TE Bvwg Erkenntnis 2021/11/22 W214 2238581-1

W214 2238581-1/17E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Viktoria HAIDINGER, LLM, und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der XXXX vertreten durch XXXX gegen das Straferkenntnis der Datenschutzbehörde vom 13.11.2020, Zl. D550.365 2020-0.565.969, nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

A)

I. Die Beschwerde wird in der Schuldfrage als unbegründet abgewiesen.

II. Gemäß § 50 VwGVG wird der Beschwerde hinsichtlich der Höhe der Strafe teilweise Folge gegeben und die Strafe auf EUR 350 bzw. 22 Stunden Ersatzfreiheitsstrafe herabgesetzt.

III. Die Strafnorm lautet: Art. 83 Abs. 5 lit. a DSGVO iVm § 16 Verwaltungsstrafgesetz 1991 idgF.

IV. Die Beschwerdeführerin hat EUR 35 als Kostenbeitrag zum Verfahren vor der belangten Behörde zu leisten, das sind 10% der nunmehrig verhängten Strafe.

V. Die Beschwerdeführerin hat gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Die Landespolizeidirektion XXXX erstattete am 22.06.2020 zur GZ XXXX eine Meldung im Sinne des Art 33 DSGVO an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) betreffend die unbefugte Einsichtnahme durch die Beschwerdeführerin in einen PAD-Akt. Dazu wurde ausgeführt, dass die Beschwerdeführerin, eine Beamtin der LPD XXXX , am XXXX .2019 um XXXX , vermutlich im Zusammenhang mit einer gegen ihren Gatten geführten Amtshandlung und diesbezüglich eingebrachten Beschwerde, in den PAD-Akt XXXX (Tagesbericht der PI XXXX vom XXXX ) widerrechtlich Einsicht genommen habe. Das strafrechtliche Verfahren zur GZ XXXX wegen des Verdachtes nach §§ 12 2. Fall, 302 StGB sei laut Mitteilung der Staatsanwaltschaft XXXX gemäß § 190 Z 2 StPO eingestellt worden. Bezüglich Art. 33 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde) sei bereits eine Prüfung durch die belangte Behörde erfolgt.

Der Meldung beigelegt wurde u.a. eine Kopie eines Berichtes der LPD XXXX an die Staatsanwaltschaft XXXX vom 16.01.2020, eine Kopie der Stellungnahme der Beschwerdeführerin vom 03.12.2019 bezüglich der Nachschau im PAD am XXXX .2019 um XXXX Uhr, eine Kopie der Beschuldigtenvernehmung der Beschwerdeführerin vom 17.02.2020, eine Kopie der Stellungnahme der Beschwerdeführerin vom 12.02.2020, eine Kopie des Abschluss-Berichtes vom 09.04.2020, sowie eine Kopie von der Benachrichtigung der Einstellung des Strafverfahrens zur GZ XXXX der Staatsanwaltschaft XXXX gegen die Beschwerdeführerin.

2. Mit Strafverfügung vom 19.08.2020 verhängte die belangte Behörde über die Beschwerdeführerin wegen Verstoßes gegen die Rechtsvorschriften des Art. 5 Abs. 1 lit. a und b sowie Art. 6 Abs. 1 DSGVO gemäß Art. 83 Abs. 5 lit. a DSGVO iVm §§ 16 und 47 VStG eine Geldstrafe in Höhe von EUR 400 (im Falle der Uneinbringlichkeit eine Ersatzfreiheitsstrafe von 24 Stunden).

3. Gegen diese Strafverfügung erhob die Beschwerdeführerin am 01.09.2020 Einspruch und führte aus, dass sie den Vorwurf der „Verarbeitung von Daten“ auf das Schärfste zurückweise, sie habe keine Daten in irgendeiner Weise verarbeitet. Die Vermutung, dass sie im Zusammenhang mit einer Beschwerde ihres Ehemannes eine Verwaltungsübertretung begangen habe, sei durch nichts bewiesen oder belegt. Sie habe weder den Zeitpunkt der unberechtigten Nachschau im PAD, noch die daraus ersichtlichen Daten ihrem Ehemann mitgeteilt. Sämtliche Daten, insbesondere persönliche, die sie habe ersehen können, aber nur oberflächlich betrachtet habe, seien für die Beschwerde ihres Ehemannes nicht von Belang gewesen, da ihm diese bereits bekannt gewesen seien. Diesbezüglich beantrage sie die zeugenschaftliche Einvernahme ihres Ehemannes. Durch ihre unberechtigte Nachschau sei niemand in seinen Rechten verletzt worden, es sei auch kein Schaden entstanden, womit der Vorwurf der Übertretung der Art. 5 Abs. 1 lit. a und b sowie Art. 6 Abs. 1 DSGVO nicht gegeben sei. Es werde daher ersucht, das Verfahren einzustellen.

4. Mit nunmehr angefochtenem Straferkenntnis vom 13.11.2020, Zl. D550.365 2020-0.565.969, wurde über die Beschwerdeführerin eine Geldstrafe von EUR 400 (im Falle der Uneinbringlichkeit eine Ersatzfreiheitsstrafe von 24 Stunden) gemäß Art. 83 Abs. 5 lit. a DSGVO iVm § 16 VStG verhängt und die Beschwerdeführerin gemäß § 64 VStG zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens in Höhe von EUR 40 verpflichtet.

Die Beschwerdeführerin habe als Verantwortliche iSd Art. 4 Z 7 DSGVO durch widerrechtlichen Zugriff und die im weiteren Verlauf erfolgte Einsichtnahme personenbezogene Daten unrechtmäßig sowie zweckwidrig verarbeitet, indem sie am XXXX 2019 um XXXX Uhr in XXXX , ohne dienstliche Notwendigkeit und ohne für die gegenständliche Abfrage berechtigt gewesen zu sein, Einsicht in den Verfahrensakt PAD-Akt: XXXX (Tagesbericht der Polizeiinspektion XXXX vom XXXX ) genommen habe, um in weiterer Folge den Akteninhalt zu sichten. Durch die konkrete Datenverarbeitung seien daher im Ergebnis der Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) sowie der Grundsatz der Verarbeitung von personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke („Zweckbindung“) der DSGVO verletzt worden, da ein Rechtfertigungstatbestand im Sinne des Art. 6 Abs. 1 DSGVO für die Einsichtnahme nicht vorgelegen sei.

Die belangte Behörde stellte fest, dass die Beschwerdeführerin zum Tatzeitpunkt in einem aufrechten Dienstverhältnis zur Landepolizeidirektion XXXX in XXXX gestanden sei und am XXXX um XXXX Uhr in XXXX ohne dienstliche Notwendigkeit bzw. für private Zwecke und ohne für die gegenständliche Abfrage berechtigt gewesen zu sein, Einsicht in den Verfahrensakt XXXX (Tagesbericht der Polizeiinspektion XXXX ) genommen habe, um in weiterer Folge den Akteninhalt zu sichten. Die Beschwerdeführerin habe wissen wollen, wer an diesem Tag die Schulwegsicherung im „dortigen Rayon“ vorgenommen habe. Der gegenständliche Tagesbericht habe Informationen (jedenfalls Vor- und Nachname) zu zwei Organen des öffentlichen Sicherheitsdienstes der LPD XXXX beinhaltet. Die Beschwerdeführerin habe neben der Einsicht in den PAD-Akt jedoch keine Veränderungen im Akt selbst vorgenommen. Die Beschwerdeführerin habe ein monatliches Nettoeinkommen von EUR 1.700, darüber hinaus habe die Beschuldigte ein Vermögen in Höhe von EUR 50.000 (Sommerhaus). Die Beschwerdeführerin habe keine finanziellen Verpflichtungen und keine Sorgepflichten.

Rechtlich führte die belangte Behörde u.a. aus, dass die im Akt angeführten Namen der betroffenen Personen zweifelsfrei personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO darstellen würden. Die DSGVO definiere den Begriff der „Verarbeitung“ in Art. 4 Z 2 DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst seien dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Die Beschwerdeführerin habe widerrechtlich bzw. ohne hierfür berechtigt zu sein und ohne dienstliche Notwendigkeit bzw. für private Zwecke das PAD-System der LPD XXXX genutzt, um in den gegenständlichen PAD-Akt bzw. Tagesbericht Einsicht zu nehmen und um in weiterer Folge herauszufinden, wer an einem bestimmten Tag die Schulwegsicherung an einem bestimmten Ort durchgeführt habe. Demnach sei im vorliegenden Fall jedenfalls eine Verarbeitung personenbezogener Daten im Sinne des Art. 4 Z 2 DSGVO erfolgt. Es sei auf personenbezogene Daten Dritter im PAD-Akt mittels Abfrage durch die Beschwerdeführerin - widerrechtlich – zugegriffen worden. Die Beschwerdeführerin sei für diesen konkreten Verarbeitungsvorgang in rechtlicher Hinsicht als Verantwortliche im Sinne von Art. 4 Z 7 DSGVO zu qualifizieren, da durch sie selbst ein persönliches Informationsinteresse an den abgefragten Daten durch die Einsichtnahme in das von der Bundespolizei verwendete Aktensystem hier als Zweck der erfolgten Datenverarbeitung anzusehen sei. Zu prüfen sei im vorliegenden Zusammenhang, ob die gegenständliche Datenverarbeitung durch einen der Zulässigkeitsgründe des Art. 6 DSGVO gedeckt sei. In Betracht komme hierfür letztendlich nur das Vorliegen berechtigter Interesse der Beschuldigten bzw. von Dritten gemäß Art. 6 Abs.1 lit. f DSGVO, da vor allem keine Einwilligung nach Art. 6 Abs. 1 lit a DSGVO von den Betroffenen für die Einsichtnahme vorgelegen habe. Im vorliegenden Fall komme man im Zuge der Interessensabwägung zweifelsfrei zum Ergebnis, dass hier die Grundrechte und Freiheiten der betroffenen Personen (insbesondere das Recht auf Geheimhaltung nach § 1 DSG sowie das Recht auf Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC) die Interessen der Beschwerdeführerin (privates Informationsinteresse an einem Polizeivorgang) deutlich überwiegen würden. Der verfahrensgegenständliche Einsichtsvorgang in das Aktensystem sei ausschließlich im privaten Interesse der Beschwerdeführerin gelegen, diese sei an der betreffenden Amtshandlung (Schulwegsicherung) weder als Polizeiorgan noch als von der Amtshandlung betroffene Person beteiligt gewesen; ein berechtigtes Interesse an der Datenverarbeitung auf Seiten der Beschwerdeführerin selbst, welches die Grundrechte und Freiheiten der Betroffenen überwiege, liegt demnach nicht vor. Die gegenständliche Verarbeitung sei zudem nicht erforderlich gewesen, um die Interessen der Beschuldigten zu wahren bzw. um herauszufinden wer an dem bestimmten Tag die Schulwegsicherung vor Ort vorgenommen habe. Die Beschwerdeführerin hätte ihr Interesse auch ohne die Einsichtnahme im PAD-Akt wahren können, indem sie sich bei der PI XXXX telefonisch erkundigt hätte. Spätestens im Zuge einer allfälligen telefonischen Anfrage hätte die Beschwerdeführerin herausgefunden, ob sie überhaupt berechtigt sei, diese Information abzufragen oder nicht. Zudem bilde der von der Beschwerdeführerin (als Polizeibeamtin) festgelegte Zweck (nämlich die ohne dienstliche Notwendigkeit sowie Berechtigung erfolgte Einsicht in einen PAD-Akt für private Informationsinteressen) objektiv betrachtet, dadurch, dass sie sich widerrechtlich Zugang zu einer Datenverarbeitung verschafft habe, jedenfalls einen Verstoß gegen Dienstanweisungen bzw. Dienstpflichten. Daher habe die Beschwerdeführerin als Verantwortliche gemäß Art. 4 Z 7 DSGVO daher die objektive Tatseite der Verwaltungsübertretung des Art. 83 Abs. 5 lit. a DSGVO zu verantworten, da die verfahrensgegenständliche Einsichtnahme in das Aktenverwaltungssystem, auf die oben dargestellte Weise, gegen die von Art. 5 Abs. 1 lit. a und lit. b DSGVO normierten Verarbeitungsgrundsätze verstoßen habe und in keinem der von Art. 6 Abs. 1 DSGVO abschließend normierten Rechtmäßigkeitstatbestände Deckung finde. Seitens der Beschwerdeführerin sei der in Rede stehende Einsichtsvorgang mit der Intention, sich den verfahrensgegenständlichen Akteninhalt selbst anzusehen und sich über die Amtshandlung zu informieren, eingeräumt worden und liege daher auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor.

Zur Strafzumessung sei festzuhalten, dass der Umstand, dass der gegenständliche Verstoß vorsätzlich begangen worden sei, sowie die Tatumstände als erschwerend berücksichtigt worden seien, da die Beschwerdeführerin im Dienst aus rein privatem Interesse auf ein Aktensystem der Bundespolizei Zugriff genommen habe, als Bedienstete der LPD XXXX jedoch nicht nur einer besonderen dienst- und disziplinarrechtlichen Verantwortung, sondern im Rahmen ihrer Dienstverwendung auch einer nicht unerheblichen Vorbildwirkung im Umgang mit der Einhaltung von Rechtsvorschriften gegenüber XXXX unterliege. Als mildernd sei berücksichtigt worden, dass sich die Beschwerdeführerin am Verwaltungsstrafverfahren vor der belangten Behörde insofern beteiligt habe, indem sie den Einsichtsvorgang in das Aktenverwaltungssystem eingeräumt und dadurch zur Wahrheitsfindung beigetragen habe und gegen die Beschwerdeführerin bis dato bei der belangten Behörde keine einschlägigen Vorstrafen vorgelegen hätten. Die konkret verhängte Strafe erscheine daher unter Berücksichtigung der festgestellten Einkommensverhältnisse der Beschwerdeführerin im Hinblick auf den verwirklichten Tatunwert gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO von bis zu EUR 20.000.000 tat- und schuldangemessen und ihre Verhängung erforderlich, um die Beschwerdeführerin und Dritte von der Begehung gleicher oder ähnlicher strafbaren Handlungen abzuhalten.

5. Gegen dieses Straferkenntnis erhob die Beschwerdeführerin durch ihre Rechtsvertretung fristgerecht Beschwerde und führte aus, dass die Strafe zu Unrecht verhängt worden sei, es seien keine personenbezogenen Daten abgefragt worden. Die Einsichtnahme in das PAD System der LPD XXXX betreffend den Tagesbericht stelle weder das Auslesen noch das Abfragen von personenbezogenen Daten dar. Hinzu komme, dass Daten aus dem PAD- System nicht an dritte Personen weitergegeben worden seien. Der im Vorfeld behauptete Vorwurf, die Beschwerdeführerin hätte den Inhalt des Tagesberichtes betreffend zwei Organe des öffentlichen Sicherheitsdienstes der LPD XXXX ihrem Gatten zur Kenntnis gebracht bzw. dass die entsprechenden Daten vom Ehemann der Beschwerdeführerin zum Zwecke einer Beschwerde an die LPD XXXX verwendet worden seien, sei unrichtig und würde jeglicher Grundlage entbehren. Es werde daher der Antrag gestellt, das angefochtene Straferkenntnis aufzuheben.

6. Die belangte Behörde legte die Beschwerde samt den dazugehörigen Verwaltungsakten dem Bundesverwaltungsgericht mit Schreiben vom 04.01.2021 zur Entscheidung vor.

7. Am 28.10.2021 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht im Beisein der Beschwerdeführerin, ihrer rechtlichen Vertretung und der belangten Behörde statt. Im Rahmen dieses Verfahrens wurden auch drei Zeugen befragt. Die Beschwerdeführerin führte im Rahmen ihrer Befragung aus, dass es Dienstanweisungen bezüglich des Zugriffs auf das PAD gegeben habe, wonach eine Nutzung für private Zwecke nicht zulässig sei. Sie habe den Tagesbericht aufgerufen und habe ihn durchgescrollt um festzustellen, ob ein Zivildiener oder ein Beamter die Schulwegsicherung durchgeführt habe. Auf Nachfrage, warum sie gerade den Tagesbericht der PI XXXX bezüglich eines bestimmten Tages angeschaut habe, räumte sie ein, dass diese Abfrage im Zusammenhang mit der Beschwerde ihres Mannes gestanden sei. Ein Kollege, der ihren Mann angezeigt habe, habe behauptet, dass er Schulwegsicherer gewesen sei. Sie habe wissen wollen, ob der Kollege die Wahrheit gesagt habe oder nicht. Der Rechtsvertreter der Beschwerdeführerin legte ein Disziplinarerkenntnis der Bundesdisziplinarbehörde vom 16.12.2020 vor, mit dem über die Beschwerdeführerin eine Geldbuße in der Höhe von EUR 300 verhängt wurde, und verwies auf das Verbot der Doppelbestrafung. Was die Einkommens- und Vermögensverhältnisse betraf, gab die Beschwerdeführerin an, dass sie ein Nettoeinkommen von ca. EUR 2.500 habe und legte in weiterer Folge einen Gehaltzettel für den Monat November 2021 vor, wonach sie einen Nettobezug von EUR 2.654,12 erhält.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Folgender entscheidungswesentlicher Sachverhalt steht fest:

Die Beschwerdeführerin steht derzeit und stand auch zum Tatzeitpunkt als Beamtin in einem aufrechten Dienstverhältnis zur Landepolizeidirektion XXXX mit Dienstort in XXXX Sie hatte grundsätzlich für ihre Tätigkeit die Berechtigung, im PAD Abfragen für dienstliche Zwecke vorzunehmen. Die LPD hat seit 1991 und insbesondere auch anlässlich des Wirksamwerdens der DSGVO und des Inkraftretens der DSG-Novelle im Jahr 2018 mehrere den Datenschutz betreffende Dienstanweisungen herausgegeben und im Intranet publiziert, sodass die Beschwerdeführerin wissen musste, dass eine Abfrage zu privaten Zwecken nicht rechtmäßig ist.

Die Beschwerdeführerin hat am XXXX 2019 um XXXX Uhr in XXXX ohne dienstliche Notwendigkeit bzw. für private Zwecke und ohne für die gegenständliche Abfrage berechtigt gewesen zu sein, Einsicht in den Verfahrensakt PAD-Akt: XXXX (Tagesbericht der Polizeiinspektion XXXX vom XXXX ) genommen, um in weiterer Folge den Akteninhalt zu sichten.

Die Beschwerdeführerin wollte wissen, wer an diesem Tag die Schulwegsicherung im „dortigen Rayon“ vorgenommen hat, weil es an diesem Tag zu einer Amtshandlung gegenüber ihrem Ehemann gekommen war und ein Kollege, der diese Amtshandlung durchführte, darauf hingewiesen hatte, an diesem Tag auch die Schulwegsicherung durchgeführt zu haben. Die Beschwerdeführerin wollte daher überprüfen, ob der Kollege, der ihren Mann angezeigt hat, bezüglich der Schulwegsicherung tatsächlich die Wahrheit gesagt hat. Dies unter anderem vor dem Hintergrund, dass die Beschwerdeführerin davon ausging, dass in XXXX Exekutivbeamte keine Schulwegsicherung mehr durchführen, sondern Zivildiener.

Die Beschwerdeführerin suchte gezielt nach der Schulwegsicherung und den Personen, die diese durchgeführt haben. Dabei handelte es sich um folgende Einträge:

„07:30 - 08:30

XXXX

Verkehrspolizeiliche Maßnahmen - Schulwegsicherung Schulwegsicherung XXXX - keine Vorfälle. XXXX

11:30 - 13:30

XXXX

Verkehrspolizeiliche Maßnahmen - Schulwegsicherung 2 x Schulwegsicherung XXXX - keine Vorfälle. XXXX

12:30 - 13:30

XXXX Verkehrspolizeiliche Maßnahmen - Schulwegsicherung Geschäftszahl: XXXX Anzeigen Verkehrsbereich sonstige XXXX “

Mit Straferkenntnis vom 13.11.2020, Zl. D550.365 2020-0.565.969, wurde über die Beschwerdeführerin eine Geldstrafe von EUR 400 (im Falle der Uneinbringlichkeit eine Ersatzfreiheitsstrafe von 24 Stunden) gemäß Art. 83 Abs. 5 lit. a DSGVO iVm § 16 VStG verhängt und die Beschwerdeführerin gemäß § 64 VStG zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens in Höhe von EUR 40 verpflichtet, weil sie als Verantwortliche iSd Art. 4 Z 7 DSGVO durch widerrechtlichen Zugriff und die im weiteren Verlauf erfolgte Einsichtnahme, personenbezogene Daten unrechtmäßig sowie zweckwidrig verarbeitet habe, indem sie am XXXX um XXXX Uhr in XXXX ohne dienstliche Notwendigkeit und ohne für die gegenständliche Abfrage berechtigt gewesen zu sein, Einsicht in den Verfahrensakt XXXX (Tagesbericht der XXXX vom XXXX ) genommen hat, um in weiterer Folge den Akteninhalt zu sichten.

Gegen dieses Straferkenntnis erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht.

Die Beschwerdeführerin hatte im November 2021 ein Nettoeinkommen von EUR 2.654,12 und bezieht ein regelmäßiges Einkommen in dieser Größenordnung, darüber hinaus hat die Beschwerdeführerin ein Vermögen in Höhe von EUR 50.000 (Sommerhaus). Die Beschwerdeführerin hat keine finanziellen Verpflichtungen und keine Sorgepflichten.

2. Beweiswürdigung:

Diese Feststellungen ergeben sich einerseits aus dem Verwaltungsakt, insbesondere aus der Meldung der LPD XXXX vom 22.06.2020 und dem angefochtenen Straferkenntnis, und aus dem Gerichtsakt, insbesondere aus der Beschwerde und der Niederschrift über die mündliche Verhandlung vor dem Bundesverwaltungsgericht. Die Einsichtnahme, bei der gezielt nach der Information gesucht wurde, wer die Schulwegsicherung durchgeführt hat, wurde von der Beschwerdeführerin eingestanden. Selbst wenn die Beschwerdeführerin nur wissen hätte wollen, ob Zivildiener oder Beamte die Schulwegsicherung durchführen, hätte sie – wenn überhaupt -– erst anhand des Namens, der bei der Schulwegsicherung angegeben ist, wissen können, ob es sich um einen Polizeibeamten oder einen Zivildiener handelt. Es steht daher schon deshalb fest, dass die Beschwerdeführerin personenbezogene Daten, nämlich die Information, welche konkreten namentlich genannte Personen an diesem Tag zu welchem Zeitpunkt an welchem Ort eine Schulwegsicherung durchgeführt haben und ob es dort Vorfälle gab, eingesehen hat. Dass eine Einsichtnahme in den zitierten Tagesbericht durch die Beschwerdeführerin stattgefunden hat, ist auch durch die von der LPD XXXX vorgelegten Protokolldaten erwiesen.

Das Auslesen weiterer personenbezogener Daten konnte nicht festgestellt werden. Der Vollständigkeit wird festgehalten, dass das Auslesen allfälliger weiterer personenbezogener Daten, auf die die Beschwerdeführerin beim „Durchscrollen“ gestoßen sein könnte, nicht Gegenstand des gegenständlichen Verwaltungsstrafverfahrens ist.

Das Einkommen der Beschwerdeführerin geht aus dem von ihr vorgelegten Gehaltszettel hervor und entspricht ungefähr auch ihren Angaben in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Rechtslage:

Die belangte Behörde hat ihrem Straferkenntnis unter anderem die folgenden Rechtsgrundlagen zugrunde gelegt: Art. 2 Abs. 1 und 2 lit. c, Art. 3 Abs. 1, Art. 4 Z 1, 2 und 7, Art. 5 Abs. 1 lit. a und b, Art. 6 Abs. 1, sowie Art. 83 Abs. 1, 2 und Abs. 5 lit a der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), ABl L 2016/119, 1 (im Folgenden: DSGVO) sowie § 16 Verwaltungsstrafgesetz 1991 – VStG.

Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus sind auch die §§, 5, 10 und 19 VStG relevant.

Art. 2 Abs. 1 und 2 lit. c DSGVO samt Überschrift lauten:

„Art. 2 DSGVO

Sachlicher Anwendungsbereich

(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“

Art. 3 Abs. 1 DSGVO samt Überschrift lautet:

„Räumlicher Anwendungsbereich

(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.“

Art. 4 Z 1, 2 und 7 DSGVO lauten:

„1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.

„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

7.

„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;“

Art. 5 Abs. 1 lit. a und b DSGVO lauten:

„Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);“

Art. 6 Abs. 1 DSGVO lautet:

„Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“

Art. 83 Abs. 1, 2 und 5 lit. a DSGVO samt Überschrift lautet:

„Allgemeine Bedingungen für die Verhängung von Geldbußen

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. 2Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;“

§ 5 VStG lautet:

„(1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.

(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.

(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.“

§ 10 VStG lautet:

„(1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.

(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.“

§ 16 VStG lautet:

„(1) Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.

(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der Strafbemessung festzusetzen.“

§ 19 VStG lautet:

„(1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.

(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.“

3.3. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:

3.3.1. Erfüllung des objektiven Tatbestands

Die belangte Behörde ging im Rahmen des von ihr festgestellten Sachverhalts davon aus, dass durch die Abfrage im PAD der sachliche Anwendungsbereich von Art. 2 und 3 DSGVO eröffnet sei, diese eine Verarbeitung personenbezogener Daten im Sinne des Art. 4 Z 1 und 2 DSGVO darstelle und die Beschwerdeführerin als Verantwortliche dieser Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO zu qualifizieren sei. Die Beschwerdeführerin habe die objektive Tatseite der Verwaltungsübertretung des Art. 83 Abs. 5 lit. a DSGVO zu verantworten, da die verfahrensgegenständliche Verarbeitung gegen die von Art 5 Abs. 1 lit. a und lit. b DSGVO normierten Verarbeitungsgrundsätze verstoßen habe und in keinem der von Art 6 Abs. 1 DSGVO abschließend normierten Rechtmäßigkeitstatbestände Deckung finde.

Die Beschwerdeführerin trat dem von der belangten Behörde festgestellten Sachverhalt nicht entgegen. Sie brachte in der Beschwerde lediglich vor, dass keine personenbezogenen Daten abgefragt worden seien, die Einsichtnahme in das PAD-System betreffend den Tagesbericht stelle weder das Auslesen noch das Abfragen von personenbezogenen Daten dar. In der mündlichen Verhandlung räumte die Beschwerdeführerin allerdings ein, dass sie überprüfen wollte, ob ein bestimmter Kollege, der ihren Mann im Rahmen einer Amtshandlung angezeigt hatte, die Wahrheit gesagt habe, als er behauptete an diesem Tag eine Schulwegsicherung durchgeführt zu haben. Damit hat sie gezielt Abfragen nach der Schulwegsicherung und nach den dort diensthabenden Kollegen durchgeführt und sind ihr auch die Namen der Kollegen, die die Schulwegsicherung durchgeführt haben, zur Kenntnis gelangt.

Die Beschwerdeführerin vermag keine Rechtswidrigkeit des von belangten Behörde erlassenen Straferkenntnisses aufzuzeigen. In diesem Zusammenhang ist grundsätzlich auf die rechtlichen Ausführungen der belangten Behörde (Seite 4 ff des angefochtenen Straferkenntnisses) zu verweisen:

Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5 und 6 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.

Wie die belangte Behörde ausführt, sind sowohl der sachliche als auch der räumliche Anwendungsbereich der DSGVO im Sinne von Art. 2 und 3 DSGVO im gegenständlichen Fall zweifelsfrei gegeben. Die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO ist nicht erfüllt, etwas Derartiges wurde von der Beschwerdeführerin auch nicht behauptet.

Die im Akt angeführten Namen der betroffenen Personen (im Zusammenhang mit den Angaben, wann und wo sie die Schulwegsicherung durchgeführt haben und ob es zu besonderen Vorfällen kam oder nicht) steilen zweifelsfrei personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar. Die DSGVO definiert den Begriff der „Verarbeitung“ in Art. 4 Z 2 DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst sind dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Die belangte Behörde führt dazu zutreffender Weise Folgendes aus:

„Das ‚Auslesen‘ von personenbezogenen Daten (in der englischen Übersetzung „retrieval“) hat eine doppelte Bedeutung. Auslesen liegt zum einen vor, wenn die Daten der Sehfunktion eines Menschen zugänglich gemacht werden. Sie werden dafür auf einem Display oder einem anderen Endgerät sichtbar gemacht. Zum anderen kann unter Auslesen auch verstanden werden, Daten aus einem Datenträger auszulesen, um sie einer weiteren Bearbeitung zugänglich zu machen (vgl. Sydow/Reimer, Europäische Datenschutzgrundverordnung, Art. 4 Rn. 63; Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 22).

‚Abfragen‘ (in der englischen Übersetzung „consultation“) von personenbezogenen Daten ist weitgehend ein Unterfall des Auslesens. Mit Abfrage verbindet man begrifflich einerseits eine - einigermaßen - gezielte Suche, andererseits aber auch eine andere Ausgabe als nur eine solche, die dem Sehsinn ermöglicht, das Datum warzunehmen (vgl Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 23).

Die ‚Verwendung‘ (in der englischen Übersetzung „use“) von personenbezogenen Daten ist ein Begriff auf höchster Abstraktionshöhe. Alle Beispiele außer Erheben und Erfassen sind Unterbeispiele von „Verwenden“. Die „Verwendung“ ist ein Auffangbeispiel, das alle nicht durch ein Beispiel erfassten Vorgänge im Zusammenhang mit personenbezogenen Daten erfasst (vgl. mwN Roßnagel in Simitis/Hornung/Spiecker Datenschutzrecht, Artikel 4 Nr. 2 Rn 23).“

Die Beschwerdeführerin führte in ihrer Beschwerde an das Bundesverwaltungsgericht aus, dass die Strafe zu Unrecht verhängt worden sei, es seien keine personenbezogenen Daten abgefragt worden. Die Einsichtnahme in das PAD-System der XXXX betreffend den Tagesbericht stelle weder das Auslesen noch das Abfragen von personenbezogenen Daten dar. Hinzu komme, dass Daten aus dem PAD-System nicht an dritte Personen weitergegeben worden seien. Dazu ist Folgendes festzuhalten: Die Beschwerdeführerin nutzte das PAD-System der LPD XXXX widerrechtlich und ohne dienstliche Notwendigkeit für private Zwecke, um in den gegenständlichen PAD-Akt bzw. Tagesbericht Einsicht zu nehmen und um in weiterer Folge herauszufinden, wer an einem bestimmten Tag die Schulwegsicherung an einem bestimmten Ort durchgeführt hat. Demnach erfolgte im vorliegenden Fall – wie aufgrund der oben erwähnten Ausführungen ersichtlich ist – eine Verarbeitung personenbezogener Daten im Sinne des Art 4 Z 2 DSGVO. Die Beschwerdeführerin hat mittels Abfrage im PAD-Akt auf personenbezogene Daten Dritter widerrechtlich zugegriffen. Die Tatsache, dass die Beschwerdeführerin dienstlich die grundsätzliche Befugnis hatte, für die Wahrnehmung ihrer dienstlichen Aufgaben Abfragen im PAD durchzuführen, kann diesen widerrechtlichen Zugriff für private Zwecke nicht rechtfertigen.

Auch was die Qualifikation der Beschwerdeführerin als „Verantwortliche“ ist der belangten Behörde zu folgen, wenn sie ausführt:

„Die Beschuldigte ist für diesen konkreten Verarbeitungsvorgang in rechtlicher Hinsicht als Verantwortliche im Sinne von Art 4 Z 7 DSGVO zu qualifizieren, da durch sie selbst ein persönliches Informationsinteresse an den abgefragten Daten durch die Einsichtnahme in das von der Bundespolizei verwendete Aktensystem hier als Zweck der erfolgten Datenverarbeitung anzusehen ist. So wurde der Verarbeitungszweck von der Beschwerdeführerin aufgrund eines privaten Informationsinteresses und damit nicht in Erfüllung einer dienstlichen Aufgabe festgelegt und wurde als Mittel der Datenverarbeitung die gegenständliche Nutzung des elektronischen Aktenverwaltungssystems gewählt (vgl. Art. 29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, WP 169, 00264/10/DE S 21, wonach die Verarbeitung durch eine natürliche Person, die für ein Unternehmen arbeitet und die Daten innerhalb der Tätigkeit des Unternehmens nutzt, dem Unternehmen als verantwortliche Stelle zugerechnet wird e contrario).“

Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest und bestimmt in dessen Abs. 1 lit. a, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz “). Art. 5 Abs. 1 lit. b DSGVO normiert, dass die verarbeiteten Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen; („Zweckbindung“).

Die Anforderungen für eine rechtmäßige Datenverarbeitung nach Art. 5 Abs. 1 lit. a sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen - mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar2, Art 5 Rz 8f).

Es war daher zu prüfen, ob die gegenständliche Datenverarbeitung durch einen der dort genannten Zulässigkeitsgründe gedeckt ist. Letztendlich würde hier nur das Vorliegen berechtigter Interesse der Beschwerdeführerin bzw. von Dritten gemäß Art. 6 Abs.1 lit. f DSGVO in Betracht kommen, da vor allem auch keine Einwilligung nach Art. 6 Abs. 1 lit a DSGVO von den betroffenen Personen für die Einsichtnahme vorlag. Zur Rechtmäßigkeit von Verarbeitungsvorgängen in Hinblick auf Art. 6 Abs. 1 lit. f DSGVO führt Erwägungsgrund 47 der DSGVO unter anderem erläuternd aus, dass diese durch die berechtigten Interessen eines Verantwortlichen begründet sein kann, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Auf jeden Fall ist das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, werden die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.

Die Verarbeitung ist nach Art. 6 Abs. 1 lit. f DSGVO daher nur dann zulässig, wenn die folgenden drei kumulativen Voraussetzungen erfüllt sind: a) Wahrnehmung eines berechtigten Interesses; b) Erforderlichkeit der Verarbeitung und c) kein Überwiegen der Rechte und Freiheiten anderer (vgl. Urteil des EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN).

Im vorliegenden Fall kommt man im Zuge der Interessensabwägung zweifelsfrei zum Ergebnis, dass hier die Grundrechte und Freiheiten betroffenen Personen (insbesondere das Recht auf Geheimhaltung nach § 1 DSG sowie das Recht auf Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC) die Interessen der Beschwerdeführerin (privates Informationsinteresse an einem Polizeivorgang) deutlich überwiegen. Die betroffenen Personen konnten zum Zeitpunkt der Erhebung ihrer personenbezogenen Daten nicht damit rechnen, dass ihre Daten für private Zwecke durch Bedienstete der LPD XXXX verarbeitet werden bzw. mussten sie nicht davon ausgehen, dass eine - nicht an der Amtshandlung beteiligter Kollegin - aus eigenem Interesse an einem bestimmten Polizeivorgang Einsicht in ein sie betreffenden Aktenvorgang nimmt. Die verfahrensgegenständliche Einsichtnahme in das PAD-System lag ausschließlich im privaten Interesse der Beschwerdeführerin, diese war an der betreffenden Amtshandlung (Schulwegsicherung) weder als Polizeiorgan noch als von der Amtshandlung betroffene Person beteiligt; ein berechtigtes Interesse an der Datenverarbeitung auf Seiten der Beschwerdeführerin selbst, welche die Grundrechte und Freiheiten der betroffenen Personen überwiegt, liegt demnach nicht vor. Auch das Faktum, dass die LPD XXXX in ihrer Sachverhaltsdarstellung bzw. im Rahmen ihrer Anzeige vom 22.06.2020 an die Datenschutzbehörde selbst ausdrücklich davon spricht, dass hier „widerrechtlich“ im Kanzlei- und Protokollwesen (PAD) Einsicht genommen wurde, spricht eindeutig gegen eine dienstliche Notwendigkeit und Berechtigung im vorliegenden Fall.

Die gegenständliche Verarbeitung war zudem nicht erforderlich, um die Interessen der Beschwerdeführerin zu wahren bzw. um herauszufinden wer an dem bestimmten Tag die Schulwegsicherung vor Ort vorgenommen hat. Wäre es wirklich das Interesse der Beschwerdeführerin gewesen, lediglich herauszufinden, ob Zivildiener oder Beamte die Schulwegsicherung durchführen, hätte sie ihr Interesse auch ohne die Einsichtnahme im PAD-Akt wahren können, indem sie sich z. B. bei Kolleginnen oder Kollegen erkundigt hätte, ob Zivildiener oder Polizeibeamte die Schulwegsicherung durchführen.

Hinsichtlich der Verletzung des Grundsatzes der Zweckbindung im Sinne von Art. 5 Abs. 1 lit. b DSGVO ist auch Folgendes festzuhalten:

Nach dem Grundsatz der Zweckbindung müssen personenbezogene Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“. Der Grundsatz der Zweckbindung ist grundrechtlich geboten. Art. 8 Abs. 2 S. 1 GRC gewährleistet jeder betroffenen Person, dass ihre personenbezogenen Daten nur „für festgelegte Zwecke ... verarbeitet werden“ dürfen (vgl. Roßnagel in Simitis/Hornung/Spicker, Datenschutzrecht, Kommentar, Artikel 5 Rz 63 f). Ein im vornhinein (vor Beginn der Datenverarbeitung) eindeutig festgelegter Zweck muss zudem auch legitim sein. Der Zweck ist etwa dann legitim, wenn die betroffene Person ihn durch ihre informierte und freie Einwilligung nach Art. 7 DSGVO gebilligt hat. Zum anderen ist der Zweck auch dann legitim, wenn er - auch gegen den Willen der betroffenen Personen - durch Gesetz gebilligt worden ist. Der Zweck darf jedenfalls nicht gegen andere Vorgaben der Rechtsordnung außerhalb des Datenschutzrechts verstoßen wie beispielsweise gegen Diskriminierungsverbote oder Verbraucherschutz- oder Wettbewerbsrecht (vgl. Roßnagel in Simitis/Hornung/Spicker, Datenschutzrecht, Kommentar, Artikel 5 Rz 90 f). Im gegenständlichen Fall hat die Beschwerdeführerin ihrer Abfrage einen den Dienstanweisungen und den datenschutzrechtlichen Vorgaben widersprechenden Zweck zugrunde gelegt.

Aus dem oben Gesagten ergibt sich, dass die Beschwerdeführerin daher als Verantwortliche gemäß Art. 4 Z 7 DSGVO die objektive Tatseite der Verwaltungsübertretung des Art. 83 Abs. 5 lit. a DSGVO zu verantworten hat, da die verfahrensgegenständliche Einsichtnahme in das Akten-Verwaltungssystem gegen die von Art 5 Abs. 1 lit. a und lit. b DSGVO normierten Verarbeitungsgrundsätze verstoßen hat und in keinem der von Art 6 Abs. 1 DSGVO abschließend normierten Rechtmäßigkeitstatbestände Deckung findet.

Der Vollständigkeit halber wird festgehalten, dass das Straferkenntnis der belangten Behörde nur auf das Abfragen personenbezogener Daten der Beschwerdeführerin abstellt und eine Weitergabe an ihrem Mann oder sonstige dritte Personen nicht verfahrens- bzw beschwerdegegenständlich ist.

3.3.2. Zur subjektiven Tatseite:

Seitens der Beschwerdeführerin wurde der in Rede stehende Einsichtsvorgang mit der Absicht, sich die verfahrensgegenständlichen Datensätze im Akt selbst anzusehen und sich über die Personen, die die Schulwegsicherungen durchgeführt haben, zu informieren, eingestanden und liegt daher auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor. Dies auch vor dem Hintergrund, dass es datenschutzrechtliche Dienstanweisungen der LPD XXXX gab und der Beschwerdeführerin bekannt sein musste, dass Abfragen im PAD für private Zwecke nicht zulässig sind. Überdies hat die Beschwerdeführerin auf die Frage, ob ihr bewusst war, ob eine Nutzung für private Zwecke nicht zulässig ist, mit „ja“ geantwortet (S. 8 der Niederschrift über die mündliche Verhandlung).

3.3.3. Strafbemessung

Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).

Der Strafrahmen reicht für Nicht-Unternehmen gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag von EUR 20.000.000.

Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).

Wird eine Geldstrafe verhängt, so ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafen und, wenn keine Freiheitsstrafe angedroht und nichts anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 VStG nach den Regeln der Strafbemessung festzusetzen.

Zur Bemessung von Ersatzfreiheitsstrafen sprach der Verwaltungsgerichtshof aus, dass die Höhe der Ersatzfreiheitsstrafe entsprechend der Schuld des Täters unter Berücksichtigung der Erschwerungsgründe und Milderungsgründe zu bemessen ist; hingegen sind – so wie hier – die persönlichen Verhältnisse und die wirtschaftliche Leistungsfähigkeit des Täters nur bei der Bemessung der Geldstrafe, nicht aber der Ersatzfreiheitsstrafe maßgebend (VwGH 28.05.2013, 2012/17/0567).

Strafbemessung durch die belangte Behörde:

Bezogen auf den vorliegenden Sachverhalt wurde bereits von der belangten Behörde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

-        Art und Schwere des Verstoßes: da die Beschwerdeführerin als Bedienstete der LPD XXXX , die nicht nur einer besonderen dienst- und disziplinarrechtlichen Verantwortung, sondern im Rahmen ihrer Dienstverwendung auch einer nicht unerheblichen Vorbildwirkung im Umgang mit der Einhaltung von Rechtsvorschriften gegenüber XXXX unterliegt, im Dienst aus rein privatem Interesse auf ein Aktensystem der Bundespolizei Zugriff genommen hat, waren die Tatumstände erschwerend zu werten;

-        Der gegenständliche Verstoß wurde von der Beschuldigten vorsätzlich begangen.

Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt:

-        Die Beschwerdeführerin hat sich am Verwaltungsstrafverfahren vor der belangten Behörde insofern beteiligt, indem sie den Einsichtsvorgang in das Aktenverwaltungssystem eingeräumt und dadurch zur Wahrheitsfindung beigetragen hat.

-        Gegen die Beschwerdeführerin lagen bis dato bei der belangen Behörde keine einschlägigen Vorstrafen vor.

Die belangte Behörde hat vor diesem Hintergrund die konkret verhängte Strafe von EUR 400 unter Berücksichtigung der festgestellten Einkommensverhältnisse der Beschuldigten (die mit einem Monatseinkommen von EUR 1.700 bemessen wurden) im Hinblick auf den verwirklichten Tatunwert gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO von bis zu EUR 20.000.000 als tat- und schuldangemessen und ihre Verhängung als erforderlich angesehen, um die Beschwerdeführerin und Dritte von der Begehung gleicher oder ähnlicher strafbaren Handlungen abzuhalten.

Zum Doppelbestrafungsverbot:

Die Beschwerdeführerin gab in der mündlichen Verhandlung an, dass über sie im Rahmen eines Disziplinarverfahrens rechtskräftig eine Geldbuße (von EUR 300) verhängt worden sei und dass sie daher aufgrund des Doppelbestrafungsverbots nicht im gegenständlichen Verwaltungsstrafverfahren bestraft werden dürfe. Dazu ist Folgendes anzumerken:

Nach der Judikatur des EGMR ist eine disziplinarrechtliche Verfolgung kein Strafverfahren iSd Art 6 EMRK bzw Art 4 7. ZPEMRK und verstößt daher die Verurteilung in einem disziplinarrechtlichen und (verwaltungs-)strafrechtlichen Verfahren nicht gegen das Doppelbestrafungsverbot des Art 4 7. ZPEMRK (Steininger/Nogratnig, Das Konstrukt des "disziplinären Überhangs" - ein Problemaufriss (Teil I), RZ 2019, 103 (105) mwN). Hiervon macht der VfGH in seiner Rechtsprechung Ausnahmen bei besonders schweren Sanktionen, wie insbesondere Berufsverbote, allerdings explizit nicht für öffentliche Bedienstete (krit. Steininger/Nogratnig, RZ 2019, 103 (105)).

Der Verfassungsgerichtshof hat in seiner rezenten Entscheidung vom 22.09.2021, E 2362/2021-6, bekräftigt, dass Disziplinarverfahren gegen Beamte nicht zu den Strafverfahren im Sinne des Systems der EMRK zählen, weshalb nur der zivilrechtliche Teil des Art. 6 EMRK zur Anwendung kommt (VfSlg. 18.927/2009; vgl. auch EGMR 6.11.2018 [GK], Fall Ramos Nunes de Carvalho e Sá, 55.391/13, NLMR 6/2018; 8.1.2020, Fall Grace Gatt, 46.466/16).

Daher steht einer grundsätzlichen Bestrafung der Beschwerdeführerin nach der DSGVO/dem Verwaltungsstrafgesetz nichts entgegen.

Strafbemessung durch das Bundesverwaltungsgericht:

Zunächst werden die Erschwerungs- und Milderungsgründe, die die belangte Behörde ins Treffen geführt hat, auch vom Bundesverwaltungsgericht als solche anerkannt.

Allerdings hat die belangte Behörde nicht unmittelbar in den verfahrensrelevanten Tagesbericht der PI XXXX Einschau genommen und konnte daher die abgefragten Datenkategorien gar nicht im Detail kennen. (Erst) das Bundesverwaltungsgericht hat den eingesehenen Tagesbericht angefordert und eingesehen und konnte sich davon überzeugen, dass sich durch die Offenlegung an die Beschwerdeführerin nur geringe Risiken für die betroffenen Personen ergaben: Die Beschwerdeführerin gab glaubwürdig an, im Tagesbericht gezielt nach der „Schulwegsicherung“ gesucht zu haben, sodass von einer Kenntnisnahme anderer Daten als jenen der beiden Organe nicht zwingend auszugehen ist. Davon abgesehen wäre eine derartige Kenntnisnahme gar nicht Gegenstand des Verfahrens, da die belangte Behörde einen derartigen Vorwurf gar nicht vorgebracht hat. Die Tatsache, dass eine Beamtin erfährt, dass ein Exekutivbeamter in einem bestimmten Zeitraum an einem bestimmten Ort di