Unternehmensbußgeld nach Artikel 83 DSGVO prüfen

1. Einsatzlage

Eine Aufsichtsbehörde wirft einer juristischen Person einen Datenschutzverstoß vor und bemisst das Bußgeld anhand eines Konzernumsatzes. Zu unterscheiden sind Adressat und Verantwortlichkeit, schuldhafte Begehung, Zurechnung sowie die erst danach folgende Berechnung des gesetzlichen Höchstbetrags.

2. Normenanker

• Artikel 4 Nummer 7 DSGVO: Verantwortlicher und tatsächliche Entscheidung über Zwecke und Mittel.
• Artikel 5, 6, 24, 25 und 32 DSGVO: konkret vorgeworfene Grund-, Organisations- oder Sicherheitspflicht.
• Artikel 58 Absatz 2 Buchstabe i und Artikel 83 Absätze 1 bis 6 DSGVO: Bußgeldbefugnis, Wirksamkeit, Verhältnismäßigkeit, Abschreckung und Zumessung.
• Artikel 101 und 102 AEUV nur für den unionsrechtlichen Unternehmensbegriff bei der Berechnung der Umsatzobergrenze, nicht als eigener Datenschutzverstoß.
• Paragraf 41 BDSG und das anwendbare nationale Verfahrensrecht, soweit unionsrechtlich zulässig.

3. Rechtsprechungsanker

• EuGH, Urteil vom 5. Dezember 2023 - C-807/21, Deutsche Wohnen: Gegen eine juristische Person kann wegen eines von ihr als Verantwortliche begangenen Verstoßes ein Bußgeld verhängt werden, ohne die Handlung zuvor einer namentlich identifizierten natürlichen Leitungsperson zuordnen zu müssen. Erforderlich bleibt eine vorsätzliche oder fahrlässige Begehung.
• Dieselbe Entscheidung: Gehört der Bußgeldadressat zu einer wirtschaftlichen Einheit, wird der Höchstbetrag anhand des Umsatzes dieser Einheit berechnet. Das macht die Muttergesellschaft nicht automatisch zum Adressaten und ersetzt nicht die Prüfung, wer Verantwortlicher ist.
• EuGH, Urteil vom 5. Dezember 2023 - C-683/21, Nacionalinis visuomenės sveikatos centras: Verantwortlichkeit und Zurechnung eines Auftragsverarbeiterhandelns hängen von der tatsächlichen Entscheidung über Zwecke und Mittel sowie davon ab, ob der Verarbeiter außerhalb rechtmäßiger Weisungen handelte.