EuGH: Juristische Person als Verantwortliche iSd DSGVO – Geldbuße

DSGVO: Art 58, Art 83

Voraussetzung für eine Geldbuße wegen eines Verstoßes nach Art 83 Abs 4 bis 6 DSGVO ist, dass der Verantwortliche (hier: eine juristische Person und Unternehmen) den Verstoß vorsätzlich oder fahrlässig begangen hat. Zur Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde, erinnert der EuGH an seine Rsp, wonach ein Verantwortlicher sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung von Art 83 DSGVO nach der Rsp keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus. Eine juristische Personen haftet nicht nur für Verstöße, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurden, die im Rahmen der unternehmerischen Tätigkeit und im Namen dieser juristischen Person handelt. Eine Geldbuße wegen eines Verstoßes nach Art 83 Abs 4 bis 6 DSGVO darf über eine juristische Person in ihrer Eigenschaft als Verantwortliche auch dann verhängt werden, wenn der Verstoß nicht einer bestimmten natürlichen Person zugerechnet werden konnte.

OGH 5. 12. 2023, C-807/21, Deutsche Wohnen

Entscheidung

Mit Blick auf die Fragen des vorlegenden Gerichts hält der EuGH in seinen Entscheidungsgründen weiters fest, dass der Begriff „Unternehmen“ iSd Art 101 und 102 AEUV ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Art 83 der DSGVO gegen eine juristische Person als Verantwortlichen verhängt werden kann, da diese Frage in Art 58 Abs 2 und Art 83 Abs 1 bis 6 DSGVO abschließend geregelt ist. Dieser Begriff ist nur relevant, um die Höhe einer Geldbuße zu bestimmen, die gem Art 83 Abs 4 bis 6 DSGVO gegen einen Verantwortlichen verhängt wird.

Der Unternehmensbegriff gem Art 101 und 102 AEUV umfasst für die Zwecke der Anwendung der Wettbewerbsregeln der Art 101 und 102 AEUV jede Einheit, die eine wirtschaftliche Tätigkeit ausübt – unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt.

Ist der Adressat der Geldbuße ein Unternehmen iSd Art 101 und 102 AEUV oder gehört er einem solchen an, wird der Höchstbetrag für die Geldbuße gem Art 83 Abs 4 bis 6 DSGVO auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs dieses Unternehmens berechnet. Nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten unter Zugrundelegung des Begriffs der wirtschaftlichen Einheit festgesetzt wird, kann sowohl wirksam und verhältnismäßig als auch abschreckend sein (vgl Art 83 Abs 1 DSGVO). Bei Verhängung einer Geldbuße ist die Aufsichtsbehörde daher nach Art 83 im Licht des 150. Erwägungsgrundes der DSGVO verpflichtet, bei der Berechnung der Geldbußen den Begriff „Unternehmen“ iSd Art 101 und 102 AEUV zugrunde zu legen.