Datenschutz vor Gericht

Wenn eine Datenschutzbehörde ein Millionenbußgeld verhängt und das
betroffene Unternehmen dagegen Einspruch einlegt, passiert in
Deutschland etwas Merkwürdiges: Die Behörde, die den Fall über
Monate ermittelt und den Verstoß festgestellt hat, wird aus dem
Verfahren gedrängt. Die Staatsanwaltschaft übernimmt, oft ohne
tiefere Kenntnis der Materie. In Episode 157 des
c't-Datenschutz-Podcasts beleuchten Holger und Joerg mit Denis
Lehmkemper, dem Landesbeauftragten für den Datenschutz (LfD)
Niedersachsen, diesen eigentümlichen Verfahrensweg. Anlass ist der
Fall notebooksbilliger.de. Die niedersächsische Datenschutzbehörde
hatte 2020 ein Bußgeld von 10,4 Millionen Euro verhängt, weil das
Unternehmen mit 81 Kameras Beschäftigte, Kunden und Dritte mit
Videokameras überwacht hatte -- mit unzulässig hohen Speicherdauern
von bis zu 60 Tagen. Das Landgericht Hannover reduzierte die Summe
auf 700.000 Euro, das Oberlandesgericht Celle hob sie schließlich
Ende 2025 in der Rechtsbeschwerde auf 900.000 Euro an. Die
materiellen Verstöße bestätigten beide Instanzen, doch vom
ursprünglichen Bußgeld blieb weniger als ein Zehntel übrig.
Lehmkemper erklärt, wie ein solches Verfahren abläuft: Die
Datenschutzbehörde ermittelt als Verwaltungsbehörde nach dem
Ordnungswidrigkeitengesetz (OWiG), hört die Beteiligten an und
erlässt einen Bußgeldbescheid. Legt das Unternehmen binnen 14 Tagen
Einspruch ein und hält die Behörde an ihrer Einschätzung fest,
übergibt sie den Fall an die Staatsanwaltschaft. Ab diesem Moment
verliert die Datenschutzbehörde jede Steuerungsmöglichkeit. Die
Staatsanwaltschaft vertritt den Fall vor Gericht, kann eigene
Anträge stellen und sogar die Einstellung beantragen. In der
Rechtsmittelinstanz übernimmt die Generalstaatsanwaltschaft, und
kann wiederum ganz andere Summen beantragen als die
Staatsanwaltschaft. Im Fall notebooksbilliger.de forderte die
Staatsanwaltschaft mindestens fünf Millionen Euro, die
Generalstaatsanwaltschaft beantragte 1,47 Millionen. Die
Datenschutzbehörde durfte dazu nichts sagen und hatte zeitweise
sogar Schwierigkeiten, die Gerichtsentscheidung überhaupt zu
erhalten. Noch drastischer zeigte sich das Problem in einem
Bußgeldverfahren gegen VW: Dort vergaß offenbar jemand in der
Staatsanwaltschaft, einen fertigen Schriftsatz zu unterschreiben -
die Rechtsbeschwerde scheiterte an einem Formfehler. Lehmkemper
fordert deshalb, dass Landesdatenschutzbehörden künftig neben der
Staatsanwaltschaft als Antragsbeteiligte vor Gericht auftreten
dürfen, ähnlich wie es das Bundeskartellamt bereits kann. So
könnten sie eigene Schriftsätze einreichen, dem Gericht die
fachlichen Hintergründe ihrer Bußgeldbemessung erläutern und Fehler
durch Doppelstrukturen vermeiden. Er will das Thema bei der
Vorstellung seines Tätigkeitsberichts im Juni erneut auf die
politische Agenda setzen. Neben dem Verfahrensweg diskutieren die
drei auch die grundsätzliche Frage, ob der Datenschutz hohe
Bußgelder braucht. Lehmkemper sieht das Signal, das von drastischen
Reduktionen ausgeht, als problematisch: Unternehmen könnten lernen,
dass sich Widerspruch gegen Bußgeldbescheide fast immer lohnt.
Joerg bestätigt aus der Beratungspraxis, dass hohe Bußgelder das
wirksamste Argument sind, um Unternehmen zur Einhaltung des
Datenschutzes zu bewegen.