Datenschutz-Grundverordnung: Sanktion ohne Schuld?

Keine Sanktion ohne Verantwortung. Dieser Satz spiegelt den mit Verfassungsrang ausgestatteten Schuldgrundsatz wider. Er besagt, dass eine staatliche Sanktion nicht verhängt werden darf, wenn der Adressat „nichts dafür kann“. Dieser Grundsatz soll sicherstellen, dass staatliche Sanktionsmittel nicht uferlos angewandt werden können.

Die Deutsche Datenschutzkonferenz (DSK) will für die Datenschutz-Grundverordnung (DSGVO) das Rad zurückdrehen. In einer aktuellen Stellungnahme zur DSGVO führt sie aus, dass es aus ihrer Sicht für eine Bestrafung ausreicht, wenn ein dem Unternehmen zuzuordnender objektiver Pflichtenverstoß festgestellt wird. Eine Sanktion ohne Feststellung einer Schuld sei eine „vom europäischen Gesetzgeber gewollte Erleichterung für die Datenschutzaufsichtsbehörden“.

Die Stellungnahme der DSK ist eine Reaktion auf ein aktuelles Vorabentscheidungsverfahren des Europäischen Gerichtshofs (EuGH). Der hat am 17. Januar 2023 diese Frage verhandelt. Gegenstand des Verfahrens ist unter anderem, ob Aufsichtsbehörden Unternehmen Geldbußen auferlegen dürfen, ohne dass sie einen zurechenbaren schuldhaften Rechtsverstoß einer Leitungsperson feststellen.

Ob der EuGH das auch so sieht und im Schuldprinzip nur eine bloße „Erschwernis“ für die Behörden sieht, wird sich zeigen. Es bleibt zu hoffen, dass der EuGH der Übervereinfachung der Sanktionierung eine Absage erteilt und einer extensiven Bußgeldpraxis somit rechtsstaatliche Grenzen setzt.