Der Europäische Gerichtshof (EuGH) wird bald darüber entscheiden, ob europäische Datenschutzbehörden künftig leichter Bußgelder nach Art. 83 DSGVO gegen Unternehmen verhängen können. Diese Entscheidung kann großen Einfluss auf die künftige Bußgeldpraxis in der gesamten Europäischen Union haben. In dem vorliegenden Blogbeitrag fassen wir wesentliche Erfahrungen und Positionen aus Sicht der Verteidigung in diesem Verfahren zusammen. Wir zeigen auch die möglichen Risiken für Unternehmen und geben einen Ausblick auf das weitere Verfahren und die möglichen Folgen der anstehenden Entscheidung des EuGH.
Worum geht es in diesem EuGH Verfahren?
Die deutschen Datenschutzaufsichtsbehörden wollen erreichen, dass der EuGH ihnen das Verhängen von DSGVO-Geldbußen gegen Unternehmen erleichtert. Am Tag nach der mündlichen Verhandlung vor dem EuGH hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) eine Stellungnahme zu dem EuGH Verfahren veröffentlicht. Diese Stellungnahme ist hier im Volltext abrufbar. Sie wollen das nach Art. 4 EUV und dem Grundsatz der Verfahrensautonomie der Mitgliedsstaaten geltende nationale Prozessrecht nicht anwenden. Stattdessen fordern sie eine EU-weit einheitliche „direkte Sanktionierung juristischer Personen und Unternehmen“ in Anlehnung an die Rechtsprechung des EuGH in Fragen des EU-Kartellrechts. Die Aufsichtsbehörden fordern eine „Erleichterung für die Datenschutzaufsichtsbehörden“. Diese Erleichterung sei „vom europäischen Gesetzgeber gewollt“. Die Behörden wollen DSGVO-Verstöße nicht in dem vom deutschen Prozessrecht geforderten Detailgrad nachweisen müssen. Dabei gehen die Aufsichtsbehörden etwa davon aus, dass sie kein Organisationsverschulden, keine Verletzung von Aufsichtspflichten und keine Verstöße einzelner Manager oder Angestellter nachweisen müssen.
Wie wirkt sich die Auffassung der Datenschutzbehörden in der Praxis aus?
Die Berliner Datenschutzaufsichtsbehörde hatte gegen ein Unternehmen eine Geldbuße verhängt. Dabei hatte sie den relevanten Sachverhalt jedoch nicht entsprechend der Vorgaben des deutschen Verfahrensrechts ermittelt. Insbesondere hatte sie die zur Last gelegte Tat nicht näher bestimmt oder interne Zuständigkeiten und Organisationsstrukturen geprüft. Das Landgericht Berlin hob den Bußgeldbescheid der Behörde auf. Das deutsche Recht fordert aus guten Gründen, dass Behörden und Staatsanwaltschaften die rechtswidrige Handlung, wegen der sie eine Geldbuße verhängen, genau bezeichnen müssen (§ 66 OWiG). Dazu müssen die Behörden im Falle der Sanktionierung eines Unternehmens zumindest Fehler auf der Leitungsebene des Unternehmens feststellen, etwa mangelnde Aufsicht oder organisatorische Versäumnisse. Die DSGVO gilt zwar als europäische Verordnung in den Mitgliedsstaaten unmittelbar. Sie enthält aber keine abschließenden Regelungen zur Verhängung von Geldbußen. Nach Art. 4 EUV verbleibt die Regelungskompetenz hierzu bei den Mitgliedsstaaten. Auch Art. 83 Abs. 8 DSGVO verweist dementsprechend ausdrücklich auf die Verfahrensgarantien der Mitgliedstaaten.
Das Verfahren kann sich auf die Bußgeldpraxis der Datenschutzbehörden in der gesamten EU auswirken
Nach Ansicht der DSK sollen die oben genannten Vorschriften nicht gelten. Sie vertreten die Auffassung, der EU-Gesetzgeber habe einen einheitlichen Datenschutzstandard für die gesamte EU durch ein einziges „supranationales Sanktionsregime“ schaffen wollen.
Gegen den Ansatz der Datenschutzbehörden sprechen gewichtige rechtliche – und rechtsstaatliche – Argumente. Eine Übersicht über die maßgeblichen rechtlichen Kritikpunkte können Sie in diesem Beitrag von Tim Wybitul und Nikolai Venn nachlesen.
Wie ist die Verhandlung vor dem EuGH gelaufen?
Am 17. Januar fand eine vierstündige mündliche Verhandlung vor der Großen Kammer des EuGH in Luxemburg statt. Dabei haben die Europäische Kommission, das Europäische Parlament und die Niederlande die Forderungen der deutschen Datenschutzbehörden grundsätzlich unterstützt. Dagegen haben sich sowohl die Bundesrepublik Deutschland als auch andere Mitgliedstaaten für die in Art. 83 Abs. 8 DSGVO angeordnete Geltung des nationalen Rechts der Mitgliedsstaaten ausgesprochen. Insgesamt wirkten nach der Wahrnehmung des Verfassers dieses Überblicks weder das Gericht noch der Generalanwalt so, als hätten sie bereits eine endgültige Entscheidung getroffen. Einen ausführlicheren Erfahrungsbericht aus der Perspektive der Verteidigung können Sie hier abrufen.
Wie geht es weiter?
Der Generalanwalt wird seine Schlussanträge Ende April 2023 stellen. Häufig folgt die endgültige Entscheidung des EuGH dann in etwa ein halbes Jahr später. Das ist aber nur eine grobe Richtschnur.
Eine Entscheidung des EuGH zugunsten der Positionen der Datenschutzbehörden wäre rechtsstaatlich bedenklich. Eine Anlehnung an die Rechtsprechung der Unternehmenshaftung im EU-Kartellrecht ist weder inhaltlich geboten noch rechtlich zulässig. Eine solche Auslegung würde auch gegen das Bestimmtheitsgebot des Art. 103 Abs. 2 GG und den Grundsatz der Gesetzesmäßigkeit der Strafen nach Art. 49 Abs. 1 GRCh verstoßen. Auch die diese Auffassung zugrundeliegende pauschale und empirisch unbegründete Annahme, das deutsche Recht würde keine effektive Sanktionierung von unternehmen erlauben, trifft nicht zu. Dies zeigen bereits die vielen von Staatsanwaltschaften, Bundeskartellamt und anderen deutschen Behörden gegen Unternehmen verhängten hohen Bußgelder. Diese haben – anders als es die Stellungnahme der DSK nahelegt – in Deutschland sogar bereits die Milliardengrenze erreicht.
Hierzuführt die genannte Stellungnahme unter anderem folgendes aus: „Den Nachweis eines Organisations- oder Überwachungsverschuldens einer Leitungsperson erbringen zu können, wird schwieriger, je größer das Unternehmen und seine organisatorischen Verflechtungen sind, insbesondere bei großen börsennotierten Konzernen. Hierdurch entstehen auf Seiten der deutschen Verwaltungs- und Ermittlungsbehörden (…) enormer Aufwand und enorme Kosten“. Und vielleicht noch deutlicher: „Der Nachweis ist regelmäßig mit einem erheblichen Aufwand verbunden.“
Im vorliegenden Fall hatte das LG Berlindieser Einschätzung übrigens ausdrücklich eine Absage erteilt. Vielmehr wäre nach Auffassung der Großen Strafkammer eine Ermittlung des relevanten Sachverhalts durchaus ohne größeren Aufwand möglich gewesen. Dies erfordere die Feststellung eines konkreten Tatvorwurfs und dessen Zurechnung gegenüber einem Unternehmen: „Dies wäre aber umso mehr erforderlich, als, wie aus der Akte ersichtlich ist, die Behörde zu den Vorwürfen bei der Betroffenen Ermittlungen geführt hat und über einen längeren Zeitraum mit dieser über die gegenständlichen Vorwürfe in Kontakt stand, sich etwa schriftlich und in persönlichen Gesprächen Fragen von Mitarbeitern des Unternehmens beantworten ließ. Insoweit wären Ausführungen dazu möglich und notwendig gewesen, aus welchen Umständen die Behörde eine Verantwortlichkeit der Betroffenen herleiten möchte.“
Fazit
Der Aufwand einer rechtsstaatlichen Sachverhaltsaufklärung hält sich aber nicht nur in diesem Fall in mehr als vertretbaren Grenzen. Allzu hoch sind die rechtlichen Hürden gerade nicht. Dies zeigt auch die Bußgeldpraxis deutscher Behörden bei der Sanktionierung von Unternehmen in anderen Rechtsgebieten. Soviel Aufwand für den Nachweis, ob es tatsächlich zu Verstößen gekommen ist, sollte uns ein rechtsstaatliches Vorgehen aber eigentlich wert sein. Es steht zu hoffen, dass der EuGH dies auch so sehen wird. Andernfalls könnte aber auch das BVerfG letztlich noch ein Wörtchen mitreden. Denn Schuldgrundsatz und Rechtsstaatsprinzip sind hohe Werte unserer Verfassung.
