企业罚款——欧洲法院澄清悬而未决的问题

欧洲法院 (ECJ)在最近的一项判决(2023 年 12 月 5 日) 中必须就有关处以罚款的条件问题作出裁决 (案件号 C-807/21)。

案件
具体而言，它涉及“Deutsche Wohnen SE”（Deutsche Wohnen）的案件。 2019年，柏林监管机构对该公司法人实体处以1400多万欧元的罚款。原因：即使在监管机构多次要求之后，租户数据仍未被删除（我们已报告）。

在德国沃能公司对罚款提出上诉后，柏林地区法院推翻了原判。因此罚款暂时取消了（我们报道过）。

然而，负责的检察院不愿接受这一点，并向更高一级的柏林上诉法院提起诉讼。法院还对一些观点感到不确定，并利用这个机会向欧洲法院寻求澄清。

有人提出，是否可以对法人实体处以罚款？根据德国法律（OWiG第30条），行政违法行为只能由自然人实施，而不能由法人实施。

欧洲法院必须回答两个问题
然而，欧洲法院并不认同这一观点。 GDPR本身的定义（第4条第7款）已经表明法人也可以成为数据保护法意义上的控制者。

“控制者是自然人或法人[…]，其单独或与他人共同决定个人数据处理的目的和方式[…]”（GDPR 第 4 条第 7 款；原文中未加粗）

而当 GDPR 第 83（3）条提到对责任人处以罚款时，法人也包括在内。

“如果控制者[…]故意或过失违反本条例的多项规定，爱尔兰商业传真列表 罚款总额不得超过最严重违法行为的罚款金额。” （GDPR 第 83 条第 3 款；原文中没有加粗部分）

对法人实体罚款？
欧洲法院表示，对法人处以罚款原则上不会造成问题。尤其值得注意的是，根据欧洲法院的说法，甚至没有必要识别实际实施侵权行为的自然人或侵权行为归咎于谁。

对于本案中的德国房屋公司而言，这意味着地区法院判处的罚款可能再次生效。然而，现在必须由柏林高等地区法院对此作出澄清，欧洲法院也参与其中。

无过错罚款
在此背景下，欧洲法院对第二个问题的回答也具有相关性。如果正如已经确定的那样，法人实体也可以成为罚款的对象，而根本无需确定负责的自然人，那么故意和过失又起什么作用呢？

在此，欧洲法院也严格遵守 GDPR 的措辞，并指出，根据 GDPR 第 83（2）（b）条，故意和疏忽是处以罚款时要考虑的几个标准之一。

因此，故意和疏忽在每个案件中都发挥着作用。事实上，人们此时仍然可以问，尽管没有故意和疏忽，但如果满足 GDPR 第 83（2）条的其他标准，是否可以简单地处以罚款。那么，是否总是需要有故意或过失才能处以罚款，或者即使没有故意或过失也可以处以罚款，而且罚款金额可能会较低？

然而，欧洲法院在此再次引用了 GDPR 第 83（3）条，该条在解释时始终要求处以罚款必须有故意或过失。

“如果控制者[…]故意或过失违反本条例的多项规定，罚款总额不得超过最严重违法行为的罚款金额。” （GDPR 第 83 条第 3 款；原文中没有加粗部分）

欧洲法院规定，不能以非过错为依据处以罚款。

它继续
柏林高等地区法院现在必须考虑欧洲法院的声明。因此，完全可以想象，对德国沃能公司处以的 1400 多万欧元罚款将再次执行。

看看在诉讼过程中如何提供或曾经如何提供故意和疏忽的证据将会很有趣。在本案中，证明违规行为可能相当容易，因为即使在收到监管机构的通知后，德国沃能仍未纠正违规行为。另一方面，在罚款通知的发出过程中，程序中可能还隐藏着一两个正式问题，这些问题发挥了作用——例如B. 它必须在多大程度上解决故意和疏忽的问题。我们将监控会议的进展情况并随时向您通报最新情况（您已经看过我们的博客通讯了吗？）。

一项影响深远的判决
总的来说，未来观察在处罚程序中如何确定法人的意图和过失可能会很有趣。根据德国法律，故意和过失实际上总是与自然人相关。也许此时法人实体内部的数据保护组织将再次发挥作用。例如例如，需要对员工进行多少培训，规定需要多详细，控制程度如何以及需要将一切组织得如何好（就数据保护法而言）。但对所谓的员工过度行为（请参阅我们的博客文章）所起作用的案例的评估也可能很有趣。当然，我们也会持续关注此事并持续报道。