DSGVO-Bußgeld: Kann ein Unternehmen unmittelbar Betroffener sein?

Das KG Berlin hat dem EuGH zur Auslegung von Art. 83 Datenschutz-Grundverordnung (DSGVO) Fragen zur Vorabentscheidung vorgelegt. Kern der Fragen ist, ob die DSGVO für das Datenschutzrecht vom Rechtsträgerprinzip des § 30 OWiG Abstand nimmt, was eine unmittelbare Unternehmenshaftung zur Folge hätte.

Wortwörtlich lautet die 1. Vorlagefrage des KG Berlin: „Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?“

Die Problematik hat bereits für umfangreiche Diskussionen in Literatur und Rechtsprechung gesorgt. Denn Art. 83 Abs. 4 bis 6 DSGVO normiert den Bußgeldrahmen explizit auch für Unternehmen, nennt aber keine konkreten Voraussetzungen für die Verhängung von Bußgeldern gegen Unternehmen. Die Crux: Nach deutschem Recht existiert keine unmittelbare Verbandshaftung. Dennoch wird zum Teil die Auffassung vertreten, dass in Art. 83 DSGVO eine unmittelbare Verbandshaftung geregelt ist. Dann käme es eben nicht auf die Handlung einer natürlichen Person in der Leitungsebene an, wie § 30 OWiG sie fordert.

Nach europäischem Kartellrecht existiert bereits eine unmittelbare Haftung von Unternehmen. Der funktionale Unternehmensbegriff, nach dem für die Verhängung einer Geldbuße gegen ein Unternehmen keine Zurechnung einer unternehmensbezogenen Handlung einer (natürlichen) Leitungsperson erforderlich ist, folgt aus der Auslegung der Art. 101 und 102 AEUV durch den EuGH.

Das durch das KG Berlin angestoßene Vorabentscheidungsverfahren wird nun zeigen, ob der EuGH den funktionalen Unternehmensbegriff und das Funktionsträgerprinzip nicht nur im europäischen Kartellrecht gelten lässt, sondern auch im DSGVO-Bußgeldrecht.

chk