Entscheidungsdatum
30.07.2026Norm
B-VG Art133 Abs4Spruch
,
W254 2342303 – 1/4E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende und die fachkundigen Laienrichter Mag.a Viktoria HAIDINGER, LL.M. und Mag. Thomas GSCHAAR über die Beschwerde der XXXX , vertreten durch RA MMag. Michael KRENN, 1070 Wien gegen den Bescheid der Datenschutzbehörde vom 17.03.2026, GZ: XXXX in nicht öffentlicher Sitzung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende und die fachkundigen Laienrichter Mag.a Viktoria HAIDINGER, LL.M. und Mag. Thomas GSCHAAR über die Beschwerde der römisch 40 , vertreten durch RA MMag. Michael KRENN, 1070 Wien gegen den Bescheid der Datenschutzbehörde vom 17.03.2026, GZ: römisch 40 in nicht öffentlicher Sitzung zu Recht erkannt:
A)
I. Der Beschwerde wird hinsichtlich des Ausspruchs über die verhängte Strafe stattgegeben und die verhängte Geldstrafe auf gesamt EUR 12.000,-- reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß § 64 VStG auf EUR 1.200,--.römisch eins. Der Beschwerde wird hinsichtlich des Ausspruchs über die verhängte Strafe stattgegeben und die verhängte Geldstrafe auf gesamt EUR 12.000,-- reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß Paragraph 64, VStG auf EUR 1.200,--.
II. Die Beschwerdeführerin hat gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.römisch zwei. Die Beschwerdeführerin hat gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Mit verfahrensgegenständlichem Bescheid sprach die Datenschutzbehörde (idF „belangte Behörde“) ein Straferkenntnis über die Beschwerdeführerin (idF „BF“) aus, da diese zumindest vom 25.05.2018 bis zum 12.01.2026 Rechnungen von mind. 75 Kund:innen, welche unter anderem Vor- und Nachname, Adresse, Kundennummer sowie bestellte Artikel enthielten, ungeschützt und öffentlich zugänglich am Webserver abgespeichert habe, wodurch die Rechnungen von der Google-Suchmaschine indiziert werden konnten. Dadurch seien die Rechnungen über eine einfache Google-Suche der betroffenen Personen abrufbar gewesen. Zudem sei im Tatzeitraum eine Excel-Tabelle öffentlich abrufbar gewesen, die Vor- und Nachname sowie E-Mail-Adressen von ca. 580 Kund:innen enthalten habe. 1. Mit verfahrensgegenständlichem Bescheid sprach die Datenschutzbehörde in der Fassung „belangte Behörde“) ein Straferkenntnis über die Beschwerdeführerin in der Fassung „BF“) aus, da diese zumindest vom 25.05.2018 bis zum 12.01.2026 Rechnungen von mind. 75 Kund:innen, welche unter anderem Vor- und Nachname, Adresse, Kundennummer sowie bestellte Artikel enthielten, ungeschützt und öffentlich zugänglich am Webserver abgespeichert habe, wodurch die Rechnungen von der Google-Suchmaschine indiziert werden konnten. Dadurch seien die Rechnungen über eine einfache Google-Suche der betroffenen Personen abrufbar gewesen. Zudem sei im Tatzeitraum eine Excel-Tabelle öffentlich abrufbar gewesen, die Vor- und Nachname sowie E-Mail-Adressen von ca. 580 Kund:innen enthalten habe.
Die belangte Behörde verhängte eine Strafe iHv. EUR 16.800,-- und setzte einen Kostenbeitrag zum Verfahren nach § 64 VStG iHv. EUR 1.680,-- fest, wodurch die BF zu einem zu zahlenden Gesamtbetrag von EUR 18.480,-- verhalten wurde. Die belangte Behörde verhängte eine Strafe iHv. EUR 16.800,-- und setzte einen Kostenbeitrag zum Verfahren nach Paragraph 64, VStG iHv. EUR 1.680,-- fest, wodurch die BF zu einem zu zahlenden Gesamtbetrag von EUR 18.480,-- verhalten wurde.
Begründend führte die belangte Behörde aus, dass die BF gegen den Grundsatz der Integrität und Vertraulichkeit iSd. Art. 5 Abs. 1 lit. f DSGVO und – wegen der Abrufbarkeit von Rechnungen, für die kein Verarbeitungsgrund iSd. Art. 6 DSGVO mehr vorgelegen habe – gegen die Grundsätze der Rechtsmäßigkeit nach Art. 5 Abs. 1 lit. a DSGVO, der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO und der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verstoßen habe. Begründend führte die belangte Behörde aus, dass die BF gegen den Grundsatz der Integrität und Vertraulichkeit iSd. Artikel 5, Absatz eins, Litera f, DSGVO und – wegen der Abrufbarkeit von Rechnungen, für die kein Verarbeitungsgrund iSd. Artikel 6, DSGVO mehr vorgelegen habe – gegen die Grundsätze der Rechtsmäßigkeit nach Artikel 5, Absatz eins, Litera a, DSGVO, der Zweckbindung nach Artikel 5, Absatz eins, Litera b, DSGVO und der Speicherbegrenzung nach Artikel 5, Absatz eins, Litera e, DSGVO verstoßen habe.
Da sich die BF hinsichtlich der Serverstruktur ausschließlich auf externe IT-Unternehmen verlassen habe und sich zu Beginn des Verfahrens mit dem Zustand der (potentiellen) Datenschutzverletzung abgefunden habe und nicht umgehend Maßnahmen zur Datensicherung einleitete, erachtet die belangte Behörde auch die subjektive Tatseite durch Fahrlässigkeit bzw. bedingten Vorsatz als erfüllt.
2. Mit Bescheidbeschwerde vom 15.04.2026, eingelangt mit 24.04.2026, bekämpfte die rechtsfreundlich vertretene BF die Strafhöhe des verfahrensgegenständlichen Bescheids und führte zusammengefasst aus, dass bei der Strafzumessung lediglich von einer geringen Schwere des Verstoßes auszugehen gewesen sei und anhand des ermittelten Ausgangsbetrages eine unrichtige prozentuelle Bemessung vorgenommen worden sei.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Das Straferkenntnis wurde dem Beschwerdeführer am 19.03.2026 zugestellt. Die Beschwerde wurde am 16.06.2026 bei der Post aufgegeben.
1.2. Bei der BF handelt es sich um eine Gesellschaft mit beschränkter Haftung mit der Firmenbuchnummer XXXX , die ihren Sitz in Österreich hat und im Glasereigewerbe tätig ist. Sie verarbeitet Daten Dritter unter anderem in Zusammenhang mit Produktbestellungen und der daraus resultierenden Rechnungserstellung sowie zur Erfüllung steuerrechtlicher Vorschriften. 1.2. Bei der BF handelt es sich um eine Gesellschaft mit beschränkter Haftung mit der Firmenbuchnummer römisch 40 , die ihren Sitz in Österreich hat und im Glasereigewerbe tätig ist. Sie verarbeitet Daten Dritter unter anderem in Zusammenhang mit Produktbestellungen und der daraus resultierenden Rechnungserstellung sowie zur Erfüllung steuerrechtlicher Vorschriften.
Die BF erwirtschaftete im Geschäftsjahr 01.04.2024 – 31.03.2025 einen Bilanzgewinn von EUR 401.516,23.
Mit E-Mail vom 16.07.2025 wandte sich eine ehemalige Kundin der BF an diese und ersuchte um Löschung personenbezogener Daten, die im Internet öffentlich abrufbar seien. Nach einem Verweis der BF auf Google als zuständigen Ansprechpartner leitete die Kundin ein Beschwerdeverfahren bei der belangten Behörde ein, in welchem in weiterer Folge der nunmehr relevante Sachverhalt ermittelt wurde.
1.2. Zur objektiven Tatseite:
1.2.1. Im Jahr 2015 wurde von einem – heute nicht mehr bestehenden – Drittanbieter der Online-Shop der BF XXXX entwickelt und eingerichtet, über den diverse Glasprodukte bestellt werden konnten. Der Drittanbieter übernahm in diesem Zusammenhang die Einrichtung der Serverstruktur sowie wesentliche technische Konfigurationen des Systems. 1.2.1. Im Jahr 2015 wurde von einem – heute nicht mehr bestehenden – Drittanbieter der Online-Shop der BF römisch 40 entwickelt und eingerichtet, über den diverse Glasprodukte bestellt werden konnten. Der Drittanbieter übernahm in diesem Zusammenhang die Einrichtung der Serverstruktur sowie wesentliche technische Konfigurationen des Systems.
Die BF beauftragte ein externes IT-Unternehmen mit der laufenden Wartung des Onlineshops und verließ sich dabei auf eine fachgerechte Umsetzung. Der (zum Entscheidungszeitpunkt nicht abrufbare) Onlineshop basierte auf einem geschlossenen Content-Management-System zur Verwaltung von Bestellungen und Rechnungen. Im Laufe der vergangenen Jahre wurden regelmäßig Sicherheitsmaßnahmen umgesetzt.
Die BF ist Inhaberin des Webservers mit der IP-Adresse XXXX , auf diesem speicherte sie seit 2016 diverse Rechnungen zu Käufen vor Ort, wie auch Bestellungen aus dem Online-Shop oder über Drittanbieter.Die BF ist Inhaberin des Webservers mit der IP-Adresse römisch 40 , auf diesem speicherte sie seit 2016 diverse Rechnungen zu Käufen vor Ort, wie auch Bestellungen aus dem Online-Shop oder über Drittanbieter.
1.2.2. Seit einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls seit dem 25.05.2018 bis zum 12.01.2026 (Tatzeitraum) wurden Rechnungen von zumindest 75 Kund:innen der Beschuldigten (idF. „Betroffene“) welche unter anderem Vor- und Nachname, Adresse, Kundennummer sowie bestellte Artikel enthielten und teilweise aus dem Jahr 2016 stammen, ungeschützt öffentlich am Webserver gespeichert, wodurch die entsprechenden Rechnungen von der Google-Suchmaschine indiziert werden konnten. Dadurch waren die Rechnungen über eine einfache Google-Suche nach einer betroffenen Person direkt abrufbar bzw. waren über den Google-Suchbefehl XXXX alle Rechnungen für jedermann direkt abrufbar und sohin für einen unbegrenzten Personenkreis sichtbar.1.2.2. Seit einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls seit dem 25.05.2018 bis zum 12.01.2026 (Tatzeitraum) wurden Rechnungen von zumindest 75 Kund:innen der Beschuldigten in der Fassung „Betroffene“) welche unter anderem Vor- und Nachname, Adresse, Kundennummer sowie bestellte Artikel enthielten und teilweise aus dem Jahr 2016 stammen, ungeschützt öffentlich am Webserver gespeichert, wodurch die entsprechenden Rechnungen von der Google-Suchmaschine indiziert werden konnten. Dadurch waren die Rechnungen über eine einfache Google-Suche nach einer betroffenen Person direkt abrufbar bzw. waren über den Google-Suchbefehl römisch 40 alle Rechnungen für jedermann direkt abrufbar und sohin für einen unbegrenzten Personenkreis sichtbar.
Zudem war im Tatzeitraum unter dem Link XXXX eine Excel-Tabelle, welche Vor- und Nachnamen sowie E-Mail-Adressen von ca. 580 Betroffenen enthielt, ungeschützt öffentlich abrufbar.Zudem war im Tatzeitraum unter dem Link römisch 40 eine Excel-Tabelle, welche Vor- und Nachnamen sowie E-Mail-Adressen von ca. 580 Betroffenen enthielt, ungeschützt öffentlich abrufbar.
1.2.3. Mit Eingabe vom 12.01.2026 gab die BF der belangten Behörde gegenüber bekannt, dass sie den Konfigurationsfehler behoben hat und weitere Zugriffe dieser Art nunmehr technisch ausgeschlossen seien. In weiterer Folge wurde das Beschwerdeverfahren der betroffenen Kundin mit Erledigung vom 16.02.2026, GZ: XXXX eingestellt.1.2.3. Mit Eingabe vom 12.01.2026 gab die BF der belangten Behörde gegenüber bekannt, dass sie den Konfigurationsfehler behoben hat und weitere Zugriffe dieser Art nunmehr technisch ausgeschlossen seien. In weiterer Folge wurde das Beschwerdeverfahren der betroffenen Kundin mit Erledigung vom 16.02.2026, GZ: römisch 40 eingestellt.
1.3. Zur subjektiven Tatseite
1.3.1. Die BF wurde – trotz des Umstandes, dass ihr Online-Shop laufend durch ein IT-Unternehmen betreut, serviciert und aktualisiert wurde – spätestens mit dem Einschreiten der betroffenen Kundin am 16.07.2025 (siehe Punkt II.1.1.) mit dem Vorwurf konfrontiert, personenbezogene Daten unrechtmäßig zu verarbeiten und online öffentlich zugänglich zu machen. 1.3.1. Die BF wurde – trotz des Umstandes, dass ihr Online-Shop laufend durch ein IT-Unternehmen betreut, serviciert und aktualisiert wurde – spätestens mit dem Einschreiten der betroffenen Kundin am 16.07.2025 (siehe Punkt römisch zwei.1.1.) mit dem Vorwurf konfrontiert, personenbezogene Daten unrechtmäßig zu verarbeiten und online öffentlich zugänglich zu machen.
Mit Schreiben derselben Kundin vom 04.09.2025 wurde nochmals auf die behauptete unzulässige Datenverarbeitung hingewiesen und wurde die Erhebung rechtlicher Schritte angedroht.
Mit Schreiben vom 05.09.2025 wurde die Kundin „nach Rücksprache mit der IT-Firma“ an Google verwiesen, da von dort aus ein Zugriff auf die Daten erfolgt sei und nur die betroffene Kundin selbst eine Löschung bei Google erwirken könne. Gleiches teilte die BF mit Schreiben vom 05.11.2025 der belangten Behörde im Rahmen des Beschwerdeverfahrens mit. Wiederholt wurde festgehalten, dass die BF keinen Einfluss auf die Veröffentlichung oder Entfernung der verfahrensgegenständlichen Inhalte habe. Die öffentlichen Anzeigen von Inhalten der Google-Suche liege nicht in der „technischen oder rechtlichen Verfügungsmacht“ der BF.
Erst nach wiederholter Stellungnahme der betroffenen Kundin im verwaltungsbehördlichen Verfahren vom 25.11.2025, in welcher diese auch Screenshots zur Kontaktaufnahme mit Google vorlegte, führte die BF mit Schreiben vom 10.12.2025 aus, dass erfolglos versucht worden sei, die betreffende URL zu entfernen und bereits ein externes Unternehmen beauftragt worden sei, die Situation fachgerecht zu analysieren, um entsprechende Maßnahmen zu ergreifen.
Mit Schreiben der belangten Behörde vom 12.12.2025 führte diese aus, dass der Server der BF offenbar falsch konfiguriert sei, unterbreitete der BF schließlich Handlungsvorschläge und räumte eine Frist zur Behebung der Mängel von drei Wochen ein. Schließlich wurde die belangte Behörde mit Schreiben vom 12.01.2026 darüber informiert, dass die Fehlerquellen behoben worden seien.
1.3.2. Vom Zeitpunkt der erstmaligen Behauptung des Problems (16.07.2025) bis zum Schreiben zur finalen Beseitigung der Fehlerquellen (12.01.2026) ist sohin ein knappes halbes Jahr vergangen.
1.3.3. Die BF ist dem behaupteten Datenverstoß nicht nachgegangen, wobei erst nach einigen Monaten sowie der Einleitung eines Verfahrens durch die belangte Behörde ein externes IT-Unternehmen beauftragt wurde, die Fehlerquelle für die Datenschutzverstöße ausfindig zu machen. Die BF nahm (zumindest anfangs) schlichtweg an, dass das Problem bei Google liegen müsse, sie keinen Einfluss darauf nehmen könne und unternahm keine Maßnahmen zur Aufklärung oder Beendigung der Datenschutzverstöße. Die BF hat keine Recherchen dahingehend unternommen, wie weitreichend die unbemerkte Veröffentlichung interner (Rechnungs-)Dokumente ist.
Die BF hat die Verletzung der datenschutzrechtlichen Interessen der Betroffenen durch fehlerhafte Serverstruktur fahrlässig hingenommen und trotz stichhaltiger Anhaltspunkte keine umgehenden und konkreten Schritte zur Beendigung der ungewollten Veröffentlichung personenbezogener Daten in Form von Rechnungen und Adressdaten gesetzt.
Die BF handelte sohin bis zur Kontaktaufnahme durch die ehemalige Kundin fahrlässig und ab diesem Zeitpunkt bedingt vorsätzlich.
2. Beweiswürdigung:
2.1. Die Feststellungen zu Punkt II.1.1. basieren auf den im Verwaltungsakt einliegenden Rückschein bzw. dem Poststempel am Briefkuvert der Beschwerde.2.1. Die Feststellungen zu Punkt römisch zwei.1.1. basieren auf den im Verwaltungsakt einliegenden Rückschein bzw. dem Poststempel am Briefkuvert der Beschwerde.
Die Feststellungen zu Punkt II.1.2. basieren auf dem dem erkennenden Gericht vorliegenden Verwaltungsakt, dem entsprechende Dokumente wie Firmenbuchauszug, Jahresabschluss sowie Dokumente zum Gang des verwaltungsbehördlichen Verfahrens einliegen. Die Behörde führt im Rahmen des Bescheids zwar aus, dass sie den tatsächlichen Umsatz schätzen musste, da die BF nur unrealistische Angaben machte und der (gesamte) Umsatz der BF aus den Jahresabschlüssen nicht direkt herausgelesen werden könne, allerdings ist der festgestellte Betrag (Bilanzgewinn) korrekt und erscheint die daraus folgende Einordnung der BF in die Gruppe von Unternehmen mit einem Umsatz von bis zu EUR 2 Mio. nachvollziehbar. Die Feststellungen zu Punkt römisch zwei.1.2. basieren auf dem dem erkennenden Gericht vorliegenden Verwaltungsakt, dem entsprechende Dokumente wie Firmenbuchauszug, Jahresabschluss sowie Dokumente zum Gang des verwaltungsbehördlichen Verfahrens einliegen. Die Behörde führt im Rahmen des Bescheids zwar aus, dass sie den tatsächlichen Umsatz schätzen musste, da die BF nur unrealistische Angaben machte und der (gesamte) Umsatz der BF aus den Jahresabschlüssen nicht direkt herausgelesen werden könne, allerdings ist der festgestellte Betrag (Bilanzgewinn) korrekt und erscheint die daraus folgende Einordnung der BF in die Gruppe von Unternehmen mit einem Umsatz von bis zu EUR 2 Mio. nachvollziehbar.
2.2. Die Feststellungen zur objektiven Tatseite (Punkt II.1.3.) basieren wiederum auf dem dem Gericht vorliegenden Gang des Verfahrens vor der Behörde. Diesem liegen die Darstellungen der BF sowohl im zu Grunde liegenden Beschwerdeverfahren als auch im gegenständlichen Verwaltungsstrafverfahren ein. Die Einrichtung des Online-Shops durch Drittanbieter, die Servicierung dessen durch ein externes IT-Unternehmen sowie die Beauftragung eines externen Unternehmens zur Lokalisierung der verfahrensauslösenden Fehlerquelle wurden von der BF so behauptet, von der belangten Behörde entsprechend gewürdigt und festgestellt und sind auch unstrittig. Auch im Zuge der Bescheidbeschwerde wurde mit Blick auf den Sachverhalt nichts vorgebracht, das an den getroffenen Feststellungen etwas ändern würde. 2.2. Die Feststellungen zur objektiven Tatseite (Punkt römisch zwei.1.3.) basieren wiederum auf dem dem Gericht vorliegenden Gang des Verfahrens vor der Behörde. Diesem liegen die Darstellungen der BF sowohl im zu Grunde liegenden Beschwerdeverfahren als auch im gegenständlichen Verwaltungsstrafverfahren ein. Die Einrichtung des Online-Shops durch Drittanbieter, die Servicierung dessen durch ein externes IT-Unternehmen sowie die Beauftragung eines externen Unternehmens zur Lokalisierung der verfahrensauslösenden Fehlerquelle wurden von der BF so behauptet, von der belangten Behörde entsprechend gewürdigt und festgestellt und sind auch unstrittig. Auch im Zuge der Bescheidbeschwerde wurde mit Blick auf den Sachverhalt nichts vorgebracht, das an den getroffenen Feststellungen etwas ändern würde.
Dass der BF die festgestellte IP zuzurechnen ist, der Tatzeitraum, die Anzahl an Betroffenen und, dass sowohl einzelne Rechnungen Betroffener, als auch eine Liste mit Kontaktdaten von ca. 580 Betroffener online abrufbar waren ergibt sich abermals aus dem – von der BF zudem nicht weiter bestrittenen – behördlichen Verfahren und den konsequenter Weise getroffenen Feststellungen der belangten Behörde.
2.3. Ebenso ergibt sich die Feststellung zur Behebung des Problems aus dem vorliegenden Verfahrensakt, dem die entsprechende Stellungnahme einliegt.
2.4. Die Feststellungen zur subjektiven Tatseite (Punkt II.1.4.) basieren auf der Korrespondenz der BF mit der belangten Behörde und der betroffenen Kundin, die das Beschwerdeverfahren einleitete. Diese ist Teil des behördlichen Aktes und wurde durch das Gericht Einsicht genommen. Daraus ergibt sich auch insbesondere die Dauer von der erstmaligen Kontaktaufnahme durch die betroffene Kundin mit der BF und der schlussendlich erfolgten Behebung des Problems durch ein externes IT- Unternehmen (Punkt II.1.3.2.).2.4. Die Feststellungen zur subjektiven Tatseite (Punkt römisch zwei.1.4.) basieren auf der Korrespondenz der BF mit der belangten Behörde und der betroffenen Kundin, die das Beschwerdeverfahren einleitete. Diese ist Teil des behördlichen Aktes und wurde durch das Gericht Einsicht genommen. Daraus ergibt sich auch insbesondere die Dauer von der erstmaligen Kontaktaufnahme durch die betroffene Kundin mit der BF und der schlussendlich erfolgten Behebung des Problems durch ein externes IT- Unternehmen (Punkt römisch zwei.1.3.2.).
2.5. Dass dem behaupteten Datenverstoß durch die BF nicht nachgegangen wurde, die BF davon ausging, dass das Problem durch Google als Suchmaschinen-Dienstleister zu beheben sei und auch keine Recherchen dahingehen unternommen wurden, ob ein Problem hinsichtlich des Datenschutzes vorliegt, ergeben sich aus dem – wiederum unwidersprochenen – Akteninhalt. Daraus sind die wiederholte Kontaktaufnahme durch die betroffene Kundin sowie der Verweis an Google ersichtlich. Aus den Stellungnahmen der BF gegenüber der belangten Behörde ist erkennbar, dass bis zumindest Dezember 2025 keine wesentlichen Bemühungen unternommen wurden, das Datenproblem fachgerecht zu analysieren und zu beheben. Dass die ungewollte Veröffentlichung der Rechnungen bzw. der Excel-Tabelle mit Kontaktdaten schlussendlich durch eine Umstrukturierung der Server durch ein beauftragtes IT-Unternehmen tatsächlich beendet werden konnte, spricht nach Ansicht des Gerichts umso mehr dafür, dass das Problem zumindest anfangs nicht ernst genommen und praktisch hingenommen wurde.
Schließlich ist mit Blick auf die subjektive Tatseite auch festzuhalten, dass das Straferkenntnis nur der Höhe, aber nicht dem Grunde nach bekämpft wurde. Der BF ist die Verletzung der datenschutzrechtlichen Interessen der Betroffenen somit offensichtlich bewusst und wird nicht in Abrede gestellt.
2.6. Dass die BF hinsichtlich der fehlerhaften Serverstruktur fahrlässig verhielt, ergibt sich nicht nur, aber insbesondere aus dem äußerst langen Tatzeitraum, in dem die Rechnungen öffentlich abrufbar waren. Das Gericht verkennt nicht, dass die BF selbst keine IT-Expertise hat und diesbezüglich auf externe Unternehmen angewiesen ist, es ist jedoch nicht nachvollziehbar, dass derartige Fehler unbemerkt bleiben. Selbst dann, wenn die Serverstruktur von externen IT-Unternehmen serviciert wird, ist nach Ansicht des erkennenden Gerichts ein Mindestmaß an Aufmerksamkeit – insbesondere im Bereich des Datenschutzes, der nicht zur alleinigen Kernkompetenz des externen IT-Unternehmens gehört – aufzubringen um den datenschutzrechtlichen Mindestanforderung iSd. Art. 5 und 6 DSGVO nachzukommen. Die für die Betreibung eines Online-Shops notwendige Sorgfalt wurde außer Acht gelassen, wobei der BF eine solche zumutbar war (vgl. Wessely in Raschauer/Wessely, VStG3 § 5 Rz 3 (Stand 1.1.2023, rdb.at)).2.6. Dass die BF hinsichtlich der fehlerhaften Serverstruktur fahrlässig verhielt, ergibt sich nicht nur, aber insbesondere aus dem äußerst langen Tatzeitraum, in dem die Rechnungen öffentlich abrufbar waren. Das Gericht verkennt nicht, dass die BF selbst keine IT-Expertise hat und diesbezüglich auf externe Unternehmen angewiesen ist, es ist jedoch nicht nachvollziehbar, dass derartige Fehler unbemerkt bleiben. Selbst dann, wenn die Serverstruktur von externen IT-Unternehmen serviciert wird, ist nach Ansicht des erkennenden Gerichts ein Mindestmaß an Aufmerksamkeit – insbesondere im Bereich des Datenschutzes, der nicht zur alleinigen Kernkompetenz des externen IT-Unternehmens gehört – aufzubringen um den datenschutzrechtlichen Mindestanforderung iSd. Artikel 5 und 6 DSGVO nachzukommen. Die für die Betreibung eines Online-Shops notwendige Sorgfalt wurde außer Acht gelassen, wobei der BF eine solche zumutbar war vergleiche Wessely in Raschauer/Wessely, VStG3 Paragraph 5, Rz 3 (Stand 1.1.2023, rdb.at)).
Die Feststellung zum bedingten Vorsatz der BF basiert auf dem Umstand, dass sie durch die Kontaktaufnahme durch die ehemalige Kundin erstmals konkret mit der fehlerhaften Serverstruktur konfrontiert wurde, sich allerdings weigerte, umgehende Abwehrmaßnahmen zu setzen bzw. den Behauptungen fundiert nachzugehen und allgemein auf Google als Ansprechpartner verwies. Es liegt damit die Wissenskomponente für bedingt vorsätzliches Handeln vor und fand sich die BF mit der Möglichkeit einer (weitreichenden) Datenschutzverletzung schlichtweg ab (vgl. Wessely in Raschauer/Wessely, VStG3 § 5 Rz 18 [Stand 1.1.2023, rdb.at]).Die Feststellung zum bedingten Vorsatz der BF basiert auf dem Umstand, dass sie durch die Kontaktaufnahme durch die ehemalige Kundin erstmals konkret mit der fehlerhaften Serverstruktur konfrontiert wurde, sich allerdings weigerte, umgehende Abwehrmaßnahmen zu setzen bzw. den Behauptungen fundiert nachzugehen und allgemein auf Google als Ansprechpartner verwies. Es liegt damit die Wissenskomponente für bedingt vorsätzliches Handeln vor und fand sich die BF mit der Möglichkeit einer (weitreichenden) Datenschutzverletzung schlichtweg ab vergleiche Wessely in Raschauer/Wessely, VStG3 Paragraph 5, Rz 18 [Stand 1.1.2023, rdb.at]).
3. Rechtliche Beurteilung:
3.1. Verfahrensgegenständlich wurde der BF mit Straferkenntnis die Zahlung eines Betrages iHv. EUR 16.800,-- zuzüglich eines Kostenbeitrages zum Verwaltungsverfahren iHv. EUR 1.680,-- aufgetragen. Begründet wurde dies im Wesentlichen mit der unbeabsichtigten, aber fahrlässig hingenommenen Veröffentlichung von Kundendaten im Internet.
Die gegenständliche Bescheidbeschwerde der BF richtet sich ausschließlich gegen die Höhe der Strafe. Sie bringt vor, dass unter korrekter Heranziehung der Leitlinien der EDSA zur Verhängung von Strafen von lediglich einer geringen Schwere des Verstoßes auszugehen gewesen sei und, dass anhand des festgelegten Ausgangsbetrages eine unrichtige Prozentbemessung vorgenommen worden sei.
3.2. Gem. Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen die DSGVO gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Geldbußen werden dabei je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art. 58 Abs. 2 lit. a – h und i DSGVO verhängt. Bei der Verhängung von Geldbußen werden – soweit verfahrensgegenständlich relevant – insbesondere die Art, Schwere und Dauer des Verstoßes, Vorsätzlichkeit oder Fahrlässigkeit, Ergreifung von Maßnahmen, Umfang der Zusammenarbeit mit der Aufsichtsbehörde, Kategorien personenbezogener Daten, die betroffen sind sowie die Art, wie der Verstoß der Aufsichtsbehörde bekannt wurde, berücksichtigt (vgl. Art. 83 Abs. 2 leg cit).3.2. Gem. Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen die DSGVO gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Geldbußen werden dabei je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58, Absatz 2, Litera a, – h und i DSGVO verhängt. Bei der Verhängung von Geldbußen werden – soweit verfahrensgegenständlich relevant – insbesondere die Art, Schwere und Dauer des Verstoßes, Vorsätzlichkeit oder Fahrlässigkeit, Ergreifung von Maßnahmen, Umfang der Zusammenarbeit mit der Aufsichtsbehörde, Kategorien personenbezogener Daten, die betroffen sind sowie die Art, wie der Verstoß der Aufsichtsbehörde bekannt wurde, berücksichtigt vergleiche Artikel 83, Absatz 2, leg cit).
Bei Verstößen gegen die Grundsätze für die Verarbeitung gem. Art. 5, 6, 7 und 9 DSGVO werden Geldbußen von bis zu EUR 20.000.000,-- oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist (vgl. Art. 83 Abs. 5 lit. a DSGVO).Bei Verstößen gegen die Grundsätze für die Verarbeitung gem. Artikel 5, 6, 7 und 9 DSGVO werden Geldbußen von bis zu EUR 20.000.000,-- oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist vergleiche Artikel 83, Absatz 5, Litera a, DSGVO).
3.3. Gem. § 5 Abs. 1 VStG genügt, wenn eine Verwaltungsvorschrift über das Verschulden nichts anderes bestimmt, zur Strafbarkeit fahrlässiges Verhalten. Gem. § 10 Abs. 1 VStG richten sich Strafart und Strafsatz nach den Verwaltungsvorschriften, soweit im VStG nicht anderes bestimmt ist. Grundlage für die Strafbemessung sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen. (vgl. § 19 VStG)3.3. Gem. Paragraph 5, Absatz eins, VStG genügt, wenn eine Verwaltungsvorschrift über das Verschulden nichts anderes bestimmt, zur Strafbarkeit fahrlässiges Verhalten. Gem. Paragraph 10, Absatz eins, VStG richten sich Strafart und Strafsatz nach den Verwaltungsvorschriften, soweit im VStG nicht anderes bestimmt ist. Grundlage für die Strafbemessung sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Im ordentlichen Verfahren (Paragraphen 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen. vergleiche Paragraph 19, VStG)
3.4. Zur Strafbemessung:
3.4.1. Die verfahrensgegenständliche Strafe wurde wegen einer Verwaltungsübertretung nach Art. 5 Abs. 1 lit. a, b, e und f sowie Art. 6 und Art. 32 iVm Art. 83 Abs. 5 lit. a DSGVO verhängt. 3.4.1. Die verfahrensgegenständliche Strafe wurde wegen einer Verwaltungsübertretung nach Artikel 5, Absatz eins, Litera a, b, e und f sowie Artikel 6 und Artikel 32, in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO verhängt.
Die belangte Behörde ordnete die BF zur Bestimmung einer angemessenen Geldbuße in die Kategorie „Unternehmen mit einem Umsatz von bis zu 2 Mio. EUR“ ein, berücksichtigte Art, Schwere und Dauer des Verstoßes sowie die Anzahl der Betroffenen, ging von teils bedingtem Vorsatz sowie teils fahrlässigem Verhalten der BF aus und ging schlussendlich von einem mittleren Schweregrad des Verstoßes aus.
3.5.2. Gemäß Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.3.5.2. Gemäß Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).
Zunächst ist jedoch festzuhalten, dass für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO festgelegt sind (vgl. EuGH 05.12.2023, C-807/21, Rz. 45, 48, 52 und 65 sowie C?683/21, Rz. 64 bis 70). Die Grundsätze des VStG gelten somit nur, solange sie nicht durch direkt anwendbares Unionsrecht verdrängt werden.Zunächst ist jedoch festzuhalten, dass für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei diese Voraussetzungen in Artikel 83, Absatz eins bis 6 DSGVO festgelegt sind vergleiche EuGH 05.12.2023, C-807/21, Rz. 45, 48, 52 und 65 sowie C?683/21, Rz. 64 bis 70). Die Grundsätze des VStG gelten somit nur, solange sie nicht durch direkt anwendbares Unionsrecht verdrängt werden.
3.5.3. Den Leitlinien des EDSA zur Berechnung von Geldbußen folgend, soll für eine adäquate Strafe ein harmonisierter Ausgangspunkt ermittelt werden, bei dem die weitere Berechnung der Strafe ansetzt. Dieser sieht in drei Elementen den Ausgangspunkt für die weitere Berechnung: der Einstufung von Verstößen nach Artikel 83 Absatz 4 bis 6 DSGVO, der Schweregrad des Verstoßes und den Umsatz des Unternehmens als ein relevantes Element, das im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße gemäß Artikel 83 Absatz 1 DSGVO zu berücksichtigen ist (vgl. dazu die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, 24.05.2023, Rz. 46 ff).3.5.3. Den Leitlinien des EDSA zur Berechnung von Geldbußen folgend, soll für eine adäquate Strafe ein harmonisierter Ausgangspunkt ermittelt werden, bei dem die weitere Berechnung der Strafe ansetzt. Dieser sieht in drei Elementen den Ausgangspunkt für die weitere Berechnung: der Einstufung von Verstößen nach Artikel 83 Absatz 4 bis 6 DSGVO, der Schweregrad des Verstoßes und den Umsatz des Unternehmens als ein relevantes Element, das im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße gemäß Artikel 83 Absatz 1 DSGVO zu berücksichtigen ist vergleiche dazu die Leitlinien 04 aus 2022, des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, 24.05.2023, Rz. 46 ff).
Vorliegend fallen die Verstöße des Straferkenntnisses unter die Sanktionsnorm des Art. 83 Abs. 5 lit a DSGVO, dessen Strafrahmen bei einer angedrohten Geldbuße von EUR 20.000.000,-- oder im Falle eines Unternehmens bei bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres liegt. Die belangte Behörde ging gegenständliche, nach Einsicht in den Jahresabschluss der BF, von einem Bilanzgewinn der BF von EUR 401.516,23 aus, jenem Betrag, der auch im verwaltungsgerichtlichen Verfahren festzustellen war. Aufgrund dieses festgestellten Bilanzgewinns ergibt sich ein Obergrenze der Geldbuße von EUR 20.000.000,--. Vorliegend fallen die Verstöße des Straferkenntnisses unter die Sanktionsnorm des Artikel 83, Absatz 5, Litera a, DSGVO, dessen Strafrahmen bei einer angedrohten Geldbuße von EUR 20.000.000,-- oder im Falle eines Unternehmens bei bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres liegt. Die belangte Behörde ging gegenständliche, nach Einsicht in den Jahresabschluss der BF, von einem Bilanzgewinn der BF von EUR 401.516,23 aus, jenem Betrag, der auch im verwaltungsgerichtlichen Verfahren festzustellen war. Aufgrund dieses festgestellten Bilanzgewinns ergibt sich ein Obergrenze der Geldbuße von EUR 20.000.000,--.
Mit dieser Unterscheidung hat der Unionsgesetzgeber einen ersten Hinweis auf die Schwere des Verstoßes im abstrakten Sinne formuliert. Je schwerer der Verstoß ist, desto höher kann die Geldbuße ausfallen.
Der Umsatz des Unternehmens ist in Art. 83 Abs. 2 DSGVO nicht als Kriterium für die Bemessung der Geldbuße genannt. Daraus folgt jedoch nicht, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße keine Bedeutung zukommt. „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen gem. Art. 83 Abs. 1 DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden“. (vgl. hierzu BVwG 27.03.2024, W214 2243436-1/39E mwN.) Auch die Leitlinien des EDSA zur Berechnung von Geldbußen gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1/2021 des EDSA) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist. (vgl. EDSA 04/2022, Rz 63 ff)Der Umsatz des Unternehmens ist in Artikel 83, Absatz 2, DSGVO nicht als Kriterium für die Bemessung der Geldbuße genannt. Daraus folgt jedoch nicht, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße keine Bedeutung zukommt. „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen gem. Artikel 83, Absatz eins, DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden“. vergleiche hierzu BVwG 27.03.2024, W214 2243436-1/39E mwN.) Auch die Leitlinien des EDSA zur Berechnung von Geldbußen gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1 aus 2021, des EDSA) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist. vergleiche EDSA 04 aus 2022,, Rz 63 ff)
3.5.4. Der Umsatz ist im Sinne der Leitlinien des EDSA ist, neben der Einstufung des Verstoßes nach den Art. 83 Abs. 4 – 6 DSGVO und des Schwergrads des Verstoßes, nur ein Element, das für die Ermittlung des Ausgangspunktes für die Berechnung der Geldbuße heranzuziehen sind (vgl. wiederum EDSA 04/2022, Rz 48). Insofern wird vor dem Hintergrund der Beschwerde der BF, die sich insbesondere darauf beruft, dass gegenständlich lediglich ein Verstoß geringen Schweregrades vorliege eben dieser genauer zu erörtern sein. 3.5.4. Der Umsatz ist im Sinne der Leitlinien des EDSA ist, neben der Einstufung des Verstoßes nach den Artikel 83, Absatz 4, – 6 DSGVO und des Schwergrads des Verstoßes, nur ein Element, das für die Ermittlung des Ausgangspunktes für die Berechnung der Geldbuße heranzuziehen sind vergleiche wiederum EDSA 04 aus 2022,, Rz 48). Insofern wird vor dem Hintergrund der Beschwerde der BF, die sich insbesondere darauf beruft, dass gegenständlich lediglich ein Verstoß geringen Schweregrades vorliege eben dieser genauer zu erörtern sein.
Gemäß der DSGVO muss die Aufsichtsbehörde insbesondere Folgendes gebührend berücksichtigen: Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens (Art. 83 Abs. 2 lit. a DSGVO); Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) und die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind. (Art. 83 Abs. 2 lit g DSGVO)Gemäß der DSGVO muss die Aufsichtsbehörde insbesondere Folgendes gebührend berücksichtigen: Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens (Artikel 83, Absatz 2, Litera a, DSGVO); Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) und die Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind. (Artikel 83, Absatz 2, Litera g, DSGVO)
Zum Schweregrad des verfahrensgegenständlichen Verstoßes:
3.5.4.1. Die Art des Verstoßes ist in Übereinstimmung mit der Entscheidung der Datenschutzbehörde auch nach Ansicht des erkennenden Gerichts als mittelschwer einzustufen. Die abstrakte Einordnung nach Art. 83 Abs. 5 DSGVO indiziert bereits, dass mit einem Verstoß gegen die Rechte aus den Art. 5 und 6 DSGVO ein dem Grunde nach höherwertiges Recht verletzt wurde, als es beispielsweise bei einer Verletzung nach Art. 83 Abs. 4 DSGVO der Fall wäre. Die spiegelt sich nicht zuletzt in der höheren Strafandrohung wider. 3.5.4.1. Die Art des Verstoßes ist in Übereinstimmung mit der Entscheidung der Datenschutzbehörde auch nach Ansicht des erkennenden Gerichts als mittelschwer einzustufen. Die abstrakte Einordnung nach Artikel 83, Absatz 5, DSGVO indiziert bereits, dass mit einem Verstoß gegen die Rechte aus den Artikel 5 und 6 DSGVO ein dem Grunde nach höherwertiges Recht verletzt wurde, als es beispielsweise bei einer Verletzung nach Artikel 83, Absatz 4, DSGVO der Fall wäre. Die spiegelt sich nicht zuletzt in der höheren Strafandrohung wider.
Verfahrensgegenständlich wurden eine Verletzung der Rechte bezüglich einer Verarbeitung nach Treu und Glauben, Zweckbindung, Speicherbegrenzung sowie Integrität und Vertraulichkeit festgestellt (siehe dazu oben). Damit sind der DSGVO immanente Grundsätze der Datenverarbeitung angesprochen. Zudem wurde ein Mangel an geeigneten technischen und organisatorischen Maßnahmen zur ordnungsgemäßen Datenverarbeitung festgestellt. Mit Blick auf die Art des Verstoßes ist daher der Einschätzung der belangten Behörde zu folgen, da Grundpfeiler einer sicheren Datenverarbeitung verletzt wurde.
Unzweifelhaft ist das Interesse der Kund:innen der BF an einer sicheren Verwahrung ihrer personenbezogenen Daten, das mit den Grundsätzen einer adäquaten Datenverarbeitung korrespondiert, als äußerst hoch einzuschätzen, wohingegen kein nachvollziehbares Interesse der BF an einer unsicheren Serverstruktur erkannt werden kann.
3.5.4.2. Vor dem Hintergrund der angesprochenen Leitlinien der EDSA (vgl. EDSA 04/2022, Rz 53) ist festzuhalten, dass die personenbezogenen Daten durch die BF für geschäftliche Zwecke verarbeitet wurden und die Verarbeitung personenbezogener Daten gerade nicht in die Kerntätigkeit der BF fällt, sondern vielmehr eine organisatorische und rechtliche Notwendigkeit darstellt; die Daten selbst liegen nicht im Interesse der BF. Die Art der Datenverarbeitung deutet auch nicht auf ein Ungleichgewicht zwischen der BF und den Betroffenen hin und birgt die Art der Verarbeitung auch grundsätzlich keine außergewöhnlichen Risiken. 3.5.4.2. Vor dem Hintergrund der angesprochenen Leitlinien der EDSA vergleiche EDSA 04 aus 2022,, Rz 53) ist festzuhalten, dass die personenbezogenen Daten durch die BF für geschäftliche Zwecke verarbeitet wurden und die Verarbeitung personenbezogener Daten gerade nicht in die Kerntätigkeit der BF fällt, sondern vielmehr eine organisatorische und rechtliche Notwendigkeit darstellt; die Daten selbst liegen nicht im Interesse der BF. Die Art der Datenverarbeitung deutet auch nicht auf ein Ungleichgewicht zwischen der BF und den Betroffenen hin und birgt die Art der Verarbeitung auch grundsätzlich keine außergewöhnlichen Risiken.
Der Umfang der in Rede stehenden Datenverarbeitung steht in direktem Verhältnis zur Anzahl der Bestellungen und ist mit Blick auf die veröffentlichte Excel-Tabelle mit ca 580 Betroffenen verhältnismäßig weit. Der Verarbeitungsfehler bezieht sich gerade nicht auf einige wenige Kund:innen der BF. Der erlittene Schaden der BF ist – wie die Behörde nachvollziehbar ausführte – als neutral anzusehen.
Hinsichtlich der Bescheidbeschwerde der BF ist ihr zwar dahingehend zuzustimmen, dass es sich lediglich um Rechnungsdaten handelt und kein materieller Schaden entstanden ist, allerdings eine große Anzahl von Personen betroffen war und die BF in ihren Ausführungen die öffentlich zugängliche Excel-Tabelle zu ignorieren scheint.
3.5.4.3. Die Dauer des Verstoßes kann im Gegensatz zu den Darstellungen der BF gerade nicht als „Durchschnittlich“ angesehen werden, da die personenbezogenen Rechnungen über mehrere Jahre hinweg online und damit für jeden abrufbar waren. Selbst nach Beschwerdeerhebung durch eine ehemalige Kundin der BF waren die in Rede stehenden Daten noch ein knappes halbes Jahr online verfügbar.
3.5.4.4. Hinsichtlich der Schuldfrage ist – wie die belangte Behörde wiederum richtig ausführt – von Fahrlässigkeit für den Tatzeitraum bis zur Anfrage durch die ehemalige Kundin der BF und von bedingter Vorsätzlichkeit für den Zeitraum danach bis zur Beendigung des rechtswidrigen Zustandes Anfang 2026 auszugehen.
Das Gericht verkennt dabei nicht, dass es sich bei der BF um ein verhältnismäßig kleines Unternehmen des Glasereigewerbes handelt und sich in gewissen Belangen damit zwangsläufig auf die Expertise externen IT-Unternehmen verlassen muss. Allerdings ist nicht nachvollziehbar, dass so eklatante Fehler in der unternehmenseigenen Serverstruktur über mehrere Jahre gänzlich unbemerkt bleiben. Ob die verantwortliche Gesellschaft mit gutem Grund die Einhaltung der datenschutzrechtlichen Vorschriften aufgrund der Einrichtung einer qualitätsgesicherten Organisation (vgl. dazu VwGH 23.6.2021, Ro 2019/03/0020 bis 0021, Rn. 45 und 46, mHa grundlegend VwGH 20.3.2018, Ra 2017/03/0092, mwN) erwarten konnte, ist nach der Rechtsprechung des EuGH in der Rechtssache Deutsche Wohnen SE nicht maßgeblich, weil das Verschulden des Verantwortlichen - im Falle einer juristischen Person - nicht einmal Kenntnis des Leitungsorgans voraussetzt (vgl. EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77; VwGH vom 24.06.2026, Ro 2025/04/0007).Das Gericht verkennt dabei nicht, dass es sich bei der BF um ein verhältnismäßig kleines Unternehmen des Glasereigewerbes handelt und sich in gewissen Belangen damit zwangsläufig auf die Expertise externen IT-Unternehmen verlassen muss. Allerdings ist nicht nachvollziehbar, dass so eklatante Fehler in der unternehmenseigenen Serverstruktur über mehrere Jahre gänzlich unbemerkt bleiben. Ob die verantwortliche Gesellschaft mit gutem Grund die Einhaltung der datenschutzrechtlichen Vorschriften aufgrund der Einrichtung einer qualitätsgesicherten Organisation vergleiche dazu VwGH 23.6.2021, Ro 2019/03/0020 bis 0021, Rn. 45 und 46, mHa grundlegend VwGH 20.3.2018, Ra 2017/03/0092, mwN) erwarten konnte, ist nach der Rechtsprechung des EuGH in der Rechtssache Deutsche Wohnen SE nicht maßgeblich, weil das Verschulden des Verantwortlichen - im Falle einer juristischen Person - nicht einmal Kenntnis des Leitungsorgans voraussetzt vergleiche EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77; VwGH vom 24.06.2026, Ro 2025/04/0007).
Wie beweiswürdigend bereits ausgeführt wurde, bedarf die Datensicherheit auch dann, wenn IT-Agenden ausgelagert sind, eines Mindestmaßes an Aufmerksamkeit durch die BF selbst, weshalb nicht erklärlich ist, wie die falsch konfigurierten Server derart lange unbemerkt bleiben konnten.
Spätestens nachdem eine ehemalige Kundin auf das datenschutzrechtliche Problem aufmerksam gemacht hat, hätte die BF den Vorfall genauer untersuchen müssen, weshalb die belangte Behörde zutreffender Weise von bedingter Vorsätzlichkeit ausgegangen ist.
Gleichzeitig ist jedoch festzuhalten, dass die BF – wie von der belangten Behörde auch angemerkt wurde – datenschutzrechtlich unbescholten ist und sich auch aktiv am verwaltungsbehördlichen Verfahren beteiligt hat.
Der belangten Behörde ist in ihrer Beurteilung der Schuldfrage insgesamt nicht entgegenzutreten.
3.5.4.5. Schließlich ist festzuhalten, dass es sich gegenständlich nicht um besondere Kategorien personenbezogener Daten iSd. Art. 9 DSGVO handelt. 3.5.4.5. Schließlich ist festzuhalten, dass es sich gegenständlich nicht um besondere Kategorien personenbezogener Daten iSd. Artikel 9, DSGVO handelt.
3.5.5. Vor dem Hintergrund der eben diskutierten Faktoren ist der Behörde in ihrer Argumentation zuzustimmen, wonach ein Verstoß der BF mittelschweren Grades vorliegt. Die Kombination aus der Dauer der Rechtsverletzung, dem Umfang und dem Verhalten der BF erlauben es nicht – wie die BF in ihrer Beschwerde ausführt – von einem Rechtsverstoß bloß geringen Grades auszugehen.
Im Sinne der Leitlinien der EDSA ist bei Verstößen mittleren Schwergrades von der Aufsichtsbehörde zu Berechnung des Ausgangsbetrages ein Wert zwischen 10 % und 20% des anwendbaren gesetzlichen Höchstmaßes festzusetzen. Die belangte Behörde legte verfahrensgegenständlich einen Ausgangsbetrag von EUR 3.000.000,-- sohin 15% des gesetzlichen Höchstbetrages fest (vgl. EDSA 04/2022, Rz 59 ff).Im Sinne der Leitlinien der EDSA ist bei Verstößen mittleren Schwergrades von der Aufsichtsbehörde zu Berechnung des Ausgangsbetrages ein Wert zwischen 10 % und 20% des anwendbaren gesetzlichen Höchstmaßes festzusetzen. Die belangte Behörde legte verfahrensgegenständlich einen Ausgangsbetrag von EUR 3.000.000,-- sohin 15% des gesetzlichen Höchstbetrages fest vergleiche EDSA 04 aus 2022,, Rz 59 ff).
3.5.6. Wie einleitend ausgeführt wurde, ist der Umsatz des betroffenen Unternehmens relevant, um dessen Größe zu bestimmen und damit eine effektive und abschreckende Sanktion festsetzen zu können. Die belangte Behörde ordnete die BF in die Kategorie von Unternehmen mit einem Jahresumsatz von bis zu 2 Mio. Euro ein. Mit Blick auf die dem Verfahrensakt einliegenden Jahresabschlussdaten der BF ist dieser Einstufung nicht entgegenzutreten. Damit erfolgt eine Adaptierung des Ausgangswertes auf 0,2% bis 0,4%, wobei die Behörde dabei eine Anpassung auf 0,4% des Ausgangsbetrages als angemessen erachtete (vgl. EDSA 04/2022, Rz 65; S. 10 des Bescheids). Dabei ist hervorzuheben, dass der BF säumig geblieben ist, den tatsächlich gemachten weltweiten Jahresumsatz des Unternehmens vorzulegen. Es liegt im Ermessen der Aufsichtsbehörde, die gesamte Bandbreite der Geldbußen von jedem Betrag bis zum gesetzlichen Höchstmaß zu nutzen, um sicherzustellen, dass die Geldbuße auf die Umstände des Einzelfalls zugeschnitten ist, wie es der Gerichtshof verlangt, wenn ein abstrakter Ausgangspunkt zugrunde gelegt wird (vgl. EDSA Leitlinien Rz 69).3.5.6. Wie einleitend ausgeführt wurde, ist der Umsatz des betroffenen Unternehmens relevant, um dessen Größe zu bestimmen und damit eine effektive und abschreckende Sanktion festsetzen zu können. Die belangte Behörde ordnete die BF in die Kategorie von Unternehmen mit einem Jahresumsatz von bis zu 2 Mio. Euro ein. Mit Blick auf die dem Verfahrensakt einliegenden Jahresabschlussdaten der BF ist dieser Einstufung nicht entgegenzutreten. Damit erfolgt eine Adaptierung des Ausgangswertes auf 0,2% bis 0,4%, wobei die Behörde dabei eine Anpassung auf 0,4% des Ausgangsbetrages als angemessen erachtete vergleiche EDSA 04 aus 2022,, Rz 65; S. 10 des Bescheids). Dabei ist hervorzuheben, dass der BF säumig geblieben ist, den tatsächlich gemachten weltweiten Jahresumsatz des Unternehmens vorzulegen. Es liegt im Ermessen der Aufsichtsbehörde, die gesamte Bandbreite der Geldbußen von jedem Betrag bis zum gesetzlichen Höchstmaß zu nutzen, um sicherzustellen, dass die Geldbuße auf die Umstände des Einzelfalls zugeschnitten ist, wie es der Gerichtshof verlangt, wenn ein abstrakter Ausgangspunkt zugrunde gelegt wird vergleiche EDSA Leitlinien Rz 69).
Nun führt die belangte Behörde im verfahrensgegenständlichen Bescheid umfassend aus, welche Faktoren sie bei der Berechnung der Strafe berücksichtigt hat und ist diesen Ausführungen nichts entgegenzusetzen. Die Behörde hat sämtliche verfahrensrelevanten Umstände unter Beachtung der Leitlinien des EDSA abgewogen und ist zu einer grundsätzlich nicht zu beanstandenden Entscheidung gelangt.
Allerdings führt sie nicht nachvollziehbar aus wie sie bei einem Ausgangsbetrag von EUR 3.000.000,-- und einer Anpassung auf 0,4% auf einen Strafbetrag iHv. EUR 16.800,-- kommt. Denn wie die BF in ihrer Beschwerde richtig ausführt, wären 0,4% von 3 Mio Euro exakt EUR 12.000,--. Die festgelegten EUR 16.800,-- sind 0,56% des Ausgangsbetrages, wobei die Behörde nicht konkret darlegt, wie es zu der Anhebung des Prozentsatzes kommt. Vielmehr hält sie fest, dass – abgesehen von den oben diskutierten Parametern – keine weiteren Erschwerungsgründe hinzutreten, jedoch die (datenschutzrechtliche) Unbescholtenheit der BF sowie ihrer Mitwirkung im Verfahren als Milderungsgründe angesehen wurden. Nach Ansicht des erkennenden Gerichts liegt hinsichtlich dieser Anhebung, die zudem dazu führt, dass die Geldbuße außerhalb der vom EDSA vorgeschlagenen Bandbreite von 0,2% – 0,4% liegt, eine mangelhafte Begründung vor.
Gegenständlich liegt eine Ermessensentscheidung der belangten Behörde vor, wobei es Aufgabe des Gerichts ist zu überprüfen, ob sich die Ermessensübung im Sinne des Gesetzes erweist, ohne dass das VwG befugt wäre, in eine eigene Ermessensentscheidung einzutreten (vgl. VwGH 05.09.2018, Ra 2017/12/0118). Es ist gegenständlich damit nicht zulässig, die Entscheidung der belangten Behörde zu beheben, nur um eine gerichtliche Ermessensentscheidung zu treffen. Jedoch liegt die verfahrensgegenständliche Entscheidung der Behörde aufgrund der nicht näher begründeten Anhebung der Geldbuße von 0,4% des Ausgangsbetrages auf 0,56% außerhalb deren Ermessensspielraums. Begründend wurde nämlich ausgeführt, dass gerade 0,4% vom Ausgangsbetrag angemessen seien, weshalb die nicht näher begründete Anhebung des Prozentsatzes als Überschreitung des Ermessens anzusehen ist. Die belangte Behörde darf zwar Ermessen üben, muss den genutzten Spielraum allerdings entsprechend nachvollziehbar begründen, denn auch Ermessensentscheidungen sind nach § 60 AVG in der Weise zu begründen, dass in der Begründung die für die Ermessensübung maßgebenden Umstände und Erwägungen insoweit aufgezeigt werden, als dies für die Rechtsverfolgung und die Nachprüfbarkeit des Ermessensaktes auf seine Übereinstimmung mit dem Sinn des Gesetzes erforderlich ist (vgl. VwGH 12.09.2023, Ro 2023/20/0001).Gegenständlich liegt eine Ermessensentscheidung der belangten Behörde vor, wobei es Aufgabe des Gerichts ist zu überprüfen, ob sich die Ermessensübung im Sinne des Gesetzes erweist, ohne dass das VwG befugt wäre, in eine eigene Ermessensentscheidung einzutreten vergleiche VwGH 05.09.2018, Ra 2017/12/0118). Es ist gegenständlich damit nicht zulässig, die Entscheidung der belangten Behörde zu beheben, nur um eine gerichtliche Ermessensentscheidung zu treffen. Jedoch liegt die verfahrensgegenständliche Entscheidung der Behörde aufgrund der nicht näher begründeten Anhebung der Geldbuße von 0,4% des Ausgangsbetrages auf 0,56% außerhalb deren Ermessensspielraums. Begründend wurde nämlich ausgeführt, dass gerade 0,4% vom Ausgangsbetrag angemessen seien, weshalb die nicht näher begründete Anhebung des Prozentsatzes als Überschreitung des Ermessens anzusehen ist. Die belangte Behörde darf zwar Ermessen üben, muss den genutzten Spielraum allerdings entsprechend nachvollziehbar begründen, denn auch Ermessensentscheidungen sind nach Paragraph 60, AVG in der Weise zu begründen, dass in der Begründung die für die Ermessensübung maßgebenden Umstände und Erwägungen insoweit aufgezeigt werden, als dies für die Rechtsverfolgung und die Nachprüfbarkeit des Ermessensaktes auf seine Übereinstimmung mit dem Sinn des Gesetzes erforderlich ist vergleiche VwGH 12.09.2023, Ro 2023/20/0001).
Abschließend nimmt der Bescheid zwar Bezug auf spezial- und generalpräventive Überlegungen, argumentiert damit aber nur die Verhängung einer Strafe allgemein, jedoch nicht warum der an die individuelle Situation der BF angepasste Strafbetrag nochmals angehoben wird.
Die belangte Behörde nahm im Zuge der Aktenvorlage an das Bundesverwaltungsgericht Stellung zur Sache und führte aus, dass die verhängte Strafe sowohl die Unternehmensgröße als auch alle Erschwerungs- und Milderungsgründe berücksichtige. Der Umsatz der BF habe wegen unrealistischer Angaben durch die BF im Verfahren geschätzt werden müssen. Allerdings führt die belangte Behörde in ihrer Stellungnahme aus, dass das Unternehmen der BF in die Kategorie „Unternehmen mit einem Umsatz von 2 Mio. EUR bis 10 Mio EUR“ eingestuft werde, ordnete es aber im Rahmen des gegenständlichen Bescheids der Kategorie „Unternehmen mit einem Umsatz von bis zu 2 Mio. EUR“ ein (vgl. Bescheid S. 9). Die belangte Behörde nahm im Zuge der Aktenvorlage an das Bundesverwaltungsgericht Stellung zur Sache und führte aus, dass die verhängte Strafe sowohl die Unternehmensgröße als auch alle Erschwerungs- und Milderungsgründe berücksichtige. Der Umsatz der BF habe wegen unrealistischer Angaben durch die BF im Verfahren geschätzt werden müssen. Allerdings führt die belangte Behörde in ihrer Stellungnahme aus, dass das Unternehmen der BF in die Kategorie „Unternehmen mit einem Umsatz von 2 Mio. EUR bis 10 Mio EUR“ eingestuft werde, ordnete es aber im Rahmen des gegenständlichen Bescheids der Kategorie „Unternehmen mit einem Umsatz von bis zu 2 Mio. EUR“ ein vergleiche Bescheid S. 9).
Soweit sich die belangte Behörde im Zuge ihrer Stellungnahme auf die spezial- und generalpräventiven Überlegungen bezieht, ist festzuhalten, dass sich dadurch die dem Bescheid entnehmbaren Überlegungen nicht weiter erhellen. Trotz der Darstellungen, wurde im Bescheid ein Strafbetrag unter Berücksichtigung sämtlicher relevanter Faktoren festgesetzt und schließlich nochmals ohne nähere Erläuterung erhöht.
Nach Ansicht des erkennenden Gerichts liegt die belangte Behörde damit außerhalb des grundsätzlich irreversiblen Ermessensspielraums.
Unter Berücksichtigung der obenstehenden Erwägungen war der Ausgangsbetrag entsprechend anzupassen, sodass eine Geldbuße iHv. EUR 12.000,-- schuld- und tatangemessen erscheint. Der Beschwerde war daher im genannten Umfang stattzugeben und die Geldbuße auf EUR 12.000,-- herabzusetzen.
3.6. Zum Entfall der mündlichen Verhandlung
Gemäß § 44 Abs. 1 VwGVG hat das Verwaltungsgericht bei Verwaltungsstrafverfahren grundsätzlich eine öffentliche mündliche Verhandlung durchzuführen, kann jedoch gem. Abs. 3 Z 2 leg cit. davon absehen, wenn sich die Beschwerde nur gegen die Höhe der Strafe richtet und keine Partei die Durchführung einer Verhandlung beantragt hat. (vgl. auch VwGH 14.10.2024, Ra 2023/02/0132)Gemäß Paragraph 44, Absatz eins, VwGVG hat das Verwaltungsgericht bei Verwaltungsstrafverfahren grundsätzlich eine öffentliche mündliche Verhandlung durchzuführen, kann jedoch gem. Absatz 3, Ziffer 2, leg cit. davon absehen, wenn sich die Beschwerde nur gegen die Höhe der Strafe richtet und keine Partei die Durchführung einer Verhandlung beantragt hat. vergleiche auch VwGH 14.10.2024, Ra 2023/02/0132)
Gegenständliche richtet sich die Beschwerde – wie oben dargelegt – lediglich gegen die Strafhöhe und wurde weder von der rechtsfreundlich vertretenen BF noch von der belangten Behörde eine Verhandlung beantragt.
Vor dem Hintergrund, dass der Sachverhalt geklärt ist und ausschließlich Rechtsfragen zu beurteilen sind, konnte von der Durchführung einer Verhandlung abgesehen werden. Es gibt keine Anhaltspunkte im Vorbringen der BF oder in der Stellungnahme der belangten Behörde, die eine Verhandlung erforderlich erscheinen lassen würden. Eine weitere Klärung des Sachverhalts wäre nicht zu erwarten.
3.8. Zu den Kosten des Verwaltungsstrafverfahrens sowie des Beschwerdeverfahrens
Gemäß § 64 Abs. 1 VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß § 64 Abs. 2 VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10 % der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf EUR 1.200,00 zu reduzieren.Gemäß Paragraph 64, Absatz eins, VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß Paragraph 64, Absatz 2, VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10 % der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf EUR 1.200,00 zu reduzieren.
Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren der BF gemäß § 52 Abs. 8 VwGVG nicht aufzuerlegen, weil ihrer Beschwerde Folge gegeben wurde.Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren der BF gemäß Paragraph 52, Absatz 8, VwGVG nicht aufzuerlegen, weil ihrer Beschwerde Folge gegeben wurde.
3.9. Zahlungsinformation
Die Beschwerdeführerin hat den Gesamtbetrag von EUR 13.200,-- (Strafe, Kosten des verwaltungsbehördlichen Verfahrens) binnen 2 Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT84 0100 0000 0501 0167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen oder unter Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben wird.
Zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Vor dem Hintergrund des festgestellten Sachverhalts haben sich keine Rechtsfragen ergeben, die die Zulassung der Revision erfordern würden. Das erkennende Bundesverwaltungsgericht konnte sich bei seiner Entscheidung auf eine Fülle höchstgerichtlicher Rechtsprechung stützen.
Schlagworte
Datenlöschung Datenschutz Datenschutzbehörde Datenschutzbeschwerde Datenschutzverfahren Datenspeicherung Datenverarbeitung Geldbuße Herabsetzung Internet Löschungsbegehren personenbezogene Daten Speicherbegrenzung Strafbemessung Straferkenntnis Verfahrenskosten Veröffentlichung Vertraulichkeit VerwaltungsstrafeEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W254.2342303.1.00Im RIS seit
19.10.2026Zuletzt aktualisiert am
19.10.2026
