DSGVO-Bußgeld: Das Urteil gegen Deutsche Wohnen und seine Folgen für Unternehmen

Das Verfahren gegen die Deutsche Wohnen SE zählt zu den bekanntesten Datenschutzfällen der vergangenen Jahre. Ausgangspunkt war ein von der Berliner Datenschutzaufsicht verhängtes DSGVO-Bußgeld in Höhe von rund 14,5 Millionen Euro. Nach mehreren gerichtlichen Instanzen, einer richtungsweisenden Entscheidung des Europäischen Gerichtshofs (EuGH) und einer erneuten Verhandlung vor dem Landgericht Berlin I wurde die Geldbuße schließlich auf 900.000 Euro reduziert.

Der Fall zeigt jedoch weit mehr als nur die Entwicklung einer Bußgeldhöhe. Er macht deutlich, unter welchen Voraussetzungen Unternehmen wegen Datenschutzverstößen sanktioniert werden können und welche Maßstäbe Gerichte bei der Bewertung solcher Verstöße anlegen. Besonders relevant sind dabei Fragen zur Verantwortlichkeit von Unternehmen, zum erforderlichen Verschulden sowie zur praktischen Umsetzung datenschutzrechtlicher Pflichten.

In diesem Beitrag erfahren Sie,

• weshalb das Verfahren gegen Deutsche Wohnen überhaupt eingeleitet wurde,
• warum sich der Europäische Gerichtshof mit dem Fall befassen musste,
• aus welchen Gründen das Landgericht Berlin das DSGVO-Bußgeld deutlich reduzierte und
• welche Konsequenzen sich daraus für Unternehmen und deren Datenschutz-Compliance ergeben.

Der Sachverhalt: Warum wurde gegen Deutsche Wohnen ein DSGVO-Bußgeld verhängt?

Im Mittelpunkt des Verfahrens stand die Verarbeitung personenbezogener Daten ehemaliger Mieter durch die Deutsche Wohnen SE. Nach den Feststellungen des Landgerichts Berlin I nutzte das Unternehmen über einen längeren Zeitraum ein Archivsystem, das keine ausreichenden Funktionen bot, um nicht mehr benötigte Daten fristgerecht zu löschen. Dadurch blieben zahlreiche personenbezogene Informationen gespeichert, obwohl der ursprüngliche Verarbeitungszweck bereits entfallen war.

Betroffen waren unter anderem besonders schutzwürdige Unterlagen wie Gehaltsnachweise, Kontoauszüge und Ausweisdokumente ehemaliger Mieter. Aus Sicht der Datenschutzaufsicht verstieß diese dauerhafte Speicherung gegen mehrere zentrale Vorgaben der Datenschutz-Grundverordnung.

Zu den maßgeblichen Grundsätzen gehörten insbesondere:

• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Unternehmen dürfen nur diejenigen personenbezogenen Daten verarbeiten, die für den jeweiligen Zweck tatsächlich erforderlich sind.
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Sobald personenbezogene Daten für den ursprünglichen Verarbeitungszweck nicht mehr benötigt werden, müssen sie gelöscht werden.
• Rechtmäßigkeit der Verarbeitung (Art. 6 Abs. 1 DSGVO): Jede Verarbeitung personenbezogener Daten setzt eine gültige Rechtsgrundlage voraus.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit bewertete die fortdauernde Speicherung als erheblichen Verstoß gegen die DSGVO und verhängte im Jahr 2019 ein DSGVO-Bußgeld von rund 14,5 Millionen Euro. Gegen diesen Bescheid legte Deutsche Wohnen jedoch Einspruch ein. Das Unternehmen argumentierte unter anderem, bereits umfangreiche Maßnahmen zur Modernisierung des Archivsystems eingeleitet zu haben. Zudem seien die gespeicherten Daten jederzeit vor unbefugtem Zugriff geschützt gewesen.

Im weiteren Verlauf entwickelte sich der Fall deshalb zu einem Grundsatzverfahren. Im Mittelpunkt stand nicht mehr ausschließlich die Frage, ob Datenschutzvorschriften verletzt wurden, sondern auch, unter welchen rechtlichen Voraussetzungen ein Unternehmen nach der DSGVO mit einem Bußgeld belegt werden kann.

Weshalb beschäftigte sich der Europäische Gerichtshof mit dem Verfahren?

Im weiteren Verlauf des Rechtsstreits ging es längst nicht mehr nur um die Frage, ob die Deutsche Wohnen SE gegen datenschutzrechtliche Vorgaben verstoßen hatte. Vielmehr entwickelte sich das Verfahren zu einem Grundsatzfall für das europäische Datenschutzrecht. Im Zentrum stand die Klärung, unter welchen Voraussetzungen gegen ein Unternehmen überhaupt ein DSGVO-Bußgeld verhängt werden darf.

Nachdem Deutsche Wohnen gegen den Bußgeldbescheid Einspruch eingelegt hatte, stellte das Landgericht Berlin das Verfahren zunächst im Jahr 2021 ein. Nach Auffassung des Gerichts war eine Sanktion nach § 30 OWiG nur möglich, wenn der Datenschutzverstoß einer konkret benennbaren Leitungsperson zugerechnet werden konnte. Da die Berliner Datenschutzbehörde keine verantwortliche natürliche Person identifiziert hatte, sah das Gericht ein Verfahrenshindernis.

Gegen diese Entscheidung legte die Staatsanwaltschaft Beschwerde ein. Das Kammergericht setzte das Verfahren daraufhin aus und legte dem Europäischen Gerichtshof (EuGH) mehrere Fragen zur Auslegung der DSGVO vor.

Die zentralen Rechtsfragen im Vorabentscheidungsverfahren

Der EuGH hatte insbesondere über zwei grundlegende Punkte zu entscheiden:

• Muss vor der Verhängung eines DSGVO-Bußgeldes immer eine konkrete natürliche Person als Verantwortlicher festgestellt werden?
• Kann gegen ein Unternehmen nur dann eine Geldbuße verhängt werden, wenn ihm vorsätzliches oder fahrlässiges Handeln nachgewiesen wird?

Mit seinem Urteil vom 5. Dezember 2023 (Az. C-807/21) schuf der EuGH wichtige Leitlinien für die Anwendung von Art. 83 DSGVO. Nach Auffassung des Gerichtshofs dürfen Unternehmen unmittelbar mit einem DSGVO-Bußgeld belegt werden. Eine vorherige Identifizierung einer bestimmten natürlichen Person ist dafür nicht erforderlich.

Gleichzeitig stellte der EuGH klar, dass Geldbußen nicht verschuldensunabhängig verhängt werden dürfen. Voraussetzung bleibt, dass dem Unternehmen zumindest fahrlässiges oder vorsätzliches Verhalten nachgewiesen werden kann.

Diese Vorgaben bildeten die Grundlage für die erneute Verhandlung vor dem Landgericht Berlin I. Dort stand anschließend nicht mehr die grundsätzliche Haftung juristischer Personen im Vordergrund. Stattdessen musste das Gericht prüfen, ob Deutsche Wohnen die datenschutzrechtlichen Pflichten schuldhaft verletzt hatte und welche Höhe des DSGVO-Bußgeldes unter Berücksichtigung aller Umstände angemessen war.

Das Urteil des Landgerichts Berlin zum DSGVO-Bußgeld

Nach der Entscheidung des Europäischen Gerichtshofs musste das Landgericht Berlin I den Fall erneut prüfen. Dabei stand nicht mehr die grundsätzliche Frage im Vordergrund, ob eine juristische Person wegen eines Datenschutzverstoßes belangt werden kann. Stattdessen hatte das Gericht zu klären, ob die Deutsche Wohnen SE ihre datenschutzrechtlichen Pflichten schuldhaft verletzt hatte und welche Sanktion unter Berücksichtigung aller Umstände angemessen ist.

Nach einer umfangreichen Beweisaufnahme kam das Landgericht zu dem Ergebnis, dass das Unternehmen im Zeitraum vom 25. Mai 2018 bis zum 5. März 2019 vorsätzlich gegen wesentliche Vorgaben der Datenschutz-Grundverordnung verstoßen hatte. Ausschlaggebend war insbesondere, dass erforderliche technische und organisatorische Maßnahmen zur Löschung personenbezogener Daten nicht rechtzeitig umgesetzt wurden.

Nach Ansicht der Richter hätte Deutsche Wohnen ausreichend Zeit gehabt, die notwendigen Anpassungen vorzunehmen. Da die DSGVO bereits eine zweijährige Übergangsfrist vorsah, sei sowohl die technische Umsetzung als auch der damit verbundene wirtschaftliche Aufwand zumutbar gewesen.

Warum sah das Gericht einen DSGVO-Verstoß?

Für die Richter war vor allem entscheidend, dass das eingesetzte Archivsystem die gesetzlichen Löschpflichten nicht zuverlässig erfüllen konnte. Personenbezogene Daten ehemaliger Mieter blieben gespeichert, obwohl sie für den ursprünglichen Zweck nicht mehr benötigt wurden.

Beanstandet wurden insbesondere folgende Punkte:

• Sensible Dokumente wie Gehaltsnachweise, Kontoauszüge und Ausweisdokumente konnten nicht automatisiert oder fristgerecht gelöscht werden.
• In einzelnen Fällen wurden personenbezogene Daten weiter verarbeitet, obwohl hierfür keine ausreichende Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO mehr bestand.
• Die vorhandenen technischen Möglichkeiten reichten nicht aus, um die gesetzlichen Anforderungen an Datenminimierung und Speicherbegrenzung zuverlässig einzuhalten.

Das Urteil verdeutlicht damit, dass Datenschutz-Compliance weit über die Erstellung interner Richtlinien hinausgeht. Unternehmen müssen sicherstellen, dass ihre IT-Systeme die gesetzlichen Vorgaben tatsächlich technisch umsetzen können. Fehlen entsprechende Funktionen oder werden notwendige Anpassungen über einen längeren Zeitraum hinausgeschoben, kann dies ein schuldhaftes Verhalten begründen und ein DSGVO-Bußgeld nach sich ziehen.

Aus welchen Gründen wurde das DSGVO-Bußgeld deutlich reduziert?

Das Landgericht Berlin I bestätigte zwar, dass Deutsche Wohnen gegen datenschutzrechtliche Vorgaben verstoßen hatte, bewertete die Höhe der ursprünglich verhängten Geldbuße jedoch anders als die Berliner Datenschutzaufsicht. Während die Behörde ein DSGVO-Bußgeld von rund 14,5 Millionen Euro festgesetzt hatte, reduzierte das Gericht den Betrag auf 900.000 Euro.

Damit machte das Landgericht deutlich, dass zwischen der Feststellung eines Datenschutzverstoßes und der Bemessung der Geldbuße sorgfältig zu unterscheiden ist. Ein Verstoß gegen die DSGVO führt nicht automatisch dazu, dass die von der Aufsichtsbehörde verhängte Sanktion auch in dieser Höhe Bestand hat. Vielmehr sind sämtliche belastenden und entlastenden Umstände des Einzelfalls gegeneinander abzuwägen.

Welche Faktoren berücksichtigte das Gericht bei der Bußgeldhöhe?

Nach Auffassung des Landgerichts sprach eine Reihe von Umständen dafür, die Geldbuße deutlich niedriger anzusetzen:

• Einführung der DSGVO: Die Verstöße ereigneten sich in einer Phase, in der viele Unternehmen ihre internen Prozesse und IT-Systeme erst an die neuen datenschutzrechtlichen Vorgaben anpassten.
• Bereits eingeleitete Maßnahmen: Deutsche Wohnen hatte externe IT-Dienstleister, Berater und Wirtschaftsprüfer beauftragt, um das bestehende Archivsystem zu modernisieren.
• Geplante Systemumstellung: Das Unternehmen arbeitete bereits an einer datenschutzkonformen Lösung, mit der das beanstandete Archivsystem ersetzt werden sollte.
• Besondere Verfahrenssituation: Nach Ansicht des Gerichts war auch für die Berliner Datenschutzbehörde die Anwendung der damals neuen Rechtslage mit rechtlichen Unsicherheiten verbunden, was die gerichtsfeste Aufarbeitung des Sachverhalts erschwerte.

Trotz dieser entlastenden Aspekte sah das Gericht keinen Anlass, vollständig von einer Sanktion abzusehen. Nach seiner Auffassung hätte Deutsche Wohnen die erforderlichen technischen Anpassungen innerhalb der vorgesehenen Übergangsfrist umsetzen können. Dass bereits Modernisierungsmaßnahmen begonnen worden waren, änderte daher nichts an der Feststellung eines schuldhaften Datenschutzverstoßes.

Hinzu kommt, dass das Urteil derzeit noch nicht rechtskräftig ist. Gegen die Entscheidung kann weiterhin Rechtsbeschwerde eingelegt werden.

Welche Folgen hat das DSGVO-Bußgeld für Unternehmen?

Die Entscheidung zeigt, dass Unternehmen ihre datenschutzrechtlichen Pflichten nicht nur auf organisatorischer Ebene erfüllen dürfen. Ebenso wichtig ist, dass die eingesetzten IT-Systeme die gesetzlichen Anforderungen auch praktisch umsetzen können.

Besonders deutlich wird dies bei Löschkonzepten. Es reicht nicht aus, interne Vorgaben oder Prozesse zu dokumentieren. Unternehmen müssen sicherstellen, dass personenbezogene Daten nach Ablauf gesetzlicher Aufbewahrungsfristen oder nach Wegfall des Verarbeitungszwecks tatsächlich gelöscht werden können. Ist dies aufgrund technischer Einschränkungen nicht möglich, kann ein DSGVO-Bußgeld drohen und zwar selbst dann, wenn bereits an einer neuen Lösung gearbeitet wird.

Das Urteil macht außerdem deutlich, dass laufende Modernisierungsprojekte oder geplante Systemumstellungen Unternehmen nicht automatisch entlasten. Entscheidend ist vielmehr, ob die datenschutzrechtlichen Anforderungen innerhalb eines angemessenen Zeitraums umgesetzt werden.

Diese Lehren sollten Unternehmen aus der Entscheidung ziehen

Aus dem Urteil lassen sich mehrere praktische Handlungsempfehlungen ableiten:

• Löschkonzepte regelmäßig überprüfen: Datenschutzkonzepte sollten nicht nur dokumentiert, sondern auch technisch getestet und kontinuierlich aktualisiert werden.
• IT-Systeme DSGVO-konform gestalten: Bereits bei der Auswahl oder Entwicklung von Software sollte sichergestellt werden, dass gesetzliche Löschpflichten und weitere Datenschutzanforderungen umgesetzt werden können.
• Technische und organisatorische Maßnahmen laufend anpassen: Veränderungen der Rechtslage oder interner Prozesse sollten zeitnah in bestehende Systeme und Abläufe einfließen.
• Übergangsfristen sinnvoll nutzen: Unternehmen sollten notwendige Anpassungen frühzeitig abschließen und sich nicht darauf verlassen, dass laufende Projekte im Streitfall als ausreichende Entlastung anerkannt werden.
• Compliance nachvollziehbar dokumentieren: Eine sorgfältige Dokumentation aller Datenschutzmaßnahmen kann im Bußgeldverfahren eine wichtige Rolle spielen und sich positiv auf die Bewertung durch Behörden oder Gerichte auswirken.

Fazit: Das DSGVO-Bußgeld als Signal für eine wirksame Datenschutz-Compliance

Das Urteil des Landgerichts Berlin I verdeutlicht, dass Datenschutzverstöße erhebliche wirtschaftliche Konsequenzen nach sich ziehen können. Zwar reduzierte das Gericht das ursprünglich verhängte DSGVO-Bußgeld von rund 14,5 Millionen Euro auf 900.000 Euro, an der grundsätzlichen Bewertung änderte dies jedoch nichts: Die Deutsche Wohnen SE hatte gegen zentrale Vorgaben der Datenschutz-Grundverordnung verstoßen.

Ausschlaggebend war insbesondere, dass personenbezogene Daten ehemaliger Mieter über einen längeren Zeitraum gespeichert blieben, obwohl der ursprüngliche Zweck der Verarbeitung bereits entfallen war. Nach Auffassung des Gerichts wurden die erforderlichen technischen Maßnahmen zur Umsetzung der gesetzlichen Löschpflichten nicht innerhalb der vorgesehenen Übergangsfrist umgesetzt.

Darüber hinaus hat das Verfahren die Rechtslage bei DSGVO-Bußgeldern nachhaltig geprägt. Der Europäische Gerichtshof stellte klar, dass Geldbußen unmittelbar gegen Unternehmen verhängt werden können. Eine zuvor identifizierte verantwortliche natürliche Person ist hierfür nicht erforderlich. Gleichzeitig bleibt ein wesentlicher Grundsatz bestehen: Ein DSGVO-Bußgeld setzt weiterhin voraus, dass dem Unternehmen zumindest fahrlässiges oder vorsätzliches Verhalten nachgewiesen werden kann.

Für die Praxis ergibt sich daraus eine eindeutige Konsequenz. Datenschutz-Compliance beschränkt sich nicht auf schriftliche Richtlinien, Löschkonzepte oder interne Vorgaben. Unternehmen müssen vielmehr sicherstellen, dass ihre technischen und organisatorischen Maßnahmen die gesetzlichen Anforderungen tatsächlich erfüllen. Nur wenn Datenschutzprozesse auch in der täglichen Praxis funktionieren und wirksam umgesetzt werden, lässt sich das Risiko empfindlicher Bußgelder nachhaltig reduzieren.

Fragen zum DSGVO-Bußgeld?

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie dabei, DSGVO-Bußgelder zu vermeiden und Ihre Datenschutz-Compliance rechtssicher umzusetzen. Jetzt Beratung im IT- und Datenschutzrecht anfordern oder unverbindlich Kontakt mit uns aufnehmen!