Bußgelder und Schadensersatzansprüche aufgrund von Daten ... / 3.1.2 Bußgeldzumessung

Die Höhe eines etwaigen Bußgeldes wegen Datenschutzverstößen richtet sich nach Art. 83 DSGVO. Je nach Verstoß kann ein Bußgeld bis zu 10 Mio. EUR oder bis zu 2 % des weltweiten Jahresumsatzes (je nachdem, welcher der Beträge höher ist) oder sogar bis zu 20 Mio. EUR oder bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres des Unternehmens (je nachdem, welcher der Beträge höher ist) betragen.

Der EuGH hat sich in o. g. Entscheidung^[1] ein Stück weit überraschend auch zum Begriff des "Unternehmens" im Sinne von Art. 83 DSGVO verhalten. Der EuGH entschied diesbezüglich, dass für die Bemessung der Geldbuße bei Konzernunternehmen der Konzernumsatz und nicht der Umsatz der einzelnen Gesellschaft maßgeblich sei (Rn. 59). Hintergrund dieser Entscheidung war die Vorschrift des Art. 83 DSGVO, nach der sich die Höhe des Bußgeldes "im Fall eines Unternehmens" nach dessen Jahresumsatz bemisst. Diesbezüglich war es zuvor rege umstritten gewesen, ob mit diesem Begriff des "Unternehmens" in Art. 83 DSGVO die einzelne juristische Person (innerhalb eines Konzerns) gemeint ist oder ob der wirtschaftliche Unternehmensbegriff gemäß Art. 101, 102 AEUV heranzuziehen ist, der auf die jeweilige Unternehmensgruppe abstellt. Dies entschied der EuGH mithin zugunsten der letztgenannten Auffassung. Der EuGH betonte gleichzeitig auch, dass der wirtschaftliche Unternehmensbegriff nur im Rahmen der Geldbußenverhängung relevant sei.

In Bezug auf die Zumessung des konkreten Bußgeldes im Einzelfall führt Art. 83 Abs. 2 S. 2 DSGVO einige Kriterien auf, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Fall "gebührend" zu berücksichtigen sind. Relevant sind danach, insbesondere tatbezogene Kriterien, wie

• Art, Schwere und Dauer des Verstoßes,
• die Z...