EuGH zum datenschutzrechtlichen Bußgeldkonzept
04.03.2025
Zusammenfassung
Der Europäische Gerichtshof (EuGH) hat entschieden, dass bei der Berechnung von DSGVO-Bußgeldern nicht nur der Umsatz der betroffenen Tochtergesellschaft, sondern der gesamte Konzernumsatz berücksichtigt werden kann. Der Fall betraf die dänische Möbelkette ILVA A/S, die Kundendaten unrechtmäßig gespeichert hatte, wobei das erstinstanzliche Gericht ein deutlich niedrigeres Bußgeld als die Datenschutzbehörde verhängte. Der EuGH stellte klar, dass der Begriff „Unternehmen“ im wettbewerbsrechtlichen Sinne auszulegen ist und somit die gesamte wirtschaftliche Einheit umfasst, während die konkrete Höhe des Bußgeldes jedoch individuell bestimmt werden muss. Dabei sind verschiedene Faktoren zu berücksichtigen, darunter die Schwere des Verstoßes, die Anzahl der Betroffenen und der verursachte Schaden. Das Urteil könnte zu neuen Verteidigungsstrategien für Unternehmen führen und eine differenziertere Berechnung von Bußgeldern ermöglichen.
3 Minuten Lesezeit
Vor knapp zwei Jahren hat der Europäische Datenschutz-Ausschuss (EDSA) finale Version der Orientierungshilfe zur Kalkulation von Bußgeldern veröffentlicht. Der Europäische Gerichtshof (EuGH) hat nun in seinem aktuellen Urteil (C-383/23) klargestellt, dass bei der Berechnung von Bußgeldern nach der DSGVO nicht nur der Umsatz der unmittelbar betroffenen Tochtergesellschaft, sondern der gesamte Konzernumsatz berücksichtigt werden kann.
Hintergrund des Falls
Das Urteil geht auf ein Verfahren gegen die dänische Möbelkette ILVA A/S zurück. Diese hatte gegen Datenschutzvorschriften verstoßen, indem sie personenbezogene Daten von 350.000 ehemaligen Kunden unzulässig gespeichert hatte. Die dänische Datenschutzbehörde empfahl ein Bußgeld von 1,5 Mio. DKK (ca. 201.000 EUR) – basierend auf dem Umsatz der gesamten Unternehmensgruppe Lars Larsen Group, zu der ILVA gehört. Das erstinstanzliche Gericht setzte jedoch lediglich 100.000 DKK (ca. 13.400 EUR) an, da es nur den Umsatz von ILVA berücksichtigte.
Entscheidung des EuGH
Dies – bzw. verschiedene Fragen im Rahmen dieser Verhandlung – wurden dem EuGH vorgelegt. Zu beantworten hatte dieser erstens, ob der Begriff „Unternehmen“ jede Einheit erfasst, die eine wirtschaftliche Tätigkeit ausführt und wenn ja zweitens, ob bei Verhängung einer Geldbuße der gesamte weltweit erzielte Jahresumsatz der wirtschaftlichen Einheit, zu der das Unternehmen gehört, zu berücksichtigen sei oder nur der gesamte weltweit erzielte Jahresumsatz des Unternehmens selbst.
„Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff ‚Unternehmen‘ im Sinne der Artikel 101 und 102 AEUV verstanden werden.“ (Erwägungsgrund 150 der DSGVO)
Die Auslegung des Begriffs „Unternehmen“ sei laut EuGH nur relevant für die Bestimmung der Höhe einer Geldbuße. Dass ein solches Bußgeld gegen juristische Personen verhängt werden kann, ist spätestens seit dem EuGH-Urteil „Deutsche Wohnen“ (C-807/21) geklärt. Den in den Artt. 101, 102 AEUV niedergelegten Wettbewerbsregeln müsse – so der EuGH – der Unternehmensbegriff jede wirtschaftlich tätige Einheit umfassen, also in anderen Worten die gesamte Unternehmensgruppe.
An dieser Stelle gehen das Bußgeldkonzept des EDSA und der EuGH auseinander: Der Höchstbetrag gemessen am Umsatz der gesamten wirtschaftlichen Einheit unterscheidet sich – laut EuGH – allerdings von der Berechnung einer Geldbuße, die als solche „in jedem Einzelfall wirksam, verhältnismäßig und abschreckend“ (Rn. 25) sein muss. Dies sei individuell zu entscheiden und an Faktoren bzw. einer Reihe von Kriterien zu messen (u.a. „die Art, die Schwere und die Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen und das Ausmaß des von ihnen erlittenen Schadens, Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, die von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des entstandenen Schadens, der Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters und die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind“, Rn. 27).
Aus dieser Entscheidung lassen sich – so RA Tim Wybitul in seinen Ausführungen – gewisse „Verteidigungsstrategien für Unternehmen“ ableiten:
- Individuelle Bewertung der Tat: Die Argumentationslinie sei dahingehend auszugestalten, dass auf die spezifischen Aspekte und Umstände des Einzelfalls eingegangen werden müsse.
- Wirtschaftliche Leistungsfähigkeit: Wirtschaftliche Leistungsfähigkeit dürfe nur dann berücksichtigt werden, wenn die Bußgeldhöhe alleine noch nicht wirksam, verhältnismäßig und abschreckend ist.
- Schwäche der EDPB-Methodik: Das Urteil könne als Grundlage zur möglichen Neuberechnung von Bußgeldern dienen.
Fazit: Neue Strategien im Falle eines Bußgeldes
Die vom EDSA erarbeitete Leitfaden hat erste Risse bekommen. Sollte dies zur Folge haben, dass von pauschalen Bußgeldansätzen abgewichen und zu einer faireren individuellen Behandlung übergegangen wird, kann das langfristig zu ausgewogeneren Bußgeldern führen.
