Datenschutzverfahren gegen Deutsche Wohnen endet mit deutlich reduzierter Strafe
Im langjährigen Streit um ein Millionenbußgeld wegen Datenschutzverstößen hat das Landgericht Berlin die Strafe gegen die Wohnungsbaugesellschaft Deutsche Wohnen auf 900.000 Euro festgesetzt. Die Berliner Datenschutzbehörde hatte 2019 wegen Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) ursprünglich 14,5 Millionen Euro verhängt. Das Unternehmen, das inzwischen zum Immobilienkonzern Vonovia gehört, war gegen den Bescheid vorgegangen und hatte sich durch mehrere Instanzen gewehrt.
Aus Sicht der Kammer liegt ein Verstoß gegen die DSGVO vor, weil Deutsche Wohnen zwischen Ende Mai 2018 und Anfang März 2019 keine ausreichenden technischen und organisatorischen Vorkehrungen getroffen hatte, um nicht mehr benötigte Mieterdaten regelmäßig zu löschen. Die Behörde stellte bei Stichproben unter anderem unrechtmäßig gespeicherte Kopien von Personalausweisen, Gehaltsabrechnungen und Mietschuldenfreiheitsbescheinigungen fest. Nach Angaben der Datenschutzaufsicht soll die Zahl der betroffenen Mieter im sechsstelligen Bereich gelegen haben.
Die Richter bewerteten den Verstoß jedoch „in einem milderen Licht“ und sahen die ursprünglich angesetzte Summe von rund 14 Millionen Euro als nicht gerechtfertigt an. Positiv wurde gewertet, dass das Unternehmen kooperiert und ein umfangreiches IT-Projekt zur Einführung eines datenschutzkonformen Archivsystems gestartet hatte. Gleichzeitig hielt das Gericht fest, dass Deutsche Wohnen die notwendigen Anpassungen schneller hätte umsetzen können. Die Staatsanwaltschaft hatte in ihrem Plädoyer nach rund dreimonatiger Beweisaufnahme eine Geldbuße in Höhe von 7,3 Millionen Euro gefordert.
Der Fall hatte zwischenzeitlich grundsätzliche Bedeutung für die Sanktionierung von Unternehmen nach der DSGVO erlangt. Das Landgericht Berlin hatte das Verfahren 2021 zunächst wegen eines Verfahrenshindernisses eingestellt, weil die Behörde keine konkret verantwortliche natürliche Person benannt hatte. Auf Beschwerde der Staatsanwaltschaft befasste sich das Berliner Kammergericht mit dem Fall und rief den Europäischen Gerichtshof (EuGH) an. Dieser entschied im Dezember 2023, dass Datenschutzbehörden Bußgelder auch dann direkt gegen Unternehmen verhängen dürfen, wenn keine individuelle Ordnungswidrigkeit einer Leitungsperson nachgewiesen ist – vorausgesetzt, der Verstoß wurde schuldhaft begangen. Auf dieser Grundlage musste das Landgericht nun erneut entscheiden und setzte das Bußgeld deutlich unterhalb der ursprünglichen Forderung fest.
