<\/p>\n
14,5 Millionen Euro – das Bu\u00dfgeld gegen die Deutsche Wohnen SE<\/em> markiert eine Zeitenwende<\/span>. Vorbei sind die Zeiten, als Bu\u00dfgelder im niedrigen Bereich lagen und schon f\u00fcnfstellige Bu\u00dfgelder ungewohnt hoch erschienen, also die Zeiten, in denen Datenschutz-Bu\u00dfgelder quasi als operatives Risiko aus der Portokasse bezahlt werden konnten, ohne dass dies in der Bilanz und den Gesellschaftern auffiel. Zum Bu\u00dfgeld selbst und dessen rechtlicher Begr\u00fcndung wurde bereits Stellung bezogen, u.a. hier im CRonline-Blog von bei H\u00e4rting<\/em><\/a>.<\/p>\n Im Dezemberheft CR zeigen Hanno Timner, Dr. Philip Radlanski, LL.M., und Alexander Eisenfeld, LL.M.<\/em>,\u00a0ausf\u00fchrlich,\u00a0warum das Bu\u00dfgeldkonzept der Datenschutzkonferenz (DSK)<\/a> ungeeignet ist (Timner\/Radlanski\/Eisenfeld<\/em>, CR 12\/2019).<\/p>\n 1. DSGVO-Geldbu\u00dfe:\u00a0 Das unbekannte Wesen<\/strong><\/p>\n Selbstverst\u00e4ndlich muss die Deutsche Wohnen<\/em> gegen das Bu\u00dfgeld vorgehen, alles andere w\u00e4re fahrl\u00e4ssig. Dies hat der Vorstand bereits angek\u00fcndigt<\/a>.<\/p>\n Denn beim DSGVO-Bu\u00dfgeld (oder korrekt nach Art. 83 DSGVO: der „Geldbu\u00dfe“) handelt es sich um eine kleine, aber sp\u00e4testens nach den Bu\u00dfgeldern aus \u00d6sterreich<\/a> und Berlin sehr relevante Rechtsmaterie. Sie hat kaum relevante Pr\u00e4zedenzf\u00e4lle<\/span>, aber viele Unklarheiten, etwa:<\/p>\n 2. Pers\u00f6nliche Haftung des Vorstandes:\u00a0 Neub\u00fcrger<\/em>-Entscheidung<\/strong><\/p>\n Doch unabh\u00e4ngig davon, ob das Bu\u00dfgeld letztendlich Bestand haben oder es ein wenig oder auch massiv reduziert werden sollte: Es wird die Frage aufkommen, ob handelnde Personen beim Verantwortlichen schuldhaft<\/span> gehandelt haben und seitens der Gesellschaft in Regress<\/span> genommen werden k\u00f6nnen.<\/p>\n Den Grundstein f\u00fcr die argumentative Linie zur pers\u00f6nlichen Haftung des Vorstandes hat das LG M\u00fcnchen I bereits 2007 gelegt:<\/p>\n 2013 hat das LG M\u00fcnchen I\u00a0in der sog. Neub\u00fcrger<\/em>-Entscheidung (Urt. v. 10.12.2013 – 5 HK O 1387\/10<\/a>) folgende Kernaussagen pr\u00e4zisiert:<\/p>\n 3. Anwendung auf (fehlende) Datenschutz-Compliance<\/strong><\/p>\n In der Entscheidung des LG M\u00fcnchen I ging es um Schmiergeldzahlungen des Siemens<\/em>-Konzerns, dessen fr\u00fcheres Vorstandsmitglied der Beklagte war. Rechtlich sind die vom LG M\u00fcnchen I aufgef\u00fchrten Grunds\u00e4tze aber ebenso auf Datenschutz-Compliance anzuwenden (vgl. Koglin<\/em>, in: Lachenmann\/Koreng, Formularhandbuch Datenschutzrecht, 2. Aufl. S. 15 u. 62).<\/p>\n a) Gesellschaftsrechtliche Pflicht zu Risiko-Management & interner Kontrolle<\/strong><\/p>\n Im Anwendungsbereich des AktG besteht die Pflicht, ein Risiko-Management-System (RMS) und ein internes Kontrollsystem (IKS) vorzuhalten. F\u00fcr Betriebspr\u00fcfungen existieren als unverbindlicher Ma\u00dfstab die Vorgaben des\u00a0Pr\u00fcfungsstandards 980 des Instituts der Deutschen Wirtschaftspr\u00fcfer<\/em> (IDW PS 980). Dieser wurde 2018 durch den Pr\u00fcfungshinweis IDW PH 9.860.1 „Pr\u00fcfung der Grunds\u00e4tze, Verfahren und Ma\u00dfnahmen nach der EU-Datenschutz-Grundverordnung und dem Bundesdatenschutzgesetz“ erg\u00e4nzt.<\/p>\n b) Alle Vorstandsmitglieder\u00a0als Gesamtschuldner<\/strong><\/p>\n Das LG M\u00fcnchen I hat den Ersatzanspruch gegen das Organ auf \u00a7 93 Abs. 2 S. 1 AktG gest\u00fctzt. Hiernach sind\u00a0Vorstandsmitglieder,<\/span>\u00a0die ihre Pflichten verletzen, der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet.\u00a0\u00a7 93 Abs. 2 S. 2 AktG sieht dabei in Zweifelsf\u00e4llen eine Beweislastumkehr<\/span> zulasten des Vorstandes vor.<\/p>\n Zu beachten ist, dass grunds\u00e4tzlich alle Vorstandsmitglieder verantwortlich sind. Auch\u00a0kann sich ein einzelnes Vorstandsmitglied nicht darauf berufen, die anderen Vorstandsmitglieder h\u00e4tten an der Umsetzung der eigenen Vorschl\u00e4ge nicht ausreichend mitgewirkt (keine Exkulpation<\/span>):<\/p>\n „Zwar muss auch ein \u00fcberstimmtes Vorstandsmitglied an der Umsetzung von Vorstandsbeschl\u00fcssen loyal mitwirken. Dies kann aber dann nicht gelten, wenn sie nicht gesetzeskonform sind. Davon muss indes ausgegangen werden, weil die Notwendigkeit von Ma\u00dfnahmen zur Verbesserung der Compliance-Organisation sich angesichts der dem Vorstand bekannt gewordenen Ma\u00dfnahmen aufdr\u00e4ngen musste. Wenn ein Vorstandsmitglied wie der Beklagte mit Vorschl\u00e4gen zur Verbesserung der Compliance-Organisation bei seinen Vorstandskollegen tats\u00e4chlich nicht durchgedrungen sein sollte, so hat er entsprechende Gegenvorstellungen bei seinen Kollegen anzubringen und gegebenenfalls den Aufsichtsrat einzuschalten“ c) Sorgfaltsma\u00dfstab<\/strong><\/p>\n Der Sorgfaltsma\u00dfstab wird dabei von \u00a7 93 Abs. 1 S. 1 AktG vorgegeben:\u00a0Die<\/span>\u00a0Vorstandsmitglieder haben bei ihrer Gesch\u00e4ftsf\u00fchrung die Sorgfalt eines ordentlichen und gewissenhaften Gesch\u00e4ftsleiters<\/span> anzuwenden.<\/span>\u00a0Jedoch liegt eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vern\u00fcnftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln (\u00a7 93 Abs. 1 S. 2 AktG).<\/p>\n Nach der Neub\u00fcrger<\/em>-Entscheidung muss ein\u00a0Vorstandsmitglied<\/p>\n\n
\nDer dem Kartellrecht entlehnte\u00a0 und vom datenschutzrechtlichen Regelungsgegenstand des Verantwortlichen (Art. 4 Nr. 7 DSGVO) entkoppelte weite<\/span>\u00a0Unternehmensbegriff des Art. 83 Abs. 4 – 6 DSGVO, der sich auf Art. 101, 102 AEUV bezieht (ErwGr 150 S. 3, vgl. Becker<\/em> in Plath (Hrsg.), DSGVO\/BDSG, 3. Aufl.,\u00a0Art. 83 DSGVO Rz. 23<\/a>), aber gleichwohl in Art. 4 Nr. 18 DSGVO eng<\/span> definiert ist (die „juristische Person“);<\/li>\n
\ndie Frage, ob es sich bei den dort normierten Maximalwerten<\/span> um ein Cap (in dem Sinne, dass diese Grenzen bei der Bu\u00dfgeldbemessung zun\u00e4chst au\u00dfer Acht gelassen und erst anschlie\u00dfend als begrenzender Deckel angewandt werden; die Folge ist, dass Bu\u00dfgelder leicht den Maximalwert erreichen k\u00f6nnen) oder um einen H\u00f6chstwert handelt (in dem Sinne, dass sich das Bu\u00dfgeld zwischen Null und dem Maximalbetrag einzupendeln hat; die Folge ist, dass die „H\u00f6chststrafe“ nur in Extremf\u00e4llen verh\u00e4ngt wird)(siehe dazu Timner\/Radlanski\/Eisenfeld<\/em>, CR 12\/2019);<\/li>\n
\ndas Verh\u00e4ltnis des neuen Bu\u00dfgeldkonzepts der DSK<\/a>\u00a0zu den Bemessungsvorgaben des Art. 83 Abs. 2 DSGVO (und der etwaigen \u00dcberpr\u00fcfbarkeit der richtigen Ermessensaus\u00fcbung seitens der Beh\u00f6rde zu jedem einzelnen dieser Punkte)(dazu ausf\u00fchrlich Timner\/Radlanski\/Eisenfeld<\/em>, CR 12\/2019); und<\/li>\n
\n<\/strong>verfassungsrechtliche Bedenken bei einem solch sprunghaftem Anstieg der verh\u00e4ngten Bu\u00dfgelder (dazu die grundlegende Analyse von Timner\/Radlanski\/Eisenfeld<\/em>, CR 12\/2019).<\/li>\n<\/ul>\n\n
\n
\nIm Rahmen seiner Legalit\u00e4tspflicht hat ein Vorstandsmitglied daf\u00fcr Sorge zu tragen, dass das Unternehmen so organisiert und beaufsichtigt wird, dass keine Gesetzesverst\u00f6\u00dfe […] erfolgen. Seiner Organisationspflicht gen\u00fcgt ein Vorstandsmitglied bei entsprechender Gef\u00e4hrdungslage nur dann, wenn er eine auf Schadenspr\u00e4vention und Risikokontrolle angelegte Compliance-Organisation einrichtet. Entscheidend f\u00fcr den Umfang im Einzelnen sind dabei Art, Gr\u00f6\u00dfe und Organisation des Unternehmens, die zu beachtenden Vorschriften, die geografische Pr\u00e4senz wie auch Verdachtsf\u00e4lle aus der Vergangenheit.<\/li>\n
\nDie Einhaltung des Legalit\u00e4tsprinzips und demgem\u00e4\u00df die Einrichtung eines funktionierenden Compliance-Systems geh\u00f6rt zur Gesamtverantwortung des Vorstands.<\/li>\n<\/ul>\n
\n(LG M\u00fcnchen I, Urt. v. 10.12.2013 – 5 HK O 1387\/10, openjur.de Rz. 118<\/a>).<\/p>\n