EU-Bussgelder nun mit einheitlichen Regeln
Mittlerweile ist bekannt, dass Verstösse gegen die Europäische Datenschutzgrundverordnung (DSGVO) von den Datenschutzbehörden der EU-Mitgliedsstaaten mit Bussgeldern geahndet werden: Die Strafzahlungen können bis zu 20 Millionen EUR, beziehungsweise bis zu 4 Prozent des weltweiten Jahresumsatzes betragen.
Die Festlegung der Höhe der Bussgelder ist bisher Sache der zuständigen nationalen Datenschutzbehörde. Bisher entscheidet jedes EU-Mitgliedsland selbst darüber, wie weit die „bis max. Werte“ ausgereizt werden, die die DSGVO vorsieht. Für die Bemessung der Bussgeldforderungen gibt es jetzt neue Regeln: Der Europäische Datenschutzausschuss (EDSA) hat die endgültigen Leitlinien zur Bussgeldzumessung angenommen.
In seiner Sitzung von 24.5.2023 hat das European Data Protection Board (EDPB) die Leitlinien 04/2022 zur Bussgeldzumessung nach der DSGVO nach einer öffentlichen Konsultation angenommen (Guidelines 04/2022 on the calculation of administrative fines under the GDPR).
Die Leitlinien bieten den Datenschutzaufsichtsbehörden nun einheitliche Massstäbe und harmonisierte Rahmenbedingungen zur Bestimmung von Bussgeldern. Die Harmonisierung bezieht sich allerdings nur auf die Berechnungsgrundlage der Bussgelder. Die endgültige Höhe der Bussgelder wird durch die Justierungsmöglichkeiten des Leitlinien-Modells weiterhin individuell durch die jeweilige nationale Aufsichtsbehörde festgelegt.
Die Leitlinien sehen ein aus 5 Schritten bestehendes Zumessungsverfahren vor, dass insbesondere die Art und Schwere der Verstösse sowie den Umsatz der betreffenden Unternehmen berücksichtigt:
1. Schritt: Sanktionierbare Handlungen
Die Aufsichtsbehörden prüfen, ob der vorliegende Fall sanktionierbare Handlungen beinhaltet und inwieweit diese zu Verstössen gegen die DSGVO geführt haben. Insbesondere wird dabei geprüft, ob eine oder mehrere bussgeldbewehrte Handlungen vorliegen.
2. Schritt: Ermittlung des Ausgangsbetrags
Der Ausgangsbetrag für die Bussgeldberechnung wird aus drei Faktoren ermittelt: Der Art der Verstösse (a), der Schwere des Verstosses (b) und dem Umsatz des Unternehmens (c).
Art des Verstosses (Art. 83 Abs. 4 – 6 DSGVO)
Verstösse gegen Art. 83 Abs. 4 DSGVO können mit einem Bussgeld von bis zu 10 Mio. EUR oder im Fall eines Unternehmens von bis zu 2 % seinen gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres geahndet werden. Verstösse gegen Art. 83 Abs. 5 und 6 DSGVO können mit einem Bussgeld von bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden. Hierdurch ergeben sich die gesetzlichen Höchstbeträge, die ein Bussgeld jeweils nicht überschreiten darf.
Schwere des Verstosses
Anhand der in Art. 83 Abs. 2 DSGVO aufgelisteten Kriterien wird die Schwere des Verstosses festgestellt. Aus der Feststellung muss sich ein Schweregrad ergeben, um den Ausgangsbetrag prozentual vom gesetzlichen Höchstbetrag ermitteln zu können:
- Geringer Schweregrad: Ausgangsbetrag liegt zwischen 0 und 10 % des gesetzlichen Höchstbetrags.
- Mittlerer Schweregrad: Ausgangsbetrag liegt zwischen 10 und 20 % des gesetzlichen Höchstbetrags.
- Hoher Schweregrad: Ausgangsbetrag liegt zwischen 20 und 100 % des gesetzlichen Höchstbetrags.
Der Umsatz des Unternehmens
Mit Blick auf den Umsatz eines Unternehmens werden weitere Korrekturen an dem zuvor ermittelten Ausgangsbetrag vorgenommen. Der Betrag kann auf 0,2 % bis 50 % des ermittelten Ausgangsbetrages reduziert werden.
3. Schritt: Ermittlung erschwerender oder mildernder Umstände
Die Aufsichtsbehörden ermitteln erschwerende oder mildernde Umstände, die die Höhe des in Schritt 2 festgestellten Betrags erhöhen oder senken können. Dazu gehören z. B. das Verhalten der Verantwortlichen (Kooperationsbereitschaft, Gegenmassnahmen) und ob es bereits in der Vergangenheit zu Verstössen gegen die DSGVO gekommen. Die Erhöhung oder Senkung des Betrags wird individuell durch die Aufsichtsbehörde vorgenommen.
4. Schritt: Ermittlung der Obergrenze
Der ermittelte Bussgeldbetrag wird erneut mit den gesetzlichen Höchstbeträgen der Art. 83 Abs. 4 – 6 DSGVO abgeglichen. Dabei wird auch entschieden, ob die statische (10 oder 20 Millionen EUR) oder die dynamische (2 % oder 4 % des Jahresumsatzes) Obergrenze für die Bussgeldbemessung gilt. Nach Art. 83 Abs. 4 und 5 DSGVO muss der jeweils höhere Betrag zugrunde gelegt werden.
5. Schritt: Mögliche Nachjustierungen
Im letzten Schritt der Bussgeldbemessung bewerten die Aufsichtsbehörden das ermittelte Bussgeld gemäss Art. 83 Abs. 1 DSGVO im Hinblick auf die Wirksamkeit, Verhältnismässigkeit und Abschreckung, um etwaige Nachjustierungen vornehmen zu können.
