Urteil : Zum kartellrechtlichen Unternehmensbegriff bei der Berechnung der Bußgeldhöhe nach Art. 83 DS‑GVO : aus der RDV 3/2025, Seite 150 bis 151
(EuGH, Urteil vom 13. Februar 2025 – C-383/23 –)
Relevanz für die Praxis
Das dem Urteil zugrunde liegende Vorabentscheidungsersuchen bezog sich auf die Absätze vier bis sechs des Art. 83 DS-GVO in Bezug auf die Berechnung von Geldbußen bei Verstößen gegen die Datenschutz-Grundverordnung durch Unternehmen. Der Gerichtshof stellt in seinem Urteil fest, dass der Begriff „Unternehmen“ nach der DS-GVO demjenigen in den Art. 101 und 102 AEUV entspricht. Er bekräftigt damit seine Haltung, die er bereits in der Entscheidung Deutsche Wohnen dargelegt hatte. Er führt zudem ergänzend aus, was das für die Sanktionierung von Unternehmen bedeutet: Der Konzerngesamtumsatz ist maßgeblich für die Bestimmung des Höchstbetrags der Geldbuße. Zudem wird der funktionale Unternehmensbegriff bei der Berechnung der Höhe der Geldbuße im Einzelfall relevant.
Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit dem 150. ErwG dieser Verordnung ist dahin auszulegen, dass der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Höchstbetrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die Verordnung 2016/679 verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens bestimmt wird. Der Begriff „Unternehmen“ ist auch zu berücksichtigen, um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist.
Zu den Vorlagefragen:
[Es] ist darauf hinzuweisen, dass der Gerichtshof in dem nach Abschluss des schriftlichen Verfahrens in der vorliegenden Rechtssache ergangenen Urteil vom 5. Dezember 2023, Deutsche Wohnen (C 807/21, EU:C:2023:950, Rn. 53 bis 59), bereits Gelegenheit hatte, bestimmte, die Auslegung von Art. 83 DS-GVO betreffende, Fragen zu beantworten.
Nach der Rechtsprechung des Gerichtshofs ist der Begriff „Unternehmen“ i.S.d. Art. 101 und 102 AEUV ohne Bedeutung für die Frage, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 DS-GVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DS-GVO abschließend geregelt ist (Urt. v. 05.12.2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, Rn. 53).
Dieser Begriff ist nur relevant, um die Höhe einer Geldbuße zu bestimmen, die gemäß Art. 83 Abs. 4 bis 6 DS-GVO gegen einen Verantwortlichen verhängt wird (Urt. v. 05.12.2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, Rn. 54).
Der Verweis im 150. ErwG der DS-GVO auf den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ist in diesem speziellen Zusammenhang der Berechnung von Geldbußen, die für in Art. 83 Abs. 4 bis 6 DS-GVO genannte Verstöße verhängt werden, zu verstehen (Urt. v. 05.12.2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, Rn. 55).
Dieser Unternehmensbegriff umfasst für die Zwecke der Anwendung der in den Art. 101 und 102 AEUV niedergelegten Wettbewerbsregeln jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt (Urt. v. 05.12.2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, Rn. 56 und die dort angeführte Rechtsprechung).
So ergibt sich aus Art. 83 Abs. 4 bis 6 DS-GVO, der die Berechnung der Geldbußen für die in diesen Absätzen aufgeführten Verstöße betrifft, dass, wenn der Adressat der Geldbuße ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres des Unternehmens berechnet wird (Urt. v. 05.12.2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, Rn. 57).
Die Bestimmung dieses Höchstbetrags ist jedoch von der Berechnung des Betrags einer Geldbuße zu unterscheiden, die von der zuständigen Aufsichtsbehörde wegen des oder der mit dieser Geldbuße geahndeten spezifischen Verstöße gegen die DS-GVO zu verhängen ist.
So stellt nach Art. 83 Abs. 1 DS-GVO jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Art. 83 für Verstöße gegen die DS-GVO gemäß seinen Abs. 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
Über diese drei Voraussetzungen hinaus verlangt Art. 83 Abs. 2 DS-GVO, dass die zuständige Aufsichtsbehörde bei der Entscheidung über die Verhängung einer Geldbuße und über ihren Betrag in jedem Einzelfall eine Reihe von Kriterien gebührend berücksichtigt.
Zu diesen Kriterien gehören gemäß dieser Bestimmung u.a. die Art, die Schwere und die Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen und das Ausmaß des von ihnen erlittenen Schadens, Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, die von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des entstandenen Schadens, der Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters und die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind.
Diese Kriterien kennzeichnen entweder das Verhalten des Verantwortlichen oder Auftragsverarbeiters, dem Verstöße gegen bestimmte Vorschriften der DS-GVO vorgeworfen werden, oder die Verstöße als solche. Folglich soll mit ihnen gewährleistet werden, dass jeder der Verstöße auf der Grundlage aller relevanten individuellen Umstände beurteilt wird und dass die Ziele, die mit dem in der DS-GVO vorgesehenen Sanktionssystem verfolgt werden, erreicht werden.
Zwar verweisen diese Kriterien nicht auf den Begriff des Unternehmens im Sinne der Art. 101 und 102 AEUV, doch der Gerichtshof hat bereits entschieden, dass nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DS-GVO auf diese Weise kennzeichnenden Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit des Adressaten berücksichtigt, die drei in Art. 83 Abs. 1 DS-GVO genannten Voraussetzungen erfüllen kann, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein. Zur Beurteilung dieser Voraussetzungen ist zu berücksichtigen, ob dieser Adressat einem Unternehmen im Sinne der Art. 101 und 102 AEUV angehört (vgl. in diesem Sinne Urt. v. 05.12.2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, Rn. 58).
Die sich aus den Rn. 25 bis 29 des vorliegenden Urteils ergebende Auslegung von Art. 83 DS-GVO ist auch anwendbar, wenn die festgestellten Verstöße gegen die DS-GVO nicht mit einer administrativen Geldbuße, sondern mit einer von den zuständigen nationalen Gerichten als Strafe verhängten Geldbuße geahndet werden.
Wie sich aus dem 151. ErwG der DS-GVO ergibt, sind in bestimmten nationalen Rechtsordnungen, etwa der des Königreichs Dänemark, die in der DS-GVO vorgesehenen Geldbußen nicht zulässig.
Zur Regelung dieser Konstellation bestimmt Art. 83 Abs. 9 DS-GVO, dass dieser Artikel, wenn die Rechtsordnung eines Mitgliedstaats keine Geldbußen vorsieht, so angewandt werden kann, dass die Geldbuße – wie im vorliegenden Fall – von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird.
Wie der 151. ErwG der DS-GVO präzisiert Art. 83 Abs. 9 DS-GVO zudem, dass die in Rede stehenden Rechtsbehelfe wirksam seien und die gleiche Wirkung wie die von den Aufsichtsbehörden verhängten Geldbußen haben müssen und dass die verhängten Geldbußen in jedem Fall wirksam, verhältnismäßig und abschreckend sein müssen.
Die Verhängung einer Geldbuße durch ein Strafgericht im Rahmen eines Strafverfahrens bedeutet, dass dieses Gericht jederzeit die geltenden strafrechtlichen Vorschriften beachten muss, zu denen insbesondere die Verfahrensrechte der angeklagten Person und der Grundsatz der Verhältnismäßigkeit der Strafe gehören, die in der Charta der Grundrechte der Europäischen Union verankert sind.
In diesem Zusammenhang verlangt Art. 83 DS-GVO, wie von der Generalanwältin in Nr. 74 ihrer Schlussanträge ausgeführt, dass die zuständigen Aufsichtsbehörden ausnahmslos sicherstellen, dass bei der Berechnung der tatsächlichen Höhe der verhängten Geldbuße der Grundsatz der Verhältnismäßigkeit beachtet wird, indem ein angemessener Ausgleich zwischen den Anforderungen des allgemeinen Interesses am Schutz personenbezogener Daten und den Erfordernissen des Schutzes der Rechte des Verantwortlichen für solche Daten, des Auftragsverarbeiters oder des Unternehmens, dem diese angehören, getroffen wird. Daraus folgt, dass einer Anwendung des Begriffs „Unternehmen“ i.S.d. Art. 101 und 102 AEUV im Rahmen der Durchführung von Art. 83 Abs. 4 bis 6 DS-GVO keine grundsätzlichen Hindernisse entgegenstehen, wenn Verstöße gegen die DS-GVO nicht mit administrativen Geldbußen, sondern mit von Strafgerichten verhängten Geldbußen geahndet werden.
Zur Vertiefung
Rost, Compliance und Datenschutz – EuGH bringt das Thema Geldbußen auf Kurs = RDV 3/2024
Schwartmann/Bukhardt, Rechts- oder Funktionsträgerprinzip? Unternehmenshaftung nach der Datenschutz-Grundverordnung auf dem rechtlichen Prüfstand = RDV 5/2022
[Urteil] Unternehmenshaftung nach der DS-GVO folgt europäischem Funktionsträgerprinzip = RDV 1/2024