TE Dsk VerwaltungsstraferkenntnisVerwarnungErmahnung 2020/10/19 2020-0.550.322

GZ: 2020-0.550.322 vom 19. Oktober 2020 (Verfahrenszahl: DSB-D550.249)

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

Straferkenntnis

Beschuldigter: A*** F*** (geb. TT.MM.JJJJ), [PLZ] [Ort], [Straße] [HNr.]

Tatzeit: TT.MM.2019, 19:35 Uhr

Tatort: [PLZ] [Ort], [Straße, ONr.] (WC-Anlagen im Obergeschoß nächst der Polizeiinspektion ***)

Sie haben als Verantwortlicher im Sinne von Art 4 Z 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S 1, zur oben angegebenen Tatzeit am oben bezeichneten Tatort folgende Verwaltungsübertretung(en) verwirklicht:

Sie haben eine weibliche Person, während diese eine der WC-Kabinen benutzte, im Rahmen einer Bilddatenverarbeitung erfasst, indem Sie unter einer WC-Kabinentrennwand ein Mobiltelefon (Smartphone mit Kamerafunktion) hindurchgeschoben haben, wobei der Bildschirm des Mobiltelefons dabei nach oben zeigte und die Frontkamera des Mobiltelefons während des gesamten Vorganges aktiv war und somit Bilddaten von der betroffenen Person verarbeitet wurden.

Durch diese rechtsgrundlose Vornahme einer Bilddatenverarbeitung haben Sie gegen die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 Abs. 1 lit. a DSGVO, namentlich

-      gegen die Grundsätze „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“,

sowie

-      gegen die in Art. 6 Abs. 1 DSGVO abschließend normierten Erlaubnistatbestände

verstoßen.

Dies deshalb, da die durchgeführte Bilddatenverarbeitung weder auf eine Einwilligung der betroffenen Person, noch auf einen der sonstigen Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO gestützt werden kann.

Sie haben dadurch folgende Rechtsvorschrift(en) verletzt:

?        Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 in Verbindung mit Art. 83 Abs. 5 lit. a der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl L 2016/119, 1 idF L 2016/314, 72 und L 2018/127, 2

Wegen dieser Verwaltungsübertretung(en) wird über Sie folgende Strafe verhängt:

Geldstrafe von Euro

falls diese uneinbringlich ist, Ersatzfreiheitsstrafe von

gemäß

€ 150,00

9 Stunden

Art. 83 Abs. 5 lit a DSGVO in Verbindung mit § 16 VStG, BGBl. Nr. 52/1991

Allfällige weitere Aussprüche (zB über die Anrechnung der Vorhaft, über den Verfall oder über privatrechtliche Ansprüche):

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

15,00

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro (ein Tag Freiheitsstrafe gleich 100 Euro);

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

165,00

Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto BAWAG P.S.K., Georg-Coch-Platz 2, 1018 Wien, IBAN: AT460100000005490031, BIC: BAWAATWW, lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Begründung:

I.    Folgender entscheidungsrelevanter Sachverhalt steht aufgrund des durchgeführten Beweisverfahrens fest:

1.       Der Beschuldigte benutzte am 2. November 2019 gegen 19:35 Uhr die öffentlichen WC-Anlagen im Obergeschoß nächst der Polizeiinspektion *** in [PLZ] [Ort], [Straße, ONr]. Dort suchte er zunächst die Räumlichkeiten des Herren-WC auf, verließ diese jedoch, da zwei der drei dortigen WC-Kabinen besetzt waren und die dritte vorhandene WC-Kabine stark verschmutzt war. In weiterer Folge begab er sich aufgrund der Dringlichkeit des Stuhlganges in die Räumlichkeiten des dortigen Damen-WC und betrat eine der WC-Kabinen, um diese zu benutzen. Kurze Zeit später betraten mehrere weibliche Personen das Damen-WC der und unterhielten sich für den Beschuldigten gut hörbar miteinander. Eine der weiblichen Personen betrat sodann die WC-Kabine, die sich unmittelbar neben der WC-Kabine befand, die vom Beschuldigten benutzt wurde.

2.       Der Beschuldigte startete sodann die Kamera-Applikation auf seinem Mobiltelefon und aktivierte zudem die frontseitige Kamera des Geräts, um dieses unter der Trennwand der WC-Kabine hindurchzuhalten um mit Hilfe der Kamera des Mobiltelefons in Echtzeit auf dem Display zu erkennen, wer sich in der Nebenkabine befand und um die weibliche Person – ähnlich einer Spiegelfunktion – betrachten zu können. Dieser Vorgang wurde von der weiblichen Person, welche die benachbarte WC-Kabine benutzt hat, bemerkt; sie erblickte das Mobiltelefon mit eingeschaltetem Display und aktivierter Kamera, als dieses vom Beschuldigten unter der Kabinentrennwand hindurchgehalten wurde, dabei erkannte sich die weibliche Person selbst auf dem Bildschirm des Geräts.

3.       Daraufhin verließ die weibliche Person die WC-Kabine sofort und forderte den Beschuldigten auf, ebenfalls die WC-Kabine zu verlassen und das Mobiltelefon herauszugeben. Der Beschuldigte reichte sodann das benutzte Mobiltelefon aus der Kabine heraus, die weibliche Person nahm das Gerät entgegen und versuchte in der Fotoapplikation zu eruieren, ob Bilddaten von ihr, wie sie sich in der WC-Kabine befindet, vorhanden waren. Zu diesem Zeitpunkt befanden sich jedenfalls Bilddaten von anderen nackten Frauen auf dem Speicher des Mobiltelefons des Beschuldigten, die dieser von Arbeitskollegen im Laufe der Zeit vor dem gegenständlichen Vorfall übermittelt bekommen hat.

4.       In weiterer Folge begab sich die von dem Vorfall betroffene weibliche Person vor die Räumlichkeiten des Damen-WCs, wo bereits mehrere andere Personen auf die Benutzung der Toiletten warteten und schilderte den Anwesenden den Vorfall. Einige Minuten später kam auch der Beschuldigte aus den Räumlichkeiten der Damentoiletten und wurde von den wartenden Personen am Verlassen der Örtlichkeit, bis zum Eintreffen der telefonisch herbeigerufenen Polizeibeamten, gehindert.

5.       Die einschreitenden Polizeibeamten verlegten sodann die Befragung des Beschuldigten zu dem Vorfall auf die PI ***. Das Handy wurde der Polizei vom Beschuldigten freiwillig ausgehändigt. Die Polizei könnte in der Bildergalerie weder Bilder noch Videos des gegenständlichen Vorfalls feststellen. Das zum Tatzeitpunkt vom Beschuldigten verwendete Mobiltelefon befindet sich seit etwa Ende Jänner 2020 nicht mehr in dessen Besitz, da dieser das Gerät in einem öffentlichen Verkehrsmittel verloren hat.

6.       Laut der vom Beschuldigten vorgelegten Leistungsbestätigung bezieht dieser Leistungen der Mindestsicherung (Sozialhilfe) in der Gesamthöhe von € 995,04 pro Monat, wobei ein maßgeblicher Teil davon für die Wohnkosten benötigt wird.

[Beweis: Anzeige der LPD *** vom TT. November 2019, GZ PAD/***, Niederschrift der Vernehmung des Beschuldigten vor der Datenschutzbehörde vom TT. August 2020, GZ ***]

II.  Die Feststellungen werden aufgrund folgender Beweiswürdigung getroffen:

1.       Die Feststellungen im Hinblick auf die Tathandlung des Beschuldigten, wonach dieser sein Mobiltelefon mit Kamerafunktion, mit aktivierter Frontkamera, unter der WC-Kabinentrennwand mit dem Vorsatz durchgeschoben hat, mittels Bildschirm des Gerätes die weibliche Person in der Nachbarkabine zu beobachten, als diese die Toilette benutzen wollte, ergeben sich anhand der diesbezüglichen Angaben in der Anzeige der LPD *** und den damit übereinstimmenden Aussagen des Beschuldigten im Rahmen dessen Vernehmung vor der Datenschutzbehörde.

2.       Zu der Frage, ob der Beschuldigte zu irgendeinem Zeitpunkt Bilddaten von dem Vorfall auf seinem Mobiltelefon abgespeichert hat, konnten keinerlei Feststellungen getroffen werden. Im Rahmen der Anzeigenlegung durch die LPD *** wird hierzu ausgeführt, dass ein entsprechendes Bildmaterial bei Durchsicht des Gerätes durch die Beamten – der Beschuldigte überließ das Mobiltelefon den Beamten zu diesem Zweck freiwillig – nicht wahrgenommen werden konnte; der Beschuldigte selbst gibt hierzu vor der Datenschutzbehörde an, dass er zu keinem Zeitpunkt Foto- oder Videoaufzeichnungen von dem Vorfall abgespeichert hat. Es kann jedoch nicht vollends ausgeschlossen werden, dass der Beschuldigte allenfalls gespeichertes Bildmaterial gelöscht hat. Die Frage, ob Bilddaten auch gespeichert wurden, kann jedoch – worauf im Rahmen der rechtlichen Beurteilung einzugehen sein wird – in Bezug auf das im Spruch geahndete Verhalten dahingestellt bleiben.

III. Rechtlich folgt daraus:

1.       Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5 und 6 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.

Zum Spruch:

2.       Die DSGVO definiert den Begriff Verarbeitung in Art. 4 Z 2 DSGVO durch die Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst sind dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Das verfahrensgegenständliche Benutzen der Kamera-Applikation des Mobiltelefons durch den Beschuldigten, um auf diesem Wege – ähnlich eines (digitalen) Spiegels – eine weibliche Person in einer WC-Kabine zu beobachten, stellt eine Verarbeitung personenbezogener Daten im Sinne des Art. 4 Z 2 DSGVO dar und ist der sachliche Anwendungsbereich des Art. 2 DSGVO hierdurch eröffnet. Diese rechtliche Einordnung ergibt sich anhand einer Betrachtung des technischen Vorganges einer digitalen Bilddatenverarbeitung mit Hilfe eines handelsüblichen Mobiltelefons mit Kamerafunktion. Bei einem solchen Vorgang fallen Lichtstrahlen auf den Lichtsensor der Kamera, diese werden sodann von einem Bildprozessor in digitale Bilddaten umgewandelt und im Arbeitsspeicher des Geräts für den Zugriff durch die Kamera-Applikation bereitgehalten; letztere zeigt das entstandene Live-Bild auf dem Bildschirm des Gerätes an, der Benutzer kann dann durch das Drücken einer Hard- oder Softwaretaste auf dem Gerät die Bilddaten dauerhaft abspeichern. Somit erfolgt, unabhängig davon, ob der Benutzer eine Taste (den Auslöser) aktiviert, eine digitale Bilddatenverarbeitung auf dem Mobiltelefon. Die Datenschutzbehörde geht im gegebenen Zusammenhang davon aus, dass das Produzieren von Livebildern mittels einer Smartphone-Kamera jedenfalls unter den Begriff „Erheben“ zu subsumieren ist. „Erheben“ ist das Beschaffen von Daten über den Betroffenen. Solange die Beschaffung gezielt erfolgt, spielt die Art und Weise keine Rolle. Der Verarbeiter kann Daten elektronisch abrufen, Unterlagen anfordern oder Personen befragen. Auch die Konsultation einer Internet-Suchmaschine, um Informationen zu einer bestimmten Person zu erhalten, unterfällt dem Begriff (vgl. Ernst in Paal/Pauly, Datenschutz-Grundverordnung, Art. 4 Rn. 23). Abgesehen davon ist jeder Vorgang, der personenbezogene Daten verwendet, als Verarbeitung zu betrachten, unabhängig davon, ob er mit oder ohne automatisierten Verfahren durchgeführt wird. Bereits das Erheben von Daten ist als Verarbeitung zu verstehen (vgl. Klabunde in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art. 4 Rn. 19). Somit ist das Erfassen von Betroffenendaten mittels optisch-technischer Geräte (wie Videokameras) jedenfalls als Verarbeitung im Sinne der DSGVO zu qualifizieren.

3.       Erheben und Erfassen sind nicht scharf zu unterscheiden; das Erheben bezieht sich eher auf die gezielte Beschaffung einzelner Daten, während das Erfassen eher auf die kontinuierliche Aufzeichnung eines Datenstroms abstellt. Das Erheben und das Erfassen können mit einer Speicherung verbunden sein; notwendig ist ein solcher Zusammenhang aber nicht (vgl. Herbst in Kühling/Buchner, Datenschutz-Grundverordnung, Art. 4 Rn. 22).

4.       Da in der demonstrativen (Arg. „wie“) Aufzählung des Art. 4 Z 2 DSGVO unter anderem auch das Wort „Speicherung“ explizit genannt wird, ist weiters davon auszugehen, dass es sich hierbei nur um einen der Anwendungsfälle einer Verarbeitung handelt, und nicht um deren Grundvoraussetzung. Auch dass der Unionsgesetzgeber auf eine Regelung bezüglich einer Livebildüberwachung, welche massiv in Betroffenenrechte eingreifen kann, vergessen hätte oder eine solche Überwachung bewusst vom Anwendungsbereich der DSGVO ausnehmen wollte, kann in Anbetracht des ausdrücklichen Zieles eines erhöhten Schutzes von Betroffeneninteressen in der DSGVO dem europäischen Gesetzgeber jedenfalls nicht unterstellt werden.

5.       Folglich ist verfahrensgegenständlich eine Verarbeitung personenbezogener Daten im Sinne der DSGVO gegeben und der Beschuldigte als Verantwortlicher für diese Bilddatenverarbeitung im Sinne von Art. 4 Z 7 DSGVO zu qualifizieren; schließlich hat dieser die Entscheidung getroffen, sein Smartphone zur Beobachtung einer weiblichen Person in der WC-Kabine zu benutzen, dadurch hat er sowohl den Zweck, als auch die Mittel für die Datenverarbeitung festgelegt.

6.       Zur Rechtmäßigkeit der Bilddatenverarbeitung:

Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest und bestimmt dessen Abs. 1 lit. a, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Das wie oben festgestellte, Erfassen von Bilddaten in der WC-Kabine war für die betroffene Person naturgemäß nicht vorhersehbar und stellt bereits dadurch einen Verstoß gegen den Grundsatz des Art. 5 Abs. 1 lit. a DSGVO dar.

Gemäß Art. 6 DSGVO ist die Verarbeitung nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Zur Rechtmäßigkeit von Verarbeitungsvorgängen in Hinblick auf Art. 6 Abs. 1 lit. f DSGVO führt Erwägungsgrund 47 unter anderem erläuternd aus, dass diese durch die berechtigten Interessen eines Verantwortlichen begründet sein kann, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Auf jeden Fall ist das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, werden die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.

Der Europäische Gerichtshof (EuGH) hat bereits im Kontext einer Videoüberwachung festgehalten, dass drei kumulative Voraussetzungen erfüllt sein müssen, damit eine (Bilddaten-)Verarbeitung als zulässig zu qualifizieren ist (vgl. dazu das Urteil des EuGH vom 11.12.2019, C-708/18, Rz 40):

Dies ist zum einen die Wahrnehmung eines berechtigten Interesses durch den für die Datenverarbeitung Verantwortlichen, sodann die Erforderlichkeit der Datenverarbeitung zur Verwirklichung dieses berechtigten Interesses und letztendlich darf im Zuge einer Interessensabwägung kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse gegeben sein.

7.       Im Vorliegenden scheitert die Rechtmäßigkeitsprüfung in Bezug auf die festgestellte Bilddatenverarbeitung bereits an der ersten von drei Voraussetzungen. Das wie immer geartete Interesse des Beschuldigten, eine weibliche Person beim Benutzen einer WC-Kabine zu beobachten, kann unter keinen Umständen als berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit f DSGVO gewertet werden. Dadurch erübrigt sich jedwede weitere Prüfung der Geeignetheit sowie eine Abwägung allenfalls gegenläufiger Interessen. Als einzig taugliche Rechtsgrundlage für die vorliegende Bilddatenverarbeitung käme eine Einwilligung der betroffenen Person in Betracht, diese liegt hier freilich nicht vor und war die Datenverarbeitung daher als jedenfalls unzulässig zu qualifizieren.

8.       In Anwendung der Erfordernisse und Verpflichtungen nach Art. 5 Abs. 1 lit. a und lit. b in Verbindung mit Art. 6 Abs. 1 DSGVO sowie § 12 Abs. 4 Z 1 DSG auf den vorliegenden Sachverhalt kommt die erkennende Behörde zum Ergebnis, dass der Beschuldigte die verfahrensgegenständliche Bildverarbeitung ohne Einwilligung der Betroffenen keinesfalls hätte durchführen dürfen. Vor dem Hintergrund des als erwiesen festgestellten Sachverhalts hat der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO daher die objektive Tatseite der Verwaltungsübertretung des Art. 83 Abs. 5 lit. a DSGVO zu verantworten.

IV.  Zur Strafzumessung ist festzuhalten:

1.       Gemäß Art. 83 Abs. 1 DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Abs. 2 leg cit, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall Folgendes gebührend zu berücksichtigen ist:

a)       Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b)       Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c)       jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d)       Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e)       etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f)       Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g)       Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h)       Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i)       […]

j)       […]

k)       jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

2.       Gemäß § 19 Abs. 1 VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen; dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.

3.       Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zum mit § 22 Abs. 2 VStG normierten Kumulationsprinzip angeordnet, dass in Fällen von gleichen oder miteinander verbundenen Verarbeitungsvorgängen, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich der DSGVO – wie im vorliegenden Fall zur Anwendung gebracht – das Absorptionsprinzip des Art. 83 Abs. 3 DSGVO.

4.       Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

-      Das Beobachten einer weiblichen Person mit Hilfe einer Smartphone-Kamera, während diese eine WC-Kabine benutzen will, greift auf schwerwiegende Weise in die durch Art. 8 EMRK und Art. 7 EuGRC geschützten Rechtsgüter der Privat- und Intimsphäre der Betroffenen ein. Seitens des Beschuldigten wurde die Durchführung der Bilddatenverarbeitung mit der Intention, eine weibliche Person in der benachbarten WC-Kabine zu beobachten, zugestanden und liegt daher auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor.

5.       Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt:

-      Der Beschuldigte hat sich am Verwaltungsstrafverfahren vor der Datenschutzbehörde beteiligt und zugegeben die Bilddatenverarbeitung durchgeführt zu haben, er hat dadurch zur Wahrheitsfindung beigetragen;

-      Gegen den Beschuldigten lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafen vor.

6.       Die konkret verhängte Strafe erscheint daher unter Berücksichtigung der festgestellten Einkommensverhältnisse des Beschuldigten im Hinblick auf den verwirklichten Tatunwert gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO von bis zu € 20.000.000 tat- und schuldangemessen und ihre Verhängung erforderlich, um den Beschuldigten und Dritte von der Begehung gleicher oder ähnlicher strafbaren Handlungen abzuhalten.