900.000 statt 14,5 Millionen

Der Immobilienkonzern Deutsche Wohnen muss wegen unzureichender Löschkonzepte für Mieterdaten ein Bußgeld zahlen – doch weit weniger als die Berliner Datenschutzbeauftragte forderte.

Ein aufsehenerregendes Bußgeldverfahren hat die nächste und vielleicht auch letzte Hürde genommen: Der Immobilienkonzern Deutsche Wohnen ist in Berlin wegen Verstößen gegen die DS-GVO zu einem Bußgeld von 900.000 Euro verurteilt worden. Das LG Berlin I – hier war für das Bußgeld die 26. Große Strafkammer zuständig – stellte fest, dass das Unternehmen keine ausreichenden technischen und organisatorischen Maßnahmen umgesetzt habe, um personenbezogene Daten ehemaliger Mieterinnen und Mieter fristgerecht zu löschen (Urteil vom 09.06.2026 – 526 OWi LG 1/20).

Nach den Feststellungen der Strafkammer hatte der Konzern nach Inkrafttreten der DS-GVO und Ablauf der Übergangsfrist im Mai 2018 nicht rechtzeitig seine IT-Systeme angepasst. Dadurch sei die Löschung sensibler personenbezogener Daten wie Gehaltsnachweise, Kontoauszüge und Ausweisdokumente nicht sichergestellt gewesen.

Die Richterinnen und Richter sahen darin Verstöße gegen die Grundsätze der Datenminimierung und Speicherbegrenzung nach Art. 5 DSGVO. Darüber hinaus habe das Unternehmen in Einzelfällen auch gegen die Voraussetzungen der Datenverarbeitung nach Art. 6 DSGVO verstoßen. Nach Auffassung der Kammer war dabei von vorsätzlichem Handeln auszugehen.

EuGH stellte klar: Keine konkret verantwortliche Person nötig für Unternehmensbußgeld

Ausgangspunkt des Verfahrens war ein Bußgeldbescheid der Berliner Datenschutzbeauftragten aus dem Jahr 2019 über rund 14,5 Millionen Euro gewesen. Gegen diesen hatte der Konzern Einspruch eingelegt. Das LG hatte das Verfahren zunächst 2021 wegen eines Verfahrenshindernisses eingestellt, weil die Behörde keine konkret verantwortliche Person für den Verstoß benannt hatte. Auf die sofortige Beschwerde der Datenschutzbeauftragten ging die Sache jedoch vor das KG, das sich unsicher war, ob es überhaupt eine konkret verantwortliche Person im Unternehmen brauche, um diesem ein Bußgeld aufzubrummen. 

Diese Frage legte es dem EuGH zur Vorabentscheidung vor und die Luxemburger Richterinnen und Richter erklärten: Es brauche zwar einen schuldhaften Verstoß gegen die DS-GVO, jedoch könnten Datenschutzbehörden auch Bußgelder gegen Unternehmen verhängen, ohne dazu eine Ordnungswidrigkeit einer natürlichen Leitungsperson festzustellen. Das KG entschied daraufhin, dass das Verfahren fortgesetzt werden müsse und verwies die Sache an das LG Berlin I zurück.

In der neuen Hauptverhandlung kam die Kammer nun zu dem Ergebnis, dass zwar Verstöße vorlagen, das Bußgeld aber deutlich niedriger anzusetzen sei. Sie berücksichtigte dabei, dass das Unternehmen externe Fachleute eingebunden habe, um die IT-Systeme an die DS-GVO anzupassen. Zudem hätten sich die Verstöße auf die Einführungsphase der DS-GVO beschränkt. Auch die Aufsichtsbehörde habe selbst Schwierigkeiten gehabt, die neue Rechtslage umzusetzen und Verstöße gerichtsfest zu dokumentieren. Aus diesem Grund sei eine Geldbuße in Höhe von 900.000 Euro tat- und schuldangemessen.

Beide Seiten reklamieren Entscheidung für sich

Verurteilt, aber Geldbuße deutlich reduziert: Dieses salomonisch wirkende Urteil aus Berlin lässt beiden Seiten Spielraum, die Entscheidung als Sieg für sich zu verbuchen. Meike Kamp, die aktuelle Berliner Beauftragte für Datenschutz und Informationsfreiheit, die dieses Verfahren mit Amtsübernahme 2022 "geerbt" hatte, sah dementsprechend das Vorgehen ihrer Behörde bestätigt. "Im Verfahren sind darüber hinaus wichtige Rechtsfragen geklärt worden, die für die Anwendung des Datenschutzrechts und die Aufsichtspraxis große Relevanz haben. Dies schafft Rechtssicherheit für alle Beteiligten", so die Juristin Kamp.

"Der EuGH ist in diesem Verfahren bereits einmal unseren Argumenten gefolgt und hat verschuldensunabhängigen DS-GVO-Geldbußen gegen Unternehmen eine klare Absage erteilt. Dies hat das Landgericht Berlin I jetzt bestätigt", erklärte hingegen Tim Wybitul, Rechtsanwalt von Latham & Watkins, der die Deutsche Wohnen in dem Verfahren vertritt, gegenüber beck-aktuell.Heute im Recht. "Es hat nun als erste Tatsacheninstanz über die Auslegung der maßgeblichen Vorgaben der DS-GVO zum Löschen von Daten und zum Datenschutz durch Technikgestaltung entschieden. Es hat das Bußgeld ganz überwiegend aufgehoben." Die Entscheidung habe Signalwirkung auch für andere Rechtsbereiche, so Wybitul. "Das Verfahren zeigt klar, dass man sich mit guten Argumenten erfolgreich gegen DS-GVO-Bußgelder und andere Behördenmaßnahmen nach dem Digitalrecht der EU verteidigen kann.“

Das Urteil ist noch nicht rechtskräftig, gegen die Entscheidung kann Rechtsbeschwerde eingelegt werden.