Entscheidungsdatum
24.03.2026Norm
B-VG Art133 Abs4Spruch
,
W298 2323263-1/11E
Im namen der republik!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Mag. Florian Schultes als Beisitzerin und Beisitzer über die Beschwerde der XXXX vom 31.03.2025 gegen das Straferkenntnis der Datenschutzbehörde vom XXXX , zu Recht erkannt: Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Mag. Florian Schultes als Beisitzerin und Beisitzer über die Beschwerde der römisch 40 vom 31.03.2025 gegen das Straferkenntnis der Datenschutzbehörde vom römisch 40 , zu Recht erkannt:
A)
I. Die Beschwerde wird gemäß § 50 VwGVG als unbegründet abgewiesen und das bekämpfte Straferkenntnis bestätigt.römisch eins. Die Beschwerde wird gemäß Paragraph 50, VwGVG als unbegründet abgewiesen und das bekämpfte Straferkenntnis bestätigt.
II. Gemäß § 52 Abs. 1, 2 und 6 VwGVG hat der Beschwerdeführer einen Kostenbeitrag zum Beschwerdeverfahren von 20% der ausgesprochenen Strafe, sohin in der Höhe von EUR 1.260, -- (in Worten: eintausendzweihundertsechzig) zu leisten.römisch zwei. Gemäß Paragraph 52, Absatz eins, 2 und 6 VwGVG hat der Beschwerdeführer einen Kostenbeitrag zum Beschwerdeverfahren von 20% der ausgesprochenen Strafe, sohin in der Höhe von EUR 1.260, -- (in Worten: eintausendzweihundertsechzig) zu leisten.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang: römisch eins. Verfahrensgang:
1. Am 02.09. XXXX brachten XXXX und XXXX eine Datenschutzbeschwerde gegen die XXXX GmbH (im Weiteren: Beschwerdeführerin) bei der Datenschutzbehörde, (im Weiteren: belangte Behörde) ein. In ihrer Beschwerde führten sie zusammengefasst soweit verfahrensrelevant aus, dass ein Vertreter der Beschwerdeführerin heimlich ein Gespräch mit XXXX aufgezeichnet habe und darauf stützend eine Honorarforderung der Beschwerdeführerin gegen die mitbeteiligten Parteien erhoben habe. Dabei soll ein Vertreter der Beschwerdeführerin eine Audioaufnahme eines Gesprächs vorgenommen haben, ohne davor eine datenschutzrechtliche Einwilligung in die Datenverarbeitung eingeholt zu haben. 1. Am 02.09. römisch 40 brachten römisch 40 und römisch 40 eine Datenschutzbeschwerde gegen die römisch 40 GmbH (im Weiteren: Beschwerdeführerin) bei der Datenschutzbehörde, (im Weiteren: belangte Behörde) ein. In ihrer Beschwerde führten sie zusammengefasst soweit verfahrensrelevant aus, dass ein Vertreter der Beschwerdeführerin heimlich ein Gespräch mit römisch 40 aufgezeichnet habe und darauf stützend eine Honorarforderung der Beschwerdeführerin gegen die mitbeteiligten Parteien erhoben habe. Dabei soll ein Vertreter der Beschwerdeführerin eine Audioaufnahme eines Gesprächs vorgenommen haben, ohne davor eine datenschutzrechtliche Einwilligung in die Datenverarbeitung eingeholt zu haben.
2. Mit Bescheid vom 31.03. XXXX gab die belangte Behörde der Datenschutzbeschwerde statt und stellte fest, dass die Beschwerdeführerin durch Aufzeichnen des Gesprächs des Vertreters der Beschwerdeführerin mit den mitbeteiligten Parteien ohne vorherige Einwilligung diese im Recht auf Geheimhaltung verletzt habe. Demnach habe der Vertreter der Beschwerdeführerin unrechtmäßiger Weise ein Aufnahmegerät versteckt getragen und noch bevor er den Umstand an die mitbeteiligten Parteien relevierte, eine Aufzeichnung gestartet. Es gäbe keine datenschutzrechtliche Einwilligung und auch keine berechtigten Interessen, die die Grundrechte der mitbeteiligten Parteien überwiegen würden. 2. Mit Bescheid vom 31.03. römisch 40 gab die belangte Behörde der Datenschutzbeschwerde statt und stellte fest, dass die Beschwerdeführerin durch Aufzeichnen des Gesprächs des Vertreters der Beschwerdeführerin mit den mitbeteiligten Parteien ohne vorherige Einwilligung diese im Recht auf Geheimhaltung verletzt habe. Demnach habe der Vertreter der Beschwerdeführerin unrechtmäßiger Weise ein Aufnahmegerät versteckt getragen und noch bevor er den Umstand an die mitbeteiligten Parteien relevierte, eine Aufzeichnung gestartet. Es gäbe keine datenschutzrechtliche Einwilligung und auch keine berechtigten Interessen, die die Grundrechte der mitbeteiligten Parteien überwiegen würden.
3. In der Folge leitete die belangte Behörde das verfahrensgegenständlich angefochtene Strafverfahren ein, forderte die Beschwerdeführerin zur Rechtfertigung auf und führte am 05.02.2025 eine mündliche Verhandlung durch.
4. Mit im Spruch näher bezeichnetem Straferkenntnis sprach die belangte Behörde eine Strafe in der Höhe von EUR 6.300,-- sowie Verfahrenskosten in der Höher von EUR 630,-- aus. Begründend führte sie aus, dass sie durch ihren Beschwerdeführer ein Geschäftsgespräch ohne ausreichende datenschutzrechtliche Verarbeitungsgrundlage aufgezeichnet habe und dadurch gegen datenschutzrechtliche Pflichten verstoßen habe.
5.Mit Schreiben vom XXXX erhob die Beschwerdeführerin Beschwerde gegen den Bescheid der belangten Behörde und brachte darin zusammengefasst vor, dass die belangte Behörde den Sachverhalt unrichtig festgestellt habe, weil die Aufnahme des Gesprächs nicht vor Betreten der Räumlichkeiten gestartet worden sei, sondern durch Abspeichern dieser. Anderslautende Aussagen des Vertreters der Beschwerdeführerin in der mündlichen Verhandlung vor der belangten Behörde seien in Unkenntnis dieses Umstandes getätigt worden. Auch unrichtig sei, dass die zweitmitbeteiligte Partei keine Einwilligung abgegeben habe. Sie habe nämlich auf dem Formblatt der Beschwerdeführerin in Kenntnis des Umstandes, dass Gespräche aufgezeichnet würden, eine Unterschrift gesetzt und damit ihre Einwilligung bestätigt. Es lägen keine personenbezogenen Daten vor und habe die Beschwerdeführerin ein überwiegendes berechtigtes Interesse an der Verarbeitung der Daten. 5.Mit Schreiben vom römisch 40 erhob die Beschwerdeführerin Beschwerde gegen den Bescheid der belangten Behörde und brachte darin zusammengefasst vor, dass die belangte Behörde den Sachverhalt unrichtig festgestellt habe, weil die Aufnahme des Gesprächs nicht vor Betreten der Räumlichkeiten gestartet worden sei, sondern durch Abspeichern dieser. Anderslautende Aussagen des Vertreters der Beschwerdeführerin in der mündlichen Verhandlung vor der belangten Behörde seien in Unkenntnis dieses Umstandes getätigt worden. Auch unrichtig sei, dass die zweitmitbeteiligte Partei keine Einwilligung abgegeben habe. Sie habe nämlich auf dem Formblatt der Beschwerdeführerin in Kenntnis des Umstandes, dass Gespräche aufgezeichnet würden, eine Unterschrift gesetzt und damit ihre Einwilligung bestätigt. Es lägen keine personenbezogenen Daten vor und habe die Beschwerdeführerin ein überwiegendes berechtigtes Interesse an der Verarbeitung der Daten.
6. Am 22.10.2025 legte die belangte Behörde dem Bundesverwaltungsgericht die Beschwerde samt dazugehörigem Akt zur Entscheidung vor und beantragte, das Bundesverwaltungsgericht möge die Beschwerde abweisen.
7. Am 27.02.2026 führte das Bundesverwaltungsgericht eine mündliche Verhandlung durch.
II. Das Bundesverwaltungsgericht hat erwogen: römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die Beschwerdeführerin ist eine juristische Person mit der Rechtsform der Gesellschaft mit beschränkter Haftung mit Sitz in 1100 Wien, XXXX und betreibt eine Werbeagentur. Der Geschäftszweig lautet auf „Entwicklung von Gemeinde- und Stadtausstellungen“.1.1. Die Beschwerdeführerin ist eine juristische Person mit der Rechtsform der Gesellschaft mit beschränkter Haftung mit Sitz in 1100 Wien, römisch 40 und betreibt eine Werbeagentur. Der Geschäftszweig lautet auf „Entwicklung von Gemeinde- und Stadtausstellungen“.
1.2. Im Rahmen ihrer Tätigkeit bietet die Beschwerdeführerin eine Dienstleistung in Form der „ XXXX “ an, auf der Betriebe und Gewerbe in Oberösterreich digital präsentiert werden und Nutzer:innen Informationen über diese abrufen können.1.2. Im Rahmen ihrer Tätigkeit bietet die Beschwerdeführerin eine Dienstleistung in Form der „ römisch 40 “ an, auf der Betriebe und Gewerbe in Oberösterreich digital präsentiert werden und Nutzer:innen Informationen über diese abrufen können.
1.3. Am 24. April 2024 führte Mag. XXXX als Vertreter der Beschwerdeführerin in der Ordination der XXXX an der Adresse XXXX innerhalb der Ordinations-Öffnungszeiten ein Gespräch zwecks Anbietens der Dienstleistungen wie festgestellt unter 1.2. Inhalt des Gespräches war eine Dienstleistung in Form der „ XXXX “, auf welcher Informationen zu Betrieben und Gewerben in Oberösterreich abgerufen werden können. Die Aufzeichnung erfasste neben dem Gesprächsinhalt u.a. die E-Mail-Adresse „ XXXX “, den Namen der XXXX , den Namen des Instagram- und Facebook-Accounts „ XXXX “ als auch Informationen zur Ausbildung der XXXX . In der Aufzeichnung sind überdies Gespräche der XXXX sowie weiterer Dritter hörbar (im Folgenden zusammen „Betroffene“ genannt). Im Rahmen des Gesprächs überreichte Mag. XXXX folgende Vertragsunterlagen:- „Auftrag“- „Basisdaten für elektronische Medien“,- „Zusätzliche Unterlagen für elektronische Medien“, welche von XXXX unterfertigt wurden. 1.3. Am 24. April 2024 führte Mag. römisch 40 als Vertreter der Beschwerdeführerin in der Ordination der römisch 40 an der Adresse römisch 40 innerhalb der Ordinations-Öffnungszeiten ein Gespräch zwecks Anbietens der Dienstleistungen wie festgestellt unter 1.2. Inhalt des Gespräches war eine Dienstleistung in Form der „ römisch 40 “, auf welcher Informationen zu Betrieben und Gewerben in Oberösterreich abgerufen werden können. Die Aufzeichnung erfasste neben dem Gesprächsinhalt u.a. die E-Mail-Adresse „ römisch 40 “, den Namen der römisch 40 , den Namen des Instagram- und Facebook-Accounts „ römisch 40 “ als auch Informationen zur Ausbildung der römisch 40 . In der Aufzeichnung sind überdies Gespräche der römisch 40 sowie weiterer Dritter hörbar (im Folgenden zusammen „Betroffene“ genannt). Im Rahmen des Gesprächs überreichte Mag. römisch 40 folgende Vertragsunterlagen:- „Auftrag“- „Basisdaten für elektronische Medien“,- „Zusätzliche Unterlagen für elektronische Medien“, welche von römisch 40 unterfertigt wurden.
1.4. Mag XXXX vermittelte sowohl bei der Vereinbarung des Termins, als auch beim Gespräch mit XXXX den Eindruck, dass er seitens der Gemeinde tätig werde und, dass der Zweck des Gesprächs die Aktualisierung von Daten sei. In der Folge wurde der Termin auch wie festgestellt während der Ordinationszeiten ohne räumliche Trennung vom Ordinationsbetrieb abgehalten. Im Laufe des Gesprächs befanden sich deshalb XXXX sowie weitere Personen (in der Folge „Betroffene“) während eigener Gespräche im unmittelbaren Nahbereich des Mag. XXXX . Während des Gesprächs überreichte Mag. XXXX „Vertragsunterlagen“. In den Vertragsunterlagen befand sich folgender Passus (Formatierung nicht 1:1 übernommen): „Aus Qualitätsverbesserungsgründen erteilt der Auftraggeber die Zustimmung zur Aufzeichnung aller Gespräche und Anfertigung von Bildern bei der Auftragserteilung“. Während der Dokumentenvorlage wurde XXXX mündlich erstmalig auf die Tonaufzeichnung und den Zustimmungspassus hingewiesen. Die Zweitbetroffene nahm diesen Hinweis zur Kenntnis, war sich aber zu diesem Zeitpunkt nicht bewusst, dass auch das laufende Gespräch aufgezeichnet werden würde. 1.4. Mag römisch 40 vermittelte sowohl bei der Vereinbarung des Termins, als auch beim Gespräch mit römisch 40 den Eindruck, dass er seitens der Gemeinde tätig werde und, dass der Zweck des Gesprächs die Aktualisierung von Daten sei. In der Folge wurde der Termin auch wie festgestellt während der Ordinationszeiten ohne räumliche Trennung vom Ordinationsbetrieb abgehalten. Im Laufe des Gesprächs befanden sich deshalb römisch 40 sowie weitere Personen (in der Folge „Betroffene“) während eigener Gespräche im unmittelbaren Nahbereich des Mag. römisch 40 . Während des Gesprächs überreichte Mag. römisch 40 „Vertragsunterlagen“. In den Vertragsunterlagen befand sich folgender Passus (Formatierung nicht 1:1 übernommen): „Aus Qualitätsverbesserungsgründen erteilt der Auftraggeber die Zustimmung zur Aufzeichnung aller Gespräche und Anfertigung von Bildern bei der Auftragserteilung“. Während der Dokumentenvorlage wurde römisch 40 mündlich erstmalig auf die Tonaufzeichnung und den Zustimmungspassus hingewiesen. Die Zweitbetroffene nahm diesen Hinweis zur Kenntnis, war sich aber zu diesem Zeitpunkt nicht bewusst, dass auch das laufende Gespräch aufgezeichnet werden würde.
1.5. Die Datenschutzbehörde gab einer darauf folgenden Datenschutzbeschwerde von XXXX und XXXX nach durchgeführter mündlicher Verhandlung vom 05.02.2025 mit Bescheid vom 17.04.2025 (GZ: D124.2010/24; 2025-0.165.616) statt und stellte fest, dass die Beschuldigte XXXX und XXXX in ihrem Recht auf Geheimhaltung verletzt hat, indem sie das Gespräch vom 24.04.2024 aufzeichnete. Der Bescheid ist rechtskräftig.1.5. Die Datenschutzbehörde gab einer darauf folgenden Datenschutzbeschwerde von römisch 40 und römisch 40 nach durchgeführter mündlicher Verhandlung vom 05.02.2025 mit Bescheid vom 17.04.2025 (GZ: D124.2010/24; 2025-0.165.616) statt und stellte fest, dass die Beschuldigte römisch 40 und römisch 40 in ihrem Recht auf Geheimhaltung verletzt hat, indem sie das Gespräch vom 24.04.2024 aufzeichnete. Der Bescheid ist rechtskräftig.
In der Folge leitete die belangte Behörde auch ein Verwaltungsstrafverfahren ein, welches mit verfahrensgegenständlich angefochtenem Straferkenntnis beendet wurde.
Die Beschwerdeführerin erhob gegen das Straferkenntnis das Rechtsmittel der Beschwerde.
1.6. Der weltweit erzielte Jahresumsatz der Beschuldigten aus dem Jahr XXXX wird mit EUR 89. XXXX festgestellt. 1.6. Der weltweit erzielte Jahresumsatz der Beschuldigten aus dem Jahr römisch 40 wird mit EUR 89. römisch 40 festgestellt.
1.7. Die Beschwerdeführerin ist nicht anwaltlich vertreten.
Die Beschwerdeführerin ist mit Ladung vom 20.01.2026 zur Verhandlung am 27.02.2025 geladen worden, ein Vertreter ist unentschuldigt nicht erschienen.
Am 27.02.2026 teilte der Geschäftsführer der Beschwerdeführerin per E-Mail mit, dass er an der Verhandlung aufgrund von Krankheit nicht teilnehmen werden können, eine ärztliche Bestätigung im Postweg zu übermitteln kündigte er an. Am 06.03.2026 langte ein Einschreiben datiert vom 27.01.2026 mit einer Arbeitsunfähigkeitsmeldung von Mag. XXXX in der Zeit vom 24.02.2026 bis 06.03.2026 wegen „Krankheit“ gezeichnet durch Dr. Norbert XXXX beim BVwG ein.Am 27.02.2026 teilte der Geschäftsführer der Beschwerdeführerin per E-Mail mit, dass er an der Verhandlung aufgrund von Krankheit nicht teilnehmen werden können, eine ärztliche Bestätigung im Postweg zu übermitteln kündigte er an. Am 06.03.2026 langte ein Einschreiben datiert vom 27.01.2026 mit einer Arbeitsunfähigkeitsmeldung von Mag. römisch 40 in der Zeit vom 24.02.2026 bis 06.03.2026 wegen „Krankheit“ gezeichnet durch Dr. Norbert römisch 40 beim BVwG ein.
Für eine Verhandlungsteilnahme eines informierten Vertreters oder Rechtsvertreters wurde nicht gesorgt.
Die Verhandlung wurde in Abwesenheit eines Vertreters der Beschwerdeführerin durchgeführt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie aus dem Akt des Bundesverwaltungsgerichts und sind betreffend die Feststellungen, dass am 24.04.2024 ein Gespräch zwischen XXXX und Mag. XXXX in der Ordination von XXXX welches aufgezeichnet worden ist unstrittig.Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie aus dem Akt des Bundesverwaltungsgerichts und sind betreffend die Feststellungen, dass am 24.04.2024 ein Gespräch zwischen römisch 40 und Mag. römisch 40 in der Ordination von römisch 40 welches aufgezeichnet worden ist unstrittig.
Die Beschwerdeführerin bestreitet die Tatsache, dass das Aufnahmegerät des Mag. XXXX (lt Feststellung der belangten Behörde) verdeckt war und behauptet, dass eine Einwilligung vorgelegen habe. Während die Frage einer wirksamen Einwilligung in der rechtlichen Beurteilung zu ergründen ist, war jedoch festzustellen, dass aufgrund der glaubwürdigen Aussagen der Zeugin XXXX für diese nicht erkennbar war, dass ein als solches zu erkennendes Aufnahmegerät zu Beginn des Gesprächs von Mag. XXXX mitgenommen wurde und eingeschaltet war. Die Zeugin XXXX konnte überdies glaubhaft schildern, dass sie, wenn sie sich über den Gegenstand des Gesprächs und darüber, dass das Gespräch aufgezeichnet wird, bewusst gewesen wäre, das Gespräch nicht innerhalb der Ordinationszeiten vereinbart hätte und ohne räumliche Trennung, von der ärztlichen Verschwiegenheitspflicht unterliegenden Gesprächen welche (unabsichtlich) auch davon erfasst sein könnten durchgeführt hätte. Die Zeugin XXXX konnte dazu glaubhaft und lebensnah schildern, dass sie sich datenschutzrechtlicher Pflichten gegenüber Patienten im Ordinationsbetrieb bewusst war. Auch daraus ergibt sich für das Bundesverwaltungsgericht wie unter 1.4. der Feststellungen festgestellt, dass sich XXXX aufgrund des Auftretens des Mag. XXXX nicht bewusst war, dass eine Aufzeichnung stattfindet. Auch ergibt sich dies aus der Aussage der Zeugin XXXX , welche angab, dass eine Vereinbarung über Werbung durch die Beschwerdeführerin aufgrund dessen, dass ein Aufnahmestopp in der Ordination, sprich eine Vollauslastung, besteht, nicht von Interesse gewesen wäre. Weiters gab XXXX unter Wahrheitspflicht glaubwürdig an, dass eine Beauftragung zu Zwecken der Werbung durch ihre Mitarbeiterin XXXX nicht ohne vorherige Absprache mit ihr erfolgen hätte dürfen. Auch sie verwies in ihrer Aussage vor dem BVwG darauf, dass eine Gesprächsaufzeichnung während der Ordinationszeiten nicht statthaft gewesen wäre. Die Beschwerdeführerin bestreitet die Tatsache, dass das Aufnahmegerät des Mag. römisch 40 (lt Feststellung der belangten Behörde) verdeckt war und behauptet, dass eine Einwilligung vorgelegen habe. Während die Frage einer wirksamen Einwilligung in der rechtlichen Beurteilung zu ergründen ist, war jedoch festzustellen, dass aufgrund der glaubwürdigen Aussagen der Zeugin römisch 40 für diese nicht erkennbar war, dass ein als solches zu erkennendes Aufnahmegerät zu Beginn des Gesprächs von Mag. römisch 40 mitgenommen wurde und eingeschaltet war. Die Zeugin römisch 40 konnte überdies glaubhaft schildern, dass sie, wenn sie sich über den Gegenstand des Gesprächs und darüber, dass das Gespräch aufgezeichnet wird, bewusst gewesen wäre, das Gespräch nicht innerhalb der Ordinationszeiten vereinbart hätte und ohne räumliche Trennung, von der ärztlichen Verschwiegenheitspflicht unterliegenden Gesprächen welche (unabsichtlich) auch davon erfasst sein könnten durchgeführt hätte. Die Zeugin römisch 40 konnte dazu glaubhaft und lebensnah schildern, dass sie sich datenschutzrechtlicher Pflichten gegenüber Patienten im Ordinationsbetrieb bewusst war. Auch daraus ergibt sich für das Bundesverwaltungsgericht wie unter 1.4. der Feststellungen festgestellt, dass sich römisch 40 aufgrund des Auftretens des Mag. römisch 40 nicht bewusst war, dass eine Aufzeichnung stattfindet. Auch ergibt sich dies aus der Aussage der Zeugin römisch 40 , welche angab, dass eine Vereinbarung über Werbung durch die Beschwerdeführerin aufgrund dessen, dass ein Aufnahmestopp in der Ordination, sprich eine Vollauslastung, besteht, nicht von Interesse gewesen wäre. Weiters gab römisch 40 unter Wahrheitspflicht glaubwürdig an, dass eine Beauftragung zu Zwecken der Werbung durch ihre Mitarbeiterin römisch 40 nicht ohne vorherige Absprache mit ihr erfolgen hätte dürfen. Auch sie verwies in ihrer Aussage vor dem BVwG darauf, dass eine Gesprächsaufzeichnung während der Ordinationszeiten nicht statthaft gewesen wäre.
3. Rechtliche Beurteilung:
Gemäß § 27 Verwaltungsgerichtsverfahrensgesetz BGBl. I 2013/33 idF BGBl. I 2018/57 (im Folgenden: "VwGVG") hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.Gemäß Paragraph 27, Verwaltungsgerichtsverfahrensgesetz BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2018/57 (im Folgenden: "VwGVG") hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.
Gegenstand des vorliegenden Verfahrens kann und darf angesichts der vorliegenden Sach- und Rechtslage daher der Ausspruch der Strafe und die Überprüfung des Schuldspruchs und damit der Bestrafung an sich sein.
3.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise wie folgt:
„Art 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person
innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
[…]“
„Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
[…]“
„Artikel 7
Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein. (4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“
„Artikel 31
Zusammenarbeit mit der Aufsichtsbehörde
Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.“
„Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43
…
(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) …
b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;
[…]“
3.2. Die gesetzlichen Grundlagen nach dem VStG lauten wie folgt:
§ 5 VStG:Paragraph 5, VStG:
(1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.
(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.(1a) Absatz eins, zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.
(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.
§ 10 VStG:Paragraph 10, VStG:
(1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.
(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.
§ 16 VStG:Paragraph 16, VStG:
(1) Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.
(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der Strafbemessung festzusetzen.(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf Paragraph 12, nach den Regeln der Strafbemessung festzusetzen.
§ 19 VStG:Paragraph 19, VStG:
(1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.
(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.(2) Im ordentlichen Verfahren (Paragraphen 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.
3.3. Allgemeines zur Verhängung von Geldbußen nach Art. 83 DSGVO:3.3. Allgemeines zur Verhängung von Geldbußen nach Artikel 83, DSGVO:
Mit der Datenschutz-Grundverordnung („DSGVO“) wurde den Aufsichtsbehörden die Möglichkeit eingeräumt, deutlich höhere Geldbußen zu verhängen. Die DSGVO schreibt vor, dass der Betrag der Geldbuße im Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Abs. 1 DSGVO). Die Aufsichtsbehörden haben bei der Festsetzung des Betrags einer Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Art. 83 Abs. 2 DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer konkreten Bewertung, die im Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen Parameter vorgenommen wird. Eine Mindestgeldbuße ist nicht vorgesehen, sondern lediglich ein Höchstbetrag. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Abs. 2 lit. a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen nicht ausdrücklich aufgeführt sind (da Art. 83 Abs. 2 lit. k DSGVO verlangt, dass jeglichen anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO). Jede verhängte Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das in Art. 83 Abs. 4 bis 6 DSGVO vorgesehene gesetzliche Höchstmaß nicht überschreiten (vgl. zu alldem die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Art. 83 DSGVO], Rz. 1 – 16).Mit der Datenschutz-Grundverordnung („DSGVO“) wurde den Aufsichtsbehörden die Möglichkeit eingeräumt, deutlich höhere Geldbußen zu verhängen. Die DSGVO schreibt vor, dass der Betrag der Geldbuße im Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Absatz eins, DSGVO). Die Aufsichtsbehörden haben bei der Festsetzung des Betrags einer Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Artikel 83, Absatz 2, DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer konkreten Bewertung, die im Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen Parameter vorgenommen wird. Eine Mindestgeldbuße ist nicht vorgesehen, sondern lediglich ein Höchstbetrag. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Absatz 2, Litera a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen nicht ausdrücklich aufgeführt sind (da Artikel 83, Absatz 2, Litera k, DSGVO verlangt, dass jeglichen anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Artikel 83, Absatz eins, DSGVO). Jede verhängte Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das in Artikel 83, Absatz 4 bis 6 DSGVO vorgesehene gesetzliche Höchstmaß nicht überschreiten vergleiche zu alldem die Leitlinien 04 aus 2022, des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Artikel 83, DSGVO], Rz. 1 – 16).
Im Urteil vom 05.12.2023 in der Rechtssache C-807/21 [Deutsche Wohnen SE] führt der EuGH aus, dass sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich demnach auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen.Im Urteil vom 05.12.2023 in der Rechtssache C-807/21 [Deutsche Wohnen SE] führt der EuGH aus, dass sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich demnach auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Artikel 83, DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen.
„Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO ist jede natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, schließt also ausdrücklich auch juristische Personen ein (vgl. in diesem Sinne Urteile vom 29. Juli 2019, Fashion ID, C?40/17 , EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland, C?319/20 , EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung, vgl zur Verantwortlichkeit auch Urteil vom 10. Juli 2018, Jehovan todistajat, C?25/17 , EU:C:2018:551, Rn. 68).„Verantwortlicher“ im Sinne des Artikel 4, Nr. 7 DSGVO ist jede natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, schließt also ausdrücklich auch juristische Personen ein vergleiche in diesem Sinne Urteile vom 29. Juli 2019, Fashion ID, C?40/17 , EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland, C?319/20 , EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung, vergleiche zur Verantwortlichkeit auch Urteil vom 10. Juli 2018, Jehovan todistajat, C?25/17 , EU:C:2018:551, Rn. 68).
Der Unionsgesetzgeber unterscheidet diesbezüglich nicht zwischen der Haftung einer natürlichen oder juristischen Person. Vorbehaltlich von Art. 83 Abs. 7 DSGVO betreffend Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt – unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle handelt – u. a. für jeden in Art. 83 Abs. 4 bis 6 der DSGVO genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde.Der Unionsgesetzgeber unterscheidet diesbezüglich nicht zwischen der Haftung einer natürlichen oder juristischen Person. Vorbehaltlich von Artikel 83, Absatz 7, DSGVO betreffend Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt – unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle handelt – u. a. für jeden in Artikel 83, Absatz 4 bis 6 der DSGVO genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde.
Aus Art. 58 Abs. 2 DSGVO ergibt sich, unionsunmittelbar ohne auf das Recht der Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum einzuräumen, dass die Befugnisse gemäß Art. 58 Abs. 2 Buchst. i DSGVO auch die Befugnis zur Verhängung von Geldbußen gehört, welche sowohl gegen eine natürliche als auch eine juristische Person verhängt werden kann. Die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Art. 83 normiert.Aus Artikel 58, Absatz 2, DSGVO ergibt sich, unionsunmittelbar ohne auf das Recht der Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum einzuräumen, dass die Befugnisse gemäß Artikel 58, Absatz 2, Buchst. i DSGVO auch die Befugnis zur Verhängung von Geldbußen gehört, welche sowohl gegen eine natürliche als auch eine juristische Person verhängt werden kann. Die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Artikel 83, normiert.
Die innerstaatliche Ausgestaltung (durch das VStG) durch das nationale Verfahrensrecht kann daher auch nicht zusätzliche materielle Voraussetzungen festlegen. Für die materiellen Voraussetzungen gilt daher ausschließlich das Unionsrecht. (vgl. auch Urteil vom 5. Dezember 2023, Nacionalinis visuomen?s sveikatos centras, C?683/21 , Rn. 64 bis 70).Die innerstaatliche Ausgestaltung (durch das VStG) durch das nationale Verfahrensrecht kann daher auch nicht zusätzliche materielle Voraussetzungen festlegen. Für die materiellen Voraussetzungen gilt daher ausschließlich das Unionsrecht. vergleiche auch Urteil vom 5. Dezember 2023, Nacionalinis visuomen?s sveikatos centras, C?683/21 , Rn. 64 bis 70).
Geldstrafen nach Art. 83 Abs. 1 DSGVO müssen wirksam, verhältnismäßig und abschreckend sein, sie müssen vorsätzlich oder zumindest fahrlässig begangen werden.Geldstrafen nach Artikel 83, Absatz eins, DSGVO müssen wirksam, verhältnismäßig und abschreckend sein, sie müssen vorsätzlich oder zumindest fahrlässig begangen werden.
Zu diesen Voraussetzungen ist festzustellen, dass Art. 83 Abs. 2 DSGVO die Kriterien anführt, die die Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen den Verantwortlichen berücksichtigt. Zu diesen Kriterien gehört nach Buchst. b dieser Bestimmung, die „Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“. Zu diesen Voraussetzungen ist festzustellen, dass Artikel 83, Absatz 2, DSGVO die Kriterien anführt, die die Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen den Verantwortlichen berücksichtigt. Zu diesen Kriterien gehört nach Buchst. b dieser Bestimmung, die „Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“.
Zudem ist der zweite Absatz von Art. 83 DSGVO in Verbindung mit seinem dritten Absatz zu lesen, der bestimmt, welche Folgen bei der Kumulierung von Verstößen gegen die DSGVO eintreten, und wie folgt lautet: „Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“Zudem ist der zweite Absatz von Artikel 83, DSGVO in Verbindung mit seinem dritten Absatz zu lesen, der bestimmt, welche Folgen bei der Kumulierung von Verstößen gegen die DSGVO eintreten, und wie folgt lautet: „Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“
Aus dem Wortlaut von Art. 83 Abs. 2 DSGVO ergibt sich somit, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d. h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können.Aus dem Wortlaut von Artikel 83, Absatz 2, DSGVO ergibt sich somit, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d. h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können.
Der Unionsgesetzgeber setzt laut EuGH cit. fest, dass zur Gewährleistung eines hohen Schutzniveaus Geldbußen brauche, welche auf ein gleichwertiges und einheitliches Schutzniveau abzielen und hierfür in der gesamten Union gleichmäßig angewandt werden müssen. Es liefe diesem Ziel zuwider, den Mitgliedstaaten zu gestatten, eine eigene Regelung für die Verhängung einer Geldbuße nach Art. 83 DSGVO vorzusehen. Eine solche Wahlfreiheit wäre zudem geeignet, den Wettbewerb zwischen den Wirtschaftsteilnehmern in der Union zu verfälschen, was den vom Unionsgesetzgeber u. a. in den Erwägungsgründen 9 und 13 der DSGVO dargestellten Zielen zuwiderliefe.Der Unionsgesetzgeber setzt laut EuGH cit. fest, dass zur Gewährleistung eines hohen Schutzniveaus Geldbußen brauche, welche auf ein gleichwertiges und einheitliches Schutzniveau abzielen und hierfür in der gesamten Union gleichmäßig angewandt werden müssen. Es liefe diesem Ziel zuwider, den Mitgliedstaaten zu gestatten, eine eigene Regelung für die Verhängung einer Geldbuße nach Artikel 83, DSGVO vorzusehen. Eine solche Wahlfreiheit wäre zudem geeignet, den Wettbewerb zwischen den Wirtschaftsteilnehmern in der Union zu verfälschen, was den vom Unionsgesetzgeber u. a. in den Erwägungsgründen 9 und 13 der DSGVO dargestellten Zielen zuwiderliefe.
Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Art. 83 DSGVO geahndet werden kann, noch klarzustellen, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt (vgl. entsprechend Urteile vom 18. Juni 2013, Schenker & Co. u. a., C?681/11 , EU:C:2013:404, Rn. 37 und die dort angeführte Rechtsprechung, vom 25. März 2021, Lundbeck/Kommission, C?591/16 P , EU:C:2021:243, Rn. 156, und vom 25. März 2021, Arrow Group und Arrow Generics/Kommission, C?601/16 P , EU:C:2021:244, Rn. 97).Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Artikel 83, DSGVO geahndet werden kann, noch klarzustellen, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt vergleiche entsprechend Urteile vom 18. Juni 2013, Schenker & Co. u. a., C?681/11 , EU:C:2013:404, Rn. 37 und die dort angeführte Rechtsprechung, vom 25. März 2021, Lundbeck/Kommission, C?591/16 P , EU:C:2021:243, Rn. 156, und vom 25. März 2021, Arrow Group und Arrow Generics/Kommission, C?601/16 P , EU:C:2021:244, Rn. 97).
3.4. Zum Verhältnis zwischen Unionsrecht und innerstaatlichem Recht:
Wie vom EuGH im Urteil vom 05.12.2023 zu C-807/21 klar zum Ausdruck gebracht, gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht, wobei diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO abschließend festgelegt sind (vgl. erneut C-807/21 , Rz. 45, 48 und 65). Nach Art. 288 Abs. 2 AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, sodass es, sofern nichts anderes bestimmt ist, ausgeschlossen ist, dass die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU?Vertrag obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln (vgl. erneut EuGH, C-807/21 , Rz. 52).Wie vom EuGH im Urteil vom 05.12.2023 zu C-807/21 klar zum Ausdruck gebracht, gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht, wobei diese Voraussetzungen in Artikel 83, Absatz eins bis 6 DSGVO abschließend festgelegt sind vergleiche erneut C-807/21 , Rz. 45, 48 und 65). Nach Artikel 288, Absatz 2, AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, sodass es, sofern nichts anderes bestimmt ist, ausgeschlossen ist, dass die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU?Vertrag obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln vergleiche erneut EuGH, C-807/21 , Rz. 52).
Deshalb ist im Anwendungsbereich der DSGVO kein Raum für die Anwendung der Bestimmungen nach § 11 DSG („Verwarnung durch die Datenschutzbehörde“) und § 33a VStG („Beraten“), da diese Bestimmungen darauf abzielen, der Datenschutzbehörde zusätzliche Vorgaben hinsichtlich deren Ermessensausübung in Bezug auf die von Art. 58 DSGVO eingeräumten Abhilfebefugnisse aufzugeben. Wenn § 11 DSG unmissverständlich vorgibt, „[i]nsbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art. 58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“, ist diese Bestimmung jedenfalls unvereinbar mit Art. 83 Abs. 2 bis 6 in Verbindung mit Art. 58 Abs. 2 lit. i DSGVO, da diese darauf abzielt, das Ermessen der Datenschutzbehörde und in der Folge des Bundesverwaltungsgerichts, weg von der Verhängung einer Geldbuße im Sinn von Art. 58 Abs. 2 lit. i DSGVO, hin zur Erteilung einer Verwarnung im Sinne von Art. 58 Abs. 2 lit. b DSGVO, zu determinieren.Deshalb ist im Anwendungsbereich der DSGVO kein Raum für die Anwendung der Bestimmungen nach Paragraph 11, DSG („Verwarnung durch die Datenschutzbehörde“) und Paragraph 33 a, VStG („Beraten“), da diese Bestimmungen darauf abzielen, der Datenschutzbehörde zusätzliche Vorgaben hinsichtlich deren Ermessensausübung in Bezug auf die von Artikel 58, DSGVO eingeräumten Abhilfebefugnisse aufzugeben. Wenn Paragraph 11, DSG unmissverständlich vorgibt, „[i]nsbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Artikel 58, DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“, ist diese Bestimmung jedenfalls unvereinbar mit Artikel 83, Absatz 2 bis 6 in Verbindung mit Artikel 58, Absatz 2, Litera i, DSGVO, da diese darauf abzielt, das Ermessen der Datenschutzbehörde und in der Folge des Bundesverwaltungsgerichts, weg von der Verhängung einer Geldbuße im Sinn von Artikel 58, Absatz 2, Litera i, DSGVO, hin zur Erteilung einer Verwarnung im Sinne von Artikel 58, Absatz 2, Litera b, DSGVO, zu determinieren.
An dieser Stelle ist im Sinne der rezenten Rechtsprechung des EuGH zu Art. 83 DSGVO mit Blick auf das Verwaltungsstrafgesetz (VStG) festzuhalten, dass die den Mitgliedstaaten eingeräumte Möglichkeit, im Verfahrensrecht bei den Aufsichtsbehörden zum Verhängen einer Geldbuße zusätzliche Kautelen vorzusehen, nicht so zu verstehen, dass sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzuschreiben, welche Art. 83 Abs. 1 bis 6 DSGVO hinzutreten. Für materielle Tatbestandsvoraussetzungen gilt demnach ausschließlich Unionsrecht (vgl. erneut EuGH vom 05.12.2023, C-807, Rz. 46, 48). Der Unionsgesetzgeber gestattet es nicht, sei es durch materielles oder formelles Recht, dass dem Unionsrecht zusätzliche Schranken, etwa in Form einer Ermessensbeschränkung etwa wie in § 5 VStG („Schuld“), auferlegt werden. Vor diesem Hintergrund ist das Verschulden des Verantwortlichen ausschließlich anhand der Bestimmungen des Art. 83 Abs. 1 und Abs. 2 DSGVO zu beurteilen. Auch § 9 VStG („Besondere Fälle der Verantwortlichkeit“), die Strafbarkeit juristischer Personen und eingetragener Personengesellschaften richtet sich ausschließlich nach der Systematik des Art. 4 Z 7 iVm Art. 83 DSGVO und kann deren Haftung nicht auf zur Vertretung nach außen Berufene oder auf einen verantwortlichen Beauftragten überwälzen. § 19 VStG („Strafbemessung“), die Bemessung der Geldbuße erfolgt ausschließlich anhand der von Art. 83 Abs. 1 bis 6 DSGVO normierten Kriterien. Auch bezüglich § 20 VStG („Außerordentliche Milderung der Strafe“) und § 22 Abs. 2 VStG („Zusammentreffen von strafbaren Handlungen“), ist eine unionskonforme Interpretation die sich an Art. 83 Abs. 2 und 3 DSGVO orientiert vorzunehmen (vgl. EuGH vom 05.12.2023, C-683/21 , Rz 70).An dieser Stelle ist im Sinne der rezenten Rechtsprechung des EuGH zu Artikel 83, DSGVO mit Blick auf das Verwaltungsstrafgesetz (VStG) festzuhalten, dass die den Mitgliedstaaten eingeräumte Möglichkeit, im Verfahrensrecht bei den Aufsichtsbehörden zum Verhängen einer Geldbuße zusätzliche Kautelen vorzusehen, nicht so zu verstehen, dass sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzuschreiben, welche Artikel 83, Absatz eins bis 6 DSGVO hinzutreten. Für materielle Tatbestandsvoraussetzungen gilt demnach ausschließlich Unionsrecht vergleiche erneut EuGH vom 05.12.2023, C-807, Rz. 46, 48). Der Unionsgesetzgeber gestattet es nicht, sei es durch materielles oder formelles Recht, dass dem Unionsrecht zusätzliche Schranken, etwa in Form einer Ermessensbeschränkung etwa wie in Paragraph 5, VStG („Schuld“), auferlegt werden. Vor diesem Hintergrund ist das Verschulden des Verantwortlichen ausschließlich anhand der Bestimmungen des Artikel 83, Absatz eins und Absatz 2, DSGVO zu beurteilen. Auch Paragraph 9, VStG („Besondere Fälle der Verantwortlichkeit“), die Strafbarkeit juristischer Personen und eingetragener Personengesellschaften richtet sich ausschließlich nach der Systematik des Artikel 4, Ziffer 7, in Verbindung mit Artikel 83, DSGVO und kann deren Haftung nicht auf zur Vertretung nach außen Berufene oder auf einen verantwortlichen Beauftragten überwälzen. Paragraph 19, VStG („Strafbemessung“), die Bemessung der Geldbuße erfolgt ausschließlich anhand der von Artikel 83, Absatz eins bis 6 DSGVO normierten Kriterien. Auch bezüglich Paragraph 20, VStG („Außerordentliche Milderung der Strafe“) und Paragraph 22, Absatz 2, VStG („Zusammentreffen von strafbaren Handlungen“), ist eine unionskonforme Interpretation die sich an Artikel 83, Absatz 2 und 3 DSGVO orientiert vorzunehmen vergleiche EuGH vom 05.12.2023, C-683/21 , Rz 70).
Der Strafrahmen für Unternehmen gemäß Art. 83 Abs. 5 lit b DSGVO reicht bis zu einem Betrag von EUR 20.000.000. Das erkennende Gericht sieht an dieser Stelle die Richtlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen als erheblich und maßgeblich an.Der Strafrahmen für Unternehmen gemäß Artikel 83, Absatz 5, Litera b, DSGVO reicht bis zu einem Betrag von EUR 20.000.000. Das erkennende Gericht sieht an dieser Stelle die Richtlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen als erheblich und maßgeblich an.
3.5. Zur Anfechtung dem Grunde nach
3.5.1. Aufgrund der Beschwerdeschrift ist davon auszugehen, dass die Beschwerdeführerin sich gegen die Strafe dem Grunde nach richtet, jedoch dem von der belangten Behörde festgestellten Sachverhalt nur insoweit widerspricht, als dass ein Gespräch stattgefunden hat und (soweit verfahrensrelevant) eine Aufzeichnung dieses Gesprächs heimlich stattgefunden habe. Die Beschwerdeführerin rügt den Tatvorwurf und den, dem Straferkenntnis zugrunde gelegten Lebenssachverhalt, eine explizite Rüge der Strafhöhe wurde nicht formuliert, sondern ergibt sich lediglich aus der, der belangten Behörde vorgeworfenen falschen Subsumption. Die Beschwerdeführerin stützt ihre Datenverarbeitung auf eine Einwilligung sowie auf ein berechtigtes Interesse und führt aus, dass keine personenbezogenen Daten aufgezeichnet worden seien, weil zwischen Stimme der Zeuginnen XXXX und XXXX in der Tonbandaufzeichnung und deren Person keine Verbindung herzustellen sei und kein Rückschluss auf die Personen möglich sei. 3.5.1. Aufgrund der Beschwerdeschrift ist davon auszugehen, dass die Beschwerdeführerin sich gegen die Strafe dem Grunde nach richtet, jedoch dem von der belangten Behörde festgestellten Sachverhalt nur insoweit widerspricht, als dass ein Gespräch stattgefunden hat und (soweit verfahrensrelevant) eine Aufzeichnung dieses Gesprächs heimlich stattgefunden habe. Die Beschwerdeführerin rügt den Tatvorwurf und den, dem Straferkenntnis zugrunde gelegten Lebenssachverhalt, eine explizite Rüge der Strafhöhe wurde nicht formuliert, sondern ergibt sich lediglich aus der, der belangten Behörde vorgeworfenen falschen Subsumption. Die Beschwerdeführerin stützt ihre Datenverarbeitung auf eine Einwilligung sowie auf ein berechtigtes Interesse und führt aus, dass keine personenbezogenen Daten aufgezeichnet worden seien, weil zwischen Stimme der Zeuginnen römisch 40 und römisch 40 in der Tonbandaufzeichnung und deren Person keine Verbindung herzustellen sei und kein Rückschluss auf die Personen möglich sei.
3.5.2. Zur Frage der Verarbeitung personenbezogener Daten ist festzuhalten, dass die Bestimmungen der DSGVO und des DSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, gelten.
Personenbezogene Daten sind Informationen über die in Rede stehende Person (vgl. EuGH 4.5.2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, Rn. 23). In diesem Sinn im Urteil C-434/16, Rn. 34, ausgesprochen, dass der Begriff "personenbezogene Daten" [in der Vorgängerregelung des Art. 2 lit. a RL 95/46/EG] nicht auf sensible oder private Informationen beschränkt ist, sondern potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt (vgl. dazu VwGH Ra 2023/04/0005 vom 17.05.2024). Personenbezogene Daten sind Informationen über die in Rede stehende Person vergleiche EuGH 4.5.2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, Rn. 23). In diesem Sinn im Urteil C-434/16, Rn. 34, ausgesprochen, dass der Begriff "personenbezogene Daten" [in der Vorgängerregelung des Artikel 2, Litera a, RL 95/46/EG] nicht auf sensible oder private Informationen beschränkt ist, sondern potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt vergleiche dazu VwGH Ra 2023/04/0005 vom 17.05.2024).
Auch der EuGH hat in den Urteilen zu den Rs Breyer vom 19.10.2016 C-582/14 und Nowak vom 20.12.2017 C-434/16 ausgesprochen, dass der Begriff der personenbezogenen Daten weit auszulegen ist. Demnach reicht es für das Vorliegen einer Information (als Audiodatei) als personenbezogenes Datum auch aus, dass „die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist“ (vgl EuGH Rs Nowak vom 20.12.2017 C-434/16 Rn 35). Da die Beschwerdeführerin ja angibt, die Gesprächsaufzeichnung zum Zwecke der Qualitätssicherung und (offensichtlich) auch zur Abwehr von Rechtsansprüchen zu verarbeiten, wären die Daten ohne weitere Identifikationsmerkmale einerseits wertlos und überschießend gleichzeitig, aber vor allem ergibt sich, dass die Beschwerdeführerin die Daten ja mit weiteren Identifikationsmerkmalen wie Datum des Gesprächs, teilnehmende Personen, Ort und welche Leistungen in Verrechnung gestellt werden verarbeitet werden. Es ist insoweit für das entscheidende Gericht nicht nachvollziehbar, dass es der Beschwerdeführerin nicht möglich wäre die notwendigen Informationen, die es ihr ermöglichen, die Gesprächsteilnehmer unschwer und zweifelsfrei anhand ihrer Stimme oder der zusätzlichen Merkmale, wie Name der Ordination und Datum der Aufzeichnung, zu identifizieren. Auch der EuGH hat in den Urteilen zu den Rs Breyer vom 19.10.2016 C-582/14 und Nowak vom 20.12.2017 C-434/16 ausgesprochen, dass der Begriff der personenbezogenen Daten weit auszulegen ist. Demnach reicht es für das Vorliegen einer Information (als Audiodatei) als personenbezogenes Datum auch aus, dass „die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist“ vergleiche EuGH Rs Nowak vom 20.12.2017 C-434/16 Rn 35). Da die Beschwerdeführerin ja angibt, die Gesprächsaufzeichnung zum Zwecke der Qualitätssicherung und (offensichtlich) auch zur Abwehr von Rechtsansprüchen zu verarbeiten, wären die Daten ohne weitere Identifikationsmerkmale einerseits wertlos und überschießend gleichzeitig, aber vor allem ergibt sich, dass die Beschwerdeführerin die Daten ja mit weiteren Identifikationsmerkmalen wie Datum des Gesprächs, teilnehmende Personen, Ort und welche Leistungen in Verrechnung gestellt werden verarbeitet werden. Es ist insoweit für das entscheidende Gericht nicht nachvollziehbar, dass es der Beschwerdeführerin nicht möglich wäre die notwendigen Informationen, die es ihr ermöglichen, die Gesprächsteilnehmer unschwer und zweifelsfrei anhand ihrer Stimme oder der zusätzlichen Merkmale, wie Name der Ordination und Datum der Aufzeichnung, zu identifizieren.
Es liegt daher schon aus diesem Grund eine Verarbeitung personenbezogener Daten vor.
3.5.3. Die Anforderungen für eine rechtmäßige Datenverarbeitung determiniert der EuGH in ständiger Rechtsprechung und vertritt den Standpunkt, dass zu jeder Zeit einer Datenverarbeitung alle Grundsätze der Datenverarbeitung eingehalten werden müssen (Urteil vom 24. November 2011, C?468/10 und C?469/10, EU:C:2011:777, sowie wiederholt im Urteil vom 11.Dezember 2019 C-708/17 ECLI:EU:C:2019:1064).
Demnach müssen Daten stets kumulativ nach den Grundsätzen von Art. 5 und Art. 6 DSGVO bzw. Art 9 DSGVO auf rechtmäßige Weise nach Treu und Glauben verarbeitet werden (vgl auch EuGH vom 9.1.25, C-394/23, Mousse/SNCF).Demnach müssen Daten stets kumulativ nach den Grundsätzen von Artikel 5 und Artikel 6, DSGVO bzw. Artikel 9, DSGVO auf rechtmäßige Weise nach Treu und Glauben verarbeitet werden vergleiche auch EuGH vom 9.1.25, C-394/23, Mousse/SNCF).
3.5.4. Zur Einwilligung: Bei der in Prüfung gezogenen Datenverarbeitung – der Tonaufzeichnung des Gesprächs zwischen einem Vertreter der Beschwerdeführerin und den Betroffenen XXXX und XXXX – stützte die Beschwerdeführerin die Verarbeitung auf eine Einwilligung gemäß Art. 7 DSGVO. Die als Zeuginnen einvernommenen Betroffenen XXXX und XXXX bestreiten, eine Einwilligung vorab abgegeben zu haben und seien von der Datenverarbeitung überrascht worden. Vielmehr habe es erst gut 5 Minuten nach Gesprächsbeginn einen Verweis auf die AGB gegeben, aber keinen expliziten Hinweis auf die Aufzeichnung des Gesprächs vom 24.04.2024.3.5.4. Zur Einwilligung: Bei der in Prüfung gezogenen Datenverarbeitung – der Tonaufzeichnung des Gesprächs zwischen einem Vertreter der Beschwerdeführerin und den Betroffenen römisch 40 und römisch 40 – stützte die Beschwerdeführerin die Verarbeitung auf eine Einwilligung gemäß Artikel 7, DSGVO. Die als Zeuginnen einvernommenen Betroffenen römisch 40 und römisch 40 bestreiten, eine Einwilligung vorab abgegeben zu haben und seien von der Datenverarbeitung überrascht worden. Vielmehr habe es erst gut 5 Minuten nach Gesprächsbeginn einen Verweis auf die AGB gegeben, aber keinen expliziten Hinweis auf die Aufzeichnung des Gesprächs vom 24.04.2024.
Art 4 Z 11 DSGVO definiert die "Einwilligung“ der betroffenen Person nunmehr als "jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.Artikel 4, Ziffer 11, DSGVO definiert die "Einwilligung“ der betroffenen Person nunmehr als "jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.
"Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“ (Art. 7 Abs. 4 DSGVO)"Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“ (Artikel 7, Absatz 4, DSGVO)
Dazu erläutert der Erwägungsgrund 43: "... Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“
Freiwilligkeit impliziert, dass eine betroffene Person eine echte Wahl und die Kontrolle hat. Im Allgemeinen ist eine Einwilligung nicht gültig, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt (Seite 8, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679 Version 1.1 angenommen am 4. Mai 2022, [Europäischer Datenschutzauschuss – EDSA]).Freiwilligkeit impliziert, dass eine betroffene Person eine echte Wahl und die Kontrolle hat. Im Allgemeinen ist eine Einwilligung nicht gültig, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt (Seite 8, Leitlinien 05 aus 2020, zur Einwilligung gemäß Verordnung 2016/679 Version 1.1 angenommen am 4. Mai 2022, [Europäischer Datenschutzauschuss – EDSA]).
Der OGH kam in bislang zwei Urteilen zum Ergebnis, dass nach der DSGVO strenge Anforderungen an die Beurteilung der „Freiwilligkeit“ zu stellen sind (Kastelitz in Knyrim, DatKomm Art 7 DSGVO (Stand 7.5.2020, rdb.at) mit Verweis auf OGH vom 31.08.2018, 6 Ob 140/18h maN).Der OGH kam in bislang zwei Urteilen zum Ergebnis, dass nach der DSGVO strenge Anforderungen an die Beurteilung der „Freiwilligkeit“ zu stellen sind (Kastelitz in Knyrim, DatKomm Artikel 7, DSGVO (Stand 7.5.2020, rdb.at) mit Verweis auf OGH vom 31.08.2018, 6 Ob 140/18h maN).
Darüber hinaus wurde in der Literatur zur Frage, ob ein unbedingtes „Koppelungsverbot“ (Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten – so auch die Daten zu einer Gesprächsaufzeichnung) besteht (oder ob etwa - im Vergleich mit altem deutschen Recht: weiterhin - auf die Monopolstellung des Vertragspartners abzustellen ist), nicht immer eindeutig (dafür Thiele, DSB: Empfehlungen zum Koppelungsverbot bei Online-Abonnements, jusIT 2018/13 [37]; Pollirer, Checkliste für die Einwilligungserklärungen der Art 7 und 8 DSGVO, Dako 2017/56 [Frage 10]; Kastelitz in Knyrim, Datenschutz-Grundverordnung [2016] 110; vorsichtiger Feiler/Forgó, EU-DSGVO [2017] Art 7 Rz 7 ("gesetzliche Vermutung“), BeckOK DatenschutzR/Stemmer DS-GVO Art 7 Rn 43-46 (unter Darstellung der Kontroverse), unklar Paal/Pauly/Frenzel DS-GVO Art 7 Rn 18; vgl auch Dürager/Kotschy, Neuerungen zur Zustimmung: Besteht nach der DS-GVO ein generelles Koppelungsverbot? http://bim.lbg.ac.at/sites/files/bim/durager_kotschy._koppelungsverbot2017.pdf) beantwortet.Darüber hinaus wurde in der Literatur zur Frage, ob ein unbedingtes „Koppelungsverbot“ (Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten – so auch die Daten zu einer Gesprächsaufzeichnung) besteht (oder ob etwa - im Vergleich mit altem deutschen Recht: weiterhin - auf die Monopolstellung des Vertragspartners abzustellen ist), nicht immer eindeutig (dafür Thiele, DSB: Empfehlungen zum Koppelungsverbot bei Online-Abonnements, jusIT 2018/13 [37]; Pollirer, Checkliste für die Einwilligungserklärungen der Artikel 7 und 8 DSGVO, Dako 2017/56 [Frage 10]; Kastelitz in Knyrim, Datenschutz-Grundverordnung [2016] 110; vorsichtiger Feiler/Forgó, EU-DSGVO [2017] Artikel 7, Rz 7 ("gesetzliche Vermutung“), BeckOK DatenschutzR/Stemmer DS-GVO Artikel 7, Rn 43-46 (unter Darstellung der Kontroverse), unklar Paal/Pauly/Frenzel DS-GVO Artikel 7, Rn 18; vergleiche auch Dürager/Kotschy, Neuerungen zur Zustimmung: Besteht nach der DS-GVO ein generelles Koppelungsverbot? http://bim.lbg.ac.at/sites/files/bim/durager_kotschy._koppelungsverbot2017.pdf) beantwortet.
Das Spannungsverhältnis zwischen dem Text der Verordnung und dem Erwägungsgrund 43 ist offensichtlich dahin aufzulösen, dass an die Beurteilung der "Freiwilligkeit“ der Einwilligung strenge Anforderungen zu stellen sind. Bei der Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss ist grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen (vgl Ehmann/Selmayr/Heckmann/Paschke, DS-GVO Rz 52 ff). Solche Umstände liegen im vorliegenden Fall nicht vor.Das Spannungsverhältnis zwischen dem Text der Verordnung und dem Erwägungsgrund 43 ist offensichtlich dahin aufzulösen, dass an die Beurteilung der "Freiwilligkeit“ der Einwilligung strenge Anforderungen zu stellen sind. Bei der Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss ist grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt, wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der datenschutzrechtlichen Einwilligung sprechen vergleiche Ehmann/Selmayr/Heckmann/Paschke, DS-GVO Rz 52 ff). Solche Umstände liegen im vorliegenden Fall nicht vor.
Darüber hinaus ist auf die Judikatur des VwGH zu verweisen, der in Ro 2021/04/0030 vom 06.03.2024 ausgesprochen hat, dass eine anschließende Datenverarbeitung ohne vorherige Information als unrechtmäßig anzusehen ist, wenn die Datenerhebung vom Willen der betroffenen Person abhängt, wie etwa die Datenerhebung aufgrund der informierten Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. a DSGVO oder wenn die betroffene Person berechtigt ist, sich faktisch der Datenerhebung zu entziehen, beispielsweise in Bezug auf eine Videoüberwachung im öffentlichen Raum, der sich die betroffene Person bei entsprechender Information über die Videoüberwachung entziehen kann, indem sie den überwachten Ort nicht betritt (VwGH vom 09.05.2023 Ro 2020/04/0037).Darüber hinaus ist auf die Judikatur des VwGH zu verweisen, der in Ro 2021/04/0030 vom 06.03.2024 ausgesprochen hat, dass eine anschließende Datenverarbeitung ohne vorherige Information als unrechtmäßig anzusehen ist, wenn die Datenerhebung vom Willen der betroffenen Person abhängt, wie etwa die Datenerhebung aufgrund der informierten Einwilligung der betroffenen Person nach Artikel 6, Absatz eins, Litera a, DSGVO oder wenn die betroffene Person berechtigt ist, sich faktisch der Datenerhebung zu entziehen, beispielsweise in Bezug auf eine Videoüberwachung im öffentlichen Raum, der sich die betroffene Person bei entsprechender Information über die Videoüberwachung entziehen kann, indem sie den überwachten Ort nicht betritt (VwGH vom 09.05.2023 Ro 2020/04/0037).
Die Rüge der Beschwerdeführerin, dass die Datenverarbeitung erst nach der Information an die mitbeteiligten Parteien begonnen habe, weil die Speicherung erst nach dem Gespräch erfolgt sei, ist verfehlt. Der belangten Behörde ist dabei auch kein Feststellungsmangel vorzuwerfen. Die belangte Behörde stützt sich auf Beweismittel der Beschwerdeführerin, deren Echtheit und Richtigkeit unbestritten sind. Darüber hinaus, ist der belangten Behörde auch kein Fehler in der Würdigung der Aussage des Vertreters der Beschwerdeführerin in der do. mündlichen Verhandlung passiert, in welcher dieser zugestanden hat, die Aufnahme vor Gesprächsbeginn gestartet zu haben. Die rechtliche Würdigung und der implizite Vorwurf eines sekundären Feststellungsmangels, weil die Daten erst nach dem Gespräch gespeichert worden wären, ist nicht haltbar, weil über 5 Minuten des Gesprächs vergingen, bis der Vertreter der Beschwerdeführerin erstmals auf die Datenschutzerklärung überhaupt hinweist.
Darüber hinaus ist auch aus den Aussagen der Zeuginnen XXXX und XXXX klar hervorgekommen, dass die strengen Anforderungen an eine wirksame Einwilligung nicht vorliegen. Darüber hinaus ist auch aus den Aussagen der Zeuginnen römisch 40 und römisch 40 klar hervorgekommen, dass die strengen Anforderungen an eine wirksame Einwilligung nicht vorliegen.
Es liegt keine (freiwillige) Einwilligung in die Datenverarbeitung vor.
3.5.5. Ein berechtigtes Interesse zur Datenverarbeitung als sekundärer Verarbeitungsgrund ist nach der Judikatur des EuGH unter drei kumulativen Voraussetzungen zulässig:
1. Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden,
2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
3. kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (Urteil vom 4. Mai 2017, R?gas satiksme, C 13/16, EU:C:2017:336, Rn. 28, wiederholt in EuGH vom 11.12.2019 C-708/18).
Die Verarbeitung personenbezogener Daten ist ua gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Wenn nun der Beschwerdeführer behauptet, die verfahrensgegenständliche Datenverarbeitung liege in seinem berechtigten Interesse, ist dies nicht zutreffend.Die Verarbeitung personenbezogener Daten ist ua gemäß Artikel 6, Absatz eins, Litera f, DSGVO zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Wenn nun der Beschwerdeführer behauptet, die verfahrensgegenständliche Datenverarbeitung liege in seinem berechtigten Interesse, ist dies nicht zutreffend.
Die Beschwerdeführerin bleibt bezüglich der Datenverarbeitung jeglichen Hinweis darauf schuldig, dass die Daten zur Zweckerreichung erforderlich sind und nicht gelindere Mittel auch aureichen würden.
Es ist für das erkennende Gericht nicht hervorgekommen, dass die belangte Behörde eine fehlerhafte rechtliche Beurteilung durchgeführt hätte. Auch hat die Beschwerdeführerin nicht dargelegt welche Feststellungen die belangte Behörde hätte treffen müssen, um zu einem anderen Ergebnis zu kommen und sind diese auch nicht offensichtlich. Zutreffend ist vielmehr, dass für eine zulässige Datenverarbeitung zum Zwecke der Abwehr von Rechtsansprüchen absehbar sein muss, dass es dazu kommt. Darüber hinaus ist nach der Judikatur der DSB und des BVwG erforderlich, dass ein Beweisnotstand besteht, der hier nicht erkennbar ist (vgl. BVwG vom 13.09.2024 W252 2277317-1).Es ist für das erkennende Gericht nicht hervorgekommen, dass die belangte Behörde eine fehlerhafte rechtliche Beurteilung durchgeführt hätte. Auch hat die Beschwerdeführerin nicht dargelegt welche Feststellungen die belangte Behörde hätte treffen müssen, um zu einem anderen Ergebnis zu kommen und sind diese auch nicht offensichtlich. Zutreffend ist vielmehr, dass für eine zulässige Datenverarbeitung zum Zwecke der Abwehr von Rechtsansprüchen absehbar sein muss, dass es dazu kommt. Darüber hinaus ist nach der Judikatur der DSB und des BVwG erforderlich, dass ein Beweisnotstand besteht, der hier nicht erkennbar ist vergleiche BVwG vom 13.09.2024 W252 2277317-1).
Auch erweist sich die Ansicht der belangten Behörde, dass zum Zwecke der Qualitätsverbesserung oder der Ergänzung von Mitschriften, eine exzessive Datenverarbeitung vorliege, oder zumindest keine Zweckerforderlichkeit vorliege als richtig (vgl. dazu BVwG vom 22.04.2021 W116 2238822-1, wonach dieser Umstand nachzuweisen wäre). Auch erweist sich die Ansicht der belangten Behörde, dass zum Zwecke der Qualitätsverbesserung oder der Ergänzung von Mitschriften, eine exzessive Datenverarbeitung vorliege, oder zumindest keine Zweckerforderlichkeit vorliege als richtig vergleiche dazu BVwG vom 22.04.2021 W116 2238822-1, wonach dieser Umstand nachzuweisen wäre).
Des Weiteren ist auf die Judikatur des OGH zu verweisen, der in 6 Ob 82/18d un 1 Ob 1/20h ausgesprochen hat, dass heimliche Tonbandaufnahmen grundsätzlich rechtswidrig sind und nur in außergewöhnlichen Fällen zulässig. Dafür, dass ein solch besonderer Ausnahmefall vorliegt, liegt kein Hinweis vor.
3.5.6. Verstoß gegen datenschutzrechtliche Informationspflichten:
Nach der Judikatur des EuGH zu C-394/23 entstehen die datenschutzrechtlichen Informationspflichten (Infoblatt der Beschwerdeführerin) im Zeitpunkt des Erhebens der Daten und begründen damit eine Unrechtmäßigkeit einer Datenverarbeitung, wenn sie davor begonnen wurde. Für die Begründung eines rechtlichen Interesses ist die Einhaltung der Informationspflichten (insbesondere über den verfolgten Zweck) bereits bei der Erhebung der Daten erforderlich.
Was nun die Verletzung der Verantwortlichen-Pflichten durch die Beschwerdeführerin betrifft, hat der VwGH bereits festgehalten, dass ein Verantwortlicher zum in Art. 13 Abs. 3 DSGVO bestimmten Zeitpunkt, die Informationen gemäß Art. 13 DSGVO der betroffenen Personen gegenüber offenzulegen hat und nicht erst nachdem ein aufgezeichnetes Gespräch schon 5 Minuten dauert. Diesfalls steht die vollständige nachträgliche Zurverfügungstellung dieser Informationen der Feststellung einer Verletzung der Informationspflicht nach Art. 13 DSGVO nicht entgegen. Da die Rechtsverletzung nach Art. 13 nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann (vgl. VwGH 6.3.2024, Ro 2021/04/0030 bis 0031, Rn. 78). Was nun die Verletzung der Verantwortlichen-Pflichten durch die Beschwerdeführerin betrifft, hat der VwGH bereits festgehalten, dass ein Verantwortlicher zum in Artikel 13, Absatz 3, DSGVO bestimmten Zeitpunkt, die Informationen gemäß Artikel 13, DSGVO der betroffenen Personen gegenüber offenzulegen hat und nicht erst nachdem ein aufgezeichnetes Gespräch schon 5 Minuten dauert. Diesfalls steht die vollständige nachträgliche Zurverfügungstellung dieser Informationen der Feststellung einer Verletzung der Informationspflicht nach Artikel 13, DSGVO nicht entgegen. Da die Rechtsverletzung nach Artikel 13, nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Artikel 15, DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann vergleiche VwGH 6.3.2024, Ro 2021/04/0030 bis 0031, Rn. 78).
3.5.7. Übertragen auf den vorliegenden Sachverhalt bedeutet das, dass kein Hinweis darauf hervorgekommen ist, dass der belangten Behörde bei der Feststellung des Sachverhalts ein Fehler unterlaufen wäre, die Beweiswürdigung in unvertretbare Weise vorgenommen worden wäre und sich ebenso die rechtliche Würdigung als rechts- und gesetzeskonform erweist.
3.6.1. Zur Frage der Schuld:
Es liegen keine die Schuld ausschließenden Umstände vor.
Die Beschwerdeführerin hat durch ihren Geschäftsführer am 24.04.2024 ein Gespräch in der Ordination von XXXX ohne Rechtsgrundlage aufgezeichnet und datenschutzrechtliche Informationspflichten verletzt. Die Beschwerdeführerin hat durch ihren Geschäftsführer am 24.04.2024 ein Gespräch in der Ordination von römisch 40 ohne Rechtsgrundlage aufgezeichnet und datenschutzrechtliche Informationspflichten verletzt.
Die Beschwerdeführerin hat die Verwirklichung der gegenständlichen Verwaltungsübertretung ernstlich für möglich gehalten und hat sich jedoch damit abgefunden (dolus eventualis). Die Beschwerdeführerin hätte sich über die Einhaltung der datenschutzrechtlichen Pflichten informieren können und wissen müssen, dass die Aufzeichnung von Geschäftsgesprächen ohne vorherigen Hinweis auf die Aufzeichnung nicht rechtmäßig ist. Die Beschwerdeführerin nahm es in Kauf, gegen ihre Pflichten gemäß Art. 5 Abs. 1, Art 6 Abs. 1 DSGVO zu verstoßen und liegt in Bezug darauf zumindest Verschulden in Form von Fahrlässigkeit vor.Die Beschwerdeführerin hat die Verwirklichung der gegenständlichen Verwaltungsübertretung ernstlich für möglich gehalten und hat sich jedoch damit abgefunden (dolus eventualis). Die Beschwerdeführerin hätte sich über die Einhaltung der datenschutzrechtlichen Pflichten informieren können und wissen müssen, dass die Aufzeichnung von Geschäftsgesprächen ohne vorherigen Hinweis auf die Aufzeichnung nicht rechtmäßig ist. Die Beschwerdeführerin nahm es in Kauf, gegen ihre Pflichten gemäß Artikel 5, Absatz eins,, Artikel 6, Absatz eins, DSGVO zu verstoßen und liegt in Bezug darauf zumindest Verschulden in Form von Fahrlässigkeit vor.
Die belangte Behörde nahm daher (berechtigterweise) eine vorsätzliche Tathandlung durch die Beschwerdeführerin an.
Mangels begründeter Bestreitung und offensichtlich aufzugreifender Fehler der belangten Behörde erübrigt sich eine weitere Erörterung.
3.5.3. Strafbemessung durch die belangte Behörde:
Bezogen auf den vorliegenden Sachverhalt wurde von der belangten Behörde bei der Strafbemessung für die Schwere der Zuwiderhandlung ein mittlerer Schweregrad festgestellt.
Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt:
• gegen die Beschwerdeführerin lagen bei der belangten Behörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vor;
• Die Beschwerdeführerin hat am Ermittlungsverfahren mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet (Art. 83 Abs. 2 lit. f und k DSGVO) • Die Beschwerdeführerin hat am Ermittlungsverfahren mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet (Artikel 83, Absatz 2, Litera f und k DSGVO)
Es wurden keine erschwerenden Gründe bei der Strafzumessung herangezogen.
Mangels begründeten Einwands durch die Beschwerdeführerin oder offensichtlicher Fehler der belangten Behörde war der Jahresumsatz wie unter II. 1.6. festzustellen. Mangels begründeten Einwands durch die Beschwerdeführerin oder offensichtlicher Fehler der belangten Behörde war der Jahresumsatz wie unter römisch zwei. 1.6. festzustellen.
Zunächst ist festzuhalten, dass – wie bereits unter oben ausgeführt – für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO festgelegt sind (vgl. erneut EuGH, Urteile vom 05.12.2023, C-807/21 , Rz 45, 48, 52 und 65 sowie C?683/21 , Rz 64 bis 70).Zunächst ist festzuhalten, dass – wie bereits unter oben ausgeführt – für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei diese Voraussetzungen in Artikel 83, Absatz eins bis 6 DSGVO festgelegt sind vergleiche erneut EuGH, Urteile vom 05.12.2023, C-807/21 , Rz 45, 48, 52 und 65 sowie C?683/21 , Rz 64 bis 70).
Die nationalen Bestimmungen, hier etwa die §§ 5, 19, 20 und 22 des Verwaltungsstrafgesetzes – VStG bleiben unangewendet. Fallbezogen war die Strafzumessung jedoch ohnehin vom Bundesverwaltungsgericht – aufgrund und im Lichte des Beschwerdevorbringens – zu überprüfen.Die nationalen Bestimmungen, hier etwa die Paragraphen 5, 19, 20 und 22 des Verwaltungsstrafgesetzes – VStG bleiben unangewendet. Fallbezogen war die Strafzumessung jedoch ohnehin vom Bundesverwaltungsgericht – aufgrund und im Lichte des Beschwerdevorbringens – zu überprüfen.
3.5.4. Zur Strafhöhe der Geldbuße im angefochtenen Straferkenntnis:
Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.Nach Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Artikel 83, Absatz 2, DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.
Bei der Beurteilung dieser Kriterien ist der entscheidende Senat unter Würdigung der Umstände des Verfahrens zu der Ansicht gelangt, dass die nicht explizit angefochtene Strafhöhe im angefochtenen Straferkenntnis nicht zu beanstanden ist:
Für die zukünftige Einhaltung der DSGVO seitens der Beschwerdeführerin erscheint die Strafe in Anbetracht dessen, dass die Schuld als mittel anzusehen war und die Beschwerdeführerin allein aus spezialpräventiven Gründen notwendig ist, um von der Begehung weiterer strafbarer Handlungen gleicher Art abzuhalten, sowohl schuld- als auch tatangemessen.
Es wurde lt Leitlinien zur Verhängung von Geldbußen ein Startbetrag in Höhe von EUR 3.000.000,- für die weitere Berechnung zu Grunde gelegt.
In Folge wurde die Unternehmensgröße bzw. wirtschaftliche Leistungsfähigkeit im Sinne der Leitlinien berücksichtigt und eine Anpassung auf 0,2% des Ausgangsbetrags vorgenommen, um insbesondere die Verhältnismäßigkeit der Geldbuße nach Art. 83 Abs. 1 DSGVO sicherzustellen.In Folge wurde die Unternehmensgröße bzw. wirtschaftliche Leistungsfähigkeit im Sinne der Leitlinien berücksichtigt und eine Anpassung auf 0,2% des Ausgangsbetrags vorgenommen, um insbesondere die Verhältnismäßigkeit der Geldbuße nach Artikel 83, Absatz eins, DSGVO sicherzustellen.
Den Ausführungen der belangten Behörde ist aus Sicht des erkennenden Senats nicht entgegenzutreten.
Die ausgesprochene Strafe erscheint erforderlich, um einerseits den Unwertgehalt der Tat zu verdeutlichen und in der Sphäre der Beschwerdeführerin ein künftig datenschutzrechtskonformes Verhalten zu gewährleisten.
Auch aus generalpräventiven Erwägungen ergibt sich, dass das Verhängen einer Geldbuße jedenfalls erforderlich scheint: Insbesondere soll die Praxis, Geschäftsgespräche durchzuführen, ohne, dass Gesprächspartner unzweideutig und im Vorhinein über die Absicht, eine Aufzeichnung durchzuführen, informiert werden, hintangehalten werden.
3.6. Aus den vorgenannten Gründen war die Beschwerde hinsichtlich des Ausspruches über die verhängte Strafe abzuweisen.
3.7. Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem Beschwerdeführer gemäß § 52 Abs. 2 VStG aufzuerlegen, weil die Beschwerde abzuweisen war.3.7. Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem Beschwerdeführer gemäß Paragraph 52, Absatz 2, VStG aufzuerlegen, weil die Beschwerde abzuweisen war.
3.8. Zur Verhandlung in Abwesenheit eines Vertreters ist auszuführen, dass der Geschäftsführer der Beschwerdeführerin eine ärztliche Arbeitsunfähigkeitsbestätigung aufgrund von Krankheit vorlegte.
Allein aus der auf "Krankheit" lautenden Arbeitsunfähigkeitsmeldung ist die Art der Verhinderung in keiner Weise ersichtlich. Es liegt daher kein triftiger Grund für das Nichterscheinen des Vertreters der Beschwerdeführerin zur mündlichen Verhandlung vor, zumal sich die Beschwerdeführerin auch anderweitig vertreten lassen hätte können. Aus dieser vorgelegten Arbeitsunfähigkeitsmeldung ist die Triftigkeit der Abwesenheit jedenfalls nicht ableitbar. Daher war die mündliche Verhandlung in Abwesenheit eines Vertreters der Beschwerdeführerin durchzuführen (VwGH20.6.2023, Ra 2023/06/0094).
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Es war daher spruchgemäß durch Senat zu entscheiden.
Zahlungsinformation:
Sie haben den festgesetzten Gesamtbetrag von insgesamt € 8.190,--, in Worten: achttauendeinhundertneunzig (Geldstrafe iHv € 6.300,-- in Worten: sechstausenddreihundert und € 630,--, in Worten sechshundertdreißig als Kosten des behördlichen Verfahrens sowie € 1.260,--, in Worten: eintausendzweihundertsechzig als Kosten des Beschwerdeverfahrens) auf das Konto des Bundesverwaltungsgerichtes (Empfänger) IBAN: XXXX (BIC XXXX ), binnen zwei Wochen ab Zustellung dieses Erkenntnisses jeweils unter Angabe der Verfahrenszahl sowie Ihres vollständigen Namens spesenfrei für den Empfänger zu überweisen oder unter Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben wird.Sie haben den festgesetzten Gesamtbetrag von insgesamt € 8.190,--, in Worten: achttauendeinhundertneunzig (Geldstrafe iHv € 6.300,-- in Worten: sechstausenddreihundert und € 630,--, in Worten sechshundertdreißig als Kosten des behördlichen Verfahrens sowie € 1.260,--, in Worten: eintausendzweihundertsechzig als Kosten des Beschwerdeverfahrens) auf das Konto des Bundesverwaltungsgerichtes (Empfänger) IBAN: römisch 40 (BIC römisch 40 ), binnen zwei Wochen ab Zustellung dieses Erkenntnisses jeweils unter Angabe der Verfahrenszahl sowie Ihres vollständigen Namens spesenfrei für den Empfänger zu überweisen oder unter Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben wird.
Schlagworte
berechtigtes Interesse Datenschutz Datenschutzbehörde Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Einwilligung Geheimhaltung Geldbuße GmbH Informationspflicht juristische Person Kostenbeitrag personenbezogene Daten Rechtsverletzung Strafbemessung Straferkenntnis Tonaufnahme Verwaltungsstrafe Verwaltungsstrafverfahren vorsätzliche BegehungEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W298.2323263.1.00Im RIS seit
27.04.2026Zuletzt aktualisiert am
27.04.2026
