DSGVO-Bußgeld gegen Deutsche Wohnen: Das Urteil des LG Berlin

Die Entscheidung des Landgerichts Berlin I zum DSGVO-Bußgeld gegen die Deutsche Wohnen SE gehört zu den größten Datenschutzverfahren der vergangenen Jahre. Ursprünglich hatte die Berliner Beauftragte für Datenschutz und Informationsfreiheit ein Bußgeld von rund 14,5 Millionen Euro verhängt. Nach mehreren Jahren gerichtlicher Auseinandersetzung, einer Vorlage an den Europäischen Gerichtshof (EuGH) und einer erneuten Verhandlung setzte das Landgericht die Geldbuße schließlich auf 900.000 Euro herab.

Die Entscheidung zeigt, dass Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) erhebliche finanzielle Folgen haben können. Zugleich verdeutlicht sie, welche Anforderungen Gerichte an ein DSGVO-Bußgeld stellen und welche Bedeutung Verschulden sowie die Unternehmenshaftung haben. Für Unternehmen liefert das Urteil wichtige Hinweise zur datenschutzkonformen Gestaltung von IT-Systemen und Löschkonzepten. Im Folgenden werden der Sachverhalt, die rechtlichen Erwägungen und die praktische Bedeutung der Entscheidung erläutert.

Der Sachverhalt: Warum gegen Deutsche Wohnen ein DSGVO-Bußgeld verhängt wurde

Ausgangspunkt des Verfahrens war die Verarbeitung personenbezogener Daten ehemaliger Mieter durch die Deutsche Wohnen SE. Nach den Feststellungen des Landgerichts Berlin I setzte das Unternehmen über einen längeren Zeitraum ein Archivsystem ein, das keine ausreichenden technischen Möglichkeiten bot, nicht mehr benötigte personenbezogene Daten fristgerecht zu löschen. Betroffen waren unter anderem besonders sensible Informationen wie Gehaltsnachweise, Kontoauszüge und Ausweisdokumente ehemaliger Mieter. Diese Daten wurden trotz Wegfalls des ursprünglichen Verarbeitungszwecks weiterhin gespeichert.

Aus datenschutzrechtlicher Sicht standen dabei insbesondere folgende Grundsätze der DSGVO im Mittelpunkt:

• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur personenbezogene Daten verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind.
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Personenbezogene Daten müssen gelöscht werden, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden.
• Rechtmäßigkeit der Verarbeitung (Art. 6 Abs. 1 DSGVO): Für jede Verarbeitung personenbezogener Daten ist eine gültige Rechtsgrundlage erforderlich.

Die Berliner Datenschutzbehörde sah hierin einen erheblichen DSGVO-Verstoß und verhängte im Jahr 2019 zunächst ein Bußgeld von rund 14,5 Millionen Euro. Deutsche Wohnen legte gegen den Bescheid Einspruch ein und machte unter anderem geltend, dass bereits erhebliche Investitionen in die Modernisierung des Archivsystems erfolgt seien und die gespeicherten Daten nicht ungeschützt gewesen seien. Dadurch entwickelte sich aus einem klassischen Datenschutzverfahren ein Grundsatzstreit über die Voraussetzungen der Unternehmenshaftung nach der DSGVO.

Warum landete der Fall vor dem EuGH?

Der Rechtsstreit beschränkte sich nicht auf die Frage, ob ein Datenschutzverstoß vorlag. Im Mittelpunkt stand vielmehr ein grundlegendes Problem des europäischen Datenschutzrechts: Unter welchen Voraussetzungen darf gegen ein Unternehmen ein DSGVO-Bußgeld verhängt werden?

Nachdem Deutsche Wohnen Einspruch gegen den Bußgeldbescheid eingelegt hatte, stellte das Landgericht Berlin das Verfahren zunächst im Jahr 2021 ein. Nach Auffassung des Gerichts setzte § 30 OWiG voraus, dass der Datenschutzverstoß einer konkret identifizierbaren Leitungsperson zugerechnet werden könne. Da die Berliner Datenschutzbehörde keine verantwortliche natürliche Person benannt hatte, sah das Gericht ein Verfahrenshindernis. Gegen diese Entscheidung legte die Staatsanwaltschaft Beschwerde ein. Das Kammergericht legte die entscheidenden Fragen anschließend dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung vor.

Die beiden Vorlagefragen des EuGH

Der EuGH hatte im Wesentlichen zwei zentrale Rechtsfragen zu beantworten:

• Muss für ein DSGVO-Bußgeld gegen ein Unternehmen zunächst eine konkrete natürliche Person als Verantwortlicher identifiziert werden?
• Ist ein Bußgeld nach Art. 83 DSGVO nur zulässig, wenn dem Unternehmen ein vorsätzliches oder fahrlässiges Verhalten nachgewiesen werden kann?

Mit seinem Grundsatzurteil vom 5. Dezember 2023 (C-807/21) traf der EuGH eine für die Datenschutzpraxis richtungsweisende Entscheidung. Er stellte klar, dass die DSGVO einer nationalen Regelung entgegensteht, nach der ein Bußgeld gegen eine juristische Person nur verhängt werden darf, wenn der Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde. Gleichzeitig betonte der Gerichtshof jedoch, dass eine Geldbuße nicht verschuldensunabhängig verhängt werden darf. Unternehmen haften also unmittelbar nach der DSGVO, allerdings nur, wenn der Verstoß zumindest fahrlässig oder vorsätzlich begangen wurde.

Diese Leitlinien waren für das Landgericht Berlin bindend. Nach der Rückverweisung musste es deshalb nicht mehr die grundsätzliche Haftung einer juristischen Person klären, sondern prüfen, ob Deutsche Wohnen die datenschutzrechtlichen Pflichten schuldhaft verletzt hatte und welche Bußgeldhöhe unter Berücksichtigung aller Umstände angemessen war.

Die rechtlichen Erwägungen des LG Berlin

Bei der erneuten Verhandlung musste das Landgericht Berlin I die Vorgaben des EuGH auf den konkreten Einzelfall anwenden. Dabei stand nicht mehr die grundsätzliche Haftung von Unternehmen im Mittelpunkt, sondern die Frage, ob Deutsche Wohnen schuldhaft gegen die Vorgaben der DSGVO verstoßen hatte und welche Sanktion hierfür angemessen war. Das Gericht gelangte nach umfangreicher Beweisaufnahme zu dem Ergebnis, dass das Unternehmen während des maßgeblichen Zeitraums zwischen dem 25. Mai 2018 und dem 5. März 2019 vorsätzlich gegen datenschutzrechtliche Grundsätze verstoßen hatte. Ausschlaggebend war, dass die erforderlichen technischen und organisatorischen Maßnahmen zur rechtzeitigen Löschung personenbezogener Daten trotz der zweijährigen Übergangsfrist nach Inkrafttreten der DSGVO nicht rechtzeitig umgesetzt wurden. Nach Auffassung der Kammer wäre dies sowohl technisch möglich als auch wirtschaftlich zumutbar gewesen.

Verstoß gegen Datenminimierung und Speicherbegrenzung

Nach Ansicht des Gerichts erfüllte das Archivsystem diese Anforderungen nicht. Sensible Unterlagen ehemaliger Mieter, darunter Gehaltsnachweise, Kontoauszüge und Ausweisdokumente, konnten nicht automatisiert oder fristgerecht gelöscht werden. Darüber hinaus stellte das Landgericht in einzelnen Fällen Verstöße gegen Art. 6 Abs. 1 DSGVO fest, weil personenbezogene Daten ohne fortbestehende Rechtsgrundlage weiter verarbeitet wurden.

Für die Praxis macht die Entscheidung deutlich, dass Datenschutz nicht allein durch interne Richtlinien gewährleistet wird. Unternehmen müssen ihre IT-Systeme so ausgestalten, dass gesetzliche Löschpflichten tatsächlich umgesetzt werden können. Fehlen entsprechende technische Funktionen oder werden notwendige Anpassungen zu spät umgesetzt, kann dies einen schuldhaften DSGVO-Verstoß begründen.

Warum reduzierte das LG Berlin das DSGVO-Bußgeld?

Obwohl das Landgericht Berlin I die Datenschutzverstöße bestätigte, folgte es der Einschätzung der Berliner Datenschutzbehörde hinsichtlich der Höhe der Sanktion nicht. Statt des ursprünglich festgesetzten DSGVO-Bußgeldes von rund 14,5 Millionen Euro verhängte die Kammer eine Geldbuße von 900.000 Euro. Damit stellte das Gericht klar, dass die Feststellung eines Datenschutzverstoßes und die Bemessung der Geldbuße zwei getrennt zu prüfende Fragen sind. Während die Haftung dem Grunde nach bejaht wurde, fiel die Bewertung der Schwere des Verstoßes deutlich milder aus.

Welche Umstände sprachen für eine geringere Geldbuße?

Bei der Bemessung der Sanktion berücksichtigte das Gericht mehrere entlastende Faktoren:

• Die Verstöße ereigneten sich in der Einführungsphase der DSGVO, als zahlreiche Unternehmen ihre Datenschutzprozesse erst an die neuen gesetzlichen Vorgaben anpassten.
• Deutsche Wohnen hatte bereits externe IT-Fachleute, Berater und Wirtschaftsprüfer mit der Umstellung der Konzernsysteme beauftragt.
• Das Unternehmen arbeitete nach Auffassung des Gerichts an einer technischen Lösung, um das beanstandete Archivsystem durch ein datenschutzkonformes Speichersystem zu ersetzen.
• Auch die Berliner Datenschutzbehörde hatte nach Ansicht der Kammer Schwierigkeiten, den Sachverhalt unter der damals neuen Rechtslage gerichtsfest zu dokumentieren.

Diese Umstände führten jedoch nicht dazu, dass Deutsche Wohnen von einer Sanktion verschont blieb. Nach Auffassung des Gerichts hätte das Unternehmen die notwendigen technischen Maßnahmen innerhalb der zweijährigen Übergangsfrist schneller umsetzen können. Die bereits eingeleiteten Modernisierungsmaßnahmen änderten daher nichts daran, dass während des maßgeblichen Zeitraums ein schuldhafter Verstoß gegen die DSGVO vorlag. Das Urteil ist zudem noch nicht rechtskräftig und kann mit der Rechtsbeschwerde angefochten werden.

Welche Folgen hat das Urteil für Unternehmen?

Das Urteil des Landgerichts Berlin I reicht weit über den Einzelfall der Deutschen Wohnen hinaus. Es verdeutlicht, dass Unternehmen nicht nur Datenschutzrichtlinien erstellen, sondern deren Einhaltung auch technisch und organisatorisch sicherstellen müssen. Insbesondere Löschkonzepte dürfen nicht lediglich auf dem Papier bestehen. Vielmehr müssen eingesetzte IT-Systeme in der Lage sein, personenbezogene Daten nach Ablauf gesetzlicher Aufbewahrungsfristen oder nach Wegfall des Verarbeitungszwecks zuverlässig zu löschen. Können Systeme diese Anforderungen nicht erfüllen, besteht das Risiko eines DSGVO-Bußgeldes. Selbst dann, wenn bereits an einer technischen Lösung gearbeitet wird. Das Gericht macht damit deutlich, dass eine verzögerte Umsetzung datenschutzrechtlicher Pflichten nicht automatisch von einer Haftung befreit.

Welche Lehren sollten Unternehmen aus der Entscheidung ziehen?

Für die Praxis lassen sich aus dem Urteil mehrere wichtige Erkenntnisse ableiten:

• Löschkonzepte müssen technisch umsetzbar sein und regelmäßig überprüft werden.
• Technische und organisatorische Maßnahmen (TOM) sollten kontinuierlich an neue gesetzliche Anforderungen angepasst werden.
• Übergangsfristen entbinden Unternehmen nicht davon, erforderliche Anpassungen rechtzeitig abzuschließen.
• Investitionen in Datenschutz können sich bei der Bußgeldbemessung positiv auswirken, schließen eine Sanktion jedoch nicht aus.
• Dokumentation und Compliance gewinnen weiter an Bedeutung, um nachweisen zu können, dass Datenschutzpflichten aktiv umgesetzt werden.

Für Datenschutzbeauftragte, Compliance-Verantwortliche und Unternehmensleitungen unterstreicht die Entscheidung außerdem, dass Verstöße gegen Art. 5 DSGVO nicht nur theoretische Risiken darstellen. Werden grundlegende Datenschutzprinzipien wie Datenminimierung oder Speicherbegrenzung missachtet, können Aufsichtsbehörden empfindliche Bußgelder verhängen.

Fazit: DSGVO-Bußgeld als Warnsignal für Unternehmen

Die Entscheidung des Landgerichts Berlin I zeigt, dass Verstöße gegen die Datenschutz-Grundverordnung erhebliche finanzielle Konsequenzen nach sich ziehen können. Zwar reduzierte das Gericht das ursprünglich von der Berliner Datenschutzbehörde verhängte DSGVO-Bußgeld von 14,5 Millionen Euro auf 900.000 Euro, bestätigte jedoch zugleich, dass Deutsche Wohnen gegen wesentliche Datenschutzgrundsätze der DSGVO verstoßen hatte. Ausschlaggebend war insbesondere, dass personenbezogene Daten ehemaliger Mieter nicht rechtzeitig gelöscht wurden und die hierfür erforderlichen technischen Maßnahmen trotz einer zweijährigen Übergangsfrist nicht rechtzeitig umgesetzt worden waren.

Ebenso bedeutsam ist die rechtliche Einordnung des Verfahrens. Durch die Vorabentscheidung des Europäischen Gerichtshofs wurde klargestellt, dass Unternehmen unmittelbar nach Art. 83 DSGVO mit einem Bußgeld belegt werden können, ohne dass zuvor eine konkrete natürliche Person als Verantwortliche identifiziert werden muss. Gleichzeitig bleibt der Nachweis eines vorsätzlichen oder zumindest fahrlässigen Handelns Voraussetzung für eine Sanktion.

Für die Unternehmenspraxis ergibt sich daraus eine klare Botschaft: Datenschutz-Compliance endet nicht bei der Erstellung von Richtlinien oder Löschkonzepten. Entscheidend ist, dass technische und organisatorische Maßnahmen tatsächlich funktionieren und gesetzliche Anforderungen zuverlässig umgesetzt werden.

Fragen zum DSGVO-Bußgeld oder zur Datenschutz-Compliance?

Sie möchten wissen, wie sich das Urteil des LG Berlin auf Ihr Unternehmen auswirkt oder ob Ihre Datenschutzprozesse den Anforderungen der DSGVO entsprechen? Unsere erfahrenen Rechtsanwälte beraten Sie zu Datenschutz-Compliance, Löschkonzepten, Bußgeldrisiken und der Umsetzung technischer sowie organisatorischer Maßnahmen. Vereinbaren Sie ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage – wir unterstützen Sie gerne.