Wer erinnert sich noch an das erste „deutsche“ Millionenbußgeld? Genau, damals im Oktober 2019 war’s. Der Fall Deutsche Wohnen hat das Datenschutzrecht in Deutschland über Jahre beschäftigt. Vom Rekordbußgeld über den EuGH bis zur finalen Entscheidung des LG Berlin I zeigt das Verfahren, wie komplex die Durchsetzung von DSGVO-Bußgeldern in der Praxis ist. Dieser Beitrag ordnet den Fall chronologisch und rechtlich ein.
Der Inhalt im Überblick
Wie kam es zum Bußgeld?
Im Oktober 2019 verhängte die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) ein Bußgeld in Höhe von 14,5 Millionen Euro gegen die Deutsche Wohnen SE. Das Unternehmen ist mit mehr als 110.000 Wohnungen der größte private Immobilienbesitzer in Berlin. Zum damaligen Zeitpunkt war es das höchste DSGVO-Bußgeld einer deutschen Aufsichtsbehörde und das dritthöchste in der gesamten EU seit Inkrafttreten der Verordnung.
Der Hintergrund: Mieterdaten wurden in einem Archivsystem gespeichert, in dem keine Möglichkeit zur Löschung vorgesehen war. Unterlagen von Wohnungsbewerbern und Mietern blieben oft jahrelang nach Beendigung von Mietverhältnissen im System. Darunter befanden sich Gehaltsbescheinigungen, Kontoauszüge, Personalausweisdokumente, Selbstauskunftsformulare sowie Steuer-, Sozial- und Krankenversicherungsdaten. Die Aufsichtsbehörde sah darin Verstöße gegen Art. 5 DSGVO (Grundsätze der Datenminimierung und Speicherbegrenzung) und Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung). Bereits bei einer Vor-Ort-Kontrolle 2017 hatte die Behörde die Missstände bemängelt. Auch bei einer zweiten Kontrolle im März 2019, anderthalb Jahre später, waren diese nicht behoben.
Die Berliner Datenschutzbeauftragte kommentierte damals:
„Datenfriedhöfe, wie wir sie bei der Deutsche Wohnen SE vorgefunden haben, begegnen uns in der Aufsichtspraxis leider häufig. Die Brisanz solcher Missstände wird uns leider immer erst dann deutlich vor Augen geführt, wenn es, etwa durch Cyberangriffe, zu missbräuchlichen Zugriffen auf die massenhaft gehorteten Daten gekommen ist.“
Warum fiel das Bußgeld so hoch aus?
Anknüpfungspunkt für die Bemessung war der im Geschäftsbericht 2018 ausgewiesene Jahresumsatz von über einer Milliarde Euro. Mit Inkrafttreten der DSGVO hatte sich der Bußgeldrahmen von ehemals maximal 300.000 Euro auf bis zu 4 Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro erhöht. Das maximal mögliche Bußgeld lag laut der Berliner Datenschutzbeauftragten bei 28 Millionen Euro. Vor diesem Bescheid belief sich das höchste deutsche DSGVO-Bußgeld auf vergleichsweise niedrige 195.000 Euro gegen Delivery Hero.
Belastend wirkte sich aus, dass die Deutsche Wohnen die beanstandete Archivstruktur bewusst angelegt hatte und die Daten über einen langen Zeitraum unzulässig verarbeitet wurden. Bußgeldmildernd berücksichtigte die Behörde hingegen, dass das Unternehmen erste Abhilfemaßnahmen ergriffen hatte, gut kooperierte und keine missbräuchlichen Zugriffe auf die gespeicherten Daten nachgewiesen werden konnten. Zusätzlich verhängte die Behörde Bußgelder zwischen 6.000 und 17.000 Euro wegen der unzulässigen Speicherung personenbezogener Daten in 15 Einzelfällen.
EuGH: Unmittelbare Unternehmenshaftung möglich
Die Deutsche Wohnen legte Einspruch gegen den Bußgeldbescheid ein. Die 26. Große Strafkammer des Landgerichts Berlin I stellte das Verfahren im Februar 2021 wegen eines Verfahrenshindernisses ein. Das Gericht bezweifelte grundsätzlich, ob nach deutschem Recht ein Bußgeld direkt gegen ein Unternehmen verhängt werden kann, ohne dass eine konkrete Leitungsperson identifiziert wird.
Auf die sofortige Beschwerde der BlnBDI hin legte das Kammergericht Berlin den Fall wegen verschiedener offener europarechtlicher Fragen dem Europäischen Gerichtshof vor. Im Dezember 2023 urteilte der EuGH (Rs. C-807/21) mit weitreichenden Folgen: Art. 83 DSGVO ermöglicht eine unmittelbare Unternehmenshaftung. Bußgelder können direkt gegen Unternehmen verhängt werden, ohne dass eine Ordnungswidrigkeit einer identifizierten natürlichen Person festgestellt werden muss. Zugleich bestätigte der EuGH, dass ein Bußgeld Vorsatz oder Fahrlässigkeit voraussetzt, wobei es bei Unternehmen genügt, wenn das Verschulden eines Mitarbeiters zugerechnet werden kann. Das Kammergericht hob daraufhin den Beschluss des Landgerichts auf und verwies die Sache erneut zur Verhandlung an die 26. Große Strafkammer.
Verstöße zu Beginn der DSGVO
Am 09.06.2026 verkündete die 26. Große Strafkammer des Landgerichts Berlin I als Bußgeldkammer ihr Urteil. In einer mehrtägigen Hauptverhandlung mit Beweisaufnahme, nun in anderer personeller Besetzung als noch 2021, sah es die Kammer als erwiesen an, dass die Deutsche Wohnen nach Inkrafttreten der DSGVO und deren Geltung ab Mai 2018 nicht rechtzeitig die erforderlichen Änderungen im IT-System eingeführt hatte, um die fristgemäße Löschung personenbezogener Daten ehemaliger Mieterinnen und Mieter zu gewährleisten. Die Kammer stellte Verstöße gegen den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) im Tatzeitraum vom 25.05.2018 bis 05.03.2019 fest. In Einzelfällen wurde zudem vorsätzlich gegen Art. 6 Abs. 1 DSGVO verstoßen. Es sei dem Unternehmen zumutbar und technisch möglich gewesen, die sensitiven Daten besser zu schützen und für deren rechtzeitige Löschung zu sorgen. Der Vorsitzende betonte in der mündlichen Urteilsbegründung, dass von einem vorsätzlichen Verstoß des Unternehmens auszugehen sei.
Das Bußgeld setzte die Kammer auf 900.000 Euro fest. Bei der Bemessung würdigte sie, dass die Deutsche Wohnen externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet hatte, um die konzerneigenen IT-Systeme auf die neuen Vorschriften umzustellen. Die festgestellten Verstöße seien lediglich in der Einführungsphase der DSGVO aufgetreten. Zudem habe auch die Berliner Datenschutzbehörde selbst Schwierigkeiten gehabt, sich an die neue Gesetzeslage anzupassen und den Ist-Zustand gerichtsfest zu dokumentieren. Das ist sicherlich ein Paukenschlag, wurde das Bußgeld doch auf deutlich unter 10 Prozent des ursprünglichen Betrags reduziert. Das Urteil ist allerdings noch nicht rechtskräftig und kann mit dem Rechtsmittel der Rechtsbeschwerde angefochten werden.
Der Rechtsweg als Korrektiv
Der Fall Deutsche Wohnen markiert einen Wendepunkt für die DSGVO-Durchsetzung in Deutschland. Die Unternehmenshaftung für Datenschutzverstöße ist durch die EuGH-Rechtsprechung endgültig geklärt. Zugleich zeigt die Reduktion von 14,5 Millionen Euro auf 900.000 Euro, dass die Bußgeldhöhe einer intensiven gerichtlichen Kontrolle unterliegt. Die Gerichte sind nicht an die Bewertung der Aufsichtsbehörden gebunden und können nachträgliche Abhilfemaßnahmen, Kooperation sowie die Umstände der Einführungsphase erheblich gewichten.
Für Unternehmen und andere Datenverantwortliche ergibt sich eine klare Handlungsaufforderung: Löschkonzepte müssen nicht nur dokumentiert, sondern technisch implementiert und nachweisbar gelebt werden. Die Wahl der eingesetzten Software spielt dabei eine entscheidende Rolle. Wer Systeme einsetzt, die keine datenschutzkonforme Löschung ermöglichen, schafft genau jene „Datenfriedhöfe“, die Aufsichtsbehörden ins Visier nehmen. Gleichzeitig belegt das Verfahren, dass der Rechtsweg ein wirksames Korrektiv darstellt und die Verhältnismäßigkeit der Sanktion gerichtlich überprüfbar bleibt.
