Frau Gehrmann, das Landgericht Bonn hat das gegen das Telekommunikationsunternehmen 1&1 wegen Datenschutzverstößen verhängte Bußgeld deutlich herabgesetzt. Mit welcher Begründung?Die deutschen Datenschutzbehörden hatten im Oktober letzten Jahres ein Bußgeldkonzept entwickelt, das umsatzbasiert war. Hierbei blieb außer Acht, dass die EU-Datenschutzgrundverordnung gewisse Kriterien nennt, welche bei der Bemessung eines Bußgeldes zu berücksichtigen sind, wie beispielsweise die Schwere eines Datenschutzverstoßes. Diese Kriterien wurden im Bußgeldkonzept zu wenig berücksichtigt. Dies hat das Gericht kritisiert. Der Umsatz könne als Orientierung und zur Ermittlung der Obergrenze gelten. Im Fall 1&1 hätte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit aber vor allem berücksichtigen müssen, dass es nur einen Datenschutzvorfall gab, 1&1 schnell reagiert und Maßnahmen zur Behebung der Datenschutzverletzung ergriffen hat. Deshalb kürzte das Gericht das Bußgeld um 90 %. Müssen die Datenschutzbehörden ihr Modell zur Berechnung der Bußgelder nun anpassen?Definitiv! Das Urteil des Landgerichts Bonn ist ein Fingerzeig und setzt die deutschen Datenschutzbehörden unter Druck, denn es ist wahrscheinlich, dass andere Gerichte dieser Rechtsansicht folgen. Die deutschen Datenschutzbehörden arbeiten bereits an einem neuen Konzept. Spannend wird, zu beobachten, ob sie hierbei auch berücksichtigen, dass die Datenschutzgrundverordnung es auch zulässt, nur eine Verwarnung auszusprechen. Die Verhängung eines Bußgeldes stellt eine von möglichen Sanktionen und Maßnahmen dar, muss aber eben kein Automatismus sein. Es ging in dem Verfahren auch um die Grundsatzfrage, ob gegen eine juristische Person überhaupt ein Bußgeld verhängt werden kann. Das zweifelt das Gericht offenbar nicht an?Richtig. Das Landgericht Bonn ist der Auffassung, dass es zulässig ist, 1&1 als unmittelbare Adressatin des Bußgeldbescheids zu bezeichnen. Die Datenschutzgrundverordnung knüpft immer am Verschulden des Unternehmens an. Das bedeutet: Das Unternehmen haftet für alle Verstöße seiner Mitarbeiter, soweit kein Mitarbeiterexzess vorliegt. Eine solche Verbandshaftung ist dem deutschen Recht fremd. Hat das Gericht europäisches Datenschutzrecht über nationale Regeln im Ordnungswidrigkeitengesetz gestellt?Ja. Das Gericht vertritt die Auffassung, dass ein Unternehmen für Datenschutzverletzungen haften kann. Zur Begründung bemühte das Gericht die grundsätzliche Zielsetzung der Datenschutzgrundverordnung, die effektive Durchsetzung des Datenschutzrechts innerhalb der Europäischen Union zu harmonisieren. Dies stellt aber zugleich eine Erleichterung in der Beweisführung dar, weil eine konkrete Handlung oder ein Unterlassen einer Person nicht mehr nachgewiesen werden muss. Aufgrund dieser weitreichenden Konsequenzen glaube ich nicht, dass in dieser Angelegenheit das letzte Wort gesprochen ist. Damit werden sich noch höhere Gerichte auseinandersetzen. Werden die Bußgelder bei Datenschutzverstößen nun künftig niedriger ausfallen?Das ist nicht gesagt. Die deutschen Datenschutzbehörden sind nun lediglich gefordert, die Höhe eines Bußgeldes detaillierter zu begründen und hierbei sämtliche Aspekte des Einzelfalles zu berücksichtigen. Schematische Begründungen werden die Gerichte nicht überzeugen können. Dies mag zukünftig zu geringeren Bußgeldern führen. Dennoch, man darf nicht vergessen, dass für einen vergleichsweise geringfügigen Verstoß noch immer ein Bußgeld von 900 000 Euro festgesetzt wurde. Das Gericht hat somit anerkannt, dass Bußgelder eine Abschreckungswirkung haben sollen. Die Datenschutzgrundverordnung soll gerade kein “zahnloser Tiger” sein. Mareike Gehrmann ist Fachanwältin für IT-Recht bei Taylor Wessing. Die Fragen stellte Sabine Wadewitz.