Der Fall
Die Datenschutzbehörde verhängte gegen ein Unternehmen wegen datenschutzwidriger Videoüberwachung ein Bußgeld in Höhe von mehr als 10 Mio. Euro. Beanstandet wurden unter anderem die Überwachung von Beschäftigten, Kunden sowie sonstigen Personen, die überlangen Speicherfristen für Videomaterial und die unzureichenden technischen sowie organisatorischen Maßnahmen. Das betroffene Unternehmen legte Einspruch gegen den Bußgeldbescheid ein. Nach dem Einspruch übergab die Datenschutzaufsicht das Ordnungswidrigkeitsverfahren an die Staatsanwaltschaft. Über die Höhe des Bußgeldes verhandelten die Staatsanwaltschaft und das betroffene Unternehmen vor dem Landgericht (LG) Hannover. Dieses reduzierte die Geldbuße auf 700.000 Euro. Dabei berücksichtigte es verschiedene mildernde Umstände, darunter die Kooperation des Unternehmens, dessen Bemühungen um zeitnahe Abhilfe, einen angenommenen Reputationsschaden infolge des Bußgeldverfahrens sowie die Überlegung, dass die Verstöße in einer frühen Phase nach Inkrafttreten der DS-GVO begangen worden seien. Gegen die Entscheidung des LG legte die Staatsanwaltschaft Rechtsbeschwerde ein und forderte eine Geldbuße von mindestens 5. Mio. Euro.
Die Entscheidung
Das OLG Celle gab der Rechtsbeschwerde teilweise statt und erhöhte die Geldbuße auf 900.000 Euro. Es bestätigt ausdrücklich, dass die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Berechnung von Bußgeldern keine rechtliche Bindungswirkung für Gerichte entfalten. Gleichwohl können sie als sachgerechte Orientierungshilfe bei der Ausübung des gerichtlichen Ermessens herangezogen werden.
Für die Bestimmung des gesetzlichen Bußgeldrahmens stellte das OLG klar, dass bei Unternehmen auf den weltweiten Jahresumsatz des letzten abgeschlossenen Geschäftsjahres vor Erlass des Bußgeldbescheids abzustellen sei. Im entschiedenen Fall war daher das Geschäftsjahr 2019 maßgeblich und nicht das Vorjahr der gerichtlichen Entscheidungen.
Das LG hatte angenommen, der deutlich ausgeweitete Bußgeldrahmen der DS-GVO habe in den ersten Anwendungsjahren zurückhaltender ausgeschöpft werden sollen. Dieser Argumentation erteilte das OLG eine klare Absage. Weder die DS-GVO selbst noch sonstige rechtliche Grundlagen gäben Anlass zu einer generellen Privilegierung von Verstößen in den ersten Jahren ihrer Anwendung. Sobald europäische Datenschutzvorschriften anwendbar sind, gelten sie uneingeschränkt. Obwohl das OLG nicht ausschloss, dass reputationsbezogene Nachteile für Unternehmen durchaus wirtschaftliche Relevanz entfalten können, fehlte es im konkreten Fall an belastbaren Feststellungen zu den tatsächlichen wirtschaftlichen Auswirkungen dieser Nachteile. Zwar lagen Beschwerden von Kunden vor, es war aber nicht nachgewiesen, dass die Berichterstattung über das Bußgeld zu messbaren Umsatzeinbußen oder vergleichbaren wirtschaftlichen Nachteilen geführt hatte.
Das OLG stimmte dem LG zu, dass eine konstruktive Zusammenarbeit mit der Datenschutzaufsichtsbehörde bußgeldmindernd berücksichtigt werden könne. Das OLG erkannte ausdrücklich an, dass die Betroffene kooperativ mitgewirkt und die festgestellten Mängel zeitnah behoben hatte.
Praxis-Hinweis
Mit seinem Beschluss setzt das OLG Celle wichtige Akzente für die künftige Bußgeldpraxis nach Art. 83 DS-GVO. Die EDSA-Leitlinien bleiben demnach ein anerkanntes Orientierungsinstrument, ohne Gerichte rechtlich zu binden. Eine allgemeine „Schonfrist“ für neue Datenschutzvorgaben lehnt das Gericht ausdrücklich ab. Verstöße können daher nicht mit anfänglichen Rechtsunsicherheiten relativiert werden. Gleichzeitig stellt das OLG hohe Anforderungen an die Berücksichtigung von Reputationsschäden als bußgeldmindernden Faktor. Die Unternehmen können mit Transparenz, Kooperation mit der Datenschutzaufsicht und einer schnellen Umsetzung von Abhilfemaßnahmen auf die Höhe eines Bußgeldes einwirken.
