Aufsatz : Rechts- oder Funktionsträgerprinzip? Unternehmenshaftung nach der Datenschutz-Grundverordnung auf dem rechtlichen Prüfstand : aus der RDV 5/2022, Seite 237 bis 247

III. Auslegung von Art. 83 DS-GVO

Eine der zentralen Fragen, wenn es um das nach der DS-GVO anzuwendende Haftungsmodell für Unternehmen geht, ist die nach der Auslegung des Art. 83 DS-GVO. Es geht im Kern um die Frage, ob die DS-GVO das Funktionsträgerprinzip implizit für anwendbar erklärt oder Raum für die Anwendung der hiesigen §§ 30, 130 OWiG und das dort normierte Rechtsträgerprinzip bleibt. Da die DS-GVO gegenüber nationalen Vorschriften Anwendungsvorrang genießt, ist zur Bestimmung des datenschutzrechtlichen Haftungsmodells für Unternehmen primär deren Auslegung entscheidend. Nationale Modelle können nur dort angewendet werden, wo die DS-GVO den Mitgliedsstaaten Umsetzungsspielraum gewährt.

1. Art. 83 DS-GVO als unvollständige Norm

Daran, dass Art. 83 DS-GVO eine unvollständige Norm ist, die durch das nationale Recht ergänzt werden muss, dürfte kein Zweifel bestehen. Immerhin verfügt das europäische Recht bisher weder über einen allgemeinen Teil eines Sanktionsrechts noch über ein hierzu passendes Prozessrecht. Die Mitgliedsstaaten sind daher nicht nur berechtigt, sondern nach der allgemeinen Pflicht zur Durchführung des Unionsrechts (Art. 197 Abs. 3 S. 1, Art. 291 Abs. 1 AEUV) sogar verpflichtet, materielles Bußgeldrecht zu erlassen. Das umfasst nicht nur Bestimmungen etwa zu Versuch und Unterlassen, sondern auch den Bereich der Sanktionierung von Unternehmen. Der Umsetzungsspielraum bzw. die Umsetzungspflicht des hiesigen Gesetzgebers endet erst dort, wo die DS-GVO ausdrücklich oder implizit eigene Regelungen enthält.^[27] Der Einwand des LG Bonn, Art. 83 Abs. 8 DS-GVO als explizite Öffnungsklausel beziehe sich nur auf Verfahrensvorschriften und nicht auf materielles Bußgeldrecht, weswegen die materiell-rechtlichen Haftungsbedingungen für Unternehmen gar nicht vom Umsetzungsspielraum der Mitgliedsstaaten umfasst werden könnten, überrascht daher.^[28]

2. Das europäische Kartellbußgeldrechts als Vorbild für Art. 83 DS-GVO?

Ein nennenswerter Teil der datenschutzrechtlichen Literatur geht davon aus, der Unionsgesetzgeber habe das System des europäischen Kartellbußgeldrechts in Art. 83 DS-GVO für das Datenschutzrecht übernommen.^[29] Dieses sei Vorbild für die Bußgeldregelung des Art. 83 DS-GVO gewesen und werde dort implizit für anwendbar erklärt. Hierfür werden im Wesentlichen drei Argumente herangezogen: erstens Wortlaut und Systematik des Art. 83 DS-GVO, zweitens der Erwägungsgrund 150 der DS-GVO und drittens der sog. effet utile Grundsatz.

Wortlaut und Systematik des Art. 83 DS-GVO belegten eine Anlehnung der DS-GVO an das Sanktionsmodell des Europäischen Kartellrechts, da der Artikel, anders als die hiesigen §§ 30, 130 OWiG, Unternehmen unmittelbar adressiert. Art. 83 DS-GVO Abs. 4 und 5 DS-GVO sprechen von „Unternehmen“ als Bußgeldadressat, Art. 83 Abs. 3 DS-GVO von „Verantwortlichen und Auftragsverarbeitern“ (Art. 4 Nr. 7 und 8 DS-GVO). Dass Verantwortliche in diesem Sinne nicht zwingend natürliche Personen sind, sondern auch Unternehmen wie Facebook Irland sein können, hat der EuGH bereits entscheiden.^[30]Damit stellt Art. 83 DS-GVO als Haftungsadressat nicht, wie es die hiesigen §§ 30, 130 OWiG tun, auf natürliche Personen ab, für deren Taten Unternehmen in die Verantwortung genommen werden. Vielmehr haftet das Unternehmen an sich unmittelbar. Daher sei, so die Stimmen aus der Literatur, die Rechtsprechung des EuGH zur kartellrechtlichen unmittelbaren Unternehmenshaftung zu übertragen.^[31] Dies werde von ErwG 150 DS-GVO unterstrichen. ErwG 150 DS-GVO bestimmt: „Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff ‚Unternehmen‘ im Sinne der Art. 101 und 102 AEUV [kartellrechtlicher, funktionaler Unternehmensbegriff] verstanden werden“.^[32]Schließlich streite der effet utile Grundsatz für die Übernahme des Haftungsmodells des supranationalen Kartellrechts. Würde die DS-GVO das anzuwendende Haftungsregime nämlich offen lassen, würden in unterschiedlichen Mitgliedsstaaten erheblich unterschiedliche Haftungsrisiken bestehen. Das stünde im Wiederspruch zum effet utile Grundsatz, nach dem Gemeinschaftsvorschriften so umzusetzen und auszulegen sind, dass sie „praktische“^[33]bzw. „volle Wirksamkeit“^[34] erlangen.^[35]

3. Grenzen der Übertragbarkeit des Unionskartellrechts

In der Tat lässt sich angesichts ErwG 150 DS-GVO nicht leugnen, dass der europäische Gesetzgeber bei Erlass der DS-GVO den kartellrechtlichen Unternehmensbegriff im Blick hatte und in irgendeiner Form berücksichtigen wollte. Auch, dass er davon ausging, dass datenschutzrechtliche Bußgelder nicht nur an natürliche Personen gerichtet werden können, sondern auch eine Sanktionierung von Unternehmen möglich sein muss, ist offenkundig. Warum jedoch die Tatsache allein, dass ein „Unternehmen“ Haftungsadressat ist, automatisch bedeuten sollte, die Rechtsprechung des EuGH zur Unternehmenshaftung im Unionskartellrecht sei im Gesamten übertragbar, ist nicht ersichtlich. Das europäische Modell einer „Unternehmenshaftung“ ist immerhin keineswegs die einzige Möglichkeit, Verbände zu sanktionieren. Hinzu kommt, dass der EuGH, der Natur der europäischen Rechtsprechung als Case Law entsprechend, Einzelfälle entschieden hat und keine allgemeingültige Theorie zur Sanktionierung von Wirtschaftsunternehmen entwickelt hat.^[36] Um eine Übertragbarkeit zu begründen, bedarf es daher einer intensiven Betrachtung beider Rechtsgebiete. Ein pauschaler Verweis auf die im Art. 83 DS-GVO angeordnete „Unternehmenshaftung“ kann als Beleg kaum genügen.^[37]

a) Die Besonderheiten des kartellakzessorischen Bußgeldrechts

Die pauschale Übertragbarkeit begegnet aus unterschiedlichen Gründen Bedenken. Das Kartellrecht stellt, anders als das Datenschutzrecht, von vornherein auf Unternehmen im Sinne einer „wirtschaftlichen Einheit“ ab und nicht auf juristische Personen. Unternehmen werden hier im Sinne einer wirtschaftlichen Einheit verstanden, da innerhalb einer solchen Einheit kartellrechtliche Beschränkungen wegen des fehlenden Wettbewerbs keinen Sinn machen. Art. 101 AEUV (Kartellverbot) ist daher auf die eine wirtschaftliche Einheit bildenden einzelnen Bestandteile eines Unternehmens nicht anwendbar (sog. Konzernprivileg).^[38] Aufbauend auf diesem originär kartellrechtlichen Unternehmensbegriff hat der EuGH anhand von Einzelentscheidungen das kartellakzessorische Bußgeldrecht entwickelt und in Bezug auf das Kartellrecht konkretisiert. Im Datenschutzrecht gibt es ein mit dem Kartellrecht vergleichbares Konzernprivileg nicht. Datenschutzrechtliche Vorschriften gelten auch zwischen einzelnen Bestandteilen eines Konzerns bzw. einer Unternehmensgruppe.^[39]Datenschutzrechtlich verantwortlich ist das konkrete Rechtssubjekt.^[40]Unternehmen im Sinne der DSGVO^[41] ist daher nach Art. 4 Nr. 18 DS-GVO eine natürliche oder juristische Person, nicht „jede wirtschaftliche Tätigkeit ausübende Einheit“.^[42] Konsequenterweise müsste für das Sanktionsregime des Datenschutzrechts daher wie im Kartellrecht von einem rechtsgebietsspezifischen Unternehmensbegriff auszugehen sein.^[43]Er müsste in Bezug auf die Besonderheiten des „nicht-unternehmensbezogenen“ Datenschutzrecht^[44] entwickelt werden.

Schließlich differieren Datenschutz- und Kartellrecht auch in Zielsetzung, Interessenslagen und Regelungsumfang.^[45] Das Kartellrecht hat von vornherein eine rein restriktive Ausrichtung. Kernanliegen ist die Verhinderung der missbräuchlichen Ausnutzung einer marktbeherrschenden Stellung (Art. 102 AEUV). Die DS-GVO hingen möchte nicht nur die unsachgemäße Verarbeitung personenbezogener Daten verhindern, sie hat zugleich eine ermöglichende Funktion. ErwG 4 DS-GVO stellt ausdrücklich klar, dass der Datenschutz stets auch in Hinblick auf seine gesellschaftliche Funktion gesehen werden muss. Er soll auch den freien Verkehr personenbezogener Daten erleichtern (Art. 1 Abs. 2, 3 sowie ErwG 123 DS-GVO) und so wirtschaftliche Freiheiten ermöglichen.^[46] Die abschreckende Wirkung der Sanktionierung ist im Datenschutzrecht daher zwar ebenso wie im Kartellrecht gewollt, darf aber nicht überspannt werden. Denn, anders als im Kartellrecht, kann eine drakonische Sanktionspraxis hier auch schaden. Müssen Unternehmen aus Angst vor Strafen stets „im Zweifel für den Datenschutz“ entscheiden, verhindert das Innovation und wirtschaftliche Freiheiten und schadet damit den dem Datenschutz inhärenten Zielen. Das widerspricht Art. 1 Abs. 3 DS-GVO und deren Erwägungsgrund 4. Zu viel Missbrauchskontrolle nach Art. 102 AEUV kann es hingegen nicht geben.

Die unterschiedlichen Zielsetzungen spiegeln sich auch in der Natur der sanktionsbewehrten Rechtsverstöße wider. Anders als Wettbewerbsverstöße sind Datenpannen nicht ihrer Natur nach konspirativ. Auch das sollte im Haftungsmodell Berücksichtigung finden. So ist nachvollziehbar, wieso ein Unternehmen für jeden Kartellverstoß, der in der Regel vorsätzlich, nicht selten auch gemeinschaftlich begangen wird und wesentlich vom Betriebsklima abhängt, haften soll. Der Grundgedanke, dass Unternehmen die Handlungen und Arbeitsweisen ihrer Mitarbeitenden kennen müssen und sich im Konfliktfall nicht auf Unkenntnis oder eine fehlerhafte interne Organisation berufen können, macht mit Blick auf die Natur von Wettbewerbsverstößen Sinn. Wieso jedoch auch gut organisierte Chefetagen für jede noch so kleine Datenpanne jedes einzelnen Mitarbeitenden in Verantwortung genommen werden sollen, erschließt sich jedenfalls nicht automatisch^[47] und ist gerade mit Blick auf die Ermöglichungsfunktion der DS-GVO kritisch zu hinterfragen. Hier droht sich die DS-GVO selbst zu schaden. Die bisher ergangenen Entscheidungen des EuGH zum europäischen kartellakzessorischen Sanktionsrecht, die gerade nicht auf die Schaffung abstrakter Rechtsgrundsätze abzielten, können und sollten daher nicht ohne nähere Prüfung auf das Datenschutzrecht übertragen werden.

b) Das „Mischmodell“ des nationalen Kartellrechts

Zudem wird die Rechtsprechung des EuGH zum originär kartellrechtlichen Funktionsträgerprinzip selbst innerhalb des Kartellrechts nicht uneingeschränkt angewendet. Dort, wo kartellrechtliche Sanktionen nicht durch europäische, sondern durch nationale Behörden verhangen werden,^[48] gilt konstruktiv nach wie vor das Rechtsträgerprinzip. Ein Verstoß gegen das EU-Recht liegt darin nicht.^[49]So liegt dem GWB mittlerweile zwar der europäische Unternehmensbegriff zugrunde. Deshalb können nun bspw. über § 30 OWiG hinaus auch Geldbußen gegen Muttergesellschaften festgesetzt werden.^[50] Voraussetzung für eine Unternehmenshaftung ist aber nach wie vor die volldeliktische Tat einer Leitungsperson. So konnte der Gesetzgeber nach eigener Aussage einen „Gleichklang des Bußgeld adressaten mit dem Adressaten der materiellen Gebots- und Verbotsnormen sowie dem gesetzlichen Bußgeldrahmen“^[51] herstellen, ohne konstruktiv vom Rechtsträgerprinzip abweichen zu müssen. Die Unternehmenshaftung nach dem § 30 OWiG wurde an das Unionskartellrecht angepasst, ohne das Funktionsträgerprinzip umfassend zu übernehmen.^[52]

Einen Verstoß gegen die Richtlinie (EU) 1/2019 (ECN+- RL), die ausdrücklich gewährleisten soll, dass „die nationalen Wettbewerbsbehörden über […] die Befugnisse im Bereich […] der Verhängung von Geldbußen verfügen, die sie benötigen, um die Art. 101 und 102 AEUV wirksam anzuwenden“, begründet das nicht. Erforderlich war hiernach nur die nationale Auslegung des Begriffs „Unternehmen“ i.S.d. Art. 101 und 102 AEUV und die Ermöglichung einer rechtlichen und wirtschaftlichen Nachfolge.^[53]

Wenn selbst innerhalb des Kartellrechts die nationale Anwendung des europäischen Funktionsträgerprinzips in toto nicht zwingend ist, dann wird man wohl kaum davon ausgehen können, dass allein das Abstellen auf ein „Unternehmen“ genügt, um die Inkorporation des gesamten supranationalen kartellrechtlichen Sanktionsregimes in das nationale Datenschutzrecht zu begründen.^[54] Hier dürfte mindestens so viel Umsetzungsspielraum bestehen, wie im nationalen Kartellrecht.

c) Die Notwendigkeit einer differenzierten Betrachtung

Weiterer Grund für vorschnelle, ggf. sogar falsche Ergebnisse ist, dass die Frage, ob Funktions- oder Rechtsträgerprinzip anzuwenden ist, jedenfalls in ihrer Pauschalität fehlgeht. Zu untersuchen ist vielmehr, welche Aspekte des europäischen Modells die DS-GVO für anwendbar bestimmt und wo Umsetzungsspielraum besteht. Zentral und praxisrelevant sind hierbei v.a. drei Fragen:

• Erstens: Ist der funktionale Unternehmensbegriff mit all seinen Konsequenzen anwendbar? Bejaht man dies, wäre im Datenschutzrecht wie im hiesigen Kartellrecht (§ 81 GWB) eine Haftung des Mutterkonzerns sowie eine wirtschaftliche Nachfolge über § 30 OWiG hinaus möglich.
• Zweitens: Kann sich ein Bußgeldbescheid unmittelbar gegen ein Unternehmen richten? Falls ja bedürfte es, anders als im deutschen Kartellrecht, keiner volldeliktischen Ordnungswidrigkeit einer natürlichen Person. In diesem Zusammenhang müsste auch beantwortet werden, ob Tathandlung und Tatzeit im Bescheid benannt werden müssen.
• Drittens: Haften Unternehmen für Handlungen sämtlicher Mitarbeitenden oder ist die Haftung auf Handlungen von Führungspersonen beschränkt?

Auf dieser differenzierten Linie bewegt sich auch das Kammergericht Berlin mit seiner Vorlagefrage an den EuGH. Es fragt konkret, ob Art. 83 Abs. 4-6 DS-GVO dahingehend auszulegen ist, „dass er […] das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf“.^[55]

Eine differenzierte Betrachtung ist wichtig, weil je nach Fallkonstellation unterschiedliche Argumente greifen. Mit Blick auf den anzuwendenden Unternehmensbegriff (Frage 1) wird etwa die Bedeutung des ErwG 150 DS-GVO^[56] und eine Unterscheidung in haftungsbegründenden und haftungsausfüllenden Tatbestand diskutiert.^[57] Zudem werden Wortlaut und Systematik der DS-GVO und die Begrifflichkeiten der englischen Fassung analysiert, um einen „datenschutzrechtlichen Unternehmensbegriff“^[58] zu erarbeiten.^[59] Für die Frage nach der unmittelbaren Bebußbarkeit von Verbänden und die hieran anknüpfende Schuldfrage (Frage 2) spielt v.a. das Grundgesetz sowie das Wesen datenschutzrechtlicher Sanktionen eine entscheidende Rolle.

Wichtig ist, sich zu vergegenwärtigen, dass es durchaus möglich ist, die eine Frage im Sinne des europäischen und andere im Sinne des nationalen Modells zu beantworten. So geschieht es im nationalen Kartellrecht. Soll daher bspw. eine unmittelbare Unternehmenshaftung (Frage 2) oder eine Zurechnung der Handlungen sämtlicher Mitarbeitenden begründet werden (Frage 3), genügt weder ein Verweis auf ErwG 150 DS-GVO bzw. den anzuwenden Unternehmensbegriff (Frage 1) noch die pauschale Bezugnahme auf die Rechtsprechung des EuGH zum Unionskartellrecht.^[60] Es bedarf vielmehr einer intensiveren Betrachtung der konkret aufgeworfenen Frage. Daran fehlt es^[61]bislang sowohl beim EDSA^[62] als auch bei den deutschen Gerichten.^[63]

4. Das Effektivitätsgebot als entscheidender Faktor

Ein wesentliches Argument für die Anwendung europäischer Haftungsmaximen wird im Ergebnis in allen Bereichen eine wertende Betrachtung im Sinne des sog. effet utile Grundsatz sein. Er hat im Lichte der durch die DS-GVO angestrebten Vollharmoniserung besondere Bedeutung. Hinzu kommt, dass die Verbandssanktionierung in den Mitgliedsstaaten auf völlig unterschiedlichen Rechtstraditionen beruht. Die Unterschiede reichen von den Voraussetzungen, unter denen Verbände und natürliche Personen zur Verantwortung gezogen werden können, bis zu den Rechtsfolgen. Verwaltungssanktionen erfolgen z.B. in Griechenland, Geldbußen und Ordnungswidrigkeiten kennt man in Deutschland und Österreich. Unterschiedliche Ansätze gibt es auch bei der Sanktionsbemessung.^[64] Die Verknüpfung der Art. 83 Abs. 4 bis 6 DS-GVO mit nationalen Haftungs- und Zurechnungsvorschriften hätte daher zur Folge, dass die Sanktionierung von Unternehmen in hohem Maße uneinheitlich erfolgen würde.^[65] Ob das tatsächlich gewollt ist, ist unklar und wird von den nationalen Gerichten und der Literatur zurzeit unterschiedlich bewertet.^[66]Orientierungsmöglichkeiten anhand anderer Mitgliedstaaten gibt es kaum, da diese, wie erwähnt, das deutsche Rechtsträgerprinzip nicht kennen.

IV. Strafverfassungsrechtliche Grenzen der Unternehmenssanktion

1. Das Schuldprinzip

Einige Stimmen in der Literatur bestehen mit Blick auf Schuld- und Gesetzlichkeitsprinzip auf die Anwendung der §§ 30, 130 OWiG und das deutsche Rechtsträgerprinzip.^[67] Auch das LG Berlin verweist in seinem Urteil auf die genannten Grundsätze. Ihm zufolge ist ein staatlicher Strafausspruch ohne eine Anknüpfung an eine schuldhafte Handlung nicht möglich.^[68] Das gelte nicht nur für das klassische Strafrecht, sondern auch im Ordnungswidrigkeitenrecht. Da einer juristische Person aber kein Schuldvorwurf gemacht werden könne, bedürfe es stets der Anknüpfung an die Handlung einer natürlichen Person. Das mache die Anwendung der §§ 30, 130 OWiG verfassungsrechtlich erforderlich, da diese, anders als das supranationale Funktionsträgerprinzip, die schuldhafte Tat eines Mitarbeiters voraussetzen. Eine unmittelbare Unternehmenshaftung, wie sie das europäische Recht bestimme, sei hierzulande mit Blick auf das Schuldprinzip konstitutionell ausgeschlossen.

Das hätte praktische Konsequenten von enormer Tragweite, weit über das Datenschutzrecht hinaus. Dann wäre das europäische Haftungsmodell für Unternehmen nämlich nicht nur im Datenschutzrecht nicht mit dem integrationsfesten Teil des Grundgesetzes vereinbar. Konflikte würden immer dann entstehen, wenn Sanktionsrechtssysteme auf Unionsebene eingeführt werden. Damit wären nicht nur alle kartellrechtlichen Sanktionen europäischer Behörden verfassungswidrig,^[69] sondern bspw. auch die geplanten Sanktionsmöglichkeiten nach dem DGA und DSA. Gleichzeitig herrscht darüber, dass einer juristischen Person konstitutionell kein Schuldvorwurf gemacht werden kann, in der strafrechtlichen Literatur keine Einigkeit. Auch vom Bundesverfassungsgericht wurde diese Wertung bisher nicht bestätigt.^[70]

a) Sanktionsfähigkeit des Verbandes

Als Kernargument gegen die Sanktionsfähigkeit juristischer Personen dient in der Regel die Lissabon-Entscheidung des BVerfG, in der sich das BVerfG u.a. mit den Zuständigkeiten der Europäischen Union im Bereich der Strafrechtspflege auseinandersetzt. In diesem Kontakt stellt das Gericht fest, dass die Menschenwürde das Wesen von Strafe und Schuld bestimmt. Es betont, dass der Schuldgrundsatz („Keine Strafe ohne Schuld“) in Art. 1 Abs. 1 GG wurzelt und daher die Eigenverantwortung des Menschen, der sein Handeln selbst bestimmt und sich kraft seiner Willensfreiheit zwischen Recht und Unrecht entscheiden kann, voraussetzt.^[71]Das trifft mit Blick auf natürliche Personen unstreitig zu. Der Schuldgrundsatz betrifft gegenüber einer natürlichen Person den Aspekt der Menschenwürde.^[72] Der Schuldgrundsatz ist jedoch ebenso im Rechtsstaatsprinzip begründet. Laut BVerfG ist die „strafrechtliche oder strafrechtsähnliche Ahndung einer Tat ohne Schuld des Täters […] rechtsstaatswidrig und verletzt den Betroffenen in seinem Grundrecht aus Art. 2 Abs. 1 GG“.^[73] Die Feststellung, dass der Schuldvorwurf gegenüber einer natürlichen Person den Aspekt der Menschenwürde betrifft, kann damit nur als Teilaspekt des Schuldprinzips begriffen werden.^[74]Mit der Frage, was das für die Sanktionsfähigkeit von Verbänden bedeutet, hat sich das Gericht in der Entscheidung nicht auseinandergesetzt. Die Feststellungen des Gerichts können daher nicht ohne Weiteres als Absage an die Integration der Verbandsstrafe verstanden werden.^[75]Das gilt insb., da einem Verband ein verfassungsrechtlich geschütztes Recht nicht allein deshalb abgesprochen werden kann, weil dieses Recht auch unter Hinzuziehung von Art. 1 GG hergeleitet wird. Das hat der BGH bereits mehrfach mit Blick auf das aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG abgeleitete allgemeine Persönlichkeitsrecht entschieden. Dieses ist in Teilen auch auf juristische Personen anwendbar.^[76]

Insofern ist auch vertretbar, dass der Gesetzgeber mit Blick auf juristischer Personen nicht an die traditionelle, von der Menschenwürde geprägte Vorstellung von Schuld und Strafe gebunden ist.^[77]Hierfür spricht, dass die Verfassung nur einen Rahmen setzt und dem demokratisch legitimierten Gesetzgeber die Möglichkeit eröffnet, im Detail zu bestimmen,^[78] wann ein schuldhafter Pflichtverstoß (einer natürlichen Person oder eines Unternehmens) begründet ist und wie hierauf zu reagieren ist. So ließe sich auch die Bertelsmann-Lesering-Entscheidung des BVerfG aus dem Jahr 1966 erklären. Hier heißt es: „Die dargelegten Grundsätze [des Schuldprinzips] gelten auch für juristische Personen. Die juristische Person ist rechtsfähig. Sie nimmt gleichwertig mit den natürlichen Personen am Rechtsleben teil. […] Auch eine juristische Person ist also „wegen einer jeden Zuwiderhandlung“ zu einer Geld- oder Haftstrafe zu verurteilen.“^[79] Die Übertragbarkeit der Lissabon-Entscheidung auf die Schuldfähigkeit von Verbänden ist gerade mit Blick auf die Bertelsmann-Lesering-Entscheidung, die sich hiermit explizit befasst, kritisch zu hinterfragen. Jedenfalls kann die Entscheidung allein als Beleg kaum genügen.

Aber auch dann, wenn man davon ausgeht, eine juristische Person könne aus verfassungsrechtlichen Gründen nicht schuldhaft handeln, muss das kein Argument dafür sein, dass ihre Bestrafung das Schuldprinzip verletzt. Es kann auch ein Argument dafür sein, das Schuldprinzip auf juristische Personen gar nicht anzuwenden.^[80] Es liegt daher nahe, die Frage nach der Sanktionsfähigkeit von Verbänden als rechtspolitische Entscheidung zu bewerten, der die Verfassung zwar Grenzen setzt (zu denken ist hier insb. an das Übermaßverbot), die aber nicht konstitutionell vorgeprägt ist.

b) Modelle verfassungskonformer Unternehmensverantwortlichkeit

Wenn es um die Frage geht, wie eine strafrechtliche Verbandsschuld/Verantwortlichkeit ausgestaltet werden kann, kommen v.a. zwei verschiedene Modelle in Betracht.^[81] Denkbar wäre ein sog. Zurechnungsmodell, wonach stets ein sog. Zurechnungsakt erforderlich wäre. Hierüber würden dem Verband Handlungen und Schuldvorwurf der für das Unternehmen handelnden Mitarbeiter zugerechnet. Eine originäre Verbandsschuld würde es dann nicht geben. Der Zurechnungsakt könnte sowohl zivilrechtsakzessorisch, angepasst an die gesellschaftsrechtlichen Gestaltungsformen, oder aber autonom durch das Sanktionsrecht ausgestaltet werden.^[82] Ebenfalls möglich wäre die Normierung eines eigenständigen Schuldvorwurfs, der nicht mit dem des Individualstrafrechts identisch ist. Handlungen im Namen eines Unternehmens würden rechtlich als Handlungen des Verbandes eingestuft, das Unternehmen würde dabei nicht für die Schuld eines Dritten haften, sondern im Wege einer kooperativen Verbandsschuld.^[83] Zwar hat das BVerfG festgestellt, dass für die Inanspruchnahme einer juristischen Person für schuldhaftes Verhalten im strafrechtlichen Sinne „nur die Schuld der für sie verantwortlich handelnden Personen maßgebend“ sein könne. Hiermit wollte das Gericht aber lediglich klarstellen, dass auch Unternehmen verfassungsrechtlich davor geschützt sind, für „fremdes“ Fehlverhalten bestraft zu werden. Eine abstrakte Positionierung in Richtung eines Zurechnungsmodells war ebenso wenig beabsichtigt, wie eine Beschränkung der Zurechnung auf den Rechtsträger der handelnden Person.^[84]

2. Gesetzlichkeitsprinzip

Einige Stimmen in Literatur und Rechtsprechung gehen überdies davon aus, die Adaption des europäischen Kartellrechts durch die DS-GVO verstoße gegen das Gesetzlichkeitsprinzip.^[85] Über das sowohl in Art. 103 Abs. 2 GG als auch in Art. 49 GRCh verankerte Gesetzlichkeitsprinzip bekommt die Wortsinngrenze im Bereich des Straf- und Ordnungswidrigkeitenrecht eine besondere Bedeutung. Eine gesetzlich nicht vorgesehene strafrechtliche Unternehmensverantwortlichkeit verstößt daher ebenso wie eine Überdehnung des Wortlautes durch teleologische Reduktion oder Analogie gegen das deutsche sowie das europäische Verfassungsrecht. Das gilt selbst dann, wenn sich der eigentliche Wortlaut einer Norm oder eine Haftungslücke als unionsrechtswidrig erweist.^[86]

Eine Interpretation der §§ 30, 130 OWiG im Sinne des hier gerade nicht angeordneten Funktionsträgerprinzips (und damit contra legem) verstößt daher, so argumentiert bspw. das LG Berlin, gegen das Gesetzlichkeitsprinzip.^[87] Diesem Gedanken ist im Kern zuzustimmen, die §§ 30, 130 OWiG können verfassungskonform nicht so ausgelegt werden, dass sie eine unmittelbare Unternehmenshaftung im Sinne des Unionskartellrechts begründen. Übersehen wird hier jedoch, dass der Sanktionierung von Unternehmen nach dem europäischen Modell keine unionsrechtkonforme Auslegung der §§ 30, 130 OWiG zugrunde läge, sondern Art. 83 DS-GVO selbst. Die §§ 30, 130 OWiG blieben dann wegen eines Widerspruchs zum Unionsrechts unanwendbar.^[88]

Entscheidend ist damit die Frage, ob Art. 83 i.V.m. ErwG 150 DS-GVO als unmittelbare Rechtsgrundlage taugt.^[89] Bedenken bestehen mit Blick auf das Bestimmtheitsgebot^.[90] Würden diese Bedenken durchgreifen, würde das indes nicht bedeuten, dass eine Interpretation der Norm im Sinne des Funktionsträgerprinzips ausgeschlossen wäre. Vielmehr müsste der nationale Gesetzgeber dann tätig werden und durch Erlass unionsrechtskonformen Bußgeldrechts, d.h. insb. unter Berücksichtigung des effet utile Grundsatzes, die Durchführung des Art. 83 DS-GVO gewährleisten. Die allg. Verpflichtung dazu ergibt sich aus Art. 197 Abs. 3 S. 1, Art. 291 Abs. 1 AEUV.^[91] Entsprechend hat der Gesetzgeber auch im Kartellrecht reagiert, nachdem der BGH entschieden hat, dass § 30 OWiG mit Blick auf Art. 103 Abs. 2 GG keine generelle Bußgeldverantwortung des Rechtsnachfolgern im Sinne des Unionsrechts begründen kann. Er hat § 30 Abs. 2 a OWiG eingeführt,^[92] der später durch § 81 Abs. 3 b GWB ergänzt wurde.^[93]

V. Fazit

Mit dem deutschen Rechtsträgerprinzip auf der einen Seite und dem auf supranationaler Ebene vornehmlich zugrunde gelegten Funktionsträgerprinzip auf der anderen Seite stehen sich zwei grundlegend unterschiedliche Haftungsmodelle gegenüber. Wahrscheinlich deshalb geht die Diskussion um die Verbandshaftung in ihrer Pauschalität häufig fehl. Die Auslegung und Anwendung des Art. 83 DS-GVO folgt nicht etwa dem Prinzip „ganz oder gar nicht“. Die einzelnen Aspekte der Unternehmenshaftung können und müssen vielmehr differenziert betrachtet werden. „Mischmodelle“, die die Haftung nach dem Rechtsträgerprinzip an Grundkonzepte und Begrifflichkeiten des Funktionsträgerprinzips angepasst haben, gibt es bereits, etwa im nationalen Kartellsanktionsrecht.^[94] Vergleichbares ist auch im Datenschutzrecht vorstellbar. Konstitutionell ausgeschlossen ist in diesem Kontext wahrscheinlich wenig, Grenze ist wie üblich das Übermaßverbot. Die Frage nach der datenschutzrechtlichen Verbandshaftung ist europarechtlich hochpolitisch und eine Entscheidung für das Funktionsträgerprinzip würde eine Abkehr vom Schuldprinzip in seiner bisherigen Form bedeuten. Deutschland wählt mit seinem Rechtsträgerprinzip im europäischen Vergleich einen eigenen Weg. Die Streitfrage stellt sich daher in kaum einem anderen Land in gleicher Weise.

Klar scheint: So einfach, wie es sich der EDSA und einige Stimmen in der Literatur machen, ist es nicht, vertretbar ist Vieles. Vor diesem Hintergrund ist die Positionierung des EDSA, die versucht das Funktionsträgerprinzip im Wege der Verwaltungspraxis vor der Entscheidung des EuGH zu etablieren, rechtlich fragwürdig und datenschutzpolitisch übergriffig. Entscheidend für die Wirtschaft ist es, nun Ruhe zu bewahren. Der nächst Schritt ist die anstehende Auslegung durch den EuGH.

Hält der EuGH den hiesigen Weg für europarechtswidrig, ist es denkbar, dass er Deutschland „nur“ ein Umsetzungsdefizit attestiert, ohne zugleich die Anwednung des Funktionsträgerprinzips anzuordnen. Dann würde er zwar nicht davon ausgehen, dass die DS-GVO selbst eine unmittelbare Unternehmenshaftung nach dem Vorbild des europäischen Kartellrechts normiere. Es wäre aber möglich, dass die Umsetzung durch Deutschland wegen der hierdurch bedingten Verfahrenshindernisse als Verstoß gegen den Effektivitätsgrundsatz gewertet würde.