{
    "slug": "eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz",
    "titre": "EuGH C-383/23 (ILVA, VO 2016/679) – DSGVO-Bußgeld nach Konzernumsatz: Unternehmensbegriff der Art. 101, 102 AEUV",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Mit Urteil vom 13. Februar 2025 in der Rechtssache C-383/23 (ILVA A/S) hat der Gerichtshof der Europäischen Union (Fünfte Kammer, ECLI:EU:C:2025:84)…",
    "resume_court": "Mit Urteil vom **13. Februar 2025** in der Rechtssache **C-383/23 (ILVA A/S)** hat der **Gerichtshof der Europäischen Union** (Fünfte Kammer, ECLI:EU:C:2025:84) entschieden: Der Begriff **„Unternehmen\u0022** in **Art. 83 Abs. 4 bis 6 DSGVO** entspricht dem **wettbewerbsrechtlichen Unternehmensbegriff der Art. 101 und 102 AEUV**. Gehört ein Verantwortlicher zu einem Konzern, bemisst sich die **Bußgeldobergrenze** (10 Mio. EUR / 2 % bzw. 20 Mio. EUR / 4 %) daher am **weltweiten Gesamtjahresumsatz der gesamten wirtschaftlichen Einheit** – nicht nur am Umsatz der verstoßenden Tochtergesellschaft.\n\nEntscheidend ist die vom EuGH gezogene **Trennlinie**: Der Konzernumsatz bestimmt den **Höchstbetrag** (den „Deckel\u0022). Die **konkrete Bußgeldhöhe** ist davon zu unterscheiden und richtet sich nach den Zumessungskriterien des **Art. 83 Abs. 2 DSGVO** (Art, Schwere, Dauer, Vorsatz/Fahrlässigkeit, Datenkategorien, Zahl der Betroffenen usw.). Der Konzernumsatz darf also **nicht als alleinige Berechnungsgrundlage** dienen – er ist aber bei der Prüfung heranzuziehen, ob die Geldbuße **wirksam, verhältnismäßig und abschreckend** im Sinne von Art. 83 Abs. 1 DSGVO ist, weil er die **tatsächliche wirtschaftliche Leistungsfähigkeit** des Adressaten abbildet.\n\nDas Urteil führt die Linie aus **EuGH C-807/21 (Deutsche Wohnen, 05.12.2023, ECLI:EU:C:2023:950)** fort und erstreckt sie ausdrücklich auf Mitgliedstaaten wie **Dänemark und Estland**, in denen DSGVO-Geldbußen nicht als Verwaltungssanktion, sondern nach **Art. 83 Abs. 9 DSGVO** durch Strafgerichte verhängt werden.",
    "faits": [
        {
            "point": "Aktenzeichen",
            "valeur": "C-383/23 (Vorabentscheidungsersuchen nach Art. 267 AEUV)",
            "autorite": "A"
        },
        {
            "point": "Bezeichnung",
            "valeur": "ILVA (Geldbuße wegen Verstoßes gegen die DSGVO)",
            "autorite": "A"
        },
        {
            "point": "ECLI",
            "valeur": "ECLI:EU:C:2025:84",
            "autorite": "A"
        },
        {
            "point": "Entscheidungsdatum",
            "valeur": "13.02.2025",
            "autorite": "A"
        },
        {
            "point": "Spruchkörper",
            "valeur": "Gerichtshof (Fünfte Kammer), Berichterstatter Z. Csehi",
            "autorite": "A"
        },
        {
            "point": "CELEX-Nummer",
            "valeur": "62023CJ0383",
            "autorite": "A"
        },
        {
            "point": "Vorlegendes Gericht",
            "valeur": "Vestre Landsret (Obergericht für Westdänemark), Vorlagebeschluss vom 03.05.2023",
            "autorite": "A"
        },
        {
            "point": "Generalanwältin",
            "valeur": "L. Medina, Schlussanträge vom 12.09.2024",
            "autorite": "A"
        },
        {
            "point": "Ausgelegte Norm",
            "valeur": "Art. 83 Abs. 4 bis 6 und Abs. 9 DSGVO (VO 2016/679) i. V. m. ErwGr. 150, 151",
            "autorite": "A"
        },
        {
            "point": "Kernaussage",
            "valeur": "„Unternehmen\u0022 i. S. v. Art. 83 Abs. 4–6 DSGVO = Unternehmensbegriff der Art. 101, 102 AEUV",
            "autorite": "A"
        },
        {
            "point": "Folge für den Höchstbetrag",
            "valeur": "Prozentsatz vom weltweiten Gesamtjahresumsatz des Vorjahres der gesamten wirtschaftlichen Einheit (Konzern)",
            "autorite": "A"
        },
        {
            "point": "Folge für die konkrete Höhe",
            "valeur": "Bemessung nach Art. 83 Abs. 2 DSGVO; Konzernumsatz nicht alleinige Berechnungsgrundlage",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen Art. 83 Abs. 4 DSGVO",
            "valeur": "bis 10 Mio. EUR oder 2 % des weltweiten Vorjahresumsatzes – je nachdem, welcher Betrag höher ist",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen Art. 83 Abs. 5 und 6 DSGVO",
            "valeur": "bis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes – je nachdem, welcher Betrag höher ist",
            "autorite": "A"
        },
        {
            "point": "Definition „wirtschaftliche Einheit\u0022",
            "valeur": "Jede eine wirtschaftliche Tätigkeit ausübende Einheit, unabhängig von Rechtsform und Finanzierung; einheitliche Organisation personeller, materieller und immaterieller Mittel mit dauerhaftem wirtschaftlichem Zweck",
            "autorite": "A"
        },
        {
            "point": "Sachverhalt",
            "valeur": "Möbelhändler ILVA A/S (Lars Larsen Group) speicherte von Mai 2018 bis Januar 2019 Daten von mindestens 350.000 ehemaligen Kunden zu lange",
            "autorite": "A"
        },
        {
            "point": "Konzernumsatz 2016/2017",
            "valeur": "6,57 Mrd. DKK (rund 881 Mio. EUR) – Lars Larsen Group",
            "autorite": "A"
        },
        {
            "point": "Umsatz ILVA A/S 2016/2017",
            "valeur": "knapp 1,8 Mrd. DKK (rund 241 Mio. EUR)",
            "autorite": "A"
        },
        {
            "point": "Antrag der Staatsanwaltschaft",
            "valeur": "1,5 Mio. DKK (rund 201.000 EUR) – berechnet auf Basis des Konzernumsatzes",
            "autorite": "A"
        },
        {
            "point": "Erstinstanzliches Bußgeld",
            "valeur": "100.000 DKK (rund 13.400 EUR), Retten i Aarhus, Urteil vom 12.02.2021",
            "autorite": "A"
        },
        {
            "point": "Verstoßene Normen (Ausgangsverfahren)",
            "valeur": "Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung), § 41 des dänischen Gesetzes Nr. 502 vom 23.05.2018",
            "autorite": "A"
        },
        {
            "point": "Besonderheit Art. 83 Abs. 9 DSGVO",
            "valeur": "In DK/EE wird die Geldbuße von der Aufsichtsbehörde angeregt und vom Strafgericht verhängt; Wirkung muss verwaltungsrechtlichen Geldbußen gleichwertig sein",
            "autorite": "A"
        },
        {
            "point": "Grenze im Strafverfahren",
            "valeur": "Strafgericht muss Verfahrensrechte des Beschuldigten und den Grundsatz der Verhältnismäßigkeit der Strafe (EU-Grundrechtecharta) wahren",
            "autorite": "A"
        },
        {
            "point": "Vorgängerurteil",
            "valeur": "EuGH C-807/21 (Deutsche Wohnen), 05.12.2023, ECLI:EU:C:2023:950, Rn. 53–59",
            "autorite": "A"
        },
        {
            "point": "Verfahrensausgang",
            "valeur": "Vorabentscheidung – Endentscheidung durch das Vestre Landsret; Ausgang dort nicht verifiziert",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "EUR-Lex – Urteil EuGH vom 13.02.2025, C-383/23 (ILVA), CELEX 62023CJ0383",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62023CJ0383",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Amtsblatt-Mitteilung zur Rechtssache C-383/23 (ILVA), OJ C 2025/1864",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:C_202501864",
            "autorite": "A"
        },
        {
            "titre": "CURIA – Verfahrensdokumentation und Ergebnisliste zur Rechtssache C-383/23",
            "url": "https://curia.europa.eu/juris/liste.jsf?language=de\u0026num=C-383/23",
            "autorite": "A"
        },
        {
            "titre": "dejure.org – EuGH, 13.02.2025, C-383/23 (Permalink)",
            "url": "https://dejure.org/2025,2263",
            "autorite": "A"
        },
        {
            "titre": "dejure.org – Schlussanträge der Generalanwältin Medina vom 12.09.2024, C-383/23 (Permalink)",
            "url": "https://dejure.org/2024,22875",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), konsolidierte Fassung",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil EuGH vom 05.12.2023, C-807/21 (Deutsche Wohnen), CELEX 62021CJ0807",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0807",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Vertrag über die Arbeitsweise der Europäischen Union (AEUV), Art. 101 und 102",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A12016E%2FTXT",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB – Leitlinien 04/2022 für die Berechnung von Geldbußen im Rahmen der DSGVO (deutsche Fassung, PDF)",
            "url": "https://www.edpb.europa.eu/system/files/2024-01/edpb_guidelines_042022_calculationofadministrativefines_de_0.pdf",
            "autorite": "A"
        },
        {
            "titre": "EDSA/EDPB – Übersichtsseite Guidelines 04/2022 (Annahme der finalen Fassung am 24.05.2023)",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_en",
            "autorite": "A"
        },
        {
            "titre": "gesetze-im-internet.de – § 43 BDSG (Bußgeldvorschriften, Abs. 3: keine Geldbußen gegen Behörden)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__43.html",
            "autorite": "A"
        },
        {
            "titre": "gesetze-im-internet.de – § 41 BDSG (Anwendung der Vorschriften über das Bußgeld- und Strafverfahren)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__41.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-383/23 (ILVA, VO 2016/679) – DSGVO-Bußgeld nach Konzernumsatz: Unternehmensbegriff der Art. 101, 102 AEUV?",
            "reponse": "Mit Urteil vom 13. Februar 2025 in der Rechtssache C-383/23 (ILVA A/S) hat der Gerichtshof der Europäischen Union (Fünfte Kammer, ECLI:EU:C:2025:84) entschieden: Der Begriff „Unternehmen\u0022 in Art. 83 Abs. 4 bis 6 DSGVO entspricht dem wettbewerbsrechtlichen Unternehmensbegriff der Art. 101 und 102 AEUV. Gehört ein Verantwortlicher zu einem Konzern, bemisst sich die Bußgeldobergrenze (10 Mio. EUR / 2 % bzw. 20 Mio."
        },
        {
            "question": "Für wen gilt EuGH C-383/23 (ILVA, VO 2016/679)?",
            "reponse": "Das Urteil legt die DSGVO (VO 2016/679) aus. Als EU-Verordnung gilt die DSGVO unmittelbar in allen Mitgliedstaaten – ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung des Art. 83 DSGVO durch den EuGH bindet daher auch deutsche Aufsichtsbehörden und Gerichte unmittelbar. Betroffen ist jeder Verantwortliche und jeder Auftragsverarbeiter, der Teil einer wirtschaftlichen Einheit im Sinne der Art."
        },
        {
            "question": "Gibt es Ausnahmen bei EuGH C-383/23 (ILVA, VO 2016/679)?",
            "reponse": "Keine wirtschaftliche Tätigkeit: Wer kein „Unternehmen\u0022 im Sinne der Art. 101, 102 AEUV ist, unterliegt nur dem absoluten Höchstbetrag (10 bzw. 20 Mio. EUR) – die Umsatzalternative greift nicht. Öffentliche Stellen in Deutschland: § 43 Abs. 3 BDSG schließt Geldbußen gegen Behörden und öffentliche Stellen grundsätzlich aus."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-383/23 (ILVA, VO 2016/679)?",
            "reponse": "„Der Konzernumsatz ist die Berechnungsgrundlage für das Bußgeld.\u0022 Falsch – er bestimmt nur den Höchstbetrag. Die konkrete Höhe folgt aus Art. 83 Abs. 2 DSGVO. Der EuGH trennt beides ausdrücklich (Rn. 24). „Nur die verstoßende Tochtergesellschaft zählt.\u0022 Falsch – maßgeblich ist die wirtschaftliche Einheit im Sinne der Art. 101, 102 AEUV, zu der die Gesellschaft gehört."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für EuGH C-383/23 (ILVA, VO 2016/679) aus?",
            "reponse": "Eine deutsche Vertriebs-GmbH mit 8 Mio. EUR Jahresumsatz gehört zu einer europäischen Handelsgruppe mit 1,2 Mrd. EUR Weltumsatz. Die GmbH speichert Kundendaten aus beendeten Verträgen ohne Löschkonzept dauerhaft weiter – ein Verstoß gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO), der nach Art. 83 Abs. 5 lit. a DSGVO dem oberen Rahmen unterfällt. Höchstbetrag vor ILVA-Argumentation: 20 Mio."
        }
    ],
    "wikidata": [],
    "valid_from": "2025-02-13",
    "valid_to": null,
    "derniere_revision": "2026-08-26",
    "derniere_verification": "2026-08-26",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-383-23-ilva-dsgvo-bussgeld-konzernumsatz"
}