Aktueller Hinweis auf das Urteil des EuGH (Große Kammer) vom 5. Dezember 2023 (C-807/21)
Das Urteil beantwortet zwei Vorlagefragen des Kammergerichts Berlin zu der Auslegung der DSGVO.
Vorlagefrage 1
Zunächst stellt der Gerichtshof klar, dass die DSGVO es den Mitgliedstaaten nicht erlaubt, zusätzliche Voraussetzungen für die Verhängung einer Geldbuße gegen einen Verantwortlichen vorzusehen, der eine juristische Person ist. Eine solche Geldbuße kann aber unmittelbar gegen die juristische Person verhängt werden, ohne dass der Verstoß einer konkreten natürlichen Person zugerechnet werden muss.
Vorlagefrage 2:
Weiterhin stellt der Gerichtshof fest, dass nach Artikel 83 DSGVO eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche einen Verstoß vorsätzlich oder fahrlässig begangen hat. Insoweit belässt die DSGVO den Mitgliedstaaten keinen Ermessensspielraum, Geldbußen auch bei fehlendem Verschulden zu verhängen. Dies widerspräche sowohl dem Wortlaut der DSGVO als auch dem Ziel, ein gleichmäßiges und hohes Datenschutzniveau in der gesamten Union sicherzustellen.
Fazit
Einerseits bestärkt die Entscheidung das Konzept der sog. „anonymen“ Geldbuße (§ 30 Abs. 4 OWiG), weil die Zuordnung eines Verstoßes gegen die DSGVO nicht als erforderlich angesehen wird. Das erleichtert die Verhängung von Geldbußen und erhöht daher das Sanktionsrisiko. Andererseits erklärt der EuGH nicht, wie ein schuldhafter Verstoß gegen die DSGVO ohne eine Verhaltenszurechnung zu natürlichen Personen festgestellt werden kann. Im Zweifel muss daher mit einer weiten Handhabung gerechnet werden – worauf wir bereits im Mai 2023 hingewiesen haben.