Datenschutz-Tipps 20/2020: Dickstes Bußgeld ever gegen H&M? | Ablauf so eines Verfahrens

MOIN! Eigentlich wollte ich heute etwas über die 4 häufigsten und leider auch dümmsten Fehler bei „Cookie-Hinweisen“ erzählen, aber das muss aus aktuellem Anlass warten. Denn today is the day of the highest Bußgeld, that a deutsche Datenschutz-Aufsichtsbehörde has ever verhängt against a Company.

Und es ist nicht gegen die Niederlassung eines US-Unternehmens, sondern gegen „H&M“. Aber lies selbst.

Millionen-Bußgeld der Hamburger Aufsichtsbehörde gegen H&M

SHABÄMMM hat es heute gemacht. Und vielleicht gibt es dann, wenn die Entscheidung durchgehen sollte, auch ein bisschen CHA-CHING in der Stadtkasse Hamburg…mit einem zweistelligen Millionenbetrag mehr auf dem Konto.

Mir ist heute Morgen fast der zweite Kaffee aus dem Mund geplumpst, als ich nach der morgendlichen Laufrunde bei Twitter las, dass die Hamburger Aufsichtsbehörde ein Bußgeld gegen H&M (ja, die mit den Klamotten) verhängt hat.

Und dann mal eben das mit Abstand höchste Bußgeld, das wegen eines Datenschutzverstoßes in Deutschland je verhängt wurde. Satte 35,3 Millionen € hat die Aufsichtsbehörde als Bußgeld verhängt. Das ist eine ganz ordentliche Hausnummer.

Das Bußgeld hat es – um es einmal vereinfacht auszudrücken – wegen einer sehr fragwürdigen Dokumentation von H&M von persönlichen Sachverhalten aus Gesprächen mit Beschäftigten gegeben. Ziemlich „asoziales“ Verhalten könnte man es nennen. Hat H&M selbst auch nicht für gut befunden. Mit dem Thema an sich will ich mich aber auch gar nicht weiter beschäftigen. Ekelt mich an. Ach…und die liebe Nina Diercks (winke, winke nach HH) hat auch schon was dazu geschrieben. Guckst du hier.

Die Pressemitteilung der Aufsichtsbehörde

Spannend finden wir Datenschutzrechtler dann natürlich genau den Wortlaut so einer Pressemitteilung einer Behörde. Da achten wir gerne auf jedes Detail. Denn konkret interessiert uns ja z.B., ob der Bußgeldbescheid schon rechtskräftig ist. Denn erst wenn dieser rechtskräftig, also kein Einspruch des Adressaten des Bescheides eingelegt wurde, kann dieser nach § 87 OWiG auch vollstreckt werden.

Einige Aufsichtsbehörden warten mit Pressemitteilungen über Bußgeldbescheide auch bewusst, bis der Bescheid rechtskräftig geworden ist. Damit nichts mehr anbrennen kann. Denn so eine Pressemitteilung kann eine gewisse Eigendynamik entwickeln und den Adressaten des Bescheides dazu motivieren, dann doch extra gegen den Bußgeldbescheid vorzugehen.

Im letzten Absatz der Pressemitteilung zu H&M lobt der Hamburgische Datenschutzbeauftragte Prof. Dr. Caspar aber ausdrücklich das „Bemühen der Konzernleitung“, die „Betroffenen vor Ort zu entschädigen und das Vertrauen in das Unternehmen als Arbeitgeber wiederherzustellen“.

Hörte sich für mich so an, dass H&M und die Aufsichtsbehörde sich hier an einen Tisch gesetzt haben und der ganze Bescheid somit quasi schon „durch“ ist.

Die Pressemitteilung von H&M

Nun…da habe ich mich wohl getäuscht. Denn H&M hat dann heute Nachmittag eine putzige Pressemitteilung herausgegeben, bei deren Titel ich schon aus Lachen nicht mehr heraus kam. Die Überschrift lautet: „H&M HAT EINE ENTSCHEIDUNG DER HAMBURGER DATENSCHUTZBEHÖRDE ERHALTEN“

Wer im Bereich Corporate Communications hat sich denn diesen Unfug ausgedacht? Oder ist das eine ganz neue Strategie aus dem Bereich der Raketenwissenschaften, die ich nur nicht verstehe?

H&M hat also eine Entscheidung der Hamburger Aufsichtsbehörde erhalten. Okay. Und nun? In einem Satz heißt es in der Pressemitteilung dann lapidar: „Das Unternehmen wird diesen Beschluss nun sorgfältig prüfen.“

Was kann oder sollte H&M nun tun?

Um ganz ehrlich zu sein, ist das natürlich nun auch eine ziemlich bescheuerte Situation für H&M. Denn dass für diese Schweinerei ein Bußgeld fällig sein würde und sein musste, ist H&M natürlich auch klar.
Jetzt müssen sie den Spagat wagen und schauen, ob sie das Modell „komplett reuiges Schaf“ fahren und das Bußgeld in der Höhe hinnehmen oder einen Einspruch gegen den Bescheid einlegen.

Wenn ich H&M anwaltlich beraten würde, wäre der Weg eigentlich klar. Ich würde jetzt ein bisschen Gras über die Sache wachsen lassen und empfehlen, sich geläutert zugeben. Und auch ehrlich eingestehen, dass das Ganze nicht nur ein Fauxpas, sondern eine ekelhafte Art und Weise des Umgangs mit Beschäftigten darstellt. Und dann würde ich H&M – zumindest als Anwalt (und damit auch nicht als PR-Experte) raten, einen Einspruch gegen den Bußgeldbescheid einzulegen. Denn es ist eine Sache, für eine Rechtsverletzung „bestraft“ zu werden und eben eine andere Sache, klären zu lassen, ob die Höhe der Strafe denn in der Form auch „okay“ ist.

So ein Einspruch kann nach § 67 OWiG innerhalb von zwei Wochen nach Zustellung des Bescheides eingelegt werden. Das reicht jetzt zeitlich also noch, damit sich die Wogen ein wenig glätten können, wobei wir alle natürlich eigentlich gar nicht genau wissen, wann nun die Zustellung erfolgt ist.

Warum aber ein Einspruch? Nun…bei einem derart hohen Bußgeld muss man sich (s.o.) schon fragen, ob das Bußgeld in der Höhe gerechtfertigt ist.
Hier stellen sich zudem bis dato ungeklärte Rechtsfragen, weil die Aufsichtsbehörde nach eigenen Angaben bei der Bemessung des Bußgeldes auch den für andere Unternehmen abschreckenden Charakter der Strafe angesetzt hat. Das ist nicht ungewöhnlich, denn nach Art. 83 Abs. 1 DSGVO soll die Geldbuße nicht nur wirksam und verhältnismäßig, sondern auch abschreckend sein. Die Details sind aber rechtlich sehr ungeklärt. Bis dato.

Das fragwürdige Bußgeldzumessungskonzept der Aufsichtsbehörden

Die deutschen Aufsichtsbehörden wollen sich ja bei der Höhe der Bußgelder an ihr „Konzept der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zur Bußgeldzumessung in Verfahren gegen Unternehmen“ (PDF) halten. Dieses ist in vielfacher Hinsicht rechtlich fragwürdig. Und im Prinzip warten wir Juristinnen und Juristen alle darauf, dass endlich einmal die Gelegenheit besteht, dass sich ein Gericht mit diesem Konzept auseinandersetzt.

Als ehemaliger Zivildienstleistender habe ich mit Kriegsstrategien eigentlich nichts am Hut. Es gibt aber eine knackige Kurzfassung eines Zitats, an das ich bei dem „Bußgeldzumessungskonzept“ der Aufsichtsbehörden immer denken musste. Und das lautet: „Kein Plan überlebt die erste Feindberührung“

Der „Feind“ ist hier aber genau genommen kein „Feind“, sondern die Judikative. Ich kann mir nämlich nur schwer vorstellen, dass die deutsche Strafgerichtsbarkeit diesem „Bußgeldzumessungskonzept“ viel abgewinnen können wird bzw. es als „gegeben“ und sinnvoll hinnehmen wird.

Und wenn wir uns in der „Datenschutzrechts-Szene“ (wenn es die denn gibt) unterhalten, dann kenne ich – genau genommen – niemanden, der ernsthaft daran glaubt, dass das Konzept der Aufsichtsbehörde die erste Landgerichtsstation überlebt. Aber wer weiß…schauen wir mal.

Erfolgsaussichten eines Einspruchs

Die Erfolgsaussichten eines Einspruchs gegen einen Bußgeldbescheid einer Behörde einschätzen zu können, ist ohne Kenntnis der Aktenlage unseriös oder auch einfach unmöglich.

Auch Aufsichtsbehörden dürfen lernen und Fehler machen

Der Teufel steckt hier aber häufig im Detail. Denn es ist schon gar nicht so einfach, einen Bußgeldbescheid rechtlich formal korrekt abzufassen. Ich könnte das auch nicht.
Viele Mitarbeiterinnen und Mitarbeiter von Aufsichtsbehörden können das aber anscheinend auch nicht. Es fehlt auch da an Erfahrung. Die muss erst gemacht werden. Und die macht man in der Praxis eben auch einfach damit, dass man Feedback erhält. Von Gerichten. Und daraus lernen wir. Und so werden auch die Aufsichtsbehörden lernen und besser werden. Und das ist gut so. Meine ich ernst.

So pfeifen übrigen auch so einige Spatzen von unterschiedlichen Dächern, dass auch andere „prominente“ Bußgeldbescheide, die durch die Medien gegangen sind, wohl doch so einige „Problemchen“ im Bereich der korrekten Abfassung dieser Bescheide hatten und vielleicht vor den Gerichten doch nicht so „abgesegnet“ werden, wie das manch einer so gedacht hätte. Feedback eben. Wir werden es dann sicher irgendwann lesen, ob die Spatzen recht hatten.

Umso verständlicher, dass viele Aufsichtsbehörden hier Fachkräfte für diesen Bereich mit Erfahrungen in Bußgeldstellen gesucht und vielleicht ja auch gefunden haben.

Verhältnismäßigkeit des Bußgeldes

Selbst wenn wir aber annehmen würden, dass der Bußgeldbescheid der Aufsichtsbehörde in diesem Fall keine formalen Mängel aufweist, dann bleibt immer noch die Frage nach der Verhältnismäßigkeit des Bußgeldes im Hinblick auf dessen Höhe.

Und da dürften etwaige Anwältinnen und Anwälte von H&M doch eine berechtigte Hoffnung haben, dass der Bescheid in der Höhe nicht vor Gericht Bestand haben würde. Aber wer weiß.
Und dann sind natürlich neben den rechtlichen Erwägungen auch PR-Erwägungen zu berücksichtigen.

Wie würde so ein Verfahren weiter ablaufen?

Wenn H&M einen Einspruch einlegen würde, dann müsste H&M dies bei der Hamburger Aufsichtsbehörde machen.

Die Aufsichtsbehörde würde dann im Falle eines fristgerechten Einspruchs sachlich prüfen müssen, ob der Einspruch begründet oder unbegründet ist. Die Prüfung dürfte in diesem Fall wohl klar (und kurz) ausfallen. Denn dass das Bußgeld in diesem Fall wohl erforderlich war, hat die Aufsichtsbehörde ja deutlich kundgetan. Eine Rücknahme des Bußgeldbescheides ist daher wohl wenig wahrscheinlich. Denkbar wären hier allenfalls offensichtlich formale Fehler. Dazu kennen wir aber die Aktenlage eben nicht.

Wenn die Aufsichtsbehörde den Einspruch also erwartungsgemäß für unbegründet hält, übersendet die Aufsichtsbehörde die Akten über die Staatsanwaltschaft ab das zuständige Gericht (§ 69 Abs. 3 OWiG). Ab diesem Zeitpunkt wird dann übrigens die Staatsanwaltschaft die Verfolgungsbehörde. Die Aufsichtsbehörde ist dann sozusagen „raus“ – zumindest als Verfolgungsbehörde.

Ab zum Landgericht

Da das Bußgeld im vorliegenden Fall höher als 100.000,00 € ist, ist übrigens nach § 41 Abs. 1 BDSG das Landgericht das zuständige Gericht. In diesem Fall ist dies das LG Hamburg.

Kleine Randnotiz. Es gibt übrigens Pläne, die Zuständigkeit der Landgerichte in diesen Fällen wegen verfassungsrechtlicher Bedenken wieder aufzuheben. Dazu anschaulich übrigens unser aller Carlo Piltz in diesem Beitrag (winke, winke nach Berlin). Und ich muss sagen, dass ich die Bedenken zumindest im Hinblick auf die aktuelle Regelung in § 41 Abs. 1 BDSG ein Stück weit nachvollziehen kann. Gegen diese Pläne wenden sich nun die Aufsichtsbehörden in einem Beschluss der Datenschutzkonferenz mit dem schönen Titel „Datenschutz braucht Landgerichte auch erstinstanzlich“ (PDF). Auch hier ist also vieles im Fluss.

Termin zur Hauptverhandlung

Das Landgericht wird dann bei diesem eher komplexen Sachverhalt einen Termin zur Hauptverhandlung anberaumen. Hier können dann auch Zeugen geladen oder Sachverständige hinzugezogen werden.

Entscheidung

Abhängig vom Verlauf der Hauptverhandlung gibt es dann entweder ein Urteil oder je nach Sachlage ggf. auch eine Einstellung des Verfahrens nach § 47 OWiG.

Fazit

Wir werden dann ja in Kürze mitbekommen, ob nun ein Einspruch eingelegt wurde oder nicht. Und dann kommt es vielleicht zu einer Gerichtsverhandlung. Vielleicht aber auch nicht. Warten wir also einfach mal ab.

Im nächsten Newsletter komme ich dann zurück auf mein Cookie-Thema. Urlaubsbedingt kann ich noch nicht genau sagen, wann das sein wird. Schauen wir mal…

Übrigens gibt es dann nach dem Urlaub ein schönes Webinar für Datenschutz-Coaching-Mitglieder zum Thema „Aufgaben, Pflichten und Haftung von internen und externen DSB“. Termininfos hier.