisnormen (wie ansonsten z. B. bei deutschen Wettbewerbsbehörden nach §§ 57 ff. und 81 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB)).

3. Kein Konflikt mit dem Schuldprinzip

Die fehlende Anknüpfung an die Handlung einer Leitungsperson einer juristischen Person verstößt auch nicht gegen das Schuldprinzip.

Auf die Zahlung einer Geldbuße als unionsrechtliche Sanktion, die keinen strafrechtlichen Charakter hat, findet nach der Rechtsprechung des EuGH das Schuldprinzip schon keine Anwendung (vgl. EuGH, Urt. v. 11. Juli 2002 – C-210/00 – Käserei Champignon Hofmeister, BeckRS 2004, 74993 Rn. 43 f.). Selbst eine echte Unternehmensstrafe würde nach der Interpretation des EuGH und des EGMR weder gegen die Unschuldsvermutung nach Maßgabe von Art. 6 Abs. 2 der Europäischen Menschenrechtskonvention (EMRK) oder Art. 48 Abs. 2 GRCh noch gegen das Schuldprinzip als allgemein anerkanntem Rechtsgrundsatz des Unionsrechts verstoßen (vgl. Hochmayr , ZIS 2016, 226).

Im Hinblick auf das Schuldprinzip vertrat die Generalanwältin beim EuGH Juliane Kokott in ihren Schlussanträgen bezüglich direkt an Unternehmen adressierter Geldbußen nach Art. 23 KartellVO die Ansicht, dass sich ein Unternehmen im Normalfall alle rechtswidrigen Machenschaften zurechnen lassen müsse – auch solche, zu denen es ohne Wissen und ohne ausdrückliche Billigung der Unternehmensleitung kam –, sofern diese Machenschaften sich im Verantwortungsbereich des Unternehmens ereigneten (Generalanwältin beim EuGH, Schlussantrag v. 18. April 2013 – C-501/11 P, BeckRS 2013, 80815 Rn. 111 ff., 129 ff.; der Rechtsmittelgrund, auf den die Generalanwältin Bezug nimmt, wurde anschließend vom EuGH als neues Angriffsmittel als unzulässig angesehen, weshalb sich der EuGH inhaltlich nicht damit befasste, EuGH, Urt. v. 18. Juli 2013 – C- 501/11 P, BeckRS 2013, 81521 Rn. 77-84). Dies sei in der Regel dann der Fall, wenn die fraglichen Handlungen durch die eigenen Mitarbeitenden im Zusammenhang mit ihrer Tätigkeit für das Unternehmen vorgenommen wurden (Generalanwältin beim EuGH, Schlussantrag vom 18. April 2013 – C-501/11 P, BeckRS 2013, 80815 Rn. 131). Es bedürfe insofern auch keiner Feststellungen, welche konkreten Mitarbeitenden eines Unternehmens an den Zuwiderhandlungen des Kartells beteiligt waren, wenn klar ist, dass die Personen, die auf Seiten des Unternehmens an den wettbewerbswidrigen Machenschaften des Kartells beteiligt waren, Mitarbeitende des Unternehmens waren (Generalanwältin beim EuGH, Schlussantrag vom 18. April 2013 – C-501/11 P, BeckRS 2013, 80815 Rn. 125 ff.).

Die Generalanwältin Kokott bringt dabei auch die Problematik des von den Behörden ggf. nachzuweisenden Leitungsverschulden auf den Punkt. So stellt die Generalanwältin ausdrücklich fest, dass für den Fall, dass Unternehmen in Kartellverfahren nur das Verhalten derjenigen Mitarbeitenden zurechenbar wäre, deren wettbewerbswidrige Machenschaften nachweisbar auf einer konkreten Anweisung oder Bevollmächtigung der Unternehmensleitung beruhten oder von dieser zumindest wissentlich geduldet wurden, das unionsrechtliche Kartellverbot jeglicher praktischer Wirksamkeit beraubt würde, da es dann für Unternehmen ein Leichtes wäre, sich ihrer Verantwortlichkeit für Kartellvergehen aus rein formalen Gründen zu entziehen (Generalanwältin beim EuGH, Schlussantrag vom 18. April 2013 – C-501/11 P, BeckRS 2013, 80815 Rn. 130).

4. Umfang der Öffnungsklausel des Art. 83 Abs. 8 DSGVO

Indem nach deutschem Recht über § 41 Abs. 1 BDSG auch auf § 30 Abs. 1 OWiG verwiesen wird, bewegt sich der deutsche Gesetzgeber außerhalb seiner nationalen Spielräume. Die Regelung ist diesbezüglich schlichtweg nicht mehr von der Öffnungsklausel des Art. 83 Abs. 8 DSGVO umfasst.

Zwar soll die Umsetzung des europäischen Grundgedankens auf Basis der nationalen Verfahrensgarantien erfolgen (Art. 83 Abs. 8 DSGVO). Die DSGVO enthält aber keine Öffnungsklausel für nationale Verfahrensgarantien, die über den europarechtlich gebotenen Schutz der Bußgeldadressat:innen nach den Vorgaben der GRCh hinausgehen und so die effektive und vor allem auch unionsweit einheitliche Durchsetzung der DSGVO behindern würden und damit nicht mehr „angemessen“ sind (vgl. Bergt , in: Kühling/Buchner, DSGVO BDSG, 4 Aufl. 2022, Art. 83 DSGVO Rn. 112).

Der Unionsrechtsgeber ermöglicht den Mitgliedstaaten über Art. 83 Abs. 8 DSGVO lediglich, Verfahrensvorschriften im nationalen Recht vorzusehen, nicht hingegen materiell-rechtliche Vorschriften (vgl. Golla , DuD 2021, 180, 181; einschränkend auf unionsrechtskonforme materiell-rechtliche Vorschriften LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 35).

§ 30 OWiG stellt jedoch eine solche unzulässige materiell-rechtliche Norm dar (vgl. LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 26; siehe auch zum äquivalenten § 3 des Entwurfs zum Gesetz zur Sanktionierung von verbandsbezogenen Straftaten – VerSanG: Referentenentwurf des Bundesministeriums der Justiz und für Verbraucherschutz, Stand: 20. April 2020, S. 71). § 30 OWiG sieht nämlich keine Regelungen für den Ablauf des Bußgeldverfahrens (also das „Wie“ der Verhängung, z. B. Anhörung oder Akteneinsicht) vor, sondern materielle Voraussetzungen im Sinne von zusätzlichen Tatbestandsmerkmalen (also das „Ob“ der Verhängung, hier: Anknüpfungstat einer Leitungsperson) für ein Bußgeld gegen juristische Personen. Insofern gehört § 30 OWiG auch zum ersten Teil des OWiG, dem Teil „Allgemeine Vorschriften“ , und nicht zum zweiten Teil des OWiG, „Bußgeldverfahren“ .

5. Auslegung des § 41 BDSG

Auch eine europarechtskonforme Auslegung des § 41 Abs. 1 Satz 1 BDSG führt zur Anwendung des Funktionsträgerprinzips.

a) Auslegung nach dem Wortlaut

Der Wortlaut des § 41 Abs. 1 Satz 1 BDSG lässt Raum für die gebotene unionsrechtskonforme Auslegung.

Die Regelung des § 41 Abs. 1 Satz 1 BDSG verweist nur auf eine „sinngemäße“ Geltung des OWiG. Demnach gilt die DSGVO vorrangig und das OWiG ist nur anwendbar, soweit die DSGVO Regelungslücken lässt (Brodowski/Nowak , in: BeckOK DatenschutzR, 42. Edition, Stand: 1. November 2022, § 41 BDSG Rn. 7).

Soweit eine Regelung des deutschen Ordnungswidrigkeitenrechts der DSGVO entgegensteht, muss sie unanwendbar bleiben (Ehmann , ZD 2017, 201; Bergt , DuD 2017, 555 (559)). Da die DSGVO eine unmittelbare Verbandshaftung vorsieht, fehlt es an einer Lücke des Unionsrechts, die mit einer vollständigen Anwendung des § 30 OWiG zu füllen wäre. Soweit § 30 OWiG dem europäischen Funktionsträgerprinzip entgegensteht, indem es auf ein Verschulden eines Organs oder einer Leitungsperson abstellt, ist die Vorschrift mit den Regelungen der DSGVO unvereinbar und damit nicht anwendbar.

b) Systematische Auslegung

Dass sich die Unanwendbarkeit des § 30 Abs. 1 OWiG bei Bußgeldern wegen Datenschutzverstößen auch aus § 41 BDSG ergibt, zeigt die systematische Auslegung der BDSG-Norm. Denn wäre die Regelung des § 30 OWiG anwendbar, wäre die Regelung des § 41 Abs. 2 Satz 2 BDSG widersprüchlich.

Zu den in § 41 Abs. 2 Satz 2 BDSG von der Anwendung ausgeschlossenen Vorschriften des OWiG zählen etwa §§ 87, 88 OWiG. Diese Regelungen finden sich im achten Abschnitt des zweiten Teils des OWiG. Dabei trägt der achte Abschnitt die Überschrift „Verfahren bei Anordnung von Nebenfolgen oder der Festsetzung einer Geldbuße gegen eine juristische Person oder Personenvereinigung“ .

Es überzeugt daher nicht, dass die Anwendung des materiell-rechtlichen § 30 OWiG durch den Gesetzgeber nicht ausgeschlossen sein soll, wohl aber die zur prozessualen Durchsetzung des § 30 OWiG zentralen Verfahrensvorschriften zur Sanktionierung von juristischen Personen im OWiG (so auch Brodowski/Nowak , in: BeckOK DatenschutzR, 42. Edition, Stand: 1. November 2022, § 41 BDSG Rn. 11.3).

c) Anwendungsvorrang des Unionsrechts

In der hier gegenständlichen Konstellation geht es gerade nicht um eine nationale Norm, die im Lichte einer Richtlinie ausgelegt werden muss. Es geht vielmehr um die Durchsetzung von Sanktionen, die in einer unmittelbar anwendbaren europäischen Verordnung geregelt sind und durch die Aufsichtsbehörden verhängt werden. Während Richtlinien nur hinsichtlich ihrer Regelungsziele beachtet werden müssen, gelten Verordnungen unmittelbar und sind in allen ihren Teilen verbindlich (vgl. Art. 288 Abs. 2 AEUV). Insofern ist der Spielraum für eine Abweichung vom Willen des europäischen Gesetzgebers im Rahmen der Durchsetzung datenschutzrechtlicher Sanktionen auf Grundlage der DSGVO grundsätzlich deutlich geringer, als wenn die Sanktionen lediglich in einer Richtlinie vorgesehen wären.

Als europäischer Verordnung kommt der DSGVO Anwendungsvorrang vor nationalem Recht zu (vgl. EuGH, Urt. v. 15. Juli 1965 – Rs. 6/64 – Costa/ENEL, Slg. 1964, 1251, 1269; EuGH, Urt. v. 9. März 1978 – Rs. 106/77 – Simmentahl II, Slg. 1978, 629 Rn. 17/18). In der Folge verliert kollidierendes mitgliedstaatliches Recht zwar nicht seine Gültigkeit, wird jedoch unanwendbar. Der Grund für dieses Verständnis liegt dabei weniger in der Schonung staatlicher Souveränität als in der fehlenden Befugnis des EuGH, über die Geltung mitgliedstaatlichen Rechts zu judizieren (Ruffert , in: Calliess/Ruffert, EUV/AEUV, 5. Aufl. 2016 Art. 1 AEUV Rn. 18 f.).

Der Anwendungsvorrang wirkt gegenüber sämtlichem mitgliedstaatlichen Recht, auch gegenüber solchem mit Verfassungsrang, um Einheit, Funktionsfähigkeit und Wirksamkeit des Unionsrechts zu sichern (EuGH, Urt. v. 17. Dezember 1970 – C- 11/70 – Internationale Handelsgesellschaft, Slg. 1970, 1125 Rn. 3 f.; EuGH, Urt. v. 26. Februar 2013 – C-399/11 – Meloni, NJW 2013, 1215 Rn. 59 ff.; EuGH, Urt. v. 22. November 2005 – C-144/04 – Mangold, NJW 2005, 3695 Rn. 77).

Auch ohne eine ausdrückliche Herausnahme des § 30 OWiG aus der Verweisung in § 41 BDSG wäre damit die Anwendung des § 30 OWiG bereits aufgrund der sich aus dem Anwendungsvorrang ergebenden Kollisionsregel ausgeschlossen. Dies ergibt sich schon aus dem eindeutigen Willen des europäischen Gesetzgebers, der grundsätzlich von einem funktionalen Unternehmensbegriff bei der datenschutzrechtlichen Sanktionierung ausgeht.

d) Effektivitätsgebot („effet utile“)

Der Vergleich mit anderen Mitgliedstaaten zeigt darüber hinaus, dass das Rechtsträgerprinzip des § 30 OWiG den Vollzug des Art. 83 Abs. 4 bis 6 DSGVO unzulässiger Weise erheblich erschwert und somit gegen das Effektivitätsgebot verstößt.

Aus dem Anwendungsvorrang folgt nicht nur die Unanwendbarkeit kollidierenden nationalen Rechts für Behörden und Gerichte, sondern auch die Verpflichtung, das nationale Recht unionsrechtskonform auszulegen und fortzubilden. Dabei ist das Effektivitätsgebot („effet utile“) zu berücksichtigen (ständige Rspr. d. EuGH, Urt. v. 19. November 1991 – Rs C-6/70 u. 9/79, NJW 1992, 165 Rn. 32 m. w. N.).

Demnach darf die Anwendung mitgliedstaatlichen Rechts die Wirksamkeit des Unionsrecht nicht praktisch unmöglich machen oder übermäßig erschweren. Derjenigen Auslegung ist der Vorzug einzuräumen, die der Verwirklichung der Vertragsziele und der Funktionsfähigkeit der Union am dienlichsten ist (vgl. Mayer , in: Grabitz/Hilf/Nettesheim, Das Recht der EU, 77. EL September 2022, Art. 19 EUV Rn. 57).

Wäre die Zurechnung über § 30 OWiG tatsächlich bei jedem Datenschutzverstoß erforderlich, so könnte nicht gelingen, was der europäische Gesetzgeber zum Ziel hatte, nämlich die Gesetzverstöße von Unternehmen in der gesamten EU harmonisiert zu sanktionieren (vgl. bspw. Erwägungsgrund 129 Satz 1 DSGVO). Die zusätzlichen Anforderungen würden gegenüber dem europäischen Haftungsmodell zu einer erheblichen Einschränkung der Bußgeldverhängung gegen juristische Personen führen, wenn trotz Feststehens eines Datenschutzverstoßes die internen Verantwortlichkeiten von den Datenschutzaufsichtsbehörden aufzuklären wären. Den Nachweis eines Organisations- oder Überwachungsverschuldens einer Leitungsperson erbringen zu können, wird schwieriger, je größer das Unternehmen und seine organisatorischen Verflechtungen sind, insbesondere bei großen börsennotierten Konzernen. Hierdurch entstehen auf Seiten der deutschen Verwaltungs- und Ermittlungsbehörden, aber auch auf Seiten der Unternehmen selbst, enormer Aufwand und enorme Kosten im Rahmen von (zum Teil öffentlichkeitswirksamen) Durchsuchungen von Geschäftsräumen und Beschlagnahmen sowie Sichtung von Material, wie interner E-Mail-Kommunikation, die zum Teil nur deshalb stattfinden muss, um intern eine Leitungsperson der juristischen Person ermitteln zu können. Schlimmstenfalls entstehen Sanktionslücken, weil trotz enormem Ermittlungsaufwands eine Leitungsperson, der ein Vorwurf zu machen ist, nicht ermittelt werden kann, obschon ein Verstoß des Unternehmens anhand der übrigen Beweise ansonsten zweifelsfrei feststeht. Der Nachweis ist regelmäßig mit einem erheblichen Aufwand verbunden. Das Erfordernis des Leitungsverschuldens kann Unternehmen darüber hinaus dazu bewegen, Verantwortlichkeiten und Entscheidungswege über ein Geflecht an Tochtergesellschaften und eine Vielzahl an Abteilungen derart unüberschaubar zu organisieren, dass für die Datenschutzaufsichtsbehörden nur schwer nachvollziehbar ist, welche Leitungsperson die interne Verantwortung trägt.

Es bestünde insofern die naheliegende Gefahr einer europaweit deutlich unterschiedlichen Sanktionierungspraxis (vgl. LG Bonn, Urt. v. 11. November 2020 – 29 OWi 1/20, BeckRS 2020, 35663 Rn. 32). Da Zurechnungserfordernisse im europäischen Ausland weitgehend unbekannt sind (Kubiciel/Gräbener , ZRP 2016, 137 m. w. N.), würde die Anwendbarkeit einer Regelung wie der des § 30 OWiG dem Harmonisierungswillen des europäischen Gesetzgebers entgegenstehen. Wird ein Verfahren gegen juristische Personen mit Sitz in Deutschland geführt, würden durch den § 30 OWiG weitere, über Art. 83 DSGVO hinausgehende, Voraussetzungen hinzukommen, die durch die Aufsichtsbehörde zu ermitteln und zu prüfen wären, anders als dies etwa in Frankreich oder der Slowakei der Fall ist. Denn in den meisten europäischen Mitgliedstaaten ist die Verhängung einer Verbandsstrafe auch in den nationalen Gesetzen vorgesehen. So gilt etwa in Frankreich die strafrechtliche Verbandshaftung bereits seit 1994 (Rogall , in: KK-OWiG, 5. Aufl. 2018, § 30 Rn. 266). Auch in anderen europäischen Mitgliedstaaten, so etwa in Belgien, Dänemark, Italien, Niederlande (Rogall , in: KK-OWiG, 5. Aufl. 2018, § 30 Rn. 263 ff.), Tschechien (vgl. Bohata, NZWiSt 2012, 161 (162 ff.)), Rumänien, Luxemburg und der Slowakei (vgl. Clifford Chance , Corporate Criminal Liability in Europe, 2016 https://www.cliffordchance.com/content/dam/cliffordchance/briefings/2016/04/ corporate-criminal-liability.pdf) ist die Verbandshaftung gesetzlich verankert.

Auch die Entscheidung des Conseil d’État vom 19. Juni 2020 (in Bezug auf die von der französischen Datenschutzbehörde „CNIL“ verhängte Sanktion gegenüber Google LLC in Höhe von 50 Millionen Euro) zeigt exemplarisch, dass die Verhängung von Geldbußen gegenüber juristischen Personen offensichtlich keiner namentlichen Benennung einer natürlichen Person bedarf. Im Rahmen der rechtlichen Beurteilung kommt das Höchstgericht zum Entschluss, dass Google LLC als Verantwortliche zu qualifizieren und daher die Geldbuße – ohne Einbeziehung des tatbestandsmäßigen, rechtswidrigen und vorwerfbaren Verhaltens einer natürlichen Person – zu Recht ihr gegenüber zu verhängen ist (vgl. die Entscheidung des Conseil d’État vom 19. Juni 2020, N° 430810, abrufbar in Französisch unter https://www.conseil17 etat.fr/ressources/decisions-contentieuses/dernieres-decisionsimportantes/ conseil-d-etat-19-juin-2020-sanction-infligee-a-google-par-la-cnil).

Zur zweiten Vorlagefrage: Allgemeines Verschuldenserfordernis

I. Inhalt der Vorlagefrage

Für den Fall, dass der EuGH die erste Vorlagefrage bejaht, fragt das KG in einer zweiten Vorlagefrage, ob Art. 83 Abs. 4 bis Abs. 6 DSGVO dahingehend auszulegen ist, dass das Unternehmen den durch Mitarbeitende vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 KartellVO), oder ob für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß ausreicht („strict liability“).

II. Auslegung des Art. 83 DSGVO spricht für verschuldensunabhängige Bebußung

1. Auslegung nach dem Wortlaut

Für eine verschuldensunabhängige Bebußung spricht zunächst, dass an keiner Stelle in der DSGVO, insbesondere nicht in Art. 83 Abs 1 oder Abs. 4 bis 6 DSGVO, das Erfordernis von Fahrlässigkeit oder Vorsatz als Voraussetzung einer Geldbuße kodifiziert ist. Stattdessen wird in Art. 83 Abs. 2 Satz 2 lit. b DSGVO Vorsatz oder Fahrlässigkeit lediglich als eines der Zumessungskriterien („berücksichtigt“) aufgeführt (vgl. Bergt , in: Kühling/Buchner, DSGVO BDSG, 3. Aufl. 2022, Art. 83 DSGVO Rn. 35; Nemitz , in: Ehmann/Selmayr, DSGVO, 2. Aufl. 2018, Art. 83 Rn. 17; Härting , Datenschutz-Grundverordnung, 1. Aufl. 2016, Rn. 253; Bergt , DuD 2017, 555 (558 f.); Boms , ZD 2019, 536 (537)). Auch der Formulierung des Art. 83 Abs. 3 DSGVO lässt sich nicht entnehmen, dass nur solche Verstöße mit Geldbußen sanktioniert werden können, bei denen ein Verschulden nachgewiesen werden kann. Vielmehr gilt die in der Norm vorgesehene Privilegierung für vorsätzliche oder fahrlässige Verstöße bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen nach dem Grundsatz „a maiore ad minus“ erst recht für Fälle schuldloser Verstöße (Boms , ZD 2019, 536 (537)).

2. Systematische Auslegung

Es gibt keinen „Allgemeinen Teil“ eines EU-Sanktionsrechts, der vorsieht, dass nur vorsätzliche oder fahrlässige Handlungen mit Geldbuße bedroht sind (Bergt , in: Kühling/Buchner, DSGVO BDSG, 3. Aufl. 2022, Art. 83 DSGVO Rn. 35). Für eine verschuldensunabhängige Bebußung spricht auch das Regelungsgefüge der Schadensersatznorm des Art. 82 Abs. 1 DSGVO. Danach besteht das Recht auf Schadensersatz gegen den Verantwortlichen oder Auftragsverarbeiter, solange dieser gemäß Art. 82 Abs. 3 DSGVO nicht nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Dass der europäische Gesetzgeber insofern nicht ein Verschulden, sondern bloß eine strenge Exkulpationsmöglichkeit vorgesehen hat, bezeugt, dass er die rechtlichen Konsequenzen von DSGVO-Verstößen für den Verantwortlichen von der Feststellung von Verschulden lösen wollte.

In anderen Sanktionsvorschriften in EU-Verordnungen wird die fahrlässige oder vorsätzliche Begehung von Bußgeldtatbeständen ausdrücklich vorausgesetzt, z. B. in Art. 23 VO (EG) 1/2003. Darauf hat der europäische Gesetzgeber in Art. 83 DSGVO offensichtlich verzichtet.

Der europäische Gesetzgeber hat daneben aber auch in anderen Verordnungen verschuldensunabhängige Sanktionen vorgesehen, wie z. B. in Art. 55 Abs. 2 bzw. Abs. 3 der Verordnung (EG) Nr. 555/2008 (vgl. zu danach verschuldensunabhängig verhängten Geldbußen VG Ansbach, Urt. v. 29. Januar 2016 – AN 14 K 14.01302, AN 14 K 14,01335, BeckRS 2016, 42304; VG Würzburg, Urt. v. 10. Juli 2014 – W 3 K 14.37, BeckRS 2014, 56016) und Art. 11 Abs. 1 Satz 1 der Verordnung (EWG) Nr. 3665/87 in der durch die Verordnung (EG) Nr. 2945/94 geänderten Fassung (vgl. zu danach verschuldensunabhängig vorgenommenen Verminderungen EuGH, Urt. v. 6. Dezember 2012 – C-562/11, BeckRS 2012, 82568 Rn. 26 m. w. N.). Indem sich der europäische Gesetzgeber in Art. 83 DSGVO für eine vergleichbare Regelungssystematik wie in den o. g. Verordnungen entschieden hat, macht er deutlich, dass Geldbußen nach der DSGVO verschuldensunabhängig verhängt werden können.

3. Historische Auslegung

Nach den DSGVO-Entwürfen der Europäischen Kommission und dem Rat der Europäischen Union waren Fahrlässigkeit oder Vorsatz Voraussetzung einer Sanktion (vgl. Art. 79 Abs. 4, 5 und 6 DSGVO-E (KOM) und Art. 79a Abs. 1, 2 und 3 DSGVO-E (Rat)). Das Europäische Parlament wollte hingegen gemäß Art. 79 Abs. 2a DSGVO-E (EP) Sanktionen für „jeden, der seinen in dieser Verordnung festgelegten Pflichten nicht nachkommt“.

Insofern bestätigt Art. 79 Abs. 2b DSGVO-E (EP), der regeln sollte, dass Geldbußen nur bei Vorsatz oder Fahrlässigkeit verhängt werden, sofern der Verantwortliche oder Auftragsverarbeiter im Besitz des europäischen Datenschutzsiegels ist, dass vom Europäischen Parlament die Möglichkeit der Datenschutzaufsichtsbehörden beabsichtigt war, Geldbußen aufgrund von DSGVO-Verstößen grundsätzlich verschuldensunabhängig zu verhängen (vgl. Bergt , in: Kühling/Buchner, DSGVO BDSG, 3. Aufl. 2022, Art. 83 DSGVO Rn. 10; Bergt , DuD 2017, 555, 558; Härting , CR 2013, 715, 721).

Da die Vorschläge von Kommission und Rat im weiteren Gesetzgebungsverfahren nicht übernommen, sondern gestrichen worden sind, spricht das Ergebnis dafür, dass der europäische Gesetzgeber gerade kein Verschuldenserfordernis vorsehen wollte, mithin nicht von einem Redaktionsversehen auszugehen ist (vgl. Bergt , in: Kühling/Buchner, DSGVO BDSG, 3. Aufl. 2022, Art. 83 DSGVO Rn. 35; Boehm , in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 1. Aufl. 2019, Art. 83 DSGVO Rn. 26; Cornelius , in: Forgó/Helfrich/Schneider, Betrieblicher Datenschutz, 3. Aufl. 2019, Teil XIV Rn. 127; Bergt , DuD 2017, 555, 558; Boms , ZD 2019, 536, 537).

4. Teleologische Auslegung

Die Geldbußen nach Art. 83 DSGVO sind entscheidend für die effektive Durchsetzung des neuen, unionsweit harmonisierten Datenschutzrechts (vgl. Albrecht/Jotzo, Das neue Datenschutzrecht der EU, 1. Aufl. 2017, Teil 8 Rn. 34; vgl. auch Erwägungsgrund 148 Satz 1 DSGVO). Insbesondere gegenüber wirtschaftlich starken und international agierenden Akteuren sollen sie abschreckend wirken und deren Rechtstreue erzwingen (vgl. Albrecht/Jotzo, Das neue Datenschutzrecht der EU, 1. Aufl. 2017, Teil 8 Rn. 34). Hierfür müssen Geldbußen nach Art. 83 Abs. 1 DSGVO wirksam, verhältnismäßig und abschreckend sein.

Mit dieser Zielrichtung erscheint der Verzicht auf eine Verschuldensvoraussetzung in Art. 83 DSGVO dem Sinn und Zweck der Vorschrift, den Datenschutzaufsichtsbehörden unionsweit eine möglichst einfache und konsequente Bebußung von Verstößen gegen die DSGVO zu ermöglichen, gerecht zu werden. Die verschuldensunabhängige Bebußungsmöglichkeit schafft insofern auch für Verantwortliche und Auftragsverarbeiter zusätzliche Anreize, besonders effektive Datenschutzmanagementsysteme aufzubauen und einzusetzen, um die Vorgaben der DSGVO, die bußgeldbewehrt sind, einzuhalten.

III. Verhältnismäßigkeit entsprechend der EuGH-Rechtsprechung gewahrt

Eine verschuldensunabhängige Bebußung nach Art. 83 DSGVO ist auch mit dem Unionsrecht vereinbar, da sie verhältnismäßig ausgestaltet ist.

Bei der Beurteilung, ob eine Sanktion mit dem Grundsatz der Verhältnismäßigkeit im Einklang steht, sind u. a. Art und Schwere des Verstoßes, der mit dieser Sanktion geahndet werden soll, sowie die Modalitäten für die Bestimmung ihrer Höhe zu berücksichtigen (vgl. EuGH, Urt. v. 13. November 2014 – C-443/13, LMuR 2015, 8 Rn. 40; EuGH, Urt. v. 17. Juli 2014 – C-272/13, BeckRS 2014, 81202 Rn. 35). Nach der Rechtsprechung des EuGH ist dabei sogar eine bloß objektiv basierte Strafbarkeit zulässig, soweit der Verhältnismäßigkeitsgrundsatz gewahrt bleibt; ein System der objektiven Verantwortlichkeit steht als solches nicht außer Verhältnis zu den angestrebten Zielen, wenn es geeignet ist, die von ihm erfassten Personen zur Beachtung der Bestimmungen einer Verordnung anzuhalten, und wenn die verfolgten Ziele ein Allgemeininteresse aufweisen, das die Schaffung eines solchen Systems rechtfertigen kann (EuGH, Urt. v. 13. November 2014 – C-443/13, LMuR 2015, 8 Rn. 42; EuGH, Urt. v. 9. Februar 2012 – C-210/10, BeckRS 2012, 80284 Rn. 48; EuGH, Urt. v. 10. Juli 1990 – 326/88, BeckRS 2004, 70816 Rn. 19; EuGH, Urt. v. 2. Oktober 1991 – C-7/90, BeckRS 2004, 77713 Rn. 16 f.; EuGH, Urt. v. 27. Februar 1997 – C-177/95, BeckRS 2004, 74706 Rn. 36; EuGH, Urt. v. 20. März 2018 – C- 524/15, MwStR 2018, 551 Rn. 45 ff.).

Nach diesen Maßstäben ist auch die objektiv basierte Bebußung nach Art. 83 Abs. 4 bis 6 DSGVO zulässig, auch wenn es sich dabei nicht um Strafvorschriften handelt. Die Zielsetzung der DSGVO stellt ein Allgemeininteresse dar, das die Schaffung eines Systems der objektiven Verantwortlichkeit rechtfertigt. Ziel der DSGVO ist es, unionsweit ein hohes Datenschutzniveau zu gewährleisten, um insbesondere für das Recht auf den Schutz personenbezogener Daten nach Art. 8 GRCh und das Recht auf Achtung des Privat- und Familienlebens nach Art. 7 GRCh natürlicher Personen bei der Verarbeitung personenbezogener Daten sowie den freien Verkehr solcher Daten ein gleichwertiges und hohes Datenschutzniveau zu gewährleisten (vgl. Art. 1 DSGVO und Erwägungsgrund 10 Satz 1 DSGVO). Bußgelder aufgrund objektiver Verstöße gegen die DSGVO dürften Verantwortliche und Auftragsverarbeiter auch veranlassen, bei der Umsetzung der Verpflichtungen aus der DSGVO besondere Sorgfalt walten zu lassen, weil sie sich mit dem Hinweis auf mangelndes Verschulden der Verantwortlichkeit im Rahmen der Bebußung nach Art. 83 Abs. 4 bis 6 DSGVO nicht entziehen können (vgl. Boms , ZD 2019, 536, 537). Der Bußgeldrahmen in Art. 83 Abs. 4 bis 6 DSGVO kann dabei unter Berücksichtigung der Vorgaben der Wirksamkeit, Verhältnismäßigkeit und Abschreckung nach Art. 83 Abs. 1 DSGVO und der Bußgeldzumessungskriterien nach Art. 83 Abs. 2 Satz 2 lit. a bis k DSGVO von den Datenschutzaufsichtsbehörden passend für den jeweiligen Einzelfall ausgefüllt werden. Insofern ist die verschuldensunabhängige Bebußung auch angemessen, denn sie ist darüber hinaus kein Automatismus. Die Datenschutzaufsichtsbehörden können vielmehr auch bei einem objektiven Verstoß von einer Geldbuße absehen und stattdessen eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO erteilen, insbesondere bei geringfügigen Verstößen oder wenn voraussichtlich zu verhängende Geldbußen eine unverhältnismäßige Belastung für eine natürliche Person bewirken würden (vgl. Erwägungsgrund 148 Satz 2 DSGVO).

Kontakt:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Holstenstraße 98

24103 Kiel

E-Mail: mail@datenschutzzentrum.de

Weitere Informationen zur Datenschutzkonferenz:

www.datenschutzkonferenz-online.de