Kurzdefinition: Artikel 83 DSGVO regelt die Geldbußen bei Datenschutzverstößen. Die Aufsichtsbehörden verhängen Geldbußen, die in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein müssen. Es gibt zwei Bußgeldstufen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes sowie — für schwerere Verstöße — bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. [N-DSGVO-83]
Der Normwortlaut
Art. 83 Abs. 5 DSGVO bestimmt: Bei Verstößen gegen die dort genannten Bestimmungen werden „Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist“. Nach Abs. 4 gilt für andere Verstöße ein Rahmen von bis zu 10 000 000 EUR oder 2 Prozent. [N-DSGVO-83]
Wie hoch können die Bußgelder sein?
In zwei Stufen. Nach Art. 83 Abs. 4 DSGVO bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes; nach Abs. 5 für schwerere Verstöße bis zu 20 Millionen Euro oder 4 Prozent. Maßgeblich ist jeweils der höhere Betrag. [N-DSGVO-83]
Welche Verstöße lösen den höheren Rahmen aus?
Verstöße gegen die Grundprinzipien. Der höhere Rahmen des Art. 83 Abs. 5 DSGVO betrifft unter anderem Verstöße gegen die Grundsätze der Verarbeitung, die Rechtmäßigkeit, die Betroffenenrechte und die Vorschriften über Drittlandübermittlungen. [N-DSGVO-83]
Nach welchem Maßstab wird die Höhe bemessen?
Wirksam, verhältnismäßig, abschreckend. Nach Art. 83 Abs. 1 DSGVO muss die Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Bei der Bemessung sind unter anderem Art, Schwere und Dauer des Verstoßes zu berücksichtigen. [N-DSGVO-83]
Gilt der Prozentsatz vom Konzernumsatz?
Vom weltweiten Jahresumsatz. Art. 83 DSGVO stellt beim Unternehmen auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahrs ab. Der unionsrechtliche Unternehmensbegriff kann dabei den Konzern erfassen. [N-DSGVO-83]
Was gilt bei Nichtbefolgung einer Anweisung?
Der höchste Rahmen. Nach Art. 83 Abs. 6 DSGVO wird die Nichtbefolgung einer Anweisung der Aufsichtsbehörde mit Geldbußen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet. [N-DSGVO-83]
Häufige Fehlannahmen
- „Die DSGVO kennt nur einen Bußgeldrahmen.“ Nein. Es gibt zwei Stufen (Art. 83 Abs. 4 und Abs. 5 DSGVO). [N-DSGVO-83]
- „Der Prozentsatz bezieht sich auf den Gewinn.“ Nein. Maßgeblich ist der weltweite Jahresumsatz. [N-DSGVO-83]
- „Es gilt stets der niedrigere Betrag.“ Nein. Maßgeblich ist der jeweils höhere Betrag. [N-DSGVO-83]
- „Die Bußgeldhöhe ist beliebig.“ Nein. Sie muss wirksam, verhältnismäßig und abschreckend sein. [N-DSGVO-83]
- „Nur inhaltliche Verstöße werden geahndet.“ Nein. Auch die Nichtbefolgung einer Anweisung der Aufsichtsbehörde fällt unter den höchsten Rahmen. [N-DSGVO-83]
- „Das Bußgeld trifft nur die verarbeitende Einheit.“ Nicht zwingend. Der weite Unternehmensbegriff kann den Konzern erfassen. [N-DSGVO-83]
Was die Geschäftsleitung tun sollte
- Risiko einordnen. Das Bußgeldrisiko in die Compliance-Steuerung aufnehmen.
- Grundprinzipien sichern. Verstöße gegen Grundsätze, Rechtmäßigkeit und Betroffenenrechte vermeiden.
- Anweisungen befolgen. Anweisungen der Aufsichtsbehörde umsetzen, um den höchsten Rahmen zu vermeiden.
- Nachweise führen. Rechenschaft und Dokumentation als Verteidigungslinie aufbauen.
Für die Geschäftsleitung
Art. 83 DSGVO macht Datenschutzverstöße teuer: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Für die Leitung ist das ein handfestes unternehmerisches Risiko — beherrschbar durch saubere Grundprinzipien, dokumentierte Rechenschaft und die konsequente Befolgung behördlicher Anweisungen.
Quellen
- [N-DSGVO-83] Art. 83 DSGVO (Allgemeine Bedingungen für die Verhängung von Geldbußen), Abs. 1, 4, 5 und 6. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
