DSGVO-Bußgeld gegen Unternehmen: Was seit Deutsche Wohnen gilt
Ein Datenschutzbußgeld kann unmittelbar gegen eine juristische Person verhängt werden. Die Aufsichtsbehörde muss dafür keine bestimmte natürliche Person als Täter identifizieren. Voraussetzung bleibt jedoch ein vorsätzlich oder fahrlässig begangener Datenschutzverstoß. Diese Grundfragen hat der Europäische Gerichtshof im Verfahren Deutsche Wohnen geklärt.
Für Unternehmen ist damit ein früher diskutierter Verteidigungsansatz deutlich eingeschränkt. Die fehlende Benennung eines Geschäftsführers oder Beschäftigten macht einen DSGVO-Bußgeldbescheid für sich genommen nicht unwirksam. Geprüft werden müssen weiterhin die Verantwortlichkeit für die Datenverarbeitung, der konkrete Verstoß, das Verschulden, das Verfahren und die Höhe der Geldbuße.
Ausgangspunkt waren nicht gelöschte Mieterdaten
Die Berliner Datenschutzaufsicht warf der Deutsche Wohnen SE vor, notwendige Maßnahmen zur regelmäßigen Löschung nicht mehr benötigter Mieterdaten unterlassen zu haben. Hinzu kamen Vorwürfe wegen der fortgesetzten Speicherung von Daten einzelner Mieter. Das beanstandete Archiv enthielt unter anderem Identitätsnachweise und Informationen zu wirtschaftlichen und persönlichen Verhältnissen.
Der Bußgeldbescheid vom 30. Oktober 2019 enthielt eine Geldbuße von 14.385.000 Euro sowie weitere Einzelgeldbußen. Insgesamt ging es um rund 14,5 Millionen Euro. Nach einem Einspruch stellte das Landgericht Berlin das Verfahren zunächst ein, weil es die unmittelbare Sanktionierung der juristischen Person unter den damaligen nationalen Zurechnungsanforderungen für unzulässig hielt.
Mit Beschluss vom 6. Dezember 2021 – 3 Ws 250/21, 161 AR 84/21 legte das Kammergericht dem EuGH Fragen zur unmittelbaren Unternehmensgeldbuße und zum notwendigen Verschulden vor. Dieser Beschluss entschied noch nicht abschließend über den konkreten Datenschutzverstoß oder die Geldbuße. Seine Vorlagefragen sind inzwischen beantwortet.
Der EuGH erlaubt die unmittelbare Unternehmensgeldbuße
Der EuGH entschied mit Urteil vom 5. Dezember 2023 – C-807/21, Deutsche Wohnen, dass eine juristische Person unmittelbar mit einer Geldbuße belegt werden kann, wenn sie für die betreffende Verarbeitung datenschutzrechtlich verantwortlich ist. Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet.
Die Sanktion darf nicht davon abhängig gemacht werden, dass zuvor ein Verstoß einer identifizierten natürlichen Person zugerechnet wurde. Erfasst sein können auch Verstöße von Beschäftigten und anderen Personen, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handeln. Eine Handlung oder Kenntnis des Leitungsorgans ist keine notwendige Voraussetzung.
Damit lässt sich eine DSGVO-Unternehmensgeldbuße nicht auf die engen Voraussetzungen einer Leitungspersonentat nach § 30 OWiG oder einer Aufsichtspflichtverletzung nach § 130 OWiG beschränken. Die datenschutzrechtliche Verantwortlichkeit und der zurechenbare Verstoß müssen im Einzelfall dennoch feststehen.
Vorsatz oder Fahrlässigkeit müssen nachgewiesen werden
Der EuGH hat zugleich eine verschuldensunabhängige Geldbuße ausgeschlossen. Nachgewiesen werden muss, dass der Verantwortliche den Verstoß vorsätzlich oder fahrlässig begangen hat. Ein objektiv rechtswidriger Zustand allein reicht für eine Geldbuße nach Art. 83 DSGVO nicht aus.
Die Anforderung bedeutet allerdings nicht, dass eine Geschäftsführung den Verstoß persönlich angeordnet oder bewusst gekannt haben muss. Nach dem EuGH kann ein Verantwortlicher sanktioniert werden, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte. Dass ihm der Verstoß gegen eine bestimmte DSGVO-Vorschrift nicht bewusst war, schützt ihn daher nicht ohne Weiteres.
Datenschutzkonzepte, Schulungen und Kontrollen können für die tatsächliche und rechtliche Bewertung wichtig sein. Ein dokumentiertes Compliance-System befreit das Unternehmen jedoch nicht automatisch von der Verantwortung für einen zurechenbaren schuldhaften Verstoß. Auch die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO ersetzt nicht den erforderlichen Nachweis der Bußgeldvoraussetzungen.
Das Kammergericht setzte diese Vorgaben 2024 um
Mit Beschluss vom 22. Januar 2024 – 3 Ws 250/21, 161 AR 84/21 hob das Kammergericht die Einstellung auf und verwies die Sache an das Landgericht zurück. Die Deutsche Wohnen SE konnte als juristische Person unmittelbar Betroffene des Bußgeldverfahrens sein.
Das Kammergericht bestätigte außerdem, dass die Vorwürfe im konkreten Bußgeldbescheid ausreichend bezeichnet waren. § 66 OWiG bleibt anwendbar. Der Bescheid muss den Tatvorwurf zeitlich und sachlich abgrenzen und eine wirksame Verteidigung ermöglichen. Eine bestimmte natürliche Person muss dafür nicht benannt werden.
Der Beschluss war eine Entscheidung über das angenommene Verfahrenshindernis. Das Kammergericht bestätigte damit weder die ursprüngliche Bußgeldhöhe noch stellte es sämtliche Tatvorwürfe abschließend fest. Diese Prüfung war Aufgabe des Landgerichts.
Weiterer Verfahrensstand: Geldbuße im Juni 2026
Nach der amtlichen Gerichtsmitteilung vom 9. Juni 2026 verhängte das Landgericht Berlin I im Verfahren 526 OWi LG 1/20 eine Geldbuße von 900.000 Euro. Die Mitteilung berichtet über festgestellte vorsätzliche Verstöße im Zusammenhang mit der Datenminimierung, Speicherbegrenzung und der Speicherung von Daten einzelner ehemaliger Mieter.
Bei der Höhe berücksichtigte die Kammer nach dieser Mitteilung unter anderem die Einschaltung externer Fachleute und Besonderheiten der Einführungsphase der DSGVO. Daraus lässt sich kein allgemeiner Anspruch auf eine entsprechende Reduzierung anderer Datenschutzbußgelder ableiten.
Die Gerichtsmitteilung bezeichnete das Urteil als noch nicht rechtskräftig. Ein späterer belastbarer Rechtskraftnachweis und ein öffentlich zugänglicher vollständiger Urteilstext konnten bei der Prüfung am 2. Oktober 2026 nicht verifiziert werden. Die Angaben zum Urteil beruhen deshalb auf der amtlichen Mitteilung. Die unionsrechtlichen Grundlagen ergeben sich aus den verifizierten EuGH-Entscheidungen.
Höchstbetrag und konkrete Geldbuße sind zu unterscheiden
Art. 83 DSGVO sieht unterschiedliche Höchstgrenzen vor. Für bestimmte Pflichtverletzungen nach Abs. 4 gelten bis zu 10 Millionen Euro oder bei Unternehmen bis zu zwei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Für Verstöße nach Abs. 5 und 6 gelten bis zu 20 Millionen Euro oder bis zu vier Prozent. Maßgeblich ist jeweils der höhere Betrag. Verstöße gegen die Grundsätze aus Art. 5 oder die Rechtmäßigkeitsanforderungen aus Art. 6 fallen in den höheren Rahmen.
Diese Höchstgrenzen sind keine automatisch festzusetzenden Bußgelder. Die konkrete Sanktion muss wirksam, verhältnismäßig und abschreckend sein. Zu berücksichtigen sind unter anderem Art, Schwere und Dauer des Verstoßes, Verschulden, betroffene Datenkategorien, Maßnahmen zur Schadensminderung und die Zusammenarbeit mit der Aufsichtsbehörde.
Gehört der Adressat zu einer wirtschaftlichen Einheit im Sinne des europäischen Wettbewerbsrechts, kann für die umsatzbezogene Höchstgrenze der Umsatz dieser gesamten Einheit maßgeblich sein. Der EuGH hat dies mit Urteil vom 13. Februar 2025 – C-383/23, ILVA bestätigt. Zugleich unterscheidet er ausdrücklich zwischen Höchstbetrag und konkreter Bußgeldbemessung. Auch bei der Prüfung der wirtschaftlichen Leistungsfähigkeit und Verhältnismäßigkeit ist die Zugehörigkeit zur wirtschaftlichen Einheit zu berücksichtigen. Die Verantwortlichkeit für den konkreten Verstoß und die wirtschaftliche Bezugsgröße sind getrennte Fragen.
Löschpflichten und Aufbewahrung müssen zusammenpassen
Die Speicherbegrenzung verlangt, personenbezogene Daten nur so lange identifizierbar aufzubewahren, wie es für die maßgeblichen Zwecke erforderlich ist. Art. 17 DSGVO enthält Löschpflichten und Ausnahmen. Eine weitere Speicherung kann etwa zur Erfüllung gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein.
Das rechtfertigt keine pauschale Aufbewahrung sämtlicher Unterlagen. Für jede Datenkategorie sind Rechtsgrundlage, Zweck und erforderliche Dauer zu bestimmen. Soweit Daten weiter aufbewahrt werden müssen, sind zweckgerechte Zugriffsrechte und geeignete Schutzmaßnahmen erforderlich. Eine bloße Sperrung ersetzt eine bestehende Löschpflicht nicht.
Ein praxistaugliches Konzept berücksichtigt auch Archivsysteme und technisch notwendige Sicherungskopien. Dabei müssen Löschung, Aufbewahrung und Wiederherstellung so organisiert werden, dass bereits erledigte Löschpflichten nicht durch die Rücksicherung alter Datenbestände dauerhaft unterlaufen werden. Die konkrete technische Umsetzung richtet sich nach dem System, dem Risiko und den einschlägigen Pflichten.
Was bei einem Bußgeldbescheid wichtig ist
Gegen einen Bußgeldbescheid kann nach § 67 OWiG grundsätzlich innerhalb von zwei Wochen nach Zustellung schriftlich oder zur Niederschrift bei der erlassenden Behörde Einspruch eingelegt werden. Eine bloße Anfrage oder die Bitte um Fristverlängerung wahrt diese gesetzliche Einspruchsfrist nicht. Form und rechtzeitiger Eingang sollten nachweisbar sichergestellt werden.
Nach § 41 BDSG gilt das deutsche Bußgeldverfahrensrecht mit besonderen Maßgaben. Übersteigt die festgesetzte Geldbuße 100.000 Euro, entscheidet über den Einspruch das Landgericht. Andernfalls ist grundsätzlich das Amtsgericht zuständig. Die gerichtliche Prüfung kann auch zu einer nachteiligeren Entscheidung führen. Ein Einspruch sollte deshalb mit Blick auf Vorwurf, Beweislage und Kosten vorbereitet werden.
Bei der Prüfung geht es zunächst darum, ob das betroffene Unternehmen für die beanstandete Verarbeitung verantwortlich war und welche Datenverarbeitung für welchen Zeitraum konkret vorgeworfen wird. Anschließend sind eine mögliche Rechtsgrundlage oder erforderliche Aufbewahrung und der Nachweis eines vorsätzlichen oder fahrlässigen Verstoßes zu untersuchen.
Ebenso ist zu klären, ob der Bußgeldbescheid die Tat hinreichend abgrenzt und eine Verteidigung ermöglicht. Bei der Höhe sind die zutreffende wirtschaftliche Bezugsgröße und sämtliche relevanten Zumessungsumstände zu prüfen.
Auch die Verfolgungsverjährung ist anhand der Verfahrensakte zu prüfen. Entscheidend können der Zeitpunkt der Beendigung des Verstoßes, verjährungsunterbrechende Maßnahmen und das Ruhen der Verjährung nach §§ 31 bis 33 OWiG sein. Aus dem Alter einer Datenverarbeitung allein lässt sich kein zuverlässiger Verjährungseinwand ableiten.
Vor einer Stellungnahme sollten der Sachverhalt, vorhandene Dokumentation und die rechtliche Position geklärt werden. Maßnahmen zur Abhilfe und eine sachgerechte Zusammenarbeit können bei der Sanktion berücksichtigt werden. Sie garantieren weder eine Einstellung noch eine bestimmte Bußgeldreduzierung.
Fazit
Die unmittelbare DSGVO-Geldbuße gegen juristische Personen ist seit der EuGH-Entscheidung Deutsche Wohnen rechtlich geklärt. Erforderlich bleibt ein zurechenbarer vorsätzlicher oder fahrlässiger Verstoß. Verteidigungsansätze liegen vor allem in der konkreten Verantwortlichkeit, Rechtmäßigkeit der Verarbeitung, Verschuldens- und Beweislage sowie der Verhältnismäßigkeit der Sanktion.
Hanke.Legal in Singen (Hohentwiel) unterstützt Unternehmen bei der Prüfung von Datenschutzbußgeldern, der Vorbereitung von Einsprüchen und der rechtlichen Bewertung ihrer Datenschutzorganisation.
Rechtsstand: 2. Oktober 2026. Der Beitrag behandelt DSGVO-Unternehmensgeldbußen und das deutsche Bußgeldverfahren. Er ersetzt keine Prüfung des Einzelfalls.