Dieser Fall ist ein Schulbeispiel für die Ausschöpfung des Rechtsweges:
Gegen die Deutsche Wohnen, den größten privaten Immobilienbesitzer mit 110.000 Wohnungen in Berlin, hatte die Berliner Beauftragte für Datenschutz und Informationsfreiheit 2019 ein Bußgeld in Höhe von Euro 14.5 Millionen verhängt, damals das höchste verhängte Bußgeld in Deutschland. Das Unternehmen hatte Mieterdaten gespeichert, ohne dass eine Möglichkeit zum Löschen bestand. Unterlagen von Mietern und Wohnungsbewerbern höchstpersönlicher Art, wie Gehaltsbescheinigungen, Personalausweiskopien usw. wurden über Jahre hinweg archiviert, ohne dass hierfür eine Notwendigkeit bestand.
Als auch nach der Beanstandung im Rahmen einer zweiten Kontrolle festgestellt wurde, dass keine Löschung erfolgt war, verhängte die Aufsichtsbehörde das hohe Bußgeld.
Rechtsanwalt Sendler: „Das wollte natürlich die Deutsche Wohnen nicht auf sich sitzen lassen und legte gegen den Bußgeldbescheid Einspruch ein. Hiermit begann eine gerichtliche Odyssee, die über das Berliner Kammergericht zum Europäischen Gerichtshof und von dort zurück zum Kammergericht und dann wieder zum Landgericht Berlin führte und dort am 9. Juni 2026 – vorläufig – endete.“
Was war geschehen?
Das Landgericht Berlin hatte im Jahr 2021 zunächst geurteilt, dass das Verfahren einzustellen sei, da nach dem anzuwendenden deutschen Ordnungswidrigkeitenrecht ein Bußgeld nicht gegen ein Unternehmen verhängt werden könne, ohne dass einer konkreten mitarbeitenden Person der Vorwurf einer Datenschutzverletzung gemacht werden kann.
Auf die sofortige Beschwerde der Berliner Datenschutzbeauftragten legte das angerufene Kammergericht Berlin den Fall wegen verschiedener offener europarechtlicher Fragen dem Europäischen Gerichtshof vor. Dieser urteilte im Dezember 2023 und entschied grundsätzlich, dass Bußgelder auch gegen Unternehmen verhängt werden können, ohne dass eine Ordnungswidrigkeit einer identifizierten natürlichen Person festgestellt worden sein muss. Zugleich stellte der EuGH klar, dass ein Bußgeld Vorsatz oder Fahrlässigkeit voraussetzt und das Verschulden eines Mitarbeitenden dem Unternehmen zugerechnet wird.
Anwalt Sendler: „Daraufhin hat das Kammergericht die Einstellungsentscheidung des Landgerichts aufgehoben und die Sache wieder an das Landgericht Berlin zurück verwiesen, damit dort unter Berücksichtigung der Rechtsauffassung des EuGH erneut über die Rechtmäßigkeit des verhängten Bußgeldes aus dem Jahr 2009 befunden werden konnte. So ist die Sache nach einigen Jahren Anfang 2026 wieder bei der Ausgangsinstanz gelandet, die nun in neuer richterlicher Besetzung entscheiden musste. In einer langen und umfangreichen Beweisaufnahme hat die große Strafkammer des Landgerichts Berlin am 9. Juni 2026 festgestellt, dass die Deutsche Wohnen vorsätzlich gegen die Grundsätze der Datenminimierung aus Art. 5 Abs. 1 Buchstabe c DSGVO und der Speicherbegrenzung aus Art. 5 Abs. 1 verstoßen hat.“
Die Entscheidung des Landgerichts Berlin und die Reduzierung des Bußgeldes
Das Bußgeld hat das Landgericht Berlin nunmehr reduziert auf Euro 900.000. Hierbei wurde berücksichtigt, dass die Deutsche Wohnen im Zusammenhang mit dem Inkrafttreten der neuen Regelungen der DSGVO seit dem 25. Mai 2018 zahlreiche Bemühungen durch Einschaltung von IT-Fachleuten, Wirtschaftsprüfern und Beratern unternommen hat, um den neuen Anforderungen entsprechen zu können. Aus dieser Einschätzung folgt, dass die Gerichte nicht an die Bewertung der Aufsichtsbehörden gebunden sind und Kooperation und Abhilfeversuche des Verantwortlichen selbst gewichten können.
Rechtsanwalt Sendler: „Der Fall Deutsche Wohnen stellt einen Wendepunkt in der behördlichen Bußgeldpraxis dar. Durch die Ausschöpfung des Rechtsweges konnte geklärt werden, dass Bußgelder wegen Datenschutzverstößen nun auch gegen Unternehmen verhängt werden können, ohne dass eine Ordnungswidrigkeit einer identifizierten natürlichen Person festgestellt werden muss. Es zeigt aber auch, dass die verantwortlichen Unternehmen nur Datenschutzmanagementsysteme einsetzen sollten, die über den Einsatz geeigneter Löschkonzepte die datenschutzkonformen und gesetzlich vorgeschriebenen Löschungen ermöglichen. Hierzu sollte rechtzeitig ein IT-Experte hinzugezogen und anwaltlicher Rat eingeholt werden.“
DSGVO-Bußgelder vermeiden: Schutz durch professionelle Datenschutzberatung
Das Urteil gegen die Deutsche Wohnen zeigt deutlich, dass Datenschutzverstöße für Unternehmen ein massives finanzielles Risiko sind. Gleichzeitig beweist das Verfahren, wie entscheidend eine fundierte juristische Strategie bei behördlichen Verfahren ist.
Um Risiken zu minimieren oder im Ernstfall rechtssicher zu agieren, ist spezialisierte Expertise unerlässlich. Rechtsanwalt Sendler ist zertifizierter Datenschutzbeauftragter sowie zertifizierter Datenschutzauditor. Mit seiner langjährigen Erfahrung unterstützt er Unternehmen sowohl präventiv bei der Einführung datenschutzkonformer Löschkonzepte als auch vertretend bei behördlichen Bußgeldverfahren.
Wenn Sie Unterstützung bei der DSGVO-Konformität oder einem aktuellen Datenschutzvorfall benötigen, kontaktieren Sie Rechtsanwalt Sendler für eine fundierte Beratung.
FAQ: Häufig gestellte Fragen zum Fall „Deutsche Wohnen“ und der DSGVO
Die Berliner Datenschutzbeauftragte stellte bei Kontrollen fest, dass das Unternehmen sensible Mieterdaten wie Gehaltsbescheinigungen, Steuer- und Ausweiskopien jahrelang archivierte, ohne dass hierfür eine Notwendigkeit bestand. Da das Unternehmen auch nach einer ersten Verwarnung kein funktionierendes Löschkonzept einführen konnte, wurde 2019 das damals rekordverdächtige Bußgeld verhängt.
Der gesetzliche Rahmen der DSGVO (Art. 83) sieht bei schweren Verstößen Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor – je nachdem, welcher Wert höher ist. Wie der Fall der Deutsche Wohnen zeigt, können Gerichte diese Bußgelder jedoch im Einzelfall drastisch reduzieren, wenn das Unternehmen nachweisbar Kooperation zeigt und aktiv an der Behebung der Mängel arbeitet.
Ja, das hat der Europäische Gerichtshof (EuGH) im Dezember 2023 im Rahmen dieses Verfahrens grundlegend geklärt. Ein Bußgeld kann direkt gegen eine juristische Person (das Unternehmen) verhängt werden. Es ist nicht mehr erforderlich, dass die Ordnungswidrigkeit einer konkreten, namentlich identifizierten Führungskraft oder einem bestimmten Mitarbeitenden zugeordnet werden muss.
Das Gericht würdigte die enormen Bemühungen und Investitionen, die die Deutsche Wohnen nach Inkrafttreten der DSGVO unternommen hat. Das Unternehmen hatte IT-Fachleute, Wirtschaftsprüfer und Berater engagiert, um die Systeme datenschutzkonform umzustellen. Diese aktive Schadensbegrenzung und Kooperation führte zu einer Reduzierung des Bußgeldes um über 90 %.
Beide Grundsätze stammen aus Art. 5 DSGVO. Die Datenminimierung besagt, dass nur so viele Daten erhoben werden dürfen, wie für den konkreten Zweck angemessen und erheblich sind (Beispiel: kein Geburtsdatum für eine schlichte Buchbestellung). Die Speicherbegrenzung schreibt vor, dass diese Daten nur so lange in einer identifizierbaren Form gespeichert werden dürfen, wie es der Zweck erfordert. Gegen beide Grundsätze hatte die Deutsche Wohnen verstoßen.
Nach Art. 17 DSGVO (dem „Recht auf Vergessenwerden“) müssen personenbezogene Daten unverzüglich gelöscht werden, sobald der Zweck für ihre Erhebung oder Verarbeitung weggefallen ist. Typische Beispiele sind abgewiesene Wohnungsbewerbungen oder beendete Mietverhältnisse sowie erfolglose Bewerbungen in Arbeitsverhältnissen. Eine Pflicht zur Löschung besteht auch dann, wenn eine erteilte Einwilligung widerrufen wird oder keine gesetzlichen Aufbewahrungspflichten (z. B. aus dem Steuer- oder Handelsrecht) mehr entgegenstehen.
Bei großen Datenbeständen ist eine rein manuelle Löschung fehleranfällig, extrem zeitaufwendig und kaum lückenlos zu dokumentieren. Um DSGVO-konform zu agieren, benötigen Unternehmen automatisierte, systemübergreifende IT-Löschkonzepte. Diese stellen sicher, dass Daten nach Ablauf definierter Fristen automatisch und unwiderruflich aus allen Datenbanken und Archiven gelöscht werden.
Die wirksamste Vorsorge ist die frühzeitige Implementierung eines funktionierenden Datenschutz-Managementsystems. Dazu gehört die Bestellung eines qualifizierten (externen) Datenschutzbeauftragten, die Durchführung regelmäßiger Audits und die rechtzeitige datenschutzrechtliche Prüfung der eingesetzten IT-Infrastruktur. Im Falle einer behördlichen Prüfung ist zudem eine professionelle juristische Begleitung entscheidend, um Bußgelder abzuwehren oder maßgeblich zu reduzieren.
