EuGH: DSGVO-Geldbußenberechnung bei Konzernunternehmen

Das am 13.02.2025 ergangene EuGH-Urteil zur Berechnung einer DSGVO-Geldbuße hinsichtlich eines Unternehmens eines Konzerns (Az. C‑383/23) brachte zwar in der Hinsicht keine Neuigkeiten, dass entsprechend der bisherigen EuGH-Rechtsprechung für die Berechnung des Höchstbetrages des Bußgeldes der weltweite Konzernumsatz berücksichtigt werden darf (s. insbesondere EuGH-Urteil vom 05.12.2023 – C-807/21 „Deutsche Wohnen“ Rn. 57 & 56). Allerdings war bis zu diesem Urteil unklar, welche Kriterien bei der (sonstigen) Berechnung der Geldbuße für Unternehmen und Unternehmen, die einer Unternehmensgruppe angehören, zu berücksichtigen sind, worauf der EuGH, wie im Folgenden dargestellt, differenzierend urteilte.

Ausgangslage: Verhängung einer Geldbuße gegen ein Konzernunternehmen

Die dänische Staatsanwaltschaft beantragte im Rahmen eines Strafverfahrens gegen die ILVA A/S, einem Unternehmen des Konzerns Lars Larsen Group, wegen des Vorwurfs von DSGVO-Verstößen in ihrer Eigenschaft als Verantwortliche, eine Geldbuße in Höhe von 1,5 Mio. DKK (ca. 201.000 Euro) gegen die ILVA A/S zu verhängen. Der Berechnung dieser Geldbuße lag nicht nur der Umsatz der ILVA A/S, sondern der Gesamtumsatz der Lars Larsen Group zugrunde.

Das dänische Gericht Aarhus verurteilte die ILVA A/S jedoch nur zur Zahlung einer Geldbuße von 100.000 DKK (ca. 13.400 Euro). Bei der Bemessung der Geldbuße ging das dänische Gericht unter anderem davon aus, dass nicht auf den Gesamtumsatz der Lars Larsen Group abgestellt werden dürfe, da nur die ILVA A/S angeklagt gewesen sei – zumal die ILVA S/A nicht allein zu dem Zweck gegründet worden sei, die personenbezogenen Daten des Konzerns zu verarbeiten.

Gegen dieses Urteil legte die dänische Staatsanwaltschaft Berufung ein.

Daraufhin übermittelte das für die Berufung zuständige Landgericht für Westdänemark dem EuGH insbesondere unter Bezugnahme auf die in Art. 83 DSGVO genannten allgemeinen Bedingungen für die Verhängung von Geldbußen und dem darin vorkommenden Begriff „Unternehmen“ folgende Fragen zur Vorabentscheidung:

„1. Ist der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO als ein Unternehmen im Sinne der Art. 101 und 102 AEUV in Verbindung mit dem 150. Erwägungsgrund der DSGVO und der Rechtsprechung des Gerichtshofs im Bereich des Wettbewerbsrechts der Union zu verstehen, so dass der Begriff „Unternehmen“ jede Einheit erfasst, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von der Rechtsstellung dieser Einheit und der Art und Weise, in der sie finanziert wird?

2. Falls die erste Frage zu bejahen ist: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass bei der Verhängung einer Geldbuße gegen ein Unternehmen der gesamte weltweit erzielte Jahresumsatz der wirtschaftlichen Einheit, zu der das Unternehmen gehört, zu berücksichtigen ist oder nur der gesamte weltweit erzielte Jahresumsatz des Unternehmens selbst?“

Was entschied der EuGH?

Der EuGH entschied zur Berechnungsgrundlage und dem Höchstbetrag einer DSGVO-Geldbuße eines Unternehmens, dass Art. 83 Abs.4 bis Abs.6 DSGVO in Verbindung mit dem 150. Erwägungsgrund der DSGVO dahin auszulegen ist, dass

„der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Höchstbetrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die Verordnung 2016/679 verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens bestimmt wird.“

Wobei dieser Unternehmensbegriff nach dem EuGH eine wirtschaftliche Einheit umfasst,

„auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt.“

Demnach bestimmt sich der Höchstbetrag einer DSGVO-Geldbuße nicht nur nach dem Umsatz des jeweiligen Unternehmens einer Unternehmensgruppe, auf welches ein DSGVO-Verstoß als Verantwortlichen zurückzuführen ist, sondern nach dem Gesamtumsatz der Unternehmensgruppe, dem das Unternehmen angehört.

Weiter urteilte der EuGH, dass dieser Unternehmensbegriff bzw. das jeweilige konkrete Unternehmen und, ob es einem anderen Unternehmen angehört, bei der Berechnung einer konkreten Geldbuße zu berücksichtigen ist, auch wenn das nicht ausdrücklich als Kriterium für die Verhängung einer konkreten Geldbuße in der DSGVO genannt wird. Dies deshalb,

„um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist.“

Bei einer Verhängung einer Geldbuße ohne Berücksichtigung des konkreten Unternehmens bzw. gegebenenfalls der Angehörigkeit einer Unternehmensgruppe könnte die Verhältnismäßigkeit anderenfalls nicht gewahrt sein.

Und was bedeutet diese Entscheidung nun für Unternehmen?

Zum einen verdeutlicht diese Entscheidung, dass insbesondere zusammengeschlossene Unternehmen bzw. Konzerne auf die Einhaltung der DSGVO durch sämtliche angehörige Unternehmen achten und Maßnahmen hierzu ergreifen sollten, da sich die DSGVO-Geldbußen am Gesamtumsatz der zusammengeschlossenen Unternehmen orientiert und nicht an dem Umsatz des einzelnen angehörigen Unternehmens, dem ein Verstoß unmittelbar zur Last fällt.

Zum anderen bietet die Entscheidung für den Fall des Erhalts einer DSGVO-Geldbuße eine gute Prüfungshilfe, ob insbesondere die Voraussetzungen für ein verhältnismäßiges Bußgeld eingehalten wurden – wenn es die jeweilige Aufsichtsbehörde ohnehin nicht bereits als Orientierung zur Berechnung einer Geldbuße heranzog, anstatt ungeachtet der konkreten Umstände eine Geldbuße zu verhängen.