EuGH-Urteil zur Berechnung von DSGVO-Bußgeldern:Mehr Klarheit für Unternehmen

Autor: Dr. Arnt Glienke, Chief Governance Officer, Leiter Compliance & Datenschutz, Rechtsanwalt 

Die Berechnung von Geldbußen nach der Datenschutz-Grundverordnung (DSGVO) sorgt seit Jahren für Diskussionen. Eine zentrale Frage ist, ob sich die Höhe eines Bußgeldes am Umsatz der unmittelbaren juristischen Person oder am Gesamtumsatz eines Unternehmensverbunds orientieren sollte. Diese Unsicherheit hat nun der Europäische Gerichtshof (EuGH) in seinem Urteil vom 13. Februar 2025 (C-383/23) adressiert.

Das Urteil bringt eine entscheidende Differenzierung: Während der Gesamtumsatz eines Konzerns zur Bestimmung der Maximalhöhe einer Geldbuße herangezogen werden kann, darf er nicht als alleinige Grundlage für die Berechnung des konkreten Bußgeldes dienen. Damit stellt der EuGH klar, dass Sanktionen zwar abschreckend sein müssen, aber auch verhältnismäßig bleiben sollen.

Der Fall: DSGVO-Bußgeld gegen dänische Möbelhauskette ILVA

Der Entscheidung des EuGH lag ein Fall aus Dänemark zugrunde. Betroffen war die Möbelhauskette ILVA, die zur Lars Larsen Group gehört. Wegen Datenschutzverstößen im Zusammenhang mit den Daten von über 350.000 ehemaligen Kunden hatte die dänische Datenschutzbehörde (Datatilsynet) im Jahr 2021 eine Geldbuße von 1,5 Mio. DKK (ca. 200.000 Euro) vorgeschlagen. Grundlage dieser Berechnung war der Umsatz der gesamten Unternehmensgruppe, nicht nur der von ILVA selbst.

Das zuständige dänische Gericht sah das jedoch anders und reduzierte die Strafe drastisch. Es wertete ILVA als eigenständiges Einzelhandelsunternehmen und argumentierte, dass es nicht belegt sei, dass die Muttergesellschaft die Tochtergesellschaft speziell zur Datenverarbeitung gegründet habe. Daher wurde das Bußgeld auf 100.000 DKK (ca. 13.400 Euro) herabgesetzt.

Die rechtliche Grundlage:Wie die DSGVO Bußgelder bemisst

Nach Art. 83 DSGVO wird die Höhe von Geldbußen anhand des „weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs eines Unternehmens“ bemessen. Die zentrale Frage dabei ist: Welche Unternehmensteile sind in diese Berechnung einzubeziehen?

Erwägungsgrund 150 zur DSGVO verweist auf den Unternehmensbegriff aus Art. 101 und 102 AEUV, wonach ein „Unternehmen“ jede wirtschaftliche Einheit ist, unabhängig von ihrer Rechtsform. Das bedeutet, dass auch Konzerne, Mutter- und Tochtergesellschaften oder Unternehmensgruppen als wirtschaftliche Einheit betrachtet werden können.

Bisher war allerdings nur geklärt, dass der Gesamtumsatz eines Konzerns zur Festlegung der Maximalhöhe eines Bußgeldes herangezogen werden darf. Ob dieser jedoch auch für die eigentliche Berechnung einer Sanktion maßgeblich sein kann, war bislang offen – bis zur aktuellen Entscheidung des EuGH.

Die Entscheidung des EuGH: Differenzierte Betrachtung erforderlich

Der EuGH hat nun eindeutig zwischen zwei Aspekten unterschieden:

Maximalhöhe des Bußgelds:

Der Gesamtumsatz eines Unternehmensverbunds darf bei der Bestimmung der maximal möglichen Strafe berücksichtigt werden.

Berechnung der konkreten Geldbuße:

Die eigentliche Bemessung des Bußgelds muss sich an der wirtschaftlichen Leistungsfähigkeit der betroffenen Einheit orientieren, nicht pauschal am Umsatz des gesamten Konzerns.

Das Gericht betonte, dass Geldbußen wirksam, verhältnismäßig und abschreckend sein müssen. Die wirtschaftliche Realität des Unternehmens ist dabei ein entscheidender Faktor, um sicherzustellen, dass die Strafen ihre beabsichtigte Wirkung entfalten, ohne unverhältnismäßig zu sein.

Was bedeutet das Urteil für Unternehmen?

Mit dieser Entscheidung schafft der EuGH mehr Rechtssicherheit in der Bußgeldberechnung unter der DSGVO. Während große Konzerne weiterhin mit hohen Maximalbußen rechnen müssen, ist bei der eigentlichen Berechnung einer Strafe eine differenzierte Betrachtung notwendig.

Für international tätige Unternehmen bedeutet dies, dass Datenschutz-Compliance nicht nur auf Einzelgesellschaften beschränkt sein darf. Eine konzernweite Datenschutzstrategie bleibt essenziell, um Risiken zu minimieren und mögliche Bußgelder zu vermeiden.

Sollten Sie Fragen zur DSGVO-Compliance oder zur Bußgeldbemessung haben, stehen wir Ihnen als erfahrene Kanzlei gerne beratend zur Seite.