I.römisch eins.
1
Aus dem angefochtenen Erkenntnis und dem Akteninhalt ergibt sich folgender unstrittiger Sachverhalt:
2
1.1. Die Revisionswerberin verfügt über eine Gewerbeberechtigung als „Adressenverlag und Direktwerbeunternehmen“. Sie betreibt eine Datenanwendung „DAM-Zielgruppenadressen“, um werbetreibenden Kunden personenbezogene Daten für zielgerichtete Marketingmaßnahmen entgeltlich zur Verfügung zu stellen.
3
Soweit hier von Relevanz wurden folgende Informationen über natürliche Personen verwendet und Dritten weitergegeben: Anrede, Vor- und Nachname, Adresse, Geburtsdatum und bestimmte Marketinginformationen wie u.a. Parteiaffinität, Paketaffinität und Umzugsaffinität.
4
Die Parteiaffinität enthielt die Angabe der jeweils auf die betreffende Person bezogenen Einschätzung über deren Affinität zu fünf in Österreich wahlwerbenden Parteien, indem bestimmten Personen betreffend ihre Affinität zu den wahlwerbenden Parteien jeweils einer der Werte „sehr niedrig“, „niedrig“, „hoch“ oder „sehr hoch“ zugeordnet sein konnte.
5
Im Zusammenhang mit dieser Tätigkeit erhob die Revisionswerberin seit 2017 Informationen zu den Parteiaffinitäten der gesamten österreichischen Bevölkerung basierend auf anonymen Umfragen durch hierzu beauftragte Meinungsforschungsinstitute, bei denen konkrete Fragen zum Interesse an Wahlwerbung gestellt wurden. In diesem Zusammenhang wurden soziodemografische Daten wie Alter, formale Bildung und Einkommensverhältnisse sowie Wohnort und etwaiges Interesse an Wahlwerbung durch die politischen Parteien abgefragt. Im Anschluss wurden anhand der soziodemografischen Daten und des Wohnorts Marketinggruppen gebildet und für jede dieser Marketinggruppen unter Berücksichtigung der Meinungsumfragen aber auch von regionalen Wahlergebnissen errechnet, mit welcher Wahrscheinlichkeit eine bestimmte Person mit bestimmten soziodemografischen Daten und Religionszugehörigkeit Interesse an Werbung von den genannten politischen Parteien hat. Durch die Einordnung einer konkreten Person in eine bestimmte Marketinggruppe wurden diesen Personen die für die jeweilige Marketinggruppe berechneten Wahrscheinlichkeitswerte und die sich ergebende Parteiaffinität zugeordnet.
6
Die Revisionswerberin hat für die Verarbeitung der Parteiaffinität keine Zustimmung von den betroffenen Personen eingeholt, denen Wahrscheinlichkeitswerte zugeordnet wurden. Insgesamt wurden etwa 2,2 Millionen verschiedenen Personen eine Parteiaffinität zugeschrieben. Ab 22. Februar 2019 verarbeitete die Revisionswerberin keine Parteiaffinitäten für den Adresshandel bzw. Marketingzwecke mehr und hat diese hinsichtlich jener Personen, die kein Auskunftsbegehren an sie gerichtet hatten, an diesem Tag gelöscht.
7
1.2. In der Datenanwendung DAM-Zielgruppenadressen wurden seit August 2017 bis Februar 2019 Paketaffinitäten für Personen zu Zwecken der Vermarktung mit statistischen Methoden auf Basis der Paketfrequenz einer bestimmten Region und soziodemografischer Daten ermittelt und zugeordnet. Davon waren zumindest mehrere hunderttausend Personen betroffen. Die Paketaffinitäten wurden bis zum 13. Mai 2019 gelöscht. Die Revisionswerberin hat für die zur Ermittlung der Paketaffinitäten erforderliche Weiterverarbeitung der Zustelldaten zur Erstellung der Paketfrequenz und in weiterer Folge zur Erstellung des Hochrechnungsmodells für die Paketaffinitäten keine Einwilligung der betroffenen Personen eingeholt.
8
1.3. In der Datenanwendung DAM-Zielgruppenadressen hat die Revisionswerberin von Jänner 2017 bis Februar 2019 auch Umzugsaffinitäten ermittelt und einzelnen Personen zugeordnet, um sie zu vermarkten. Die betroffenen Personen haben in die Weiterverarbeitung der Nachsendeaufträge zur Erstellung der „Umzugshäufigkeit“ und in weiterer Folge zur Erstellung des Hochrechnungsmodells für die „Umzugsaffinitäten“ nicht eingewilligt.
9
1.4. Die belangte Behörde leitete aufgrund von Medienberichten am 8. Jänner 2019 ein amtswegiges Prüfverfahren gegen die Revisionswerberin ein. Mit Aufforderung zur Rechtfertigung vom 20. Februar 2019 leitete die belangte Behörde ein Verwaltungsstrafverfahren in Bezug auf die der Revisionswerberin zur Last gelegten Übertretungen der DSGVO ein.
10
1.5. Mit Straferkenntnis vom 23. Oktober 2019 wurde der Revisionswerberin von der belangten Behörde zur Last gelegt, sie habe als Verantwortliche im Sinne des Art. 4 Z 7 Datenschutzgrundverordnung (DSGVO) Folgendes zu verantworten:1.5. Mit Straferkenntnis vom 23. Oktober 2019 wurde der Revisionswerberin von der belangten Behörde zur Last gelegt, sie habe als Verantwortliche im Sinne des Artikel 4, Ziffer 7, Datenschutzgrundverordnung (DSGVO) Folgendes zu verantworten:
„I. Die unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (‚Parteiaffinitäten‘) im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘; dies, indem keine Einwilligung der betroffenen Personen eingeholt wurde und die Datenverarbeitung auch sonst auf keinen der in Art. 9 DSGVO abschließend aufgezählten Tatbestände gestützt werden kann.„I. Die unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 9, DSGVO (‚Parteiaffinitäten‘) im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘; dies, indem keine Einwilligung der betroffenen Personen eingeholt wurde und die Datenverarbeitung auch sonst auf keinen der in Artikel 9, DSGVO abschließend aufgezählten Tatbestände gestützt werden kann.
II.römisch zwei.
a)
Die unrechtmäßige Weiterverarbeitung personenbezogener Daten, namentlich die Anzahl empfangener Pakete während eines bestimmten Zeitraumes (Paketfrequenz) und die Häufigkeit von Umzügen betroffener Personen im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘; dies, indem keine Einwilligung der betroffenen Personen eingeholt wurde und die Datenverarbeitung auch sonst auf keinen der in Art. 6 Abs. 1 DSGVO abschließend aufgezählten Rechtmäßigkeitstatbestände gestützt werden kann und die Daten betreffend die Paketfrequenz und die Umzugshäufigkeit einer nicht von Art 6 Abs. 4 DSGVO gedeckten Zweckänderung zugeführt wurden;Die unrechtmäßige Weiterverarbeitung personenbezogener Daten, namentlich die Anzahl empfangener Pakete während eines bestimmten Zeitraumes (Paketfrequenz) und die Häufigkeit von Umzügen betroffener Personen im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘; dies, indem keine Einwilligung der betroffenen Personen eingeholt wurde und die Datenverarbeitung auch sonst auf keinen der in Artikel 6, Absatz eins, DSGVO abschließend aufgezählten Rechtmäßigkeitstatbestände gestützt werden kann und die Daten betreffend die Paketfrequenz und die Umzugshäufigkeit einer nicht von Artikel 6, Absatz 4, DSGVO gedeckten Zweckänderung zugeführt wurden;
b)
in Bezug auf den Tatvorwurf der unrechtmäßigen Verarbeitung durch die Speicherung und den Verkauf personenbezogener Daten der Kategorien
wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt. wird das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer eins, (1. Fall) VStG eingestellt.
III. In Bezug auf den Tatvorwurf gegen die Beschuldigte, dadurch gegen ihre Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung betreffend die Anwendung ‚DAM-Zielgruppenadressen‘ verstoßen zu haben, indem die Datenschutz-Folgenabschätzung nicht im Zeitraum März bis Juni 2018, sondern zu einem späteren Zeitpunkt, jedenfalls aber nach dem 25. Mai 2018, durchgeführt wurde, wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.römisch drei. In Bezug auf den Tatvorwurf gegen die Beschuldigte, dadurch gegen ihre Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung betreffend die Anwendung ‚DAM-Zielgruppenadressen‘ verstoßen zu haben, indem die Datenschutz-Folgenabschätzung nicht im Zeitraum März bis Juni 2018, sondern zu einem späteren Zeitpunkt, jedenfalls aber nach dem 25. Mai 2018, durchgeführt wurde, wird das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer eins, (1. Fall) VStG eingestellt.
IV. Die Fehlerhaftigkeit der Datenschutz-Folgenabschätzung zur Anwendung ‚DAM-Zielgruppenadressen‘, da in dieser die Verarbeitung von besonderen Kategorien personenbezogener Daten verneint wurde, obwohl die ‚Parteiaffinität‘ errechnet und verarbeitet wurde, und dennoch im Ergebnis das Vorliegen eines hohen Risikos jedenfalls verneint wurde.römisch vier. Die Fehlerhaftigkeit der Datenschutz-Folgenabschätzung zur Anwendung ‚DAM-Zielgruppenadressen‘, da in dieser die Verarbeitung von besonderen Kategorien personenbezogener Daten verneint wurde, obwohl die ‚Parteiaffinität‘ errechnet und verarbeitet wurde, und dennoch im Ergebnis das Vorliegen eines hohen Risikos jedenfalls verneint wurde.
V. Die Fehlerhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit ‚DAM-Zielgruppenadressen‘, da laut diesemrömisch fünf. Die Fehlerhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit ‚DAM-Zielgruppenadressen‘, da laut diesem
a)
eine Verarbeitung besonders schutzwürdiger Daten, darunter auch die politische Meinung,
sowie
b)
eine umfangreiche Verarbeitung von sensiblen Daten verneint wird.
VI. Die Mangelhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit ‚DAM-Zielgruppenadressen‘, da darin nicht alle tatsächlich verarbeiteten Datenkategorien angeführt wurden und dieses sohin nicht ausreichend detailliert erstellt wurde.römisch sechs. Die Mangelhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit ‚DAM-Zielgruppenadressen‘, da darin nicht alle tatsächlich verarbeiteten Datenkategorien angeführt wurden und dieses sohin nicht ausreichend detailliert erstellt wurde.
VII. In Bezug auf den Tatvorwurf, wonach die Beschuldigte die Vornahme einer Konsultation gemäß Art. 36 DSGVO (zu Unrecht) unterlassen hat, wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.römisch sieben. In Bezug auf den Tatvorwurf, wonach die Beschuldigte die Vornahme einer Konsultation gemäß Artikel 36, DSGVO (zu Unrecht) unterlassen hat, wird das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer eins, (1. Fall) VStG eingestellt.
VIII. In Bezug auf den Tatvorwurf, wonach die Beschuldigte ihre Pflichten nach Art. 14 DSGVO nicht erfüllt hat, indem sie Betroffene nicht im erforderlichen Ausmaß darüber informiert, welche nicht direkt beim Betroffenen erhobenen Daten von wem und auf welche Weise erhoben und im Anschluss an Dritte übermittelt - bspw. verkauft oder auf andere Weise zur Verfügung gestellt - werden, wird das Verfahren gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt.römisch acht. In Bezug auf den Tatvorwurf, wonach die Beschuldigte ihre Pflichten nach Artikel 14, DSGVO nicht erfüllt hat, indem sie Betroffene nicht im erforderlichen Ausmaß darüber informiert, welche nicht direkt beim Betroffenen erhobenen Daten von wem und auf welche Weise erhoben und im Anschluss an Dritte übermittelt - bspw. verkauft oder auf andere Weise zur Verfügung gestellt - werden, wird das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer eins, (1. Fall) VStG eingestellt.
[...]
Die Verantwortliche hat dadurch folgende Rechtsvorschrift(en) verletzt:
Zu I.: Art. 5 Abs. 1 lit. a, Art. 9 iVm Art. 83 Abs. 5 lit. a DSGVOZu römisch eins.: Artikel 5, Absatz eins, Litera a,, Artikel 9, in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO
Zu II.a): Art. 5 Abs. 1 lit. a und lit. b, Art. 6 Abs. 1 und Abs. 4 iVm Art. 83 Abs. 5 lit. a DSGVOZu römisch zwei.a): Artikel 5, Absatz eins, Litera a, und Litera b,, Artikel 6, Absatz eins und Absatz 4, in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO
Zu IV.: Art. 35 iVm Art. 83 Abs. 4 lit. a DSGVOZu römisch vier.: Artikel 35, in Verbindung mit Artikel 83, Absatz 4, Litera a, DSGVO
Zu V. und VI.: Art. 30 iVm Art. 83 Abs. 4 lit. a DSGVO“.Zu römisch fünf. und römisch sechs.: Artikel 30, in Verbindung mit Artikel 83, Absatz 4, Litera a, DSGVO“.
11
Über die Revisionswerberin wurde gemäß Art. 83 Abs. 5 lit. a DSGVO eine Geldbuße iHv € 18.000.000 verhängt. Der Beitrag zu den Kosten des Strafverfahrens wurde gemäß § 64 Abs. 2 VStG mit € 1.800.000 festgesetzt.Über die Revisionswerberin wurde gemäß Artikel 83, Absatz 5, Litera a, DSGVO eine Geldbuße iHv € 18.000.000 verhängt. Der Beitrag zu den Kosten des Strafverfahrens wurde gemäß Paragraph 64, Absatz 2, VStG mit € 1.800.000 festgesetzt.
12
1.6. Zur Vorgeschichte des Revisionsverfahrens wird außerdem auf die Erkenntnisse des Verwaltungsgerichtshofes vom 14. Dezember 2021, Ro 2021/04/0007, und vom 1. Februar 2024, Ra 2020/04/0187, verwiesen.
13
2.1. Mit dem nunmehr angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der Revisionswerberin gegen das Straferkenntnis der Datenschutzbehörde vom 23. Oktober 2019 nach Durchführung einer mündlichen Verhandlung teilweise Folge, stellte das Verfahren hinsichtlich des Spruchpunktes II.a. des Straferkenntnisses, soweit es sich auf die Umzugshäufigkeit beziehe, gemäß § 45 Abs. 1 Z 1 zweiter Fall VStG ein (Spruchpunkt A) I.)), schränkte den Tatzeitraum zu Spruchpunkt II. des Straferkenntnisses ein auf: „ab 25.05.2018 bis Februar 2019“ (Spruchpunkt A) II.)) und setzte die Geldbuße gemäß § 30 DSG auf € 16.000.000 (Spruchpunkt A) III.)) und die Verfahrenskosten gemäß § 64 Abs. 2 VStG auf € 1.600.000 [Spruchpunkt A) IV. - bezeichnet als A) III.)] herab.2.1. Mit dem nunmehr angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der Revisionswerberin gegen das Straferkenntnis der Datenschutzbehörde vom 23. Oktober 2019 nach Durchführung einer mündlichen Verhandlung teilweise Folge, stellte das Verfahren hinsichtlich des Spruchpunktes römisch zwei.a. des Straferkenntnisses, soweit es sich auf die Umzugshäufigkeit beziehe, gemäß Paragraph 45, Absatz eins, Ziffer eins, zweiter Fall VStG ein (Spruchpunkt A) römisch eins.)), schränkte den Tatzeitraum zu Spruchpunkt römisch zwei. des Straferkenntnisses ein auf: „ab 25.05.2018 bis Februar 2019“ (Spruchpunkt A) römisch zwei.)) und setzte die Geldbuße gemäß Paragraph 30, DSG auf € 16.000.000 (Spruchpunkt A) römisch drei.)) und die Verfahrenskosten gemäß Paragraph 64, Absatz 2, VStG auf € 1.600.000 [Spruchpunkt A) römisch vier. - bezeichnet als A) römisch drei.)] herab.
14
Im Übrigen bestätigte das Verwaltungsgericht das angefochtene Straferkenntnis mit der Maßgabe, dass es zu lauten habe [Spruchpunkt A) V.) - bezeichnet als A) III.)]:Im Übrigen bestätigte das Verwaltungsgericht das angefochtene Straferkenntnis mit der Maßgabe, dass es zu lauten habe [Spruchpunkt A) römisch fünf.) - bezeichnet als A) römisch drei.)]:
a) in Spruchpunkt I. des Straferkenntnisses:a) in Spruchpunkt römisch eins. des Straferkenntnisses:
„Sie hat im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘ für ihr Produkt ‚DAM-Zielgruppenadressen‘ die Wahrscheinlichkeit, mit der sich eine natürliche Person für Wahlwerbung einer bestimmten Partei interessiert (‚Partei-Affinitäten‘) verarbeitet, nämlich für die in ihrer DAM-Datenbank enthaltenen natürlichen Personen berechnet, ihnen zugeordnet und gespeichert und verkauft, letzteres um es Dritten zu ermöglichen, Streuverluste in der Werbung zu verringern, nämlich
a)
zugeordnet und gespeichert bis zum 21.02.2019 für etwa 2,2 Millionen natürliche Personen und,
b)
bis zum 30.06.2018 berechnet für und verkauft an [S] hinsichtlich aller in a) genannten Daten und bis zum 21.02.2019 an [W] und [O] hinsichtlich aller in a) genannten Daten eingeschränkt auf natürliche Personen mit Adressen in [N].“
In Spruchpunkt II.a) des Straferkenntnisses:In Spruchpunkt römisch zwei.a) des Straferkenntnisses:
„1.) Sie hat für ihr Produkt ‚DAM-Zielgruppenadressen‘ hinsichtlich der in ihrer DAM-Datenbank enthaltenen Personen zumindest eine Liste der empfangenen Pakete samt dem Zeitpunkt ihres Empfangs aus dem Geschäftsbereich der Paketzustellung übernommen (‚Kennzahlen‘) und daraus die Paketfrequenz der jeweiligen Person berechnet, dh die Anzahl der Pakete, welche die Person in einem bestimmten Zeitraum empfangen hat, und in Folge die Daten anonymisiert, um daraus ein Hochrechnungsmodell für Marketingzwecke zu erstellen.
2.) Hinsichtlich des Vorwurfs, sie habe im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘ die ‚Umzugsaffinität‘, bzw die zu ihrer Berechnung verwendete ‚Umzugshäufigkeit‘, unrechtmäßig verarbeitet, wird das Verfahren gemäß § 45 Abs 1 Z 1 2. Fall VStG eingestellt.“2.) Hinsichtlich des Vorwurfs, sie habe im Rahmen der Ausübung des Gewerbes ‚Adressverlage und Direktmarketingunternehmen‘ die ‚Umzugsaffinität‘, bzw die zu ihrer Berechnung verwendete ‚Umzugshäufigkeit‘, unrechtmäßig verarbeitet, wird das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer eins, 2. Fall VStG eingestellt.“
In Spruchpunkt VI.) des Straferkenntnisses:In Spruchpunkt römisch sechs.) des Straferkenntnisses:
„Sie hat es unterlassen, ein mangelfreies Verzeichnis von Verarbeitungstätigkeiten zur Anwendung ‚DAM-Zielgruppenadressen‘ zu erstellen, indem sie es unterlassen hat, darin eine ausreichende Beschreibung der Datenkategorie ‚Marketing‘ aufzunehmen, nämlich
‚MARKETING, wie Teilzahler, Kundenkarten, Schnäppchenjäger, Tierliebhaber, Sport, Sinus Milieu, Neurotypen, Reisen, Bio, Nachtschwärmer, Freizeitgriller, Paket Score, Heimwerker, Onlinekäufer, Brand, Style High Fashion, Lebensphase, Partei-Affinität, Einkommen, Kaufkraft, Landwirtschaft, Anzahl Kinder, Baby, Kleinkind, Kind, Schulkind, Jugendliche, Familienstand‘“
b) in den verletzten Rechtsvorschriften zu den Spruchpunkten I., II. a.1., IV., V. und VI. des Straferkenntnisses:b) in den verletzten Rechtsvorschriften zu den Spruchpunkten römisch eins., römisch zwei. a.1., römisch vier., römisch fünf. und römisch sechs. des Straferkenntnisses:
„I. ‚Art 5 Abs 1 lit a iVm Art 9 Abs 1 iVm Art 83 Abs 5 lit a DSGVO’,„I. ‚Art 5 Absatz eins, Litera a, in Verbindung mit Artikel 9, Absatz eins, in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO’,
II.a.1.): ‚Art 5 Abs 1 lit a 2. und 3. Fall iVm Art 83 Abs 5 lit a DSGVO, Art 5 Abs 1 lit b iVm Art 6 Abs 4 iVm Art 83 Abs 5 lit a DSGVO’,römisch zwei.a.1.): ‚Art 5 Absatz eins, Litera a, 2. und 3. Fall in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO, Artikel 5, Absatz eins, Litera b, in Verbindung mit Artikel 6, Absatz 4, in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO’,
IV.: ‚Art 35 Abs 3 lit b iVm Art 35 Abs 7 lit c iVm Art 83 Abs 4 lit a DSGVO’römisch vier.: ‚Art 35 Absatz 3, Litera b, in Verbindung mit Artikel 35, Absatz 7, Litera c, in Verbindung mit Artikel 83, Absatz 4, Litera a, DSGVO’
V. und VI.: ‚Art 30 Abs 1 lit c DSGVO iVm Art 83 Abs 4 lit a DSGVO‘.“römisch fünf. und römisch sechs.: ‚Art 30 Absatz eins, Litera c, DSGVO in Verbindung mit Artikel 83, Absatz 4, Litera a, DSGVO‘.“
15
Die Revision erklärte das Verwaltungsgericht gemäß Art. 133 Abs. 4 B-VG für zulässig.Die Revision erklärte das Verwaltungsgericht gemäß Artikel 133, Absatz 4, B-VG für zulässig.
16
Die Spruchpunkte des angefochtenen Erkenntnisses werden im Folgenden in ihrer Reihenfolge A) I.) (Einstellung des Verfahrens betreffend Umzugshäufigkeit), II.) (Einschränkung des Tatzeitraums betreffend Paketfrequenzen), III.) (Geldbuße), IV.) (Verfahrenskosten), und V.) (Bestätigung des Straferkenntnisses mit näher genannter Maßgabe unter a), und Anpassung der verletzten Rechtsvorschriften unter b)) bezeichnet.Die Spruchpunkte des angefochtenen Erkenntnisses werden im Folgenden in ihrer Reihenfolge A) römisch eins.) (Einstellung des Verfahrens betreffend Umzugshäufigkeit), römisch zwei.) (Einschränkung des Tatzeitraums betreffend Paketfrequenzen), römisch drei.) (Geldbuße), römisch vier.) (Verfahrenskosten), und römisch fünf.) (Bestätigung des Straferkenntnisses mit näher genannter Maßgabe unter a), und Anpassung der verletzten Rechtsvorschriften unter b)) bezeichnet.
17
2.2. Das Verwaltungsgericht traf (über die Punkte I. 1.1. bis I. 1.3. hinausgehend) nachfolgende, für das Revisionsverfahren wesentliche Sachverhaltsfeststellungen:2.2. Das Verwaltungsgericht traf (über die Punkte römisch eins. 1.1. bis römisch eins. 1.3. hinausgehend) nachfolgende, für das Revisionsverfahren wesentliche Sachverhaltsfeststellungen:
18
Zur subjektiven Tatseite hinsichtlich der Parteiaffinitäten stellte das Verwaltungsgericht- soweit hier relevant - fest, die Revisionswerberin habe das Projekt „Fit für die DSGVO“ zur datenschutzrechtlichen Vorbereitung auf die DSGVO gestartet. Es seien u.a. Projektziele definiert worden, ein Lenkungsausschuss habe ab Dezember 2017 regelmäßig getagt und der Fortschritt sei per Ampelsystem kontrolliert worden. Für die organisatorische Ausgestaltung der Datenschutzstruktur sei ein externer Berater beigezogen worden. Organisatorisch seien in den einzelnen Fachbereichen sogenannte „Datenschutzmanager“ eingerichtet worden, denen die Beurteilung der datenschutzrechtlichen Zulässigkeit von Verarbeitungstätigkeiten übertragen worden sei. Die Datenschutzbeauftragte sei in die Prüfung der Datenanwendungen der jeweiligen Fachbereiche einzubeziehen gewesen.
19
Für den Bereich „DAM-Zielgruppenadressen“ sei L H als Datenschutzmanagerin zuständig gewesen. In den Jahren 2017 bis 2020 sei E W Datenschutzbeauftragte der Revisionswerberin gewesen. Das Verwaltungsgericht traf zur Datenschutzmanagerin und zur Datenschutzbeauftragten nähere Feststellungen zu deren Lebenslauf, zu deren datenschutzrechtlichen Kenntnissen sowie zu deren Aufgaben bei der Revisionswerberin.
20
L H habe die Datenanwendung „DAM-Zielgruppenadressen“ bereits vor Einführung der DSGVO, ca. im Jahr 2010 oder 2011, geprüft und als zulässig beurteilt. Sie sei auch ins Datenverarbeitungsregister eingetragen worden. Die Parteiaffinität sei damals aber noch nicht verarbeitet worden. Sie habe die Datenanwendung und damit auch die „Sinus-Geo-Milieus“ und Parteiaffinität im Zuge der Vorbereitung auf die DSGVO und erneut auf Grund einer öffentlichkeitswirksamen Debatte in Deutschland geprüft. Soweit die Verarbeitung der Parteiaffinität vom Direktmarketingverband Österreich und der A GmbH als zulässig erachtet worden sei, sei dies im Wesentlichen mit § 151 GewO 1994 begründet worden. Die Zulässigkeit sei nicht damit begründet worden, dass es sich bei den Affinitäten um keine personenbezogenen Daten handle.L H habe die Datenanwendung „DAM-Zielgruppenadressen“ bereits vor Einführung der DSGVO, ca. im Jahr 2010 oder 2011, geprüft und als zulässig beurteilt. Sie sei auch ins Datenverarbeitungsregister eingetragen worden. Die Parteiaffinität sei damals aber noch nicht verarbeitet worden. Sie habe die Datenanwendung und damit auch die „Sinus-Geo-Milieus“ und Parteiaffinität im Zuge der Vorbereitung auf die DSGVO und erneut auf Grund einer öffentlichkeitswirksamen Debatte in Deutschland geprüft. Soweit die Verarbeitung der Parteiaffinität vom Direktmarketingverband Österreich und der A GmbH als zulässig erachtet worden sei, sei dies im Wesentlichen mit Paragraph 151, GewO 1994 begründet worden. Die Zulässigkeit sei nicht damit begründet worden, dass es sich bei den Affinitäten um keine personenbezogenen Daten handle. 21
L H habe Rechtsrecherchen in der Rechtsdatenbank des Bundes (RIS) durchgeführt. Dabei habe sie eine Entscheidung der Datenschutzbehörde oder der Datenschutzkommission zu den „Sinus-Geo-Milieus“ gefunden. Sie habe diese Entscheidung dahingehend fehlinterpretiert, dass sie angenommen habe, dass die Datenschutzbehörde Marketingklassifikationen bzw. statistische Werte, die einzelnen Personen zugeschrieben worden seien, als nicht personenbezogen angesehen habe. Sie habe von der vermeintlichen Einordnung der „Sinus-Geo-Milieus“ als nicht personenbezogen auf die Parteiaffinität geschlossen.
22
L H habe weiters Vortragende in Datenschutzkursen, die sie zur Vorbereitung auf die DSGVO besucht habe, zur Frage der Zulässigkeit der Verarbeitung von Marketingklassifikationen in Hinblick auf § 151 GewO 1994 befragt, dabei u.a. Rechtsanwälte, aber keine befriedigende Antwort erhalten. Ein darüber hinausgehender Austausch mit Rechtsanwälten habe nicht stattgefunden.L H habe weiters Vortragende in Datenschutzkursen, die sie zur Vorbereitung auf die DSGVO besucht habe, zur Frage der Zulässigkeit der Verarbeitung von Marketingklassifikationen in Hinblick auf Paragraph 151, GewO 1994 befragt, dabei u.a. Rechtsanwälte, aber keine befriedigende Antwort erhalten. Ein darüber hinausgehender Austausch mit Rechtsanwälten habe nicht stattgefunden. 23
Letztlich habe sie die Frage des Personenbezuges auch in ihrem Team diskutiert. Einer ihrer Mitarbeiter habe im Februar 2018 Bedenken dahingehend geäußert, dass es sich bei den Parteiaffinitäten um personenbezogene Daten handeln könne und sie problematisch sein könnten. Diese Bedenken habe L H im wöchentlichen Jour Fixe mit den Teamleitern des Bereichs „DAM“ und dessen Leiter diskutiert, die Meinung sei aber nicht mehrheitsfähig gewesen. Die beteiligten Personen seien davon ausgegangen, dass die Bedenken nicht zuträfen, weil es sich bei den Affinitäten um keine personenbezogenen Daten handle. Zusätzlich sei die Meinung vertreten worden, dass ihre Verarbeitung durch die Gewerbeordnung gedeckt sei.
24
L H sei zu dem Ergebnis gekommen, dass es sich bei „Sinus-Geo-Milieus“ um statistische Daten handle, die nicht personenbezogen seien, und zwar auch dann nicht, wenn sie konkreten Personen zugeschrieben worden seien. Auf Grund der Ähnlichkeiten mit den „Sinus-Geo-Milieus“ sei sie in weiterer Folge davon ausgegangen, dass es sich auch bei den Parteiaffinitäten nicht um personenbezogene Daten handle.
25
Sie habe dieses Ergebnis mit der Datenschutzbeauftragten der Revisionswerberin besprochen. Auch die Datenschutzbeauftragte sei der Meinung gewesen, dass es sich bei statistischen Daten - trotz ihrer Zuordnung zu einer bestimmten Person - nicht um personenbezogene Daten handle, und habe daher die Datenanwendung DAM-Zielgruppenadressen und die Parteiaffinität als datenschutzrechtlich unproblematisch gesehen.
26
2.3. Zur Rechtslage zu Marketingklassifikationen vor dem 25. Mai 2018 führte das Verwaltungsgericht weiter aus, die Datenschutzkommission (DSK) und die Datenschutzbehörde (DSB) hätten im Zusammenhang mit Marketingklassifikationen vor dem 25. Mai 2018 zumindest drei Entscheidungen (DSK vom 20. Mai 2005, K120.908/0009-DSK/2005; DSB vom 10. März 2016, DSB-D122.322/0001-DSB/2016, und vom 6. Dezember 2017, DSB-D216.435/0005-DSB/2017) getroffen. Aus diesen Entscheidungen lasse sich ableiten, dass es sich bei Marketingklassifikationen bzw. bei Wahrscheinlichkeitswerten, die einzelnen Personen zugeschrieben würden, um personenbezogene Daten handle.
27
In der österreichischen Literatur gehe auch Jahnel in Handbuch Datenschutzrecht (2010), Rz 3/72, davon aus, dass mit Hilfe statistischer Hochrechnungen ermittelte Einschätzungen einer wahrscheinlichen Zugehörigkeit einer Person zu einer bestimmten Zielgruppe als personenbezogene Daten zu qualifizieren seien.
28
2.4. In Bezug auf die Datenschutz-Folgenabschätzung (DSFA) zur Datenanwendung „DAM-Zielgruppenadressen“ stellte das Verwaltungsgericht zur objektiven Tatseite fest, Anhang 2B-1 der DSFA zur Anwendung „DAM-Zielgruppenadressen“, mit dem Titel „Privacy Impact Assessment/DSFA (gem. Art. 35) - Zielgruppenadressen vor Berücksichtigung der technischen und organisatorischen Maßnahmen“ laute:2.4. In Bezug auf die Datenschutz-Folgenabschätzung (DSFA) zur Datenanwendung „DAM-Zielgruppenadressen“ stellte das Verwaltungsgericht zur objektiven Tatseite fest, Anhang 2B-1 der DSFA zur Anwendung „DAM-Zielgruppenadressen“, mit dem Titel „Privacy Impact Assessment/DSFA (gem. Artikel 35,) - Zielgruppenadressen vor Berücksichtigung der technischen und organisatorischen Maßnahmen“ laute:
29
Anhang 2D der DSFA „Zielgruppenadressen nach § 151 GewO“ unter der Überschrift „Gem. § 151 Abs. 6 erhobene Marketingklassifikationen“ laute:Anhang 2D der DSFA „Zielgruppenadressen nach Paragraph 151, GewO“ unter der Überschrift „Gem. Paragraph 151, Absatz 6, erhobene Marketingklassifikationen“ laute:
30 Kategorie
31 Ermittlungsart
32 Inhalt
33 Anmerkung
34 MARKETING
35 Errechnet
36 Partei-Affinität
37 Auf Grund von Marketinganalyse-verfahren zugeordnete Marketingklassifikation
38
Das „Zusammenfassende Ergebnis“ unter Punkt 2 laute:
„Aufgrund der Bewertung der Notwendigkeit und Verhältnismäßigkeit der beschriebenen Verarbeitungstätigkeit sowie der angeführten Maßnahmen zur Behandlung von identifizierten Risiken geht die [Revisionswerberin] davon aus, dass kein hohes Risiko [...] für die Rechte und Freiheiten von natürlichen Personen besteht.“
39
Zur subjektiven Tatseite betreffend die DSFA zur Datenanwendung „DAM-Zielgruppenadressen“ stellte das Verwaltungsgericht fest, da die Datenschutzmanagerin der Meinung gewesen sei, dass es sich bei der Marketingklassifikation Parteiaffinität um keine personenbezogenen Daten handle, habe sie die Parteiaffinität nicht darauf geprüft, ob sie besondere Kategorien von Daten sein könnten. Dementsprechend habe sie das Vorliegen besonderer Kategorien von Daten und in Folge das Vorliegen eines hohen Risikos in der DSFA verneint. Auch die Datenschutzbeauftragte sei davon ausgegangen, dass es sich bei den Parteiaffinitäten um keine personenbezogenen Daten handle, weshalb sie der Einschätzung der Datenschutzmanagerin gefolgt sei und nichts Abweichendes geraten habe.
40
2.5. Zum Verzeichnis der Verarbeitungstätigkeiten zur Datenanwendung „DAM-Zielgruppenadressen“ stellte das Verwaltungsgericht zur objektiven Tatseite fest, im Verzeichnis von Verarbeitungstätigkeiten (VVZ) der Revisionswerberin zur Anwendung „DAM-Zielgruppenadressen“ seien die verarbeiteten Datenarten wie folgt aufgeschlüsselt gewesen:
„[...]
DATEN
Kategorien personenbezogener Daten | Adressdaten, Daten zur Identifikation, Kontaktdaten, Marketing, Personenstammdaten
[...]“
41
Eine detailliertere Aufschlüsselung der Datenart „Marketing“ finde sich weder im Hauptdokument noch in etwaigen Anhängen zum VVZ. Die Revisionswerberin habe im Zusammenhang mit den genannten „Daten“ u.a. die folgenden Datenarten verarbeitet: Marketing, wie Teilzahler, Kundenkarten, Schnäppchenjäger, Tierliebhaber, Sport, Sinus Milieu, Neurotypen, Reisen, Bio, Nachtschwärmer, Freizeitgriller, Paket Score, Heimwerker, Onlinekäufer, Brand, Style High Fashion, Lebensphase, Partei-Affinität, Einkommen, Kaufkraft, Landwirtschaft, Anzahl Kinder, Baby, Kleinkind, Kind, Schulkind, Jugendliche, Familienstand.
42
Im VVZ der Revisionswerberin zur Anwendung „DAM-Zielgruppenadressen“ werde im Abschnitt „Risiken“ wie folgt ausgeführt:
„Erfolgt eine umfangreiche Bearbeitung von sensiblen Daten? | Nein [...] Erfolgt eine Verarbeitung besonders schutzbedürftiger Daten (Ethnische Herkunft, politische Meinung, ...)? | Nein“
43
Zur subjektiven Tatseite betreffend das VVZ zur Datenanwendung „DAM-Zielgruppenadressen“ stellte das Verwaltungsgericht fest, die Datenschutzmanagerin habe entschieden, dass eine umfangreiche Bearbeitung sensibler Daten und eine Verarbeitung besonders schutzbedürftiger Daten, darunter die politische Meinung, verneint werden solle, weil sie der Meinung gewesen sei, dass es sich bei der Marketingklassifikation Parteiaffinität um keine personenbezogenen Daten und damit auch nicht um besondere Kategorien personenbezogener Daten handle. Das VVZ hätte in einem Anhang die verarbeiteten Datenarten detailliert aufschlüsseln sollen. Aus einem Versehen sei der Anhang aber lediglich der DSFA als Anhang 2D „Verarbeitete Daten“, nicht jedoch auch dem VVZ angefügt worden. Dieser Anhang enthalte eine detaillierte Aufschlüsselung der verwendeten Datenarten, etwa der einzelnen Affinitäten.
44
2.6. Zur Neubemessung der Geldbuße stellte das Verwaltungsgericht fest, der Umsatz der Revisionswerberin betrage für das Geschäftsjahr 2018 € 1.804.099.563 und für das Geschäftsjahr 2023 € 2.033.836.266. Der konzernweite Umsatz der Revisionswerberin betrage für das Geschäftsjahr 2018 € 1.985,5 Millionen und für das Geschäftsjahr 2023 € 2.740,8 Millionen. In Q1-3 2024 habe die Revisionswerberin einen Umsatzerlös iHv € 2.237,6 Millionen erzielt.
45
2.7. In der rechtlichen Beurteilung führte das Verwaltungsgericht zu Spruchpunkt I. des Straferkenntnisses (unrechtmäßige Verarbeitung der Parteiaffinität) zur objektiven Tatseite - soweit hier relevant - aus, die Revisionswerberin habe entgegen dem ab 25. Mai 2018 anwendbaren Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO ab dem 25. Mai 2018 die Wahrscheinlichkeit, mit der sich eine betroffene Person für Wahlwerbung einer bestimmten Partei interessiere (Parteiaffinität[en]), und somit personenbezogene Daten, aus denen die politische Meinung hervorgehe, für betroffene Personen, nämlich die in der Kundendatenbank der Revisionswerberin enthaltenen natürlichen Personen, berechnet, ihnen zugeordnet und gespeichert und verkauft, und zwar2.7. In der rechtlichen Beurteilung führte das Verwaltungsgericht zu Spruchpunkt römisch eins. des Straferkenntnisses (unrechtmäßige Verarbeitung der Parteiaffinität) zur objektiven Tatseite - soweit hier relevant - aus, die Revisionswerberin habe entgegen dem ab 25. Mai 2018 anwendbaren Verarbeitungsverbot des Artikel 9, Absatz eins, DSGVO ab dem 25. Mai 2018 die Wahrscheinlichkeit, mit der sich eine betroffene Person für Wahlwerbung einer bestimmten Partei interessiere (Parteiaffinität[en]), und somit personenbezogene Daten, aus denen die politische Meinung hervorgehe, für betroffene Personen, nämlich die in der Kundendatenbank der Revisionswerberin enthaltenen natürlichen Personen, berechnet, ihnen zugeordnet und gespeichert und verkauft, und zwar
-
zugeordnet und gespeichert bis zum 22. Februar 2019 für etwa 2,2 Millionen natürliche Personen und
-
bis zum 30. Juni 2018 berechnet für und verkauft an [S] hinsichtlich aller Daten und bis zum 22. Februar 2019 an [W] und [O] hinsichtlich natürlicher Personen mit Adressen in [N],
und sohin verarbeitet.
46
Die Revisionswerberin habe mit Schriftsatz vom 11. November 2024 bekannt gegeben, dass sie die Rechtsansicht der Höchstgerichte akzeptiere und ihr Vorbringen, dass die Parteiaffinitäten keine personenbezogenen Daten und keine Daten über politische Meinungen seien, nicht weiter aufrecht halte.
47
Eine Ausnahme vom Verarbeitungsverbot liege nicht vor, zumal die Revisionswerberin die ausdrückliche Einwilligung der betroffenen Personen iSd Art. 9 Abs. 2 lit. a DSGVO nicht eingeholt habe, eine Verarbeitung auf Grund des Rechts eines Mitgliedstaats iSd Art. 9 Abs. 2 lit. g DSGVO iVm § 151 GewO 1994 ausscheide, weil die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß § 151 Abs. 4 GewO 1994 ebenfalls nur zulässig sei, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliege, und auch kein anderer der Erlaubnistatbestände des Art. 9 Abs. 2 DSGVO gegeben sei. Auch § 151 Abs. 6 GewO 1994 stelle keine taugliche Rechtsgrundlage für die Verarbeitung dar.Eine Ausnahme vom Verarbeitungsverbot liege nicht vor, zumal die Revisionswerberin die ausdrückliche Einwilligung der betroffenen Personen iSd Artikel 9, Absatz 2, Litera a, DSGVO nicht eingeholt habe, eine Verarbeitung auf Grund des Rechts eines Mitgliedstaats iSd Artikel 9, Absatz 2, Litera g, DSGVO in Verbindung mit Paragraph 151, GewO 1994 ausscheide, weil die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Paragraph 151, Absatz 4, GewO 1994 ebenfalls nur zulässig sei, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliege, und auch kein anderer der Erlaubnistatbestände des Artikel 9, Absatz 2, DSGVO gegeben sei. Auch Paragraph 151, Absatz 6, GewO 1994 stelle keine taugliche Rechtsgrundlage für die Verarbeitung dar. 48
Die Revisionswerberin habe damit gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO verstoßen. Die Strafbarkeit dieses Verstoßes gründe sich auf Art. 83 Abs. 5 lit. a DSGVO.Die Revisionswerberin habe damit gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO verstoßen. Die Strafbarkeit dieses Verstoßes gründe sich auf Artikel 83, Absatz 5, Litera a, DSGVO.
49
2.8. Der Revisionswerberin sei fahrlässiges Verhalten vorzuwerfen. Auf organisatorischer Seite sei der Revisionswerberin zwar zuzugestehen, dass sie sich mit beachtlichem Ressourcen-Aufwand auf die Anwendbarkeit der DSGVO vorbereitet habe. Die aus dem Projekt „Fit für die DSGVO“ herausgegangene Aufteilung zwischen der Erstbeurteilung einer Datenverwendung in den jeweiligen Fachbereichen einerseits und einer verpflichtenden Einbindung der Datenschutzbeauftragten andererseits scheine auf den ersten Blick zweckmäßig gewesen zu sein.
50
Im konkreten Fall habe allerdings die beachtliche Gefahr grundlegender juristischer Fehlinterpretationen aufgrund fehlender allgemeiner juristischer Kenntnisse und eines „Confirmation-Bias“ bestanden, dem organisatorisch - zumindest in der Übergangszeit auf die DSGVO - nicht Rechnung getragen worden sei.
51
Zwar hätten durch die Einbindung der Datenschutzbeauftragten die genannten Probleme verhindert oder zumindest reduziert werden können; die alleinige Nachprüfung durch die Datenschutzbeauftragte gerate aber bei einem großen Unternehmen wie der Revisionswerberin unweigerlich an ihre Grenzen, wenn bei der Vorbereitung auf die DSGVO sämtliche Datenanwendungen der Revisionswerberin zu prüfen seien. Es könne in so einem Fall nicht davon ausgegangen werden, dass genügend Zeit bestehe, um sich mit den jeweiligen Datenanwendungen ausreichend auseinanderzusetzen. Das sei der Revisionswerberin vorzuwerfen; entgegen ihrer Meinung habe damit auch kein wirksames Überwachungs- und Kontrollsystem vorgelegen, das eine verschuldensbegründende Zurechnung an die Revisionswerberin ausschließen habe können.
52
Hinsichtlich der konkreten Datenverarbeitungen seien die Datenschutzmanagerin und die Datenschutzbeauftragte davon ausgegangen, dass es sich bei statistischen Werten nicht um personenbezogene Daten handle, und zwar auch dann, wenn sie konkreten Personen zugeschrieben würden. Diese Rechtsansicht sei insbesondere vor dem Hintergrund der bereits vor Anwendbarkeit der DSGVO zur in diesen Aspekten vergleichbaren Datenschutz-Richtlinie (95/46/EG) und zum DSG 2000 vorliegenden Judikatur der Datenschutzkommission, der Datenschutzbehörde und des EuGH (Hinweis auf EuGH 20.12.2017, C-434/16, Nowak) unvertretbar (Hinweis auf VwGH 14.12.2021, Ro 2021/04/0007, Rn. 29 f, wonach vor dem Hintergrund [der Rechtsprechung Nowak] eine Qualifikation der Parteiaffinität als Information „über“ die betreffenden Personen „nicht ernstlich in Zweifel gezogen werden“ könne, und OGH 15.4.2021, 6 Ob 35/21x, Rn. 30, wonach sich das „gewünschte Auslegungsergebnis, wonach eine dem Kläger selbst zugeschriebene (hohe) Empfänglichkeit für Parteiwerbung [...] kein personenbezogenes Datum sein soll, aus Art 4 Z 1 DSGVO keinesfalls ableiten lässt“ und die Auslegung „unzweifelhaft“ sei). Dies gelte auch dann, wenn es noch keine ausdrückliche höchstgerichtliche Rechtsprechung zu den Parteiaffinitäten gegeben habe.Hinsichtlich der konkreten Datenverarbeitungen seien die Datenschutzmanagerin und die Datenschutzbeauftragte davon ausgegangen, dass es sich bei statistischen Werten nicht um personenbezogene Daten handle, und zwar auch dann, wenn sie konkreten Personen zugeschrieben würden. Diese Rechtsansicht sei insbesondere vor dem Hintergrund der bereits vor Anwendbarkeit der DSGVO zur in diesen Aspekten vergleichbaren Datenschutz-Richtlinie (95/46/EG) und zum DSG 2000 vorliegenden Judikatur der Datenschutzkommission, der Datenschutzbehörde und des EuGH (Hinweis auf EuGH 20.12.2017, C-434/16, Nowak) unvertretbar (Hinweis auf VwGH 14.12.2021, Ro 2021/04/0007, Rn. 29 f, wonach vor dem Hintergrund [der Rechtsprechung Nowak] eine Qualifikation der Parteiaffinität als Information „über“ die betreffenden Personen „nicht ernstlich in Zweifel gezogen werden“ könne, und OGH 15.4.2021, 6 Ob 35/21x, Rn. 30, wonach sich das „gewünschte Auslegungsergebnis, wonach eine dem Kläger selbst zugeschriebene (hohe) Empfänglichkeit für Parteiwerbung [...] kein personenbezogenes Datum sein soll, aus Artikel 4, Ziffer eins, DSGVO keinesfalls ableiten lässt“ und die Auslegung „unzweifelhaft“ sei). Dies gelte auch dann, wenn es noch keine ausdrückliche höchstgerichtliche Rechtsprechung zu den Parteiaffinitäten gegeben habe. 53
Der Datenschutzmanagerin sei vorzuwerfen, dass sie bei ihrer Meinungsbildung auffallend sorglos gewesen sei, zumal sie eine einschlägige datenschutzrechtliche Entscheidung denkunmöglich interpretiert und trotz der damit verbundenen drohenden massiven Auswirkungen, i.e. der drohenden Verarbeitung besonderer Kategorien personenbezogener Daten zahlreicher Personen, keine weiteren Rechercheschritte gesetzt habe.
54
Der Datenschutzbeauftragten sei vorzuwerfen, dass sie sich - in offenbarer Unkenntnis der bestehenden Rechtsprechung sowie trotz einer neuen Rechtslage - auf ihre bestehende (irrige) Meinung verlassen habe, dass es sich bei statistischen Daten auch dann um keine personenbezogenen Daten handle, wenn sie konkreten Personen zugeschrieben würden, und keine eigenen relevanten Recherchen durchgeführt habe.
55
Diese vorwerfbare Fehleinschätzung habe dazu geführt, dass die Revisionswerberin die Parteiaffinität nicht weiter dahingehend überprüft habe, ob es sich um eine besondere Kategorie von Daten iSd Art. 9 Abs. 1 DSGVO handle und ob und unter welchen Voraussetzungen ihre Verarbeitung zulässig hätte sein können. Dass eine objektive und sorgfältige Prüfung uU (wenngleich unzutreffend) ergeben hätte können, dass es sich bei den Parteiaffinitäten um keine besonderen Kategorien von Daten handle, könne die Fehler nicht heilen, zumal eine solche Prüfung gerade nicht durchgeführt worden sei.Diese vorwerfbare Fehleinschätzung habe dazu geführt, dass die Revisionswerberin die Parteiaffinität nicht weiter dahingehend überprüft habe, ob es sich um eine besondere Kategorie von Daten iSd Artikel 9, Absatz eins, DSGVO handle und ob und unter welchen Voraussetzungen ihre Verarbeitung zulässig hätte sein können. Dass eine objektive und sorgfältige Prüfung uU (wenngleich unzutreffend) ergeben hätte können, dass es sich bei den Parteiaffinitäten um keine besonderen Kategorien von Daten handle, könne die Fehler nicht heilen, zumal eine solche Prüfung gerade nicht durchgeführt worden sei.
56
Es sei von einem grob fahrlässigen Verhalten auszugehen. Dieses fahrlässige Verhalten müsse sich die Revisionswerberin zurechnen lassen; eine Handlung oder Kenntnis eines Leitungsorgans der Revisionswerberin sei hierfür nicht erforderlich (Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE).
57
Soweit die Revisionswerberin auf Entscheidungen, Vorgänge oder eine vereinzelt gebliebene abweichende Literaturmeinung verweise, sei ihr entgegen zu halten, dass - unabhängig von ihrem tatsächlichen Aussagegehalt - diese erst nach der Beurteilung der Datenverarbeitung durch die Revisionswerberin ergangen oder veröffentlicht worden seien, weshalb sie ihre Fehleinschätzung im Tatzeitraum nicht rechtfertigen könnten. Die Revisionswerberin hätte - selbst wenn man ihren Argumenten folgte - maximal Zweifel an der datenschutzrechtlichen Einordnung der Parteiaffinität haben können. In einem solchen Fall wäre sie aber gehalten gewesen, sich rechtlich fundiert, etwa mit einem externen und rechtlich fundierten Gutachten mit der Thematik zu beschäftigten, was sie nicht getan habe.
58
2.9. Zur Fehlerhaftigkeit der DSFA führte das Verwaltungsgericht aus, die Revisionswerberin habe u.a. die Parteiaffinitäten von Personen verarbeitet. Eine derart umfangreiche Verarbeitung von Daten iSv Art. 35 Abs. 3 lit. b DSGVO berge jedenfalls ein hohes Risiko, welches in einer ordnungsgemäßen DSFA auszuweisen sei.2.9. Zur Fehlerhaftigkeit der DSFA führte das Verwaltungsgericht aus, die Revisionswerberin habe u.a. die Parteiaffinitäten von Personen verarbeitet. Eine derart umfangreiche Verarbeitung von Daten iSv Artikel 35, Absatz 3, Litera b, DSGVO berge jedenfalls ein hohes Risiko, welches in einer ordnungsgemäßen DSFA auszuweisen sei.
59
Die gegenständlich von der Revisionswerberin in der DSFA zur Anwendung „DAM-Zielgruppenadressen“, wozu auch die Verarbeitung der Parteiaffinität gehöre, vorgenommene Bewertung, dass „kein hohes Risiko“ vorliege, sei daher unrichtig. Die DSFA sei demnach fehlerhaft gewesen bzw. sei nicht ordnungsgemäß durchgeführt worden. Damit sei der objektive Tatbestand einer Verletzung des Art. 35 Abs. 3 lit. b DSGVO iVm Art. 35 Abs. 7 lit. c DSGVO erfüllt. Die Strafbarkeit dieses Verstoßes gründe sich auf Art. 83 Abs. 4 lit. a DSGVO.Die gegenständlich von der Revisionswerberin in der DSFA zur Anwendung „DAM-Zielgruppenadressen“, wozu auch die Verarbeitung der Parteiaffinität gehöre, vorgenommene Bewertung, dass „kein hohes Risiko“ vorliege, sei daher unrichtig. Die DSFA sei demnach fehlerhaft gewesen bzw. sei nicht ordnungsgemäß durchgeführt worden. Damit sei der objektive Tatbestand einer Verletzung des Artikel 35, Absatz 3, Litera b, DSGVO in Verbindung mit Artikel 35, Absatz 7, Litera c, DSGVO erfüllt. Die Strafbarkeit dieses Verstoßes gründe sich auf Artikel 83, Absatz 4, Litera a, DSGVO.
60
Da die Fehlerhaftigkeit der Bewertung auf der unrichtigen Einordnung der Parteiaffinität als nicht personenbezogenes Datum beruhe, die als fahrlässig zu werten sei, müsse sich die Revisionswerberin den auf dem sorglosen Verhalten basierenden Folgefehler ebenfalls als fahrlässiges Verhalten zurechnen lassen.
61
Soweit die Revisionswerberin argumentiere, der Unrechtsgehalt sei bereits durch Spruchpunkt I. und die dort umschriebene Tathandlung abgegolten, sei ihr entgegenzuhalten, dass die Anforderungen an die Rechtmäßigkeit einer Datenverarbeitung und die Regelungen zu den Pflichten eines Verantwortlichen unterschiedliche Ziele verfolgten. Darüber hinaus sei eine DSFA vor Aufnahme der Verarbeitungstätigkeit durchzuführen, wohingegen sich die Rechtswidrigkeit immer erst nach Aufnahme der Verarbeitung herausstellen könne. Die beiden Verstöße fielen daher zwingend schon zeitlich auseinander. Insofern sei der Verstoß einer fehlerhaften DSFA nicht, wie von der Revisionswerberin behauptet, bereits durch die unrechtmäßige Verarbeitung iSv Spruchpunkt I. konsumiert.Soweit die Revisionswerberin argumentiere, der Unrechtsgehalt sei bereits durch Spruchpunkt römisch eins. und die dort umschriebene Tathandlung abgegolten, sei ihr entgegenzuhalten, dass die Anforderungen an die Rechtmäßigkeit einer Datenverarbeitung und die Regelungen zu den Pflichten eines Verantwortlichen unterschiedliche Ziele verfolgten. Darüber hinaus sei eine DSFA vor Aufnahme der Verarbeitungstätigkeit durchzuführen, wohingegen sich die Rechtswidrigkeit immer erst nach Aufnahme der Verarbeitung herausstellen könne. Die beiden Verstöße fielen daher zwingend schon zeitlich auseinander. Insofern sei der Verstoß einer fehlerhaften DSFA nicht, wie von der Revisionswerberin behauptet, bereits durch die unrechtmäßige Verarbeitung iSv Spruchpunkt römisch eins. konsumiert.
62
2.10. Zur Fehlerhaftigkeit des VVZ führte das Verwaltungsgericht aus, die Revisionswerberin habe in ihrem VVZ zu den verarbeiteten Kategorien personenbezogener Daten „eine umfangreiche Bearbeitung von sensiblen Daten“ bzw. „eine Verarbeitung besonders schutzbedürftiger Daten (Ethnische Herkunft, politische Meinung, ...)“ verneint, obwohl sie Parteiaffinitäten und sohin personenbezogene Daten, aus denen die politische Meinung hervorgehe, verarbeitet habe.
63
Diese Angaben der Revisionswerberin in ihrem VVZ zur Anwendung „DAM-Zielgruppenadressen“ seien daher objektiv falsch. Die ausdrückliche Verneinung der Verarbeitung von sensiblen bzw. besonders schutzbedürftigen Daten zur politischen Meinung erschwere es und könne es unmöglich machen, anhand dieses Verzeichnisses die Rechtmäßigkeit der vorliegenden Verarbeitung zu überprüfen. Damit sei der objektive Tatbestand einer Verletzung des Art. 30 Abs. 1 lit. c DSGVO erfüllt. Die Strafbarkeit dieses Verstoßes gründe auf Art. 83 Abs. 4 lit. a DSGVO. Da die Fehlerhaftigkeit der Angaben im VVZ auf der unrichtigen Einordnung der Parteiaffinität als nicht personenbezogenes Datum beruhe, die als fahrlässig zu werten sei, müsse sich die Revisionswerberin den auf dem sorglosen Verhalten basierenden Folgefehler als fahrlässiges Verhalten zurechnen lassen. Der Unrechtsgehalt dieses Verstoßes sei auch nicht durch die in Spruchpunkt I. umschriebene Tathandlung abgegolten.Diese Angaben der Revisionswerberin in ihrem VVZ zur Anwendung „DAM-Zielgruppenadressen“ seien daher objektiv falsch. Die ausdrückliche Verneinung der Verarbeitung von sensiblen bzw. besonders schutzbedürftigen Daten zur politischen Meinung erschwere es und könne es unmöglich machen, anhand dieses Verzeichnisses die Rechtmäßigkeit der vorliegenden Verarbeitung zu überprüfen. Damit sei der objektive Tatbestand einer Verletzung des Artikel 30, Absatz eins, Litera c, DSGVO erfüllt. Die Strafbarkeit dieses Verstoßes gründe auf Artikel 83, Absatz 4, Litera a, DSGVO. Da die Fehlerhaftigkeit der Angaben im VVZ auf der unrichtigen Einordnung der Parteiaffinität als nicht personenbezogenes Datum beruhe, die als fahrlässig zu werten sei, müsse sich die Revisionswerberin den auf dem sorglosen Verhalten basierenden Folgefehler als fahrlässiges Verhalten zurechnen lassen. Der Unrechtsgehalt dieses Verstoßes sei auch nicht durch die in Spruchpunkt römisch eins. umschriebene Tathandlung abgegolten.
64
2.11. Das VVZ sei weiters mangelhaft, weil darin zur Datenanwendung „DAM-Zielgruppenadressen“ zu den verarbeiteten Kategorien personenbezogener Daten „nur“ angegeben worden sei, dass „Adressdaten, Daten zur Identifikation, Kontaktdaten, Marketing, Personenstammdaten“ verarbeitet würden. Damit sei der objektive Tatbestand einer Verletzung des Art. 30 Abs. 1 lit. c DSGVO erfüllt.2.11. Das VVZ sei weiters mangelhaft, weil darin zur Datenanwendung „DAM-Zielgruppenadressen“ zu den verarbeiteten Kategorien personenbezogener Daten „nur“ angegeben worden sei, dass „Adressdaten, Daten zur Identifikation, Kontaktdaten, Marketing, Personenstammdaten“ verarbeitet würden. Damit sei der objektive Tatbestand einer Verletzung des Artikel 30, Absatz eins, Litera c, DSGVO erfüllt.
65
Die Revisionswerberin habe eine detaillierte Auflistung der verarbeiteten Datenkategorien erstellt, um sie dem VVZ und der DSFA als Anhang beizufügen. Die Revisionswerberin habe diesen Anhang versehentlich nicht dem VVZ, sondern nur der DSFA zugeordnet. Dieses Versehen müsse sie sich als fahrlässiges Verhalten zurechnen lassen, wobei hier gerade noch von einer Strafbarkeit auszugehen sei.
66
2.12. Zur Strafbemessung führte das Verwaltungsgericht - soweit hier relevant - aus, es sei von miteinander verbundenen Verarbeitungsvorgängen auszugehen, weil alle der Revisionswerberin vorgeworfenen Tathandlungen, Parteiaffinitäten von betroffenen Personen verarbeitet zu haben und hinsichtlich dieser Datenverarbeitung eine fehlerhafte DSFA und ein fehlerhaftes VVZ erstellt zu haben, die Anzahl empfangener Pakete während eines bestimmten Zeitraumes (Paketfrequenz) und Nachsendeaufträge weiterverarbeitet zu haben und hinsichtlich der Datenverarbeitung für die „DAM-Zielgruppenadressen“ ein mangelhaftes VVZ erstellt zu haben, vom selben Willen getragen seien und auf denselben Zweck abzielten, nämlich die Marketingdatenbank „DAM-Zielgruppenadressen“ zu erstellen und zu pflegen.
67
Zur Ermittlung der Geldbuße führte das Verwaltungsgericht zu den Parteiaffinitäten aus, da die Daten nach ihrer Berechnung in weiterer Folge nur an zwei politische Parteien zum Zwecke verkauft worden seien, um natürliche Personen zielgerichtet zu bewerben, sei durch die Berechnung, Zuordnung und Weitergabe lediglich von einem geringen ideellen Schaden der Betroffenen auszugehen. Vor dem Hintergrund, dass durch die Datenverarbeitung über einen längeren Zeitraum systematisch ein Großteil der in Österreich lebenden Menschen nach ihren vermuteten politischen Interessen eingestuft worden seien, sei aber von einem Verstoß mit hohem Schweregrad auszugehen.
68
Hinsichtlich der Fehlerhaftigkeit der DSFA und der Fehlerhaftigkeit des VVZ sei jeweils von einem Verstoß mit geringem Schweregrad auszugehen. Hinsichtlich der Mangelhaftigkeit des VVZ sei von einem Verstoß mit äußerst geringem Schweregrad auszugehen.
69
Mildernd zu werten seien die umfassende Zusammenarbeit der Revisionswerberin mit der Datenschutzbehörde und dem Verwaltungsgericht (Art. 83 Abs. 2 lit. f DSGVO), die Löschung der Daten zu den Parteiaffinitäten, die Beendigung der Weitergabe der Daten zur „Paketfrequenz“ zwischen den Geschäftsbereichen sowie die Reduzierung des Schadens durch die Revisionswerberin durch Vergleiche mit Betroffenen (Art. 83 Abs. 2 lit. c DSGVO) sowie die lange Verfahrensdauer von fünf Jahren und zehn Monaten (Art. 83 Abs. 2 lit. k DSGVO), die der Revisionswerberin nicht zugerechnet werden könne, zumal sie durch einen zweiten Rechtsgang und eine Aussetzung des Revisionsverfahrens bis zur Entscheidung des EuGH in der Rechtssache C-807/21, Deutsche Wohnen SE, bedingt gewesen sei.Mildernd zu werten seien die umfassende Zusammenarbeit der Revisionswerberin mit der Datenschutzbehörde und dem Verwaltungsgericht (Artikel 83, Absatz 2, Litera f, DSGVO), die Löschung der Daten zu den Parteiaffinitäten, die Beendigung der Weitergabe der Daten zur „Paketfrequenz“ zwischen den Geschäftsbereichen sowie die Reduzierung des Schadens durch die Revisionswerberin durch Vergleiche mit Betroffenen (Artikel 83, Absatz 2, Litera c, DSGVO) sowie die lange Verfahrensdauer von fünf Jahren und zehn Monaten (Artikel 83, Absatz 2, Litera k, DSGVO), die der Revisionswerberin nicht zugerechnet werden könne, zumal sie durch einen zweiten Rechtsgang und eine Aussetzung des Revisionsverfahrens bis zur Entscheidung des EuGH in der Rechtssache C-807/21, Deutsche Wohnen SE, bedingt gewesen sei.
70
Erschwerend sei der aus der rechtswidrigen Verarbeitung gezogene wirtschaftliche Vorteil der Revisionswerberin durch den Verkauf der Parteiaffinitäten als auch aus der Erstellung der Hochrechnungsmodelle für die Paketaffinitäten, die in weiterer Folge vermarktet worden seien (Art. 83 Abs. 2 lit. k DSGVO).Erschwerend sei der aus der rechtswidrigen Verarbeitung gezogene wirtschaftliche Vorteil der Revisionswerberin durch den Verkauf der Parteiaffinitäten als auch aus der Erstellung der Hochrechnungsmodelle für die Paketaffinitäten, die in weiterer Folge vermarktet worden seien (Artikel 83, Absatz 2, Litera k, DSGVO).
71
Einschlägige frühere Verstöße der Revisionswerberin lägen nicht vor, zumal zwar zwei Geldbußen gegen die Revisionswerberin verhängt worden seien, die sich aber gegen andere Rechtsgüter gerichtet hätten. Spezialpräventive Gründe zur Bestrafung der Revisionswerberin bestünden, zumal es ihr grundsätzlich offen stünde, die Tätigkeiten wieder aufzunehmen, soweit sie keine Unterlassungserklärungen abgegeben habe. Auch generalpräventive Gründe für eine Bestrafung lägen vor, zumal die Intention des Verordnungsgebers vereitelt würde, würde man, insbesondere in schweren Fällen, wie dem gegenständlichen, von einer Bestrafung absehen oder eine Geldbuße wesentlich reduzieren. Eine allfällige Orientierung an alten Verhaltensregeln und einer etwaigen Planung, sich neuen Verhaltensregeln zu unterwerfen, sei entgegen der Ansicht der Revisionswerberin nicht mildernd zu berücksichtigen, zumal sich die Revisionswerberin genehmigten Verhaltensregeln gerade nicht unterworfen habe (Art. 83 Abs. 2 lit. j DSGVO).Einschlägige frühere Verstöße der Revisionswerberin lägen nicht vor, zumal zwar zwei Geldbußen gegen die Revisionswerberin verhängt worden seien, die sich aber gegen andere Rechtsgüter gerichtet hätten. Spezialpräventive Gründe zur Bestrafung der Revisionswerberin bestünden, zumal es ihr grundsätzlich offen stünde, die Tätigkeiten wieder aufzunehmen, soweit sie keine Unterlassungserklärungen abgegeben habe. Auch generalpräventive Gründe für eine Bestrafung lägen vor, zumal die Intention des Verordnungsgebers vereitelt würde, würde man, insbesondere in schweren Fällen, wie dem gegenständlichen, von einer Bestrafung absehen oder eine Geldbuße wesentlich reduzieren. Eine allfällige Orientierung an alten Verhaltensregeln und einer etwaigen Planung, sich neuen Verhaltensregeln zu unterwerfen, sei entgegen der Ansicht der Revisionswerberin nicht mildernd zu berücksichtigen, zumal sich die Revisionswerberin genehmigten Verhaltensregeln gerade nicht unterworfen habe (Artikel 83, Absatz 2, Litera j, DSGVO).
72
Inwiefern die Aufwendungen der Revisionswerberin im Zuge der Vorbereitungen auf die DSGVO strafmildernd zu werten seien, sei nicht nachvollziehbar, zumal sie die Realisierung der hier in Frage stehenden Taten gerade nicht verhindert hätten. Soweit die Revisionswerberin mildernd vorbringe, sich in der DSFA um eine Risikoeinschätzung bemüht zu haben, sei ihr einerseits entgegen zu halten, dass die Risikoeinschätzung gerade unrichtig vorgenommen worden sei und andererseits eine Maßnahme nicht als mildernd gewertet werden könne, zu deren Durchführung die Revisionswerberin ohnehin rechtlich verpflichtet sei.
73
Für die von der Revisionswerberin gewünschte Bemessung der Geldbuße am tatbezogenen Umsatz fehle es an einer rechtlichen Grundlage, zumal Art. 83 Abs. 4 und 5 DSGVO auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahrs verweise. Hinsichtlich der - von der Revisionswerberin vorgebrachten - einwandfreien technisch-organisatorischen Maßnahmen sei kein Milderungsgrund anzunehmen, weil hinsichtlich der Bewertung der Parteiaffinität auch ein Organisationsverschulden vorgelegen habe. Das „Geständnis“ der Revisionswerberin sei nicht als mildernd zu werten, weil das bloße Zugeben von Tatsachen ohne Eingeständnis der subjektiven Merkmale des strafbaren Verhaltens nicht mildernd wirke und die Revisionswerberin in ihrem Verhalten gerade kein fahrlässiges Handeln erblickt habe.Für die von der Revisionswerberin gewünschte Bemessung der Geldbuße am tatbezogenen Umsatz fehle es an einer rechtlichen Grundlage, zumal Artikel 83, Absatz 4, und 5 DSGVO auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahrs verweise. Hinsichtlich der - von der Revisionswerberin vorgebrachten - einwandfreien technisch-organisatorischen Maßnahmen sei kein Milderungsgrund anzunehmen, weil hinsichtlich der Bewertung der Parteiaffinität auch ein Organisationsverschulden vorgelegen habe. Das „Geständnis“ der Revisionswerberin sei nicht als mildernd zu werten, weil das bloße Zugeben von Tatsachen ohne Eingeständnis der subjektiven Merkmale des strafbaren Verhaltens nicht mildernd wirke und die Revisionswerberin in ihrem Verhalten gerade kein fahrlässiges Handeln erblickt habe.
74
In einer Gesamtabwägung erscheine vor dem Hintergrund des von der Behörde noch herangezogenen (niedrigen) Umsatzes der Revisionswerberin iHv € 1.804.099.563 und einem nunmehr festgestellten konzernweiten Umsatzes der Revisionswerberin iHv € 1,985,5 Millionen die von der belangten Behörde ausgesprochene Strafe iHv € 18 Millionen am untersten Bereich angesetzt zu sein, um gerade noch wirksam, verhältnismäßig und angemessen zu sein.
75
Vor dem Hintergrund, dass im Vergleich zur Entscheidung durch die belangte Behörde das Verwaltungsgericht hinsichtlich des schwersten Vergehens, nämlich der Verarbeitung der Parteiaffinität von einer geringeren Anzahl an Betroffenen ausgehe, die Schadensminderung durch den Abschluss von Vergleichen und das Anbieten von Unterlassungserklärungen stärker ausgeprägt sei, das Verfahren hinsichtlich der Verarbeitung der „Umzugsfrequenz“ bzw. „Umzugsaffinitäten“ eingestellt worden sei, es hinsichtlich des Tatzeitraumes zu der Verarbeitung der „Paketfrequenz“ zu einer Einschränkung des Tatzeitraumes gekommen sei, spezialpräventive Gründe durch das Anbot und den Abschluss von Unterlassungserklärungen mit den Betroffenen - wodurch eine Widerbetätigung im Geschäftsfeld erschwert werde - reduziert seien, der Milderungsgrund der langen Verfahrensdauer hinzutrete und der Erschwernisgrund einer einschlägigen Vorstrafe entfallen sei, sei in einer Gesamtabwägung dennoch die Geldbuße mit € 16.000.000 und die Verfahrenskosten unter Berücksichtigung von § 64 VStG entsprechend herabzusetzen. Die Reduktion der Anzahl der Betroffenen sei nicht stärker zu berücksichtigen gewesen, weil im Endergebnis die Revisionswerberin dennoch über einen längeren Zeitraum systematisch einen Großteil der in Österreich lebenden Menschen nach ihren vermuteten politischen Interessen eingestuft habe.Vor dem Hintergrund, dass im Vergleich zur Entscheidung durch die belangte Behörde das Verwaltungsgericht hinsichtlich des schwersten Vergehens, nämlich der Verarbeitung der Parteiaffinität von einer geringeren Anzahl an Betroffenen ausgehe, die Schadensminderung durch den Abschluss von Vergleichen und das Anbieten von Unterlassungserklärungen stärker ausgeprägt sei, das Verfahren hinsichtlich der Verarbeitung der „Umzugsfrequenz“ bzw. „Umzugsaffinitäten“ eingestellt worden sei, es hinsichtlich des Tatzeitraumes zu der Verarbeitung der „Paketfrequenz“ zu einer Einschränkung des Tatzeitraumes gekommen sei, spezialpräventive Gründe durch das Anbot und den Abschluss von Unterlassungserklärungen mit den Betroffenen - wodurch eine Widerbetätigung im Geschäftsfeld erschwert werde - reduziert seien, der Milderungsgrund der langen Verfahrensdauer hinzutrete und der Erschwernisgrund einer einschlägigen Vorstrafe entfallen sei, sei in einer Gesamtabwägung dennoch die Geldbuße mit € 16.000.000 und die Verfahrenskosten unter Berücksichtigung von Paragraph 64, VStG entsprechend herabzusetzen. Die Reduktion der Anzahl der Betroffenen sei nicht stärker zu berücksichtigen gewesen, weil im Endergebnis die Revisionswerberin dennoch über einen längeren Zeitraum systematisch einen Großteil der in Österreich lebenden Menschen nach ihren vermuteten politischen Interessen eingestuft habe.
76
2.13. Die Zulässigkeit der Revision begründete das Verwaltungsgericht mit dem Fehlen von Rechtsprechung des Verwaltungsgerichtshofes zum Kumulationsprinzip des Art. 83 Abs. 3 DSGVO, nämlich nach welchen Kriterien zu unterscheiden sei, ob gleiche oder miteinander verbundene Verarbeitungsvorgänge iSd Art. 83 Abs. 3 DSGVO vorlägen.2.13. Die Zulässigkeit der Revision begründete das Verwaltungsgericht mit dem Fehlen von Rechtsprechung des Verwaltungsgerichtshofes zum Kumulationsprinzip des Artikel 83, Absatz 3, DSGVO, nämlich nach welchen Kriterien zu unterscheiden sei, ob gleiche oder miteinander verbundene Verarbeitungsvorgänge iSd Artikel 83, Absatz 3, DSGVO vorlägen.
77
3. Gegen die Spruchpunkte A) III.) bis V.) dieses Erkenntnisses richtet sich die ordentliche Revision der Revisionswerberin. Die belangte Behörde erstattete eine Revisionsbeantwortung und beantragte die Zurück-, in eventu die Abweisung der Revision sowie die Zuerkennung des Schriftsatzaufwandes.3. Gegen die Spruchpunkte A) römisch drei.) bis römisch fünf.) dieses Erkenntnisses richtet sich die ordentliche Revision der Revisionswerberin. Die belangte Behörde erstattete eine Revisionsbeantwortung und beantragte die Zurück-, in eventu die Abweisung der Revision sowie die Zuerkennung des Schriftsatzaufwandes.
78
4. Die Revision bringt zur Begründung ihrer Zulässigkeit auf das Wesentliche zusammengefasst vor, es fehle Rechtsprechung des Verwaltungsgerichtshofs zu der Frage, welchen Anforderungen ein Datenschutz-Compliancesystem zu genügen habe. Sofern ein taugliches Compliancesystem, wie von der Revisionswerberin, eingerichtet worden sei, begründe das Versagen des Compliancesystems im Einzelfall keine Strafbarkeit, weil das Verschulden entfalle. Das Verwaltungsgericht sei zudem von der Rechtsprechung des Verwaltungsgerichtshofs abgewichen, indem es ein Verschulden der Revisionswerberin festgestellt habe, obwohl bei der Revisionswerberin ein taugliches Datenschutz-Compliancesystem eingerichtet gewesen sei.
79
Es fehle außerdem im Hinblick auf die Rechtsprechung des EuGH an Rechtsprechung des Verwaltungsgerichtshofes, wie im Anwendungsbereich des Art. 83 DSGVO zu beurteilen sei, ob ein Verantwortlicher unverschuldet über die Rechtswidrigkeit seines Verhaltens im Unklaren gewesen sei, ob eine DSFA nach Art. 35 DSGVO und ein Verarbeitungsverzeichnis nach Art. 30 DSGVO gemäß der rechtlichen Einschätzung des Verantwortlichen zu führen seien oder ob diese Dokumente objektiv richtig zu sein hätten, wie die Geldbuße im Anwendungsbereich des Art. 83 DSGVO zu bemessen sei und ob im Anwendungsbereich des Art. 83 DSGVO - unabhängig von der Strafhöhe - Verfahrenskosten gemäß § 64 Abs. 2 VStG vorzuschreiben seien.Es fehle außerdem im Hinblick auf die Rechtsprechung des EuGH an Rechtsprechung des Verwaltungsgerichtshofes, wie im Anwendungsbereich des Artikel 83, DSGVO zu beurteilen sei, ob ein Verantwortlicher unverschuldet über die Rechtswidrigkeit seines Verhaltens im Unklaren gewesen sei, ob eine DSFA nach Artikel 35, DSGVO und ein Verarbeitungsverzeichnis nach Artikel 30, DSGVO gemäß der rechtlichen Einschätzung des Verantwortlichen zu führen seien oder ob diese Dokumente objektiv richtig zu sein hätten, wie die Geldbuße im Anwendungsbereich des Artikel 83, DSGVO zu bemessen sei und ob im Anwendungsbereich des Artikel 83, DSGVO - unabhängig von der Strafhöhe - Verfahrenskosten gemäß Paragraph 64, Absatz 2, VStG vorzuschreiben seien.
80
Das Verwaltungsgericht sei des Weiteren von der Rechtsprechung des Verwaltungsgerichtshofes abgewichen, indem es die Spruchpunkte IV. und V. des Straferkenntnisses der DSB bestätigt habe, obwohl der Unwert der darin vorgeworfenen Taten bereits durch Spruchpunkt I. des Straferkenntnisses der DSB konsumiert gewesen sei, und die Strafbemessung in unvertretbarer Weise vorgenommen habe.Das Verwaltungsgericht sei des Weiteren von der Rechtsprechung des Verwaltungsgerichtshofes abgewichen, indem es die Spruchpunkte römisch vier. und römisch fünf. des Straferkenntnisses der DSB bestätigt habe, obwohl der Unwert der darin vorgeworfenen Taten bereits durch Spruchpunkt römisch eins. des Straferkenntnisses der DSB konsumiert gewesen sei, und die Strafbemessung in unvertretbarer Weise vorgenommen habe.
81
5. Mit Beschluss vom 9. Dezember 2025, E 335/2025-19, lehnte der Verfassungsgerichtshof die Behandlung der gegen dieses Erkenntnis erhobenen Beschwerde der Revisionswerberin ab.
II.römisch zwei.
Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 2 VwGG gebildeten Senat erwogen:Der Verwaltungsgerichtshof hat in einem gemäß Paragraph 12, Absatz 2, VwGG gebildeten Senat erwogen:
82
1.1. Das vom Revisionswerber angefochtene Straferkenntnis der belangten Behörde enthielt - soweit die belangte Behörde das Verfahren zu einzelnen Vorwürfen nicht gemäß § 45 VStG einstellte - den Vorwurf, fünf verschiedene Verstöße gegen die DSGVO begangen zu haben, mithin fünf voneinander unabhängige Spruchpunkte. Auch das Verwaltungsgericht hat hinsichtlich der fünf angelasteten Verwaltungsübertretungen getrennte Absprüche getroffen. Liegen - wie hier - trennbare Absprüche vor, so ist die Zulässigkeit einer dagegen erhobenen Revision auch getrennt zu überprüfen (vgl. etwa VwGH 8.4.2026, Ra 2025/02/0228, Rn. 9 und 10, mwN).1.1. Das vom Revisionswerber angefochtene Straferkenntnis der belangten Behörde enthielt - soweit die belangte Behörde das Verfahren zu einzelnen Vorwürfen nicht gemäß Paragraph 45, VStG einstellte - den Vorwurf, fünf verschiedene Verstöße gegen die DSGVO begangen zu haben, mithin fünf voneinander unabhängige Spruchpunkte. Auch das Verwaltungsgericht hat hinsichtlich der fünf angelasteten Verwaltungsübertretungen getrennte Absprüche getroffen. Liegen - wie hier - trennbare Absprüche vor, so ist die Zulässigkeit einer dagegen erhobenen Revision auch getrennt zu überprüfen vergleiche , etwa VwGH 8.4.2026, Ra 2025/02/0228, Rn. 9 und 10, mwN). 83
Der Verwaltungsgerichtshof geht davon aus, dass sich die Revision nicht gegen Spruchpunkt A) V.) a), soweit das Verwaltungsgericht das Strafverfahren hinsichtlich des Vorwurfs, die Revisionswerberin habe im Rahmen der Ausübung des Gewerbes „Adressverlage und Direktmarketingunternehmen“ die „Umzugsaffinität“, bzw. die zu ihrer Berechnung verwendete „Umzugshäufigkeit“, unrechtmäßig verarbeitet, gemäß § 45 Abs. 1 Z 1 zweiter Fall VStG eingestellt hat, richtet.Der Verwaltungsgerichtshof geht davon aus, dass sich die Revision nicht gegen Spruchpunkt A) römisch fünf.) a), soweit das Verwaltungsgericht das Strafverfahren hinsichtlich des Vorwurfs, die Revisionswerberin habe im Rahmen der Ausübung des Gewerbes „Adressverlage und Direktmarketingunternehmen“ die „Umzugsaffinität“, bzw. die zu ihrer Berechnung verwendete „Umzugshäufigkeit“, unrechtmäßig verarbeitet, gemäß Paragraph 45, Absatz eins, Ziffer eins, zweiter Fall VStG eingestellt hat, richtet.
84
1.2. Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.1.2. Nach Artikel 133, Absatz 4, B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
85
Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.Nach Paragraph 34, Absatz eins, VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Artikel 133, Absatz 4, B-VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
86
Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B-VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision gesondert vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.Nach Paragraph 34, Absatz eins a, VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Artikel 133, Absatz 4, B-VG an den Ausspruch des Verwaltungsgerichtes gemäß Paragraph 25 a, Absatz eins, VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Artikel 133, Absatz 4, B-VG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision gesondert vorgebrachten Gründe (Paragraph 28, Absatz 3, VwGG) zu überprüfen.
87
1.3. Hinsichtlich des Spruchpunktes A) V.) a) und b) des angefochtenen Erkenntnisses, insoweit das Bundesverwaltungsgericht das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt II. a) hinsichtlich der Paketfrequenz mit näher genannter Maßgabe bestätigt und die verletzten Rechtsvorschriften genannt hat, enthält die Revision kein Zulässigkeitsvorbringen. Die Revision war daher in diesem Punkt gemäß § 34 Abs. 1 und 3 VwGG zurückzuweisen.1.3. Hinsichtlich des Spruchpunktes A) römisch fünf.) a) und b) des angefochtenen Erkenntnisses, insoweit das Bundesverwaltungsgericht das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt römisch zwei. a) hinsichtlich der Paketfrequenz mit näher genannter Maßgabe bestätigt und die verletzten Rechtsvorschriften genannt hat, enthält die Revision kein Zulässigkeitsvorbringen. Die Revision war daher in diesem Punkt gemäß Paragraph 34, Absatz eins, und 3 VwGG zurückzuweisen.
88
1.4. Die Zuständigkeit des Verwaltungsgerichtshofes zur Kontrolle der Entscheidungen der Verwaltungsgerichte ist nicht nur für den Fall einer außerordentlichen Revision, sondern auch bei ordentlichen Revisionen auf die Wahrnehmung von Rechtsfragen von grundsätzlicher Bedeutung im Sinn des Art. 133 Abs. 4 B-VG begrenzt. Auch in der ordentlichen Revision hat der Revisionswerber von sich aus die maßgeblichen Gründe für die Zulässigkeit der Revision aufzuzeigen, sofern er der Ansicht ist, dass die Begründung des Verwaltungsgerichtes für die Zulässigkeit der Revision nicht ausreicht oder er andere Rechtsfragen von grundsätzlicher Bedeutung für relevant erachtet (vgl. etwa VwGH 6.3.2026, Ro 2024/04/0003, Rn. 16, mwN).1.4. Die Zuständigkeit des Verwaltungsgerichtshofes zur Kontrolle der Entscheidungen der Verwaltungsgerichte ist nicht nur für den Fall einer außerordentlichen Revision, sondern auch bei ordentlichen Revisionen auf die Wahrnehmung von Rechtsfragen von grundsätzlicher Bedeutung im Sinn des Artikel 133, Absatz 4, B-VG begrenzt. Auch in der ordentlichen Revision hat der Revisionswerber von sich aus die maßgeblichen Gründe für die Zulässigkeit der Revision aufzuzeigen, sofern er der Ansicht ist, dass die Begründung des Verwaltungsgerichtes für die Zulässigkeit der Revision nicht ausreicht oder er andere Rechtsfragen von grundsätzlicher Bedeutung für relevant erachtet vergleiche , etwa VwGH 6.3.2026, Ro 2024/04/0003, Rn. 16, mwN). 89
Die Revisionswerberin nimmt auf die Ausführungen des Verwaltungsgerichts zur Zulässigkeit der Revision keinen Bezug, legt jedoch andere Gründe für die (in Punkt. I.4. dargestellte) Zulässigkeit dar.Die Revisionswerberin nimmt auf die Ausführungen des Verwaltungsgerichts zur Zulässigkeit der Revision keinen Bezug, legt jedoch andere Gründe für die (in Punkt. römisch eins.4. dargestellte) Zulässigkeit dar.
90
Die Revision ist in Bezug auf die übrigen angefochtenen Spruchpunkte A) III.) bis V.) des angefochtenen Erkenntnisses aufgrund der Ausführungen der Revisionswerberin zulässig. Sie ist teilweise auch begründet.Die Revision ist in Bezug auf die übrigen angefochtenen Spruchpunkte A) römisch drei.) bis römisch fünf.) des angefochtenen Erkenntnisses aufgrund der Ausführungen der Revisionswerberin zulässig. Sie ist teilweise auch begründet.
91
2. Art. 83 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lautet auszugsweise:2. Artikel 83, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lautet auszugsweise:
„Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a)
Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b)
Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c)
jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d)
Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e)
etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f)
Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g)
Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h)
Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i)
Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j)
Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k)
jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a)
die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;
[...]
(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a)
die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;
[...]
(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.
(8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.
(9) Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, kann dieser Artikel so angewandt werden, dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften.“
92
§ 5 Verwaltungsstrafgesetz 1991, BGBl. Nr. 52/1991 idF des Bundesgesetzes, mit dem das Einführungsgesetz zu den Verwaltungsverfahrensgesetzen 2008, das Allgemeine Verwaltungsverfahrensgesetz 1991, das Verwaltungsstrafgesetz 1991 und das Verwaltungsgerichtsverfahrensgesetz geändert werden, BGBl. I Nr. 57/2018, lautet:Paragraph 5, Verwaltungsstrafgesetz 1991, Bundesgesetzblatt Nr. 52 aus 1991, in der Fassung des Bundesgesetzes, mit dem das Einführungsgesetz zu den Verwaltungsverfahrensgesetzen 2008, das Allgemeine Verwaltungsverfahrensgesetz 1991, das Verwaltungsstrafgesetz 1991 und das Verwaltungsgerichtsverfahrensgesetz geändert werden, Bundesgesetzblatt Teil eins, Nr. 57 aus 2018,, lautet: „Schuld
§ 5. (1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.Paragraph 5, (1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.
(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.(1a) Absatz eins, zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.
(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.“
93
3.1. Die Revision wendet sich mit ihrem Vorbringen zunächst gegen die Beurteilung des Verschuldens durch das Verwaltungsgericht, wonach die Revisionswerberin durch die Verarbeitung der Daten zu Parteiaffinitäten grob fahrlässig gegen Art. 5 Abs. lit. a DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO verstoßen habe (Spruchpunkt A) V.) a) des angefochtenen Erkenntnisses).3.1. Die Revision wendet sich mit ihrem Vorbringen zunächst gegen die Beurteilung des Verschuldens durch das Verwaltungsgericht, wonach die Revisionswerberin durch die Verarbeitung der Daten zu Parteiaffinitäten grob fahrlässig gegen Artikel 5, Abs. Litera a, DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO verstoßen habe (Spruchpunkt A) römisch fünf.) a) des angefochtenen Erkenntnisses).
94
3.2. Der EuGH hat im Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, ausgesprochen, dass Art. 58 Abs. 2 lit. i und Art. 83 DSGVO einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.3.2. Der EuGH hat im Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, ausgesprochen, dass Artikel 58, Absatz 2, Litera i und Artikel 83, DSGVO einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Artikel 83, Absatz 4, bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.
95
Der EuGH führt in diesem Urteil in Zusammenhang mit der zweiten Vorlagefrage aus, dass sich aus dem Wortlaut von Art. 83 DSGVO ergibt, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können (Rn. 68 des zitierten EuGH-Urteiles). Art. 83 DSGVO gestattet es nicht, eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes zu verhängen, ohne dass nachgewiesen ist, dass dieser Verstoß von dem Verantwortlichen vorsätzlich oder fahrlässig begangen wurde (Rn. 75 des Urteiles).Der EuGH führt in diesem Urteil in Zusammenhang mit der zweiten Vorlagefrage aus, dass sich aus dem Wortlaut von Artikel 83, DSGVO ergibt, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können (Rn. 68 des zitierten EuGH-Urteiles). Artikel 83, DSGVO gestattet es nicht, eine Geldbuße wegen eines in Artikel 83, Absatz 4, bis 6 DSGVO genannten Verstoßes zu verhängen, ohne dass nachgewiesen ist, dass dieser Verstoß von dem Verantwortlichen vorsätzlich oder fahrlässig begangen wurde (Rn. 75 des Urteiles).
96
Im Zusammenhang mit der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Art. 83 DSGVO geahndet werden kann, stellt der EuGH klar, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt (Rn. 76 des Urteiles mHa EuGH 25.3.2021, C-591/16 P, Lundbeck/Kommission, Rn. 156; 25.3.2021, C-601/16 P, Arrow Group und Arrow Generics/Kommission, Rn. 97; 18.6.2013, C-681/11, Schenker & Co. u. a., Rn. 37, mwN). Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung von Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus (EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77, mwN).Im Zusammenhang mit der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Artikel 83, DSGVO geahndet werden kann, stellt der EuGH klar, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt (Rn. 76 des Urteiles mHa EuGH 25.3.2021, C-591/16 P, Lundbeck/Kommission, Rn. 156; 25.3.2021, C-601/16 P, Arrow Group und Arrow Generics/Kommission, Rn. 97; 18.6.2013, C-681/11, Schenker & Co. u. a., Rn. 37, mwN). Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung von Artikel 83, DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus (EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77, mwN).
97
Der EuGH stellt für das Verschulden des Verantwortlichen für Verstöße gegen die DSGVO demnach darauf ab, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Bewusstsein über den Rechtsverstoß ist keine Voraussetzung des Verschuldens. Der Maßstab zur Feststellung des Verschuldens eines Verantwortlichen für Verstöße gegen die DSGVO wurde damit durch den EuGH klargestellt. Für entgegenstehende nationalrechtliche Vorgaben bleibt insbesondere im Hinblick auf den Hinweis des EuGH in dem Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, dass die Mitgliedstaaten nicht berechtigt sind, über die von den Aufsichtsbehörden anzuwendenden verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Art. 83 Abs. 1 bis 6 DSGVO geregelten hinzutreten (vgl. Rn. 48 des Urteils), im nationalen Recht kein Raum (vgl. auch Boehm in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Art. 83 Rn. 46, wonach dem Urteil Deutsche Wohnen SE keine „besonders hohen Anforderungen“ an das Verschulden zu entnehmen seien). Für die Ermittlung des Verschuldens des Verantwortlichen hat demzufolge § 5 VStG außer Betracht zu bleiben, weil es ausschließlich auf die in der Rechtsprechung des EuGH als maßgeblich genannte Frage ankommt, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte.Der EuGH stellt für das Verschulden des Verantwortlichen für Verstöße gegen die DSGVO demnach darauf ab, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Bewusstsein über den Rechtsverstoß ist keine Voraussetzung des Verschuldens. Der Maßstab zur Feststellung des Verschuldens eines Verantwortlichen für Verstöße gegen die DSGVO wurde damit durch den EuGH klargestellt. Für entgegenstehende nationalrechtliche Vorgaben bleibt insbesondere im Hinblick auf den Hinweis des EuGH in dem Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, dass die Mitgliedstaaten nicht berechtigt sind, über die von den Aufsichtsbehörden anzuwendenden verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Artikel 83, Absatz eins, bis 6 DSGVO geregelten hinzutreten vergleiche , Rn. 48 des Urteils), im nationalen Recht kein Raum vergleiche , auch Boehm in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Artikel 83, Rn. 46, wonach dem Urteil Deutsche Wohnen SE keine „besonders hohen Anforderungen“ an das Verschulden zu entnehmen seien). Für die Ermittlung des Verschuldens des Verantwortlichen hat demzufolge Paragraph 5, VStG außer Betracht zu bleiben, weil es ausschließlich auf die in der Rechtsprechung des EuGH als maßgeblich genannte Frage ankommt, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte.
98
Bei der Festlegung dieses Verschuldensmaßstabes nimmt der EuGH Bezug auf seine kartellrechtliche Rechtsprechung. Mit Urteil vom 18. Juni 2013 in der Rechtssache C-681/11, Schenker & Co AG u.a., sprach der EuGH zur Auslegung des Art. 101 AEUV aus, dass ein Unternehmen, das gegen diese Bestimmung verstoßen hat, nicht der Verhängung einer Geldbuße entgehen kann, wenn der Zuwiderhandlung ein Irrtum dieses Unternehmens über die Rechtmäßigkeit seines Verhaltens zugrunde liegt, der auf dem Inhalt des Rechtsrats eines Anwalts oder einer Entscheidung einer nationalen Wettbewerbsbehörde beruht. Der EuGH verweist in diesem Urteil darauf, dass der Umstand, dass das betreffende Unternehmen sein Verhalten, auf dem die Feststellung der Zuwiderhandlung beruht, rechtlich unrichtig eingestuft hat, nicht dazu führen kann, dass ihm keine Geldbuße auferlegt wird, sofern es sich über die Wettbewerbswidrigkeit dieses Verhaltens nicht im Unklaren sein konnte (vgl. Rn. 38 des Urteils).Bei der Festlegung dieses Verschuldensmaßstabes nimmt der EuGH Bezug auf seine kartellrechtliche Rechtsprechung. Mit Urteil vom 18. Juni 2013 in der Rechtssache C-681/11, Schenker & Co AG u.a., sprach der EuGH zur Auslegung des Artikel 101, AEUV aus, dass ein Unternehmen, das gegen diese Bestimmung verstoßen hat, nicht der Verhängung einer Geldbuße entgehen kann, wenn der Zuwiderhandlung ein Irrtum dieses Unternehmens über die Rechtmäßigkeit seines Verhaltens zugrunde liegt, der auf dem Inhalt des Rechtsrats eines Anwalts oder einer Entscheidung einer nationalen Wettbewerbsbehörde beruht. Der EuGH verweist in diesem Urteil darauf, dass der Umstand, dass das betreffende Unternehmen sein Verhalten, auf dem die Feststellung der Zuwiderhandlung beruht, rechtlich unrichtig eingestuft hat, nicht dazu führen kann, dass ihm keine Geldbuße auferlegt wird, sofern es sich über die Wettbewerbswidrigkeit dieses Verhaltens nicht im Unklaren sein konnte vergleiche , Rn. 38 des Urteils).
99
In seinem Urteil vom 25. März 2021, C-601/16P, Arrow Group, Rn. 99, wies der EuGH darauf hin, dass eine unklare Rechtslage („legal uncertainty“) in Bezug auf das Vorliegen einer wettbewerbsbeschränkenden Vereinbarung dann nicht angenommen werden kann, wenn ständige Rechtsprechung („settled case-law“) zur Anwendung des Wettbewerbsrechts in Bereichen besteht, die durch das Vorhandensein von Rechten des geistigen Eigentums gekennzeichnet sind. Der EuGH stellte des Weiteren auf das Bewusstsein des Unternehmens darüber ab, dass dessen Verhalten zumindest aus wettbewerbsrechtlicher Sicht Probleme aufwerfen könne.
100
Das Gericht der Europäischen Union (EuG) stellte in seinem Urteil vom 12. Dezember 2012, T-332/09, Electrabel/Europäische Kommission, bei der Prüfung, ob hinsichtlich eines Verstoßes gegen die erste Fusionskontrollverordnung Fahrlässigkeit vorgelegen habe, zum einen darauf ab, dass die betroffene Klägerin ein Großunternehmen war, das über beträchtliche Mittel zur Prüfung der Rechtslage verfügte und bei zahlreichen Anlässen mit den unionsrechtlichen Vorschriften zu Zusammenschlüssen konfrontiert war (vgl. Rn. 250 des Urteiles des EuG). Zum anderen hielt das EuG in Bezug auf die Fahrlässigkeit fest, dass sich die Klägerin angesichts der - wenn auch weit zurückliegenden - Präzedenzfälle nicht darauf berufen konnte, dass es in dem betroffenen Rechtsbereich an Entscheidungspraxis fehle (vgl. EuG 12.12.2012, T-332/09, Electrabel/Europäische Kommission, Rn. 258; vgl. auch Illibauer in Knyrim, DatKomm Art. 83 DSGVO Rz 73/1 [Stand 1.10.2025, rdb.at]).Das Gericht der Europäischen Union (EuG) stellte in seinem Urteil vom 12. Dezember 2012, T-332/09, Electrabel/Europäische Kommission, bei der Prüfung, ob hinsichtlich eines Verstoßes gegen die erste Fusionskontrollverordnung Fahrlässigkeit vorgelegen habe, zum einen darauf ab, dass die betroffene Klägerin ein Großunternehmen war, das über beträchtliche Mittel zur Prüfung der Rechtslage verfügte und bei zahlreichen Anlässen mit den unionsrechtlichen Vorschriften zu Zusammenschlüssen konfrontiert war vergleiche , Rn. 250 des Urteiles des EuG). Zum anderen hielt das EuG in Bezug auf die Fahrlässigkeit fest, dass sich die Klägerin angesichts der - wenn auch weit zurückliegenden - Präzedenzfälle nicht darauf berufen konnte, dass es in dem betroffenen Rechtsbereich an Entscheidungspraxis fehle vergleiche , EuG 12.12.2012, T-332/09, Electrabel/Europäische Kommission, Rn. 258; vergleiche , auch Illibauer in Knyrim, DatKomm Artikel 83, DSGVO Rz 73/1 [Stand 1.10.2025, rdb.at]).
101
3.3. Für die Frage, wann ein Verhalten eines Verantwortlichen für einen Verstoß gegen die DSGVO als schuldhaft (vorsätzlich oder fahrlässig) anzusehen ist, kann des Weiteren auf die Leitlinien des Europäischen Datenschutzausschusses (EDSA) 04/2022 für die Berechnung von Geldbußen im Sinne der DSGVO, Vers 2.1, vom 24. Mai 2023 zurückgegriffen werden. In diesen wird zum Aspekt der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes nach Art. 83 Abs. 2 lit. b DSGVO ausgeführt (vgl. EDSA-Leitlinien 04/2022, Rn. 55-56):3.3. Für die Frage, wann ein Verhalten eines Verantwortlichen für einen Verstoß gegen die DSGVO als schuldhaft (vorsätzlich oder fahrlässig) anzusehen ist, kann des Weiteren auf die Leitlinien des Europäischen Datenschutzausschusses (EDSA) 04 aus 2022, für die Berechnung von Geldbußen im Sinne der DSGVO, Vers 2.1, vom 24. Mai 2023 zurückgegriffen werden. In diesen wird zum Aspekt der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes nach Artikel 83, Absatz 2, Litera b, DSGVO ausgeführt vergleiche , EDSA-Leitlinien 04 aus 2022,, Rn. 55-56):
„4.2.2 - Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes
55. In seinen früheren Leitlinien stellte der EDSA fest: Im Allgemeinen schließt der Begriff des ‚Vorsatzes‘ bei den Merkmalen einer Straftat Wissen und Wollen ein, während ‚nicht vorsätzlich‘ bedeutet, dass der Verstoß nicht absichtlich erfolgte, auch wenn der Verantwortliche bzw. Auftragsverarbeiter seine gesetzlich vorgeschriebene Sorgfaltspflicht verletzt hat. ‚Nicht vorsätzlich‘ in diesem Sinne ist nicht gleichbedeutend mit ‚unwillentlich‘.
Beispiel 4 - Veranschaulichung von Vorsatz und Fahrlässigkeit (aus WP 253):
‚Umstände, die auf vorsätzliche Verstöße hindeuten, liegen beispielsweise vor, wenn eine unrechtmäßige Verarbeitung von der obersten Führungsebene des Verantwortlichen genehmigt wurde oder wenn - entgegen den Empfehlungen des Datenschutzbeauftragten oder unter Missachtung bestehender Richtlinien - Daten über Mitarbeiter eines Wettbewerbers in der Absicht erfasst werden, diesen Wettbewerber auf dem Markt in Verruf zu bringen. Weitere mögliche Beispiele:
-
Änderung personenbezogener Daten in der Absicht, einen irreführenden (positiven) Eindruck über die Erreichung von Zielvorgaben zu vermitteln - ein entsprechender Fall wurde im Zusammenhang mit den Zielvorgaben für Krankenhauswartezeiten aufgedeckt;
-
Handel mit personenbezogenen Daten für Marketingzwecke, d. h. Verkauf als Daten, für die eine Zustimmung zur Verarbeitung vorliegt, ohne jedoch den Standpunkt der betroffenen Personen zur Verwendung ihrer Daten eingeholt zu haben oder zu beachten.
Andere Umstände, wie Versäumnisse beim Lesen und Einhalten vorhandener Richtlinien, Versäumnisse bei der Prüfung veröffentlichter Informationen auf personenbezogene Daten, Versäumnisse bei der zeitnahen Durchführung technischer Aktualisierungen, Versäumnisse bei der Umsetzung von Richtlinien (im Gegensatz zum schlichten Versäumnis ihrer Anwendung) können auf Fahrlässigkeit hindeuten.‘
Die Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83 Absatz 2 Buchstabe b DSGVO) sollte unter Berücksichtigung der objektiven Verhaltensweisen beurteilt werden, die sich aus dem Sachverhalt ergeben. Der EDSA hat darauf hingewiesen, dass allgemein anerkannt wird, dass vorsätzliche Verstöße, die ‚eine offenkundige Missachtung der gesetzlichen Bestimmungen darstellen, schwerwiegender sind als nicht vorsätzliche Verstöße‘. Im Falle eines vorsätzlichen Verstoßes wird die Aufsichtsbehörde diesem Faktor wahrscheinlich mehr Gewicht beimessen. Je nach den Umständen des Falles kann die Aufsichtsbehörde auch den Grad der Fahrlässigkeit berücksichtigen. Fahrlässigkeit könnte allenfalls als neutral angesehen werden.“
102
4.1. Aus dem Gesagten ergibt sich im Hinblick auf die Argumente der Revisionswerberin Folgendes:
103
Vorauszuschicken ist, dass der Verwaltungsgerichtshof in seinem Erkenntnis vom 14. Dezember 2021, Ro 2021/04/0007, festgehalten hat, dass sich das von der Revisionswerberin gewünschte Auslegungsergebnis, wonach die einer bestimmt bezeichneten Person zugeschriebene (hohe) Empfänglichkeit für Werbung konkreter Parteien kein personenbezogenes Datum sein soll, aus Art. 4 Z 1 DSGVO keinesfalls ableiten lässt. Ist aber das Ergebnis der Auslegung des Unionsrechts - wie hier - derart offenkundig, dass keinerlei Raum für einen vernünftigen Zweifel bleibt, ist im Sinn der „acte-clair“-Doktrin die Anrufung des EuGH entbehrlich (vgl. VwGH 14.12.2021, Ro 2021/04/0007, Rn. 40, mwN zur Rechtsprechung des EuGH). Der Verwaltungsgerichtshof hat sich in diesem Erkenntnis des Weiteren den Ausführungen des Obersten Gerichtshofes zum „Hervorgehen der politischen Meinung“ gemäß Art. 9 Abs. 1 DSGVO angeschlossen (Rn. 46 des Erkenntnisses) und festgehalten, dass die Angabe über die Parteiaffinität sehr wohl geeignet ist, einem objektiven Dritten hinreichend deutlich eine Haltung des Betroffenen den politischen Parteien gegenüber zu vermitteln (Rn. 48 des Erkenntnisses). Auf die Entscheidungsgründe des Erkenntnisses des Verwaltungsgerichtshofes vom 14. Dezember 2021, Ro 2021/04/0007, wird gemäß § 43 Abs. 2 zweiter Satz VwGG verwiesen.Vorauszuschicken ist, dass der Verwaltungsgerichtshof in seinem Erkenntnis vom 14. Dezember 2021, Ro 2021/04/0007, festgehalten hat, dass sich das von der Revisionswerberin gewünschte Auslegungsergebnis, wonach die einer bestimmt bezeichneten Person zugeschriebene (hohe) Empfänglichkeit für Werbung konkreter Parteien kein personenbezogenes Datum sein soll, aus Artikel 4, Ziffer eins, DSGVO keinesfalls ableiten lässt. Ist aber das Ergebnis der Auslegung des Unionsrechts - wie hier - derart offenkundig, dass keinerlei Raum für einen vernünftigen Zweifel bleibt, ist im Sinn der „acte-clair“-Doktrin die Anrufung des EuGH entbehrlich vergleiche , VwGH 14.12.2021, Ro 2021/04/0007, Rn. 40, mwN zur Rechtsprechung des EuGH). Der Verwaltungsgerichtshof hat sich in diesem Erkenntnis des Weiteren den Ausführungen des Obersten Gerichtshofes zum „Hervorgehen der politischen Meinung“ gemäß Artikel 9, Absatz eins, DSGVO angeschlossen (Rn. 46 des Erkenntnisses) und festgehalten, dass die Angabe über die Parteiaffinität sehr wohl geeignet ist, einem objektiven Dritten hinreichend deutlich eine Haltung des Betroffenen den politischen Parteien gegenüber zu vermitteln (Rn. 48 des Erkenntnisses). Auf die Entscheidungsgründe des Erkenntnisses des Verwaltungsgerichtshofes vom 14. Dezember 2021, Ro 2021/04/0007, wird gemäß Paragraph 43, Absatz 2, zweiter Satz VwGG verwiesen. 104
4.2. Die Revisionswerberin bestreitet diese Rechtsprechung in der Revision im Ergebnis nicht; ihr Vorbringen zielt darauf ab, dass sie sich im maßgeblichen Zeitraum über diese Auslegung nicht im Klaren sein habe können und sie aus diesem Grund kein Verschulden an dem Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO treffe.4.2. Die Revisionswerberin bestreitet diese Rechtsprechung in der Revision im Ergebnis nicht; ihr Vorbringen zielt darauf ab, dass sie sich im maßgeblichen Zeitraum über diese Auslegung nicht im Klaren sein habe können und sie aus diesem Grund kein Verschulden an dem Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO treffe.
105
Die Revisionswerberin führt dazu zunächst ins Treffen, sie habe ein taugliches Datenschutz-Compliance-System eingerichtet. Die Überwachung der Einhaltung der Datenschutzvorschriften sei auf mehreren Hierarchieebenen und in mehreren Strukturen (Linienstruktur, Datenschutzbeauftragte und Rechtsabteilung sowie Projektstruktur [„Fitness für die DSGVO“]) erfolgt. Ein Versagen dieses Datenschutz-Compliance-Systems im Einzelfall könne der Revisionswerberin nicht vorgeworfen werden; sie habe aufgrund der Einrichtung des - näher umschriebenen - tauglichen Datenschutz-Compliance-Systems nicht schuldhaft gehandelt.
106
4.3. Nach der genannten Rechtsprechung des EuGH kommt es für das Verschulden für einen Verstoß gegen die DSGVO ausschließlich auf die Frage an, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Nach der Rechtsprechung des EuGH setzt die Anwendung von Art. 83 DSGVO außerdem keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus. Die Einrichtung des von der Revisionswerberin beschriebenen Datenschutz-Compliance-Systems führt damit für sich genommen - ebenso wie die Einholung einer anwaltlichen Stellungnahme - nicht zu einer Exkulpierung im Hinblick auf die Rechtswidrigkeit der von der Revisionswerberin verarbeiteten Daten zu Parteiaffinitäten. Maßgeblich ist, ob die Revisionswerberin von der Rechtswidrigkeit der Datenverarbeitungen zu Parteiaffinitäten im Zeitraum der Verarbeitungen Kenntnis haben konnte.4.3. Nach der genannten Rechtsprechung des EuGH kommt es für das Verschulden für einen Verstoß gegen die DSGVO ausschließlich auf die Frage an, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Nach der Rechtsprechung des EuGH setzt die Anwendung von Artikel 83, DSGVO außerdem keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus. Die Einrichtung des von der Revisionswerberin beschriebenen Datenschutz-Compliance-Systems führt damit für sich genommen - ebenso wie die Einholung einer anwaltlichen Stellungnahme - nicht zu einer Exkulpierung im Hinblick auf die Rechtswidrigkeit der von der Revisionswerberin verarbeiteten Daten zu Parteiaffinitäten. Maßgeblich ist, ob die Revisionswerberin von der Rechtswidrigkeit der Datenverarbeitungen zu Parteiaffinitäten im Zeitraum der Verarbeitungen Kenntnis haben konnte.
107
Ob - wie in der Revision vorgebracht wird - die Revisionswerberin mit gutem Grund die Einhaltung der datenschutzrechtlichen Vorschriften aufgrund der Einrichtung einer qualitätsgesicherten Organisation (vgl. dazu VwGH 23.6.2021, Ro 2019/03/0020 bis 0021, Rn. 45 und 46, mHa grundlegend VwGH 20.3.2018, Ra 2017/03/0092, mwN) erwarten konnte, ist hingegen nach der Rechtsprechung des EuGH in der Rechtssache Deutsche Wohnen SE nicht maßgeblich, weil das Verschulden des Verantwortlichen - im Falle einer juristischen Person - nicht einmal Kenntnis des Leitungsorgans voraussetzt (vgl. EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77).Ob - wie in der Revision vorgebracht wird - die Revisionswerberin mit gutem Grund die Einhaltung der datenschutzrechtlichen Vorschriften aufgrund der Einrichtung einer qualitätsgesicherten Organisation vergleiche , dazu VwGH 23.6.2021, Ro 2019/03/0020 bis 0021, Rn. 45 und 46, mHa grundlegend VwGH 20.3.2018, Ra 2017/03/0092, mwN) erwarten konnte, ist hingegen nach der Rechtsprechung des EuGH in der Rechtssache Deutsche Wohnen SE nicht maßgeblich, weil das Verschulden des Verantwortlichen - im Falle einer juristischen Person - nicht einmal Kenntnis des Leitungsorgans voraussetzt vergleiche , EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77). 108
4.4. In diesem Zusammenhang bringt die Revisionswerberin - auf das Wesentliche zusammengefasst - des Weiteren vor, es treffe sie keine grobe Fahrlässigkeit an der Fehlbeurteilung des Personenbezugs der Marketingklassifikation Parteiaffinitäten. Die vom Verwaltungsgericht zitierten Entscheidungen der DSK und der DSB hätten nicht den Personenbezug von Marketingklassifikationen zum Gegenstand gehabt. Aus den Entscheidungen der DSB gehe außerdem zweifellos hervor, dass die Verarbeitung von Marketingklassifikationen auf § 151 Abs. 6 GewO 1994 gestützt werden habe dürfen, was die Revisionswerberin auch getan habe.4.4. In diesem Zusammenhang bringt die Revisionswerberin - auf das Wesentliche zusammengefasst - des Weiteren vor, es treffe sie keine grobe Fahrlässigkeit an der Fehlbeurteilung des Personenbezugs der Marketingklassifikation Parteiaffinitäten. Die vom Verwaltungsgericht zitierten Entscheidungen der DSK und der DSB hätten nicht den Personenbezug von Marketingklassifikationen zum Gegenstand gehabt. Aus den Entscheidungen der DSB gehe außerdem zweifellos hervor, dass die Verarbeitung von Marketingklassifikationen auf Paragraph 151, Absatz 6, GewO 1994 gestützt werden habe dürfen, was die Revisionswerberin auch getan habe. 109
Der Revisionswerberin sei auch nicht als grobe Fahrlässigkeit anzulasten, dass sie die Parteiaffinitäten als Ergebnis statistischer Hochrechnungen nicht als besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO eingestuft habe. Zum einen sei die Rechtslage dazu im Verarbeitungszeitraum unklar gewesen; zum anderen bestehe entgegen den Ausführungen des Verwaltungsgerichts kein Risiko der datenbasierten Diskriminierung. Gezielte politische Werbung sei zulässig; das einzige Risiko bestehe darin, dass Betroffene bestimmte, für sie irrelevante Werbung nicht erhielten.Der Revisionswerberin sei auch nicht als grobe Fahrlässigkeit anzulasten, dass sie die Parteiaffinitäten als Ergebnis statistischer Hochrechnungen nicht als besondere Kategorien personenbezogener Daten gemäß Artikel 9, Absatz eins, DSGVO eingestuft habe. Zum einen sei die Rechtslage dazu im Verarbeitungszeitraum unklar gewesen; zum anderen bestehe entgegen den Ausführungen des Verwaltungsgerichts kein Risiko der datenbasierten Diskriminierung. Gezielte politische Werbung sei zulässig; das einzige Risiko bestehe darin, dass Betroffene bestimmte, für sie irrelevante Werbung nicht erhielten.
110
4.5. Da die Revisionswerberin davon ausging, die Parteiaffinität sei nicht auf eine bestimmte, jeweils identifizierbare Person, sondern nur auf Personengruppen bezogen verarbeitet worden, ist für die Frage des Verschuldens der Revisionswerberin wesentlich, ob es sich dabei um eine im Zeitpunkt der Verarbeitung vertretbare Rechtsansicht handelte.
111
Im Hinblick auf die Rechtsprechung des EuGH und des EuG kommt dabei dem Vorliegen von Rechtsprechung (Präzedenzfällen), auf die der Verantwortliche seine Rechtsansicht stützen konnte, wesentliche Bedeutung zu (vgl. EuGH 25.3. 2021, C-601/16P, Arrow Group, Rn. 99; EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 258).Im Hinblick auf die Rechtsprechung des EuGH und des EuG kommt dabei dem Vorliegen von Rechtsprechung (Präzedenzfällen), auf die der Verantwortliche seine Rechtsansicht stützen konnte, wesentliche Bedeutung zu vergleiche , EuGH 25.3. 2021, C-601/16P, Arrow Group, Rn. 99; EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 258).
112
Das Verwaltungsgericht führte in dem angefochtenen Erkenntnis aus, die von der Revisionswerberin vertretene Rechtsansicht, dass es sich bei statistischen Werten nicht um personenbezogene Daten handle, und zwar auch dann, wenn sie konkreten Personen zugeschrieben würden, sei im Hinblick auf die bereits vor Anwendbarkeit der DSGVO zu diesen Aspekten vergleichbare Datenschutzrichtlinie (RL 95/46/EG) und die zum DSG 2000 vorliegende Rechtsprechung der Datenschutzbehörden (Datenschutzkommission und Datenschutzbehörde) unvertretbar, wobei sich das Verwaltungsgericht auf drei näher genannte Entscheidungen stützte.
113
Die Revisionswerberin tritt dieser Würdigung in der Revision nur insofern entgegen, als sie vorbringt, die Entscheidungen der DSB betonten, dass Einzelpersonen durch Marketingklassifikationen in keiner für Dritte erkennbaren Weise bewertet würden. Ob diesen Entscheidungen ein fehlender Personenbezug von Marketingklassifikationen unterstellt werden könne, sei außerdem irrelevant, weil aus allen Entscheidungen hervorgehe, dass die Verarbeitung von Marketingklassifikationen auf § 151 Abs. 6 GewO 1994 gestützt werden könne.Die Revisionswerberin tritt dieser Würdigung in der Revision nur insofern entgegen, als sie vorbringt, die Entscheidungen der DSB betonten, dass Einzelpersonen durch Marketingklassifikationen in keiner für Dritte erkennbaren Weise bewertet würden. Ob diesen Entscheidungen ein fehlender Personenbezug von Marketingklassifikationen unterstellt werden könne, sei außerdem irrelevant, weil aus allen Entscheidungen hervorgehe, dass die Verarbeitung von Marketingklassifikationen auf Paragraph 151, Absatz 6, GewO 1994 gestützt werden könne. 114
Es trifft zwar zu, dass die vom Verwaltungsgericht herangezogenen Entscheidungen der Datenschutzbehörden nicht unmittelbar die Frage des Personenbezuges von Marketingklassifikationen zum Gegenstand hatten. Gegenstand der Entscheidungen der Datenschutzkommission vom 20. Mai 2005, K120.908/0009-DSK/2005, und der Datenschutzbehörde vom 6. Dezember 2017, DSB-D216.435/0005-DSB/2017, und vom 13. Februar 2018, DSB-D122.754/0002-DSB/2018, sind jeweils Fragen der (vollständigen) Erteilung von Auskünften nach § 26 Abs. 1 und 4 Datenschutzgesetz 2000. Soweit in diesen Entscheidungen über den Inhalt und Umfang des Auskunftsrechts in Bezug auf Marketingklassifikationen abgesprochen wurde, ist dem Verwaltungsgericht allerdings dahingehend zuzustimmen, dass diese Entscheidungen das Vorliegen von „personenbezogenen Daten“ im Sinne des § 4 Z 1 DSG 2000 voraussetzten. Insofern bestanden für die - hier wesentliche - Frage, ob es sich bei Marketingklassifikationen um personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO handelt, in Bezug auf die Bildung einer vertretbaren Rechtsansicht einschlägige, von der Revisionswerberin bei ihrer Würdigung zu berücksichtigende Entscheidungen der Datenschutzbehörden.Es trifft zwar zu, dass die vom Verwaltungsgericht herangezogenen Entscheidungen der Datenschutzbehörden nicht unmittelbar die Frage des Personenbezuges von Marketingklassifikationen zum Gegenstand hatten. Gegenstand der Entscheidungen der Datenschutzkommission vom 20. Mai 2005, K120.908/0009-DSK/2005, und der Datenschutzbehörde vom 6. Dezember 2017, DSB-D216.435/0005-DSB/2017, und vom 13. Februar 2018, DSB-D122.754/0002-DSB/2018, sind jeweils Fragen der (vollständigen) Erteilung von Auskünften nach Paragraph 26, Absatz eins, und 4 Datenschutzgesetz 2000. Soweit in diesen Entscheidungen über den Inhalt und Umfang des Auskunftsrechts in Bezug auf Marketingklassifikationen abgesprochen wurde, ist dem Verwaltungsgericht allerdings dahingehend zuzustimmen, dass diese Entscheidungen das Vorliegen von „personenbezogenen Daten“ im Sinne des Paragraph 4, Ziffer eins, DSG 2000 voraussetzten. Insofern bestanden für die - hier wesentliche - Frage, ob es sich bei Marketingklassifikationen um personenbezogene Daten im Sinne des Artikel 4, Ziffer eins, DSGVO handelt, in Bezug auf die Bildung einer vertretbaren Rechtsansicht einschlägige, von der Revisionswerberin bei ihrer Würdigung zu berücksichtigende Entscheidungen der Datenschutzbehörden.
115
Auch die EDSA-Leitlinien weisen Versäumnisse beim Lesen und Einhalten vorhandener Richtlinien und Versäumnisse bei der Prüfung veröffentlichter Informationen auf personenbezogene Daten als Umstände aus, die auf Fahrlässigkeit hindeuten können (vgl. EDSA-Leitlinien 04/2022, S. 20-21).Auch die EDSA-Leitlinien weisen Versäumnisse beim Lesen und Einhalten vorhandener Richtlinien und Versäumnisse bei der Prüfung veröffentlichter Informationen auf personenbezogene Daten als Umstände aus, die auf Fahrlässigkeit hindeuten können vergleiche , EDSA-Leitlinien 04 aus 2022,, S. 20-21).
116
Die Schlussfolgerung des Verwaltungsgerichts, dass die Rechtsansicht, dass es sich bei statistischen Werten nicht um personenbezogene Daten handle, und zwar auch dann, wenn sie konkreten Personen zugeschrieben würden, im Zeitpunkt der gegenständlichen Verarbeitungen im Hinblick auf das Vorliegen von Entscheidungen der Datenschutzbehörden unvertretbar war, wird vor diesem Hintergrund schon im Hinblick auf die in der Rechtsprechung des EuGH und des EuG hervorgehobene Bedeutung von bestehender Entscheidungspraxis vom Verwaltungsgerichtshof geteilt.
117
4.6. Die Revisionswerberin bringt in der Revision des Weiteren vor, dass die Rechtslage insbesondere in Bezug auf die Einstufung von Marketingklassifikationen als besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO unklar und zum Verarbeitungszeitpunkt nicht vorhersehbar gewesen sei. Marketingklassifikationen seien keine Echtdaten, und eine Korrelation bestehe nur zur Personengruppe und nicht zur Einzelperson. Das Verarbeiten von Marketingklassifikationen für politische Werbung sei mit keinem Risiko verbunden, was auch von der Rechtsprechung „englischer Gerichte“ bestätigt worden sei. Das Verwaltungsgericht habe keine gesonderte Prüfung des Verschuldens der Revisionswerberin in Bezug auf die Einstufung der Parteiaffinitäten als besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO vorgenommen.4.6. Die Revisionswerberin bringt in der Revision des Weiteren vor, dass die Rechtslage insbesondere in Bezug auf die Einstufung von Marketingklassifikationen als besondere Kategorien von Daten gemäß Artikel 9, Absatz eins, DSGVO unklar und zum Verarbeitungszeitpunkt nicht vorhersehbar gewesen sei. Marketingklassifikationen seien keine Echtdaten, und eine Korrelation bestehe nur zur Personengruppe und nicht zur Einzelperson. Das Verarbeiten von Marketingklassifikationen für politische Werbung sei mit keinem Risiko verbunden, was auch von der Rechtsprechung „englischer Gerichte“ bestätigt worden sei. Das Verwaltungsgericht habe keine gesonderte Prüfung des Verschuldens der Revisionswerberin in Bezug auf die Einstufung der Parteiaffinitäten als besondere Kategorien von Daten gemäß Artikel 9, Absatz eins, DSGVO vorgenommen.
118
Dem ist entgegen zu halten, dass von einer unklaren Rechtslage in Bezug auf die Einstufung der Parteiaffinitäten als besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO schon im Hinblick auf die - bei der Ermittlung dieser Daten beabsichtigte - Wahrscheinlichkeit des Hervorgehens der politischen Meinung aus den verarbeiteten Daten und den Schutzweck des Art. 9 Abs. 1 DSGVO nicht auszugehen war (vgl. dazu erneut VwGH 14.12.2021, Ro 2021/04/0007, Rn. 46 bis 48). Die Rechtsansicht, wonach das Verarbeiten von Marketingklassifikationen für politische Werbung mit keinem Risiko für den Betroffenen verbunden sei, erweist sich schon vor diesem Hintergrund als unvertretbar.Dem ist entgegen zu halten, dass von einer unklaren Rechtslage in Bezug auf die Einstufung der Parteiaffinitäten als besondere Kategorien von Daten gemäß Artikel 9, Absatz eins, DSGVO schon im Hinblick auf die - bei der Ermittlung dieser Daten beabsichtigte - Wahrscheinlichkeit des Hervorgehens der politischen Meinung aus den verarbeiteten Daten und den Schutzweck des Artikel 9, Absatz eins, DSGVO nicht auszugehen war vergleiche , dazu erneut VwGH 14.12.2021, Ro 2021/04/0007, Rn. 46 bis 48). Die Rechtsansicht, wonach das Verarbeiten von Marketingklassifikationen für politische Werbung mit keinem Risiko für den Betroffenen verbunden sei, erweist sich schon vor diesem Hintergrund als unvertretbar. 119
Die Revisionswerberin behauptet zudem nicht einmal, die Frage, ob es sich bei den Parteiaffinitäten um besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO gehandelt habe, im Vorfeld der Verarbeitung dieser Daten gesondert geprüft zu haben. Die Revisionswerberin kann sich auch nicht auf § 151 Abs. 6 GewO 1994 als Grundlage der Verarbeitung der Parteiaffinitäten berufen, weil die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO gemäß § 151 Abs. 4 GewO 1994 idF des Materien-Datenschutz-Anpassungsgesetzes 2018, BGBl. I Nr. 32/2018, das ausdrückliche Einverständnis der betroffenen Personen zur Verarbeitung dieser Daten für Marketingzwecke Dritter voraussetzt.Die Revisionswerberin behauptet zudem nicht einmal, die Frage, ob es sich bei den Parteiaffinitäten um besondere Kategorien von Daten gemäß Artikel 9, Absatz eins, DSGVO gehandelt habe, im Vorfeld der Verarbeitung dieser Daten gesondert geprüft zu haben. Die Revisionswerberin kann sich auch nicht auf Paragraph 151, Absatz 6, GewO 1994 als Grundlage der Verarbeitung der Parteiaffinitäten berufen, weil die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Artikel 9, Absatz eins, DSGVO gemäß Paragraph 151, Absatz 4, GewO 1994 in der Fassung des Materien-Datenschutz-Anpassungsgesetzes 2018, Bundesgesetzblatt Teil eins, Nr. 32 aus 2018,, das ausdrückliche Einverständnis der betroffenen Personen zur Verarbeitung dieser Daten für Marketingzwecke Dritter voraussetzt. 120
4.7. Ausgehend davon ist die Beurteilung des Verwaltungsgerichts, die Rechtsansicht der Revisionswerberin, dass es sich bei den Parteiaffinitäten als statistische Werte nicht um personenbezogene Daten handle, auch wenn diese konkreten Personen zugeschrieben würden, begründe in Bezug auf den Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO grobe Fahrlässigkeit, nicht als rechtswidrig zu erkennen.4.7. Ausgehend davon ist die Beurteilung des Verwaltungsgerichts, die Rechtsansicht der Revisionswerberin, dass es sich bei den Parteiaffinitäten als statistische Werte nicht um personenbezogene Daten handle, auch wenn diese konkreten Personen zugeschrieben würden, begründe in Bezug auf den Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO grobe Fahrlässigkeit, nicht als rechtswidrig zu erkennen.
121
Von nur leichter Fahrlässigkeit ist gerade in Bezug auf das Bestehen von erheblichen Mitteln zur Prüfung der Rechtsfrage des Personenbezuges der Parteiaffinitäten bei der Revisionswerberin, die eine genaue Analyse der genannten Entscheidungen der Datenschutzbehörden für die Revisionswerberin leicht ermöglichten (vgl. dazu EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 250), nicht auszugehen.Von nur leichter Fahrlässigkeit ist gerade in Bezug auf das Bestehen von erheblichen Mitteln zur Prüfung der Rechtsfrage des Personenbezuges der Parteiaffinitäten bei der Revisionswerberin, die eine genaue Analyse der genannten Entscheidungen der Datenschutzbehörden für die Revisionswerberin leicht ermöglichten vergleiche , dazu EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 250), nicht auszugehen.
122
4.8. Vor diesem Hintergrund kann die Revision die Relevanz der in Bezug auf die Beurteilung des Verschuldens der Revisionswerberin vorgebrachten Feststellungs- und Begründungsmängel des angefochtenen Erkenntnisses nicht darlegen (zum Erfordernis der Relevanzdarstellung im Falle der Geltendmachung von Verfahrensmängeln vgl. VwGH 27.11.2025, Ra 2023/04/0118, Rn. 14, mwN).4.8. Vor diesem Hintergrund kann die Revision die Relevanz der in Bezug auf die Beurteilung des Verschuldens der Revisionswerberin vorgebrachten Feststellungs- und Begründungsmängel des angefochtenen Erkenntnisses nicht darlegen (zum Erfordernis der Relevanzdarstellung im Falle der Geltendmachung von Verfahrensmängeln vergleiche , VwGH 27.11.2025, Ra 2023/04/0118, Rn. 14, mwN). 123
5. Die Revision war daher in Bezug auf den Spruchpunkt A) V.) a) und b) soweit das Verwaltungsgericht das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt I. betreffend die Parteiaffinitäten mit näher genannter Maßgabe bestätigt und die verletzten Rechtsvorschriften genannt hat, als unbegründet abzuweisen.5. Die Revision war daher in Bezug auf den Spruchpunkt A) römisch fünf.) a) und b) soweit das Verwaltungsgericht das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt römisch eins. betreffend die Parteiaffinitäten mit näher genannter Maßgabe bestätigt und die verletzten Rechtsvorschriften genannt hat, als unbegründet abzuweisen.
124
6.1. In Bezug auf den Spruchpunkt A) V.) a) des angefochtenen Erkenntnisses, soweit damit die Beschwerde gegen das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt IV., betreffend die Fehlerhaftigkeit der Datenschutz-Folgenabschätzung als unbegründet abgewiesen wurde, sowie A) V.) a), soweit damit das Straferkenntnis der Datenschutzbehörde in seinen Spruchpunkten V., und VI. betreffend die Fehlerhaftigkeit und die Mangelhaftigkeit des VVZ mit näher genannter Maßgabe bestätigt und b) die verletzten Rechtsvorschriften bezeichnet wurden, erweist sich die Revision als zulässig und auch als begründet.6.1. In Bezug auf den Spruchpunkt A) römisch fünf.) a) des angefochtenen Erkenntnisses, soweit damit die Beschwerde gegen das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt römisch vier., betreffend die Fehlerhaftigkeit der Datenschutz-Folgenabschätzung als unbegründet abgewiesen wurde, sowie A) römisch fünf.) a), soweit damit das Straferkenntnis der Datenschutzbehörde in seinen Spruchpunkten römisch fünf., und römisch sechs. betreffend die Fehlerhaftigkeit und die Mangelhaftigkeit des VVZ mit näher genannter Maßgabe bestätigt und b) die verletzten Rechtsvorschriften bezeichnet wurden, erweist sich die Revision als zulässig und auch als begründet.
125
6.2. Art. 30 Abs. 1 DSGVO lautet auszugsweise:6.2. Artikel 30, Absatz eins, DSGVO lautet auszugsweise:
„Artikel 30
Verzeichnis von Verarbeitungstätigkeiten
(1) Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben:
[...]
c)
eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten;
[...]
(3) Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.
(4) Der Verantwortliche oder der Auftragsverarbeiter sowie gegebenenfalls der Vertreter des Verantwortlichen oder des Auftragsverarbeiters stellen der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung.
[...]“
126
Art. 35 DSGVO lautet auszugsweise:Artikel 35, DSGVO lautet auszugsweise:
„Artikel 35
Datenschutz-Folgenabschätzung
(1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.
[...]
(3) Eine Datenschutz-Folgenabschätzung gemäß Absatz 1 ist insbesondere in folgenden Fällen erforderlich:
[...]
b)
umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 oder
[...]
(7) Die Folgenabschätzung enthält zumindest Folgendes:
a)
eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen;
b)
eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;
c)
eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und
d)
die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird.
[...]“
127
6.3. Die Revisionswerberin bringt vor, die DSFA und das VVZ seien ausgehend von ihrer Rechtsansicht objektiv richtig bzw. vollständig gewesen; der Unrechtsgehalt eines Verstoßes gegen die Pflichten der Revisionswerberin als Verantwortliche sei außerdem durch den Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO konsumiert.6.3. Die Revisionswerberin bringt vor, die DSFA und das VVZ seien ausgehend von ihrer Rechtsansicht objektiv richtig bzw. vollständig gewesen; der Unrechtsgehalt eines Verstoßes gegen die Pflichten der Revisionswerberin als Verantwortliche sei außerdem durch den Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO konsumiert.
128
Nach den Feststellungen des Verwaltungsgerichts nahm die Revisionswerberin die Parteiaffinitäten in den Anhang zur Datenanwendung „DAM-Zielgruppenadressen“ unter „Zielgruppenadressen nach § 151 GewO“ und „Gem. § 151 Abs. 6 erhobene Marketingklassifikationen“ auf und bewertete das Risiko in diesem Zusammenhang im Ergebnis der DSFA mit „kein hohes Risiko“. Das Verwaltungsgericht ging in seiner rechtlichen Würdigung vom Vorliegen eines Verstoßes gegen Art. 35 Abs. 3 lit. b iVm Art. 35 Abs. 7 lit. c DSGVO aus, weil die Wertung der Revisionswerberin in ihrer DSFA, dass in Bezug auf die Parteiaffinitäten kein hohes Risiko vorliege, aufgrund der Verarbeitung besonderer Kategorien von personenbezogenen Daten unrichtig sei.Nach den Feststellungen des Verwaltungsgerichts nahm die Revisionswerberin die Parteiaffinitäten in den Anhang zur Datenanwendung „DAM-Zielgruppenadressen“ unter „Zielgruppenadressen nach Paragraph 151, GewO“ und „Gem. Paragraph 151, Absatz 6, erhobene Marketingklassifikationen“ auf und bewertete das Risiko in diesem Zusammenhang im Ergebnis der DSFA mit „kein hohes Risiko“. Das Verwaltungsgericht ging in seiner rechtlichen Würdigung vom Vorliegen eines Verstoßes gegen Artikel 35, Absatz 3, Litera b, in Verbindung mit Artikel 35, Absatz 7, Litera c, DSGVO aus, weil die Wertung der Revisionswerberin in ihrer DSFA, dass in Bezug auf die Parteiaffinitäten kein hohes Risiko vorliege, aufgrund der Verarbeitung besonderer Kategorien von personenbezogenen Daten unrichtig sei.
129
In Bezug auf das VVZ gründete das Verwaltungsgericht die Verletzung des Art. 30 Abs. 1 lit. c DSGVO darauf, dass die Revisionswerberin zu den verarbeiteten Kategorien personenbezogener Daten „eine umfangreiche Bearbeitung von sensiblen Daten“ bzw „eine Verarbeitung besonders schutzbedürftiger Daten (Ethnische Herkunft, politische Meinung, ...)“ verneint habe, obwohl sie Parteiaffinitäten und sohin personenbezogene Daten, aus denen die politische Meinung hervorgehe, verarbeitet habe. Das VVZ sei daher objektiv falsch (Fehlerhaftigkeit des VVZ).In Bezug auf das VVZ gründete das Verwaltungsgericht die Verletzung des Artikel 30, Absatz eins, Litera c, DSGVO darauf, dass die Revisionswerberin zu den verarbeiteten Kategorien personenbezogener Daten „eine umfangreiche Bearbeitung von sensiblen Daten“ bzw „eine Verarbeitung besonders schutzbedürftiger Daten (Ethnische Herkunft, politische Meinung, ...)“ verneint habe, obwohl sie Parteiaffinitäten und sohin personenbezogene Daten, aus denen die politische Meinung hervorgehe, verarbeitet habe. Das VVZ sei daher objektiv falsch (Fehlerhaftigkeit des VVZ).
130
Das VVZ sei weiters mangelhaft, weil darin zur Datenanwendung „DAM-Zielgruppenadressen“ zu den verarbeiteten Kategorien personenbezogener Daten „nur“ angegeben worden sei, dass „Adressdaten, Daten zur Identifikation, Kontaktdaten, Marketing, Personenstammdaten“ verarbeitet würden. Da die Revisionswerberin die nach Art. 30 Abs. 1 lit. c DSGVO vorzunehmende Detaillierung von Datenkategorien nicht vorgenommen habe, passte das Verwaltungsgericht den Spruch des Straferkenntnisses in dessen Punkt VI. dahingehend an, dass die Revisionswerberin es unterlassen habe, sämtliche zur Anwendung „DAM-Zielgruppenadressen“ verarbeiteten Daten in dem VVZ detailliert zu beschreiben, und listete die Beschreibung der Datenkategorie „Marketing“ im Spruch des angefochtenen Erkenntnisses unter A) V.) a) betreffend den Spruchpunkt VI. des Straferkenntnisses der DSB auf.Das VVZ sei weiters mangelhaft, weil darin zur Datenanwendung „DAM-Zielgruppenadressen“ zu den verarbeiteten Kategorien personenbezogener Daten „nur“ angegeben worden sei, dass „Adressdaten, Daten zur Identifikation, Kontaktdaten, Marketing, Personenstammdaten“ verarbeitet würden. Da die Revisionswerberin die nach Artikel 30, Absatz eins, Litera c, DSGVO vorzunehmende Detaillierung von Datenkategorien nicht vorgenommen habe, passte das Verwaltungsgericht den Spruch des Straferkenntnisses in dessen Punkt römisch sechs. dahingehend an, dass die Revisionswerberin es unterlassen habe, sämtliche zur Anwendung „DAM-Zielgruppenadressen“ verarbeiteten Daten in dem VVZ detailliert zu beschreiben, und listete die Beschreibung der Datenkategorie „Marketing“ im Spruch des angefochtenen Erkenntnisses unter A) römisch fünf.) a) betreffend den Spruchpunkt römisch sechs. des Straferkenntnisses der DSB auf.
131
6.4. Das nach Art. 30 Abs. 1 DSGVO vom Verantwortlichen zu führende VVZ soll den Nachweis ermöglichen, dass der Verantwortliche personenbezogene Daten im Einklang mit der DSGVO verarbeitet (vgl. ErwGr 82). Verstöße gegen Art. 30 führen nicht unmittelbar dazu, dass die pflichtwidrig undokumentierte Verarbeitung rechtswidrig ist (vgl. Petri in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Art. 30 Rn. 8).6.4. Das nach Artikel 30, Absatz eins, DSGVO vom Verantwortlichen zu führende VVZ soll den Nachweis ermöglichen, dass der Verantwortliche personenbezogene Daten im Einklang mit der DSGVO verarbeitet vergleiche , ErwGr 82). Verstöße gegen Artikel 30, führen nicht unmittelbar dazu, dass die pflichtwidrig undokumentierte Verarbeitung rechtswidrig ist vergleiche , Petri in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Artikel 30, Rn. 8).
132
Eine DSFA ist nach Art. 35 Abs. 1 DSGVO vom Verantwortlichen durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die DSGVO geht davon aus, dass dies - u.a. - insbesondere im Fall der umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO der Fall ist (Art. 35 Abs. 3 lit. b DSGVO).Eine DSFA ist nach Artikel 35, Absatz eins, DSGVO vom Verantwortlichen durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die DSGVO geht davon aus, dass dies - u.a. - insbesondere im Fall der umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9, Absatz eins, DSGVO der Fall ist (Artikel 35, Absatz 3, Litera b, DSGVO).
133
Eine DSFA nach Art. 35 Abs. 1 DSGVO verlangt vom Verantwortlichen nicht allein eine Dokumentation, sondern den Nachweis eines wertenden Abwägens des Verantwortlichen, ob die durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen im Lichte des verfolgten Zwecks einerseits tragbar sind und andererseits die Eintrittswahrscheinlichkeit einer rechtswidrigen Verarbeitung der Daten der betroffenen Person durch technische und organisatorische Maßnahmen hinreichend vermindert werden können (vgl. Karg in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Art. 35 Rn. 13). Eine nicht oder fehlerhaft durchgeführte Datenschutz-Folgenabschätzung wirkt sich daher nicht auf die materielle Zulässigkeit der Verarbeitungsvorgänge personenbezogener Daten aus (vgl. in diesem Sinne Karg in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Art. 35 Rn. 104).Eine DSFA nach Artikel 35, Absatz eins, DSGVO verlangt vom Verantwortlichen nicht allein eine Dokumentation, sondern den Nachweis eines wertenden Abwägens des Verantwortlichen, ob die durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen im Lichte des verfolgten Zwecks einerseits tragbar sind und andererseits die Eintrittswahrscheinlichkeit einer rechtswidrigen Verarbeitung der Daten der betroffenen Person durch technische und organisatorische Maßnahmen hinreichend vermindert werden können vergleiche , Karg in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Artikel 35, Rn. 13). Eine nicht oder fehlerhaft durchgeführte Datenschutz-Folgenabschätzung wirkt sich daher nicht auf die materielle Zulässigkeit der Verarbeitungsvorgänge personenbezogener Daten aus vergleiche , in diesem Sinne Karg in Simitis/Hornung/Spiecker [Hrsg] DS-GVO2 [2025], Artikel 35, Rn. 104).
134
Der EuGH hat in seinem Urteil vom 4. Mai 2023, C-60/22, UZ/Bundesrepublik Deutschland, Rn. 69, festgehalten, dass der Verstoß eines Verantwortlichen gegen die Pflichten aus den Art. 26 und 30 der DSGVO über den Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung für die Verarbeitung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten keine unrechtmäßige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht, weil dieser Verstoß als solcher nicht bedeutet, dass der Verantwortliche gegen den Grundsatz der „Rechenschaftspflicht“ im Sinne von Art. 5 Abs. 2 in Verbindung mit Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 Unterabs. 1 der DSGVO verstößt.Der EuGH hat in seinem Urteil vom 4. Mai 2023, C-60/22, UZ/Bundesrepublik Deutschland, Rn. 69, festgehalten, dass der Verstoß eines Verantwortlichen gegen die Pflichten aus den Artikel 26, und 30 der DSGVO über den Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung für die Verarbeitung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten keine unrechtmäßige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht, weil dieser Verstoß als solcher nicht bedeutet, dass der Verantwortliche gegen den Grundsatz der „Rechenschaftspflicht“ im Sinne von Artikel 5, Absatz 2, in Verbindung mit Artikel 5, Absatz eins, Litera a und Artikel 6, Absatz eins, Unterabs. 1 der DSGVO verstößt.
135
Ein Verstoß gegen formelle Pflichten des Verantwortlichen hat somit nach der Rechtsprechung des EuGH für sich genommen keine Auswirkungen auf die Rechtmäßigkeit der Verarbeitung.
136
Nach den Leitlinien der Artikel-29-Datenschutzgruppe zur Datenschutz-Folgenabschätzung, WP248 Rev.01. S. 5, können von der zuständigen Aufsichtsbehörde Bußgelder verhängt werden, wenn keine DSFA durchgeführt wird, obwohl für die Verarbeitung eine solche erforderlich ist (Art. 35 Abs. 1, 2 und 3) oder wenn eine DSFA nicht ordnungsgemäß durchgeführt wird (Art. 35 Abs. 2 und 7 bis 9).Nach den Leitlinien der Artikel-29-Datenschutzgruppe zur Datenschutz-Folgenabschätzung, WP248 Rev.01. S. 5, können von der zuständigen Aufsichtsbehörde Bußgelder verhängt werden, wenn keine DSFA durchgeführt wird, obwohl für die Verarbeitung eine solche erforderlich ist (Artikel 35, Absatz eins, 2, und 3) oder wenn eine DSFA nicht ordnungsgemäß durchgeführt wird (Artikel 35, Absatz 2, und 7 bis 9).
137
6.5. Der Verwaltungsgerichtshof hat bereits wiederholt festgehalten, dass es im Falle einer Scheinkonkurrenz, also wenn der gesamte Unrechtsgehalt eines Delikts von jenem eines anderen, ebenfalls verwirklichten in jeder Beziehung mitumfasst ist, unzulässig ist, dem Täter ein und denselben Unwert mehrmals zuzurechnen; sie führt zu einem Zurücktreten eines Tatbestandes hinter einen anderen, wenn sich aus den konkreten Umständen des Tatgeschehens dessen Vorrang ergibt (vgl. etwa VwGH 23.6.2021, Ra 2019/03/0020, 0021, Rn. 29; 29.3.2021, Ra 2020/02/0298, Rn. 16, jeweils mwN).6.5. Der Verwaltungsgerichtshof hat bereits wiederholt festgehalten, dass es im Falle einer Scheinkonkurrenz, also wenn der gesamte Unrechtsgehalt eines Delikts von jenem eines anderen, ebenfalls verwirklichten in jeder Beziehung mitumfasst ist, unzulässig ist, dem Täter ein und denselben Unwert mehrmals zuzurechnen; sie führt zu einem Zurücktreten eines Tatbestandes hinter einen anderen, wenn sich aus den konkreten Umständen des Tatgeschehens dessen Vorrang ergibt vergleiche , etwa VwGH 23.6.2021, Ra 2019/03/0020, 0021, Rn. 29; 29.3.2021, Ra 2020/02/0298, Rn. 16, jeweils mwN). 138
Der Begriff „Scheinkonkurrenz“ bringt zum Ausdruck, dass in Wahrheit keine Konkurrenz von Strafbestimmungen vorliegt, sondern eben nur eine Bestimmung, nach der bestraft werden kann. Zu den Fällen der Scheinkonkurrenz zählen die Subsidiarität, die Spezialität und die Konsumtion (vgl. VwGH 29.3.2021, Ra 2020/02/0298, Rn. 17, mwN).Der Begriff „Scheinkonkurrenz“ bringt zum Ausdruck, dass in Wahrheit keine Konkurrenz von Strafbestimmungen vorliegt, sondern eben nur eine Bestimmung, nach der bestraft werden kann. Zu den Fällen der Scheinkonkurrenz zählen die Subsidiarität, die Spezialität und die Konsumtion vergleiche , VwGH 29.3.2021, Ra 2020/02/0298, Rn. 17, mwN). 139
Konsumtion liegt dabei vor, wenn die wertabwägende Auslegung der formal (durch eine Handlung oder durch mehrere Handlungen) erfüllten zwei Tatbestände zeigt, dass durch die Unterstellung der Tat(en) unter den einen der deliktische Gesamtunwert des zu beurteilenden Sachverhalts bereits für sich allein abgegolten ist. Voraussetzung ist, dass durch die Bestrafung wegen des einen Delikts tatsächlich der gesamte Unrechtsgehalt des Täterverhaltens erfasst wird (vgl. erneut VwGH 29.3.2021, Ra 2020/02/0298, Rn. 18; 25.6.2020, Ra 2020/02/0046, 0047, Rn. 33, jeweils mwN).Konsumtion liegt dabei vor, wenn die wertabwägende Auslegung der formal (durch eine Handlung oder durch mehrere Handlungen) erfüllten zwei Tatbestände zeigt, dass durch die Unterstellung der Tat(en) unter den einen der deliktische Gesamtunwert des zu beurteilenden Sachverhalts bereits für sich allein abgegolten ist. Voraussetzung ist, dass durch die Bestrafung wegen des einen Delikts tatsächlich der gesamte Unrechtsgehalt des Täterverhaltens erfasst wird vergleiche , erneut VwGH 29.3.2021, Ra 2020/02/0298, Rn. 18; 25.6.2020, Ra 2020/02/0046, 0047, Rn. 33, jeweils mwN). 140
Gegen das Vorliegen einer Konsumtion (und somit gegen ein Miterfassen des Unwerts eines Delikts von der Strafdrohung gegen ein anderes Delikt) spricht es, wenn die Delikte in keinem typischen Zusammenhang stehen bzw. das eine Delikt nicht notwendig oder doch nicht in der Regel mit dem anderen Delikt verbunden ist (vgl. VwGH 10.11.2025, Ra 2025/02/0182, Rn. 27, mwN). Umgekehrt wurde das Vorliegen einer Konsumtion bejaht, wenn durch zwei Übertretungen dasselbe Rechtsgut verletzt wird und das eine Delikt das andere zwingend nach sich zieht (vgl. VwGH 18.3.2026, Ra 2024/02/0154, Rn. 12, mwN).Gegen das Vorliegen einer Konsumtion (und somit gegen ein Miterfassen des Unwerts eines Delikts von der Strafdrohung gegen ein anderes Delikt) spricht es, wenn die Delikte in keinem typischen Zusammenhang stehen bzw. das eine Delikt nicht notwendig oder doch nicht in der Regel mit dem anderen Delikt verbunden ist vergleiche , VwGH 10.11.2025, Ra 2025/02/0182, Rn. 27, mwN). Umgekehrt wurde das Vorliegen einer Konsumtion bejaht, wenn durch zwei Übertretungen dasselbe Rechtsgut verletzt wird und das eine Delikt das andere zwingend nach sich zieht vergleiche , VwGH 18.3.2026, Ra 2024/02/0154, Rn. 12, mwN). 141
6.6. Für den Revisionsfall ergibt sich daraus Folgendes:
142
Art. 35 Abs. 1 iVm Abs. 3 DSGVO erfordert eine Bewertung der durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen. Dies bezieht sich nach Art. 35 DSGVO auf die Form einer Verarbeitung, aus der ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen resultieren kann. Eine DSFA ist gemäß Art. 35 Abs. 3 lit. b DSGVO im Fall der umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO erforderlich.Artikel 35, Absatz eins, in Verbindung mit Absatz 3, DSGVO erfordert eine Bewertung der durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen. Dies bezieht sich nach Artikel 35, DSGVO auf die Form einer Verarbeitung, aus der ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen resultieren kann. Eine DSFA ist gemäß Artikel 35, Absatz 3, Litera b, DSGVO im Fall der umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9, Absatz eins, DSGVO erforderlich.
143
Die unrichtige rechtliche Beurteilung, dass es sich bei den Parteiaffinitäten nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO handelte, zog im Revisionsfall nach sich, dass die Revisionswerberin die Verarbeitung der Parteiaffinitäten als besondere Kategorien von personenbezogenen Daten in der DSFA verneinte und nicht vom Vorliegen eines mit der Verarbeitung dieser Datenart verbundenen hohen Risikos ausging. Welchen gesonderten, von einem dadurch vorliegenden Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO zu unterscheidenden Unrechtsgehalt die unrichtige Einstufung der Parteiaffinitäten in Bezug auf Durchführung der DSFA gemäß Art. 35 Abs. 1 DSGVO hat, ist dem angefochtenen Erkenntnis nicht zu entnehmen.Die unrichtige rechtliche Beurteilung, dass es sich bei den Parteiaffinitäten nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten nach Artikel 9, Absatz eins, DSGVO handelte, zog im Revisionsfall nach sich, dass die Revisionswerberin die Verarbeitung der Parteiaffinitäten als besondere Kategorien von personenbezogenen Daten in der DSFA verneinte und nicht vom Vorliegen eines mit der Verarbeitung dieser Datenart verbundenen hohen Risikos ausging. Welchen gesonderten, von einem dadurch vorliegenden Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO zu unterscheidenden Unrechtsgehalt die unrichtige Einstufung der Parteiaffinitäten in Bezug auf Durchführung der DSFA gemäß Artikel 35, Absatz eins, DSGVO hat, ist dem angefochtenen Erkenntnis nicht zu entnehmen.
144
Ein gesonderter Unwert ergibt sich auch nicht aus dem Erfordernis, die DSFA gemäß Art. 35 Abs. 1 DSGVO „vorab“ durchzuführen. Die unrichtige Bewertung der Parteiaffinitäten als nicht personenbezogene Daten und damit auch nicht als besondere Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO führte dazu, dass die Revisionswerberin bei dieser Datenart nicht von einem hohen Risiko ausging und den Anwendungsbereich des Art. 35 Abs. 3 lit. a DSGVO nicht als eröffnet einstufte. Soweit das Verwaltungsgericht der Revisionswerberin einen Verstoß gegen Art. 35 Abs. 1 iVm Abs. 3 DSGVO aufgrund der Verneinung der Verarbeitung besonderer Kategorien von personenbezogenen Daten vorwirft, ist der Unwert dieses Verstoßes der Revisionswerberin durch den Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO konsumiert.Ein gesonderter Unwert ergibt sich auch nicht aus dem Erfordernis, die DSFA gemäß Artikel 35, Absatz eins, DSGVO „vorab“ durchzuführen. Die unrichtige Bewertung der Parteiaffinitäten als nicht personenbezogene Daten und damit auch nicht als besondere Kategorien von personenbezogenen Daten nach Artikel 9, Absatz eins, DSGVO führte dazu, dass die Revisionswerberin bei dieser Datenart nicht von einem hohen Risiko ausging und den Anwendungsbereich des Artikel 35, Absatz 3, Litera a, DSGVO nicht als eröffnet einstufte. Soweit das Verwaltungsgericht der Revisionswerberin einen Verstoß gegen Artikel 35, Absatz eins, in Verbindung mit Absatz 3, DSGVO aufgrund der Verneinung der Verarbeitung besonderer Kategorien von personenbezogenen Daten vorwirft, ist der Unwert dieses Verstoßes der Revisionswerberin durch den Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO konsumiert.
145
6.7. Soweit das Verwaltungsgericht der Revisionswerberin einen Verstoß gegen Art. 30 Abs. 1 lit. a DSGVO aufgrund der Verneinung der Verarbeitung besonderer Kategorien von personenbezogenen Daten vorwirft, gilt das zum Vorwurf der Fehlerhaftigkeit der DSFA Gesagte: Die unrichtige rechtliche Beurteilung, dass es sich bei den Parteiaffinitäten nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO handelte, mithin die Übertretung der Grundsätze der Verarbeitung nach Art. 5 Abs. 1 lit. a iVm Art. 9 Abs. 1 DSGVO, zog im Revisionsfall nach sich, dass die Parteiaffinitäten nicht als eigene Kategorien personenbezogener Daten in das VVZ aufgenommen wurden. Ein gesonderter Unrechtsgehalt ist der unrichtigen Einstufung der Parteiaffinitäten in Bezug auf die Erfüllung der Dokumentationspflicht nach Art. 30 Abs. 1 DSGVO nicht zu entnehmen.6.7. Soweit das Verwaltungsgericht der Revisionswerberin einen Verstoß gegen Artikel 30, Absatz eins, Litera a, DSGVO aufgrund der Verneinung der Verarbeitung besonderer Kategorien von personenbezogenen Daten vorwirft, gilt das zum Vorwurf der Fehlerhaftigkeit der DSFA Gesagte: Die unrichtige rechtliche Beurteilung, dass es sich bei den Parteiaffinitäten nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten nach Artikel 9, Absatz eins, DSGVO handelte, mithin die Übertretung der Grundsätze der Verarbeitung nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 9, Absatz eins, DSGVO, zog im Revisionsfall nach sich, dass die Parteiaffinitäten nicht als eigene Kategorien personenbezogener Daten in das VVZ aufgenommen wurden. Ein gesonderter Unrechtsgehalt ist der unrichtigen Einstufung der Parteiaffinitäten in Bezug auf die Erfüllung der Dokumentationspflicht nach Artikel 30, Absatz eins, DSGVO nicht zu entnehmen.
146
Dies gilt ebenso für den darauf aufbauenden Vorwurf der Unterlassung der gebotenen Detaillierung des VVZ in Bezug auf die Beschreibung der Datenkategorie der Parteiaffinitäten nach Spruchpunkt A) V.) a) des angefochtenen Erkenntnisses.Dies gilt ebenso für den darauf aufbauenden Vorwurf der Unterlassung der gebotenen Detaillierung des VVZ in Bezug auf die Beschreibung der Datenkategorie der Parteiaffinitäten nach Spruchpunkt A) römisch fünf.) a) des angefochtenen Erkenntnisses.
147
Das angefochtene Erkenntnis war aus diesem Grund in seinem Spruchpunkt A) V.) a), soweit damit die Beschwerde betreffend das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt IV., betreffend die Fehlerhaftigkeit der DSFA, in seinem Spruchpunkt V. betreffend die Fehlerhaftigkeit des VVZ und in seinem Spruchpunkt VI. betreffend die Mangelhaftigkeit des VVZ, als unbegründet abgewiesen wurde, wegen Rechtswidrigkeit seines Inhaltes aufzuheben und das diesbezügliche Verwaltungsstrafverfahren in Anwendung des § 42 Abs. 4 VwGG gemäß § 45 Abs. 1 Z 2 VStG einzustellen.Das angefochtene Erkenntnis war aus diesem Grund in seinem Spruchpunkt A) römisch fünf.) a), soweit damit die Beschwerde betreffend das Straferkenntnis der Datenschutzbehörde in seinem Spruchpunkt römisch vier., betreffend die Fehlerhaftigkeit der DSFA, in seinem Spruchpunkt römisch fünf. betreffend die Fehlerhaftigkeit des VVZ und in seinem Spruchpunkt römisch sechs. betreffend die Mangelhaftigkeit des VVZ, als unbegründet abgewiesen wurde, wegen Rechtswidrigkeit seines Inhaltes aufzuheben und das diesbezügliche Verwaltungsstrafverfahren in Anwendung des Paragraph 42, Absatz 4, VwGG gemäß Paragraph 45, Absatz eins, Ziffer 2, VStG einzustellen.
148
7.1. Die Revision wendet sich schließlich gegen die Strafbemessung durch das Verwaltungsgericht.
149
Gemäß Art. 83 Abs. 3 DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen (vgl. VwGH 29.9.2025, Ra 2025/04/0089, Rn. 19, mHa zum Anwendungsvorrang des Unionsrechts gegenüber dem in § 22 VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf.Gemäß Artikel 83, Absatz 3, DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen vergleiche , VwGH 29.9.2025, Ra 2025/04/0089, Rn. 19, mHa zum Anwendungsvorrang des Unionsrechts gegenüber dem in Paragraph 22, VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf. 150
Das Verwaltungsgericht bezog die Verstöße gegen Art. 35 DSGVO in Bezug auf die Fehlerhaftigkeit der DSFA und gegen Art. 30 Abs. 1 lit. c DSGVO in Bezug auf die Fehlerhaftigkeit des VVZ und die Mangelhaftigkeit des VVZ in seine Strafbemessung mit ein.Das Verwaltungsgericht bezog die Verstöße gegen Artikel 35, DSGVO in Bezug auf die Fehlerhaftigkeit der DSFA und gegen Artikel 30, Absatz eins, Litera c, DSGVO in Bezug auf die Fehlerhaftigkeit des VVZ und die Mangelhaftigkeit des VVZ in seine Strafbemessung mit ein.
151
Die Strafbemessung des Verwaltungsgerichts erweist sich schon im Hinblick auf die Einstellung des Verfahrens hinsichtlich Spruchpunkt A) V.) a) des angefochtenen Erkenntnisses, soweit damit die Beschwerde betreffend das Straferkenntnis der Datenschutzbehörde in seinen Spruchpunkten IV., V. und VI. als unbegründet abgewiesen wurde, als rechtswidrig.Die Strafbemessung des Verwaltungsgerichts erweist sich schon im Hinblick auf die Einstellung des Verfahrens hinsichtlich Spruchpunkt A) römisch fünf.) a) des angefochtenen Erkenntnisses, soweit damit die Beschwerde betreffend das Straferkenntnis der Datenschutzbehörde in seinen Spruchpunkten römisch vier., römisch fünf. und römisch sechs. als unbegründet abgewiesen wurde, als rechtswidrig.
152
Die Spruchpunkte A.) III.) und A) IV.), mit denen das Verwaltungsgericht die Geldbuße auf € 16.000.000 und die Verfahrenskosten auf € 1.600.000 herabgesetzt hat, sind schon aus diesem Grund mit Rechtswidrigkeit ihres Inhaltes belastet.Die Spruchpunkte A.) römisch drei.) und A) römisch vier.), mit denen das Verwaltungsgericht die Geldbuße auf € 16.000.000 und die Verfahrenskosten auf € 1.600.000 herabgesetzt hat, sind schon aus diesem Grund mit Rechtswidrigkeit ihres Inhaltes belastet.
153
7.2. Gemäß § 42 Abs. 4 VwGG kann der Verwaltungsgerichtshof in der Sache selbst entscheiden, wenn sie entscheidungsreif ist und die Entscheidung in der Sache selbst im Interesse der Einfachheit, Zweckmäßigkeit und Kostenersparnis liegt. Dieser Fall liegt hier vor.7.2. Gemäß Paragraph 42, Absatz 4, VwGG kann der Verwaltungsgerichtshof in der Sache selbst entscheiden, wenn sie entscheidungsreif ist und die Entscheidung in der Sache selbst im Interesse der Einfachheit, Zweckmäßigkeit und Kostenersparnis liegt. Dieser Fall liegt hier vor.
154
Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen die DSGVO gemäß seinen Abs. 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist (vgl. EuGH 13.2.2025, C-383/23, ILVA/AS, Rn. 24 und 25).Nach Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen die DSGVO gemäß seinen Absatz 4, bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist vergleiche , EuGH 13.2.2025, C-383/23, ILVA/AS, Rn. 24 und 25).
155
Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Art. 101 und 102 AEUV als Adressaten berücksichtigt, kann die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein (vgl. erneut EuGH 13.2.2025, C-383/23, ILVA/AS, Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 58).Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Artikel 101, und 102 AEUV als Adressaten berücksichtigt, kann die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein vergleiche , erneut EuGH 13.2.2025, C-383/23, ILVA/AS, Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 58).
156
Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen, die in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien sowie die in § 19 VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Art. 101 und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist.Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen, die in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien sowie die in Paragraph 19, VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Artikel 101, und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist.
157
7.3.1. Die Revisionswerberin bringt zur Strafbemessung zunächst vor, das von ihr mit beträchtlichem Aufwand eingerichtete Datenschutz-Compliancesystem sei nach Art. 83 Abs. 2 lit. d DSGVO als Milderungsgrund zu berücksichtigen.7.3.1. Die Revisionswerberin bringt zur Strafbemessung zunächst vor, das von ihr mit beträchtlichem Aufwand eingerichtete Datenschutz-Compliancesystem sei nach Artikel 83, Absatz 2, Litera d, DSGVO als Milderungsgrund zu berücksichtigen.
158
Nach Art. 83 Abs. 2 lit. d DSGVO ist bei der Strafbemessung der Grad der Verantwortlichkeit des Verantwortlichen unter Berücksichtigung der gemäß den Art. 25 und 32 getroffenen technischen und organisatorischen Maßnahmen zu berücksichtigten. Aus Art. 25 DSGVO ergeben sich Vorgaben für die vom Verantwortlichen zu treffenden technischen und organisatorischen Maßnahmen, wie zB. die Pseudonymisierung. Art. 32 DSGVO bezieht sich auf die Sicherheit der Verarbeitung durch technische und organisatorische Maßnahmen. Nach Artikel 83, Absatz 2, Litera d, DSGVO ist bei der Strafbemessung der Grad der Verantwortlichkeit des Verantwortlichen unter Berücksichtigung der gemäß den Artikel 25, und 32 getroffenen technischen und organisatorischen Maßnahmen zu berücksichtigten. Aus Artikel 25, DSGVO ergeben sich Vorgaben für die vom Verantwortlichen zu treffenden technischen und organisatorischen Maßnahmen, wie zB. die Pseudonymisierung. Artikel 32, DSGVO bezieht sich auf die Sicherheit der Verarbeitung durch technische und organisatorische Maßnahmen.
159
Die Revisionswerberin legt mit ihrem Vorbringen zur Einrichtung eines Datenschutz-Compliancesystems nicht dar, dass sie Maßnahmen nach den Art. 25 und 32 DSGVO in Bezug die verarbeiteten personenbezogenen Daten getroffen habe. Soweit die Revisionswerberin in diesem Zusammenhang Feststellungsmängel des angefochtenen Erkenntnisses verortet, zeigt sie nicht auf, dass sie im Verfahren vor dem Verwaltungsgericht konkrete Maßnahmen nach Art. 32 DSGVO und Art. 25 DSGVO in einem zur Berücksichtigung dieser ausreichendem Detailgrad dargestellt habe. Insbesondere geht aus der von der Revisionswerberin genannten Aussage des Zeugen W in der mündlichen Verhandlung vom 28. November 2024 eine Pseudonymisierung der Daten zu den Parteiaffinitäten nicht mit der erforderlichen Deutlichkeit hervor.Die Revisionswerberin legt mit ihrem Vorbringen zur Einrichtung eines Datenschutz-Compliancesystems nicht dar, dass sie Maßnahmen nach den Artikel 25, und 32 DSGVO in Bezug die verarbeiteten personenbezogenen Daten getroffen habe. Soweit die Revisionswerberin in diesem Zusammenhang Feststellungsmängel des angefochtenen Erkenntnisses verortet, zeigt sie nicht auf, dass sie im Verfahren vor dem Verwaltungsgericht konkrete Maßnahmen nach Artikel 32, DSGVO und Artikel 25, DSGVO in einem zur Berücksichtigung dieser ausreichendem Detailgrad dargestellt habe. Insbesondere geht aus der von der Revisionswerberin genannten Aussage des Zeugen W in der mündlichen Verhandlung vom 28. November 2024 eine Pseudonymisierung der Daten zu den Parteiaffinitäten nicht mit der erforderlichen Deutlichkeit hervor.
160
Der Revisionswerberin ist jedoch dahingehend zuzustimmen, dass das Verwaltungsgericht die von der Revisionswerberin getroffenen Maßnahmen zur Verhinderung eines Verstoßes gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO betreffend die Parteiaffinitäten bei der Festlegung des Grades der Verantwortung der Revisionswerberin nicht ausreichend berücksichtigt hat.Der Revisionswerberin ist jedoch dahingehend zuzustimmen, dass das Verwaltungsgericht die von der Revisionswerberin getroffenen Maßnahmen zur Verhinderung eines Verstoßes gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO betreffend die Parteiaffinitäten bei der Festlegung des Grades der Verantwortung der Revisionswerberin nicht ausreichend berücksichtigt hat.
161
Nach den Feststellungen des Verwaltungsgerichts prüfte die Revisionswerberin die Rechtmäßigkeit der Verarbeitung der Parteiaffinitäten im Rahmen der von ihr eingerichteten Datenschutzstruktur, die aus der Datenschutzmanagerin und der Datenschutzbeauftragten bestand, unter Einbeziehung der betroffenen Fachabteilungen. Im Ergebnis nahm die Revisionswerberin die Beurteilung des Personenbezugs der Parteiaffinitäten unrichtig vor und prüfte davon ausgehend nicht weiter, ob es sich dabei um besondere Kategorien von personenbezogenen Daten nach Art. 9 DSGVO handelte. Auch wenn dies nicht dazu führt, dass der Revisionswerberin keine grobe Fahrlässigkeit vorzuwerfen ist (siehe oben Punkt II.4.), ist dieser Umstand doch beim Grad der Verantwortung des Verantwortlichen nach Art. 83 Abs. 2 lit. d DSGVO bei der Bemessung der Geldbuße zu Gunsten der Revisionswerberin zu berücksichtigen.Nach den Feststellungen des Verwaltungsgerichts prüfte die Revisionswerberin die Rechtmäßigkeit der Verarbeitung der Parteiaffinitäten im Rahmen der von ihr eingerichteten Datenschutzstruktur, die aus der Datenschutzmanagerin und der Datenschutzbeauftragten bestand, unter Einbeziehung der betroffenen Fachabteilungen. Im Ergebnis nahm die Revisionswerberin die Beurteilung des Personenbezugs der Parteiaffinitäten unrichtig vor und prüfte davon ausgehend nicht weiter, ob es sich dabei um besondere Kategorien von personenbezogenen Daten nach Artikel 9, DSGVO handelte. Auch wenn dies nicht dazu führt, dass der Revisionswerberin keine grobe Fahrlässigkeit vorzuwerfen ist (siehe oben Punkt römisch zwei.4.), ist dieser Umstand doch beim Grad der Verantwortung des Verantwortlichen nach Artikel 83, Absatz 2, Litera d, DSGVO bei der Bemessung der Geldbuße zu Gunsten der Revisionswerberin zu berücksichtigen.
162
7.3.2. Die Revision bringt im Zusammenhang mit der Strafbemessung des Weiteren vor, das Verwaltungsgericht habe zwar festgestellt, dass keine zu berücksichtigenden früheren Verstöße der Revisionswerberin vorlägen, die Unbescholtenheit der Revisionswerberin jedoch nicht mildernd gewertet.
163
Gemäß Art. 83 Abs. 2 lit. e DSGVO sind etwaige frühere Verstöße des Verantwortlichen bei der Entscheidung über den Betrag der Geldbuße zu berücksichtigen. Nach den EDSA-Leitlinien 04/2022, Rn. 94, kann das Vorliegen früherer Verstöße bei der Berechnung der Geldbuße als erschwerender Faktor gesehen werden. Lägen keine früheren Verstöße vor, kann dies jedoch nicht als mildernder Umstand angesehen werden, weil die Einhaltung der DSGVO die Regel sei.Gemäß Artikel 83, Absatz 2, Litera e, DSGVO sind etwaige frühere Verstöße des Verantwortlichen bei der Entscheidung über den Betrag der Geldbuße zu berücksichtigen. Nach den EDSA-Leitlinien 04 aus 2022,, Rn. 94, kann das Vorliegen früherer Verstöße bei der Berechnung der Geldbuße als erschwerender Faktor gesehen werden. Lägen keine früheren Verstöße vor, kann dies jedoch nicht als mildernder Umstand angesehen werden, weil die Einhaltung der DSGVO die Regel sei.
164
Entgegen den Ausführungen der Revision berücksichtigte das Verwaltungsgericht das Fehlen früherer Verstöße der Revisionswerberin als Fehlen des Erschwernisgrundes einer „einschlägigen Vorstrafe“ in dem angefochtenen Erkenntnis. Nach dem Wortlaut des Art. 83 Abs. 2 lit. e DSGVO, der auf das Vorliegen früherer Verstöße als Kriterium für die Bemessung der Geldbuße abstellt, sowie nach den Ausführungen in den EDSA-Leitlinien war eine darüber hinausgehende Berücksichtigung des Fehlens früherer Verstöße der Revisionswerberin gegen die DSGVO als mildernder Umstand nicht geboten.Entgegen den Ausführungen der Revision berücksichtigte das Verwaltungsgericht das Fehlen früherer Verstöße der Revisionswerberin als Fehlen des Erschwernisgrundes einer „einschlägigen Vorstrafe“ in dem angefochtenen Erkenntnis. Nach dem Wortlaut des Artikel 83, Absatz 2, Litera e, DSGVO, der auf das Vorliegen früherer Verstöße als Kriterium für die Bemessung der Geldbuße abstellt, sowie nach den Ausführungen in den EDSA-Leitlinien war eine darüber hinausgehende Berücksichtigung des Fehlens früherer Verstöße der Revisionswerberin gegen die DSGVO als mildernder Umstand nicht geboten.
165
7.3.3. Die Revisionswerberin wendet sich des Weiteren gegen die Berücksichtigung von spezialpräventiven Gründen durch das Verwaltungsgericht.
166
Der Revisionswerberin wurde zwar die Verarbeitung der Datenart Parteiaffinitäten zum Zwecke des Adresshandels und Direktmarketing ohne Einwilligung der betroffenen Personen mit Erkenntnis des Verwaltungsgerichts vom 26. November 2020 untersagt und die gegen dieses Erkenntnis gerichtete Revision wurde mit Erkenntnis des Verwaltungsgerichtshofes vom 14. Dezember 2021, Ro 2021/04/0007, als unbegründet abgewiesen. Dies führt jedoch entgegen den Ausführungen der Revisionswerberin nicht dazu, dass spezialpräventive Erwägungen in Bezug auf die Tätigkeit der Revisionswerberin im Bereich des Adressverlags und des Direktmarketings gänzlich außer Betracht bleiben können. Das Verwaltungsgericht berücksichtigte bei seiner Strafbemessung im Rahmen von spezialpräventiven Überlegungen bereits zu Gunsten der Revisionswerberin, dass die Revisionswerberin gegenüber zahlreichen Betroffenen Unterlassungserklärungen abgegeben habe und dadurch die Wiederbetätigung in diesem Geschäftsfeld erschwert werde.
167
7.3.4. Die Revisionswerberin wendet sich des Weiteren mit dem Argument gegen die Strafbemessung, der (geringe) tatbezogene Umsatz hätte als Bewertungskriterium zur Ermittlung der Geldbuße berücksichtigt werden müssen. Dies sei insbesondere geboten, weil es sich bei der Tätigkeit als Adressverlag um keine Kerntätigkeit der Revisionswerberin handle.
168
Dem ist entgegen zu halten, dass Art. 83 Abs. 4 und 5 DSGVO als Bemessungsgrundlage der Geldbuße jeweils auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres abstellt. Auch aus den EDSA-Leitlinien 04/2022, Rn. 128 ff, ergeben sich keine mit den von der Revision angesprochenen Leitlinien für das Verfahren zur Festsetzung von Geldbußen der Europäischen Kommission (ABl. C 210 vom 1.9.2006, pp. 2-5) vergleichbaren Anhaltspunkte für eine Berücksichtigung des tatbezogenen Umsatzes.Dem ist entgegen zu halten, dass Artikel 83, Absatz 4, und 5 DSGVO als Bemessungsgrundlage der Geldbuße jeweils auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres abstellt. Auch aus den EDSA-Leitlinien 04 aus 2022,, Rn. 128 ff, ergeben sich keine mit den von der Revision angesprochenen Leitlinien für das Verfahren zur Festsetzung von Geldbußen der Europäischen Kommission Amtsblatt , C 210 vom 1.9.2006, pp. 2-5) vergleichbaren Anhaltspunkte für eine Berücksichtigung des tatbezogenen Umsatzes.
169
Der vom Verwaltungsgericht bei der Gesamtabwägung zur Ermittlung der Höhe der Geldbuße festgestellte konzernweite Umsatz der Revisionswerberin für die Geschäftsjahre 2018 und 2023 wird im Übrigen von der Revisionswerberin nicht bestritten.
170
7.3.5. Das Verwaltungsgericht stufte die Verarbeitung der Parteiaffinitäten als Verstoß mit hohem Schweregrad ein. Soweit sich die Revision gegen diese Beurteilung wendet, ist dem entgegen zu halten, dass dieser Verstoß schon aufgrund seiner Eingriffsintensität in Bezug auf die betroffenen besonderen Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO als schwer zu betrachten ist. Das Verwaltungsgericht berücksichtigte bei seiner Strafbemessung im Übrigen die im Vergleich zum Straferkenntnis der belangten Behörde geringere Zahl der Betroffenen zu Gunsten der Revisionswerberin.7.3.5. Das Verwaltungsgericht stufte die Verarbeitung der Parteiaffinitäten als Verstoß mit hohem Schweregrad ein. Soweit sich die Revision gegen diese Beurteilung wendet, ist dem entgegen zu halten, dass dieser Verstoß schon aufgrund seiner Eingriffsintensität in Bezug auf die betroffenen besonderen Kategorien von personenbezogenen Daten nach Artikel 9, Absatz eins, DSGVO als schwer zu betrachten ist. Das Verwaltungsgericht berücksichtigte bei seiner Strafbemessung im Übrigen die im Vergleich zum Straferkenntnis der belangten Behörde geringere Zahl der Betroffenen zu Gunsten der Revisionswerberin.
171
7.4. Nach der Rechtsprechung des EGMR und des Verfassungsgerichtshofes ist auch das Verfahren vor dem Verwaltungsgerichtshof in die zu beurteilende Verfahrensdauer einzurechnen (vgl. VwGH 30.4.2025, Ro 2021/04/0024, Rn. 39, mwN). Die Dauer eines Vorabentscheidungsverfahrens vor dem EuGH wird nicht in die Frist miteingerechnet (vgl. EGMR (Große Kammer) 27.6.2017, Satakunnan Markkinapörssi Oy und Satamedia Oy/Finnland, 931/13, Z 208, mwN).7.4. Nach der Rechtsprechung des EGMR und des Verfassungsgerichtshofes ist auch das Verfahren vor dem Verwaltungsgerichtshof in die zu beurteilende Verfahrensdauer einzurechnen vergleiche , VwGH 30.4.2025, Ro 2021/04/0024, Rn. 39, mwN). Die Dauer eines Vorabentscheidungsverfahrens vor dem EuGH wird nicht in die Frist miteingerechnet vergleiche , EGMR (Große Kammer) 27.6.2017, Satakunnan Markkinapörssi Oy und Satamedia Oy/Finnland, 931/13, Ziffer 208,, mwN). 172
Die belangte Behörde leitete aufgrund von Medienberichten am 8. Jänner 2019 ein amtswegiges Prüfverfahren gegen die Revisionswerberin ein. Mit Aufforderung zur Rechtfertigung vom 20. Februar 2019 leitete die belangte Behörde ein Verwaltungsstrafverfahren in Bezug auf die der Revisionswerberin zur Last gelegten Übertretungen der DSGVO ein. Das gegenüber der Revisionswerberin ergangene Straferkenntnis stammt vom 23. Oktober 2019. Mit Erkenntnis vom 26. November 2020 gab das Verwaltungsgericht der dagegen erhobenen Beschwerde der Revisionswerberin Folge, behob das Straferkenntnis und stellte das Verfahren ein.
173
Mit Beschluss vom 24. Februar 2022, Ra 2020/04/0187-11, setzte der Verwaltungsgerichtshof das gegen das Erkenntnis des Verwaltungsgerichts vom 26. November 2020 anhängige Revisionsverfahren bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 aus. Mit Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, entschied der EuGH über das Vorabentscheidungsersuchen des Kammergerichts Berlin.
174
Mit Erkenntnis des Verwaltungsgerichtshofes vom 1. Februar 2024, Ra 2020/04/0187-20, hob der Verwaltungsgerichtshof das Erkenntnis des Verwaltungsgerichts vom 26. November 2020 wegen Rechtswidrigkeit seines Inhaltes auf. Das nunmehr angefochtene Erkenntnis des Verwaltungsgerichts stammt vom 27. Dezember 2024.
175
Die Zeit, in der das Revisionsverfahren beim Verwaltungsgerichtshof gegen das Erkenntnis vom 26. November 2020 in Bezug auf das Vorabentscheidungsersuchen in der Rechtssache Deutsche Wohnen SE ausgesetzt war, ist nach der Rechtsprechung des EGMR in die Gesamtverfahrensdauer nicht miteinzuberechnen.
176
Die Verfahrensdauer beträgt ausgehend von der Einleitung des Verwaltungsstrafverfahrens am 20. Februar 2019 bis zum heutigen Tag 88 Monate. Abzüglich von 22 Monaten, in denen das Verfahren aufgrund des Vorabentscheidungsverfahrens in der Rechtssache Deutsche Wohnen SE ausgesetzt war, beträgt die Gesamtverfahrensdauer somit 66 Monate (5 Jahre, 6 Monate). Das Verwaltungsgericht ging bereits von einer Verfahrensdauer von fünf Jahren aus (vgl. Erkenntnis S. 84) und veranschlagte diese zu Gunsten der Revisionswerberin in der Strafbemessung. Die darüber hinausgehenden 6 Monate sind als Milderungsgrund der unangemessen langen Verfahrensdauer vom Verwaltungsgerichtshof bei der Strafbemessung zu berücksichtigen.Die Verfahrensdauer beträgt ausgehend von der Einleitung des Verwaltungsstrafverfahrens am 20. Februar 2019 bis zum heutigen Tag 88 Monate. Abzüglich von 22 Monaten, in denen das Verfahren aufgrund des Vorabentscheidungsverfahrens in der Rechtssache Deutsche Wohnen SE ausgesetzt war, beträgt die Gesamtverfahrensdauer somit 66 Monate (5 Jahre, 6 Monate). Das Verwaltungsgericht ging bereits von einer Verfahrensdauer von fünf Jahren aus vergleiche , Erkenntnis S. 84) und veranschlagte diese zu Gunsten der Revisionswerberin in der Strafbemessung. Die darüber hinausgehenden 6 Monate sind als Milderungsgrund der unangemessen langen Verfahrensdauer vom Verwaltungsgerichtshof bei der Strafbemessung zu berücksichtigen.
177
7.5. Unter Berücksichtigung der Aufhebung von drei Spruchpunkten des Straferkenntnisses der belangten Behörde und der Einstellung des Verfahrens zu diesen Verstößen im Revisionsverfahren sowie jener Aspekte, die nach dem Gesagten abweichend von der Strafbemessung des Verwaltungsgerichts zu Gunsten der Revisionswerberin zu berücksichtigen sind (ergriffene Maßnahmen der Revisionswerberin, Verfahrensdauer), ist die Geldbuße in einer Gesamtabwägung auf € 13.000.000 (dreizehn Millionen) herabzusetzen.
178
7.6. Die Revisionswerberin wendet sich auch gegen die Festsetzung eines Beitrages zu den Kosten des erstinstanzlichen Strafverfahrens gemäß § 64 Abs. 2 VStG iHv 10 % der der verhängten Strafe. Dieser sei im Hinblick auf das Urteil des EuGH vom 14. Oktober 2021, MT, C-231/20, überhöht und führe zu einer Zusatzstrafe.7.6. Die Revisionswerberin wendet sich auch gegen die Festsetzung eines Beitrages zu den Kosten des erstinstanzlichen Strafverfahrens gemäß Paragraph 64, Absatz 2, VStG iHv 10 % der der verhängten Strafe. Dieser sei im Hinblick auf das Urteil des EuGH vom 14. Oktober 2021, MT, C-231/20, überhöht und führe zu einer Zusatzstrafe.
179
Zu den in seinem Urteil vom 14. Oktober 2021, MT, C-231/20, als mit dem Unionsrecht im Einklang stehend beurteilten Strafbestimmungen nach dem GSpG 1989 hat der EuGH ausgeführt, es sei Sache des nationalen Gerichts, auch in den jeweiligen Einzelfällen - insbesondere auch vor dem Hintergrund allfälliger außerordentlicher Umstände - zu beurteilen, ob die Gesamtsummen der verhängten (Mindest-)Geldstrafen in Hinblick auf die zu erzielende abschreckende Wirkung und die insgesamt verhängten Ersatzfreiheitsstrafen in Hinblick auf die Schwere der Tat noch verhältnismäßig sind bzw. der Beitrag zu den Kosten des Verfahrens in Hinblick auf die tatsächlichen Kosten nicht überhöht ist und nicht das in Art. 47 GRC verankerte Recht auf Zugang zu den Gerichten verletzt (vgl. zu den Verfahrenskosten EuGH 14.10.2021, MT, C-231/20, Rn. 56 und 57; VwGH 26.4.2022, Ra 2021/08/0006, Rn. 44; 10.12.2021, Ra 2020/17/0013, Rn. 47).Zu den in seinem Urteil vom 14. Oktober 2021, MT, C-231/20, als mit dem Unionsrecht im Einklang stehend beurteilten Strafbestimmungen nach dem GSpG 1989 hat der EuGH ausgeführt, es sei Sache des nationalen Gerichts, auch in den jeweiligen Einzelfällen - insbesondere auch vor dem Hintergrund allfälliger außerordentlicher Umstände - zu beurteilen, ob die Gesamtsummen der verhängten (Mindest-)Geldstrafen in Hinblick auf die zu erzielende abschreckende Wirkung und die insgesamt verhängten Ersatzfreiheitsstrafen in Hinblick auf die Schwere der Tat noch verhältnismäßig sind bzw. der Beitrag zu den Kosten des Verfahrens in Hinblick auf die tatsächlichen Kosten nicht überhöht ist und nicht das in Artikel 47, GRC verankerte Recht auf Zugang zu den Gerichten verletzt vergleiche , zu den Verfahrenskosten EuGH 14.10.2021, MT, C-231/20, Rn. 56 und 57; VwGH 26.4.2022, Ra 2021/08/0006, Rn. 44; 10.12.2021, Ra 2020/17/0013, Rn. 47). 180
Sofern im Einzelfall außerordentliche Umstände vorliegen, die vom Gesetzgeber bei der Festlegung des gesetzlichen Strafrahmens bzw. der Normierung des Verfahrenskostenbeitrages nicht hinreichend berücksichtigt worden sind und bei denen auch mit der Anwendung des § 20 VStG nicht das Auslangen gefunden werden kann, ist bei der Anwendung der Rechtsgrundlagen für die Verhängung von Geld- und Ersatzfreiheitsstrafen nach dem GSpG sicherzustellen, dass die jeweils bemessene Geldstrafe und die Gesamtsumme der verhängten Geldstrafen nicht außer Verhältnis zum durch die geahndeten Taten erzielbaren wirtschaftlichen Nutzen stehen, sowie, dass die Dauer der tatsächlich verhängten Ersatzfreiheitsstrafen der Schwere der Übertretungen entspricht und dass der Beitrag zu den Kosten des Verwaltungsstrafverfahrens nicht überhöht ist (vgl. VwGH 10.12.2021, Ra 2020/17/0013, Rn. 50).Sofern im Einzelfall außerordentliche Umstände vorliegen, die vom Gesetzgeber bei der Festlegung des gesetzlichen Strafrahmens bzw. der Normierung des Verfahrenskostenbeitrages nicht hinreichend berücksichtigt worden sind und bei denen auch mit der Anwendung des Paragraph 20, VStG nicht das Auslangen gefunden werden kann, ist bei der Anwendung der Rechtsgrundlagen für die Verhängung von Geld- und Ersatzfreiheitsstrafen nach dem GSpG sicherzustellen, dass die jeweils bemessene Geldstrafe und die Gesamtsumme der verhängten Geldstrafen nicht außer Verhältnis zum durch die geahndeten Taten erzielbaren wirtschaftlichen Nutzen stehen, sowie, dass die Dauer der tatsächlich verhängten Ersatzfreiheitsstrafen der Schwere der Übertretungen entspricht und dass der Beitrag zu den Kosten des Verwaltungsstrafverfahrens nicht überhöht ist vergleiche , VwGH 10.12.2021, Ra 2020/17/0013, Rn. 50). 181
Derartige „außergewöhnliche Umstände“ liegen im Revisionsfall in Bezug auf den nach § 64 Abs. 1 und 2 VStG vorzuschreibenden Beitrag zu den Kosten des erstinstanzlichen Verfahrens vor:Derartige „außergewöhnliche Umstände“ liegen im Revisionsfall in Bezug auf den nach Paragraph 64, Absatz eins, und 2 VStG vorzuschreibenden Beitrag zu den Kosten des erstinstanzlichen Verfahrens vor:
182
Art. 83 Abs. 4 bis 6 DSGVO sehen für Unternehmen Höchstbeträge für die nach diesen Bestimmungen zu verhängenden Geldbußen auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens vor. Im Falle von Verstößen gegen Art. 83 Abs. 4 bis 6 DSGVO können somit - für das Verwaltungsstrafverfahren - außergewöhnlich hohe Geldbußen verhängt werden. § 64 Abs. 2 VStG normiert jedoch keine Höchstgrenze für die Vorschreibung von Verfahrenskosten des Strafverfahrens erster Instanz.Artikel 83, Absatz 4, bis 6 DSGVO sehen für Unternehmen Höchstbeträge für die nach diesen Bestimmungen zu verhängenden Geldbußen auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens vor. Im Falle von Verstößen gegen Artikel 83, Absatz 4, bis 6 DSGVO können somit - für das Verwaltungsstrafverfahren - außergewöhnlich hohe Geldbußen verhängt werden. Paragraph 64, Absatz 2, VStG normiert jedoch keine Höchstgrenze für die Vorschreibung von Verfahrenskosten des Strafverfahrens erster Instanz.
183
Vor diesem Hintergrund erweist sich ein Beitrag zu den Kosten des Verfahrens im Ausmaß von 10 % der verhängten Geldbuße iHv auf € 13.000.000 im Revisionsfall als überhöht und damit als nicht verhältnismäßig. Der Beitrag zu den Kosten des Strafverfahrens war daher unter Außerachtlassung von § 64 Abs. 2 erster Halbsatz VStG vom Verwaltungsgerichtshof gemäß § 64 Abs. 1 VStG mit € 100.000 festzusetzen.Vor diesem Hintergrund erweist sich ein Beitrag zu den Kosten des Verfahrens im Ausmaß von 10 % der verhängten Geldbuße iHv auf € 13.000.000 im Revisionsfall als überhöht und damit als nicht verhältnismäßig. Der Beitrag zu den Kosten des Strafverfahrens war daher unter Außerachtlassung von Paragraph 64, Absatz 2, erster Halbsatz VStG vom Verwaltungsgerichtshof gemäß Paragraph 64, Absatz eins, VStG mit € 100.000 festzusetzen.
184
8. Da die vorliegenden Fragen des Unionsrechts durch die oben angeführte, gefestigte Rechtsprechung des EuGH bereits geklärt sind, war eine Vorlage an den EuGH nach Art. 267 AEUV nicht erforderlich. Ein Antrag auf Einholung einer Vorabentscheidung durch den EuGH zu den im Revisionsverfahren aufgeworfenen Rechtsfragen durch den Verwaltungsgerichtshof wurde im Revisionsverfahren nicht gestellt.8. Da die vorliegenden Fragen des Unionsrechts durch die oben angeführte, gefestigte Rechtsprechung des EuGH bereits geklärt sind, war eine Vorlage an den EuGH nach Artikel 267, AEUV nicht erforderlich. Ein Antrag auf Einholung einer Vorabentscheidung durch den EuGH zu den im Revisionsverfahren aufgeworfenen Rechtsfragen durch den Verwaltungsgerichtshof wurde im Revisionsverfahren nicht gestellt.
185
9. Von der Durchführung der beantragten mündlichen Verhandlung konnte gemäß § 39 Abs. 2 Z 6 VwGG abgesehen werden, weil das Verwaltungsgericht, ein Tribunal iSd EMRK bzw. ein Gericht im Sinne des Art. 47 GRC, eine mündliche Verhandlung durchgeführt hat (vgl. auch VwGH 18.3.2026, Ro 2024/04/0029, Rn. 63).9. Von der Durchführung der beantragten mündlichen Verhandlung konnte gemäß Paragraph 39, Absatz 2, Ziffer 6, VwGG abgesehen werden, weil das Verwaltungsgericht, ein Tribunal iSd EMRK bzw. ein Gericht im Sinne des Artikel 47, GRC, eine mündliche Verhandlung durchgeführt hat vergleiche , auch VwGH 18.3.2026, Ro 2024/04/0029, Rn. 63). 186
10. Gemäß § 42 Abs. 4 VwGG war der Spruch des in Revision gezogenen Erkenntnisses somit entsprechend abzuändern.10. Gemäß Paragraph 42, Absatz 4, VwGG war der Spruch des in Revision gezogenen Erkenntnisses somit entsprechend abzuändern.
187
11. Die Entscheidung über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.11. Die Entscheidung über den Aufwandersatz stützt sich auf die Paragraphen 47, ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.
Wien, am 24. Juni 2026
