Rekordstrafe für Deutsche Wohnen SE wegen mangelndem Datenschutz – wie konnte es überhaupt so weit kommen?

Jetzt ist es also passiert: Nachdem Datenschützer immer wieder gewarnt haben, die Schonfrist nach Einführung der DSGVO sei abgelaufen, hat die Berliner Datenschutzbeauftragte Maja Smoltczyk tatsächlich ernst gemacht.

Bis Mai 2019 mussten sich 75 Unternehmen gerade mal knapp 450000 Euro an Bußgeldern für Datenschutzverstöße teilen – nun wurde gegen den Immobilienkonzern Deutsche Wohnen SE eine Rekordstrafe von rund 28 Millionen Euro verhängt, die später allerdings auf 14,5 Millionen gesenkt wurde. Das betroffene Unternehmen besitzt rund 166000 Wohnungen und Gewerbeimmobilien, die meisten davon in Berlin. Sein Jahresumsatz lag zuletzt bei 1,46 Milliarden Euro. Der Konzern ist börsennotiert.

Warum die hohe Geldstrafe?

Die Deutsche Wohnen war ins Visier der Datenschützer geraten, weil ihr Archivsystem mit zahlreichen Mängeln behaftet war – übrigens schon bei einem Prüftermin im Jahr 2017, als die DSGVO noch gar nicht in Kraft getreten war. Personenbezogene Daten, wie Gehaltsbescheinigungen, Kontoauszüge und Selbstauskünfte von Mietern, konnten in dem vom Unternehmen genutzten System nicht gelöscht werden. Die Datenschutzbehörde kritisierte diesen Zustand, stieß aber angeblich auf taube Ohren. Als sie im März 2019 abermals die Einhaltung der nun aktualisierten Datenschutzbestimmungen prüfte, stellte sie erneut die angesprochenen Mängel fest. Das Unternehmen ist anderer Ansicht und verweist auf ein nach den letzten Vorwürfen bereits ausrangiertes Datenarchiv. Daher wollen die Wohnungswirtschaftler den im November 2019 ergangenen Bußgeldbescheid gerichtlich überprüfen lassen.

Wie das Bußgeld ermittelt wurde

Der mutmaßliche Datenschutzsünder gehört in die Umsatzkategorie D.VIII. Nach dem Datenschutz-Bußgeldkatalog sind darin Unternehmen erfasst, deren Umsatz bei über 500 Millionen Euro liegt und die bei schweren Verstößen mit zwei bzw. vier Prozent ihres Jahresumsatzes zur Kasse gebeten werden können. Im Fall der Deutschen Wohnen würde dies bei einem Strafrahmen von knapp 30 bis 60 Millionen Euro bis zu zehn Prozent des Konzerngewinns betragen. Die Berliner Datenschutzbeauftragte senkte indes, in Übereinstimmung mit den Bußgeldkriterien, die von der Konferenz der unabhängigen Datenschutzbeauftragten des Bundes und der Länder (DSK) beschlossen wurden, den Strafrahmen von 28,5 auf 14,5 Millionen Euro. Die Verbindlichkeit dieser Grundlage steht allerdings dahin. Noch fehlt ein EU-weiter Bußgeldkatalog des Europäischen Datenschutzausschusses (EDSA). Dieser steht der deutschen Version jedoch wohlwollend gegenüber. Jedoch müssen sich die Gerichte keineswegs an die DSK-Bußgeldregelungen gebunden fühlen.

Doch nur ein mittelschwerer Fall

Die Bußgeldreduzierung um die Hälfte wirft weitere Fragen auf. Der Strafkatalog unterteilt Datenschutzvergehen nach dem Schweregrad. Nachdem die Deutsche Wohnen aber letztlich doch zur Kooperation mit den Datenschützern bereit war, erste Maßnahmen im Sinne einer Verbesserung eingeleitet hatte und es zu keinem nachweisbaren Fall von Missbrauch der sensiblen Daten gekommen war, hatte die Behörde ein Einsehen und stufte den Fall nur noch als mittelschwer ein. Erst hatte es ja geheißen, das Unternehmen habe sich von 2017 bis 2019 unbeweglich gezeigt.

Ab sofort Abschreckung

Maja Smoltczyk lässt sich mit der Erkenntnis zitieren: „Datenfriedhöfe, wie wir sie bei der Deutsche Wohnen SE vorgefunden haben, begegnen uns in der Aufsichtspraxis leider häufig“. Sie fürchtet einen großangelegten Datenmissbrauch und will deshalb nun mit aller Härte gegen Verstöße vorgehen. Auf der anderen Seite formiert sich bereits eine Phalanx von Juristen, um jede Strafaufforderung einer peniblen Prüfung zu unterziehen. Denn jede Medaille hat nun mal zwei Seiten. Und auch die Deutsche Wohnen hat ein Recht darauf, ihren Fall vor die unabhängige Instanz eines Gerichts zu bringen.