Anna-Lena Glander, Julian Rosenfeld
Die Höhe eines etwaigen Bußgeldes wegen Datenschutzverstößen richtet sich nach Art. 83 DSGVO. Je nach Verstoß kann ein Bußgeld bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Jahresumsatzes (je nachdem, welcher der Beträge höher ist) oder sogar bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres des Unternehmens (je nachdem, welcher der Beträge höher ist) betragen.
Der EuGH hat sich in o. g. Entscheidung ein Stück weit überraschend auch zum Begriff des "Unternehmens" im Sinne von Art. 83 DSGVO verhalten. Der EuGH entschied diesbezüglich, dass für die Bemessung der Geldbuße bei Konzernunternehmen der Konzernumsatz und nicht der Umsatz der einzelnen Gesellschaft maßgeblich sei (Rn. 59). Hintergrund dieser Entscheidung war die Vorschrift des Art. 83 DSGVO, nach der sich die Höhe des Bußgeldes "im Fall eines Unternehmens" nach dessen Jahresumsatz bemisst. Diesbezüglich war es zuvor rege umstritten gewesen, ob mit diesem Begriff des "Unternehmens" in Art. 83 DSGVO die einzelne juristische Person (innerhalb eines Konzerns) gemeint ist oder ob der wirtschaftliche Unternehmensbegriff gemäß Art. 101, 102 AEUV heranzuziehen ist, der auf die jeweilige Unternehmensgruppe abstellt. Dies entschied der EuGH mithin zugunsten der letztgenannten Auffassung. Der EuGH betonte gleichzeitig auch, dass der wirtschaftliche Unternehmensbegriff nur im Rahmen der Geldbußenverhängung relevant sei.
In Bezug auf die Zumessung des konkreten Bußgeldes im Einzelfall führt Art. 83 Abs. 2 S. 2 DSGVO einige Kriterien auf, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Fall "gebührend" zu berücksichtigen sind. Relevant sind danach, insbesondere tatbezogene Kriterien, wie
- Art, Schwere und Dauer des Verstoßes,
- die Zahl der von der Verarbeitung betroffenen Personen,
- das Ausmaß des Schadens,
- die Kategorie der betroffenen personenbezogenen Daten,
- etwaige Schadensbegrenzungsversuche des Unternehmens,
- der Grad der Verantwortlichkeit und
- die Kooperation mit den Datenschutzbehörden.
Leitlinien des Europäischen Datenschutzausschusses ("EDSA")
Nachdem bereits die deutsche Konferenz der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern ("DSK") im September 2019 ein Bußgeldkonzept zur Bemessung von Bußgeldern, das zu mehr Sicherheit bei der Bußgeldbemessung führen sollte, vorgelegt hatte, folgte der EDSA im Jahr 2022 mit neuen europäischen Leitlinien zur Bußgeldbemessung. Diese bauen auf alten Leitlinien des EDSA aus dem Jahr 2018 auf und ergänzen diese. Die Leitlinien folgen einem detaillierten Fünfstufenplan, mithilfe dessen die europäischen Datenschutzbehörden Bußgelder einheitlich bemessen und beziffern können sollen. Auf Grundlage dieser Leitlinien sollen die unterschiedlich intensiven Aktivitäten der nationalen Datenschutzbehörden der Mitgliedstaaten vereinheitlicht und transparenter gestaltet werden. Der EDSA betont in diesem Zusammenhang allerdings, dass stets eine Bewertung sämtlicher Umstände des Einzelfalls unabdingbar ist.
Die Leitlinien sehen für die Bemessung eines Bußgelds die nachfolgenden 5 Stufen zur Ermittlung der Bußgelder vor:
- Zunächst ist die Anzahl der tatsächlichen Datenverarbeitung(en) zu ermitteln und die (Anzahl der) Verstöße anhand von Art. 83 Abs. 3 DSGVO zu ermitteln und zu klassifizieren.
- Sodann ist die Ausgangshöhe der Geldbuße, sog. Starting Point (Art. 83 Abs. 4 bis Abs. 6 DSGVO), und die Schwere des Verstoßes unter Berücksichtigung des vorangegangenen Jahresumsatzes des Unternehmens zu bestimmen. Die Ausgangshöhe bemisst sich nach den folgenden Kriterien: der Einordnung der Tat anhand der verletzten Norm, der Schwere der konkreten Tat und anhand des Unternehmensumsatzes. Die Ausgangshöhe soll bei leichten Verstößen zwischen 0 % und 10 %, bei mittleren Verstößen zwischen 10 % und 20 % und bei schweren Verstößen zwischen 20 % bis 100 % des Maximalrahmens der jeweiligen Geldbußen liegen. Abhängig vom Umsatz des Unternehmens und der Schwere der Verletzung ist sodann eine weitere Anpassung des Grundbetrags durch die Aufsichtsbehörden möglich. Die Leitlinien enthalten hierzu Umsatzschwellen, bei denen jeweils eine prozentuale Anpassung des Grundbetrags von den Aufsichtsbehörden in Erwägung gezogen werden kann.
- Weiterhin sind mildernde oder erschwerende Umstände des Einzelfalls heranzuziehen und eine entsprechende Erhöhung oder Herabsetzung der Höhe der Geldbuße vorzunehmen.
- Sodann sind die relevanten Höchstbeträge für den oder die in Rede stehenden Verstoß/Verstöße zu ermitteln.
- Zuletzt ist zu prüfen, ob die sich aus den Schritten 1-4- errechnete Geldbuße wirksam, abschreckend und verhältnismäßig i. S. d. Art. 83 Abs. 1 DSGVO ist. Andernfalls sind entsprechende Anpassungen der ermittelten Höhe der Geldbuße vorzunehmen.