Entscheidungsdatum
12.10.2022Norm
AVG §38Spruch
,
W274 2248575-1/8Z
Das Bundesverwaltungsgericht fasst durch den Richter Mag. Lughofer als Vorsitzenden sowie die fachkundigen Laienrichter KommR Prof. Pollirer und Dr. Gogola als Beisitzer über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, Schottenring 19, 1010 Wien, gegen das Straferkenntnis der Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, vom 28.09.2021, GZ D550.289 2021-0.538.938, in nicht öffentlicher Sitzung denDas Bundesverwaltungsgericht fasst durch den Richter Mag. Lughofer als Vorsitzenden sowie die fachkundigen Laienrichter KommR Prof. Pollirer und Dr. Gogola als Beisitzer über die Beschwerde der römisch 40 , vertreten durch Schönherr Rechtsanwälte GmbH, Schottenring 19, 1010 Wien, gegen das Straferkenntnis der Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, vom 28.09.2021, GZ D550.289 2021-0.538.938, in nicht öffentlicher Sitzung den
BESCHLUSS:
Das Verfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-807/21 über Ersuchen des Kammergerichts Berlin vom 06.12.2021 gemäß § 17 VwGVG iVm § 38 AVG ausgesetzt.Das Verfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-807/21 über Ersuchen des Kammergerichts Berlin vom 06.12.2021 gemäß Paragraph 17, VwGVG in Verbindung mit Paragraph 38, AVG ausgesetzt.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
,
Text
Begründung:, Begründung:
Mit dem im Kopf genannten Straferkenntnis führte die Datenschutzbehörde (im Folgenden: belangte Behörde) gegenüber der XXXX als beschuldigte juristische Person (im Folgenden: Beschwerdeführerin, BF) aus, diese habe als Verantwortliche iSd Art. 4 Z 7 DSGVO durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der Vorstandsmitglieder 1) XXXX , geb. XXXX , 2) XXXX , geb. XXXX , 3) XXXX , geb. XXXX , und der verantwortlichen Beauftragten, 4) XXXX , geb. XXXX , den nachstehend genannten Sachverhalt verwirklicht und dadurch die folgende Verwaltungsübertretung begangen: Mit dem im Kopf genannten Straferkenntnis führte die Datenschutzbehörde (im Folgenden: belangte Behörde) gegenüber der römisch 40 als beschuldigte juristische Person (im Folgenden: Beschwerdeführerin, BF) aus, diese habe als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der Vorstandsmitglieder 1) römisch 40 , geb. römisch 40 , 2) römisch 40 , geb. römisch 40 , 3) römisch 40 , geb. römisch 40 , und der verantwortlichen Beauftragten, 4) römisch 40 , geb. römisch 40 , den nachstehend genannten Sachverhalt verwirklicht und dadurch die folgende Verwaltungsübertretung begangen:
Die BF habe als Verantwortliche, beginnend mit 17.07.2019 bis zum 21.12.2020 (Tatzeitraum), in XXXX , gegen ihre Pflicht gemäß Art. 12 Abs. 2 DSGVO zur Erleichterung der Rechtsausübung von Betroffenenrechten gemäß den Art. 15 bis 22 DSGVO (Erleichterungsgebot) verstoßen, indem sie die Rechtsausübung von Betroffenenrechten im Rahmen des elektronischen Kanals durch die obligatorisch vorgesehene bzw. vorgeschriebene Nutzung eines speziellen, am 17.07.2019 implementierten „Datenschutz-Anfrage-Formulars“ für Betroffene (Kontaktformular) eingeschränkt und damit erschwert habe. Dadurch habe die BF systematisch (fortlaufend und in beträchtlicher Anzahl) das Recht der betroffenen Personen auf erleichterte Ausübung ihrer Rechte gemäß den Art. 15 bis 22 DSGVO verletzt. Die BF habe als Verantwortliche, beginnend mit 17.07.2019 bis zum 21.12.2020 (Tatzeitraum), in römisch 40 , gegen ihre Pflicht gemäß Artikel 12, Absatz 2, DSGVO zur Erleichterung der Rechtsausübung von Betroffenenrechten gemäß den Artikel 15 bis 22 DSGVO (Erleichterungsgebot) verstoßen, indem sie die Rechtsausübung von Betroffenenrechten im Rahmen des elektronischen Kanals durch die obligatorisch vorgesehene bzw. vorgeschriebene Nutzung eines speziellen, am 17.07.2019 implementierten „Datenschutz-Anfrage-Formulars“ für Betroffene (Kontaktformular) eingeschränkt und damit erschwert habe. Dadurch habe die BF systematisch (fortlaufend und in beträchtlicher Anzahl) das Recht der betroffenen Personen auf erleichterte Ausübung ihrer Rechte gemäß den Artikel 15 bis 22 DSGVO verletzt.
Dies dadurch, dass
1. die von den obenstehenden zur Vertretung der Beschuldigten nach außen befugten Vorstandsmitgliedern für die Einhaltung von datenschutzrechtlichen Bestimmungen bestellte verantwortliche Beauftragte nach § 9 Abs. 2 VStG, XXXX , durch Außerachtlassung der gebotenen Sorgfalt und1. die von den obenstehenden zur Vertretung der Beschuldigten nach außen befugten Vorstandsmitgliedern für die Einhaltung von datenschutzrechtlichen Bestimmungen bestellte verantwortliche Beauftragte nach Paragraph 9, Absatz 2, VStG, römisch 40 , durch Außerachtlassung der gebotenen Sorgfalt und
2. die im Tatzeitraum zur Vertretung der BF nach außen berufenen und im Firmenbuch ausgewiesenen Vorstandsmitglieder, XXXX , XXXX und XXXX , gemeinsam als vertretungsbefugtes Organ der Beschuldigten iSd § 30 Abs. 1 und 2 DSG durch mangelnde Überwachung und Kontrolle der von der verantwortlichen Beauftragten initiierten sowie umgesetzten Maßnahmen im Zusammenhang mit der Ausübung von Betroffenenrechten die oben dargestellte Verwaltungsübertretung zu verantworten hätten. 2. die im Tatzeitraum zur Vertretung der BF nach außen berufenen und im Firmenbuch ausgewiesenen Vorstandsmitglieder, römisch 40 , römisch 40 und römisch 40 , gemeinsam als vertretungsbefugtes Organ der Beschuldigten iSd Paragraph 30, Absatz eins und 2 DSG durch mangelnde Überwachung und Kontrolle der von der verantwortlichen Beauftragten initiierten sowie umgesetzten Maßnahmen im Zusammenhang mit der Ausübung von Betroffenenrechten die oben dargestellte Verwaltungsübertretung zu verantworten hätten.
Die verantwortliche Beauftragte habe aufgrund objektiver Sorgfaltswidrigkeiten den Einsatz des gegenständlichen Kontaktformulars als elektronischen Eingangskanal für Betroffenenanfragen im Rahmen der Website der Beschuldigten unter „ XXXX .at/datenschutz“ genehmigt und die Entscheidung getroffen, dass das Postfach datenschutz@ XXXX .at in seiner Funktion derartig umgestellt werde, dass in Folge sämtliche einlangende E-Mails an dieses Postfach (sowohl neu einlangende Anträge, als auch Korrespondenz zu zuvor eingebrachten Anträgen) automatisiert auf die ausschließliche Nutzung des Kontaktformulars verwiesen würden. Sie habe überdies beschlossen, dass auch Betroffene, die Anfragen an das E-Mailpostfach des XXXX (kundenservice@ XXXX .at) oder an andere elektronische Postfächer der Beschuldigten gerichtet und einen Antrag auf Auskunft, Widerspruch oder Löschung der Daten für Marketingzwecke Dritter gestellt hätten, von hiefür geschulten Mitarbeitern zunächst auf die ausschließliche Nutzung des Kontaktformulars verwiesen worden seien. Sie habe schließlich beschlossen, dass ab 15.12.2020 auch das E-Mail-Postfach des XXXX (kundenservice@ XXXX .at) den Betroffenen für allfällige Anfragen per E-Mail nicht mehr zur Verfügung gestellt werde, sodass diese für sämtliche elektronische Anfragen ab dem 15.12.2020 ausschließlich das von der BF vorgegebene Kontaktformular verwenden hätten müssen. Durch den Einsatz dieses Kontaktformulars und den Verweis auf die ausschließliche Nutzung sowie die in Folge angewiesene Handhabung von E-Mail-Anträgen sei den Betroffenen die Ausübung ihrer Rechte gemäß den Art. 15 bis 22 DSGVO im Rahmen des elektronischen Kanals erschwert worden, indem der Eingangskanal für elektronische Betroffenenanfragen auf ein vorgegebenes Kontaktformular eingeschränkt worden sei. Die verantwortliche Beauftragte hätte unter Einhaltung der objektiven Sorgfalt erkennen müssen, dass diese Vorgehensweise zur Behandlung von elektronischen Betroffenenanfragen nicht dem Erleichterungsgebot gemäß Art. 12 Abs. 2 DSGVO entspreche und der Spruchpraxis der Datenschutzbehörde widerspreche. Dadurch sei der Verstoß gegen die oben angeführten Bestimmungen der DSGVO durch die verantwortliche Beauftragte selbst begangen worden (§ 30 Abs. 1 DSG). Die verantwortliche Beauftragte habe aufgrund objektiver Sorgfaltswidrigkeiten den Einsatz des gegenständlichen Kontaktformulars als elektronischen Eingangskanal für Betroffenenanfragen im Rahmen der Website der Beschuldigten unter „ römisch 40 .at/datenschutz“ genehmigt und die Entscheidung getroffen, dass das Postfach datenschutz@ römisch 40 .at in seiner Funktion derartig umgestellt werde, dass in Folge sämtliche einlangende E-Mails an dieses Postfach (sowohl neu einlangende Anträge, als auch Korrespondenz zu zuvor eingebrachten Anträgen) automatisiert auf die ausschließliche Nutzung des Kontaktformulars verwiesen würden. Sie habe überdies beschlossen, dass auch Betroffene, die Anfragen an das E-Mailpostfach des römisch 40 (kundenservice@ römisch 40 .at) oder an andere elektronische Postfächer der Beschuldigten gerichtet und einen Antrag auf Auskunft, Widerspruch oder Löschung der Daten für Marketingzwecke Dritter gestellt hätten, von hiefür geschulten Mitarbeitern zunächst auf die ausschließliche Nutzung des Kontaktformulars verwiesen worden seien. Sie habe schließlich beschlossen, dass ab 15.12.2020 auch das E-Mail-Postfach des römisch 40 (kundenservice@ römisch 40 .at) den Betroffenen für allfällige Anfragen per E-Mail nicht mehr zur Verfügung gestellt werde, sodass diese für sämtliche elektronische Anfragen ab dem 15.12.2020 ausschließlich das von der BF vorgegebene Kontaktformular verwenden hätten müssen. Durch den Einsatz dieses Kontaktformulars und den Verweis auf die ausschließliche Nutzung sowie die in Folge angewiesene Handhabung von E-Mail-Anträgen sei den Betroffenen die Ausübung ihrer Rechte gemäß den Artikel 15 bis 22 DSGVO im Rahmen des elektronischen Kanals erschwert worden, indem der Eingangskanal für elektronische Betroffenenanfragen auf ein vorgegebenes Kontaktformular eingeschränkt worden sei. Die verantwortliche Beauftragte hätte unter Einhaltung der objektiven Sorgfalt erkennen müssen, dass diese Vorgehensweise zur Behandlung von elektronischen Betroffenenanfragen nicht dem Erleichterungsgebot gemäß Artikel 12, Absatz 2, DSGVO entspreche und der Spruchpraxis der Datenschutzbehörde widerspreche. Dadurch sei der Verstoß gegen die oben angeführten Bestimmungen der DSGVO durch die verantwortliche Beauftragte selbst begangen worden (Paragraph 30, Absatz eins, DSG).
Darüber hinaus hätten die namentlich genannten Vorstandsmitglieder mittels Beschluss im Zuge einer Gesamtvorstandssitzung der verantwortlichen Beauftragten die Aufgabe selbstverantwortlich überlassen bzw. die Weisung erteilt, dass sämtliche einlangende Anfragen von Betroffenen fristgerecht zu behandeln seien und die verantwortliche Beauftragte den Prozess rund um die Behandlung von Betroffenenanfragen im Rahmen des Betriebs der BF derart umgestalten solle, dass die BF künftig auch auf eine Flut an Anfragen vorbereitet sei und die Anfragen fristgerecht beantworten könne, ohne hierfür zahlreiche Mitarbeiter aus verschiedenen Abteilungen heranzuziehen. Das für die Umsetzung für diese Aufgabe notwendige Budget sei ebenfalls vom Gesamtvorstand freigegeben und genehmigt worden. Die Vorstandsmitglieder hätten es jedoch unterlassen, im Rahmen ihrer Verantwortung für den Betrieb der BF ein wirksames internes Kontrollsystem (IKS) zu implementieren, das sicherstellen hätte können, dass die Weisungen des Vorstands an die verantwortliche Beauftragte DSGVO-konform umgesetzt würden. Der Gesamtvorstand sei von der verantwortlichen Beauftragten lediglich in einem nicht regelmäßigen Zyklus über den Status der Anfragen informiert worden. Aufgrund des Fehlens eines wirksamen IKS sei der Gesamtvorstand nicht über den Einsatz des Kontaktformulars informiert worden und habe auch sonst nicht die an XXXX delegierte Aufgabe kontrolliert. Er habe somit weder Kenntnis über die geplante weitere Vorgehensweise bei der Behandlung von elektronischen Anfragen noch über die konkreten Umsetzungsmaßnahmen, die von der verantwortlichen Beauftragten schließlich beschlossen worden seien, gehabt. Der Vorstand habe sich im Ergebnis daher gar nicht mit den Umsetzungsmaßnahmen auseinandergesetzt, obwohl dieser ein Budget in beträchtlicher Höhe zum Zweck der Umsetzung der von XXXX geplanten Maßnahmen freigegeben bzw. genehmigt habe. Bei Vorliegen eines wirksamen IKS hätte der Vorstand erkennen müssen, dass die beschlossenen Umsetzungsmaßnahmen durch die verantwortliche Beauftragte zur Behandlung von elektronischen Betroffenenanfragen gegen das Erleichterungsverbot nach Art. 12 Abs. 3 DSGVO verstießen und der rechtskräftigen Spruchpraxis der DSGVO widersprächen (siehe Bescheid vom 22.02.2019 zu GZ DSB-D124.098/0002-DSB.2019). Die mangelnde Kontrolle und Überwachung der delegierten Aufgaben an XXXX als verantwortliche Beauftragte sei im Ergebnis daher auf ein mangelndes IKS zurückzuführen (§ 30 Abs. 2 DSG). Darüber hinaus hätten die namentlich genannten Vorstandsmitglieder mittels Beschluss im Zuge einer Gesamtvorstandssitzung der verantwortlichen Beauftragten die Aufgabe selbstverantwortlich überlassen bzw. die Weisung erteilt, dass sämtliche einlangende Anfragen von Betroffenen fristgerecht zu behandeln seien und die verantwortliche Beauftragte den Prozess rund um die Behandlung von Betroffenenanfragen im Rahmen des Betriebs der BF derart umgestalten solle, dass die BF künftig auch auf eine Flut an Anfragen vorbereitet sei und die Anfragen fristgerecht beantworten könne, ohne hierfür zahlreiche Mitarbeiter aus verschiedenen Abteilungen heranzuziehen. Das für die Umsetzung für diese Aufgabe notwendige Budget sei ebenfalls vom Gesamtvorstand freigegeben und genehmigt worden. Die Vorstandsmitglieder hätten es jedoch unterlassen, im Rahmen ihrer Verantwortung für den Betrieb der BF ein wirksames internes Kontrollsystem (IKS) zu implementieren, das sicherstellen hätte können, dass die Weisungen des Vorstands an die verantwortliche Beauftragte DSGVO-konform umgesetzt würden. Der Gesamtvorstand sei von der verantwortlichen Beauftragten lediglich in einem nicht regelmäßigen Zyklus über den Status der Anfragen informiert worden. Aufgrund des Fehlens eines wirksamen IKS sei der Gesamtvorstand nicht über den Einsatz des Kontaktformulars informiert worden und habe auch sonst nicht die an römisch 40 delegierte Aufgabe kontrolliert. Er habe somit weder Kenntnis über die geplante weitere Vorgehensweise bei der Behandlung von elektronischen Anfragen noch über die konkreten Umsetzungsmaßnahmen, die von der verantwortlichen Beauftragten schließlich beschlossen worden seien, gehabt. Der Vorstand habe sich im Ergebnis daher gar nicht mit den Umsetzungsmaßnahmen auseinandergesetzt, obwohl dieser ein Budget in beträchtlicher Höhe zum Zweck der Umsetzung der von römisch 40 geplanten Maßnahmen freigegeben bzw. genehmigt habe. Bei Vorliegen eines wirksamen IKS hätte der Vorstand erkennen müssen, dass die beschlossenen Umsetzungsmaßnahmen durch die verantwortliche Beauftragte zur Behandlung von elektronischen Betroffenenanfragen gegen das Erleichterungsverbot nach Artikel 12, Absatz 3, DSGVO verstießen und der rechtskräftigen Spruchpraxis der DSGVO widersprächen (siehe Bescheid vom 22.02.2019 zu GZ DSB-D124.098/0002-DSB.2019). Die mangelnde Kontrolle und Überwachung der delegierten Aufgaben an römisch 40 als verantwortliche Beauftragte sei im Ergebnis daher auf ein mangelndes IKS zurückzuführen (Paragraph 30, Absatz 2, DSG).
Das tatsbestandsmäßige, rechtswidrige und schuldhafte Verhalten der Vorstandsmitglieder sowie der verantwortlichen Beauftragten werde dabei der beschuldigten juristischen Person (§ 30 Abs. 1 und Abs. 2 DSG) als datenschutzrechtliche Verantwortliche im Sinne von Art. 4 Z 7 DSGVO zugerechnet. Das tatsbestandsmäßige, rechtswidrige und schuldhafte Verhalten der Vorstandsmitglieder sowie der verantwortlichen Beauftragten werde dabei der beschuldigten juristischen Person (Paragraph 30, Absatz eins und Absatz 2, DSG) als datenschutzrechtliche Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO zugerechnet.
Aufgrund der Verwaltungsübertretungen nach Art. 12 Abs. 2 iVm Art. 83 Abs. 5 lit b DSGVO verhängte die belangte Behörde eine Geldstrafe von € 9.500.000,00 zuzüglich eines Kostenbeitrages von € 950.000,00. Aufgrund der Verwaltungsübertretungen nach Artikel 12, Absatz 2, in Verbindung mit Artikel 83, Absatz 5, Litera b, DSGVO verhängte die belangte Behörde eine Geldstrafe von € 9.500.000,00 zuzüglich eines Kostenbeitrages von € 950.000,00.
Zu den Spruchpunkten II. bis V. wurde das Verfahren wegen weiterer Tatvorwürfe eingestellt. Zu den Spruchpunkten römisch zwei. bis römisch fünf. wurde das Verfahren wegen weiterer Tatvorwürfe eingestellt.
Gegen Spruchpunkt 1. dieses Straferkenntnisses richtet sich die Beschwerde der BF mit den Anträgen, das Erkenntnis nach Durchführung einer mündlichen Verhandlung ersatzlos zu beheben und das Verfahren gemäß § 38 VwGVG iVm § 45 Abs. 1 VStG einzustellen, in eventu das Verfahren unter Erteilung einer Verwarnung bzw. unter Beratung und Ermahnung einzustellen bzw. die Strafhöhe herabzusetzen. Gegen Spruchpunkt 1. dieses Straferkenntnisses richtet sich die Beschwerde der BF mit den Anträgen, das Erkenntnis nach Durchführung einer mündlichen Verhandlung ersatzlos zu beheben und das Verfahren gemäß Paragraph 38, VwGVG in Verbindung mit Paragraph 45, Absatz eins, VStG einzustellen, in eventu das Verfahren unter Erteilung einer Verwarnung bzw. unter Beratung und Ermahnung einzustellen bzw. die Strafhöhe herabzusetzen.
Die belangte Behörde legte die Beschwerde samt Verwaltungsakt mit ausführlicher Stellungnahme vom 22.11.2021 dem BVwG am 23.11.2021 letztlich unter Verweis auf die Begründung des Straferkenntnisses vor.
Mit ergänzender Stellungnahme und Antrag vom 04.01.2022 beantragte die belangte Behörde, den EuGH mit der Frage der unmittelbaren Strafbarkeit einer juristischen Person gemäß Art. 83 DSGVO und der Frage der Vereinbarkeit von § 30 DSG mit Art. 83 DSGVO zu befassen, in eventu das Verfahren bis zur Entscheidung des EuGH über die Vorlage der Sache des Kammergerichts Berlin vom 06.12.2021 GZ 2Ws 250/21 gemäß § 38 AVG iVm § 17 und 38 VwGVG auszusetzen. Mit ergänzender Stellungnahme und Antrag vom 04.01.2022 beantragte die belangte Behörde, den EuGH mit der Frage der unmittelbaren Strafbarkeit einer juristischen Person gemäß Artikel 83, DSGVO und der Frage der Vereinbarkeit von Paragraph 30, DSG mit Artikel 83, DSGVO zu befassen, in eventu das Verfahren bis zur Entscheidung des EuGH über die Vorlage der Sache des Kammergerichts Berlin vom 06.12.2021 GZ 2Ws 250/21 gemäß Paragraph 38, AVG in Verbindung mit Paragraph 17 und 38 VwGVG auszusetzen.
Mit weiterer Stellungnahme vom 20.07.2022 hielt die belangte Behörde ihre Anträge vom 04.01.2022 aufrecht und erstattete eine weitere Stellungnahme.
Die Voraussetzungen einer Aussetzung liegen vor:
Gemäß Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Gemäß Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
Gemäß Abs. 4 werden bei Verstößen gegen die folgenden Bestimmungen im Einklang mit Abs. 2 Geldbußen von bis zu 10 Mio. € oder im Falle eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres verhängt, je nachdem, welcher der Beträge höher ist. Gemäß Absatz 4, werden bei Verstößen gegen die folgenden Bestimmungen im Einklang mit Absatz 2, Geldbußen von bis zu 10 Mio. € oder im Falle eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres verhängt, je nachdem, welcher der Beträge höher ist.
Gemäß Abs. 6 werden bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Art. 58 Abs. 2 im Einklang mit Abs. 2 des vorliegenden Artikels Geldbußen von bis zu 20 Mio. € oder im Falle eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres verhängt, je nachdem, welcher der Beträge höher ist. Gemäß Absatz 6, werden bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58, Absatz 2, im Einklang mit Absatz 2, des vorliegenden Artikels Geldbußen von bis zu 20 Mio. € oder im Falle eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres verhängt, je nachdem, welcher der Beträge höher ist.
Gemäß Abs. 8 muss die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.Gemäß Absatz 8, muss die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.
Mit Erkenntnis vom 12.05.2020 zu Ro 2019/04/0229 befasste sich der Verwaltungsgerichtshof ausführlich mit den Voraussetzungen der Verhängung von Strafen gemäß DSGVO über juristische Personen und gelangte zum Ergebnis, für eine Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderliche Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen würden (§ 44 a VStG) mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Der Verweis der dortigen (Amts-) Revisionswerberin auf das Verbandsverantwortlichenmodell sui generis aus dem EU-Wettbewerbsrecht sei hier nicht einschlägig. Im Gegensatz zur Verhängung von Geldbußen bei Verstößen gegen unionsrechtliche Wettbewerbsregeln handle es sich bei den von der Aufsichtsbehörde eines Mitgliedstaats für Verstöße gegen die DSGVO gemäß Art. 83 Abs. 4 und 6 DSGVO zu verhängenden Geldbußen um strafrechtliche Sanktionen.Mit Erkenntnis vom 12.05.2020 zu Ro 2019/04/0229 befasste sich der Verwaltungsgerichtshof ausführlich mit den Voraussetzungen der Verhängung von Strafen gemäß DSGVO über juristische Personen und gelangte zum Ergebnis, für eine Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderliche Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen würden (Paragraph 44, a VStG) mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Der Verweis der dortigen (Amts-) Revisionswerberin auf das Verbandsverantwortlichenmodell sui generis aus dem EU-Wettbewerbsrecht sei hier nicht einschlägig. Im Gegensatz zur Verhängung von Geldbußen bei Verstößen gegen unionsrechtliche Wettbewerbsregeln handle es sich bei den von der Aufsichtsbehörde eines Mitgliedstaats für Verstöße gegen die DSGVO gemäß Artikel 83, Absatz 4 und 6 DSGVO zu verhängenden Geldbußen um strafrechtliche Sanktionen.
Am 06.12.2021 legte das Kammergericht Berlin, 3. Senat für Bußgeldsachen, folgende Fragen dem EuGH zur Vorabentscheidung vor:
„1. Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorperiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch begangenen Ordnungswidrigkeit bedarf?
2. Wenn die Frage zu 1. bejaht werden sollte: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 der Verordnung (EG) Nr. 1/2003 des Rats vom 16.12.2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln) oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liability“)?.„1. Ist Artikel 83, Absatz 4 bis 6 DSGVO dahin auszulegen, dass es den Artikel 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorperiert, dass unter Erweiterung des Paragraph 30, OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch begangenen Ordnungswidrigkeit bedarf?, 2. Wenn die Frage zu 1. bejaht werden sollte: Ist Artikel 83, Absatz 4 bis 6 DSGVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss vergleiche Artikel 23, der Verordnung (EG) Nr. 1 aus 2003, des Rats vom 16.12.2002 zur Durchführung der in den Artikel 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln) oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liability“)?.
Das diesbezügliche Verfahren behängt unter C-807/21 nunmehr beim EuGH.
Mit Beschluss vom 24.02.2022 zu Ra 2020/04/0187 setzte nunmehr der VwGH seinerseits das Revisionsverfahren betreffend W258 2227269 des BVwG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-807/21 über Ersuchen des Kammergerichts Berlin aus.
Mit dem dort zugrundeliegenden Erkenntnis vom 26.11.2020 gab das BVwG der Beschwerde der Mitbeteiligten XXXX Folge, behob das gegen diese ergangene Straferkenntnis der Datenschutzbehörde und stellte das Verfahren gemäß § 45 Abs. 1 Z 3 VStG ein. Die Einstellung war erfolgt, weil die Datenschutzbehörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der Mitbeteiligten zugerechnet werden sollte, nicht benannt habe. Diesbezüglich verwies das BVwG auf das oben zitierte Erkenntnis des VwGH vom 12.05.2020, Ro 2019/04/0229. Mit dem dort zugrundeliegenden Erkenntnis vom 26.11.2020 gab das BVwG der Beschwerde der Mitbeteiligten römisch 40 Folge, behob das gegen diese ergangene Straferkenntnis der Datenschutzbehörde und stellte das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer 3, VStG ein. Die Einstellung war erfolgt, weil die Datenschutzbehörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der Mitbeteiligten zugerechnet werden sollte, nicht benannt habe. Diesbezüglich verwies das BVwG auf das oben zitierte Erkenntnis des VwGH vom 12.05.2020, Ro 2019/04/0229.
In ihrer Amtsrevision gegen dieses Erkenntnis führte die belangte Behörde aus, das BVwG habe dem Erkenntnis des VwGH vom 12.05.2020, Ro 2019/04/0229, einen zu restriktiven Inhalt unterstellt und es sei fraglich, ob diese Rechtsprechung zu Art. 83 DSGVO angesichts der zwischenzeitig ergangenen Entscheidungen von Höchstgerichten anderer Mitgliedstaaten aufrecht erhalten werden könne. Angeregt werde, den EuGH zu befassen. In ihrer Amtsrevision gegen dieses Erkenntnis führte die belangte Behörde aus, das BVwG habe dem Erkenntnis des VwGH vom 12.05.2020, Ro 2019/04/0229, einen zu restriktiven Inhalt unterstellt und es sei fraglich, ob diese Rechtsprechung zu Artikel 83, DSGVO angesichts der zwischenzeitig ergangenen Entscheidungen von Höchstgerichten anderer Mitgliedstaaten aufrecht erhalten werden könne. Angeregt werde, den EuGH zu befassen.
In weiterer Folge erachtete der VwGH die vom Kammergericht Berlin an den EuGH herangetragenen Vorlagefragen im Ergebnis als einschlägig, woran Unterschiede zwischen dem deutschen § 30 OWiG und dem österreichischen § 30 DSG nichts zu ändern vermögen, weil es in beiden Verfahren „um die Auslegung der unionsrechtlichen Vorschrift des Art. 83 DSGVO gehe“.In weiterer Folge erachtete der VwGH die vom Kammergericht Berlin an den EuGH herangetragenen Vorlagefragen im Ergebnis als einschlägig, woran Unterschiede zwischen dem deutschen Paragraph 30, OWiG und dem österreichischen Paragraph 30, DSG nichts zu ändern vermögen, weil es in beiden Verfahren „um die Auslegung der unionsrechtlichen Vorschrift des Artikel 83, DSGVO gehe“.
Zwar hat die belangte Behörde im hier zugrundeliegenden Verfahren im Spruch des Straferkenntnisses natürliche Personen benannt, deren Verhalten sie der BF als juristischer Person verwaltungsstrafrechtlich zurechne. Allerdings bezieht sich ein Gutteil des nunmehrigen Beschwerdevorbringens auf die Zurechnung des festgestellten Verhaltens zur BF (Beschwerde Seiten 22 ff), wobei die BF eine Zurechenbarkeit des Verhaltens der Vorstandsmitglieder bestreitet. Gerade die Frage dieser Zurechnung ist Gegenstand des genannten Vorabentscheidungsverfahrens im Rahmen der grundsätzlichen Auslegung des Art. 83 DSGVO unter Bezugnahme auf die oben dargestellten zwei vom Kammergericht Berlin formulierten Fragen.Zwar hat die belangte Behörde im hier zugrundeliegenden Verfahren im Spruch des Straferkenntnisses natürliche Personen benannt, deren Verhalten sie der BF als juristischer Person verwaltungsstrafrechtlich zurechne. Allerdings bezieht sich ein Gutteil des nunmehrigen Beschwerdevorbringens auf die Zurechnung des festgestellten Verhaltens zur BF (Beschwerde Seiten 22 ff), wobei die BF eine Zurechenbarkeit des Verhaltens der Vorstandsmitglieder bestreitet. Gerade die Frage dieser Zurechnung ist Gegenstand des genannten Vorabentscheidungsverfahrens im Rahmen der grundsätzlichen Auslegung des Artikel 83, DSGVO unter Bezugnahme auf die oben dargestellten zwei vom Kammergericht Berlin formulierten Fragen.
Das Verwaltungsgericht geht daher – wie im dargestellten zu vergleichenden Fall der Verwaltungsgerichtshof - davon aus, dass das genannte Vorabentscheidungsverfahren relevant für die Behandlung der gegenständlichen Beschwerde ist und insofern die Voraussetzungen des § 38 AVG iVm § 17 VwGVG vorliegen. Das Verwaltungsgericht geht daher – wie im dargestellten zu vergleichenden Fall der Verwaltungsgerichtshof - davon aus, dass das genannte Vorabentscheidungsverfahren relevant für die Behandlung der gegenständlichen Beschwerde ist und insofern die Voraussetzungen des Paragraph 38, AVG in Verbindung mit Paragraph 17, VwGVG vorliegen.
Das Verfahren war daher ohne Weiteres auszusetzen.
Einer mündlichen Verhandlung bedurfte die Beurteilung der Präjudizialität nicht.
Zum Ausspruch der Unzulässigkeit der Revision:
Die Beurteilung der Präjudizialität des genannten Vorabentscheidungsverfahrens hinsichtlich der dort zugrunde gelegten Fragen im Verhältnis zum Gegenstand des hier zu führenden Verfahrens stellen Einzelfallfragen dar, die eine Revisibilität ausschließen.
Schlagworte
Aussetzung Datenschutz Datenschutzbehörde Erleichterungsgebot EuGH Geldbuße juristische Person natürliche Person Präjudizialität Straferkenntnis Unionsrecht Verwaltungsübertretung Vorabentscheidungsverfahren ZurechenbarkeitEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2022:W274.2248575.1.00Im RIS seit
03.10.2023Zuletzt aktualisiert am
03.10.2023
