EuGH-Entscheidung(en) vom 5.12.2023, Rechtssachen C-683\/21 und C-807\/21<\/p>\n
<\/p>\n
Sachverhalt:<\/strong><\/p>\n Der EuGH hatte in zwei F\u00e4llen zu entscheiden, welche M\u00f6glichkeiten nationalen Aufsichtsbeh\u00f6rden zukommen, um Verst\u00f6\u00dfe gegen die DSGVO (durch Verh\u00e4ngung von Geldbu\u00dfen) zu ahnden.<\/p>\n Im ersten Fall wehrte sich ein deutsches Immobilienunternehmen, das rund 163 000 Wohneinheiten und 3 000 Gewerbeeinheiten h\u00e4lt, gegen eine Geldbu\u00dfe von \u00fcber EUR 14 Millionen. Das Unternehmen hatte personenbezogene Daten von Mietern l\u00e4nger als erforderlich gespeichert.<\/p>\n Im zweiten Fall wehrte sich das litauische Nationale Zentrum f\u00fcr \u00f6ffentliche Gesundheit gegen eine Geldbu\u00dfe in H\u00f6he von EUR 12.000. Im Zusammenhang mit der Entwicklung einer mobilen Anwendung zur Erfassung und \u00dcberwachung von Covid-19-Daten seien personenbezogene Daten erhoben worden.<\/p>\n <\/p>\n Entscheidung:<\/strong><\/p>\n Der EuGH entschied, dass grunds\u00e4tzlich nur dann eine Geldbu\u00dfe wegen Versto\u00dfes gegen die DSGVO<\/strong> verh\u00e4ngt werden kann, wenn der Versto\u00df schuldhaft \u2013 also vors\u00e4tzlich oder fahrl\u00e4ssig \u2013 begangen<\/strong> wurde. Handelte es sich beim Verantwortlichen um eine juristische Person, ist es nicht erforderlich, dass der Versto\u00df von einem Leitungsorgan begangen wurde oder dieses Organ Kenntnis davon hatte. Eine juristische Person haftet sowohl f\u00fcr Verst\u00f6\u00dfe ihrer Vertreter, Leitungspersonen oder Gesch\u00e4ftsf\u00fchrer, als auch f\u00fcr Verst\u00f6\u00dfe von jeder sonstigen Person<\/strong>, die im Rahmen ihrer unternehmerischen T\u00e4tigkeit im Namen der juristischen Person handelt.<\/p>\n F\u00fcr die Verh\u00e4ngung einer Geldbu\u00dfe gegen eine juristische Person ist es nicht Voraussetzung<\/strong>, dass zuvor festgestellt wurde, dass der Versto\u00df von einer identifizierten nat\u00fcrlichen Person<\/strong> begangen wurde. Auch Verarbeitungsvorg\u00e4nge von Auftragsverarbeitern<\/strong> sind umfasst, sofern diese Vorg\u00e4nge dem Verantwortlichen zugerechnet werden k\u00f6nnen.<\/p>\n Die Einstufung als \u201egemeinsam Verantwortliche\u201c bei zwei oder mehr involvierten Einrichtungen setzt keine f\u00f6rmliche Vereinbarung voraus. Eine gemeinsame Entscheidung oder \u00fcbereinstimmende Entscheidungen reichen aus. Tats\u00e4chlich gemeinsam Verantwortliche m\u00fcssen in einer Vereinbarung ihre jeweiligen Pflichten festlegen.<\/p>\n Im Hinblick auf den H\u00f6chstbetrag<\/strong> einer m\u00f6glichen Geldbu\u00dfe wies der EuGH darauf hin, dass dieser auf der Grundlage eines Prozentsatzes des gesamten Jahresumsatzes<\/strong> zu berechnen ist, den das Unternehmen als Ganzes im vorangegangenen Gesch\u00e4ftsjahr weltweit<\/strong> erzielt hat. Geh\u00f6rt der Adressat der Geldbu\u00dfe etwa zu einem Konzern, ist bei der Berechnung der Geldbu\u00dfe auf den (Jahres-)Umsatz des Konzerns<\/strong> abzustellen.<\/p>\n <\/p>\n <\/p>\n Link zur Entscheidung zu C-683\/21<\/a><\/p>\n Link zur Entscheidung zu C-807\/21<\/a><\/p>\n Link zur Pressemitteilung des EuGH<\/a><\/p>\n <\/p>\n Weitere Blog-Beitr\u00e4ge zum Thema DSGVO:<\/strong><\/p>\n DSGVO-Schadenersatz f\u00fcr Schulwart, der irrt\u00fcmlich in Lehrerbewertungs-App aufgenommen wurde.<\/a><\/p>\n Erfassen des Stromverbrauchs durch \u201eSmart Meter\u201c: Kein Anspruch auf Schadenersatz auf Grundlage der DSGVO aufgrund Sorgen allgemeiner Natur<\/a><\/p>\n Immaterieller Schadenersatz bei Verst\u00f6\u00dfen gegen die DSGVO? Versto\u00df allein gen\u00fcgt nicht. Schaden erforderlich. Aber: Keine \u201eErheblichkeitsschwelle\u201c.<\/a><\/p>\n EuGH: DSGVO gew\u00e4hrt Recht auf Auskunft \u00fcber Zeitpunkt und Grund f\u00fcr Abfrage personenbezogener Daten. Jedoch zumeist keine Auskunft \u00fcber konkreten Arbeitnehmer, der die Abfrage vornimmt.<\/a><\/p>\n Betroffen von Datenpanne? Art 15 DSGVO gew\u00e4hrt Auskunftsanspruch \u00fcber tats\u00e4chliche Betroffenheit von Daten\u00fcbermittlung.<\/a><\/p>\n