900.000 Euro sind das Endergebnis eines langjährigen Bußgeldverfahrens gegen die Deutsche Wohnen SE. Das Landgericht Berlin stellte fest, dass Verstöße gegen die DSGVO vorlagen, senkte die ursprünglich von der Berliner Datenschutzbehörde verhängte Sanktion von 14,5 Millionen Euro aber auf 900.000 Euro. Grundlage für die Reduktion waren kooperatives Verhalten des Unternehmens, ergriffene Korrekturmaßnahmen und die Einordnung vieler Mängel als Probleme aus der Einführungsphase der DSGVO. Für Unternehmen ist das Urteil deshalb ein Musterfall dafür, wie Nachbesserungen, Dokumentation und prozessuale Argumente die Bußgeldbemessung beeinflussen können.

900.000 Euro markiert das Ergebnis eines Verfahrens, das 2019 mit einem Bußgeldbescheid der Berliner Datenschutzbehörde begann und erst nach mehreren Zwischenstationen vor dem Landgericht Berlin endete.

1. Der Fall und die konkreten Vorwürfe

Die Berliner Datenschutzbehörde warf der Deutsche Wohnen SE vor, zwischen Ende Mai 2018 und Anfang März 2019 ein Archivsystem zu betreiben, das keine Möglichkeit vorsah, nicht mehr relevante Mieterdaten zuverlässig zu löschen. Nach Ansicht der Behörde enthielten die gespeicherten Akten sehr sensitive Daten: Gehaltsabrechnungen, Auszüge aus Arbeits- und Ausbildungsverträgen, Angaben aus Steuer-, Sozial- und Krankenversicherungen sowie Kontoauszüge. Bei Stichproben hatte die Behörde 15 Einzelfälle festgestellt, in denen Daten offenbar über die notwendige Aufbewahrungsdauer hinaus gespeichert waren.

Auf dieser Grundlage erließ die Behörde im Oktober 2019 einen Bußgeldbescheid über 14,5 Millionen Euro. Die Behörde sah damit schwerwiegende Verstöße gegen die Grundprinzipien der Datenverarbeitung nach der DSGVO, insbesondere gegen die Grundsätze von Zweckbindung und Speicherbegrenzung.

2. Der lange Verfahrensweg bis zur Entscheidung

900.000 Euro ist nicht die Folge einer geradlinigen Rechtsdurchsetzung, sondern das Resultat eines mehrstufigen Verfahrensverlaufs. Das Landgericht Berlin stellte 2021 den ursprünglichen Bescheid zunächst ein, weil ein Verfahrenshindernis vorgelegen habe: Die Behörde hatte keine namentlich bestimmte natürliche verantwortliche Person im Bußgeldbescheid benannt. Gegen diese Einstellung erhob die Staatsanwaltschaft Beschwerde, es folgte ein Berufungsverfahren und schließlich die Vorlage an den Europäischen Gerichtshof.

Der Europäische Gerichtshof entschied am 5. Dezember 2023 in der Rechtssache C‑807/21, dass Datenschutzbehörden Bußgelder auch dann gegen Unternehmen verhängen dürfen, wenn keine konkret benannte natürliche Leitungsperson als verantwortliche Person im Bescheid genannt ist. Der EuGH stellte zugleich klar, dass ein Bußgeld gegen ein Unternehmen nur zulässig ist, wenn der Verstoß dem Unternehmen schuldhaft zuzurechnen ist. Nach dieser Klärung wurde das Verfahren an das Landgericht Berlin zurückverwiesen.

In der Fortsetzung des Verfahrens setzte die Strafkammer des Landgerichts die mündliche Verhandlung fort und traf schließlich die Entscheidung, die Sanktion deutlich herabzusetzen. Parallel dazu hatte die Staatsanwaltschaft im Verfahren ein Bußgeld von insgesamt 7,3 Millionen Euro beantragt. Das Nebeneinander von 14,5 Millionen, 7,3 Millionen und schließlich 900.000 Euro zeigt die enorme Bandbreite, in der Gerichte und Verfahrensbeteiligte Sanktionen als angemessen angesehen haben.

3. Die rechtliche Bewertung und die Begründung der Gerichtsentscheidung

Das Landgericht Berlin stellte fest, dass ein Verstoß gegen die DSGVO vorlag und in einzelnen Fällen sogar ein vorsätzlicher Verstoß gegen die Grundsätze der Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 DSGVO zu bejahen sei. Vorsitzender Richter Simon Trost hob jedoch in der Bemessung des Bußgeldes mehrere mildernde Umstände hervor. Das Gericht würdigte, dass die Deutsche Wohnen externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet hatte, um die IT-Systeme an die gesetzlichen Vorgaben anzupassen. Außerdem ordnete die Kammer viele der festgestellten Mängel der Einführungsphase der DSGVO zu.

Ein weiterer Umstand, der die Sanktion verringerte, war die Einschätzung des Gerichts zur Beweislage. Die Kammer sah, dass die Berliner Datenschutzbehörde Schwierigkeiten gehabt habe, den damaligen Ist-Zustand gerichtsfest zu dokumentieren. Auf dieser Basis reduzierte das Gericht das Bußgeld auf 900.000 Euro und vermerkte den Aktenzeichenvermerk Az. 526 OWiG LG 1/20. Die Staatsanwaltschaftsbeantragung über 7,3 Millionen Euro zeigt, dass das Gericht sich bei seiner Entscheidung in einem Mittelfeld bewegte, aber deutlich unter dem ursprünglichen Bescheid blieb.

Mastheads

4. Drei Verteidigungsachsen und ihre praktische Bedeutung

Das Verfahren liefert ein klares Muster für Verteidigungsstrategien in DSGVO-Bußgeldverfahren. Erstens können formale Verfahrensfragen entscheidend sein: Die früher geltende Erwartung, dass ein Bußgeldbescheid eine namentlich benannte verantwortliche natürliche Person enthalten müsse, führte hier 2021 zur Einstellung. Zwar hat der EuGH diese Anforderung relativiert, doch zeigt der Fall, dass prozessuale Fehler der Behörde Fristräume eröffnen können.

Zweitens spielt die genaue Eingrenzung des relevanten Zeitraums und Verjährungsfragen eine Rolle. Anwälte hatten im Verfahren einen Verjährungsantrag gestellt; solche Anträge können Zeiträume verkürzen oder bestimmte Vorwürfe außerhalb des zugelassenen Verfahrenshorizonts lassen. Drittens ist die materielle Verteidigung zentral: Die Darlegung von Schuldminderung, die proaktive Einleitung von Korrekturmaßnahmen und eine dokumentierte Kooperation mit den Aufsichtsbehörden sind gewichtige Argumente bei der Bußgeldbemessung.

Im vorliegenden Fall führte gerade die Kombination aus formaler Argumentation und materieller Nachbearbeitung zu einer beträchtlichen Reduktion der Geldsanktion. Für Verteidiger heißt das: Die Verteidigungslinien sollten parallel geführt werden, nicht nacheinander.

5. Konkrete Compliance-Lehren für Unternehmen

Die Kammer machte in ihrer Begründung deutlich, welche Maßnahmen bei der Bemessung von Sanktionen positiv berücksichtigt werden. Zentral sind technische Löschfunktionen in Archivsystemen, eine klare und nachvollziehbare Dokumentation von Löschfristen und Löschprozessen sowie die regelmäßige Überprüfung der Rechtsgrundlagen für gespeicherte Daten. Die Einbindung externer Prüfungen, Wirtschaftsprüfer und IT-Experten wurde im Urteil ausdrücklich als mildernder Faktor erwähnt.

Operativ bedeutet das: Unternehmen sollten die Löschfristen und die Zweckbindung personenbezogener Daten nicht nur in Richtlinien fixieren, sondern technisch durchsetzbar machen. Nachweise über durchgeführte Anpassungen, Protokolle über die Beauftragung externer Berater und Testläufe technischer Löschfunktionen sind in einem Bußgeldverfahren wertvolle Beweismittel. Das Gericht hob ausdrücklich hervor, dass die Nachbearbeitung und die Umstellung der Systeme berücksichtigt wurden.

Die Kernaussage für Compliance-Manager lautet demnach: Frühzeitiges, dokumentiertes und nachweisbares Handeln reduziert das Bußgeldrisiko. Maßnahmen sollten nicht ad hoc erfolgen, wenn bereits eine Prüfung läuft, sondern proaktiv im Rahmen regulärer Systempflege und Auditzyklen implementiert werden.

6. Praktische Schritte für die Prozessführung und interne Alarmpläne

Aus dem Urteil lassen sich präzise Taktiken für die Prozessführung ableiten. Erstens sollten Unternehmen Verfahren und Verantwortlichkeiten dokumentieren, damit formale Einwände der Aufsicht schnell identifiziert und adressiert werden können. Zweitens empfiehlt sich eine klare Chronologie aller Maßnahmen, etwa wann externe Experten hinzugezogen wurden, welche IT-Projekte gestartet wurden und welche Testergebnisse vorlagen. Drittens muss die materielle Verteidigung die konkrete Darstellung von Schuldminderungsfaktoren enthalten: Kooperation, unverzügliche Maßnahmen und die Schaffung technischer Löschfunktionen.

Praktisch heißt das für die betriebliche Organisation: Legen Sie einen internen Alarmplan für Datenschutzvorfälle an, halten Sie Meldewege intern und extern schriftlich fest und dokumentieren Sie jeden Schritt der Nachbesserung. Diese Dokumentation verwandelt Managementmaßnahmen in prozessfähige Beweismittel, die Gerichte bei der Bußgeldbemessung berücksichtigen können.

7. Das Urteil in der Aufsichtspraxis und seine Folgen

Die Berliner Datenschutzbeauftragte Meike Kamp kommentierte, die Verfahrensführung ihrer Behörde sei bestätigt worden und das Urteil kläre wichtige Rechtsfragen, die Rechtssicherheit für die Aufsichtspraxis schaffe. Tatsächlich hat der Fall Bedeutung über den einzelnen Akteninhalt hinaus: Er zeigt, wie sich europäische Rechtsprechung und nationale Gerichte gegenseitig ausbalancieren, wenn es um die Verantwortlichkeit von Unternehmen unter der DSGVO geht.

Unternehmen sollten daher zwei Lehren ziehen: Erstens, die Möglichkeit der Aufsicht, bei fehlender Nennung einer konkreten Leitungsperson Bußgelder zu verhängen, ist nach dem EuGH gegeben. Zweitens bleibt die Schuldfrage zentral, und sie wird vom Gericht auf Unternehmensebene geprüft. Das bedeutet, dass Struktur, Organisation und Compliance-Maßnahmen dokumentiert und prüffähig sein müssen.

Insgesamt stellt der Fall einen Praxisleitfaden dar, wie sich Bußgeldverfahren entwickeln können: von der behördlichen Feststellung über verfahrensrechtliche Kollisionen bis hin zur abschließenden materiellen Bewertung durch das Gericht.

Related Articles

Das Landgericht Berlin setzte das Bußgeld auf 900.000 Euro fest und bestätigte zugleich Datenschutzverstöße, in Einzelfällen mit Vorsatz; das Verfahren trägt das Aktenzeichen Az. 526 OWiG LG 1/20.

Dieser Artikel wurde mit KI-Unterstützung erstellt.