Sieben Jahre nach Beginn des beanstandeten Verhaltens hat das Landgericht Berlin I im Verfahren gegen die Deutsche Wohnen SE ein Bußgeld von 900.000 € wegen DSGVO-Verstößen bestätigt. Das Gericht sah es als erwiesen an, dass personenbezogene Daten ehemaliger Mieter nicht rechtzeitig gelöscht wurden. Der Fall hatte wegen grundlegender Fragen zur Verhängung von DSGVO-Bußgeldern zuvor bereits den Europäischen Gerichtshof beschäftigt.
Das Landgericht Berlin I hat gegen die Deutsche Wohnen SE ein Bußgeld in Höhe von 900.000 € wegen Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) verhängt. Nach Auffassung des Landgerichts Berlin I hatte das Wohnungsunternehmen nach Inkrafttreten der DSGVO nicht rechtzeitig die notwendigen technischen und organisatorischen Maßnahmen umgesetzt, um personenbezogene Daten ehemaliger Mieterinnen und Mieter fristgerecht zu löschen. Damit endet vorerst ein Verfahren, das seit dem Jahr 2019 die Gerichte beschäftigt und zwischenzeitlich sogar den Gerichtshof der Europäischen Union erreicht hatte.
Streit um Speicherung sensibler Mieterdaten
Im Mittelpunkt des Verfahrens stand die Frage, ob die Deutsche Wohnen die datenschutzrechtlichen Anforderungen an die Speicherung und Löschung personenbezogener Daten ausreichend umgesetzt hatte. Nach den Feststellungen des Gerichts wurden im Zeitraum vom 25. Mai 2018 bis zum 5. März 2019 Daten ehemaliger Mieterinnen und Mieter über die zulässige Dauer hinaus gespeichert.
Betroffen waren nicht nur allgemeine Vertragsdaten, sondern auch besonders sensible Unterlagen wie Gehaltsnachweise, Kontoauszüge und Ausweisdokumente. Nach Auffassung der Kammer wäre es dem Unternehmen technisch möglich und wirtschaftlich zumutbar gewesen, die erforderlichen Löschmechanismen rechtzeitig in die konzernweiten IT-Systeme zu integrieren.
Verstöße gegen Datenminimierung und Speicherbegrenzung
Die Richter sahen insbesondere Verstöße gegen die in Art. 5 DSGVO verankerten Grundsätze der Datenminimierung und der Speicherbegrenzung als erwiesen an. Personenbezogene Daten dürften nur so lange gespeichert werden, wie dies für die jeweiligen Verarbeitungszwecke erforderlich sei. Anschließend seien sie zu löschen oder zu anonymisieren.
Darüber hinaus stellte das Gericht in einzelnen Fällen Verstöße gegen Art. 6 Abs. 1 DSGVO fest. Danach bedarf jede Verarbeitung personenbezogener Daten einer rechtlichen Grundlage. Für die weitere Speicherung der Daten ehemaliger Mieter habe eine solche Grundlage teilweise nicht mehr bestanden.
Nach den Feststellungen der Kammer handelte die Deutsche Wohnen vorsätzlich. Das Unternehmen habe die datenschutzrechtlichen Risiken erkannt, die notwendigen Anpassungen jedoch nicht rechtzeitig umgesetzt.
Verfahren führte bis vor den Europäischen Gerichtshof
Der Fall gehört zu den bekanntesten deutschen Bußgeldverfahren im Datenschutzrecht. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hatte bereits im Oktober 2019 ein Bußgeld von rund 14,5 Millionen Euro verhängt.
Nachdem die Deutsche Wohnen hiergegen Einspruch eingelegt hatte, stellte das Landgericht Berlin das Verfahren zunächst im Jahr 2021 wegen eines angenommenen Verfahrenshindernisses ein. Auf Beschwerde der Datenschutzaufsicht gelangte der Fall jedoch zum Kammergericht, das mehrere europarechtliche Grundsatzfragen dem Gerichtshof der Europäischen Union vorlegte.
Der Unionsgerichtshof traf im Dezember 2023 eine richtungsweisende Entscheidung zur Verhängung von DSGVO-Bußgeldern gegen Unternehmen. In der Folge hob das Kammergericht die frühere Einstellung auf und verwies die Sache zur erneuten Verhandlung an das Landgericht zurück.
Warum das Bußgeld deutlich niedriger ausfiel
Trotz der festgestellten Verstöße blieb das nun verhängte Bußgeld deutlich hinter der ursprünglichen Sanktion der Datenschutzbehörde zurück. Nach Ansicht des Gerichts waren mehrere mildernde Umstände zu berücksichtigen.
So habe die Deutsche Wohnen externe Wirtschaftsprüfer, Berater und IT-Spezialisten eingeschaltet, um die umfangreichen Anforderungen der neuen Datenschutzregelungen umzusetzen. Zudem seien die Verstöße in einer frühen Übergangsphase nach Geltungsbeginn der DSGVO erfolgt. Auch die Datenschutzaufsichtsbehörde habe seinerzeit noch mit der praktischen Anwendung des neuen europäischen Datenschutzrechts zu kämpfen gehabt.
Vor diesem Hintergrund hielt die Kammer eine Geldbuße von 900.000 Euro für tat- und schuldangemessen.
Bedeutung für die Unternehmenspraxis
Die Entscheidung verdeutlicht, dass die Einhaltung von Lösch- und Speicherkonzepten zu den zentralen Pflichten der DSGVO gehört. Unternehmen müssen nicht nur datenschutzkonforme Richtlinien formulieren, sondern auch sicherstellen, dass ihre IT-Systeme die praktische Umsetzung dieser Vorgaben ermöglichen.
Zugleich zeigt das Verfahren die rechtlichen Unsicherheiten, die die Einführung der DSGVO in den ersten Jahren begleitet haben. Die gerichtliche Neubewertung des ursprünglich verhängten Bußgelds macht deutlich, dass die Bemessung von Datenschutzsanktionen weiterhin erheblichen rechtlichen und tatsächlichen Wertungsspielräumen unterliegt.
Fazit
Mit dem Urteil bestätigt das Landgericht Berlin I einen der bekanntesten deutschen Datenschutzfälle der vergangenen Jahre. Zwar blieb die Geldbuße deutlich hinter der ursprünglichen Forderung der Berliner Datenschutzbehörde zurück, gleichwohl stellt das Urteil klar, dass Unternehmen wirksame technische und organisatorische Maßnahmen zur Umsetzung von Löschpflichten vorhalten müssen. Die Entscheidung dürfte deshalb auch für andere Unternehmen ein wichtiger Maßstab bei der Ausgestaltung ihrer Datenschutz- und Löschkonzepte sein.
Landgericht Berlin I, Urteil vom 9. Juni 2026 – 526 OWi Landgericht 1/20
