RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum18.04.2024 GeschäftszahlW137 2248575-1 Spruch, W137 2248575-1/31E IM NAMEN DER REPUBLIK! Schriftliche Ausfertigung des am 23.02.2024 münd

die Geldstrafe gemäß § 30 DSG mit € 500.000 (in Worten: fünfhunderttausend Euro) bestimmt wird.römisch eins. Die Beschwerde wird gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Artikel 12, Absatz 2, in Verbindung mit Artikel 83, Absatz 5, Litera b, DSGVO mit der Maßgabe als unbegründet abgewiesen,

die Geldstrafe gemäß Paragraph 30, DSG mit € 500.000 (in Worten: fünfhunderttausend Euro) bestimmt wird. II. Der zu zahlende Gesamtbetrag (unter Berücksichtigung von § 64 VStG) beträgt daher € 550.000 (in Worten: fünfhundertfünfzigtausend Euro).römisch zwei. Der zu zahlende Gesamtbetrag (unter Berücksichtigung von Paragraph 64, VStG) beträgt daher € 550.000 (in Worten: fünfhundertfünfzigtausend Euro). B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig. , TextEntscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte im Verwaltungsstrafverfahren vor der Datenschutzbehörde) ist als Adresshändlerin mit dem Ziel tätig gewesen, ihren werbetreibenden Kunden den zielgerichteten Versand von Werbung zu ermöglichen sowie Streuverluste in der Werbung zu verringern. Im Rahmen dieser Tätigkeit hat sie – unter anderem – Informationen bzw. Marketingklassifikationen zu den „Parteiaffinitäten“ der gesamten österreichischen Bevölkerung erhoben, und auch aufgrund des Medienechos innerhalb weniger Monate mehr als 30.000 datenschutzrechtliche Anfragen von betroffenen Personen erhalten. Zur Bewältigung der Anfragenflut hat die verantwortliche Beauftragte der Beschwerdeführerin ein Web-Kontaktformular zur Geltendmachung der meistgenutzten Betroffenenrechte gemäß Art. 15, 17 und 21 DSGVO implementiert und andere Kontaktmöglichkeiten in diesem Kontext begrenzt.
2. Die römisch 40 (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte im Verwaltungsstrafverfahren vor der Datenschutzbehörde) ist als Adresshändlerin mit dem Ziel tätig gewesen, ihren werbetreibenden Kunden den zielgerichteten Versand von Werbung zu ermöglichen sowie Streuverluste in der Werbung zu verringern. Im Rahmen dieser Tätigkeit hat sie – unter anderem – Informationen bzw. Marketingklassifikationen zu den „Parteiaffinitäten“ der gesamten österreichischen Bevölkerung erhoben, und auch aufgrund des Medienechos innerhalb weniger Monate mehr als 30.000 datenschutzrechtliche Anfragen von betroffenen Personen erhalten. Zur Bewältigung der Anfragenflut hat die verantwortliche Beauftragte der Beschwerdeführerin ein Web-Kontaktformular zur Geltendmachung der meistgenutzten Betroffenenrechte gemäß Artikel 15, 17 und 21 DSGVO implementiert und andere Kontaktmöglichkeiten in diesem Kontext begrenzt.
3. Mit verfahrenseinleitender Maßnahme vom 26.06.2020 übermittelte die Datenschutzbehörde (idF auch Behörde oder DSB), aufgrund amtswegiger Wahrnehmungen, betreffend die Beschuldigte, eine Aufforderung zur Rechtfertigung, da der Verdacht bestehe, diese habe ab 07.01.2019 fortlaufend bis dato, zumindest jedenfalls bis zum 26.05.2020, systematisch Betroffenenrechte im Sinne von Art. 12 ff DSGVO verletzt. Dies insbesondere dadurch,

diese die Ausübung von Betroffenenrechten durch die obligatorisch vorgesehene Nutzung eines „Datenschutzformulars“ für Betroffene eingeschränkt, Anträge auf Auskunft gemäß Art. 15 DSGVO teilweise nicht fristgerecht, teilweise mangelhaft, teilweise gar nicht beantwortet, keine Informationen über die Inanspruchnahme der Fristenerstreckung im Sinne des Art. 12 Abs. 3 DSGVO mitgeteilt und die Aufforderung an betroffene Personen, ihre Identität im Sinne von Art. 12 Abs. 6 DSGVO durch Vorlage weiterer Dokumente und/oder Informationen nachzuweisen, nicht innerhalb der gesetzlich vorgesehenen Frist veranlasst habe.2. Mit verfahrenseinleitender Maßnahme vom 26.06.2020 übermittelte die Datenschutzbehörde in der Fassung auch Behörde oder DSB), aufgrund amtswegiger Wahrnehmungen, betreffend die Beschuldigte, eine Aufforderung zur Rechtfertigung, da der Verdacht bestehe, diese habe ab 07.01.2019 fortlaufend bis dato, zumindest jedenfalls bis zum 26.05.2020, systematisch Betroffenenrechte im Sinne von Artikel 12, ff DSGVO verletzt. Dies insbesondere dadurch,

diese die Ausübung von Betroffenenrechten durch die obligatorisch vorgesehene Nutzung eines „Datenschutzformulars“ für Betroffene eingeschränkt, Anträge auf Auskunft gemäß Artikel 15, DSGVO teilweise nicht fristgerecht, teilweise mangelhaft, teilweise gar nicht beantwortet, keine Informationen über die Inanspruchnahme der Fristenerstreckung im Sinne des Artikel 12, Absatz 3, DSGVO mitgeteilt und die Aufforderung an betroffene Personen, ihre Identität im Sinne von Artikel 12, Absatz 6, DSGVO durch Vorlage weiterer Dokumente und/oder Informationen nachzuweisen, nicht innerhalb der gesetzlich vorgesehenen Frist veranlasst habe. 3. Mit Rechtfertigung vom 04.09.2020 brachte die Beschuldigte zusammengefasst vor,

das Verfahren einzustellen sei, da die Behörde keine konkrete Umschreibung der Tathandlung vorgenommen habe. Es liege keine systematische Verletzung von Betroffenenrechten vor und habe die Beschuldigte ein wirksames Kontrollsystem eingeführt, um den Vorgaben der DSGVO zu entsprechen. Dies habe sie, durch die Expertise von fachlich qualifizierten Beratern aus dem Bereich des Datenschutzes, abgesichert. Sie habe zudem allen Anfragen betroffener Personen in gesetzeskonformer Weise möglichst rasch und effizient entsprochen, eine Ausweiskopie sei aufgrund der Menge der verarbeiteten Daten zwingend notwendig gewesen, das eingerichtete Kontaktformular stelle den besten Weg (im Sinne des Art. 12 Abs. 2 DSGVO) dar, um mit einer hohen Anzahl an Anfragen umgehen zu können und habe eine betroffene Person, welche ein E-Mail an nicht mehr genutzte E-Mailadressen der Beschuldigten sendete, umgehend einen Hinweis auf das neue Kontaktformular erhalten. Es handle sich nicht um eine obligatorisch zu nutzende Kontaktmöglichkeit, da die Möglichkeit bestanden habe, Anfragen auch weiterhin postalisch oder per Telefax einzubringen. Anliegen, welche nicht über das Kontaktformular bearbeitbar seien, würden weiterhin per E-Mail akzeptiert, hierauf sei in den Datenschutzhinweisen und am Kontaktformular selbst hingewiesen worden. Des Weiteren habe sich die Behörde geweigert, der Beschuldigten beratend zur Seite zu stehen. Eine verspätete Auskunft sei nie erfolgt und könne hinsichtlich der behaupteten Unvollständigkeit von Auskünften nur auf die divergierenden Rechtsansichten zwischen den Beschwerdeführern und der Beschuldigten hingewiesen werden, welche im Rahmen eines verwaltungsbehördlichen oder gerichtlichen Verfahrens zu klären seien. Auch habe ein systematisches „Nicht-Beantworten“ von Anfragen Betroffener nicht stattgefunden. Im Fall eines strafbaren Verhaltens der Beschuldigten seien die Unbescholtenheit, der Mitteleinsatz, Ressourceneinsatz, der kontinuierliche Verbesserungsprozess, die bloße Fahrlässigkeit, der fehlende Schaden, die Kooperation mit der Behörde und die Auswirkungen der Pandemie strafmildernd zu berücksichtigen. Der Eingabe war ein Konvolut an verfahrensrelevanten Dokumenten angeschlossen.3. Mit Rechtfertigung vom 04.09.2020 brachte die Beschuldigte zusammengefasst vor,

das Verfahren einzustellen sei, da die Behörde keine konkrete Umschreibung der Tathandlung vorgenommen habe. Es liege keine systematische Verletzung von Betroffenenrechten vor und habe die Beschuldigte ein wirksames Kontrollsystem eingeführt, um den Vorgaben der DSGVO zu entsprechen. Dies habe sie, durch die Expertise von fachlich qualifizierten Beratern aus dem Bereich des Datenschutzes, abgesichert. Sie habe zudem allen Anfragen betroffener Personen in gesetzeskonformer Weise möglichst rasch und effizient entsprochen, eine Ausweiskopie sei aufgrund der Menge der verarbeiteten Daten zwingend notwendig gewesen, das eingerichtete Kontaktformular stelle den besten Weg (im Sinne des Artikel 12, Absatz 2, DSGVO) dar, um mit einer hohen Anzahl an Anfragen umgehen zu können und habe eine betroffene Person, welche ein E-Mail an nicht mehr genutzte E-Mailadressen der Beschuldigten sendete, umgehend einen Hinweis auf das neue Kontaktformular erhalten. Es handle sich nicht um eine obligatorisch zu nutzende Kontaktmöglichkeit, da die Möglichkeit bestanden habe, Anfragen auch weiterhin postalisch oder per Telefax einzubringen. Anliegen, welche nicht über das Kontaktformular bearbeitbar seien, würden weiterhin per E-Mail akzeptiert, hierauf sei in den Datenschutzhinweisen und am Kontaktformular selbst hingewiesen worden. Des Weiteren habe sich die Behörde geweigert, der Beschuldigten beratend zur Seite zu stehen. Eine verspätete Auskunft sei nie erfolgt und könne hinsichtlich der behaupteten Unvollständigkeit von Auskünften nur auf die divergierenden Rechtsansichten zwischen den Beschwerdeführern und der Beschuldigten hingewiesen werden, welche im Rahmen eines verwaltungsbehördlichen oder gerichtlichen Verfahrens zu klären seien. Auch habe ein systematisches „Nicht-Beantworten“ von Anfragen Betroffener nicht stattgefunden. Im Fall eines strafbaren Verhaltens der Beschuldigten seien die Unbescholtenheit, der Mitteleinsatz, Ressourceneinsatz, der kontinuierliche Verbesserungsprozess, die bloße Fahrlässigkeit, der fehlende Schaden, die Kooperation mit der Behörde und die Auswirkungen der Pandemie strafmildernd zu berücksichtigen. Der Eingabe war ein Konvolut an verfahrensrelevanten Dokumenten angeschlossen.

1. Mit Aufforderung zur Rechtfertigung vom 21.12.2020 an die Beschuldigte, die Vorstandsmitglieder und die verantwortliche Beauftragte weitete die Datenschutzbehörde den Kreis der Beschuldigten aus und konkretisierte die vorgeworfenen Tathandlungen mit der Darstellung von 18 (nicht abschließend ausgeführten) Datenschutzbeschwerden und führte zusammengefasst aus: Es bestehe der Verdacht, die – für den Tatzeitraum im Firmenbuch ausgewiesenen –organschaftlichen Vertreter der Beschuldigten sowie die verantwortliche Beauftragte im Sinne des § 9 Abs. 2 VStG hätten im Zusammenhang mit der Planung, Entwicklung und Einführung sowie Durchführung und Überwachung eines „Datenschutzmanagement-Konzepts“ in Bezug auf die Behandlung von Betroffenenrechten im Sinne von Art. 12 bis 22 DSGVO, zumindest durch Außerachtlassung der gebotenen Sorgfalt sowie aufgrund mangelnder Kontrolle und Überwachung, die vorgeworfenen Verwaltungsübertretungen begangen. Diese hätten jedenfalls bei der Implementierung der DSGVO kein wirksames internes Kontrollsystem eingeführt, um Verletzungen von Betroffenenrechten aufgrund der zu erwartenden erhöhten Anfragen bzw. Antragstellungen zu vermeiden. Dies führe im Ergebnis zu einer systematischen Verletzung von Betroffenenrechten.Es bestehe der Verdacht, die – für den Tatzeitraum im Firmenbuch ausgewiesenen –organschaftlichen Vertreter der Beschuldigten sowie die verantwortliche Beauftragte im Sinne des Paragraph 9, Absatz 2, VStG hätten im Zusammenhang mit der Planung, Entwicklung und Einführung sowie Durchführung und Überwachung eines „Datenschutzmanagement-Konzepts“ in Bezug auf die Behandlung von Betroffenenrechten im Sinne von Artikel 12 bis 22 DSGVO, zumindest durch Außerachtlassung der gebotenen Sorgfalt sowie aufgrund mangelnder Kontrolle und Überwachung, die vorgeworfenen Verwaltungsübertretungen begangen. Diese hätten jedenfalls bei der Implementierung der DSGVO kein wirksames internes Kontrollsystem eingeführt, um Verletzungen von Betroffenenrechten aufgrund der zu erwartenden erhöhten Anfragen bzw. Antragstellungen zu vermeiden. Dies führe im Ergebnis zu einer systematischen Verletzung von Betroffenenrechten.
2. Mit Rechtfertigung vom 15.02.2021 brachten die Beschuldigten gemeinschaftlich und ergänzend zur Rechtfertigung vom 04.09.2020 soweit wesentlich vor,

die Behörde idente Vorwürfe erhebe und nun ebenfalls die Vorstandsmitglieder und die verantwortliche Beauftragte als Beschuldigte führe. Durch dieses unzulässige Verhalten sei Scheinkonkurrenz mit dem im Juni 2020 eingeleiteten Verfahren gegeben. Soweit diese davon ausgehe,

ein Dauerdelikt vorliege, sei darauf hinzuweisen,

es sich bei Art. 12 DSGVO und Art. 15 DSGVO um Delikte handle, welche mit Eintritt der Rechtswidrigkeit enden. Es sei in den Vorwürfen keine sanktionierbare Tat umschrieben, die den genannten natürlichen Personen vorgeworfen werden könne. Die Behörde habe, entgegen der höchstgerichtlichen Judikatur, „zur Sicherheit“ ein Verwaltungsstrafverfahren gegen die Vorstände und die verantwortliche Beauftragte eingeleitet, obwohl dies für die Verantwortlichkeit einer juristischen Person nicht erforderlich sei. Dieses Vorgehen mache den Beschuldigten die Verteidigung ihrer Rechtspositionen unmöglich, da sämtliche Vorhalte undifferenziert seien. Gerade die anhaltende Gefahr einer Datenschutzverletzung, durch die manuelle Bearbeitung aller einlangenden Anfragen von betroffenen Personen, habe es erforderlich gemacht, den Prozess durch ein Kontaktformular teilweise zu automatisieren. Seit 17.07.2019 sei das Kontaktformular implementiert und würde ein Großteil der Betroffenenanfragen über diesen Kanal abgewickelt werden. Dieses sei nie obligatorisch gewesen und haben den Betroffenen auch eine E-Mailadresse für Detailauskünfte zur Verfügung gestanden. Nach der Umstellung auf das DSGVO-Kontaktformular sei es vorgekommen,

Betroffene weiterhin die alte E-Mailadresse der Beschuldigten nutzten. In solchen Fällen hätten diese vom Postfach XXXX automatisch die Rückmeldung erhalten,

sie das DSGVO-Kontaktformular zu verwenden hätten, dies auch, wenn sich deren Anliegen bereits in Bearbeitung befunden habe. Am 22.04.2020 sei das Postfach endgültig abgeschaltet und den Betroffenen, die sich an dieses Postfach wendeten, eine Unzustellbarkeits-Benachrichtigung übermittelt worden. Abschließend sei aufzuzeigen,

hinsichtlich der überwiegenden Zahl der von der Behörde vorgebrachten Fälle die Verfolgungsverjährung bereits eingetreten sei. Ein allfälliger Verstoß gegen das Erleichterungsgebot sei überdies nicht unmittelbar strafbewehrt, denn gemäß Art. 83 Abs. 5 lit b DSGVO dürfe eine Geldbuße nur bei Verstößen gegen Rechte der Betroffenen verhängt werden.5. Mit Rechtfertigung vom 15.02.2021 brachten die Beschuldigten gemeinschaftlich und ergänzend zur Rechtfertigung vom 04.09.2020 soweit wesentlich vor,

die Behörde idente Vorwürfe erhebe und nun ebenfalls die Vorstandsmitglieder und die verantwortliche Beauftragte als Beschuldigte führe. Durch dieses unzulässige Verhalten sei Scheinkonkurrenz mit dem im Juni 2020 eingeleiteten Verfahren gegeben. Soweit diese davon ausgehe,

ein Dauerdelikt vorliege, sei darauf hinzuweisen,

es sich bei Artikel 12, DSGVO und Artikel 15, DSGVO um Delikte handle, welche mit Eintritt der Rechtswidrigkeit enden. Es sei in den Vorwürfen keine sanktionierbare Tat umschrieben, die den genannten natürlichen Personen vorgeworfen werden könne. Die Behörde habe, entgegen der höchstgerichtlichen Judikatur, „zur Sicherheit“ ein Verwaltungsstrafverfahren gegen die Vorstände und die verantwortliche Beauftragte eingeleitet, obwohl dies für die Verantwortlichkeit einer juristischen Person nicht erforderlich sei. Dieses Vorgehen mache den Beschuldigten die Verteidigung ihrer Rechtspositionen unmöglich, da sämtliche Vorhalte undifferenziert seien. Gerade die anhaltende Gefahr einer Datenschutzverletzung, durch die manuelle Bearbeitung aller einlangenden Anfragen von betroffenen Personen, habe es erforderlich gemacht, den Prozess durch ein Kontaktformular teilweise zu automatisieren. Seit 17.07.2019 sei das Kontaktformular implementiert und würde ein Großteil der Betroffenenanfragen über diesen Kanal abgewickelt werden. Dieses sei nie obligatorisch gewesen und haben den Betroffenen auch eine E-Mailadresse für Detailauskünfte zur Verfügung gestanden. Nach der Umstellung auf das DSGVO-Kontaktformular sei es vorgekommen,

Betroffene weiterhin die alte E-Mailadresse der Beschuldigten nutzten. In solchen Fällen hätten diese vom Postfach römisch 40 automatisch die Rückmeldung erhalten,

sie das DSGVO-Kontaktformular zu verwenden hätten, dies auch, wenn sich deren Anliegen bereits in Bearbeitung befunden habe. Am 22.04.2020 sei das Postfach endgültig abgeschaltet und den Betroffenen, die sich an dieses Postfach wendeten, eine Unzustellbarkeits-Benachrichtigung übermittelt worden. Abschließend sei aufzuzeigen,

hinsichtlich der überwiegenden Zahl der von der Behörde vorgebrachten Fälle die Verfolgungsverjährung bereits eingetreten sei. Ein allfälliger Verstoß gegen das Erleichterungsgebot sei überdies nicht unmittelbar strafbewehrt, denn gemäß Artikel 83, Absatz 5, Litera b, DSGVO dürfe eine Geldbuße nur bei Verstößen gegen Rechte der Betroffenen verhängt werden.

1. Mit einfacher Ladung vom 17.05.2021 lud die Behörde XXXX (Datenschutzbeauftragte der XXXX bis Juni 2020) zur Einvernahme als Zeugin vor und führte die Einvernahme am 01.06.2021 durch. Dabei gab diese zusammengefasst an, es sei nie vorgesehen gewesen Betroffenenrechte einzuschränken und habe die Anfragenflut eine Umstellung zwingend erforderlich gemacht. Die verantwortliche Beauftragte habe das Kontaktformular für zulässig erklärt, dieses sei ab Juni/Juli 2019 zum Einsatz gekommen. Ob Vorstandsmitglieder in den Prozess eingebunden waren, sei ihr nicht bekannt. Seit 2018 habe als Kontaktmöglichkeit die postalische Zustellung, das Fax, das Kundenservicecenter und eine E-Mailadresse bestanden. Mit Deaktivierung der E-Mailadresse sei automatisch auf das Kontaktformular verwiesen worden, andere Änderungen der Kontaktmöglichkeiten habe es nicht gegeben. Die Einschränkung auf drei Betroffenenrechte im Kontaktformular sei nur erfolgt, da betroffene Personen diese überwiegend beantragten, andere Anliegen seien durch postalische Übermittlung, Fax oder über das Kundenservicecenter immer zulässig gewesen. Über diese Information sei in den Datenschutzhinweisen aufgeklärt worden. Auch bereits eingebrachte Anliegen seinen von der Umstellung betroffen gewesen.
2. Mit einfacher Ladung vom 17.05.2021 lud die Behörde römisch 40 (Datenschutzbeauftragte der römisch 40 bis Juni 2020) zur Einvernahme als Zeugin vor und führte die Einvernahme am 01.06.2021 durch. Dabei gab diese zusammengefasst an, es sei nie vorgesehen gewesen Betroffenenrechte einzuschränken und habe die Anfragenflut eine Umstellung zwingend erforderlich gemacht. Die verantwortliche Beauftragte habe das Kontaktformular für zulässig erklärt, dieses sei ab Juni/Juli 2019 zum Einsatz gekommen. Ob Vorstandsmitglieder in den Prozess eingebunden waren, sei ihr nicht bekannt. Seit 2018 habe als Kontaktmöglichkeit die postalische Zustellung, das Fax, das Kundenservicecenter und eine E-Mailadresse bestanden. Mit Deaktivierung der E-Mailadresse sei automatisch auf das Kontaktformular verwiesen worden, andere Änderungen der Kontaktmöglichkeiten habe es nicht gegeben. Die Einschränkung auf drei Betroffenenrechte im Kontaktformular sei nur erfolgt, da betroffene Personen diese überwiegend beantragten, andere Anliegen seien durch postalische Übermittlung, Fax oder über das Kundenservicecenter immer zulässig gewesen. Über diese Information sei in den Datenschutzhinweisen aufgeklärt worden. Auch bereits eingebrachte Anliegen seinen von der Umstellung betroffen gewesen.
3. Mit 02.06.2021 gewährte die Behörde allen Beteiligten Parteiengehör hinsichtlich der erfolgten Zeugeneinvernahme vom 01.06.
5. Mit Ladungsbescheid vom 02.06.2021 lud die Behörde die verantwortliche Beauftragte zur Einvernahme am 30.06.2021, wobei diese zusammengefasst und soweit wesentlich angab: Der Vorstand sei über die hohe Zahl an Anfragen informiert gewesen und habe den Auftrag erteilt, diese ordnungsgemäß abzuarbeiten, das Budget für die benötigte Arbeitskraft habe dieser freigegeben und ihr die notwendige Anordnungsbefugnis erteilt. Für die Umsetzung gab es zeitliche Vorgaben und habe die verantwortliche Beauftragte den Vorstand quartalsweise über den Fortschritt der Anfragenbearbeitung informiert. Für die Implementierung des Formulars sei die Expertise von XXXX und der XXXX in Anspruch genommen worden (ausschließlich mündliche Beratungen), darüber hinaus sei die verantwortliche Beauftragte mit den datenschutzrechtlichen Vorschriften vertraut. Sie habe eigenverantwortlich das Formular zur Verwendung freigegeben, der Vorstand sei nicht involviert gewesen. Nach Implementierung des Formulars sei mit einer automatischen Antwort auf dieses verwiesen worden, bevor die zuvor verwendete E-Mailadresse endgültig deaktiviert worden sei. Für die Ausübung anderer Betroffenenrechte, als die im Kontaktformular genannten, habe immer eine Kontaktmöglichkeit per Post, Fax und Kundenservicecenter bestanden.Der Vorstand sei über die hohe Zahl an Anfragen informiert gewesen und habe den Auftrag erteilt, diese ordnungsgemäß abzuarbeiten, das Budget für die benötigte Arbeitskraft habe dieser freigegeben und ihr die notwendige Anordnungsbefugnis erteilt. Für die Umsetzung gab es zeitliche Vorgaben und habe die verantwortliche Beauftragte den Vorstand quartalsweise über den Fortschritt der Anfragenbearbeitung informiert. Für die Implementierung des Formulars sei die Expertise von römisch 40 und der römisch 40 in Anspruch genommen worden (ausschließlich mündliche Beratungen), darüber hinaus sei die verantwortliche Beauftragte mit den datenschutzrechtlichen Vorschriften vertraut. Sie habe eigenverantwortlich das Formular zur Verwendung freigegeben, der Vorstand sei nicht involviert gewesen. Nach Implementierung des Formulars sei mit einer automatischen Antwort auf dieses verwiesen worden, bevor die zuvor verwendete E-Mailadresse endgültig deaktiviert worden sei. Für die Ausübung anderer Betroffenenrechte, als die im Kontaktformular genannten, habe immer eine Kontaktmöglichkeit per Post, Fax und Kundenservicecenter bestanden.
6. Mit ergänzender Rechtfertigung vom 30.06.2021 nahmen die weiteren Beschuldigten zur Zeugeneinvernahme vom 01.06.2021 Stellung und konkretisierten diese.
7. Mit 01.07.2021 gewährte die Behörde allen Beteiligten Parteiengehör hinsichtlich der erfolgten Beschuldigteneinvernahme vom 30.06.
9. Mit ergänzenden Aufforderung vom 15.07.2021 an die Beschuldigten verlangte die Datenschutzbehörde die Vorlage der unterschriebenen Bestellung der verantwortlichen Beauftragten für den gegenständlichen Tatzeitraum, falls diese nicht vorhanden oder ungültig sei, den Beschluss des Gesamtvorstands über die Bestellung zur verantwortlichen Beauftragten bzw. sonstige dahingehende Dokumente und Informationen über den Umfang der übernommenen Verantwortung.
10. Mit Eingabe vom 26.07.2021 nahmen alle weiteren Beschuldigten zur Beschuldigteneinvernahme vom 30.06.2021 Stellung, konkretisierten die gemachten Angaben und kamen den Aufforderungen der Datenschutzbehörde nach.
11. Mit 28.09.2021 erließ die Behörde das angefochtene Straferkenntnis gegen die Beschuldigte XXXX wegen der Verletzung ihrer Pflicht zur Erleichterung der Rechtsausübung von Betroffenenrechten, stellte alle weiteren Tatvorwürfe gegen die Beschuldigte sowie die weiteren (individuellen) Beschuldigten ein und führte begründend im Wesentlichen aus:
12. Mit 28.09.2021 erließ die Behörde das angefochtene Straferkenntnis gegen die Beschuldigte römisch 40 wegen der Verletzung ihrer Pflicht zur Erleichterung der Rechtsausübung von Betroffenenrechten, stellte alle weiteren Tatvorwürfe gegen die Beschuldigte sowie die weiteren (individuellen) Beschuldigten ein und führte begründend im Wesentlichen aus: Durch den Einsatz des verpflichtend zu verwendenden Kontaktformulars habe die Beschuldigte den Erleichterungsgrundsatz verletzt und betroffenen Personen die Ausübung ihrer Rechte erschwert. Dies insbesondere dadurch,

sie Anfragen über andere Kanäle (deaktivierte E-Mailadresse oder Kundenservicecenter) nicht angenommen, auf das Kontaktformular verwiesen oder Anbringen erst nach Weigerung der betroffenen Personen, dieses zu verwenden, bearbeitet habe. Soweit die Beschuldigte behaupte, auch andere Kanäle zuzulassen, so habe sie die betroffenen Personen nicht ausreichend über diese Möglichkeiten aufgeklärt und vielmehr den Eindruck erweckt,

ausschließlich eine Kontaktaufnahme über das vorgesehene Formular möglich sei, da auch geschulte Mitarbeiter der Beschuldigten ausschließlich auf das Kontaktformular verwiesen hätten. Es handle sich daher de facto um eine obligatorische Nutzung des Kontaktformulars. Auch sei die damit verbundene Einschränkung auf drei (von der Beschuldigten) konkrete Betroffenenrechte unzulässig. Ein im Kontaktformular nicht vorgesehenes Betroffenenrecht habe eine betroffene Person über das allgemeine Kontaktformular „Serviceangebot – Sonstige Services“, per Brief/Fax oder bis zum 13.12.2020 per E-Mail geltend machen müssen. Eine dahingehende Information sei nur intransparent erteilt und der Eindruck erweckt worden,

elektronisch ausschließlich drei Betroffenenrechte geltend gemacht werden könnten. Ebenfalls habe das Kontaktformular eine Identifizierung ausschließlich mittels eines gültigen Lichtbildausweises vorgesehen, andere Identifizierungsmethoden seien nicht möglich gewesen. Aufgrund der vollständigen Deaktivierung des E-Mailpostfachs XXXX mit 15.12.2020, sei eine solche Kontaktaufnahme verhindert worden. Die Sorgfaltswidrigkeit ergebe sich aus dem zurechenbaren Handeln der Vorstandsmitglieder, da diese kein wirksames internes Kontrollsystem implementierten und der verantwortlichen Beauftragten, welche zumindest hätte erkennen müssen,

die genehmigten Maßnahmen nicht dem Erleichterungsgebot des Art. 12 Abs. 2 DSGVO entsprechen. Ein Verbotsirrtum liege nicht vor. Gemäß § 30 Abs. 3 DSG sei die Verhängung einer Verwaltungsstrafe gegen natürliche Personen unzulässig, wenn bereits eine solche gegen die juristische Person verhängt worden sei.Durch den Einsatz des verpflichtend zu verwendenden Kontaktformulars habe die Beschuldigte den Erleichterungsgrundsatz verletzt und betroffenen Personen die Ausübung ihrer Rechte erschwert. Dies insbesondere dadurch,

sie Anfragen über andere Kanäle (deaktivierte E-Mailadresse oder Kundenservicecenter) nicht angenommen, auf das Kontaktformular verwiesen oder Anbringen erst nach Weigerung der betroffenen Personen, dieses zu verwenden, bearbeitet habe. Soweit die Beschuldigte behaupte, auch andere Kanäle zuzulassen, so habe sie die betroffenen Personen nicht ausreichend über diese Möglichkeiten aufgeklärt und vielmehr den Eindruck erweckt,

ausschließlich eine Kontaktaufnahme über das vorgesehene Formular möglich sei, da auch geschulte Mitarbeiter der Beschuldigten ausschließlich auf das Kontaktformular verwiesen hätten. Es handle sich daher de facto um eine obligatorische Nutzung des Kontaktformulars. Auch sei die damit verbundene Einschränkung auf drei (von der Beschuldigten) konkrete Betroffenenrechte unzulässig. Ein im Kontaktformular nicht vorgesehenes Betroffenenrecht habe eine betroffene Person über das allgemeine Kontaktformular „Serviceangebot – Sonstige Services“, per Brief/Fax oder bis zum 13.12.2020 per E-Mail geltend machen müssen. Eine dahingehende Information sei nur intransparent erteilt und der Eindruck erweckt worden,

elektronisch ausschließlich drei Betroffenenrechte geltend gemacht werden könnten. Ebenfalls habe das Kontaktformular eine Identifizierung ausschließlich mittels eines gültigen Lichtbildausweises vorgesehen, andere Identifizierungsmethoden seien nicht möglich gewesen. Aufgrund der vollständigen Deaktivierung des E-Mailpostfachs römisch 40 mit 15.12.2020, sei eine solche Kontaktaufnahme verhindert worden. Die Sorgfaltswidrigkeit ergebe sich aus dem zurechenbaren Handeln der Vorstandsmitglieder, da diese kein wirksames internes Kontrollsystem implementierten und der verantwortlichen Beauftragten, welche zumindest hätte erkennen müssen,

die genehmigten Maßnahmen nicht dem Erleichterungsgebot des Artikel 12, Absatz 2, DSGVO entsprechen. Ein Verbotsirrtum liege nicht vor. Gemäß Paragraph 30, Absatz 3, DSG sei die Verhängung einer Verwaltungsstrafe gegen natürliche Personen unzulässig, wenn bereits eine solche gegen die juristische Person verhängt worden sei. 14. Gegen das genannte Straferkenntnis wurde mit 25.10.2021 Beschwerde eingebracht und darin zusammengefasst ausgeführt,

die Beschwerdeführerin nicht das vorgeworfene Tatbild verwirklicht habe. Sie habe die Ausübung von Betroffenenrechten nicht behindert. Vielmehr sei die Zurverfügungstellung eines Kontaktformulars eine Erleichterung. Auch handle es sich bei Art. 12 DSGVO um keine Strafnorm und sei dieser Artikel für diesen Zweck auch zu unbestimmt. Zudem könne eine Zurechnung zu den Vorstandsmitgliedern nicht erfolgen, wobei auch der Spruch des Straferkenntnisses in hohem Maße unbestimmt sei und es habe die Behörde die objektive und subjektive Tatseite bei der die Strafzumessung grob verkannt. Die Beschwerdeführerin beantrage daher, den Spruchpunkt I. der Behörde ersatzlos zu beheben und das Verfahren einzustellen, in eventu das Verfahren unter Erteilung einer Verwarnung einzustellen, in eventu das Strafmaß herabzusetzen.14. Gegen das genannte Straferkenntnis wurde mit 25.10.2021 Beschwerde eingebracht und darin zusammengefasst ausgeführt,

die Beschwerdeführerin nicht das vorgeworfene Tatbild verwirklicht habe. Sie habe die Ausübung von Betroffenenrechten nicht behindert. Vielmehr sei die Zurverfügungstellung eines Kontaktformulars eine Erleichterung. Auch handle es sich bei Artikel 12, DSGVO um keine Strafnorm und sei dieser Artikel für diesen Zweck auch zu unbestimmt. Zudem könne eine Zurechnung zu den Vorstandsmitgliedern nicht erfolgen, wobei auch der Spruch des Straferkenntnisses in hohem Maße unbestimmt sei und es habe die Behörde die objektive und subjektive Tatseite bei der die Strafzumessung grob verkannt. Die Beschwerdeführerin beantrage daher, den Spruchpunkt römisch eins. der Behörde ersatzlos zu beheben und das Verfahren einzustellen, in eventu das Verfahren unter Erteilung einer Verwarnung einzustellen, in eventu das Strafmaß herabzusetzen. 15. Mit Schreiben vom 22.11.2021 legte die Behörde die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor, beantragte die Abweisung der Beschwerde, verwies vollinhaltlich auf das bekämpfte Straferkenntnis und führte zur Bescheidbeschwerde im Wesentlichen aus,

die Behörde nie behauptet habe,

ein Kontaktformular keine Erleichterung darstelle. Es gehe um die für Betroffenen zwingende Kanalisierung der Eingaben über das bereitgestellte Kontaktformular, handle es sich bei Art. 12 Abs. 2 iVm § 83 Abs. 5 DSGVO um eine ausreichend bestimmte Strafnorm und es seien auch die weiteren Darstellungen der Beschwerdeführerin nicht nachvollziehbar.15. Mit Schreiben vom 22.11.2021 legte die Behörde die Beschwerde samt dem Verwaltungsakt dem Bundesverwaltungsgericht vor, beantragte die Abweisung der Beschwerde, verwies vollinhaltlich auf das bekämpfte Straferkenntnis und führte zur Bescheidbeschwerde im Wesentlichen aus,

die Behörde nie behauptet habe,

ein Kontaktformular keine Erleichterung darstelle. Es gehe um die für Betroffenen zwingende Kanalisierung der Eingaben über das bereitgestellte Kontaktformular, handle es sich bei Artikel 12, Absatz 2, in Verbindung mit Paragraph 83, Absatz 5, DSGVO um eine ausreichend bestimmte Strafnorm und es seien auch die weiteren Darstellungen der Beschwerdeführerin nicht nachvollziehbar.

1. Mit ergänzender Stellungnahme vom 04.01.2022 regte die Behörde die Aussetzung des gegenständlichen Beschwerdeverfahrens an, da beim EuGH ein Vorabentscheidungsersuchen dazu anhängig sei, ob eine juristische Person unmittelbar Betroffene im Bußgeldverfahren wegen eines Verstoßes gegen Art. 83 DSGVO sein könne.
2. Mit ergänzender Stellungnahme vom 04.01.2022 regte die Behörde die Aussetzung des gegenständlichen Beschwerdeverfahrens an, da beim EuGH ein Vorabentscheidungsersuchen dazu anhängig sei, ob eine juristische Person unmittelbar Betroffene im Bußgeldverfahren wegen eines Verstoßes gegen Artikel 83, DSGVO sein könne.
3. Mit ergänzender Stellungnahme vom 20.07.2022 führte die Behörde zum Verschulden der Beschwerdeführerin zusammengefasst aus,

ein Verbotsirrtum in jeder Hinsicht ausgeschlossen sei. Diese habe entgegen der eindeutigen Empfehlung der konsultierten Experten für Datenschutzschulungen eine Einschränkung bei der Ausübung von Betroffenenrechten vorgenommen. Der Eingabe waren Schulungsunterlagen der Beschwerdeführerin angeschlossen.

1. Mit Beschluss des Bundesverwaltungsgerichtes vom 12.10.2022 wurde das Verfahren hinsichtlich des beim EuGH anhängigen Verfahrens zu C-807/21 ausgesetzt. Mit Beschluss des Geschäftsverteilungsausschusses des Bundesverwaltungsgerichts vom 30.08.2023 wurde das gegenständliche Verfahren der Gerichtsabteilung W137 neu zugewiesen.
2. Mit Urteil vom 05.12.2023 erging die Entscheidung des EuGH in der Rechtssache C-807/
3. Dieser führte soweit verfahrensrelevant aus,

Art. 58Abs.

2 Buchst. i und Art. 83 Abs. 1 bis 6 DSGVO dahin auszulegen seien,

sie einer nationalen Regelung entgegenstünden, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden könne, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet worden sei. Art. 83 DSGVO sei dahin auszulegen,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden dürfe, wenn nachgewiesen sei,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen sei, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen habe.

1. Mit Urteil vom 05.12.2023 erging die Entscheidung des EuGH in der Rechtssache C-807/
2. Dieser führte soweit verfahrensrelevant aus,

Artikel 58, Absatz 2, Buchst.

i und Artikel 83, Absatz eins bis 6 DSGVO dahin auszulegen seien,

sie einer nationalen Regelung entgegenstünden, wonach eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden könne, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet worden sei. Artikel 83, DSGVO sei dahin auszulegen,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden dürfe, wenn nachgewiesen sei,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen sei, einen in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen habe. 20. Mit Stellungnahme vom 12.01.2024 führte die Datenschutzbehörde im Wesentlichen aus,

das Vorbringen der Beschwerdeführerin - soweit es sich auf die Zurechnungen einer schuldhaft handelnden Person beziehe - ins Leere ginge. Für die Bemessung des Strafrahmens sei auf den wettbewerbsrechtlichen Begriff der wirtschaftlichen Einheit abzustellen, bei einer systematischen Verletzung von Betroffenenrechten von einem hohen Schweregrad auszugehen und von einem Verschulden in der Form der Fahrlässigkeit auszugehen. Es komme in diesem Zusammenhang nicht auf § 5 VStG an, da Art. 83 DSGVO nach der Rechtsprechung des EuGH den Straftatbestand abschließend regle.20. Mit Stellungnahme vom 12.01.2024 führte die Datenschutzbehörde im Wesentlichen aus,

das Vorbringen der Beschwerdeführerin - soweit es sich auf die Zurechnungen einer schuldhaft handelnden Person beziehe - ins Leere ginge. Für die Bemessung des Strafrahmens sei auf den wettbewerbsrechtlichen Begriff der wirtschaftlichen Einheit abzustellen, bei einer systematischen Verletzung von Betroffenenrechten von einem hohen Schweregrad auszugehen und von einem Verschulden in der Form der Fahrlässigkeit auszugehen. Es komme in diesem Zusammenhang nicht auf Paragraph 5, VStG an, da Artikel 83, DSGVO nach der Rechtsprechung des EuGH den Straftatbestand abschließend regle. 21. Mit Stellungnahme vom 12.01.2024 und 15.01.2024 führte die Beschwerdeführerin im Wesentlichen aus,

der Spruch des Straferkenntnisses keine eindeutige Aussage zum Verschuldensgrad enthalte, ein entschuldbarer Verbotsirrtum vorliege, es sich bei Art. 12 Abs. 2 DSGVO um eine unbestimmte Norm handle und die Behörde eine wahllose Beurteilung bezüglich der relevanten Onlinewerkzeuge (Kontaktformular) vornehme.21. Mit Stellungnahme vom 12.01.2024 und 15.01.2024 führte die Beschwerdeführerin im Wesentlichen aus,

der Spruch des Straferkenntnisses keine eindeutige Aussage zum Verschuldensgrad enthalte, ein entschuldbarer Verbotsirrtum vorliege, es sich bei Artikel 12, Absatz 2, DSGVO um eine unbestimmte Norm handle und die Behörde eine wahllose Beurteilung bezüglich der relevanten Onlinewerkzeuge (Kontaktformular) vornehme. 22. Am 26.01.2024, 02.02.2024 und 23.02.2024 fand am Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung statt, in welcher die Parteien die Gelegenheit hatten ihren Standpunkt zu erörtern, Zeugenbefragungen stattfanden und die verfahrensgegenständlichen Rechtsfragen diskutiert wurden. Mit Stellungnahme vom 30.01.2024 replizierte die Beschwerdeführerin auf das Vorbringen der Behörde in der mündlichen Verhandlung vom 26.01.2024, legte ein IT-Gutachten zum Kontaktformular vor und führte soweit verfahrensrelevant aus,

das Erleichterungsgebot keine Strafnorm darstellen könne und die Auferlegung eines Kostenbeitrags in Millionenhöhe dem Verhältnismäßigkeitsgebot nicht entsprechen würde. Mit verfahrensleitenden Beschlüssen wurden Anträge auf weitere Zeugeneinvernahmen sowie auf die Einholung eines Gutachtens abgewiesen. Im Anschluss an den letzten Verhandlungstermin verkündete der erkennende Senat die Entscheidung samt den wesentlichen Entscheidungsgründen.

1. Mit (nicht bloß verfahrensleitendem) Beschluss vom 26.02.2024 berichtigte das Bundesverwaltungsgericht einen Schreibfehler in der Protokollierung der mündlich verkündeten Entscheidung im Verhandlungsprotokoll vom 23.02.2024; diese Berichtigung wurde von den Parteien nicht bekämpft.
2. Mit (nicht bloß verfahrensleitendem) Beschluss vom 26.02.2024 berichtigte das Bundesverwaltungsgericht einen Schreibfehler in der Protokollierung der mündlich verkündeten Entscheidung im Verhandlungsprotokoll vom 23.02.2024; diese Berichtigung wurde von den Parteien nicht bekämpft., II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
3. Feststellungen: 1.
4. Hintergrund des gegenständlichen Verfahrens ist die Tätigkeit der Beschwerdeführerin (einer juristischen Person) als Adressverlag und die damit in Verbindung stehende Zuordnung von Personen-/Adressdaten in spezifische Sinus-Geo-Milieus. In diesem Zusammenhang langten ab 07.01.2019 binnen weniger Tage mehrere tausend Datenschutzanfragen im Postfach XXXX ein. Insgesamt langten von 07.01.2019 bis 30.06.2019 33.290 Anfragen Betroffener ein, wobei 32.590 elektronisch gestellt wurden. Im Juli 2019 erfolgten nur noch 18 Datenschutz-Anfragen.1.
5. Hintergrund des gegenständlichen Verfahrens ist die Tätigkeit der Beschwerdeführerin (einer juristischen Person) als Adressverlag und die damit in Verbindung stehende Zuordnung von Personen-/Adressdaten in spezifische Sinus-Geo-Milieus. In diesem Zusammenhang langten ab 07.01.2019 binnen weniger Tage mehrere tausend Datenschutzanfragen im Postfach römisch 40 ein. Insgesamt langten von 07.01.2019 bis 30.06.2019 33.290 Anfragen Betroffener ein, wobei 32.590 elektronisch gestellt wurden. Im Juli 2019 erfolgten nur noch 18 Datenschutz-Anfragen. 1.
6. Zum Zeitpunkt des 07.01.2019 bot die Beschwerdeführerin auf ihrer Homepage folgende Kontaktmöglichkeiten (auch für Datenschutzangelegenheiten) an: - Briefverkehr - E-Mail-Postfach XXXX - E-Mail-Postfach römisch 40 - Kundenservice-Kontaktformular (online) mit Freitextfeld 1.
7. Eine spezifische Kontaktmöglichkeit für Datenschutzangelegenheiten war – ungeachtet der zusätzlichen Tätigkeit als Adressverlag (mit umfassender Kundenkategorisierung) und somit einer Materie, die datenschutzrechtliche Anfragen in deutlich höherem Ausmaß wahrscheinlich macht, als die Kerntätigkeit der Beschwerdeführerin – nicht vorgesehen. 1.
8. Das Postfach XXXX (im MS Outlook-System) war zum Zeitpunkt des 07.01.2019 zwar vorhanden, aber nur für einschlägige Kontakte etwa mit der Behörde oder (erst) den weiterführenden Kontakt mit den Betroffenen bei datenschutzrechtlichen Anfragen vorgesehen. Dieses Postfach wurde allerdings von Dritten unmittelbar vor und nach dem 07.01.2019 im Zusammenhang mit Anfragen betreffend die Sinus-Geo-Milieus medial explizit kommuniziert, wobei gleichzeitig zur Stellung entsprechender Anfragen aufgerufen wurde. Systemisch war das Postfach XXXX für ein derartiges Kommunikationsvolumen und die strukturierte Abarbeitung einschlägiger Anträge nicht vorgesehen bzw. (bei Wahrung einer strukturierten und gesicherten Bearbeitung) effektiv nicht geeignet. Bis 30.06.2019 langten über diesen Kanal mehr als 30.000 Anfragen ein.1.
9. Das Postfach römisch 40 (im MS Outlook-System) war zum Zeitpunkt des 07.01.2019 zwar vorhanden, aber nur für einschlägige Kontakte etwa mit der Behörde oder (erst) den weiterführenden Kontakt mit den Betroffenen bei datenschutzrechtlichen Anfragen vorgesehen. Dieses Postfach wurde allerdings von Dritten unmittelbar vor und nach dem 07.01.2019 im Zusammenhang mit Anfragen betreffend die Sinus-Geo-Milieus medial explizit kommuniziert, wobei gleichzeitig zur Stellung entsprechender Anfragen aufgerufen wurde. Systemisch war das Postfach römisch 40 für ein derartiges Kommunikationsvolumen und die strukturierte Abarbeitung einschlägiger Anträge nicht vorgesehen bzw. (bei Wahrung einer strukturierten und gesicherten Bearbeitung) effektiv nicht geeignet. Bis 30.06.2019 langten über diesen Kanal mehr als 30.000 Anfragen ein. 1.
10. Am 17.07.2019 wurde das Postfach XXXX mit einer Auto-Reply versehen, die auf die Nutzung des ebenfalls am 17.07.2019 installierten Datenschutz-Kontaktformulars verwies. Dieses sah zunächst nur drei Betroffenenrechte konkret (und darüber hinaus ein Freitextfeld) vor. Die Implementierung des Datenschutz-Kontaktformulars erfolgte in der grundsätzlichen Absicht, den betroffenen Personen die Ausübung ihrer Rechte gemäß der DSGVO zu erleichtern und die strukturierte Bearbeitung der Anfragen zu erleichtern.1.
11. Am 17.07.2019 wurde das Postfach römisch 40 mit einer Auto-Reply versehen, die auf die Nutzung des ebenfalls am 17.07.2019 installierten Datenschutz-Kontaktformulars verwies. Dieses sah zunächst nur drei Betroffenenrechte konkret (und darüber hinaus ein Freitextfeld) vor. Die Implementierung des Datenschutz-Kontaktformulars erfolgte in der grundsätzlichen Absicht, den betroffenen Personen die Ausübung ihrer Rechte gemäß der DSGVO zu erleichtern und die strukturierte Bearbeitung der Anfragen zu erleichtern. 1.
12. Das ab 17.07.2019 eingerichtete Kontaktformular ermöglichte die elektronische Antragstellung von drei spezifischen Betroffenenrechten (Auskunft, Widerspruch und Löschung der Daten für Marketingzwecke Dritter). Am Ende des Kontaktformulars befand sich ein Hinweis auf die Datenschutzhinweise der Beschwerdeführerin unter XXXX (Startseite bzw. „landing page“ sowie Information zu Kontaktmöglichkeiten).1.
13. Das ab 17.07.2019 eingerichtete Kontaktformular ermöglichte die elektronische Antragstellung von drei spezifischen Betroffenenrechten (Auskunft, Widerspruch und Löschung der Daten für Marketingzwecke Dritter). Am Ende des Kontaktformulars befand sich ein Hinweis auf die Datenschutzhinweise der Beschwerdeführerin unter römisch 40 (Startseite bzw. „landing page“ sowie Information zu Kontaktmöglichkeiten). Wenn ein Betroffener eines dieser drei Betroffenenrechte („Auskunft, Widerspruch, Löschung der Daten für Marketingzwecke Dritter“) statt über das hierfür vorgegebene Kontaktformular über die E-Mail-Adresse des Postkundenservice ( XXXX – im Folgenden) geltend machte, wurde dieser ausdrücklich auf die ausschließliche Nutzung des Kontaktformulars verwiesen.Wenn ein Betroffener eines dieser drei Betroffenenrechte („Auskunft, Widerspruch, Löschung der Daten für Marketingzwecke Dritter“) statt über das hierfür vorgegebene Kontaktformular über die E-Mail-Adresse des Postkundenservice ( römisch 40 – im Folgenden) geltend machte, wurde dieser ausdrücklich auf die ausschließliche Nutzung des Kontaktformulars verwiesen. 1.
14. Ab dem 17.07.2019 wurden neue Eingänge betroffener Personen, welche am E-Mail-Postfach XXXX einlangten nicht mehr bearbeitet. Bereits zuvor eingegangene Anfragen (vor dem 17.07.2019) von Betroffenen, die sich bereits ausreichend identifiziert hatten, wurden auch nach Implementierung des Kontaktformulars und Umstellung des Postfaches bearbeitet. Alle restlichen offenen Anfragen, bei denen es sich um nicht vollständige Anfragen bzw. nicht ausreichend identifizierte Anfragen handelte, wurden nicht weiterbearbeitet.1.
15. Ab dem 17.07.2019 wurden neue Eingänge betroffener Personen, welche am E-Mail-Postfach römisch 40 einlangten nicht mehr bearbeitet. Bereits zuvor eingegangene Anfragen (vor dem 17.07.2019) von Betroffenen, die sich bereits ausreichend identifiziert hatten, wurden auch nach Implementierung des Kontaktformulars und Umstellung des Postfaches bearbeitet. Alle restlichen offenen Anfragen, bei denen es sich um nicht vollständige Anfragen bzw. nicht ausreichend identifizierte Anfragen handelte, wurden nicht weiterbearbeitet. Der Vorschlag zum Einsatz des gegenständlichen Kontaktformulars wurde sowohl mit internen als auch externen Beratern besprochen. Es gibt keine Belege,

die eingeholten Rechtsauskünfte der externen Berater (Rechtsanwälte) auf Grundlage vollständiger Sachverhaltsinformationen erteilt wurden und welche konkrete Auskunft diesen gegeben wurde. Die Beratung erfolgte mündlich und wurde zum Einsatz des Kontaktformulars kein Rechtsgutachten eingeholt. 1.

1. Das Postfach XXXX wurde nicht ausschließlich für datenschutzrechtliche Angelegenheiten, sondern für sämtliche (allgemeine) Belange der Beschwerdeführerin verwendet bzw. zur Verfügung gestellt.1.
2. Das Postfach römisch 40 wurde nicht ausschließlich für datenschutzrechtliche Angelegenheiten, sondern für sämtliche (allgemeine) Belange der Beschwerdeführerin verwendet bzw. zur Verfügung gestellt. 1.
3. Am 31.01.2020 wurde das Postfach XXXX aus den Datenschutzhinweisen (Punkt
4. Kontakt) entfernt, sodass dort lediglich der Link zum Datenschutzformular und die Postadresse der Beschwerdeführerin aufschienen. Aufgrund der Abschaltung am 14.12.2020 wurde das Postfach XXXX deaktiviert. Ab diesem Zeitpunkt bestand für die Betroffenen im Rahmen der elektronischen Kommunikation ausschließlich die Möglichkeit das Datenschutz-Kontaktformular (für die drei spezifischen Betroffenenrechte) oder das Allgemeine-Kundenservice-Kontaktformular (für die restlichen Betroffenenrechte) zu verwenden.1.
5. Am 31.01.2020 wurde das Postfach römisch 40 aus den Datenschutzhinweisen (Punkt
6. Kontakt) entfernt, sodass dort lediglich der Link zum Datenschutzformular und die Postadresse der Beschwerdeführerin aufschienen. Aufgrund der Abschaltung am 14.12.2020 wurde das Postfach römisch 40 deaktiviert. Ab diesem Zeitpunkt bestand für die Betroffenen im Rahmen der elektronischen Kommunikation ausschließlich die Möglichkeit das Datenschutz-Kontaktformular (für die drei spezifischen Betroffenenrechte) oder das Allgemeine-Kundenservice-Kontaktformular (für die restlichen Betroffenenrechte) zu verwenden. 1.
7. Das Datenschutz-Kontaktformular für Betroffene wurde mehrmals aktualisiert. Die erste Änderung erfolgte Mitte Juli 2020 und wurde durch die Aufforderung zur Rechtfertigung vom 26.06.2020 initiiert. Die Beschwerdeführerin fügte am Ende des Formulars detaillierte Informationen zur Ausübung der Betroffenenrechte ein und ersetzte dadurch den pauschalen Hinweis auf die Datenschutzhinweise. Zudem wurde ab diesem Zeitpunkt auf das Kontaktformular für Datenschutz und jenes für sonstige Anfragen hingewiesen. 1.
8. Als Identitätsnachweis akzeptierte die Beschwerdeführerin anfangs offiziell ausschließlich die Kopie eines Lichtbildausweises beziehungsweise wurde nur diese Identifizierungsform öffentlich bekannt gemacht. Aufgrund zahlreicher anderer von Betroffenen vorgebrachten Identifikationsmittel, wurden tatsächlich auch diese zugelassen und es wurde den zuständigen Sachbearbeitern im Rahmen eines Leitfadens eine Anweisung erteilt, welche Identifikationsmittel ungeachtet der öffentlichen Verlautbarung akzeptiert werden bzw. als solche zugelassen sind. Die Identifikation mittels digitaler Signatur wurde bereits vor der Implementierung des Datenschutz-Kontaktformulars am 17.07.2019 zugelassen bzw. akzeptiert, wenn vom Betroffenen zusätzlich das Geburtsdatum angegeben wurde. Für die Abfrage in den Datenbanken der Beschuldigten zur eindeutigen Identifikation war die Bekanntgabe folgender Daten erforderlich: Name, Anschrift und Geburtsdatum. Mit September 2020 wurde die offizielle Möglichkeit für Betroffene implementiert, sich per digitaler Signatur (Handysignatur) zu identifizieren (zusätzlich zur Möglichkeit, sich mit einem Lichtbildausweis zu identifizieren). Es war jedoch im gesamten Tatzeitraum und auch bereits vor der Implementierung des Kontaktformulars gängige (interne) Praxis der Beschuldigten,

Betroffene sich mit einer digitalen Signatur identifizieren können. Ab Jänner 2021 erfasst das Datenschutz-Kontaktformular alle Betroffenenrechte, indem die beide aktiven Kontaktformulare fusioniert wurden. 1.

1. Die Beschwerdeführerin hat grundsätzlich alle mehr als 30.000 einschlägigen Anfragen binnen weniger Monate bearbeitet, dabei kam es lediglich in einer niedrigen zweistelligen Zahl an Verfahren zu Komplikationen beziehungsweise Fehlern. 1.
2. Der Konzern-Umsatzerlös der Beschwerdeführerin für das Jahr 2020 beträgt EUR 2,1892 Milliarden.
3. Beweiswürdigung: 2.
4. Die Feststellungen zu 1.
5. ergeben sich aus den Rechtfertigungen der Beschwerdeführerin vom 04.09.2020 und 15.02.2021, der Niederschriften über die Vernehmungen der verantwortlichen Beauftragten durch die Datenschutzbehörde und den Aussagen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 26.01.2024 und 02.02.
6. Die Zahlen in Bezug auf die eingegangenen Betroffenenanfragen ergeben sich aus der von der Beschwerdeführerin vorgelegten Grafik im Zuge der Rechtfertigung vom 04.09.2020 und deren Bekräftigung in der mündlichen Verhandlung vom 02.02.
7. 2.
8. Die Feststellungen zu 1.
9. ergeben sich aus dem Vorbringen der Beschwerdeführerin im Laufe des Verwaltungsstrafverfahren vor der Behörde (insbesondere im Rahmen ihrer Rechtfertigung vom 04.09.2020), der Beschwerde vom 25.10.2021 und deren Bekräftigung durch das Vorbringen in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 26.01.2024 und 02.02.
10. 2.
11. Die Feststellung zum Fehlen eines explizit für Datenschutzangelegenheiten vorgesehenen Kanals (1.3.), trotz der zusätzlichen Tätigkeit als Adressverlag, gründet auf dem eigenen Vorbringen der Beschwerdeführerin im Lauf des Verfahrens und der dadurch in Folge durchgeführten Implementierung eines Datenschutz-Kontaktformulars. Dies ergibt sich insbesondere aus den Rechtfertigungen während des Verwaltungsstrafverfahrens, dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.2024 und der Beschwerde vom 25.10.
12. 2.
13. Die Feststellungen betreffend 1.
14. ergeben sich aus den Rechtfertigungen und Stellungnahmen der Beschwerdeführerin während des Verfahrens vor der Behörde, der Beschwerde vom 25.10.2021, dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.2024 sowie der von der Beschwerdeführerin vorgelegten Grafik im Zuge der Rechtfertigung vom 04.09.
15. Auch die Beschwerdeführerin hielt ausdrücklich fest,

MS Outlook für die gesicherte und strukturierte Abarbeitung eines solchen Eingangs schlicht nicht geeignet ist. 2.

1. Die Feststellungen unter 1.
2. ergeben sich aus dem Vorbingen der Beschwerdeführerin während des Verwaltungsstrafverfahrens vor der Behörde (insbesondere der Niederschrift zur Zeugeneinvernahme vom 01.06.2021 und 30.06.2021 sowie den im Zuge der Stellungnahme vom 26.07.2021 vorgelegten Datenschutzhinweisen vom 30.10.2019), der Beschwerde vom 25.10.2021 und dem gleichlautenden Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vom 02.02.
3. 2.
4. Die getroffenen Feststellungen zum Datenschutz-Kontaktformular (1.6.) beruhen auf den Stellungnahmen der Beschwerdeführerin vom 26.07.2021 und 30.06.2021 der Niederschrift zur Zeugeneinvernahme/Beschuldigteneinvernahme vom 12.08.2021 und 30.06.2021, dem im Verwaltungsakt aufliegenden PDF Ausdruck des Datenschutz-Kontaktformulars, der Beschwerde vom 25.10.2021 und dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.
5. Die getroffenen Feststellungen zum Umgang mit Anfragen über die E-Mailadresse XXXX nach Implementierung des Datenschutz-Kontaktformulars ergeben sich aus der Niederschrift zur Zeugen-/Beschuldigteneinvernahme vom 12.08.2021 und 30.06.2021 sowie der Bestätigung dieser Praxis durch die Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.2024.Die getroffenen Feststellungen zum Umgang mit Anfragen über die E-Mailadresse römisch 40 nach Implementierung des Datenschutz-Kontaktformulars ergeben sich aus der Niederschrift zur Zeugen-/Beschuldigteneinvernahme vom 12.08.2021 und 30.06.2021 sowie der Bestätigung dieser Praxis durch die Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.
6. 2.
7. Die getroffenen Feststellungen beruhen im Wesentlichen auf der Niederschrift über die Beschuldigtenvernehmung vom 30.06.2021 und der Niederschrift zur Zeugeneinvernahme vom 12.08.2021, der Beschwerde vom 25.10.2021 und dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.
8. Die getroffenen Feststellungen betreffend einen behaupteten Verbotsirrtum ergeben sich aus der Niederschrift über die Beschuldigtenvernehmung vom 30.06.2021, der Beschwerde vom 25.10.2021 und dem Vorbringen in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 26.01.2024, 02.02.2024 und 23.02.
9. 2.
10. Die getroffenen Feststellungen zum Umgang mit Anfragen über die E-Mailadresse XXXX nach Implementierung des Datenschutz-Kontaktformulars ergeben sich erneut aus der Niederschrift zur Zeugen-/Beschuldigteneinvernahme vom 12.08.2021 und 30.06.2021 sowie der Bestätigung dieser Praxis durch die Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.2024.2.
11. Die getroffenen Feststellungen zum Umgang mit Anfragen über die E-Mailadresse römisch 40 nach Implementierung des Datenschutz-Kontaktformulars ergeben sich erneut aus der Niederschrift zur Zeugen-/Beschuldigteneinvernahme vom 12.08.2021 und 30.06.2021 sowie der Bestätigung dieser Praxis durch die Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.
12. 2.
13. Die Feststellungen zu 1.
14. ergeben sich aus dem Verwaltungsakt der Behörde (insbesondere der Stellungnahme der Beschwerdeführerin vom 26.07.2021 und 30.06.2021, der Niederschrift zur Zeugeneinvernahme vom 12.08.2021 und 30.06.2021), der Beschwerde vom 25.10.2021 und dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.2024 und 23.02.
15. 2.
16. Die Feststellungen zu den Änderungen an den Kontaktformularen durch die Beschwerdeführerin im Lauf des Verfahrens ergeben sich aus der Niederschrift zur Zeugeneinvernahme vom 12.08.2021, der Niederschrift zur Beschuldigteneinvernahme vom 30.06.2021 und dem durch die Beschwerdeführerin im Zuge der schriftlichen Rechtfertigung vom 04.09.2020 vorgelegten (überarbeiteten/aktualisierten) Kontaktformular. Die Feststellung,

die digitale Signatur bereits vor der Implementierung des Kontaktformulars als zulässiges Identifikationsmittel von der Beschwerdeführerin bei der Behandlung von Betroffenenanfragen gewertet wurde, wenn ein Geburtsdatum bekannt war, beruht auf der Niederschrift zur Zeugeneinvernahme vom 12.08.2021, der Beschwerde vom 25.10.2021 und dem glaubhaften Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung am 02.02.

1. 2.
2. Die Feststellungen zu 1.
3. ergeben sich aus dem Verwaltungsakt der Behörde (insbesondere dem internen Leitfaden zu Identifikationsnachweisen bei der Abwicklung von Anfragen zu Betroffenenrechten, den Niederschriften zu den Zeugeneinvernahmen/Beschuldigteneinvernahmen vom 01.06.2021, 30.06.2021 und 12.08.2021), der Beschwerde vom 25.10.2021 und dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung am 02.02.
4. 2.
5. Die Feststellung zur (fast vollständigen) Abarbeitung aller Betroffenenanfragen ergibt sich aus dem Verwaltungsakt, insbesondere der Aufforderung zur Rechtfertigung durch die Behörde vom 21.12.2020, wobei seitens dieser bereits in dieser Aufforderung vermerkt wurde,

die Beantwortung der Anfragen letztlich (im Verlauf des geführten Verfahrens) zu diesem Zeitpunkt bereits erfolgt war, der Beschwerde vom 25.10.2021 und dem Vorbringen der Beschwerdeführerin in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 02.02.2024 und 23.02.

1. 2.
2. Die Feststellung zum Konzernumsatz ergibt sich aus dem Konzernlagebericht der Beschwerdeführerin für das Geschäftsjahr 2020, welcher der Stellungnahme der Behörde vom 12.01.2024 beigefügt war.
3. Rechtliche Beurteilung: 3.
4. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.
5. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor. Gemäß Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7, leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013,, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 59, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. Zu A) I.Zu A) römisch eins. 3.1.
6. Die maßgeblichen Bestimmungen der DSGVO lauten auszugsweise: Artikel 5 - Grundsätze für die Verarbeitung personenbezogener Daten:

er nicht in der Lage ist, die betroffene Person zu identifizieren. (…) Artikel 83 - Allgemeine Bedingungen für die Verhängung von Geldbußen:

die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

deren Bestimmungen u. a. die Ziele haben, bei der Verarbeitung personenbezogener Daten unionsweit ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck sicherzustellen,

die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung solcher Daten unionsweit gleichmäßig und einheitlich angewendet werden. Es liefe diesem Zweck der DSGVO jedoch zuwider, den Mitgliedstaaten zu gestatten, einseitig und als erforderliche Voraussetzung für die Verhängung einer Geldbuße gemäß Art. 83 DSGVO gegen einen Verantwortlichen, der eine juristische Person ist, zu verlangen,

der betreffende Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde oder ihr zuzurechnen ist. Außerdem könnte eine solche zusätzliche Anforderung letztlich unter Verstoß gegen Art. 83 Abs. 1 DSGVO die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden. Es ist mit Blick auf die Fragen des vorlegenden Gerichts festzustellen,

der Begriff „Unternehmen“ im Sinne der Art. 101 und 102 AEUV ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Art. 83 der DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO abschließend geregelt ist. Nach alledem ist auf die erste Frage zu antworten,

Art. 58Abs.

2 Buchst. i und Art. 83 Abs. 1 bis 6 DSGVO dahin auszulegen sind,

sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde. Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Art. 83 DSGVO geahndet werden kann, noch klarzustellen,

ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war,

es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, ist zudem klarzustellen,

die Anwendung von Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt. Nach alledem ist auf die zweite Frage zu antworten,

Art. 83

DSGVO dahin auszulegen ist,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“ (EuGH 05.12.2023, (Deutsche Wohnen SE) C-807/21)„Insbesondere geht aus dem zehnten Erwägungsgrund der DSGVO hervor,

deren Bestimmungen u. a. die Ziele haben, bei der Verarbeitung personenbezogener Daten unionsweit ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck sicherzustellen,

die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung solcher Daten unionsweit gleichmäßig und einheitlich angewendet werden. Es liefe diesem Zweck der DSGVO jedoch zuwider, den Mitgliedstaaten zu gestatten, einseitig und als erforderliche Voraussetzung für die Verhängung einer Geldbuße gemäß Artikel 83, DSGVO gegen einen Verantwortlichen, der eine juristische Person ist, zu verlangen,

der betreffende Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde oder ihr zuzurechnen ist. Außerdem könnte eine solche zusätzliche Anforderung letztlich unter Verstoß gegen Artikel 83, Absatz eins, DSGVO die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden. Es ist mit Blick auf die Fragen des vorlegenden Gerichts festzustellen,

der Begriff „Unternehmen“ im Sinne der Artikel 101 und 102 AEUV ohne Bedeutung für die Frage ist, ob und unter welchen Voraussetzungen eine Geldbuße nach Artikel 83, der DSGVO gegen einen Verantwortlichen verhängt werden kann, der eine juristische Person ist, da diese Frage in Artikel 58, Absatz 2 und Artikel 83, Absatz eins bis 6 DSGVO abschließend geregelt ist. Nach alledem ist auf die erste Frage zu antworten,

Artikel 58, Absatz 2, Buchst.

i und Artikel 83, Absatz eins bis 6 DSGVO dahin auszulegen sind,

sie einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde. Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Artikel 83, DSGVO geahndet werden kann, noch klarzustellen,

ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war,

es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, ist zudem klarzustellen,

die Anwendung von Artikel 83, DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt. Nach alledem ist auf die zweite Frage zu antworten,

Artikel 83

, DSGVO dahin auszulegen ist,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“ (EuGH 05.12.2023, (Deutsche Wohnen SE) C-807/21) Daraus folgt,

eine juristische Person Beschuldigte in einem Verwaltungsstrafverfahren sein kann, ohne

die Datenschutzverletzung zuvor einer natürlichen Person aus dem Kreis des Unternehmens zuzurechnen ist (§ 9 VStG, § 30 DSG). Die Übertragbarkeit der Entscheidung zur deutschen auf die österreichische Rechtslage bekräftigte der VwGH mit seinem Erkenntnis vom 01.02.2024, Ra 2020/04/0187. Dieser ging somit von seiner ständigen Rechtsprechung zur Strafbarkeit von juristischen Person im Verwaltungsstrafverfahren ab und ist alleine bzw. mit dem abschließenden Katalog des Art. 83 DSGVO eine Strafbarkeit herzustellen und die Strafbemessung durchzuführen, wobei zwingend ein Verschulden in der Form des Vorsatzes oder der Fahrlässigkeit gefordert wird. Dies bedeutet jedoch nicht,

eine Handlung oder eine Kenntnis seitens des Leitungsorgans der juristischen Person vorausgesetzt wird. Die diesen Ausführungen widersprechenden nationalen Reglungen in § 9 VStG und § 30 DSG haben bei der Beurteilung des gegenständlichen Falles unangewendet zu bleiben. Die Behandlung des weiteren Vorbringens der Beschwerdeführerin zu diesem Themenkomplex (u.a. nach zwei Aufforderungen zur Rechtfertigung gerichtet an die BF, den Vorstand und die verantwortliche Beauftragte) konnte somit unterbleiben. Aus diesem Grund geht auch das im Laufe des Verfahrens geäußerte Vorbringen der Beschwerdeführerin hinsichtlich einer bereits (in mehreren Fällen) eingetreten Verfolgungsverjährung ins Leere.Daraus folgt,

eine juristische Person Beschuldigte in einem Verwaltungsstrafverfahren sein kann, ohne

die Datenschutzverletzung zuvor einer natürlichen Person aus dem Kreis des Unternehmens zuzurechnen ist (Paragraph 9, VStG, Paragraph 30, DSG). Die Übertragbarkeit der Entscheidung zur deutschen auf die österreichische Rechtslage bekräftigte der VwGH mit seinem Erkenntnis vom 01.02.2024, Ra 2020/04/0187. Dieser ging somit von seiner ständigen Rechtsprechung zur Strafbarkeit von juristischen Person im Verwaltungsstrafverfahren ab und ist alleine bzw. mit dem abschließenden Katalog des Artikel 83, DSGVO eine Strafbarkeit herzustellen und die Strafbemessung durchzuführen, wobei zwingend ein Verschulden in der Form des Vorsatzes oder der Fahrlässigkeit gefordert wird. Dies bedeutet jedoch nicht,

eine Handlung oder eine Kenntnis seitens des Leitungsorgans der juristischen Person vorausgesetzt wird. Die diesen Ausführungen widersprechenden nationalen Reglungen in Paragraph 9, VStG und Paragraph 30, DSG haben bei der Beurteilung des gegenständlichen Falles unangewendet zu bleiben. Die Behandlung des weiteren Vorbringens der Beschwerdeführerin zu diesem Themenkomplex (u.a. nach zwei Aufforderungen zur Rechtfertigung gerichtet an die BF, den Vorstand und die verantwortliche Beauftragte) konnte somit unterbleiben. Aus diesem Grund geht auch das im Laufe des Verfahrens geäußerte Vorbringen der Beschwerdeführerin hinsichtlich einer bereits (in mehreren Fällen) eingetreten Verfolgungsverjährung ins Leere. 3.2.2. Zur Datenverarbeitung, zum Erleichterungsgebot und der Behauptung der fehlenden Straf-/blankettausfüllenden Norm: Der Grundsatz der Transparenz war in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt, aber implizit in Form der Bestimmungen zur Informationspflicht enthalten. In der DSGVO wird der Grundsatz der Transparenz durch Art 13 und 14 zur Informationspflicht sowie Art 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein,

personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte. (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 Rz 18, 19 DSGVO (Stand 7.5.2020, rdb.at))Der Grundsatz der Transparenz war in der DS-RL und im DSG 2000 nicht ausdrücklich erwähnt, aber implizit in Form der Bestimmungen zur Informationspflicht enthalten. In der DSGVO wird der Grundsatz der Transparenz durch Artikel 13 und 14 zur Informationspflicht sowie Artikel 12, zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein,

personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Bedeutung der Transparenz der Verarbeitung und somit der Informationspflicht liegt insbesondere in ihrer Funktion als notwendige Voraussetzung für die Ausübung der Betroffenenrechte. (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, Rz 18, 19 DSGVO (Stand 7.5.2020, rdb.at))

es sich bei der Verarbeitung von Daten zur Parteiaffinität und anderen Daten, wie z.B. Name oder Anschrift um eine Verarbeitung (vgl. Art. 4 Z 2 DSGVO) von personenbezogenen Daten im Anwendungsbereich des Art. 2 Abs. 1 DSGVO handelt, wurde nicht bestritten und steht auch für den erkennenden Senat nicht in Frage. Zudem steht die Beschwerdeführerin als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO unstrittig fest. In diesem Zusammenhang haben die betroffenen Personen insbesondere das Recht, die sie betreffenden Verarbeitungen einer Rechtmäßigkeitsprüfung zu unterziehen und muss die Ausübung der Betroffenenrechte im Sinne der Art. 15-22 DSGVO gewährleistet werden.

es sich bei der Verarbeitung von Daten zur Parteiaffinität und anderen Daten, wie z.B. Name oder Anschrift um eine Verarbeitung vergleiche Artikel 4, Ziffer 2, DSGVO) von personenbezogenen Daten im Anwendungsbereich des Artikel 2, Absatz eins, DSGVO handelt, wurde nicht bestritten und steht auch für den erkennenden Senat nicht in Frage. Zudem steht die Beschwerdeführerin als Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO unstrittig fest. In diesem Zusammenhang haben die betroffenen Personen insbesondere das Recht, die sie betreffenden Verarbeitungen einer Rechtmäßigkeitsprüfung zu unterziehen und muss die Ausübung der Betroffenenrechte im Sinne der Artikel 15 -, 22, DSGVO gewährleistet werden. Art. 12 DSGVO sieht als Grundsatz für die Art und Weise des Informationsaustausches für eine allfällige Verarbeitung personenbezogener Daten vor,

alle Mitteilungen im Zusammenhang mit Art. 13, 14, 15-22 und 34 in präziser, transparenter, verständlicher und leicht zugänglicher Form, in einer klaren und einfachen Sprache, schriftlich, elektronisch oder mündlich zu übermitteln sind (siehe Abs. 1). Den Verantwortlichen trifft die Pflicht, die Ausübung der Betroffenenrechte gemäß den Artikeln 15 bis 22 zu erleichtern bzw. ist eine Weigerung nur zulässig, wenn dieser nicht in der Lage ist die betroffene Person zu identifizieren (siehe Abs. 2). Die Absätze 3 und 4 enthalten die in diesem Zusammenhang zu beachtenden Fristen. Die Erteilung der Informationen hat grundsätzlich unentgeltlich zu erfolgen (siehe Abs. 5) und ist das Verlangen eines Identitätsnachweises nur im Fall begründeter Zweifel zulässig (siehe Abs. 6). Die Absätze 7 und 8 regeln die Verwendung standardisierter Bildsymbole sowie die Befugnis der Kommission, konkretisierende Bestimmungen zu erlassen.Artikel 12, DSGVO sieht als Grundsatz für die Art und Weise des Informationsaustausches für eine allfällige Verarbeitung personenbezogener Daten vor,

alle Mitteilungen im Zusammenhang mit Artikel 13, 14, 15 -, 22 und 34 in präziser, transparenter, verständlicher und leicht zugänglicher Form, in einer klaren und einfachen Sprache, schriftlich, elektronisch oder mündlich zu übermitteln sind (siehe Absatz eins,). Den Verantwortlichen trifft die Pflicht, die Ausübung der Betroffenenrechte gemäß den Artikeln 15 bis 22 zu erleichtern bzw. ist eine Weigerung nur zulässig, wenn dieser nicht in der Lage ist die betroffene Person zu identifizieren (siehe Absatz 2,). Die Absätze 3 und 4 enthalten die in diesem Zusammenhang zu beachtenden Fristen. Die Erteilung der Informationen hat grundsätzlich unentgeltlich zu erfolgen (siehe Absatz 5,) und ist das Verlangen eines Identitätsnachweises nur im Fall begründeter Zweifel zulässig (siehe Absatz 6,). Die Absätze 7 und 8 regeln die Verwendung standardisierter Bildsymbole sowie die Befugnis der Kommission, konkretisierende Bestimmungen zu erlassen. Dabei verlangt Art. 12 Abs. 2 erster Satz DSGVO die Erleichterung der Ausübung der Betroffenenrechte gemäß den (beschwerdegegenständlich relevanten) Artikeln 15 bis 22 DSGVO. Art. 12 Abs. 2 DSGVO stellt dabei einen Teil des durch Art. 5 Abs. 1 lit a DSGVO normierten Transparenzgrundsatzes dar. Gegenständlich liegt dem Rechtsmittelverfahren der Vorwurf zu Grunde, die Beschwerdeführerin habe durch die Umstellung der elektronischen Erreichbarkeit auf ein Kontaktformular mit zwingender Identifizierung per Lichtbildausweis und einer Begrenzung auf drei konkrete Betroffenenrechte (mit Freitextfeld), bei gleichzeitiger Einstellung des Kommunikationsweges der E-Mailadresse XXXX (und später einer weiteren E-Mailadresse XXXX ), den Betroffenen ihre Rechtsausübung im Sinne der Artikel 15 bis 22 DSGVO erschwert. Das Einlangen einer Vielzahl von Auskunftsersuchen gemäß Art. 15 DSGVO und die Ausübung einer Vielzahl an anderen Betroffenenrechten ist aktenkundig. Als Strafnorm kommt Art. 83 Abs. 5 lit b DSGVO in Betracht, welcher Verstöße gegen die Rechte der betroffenen Personen gemäß den Art. 12 bis 22 DSGVO mit einer Geldbuße ahndet. Dies schließt Art. 12 Abs. 2 erster Satz DSGVO mit ein. Bereits deshalb bestehen keine Bedenken an der Strafbarkeit eines Verhaltens gemäß Art. 83 Abs. 5 lit b DSGVO iVm Art. 12 Abs. 2 DSGVO. Dabei verlangt Artikel 12, Absatz 2, erster Satz DSGVO die Erleichterung der Ausübung der Betroffenenrechte gemäß den (beschwerdegegenständlich relevanten) Artikeln 15 bis 22 DSGVO. Artikel 12, Absatz 2, DSGVO stellt dabei einen Teil des durch Artikel 5, Absatz eins, Litera a, DSGVO normierten Transparenzgrundsatzes dar. Gegenständlich liegt dem Rechtsmittelverfahren der Vorwurf zu Grunde, die Beschwerdeführerin habe durch die Umstellung der elektronischen Erreichbarkeit auf ein Kontaktformular mit zwingender Identifizierung per Lichtbildausweis und einer Begrenzung auf drei konkrete Betroffenenrechte (mit Freitextfeld), bei gleichzeitiger Einstellung des Kommunikationsweges der E-Mailadresse römisch 40 (und später einer weiteren E-Mailadresse römisch 40 ), den Betroffenen ihre Rechtsausübung im Sinne der Artikel 15 bis 22 DSGVO erschwert. Das Einlangen einer Vielzahl von Auskunftsersuchen gemäß Artikel 15, DSGVO und die Ausübung einer Vielzahl an anderen Betroffenenrechten ist aktenkundig. Als Strafnorm kommt Artikel 83, Absatz 5, Litera b, DSGVO in Betracht, welcher Verstöße gegen die Rechte der betroffenen Personen gemäß den Artikel 12 bis 22 DSGVO mit einer Geldbuße ahndet. Dies schließt Artikel 12, Absatz 2, erster Satz DSGVO mit ein. Bereits deshalb bestehen keine Bedenken an der Strafbarkeit eines Verhaltens gemäß Artikel 83, Absatz 5, Litera b, DSGVO in Verbindung mit Artikel 12, Absatz 2, DSGVO. Darüber hinaus ist im Lichte der relativ neuen Situation der Anwendbarkeit der Strafbestimmungen der DSGVO an dieser Stelle auf das monierte Erfordernis der ausreichenden Bestimmtheit der Strafbestimmungen einzugehen: Der VfGH sprach im Kontext einer Blankettstrafnorm im Güterbeförderungsgesetz aus,

„[d]er Verfassungsgerichtshof in ständiger Rechtsprechung (vgl. VfSlg. 12.947/1991 mit zahlreichen Judikaturverweisen) den gesetzestechnischen Vorgang der äußeren Trennung von Tatbild und Strafdrohung, wie er für Blankettstrafnormen kennzeichnend ist, als verfassungsrechtlich unbedenklich erachtet [hat]. Er hat es freilich auch bei Blankettstrafnormen als unerlässlich angesehen,

der Tatbestand durch das Gesetz mit genügender Klarheit als Verbotsnorm und damit als strafbarer Tatbestand gekennzeichnet ist,

ferner, wenn der strafbare Tatbestand im Zuwiderhandeln gegen eine Gebotsnorm besteht, der Unrechtsgehalt eines Unterlassens eindeutig erkennbar ist und

schließlich der Tatbestand einer Blankettstrafnorm mit solcher Deutlichkeit gekennzeichnet sein muss,

jedermann ihn als solchen zu verstehen vermag (VfSlg. 12.947/1991 mwN). Es darf also auf Grund von Blankettstrafnormen ein unerlaubtes und daher strafbares Verhalten überhaupt nur dann und insoweit angenommen werden, als vom Normadressaten die Abgrenzung des erlaubten vom unerlaubten Verhalten so eindeutig eingesehen werden kann,

jeder berechtigte Zweifel des Normunterworfenen über den Inhalt seines pflichtgemäßen Verhaltens ausgeschlossen ist (VfSlg. 14.319/1995).“ (VfGH, VfSlg. 17479, 04.03.2005).Der VfGH sprach im Kontext einer Blankettstrafnorm im Güterbeförderungsgesetz aus,

„[d]er Verfassungsgerichtshof in ständiger Rechtsprechung vergleiche VfSlg. 12.947 aus 1991, mit zahlreichen Judikaturverweisen) den gesetzestechnischen Vorgang der äußeren Trennung von Tatbild und Strafdrohung, wie er für Blankettstrafnormen kennzeichnend ist, als verfassungsrechtlich unbedenklich erachtet [hat]. Er hat es freilich auch bei Blankettstrafnormen als unerlässlich angesehen,

der Tatbestand durch das Gesetz mit genügender Klarheit als Verbotsnorm und damit als strafbarer Tatbestand gekennzeichnet ist,

ferner, wenn der strafbare Tatbestand im Zuwiderhandeln gegen eine Gebotsnorm besteht, der Unrechtsgehalt eines Unterlassens eindeutig erkennbar ist und

schließlich der Tatbestand einer Blankettstrafnorm mit solcher Deutlichkeit gekennzeichnet sein muss,

jedermann ihn als solchen zu verstehen vermag (VfSlg. 12.947 aus 1991, mwN). Es darf also auf Grund von Blankettstrafnormen ein unerlaubtes und daher strafbares Verhalten überhaupt nur dann und insoweit angenommen werden, als vom Normadressaten die Abgrenzung des erlaubten vom unerlaubten Verhalten so eindeutig eingesehen werden kann,

jeder berechtigte Zweifel des Normunterworfenen über den Inhalt seines pflichtgemäßen Verhaltens ausgeschlossen ist (VfSlg. 14.319 aus 1995,).“ (VfGH, VfSlg. 17479, 04.03.2005). Gegenständlich geht der erkennende Senat davon aus,

Art. 12Abs.

2 erster Satz DSGVO das Erfordernis der ausreichenden Bestimmtheit dahingehend erfüllt, als

das Erfordernis der Erleichterung der Ausübung von Betroffenenrechten (ErwGr 59), in direktem Bezug auf die Erreichbarkeit (Kommunikationskanäle) des Verantwortlichen zur Geltendmachung dieser, ausreichend klar geregelt wird. Gegenständlich geht der erkennende Senat davon aus,

Artikel 12

, Absatz 2, erster Satz DSGVO das Erfordernis der ausreichenden Bestimmtheit dahingehend erfüllt, als

das Erfordernis der Erleichterung der Ausübung von Betroffenenrechten (ErwGr 59), in direktem Bezug auf die Erreichbarkeit (Kommunikationskanäle) des Verantwortlichen zur Geltendmachung dieser, ausreichend klar geregelt wird. Während anerkannt wird,

Art. 12Abs.

2 erster Satz DSGVO keine konkreten Maßnahmen zur Erleichterung der Ausübung von Betroffenenrechten explizit beinhaltet, ist daraus abzuleiten,

keine weiteren Hürden für die Informationserteilung nach Art 13 und 14 aufgebaut werden dürfen und Mitteilungen nach Art 15–22 und 34 nach den gesetzlichen Voraussetzungen (vgl Art 15–22) durchgeführt werden müssen (z.B. fehlende oder eingeschränkte Erreichbarkeit, kostenintensive Kommunikation, ungenaue Kontaktadressen, inhaltliche oder sprachliche Voraussetzungen werden nicht beachtet). (Illibauer in Knyrim, DatKomm Art 12 DSGVO Rz 71 (Stand 1.12.2021, rdb.at))Während anerkannt wird,

Artikel 12

, Absatz 2, erster Satz DSGVO keine konkreten Maßnahmen zur Erleichterung der Ausübung von Betroffenenrechten explizit beinhaltet, ist daraus abzuleiten,

keine weiteren Hürden für die Informationserteilung nach Artikel 13 und 14 aufgebaut werden dürfen und Mitteilungen nach Artikel 15 –, 22 und 34 nach den gesetzlichen Voraussetzungen vergleiche Artikel 15 –, 22,) durchgeführt werden müssen (z.B. fehlende oder eingeschränkte Erreichbarkeit, kostenintensive Kommunikation, ungenaue Kontaktadressen, inhaltliche oder sprachliche Voraussetzungen werden nicht beachtet). (Illibauer in Knyrim, DatKomm Artikel 12, DSGVO Rz 71 (Stand 1.12.2021, rdb.at)) Im Zusammenhang mit der Frage nach der ausreichenden Bestimmtheit der Strafbestimmungen hat der VfGH in der oben zitierten Entscheidung in Bezug auf das Güterbeförderungsgesetz darauf verwies,

es sich bei den anwendbaren Bestimmungen um Vorschriften des Primärrechts oder um unmittelbar anwendbare Verordnungsbestimmungen handeln würde, und die Strafbestimmungen an die „Lenker_innen“ gerichtet gewesen seien, die als solche ohnehin verpflichtet seien, sich über die für ihre Berufsausübung geltenden innerstaatlichen und gemeinschaftsrechtlichen Vorschriften Kenntnis zu verschaffen (vgl. VfSlg. 17479/2005). Im Zusammenhang mit der Frage nach der ausreichenden Bestimmtheit der Strafbestimmungen hat der VfGH in der oben zitierten Entscheidung in Bezug auf das Güterbeförderungsgesetz darauf verwies,

es sich bei den anwendbaren Bestimmungen um Vorschriften des Primärrechts oder um unmittelbar anwendbare Verordnungsbestimmungen handeln würde, und die Strafbestimmungen an die „Lenker_innen“ gerichtet gewesen seien, die als solche ohnehin verpflichtet seien, sich über die für ihre Berufsausübung geltenden innerstaatlichen und gemeinschaftsrechtlichen Vorschriften Kenntnis zu verschaffen vergleiche VfSlg. 17479 aus 2005,). In diesem Sinne erscheint es daher unbedenklich, die hier normunterworfene Beschwerdeführerin darauf zu verweisen,

sie dazu aufgerufen ist, sich mit der konkreten Ausgestaltung des Art. 12 Abs. 2 erster Satz DSGVO im Lichte ihrer zusätzlich und freiwillig aufgenommenen Tätigkeit (als Adressverlag) auseinanderzusetzen, welche nicht Bestandteil ihrer Kerntätigkeit ist und ein höheres Aufkommen an Personen, welche ihre Betroffenenrechte tatsächlich ausüben, erwarten lässt. Dies erfasst auch die Auseinandersetzung mit den bisher in Geltung gestandenen Regelungen (vgl. Art. 12 lit a DS-RL), der Spruchpraxis und die Evaluierung und Einschätzung der etablierten Kommunikationskanäle für die Ausübung von Betroffenenrechten. Entsprechend notwendige und ergänzende Maßnahmen hat die Beschwerdeführerin in geeigneter Form umzusetzen. In diesem Sinne erscheint es daher unbedenklich, die hier normunterworfene Beschwerdeführerin darauf zu verweisen,

sie dazu aufgerufen ist, sich mit der konkreten Ausgestaltung des Artikel 12, Absatz 2, erster Satz DSGVO im Lichte ihrer zusätzlich und freiwillig aufgenommenen Tätigkeit (als Adressverlag) auseinanderzusetzen, welche nicht Bestandteil ihrer Kerntätigkeit ist und ein höheres Aufkommen an Personen, welche ihre Betroffenenrechte tatsächlich ausüben, erwarten lässt. Dies erfasst auch die Auseinandersetzung mit den bisher in Geltung gestandenen Regelungen vergleiche Artikel 12, Litera a, DS-RL), der Spruchpraxis und die Evaluierung und Einschätzung der etablierten Kommunikationskanäle für die Ausübung von Betroffenenrechten. Entsprechend notwendige und ergänzende Maßnahmen hat die Beschwerdeführerin in geeigneter Form umzusetzen. Art. 12 Abs. 2 DSGVO erweist sich demnach als hinreichend konkret, um die Grundlage einer Strafbestimmung darzustellen. Art. 12 Abs. 2 erster Satz DSGVO ist im vorliegenden Fall in Verbindung mit dem jeweils relevanten Betroffenenrecht der Folgebestimmungen zu lesen und im Übrigen einer Verhältnismäßigkeitsprüfung zu unterziehen.Artikel 12, Absatz 2, DSGVO erweist sich demnach als hinreichend konkret, um die Grundlage einer Strafbestimmung darzustellen. Artikel 12, Absatz 2, erster Satz DSGVO ist im vorliegenden Fall in Verbindung mit dem jeweils relevanten Betroffenenrecht der Folgebestimmungen zu lesen und im Übrigen einer Verhältnismäßigkeitsprüfung zu unterziehen. 3.3. Zum Schuldspruch gemäß Art. 83 Abs. 5 lit b DSGVO iVm Art. 12 Abs. 2 DSGVO:3.3. Zum Schuldspruch gemäß Artikel 83, Absatz 5, Litera b, DSGVO in Verbindung mit Artikel 12, Absatz 2, DSGVO: 3.3.1. Zum Vorliegen der Strafbarkeit (objektiver Tatbestand): Die Bestimmung des Art. 12 Abs. 2 DSGVO normiert unter anderem,

der Verantwortliche der betroffenen Person die Ausübung ihrer Rechte erleichtert. Erwägungsgrund 59 lautet: „Es sollten Modalitäten festgelegt werden, die einer betroffenen Person die Ausübung der Rechte, die ihr nach dieser Verordnung zustehen, erleichtern, darunter auch Mechanismen, die dafür sorgen,

sie unentgeltlich insbesondere Zugang zu personenbezogenen Daten und deren Berichtigung oder Löschung beantragen und gegebenenfalls erhalten oder von ihrem Widerspruchsrecht Gebrauch machen kann. So sollte der Verantwortliche auch dafür sorgen,

Anträge elektronisch gestellt werden können, insbesondere wenn die personenbezogenen Daten elektronisch verarbeitet werden. Der Verantwortliche sollte verpflichtet werden, den Antrag der betroffenen Person unverzüglich, spätestens aber innerhalb eines Monats zu beantworten und gegebenenfalls zu begründen, warum er den Antrag ablehnt.“ Die Bestimmung des Artikel 12, Absatz 2, DSGVO normiert unter anderem,

der Verantwortliche der betroffenen Person die Ausübung ihrer Rechte erleichtert. Erwägungsgrund 59 lautet: „Es sollten Modalitäten festgelegt werden, die einer betroffenen Person die Ausübung der Rechte, die ihr nach dieser Verordnung zustehen, erleichtern, darunter auch Mechanismen, die dafür sorgen,

sie unentgeltlich insbesondere Zugang zu personenbezogenen Daten und deren Berichtigung oder Löschung beantragen und gegebenenfalls erhalten oder von ihrem Widerspruchsrecht Gebrauch machen kann. So sollte der Verantwortliche auch dafür sorgen,

Anträge elektronisch gestellt werden können, insbesondere wenn die personenbezogenen Daten elektronisch verarbeitet werden. Der Verantwortliche sollte verpflichtet werden, den Antrag der betroffenen Person unverzüglich, spätestens aber innerhalb eines Monats zu beantworten und gegebenenfalls zu begründen, warum er den Antrag ablehnt.“ Der Verantwortliche hat den von einer Datenverarbeitung betroffenen Personen die Ausübung ihrer Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erleichtern (auch „Erleichterungsgrundsatz“ genannt). Damit ist gemeint,

keine weiteren Hürden für die Informationserteilung nach Art 13 und 14 aufgebaut werden dürfen und Mitteilungen nach Art 15–22 und 34 nach den gesetzlichen Voraussetzungen (vgl Art 15–22) durchgeführt werden müssen (zB fehlende oder eingeschränkte Erreichbarkeit, kostenintensive Kommunikation, ungenaue Kontaktadressen, inhaltliche oder sprachliche Voraussetzungen werden nicht beachtet). Kann der Verantwortliche die betroffene Person nicht (mehr) identifizieren, weil die Identifikation für den Verarbeitungszweck nicht (mehr) notwendig ist, kann sich der Verantwortliche weigern, tätig zu werden. Betroffenenrechte können in diesem Fall naturgemäß nicht (mehr) ausgeübt werden, außer die betroffene Person stellt zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen. Der Verantwortliche muss in diesen Fällen selbst glaubhaft machen, nicht in der Lage zu sein, die betroffene Person zu identifizieren (Art 12 Abs. 2). (Illibauer in Knyrim, DatKomm Art 12 DSGVO Rz 71, 72 (Stand 1.12.2021, rdb.at))Der Verantwortliche hat den von einer Datenverarbeitung betroffenen Personen die Ausübung ihrer Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erleichtern (auch „Erleichterungsgrundsatz“ genannt). Damit ist gemeint,

keine weiteren Hürden für die Informationserteilung nach Artikel 13 und 14 aufgebaut werden dürfen und Mitteilungen nach Artikel 15 –, 22 und 34 nach den gesetzlichen Voraussetzungen vergleiche Artikel 15 –, 22,) durchgeführt werden müssen (zB fehlende oder eingeschränkte Erreichbarkeit, kostenintensive Kommunikation, ungenaue Kontaktadressen, inhaltliche oder sprachliche Voraussetzungen werden nicht beachtet). Kann der Verantwortliche die betroffene Person nicht (mehr) identifizieren, weil die Identifikation für den Verarbeitungszweck nicht (mehr) notwendig ist, kann sich der Verantwortliche weigern, tätig zu werden. Betroffenenrechte können in diesem Fall naturgemäß nicht (mehr) ausgeübt werden, außer die betroffene Person stellt zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen. Der Verantwortliche muss in diesen Fällen selbst glaubhaft machen, nicht in der Lage zu sein, die betroffene Person zu identifizieren (Artikel 12, Absatz 2,). (Illibauer in Knyrim, DatKomm Artikel 12, DSGVO Rz 71, 72 (Stand 1.12.2021, rdb.at)) Diese über ein bloßes Behinderungsverbot hinausgehende Pflicht unterstreicht die Bedeutung der Betroffenenrechte als wesentliche Voraussetzung für die informationelle Autonomie und nimmt die Verantwortlichen in die Pflicht, dem durch Beratung der betroffenen Personen, Bereitstellung von einfachen Informationsmöglichkeiten- und -kanälen sowie durch eine Erleichterung der Ausübung selbst Rechnung zu tragen (vgl. Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Art. 12 Rz 23).Diese über ein bloßes Behinderungsverbot hinausgehende Pflicht unterstreicht die Bedeutung der Betroffenenrechte als wesentliche Voraussetzung für die informationelle Autonomie und nimmt die Verantwortlichen in die Pflicht, dem durch Beratung der betroffenen Personen, Bereitstellung von einfachen Informationsmöglichkeiten- und -kanälen sowie durch eine Erleichterung der Ausübung selbst Rechnung zu tragen vergleiche Dix in Simitis/Hornung/Spiecker, Datenschutzrecht, Artikel 12, Rz 23). Der Verantwortliche muss seine Kommunikation mit den Betroffenen so einrichten,

deren Betroffenenrechte ohne übermäßigen Aufwand tatsächlich erfüllt werden können (vgl. Bäcker in Kühling/Buchner, Datenschutz-Grundverordnung-Kommentar, Art. 12 Rz 25 ff). „Es ist daher nicht statthaft, die Betroffenen zur Wahrnehmung ihrer Rechte auf bestimmte Kommunikationskanäle zu verweisen, insbesondere dann, wenn der Verantwortliche personalisierte Dienstleistungen anbietet“ (vgl. Leiter in Gantschacher/Jelinek/Schmidl/Spanberger, Kommentar zur Datenschutz-Grundverordnung, Art. 12 Rz 4, S. 159). Der Verantwortliche muss seine Kommunikation mit den Betroffenen so einrichten,

deren Betroffenenrechte ohne übermäßigen Aufwand tatsächlich erfüllt werden können vergleiche Bäcker in Kühling/Buchner, Datenschutz-Grundverordnung-Kommentar, Artikel 12, Rz 25 ff). „Es ist daher nicht statthaft, die Betroffenen zur Wahrnehmung ihrer Rechte auf bestimmte Kommunikationskanäle zu verweisen, insbesondere dann, wenn der Verantwortliche personalisierte Dienstleistungen anbietet“ vergleiche Leiter in Gantschacher/Jelinek/Schmidl/Spanberger, Kommentar zur Datenschutz-Grundverordnung, Artikel 12, Rz 4, S. 159). Die durch die Behörde vorgenommenen Subsumtion betreffend den festgestellten Sachverhalt unter den Tatbestand des Art. 12 Abs. 2 DSGVO erweist sich im Ergebnis als zutreffend.Die durch die Behörde vorgenommenen Subsumtion betreffend den festgestellten Sachverhalt unter den Tatbestand des Artikel 12, Absatz 2, DSGVO erweist sich im Ergebnis als zutreffend. So setzte die Beschwerdeführerin auf ihrer Webseite mit 17.07.2019 ein Datenschutz-Kontaktformular für die Behandlung von elektronischen Betroffenenanfragen ein, beschränkte dieses aber auf drei spezifische (die damals bedeutendsten) Betroffenenrechte. Betroffene, die ab diesen Zeitpunkt einen Antrag per E-Mail an das (weiterhin aktive) elektronische Postfach XXXX einbrachten bzw. einbringen wollten, wurden auf die ausschließliche Nutzung des Datenschutzkontaktformulars verwiesen. Ab 17.07.2019 wurden selbst Betroffene, die beispielsweise auf die letzte Aufforderung der Beschuldigten zur Vorlage einer Ausweiskopie reagierten, systematisch durch eine automatisierte Rückmeldung von der Beschuldigten darauf hingewiesen, nunmehr das Datenschutz-Kontaktformular zu verwenden.So setzte die Beschwerdeführerin auf ihrer Webseite mit 17.07.2019 ein Datenschutz-Kontaktformular für die Behandlung von elektronischen Betroffenenanfragen ein, beschränkte dieses aber auf drei spezifische (die damals bedeutendsten) Betroffenenrechte. Betroffene, die ab diesen Zeitpunkt einen Antrag per E-Mail an das (weiterhin aktive) elektronische Postfach römisch 40 einbrachten bzw. einbringen wollten, wurden auf die ausschließliche Nutzung des Datenschutzkontaktformulars verwiesen. Ab 17.07.2019 wurden selbst Betroffene, die beispielsweise auf die letzte Aufforderung der Beschuldigten zur Vorlage einer Ausweiskopie reagierten, systematisch durch eine automatisierte Rückmeldung von der Beschuldigten darauf hingewiesen, nunmehr das Datenschutz-Kontaktformular zu verwenden. Zudem informierte die Beschwerdeführerin (nach außen) weder in dieser Rückmeldung noch im Kontaktformular (mehrmals aktualisierte Datenschutzhinweise) die Betroffenen über die Möglichkeiten einer alternativen Einbringung. Letztendlich verwiesen alle verfügbaren elektronischen Kommunikationskanäle auf das neu eingeführte Kontaktformular. Erst wenn der Betroffene sich weigerte, das Kontaktformular zu verwenden, wurde seine Anfrage doch bearbeitet/weitergeleitet. Die Beschwerdeführerin erweckte bei den Betroffenen somit den Eindruck,

sie für elektronische Anfragen ausschließlich das Datenschutz-Kontaktformular verwenden müssten. Die Einbringung mittels FAX oder Postweg war parallel dazu allerdings immer möglich. Die Betroffenen hatten im Rahmen des gegenständlichen Kontaktformulars lediglich die Auswahl zwischen drei spezifischen Betroffenenrechten („Auskunft“, „Widerspruch“, „Löschung der Daten für Marketingzwecke Dritter“). Die restlichen Betroffenenrechte mussten die Betroffenen entweder über das „Serviceangebot – Sonstige Services“ unter XXXX (das Kontaktformular für sämtliche - auch nicht datenschutzrechtliche - Anliegen betreffend die Beschwerdeführerin) oder - zumindest bis zum 14.12.2020 - per E-Mail an XXXX geltend machen. Darüber hinaus bestand - wie im Kontaktformular angegeben - die alternative Möglichkeit, die sonstigen Rechte per Brief/Fax einzubringen. Im Datenschutz-Kontaktformular waren nur die am häufigsten beanspruchten Betroffenenrechte angeführt. Durch den Einsatz des gegenständlichen Kontaktformulars konnte somit bei den Betroffenen auch der - irreführende - Eindruck erweckt werden,

diese im Rahmen des elektronischen Kanals durch die Nutzung des Datenschutz-Kontaktformulars nur die drei von der Beschwerdeführerin vorgegebenen Betroffenenrechte ausüben könnten. Die Betroffenen hatten im Rahmen des gegenständlichen Kontaktformulars lediglich die Auswahl zwischen drei spezifischen Betroffenenrechten („Auskunft“, „Widerspruch“, „Löschung der Daten für Marketingzwecke Dritter“). Die restlichen Betroffenenrechte mussten die Betroffenen entweder über das „Serviceangebot – Sonstige Services“ unter römisch 40 (das Kontaktformular für sämtliche - auch nicht datenschutzrechtliche - Anliegen betreffend die Beschwerdeführerin) oder - zumindest bis zum 14.12.2020 - per E-Mail an römisch 40 geltend machen. Darüber hinaus bestand - wie im Kontaktformular angegeben - die alternative Möglichkeit, die sonstigen Rechte per Brief/Fax einzubringen. Im Datenschutz-Kontaktformular waren nur die am häufigsten beanspruchten Betroffenenrechte angeführt. Durch den Einsatz des gegenständlichen Kontaktformulars konnte somit bei den Betroffenen auch der - irreführende - Eindruck erweckt werden,

diese im Rahmen des elektronischen Kanals durch die Nutzung des Datenschutz-Kontaktformulars nur die drei von der Beschwerdeführerin vorgegebenen Betroffenenrechte ausüben könnten. Zudem wurden bis Juli 2020 die Betroffenen am Ende des Formulars lediglich pauschal auf die Datenschutzhinweise verwiesen. In den Datenschutzhinweisen wurde zwar die E-Mail-Adresse des Kundenservice als Kontaktmöglichkeit angeführt (bis 30.01.2020), jedoch wurden die Betroffenen weder im Kontaktformular noch in den Datenschutzhinweisen in einer transparenten Art und Weise darüber informiert,

ihnen über die im Formular genannten Betroffenenrechte hinaus noch weitere Rechte zustehen und über welche Eingangskanäle diese einzubringen sind. Im Rahmen der Datenschutzhinweise befand sich zwar eine allgemeine Beschreibung aller Betroffenenrechte, jedoch wurden die Betroffenen in Folge für die elektronische Ausübung ihrer genannte Rechte auf das Kontaktformular verwiesen. Die Betroffenen wurden im Rahmen des Datenschutz-Kontaktformulars systematisch vorab dazu aufgefordert, eine leserliche Kopie eines gültigen Lichtbildausweises ihrem Antrag anzuhängen, indem im Kontaktformular ein „Upload-Feld“ als Pflichtfeld implementiert wurde. Zudem musste der Betroffene sein Geburtsdatum und die Adresse verpflichtend angeben. Die Beschuldigte akzeptierte jedoch schon vor der Implementierung des Kontaktformulars im Rahmen der Behandlung von Betroffenenrechte eine Reihe an weiteren Identifikationsmitteln: insbesondere die digitale Signatur (wenn auch das Geburtsdatum bekannt war), einen Meldezettel oder wenn vom Betroffenen zumindest Folgendes angegeben wurde: Name, Adresse und Geburtsdatum. Somit war vor der Implementierung des Datenschutz-Kontaktformulars eine Vielzahl an Identifizierungsvarianten erlaubt, die mit dem Einsatz des Formulars am 17.07.2019 zunächst massiv beschränkt und danach zunächst inoffiziell und Zug um Zug wieder erweitert wurde. Die Beschwerdeführerin gestaltete schließlich den elektronischen Eingangskanal für die Betroffenenrechte um, indem ab 14.12.2020 auch das E-Mail-Postfach für allfällige E-Mail-Anfragen den Betroffenen nicht mehr zur Verfügung gestellt wurde. Ab diesem Zeitpunkt hatten die Betroffenen im Rahmen des elektronischen Kanals lediglich die Wahl zwischen dem Datenschutz-Kontaktformular (für die Ausübung der drei spezifisch vorgegebenen Betroffenenrechte) oder das Allgemeine Kontaktformular (für die Ausübung anderer Betroffenenrechte). Insgesamt erweisen sich die Informationen in der Datenschutzhinweisen (inklusive der mehrfachen Abänderungen) und die Möglichkeiten zur elektronischen Kontaktaufnahme in Datenschutzangelegenheiten durch diese Maßnahmen im relevanten Zeitraum als für die Betroffenen verwirrend und im Vergleich zum Vorzeitraum (vor Jänner 2019) als einschränkend. Daher ist es zutreffend, wenn die Behörde ausführt,

die soeben dargestellte und festgestellte Vorgehensweise zum Zeitpunkt der Datenschutzverletzung gegen das Erleichterungsgebot verstoßen hat und in Folge den Straftatbestand des Art. 83 Abs. 5 lit b DSGVO erfüllt. Die Rechtsprechung des EuGHs zu C-807/21 ändert grundsätzlich nichts an dieser Einschätzung.Insgesamt erweisen sich die Informationen in der Datenschutzhinweisen (inklusive der mehrfachen Abänderungen) und die Möglichkeiten zur elektronischen Kontaktaufnahme in Datenschutzangelegenheiten durch diese Maßnahmen im relevanten Zeitraum als für die Betroffenen verwirrend und im Vergleich zum Vorzeitraum (vor Jänner 2019) als einschränkend. Daher ist es zutreffend, wenn die Behörde ausführt,

die soeben dargestellte und festgestellte Vorgehensweise zum Zeitpunkt der Datenschutzverletzung gegen das Erleichterungsgebot verstoßen hat und in Folge den Straftatbestand des Artikel 83, Absatz 5