Uitspraak
Deutsche Wohnen: boete aan een rechtspersoon vereist geen aanwijsbare natuurlijke persoon, maar wel schuld
- Datum
- Status
- definitief
- Instantie
- Hof van Justitie van de EU (Grote kamer), Deutsche Wohnen SE tegen Staatsanwaltschaft Berlin
- Kenmerk
- C-807/21, ECLI:EU:C:2023:950
Waar het over gaat
Kernvraag: mag een lidstaat een AVG-boete aan een onderneming alleen toestaan als de overtreding eerst aan een bepaalde bestuurder of medewerker is toegerekend, en is een boete mogelijk zonder opzet of nalatigheid? Oordeel: nationale regels die een boete aan een rechtspersoon afhankelijk maken van toerekening aan een geïdentificeerde natuurlijke persoon zijn in strijd met artikel 58, lid 2, onder i, en artikel 83 AVG. Een boete kan wel alleen worden opgelegd als vaststaat dat de verwerkingsverantwoordelijke de overtreding opzettelijk of uit nalatigheid heeft begaan. Dat is het geval als hij niet onwetend kon zijn van het onrechtmatige karakter van zijn gedrag, ongeacht of hij wist dat hij de AVG schond. Voor het boetemaximum telt de wereldwijde jaaromzet van de onderneming in mededingingsrechtelijke zin (artikelen 101 en 102 VWEU).
Wat dit betekent voor de praktijk
Uw organisatie kan als rechtspersoon rechtstreeks een boete krijgen; het verweer dat geen medewerker persoonlijk verantwoordelijk is, gaat niet op. De toezichthouder moet wel opzet of nalatigheid aantonen, maar onwetendheid over de AVG is geen verweer als u het onrechtmatige karakter van uw gedrag had moeten zien. Een goed gedocumenteerd compliance-programma en aantoonbare zorgvuldigheid versterken uw positie. Bij concerns wordt het boetemaximum bepaald op basis van de omzet van de hele economische eenheid, niet alleen die van de dochter die de fout maakte.
De AVG-artikelen waar het om gaat
Bron: EUR-Lex, arrest C-807/21gecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Thema’s waarin dit terugkomt
De tegenhanger in de andere wet
- Artikel 3 AI Act: Definities
- Artikel 5 AI Act: Verboden AI-praktijken
- Artikel 6 AI Act: Classificatieregels voor AI-systemen met een hoog risico
- Artikel 16 AI Act: Verplichtingen van aanbieders van AI-systemen met een hoog risico
- Artikel 25 AI Act: Verantwoordelijkheden in de AI-waardeketen
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- Artikel 50 AI Act: Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen
- Artikel 70 AI Act: Aanwijzing van nationale bevoegde autoriteiten en centrale contactpunten
- Artikel 74 AI Act: Markttoezicht op en controle van AI-systemen op de markt van de Unie
- Artikel 99 AI Act: Sancties
Rechtspraak8 van 14
- Land Hessen: toezichthouder hoeft niet altijd een boete op te leggen als de organisatie zelf al herstelde
2024-09-26 · definitief, Hof van Justitie van de EU (Eerste kamer), TR tegen Land Hessen
- Kort geding Reddit tegen AP over last onder dwangsom en verschoningsrecht afgewezen
2026-03-04 · status niet vastgesteld, Rechtbank Den Haag, voorzieningenrechter
- Raad van State: AP mocht DPG Media beboeten voor standaard vragen van kopie ID, boete gehalveerd naar 262.500 euro
2025-09-24 · definitief, Raad van State, Afdeling bestuursrechtspraak
- IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke
2024-03-07 · definitief, Hof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)
- Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
2026-07-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
- EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
2025-09-04 · definitief, Hof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)
- Rechtbank Gelderland: curator is verwerkingsverantwoordelijke, AP-boete voor onbeveiligde harde schijf verlaagd naar 58.125 euro
2025-08-07 · status niet vastgesteld, Rechtbank Gelderland
- Raad van State bevestigt AP-boete van 6.000 euro voor recruitmentbedrijf
2024-05-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
Richtsnoeren8 van 9
- Consultatie handhavingsbeleid Autoriteit Persoonsgegevens (april 2026)
2026-04-13 · in consultatie, Autoriteit Persoonsgegevens
- Richtsnoeren 02/2026 over anonimisering
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Opinie 28/2024 over bepaalde gegevensbeschermingsaspecten van de verwerking van persoonsgegevens in het kader van AI-modellen
2024-12-17 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG
2021-07-07 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 05/2020 over toestemming onder Verordening 2016/679
2020-05-04 · definitief, European Data Protection Board (EDPB)
- Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
2026-01-13 · definitief, Autoriteit Persoonsgegevens
- Richtsnoeren 01/2025 over pseudonimisering
2025-01-16 · aangenomen, European Data Protection Board (EDPB)
- Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
Handhaving en boetes
- Coolblue krijgt in bezwaar boete van 40.000 euro voor cookies zonder toestemming
2024-12-23 · status niet vastgesteld, Autoriteit Persoonsgegevens
- AP verlaagt Kruidvat-boete in bezwaar naar 50.000 euro
2025-05-27 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
2026-02-03 · definitief, Autoriteit Persoonsgegevens
- Formele waarschuwing aan minister van OCW om oorlogsarchief CABR niet online doorzoekbaar te maken
2024-11-26 · definitief, Autoriteit Persoonsgegevens
Wetgeving in beweging6 van 9
- Wijziging UAVG: AP verplicht om AVG-sancties openbaar te maken vanaf 1 september 2026
2026-09-01 · van kracht, Wetgever (Tweede Kamer) en Autoriteit Persoonsgegevens
- Voorstel: relatieve definitie van persoonsgegevens (artikel 4, punt 1 AVG)
2025-11-19 · voorstel, Europese Commissie
- Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
2026-06-22 · in onderhandeling, Europees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)
- Voorstel: uitvoeringshandelingen over wanneer gepseudonimiseerde data geen persoonsgegevens meer zijn (nieuw artikel 41a AVG)
2025-11-19 · voorstel, Europese Commissie
- Raad: Iers voorzitterschap zet onderhandelingen voort met herzien compromis, Antici-groep 11 september 2026
2026-09-11 · in onderhandeling, Raad van de Europese Unie, Iers voorzitterschap
- Voorstel: cookieregels van ePrivacy naar de AVG, met nieuwe uitzonderingen en zesmaandenregel (nieuw artikel 88a AVG en artikel 5, lid 3 ePrivacy)
2025-11-19 · in onderhandeling, Europese Commissie
Analyses
- De concept-richtsnoeren voor high-risk classificatie: de twee routes onder artikel 6 uitgelegd
2026-06-13
- Digital Omnibus en het uitstel van de high-risk verplichtingen naar december 2027: wat verandert en wat blijft gelden
2026-06-13
- Commission guidelines voor high-risk AI: hoe het filter van Artikel 6(3) werkt
2026-05-20