Der Unternehmensbegriff des Art. 83 DS-GVO

EuGH, Urteil vom 13.02.2025, Rechtssache C-383/23

Eine Case Note von Prof. Dr. Eva Ghazari-Arndt, LL.M.*

Hier klicken um die PDF einzusehen.

Das Sanktionssystem der Datenschutz-Grundverordnung (DS-GVO) bildet einen zentralen Bestandteil der unionsweiten Durchsetzung datenschutzrechtlicher Verstöße. Mit Art. 83 DS-GVO hat der europäische Gesetzgeber ein Instrument geschaffen, das Aufsichtsbehörden befähigt, wirksame verhältnismäßige und abschreckende Geldbußen gegen Verantwortliche und Auftragsverarbeiter zu verhängen. Dabei knüpft die Vorschrift an den Begriff des „Unternehmens“ an, ohne diesen jedoch eigenständig zu definieren. Dies wirft daher grundlegende Fragen zur Auslegung und Anwendung des unionsrechtlichen Unternehmensbegriffs im Kontext der DS-GVO auf. Im Zentrum des vorliegenden Urteils des Europäischen Gerichtshofes (EuGH) steht daher die Frage, ob für die Bemessung der nach Art. 83 Abs. 4 bis 6 DS-GVO möglichen Geldbußen auf den Umsatz der konkreten juristischen Person (Tochtergesellschaft) oder auf den Gesamtumsatz der wirtschaftlichen Einheit – also des Konzerns (Muttergesellschaft) – abzustellen ist. Die Entscheidung berührt grundlegende Fragen der unionsrechtlichen Begriffsharmonisierung und der effektiven Durchsetzung des europäischen Datenschutzrechts.

Sachverhalt, Verfahrensverlauf und Vorlagefrage   

Die ILVA A/S, eine dänische Möbelhauskette, ist Teil der Lars Larsen Group, deren Konzernumsatz im Geschäftsjahr 2016/2017 rund 6,57 Mrd. dänische Kronen (DKK) (ca. 881 Mio. EUR) betrug. Der Umsatz von ILVA allein belief sich im selben Zeitraum auf ca. 1,8 Mrd. DKK (ca. 241 Mio. EUR). ILVA wurde vor dänischen Gerichten angeklagt, im Zeitraum von Mai 2018 bis Januar 2019 gegen die datenschutzrechtlichen Verpflichtungen als Verantwortliche im Sinne der DS-GVO verstoßen zu haben. Konkret ging es um die unrechtmäßige Speicherung personenbezogener Daten von mindestens 350.000 ehemaligen Kunden. Auf Empfehlung der dänischen Datenschutzbehörde (Datatilsyn) beantragte die Staatsanwaltschaft daher die Verhängung einer Geldbuße i. H. v. 1,5 Mio. DKK (ca. 201.000 EUR), wobei sie sich bei der Bemessung nicht am Umsatz von ILVA, sondern am Gesamtumsatz der Lars Larsen Group orientierte.

Das Gericht Aarhus Dänemark (Ret i Aarhus) verurteilte ILVA am 12.02.2021 zu einer Geldbuße von 100.000 DKK (ca. 13.400 EUR), da es lediglich von fahrlässigem Verhalten ausging und für die Bemessung der Geldbuße ausschließlich auf den Umsatz von ILVA abstellte. Das Gericht argumentierte, ILVA sei die allein Angeklagte und übe eine eigenständige Einzelhandelstätigkeit aus und sei nicht lediglich als konzerninterne Funktionseinheit zur Datenverarbeitung gegründet worden.

Gegen dieses Urteil legte die Staatsanwaltschaft beim vorlegenden Landgericht für Westdänemark (Vestre Landsret) Berufung ein. Sie machte geltend, dass bei der Auslegung des Begriffs „Unternehmen“ im Sinne von Art. 83 Abs. 4 bis 6 DS-GVO auch mit Blick auf den 150. Erwägungsgrund der DS-GVO auf den unionsrechtlichen Unternehmensbegriff gem. Art. 101 und 102 AEUV abzustellen sei. Dementsprechend sei bei der Festsetzung einer Geldbuße auf den Umsatz des gesamten Konzerns abzustellen, dem das verstoßende Unternehmen angehört. ILVA hingegen hielt dem entgegen, dass für die Bemessung der Geldbuße nur der Umsatz der konkret angeklagten juristischen Person relevant sei.

Das vorlegende Gericht sah in der DS-GVO keine eindeutige Reglung dieser Frage und legte die Angelegenheit dem EuGH zur Vorabentscheidung vor. Das Gericht möchte wissen, ob der Begriff „Unternehmen“ in Art. 83 DS-GVO im wettbewerbsrechtlichen Sinne als wirtschaftliche Einheit zu verstehen ist und ob bei der Bemessung von Geldbußen der Umsatz des gesamten Konzerns oder nur der Umsatz der verstoßenden Gesellschaft maßgeblich ist.

Kernaussagen des Urteils

Bei der Beantwortung der Vorlagefrage knüpft der EuGH an seine Rechtsprechung in der Rechtssache Deutsche Wohnen SE[1] an und stellt klar, dass der Unternehmensbegriff im Sinne der Art. 101 und 102 AEUV für die Frage, ob eine Geldbuße nach Art. 83 DS-GVO verhängt werden kann, unerheblich ist, da diese Voraussetzung abschließend in der DS-GVO geregelt ist. Relevanz entfaltet dieser Begriff allein im Rahmen der Bemessung der Bußgeldobergrenze nach Art. 83 Abs. 4 bis 6 DS-GVO. In diesem Zusammenhang ist unter „Unternehmen“ die gesamte wirtschaftliche Einheit zu verstehen, unabhängig von der rechtlichen Struktur der beteiligten juristischen Personen. Die Bußgeldobergrenze bemisst sich daher – sofern ein solcher Verbund vorliegt – auf Grundlage des weitweiten Jahresumsatzes des Konzerns. Davon zu trennen ist die konkrete Bußgeldhöhe, die im Einzelfall nach den Kriterien des Art. 83 Abs. 2 DS-GVO festzusetzen ist. Diese sind etwa Art, Schwere und Dauer des Verstoßes, die Anzahl betroffener Personen, das Ausmaß des erlittenen Schadens, den Grad des Verschuldens sowie die ergriffenen Abhilfemaßnahmen. Diese Kriterien gewährleisten eine differenzierte Sanktionierung und dienen dem Ziel, jede Geldbuße wirksam, verhältnismäßig und abschreckend im Sinne von Art. 83 Abs. 1 DS-GVO auszugestalten.[2] Zudem betont der EuGH, dass die vorgenannten Bewertungskriterien zwar formal nicht an den Unternehmensbegriff anknüpfen, die tatsächliche wirtschaftliche Leistungsfähigkeit des Adressaten gleichwohl zu berücksichtigen sei. Gehört der Verantwortliche einer wirtschaftlichen Einheit im Sinne der Art. 101 und 102 AEUV an, so ist dies für die Prüfung der Verhältnismäßigkeit der Sanktion im Einzelfall durchaus relevant. Der EuGH führte des Weiteren aus, dass die vorgenannten Grundsätze auch dann gelten, wenn – wie im Fall Dänemarks – Geldbußen nicht administrativ, sondern strafgerichtlich verhängt werden. Der EuGH verweist insoweit auf Art. 83 Abs. 9 DS-GVO sowie den 151. Erwägungsgrund der DS-GVO und macht deutlich, dass auch in solchen Fällen die verhängte Geldbuße wirksam, verhältnismäßig und abschreckend sein muss.

Einordnung und Bewertung

Das vorliegende Urteil des EuGH markiert einen wichtigen Beitrag zur Effektivierung des Datenschutzrechts. Die zentrale Bedeutung dieser Rechtsprechung liegt vor allem darin, dass der Unternehmensbegriff im Rahmen von Art. 83 Abs. 4 bis 6 DS-GVO im Lichte des EU-Wettbewerbsrechts verstanden wird. Mit dieser Übertragung stärkt der EuGH die Effektivität unionsrechtlicher Normen und verhindert, dass Konzerne durch strategische Aufteilung ihrer Tätigkeiten auf formell selbständige Einheiten eine Abschwächung der Sanktionen erreichen.

Das Urteil überzeugt auch in seiner Differenzierung zwischen der Obergrenze der Geldbuße, die sich am Konzernumsatz bemisst, und der konkreten Bemessung der Geldbuße, die anhand der in Art. 83 Abs. 2 DS-GVO genannten Kriterien einzelfallbezogen zu erfolgen hat. Diese Trennung sichert nicht nur die unionsrechtlich geforderte Abschreckungswirkung, sondern wahrt auch das Prinzip der Verhältnismäßigkeit. Besonders hervorzuheben ist hierbei, dass der EuGH die wirtschaftliche Leistungsfähigkeit des Adressaten als maßgeblichen Gesichtspunkt in die Verhältnismäßigkeitsprüfung integriert und somit eine materiellrechtlich den tatsächlichen Umständen entsprechende Auslegung vorgibt. 

Ein weiterer wichtiger Aspekt der Entscheidung liegt in der Bestätigung, dass diese Grundsätze auch für die strafrechtliche Sanktionierung durch nationale Gerichte gelten. Der EuGH macht deutlich, dass auch dort, wo das nationale Recht keine administrativen Geldbußen vorsieht, die Mitgliedstaaten dennoch verpflichtet sind, gleichwertige, effektive und abschreckende Sanktionen vorzusehen. Art. 83 Abs. 9 DS-GVO gewährleistet in Verbindung mit dem 151. Erwägungsgrund die Funktionsfähigkeit des Sanktionsmechanismus auch unter national-rechtlichen Besonderheiten.[3] Dies ist Ausdruck der normativen Flexibilität bei gleichzeitiger Wahrung der unionsrechtlichen Effektivität.

Insgesamt unterstreicht der EuGH mit der vorliegenden Entscheidung einmal mehr, dass unionsrechtliche Begriffe und Prinzipien nicht isoliert, sondern im systematischen Zusammenhang des europäischen Rechtgefüges verstanden werden und einer kontextbezogenen, kohärenten Auslegung im Rahmen des Unionsrechts bedürfen.

Fazit und Ausblick

Mit seinem vorliegenden Urteil hat der EuGH ein deutliches Signal für eine effektive und einheitliche Durchsetzung der DS-GVO gesetzt. Damit stärkt die Entscheidung nicht nur das europäische Datenschutzrecht, sondern trägt zur Weiterentwicklung des Unionsrechts bei. Für die Zukunft lässt sich festhalten, dass diese Rechtsprechung dazu beitragen kann, dass auch andere Rechtsbereiche mit sanktionsrechtlichen Bezügen eine einheitlichere und wirksamere Anwendung erfahren, indem zentrale Begriffe wie der des „Unternehmens“ unionsweit funktional verstanden werden. Insofern kann die vorliegende Entscheidung auch als Referenzentscheidung für ein europäisches Sanktionsverständnis gelesen werden.  

---

*Prof. Dr. Eva Ghazari-Arndt, LL.M. hat seit Januar 2025 die Professur für Recht an der Hochschule der DGUV übernommen und ist in der Lehre u.a. auf dem Rechtsgebiet des Staats- und Verfassungsrechts, inkl. des Europarechts tätig. Ihren Forschungsschwerpunkt hat sie im Bereich des Datenschutzrechts.

[1] EuGH, Urteil vom 05.12.2023, Rechtssache C-807/21.

[2] Vgl. Ehmann/Selmayr/Nemitz, Datenschutz-Grundverordnung, 2024, Art. 83 Rn. 21 f.

[3] Vgl. Paal/Pauly/Frenzel, DS-GVO, BDSG, 2021, Art. 83 Rn. 30.

Zitiervorschlag: Ghazari-Arndt, Eva, Der Unternehmensbegriff des Art. 83 DS-GVO – EuGH, Urteil vom 13.02.2025, Rechtssache C-383/23, jean-monnet-saar 2025.

Gefördert durch die Deutsche Forschungsgemeinschaft (DFG) – Projektnummer: 525576645