{"id":38709,"date":"2025-06-16T15:37:28","date_gmt":"2025-06-16T15:37:28","guid":{"rendered":"https:\/\/2b-advice.com\/?p=38709"},"modified":"2026-04-14T15:55:02","modified_gmt":"2026-04-14T13:55:02","slug":"volkswagen-wehrt-sich-erfolgreich-gegen-hohes-dsgvo-bussgeld-und-verwarnungen","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2025\/06\/16\/volkswagen-wehrt-sich-erfolgreich-gegen-hohes-dsgvo-bussgeld-und-verwarnungen\/","title":{"rendered":"Volkswagen wehrt sich erfolgreich gegen hohes DSGVO-Bu\u00dfgeld und Verwarnungen"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Das DSGVO-Verfahren gegen Volkswagen endet ziemlich kurios. Der Automobilkonzern ist sowohl gegen ein Bu\u00dfgeld in H\u00f6he von 4,3 Millionen Euro als auch gegen mehrere Verwarnungen des Landesbeauftragten f\u00fcr den Datenschutz<\/a> Niedersachsen (LfD) vorgegangen. Das Landgericht Hannover hat das Bu\u00dfgeld wieder einkassiert, da es keinen schweren DSGVO-Versto\u00df feststellen konnte. Die Staatsanwaltschaft musste die Rechtsbeschwerde gegen das Urteil schlie\u00dflich wegen einer fehlenden Unterschrift zur\u00fccknehmen. Rechtlich interessanter ist hingegen das Urteil des Verwaltungsgerichts Hannover. Das Gericht gab VW in zwei von f\u00fcnf F\u00e4llen Recht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Aufarbeitung des Dieselskandals mit datenschutzrechtlichen Folgen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Im Zuge der Aufarbeitung des Dieselskandals schloss die Volkswagen AG (VW) in den USA mehrere Vergleiche mit Straf- und Zivilbeh\u00f6rden, um laufende Verfahren zu beenden und weiteren rechtlichen Risiken vorzubeugen. Bestandteil dieser Einigungen war die Einrichtung eines sogenannten Monitorships: Daf\u00fcr wurde der ehemalige stellvertretende US-Generalstaatsanwalt Larry Thompson als externer Compliance-Monitor eingesetzt. Dieser sollte die bestehenden Compliance- und Kontrollsysteme des Konzerns pr\u00fcfen, weiterentwickeln und deren Umsetzung \u00fcberwachen.<\/p>

Zur Erf\u00fcllung dieser Aufgabe erhielt der Monitor umfassenden Zugang zu Dokumenten und Daten von VW, darunter auch zu personenbezogenen Informationen \u00fcber ehemalige und aktive Besch\u00e4ftigte. Die Bandbreite reichte dabei von Klarnamen und Personalnummern bis hin zu dienstbezogenen Bewertungen. Dieser Datenzugriff stellte aus Sicht des Landesbeauftragten f\u00fcr den Datenschutz Niedersachsen (LfD) einen gravierenden datenschutzrechtlichen Eingriff dar. Der LfD leitete daraufhin ein aufsichtsbeh\u00f6rdliches Verfahren gegen Volkswagen ein und identifizierte f\u00fcnf konkrete Sachverhalte, die er als Verst\u00f6\u00dfe gegen die DSGVO wertete. Hierf\u00fcr sprach er Verwarnungen gem\u00e4\u00df Art. 58 Abs. 2 lit. b DSGVO gegen VW aus.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Verwarnung 1: Klarnamenliste mit \u201edirect knowledge\u201c \u2013 unzul\u00e4ssig?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

VW hatte dem US-Monitor eine Liste mit 22 Klarnamen \u00fcbermittelt, versehen mit der \u00dcberschrift \u201edirect knowledge\u201c. Im Rahmen des Fast-Lane-Prozesses \u00fcbermittelte VW pseudonymisierte Daten per transportverschl\u00fcsselter E-Mail. Der LfD forderte jedoch eine Ende-zu-Ende-Verschl\u00fcsselung. Das Gericht wies dies zur\u00fcck. Die Daten seien nicht besonders schutzbed\u00fcrftig gewesen und ohne Klarnamen fehle ein konkretes Risiko f\u00fcr eine Re-Identifizierung, zumal der Zuordnungsschl\u00fcssel nicht mit\u00fcbermittelt wurde.<\/p>

Das Gericht konkretisiert das technische Schutzniveau gem\u00e4\u00df Art. 32 DSGVO und unterstreicht die Verh\u00e4ltnism\u00e4\u00dfigkeit bei pseudonymisierten Daten. Dennoch ist zu ber\u00fccksichtigen, dass sich der Stand der Technik und damit auch die zumutbaren technischen und organisatorischen Ma\u00dfnahmen fortlaufend weiterentwickeln. Die Entscheidung darf also nicht verallgemeinert, sondern muss stets im Lichte der konkreten Risikoeinsch\u00e4tzung verstanden werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Verwarnung 2: Pseudonymisierte Daten im \u201eFast Lane Prozess\u201c \u2013 keine Pflicht zur Ende-zu-Ende-Verschl\u00fcsselung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Im Rahmen des Fast-Lane-Prozesses \u00fcbermittelte VW pseudonymisierte Daten per transportverschl\u00fcsselter E-Mail. Der LfD forderte jedoch eine Ende-zu-Ende-Verschl\u00fcsselung. Das Gericht wies dies zur\u00fcck. Die Daten seien nicht besonders schutzbed\u00fcrftig gewesen und ohne Klarnamen fehle ein konkretes Risiko f\u00fcr eine Re-Identifizierung, zumal der Zuordnungsschl\u00fcssel nicht mit\u00fcbermittelt wurde.<\/p>

Das Gericht konkretisiert das technische Schutzniveau gem\u00e4\u00df Art. 32 DSGVO und unterstreicht die Verh\u00e4ltnism\u00e4\u00dfigkeit bei pseudonymisierten Daten. Dennoch ist zu ber\u00fccksichtigen, dass sich der Stand der Technik und damit auch die zumutbaren technischen und organisatorischen Ma\u00dfnahmen fortlaufend weiterentwickeln. Die Entscheidung darf also nicht verallgemeinert, sondern muss stets im Lichte der konkreten Risikoeinsch\u00e4tzung verstanden werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Verwarnung 3: Verletzung der Informationspflicht bei Daten\u00fcbermittlung an den Monitor<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Anders sah es das Gericht bei der Verwarnung wegen unzureichender Information der Besch\u00e4ftigten. VW hatte im Rahmen des Monitorships personenbezogene Daten von Besch\u00e4ftigten \u00fcbermittelt, darunter auch pseudonymisierte Informationen. Das Gericht stellte klar, dass auch diese Daten gem\u00e4\u00df Art. 4 Nr. 1 DSGVO als personenbezogene Daten gelten, da der Monitor mit vertretbarem Aufwand in der Lage gewesen w\u00e4re, den Zuordnungsschl\u00fcssel zur Identifizierung der Betroffenen anzufordern. Entgegen der Auffassung von VW lag somit keine Anonymisierung vor.<\/p>

Zudem stellte das Gericht fest, dass die Weitergabe der Daten durch Volkswagen an den US-Monitor eine Zweck\u00e4nderung im Sinne von Art. 6 Abs. 4 DSGVO darstellte. Die urspr\u00fcngliche Datenerhebung hatte Besch\u00e4ftigungszwecken gedient, die \u00dcbermittlung im Rahmen des Monitorships diente jedoch nicht dem unmittelbaren Zweck der Durchf\u00fchrung des Arbeitsverh\u00e4ltnisses. Auch konnte VW nicht darlegen, dass die Weiterverarbeitung im berechtigten Interesse des Arbeitgebers ohne gleichzeitige Verletzung der Betroffenenrechte standhielt.<\/p>

Schlie\u00dflich kritisierte das Gericht die Art und Weise der Information der betroffenen Personen. Zwar hatte VW Hinweise \u00fcber das Monitorship im Intranet ver\u00f6ffentlicht, es fehlte jedoch an einer konkreten, gezielten und individuellen Information der betroffenen Mitarbeiterinnen und Mitarbeiter. Das Gericht bewertete das blo\u00dfe Einstellen von pauschalen Informationen ohne aktive Kommunikation als unzureichend im Sinne der Transparenzpflichten nach Art. 13 und 14 DSGVO.<\/p>

Bewertung: Die Entscheidung betont die strengen Anforderungen an die Transparenzpflichten gem\u00e4\u00df Art. 13 DSGVO. Bei \u00dcbermittlungen an Dritte, wie den US-Monitor, kann auch Art. 14 DSGVO einschl\u00e4gig sein, insbesondere wenn die Informationen nicht direkt von den Betroffenen erhoben wurden. Deutlich wird auch die restriktive Auslegung des Zweckbindungsprinzips nach Art. 5 Abs. 1 lit. b DSGVO. Aus Sicht der Aufsichtsbeh\u00f6rde ist zudem zu w\u00fcrdigen, dass eine kumulative Re-Identifizierbarkeit durch die Kombination mehrerer pseudonymisierter Datens\u00e4tze ein nicht zu untersch\u00e4tzendes Risiko darstellt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Verwarnung 4: Fehlende Information bei EPA-Auditierung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die vierte Verwarnung betraf die Datenverarbeitung im Rahmen einer zus\u00e4tzlichen Auditierung, die auf Grundlage einer Verwaltungsvereinbarung zwischen VW und der US-Umweltbeh\u00f6rde EPA durchgef\u00fchrt wurde. Ziel dieser Ma\u00dfnahme war es, den Zugang zu \u00f6ffentlichen Auftr\u00e4gen in den USA langfristig abzusichern. Hierzu wurde ein Auditor eingesetzt, der das interne Compliance-Management-System weiterentwickeln und dessen Einhaltung \u00fcberpr\u00fcfen sollte.<\/p>

Der LfD beanstandete jedoch, dass VW erneut personenbezogene Daten teils pseudonymisiert, teils mit Klarnamen versehen an diesen Auditor \u00fcbermittelte, ohne die betroffenen Mitarbeiter ausreichend \u00fcber Art, Umfang und Zweck der Datenverarbeitung zu informieren. Auch in diesem Fall st\u00fctzte sich die Aufsichtsbeh\u00f6rde auf den Standpunkt, dass die Pseudonymisierung nicht zur Entpersonalisierung f\u00fchrt, wenn ein Dritter mit vertretbarem Aufwand die Zuordnung der Daten zu realen Personen erreichen kann. Das Gericht folgte dieser Argumentation und bewertete die Information durch VW ebenfalls als unzureichend. Allgemeine Hinweise oder eine verz\u00f6gerte Information gen\u00fcgen den Anforderungen aus Art. 13 und 14 DSGVO nach Ansicht des Gerichts nicht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Verwarnung 5: Fehlendes Verarbeitungsverzeichnis zu Beginn der Auditierung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die f\u00fcnfte Verwarnung betraf das Vers\u00e4umnis von VW, zu Beginn der EPA-Auditierung ein eigenst\u00e4ndiges Verarbeitungsverzeichnis gem\u00e4\u00df Art. 30 DSGVO zu erstellen. VW argumentierte, das bereits existierende Verzeichnis aus dem Monitorship sei ausreichend. Das Gericht wies diese Argumentation jedoch zur\u00fcck: Zwar gab es thematische \u00dcberschneidungen, doch handelte es sich um zwei formal eigenst\u00e4ndige Datenverarbeitungsvorg\u00e4nge mit unterschiedlichen Zwecken und Adressaten.<\/p>

Das sp\u00e4tere Nachholen des Verzeichnisses wurde im Urteil zwar strafmildernd ber\u00fccksichtigt, gleichwohl bewertete das Gericht die Verwarnung als rechtm\u00e4\u00dfig. Die Aufsichtsbeh\u00f6rde war demnach berechtigt, durch eine Verwarnung auf die Pflicht zur Dokumentation und deren Bedeutung f\u00fcr die \u00dcberpr\u00fcfbarkeit datenschutzrechtlicher Vorg\u00e4nge hinzuweisen.<\/p>

Fazit: Das Gericht macht deutlich, dass ein separates Verzeichnis nach Art. 30 DSGVO auch bei formaler N\u00e4he zu anderen Datenverarbeitungsvorg\u00e4ngen erforderlich ist, sofern sich Zweck oder Struktur der Verarbeitung unterscheiden. Aus Sicht der Aufsichtsbeh\u00f6rden stellt das Fehlen eines solchen Verzeichnisses zudem ein Indiz f\u00fcr strukturelle Defizite im Datenschutzmanagement dar.<\/p>

Lese-Tipp: BfDI verh\u00e4ngt gegen Vodafone Bu\u00dfgelder in H\u00f6he von 45 Millionen Euro<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Differenzierte Ma\u00dfst\u00e4be f\u00fcr internationale Compliance-Prozesse<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Das Urteil veranschaulicht die schwierige Abw\u00e4gung zwischen datenschutzrechtlichen Anforderungen und internationalen Compliance-Verpflichtungen. Einerseits gibt das Gericht der Beh\u00f6rde in Bezug auf Transparenz- und Dokumentationspflichten Recht, andererseits zeigt es die Grenzen der Eingriffsbefugnis bei technisch und juristisch vertretbaren Ma\u00dfnahmen auf Seiten der Unternehmen auf.

F\u00fcr Unternehmen bedeutet das Urteil:<\/p>