So das Gericht in seinem Urteil vom 13. Februar 2025 (Az.: C‑383/23) in einer Entscheidung zu einem Vorabentscheidungsersuchen eines dänischen Gerichts. Das Gericht nimmt hier eine wichtige Entscheidung zur Bemessung von Geldbußen wegen Verstößen gegen die DSGVO vor. Dabei gibt es die Leitlinien für den Begriff des „Unternehmens“ im Sinne der Art. 83 IV bis VI DSGVO vor und nutzt dabei auch die Erwägungsgründe der DSGVO. Im Streitfall hat das dänische Unternehmen aus dem Bereich des Möbelhandels sich dagegen gewehrt, dass bei der Bemessung einer Geldbuße wegen Verstößen gegen die DSGVO der Gesamtumsatz des Konzerns herangezogen wurde, dem das Unternehmen angehört. Der EuGH sieht den Begriff des „Unternehmens“ im Sinne der der Art. 83 IV bis VI DSGVO in Anlehnung an die EU-Vertragsregelungen an und führt in den Entscheidungsgründen in den Rn. 20-23 unter anderem aus:
„…Dieser Begriff ist nur relevant, um die Höhe einer Geldbuße zu bestimmen, die gemäß Art. 83 Abs. 4 bis 6 DSGVO gegen einen Verantwortlichen verhängt wird (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 54).
Der Verweis im 150. Erwägungsgrund der DSGVO auf den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ist in diesem speziellen Zusammenhang der Berechnung von Geldbußen, die für in Art. 83 Abs. 4 bis 6 DSGVO genannte Verstöße verhängt werden, zu verstehen (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 55).
Dieser Unternehmensbegriff umfasst für die Zwecke der Anwendung der in den Art. 101 und 102 AEUV niedergelegten Wettbewerbsregeln jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 56 und die dort angeführte Rechtsprechung).
So ergibt sich aus Art. 83 Abs. 4 bis 6 DSGVO, der die Berechnung der Geldbußen für die in diesen Absätzen aufgeführten Verstöße betrifft, dass, wenn der Adressat der Geldbuße ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens berechnet wird (Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 57)…“
Zudem gibt der EuGH auch noch vor, welche Kriterien aus Sicht der DSGVO bei der Bemessung der Geldbuße maßgeblich sind. Dazu das Gericht in den Entscheidungsgründen unter anderem in den Rn. 27-30 wie folgt:
„…Zu diesen Kriterien gehören gemäß dieser Bestimmung u. a. die Art, die Schwere und die Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen und das Ausmaß des von ihnen erlittenen Schadens, Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, die von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des entstandenen Schadens, der Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters und die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind.
Diese Kriterien kennzeichnen entweder das Verhalten des Verantwortlichen oder Auftragsverarbeiters, dem Verstöße gegen bestimmte Vorschriften der DSGVO vorgeworfen werden, oder die Verstöße als solche. Folglich soll mit ihnen gewährleistet werden, dass jeder der Verstöße auf der Grundlage aller relevanten individuellen Umstände beurteilt wird und dass die Ziele, die mit dem in der DSGVO vorgesehenen Sanktionssystem verfolgt werden, erreicht werden.
Zwar verweisen diese Kriterien nicht auf den Begriff des Unternehmens im Sinne der Art. 101 und 102 AEUV, doch der Gerichtshof hat bereits entschieden, dass nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO auf diese Weise kennzeichnenden Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit des Adressaten berücksichtigt, die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen kann, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein. Zur Beurteilung dieser Voraussetzungen ist zu berücksichtigen, ob dieser Adressat einem Unternehmen im Sinne der Art. 101 und 102 AEUV angehört (vgl. in diesem Sinne Urteil vom 5. Dezember 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, Rn. 58).
Die sich aus den Rn. 25 bis 29 des vorliegenden Urteils ergebende Auslegung von Art. 83 DSGVO ist auch anwendbar, wenn die festgestellten Verstöße gegen die DSGVO nicht mit einer administrativen Geldbuße, sondern mit einer von den zuständigen nationalen Gerichten als Strafe verhängten Geldbuße geahndet werden….“