EU-Parlament soll im Februar 2024 über Neuregelung zur Sanktionierung von DSGVO-Verstößen entscheiden

von Tim Wybitul und Dr. Isabelle Brams 

Die geplante Neuregelung soll im Februar im EU-Parlament verabschiedet werden. Sie wäre sehr nachteilig, wenn ihr euch gegen den Vorwurf möglicher DSGVO-Verstöße verteidigen müsstet. Das geplante Gesetzesvorheben dürfte die Entwicklung hin zu höheren Geldbußen bei DSGVO-Verstößen noch weiter erheblich verstärken. Unternehmen haben aber jetzt noch die Möglichkeit, auf diese Entwicklung Einfluss zu nehmen oder jedenfalls ihre Auswirkungen zu begrenzen. Hier wäre aber ein zeitnahes Handeln notwendig.

Überblick: Die EU-Kommission hat im Juli 2023 den Erlass der sog. Enforcement-Verordnung angekündigt. Die geplante Verordnung zur Ergänzung der DSGVO zielt vor allem darauf ab, die Durchführung von Bußgeldverfahren zu vereinheitlichen und zu beschleunigen. Dies betrifft vor allem grenzüberschreitende Sachverhalte. Zudem sieht der Entwurf eine weitreichende Ausweitung der Rechte von Beschwerdeführern und eine Ausweitung von Akteneinsichtsrechten für alle Beteiligten vor.

Auswirkungen: Sollten die geplanten Regelungen in dieser oder ähnlicher Form in Kraft treten, hätte dies für die Praxis weitreichende Folgen. Insbesondere würde es für Unternehmen erheblich schwieriger, sich effektiv in Bußgeldverfahren zu verteidigen. Gleichzeitig steigt durch die Enforcement-Verordnung das Risiko höherer Bußgelder für Unternehmen massiv an.

Risiken für Unternehmen

• Höhere Geldbußen: Die geplante Enforcement-Verordnung sieht unter anderem vor, dass die an Verfahren beteiligten Aufsichtsbehörden (Concerned supervisory authorities – CSAs) deutlich mehr Einfluss auf das Ob und Wie von Bußgeldentscheidungen Einfluss nehmen. Dies dürfte es Behörden erheblich erleichtern, schneller hohe Geldbußen durchzusetzen. Insbesondere können CSAs die federführenden Aufsichtsbehörde (Lead Supervisory Authority – LSA) früh in Ermittlungen durch einen verbindlichen Beschluss des EDSA (EDPB) überstimmen. Dies gibt Aufsichtsbehörden in allen Mitgliedsstaaten weitreichende Rechte bei grenzüberschreitenden Fällen. Aktuelle Bußgelder zeigen, dass viele Behörden zunehmend auf eine weitere Verschärfung der europäischen Bußgeldpraxis dringen. Zugleich zielt die Enforcement-Verordnung darauf ab, Bußgeldverfahren erheblich zu beschleunigen. Unternehmen drohen damit nicht nur höhere Geldbußen, sondern auch deutlich schnellere Verfahren mit eingeschränkten Verteidigungsrechten.
• Ausweitung der Rechte von Beschwerdeführern: Die geplante Enforcement-Verordnung sieht zudem zusätzliche Befugnisse für Beschwerdeführer vor, die deutlich über die bisherigen Beteiligungsrechte nach der DSGVO oder nach nationalem Recht hinausgehen. Insbesondere sollen Beschwerdeführer umfassende Einsichtsrechte in die Fallakten der Behörden erhalten. Zudem sind Aufsichtsbehörden verpflichtet, die Position von Beschwerdeführern im Rahmen des Verfahrensverlaufs umfassender zu beteiligen. Beschwerdeführer könnten dann deutlich stärkeren Einfluss auf den Ausgang (aber auch die Publizität) von Bußgeldverfahren nehmen. Die entsprechenden Rechte sollen dabei aber nicht nur den Beschwerdeführern selbst zustehen. Vielmehr sollen sie auch für Verbraucherschutz- und Datenschutzorganisationen gelten, die Beschwerdeführer in dem Verfahren vertreten (wie etwa NOYB, EuGD oder kleinfee).
• Risiko von Massenklagen: Es ist sehr wahrscheinlich, dass Verbraucher- und Datenschutzorganisationen die weitgehenden Einsichtsrechte auch gezielt für andere Zwecke nutzen könnten. Beispielsweise können sich Informationen verschaffen, die sie später in Rechtsstreitigkeiten gegen das Unternehmen nutzen können. Dies gilt insbesondere für Schadensersatzklagen nach Art. 82 DSGVO. Hier drohen Unternehmen zunehmend Massenklagen, etwa nach bekannt gewordenen Datenpannen. Auch in dieser Hinsicht bringt die Enforcement-Verordnung daher erhebliche zusätzliche Risiken mit sich.
• Einschränkung von Verteidigungsrechten: Die geplante Enforcement-Verordnung schränkt die Verteidigungsrechte von Unternehmen erheblich ein. Der bisherige Entwurf sieht vor, dass Unternehmen nur noch Stellungnahmen einreichen dürfen, die voraussichtlich nicht mehr als 20 bis 30 Seiten betragen sollen. In so einem engen Rahmen lassen sich die wesentlichen Aspekte des Sachverhaltes und die Rechtsausführungen aber kaum überzeugend darstellen.

Bewertung: Die geplante Enforcement-Verordnung ist für Unternehmen mit erheblichen Risiken verbunden. Sie führt nicht nur zu einer massiven und einseitigen Einschränkung von Betroffenenrechten. Zudem drohen Unternehmen deutliche höhere Geldbußen als bislang. Die Enforcement-Verordnung dürfte die Verteidigung gegen DSGVO-Geldbußen daher erheblich erschweren. Gleichzeitig verstößt die geplanten Einschränkungen von Verteidigungsrechten gegen die Justizgrundrechte in der EU-Grundrechtecharte. Wir haben die wesentlichen Inhalte der Enforcement-Verordnung auch noch mal in der anliegenden Übersicht ausführlicher dargestellt.

Ausblick und mögliche Maßnahmen: Derzeit befasst sich das EU-Parlament mit dem Entwurf. Mit einer Entscheidung ist hier bis Anfang Februar zu rechnen. Sofern Branchen- und Interessenverbände hier noch ihre Positionen einbringen wollen, ist somit Eile geboten.

Eine ausführlichere Analyse und Darstellung der Folgen der geplanten Neuregelung können Sie auf dem CR-online Blog hier abrufen:

Von Tim Wybitul, Dr. Marc Philipp Weber, Tim Wybitul und Dr. Arne Klaas

Die Verhängung von Geldbußen nach Art. 83 DS-GVO nimmt in der Praxis eine immer wichtigere Stellung ein. Deutsche und andere europäische Aufsichtsbehörden verhängen immer mehr und höhere Bußgelder wegen Datenschutzverstößen.

Viele Fragen zur Verhängung solcher Geldbußen sind dabei sehr umstritten. Die Zeitschfit für Datenschutz (ZD) hat mit Dr. Marc Philipp Weber, Tim Wybitul und Dr. Arne Klaas drei Praktiker zum Interview gebeten, die sich in ihrer täglichen Arbeit intensiv mit Sanktionen wegen Datenschutzverstößen befassen. 

Berufsbedingt haben alle drei Interviewpartner unterschiedliche Perspektiven auf das Bußgeldrecht: 

Dr. Marc Philipp Weber ist Referatsleiter bei der LfD Niedersachsen. Er war 2022 u.a. mit zwei der größten deutschen Bußgeldverfahren befasst.

Tim Wybitul ist Rechtsanwalt und leitet die deutsche Datenschutzpraxis von Latham & Waktins LLP. Er vertritt Unternehmen in behördlichen sowie gerichtlichen Datenschutzstreitigkeiten. Wybitul verteidigt Unternehmen regelmäßig in DS-GVO-Bußgeldverfahren bis hin zu Verfahren über Grundfragen der deutschen Bußgeldpraxis vor dem EuGH und ist zudem Mitherausgeber der ZD.  Dr. Arne Klaas ist Strafverteidiger mit einem spezifischen Fokus auf Datenschutzverstößen und berät und verteidigt Unternehmen in und zu Bußgeldverfahren. Die unterschiedlichen Blickwinkel auf die Sanktionierung von Datenschutzverstößen durch deutsche Aufsichtsbehörden ermöglichen einen interessanten Austausch zu den gegenwärtigen und zukünftigen Trends sowie den im Mittelpunkt stehenden Rechtsfragen.

Den vollständigen Beitrag aus der Zeitschrift für Datenschutz (ZD) finden Sie hier.

Die Veröffentlichung dieses Beitrags erfolgt mit freundlicher Genehmigung des Verlag C.H.Beck München. Die Website der Zeitschrift für Datenschutz (ZD) finden Sie hier.

Analyse und Einordnung der Schlussanträge der Generalanwälte

Von Tim Wybitul und Dr. Arne Klaas

Der Generalanwalt beim EuGH, Manuel Campos Sanchez-Bordona, hat am 27.4.2023 seine Schlussanträge in der Rechtssache C-807/21 gestellt. Das Verfahren betrifft grundsätzliche Fragen der Verhängung von DSGVO-Geldbußen gegen Unternehmen. Unter anderem ist die Frage entscheidend, ob Unternehmen ohne Feststellungen und Nachweise zu Aufsichtspflichtverletzungen oder sonstigen Verstößen haftbar sind.  Nur kurze Zeit später folgten am 4.5.2023 die Schlussanträge von Generalanwalt Nicholas Emiliou in dem ähnlich gelagerten Verfahren C-683/21. Der folgende Beitrag gibt einen Überblick über die wichtigsten Aussagen der Schlussanträge und ordnet die jeweiligen rechtlichen Ansätze und ihre Folgen für die Praxis ein. Die Schlussanträge enthalten für betroffene Unternehmen einige vorteilhafte Aussagen und Wertungen, sie werfen aber auch Probleme auf. Sie bieten zudem eine Reihe von Anhaltspunkten für die weitere Verteidigung von Unternehmen.

Den vollständigen Beitrag aus der Zeitschrift für Datenschutz (ZD) finden Sie hier.

Die Veröffentlichung dieses Beitrags erfolgt mit freundlicher Genehmigung des Verlag C.H.Beck München. Die Website der Zeitschrift für Datenschutz (ZD) finden Sie hier.

Von Tim Wybitul, Eren Basar und Timo Hager

Europäische Datenschutzbehörden verhängen immer höhere Geldbußen. Dementsprechend nimmt auch die Bedeutung einer effektiven Verteidigung von Unternehmen in Bußgeldverfahren wegen DS-GVO-Verstößen stetig zu. Verhängen die Datenschutzbehörden geldbußen nach Art. 83 DSGVO, müssen die nationalen Gerichte über eine komplexe Mischung aus Datenschutzrecht, Grundrechten und nationalem Prozessrecht entscheiden. Nicht selten liegen die datenschutzrechtlichen Anforderungen der Behörden und die wirtschaftliche Realität weit auseinander. Unternehmen sind daher gut beraten, sich durch eine geschickte Verteidigung in den verschiedenen Phasen solcher Bußgeldverfahren möglichst erfolgreich gegen drohende Geldbußen zur Wehr zu setzen. Der aktuelle Überblick aus der Zeitschrift für Datenschutz (ZD) fasst wesentliche Element einer erfolgreichen Verteidigung zusammen und gibt praxisorientierte Handlungsempfehlungen.

Den vollständigen Beitrag aus der Zeitschrift für Datenschutz (ZD) finden Sie hier.

Die Veröffentlichung dieses Beitrags erfolgt mit freundlicher Genehmigung des Verlag C.H.Beck München. Die Website der Zeitschrift für Datenschutz (ZD) finden Sie hier.

Hackerangriffe, Datendiebstahl, Ransomware, Datenpannen und sonstige Cybersecurity Incidents werden immer mehr zu einem zentralen Unternehmensrisiko. Dabei wird oft übersehen, dass dieses Thema nicht nur in technischer, sondern auch in rechtlicher Hinsicht einige Herausforderungen birgt. Der vorliegende Überblick zeigt die wichtigsten Aspekte, die Rechtsabteilungen bei der Vorbereitung und der Reaktion auf Datenpannen kennen sollten.

• Unternehmensjuristen müssen vor und nach Cybersecurity Incidents handeln

• Datenpannen oder Angriffe auf die Daten eines Unternehmens führen rechtlich zu einem erheblichen Handlungsbedarf. Auch in rechtlicher Hinsicht ist daher einige Vorbereitung geboten. So gilt es etwa, Notfallpläne vorzubereiten, aber auch die Mitarbeiter zu Fragen des Datenschutzes und der Datensicherheit angemessen zu schulen.

• Cybersecurity Incidents können erhebliche Rechtsrisiken nach sich ziehen

• Datenpannen oder Hackerangriffe und ähnliche Vorgänge können beispielsweise in Bezug auf Bußgelder oder Schadensersatzforderungen erhebliche Konsequenzen nach sich ziehen. Entsprechende Risiken drohen etwa bei unzureichender Datensicherheit, verspäteten Datenpannenmeldungen oder Informationen an betroffene Personen oder auch der unvollständigen oder nicht rechtzeitigen Erfüllung von Auskunftsansprüchen.

• Nicht selten verhängen europäische Datenschutzbehörden nach Cybersecurity Incidents hohe Bußgeler, teilweise sogar dreistellige Millionenbußgelder.

• Aber auch deutsche Zivilgerichte haben Klägern bislang DSGVO-Schmerzensgelder in Höhe von bis zu 10.000 € pro Fall zugesprochen. Gerade bei einer hohen Anzahl betroffener Personen kommen auch hier erhebliche finanzielle Risiken zusammen.

• Die Vorbereitung der Reaktion auf Datenpannen und ähnliche Cybersecurity Incicents umfasst auch juristische Fragestellungen. Vor allem müssen Unternehmen sicherstellen, dass auch die Unternehmensjuristen frühzeitig in die Reaktion auf derartige Vorfälle eingebunden werden. Jeder entsprechende Ablaufplan (Cybersecurity Incident Response Plan – CIRP) sollte dies abbilden.

Einen englischsprachigen Überblick über die zehn wichtigsten Punkte, die Unternehmensjuristen über Cybersecurity Incidents wissen sollten, können Sie hier abrufen.

Ein Interview mit unserem Partner Tim Wybitul aus dem Handelsblatt zu Cybersecurity Incidents finden Sie hier.

von Tim Wybitul und Johannes Zhou

Aktuelle Rechtsprechung des EuGH zu Art. 15 und Art. 82 DSGVO

Unternehmen sehen sich immer mehr Auskunftsansprüchen über die Verarbeitung personenbezogener Daten nach Art. 15 DSGVO ausgesetzt. In der Praxis fordern Kläger dann später oft Ersatz immaterieller Schäden nach Art. 82 DSGVO wegen (vermeintlich) unvollständiger oder verspäteter Auskünfte. Der EuGH bestärkt diese Entwicklung, indem er die Voraussetzungen von Art. 15 und 82 DSGVO in seinen ersten Entscheidungen hierzu weit auslegt. Damit stellt der EuGH zum einen hohe Anforderungen an die vollständige Erteilung einer Auskunft. Zum anderen dürfte diese Rechtsprechung es Klägervertretern und entsprechend spezialisierten Rechtsdienstleistern künftig erleichtern, massenhaft Schadensersatzforderungen wegen möglichen DSGVO-Verstößen gegen Unternehmen geltend zu machen.

Eine kritische Einordnung können Sie in der aktuellen Ausgabe des Betriebs-Beraters hier abrufen. 

von Tim Wybitul, Dr. Isabelle Brams und Stefan Patzer

Der Europäische Gerichtshof („EuGH“) legt die Anforderungen für Schadensersatz nach Art. 82 EU Datenschutz-Grundverordnung („DSGVO“) in einem neuen Urteil weit aus (Urteil vom 4. Mai 2023, C-300/21). Zwar trifft der EuGH einige Aussagen, die Unternehmen eine Verteidigung gegen entsprechende Ansprüche erleichtern könnten. Dies gilt etwa im Hinblick auf den nach Art. 82 DSGVO geforderten Schadensnachweis. Im Ergebnis überwiegen aber die negativen Folgen der Entscheidung für Unternehmen, die wegen Datenpannen oder anderen DSGVO-Verstößen in Anspruch genommen werden.

Hintergrund

Art. 82 DSGVO ermöglicht es Klägern, Schadensersatz für immaterielle Schäden, also die Kompensation von Nichtvermögensschäden, zu verlangen.

In entsprechenden Schadensersatzklagen wird als zu ersetzender Schaden häufig die Sorge darüber genannt, dass die eigenen Daten des Klägers gegenüber Dritten offengelegt oder sonst in unzulässiger Weise verarbeitet werden könnten. So hatte beispielsweise das höchste österreichische Zivilgericht einem Kläger deshalb Schadensersatz nach Art. 82 DSGVO zugesprochen, weil sich dieser „massiv genervt“ davon gefühlt habe, wie ein Unternehmen ihm Auskunft über die Verarbeitung seiner Daten nach Art. 15 DSGVO erteilt hatte (Az: 6 Ob 56/21k). Auch nach Datenpannen, Hackerangriffen oder anderen Cybersecurity Incidents kommt es häufig zur massenhaften Geltendmachung von Schadensersatzansprüchen nach Art. 82 DSGVO.

Manche Kanzleien und Legal Tech-Unternehmen haben sich bereits darauf spezialisiert, derartige Ansprüche und Klagen in hohen Stückzahlen geltend zu machen. Andere Anbieter sind sogar noch einen Schritt weiter: Sie werben damit, dass sie derartige Schadensersatzforderungen kaufen und machen diese dann selbst gebündelt geltend. Diese Unternehmen agieren dabei oft sehr professionell und richten sich mit ihrer Werbung gezielt an von einem möglichen Datenvorfall betroffene Personen.

Die ab dem 25. Juni 2023 in nationales Recht umzusetzende EU-Verbandsklage wird es Verbraucherschutzorganisationen zudem erleichtern, erfolgreich Sammelklagen gegen Unternehmen zu erheben. Sie können dabei auch grenzüberschreitend tätig werden. 

Die Entscheidung des EuGH

Für Stellen und Organisationen, die sich auf die massenhafte Geltendmachung solcher Datenschutzklagen konzentrieren, ist die aktuelle Entscheidung des EuGH Wasser auf die Mühlen. Zwar enthält das Urteil des EuGH auch einige Aussagen, die erfolgreiche Schadensersatzklagen wegen Datenschutzverstößen etwas erschweren. Im Ergebnis überwiegen aber die negativen Folgen der Entscheidung für Unternehmen, die wegen Datenpannen oder anderen DSGVO-Verstößen in Anspruch genommen werden.

1.                  Kein Schaden durch bloßen DSGVO-Verstoß

Der EuGH stellt zum einen klar, dass ein bloßer Verstoß gegen die Vorgaben der DSGVO für sich genommen keinen nach Art. 82 DSGVO ersatzfähigen Schaden begründet. Diese Argumentation hatten bislang viele Kläger in Schadensersatzprozessen angeführt. Insbesondere vertraten sie die Auffassung, dass sie keinen konkreten Schaden nachweisen müssten, um immateriellen Schadensersatz zu erhalten. Der bloße Verstoß gegen die DSGVO sei vielmehr ausreichend. Dieser extremen Auffassung erteilte der EuGH nun eine Absage. Ein vollumfänglicher Ausgleich erlittener Schäden erfordere nicht die Verhängung eines sogenannten Strafschadensersatzes.

Erfreulicherweise stellen die Luxemburger Richter auch klar, dass Kläger nicht von ihrer Beweislast befreit werden. Vielmehr müssten sie nachweisen, dass die Folgen eines Datenschutzverstoßes für sie einen immateriellen Schaden darstellen.

2.                  Keine Erheblichkeitsschwelle für DSGVO-Schadensersatz

Der EuGH betont in seiner Entscheidung aber zugleich auch, dass das Recht auf Schadensersatz die Durchsetzungskraft der in der DSGVO genannten Schutzvorschriften erhöhen soll. Art. 82 DSGVO ziele auch darauf ab, Verantwortliche von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken.

In der Praxis haben Gerichte Schadensersatzforderungen häufig mit der Begründung abgewiesen, dass die von Klägern geltend gemachten Beeinträchtigungen Bagatellschäden beziehungsweise unerhebliche Schäden darstellten. Diese Möglichkeit hat der EuGH Gerichten nun genommen. Es stünde zu dem vom Unionsgesetzgeber gewählten weiten Verständnis des Begriffs „Schaden“ im Widerspruch, wenn dieser Begriff auf Schäden mit einer gewissen Erheblichkeit beschränkt wäre. Würde der Ersatz eines immateriellen Schadens von einer Erheblichkeitsschwelle abhängig gemacht werden, könnte dies zu einer uneinheitlichen Rechtsanwendung in der Europäischen Union führen. Denn die Abstufung einer solchen Schwelle könnte je nach Beurteilung durch die angerufenen Gerichte unterschiedlich hoch ausfallen. Bei der Festsetzung der Höhe des Schadensersatzes können die nationalen Gerichte zwar ihre innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung anwenden. Dabei müssen sie nach Ansicht des EuGH aber unionsrechtliche Grundsätze beachten. Sie müssen insbesondere dafür Sorge tragen, dass der aufgrund eines Verstoßes gegen die DSGVO konkret erlittene Schaden in vollem Umfang ausgeglichen wird.

Folgen der Entscheidung

Als Folge des Urteils müssen sich Unternehmen noch mehr als bislang darauf einstellen, dass sie nach Datenpannen oder anderen möglichen Verstößen gegen die DSGVO Ziel von massenhaft geltend gemachten Schadensersatzforderungen werden könnten. Dadurch, dass der EuGH eine Erheblichkeitsschwelle ablehnt, werden auch Massenklagen wegen Bagatellschäden nun ein noch lukrativeres Geschäftsmodell. Bei der Verteidigung gegen derartige Ansprüche sollte man insbesondere darauf achten, ob eine Vielzahl von Klägern den angeblich erlittenen immateriellen Schaden mit gleichlautenden oder ähnlichen Textbausteinen geltend macht. Denn das Empfinden der Folgen eines einen einzelnen Kläger betreffenden Datenschutzverstoßes dürfte eine sehr individuelle Beeinträchtigung sein. Der Einsatz von Textbausteinen oder gleichlautenden Klageschriften ist damit ein starkes Argument gegen das tatsächliche Vorliegen eines immateriellen Schadens nach Art. 82 DSGVO. Allerdings sollte man sich auch darauf einstellen, dass Anwälte und Legal Tech-Unternehmen bei der Geltendmachung und Beschreibung der erlittenen Schäden künftig verstärkt Künstliche Intelligenz einsetzen werden, um Schriftsätze zu individualisieren.

Zwar dürfte mit dieser Entscheidung auf Unternehmen einiges zukommen. Insgesamt bleibt es aber erfreulicherweise bei den rechtsstaatlichen Vorgaben der Verfahrensordnungen der Mitgliedstaaten, in Deutschland also der Zivilprozessordnung. Daher haben Anwälte bei der Verteidigung von Unternehmen vor deutschen Gerichten immer noch eine Reihe von Möglichkeiten. Eine davon ist es, den behaupteten DSGVO-Verstoß zu widerlegen. Nach wie vor müssen Kläger zudem darlegen und nachweisen, dass der von ihnen ins Feld geführte Verstoß ursächlich für den geltend gemachten Schaden war(sogenannte Kausalität). Die Beweislast für das Vorliegen eines Verstoßes und die Kausalität liegt in solchen Verfahren nach wie vor bei Klägern. Unternehmensanwälte können hier auf Basis der Rechtsprechung des Bundesgerichtshofs zur abgestuften Darlegungs- und Beweislast Vieles erreichen.

von Tim Wybitul

Die deutschen Datenschutzbehörden fordern eine unmittelbare Unternehmenshaftung bei möglichen Verstößen gegen die DSGVO. Unter anderem wollen sie Geldbußen gegen Unternehmen verhängen können, ohne eine Aufsichtspflichtverletzung oder sonstiges schuldhaftes Handeln nachweisen zu müssen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat hierzu eine „Stellungnahme zu Grundsatzfragen zur Sanktionierung von Datenschutzverstößen von Unternehmen“ veröffentlicht. Eine kritische Einordnung der Stellungnahme der DSK zur geforderten unmittelbaren Unternehmenshaftung aus der aktuellen Zeitschrift für Datenschutz (ZD) können Sie hier mit freundlicher Genehmigung des Verlag C.H. Beck abrufen. Bald wird der EuGH über diese Sanktionspraxis der Behörden entscheiden. Am 27. April 2023 wird der Generalanwalt beim EuGH in einem entsprechenden Verfahren seine Schlussanträge in diesem Verfahren verkünden.

Mehr zu diesem für Unternehmen sehr relevanten Thema und zu dem genannten EuGH-Verfahren erfahren Sie hier.

von Tim Wybitul

Der Europäische Gerichtshof (EuGH) wird bald darüber entscheiden, ob europäische Datenschutzbehörden künftig leichter Bußgelder nach Art. 83 DSGVO gegen Unternehmen verhängen können. Diese Entscheidung kann großen Einfluss auf die künftige Bußgeldpraxis in der gesamten Europäischen Union haben. In dem vorliegenden Blogbeitrag fassen wir wesentliche Erfahrungen und Positionen aus Sicht der Verteidigung in diesem Verfahren zusammen. Wir zeigen auch die möglichen Risiken für Unternehmen und geben einen Ausblick auf das weitere Verfahren und die möglichen Folgen der anstehenden Entscheidung des EuGH.

Worum geht es in diesem EuGH Verfahren?

Die deutschen Datenschutzaufsichtsbehörden wollen erreichen, dass der EuGH ihnen das Verhängen von DSGVO-Geldbußen gegen Unternehmen erleichtert. Am Tag nach der mündlichen Verhandlung vor dem EuGH hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) eine Stellungnahme zu dem EuGH Verfahren veröffentlicht. Diese Stellungnahme ist hier im Volltext abrufbar. Sie wollen das nach Art. 4 EUV und dem Grundsatz der Verfahrensautonomie der Mitgliedsstaaten geltende nationale Prozessrecht nicht anwenden. Stattdessen fordern sie eine EU-weit einheitliche „direkte Sanktionierung juristischer Personen und Unternehmen“ in Anlehnung an die Rechtsprechung des EuGH in Fragen des EU-Kartellrechts. Die Aufsichtsbehörden fordern eine „Erleichterung für die Datenschutzaufsichtsbehörden“. Diese Erleichterung sei „vom europäischen Gesetzgeber gewollt“. Die Behörden wollen DSGVO-Verstöße nicht in dem vom deutschen Prozessrecht geforderten Detailgrad nachweisen müssen. Dabei gehen die Aufsichtsbehörden etwa davon aus, dass sie kein Organisationsverschulden, keine Verletzung von Aufsichtspflichten und keine Verstöße einzelner Manager oder Angestellter nachweisen müssen.

Eine sehr knappe Zusammenfassung hierzu finden Sie in einem aktuellen Editorial der Neuen Juristischen Wochenschrift (NJW).

Wie wirkt sich die Auffassung der Datenschutzbehörden in der Praxis aus?

Die Berliner Datenschutzaufsichtsbehörde hatte gegen ein Unternehmen eine Geldbuße verhängt. Dabei hatte sie den relevanten Sachverhalt jedoch nicht entsprechend der Vorgaben des deutschen Verfahrensrechts ermittelt. Insbesondere hatte sie die zur Last gelegte Tat nicht näher bestimmt oder interne Zuständigkeiten und Organisationsstrukturen geprüft. Das Landgericht Berlin hob den Bußgeldbescheid der Behörde auf. Das deutsche Recht fordert aus guten Gründen, dass Behörden und Staatsanwaltschaften die rechtswidrige Handlung, wegen der sie eine Geldbuße verhängen, genau bezeichnen müssen (§ 66 OWiG). Dazu müssen die Behörden im Falle der Sanktionierung eines Unternehmens zumindest Fehler auf der Leitungsebene des Unternehmens feststellen, etwa mangelnde Aufsicht oder organisatorische Versäumnisse. Die DSGVO gilt zwar als europäische Verordnung in den Mitgliedsstaaten unmittelbar. Sie enthält aber keine abschließenden Regelungen zur Verhängung von Geldbußen. Nach Art. 4 EUV verbleibt die Regelungskompetenz hierzu bei den Mitgliedsstaaten. Auch Art. 83 Abs. 8 DSGVO verweist dementsprechend ausdrücklich auf die Verfahrensgarantien der Mitgliedstaaten.

Das Verfahren kann sich auf die Bußgeldpraxis der Datenschutzbehörden in der gesamten EU auswirken

Nach Ansicht der DSK sollen die oben genannten Vorschriften nicht gelten. Sie vertreten die Auffassung, der EU-Gesetzgeber habe einen einheitlichen Datenschutzstandard für die gesamte EU durch ein einziges „supranationales Sanktionsregime“ schaffen wollen.

Gegen den Ansatz der Datenschutzbehörden sprechen gewichtige rechtliche – und rechtsstaatliche – Argumente. Eine Übersicht über die maßgeblichen rechtlichen Kritikpunkte können Sie in diesem Beitrag von Tim Wybitul und Nikolai Venn nachlesen.

Wie ist die Verhandlung vor dem EuGH gelaufen?

Am 17. Januar fand eine vierstündige mündliche Verhandlung vor der Großen Kammer des EuGH in Luxemburg statt. Dabei haben die Europäische Kommission, das Europäische Parlament und die Niederlande die Forderungen der deutschen Datenschutzbehörden grundsätzlich unterstützt. Dagegen haben sich sowohl die Bundesrepublik Deutschland als auch andere Mitgliedstaaten für die in Art. 83 Abs. 8 DSGVO angeordnete Geltung des nationalen Rechts der Mitgliedsstaaten ausgesprochen. Insgesamt wirkten nach der Wahrnehmung des Verfassers dieses Überblicks weder das Gericht noch der Generalanwalt so, als hätten sie bereits eine endgültige Entscheidung getroffen. Einen ausführlicheren Erfahrungsbericht aus der Perspektive der Verteidigung können Sie hier abrufen.

Wie geht es weiter?

Der Generalanwalt wird seine Schlussanträge Ende April 2023 stellen. Häufig folgt die endgültige Entscheidung des EuGH dann in etwa ein halbes Jahr später. Das ist aber nur eine grobe Richtschnur.

Eine Entscheidung des EuGH zugunsten der Positionen der Datenschutzbehörden wäre rechtsstaatlich bedenklich. Eine Anlehnung an die Rechtsprechung der Unternehmenshaftung im EU-Kartellrecht ist weder inhaltlich geboten noch rechtlich zulässig. Eine solche Auslegung würde auch gegen das Bestimmtheitsgebot des Art. 103 Abs. 2 GG und den Grundsatz der Gesetzesmäßigkeit der Strafen nach Art. 49 Abs. 1 GRCh verstoßen. Auch die diese Auffassung zugrundeliegende pauschale und empirisch unbegründete Annahme, das deutsche Recht würde keine effektive Sanktionierung von unternehmen erlauben, trifft nicht zu. Dies zeigen bereits die vielen von Staatsanwaltschaften, Bundeskartellamt und anderen deutschen Behörden gegen Unternehmen verhängten hohen Bußgelder. Diese haben – anders als es die Stellungnahme der DSK nahelegt – in Deutschland sogar bereits die Milliardengrenze erreicht.

Hierzuführt die genannte Stellungnahme unter anderem folgendes aus: „Den Nachweis eines Organisations- oder Überwachungsverschuldens einer Leitungsperson erbringen zu können, wird schwieriger, je größer das Unternehmen und seine organisatorischen Verflechtungen sind, insbesondere bei großen börsennotierten Konzernen. Hierdurch entstehen auf Seiten der deutschen Verwaltungs- und Ermittlungsbehörden (…) enormer Aufwand und enorme Kosten“. Und vielleicht noch deutlicher: „Der Nachweis ist regelmäßig mit einem erheblichen Aufwand verbunden.“

Im vorliegenden Fall hatte das LG Berlin dieser Einschätzung übrigens ausdrücklich eine Absage erteilt. Vielmehr wäre nach Auffassung der Großen Strafkammer eine Ermittlung des relevanten Sachverhalts durchaus ohne größeren Aufwand möglich gewesen. Dies erfordere die Feststellung eines konkreten Tatvorwurfs und dessen Zurechnung gegenüber einem Unternehmen: „Dies wäre aber umso mehr erforderlich, als, wie aus der Akte ersichtlich ist, die Behörde zu den Vorwürfen bei der Betroffenen Ermittlungen geführt hat und über einen längeren Zeitraum mit dieser über die gegenständlichen Vorwürfe in Kontakt stand, sich etwa schriftlich und in persönlichen Gesprächen Fragen von Mitarbeitern des Unternehmens beantworten ließ. Insoweit wären Ausführungen dazu möglich und notwendig gewesen, aus welchen Umständen die Behörde eine Verantwortlichkeit der Betroffenen herleiten möchte.“

Fazit

Der Aufwand einer rechtsstaatlichen Sachverhaltsaufklärung hält sich aber nicht nur in diesem Fall in mehr als vertretbaren Grenzen. Allzu hoch sind die rechtlichen Hürden gerade nicht. Dies zeigt auch die Bußgeldpraxis deutscher Behörden bei der Sanktionierung von Unternehmen in anderen Rechtsgebieten. Soviel Aufwand für den Nachweis, ob es tatsächlich zu Verstößen gekommen ist, sollte uns ein rechtsstaatliches Vorgehen aber eigentlich wert sein. Es steht zu hoffen, dass der EuGH dies auch so sehen wird. Andernfalls könnte aber auch das BVerfG letztlich noch ein Wörtchen mitreden. Denn Schuldgrundsatz und Rechtsstaatsprinzip sind hohe Werte unserer Verfassung.

von Tim Wybitul

Bußgelder wegen Verstößen gegen die komplexen Anforderungen des EU-Datenschutzrechts werden zu einem immer größeren Risiko für Unternehmen. Europäische Aufsichtsbehörden haben bereits mehrere dreistellige Millionenbußgelder verhängt. Pro Verstoß drohen bis zu vier Prozent des globalen Vorjahresumsatzes. Zudem haben die EU-Aufsichtsbehörden mittlerweile ein Modell zur Berechnung von DSGVO-Bußgeldern verabschiedet, das künftig wohl zu noch höheren Sanktionen führt. Gleichzeitig legen die Aufsichtsbehörden viele Anforderungen der DSGVO sehr weitgehend aus. Andererseits kann man sich gegen den Verdacht von Verstößen gegen datenschutzrechtliche Vorschriften auch erfolgreich verteidigen.

Unser Beitrag – veröffentlicht in der aktuellen Ausgabe des BetriebsBerater – beschreibt den typischen Ablauf entsprechender Verfahren. Er fasst Erfahrungen aus laufenden und abgeschlossenen Prozessen zusammen. Zudem gibt er zahlreiche Praxistipps zur Verringerung von Haftungsrisiken und zur Verteidigung gegen drohende Bußgelder.