Source: https://www.beiten-burkhardt.com/de/blogs/neues-konzept-zur-bussgeldzumessung-bei-verstoessen-gegen-die-dsgvo
Timestamp: 2020-07-07 10:21:55
Document Index: 161318562

Matched Legal Cases: ['Art. 58', 'Art. 83', 'Art. 83', 'Art. 83', 'Art. 83', 'Art. 83', 'Art. 83', 'Art. 17', 'BGH']

Neues Konzept zur Bußgeldzumessung bei Verstößen gegen die DSGVO | BEITEN BURKHARDT
BLOG - 25.10.2019
Am 10. Oktober 2019 berichteten wir im Blog über das bis dato noch unveröffentlichte Konzept der Datenschutzaufsichtsbehörden zur Bußgeldzumessung bei Verstößen gegen die DSGVO. Nunmehr hat Datenschutzkonferenz (DSK) am 16. Oktober 2019 und damit früher als angekündigt, das Konzept veröffentlicht (hier abrufbar). Wie bereits berichtet (Datenschutzaufsichtsbehörden erarbeiten Konzept zur Bußgeldbemessung bei Verstößen gegen die DSGVO), sieht das Konzept eine komplexe Rechenformel vor, die in Zukunft zu deutlich höheren Geldbußen bei Datenschutzverstößen führen wird. Der vorliegende Beitrag gibt einen Überblick.
Je nach den konkreten Umständen des Einzelfalls werden sie neben oder anstelle von Maßnahmen nach Art. 58 Abs. 2 DSGVO verhängt (Art. 83 Abs. 2 Satz 1 DSGVO). Art. 83 Abs. 2 Satz 2 DSGVO sieht für die Bemessung der Bußgeldhöhe eine Vielzahl von Kriterien vor. Die Höhe der Geldbuße kann bis zu EUR 20 Mio. oder bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes der Unternehmensgruppe im vorangegangenen Geschäftsjahr betragen, wenn dieser Betrag höher ist (vgl. Art. 83 Abs. 4 bis 6 DSGVO).
2. Neues Konzept zur Bußgeldbemessung der Datenschutzkonferenz
Mit Pressemitteilung vom 16. Oktober 2019 führt die DSK aus, dass mit dem Konzept „ein Beitrag zur Transparenz im Hinblick auf die Durchsetzung des Datenschutzrechts geleistet werden“ soll. Insbesondere sollen „Verantwortliche und Auftragsverarbeiter in die Lage“ versetzt werden, „die Entscheidungen der Aufsichtsbehörden nachzuvollziehen“. Dabei soll das Konzept nur eine vorübergehende Wirkung entfalten, nämlich solange, bis eine europäische Regelung durch den Europäischen Datenschutzausschuss (EDSA) getroffen wurde. Dem Protokoll der 2. Zwischenkonferenz 2019 am 25. Juni 2019 in Mainz zufolge wurde ein Entwurf des Konzepts bereits der Taskforce Finings des EDSA vorgestellt und sei dort „auf Interesse gestoßen“.
3. Die Bußgeldzumessung nach dem neuen Konzept
Das Konzept folgt bei der Bußgeldzumessung einer komplexen Berechnung über fünf Stufen:
1) Zuordnung des betroffenen Unternehmens zu einer Größenklasse
2) Schematische Bestimmung des mittleren Jahresumsatzes
3) Berechnung des wirtschaftlichen Grundwertes bzw. eines Tagessatzes
4) Multiplikation des Tagessatzes mit einem aus der Schwere der Tat abgeleiteten Faktor
5) Abschließende Anpassung des ermittelten Wertes anhand täterbezogener und noch nicht berücksichtigter Umstände des Einzelfalls
3.1 Zuordnung des betroffenen Unternehmens zu einer Größenklasse
Ausgangspunkt der Berechnung ist der weltweite Umsatz (nicht der regelmäßig weitaus geringere Gewinn) des betroffenen Unternehmens, wobei die Datenschutzaufsichtsbehörden nicht auf den Umsatz der einzelnen juristischen Person abstellen werden, sondern auf die Unternehmensgruppe. Die Bemessung nach dem Konzept kann deshalb im Ergebnis zu sehr hohen Geldbußen führen und massive Auswirkungen für die betroffenen Unternehmen haben.
In einem ersten Schritt sieht das Konzept zur Bußgeldzumessung eine Einstufung des betroffenen Unternehmens in eine von vier Größenklassen vor. Die Größenklassen bzw. die Einstufung in diese richtet sich nach dem weltweiten Gesamtumsatz, der im Vorjahr erzielt wurde. Die Größenklassen betreffen:
Kleinstunternehmen (bis EUR 2. Mio. Umsatz; Größenklasse A);
kleine Unternehmen (über EUR 2 Mio. bis 10 Mio. Umsatz; Größenklasse B);
mittlere Unternehmen (über EUR 10 Mio. bis 50 Mio. Umsatz; Größenklasse C) und
Großunternehmen (über EUR 50 Mio. Umsatz; Größenklasse D).
Diese Größenklassen sind in verschiedene umsatzabhängige Untergruppen unterteilt.
3.2 Schematische Bestimmung des mittleren Jahresumsatzes
Auf der zweiten Stufe der Bußgeldzumessung wird sodann in tabellarischer Weise und unter Anknüpfung an die Größenklasse ein für die konkrete Untergruppe der Größenklasse festgeschriebener mittlerer Jahresumsatz bestimmt. Bei Unternehmen mit einem jährlichen Umsatz von über EUR 500 Mio. wird der konkrete Umsatz anstelle eines Mittelwertes der Berechnung zugrunde gelegt, wobei die Höchstgeldbuße von 2 Prozent bzw. 4 Prozent zu beachten ist.
3.3 Berechnung des wirtschaftlichen Grundwertes bzw. eines Tagessatzes
Aus dem Mittelwert wird auf der dritten Stufe ein wirtschaftlicher Grundwert in Form eines Tagessatzes ermittelt, indem der Mittelwert durch 360 (Tage) dividiert wird.
3.4 Multiplikation des Tagessatzes mit einem aus der Schwere der Tat abgeleiteten Faktor
Stufe vier sieht eine Einstufung der Tat nach ihrem Schweregrad in eine von vier Stufen (leicht, mittel, schwer und sehr schwer) vor. In diesem Zusammenhang sollen die tatbezogenen Kriterien des Art. 83 Abs. 2 DSGVO und die Umstände des Einzelfalls berücksichtigt werden. Die Einstufung führt zu einem für den jeweiligen Schweregrad festgeschriebenen Faktoren-Rahmen, aus dem wiederum ein Faktor anhand der Schwere der Tat zu wählen ist. Dabei sieht das Konzept für materielle Verstöße (Art. 83 Abs. 5 und 6 DSGVO) höhere Faktoren vor als für formelle Verstöße (Art. 83 Abs. 4 DSGVO). Bei sehr schweren Verstößen sind zudem nur Mindestfaktoren von 6 bzw. 12 vorgesehen. Der konkret ermittelte Faktor wird anschließend mit dem Grundwert bzw. Tagessatz multipliziert, wobei die nach der DSGVO möglichen Höchstbeträge nicht überschritten werden dürfen. Das Ergebnis der Multiplikation stellt einen ersten Anhaltspunkt für die zu verhängende Geldbuße dar.
3.5 Abschließende Anpassung des ermittelten Wertes
Diese wird sodann auf der fünften und letzten Stufe „anhand aller sonstigen für und gegen den Betroffenen sprechenden Umstände“ angepasst, „soweit diese noch nicht“ auf der vierten Stufe „berücksichtigt wurden“. Das Konzept stellt dabei ausdrücklich auf „eine lange Verfahrensdauer oder drohende Zahlungsunfähigkeit des Unternehmens“ als zu berücksichtigende Umstände ab. In welchem Umfang die sonstigen Umstände zu berücksichtigen sind, ergibt sich nicht aus dem Konzept.
Es ist jedoch zu konstatieren, dass diese Stufe auch zu (deutlichen) Erhöhungen des ermittelten Wertes und damit der Geldbuße führen kann. So hieß es in Branchenkreisen vor der Veröffentlichung des Konzepts, dass die errechnete Geldbuße bis zu 300 Prozent erhöht, aber nur um bis zu 25 Prozent herabgesetzt werden könne. Auf eine solche Regelung wurde nun im Rahmen des Konzeptes verzichtet.
Aufgrund des Konzepts ist in Zukunft mit deutlich höheren Geldbußen als bisher zu rechnen. In dieses Bild passt auch die „Kampfansage“ der Berliner Beauftragten für Datenschutz und Informationsfreiheit, die in naher Zukunft eine Geldbuße in Millionenhöhe verhängen will (siehe Artikel der Süddeutsche Zeitung). Derartig hohe Bußgelder könnten für große und wirtschaftlich erfolgreiche Unternehmen in Zukunft eher die Regel als die Ausnahme sein, wenn Ausgangspunkt der Bußgeldbemessung stets der weltweite Unternehmensumsatz ist.
Die Folgen – ein Rechenbeispiel
Die gravierenden Folgen verdeutlicht vor allem ein kleines Rechenbeispiel, dem ein Unternehmen mit einem Jahresumsatz in Höhe von EUR 425 Mio. zugrunde liegt.
Auf der ersten Stufe ist dieses Unternehmen als Großunternehmen der Untergruppe D.VI (Jahresumsatz über EUR 400 Mio. bis 500 Mio.) zu qualifizieren. Daraus ergibt sich auf der zweiten Stufe ein mittlerer Jahresumsatz von EUR 450 Mio., der auf der dritten Stufe zu einem Tagessatz in Höhe von EUR 1,25 Mio. führt.
Dieser Grundwert bleibt auf der vierten Stufe die Untergrenze der Geldbuße und zwar auch bei einem nur leichten Verstoß. Grund dafür ist, dass die Berechnung keinen kleineren Faktor als 1 vorsieht, mit dem der Tagessatz multipliziert werden kann, so dass eine Herabsenkung der Geldbuße jedenfalls auf dieser Stufe ausgeschlossen ist. Bei einem schweren formellen Verstoß bewegt sich der multiplizierte Grundwert in einem Bereich von dem 4 bis 6-fachen des Tagessatzes, bei einem schweren materiellen Verstoß sogar dem 8 bis 12-fachen. Bei einem sehr schweren Verstoß ist als Höchstgrenze der Geldbuße der Höchstbetrag von 2 Prozent bzw. 4 Prozent des Jahresumsatzes einschlägig.
Ein leichter materieller Verstoß, z. B. gegen das Recht auf unverzügliche Löschung (Art. 17, 83 Abs. 5 lit. b DSGVO), kann für das Unternehmen im Beispiel auf Stufe 4 zu einer Geldbuße von EUR 1,25 Mio. bis 5 Mio. führen.
Inwieweit dieser Betrag auf der fünften Stufe angepasst wird und dabei die Grenzen Über- oder Unterschritten werden, bleibt offen und ist vom konkreten Einzelfall abhängig.
Diese Entwicklungen zeigen einmal mehr die Notwenigkeit wirksamer und angemessener sowie gut dokumentierter datenschutzrechtlicher Compliance-Maßnahmen. Diese wirken nicht nur im behördlichen Verfahren, sondern gerade auch in einer nachfolgenden gerichtlichen Auseinandersetzung als hocheffektives Verteidigungsmittel gegen fehlerhaft bemessene Geldbußen. Nur wirksame und angemessene Compliance-Maßnahmen können zum einen das Risiko von Verstößen gegen die Vorgaben der DSGVO wirksam minimieren, zum anderen als Minderungsgrund im Rahmen der Bußgeldbemessung wirken, wenn es trotz ergriffener Maßnahmen zu einem Verstoß kommen sollte. Compliance-Maßnahmen können sogar ein Indiz gegen Vorsatz und Fahrlässigkeit darstellen (vgl. Handel, DStR 2017, 1945 f.). Mindernd zu berücksichtigen sind aber auch Aktivitäten im Compliance-Bereich, die erst nach einem Verstoß und während des laufenden Bußgeldverfahrens ergriffen werden (vgl. BGH, Urteil vom 09.05.2017 – 1 StR 265/16, Rn. 118, abrufbar hier).
5. Blick über den Tellerrand: Null Toleranz bei Non-Comliance
Vergleicht man die dargestellten Überlegungen zu einer harten und teuren Sanktionierungspraxis bei DSGVO-Verstößen mit weiteren aktuellen Entwicklungen im Compliance-Bereich, lässt sich ein eindeutiger Trend zu harten Sanktionen und einer behördlichen „Null-Toleranz-Strategie“ ausmachen. Denn nicht nur im Datenschutzrecht, sondern auch in anderen Bereichen soll Non-Compliance viel teurer werden. Bei Straftaten (z. B. Korruption, Steuerhinterziehung, Schwarzarbeit, Betrug, Umweltdelikten etc.), die aus einem Unternehmen heraus begangen werden, sollen Geldsanktionen in Höhe von bis zu 10 Prozent des durchschnittlichen Jahresumsatzes gegen Unternehmen verhängt werden können. Dies sieht der aktuelle Entwurf eines Verbandssanktionengesetzes (VerSanG-E) vor. Lesen Sie hierzu mehr in unserem Blog (Verbandssanktionengesetz: Klimawandel bei Unternehmenssanktionen).
Nach einem neuen Konzept der Datenschutzbehörden kommt es bei der Bußgeldbemessung maßgeblich auf den weltweiten Umsatz des betroffenen Unternehmens an.
Datenschutzbehörden vertreten die Meinung, dass grundsätzlich jeder DSGVO-Verstoß mit einer Geldbuße zu ahnden sei.