Unternehmenssanktionierung nach DSGVO: Fällt das deutsche “Zurechnungsmodell”?

Die Abkehr vom Zurechnungsmodell wäre ein Fehler.

Setzt die Verhängung einer Unternehmensgeldbuße nach der DSGVO individuelles Fehlverhalten einer Leitungsperson voraus? Zwei deutsche Gerichte haben einander widersprechende Entscheidungen gefällt. Jetzt soll der EuGH entscheiden. Es droht eine Zersplitterung des deutschen Verbandssanktionenrechts.

Die Pläne für ein eigenes Verbandssanktionengesetz (VerSanG) sind vom Tisch. Unter der Ägide der aktuellen Bundesregierung wird es wohl bei der aktuellen Systematik des Verbandsbußgeldrechts bleiben. Diese sieht vor, dass ein Unternehmen nur dann bebußt werden kann, wenn eine Leitungsperson eine betriebsbezogene Straftat oder Ordnungswidrigkeit begangen hat. Diese Akzessorietät der Unternehmensbuße von einer Tat, die einer einzelnen Leitungsperson vorgeworfen werden kann, wird landläufig als “Zurechnungsmodell” bezeichnet.

Das Zurechnungsmodell steht seit jeher in Streit. Schon als studentischer Mitarbeiter sammelte ich für meinen damaligen Chef Aufsätze mit den unterschiedlichsten Ansätzen zur Frage, wie idealerweise eine Unternehmensstrafe auszugestalten sei. Eines der wesentlichen Argumente für eine autonome Unternehmenssanktionierung, also eine “Bestrafung” von Unternehmen ohne Anknüpfung an eine individuelle Fehlleistung, war, dass Unternehmensleiter andernfalls die Möglichkeit hätten, sich durch ausufernde Verantwortungsdelegation jeglichen Haftungsrisikos zu entziehen. Diese “organisierte Unverantwortlichkeit” eliminiere – so die These – die Grundlage für eine Sanktionierung des Unternehmens. Im Zuge der Diskussion um die Einführung eines Verbandssanktionengesetzes geriet dieser Diskurs aber völlig in den Hintergrund. Die Kritik am Zurechnungsmodell wurde leise, der Streit war, so schien es, erledigt.

Zwei aktuelle Entscheidungen haben ihm neuen Rückenwind verliehen: Wegen Verletzungen von Datenschutzregeln verhängte das Landgericht Bonn gegen einen Telekommunikationsanbieter ein Bußgeld nach den Vorschriften der Datenschutzgrundverordnung, ohne ein Individualverschulden einer Leitungsperson festgestellt zu haben. Die Verordnung sehe wie auch das europäische Kartellrecht eine originäre Unternehmensbuße vor, der Zurechnung einer Verfehlung der Leitungsperson zum Unternehmen bedürfe es nicht. Nur drei Monate später hat das Landgericht Berlin sich ausdrücklich gegen seine Bonner Richterkollegen gestellt und einen Bußgeldbescheid der Berliner Datenschutzbehörde, den diese wegen einer Datenschutzpanne gegen eine Immobiliengesellschaft ausgebracht hatte, aufgehoben. Diese habe nämlich keine Individualtat einer Leitungsperson in der Begründung des Bußgeldbescheides dokumentiert. Nun liegt die Angelegenheit beim EuGH.

Es ist nicht zu erwarten, dass das höchste europäische Gericht nationalen Sanktionsregelungen den Vorrang vor europäischem Recht einräumt. Im Bereich von Straftaten (criminal sanctions) wäre das möglicherweise noch anders, hier geht es aber “nur” um Ordnungswidrigkeiten, also Verwaltungssanktionen (administrative sanctions), bei denen Europa sich – anders als bei Straftaten – Richtlinienkompetenz vorbehält.

Fällt das Zurechnungsmodell bei der Sanktionierung von Datenschutzverstößen nach der DSGVO, fällt es auch in anderen Bereichen des von der EU bestimmten Sanktionenrechts. Das würde eine Zersplitterung des deutschen Unternehmenssanktionenrechts in einen EU-Teil (kein Zurechnungsmodell) und einen national-deutschen Teil (Zurechnungsmodell, § 30 OWiG) mit sich bringen.

Die Abkehr vom Zurechnungsmodell wäre ein Fehler. Niemandem nutzt es, Fälle zu sanktionieren, in denen die Strafzwecke versagen, in denen die Sühne- und Repressionsfunktion von Strafe nicht funktioniert und auch keine Motivation zum “Bessermachen” geweckt wird. Es ist nicht erforderlich, all das, was betrieblich schief geht, per se zu sanktionieren. Denn es gibt neben schuldhaft verursachten Unfällen eben auch Unglücke, ineinandergreifende Zufälle und nicht von menschlicher Hand gesteuerte Koinzidenzen, die für niemanden vorhersehbar sind und die weder einem Individuum noch einem Unternehmen vorgeworfen werden sollten.

Das Zurechnungsmodell bietet Rechtssicherheit und ist ein Garant für Gerechtigkeit: Es verlangt dem Ermittler bei der Feststellung des Sachverhalts ein hohes Maß an Sorgfalt ab. Dieses hohe Sorgfaltsniveau der Ermittlungen, bedingt durch die Notwendigkeit der individuellen Konkretisierung von Fehlverhalten, begünstigt eine umfassende, tiefgehende und erhellende Sachverhaltsaufklärung. Die damit verbundene umfassende Erkenntnislage ermöglicht eine substantiierte und nachvollziehbare Rechtsfolgenentscheidung, die sich nicht mit dem Merksatz begnügt “Wenn etwas passiert ist, muss auch irgendjemand schuld sein.”

Es steht zu hoffen, dass der EuGH den Mitgliedstaaten ihre Souveränität über die Voraussetzungen der Unternehmenssanktionierung belässt.

Dr. André-M. Szesny, LL.M., ist Rechtsanwalt und Partner der Wirtschaftskanzlei Heuking Kühn Lüer Wojtek. Er ist als Strafverteidiger in Wirtschaftsstrafsachen tätig und berät Unternehmen und Einzelpersonen in Fragen der Compliance und des Unternehmensstrafrechts.