Das Landgericht Berlin I hat in einem viel beachteten Urteil (PM 24/2026) das DSGVO-Bußgeld gegen die Deutsche Wohnen SE von ursprünglich rund 14,5 Millionen Euro auf lediglich 900.000 Euro herabgesetzt. Das Gericht prüfte die Verhältnismäßigkeit des von der Berliner Datenschutzbeauftragten verhängten Bußgelds und gelangte zu einer erheblichen Korrektur nach unten. Das Verfahren betrifft Verstöße gegen die Pflichten zur Datensparsamkeit und zur Speicherbegrenzung nach Art. 5 Abs. 1 lit. c) und e) DSGVO im Zeitraum von Mai 2018 bis März 2019. Es handelt sich damit um einen der spektakulärsten und in seiner Entwicklung wichtigsten DSGVO-Bußgeldfälle in Deutschland.
Der ursprüngliche Hintergrund des Verfahrens reicht bis ins Jahr 2017 zurück: Die Berliner Datenschutzbehörde stellte damals fest, dass Deutsche Wohnen personenbezogene Daten von Mietern – darunter Gehaltsabrechnungen, Kontoauszüge, Selbstauskunftsformulare und Ausweiskopien – in einem veralteten Archivsystem speicherte, in dem eine gezielte Löschung technisch nicht möglich war. Damit verstieß das Unternehmen gegen den Grundsatz der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) und den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Die Berliner Datenschutzbeauftragte verhängte im Oktober 2019 das Bußgeld von rund 14,5 Millionen Euro – zu diesem Zeitpunkt eines der höchsten in Deutschland verhängten DSGVO-Bußgelder. Das jetzt ergangene Urteil setzt einen wichtigen neuen Maßstab für die gerichtliche Überprüfung solcher Bußgelder.
Das LG Berlin stützte die Reduktion des Bußgelds auf mehrere wesentliche Faktoren. Deutsche Wohnen hatte nach Bekanntwerden der Problematik aktiv externe Berater, Wirtschaftsprüfer und IT-Spezialisten eingeschaltet, um die Systeme datenschutzkonform umzurüsten – dieses proaktive Compliance-Engagement wurde vom Gericht ausdrücklich als strafmildernd gewertet. Darüber hinaus berücksichtigte das Gericht, dass die maßgeblichen Verstöße in der unmittelbaren Einführungsphase der DSGVO stattfanden – einer Zeit, in der Behörden und Unternehmen gleichermaßen noch mit Auslegung und technischer Umsetzung der neuen Anforderungen rangen. Schließlich stellte das Gericht fest, dass auch die Berliner Datenschutzbehörde selbst Schwierigkeiten hatte, den Sachverhalt vollständig und gerichtsfest zu dokumentieren, was die Grundlage für ein hohes Bußgeld schwächte.
Ein weiterer bedeutsamer Aspekt des Verfahrens betrifft die seit Jahren umstrittene Frage, ob DSGVO-Bußgelder gegen juristische Personen ohne Nachweis eines individuellen Verschuldens einer natürlichen Person verhängt werden können. Der BGH hatte in einem parallelen Verfahren klargestellt, dass das im deutschen Ordnungswidrigkeitenrecht verankerte Opportunitätsprinzip gilt und Behörden bei der Verhängung von Bußgeldern Ermessen haben. Das LG Berlin hat nun gezeigt, dass Gerichte ein Bußgeld nicht nur formal überprüfen, sondern auch inhaltlich erheblich nach unten korrigieren können, wenn die Verhältnismäßigkeit nicht gewahrt ist. Das Urteil ist noch nicht rechtskräftig; eine Verfassungsbeschwerde ist möglich.
Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e) DSGVO besagt, dass personenbezogene Daten nur so lange in einer Form gespeichert werden dürfen, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Verarbeitungszwecke erforderlich ist. Ergänzend schreibt Art. 5 Abs. 1 lit. c) DSGVO vor, dass nur solche Daten erhoben und gespeichert werden dürfen, die für den jeweiligen Verarbeitungszweck tatsächlich notwendig sind (Datensparsamkeit). Diese beiden Grundsätze sind in der Praxis anspruchsvoll umzusetzen – insbesondere bei veralteten IT-Systemen ohne Löschfunktionen. Das Deutsche Wohnen-Urteil zeigt exemplarisch, dass Legacy-Systeme keinen Freibrief bieten: Wer personenbezogene Daten technisch nicht löschen kann, muss die Systeme entsprechend nachrüsten oder ersetzen.
Besonders kritisch ist die Situation bei Altsystemen (Legacy-IT), die vor Inkrafttreten der DSGVO im Mai 2018 entwickelt wurden und keine automatisierte Löschung vorsehen. Für solche Systeme müssen Unternehmen entweder technische Nachrüstungen vornehmen, Migrationslösungen implementieren oder auf DSGVO-konforme Nachfolgesysteme umsteigen. Ein Verweis auf technische Schwierigkeiten entlastet nicht von der Verantwortung – kann aber bei der Bußgeldbemessung strafmildernd berücksichtigt werden, sofern das Unternehmen aktiv und nachweislich an einer Lösung arbeitet. Genau das zeigt das Deutsche Wohnen-Urteil: Wer proaktiv handelt und externe Expertise einbindet, kann im Fall eines Verfahrens auf deutlich geringere Sanktionen hoffen.
Unternehmen sind nach der DSGVO verpflichtet, ein strukturiertes Löschkonzept zu erstellen und umzusetzen. Dieses muss für jede Kategorie personenbezogener Daten den Verarbeitungszweck, die zugehörige Rechtsgrundlage, die maßgebliche Aufbewahrungsfrist sowie den genauen Löschprozess und die technische Nachweisbarkeit regeln. Ein Löschkonzept ist kein rein juristisches Dokument, sondern ein technisch-organisatorisches Instrument, das IT-Abteilung und Rechtsabteilung gemeinsam entwickeln und regelmäßig überprüfen müssen. Datenschutzbehörden und Gerichte prüfen im Fall eines Verfahrens nicht nur, ob ein solches Konzept vorhanden ist, sondern auch, ob es tatsächlich gelebt wird und die definierten Löschfristen technisch eingehalten werden können.
Das LG-Berlin-Urteil hat erhebliche praktische Bedeutung für die DSGVO-Bußgeldpraxis in Deutschland. Es zeigt, dass Bußgelder, die von Datenschutzbehörden verhängt werden, von Gerichten inhaltlich überprüfbar sind und die Verhältnismäßigkeit ein zentrales Korrektiv darstellt. Compliance-Bemühungen, externe Beratung und die Dokumentation von Verbesserungsmaßnahmen können im Streitfall nachweislich zu einer erheblichen Reduktion eines Bußgelds führen. Das ist ein wichtiges Signal: Investitionen in Datenschutz-Compliance zahlen sich nicht nur durch Vermeidung von Verfahren aus, sondern auch dann, wenn es tatsächlich zu einem Bußgeldverfahren kommt.
Gleichzeitig sollten Unternehmen das Urteil nicht als Einladung missverstehen, Datenschutzanforderungen zu ignorieren. Die Kernaussage lautet: Wer personenbezogene Daten ohne die technische Möglichkeit zur Löschung speichert, verstößt gegen die DSGVO – und Bußgelder drohen. Die Reduktion des Bußgelds in diesem Fall ist auf besondere Umstände zurückzuführen, insbesondere die Einführungsphase der DSGVO. Bei heutigen Verstößen – nach mehr als sieben Jahren DSGVO-Geltung – werden Gerichte und Behörden den Grundsatz der erstmaligen Anwendungsphase kaum noch anwenden können.
Aus dem Deutsche Wohnen-Urteil lassen sich konkrete Maßnahmen ableiten. Eine vollständige Bestandsaufnahme aller Datensysteme – mit besonderem Augenmerk auf Legacy-IT ohne Löschfunktion – ist der erste Schritt. Auf dieser Grundlage ist für jede Datenkategorie ein aktualisiertes Löschkonzept zu erstellen oder zu überprüfen. Unternehmen sollten externe Datenschutzberater oder Wirtschaftsprüfer hinzuziehen, um Compliance-Lücken zu schließen und die Dokumentation gerichtsfest zu gestalten. Regelmäßige Datenschutz-Audits und die sorgfältige Dokumentation aller Maßnahmen sind nicht nur für die laufende Compliance wichtig, sondern auch als Beweismittel in einem behördlichen Verfahren unverzichtbar.
Das Deutsche Wohnen-Urteil des LG Berlin ist mehr als ein Einzelfall: Es liefert wichtige Erkenntnisse darüber, wie Gerichte DSGVO-Bußgelder bemessen und korrigieren und welche Faktoren dabei entscheidend sind. Für Unternehmen ist die Botschaft klar: Datenlöschpflichten sind technisch umzusetzende Realität – nicht abstrakte Anforderungen. Gleichzeitig zeigt das Urteil, dass proaktives Compliance-Engagement, externe Expertise und nachgewiesene Verbesserungsmaßnahmen im Fall eines Verfahrens erheblich ins Gewicht fallen können. Wer seine Datenschutz-Compliance strukturiert aufstellt und lückenlos dokumentiert, schützt sich nicht nur vor Verfahren, sondern auch vor unverhältnismäßig hohen Sanktionen.
Haben Sie Fragen zu DSGVO-Datenlöschpflichten oder zur Datenschutz-Compliance in Ihrem Unternehmen? Die Anwälte von HUFELD PartGmbB beraten Sie umfassend. Nehmen Sie jetzt Kontakt auf.
Sie sind auf der Suche nach einem ganz bestimmten Thema?
.png)
.png)