Entscheidungsdatum
03.09.2026Norm
B-VG Art133 Abs4Spruch
,
W256 2337399-1/19E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende sowie die fachkundige Laienrichterin Dr. Claudia Rosenmayr-Klemenz und den fachkundigen Laienrichter Mag. Matthias Schachner als Beisitzer über die Beschwerde der XXXX , vertreten durch Dr. Thomas Schweiger, LL.M., Rechtsanwalt in 4020 Linz gegen das Straferkenntnis der Datenschutzbehörde vom 19. Jänner 2026, Zl. D550.1231 (2025-1.049.138), zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende sowie die fachkundige Laienrichterin Dr. Claudia Rosenmayr-Klemenz und den fachkundigen Laienrichter Mag. Matthias Schachner als Beisitzer über die Beschwerde der römisch 40 , vertreten durch Dr. Thomas Schweiger, LL.M., Rechtsanwalt in 4020 Linz gegen das Straferkenntnis der Datenschutzbehörde vom 19. Jänner 2026, Zl. D550.1231 (2025-1.049.138), zu Recht erkannt:
A) 1. Der Beschwerde wird Folge gegeben und die verhängte Geldstrafe auf 22.000 Euro und dementsprechend der Beitrag zum Verfahren vor der belangten Behörde gemäß § 52 Abs. 8 VwGVG iVm § 64 Abs. 2 VStG auf 2.200 Euro herabgesetzt. A) 1. Der Beschwerde wird Folge gegeben und die verhängte Geldstrafe auf 22.000 Euro und dementsprechend der Beitrag zum Verfahren vor der belangten Behörde gemäß Paragraph 52, Absatz 8, VwGVG in Verbindung mit Paragraph 64, Absatz 2, VStG auf 2.200 Euro herabgesetzt.
2. Die Beschwerdeführerin hat gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.2. Die Beschwerdeführerin hat gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.
B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe
I. Verfahrensgang:römisch eins. Verfahrensgang:
Mit dem angefochtenen Straferkenntnis wurde der Beschwerdeführerin Folgendes zur Last gelegt:
„I. Die Beschuldigte verarbeitet seit dem 01.08.2025 und jedenfalls bis zum 27.11.2025 (in der Folge „Tatzeitraum“) an ihrem Sitz an der Adresse [..] (in der Folge „Tatort“) regelmäßig unrechtmäßig personenbezogene Daten von potentiellen Bewerbern und Bewerberinnen ihrer Kunden (in der Folge „Betroffene“), indem Sie die mit den Betroffenen durchgeführten telefonischen Bewerbungsgespräche zur Vorqualifikation zur Gänze aufgezeichnet hat (1) und diese Aufzeichnungen unbefristet aufbewahrte/archivierte (2). Inhalt der Gespräche sind jeweils der Vor- und Nachname, die konkrete Ausbildung und der berufliche Werdegang. Die Betroffenen wurden vor Beginn der Aufzeichnung und Speicherung nicht im Sinne des Art. 12 iVm Art. 13 DSGVO informiert (siehe Spruchpunkt II) oder haben dieser nicht vor Beginn im Sinne des Art. 6 Abs. 1 lit. a DSGVO zugestimmt. Die Verarbeitung (sowohl die Aufzeichnung (1) als auch die Speicherung/Aufbewahrung (2)) konnte in diesem Zusammenhang auf keine Rechtsgrundlage nach Art. 6 Abs. 1 iVm Art. 5 Abs. 1 lit. a DSGVO gestützt werden und erfolgte zudem in Missachtung der Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).„I. Die Beschuldigte verarbeitet seit dem 01.08.2025 und jedenfalls bis zum 27.11.2025 (in der Folge „Tatzeitraum“) an ihrem Sitz an der Adresse [..] (in der Folge „Tatort“) regelmäßig unrechtmäßig personenbezogene Daten von potentiellen Bewerbern und Bewerberinnen ihrer Kunden (in der Folge „Betroffene“), indem Sie die mit den Betroffenen durchgeführten telefonischen Bewerbungsgespräche zur Vorqualifikation zur Gänze aufgezeichnet hat (1) und diese Aufzeichnungen unbefristet aufbewahrte/archivierte (2). Inhalt der Gespräche sind jeweils der Vor- und Nachname, die konkrete Ausbildung und der berufliche Werdegang. Die Betroffenen wurden vor Beginn der Aufzeichnung und Speicherung nicht im Sinne des Artikel 12, in Verbindung mit Artikel 13, DSGVO informiert (siehe Spruchpunkt römisch zwei) oder haben dieser nicht vor Beginn im Sinne des Artikel 6, Absatz eins, Litera a, DSGVO zugestimmt. Die Verarbeitung (sowohl die Aufzeichnung (1) als auch die Speicherung/Aufbewahrung (2)) konnte in diesem Zusammenhang auf keine Rechtsgrundlage nach Artikel 6, Absatz eins, in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO gestützt werden und erfolgte zudem in Missachtung der Grundsätze der Datenminimierung (Artikel 5, Absatz eins, Litera c, DSGVO) und Speicherbegrenzung (Artikel 5, Absatz eins, Litera e, DSGVO).
II. Darüber hinaus hat die Beschuldigte in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO im Zusammenhang mit den oben dargestellten Verarbeitungen (Tatvorwurf I) personenbezogener Daten im oben dargestellten Tatzeitraum gegen ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen, indem sie keine Informationserteilung sowie keine ausreichende Informationserteilung gegenüber den betroffenen Personen vorgenommen hat.römisch zwei. Darüber hinaus hat die Beschuldigte in ihrer Rolle als Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO im Zusammenhang mit den oben dargestellten Verarbeitungen (Tatvorwurf römisch eins) personenbezogener Daten im oben dargestellten Tatzeitraum gegen ihre Informationspflicht gemäß Artikel 13, DSGVO verstoßen, indem sie keine Informationserteilung sowie keine ausreichende Informationserteilung gegenüber den betroffenen Personen vorgenommen hat.
Verwaltungsübertretungen nach:
Ad. I.: Art. 5 lit. a, c und e sowie Art. 6 Abs. 1 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgFAd. römisch eins.: Artikel 5, Litera a, c und e sowie Artikel 6, Absatz eins, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und 5 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF
Ad. II.: Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 iVm Art. 83 Abs. 1 und 5 lit. a und b DSGVO ABl. L 2016/119, S. 1, idgF“Ad. römisch zwei.: Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 12 und 13 in Verbindung mit Artikel 83, Absatz eins und 5 Litera a und b DSGVO Amtsblatt L 2016/119, S. 1, idgF“
Wegen dieser Verwaltungsübertretungen wurde über die Beschwerdeführerin gemäß Art. 83 Abs. 3 und Abs. 5 lit. a DSGVO eine Geldstrafe von 25.500 Euro verhängt sowie wurde sie zum Ersatz eines Verfahrenskostenbeitrages von 2.550 Euro verhalten. Dabei ging die belangte Behörde im Geschäftsjahr 2024 von einem Bilanzgewinn von EUR 1.459.067,97 und Verbindlichkeiten in Höhe von EUR 109.810,32 aus.Wegen dieser Verwaltungsübertretungen wurde über die Beschwerdeführerin gemäß Artikel 83, Absatz 3 und Absatz 5, Litera a, DSGVO eine Geldstrafe von 25.500 Euro verhängt sowie wurde sie zum Ersatz eines Verfahrenskostenbeitrages von 2.550 Euro verhalten. Dabei ging die belangte Behörde im Geschäftsjahr 2024 von einem Bilanzgewinn von EUR 1.459.067,97 und Verbindlichkeiten in Höhe von EUR 109.810,32 aus.
Als Sachverhalt wurde im Wesentlichen festgestellt, dass die Beschwerdeführerin eine Werbeagentur im Bereich „Digitales Marketing“ betreibe. Ihre Mitarbeiter*innen hätten die Aufgabe gehabt, potentielle Bewerber*innen für Kund*innen durch Anrufe und Interviews „vor zu qualifizieren“. Dabei werde die ausgeschriebene Position erläutert und die Bewerber*innen näher kennen gelernt bzw. zu ihrer bisherigen beruflichen Erfahrung befragt. Im Tatzeitraum seien diese Gespräche teilweise mit, teilweise ohne entsprechenden Hinweis auf die Aufzeichnung von Anfang bis Ende aufgezeichnet und für einen unbestimmten Zeitraum gespeichert worden. Diesbezüglich seien die Mitarbeiter*innen durch eine ihnen hierarchisch übergeordnete Mitarbeiterin aktiv dazu angehalten worden, Bewerbungsgespräche zu Schulungszwecken aufzuzeichnen und zu speichern, auch ohne Einholung einer Einwilligung der Betroffenen.
In rechtlicher Hinsicht führte die belangte Behörde aus, dass gegenständlich Mitarbeiter*innen der Beschwerdeführerin feststellungsgemäß am Tatort im Tatzeitraum den Inhalt von Bewerbungsgesprächen aufgezeichnet sowie gespeichert und sohin personenbezogene Daten der Betroffenen gemäß Art. 4 Z 1 DSGVO verarbeitet hätten. Eine Einwilligung als Rechtsgrundlage scheide u.a. schon deshalb aus, weil die Betroffenen keine Information über den wahren Verantwortlichen gehabt hätten. Die Rechtsgrundlage der Verarbeitung aufgrund berechtigter Interessen scheide deshalb aus, weil die Betroffenen entweder gar nicht oder erst nach Beginn der Erhebung ihrer Daten über die berechtigten Interessen informiert worden seien. Zudem sei die Verarbeitung in der vorgenommenen Form zur Zweckerreichung, nämlich der vorgetragenen Verbesserung der Mitarbeiter*innen nicht notwendig gewesen. Es bestünden für die verfolgten Zwecke weniger einschneidende Alternativen, wie beispielsweise Simulationsgespräche mit Kolleg*innen. Auch die Informationspflicht sei missachtet worden, weil die Beschwerdeführerin die Betroffenen teilweise überhaupt nicht über die Datenverarbeitung informiert habe. In anderen Fällen sei die Information erst nach Beginn der Verarbeitung und zudem nicht im Namen der Verantwortlichen, nämlich der Beschuldigten selbst, sondern im Namen der „Firma XY“ erfolgt. Bei der Beschwerdeführerin liege zumindest leichte Fahrlässigkeit darin, dass sie ihren Mitarbeiter*innen die Möglichkeit zur Aufzeichnung und Speicherung eröffnet habe und diese faktisch auch ohne Einholung einer ausdrücklichen Einwilligung möglich gewesen sei. Zudem habe eine hierarchisch übergeordnete Mitarbeiterin diese Vorgehensweise öffentlich propagiert. Es liege Verschulden in Form von Fahrlässigkeit vor, zumal solche Arbeitsweisen im Vorhinein jedenfalls nicht ausgeschlossen gewesen seien.In rechtlicher Hinsicht führte die belangte Behörde aus, dass gegenständlich Mitarbeiter*innen der Beschwerdeführerin feststellungsgemäß am Tatort im Tatzeitraum den Inhalt von Bewerbungsgesprächen aufgezeichnet sowie gespeichert und sohin personenbezogene Daten der Betroffenen gemäß Artikel 4, Ziffer eins, DSGVO verarbeitet hätten. Eine Einwilligung als Rechtsgrundlage scheide u.a. schon deshalb aus, weil die Betroffenen keine Information über den wahren Verantwortlichen gehabt hätten. Die Rechtsgrundlage der Verarbeitung aufgrund berechtigter Interessen scheide deshalb aus, weil die Betroffenen entweder gar nicht oder erst nach Beginn der Erhebung ihrer Daten über die berechtigten Interessen informiert worden seien. Zudem sei die Verarbeitung in der vorgenommenen Form zur Zweckerreichung, nämlich der vorgetragenen Verbesserung der Mitarbeiter*innen nicht notwendig gewesen. Es bestünden für die verfolgten Zwecke weniger einschneidende Alternativen, wie beispielsweise Simulationsgespräche mit Kolleg*innen. Auch die Informationspflicht sei missachtet worden, weil die Beschwerdeführerin die Betroffenen teilweise überhaupt nicht über die Datenverarbeitung informiert habe. In anderen Fällen sei die Information erst nach Beginn der Verarbeitung und zudem nicht im Namen der Verantwortlichen, nämlich der Beschuldigten selbst, sondern im Namen der „Firma XY“ erfolgt. Bei der Beschwerdeführerin liege zumindest leichte Fahrlässigkeit darin, dass sie ihren Mitarbeiter*innen die Möglichkeit zur Aufzeichnung und Speicherung eröffnet habe und diese faktisch auch ohne Einholung einer ausdrücklichen Einwilligung möglich gewesen sei. Zudem habe eine hierarchisch übergeordnete Mitarbeiterin diese Vorgehensweise öffentlich propagiert. Es liege Verschulden in Form von Fahrlässigkeit vor, zumal solche Arbeitsweisen im Vorhinein jedenfalls nicht ausgeschlossen gewesen seien.
Was die Strafzumessung betreffe, werde die Beschwerdeführerin unter Berücksichtigung des Jahresabschlusses zum 31. Dezember 2024 nach den Fines-Richtlinien in die Kategorie „Unternehmen mit einem Umsatz von 2 Mio. EUR bis 10 Mio. EUR“ eingestuft. Unter Berücksichtigung des mittleren Schweregrades, der wirtschaftlichen Leistungsfähigkeit der Beschwerdeführerin, von Milderungsgründen (keine einschlägigen früheren Verstöße, Beitrag zur Wahrheitsfindung) und generalpräventiven Erwägungen sei die Verhängung der konkreten Geldstrafe gerechtfertigt.
Gegen dieses Straferkenntnis erhob die Beschwerdeführerin Beschwerde an das Bundesverwaltungsgericht in beiden Spruchpunkten „wegen überhöhter Strafbemessung und Strafhöhe“. Der Gewinn der Beschwerdeführerin sei von der belangten Behörde unrichtig festgestellt worden. Die belangte Behörde habe den Gewinn der Beschwerdeführerin mit EUR 1.459.000,00 festgestellt, und außer Acht gelassen, dass darin ein Gewinnvortrag in Höhe von EUR 501.000,00 enthalten sei. Der (relevante) Gewinn reduziere sich damit um mehr als ein Drittel, konkret auf deutlich unter EUR 1.000.000,00, nämlich EUR 958.000,00. Die Beschwerdeführerin sei nach den Leitlinien der Europäischen Kommission zur Berechnung von Geldbußen (Fines-RL) daher als Unternehmen der untersten Kategorie (Gewinn EUR 958.000,00) einzustufen. Die von der belangten Behörde erfolgte Berechnung der belangten Behörde sei daher nicht richtig erfolgt. Im Übrigen stufe die belangte Behörde den Verstoß zu Unrecht als „mittel“ ein und stehe die verhängte Geldstrafe in keinem Verhältnis zu den begangenen datenschutzrechtlichen Verstößen. Die Beschwerdeführerin messe dem Datenschutz und der Einhaltung datenschutzrechtlicher Vorgaben hohe Bedeutung bei. Zu diesem Zweck sei sogar ein externer Datenschutzbeauftragter bestellt worden und seien in Zusammenarbeit mit diesem und Rechtsanwaltskanzleien unternehmensinterne Arbeitsverträge, Homeoffice-Vereinbarungen, eine Vielzahl an Datenschutzerklärungen und Vertragswerke DSGVO-konform adaptiert und weitere gesetzlich erforderliche Dokumente erstellt worden. Das Verhalten der Beschwerdeführerin sei ohne Vorsatz erfolgt und habe die Beschwerdeführerin dieses, als ihr bewusst geworden sei, dass ihr Vorgehen nicht datenschutzkonform sei, umgehend eingestellt. Vor diesem Hintergrund sei der behauptete Schweregrad der Rechtsverletzung nicht haltbar. Es liege vielmehr ein geringfügiges Fehlverhalten vor, das weder auf grober Fahrlässigkeit noch auf systematischen Mängeln beruhe und demgemäß auch in der datenschutzrechtlichen Bewertung entsprechend milder zu gewichten sei. Die belangte Behörde habe lediglich die Milderungsgründe, dass keine früheren Verstöße begangen worden seien und die Beschwerdeführerin beim Verfahren mitgewirkt habe, berücksichtigt. Als Milderungsgründe wären zusätzlich zu berücksichtigen gewesen, dass die gegenständliche Verarbeitung unverzüglich eingestellt worden sei, dass keine besonders schutzwürdigen Daten betroffen gewesen seien sowie sonstige mildernde Umstände. Es scheine im vorliegenden Fall mit Blick auf andere Strafurteile nicht angemessen oder verhältnismäßig im konkreten Fall 1 % als Geldstrafe zu verhängen. Nach Ansicht der Beschwerdeführerin sei auch in diesem Fall geboten (insbesondere aufgrund der Milderungsgründe) mit einem Strafbetrag im unteren Bereich von 0,13 % wie in einem ähnlichen von den Gerichten entschiedenen Fall vorzugehen. Im Übrigen enthält die Beschwerde Ausführungen zur Rechtmäßigkeit der vorliegenden Datenverarbeitung und zur mangelnden Vorwerfbarkeit. Es werde daher der Antrag gestellt, 1. das angefochtene Straferkenntnis ersatzlos aufzuheben und das Verfahren einzustellen, 2. in eventu eine bloße Verwarnung auszusprechen, 3. in eventu die Strafhöhe auf ein tat- und schuldangemessenes Maß herabzusetzen.
Mit Schreiben vom 2. März 2026 legte die belangte Behörde die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor und gab dazu eine Stellungnahme ab. Darin wurde im Wesentlichen ausgeführt, dass sich der Begriff Umsatz in Art 83 DSGVO nicht mit dem Bilanzgewinn decke, dieser könne nur zusätzlich bei der Strafbemessung berücksichtigt werden. Der Ausspruch einer Verwarnung stehe im Ermessen der belangten Behörde und sei gegenständlich nicht in Betracht gekommen.Mit Schreiben vom 2. März 2026 legte die belangte Behörde die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor und gab dazu eine Stellungnahme ab. Darin wurde im Wesentlichen ausgeführt, dass sich der Begriff Umsatz in Artikel 83, DSGVO nicht mit dem Bilanzgewinn decke, dieser könne nur zusätzlich bei der Strafbemessung berücksichtigt werden. Der Ausspruch einer Verwarnung stehe im Ermessen der belangten Behörde und sei gegenständlich nicht in Betracht gekommen.
In ihrer Stellungnahme vom 7. April 2026 führte die Beschwerdeführerin aus, sie beziehe sich darin ausschließlich auf die Strafbemessung nach Art 83 DSGVO und die Frage der Angemessenheit und Verhältnismäßigkeit der Geldbuße. Der Jahresumsatz 2024 sei mit EUR 4.231.213,16 zu beziffern. Die belangte Behörde habe den relevanten Umsatz bereits in diese Kategorie eingeordnet, jedoch ohne die „strukturelle Nähe zu einem Kleinstunternehmen“ und die damit verbundene begrenzte wirtschaftliche Tragfähigkeit hinreichend zu berücksichtigen. Die Beschwerdeführerin sei ein inhabergeführtes, personalintensives Dienstleistungsunternehmen mit geringen Margen, ohne Konzernanbindung, ohne Marktmacht und verfüge diese lediglich über 18 bis 20 Mitarbeiter. Weiters sei die Schwere des Verstoßes als „low“ bzw. im „unteren Bereich von medium“ einzuordnen, zumal keine Weitergabe der Aufzeichnungen an Dritte erfolgt, keine zweckwidrige Verwendung der Daten nachweisbar und die Eingriffsintensität im Vergleich zu anderen Datenschutzverstößen als eher gering anzusehen sei. Die Gespräche seien ausschließlich zu internen Zwecken genutzt und es sei kein Gewinn durch die Vorgehensweise lukriert worden. Die Zahl der Betroffenen sei begrenzt und überschaubar, es seien keine Daten im Sinne des Art 9 oder 10 DSGVO betroffen, und es sei zu keinen konkreten materiellen Schäden der betroffenen Personen, nachhaltigen Persönlichkeitsverletzungen oder wirtschaftlichen Nachteilen gekommen. Zu berücksichtigen sei weiters, dass der Beschwerdeführerin die vorliegende Unrechtmäßigkeit aufgrund der komplexen Rechtslage nicht bewusst gewesen sei, sie aber ansonsten in anderen Bereichen des Datenschutzes professionell agiere, indem sie einen externen Datenschutzbeauftragten bestellt, regelmäßige datenschutzrechtliche Beratung durch spezialisierte Rechtsanwälte durchgeführt, sowie interne Richtlinien erstellt, Schulungen und Prozesse zur Einhaltung der DSGVO abgehalten habe. Sie habe im behördlichen Verfahren überdies von Beginn an mitgewirkt und die beanstandete Praxis unverzüglich eingestellt. Unter einem wurde ein Jahresabschluss für das Jahr 2024 vorgelegt. In ihrer Stellungnahme vom 7. April 2026 führte die Beschwerdeführerin aus, sie beziehe sich darin ausschließlich auf die Strafbemessung nach Artikel 83, DSGVO und die Frage der Angemessenheit und Verhältnismäßigkeit der Geldbuße. Der Jahresumsatz 2024 sei mit EUR 4.231.213,16 zu beziffern. Die belangte Behörde habe den relevanten Umsatz bereits in diese Kategorie eingeordnet, jedoch ohne die „strukturelle Nähe zu einem Kleinstunternehmen“ und die damit verbundene begrenzte wirtschaftliche Tragfähigkeit hinreichend zu berücksichtigen. Die Beschwerdeführerin sei ein inhabergeführtes, personalintensives Dienstleistungsunternehmen mit geringen Margen, ohne Konzernanbindung, ohne Marktmacht und verfüge diese lediglich über 18 bis 20 Mitarbeiter. Weiters sei die Schwere des Verstoßes als „low“ bzw. im „unteren Bereich von medium“ einzuordnen, zumal keine Weitergabe der Aufzeichnungen an Dritte erfolgt, keine zweckwidrige Verwendung der Daten nachweisbar und die Eingriffsintensität im Vergleich zu anderen Datenschutzverstößen als eher gering anzusehen sei. Die Gespräche seien ausschließlich zu internen Zwecken genutzt und es sei kein Gewinn durch die Vorgehensweise lukriert worden. Die Zahl der Betroffenen sei begrenzt und überschaubar, es seien keine Daten im Sinne des Artikel 9, oder 10 DSGVO betroffen, und es sei zu keinen konkreten materiellen Schäden der betroffenen Personen, nachhaltigen Persönlichkeitsverletzungen oder wirtschaftlichen Nachteilen gekommen. Zu berücksichtigen sei weiters, dass der Beschwerdeführerin die vorliegende Unrechtmäßigkeit aufgrund der komplexen Rechtslage nicht bewusst gewesen sei, sie aber ansonsten in anderen Bereichen des Datenschutzes professionell agiere, indem sie einen externen Datenschutzbeauftragten bestellt, regelmäßige datenschutzrechtliche Beratung durch spezialisierte Rechtsanwälte durchgeführt, sowie interne Richtlinien erstellt, Schulungen und Prozesse zur Einhaltung der DSGVO abgehalten habe. Sie habe im behördlichen Verfahren überdies von Beginn an mitgewirkt und die beanstandete Praxis unverzüglich eingestellt. Unter einem wurde ein Jahresabschluss für das Jahr 2024 vorgelegt.
Dazu wurde der belangten Behörde Parteiengehör eingeräumt.
Über Aufforderung von Seiten des Gerichts legte die Beschwerdeführerin mit Schreiben vom 8. Mai 2026 eine Gewinn- und Verlustrechnung für das Jahr 2024 vor. Diese weise zwar – laut ihrem Vorbringen – einen positiven Jahresüberschuss aus, dieser bewege sich aber – gemessen an Umsatz, Bilanzsumme und Mitarbeiterzahl – im Bereich eines typischen kleinen Agentur- und Dienstleistungs-unternehmens, nicht eines Großunternehmens oder Konzerns. Zudem wurden diverse Unterlagen, wie Auftragsverarbeitungsverträge mit Kunden, ein aktuelles TOM-Dokument, das u.a. die Zugangskontrolle, die Datenträger- und Speicherkontrolle, die Benutzer- und Zugriffskontrolle, Passwort-Policy, Verschlüsselung regle und mehrere interne Richtlinien zu Kernbereichen der DSGVO (Datenlöschung, Betroffenenrechte, Behandlung von Datenschutz- und Sicherheitsvorfällen, Informationssicherheit) vorgelegt, um das seit Jahren geschilderte ansonsten hohe Datenschutzniveau zu belegen. Auch zeige der vorgelegte Muster-Dienstvertrag/die Muster Home-Office mit detaillierten Klauseln zur IT-Nutzung, Geheimhaltung, Datenschutz und Nutzung von Fotos/Videos, über Home-Office-Vereinbarungen mit strengen Vorgaben zur Verwendung ausschließlich betrieblicher Hardware, Vereinbarung, dass Datenschutz im Unternehmen stark verankert sei. Diese Dokumente würden belegen, dass die Beschwerdeführerin nicht erst anlässlich des vorliegenden Verfahrens Datensicherheit und Datenschutz „aufbaut“, sondern bereits seit Jahren ein systematisches DSGVO-Management betreibe, und der Vorfall einen einmaligen Verstoß aufgrund von irrigen Annahmen darstelle, die Beschwerdeführerin sich aber ansonsten an die Vorgaben der DSGVO halte.
Dazu wurde der belangten Behörde Parteiengehör eingeräumt.
In ihrer Stellungnahme vom 6. Juli 2026 hielt die anwaltlich vertretene Beschwerdeführerin ausdrücklich fest, dass sich ihre hg Beschwerde allein gegen die Strafe bzw. Strafhöhe richte. Es werde daher ausdrücklich keine Beweiswiederholung von Seiten des Gerichts gewünscht, sodass auf eine solche verzichtet werde.
Über erneute Aufforderung des Gerichts stellte die Beschwerdeführerin mit Schreiben vom 20. August 2026 ausdrücklich klar, dass die Feststellungen zum Verstoß nicht mehr bekämpft würden und die Beschwerde ausschließlich die Strafbemessung bzw. die Strafhöhe betreffe. Die Beschwerdeführerin begehre nicht mehr die Feststellung, dass kein Verstoß vorliege, sondern dass die konkret verhängte Geldstrafe deutlich herabgesetzt werde. Anträge auf gänzliche Aufhebung des Straferkenntnisses sowie Einwendungen gegen die Rechtswidrigkeit und Zurechenbarkeit des Verstoßes würden nicht mehr aufrechterhalten werden. Im Übrigen wiederholte die Beschwerdeführerin ihr Vorbringen in Bezug auf die Strafbemessung. Ergänzend brachte sie vor, dass die Bemessung der Strafe eine Einzelfallentscheidung sei und zeige dies die nunmehrige Entscheidung des Landgericht Berlin I vom 09.06.2026, 526 OWi LG 1/20 in Sachen Deutsches Wohnen, in dem die Geldstrafe deutlich reduziert worden sei. Bedauerlicherweise würden die Urteilsgründe im genannten Verfahren des Landgericht Berlin, 526 OWi LG 1/20 vom 09.06.2026 noch nicht vorliegen. Es werde daher ersucht, eine Frist von 6 Wochen zu gewähren, in denen die Urteilsgründe dieses Verfahrens dem Bundesverwaltungsgericht vorgelegt werden können, und damit die entsprechenden Argumente für die erhebliche Reduzierung noch im Kontext der DSGVO verdeutlicht werden können.Über erneute Aufforderung des Gerichts stellte die Beschwerdeführerin mit Schreiben vom 20. August 2026 ausdrücklich klar, dass die Feststellungen zum Verstoß nicht mehr bekämpft würden und die Beschwerde ausschließlich die Strafbemessung bzw. die Strafhöhe betreffe. Die Beschwerdeführerin begehre nicht mehr die Feststellung, dass kein Verstoß vorliege, sondern dass die konkret verhängte Geldstrafe deutlich herabgesetzt werde. Anträge auf gänzliche Aufhebung des Straferkenntnisses sowie Einwendungen gegen die Rechtswidrigkeit und Zurechenbarkeit des Verstoßes würden nicht mehr aufrechterhalten werden. Im Übrigen wiederholte die Beschwerdeführerin ihr Vorbringen in Bezug auf die Strafbemessung. Ergänzend brachte sie vor, dass die Bemessung der Strafe eine Einzelfallentscheidung sei und zeige dies die nunmehrige Entscheidung des Landgericht Berlin römisch eins vom 09.06.2026, 526 OWi LG 1/20 in Sachen Deutsches Wohnen, in dem die Geldstrafe deutlich reduziert worden sei. Bedauerlicherweise würden die Urteilsgründe im genannten Verfahren des Landgericht Berlin, 526 OWi LG 1/20 vom 09.06.2026 noch nicht vorliegen. Es werde daher ersucht, eine Frist von 6 Wochen zu gewähren, in denen die Urteilsgründe dieses Verfahrens dem Bundesverwaltungsgericht vorgelegt werden können, und damit die entsprechenden Argumente für die erhebliche Reduzierung noch im Kontext der DSGVO verdeutlicht werden können.
Dazu wurde der Beschwerdeführerin mit Schreiben vom 21. August 2026 mitgeteilt, dass es sich bei der Strafbemessung – wie von ihr selbst ausgeführt – um eine Einzelfallentscheidung handle, weshalb eine Frist von 6 Wochen zum Zweck der Vorlage der Entscheidung des Landgericht Berlin I vom 09.06.2026, 526 OWi LG 1/20 in Sachen Deutsches Wohnen nicht gewährt werde. Dazu wurde der Beschwerdeführerin mit Schreiben vom 21. August 2026 mitgeteilt, dass es sich bei der Strafbemessung – wie von ihr selbst ausgeführt – um eine Einzelfallentscheidung handle, weshalb eine Frist von 6 Wochen zum Zweck der Vorlage der Entscheidung des Landgericht Berlin römisch eins vom 09.06.2026, 526 OWi LG 1/20 in Sachen Deutsches Wohnen nicht gewährt werde.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Die Beschwerdeführerin, eine Gesellschaft mit beschränkter Haftung, betreibt eine Werbeagentur mit dem Fokus auf Social Recruiting (Personalbeschaffung). In diesem Sinne unterstützt die Beschwerdeführerin Unternehmen bei der Suche nach Mitarbeiter*innen u.a. dadurch, dass sie Vorqualifizierungen u.a. in Form von gezielten Telefoninterviews durchführt und damit nur wirklich passende Talente an das suchende Unternehmen weitergeleitet werden.
Die Mitarbeiter*innen der Beschwerdeführerin führen im Rahmen ihrer Tätigkeit diese telefonischen Vorqualifizierungsgespräche mit Bewerber*innen für Kunden der Beschwerdeführerin durch. Diese Gespräche dauern etwa fünf Minuten und umfassen eine Kurzvorstellung des Unternehmens des Kunden, eine Beschreibung der ausgeschriebenen Position (einschließlich möglicher Belastungen wie Schicht- oder Wochenendarbeit), eine Befragung zu Berufserfahrung sowie gegebenenfalls die Vereinbarung eines Vorstellungstermins.
Zwischen 1. August 2025 und 27. November 2025 wurde den Mitarbeiter*innen von der Beschwerdeführerin die Möglichkeit eingeräumt, Bewerbungsgespräche zu unternehmensinternen Schulungszwecken aufzuzeichnen. Durch eine ihnen hierarchisch übergeordnete Mitarbeiterin wurden die Mitarbeiter*innen überdies in diesem Zeitraum mittels Intranet-Mitteilung aktiv dazu angehalten, Bewerbungsgespräche zu Schulungszwecken aufzuzeichnen und zu speichern, und zwar auch ohne Einholung einer Einwilligung der Betroffenen.
Die Mitarbeiter*innen haben von dieser Möglichkeit in diesem Zeitraum insofern Gebrauch genommen, als sie diese Telefoninterviews mit Bewerber*innen und sohin personenbezogene Daten der Betroffenen (Vor- und Nachname, die konkrete Ausbildung und der berufliche Werdegang) entweder mit oder ohne entsprechenden Hinweis auf die Aufzeichnung – von Anfang bis Ende aufgezeichnet und für einen unbestimmten Zeitraum gespeichert haben.
Dabei wurden die Betroffenen teilweise überhaupt nicht über die Datenverarbeitung informiert. In anderen Fällen erfolgte die Information erst nach Beginn der Verarbeitung und zudem nicht im Namen der Verantwortlichen, nämlich der Beschuldigten selbst, sondern im Namen der „Firma XY“ (Kundin).
Die Beschwerdeführerin hat diese Praxis nach behördlicher Beanstandung sofort eingestellt.
Die Beschwerdeführerin erzielte im Jahr 2024 einen Jahresumsatz in Höhe von EUR 4.231.213,16. Der Bilanzgewinn beträgt laut Gewinn- und Verlustrechnung für das Jahr 2024 EUR 1.459.067,97,-, wobei darin ein Gewinnvortrag von EUR 501.713,95,- enthalten ist. Die Beschwerdeführerin beschäftigt durchschnittlich 18 bis 20 Personen.
Die Beschwerdeführerin hat sich vor dem Vorfall mit dem Thema Datenschutz insoweit auseinandergesetzt, als sie einen externen Datenschutzbeauftragten bestellt hat und in Zusammenarbeit mit Rechtsanwaltskanzleien und dem Datenschutzbeauftragten interne Arbeitsverträge, Homeoffice-Vereinbarungen, Datenschutzerklärungen und Vertragswerke DSGVO-konform adaptiert und weitere gesetzlich erforderliche Dokumente, wie Richtlinien für den Umgang mit Datensicherheitsvorfällen, technische Zugangsmaßnahmen oder auch Vereinbarungen mit Auftragsverarbeitern erstellt hat.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den unbestrittenen Feststellungen im angefochtenen Bescheid im Zusammenhalt mit dem ergänzenden Vorbringen der Beschwerdeführerin samt vorgelegten Unterlagen im Verfahren vor dem Bundesverwaltungsgericht.
3. Rechtliche Beurteilung:
Die hier maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten wie folgt:Die hier maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten wie folgt:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[…]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
[…]
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
[…]
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
[…]
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
[…]
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
[…]
Artikel 13
Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
[…]
Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
[…]
(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;
b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;“
zum Gegenstand des vorliegenden Verfahrens
Die vorliegende Beschwerde richtet sich ausschließlich gegen die Höhe der mit dem angefochtenen Straferkenntnis verhängten Geldstrafe. Zwar finden sich in der Beschwerde in der Begründung auch Ausführungen in Bezug auf die Rechtmäßigkeit der Verstöße und deren Vorwerfbarkeit und wurde überdies darin u.a. der Antrag gestellt, das angefochtene Straferkenntnis ersatzlos aufzuheben und das Verfahren einzustellen. In ihren Stellungnahmen vom 6. Juli 2026 und vom 20. August 2026 stellte die anwaltlich vertretene Beschwerdeführerin über Vorhalt des Gerichts jedoch ausdrücklich klar, dass sich ihre Beschwerde ausschließlich gegen das Ausmaß der mit dem angefochtenen Straferkenntnis verhängten Geldstrafe richtet und die damit in Widerspruch stehenden Ausführungen/Anträge in ihrer Beschwerde nicht weiter aufrechterhalten werden.
Gemäß § 27 Verwaltungsgerichtsverfahrensgesetz BGBl. I 2013/33 idF BGBl. I 2018/57 (im Folgenden: „VwGVG“) hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen. Gemäß Paragraph 27, Verwaltungsgerichtsverfahrensgesetz BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2018/57 (im Folgenden: „VwGVG“) hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.
Gegenstand des vorliegenden Verfahrens kann und darf angesichts der vorliegenden Sach- und Rechtslage daher allein der Ausspruch der Strafe, nicht jedoch eine darüberhinausgehende Überprüfung des Schuldspruchs und damit der Bestrafung an sich sein. Hinsichtlich der Frage der Strafbarkeit ist insofern Teilrechtskraft eingetreten (siehe dazu ausdrücklich VwGH, 27.10.2014, Ra 2014/02/0053; VwGH 24.07.2019, Ra 2018/02/0034 u.v.m.).
zur Strafbemessung
1. Festzuhalten ist, dass der Beschwerdeführerin mit dem angefochtenen Straferkenntnis jeweils zwei Verstöße gegen die DSGVO angelastet wurden und zwar wurde ihr vorgeworfen, dass sie im Zusammenhang mit der Aufzeichnung und Speicherung von telefonischen Bewerbungsgesprächen vom 01. August 2025 bis zum 27. November 2025 1. unrechtmäßig personenbezogene Daten von potentiellen Bewerber*innen ihrer Kund*innen (im Folgenden: Betroffene) verarbeitet und damit gegen die Grundsätze für die Verarbeitung nach Art. 5 lit. a, c und e sowie Art. 6 Abs. 1 DSGVO verstoßen habe (Spruchpunkt I.) sowie 2. diese Betroffenen darüber auch nicht ausreichend informiert und damit gegen ihre Informationspflicht gemäß Art. 13 DSGVO verstoßen habe (Spruchpunkt II.). 1. Festzuhalten ist, dass der Beschwerdeführerin mit dem angefochtenen Straferkenntnis jeweils zwei Verstöße gegen die DSGVO angelastet wurden und zwar wurde ihr vorgeworfen, dass sie im Zusammenhang mit der Aufzeichnung und Speicherung von telefonischen Bewerbungsgesprächen vom 01. August 2025 bis zum 27. November 2025 1. unrechtmäßig personenbezogene Daten von potentiellen Bewerber*innen ihrer Kund*innen (im Folgenden: Betroffene) verarbeitet und damit gegen die Grundsätze für die Verarbeitung nach Artikel 5, Litera a, c und e sowie Artikel 6, Absatz eins, DSGVO verstoßen habe (Spruchpunkt römisch eins.) sowie 2. diese Betroffenen darüber auch nicht ausreichend informiert und damit gegen ihre Informationspflicht gemäß Artikel 13, DSGVO verstoßen habe (Spruchpunkt römisch zwei.).
Wegen dieser beiden (unbestrittenen) Verstöße wurde von der belangten Behörde unter Bezugnahme auf Art 83 Abs. 3 DSGVO eine Gesamtgeldstrafe in Höhe vom 25.500 Euro über die Beschwerdeführerin verhängt.Wegen dieser beiden (unbestrittenen) Verstöße wurde von der belangten Behörde unter Bezugnahme auf Artikel 83, Absatz 3, DSGVO eine Gesamtgeldstrafe in Höhe vom 25.500 Euro über die Beschwerdeführerin verhängt.
Da die beiden vorliegenden Verstöße auf „miteinander verbundenen“ Verarbeitungsvorgängen beruhen und sich auch ansonsten keine Hinweise darauf ergeben, dass sich diese Verstöße untereinander ausschließen, ist die belangte Behörde zu Recht von der Anwendbarkeit des Art. 83 Abs. 3 DSGVO ausgegangen und wird dies im Übrigen auch von der Beschwerdeführerin in ihrer Beschwerde gar nicht in Zweifel gezogen (vgl. dazu die näheren Erläuterungen von Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Art. 83 Rn. 46, insbesondere in Rn. 49 und 50 sowie Bergt in Kühling/Buchner [Hrsg.], DS-GVO – BDSG4, Art 83, Rn. 60). Da die beiden vorliegenden Verstöße auf „miteinander verbundenen“ Verarbeitungsvorgängen beruhen und sich auch ansonsten keine Hinweise darauf ergeben, dass sich diese Verstöße untereinander ausschließen, ist die belangte Behörde zu Recht von der Anwendbarkeit des Artikel 83, Absatz 3, DSGVO ausgegangen und wird dies im Übrigen auch von der Beschwerdeführerin in ihrer Beschwerde gar nicht in Zweifel gezogen vergleiche dazu die näheren Erläuterungen von Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Artikel 83, Rn. 46, insbesondere in Rn. 49 und 50 sowie Bergt in Kühling/Buchner [Hrsg.], DS-GVO – BDSG4, Artikel 83,, Rn. 60).
In Art 83 Abs. 3 DSGVO wird angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. In Artikel 83, Absatz 3, DSGVO wird angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt.
Der Begriff „Gesamtbetrag“ bedeutet, dass alle begangenen Verstöße bei der Bemessung der Höhe der Geldbuße berücksichtigt werden müssen und die Formulierung „für den schwersten Verstoß festgelegter Betrag“ bezieht sich auf die gesetzlichen Höchstbeträge für Geldbußen (Art 83 Abs. 4 bis 6). Daher gilt: Auch, wenn die Geldbuße selbst den gesetzlichen Höchstbetrag der höchsten Bußgeldstufe nicht überschreiten darf, muss der Zuwiderhandelnde dennoch ausdrücklich für schuldig befunden werden, gegen mehrere Vorschriften verstoßen zu haben und diese Verstöße müssen bei der Berechnung der Höhe der letztlich zu verhängenden Geldbuße berücksichtigt werden (siehe dazu Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Art 83, Rn. 57). Im Ergebnis werden also die Geldbußen für alle Einzelverstöße summiert, am Ende aber mit dem Höchstbetrag begrenzt, der für die schwerwiegendste Tat angedroht ist (siehe dazu Bergt in Kühling/Buchner [Hrsg.], DS-GVO – BDSG4, Art 83 Rn. 62 unter Verweis auf die englische Sprachfassung „the amount specified for the gravest infringement“).Der Begriff „Gesamtbetrag“ bedeutet, dass alle begangenen Verstöße bei der Bemessung der Höhe der Geldbuße berücksichtigt werden müssen und die Formulierung „für den schwersten Verstoß festgelegter Betrag“ bezieht sich auf die gesetzlichen Höchstbeträge für Geldbußen (Artikel 83, Absatz 4 bis 6). Daher gilt: Auch, wenn die Geldbuße selbst den gesetzlichen Höchstbetrag der höchsten Bußgeldstufe nicht überschreiten darf, muss der Zuwiderhandelnde dennoch ausdrücklich für schuldig befunden werden, gegen mehrere Vorschriften verstoßen zu haben und diese Verstöße müssen bei der Berechnung der Höhe der letztlich zu verhängenden Geldbuße berücksichtigt werden (siehe dazu Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Artikel 83,, Rn. 57). Im Ergebnis werden also die Geldbußen für alle Einzelverstöße summiert, am Ende aber mit dem Höchstbetrag begrenzt, der für die schwerwiegendste Tat angedroht ist (siehe dazu Bergt in Kühling/Buchner [Hrsg.], DS-GVO – BDSG4, Artikel 83, Rn. 62 unter Verweis auf die englische Sprachfassung „the amount specified for the gravest infringement“).
Bei der Berechnung des Gesamtbetrages ist trotz der Deckelung in Abs. 3 zu berücksichtigen, dass bereits für jeden einzelnen Verstoß und die hierfür veranschlagte Geldbuße nach Abs. 2 lit. a zu berücksichtigen sein wird, dass mehrfach gegen die DSGVO verstoßen wurde. Daher wird der Gesamtbetrag der Geldbuße in jedem Fall höher sein, als wenn nur ein einzelner Verstoß im Einzelfall vorliegt (siehe dazu Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Art 83, Rn. 60). Bei der Berechnung des Gesamtbetrages ist trotz der Deckelung in Absatz 3, zu berücksichtigen, dass bereits für jeden einzelnen Verstoß und die hierfür veranschlagte Geldbuße nach Absatz 2, Litera a, zu berücksichtigen sein wird, dass mehrfach gegen die DSGVO verstoßen wurde. Daher wird der Gesamtbetrag der Geldbuße in jedem Fall höher sein, als wenn nur ein einzelner Verstoß im Einzelfall vorliegt (siehe dazu Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Artikel 83,, Rn. 60).
2. Da im konkreten Fall beide Verstöße unter die Sanktionsnorm des Art 83 Abs. 5 DSGVO fallen, beträgt der Höchstbetrag 20.000.000 EUR oder 4 Prozent des Vorjahresumsatzes, und zwar je nachdem welcher Betrag höher ist. 2. Da im konkreten Fall beide Verstöße unter die Sanktionsnorm des Artikel 83, Absatz 5, DSGVO fallen, beträgt der Höchstbetrag 20.000.000 EUR oder 4 Prozent des Vorjahresumsatzes, und zwar je nachdem welcher Betrag höher ist.
Im vorliegenden Fall ist im Verfahren vor dem Bundesverwaltungsgericht – wie unbestritten festgestellt wurde – hervorgekommen, dass der Jahresumsatz der Beschwerdeführerin im Geschäftsjahr 2024 (demjenigen, das dem Verstoß unmittelbar voranging, und zugleich dem letzten, für das bereits ein Jahresabschluss vorliegt) EUR 4.231.213,16 betragen hat.
Unter diesen Gegebenheiten ist als Ausgangspunkt für die Berechnung der vorliegenden Strafhöhe – wie schon von der belangten Behörde angenommen und im Übrigen von der Beschwerdeführerin auch unbestritten ist – die (statische) Obergrenze des Art 83 Abs. 5 DSGVO in der Höhe von 20.000.000 EUR heranzuziehen.Unter diesen Gegebenheiten ist als Ausgangspunkt für die Berechnung der vorliegenden Strafhöhe – wie schon von der belangten Behörde angenommen und im Übrigen von der Beschwerdeführerin auch unbestritten ist – die (statische) Obergrenze des Artikel 83, Absatz 5, DSGVO in der Höhe von 20.000.000 EUR heranzuziehen.
3. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit. 3. In Artikel 83, Absatz 2, DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.
Da der hier zur Anwendung kommende Strafrahmen nach Art. 83 Abs 5 DSGVO bis EUR 20.000.000 sehr hoch ist, ist die Bedeutung des geschützten Rechtsgutes jedenfalls nicht als gering einzustufen. Da der hier zur Anwendung kommende Strafrahmen nach Artikel 83, Absatz 5, DSGVO bis EUR 20.000.000 sehr hoch ist, ist die Bedeutung des geschützten Rechtsgutes jedenfalls nicht als gering einzustufen.
Vor dem Hintergrund, dass die Beschwerdeführerin die personenbezogenen Daten der Betroffenen im Rahmen ihrer Kerngeschäftstätigkeit „digitale“ Marketing, und die Durchführung von Bewerbungsgesprächen für andere Firmen“ schuldhaft unrechtmäßig und ohne ausreichende Informationen aufgezeichnet und aufbewahrt hat, sämtliche von ihr durchgeführten Bewerbungsgespräche mit Bewerber*innen im Tatzeitraum davon betroffen waren, die Verstöße über einen Zeitraum von knapp vier Monaten erfolgten und mehrere Daten der jeweiligen Bewerber*innen davon betroffen waren, ist festzuhalten, dass die Verstöße, auch wenn sie fahrlässig begangen wurden, den Daten nicht ein übermäßig hoher Stellenwert einzuräumen ist und ihre Verarbeitung auch nur zu internen Schulungszwecken erfolgt ist, jedenfalls nicht geringfügig waren, sondern vielmehr bei Beurteilung nach den in Art. 83 Abs. 2 lit. a DSGVO aufgestellten Kriterien – wie schon von der belangten Behörde angenommen – einen mittleren Schweregrad aufweisen. Vor dem Hintergrund, dass die Beschwerdeführerin die personenbezogenen Daten der Betroffenen im Rahmen ihrer Kerngeschäftstätigkeit „digitale“ Marketing, und die Durchführung von Bewerbungsgesprächen für andere Firmen“ schuldhaft unrechtmäßig und ohne ausreichende Informationen aufgezeichnet und aufbewahrt hat, sämtliche von ihr durchgeführten Bewerbungsgespräche mit Bewerber*innen im Tatzeitraum davon betroffen waren, die Verstöße über einen Zeitraum von knapp vier Monaten erfolgten und mehrere Daten der jeweiligen Bewerber*innen davon betroffen waren, ist festzuhalten, dass die Verstöße, auch wenn sie fahrlässig begangen wurden, den Daten nicht ein übermäßig hoher Stellenwert einzuräumen ist und ihre Verarbeitung auch nur zu internen Schulungszwecken erfolgt ist, jedenfalls nicht geringfügig waren, sondern vielmehr bei Beurteilung nach den in Artikel 83, Absatz 2, Litera a, DSGVO aufgestellten Kriterien – wie schon von der belangten Behörde angenommen – einen mittleren Schweregrad aufweisen.
Im Ergebnis ist daher der belangten Behörde nicht entgegenzutreten, wenn sie vorliegend von einer mittleren Schwere des Verstoßes ausgegangen ist.
Aufgrund der dargestellten mittleren Schwere des Verstoßes kommt nach Ansicht des Bundesverwaltungsgerichts eine – von der Beschwerdeführerin geforderte – bloße Abmahnung ebenso wenig wie eine Einstellung des Verfahrens, eine Beratung ohne Ausspruch einer Strafe gemäß § 33a VStG oder eine bescheidmäßige Ermahnung gemäß § 45 Abs. 1 Z 4 VStG in Betracht. In diesem Zusammenhang relevant ist Erwägungsgrund 148 DSGVO, wo es u. a. heißt, dass es den Aufsichtsbehörden gestattet ist, im Fall eines geringfügigeren Verstoßes oder falls die voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, von der Verhängung einer Geldbuße abzusehen und stattdessen eine Verwarnung zu erteilen.Aufgrund der dargestellten mittleren Schwere des Verstoßes kommt nach Ansicht des Bundesverwaltungsgerichts eine – von der Beschwerdeführerin geforderte – bloße Abmahnung ebenso wenig wie eine Einstellung des Verfahrens, eine Beratung ohne Ausspruch einer Strafe gemäß Paragraph 33 a, VStG oder eine bescheidmäßige Ermahnung gemäß Paragraph 45, Absatz eins, Ziffer 4, VStG in Betracht. In diesem Zusammenhang relevant ist Erwägungsgrund 148 DSGVO, wo es u. a. heißt, dass es den Aufsichtsbehörden gestattet ist, im Fall eines geringfügigeren Verstoßes oder falls die voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, von der Verhängung einer Geldbuße abzusehen und stattdessen eine Verwarnung zu erteilen.
Nach den Leitlinien EDSA 04/2022 ist bei einem Verstoß mittleren Schweregrades ein Ausgangsbetrag von 10 % bis 20 % des gesetzlichen Höchstmaßes (EUR 20.000.000,00) anzunehmen. Vor dem Hintergrund der obigen Ausführungen scheint für das Bundesverwaltungsgericht daher ein vorläufiger Ausgangbetrag von EUR 2.000.000,00 (10 % des gesetzlichen Höchstmaßes) angemessen. Nach den Leitlinien EDSA 04 aus 2022, ist bei einem Verstoß mittleren Schweregrades ein Ausgangsbetrag von 10 % bis 20 % des gesetzlichen Höchstmaßes (EUR 20.000.000,00) anzunehmen. Vor dem Hintergrund der obigen Ausführungen scheint für das Bundesverwaltungsgericht daher ein vorläufiger Ausgangbetrag von EUR 2.000.000,00 (10 % des gesetzlichen Höchstmaßes) angemessen.
4. Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. 4. Nach Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
Der Umsatz des Unternehmens ist in Art. 83 Abs. 2 DSGVO nicht als Kriterium für die Bemessung der Geldbuße genannt. Daraus folgt jedoch nicht, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße keine Bedeutung zukommt. „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen gem. Art. 83 Abs. 1 DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden“ (siehe hierzu BVwG 27.03.2024, W214 2243436-1/39E m.w.H.). Auch die Leitlinien des EDSA zur Berechnung von Geldbußen gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1/2021 des EDSA, Rn. 411 und 412) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist. Dies entbindet eine Aufsichtsbehörde jedoch nicht von der Verantwortung, am Ende der Berechnung eine Überprüfung der Wirksamkeit, Abschreckung und Verhältnismäßigkeit durchzuführen (siehe dazu die abermals die Leitlinien EDSA 04/2022, Rn. 63ff.).Der Umsatz des Unternehmens ist in Artikel 83, Absatz 2, DSGVO nicht als Kriterium für die Bemessung der Geldbuße genannt. Daraus folgt jedoch nicht, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße keine Bedeutung zukommt. „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen gem. Artikel 83, Absatz eins, DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden“ (siehe hierzu BVwG 27.03.2024, W214 2243436-1/39E m.w.H.). Auch die Leitlinien des EDSA zur Berechnung von Geldbußen gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1 aus 2021, des EDSA, Rn. 411 und 412) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist. Dies entbindet eine Aufsichtsbehörde jedoch nicht von der Verantwortung, am Ende der Berechnung eine Überprüfung der Wirksamkeit, Abschreckung und Verhältnismäßigkeit durchzuführen (siehe dazu die abermals die Leitlinien EDSA 04 aus 2022,, Rn. 63ff.).
Dem widerspricht auch nicht die von der Beschwerdeführerin zitierte VwGH-Entscheidung zu Ra 2025/04/0089 vom 29. September 2025, zumal nach den dortigen Erwägungen sowohl die Schwere des Verstoßes als auch die Leistungsfähigkeit des Unternehmens bei der Strafbemessung zu berücksichtigen sind (Rz 26), was den in den Leitlinien in den Kapiteln 4.2 bzw. 4.3 niedergelegten Prüfschritten entspricht. Erläuternd führte der VwGH in Rz 28 aus, dass hinsichtlich der Leistungsfähigkeit des Unternehmens im Rahmen der Strafbemessung nicht ausschließlich der Jahresumsatz des (vorangegangenen) Geschäftsjahres zu berücksichtigen sei.
Da der Umsatz der Beschwerdeführerin zwischen EUR 2.000.000,00 und EUR 10.000.000,00 liegt, hat nach den Leitlinien EDSA 04/2022 eine Anpassung anhand der Größe des Unternehmens stattzufinden. Aufgrund eines Unternehmensumsatzes wie dem der Beschwerdeführerin in Höhe von EUR 4.231.213,16 empfiehlt der EDSA die Berechnungen auf der Grundlage eines Betrags zwischen 0,3 und 2 % des ermittelten Ausgangsbetrags vorzunehmen. Diese Empfehlung orientiert sich an der Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen. Die EU-Empfehlung 2003/361/EG definiert Kleinst-, kleine und mittlere Unternehmen (KMU) über die Mitarbeiterzahl sowie den Jahresumsatz. Demnach soll ein Kleinstunternehmen nicht mehr als 10 Mitarbeiter und weniger als 2 Mio. Jahresumsatz haben, während ein kleines Unternehmen nicht mehr als 50 Mitarbeiter und nicht mehr als 10 Mio. Jahresumsatz hat. Unter Berücksichtigung der von der Beschwerdeführerin dargelegten „strukturellen Nähe zu einem „Kleinstunternehmen“ erscheint daher ein endgültiger Ausgangsbetrag in der Höhe von 0,7 % des vorläufigen Ausgangsbetrages, sohin ein Betrag von EUR 14.000 als angemessen. Da der Umsatz der Beschwerdeführerin zwischen EUR 2.000.000,00 und EUR 10.000.000,00 liegt, hat nach den Leitlinien EDSA 04 aus 2022, eine Anpassung anhand der Größe des Unternehmens stattzufinden. Aufgrund eines Unternehmensumsatzes wie dem der Beschwerdeführerin in Höhe von EUR 4.231.213,16 empfiehlt der EDSA die Berechnungen auf der Grundlage eines Betrags zwischen 0,3 und 2 % des ermittelten Ausgangsbetrags vorzunehmen. Diese Empfehlung orientiert sich an der Empfehlung der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen. Die EU-Empfehlung 2003/361/EG definiert Kleinst-, kleine und mittlere Unternehmen (KMU) über die Mitarbeiterzahl sowie den Jahresumsatz. Demnach soll ein Kleinstunternehmen nicht mehr als 10 Mitarbeiter und weniger als 2 Mio. Jahresumsatz haben, während ein kleines Unternehmen nicht mehr als 50 Mitarbeiter und nicht mehr als 10 Mio. Jahresumsatz hat. Unter Berücksichtigung der von der Beschwerdeführerin dargelegten „strukturellen Nähe zu einem „Kleinstunternehmen“ erscheint daher ein endgültiger Ausgangsbetrag in der Höhe von 0,7 % des vorläufigen Ausgangsbetrages, sohin ein Betrag von EUR 14.000 als angemessen.
5. Mildernd berücksichtigte die belangte Behörde das Nichtvorliegen früherer Verstöße bei der belangten Behörde gegen die DSGVO und die Mitwirkung der Beschwerdeführerin im gegenständlichen Ermittlungsverfahren vor der Datenschutzbehörde. Insofern ist zwar klarzustellen, dass bereits Art 31 DSGVO eine generelle Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde vorsieht, bei deren Missachtung diese sogar eine Geldbuße verhängen kann (Art 83 Abs 4 lit a), sodass auch entsprechend den Leitlinien 04/2022, Rn 96, eine entsprechende Strafmilderung nach Art 83 Abs 2 lit f nur in Betracht kommt, wenn eine Kooperation über dieses gesetzliche Ausmaß hinaus erfolgt ist (s. Illibauer in Knyrim, DatKomm Art 83 DSGVO (Stand 1.10.2025, rdb.at), Rz 80/1 mwN). Im konkreten Fall ist der Beschwerdeführerin aber zumindest zuzugestehen, dass sie im Rahmen ihrer Rechtfertigung vor der belangten Behörde von sich aus eine weitere Audioaufzeichnung eines Bewerbungsgesprächs vorgelegt hat, sodass der Milderungsgrund hier zum Tragen kommt.5. Mildernd berücksichtigte die belangte Behörde das Nichtvorliegen früherer Verstöße bei der belangten Behörde gegen die DSGVO und die Mitwirkung der Beschwerdeführerin im gegenständlichen Ermittlungsverfahren vor der Datenschutzbehörde. Insofern ist zwar klarzustellen, dass bereits Artikel 31, DSGVO eine generelle Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde vorsieht, bei deren Missachtung diese sogar eine Geldbuße verhängen kann (Artikel 83, Absatz 4, Litera a,), sodass auch entsprechend den Leitlinien 04 aus 2022,, Rn 96, eine entsprechende Strafmilderung nach Artikel 83, Absatz 2, Litera f, nur in Betracht kommt, wenn eine Kooperation über dieses gesetzliche Ausmaß hinaus erfolgt ist (s. Illibauer in Knyrim, DatKomm Artikel 83, DSGVO (Stand 1.10.2025, rdb.at), Rz 80/1 mwN). Im konkreten Fall ist der Beschwerdeführerin aber zumindest zuzugestehen, dass sie im Rahmen ihrer Rechtfertigung vor der belangten Behörde von sich aus eine weitere Audioaufzeichnung eines Bewerbungsgesprächs vorgelegt hat, sodass der Milderungsgrund hier zum Tragen kommt.
Weiters mildernd zu berücksichtigen ist der Umstand, dass die Beschwerdeführerin die Datenverarbeitung nach Einlangen der Aufforderung zur Rechtfertigung sofort einstellte und sich somit einsichtig zeigte (Art 83 Abs 2 lit k). Weiters mildernd zu berücksichtigen ist der Umstand, dass die Beschwerdeführerin die Datenverarbeitung nach Einlangen der Aufforderung zur Rechtfertigung sofort einstellte und sich somit einsichtig zeigte (Artikel 83, Absatz 2, Litera k,).
Anhaltspunkte dahingehend, dass sich die Beschwerdeführerin mit der Rechtmäßigkeit der vorliegenden Datenverarbeitung und ihrer in diesem Zusammenhang erforderlichen Informationspflicht im Vorfeld datenschutzrechtlich intensiv befasst habe, sind nicht hervorgekommen und wurde dies von der Beschwerdeführerin im Übrigen auch nicht behauptet. Dass die Beschwerdeführerin die vorliegende Rechtswidrigkeit an sich und zwar (ohne nennenswerte Auseinandersetzung) als unrichtig eingestuft habe, vermag jedenfalls – entgegen ihrem Vorbringen – keinen Milderungsgrund aufzuzeigen.
Sofern die Beschwerdeführerin in diesem Zusammenhang ihre allgemeinen datenschutzrechtlichen Bemühungen hervorhebt, ist anzuerkennen, dass sich die Beschwerdeführerin – wie festgestellt – mit dem Thema Datenschutz in ihrem Unternehmen bereits im Vorfeld auseinandergesetzt und dementsprechend auch Maßnahmen zur Gewährleistung der Datensicherheit gesetzt hat.
Nach Art. 83 Abs. 2 lit. d DSGVO ist bei der Strafbemessung der Grad der Verantwortlichkeit des Verantwortlichen unter Berücksichtigung der gemäß den Art. 25 und 32 getroffenen technischen und organisatorischen Maßnahmen zu berücksichtigten. Aus Art. 25 DSGVO ergeben sich Vorgaben für die vom Verantwortlichen zu treffenden technischen und organisatorischen Maßnahmen, wie zB. die Pseudonymisierung. Art. 32 DSGVO bezieht sich auf die Sicherheit der Verarbeitung durch technische und organisatorische Maßnahmen.Nach Artikel 83, Absatz 2, Litera d, DSGVO ist bei der Strafbemessung der Grad der Verantwortlichkeit des Verantwortlichen unter Berücksichtigung der gemäß den Artikel 25 und 32 getroffenen technischen und organisatorischen Maßnahmen zu berücksichtigten. Aus Artikel 25, DSGVO ergeben sich Vorgaben für die vom Verantwortlichen zu treffenden technischen und organisatorischen Maßnahmen, wie zB. die Pseudonymisierung. Artikel 32, DSGVO bezieht sich auf die Sicherheit der Verarbeitung durch technische und organisatorische Maßnahmen.
Da die Missachtung der in Art 25 und 32 DSGVO normierten Pflichten eigens eine Geldbuße nach Art 83 Abs. 4 lit. a DSGVO nach sich ziehen kann, ist jedoch auch hier – wie in den Leitlinien 04/22 ebenso ausgeführt – eine entsprechende Strafmilderung nach Art 83 Abs. 2 lit d DGVO nur unter außergewöhnlichen Umständen, in denen der Verantwortliche oder der Auftragsverarbeiter über die ihm auferlegten Verpflichtungen hinausgegangen ist, als mildernder Umstand zu werten. Solche außergewöhnlichen Umstände wurden von der Beschwerdeführerin jedoch nicht dargetan, weshalb ein derartiger Milderungsgrund auch nicht in Betracht zu ziehen war. Da die Missachtung der in Artikel 25 und 32 DSGVO normierten Pflichten eigens eine Geldbuße nach Artikel 83, Absatz 4, Litera a, DSGVO nach sich ziehen kann, ist jedoch auch hier – wie in den Leitlinien 04/22 ebenso ausgeführt – eine entsprechende Strafmilderung nach Artikel 83, Absatz 2, Litera d, DGVO nur unter außergewöhnlichen Umständen, in denen der Verantwortliche oder der Auftragsverarbeiter über die ihm auferlegten Verpflichtungen hinausgegangen ist, als mildernder Umstand zu werten. Solche außergewöhnlichen Umstände wurden von der Beschwerdeführerin jedoch nicht dargetan, weshalb ein derartiger Milderungsgrund auch nicht in Betracht zu ziehen war.
Weitere Milderungsgründe sind aus Sicht des Bundesverwaltungsgerichts nicht erkennbar und wurden solche von der Beschwerdeführerin auch nicht dargelegt. Ebenso wenig können die diesbezüglichen Ausführungen der Beschwerdeführerin, es sei zu überhaupt keinem Schaden gekommen, vor dem Hintergrund, dass es im vorliegenden Fall unbestritten zu Datenverarbeitungen gekommen ist, nicht nachvollzogen und damit auch nicht mildernd berücksichtigt werden, zumal im Hinblick auf den Kontrollverlust der Betroffenen über ihre personenbezogenen Daten sehr wohl ein (immaterieller) Schaden eingetreten ist. Neutral (weder als mildernd noch erschwerend) zu bewerten ist, dass die Beschwerdeführerin keine (feststellbaren) Vorteile aus der Rechtsverletzung gezogen hat (s. Leitlinien EDSA 04/2022, Rn. 110, betreffend erlangte wirtschaftliche Vorteile und ihre erschwerende Berücksichtigung im Rahmen des Art 83 Abs 2 lit k).Weitere Milderungsgründe sind aus Sicht des Bundesverwaltungsgerichts nicht erkennbar und wurden solche von der Beschwerdeführerin auch nicht dargelegt. Ebenso wenig können die diesbezüglichen Ausführungen der Beschwerdeführerin, es sei zu überhaupt keinem Schaden gekommen, vor dem Hintergrund, dass es im vorliegenden Fall unbestritten zu Datenverarbeitungen gekommen ist, nicht nachvollzogen und damit auch nicht mildernd berücksichtigt werden, zumal im Hinblick auf den Kontrollverlust der Betroffenen über ihre personenbezogenen Daten sehr wohl ein (immaterieller) Schaden eingetreten ist. Neutral (weder als mildernd noch erschwerend) zu bewerten ist, dass die Beschwerdeführerin keine (feststellbaren) Vorteile aus der Rechtsverletzung gezogen hat (s. Leitlinien EDSA 04 aus 2022,, Rn. 110, betreffend erlangte wirtschaftliche Vorteile und ihre erschwerende Berücksichtigung im Rahmen des Artikel 83, Absatz 2, Litera k,).
Es bestehen daher von Seiten des erkennenden Senats keine Gründe, zusätzliche Milderungsgründe heranzuziehen. Die belangte Behörde hat es aber verabsäumt, die Begehung mehrerer strafbarer Handlungen als erschwerendes Kriterium bei der Strafbemessung zu berücksichtigen (vgl. dazu Lewisch in Lewisch/Fister/Weilguni, VStG2 § 19 Rz 11 [Stand 1.5.2017, rdb.at]), zumal der Beschwerdeführerin hier zwei Verstöße gegen datenschutzrechtliche Bestimmungen angelastet wurden (unrechtmäßige Aufzeichnung/Speicherung sowie unterlassene Information der Betroffenen). Es bestehen daher von Seiten des erkennenden Senats keine Gründe, zusätzliche Milderungsgründe heranzuziehen. Die belangte Behörde hat es aber verabsäumt, die Begehung mehrerer strafbarer Handlungen als erschwerendes Kriterium bei der Strafbemessung zu berücksichtigen vergleiche dazu Lewisch in Lewisch/Fister/Weilguni, VStG2 Paragraph 19, Rz 11 [Stand 1.5.2017, rdb.at]), zumal der Beschwerdeführerin hier zwei Verstöße gegen datenschutzrechtliche Bestimmungen angelastet wurden (unrechtmäßige Aufzeichnung/Speicherung sowie unterlassene Information der Betroffenen).
Auch die von der belangten Behörde im Zuge der Strafbemessung erfolgte Bedachtnahme auf Aspekte der Generalprävention stößt im vorliegenden Fall auf keine Bedenken. Wie den Erläuterungen zur DSGVO zu entnehmen ist, soll durch die DSGVO ein unionswirksamer Schutz personenbezogener Daten sichergestellt werden und bedarf es dafür der Stärkung und präzisen Festlegung der Rechte der betroffenen Personen sowie einer Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten (siehe Erwägungsgrund 11). Im Interesse einer konsequenteren Durchsetzung der Vorschriften dieser Verordnung sollen bei Verstößen gegen diese Verordnung auch Geldbußen verhängt werden (Erwägungsgrund 148) und sollen diese Geldbußen u.a. den verwaltungsrechtlichen Sanktionen mehr Wirkung verleihen (Erwägungsgrund 150).
Vor diesem Hintergrund kann es der belangten Behörde daher nicht entgegengetreten werden, wenn sie die vorliegende Geldbuße auch als Mittel zur Bekräftigung des Geltungsanspruches der DSGVO und zwar sowohl unter dem Gesichtspunkt der Aufrechterhaltung des Vertrauens der Bevölkerung auf die Durchsetzung des Datenschutzrechtes, als auch zur Erhaltung und Stärkung der Normentreue in Ansehung potentieller „Täter“ in ähnlicher Lage gewertet und dementsprechend als erschwerend berücksichtigt hat.
Schließlich darf im vorliegenden Fall – wie oben bereits dargelegt – auch nicht unberücksichtigt bleiben, dass die Beschwerdeführerin zweifach gegen die DSGVO verstoßen hat.
Unter Berücksichtigung dieser Erwägungen war der Ausgangsbetrag entsprechend anzupassen, sodass eine Geldbuße in Höhe von EUR 22.000 EUR schuld- und tatangemessen scheint. Der Beschwerde war daher im genannten Umfang stattzugeben und die Geldbuße auf EUR 22.000 herabzusetzen.
Gemäß § 64 Abs. 1 VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß § 64 Abs. 2 VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10 % der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf 2.200 Euro zu reduzieren.Gemäß Paragraph 64, Absatz eins, VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß Paragraph 64, Absatz 2, VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10 % der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf 2.200 Euro zu reduzieren.
Da damit der Beschwerde teilweise Folge gegeben wurde, waren der Beschwerdeführerin keine Kosten des Beschwerdeverfahrens aufzuerlegen (§ 52 Abs. 1 und Abs. 2 VwGVG). Da damit der Beschwerde teilweise Folge gegeben wurde, waren der Beschwerdeführerin keine Kosten des Beschwerdeverfahrens aufzuerlegen (Paragraph 52, Absatz eins und Absatz 2, VwGVG).
Diese Entscheidung konnte gemäß § 44 Abs. 3 Z. 2 VwGVG ohne Durchführung einer mündlichen Verhandlung getroffen werden, da sich die Beschwerde – wie oben ausgeführt – nur gegen die Höhe der Strafe richtet und die Durchführung einer mündlichen Verhandlung im Übrigen auch von keiner Partei des Verfahrens beantragt bzw. darauf von Seiten der Beschwerdeführerin sogar ausdrücklich verzichtet wurde.Diese Entscheidung konnte gemäß Paragraph 44, Absatz 3, Ziffer 2, VwGVG ohne Durchführung einer mündlichen Verhandlung getroffen werden, da sich die Beschwerde – wie oben ausgeführt – nur gegen die Höhe der Strafe richtet und die Durchführung einer mündlichen Verhandlung im Übrigen auch von keiner Partei des Verfahrens beantragt bzw. darauf von Seiten der Beschwerdeführerin sogar ausdrücklich verzichtet wurde.
Es war daher spruchgemäß zu entscheiden.
Zahlungsinformation
Sie haben den Gesamtbetrag von EUR 24.200,- (Strafe, Kosten des verwaltungsbehördlichen Verfahrens, Kosten des verwaltungsgerichtlichen Verfahrens) binnen zwei Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben werden wird.
zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Artikel 133, Absatz 4, B-VG nicht zulässig ist.
Schlagworte
Bewerbung Datenschutz Datenschutzbehörde Datenspeicherung Datenverarbeitung Erschwerungsgrund Geldstrafe Generalprävention Herabsetzung Kostenbeitrag Milderungsgründe personenbezogene Daten Strafbemessung Straferkenntnis Strafhöhe Telefongespräch Tonaufnahme Verfahrensgegenstand VerfahrenskostenEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W256.2337399.1.00Im RIS seit
14.09.2026Zuletzt aktualisiert am
14.09.2026
