BB-Kommentar

EuGH: DSGVO – Zur Bestimmung des Höchstbetrags und der konkreten Bemessung von Geldbußen gegen Unternehmen

Der EuGH hat am 13.2.2025 ein Urteil in der Rechtssache C-383/23 (ILVA, hier zuvor abgedruckt) gefällt. Die Entscheidung hat weitreichende Folgen für die Festlegung von Bußgeldern nach der DSGVO. Danach ist zwar die Berechnung des Bußgeldrahmens auf Basis des kartellrechtlichen Unternehmensbegriffs zulässig. Beim maximalen Rahmen können Datenschutzbehörden den Umsatz der gesamten wirtschaftlichen Einheit berücksichtigen, also gegebenenfalls sogar den Umsatz des gesamten Konzerns. Die konkrete Bußgeldhöhe wird aber nicht auf Basis dieser Grundlage festgelegt. Diese Entscheidung stellt das Bußgeldkonzept des Europäischen Datenschutzausschusses (EDPB) grundsätzlich in Frage.

Problem

Nach den Leitlinien des EDPB für die Berechnung von Bußgeldern nach Art. 83 DSGVO (vgl. “Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Adopted on 24 May 2023”) ermitteln die datenschutzrechtlichen Aufsichtsbehörden die Höhe von Bußgeldern nach einem harmonisierten Verfahren. Zunächst berechnen sie auf Basis des Umsatzes, der Art bzw. Kategorie und der Schwere des Verstoßes einen sog. einheitlichen Ausgangspunkt. Dann ermitteln sie auf der Basis dieser umsatzbasierten Festlegung weitere erschwerende oder mildernde Faktoren nach Art. 83 Abs. 2 S. 2 DSGVO. Diese können den Betrag der Geldbuße weiter erhöhen oder verringern. Dazu ist auf die genannten Faktoren wie insbesondere den Grad des Verschuldens abzustellen. Anschließend überprüft die Behörde, ob die so errechnete Summe die in Art. 83 Abs. 4 bis 6 DSGVO genannten Höchstbeträge von bis zu vier Prozent des gesamten weltweit erzielten Unternehmensumsatzes nicht überschreitet. Zudem muss der Endbetrag hinreichend abschreckend und wirksam sowie verhältnismäßig sein. Der Umsatz der gesamten wirtschaftlichen Einheit im kartellrechtlichen Sinne (also oftmals der des Konzerns) bildet hier also die Basis der Berechnungen.

Zusammenfassung

In seinem Urteil bestätigte der EuGH zunächst seine bisherige Rechtsprechung zu Art. 83 DSGVO (insbes. Urteil vom 5.12.2023 – C-807/21, B 2023, 2956, Rn. 56 ff. – Deutsche Wohnen). Danach gibt der Umsatz der “wirtschaftlichen Einheit” den maximalen Bußgeldrahmen vor (Rn. 22 der hier vorab gedruckten Entscheidung). Der EuGH begründet dies mit dem Verweis des Erwägungsgrundes 150 S. 3 DSGVO auf das Wettbewerbsrecht der Union.