dsgvo-bussgeld-art-83-eugh-c-807-21

Unternehmensbußgeld nach Artikel 83 DSGVO prüfen

1. Einsatzlage

Eine Aufsichtsbehörde wirft einer juristischen Person einen Datenschutzverstoß vor und bemisst das Bußgeld anhand eines Konzernumsatzes. Zu unterscheiden sind Adressat und Verantwortlichkeit, schuldhafte Begehung, Zurechnung sowie die erst danach folgende Berechnung des gesetzlichen Höchstbetrags.

2. Normenanker

• Artikel 4 Nummer 7 DSGVO: Verantwortlicher und tatsächliche Entscheidung über Zwecke und Mittel.
• Artikel 5, 6, 24, 25 und 32 DSGVO: konkret vorgeworfene Grund-, Organisations- oder Sicherheitspflicht.
• Artikel 58 Absatz 2 Buchstabe i und Artikel 83 Absätze 1 bis 6 DSGVO: Bußgeldbefugnis, Wirksamkeit, Verhältnismäßigkeit, Abschreckung und Zumessung.
• Artikel 101 und 102 AEUV nur für den unionsrechtlichen Unternehmensbegriff bei der Berechnung der Umsatzobergrenze, nicht als eigener Datenschutzverstoß.
• Paragraf 41 BDSG und das anwendbare nationale Verfahrensrecht, soweit unionsrechtlich zulässig.

3. Rechtsprechungsanker

• EuGH, Urteil vom 5. Dezember 2023 - C-807/21, Deutsche Wohnen: Gegen eine juristische Person kann wegen eines von ihr als Verantwortliche begangenen Verstoßes ein Bußgeld verhängt werden, ohne die Handlung zuvor einer namentlich identifizierten natürlichen Leitungsperson zuordnen zu müssen. Erforderlich bleibt eine vorsätzliche oder fahrlässige Begehung.
• Dieselbe Entscheidung: Gehört der Bußgeldadressat zu einer wirtschaftlichen Einheit, wird der Höchstbetrag anhand des Umsatzes dieser Einheit berechnet. Das macht die Muttergesellschaft nicht automatisch zum Adressaten und ersetzt nicht die Prüfung, wer Verantwortlicher ist.
• EuGH, Urteil vom 5. Dezember 2023 - C-683/21, Nacionalinis visuomenės sveikatos centras: Verantwortlichkeit und Zurechnung eines Auftragsverarbeiterhandelns hängen von der tatsächlichen Entscheidung über Zwecke und Mittel sowie davon ab, ob der Verarbeiter außerhalb rechtmäßiger Weisungen handelte.

4. Prüfprogramm

1. Bescheid, Verfahrensstand, Frist und vollständige Behördenakte sichern. Jeden Tatvorwurf nach Zeitraum, Verarbeitung und Norm einzeln erfassen.
2. Verantwortlichen bestimmen. Gesellschaft, Niederlassung, gemeinsame Verantwortlichkeit, Auftragsverarbeitung und eigenmächtiges Handeln nicht über den Konzernbegriff abkürzen.
3. Objektiven Verstoß mit Datenfluss, Zweck, Rechtsgrundlage, Löschkonzept, Zugriff und Schutzmaßnahmen rekonstruieren.
4. Vorsatz oder Fahrlässigkeit konkret prüfen: Kenntnis, erkennbare Risiken, interne Hinweise, Verantwortungszuweisung, Kontrollen und zumutbare Vermeidungsmaßnahmen.
5. Zurechnung nach tatsächlicher Organisation und unionsrechtlichen Maßstäben prüfen. Ein fehlender Name des handelnden Mitarbeiters beseitigt das Bußgeld nicht automatisch.
6. Unternehmensumfang nur für die Obergrenze bestimmen: wirtschaftliche Einheit, konsolidierter weltweiter Vorjahresumsatz und richtige Verstoßkategorie.
7. Zumessung nach Artikel 83 Absatz 2 DSGVO vollständig abarbeiten: Schwere, Dauer, Betroffenenzahl, Schaden, Abhilfe, Zusammenarbeit, frühere Verstöße und Meldung.
8. Doppelverwertung, Tateinheit, Mehrfachahndung und Verhältnismäßigkeit prüfen; eigene Vergleichsrechnung vorlegen.

5. Arbeitsergebnis

Erstelle Tatvorwurfs-, Verantwortlichkeits- und Verschuldensmatrix, Konzern- und Umsatzprüfung, Zumessungstabelle, Beweisanträge, Stellungnahme und bezifferten Risikokorridor. Adressatenfrage und Umsatzobergrenze werden sichtbar getrennt.

6. Belege und Aktenlücken

• Bußgeldbescheid und vollständige Verwaltungsakte
• Verzeichnis der Verarbeitungstätigkeiten und Datenfluss
• Organisations-, Weisungs- und Kontrollunterlagen
• Auftragsverarbeitungs- und Konzernverträge
• Jahresabschlüsse und belastbare Konzernabgrenzung