Am 13.02.2025 entschied der EuGH in der Rechtssache C-383/23, dass bei der Berechnung von Geldbußen für Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) der Begriff „Unternehmen“ im Sinne der Artikel 101 und 102 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) zu verstehen ist. Dies bedeutet, dass der Höchstbetrag einer Geldbuße auf der Grundlage des gesamten weltweit erzielten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr bestimmt wird.
Im zugrunde liegenden Fall war die dänische Möbelhauskette ILVA A/S, Teil der Lars Larsen Group, wegen Datenschutzverstößen angeklagt. Die dänische Staatsanwaltschaft beantragte eine Geldbuße von 1,5 Millionen DKK (ca. 200.000 Euro), basierend auf dem Umsatz des gesamten Konzerns. Das erstinstanzliche Gericht reduzierte die Strafe jedoch auf 100.000 DKK (ca. 13.400 Euro), da es ILVA als eigenständiges Unternehmen betrachtete und den Konzernumsatz nicht einbezog.
Der EuGH stellte klar, dass der Begriff „Unternehmen“ im Kontext der DSGVO dem wettbewerbsrechtlichen Unternehmensbegriff entspricht. Daher ist bei der Festlegung des Höchstbetrags einer Geldbuße der gesamte weltweit erzielte Jahresumsatz des Unternehmens im vorangegangenen Geschäftsjahr zugrunde zu legen. Dies gilt unabhängig davon, ob der Verstoß von einer Tochtergesellschaft oder der Muttergesellschaft begangen wurde.
Dieses Urteil hat erhebliche Implikationen für die Bußgeldbemessung bei Datenschutzverstößen:
- Einheitliche Berechnungsgrundlage: Die Entscheidung schafft Klarheit darüber, dass bei der Festlegung des Höchstbetrags einer Geldbuße der Konzernumsatz berücksichtigt wird, was zu einer einheitlicheren Anwendung der DSGVO führt.
- Verhältnismäßigkeit: Trotz der Berücksichtigung des Konzernumsatzes muss die tatsächliche Höhe der Geldbuße die wirtschaftliche Leistungsfähigkeit des betroffenen Unternehmens widerspiegeln, um sicherzustellen, dass die Strafe wirksam, verhältnismäßig und abschreckend ist.
- Unternehmensstruktur: Unternehmen sollten ihre internen Strukturen und Datenschutzpraktiken überprüfen, um sicherzustellen, dass alle Tochtergesellschaften die DSGVO einhalten, da Verstöße nunmehr auf den gesamten Konzernumsatz Auswirkungen haben können.
Das EuGH-Urteil C-383/23 verdeutlicht die Bedeutung einer konsistenten und gerechten Bußgeldbemessung im Datenschutzrecht. Unternehmen sind angehalten, ihre Datenschutzmaßnahmen zu verstärken und die DSGVO in allen Bereichen ihrer Geschäftstätigkeit zu implementieren, um potenzielle Bußgelder zu minimieren.
