EuGH C-383/23 (ILVA, VO 2016/679) – DSGVO-Bußgeld nach Konzernumsatz: Unternehmensbegriff der Art. 101, 102 AEUV

Kurzantwort

Mit Urteil vom 13. Februar 2025 in der Rechtssache C-383/23 (ILVA A/S) hat der Gerichtshof der Europäischen Union (Fünfte Kammer, ECLI:EU:C:2025:84) entschieden: Der Begriff „Unternehmen" in Art. 83 Abs. 4 bis 6 DSGVO entspricht dem wettbewerbsrechtlichen Unternehmensbegriff der Art. 101 und 102 AEUV. Gehört ein Verantwortlicher zu einem Konzern, bemisst sich die Bußgeldobergrenze (10 Mio. EUR / 2 % bzw. 20 Mio. EUR / 4 %) daher am weltweiten Gesamtjahresumsatz der gesamten wirtschaftlichen Einheit – nicht nur am Umsatz der verstoßenden Tochtergesellschaft.

Entscheidend ist die vom EuGH gezogene Trennlinie: Der Konzernumsatz bestimmt den Höchstbetrag (den „Deckel"). Die konkrete Bußgeldhöhe ist davon zu unterscheiden und richtet sich nach den Zumessungskriterien des Art. 83 Abs. 2 DSGVO (Art, Schwere, Dauer, Vorsatz/Fahrlässigkeit, Datenkategorien, Zahl der Betroffenen usw.). Der Konzernumsatz darf also nicht als alleinige Berechnungsgrundlage dienen – er ist aber bei der Prüfung heranzuziehen, ob die Geldbuße wirksam, verhältnismäßig und abschreckend im Sinne von Art. 83 Abs. 1 DSGVO ist, weil er die tatsächliche wirtschaftliche Leistungsfähigkeit des Adressaten abbildet.

Das Urteil führt die Linie aus EuGH C-807/21 (Deutsche Wohnen, 05.12.2023, ECLI:EU:C:2023:950) fort und erstreckt sie ausdrücklich auf Mitgliedstaaten wie Dänemark und Estland, in denen DSGVO-Geldbußen nicht als Verwaltungssanktion, sondern nach Art. 83 Abs. 9 DSGVO durch Strafgerichte verhängt werden.

Kernfakten

Geltungsbereich

Das Urteil legt die DSGVO (VO 2016/679) aus. Als EU-Verordnung gilt die DSGVO unmittelbar in allen Mitgliedstaaten – ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung des Art. 83 DSGVO durch den EuGH bindet daher auch deutsche Aufsichtsbehörden und Gerichte unmittelbar.

Betroffen ist jeder Verantwortliche und jeder Auftragsverarbeiter, der Teil einer wirtschaftlichen Einheit im Sinne der Art. 101, 102 AEUV ist. Praktisch heißt das: Tochtergesellschaften in Konzernstrukturen, Beteiligungsgesellschaften, Holding-Konstellationen und Unternehmensgruppen mit einheitlicher Leitung. Auch kleine Tochtergesellschaften mit geringem Eigenumsatz unterliegen damit einem Bußgeldrahmen, der sich am Konzernumsatz orientiert.

Nicht betroffen sind Verantwortliche, die keine wirtschaftliche Tätigkeit ausüben – etwa Behörden im Rahmen hoheitlichen Handelns oder rein privat handelnde natürliche Personen. Für diese greift der jeweils absolute Betrag (10 bzw. 20 Mio. EUR); die Prozentalternative läuft mangels „Unternehmen" leer. In Deutschland ist zusätzlich § 43 Abs. 3 BDSG zu beachten: Gegen Behörden und öffentliche Stellen werden grundsätzlich keine Geldbußen verhängt.

Was der EuGH konkret entschieden hat

1. „Unternehmen" ist wettbewerbsrechtlich zu verstehen. Der EuGH knüpft an ErwGr. 150 DSGVO an, der ausdrücklich auf Art. 101, 102 AEUV verweist. Der Unternehmensbegriff umfasst danach jede eine wirtschaftliche Tätigkeit ausübende Einheit – unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet eine wirtschaftliche Einheit, auch wenn diese rechtlich aus mehreren natürlichen oder juristischen Personen besteht (Rn. 22).

2. Der Begriff betrifft nur die Bemessung, nicht die Verhängung. Ob und unter welchen Voraussetzungen überhaupt eine Geldbuße gegen einen Verantwortlichen verhängt werden kann, ist in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt; der wettbewerbsrechtliche Unternehmensbegriff spielt dafür keine Rolle (Rn. 19, unter Verweis auf Deutsche Wohnen). Er ist allein für die Höhe der Geldbuße relevant (Rn. 20).

3. Höchstbetrag und konkrete Höhe sind zu trennen. Der EuGH unterscheidet ausdrücklich zwischen der Bestimmung des Höchstbetrags und der tatsächlichen Berechnung der zu verhängenden Geldbuße (Rn. 24). Der Höchstbetrag folgt aus einem Prozentsatz des Konzernumsatzes. Die konkrete Höhe folgt aus den Kriterien des Art. 83 Abs. 2 DSGVO, die entweder das Verhalten des Verantwortlichen oder die Verstöße selbst kennzeichnen (Rn. 26–28).

4. Wirtschaftliche Leistungsfähigkeit ist trotzdem zu berücksichtigen. Nur eine Geldbuße, die sowohl alle Zumessungskriterien als auch – soweit einschlägig – die tatsächliche oder materielle wirtschaftliche Leistungsfähigkeit des Adressaten berücksichtigt, kann wirksam, verhältnismäßig und abschreckend im Sinne von Art. 83 Abs. 1 DSGVO sein. Dafür ist zu berücksichtigen, ob der Adressat einem Unternehmen im Sinne der Art. 101, 102 AEUV angehört (Rn. 29).

5. Gleiches gilt für strafgerichtlich verhängte Geldbußen. Wo das nationale Recht keine Verwaltungsgeldbußen kennt (Dänemark, Estland – ErwGr. 151), wird die Geldbuße nach Art. 83 Abs. 9 DSGVO von der Aufsichtsbehörde angeregt und vom zuständigen nationalen Gericht verhängt. Die Auslegung des Art. 83 DSGVO gilt dort entsprechend (Rn. 30). Das Strafgericht muss dabei jedoch jederzeit die strafrechtlichen Verfahrensgarantien und den Grundsatz der Verhältnismäßigkeit der Strafe nach der EU-Grundrechtecharta beachten (Rn. 34).

6. Kein grundsätzliches Hindernis. Wie die Generalanwältin in Nr. 74 ihrer Schlussanträge ausgeführt hat, verlangt Art. 83 DSGVO ausnahmslos, dass bei der Berechnung des konkreten Betrags der Verhältnismäßigkeitsgrundsatz gewahrt wird – ein angemessener Ausgleich zwischen dem Allgemeininteresse am Datenschutz und den Rechten des Verantwortlichen bzw. des Unternehmens, dem er angehört (Rn. 35).

Was das für Unternehmen in Deutschland bedeutet

Der Bußgeldrahmen steigt – auch für kleine Tochtergesellschaften. Eine GmbH mit 5 Mio. EUR Eigenumsatz, die zu einem Konzern mit 900 Mio. EUR Weltumsatz gehört, hat bei einem Verstoß nach Art. 83 Abs. 5 DSGVO nicht einen Rahmen von 20 Mio. EUR, sondern von bis zu 36 Mio. EUR (4 % von 900 Mio. EUR), weil der jeweils höhere Betrag maßgeblich ist. Die frühere Argumentation „meine Gesellschaft ist klein, also ist der Rahmen klein" trägt nicht mehr.

Der Konzernumsatz ist aber kein Automatismus. Die Aufsichtsbehörde darf den Konzernumsatz nicht einfach mit einem Prozentsatz multiplizieren. Sie muss die Kriterien des Art. 83 Abs. 2 DSGVO einzeln abarbeiten und begründen. Das ILVA-Verfahren zeigt das: Beantragt waren rund 201.000 EUR auf Konzernbasis, verhängt wurden in erster Instanz rund 13.400 EUR – unter anderem, weil das Gericht nur Fahrlässigkeit annahm.

Nachweispflichten werden härter. Wer den Bußgeldrahmen begrenzen oder mildernde Umstände geltend machen will, muss liefern: Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), Löschkonzept und dokumentierte Löschfristen (Art. 5 Abs. 1 lit. e DSGVO – genau der im ILVA-Fall verletzte Grundsatz), technische und organisatorische Maßnahmen (Art. 32 DSGVO), Kooperationsnachweise gegenüber der Aufsicht (Art. 83 Abs. 2 lit. f DSGVO) sowie Genehmigte Verhaltensregeln oder Zertifizierungen (Art. 83 Abs. 2 lit. j DSGVO).

Konzern-Compliance wird zur Konzernaufgabe. Da die wirtschaftliche Einheit den Rahmen bestimmt, lässt sich Datenschutzrisiko nicht mehr sinnvoll auf einzelne Tochtergesellschaften „isolieren". Konzernweite Löschkonzepte, gruppenweite Auftragsverarbeitungsverträge (Art. 28 DSGVO) und ein einheitliches Meldeverfahren nach Art. 33 DSGVO sind die praktische Konsequenz.

Verhältnismäßigkeit bleibt der Hebel der Verteidigung. Der EuGH betont sie ausdrücklich. Argumente über die tatsächliche wirtschaftliche Leistungsfähigkeit der sanktionierten Einheit, die geringe Zahl betroffener Personen, die fehlende Sensibilität der Datenkategorien und die kurze Dauer des Verstoßes bleiben im Verfahren wirksam.

Häufige Fehler

• „Der Konzernumsatz ist die Berechnungsgrundlage für das Bußgeld." Falsch – er bestimmt nur den Höchstbetrag. Die konkrete Höhe folgt aus Art. 83 Abs. 2 DSGVO. Der EuGH trennt beides ausdrücklich (Rn. 24).
• „Nur die verstoßende Tochtergesellschaft zählt." Falsch – maßgeblich ist die wirtschaftliche Einheit im Sinne der Art. 101, 102 AEUV, zu der die Gesellschaft gehört.
• „Das gilt nur, wenn auch die Muttergesellschaft angeklagt ist." Falsch – genau das hatte ILVA vorgetragen; der EuGH ist dem nicht gefolgt. Es kommt auf die Zugehörigkeit zur wirtschaftlichen Einheit an, nicht auf die Verfahrensbeteiligung der Mutter.
• „Der jeweils niedrigere Betrag gilt." Falsch – Art. 83 Abs. 4 bis 6 DSGVO stellt ausdrücklich auf den höheren der beiden Beträge ab („je nachdem, welcher der Beträge höher ist").
• „Das Urteil betrifft nur Dänemark." Falsch – die DSGVO ist unmittelbar geltendes EU-Recht; die Auslegung durch den EuGH gilt EU-weit, also auch in Deutschland.
• „Ohne Vorsatz gibt es kein Bußgeld." Falsch – Fahrlässigkeit genügt (Art. 83 Abs. 2 lit. b DSGVO). In ILVA wurde gerade nur Fahrlässigkeit festgestellt und dennoch eine Geldbuße verhängt.
• „Ein Strafgericht darf den Konzernumsatz nicht heranziehen." Falsch – der EuGH sieht darin kein grundsätzliches Hindernis, verlangt aber die Wahrung der strafrechtlichen Verfahrensgarantien und der Verhältnismäßigkeit.
• „Behörden können genauso hoch belangt werden." In Deutschland nicht – § 43 Abs. 3 BDSG schließt Geldbußen gegen Behörden und sonstige öffentliche Stellen grundsätzlich aus.

Ausnahmen

• Keine wirtschaftliche Tätigkeit: Wer kein „Unternehmen" im Sinne der Art. 101, 102 AEUV ist, unterliegt nur dem absoluten Höchstbetrag (10 bzw. 20 Mio. EUR) – die Umsatzalternative greift nicht.
• Öffentliche Stellen in Deutschland: § 43 Abs. 3 BDSG schließt Geldbußen gegen Behörden und öffentliche Stellen grundsätzlich aus.
• Verhältnismäßigkeitsgrenze: Auch bei hohem Konzernumsatz darf die konkrete Geldbuße nicht außer Verhältnis zu Schwere und Dauer des Verstoßes stehen (Art. 83 Abs. 1, 2 DSGVO, Art. 49 Abs. 3 GRCh).
• Art. 83 Abs. 9 DSGVO: In Mitgliedstaaten ohne Verwaltungsgeldbußen (Dänemark, Estland) gelten zusätzlich die strafprozessualen Garantien des jeweiligen nationalen Rechts.

Beispiel

Eine deutsche Vertriebs-GmbH mit 8 Mio. EUR Jahresumsatz gehört zu einer europäischen Handelsgruppe mit 1,2 Mrd. EUR Weltumsatz. Die GmbH speichert Kundendaten aus beendeten Verträgen ohne Löschkonzept dauerhaft weiter – ein Verstoß gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO), der nach Art. 83 Abs. 5 lit. a DSGVO dem oberen Rahmen unterfällt.

• Höchstbetrag vor ILVA-Argumentation: 20 Mio. EUR bzw. 4 % von 8 Mio. EUR = 320.000 EUR → maßgeblich wären 20 Mio. EUR.
• Höchstbetrag nach EuGH C-383/23: 4 % von 1,2 Mrd. EUR = 48 Mio. EUR → weil der höhere Betrag gilt, liegt der Rahmen bei 48 Mio. EUR.
• Konkrete Geldbuße: Sie wird davon nicht automatisch abgeleitet. Die Aufsichtsbehörde bemisst sie nach Art. 83 Abs. 2 DSGVO – Dauer der Überspeicherung, Zahl der Betroffenen, Datenkategorien, Fahrlässigkeit statt Vorsatz, Kooperationsbereitschaft, vorhandene TOM. Die Zugehörigkeit zur Gruppe fließt bei der Prüfung ein, ob die Geldbuße abschreckend wirkt.

Quellen

• EUR-Lex – Urteil EuGH vom 13.02.2025, C-383/23 (ILVA), CELEX 62023CJ0383: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62023CJ0383 A
• EUR-Lex – Amtsblatt-Mitteilung zur Rechtssache C-383/23 (ILVA), OJ C 2025/1864: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:C_202501864 A
• CURIA – Verfahrensdokumentation und Ergebnisliste zur Rechtssache C-383/23: https://curia.europa.eu/juris/liste.jsf?language=de&num=C-383/23 D
• dejure.org – EuGH, 13.02.2025, C-383/23 (Permalink): https://dejure.org/2025,2263 D
• dejure.org – Schlussanträge der Generalanwältin Medina vom 12.09.2024, C-383/23 (Permalink): https://dejure.org/2024,22875 D
• EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), konsolidierte Fassung: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679 A
• EUR-Lex – Urteil EuGH vom 05.12.2023, C-807/21 (Deutsche Wohnen), CELEX 62021CJ0807: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0807 A
• EUR-Lex – Vertrag über die Arbeitsweise der Europäischen Union (AEUV), Art. 101 und 102: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A12016E%2FTXT A
• EDSA/EDPB – Leitlinien 04/2022 für die Berechnung von Geldbußen im Rahmen der DSGVO (deutsche Fassung, PDF): https://www.edpb.europa.eu/system/files/2024-01/edpb_guidelines_042022_calculationofadministrativefines_de_0.pdf B
• EDSA/EDPB – Übersichtsseite Guidelines 04/2022 (Annahme der finalen Fassung am 24.05.2023): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_en B
• gesetze-im-internet.de – § 43 BDSG (Bußgeldvorschriften, Abs. 3: keine Geldbußen gegen Behörden): https://www.gesetze-im-internet.de/bdsg_2018/__43.html A
• gesetze-im-internet.de – § 41 BDSG (Anwendung der Vorschriften über das Bußgeld- und Strafverfahren): https://www.gesetze-im-internet.de/bdsg_2018/__41.html A

Änderungsverlauf

• 2026-08-26: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-383/23 (ILVA A/S) vom 13.02.2025, ECLI:EU:C:2025:84, aufgenommen: Der Unternehmensbegriff des Art. 83 Abs. 4 bis 6 DSGVO entspricht dem der Art. 101, 102 AEUV; der weltweite Konzernjahresumsatz bestimmt den Höchstbetrag der Geldbuße, ist aber nicht alleinige Berechnungsgrundlage für die konkrete Höhe; die Auslegung gilt auch für nach Art. 83 Abs. 9 DSGVO strafgerichtlich verhängte Geldbußen. Quellenbasis: amtlicher Urteilstext (EUR-Lex CELEX 62023CJ0383), Amtsblatt-Mitteilung OJ C 2025/1864, CURIA-Verfahrensdokumentation, dejure.org-Permalink 2025,2263, Vorgängerurteil C-807/21 (Deutsche Wohnen), DSGVO-Volltext, EDSA-Leitlinien 04/2022, §§ 41, 43 BDSG. factcheck_status=review_needed, weil (1) der Ausgang des Ausgangsverfahrens vor dem Vestre Landsret nach der Vorabentscheidung nicht gegen eine amtliche Quelle verifiziert werden konnte und (2) nicht verifiziert ist, ob die EDSA-Leitlinien 04/2022 nach dem ILVA-Urteil überarbeitet wurden; die im Urteil genannten DKK-Beträge sind mit den dort angegebenen EUR-Näherungswerten übernommen und nicht zu einem tagesaktuellen Kurs umgerechnet. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83 DSGVO
• DSGVO Art. 5 Abs. 1 lit. e – Speicherbegrenzung
• DSGVO Art. 32 – Technische und organisatorische Maßnahmen (TOM)
• DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten
• DSGVO Art. 28 – Auftragsverarbeitung (AVV)
• DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz
• EuGH C-413/23 P – Personenbezug pseudonymisierter Daten

Stand

• Stand: 2026-08-26
• Entscheidungsdatum: 2025-02-13 (EuGH, Fünfte Kammer, C-383/23, ECLI:EU:C:2025:84)
• Verfahrensstand: Vorabentscheidung ergangen; Endentscheidung des Vestre Landsret im Ausgangsverfahren nicht verifiziert
• Status: aktuell
• Quellenautorität: A (EUR-Lex CELEX 62023CJ0383, OJ C 2025/1864, CURIA, VO 2016/679, AEUV, EDSA, BDSG)
• Lizenz: CC BY 4.0