1
Mit Straferkenntnis der Datenschutzbehörde (belangte Behörde) vom 14. Dezember 2023 wurde der K-L A GmbH (mitbeteiligte Partei) zur Last gelegt, sie habe als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO folgende Verwaltungsübertretungen begangen:Mit Straferkenntnis der Datenschutzbehörde (belangte Behörde) vom 14. Dezember 2023 wurde der K-L A GmbH (mitbeteiligte Partei) zur Last gelegt, sie habe als Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO folgende Verwaltungsübertretungen begangen:
I. Sie habe „zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022“ unrechtmäßig personenbezogene Daten verarbeitet, indem sie am näher bezeichneten Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe. Der Aufnahmebereich der Videoüberwachungsanlage habe einen Teilbereich der näher genannten (öffentlichen) Gemeindestraße umfasst. Die Datenverarbeitung durch die mitbeteiligte Partei mittels der Anlage am Tatort sei daher „nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ gewesen und habe auf keine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO gestützt werden können.römisch eins. Sie habe „zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022“ unrechtmäßig personenbezogene Daten verarbeitet, indem sie am näher bezeichneten Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe. Der Aufnahmebereich der Videoüberwachungsanlage habe einen Teilbereich der näher genannten (öffentlichen) Gemeindestraße umfasst. Die Datenverarbeitung durch die mitbeteiligte Partei mittels der Anlage am Tatort sei daher „nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ gewesen und habe auf keine Rechtsgrundlage gemäß Artikel 6, Absatz eins, DSGVO gestützt werden können.
II. Sie habe darüber hinaus „zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022“ gegen ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen, indem sie am näher bezeichneten Tatort keine Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den betroffenen Personen vorgenommen habe, um sie über die Datenverarbeitung durch die Videoüberwachungsanlage zu informieren. Dadurch seien die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die dargestellte Verarbeitung im Sinne der Art. 12 und Art. 13 DSGVO informiert worden.römisch zwei. Sie habe darüber hinaus „zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022“ gegen ihre Informationspflicht gemäß Artikel 13, DSGVO verstoßen, indem sie am näher bezeichneten Tatort keine Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den betroffenen Personen vorgenommen habe, um sie über die Datenverarbeitung durch die Videoüberwachungsanlage zu informieren. Dadurch seien die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die dargestellte Verarbeitung im Sinne der Artikel 12 und Artikel 13, DSGVO informiert worden.
Die mitbeteiligte Partei habe dadurch zu I. Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 lit. f iVm Art. 83 Abs. 1 und 5 lit. a DSGVO und zu II. Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO verletzt.Die mitbeteiligte Partei habe dadurch zu römisch eins. Artikel 5, Absatz eins, Litera a, und c sowie Artikel 6, Absatz eins, Litera f, in Verbindung mit , Artikel 83, Absatz eins und 5 Litera a, DSGVO und zu römisch zwei. Artikel 5, Absatz eins, Litera a, in Verbindung mit , Artikel 12, und 13 in Verbindung mit , Artikel 83, Absatz eins, und 5 Litera a, DSGVO verletzt.
Die belangte Behörde verhängte wegen dieser Verwaltungsübertretungen über die mitbeteiligte Partei gemäß Art. 83 Abs. 3 und 5 lit. a DSGVO eine Geldstrafe von € 3.190,-- und sprach aus, dass die mitbeteiligte Partei gemäß § 64 VStG € 319,-- als Beitrag zu den Kosten des Strafverfahrens zu zahlen habe.Die belangte Behörde verhängte wegen dieser Verwaltungsübertretungen über die mitbeteiligte Partei gemäß Artikel 83, Absatz 3 und 5 Litera a, DSGVO eine Geldstrafe von € 3.190,-- und sprach aus, dass die mitbeteiligte Partei gemäß Paragraph 64, VStG € 319,-- als Beitrag zu den Kosten des Strafverfahrens zu zahlen habe.
2
Sie traf nachstehende, für das Revisionsverfahren wesentliche Sachverhaltsfeststellung:
Die mitbeteiligte Partei habe am näher beschriebenen Tatort „in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 01.12.2021 bis 28.10.2022 eine Videoüberwachungsanlage betrieben“, die einen Teilbereich des angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der näher genannten (öffentlichen) Gemeindestraße erfasst habe. Die Videoüberwachungsanlage sei im gesamten Tatzeitraum nicht gekennzeichnet gewesen. Es seien auch sonst keine Informationen über den Betrieb dieser Anlage an Betroffene erteilt worden. Die Aufzeichnungen seien für 24 Stunden gespeichert und danach automatisch gelöscht worden. Die mitbeteiligte Partei habe vom 01.01.2021 bis 31.12.2021 Umsatzerlöse in der Höhe von € 190.899,01 erzielt.
3
Rechtlich führte die belangte Behörde - soweit im Revisionsverfahren wesentlich - zur verhängten Strafhöhe aus, diese befinde sich mit 0,01 % des anzuwendenden Strafrahmens des Art. 83 Abs. 5 DSGVO von bis zu € 20.000.000,-- an dessen unterstem Ende und sei im Hinblick auf den verwirklichten Tatunwert tat- und schuldangemessen.Rechtlich führte die belangte Behörde - soweit im Revisionsverfahren wesentlich - zur verhängten Strafhöhe aus, diese befinde sich mit 0,01 % des anzuwendenden Strafrahmens des Artikel 83, Absatz 5, DSGVO von bis zu € 20.000.000,-- an dessen unterstem Ende und sei im Hinblick auf den verwirklichten Tatunwert tat- und schuldangemessen.
4
Die dagegen erhobene Beschwerde der mitbeteiligten Partei wies das Verwaltungsgericht mit dem angefochtenen, nach Durchführung einer mündlichen Verhandlung ergangenen Erkenntnis „in den Schuldfragen mit der Maßgabe“ als unbegründet ab, „dass in den Spruchteilen I. und II. des o.a. Straferkenntnisses erster Satz jeweils hinsichtlich des Tatzeitraums die Wort- und Zeichenfolge ‚zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022‘ mit der Wort- und Zeichenfolge ‚im Zeitraum vom 01.02.2021 bis 28.10.2022‘ ersetzt wird“ (Spruchpunkt A I.). Im Übrigen gab das Verwaltungsgericht gemäß § 50 VwGVG der Beschwerde hinsichtlich der Höhe der Strafe teilweise statt, setzte die Strafe auf € 1.100,-- herab (Spruchpunkt A II.) und sprach aus, dass die mitbeteiligte Partei gemäß § 64 Abs. 1 VStG einen Kostenbeitrag von € 110,-- zum Strafverfahren vor der belangten Behörde zu leisten habe (Spruchpunkt A III.), jedoch gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen habe (Spruchpunkt A IV.) und die Revision nicht zulässig sei (Spruchpunkt B).Die dagegen erhobene Beschwerde der mitbeteiligten Partei wies das Verwaltungsgericht mit dem angefochtenen, nach Durchführung einer mündlichen Verhandlung ergangenen Erkenntnis „in den Schuldfragen mit der Maßgabe“ als unbegründet ab, „dass in den Spruchteilen römisch eins. und römisch zwei. des o.a. Straferkenntnisses erster Satz jeweils hinsichtlich des Tatzeitraums die Wort- und Zeichenfolge ‚zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022‘ mit der Wort- und Zeichenfolge ‚im Zeitraum vom 01.02.2021 bis 28.10.2022‘ ersetzt wird“ (Spruchpunkt A römisch eins.). Im Übrigen gab das Verwaltungsgericht gemäß Paragraph 50, VwGVG der Beschwerde hinsichtlich der Höhe der Strafe teilweise statt, setzte die Strafe auf € 1.100,-- herab (Spruchpunkt A römisch zwei.) und sprach aus, dass die mitbeteiligte Partei gemäß Paragraph 64, Absatz eins, VStG einen Kostenbeitrag von € 110,-- zum Strafverfahren vor der belangten Behörde zu leisten habe (Spruchpunkt A römisch drei.), jedoch gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen habe (Spruchpunkt A römisch vier.) und die Revision nicht zulässig sei (Spruchpunkt B).
5
Das Verwaltungsgericht traf nachfolgende, für das Revisionsverfahren wesentliche Sachverhaltsfeststellungen:
Die mitbeteiligte Partei habe „im Zeitraum vom 01.02.2021 bis 28.10.2022“ eine Videoüberwachungsanlage betrieben. Sie habe in den Jahren 2021, 2022, 2023 und 2024 Umsatzerlöse in der Höhe von € 190.899,01, € 222.596,66, € 160.581,70 und € 149.618,97 erzielt.
6
Rechtlich führte das Verwaltungsgericht - soweit im Revisionsverfahren wesentlich - aus, entgegen dem von der belangten Behörde angenommenen Tatzeitraum sei dieser aufgrund der Angaben des Geschäftsführers der mitbeteiligten Partei mit „01.02.2021 bis 28.10.2022“ zu bestimmen gewesen.
Für die Strafbemessung sei der Strafrahmen nach Art. 83 Abs. 5 DSGVO in der Höhe von bis zu € 20.000.000,-- oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher sei, wesentlich. Für die Bemessung der Geldbuße komme auch dem Umsatz des Unternehmens Bedeutung zu. Dabei sei nicht der Umsatz im letzten abgeschlossenen Geschäftsjahr vor Erlass des Straferkenntnisses zu berücksichtigen, sondern die im Entscheidungszeitpunkt des Verwaltungsgerichts „aktuelle Einkommens- und Vermögenslage des Beschwerdeführers“, zumal nur so sichergestellt werden könne, dass die Geldbuße zum Zeitpunkt, zu dem sie beglichen werden müsse, auch verhältnismäßig iSd Art. 83 Abs. 1 DSGVO sei. Diese Sichtweise decke sich einerseits mit der Rechtsprechung des Verwaltungsgerichtshofes zu § 19 Abs. 2 VStG betreffend die Berücksichtigung allfälliger Veränderungen der Einkommens- und Vermögensverhältnisse im Laufe des Rechtsmittelverfahrens, andererseits mit den Ausführungen in den Leitlinien des Europäischen Datenschutzausschusses (EDSA) 04/2022 für die Berechnung von Geldbußen im Sinne der DSGVO vom 24. Mai 2023 zur wirtschaftlichen Überlebensfähigkeit des zu bestrafenden Unternehmens, das diesbezüglich detaillierte Finanzdaten für die letzten fünf Jahre sowie eine Prognose für das laufende und die nächsten zwei Jahre vorlegen müsse.Für die Strafbemessung sei der Strafrahmen nach Artikel 83, Absatz 5, DSGVO in der Höhe von bis zu € 20.000.000,-- oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher sei, wesentlich. Für die Bemessung der Geldbuße komme auch dem Umsatz des Unternehmens Bedeutung zu. Dabei sei nicht der Umsatz im letzten abgeschlossenen Geschäftsjahr vor Erlass des Straferkenntnisses zu berücksichtigen, sondern die im Entscheidungszeitpunkt des Verwaltungsgerichts „aktuelle Einkommens- und Vermögenslage des Beschwerdeführers“, zumal nur so sichergestellt werden könne, dass die Geldbuße zum Zeitpunkt, zu dem sie beglichen werden müsse, auch verhältnismäßig iSd Artikel 83, Absatz eins, DSGVO sei. Diese Sichtweise decke sich einerseits mit der Rechtsprechung des Verwaltungsgerichtshofes zu Paragraph 19, Absatz 2, VStG betreffend die Berücksichtigung allfälliger Veränderungen der Einkommens- und Vermögensverhältnisse im Laufe des Rechtsmittelverfahrens, andererseits mit den Ausführungen in den Leitlinien des Europäischen Datenschutzausschusses (EDSA) 04 aus 2022, für die Berechnung von Geldbußen im Sinne der DSGVO vom 24. Mai 2023 zur wirtschaftlichen Überlebensfähigkeit des zu bestrafenden Unternehmens, das diesbezüglich detaillierte Finanzdaten für die letzten fünf Jahre sowie eine Prognose für das laufende und die nächsten zwei Jahre vorlegen müsse.
Der unzulässige Betrieb der Videoüberwachung und deren mangelnde Kennzeichnung seien zwar potenziell geeignet, eine große Zahl an Betroffenen in ihrem grundrechtlich geschützten Recht auf Geheimhaltung iSd § 1 DSG zu verletzen. Die aufgenommenen Bilddaten seien jedoch mit Ausnahme des vom Geschäftsführer nach der Beschädigung seines Fahrzeugs aufgenommenen Fotos des Bildschirms, auf dem keine betroffenen Personen abgelichtet gewesen seien, automatisch nach 24 Stunden gelöscht worden. Es sei daher von einem geringfügigen Schweregrad der Verstöße auszugehen. Die Verstöße seien über einen längeren Zeitraum von mehr als 1,5 Jahren erfolgt und hätten auf Fahrlässigkeit beruht. Erschwerend seien keine Umstände. Mildernd zu werten sei das Fehlen einschlägiger früherer Verstöße gegen die DSGVO, die Mitwirkung der mitbeteiligten Partei im Ermittlungsverfahren und der Umstand, dass sie umgehend nach Zustellung der Aufforderung zur Rechtfertigung die rechtswidrige Datenverarbeitung nicht weiter fortgesetzt habe.Der unzulässige Betrieb der Videoüberwachung und deren mangelnde Kennzeichnung seien zwar potenziell geeignet, eine große Zahl an Betroffenen in ihrem grundrechtlich geschützten Recht auf Geheimhaltung iSd Paragraph eins, DSG zu verletzen. Die aufgenommenen Bilddaten seien jedoch mit Ausnahme des vom Geschäftsführer nach der Beschädigung seines Fahrzeugs aufgenommenen Fotos des Bildschirms, auf dem keine betroffenen Personen abgelichtet gewesen seien, automatisch nach 24 Stunden gelöscht worden. Es sei daher von einem geringfügigen Schweregrad der Verstöße auszugehen. Die Verstöße seien über einen längeren Zeitraum von mehr als 1,5 Jahren erfolgt und hätten auf Fahrlässigkeit beruht. Erschwerend seien keine Umstände. Mildernd zu werten sei das Fehlen einschlägiger früherer Verstöße gegen die DSGVO, die Mitwirkung der mitbeteiligten Partei im Ermittlungsverfahren und der Umstand, dass sie umgehend nach Zustellung der Aufforderung zur Rechtfertigung die rechtswidrige Datenverarbeitung nicht weiter fortgesetzt habe.
Unter Berücksichtigung dieser Umstände habe die belangte Behörde die Geldstrafe zu hoch angesetzt, weil außer beim inkriminierten Vorfall keine Fotos vom Bildmaterial der Videoüberwachung vor dessen Löschung gemacht worden seien und sich die mitbeteiligte Partei nach Bekanntwerden möglicher Verstöße um die Beseitigung des Zustandes gekümmert habe. Überdies seien keine weiteren derartigen Verstöße durch die mitbeteiligte Partei zu befürchten. Ausgehend von der „kleinen Größe“ der Kfz-Werkstatt der mitbeteiligten Partei und deren Umsatzerlös von rund € 150.000,-- im Jahr 2024 sei eine Geldstrafe von € 1.100,-- tat- und schuldangemessen.
7
Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit dem Nichtvorliegen der Voraussetzungen einer Rechtsfrage grundsätzlicher Bedeutung iSd Art. 133 Abs. 4 B-VG.Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit dem Nichtvorliegen der Voraussetzungen einer Rechtsfrage grundsätzlicher Bedeutung iSd Artikel 133, Absatz 4, B-VG.
8
Dagegen richtet sich die vorliegende außerordentliche Amtsrevision. Die mitbeteiligte Partei erstattete nach Einleitung des Vorverfahrens durch den Verwaltungsgerichtshof keine Revisionsbeantwortung.
Der Verwaltungsgerichtshof hat erwogen:
9
In Bezug auf den Ausspruch von Schuld und Strafe in der Fassung des angefochtenen Erkenntnisses liegen trennbare Absprüche vor, weshalb insoweit die Zulässigkeit einer dagegen erhobenen Revision getrennt zu prüfen ist (vgl. VwGH 10.12.2024, Ra 2021/04/0133, Rn. 7, mwN).In Bezug auf den Ausspruch von Schuld und Strafe in der Fassung des angefochtenen Erkenntnisses liegen trennbare Absprüche vor, weshalb insoweit die Zulässigkeit einer dagegen erhobenen Revision getrennt zu prüfen ist vergleiche , VwGH 10.12.2024, Ra 2021/04/0133, Rn. 7, mwN). Zur Abänderung des angefochtenen Erkenntnisses in Bezug auf den Schuldausspruch:
10
Die Revision ist zu der in ihrem Zulässigkeitsvorbringen dargelegten Rechtsfrage des Abweichens des angefochtenen Erkenntnisses von näher bezeichneter Rechtsprechung des Verwaltungsgerichtshofes über die Unzulässigkeit der Erweiterung des Tatvorwurfs und der Sache des Verfahrens iSd § 50 VwGVG durch das Verwaltungsgericht in Bezug auf die Ausdehnung des Tatzeitraumes zulässig; sie ist auch berechtigt.Die Revision ist zu der in ihrem Zulässigkeitsvorbringen dargelegten Rechtsfrage des Abweichens des angefochtenen Erkenntnisses von näher bezeichneter Rechtsprechung des Verwaltungsgerichtshofes über die Unzulässigkeit der Erweiterung des Tatvorwurfs und der Sache des Verfahrens iSd Paragraph 50, VwGVG durch das Verwaltungsgericht in Bezug auf die Ausdehnung des Tatzeitraumes zulässig; sie ist auch berechtigt.
11
Aus der Anführung eines Tatzeitraumes im Spruch des erstinstanzlichen Straferkenntnisses ergibt sich unabhängig von der mit der Bestrafung verbundenen weiteren (Erfassungs-)Wirkung, dass Abspruchsgegenstand, und somit auch „Sache“ iSd § 50 VwGVG, ausschließlich die Tatbegehung in diesem Zeitraum ist. Die Ausdehnung des Tatzeitraums durch das Verwaltungsgericht ist keine (grundsätzlich zulässige) Präzisierung der rechtlichen Grundlage der Bestrafung, sondern eine unzulässige Erweiterung des Tatvorwurfs und der Sache des Verfahrens iSd § 50 VwGVG, wozu das Verwaltungsgericht nicht berechtigt ist (vgl. VwGH 1.6.2023, Ra 2022/07/0186, Rn. 21, mwN).Aus der Anführung eines Tatzeitraumes im Spruch des erstinstanzlichen Straferkenntnisses ergibt sich unabhängig von der mit der Bestrafung verbundenen weiteren (Erfassungs-)Wirkung, dass Abspruchsgegenstand, und somit auch „Sache“ iSd Paragraph 50, VwGVG, ausschließlich die Tatbegehung in diesem Zeitraum ist. Die Ausdehnung des Tatzeitraums durch das Verwaltungsgericht ist keine (grundsätzlich zulässige) Präzisierung der rechtlichen Grundlage der Bestrafung, sondern eine unzulässige Erweiterung des Tatvorwurfs und der Sache des Verfahrens iSd Paragraph 50, VwGVG, wozu das Verwaltungsgericht nicht berechtigt ist vergleiche , VwGH 1.6.2023, Ra 2022/07/0186, Rn. 21, mwN). 12
Dem Verwaltungsgericht war es somit vorliegend verwehrt, den Tatvorwurf und damit die Bestrafung über den von der belangten Behörde ausdrücklich festgelegten Tatzeitraum von 1. Dezember 2021 bis 28. Oktober 2022 hinaus auf 1. Februar 2021 bis 28. Oktober 2022 auszudehnen, dies unabhängig davon, ob sich aufgrund des Ermittlungsverfahrens des Verwaltungsgerichts und seinen darauf beruhenden Sachverhaltsfeststellungen ein früherer Beginn des Tatzeitraums ergeben würde.
13
Indem das Verwaltungsgericht in Spruchpunkt A I. des angefochtenen Erkenntnisses den der Bestrafung zugrunde liegenden Tatvorwurf in Bezug auf den Tatzeitraum unzulässig erweitert hat, hat es das angefochtene Erkenntnis mit inhaltlicher Rechtswidrigkeit belastet.Indem das Verwaltungsgericht in Spruchpunkt A römisch eins. des angefochtenen Erkenntnisses den der Bestrafung zugrunde liegenden Tatvorwurf in Bezug auf den Tatzeitraum unzulässig erweitert hat, hat es das angefochtene Erkenntnis mit inhaltlicher Rechtswidrigkeit belastet.
14
Da der für die rechtliche Beurteilung des Ausspruchs über die Schuld der mitbeteiligten Partei maßgebliche Sachverhalt feststeht, konnte gemäß § 42 Abs. 4 VwGG in der Sache selbst entschieden und Spruchpunkt A I. des angefochtenen Erkenntnisses dahin neu gefasst werden, dass die Beschwerde der mitbeteiligten Partei betreffend den Ausspruch über die Schuld ohne der Maßgabe der Änderung des Tatzeitraums als unbegründet abgewiesen wird.Da der für die rechtliche Beurteilung des Ausspruchs über die Schuld der mitbeteiligten Partei maßgebliche Sachverhalt feststeht, konnte gemäß Paragraph 42, Absatz 4, VwGG in der Sache selbst entschieden und Spruchpunkt A römisch eins. des angefochtenen Erkenntnisses dahin neu gefasst werden, dass die Beschwerde der mitbeteiligten Partei betreffend den Ausspruch über die Schuld ohne der Maßgabe der Änderung des Tatzeitraums als unbegründet abgewiesen wird.
Zur Zurückweisung der Amtsrevision in Bezug auf den Strafausspruch:
15
Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.Nach Artikel 133, Absatz 4, B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
16
Gemäß § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.Gemäß Paragraph 34, Absatz eins, VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Artikel 133, Absatz 4, B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
17
Nach § 34 Abs. 1a VwGG hat der Verwaltungsgerichtshof die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 B-VG im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.Nach Paragraph 34, Absatz eins a, VwGG hat der Verwaltungsgerichtshof die Zulässigkeit einer außerordentlichen Revision gemäß Artikel 133, Absatz 4, B-VG im Rahmen der dafür in der Revision vorgebrachten Gründe (Paragraph 28, Absatz 3, VwGG) zu überprüfen.
18
Die belangte Behörde wendet sich überdies gegen die Herabsetzung der verhängten Geldstrafe in Spruchpunkt A II. des angefochtenen Erkenntnisses und bringt in diesem Zusammenhang zur Zulässigkeit der Amtsrevision zusammengefasst vor, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Rechtsfrage, auf welches Ereignis die Wortfolge „vorangegangenen Geschäftsjahr“ in Art. 83 Abs. 4, 5 und 6 DSGVO abstelle. Die Höhe des relevanten Umsatzes eines Unternehmens sei für die Bestimmung des Höchstbetrages im dynamischen Strafrahmen und zudem innerhalb des statischen Strafrahmens zur Beurteilung der Größe des Unternehmens wesentlich. Das Verwaltungsgericht hätte zur Bemessung der Strafhöhe nicht den Umsatz des Jahres 2024, sondern den höheren Umsatz des Jahres 2022 als gemäß Art. 83 DSGVO maßgebliche Bemessungsgrundlage heranziehen müssen.Die belangte Behörde wendet sich überdies gegen die Herabsetzung der verhängten Geldstrafe in Spruchpunkt A römisch zwei. des angefochtenen Erkenntnisses und bringt in diesem Zusammenhang zur Zulässigkeit der Amtsrevision zusammengefasst vor, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Rechtsfrage, auf welches Ereignis die Wortfolge „vorangegangenen Geschäftsjahr“ in Artikel 83, Absatz 4,, 5 und 6 DSGVO abstelle. Die Höhe des relevanten Umsatzes eines Unternehmens sei für die Bestimmung des Höchstbetrages im dynamischen Strafrahmen und zudem innerhalb des statischen Strafrahmens zur Beurteilung der Größe des Unternehmens wesentlich. Das Verwaltungsgericht hätte zur Bemessung der Strafhöhe nicht den Umsatz des Jahres 2024, sondern den höheren Umsatz des Jahres 2022 als gemäß Artikel 83, DSGVO maßgebliche Bemessungsgrundlage heranziehen müssen.
19
Vorliegend werden der mitbeteiligten Partei zwei Verstöße iSd Art. 83 Abs. 5 lit. a DSGVO zur Last gelegt. Gemäß Art. 83 Abs. 3 DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen (vgl. etwa zum Anwendungsvorrang des Unionsrechts gegenüber dem in § 22 VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf.Vorliegend werden der mitbeteiligten Partei zwei Verstöße iSd Artikel 83, Absatz 5, Litera a, DSGVO zur Last gelegt. Gemäß Artikel 83, Absatz 3, DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen vergleiche , etwa zum Anwendungsvorrang des Unionsrechts gegenüber dem in Paragraph 22, VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf. 20
Für die Berechnung der Geldstrafe legt Art. 83 Abs. 5 DSGVO - wie auch die vorliegend nicht anwendbaren Bestimmungen des Art. 83 Abs. 4 und 6 DSGVO für die in diesen Absätzen aufgeführten Verstöße - das Höchstmaß der zu verhängenden Geldstrafe fest. Dieses Höchstmaß darf von der belangten Behörde nicht überschritten werden.Für die Berechnung der Geldstrafe legt Artikel 83, Absatz 5, DSGVO - wie auch die vorliegend nicht anwendbaren Bestimmungen des Artikel 83, Absatz 4, und 6 DSGVO für die in diesen Absätzen aufgeführten Verstöße - das Höchstmaß der zu verhängenden Geldstrafe fest. Dieses Höchstmaß darf von der belangten Behörde nicht überschritten werden.
21
Art. 83 Abs. 5 DSGVO - wie auch Art. 83 Abs. 4 und 6 DSGVO - sieht grundsätzlich ein statisches Höchstmaß vor, und zwar konkret € 20.000.000,--. Wenn jedoch der Adressat der Geldbuße ein Unternehmen im Sinne der Art. 101 und 102 AEUV ist (vgl. zur Zugrundelegung des Begriffs „Unternehmer“ im Sinne der Art. 101 und 102 AEUV bei der Berechnung der Geldbußen für die in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 59) oder einem solchen angehört, ergibt sich aus Art. 83 Abs. 5 DSGVO - wie auch aus Art. 83 Abs. 4 und 6 DSGVO - der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens (vgl. etwa EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 23, mwN). Dieser für Unternehmen im Sinne der Art. 101 und 102 AEUV, wie vorliegend die mitbeteiligte Partei, umsatzbasierte Höchstbetrag kommt jedoch gemäß Art. 83 Abs. 5 DSGVO nur zum Tragen, wenn er den statischen Höchstbetrag von € 20.000.000,-- übersteigt.Artikel 83, Absatz 5, DSGVO - wie auch Artikel 83, Absatz 4, und 6 DSGVO - sieht grundsätzlich ein statisches Höchstmaß vor, und zwar konkret € 20.000.000,--. Wenn jedoch der Adressat der Geldbuße ein Unternehmen im Sinne der Artikel 101, und 102 AEUV ist vergleiche , zur Zugrundelegung des Begriffs „Unternehmer“ im Sinne der Artikel 101, und 102 AEUV bei der Berechnung der Geldbußen für die in Artikel 83, Absatz 4, bis 6 DSGVO genannten Verstöße EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 59) oder einem solchen angehört, ergibt sich aus Artikel 83, Absatz 5, DSGVO - wie auch aus Artikel 83, Absatz 4, und 6 DSGVO - der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens vergleiche , etwa EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 23, mwN). Dieser für Unternehmen im Sinne der Artikel 101, und 102 AEUV, wie vorliegend die mitbeteiligte Partei, umsatzbasierte Höchstbetrag kommt jedoch gemäß Artikel 83, Absatz 5, DSGVO nur zum Tragen, wenn er den statischen Höchstbetrag von € 20.000.000,-- übersteigt.
22
Dies ist vorliegend unabhängig davon, ob man den Umsatz des der Verhängung des Straferkenntnisses oder des dem angefochtenen Erkenntnis vorangegangenen Geschäftsjahrs heranzieht, aufgrund der zu geringen Umsatzhöhe jedenfalls nicht der Fall. Maßgeblich für die Bemessung der Geldstrafe ist daher zunächst das statische Höchstmaß von € 20.000.000,--.
23
Der Auslegung des Begriffs „Jahresumsatz[es] des vorangegangenen Geschäftsjahrs“ in Art. 83 Abs. 5 DSGVO, der sich ausschließlich auf die Berechnung des von der belangten Behörde für die Bemessung der zu verhängenden Geldstrafe zu beachtenden Höchstbetrags des dynamischen Strafrahmens bezieht, kommt daher vorliegend keine Relevanz zu. Der Verwaltungsgerichtshof sieht sich deshalb entgegen der Anregung in der Amtsrevision nicht zu einem Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union (EuGH) zur Auslegung der Wortfolge „vorangegangenen Geschäftsjahrs“ in Art. 83 DSGVO veranlasst.Der Auslegung des Begriffs „Jahresumsatz[es] des vorangegangenen Geschäftsjahrs“ in Artikel 83, Absatz 5, DSGVO, der sich ausschließlich auf die Berechnung des von der belangten Behörde für die Bemessung der zu verhängenden Geldstrafe zu beachtenden Höchstbetrags des dynamischen Strafrahmens bezieht, kommt daher vorliegend keine Relevanz zu. Der Verwaltungsgerichtshof sieht sich deshalb entgegen der Anregung in der Amtsrevision nicht zu einem Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union (EuGH) zur Auslegung der Wortfolge „vorangegangenen Geschäftsjahrs“ in Artikel 83, DSGVO veranlasst.
24
Die Bestimmung des Höchstbetrags ist von der Bemessung der Geldstrafe zu unterscheiden, die von der belangten Behörde als zuständige Aufsichtsbehörde wegen der mit dieser Geldstrafe geahndeten spezifischen Verstöße gegen die DSGVO zu verhängen ist. So stellt nach Art. 83 Abs. 1 DSGVO jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Art. 83 für Verstöße gegen die DSGVO gemäß seinen Abs. 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist (vgl. erneut EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 24 und 25).Die Bestimmung des Höchstbetrags ist von der Bemessung der Geldstrafe zu unterscheiden, die von der belangten Behörde als zuständige Aufsichtsbehörde wegen der mit dieser Geldstrafe geahndeten spezifischen Verstöße gegen die DSGVO zu verhängen ist. So stellt nach Artikel 83, Absatz eins, DSGVO jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel 83, für Verstöße gegen die DSGVO gemäß seinen Absatz 4, bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist vergleiche , erneut EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 24 und 25).
25
Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Art. 101 und 102 AEUV als Adressaten berücksichtigt, kann die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein (vgl. erneut EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 58).Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Artikel 101, und 102 AEUV als Adressaten berücksichtigt, kann die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein vergleiche , erneut EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 58).
26
Insbesondere im Hinblick auf den Grundsatz der Verhältnismäßigkeit ist bei der Bemessung der zu verhängenden Geldstrafe sowohl die Schwere der zu ahndenden Verstöße als auch die Größe in Form der tatsächlichen oder materiellen Leistungsfähigkeit des die Verstöße zu verantwortenden Unternehmens zu beachten.
27
Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen, die in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien sowie die in § 19 VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Art. 101 und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist. Vom Verwaltungsgerichtshof ist daher (bloß) zu prüfen, ob das Verwaltungsgericht einzelfallbezogen von dem ihm eingeräumten Ermessen im Sinn der DSGVO und des VStG Gebrauch gemacht hat, das heißt, ob die verhängte Strafe unter Bedachtnahme auf die Strafbemessungsgründe vertretbar erscheint (vgl. zur Strafbemessung nach § 19 VStG etwa VwGH 29.4.2025, Ro 2024/11/0002, Rn. 46, mwN).Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen, die in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien sowie die in Paragraph 19, VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Artikel 101, und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist. Vom Verwaltungsgerichtshof ist daher (bloß) zu prüfen, ob das Verwaltungsgericht einzelfallbezogen von dem ihm eingeräumten Ermessen im Sinn der DSGVO und des VStG Gebrauch gemacht hat, das heißt, ob die verhängte Strafe unter Bedachtnahme auf die Strafbemessungsgründe vertretbar erscheint vergleiche , zur Strafbemessung nach Paragraph 19, VStG etwa VwGH 29.4.2025, Ro 2024/11/0002, Rn. 46, mwN). 28
Da sich die Wortfolge „seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres“ eines Unternehmens im Sinne des Art. 101 und 102 AEUV in Art. 83 Abs. 4, 5 und 6 DSGVO nur auf die Bestimmung des dynamischen Strafrahmens bezieht, ist bei der Beurteilung der Unternehmensgröße in Form der tatsächlichen oder materiellen Leistungsfähigkeit des Unternehmens im Rahmen der Strafbemessung nicht ausschließlich der Jahresumsatz eines (des vorangegangenen) Geschäftsjahres zu berücksichtigen. Insofern wird im Zulässigkeitsvorbringen keine vom Verwaltungsgericht im Rahmen der Strafbemessung rechtswidrig herangezogene Ermessensgrundlage dargelegt.Da sich die Wortfolge „seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres“ eines Unternehmens im Sinne des Artikel 101, und 102 AEUV in Artikel 83, Absatz 4,, 5 und 6 DSGVO nur auf die Bestimmung des dynamischen Strafrahmens bezieht, ist bei der Beurteilung der Unternehmensgröße in Form der tatsächlichen oder materiellen Leistungsfähigkeit des Unternehmens im Rahmen der Strafbemessung nicht ausschließlich der Jahresumsatz eines (des vorangegangenen) Geschäftsjahres zu berücksichtigen. Insofern wird im Zulässigkeitsvorbringen keine vom Verwaltungsgericht im Rahmen der Strafbemessung rechtswidrig herangezogene Ermessensgrundlage dargelegt.
29
Im Übrigen zeigt das Zulässigkeitsvorbringen der Amtsrevision keine unvertretbare Strafbemessung auf.
30
Vor diesem Hintergrund werden in der Revision zum Strafausspruch keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukommt.Vor diesem Hintergrund werden in der Revision zum Strafausspruch keine Rechtsfragen aufgeworfen, denen im Sinne des Artikel 133, Absatz 4, B-VG grundsätzliche Bedeutung zukommt.
31
Die Amtsrevision war daher diesbezüglich gemäß § 34 Abs. 1 VwGG zurückzuweisen.Die Amtsrevision war daher diesbezüglich gemäß Paragraph 34, Absatz eins, VwGG zurückzuweisen.
Wien, am 29. September 2025
