EuGH zur DSGVO: Konzernumsatz als Bemessungsgrundlage für Geldbußen

Wie hoch darf eine Geldbuße sein, wenn ein Unternehmen gegen die DSGVO verstößt? Der Europäische Gerichtshof (EuGH) hat sich mit dieser Frage befasst und entschieden, dass bei der Berechnung nicht nur der Umsatz des betroffenen Unternehmens, sondern der gesamte Umsatz des Konzerns berücksichtigt werden kann. Diese Entscheidung hat weitreichende Folgen für Unternehmen, die in Konzernstrukturen eingebunden sind.

Hintergrund des Falls

Die dänische Möbelhauskette ILVA wurde wegen Verstößen gegen die DSGVO belangt. Die Datenschutzbehörde empfahl eine Geldbuße von rund 201.000 Euro, die sich nicht nur am Umsatz von ILVA selbst, sondern am Gesamtumsatz der Lars Larsen Group orientierte, zu der ILVA gehört. Das erstinstanzliche Gericht in Aarhus lehnte diese Berechnungsmethode ab und setzte eine deutlich geringere Strafe von etwa 13.400 Euro fest. Die Begründung: ILVA sei eigenständig tätig und nicht nur zum Zweck der Datenverarbeitung innerhalb des Konzerns gegründet worden.

Die Staatsanwaltschaft legte Berufung ein, woraufhin das Landgericht für Westdänemark den EuGH um Klärung bat:

1. Ist der Begriff „Unternehmen“ in Art. 83 DSGVO im Sinne des Wettbewerbsrechts der EU zu verstehen?
2. Falls ja, ist für die Berechnung der Geldbuße der Umsatz des gesamten Konzerns relevant oder nur der Umsatz des einzelnen Unternehmens?

Die Entscheidung des EuGH

Der EuGH stellte klar, dass der Begriff „Unternehmen“ in der DSGVO genauso zu verstehen ist wie im Wettbewerbsrecht der EU. Das bedeutet, dass eine wirtschaftliche Einheit auch dann als ein Unternehmen gilt, wenn sie aus mehreren rechtlich selbstständigen Gesellschaften besteht.

Damit ist die Bemessung der Geldbuße nach Art. 83 Abs. 4–6 DSGVO nicht nur auf den Umsatz der einzelnen Gesellschaft beschränkt. Vielmehr kann der weltweit erzielte Gesamtumsatz der wirtschaftlichen Einheit – also des gesamten Konzerns – herangezogen werden. Dies dient der Sicherstellung, dass die Geldbuße wirksam, verhältnismäßig und abschreckend ist.

Was bedeutet das für Unternehmen?

1. Konzernmutter haftet indirekt: Auch wenn nur eine Tochtergesellschaft einen Datenschutzverstoß begeht, kann die Strafe anhand des Gesamtumsatzes des Konzerns berechnet werden.
2. Höhere finanzielle Risiken: Unternehmen innerhalb großer Konzerne müssen mit deutlich höheren Strafen rechnen als bisher angenommen.
3. Neuausrichtung der Compliance-Strategie: Datenschutzverstöße einzelner Tochtergesellschaften können den gesamten Konzern teuer zu stehen kommen. Die DSGVO-Compliance muss daher konzernweit sichergestellt sein.

Fazit

Der EuGH bestätigt mit diesem Urteil eine strenge Auslegung der DSGVO-Sanktionen. Konzerne können sich nicht darauf berufen, dass nur eine ihrer Tochtergesellschaften gegen Datenschutzvorschriften verstoßen hat – die gesamte wirtschaftliche Einheit wird in die Verantwortung genommen. Unternehmen sollten ihre Datenschutzmaßnahmen über alle Konzernebenen hinweg konsequent durchsetzen, um empfindliche Bußgelder zu vermeiden.