Entscheidungsdatum
01.05.2026Norm
B-VG Art133 Abs4Spruch
,
W605 2315586-1/8E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Julia LUDWIG als Vorsitzende und den fachkundigen Laienrichter MMag. Dr. Winfried PÖCHERSTORFER und den fachkundigen Laienrichter Mag. Florian SCHULTES, LL.M über die die Beschwerde von XXXX (vormals: XXXX ), vertreten durch Rechtsanwalt Dr. Peter ZÖCHBAUER, gegen das Straferkenntnis der Datenschutzbehörde vom 27.05.2025, GZ. XXXX , zu Recht erkannt: Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Julia LUDWIG als Vorsitzende und den fachkundigen Laienrichter MMag. Dr. Winfried PÖCHERSTORFER und den fachkundigen Laienrichter Mag. Florian SCHULTES, LL.M über die die Beschwerde von römisch 40 (vormals: römisch 40 ), vertreten durch Rechtsanwalt Dr. Peter ZÖCHBAUER, gegen das Straferkenntnis der Datenschutzbehörde vom 27.05.2025, GZ. römisch 40 , zu Recht erkannt:
A)
l. Der Beschwerde wird stattgegeben, das angefochtene Straferkenntnis behoben und das Verfahren gemäß § 45 Abs. 1 Z 4 VStG eingestellt.l. Der Beschwerde wird stattgegeben, das angefochtene Straferkenntnis behoben und das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer 4, VStG eingestellt.
ll. Gemäß S 52 Abs. 8 VwGVG hat die Beschwerdeführerin keine Kosten zu tragen.ll. Gemäß S 52 Absatz 8, VwGVG hat die Beschwerdeführerin keine Kosten zu tragen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Dem hier gegenständlichen Verwaltungsstrafverfahren war eine Datenschutzbeschwerde gegen die beschwerdeführende Partei wegen des behaupteten Verstoßes gegen Art. 44 DSGVO im Zusammenhang mit dem Aufruf der Website XXXX vorangegangen. 1. Dem hier gegenständlichen Verwaltungsstrafverfahren war eine Datenschutzbeschwerde gegen die beschwerdeführende Partei wegen des behaupteten Verstoßes gegen Artikel 44, DSGVO im Zusammenhang mit dem Aufruf der Website römisch 40 vorangegangen.
Die belangte Behörde wies diese zwar mit Spruchpunkt 1. des Bescheides vom 23.08.2024, GZ. D124.2945 2024-0.594.503 als unbegründet ab, erteilte der beschwerdeführenden Partei aber in Spruchpunkt 2. amtswegig nachfolgende Aufträge:
a) innerhalb einer Frist von sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website XXXX derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt werde. Hierfür hätte die P den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘)“a) innerhalb einer Frist von sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website römisch 40 derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt werde. Hierfür hätte die P den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘)“
b) binnen sechs Wochen „[d]ie Website XXXX derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt würden.“ b) binnen sechs Wochen „[d]ie Website römisch 40 derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt würden.“
Die beschwerdeführende Partei erhob gegen Spruchpunkt 2. a) dieses Bescheides Beschwerde an das Bundesverwaltungsgericht, welcher das Bundesverwaltungsgericht mit Erkenntnis vom 23.04.2025, GZ: W291 2299266-1/9E stattgab und den Bescheid im angefochtenen Umfang ersatzlos behob.
2. In der Folge leitete die belangte Behörde das verfahrensgegenständliche Verwaltungsstrafverfahrenen ein und forderte die beschwerdeführende Partei mit Erledigung vom 23.10.2024, GZ. D550.1101 2024-0.599.634, hinsichtlich des Verdachts sie habe als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO im Zusammenhang mit der Website XXXX und hierin eingebetteter Cookies Verwaltungsübertretungen nach Art. 5 Abs. 1 lit. a sowie Art. 6 Abs. 1 lit. a und Art. 7 Abs. 1 bis 3 sowie Art. 25 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO begangen, zur Rechtfertigung auf. 2. In der Folge leitete die belangte Behörde das verfahrensgegenständliche Verwaltungsstrafverfahrenen ein und forderte die beschwerdeführende Partei mit Erledigung vom 23.10.2024, GZ. D550.1101 2024-0.599.634, hinsichtlich des Verdachts sie habe als Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO im Zusammenhang mit der Website römisch 40 und hierin eingebetteter Cookies Verwaltungsübertretungen nach Artikel 5, Absatz eins, Litera a, sowie Artikel 6, Absatz eins, Litera a und Artikel 7, Absatz eins bis 3 sowie Artikel 25, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und 5 Litera a, DSGVO begangen, zur Rechtfertigung auf.
3. Mit Schriftsatz vom 29.11.2024 langte die diesbezügliche Rechtfertigung der beschwerdeführenden Partei ein und brachte diese im Wesentlichen vor, dass es infolge eines Konfigurationsfehlers im verwendeten „Consent Manger Tool“ dazu gekommen sei, dass die Tracking Cookies nicht blockiert worden wären und die beschwerdeführende Partei erst aufgrund des og. Datenschutzverfahrens hierauf aufmerksam gemacht worden sei.
4. Mit dem gegenständlich in Beschwerde gezogenen Straferkenntnis vom 27.05.2025, GZ. XXXX , zugestellt per RSb, wurde über die beschwerdeführende Partei ausgesprochen, dass sie Verwaltungsübertretungen gemäß Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. a iVm Art. 83 Abs. 1 und 5 lit. a DSGVO (ad I.) und Art. 5 abs. 1 lit. a, Art. 4 Z 11 und Art. 7 Abs. 1 bis 3 sowie Art. 25 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO (ad II.) begangen habe, über sie eine Geldstrafe iHv € 11.500 gemäß Art. 83 Abs, 5 lit. a DSGVO verhängt und diese gemäß § 564 VStG zur Zahlung der Kosten des Strafverfahrens in Höhe von € 1.150 verpflichtet. 4. Mit dem gegenständlich in Beschwerde gezogenen Straferkenntnis vom 27.05.2025, GZ. römisch 40 , zugestellt per RSb, wurde über die beschwerdeführende Partei ausgesprochen, dass sie Verwaltungsübertretungen gemäß Artikel 5, Absatz eins, Litera a,, Artikel 6, Absatz eins, Litera a, in Verbindung mit Artikel 83, Absatz eins und 5 Litera a, DSGVO (ad römisch eins.) und Artikel 5, abs. 1 Litera a,, Artikel 4, Ziffer 11 und Artikel 7, Absatz eins bis 3 sowie Artikel 25, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und 5 Litera a, DSGVO (ad römisch zwei.) begangen habe, über sie eine Geldstrafe iHv € 11.500 gemäß Artikel 83, Abs, 5 Litera a, DSGVO verhängt und diese gemäß Paragraph 564, VStG zur Zahlung der Kosten des Strafverfahrens in Höhe von € 1.150 verpflichtet.
5. Mit Schriftsatz vom 27.06.2025 erhob die beschwerdeführende Partei die verfahrensgegenständliche Beschwerde und beantragte, die Durchführung einer öffentlichen mündlichen Verhandlung, in der Sache selbst zu erkennen und gemäß § 50 VwGVG das Straferkenntnis abzuändern und das ersatzlos zu beheben sowie das Verfahren nach § 45 Abs. 1 Z 1 VStG in eventu nach § 45 Abs. 1 Z 4 VStG einzustellen oder, in eventu, gemäß § 45 Abs. 1 letzter Satz VStG eine Ermahnung zu erteilen. 5. Mit Schriftsatz vom 27.06.2025 erhob die beschwerdeführende Partei die verfahrensgegenständliche Beschwerde und beantragte, die Durchführung einer öffentlichen mündlichen Verhandlung, in der Sache selbst zu erkennen und gemäß Paragraph 50, VwGVG das Straferkenntnis abzuändern und das ersatzlos zu beheben sowie das Verfahren nach Paragraph 45, Absatz eins, Ziffer eins, VStG in eventu nach Paragraph 45, Absatz eins, Ziffer 4, VStG einzustellen oder, in eventu, gemäß Paragraph 45, Absatz eins, letzter Satz VStG eine Ermahnung zu erteilen.
6. Am 31.10.2025 fand am Bundesverwaltungsgericht im Beisein von zwei fachkundigen Laienrichtern, einer Behördenvertreterin und der Rechtsvertretung der beschwerdeführenden Partei eine öffentliche mündliche Verhandlung statt und erfolgte die mündliche Verkündung des gegenständlichen Erkenntnisses.
7. Mit Eingabe vom 05.11.2025 beantragte die belangte Behörde die schriftliche Ausfertigung des im Rahmen der Beschwerdeverhandlung mündlich verkündeten Erkenntnisses vom 31.10.2025.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter I. dargestellte Verfahrensgang wird den Feststellungen zugrunde gelegt und insbesondere wird Nachfolgendes festgestellt:Der unter römisch eins. dargestellte Verfahrensgang wird den Feststellungen zugrunde gelegt und insbesondere wird Nachfolgendes festgestellt:
1.1. Die beschwerdeführende Partei ist Betreiberin der Website XXXX . 1.1. Die beschwerdeführende Partei ist Betreiberin der Website römisch 40 .
1.2. Die beschwerdeführende Partei verwendet auf ihrer Website XXXX Cookies, unter anderem die Cookies „_ga“ und „_gid“ von Google Analytics. 1.2. Die beschwerdeführende Partei verwendet auf ihrer Website römisch 40 Cookies, unter anderem die Cookies „_ga“ und „_gid“ von Google Analytics.
Bei den Cookies „_ga“ und „_gid“ handelt es sich um Tracking- und Analyse-Cookies, die im Rahmen des Dienstes Google Analytics eingesetzt werden. Diese Cookies enthalten eindeutige, zufallsgenerierte Kennungen („Universally Unique Identifiers – UUIDs“), die es ermöglichen, wiederkehrende Besucher zu erkennen und Website-Nutzungsverhalten statistisch auszuwerten.
Google Analytics ist ein Messdienst, der es Kunden ermöglicht, Trafficeigenschaften zu messen. Hierzu zählt auch die Messung des Traffic‘s von Besuchern, die die Website eines Website-Besitzers besuchen. Dadurch kann das Verhalten von Website-Besuchern nachvollzogen und gemessen werden, wie diese mit einer spezifischen Website interagieren. Konkret kann sich ein Website-Betreiber ein „Google Analytics“-Konto anlegen und so mithilfe eines Dashboards Berichte zur Website betrachten. Ebenso kann mithilfe von „Google Analytics“ die Wirksamkeit von Werbekampagnen, die Website-Besitzer auf Google-Anzeigendiensten durchführen, gemessen und optimiert werden.
Mittels Cookies lassen sich Informationen sammeln, die von einer Website generiert und über den Browser eines Internetnutzers gespeichert wurden. Es handelt sich um eine kleine Datei oder Textinformation, die von einer Website über den Browser eines Internetnutzers auf der Festplatte seines Computers oder mobilen Endgerätes platziert wird.
1.3. Für die Erhebung und Übermittlung von UUIDs der Betroffenen wurde zunächst seitens der beschwerdeführenden Partei auf der Website ein Cookie-Consent-Banner als Mittel zur Einholung einer Einwilligung der betroffenen Person verwendet. Hierzu wurde auf der Website das Consent Mangement Tool „OneTrust“ (im Folgenden „CMT“) verwendet. Das CMT enthielt unter anderem die Funktion, welche die Verwendung von nicht-essenziellen Cookies vor Abgabe einer Einwilligung blockiert. Dies erfolgt mittels des JavaScripts „OTAutoBlock.js“, das beim Aufruf der Website Cookies bestimmter Kategorien (z. B. Social-Media-Cookies, Marketing-Cookies, Analysecookies, o.Ä.) bis zur Einwilligung durch den Nutzer blockiert. Das JavaScript ist in das Cookie-Consent-Banner der Website integriert.
Aufgrund eines Konfigurationsfehler auf der Website XXXX war es dazu gekommen, dass die beiden (technisch nicht notwendigen) Tracking Cookies von Google Analytics „_ga“ und „_gid“ nicht durch das Java-Script „OTAutoBlock.js“ blockiert wurden. Aufgrund eines Konfigurationsfehler auf der Website römisch 40 war es dazu gekommen, dass die beiden (technisch nicht notwendigen) Tracking Cookies von Google Analytics „_ga“ und „_gid“ nicht durch das Java-Script „OTAutoBlock.js“ blockiert wurden.
1.4. Das Pop up-Fenster, welches bei Aufrufen der Website XXXX über die Datenverarbeitung infolge der Verwendung von Cookies informierte und über das eine notwendige Einwilligung hierzu erteilt werden konnte („Cookie Banner“) war (zumindest von 19.09.2024) bis zu einer Neukonfiguration am 19.11.2024 insofern ausgestaltet, dass auf der ersten Ebene die zwei Schaltflächen „Zwecke anzeigen“ und „Akzeptieren“ sichtbar waren, wobei jene Schaltfläche betreffend „Akzeptieren“ grün hinterlegt/gefärbt war. Eine Verweigerung hiervon war insofern möglich, die (nicht gefärbte) Schaltfläche „Zwecke anzeigen“ ausgewählt wurde, so erschien in einer zweiten Ebene eine Anzeige, worin betroffenen Personen Informationen zu „Ihrer Privatsphäre“ erteilt wurden, und Einwilligungspräferenzen insofern verwaltet werden konnten, als dass individuell in die Verarbeitung personenbezogener Daten durch „Leistungs-Cookies“, „Cookies für Marketingzwecke“, „Social-Media-Cookies“ und „Funktionale Cookies“ anhand einer getroffenen Auswahl und der Schaltfläche „Meine Auswahl bestätigen“ eingewilligt werden konnte oder anhand der Schaltfläche „Alle ablehnen“ die Datenverarbeitung insgesamt versagt werden konnte. 1.4. Das Pop up-Fenster, welches bei Aufrufen der Website römisch 40 über die Datenverarbeitung infolge der Verwendung von Cookies informierte und über das eine notwendige Einwilligung hierzu erteilt werden konnte („Cookie Banner“) war (zumindest von 19.09.2024) bis zu einer Neukonfiguration am 19.11.2024 insofern ausgestaltet, dass auf der ersten Ebene die zwei Schaltflächen „Zwecke anzeigen“ und „Akzeptieren“ sichtbar waren, wobei jene Schaltfläche betreffend „Akzeptieren“ grün hinterlegt/gefärbt war. Eine Verweigerung hiervon war insofern möglich, die (nicht gefärbte) Schaltfläche „Zwecke anzeigen“ ausgewählt wurde, so erschien in einer zweiten Ebene eine Anzeige, worin betroffenen Personen Informationen zu „Ihrer Privatsphäre“ erteilt wurden, und Einwilligungspräferenzen insofern verwaltet werden konnten, als dass individuell in die Verarbeitung personenbezogener Daten durch „Leistungs-Cookies“, „Cookies für Marketingzwecke“, „Social-Media-Cookies“ und „Funktionale Cookies“ anhand einer getroffenen Auswahl und der Schaltfläche „Meine Auswahl bestätigen“ eingewilligt werden konnte oder anhand der Schaltfläche „Alle ablehnen“ die Datenverarbeitung insgesamt versagt werden konnte.
1.5. Mit dem Bescheid vom 23.08.2024, GZ. D124.2945 2024-0.594.503 wies die belangte Behörde die gegen die beschwerdeführende Partei wegen eines behaupteten Verstoßes gegen Art. 44 DSGVO im Zusammenhang mit dem Aufruf der Website XXXX erhobene Datenschutzbeschwerde als unbegründet ab (Spruchpunkt 1.). 1.5. Mit dem Bescheid vom 23.08.2024, GZ. D124.2945 2024-0.594.503 wies die belangte Behörde die gegen die beschwerdeführende Partei wegen eines behaupteten Verstoßes gegen Artikel 44, DSGVO im Zusammenhang mit dem Aufruf der Website römisch 40 erhobene Datenschutzbeschwerde als unbegründet ab (Spruchpunkt 1.).
In Spruchpunkt 2. a) trug die belangte Behörde der beschwerdeführenden Partei amtswegig auf, innerhalb einer Frist von sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website XXXX derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt [werde]. Hierfür [hätte] die [beschwerdeführende Partei] den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden [sei], um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘).“ In Spruchpunkt 2. a) trug die belangte Behörde der beschwerdeführenden Partei amtswegig auf, innerhalb einer Frist von sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website römisch 40 derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt [werde]. Hierfür [hätte] die [beschwerdeführende Partei] den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden [sei], um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘).“
Ferner wurde der beschwerdeführenden Partei in Spruchpunkt 2. b) amtswegig aufgetragen, binnen sechs Wochen „[d]ie Website XXXX derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt“ würden.Ferner wurde der beschwerdeführenden Partei in Spruchpunkt 2. b) amtswegig aufgetragen, binnen sechs Wochen „[d]ie Website römisch 40 derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt“ würden.
Der Bescheid wurde am 23.08.2024 per E-Mail der beschwerdeführenden Partei zuhanden deren Rechtsvertretung zugestellt.
1.6. Mit Schriftsatz vom 13.09.2024 erhob die beschwerdeführende Partei gegen den im Rahmen des Spruchpunktes 2.a) des og. Bescheides erteilten Leistungsauftrag eine Bescheidbeschwerde.
Während des diesbezüglichen Beschwerdeverfahrens kam die beschwerdeführende Partei diesem Leistungsauftrag insofern nach, als mit 19.11.2024 auf Webseite XXXX der „Content-Pass“ „Sourcepoint“ neu implementiert und der Cookie Banner insoweit geändert wurde, dass dessen erster Ebene neben der Option „Alle akzeptieren“ die optisch gleichwertige Option „Alle ablehnen“ vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen.Während des diesbezüglichen Beschwerdeverfahrens kam die beschwerdeführende Partei diesem Leistungsauftrag insofern nach, als mit 19.11.2024 auf Webseite römisch 40 der „Content-Pass“ „Sourcepoint“ neu implementiert und der Cookie Banner insoweit geändert wurde, dass dessen erster Ebene neben der Option „Alle akzeptieren“ die optisch gleichwertige Option „Alle ablehnen“ vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen.
Mit Erkenntnis des Bundesverwaltungsgerichtes vom 23.04.2025, GZ. W291 2299266-1/9E, wurde der Beschwerde stattgegeben und Spruchpunkt 2.a) ersatzlos behoben wurde, weil dem Leistungsauftrag Folge geleistet wurde.
1.7. Die Spruchpunkte 1) und 2.b) erwuchsen mangels hiergegen erhobenen Rechtsmittels mit Ablauf des 21.09.2024 in Rechtskraft.
Die hinsichtlich des im Rahmen des Spruchpunktes 2.b) erteilten Leistungsauftrages gesetzte sechswöchige Leistungsfrist endete mit Ablauf des 04.11.2024.
Anlässlich der Evaluierung des Bescheides und der diesem zugrundeliegenden Feststellungen wurde der Konfigurationsfehler auf der Website XXXX , aufgrund dessen die beiden (technisch nicht notwendigen) Tracking Cookies von Google Analytics „_ga“ und „_gid“ nicht durch das Java-Script „OTAutoBlock.js“ blockiert wurden, der beschwerdeführenden Partei bekannt und (vor Ablauf der gesetzten Leistungsfrist) mit 17.09.2024 ausgeräumt. Anlässlich der Evaluierung des Bescheides und der diesem zugrundeliegenden Feststellungen wurde der Konfigurationsfehler auf der Website römisch 40 , aufgrund dessen die beiden (technisch nicht notwendigen) Tracking Cookies von Google Analytics „_ga“ und „_gid“ nicht durch das Java-Script „OTAutoBlock.js“ blockiert wurden, der beschwerdeführenden Partei bekannt und (vor Ablauf der gesetzten Leistungsfrist) mit 17.09.2024 ausgeräumt.
1.8. Dem verfahrensgegenständlichen Straferkenntnis vom 27.05.2025, GZ. XXXX , wurden seitens der belangten Behörde die nachfolgenden Sachverhalte (Tatvorwürfe) zugrunde gelegt: 1.8. Dem verfahrensgegenständlichen Straferkenntnis vom 27.05.2025, GZ. römisch 40 , wurden seitens der belangten Behörde die nachfolgenden Sachverhalte (Tatvorwürfe) zugrunde gelegt:
Zu Tatvorwurf I:
Die [beschwerdeführende Partei] hat jedenfalls seit 04.09.2024 bis 17.09.2024 (,Tatzeitraum I’) ohne entsprechende Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und somit unrechtmäßig personenbezogene Daten von Besuchern der Website (in der Folge ,betroffenen Personen’) XXXX (in der Folge ,Website’), konkret deren ,Universally Unique Identifier’ (UUIDs) in Kombination mit deren IP-Adressen und Browserdaten, bei Aufrufen der Website verarbeitet, indem sie diese Daten – ohne Einholung einer Einwilligung von den betroffenen Personen im Sinne des Art. 4 Z 11 DSGVO (bzw. konkret vor Interaktion mit dem auf der Website etablierten Cookie-Banner) – durch die Einbindung der technisch nicht notwendigen Cookies ,_ga’ und ,_gid’ auf ihrer Website erhoben und an Dritte (zumindest an Google LLC sowie Google Ireland) übermittelt hat.Die [beschwerdeführende Partei] hat jedenfalls seit 04.09.2024 bis 17.09.2024 (,Tatzeitraum I’) ohne entsprechende Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO und somit unrechtmäßig personenbezogene Daten von Besuchern der Website (in der Folge ,betroffenen Personen’) römisch 40 (in der Folge ,Website’), konkret deren ,Universally Unique Identifier’ (UUIDs) in Kombination mit deren IP-Adressen und Browserdaten, bei Aufrufen der Website verarbeitet, indem sie diese Daten – ohne Einholung einer Einwilligung von den betroffenen Personen im Sinne des Artikel 4, Ziffer 11, DSGVO (bzw. konkret vor Interaktion mit dem auf der Website etablierten Cookie-Banner) – durch die Einbindung der technisch nicht notwendigen Cookies ,_ga’ und ,_gid’ auf ihrer Website erhoben und an Dritte (zumindest an Google LLC sowie Google Ireland) übermittelt hat.
Zu Tatvorwurf II:
Darüber hinaus hat die [beschwerdeführende Partei] jedenfalls seit 19.09.2024 bis 19.11.2024 (,Tatzeitraum II’) für die Erhebung und Übermittlung von weiteren personenbezogenen Daten der betroffenen Personen im Sinne von ,Universally Unique Identifiers’ (UUIDs) auf ihrer Website einen Cookie-Banner als eine Form des Ersuchens um Einwilligung verwendet, welcher entgegen den Anforderungen nach Art. 7 Abs. 1 bis 3 DSGVO derart ausgestaltet gewesen ist, dass für die Nichtabgabe einer Einwilligung (bzw. das Schließen des Cookie-Banners und Weitersurfen auf der Website ohne Einwilligung) mehr Interaktionen mit dem Cookie-Banner notwendig waren, als für die Abgabe der Einwilligung, sodass im Ergebnis die Ablehnung der Einwilligung im Vergleich zur Abgabe der Einwilligung für die betroffenen Personen erschwert wurde.Darüber hinaus hat die [beschwerdeführende Partei] jedenfalls seit 19.09.2024 bis 19.11.2024 (,Tatzeitraum II’) für die Erhebung und Übermittlung von weiteren personenbezogenen Daten der betroffenen Personen im Sinne von ,Universally Unique Identifiers’ (UUIDs) auf ihrer Website einen Cookie-Banner als eine Form des Ersuchens um Einwilligung verwendet, welcher entgegen den Anforderungen nach Artikel 7, Absatz eins bis 3 DSGVO derart ausgestaltet gewesen ist, dass für die Nichtabgabe einer Einwilligung (bzw. das Schließen des Cookie-Banners und Weitersurfen auf der Website ohne Einwilligung) mehr Interaktionen mit dem Cookie-Banner notwendig waren, als für die Abgabe der Einwilligung, sodass im Ergebnis die Ablehnung der Einwilligung im Vergleich zur Abgabe der Einwilligung für die betroffenen Personen erschwert wurde.
Zusätzlich hat diese Ausgestaltung des Cookie-Banners weder dem Grundsatz der Datenverarbeitung nach Treu und Glauben (,fairly processed’) gemäß Art. 5 Abs. 1 lit. a DSGVO, noch dem Grundsatz des Datenschutzes durch Technikgestaltung (,privacy by design’) gemäß Art. 25 Abs. 1 DSGVO entsprochen. Dadurch würde im Ergebnis von der beschwerdeführenden Partei auf ihrer Webseite durch die konkrete Gestaltung des Cookie-Banners im Tatzeitraum I eine unzulässige Einwilligung von den betroffenen Personen erhoben.Zusätzlich hat diese Ausgestaltung des Cookie-Banners weder dem Grundsatz der Datenverarbeitung nach Treu und Glauben (,fairly processed’) gemäß Artikel 5, Absatz eins, Litera a, DSGVO, noch dem Grundsatz des Datenschutzes durch Technikgestaltung (,privacy by design’) gemäß Artikel 25, Absatz eins, DSGVO entsprochen. Dadurch würde im Ergebnis von der beschwerdeführenden Partei auf ihrer Webseite durch die konkrete Gestaltung des Cookie-Banners im Tatzeitraum römisch eins eine unzulässige Einwilligung von den betroffenen Personen erhoben.
2. Beweiswürdigung:
Der der Entscheidung zugrundeliegende Sachverhalt konnte aufgrund des Akteninhaltes des gegenständlichen Verfahrens sowie des beigeschafften Verfahrens zu W291 2299266-1 und dem Beweisverfahren im Rahmen der mündlichen Verhandlung am 31.10.2025 unzweifelhaft festgestellt werden und deckt sich um Wesentlichen auch mit dem Vorbringen der beschwerdeführenden Partei im Beschwerdeschriftsatz 27.06.2025.
Darüber hinaus stützen sich getroffene Feststellungen auf die nachfolgenden Erwägungen:
2.1. Feststellungen zu Pkt. 1.1. bis 1.5. stützen sich auf dem hier gegenständlichen Gerichtsakt sowie dem Verfahrensakt zu W291 2299266-1 und den dem Bescheid der belangten Behörde vom 23.08.2024, GZ. D124.2945 2024-0.594.503, zugrunde gelegten Sachverhalt, welcher überdies – auch vor dem Hintergrund des Vorbringens der beschwerdeführenden Partei – völlig unstrittig ist.
2.2. Feststellungen zum Beschwerdeverfahren zu W291 2299266-1 sowie dazu, dass die beschwerdeführende Partei hinsichtlich des Spruchaktes 2.b) dem gesetzten Leistungsauftrag binnen offener Frist bzw. hinsichtlich des Spruchpunktes 2.a) während des anhängigen Beschwerdeverfahrens nachkam ergibts ich einerseits aus dem Sachverhaltsfeststellungen der belangten Behörde und andererseits aus der Einsicht in den beigeschafften Gerichtsakt zu W291 2299266-1.
2.3. Feststellungen zum normativen Inhalt des verfahrensgegenständlichen Straferkenntnisses vom 27.05.2025, GZ. XXXX , gründen auf dem unzweifelhaften Akteninhalt. 2.3. Feststellungen zum normativen Inhalt des verfahrensgegenständlichen Straferkenntnisses vom 27.05.2025, GZ. römisch 40 , gründen auf dem unzweifelhaften Akteninhalt.
Vor dem Hintergrund des festgestellten Sachverhalts, insbesondere zu den dem Verfahren zu W291 2299266-1 bzw. dem Bescheid vom 23.08.2024, GZ. D124.2945 2024-0.594.503 und dem gegenständlichen Straferkenntnis vom 27.05.2025, GZ. XXXX zugrundliegenden (rechtswidrigen) Datenverarbeitung, welche auch seitens der beschwerdeführenden Partei völlig unbestritten geblieben war, konnte die beantragte Einholung eines Sachverständigengutachtens unterbleiben. Angesichts der gesetzten (langen) Leistungsfrist von sechs Wochen, war es nicht entscheidungsrelevant, ob den Leistungsaufträgen auch hätte schneller nachgekommen werden können. Vor dem Hintergrund des festgestellten Sachverhalts, insbesondere zu den dem Verfahren zu W291 2299266-1 bzw. dem Bescheid vom 23.08.2024, GZ. D124.2945 2024-0.594.503 und dem gegenständlichen Straferkenntnis vom 27.05.2025, GZ. römisch 40 zugrundliegenden (rechtswidrigen) Datenverarbeitung, welche auch seitens der beschwerdeführenden Partei völlig unbestritten geblieben war, konnte die beantragte Einholung eines Sachverständigengutachtens unterbleiben. Angesichts der gesetzten (langen) Leistungsfrist von sechs Wochen, war es nicht entscheidungsrelevant, ob den Leistungsaufträgen auch hätte schneller nachgekommen werden können.
3. Rechtliche Beurteilung:
3.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DSGVO) lauten auszugsweise:
3.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DSGVO) lauten auszugsweise:,
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2.„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[…]
7.„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
[…]
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten:
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“); (…)
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“); (…)
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6 - Rechtmäßigkeit der Verarbeitung:
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: (…)
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. (…)
[…]
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
[…]
Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. 2Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
[…].“
Die maßgeblichen Bestimmungen des Verwaltungsstrafgesetz 1991 – VStG, BGBl. Nr. 52/1991 (WV) idF BGBl. I Nr. 194/1999 (DFB), lauten auszugsweise:Die maßgeblichen Bestimmungen des Verwaltungsstrafgesetz 1991 – VStG, Bundesgesetzblatt Nr. 52 aus 1991, (WV) in der Fassung Bundesgesetzblatt Teil eins, Nr. 194 aus 1999, (DFB), lauten auszugsweise:
§ 45 (1) Die Behörde hat von der Einleitung oder Fortführung eines Strafverfahrens abzusehen und die Einstellung zu verfügen, wennParagraph 45, (1) Die Behörde hat von der Einleitung oder Fortführung eines Strafverfahrens abzusehen und die Einstellung zu verfügen, wenn
1. die dem Beschuldigten zur Last gelegte Tat nicht erwiesen werden kann oder keine Verwaltungsübertretung bildet;
2. der Beschuldigte die ihm zur Last gelegte Verwaltungsübertretung nicht begangen hat oder Umstände vorliegen, die die Strafbarkeit aufheben oder ausschließen;
3. Umstände vorliegen, die die Verfolgung ausschließen;
4. die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering sind;
5. die Strafverfolgung nicht möglich ist;
6. die Strafverfolgung einen Aufwand verursachen würde, der gemessen an der Bedeutung des strafrechtlich geschützten Rechtsgutes und der Intensität seiner Beeinträchtigung durch die Tat unverhältnismäßig wäre.
Anstatt die Einstellung zu verfügen, kann die Behörde dem Beschuldigten im Fall der Z 4 unter Hinweis auf die Rechtswidrigkeit seines Verhaltens mit Bescheid eine Ermahnung erteilen, wenn dies geboten erscheint, um ihn von der Begehung strafbarer Handlungen gleicher Art abzuhalten. Anstatt die Einstellung zu verfügen, kann die Behörde dem Beschuldigten im Fall der Ziffer 4, unter Hinweis auf die Rechtswidrigkeit seines Verhaltens mit Bescheid eine Ermahnung erteilen, wenn dies geboten erscheint, um ihn von der Begehung strafbarer Handlungen gleicher Art abzuhalten.
[…]“
3.2. Zu Spruchpunkt A I) Zur gebotenen Einstellung nach § 45 Abs. 1 VStG:3.2. Zu Spruchpunkt A römisch eins) Zur gebotenen Einstellung nach Paragraph 45, Absatz eins, VStG:
Die Aufzählung der Einstellungsgründe in § 45 Abs. 1 VStG ist abschließend. Das Vorliegen eines Einstellungsgrundes hat die Behörde von Amts wegen wahrzunehmen (Fister in Lewisch/Fister/Weilguni, VStG3 § 45 Rz 2 [Stand 01.07.2023, rdb.at]).Die Aufzählung der Einstellungsgründe in Paragraph 45, Absatz eins, VStG ist abschließend. Das Vorliegen eines Einstellungsgrundes hat die Behörde von Amts wegen wahrzunehmen (Fister in Lewisch/Fister/Weilguni, VStG3 Paragraph 45, Rz 2 [Stand 01.07.2023, rdb.at]).
Nach § 45 Abs. 1 Z 4 VStG ist von der Einleitung oder Fortführung eines Strafverfahrens abzusehen und die Einstellung zu verfügen, wenn die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering sind. Nach Paragraph 45, Absatz eins, Ziffer 4, VStG ist von der Einleitung oder Fortführung eines Strafverfahrens abzusehen und die Einstellung zu verfügen, wenn die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering sind.
Voraussetzung für die Anwendung der Z 4 ist das kumulative Vorliegen aller in dieser Gesetzesstelle genannten Kriterien (VwGH 20.06.2016, Ra 2016/02/0065; 09.09.2016, Ra 2016/02/0118; 16.12.2016, Ra 2014/02/0087), und zwar müssen erstens die Bedeutung des strafrechtlich geschützten Rechtsgutes, zweitens die Intensität seiner Beeinträchtigung durch die Tat und drittens das Verschulden des Beschuldigten gering sein (vgl. VwGH 25.04.2019, Ra 2018/09/0209; 07.10.2021, Ra 2020/05/0232; 01.03.2022, Ra 2021/09/0244; 29.08.2022, Ra 2022/02/0128). Voraussetzung für die Anwendung der Ziffer 4, ist das kumulative Vorliegen aller in dieser Gesetzesstelle genannten Kriterien (VwGH 20.06.2016, Ra 2016/02/0065; 09.09.2016, Ra 2016/02/0118; 16.12.2016, Ra 2014/02/0087), und zwar müssen erstens die Bedeutung des strafrechtlich geschützten Rechtsgutes, zweitens die Intensität seiner Beeinträchtigung durch die Tat und drittens das Verschulden des Beschuldigten gering sein vergleiche VwGH 25.04.2019, Ra 2018/09/0209; 07.10.2021, Ra 2020/05/0232; 01.03.2022, Ra 2021/09/0244; 29.08.2022, Ra 2022/02/0128).
Der erkennende Senat vertritt die Ansicht, dass die dem verfahrensgegenständlichen Straferkenntnis vom 27.05.2025, GZ. XXXX , zugrundeliegenden Tatvorwürfe I und II dieselben Datenverarbeitungen betreffen, hinsichtlich derer im Rahmen des Bescheides vom 23.08.2024, GZ. D124.2945 2024-0.594.503, in den Spruchpunkt 2. a) und 2. b), Leistungsaufträge erteilten wurden. Der erkennende Senat vertritt die Ansicht, dass die dem verfahrensgegenständlichen Straferkenntnis vom 27.05.2025, GZ. römisch 40 , zugrundeliegenden Tatvorwürfe römisch eins und römisch zwei dieselben Datenverarbeitungen betreffen, hinsichtlich derer im Rahmen des Bescheides vom 23.08.2024, GZ. D124.2945 2024-0.594.503, in den Spruchpunkt 2. a) und 2. b), Leistungsaufträge erteilten wurden.
So ist für den Tatvorwurf I der Leistungsauftrag zu Spruchpunkt 2.b) des genannten Bescheides insofern und soweit zu berücksichtigen, als hiernach der beschwerdeführenden Partei aufgetragen wurde binnen sechs Wochen „[d]ie Website XXXX derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt würden.“So ist für den Tatvorwurf römisch eins der Leistungsauftrag zu Spruchpunkt 2.b) des genannten Bescheides insofern und soweit zu berücksichtigen, als hiernach der beschwerdeführenden Partei aufgetragen wurde binnen sechs Wochen „[d]ie Website römisch 40 derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt würden.“
Während des diesbezüglichen dem Straferkenntnis zugrunde gelegten Tatzeitraumes I von 04.09.2024 bis 17.09.2024 war die mit Bescheid vom 23.08.2024 gesetzte Leistungsfrist (Ende 04.11.2024) jedoch noch nicht abgelaufen. Während des diesbezüglichen dem Straferkenntnis zugrunde gelegten Tatzeitraumes römisch eins von 04.09.2024 bis 17.09.2024 war die mit Bescheid vom 23.08.2024 gesetzte Leistungsfrist (Ende 04.11.2024) jedoch noch nicht abgelaufen.
Wie festgestellt wurde erst aufgrund der dem Bescheid zugrunde gelegten Feststellungen die fehlerhafte Konfiguration und der fehlerhafte Einsatz Google Analytics /(„_ga“ und „_gid“) der Beschwerdeführenden Partei auch bekannt. Dieser Konfigurationsfehler wurde mit 17.09.2024 und somit binnen der hierfür eingeräumten Frist beseitigt und kamen mit dem genannten Zeitpunkt die genannten Google Analytics /(„_ga“ und „_gid“) nicht mehr zum Einsatz.
Für den Tatvorwurf II ist der Leistungsauftrag zu Spruchpunkt 2.a) des Bescheides insofern und soweit zu berücksichtigen, als der beschwerdeführenden Partei aufgetragen wurde, binnen sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website XXXX derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt werde. Hierfür hätte die P den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘)“.Für den Tatvorwurf römisch zwei ist der Leistungsauftrag zu Spruchpunkt 2.a) des Bescheides insofern und soweit zu berücksichtigen, als der beschwerdeführenden Partei aufgetragen wurde, binnen sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website römisch 40 derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt werde. Hierfür hätte die P den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘)“.
Während des diesbezüglich dem Straferkenntnis zugrunde gelegten Tatzeitraum II vom 19.09.2024 bis 19.11.2024 war der mit Bescheid vom 23.08.2024 gesetzte Leistungsauftrag infolge der hiergegen erhobenen Beschwerde vom 13.09.2024 nicht in (formelle) Rechtskraft erwachsen. Außerdem wurde mit Erkenntnis des Bundesverwaltungsgerichts vom 23.04.2025 der diesbezüglichen Beschwerde stattgegeben und der Spruchpunkt 2.a) ersatzlos behoben, weil diesem Leistungsauftrag am 19.11.2024 und sohin während des Beschwerdeverfahrens Folge geleistet wurde. Während des diesbezüglich dem Straferkenntnis zugrunde gelegten Tatzeitraum römisch zwei vom 19.09.2024 bis 19.11.2024 war der mit Bescheid vom 23.08.2024 gesetzte Leistungsauftrag infolge der hiergegen erhobenen Beschwerde vom 13.09.2024 nicht in (formelle) Rechtskraft erwachsen. Außerdem wurde mit Erkenntnis des Bundesverwaltungsgerichts vom 23.04.2025 der diesbezüglichen Beschwerde stattgegeben und der Spruchpunkt 2.a) ersatzlos behoben, weil diesem Leistungsauftrag am 19.11.2024 und sohin während des Beschwerdeverfahrens Folge geleistet wurde.
Die dem genannten Bescheid zugrundeliegende Datenschutzbeschwerde einer (vermeintlich) betroffenen Person wegen des behaupteten Verstoßes von Art. 44 DSGVO wurde bereits seitens der belangten Behörde als unbegründet abgewiesen. Die dem genannten Bescheid zugrundeliegende Datenschutzbeschwerde einer (vermeintlich) betroffenen Person wegen des behaupteten Verstoßes von Artikel 44, DSGVO wurde bereits seitens der belangten Behörde als unbegründet abgewiesen.
Vor diesem Hintergrund, was aus Sicht des erkennenden Senates die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten aus den nachfolgenden Erwägungen als gering zu beurteilen:
Die Bedeutung des strafrechtlich geschützten Rechtsgutes ist allgemein für sich zu beurteilen und nicht im Verhältnis zu dem im konkreten Einzelfall entgegenstehenden Schutz eines anderen Rechtsgutes (VwGH 11.07.2022, Ra 2021/04/0007; weiterführend Kuderer, ZVG 2023, 87 ff). Die Wertigkeit des geschützten Rechtsgutes findet ihren Ausdruck auch in der Höhe des gesetzlichen Strafrahmens (VwGH 18.12.2018, Ra 2016/04/0148; 07.10.2021, Ra 2020/05/0232; 13.02.2023, Ra 2022/02/0117). Unbedeutende Folgen zieht eine Tat etwa nach sich, wenn der von der betroffenen Norm gewünschte Zustand iW auf eine andere Weise ohnehin eingetreten ist (vgl. in der Erstauflage Sander in N. Raschauer/Wessely § 21 Rz 10 und Kneihs in N. Raschauer/Wessely3 § 45 Rz 8; aus der Rsp. etwa VwGH 17.02.2015, Ra 2015/09/0004, und 14.04.2021, Ra 2019/09/0100 [AuslBG – unbedeutende Folgen verneint]; 28.02.2017, Ra 2016/11/0164 [AVRAG]) oder wenn der Verstoß so geringfügig ist, dass er dem Normzweck im Wesentlichen nicht zuwiderläuft (VwGH 13.09.2016, Ra 2016/03/0065 [MedKF-TG 2012]).Die Bedeutung des strafrechtlich geschützten Rechtsgutes ist allgemein für sich zu beurteilen und nicht im Verhältnis zu dem im konkreten Einzelfall entgegenstehenden Schutz eines anderen Rechtsgutes (VwGH 11.07.2022, Ra 2021/04/0007; weiterführend Kuderer, ZVG 2023, 87 ff). Die Wertigkeit des geschützten Rechtsgutes findet ihren Ausdruck auch in der Höhe des gesetzlichen Strafrahmens (VwGH 18.12.2018, Ra 2016/04/0148; 07.10.2021, Ra 2020/05/0232; 13.02.2023, Ra 2022/02/0117). Unbedeutende Folgen zieht eine Tat etwa nach sich, wenn der von der betroffenen Norm gewünschte Zustand iW auf eine andere Weise ohnehin eingetreten ist vergleiche in der Erstauflage Sander in N. Raschauer/Wessely Paragraph 21, Rz 10 und Kneihs in N. Raschauer/Wessely3 Paragraph 45, Rz 8; aus der Rsp. etwa VwGH 17.02.2015, Ra 2015/09/0004, und 14.04.2021, Ra 2019/09/0100 [AuslBG – unbedeutende Folgen verneint]; 28.02.2017, Ra 2016/11/0164 [AVRAG]) oder wenn der Verstoß so geringfügig ist, dass er dem Normzweck im Wesentlichen nicht zuwiderläuft (VwGH 13.09.2016, Ra 2016/03/0065 [MedKF-TG 2012]).
Von geringem Verschulden im Sinn des § 45 Abs. 1 Z 4 VStG ist gemäß der ständigen Rechtsprechung des Verwaltungsgerichtshofes generell nur dann zu sprechen, wenn das tatbildmäßige Verhalten des Täters hinter dem in der betreffenden Strafdrohung typisierten Unrechtsgehalt und Schuldgehalt erheblich zurückbleibt (vgl. VwGH 07.04.2017, Ra 2016/02/0245, mwN).Von geringem Verschulden im Sinn des Paragraph 45, Absatz eins, Ziffer 4, VStG ist gemäß der ständigen Rechtsprechung des Verwaltungsgerichtshofes generell nur dann zu sprechen, wenn das tatbildmäßige Verhalten des Täters hinter dem in der betreffenden Strafdrohung typisierten Unrechtsgehalt und Schuldgehalt erheblich zurückbleibt vergleiche VwGH 07.04.2017, Ra 2016/02/0245, mwN).
Das objektive Vorliegen des Tatbestandes hinsichtlich beider dem gegenständlichen Straferkenntnis zugrundeliegenden Tatvorwürfe wurde durch die beschwerdeführende Partei im Wesentlichen nicht bestritten.
Der seitens der belangten Behörde verfahrensgegenständliche Tatvorwurf I umfasst denselben Lebenssachverhalt und steht im Zusammenhang mit Leistungsauftrag 2.b) des Bescheides vom 23.08.2024. Der zugrunde gelegte Tatvorwurf II umfasst denselben Lebenssachverhalt und steht im Zusammenhang mit dem Leistungsauftrag 2.a) Der seitens der belangten Behörde verfahrensgegenständliche Tatvorwurf römisch eins umfasst denselben Lebenssachverhalt und steht im Zusammenhang mit Leistungsauftrag 2.b) des Bescheides vom 23.08.2024. Der zugrunde gelegte Tatvorwurf römisch zwei umfasst denselben Lebenssachverhalt und steht im Zusammenhang mit dem Leistungsauftrag 2.a)
Von der belangten Behörde selbst wurde keine vorsätzliche Tathandlung angenommen. Wenn außerdem – wie festgestellt – der beschwerdeführenden Partei seitens der belangten Behörde im Rahmen des Bescheides vom 23.08.2024 in den Spruchpunkten 2.a) und 2.b), Aufträge erteilt, die dem verfahrensgegenständlichen Straferkenntnis vom 27.05.2025, GZ XXXX , zugrundeliegenden rechtswidrigen Datenverarbeitungen (Tatvorwurf I entsprechend und II) zu beseitigen, und ihr hierfür eine Frist von sechs Wochen einräumt wird, bei welcher es sich – eigenen Angaben der Behördenvertreterin im Rahmen der mündlichen Beschwerdeverhandlung nach (siehe Verhandlungsniederschrift S 10) – um eine längere Leistungsfrist handelt, als unter der üblicher Weise Leistungsaufträge erteilt würden, erhellt sich, dass auch die belangte Behörde von keinem schwerwiegenden Unrechtsgehalt der Tat und auch nur einem geringen Verschulden ausging.Von der belangten Behörde selbst wurde keine vorsätzliche Tathandlung angenommen. Wenn außerdem – wie festgestellt – der beschwerdeführenden Partei seitens der belangten Behörde im Rahmen des Bescheides vom 23.08.2024 in den Spruchpunkten 2.a) und 2.b), Aufträge erteilt, die dem verfahrensgegenständlichen Straferkenntnis vom 27.05.2025, GZ römisch 40 , zugrundeliegenden rechtswidrigen Datenverarbeitungen (Tatvorwurf römisch eins entsprechend und römisch zwei) zu beseitigen, und ihr hierfür eine Frist von sechs Wochen einräumt wird, bei welcher es sich – eigenen Angaben der Behördenvertreterin im Rahmen der mündlichen Beschwerdeverhandlung nach (siehe Verhandlungsniederschrift S 10) – um eine längere Leistungsfrist handelt, als unter der üblicher Weise Leistungsaufträge erteilt würden, erhellt sich, dass auch die belangte Behörde von keinem schwerwiegenden Unrechtsgehalt der Tat und auch nur einem geringen Verschulden ausging.
Soweit die Rechtsprechung davon ausgeht, dass ein geringes Verschulden nicht vorliegt, wenn der Beschuldigte durch vorangegangene Beanstandungen von der Rechtswidrigkeit eines Zustands oder seines Verhaltens Kenntnis erlangen konnte und dennoch keine Änderung herbeiführte (VwGH 18.11.2014, Ra 2014/05/0008; 07.04.2017, Ra 2016/02/0245), ist umgekehrt davon sehr wohl auszugehen, dass ein solches geringes Verschulden vorliegt, wenn [wie hier durch die beschwerdeführende Partei] einem Leistungsauftrag folgend eben die beanstandeten Änderungen sehr wohl [und in beiden Fällen vor Ablauf der hierfür gesetzten Frist bzw. Eintreten der Rechtskraft des diesbezüglichen Leistungsauftrages] herbeigeführt wurden.
Unzweifelhaft handelt es sich um die verfahrensgegenständlichen Tracking Cookies von Google Analytics „_ga“ und „_gid“ auf der Website XXXX (Tatvorwurf I) um technisch nicht notwendige Tracking Cookies, für welche es zwingend eine (aktive) Einwilligung bedarf (vgl. BVwG vom 12.05.2023, GZen. W245 2252208-1/36E und 2252221-1/30E). Ebenfalls unstrittig – weil durch die beschwerdeführende Partei im Wesentlichen zugestanden – hatte ein Konfigurationsfehler im JavaScripts „OTAutoBlock.js“ dazu geführt, dass eben diese Tracking Cookies nicht (vor Abgabe der Einwilligung) blockiert wurden. Das heißt, die beschwerdeführende Partei hatte sehr wohl Maßnahmen getroffen, die Vorsorge dafür hätten tragen sollen, dass die Erhebung und Übermittlung der UUIDs von Website-Besuchern grundsätzlich erst nach Abgabe einer Einwilligung erfolgen sollte. Wenngleich der fragliche Konfigurationsfehler der beschwerdeführenden Partei unzweifelhaft zuzurechnen ist, ist vorliegend auch aus diesen Erwägungen von keinem schweren Verschulden auszugehen. Unzweifelhaft handelt es sich um die verfahrensgegenständlichen Tracking Cookies von Google Analytics „_ga“ und „_gid“ auf der Website römisch 40 (Tatvorwurf römisch eins) um technisch nicht notwendige Tracking Cookies, für welche es zwingend eine (aktive) Einwilligung bedarf vergleiche BVwG vom 12.05.2023, GZen. W245 2252208-1/36E und 2252221-1/30E). Ebenfalls unstrittig – weil durch die beschwerdeführende Partei im Wesentlichen zugestanden – hatte ein Konfigurationsfehler im JavaScripts „OTAutoBlock.js“ dazu geführt, dass eben diese Tracking Cookies nicht (vor Abgabe der Einwilligung) blockiert wurden. Das heißt, die beschwerdeführende Partei hatte sehr wohl Maßnahmen getroffen, die Vorsorge dafür hätten tragen sollen, dass die Erhebung und Übermittlung der UUIDs von Website-Besuchern grundsätzlich erst nach Abgabe einer Einwilligung erfolgen sollte. Wenngleich der fragliche Konfigurationsfehler der beschwerdeführenden Partei unzweifelhaft zuzurechnen ist, ist vorliegend auch aus diesen Erwägungen von keinem schweren Verschulden auszugehen.
Vor dem Hintergrund dieser Ausführungen konnte auch die beantragte Einholung eines Sachverständigengutachtens unterbleiben. Angesichts der gesetzten (langen) Leistungsfrist von sechs Wochen, war es nicht entscheidungsrelevant, ob diesen hätte schneller nachkommen können, um ein vorliegendes (geringes) Verschulden anzunehmen.
Die belangte Behörde ging im Lichte des als erwiesen angenommenen Sachverhaltes und unter Berücksichtgiung der Art und Schwere und Dauer des Verstoßes iSd Art. 83 Abs. 1 lit. a DSGVO, der Begehungsart iSd Art 83 Abs.2 lit. b DSGVO sowie der betroffenen Kategorien an personenbezogenen Daten iSd Art. 83 Abs. 2 lit. g DSGVO von nur einem geringen Schwergrad der Zuwiderhandlung und somit von einem Strafrahmen bis € 500.000,- aus. Bei einem gemäß Art. 83 Abs. 5 DSGVO allgemein möglichem Strafrahmen bis zu € 20.000.000,- ergibt sich im Vergleich hierzu aus dem für die konkrete Beeinträchtigung angenommen Strafrahmen ebenfalls eine bloß geringe Bedeutung.Die belangte Behörde ging im Lichte des als erwiesen angenommenen Sachverhaltes und unter Berücksichtgiung der Art und Schwere und Dauer des Verstoßes iSd Artikel 83, Absatz eins, Litera a, DSGVO, der Begehungsart iSd Artikel 83, Absatz 2, Litera b, DSGVO sowie der betroffenen Kategorien an personenbezogenen Daten iSd Artikel 83, Absatz 2, Litera g, DSGVO von nur einem geringen Schwergrad der Zuwiderhandlung und somit von einem Strafrahmen bis € 500.000,- aus. Bei einem gemäß Artikel 83, Absatz 5, DSGVO allgemein möglichem Strafrahmen bis zu € 20.000.000,- ergibt sich im Vergleich hierzu aus dem für die konkrete Beeinträchtigung angenommen Strafrahmen ebenfalls eine bloß geringe Bedeutung.
Vor dem Hintergrund des durchführten Beweisverfahrens und den obigen Ausführungen ist sohin die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden der beschwerdeführenden Partei aus Sicht des erkennenden Senates als so gering zu bewerten, dass Verfahren gemäß § 38 VwGVG iVm § 45 Abs. 1 Z 4 VStG einzustellen ist. Vor dem Hintergrund des durchführten Beweisverfahrens und den obigen Ausführungen ist sohin die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden der beschwerdeführenden Partei aus Sicht des erkennenden Senates als so gering zu bewerten, dass Verfahren gemäß Paragraph 38, VwGVG in Verbindung mit Paragraph 45, Absatz eins, Ziffer 4, VStG einzustellen ist.
3.3. zu A II) Zur Kostentragung3.3. zu A römisch zwei) Zur Kostentragung
Da der Beschwerde Folge zu geben und das angefochtene Straferkenntnis aufzuheben war, ist auszusprechen, dass die Beschwerdeführerin gemäß § 52 Abs. 8 VwGVG keine Kosten des Verfahrens trägt.Da der Beschwerde Folge zu geben und das angefochtene Straferkenntnis aufzuheben war, ist auszusprechen, dass die Beschwerdeführerin gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten des Verfahrens trägt.
3.4. Zu Spruchpunkt B) - Unzulässigkeit der Revision:
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Die maßgebliche Rechtsprechung wurde bei den Erwägungen zu den einzelnen Spruchpunkten zu Spruchteil A wiedergegeben. Insoweit die in der rechtlichen Beurteilung angeführte Judikatur des Verwaltungsgerichtshofes zu früheren Rechtslagen ergangen ist, ist diese nach Ansicht des Bundesverwaltungsgerichts auf die inhaltlich meist völlig gleichlautenden Bestimmungen der nunmehr geltenden Rechtslage unverändert übertragbar.
Schlagworte
Behebung der Entscheidung Cookies Datenschutz Datenschutzbehörde Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Einwilligung Geldstrafe Internet Kostentragung Leistungsauftrag Straferkenntnis Verantwortlicher Verfahrenseinstellung Verschulden VerwaltungsübertretungEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W605.2315586.1.00Im RIS seit
23.06.2026Zuletzt aktualisiert am
23.06.2026
