Deutsche Wohnen muss für verspätete Mieterdaten-Löschung 900 000 Euro DSGVO-Geldbuße zahlenLandgericht sieht vorsätzliche Verstöße gegen die Grundsätze der Daten­mi­ni­mierung und Speicher­be­grenzung als erwiesen an

Die 26. Große Strafkammer des Landgerichts Berlin I als Bußgeldkammer sah es als erwiesen an, dass die Deutsche Wohnen SE, eine börsennotierte deutsche Wohnungs­ge­sell­schaft mit Sitz in Berlin, nach dem Inkrafttreten der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, kurz: DSGVO) im Jahr 2016 und deren Geltung ab dem 25. Mai 2018 nach Ablauf eines zweijährigen Überg­angs­zeitraums nicht rechtzeitig die erforderlichen Änderungen im IT-System der Unter­neh­mens­gruppe eingeführt habe, um die fristgemäße Löschung von perso­nen­be­zogenen Daten ehemaliger Mieterinnen und Mieter des Unternehmens zu gewährleisten.

Beweisaufnahme bestätigt DSGVO-Verstöße im Umgang mit Mieterdaten

Ausgangspunkt der Entscheidung der Kammer war ein Bußgeldbescheid der Berliner Beauftragten für Datenschutz und Infor­ma­ti­o­ns­freiheit (BlnBDI) vom 30. Oktober 2019 gewesen, in der diese als zuständige Aufsichts­behörde gegen die Deutsche Wohnen wegen verschiedener Verstöße gegen die DSGVO ein Bußgeld in Höhe von rund 14,5 Millionen Euro verhängt hatte. Dagegen hatte das betroffene Unternehmen Einspruch eingelegt. Die 26. Große Strafkammer des Landgerichts hatte das Verfahren zunächst mit Beschluss vom 18. Februar 2021 wegen eines Verfah­rens­hin­der­nisses eingestellt. Auf die sofortige Beschwerde der BlnBDI hin hatte das Kammergericht den Fall wegen verschiedener offener europa­recht­licher Fragen dem Europäischen Gerichtshof (EuGH) vorgelegt. Nach einer Grund­sat­z­ent­scheidung des EuGH im Dezember 2023 hatte das Kammergericht den Beschluss des Landgerichts vom Februar 2021 aufgehoben und die Sache erneut der 26. Großen Strafkammer zur Verhandlung in der Sache vorgelegt.

Diese hat – in anderer personeller Besetzung als noch im Jahr 2021 – nun in einer mehrtätigen Haupt­ver­handlung eine Beweisaufnahme durchgeführt, in deren Ergebnis für die Kammer feststand, dass die Deutsche Wohnen im Tatzeitraum vom 25. Mai 2018 bis 5. März 2019 gegen die Grundsätze der Daten­mi­ni­mierung aus Art. 5 Abs. 1 Buchstabe c DSGVO und Speicher­be­grenzung aus Art. 5 Abs. 1 Buchstabe e DSGVO verstoßen hat. Es sei dem Unternehmen zumutbar und auch technisch möglich gewesen, die sensitiven Daten ehemaliger Mieterinnen und Mieter – neben Gehalts­be­schei­ni­gungen und Kontoauszügen auch Perso­na­l­aus­weis­do­kumente – besser zu schützen und für deren rechtzeitige Löschung zu sorgen. Es sei von einem vorsätzlichen Verstoß des Unternehmens gegen die DSGVO auszugehe, so der Vorsitzende der Kammer in seiner heutigen mündlichen Urteils­be­gründung. Neben dem Verstoß gegen die genannten Daten­schutz­grundsätze sei in Einzelfällen betreffend ehemalige Mieterinnen und Mieter auch vorsätzlich gegen die Grundsätze für die Verarbeitung perso­nen­be­zogener Daten aus Art. 6 Abs. 1 DSGVO verstoßen worden.

Bemessung der Geldbuße unter Würdigung der Einfüh­rungsphase der DSGVO

Tat- und schuld­an­ge­messen sei eine Geldbuße in Höhe von 900.000,- Euro, so der Vorsitzende weiter. Dabei habe die Kammer u.a. gewürdigt, dass die Deutsche Wohnen externe Wirtschafts­prüfer, Berater und IT-Fachleute eingeschaltet habe, um die konzerneigenen IT-Systeme auf die neuen Vorschriften umzustellen. Die festgestellten Verstöße seien lediglich in der Einfüh­rungsphase der DSGVO aufgetreten, und auch die Berliner Daten­schutz­behörde habe Schwierigkeiten gehabt, sich an die neue Gesetzeslage anzupassen und den Ist-Zustand gerichtsfest zu dokumentieren, weshalb das Bußgeld wesentlich niedriger anzusetzen sei, als zunächst von der BlnBDI veranschlagt.

Das Urteil ist noch nicht rechtskräftig. Es kann mit dem Rechtsmittel der Rechts­be­schwerde angefochten werden.