EuGH: Zur Bußgeldberechnung anhand des konzernweiten Gesamtumsatzes

Der EuGH hat sich nach der Deutsche Wohnen Entscheidung (C-807/21, EU:C:2023:950) wieder in seinem Urteil vom 13.02.2025 (Rechtssache C-383/23) zur Berechnung von DSGVO-Bußgeldern geäußert.

Die Frage, ob es zulässig ist, dass eine Aufsichtsbehörde ein Bußgeld anhand des konzernweiten Gesamtumsatzes innerhalb des Konzerns berechnen darf, war zu Recht lange umstritten. Mit der nun vorliegenden Entscheidung müssen wir zu Kenntnis nehmen, dass dies weiterhin so erfolgen darf. Im Ergebnis darf also der Gesamtumsatz eines Unternehmensverbundes berücksichtigt werden, insbesondere um die materielle Leistungsfähigkeit des Unternehmes beurteilen zu können.

Dem Urteil lag ein Fall aus Dänemark zugrunde. Das Unternehmen ILVA, dass Betreiber einer Möbelhauskette und Teil der Lars Larsen Group ist, erhielt im Jahr 2021 von einem dänischen Gericht wegen Datenschutzverstößen im Zusammenhang mit mindestens 350.000 ehemaligen Kunden eine Sanktion.
Die dänische Datenschutzbehörde (Datatilsynet) schlug eine Strafe von 1,5 Mio. DKK vor, was umgerechnet etwas mehr als 200.000 Euro sind. Diese Berechnung beruhte auf dem Umsatz der gesamten Lars Larsen Group, nicht nur auf dem der unmittelbaren Tochtergesellschaft ILVA. Der Fall landete schliesslich vor dem EuGH.

Bislang war lediglich geklärt, dass der gesamte Unternehmensumsatz herangezogen werden kann, um die maximale Bußgeldhöhe zu bestimmen. Abschließend war bisher jedoch noch nicht entschieden, ob diese Umsatzsumme auch durch Berechnung des Bußgeldes selbst herangezogen werden kann.

“Zwar verweisen diese Kriterien nicht auf den Begriff des Unternehmens im Sinne der Art. 101 und 102 AEUV, doch der Gerichtshof hat bereits entschieden, dass nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO auf diese Weise kennzeichnenden Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit des Adressaten berücksichtigt, die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen kann, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein. Zur Beurteilung dieser Voraussetzungen ist zu berücksichtigen, ob dieser Adressat einem Unternehmen im Sinne der Art. 101 und 102 AEUV angehört (vgl. in diesem Sinne Urteil vom 5. Dezember 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, Rn. 58).”

In der vorliegenden Entscheidung verwies das Gericht ebenfalls auf Art. 101 und 102 AEUV hinsichtlich des Begriffs “Unternehmen”, unterschied aber in seinem Urteil eindeutig zwischen der Höhenbegrenzung und der Berechnung des Bußgelds. Zwar könne man den Gesamtumsatz des Konzerns bei der Bestimmung der Höhe beachten, er könne aber nicht als Berechnungsgrundlage dienen. Darüber hinaus müsse bei der Berechnung die wirtschaftliche Leistungsfähigkeit der Organisation berücksichtigt werden, um sicherzustellen, dass die Strafe effektiv, aber auch verhältnismäßig und abschreckend bleibt.

“Nach alledem ist auf die Vorlagefragen zu antworten, dass Art. 83 Abs. 4 bis 6 DSGVO in Verbindung mit dem 150. Erwägungsgrund der DSGVO dahin auszulegen ist, dass der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Höchstbetrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die DSGVO verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens bestimmt wird. Der Begriff „Unternehmen“ ist auch zu berücksichtigen, um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist.“