Urteil des LG Bonn im Bußgeldverfahren wegen Verstößen gegen die DSGVO

Mit Urteil vom 11. November 2020 hat das Landgericht Bonn (LG Bonn, Az. 29 OWi 1/20 LG) das Bußgeld, das der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Ende letzten Jahres gegen den Telekommunikationsdienstleister 1&1 verhängt hatte, maßgeblich reduziert.

Es handelt sich um das erste Urteil in Deutschland, in dem sich ein Gericht zu einem Millionen-Bußgeld einer Datenschutzaufsichtsbehörde unter der Geltung der EU-Datenschutzgrundverordnung (DS-GVO) sowie auch zu weiteren umstrittenen Fragen bei der Anwendung der DS-GVO positioniert hat.

Die DS-GVO ist seit Mai 2018 unmittelbar in den EU-Mitgliedstaaten anwendbar. Seitdem sind zahlreiche Bußgeldentscheidungen gegen Unternehmen ergangen; Aufsehen haben dabei insbesondere die Geldbußen gegen die Unternehmen Deutsche Wohnen und – jüngst – H&M erregt. Die datenschutzrechtlichen Aufsichtsbehörden haben 2019 ein Bußgeldkonzept veröffentlicht, das seit seinem Bekanntwerden in der Kritik steht.

In dem jetzt entschiedenen 1&1-Fall bestätigte die zuständige Kammer nun laut Pressemitteilung des LG Bonn die Entscheidung des BfDI, der für die Aufsicht über Telekommunikationsunternehmen zuständig ist, dem Grunde nach, reduzierte das verhängte Bußgeld aber maßgeblich, nämlich von EUR 9,55 Mio. auf EUR 900.000. Die Urteilsgründe sind noch nicht veröffentlicht und das Urteil ist noch nicht rechtskräftig (Stand: 12.11.2020).

Wie der Pressemitteilung aber zu entnehmen ist, war das Verfahren gegen 1&1 durch die Strafanzeige eines 1&1-Kunden wegen Stalking veranlasst worden: Vom Callcenter von 1&1 hatte die ehemalige Lebensgefährtin eines 1&1-Kunden dessen neue Telefonnummer erfahren, nachdem sie sich als Ehefrau ausgegeben hatte und zur Authentifizierung lediglich um den Namen und das Geburtsdatums des Kunden gebeten worden war. Bei der neuen Telefonnummer handelte es sich um „personenbezogene Daten“ i.S.d. DS-GVO, die die Lebensgefährtin laut Berichterstattung sodann für belästigende Anrufe beim Kunden genutzt hatte.

Auf dieser Grundlage hatte der BfDI 2019 das Bußgeld gegen 1&1 wegen eines grob fahrlässigen Verstoßes gegen Art. 32 Abs. 1 DSGVO verhängt: Das Unternehmen habe aufgrund des für den betreffenden Datensatz zur Anwendung gekommenen Authentifizierungsverfahrens gegen seine Pflicht verstoßen, geeignete technische und organisatorische Maßnahmen (sog. TOMs) zu ergreifen, um die Verarbeitung von personenbezogenen Daten systematisch zu schützen.

In dem vor dem LG Bonn geführten Einspruchsverfahren stand neben der Frage der angemessenen Bußgeldhöhe im Raum, ob in der Weitergabe der Telefonnummer überhaupt ein maßgeblicher Datenschutzrechtsverstoß lag und ob für die Verhängung einer Geldbuße ein Verstoß einer Leitungsperson erforderlich gewesen wäre. Die erste Frage bejahte das LG Bonn, wenngleich es den Verstoß als gering einstufte. Den Irrtum des Unternehmens im Hinblick auf die Angemessenheit seines jahrelang angewendeten Authentifizierungsverfahrens stufte es dabei als vermeidbar ein. Die zweite Frage verneinte das Gericht hingegen: Bei der Anwendung des europäischen Rechts sei die Verhängung eines Bußgelds nicht davon abhängig, dass der konkrete Verstoß einer Leitungsperson festgestellt werde.

Das Verschulden des Unternehmens beurteilte das Gericht aber als gering. Es leitete hieraus ab, dass die Geldbuße maßgeblich – nämlich um mehr als 90 Prozent – herabzusetzen sei. Die Berechnung des konkreten Bußgelds, das, wie im aktuellen Bußgeldkonzept der Behörden vorgesehen, maßgeblich den Konzernumsatz des betroffenen Unternehmens berücksichtigte, hielt das Gericht damit nicht für haltbar.

Chatham Partners ist eineaufkomplexe Fragen des regulatorischen Unionsrechts spezialisierte Sozietät, die intensiv auch zu Fragen der DS-GVO berät. Nehmen Sie gern Kontakt zu uns auf, um zu erfahren, wie wir ggf. auch Sie unterstützen können.