DSGVO-Bußgeld gegen Deutsche Wohnen: neues Urteil

Im Streit um einen Bußgeldbescheid wegen eines Verstoßes gegen die Datenschutz-Grundverordnung (DSGVO) gegen den Immobilienkonzern Deutsche Wohnen hat das Berliner Landgericht den Betrag drastisch reduziert. Gegen das Unternehmen erging ein Bußgeld in Höhe von 900.000 Euro. 

Die Datenschutzbehörde hatte im Jahr 2019 insgesamt 14,5 Millionen festgesetzt. Seitdem beschäftigt der Fall die Gerichte. Es geht um das Speichern von Mieterdaten.

Mieterdaten: Haftung für verspätete Löschung

"Wir sehen einen Verstoß gegen die Datenschutz-Grundverordnung", sagte der Vorsitzende Richter Simon Trost. Doch rund 14 Millionen Euro seien nicht zu rechtfertigen. Das Unternehmen sei kooperativ gewesen und habe daran gearbeitet, eine technische Lösung zu finden und ein konformes System aufzubauen. Es wäre aus Sicht des Gerichts allerdings möglich gewesen, "es schneller auf den Weg zu bringen".

In dem Verfahren wird der Deutsche Wohnen – die seit 2021 zu Vonovia gehört – von der Behörde vorgeworfen, zwischen Ende Mai 2018 und Anfang März 2019 keine ausreichenden Vorkehrungen dafür getroffen zu haben, dass nicht mehr benötigte Mieterdaten regelmäßig gelöscht werden. Der Konzern hätte gespeicherte Identitätsnachweise und Angaben über die Zahlungsfähigkeit unmittelbar nach Begründung des Mietverhältnisses löschen müssen. Bei Stichproben seien 15 Einzelfälle festgestellt worden.

Das Berliner Landgericht (Beschluss v. 18.2.2021, 526 AR) stellte das Verfahren gegen die Deutsche Wohnen zunächst ein. Der Bescheid sei unwirksam, weil er keine Angaben zu konkreten Tathandlungen eines Organs des Unternehmens enthalte, so die Entscheidung. Die Behörde habe keine konkret verantwortliche Person für den mutmaßlichen Verstoß benannt. Dagegen legte die Staatsanwaltschaft Beschwerde ein.

Staatsanwaltschaft forderte 7,3 Millionen Euro Bußgeld

Die Berliner Staatsanwaltschaft beantragte ein Bußgeld von insgesamt 7,3 Millionen Euro beantragt. Das Unternehmen habe sich nicht grundsätzlich gegen die Löschung personenbezogener Archivdaten gesperrt. Es sei ein großes IT-Projekt gestartet worden. Deutsche Wohnen habe sich allerdings "zu spät und nicht ausreichend bemüht", hieß es im Plädoyer. Es habe eine Übergangsfrist von zwei Jahren gegeben.

Die Beschwerde musste als nächst höhere Instanz das Kammergericht Berlin prüfen. Das hier anhängige Berufungsverfahren (3 Ws 250/21) wurde ausgesetzt, da dem Europäischen Gerichtshof (EuGH) mit Beschluss vom 6.12.2021 rechtliche Fragen zur Klärung (Vorabentscheidungsersuchen) vorgelegt wurden.

Die Grundsatzfrage: Kann eine juristische Person in Deutschland, die ein Unternehmen betreibt, unmittelbar für DSGVO-Verstöße sanktioniert werden, ohne dass eine Ordnungswidrigkeit einer natürlichen und identifizierten Leitungsperson festgestellt werden muss? 

DSGVO-Verstoß: Grundsatzurteil des EuGH

Der EuGH entschied am 5.12.2023 auf Vorlage des Kammergerichts, dass Datenschutzbehörden auch dann Bußgelder gegen Unternehmen verhängen dürften, wenn sie keine Ordnungswidrigkeit einer natürlichen Leitungsperson festgestellt haben. Verstöße durch Vertreter reichen. Das bestätigte die Rechtsauslegung der Datenschutzbehörde.

Vorliegen müsse aber ein schuldhafter Verstoß – vorsätzlich oder fahrlässig – gegen die DSGVO zur Verhängung einer Geldbuße. Das Bußgeld kann sich am Umsatz des Unternehmens oder der Muttergesellschaft orientieren.

Die EU-Verordnung sieht bei DSGVO-Verstößen Zwangsgelder von bis zu 20 Millionen Euro beziehungsweise bis zu vier Prozent des Gesamtumsatzes vor. Der zugrundegelegte Umsatz der Deutsche Wohnen von 2018 hätte ein Bußgeld von insgesamt bis zu 28 Millionen Euro erlaubt.

( EuGH, Urteil v. 5.12.2023 – C-807/21)

Deutsche Wohnen setzte beim LG Berlin auf Freispruch

Der Immobilienkonzern forderte vor dem Landgericht Berlin Freispruch. Die Speicherung der von der Behörde als unnötig eingestuften Daten hätten einer ganzen Reihe weiterer Zwecke wie steuerrechtlicher oder geldwäscherechtlicher Regeln. Die Behörde sei von rechtlich falschen Löschungspflichten ausgegangen.

Zudem habe die Deutsche Wohnen schon vor dem im Bescheid genannten Zeitraum Millionen Euro für die Modernisierung des Archivsystems eingesetzt. Die aufgelisteten Daten seien im maßgeblichen Zeitraum bereits "gekappt", also gesperrt und vor unbefugten Zugriffen gesichert gewesen.

Das neue Urteil ist noch nicht rechtskräftig.

(LG Berlin I, Urteil v. 9.6.2026, 526 OWiG LG 1/20)

Datenschutz: Handlungsbedarf bei Wohnungsunternehmen

Die Deutsche Wohnen war der Datenschutzbehörde erstmals im Juni 2017 aufgefallen, als personenbezogene Daten von Mietern in einem Archivsystem gespeichert worden waren, in dem gar nicht gelöscht werden konnten. Weil an dem Zustand bis März 2019 nichts geändert worden sei, habe man zu drastischen Mitteln gegriffen, erklärte die Behörde. Die verschärfte Regelung der DSGVO trat erst am 25.5.2018 in Kraft. 

Beim Wohnungskonzern LEG war im Juli 2019 vorübergehend ein Mieterportal abgeschaltet worden, nachdem ein Informatikstudent Sicherheitslücken öffentlich gemacht hatte. Es seien keine besonderen Computerkenntnisse notwendig gewesen, um sämtliche Daten anderer Mieter abzurufen, hieß es in einem Bericht des Westdeutschen Rundfunks (WDR).

In einem Interview mit dem "Tagesspiegel" erklärte die damalige Berliner Datenschützerin Maja Smoltczyk im November 2019, dass die massive Speicherung von Daten häufiger vorkomme und sich Unternehmen oft wenig Gedanken machten, ob die Daten überhaupt gespeichert werden müssten. Wohnungsunternehmen hätten zwar Vorhaltepflichten, müssten aber bei den personenbezogenen Mieterdaten Löschfristen beachten.

Um Unternehmen bei der Umsetzung der Datenschutz-Grundverordnung zu unterstützen, hat die Gesellschaft für Datenschutz und Datensicherheit (GDD) Praxishilfen zur DSGVO veröffentlicht. Unterstützung findet speziell die Immobilienbranche auch bei den Branchenverbänden.

Das könnte Sie auch interessieren:

Skandal um Mieterdaten: Brebau soll Millionen-Bußgeld zahlen

DSGVO in der Immobilienwirtschaft: 1x1 der Bußgeldberechnung (€)