Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde (ErwGr 74). (Hödl in Knyrim,
, DSGVO Rz 77 (Stand 1.12.2018, rdb.at)) Die Rolle des für die Verarbeitung Verantwortlichen definiert sich durch drei Merkmale:
über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden (Entscheidungsfunktion). (Hödl in Knyrim,
, DSGVO Rz 80 (Stand 1.12.2018, rdb.at)) Die Verantwortung wird dem übertragen, der die Entscheidungsmacht hat. Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Für die Zuschreibung der Verantwortlichen-Eigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt. Trifft er die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane). Sofern natürliche Personen Daten für ihre eigenen Zwecke außerhalb des Tätigkeitsbereichs und der möglichen Kontrolle ihrer Organisation verarbeiten, können sie selbst Verantwortlicher werden. Es kann aber zur Mitverantwortung einer fährlässig handelnden Organisation kommen, die einen Datenmissbrauch grundsätzlich zu verhindern hat.(Hödl in Knyrim,
Die Verantwortung wird dem übertragen, der die Entscheidungsmacht hat. Entscheidend für die Zuweisung der Verantwortlichkeit ist daher, wer über die wesentlichen Aspekte der Mittel der Verarbeitung entscheidet. Für die Zuschreibung der Verantwortlichen-Eigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt. Trifft er die Entscheidung, dass Daten zu verarbeiten sind, sind ihm sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane). Sofern natürliche Personen Daten für ihre eigenen Zwecke außerhalb des Tätigkeitsbereichs und der möglichen Kontrolle ihrer Organisation verarbeiten, können sie selbst Verantwortlicher werden. Es kann aber zur Mitverantwortung einer fährlässig handelnden Organisation kommen, die einen Datenmissbrauch grundsätzlich zu verhindern hat., (Hödl in Knyrim,
, Rz 83, 86, DSGVO (Stand 1.12.2018, rdb.at)) Weiters enthält Art 83 das „Modell der unmittelbaren Verbandshaftung“, ein Haftungsmodell für juristische Personen „sui generis“, wonach das dahinterstehende Unternehmen für das Zuwiderhandeln seiner Mitarbeiter haftbar ist. Dies deshalb, um auch nicht-identifizierbares oder nicht direkt rückführbares Verhalten der juristischen Person zuordnen und deren Haftung anordnen zu können. Kompetenzüberschreitungen einzelner handelnder Personen sollten allerdings nicht zuzurechnen sein, wenn der Handelnde die Funktion und Grenzen eindeutig überschreitet und dem Unternehmen auch nicht anderweitig zugerechnet werden kann. (Illibauer in Knyrim,
Weiters enthält Artikel 83, das „Modell der unmittelbaren Verbandshaftung“, ein Haftungsmodell für juristische Personen „sui generis“, wonach das dahinterstehende Unternehmen für das Zuwiderhandeln seiner Mitarbeiter haftbar ist. Dies deshalb, um auch nicht-identifizierbares oder nicht direkt rückführbares Verhalten der juristischen Person zuordnen und deren Haftung anordnen zu können. Kompetenzüberschreitungen einzelner handelnder Personen sollten allerdings nicht zuzurechnen sein, wenn der Handelnde die Funktion und Grenzen eindeutig überschreitet und dem Unternehmen auch nicht anderweitig zugerechnet werden kann. (Illibauer in Knyrim,
, Rz 20 DSGVO (Stand 1.12.2021, rdb.at)) Soweit die Beschwerdeführerin kurzzeitig behauptete, nicht Verantwortliche der gegenständlichen Datenverarbeitung zu sein, sondern die betreffenden Mitarbeiter, welche den Verarbeitungsvorgang physisch ausgelöst hätten, kann dem nichts abgewonnen werden. So ist eindeutig, dass Unternehmen im Rahmen von Art. 83 DSGVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat. Ein solcher Fall der Haftung eines einzelnen Arbeitnehmers wäre bspw dann gegeben, wenn Datensätze des Arbeitgebers genutzt würden, um private Zwecke zu verfolgen. Dies ist bereits bei oberflächlicher Betrachtung der verfahrensgegenständlichen Datenverarbeitung auszuschließen. So führte sowohl die in die Datenschutzverletzung involvierte Filialleiterin, als auch die die Verarbeitung auslösende Filialmitarbeiterin die Datenverarbeitung im Rahmen ihres Arbeitsverhältnisses im Interesse der Beschwerdeführerin durch. Ein falsch versendeter Anhang vermag dran nichts zu ändern, auch wenn dies durch eine irrtümliche – jedenfalls fahrlässige – individuelle Handlung einer Mitarbeiterin erfolgte.Soweit die Beschwerdeführerin kurzzeitig behauptete, nicht Verantwortliche der gegenständlichen Datenverarbeitung zu sein, sondern die betreffenden Mitarbeiter, welche den Verarbeitungsvorgang physisch ausgelöst hätten, kann dem nichts abgewonnen werden. So ist eindeutig, dass Unternehmen im Rahmen von Artikel 83, DSGVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat. Ein solcher Fall der Haftung eines einzelnen Arbeitnehmers wäre bspw dann gegeben, wenn Datensätze des Arbeitgebers genutzt würden, um private Zwecke zu verfolgen. Dies ist bereits bei oberflächlicher Betrachtung der verfahrensgegenständlichen Datenverarbeitung auszuschließen. So führte sowohl die in die Datenschutzverletzung involvierte Filialleiterin, als auch die die Verarbeitung auslösende Filialmitarbeiterin die Datenverarbeitung im Rahmen ihres Arbeitsverhältnisses im Interesse der Beschwerdeführerin durch. Ein falsch versendeter Anhang vermag dran nichts zu ändern, auch wenn dies durch eine irrtümliche – jedenfalls fahrlässige – individuelle Handlung einer Mitarbeiterin erfolgte. Dazu kommt, dass für die grundsätzliche Konfiguration und (fehlende) Absicherung des relevanten Datensatzes unstrittig nicht die in der Filiale tätigen Mitarbeiterinnen, sondern die Leitungsorgane der Beschwerdeführerin zuständig sind. Da die Eigenschaft als Verantwortliche für die Filialleiterin und die betroffene Filialmitarbeiterin bereits aus diesem Grund ausscheidet und die Beschwerdeführerin während des Großteils des Beschwerdeverfahrens ihre Eigenschaft als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO bejaht, ist nicht im Detail auf die weiteren Voraussetzungen einzugehen. Fest steht, dass es sich bei der Beschwerdeführerin um eine juristische Person handelt, welche im gegenständlichen Fall alleine und mit Entscheidungsgewalt – über die wesentlichen Aspekte der Zwecke und Mittel der Verarbeitung – u.a. durch Weisungen, entscheidet. Die Beschwerdeführerin ist somit Verantwortliche gemäß Art. 4 Z 7 DSGVO.Da die Eigenschaft als Verantwortliche für die Filialleiterin und die betroffene Filialmitarbeiterin bereits aus diesem Grund ausscheidet und die Beschwerdeführerin während des Großteils des Beschwerdeverfahrens ihre Eigenschaft als Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO bejaht, ist nicht im Detail auf die weiteren Voraussetzungen einzugehen. Fest steht, dass es sich bei der Beschwerdeführerin um eine juristische Person handelt, welche im gegenständlichen Fall alleine und mit Entscheidungsgewalt – über die wesentlichen Aspekte der Zwecke und Mittel der Verarbeitung – u.a. durch Weisungen, entscheidet. Die Beschwerdeführerin ist somit Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO. 3.2.3. Zur Strafbarkeit und Strafbemessung (Art. 83 Abs. 4 lit a DSGVO iVm § 32 DSGVO und Art. 5 Abs. 1 lit f DSGVO):3.2.3. Zur Strafbarkeit und Strafbemessung (Artikel 83, Absatz 4, Litera a, DSGVO in Verbindung mit Paragraph 32, DSGVO und Artikel 5, Absatz eins, Litera f, DSGVO): Schon vor Geltung der DSGO wurde die Datensicherheit zu den Grundsätzen des Datenschutzrechts gezählt. Mit Art 5 Abs 1 lit f wurde dies nunmehr ausdrücklich normiert. Wie bereits aus dem Wortlaut deutlich wird, geht dies über die Vertraulichkeit hinaus und umfasst den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Unbefugte können nicht nur sonstige Dritte, sondern auch Mitarbeiter des Verantwortlichen sein. Abgestellt wird jedoch nicht nur auf – äußere oder interne – „Angreifer“, sondern auch auf unbeabsichtigte Ereignisse. Der Begriff Integrität kann mit Unverfälschtheit oder Unversehrtheit umschrieben werden und bedeutet, dass die Daten nicht von Unbefugten oder sonst unbeabsichtigt verändert oder gelöscht werden dürfen. Mit anderen Worten ist Integrität dann gegeben, wenn die Daten in dem Zustand sind, den der letzte zu ihrer Modifikation Berechtigte hergestellt hat. Vertraulichkeit bedeutet, dass Daten nicht von Unbefugten gelesen oder verarbeitet werden dürfen. Diese sog Schutzziele sind durch geeignete technische und organisatorische Maßnahmen umzusetzen. In Art 32 wird dies entsprechend konkretisiert. Dort sind neben der Integrität und der Vertraulichkeit auch die Schutzziele der Verfügbarkeit und der Belastbarkeit erwähnt. Art 5 Abs. 1 lit f fordert einen angemessenen Schutz. Damit ist eine Abwägung angesprochen, die insb die Risiken für die Betroffenen betrachtet und durch die in Art 32 normierten Kriterien näher ausgestaltet ist. Der Einsatz angemessener Datensicherheitsmaßnahmen ist dabei eine Verpflichtung des Verantwortlichen sowie des Auftragsverarbeiters, subjektive Rechtsansprüche einer betroffenen Person ergeben sich allein daraus nach der Rsp aber keine, wenn nicht bereits ein bestimmtes Betroffenenrecht nach Art 15–22 verletzt wurde. (Hötzendorfer/Tschohl/Kastelitz in Knyrim,
Schon vor Geltung der DSGO wurde die Datensicherheit zu den Grundsätzen des Datenschutzrechts gezählt. Mit Artikel 5, Absatz eins, Litera f, wurde dies nunmehr ausdrücklich normiert. Wie bereits aus dem Wortlaut deutlich wird, geht dies über die Vertraulichkeit hinaus und umfasst den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Unbefugte können nicht nur sonstige Dritte, sondern auch Mitarbeiter des Verantwortlichen sein. Abgestellt wird jedoch nicht nur auf – äußere oder interne – „Angreifer“, sondern auch auf unbeabsichtigte Ereignisse. Der Begriff Integrität kann mit Unverfälschtheit oder Unversehrtheit umschrieben werden und bedeutet, dass die Daten nicht von Unbefugten oder sonst unbeabsichtigt verändert oder gelöscht werden dürfen. Mit anderen Worten ist Integrität dann gegeben, wenn die Daten in dem Zustand sind, den der letzte zu ihrer Modifikation Berechtigte hergestellt hat. Vertraulichkeit bedeutet, dass Daten nicht von Unbefugten gelesen oder verarbeitet werden dürfen. Diese sog Schutzziele sind durch geeignete technische und organisatorische Maßnahmen umzusetzen. In Artikel 32, wird dies entsprechend konkretisiert. Dort sind neben der Integrität und der Vertraulichkeit auch die Schutzziele der Verfügbarkeit und der Belastbarkeit erwähnt. Artikel 5, Absatz eins, Litera f, fordert einen angemessenen Schutz. Damit ist eine Abwägung angesprochen, die insb die Risiken für die Betroffenen betrachtet und durch die in Artikel 32, normierten Kriterien näher ausgestaltet ist. Der Einsatz angemessener Datensicherheitsmaßnahmen ist dabei eine Verpflichtung des Verantwortlichen sowie des Auftragsverarbeiters, subjektive Rechtsansprüche einer betroffenen Person ergeben sich allein daraus nach der Rsp aber keine, wenn nicht bereits ein bestimmtes Betroffenenrecht nach Artikel 15 –, 22, verletzt wurde. (Hötzendorfer/Tschohl/Kastelitz in Knyrim,
32 Abs 1 fordert in Bezug auf die Sicherheit der Verarbeitung, dass unter Berücksichtigung des Stands der Technik („State of the Art“) sowie der Implementierungskosten je nach der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der Wahrscheinlichkeit und der Höhe des Risikos für die persönlichen Rechte und Freiheiten geeignete technische und organisatorische Maßnahmen (TOM) vom Verantwortlichen und vom Auftragsverarbeiter zu treffen sind, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Artikel 32, Absatz eins, fordert in Bezug auf die Sicherheit der Verarbeitung, dass unter Berücksichtigung des Stands der Technik („State of the Art“) sowie der Implementierungskosten je nach der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der Wahrscheinlichkeit und der Höhe des Risikos für die persönlichen Rechte und Freiheiten geeignete technische und organisatorische Maßnahmen (TOM) vom Verantwortlichen und vom Auftragsverarbeiter zu treffen sind, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Art 83 enthält die allgemeinen Bedingungen für die Verhängung von Geldbußen, die von der nationalen Aufsichtsbehörde verhängt werden. Gem Art 83 Abs 4 lit a können bei Verstößen gegen die Bestimmungen des Art 32 der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter mit einer Geldbuße von bis zu 10 Mio Euro oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher der Beträge höher ist. (Pollirer in Knyrim,
Artikel 83, enthält die allgemeinen Bedingungen für die Verhängung von Geldbußen, die von der nationalen Aufsichtsbehörde verhängt werden. Gem Artikel 83, Absatz 4, Litera a, können bei Verstößen gegen die Bestimmungen des Artikel 32, der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter mit einer Geldbuße von bis zu 10 Mio Euro oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher der Beträge höher ist. (Pollirer in Knyrim,
, Rz 3, 10 DSGVO (Stand 1.5.2022, rdb.at)) Als erstes Kriterium für die Zielerreichung, nämlich die Erreichung eines dem Risiko angemessenen Schutzniveaus, fordert Art. 32 Abs 1 die Berücksichtigung des Stands der Technik, als zweites Kriterium die Berücksichtigung der Implementierungskosten für die Umsetzung der technischen und organisatorischen Maßnahmen, als drittes Kriterium für die Zielerreichung die Art, den Umfang, die Umstände und den Zweck der Datenverarbeitung und als viertes Kriterium ist die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen vom für die Verarbeitung Verantwortlichen zu beachten. Als erstes Kriterium für die Zielerreichung, nämlich die Erreichung eines dem Risiko angemessenen Schutzniveaus, fordert Artikel 32, Absatz eins, die Berücksichtigung des Stands der Technik, als zweites Kriterium die Berücksichtigung der Implementierungskosten für die Umsetzung der technischen und organisatorischen Maßnahmen, als drittes Kriterium für die Zielerreichung die Art, den Umfang, die Umstände und den Zweck der Datenverarbeitung und als viertes Kriterium ist die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen vom für die Verarbeitung Verantwortlichen zu beachten. Wie oben bereits festgestellt wurde am 29.10.2019 aus einer Filiale der Beschwerdeführerin eine E-Mailnachricht an 227 Empfänger (tatsächlich) zugestellt, der irrtümlich eine unverschlüsselte interne Excel-Liste mit nicht vollständig anonymisierten Kundendaten (jedenfalls offensichtlich erkennbare Nachnamen und abgekürzte Vornamen natürlicher Personen sowie den korrespondierenden E-Mailadressen, welche in einem Kontext mit dem Einkommen und Vermögen dieser identifizierten bzw. mit einfachen Mitteln identifizierbaren Personen stehen) beigeschlossen war, wobei ein Personenbezug im Sinne des Art. 4 Z 1 DSGVO unzweifelhaft vorliegt. Dies erfolgte unter Verletzung interner Arbeitsanweisungen zur Emailkultur, welche zum Zeitpunkt der Datenschutzverletzung bereits im internen Nachrichtenportal der Beschwerdeführerin veröffentlicht waren. Unmittelbar verantwortlich für die Verbreitung der Liste waren die Filialleiterin und eine Filialmitarbeiterin, welche die Versendung der verfahrensgegenständlichen E-Mailnachrichten einleiteten bzw. durchführten. Der Fehler wurde unmittelbar darauf erkannt und mit einer sofortigen Schadensabwendung bzw. Schadensminimierung begonnen (siehe Feststellungen). Die Beschwerdeführerin hat in diesem Zusammenhang gegenüber der Behörde stets kooperiert und die Details ihrer Arbeitsprozesse und Motive freiwillig offengelegt. Die auf dem Filiallaufwerk liegende Excel-Datei wurde in Reaktion auf diesen Vorfall vom Filialserver gelöscht, bei der Beschwerdeführerin zunächst gesperrt und erst nach vollständiger Pseudonymisierung wieder intern zur Verfügung gestellt. Es gibt bis zum heutigen Tag keinen Hinweis, dass die hier gegenständliche Excel-Datei im Internet kursieren würde oder von Dritten genutzt worden wäre.Wie oben bereits festgestellt wurde am 29.10.2019 aus einer Filiale der Beschwerdeführerin eine E-Mailnachricht an 227 Empfänger (tatsächlich) zugestellt, der irrtümlich eine unverschlüsselte interne Excel-Liste mit nicht vollständig anonymisierten Kundendaten (jedenfalls offensichtlich erkennbare Nachnamen und abgekürzte Vornamen natürlicher Personen sowie den korrespondierenden E-Mailadressen, welche in einem Kontext mit dem Einkommen und Vermögen dieser identifizierten bzw. mit einfachen Mitteln identifizierbaren Personen stehen) beigeschlossen war, wobei ein Personenbezug im Sinne des Artikel 4, Ziffer eins, DSGVO unzweifelhaft vorliegt. Dies erfolgte unter Verletzung interner Arbeitsanweisungen zur Emailkultur, welche zum Zeitpunkt der Datenschutzverletzung bereits im internen Nachrichtenportal der Beschwerdeführerin veröffentlicht waren. Unmittelbar verantwortlich für die Verbreitung der Liste waren die Filialleiterin und eine Filialmitarbeiterin, welche die Versendung der verfahrensgegenständlichen E-Mailnachrichten einleiteten bzw. durchführten. Der Fehler wurde unmittelbar darauf erkannt und mit einer sofortigen Schadensabwendung bzw. Schadensminimierung begonnen (siehe Feststellungen). Die Beschwerdeführerin hat in diesem Zusammenhang gegenüber der Behörde stets kooperiert und die Details ihrer Arbeitsprozesse und Motive freiwillig offengelegt. Die auf dem Filiallaufwerk liegende Excel-Datei wurde in Reaktion auf diesen Vorfall vom Filialserver gelöscht, bei der Beschwerdeführerin zunächst gesperrt und erst nach vollständiger Pseudonymisierung wieder intern zur Verfügung gestellt. Es gibt bis zum heutigen Tag keinen Hinweis, dass die hier gegenständliche Excel-Datei im Internet kursieren würde oder von Dritten genutzt worden wäre. Auf Basis dieser Ausführungen im Rahmen des Verwaltungsstrafverfahrens und der Entscheidung des EuGH vom 05.12.2023 (C-807/21) ist eine juristische Person (wie die Beschwerdeführerin) direkt als Beschuldigte im Verfahren heranzuziehen und führte die belangte Behörde dieses gegen die korrekte Beschuldigte. Der belangten Behörde ist weiteres zuzustimmen, wenn sie ausführt, dass die soeben dargestellte und festgestellte Vorgehensweise zum Zeitpunkt der Datenschutzverletzung gegen Art. 5 Abs. 1 lit f DSGVO und Art. 32 DSGVO verstößt und in Folge den Straftatbestand des Art. 83 Abs. 4 lit a DSGVO erfüllt. Die rechtliche Beurteilung ist, mit Ausnahme der Begründung des Verschuldens, zutreffend und ändert die Rechtsprechung des EuGH zu C-807/21 grundsätzlich nichts an dieser Einschätzung.Der belangten Behörde ist weiteres zuzustimmen, wenn sie ausführt, dass die soeben dargestellte und festgestellte Vorgehensweise zum Zeitpunkt der Datenschutzverletzung gegen Artikel 5, Absatz eins, Litera f, DSGVO und Artikel 32, DSGVO verstößt und in Folge den Straftatbestand des Artikel 83, Absatz 4, Litera a, DSGVO erfüllt. Die rechtliche Beurteilung ist, mit Ausnahme der Begründung des Verschuldens, zutreffend und ändert die Rechtsprechung des EuGH zu C-807/21 grundsätzlich nichts an dieser Einschätzung. Nicht zu folgen ist in diesem Zusammenhang dem Vorbringen der Beschwerdeführerin, die Konfiguration der Liste wäre sicherheitstechnisch „state of the art“ gewesen und/oder die Implementierung einer besseren Absicherung nicht zumutbar. Dabei wird seitens des Gerichts nicht in Zweifel gezogen, dass die hier in Rede stehende Dateikonfiguration auch bei anderen vergleichbaren Instituten üblich war. Das ändert aber nichts an dem Umstand, dass eine enorme Steigerung der Datensicherheit durch einen vergleichsweise geringen Mehraufwand (Streichung der e-mail, vollständige Pseudonymisierung der Kundenkennung) erreicht werden konnte und auch schon vor dem hier relevanten Vorfall problemlos erfolgen hätte können. Das ergibt sich schon aus dem Umstand, dass eben dieser Schritt unmittelbar nach dem Vorfall binnen kurzer Zeit umgesetzt werden konnte. Der entstandene Mehraufwand bei der Datenbearbeitung ist dabei überschaubar. Vor diesem Hintergrund ist als „state of the art“ jedenfalls nicht eine ungesicherte Datei mit einfach zu identifizierenden personenbezogenen Daten anzusehen (die nur durch interne Anweisungen „gesichert“ ist), sondern eben die nunmehr in Verwendung stehende vollständig pseudonymisierte Kundendatei, die unabhängig von einer zusätzlichen Verschlüsselung bei Verlust keine Verbindung zu konkreten Personen durch Dritte ermöglicht. Eine solche Datei dann noch gesondert zusätzlich zu schützen, ist jedoch nicht erforderlich. Eine verschuldensunabhängige Haftung kommt nicht in Frage und ist stets Vorsatz oder Fahrlässigkeit eine zwingende Voraussetzung zur Erfüllung des Straftatbestands des Art. 83 Abs. 4 lit a DSGVO. Soweit die Beschwerdeführerin ein Verschulden bestreitet und dies insbesondere mit der fehlenden Informationen an die mittlere Führungsebene bzw. den Vorstand und mit den ohne Ergebnis gebliebenen internen und externen Datenschutzüberprüfungen argumentiert, ist darauf hinzuweisen, dass nach der neuen Rechtsprechung die Anwendung von Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans einer juristischen Person voraussetzt. Vielmehr ist objektiv zu beurteilen, ob der juristischen Person ein Verschulden an der erfolgten Datenschutzverletzung vorzuwerfen ist. Eine verschuldensunabhängige Haftung kommt nicht in Frage und ist stets Vorsatz oder Fahrlässigkeit eine zwingende Voraussetzung zur Erfüllung des Straftatbestands des Artikel 83, Absatz 4, Litera a, DSGVO. Soweit die Beschwerdeführerin ein Verschulden bestreitet und dies insbesondere mit der fehlenden Informationen an die mittlere Führungsebene bzw. den Vorstand und mit den ohne Ergebnis gebliebenen internen und externen Datenschutzüberprüfungen argumentiert, ist darauf hinzuweisen, dass nach der neuen Rechtsprechung die Anwendung von Artikel 83, DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans einer juristischen Person voraussetzt. Vielmehr ist objektiv zu beurteilen, ob der juristischen Person ein Verschulden an der erfolgten Datenschutzverletzung vorzuwerfen ist. Angesichts der vorgebrachten und durchgeführten (belegten) internen Schulungen sowie Ablaufsregelungen (welche einen wichtigen Bestandteil der Sorgfaltspflichten der Beschwerdeführerin bilden), gegen die die Filialmitarbeiterinnen verstoßen haben, ist die von der DSB angenommene „mangelnde Kontrolle und Überwachung“ nicht nachvollziehbar. Daran ändert auch der Umstand nichts, dass den Filialmitarbeiterinnen offenbar nicht alle Regelungen, etwa zu „Massen-E-mails“, bekannt waren. Es wäre eine Massenversendung von Ostergrüßen nämlich ebenfalls nach den internen Regelungen unzulässig – datenschutzrechtlich aber völlig irrelevant. Das datenschutzrechtliche Problem entstand in diesem Fall erst durch die im Anhang mitübermittelte Kundendatei. Daran, dass deren Versendung den Mitarbeiterinnen als unzulässig bekannt war, besteht jedoch nicht der geringste Zweifel, weil unmittelbar darauf bereits das Problem gemeldet und die Schadensminimierung eingeleitet wurde. Darüber hinaus liegt aber auch ein Verschulden – im Sinne einer leichten Fahrlässigkeit – in dem Umstand, dass seitens der Beschwerdeführerin eine nicht vollständig pseudonymisierte Excel-Datei für Arbeitsprozesse zur Verfügung gestellt wurde, die offensichtlich technisch problemlos (auf Filialebene) in einem Massenemail exportiert werden konnte. Dass ein solcher Export grundsätzlich untersagt war, kann der Feststellung einer leichten Fahrlässigkeit nicht entgegenstehen, weil eine unbeabsichtigte Offenlegung einer solchen Datei, die regelmäßig in Arbeitsprozessen Eingang gefunden hat, zumindest als potenzielles Risiko nicht ausgeschlossen werden kann. Der belangten Behörde ist daher im Ergebnis nicht zu widersprechen, wenn sie die Strafbarkeit der Beschwerdeführerin bejaht. 3.2.4. Zur Strafbemessung und dem Unternehmensbegriff: Der EuGH (C-807/21) führte zur Bemessung der zu verhängenden Strafe gegen eine juristische Person, wegen eines unter Art. 83 DSGVO subsumierbaren Verstoßes in den Randziffern 56 bis 59 folgendes aus: Der EuGH (C-807/21) führte zur Bemessung der zu verhängenden Strafe gegen eine juristische Person, wegen eines unter Artikel 83, DSGVO subsumierbaren Verstoßes in den Randziffern 56 bis 59 folgendes aus: „56 Dieser Unternehmensbegriff umfasst für die Zwecke der Anwendung der in den Art. 101 und 102 AEUV niedergelegten Wettbewerbsregeln jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung. Er bezeichnet somit eine wirtschaftliche Einheit, auch wenn diese aus rechtlicher Sicht aus mehreren natürlichen oder juristischen Personen besteht. Diese wirt
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.