Mit einem Urteil vom 13.02.2025[1] hat der Europäische Gerichtshof (EuGH) die EU-Vorgaben für Unternehmensbußen weiter verschärft. Die Entscheidung betrifft die Berechnung von Bußgeldern nach der Datenschutz-Grundverordnung (DSGVO) und legt dar, dass nicht nur der Umsatz der einzelnen verantwortlichen Konzerngesellschaft, sondern der Umsatz der gesamten Unternehmensgruppe Grundlage für die Bemessung von Unternehmensbußen heranzuziehen ist. Diese Rechtsprechung entstammt dem Wettbewerbsrecht und hat weitreichende Konsequenzen. Sie wirft ferner die Frage auf, inwieweit diese Grundsätze auf andere Rechtsgebiete, etwa den Digital Services Act (DSA), übertragbar sind. Gleichzeitig hat der Bundesgerichtshof (BGH) mit einer Vorlage an den EuGH die Frage gestellt, ob Unternehmen nach Zahlung von Unternehmensbußgeldern Regress gegen verantwortliche Manager nehmen können.[2] Der Wind für Unternehmen und Manager wird einmal mehr rauer. Daher beleuchten wir auf unserem Blog die EuGH-Entscheidung, ihre Anwendbarkeit auf weitere Rechtsbereiche und die Bedeutung der BGH-Vorlage.
- Die EuGH-Entscheidung C-383/23: Bußgelder nach der DSGVO und der Konzernumsatz
Im Streitfall ging es um eine dänische Möbelkette, die mit personenbezogenen Daten ihrer Kunden nicht sorgsam umgegangen sein soll. Die dänische Datenschutzbehörde verhängte zunächst eine Geldbuße in Höhe von 1,5 Millionen DKK. Das zuständige Gericht reduzierte diese Summe jedoch auf 100.000 DKK, da es nur den Umsatz der betreffenden Konzerngesellschaft als Berechnungsgrundlage heranzog. Gegen diese Entscheidung legte die Datenschutzbehörde Rechtsmittel ein. Im Rechtsmittelverfahren wurde der Fall dem EuGH zur Klärung vorgelegt.
Der EuGH entschied, dass für die Festsetzung von Bußgeldern nach der DSGVO grundsätzlich der weltweite Konzernumsatz die Bezugsgröße bei Berechnung der Obergrenze herangezogen werden darf. Dabei betonte das Gericht jedoch, dass der Konzernumsatz nicht automatisch die tatsächliche Bußgeldhöhe bestimmt, sondern lediglich als maximale Grenze gilt. Die konkrete Höhe des Bußgeldes muss sich weiterhin an der Schwere des Verstoßes, den Umständen des Einzelfalls und der wirtschaftlichen Leistungsfähigkeit des verantwortlichen Unternehmens orientieren. Diese Unterscheidung ist von großer Bedeutung, da sie verhindert, dass Bußgelder pauschal bis zur Obergrenze ausgeschöpft werden, ohne dass die Besonderheiten des jeweiligen Falles Berücksichtigung finden.
Mit der Entscheidung übertrug der EuGH die im Wettbewerbsrecht etablierte Logik der „wirtschaftlichen Einheit“ auf das Datenschutzrecht. Im Wettbewerbsrecht schiebt der EuGH seit langem die Grundsätze der juristischen Person beiseite und stellt bei der Bußgeldbemessung auf den gesamten Konzernumsatz als Bemessungsmaßstab ab. Nach dem EuGH (Rn. 36) gleicht der Begriff „Unternehmen“ in der DGSVO dem des Wettbewerbsrechts (Art. 101, 102 AEUV), so dass der Höchstbetrag einer Geldbuße, die „gegen einen Verantwortlichen …, der ein Unternehmen ist oder einem Unternehmen angehört“, auf der Grundlage des weltweiten Konzernumsatzes bestimmt wird. Insbesondere kommt es auf die Leistungsfähigkeit des Konzerns an, „um die tatsächliche oder materielle Leistungsfähigkeit des Adressaten der Geldbuße zu beurteilen und so zu überprüfen, ob die Geldbuße sowohl wirksam und verhältnismäßig als auch abschreckend ist“. Dies verschärft die Haftung deutlich.[3]
- Übertragung der EuGH-Rechtsprechung auf andere Rechtsgebiete
Es spricht viel dafür, dass der EuGH die Grenzen der juristischen Person auch in anderen Rechtsgebieten beiseite schiebt, z.B. im Digital Services Act (DSA), der Plattformbetreibern neue Pflichten auferlegt und bei Verstößen ebenfalls Bußgelder bis zu einem bestimmten Prozentsatz des weltweiten Umsatzes vorsieht. Der DSA sieht vor, dass bei schwerwiegenden Verstößen gegen die Vorschriften Bußgelder in Höhe von bis zu sechs Prozent des weltweiten Konzernumsatzes verhängt werden können. Die Systematik des DSA ähnelt dabei der DSGVO.
Darüber hinaus ist zu erwarten, dass die EuGH-Rechtsprechung auch auf andere neue europäische Regulierungen wie den Digital Markets Act (DMA) oder den AI Act angewendet wird. Der DMA sieht bei Verstößen gegen die Vorgaben für sogenannte „Gatekeeper“ Bußgelder von bis zu zehn Prozent des weltweiten Umsatzes vor. Auch hier wird der Konzernumsatz als Maßstab herangezogen, um sicherzustellen, dass die Bußgelder abschreckend wirken und eine angemessene Sanktion darstellen. Gleiches gilt für den AI Act, der bei bestimmten Verstößen gegen die Vorschriften für Künstliche Intelligenz Bußgelder von bis zu sieben Prozent des weltweiten Umsatzes vorsieht.
Die Übertragung der EuGH-Rechtsprechung auf diese Bereiche liegt nahe.
- Die Vorlage des BGH an den EuGH: Regress gegen Manager für Unternehmensbußgelder
Der Wind wird aber nicht nur für die Unternehmen rauer, sondern auch für die verantwortlichen Manager. Denn der Bundesgerichtshof hat mit seiner Vorlage KZR 74/23 vom 11.02.2025 eine grundsätzliche Frage an den EuGH gerichtet: Darf ein Unternehmen, das ein Bußgeld wegen eines Kartellverstoßes zahlen musste, Regress gegen die verantwortlichen Manager nehmen? Im konkreten Fall ging es um ein Preiskartell, das sowohl zu Bußgeldern gegen das Unternehmen als auch gegen den Vorstandsvorsitzenden selbst führte. Das Unternehmen zahlte seine Buße und wollte anschließend den Vorstandsvorsitzenden in Regress nehmen.
Der BGH hat diese Frage dem EuGH zur Klärung vorgelegt, da sie unionsrechtliche Implikationen hat. Insbesondere stellt sich die Frage, ob nationale Regressansprüche gegen Manager mit dem Zweck des europäischen Kartellrechts vereinbar sind. Das Ziel des Kartellrechts ist es, wettbewerbswidrige Verhaltensweisen zu verhindern und zu sanktionieren. Die Verhängung von Bußgeldern gegen Unternehmen soll dabei sowohl abschreckend als auch präventiv wirken. Würde ein Unternehmen nach Zahlung des Bußgeldes Regress gegen die verantwortlichen Manager nehmen, bestünde die Gefahr, dass der Sanktionscharakter der Bußgelder untergraben wird. Schließlich würde die Strafe letztlich nicht vom Unternehmen, sondern von den verantwortlichen Managern getragen werden.
Der BGH hat in seiner Vorlage auch Parallelen zum Steuerrecht gezogen, wo Regressansprüche gegen Manager regelmäßig ausgeschlossen sind, um den Sanktionscharakter der Steuerhaftung zu wahren. Es ist daher zu erwarten, dass der EuGH eine ähnliche Linie verfolgen wird. Denkbar wäre jedoch, dass der EuGH eine Haftung der Manager auf Fälle beschränkt, in denen diese vorsätzlich oder grob fahrlässig gehandelt haben. Eine pauschale Aussage zur Zulässigkeit von Regressansprüchen ist jedoch nicht zu erwarten, da die Rechtsprechung des EuGH in vergleichbaren Fällen stets den präventiven und abschreckenden Charakter von Verbandsbußgeldern betont hat.
- Fazit
Die erwartete Entscheidung des EuGH zur BGH-Vorlage wird voraussichtlich Mitte 2026 fallen. Unabhängig vom Ausgang zeigt die Vorlage, wird die Ausweitung der Konzernhaftung auf den DSA, den DMA und den AI Act ab 2026 zu deutlich höheren Sanktionsrisiken für Unternehmen führen. Die Trennung zwischen rechtlicher Eigenständigkeit und wirtschaftlicher Einheit wird zunehmend durchbrochen, mit Folgen für Governance und Risikomanagement. Unternehmen müssen sich auf diese Entwicklungen einstellen und ihre „Enthaftungsstrategien“ konzernweit organisieren.
Kritisch angemerkt sei: Wirtschaftlich zahlen die Aktionäre die Zeche, obwohl sie für Verstöße keine Verantwortung tragen. Das ist nicht nur ungut, sondern verletzt seinerseits EU-Verfassungsrecht.[4] Ohne Zweifel, Gesetzeseinhaltung steht nicht zur Disposition der Unternehmen. Aber Compliance Management – Pflichten, die flächendeckend gelten und laufend nach oben angepasst werden müssen, erhöhen systemisch Risikobewusstsein und Risikoaversion in Unternehmen, ohne entsprechend die Suche nach Chancen zu befeuern. Dies verschiebt Personal von Produktion und Chancenwahrnehmung zur Risikoabsicherung und zieht auf Unternehmens- und volkswirtschaftlicher Ebene hohe Kosten nach sich. Der EuGH trägt mit seiner Rechtsprechung zu alledem bei.
[1] Rs. C-383/23 (Vorabentscheidungsverfahren).
[2] Beschluss v. 11.02.2025 - KZR 74/23.
[3] Krit. zu dieser Entwicklung Reuter, Der Bußgeldregress gegen Manager aus verfassungs- und EU-rechtlicher Sicht, CCZ, 2023, 289 ff.
[4] Reuter, Der Bußgeldregress gegen Manager aus verfassungs- und EU-rechtlicher Sicht, CCZ, 2023, 289 ff.