Das Landgericht Berlin I hat das ursprünglich 14,5 Millionen Euro hohe DSGVO-Bußgeld gegen die Deutsche Wohnen SE auf 900.000 Euro reduziert. Am Verstoss selbst ändert das nichts. Das Unternehmen hatte über Jahre keine funktionierende Löschroutine für Mieterdaten wie Gehaltsabrechnungen, Kontoauszüge und Ausweisdokumente. Das Urteil zeigt, worauf es bei Aufsichtsbehörden wirklich ankommt: nicht guter Wille, sondern belegbare Prozesse.
Was das Landgericht entschieden hat
Die 26. Große Strafkammer (Bußgeldkammer) des Landgerichts Berlin I hat am 9. Juni 2026 im Verfahren 526 OWi LG 1/20 ein Urteil gefällt. Deutsche Wohnen hatte im Zeitraum vom 25. Mai 2018 bis zum 5. März 2019 personenbezogene Daten von Mietern gespeichert, ohne fristgerecht zu löschen. Betroffen waren Gehaltsabrechnungen, Kontoauszüge und Ausweisdokumente, teils aus abgeschlossenen Mietverhältnissen. Die Grundlage fehlte: ein Löschkonzept, das im Alltag tatsächlich greift.
Das Gericht bestätigt den DSGVO-Verstoss in vollem Umfang. Der Tenor stützt sich primär auf Artikel 5 Absatz 1 lit. c und lit. e DSGVO, Datenminimierung und Speicherbegrenzung, in Verbindung mit Artikel 6 Absatz 1 DSGVO, also der fehlenden Rechtsgrundlage für die weitere Speicherung. Einordnend dahinter steht die Löschpflicht aus Artikel 17, und was praktisch fehlte, war eine funktionierende technische und organisatorische Massnahme im Sinne von Artikel 32, mit der sich Löschfristen im Datenbestand überhaupt hätten durchsetzen lassen. Beim Bußgeld selbst zeigt sich das Gericht milder als die Aufsichtsbehörde 2019. Von 14,5 Millionen Euro bleiben 900.000 Euro übrig.
Drei Gründe hat das Gericht dafür genannt. Deutsche Wohnen hatte externe Prüfer und IT-Experten eingebunden, um das Problem zu lösen, das zählt als aktives Bemühen. Der Verstoss fiel in die frühe Phase der DSGVO-Anwendung, als viele Unternehmen noch mit der Umsetzung rangen. Und die Aufsichtsbehörde selbst hatte Dokumentationslücken, die eine höhere Strafe schwerer begründbar machten. Das Urteil ist noch nicht rechtskräftig, eine Rechtsbeschwerde ist möglich.
Was diese Entscheidung wirklich zeigt
Der Fall wird oft als Entwarnung gelesen, weil die Zahl kleiner wurde. Das ist der falsche Schluss. Der Verstoss stand fest, bevor über die Höhe verhandelt wurde. Ein Unternehmen mit Millionen-IT-Budget und eigener Rechtsabteilung ist an einer Löschroutine gescheitert, die auf dem Papier in jedem Datenschutzkonzept steht.
Das Muster ist bekannt. Firmen investieren in Berater, Zertifikate und Datenschutzerklärungen, aber niemand prüft, ob alte Kundendaten nach Ablauf der Aufbewahrungsfrist tatsächlich gelöscht werden. Genau da hakt es in der Praxis am häufigsten, nicht bei der Einwilligung auf der Webseite, sondern bei dem, was mit den Daten passiert, nachdem der Vertrag längst beendet ist.
Mildernd wirkte am Ende, dass Deutsche Wohnen externe Expertise eingebunden hatte. Das ist die eigentliche Lehre für jedes Unternehmen: Aufsichtsbehörden und Gerichte bewerten, ob ein belastbarer Prozess existiert und dokumentiert nachvollzogen werden kann. Eine Absichtserklärung reicht nicht, ein gepflegtes Löschkonzept mit Fristen, Zuständigkeiten und Nachweisen schon eher.
Was das für Ihre Webseite und Ihr Unternehmen bedeutet
Wer glaubt, ein Cookie-Banner und eine Datenschutzerklärung würden ausreichen, unterschätzt genau den Bereich, an dem Deutsche Wohnen gescheitert ist. Löschkonzept und technisch-organisatorische Massnahmen sind kein Compliance-Beiwerk, sie sind der Teil, den Aufsichtsbehörden bei einer Prüfung als Erstes verlangen. Und sie sind der Teil, der in den meisten kleinen und mittleren Unternehmen überhaupt nicht existiert.
Die relevante Frage lautet nicht, ob ein Datenschutzhinweis auf der Webseite steht. Sie lautet, ob personenbezogene Daten nach Ablauf der gesetzlichen oder vertraglichen Frist tatsächlich gelöscht werden, und ob sich das im Zweifel belegen lässt.
Unser Auditor prüft genau diese Punkte vor Livegang einer Webseite oder im laufenden Betrieb: Löschkonzept, Speicherbegrenzung, technische und organisatorische Massnahmen, dazu über 60 weitere Prüfpunkte aus DSGVO, TMG und aktueller Rechtsprechung. Das Ergebnis liegt in zwei Sichten vor, eine für die Geschäftsführung mit Risikoeinschätzung, eine für die technische Umsetzung mit konkreten Fixes.
Quellen
Landgericht Berlin I, 26. Große Strafkammer (Bußgeldkammer), Urteil vom 9. Juni 2026, Aktenzeichen 526 OWi LG 1/20 (nicht rechtskraeftig, Rechtsbeschwerde moeglich). Datenschutz-Grundverordnung (DSGVO), Artikel 5 Absatz 1 Buchstabe c und Buchstabe e (Datenminimierung, Speicherbegrenzung), Artikel 6 Absatz 1 (Rechtmaeßigkeit der Verarbeitung), Artikel 17 (Recht auf Loeschung), Artikel 32 (Sicherheit der Verarbeitung), dsgvo-gesetz.de.
Disclaimer
Dieser Beitrag ordnet eine aktuelle, noch nicht rechtskräftige Gerichtsentscheidung allgemein ein und stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar. Für eine rechtliche Bewertung des Einzelfalls wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.