DSGVO – Zur Bestimmung des Höchstbetrags einer Geldbuße bei Unternehmen

Wirtschaftsrecht

20.02.2025

Wirtschaftsrecht

EuGH: DSGVO – Zur Bestimmung des Höchstbetrags einer Geldbuße bei Unternehmen

EuGH, Urteil vom 13.2.2025 – C-383/23, ILVA A/S

ECLI:EU:C:2025:84

Volltext: BB-Online BBL2025-449-1

unter www.betriebs-berater.de

Tenor

Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) in Verbindung mit dem 150. Erwägungsgrund dieser Verordnung ist dahin auszulegen, dass der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Höchstbetrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die Verordnung 2016/679 verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens bestimmt wird. Der Begriff „Unternehmen“ ist auch zu berücksichtigen, um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist.

Aus den Gründen

1 Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2; im Folgenden: DSGVO).

2 Es ergeht im Rahmen eines von der Anklagemyndighed (Staatsanwaltschaft, Dänemark) gegen die ILVA A/S eingeleiteten Strafverfahrens wegen des Vorwurfs von Verstößen gegen die Verpflichtungen, die dieser Gesellschaft gemäß der DSGVO in ihrer Eigenschaft als Verantwortliche für die personenbezogenen Daten ehemaliger Kunden obliegen.

Rechtlicher Rahmen

Unionsrecht

3 In den Erwägungsgründen 150 und 151 der DSGVO heißt es:

„(150) Um die verwaltungsrechtlichen Sanktionen bei Verstößen gegen diese Verordnung zu vereinheitlichen und ihnen mehr Wirkung zu verleihen, sollte jede Aufsichtsbehörde befugt sein, Geldbußen zu verhängen. In dieser Verordnung sollten die Verstöße sowie die Obergrenze der entsprechenden Geldbußen und die Kriterien für ihre Festsetzung genannt werden, wobei diese Geldbußen von der zuständigen Aufsichtsbehörde in jedem Einzelfall unter Berücksichtigung aller besonderen Umstände und insbesondere der Art, Schwere und Dauer des Verstoßes und seiner Folgen sowie der Maßnahmen, die ergriffen worden sind, um die Einhaltung der aus dieser Verordnung erwachsenden Verpflichtungen zu gewährleisten und die Folgen des Verstoßes abzuwenden oder abzumildern, festzusetzen sind. Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff ‚Unternehmen‘ im Sinne der Artikel 101 und 102 AEUV verstanden werden. …

(151) Nach den Rechtsordnungen Dänemarks und Estlands sind die in dieser Verordnung vorgesehenen Geldbußen nicht zulässig. Die Vorschriften über die Geldbußen können so angewandt werden, dass die Geldbuße in Dänemark durch die zuständigen nationalen Gerichte als Strafe und in Estland durch die Aufsichtsbehörde im Rahmen eines Verfahrens bei Vergehen verhängt wird, sofern eine solche Anwendung der Vorschriften in diesen Mitgliedstaaten die gleiche Wirkung wie die von den Aufsichtsbehörden verhängten Geldbußen hat. Daher sollten die zuständigen nationalen Gerichte die Empfehlung der Aufsichtsbehörde, die die Geldbuße in die Wege geleitet hat, berücksichtigen. In jeden Fall sollten die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein.“

4 Art. 5 DSGVO enthält die Grundsätze für die Verarbeitung personenbezogener Daten.

5 Art. 6 DSGVO bestimmt, unter welchen Bedingungen eine Verarbeitung personenbezogener Daten rechtmäßig ist.

6 Art. 58 („Befugnisse“) Abs. 2 DSGVO bestimmt:

„Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

…

i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,

…“

7 In Art. 83 („Allgemeine Bedingungen für die Verhängung von Geldbußen“) Abs. 1, 2, 4 bis 6 und 9 DSGVO heißt es:

„(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

…

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 [Euro] oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

…

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 [Euro] oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

…

(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 [Euro] oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

…

(9) Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, kann dieser Artikel so angewandt werden, dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften.“

Dänisches Recht

8 Das Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Gesetz Nr. 502 über ergänzende Regelungen zur [DSGVO]) vom 23. Mai 2018 bestimmt in § 41:

„(1) Soweit nicht in anderen Rechtsvorschriften eine höhere Strafe vorgesehen ist, wird mit einer Geldbuße oder einer Freiheitsstrafe von bis zu sechs Monaten bestraft, wer gegen Bestimmungen verstößt betreffend

…

4. die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Art. 5 bis 7 und 9 [DSGVO]

…

(3) Bei der Verhängung von Strafen gemäß den Abs. 1 und 2 ist Art. 83 Abs. 2 [DSGVO] zu beachten.

…

(6) Gesellschaften u. a. (juristische Personen) können gemäß den Vorschriften in Kapitel 5 des [Straffelov (Strafgesetz)] strafrechtlich zur Verantwortung gezogen werden. …“

Ausgangsverfahren und Vorlagefragen

9 ILVA betreibt eine Möbelhauskette und gehört zum Konzern Lars Larsen Group. Der Gesamtumsatz des Konzerns für das Geschäftsjahr 2016/2017 betrug 6,57 Mrd. dänische Kronen (DKK) (rund 881 Mio. Euro), und der Umsatz von ILVA belief sich im selben Zeitraum auf knapp 1,8 Mrd. DKK (rund 241 Mio. Euro).

10 ILVA ist vor den dänischen Gerichten angeklagt, im Zeitraum von Mai 2018 bis Januar 2019 im Rahmen der Speicherung der Daten von mindestens 350 000 ehemaligen Kunden gegen die Verpflichtungen verstoßen zu haben, die ihr gemäß der DSGVO in ihrer Eigenschaft als Verantwortliche für personenbezogene Daten obliegen.

11 Auf Empfehlung des Datatilsyn (Datenschutzbehörde, Dänemark) beantragte die Staatsanwaltschaft, gegen ILVA eine Geldbuße in Höhe von 1,5 Mio. DKK (rund 201 000 Euro) zu verhängen. Bei der Berechnung dieses Betrags wurde nicht nur auf den Umsatz von ILVA abgestellt, sondern auf den Gesamtumsatz der Lars Larsen Group.

12 Mit Urteil vom 12. Februar 2021 befand das Ret i Aarhus (Gericht Aarhus, Dänemark) ILVA des ihr zur Last gelegten Sachverhalts für schuldig und verurteilte sie zur Zahlung einer Geldbuße von 100 000 DKK (rund 13 400 Euro). Das Gericht ging entgegen dem Antrag der Staatsanwaltschaft davon aus, dass ILVA fahrlässig gehandelt habe. Zudem war es der Auffassung, dass für die Bemessung der Geldbuße nicht auf den Konzernumsatz der Lars Larsen Group abzustellen sei, da nur ILVA angeklagt gewesen sei. Im Übrigen übe ILVA eine selbständige Einzelhandelstätigkeit aus und sei von der Muttergesellschaft des Konzerns nicht allein zu dem Zweck gegründet worden, die personenbezogenen Daten des Konzerns zu verarbeiten.

13 Die Staatsanwaltschaft legte gegen dieses Urteil beim Vestre Landsret (Landgericht für Westdänemark), dem vorlegenden Gericht, Berufung ein. Sie macht geltend, dass der Begriff „Unternehmen“ im Sinne von Art. 83 Abs. 4 bis 6 DSGVO dahin zu verstehen sei, dass im Fall eines Verstoßes einer Gesellschaft gegen die DSGVO bei der Festsetzung einer Geldbuße auf den Umsatz des Konzerns, dem die Gesellschaft angehöre, abzustellen sei. Gemäß dem 150. Erwägungsgrund der DSGVO sei dieser Begriff nämlich im Sinne der Art. 101 und 102 AEUV zu verstehen.

14 Dagegen vertritt ILVA die Auffassung, dass für die Festsetzung einer Geldbuße wegen Verstoßes einer Gesellschaft gegen die DSGVO nicht auf den Gesamtumsatz des Konzerns, dem die Gesellschaft angehöre, abzustellen sei. Im vorliegenden Fall sei nur Anklage gegen ILVA erhoben worden und nicht auch gegen deren Muttergesellschaft.

15 Nach Auffassung des vorlegenden Gerichts geht die Antwort auf diese Frage nicht klar aus der DSGVO hervor.

16 Unter diesen Umständen hat das Vestre Landsret (Landgericht für Westdänemark) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

1. Ist der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO als ein Unternehmen im Sinne der Art. 101 und 102 AEUV in Verbindung mit dem 150. Erwägungsgrund der DSGVO und der Rechtsprechung des Gerichtshofs im Bereich des Wettbewerbsrechts der Union zu verstehen, so dass der Begriff „Unternehmen“ jede Einheit erfasst, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von der Rechtsstellung dieser Einheit und der Art und Weise, in der sie finanziert wird?

2. Falls die erste Frage zu bejahen ist: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass bei der Verhängung einer Geldbuße gegen ein Unternehmen der gesamte weltweit erzielte Jahresumsatz der wirtschaftlichen Einheit, zu der das Unternehmen gehört, zu berücksichtigen ist oder nur der gesamte weltweit erzielte Jahresumsatz des Unternehmens selbst?

Zu den Vorlagefragen

17 Mit seinen Fragen, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 83 Abs. 4 bis 6 DSGVO in Verbindung mit dem 150. Erwägungsgrund der DSGVO dahin auszulegen ist, dass der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Betrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die DSGVO verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens im Sinne der Art. 101 und 102 AEUV bestimmt wird.

18 Vorab ist darauf hinzuweisen, dass der Gerichtshof in dem nach Abschluss des schriftlichen Verfahrens in der vorliegenden Rechtssache ergangenen Urteil vom 5. Dezember 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, Rn. 53 bis 59), bereits Gelegenheit hatte, bestimmte die Auslegung von Art. 83 DSGVO betreffende Fragen zu beantworten.

19 Nach der Rechtsprechung des Gerichtshofs ist der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ohne Bedeutung für die Frage, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 53).

20 Dieser Begriff ist nur relevant, um die Höhe einer Geldbuße zu bestimmen, die gemäß Art. 83 Abs. 4 bis 6 DSGVO gegen einen Verantwortlichen verhängt wird (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 54).

21 Der Verweis im 150. Erwägungsgrund der DSGVO auf den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ist in diesem speziellen Zusammenhang der Berechnung von Geldbußen, die für in Art. 83 Abs. 4 bis 6 DSGVO genannte Verstöße verhängt werden, zu verstehen (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 55).

22 Dieser Unternehmensbegriff umfasst für die Zwecke der Anwendung der in den Art. 101 und 102 AEUV niedergelegten Wettbewerbsregeln jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 56 und die dort angeführte Rechtsprechung).

23 So ergibt sich aus Art. 83 Abs. 4 bis 6 DSGVO, der die Berechnung der Geldbußen für die in diesen Absätzen aufgeführten Verstöße betrifft, dass, wenn der Adressat der Geldbuße ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens berechnet wird (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 57).

24 Die Bestimmung dieses Höchstbetrags ist jedoch von der Berechnung des Betrags einer Geldbuße zu unterscheiden, die von der zuständigen Aufsichtsbehörde wegen des oder der mit dieser Geldbuße geahndeten spezifischen Verstöße gegen die DSGVO zu verhängen ist.

25 So stellt nach Art. 83 Abs. 1 DSGVO jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Art. 83 für Verstöße gegen die DSGVO gemäß seinen Abs. 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

26 Über diese drei Voraussetzungen hinaus verlangt Art. 83 Abs. 2 DSGVO, dass die zuständige Aufsichtsbehörde bei der Entscheidung über die Verhängung einer Geldbuße und über ihren Betrag in jedem Einzelfall eine Reihe von Kriterien gebührend berücksichtigt.

27 Zu diesen Kriterien gehören gemäß dieser Bestimmung u. a. die Art, die Schwere und die Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen und das Ausmaß des von ihnen erlittenen Schadens, Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, die von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des entstandenen Schadens, der Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters und die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind.

28 Diese Kriterien kennzeichnen entweder das Verhalten des Verantwortlichen oder Auftragsverarbeiters, dem Verstöße gegen bestimmte Vorschriften der DSGVO vorgeworfen werden, oder die Verstöße als solche. Folglich soll mit ihnen gewährleistet werden, dass jeder der Verstöße auf der Grundlage aller relevanten individuellen Umstände beurteilt wird und dass die Ziele, die mit dem in der DSGVO vorgesehenen Sanktionssystem verfolgt werden, erreicht werden.

29 Zwar verweisen diese Kriterien nicht auf den Begriff des Unternehmens im Sinne der Art. 101 und 102 AEUV, doch der Gerichtshof hat bereits entschieden, dass nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO auf diese Weise kennzeichnenden Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit des Adressaten berücksichtigt, die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen kann, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein. Zur Beurteilung dieser Voraussetzungen ist zu berücksichtigen, ob dieser Adressat einem Unternehmen im Sinne der Art. 101 und 102 AEUV angehört (vgl. in diesem Sinne Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 58).

30 Die sich aus den Rn. 25 bis 29 des vorliegenden Urteils ergebende Auslegung von Art. 83 DSGVO ist auch anwendbar, wenn die festgestellten Verstöße gegen die DSGVO nicht mit einer administrativen Geldbuße, sondern mit einer von den zuständigen nationalen Gerichten als Strafe verhängten Geldbuße geahndet werden.

31 Wie sich aus dem 151. Erwägungsgrund der DSGVO ergibt, sind in bestimmten nationalen Rechtsordnungen, etwa der des Königreichs Dänemark, die in der DSGVO vorgesehenen Geldbußen nicht zulässig.

32 Zur Regelung dieser Konstellation bestimmt Art. 83 Abs. 9 DSGVO, dass dieser Artikel, wenn die Rechtsordnung eines Mitgliedstaats keine Geldbußen vorsieht, so angewandt werden kann, dass die Geldbuße – wie im vorliegenden Fall – von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird.

33 Wie der 151. Erwägungsgrund der DSGVO präzisiert Art. 83 Abs. 9 DSGVO zudem, dass die in Rede stehenden Rechtsbehelfe wirksam sein und die gleiche Wirkung wie die von den Aufsichtsbehörden verhängten Geldbußen haben müssen und dass die verhängten Geldbußen in jedem Fall wirksam, verhältnismäßig und abschreckend sein müssen.

34 Die Verhängung einer Geldbuße durch ein Strafgericht im Rahmen eines Strafverfahrens bedeutet, dass dieses Gericht jederzeit die geltenden strafrechtlichen Vorschriften beachten muss, zu denen insbesondere die Verfahrensrechte der angeklagten Person und der Grundsatz der Verhältnismäßigkeit der Strafe gehören, die in der Charta der Grundrechte der Europäischen Union verankert sind.

35 In diesem Zusammenhang verlangt Art. 83 DSGVO, wie von der Generalanwältin in Nr. 74 ihrer Schlussanträge ausgeführt, dass die zuständigen Aufsichtsbehörden ausnahmslos sicherstellen, dass bei der Berechnung der tatsächlichen Höhe der verhängten Geldbuße der Grundsatz der Verhältnismäßigkeit beachtet wird, indem ein angemessener Ausgleich zwischen den Anforderungen des allgemeinen Interesses am Schutz personenbezogener Daten und den Erfordernissen des Schutzes der Rechte des Verantwortlichen für solche Daten, des Auftragsverarbeiters oder des Unternehmens, dem diese angehören, getroffen wird. Daraus folgt, dass einer Anwendung des Begriffs „Unternehmen“ im Sinne der Art. 101 und 102 AEUV im Rahmen der Durchführung von Art. 83 Abs. 4 bis 6 DSGVO keine grundsätzlichen Hindernisse entgegenstehen, wenn Verstöße gegen die DSGVO nicht mit administrativen Geldbußen, sondern mit von Strafgerichten verhängten Geldbußen geahndet werden.

36 Nach alledem ist auf die Vorlagefragen zu antworten, dass Art. 83 Abs. 4 bis 6 DSGVO in Verbindung mit dem 150. Erwägungsgrund der DSGVO dahin auszulegen ist, dass der Begriff „Unternehmen“ im Sinne dieser Vorschriften dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht, so dass der Höchstbetrag einer Geldbuße, die gegen einen Verantwortlichen für personenbezogene Daten, der ein Unternehmen ist oder einem Unternehmen angehört, wegen eines Verstoßes gegen die DSGVO verhängt wird, auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens bestimmt wird. Der Begriff „Unternehmen“ ist auch zu berücksichtigen, um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist.