Z 7 Datenschutzgrundverordnung durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten ihrer im Tatzeitraum vertretungsbefugten Organe rechtsunwirksame Einwilligungserklärungen eingesetzt und als Folge auch eine rechtswidrige Datenverarbeitung zu verantworten habe, und verhängte wegen dieser Verstöße gemäß § 30 Abs. 1 und 2 DSG iVm Art 83 Abs. 5 lit. a DSGVO eine Geldbuße in der Höhe von 2.000.000 EUR gegen die XXXX GmbH. Dagegen erhob die XXXX GmbH Beschwerde an das Bundesverwaltungsgericht, welches zur Zl. W256 2246230-1 geführt wird.Die belangte Behörde leitete gegen die römisch 40 GmbH ein amtswegiges Prüfverfahren und aufgrund der Ermittlungsergebnisse dieses Prüfverfahrens zudem ein Verwaltungsstrafverfahren gegen die römisch 40 GmbH ein. In diesem Verfahren sprach die belangte Behörde mit Straferkenntnis vom 26.07.2021 aus, dass die römisch 40 GmbH
, Ziffer 7, Datenschutzgrundverordnung durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten ihrer im Tatzeitraum vertretungsbefugten Organe rechtsunwirksame Einwilligungserklärungen eingesetzt und als Folge auch eine rechtswidrige Datenverarbeitung zu verantworten habe, und verhängte wegen dieser Verstöße gemäß Paragraph 30, Absatz eins und 2 DSG in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO eine Geldbuße in der Höhe von 2.000.000 EUR gegen die römisch 40 GmbH. Dagegen erhob die römisch 40 GmbH Beschwerde an das Bundesverwaltungsgericht, welches zur Zl. W256 2246230-1 geführt wird. Überdies leitete die belangte Behörde ein Verwaltungsstrafverfahren gegen die Beschwerdeführerin ein. Mit dem angefochtenen Straferkenntnis vom 12.10.2021 sprach sie aus, dass die Beschwerdeführerin (ebenfalls)
Z 7 Datenschutzgrundverordnung durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten ihrer im Tatzeitraum vertretungsbefugten Organe rechtsunwirksame Einwilligungserklärungen eingesetzt (Spruchpunkt I.) und als Folge auch eine rechtswidrige Datenverarbeitung (Spruchpunkt II.) zu verantworten habe, wobei zur Zurechnung ausgeführt wird, dass die (namentlich genannten) Mitglieder des Vorstandes der Beschwerdeführerin die Einrichtung der XXXX GmbH zum Zweck des operativen Betriebs des „ XXXX “ veranlasst und diese mit den finanziellen und personellen Mitteln ausgestattet habe und darüber hinaus es unterlassen habe, die Einhaltung der datenschutzrechtlichen Bestimmungen durch ein geeignetes und wirksames konzernweites Datenschutzkonzept sicherzustellen. Über die Beschwerdeführerin wurde wegen dieser Verstöße gemäß § 30 Abs. 1 und 2 DSG iVm Art 83 Abs. 5 lit. a DSGVO eine Geldbuße in der Höhe von 8.000.000 EUR.Überdies leitete die belangte Behörde ein Verwaltungsstrafverfahren gegen die Beschwerdeführerin ein. Mit dem angefochtenen Straferkenntnis vom 12.10.2021 sprach sie aus, dass die Beschwerdeführerin (ebenfalls)
, Ziffer 7, Datenschutzgrundverordnung durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten ihrer im Tatzeitraum vertretungsbefugten Organe rechtsunwirksame Einwilligungserklärungen eingesetzt (Spruchpunkt römisch eins.) und als Folge auch eine rechtswidrige Datenverarbeitung (Spruchpunkt römisch zwei.) zu verantworten habe, wobei zur Zurechnung ausgeführt wird, dass die (namentlich genannten) Mitglieder des Vorstandes der Beschwerdeführerin die Einrichtung der römisch 40 GmbH zum Zweck des operativen Betriebs des „ römisch 40 “ veranlasst und diese mit den finanziellen und personellen Mitteln ausgestattet habe und darüber hinaus es unterlassen habe, die Einhaltung der datenschutzrechtlichen Bestimmungen durch ein geeignetes und wirksames konzernweites Datenschutzkonzept sicherzustellen. Über die Beschwerdeführerin wurde wegen dieser Verstöße gemäß Paragraph 30, Absatz eins und 2 DSG in Verbindung mit Artikel 83, Absatz 5, Litera a, DSGVO eine Geldbuße in der Höhe von 8.000.000 EUR. Gegen dieses Straferkenntnis erhob die Beschwerdeführerin Beschwerde an das Bundesverwaltungsgericht. Darin brachte sie unter anderem vor, dass es im vorliegenden Fall nicht nur an der erforderlichen Tatbestandmäßigkeit fehle, sondern sie am Verstoß im Übrigen auch kein Verschulden treffe. Insbesondere sei entgegen dem Vorwurf der belangten Behörde nicht nur ein geeignetes konzernweites Datenschutz-Managementsystem implementiert gewesen, sondern sei die Einhaltung seiner Vorgaben im konkreten Fall auch sichergestellt worden. Die belangte Behörde legte die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor. Mit ergänzender Eingabe vom 13.01.2022 verwies die belangte Behörde auf den Beschluss des Kammergerichts Berlin vom 06.12.2021, Zl. 3 Ws 250/21, mit dem zwei Fragen zur Auslegung des Art. 83 DSGVO dem Gerichtshof der Europäischen Union (EuGH) zur Vorabentscheidung gemäß Art. 267 AEUV vorgelegt worden seien. Im Verfahren vor dem Kammergericht gehe es – wie im gegenständlichen Verfahren – um die Frage, ob die Aufsichtsbehörde in einem Verfahren gemäß Art. 83 DSGVO jene natürliche Person festzuhalten und namentlich anzuführen habe, die den Verstoß zu verantworten hätten, um eine Zurechnung zur juristischen Person zu ermöglichen, oder ob dies nicht erforderlich sei. Die belangte Behörde habe im angefochtenen Straferkenntnis eine Zurechnung nach § 30 Abs. 1 und Abs. 2 DSG vorgenommen. Aufgrund des Vorabentscheidungsverfahrens sei fraglich, ob diese Bestimmung überhaupt zur Anwendung gelangen dürfe. Die Beschwerdeführerin moniere in ihrer Beschwerde diese Zurechnung. Sollten die einschlägigen Zurechnungsbestimmungen des § 30 DSG nicht weiter angewendet werden, sei das Vorbringen der Beschwerdeführerin in diesem Zusammenhang irrelevant, da a priori keine Zurechnung erforderlich gewesen wäre. Der EuGH werde sich darüber hinaus aufgrund der zweiten Vorlagenfrage auch generell mit der Frage des Verschuldens einer juristischen Person auseinanderzusetzen haben, insbesondere ob für die Verhängung einer Geldbuße bereits ein dem Verantwortlichen zuzuordnender objektiver Pflichtenverstoß ausreiche („strict-liablity-Grundsatz“). Der EuGH habe bereits entschieden, dass es über die objektive Tatbestandsverwirklichung hinaus eines spezifischen Verschuldens nicht bedürfe. Eine Ahndung bedürfe daher lediglich der Feststellung der objektiven Pflichtwidrigkeit. Die Entscheidung des EuGH zu dieser Frage sei insofern relevant, da die Beschwerdeführerin ins Treffen führe, dass sie am Verstoß kein Verschulden treffe und daher das Straferkenntnis aufzuheben sei. Es werde daher u.a. beantragt, das gegenständliche Verfahren bis zur Entscheidung des EuGH in dem vom Kammergericht eingeleiteten Vorabentscheidungsverfahren auszusetzen. Mit ergänzender Eingabe vom 13.01.2022 verwies die belangte Behörde auf den Beschluss des Kammergerichts Berlin vom 06.12.2021, Zl. 3 Ws 250/21, mit dem zwei Fragen zur Auslegung des Artikel 83, DSGVO dem Gerichtshof der Europäischen Union (EuGH) zur Vorabentscheidung gemäß Artikel 267, AEUV vorgelegt worden seien. Im Verfahren vor dem Kammergericht gehe es – wie im gegenständlichen Verfahren – um die Frage, ob die Aufsichtsbehörde in einem Verfahren gemäß Artikel 83, DSGVO jene natürliche Person festzuhalten und namentlich anzuführen habe, die den Verstoß zu verantworten hätten, um eine Zurechnung zur juristischen Person zu ermöglichen, oder ob dies nicht erforderlich sei. Die belangte Behörde habe im angefochtenen Straferkenntnis eine Zurechnung nach Paragraph 30, Absatz eins und Absatz 2, DSG vorgenommen. Aufgrund des Vorabentscheidungsverfahrens sei fraglich, ob diese Bestimmung überhaupt zur Anwendung gelangen dürfe. Die Beschwerdeführerin moniere in ihrer Beschwerde diese Zurechnung. Sollten die einschlägigen Zurechnungsbestimmungen des Paragraph 30, DSG nicht weiter angewendet werden, sei das Vorbringen der Beschwerdeführerin in diesem Zusammenhang irrelevant, da a priori keine Zurechnung erforderlich gewesen wäre. Der EuGH werde sich darüber hinaus aufgrund der zweiten Vorlagenfrage auch generell mit der Frage des Verschuldens einer juristischen Person auseinanderzusetzen haben, insbesondere ob für die Verhängung einer Geldbuße bereits ein dem Verantwortlichen zuzuordnender objektiver Pflichtenverstoß ausreiche („strict-liablity-Grundsatz“). Der EuGH habe bereits entschieden, dass es über die objektive Tatbestandsverwirklichung hinaus eines spezifischen Verschuldens nicht bedürfe. Eine Ahndung bedürfe daher lediglich der Feststellung der objektiven Pflichtwidrigkeit. Die Entscheidung des EuGH zu dieser Frage sei insofern relevant, da die Beschwerdeführerin ins Treffen führe, dass sie am Verstoß kein Verschulden treffe und daher das Straferkenntnis aufzuheben sei. Es werde daher u.a. beantragt, das gegenständliche Verfahren bis zur Entscheidung des EuGH in dem vom Kammergericht eingeleiteten Vorabentscheidungsverfahren auszusetzen. II. Beweiswürdigung: Der oben wiedergegebene Verfahrensgang und Sachverhalt ergibt sich aus dem vorgelegten Verwaltungsakt und den im Verfahren eingebrachten Stellungnahmen der Verfahrensparteien. römisch zwei. Beweiswürdigung: Der oben wiedergegebene Verfahrensgang und Sachverhalt ergibt sich aus dem vorgelegten Verwaltungsakt und den im Verfahren eingebrachten Stellungnahmen der Verfahrensparteien. III. Rechtliche Beurteilung: römisch drei. Rechtliche Beurteilung: Mit dem Beschluss vom 06.12.2021 richtete das Kammergericht Berlin folgende Fragen an den EuGH zur Vorabentscheidung: „1. Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrunde liegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierbare Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?„1. Ist Artikel 83, Absatz 4 bis 6 DSGVO dahin auszulegen, dass es den Artikel 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des Paragraph 30, OWiG zugrunde liegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierbare Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf? 2. Wenn die Frage zu 1. bejaht werden sollte: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 der Verordnung [EG] Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liablity“)?“2. Wenn die Frage zu 1. bejaht werden sollte: Ist Artikel 83, Absatz 4 bis 6 DSGVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss vergleiche Artikel 23, der Verordnung [EG] Nr. 1 aus 2003, des Rates vom 16. Dezember 2002 zur Durchführung der in den Artikel 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liablity“)?“ § 30 Ordnungswidrigkeitengesetz (OWiG) lautet wie folgt:Paragraph 30, Ordnungswidrigkeitengesetz (OWiG) lautet wie folgt: „
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.