DSGVO-Bußgelder: das Zweistufenmodell nach Art. 83 DSGVO

Das Zweistufenmodell: Art. 83 Abs. 4 und 5 DSGVO

Praxisfragen sind zum Beispiel: „Gilt das wirklich auch für uns als kleines Unternehmen?", „Wer bekommt eigentlich das Geld?" oder „Wie kommt die Behörde auf den Betrag?". Art. 83 DSGVO beantwortet diese Fragen mit einem klar strukturierten Zweistufenmodell.

Art. 83 Abs. 1 DSGVO legt den Rahmen fest: Jede Aufsichtsbehörde muss sicherstellen, dass Geldbußen „wirksam, verhältnismäßig und abschreckend" sind. Entscheidend ist dabei, welche Norm verletzt wurde — denn davon hängt ab, welcher Bußgeldrahmen gilt.

Stufe 1 — Art. 83 Abs. 4: bis zu 10 Mio. EUR oder 2 %

Die untere Stufe erfasst vor allem technisch-organisatorische und prozessuale Verstöße. Sie gilt für Verletzungen der Art. 8, 11, 25–39, 42 und 43 DSGVO. Darunter fallen unter anderem fehlende oder mangelhafte Auftragsverarbeitungsverträge nach Art. 28, ein fehlendes Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, Mängel beim Datenschutz durch Technik (Art. 25), fehlende Sicherheitsmaßnahmen nach Art. 32 oder eine unterlassene Meldung einer Datenpanne an die Aufsichtsbehörde nach Art. 33.

Stufe 2 — Art. 83 Abs. 5: bis zu 20 Mio. EUR oder 4 %

Die obere Stufe gilt für materiell schwerwiegendere Verletzungen. Sie erfasst Verstöße gegen die Grundsätze der Verarbeitung (Art. 5), die Rechtsgrundlagen (Art. 6, 7, 9), die Betroffenenrechte (Art. 12–22) und die Regeln zur Drittlandübermittlung (Art. 44–49) sowie Vorschriften der Mitgliedstaaten nach Kapitel IX DSGVO. Die Einstufung macht Sinn: Wer personenbezogene Daten ohne jede Rechtsgrundlage verarbeitet oder systematisch Betroffenenrechte verweigert, greift in den Kern des Datenschutzrechts ein.

Die Alternativformel: „je nachdem, welcher der Beträge höher ist"

Art. 83 Abs. 4 DSGVO sieht Geldbußen „von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs" vor, Art. 83 Abs. 5 DSGVO solche von bis zu 20 000 000 EUR bzw. 4 % — jeweils „je nachdem, welcher der Beträge höher ist". Für kleine Unternehmen bedeutet dies in der Praxis: Da der Jahresumsatz oft deutlich unter der Schwelle liegt, die den Prozentwert über den Fixbetrag hebt, gilt regelmäßig der fixe Höchstbetrag als Obergrenze. Bei umsatzstarken Konzernen hingegen kann der Prozentwert das fixe Maximum überschreiten — dann bildet er die Obergrenze.

Wichtig zu verstehen: Der Bußgeldrahmen ist eine Obergrenze, kein Standardbetrag. Die tatsächlich verhängte Geldbuße liegt in aller Regel deutlich darunter und richtet sich nach den elf Kriterien des Art. 83 Abs. 2 DSGVO.

Die 11 Zumessungskriterien nach Art. 83 Abs. 2 DSGVO

Die Aufsichtsbehörde bestimmt die Höhe der Geldbuße anhand der folgenden elf Kriterien (Art. 83 Abs. 2 lit. a–k DSGVO):

Kriterium d) ist für die Prüfungsvorbereitung besonders relevant: Wer nachweisen kann, dass er angemessene technische und organisatorische Maßnahmen nach Art. 25 und 32 DSGVO getroffen hat, mindert damit den Grad seiner Verantwortung und damit auch das potenzielle Bußgeld. Das Verzeichnis von Verarbeitungstätigkeiten und ein vollständiger AVV sind dabei hilfreiche Belege.

Tatmehrheit: Deckelung beim schwerwiegendsten Verstoß (Art. 83 Abs. 3)

Verstößt ein Verantwortlicher oder Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO, so bestimmt Art. 83 Abs. 3 DSGVO: Der Gesamtbetrag der Geldbuße übersteigt nicht den Betrag für den schwerwiegendsten Verstoß. Ein Vorfall, der zugleich einen fehlenden AVV (Stufe 1) und eine rechtsgrundlagenlose Verarbeitung (Stufe 2) aufdeckt, führt also nicht zur Addition beider Höchstbeträge — maßgeblich ist die höhere Stufe 2.

EuGH-Urteil C-807/21 vom 5. Dezember 2023: direkte Unternehmenshaftung

Für die Praxis bedeutet dies: Der Einwand, es sei keine handelnde natürliche Person namentlich zu benennen, entbindet ein Unternehmen nicht von der Geldbuße. Gleichzeitig kann sich ein Unternehmen damit verteidigen, dass ihm das Verhalten seiner Mitarbeiter unter keinem Gesichtspunkt vorsätzlich oder fahrlässig zugerechnet werden kann — etwa weil es alle zumutbaren Compliance-Maßnahmen ergriffen hatte.

Abgrenzung: Art. 82 und Art. 83 DSGVO

Ein Missverständnis betrifft den Empfänger: Man könnte annehmen, das Bußgeld nach Art. 83 DSGVO fließe an die geschädigte Person. Das ist nicht der Fall — es fließt in den Haushalt des Mitgliedstaats (in Deutschland für private Unternehmen in den Landeshaushalt, da die zuständigen Datenschutz-Aufsichtsbehörden Landesbehörden sind; Rechtsgrundlage: § 26 Abs. 3 OWiG). Wer als betroffene Person Schadensersatz geltend machen möchte, muss den zivilrechtlichen Anspruch nach Art. 82 DSGVO verfolgen. Beide Instrumente können nebeneinander bestehen: Ein Verstoß kann zugleich eine behördliche Geldbuße nach Art. 83 und einen Schadensersatzanspruch der betroffenen Person nach Art. 82 auslösen.

Der strukturelle Unterschied: Art. 82 DSGVO ist ein privatrechtlicher Ausgleichsanspruch — er setzt einen konkreten Schaden bei der betroffenen Person voraus und wird vor Zivilgerichten durchgesetzt. Art. 83 DSGVO ist eine öffentlich-rechtliche Sanktion — die Aufsichtsbehörde handelt im öffentlichen Interesse, nicht im Auftrag der Geschädigten.

Behörden und öffentliche Stellen (Art. 83 Abs. 7 DSGVO)

Art. 83 Abs. 7 DSGVO räumt den Mitgliedstaaten die Möglichkeit ein, Regeln für die Verhängung von Geldbußen gegen Behörden und öffentliche Stellen zu erlassen. Deutschland hat von dieser Öffnungsklausel in § 43 Abs. 3 BDSG Gebrauch gemacht: Gegen Behörden und öffentliche Stellen, die in Bundesländern oder beim Bund angesiedelt sind, können Geldbußen nach DSGVO nicht verhängt werden. Die Aufsichtsbehörden können dann stattdessen andere Abhilfemaßnahmen wie Beanstandungen oder Verarbeitungsuntersagungen einsetzen.