Index
E1PNorm
BWG 1993 §99dBetreff
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger und die Hofräte Dr. Mayr sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Klima, LL.M., über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40-42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 19. August 2019, Zl. W211 2208885-1/19E, betreffend Übertretung des Datenschutzgesetzes 2000 sowie des Datenschutzgesetzes und der Datenschutzgrundverordnung (DSGVO) (mitbeteiligte Partei: N.N. Handels- und Betriebsgesellschaft mbH. in G), zu Recht erkannt:
Spruch
Die Revision wird als unbegründet abgewiesen.
Begründung
1 Mit Straferkenntnis vom 12. September 2018 legte die revisionswerbende Behörde der N.N. Handels- und Betriebsgesellschaft mbH (mitbeteiligten Partei) zur Last, sie habe als Verantwortliche im Sinne des Art. 4 Z 7 Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitungsanlage (Videoüberwachung) zu verantworten, dass ab dem 22. März 2018 in einem näher genannten Wettlokal 1. die Videoüberwachung die vor dem Eingangsbereich des Wettlokals liegenden öffentlichen Parkplätze und Verkehrsflächen erfasse und somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt sei; 2. keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung stattfinde; 3. keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden stattfinde, eine diesbezüglich gesonderte Protokollierung nicht vorliege und eine Begründung für eine verlängerte Speicherdauer fehle; 4. die Videoüberwachung nicht geeignet gekennzeichnet sei.Mit Straferkenntnis vom 12. September 2018 legte die revisionswerbende Behörde der N.N. Handels- und Betriebsgesellschaft mbH (mitbeteiligten Partei) zur Last, sie habe als Verantwortliche im Sinne des Artikel 4, Ziffer 7, Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitungsanlage (Videoüberwachung) zu verantworten, dass ab dem 22. März 2018 in einem näher genannten Wettlokal 1. die Videoüberwachung die vor dem Eingangsbereich des Wettlokals liegenden öffentlichen Parkplätze und Verkehrsflächen erfasse und somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt sei; 2. keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung stattfinde; 3. keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden stattfinde, eine diesbezüglich gesonderte Protokollierung nicht vorliege und eine Begründung für eine verlängerte Speicherdauer fehle; 4. die Videoüberwachung nicht geeignet gekennzeichnet sei.
Die mitbeteiligte Partei habe dadurch zu 1. Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 DSGVO, zu 2. für den Zeitraum vor dem 25. Mai 2018 § 50b Abs. 1 Datenschutzgesetz 2000 (DSG 2000) und ab dem 25. Mai 2018 § 13 Abs. 2 Datenschutzgesetz (DSG), zu 3. für den Zeitraum vor dem 25. Mai 2018 § 50b Abs. 2 DSG 2000 und ab dem 25. Mai 2018 § 13 Abs. 3 DSG sowie zu 4. für den Zeitraum vor dem 25. Mai 2018 § 50d Abs. 1 DSG 2000 und ab dem 25. Mai 2018 § 13 Abs. 5 DSG verletzt, weshalb über die mitbeteiligte Partei als Verantwortliche gemäß § 30 DSG je eine Geldstrafe und zwar zu 1) gemäß Art. 83 Abs. 5 lit. a DSGVO in der Höhe von € 2.400,--, bzw. zu 2) gemäß § 52 Abs. 2 Z 6 DSG 2000 iVm § 69 Abs. 5 DSG sowie § 62 Abs. 1 Z 4 DSG, zu 3) gemäß § 52 Abs. 2 Z 7 DSG 2000 iVm § 69 Abs. 5 DSG sowie § 62 Abs. 1 Z 4 DSG und zu 4) gemäß § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG sowie § 62 Abs. 1 Z 4 DSG in der Höhe von jeweils € 800,--, insgesamt sohin in der Höhe von € 4.800,-- verhängt und gemäß § 64 VStG ein Kostenbeitrag in der Höhe von € 480,-- vorgeschrieben wurde.Die mitbeteiligte Partei habe dadurch zu 1. Artikel 5, Absatz eins, Litera a und c sowie Artikel 6, Absatz eins, DSGVO, zu 2. für den Zeitraum vor dem 25. Mai 2018 Paragraph 50 b, Absatz eins, Datenschutzgesetz 2000 (DSG 2000) und ab dem 25. Mai 2018 Paragraph 13, Absatz 2, Datenschutzgesetz (DSG), zu 3. für den Zeitraum vor dem 25. Mai 2018 Paragraph 50 b, Absatz 2, DSG 2000 und ab dem 25. Mai 2018 Paragraph 13, Absatz 3, DSG sowie zu 4. für den Zeitraum vor dem 25. Mai 2018 Paragraph 50 d, Absatz eins, DSG 2000 und ab dem 25. Mai 2018 Paragraph 13, Absatz 5, DSG verletzt, weshalb über die mitbeteiligte Partei als Verantwortliche gemäß Paragraph 30, DSG je eine Geldstrafe und zwar zu 1) gemäß Artikel 83, Absatz 5, Litera a, DSGVO in der Höhe von € 2.400,--, bzw. zu 2) gemäß Paragraph 52, Absatz 2, Ziffer 6, DSG 2000 in Verbindung mit Paragraph 69, Absatz 5, DSG sowie Paragraph 62, Absatz eins, Ziffer 4, DSG, zu 3) gemäß Paragraph 52, Absatz 2, Ziffer 7, DSG 2000 in Verbindung mit Paragraph 69, Absatz 5, DSG sowie Paragraph 62, Absatz eins, Ziffer 4, DSG und zu 4) gemäß Paragraph 52, Absatz 2, Ziffer 4, DSG 2000 in Verbindung mit Paragraph 69, Absatz 5, DSG sowie Paragraph 62, Absatz eins, Ziffer 4, DSG in der Höhe von jeweils € 800,--, insgesamt sohin in der Höhe von € 4.800,-- verhängt und gemäß Paragraph 64, VStG ein Kostenbeitrag in der Höhe von € 480,-- vorgeschrieben wurde.
2 Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der mitbeteiligten Partei Folge, behob das Straferkenntnis, stellte das Verfahren gemäß § 45 Abs. 1 Z 3 VStG ein und sprach aus, dass die mitbeteiligte Partei gemäß § 52 Abs. 8 VwGVG keine Kosten zu tragen habe und die Revision zulässig sei.Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der mitbeteiligten Partei Folge, behob das Straferkenntnis, stellte das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer 3, VStG ein und sprach aus, dass die mitbeteiligte Partei gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten zu tragen habe und die Revision zulässig sei.
3 Begründend führte das Verwaltungsgericht zusammengefasst aus, dass entsprechend der auch auf das Verfahren nach dem DSG übertragbaren Rechtsprechung des Verwaltungsgerichtshofs vom 29. März 2019, Ro 2018/02/0023, für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten sei. Für die Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.Begründend führte das Verwaltungsgericht zusammengefasst aus, dass entsprechend der auch auf das Verfahren nach dem DSG übertragbaren Rechtsprechung des Verwaltungsgerichtshofs vom 29. März 2019, Ro 2018/02/0023, für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten sei. Für die Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (Paragraph 44 a, VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.
Vorliegend sei eine natürliche Person, deren Verhalten (Anordnung und Installation der Kameras oder fehlende Kontrolle der Kameras bzw. deren Nutzung) der mitbeteiligten Partei zugeordnet werden solle, nie bezeichnet und damit nie konkretisiert worden. Seitens der revisionswerbenden Behörde sei zwar am 12. Juli 2018 ein Firmenbuchauszug eingeholt worden. Auf diesen Auszug werde jedoch im Straferkenntnis weder verwiesen, noch sei er dem Straferkenntnis beigelegt worden.
Die Aufforderung zur Rechtfertigung sei an den laut Firmenbuch handelsrechtlichen Geschäftsführer der mitbeteiligten Partei adressiert gewesen. Der Geschäftsführer sei hingegen nicht in der Beschreibung des Vorwurfs angeführt worden. In der Anzeige der Landespolizeidirektion sei die Angabe der im Wettlokal damals tätigen Kellnerin angeführt worden, wonach der Gesellschafter und gewerberechtliche Geschäftsführer der mitbeteiligten Partei „Chef der Firma“ sei. Im Verfahren vor dem Verwaltungsgericht habe sich herausgestellt, dass die tatsächliche Einflussnahme und Kontrolle der mitbeteiligten Partei mit der Information aus dem Firmenbuch nicht ausreichend konkret und der Realität gemäß dargestellt worden sei.
Im Ergebnis sei davon auszugehen, dass keine ausreichende Konkretisierung des Tatvorwurfs im behördlichen Verfahren vorgenommen worden sei, weil aus dem Tatvorwurf nicht hervorgehe, welches Verhalten welcher Person der mitbeteiligten Partei zugerechnet werden hätte sollen. Damit erscheine die Wahrnehmung wesentlicher Verteidigungsrechte der mitbeteiligten Partei nicht ausreichend garantiert.
Selbst nach der im Beschwerdeverfahren vertretenen Argumentation der revisionswerbenden Behörde solle eine Handlung einer Person der juristischen Person zugeordnet werden. Dies sei vorliegend nicht der Fall. Überdies beziehe sich § 30 DSG auf die dort genannten Personen, die als solche in „Schlüsselfunktionen“ angesehen werden könnten.Selbst nach der im Beschwerdeverfahren vertretenen Argumentation der revisionswerbenden Behörde solle eine Handlung einer Person der juristischen Person zugeordnet werden. Dies sei vorliegend nicht der Fall. Überdies beziehe sich Paragraph 30, DSG auf die dort genannten Personen, die als solche in „Schlüsselfunktionen“ angesehen werden könnten.
Der Argumentation der revisionswerbenden Behörde, Art. 83 DSGVO sei inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet, weshalb die dazu ergangene einschlägige Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH), wonach eine konkrete Benennung einer natürlichen Person, die innerhalb eines Unternehmens schuldhaft gehandelt haben solle oder für eine möglicherweise fehlerhafte Organisation verantwortlich gemacht werden solle, nicht notwendig sei, auch vorliegend heranzuziehen sei, sei nicht zu folgen. Die zitierte Rechtsprechung beziehe sich nämlich auf durch die Europäische Kommission geführte wettbewerbsrechtliche Verfahren unter Heranziehung eigener - auch verfahrensrechtlicher - Vorgaben. Art. 83 Abs. 8 DSGVO hingegen halte fest, dass die Ausübung der Befugnisse der Aufsichtsbehörde angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren unterliegen müsse. Eine direkte Anwendbarkeit der Rechtsprechungsgrundsätze der Gerichte der Europäischen Union zum Wettbewerbsrecht scheide auf Grund der unterschiedlichen Rechtsgrundlagen, der unterschiedlichen verfahrensrechtlichen Grundlagen und des Verweises in der DSGVO selbst, wonach das Verfahren nach Art. 83 DSGVO den Verfahrensgarantien auch nach dem Recht der Mitgliedstaaten zu unterliegen habe, aus.Der Argumentation der revisionswerbenden Behörde, Artikel 83, DSGVO sei inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet, weshalb die dazu ergangene einschlägige Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH), wonach eine konkrete Benennung einer natürlichen Person, die innerhalb eines Unternehmens schuldhaft gehandelt haben solle oder für eine möglicherweise fehlerhafte Organisation verantwortlich gemacht werden solle, nicht notwendig sei, auch vorliegend heranzuziehen sei, sei nicht zu folgen. Die zitierte Rechtsprechung beziehe sich nämlich auf durch die Europäische Kommission geführte wettbewerbsrechtliche Verfahren unter Heranziehung eigener - auch verfahrensrechtlicher - Vorgaben. Artikel 83, Absatz 8, DSGVO hingegen halte fest, dass die Ausübung der Befugnisse der Aufsichtsbehörde angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren unterliegen müsse. Eine direkte Anwendbarkeit der Rechtsprechungsgrundsätze der Gerichte der Europäischen Union zum Wettbewerbsrecht scheide auf Grund der unterschiedlichen Rechtsgrundlagen, der unterschiedlichen verfahrensrechtlichen Grundlagen und des Verweises in der DSGVO selbst, wonach das Verfahren nach Artikel 83, DSGVO den Verfahrensgarantien auch nach dem Recht der Mitgliedstaaten zu unterliegen habe, aus.
Es sei somit nicht von einem ausreichend konkretisierten Tatvorwurf im behördlichen Verfahren auszugehen.
Dieser Mangel könne vom Verwaltungsgericht nicht behoben werden.
Das vorliegende Straferkenntnis normiere keinen Zeitpunkt, an dem das strafbare Verhalten aufgehört habe, weshalb für den Beginn der Berechnung der Verfolgungsverjährungsfrist nach § 31 Abs. 1 VStG vom Datum des Straferkenntnisses, den 12. September 2018, auszugehen sei und diese noch offen sei.Das vorliegende Straferkenntnis normiere keinen Zeitpunkt, an dem das strafbare Verhalten aufgehört habe, weshalb für den Beginn der Berechnung der Verfolgungsverjährungsfrist nach Paragraph 31, Absatz eins, VStG vom Datum des Straferkenntnisses, den 12. September 2018, auszugehen sei und diese noch offen sei.
Die mangelnde Tauglichkeit der Verfolgungshandlung könne jedoch auf Grund der Begrenzung des Beschwerdeverfahrens auf den im Straferkenntnis gegenständlichen Tatvorwurf nicht durch Nachholung der Verfolgungshandlung durch das Verwaltungsgericht beseitigt werden. Ein erstmals vom Verwaltungsgericht erhobener Tatvorwurf sei eine über eine bloße Präzisierung hinausgehende unzulässige Ausdehnung des Beschwerdegegenstandes. Liege einem Straferkenntnis ein nicht ausreichend konkreter Vorwurf zugrunde, könne nur mit Behebung des Straferkenntnisses und Einstellung des Verfahrens vorgegangen werden. Die fehlende Konkretisierung des Tatvorwurfs stelle ein prozessuales Hindernis für die Überprüfung durch das Verwaltungsgericht dar.
4 Gegen dieses Erkenntnis richtet sich die vorliegende Amtsrevision. Die mitbeteiligte Partei erstattete keine Revisionsbeantwortung.
Der Verwaltungsgerichtshof hat erwogen:
Zulässigkeit
5 Die Zulassung der Revision begründete das Verwaltungsgericht mit fehlender höchstgerichtlicher Rechtsprechung zu den Bestimmungen über die Bestrafung der juristischen Person im Zusammenhang mit der neuen Rechtslage zur DSGVO sowie zum DSG betreffend der Übertragbarkeit der Aussagen des Verwaltungsgerichtshofes in dessen Erkenntnis vom 29. März 2019, Ro 2018/02/0023, auf die materielle Rechtslage nach der DSGVO und dem DSG. Ebenso fehle Rechtsprechung zur Ermächtigung bzw. sogar Verpflichtung des Verwaltungsgerichts, eine fehlende Tauglichkeit einer Verfolgungshandlung durch die Behörde bei offener Verfolgungsverjährung - hier in Bezug auf die Bestimmung der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden solle - nachzuholen.
6 Die Amtsrevision ist bereits aus den angeführten Gründen zulässig, sie ist jedoch nicht berechtigt.
Rechtslage
Nationales Recht
7 § 52 des Bundesgesetzes über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000), BGBl. I Nr. 165/1999, in der hier maßgeblichen Fassung BGBl. I Nr. 83/2013, lautete auszugsweise:Paragraph 52, des Bundesgesetzes über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, in der hier maßgeblichen Fassung Bundesgesetzblatt Teil eins, Nr. 83 aus 2013,, lautete auszugsweise:
„10. Abschnitt
Strafbestimmungen„10. Abschnitt, Strafbestimmungen
...
Verwaltungsstrafbestimmung
§ 52. (1) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 25 000 Euro zu ahnden ist, werParagraph 52, (1) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 25 000 Euro zu ahnden ist, wer
...
(2) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 10 000 Euro zu ahnden ist, wer
...
4. seine Offenlegungs- oder Informationspflichten gemäß den §§ 23, 24, 25 oder 50d verletzt oderseine Offenlegungs- oder Informationspflichten gemäß den Paragraphen 23, 24, 25, oder 50d verletzt oder
...
5. die gemäß § 50a Abs. 7 und § 50b Abs. 1 erforderlichen Sicherheitsmaßnahmen außer Acht lässt oderdie gemäß Paragraph 50 a, Absatz 7 und Paragraph 50 b, Absatz eins, erforderlichen Sicherheitsmaßnahmen außer Acht lässt oder
6. Daten nach Ablauf der in § 50b Abs. 2 vorgesehene Löschungsfrist nicht löscht.Daten nach Ablauf der in Paragraph 50 b, Absatz 2, vorgesehene Löschungsfrist nicht löscht.
(2a) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den §§ 26, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht.(2a) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den Paragraphen 26, 27, oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht.
...“
§§ 30 Abs. 1 bis 3 sowie 69 Abs. 4 und 5 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG), BGBl. I Nr. 165/1999, in der hier maßgeblichen Fassung BGBl. I Nr. 24/2018, und § 62 Abs. 1 Z 2 leg.cit. in der hier maßgeblichen Fassung BGBl. I Nr. 120/2017, lauten:Paragraphen 30, Absatz eins bis 3 sowie 69 Absatz 4 und 5 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, in der hier maßgeblichen Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, und Paragraph 62, Absatz eins, Ziffer 2, leg.cit. in der hier maßgeblichen Fassung Bundesgesetzblatt Teil eins, Nr. 120 aus 2017,, lauten:
„Allgemeine Bedingungen für die Verhängung von Geldbußen
§ 30. (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrundParagraph 30, (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des Paragraph eins, oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund
1. der Befugnis zur Vertretung der juristischen Person,
2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
3. einer Kontrollbefugnis innerhalb der juristischen Person
(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des Paragraph eins, oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Absatz eins, genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.
(3) Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß § 9 des Verwaltungsstrafgesetzes 1991 -VStG, , abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.(3) Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß Paragraph 9, des Verwaltungsstrafgesetzes 1991 -VStG, Bundesgesetzblatt Nr. 52 aus 1991,, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.
...
4. Hauptstück
Besondere Strafbestimmungen4. Hauptstück, Besondere Strafbestimmungen
Verwaltungsstrafbestimmung
§ 62. (1) Sofern die Tat nicht einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50 000 Euro zu ahnden ist, werParagraph 62, (1) Sofern die Tat nicht einen Tatbestand nach Artikel 83, DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50 000 Euro zu ahnden ist, wer
...
4. eine Bildverarbeitung entgegen den Bestimmungen des 3. Abschnittes des 1. Hauptstücks betreibt oder
...
Übergangsbestimmungen
§ 69.Paragraph 69,
...
(4) Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.
(5) Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.
...“
Unionsrecht
8 Art. 4 Z 7 und 8 sowie Art. 83 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ABl. L 119 vom 4. Mai 2016, S. 1, (Datenschutz-Grundverordnung) - (DSGVO) lauten:Artikel 4, Ziffer 7 und 8 sowie Artikel 83, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ABl. L 119 vom 4. Mai 2016, Sitzung eins, , (Datenschutz-Grundverordnung) - (DSGVO) lauten:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
...
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. ‚Auftragsverarbeiter‘ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
...
Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;
b) die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;
c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.
(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;
b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;
c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;
d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels römisch neun erlassen wurden;
e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz 1.
(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.
(8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.
(9) Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, kann dieser Artikel so angewandt werden, dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften.“
Tatzeitraum vor dem Inkrafttreten der DSGVO sowie des DSG
9 Der im Straferkenntnis der mitbeteiligten Partei betreffend sämtlicher vier Verwaltungsübertretungen angelastete Tatzeitraum beginnt jeweils mit 22. März 2018 und umfasst somit jeweils auch einen Zeitraum vor dem Inkrafttreten der DSGVO bzw. dem DSG am 25. Mai 2018 (vgl. Art. 99 Abs. 2 DSGVO bzw. § 70 Abs. 9 DSG in Bezug auf die hier maßgeblichen §§ 30, 62 und 69 DSG).Der im Straferkenntnis der mitbeteiligten Partei betreffend sämtlicher vier Verwaltungsübertretungen angelastete Tatzeitraum beginnt jeweils mit 22. März 2018 und umfasst somit jeweils auch einen Zeitraum vor dem Inkrafttreten der DSGVO bzw. dem DSG am 25. Mai 2018 vergleiche , Artikel 99, Absatz 2, DSGVO bzw. Paragraph 70, Absatz 9, DSG in Bezug auf die hier maßgeblichen Paragraphen 30, 62 und 69 DSG).
10 Der mitbeteiligten Partei können daher für den vor dem 25. Mai 2018 gelegenen Zeitraum mangels unmittelbarer Strafbarkeit der mitbeteiligten Partei als juristische Person gemäß § 1 Abs. 2 VStG die ihr vorgeworfenen Übertretungen nicht zur Last gelegt werden. Die Aufhebung des Straferkenntnisses für diesen Tatzeitraum erfolgte daher schon aus diesem Grund zu Recht.Der mitbeteiligten Partei können daher für den vor dem 25. Mai 2018 gelegenen Zeitraum mangels unmittelbarer Strafbarkeit der mitbeteiligten Partei als juristische Person gemäß Paragraph eins, Absatz 2, VStG die ihr vorgeworfenen Übertretungen nicht zur Last gelegt werden. Die Aufhebung des Straferkenntnisses für diesen Tatzeitraum erfolgte daher schon aus diesem Grund zu Recht.
Erfordernis der namentlichen Bezeichnung jener natürlicher Personen, deren Verstöße gegen die DSGVO bzw. das DSG einer juristische Person angelastet werden, in einer Verfolgungshandlung gemäß § 32 VStG sowie im Spruch des Straferkenntnisses gemäß § 44a Z 1 VStGErfordernis der namentlichen Bezeichnung jener natürlicher Personen, deren Verstöße gegen die DSGVO bzw. das DSG einer juristische Person angelastet werden, in einer Verfolgungshandlung gemäß Paragraph 32, VStG sowie im Spruch des Straferkenntnisses gemäß Paragraph 44 a, Ziffer eins, VStG
Zur Frage der Maßgeblichkeit der Rechtsprechung des Verwaltungsgerichtshofes zu § 99d BWG vom 29. März 2019, Ro 2018/02/0023Zur Frage der Maßgeblichkeit der Rechtsprechung des Verwaltungsgerichtshofes zu Paragraph 99 d, BWG vom 29. März 2019, Ro 2018/02/0023
11 Gemäß Art. 83 DSGVO iVm Art. 4 Z 7 und 8 DSGVO sind Geldbußen für Verstöße gegen die DSGVO gemäß Art. 83 Abs. 4 bis 6 DSGVO nicht nur gegen natürliche Personen, sondern auch gegen juristische Personen als „Verantwortlicher“ iSd Art. 4 Z 7 DSGVO oder „Auftragsverarbeiter“ iSd Art. 4 Z 8 DSGVO zu verhängen. Nähere Bestimmungen zur strafrechtlichen Verantwortlichkeit juristischer Personen für von ihnen zurechenbaren natürlichen Personen begangene Verstöße gegen die DSGVO enthält die Verordnung nicht.Gemäß Artikel 83, DSGVO in Verbindung mit Artikel 4, Ziffer 7 und 8 DSGVO sind Geldbußen für Verstöße gegen die DSGVO gemäß Artikel 83, Absatz 4 bis 6 DSGVO nicht nur gegen natürliche Personen, sondern auch gegen juristische Personen als „Verantwortlicher“ iSd Artikel 4, Ziffer 7, DSGVO oder „Auftragsverarbeiter“ iSd Artikel 4, Ziffer 8, DSGVO zu verhängen. Nähere Bestimmungen zur strafrechtlichen Verantwortlichkeit juristischer Personen für von ihnen zurechenbaren natürlichen Personen begangene Verstöße gegen die DSGVO enthält die Verordnung nicht.
12 Bis zum Inkrafttreten der DSGVO und deren (unmittelbare) Geltung sowie des DSG traf juristische Personen für Verstöße von ihnen zurechenbaren natürlichen Personen gegen das bis dahin geltende DSG 2000 keine direkte strafrechtliche Verantwortlichkeit und Sanktionsmöglichkeit. Es bestand lediglich das Konzept der Verantwortlichkeit für juristische Personen nach § 9 VStG mit der Haftung für die über die zur Vertretung nach außen Berufenen oder über einen verantwortlichen Beauftragten verhängten Geldstrafen und die Verfahrenskosten nach § 9 Abs. 7 leg. cit. zur ungeteilten Hand als vom rechtskräftigen und vollstreckbaren Strafausspruch gegen diese natürlichen Personen abhängige „kriminelle Bürgschaft“ und nicht als Strafe (vgl. VwGH 22.5.2019, Ra 2018/04/0074, 0075, Rn. 9, mwN). Wie in den Gesetzesmaterialien zum DSG, BGBl. I Nr. 120/2017, (ErläutRV 1664 BlgNR 25. GP 10), dargelegt, war somit unter anderem eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, erforderlich. Dabei orientiert sich die in § 30 DSG geregelte Verhängung von Geldbußen gegen juristische Personen an der Regelung des § 99d des Bankwesengesetzes (BWG), BGBl. Nr. 532/1993.Bis zum Inkrafttreten der DSGVO und deren (unmittelbare) Geltung sowie des DSG traf juristische Personen für Verstöße von ihnen zurechenbaren natürlichen Personen gegen das bis dahin geltende DSG 2000 keine direkte strafrechtliche Verantwortlichkeit und Sanktionsmöglichkeit. Es bestand lediglich das Konzept der Verantwortlichkeit für juristische Personen nach Paragraph 9, VStG mit der Haftung für die über die zur Vertretung nach außen Berufenen oder über einen verantwortlichen Beauftragten verhängten Geldstrafen und die Verfahrenskosten nach Paragraph 9, Absatz 7, leg. cit. zur ungeteilten Hand als vom rechtskräftigen und vollstreckbaren Strafausspruch gegen diese natürlichen Personen abhängige „kriminelle Bürgschaft“ und nicht als Strafe vergleiche , VwGH 22.5.2019, Ra 2018/04/0074, 0075, Rn. 9, mwN). Wie in den Gesetzesmaterialien zum DSG, Bundesgesetzblatt Teil eins, Nr. 120 aus 2017,, (ErläutRV 1664 BlgNR 25. Gesetzgebungsperiode 10, ), dargelegt, war somit unter anderem eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, erforderlich. Dabei orientiert sich die in Paragraph 30, DSG geregelte Verhängung von Geldbußen gegen juristische Personen an der Regelung des Paragraph 99 d, des Bankwesengesetzes (BWG), Bundesgesetzblatt Nr. 532 aus 1993,.
13 In dem Erkenntnis vom 29. März 2019, Ro 2018/02/0023, Rn. 21 - 33, hielt der Verwaltungsgerichtshof zu den Inhaltserfordernissen der Verfolgungshandlung iSd §§ 31 und 32 VStG sowie des Schuldspruchs in Bezug auf § 99d Abs. 1 und 2 BWG fest:In dem Erkenntnis vom 29. März 2019, Ro 2018/02/0023, Rn. 21 - 33, hielt der Verwaltungsgerichtshof zu den Inhaltserfordernissen der Verfolgungshandlung iSd Paragraphen 31 und 32 VStG sowie des Schuldspruchs in Bezug auf Paragraph 99 d, Absatz eins, und 2 BWG fest:
„21 Blickt man auf die wegen des Unionsrechtsbezugs hier maßgebenden Verfahrensgarantien des Art. 47 GRC, ist es folgerichtig, dass die juristische Person als Beschuldigte nach § 32 VStG anzusehen ist, wenn sie im Verdacht steht, eine Verwaltungsübertretung zu verantworten zu haben und die Behörde gegen sie eine Verfolgungshandlung richtet. Sie ist dann auch Partei im Sinne des AVG.„21 Blickt man auf die wegen des Unionsrechtsbezugs hier maßgebenden Verfahrensgarantien des Artikel 47, GRC, ist es folgerichtig, dass die juristische Person als Beschuldigte nach Paragraph 32, VStG anzusehen ist, wenn sie im Verdacht steht, eine Verwaltungsübertretung zu verantworten zu haben und die Behörde gegen sie eine Verfolgungshandlung richtet. Sie ist dann auch Partei im Sinne des AVG.
22 Ist die juristische Person Beschuldigte im Verwaltungsstrafverfahren (§ 32 VStG), hat sie alle mit dieser Parteistellung verbundenen Rechte. So etwa ist dem Beschuldigten rechtliches Gehör einzuräumen (§ 40 VStG), er muss an ihn gestellte Fragen nicht beantworten (§ 33 Abs. 2 VStG). Der Beschuldigte hat Zugang zu einem Gericht (Verwaltungsgericht), das grundsätzlich eine öffentliche mündliche Verhandlung durchzuführen hat (§ 44 VwGVG), in der dem Beschuldigten Frage- und Informationsrechte zustehen, er kann sich auch vertreten lassen (§ 46 VwGVG). Auch ermöglicht der Strafrahmen des § 99d Abs. 3 BWG mangels Untergrenze eine einzelfallgerechte Strafhöhe (zur Verfassungsmäßigkeit von § 99d&nb
