Der Europäische Gerichtshof (EuGH) hat in einer aktuellen Entscheidung zu einem Verfahren gegen das Unternehmen ILVA wichtige Klarstellungen zur Berechnung von Datenschutz-Bußgeldern getroffen. Der Fall betrifft die Frage, wie der Begriff „Unternehmen“ im Zusammenhang mit der Berechnung von Geldbußen nach der Datenschutz-Grundverordnung (DSGVO) zu verstehen ist.
1. Hintergrund des Verfahrens
Der Fall bezieht sich auf eine Klage gegen ILVA, eine dänische Möbelhauskette, die im Zeitraum von Mai 2018 bis Januar 2019 gegen die DSGVO verstoßen haben soll, indem sie Daten von 350.000 ehemaligen Kunden nicht ordnungsgemäß behandelte. Die dänische Staatsanwaltschaft forderte eine Geldbuße von 1,5 Millionen DKK, berechnet auf Basis des Umsatzes des gesamten Lars Larsen Konzerns, dem ILVA angehört.
Das Gericht in Aarhus legte jedoch eine Geldbuße von nur 100.000 DKK fest und berücksichtigte nur den Umsatz von ILVA selbst. Die Staatsanwaltschaft ging daraufhin in Berufung und argumentierte, dass bei der Berechnung der Buße der gesamte Umsatz des Konzerns herangezogen werden sollte.
2. Rechtliche Grundlagen: DSGVO und nationale Gesetze
Die DSGVO, insbesondere Artikel 83, regelt die Bedingungen für die Verhängung von Geldbußen bei Verstößen gegen Datenschutzvorschriften. Hierbei werden verschiedene Faktoren berücksichtigt, darunter die Art und Schwere des Verstoßes, die Anzahl der betroffenen Personen sowie die Vorsätzlichkeit des Handelns.
Im vorliegenden Fall stützte sich die Staatsanwaltschaft auf den Erwägungsgrund 150 der DSGVO, der besagt, dass bei Geldbußen gegen Unternehmen der Begriff „Unternehmen“ gemäß den Artikeln 101 und 102 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) auszulegen ist.
3. Die Fragen des Vorabentscheidungsverfahrens
Das dänische Landgericht fragte den EuGH, ob der Begriff „Unternehmen“ im Rahmen von Artikel 83 DSGVO auch den Konzernumsatz berücksichtigen müsse, wenn nur ein Unternehmen innerhalb des Konzerns angeklagt wird. Der EuGH sollte klären, ob der Unternehmensbegriff aus dem Wettbewerbsrecht auch auf die Berechnung von Datenschutz-Bußgeldern angewendet werden darf.
4. EuGH-Entscheidung: Der Unternehmensbegriff und die Bußgeldberechnung
Der EuGH entschied, dass der Begriff „Unternehmen“ in Artikel 83 DSGVO so ausgelegt wird, wie er im Wettbewerbsrecht verstanden wird, also jede wirtschaftliche Einheit umfasst, die eine wirtschaftliche Tätigkeit ausübt – unabhängig von ihrer Rechtsform oder Finanzierung. Dies bedeutet, dass der gesamte Umsatz eines Konzerns bei der Berechnung von Bußgeldern berücksichtigt werden kann, wenn das Unternehmen Teil eines solchen Konzerns ist.
Allerdings betonte der EuGH, dass dies nur für die Bestimmung des maximalen Bußgelds gilt. Die Höhe des tatsächlich verhängten Bußgelds muss weiterhin unter Berücksichtigung aller relevanten Faktoren wie der Schwere des Verstoßes und der Verantwortung des Unternehmens festgelegt werden. Dies gewährleistet, dass die Bußgelder wirksam, verhältnismäßig und abschreckend sind.
5. Konsequenzen für die Praxis
Das Urteil verdeutlicht, dass bei Verstößen gegen die DSGVO der gesamte Umsatz eines Konzerns in die Berechnung von Bußgeldern einfließen kann, wenn das angeklagte Unternehmen Teil dieses Konzerns ist. Dies stellt sicher, dass Unternehmen, die Teil größerer wirtschaftlicher Einheiten sind, nicht nur aufgrund ihres eigenen Umsatzes, sondern auch aufgrund des Gesamtumsatzes ihrer Gruppe zur Rechenschaft gezogen werden können.
Für Unternehmen bedeutet dies, dass sie bei der Risikobewertung im Hinblick auf Datenschutzverstöße den Umsatz des gesamten Konzerns berücksichtigen müssen. Für Aufsichtsbehörden und Gerichte ist es wichtig, die individuellen Umstände jedes Verstoßes zu berücksichtigen, um die Höhe der Geldbuße festzulegen.
Das EuGH-Urteil bestätigt, dass der Begriff „Unternehmen“ im Kontext der DSGVO-Bußgelder weit gefasst ist und auf die gesamte wirtschaftliche Einheit angewendet werden kann, zu der das Unternehmen gehört. Es stellt sicher, dass Datenschutzverstöße nicht nur nach dem Umsatz des einzelnen Unternehmens, sondern auch unter Berücksichtigung des Umsatzes des Konzerns geahndet werden können.
Benötigen Sie eine Rechtsberatung?
Wir beraten und vertreten Privatpersonen und Unternehmen in Ermittlungsverfahren und Strafverfahren bundesweit und vor allen Gerichten. Profitieren Sie von unserer langjährigen Erfahrung und unserer Kompetenz in Sachen Strafverteidigung.