EU Judgment in Cases C-683/21 Nacionalinis visuomenės sveikatos centras and C- 807/21 Deutsche Wohnen

Tuesday 5th December 2023

Judgment in Cases C-683/21 Nacionalinis visuomenės sveikatos centras and C- 807/21 Deutsche Wohnen

(Data protection)

During the recent Covid-19 pandemic, a situation arose whereby the Lithuanian Minister for Health instructed the Director of the Public Health Authority to organise the acquisition of an IT system for recording and monitoring the data of persons exposed to Covid-19. A company was chosen by the public health authority to create a mobile application for this purpose. A privacy policy was drawn up in which the company creating the mobile application and the public health authority were designated as data controllers. Between 4 April 2020 and 26 May 2020, 3,802 people made use of this application and provided the requested geolocation data.

In 2020, as part of an investigation into the processing of personal data, the national data protection authority found that the processing of personal data to monitor compliance with a quarantine was unlawful and imposed a fine.

Deutsche Wohnen SA (‘DW’), a property company with its registered office in Berlin, indirectly owns, through holdings in various companies, approximately 163,000 housing units and 3,000 commercial units. In the course of their commercial activities, DW and the companies in its group process the personal data of tenants of commercial and housing units. Having doubts as to the lawfulness of the practice of saving documents containing tenants’ personal data in an electronic archiving system without checking whether the saving was necessary and without regularly deleting the data, an administrative fine was imposed on the property company by the German supervisory authority.

The Lithuanian regional court and the German higher regional court referred the case to the Court of Justice for an interpretation of the General Data Protection Regulation.

Background Documents C-683/21

 Background Documents C-807/21

Urteile des Gerichtshofs (Große Kammer) in den Rechtssachen C-683/21 Nacionalinis visuomenės sveikatos centras und C‑807/21 Deutsche Wohnen

Sanktionierung von Unternehmen bei Datenschutzverstößen

C-683/21 Nacionalinis visuomenės sveikatos centras: Das Regionalverwaltungsgericht Vilnius (Litauen) hat darüber zu entscheiden, ob dem Nationalen Öffentlichen Gesundheitszentrum (NÖGZ), das dem Gesundheitsministerium untergeordnet ist, durch die litauische Datenschutzbehörde ein Bußgeld auferlegt werden kann.

Das Regionalverwaltungsgericht ersucht den Gerichtshof hierzu um Auslegung der Datenschutzgrundverordnung (DSGVO). Es möchte wissen, ob unter den besonderen Umständen des vorliegenden Falls das NÖGZ als Verantwortlicher im Sinne der DSVG anzusehen ist und ob das NÖGZ sowie das IT-Unternehmen, dass es für die Entwicklung einer App zur Erhebung und Überwachung von Daten von Personen, die mit Covid-19 Infizierten in Kontakt waren, auswählte, als „gemeinsam Verantwortliche“ anzusehen sind.

Außerdem hält es für klärungsbedürftig ob gegen einen Verantwortlichen, der weder vorsätzlich noch fahrlässig gegen die DSGV verstoßen hat, eine Geldbuße verhängt werden kann.

Generalanwalt Emiliou hat dem Gerichtshof in seinen Schlussanträgen vom 4. Mai 2023 u.a. vorgeschlagen zu entscheiden, dass eine Geldbuße nur verhängt werden darf, wenn der Verstoß gegen die DSGVO „vorsätzlich oder fahrlässig“ begangen wurde.

Außerdem könne eine Geldbuße auch dann verhängt werden, wenn die unrechtmäßige Verarbeitung von einem Auftragsverarbeiter vorgenommen wird, solange feststehe, dass dieser im Auftrag des Verantwortlichen handele.

C-807/21 Deutsche Wohnen: Das Kammergericht Berlin hat darüber zu entscheiden, ob dem Immobilienunternehmen Deutsche Wohnen Geldbußen auferlegt werden durften, weil es personenbezogene Daten von Mietern länger als nötig aufbewahrt hat, wie etwa Ausweiskopien und Gehaltsbescheinigungen.

Das Kammergericht ersucht den Gerichtshof hierzu um Auslegung der Datenschutzgrundverordnung. Es möchte wissen, ob einem Unternehmen nur dann eine Geldbuße auferlegt werden darf, wenn ihm ein schuldhafter Verstoß eines leitenden Mitarbeiters zuzurechnen ist, oder ob es selbständig und womöglich verschuldensunabhängig für Datenschutzverstöße haftet.

Generalanwalt Campos Sánchez-Bordona hat dem Gerichtshof in seinen Schlussanträgen vom 27. April 2023 vorgeschlagen zu entscheiden, dass die Verhängung einer Geldbuße gegen ein Unternehmen, das für die Verarbeitung personenbezogener Daten verantwortlich ist, nicht von der vorherigen Feststellung eines Verstoßes durch eine oder mehrere individualisierte natürliche Person(en), die in seinem Dienst stehen, abhängt. Geldbußen könnten nach der DSGVO nur bei Vorsatz oder Fahrlässigkeit verhängt werden.

Weitere Informationen C-683/21

Weitere Informationen C-807/21