Gemäß der Pressemitteilung Nr. 184/2023 des EuGH kann lediglich ein schuldhafter Verstoß gegen die Datenschutz-Grundverordnung zur Verhängung einer Geldbuße führen. Sofern der Adressat der Geldbuße zu einem Konzern gehört, bemisst sich nach dem EuGH die Geldbuße nach dem Jahresumsatz des Konzerns. Die vorlegenden Gerichte wandten sich an den EuGH mit dem Ersuchen, die DSGVO auszulegen. Dies mit Blick auf die Möglichkeit nationaler Aufsichtsbehörden, Verstöße gegen diese Verordnung durch Verhängung einer Geldbuße gegen den für die Datenverarbeitung Verantwortlichen zu ahnden. Der EuGH entschied (Urteile vom 5.12.2023 – C-683/21 und C-807/21, BB 2023, 2956 ff.), dass gegen einen für die Datenverarbeitung Verantwortlichen nur dann eine Geldbuße wegen Verstoßes gegen die DSGVO verhängt werden kann, wenn dieser Verstoß schuldhaft – also vorsätzlich oder fahrlässig – begangen wurde. Dies sei dann der Fall, wenn sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Bestimmungen der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, sei es nicht erforderlich, dass der Verstoß von ihrem Leitungsorgan begangen wurde oder dieses Organ Kenntnis davon hatte. Vielmehr haftet eine juristische Person sowohl für Verstöße, die von ihren Vertretern, Leitungspersonen, Geschäftsführern oder gegebenenfalls auch von einem Auftragsverarbeiter durchgeführt wurden. Zur gemeinsamen Verantwortlichkeit von zwei oder mehr Einrichtungen führt der EuGH aus, dass diese sich allein daraus ergebe, dass die Einrichtungen an der Entscheidung über die Zwecke und Mittel der Verarbeitung mitgewirkt haben. Eine förmliche Vereinbarung ist nicht erforderlich. Eine gemeinsame Entscheidung oder übereinstimmende Entscheidungen reichen aus, wobei etwaig die jeweiligen Pflichten festgelegt werden müssen. Bei der Bemessung der Geldbuße müsse sich die Aufsichtsbehörde, wenn der Adressat ein Unternehmen ist oder zu einem Unternehmen gehört, auf den wettbewerbsrechtlichen Begriff “Unternehmen” stützen. Der Höchstbetrag der Geldbuße sei daher auf der Grundlage eines Prozentsatzes des gesamten Jahresumsatzes zu berechnen, den das betreffende Unternehmen als Ganzes im vorangegangenen Geschäftsjahr weltweit erzielt hat.

Prof. Dr. Christian Pelke, Ressortleiter Arbeitsrecht