DSGVO-Bußgelder vor Gericht: Aus 14,5 Millionen werden 900.000 Euro

Zweimal 900.000 Euro statt Millionen

Zwei der bekanntesten deutschen DSGVO-Bußgelder sind vor Gericht auf einen Bruchteil geschrumpft. Die Berliner Datenschutzbeauftragte hatte gegen die Deutsche Wohnen SE rund 14,5 Millionen Euro festgesetzt, ein Berliner Gericht machte daraus 900.000 Euro. Die niedersächsische Datenschutzbehörde verlangte von notebooksbilliger.de rund 10,4 Millionen Euro, am Ende stehen ebenfalls 900.000 Euro. Ein Freispruch ist das nicht: Beide Gerichte haben die Verstöße bestätigt und nur anders gerechnet als die Behörden.

Deutsche Wohnen: Mieterdaten nicht gelöscht

Das Landgericht Berlin I hat am 9. Juni 2026 entschieden (Aktenzeichen 526 OWi LG 1/20). Der Vorwurf: Der Wohnungskonzern hatte sein IT-System nicht rechtzeitig so umgebaut, dass die Daten ehemaliger Mieter fristgemäß gelöscht werden. Im Archiv lagen weiter Gehaltsbescheinigungen, Kontoauszüge und Personalausweisdokumente, obwohl sie nach dem Abschluss des Mietvertrags nicht mehr gebraucht wurden. Das Gericht sah darin einen vorsätzlichen Verstoß gegen die Datenminimierung und die Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Tatzeitraum war der 25. Mai 2018 bis zum 5. März 2019.

Der Weg zum Urteil war lang. Den Bußgeldbescheid gab es im Oktober 2019. Das Landgericht stellte das Verfahren 2021 ein, weil keine konkrete Leitungsperson als Verantwortliche feststand. Das Kammergericht legte die Frage dem Europäischen Gerichtshof vor, und der stellte im Dezember 2023 klar: Eine Behörde darf ein Unternehmen auch dann belangen, wenn sie keiner Führungskraft persönlich einen Verstoß nachweist. Danach musste das Landgericht neu verhandeln. Das Urteil ist noch nicht rechtskräftig, beide Seiten können Rechtsbeschwerde einlegen.

notebooksbilliger.de: 81 Kameras im Betrieb

Beim Elektronikhändler aus Sarstedt ging es um Videoüberwachung. 81 Kameras erfassten Verkaufs- und Arbeitsräume sowie einen Außenbereich, der als Pausenbereich diente, weitere sieben Kameras öffentlich zugängliche Zonen. Die Aufnahmen wurden teils 60 Tage aufbewahrt, eine technische Schwärzung fehlte. Das Unternehmen berief sich auf Bandendiebstahl auf dem Firmengelände. Der war real: 2023 wurden vier ehemalige Angestellte verurteilt, nachgewiesen war der Diebstahl von 96 Notebooks und 18 Smartphones. Am Verstoß änderte das nichts, denn die Behörde sah eine flächendeckende Überwachung von Beschäftigten ohne konkreten Anlass, und die Gerichte folgten ihr im Ergebnis.

Die damalige Landesdatenschutzbeauftragte setzte Ende 2020 rund 10,4 Millionen Euro fest. Das Landgericht Hannover senkte den Betrag im Mai 2024 auf 700.000 Euro. Dagegen legte die Staatsanwaltschaft Rechtsbeschwerde ein und forderte mindestens fünf Millionen Euro. Das Oberlandesgericht Celle hob das Bußgeld mit Beschluss vom 18. Dezember 2025 (Aktenzeichen 3 ORbs 113/25) auf 900.000 Euro an, nach eigenen Worten „moderat“. Gegen diesen Beschluss ist kein Rechtsmittel mehr eröffnet.

So rechnen Gerichte DSGVO-Bußgelder

Der Unterschied zwischen 10,4 Millionen und 900.000 Euro liegt in der Rechenmethode. Die Behörde nutzte das Konzept der deutschen Aufsichtsbehörden, das sich fast ausschließlich am Jahresumsatz orientiert. Bei rund 736 Millionen Euro Umsatz ergab das einen Rahmen von bis zu 29,4 Millionen Euro, vier Prozent des Umsatzes. Davon setzte die Behörde etwa ein Drittel an.

Die Gerichte griffen stattdessen zu den Leitlinien des Europäischen Datenschutzausschusses aus dem Jahr 2023. Weil das Unternehmen 2019 nur eine Umsatzrendite von 1,8 Prozent hatte, gab es zunächst einen Abschlag auf rund 22 Millionen Euro. Dann kam die Schwere des Verstoßes ins Gewicht, und die stuften beide Instanzen als gering ein. Für geringe Schwere sehen die Leitlinien höchstens zehn Prozent des Höchstbetrags vor. Übrig blieb eine Obergrenze von rund 2,2 Millionen Euro, von der das Landgericht wegen mildernder Umstände etwa ein Drittel ansetzte. Das Oberlandesgericht hat diesen Rechenweg ausdrücklich gebilligt. Nur einen Gedanken des Landgerichts verwarf es als rechtsfehlerhaft: dass Bußgeldrahmen kurz nach dem Start der DSGVO zurückhaltend auszuschöpfen seien. Dafür gebe es weder im Gesetz noch in den Leitlinien eine Stütze. Deshalb setzte es das Bußgeld auf 900.000 Euro herauf.

Was die Gerichte milder stimmte

In beiden Verfahren zählte das Verhalten der Unternehmen. Die Deutsche Wohnen hatte externe Wirtschaftsprüfer, Berater und IT-Fachleute eingeschaltet, um die Konzernsysteme auf die DSGVO umzustellen. Die Verstöße fielen in die Einführungsphase der Verordnung. Außerdem hielt die Berliner Kammer der Behörde vor, selbst Schwierigkeiten mit der neuen Gesetzeslage gehabt zu haben. Der Vorsitzende Richter fasste es so zusammen: Man sehe den Verstoß „in einem milderen Licht“. Schneller hätte es das Unternehmen aus Sicht der Kammer trotzdem auf den Weg bringen können.

Bei notebooksbilliger.de zählte, dass sich das Unternehmen bis zum Bußgeldbescheid sehr kooperativ verhalten und alle Beanstandungen zeitnah abgestellt hatte. Ein Großteil der Aufnahmen war gelöscht worden, ohne dass jemand sie gesichtet hatte. Der niedersächsische Landesbeauftragte Denis Lehmkemper begrüßte, dass das Gericht den Argumenten der Behörde gefolgt sei. Zugleich zeige die Herabsetzung, dass deutsche Gerichte den Bußgeldrahmen des Unionsrechts „sehr zurückhaltend“ anwenden.

Was das für Unternehmen bedeutet

Die erste Lehre ist unbequem. Ein Bußgeldbescheid lässt sich anfechten, der Einspruch kostet aber Jahre. Die Deutsche Wohnen wartet seit 2019 auf ein rechtskräftiges Ergebnis, bei notebooksbilliger.de dauerte es rund fünf Jahre. Wer diesen Weg geht, braucht Geduld und rechnet die Verfahrenskosten besser gegen die mögliche Ersparnis.

Die zweite Lehre betrifft die Höhe. Seit dem Beschluss aus Celle steht fest, dass Gerichte die europäischen Leitlinien anwenden dürfen und die Schwere des Verstoßes vor dem Umsatz zählt. Das drückt den Rahmen auch bei Umsätzen im dreistelligen Millionenbereich deutlich. Der Bonus für die Anfangsjahre der DSGVO steht dagegen auf wackligen Beinen: Die Berliner Kammer hat ihn gewährt, das Oberlandesgericht hat genau diesen Gedanken verworfen. Wer heute noch ohne Löschkonzept oder mit Kameras im Pausenbereich arbeitet, sollte sich auf ihn nicht verlassen.

Die dritte Lehre ist die günstigste: Kooperation zahlt sich aus. Beide Gerichte haben angerechnet, dass die Unternehmen mitgewirkt, Fachleute eingebunden und Mängel abgestellt haben. Der Einwand, die Behörde müsse erst eine schuldige Führungskraft finden, ist seit 2023 vom Tisch. Das Unternehmen haftet als solches. Ein Löschkonzept für Kunden- und Mieterdaten und eine Prüfung jeder Kamera darauf, ob sie wirklich nötig ist, sind darum billiger als jedes Verfahren.