← Österreich

{'item': 'W211 2261811-1'}

Obsah (11)Art. 133Art. 56§ 1Artikel 9Artikel 10§ 6§ 21§ 7§ 8Art. 55§ 25a

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum20.02.2024 GeschäftszahlW211 2261811-1 Spruch, W211 2261811-1/19E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch die R

Art. 133Abs.

4 B-VG unzulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG unzulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Wesentlicher Verfahrensgang:römisch eins. Wesentlicher Verfahrensgang:

  1. Mit Datenschutzbeschwerde an die ungarische Aufsichtsbehörde vom XXXX .2021 brachte die nunmehrige mitbeteiligte Partei (idF mP) vor, dass die nunmehrige Beschwerdeführerin (idF BF), eine Zahlungsdienstleisterin, von der die mP eine Kreditkarte besaß, Unterlagen zum privaten Einkommen und der Steuererklärung verlangt habe, obwohl die mP bereits seit 2006 Kundin der BF mit einer Kreditkarte gewesen sei. 2007 sei die mP aus Wien zurück nach XXXX gezogen. Bei Anforderung der Kreditkarte habe die mP ihre XXXX Staatsangehörigkeit vorgebracht; nunmehr habe sie ihren ungarischen Pass vorgelegt, wobei danach die Anforderung für weitere Unterlagen erfolgt sei. Die mP habe auch der Bitte um eine Übersetzung Folge geleistet; das habe aber der BF nicht gereicht, und schließlich sei die Karte von der BF für ungültig erklärt worden.
  2. Mit Datenschutzbeschwerde an die ungarische Aufsichtsbehörde vom römisch 40 .2021 brachte die nunmehrige mitbeteiligte Partei in der Fassung mP) vor, dass die nunmehrige Beschwerdeführerin in der Fassung BF), eine Zahlungsdienstleisterin, von der die mP eine Kreditkarte besaß, Unterlagen zum privaten Einkommen und der Steuererklärung verlangt habe, obwohl die mP bereits seit 2006 Kundin der BF mit einer Kreditkarte gewesen sei. 2007 sei die mP aus Wien zurück nach römisch 40 gezogen. Bei Anforderung der Kreditkarte habe die mP ihre römisch 40 Staatsangehörigkeit vorgebracht; nunmehr habe sie ihren ungarischen Pass vorgelegt, wobei danach die Anforderung für weitere Unterlagen erfolgt sei. Die mP habe auch der Bitte um eine Übersetzung Folge geleistet; das habe aber der BF nicht gereicht, und schließlich sei die Karte von der BF für ungültig erklärt worden.
  3. Mit Schreiben vom 04.08.2021 übermittelte die Datenschutzbehörde (idF DSB) der BF die Beschwerde der mP und führte aus, eine Verantwortlicheneigenschaft der BF anzunehmen, weshalb die (österreichische) DSB federführende Aufsichtsbehörde

Art. 56Abs.

1 DSGVO im gegenständlichen Verfahren sei. 2. Mit Schreiben vom 04.08.2021 übermittelte die Datenschutzbehörde in der Fassung DSB) der BF die Beschwerde der mP und führte aus, eine Verantwortlicheneigenschaft der BF anzunehmen, weshalb die (österreichische) DSB federführende Aufsichtsbehörde

Artikel 56, Absatz eins, DSGVO im gegenständlichen Verfahren sei.

3. Die BF brachte zur Beschwerde am XXXX 2021 zusammengefasst und soweit wesentlich vor, dass die BF als dem Bankwesengesetz (BWG) und dem Finanzmarkt-Geldwäschegesetz (FM-GwG) unterliegende Bank bei der Aufnahme von Geschäftsbeziehungen

den geltenden strengen Sorgfaltspflichten im Bankbereich bestimmte personenbezogene Angaben überprüfe. Zu den Sorgfaltspflichten nach dem FM-GwG gehöre es auch, sich in regelmäßigen Abständen ein Bild über die Kund:innen zu verschaffen (§ 7 Abs. 6 S 1 FM-GwG). Die BF sei aufgrund von Art. 6 Abs. 1 lit. c DSGVO iVm § 7 Abs. 6 S 1 FM-GwG berechtigt gewesen, Informationen über Betroffene einzuholen und zu verarbeiten. Hierzu würden auch Kontoauszüge, Nachweise über Firmenumsätze, Angaben zur beruflichen Tätigkeit und weitere Daten zählen. 3. Die BF brachte zur Beschwerde am römisch 40 2021 zusammengefasst und soweit wesentlich vor, dass die BF als dem Bankwesengesetz (BWG) und dem Finanzmarkt-Geldwäschegesetz (FM-GwG) unterliegende Bank bei der Aufnahme von Geschäftsbeziehungen

den geltenden strengen Sorgfaltspflichten im Bankbereich bestimmte personenbezogene Angaben überprüfe. Zu den Sorgfaltspflichten nach dem FM-GwG gehöre es auch, sich in regelmäßigen Abständen ein Bild über die Kund:innen zu verschaffen (Paragraph 7, Absatz 6, S 1 FM-GwG). Die BF sei aufgrund von Artikel 6, Absatz eins, Litera c, DSGVO in Verbindung mit Paragraph 7, Absatz 6, S 1 FM-GwG berechtigt gewesen, Informationen über Betroffene einzuholen und zu verarbeiten. Hierzu würden auch Kontoauszüge, Nachweise über Firmenumsätze, Angaben zur beruflichen Tätigkeit und weitere Daten zählen.

  1. Die mP replizierte am XXXX 2021 soweit wesentlich dahingehend, dass es keine Kriterien in Bezug auf die „Know your customer“-Regel gebe, wonach regelmäßig Einkommens-erklärungen und Informationen zur Berufstätigkeit zu übermitteln seien.
  2. Die mP replizierte am römisch 40 2021 soweit wesentlich dahingehend, dass es keine Kriterien in Bezug auf die „Know your customer“-Regel gebe, wonach regelmäßig Einkommens-erklärungen und Informationen zur Berufstätigkeit zu übermitteln seien.
  3. Mit dem angefochtenen Bescheid vom XXXX .2022 gab die DSB der Beschwerde teilweise statt und stellte fest, dass die BF die mP dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem sie ihre Steuer-, Einkommens- und Kontodaten, die sie von der mP am XXXX .2020 und am XXXX .2021 auf ihre Aufforderung hin erhalten habe, ohne Rechtsgrundlage verarbeitet habe (Spruchpunkt 1.). Der BF wurde aufgetragen, innerhalb einer Frist von 4 Wochen die in Spruchpunkt
  4. genannten Daten zu löschen (Spruchpunkt 2.). Im Übrigen – betreffend die Übermittlung der Unterlagen über einen nicht gesicherten Kanal - wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).
  5. Mit dem angefochtenen Bescheid vom römisch 40 .2022 gab die DSB der Beschwerde teilweise statt und stellte fest, dass die BF die mP dadurch in ihrem Recht auf Geheimhaltung verletzt habe, indem sie ihre Steuer-, Einkommens- und Kontodaten, die sie von der mP am römisch 40 .2020 und am römisch 40 .2021 auf ihre Aufforderung hin erhalten habe, ohne Rechtsgrundlage verarbeitet habe (Spruchpunkt 1.). Der BF wurde aufgetragen, innerhalb einer Frist von 4 Wochen die in Spruchpunkt
  6. genannten Daten zu löschen (Spruchpunkt 2.). Im Übrigen – betreffend die Übermittlung der Unterlagen über einen nicht gesicherten Kanal - wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).
  7. In der gegen die Spruchpunkte
  8. und
  9. eingebrachten Beschwerde bringt die BF soweit wesentlich vor, dass die Verarbeitung rechtmäßig auf Grundlage des § 7 Abs. 6 FM-GwG erfolgt sei, da eine Änderung des Wohnsitzes und die Vorlage eines anderen Reisepasses als bisher als „Änderung maßgeblicher Umstände“ angesehen werden müsse. Die mP habe seit 2007 außerdem zehnmal ihren Wohnsitz geändert. Die Angemessenheit der getroffenen Maßnahmen anhand Art. 13 Abs. 4 der RL (EU) 2015/849 sei dahingehend auszulegen, dass die Maßnahmen so umfassend und häufig anzuwenden seien, dass damit Verstöße effektiv verhindert werden könnten. Die Art-29-Datenschutzgruppe führe ausdrücklich die Verhütung von Betrug, Leistungsmissbrauch oder Geldwäsche als mögliches berechtigtes Interesse an.
  10. In der gegen die Spruchpunkte
  11. und
  12. eingebrachten Beschwerde bringt die BF soweit wesentlich vor, dass die Verarbeitung rechtmäßig auf Grundlage des Paragraph 7, Absatz 6, FM-GwG erfolgt sei, da eine Änderung des Wohnsitzes und die Vorlage eines anderen Reisepasses als bisher als „Änderung maßgeblicher Umstände“ angesehen werden müsse. Die mP habe seit 2007 außerdem zehnmal ihren Wohnsitz geändert. Die Angemessenheit der getroffenen Maßnahmen anhand Artikel 13, Absatz 4, der RL (EU) 2015/849 sei dahingehend auszulegen, dass die Maßnahmen so umfassend und häufig anzuwenden seien, dass damit Verstöße effektiv verhindert werden könnten. Die Art-29-Datenschutzgruppe führe ausdrücklich die Verhütung von Betrug, Leistungsmissbrauch oder Geldwäsche als mögliches berechtigtes Interesse an.
  13. Im Rahmen der Aktenvorlage brachte die DSB in Replik auf die Beschwerde am XXXX .2022 soweit wesentlich vor, dass die BF nicht dargelegt habe, warum sie bei der mP zum Zeitpunkt der Datenerhebung von einem potentiellen Risiko iZm Geldwäsche und Terrorismusfinanzierung ausgegangen sei. Weder aus den Umzügen der mP, noch aus den beiden gültigen Reisepässen lasse sich ein Indiz für ein solches ableiten.
  14. Im Rahmen der Aktenvorlage brachte die DSB in Replik auf die Beschwerde am römisch 40 .2022 soweit wesentlich vor, dass die BF nicht dargelegt habe, warum sie bei der mP zum Zeitpunkt der Datenerhebung von einem potentiellen Risiko iZm Geldwäsche und Terrorismusfinanzierung ausgegangen sei. Weder aus den Umzügen der mP, noch aus den beiden gültigen Reisepässen lasse sich ein Indiz für ein solches ableiten.
  15. Nach Beschwerdemitteilung informierte die BF am XXXX .2023 über die Berichtigung/Änderung der Parteienbezeichnung und brachte soweit wesentlich weiter vor, dass die DSB fälschlich davon ausgehe, dass die Bank zum Zeitpunkt der Datenerhebung zwingend ein potentielles Risiko iZm der Geldwäsche oder Terrorismusfinanzierung nachweisen müsse. Die Bank habe die Kundeninformationen nach dem Gesetz regelmäßig zu aktualisieren. Durch die Übermittlung der ungarischen Unterlagen habe sich konkret sogar herausgestellt, dass tatsächlich ein Aktualisierungsbedarf hinsichtlich der Mittelherkunft bestanden habe. Die mP habe nur darauf verwiesen, Geld aus mehreren Unternehmensbeteiligungen zu bekommen.
  16. Nach Beschwerdemitteilung informierte die BF am römisch 40 .2023 über die Berichtigung/Änderung der Parteienbezeichnung und brachte soweit wesentlich weiter vor, dass die DSB fälschlich davon ausgehe, dass die Bank zum Zeitpunkt der Datenerhebung zwingend ein potentielles Risiko iZm der Geldwäsche oder Terrorismusfinanzierung nachweisen müsse. Die Bank habe die Kundeninformationen nach dem Gesetz regelmäßig zu aktualisieren. Durch die Übermittlung der ungarischen Unterlagen habe sich konkret sogar herausgestellt, dass tatsächlich ein Aktualisierungsbedarf hinsichtlich der Mittelherkunft bestanden habe. Die mP habe nur darauf verwiesen, Geld aus mehreren Unternehmensbeteiligungen zu bekommen.
  17. Am XXXX .2023 führte das Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung durch, an der die BF, ihr Rechtsvertreter und die DSB teilnahmen. Die mP war für die Teilnahme entschuldigt.
  18. Am römisch 40 .2023 führte das Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung durch, an der die BF, ihr Rechtsvertreter und die DSB teilnahmen. Die mP war für die Teilnahme entschuldigt. Die mP und der BF brachten nach der Verhandlung noch jeweils eine schriftliche Stellungnahme ins Verfahren ein. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
  19. Feststellungen: 1.
  20. Die mP ist ein ungarischer und XXXX Doppelstaatsbürger und lebt zur Zeit in Ungarn. Die mP, zu jenem Zeitpunkt in Wien als XXXX berufstätig, nahm 2006 eine XXXX Kreditkarte, weil diese eine gute Reiseversicherung anbot. Bei Beantragung der Kreditkarte legte die mP ihren XXXX Reisepass vor. 1.
  21. Die mP ist ein ungarischer und römisch 40 Doppelstaatsbürger und lebt zur Zeit in Ungarn. Die mP, zu jenem Zeitpunkt in Wien als römisch 40 berufstätig, nahm 2006 eine römisch 40 Kreditkarte, weil diese eine gute Reiseversicherung anbot. Bei Beantragung der Kreditkarte legte die mP ihren römisch 40 Reisepass vor. Die BF ist ein Kreditinstitut

§ 1Abs.

1 Z 3 und Z 6 des Bankwesengesetzes und unterliegt als Verpflichtete dem Bundesgesetz zur Verhinderung der Geldwäscherei und Terrorismusfinanzierung im Finanzmarkt (FM-GwG). Die BF ist ein Kreditinstitut

Paragraph eins, Absatz eins, Ziffer 3 und Ziffer 6, des Bankwesengesetzes und unterliegt als Verpflichtete dem Bundesgesetz zur Verhinderung der Geldwäscherei und Terrorismusfinanzierung im Finanzmarkt (FM-GwG). Die mP zog 2007 aus Wien weg und gab seither Wohnadressen in XXXX (2007, 2008), XXXX

(2009), XXXX
(2011)und wieder XXXX (2015, 2016) bekannt. Im Dezember 2020 informierte die mP die BF über eine Adressänderung innerhalb von XXXX und legte dabei ihren ungarischen Reisepass vor. Die mP zog 2007 aus Wien weg und gab seither Wohnadressen in römisch 40 (2007, 2008), römisch 40
(2009), römisch 40
(2011)und wieder römisch 40 (2015, 2016) bekannt. Im Dezember 2020 informierte die mP die BF über eine Adressänderung innerhalb von römisch 40 und legte dabei ihren ungarischen Reisepass vor. Mit Email vom XXXX .2020 fragte die BF bei der mP an, welche Verbindung die mP noch nach Österreich habe. Mit Email vom römisch 40 .2020 fragte die BF bei der mP an, welche Verbindung die mP noch nach Österreich habe. Die mP schrieb am XXXX .2020 zurück, dass sie seit 2006 Kundin der BF und mit keiner Zahlung bisher in Verzug gewesen sei. Sie lebe in der EU und habe an Adressen in XXXX gelebt. Die Kreditkarte sei bisher ohne Probleme auch nach XXXX zugestellt worden. Die mP schrieb am römisch 40 .2020 zurück, dass sie seit 2006 Kundin der BF und mit keiner Zahlung bisher in Verzug gewesen sei. Sie lebe in der EU und habe an Adressen in römisch 40 gelebt. Die Kreditkarte sei bisher ohne Probleme auch nach römisch 40 zugestellt worden. Die BF schrieb der mP daraufhin am XXXX .2020 zurück, dass es ihr aufgrund von gesetzlichen Vorgaben nur möglich sei, eine Geschäftsbeziehung aufrecht zu erhalten, wenn ein Konnex der mP nach Österreich bestehen würde. Aufgrund der Bestimmungen der §§ 5 ff des FM-GwG sei es notwendig, alle Informationen über Kund:innen in regelmäßigen Abständen zu aktualisieren. Daher wird die mP gebeten die folgenden Unterlagen beizusteuern, und zwar das dem Email beigelegte Formular, ausgefüllt und unterzeichnet, die drei letzten Einkommenserklärungen, wenn man selbständig sei, eine Bestätigung über das Jahreseinkommen, beglaubigt übersetzt ins Englische oder Deutsche, und eine Kopie des Reisepasses. Die BF schrieb der mP daraufhin am römisch 40 .2020 zurück, dass es ihr aufgrund von gesetzlichen Vorgaben nur möglich sei, eine Geschäftsbeziehung aufrecht zu erhalten, wenn ein Konnex der mP nach Österreich bestehen würde. Aufgrund der Bestimmungen der Paragraphen 5, ff des FM-GwG sei es notwendig, alle Informationen über Kund:innen in regelmäßigen Abständen zu aktualisieren. Daher wird die mP gebeten die folgenden Unterlagen beizusteuern, und zwar das dem Email beigelegte Formular, ausgefüllt und unterzeichnet, die drei letzten Einkommenserklärungen, wenn man selbständig sei, eine Bestätigung über das Jahreseinkommen, beglaubigt übersetzt ins Englische oder Deutsche, und eine Kopie des Reisepasses. Mit Email vom XXXX .2020 meldete die BF, dass aus den Nachrichten der mP ausreichend nachvollziehbar hervorgehe, wieso die mP eine Kreditkarte der BF über die Jahre behalten habe. Allerdings müssten die Unterlagen und Informationen aller Kund:innen im Lichte der „Know your customer“ Politik aktualisiert werden, worüber auch mittels Newsletter informiert worden sei. Mit Email vom römisch 40 .2020 meldete die BF, dass aus den Nachrichten der mP ausreichend nachvollziehbar hervorgehe, wieso die mP eine Kreditkarte der BF über die Jahre behalten habe. Allerdings müssten die Unterlagen und Informationen aller Kund:innen im Lichte der „Know your customer“ Politik aktualisiert werden, worüber auch mittels Newsletter informiert worden sei. Am XXXX .2020 übermittelte die mP der BF per Email eine Passkopie und weitere Unterlagen. Am römisch 40 .2020 übermittelte die mP der BF per Email eine Passkopie und weitere Unterlagen. Am XXXX 2020 ersuchte die BF die mP per Email um Übersendung der Einkommenssteuerbestätigung 2018 oder 2019, übersetzt ins Deutsche oder Englische.Am römisch 40 2020 ersuchte die BF die mP per Email um Übersendung der Einkommenssteuerbestätigung 2018 oder 2019, übersetzt ins Deutsche oder Englische. Mit Email vom XXXX 2021 gab die BF bekannt, aus den vorgelegten Unterlagen kein Einkommen ersehen zu können, was aber für eine Risikoeinschätzung notwendig sei. Es wäre auch möglich, dass eine Bank eine Bestätigung über das Jahreseinkommen ausstelle. Mit Email vom römisch 40 2021 gab die BF bekannt, aus den vorgelegten Unterlagen kein Einkommen ersehen zu können, was aber für eine Risikoeinschätzung notwendig sei. Es wäre auch möglich, dass eine Bank eine Bestätigung über das Jahreseinkommen ausstelle. Die mP legte daraufhin am XXXX .2021 per Email einen Kontoauszug über den Erhalt von monatlichen Mieteinnahmen vor und gab bekannt, dass sie eine Bestätigung der Steuerbehörde über ihr Einkommen aus ihrer eigenen Firma bereits eingebracht habe, aus der ihr Einkommen aus der Firma hervorgehe. Darüber hinaus lege sie noch einen Kontoauszug eines Privatkontos vor, aus dem signifikantes Barvermögen nachweislich hervorgehe. Mehr könne sie nicht tun. Die mP legte daraufhin am römisch 40 .2021 per Email einen Kontoauszug über den Erhalt von monatlichen Mieteinnahmen vor und gab bekannt, dass sie eine Bestätigung der Steuerbehörde über ihr Einkommen aus ihrer eigenen Firma bereits eingebracht habe, aus der ihr Einkommen aus der Firma hervorgehe. Darüber hinaus lege sie noch einen Kontoauszug eines Privatkontos vor, aus dem signifikantes Barvermögen nachweislich hervorgehe. Mehr könne sie nicht tun. Die BF forderte die mP auf, die ungarisch-sprachigen Unterlagen beglaubigt ins Deutsche zu übersetzen, was die mP nicht tat. Daraufhin wurde die Geschäftsbeziehung zwischen der BF und der mP aufgelöst. Demnach übermittelte die mP der BF eine Bestätigung der ungarischen Steuerbehörde in Bezug auf eine Firma in Ungarn, die der mP gehört, sowie Kontoauszüge betreffend Mieteinnahmen und Barvermögen, alles in ungarischer Sprache. 1.2. Im Zusammenhang mit der Datenaktualisierung für ihre Kund:innen iSd FM-GwG teilt die BF diese in Niedrig-, Mittel- und Hochrisikokund:innen ein. Grundsätzlich werden Hochrisikokund:innen einmal jährlich, Mittelrisikokund:innen alle drei Jahre und Niedrigrisikokund:innen alle fünf Jahre periodisch überprüft. Eine solche Routineüberprüfung beinhaltet die Kontrolle und gegebenenfalls Aktualisierung von Stammdaten, das Vorliegen aller notwendigen Unterlagen und eine Kontrolle des Transaktionsverhaltens. Daraus kann sich dann ergeben, dass bei Kund:innen weitere Informationen nachgefragt werden. Darüber hinaus können solche Überprüfungen nach Maßgabe von Geschehnissen oder Verhaltensweisen eingeleitet werden. Bei der periodenhaften Überprüfung der Niedrigrisikokund:innen werden von der BF grundsätzlich automatisierte Schreiben versendet mit dem Ersuchen, Änderungen zu den Kund:innendaten bekannt zu geben. Außerdem finden automatische Auswertungen von Transaktionen von Kund:innen statt, die in einer Warnung bei den sogenannten „KYC-Teams“ resultieren können, die die fraglichen Transaktionen kontrollieren und gegebenenfalls eine Nachfrage dazu bei den Kund:innen durchführen. Eine Nachfrage der BF bei der mP zur Datenaktualisierung und Geldmittelherkunft fand erstmalig zu jenem verfahrensgegenständlichen Zeitpunkt, also im XXXX 2020, statt. Davor wurde durch die BF, auch durch ihre Vorgängerin, seit Aufnahme der Geschäftsbeziehung mit der mP keine Überprüfung und Aktualisierung der Daten vorgenommen. Eine Nachfrage der BF bei der mP zur Datenaktualisierung und Geldmittelherkunft fand erstmalig zu jenem verfahrensgegenständlichen Zeitpunkt, also im römisch 40 2020, statt. Davor wurde durch die BF, auch durch ihre Vorgängerin, seit Aufnahme der Geschäftsbeziehung mit der mP keine Überprüfung und Aktualisierung der Daten vorgenommen. 2. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem Verwaltungsakt sowie, in Bezug auf das Vorgehen der BF iZm den Verpflichtungen aus dem FM-GwG, auf den Ergebnissen der mündlichen Beschwerdeverhandlung, und sind nicht strittig. Zur Feststellung darüber, ob die Nachfrage der BF bei der mP erstmalig im XXXX 2020 erfolgte, gaben beide Parteien gleichlautende Stellungnahmen im Sinne der getroffenen Feststellung ab. Die getroffenen Feststellungen beruhen auf dem Verwaltungsakt sowie, in Bezug auf das Vorgehen der BF iZm den Verpflichtungen aus dem FM-GwG, auf den Ergebnissen der mündlichen Beschwerdeverhandlung, und sind nicht strittig. Zur Feststellung darüber, ob die Nachfrage der BF bei der mP erstmalig im römisch 40 2020 erfolgte, gaben beide Parteien gleichlautende Stellungnahmen im Sinne der getroffenen Feststellung ab. 3. Rechtliche Beurteilung: Zu A) 3.1. Rechtsgrundlagen DSGVO und FM-GwG in Auszügen: Art. 6 DSGVO:Artikel 6, DSGVO: Rechtmäßigkeit der Verarbeitung
(1)Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a. Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; b. die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; c. die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt; d. die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; e. die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; f. die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen

Kapitel IX

.
(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen

Kapitel römisch neun.

(3)Die Rechtsgrundlage für die Verarbeitungen

Absatz 1 Buchstaben c und e wird festgelegt durch a. Unionsrecht oder b. das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4)Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem a. jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung, b. den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen, c. die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten

Artikel 9

verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten

Artikel 10verarbeitet werden, d.

die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen, e. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann. Art. 55 DSGVO:Artikel 55, DSGVO: Zuständigkeit

(1)Jede Aufsichtsbehörde ist für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.
(2)Erfolgt die Verarbeitung durch Behörden oder private Stellen auf der Grundlage von Artikel 6 Absatz 1 Buchstabe c oder e, so ist die Aufsichtsbehörde des betroffenen Mitgliedstaats zuständig. In diesem Fall findet Artikel 56 keine Anwendung. […] Auszüge aus dem FM-GwG (Hervorhebungen nicht im Original): Sorgfaltspflichten gegenüber Kunden Anwendung der Sorgfaltspflichten § 5. Die Verpflichteten haben in folgenden Fällen Sorgfaltspflichten gegenüber Kunden

§ 6anzuwenden:1.

bei Begründung einer Geschäftsbeziehung; Spareinlagengeschäfte nach § 31 Abs. 1 BWG und Geschäfte nach § 12 Depotgesetz gelten stets als Geschäftsbeziehung;2. bei Durchführung von allen nicht in den Rahmen einer Geschäftsbeziehung fallenden Transaktionen (gelegentliche Transaktionen),Paragraph 5, Die Verpflichteten haben in folgenden Fällen Sorgfaltspflichten gegenüber Kunden

Paragraph 6, anzuwenden:, 1. bei Begründung einer Geschäftsbeziehung; Spareinlagengeschäfte nach Paragraph 31, Absatz eins, BWG und Geschäfte nach Paragraph 12, Depotgesetz gelten stets als Geschäftsbeziehung;, 2. bei Durchführung von allen nicht in den Rahmen einer Geschäftsbeziehung fallenden Transaktionen (gelegentliche Transaktionen),

  1. a)deren Betrag sich auf mindestens 15 000 Euro oder Euro-Gegenwert beläuft, und zwar unabhängig davon, ob die Transaktion in einem einzigen Vorgang oder in mehreren Vorgängen, zwischen denen eine Verbindung offenkundig gegeben ist, getätigt wird, oder
  2. b)bei denen es sich um Geldtransfers im Sinne des Art. 3 Z 9 der Verordnung (EU) 2015/847 von mehr als 1 000 Euro handelt;
  3. b)bei denen es sich um Geldtransfers im Sinne des Artikel 3, Ziffer 9, der Verordnung (EU) 2015/847 von mehr als 1 000 Euro handelt; ist der Betrag in den Fällen der lit. a vor Beginn der Transaktion nicht bekannt, so sind die Sorgfaltspflichten dann anzuwenden, sobald der Betrag bekannt ist und festgestellt wird, dass er mindestens 15 000 Euro oder Euro-Gegenwert beträgt;3. bei jeder Einzahlung auf Spareinlagen und bei jeder Auszahlung von Spareinlagen, wenn der ein- oder auszuzahlende Betrag mindestens 15 000 Euro oder Euro-Gegenwert beträgt;4. wenn der Verdacht oder der berechtigte Grund zu der Annahme besteht, dass der Kunde einer terroristischen Vereinigung (§ 278b StGB) angehört oder dass der Kunde objektiv an Transaktionen mitwirkt, die der Geldwäscherei (§ 165 StGB – unter Einbeziehung von Vermögensbestandteilen, die aus einer strafbaren Handlung des Täters selbst herrühren) oder der Terrorismusfinanzierung (§ 278d StGB) dienen;5. bei Zweifeln an der Echtheit oder der Angemessenheit zuvor erhaltener Kundenidentifikationsdaten.ist der Betrag in den Fällen der Litera a, vor Beginn der Transaktion nicht bekannt, so sind die Sorgfaltspflichten dann anzuwenden, sobald der Betrag bekannt ist und festgestellt wird, dass er mindestens 15 000 Euro oder Euro-Gegenwert beträgt;, 3. bei jeder Einzahlung auf Spareinlagen und bei jeder Auszahlung von Spareinlagen, wenn der ein- oder auszuzahlende Betrag mindestens 15 000 Euro oder Euro-Gegenwert beträgt;, 4. wenn der Verdacht oder der berechtigte Grund zu der Annahme besteht, dass der Kunde einer terroristischen Vereinigung (Paragraph 278 b, StGB) angehört oder dass der Kunde objektiv an Transaktionen mitwirkt, die der Geldwäscherei (Paragraph 165, StGB – unter Einbeziehung von Vermögensbestandteilen, die aus einer strafbaren Handlung des Täters selbst herrühren) oder der Terrorismusfinanzierung (Paragraph 278 d, StGB) dienen;, 5. bei Zweifeln an der Echtheit oder der Angemessenheit zuvor erhaltener Kundenidentifikationsdaten. Umfang der Sorgfaltspflichten § 6.

(1)Die Sorgfaltspflichten gegenüber Kunden umfassen:1. Feststellung der Identität des Kunden und Überprüfung der Identität auf der Grundlage von Dokumenten, Daten oder Informationen, die von einer glaubwürdigen und unabhängigen Quelle stammen, einschließlich elektronischer Mittel für die Identitätsfeststellung und einschlägiger Vertrauensdienste

der Verordnung (EU) Nr. 910/2014 und anderer sicherer Verfahren zur Identifizierung aus der Ferne oder auf elektronischem Weg nach Maßgabe des Abs. 4; […]

  1. Einholung und Überprüfung von Informationen über die Herkunft der eingesetzten Mittel; solche Informationen können unter anderem die Berufs- bzw. Geschäftstätigkeit, das Einkommen bzw. das Geschäftsergebnis oder die allgemeinen Vermögensverhältnisse des Kunden und seiner wirtschaftlichen Eigentümer umfassen; […]
  2. kontinuierliche Überwachung der Geschäftsbeziehung, einschließlich einer Überprüfung der im Verlauf der Geschäftsbeziehung ausgeführten Transaktionen, um sicherzustellen, dass diese mit den Kenntnissen der Verpflichteten über den Kunden, seine Geschäftstätigkeit und sein Risikoprofil, einschließlich erforderlichenfalls der Herkunft der Mittel, übereinstimmen;
  3. regelmäßige Überprüfung des Vorhandenseins sämtlicher aufgrund dieses Bundesgesetzes erforderlichen Informationen, Daten und Dokumente sowie Aktualisierung dieser Informationen, Daten und Dokumente. […]Paragraph 6,

(1)Die Sorgfaltspflichten gegenüber Kunden umfassen:, 1. Feststellung der Identität des Kunden und Überprüfung der Identität auf der Grundlage von Dokumenten, Daten oder Informationen, die von einer glaubwürdigen und unabhängigen Quelle stammen, einschließlich elektronischer Mittel für die Identitätsfeststellung und einschlägiger Vertrauensdienste

der Verordnung (EU) Nr. 910 aus 2014, und anderer sicherer Verfahren zur Identifizierung aus der Ferne oder auf elektronischem Weg nach Maßgabe des Absatz 4,; […],

  1. Einholung und Überprüfung von Informationen über die Herkunft der eingesetzten Mittel; solche Informationen können unter anderem die Berufs- bzw. Geschäftstätigkeit, das Einkommen bzw. das Geschäftsergebnis oder die allgemeinen Vermögensverhältnisse des Kunden und seiner wirtschaftlichen Eigentümer umfassen; […],
  2. kontinuierliche Überwachung der Geschäftsbeziehung, einschließlich einer Überprüfung der im Verlauf der Geschäftsbeziehung ausgeführten Transaktionen, um sicherzustellen, dass diese mit den Kenntnissen der Verpflichteten über den Kunden, seine Geschäftstätigkeit und sein Risikoprofil, einschließlich erforderlichenfalls der Herkunft der Mittel, übereinstimmen;,
  3. regelmäßige Überprüfung des Vorhandenseins sämtlicher aufgrund dieses Bundesgesetzes erforderlichen Informationen, Daten und Dokumente sowie Aktualisierung dieser Informationen, Daten und Dokumente. […] Zeitpunkt der Anwendung der Sorgfaltspflichten § 7.

(1)Die Feststellung und Überprüfung der Identität des Kunden, des wirtschaftlichen Eigentümers, des Treugebers und des Treuhänders (§ 6 Abs. 1 Z 1, 2 und 5) und die Einholung und Überprüfung von Informationen über den Zweck und die angestrebte Art der Geschäftsbeziehung und über die Herkunft der eingesetzten Mittel (§ 6 Abs. 1 Z 3 und 4) hat vor Begründung einer Geschäftsbeziehung und vor Ausführung einer gelegentlichen Transaktion zu erfolgen. […]Paragraph 7,
(1)Die Feststellung und Überprüfung der Identität des Kunden, des wirtschaftlichen Eigentümers, des Treugebers und des Treuhänders (Paragraph 6, Absatz eins, Ziffer eins, 2 und 5) und die Einholung und Überprüfung von Informationen über den Zweck und die angestrebte Art der Geschäftsbeziehung und über die Herkunft der eingesetzten Mittel (Paragraph 6, Absatz eins, Ziffer 3 und 4) hat vor Begründung einer Geschäftsbeziehung und vor Ausführung einer gelegentlichen Transaktion zu erfolgen. […]
(6)Die Verpflichteten haben die Sorgfaltspflichten gegenüber Kunden nicht nur auf alle neuen Kunden, sondern zu geeigneter Zeit auch auf die bestehende Kundschaft auf risikobasierter Grundlage anzuwenden. Dies ist insbesondere dann der Fall, wenn sich bei einem Kunden maßgebliche Umstände ändern oder wenn der Verpflichtete rechtlich verpflichtet ist, den Kunden im Laufe des betreffenden Kalenderjahres zu kontaktieren, um etwaige einschlägige Informationen über den oder die wirtschaftlichen Eigentümer zu überprüfen, oder wenn der Verpflichtete

der Richtlinie 2011/16/EU des Rates dazu verpflichtet ist.

(7)Wenn die Verpflichteten ihren Sorgfaltspflichten gegenüber einem Kunden, mit Ausnahme von § 6 Abs. 1 Z 6 und 7 nicht nachkommen oder nachkommen können, dürfen sie keine Transaktion über ein Bankkonto vornehmen, keine Geschäftsbeziehung begründen und keine Transaktionen ausführen. Zudem müssen sie eine bereits bestehende Geschäftsbeziehung beenden. […]
(7)Wenn die Verpflichteten ihren Sorgfaltspflichten gegenüber einem Kunden, mit Ausnahme von Paragraph 6, Absatz eins, Ziffer 6 und 7 nicht nachkommen oder nachkommen können, dürfen sie keine Transaktion über ein Bankkonto vornehmen, keine Geschäftsbeziehung begründen und keine Transaktionen ausführen. Zudem müssen sie eine bereits bestehende Geschäftsbeziehung beenden. […] Vereinfachte Sorgfaltspflichten § 8.
(1)Wenn ein Verpflichteter aufgrund seiner Risikoanalyse (§ 4) feststellt, dass in bestimmten Bereichen nur ein geringes Risiko der Geldwäscherei oder Terrorismusfinanzierung besteht, so kann er vereinfachte Sorgfaltspflichten gegenüber Kunden anwenden. Hierbei sind die Risiken von Geldwäscherei und Terrorismusfinanzierung für bestimmte Arten von Kunden, geografische Gebiete und für bestimmte Produkte, Dienstleistungen, Transaktionen oder Vertriebskanäle zu bewerten und zumindest die in Anlage II dargelegten Faktoren für ein potenziell geringes Risiko zu berücksichtigen.Paragraph 8,
(1)Wenn ein Verpflichteter aufgrund seiner Risikoanalyse (Paragraph 4,) feststellt, dass in bestimmten Bereichen nur ein geringes Risiko der Geldwäscherei oder Terrorismusfinanzierung besteht, so kann er vereinfachte Sorgfaltspflichten gegenüber Kunden anwenden. Hierbei sind die Risiken von Geldwäscherei und Terrorismusfinanzierung für bestimmte Arten von Kunden, geografische Gebiete und für bestimmte Produkte, Dienstleistungen, Transaktionen oder Vertriebskanäle zu bewerten und zumindest die in Anlage römisch zwei dargelegten Faktoren für ein potenziell geringes Risiko zu berücksichtigen.
(2)Bevor die Verpflichteten vereinfachte Sorgfaltspflichten gegenüber einem Kunden anwenden, haben sie sich zu vergewissern, dass die konkrete Geschäftsbeziehung oder Transaktion tatsächlich mit einem geringen Risiko verbunden ist. Insbesondere dürfen sie nicht von einem geringen Risiko der Geldwäscherei oder der Terrorismusfinanzierung ausgehen, wenn die ihnen vorliegenden Informationen darauf schließen lassen, dass das Risiko der Geldwäscherei oder der Terrorismusfinanzierung möglicherweise nicht gering ist.
(3)Auch in jenen Bereichen, in denen die Verpflichteten vereinfachte Sorgfaltspflichten anwenden, haben sie die Transaktionen und die Geschäftsbeziehungen in ausreichendem Umfang zu überwachen, um die Aufdeckung ungewöhnlicher oder verdächtiger Transaktionen zu ermöglichen.
(4)Die Verpflichteten haben ausreichende Informationen aufzubewahren, um nachweisen zu können, dass die Voraussetzungen für die Anwendung der vereinfachten Sorgfaltspflichten vorliegen. […] Aufbewahrungspflichten und Datenschutz § 21.
(1)[…]Paragraph 21,
(1)[…]
(6)Die Verarbeitung personenbezogener Daten auf Grundlage dieses Bundesgesetzes, zu Zwecken der Verhinderung von Geldwäscherei und Terrorismusfinanzierung ist als Angelegenheit von öffentlichem Interesse

der Verordnung (EU) 2016/679 anzusehen. […] Strafbestimmungen und Veröffentlichungen Pflichtverletzungen § 34.

(1)Wer als Verantwortlicher (§ 9 VStG) eines Verpflichteten, die Pflichten

  1. § 4 (Durchführung, Aufzeichnung und Aktualisierung der Risikoanalyse),
  2. § 5 bis § 12 (Sorgfaltspflichten gegenüber Kunden) und der aufgrund von § 6 Abs. 4, § 8 Abs. 5 und § 9 Abs. 4 erlassenen Verordnungen der FMA, […]
  3. § 21 Abs. 1 bis 3 (Aufbewahrungspflichten) und der aufgrund von § 21 Abs. 3 erlassenen Verordnungen der FMA, […]Paragraph 34,

(1)Wer als Verantwortlicher (Paragraph 9, VStG) eines Verpflichteten, die Pflichten

,

  1. Paragraph 4, (Durchführung, Aufzeichnung und Aktualisierung der Risikoanalyse),,
  2. Paragraph 5 bis Paragraph 12, (Sorgfaltspflichten gegenüber Kunden) und der aufgrund von Paragraph 6, Absatz 4,, Paragraph 8, Absatz 5 und Paragraph 9, Absatz 4, erlassenen Verordnungen der FMA, […],
  3. Paragraph 21, Absatz eins bis 3 (Aufbewahrungspflichten) und der aufgrund von Paragraph 21, Absatz 3, erlassenen Verordnungen der FMA, […] verletzt, begeht eine Verwaltungsübertretung und ist von der FMA mit einer Geldstrafe bis zu 150 000 Euro zu bestrafen.

(2)Wenn es sich bei den Pflichtverletzungen

Abs. 1 Z 2, 4, 7, 9 und 10 um schwerwiegende, wiederholte oder systematische Verstöße oder eine Kombination davon handelt, beträgt die Geldstrafe bis zu 5 000 000 Euro oder bis zu dem Zweifachen des aus der Pflichtverletzung gezogenen Nutzens, soweit sich dieser beziffern lässt. […]

(2)Wenn es sich bei den Pflichtverletzungen

Absatz eins, Ziffer 2, 4, 7, 9 und 10 um schwerwiegende, wiederholte oder systematische Verstöße oder eine Kombination davon handelt, beträgt die Geldstrafe bis zu 5 000 000 Euro oder bis zu dem Zweifachen des aus der Pflichtverletzung gezogenen Nutzens, soweit sich dieser beziffern lässt. […] 3.2. Anwendung auf den gegenständlichen Fall: Zur Frage der Rechtfertigung der Datenverarbeitung durch die BF: Verfahrensgegenstand ist in Hinblick auf den Spruch und die Begründung des Bescheids der DSB vom XXXX .2022, ob die BF die mP dadurch in ihrem Recht auf Geheimhaltung verletzte, indem sie ihre Steuer-, Einkommens- und Kontodaten, die sie von der mP am XXXX .2020 und am XXXX .2021 auf ihre Aufforderung hin erhalten hat, anforderte und verarbeitete. Verfahrensgegenstand ist in Hinblick auf den Spruch und die Begründung des Bescheids der DSB vom römisch 40 .2022, ob die BF die mP dadurch in ihrem Recht auf Geheimhaltung verletzte, indem sie ihre Steuer-, Einkommens- und Kontodaten, die sie von der mP am römisch 40 .2020 und am römisch 40 .2021 auf ihre Aufforderung hin erhalten hat, anforderte und verarbeitete. Der erkennende Senat ist im Gegensatz zur DSB gegenständlich der Ansicht, dass die vorgenommene Verarbeitung durch Art. 6 Abs. 1 lit. e DSGVO gedeckt und daher rechtmäßig war. Der erkennende Senat ist im Gegensatz zur DSB gegenständlich der Ansicht, dass die vorgenommene Verarbeitung durch Artikel 6, Absatz eins, Litera e, DSGVO gedeckt und daher rechtmäßig war. Die BF ist Verpflichtete nach dem Finanzmarkt-Geldwäschegesetz (FM-GwG). Nach der für diese Regelungen zuständigen Behörde, der Finanzmarktaufsicht (FMA), können Geldwäscher:innen und Personen, die den Terrorismus finanzieren, nur dann davon abgehalten werden, das Finanzsystem für ihre Zwecke zu missbrauchen, wenn Verpflichtete ausreichend Informationen zur Identität ihrer Kund:innen und deren wirtschaftlich Berechtigten (Treugeber:innen, wirtschaftliche Eigentümer:innen), zum Zweck und zur Art der angestrebten Geschäftsbeziehung und zur Herkunft der eingesetzten Mittel eingeholt haben, diese Informationen regelmäßig aktualisieren und die Geschäftsbeziehung kontinuierlich überwachen (vgl. FMA, Rundschreiben Sorgfaltspflichten, 2022). Die BF ist Verpflichtete nach dem Finanzmarkt-Geldwäschegesetz (FM-GwG). Nach der für diese Regelungen zuständigen Behörde, der Finanzmarktaufsicht (FMA), können Geldwäscher:innen und Personen, die den Terrorismus finanzieren, nur dann davon abgehalten werden, das Finanzsystem für ihre Zwecke zu missbrauchen, wenn Verpflichtete ausreichend Informationen zur Identität ihrer Kund:innen und deren wirtschaftlich Berechtigten (Treugeber:innen, wirtschaftliche Eigentümer:innen), zum Zweck und zur Art der angestrebten Geschäftsbeziehung und zur Herkunft der eingesetzten Mittel eingeholt haben, diese Informationen regelmäßig aktualisieren und die Geschäftsbeziehung kontinuierlich überwachen vergleiche FMA, Rundschreiben Sorgfaltspflichten, 2022). Im FM-GwG werden die Vorschriften zur Verhinderung der Geldwäsche und Terrorismusfinanzierung für Kredit- und Finanzinstitute zusammengefasst. In weiten Teilen übernimmt das FM-GwG Regelungen aus dem BWG und dem VAG 2016 (vgl. RV 1335 der Beilagen XXV, Erläuterungen).

§ 21Abs. 6 FM-Gw

G ist die Verarbeitung personenbezogener Daten auf Grundlage dieses Bundesgesetzes zu Zwecken der Verhinderung von Geldwäsche und Terrorismusfinanzierung als Angelegenheit im öffentlichen Interesse

der DSGVO anzusehen. Im FM-GwG werden die Vorschriften zur Verhinderung der Geldwäsche und Terrorismusfinanzierung für Kredit- und Finanzinstitute zusammengefasst. In weiten Teilen übernimmt das FM-GwG Regelungen aus dem BWG und dem VAG 2016 vergleiche Regierungsvorlage 1335 der Beilagen römisch 25 , Erläuterungen).

Paragraph 21, Absatz 6, FM-GwG ist die Verarbeitung personenbezogener Daten auf Grundlage dieses Bundesgesetzes zu Zwecken der Verhinderung von Geldwäsche und Terrorismusfinanzierung als Angelegenheit im öffentlichen Interesse

der DSGVO anzusehen. Die entsprechenden und hier bedeutsamen Bestimmungen des FM-GwG finden sich in den § 5-8 FM-GwG, die sich mit der Anwendung von Sorgfaltspflichten, ihrem Umfang, dem Zeitpunkt ihrer Anwendung und den vereinfachten Sorgfaltspflichten befassen (siehe oben unter 3.1.). Die entsprechenden und hier bedeutsamen Bestimmungen des FM-GwG finden sich in den Paragraph 5 -, 8, FM-GwG, die sich mit der Anwendung von Sorgfaltspflichten, ihrem Umfang, dem Zeitpunkt ihrer Anwendung und den vereinfachten Sorgfaltspflichten befassen (siehe oben unter 3.1.). § 5 FM-GwG zählt jene Fälle auf, in denen die Sorgfaltspflichten des § 6 FM-GwG anzuwenden sind. Durch § 6 Abs. 5 FM-GwG wird die erforderliche Risikoorientierung für die Anwendung der Sorgfaltspflichten festgelegt. Die Risikobewertung auf Kundenebene stellt die Grundlage einer risikoorientierten und angemessenen Anwendung der Sorgfaltspflichten dar. Verpflichtete müssen die Angemessenheit der implementierten Maßnahmen der FMA gegenüber nachweisen können (vgl. FMA, Rundschreiben Sorgfaltspflichten, 2022).Paragraph 5, FM-GwG zählt jene Fälle auf, in denen die Sorgfaltspflichten des Paragraph 6, FM-GwG anzuwenden sind. Durch Paragraph 6, Absatz 5, FM-GwG wird die erforderliche Risikoorientierung für die Anwendung der Sorgfaltspflichten festgelegt. Die Risikobewertung auf Kundenebene stellt die Grundlage einer risikoorientierten und angemessenen Anwendung der Sorgfaltspflichten dar. Verpflichtete müssen die Angemessenheit der implementierten Maßnahmen der FMA gegenüber nachweisen können vergleiche FMA, Rundschreiben Sorgfaltspflichten, 2022). Im gegenständlichen Fall wurde die mP während einer langjährig bestehenden Geschäftsbeziehung mit der (Vorgängerin der) BF aufgefordert, Unterlagen zur Mittelherkunft vorzulegen. Zeitpunkt der Anwendung der Sorgfaltspflichten: Sorgfaltspflichten sind nicht nur zu Beginn einer Geschäftsbeziehung anzuwenden, sondern im Laufe der gesamten Geschäftsbeziehung immer wieder. Wie lange die Aktualisierungsperioden sein sollten, ist risikoorientiert zu ermitteln (vgl. Klenner in Hörtner/Trautmann, Praxishandbuch FM-GwG

(2020)§ 7 (Stand 1.10.2020, rdb.at), RZ 10, und 13, siehe auch FMA, Rundschreiben Sorgfaltspflichten, 2022, RZ 299). Zeitpunkt der Anwendung der Sorgfaltspflichten: Sorgfaltspflichten sind nicht nur zu Beginn einer Geschäftsbeziehung anzuwenden, sondern im Laufe der gesamten Geschäftsbeziehung immer wieder. Wie lange die Aktualisierungsperioden sein sollten, ist risikoorientiert zu ermitteln vergleiche Klenner in Hörtner/Trautmann, Praxishandbuch FM-GwG
(2020)Paragraph 7, (Stand 1.10.2020, rdb.at), RZ 10, und 13, siehe auch FMA, Rundschreiben Sorgfaltspflichten, 2022, RZ 299). Wenn der:die Kund:in einen Anlass gibt, dann sind seine:ihre Unterlagen zu aktualisieren. Das bedeutet nicht nur, wenn der:die Kund:in eine Änderung bekannt gibt, sondern auch, wenn die verpflichtete Bank auf irgendeine andere Art und Weise Kenntnis von einer Änderung erlangt. Sind es Änderungen, die sich auf die Geschäftsbeziehung auswirken können, ist der:die Kund:in aufzufordern, eine aktuelle Dokumentation zu überbringen. Der:die Kund:in hat eine gewisse Mitwirkungspflicht, die sich aus § 7 Abs. 3 FM-GwG ergibt. Die anlassbezogene Aktualisierung bedeutet nicht, dass zwingend alle Unterlagen und Dokumente zur aktualisieren sind. Es sind alle Dokumente regelmäßig zu aktualisieren, die zur Erfüllung der Sorgfaltspflichten

§ 6Abs. 1 FM-GwG notwendig sind (vgl. Klenner in Hörtner/Trautmann, Praxishandbuch FM-GwG

(2020)§ 7 (Stand 1.10.2020, rdb.at), RZ 15 und 16).Wenn der:die Kund:in einen Anlass gibt, dann sind seine:ihre Unterlagen zu aktualisieren. Das bedeutet nicht nur, wenn der:die Kund:in eine Änderung bekannt gibt, sondern auch, wenn die verpflichtete Bank auf irgendeine andere Art und Weise Kenntnis von einer Änderung erlangt. Sind es Änderungen, die sich auf die Geschäftsbeziehung auswirken können, ist der:die Kund:in aufzufordern, eine aktuelle Dokumentation zu überbringen. Der:die Kund:in hat eine gewisse Mitwirkungspflicht, die sich aus Paragraph 7, Absatz 3, FM-GwG ergibt. Die anlassbezogene Aktualisierung bedeutet nicht, dass zwingend alle Unterlagen und Dokumente zur aktualisieren sind. Es sind alle Dokumente regelmäßig zu aktualisieren, die zur Erfüllung der Sorgfaltspflichten

Paragraph 6, Absatz eins, FM-GwG notwendig sind vergleiche Klenner in Hörtner/Trautmann, Praxishandbuch FM-GwG

(2020)Paragraph 7, (Stand 1.10.2020, rdb.at), RZ 15 und 16). Die zitierte Passage verweist ua auch auf den notwendigen Nachweis der Mittelherkunft in § 6 Abs. 1 Z 4 FM-GwG, wonach Informationen über die Herkunft der eingesetzten Mittel (vor Begründung der Geschäftsbeziehung oder vor Durchführung einer gelegentlichen Transaktion) einzuholen sind. Beispielhaft sind etwa die Berufs- oder Geschäftstätigkeit, das Einkommen bzw. Geschäftsergebnis oder die allgemeinen Vermögensverhältnisse des:der Kund:in und der wirtschaftlichen Eigentümer:innen zu erfragen. Untermauert werden können diese Informationen etwa mittels Einkommensteuerbescheiden, laufenden Gehaltsgutschriften auf einem Konto, Schenkungs-, und Warenlieferungsverträgen sowie Bilanzen, Bescheinigungen über Gewerbeberechtigungen oder ähnlichem (vgl. FMA, Rundschreiben Sorgfaltspflichten, 2022, RZ 219). Die zitierte Passage verweist ua auch auf den notwendigen Nachweis der Mittelherkunft in Paragraph 6, Absatz eins, Ziffer 4, FM-GwG, wonach Informationen über die Herkunft der eingesetzten Mittel (vor Begründung der Geschäftsbeziehung oder vor Durchführung einer gelegentlichen Transaktion) einzuholen sind. Beispielhaft sind etwa die Berufs- oder Geschäftstätigkeit, das Einkommen bzw. Geschäftsergebnis oder die allgemeinen Vermögensverhältnisse des:der Kund:in und der wirtschaftlichen Eigentümer:innen zu erfragen. Untermauert werden können diese Informationen etwa mittels Einkommensteuerbescheiden, laufenden Gehaltsgutschriften auf einem Konto, Schenkungs-, und Warenlieferungsverträgen sowie Bilanzen, Bescheinigungen über Gewerbeberechtigungen oder ähnlichem vergleiche FMA, Rundschreiben Sorgfaltspflichten, 2022, RZ 219). Die DSB weist in ihren Eingaben wiederholt darauf hin, dass es in Bezug auf die mP keinerlei Hinweise oder Indizien gegeben habe, wonach bei dieser ein Risiko iZm Geldwäsche und Terrorismusfinanzierung vorliegen würde. Nach der DSB habe deswegen keinerlei Anlass für eine Aktualisierung der Unterlagen zur Mittelherkunft bestanden. Anlassfälle, die auf Änderungen beim:bei der Kund:in hinweisen und daher Aktualisierungsmaßnahmen auslösen können, ergeben sich z.B. aufgrund eines geänderten Transaktionsverhaltens oder aufgrund von Auffälligkeiten im Transaktionsverhalten oder wenn zum:zur Kund:in neue Gegebenheiten bekannt werden. Wenn der:die Kund:in zusätzliche bzw. andere Produkte abschließen möchte, kann aufgrund der unter Umständen neuen oder aktuelleren Informationen ebenfalls die Notwendigkeit bestehen, Aktualisierungsmaßnahmen zu setzen. Festzuhalten bleibt, dass eine solche anlassfallbezogene Aktualisierung nicht bedeutet, dass zwingend alle Unterlagen und Dokumente eines:einer Kund:in zu aktualisieren sind (vgl. FMA Rundschreiben Sorgfaltspflichten, 2022, RZ 241). Anlassfälle, die auf Änderungen beim:bei der Kund:in hinweisen und daher Aktualisierungsmaßnahmen auslösen können, ergeben sich z.B. aufgrund eines geänderten Transaktionsverhaltens oder aufgrund von Auffälligkeiten im Transaktionsverhalten oder wenn zum:zur Kund:in neue Gegebenheiten bekannt werden. Wenn der:die Kund:in zusätzliche bzw. andere Produkte abschließen möchte, kann aufgrund der unter Umständen neuen oder aktuelleren Informationen ebenfalls die Notwendigkeit bestehen, Aktualisierungsmaßnahmen zu setzen. Festzuhalten bleibt, dass eine solche anlassfallbezogene Aktualisierung nicht bedeutet, dass zwingend alle Unterlagen und Dokumente eines:einer Kund:in zu aktualisieren sind vergleiche FMA Rundschreiben Sorgfaltspflichten, 2022, RZ 241). Während gegenständlich auch die BF nicht vorbringt, dass ein geändertes Transaktionsverhalten der mP Auslöser für die Nachfrage gewesen ist, gab diese einen weiteren Wohnsitzwechsel bekannt und legte einen anderen Reisepass als bei Vertragsabschluss vor. Darüber hinaus hatte die BF bis dahin noch überhaupt keine routinemäßige Datenaktualisierung bei der mP seit Aufnahme der Geschäftsbeziehungen durchgeführt. In ihrer Kommunikation mit der mP wies die BF schließlich auch darauf hin, dass aufgrund rechtlicher Bestimmung bei allen Kund:innen eine Aktualisierung der Unterlagen vorgenommen wird, worüber auch per Newsletter informiert worden war.

§ 7Abs. 6 FM-Gw

G haben Verpflichtete die Sorgfaltspflichten nicht nur auf alle neuen Kund:innen, sondern zu geeigneter Zeit auch auf die bestehende Kundschaft auf risikobasierter Grundlage anzuwenden. Dies ist insbesondere dann der Fall, wenn sich bei Kund:innen maßgebliche Umstände ändern oder wenn der:die Verpflichtete rechtlich verpflichtet ist, den:die Kund:in im laufenden Kalenderjahr in Bezug auf den:die wirtschaftliche:n Eigentümer:innen zu kontaktieren oder wenn hiezu eine Verpflichtung

Richtlinie 2011/16/EU besteht. Dadurch sollte sichergestellt werden, dass Verpflichtete zur Implementierung der mit 01.01.2008 neu geforderten Maßnahmen, die im Rahmen der Umsetzung der 3. Geldwäsche-RL eingeführt wurden, ausreichend Zeit hatten, diese auch umzusetzen. Insbesondere sollten die entsprechenden Maßnahmen gesetzt werden, sobald es der eigene Geschäftsgang des:der Verpflichteten ohne einen unzumutbaren Aufwand für den:die Kund:in zuließ. Durch die Bestimmung des § 7 Abs. 6 FM-GwG soll den Verpflichteten nunmehr ausreichend Zeit eingeräumt werden, die Neuerungen durch das FM-GwG entsprechend zu berücksichtigen.

Paragraph 7, Absatz 6, FM-GwG haben Verpflichtete die Sorgfaltspflichten nicht nur auf alle neuen Kund:innen, sondern zu geeigneter Zeit auch auf die bestehende Kundschaft auf risikobasierter Grundlage anzuwenden. Dies ist insbesondere dann der Fall, wenn sich bei Kund:innen maßgebliche Umstände ändern oder wenn der:die Verpflichtete rechtlich verpflichtet ist, den:die Kund:in im laufenden Kalenderjahr in Bezug auf den:die wirtschaftliche:n Eigentümer:innen zu kontaktieren oder wenn hiezu eine Verpflichtung

Richtlinie 2011/16/EU besteht. Dadurch sollte sichergestellt werden, dass Verpflichtete zur Implementierung der mit 01.01.2008 neu geforderten Maßnahmen, die im Rahmen der Umsetzung der 3. Geldwäsche-RL eingeführt wurden, ausreichend Zeit hatten, diese auch umzusetzen. Insbesondere sollten die entsprechenden Maßnahmen gesetzt werden, sobald es der eigene Geschäftsgang des:der Verpflichteten ohne einen unzumutbaren Aufwand für den:die Kund:in zuließ. Durch die Bestimmung des Paragraph 7, Absatz 6, FM-GwG soll den Verpflichteten nunmehr ausreichend Zeit eingeräumt werden, die Neuerungen durch das FM-GwG entsprechend zu berücksichtigen. Die mit dem FM-GwG einhergehenden Neuerungen bei den Sorgfaltspflichten sind bei Bestands:kundinnen jedenfalls dann anzuwenden, wenn es bei diesen zu einer Änderung maßgeblicher Umstände kommt. Solche maßgeblichen Umstände können beispielsweise sein: Änderung der Geschäftstätigkeit, Verlegung des Wohnsitzes oder Firmensitzes, Änderung der wirtschaftlichen Eigentümer:innen, Änderung des:der Verfügungsberechtigten (vgl. FMA Rundschreiben Sorgfaltspflichten, 2022, 299, 300).Die mit dem FM-GwG einhergehenden Neuerungen bei den Sorgfaltspflichten sind bei Bestands:kundinnen jedenfalls dann anzuwenden, wenn es bei diesen zu einer Änderung maßgeblicher Umstände kommt. Solche maßgeblichen Umstände können beispielsweise sein: Änderung der Geschäftstätigkeit, Verlegung des Wohnsitzes oder Firmensitzes, Änderung der wirtschaftlichen Eigentümer:innen, Änderung des:der Verfügungsberechtigten vergleiche FMA Rundschreiben Sorgfaltspflichten, 2022, 299, 300). Darüber hinaus geht das FM-GwG in seinem § 8 konkret auf den Umgang mit Kund:innen mit niedrigem Risikoprofil ein: in diese Einschätzung, ob es sich um ein niedriges Risiko handelt, kann die Verpflichtete gerade auch auf die von der DSB erwähnten geographischen Gebiete mit weniger Risiko eingehen (vgl. Anhang II: EU-Mitgliedstaaten). Darüber hinaus geht das FM-GwG in seinem Paragraph 8, konkret auf den Umgang mit Kund:innen mit niedrigem Risikoprofil ein: in diese Einschätzung, ob es sich um ein niedriges Risiko handelt, kann die Verpflichtete gerade auch auf die von der DSB erwähnten geographischen Gebiete mit weniger Risiko eingehen vergleiche Anhang II: EU-Mitgliedstaaten). Verpflichtete müssen [aber dennoch]

§ 8Abs. 2 und Abs. 3 FM-Gw

G weiterhin ein gewisses Mindestmaß an Informationen über Kund:innen, bei denen vereinfachte Sorgfaltspflichten angewendet werden, einholen, um überhaupt beurteilen zu können, ob vereinfachte Sorgfaltspflichten konkret zur Anwendung kommen können. Es kann daher im Rahmen der vereinfachten Sorgfaltspflichten keinesfalls zu einem kompletten Entfall der Sorgfaltspflichten kommen, vielmehr kann der Umfang der Sorgfaltspflichten in Anwendung des risikobasierten Ansatzes angemessen reduziert werden. Insbesondere sind diese Kund:innen anhand der notwendigen Identitätsangaben zu identifizieren. Darüber hinaus sind auch bei diesen Kund:innen die Transaktionen und die Geschäftsbeziehungen in ausreichendem Umfang zu überwachen, um die Aufdeckung ungewöhnlicher oder verdächtiger Transaktionen zu ermöglichen (vgl. FMA Rundschreiben Sorgfaltspflichten, 2022, 312). Verpflichtete müssen [aber dennoch]

Paragraph 8, Absatz 2 und Absatz 3, FM-GwG weiterhin ein gewisses Mindestmaß an Informationen über Kund:innen, bei denen vereinfachte Sorgfaltspflichten angewendet werden, einholen, um überhaupt beurteilen zu können, ob vereinfachte Sorgfaltspflichten konkret zur Anwendung kommen können. Es kann daher im Rahmen der vereinfachten Sorgfaltspflichten keinesfalls zu einem kompletten Entfall der Sorgfaltspflichten kommen, vielmehr kann der Umfang der Sorgfaltspflichten in Anwendung des risikobasierten Ansatzes angemessen reduziert werden. Insbesondere sind diese Kund:innen anhand der notwendigen Identitätsangaben zu identifizieren. Darüber hinaus sind auch bei diesen Kund:innen die Transaktionen und die Geschäftsbeziehungen in ausreichendem Umfang zu überwachen, um die Aufdeckung ungewöhnlicher oder verdächtiger Transaktionen zu ermöglichen vergleiche FMA Rundschreiben Sorgfaltspflichten, 2022, 312).

§ 8Abs.

4 FM-GWG haben Verpflichtete ausreichende Informationen aufzubewahren, um nachweisen zu können, dass die Voraussetzungen für die Anwendung der vereinfachten Sorgfaltspflichten erfüllt sind. Daher haben Verpflichtete über eine ausreichende Dokumentation zu verfügen, um gegenüber der FMA nachweisen zu können, wie sie zum Ergebnis gekommen sind, dass für bestimmte Bereiche nur ein geringes Risiko der Geldwäscherei und der Terrorismusfinanzierung besteht (vgl. ebda 314).

Paragraph 8, Absatz 4, FM-GWG haben Verpflichtete ausreichende Informationen aufzubewahren, um nachweisen zu können, dass die Voraussetzungen für die Anwendung der vereinfachten Sorgfaltspflichten erfüllt sind. Daher haben Verpflichtete über eine ausreichende Dokumentation zu verfügen, um gegenüber der FMA nachweisen zu können, wie sie zum Ergebnis gekommen sind, dass für bestimmte Bereiche nur ein geringes Risiko der Geldwäscherei und der Terrorismusfinanzierung besteht vergleiche ebda 314). Außerdem müssen Verpflichtete, um dies gegenüber der FMA nachweisen zu können, ausreichend dokumentieren, dass die Voraussetzungen für die Anwendung der vereinfachten Sorgfaltspflichten fortdauernd und nicht nur im Zeitpunkt der Begründung einer Geschäftsbeziehung erfüllt sind. In angemessenen Abständen sind auch Kontrollhandlungen zu setzen, um das fortdauernde Vorliegen der Voraussetzungen überprüfen zu können (vgl. ebda, 315).Außerdem müssen Verpflichtete, um dies gegenüber der FMA nachweisen zu können, ausreichend dokumentieren, dass die Voraussetzungen für die Anwendung der vereinfachten Sorgfaltspflichten fortdauernd und nicht nur im Zeitpunkt der Begründung einer Geschäftsbeziehung erfüllt sind. In angemessenen Abständen sind auch Kontrollhandlungen zu setzen, um das fortdauernde Vorliegen der Voraussetzungen überprüfen zu können vergleiche ebda, 315). Näher ausgestaltet dargestellt wird dieses Vorgehen in der Kommentierung zum FM-GwG: Bei Kund:innen mit niedrigem Risiko ist eine anlassfallbezogene Aktualisierung der Daten und Informationen ausreichend. „Anlassfallbezogen“ bedeutet zum Beispiel ein weiterer Produktabschluss oder ein auffälliges Kundenverhalten. Die Datenaktualisierung wird sich bei Kund:innen mit niedrigem Risiko im Wesentlichen auf eine Veränderungsprüfung beschränken. Haben sich keine Änderungen ergeben, wird bloß diese Tatsache dokumentiert. Werden Änderungen festgestellt, sind diese entsprechend zu dokumentieren. Bei einer Namensänderung ist beispielsweise entweder die Heiratsurkunde hereinzunehmen oder ein bereits auf den neuen Namen ausgestelltes Ausweisdokument. Adressänderungen sind nicht nur zu Vertriebszwecken zu dokumentieren, sondern auch aus Geldwäsche- und Terrorismusfinanzierungspräventionsgründen, da sich dadurch die Risikoeinstufung der Kund:innen ändern kann: zB: österreichische Staatsbürger:innen, die bisher in Österreich gelebt haben, verlegen einen Wohnsitz in ein Hochrisikoland. Ändert sich Art und Zweck der Geschäftsbeziehung dahingehend, dass Kund:innen von einer unselbstständigen Erwerbstätigkeit in die Selbständigkeit wechseln, sind einerseits Unterlagen zur selbständigen Erwerbstätigkeit beizubringen (zum Beispiel: Firmenbuchauszug, Gewerbeschein, Gesellschaftervertrag etc.), und andererseits ist die Kundenanlage entsprechend zu aktualisieren. Diese Aktualisierung muss auch Veränderungen des Transaktionsverhaltens berücksichtigen. Bei wesentlichen Veränderungen der Vermögensverhältnisse ist jedenfalls die wirtschaftliche Geldmittelherkunft zu dokumentieren. Eine wesentliche Veränderung der Vermögensverhältnisse liegt dann vor, wenn der zu erwartende oder bereits erfolgte Vermögenseingang nicht aus der ordentlichen Geschäftstätigkeit der Kund:innen stammt. Dies wird in der Praxis oftmals auf Erbschaften, Schenkungen, Grundstücksverkäufe, Gewinne im Glückspielbereich etc. zurückzuführen sein (vgl. Reiher/Potocnik in Hörtner/Trautmann, Praxishandbuch FM-GwG

(2020)§ 8 (Stand 1.10.2020, rdb.at) RZ 36, 37).Bei wesentlichen Veränderungen der Vermögensverhältnisse ist jedenfalls die wirtschaftliche Geldmittelherkunft zu dokumentieren. Eine wesentliche Veränderung der Vermögensverhältnisse liegt dann vor, wenn der zu erwartende oder bereits erfolgte Vermögenseingang nicht aus der ordentlichen Geschäftstätigkeit der Kund:innen stammt. Dies wird in der Praxis oftmals auf Erbschaften, Schenkungen, Grundstücksverkäufe, Gewinne im Glückspielbereich etc. zurückzuführen sein vergleiche Reiher/Potocnik in Hörtner/Trautmann, Praxishandbuch FM-GwG
(2020)Paragraph 8, (Stand 1.10.2020, rdb.at) RZ 36, 37). Nach der gerade dargestellten Kommentierung obliegt es demnach einer Verpflichteten nach dem FM-GwG auch Bestands- und Niedrigrisikokund:innen gegenüber in angemessenen zeitlichen Abständen ihren Sorgfaltspflichten nachzukommen, die eine Überprüfung der Mittelherkunft nach sich ziehen können. Im gegenständlichen Fall bestand bereits eine sehr lange Geschäftsbeziehung zwischen der mP und der BF, während der die mP mehrfach innereuropäisch den Wohnsitz wechselte, und sich ihr Einkommensbezug änderte. Nach von der mP initiierter Bekanntgabe eines neuerlichen Adresswechsels sowie der Vorlage eines anderen (eines ungarischen und keines XXXX ) Identitätsdokuments fragte die BF erstmalig Ende 2020 wegen der Mittelherkunft eingehender bei der mP nach, forderte entsprechende Unterlagen, und damit personenbezogene Daten der mP, an und verarbeitete diese demnach im datenschutzrechtlichen Sinn. Die BF unterliegt ihrer Aufsichtsbehörde nach dem FM-GwG (der FMA) dahingehend einer Rechenschaftspflicht, als dass sie dieser gegenüber nachweisen und dokumentieren muss, warum sie Kund:innen als Niedrigrisikokund:innen einstufte, und warum sich dieser Status über die Zeit nicht ändert. Sie hat in angemessenen Zeiträumen routinemäßig sowie anlassbezogen Kontrollen, ua zur Mittelherkunft, auch ihrer Bestandskund:innen vorzunehmen. An eine Verletzung ihrer Sorgfalts- und Dokumentationspflichten sind für die Verpflichtete ua verwaltungsstrafrechtliche Konsequenzen geknüpft. Nach der gerade dargestellten Kommentierung obliegt es demnach einer Verpflichteten nach dem FM-GwG auch Bestands- und Niedrigrisikokund:innen gegenüber in angemessenen zeitlichen Abständen ihren Sorgfaltspflichten nachzukommen, die eine Überprüfung der Mittelherkunft nach sich ziehen können. Im gegenständlichen Fall bestand bereits eine sehr lange Geschäftsbeziehung zwischen der mP und der BF, während der die mP mehrfach innereuropäisch den Wohnsitz wechselte, und sich ihr Einkommensbezug änderte. Nach von der mP initiierter Bekanntgabe eines neuerlichen Adresswechsels sowie der Vorlage eines anderen (eines ungarischen und keines römisch 40 ) Identitätsdokuments fragte die BF erstmalig Ende 2020 wegen der Mittelherkunft eingehender bei der mP nach, forderte entsprechende Unterlagen, und damit personenbezogene Daten der mP, an und verarbeitete diese demnach im datenschutzrechtlichen Sinn. Die BF unterliegt ihrer Aufsichtsbehörde nach dem FM-GwG (der FMA) dahingehend einer Rechenschaftspflicht, als dass sie dieser gegenüber nachweisen und dokumentieren muss, warum sie Kund:innen als Niedrigrisikokund:innen einstufte, und warum sich dieser Status über die Zeit nicht ändert. Sie hat in angemessenen Zeiträumen routinemäßig sowie anlassbezogen Kontrollen, ua zur Mittelherkunft, auch ihrer Bestandskund:innen vorzunehmen. An eine Verletzung ihrer Sorgfalts- und Dokumentationspflichten sind für die Verpflichtete ua verwaltungsstrafrechtliche Konsequenzen geknüpft. Gegenständlich ist daher die Durchführung einer solchen Datenaktualisierung in Bezug auf die Mittelherkunft durch Anforderung von Einkommens-, Konto- und Steuerunterlagen als verhältnismäßig anzusehen: In diese Einschätzung fließt zusammengefasst ein, dass bei der mP seit Aufnahme der Geschäftsbeziehung keinerlei Datenaktualisierung vorgenommen wurde, sie innereuropäisch mehrfach den Wohnsitz wechselte und sie bei letzter Bekanntgabe einer neuer Adresse einen anderen Reisepass als bei Eröffnung der Geschäftsbeziehung vorlegte. Im Lichte dieses Sachverhalts und der Sorgfaltspflichten, der die BF unterliegt, war ihr Vorgehen der mP gegenüber jedenfalls nicht als exzessiv anzusehen. Wenn die DSB schließlich im Rahmen der mündlichen Verhandlung anmerkt, dass entsprechende Sorgfaltspflichten zur Mittelherkunft auch die Bank, die das Konto führt, mit dem die Kreditkarte abgedeckt wird, treffen und – erkennbar – damit erfüllt seien, so unterliegt die BF selbst dem FM-GwG und den damit verbundenen Verpflichtungen iZm den durch sie vorgenommenen Transaktionen. Diesen kann sie sich nicht mit Verweis auf die von einer anderen Bank für andere Dienstleistungen wahrzunehmenden Sorgfaltspflichten entziehen. Die BF steht in einem Spannungsverhältnis zwischen ihren Pflichten aus der Geldwäsche- und Terrorismusfinanzierungsprävention und sonstigen rechtlichen Pflichten, auch solchen aus dem Datenschutz. Der angefochtene Bescheid der DSB nimmt diesbezüglich keine ausreichende Rücksicht auf die Sorgfaltspflichten der BF nach anderen Rechtsgrundlagen, wie hier nach dem FM-GwG, das europäische Rechtsgrundlagen umsetzt, und an die für die BF auch rechtliche und verwaltungsstrafrechtliche Konsequenzen bei Nichteinhaltung geknüpft sind. Nach Art. 6 Abs. 1 lit. e DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie ua im öffentlichen Interesse liegt. Die Rechtsgrundlage für die Verarbeitung muss dabei durch Unionsrecht oder das Recht des Mitgliedsaaten festgelegt werden, dem der:die Verantwortliche unterliegt (Art. 6 Abs. 3). Wie sich aus ErwGr 45 S 6 ergibt, wird von Art. 6 Abs. 1 lit e nicht nur die Verarbeitung durch eine Behörde oder eine andere unter das öffentliche Recht fallende natürliche oder juristische Person erfasst, sondern auch jene durch natürliche oder juristische Personen des Privatrechts (wie bspw eine Berufsvereinigung) (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO (Stand 7.5.2020, rdb.at), RZ 45, 46). Nach Artikel 6, Absatz eins, Litera e, DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie ua im öffentlichen Interesse liegt. Die Rechtsgrundlage für die Verarbeitung muss dabei durch Unionsrecht oder das Recht des Mitgliedsaaten festgelegt werden, dem der:die Verantwortliche unterliegt (Artikel 6, Absatz 3,). Wie sich aus ErwGr 45 S 6 ergibt, wird von Artikel 6, Absatz eins, Litera e, nicht nur die Verarbeitung durch eine Behörde oder eine andere unter das öffentliche Recht fallende natürliche oder juristische Person erfasst, sondern auch jene durch natürliche oder juristische Personen des Privatrechts (wie bspw eine Berufsvereinigung) vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO (Stand 7.5.2020, rdb.at), RZ 45, 46). Dass es sich bei der Datenverarbeitung nach dem FM-GwG zu Zwecken der Verhinderung von Geldwäsche und Terrorismusfinanzierung um eine Angelegenheit des öffentlichen Interesses handelt, legt das FM-GwG in seinem § 21 Abs. 6 selbst fest. Hinweise darauf, dass das FM-GwG keine taugliche Rechtsgrundlage für die Verarbeitung iSd Art. 6 Abs. 3 DSGVO darstellt, kamen im Verfahren nicht hervor. Dass es sich bei der Datenverarbeitung nach dem FM-GwG zu Zwecken der Verhinderung von Geldwäsche und Terrorismusfinanzierung um eine Angelegenheit des öffentlichen Interesses handelt, legt das FM-GwG in seinem Paragraph 21, Absatz 6, selbst fest. Hinweise darauf, dass das FM-GwG keine taugliche Rechtsgrundlage für die Verarbeitung iSd Artikel 6, Absatz 3, DSGVO darstellt, kamen im Verfahren nicht hervor. Demnach war die vorgenommene Datenverarbeitung durch die BF von Einkommens-, Konto- und Steuerdaten der mP, die die BF angefordert und erhalten hat, durch den Rechtfertigungsgrund des Art. 6 Abs. 1 lit e DSGVO gedeckt. Demnach war die vorgenommene Datenverarbeitung durch die BF von Einkommens-, Konto- und Steuerdaten der mP, die die BF angefordert und erhalten hat, durch den Rechtfertigungsgrund des Artikel 6, Absatz eins, Litera e, DSGVO gedeckt. Löschung: Da die gerügte Verarbeitung rechtmäßig war, kann der von der DSB in ihrem Spruchpunkt II angewendete Löschungsgrund des Art. 17 Abs. 1 lit. d DSGVO nicht greifen. Da die gerügte Verarbeitung rechtmäßig war, kann der von der DSB in ihrem Spruchpunkt römisch zwei angewendete Löschungsgrund des Artikel 17, Absatz eins, Litera d, DSGVO nicht greifen. Sonstige Vorbringen: Im Lichte dieses Ergebnisses ist auf die weiteren Vorbringen der Parteien iZm der Übersetzung der Verfahrensunterlagen und des berechtigten Interesses an einer Aufbewahrung der Unterlagen zur Verteidigung von Rechtsansprüchen nicht mehr einzugehen. Zuständigkeit der DSB:

Art. 55Abs.

2 DSGVO ist die Aufsichtsbehörde des betroffenen Mitgliedstaates zuständig, wenn eine Verarbeitung durch Behörden oder private Stellen auf Grundlage von Art. 6 Abs. 1 lit. c und e DSGVO erfolgt. In einem solchen Fall findet Art. 56 DSGVO (Zuständigkeit der federführenden Aufsichtsbehörde) keine Anwendung (siehe auch ErwG 128).

Artikel 55

, Absatz 2, DSGVO ist die Aufsichtsbehörde des betroffenen Mitgliedstaates zuständig, wenn eine Verarbeitung durch Behörden oder private Stellen auf Grundlage von Artikel 6, Absatz eins, Litera c und e DSGVO erfolgt. In einem solchen Fall findet Artikel 56, DSGVO (Zuständigkeit der federführenden Aufsichtsbehörde) keine Anwendung (siehe auch ErwG 128). Demnach bleibt für ein Verfahren der Zusammenarbeit mit der ungarischen Aufsichtsbehörde und der Anwendung der Vorschriften des Art. 60 DSGVO kein Raum. Es besteht eine alleinige Zuständigkeit der DSB zur Führung des gegenständlichen Beschwerdeverfahrens der mP gegen die BF. Demnach bleibt für ein Verfahren der Zusammenarbeit mit der ungarischen Aufsichtsbehörde und der Anwendung der Vorschriften des Artikel 60, DSGVO kein Raum. Es besteht eine alleinige Zuständigkeit der DSB zur Führung des gegenständlichen Beschwerdeverfahrens der mP gegen die BF. Aus diesem Grund liegt dem gegenständlichen Verfahren auch nicht die Zuständigkeitsaufteilung des Art. 60 Abs. 8 und 9 DSGVO zugrunde, sondern ist/wäre die DSB auch für einen die Beschwerde abweisenden Bescheid zuständig (gewesen). Aus diesem Grund liegt dem gegenständlichen Verfahren auch nicht die Zuständigkeitsaufteilung des Artikel 60, Absatz 8 und 9 DSGVO zugrunde, sondern ist/wäre die DSB auch für einen die Beschwerde abweisenden Bescheid zuständig (gewesen). Zu B) Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch liegen sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Der Wortlaut der angewandten Bestimmungen ist eindeutig. Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch liegen sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Der Wortlaut der angewandten Bestimmungen ist eindeutig. Im Übrigen war eine auf die Umstände des Einzelfalls bezogene Prüfung vorzunehmen. Es war somit insgesamt spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:BVWG:2024:W211.2261811.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.