RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum03.06.2024 GeschäftszahlW292 2282284-1 Spruch, W292 2282284-1/10E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

sich diese betroffenen Personen bei der Beschwerdeführerin in Behandlung befänden und mit der Beschwerdeführerin einen Termin hierfür vereinbart haben. Die unrechtmäßige Verarbeitung sei unter anderem auch auf einen Verstoß gegen die Pflichten der Beschwerdeführerin als Verantwortliche nach Art. 25 Abs. 1 und 2 DSGVO zurückzuführen, weil sie zuvor keine geeigneten technischen und organisatorischen Maßnahmen getroffen habe, die sichergestellt hätten,

durch die Voreinstellung des Endgerätes nur eine für den jeweiligen Verarbeitungszweck erforderliche Verarbeitung erfolge, um insbesondere die Datenschutzgrundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und der Integrität der Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO) wirksam umzusetzen (Spruchpunkt I.). Dadurch sei auch die Information offengelegt worden,

sich diese betroffenen Personen bei der Beschwerdeführerin in Behandlung befänden und mit der Beschwerdeführerin einen Termin hierfür vereinbart haben. Die unrechtmäßige Verarbeitung sei unter anderem auch auf einen Verstoß gegen die Pflichten der Beschwerdeführerin als Verantwortliche nach Artikel 25, Absatz eins und 2 DSGVO zurückzuführen, weil sie zuvor keine geeigneten technischen und organisatorischen Maßnahmen getroffen habe, die sichergestellt hätten,

durch die Voreinstellung des Endgerätes nur eine für den jeweiligen Verarbeitungszweck erforderliche Verarbeitung erfolge, um insbesondere die Datenschutzgrundsätze der Datenminimierung (Artikel 5, Absatz eins, Litera c, DSGVO) und der Integrität der Vertraulichkeit (Artikel 5, Absatz eins, Litera f, DSGVO) wirksam umzusetzen (Spruchpunkt römisch eins.). Darüber hinaus habe die Beschwerdeführerin in ihrer Rolle als Verantwortliche seit XXXX bis zumindest 22.06.2023 (Tatzeitraum), innerhalb des Bundesgebietes Österreich, gegen ihre Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne des Art. 30 Abs. 1 DSGVO verstoßen, indem sie kein Verzeichnis aller Verarbeitungstätigkeiten, die im Tatzeitraum ihrer Zuständigkeit unterlagen, in der nach Art. 30 Abs. 3 DSGVO genannten Form geführt habe und daher auf Anfrage der Datenschutzbehörde nicht im Sinne des Art. 30 Abs. 4 DSGVO zur Verfügung stellen habe können (Spruchpunkt II.).Darüber hinaus habe die Beschwerdeführerin in ihrer Rolle als Verantwortliche seit römisch 40 bis zumindest 22.06.2023 (Tatzeitraum), innerhalb des Bundesgebietes Österreich, gegen ihre Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne des Artikel 30, Absatz eins, DSGVO verstoßen, indem sie kein Verzeichnis aller Verarbeitungstätigkeiten, die im Tatzeitraum ihrer Zuständigkeit unterlagen, in der nach Artikel 30, Absatz 3, DSGVO genannten Form geführt habe und daher auf Anfrage der Datenschutzbehörde nicht im Sinne des Artikel 30, Absatz 4, DSGVO zur Verfügung stellen habe können (Spruchpunkt römisch zwei.). Schließlich habe die Beschwerdeführerin in ihrer Rolle als Verantwortliche im Zeitraum vom 05.04.2023 bis 22.06.2023 innerhalb des Bundesgebietes Österreich gegen ihre Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Datenschutzbehörde gemäß Art. 33 Abs. 1 DSGVO verstoßen, indem sie die oben (unter Punkt I.) dargestellte Verletzung des Schutzes der personenbezogenen Daten der Betroffenen durch die unbefugte Offenlegung ihrer (Gesundheits- )Daten gegenüber Dritten nicht unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung ihr bekannt wurde, der Datenschutzbehörde gemeldet hat (Spruchpunkt III.).Schließlich habe die Beschwerdeführerin in ihrer Rolle als Verantwortliche im Zeitraum vom 05.04.2023 bis 22.06.2023 innerhalb des Bundesgebietes Österreich gegen ihre Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Datenschutzbehörde gemäß Artikel 33, Absatz eins, DSGVO verstoßen, indem sie die oben (unter Punkt römisch eins.) dargestellte Verletzung des Schutzes der personenbezogenen Daten der Betroffenen durch die unbefugte Offenlegung ihrer (Gesundheits- )Daten gegenüber Dritten nicht unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung ihr bekannt wurde, der Datenschutzbehörde gemeldet hat (Spruchpunkt römisch drei.). Der Tatvorwurf in Bezug auf den Verstoß gegen die Verpflichtung zur Benennung eines Datenschutzbeauftragten nach Art. 37 Abs. 1 lit. c DSGVO in der Rolle als Verantwortliche nach Art. 4 Z 7 DSGVO (vorgeworfene Verwaltungsübertretung nach Art. 37 Abs. 1 lit. c iVm Art. 83 Abs. 1 und 4 lit. a DSGVO) wurde gemäß § 45 Abs. 1 Z 2 (erster Fall) VStG eingestellt (Spruchpunkt IV.).Der Tatvorwurf in Bezug auf den Verstoß gegen die Verpflichtung zur Benennung eines Datenschutzbeauftragten nach Artikel 37, Absatz eins, Litera c, DSGVO in der Rolle als Verantwortliche nach Artikel 4, Ziffer 7, DSGVO (vorgeworfene Verwaltungsübertretung nach Artikel 37, Absatz eins, Litera c, in Verbindung mit Artikel 83, Absatz eins und 4 Litera a, DSGVO) wurde gemäß Paragraph 45, Absatz eins, Ziffer 2, (erster Fall) VStG eingestellt (Spruchpunkt römisch vier.). Begründend hielt die belangte Behörde zu Spruchpunkt I. im Wesentlichen fest, es liege eine unrechtmäßige Verarbeitung sensibler Daten von mehreren Betroffenen sowie ein Verstoß gegen mehrere Datenschutzgrundsätze vor, die unter anderem auf die Missachtung der Vorgaben nach Art. 25 Abs. 1 und 2 DSGVO bei der Einrichtung und während des Betriebes des Benachrichtigungssystems zurückzuführen seien. Die Beschwerdeführerin habe dadurch die objektive Tatseite der genannten Tatbestände erfüllt. Begründend hielt die belangte Behörde zu Spruchpunkt römisch eins. im Wesentlichen fest, es liege eine unrechtmäßige Verarbeitung sensibler Daten von mehreren Betroffenen sowie ein Verstoß gegen mehrere Datenschutzgrundsätze vor, die unter anderem auf die Missachtung der Vorgaben nach Artikel 25, Absatz eins und 2 DSGVO bei der Einrichtung und während des Betriebes des Benachrichtigungssystems zurückzuführen seien. Die Beschwerdeführerin habe dadurch die objektive Tatseite der genannten Tatbestände erfüllt. Zu Spruchpunkt II. führte die belangte Behörde aus, die Beschwerdeführerin habe kein Verzeichnis aller Verarbeitungstätigkeiten im Sinne von Art. 30 Abs. 1 DSGVO geführt und habe ein solches daher auch nicht vorlegen können. Zu Spruchpunkt römisch zwei. führte die belangte Behörde aus, die Beschwerdeführerin habe kein Verzeichnis aller Verarbeitungstätigkeiten im Sinne von Artikel 30, Absatz eins, DSGVO geführt und habe ein solches daher auch nicht vorlegen können. In Bezug auf Spruchpunkt III. hielt die belangte Behörde fest, es sei zu einem Verstoß gegen die Meldepflicht nach Art. 33 DSGVO gekommen, da die Beschwerdeführerin nicht der Ausnahmeregelung unterliege und sie nicht davon ausgehen konnte, die Sicherheitsverletzung werde voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Die objektive Tatseite betreffend Art. 33 Abs. 1 DSGVO sei somit ebenfalls erfüllt. In Bezug auf Spruchpunkt römisch drei. hielt die belangte Behörde fest, es sei zu einem Verstoß gegen die Meldepflicht nach Artikel 33, DSGVO gekommen, da die Beschwerdeführerin nicht der Ausnahmeregelung unterliege und sie nicht davon ausgehen konnte, die Sicherheitsverletzung werde voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Die objektive Tatseite betreffend Artikel 33, Absatz eins, DSGVO sei somit ebenfalls erfüllt. Da die verfahrensgegenständlichen Tatvorwürfe der Beschwerdeführerin jedenfalls subjektiv vorwerfbar seien, sei die subjektive Tatseite ebenfalls erfüllt. Zur Einstellung (Spruchpunkt IV.) führte die belangte Behörde aus,

der Vorwurf hinsichtlich der Verletzung des Art. 37 Abs. 1 lit. c DSGVO spruchgemäß einzustellen gewesen sei, da im vorliegenden Fall keine umfangreiche Verarbeitung besonderer Kategorien von Daten nach Art. 9 Abs. 1 DSGVO habe festgestellt werden können. Zur Einstellung (Spruchpunkt römisch vier.) führte die belangte Behörde aus,

der Vorwurf hinsichtlich der Verletzung des Artikel 37, Absatz eins, Litera c, DSGVO spruchgemäß einzustellen gewesen sei, da im vorliegenden Fall keine umfangreiche Verarbeitung besonderer Kategorien von Daten nach Artikel 9, Absatz eins, DSGVO habe festgestellt werden können. Was die Strafzumessung betreffe, so sei als erschwerend gewertet worden,

die Bedeutung des verwaltungsstrafrechtlich geschützten Rechtsgutes im vorliegenden Fall als sehr hoch zu werten sei, es seien zudem besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO betroffen gewesen. Was die Strafzumessung betreffe, so sei als erschwerend gewertet worden,

die Bedeutung des verwaltungsstrafrechtlich geschützten Rechtsgutes im vorliegenden Fall als sehr hoch zu werten sei, es seien zudem besondere Kategorien personenbezogener Daten im Sinne von Artikel 9, Absatz eins, DSGVO betroffen gewesen. Mildernd sei zu berücksichtigen gewesen,

die Beschwerdeführerin keine einschlägigen Vorstrafen aufweise, am Verwaltungsstrafverfahren mitgewirkt, und sich umgehend nach Zustellung der Aufforderung zur Stellungnahme im amtswegigen Prüfverfahren mit der technischen Gestaltung des Benachrichtigungssystems auseinandergesetzt, sich beraten lassen und in der Folge die dementsprechenden Änderungen im Rahmen der Einstellungen vorgenommen habe. Die verhängte Strafe sei im Hinblick auf den verwirklichten Tatunwert gemessen am Strafrahmen sowie unter Berücksichtigung der Einkommens- und Vermögensverhältnisse tat- und schuldangemessen.

1. Die Beschwerdeführerin erhob mit Schriftsatz vom 01.12.2023 Beschwerde gegen das gegenständliche Straferkenntnis, räumte darin zunächst dem Grunde nach die Begehung der ihr von der belangten Behörde im angefochtenen Straferkenntnis zur Last gelegten Verstöße gegen datenschutzrechtliche Bestimmungen ein, nach Ansicht der Beschwerdeführerin hätte die belangte Behörde jedoch – unter Anwendung des § 11 DSG und § 34a VStG – mit einer Verwarnung das Auslangen finden oder zumindest eine (niedrigere), tat- und schuldangemessene, Geldstrafe verhängen müssen.
2. Die Beschwerdeführerin erhob mit Schriftsatz vom 01.12.2023 Beschwerde gegen das gegenständliche Straferkenntnis, räumte darin zunächst dem Grunde nach die Begehung der ihr von der belangten Behörde im angefochtenen Straferkenntnis zur Last gelegten Verstöße gegen datenschutzrechtliche Bestimmungen ein, nach Ansicht der Beschwerdeführerin hätte die belangte Behörde jedoch – unter Anwendung des Paragraph 11, DSG und Paragraph 34 a, VStG – mit einer Verwarnung das Auslangen finden oder zumindest eine (niedrigere), tat- und schuldangemessene, Geldstrafe verhängen müssen. Gestellt werde somit der Antrag, wonach das Bundesverwaltungsgericht in Stattgabe dieser Beschwerde - das angefochtene Straferkenntnis der belangten Behörde wegen Rechtswidrigkeit des Inhalts aufheben und das Verfahren zur Einstellung bringen wolle, in eventu - mit einer Verwarnung, in eventu - mit einer schuld- und tatangemessen herabgesetzten Geldstrafe das Auslangen finden wolle.- mit einer schuld- und tatangemessen herabgesetzten Geldstrafe das Auslangen finden wolle.,
3. Mit Schreiben vom 01.12.2023 legte die belangte Behörde die Beschwerde und den Verwaltungsakt dem Bundesverwaltungsgericht vor, erstattete im Zuge dessen eine Stellungnahme und beantragte, die Beschwerde als unbegründet abzuweisen und die Beschwerdeführerin zur Kostentragung nach § 52 VwGVG zu verpflichten.
4. Mit Schreiben vom 01.12.2023 legte die belangte Behörde die Beschwerde und den Verwaltungsakt dem Bundesverwaltungsgericht vor, erstattete im Zuge dessen eine Stellungnahme und beantragte, die Beschwerde als unbegründet abzuweisen und die Beschwerdeführerin zur Kostentragung nach Paragraph 52, VwGVG zu verpflichten.
5. Das Bundesverwaltungsgericht führte in der gegenständlichen Beschwerdesache am 31.01.2024 eine mündliche Beschwerdeverhandlung durch. Im Rahmen der mündlichen Verhandlung fand eine umfassende Erörterung der Sach- und Rechtslage mit den Verfahrensparteien statt, wobei die Beschwerdeführerin rechtsanwaltlich vertreten war. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: II.
6. Feststellungen:römisch zwei.
7. Feststellungen: II.1.
8. Zur Beschwerdeführerin: römisch zwei.1.
9. Zur Beschwerdeführerin: Die Beschwerdeführerin ist Fachärztin für Psychiatrie und psychotherapeutische Medizin und betreibt seit XXXX eine Ordination in XXXX Die Beschwerdeführerin ist Fachärztin für Psychiatrie und psychotherapeutische Medizin und betreibt seit römisch 40 eine Ordination in römisch 40 Die Beschwerdeführerin hat im Zuge der Gründung ihrer Arztpraxis keine rechtlichen Beratungsleistungen durch einen Rechtsanwalt eingeholt, sondern sich lediglich unter Kollegen erkundigt. Ob und welchen rechtlichen Rat die Beschwerdeführerin bei der Ärztekammer gesucht oder eingeholt hat, kann nicht festgestellt werden. II.1.
10. Zum Versand der inkriminierten Terminerinnerungen an Patienten im Wege des Messenger-Dienstes „IMessage“: römisch zwei.1.
11. Zum Versand der inkriminierten Terminerinnerungen an Patienten im Wege des Messenger-Dienstes „IMessage“: Seit dem Jahreswechsel 2022/2023 hat die Beschwerdeführerin in Form von Text-Nachrichten mittels des für ihre Praxis genutzten Mobiltelefons vom Typ Apple iPhone Terminerinnerungen an ihre Patienten versandt. Seit dem Jahreswechsel 2022 aus 2023, hat die Beschwerdeführerin in Form von Text-Nachrichten mittels des für ihre Praxis genutzten Mobiltelefons vom Typ Apple iPhone Terminerinnerungen an ihre Patienten versandt. Die jeweiligen Nachrichten wurden von der Ordinationsassistentin der Beschwerdeführerin manuell versandt und nicht automatisch generiert. Am 05.04.2023 versandte die Ordinationsassistentin der Beschwerdeführerin die inkriminierte Nachricht zur Erinnerung an Termine am 06.04.2023, dies in Form einer Gruppentextnachricht an insgesamt 27 Personen als Empfänger. Die gegenständliche Gruppentextnachricht an 27 Patienten stellte sich graphisch dar wie folgt: Für den Fall,

die Empfänger der Nachricht die Schaltfläche mit der Beschriftung „28 People“ betätigten, gelangten diese zu einer Ansicht, in der ihnen die Telefonnummern sämtlicher 28 Empfänger angezeigt wurden, da die Nachricht in Form einer Gruppen-Nachricht erstellt und verschickt wurde. Dadurch wurden die Telefonnummern sämtlicher 28 Empfänger jeweils allen anderen Empfängern (Teilnehmern der Gruppennachricht) offengelegt. Darüber hinaus enthielt die gegenständliche Gruppennachricht keine weiteren personenbezogenen Daten der Empfänger und eingeladenen Patienten. II.1.

1. Zur Änderung der Einstellungen durch die Beschwerdeführerin: römisch zwei.1.
2. Zur Änderung der Einstellungen durch die Beschwerdeführerin: Die Beschwerdeführerin hat sich in Reaktion auf den Vorfall vom 05.04.2023 technisch beraten lassen, die Einstellungen an dem von ihr genutzten Endgerät angepasst, um das Versenden von Nachrichten an IPhone-Nutzer per iMessage zu unterbinden und einen Versand im Wege von konventionellen Textnachrichten (SMS) sicherzustellen bzw. ähnliche Vorfälle zu verhindern. II.1.
3. Zum (fehlenden) Verarbeitungsverzeichnis: römisch zwei.1.
4. Zum (fehlenden) Verarbeitungsverzeichnis: Die Beschwerdeführerin hat, seit 01.12.2022 bis zu ihrer Stellungnahme im amtswegigen Prüfverfahren vor der Datenschutzbehörde vom 22.06.2023, kein Verzeichnis über ihre Verarbeitungstätigkeiten im Rahmen ihrer ärztlichen Berufsausübung geführt. Am 07.07.2023 übermittelte die Beschwerdeführerin der belangten Behörde ein Verarbeitungsverzeichnis, das sie nach der Aufforderung zur Stellungnahme durch die Datenschutzbehörde zu einem nicht näher bestimmbaren Zeitpunkt erstellt hatte. II.1.
5. Zur unterbliebenen Meldung des Vorfalles als Sicherheitsverletzung bei der belangten Behörde: römisch zwei.1.
6. Zur unterbliebenen Meldung des Vorfalles als Sicherheitsverletzung bei der belangten Behörde: Die Beschwerdeführerin brachte in Reaktion auf den Vorfall vom 05.04.2023 keine Meldung bei der belangten Behörde im Sinne von Art. 33 DSGVO ein, sie informierte die Datenschutzbehörde auch sonst nicht über den Vorfall vom 05.04.
7. Die Beschwerdeführerin brachte in Reaktion auf den Vorfall vom 05.04.2023 keine Meldung bei der belangten Behörde im Sinne von Artikel 33, DSGVO ein, sie informierte die Datenschutzbehörde auch sonst nicht über den Vorfall vom 05.04.
8. II.1.
9. Zur Einstellung des amtswegigen Prüfverfahrens: römisch zwei.1.
10. Zur Einstellung des amtswegigen Prüfverfahrens: Das von der belangten Behörde zunächst eingeleitete amtswegige Prüfverfahren zur GZ D213.2083 stellte diese am 18.07.2023 ein und leitete die belangte Behörde für die in der Vergangenheit liegenden Verstöße das gegenständliche Verwaltungsstrafverfahren ein. II.1.
11. Zu den Einkommens- und Vermögensverhältnissen sowie Sorgepflichten der Beschwerdeführerin: römisch zwei.1.
12. Zu den Einkommens- und Vermögensverhältnissen sowie Sorgepflichten der Beschwerdeführerin: Die Beschwerdeführerin erzielt ein durchschnittliches monatliches Nettoeinkommen in Höhe von zumindest 2.900,00 Euro. Die Beschwerdeführerin ist sorgepflichtig für zwei minderjährige Kinder sowie ein studierendes Kind. Die Beschwerdeführerin ist Hälfteeigentümerin eines Einfamilienhauses, wobei hierfür eine Kreditverbindlichkeit in der Höhe von EUR 280.000,00 besteht. II.
13. Beweiswürdigung:römisch zwei.
14. Beweiswürdigung: II.2.
15. Zu II.1.
16. (Zur Beschwerdeführerin): römisch zwei.2.
17. Zu römisch zwei.1.
18. (Zur Beschwerdeführerin): Die Feststellungen zur Beschwerdeführerin konnten aufgrund der Angaben der Beschwerdeführerin vor dem Bundesverwaltungsgericht getroffen werden und waren insofern unstrittig.

die Beschwerdeführerin im Zuge der Gründung ihrer Arztpraxis keinerlei rechtlichen Beratungsleistungen eines Rechtsanwaltes in Anspruch genommen hat, ergibt sich aus der diesbezüglich klaren und eindeutigen Aussage der Beschwerdeführerin vor dem Bundesverwaltungsgericht. Die Angaben der Beschwerdeführerin, wonach eine Erkundigung bei der Ärztekammer keinerlei konkreten Hinweise auf datenschutzrechtliche Verpflichtungen im Zusammenhang mit der Führung einer Facharztpraxis ergeben habe, erscheinen bei verständiger Betrachtung aus Sicht des erkennenden Senates nicht schlüssig nachvollziehbar, vielmehr wäre aus Sicht des Bundesverwaltungsgerichtes jedenfalls zu erwarten,

die Ärztekammer ihren Mitgliedern in Bezug auf die Gründung einer Praxis auf Anfrage hin jedenfalls Informationen zu den wesentlichen rechtlichen Rahmenbedingungen, auch und gerade mit Blick auf datenschutzrechtliche Erfordernisse, zur Verfügung stellt. Dem diesbezüglichen Vorbringen der Beschwerdeführerin war daher aus Sicht des erkennenden Senates die Glaubhaftigkeit zu versagen. II.2.2. Zu II.1.2. Zum Versand von Terminerinnerungen an Patienten der Beschwerdeführerin: römisch zwei.2.2. Zu römisch zwei.1.2. Zum Versand von Terminerinnerungen an Patienten der Beschwerdeführerin:

die Ordinationsassistentin seit dem Jahreswechsel 2022/2023 Terminerinnerungen in Form einer Gruppen-Nachricht mittels des Praxistelefons an Patienten manuell versandte, folgt aus den Ausführungen der Beschwerdeführerin hierzu vor dem Bundesverwaltungsgericht; diese decken sich mit den schriftlichen Stellungnahmen vom 22.06.2023 sowie vom 17.10.2023 im verwaltungsbehördlichen Verfahren.

die Ordinationsassistentin seit dem Jahreswechsel 2022 aus 2023, Terminerinnerungen in Form einer Gruppen-Nachricht mittels des Praxistelefons an Patienten manuell versandte, folgt aus den Ausführungen der Beschwerdeführerin hierzu vor dem Bundesverwaltungsgericht; diese decken sich mit den schriftlichen Stellungnahmen vom 22.06.2023 sowie vom 17.10.2023 im verwaltungsbehördlichen Verfahren. Die Feststellung zum Versand der Gruppentextnachricht am 05.04.2023 konnte auf Basis der Datenschutzbeschwerde, welche am 05.04.2023 bei der belangten Behörde einlangte, getroffen werden und wurden diese von der Beschwerdeführerin auch zu keinem Zeitpunkt vor dem Bundesverwaltungsgericht bestritten. Die Beschwerdeführerin räumt im Rahmen ihres Beschwerdeschriftsatzes vom 01.12.2023 selbst ein, die Verstöße gegen datenschutzrechtliche Bestimmungen seien zu Recht festgestellt worden. II.2.

1. Zu II.1.
2. Änderung der (Vor-)Einstellungen des für den Versand von Terminerinnerungsnachrichten genutzten Endgerätes durch die Beschwerdeführerin: römisch zwei.2.
3. Zu römisch zwei.1.
4. Änderung der (Vor-)Einstellungen des für den Versand von Terminerinnerungsnachrichten genutzten Endgerätes durch die Beschwerdeführerin: Die Feststellungen zur vorgenommenen Einstellungsänderung konnten auf Basis der glaubhaften Angaben der Beschwerdeführerin im Verwaltungsverfahren erfolgen. So hat sie mehrfach gleichbleibend vorgebracht, sie habe sich in Reaktion auf den Vorfall vom 05.04.2023 technisch beraten lassen und die Einstellungen entsprechend angepasst, um den Versand der inkriminierten Gruppentextnachrichten künftig zu unterbinden. II.2.
5. Zu II.1.
6. Zum fehlenden Verarbeitungsverzeichnis: römisch zwei.2.
7. Zu römisch zwei.1.
8. Zum fehlenden Verarbeitungsverzeichnis: Der Umstand, wonach die Beschwerdeführerin seit Eröffnung ihrer Ordination, jedenfalls bis zur Stellungnahme im amtswegigen Prüfverfahren vor der Datenschutzbehörde am 22.06.2023, kein Verzeichnis über ihre Verarbeitungstätigkeiten geführt hatte, folgt aus den hierzu schlüssigen Angaben der Beschwerdeführerin im verwaltungsbehördlichen Verfahren, dieser Umstand wurde von der Beschwerdeführerin im Verfahren vor dem Bundesverwaltungsgericht auch nicht in Abrede gestellt. II.2.
9. Zu II.1.
10. Zum Unterbleiben der Meldung des Vorfalles an die Datenschutzbehörde: römisch zwei.2.
11. Zu römisch zwei.1.
12. Zum Unterbleiben der Meldung des Vorfalles an die Datenschutzbehörde:

die Beschwerdeführerin in Reaktion auf den Vorfall vom 05.04.2023 keine Meldung an die belangte Behörde vorgenommen hat, wurde von der Beschwerdeführerin selbst zu keinem Zeitpunkt in Abrede gestellt bzw. wurde dieser Umstand vor dem Bundesverwaltungsgericht von der Beschwerdeführerin erneut eingeräumt. II.2.6. Zu II.1.6. (Zur Einstellung des amtswegigen Prüfverfahrens): römisch zwei.2.6. Zu römisch zwei.1.6. (Zur Einstellung des amtswegigen Prüfverfahrens):

die belangte Behörde das zunächst eingeleitete amtswegige Prüfverfahren zur GZ D213.2083 am 18.07.2023 eingestellt und in der Folge das gegenständliche Verwaltungsstrafverfahren eingeleitet hat, folgt aus dem unbedenklichen Verwaltungsakt, insbesondere aus der Mitteilung der belangten Behörde vom 18.07.

1. II.2.
2. Zu II.1.
3. Zu den Einkommens- und Vermögensverhältnissen sowie den Sorgepflichten der Beschwerdeführerin: römisch zwei.2.
4. Zu römisch zwei.1.
5. Zu den Einkommens- und Vermögensverhältnissen sowie den Sorgepflichten der Beschwerdeführerin: Da zu den aktuellen Einkommensverhältnissen von der Beschwerdeführerin keine unbedenklichen Belege (Steuerbescheid u.ä.) vorgelegt werden konnten, geht das Bundesverwaltungsgericht zumindest von denselben Einkommensverhältnissen aus, die auch von der belangten Behörde herangezogen wurden. Die im Nachgang der mündlichen Verhandlung in Vorlage gebrachten Schätzungen zu den Einkommensverhältnissen aus der Tätigkeit als niedergelassene Fachärztin erscheinen nicht schlüssig und nachvollziehbar, dies insbesondere vor dem Hintergrund,

die Beschwerdeführerin dazu befragt in der mündlichen Verhandlung angab, monatlich von ihrem Geschäftskonto 4.000,00 bis 5.000,00 Euro zum privaten Gebrauch zu entnehmen. Im Übrigen ergeben sich die getroffenen Feststellungen zu den Vermögensverhältnissen und Sorgepflichten anhand der diesbezüglichen Angaben der Beschwerdeführerin vor dem Bundesverwaltungsgericht, wobei diese mit den im verwaltungsbehördlichen Verfahren hierzu getätigten Angaben der Beschwerdeführerin korrespondieren. II.

1. Rechtliche Beurteilung:römisch zwei.
2. Rechtliche Beurteilung: Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß Paragraph 27, DSG Senatszuständigkeit vor. II.3.
3. Zu Spruchpunkt A) – Teilweise Stattgabe der Beschwerde: römisch zwei.3.
4. Zu Spruchpunkt A) – Teilweise Stattgabe der Beschwerde: Anzuwendendes Recht: Die hier maßgebenden Bestimmungen und Erwägungsgründe der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:Die hier maßgebenden Bestimmungen und Erwägungsgründe der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift: „Artikel 1 Gegenstand und Ziele

sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen,

personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,

1. b)einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
2. c)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,
3. d)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
4. e)den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen,
5. f)eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
6. g)die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 17 Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen,
7. h)eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,
8. i)eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,
9. j)die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen.

seine Aufsichtsbehörde befugt ist, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben oder sich sonst daran zu beteiligen, um die Bestimmungen dieser Verordnung durchzusetzen.

seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels VII beeinträchtigen.

seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels römisch sieben beeinträchtigen. Artikel 83 Allgemeine Bedingungen für die Verhängung von Geldbußen

die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist,

diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften.“ In den Erwägungsgründen 9, 10, 11, 13, 74, 85, 129, 148 und 150 der DSGVO heißt es: „

die Verarbeitungstätigkeiten im Einklang mit dieser Verordnung stehen und die Maßnahmen auch wirksam sind. Dabei sollte er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten natürlicher Personen berücksichtigen. …

die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt. Falls diese Benachrichtigung nicht binnen 72 Stunden erfolgen kann, sollten in ihr die Gründe für die Verzögerung angegeben werden müssen, und die Informationen können schrittweise ohne unangemessene weitere Verzögerung bereitgestellt werden. …

sich der Umfang der Anfechtung hinsichtlich der Spruchpunkte I. und II. lediglich auf das Ausmaß der verhängten Strafe bezieht, in Bezug auf Spruchpunkt III. jedoch auch auf die Feststellung der Verwirklichung des vorgeworfenen Verwaltungsstraftatbestandes dem Grunde nach erstreckt.Im Rahmen der mündlichen Beschwerdeverhandlung präzisiert die Beschwerdeführerin ihr Beschwerdevorbringen – auf Nachfrage des Senatsvorsitzenden hinsichtlich des Erklärungswertes des Beschwerdeschriftsatzes – dahingehend,

sich der Umfang der Anfechtung hinsichtlich der Spruchpunkte römisch eins. und römisch zwei. lediglich auf das Ausmaß der verhängten Strafe bezieht, in Bezug auf Spruchpunkt römisch drei. jedoch auch auf die Feststellung der Verwirklichung des vorgeworfenen Verwaltungsstraftatbestandes dem Grunde nach erstreckt. II.3.

1. Allgemeines zur Verhängung von Geldbußen nach Art. 83 DSGVO:römisch zwei.3.
2. Allgemeines zur Verhängung von Geldbußen nach Artikel 83, DSGVO: II.3.3.
3. Mit der Datenschutz-Grundverordnung („DSGVO“), die seit dem
4. Mai 2018 anwendbar ist, hat die EU eine umfassende Reform der Datenschutzvorschriften in Europa vollendet. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Die Verordnung stützt sich auf mehrere Schlüsselkomponenten, zu denen unter anderem stärkere Durchsetzungsbefugnisse der Aufsichtsbehörden gehören. Die DSGVO sieht als Neuerung deutlich höhere Geldbußen sowie eine Harmonisierung der Geldbußen zwischen den Mitgliedstaaten vor. Verantwortliche und Auftragsverarbeiter haben mehr als zuvor Sorge dafür zu tragen,

die personenbezogenen Daten natürlicher Personen wirksam geschützt werden. Die Aufsichtsbehörden sind befugt sicherzustellen,

die Grundsätze der DSGVO sowie die Rechte der betroffenen Personen gemäß dem Wortlaut und dem Geist der DSGVO gewahrt werden. Die DSGVO schreibt vor,

der Betrag der Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Abs. 1 DSGVO). Darüber hinaus haben die Aufsichtsbehörden bei der Festsetzung des Betrags der Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Art. 83 Abs. 2 DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer konkreten Bewertung, die in jedem Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen Parameter vorgenommen wird. Eine Mindestgeldbuße sieht die DSGVO für Verhaltensweisen, die gegen Datenschutzvorschriften verstoßen, nicht vor. Vielmehr sieht die DSGVO in ihrem Artikel 83 Absätze 4 bis 6, in denen verschiedene Verhaltensweisen zusammengefasst werden, lediglich Höchstbeträge vor. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Abs. 2 lit. a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen nicht ausdrücklich aufgeführt sind (da Art. 83 Abs. 2 lit. k DSGVO verlangt,

jeglichen anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO). Jede verhängte Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das in Art. 83 Abs. 4 bis 6 DSGVO vorgesehenen gesetzliche Höchstmaß nicht überschreiten (vgl. zu alldem die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Art. 83 DSGVO], Rz. 1 – 16). römisch zwei.3.3.

1. Mit der Datenschutz-Grundverordnung („DSGVO“), die seit dem
2. Mai 2018 anwendbar ist, hat die EU eine umfassende Reform der Datenschutzvorschriften in Europa vollendet. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Die Verordnung stützt sich auf mehrere Schlüsselkomponenten, zu denen unter anderem stärkere Durchsetzungsbefugnisse der Aufsichtsbehörden gehören. Die DSGVO sieht als Neuerung deutlich höhere Geldbußen sowie eine Harmonisierung der Geldbußen zwischen den Mitgliedstaaten vor. Verantwortliche und Auftragsverarbeiter haben mehr als zuvor Sorge dafür zu tragen,

die personenbezogenen Daten natürlicher Personen wirksam geschützt werden. Die Aufsichtsbehörden sind befugt sicherzustellen,

die Grundsätze der DSGVO sowie die Rechte der betroffenen Personen gemäß dem Wortlaut und dem Geist der DSGVO gewahrt werden. Die DSGVO schreibt vor,

der Betrag der Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Absatz eins, DSGVO). Darüber hinaus haben die Aufsichtsbehörden bei der Festsetzung des Betrags der Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Artikel 83, Absatz 2, DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer konkreten Bewertung, die in jedem Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen Parameter vorgenommen wird. Eine Mindestgeldbuße sieht die DSGVO für Verhaltensweisen, die gegen Datenschutzvorschriften verstoßen, nicht vor. Vielmehr sieht die DSGVO in ihrem Artikel 83 Absätze 4 bis 6, in denen verschiedene Verhaltensweisen zusammengefasst werden, lediglich Höchstbeträge vor. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Absatz 2, Litera a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen nicht ausdrücklich aufgeführt sind (da Artikel 83, Absatz 2, Litera k, DSGVO verlangt,

jeglichen anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Artikel 83, Absatz eins, DSGVO). Jede verhängte Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das in Artikel 83, Absatz 4 bis 6 DSGVO vorgesehenen gesetzliche Höchstmaß nicht überschreiten vergleiche zu alldem die Leitlinien 04 aus 2022, des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Artikel 83, DSGVO], Rz. 1 – 16). II.3.3.

1. In seiner jüngst ergangenen Rechtsprechung zu Art. 83 DSGVO hält der Europäische Gerichtshof (EuGH) zur Verhängung von Geldbußen durch nationale Aufsichtsbehörden die im folgenden dargestellten Grundsätze fest. römisch zwei.3.3.
2. In seiner jüngst ergangenen Rechtsprechung zu Artikel 83, DSGVO hält der Europäische Gerichtshof (EuGH) zur Verhängung von Geldbußen durch nationale Aufsichtsbehörden die im folgenden dargestellten Grundsätze fest. Im Urteil vom 05.12.2023 in der Rechtssache C-807/21 [Deutsche Wohnen SE] führt der EuGH aus wie folgt [Hervorhebungen durch das Bundesverwaltungsgericht]: „38 Zur Beantwortung der ersten Vorlagefrage ist zunächst festzustellen,

sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können,

ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen.„38 Zur Beantwortung der ersten Vorlagefrage ist zunächst festzustellen,

sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können,

ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Artikel 83, DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen. 39 In Art. 4 Nr. 7 DSGVO ist der Begriff „Verantwortlicher“ weit definiert als die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.39 In Artikel 4, Nr. 7 DSGVO ist der Begriff „Verantwortlicher“ weit definiert als die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. 40 Das Ziel dieser weiten Definition des Art. 4 Nr. 7 DSGVO – die ausdrücklich auch juristische Personen einschließt – besteht im Einklang mit dem Ziel der DSGVO darin, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten zu gewährleisten (vgl. in diesem Sinne Urteile vom 29. Juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung).40 Das Ziel dieser weiten Definition des Artikel 4, Nr. 7 DSGVO – die ausdrücklich auch juristische Personen einschließt – besteht im Einklang mit dem Ziel der DSGVO darin, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten zu gewährleisten vergleiche in diesem Sinne Urteile vom 29. Juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung). 41 Des Weiteren hat der Gerichtshof bereits entschieden,

eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als Verantwortlicher angesehen werden kann (vgl. in diesem Sinne Urteil vom 10. Juli 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, Rn. 68).41 Des Weiteren hat der Gerichtshof bereits entschieden,

eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als Verantwortlicher angesehen werden kann vergleiche in diesem Sinne Urteil vom 10. Juli 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, Rn. 68). 42 Somit ergibt sich aus dem Wortlaut und dem Zweck von Art. 4 Nr. 7 DSGVO,

der Unionsgesetzgeber bei der Bestimmung der Haftung nach der DSGVO nicht zwischen natürlichen und juristischen Personen unterschieden hat, da die einzige Voraussetzung für diese Haftung darin besteht,

diese Personen allein oder zusammen mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden.42 Somit ergibt sich aus dem Wortlaut und dem Zweck von Artikel 4, Nr. 7 DSGVO,

der Unionsgesetzgeber bei der Bestimmung der Haftung nach der DSGVO nicht zwischen natürlichen und juristischen Personen unterschieden hat, da die einzige Voraussetzung für diese Haftung darin besteht,

diese Personen allein oder zusammen mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden. 43 Vorbehaltlich der Bestimmungen von Art. 83 Abs. 7 DSGVO betreffend Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt – unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle handelt – u. a. für jeden in Art. 83 Abs. 4 bis 6 der DSGVO genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde.43 Vorbehaltlich der Bestimmungen von Artikel 83, Absatz 7, DSGVO betreffend Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt – unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle handelt – u. a. für jeden in Artikel 83, Absatz 4 bis 6 der DSGVO genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde. … 45 Sodann legt Art. 58 Abs. 2 DSGVO die Befugnisse der Aufsichtsbehörden zum Erlass von Abhilfemaßnahmen genau fest, ohne auf das Recht der Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum einzuräumen. Zum einen zielen diese Befugnisse, zu denen gemäß Art. 58 Abs. 2 Buchst. i DSGVO die Befugnis zur Verhängung von Geldbußen gehört, auf den Verantwortlichen ab, und zum anderen kann ein solcher Verantwortlicher, wie aus Rn. 39 des vorliegenden Urteils hervorgeht, sowohl eine natürliche als auch eine juristische Person sein. Die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Art. 83 Abs. 1 bis 6 DSGVO genau und ohne Ermessensspielraum für die Mitgliedstaaten aufgeführt.45 Sodann legt Artikel 58, Absatz 2, DSGVO die Befugnisse der Aufsichtsbehörden zum Erlass von Abhilfemaßnahmen genau fest, ohne auf das Recht der Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum einzuräumen. Zum einen zielen diese Befugnisse, zu denen gemäß Artikel 58, Absatz 2, Buchst. i DSGVO die Befugnis zur Verhängung von Geldbußen gehört, auf den Verantwortlichen ab, und zum anderen kann ein solcher Verantwortlicher, wie aus Rn. 39 des vorliegenden Urteils hervorgeht, sowohl eine natürliche als auch eine juristische Person sein. Die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Artikel 83, Absatz eins bis 6 DSGVO genau und ohne Ermessensspielraum für die Mitgliedstaaten aufgeführt. … 47 Zwar ergibt sich aus Art. 58 Abs. 4 und Art. 83 Abs. 8 DSGVO im Licht des 129. Erwägungsgrundes der DSGVO,

die Ausübung der Befugnisse, über die die Aufsichtsbehörde gemäß diesen Artikeln verfügt, angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss.47 Zwar ergibt sich aus Artikel 58, Absatz 4 und Artikel 83, Absatz 8, DSGVO im Licht des 129. Erwägungsgrundes der DSGVO,

die Ausübung der Befugnisse, über die die Aufsichtsbehörde gemäß diesen Artikeln verfügt, angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss. 48 Die Tatsache,

die DSGVO den Mitgliedstaaten somit die Möglichkeit einräumt, Anforderungen an das von den Aufsichtsbehörden anzuwendende Verfahren bei der Verhängung einer Geldbuße vorzusehen, bedeutet jedoch keineswegs,

sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Art. 83 Abs. 1 bis 6 DSGVO geregelten hinzutreten. Des Weiteren wird durch den Umstand,

der Unionsgesetzgeber eigens und ausdrücklich diese Möglichkeit vorgesehen hat, aber nicht diejenige, solche zusätzlichen materiellen Voraussetzungen festzulegen, bestätigt,

er den Mitgliedstaaten insoweit keinen Ermessensspielraum gelassen hat. Für diese materiellen Voraussetzungen gilt daher ausschließlich das Unionsrecht.48 Die Tatsache,

die DSGVO den Mitgliedstaaten somit die Möglichkeit einräumt, Anforderungen an das von den Aufsichtsbehörden anzuwendende Verfahren bei der Verhängung einer Geldbuße vorzusehen, bedeutet jedoch keineswegs,

sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Artikel 83, Absatz eins bis 6 DSGVO geregelten hinzutreten. Des Weiteren wird durch den Umstand,

der Unionsgesetzgeber eigens und ausdrücklich diese Möglichkeit vorgesehen hat, aber nicht diejenige, solche zusätzlichen materiellen Voraussetzungen festzulegen, bestätigt,

er den Mitgliedstaaten insoweit keinen Ermessensspielraum gelassen hat. Für diese materiellen Voraussetzungen gilt daher ausschließlich das Unionsrecht. 49 Die vorstehende wörtliche Auslegung von Art. 58 Abs. 2 und Art. 83 Abs. 1 bis 6 DSGVO wird durch den Zweck der DSGVO bestätigt. 49 Die vorstehende wörtliche Auslegung von Artikel 58, Absatz 2 und Artikel 83, Absatz eins bis 6 DSGVO wird durch den Zweck der DSGVO bestätigt. 50 Insbesondere geht aus dem zehnten Erwägungsgrund der DSGVO hervor,

deren Bestimmungen u. a. die Ziele haben, bei der Verarbeitung personenbezogener Daten unionsweit ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck sicherzustellen,

die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung solcher Daten unionsweit gleichmäßig und einheitlich angewendet werden. In den Erwägungsgründen 11 und 129 der DSGVO wird außerdem das Erfordernis betont, zur Sicherstellung einer einheitlichen Anwendung der DSGVO sicherzustellen,

die Aufsichtsbehörden über gleiche Befugnisse bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie über gleiche Sanktionen im Fall von Verstößen gegen die DSGVO verfügen. … 52 Nach Art. 288 Abs. 2 AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, so

es, sofern nichts anderes bestimmt ist, ausgeschlossen ist,

die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU‑Vertrag obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln. Insbesondere dürfen sie keine Handlung vornehmen, durch die die unionsrechtliche Natur einer Rechtsvorschrift und die sich daraus ergebenden Wirkungen den Einzelnen verborgen würden (Urteil vom 15. November 2012, Al-Aqsa/Rat und Niederlande/Al-Aqsa, C‑539/10 P und C‑550/10 P, EU:C:2012:711, Rn. 86 und 87 sowie die dort angeführte Rechtsprechung).52 Nach Artikel 288, Absatz 2, AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, so

es, sofern nichts anderes bestimmt ist, ausgeschlossen ist,

die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU‑Vertrag obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln. Insbesondere dürfen sie keine Handlung vornehmen, durch die die unionsrechtliche Natur einer Rechtsvorschrift und die sich daraus ergebenden Wirkungen den Einzelnen verborgen würden (Urteil vom 15. November 2012, Al-Aqsa/Rat und Niederlande/Al-Aqsa, C‑539/10 P und C‑550/10 P, EU:C:2012:711, Rn. 86 und 87 sowie die dort angeführte Rechtsprechung). … 61 Mit seiner zweiten Frage, die für den Fall gestellt wird,

die erste Frage bejaht wird, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 83 DSGVO dahin auszulegen ist,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.61 Mit seiner zweiten Frage, die für den Fall gestellt wird,

die erste Frage bejaht wird, möchte das vorlegende Gericht im Wesentlichen wissen, ob Artikel 83, DSGVO dahin auszulegen ist,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat. 62 Insoweit ist darauf hinzuweisen,

nach Art. 83 Abs. 1 DSGVO Geldbußen wirksam, verhältnismäßig und abschreckend sein müssen. Dagegen enthält Art. 83 DSGVO keine ausdrückliche Klarstellung,

die in seinen Abs. 4 bis 6 genannten Verstöße nur dann mit einer solchen Geldbuße geahndet werden können, wenn sie vorsätzlich oder zumindest fahrlässig begangen wurden.62 Insoweit ist darauf hinzuweisen,

nach Artikel 83, Absatz eins, DSGVO Geldbußen wirksam, verhältnismäßig und abschreckend sein müssen. Dagegen enthält Artikel 83, DSGVO keine ausdrückliche Klarstellung,

die in seinen Absatz 4 bis 6 genannten Verstöße nur dann mit einer solchen Geldbuße geahndet werden können, wenn sie vorsätzlich oder zumindest fahrlässig begangen wurden. … 65 Wie in den Rn. 45 und 48 des vorliegenden Urteils ausgeführt, gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht. Diese Voraussetzungen sind in Art. 83 Abs. 1 bis 6 DSGVO genau festgelegt und lassen den Mitgliedstaaten keinen Ermessensspielraum (vgl. auch Urteil vom

1. Dezember 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, Rn. 64 bis 70).65 Wie in den Rn. 45 und 48 des vorliegenden Urteils ausgeführt, gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht. Diese Voraussetzungen sind in Artikel 83, Absatz eins bis 6 DSGVO genau festgelegt und lassen den Mitgliedstaaten keinen Ermessensspielraum vergleiche auch Urteil vom
2. Dezember 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, Rn. 64 bis 70). 66 Zu diesen Voraussetzungen ist festzustellen,

Art. 83Abs.

2 DSGVO die Kriterien anführt, die die Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen den Verantwortlichen berücksichtigt. Zu diesen Kriterien gehört nach Buchst. b dieser Bestimmung die „Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“. Dagegen deutet keines der in der genannten Bestimmung aufgeführten Kriterien auf eine Möglichkeit hin, den Verantwortlichen unabhängig von seinem Verschulden haftbar zu machen.66 Zu diesen Voraussetzungen ist festzustellen,

Artikel 83

, Absatz 2, DSGVO die Kriterien anführt, die die Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen den Verantwortlichen berücksichtigt. Zu diesen Kriterien gehört nach Buchst. b dieser Bestimmung die „Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“. Dagegen deutet keines der in der genannten Bestimmung aufgeführten Kriterien auf eine Möglichkeit hin, den Verantwortlichen unabhängig von seinem Verschulden haftbar zu machen. 67 Zudem ist der zweite Absatz von Art. 83 DSGVO in Verbindung mit seinem dritten Absatz zu lesen, der bestimmt, welche Folgen bei der Kumulierung von Verstößen gegen die DSGVO eintreten, und wie folgt lautet: „Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“67 Zudem ist der zweite Absatz von Artikel 83, DSGVO in Verbindung mit seinem dritten Absatz zu lesen, der bestimmt, welche Folgen bei der Kumulierung von Verstößen gegen die DSGVO eintreten, und wie folgt lautet: „Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“ 68 Aus dem Wortlaut von Art. 83 Abs. 2 DSGVO ergibt sich somit,

nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d. h. vorsätzlich oder fahrlässig, begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können.68 Aus dem Wortlaut von Artikel 83, Absatz 2, DSGVO ergibt sich somit,

nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d. h. vorsätzlich oder fahrlässig, begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können. 69 Die allgemeine Systematik und der Zweck der DSGVO bestätigen diese Lesart. 70 Zum einen hat der Unionsgesetzgeber ein Sanktionssystem vorgesehen, das es den Aufsichtsbehörden ermöglicht, je nach den Umständen des Einzelfalls die geeignetste Sanktion zu verhängen. 71 Art. 58 Abs. 2 Buchst. i der DSGVO bestimmt nämlich,

die Aufsichtsbehörden befugt sind, eine Geldbuße gemäß Art. 83 DSGVO „zusätzlich zu oder anstelle von“ anderen in Art. 58 Abs. 2 genannten Abhilfebefugnissen wie die Befugnis zur Erteilung von Warnungen, Verwarnungen oder Anweisungen zu verhängen. Ebenso heißt es im 148. Erwägungsgrund dieser Verordnung u. a.,

es den Aufsichtsbehörden gestattet ist, im Fall eines geringfügigeren Verstoßes oder falls die voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, von der Verhängung einer Geldbuße abzusehen und stattdessen eine Verwarnung zu erteilen.71 Artikel 58, Absatz 2, Buchst. i der DSGVO bestimmt nämlich,

die Aufsichtsbehörden befugt sind, eine Geldbuße gemäß Artikel 83, DSGVO „zusätzlich zu oder anstelle von“ anderen in Artikel 58, Absatz 2, genannten Abhilfebefugnissen wie die Befugnis zur Erteilung von Warnungen, Verwarnungen oder Anweisungen zu verhängen. Ebenso heißt es im 148. Erwägungsgrund dieser Verordnung u. a.,

es den Aufsichtsbehörden gestattet ist, im Fall eines geringfügigeren Verstoßes oder falls die voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, von der Verhängung einer Geldbuße abzusehen und stattdessen eine Verwarnung zu erteilen. 72 Zum anderen haben die Bestimmungen der DSGVO, wie in Rn. 50 des vorliegenden Urteils ausgeführt, u. a. die Ziele, bei der Verarbeitung personenbezogener Daten unionsweit ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und zu diesem Zweck sicherzustellen,

die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten dieser Personen bei der Verarbeitung solcher Daten unionsweit gleichmäßig und einheitlich angewendet werden. Zur Sicherstellung einer einheitlichen Anwendung der DSGVO müssen die Aufsichtsbehörden zudem über gleiche Befugnisse bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten verfügen, so

sie im Fall von Verstößen gegen die DSGVO die gleichen Sanktionen verhängen können. 73 Ein Sanktionssystem, das es ermöglicht, eine Geldbuße gemäß Art. 83 DSGVO zu verhängen, wenn die besonderen Umstände des Einzelfalls dies rechtfertigen, schafft für Verantwortliche und Auftragsverarbeiter einen Anreiz, der DSGVO nachzukommen. Geldbußen tragen durch ihre abschreckende Wirkung zu einem stärkeren Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten bei. Sie sind daher ein Schlüsselelement, um die Wahrung der Rechte dieser Personen zu gewährleisten, und stehen im Einklang mit dem Ziel der DSGVO, ein hohes Schutzniveau für solche Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten.73 Ein Sanktionssystem, das es ermöglicht, eine Geldbuße gemäß Artikel 83, DSGVO zu verhängen, wenn die besonderen Umstände des Einzelfalls dies rechtfertigen, schafft für Verantwortliche und Auftragsverarbeiter einen Anreiz, der DSGVO nachzukommen. Geldbußen tragen durch ihre abschreckende Wirkung zu einem stärkeren Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten bei. Sie sind daher ein Schlüsselelement, um die Wahrung der Rechte dieser Personen zu gewährleisten, und stehen im Einklang mit dem Ziel der DSGVO, ein hohes Schutzniveau für solche Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten. 74 Der Unionsgesetzgeber hat es jedoch nicht für erforderlich gehalten, zur Gewährleistung eines solchen hohen Schutzniveaus vorzusehen,

Geldbußen verschuldensunabhängig verhängt werden. In Anbetracht dessen,

die DSGVO auf ein gleichwertiges und einheitliches Schutzniveau abzielt und hierfür in der gesamten Union gleichmäßig angewandt werden muss, liefe es diesem Ziel zuwider, den Mitgliedstaaten zu gestatten, eine solche Regelung für die Verhängung einer Geldbuße nach Art. 83 DSGVO vorzusehen. Eine solche Wahlfreiheit wäre zudem geeignet, den Wettbewerb zwischen den Wirtschaftsteilnehmern in der Union zu verfälschen, was den vom Unionsgesetzgeber u. a. in den Erwägungsgründen 9 und 13 der DSGVO dargestellten Zielen zuwiderliefe.74 Der Unionsgesetzgeber hat es jedoch nicht für erforderlich gehalten, zur Gewährleistung eines solchen hohen Schutzniveaus vorzusehen,

Geldbußen verschuldensunabhängig verhängt werden. In Anbetracht dessen,

die DSGVO auf ein gleichwertiges und einheitliches Schutzniveau abzielt und hierfür in der gesamten Union gleichmäßig angewandt werden muss, liefe es diesem Ziel zuwider, den Mitgliedstaaten zu gestatten, eine solche Regelung für die Verhängung einer Geldbuße nach Artikel 83, DSGVO vorzusehen. Eine solche Wahlfreiheit wäre zudem geeignet, den Wettbewerb zwischen den Wirtschaftsteilnehmern in der Union zu verfälschen, was den vom Unionsgesetzgeber u. a. in den Erwägungsgründen 9 und 13 der DSGVO dargestellten Zielen zuwiderliefe. 75 Demnach ist festzustellen,

Art. 83DSGVO es nicht gestattet, eine Geldbuße wegen eines in Art.

83 Abs. 4 bis 6 genannten Verstoßes zu verhängen, ohne

nachgewiesen ist,

dieser Verstoß von dem Verantwortlichen vorsätzlich oder fahrlässig begangen wurde. Folglich ist Voraussetzung für die Verhängung einer solchen Geldbuße,

der Verstoß schuldhaft begangen wurde.75 Demnach ist festzustellen,

Artikel 83

, DSGVO es nicht gestattet, eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 genannten Verstoßes zu verhängen, ohne

nachgewiesen ist,

dieser Verstoß von dem Verantwortlichen vorsätzlich oder fahrlässig begangen wurde. Folglich ist Voraussetzung für die Verhängung einer solchen Geldbuße,

der Verstoß schuldhaft begangen wurde. 76 Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Art. 83 DSGVO geahndet werden kann, noch klarzustellen,

ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war,

es gegen die Vorschriften der DSGVO verstößt (vgl. entsprechend Urteile vom

1. Juni 2013, Schenker & Co. u. a., C‑681/11, EU:C:2013:404, Rn. 37 und die dort angeführte Rechtsprechung, vom
2. März 2021, Lundbeck/Kommission, C‑591/16 P, EU:C:2021:243, Rn. 156, und vom
3. März 2021, Arrow Group und Arrow Generics/Kommission, C‑601/16 P, EU:C:2021:244, Rn. 97).76 Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Artikel 83, DSGVO geahndet werden kann, noch klarzustellen,

ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war,

es gegen die Vorschriften der DSGVO verstößt vergleiche entsprechend Urteile vom

1. Juni 2013, Schenker & Co. u. a., C‑681/11, EU:C:2013:404, Rn. 37 und die dort angeführte Rechtsprechung, vom
2. März 2021, Lundbeck/Kommission, C‑591/16 P, EU:C:2021:243, Rn. 156, und vom
3. März 2021, Arrow Group und Arrow Generics/Kommission, C‑601/16 P, EU:C:2021:244, Rn. 97). … 78 Nach alledem ist auf die zweite Frage zu antworten,

Art. 83

DSGVO dahin auszulegen ist,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“78 Nach alledem ist auf die zweite Frage zu antworten,

Artikel 83

, DSGVO dahin auszulegen ist,

nach dieser Bestimmung eine Geldbuße nur dann verhängt werden darf, wenn nachgewiesen ist,

der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat.“ II.3.

1. Zum Verhältnis zwischen Unionsrecht und innerstaatlichem Recht:römisch zwei.3.
2. Zum Verhältnis zwischen Unionsrecht und innerstaatlichem Recht: II.3.4.
3. Wenn die Beschwerdeführerin im Rahmen ihres Beschwerdevorbringens, unter Verweis auf § 11 DSG, § 34a VStG und Art. 18 B-VG, zusammengefasst die Rechtsansicht vertritt,

für die mit dem angefochtenen Straferkenntnis verfolgten – und von der Beschwerdeführerin dem Grunde nach in zwei von drei Spruchpunkten eingeräumten – Verstößen von der belangten Behörde keine Geldbuße zu verhängen, sondern vielmehr mit einer Verwarnung das Auslangen gefunden werden hätte sollen, war dem aus Sicht des erkennenden Senates bereits im Lichte der unmittelbar anwendbaren Vorgaben der Art. 58 und 83 DSGVO – sowie der hierzu einschlägigen Rechtsprechung des EuGH vom 05.12.2023 – nicht zu folgen.römisch zwei.3.4.1. Wenn die Beschwerdeführerin im Rahmen ihres Beschwerdevorbringens, unter Verweis auf Paragraph 11, DSG, Paragraph 34 a, VStG und Artikel 18, B-VG, zusammengefasst die Rechtsansicht vertritt,

für die mit dem angefochtenen Straferkenntnis verfolgten – und von der Beschwerdeführerin dem Grunde nach in zwei von drei Spruchpunkten eingeräumten – Verstößen von der belangten Behörde keine Geldbuße zu verhängen, sondern vielmehr mit einer Verwarnung das Auslangen gefunden werden hätte sollen, war dem aus Sicht des erkennenden Senates bereits im Lichte der unmittelbar anwendbaren Vorgaben der Artikel 58 und 83 DSGVO – sowie der hierzu einschlägigen Rechtsprechung des EuGH vom 05.12.2023 – nicht zu folgen. II.3.4.2. Wie vom EuGH in dessen Urteil vom 05.12.2023 zu C-807/21 klar und eindeutig zum Ausdruck gebracht, gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht, wobei diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO genau festgelegt sind (vgl. erneut C-807/21, Rz. 45, 48 und 65). Nach Art. 288 Abs. 2 AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, sodass es, sofern nichts anderes bestimmt ist, ausgeschlossen ist,

die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU‑Vertrag obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln (vgl. erneut EuGH, C-807/21, Rz. 52).römisch zwei.3.4.2. Wie vom EuGH in dessen Urteil vom 05.12.2023 zu C-807/21 klar und eindeutig zum Ausdruck gebracht, gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht, wobei diese Voraussetzungen in Artikel 83, Absatz eins bis 6 DSGVO genau festgelegt sind vergleiche erneut C-807/21, Rz. 45, 48 und 65). Nach Artikel 288, Absatz 2, AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, sodass es, sofern nichts anderes bestimmt ist, ausgeschlossen ist,

die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU‑Vertrag obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln vergleiche erneut EuGH, C-807/21, Rz. 52). II.3.4.3. Hieraus folgt aber,

im Anwendungsbereich der DSGVO, kein Raum für die Anwendung der Bestimmungen nach § 11 DSG („Verwarnung durch die Datenschutzbehörde“) und § 33a VStG („Beraten“) verbleibt, da diese Bestimmungen darauf abzielen, der Datenschutzbehörde zusätzliche Vorgaben hinsichtlich deren Ermessensausübung in Bezug auf die von Art. 58 DSGVO eingeräumten Abhilfebefugnisse aufzugeben. Wenn § 11 DSG unmissverständlich vorgibt, „[i]nsbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art. 58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“, ist diese Bestimmung jedenfalls unvereinbar mit Art. 83 Abs. 2 bis 6 in Verbindung mit Art. 58 Abs. 2 lit. i DSGVO, da diese darauf abzielt, das Ermessen der Datenschutzbehörde, weg von der Verhängung einer Geldbuße im Sinn von Art. 58 Abs. 2 lit. i DSGVO, hin zur Erteilung einer Verwarnung im Sinne von Art. 58 Abs. 2 lit. b DSGVO, zu determinieren.römisch zwei.3.4.3. Hieraus folgt aber,

im Anwendungsbereich der DSGVO, kein Raum für die Anwendung der Bestimmungen nach Paragraph 11, DSG („Verwarnung durch die Datenschutzbehörde“) und Paragraph 33 a, VStG („Beraten“) verbleibt, da diese Bestimmungen darauf abzielen, der Datenschutzbehörde zusätzliche Vorgaben hinsichtlich deren Ermessensausübung in Bezug auf die von Artikel 58, DSGVO eingeräumten Abhilfebefugnisse aufzugeben. Wenn Paragraph 11, DSG unmissverständlich vorgibt, „[i]nsbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Artikel 58, DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“, ist diese Bestimmung jedenfalls unvereinbar mit Artikel 83, Absatz 2 bis 6 in Verbindung mit Artikel 58, Absatz 2, Litera i, DSGVO, da diese darauf abzielt, das Ermessen der Datenschutzbehörde, weg von der Verhängung einer Geldbuße im Sinn von Artikel 58, Absatz 2, Litera i, DSGVO, hin zur Erteilung einer Verwarnung im Sinne von Artikel 58, Absatz 2, Litera b, DSGVO, zu determinieren. II.3.4.4. An dieser Stelle ist im Sinne der rezenten Rechtsprechung des EuGH zu Art. 83 DSGVO mit Blick auf das Verwaltungsstrafgesetz (VStG) zu bemerken,

die Tatsache, wonach die DSGVO den Mitgliedstaaten die Möglichkeit einräumt, Anforderungen an das von den Aufsichtsbehörden anzuwendende Verfahren bei der Verhängung einer Geldbuße vorzusehen, keineswegs bedeutet,

sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Art. 83 Abs. 1 bis 6 DSGVO geregelten hinzutreten. Des Weiteren wird durch den Umstand,

der Unionsgesetzgeber eigens und ausdrücklich diese Möglichkeit vorgesehen hat, aber nicht diejenige, solche zusätzlichen materiellen Voraussetzungen festzulegen, bestätigt,

er den Mitgliedstaaten insoweit keinen Ermessensspielraum gelassen hat. Für diese materiellen Voraussetzungen gilt daher ausschließlich das Unionsrecht (vgl. erneut EuGH vom 05.12.2023, C-807, Rz. 46, 48). Vor diesem Hintergrund verbleibt auch für die Bestimmungen in § 5 VStG („Schuld“), das Verschulden des Verantwortlichen ist ausschließlich anhand der Bestimmungen des Art. 83 Abs. 1 und Abs. 2 DSGVO zu beurteilen, § 7 VStG („Anstiftung und Beihilfe“), eine Form der Beitragstäterschaft ist von Art. 83 DSGVO nicht vorgesehen und mit der Regelungssystematik von Art. 83 DSGVO nicht in Einklang zu bringen, § 9 VStG („Besondere Fälle der Verantwortlichkeit“), die Strafbarkeit juristischer Personen und eingetragener Personengesellschaften richtet sich ausschließlich nach der Systematik des Art. 4 Z 7 iVm Art. 83 DSGVO und kann deren Haftung nicht auf zur Vertretung nach außen Berufene oder auf einen verantwortlichen Beauftragten überwälzt werden, § 19 VStG („Strafbemessung“), die Bemessung der Geldbuße erfolgt ausschließlich anhand der von Art. 83 Abs. 1 bis 6 DSGVO normierten Kriterien, § 20 VStG („Außerordentliche Milderung der Strafe“), die Erschwernis- und Milderungsgründe ergeben sich abschließend aus Art. 83 Abs. 2 DSGVO, § 22 Abs. 2 VStG („Zusammentreffen von strafbaren Handlungen“), Art. 83 Abs. 3 DSGVO regelt das Zusammentreffen mehrerer Verstöße abschließend, im Anwendungsbereich der DSGVO kein Raum und haben daher unangewendet zu bleiben (vgl. EuGH vom 05.12.2023, C-683/21, Rz 70). römisch zwei.3.4.4. An dieser Stelle ist im Sinne der rezenten Rechtsprechung des EuGH zu Artikel 83, DSGVO mit Blick auf das Verwaltungsstrafgesetz (VStG) zu bemerken,

die Tatsache, wonach die DSGVO den Mitgliedstaaten die Möglichkeit einräumt, Anforderungen an das von den Aufsichtsbehörden anzuwendende Verfahren bei der Verhängung einer Geldbuße vorzusehen, keineswegs bedeutet,

sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Artikel 83, Absatz eins bis 6 DSGVO geregelten hinzutreten. Des Weiteren wird durch den Umstand,

der Unionsgesetzgeber eigens und ausdrücklich diese Möglichkeit vorgesehen hat, aber nicht diejenige, solche zusätzlichen materiellen Voraussetzungen festzulegen, bestätigt,

er den Mitgliedstaaten insoweit keinen Ermessensspielraum gelassen hat. Für diese materiellen Voraussetzungen gilt daher ausschließlich das Unionsrecht vergleiche erneut EuGH vom 05.12.2023, C-807, Rz. 46, 48). Vor diesem Hintergrund verbleibt auch für die Bestimmungen in Paragraph 5, VStG („Schuld“), das Verschulden des Verantwortlichen ist ausschließlich anhand der Bestimmungen des Artikel 83, Absatz eins und Absatz 2, DSGVO zu beurteilen, Paragraph 7, VStG („Anstiftung und Beihilfe“), eine Form der Beitragstäterschaft ist von Artikel 83, DSGVO nicht vorgesehen und mit der Regelungssystematik von Artikel 83, DSGVO nicht in Einklang zu bringen, Paragraph 9, VStG („Besondere Fälle der Verantwortlichkeit“), die Strafbarkeit juristischer Personen und eingetragener Personengesellschaften richtet sich ausschließlich nach der Systematik des Artikel 4, Ziffer 7, in Verbindung mit Artikel 83, DSGVO und kann deren Haftung nicht auf zur Vertretung nach außen Berufene oder auf einen verantwortlichen Beauftragten überwälzt werden, Paragraph 19, VStG („Strafbemessung“), die Bemessung der Geldbuße erfolgt ausschließlich anhand der von Artikel 83, Absatz eins bis 6 DSGVO normierten Kriterien, Paragraph 20, VStG („Außerordentliche Milderung der Strafe“), die Erschwernis- und Milderungsgründe ergeben sich abschließend aus Artikel 83, Absatz 2, DSGVO, Paragraph 22, Absatz 2, VStG („Zusammentreffen von strafbaren Handlungen“), Artikel 83, Absatz 3, DSGVO regelt das Zusammentreffen mehrerer Verstöße abschließend, im Anwendungsbereich der DSGVO kein Raum und haben daher unangewendet zu bleiben vergleiche EuGH vom 05.12.2023, C-683/21, Rz 70). II.3.

1. Zur Anfechtung von Spruchpunkt III dem Grunde nach:römisch zwei.3.
2. Zur Anfechtung von Spruchpunkt römisch drei dem Grunde nach: II.3.5.
3. Die Beschwerdeführerin richtet sich mit ihrer Beschwerde in Bezug auf Spruchpunkt III. des angefochtenen Bescheides nicht nur gegen die Strafhöhe, sondern auch gegen die rechtliche Feststellung des Verstoßes gegen die Verpflichtungen aus Art. 33 DSGVO dem Grunde nach. Hierzu im Einzelnen:römisch zwei.3.5.
4. Die Beschwerdeführerin richtet sich mit ihrer Beschwerde in Bezug auf Spruchpunkt römisch drei. des angefochtenen Bescheides nicht nur gegen die Strafhöhe, sondern auch gegen die rechtliche Feststellung des Verstoßes gegen die Verpflichtungen aus Artikel 33, DSGVO dem Grunde nach. Hierzu im Einzelnen: II.3.5.
5. Mit Spruchpunkt III. des hier angefochtenen Straferkenntnisses hat die belangte Behörde ausgesprochen, die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche im Zeitraum vom 05.04.2023 bis 22.06.2023 innerhalb des Bundesgebietes Österreich gegen ihre Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Datenschutzbehörde gemäß Art. 33 Abs. 1 DSGVO verstoßen, indem sie die unter Spruchpunkt I. dargestellte Verletzung des Schutzes der personenbezogenen Daten der Betroffenen durch die unbefugte Offenlegung deren (Gesundheits- )Daten gegenüber Dritten nicht unverzüglich und möglichst binnen 72 Stunden, nachdem diese Verletzung der Beschwerdeführerin bekannt wurde, der Datenschutzbehörde gemeldet habe. römisch zwei.3.5.
6. Mit Spruchpunkt römisch drei. des hier angefochtenen Straferkenntnisses hat die belangte Behörde ausgesprochen, die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche im Zeitraum vom 05.04.2023 bis 22.06.2023 innerhalb des Bundesgebietes Österreich gegen ihre Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Datenschutzbehörde gemäß Artikel 33, Absatz eins, DSGVO verstoßen, indem sie die unter Spruchpunkt römisch eins. dargestellte Verletzung des Schutzes der personenbezogenen Daten der Betroffenen durch die unbefugte Offenlegung deren (Gesundheits- )Daten gegenüber Dritten nicht unverzüglich und möglichst binnen 72 Stunden, nachdem diese Verletzung der Beschwerdeführerin bekannt wurde, der Datenschutzbehörde gemeldet habe. II.3.5.
7. Zwar räumt die Beschwerdeführerin – zuletzt auch in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht – ein, zu keinem Zeitpunkt eine Meldung nach Art. 33 DSGVO an die Datenschutzbehörde betreffend die gegenständliche Offenlegung im Zuge der Terminerinnerung vom 05.04.2023 erstattet zu haben, eigenen Aussagen zufolge waren ihr allfällige diesbezügliche Pflichten aus der DSGVO auch gar nicht bekannt. Die Beschwerdeführerin vertritt diesbezüglich einerseits die Rechtsansicht,

eine derartige Meldung – auch nach Inanspruchnahme rechtsanwaltlicher Beratung – als nicht (mehr) erforderlich und zweckmäßig erachtet worden sei, da die belangte Behörde vom Vorfall ohnehin bereits – wenn auch von dritter Seite – in Kenntnis gesetzt worden sei und die Beschwerdeführerin mit Schreiben vom 05.06.2023 zur Stellungnahme im Rahmen eines behördlichen Prüfverfahrens aufgefordert hatte; andererseits bestehe aus Sicht der Beschwerdeführerin die Verpflichtung zur Meldung nach Art. 33 Abs. 1 DSGVO – in Zusammenschau mit dem

1. Erwägungsgrund – „nur in Fällen, in welchen – aus dem Blickwinkel der Verantwortlichen betrachtet, also soweit für diese voraussichtlich erkennbar und abschätzbar“, die Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; es sei zusammengefasst fraglich, ob durch die fallgegenständliche, versehentliche, einmalige Offenlegung von Telefonnummern im Zuge der Terminerinnerungsnachricht ein im Sinne der Vorgaben des Art. 33 DSGVO relevantes Risiko ausgegangen sei. römisch zwei.3.5.
2. Zwar räumt die Beschwerdeführerin – zuletzt auch in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht – ein, zu keinem Zeitpunkt eine Meldung nach Artikel 33, DSGVO an die Datenschutzbehörde betreffend die gegenständliche Offenlegung im Zuge der Terminerinnerung vom 05.04.2023 erstattet zu haben, eigenen Aussagen zufolge waren ihr allfällige diesbezügliche Pflichten aus der DSGVO auch gar nicht bekannt. Die Beschwerdeführerin vertritt diesbezüglich einerseits die Rechtsansicht,

eine derartige Meldung – auch nach Inanspruchnahme rechtsanwaltlicher Beratung – als nicht (mehr) erforderlich und zweckmäßig erachtet worden sei, da die belangte Behörde vom Vorfall ohnehin bereits – wenn auch von dritter Seite – in Kenntnis gesetzt worden sei und die Beschwerdeführerin mit Schreiben vom 05.06.2023 zur Stellungnahme im Rahmen eines behördlichen Prüfverfahrens aufgefordert hatte; andererseits bestehe aus Sicht der Beschwerdeführerin die Verpflichtung zur Meldung nach Artikel 33, Absatz eins, DSGVO – in Zusammenschau mit dem

1. Erwägungsgrund – „nur in Fällen, in welchen – aus dem Blickwinkel der Verantwortlichen betrachtet, also soweit für diese voraussichtlich erkennbar und abschätzbar“, die Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; es sei zusammengefasst fraglich, ob durch die fallgegenständliche, versehentliche, einmalige Offenlegung von Telefonnummern im Zuge der Terminerinnerungsnachricht ein im Sinne der Vorgaben des Artikel 33, DSGVO relevantes Risiko ausgegangen sei. Dem diesbezüglichen Rechtsstandpunkt der Beschwerdeführerin war aus den nachfolgenden Gründen nicht zu folgen: II.3.5.
2. Wie festgestellt, hat die Ordinationsassistentin der Beschwerdeführerin am 05.04.2023 die inkriminierte Text-Nachricht zur Erinnerung an Termine für den 06.04.2023, dies in Form einer Gruppentextnachricht an insgesamt 27 Personen als Empfänger versandt, wobei es sich bei den Empfängern um Patienten der Ordination der Beschwerdeführerin handelte. Die Telefonnummern der einzelnen Empfänger stellen jedenfalls personenbezogene Daten der Empfänger im Sinne von Art. 4 Z 1 DSGVO dar, ebenso der aus dem Kontext der Nachricht hervorgehende Umstand,

die Empfänger das Dienstleistungsangebot der Beschwerdeführerin als Fachärztin für Psychiatrie bzw. als Psychotherapeutin in Anspruch nehmen. Letztere Informationen sind zudem als „Gesundheitsdaten“ im Sinne von Art. 4 Z 15 DSGVO zu qualifizieren, da aus dem Gesamtkontext der Nachricht zumindest indirekt ableitbar ist,

sich die Empfänger aufgrund einer psychischen Erkrankung in Behandlung befinden (vgl. EuGH vom 01.08.2022, C-184/20, Rz 125 ff). Die gesamte Vorgangsreihe von der Erstellung der Gruppen-Textnachricht auf dem Mobiltelefon der Ordination bis zum Versand der Nachricht stellt eine Verarbeitung im Sinne von Art. 4 Z 2 DSGVO in Form der Verwendung und Offenlegung durch Übermittlung dar. Wie festgestellt, hat die Beschwerdeführerin als Inhaberin der Ordination ihre Ordinationsassistentin angewiesen, die Textnachrichten zur Terminerinnerung mit dem Praxis-Telefon zu versenden, wodurch die Beschwerdeführerin als Verantwortliche im Sinne von Art. 4 Z 7 DSGVO für den gesamten Vorgang anzusehen ist, da sie aus Eigeninteresse auf die Verarbeitung der in Rede stehenden (Gesundheits-)Daten Einfluss genommen hat und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitgewirkt hat. Hierbei ist es nicht erforderlich,

über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens der Verantwortlichen – hier: seitens der Beschwerdeführerin gegenüber deren Ordinationsgehilfen – entschieden wurde (vgl. EuGH vom 05.12.2023, C-683/21, Rz 30 ff).römisch zwei.3.5.4. Wie festgestellt, hat die Ordinationsassistentin der Beschwerdeführerin am 05.04.2023 die inkriminierte Text-Nachricht zur Erinnerung an Termine für den 06.04.2023, dies in Form einer Gruppentextnachricht an insgesamt 27 Personen als Empfänger versandt, wobei es sich bei den Empfängern um Patienten der Ordination der Beschwerdeführerin handelte. Die Telefonnummern der einzelnen Empfänger stellen jedenfalls personenbezogene Daten der Empfänger im Sinne von Artikel 4, Ziffer eins, DSGVO dar, ebenso der aus dem Kontext der Nachricht hervorgehende Umstand,

die Empfänger das Dienstleistungsangebot der Beschwerdeführerin als Fachärztin für Psychiatrie bzw. als Psychotherapeutin in Anspruch nehmen. Letztere Informationen sind zudem als „Gesundheitsdaten“ im Sinne von Artikel 4, Ziffer 15, DSGVO zu qualifizieren, da aus dem Gesamtkontext der Nachricht zumindest indirekt ableitbar ist,

sich die Empfänger aufgrund einer psychischen Erkrankung in Behandlung befinden vergleiche EuGH vom 01.08.2022, C-184/20, Rz 125 ff). Die gesamte Vorgangsreihe von der Erstellung der Gruppen-Textnachricht auf dem Mobiltelefon der Ordination bis zum Versand der Nachricht stellt eine Verarbeitung im Sinne von Artikel 4, Ziffer 2, DSGVO in Form der Verwendung und Offenlegung durch Übermittlung dar. Wie festgestellt, hat die Beschwerdeführerin als Inhaberin der Ordination ihre Ordinationsassistentin angewiesen, die Textnachrichten zur Terminerinnerung mit dem Praxis-Telefon zu versenden, wodurch die Beschwerdeführerin als Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO für den gesamten Vorgang anzusehen ist, da sie aus Eigeninteresse auf die Verarbeitung der in Rede stehenden (Gesundheits-)Daten Einfluss genommen hat und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitgewirkt hat. Hierbei ist es nicht erforderlich,

über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens der Verantwortlichen – hier: seitens der Beschwerdeführerin gegenüber deren Ordinationsgehilfen – entschieden wurde vergleiche EuGH vom 05.12.2023, C-683/21, Rz 30 ff). II.3.5.

1. Die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten richten sich insbesondere an „Verantwortliche“. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im
2. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können,

ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen (vgl. erneut EuGH vom 05.12.2023, C-807/21, Rz 38). römisch zwei.3.5.

1. Die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten richten sich insbesondere an „Verantwortliche“. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im
2. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können,

ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Artikel 83, DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen vergleiche erneut EuGH vom 05.12.2023, C-807/21, Rz 38). II.3.5.6. Bereits aus dem klaren und eindeutigen Wortlaut des Art. 33 Abs. 1 DSGVO ergibt sich die Verpflichtung des Verantwortlichen, im Falle der Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der Datenschutzbehörde unter Einhaltung der inhaltlichen Vorgaben des Art. 33 Abs. 3 DSGVO zu melden, es sei denn,

die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Dieser objektiven Verpflichtung ist die Beschwerdeführerin als für sämtliche Datenverarbeitungsvorgänge, die im Zusammenhang mit deren Tätigkeit als niedergelassene Fachärztin stehen, Verantwortliche im Sinne von Art. 4 Z 7 DSGVO nicht nachgekommen. Dies bereits deshalb nicht, da sie von den Vorgaben der DSGVO im Allgemeinen, und der Pflicht zur Meldung von Sicherheitsvorfällen gemäß Art. 33 DSGVO, im Besonderen, keinerlei Kenntnis hatte. römisch zwei.3.5.6. Bereits aus dem klaren und eindeutigen Wortlaut des Artikel 33, Absatz eins, DSGVO ergibt sich die Verpflichtung des Verantwortlichen, im Falle der Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der Datenschutzbehörde unter Einhaltung der inhaltlichen Vorgaben des Artikel 33, Absatz 3, DSGVO zu melden, es sei denn,

die Verletzung des Schutzes personenbezogener Daten voraussi