Blog · 11. Oktober 2026
Bußgeld nur bei Verschulden? Was der EuGH zur Haftung von Unternehmen sagt
„Ich wusste doch gar nicht, dass das verboten ist“ – dieser Satz hilft keinem Unternehmen, wenn die Datenschutzaufsicht ein Bußgeld prüft. Und die Behörde muss auch nicht erst herausfinden, welcher Geschäftsführer was versäumt hat. Was der Europäische Gerichtshof dazu entschieden hat und was das Landgericht Berlin im Juni 2026 daraus gemacht hat.
Ein Hausverwalter mit 30 Mitarbeitern hat ein altes Archivsystem. Dort liegen Gehaltsnachweise, Kontoauszüge und Ausweiskopien von Mietern, die seit Jahren ausgezogen sind. Löschen kann das System nicht, also bleibt alles liegen. Wer ist schuld, wenn die Aufsicht das findet? Der Geschäftsführer? Die IT? Oder einfach das Unternehmen? Genau diese Frage hat der Fall Deutsche Wohnen geklärt.
Was der EuGH entschieden hat
Die Berliner Datenschutzbeauftragte hatte gegen die Deutsche Wohnen SE 2019 ein Bußgeld von rund 14,5 Millionen Euro verhängt, wegen genau so eines Archivs ohne Löschfunktion. Das Landgericht Berlin stellte das Verfahren zunächst ein: Nach deutschem Ordnungswidrigkeitenrecht müsse man einem Unternehmen das Fehlverhalten einer konkreten Leitungsperson nachweisen. Das Kammergericht Berlin legte die Frage dem Europäischen Gerichtshof vor.
Der EuGH hat am 5. Dezember 2023 (C-807/21) zwei Dinge klargestellt.
Erstens: Unternehmen haften direkt. Die Behörde muss nicht ermitteln, welcher Vorstand oder Geschäftsführer den Verstoß begangen hat. Es reicht, dass er im Unternehmen und für das Unternehmen passiert ist. Die deutsche Regel, die eine identifizierte Leitungsperson verlangt, darf bei DSGVO-Bußgeldern nicht angewendet werden.
Zweitens: Ein Bußgeld setzt Verschulden voraus, also Vorsatz oder Fahrlässigkeit. Eine reine Haftung ohne jedes Verschulden gibt es nicht. Aber Vorsicht: Unwissenheit schützt nicht. Fahrlässig handelt ein Unternehmen schon dann, wenn es sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, egal ob es wusste, dass es gegen die DSGVO verstößt.
Dazu kommt die Bemessung. Für die Höhe des Bußgelds gilt der kartellrechtliche Unternehmensbegriff. Im Februar 2025 hat der EuGH in der Sache ILVA (C-383/23) bestätigt, dass bei Konzernen der weltweite Umsatz der gesamten wirtschaftlichen Einheit maßgeblich sein kann, nicht nur der der einzelnen Tochter. Für eine kleine GmbH, die zu einer größeren Gruppe gehört, ist das kein Detail.
Was im Juni 2026 daraus wurde
Das Verfahren ging zurück nach Berlin. Am 9. Juni 2026 hat das Landgericht Berlin I die Deutsche Wohnen zu 900.000 Euro verurteilt, statt der ursprünglich 14,5 Millionen. Das Gericht sah den Verstoß gegen die Löschpflichten als vorsätzlich an. Mildernd berücksichtigte es unter anderem, dass das Unternehmen externe Berater und IT-Fachleute eingeschaltet hatte und die Verstöße in der Einführungsphase der DSGVO lagen. Das Urteil war nach der Pressemitteilung des Gerichts noch nicht rechtskräftig.
Bemerkenswert finde ich die Milderungsgründe: Was das Bußgeld gedrückt hat, war nachweisbares Bemühen. Nicht Ausreden, sondern Belege.
Was das für die Geschäftsführung bedeutet
Im Kern geht es um Organisationsverschulden. Das Unternehmen haftet, wenn es seine Abläufe so organisiert, dass Verstöße vorhersehbar passieren: kein Löschkonzept, keine Zuständigkeiten, keine Kontrolle. Die Frage lautet nicht mehr „Wer war es?“, sondern „Hätte das Unternehmen es besser wissen und verhindern können?“.
Die beste Verteidigung ist deshalb Dokumentation. Sie zeigt, dass Sie die Pflichten kannten und ernst genommen haben. Ganz praktisch:
Ein Verzeichnis der Verarbeitungstätigkeiten, das den tatsächlichen Stand zeigt und nicht den von 2018.
Ein Löschkonzept mit Fristen, und ein Nachweis, dass tatsächlich gelöscht wird.
Klare Zuständigkeiten: Wer kümmert sich um Datenschutz, wer entscheidet bei Datenpannen?
Nachweise über Schulungen, Prüfungen und Beratung. Gerade das hat in Berlin ein Bußgeld deutlich reduziert.
Das schützt nicht nur das Unternehmen, sondern auch die Geschäftsführung persönlich. Wer intern belegen kann, dass er organisiert, delegiert und kontrolliert hat, steht im Streitfall deutlich besser da.
Fazit
Die DSGVO verlangt keine Perfektion, aber eine ordentliche Organisation. Seit dem EuGH-Urteil sucht die Aufsicht nicht mehr den Schuldigen im Vorstand, sondern prüft das Unternehmen als Ganzes. „Wir wussten es nicht“ zählt nicht, „Wir haben es so geregelt und können es zeigen“ zählt sehr wohl. Wenn Sie wissen möchten, wie belastbar Ihre Dokumentation heute ist, schreiben Sie mir. Das Erstgespräch ist kostenlos.
Stand: Oktober 2026.