Obsah (4)

Artikel 5 Artikel 7 Artikel 83 Artikel 6

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum27.03.2024 GeschäftszahlW214 2243436-1 Spruch, W214 2243436-1/39E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

Artikel 5

, Absatz eins, Litera a,

Artikel 7, Absatz 2, DSGVO entsprochen.

Dadurch wurden die Betroffenen dazu veranlasst, in die Verarbeitung ihrer personenbezogenen Daten einzuwilligen, ohne dass die Voraussetzungen für eine Einwilligung vorlagen. 2. Die Beschuldigte hat folglich zur Tatzeit jene zum Zwecke XXXX von Kunden auf Basis deren Einwilligung auf Grundlage der Methoden (

i)physisches Anmeldeformular im XXXX und (
ii)Webseite https://www. XXXX / erhobenen personenbezogenen Daten, unrechtmäßig verarbeitet, da die Verarbeitung auch auf keine andere Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO gestützt werden konnte. 2. Die Beschuldigte hat folglich zur Tatzeit jene zum Zwecke römisch 40 von Kunden auf Basis deren Einwilligung auf Grundlage der Methoden (
i)physisches Anmeldeformular im römisch 40 und (
ii)Webseite https://www. römisch 40 / erhobenen personenbezogenen Daten, unrechtmäßig verarbeitet, da die Verarbeitung auch auf keine andere Rechtsgrundlage gemäß Artikel 6, Absatz eins, DSGVO gestützt werden konnte. Die Beschuldigte hat daher im Ergebnis ● den Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verletzt und ● personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorlag.  personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Artikel 6, DSGVO vorlag. Verwaltungsübertretung(
en)nach: Ad. 1.: Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVOAd. 1.: Artikel 5, Absatz eins, Litera a,

Artikel 7

, Absatz 2,

Artikel 83, Absatz 5, Litera a, DSGVO Ad. 2.: Art. 5 Abs. 1 lit. a i

Vm Art. 6 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVOAd. 2.: Artikel 5, Absatz eins, Litera a,

Artikel 6

, Absatz eins,

Artikel 83

, Absatz 5, Litera a, DSGVO Wegen dieser Verwaltungsübertretung(

en)wird folgende Strafe verhängt: Geldstrafe von gemäß € 700.000 (in Worten: Art. 83 Abs. 5 lit. a DSGVO€ 700.000 (in Worten: Artikel 83, Absatz 5, Litera a, DSGVO Siebenhundertausend Euro) Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: Ferner haben Sie gemäß Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: 70.000 Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe. Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher 770.000 Euro (in Worten: Siebenhundertsiebzigtausend Euro).“ II. Die Beschwerdeführerin hat gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.römisch zwei. Die Beschwerdeführerin hat gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen. B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig. , , TextEntscheidungsgründe, Entscheidungsgründe I. Verfahrensgang und Sachverhalt:römisch eins. Verfahrensgang und Sachverhalt: 1. Die Beschwerdeführerin ist Betreiberin des XXXX -Programms, XXXX Kundenbindungsprogramms, welches XXXX in Österreich eingeführt wurde. 1. Die Beschwerdeführerin ist Betreiberin des römisch 40 -Programms, römisch 40 Kundenbindungsprogramms, welches römisch 40 in Österreich eingeführt wurde. 2. Die belangte Behörde leitete gegen die Beschwerdeführerin ein amtswegiges Prüfverfahren ein. 3. Mit Bescheid der belangten Behörde vom XXXX 2020, Zl. DSB-D205.179/0001-DSB/2019, wurde festgehalten, dass das amtswegige Prüfverfahren berechtigt gewesen sei und festgestellt, dass die Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten für die Zwecke, die in Ziffer XXXX („Werbung XXXX („Werbung XXXX der Datenschutzerklärung der Beschwerdeführerin angeführt seien, und die unter Verwendung der Methoden,
i)physisches Anmeldeformular im XXXX und
ii)Webseite https://www. XXXX / eingeholt würden, nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO und Art. 7 Abs. 2 DSGVO entsprechen würden (Spruchpunkt 1. lit.
a)und, dass für die bisherige Verarbeitung von personenbezogenen Daten von den beim Programm registrierten betroffenen Personen für die Zwecke, die in Ziffer XXXX der Datenschutzerklärung der Beschwerdeführerin angeführt seien, anstelle der Einwilligung, die unter Verwendung der Methoden 1.)
a)
i)physisches Anmeldeformular im XXXX und 1.)
a)
ii)Webseite https://www. XXXX / eingeholt worden seien, keine andere Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO in Betracht komme und die genannte bisherige Verarbeitung daher unrechtmäßig erfolgt sei (Spruchpunkt 1. lit. b). Der Beschwerdeführerin wurde die Verwendung der Ersuchen um Einwilligung im Umfang von Spruchpunkt 1.
a)in dieser Form untergesagt (Spruchpunkt 2.), der Beschwerdeführerin wurde die Verarbeitung von personenbezogenen Daten von den am Programm bereits registrierten betroffenen Personen für die Zwecke, die in XXXX der Datenschutzerklärung der Beschwerdeführerin angeführt seien, untersagt, soweit die entsprechenden Einwilligungen unter Verwendung der in Spruchpunkt 1.
a)angeführten Methoden eingeholt worden seien (Spruchpunkt 3.) und der Beschwerdeführerin für die Umsetzung der Spruchpunkte 2. und 3. eine Frist von vier Monaten eingeräumt (Spruchpunkt 4.).3. Mit Bescheid der belangten Behörde vom römisch 40 2020, Zl. DSB-D205.179/0001-DSB/2019, wurde festgehalten, dass das amtswegige Prüfverfahren berechtigt gewesen sei und festgestellt, dass die Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten für die Zwecke, die in Ziffer römisch 40 („Werbung römisch 40 („Werbung römisch 40 der Datenschutzerklärung der Beschwerdeführerin angeführt seien, und die unter Verwendung der Methoden,
i)physisches Anmeldeformular im römisch 40 und
ii)Webseite https://www. römisch 40 / eingeholt würden, nicht den Anforderungen an eine Einwilligung gemäß Artikel 4, Ziffer 11, DSGVO und Artikel 7, Absatz 2, DSGVO entsprechen würden (Spruchpunkt 1. Litera a,) und, dass für die bisherige Verarbeitung von personenbezogenen Daten von den beim Programm registrierten betroffenen Personen für die Zwecke, die in Ziffer römisch 40 der Datenschutzerklärung der Beschwerdeführerin angeführt seien, anstelle der Einwilligung, die unter Verwendung der Methoden 1.)
a)
i)physisches Anmeldeformular im römisch 40 und 1.)
a)
ii)Webseite https://www. römisch 40 / eingeholt worden seien, keine andere Rechtsgrundlage gemäß Artikel 6, Absatz eins, DSGVO in Betracht komme und die genannte bisherige Verarbeitung daher unrechtmäßig erfolgt sei (Spruchpunkt 1. Litera b,). Der Beschwerdeführerin wurde die Verwendung der Ersuchen um Einwilligung im Umfang von Spruchpunkt 1.
a)in dieser Form untergesagt (Spruchpunkt 2.), der Beschwerdeführerin wurde die Verarbeitung von personenbezogenen Daten von den am Programm bereits registrierten betroffenen Personen für die Zwecke, die in römisch 40 der Datenschutzerklärung der Beschwerdeführerin angeführt seien, untersagt, soweit die entsprechenden Einwilligungen unter Verwendung der in Spruchpunkt 1.
a)angeführten Methoden eingeholt worden seien (Spruchpunkt 3.) und der Beschwerdeführerin für die Umsetzung der Spruchpunkte 2. und 3. eine Frist von vier Monaten eingeräumt (Spruchpunkt 4.). 4. Gegen diesen Bescheid erhob die Beschwerdeführerin fristgerecht eine Beschwerde an das Bundesverwaltungsgericht. 5. Mit Erkenntnis des Bundesverwaltungsgerichts vom 13.12.2022 wurde in Erledigung der Beschwerde Spruchpunkt 1. des angefochtenen Bescheides ersatzlos behoben und die Spruchpunkte 2. bis 4. des angefochtenen Bescheides ersetzt, sodass der Spruch insgesamt lautete: „1. Der XXXX wird die Verwendung der per XXXX zu erteilenden Einwilligungserklärungen „Ihre Einwilligung in Werbung XXXX “, womit eine Einwilligung in die Erstellung von Kundenprofilen zum Zweck der interessensgerichteten Werbung XXXX erteilt wird, in der am XXXX 2020 vorliegenden Gestaltung ( XXXX und die Gestaltung des Satzes unter dem Unterschriftsfeld durch eine XXXX Wortfolge XXXX , irreführender Eindruck eines Gesamt-Unterschriftsfelds) untersagt.„1. Der römisch 40 wird die Verwendung der per römisch 40 zu erteilenden Einwilligungserklärungen „Ihre Einwilligung in Werbung römisch 40 “, womit eine Einwilligung in die Erstellung von Kundenprofilen zum Zweck der interessensgerichteten Werbung römisch 40 erteilt wird, in der am römisch 40 2020 vorliegenden Gestaltung ( römisch 40 und die Gestaltung des Satzes unter dem Unterschriftsfeld durch eine römisch 40 Wortfolge römisch 40 , irreführender Eindruck eines Gesamt-Unterschriftsfelds) untersagt. Ebenso wird die Verwendung der elektronisch zu erteilenden Einwilligungserklärungen in „Einwilligung Werbung XXXX “, womit eine Einwilligung [in] die Erstellung von Kundenprofilen zum Zweck der XXXX erteilt wird, in der am XXXX 2020 vorliegenden Gestaltung (Verwendung des XXXX Buttons mit der Wortfolge XXXX als Anmeldung und Einwilligung) untersagt.Ebenso wird die Verwendung der elektronisch zu erteilenden Einwilligungserklärungen in „Einwilligung Werbung römisch 40 “, womit eine Einwilligung [in] die Erstellung von Kundenprofilen zum Zweck der römisch 40 erteilt wird, in der am römisch 40 2020 vorliegenden Gestaltung (Verwendung des römisch 40 Buttons mit der Wortfolge römisch 40 als Anmeldung und Einwilligung) untersagt. Des Weiteren wird die Verwendung der Überschrift der Einwilligungserklärungen in der am XXXX 2020 vorliegenden Fassung ohne Hinweis darauf, dass die Einwilligung auch die Erstellung von Kundenprofilen umfasst, untersagt.Des Weiteren wird die Verwendung der Überschrift der Einwilligungserklärungen in der am römisch 40 2020 vorliegenden Fassung ohne Hinweis darauf, dass die Einwilligung auch die Erstellung von Kundenprofilen umfasst, untersagt. 2. Der XXXX wird die Verarbeitung von personenbezogenen Daten von den bereits am XXXX Programm registrierten betroffenen Personen betreffend der in Spruchpunkt 1 genannten Zwecke untersagt, soweit die entsprechenden Einwilligungen in der in Spruchpunkt 1. beschriebenen Gestaltung eingeholt wurden und die Einwilligungen nicht bereits nochmals bestätigt wurden.2. Der römisch 40 wird die Verarbeitung von personenbezogenen Daten von den bereits am römisch 40 Programm registrierten betroffenen Personen betreffend der in Spruchpunkt 1 genannten Zwecke untersagt, soweit die entsprechenden Einwilligungen in der in Spruchpunkt 1. beschriebenen Gestaltung eingeholt wurden und die Einwilligungen nicht bereits nochmals bestätigt wurden. 3. Für die Umsetzung der Spruchpunkte 1. und 2 wird der XXXX eine Frist von vier Monaten gesetzt.“3. Für die Umsetzung der Spruchpunkte 1. und 2 wird der römisch 40 eine Frist von vier Monaten gesetzt.“ 6. Aufgrund der Ermittlungsergebnisse des amtswegigen Prüfverfahrens der belangten Behörde leitete diese am 03.08.2020 ein Verwaltungsstrafverfahren gegen die Beschwerdeführerin ein. 7. Am 07.08.2020 übermittelte die belangte Behörde der Beschwerdeführerin eine Aufforderung zur Rechtfertigung und teilte mit, dass die Beschwerdeführerin im Zusammenhang mit dem Betrieb des XXXX Kundenbindungsprogrammes in Verdacht stehe, jedenfalls seit dem XXXX bis einschließlich XXXX 2020, in XXXX , bei dem Ersuchen um Einwilligung der betroffenen Personen, die sich für das XXXX Kundenbindungsprogramm registrieren wollen oder registriert haben, für die „Verarbeitung von Kundendaten XXXX “, unter Verwendung der Methoden (
i)physisches Anmeldeformular im XXXX und (
ii)Webseite https://www. XXXX /, nicht den Anforderungen gemäß Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO entsprochen zu haben, sowie zudem im Verdacht stehe, im Tatzeitraum, am Tatort jene personenbezogenen Daten zum Zwecke der XXXX , die auf Grundlage der mittels der Methoden (
i)physisches Anmeldeformular im XXXX und (
ii)Webseite https://www. XXXX / erhobenen Einwilligungen verarbeitet worden seien, unrechtmäßig verarbeitet zu haben, da keine der Bedingungen gemäß Art. 6 Abs. 1 DSGVO erfüllt sei. Es handle sich um Verwaltungsübertretungen gemäß Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO bzw. Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVO. Die vorliegende Verfolgungshandlung richte sich gemäß der Rechtsprechung des VwGH sowohl gegen die Beschwerdeführerin als auch gegen zur Vertretung nach außen berufenen Personen (Geschäftsführer). Die Beschwerdeführerin könne sich entweder im Rahmen einer Vernehmung oder schriftlich rechtfertigen. Im Zuge dessen seien zudem Dokumente/Informationen zum Jahresumsatz sowie Gewinne/Verluste der Beschwerdeführerin des Vorjahres vorzulegen sowie Angaben zu machen, wie viele betroffene Personen sich beim XXXX programm in Österreich registriert haben und wie viele davon ihre Einwilligung zum Zwecke XXXX von Kunden erteilt haben.7. Am 07.08.2020 übermittelte die belangte Behörde der Beschwerdeführerin eine Aufforderung zur Rechtfertigung und teilte mit, dass die Beschwerdeführerin im Zusammenhang mit dem Betrieb des römisch 40 Kundenbindungsprogrammes in Verdacht stehe, jedenfalls seit dem römisch 40 bis einschließlich römisch 40 2020, in römisch 40 , bei dem Ersuchen um Einwilligung der betroffenen Personen, die sich für das römisch 40 Kundenbindungsprogramm registrieren wollen oder registriert haben, für die „Verarbeitung von Kundendaten römisch 40 “, unter Verwendung der Methoden (
i)physisches Anmeldeformular im römisch 40 und (
ii)Webseite https://www. römisch 40 /, nicht den Anforderungen gemäß Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7

, Absatz 2, DSGVO entsprochen zu haben, sowie zudem im Verdacht stehe, im Tatzeitraum, am Tatort jene personenbezogenen Daten zum Zwecke der römisch 40 , die auf Grundlage der mittels der Methoden (

i)physisches Anmeldeformular im römisch 40 und (
ii)Webseite https://www. römisch 40 / erhobenen Einwilligungen verarbeitet worden seien, unrechtmäßig verarbeitet zu haben, da keine der Bedingungen gemäß Artikel 6, Absatz eins, DSGVO erfüllt sei. Es handle sich um Verwaltungsübertretungen gemäß Artikel 5, Absatz eins, Litera a,

Artikel 7

, Absatz 2,

Artikel 83, Absatz 5, Litera a, DSGVO bzw.

Artikel 5, Absatz eins, Litera a,

Artikel 6

, Absatz eins,

Artikel 83, Absatz 5, Litera a, DSGVO. Die vorliegende Verfolgungshandlung richte sich gemäß der Rechtsprechung des Vw

GH sowohl gegen die Beschwerdeführerin als auch gegen zur Vertretung nach außen berufenen Personen (Geschäftsführer). Die Beschwerdeführerin könne sich entweder im Rahmen einer Vernehmung oder schriftlich rechtfertigen. Im Zuge dessen seien zudem Dokumente/Informationen zum Jahresumsatz sowie Gewinne/Verluste der Beschwerdeführerin des Vorjahres vorzulegen sowie Angaben zu machen, wie viele betroffene Personen sich beim römisch 40 programm in Österreich registriert haben und wie viele davon ihre Einwilligung zum Zwecke römisch 40 von Kunden erteilt haben.

Die Beschwerdeführerin erstattete am 15.09.2020 eine Stellungnahme und führte zusammengefasst aus, dass entgegen dem der Beschwerdeführerin zur Last gelegten Sachverhalt die von der Beschwerdeführerin eingesetzten Einwilligungserklärungen - sowohl bei Verwendung des physischen Anmeldeformulars XXXX als auch auf der Webseite https://www. XXXX – allen einschlägigen Vorgaben, insbesondere den Anforderungen gemäß Art. 4 Z 11 iVm Art. 5 Abs. 1 lit a iVm Art. 7 Abs. 2 DSGVO, entsprechen würden. Infolge zulässig erhobener Einwilligung sei von einer unrechtmäßigen Verarbeitung gemäß Art 6 Abs 1 lit a DSGVO daher jedenfalls nicht auszugehen. Falls die belangte Behörde dennoch von einem Verstoß gegen Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO bzw. Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 iVm Art 83 Abs. 5 lit. a DSGVO ausgehe, wäre allerdings jedenfalls keine Verwaltungsstrafe zu verhängen, da es der Beschwerdeführerin bereits am für eine Bestrafung erforderlichen Verschulden iSd § 5 VStG mangle, es sich bei der verfahrensgegenständlichen Verwaltungsübertretung (wenn überhaupt) jedenfalls nur um ein einmaliges, geringfügiges und nicht vorwerfbares – jedenfalls aber entschuldbares – Versehen handle und daher die Voraussetzungen für ein Absehen von einer Strafe nach § 11 DSG sowie § 45 Abs 1 Z 4 VStG – allenfalls unter bloßer Abmahnung bzw. Verwarnung – vorliegen würden, sowie weitere Milderungsgründe gemäß Art. 83 Abs. 2 DSGVO sowie § 19 Abs. 2 VStG iVm § 34 Abs. 1 Z 2, Z 12, Z 13 und Z 17 StGB zu berücksichtigen seien.
Die Beschwerdeführerin erstattete am 15.09.2020 eine Stellungnahme und führte zusammengefasst aus, dass entgegen dem der Beschwerdeführerin zur Last gelegten Sachverhalt die von der Beschwerdeführerin eingesetzten Einwilligungserklärungen - sowohl bei Verwendung des physischen Anmeldeformulars römisch 40 als auch auf der Webseite https://www. römisch 40 – allen einschlägigen Vorgaben, insbesondere den Anforderungen gemäß Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7, Absatz 2, DSGVO, entsprechen würden.

Infolge zulässig erhobener Einwilligung sei von einer unrechtmäßigen Verarbeitung gemäß Artikel 6, Absatz eins, Litera a, DSGVO daher jedenfalls nicht auszugehen. Falls die belangte Behörde dennoch von einem Verstoß gegen Artikel 5, Absatz eins, Litera a,

Artikel 7

, Absatz 2,

Artikel 83, Absatz 5, Litera a, DSGVO bzw.

Artikel 5, Absatz eins, Litera a,

Artikel 6

, Absatz eins,

Artikel 83

, Absatz 5, Litera a, DSGVO ausgehe, wäre allerdings jedenfalls keine Verwaltungsstrafe zu verhängen, da es der Beschwerdeführerin bereits am für eine Bestrafung erforderlichen Verschulden iSd Paragraph 5, VStG mangle, es sich bei der verfahrensgegenständlichen Verwaltungsübertretung (wenn überhaupt) jedenfalls nur um ein einmaliges, geringfügiges und nicht vorwerfbares – jedenfalls aber entschuldbares – Versehen handle und daher die Voraussetzungen für ein Absehen von einer Strafe nach Paragraph 11, DSG sowie Paragraph 45, Absatz eins, Ziffer 4, VStG – allenfalls unter bloßer Abmahnung bzw. Verwarnung – vorliegen würden, sowie weitere Milderungsgründe gemäß Artikel 83, Absatz 2, DSGVO sowie Paragraph 19, Absatz 2, VStG

Paragraph 34, Absatz eins, Ziffer 2,, Ziffer 12,, Ziffer 13 und Ziffer 17, StGB zu berücksichtigen seien. Zu den von der belangten Behörde angefragten Informationen werde bekanntgegeben, dass der Umsatz der Beschwerdeführerin sich für das Geschäftsjahr 2019 auf EUR XXXX belaufe. Für Österreich seien mittels XXXX Registrierungen (davon hätten im Zeitpunkt der Registrierung ca. XXXX , konkret XXXX Personen, ihre Einwilligung XXXX erteilt) erfolgt sowie XXXX Registrierungen (davon hätten im Zeitpunkt der Registrierung ca. XXXX , konkret XXXX Personen, ihre Einwilligung XXXX erteilt) über das gegenständliche Anmeldeformular im Zuge der Online-Registrierung über https://www. XXXX /.Zu den von der belangten Behörde angefragten Informationen werde bekanntgegeben, dass der Umsatz der Beschwerdeführerin sich für das Geschäftsjahr 2019 auf EUR römisch 40 belaufe. Für Österreich seien mittels römisch 40 Registrierungen (davon hätten im Zeitpunkt der Registrierung ca. römisch 40 , konkret römisch 40 Personen, ihre Einwilligung römisch 40 erteilt) erfolgt sowie römisch 40 Registrierungen (davon hätten im Zeitpunkt der Registrierung ca. römisch 40 , konkret römisch 40 Personen, ihre Einwilligung römisch 40 erteilt) über das gegenständliche Anmeldeformular im Zuge der Online-Registrierung über https://www. römisch 40 /. Der Stellungnahme angeschlossen wurde das „Datenschutz-Handbuch für die deutschsprachigen Unternehmen der XXXX “.Der Stellungnahme angeschlossen wurde das „Datenschutz-Handbuch für die deutschsprachigen Unternehmen der römisch 40 “.

Am 11.02.2021 wurde die für Datenschutzfragen zuständige Unternehmensjuristin der Beschwerdeführerin, XXXX , als Zeugin einvernommen. Sie gab zusammengefasst an, dass die datenschutzrechtlichen Einwilligungserklärungen im Rahmen des physischen Anmeldeformulars sowie auf der Website bereits existiert hätten, als sie am XXXX zur Beschwerdeführerin gekommen sei. Sie sei soweit involviert, als sie die laufende Rechtsentwicklung mitverfolge. Die Beschwerdeführerin habe auch externe Berater, die Rechtsanwälte seien.
Am 11.02.2021 wurde die für Datenschutzfragen zuständige Unternehmensjuristin der Beschwerdeführerin, römisch 40 , als Zeugin einvernommen. Sie gab zusammengefasst an, dass die datenschutzrechtlichen Einwilligungserklärungen im Rahmen des physischen Anmeldeformulars sowie auf der Website bereits existiert hätten, als sie am römisch 40 zur Beschwerdeführerin gekommen sei. Sie sei soweit involviert, als sie die laufende Rechtsentwicklung mitverfolge. Die Beschwerdeführerin habe auch externe Berater, die Rechtsanwälte seien.
Am 18.02.2021 wurde von der belangten Behörde der externe Datenschutzbeauftragte der Beschwerdeführerin, Rechtsanwalt XXXX , als Zeuge einvernommen. Er gab an, seit XXXX als externer Datenschutzbeauftragter der Beschwerdeführerin tätig zu sein. Er habe in seiner Funktion Unterstützung der Stabstelle XXXX (Abkürzung für XXXX , Anm.) erhalten und sei von dieser in die bestehende Dokumentation der Beschwerdeführerin eingeführt worden. Es habe ein Gespräch mit der Geschäftsführung sowie einen Workshop mit der XXXX gegeben. Er verweise auch auf seinen ersten Tätigkeitsbericht für das Jahr 2019, der auch im Rahmen des amtswegigen Prüfverfahrens vorgelegt worden sei. Die Einwilligungserklärungen seien bereits im Jahr XXXX entwickelt worden, sodass er keine Wahrnehmung dazu habe, wer letztlich die Entscheidung getroffenen habe, die Einwilligungserklärungen in dieser Form zu genehmigen, für den Betrieb in Österreich einzusetzen sowie, ob die Geschäftsführung sämtliche Angelegenheiten/Aufgaben im Rahmen der Einführung des Programms – insbesondere hinsichtlich der Gestaltung der Einwilligungserklärungen – selbst übernommen oder an andere Personen selbstverantwortlich überlassen habe. Die Beschwerdeführerin sei weiterhin der Ansicht, dass die (ursprüngliche) Gestaltung der Einwilligungserklärungen datenschutzkonform (gewesen) sei. Die Entscheidung der belangten Behörde im amtswegigen prüfverfahren sei überraschend gewesen, es habe im Jahr 2019 keinerlei veröffentlichte Entscheidungen, insbesondere der Höchstgerichte, gegeben, die eine gegenteilige Auslegung des Rechtsverständnisses der Beschwerdeführerin indiziert hätten. Er habe zahlreiche Unterlagen und Dokumentationen geprüft und sei davon ausgegangen, dass die Einwilligungserklärungen den Anforderungen der DSGVO entsprächen. Es gebe bei der Beschwerdeführerin zahlreiche Dokumente, die alle datenschutzrechtlichen Angelegenheiten umfassend behandelten, wie etwa Dienstanweisungen an Mitarbeiter, ein Programmkonzept, ein umfangreiches Löschkonzept, Schulungsunterlagen für Mitarbeiter und ein umfangreiches Verarbeitungsverzeichnis.
Am 18.02.2021 wurde von der belangten Behörde der externe Datenschutzbeauftragte der Beschwerdeführerin, Rechtsanwalt römisch 40 , als Zeuge einvernommen. Er gab an, seit römisch 40 als externer Datenschutzbeauftragter der Beschwerdeführerin tätig zu sein. Er habe in seiner Funktion Unterstützung der Stabstelle römisch 40 (Abkürzung für römisch 40 , Anmerkung erhalten und sei von dieser in die bestehende Dokumentation der Beschwerdeführerin eingeführt worden. Es habe ein Gespräch mit der Geschäftsführung sowie einen Workshop mit der römisch 40 gegeben. Er verweise auch auf seinen ersten Tätigkeitsbericht für das Jahr 2019, der auch im Rahmen des amtswegigen Prüfverfahrens vorgelegt worden sei. Die Einwilligungserklärungen seien bereits im Jahr römisch 40 entwickelt worden, sodass er keine Wahrnehmung dazu habe, wer letztlich die Entscheidung getroffenen habe, die Einwilligungserklärungen in dieser Form zu genehmigen, für den Betrieb in Österreich einzusetzen sowie, ob die Geschäftsführung sämtliche Angelegenheiten/Aufgaben im Rahmen der Einführung des Programms – insbesondere hinsichtlich der Gestaltung der Einwilligungserklärungen – selbst übernommen oder an andere Personen selbstverantwortlich überlassen habe. Die Beschwerdeführerin sei weiterhin der Ansicht, dass die (ursprüngliche) Gestaltung der Einwilligungserklärungen datenschutzkonform (gewesen) sei. Die Entscheidung der belangten Behörde im amtswegigen prüfverfahren sei überraschend gewesen, es habe im Jahr 2019 keinerlei veröffentlichte Entscheidungen, insbesondere der Höchstgerichte, gegeben, die eine gegenteilige Auslegung des Rechtsverständnisses der Beschwerdeführerin indiziert hätten. Er habe zahlreiche Unterlagen und Dokumentationen geprüft und sei davon ausgegangen, dass die Einwilligungserklärungen den Anforderungen der DSGVO entsprächen. Es gebe bei der Beschwerdeführerin zahlreiche Dokumente, die alle datenschutzrechtlichen Angelegenheiten umfassend behandelten, wie etwa Dienstanweisungen an Mitarbeiter, ein Programmkonzept, ein umfangreiches Löschkonzept, Schulungsunterlagen für Mitarbeiter und ein umfangreiches Verarbeitungsverzeichnis.
Am 22.02.2021 wurde die Leiterin der Rechtsabteilung der XXXX , XXXX , als Zeugin einvernommen. Sie gab zusammengefasst an, im Jahr 2017 mit der Rechtsberatung der Beschwerdeführerin beauftragt worden zu sein. Sie sei der XXXX zugeordnet, die im Rahmen der inhaltlichen Beratung als Schnittstelle gegenüber der Geschäftsführung fungiere. Vor Bestellung des externen Datenschutzbeauftragten habe XXXX die Funktion des internen Datenschutzbeauftragten innegehabt. Es sei dann entschieden worden, jemand anderen als Datenschutzbeauftragen zu bestellen, der XXXX sei und die österreichische Gegebenheiten besser kenne und auch das Geschäft der Beschwerdeführerin besser verstehe. Die Einwilligungserklärungen seien lange besprochen und angepasst worden und die Rechtsabteilung der XXXX habe die Geschäftsführung über den Verlauf regelmäßig immer wieder informiert. Am Ende sei die finale Version der Geschäftsführung vorgelegt und von dieser genehmigt worden. Die Geschäftsführer hätten das gemeinsam entschieden und seien bei den wöchentlichen Meetings über den Fortlauf der Einwilligungserklärungen im Wesentlichen (nicht jedes Mal gemeinsam) anwesend gewesen. Die Gestaltung und rechtliche/inhaltliche Prüfung der gegenständlichen Einwilligungserklärungen sei von der Geschäftsführung der Beschwerdeführerin der Rechtsabteilung der XXXX gemeinsam mit externen Rechtsanwälten der Kanzlei XXXX überlassen worden. Es sei auch intensiv mit den Partner-Unternehmen und deren externen Anwälten Rücksprache zu den Einwilligungserklärungen gehalten worden, damit die Partner-Unternehmen als Begünstigte ebenfalls von der Rechtskonformität der Einwilligungserklärungen ausgehen bzw. sich daran beteiligen könnten. Die Beratung sei primär mittels E-Mails und persönlich im Rahmen von Meetings erfolgt, es habe keine Gutachten gegeben. Sie teile die rechtliche Ansicht der belangten Behörde im Bescheid aus dem amtswegigen Prüfverfahren nicht. Es habe bereits ein XXXX gegeben, der XXXX habe sich jedoch nur mit technischen Aspekten der Datenverarbeitung befasst, jedenfalls keine Rechtsprüfung vorgenommen. Der externe Datenschutzbeauftragte habe im Zuge seines Antritts sämtliche Dokumente und Unterlagen geprüft.
Am 22.02.2021 wurde die Leiterin der Rechtsabteilung der römisch 40 , römisch 40 , als Zeugin einvernommen. Sie gab zusammengefasst an, im Jahr 2017 mit der Rechtsberatung der Beschwerdeführerin beauftragt worden zu sein. Sie sei der römisch 40 zugeordnet, die im Rahmen der inhaltlichen Beratung als Schnittstelle gegenüber der Geschäftsführung fungiere. Vor Bestellung des externen Datenschutzbeauftragten habe römisch 40 die Funktion des internen Datenschutzbeauftragten innegehabt. Es sei dann entschieden worden, jemand anderen als Datenschutzbeauftragen zu bestellen, der römisch 40 sei und die österreichische Gegebenheiten besser kenne und auch das Geschäft der Beschwerdeführerin besser verstehe. Die Einwilligungserklärungen seien lange besprochen und angepasst worden und die Rechtsabteilung der römisch 40 habe die Geschäftsführung über den Verlauf regelmäßig immer wieder informiert. Am Ende sei die finale Version der Geschäftsführung vorgelegt und von dieser genehmigt worden. Die Geschäftsführer hätten das gemeinsam entschieden und seien bei den wöchentlichen Meetings über den Fortlauf der Einwilligungserklärungen im Wesentlichen (nicht jedes Mal gemeinsam) anwesend gewesen. Die Gestaltung und rechtliche/inhaltliche Prüfung der gegenständlichen Einwilligungserklärungen sei von der Geschäftsführung der Beschwerdeführerin der Rechtsabteilung der römisch 40 gemeinsam mit externen Rechtsanwälten der Kanzlei römisch 40 überlassen worden. Es sei auch intensiv mit den Partner-Unternehmen und deren externen Anwälten Rücksprache zu den Einwilligungserklärungen gehalten worden, damit die Partner-Unternehmen als Begünstigte ebenfalls von der Rechtskonformität der Einwilligungserklärungen ausgehen bzw. sich daran beteiligen könnten. Die Beratung sei primär mittels E-Mails und persönlich im Rahmen von Meetings erfolgt, es habe keine Gutachten gegeben. Sie teile die rechtliche Ansicht der belangten Behörde im Bescheid aus dem amtswegigen Prüfverfahren nicht. Es habe bereits ein römisch 40 gegeben, der römisch 40 habe sich jedoch nur mit technischen Aspekten der Datenverarbeitung befasst, jedenfalls keine Rechtsprüfung vorgenommen. Der externe Datenschutzbeauftragte habe im Zuge seines Antritts sämtliche Dokumente und Unterlagen geprüft.
Die Beschwerdeführerin gab am 08.03.2021 eine Stellungnahme zu den Zeugeneinvernahmen ab und führte aus, dass die belangte Behörde bisher nicht dargelegt habe, aus welche Umständen sie ein vorsätzliches oder fahrlässiges Verhalten der Beschwerdeführerin oder der für sie handelnden Personen ableite. Nach § 5 Abs. 1a VStG dürfe seitens der belangten Behörde prima vista nicht angenommen werden, dass überhaupt ein schuldhaftes Verhalten bei der Beschwerdeführerin vorliege. Die Beschwerdeführerin habe sich – auch unter Einbeziehung ihrer Geschäftsführer – sehr gut und ausführlich überlegt, wie die gegenständlichen Ersuchen um Einwilligung rechtskonform und im Einklang mit den Vorgaben der DSGVO (wie sie in der vorliegenden Kommentarliteratur, der bisherigen Entscheidungspraxis, Rechtsprechung und den Leitlinien der Art. 29 Datenschutzgruppe sowie des EDSA ausgelegt würden) umgesetzt werden könnten. Ein fahrlässiges oder sogar vorsätzliches Verhalten sei dadurch gerade nicht indiziert. Für die Zulässigkeit unterschiedlicher Ausgestaltungen von Einwilligungserklärungen liege immer noch keine höchstgerichtliche Rechtsprechung oder relevante (rechtskräftige) verwaltungsbehördliche Spruchpraxis der belangten Behörde vor, an der sich die Beschwerdeführerin hätte orientieren können. Die unklare Rechtslage seit Anwendbarkeit der DSGVO könne somit jedenfalls nicht zu Lasten der Beschwerdeführerin verstanden werden. In Erfüllung ihrer gebotenen Sorgfaltspflichten seien Änderungen an bestehenden Datenverarbeitungen sowie die Einführung neuer Datenverarbeitungen seitens der Beschwerdeführerin stets nur unter ausführlichen Abwägungen und Überlegungen durch interne Fachexperten sowie unter Einbeziehung und entsprechenden Erkundigungen bei den bestellten externen Datenschutzbeauftragten als sach- und rechtskundige Personen sowie auf Datenschutzrecht spezialisierten Rechtsanwaltskanzleien erfolgt. Die Geschäftsführer der Beschwerdeführerin hätten keinen Grund gehabt, an der Einschätzung der internen wie externen Experten zu zweifeln, insbesondere da sie auch kontinuierlich in einen Entstehungsprozess der Einwilligungserklärungen eingebunden gewesen seien, die Ausführungen der Experten plausibel und fundiert gewesen seien und eine umfassende Auseinandersetzung der Experten mit den rechtlichen Vorgaben evident gewesen sei. Innerhalb der Beschwerdeführerin seien auch Prozesse eingerichtet, um einmal getroffene Maßnahmen kontinuierlich auf ihre Vereinbarkeit mit aktuellen Entwicklungen im Datenschutzrecht zu evaluieren und gegebenenfalls entsprechende Anpassungen vorzubereiten und mit den Geschäftsführern abzustimmen. Wenngleich das Datenschutzhandbuch erst im XXXX seitens der Beschwerdeführerin unterschrieben worden sei, sei festzuhalten, dass dieses lediglich die seit Anfang XXXX bestehenden Prozesse innerhalb der Beschwerdeführerin festgeschrieben habe. Die Beschwerdeführerin habe daher in Bezug auf die Gestaltung der Einwilligungserklärungen alles ihr Mögliche und Zumutbare unternommen, um eine rechtskonforme und den Anforderungen der DSGVO entsprechende Gestaltung der Ersuchen um Einwilligung sicherzustellen. Eine Bestrafung scheide daher mangels vorsätzlichen oder fahrlässigen Verhaltens jedenfalls aus.
Die Beschwerdeführerin gab am 08.03.2021 eine Stellungnahme zu den Zeugeneinvernahmen ab und führte aus, dass die belangte Behörde bisher nicht dargelegt habe, aus welche Umständen sie ein vorsätzliches oder fahrlässiges Verhalten der Beschwerdeführerin oder der für sie handelnden Personen ableite. Nach Paragraph 5, Absatz eins a, VStG dürfe seitens der belangten Behörde prima vista nicht angenommen werden, dass überhaupt ein schuldhaftes Verhalten bei der Beschwerdeführerin vorliege. Die Beschwerdeführerin habe sich – auch unter Einbeziehung ihrer Geschäftsführer – sehr gut und ausführlich überlegt, wie die gegenständlichen Ersuchen um Einwilligung rechtskonform und im Einklang mit den Vorgaben der DSGVO (wie sie in der vorliegenden Kommentarliteratur, der bisherigen Entscheidungspraxis, Rechtsprechung und den Leitlinien der Artikel 29, Datenschutzgruppe sowie des EDSA ausgelegt würden) umgesetzt werden könnten. Ein fahrlässiges oder sogar vorsätzliches Verhalten sei dadurch gerade nicht indiziert. Für die Zulässigkeit unterschiedlicher Ausgestaltungen von Einwilligungserklärungen liege immer noch keine höchstgerichtliche Rechtsprechung oder relevante (rechtskräftige) verwaltungsbehördliche Spruchpraxis der belangten Behörde vor, an der sich die Beschwerdeführerin hätte orientieren können. Die unklare Rechtslage seit Anwendbarkeit der DSGVO könne somit jedenfalls nicht zu Lasten der Beschwerdeführerin verstanden werden. In Erfüllung ihrer gebotenen Sorgfaltspflichten seien Änderungen an bestehenden Datenverarbeitungen sowie die Einführung neuer Datenverarbeitungen seitens der Beschwerdeführerin stets nur unter ausführlichen Abwägungen und Überlegungen durch interne Fachexperten sowie unter Einbeziehung und entsprechenden Erkundigungen bei den bestellten externen Datenschutzbeauftragten als sach- und rechtskundige Personen sowie auf Datenschutzrecht spezialisierten Rechtsanwaltskanzleien erfolgt. Die Geschäftsführer der Beschwerdeführerin hätten keinen Grund gehabt, an der Einschätzung der internen wie externen Experten zu zweifeln, insbesondere da sie auch kontinuierlich in einen Entstehungsprozess der Einwilligungserklärungen eingebunden gewesen seien, die Ausführungen der Experten plausibel und fundiert gewesen seien und eine umfassende Auseinandersetzung der Experten mit den rechtlichen Vorgaben evident gewesen sei. Innerhalb der Beschwerdeführerin seien auch Prozesse eingerichtet, um einmal getroffene Maßnahmen kontinuierlich auf ihre Vereinbarkeit mit aktuellen Entwicklungen im Datenschutzrecht zu evaluieren und gegebenenfalls entsprechende Anpassungen vorzubereiten und mit den Geschäftsführern abzustimmen. Wenngleich das Datenschutzhandbuch erst im römisch 40 seitens der Beschwerdeführerin unterschrieben worden sei, sei festzuhalten, dass dieses lediglich die seit Anfang römisch 40 bestehenden Prozesse innerhalb der Beschwerdeführerin festgeschrieben habe. Die Beschwerdeführerin habe daher in Bezug auf die Gestaltung der Einwilligungserklärungen alles ihr Mögliche und Zumutbare unternommen, um eine rechtskonforme und den Anforderungen der DSGVO entsprechende Gestaltung der Ersuchen um Einwilligung sicherzustellen. Eine Bestrafung scheide daher mangels vorsätzlichen oder fahrlässigen Verhaltens jedenfalls aus.
Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 08.03.2021 auf, sämtliche Beratungsergebnisse oder Auskünfte (z.B. Protokolle von Besprechungen, Korrespondenz, Gutachten, Formular-Entwürfe, etc.) im Zusammenhang mit der rechtlichen Beurteilung, ob die gegenständlichen Einwilligungserklärungen (Ersuchen um Einwilligungen mittels der Methoden (i) physisches Anmeldeformular im XXXX und (ii) Webseite https://www. XXXX /) den Anforderungen gemäß Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO entsprechen, die der Geschäftsführung der Beschwerdeführerin vom externen Datenschutzbeauftragter der XXXX mit Sitz in XXXX ), der Rechtsabteilung der XXXX , der Rechtsanwaltskanzlei XXXX (unter Federführung von XXXX ), sowie der Rechtsanwaltskanzlei XXXX vorgelegt worden seien, sowie sonstige Auskünfte von sachkundigen Personen/Abteilungen bzw. externen Beratern, vorzulegen.
Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 08.03.2021 auf, sämtliche Beratungsergebnisse oder Auskünfte (z.B. Protokolle von Besprechungen, Korrespondenz, Gutachten, Formular-Entwürfe, etc.) im Zusammenhang mit der rechtlichen Beurteilung, ob die gegenständlichen Einwilligungserklärungen (Ersuchen um Einwilligungen mittels der Methoden (i) physisches Anmeldeformular im römisch 40 und (ii) Webseite https://www. römisch 40 /) den Anforderungen gemäß Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7

, Absatz 2, DSGVO entsprechen, die der Geschäftsführung der Beschwerdeführerin vom externen Datenschutzbeauftragter der römisch 40 mit Sitz in römisch 40 ), der Rechtsabteilung der römisch 40 , der Rechtsanwaltskanzlei römisch 40 (unter Federführung von römisch 40 ), sowie der Rechtsanwaltskanzlei römisch 40 vorgelegt worden seien, sowie sonstige Auskünfte von sachkundigen Personen/Abteilungen bzw. externen Beratern, vorzulegen.

Am 11.03.2021 wurde die ehemalige Teamleiterin für Datenschutzmanagement und Vertragsmanagement der XXXX , als Zeugin einvernommen. Sie gab an, von XXXX bis XXXX 2020 in der XXXX angestellt gewesen zu sein. Für die gesamten deutschsprachigen Unternehmen der Unternehmensgruppe – auch für die Beschwerdeführerin - sei sie Teamleiterin für Datenschutzmanagement und Vertragsmanagement und für die Koordination und Administration der Datenschutzprozesse zuständig gewesen. Man könnte die Position als „Datenschutzkoordinator“ bezeichnen, sie sei jedenfalls keine Juristin, sondern für die Verwaltung der datenschutzrechtlichen Prozesse zuständig. Die laufende Kontrolle und Überwachung der getroffenen Maßnahmen sei durch regelmäßige Management Updates durch das Datenschutz-Management (sowohl in Deutschland als auch in Österreich) erfolgt, in denen wichtige datenschutzrechtliche Themen besprochen worden seien. Die Geschäftsführung der Beschwerdeführerin sei bspw. über die EuGH Entscheidung zu Planet49 informiert worden. Für die regelmäßigen Meetings mit der Geschäftsführung seien auch stets Präsentationen angefertigt worden. Alle Mitarbeiter müssten eine datenschutzrechtliche Vertraulichkeitsvereinbarung unterschreiben, sie habe die Kollegen in Österreich geschult und datenschutzrechtlichen Prozesse betreut.
Am 11.03.2021 wurde die ehemalige Teamleiterin für Datenschutzmanagement und Vertragsmanagement der römisch 40 , als Zeugin einvernommen. Sie gab an, von römisch 40 bis römisch 40 2020 in der römisch 40 angestellt gewesen zu sein. Für die gesamten deutschsprachigen Unternehmen der Unternehmensgruppe – auch für die Beschwerdeführerin - sei sie Teamleiterin für Datenschutzmanagement und Vertragsmanagement und für die Koordination und Administration der Datenschutzprozesse zuständig gewesen. Man könnte die Position als „Datenschutzkoordinator“ bezeichnen, sie sei jedenfalls keine Juristin, sondern für die Verwaltung der datenschutzrechtlichen Prozesse zuständig. Die laufende Kontrolle und Überwachung der getroffenen Maßnahmen sei durch regelmäßige Management Updates durch das Datenschutz-Management (sowohl in Deutschland als auch in Österreich) erfolgt, in denen wichtige datenschutzrechtliche Themen besprochen worden seien. Die Geschäftsführung der Beschwerdeführerin sei bspw. über die EuGH Entscheidung zu Planet49 informiert worden. Für die regelmäßigen Meetings mit der Geschäftsführung seien auch stets Präsentationen angefertigt worden. Alle Mitarbeiter müssten eine datenschutzrechtliche Vertraulichkeitsvereinbarung unterschreiben, sie habe die Kollegen in Österreich geschult und datenschutzrechtlichen Prozesse betreut.
Am 17.03.2021 wurde der Geschäftsführer der Beschwerdeführerin, XXXX , als Beschuldigter einvernommen. Er führte aus, primär für die datenschutzrechtlichen Angelegenheiten im Zusammenhang mit den Einwilligungserklärungen zuständig gewesen zu sein und die Prozesse betreut zu haben. Die letztendliche Entscheidung habe er gemeinsam mit dem zweiten Geschäftsführer getroffen. Vor der Corona-Pandemie hätten alle zwei Wochen Meetings an einem XXXX mehrheitlich in XXXX stattgefunden. Aufgrund von Corona hätten sie auf Videokonferenztools umgestellt, wenn möglich würden die Meetings vor Ort in XXXX stattfinden. Im Datenschutzbereich seien sie vor der Einstellung von XXXX von ihrem XXXX Team, dem externen Datenschutzbeauftragten der XXXX , der Kanzlei XXXX sowie der Kanzlei XXXX beraten/unterstützt worden. Es sei für die Geschäftsführung klargewesen, dass die Gestaltung des Formulars die Anforderungen der DSGVO erfülle und dass es für den Kunden leicht verständlich sei. Das ganze Formular sei bereits mehrmals durch andere Gesellschaften geprüft worden. Basierend auf diesen geprüften Formularen hätten sie dann weitergearbeitet und die Kanzlei XXXX zusätzlich beauftragt. Es sei ihm von den Beratern versichert worden, dass diese Formulare den Anforderungen entsprechen. Zudem habe auch die Gesellschaft XXXX (beraten durch die Kanzlei XXXX ) eine Überprüfung vorgenommen und den Inhalt final – als Voraussetzung für den Vertragsabschluss mit der Beschwerdeführerin - bestätigt. Die Beratung habe in Form von mehreren Meetings stattgefunden, es seien die Formulare im Gesamtkonzept analysiert worden. Bezüglich der Buttons sei berichtet worden, dass diese die Menüführung für den Konsumenten erleichtern sollen und zulässig seien. Die Formulare würden auf einer Version, die in Deutschland bereits genutzt worden sei, basieren. Sie hätten zudem keine höchstgerichtliche Judikatur gehabt, an der sie sich orientieren hätten können. Für sie sei das alles plausibel gewesen, das mit dem Unterschriftenfeld eine Einwilligung eingeholt werden könne. Nach dem Planet49-Urteil des EuGH sei eine Überprüfung eingeleitet worden und sie seien zu dem Schluss gekommen, dass keine Änderung erforderlich sei. Die rechtliche Analyse der EuGH Entscheidung sei von XXXX in Zusammenarbeit mit XXXX vorgenommen und ihnen präsentiert worden. Für die Kontrolle der selbstverantwortlich überlassenen Tätigkeiten habe er einen externen Datenschutzbeauftragten bestellt, um eine Kontrolle zu gewährleisten. Des Weiteren gebe es eine jährliche XXXX , mit Schwerpunkt technischer Fragestellungen. Auch die eingebundene Organisation von Deutschland helfe bei der Kontrolle. Es gebe regelmäßige Meetings im Abstand von 14 Tagen und zudem einen ständigen Dialog mit XXXX . Die initiale Datenschutzschulung für Österreich habe XXXX vorgenommen, am XXXX 2021 habe eine Datenschutzschulung stattgefunden und es gebe regelmäßige Datenschutzschulungen auch für die gesamte Geschäftsführung. Der einzelne Mitarbeiter sei mehrmals jährlich mit Datenschutzschulungen beschäftigt. Die letzte Schulung habe XXXX für die deutschsprachige Unternehmensgruppe vorgenommen, XXXX nehme die Schulungen für Österreich vor.
Am 17.03.2021 wurde der Geschäftsführer der Beschwerdeführerin, römisch 40 , als Beschuldigter einvernommen. Er führte aus, primär für die datenschutzrechtlichen Angelegenheiten im Zusammenhang mit den Einwilligungserklärungen zuständig gewesen zu sein und die Prozesse betreut zu haben. Die letztendliche Entscheidung habe er gemeinsam mit dem zweiten Geschäftsführer getroffen. Vor der Corona-Pandemie hätten alle zwei Wochen Meetings an einem römisch 40 mehrheitlich in römisch 40 stattgefunden. Aufgrund von Corona hätten sie auf Videokonferenztools umgestellt, wenn möglich würden die Meetings vor Ort in römisch 40 stattfinden. Im Datenschutzbereich seien sie vor der Einstellung von römisch 40 von ihrem römisch 40 Team, dem externen Datenschutzbeauftragten der römisch 40 , der Kanzlei römisch 40 sowie der Kanzlei römisch 40 beraten/unterstützt worden. Es sei für die Geschäftsführung klargewesen, dass die Gestaltung des Formulars die Anforderungen der DSGVO erfülle und dass es für den Kunden leicht verständlich sei. Das ganze Formular sei bereits mehrmals durch andere Gesellschaften geprüft worden. Basierend auf diesen geprüften Formularen hätten sie dann weitergearbeitet und die Kanzlei römisch 40 zusätzlich beauftragt. Es sei ihm von den Beratern versichert worden, dass diese Formulare den Anforderungen entsprechen. Zudem habe auch die Gesellschaft römisch 40 (beraten durch die Kanzlei römisch 40 ) eine Überprüfung vorgenommen und den Inhalt final – als Voraussetzung für den Vertragsabschluss mit der Beschwerdeführerin - bestätigt. Die Beratung habe in Form von mehreren Meetings stattgefunden, es seien die Formulare im Gesamtkonzept analysiert worden. Bezüglich der Buttons sei berichtet worden, dass diese die Menüführung für den Konsumenten erleichtern sollen und zulässig seien. Die Formulare würden auf einer Version, die in Deutschland bereits genutzt worden sei, basieren. Sie hätten zudem keine höchstgerichtliche Judikatur gehabt, an der sie sich orientieren hätten können. Für sie sei das alles plausibel gewesen, das mit dem Unterschriftenfeld eine Einwilligung eingeholt werden könne. Nach dem Planet49-Urteil des EuGH sei eine Überprüfung eingeleitet worden und sie seien zu dem Schluss gekommen, dass keine Änderung erforderlich sei. Die rechtliche Analyse der EuGH Entscheidung sei von römisch 40 in Zusammenarbeit mit römisch 40 vorgenommen und ihnen präsentiert worden. Für die Kontrolle der selbstverantwortlich überlassenen Tätigkeiten habe er einen externen Datenschutzbeauftragten bestellt, um eine Kontrolle zu gewährleisten. Des Weiteren gebe es eine jährliche römisch 40 , mit Schwerpunkt technischer Fragestellungen. Auch die eingebundene Organisation von Deutschland helfe bei der Kontrolle. Es gebe regelmäßige Meetings im Abstand von 14 Tagen und zudem einen ständigen Dialog mit römisch 40 . Die initiale Datenschutzschulung für Österreich habe römisch 40 vorgenommen, am römisch 40 2021 habe eine Datenschutzschulung stattgefunden und es gebe regelmäßige Datenschutzschulungen auch für die gesamte Geschäftsführung. Der einzelne Mitarbeiter sei mehrmals jährlich mit Datenschutzschulungen beschäftigt. Die letzte Schulung habe römisch 40 für die deutschsprachige Unternehmensgruppe vorgenommen, römisch 40 nehme die Schulungen für Österreich vor.
Die Beschwerdeführerin gab am 26.03.2021 eine weitere Stellungnahme ab, in welcher sie u.a. ausführte, dass der Umsatz der Beschwerdeführerin sich für das Geschäftsjahr 2020 auf EUR XXXX belaufe. Der Genehmigung der finalen Fassungen der Einwilligungserklärungen sei ein iterativer Abstimmungs- und Erstellungsprozess vorausgegangen, so seien den externen Beratern Entwurfsfassungen der Einwilligungserklärungen zur Durchsicht übermittelt worden und deren Anmerkungen dann in Workshops oder Abstimmungsterminen diskutiert und seitens der Beschwerdeführerin in die nächste Entwurfsfassung eingearbeitet worden, die dann wiederum an die externen Berater zur Durchsicht und weiten Abstimmung zirkuliert worden sei. Der Aufforderung zur Vorlage der Dokumente/Unterlagen könne daher nicht nachgekommen werden. Die Nichtvorlage könne aber jedenfalls nicht als Verletzung der Mitwirkungsobliegenheiten ausgelegt werden, da diese sich ausschließlich auf den objektiven, nicht aber – wie die geforderten Dokumente – auf den subjektiven Tatbestand beziehen würden.
Die Beschwerdeführerin gab am 26.03.2021 eine weitere Stellungnahme ab, in welcher sie u.a. ausführte, dass der Umsatz der Beschwerdeführerin sich für das Geschäftsjahr 2020 auf EUR römisch 40 belaufe. Der Genehmigung der finalen Fassungen der Einwilligungserklärungen sei ein iterativer Abstimmungs- und Erstellungsprozess vorausgegangen, so seien den externen Beratern Entwurfsfassungen der Einwilligungserklärungen zur Durchsicht übermittelt worden und deren Anmerkungen dann in Workshops oder Abstimmungsterminen diskutiert und seitens der Beschwerdeführerin in die nächste Entwurfsfassung eingearbeitet worden, die dann wiederum an die externen Berater zur Durchsicht und weiten Abstimmung zirkuliert worden sei. Der Aufforderung zur Vorlage der Dokumente/Unterlagen könne daher nicht nachgekommen werden. Die Nichtvorlage könne aber jedenfalls nicht als Verletzung der Mitwirkungsobliegenheiten ausgelegt werden, da diese sich ausschließlich auf den objektiven, nicht aber – wie die geforderten Dokumente – auf den subjektiven Tatbestand beziehen würden.
Nach Durchführung des Ermittlungsverfahrens erließ die belangte Behörde das angefochtene Straferkenntnis und sprach aus, dass die Beschwerdeführerin als Verantwortliche im Zusammenhang mit dem Betrieb von XXXX in Österreich, jedenfalls seit dem XXXX bis einschließlich XXXX 2020 im gesamten Bundesgebiet, bei den Ersuchen um Einwilligung der betroffenen Personen, die sich für das XXXX Kundenbindungsprogramm registriert hätten, für die „Verarbeitung von Kundendaten XXXX “, unter Verwendung der Methoden (i) physisches Anmeldeformular im XXXX und (ii) Webseite https://www. XXXX /, nicht den Anforderungen gemäß Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO entsprochen habe, wodurch die Betroffenen dazu veranlasst worden seien, in die Verarbeitung ihrer personenbezogenen Daten einzuwilligen, ohne dass die Voraussetzungen für eine Einwilligung vorgelegen seien (Spruchpunkt 1.). Die Beschwerdeführerin habe daher personenbezogene Daten unrechtmäßig verarbeitet, da die Verarbeitung auch auf keine andere Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO gestützt habe werden können (Spruchpunkt 2.).
Nach Durchführung des Ermittlungsverfahrens erließ die belangte Behörde das angefochtene Straferkenntnis und sprach aus, dass die Beschwerdeführerin als Verantwortliche im Zusammenhang mit dem Betrieb von römisch 40 in Österreich, jedenfalls seit dem römisch 40 bis einschließlich römisch 40 2020 im gesamten Bundesgebiet, bei den Ersuchen um Einwilligung der betroffenen Personen, die sich für das römisch 40 Kundenbindungsprogramm registriert hätten, für die „Verarbeitung von Kundendaten römisch 40 “, unter Verwendung der Methoden (i) physisches Anmeldeformular im römisch 40 und (ii) Webseite https://www. römisch 40 /, nicht den Anforderungen gemäß Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7

, Absatz 2, DSGVO entsprochen habe, wodurch die Betroffenen dazu veranlasst worden seien, in die Verarbeitung ihrer personenbezogenen Daten einzuwilligen, ohne dass die Voraussetzungen für eine Einwilligung vorgelegen seien (Spruchpunkt 1.). Die Beschwerdeführerin habe daher personenbezogene Daten unrechtmäßig verarbeitet, da die Verarbeitung auch auf keine andere Rechtsgrundlage gemäß Artikel 6, Absatz eins, DSGVO gestützt habe werden können (Spruchpunkt 2.). Die Beschwerdeführerin habe daher im Ergebnis den Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verletzt und personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorgelegten habe. Dies sei dadurch ermöglicht worden, dass die im Tatzeitraum zur Vertretung nach außen berufenen und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten verantwortlichen [namentlich genannten] Geschäftsführer, gemeinsam als vertretungsbefugte Organe im Sinne des § 30 Abs. 1 und Abs. 2 DSG, durch Außerachtlassung der gebotenen Sorgfalt aufgrund mangelnder Kontrolle und Überwachung die oben dargestellten Verwaltungsübertretungen zu verantworten hätten. Die Beschwerdeführerin habe daher im Ergebnis den Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verletzt und personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Artikel 6, DSGVO vorgelegten habe. Dies sei dadurch ermöglicht worden, dass die im Tatzeitraum zur Vertretung nach außen berufenen und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten verantwortlichen [namentlich genannten] Geschäftsführer, gemeinsam als vertretungsbefugte Organe im Sinne des Paragraph 30, Absatz eins und Absatz 2, DSG, durch Außerachtlassung der gebotenen Sorgfalt aufgrund mangelnder Kontrolle und Überwachung die oben dargestellten Verwaltungsübertretungen zu verantworten hätten. Das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der namentlich genannten Geschäftsführer werde im Hinblick auf § 30 Abs. 1 und Abs. 2 DSG der Beschwerdeführerin als beschuldigte juristische Person und datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO zugerechnet. Das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der namentlich genannten Geschäftsführer werde im Hinblick auf Paragraph 30, Absatz eins und Absatz 2, DSG der Beschwerdeführerin als beschuldigte juristische Person und datenschutzrechtlich Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO zugerechnet. Der Beschwerdeführerin seien daher Verwaltungsübertretungen nach Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO sowie Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVO anzulasten und werde wegen dieser Verstöße gemäß Art. 83 Abs. 5 lit. a DSGVO iVm § 30 DSG eine Geldbuße in Höhe von EUR 1.200.000,00 über die Beschwerdeführerin verhängt. Zudem habe die Beschwerdeführerin gemäß § 64 VStG einen Beitrag in Höhe von 10% der Strafe, sohin EUR 120.000,00 zu den Kosten des Strafverfahrens zu leisten. Der Beschwerdeführerin seien daher Verwaltungsübertretungen nach Artikel 5, Absatz eins, Litera a,

Artikel 7

, Absatz 2,

Artikel 83

, Absatz 5, Litera a, DSGVO sowie Artikel 5, Absatz eins, Litera a,

Artikel 6

, Absatz eins,

Artikel 83

, Absatz 5, Litera a, DSGVO anzulasten und werde wegen dieser Verstöße gemäß Artikel 83, Absatz 5, Litera a, DSGVO

Paragraph 30, DSG eine Geldbuße in Höhe von EUR 1.200.000,00 über die Beschwerdeführerin verhängt. Zudem habe die Beschwerdeführerin gemäß Paragraph 64, VStG einen Beitrag in Höhe von 10% der Strafe, sohin EUR 120.000,00 zu den Kosten des Strafverfahrens zu leisten. Rechtlich hielt die belangte Behörde fest: Zur konkreten Einwilligungserklärung im Hinblick auf das physische Anmeldeformular XXXX sei auszuführen, dass an die Kriterien von Art. 4 Z 11 und Art. 7 Abs. 2 DSGVO ein hoher Maßstab anzulegen sei, Inhalt und Tragweite vorgefasster Vertragsklauseln müssten nach der Rechtsprechung des OGH für den Verbraucher „durchschaubar“ sein. Nun könne aber in einem Fall wie diesem nicht davon ausgegangen werden, dass ein Benutzer, der sich dem Anmeldeprozess mit durchschnittlicher Aufmerksamkeit widme, erkenne, dass es sich bei dem am Ende des Anmeldeformulars platzierten Unterschriftenfeldes um die Abgabe einer datenschutzrechtlichen Einwilligung handle. Vielmehr vermittle die Gesamtkonzeption des Anmeldeformulars und die Platzierung des Unterschriftenfelds den Eindruck, dass es sich hierbei um eine Unterschrift zur Anmeldebestätigung zum Programm handle. Der Hinweis XXXX sei in kleiner Schriftgröße verfasst und befinde sich am unteren Ende des Anmeldeformulars, was von einem Durchschnittsbenutzer am Ende des Anmeldeprozesses nicht mehr ausreichend wahrgenommen werde; zudem erschließe sich der belangten Behörde nicht, weshalb die Wortfolge XXXX derart konzipiert sei, dass der Eindruck entstehe, dass die Anmeldung nur mit Unterschrift wirksam werde, weshalb also nicht auch XXXX fett gedruckt sei. Weiters sei auch zu berücksichtigen, dass zwischen der Überschrift XXXX und dem Unterschriftenfeld ein augenfälliger räumlicher Abstand bestehe und kein ausreichender Konnex – anders als etwa bei einer deutlich neben einem Ersuchen um Einwilligung platzierten Checkbox – gegeben sei. Die Einwilligungserklärung am physischen Anmeldeformular unter der Überschrift XXXX entspreche daher nicht den Anforderungen des Art. 4 Z 11 iVm Art. 7 Abs. 2 DSGVO.Rechtlich hielt die belangte Behörde fest: Zur konkreten Einwilligungserklärung im Hinblick auf das physische Anmeldeformular römisch 40 sei auszuführen, dass an die Kriterien von Artikel 4, Ziffer 11 und Artikel 7, Absatz 2, DSGVO ein hoher Maßstab anzulegen sei, Inhalt und Tragweite vorgefasster Vertragsklauseln müssten nach der Rechtsprechung des OGH für den Verbraucher „durchschaubar“ sein. Nun könne aber in einem Fall wie diesem nicht davon ausgegangen werden, dass ein Benutzer, der sich dem Anmeldeprozess mit durchschnittlicher Aufmerksamkeit widme, erkenne, dass es sich bei dem am Ende des Anmeldeformulars platzierten Unterschriftenfeldes um die Abgabe einer datenschutzrechtlichen Einwilligung handle. Vielmehr vermittle die Gesamtkonzeption des Anmeldeformulars und die Platzierung des Unterschriftenfelds den Eindruck, dass es sich hierbei um eine Unterschrift zur Anmeldebestätigung zum Programm handle. Der Hinweis römisch 40 sei in kleiner Schriftgröße verfasst und befinde sich am unteren Ende des Anmeldeformulars, was von einem Durchschnittsbenutzer am Ende des Anmeldeprozesses nicht mehr ausreichend wahrgenommen werde; zudem erschließe sich der belangten Behörde nicht, weshalb die Wortfolge römisch 40 derart konzipiert sei, dass der Eindruck entstehe, dass die Anmeldung nur mit Unterschrift wirksam werde, weshalb also nicht auch römisch 40 fett gedruckt sei. Weiters sei auch zu berücksichtigen, dass zwischen der Überschrift römisch 40 und dem Unterschriftenfeld ein augenfälliger räumlicher Abstand bestehe und kein ausreichender Konnex – anders als etwa bei einer deutlich neben einem Ersuchen um Einwilligung platzierten Checkbox – gegeben sei. Die Einwilligungserklärung am physischen Anmeldeformular unter der Überschrift römisch 40 entspreche daher nicht den Anforderungen des Artikel 4, Ziffer 11,

Artikel 7, Absatz 2, DSGVO.

Zur konkreten Einwilligungserklärung im Hinblick auf die Webseite sei festzuhalten, dass diese Einwilligungserklärung ebenfalls nicht den Anforderungen des Art. 4 Z 11 iVm Art. 7 Abs. 2 DSGVO entspreche, da sich auch diese – das Bestätigen des XXXX Buttons – nicht ausreichend von den übrigen Elementen des Online-Anmeldeprozesses abhebe, aufgrund der Doppelfunktion des Buttons nicht von einer „unmissverständlichen“ und „in voller Kenntnis der Sachlage“ erteilten Einwilligungserklärung ausgegangen werden könne und sich ein Durchschnittsbenutzer gar nicht des Umstands bewusst sein werde, dass er durch Drücken des XXXX Buttons eine datenschutzrechtliche Einwilligung abgebe.Zur konkreten Einwilligungserklärung im Hinblick auf die Webseite sei festzuhalten, dass diese Einwilligungserklärung ebenfalls nicht den Anforderungen des Artikel 4, Ziffer 11,

Artikel 7

, Absatz 2, DSGVO entspreche, da sich auch diese – das Bestätigen des römisch 40 Buttons – nicht ausreichend von den übrigen Elementen des Online-Anmeldeprozesses abhebe, aufgrund der Doppelfunktion des Buttons nicht von einer „unmissverständlichen“ und „in voller Kenntnis der Sachlage“ erteilten Einwilligungserklärung ausgegangen werden könne und sich ein Durchschnittsbenutzer gar nicht des Umstands bewusst sein werde, dass er durch Drücken des römisch 40 Buttons eine datenschutzrechtliche Einwilligung abgebe. Nach dem ausdrücklichen Wortlaut von Art. 6 Abs. 1 DSGVO müsse jede Verarbeitung mindestens eine dort aufgezählte Bedingung („Erlaubnistatbestand“) erfüllen. Da die gegenständlich überprüften Ersuchen um Einwilligung unter Verwendung der Methoden

i)physisches Anmeldeformular im XXXX und
ii)Webseite nicht den Anforderungen von Art. 4 Z 11 DSGVO und Art. 7 Abs. 2 DSGVO entsprächen, handle es sich um ungültige Einwilligungserklärungen. Eine andere Rechtfertigungsgrundlage sei von der Beschwerdeführerin nicht angeführt worden und komme eine solche, etwa nach Art. 6 Abs. 1 lit. f DSGVO, auch deswegen nicht in Betracht, da es nicht möglich sei, diese im Nachhinein, nachdem sich die Einwilligung als rechtswidrig herausstelle, heranzuziehen. Die objektive Tatseite sei daher erfüllt. Nach dem ausdrücklichen Wortlaut von Artikel 6, Absatz eins, DSGVO müsse jede Verarbeitung mindestens eine dort aufgezählte Bedingung („Erlaubnistatbestand“) erfüllen. Da die gegenständlich überprüften Ersuchen um Einwilligung unter Verwendung der Methoden
i)physisches Anmeldeformular im römisch 40 und
ii)Webseite nicht den Anforderungen von Artikel 4, Ziffer 11, DSGVO und Artikel 7, Absatz 2, DSGVO entsprächen, handle es sich um ungültige Einwilligungserklärungen. Eine andere Rechtfertigungsgrundlage sei von der Beschwerdeführerin nicht angeführt worden und komme eine solche, etwa nach Artikel 6, Absatz eins, Litera f, DSGVO, auch deswegen nicht in Betracht, da es nicht möglich sei, diese im Nachhinein, nachdem sich die Einwilligung als rechtswidrig herausstelle, heranzuziehen. Die objektive Tatseite sei daher erfüllt. Zur subjektiven Tatseite sei festzuhalten, dass die Rechtsprechung des VwGH und auch die Praxis der Verwaltungsbehörden bei der Handhabung des – von der Beschwerdeführerin vorgebrachten – Verbotsirrtums aufgrund des Vertrauens auf Auskünfte sachkundiger Personen oder Institutionen auf Grundlage vollständiger Sachverhaltsinformationen sehr restriktiv sei und der Verbotsirrtum nur selten als entschuldigend anerkannt werde. Die Geschäftsführer der Beschwerdeführerin treffe jedenfalls eine Erkundigungspflicht über die einschlägigen Bestimmungen der DSGVO (hier konkret für die Formulare: Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO), da die Kenntnis dieser Bestimmung für die Tätigkeit der Beschwerdeführerin wesentlich sei. Die Geschäftsführer der Beschwerdeführerin hätten sich im konkreten Fall nicht ausreichend mit den Anforderungen der DSGVO in Bezug auf Einwilligungen (Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO) auseinandergesetzt. Die Beschwerdeführerin habe außerdem im gegenständlichen Verfahren die Einholung einer Auskunft bzw. eine Auskunftsanfrage per se bei der belangten Behörde als hierfür zuständige Behörde nicht vorgebracht. Es liege somit deshalb schon ein vorwerfbarer Verbotsirrtum vor, abgesehen davon, dass die Beratungsergebnisse und Rechtsauskünfte der internen und externen Berater nicht der belangten Behörde während des Verfahrens vorgelegt worden seien. Ob diese Auskünfte auch aufgrund vollständiger Sachverhaltsinformationen erteilt worden seien, könne daher nicht festgestellt werden. Hinsichtlich der Beratung durch die zentrale Rechtsabteilung des Konzerns sei zudem festzuhalten, dass nach der Rechtsprechung des VwGH interne Erkundigungen einer Beschuldigten im Regelfall keinen entschuldbaren Verbotsirrtum begründen könnten. Den Geschäftsführer hätte es auffallen müssen, dass die konkrete Gestaltung der Einwilligungserklärungen nicht den Anforderungen der DSGVO (Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO) entsprechen könne. Die Geschäftsführer hätten dann in Folge die bestehenden Zweifel durch weitere Erkundigungen beseitigen müssen, beispielsweise durch eine Auskunftsanfrage an die belangte Behörde oder mittels Rechtsgutachten von Sachverständigen, das sich mit dieser spezifischen Fragestellung beschäftige. Dies sei jedoch nicht geschehen. Es liege somit auf subjektiver Tatseite Verschulden in Form von Fahrlässigkeit vor.Zur subjektiven Tatseite sei festzuhalten, dass die Rechtsprechung des VwGH und auch die Praxis der Verwaltungsbehörden bei der Handhabung des – von der Beschwerdeführerin vorgebrachten – Verbotsirrtums aufgrund des Vertrauens auf Auskünfte sachkundiger Personen oder Institutionen auf Grundlage vollständiger Sachverhaltsinformationen sehr restriktiv sei und der Verbotsirrtum nur selten als entschuldigend anerkannt werde. Die Geschäftsführer der Beschwerdeführerin treffe jedenfalls eine Erkundigungspflicht über die einschlägigen Bestimmungen der DSGVO (hier konkret für die Formulare: Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7

, Absatz 2, DSGVO), da die Kenntnis dieser Bestimmung für die Tätigkeit der Beschwerdeführerin wesentlich sei. Die Geschäftsführer der Beschwerdeführerin hätten sich im konkreten Fall nicht ausreichend mit den Anforderungen der DSGVO in Bezug auf Einwilligungen (Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7, Absatz 2, DSGVO) auseinandergesetzt.

Die Beschwerdeführerin habe außerdem im gegenständlichen Verfahren die Einholung einer Auskunft bzw. eine Auskunftsanfrage per se bei der belangten Behörde als hierfür zuständige Behörde nicht vorgebracht. Es liege somit deshalb schon ein vorwerfbarer Verbotsirrtum vor, abgesehen davon, dass die Beratungsergebnisse und Rechtsauskünfte der internen und externen Berater nicht der belangten Behörde während des Verfahrens vorgelegt worden seien. Ob diese Auskünfte auch aufgrund vollständiger Sachverhaltsinformationen erteilt worden seien, könne daher nicht festgestellt werden. Hinsichtlich der Beratung durch die zentrale Rechtsabteilung des Konzerns sei zudem festzuhalten, dass nach der Rechtsprechung des VwGH interne Erkundigungen einer Beschuldigten im Regelfall keinen entschuldbaren Verbotsirrtum begründen könnten. Den Geschäftsführer hätte es auffallen müssen, dass die konkrete Gestaltung der Einwilligungserklärungen nicht den Anforderungen der DSGVO (Artikel 4, Ziffer 11,

Artikel 5

, Absatz eins, Litera a,

Artikel 7, Absatz 2, DSGVO) entsprechen könne.

Die Geschäftsführer hätten dann in Folge die bestehenden Zweifel durch weitere Erkundigungen beseitigen müssen, beispielsweise durch eine Auskunftsanfrage an die belangte Behörde oder mittels Rechtsgutachten von Sachverständigen, das sich mit dieser spezifischen Fragestellung beschäftige. Dies sei jedoch nicht geschehen. Es liege somit auf subjektiver Tatseite Verschulden in Form von Fahrlässigkeit vor. Das von der Beschwerdeführerin im gegenständlichen Verfahren dargelegte Kontrollsystem stelle auch kein wirksames Internes Kontrollsystem (IKS) im Sinne der Judikatur des VwGH dar. Die Geschäftsführer hätten keinen Kontrollmechanismus implementiert, um sicherzustellen, dass die internen Berater auch tatsächlich sämtliche Entwicklungen verfolgen und nichts übersehen. Die bloße Erteilung von Weisungen, dass z.B. die Rechtsentwicklung verfolgt werden soll, reiche nicht hin, entscheidend sei, ob auch eine wirksame Kontrolle der vom Verantwortlichen erteilten Weisungen erfolgt sei, die unter den vorhersehbaren Verhältnissen die Einhaltung der gesetzlichen Vorschrift mit gutem Grund erwarten lasse. Den Geschäftsführern sei im Wesentlichen bis auf das EuGH-Urteil zu Planet49 (europäische Rechtsentwicklung) und einem Straferkenntnis der belangten Behörde wegen unzulässiger Videoüberwachung (österreichische Rechtsentwicklung) keine weitere Entwicklung von den internen Beratern berichtet worden. Die Geschäftsführer hätten jedoch den Verdacht schöpfen müssen, dass es sehr unwahrscheinlich sei, dass es im gesamtem Tatzeitraum keine relevante Rechtsentwicklung im Zusammenhang mit Einwilligungen bzw. der Erhebung von Einwilligungen gegeben habe, insbesondere, weil die DSGVO im Tatzeitraum erst „frisch“ in Geltung getreten sei. Wirksame Kontrollsysteme müssten zudem entsprechende Sanktionsmechanismen für den Fall festgestellter Verstöße vorsehen. Selbst im überarbeiten (neuen) Datenschutzhandbuch würden solche Mechanismen gar nicht geregelt und wurden von im gesamten Verfahren auch nicht vorgebracht, weshalb auch aufgrund dieser fehlenden Mechanismen im Ergebnis kein wirksames IKS vorliege. Zum Absehen von der Bestrafung gemäß § 11 DSG bzw. § 45 VStG sei festzuhalten, dass das Bundesverwaltungsgericht bereits rechtskräftig bestätigt habe, dass § 11 DSG kein Vorrang einer Verwarnung entnommen werden könne. Es könne auch nicht davon ausgegangen werden, dass die Bedeutung des hier strafrechtlich geschützten Rechtsgutes gering sei, jedenfalls bestehe ein abstrakt hohes Interesse. Ob die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering seien, sei somit nicht relevant und könne daher auch nicht zur Einstellung des Verfahrens nach § 45 Abs. 1 Z 4 VStG führen.Zum Absehen von der Bestrafung gemäß Paragraph 11, DSG bzw. Paragraph 45, VStG sei festzuhalten, dass das Bundesverwaltungsgericht bereits rechtskräftig bestätigt habe, dass Paragraph 11, DSG kein Vorrang einer Verwarnung entnommen werden könne. Es könne auch nicht davon ausgegangen werden, dass die Bedeutung des hier strafrechtlich geschützten Rechtsgutes gering sei, jedenfalls bestehe ein abstrakt hohes Interesse. Ob die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering seien, sei somit nicht relevant und könne daher auch nicht zur Einstellung des Verfahrens nach Paragraph 45, Absatz eins, Ziffer 4, VStG führen. Im Hinblick auf die Strafzumessung sei aufgrund des Jahresumsatzes der Strafrahmen bis zu EUR 20.000.000 heranzuziehen. Erschwerend sei berücksichtigt worden, dass die Beschwerdeführerin von circa XXXX natürlichen Personen in Österreich eine ungültige Einwilligung erhoben habe und bis dato die personenbezogenen Daten dieser Betroffenen XXXX aufgrund einer ungültigen Einwilligung verarbeite. Die Verarbeitung sei somit im gesamten Tatzeitraum (über zwei Jahre) unrechtmäßig erfolgt. Mildernd sei berücksichtigt worden, dass die Datenschutzbehörde in Bezug auf die im Spruch geahndeten Verstöße nicht von vorsätzlicher, sondern von fahrlässiger Begehung ausgehe, dass gegen die Beschwerdeführerin bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen, dass die Beschwerdeführerin im Rahmen des gegenständlichen Ermittlungsverfahrens vor der Datenschutzbehörde mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet habe, dass die Beschwerdeführerin im Geschäftsjahr 2020 einen Bilanzverlust in der Höhe von EUR XXXX erzielt habe, dass die Beschwerdeführerin bzw. deren Geschäftsführer sich im dritten Quartal 2020 in Reaktion auf den Bescheid der Datenschutzbehörde im amtswegigen Prüfverfahren vom XXXX 2020 zur GZ: DSB- XXXX – wenn auch nur zur Risikominimierung – dazu entschlossen haben, die Einwilligungsformulare zu adaptieren sowie, die aktuelle COVID-19 Pandemie und sämtliche daraus resultierenden erforderliche Umstrukturierungsmaßnahmen im Betrieb.Im Hinblick auf die Strafzumessung sei aufgrund des Jahresumsatzes der Strafrahmen bis zu EUR 20.000.000 heranzuziehen. Erschwerend sei berücksichtigt worden, dass die Beschwerdeführerin von circa römisch 40 natürlichen Personen in Österreich eine ungültige Einwilligung erhoben habe und bis dato die personenbezogenen Daten dieser Betroffenen römisch 40 aufgrund einer ungültigen Einwilligung verarbeite. Die Verarbeitung sei somit im gesamten Tatzeitraum (über zwei Jahre) unrechtmäßig erfolgt. Mildernd sei berücksichtigt worden, dass die Datenschutzbehörde in Bezug auf die im Spruch geahndeten Verstöße nicht von vorsätzlicher, sondern von fahrlässiger Begehung ausgehe, dass gegen die Beschwerdeführerin bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen, dass die Beschwerdeführerin im Rahmen des gegenständlichen Ermittlungsverfahrens vor der Datenschutzbehörde mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet habe, dass die Beschwerdeführerin im Geschäftsjahr 2020 einen Bilanzverlust in der Höhe von EUR römisch 40 erzielt habe, dass die Beschwerdeführerin bzw. deren Geschäftsführer sich im dritten Quartal 2020 in Reaktion auf den Bescheid der Datenschutzbehörde im amtswegigen Prüfverfahren vom römisch 40 2020 zur GZ: DSB- römisch 40 – wenn auch nur zur Risikominimierung – dazu entschlossen haben, die Einwilligungsformulare zu adaptieren sowie, die aktuelle COVID-19 Pandemie und sämtliche daraus resultierenden erforderliche Umstrukturierungsmaßnahmen im Betrieb. Die konkret verhängte Strafe in der Höhe von EUR 1.200.000,00 scheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befinde sich aufgrund der vorliegenden Milderungsgründe am untersten Ende des zur Verfügung stehenden Strafrahmens.Die konkret verhängte Strafe in der Höhe von EUR 1.200.000,00 scheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befinde sich aufgrund der vorliegenden Milderungsgründe am untersten Ende des zur Verfügung stehenden Strafrahmens. Die Verhängung sei jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche und Auftragsverarbeiter hinsichtlich ihrer Pflicht zur Gestaltung rechtskonformer Einwilligungserklärungen, insbesondere für Zwecke wie Profiling, zu sensibilisieren. Es würden auch spezialpräventive Gründe vorliegen, da die Beschwerdeführerin bis dato die Ansicht vertrete, dass die ursprüngliche Gestaltung der Einwilligungsersuchen den Anforderungen entspreche und daher auch so fortgesetzt werden könnte. Die konkret verhängte Strafe sei somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO.Die Verhängung sei jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche und Auftragsverarbeiter hinsichtlich ihrer Pflicht zur Gestaltung rechtskonformer Einwilligungserklärungen, insbesondere für Zwecke wie Profiling, zu sensibilisieren. Es würden auch spezialpräventive Gründe vorliegen, da die Beschwerdeführerin bis dato die Ansicht vertrete, dass die ursprüngliche Gestaltung der Einwilligungsersuchen den Anforderungen entspreche und daher auch so fortgesetzt werden könnte. Die konkret verhängte Strafe sei somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Artikel 83, Absatz eins, DSGVO.

Gegen dieses Straferkenntnis erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin wurde zusammengefasst vorgebracht, dass die Anforderungen an eine wirksame Einwilligung entgegen der Ansicht der Datenschutzbehörde erfüllt seien und die Verarbeitung im Einklang mit der DSGVO erfolge sowie ist den Geschäftsführern in keiner Weise ein Außerachtlassen der gebotenen Sorgfalt oder eine mangelnde Kontrolle und Überwachung in diesem Zusammenhang anzulasten sei. Zur objektiven Tatseite sei festzuhalten, dass kein Verstoß gegen die DSGVO vorliege. Die von der Beschwerdeführerin eingesetzten Ersuchen um Einwilligung würden jeweils den einschlägigen Vorgaben entsprechen, insbesondere sei durch die vorgesehene Gestaltung für die Nutzer unmissverständlich erkennbar, dass sie bei der jeweiligen „Aktion“ (Unterschrift bzw. Klick auf einen Button) eine datenschutzrechtliche Einwilligungserklärung abgeben. Die belangte Behörde fasse auch das Konzept des „Durchschnittsnutzers“ zu weit, auf eine nur „durchschnittlich aufmerksame“ Person abzustellen, entspreche weder den Vorgaben der DSGVO noch den Vorgaben zu einem wie auch immer gearteten unionsrechtlichen Verbraucherleitbild der Richtlinie 93/13/EWG. Bei der Anmeldung zum Programm der Beschwerdeführerin sei geradezu ein höheres Level an Aufmerksamkeit zu verlangen. Der von der belangten Behörde angenommene „irreführende Eindruck“ bestehe daher gerade nicht. Das Ersuchen um Einwilligung entspreche vollinhaltlich den Vorgaben der DSGVO. Zum Online-Anmeldeprozess sei festzuhalten, dass die Ansicht der belangten Behörde, dass ein durchschnittlicher Nutzer nicht erkenne, dass er mit dem Drücken des XXXX Buttons XXXX eine datenschutzrechtliche Einwilligung abgebe, nicht nachvollziehbar sei. Die gewählte Lösung mittels zwei Buttons sei ein geeignetes Mittel, um die Einwilligung einzuholen. Die Aufschrift des Buttons XXXX weise klar auf eine datenschutzrechtliche Einwilligungserklärung und eben nicht den bloßen Abschluss des Anmeldeprozesses hin. Aufgrund der klaren Formulierung XXXX könne kein Zweifel daran bestehen, dass die Nutzer sich bewusst seien, hier eine Einwilligung abzugebenZum Online-Anmeldeprozess sei festzuhalten, dass die Ansicht der belangten Behörde, dass ein durchschnittlicher Nutzer nicht erkenne, dass er mit dem Drücken des römisch 40 Buttons römisch 40 eine datenschutzrechtliche Einwilligung abgebe, nicht nachvollziehbar sei. Die gewählte Lösung mittels zwei Buttons sei ein geeignetes Mittel, um die Einwilligung einzuholen. Die Aufschrift des Buttons römisch 40 weise klar auf eine datenschutzrechtliche Einwilligungserklärung und eben nicht den bloßen Abschluss des Anmeldeprozesses hin. Aufgrund der klaren Formulierung römisch 40 könne kein Zweifel daran bestehen, dass die Nutzer sich bewusst seien, hier eine Einwilligung abzugeben Auf subjektiver Tatseite liege kein Verschulden der Beschwerdeführerin vor. Im angefochtenen Bescheid gehe die Datenschutzbehörde von einem Verschulden aus, ohne jedoch entsprechende Ermittlungen dazu getätigt zu haben oder den für die Beschwerdeführerin günstigen Akteninhalt in irgendeiner Weise zu würdigen. Die konkreten Verschuldensannahmen der belangten Behörde seien nicht berechtigt und würden sich diese im Übrigen auch nicht aus dem Verfahrensakt ergeben. Die Beschwerdeführerin sei den von der Datenschutzbehörde aufgestellten Vorgaben bereits vollinhaltlich nachgekommen. Ein Ansuchen um Auskunft bei Datenschutzbehörde sei nicht möglich, da die belangte Behörde – was sich klar und eindeutig aus den Informationen auf der Webseite der belangten Behörde ergebe - gar keine allgemeinen Auskünfte zur Rechtslage erteile und sich in ihrem Zuständigkeitsbereich auf die Verfahrensführung beschränke. Im Vergleich zu anderen europäischen Aufsichtsbehörden nehme die österreichische Datenschutzbehörde gerade bewusst keine Beraterrolle für sich in Anspruch. Aus diesem Grund habe die Beschwerdeführerin auch keine Anfrage an die belangte Behörde gestellt, da sie auf ihre Anfrage ohnedies keine Antwort erhalten hätte. Ein Ansuchen um Auskunft bei anderen kompetenten Stellen sei nicht möglich, da es abseits der belangten Behörde keine anderen kompetenten Stellen für Rechtsauskünfte zu Datenschutzanfragen gebe. Es hätten jedoch ausführliche Abstimmungen mit berufsmäßigen Parteienvertretern und sonstigen sachkundigen Personen stattgefunden, die Beschwerdeführerin habe sich sehr gut und ausführlich überlegt, wie die gegenständlichen Ersuchen um Einwilligung rechtskonform und im Einklang mit den Vorgaben der DSGVO (wie sie in der vorliegenden Kommentarliteratur, der bisherigen Entscheidungspraxis und den Leitlinien der Art. 29-Datenschutzgruppe sowie des Europäischen Datenschutzausschusses ausgelegt werden) umgesetzt werden könnten. Der Genehmigung der finalen Fassungen der Ersuchen um Einwilligung sei ein umfassender iterativer Abstimmungs- und Erstellungsprozess vorausgegangen, in den die Geschäftsführer (neben den internen wie externen Beratern) engmaschig und kontinuierlich eingebunden gewesen seien. Aus diesem Grund habe für die Beschwerdeführerin und für die Geschäftsführer zu keinem Zeitpunkt ein Zweifel daran bestanden, dass die gegenständliche finale Gestaltung der Ersuchen um Einwilligung den Vorgaben der DSGVO vollinhaltlich entspreche. Wenn die Datenschutzbehörde ausführe, es könne nicht festgestellt werden, dass die erteilten Auskünfte externer Berater auch aufgrund vollständiger Sachverhaltsinformationen erteilt worden sei, sei das nicht nachvollziehbar. Das Vorbringen der Beschwerdeführerin sei diesbezüglich eindeutig und ergebe sich die Vollständigkeit der Informationen auch aus den Zeugenaussagen. Zudem sei mit XXXX jedenfalls eine sachkundige Person außerhalb der Beschwerdeführerin involviert gewesen, die aufgrund vollständiger Sachverhaltsinformationen Auskunft zu den gegenständlichen Ersuchen um Einwilligung erteilt habe. Spätestens als XXXX (ein XXXX Rechtsanwalt) die gegenständlichen Ersuchen um Einwilligung aufgrund vollständiger Sachverhaltsinformationen geprüft und für im Einklang mit den Vorgaben der DSGVO befunden habe, wäre die Beschwerdeführerin ihrer (von der Datenschutzbehörde angenommenen) Erkundigungspflicht ausreichend nachgekommen.Auf subjektiver Tatseite liege kein Verschulden der Beschwerdeführerin vor. Im angefochtenen Bescheid gehe die Datenschutzbehörde von einem Verschulden aus, ohne jedoch entsprechende Ermittlungen dazu getätigt zu haben oder den für die Beschwerdeführerin günstigen Akteninhalt in irgendeiner Weise zu würdigen. Die konkreten Verschuldensannahmen der belangten Behörde seien nicht berechtigt und würden sich diese im Übrigen auch nicht aus dem Verfahrensakt ergeben. Die Beschwerdeführerin sei den von der Datenschutzbehörde aufgestellten Vorgaben bereits vollinhaltlich nachgekommen. Ein Ansuchen um Auskunft bei Datenschutzbehörde sei nicht möglich, da die belangte Behörde – was sich klar und eindeutig aus den Informationen auf der Webseite der belangten Behörde ergebe - gar keine allgemeinen Auskünfte zur Rechtslage erteile und sich in ihrem Zuständigkeitsbereich auf die Verfahrensführung beschränke. Im Vergleich zu anderen europäischen Aufsichtsbehörden nehme die österreichische Datenschutzbehörde gerade bewusst keine Beraterrolle für sich in Anspruch. Aus diesem Grund habe die Beschwerdeführerin auch keine Anfrage an die belangte Behörde gestellt, da sie auf ihre Anfrage ohnedies keine Antwort erhalten hätte. Ein Ansuchen um Auskunft bei anderen kompetenten Stellen sei nicht möglich, da es abseits der belangten Behörde keine anderen kompetenten Stellen für Rechtsauskünfte zu Datenschutzanfragen gebe. Es hätten jedoch ausführliche Abstimmungen mit berufsmäßigen Parteienvertretern und sonstigen sachkundigen Personen stattgefunden, die Beschwerdeführerin habe sich sehr gut und ausführlich überlegt, wie die gegenständlichen Ersuchen um Einwilligung rechtskonform und im Einklang mit den Vorgaben der DSGVO (wie sie in der vorliegenden Kommentarliteratur, der bisherigen Entscheidungspraxis und den Leitlinien der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, sowie des Europäischen Datenschutzausschusses ausgelegt werden) umgesetzt werden könnten. Der Genehmigung der finalen Fassungen der Ersuchen um Einwilligung sei ein umfassender iterativer Abstimmungs- und Erstellungsprozess vorausgegangen, in den die Geschäftsführer (neben den internen wie externen Beratern) engmaschig und kontinuierlich eingebunden gewesen seien. Aus diesem Grund habe für die Beschwerdeführerin und für die Geschäftsführer zu keinem Zeitpunkt ein Zweifel daran bestanden, dass die gegenständliche finale Gestaltung der Ersuchen um Einwilligung den Vorgaben der DSGVO vollinhaltlich entspreche. Wenn die Datenschutzbehörde ausführe, es könne nicht festgestellt werden, dass die erteilten Auskünfte externer Berater auch aufgrund vollständiger Sachverhaltsinformationen erteilt worden sei, sei das nicht nachvollziehbar. Das Vorbringen der Beschwerdeführerin sei diesbezüglich eindeutig und ergebe sich die Vollständigkeit der Informationen auch aus den Zeugenaussagen. Zudem sei mit römisch 40 jedenfalls eine sachkundige Person außerhalb der Beschwerdeführerin involviert gewesen, die aufgrund vollständiger Sachverhaltsinformationen Auskunft zu den gegenständlichen Ersuchen um Einwilligung erteilt habe. Spätestens als römisch 40 (ein römisch 40 Rechtsanwalt) die gegenständlichen Ersuchen um Einwilligung aufgrund vollständiger Sachverhaltsinformationen geprüft und für im Einklang mit den Vorgaben der DSGVO befunden habe, wäre die Beschwerdeführerin ihrer (von der Datenschutzbehörde angenommenen) Erkundigungspflicht ausreichend nachgekommen. Entgegen den Ausführungen der belangten Behörde sei die fortlaufende Rechtsbeobachtung nicht mangelhaft gewesen und sei über relevante Entscheidungspraxis und Leitlinien gesprochen worden. Weder aus der von der belangten Behörde zitierten Entscheidung noch den Leitlinien 5/2020 sei abzuleiten, dass die gewählte Gestaltung der Ersuchen um Einwilligung den dortigen Anforderungen widersprechen würde. Die Geschäftsführer hätten eine umfassende Organisation eingerichtet um die laufende Rechtsentwicklung (Entscheidungspraxis, Leitlinien, etc.) zu beobachten, und eine engmaschige Kontrolle dafür eingerichtet, dass die damit betrauten Personen diese Aufgabe verlässlich, gründlich und genau wahrnehmen. Dadurch, dass ein externer Datenschutzbeauftragter bestellt sei, um eine Kontrolle zu gewährleisten, und den Partnerunternehmen (samt ihren eigenen Rechtsvertretern) datenschutzrechtliche Fragen immer zur vollsten Zufriedenheit beantwortet würden, bestätige den Geschäftsführern (neben ihrer eigenen Kontrolltätigkeit), dass es sich bei den mit der Beobachtung der Rechtsentwicklung betrauten Personen (also insbesondere XXXX und XXXX ) um verlässliche, vertrauenswürdige Personen mit entsprechendem Fachwissen und Expertise handle. Entgegen den Ausführungen der belangten Behörde sei die fortlaufende Rechtsbeobachtung nicht mangelhaft gewesen und sei über relevante Entscheidungspraxis und Leitlinien gesprochen worden. Weder aus der von der belangten Behörde zitierten Entscheidung noch den Leitlinien 5 aus 2020, sei abzuleiten, dass die gewählte Gestaltung der Ersuchen um Einwilligung den dortigen Anforderungen widersprechen würde. Die Geschäftsführer hätten eine umfassende Organisation eingerichtet um die laufende Rechtsentwicklung (Entscheidungspraxis, Leitlinien, etc.) zu beobachten, und eine engmaschige Kontrolle dafür eingerichtet, dass die damit betrauten Personen diese Aufgabe verlässlich, gründlich und genau wahrnehmen. Dadurch, dass ein externer Datenschutzbeauftragter bestellt sei, um eine Kontrolle zu gewährleisten, und den Partnerunternehmen (samt ihren eigenen Rechtsvertretern) datenschutzrechtliche Fragen immer zur vollsten Zufriedenheit beantwortet würden, bestätige den Geschäftsführern (neben ihrer eigenen Kontrolltätigkeit), dass es sich bei den mit der Beobachtung der Rechtsentwicklung betrauten Personen (also insbesondere römisch 40 und römisch 40 ) um verlässliche, vertrauenswürdige Personen mit entsprechendem Fachwissen und Expertise handle. Selbst wenn von einer Verwaltungsübertretung auszugehen sei und ein vorwerfbares Verhalten im Sinne eines Verschuldens auf Seiten der Beschwerdeführerin als gegeben angesehen werden könnte, wäre dennoch von einer Bestrafung abzusehen gewesen, da mit einer Verwarnung nach Art. 58 Abs. 2 lit b DSGVO bzw. § 11 DSG bzw. einer Ermahnung gemäß § 45 Abs. 1 Z 4 VStG das Auslangen gefunden werden hätte können. Selbst wenn von einer Verwaltungsübertretung auszugehen sei und die Datenschutzbehörde der Meinung gewesen wäre, dass nicht mit einer Verwarnung bzw. Ermahnung das Auslangen gefunden werden könne, so wäre die von der Datenschutzbehörde verhängte Strafe mit ca. XXXX % des Jahresumsatzes der Beschwerdeführerin (inkl. des pauschalierten Kostenbeitrags von EUR 120.000 sogar ca. XXXX % des Jahresumsatzes) zu hoch bemessen und wäre bei vollständiger und rechtsrichtiger Berücksichtigung aller Umstände deutlich niedriger anzusetzen gewesen.Selbst wenn von einer Verwaltungsübertretung auszugehen sei und ein vorwerfbares Verhalten im Sinne eines Verschuldens auf Seiten der Beschwerdeführerin als gegeben angesehen werden könnte, wäre dennoch von einer Bestrafung abzusehen gewesen, da mit einer Verwarnung nach Artikel 58, Absatz 2, Litera b, DSGVO bzw. Paragraph 11, DSG bzw. einer Ermahnung gemäß Paragraph 45, Absatz eins, Ziffer 4, VStG das Auslangen gefunden werden hätte können. Selbst wenn von einer Verwaltungsübertretung auszugehen sei und die Datenschutzbehörde der Meinung gewesen wäre, dass nicht mit einer Verwarnung bzw. Ermahnung das Auslangen gefunden werden könne, so wäre die von der Datenschutzbehörde verhängte Strafe mit ca. römisch 40 % des Jahresumsatzes der Beschwerdeführerin (inkl. des pauschalierten Kostenbeitrags von EUR 120.000 sogar ca. römisch 40 % des Jahresumsatzes) zu hoch bemessen und wäre bei vollständiger und rechtsrichtiger Berücksichtigung aller Umstände deutlich niedriger anzusetzen gewesen.
Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt dem bezughabenden Verwaltungsakt und einer Stellungnahme zum Beschwerdevorbringen mit Schreiben vom 14.06.2021 dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie den angefochtenen Bescheid verteidigte.
Mit ergänzender Stellungnahme vom 04.01.2022 beantragte die belangte Behörde den EuGH gemäß Art. 267 AEUV mit der Frage der unmittelbaren Strafbarkeit einer juristischen Person gemäß Art. 83 DSGVO und mit der Frage der Vereinbarkeit von § 30 DSG mit Art. 83 DSGVO zu befassen; in eventu das Verfahren bis zur Entscheidung des EuGH in der Rechtssache C-807/21 gemäß § 38 AVG iVm §§ 17 und 38 VwGVG auszusetzen.
Mit ergänzender Stellungnahme vom 04.01.2022 beantragte die belangte Behörde den EuGH gemäß Artikel 267, AEUV mit der Frage der unmittelbaren Strafbarkeit einer juristischen Person gemäß Artikel 83, DSGVO und mit der Frage der Vereinbarkeit von Paragraph 30, DSG mit Artikel 83, DSGVO zu befassen; in eventu das Verfahren bis zur Entscheidung des EuGH in der Rechtssache C-807/21 gemäß Paragraph 38, AVG

Paragraphen 17 und 38 VwGVG auszusetzen. Dazu wurde von der belangten Behörde vorgebracht, dass das Kammergericht Berlin mit Beschluss vom 06.12.2021, GZ 2 Ws 250/21 dem EuGH folgende Fragen zur Auslegung von Art. 83 DSGVO zur Vorabentscheidung nach Art. 267 AEUV vorgelegt habe:Dazu wurde von der belangten Behörde vorgebracht, dass das Kammergericht Berlin mit Beschluss vom 06.12.2021, GZ 2 Ws 250/21 dem EuGH folgende Fragen zur Auslegung von Artikel 83, DSGVO zur Vorabentscheidung nach Artikel 267, AEUV vorgelegt habe: „

Ist Art. 83 Abs. 4 bis 6 DS-GVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?„
Ist Artikel 83, Absatz 4 bis 6 DS-GVO dahin auszulegen, dass es den Artikel 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des Paragraph 30, OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?
Wenn die Frage zu
bejaht werden sollte: Ist Art. 83 Abs. 4 bis 6 DS-GVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 der Verordnung (EG) Nr. 1/2003 des Rates vom
Dezember 2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liability“)?“
Wenn die Frage zu
bejaht werden sollte: Ist Artikel 83, Absatz 4 bis 6 DS-GVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss vergleiche Artikel 23, der Verordnung (EG) Nr. 1 aus 2003, des Rates vom
Dezember 2002 zur Durchführung der in den Artikel 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liability“)?“
Mit Beschluss des Bundesverwaltungsgerichts vom 08.04.2022, W214 2243436-1/13Z, wurde das Verfahren gemäß § 17 VwGVG iVm § 38 AVG bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Kammergerichtes Berlin vom 06.12.2021, Zl. 3 Ws 250/21 (beim EuGH anhängig unter C-807/21), vorgelegten Fragen ausgesetzt.
Mit Beschluss des Bundesverwaltungsgerichts vom 08.04.2022, W214 2243436-1/13Z, wurde das Verfahren gemäß Paragraph 17, VwGVG

Paragraph 38, AVG bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Kammergerichtes Berlin vom 06.12.2021, Zl. 3 Ws 250/21 (beim EuGH anhängig unter C-807/21), vorgelegten Fragen ausgesetzt.

Mit Urteil des EuGH vom 05.12.2023, Zl. C‑807/21, erkannte dieser zu den oben unter Punkt
wiedergegebenen Fragen zu Recht: „
Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 1 bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde. „
Artikel 58, Absatz 2, Buchst. i und Artikel 83, Absatz eins bis 6 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.
Art. 83 der Verordnung 2016/679 ist dahin auszulegen, dass nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“
Artikel 83, der Verordnung 2016/679 ist dahin auszulegen, dass nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“
Die Beschwerdeführerin erstattete am 11.12.2023 eine Stellungnahme, in welcher sie ausführte, dass sie durch den angefochtenen Bescheid bzw. die Vorgangsweise der belangten Behörde in dem diesem vorangegangenen Strafverfahren sowie vorangegangenen amtswegigen Prüfverfahren insbesondere auch in ihren verfassungsgesetzlich gewährleisteten Rechten verletzte. Der belangten Behörde sei behördliche Willkür (durch gehäufte und massive Missachtung von Verfahrensvorschriften), denkunmögliche Anwendung von gesetzlichen Bestimmungen, Verletzung des Rechts auf Führung eines fairen Verfahrens sowie verfassungswidrige Umgehung des Selbstbelastungsverbots vorzuwerfen. Schon aus diesen Gründen sei der angefochtene Bescheid ersatzlos aufzuheben. Die Ergebnisse im Verfahren betreffend den amtswegigen Bescheid dürften auch vom Bundesverwaltungsgericht bei sonstiger Verletzung gegen Art. 90 Abs. 2 B-VG sowie Art. 6 EMRK nicht verwendet werden. Zudem bestreite die Beschwerdeführerin den ihr angelasteten Verstoß entschieden, wonach die verfahrensgegenständlichen Einwilligungserklärungen nicht den Anforderungen der DSGVO entsprechen würden sowie, dass sie gemeinsam mit der XXXX als „wirtschaftliche Einheit“ und somit als Unternehmen iSd Art. 101 und 102 AEUV anzusehen sei. Im Ergebnis sei diese Frage für das hiergerichtliche Verfahren allerdings gar nicht relevant, da auch unter Einbeziehung des Jahresumsatzes der XXXX im Geschäftsjahr 2020 der Gesamtumsatz beider Gesellschaften deutlich unter EUR XXXX liegen, sodass weiterhin der Strafrahmen von EUR 20.000.000 maßgeblich bleibe. Der Entscheidung des EuGH in der Rechtssache C-807/23 sei nicht zu unterstellen, dass auch bei der „starren“ EUR 20.000.000 Grenze des Strafrahmens der Unternehmensbegriff der Art 101 und 102 AEUV relevant würde. Im Übrigen werde Ausführungen in der Bescheidbeschwerde sowie in den ergänzenden Stellungnahmen verwiesen.
Die Beschwerdeführerin erstattete am 11.12.2023 eine Stellungnahme, in welcher sie ausführte, dass sie durch den angefochtenen Bescheid bzw. die Vorgangsweise der belangten Behörde in dem diesem vorangegangenen Strafverfahren sowie vorangegangenen amtswegigen Prüfverfahren insbesondere auch in ihren verfassungsgesetzlich gewährleisteten Rechten verletzte. Der belangten Behörde sei behördliche Willkür (durch gehäufte und massive Missachtung von Verfahrensvorschriften), denkunmögliche Anwendung von gesetzlichen Bestimmungen, Verletzung des Rechts auf Führung eines fairen Verfahrens sowie verfassungswidrige Umgehung des Selbstbelastungsverbots vorzuwerfen. Schon aus diesen Gründen sei der angefochtene Bescheid ersatzlos aufzuheben. Die Ergebnisse im Verfahren betreffend den amtswegigen Bescheid dürften auch vom Bundesverwaltungsgericht bei sonstiger Verletzung gegen Artikel 90, Absatz 2, B-VG sowie Artikel 6, EMRK nicht verwendet werden. Zudem bestreite die Beschwerdeführerin den ihr angelasteten Verstoß entschieden, wonach die verfahrensgegenständlichen Einwilligungserklärungen nicht den Anforderungen der DSGVO entsprechen würden sowie, dass sie gemeinsam mit der römisch 40 als „wirtschaftliche Einheit“ und somit als Unternehmen iSd Artikel 101 und 102 AEUV anzusehen sei. Im Ergebnis sei diese Frage für das hiergerichtliche Verfahren allerdings gar nicht relevant, da auch unter Einbeziehung des Jahresumsatzes der römisch 40 im Geschäftsjahr 2020 der Gesamtumsatz beider Gesellschaften deutlich unter EUR römisch 40 liegen, sodass weiterhin der Strafrahmen von EUR 20.000.000 maßgeblich bleibe. Der Entscheidung des EuGH in der Rechtssache C-807/23 sei nicht zu unterstellen, dass auch bei der „starren“ EUR 20.000.000 Grenze des Strafrahmens der Unternehmensbegriff der Artikel 101 und 102 AEUV relevant würde. Im Übrigen werde Ausführungen in der Bescheidbeschwerde sowie in den ergänzenden Stellungnahmen verwiesen.
Am 10.01.2024 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt, an welcher sich die Beschwerdeführerin und die beiden Geschäftsführer der Beschwerdeführerin sowie deren Rechtsvertretung und die belangte Behörde beteiligten. Weiters wurden in der mündlichen Verhandlung XXXX sowie XXXX als Zeugen einvernommen. Die Verhandlung wurde vertagt.
Am 10.01.2024 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt, an welcher sich die Beschwerdeführerin und die beiden Geschäftsführer der Beschwerdeführerin sowie deren Rechtsvertretung und die belangte Behörde beteiligten. Weiters wurden in der mündlichen Verhandlung römisch 40 sowie römisch 40 als Zeugen einvernommen. Die Verhandlung wurde vertagt.
Über Aufforderung des Bundesverwaltungsgerichtes, die jeweiligen Jahresumsätze der Unternehmensgruppe sowie sämtliche Korrespondenz bzw. schriftlich dokumentierte Ergebnisse (inklusive E-Mails) interner und externer Beratung der Beschwerdeführerin im Hinblick auf die in der Folge verwendeten (verfahrensgegenständlichen) Einwilligungserklärungen vorzulegen, erstattete die Beschwerdeführerin am 28.02.2024 eine ergänzende Stellungnahme, in welcher zusammengefasst ausgeführt wurde, dass die Entscheidung des BVwG vom 13.12.2022, Zl. W214 2234934-1, selbstverständlich zur Kenntnis genommen und akzeptiert werde, dass die Gestaltung der gegenständlichen Einwilligungserklärung nicht im Einklang mit den Vorgaben der DSGVO gewesen sei. Im hier gegenständlichen Tatzeitraum sei die Beschwerdeführerin allerdings davon ausgegangen und habe (mangels entgegenstehender Anhaltspunkte) auch berechtigterweise davon ausgehen können, dass die gewählte Gestaltung der Einwilligungserklärungen im Einklang mit den entsprechenden Vorgaben der DSGVO gewesen sei. Die Beschwerdeführerin habe den Prozess der Einholung der Einwilligung und die relevanten Formulare auch umgehend nach der Entscheidung des Bundesverwaltungsgerichts im amtswegigen Verfahren entsprechend angepasst. Sofern betroffene Kunden keine neue Einwilligung (unter Verwendung der adaptierten Einwilligungserklärungen und adaptierten Prozesse zur Einholung der Einwilligungen) abgegeben hätten, würden ihre Daten nicht mehr zu Zwecken der Zusendung personalisierter XXXX Angebote verarbeitet. Sofern diese Nutzer keine neue Einwilligungserklärung abgegeben hätten, würden sie demnach nur mehr generelle XXXX Angebote erhalten. Auch wenn die Beschwerdeführerin sich hierfür auf andere Rechtsgrundlagen hätte stützen können, habe die Beschwerdeführerin (wie auch für den Programmstart im XXXX ) entschieden, sich erneut auf die transparenteste Rechtsgrundlage, also die datenschutzrechtliche Einwilligung, zu stützen.
Über Aufforderung des Bundesverwaltungsgerichtes, die jeweiligen Jahresumsätze der Unternehmensgruppe sowie sämtliche Korrespondenz bzw. schriftlich dokumentierte Ergebnisse (inklusive E-Mails) interner und externer Beratung der Beschwerdeführerin im Hinblick auf die in der Folge verwendeten (verfahrensgegenständlichen) Einwilligungserklärungen vorzulegen, erstattete die Beschwerdeführerin am 28.02.2024 eine ergänzende Stellungnahme, in welcher zusammengefasst ausgeführt wurde, dass die Entscheidung des BVwG vom 13.12.2022, Zl. W214 2234934-1, selbstverständlich zur Kenntnis genommen und akzeptiert werde, dass die Gestaltung der gegenständlichen Einwilligungserklärung nicht im Einklang mit den Vorgaben der DSGVO gewesen sei. Im hier gegenständlichen Tatzeitraum sei die Beschwerdeführerin allerdings davon ausgegangen und habe (mangels entgegenstehender Anhaltspunkte) auch berechtigterweise davon ausgehen können, dass die gewählte Gestaltung der Einwilligungserklärungen im Einklang mit den entsprechenden Vorgaben der DSGVO gewesen sei. Die Beschwerdeführerin habe den Prozess der Einholung der Einwilligung und die relevanten Formulare auch umgehend nach der Entscheidung des Bundesverwaltungsgerichts im amtswegigen Verfahren entsprechend angepasst. Sofern betroffene Kunden keine neue Einwilligung (unter Verwendung der adaptierten Einwilligungserklärungen und adaptierten Prozesse zur Einholung der Einwilligungen) abgegeben hätten, würden ihre Daten nicht mehr zu Zwecken der Zusendung personalisierter römisch 40 Angebote verarbeitet. Sofern diese Nutzer keine neue Einwilligungserklärung abgegeben hätten, würden sie demnach nur mehr generelle römisch 40 Angebote erhalten. Auch wenn die Beschwerdeführerin sich hierfür auf andere Rechtsgrundlagen hätte stützen können, habe die Beschwerdeführerin (wie auch für den Programmstart im römisch 40 ) entschieden, sich erneut auf die transparenteste Rechtsgrundlage, also die datenschutzrechtliche Einwilligung, zu stützen. Auch wenn die Einwilligungserklärungen ungültig gewesen seien, könne die gegenständliche Verarbeitung personenbezogener Daten auch die Rechtsgrundlagen gemäß Art. 6 Abs. 1 lit. b DSGVO sowie auch Art. 6 Abs. 1 lit f DSGVO gestützt werden. Spruchpunkt
des angefochtenen Bescheides sei sohin schlicht falsch. Zu Art. 6 Abs. 1 lit b DSGVO sei auszuführen, dass es Nutzern bereits bei der Anmeldung (wie auch zu jedem Zeitpunkt danach) offenstehe, das vertragliche Grundverhältnis mit dem „Zusatzpaket“ „ XXXX Angebote“ aufzuwerten. Sofern ein Kunde eine derartige Zusatzleistung wünsche, werde diese Zusatzleistung ein integraler Bestandteil des Vertragsverhältnisses und die entsprechende Verarbeitung personenbezogener Daten sei demnach auch für die Abwicklung des Vertragsverhältnisses erforderlich, um diesen Nutzer auch mit relevanteren XXXX Angeboten versorgen zu können. Die Zusendung personalisierter Angebote sei hier gerade kein Nebenprodukt oder eine nur mittelbar mit dem Teilnahmevertrag zusammenhängende Nebenleistung. Auch wenn die Einwilligungserklärungen ungültig gewesen seien, könne die gegenständliche Verarbeitung personenbezogener Daten auch die Rechtsgrundlagen gemäß Artikel 6, Absatz eins, Litera b, DSGVO sowie auch Artikel 6, Absatz eins, Litera f, DSGVO gestützt werden. Spruchpunkt
des angefochtenen Bescheides sei sohin schlicht falsch. Zu Artikel 6, Absatz eins, Litera b, DSGVO sei auszuführen, dass es Nutzern bereits bei der Anmeldung (wie auch zu jedem Zeitpunkt danach) offenstehe, das vertragliche Grundverhältnis mit dem „Zusatzpaket“ „ römisch 40 Angebote“ aufzuwerten. Sofern ein Kunde eine derartige Zusatzleistung wünsche, werde diese Zusatzleistung ein integraler Bestandteil des Vertragsverhältnisses und die entsprechende Verarbeitung personenbezogener Daten sei demnach auch für die Abwicklung des Vertragsverhältnisses erforderlich, um diesen Nutzer auch mit relevanteren römisch 40 Angeboten versorgen zu können. Die Zusendung personalisierter Angebote sei hier gerade kein Nebenprodukt oder eine nur mittelbar mit dem Teilnahmevertrag zusammenhängende Nebenleistung. Neben dem Rechtfertigungsgrund nach Art. 6 Abs. 1 lit. b DSGVO sei die gegenständliche Verarbeitungstätigkeit auch nach Art 6 Abs. 1 lit. f DSGVO zulässig. Es bestehe ein berechtigtes Interesse der Beschwerdeführerin, die personenbezogenen Daten der Teilnehmer am Kundenbindungsprogramm zu verarbeiten, um diesen zielgerichtet personalisierte Angebote XXXX zukommen zu lassen, die Verarbeitung der personenbezogenen Daten der Teilnehmer am Kundenbindungsprogramm sei auch zur Verfolgung des berechtigten Interesses der Direktwerbung über Zusendung personalisierter Angebote erforderlich, da ohne diese Verarbeitung eine entsprechende individualisierte Angebotserstellung nicht möglich wäre, weil – der Definition des Profiling iSd Art. 4 Z 4 DSGVO folgend – dies notwendig sei, „[…] um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich […] persönliche Vorlieben, Interessen, [und] Verhalten […] dieser natürlichen Person zu analysieren oder vorherzusagen.“ Es sei auch kein Überwiegen der Grundrechte und Grundfreiheiten der Teilnehmer am Kundenbindungsprogramm erkennbar, welches das berechtigte Interesse der Beschwerdeführerin an der Datenverarbeitung zurücktreten lassen würde. Die Nutzer hätten nämlich ein signifikantes eigenständiges Interesse an der gegenständlichen Datenverarbeitung: Denn bei Anwendung der gegenständlichen Verarbeitungstätigkeit erhalte ein Nutzer sowohl mehr XXXX als andere Nutzer wie auch für ihn selbst relevantere XXXX , wodurch dieser Nutzer beim Einlösen dieser XXXX wieder mehr Rabatte für den nächsten Einkauf erhalten könne. Der Rechtfertigungsgrund des Art. 6 Abs. 1 lit. f DSGVO sei für Verarbeitungstätigkeiten mit Profiling keineswegs ausgeschlossen, zumal Art. 21 Abs. 1 DSGVO Betroffenen ausdrücklich das Recht einräume, gegen ein auf Art. 6 Abs. 1 lit. f DSGVO gestütztes Profiling Widerspruch einzulegen. Es handle sich bei der gegenständlichen Verarbeitungstätigkeit auch nicht um eine besonders eingriffsintensive Variante des Profiling. Neben dem Rechtfertigungsgrund nach Artikel 6, Absatz eins, Litera b, DSGVO sei die gegenständliche Verarbeitungstätigkeit auch nach Artikel 6, Absatz eins, Litera f, DSGVO zulässig. Es bestehe ein berechtigtes Interesse der Beschwerdeführerin, die personenbezogenen Daten der Teilnehmer am Kundenbindungsprogramm zu verarbeiten, um diesen zielgerichtet personalisierte Angebote römisch 40 zukommen zu lassen, die Verarbeitung der personenbezogenen Daten der Teilnehmer am Kundenbindungsprogramm sei auch zur Verfolgung des berechtigten Interesses der Direktwerbung über Zusendung personalisierter Angebote erforderlich, da ohne diese Verarbeitung eine entsprechende individualisierte Angebotserstellung nicht möglich wäre, weil – der Definition des Profiling iSd Artikel 4, Ziffer 4, DSGVO folgend – dies notwendig sei, „[…] um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich […] persönliche Vorlieben, Interessen, [und] Verhalten […] dieser natürlichen Person zu analysieren oder vorherzusagen.“ Es sei auch kein Überwiegen der Grundrechte und Grundfreiheiten der Teilnehmer am Kundenbindungsprogramm erkennbar, welches das berechtigte Interesse der Beschwerdeführerin an der Datenverarbeitung zurücktreten lassen würde. Die Nutzer hätten nämlich ein signifikantes eigenständiges Interesse an der gegenständlichen Datenverarbeitung: Denn bei Anwendung der gegenständlichen Verarbeitungstätigkeit erhalte ein Nutzer sowohl mehr römisch 40 als andere Nutzer wie auch für ihn selbst relevantere römisch 40 , wodurch dieser Nutzer beim Einlösen dieser römisch 40 wieder mehr Rabatte für den nächsten Einkauf erhalten könne. Der Rechtfertigungsgrund des Artikel 6, Absatz eins, Litera f, DSGVO sei für Verarbeitungstätigkeiten mit Profiling keineswegs ausgeschlossen, zumal Artikel 21, Absatz eins, DSGVO Betroffenen ausdrücklich das Recht einräume, gegen ein auf Artikel 6, Absatz eins, Litera f, DSGVO gestütztes Profiling Widerspruch einzulegen. Es handle sich bei der gegenständlichen Verarbeitungstätigkeit auch nicht um eine besonders eingriffsintensive Variante des Profiling. Zum Verschuldensmaßstab sei festzuhalten, dass weder die Planet49-Entscheidung des EuGH, noch die Entscheidung der DSB vom
Juli 2018, GZ DSB-D213.642/0002-DSB/2018, noch die Leitlinien 5/2020 des EDSA zur Einwilligung in Hinblick auf die hier konkret gewählte Gestaltung der verfahrensgegenständlichen Einwilligungserklärungen in der Weise einschlägig seien, dass daraus ein Anpassungsbedarf an der gewählten Gestaltung erkannt werden hätte müssen. Die belangte Behörde habe bis heute auch keine weiteren Entscheidungen ins Treffen führen können, wonach es für die Beschwerdeführerin im Tatzeitraum hätte erkennbar sein können, dass die gewählte Gestaltung nicht im Einklang mit der DSGVO gewesen wäre. Im hier gegenständlichen Tatzeitraum sei die Beschwerdeführerin davon ausgegangen und habe (mangels entgegenstehender Anhaltspunkte) auch berechtigterweise davon ausgehen können, dass die gewählte Gestaltung der Einwilligungserklärungen im Einklang mit den entsprechenden Vorgaben der DSGVO gewesen sei. Ein Verschulden sei der Beschwerdeführerin gerade nicht anzulasten.Zum Verschuldensmaßstab sei festzuhalten, dass weder die Planet49-Entscheidung des EuGH, noch die Entscheidung der DSB vom
Juli 2018, GZ DSB-D213.642/0002-DSB/2018, noch die Leitlinien 5 aus 2020, des EDSA zur Einwilligung in Hinblick auf die hier konkret gewählte Gestaltung der verfahrensgegenständlichen Einwilligungserklärungen in der Weise einschlägig seien, dass daraus ein Anpassungsbedarf an der gewählten Gestaltung erkannt werden hätte müssen. Die belangte Behörde habe bis heute auch keine weiteren Entscheidungen ins Treffen führen können, wonach es für die Beschwerdeführerin im Tatzeitraum hätte erkennbar sein können, dass die gewählte Gestaltung nicht im Einklang mit der DSGVO gewesen wäre. Im hier gegenständlichen Tatzeitraum sei die Beschwerdeführerin davon ausgegangen und habe (mangels entgegenstehender Anhaltspunkte) auch berechtigterweise davon ausgehen können, dass die gewählte Gestaltung der Einwilligungserklärungen im Einklang mit den entsprechenden Vorgaben der DSGVO gewesen sei. Ein Verschulden sei der Beschwerdeführerin gerade nicht anzulasten. Zu Anfrage des Bundesverwaltungsgerichts könnten keine einschlägigen Dokumente (wie externe Gutachten, etc) vorgelegt werden, obwohl eine Vorlage solcher Dokumente für die Position der Beschwerdeführerin vorteilhaft wäre. Im Vorfeld der Genehmigung der gegenständlichen Einwilligungserklärungen hätten regelmäßige Meetings zwischen der Rechtsabteilung und den Geschäftsführern stattgefunden, in denen der jeweilige Stand der Einwilligungserklärungen thematisiert worden sei. Die Beschwerdeführerin habe im Vorfeld des Programmstarts in Österreich eine Meetingstruktur etabliert, wonach u.a. wöchentliche Projektsteering-Meetings abgehalten worden seien, an denen auch XXXX teilgenommen habe, sowie wöchentliche Management Steering Meetings, an denen auch die beiden Geschäftsführer der Beschwerdeführerin teilgenommen hätten. Die Ergebnisse des Projektsteering-Meetings seien im Management Steering Meeting besprochen und abgestimmt worden. Zudem seien diese Meetings zwischen den Geschäftsführern und der Rechtsabteilung auch von entsprechenden engmaschigen Updates begleitet worden, um alle Personen auf den aktuellen Stand zu bringen und die wesentlichen zur Diskussion stehenden Themen zusammenzufassen. Wie aus den beigelegten E-Mails hervorgehe, sei die Abstimmung und rechtssichere Gestaltung der verfahrensgegenständlichen Ersuchen um Einwilligung ein „Dauerbrenner“. Zudem lege die Beschwerdeführerin das Protokoll eines der letzten Meetings vor Programmstart vor. Wie daraus hervorgehe, habe die Erfüllung der Vorgaben aus der DSGVO für die Beschwerdeführerin oberste Priorität. In der dem Protokoll angefügten Grafik würden risikoreiche Bereiche der DSGVO dargestellt, wobei bereits an erster Stelle als Ziel die rechtssichere Gestaltung der Einwilligung stehe. Zu Anfrage des Bundesverwaltungsgerichts könnten keine einschlägigen Dokumente (wie externe Gutachten, etc) vorgelegt werden, obwohl eine Vorlage solcher Dokumente für die Position der Beschwerdeführerin vorteilhaft wäre. Im Vorfeld der Genehmigung der gegenständlichen Einwilligungserklärungen hätten regelmäßige Meetings zwischen der Rechtsabteilung und den Geschäftsführern stattgefunden, in denen der jeweilige Stand der Einwilligungserklärungen thematisiert worden sei. Die Beschwerdeführerin habe im Vorfeld des Programmstarts in Österreich eine Meetingstruktur etabliert, wonach u.a. wöc

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.

{'item': 'W214 2243436-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum27.03.2024 GeschäftszahlW214 2243436-1 Spruch, W214 2243436-1/39E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

Artikel 5

Artikel 7, Absatz 2, DSGVO entsprochen.

Artikel 7

Artikel 83, Absatz 5, Litera a, DSGVO Ad. 2.: Art. 5 Abs. 1 lit. a i

Artikel 6

Artikel 83

Artikel 5

Artikel 7

Artikel 7

Artikel 83, Absatz 5, Litera a, DSGVO bzw.

Artikel 6

Artikel 83, Absatz 5, Litera a, DSGVO. Die vorliegende Verfolgungshandlung richte sich gemäß der Rechtsprechung des Vw

Artikel 5

Artikel 7, Absatz 2, DSGVO, entsprechen würden.

Artikel 7

Artikel 83, Absatz 5, Litera a, DSGVO bzw.

Artikel 6

Artikel 83

Artikel 5

Artikel 7

Artikel 5

Artikel 7

Artikel 7

Artikel 83

Artikel 6

Artikel 83

Artikel 7, Absatz 2, DSGVO.

Artikel 7

Artikel 5

Artikel 7

Artikel 5

Artikel 7, Absatz 2, DSGVO) auseinandergesetzt.

Artikel 5

Artikel 7, Absatz 2, DSGVO) entsprechen könne.