Europäischer Gerichtshof Schlussanträge der Generalanwältin vom 12.09.2024 – C-383/23

SCHLUSSANTRÄGE DER GENERALANWÄLTIN LAILA MEDINA vom 12. September 2024 ( Rechtssache C‑383/23 Anklagemyndigheden gegen ILVA A/S (Vorabentscheidungsersuchen des Vestre Landsret [Landgericht für Westdänemark, Dänemark]) „Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 83 – Geldbußen – Andere Geldbußen als verwaltungsrechtliche Sanktionen – Begriff ‚Unternehmen‘ – Art. 101 und 102 AEUV – Muttergesellschaft und Tochtergesellschaft – Verstoß gegen die Verordnung 2016/679 durch eine Tochtergesellschaft – Berechnung des Betrags der Geldbuße – Berücksichtigung des Gesamtumsatzes der Gruppe, der das betreffende Unternehmen angehört – Strafverfahren“

1 Mit diesem Vorabentscheidungsersuchen des Vestre Landsret (Landgericht für Westdänemark, Dänemark) wird um Auslegung von Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 ersucht (

2 In dieser Sache geht es darum, ob der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO im Licht des 150. Erwägungsgrundes der DSGVO dahin auszulegen ist, dass er dem Begriff „Unternehmen“ im Wettbewerbsrecht der Union (Art. 101 und 102 AEUV) entspricht. Damit stellt sich die Frage, ob es angemessen ist, bei der Verhängung einer Geldbuße gegen eine Gesellschaft wegen Verstoßes gegen die DSGVO auf den gesamten Jahresumsatz der wirtschaftlichen Einheit (oder Gruppe), der die gegen die DSGVO verstoßende Gesellschaft angehört, und nicht lediglich auf den gesamten Jahresumsatz der betreffenden Gesellschaft selbst abzustellen.

3 Die Besonderheit des vorliegenden Falls liegt darin, dass im Ausgangsverfahren die Geldbuße nicht von der nationalen Aufsichtsbehörde für Datenschutz im Rahmen ihrer Aufsichtsbefugnisse verhängt wurde, sondern von einem Gericht in einem Strafverfahren. Dies beruht auf einer vom Unionsgesetzgeber in die DSGVO aufgenommenen Sonderregelung, die insbesondere in Dänemark Anwendung findet. I. Rechtlicher Rahmen A. Unionsrecht

4 Die Erwägungsgründe 150 und 151 der DSGVO lauten: „(150) Um die verwaltungsrechtlichen Sanktionen bei Verstößen gegen diese Verordnung zu vereinheitlichen und ihnen mehr Wirkung zu verleihen, sollte jede Aufsichtsbehörde befugt sein, Geldbußen zu verhängen. In dieser Verordnung sollten die Verstöße sowie die Obergrenze der entsprechenden Geldbußen und die Kriterien für ihre Festsetzung genannt werden, wobei diese Geldbußen von der zuständigen Aufsichtsbehörde in jedem Einzelfall unter Berücksichtigung aller besonderen Umstände und insbesondere der Art, Schwere und Dauer des Verstoßes und seiner Folgen sowie der Maßnahmen, die ergriffen worden sind, um die Einhaltung der aus dieser Verordnung erwachsenden Verpflichtungen zu gewährleisten und die Folgen des Verstoßes abzuwenden oder abzumildern, festzusetzen sind. Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff ‚Unternehmen‘ im Sinne der Artikel 101 und 102 AEUV verstanden werden. … (151) Nach den Rechtsordnungen Dänemarks und Estlands sind die in dieser Verordnung vorgesehenen Geldbußen nicht zulässig. Die Vorschriften über die Geldbußen können so angewandt werden, dass die Geldbuße in Dänemark durch die zuständigen nationalen Gerichte als Strafe und in Estland durch die Aufsichtsbehörde im Rahmen eines Verfahrens bei Vergehen verhängt wird, sofern eine solche Anwendung der Vorschriften in diesen Mitgliedstaaten die gleiche Wirkung wie die von den Aufsichtsbehörden verhängten Geldbußen hat. Daher sollten die zuständigen nationalen Gerichte die Empfehlung der Aufsichtsbehörde, die die Geldbuße in die Wege geleitet hat, berücksichtigen. In jede[m] Fall sollten die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein.“

5 Art. 83 DSGVO („Allgemeine Bedingungen für die Verhängung von Geldbußen“) bestimmt: „(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. (2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt: … (3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß. (4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10000000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: … (5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20000000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: … (6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20000000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist. … (8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen. …“ B. Nationales Recht

6 Das Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Gesetz Nr. 502 vom 23. Mai 2018 zur Ergänzung der Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) bestimmt in § 41: „[Unterabs. 1.] Soweit nicht aufgrund anderer Vorschriften eine höhere Strafe gerechtfertigt ist, kann mit einer Geldbuße oder einer Freiheitsstrafe von bis zu sechs Monaten bestraft werden, wer verstößt gegen: … (4) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Art. 5 bis 7 und 9 [DSGVO], … Unterabs. 3. Bei Verhängung von Sanktionen gemäß den Unterabs. 1 und 2 ist Art. 83 Abs. 2 [DSGVO] einzuhalten. … Unterabs. 6. Unternehmen und weitere (juristische Personen) können gemäß den Vorschriften in Kapitel 5 des dänischen Strafgesetzbuchs strafrechtlich zur Verantwortung gezogen werden. …“ II. Sachverhalt des Ausgangsrechtsstreits und Vorlagefragen

7 ILVA ist vor dänischen Gerichten angeklagt, vom Mai 2018 bis Januar 2019 ihre Verpflichtungen als Verantwortlicher aus Art. 5 Abs. 1 Buchst. e, Art. 5 Abs. 2 und Art. 6 DSGVO in Bezug auf die Aufbewahrung personenbezogener Daten ihrer früheren Kunden nicht erfüllt zu haben.

8 ILVA betreibt eine Möbelhauskette und ist Teil der Lars Larsen Group (im Folgenden: Gruppe). Der Gesamtumsatz der Gruppe belief sich im Geschäftsjahr 2016/2017 auf 6,57 Mrd. Dänische Kronen (DKK) (etwa 881 Mio. Euro). Der darin enthaltene Umsatz der Tochtergesellschaft ILVA belief sich auf 1,8 Mrd. DKK (etwa 241 Mio. Euro).

9 Auf Empfehlung der Datatilsyn (im Folgenden: Datenschutzbehörde, Dänemark; dies ist die dänische Datenschutzbehörde bzw. die Aufsichtsbehörde im Sinne der DSGVO) forderte die Staatsanwaltschaft, eine Geldbuße in Höhe von 1,5 Mio. DKK (etwa 201000 Euro) gegen ILVA zu verhängen. Der umsatzbezogene Rahmen für die Berechnung des Betrags dieser Geldbuße stellt nicht auf den Umsatz von ILVA ab, sondern auf den Gesamtumsatz der gesamten Gruppe.

10 Mit Urteil vom 12. Februar 2021 befand das Ret i Aarhus (Gericht Aarhus, Dänemark) ILVA für schuldig im Sinne der Anklage, stellte jedoch – entgegen dem von der Staatsanwaltschaft erhobenen Vorwurf – fest, dass ILVA fahrlässig gehandelt habe. Das Gericht verurteilte ILVA zur Zahlung einer Geldbuße in Höhe von 100000 DKK (etwa 13400 Euro). Da die Anklage lediglich gegen ILVA und nicht gegen die gesamte Gruppe erhoben worden sei, sei es, so das Gericht, zudem nicht erforderlich, für die Berechnung der Geldbuße auf den Umsatz der gesamten Gruppe abzustellen. Zudem habe ILVA unabhängigen Einzelhandel betrieben und die Gruppe habe die Tochtergesellschaft nicht allein zu dem Zweck, die personenbezogenen Daten der Gruppe zu verwalten, gegründet.

11 Gegen dieses Urteil legte die Staatsanwaltschaft Berufung ein zum vorlegenden Gericht, dem Vestre Landsret (Landgericht für Westdänemark). Das Gericht möchte wissen, ob der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO dahin zu verstehen ist, dass für die Festsetzung von Geldbußen wegen Verstoßes einer Gesellschaft gegen die DSGVO auf den Umsatz der Gruppe, der die betreffende Gesellschaft angehört, abzustellen ist.

12 Die Staatsanwaltschaft ist der Ansicht, dass dies der Fall sei. Aus dem 150. Erwägungsgrund der DSGVO folge, dass dieser Begriff im Sinne der Art. 101 und 102 AEUV zu verstehen sei.

13 ILVA ist dagegen der Meinung, dass bei der Festsetzung von Geldbußen wegen Verstoßes eines Unternehmens gegen die DSGVO nicht auf den Gesamtumsatz der Unternehmensgruppe, zu der die Gesellschaft gehöre, abzustellen sei. In diesem konkreten Fall richte sich die Anklage nur gegen ILVA, bei der es sich um eine Tochtergesellschaft handele, und nicht gegen die Muttergesellschaft.

14 Das vorlegende Gericht meint, dass sich aus der DSGVO keine eindeutige Antwort auf diese Frage ergebe.

15 Unter diesen Umständen hat das Vestre Landsret (Landgericht für Westdänemark) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen: 1. Ist der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO als ein Unternehmen im Sinne der Art. 101 und 102 AEUV in Verbindung mit dem 150. Erwägungsgrund der DSGVO und der Rechtsprechung des Gerichtshofs der Europäischen Union im Bereich des Wettbewerbsrechts der Union zu verstehen, so dass der Begriff „Unternehmen“ jede Einheit erfasst, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von der Rechtsstellung dieser Einheit und der Art und Weise, in der sie finanziert wird? 2. Falls die erste Frage zu bejahen ist: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass bei der Verhängung einer Geldbuße gegen ein Unternehmen der gesamte weltweit erzielte Jahresumsatz der wirtschaftlichen Einheit, zu der das Unternehmen gehört, zu berücksichtigen ist oder nur der gesamte weltweit erzielte Jahresumsatz des Unternehmens selbst? III. Verfahren vor dem Gerichtshof

16 ILVA und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Am 19. Juni 2024 fand eine mündliche Verhandlung statt, in der beide Parteien vertreten waren. IV. Würdigung A. Einleitung

17 Die besonderen Bestimmungen der DSGVO, die im vorliegenden Fall relevant sind ( B. Zu den Vorlagefragen

18 Meines Erachtens ist es sinnvoll, die beiden Fragen zusammen zu prüfen. Mit diesen Fragen möchte das vorlegende Gericht im Wesentlichen wissen, ob der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO im Licht des 150. Erwägungsgrundes dieser Verordnung dahin auszulegen ist, dass er dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht. Damit stellt sich die Frage, ob bei der Verhängung einer Geldbuße gegen eine Gesellschaft wegen Verstoßes gegen die DSGVO der gesamte Jahresumsatz des Gesamtunternehmens (d. h. der wirtschaftlichen Einheit oder Gruppe, in diesem Fall der Lars Larsen Group, also etwa 881 Mio. Euro), zu der die gegen die DSGVO verstoßende Gesellschaft gehört ( 1. Das Urteil in der Rechtssache Deutsche Wohnen

19 Art. 83 DSGVO bildet die Rechtsgrundlage für die Verhängung von Geldbußen wegen Verstößen gegen die genannte Verordnung. Die DSGVO enthält keine für Durchsetzungszwecke vorgesehene Bestimmung des Begriffs „Unternehmen“, doch im 150. Erwägungsgrund der Verordnung heißt es, dass der Begriff „Unternehmen“ im Sinne der Grundsätze des Wettbewerbsrechts der Union ausgelegt werden sollte (

20 Der Gerichtshof hatte jüngst Gelegenheit, einige (jedoch nicht sämtliche) Absätze von Art. 83 DSGVO auszulegen und auf einige Punkte einzugehen, mit denen die Vorlagefragen in dieser Rechtssache im Zusammenhang stehen.

21 Im Urteil in der Rechtssache Deutsche Wohnen (

22 Der Gerichtshof hat klargestellt, dass für den Höchstbetrag für die Geldbuße auf den gesamten weltweit erzielten Jahresumsatz (

23 Art. 83 Abs. 4 bis 6 DSGVO ist nämlich Art. 23 Abs. 2 der Verordnung (EG) Nr. 1/2003 (

24 Der Gerichtshof hat seine Argumentation weiterentwickelt und ist auf die Voraussetzungen eingegangen, die für die Festsetzung des Betrags der Geldbuße gelten. Im Urteil in der Rechtssache Deutsche Wohnen (Rn. 58) hat der Gerichtshof ausgeführt, dass „nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten von der Aufsichtsbehörde unter Zugrundelegung des Begriffs der wirtschaftlichen Einheit im Sinne der … angeführten Rechtsprechung[ (

25 Des Weiteren hat der Gerichtshof in Rn. 59 des genannten Urteils ausgeführt, dass „eine Aufsichtsbehörde, wenn sie aufgrund ihrer Befugnisse nach Art. 58 Abs. 2 DSGVO beschließt, gegen einen Verantwortlichen, der ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, eine Geldbuße gemäß Art. 83 DSGVO zu verhängen, nach Art. 83 im Licht des 150. Erwägungsgrundes der DSGVO verpflichtet [ist], bei der Berechnung der Geldbußen für die in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße den Begriff ‚Unternehmen‘ im Sinne der Art. 101 und 102 AEUV zugrunde zu legen“ (

26 Ich gelange zu dem Schluss, dass aus dem Urteil in der Rechtssache Deutsche Wohnen folgt, dass in Fällen, in denen der Verstoß gegen die DSGVO von einem Verantwortlichen oder Auftragsverarbeiter begangen wird, der ein Unternehmen ist (oder einem solchen angehört), bei der Errechnung des Höchstbetrags für die Geldbuße die Bezugnahme auf den gesamten weltweit erzielten Jahresumsatz des „Unternehmens“ im Sinne der Art. 101 und 102 AEUV verstanden wird. Allerdings wird damit nicht lediglich die Frage des Höchstbetrags für die Geldbuße, die potenziell gegen den betreffenden Verantwortlichen oder Auftragsverarbeiter verhängt werden kann, geklärt. Vielmehr wird damit auch die höchst nuancierte (und recht fallspezifische) Rechtsprechung zu den Begriffen „Unternehmen“ und „wirtschaftliche Einheit“ in gewissem Maße relevant, nämlich für die Bestimmung der Voraussetzungen für die Festsetzung der tatsächlichen Geldbuße, die für den betreffenden Verstoß gegen die DSGVO verhängt wird.

27 Im Folgenden werde ich die Auswirkungen der Deutsche-Wohnen-Rechtsprechung im spezifischen Kontext des vorliegenden Falls untersuchen, um einen Rahmen vorzuschlagen, der dem vorlegenden Gericht Orientierung für die Festsetzung der Geldbuße gegen ILVA bieten dürfte. 2. Erster Prüfungsschritt nach dem Urteil in der Rechtssache Deutsche Wohnen: allgemeine Prüfung zur Festlegung des Höchstbetrags für die Geldbuße

28 Wie oben in den Nrn. 25 und 26 ausgeführt, folgt aus dem Wortlaut von Art. 83 DSGVO, wenn man ihn im Licht des 150. Erwägungsgrundes dieser Verordnung liest, und aus der Deutsche-Wohnen-Rechtsprechung, dass in Fällen, in denen der Verantwortliche oder Auftragsverarbeiter ein „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ist (oder einem solchen angehört), für die Errechnung des Höchstbetrags für die Geldbuße auf den gesamten Umsatz des Unternehmens in seiner Gesamtheit abzustellen ist.

29 Nach der Rechtsprechung des Gerichtshofs im Bereich des Wettbewerbsrechts „umfasst der Begriff des Unternehmens jede eine wirtschaftliche Tätigkeit ausübende Einheit, unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung“ (

30 Aus der Rechtsprechung des Gerichtshofs folgt des Weiteren, dass sich der Begriff „Unternehmen“ in den Art. 101 und 102 AEUV auf eine einzige wirtschaftliche Einheit beziehen kann, selbst wenn die betreffende wirtschaftliche Einheit aus mehreren natürlichen oder juristischen Personen besteht. Ob mehrere Personen eine solche Einheit bilden, hängt weitgehend davon ab, ob die einzelne Person in ihrer Entscheidungsfindung frei ist oder ob eine führende Person, namentlich die Muttergesellschaft, bestimmenden Einfluss auf die anderen ausübt. Die Kriterien, nach denen dies zu bestimmen ist, stellen auf die wirtschaftlichen, rechtlichen und organisatorischen Bindungen zwischen der Muttergesellschaft und ihrer Tochtergesellschaft ab, z. B. den Umfang der Beteiligung, personelle oder organisatorische Bindungen, Anweisungen und das Bestehen vertraglicher Vereinbarungen zwischen den Gesellschaften (

31 Aus der Rechtsprechung wird deutlich, dass die tatsächliche Ausübung eines bestimmenden Einflusses der Muttergesellschaft auf das Verhalten der Tochtergesellschaft aus einem Bündel übereinstimmender Umstände hergeleitet werden kann, auch wenn keiner dieser Umstände für sich allein genügt, um die Existenz eines solchen Einflusses zu belegen (

32 Der ständigen Rechtsprechung ist zu entnehmen, dass in dem besonderen Fall, dass eine Muttergesellschaft das gesamte oder nahezu das gesamte Kapital ihrer Tochtergesellschaft, die gegen die Wettbewerbsregeln verstoßen hat, unmittelbar oder mittelbar hält, zum einen diese Muttergesellschaft einen bestimmenden Einfluss auf das Verhalten dieser Tochtergesellschaft ausüben kann und zum anderen eine widerlegliche Vermutung besteht, dass die Muttergesellschaft tatsächlich einen solchen Einfluss ausübt (

33 Laut Rn. 2 der Vorlageentscheidung gehört ILVA zur Lars Larsen Group. Sollte das vorlegende Gericht feststellen, dass die Muttergesellschaft dieser Gruppe bestimmenden Einfluss auf ILVA ausübt, so würde das „Unternehmen“ im Sinne von Art. 83 Abs. 5 DSGVO Folgendes umfassen: i) die Muttergesellschaft der Gruppe; ii) ILVA und iii) jegliche sonstige Gesellschaft, über die die Muttergesellschaft ebenfalls bestimmenden Einfluss ausübt. Letztere Kategorie umfasst potenziell die übrigen Gesellschaften der Lars Larsen Group.

34 Der „Umsatz“ wird in Art. 83 Abs. 4 bis 6 DSGVO ausdrücklich erwähnt („Jahresumsatz“), und zwar im Zusammenhang mit der Errechnung des Höchstbetrags für die Geldbuße, die gegen Gesellschaften verhängt werden könnte. Der Höchstbetrag betrifft sehr große Gesellschaften, da die Obergrenze keine Anwendung findet, wenn die Geldbuße unter dem in den einschlägigen drei Absätzen von Art. 83 jeweils genannten absoluten Betrag liegt, namentlich unter 10 Mio. Euro bzw. 20 Mio. Euro. Die umsatzbezogene Obergrenze ist folglich nur für Gesellschaften relevant, deren gesamter weltweit erzielter Umsatz 500 Mio. Euro übersteigt (

35 Daraus folgt, falls das vorlegende Gericht feststellen sollte, dass die Muttergesellschaft der Lars Larsen Group bestimmenden Einfluss auf ILVA ausübt, dass – abstrakt gesehen – der Höchstbetrag für die im Ausgangsverfahren zu verhängende Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des betreffenden Unternehmens, d. h. der Lars Larsen Group (der ILVA angehört), zu errechnen wäre. 3. Zweiter Prüfungsschritt nach dem Urteil in der Rechtssache Deutsche Wohnen: Prüfung zur Festsetzung der tatsächlichen Geldbuße im Ausgangsverfahren

36 Die Frage der vom Unionsgesetzgeber in Art. 83 Abs. 4 bis 6 DSGVO vorgesehenen Errechnung des Höchstbetrags für die Geldbuße darf nicht mit der anschließenden Aufgabe der Aufsichtsbehörde verwechselt oder vermengt werden, die darin besteht (tatsächliche Geldbuße zu bestimmen, die wegen eines (oder mehrerer) in Rede stehender Verstöße gegen die DSGVO zu verhängen ist.

37 Insoweit ist zunächst anzumerken, dass in Art. 83 Abs. 1 DSGVO drei Hauptvoraussetzungen (

38 Nach dem Wortlaut von Art. 83 Abs. 2 DSGVO gibt es mehrere Umstände, die „in jedem Einzelfall“ gebührend zu berücksichtigen sind, wobei es jedoch der Aufsichtsbehörde überlassen bleibt, die spezifischen Umstände, die für den ihr vorliegenden Fall von Belang sind, zu ermitteln und deren Relevanz für die Bestimmung der tatsächlichen Geldbuße festzustellen (

39 Anders als in Art. 83 Abs. 4 bis 6 DSGVO (vgl. Nr. 34 dieser Schlussanträge) wird in Art. 83 Abs. 2 – wie auch in Art. 83 Abs. 1 bzw. Art. 83 Abs. 3 – dieser Verordnung (den Umsatz des Unternehmens Bezug genommen. Folglich war es die Entscheidung des Unionsgesetzgebers, den „Umsatz“ nicht als einen für die Bestimmung der tatsächlichen Geldbuße zu berücksichtigenden spezifischen Umstand anzuführen. In Art. 83 Abs. 2 sind vielmehr andere Umstände (

40 Insoweit möchte ich darauf hinweisen, dass der Gerichtshof hervorgehoben hat, dass „eine Sanktion, selbst wenn sie keinen strafrechtlichen Charakter besitzt, nur dann verhängt werden darf, wenn sie auf einer klaren und unzweideutigen Rechtsgrundlage beruht“ (

41 Insoweit meint die Kommission im Wesentlichen, dass sich aus der DSGVO ergebe, dass im vorliegenden Fall nicht nur für den Höchstbetrag für die Geldbuße auf den Umsatz des Unternehmens, dem die Gesellschaft angehört, abzustellen sei, sondern auch für die Berechnung der tatsächlichen Geldbuße. Allerdings lassen die in den Nrn. 37 bis 40 der vorliegenden Schlussanträge aufgeführten Erwägungen den Schluss nicht zu, dass Art. 83 Abs. 1 bis 6 DSGVO dahin auszulegen wäre, dass die Regeln für die Errechnung des Höchstbetrags für die Geldbuße (erster Prüfungsschritt) auch als Haupt- oder einzige Rechtsgrundlage für die Bestimmung der tatsächlichen Geldbuße (zweiter Prüfungsschritt) angewandt werden müssten.

42 Zweitens ergibt sich aus der zwischen den beiden Rechtsbereichen geschlagenen Brücke, dass sich das Erfordernis, zwischen dem Höchstbetrag für eine Geldbuße (erster Prüfungsschritt) und der tatsächlichen Geldbuße (zweiter Prüfungsschritt) zu unterscheiden, auch aus dem Wettbewerbsrecht der Union ableiten lässt. Im Wettbewerbsrecht der Union stellt die Kommission nämlich, was den Höchstbetrag für die Geldbuße angeht, ähnlich wie in Art. 83 DSGVO auf den Umsatz ab, um den Höchstbetrag für die Geldbuße zu berechnen (der auf 10 % des Gesamtumsatzes des Unternehmens je Zuwiderhandlung festgelegt ist). Dabei ist jedoch wichtig, hervorzuheben, dass der Grundbetrag der Geldbuße selbst nicht auf der Grundlage des Umsatzes errechnet wird (

43 Vielmehr errechnet sich der Grundbetrag der Geldbuße im Wesentlichen als Prozentsatz des Werts des relevanten Umsatzes (der mit dem Wettbewerbsverstoß in einem unmittelbaren oder mittelbaren Zusammenhang steht) multipliziert mit der Dauer (Jahre oder Zeiträume von weniger als einem Jahr), zuzüglich 15 % bis 25 % des Werts des relevanten Umsatzes (als zusätzliche Abschreckung bei Kartellen). Dieser Grundbetrag der Geldbuße wird dann wegen erschwerender Umstände erhöht oder wegen mildernder Umstände ermäßigt. Der Betrag unterliegt einem Höchstbetrag von 10 % des Umsatzes (darüber hinaus besteht die Möglichkeit, die Geldbuße aufgrund einer Kronzeugenregelung, im Vergleichsverfahren oder wegen Zahlungsunfähigkeit zu ermäßigen.) Daraus wird deutlich, dass es die unmittelbar die Zuwiderhandlung charakterisierenden Umstände (etwa der relevante Umsatz, die Dauer der Zuwiderhandlung und die fallspezifischen Umstände) sind, die für die Bestimmung der tatsächlichen Geldbuße maßgeblich sind, und nicht der gesamte weltweit erzielte Jahresumsatz.

44 In der Rechtsliteratur wurde bereits darauf hingewiesen, dass „sich die von der Kommission in Bezug auf die Art. 101 [und] 102 AEUV angewandte Methodologie für die Verhängung von Geldbußen nicht direkt auf die DSGVO übertragen lässt, da die im Wettbewerbsrecht der Union vorgesehenen Geldbußen darauf abzielen, die Wirkung zu erfassen, die das [wettbewerbswidrige] Verhalten im Markt hatte, und nicht auf den Umsatz an sich abstellen. Beispielsweise wird im Fall von Kartellen für die Geldbußen auf den Wert des Umsatzes mit ‚kartellierten Produkten‘ und nicht auf den weltweiten Umsatz abgestellt (

45 In der Tat bestätigt die Rechtsprechung des Gerichtshofs, dass der Teil des Gesamtumsatzes, der aus dem Verkauf der Produkte stammt, die den Gegenstand der Zuwiderhandlung bilden, besser geeignet ist, die wirtschaftliche Bedeutung dieser Zuwiderhandlung wiederzugeben (die wirtschaftliche Bedeutung des Unternehmens wiederzugeben (

46 Die vorstehenden Erwägungen und die Rechtsprechung des Gerichtshofs (die oben in Nr. 40 dieser Schlussanträge angeführt wurde) führen mich somit zu dem Schluss, dass die Grenzen des Einflusses der Rechtsprechung zum Wettbewerbsrecht der Union auf die Verhängung tatsächlicher Geldbußen wegen Verstößen gegen die DSGVO durch den Grundsatz der Gesetzmäßigkeit gesteckt werden müssen. Insbesondere ist sicherzustellen, dass die tatsächlichen DSGVO-Geldbußen allein in Bezug auf die Handlungen des Zuwiderhandelnden berechnet werden und sämtliche Merkmale des konkreten Verstoßes vollends berücksichtigen. Folglich lässt sich die Auslegung der Begriffe „Umsatz“ und „Unternehmen“ für die Errechnung des Höchstbetrags für die Geldbuße nicht automatisch auf die Berechnung der tatsächlichen Geldbuße übertragen.

47 Damit eine Geldbuße den Zweck der DSGVO – nämlich die Stärkung der Durchsetzung der Vorschriften der Verordnung – erfüllt und im Licht der oben erörterten Rechtsprechung des Gerichtshofs sollte die Auslegung der Begriffe „Unternehmen“ und „Umsatz“ bei der Festsetzung des Betrags der tatsächlichen Geldbuße den folgenden Anforderungen genügen. Bei der Bestimmung der tatsächlichen Geldbuße muss die Aufsichtsbehörde erstens, wie in Art. 83 Abs. 2 DSGVO vorgesehen, sämtliche Umstände des Einzelfalls zum Ausgangspunkt nehmen, einschließlich des Verhältnisses innerhalb des „Unternehmens“, so wie dieses gemäß der Rechtsprechung zum Wettbewerbsrecht der Union ermittelt wird. Zweitens muss die tatsächliche Geldbuße, die sich aus der Abwägung sämtlicher relevanten Umstände ergibt, wirksam, verhältnismäßig und abschreckend sein. Der letzte, aber doch wichtige Punkt ist, dass gegebenenfalls alle für den Fall relevanten strafrechtlichen Aspekte zu beachten sind.

48 Zur Erfüllung dieser Anforderungen möchte ich an Folgendes erinnern.

49 Wie von Generalanwalt Pitruzzella angemerkt (

50 In diesen Ausführungen wird zutreffend auf das Primat der wirtschaftlichen Belange im Wettbewerbsrecht der Union hingewiesen, bei dem die rechtliche Struktur der in Rede stehenden Einheit außer Betracht bleibt. Allerdings setzt der zweite Aspekt dieser Ansicht insofern Grenzen, als die Ermittlung der für die Zuwiderhandlung haftbaren juristischen oder natürlichen Person und dementsprechend die tatsächliche Geldbuße von der in Rede stehenden Zuwiderhandlung selbst abhängt.

51 Folglich ist eines der Elemente des Begriffs „Unternehmen“, das bei der Errechnung des Grundbetrags der Geldbuße und dessen Anpassung (zum Zweck der Festsetzung der tatsächlichen Geldbuße) zu berücksichtigen ist, der Grad der Mitwirkung anderer Gesellschaften des betreffenden Unternehmens am Verstoß gegen die DSGVO. In diesem Zusammenhang ist in nationaler Rechtsprechung zum Wettbewerbsrecht der Union die Ansicht vertreten worden, dass „in begrifflicher Hinsicht die Frage nach dem Bestehen eines ‚Unternehmens‘ von der Frage nach der Verteilung der Haftung unter verschiedenen Gesellschaften innerhalb eines ‚Unternehmens‘ zu unterscheiden ist …[ (

52 Die obigen Argumente sind meines Erachtens auch relevant für die Entscheidung, welche Personen für die Zwecke der Bestimmung der tatsächlichen Geldbuße für den Verstoß gegen die DSGVO unter den Begriff „Unternehmen“ fallen. Dies gilt insbesondere, wenn von der Aufsichtsbehörde – so wie es im Ausgangsverfahren der Fall ist – ausdrücklich festgestellt wurde, dass die Muttergesellschaft weder als Verantwortlicher noch als Auftragsverarbeiter an dem in Rede stehenden Verstoß beteiligt war (

53 Auch wenn der Unionsgesetzgeber für die Zwecke der Festlegung von Höchstbeträgen für Geldbußen in einem gewissen eingeschränkten Umfang eine Brücke zwischen den beiden Gebieten des Unionsrechts geschlagen hat, ist es doch eindeutig so, dass die Vorschriften der DSGVO und die Regeln des Wettbewerbsrechts der Union unterschiedliche Zwecke verfolgen. Das Regelwerk der DSGVO unterscheidet sich von den Regeln des Wettbewerbsrechts der Union und beruht auf dem Begriff der Verantwortlichkeit des Verantwortlichen (und des Auftragsverarbeiters) für die rechtmäßige Verarbeitung personenbezogener Daten. Mit anderen Worten: Die Adressaten des Wettbewerbsrechts der Union sind „Unternehmen“ (die wettbewerbsrechtlichen Verbote sind an „Unternehmen“ gerichtet), wohingegen die DSGVO auf „Verantwortliche“ und „Auftragsverarbeiter“ fokussiert. Außerdem erinnere ich daran, dass sich der Gerichtshof im Hinblick darauf, dass die Lehre von der „wirtschaftlichen Einheit“ nicht von der allgemeinen Logik des Wettbewerbsrechts der Union und ihres Gegenstands abtrennbar ist, zuvor geweigert hat, deren Anwendung durch Analogie auf andere Bereiche des Unionsrechts – beispielsweise die außervertragliche Haftung gemäß Art. 340 Abs. 2 AEUV (

54 Berücksichtigt man diese Erwägungen, so wird deutlich, weshalb der Gerichtshof die Bedeutung des Wettbewerbsrechts der Union für die Durchsetzung der DSGVO (und insbesondere für DSGVO-Geldbußen) klar eingegrenzt hat. Im Urteil in der Rechtssache Deutsche Wohnen (Rn. 53) hat der Gerichtshof entschieden, dass der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV „ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 … DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist“. Anschließend hat er (in Rn. 54) ausgeführt, dass dieser Begriff nämlich „nur relevant [ist], um die Höhe einer Geldbuße zu bestimmen, die gemäß Art. 83 Abs. 4 bis 6 DSGVO [in dem der Höchstbetrag der Geldbuße geregelt ist] gegen einen Verantwortlichen verhängt wird“ (Hervorhebung nur hier). Zudem hat der Gerichtshof, indem er (in Rn. 53) entschieden hat, dass die Frage, ob und unter welchen Voraussetzungen eine Geldbuße verhängt werden kann, „in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist“ (Hervorhebung nur hier), des Weiteren klargestellt, dass bei der Bestimmung der tatsächlichen Geldbuße die Anforderungen in Art. 83 Abs. 1 bis 6 vollumfänglich Anwendung finden und dass keiner dieser Absätze primus inter pares ist.

55 Der „Umsatz“ des „Unternehmens“ ist also nur einer der zahlreichen Gesichtspunkte, die bei der Durchsetzung der DSGVO gegen einen Verantwortlichen (oder Auftragsverarbeiter) und der Verhängung einer DSGVO-Geldbuße, die wirksam, verhältnismäßig und abschreckend ist, zu berücksichtigen sind.

56 Es stimmt, dass es nach der Rechtsprechung des Gerichtshofs zum Wettbewerbsrecht der Union in bestimmten Situationen gerechtfertigt sein mag, den Umsatz einer Gesellschaft – allerdings nur als einen unter mehreren relevanten Gesichtspunkten – bei der Berechnung des Betrags der tatsächlichen Geldbuße zu berücksichtigen (z. B. wenn der Grundbetrag der Geldbuße zu Abschreckungszwecken erhöht wird) (

57 Deshalb sollte es meiner Meinung nach möglich sein, sich auf den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV zu stützen, wenn es um die Festsetzung der tatsächlichen Geldbuße geht, jedoch nur, soweit dies im Hinblick auf die Zwecke der Abschreckungswirkung und Wirksamkeit der Geldbuße hinreichend gerechtfertigt ist. Insoweit muss dieser Begriff nuanciert und unter Berücksichtigung der Umstände des Einzelfalls verwendet werden. Genauer gesagt, lässt er sich als Anpassungsmechanismus verwenden, soweit es – nachdem die Geldbuße gemäß Art. 83 Abs. 2 DSGVO bestimmt wurde – um die Berücksichtigung der besonderen Umstände des Einzelfalls geht. Das vorlegende Gericht ist deshalb gehalten, festzustellen, ob im vorliegenden Fall Umstände gegeben sind, die es rechtfertigen würden, die Geldbuße in solcher Weise zu erhöhen, und zwar insbesondere für die Zwecke der Abschreckung.

58 Mit der Frage der individuellen Anpassung der DSGVO-Geldbußen (

59 Folglich schlage ich, was die Bestimmung des Betrags der tatsächlichen Geldbuße angeht, dem Gerichtshof vor, zu erwägen, dass die folgenden Aspekte für die Anwendung des Begriffs „Unternehmen“ im Zusammenhang mit der Festsetzung des Betrags der tatsächlichen Geldbuße gemäß Art. 83 DSGVO relevant sein sollten. Erstens sollte geprüft werden, ob die Muttergesellschaft in Bezug auf die konkreten Aktivitäten, durch die der in Rede stehende Verantwortliche oder Auftragsverarbeiter gegen die DSGVO verstieß, ihre Entscheidungsbefugnisse ausübte. Zweitens ist zu prüfen, ob die spezifische Datenverarbeitung, durch die gegen die DSGVO verstoßen wurde, die betreffende Gesellschaft und/oder die gesamte Gruppe betrifft. Drittens ist es erforderlich, festzustellen, ob an dem Verstoß bzw. den Verstößen gegen die DSGVO mehr als eine Gesellschaft, die der Gruppe angehört, beteiligt war.

60 In diesem Zusammenhang würde ich die folgende nicht erschöpfende Liste von Elementen für relevant halten: i) im vorliegenden Fall (

61 Es ist jedoch Sache des vorlegenden Gerichts, das allein für die Entscheidung über den Sachverhalt zuständig ist, die hierzu erforderlichen Überprüfungen vorzunehmen und diese Elemente sowie die Relevanz und Gewichtung zu prüfen, die diesen im Zusammenhang mit der Festsetzung des angemessenen Betrags der tatsächlich gegen ILVA zu verhängenden Geldbuße zukommen sollte. 4. Schlussbemerkungen

62 Auch wenn das vorlegende Gericht keine diesbezüglichen Fragen gestellt hat, denke ich, dass es der Vollständigkeit halber angezeigt ist, kurz auf einige spezifische Aspekte des vorliegenden Falls einzugehen.

63 In der Sache im Ausgangsverfahren muss die Auslegung von Art. 83 Abs. 1 bis 6 insbesondere in Verbindung mit Art. 83 Abs. 9 DSGVO erfolgen (

64 Bei der Prüfung der Bedeutung von Art. 83 Abs. 9 für den vorliegenden Fall ist auch der 151. Erwägungsgrund der DSGVO zu berücksichtigen, laut dem „[n]ach den Rechtsordnungen Dänemarks und Estlands[ (

65 In der mündlichen Verhandlung stützte sich ILVA zum einen auf Art. 41 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta). Dieser Artikel ist mit „Recht auf eine gute Verwaltung“ überschrieben, wobei insbesondere in Art. 41 Abs. 2 Buchst. c „die Verpflichtung der Verwaltung, ihre Entscheidungen zu begründen“, angeführt wird; in ihren Ausführungen ist ILVA darauf allerdings nicht im Einzelnen eingegangen.

66 Zum anderen stützte sich ILVA auf Art. 49 der Charta. Dieser Artikel der Charta, der mit „Grundsätze der Gesetzmäßigkeit und der Verhältnismäßigkeit im Zusammenhang mit Straftaten und Strafen“ überschrieben und deshalb für den Fall im Ausgangsverfahren relevant ist, ist meines Erachtens bei der Auslegung von Art. 83 Abs. 1 bis 6 DSGVO zu berücksichtigen. Art. 49 Abs. 3 der Charta bestimmt insbesondere, dass „[d]as Strafmaß … zur Straftat nicht unverhältnismäßig sein [darf]“.

67 Aus der Rechtsprechung des Gerichtshofs folgt, dass der Grundsatz der Verhältnismäßigkeit zu den allgemeinen Grundsätzen des Unionsrechts gehört, die den gemeinsamen Verfassungstraditionen der Mitgliedstaaten zugrunde liegen und die von den nationalen Behörden bei der Umsetzung des Unionsrechts einzuhalten sind. Er verpflichtet die Mitgliedstaaten, Maßnahmen zu erlassen, die für die Erreichung der angestrebten Ziele geeignet sind und nicht über das dazu Erforderliche hinausgehen (

68 Somit muss die Schwere einer Sanktion der Schwere der betreffenden Straftat entsprechen, wobei sich eine solche Anforderung sowohl aus Art. 52 Abs. 1 der Charta als auch aus dem in Art. 49 Abs. 3 der Charta verankerten Grundsatz der Verhältnismäßigkeit der Strafen ergibt (

69 Nach den Erläuterungen zur Charta (

70 Nach der Rechtsprechung des Gerichtshofs verlangt der Grundsatz der Verhältnismäßigkeit erstens, dass die verhängte Sanktion der Schwere der Straftat entspricht, und zweitens, dass die individuellen Umstände des Einzelfalls sowohl bei der Bestimmung der Sanktion als auch bei der Festlegung der Höhe der Geldbuße berücksichtigt werden (

71 Zweitens wird in der Rechtsprechung des EGMR in solchen Fällen eine Interessenabwägung vorgenommen sowie Art, Schweregrad und Abschreckungswirkung der gegen den Antragsteller verhängten strafrechtlichen Sanktion berücksichtigt. Es wird klargestellt, dass die dem Schutz der Öffentlichkeit dienende (

72 Der EGMR hat entschieden, dass „das erforderliche Gleichgewicht nicht gewahrt sein wird, wenn der betreffenden Person eine individuelle und übermäßige Last auferlegt wird“; folglich „kann eine finanzielle Verbindlichkeit, die sich aus einer Geldbuße ergibt, die durch diese Bestimmung gewährte Garantie untergraben, wenn sie die Person übermäßig belastet oder deren Finanzlage grundlegend beeinträchtigt“ (

73 Daraus folgt, dass es im Hinblick auf die besonderen verfahrensrechtlichen Aspekte der Sache im Ausgangsverfahren sowie das Unionsrecht und die Rechtsprechung des EGMR zu in Strafverfahren verhängten Bußgeldern erforderlich ist, dass das vorlegende Gericht, wenn es den Betrag der tatsächlichen Geldbuße für den Verstoß gegen die DSGVO bemisst, alle relevanten Elemente des Einzelfalls berücksichtigt. Wegen der Verfahrensgarantien für Beschuldigte wie auch des Grundsatzes der Verhältnismäßigkeit, so wie dieser in der Rechtsprechung des Gerichtshofs und des EGMR ausgelegt wird, ist es erforderlich, dass strafrechtliche Sanktionen der Schwere der Straftat angemessen sind und die besonderen Umstände des Einzelfalls berücksichtigen.

74 Im Licht dieser Anforderungen muss das vorlegende Gericht sicherstellen, dass bei der Bestimmung der tatsächlichen Geldbuße der Grundsatz der Verhältnismäßigkeit beachtet wird, indem ein angemessener Ausgleich getroffen wird zwischen den Forderungen, die sich aus dem allgemeinen Interesse der Gemeinschaft am Schutz personenbezogener Daten ergeben, und den Anforderungen, die sich aus dem Schutz der Grundrechte ( V. Ergebnis

75 Ich schlage dem Gerichtshof vor, die Vorlagefrage des Vestre Landsret (Landgericht für Westdänemark, Dänemark) wie folgt zu beantworten: Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist für die Zwecke der Errechnung des Höchstbetrags für die Geldbuße dahin auszulegen, dass bei der Verhängung von Geldbußen gegen einen Verantwortlichen oder Auftragsverarbeiter, der ein Unternehmen ist (oder einem solchen angehört), der Begriff „Unternehmen“ dahin auszulegen ist, dass er dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht. Folglich ist der gesamte weltweit erzielte Jahresumsatz des Unternehmens, dem der Verantwortliche oder Auftragsverarbeiter angehört, zu berücksichtigen. Für die Bestimmung der tatsächlich zu verhängenden Geldbuße ist der Begriff „Unternehmen“ jedoch in Verbindung mit Art. 83 Abs. 1 und 2 der Verordnung 2016/679 auszulegen und bei der Prüfung der besonderen Umstände des Einzelfalls als eines von mehreren relevanten Elementen zu berücksichtigen. In diesem Zusammenhang können sich die besonderen Umstände auf die Entscheidungsbefugnisse der Muttergesellschaft, den Umfang der gegen die Bestimmungen dieser Verordnung verstoßenden Datenverarbeitung und die Zahl der am Verstoß beteiligten Einheiten des Unternehmens beziehen. Ferner ist die tatsächliche Geldbuße, wenn eine solche Geldbuße in Verbindung mit Art. 83 Abs. 9 der Verordnung 2016/679 im Zuge eines Strafverfahrens durch ein nationales Gericht verhängt wird, im Licht der im Strafrecht geltenden Grundsätze zu bemessen. In diesem Zusammenhang muss das nationale Gericht sicherstellen, dass bei der Festsetzung der tatsächlichen Geldbuße der Grundsatz der Verhältnismäßigkeit beachtet wird, indem ein angemessener Ausgleich getroffen wird zwischen den Forderungen, die sich aus dem allgemeinen Interesse der Gemeinschaft am Schutz personenbezogener Daten ergeben, und den Anforderungen, die sich aus dem Schutz der Grundrechte des Verantwortlichen, des Auftragsverarbeiters oder des Unternehmens, dem diese angehören, ergeben.