62023CC0383
SCHLUSSANTRÄGE DER GENERALANWÄLTIN
LAILA MEDINA
vom 12. September 2024 (
1
)
Rechtssache C‑383/23
Anklagemyndigheden
gegen
ILVA A/S
(Vorabentscheidungsersuchen des Vestre Landsret [Landgericht für Westdänemark, Dänemark])
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 83 – Geldbußen – Andere Geldbußen als verwaltungsrechtliche Sanktionen – Begriff ‚Unternehmen‘ – Art. 101 und 102 AEUV – Muttergesellschaft und Tochtergesellschaft – Verstoß gegen die Verordnung 2016/679 durch eine Tochtergesellschaft – Berechnung des Betrags der Geldbuße – Berücksichtigung des Gesamtumsatzes der Gruppe, der das betreffende Unternehmen angehört – Strafverfahren“
1.
Mit diesem Vorabentscheidungsersuchen des Vestre Landsret (Landgericht für Westdänemark, Dänemark) wird um Auslegung von Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 ersucht (
2
). Es ergeht im Rahmen eines Strafverfahrens, das von der Anklagemyndighed (Staatsanwaltschaft, Dänemark) eingeleitet wurde gegen die Gesellschaft ILVA A/S (im Folgenden: ILVA) (
3
) wegen Nichterfüllung ihrer Verpflichtungen aus Art. 5 Abs. 1 Buchst. e, Art. 5 Abs. 2 und Art. 6 DSGVO in ihrer Eigenschaft als Verantwortlicher für personenbezogene Daten von nicht weniger als 350000 ehemaligen Kunden.
2.
In dieser Sache geht es darum, ob der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO im Licht des 150. Erwägungsgrundes der DSGVO dahin auszulegen ist, dass er dem Begriff „Unternehmen“ im Wettbewerbsrecht der Union (Art. 101 und 102 AEUV) entspricht. Damit stellt sich die Frage, ob es angemessen ist, bei der Verhängung einer Geldbuße gegen eine Gesellschaft wegen Verstoßes gegen die DSGVO auf den gesamten Jahresumsatz der wirtschaftlichen Einheit (oder Gruppe), der die gegen die DSGVO verstoßende Gesellschaft angehört, und nicht lediglich auf den gesamten Jahresumsatz der betreffenden Gesellschaft selbst abzustellen.
3.
Die Besonderheit des vorliegenden Falls liegt darin, dass im Ausgangsverfahren die Geldbuße nicht von der nationalen Aufsichtsbehörde für Datenschutz im Rahmen ihrer Aufsichtsbefugnisse verhängt wurde, sondern von einem Gericht in einem Strafverfahren. Dies beruht auf einer vom Unionsgesetzgeber in die DSGVO aufgenommenen Sonderregelung, die insbesondere in Dänemark Anwendung findet.
I. Rechtlicher Rahmen
A.
Unionsrecht
4.
Die Erwägungsgründe 150 und 151 der DSGVO lauten:
„(150)
Um die verwaltungsrechtlichen Sanktionen bei Verstößen gegen diese Verordnung zu vereinheitlichen und ihnen mehr Wirkung zu verleihen, sollte jede Aufsichtsbehörde befugt sein, Geldbußen zu verhängen. In dieser Verordnung sollten die Verstöße sowie die Obergrenze der entsprechenden Geldbußen und die Kriterien für ihre Festsetzung genannt werden, wobei diese Geldbußen von der zuständigen Aufsichtsbehörde in jedem Einzelfall unter Berücksichtigung aller besonderen Umstände und insbesondere der Art, Schwere und Dauer des Verstoßes und seiner Folgen sowie der Maßnahmen, die ergriffen worden sind, um die Einhaltung der aus dieser Verordnung erwachsenden Verpflichtungen zu gewährleisten und die Folgen des Verstoßes abzuwenden oder abzumildern, festzusetzen sind. Werden Geldbußen Unternehmen auferlegt, sollte zu diesem Zweck der Begriff ‚Unternehmen‘ im Sinne der Artikel 101 und 102 AEUV verstanden werden. …
(151)
Nach den Rechtsordnungen Dänemarks und Estlands sind die in dieser Verordnung vorgesehenen Geldbußen nicht zulässig. Die Vorschriften über die Geldbußen können so angewandt werden, dass die Geldbuße in Dänemark durch die zuständigen nationalen Gerichte als Strafe und in Estland durch die Aufsichtsbehörde im Rahmen eines Verfahrens bei Vergehen verhängt wird, sofern eine solche Anwendung der Vorschriften in diesen Mitgliedstaaten die gleiche Wirkung wie die von den Aufsichtsbehörden verhängten Geldbußen hat. Daher sollten die zuständigen nationalen Gerichte die Empfehlung der Aufsichtsbehörde, die die Geldbuße in die Wege geleitet hat, berücksichtigen. In jede[m] Fall sollten die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein.“
5.
Art. 83 DSGVO („Allgemeine Bedingungen für die Verhängung von Geldbußen“) bestimmt:
„(1)   Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2)   Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
…
(3)   Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(4)   Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10000000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
…
(5)   Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20000000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
…
(6)   Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20000000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
…
(8)   Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.
…“
B.
Nationales Recht
6.
Das Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Gesetz Nr. 502 vom 23. Mai 2018 zur Ergänzung der Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) bestimmt in § 41:
„[Unterabs. 1.] Soweit nicht aufgrund anderer Vorschriften eine höhere Strafe gerechtfertigt ist, kann mit einer Geldbuße oder einer Freiheitsstrafe von bis zu sechs Monaten bestraft werden, wer verstößt gegen:
…
(4)
die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Art. 5 bis 7 und 9 [DSGVO],
…
Unterabs. 3. Bei Verhängung von Sanktionen gemäß den Unterabs. 1 und 2 ist Art. 83 Abs. 2 [DSGVO] einzuhalten.
…
Unterabs. 6. Unternehmen und weitere (juristische Personen) können gemäß den Vorschriften in Kapitel 5 des dänischen Strafgesetzbuchs strafrechtlich zur Verantwortung gezogen werden. …“
II. Sachverhalt des Ausgangsrechtsstreits und Vorlagefragen
7.
ILVA ist vor dänischen Gerichten angeklagt, vom Mai 2018 bis Januar 2019 ihre Verpflichtungen als Verantwortlicher aus Art. 5 Abs. 1 Buchst. e, Art. 5 Abs. 2 und Art. 6 DSGVO in Bezug auf die Aufbewahrung personenbezogener Daten ihrer früheren Kunden nicht erfüllt zu haben.
8.
ILVA betreibt eine Möbelhauskette und ist Teil der Lars Larsen Group (im Folgenden: Gruppe). Der Gesamtumsatz der Gruppe belief sich im Geschäftsjahr 2016/2017 auf 6,57 Mrd. Dänische Kronen (DKK) (etwa 881 Mio. Euro). Der darin enthaltene Umsatz der Tochtergesellschaft ILVA belief sich auf 1,8 Mrd. DKK (etwa 241 Mio. Euro).
9.
Auf Empfehlung der Datatilsyn (im Folgenden: Datenschutzbehörde, Dänemark; dies ist die dänische Datenschutzbehörde bzw. die Aufsichtsbehörde im Sinne der DSGVO) forderte die Staatsanwaltschaft, eine Geldbuße in Höhe von 1,5 Mio. DKK (etwa 201000 Euro) gegen ILVA zu verhängen. Der umsatzbezogene Rahmen für die Berechnung des Betrags dieser Geldbuße stellt nicht auf den Umsatz von ILVA ab, sondern auf den Gesamtumsatz der gesamten Gruppe.
10.
Mit Urteil vom 12. Februar 2021 befand das Ret i Aarhus (Gericht Aarhus, Dänemark) ILVA für schuldig im Sinne der Anklage, stellte jedoch – entgegen dem von der Staatsanwaltschaft erhobenen Vorwurf – fest, dass ILVA fahrlässig gehandelt habe. Das Gericht verurteilte ILVA zur Zahlung einer Geldbuße in Höhe von 100000 DKK (etwa 13400 Euro). Da die Anklage lediglich gegen ILVA und nicht gegen die gesamte Gruppe erhoben worden sei, sei es, so das Gericht, zudem nicht erforderlich, für die Berechnung der Geldbuße auf den Umsatz der gesamten Gruppe abzustellen. Zudem habe ILVA unabhängigen Einzelhandel betrieben und die Gruppe habe die Tochtergesellschaft nicht allein zu dem Zweck, die personenbezogenen Daten der Gruppe zu verwalten, gegründet.
11.
Gegen dieses Urteil legte die Staatsanwaltschaft Berufung ein zum vorlegenden Gericht, dem Vestre Landsret (Landgericht für Westdänemark). Das Gericht möchte wissen, ob der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO dahin zu verstehen ist, dass für die Festsetzung von Geldbußen wegen Verstoßes einer Gesellschaft gegen die DSGVO auf den Umsatz der Gruppe, der die betreffende Gesellschaft angehört, abzustellen ist.
12.
Die Staatsanwaltschaft ist der Ansicht, dass dies der Fall sei. Aus dem 150. Erwägungsgrund der DSGVO folge, dass dieser Begriff im Sinne der Art. 101 und 102 AEUV zu verstehen sei.
13.
ILVA ist dagegen der Meinung, dass bei der Festsetzung von Geldbußen wegen Verstoßes eines Unternehmens gegen die DSGVO nicht auf den Gesamtumsatz der Unternehmensgruppe, zu der die Gesellschaft gehöre, abzustellen sei. In diesem konkreten Fall richte sich die Anklage nur gegen ILVA, bei der es sich um eine Tochtergesellschaft handele, und nicht gegen die Muttergesellschaft.
14.
Das vorlegende Gericht meint, dass sich aus der DSGVO keine eindeutige Antwort auf diese Frage ergebe.
15.
Unter diesen Umständen hat das Vestre Landsret (Landgericht für Westdänemark) beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:
1.
Ist der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO als ein Unternehmen im Sinne der Art. 101 und 102 AEUV in Verbindung mit dem 150. Erwägungsgrund der DSGVO und der Rechtsprechung des Gerichtshofs der Europäischen Union im Bereich des Wettbewerbsrechts der Union zu verstehen, so dass der Begriff „Unternehmen“ jede Einheit erfasst, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von der Rechtsstellung dieser Einheit und der Art und Weise, in der sie finanziert wird?
2.
Falls die erste Frage zu bejahen ist: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass bei der Verhängung einer Geldbuße gegen ein Unternehmen der gesamte weltweit erzielte Jahresumsatz der wirtschaftlichen Einheit, zu der das Unternehmen gehört, zu berücksichtigen ist oder nur der gesamte weltweit erzielte Jahresumsatz des Unternehmens selbst?
III. Verfahren vor dem Gerichtshof
16.
ILVA und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Am 19. Juni 2024 fand eine mündliche Verhandlung statt, in der beide Parteien vertreten waren.
IV. Würdigung
A.
Einleitung
17.
Die besonderen Bestimmungen der DSGVO, die im vorliegenden Fall relevant sind (
4
) und insbesondere auf Dänemark Anwendung finden, sind vor dem Hintergrund zu sehen, dass die Datenschutzbehörde grundsätzlich nicht befugt ist, Verstöße gegen Datenschutzvorschriften mit Geldbußen zu ahnden. Vielmehr muss die Datenschutzbehörde, wenn sie es für erforderlich hält, der Polizei Anzeige erstatten (
5
). Sodann ermittelt die Polizei und entscheidet, ob es Gründe für eine förmliche Anklageerhebung gibt. Falls ja, wird die Sache an die Gerichte weitergeleitet, die den Fall prüfen und die Höhe der Geldbuße festsetzen.
B.
Zu den Vorlagefragen
18.
Meines Erachtens ist es sinnvoll, die beiden Fragen zusammen zu prüfen. Mit diesen Fragen möchte das vorlegende Gericht im Wesentlichen wissen, ob der Begriff „Unternehmen“ in Art. 83 Abs. 4 bis 6 DSGVO im Licht des 150. Erwägungsgrundes dieser Verordnung dahin auszulegen ist, dass er dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht. Damit stellt sich die Frage, ob bei der Verhängung einer Geldbuße gegen eine Gesellschaft wegen Verstoßes gegen die DSGVO der gesamte Jahresumsatz des Gesamtunternehmens (d. h. der wirtschaftlichen Einheit oder Gruppe, in diesem Fall der Lars Larsen Group, also etwa 881 Mio. Euro), zu der die gegen die DSGVO verstoßende Gesellschaft gehört (
6
), zu berücksichtigen ist und nicht lediglich der gesamte Jahresumsatz der betreffenden Gesellschaft selbst (d. h. von ILVA, also etwa 241 Mio. Euro).
1. Das Urteil in der Rechtssache Deutsche Wohnen
19.
Art. 83 DSGVO bildet die Rechtsgrundlage für die Verhängung von Geldbußen wegen Verstößen gegen die genannte Verordnung. Die DSGVO enthält keine für Durchsetzungszwecke vorgesehene Bestimmung des Begriffs „Unternehmen“, doch im 150. Erwägungsgrund der Verordnung heißt es, dass der Begriff „Unternehmen“ im Sinne der Grundsätze des Wettbewerbsrechts der Union ausgelegt werden sollte (
7
).
20.
Der Gerichtshof hatte jüngst Gelegenheit, einige (jedoch nicht sämtliche) Absätze von Art. 83 DSGVO auszulegen und auf einige Punkte einzugehen, mit denen die Vorlagefragen in dieser Rechtssache im Zusammenhang stehen.
21.
Im Urteil in der Rechtssache Deutsche Wohnen (
8
) hat der Gerichtshof insbesondere entschieden, dass „sich aus Art. 83 Abs. 4 bis 6 DSGVO, der die Berechnung der Geldbußen für die in diesen Absätzen aufgeführten Verstöße betrifft, [ergibt,] dass, wenn der Adressat der Geldbuße ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des betreffenden Unternehmens berechnet wird“.
22.
Der Gerichtshof hat klargestellt, dass für den
Höchstbetrag für die Geldbuße auf den gesamten weltweit erzielten Jahresumsatz (
9
) des „Unternehmens“ abzustellen ist, wobei dieser Begriff im Sinne des Wettbewerbsrechts der Union (Art. 101 und 102 AEUV) zu verstehen ist. Der Gerichtshof hat also angemerkt, dass der Unionsgesetzgeber eine Brücke schlagen wollte zwischen den Vorschriften der DSGVO und den Wettbewerbsvorschriften der Union, als er den Höchstbetrag für DSGVO-Geldbußen regelte.
23.
Art. 83 Abs. 4 bis 6 DSGVO ist nämlich Art. 23 Abs. 2 der Verordnung (EG) Nr. 1/2003 (
10
) insoweit vergleichbar, als beide eine gesetzliche Obergrenze für in der jeweiligen Verordnung vorgesehene Geldbußen festlegen.
24.
Der Gerichtshof hat seine Argumentation weiterentwickelt und ist auf die Voraussetzungen eingegangen, die für die Festsetzung des Betrags der Geldbuße gelten. Im Urteil in der Rechtssache Deutsche Wohnen (Rn. 58) hat der Gerichtshof ausgeführt, dass „nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten von der Aufsichtsbehörde unter Zugrundelegung des Begriffs der wirtschaftlichen Einheit im Sinne der … angeführten Rechtsprechung[ (
11
)] festgesetzt wird, die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen [kann], sowohl wirksam und verhältnismäßig als auch abschreckend zu sein“. Auch wenn der Gerichtshof in diesem Zusammenhang vom „Adressaten“ der Geldbuße gesprochen und damit die Verbindung zwischen der Geldbuße und der Person, gegen die sich der konkrete Vorwurf des Verstoßes gegen die DSGVO richtet, hervorgehoben hat, ist der Gerichtshof im Weiteren zum Begriff „Unternehmen“ („wirtschaftliche Einheit“) im Sinne des Wettbewerbsrechts der Union zurückgekehrt.
25.
Des Weiteren hat der Gerichtshof in Rn. 59 des genannten Urteils ausgeführt, dass „eine Aufsichtsbehörde, wenn sie aufgrund ihrer Befugnisse nach Art. 58 Abs. 2 DSGVO beschließt, gegen einen Verantwortlichen, der ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist oder einem solchen angehört, eine Geldbuße gemäß Art. 83 DSGVO zu verhängen, nach Art. 83 im Licht des 150. Erwägungsgrundes der DSGVO verpflichtet [ist], bei der Berechnung der Geldbußen für die in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße den Begriff ‚Unternehmen‘ im Sinne der Art. 101 und 102 AEUV zugrunde zu legen“ (
12
).
26.
Ich gelange zu dem Schluss, dass aus dem Urteil in der Rechtssache Deutsche Wohnen folgt, dass in Fällen, in denen der Verstoß gegen die DSGVO von einem Verantwortlichen oder Auftragsverarbeiter begangen wird, der ein Unternehmen ist (oder einem solchen angehört), bei der Errechnung des Höchstbetrags für die Geldbuße die Bezugnahme auf den gesamten weltweit erzielten Jahresumsatz des „Unternehmens“ im Sinne der Art. 101 und 102 AEUV verstanden wird. Allerdings wird damit nicht lediglich die Frage des Höchstbetrags für die Geldbuße, die potenziell gegen den betreffenden Verantwortlichen oder Auftragsverarbeiter verhängt werden kann, geklärt. Vielmehr wird damit auch die höchst nuancierte (und recht fallspezifische) Rechtsprechung zu den Begriffen „Unternehmen“ und „wirtschaftliche Einheit“ in gewissem Maße relevant, nämlich für die Bestimmung der Voraussetzungen für die Festsetzung der tatsächlichen Geldbuße, die für den betreffenden Verstoß gegen die DSGVO verhängt wird.
27.
Im Folgenden werde ich die Auswirkungen der Deutsche-Wohnen-Rechtsprechung im spezifischen Kontext des vorliegenden Falls untersuchen, um einen Rahmen vorzuschlagen, der dem vorlegenden Gericht Orientierung für die Festsetzung der Geldbuße gegen ILVA bieten dürfte.
2. Erster Prüfungsschritt nach dem Urteil in der Rechtssache Deutsche Wohnen: allgemeine Prüfung zur Festlegung des Höchstbetrags für die Geldbuße
28.
Wie oben in den Nrn. 25 und 26 ausgeführt, folgt aus dem Wortlaut von Art. 83 DSGVO, wenn man ihn im Licht des 150. Erwägungsgrundes dieser Verordnung liest, und aus der Deutsche-Wohnen-Rechtsprechung, dass in Fällen, in denen der Verantwortliche oder Auftragsverarbeiter ein „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ist (oder einem solchen angehört), für die Errechnung des Höchstbetrags für die Geldbuße auf den gesamten Umsatz des Unternehmens in seiner Gesamtheit abzustellen ist.
29.
Nach der Rechtsprechung des Gerichtshofs im Bereich des Wettbewerbsrechts „umfasst der Begriff des Unternehmens jede eine wirtschaftliche Tätigkeit ausübende Einheit, unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung“ (
13
).
30.
Aus der Rechtsprechung des Gerichtshofs folgt des Weiteren, dass sich der Begriff „Unternehmen“ in den Art. 101 und 102 AEUV auf eine einzige wirtschaftliche Einheit beziehen kann, selbst wenn die betreffende wirtschaftliche Einheit aus mehreren natürlichen oder juristischen Personen besteht. Ob mehrere Personen eine solche Einheit bilden, hängt weitgehend davon ab, ob die einzelne Person in ihrer Entscheidungsfindung frei ist oder ob eine führende Person, namentlich die Muttergesellschaft, bestimmenden Einfluss auf die anderen ausübt. Die Kriterien, nach denen dies zu bestimmen ist, stellen auf die wirtschaftlichen, rechtlichen und organisatorischen Bindungen zwischen der Muttergesellschaft und ihrer Tochtergesellschaft ab, z. B. den Umfang der Beteiligung, personelle oder organisatorische Bindungen, Anweisungen und das Bestehen vertraglicher Vereinbarungen zwischen den Gesellschaften (
14
).
31.
Aus der Rechtsprechung wird deutlich, dass die tatsächliche Ausübung eines bestimmenden Einflusses der Muttergesellschaft auf das Verhalten der Tochtergesellschaft aus einem Bündel übereinstimmender Umstände hergeleitet werden kann, auch wenn keiner dieser Umstände für sich allein genügt, um die Existenz eines solchen Einflusses zu belegen (
15
). In diesem Zusammenhang haben die Gerichte der Europäischen Union u. a. auf die Befugnis der Muttergesellschaft abgestellt, die Mitglieder der verschiedenen Vorstände der Tochtergesellschaft zu ernennen, sowie die Befugnis, die Aktionäre zu den Hauptversammlungen einzuladen und die Abberufung einzelner Vorstandsmitglieder oder ganzer Vorstände vorzuschlagen (
16
).
32.
Der ständigen Rechtsprechung ist zu entnehmen, dass in dem besonderen Fall, dass eine Muttergesellschaft das gesamte oder nahezu das gesamte Kapital ihrer Tochtergesellschaft, die gegen die Wettbewerbsregeln verstoßen hat, unmittelbar oder mittelbar hält, zum einen diese Muttergesellschaft einen bestimmenden Einfluss auf das Verhalten dieser Tochtergesellschaft ausüben kann und zum anderen eine widerlegliche Vermutung besteht, dass die Muttergesellschaft tatsächlich einen solchen Einfluss ausübt (
17
).
33.
Laut Rn. 2 der Vorlageentscheidung gehört ILVA zur Lars Larsen Group. Sollte das vorlegende Gericht feststellen, dass die Muttergesellschaft dieser Gruppe bestimmenden Einfluss auf ILVA ausübt, so würde das „Unternehmen“ im Sinne von Art. 83 Abs. 5 DSGVO Folgendes umfassen: i) die Muttergesellschaft der Gruppe; ii) ILVA und iii) jegliche sonstige Gesellschaft, über die die Muttergesellschaft ebenfalls bestimmenden Einfluss ausübt. Letztere Kategorie umfasst potenziell die übrigen Gesellschaften der Lars Larsen Group.
34.
Der „Umsatz“ wird in Art. 83 Abs. 4 bis 6 DSGVO ausdrücklich erwähnt („Jahresumsatz“), und zwar im Zusammenhang mit der Errechnung des Höchstbetrags für die Geldbuße, die gegen Gesellschaften verhängt werden könnte. Der Höchstbetrag betrifft sehr große Gesellschaften, da die Obergrenze keine Anwendung findet, wenn die Geldbuße unter dem in den einschlägigen drei Absätzen von Art. 83 jeweils genannten absoluten Betrag liegt, namentlich unter 10 Mio. Euro bzw. 20 Mio. Euro. Die umsatzbezogene Obergrenze ist folglich nur für Gesellschaften relevant, deren gesamter weltweit erzielter Umsatz 500 Mio. Euro übersteigt (
18
).
35.
Daraus folgt, falls das vorlegende Gericht feststellen sollte, dass die Muttergesellschaft der Lars Larsen Group bestimmenden Einfluss auf ILVA ausübt, dass – abstrakt gesehen – der Höchstbetrag für die im Ausgangsverfahren zu verhängende Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des betreffenden Unternehmens, d. h. der Lars Larsen Group (der ILVA angehört), zu errechnen wäre.
3. Zweiter Prüfungsschritt nach dem Urteil in der Rechtssache Deutsche Wohnen: Prüfung zur Festsetzung der tatsächlichen Geldbuße im Ausgangsverfahren
36.
Die Frage der vom Unionsgesetzgeber in Art. 83 Abs. 4 bis 6 DSGVO vorgesehenen Errechnung des Höchstbetrags für die Geldbuße darf nicht mit der anschließenden Aufgabe der Aufsichtsbehörde verwechselt oder vermengt werden, die darin besteht (
19
), die tatsächliche Geldbuße zu bestimmen, die wegen eines (oder mehrerer) in Rede stehender Verstöße gegen die DSGVO zu verhängen ist.
37.
Insoweit ist zunächst anzumerken, dass in Art. 83 Abs. 1 DSGVO drei Hauptvoraussetzungen (
20
) aufgeführt sind, die von der Aufsichtsbehörde einzuhalten sind. Jede dieser Voraussetzungen erfordert eine individuelle Abwägung sämtlicher Merkmale des in Rede stehenden Verstoßes sowie der zu verhängenden angemessenen tatsächlichen Geldbuße. Des Weiteren muss die Behörde gemäß Art. 83 Abs. 2 „[b]ei der Entscheidung über die Verhängung einer Geldbuße und über deren [angemessenen] Betrag“ eine Reihe von Anforderungen erfüllen. Die Anwendung von Art. 83 Abs. 4 bis 6 DSGVO im Zusammenhang mit der Bestimmung der Geldbuße im Einzelfall kann daher nur gänzlich verstanden werden, wenn diese Absätze in Verbindung mit Art. 83 Abs. 1 und 2 der genannten Verordnung gelesen werden. Besonders wichtig ist der letztgenannte Absatz, in dem bestimmte Umstände aufgeführt sind, die die Aufsichtsbehörde bei der Bestimmung des tatsächlichen Betrags der Geldbuße im Einzelfall berücksichtigen muss.
38.
Nach dem Wortlaut von Art. 83 Abs. 2 DSGVO gibt es mehrere Umstände, die „in jedem Einzelfall“ gebührend zu berücksichtigen sind, wobei es jedoch der Aufsichtsbehörde überlassen bleibt, die spezifischen Umstände, die für den ihr vorliegenden Fall von Belang sind, zu ermitteln und deren Relevanz für die Bestimmung der tatsächlichen Geldbuße festzustellen (
21
).
39.
Anders als in Art. 83 Abs. 4 bis 6 DSGVO (vgl. Nr. 34 dieser Schlussanträge) wird in Art. 83 Abs. 2 – wie auch in Art. 83 Abs. 1 bzw. Art. 83 Abs. 3 – dieser Verordnung (
22
) nicht auf den
Umsatz
des Unternehmens Bezug genommen. Folglich war es die Entscheidung des Unionsgesetzgebers, den „Umsatz“ nicht als einen für die Bestimmung der tatsächlichen Geldbuße zu berücksichtigenden spezifischen Umstand anzuführen. In Art. 83 Abs. 2 sind vielmehr andere Umstände (
23
) aufgelistet, die das Verhalten des Verantwortlichen oder Auftragsverarbeiters, dem ein Verstoß vorgeworfen wird, charakterisieren; damit soll sichergestellt werden, dass jeder Verstoß auf der Grundlage sämtlicher relevanten Umstände des Einzelfalls beurteilt wird. Meines Erachtens ist daraus zu schließen, dass der Unionsgesetzgeber unterscheiden wollte zwischen den Umständen, auf deren Grundlage der Höchstbetrag für die Geldbuße errechnet wird (erster Prüfungsschritt), und der Liste der Anforderungen, an die die Aufsichtsbehörde bei der Festsetzung der tatsächlichen Geldbuße gebunden ist (zweiter Prüfungsschritt).
40.
Insoweit möchte ich darauf hinweisen, dass der Gerichtshof hervorgehoben hat, dass „eine Sanktion, selbst wenn sie keinen strafrechtlichen Charakter besitzt, nur dann verhängt werden darf, wenn sie auf einer klaren und unzweideutigen Rechtsgrundlage beruht“ (
24
). Dies gilt erst recht für Strafverfahren wie dasjenige im vorliegenden Fall. In der Rechtsprechung des Gerichtshofs wird darauf verwiesen, „dass nach dem Grundsatz der Gesetzmäßigkeit das Gesetz die Straftaten und die für sie angedrohten Strafen klar definieren [muss], … [sowie] die Beurteilungskriterien der Rechtsklarheit nach der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte [(EGMR)]“ (
25
).
41.
Insoweit meint die Kommission im Wesentlichen, dass sich aus der DSGVO ergebe, dass im vorliegenden Fall nicht nur für den Höchstbetrag für die Geldbuße auf den Umsatz des Unternehmens, dem die Gesellschaft angehört, abzustellen sei, sondern auch für die Berechnung der tatsächlichen Geldbuße. Allerdings lassen die in den Nrn. 37 bis 40 der vorliegenden Schlussanträge aufgeführten Erwägungen den Schluss nicht zu, dass Art. 83 Abs. 1 bis 6 DSGVO dahin auszulegen wäre, dass die Regeln für die Errechnung des Höchstbetrags für die Geldbuße (erster Prüfungsschritt) auch als Haupt- oder einzige Rechtsgrundlage für die Bestimmung der tatsächlichen Geldbuße (zweiter Prüfungsschritt) angewandt werden müssten.
42.
Zweitens ergibt sich aus der zwischen den beiden Rechtsbereichen geschlagenen Brücke, dass sich das Erfordernis, zwischen dem Höchstbetrag für eine Geldbuße (erster Prüfungsschritt) und der tatsächlichen Geldbuße (zweiter Prüfungsschritt) zu unterscheiden, auch aus dem Wettbewerbsrecht der Union ableiten lässt. Im Wettbewerbsrecht der Union stellt die Kommission nämlich, was den Höchstbetrag für die Geldbuße angeht, ähnlich wie in Art. 83 DSGVO auf den Umsatz ab, um den Höchstbetrag für die Geldbuße zu berechnen (der auf 10 % des Gesamtumsatzes des Unternehmens je Zuwiderhandlung festgelegt ist). Dabei ist jedoch wichtig, hervorzuheben, dass der Grundbetrag der Geldbuße selbst nicht auf der Grundlage des Umsatzes errechnet wird (
26
).
43.
Vielmehr errechnet sich der Grundbetrag der Geldbuße im Wesentlichen als Prozentsatz des Werts des relevanten Umsatzes (der mit dem Wettbewerbsverstoß in einem unmittelbaren oder mittelbaren Zusammenhang steht) multipliziert mit der Dauer (Jahre oder Zeiträume von weniger als einem Jahr), zuzüglich 15 % bis 25 % des Werts des relevanten Umsatzes (als zusätzliche Abschreckung bei Kartellen). Dieser Grundbetrag der Geldbuße wird dann wegen erschwerender Umstände erhöht oder wegen mildernder Umstände ermäßigt. Der Betrag unterliegt einem Höchstbetrag von 10 % des Umsatzes (darüber hinaus besteht die Möglichkeit, die Geldbuße aufgrund einer Kronzeugenregelung, im Vergleichsverfahren oder wegen Zahlungsunfähigkeit zu ermäßigen.) Daraus wird deutlich, dass es die unmittelbar die Zuwiderhandlung charakterisierenden Umstände (etwa der relevante Umsatz, die Dauer der Zuwiderhandlung und die fallspezifischen Umstände) sind, die für die Bestimmung der tatsächlichen Geldbuße maßgeblich sind, und nicht der gesamte weltweit erzielte Jahresumsatz.
44.
In der Rechtsliteratur wurde bereits darauf hingewiesen, dass „sich die von der Kommission in Bezug auf die Art. 101 [und] 102 AEUV angewandte Methodologie für die Verhängung von Geldbußen nicht direkt auf die DSGVO übertragen lässt, da die im Wettbewerbsrecht der Union vorgesehenen Geldbußen darauf abzielen, die Wirkung zu erfassen, die das [wettbewerbswidrige] Verhalten im Markt hatte, und nicht auf den Umsatz an sich abstellen. Beispielsweise wird im Fall von Kartellen für die Geldbußen auf den Wert des Umsatzes mit ‚kartellierten Produkten‘ und nicht auf den weltweiten Umsatz abgestellt (
27
)“.
45.
In der Tat bestätigt die Rechtsprechung des Gerichtshofs, dass der Teil des Gesamtumsatzes, der aus dem Verkauf der Produkte stammt, die den Gegenstand der Zuwiderhandlung bilden, besser geeignet ist, die wirtschaftliche Bedeutung dieser Zuwiderhandlung wiederzugeben (
28
). Dagegen zielt der Begriff des Umsatzes in der DSGVO darauf ab, die wirtschaftliche Bedeutung des Unternehmens wiederzugeben (
29
). Diese beiden Ansätze dürfen nicht vermengt werden, da sie verschiedenen Zwecken dienen: Ersterer soll die Schwere der Zuwiderhandlung erfassen, Letzterer dagegen die wirtschaftliche Bedeutung des Unternehmens.
46.
Die vorstehenden Erwägungen und die Rechtsprechung des Gerichtshofs (die oben in Nr. 40 dieser Schlussanträge angeführt wurde) führen mich somit zu dem Schluss, dass die Grenzen des Einflusses der Rechtsprechung zum Wettbewerbsrecht der Union auf die Verhängung tatsächlicher Geldbußen wegen Verstößen gegen die DSGVO durch den Grundsatz der Gesetzmäßigkeit gesteckt werden müssen. Insbesondere ist sicherzustellen, dass die tatsächlichen DSGVO-Geldbußen allein in Bezug auf die Handlungen des Zuwiderhandelnden berechnet werden und sämtliche Merkmale des konkreten Verstoßes vollends berücksichtigen. Folglich lässt sich die Auslegung der Begriffe „Umsatz“ und „Unternehmen“ für die Errechnung des Höchstbetrags für die Geldbuße nicht automatisch auf die Berechnung der tatsächlichen Geldbuße übertragen.
47.
Damit eine Geldbuße den Zweck der DSGVO – nämlich die Stärkung der Durchsetzung der Vorschriften der Verordnung – erfüllt und im Licht der oben erörterten Rechtsprechung des Gerichtshofs sollte die Auslegung der Begriffe „Unternehmen“ und „Umsatz“ bei der Festsetzung des Betrags der tatsächlichen Geldbuße den folgenden Anforderungen genügen. Bei der Bestimmung der tatsächlichen Geldbuße muss die Aufsichtsbehörde erstens, wie in Art. 83 Abs. 2 DSGVO vorgesehen, sämtliche Umstände des Einzelfalls zum Ausgangspunkt nehmen, einschließlich des Verhältnisses innerhalb des „Unternehmens“, so wie dieses gemäß der Rechtsprechung zum Wettbewerbsrecht der Union ermittelt wird. Zweitens muss die tatsächliche Geldbuße, die sich aus der Abwägung sämtlicher relevanten Umstände ergibt, wirksam, verhältnismäßig und abschreckend sein. Der letzte, aber doch wichtige Punkt ist, dass gegebenenfalls alle für den Fall relevanten strafrechtlichen Aspekte zu beachten sind.
48.
Zur Erfüllung dieser Anforderungen möchte ich an Folgendes erinnern.
49.
Wie von Generalanwalt Pitruzzella angemerkt (
30
) wurde, hat der Begriff „Unternehmen“ im Unionsrecht eine Bedeutung und Tragweite, die den Regeln, in die er sich einfügt, und den verschiedenen Zielen, die mit dieser Regelung verfolgt werden sollen, innewohnt. Im europäischen Wettbewerbsrecht ist der funktionale Charakter des Begriffs „Unternehmen“ in zweifacher Hinsicht zu verstehen. Erstens stellt dieser Begriff auf die Art der ausgeübten Tätigkeit statt auf die Eigenschaften derjenigen, die sie ausüben, ab. Der Wettbewerb wird durch wirtschaftliche Tätigkeiten begründet und beeinflusst. Aus diesem Grund beziehen sich die Art. 101 und 102 AEUV allgemein auf „Unternehmen“, wobei von jeder Bezugnahme auf deren rechtliche Struktur abgesehen wird. Zweitens hängt die Einstufung einer Tätigkeit als wirtschaftliche Tätigkeit – und damit einer Einrichtung als Unternehmen – für die Zwecke des europäischen Wettbewerbsrechts vom geprüften Kontext ab. Ebenso hängt die Bestimmung der Einheiten, die in den Bereich des Unternehmens fallen, vom Gegenstand der zur Last gelegten Zuwiderhandlung ab.
50.
In diesen Ausführungen wird zutreffend auf das Primat der wirtschaftlichen Belange im Wettbewerbsrecht der Union hingewiesen, bei dem die rechtliche Struktur der in Rede stehenden Einheit außer Betracht bleibt. Allerdings setzt der zweite Aspekt dieser Ansicht insofern Grenzen, als die Ermittlung der für die Zuwiderhandlung haftbaren juristischen oder natürlichen Person und dementsprechend die tatsächliche Geldbuße von der in Rede stehenden Zuwiderhandlung selbst abhängt.
51.
Folglich ist eines der Elemente des Begriffs „Unternehmen“, das bei der Errechnung des Grundbetrags der Geldbuße und dessen Anpassung (zum Zweck der Festsetzung der tatsächlichen Geldbuße) zu berücksichtigen ist, der Grad der Mitwirkung anderer Gesellschaften des betreffenden Unternehmens am Verstoß gegen die DSGVO. In diesem Zusammenhang ist in nationaler Rechtsprechung zum Wettbewerbsrecht der Union die Ansicht vertreten worden, dass „in begrifflicher Hinsicht die Frage nach dem Bestehen eines ‚Unternehmens‘ von der Frage nach der Verteilung der Haftung unter verschiedenen Gesellschaften innerhalb eines ‚Unternehmens‘ zu unterscheiden ist …[ (
31
)] [und] eine Person nicht allein deshalb für eine Zuwiderhandlung im Sinne von Art. 101 [AEUV] haftet, weil sie Mitglied eines Unternehmens ist, das nach Unionsrecht für die Zuwiderhandlung verantwortlich ist, wenn der Sachverhalt so gelagert ist, dass die in Rede stehende Person weder an der Zuwiderhandlung beteiligt war noch bestimmenden Einfluss darauf hatte, wie sich andere Mitglieder des Unternehmens, die sich daran beteiligten, im relevanten Markt verhielten. … Bei einem solchen Sachverhalt mag es durchaus unwahrscheinlich sein, dass tatsächlich festgestellt würde, dass die in Rede stehende Person dem betreffenden ‚Unternehmen‘ angehörte“ (
32
).
52.
Die obigen Argumente sind meines Erachtens auch relevant für die Entscheidung, welche Personen für die Zwecke der Bestimmung der tatsächlichen Geldbuße für den Verstoß gegen die DSGVO unter den Begriff „Unternehmen“ fallen. Dies gilt insbesondere, wenn von der Aufsichtsbehörde – so wie es im Ausgangsverfahren der Fall ist – ausdrücklich festgestellt wurde, dass die Muttergesellschaft weder als Verantwortlicher noch als Auftragsverarbeiter an dem in Rede stehenden Verstoß beteiligt war (
33
).
53.
Auch wenn der Unionsgesetzgeber für die Zwecke der Festlegung von Höchstbeträgen für Geldbußen in einem gewissen eingeschränkten Umfang eine Brücke zwischen den beiden Gebieten des Unionsrechts geschlagen hat, ist es doch eindeutig so, dass die Vorschriften der DSGVO und die Regeln des Wettbewerbsrechts der Union unterschiedliche Zwecke verfolgen. Das Regelwerk der DSGVO unterscheidet sich von den Regeln des Wettbewerbsrechts der Union und beruht auf dem Begriff der Verantwortlichkeit des Verantwortlichen (und des Auftragsverarbeiters) für die rechtmäßige Verarbeitung personenbezogener Daten. Mit anderen Worten: Die Adressaten des Wettbewerbsrechts der Union sind „Unternehmen“ (die wettbewerbsrechtlichen Verbote sind an „Unternehmen“ gerichtet), wohingegen die DSGVO auf „Verantwortliche“ und „Auftragsverarbeiter“ fokussiert. Außerdem erinnere ich daran, dass sich der Gerichtshof im Hinblick darauf, dass die Lehre von der „wirtschaftlichen Einheit“ nicht von der allgemeinen Logik des Wettbewerbsrechts der Union und ihres Gegenstands abtrennbar ist, zuvor geweigert hat, deren Anwendung durch Analogie auf andere Bereiche des Unionsrechts – beispielsweise die außervertragliche Haftung gemäß Art. 340 Abs. 2 AEUV (
34
) – zu übertragen.
54.
Berücksichtigt man diese Erwägungen, so wird deutlich, weshalb der Gerichtshof die Bedeutung des Wettbewerbsrechts der Union für die Durchsetzung der DSGVO (und insbesondere für DSGVO-Geldbußen) klar eingegrenzt hat. Im Urteil in der Rechtssache Deutsche Wohnen (Rn. 53) hat der Gerichtshof entschieden, dass der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV „ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 … DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist“. Anschließend hat er (in Rn. 54) ausgeführt, dass dieser Begriff nämlich „nur relevant [ist], um die Höhe einer Geldbuße zu bestimmen, die gemäß Art. 83 Abs. 4 bis 6 DSGVO [in dem der Höchstbetrag der Geldbuße geregelt ist] gegen einen Verantwortlichen verhängt wird“ (Hervorhebung nur hier). Zudem hat der Gerichtshof, indem er (in Rn. 53) entschieden hat, dass die Frage, ob und unter welchen Voraussetzungen eine Geldbuße verhängt werden kann, „in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist“ (Hervorhebung nur hier), des Weiteren klargestellt, dass bei der Bestimmung der tatsächlichen Geldbuße die Anforderungen in Art. 83 Abs. 1 bis 6 vollumfänglich Anwendung finden und dass keiner dieser Absätze primus inter pares ist.
55.
Der „Umsatz“ des „Unternehmens“ ist also nur einer der zahlreichen Gesichtspunkte, die bei der Durchsetzung der DSGVO gegen einen Verantwortlichen (oder Auftragsverarbeiter) und der Verhängung einer DSGVO-Geldbuße, die wirksam, verhältnismäßig und abschreckend ist, zu berücksichtigen sind.
56.
Es stimmt, dass es nach der Rechtsprechung des Gerichtshofs zum Wettbewerbsrecht der Union in bestimmten Situationen gerechtfertigt sein mag, den Umsatz einer Gesellschaft – allerdings nur als einen unter mehreren relevanten Gesichtspunkten – bei der Berechnung des Betrags der tatsächlichen Geldbuße zu berücksichtigen (z. B. wenn der Grundbetrag der Geldbuße zu Abschreckungszwecken erhöht wird) (
35
).
57.
Deshalb sollte es meiner Meinung nach möglich sein, sich auf den Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV zu stützen, wenn es um die Festsetzung der tatsächlichen Geldbuße geht, jedoch nur, soweit dies im Hinblick auf die Zwecke der Abschreckungswirkung und Wirksamkeit der Geldbuße hinreichend gerechtfertigt ist. Insoweit muss dieser Begriff nuanciert und unter Berücksichtigung der Umstände des Einzelfalls verwendet werden. Genauer gesagt, lässt er sich als Anpassungsmechanismus verwenden, soweit es – nachdem die Geldbuße gemäß Art. 83 Abs. 2 DSGVO bestimmt wurde – um die Berücksichtigung der besonderen Umstände des Einzelfalls geht. Das vorlegende Gericht ist deshalb gehalten, festzustellen, ob im vorliegenden Fall Umstände gegeben sind, die es rechtfertigen würden, die Geldbuße in solcher Weise zu erhöhen, und zwar insbesondere für die Zwecke der Abschreckung.
58.
Mit der Frage der individuellen Anpassung der DSGVO-Geldbußen (
36
) hat sich auch der Europäische Datenschutzausschuss (im Folgenden: EDSA) befasst (
37
). Mit seinen Leitlinien für die Berechnung von Geldbußen im Sinne der DSGVO (
38
), die gemäß Art. 70 Abs. 1 Buchst. k DSGVO ausgearbeitet wurden, strebt der EDSA an, die in der DSGVO vorgesehenen Befugnisse der Aufsichtsbehörden zur Verhängung von Geldbußen unionsweit zu standardisieren. Dem EDSA zufolge bilden insbesondere drei Elemente „den Ausgangspunkt für die weitere Berechnung: [die] Einstufung von Verstößen nach Artikel 83 Absatz 4 bis 6 DSGVO, der Schweregrad des Verstoßes … und [der] Umsatz des Unternehmens als ein relevantes Element, das im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße gemäß Artikel 83 Absatz 1 DSGVO zu berücksichtigen ist“. Es stimmt zwar, dass diese Erwägungen für den Gerichtshof nicht verbindlich sind, sie zeigen jedoch, dass nur mit einem umfassenden Ansatz, der sämtliche für den Einzelfall relevanten Elemente berücksichtigt, sichergestellt werden kann, dass die Geldbuße die Hauptanforderungen gemäß Art. 83 DSGVO erfüllt, insbesondere, dass die tatsächlich verhängte Geldbuße wirksam, verhältnismäßig und abschreckend ist.
59.
Folglich schlage ich, was die Bestimmung des Betrags der tatsächlichen Geldbuße angeht, dem Gerichtshof vor, zu erwägen, dass die folgenden Aspekte für die Anwendung des Begriffs „Unternehmen“ im Zusammenhang mit der Festsetzung des Betrags der tatsächlichen Geldbuße gemäß Art. 83 DSGVO relevant sein sollten. Erstens sollte geprüft werden, ob die Muttergesellschaft in Bezug auf die konkreten Aktivitäten, durch die der in Rede stehende Verantwortliche oder Auftragsverarbeiter gegen die DSGVO verstieß, ihre Entscheidungsbefugnisse ausübte. Zweitens ist zu prüfen, ob die spezifische Datenverarbeitung, durch die gegen die DSGVO verstoßen wurde, die betreffende Gesellschaft und/oder die gesamte Gruppe betrifft. Drittens ist es erforderlich, festzustellen, ob an dem Verstoß bzw. den Verstößen gegen die DSGVO mehr als eine Gesellschaft, die der Gruppe angehört, beteiligt war.
60.
In diesem Zusammenhang würde ich die folgende nicht erschöpfende Liste von Elementen für relevant halten: i) im vorliegenden Fall (
39
) war weder die Lars Larsen Group noch deren Muttergesellschaft am Strafverfahren beteiligt – insofern unterscheidet sich dieser Fall von der Sache, in der das Urteil Deutsche Wohnen erging; ii) die Anklage wurde nur gegen ILVA und nicht gegen die Gruppe erhoben (
40
); und iii) beschränkte sich der Verstoß gegen die DSGVO im Ausgangsverfahren allein auf die Kunden von ILVA und die Daten dieser Kunden und es gab keinen Anhaltspunkt dafür, dass der Verstoß auf der Ebene der Gruppe selbst begangen wurde oder dass die Verarbeitung durch ILVA in Verbindung mit anderen Gesellschaften der Gruppe erfolgte. Es ist hervorzuheben, dass in der Sache, in der das Urteil Deutsche Wohnen erging, das „betreffende Unternehmen“ die gesamte Verantwortung für die Datenverarbeitung übernahm, d. h., auch für die Datenverarbeitung der anderen Gesellschaften in der Gruppe (
41
).
61.
Es ist jedoch Sache des vorlegenden Gerichts, das allein für die Entscheidung über den Sachverhalt zuständig ist, die hierzu erforderlichen Überprüfungen vorzunehmen und diese Elemente sowie die Relevanz und Gewichtung zu prüfen, die diesen im Zusammenhang mit der Festsetzung des angemessenen Betrags der tatsächlich gegen ILVA zu verhängenden Geldbuße zukommen sollte.
4. Schlussbemerkungen
62.
Auch wenn das vorlegende Gericht keine diesbezüglichen Fragen gestellt hat, denke ich, dass es der Vollständigkeit halber angezeigt ist, kurz auf einige spezifische Aspekte des vorliegenden Falls einzugehen.
63.
In der Sache im Ausgangsverfahren muss die Auslegung von Art. 83 Abs. 1 bis 6 insbesondere in Verbindung mit Art. 83 Abs. 9 DSGVO erfolgen (
42
) – dies war nicht Gegenstand des Urteils des Gerichtshofs in der Rechtssache Deutsche Wohnen (
43
). Die Auslegung der Regeln, nach denen eine angemessene tatsächliche Geldbuße gemäß Art. 83 DSGVO festgesetzt wird, muss also im vorliegenden Fall mit den wesentlichen Strafverfahrensgarantien im Einklang stehen.
64.
Bei der Prüfung der Bedeutung von Art. 83 Abs. 9 für den vorliegenden Fall ist auch der 151. Erwägungsgrund der DSGVO zu berücksichtigen, laut dem „[n]ach den Rechtsordnungen Dänemarks und Estlands[ (
44
)] … die in dieser Verordnung vorgesehenen Geldbußen nicht zulässig [sind]“. Des Weiteren gibt der Erwägungsgrund Orientierung hinsichtlich der Vereinbarkeit der verschiedenen Verfahren mit den drei in der DSGVO vorgesehenen Hauptvoraussetzungen, die die tatsächliche Geldbuße erfüllen muss, nämlich, dass „[i]n jede[m] Fall … die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein [sollten]“. Es ist daher von Belang, kurz auf die Bedeutung des Unionsrechts über in Strafverfahren verhängte Geldbußen einzugehen, um sicherzustellen, dass diese drei Voraussetzungen auch in einem konkreten Fall wie diesem erfüllt werden.
65.
In der mündlichen Verhandlung stützte sich ILVA zum einen auf Art. 41 der Charta der Grundrechte der Europäischen Union (im Folgenden: Charta). Dieser Artikel ist mit „Recht auf eine gute Verwaltung“ überschrieben, wobei insbesondere in Art. 41 Abs. 2 Buchst. c „die Verpflichtung der Verwaltung, ihre Entscheidungen zu begründen“, angeführt wird; in ihren Ausführungen ist ILVA darauf allerdings nicht im Einzelnen eingegangen.
66.
Zum anderen stützte sich ILVA auf Art. 49 der Charta. Dieser Artikel der Charta, der mit „Grundsätze der Gesetzmäßigkeit und der Verhältnismäßigkeit im Zusammenhang mit Straftaten und Strafen“ überschrieben und deshalb für den Fall im Ausgangsverfahren relevant ist, ist meines Erachtens bei der Auslegung von Art. 83 Abs. 1 bis 6 DSGVO zu berücksichtigen. Art. 49 Abs. 3 der Charta bestimmt insbesondere, dass „[d]as Strafmaß … zur Straftat nicht unverhältnismäßig sein [darf]“.
67.
Aus der Rechtsprechung des Gerichtshofs folgt, dass der Grundsatz der Verhältnismäßigkeit zu den allgemeinen Grundsätzen des Unionsrechts gehört, die den gemeinsamen Verfassungstraditionen der Mitgliedstaaten zugrunde liegen und die von den nationalen Behörden bei der Umsetzung des Unionsrechts einzuhalten sind. Er verpflichtet die Mitgliedstaaten, Maßnahmen zu erlassen, die für die Erreichung der angestrebten Ziele geeignet sind und nicht über das dazu Erforderliche hinausgehen (
45
).
68.
Somit muss die Schwere einer Sanktion der Schwere der betreffenden Straftat entsprechen, wobei sich eine solche Anforderung sowohl aus Art. 52 Abs. 1 der Charta als auch aus dem in Art. 49 Abs. 3 der Charta verankerten Grundsatz der Verhältnismäßigkeit der Strafen ergibt (
46
).
69.
Nach den Erläuterungen zur Charta (
47
) ergibt sich aus Art. 52 Abs. 3 der Charta, dass das in Art. 49 der Charta garantierte Recht, insoweit als es einem durch die am 4. November 1950 in Rom unterzeichnete Europäische Konvention zum Schutz der Menschenrechte und Grundfreiheiten (im Folgenden: EMRK) garantierten Recht entspricht, die gleiche Bedeutung und Tragweite hat, die ihm in der EMRK verliehen wird. Folglich gelten für einen Fall wie den des Ausgangsverfahrens gemäß Art. 17 Abs. 1 in Verbindung mit Art. 51 Abs. 1 sowie Art. 52 Abs. 1 und 3 der Charta die Anforderungen des Europäischen Gerichtshofs für Menschenrechte im Bereich der Verhältnismäßigkeit von Sanktionen (
48
).
70.
Nach der Rechtsprechung des Gerichtshofs verlangt der Grundsatz der Verhältnismäßigkeit erstens, dass die verhängte Sanktion der Schwere der Straftat entspricht, und zweitens, dass die individuellen Umstände des Einzelfalls sowohl bei der Bestimmung der Sanktion als auch bei der Festlegung der Höhe der Geldbuße berücksichtigt werden (
49
). Was das zweite Element betrifft, so wird in der Rechtsprechung betont, dass das vorlegende Gericht gehalten ist, objektive Kriterien wie die Schwere und Dauer der Zuwiderhandlung sowie etwaige erschwerende oder mildernde Umstände zu berücksichtigen, um zu gewährleisten, dass die Geldbuße wirksam, abschreckend und verhältnismäßig ist (
50
).
71.
Zweitens wird in der Rechtsprechung des EGMR in solchen Fällen eine Interessenabwägung vorgenommen sowie Art, Schweregrad und Abschreckungswirkung der gegen den Antragsteller verhängten strafrechtlichen Sanktion berücksichtigt. Es wird klargestellt, dass die dem Schutz der Öffentlichkeit dienende (
51
) Verpflichtung des Staates zur Strafrechtsdurchsetzung und Strafzumessung (
52
) mit der entsprechenden Verpflichtung einhergeht, sicherzustellen, dass keine übermäßigen Strafen verhängt werden.
72.
Der EGMR hat entschieden, dass „das erforderliche Gleichgewicht nicht gewahrt sein wird, wenn der betreffenden Person eine individuelle und übermäßige Last auferlegt wird“; folglich „kann eine finanzielle Verbindlichkeit, die sich aus einer Geldbuße ergibt, die durch diese Bestimmung gewährte Garantie untergraben, wenn sie die Person übermäßig belastet oder deren Finanzlage grundlegend beeinträchtigt“ (
53
).
73.
Daraus folgt, dass es im Hinblick auf die besonderen verfahrensrechtlichen Aspekte der Sache im Ausgangsverfahren sowie das Unionsrecht und die Rechtsprechung des EGMR zu in Strafverfahren verhängten Bußgeldern erforderlich ist, dass das vorlegende Gericht, wenn es den Betrag der tatsächlichen Geldbuße für den Verstoß gegen die DSGVO bemisst, alle relevanten Elemente des Einzelfalls berücksichtigt. Wegen der Verfahrensgarantien für Beschuldigte wie auch des Grundsatzes der Verhältnismäßigkeit, so wie dieser in der Rechtsprechung des Gerichtshofs und des EGMR ausgelegt wird, ist es erforderlich, dass strafrechtliche Sanktionen der Schwere der Straftat angemessen sind und die besonderen Umstände des Einzelfalls berücksichtigen.
74.
Im Licht dieser Anforderungen muss das vorlegende Gericht sicherstellen, dass bei der Bestimmung der tatsächlichen Geldbuße der Grundsatz der Verhältnismäßigkeit beachtet wird, indem ein angemessener Ausgleich getroffen wird zwischen den Forderungen, die sich aus dem allgemeinen Interesse der Gemeinschaft am Schutz personenbezogener Daten ergeben, und den Anforderungen, die sich aus dem Schutz der Grundrechte (
54
) des Verantwortlichen, des Auftragsverarbeiters oder des Unternehmens, dem diese angehören, ergeben.
V. Ergebnis
75.
Ich schlage dem Gerichtshof vor, die Vorlagefrage des Vestre Landsret (Landgericht für Westdänemark, Dänemark) wie folgt zu beantworten:
Art. 83 Abs. 4 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist für die Zwecke der Errechnung des Höchstbetrags für die Geldbuße dahin auszulegen, dass bei der Verhängung von Geldbußen gegen einen Verantwortlichen oder Auftragsverarbeiter, der ein Unternehmen ist (oder einem solchen angehört), der Begriff „Unternehmen“ dahin auszulegen ist, dass er dem Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV entspricht. Folglich ist der gesamte weltweit erzielte Jahresumsatz des Unternehmens, dem der Verantwortliche oder Auftragsverarbeiter angehört, zu berücksichtigen.
Für die Bestimmung der tatsächlich zu verhängenden Geldbuße ist der Begriff „Unternehmen“ jedoch in Verbindung mit Art. 83 Abs. 1 und 2 der Verordnung 2016/679 auszulegen und bei der Prüfung der besonderen Umstände des Einzelfalls als eines von mehreren relevanten Elementen zu berücksichtigen. In diesem Zusammenhang können sich die besonderen Umstände auf die Entscheidungsbefugnisse der Muttergesellschaft, den Umfang der gegen die Bestimmungen dieser Verordnung verstoßenden Datenverarbeitung und die Zahl der am Verstoß beteiligten Einheiten des Unternehmens beziehen.
Ferner ist die tatsächliche Geldbuße, wenn eine solche Geldbuße in Verbindung mit Art. 83 Abs. 9 der Verordnung 2016/679 im Zuge eines Strafverfahrens durch ein nationales Gericht verhängt wird, im Licht der im Strafrecht geltenden Grundsätze zu bemessen. In diesem Zusammenhang muss das nationale Gericht sicherstellen, dass bei der Festsetzung der tatsächlichen Geldbuße der Grundsatz der Verhältnismäßigkeit beachtet wird, indem ein angemessener Ausgleich getroffen wird zwischen den Forderungen, die sich aus dem allgemeinen Interesse der Gemeinschaft am Schutz personenbezogener Daten ergeben, und den Anforderungen, die sich aus dem Schutz der Grundrechte des Verantwortlichen, des Auftragsverarbeiters oder des Unternehmens, dem diese angehören, ergeben.
(
1
)	Originalsprache: Englisch.
(
2
)	Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
3
)	In nationalen Quellen wird die Sache im Ausgangsverfahren auch mit dem vormaligen Firmennamen von ILVA als die Sache „IDdesign A/S“ bezeichnet.
(
4
)	Insbesondere Art. 83 Abs. 9 und der 151. Erwägungsgrund der DSGVO.
(
5
)	Vgl. Overby, T., „The Danish adaptation of the GDPR“, Blog Droit Européen, Juni 2018, S. 4 und 5.
(
6
)	Was den genauen Wortlaut der zweiten Vorlagefrage angeht (vgl. Nr. 15 der vorliegenden Schlussanträge), so scheint ein Schreibfehler unterlaufen zu sein. Aus dem Kontext ergibt sich jedoch, dass das vorlegende Gericht nicht die Absicht hatte, zwischen „der wirtschaftlichen Einheit, zu der das Unternehmen gehört,“ und „[dem] Unternehmen selbst“ zu unterscheiden, sondern zwischen „der wirtschaftlichen Einheit, zu der die Gesellschaft gehört,“ und „der Gesellschaft selbst“ (d. h. der gegen die DSGVO verstoßenden juristischen Person).
(
7
)	Dieser Erwägungsgrund ist in Nr. 4 dieser Schlussanträge angeführt.
(
8
)	Urteil vom 5. Dezember 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, Rn. 57, im Folgenden: Urteil in der Rechtssache Deutsche Wohnen oder Deutsche-Wohnen-Rechtsprechung). Vgl. in diesem Zusammenhang auch das am selben Tag verkündete Urteil in der Rechtssache Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).
(
9
)	Aus der Rechtsprechung des Gerichtshofs wird deutlich, „dass der Umsatz ein zwar vages und unvollkommenes, aber doch angemessenes Kriterium für die Beurteilung der Größe und Wirtschaftskraft der betreffenden Unternehmen ist“. Vgl. Urteil vom 8. Dezember 2011, KME Germany u. a./Kommission (C‑272/09 P, EU:C:2011:810, Rn. 52).
(
10
)	Verordnung (EG) Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Art. [101 und 102 AEUV] niedergelegten Wettbewerbsregeln (ABl. 2003, L 1, S. 1).
(
11
)	Urteil vom 6. Oktober 2021, Sumal (C‑882/19, EU:C:2021:800, Rn. 41 und die dort angeführte Rechtsprechung).
(
12
)	Was die nationale Rechtsprechung angeht, vgl. Landgericht Bonn (Urteil vom 11. November 2020, DE:LGBN:2020:1111.29OWI1.20.00) sowie Conseil d’État (Staatsrat, Frankreich) (Urteil vom 19. Juni 2020, FR:CECHR:2020:430810.20200619). Beide folgen im Wesentlichen der vom Gerichtshof vorgenommenen Auslegung (obwohl sie dessen Urteil vorausgingen). Zur gegenteiligen Auslegung vgl. Bundesverwaltungsgericht, Österreich (Urteil vom 19. August 2019, AT:BVWG:2019:W211.2208885.1.00) und Landgericht Berlin, Deutschland (Urteil vom 18. Februar 2021, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; dies ist das Urteil, das letztlich Anlass zum Urteil des Gerichtshofs in der Rechtssache Deutsche Wohnen gab). Was nach dem Urteil des Gerichtshofs ergangene Entscheidungen, die dessen Rechtsprechung anwenden, betrifft, vgl. Bundesverwaltungsgericht, Österreich (Urteil vom 27. März 2024, AT:BVWG:2024:W214.2243436.1.00).
(
13
)	Vgl. Urteil vom 23. April 1991, Höfner und Elser (C‑41/90, EU:C:1991:161, Rn. 21). Vgl. auch z. B. Urteile vom 12. September 2000, Pavlov u. a. (C‑180/98 bis C‑184/98, EU:C:2000:428, Rn. 74), vom 12. Juli 2012, Compass-Datenbank (C‑138/11, EU:C:2012:449, Rn. 35), und vom 27. April 2017, Akzo Nobel u. a./Kommission (C‑516/15 P, EU:C:2017:314, Rn. 47).
(
14
)	Vgl. z. B. Urteil vom 20. Januar 2011, General Química u. a./Kommission (C‑90/09 P, EU:C:2011:21, Rn. 37). Das Hauptkriterium in diesem Zusammenhang ist der „bestimmende Einfluss“, dessen Feststellung auf konkrete Belege (wirtschaftliche, organisatorische und rechtliche Bindungen) gestützt sein muss.
(
15
)	Urteil vom 27. Januar 2021, The Goldman Sachs Group/Kommission (C‑595/18 P, EU:C:2021:73, Rn. 67 und die dort angeführte Rechtsprechung).
(
16
)	Ebd. (Rn. 71).
(
17
)	Ebd. (Rn. 32 und die dort angeführte Rechtsprechung).
(
18
)	Der Betrag von 2 % des gesamten weltweit erzielten Umsatzes einer Gesellschaft ist nur dann höher als 10 Mio. Euro, wenn der Umsatz der Gesellschaft 500 Mio. Euro übersteigt. Gleichermaßen ist der Betrag von 4 % des gesamten weltweit erzielten Umsatzes einer Gesellschaft nur dann höher als 20 Mio. Euro, wenn der Umsatz der Gesellschaft 500 Mio. Euro übersteigt.
(
19
)	In diesen Schlussanträgen werde ich in diesem Zusammenhang von der/einer Aufsichtsbehörde sprechen, wobei jedoch klar ist, dass – wegen des besonderen Sachverhalts im Ausgangsverfahren – diese Ausführungen auch für das vorlegende Gericht gelten (weil dieses – und nicht die Aufsichtsbehörde – mit der Verhängung der Geldbuße gegen ILVA befasst ist).
(
20
)	„Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist“ (Hervorhebung nur hier).
(
21
)	Vgl. insoweit die in Nr. 40 der vorliegenden Schlussanträge angeführte Rechtsprechung.
(
22
)	Letztere Vorschrift betrifft Situationen, in denen gleichzeitig gegen mehrere Bestimmungen der DSGVO verstoßen wird.
(
23
)	Solche Umstände sind beispielsweise: Art, Schwere und Dauer des Verstoßes, Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, getroffene Schadenminderungsmaßnahmen, etwaige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters, der Umfang der Zusammenarbeit mit der Aufsichtsbehörde, die Kategorien der von dem Verstoß betroffenen personenbezogenen Daten usw.
(
24
)	Urteil vom 25. September 1984, Könecke (117/83, EU:C:1984:288, Rn. 11).
(
25
)	Urteil vom 18. Juli 2013, Schindler Holding u. a./Kommission (C‑501/11 P, EU:C:2013:522, Rn. 57 und die dort angeführte Rechtsprechung).
(
26
)	Vgl. Ziff. 32 („Rechtliche Obergrenze“) und Ziff. 13 (hinsichtlich des „Grundbetrags der Geldbuße“) der Leitlinien für das Verfahren zur Festsetzung von Geldbußen gemäß Art. 23 Abs. 2 Buchst. a der Verordnung Nr. 1/2003 (ABl. 2006, C 210, S. 2, im Folgenden: Leitlinien zur Festsetzung von Geldbußen von 2006).
(
27
)	Mayer Brown, Yaros, O. et al., „GDPR fines – Lessons from competition law“, Dezember 2018, S. 4.
(
28
)	Urteil vom 12. November 2014, Guardian Industries und Guardian Europe/Kommission (C‑580/12 P, EU:C:2014:2363, Rn. 59).
(
29
)	Gemäß Ziff. 30 der Leitlinien zur Festsetzung von Geldbußen von 2006 „[wird] die Kommission … besonders darauf achten, dass die Geldbußen eine ausreichend abschreckende Wirkung entfalten; zu diesem Zweck kann sie die Geldbuße gegen Unternehmen erhöhen, die besonders hohe Umsätze mit Waren oder Dienstleistungen, die nicht mit der Zuwiderhandlung in Zusammenhang stehen, erzielt haben“ (Hervorhebung nur hier). Vgl. in diesem Zusammenhang Urteil vom 6. Februar 2014, Elf Aquitaine/Kommission (T‑40/10, EU:T:2014:61, Rn. 350 bis 357 und die dort angeführte Rechtsprechung).
(
30
)	Diese Ausführungen machte er in seinen Schlussanträgen in der wettbewerbsrechtlichen Sache Sumal (C‑882/19, EU:C:2021:293, Nrn. 23 bis 25).
(
31
)	Vgl. z. B. die vor dem Brexit ergangene Entscheidung des United Kingdom Competition Appeal Tribunal [Wettbewerbsgericht, Vereinigtes Königreich] in der Sache Sainsbury’s Supermarkets Ltd v Mastercard Incorporated and Others (2016) CAT 11, Rn. 363(20) bis (22).
(
32
)	Ebd. (Rn. 363[23]).
(
33
)	Aus den dem Gerichtshof vorliegenden Dokumenten geht hervor, dass dies hier der Fall war, da von der Staatsanwaltschaft keine Anklage gegen die Muttergesellschaft erhoben wurde, „da es hierfür keine Grundlage gebe“ und die Tochtergesellschaft (ILVA) „eine selbstständige Einzelhandelstätigkeit ausübt und die Muttergesellschaft … nicht eine Tochtergesellschaft allein zu dem Zweck gegründet hat, dieser die Verarbeitung personenbezogener Daten der Unternehmensgruppe zu übertragen“. Vgl. Rn. 5 und 21 der Vorlageentscheidung.
(
34
)	In seinem Urteil vom 5. September 2019, Europäische Union/Guardian Europe und Guardian Europe/Europäische Union (C‑447/17 P und C‑479/17 P, EU:C:2019:672, Rn. 105 und 106) hat der Gerichtshof entschieden, dass der Begriff „Unternehmen“ im Sinne der Lehre von der „wirtschaftlichen Einheit“ speziell für die Durchführung der einschlägigen Bestimmungen des Wettbewerbsrechts der Union und insbesondere für die Bestimmung des Urhebers einer Zuwiderhandlung gegen die Art. 101 und 102 AEUV verwendet wird. Hingegen ist dieser Begriff im Rahmen einer auf Art. 340 Abs. 2 AEUV gestützten Schadensersatzklage nicht anwendbar. Bei einer solchen Klage handelt es sich nämlich um eine Klage des allgemeinen Rechts, die den allgemeinen Verfahrensvorschriften unterliegt, für die im betreffenden Fall unabhängig von der Systematik der Haftung im Hinblick auf das Kartellrecht die Grundsätze des Gesellschaftsrechts gelten.
(
35
)	Urteil vom 17. Juni 2010, Lafarge/Kommission (C‑413/08 P, EU:C:2010:346, Rn. 102 und die dort angeführte Rechtsprechung). Vgl. auch Fn. 30 der vorliegenden Schlussanträge.
(
36
)	In dem Bestreben, mit der Geldbuße der konkreten Situation desjenigen, der den Verstoß begangen hat, gerecht zu werden.
(
37
)	Der EDSA ist eine unabhängige Einrichtung der Union mit eigener Rechtspersönlichkeit, deren Zweck es ist, die einheitliche Anwendung der DSGVO sicherzustellen und die Zusammenarbeit zwischen den Datenschutzbehörden in der Europäischen Union zu fördern.
(
38
)	Leitlinien 04/2022 für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, angenommen am 24. Mai 2023, Nr. 48.
(
39
)	In der Vorlageentscheidung im vorliegenden Fall wird (auf Seite 3) darauf hingewiesen, dass „[a]us dem Anklagegrundsatz [im nationalen Gesetz] folgt, dass das Gericht keine Taten aburteilen kann, die nicht von der Anklage erfasst sind. Es würde einen Verstoß gegen den in dieser Bestimmung verankerten Grundsatz darstellen, Umständen, die ein anderes Rechtssubjekt betreffen, gegen das keine Anklage erhoben wurde, im Hinblick auf die Verhängung einer Strafe strafschärfende Bedeutung beizumessen“.
(
40
)	Wobei die nationalen Leitlinien für die Verhängung von Geldbußen vorsehen, dass, „falls der Verantwortliche eine Tochtergesellschaft der Gruppe ist, untersucht werden sollte, ob auch die Muttergesellschaft strafrechtlich zur Rechenschaft gezogen werden kann“. Vgl. Bødevejledning – Udmåling af bøder til virksomheder (Leitlinien für die Verhängung von Geldbußen – Verhängung von Geldbußen gegen Gesellschaften), Januar 2021, S. 3.
(
41
)	In der Sache, in der das Urteil Deutsche Wohnen erging, erfolgten die Verstöße auf der Ebene der gesamten Gruppe, zu der das betreffende Unternehmen gehörte. Vgl. hinsichtlich der tatsächlichen Unterschiede zwischen diesen beiden Sachen insbesondere die Rn. 10 bis 12 des Urteils Deutsche Wohnen.
(
42
)	Ich erinnere daran, dass die Vorschrift insbesondere bestimmt, dass, falls „die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor[sieht], … dieser Artikel so angewandt werden [kann], dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jede[m] Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. …“
(
43
)	Grund dafür war, dass diese Bestimmung für die Lösung des betreffenden Falls nicht relevant war.
(
44
)	In Irland bedürfen die von der Aufsichtsbehörde für Datenschutz verhängten Geldbußen der gerichtlichen Bestätigung. Vgl. Sections 141 bis 143 des Data Protection Act 2018 (Datenschutzgesetz von 2018). Außerdem ist aus der Entscheidung des Vrhovno sodišče (Oberster Gerichtshof, Slowenien) vom 16. März 2021 ersichtlich, dass auch Slowenien keine Geldbußen gestattet.
(
45
)	Vgl. in diesem Sinne Urteil vom 4. Oktober 2018, Link Logistik N&N (C‑384/17, EU:C:2018:810, Rn. 40 und die dort angeführte Rechtsprechung, im Folgenden: Urteil Link Logistik).
(
46
)	Ebd., Rn. 42 und die dort angeführte Rechtsprechung.
(
47
)	ABl. 2007, C 303, S. 17.
(
48
)	Vgl. auch Urteil Link Logistik (Rn. 43).
(
49
)	Urteil Link Logistik (Rn. 45).
(
50
)	Vgl. in diesem Sinne Urteil vom 10. November 2022, Zenith Media Communications (C‑385/21, EU:C:2022:866, Rn. 41).
(
51
)	Vgl. z. B. EGMR, 16. Dezember 1999, T./Vereinigtes Königreich (CE:ECHR:1999:1216JUD002472494, § 97), unter Bezugnahme auf EGMR, 23. September 1998, A./Vereinigtes Königreich (CE:ECHR:1998:0923JUD002559994, § 22), und EGMR, 28. Oktober 1998, Osman/Vereinigtes Königreich (CE:ECHR:1998:1028JUD002345294, § 115).
(
52
)	Vgl. z. B. EGMR, 4. Dezember 2003, M.C./Bulgarien (CE:ECHR:2003:1204JUD003927298).
(
53
)	Vgl. z. B. EGMR, 27. Oktober 2015 (Konstantin Stefanov/Bulgarien, CE:ECHR:2015:1027JUD003539905, § 55).
(
54
)	Ebd., §§ 54, 55, 66, 67, 69 und 70. Vgl. auch EGMR, 5. Juli 2001, Phillips/Vereinigtes Königreich (CE:ECHR:2001:0705JUD004108798, § 35), und EGMR, 24. Juni 2021, Imeri/Kroatien (CE:ECHR:2021:0624JUD007766814, § 71).