RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum07.06.2024 GeschäftszahlW256 2246230-1 Spruch, W256 2246230-1/49E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

Artikel 6

, Absatz eins,

Artikel 83

, Absatz 5, Litera a, DSGVO Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt: Geldstrafe von gemäß Euro 500.000 (in Worten: Art. 83 Abs. 5 lit. a DSGVOEuro 500.000 (in Worten: Artikel 83, Absatz 5, Litera a, DSGVO Fünfhunderttausend Euro) Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:Ferner haben Sie gemäß Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: Euro 50.000 als Beitrag zu den Kosten des Strafverfahrens, das sind 10 % der Strafe. Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher Euro 550.000 (in Worten: fünfhundertfünfzigtausend Euro).“ III. Die Beschwerdeführerin hat gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen. römisch drei. Die Beschwerdeführerin hat gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen. B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig. B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig. , TextEntscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: zum Vorverfahren: Mit Schreiben vom

1. September 2019 brachte die belangte Behörde der Beschwerdeführerin zur Kenntnis, dass sie ein zur Zahl D213.895/0003 protokolliertes amtswegiges Prüfverfahren gegen sie einleite und wurde die Beschwerdeführerin zur Beantwortung eines Fragenkatalogs aufgefordert. Dieser Aufforderung ist die Beschwerdeführerin mit Schreiben vom
2. September 2019 und vom
3. Oktober 2019 unter gleichzeitiger Vorlage diverser Unterlagen nachgekommen. Mit dem Bescheid vom
4. Oktober 2019, GZ: DSB-D213.895/0003-DSB/2019 (im Folgenden: Ausgangsbescheid) entschied die belangte Behörde im amtswegigen Prüfverfahren gegen die Beschwerdeführerin wie folgt: „
5. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profiling durch die XXXX GmbH mit dem Wortlaut „
6. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass das Ersuchen um Einwilligung zur Verarbeitung von personenbezogenen Daten von den am „ römisch 40 “ registrierten betroffenen Personen zum Zweck des Profiling durch die römisch 40 GmbH mit dem Wortlaut „Einwilligungserklärung: Ich erkläre mich [..] damit einverstanden, dass die XXXX GmbH sowie die XXXX Partner, bei denen ich meine XXXX Karte verwendet habe,

Artikel 83, Absatz 5, Litera a und Litera b, DSGVO“ Am 26.

Februar 2020 wurden die beiden Geschäftsführer der Beschwerdeführerin von der belangten Behörde einvernommen. Dabei wurde der bereits im Ladungsbescheid genannte Vorwurf von der belangten Behörde wiederholt. In ihrer Stellungnahme vom

1. Mai 2020 führte die Beschwerdeführerin zusammengefasst im Wesentlichen aus, Alleingesellschafterin der Beschwerdeführerin sei zwar die XXXX m.b.H. und Alleingesellschafterin dieser wiederum die XXXX AG. Die Beschwerdeführerin sei aber in Zusammenhang mit den Datenverarbeitungen zum XXXX datenschutzrechtlicher Sicht allein verantwortlich. Die XXXX AG habe in der Vergangenheit Überlegungen zur Einrichtung eines unternehmensübergreifenden Kundenbindungsprogramms angestellt und im Jahr 2016 die strategische Entscheidung getroffen, nicht dem Multipartner-Kundenbindungsprogramm XXXX beizutreten, sondern in der XXXX -Gruppe selbst ein solches Multipartner- Kundenbindungsprogramm aufzubauen. Zu diesem Zweck sei in der XXXX -Gruppe unter der Leitung des zuständigen Vorstandsmitglieds der XXXX AG ein Projektteam eingerichtet worden, das die wesentlichen Grundzüge der Ausgestaltung dieses Kundenbindungsprogramms entwickelt habe. Während dieser Konzeptionsphase hätten mit dem Vorstandsmitglied 14-tägige Projektsteuerkreise stattgefunden und dabei seien auch bereits datenschutzrechtliche Überlegungen zur Realisierung eines solchen Programms angestellt worden. Zu diesem Zweck habe auch noch auf der Grundlage der Rechtslage vor Inkrafttreten der DSGVO die Anmeldung eines Informationsverbundsystems bei der DSB stattgefunden. Gegen Ende des Jahres 2017 sei die Konzeptionsphase beendet worden, weil zu diesem Zeitpunkt die Eckpunkte des Programms festgestanden seien. Damit hätten auch die Projektsteuerkreistermine mit dem Vorstandsmitglied geendet. Die Umsetzung des Programms sei in die Hände der Beschwerdeführerin und damit in jene ihrer Geschäftsführer gelegt worden. Zu diesem Zweck sei im Dezember 2017 die Umfirmierung und Änderung des Unternehmensgegenstandes der Beschwerdeführerin sowie die Neubestellung ihrer Geschäftsführung erfolgt. Unter der alleinigen Verantwortung der Geschäftsführer der Beschwerdeführerin habe die Beschwerdeführerin die konkrete Umsetzung und Ausgestaltung des Kundenbindungsprogramms entwickelt. Die Beschwerdeführerin habe sich dafür externer und interner Berater bedient, das heiße Berater, die in einem Dienstverhältnis zu Unternehmen der XXXX -Gruppe stehen, und solche, bei denen dies nicht der Fall sei, insbesondere Rechtsanwälte. Zu den wesentlichen internen Beratern habe der Datenschutzbeauftragte und Leiter der XXXX -internen Datenschutzabteilung, XXXX , gehört. Dieser sei bei der XXXX m.b.H. angestellt. Unter einem legte die Beschwerdeführerin Screenshots bzw. Kopien der jeweiligen Anmeldestrecken sowie der (gleichgelagerten) Anmeldebroschüre des bereits genannten Kundenbindungsprogrammes XXXX vor und erstattete dazu ein näheres Vorbringen. Eine Anmeldung mittels Anmeldebroschüre sei seit
2. Februar 2020 nicht mehr möglich, wobei Profiling auf Basis der über die Papier-Flyer und die Webseite abgegebenen Einwilligungserklärungen nach wie vor durchgeführt werde. Es seien mit Stand
3. Februar 2020 682.071 Registrierungen mittels Webseite (davon hätten 574.232 Personen ihre Einwilligung zum Zweck der personalisierten Ansprache erteilt) sowie 1.948.181 mittels Anmeldebroschüre (davon hätten 1.710.789 Personen ihre Einwilligung zum Zweck der personalisierten Ansprache erteilt) erfolgt. Zusätzlich führte die Beschwerdeführerin aus, dass die drei Online-Anmeldeprozesse sehr ähnlich aufgebaut seien, weshalb die belangte Behörde in der Beschwerdevorentscheidung zu Recht zur Ansicht gelangt sei, dass die Einwilligung zum Profiling über die XXXX App und den XXXX rechtmäßig sei. Die Einwilligung zum Profiling bei der Anmeldung zum XXXX über die XXXX App oder den XXXX unterscheide sich aber inhaltlich nicht von der Webseite und der Anmeldebroschüre. Aus diesem Grund sei nicht nachvollziehbar, weshalb die belangte Behörde im Ladungsbescheid in Punkt 1) davon ausgehe, dass das Ersuchen um Einwilligung bei den Anmeldearten „Webseite“ und „Anmeldebroschüre“ nicht den Anforderungen an eine Einwilligung gemäß Art. 4 Z 11 DSGVO entspreche. Im Übrigen könne die Beschwerdeführerin aus näheren Gründen auf die alternativen Rechtsgrundlagen des Art. 6 Abs. 1 lit. f und Art. 6 Abs. 4 DSGVO zurückgreifen. Davon abgesehen fehle es für eine Bestrafung aber ohnedies schon an dem erforderlichen Verschulden. Die Beschwerdeführerin habe sich im Vorfeld umfassend und intensiv mit der Ausgestaltung des Anmeldeprozesses auseinandergesetzt und zwar intern und auch extern durch Rechtsanwälte. In ihrer Stellungnahme vom
4. Mai 2020 führte die Beschwerdeführerin zusammengefasst im Wesentlichen aus, Alleingesellschafterin der Beschwerdeführerin sei zwar die römisch 40 m.b.H. und Alleingesellschafterin dieser wiederum die römisch 40 AG. Die Beschwerdeführerin sei aber in Zusammenhang mit den Datenverarbeitungen zum römisch 40 datenschutzrechtlicher Sicht allein verantwortlich. Die römisch 40 AG habe in der Vergangenheit Überlegungen zur Einrichtung eines unternehmensübergreifenden Kundenbindungsprogramms angestellt und im Jahr 2016 die strategische Entscheidung getroffen, nicht dem Multipartner-Kundenbindungsprogramm römisch 40 beizutreten, sondern in der römisch 40 -Gruppe selbst ein solches Multipartner- Kundenbindungsprogramm aufzubauen. Zu diesem Zweck sei in der römisch 40 -Gruppe unter der Leitung des zuständigen Vorstandsmitglieds der römisch 40 AG ein Projektteam eingerichtet worden, das die wesentlichen Grundzüge der Ausgestaltung dieses Kundenbindungsprogramms entwickelt habe. Während dieser Konzeptionsphase hätten mit dem Vorstandsmitglied 14-tägige Projektsteuerkreise stattgefunden und dabei seien auch bereits datenschutzrechtliche Überlegungen zur Realisierung eines solchen Programms angestellt worden. Zu diesem Zweck habe auch noch auf der Grundlage der Rechtslage vor Inkrafttreten der DSGVO die Anmeldung eines Informationsverbundsystems bei der DSB stattgefunden. Gegen Ende des Jahres 2017 sei die Konzeptionsphase beendet worden, weil zu diesem Zeitpunkt die Eckpunkte des Programms festgestanden seien. Damit hätten auch die Projektsteuerkreistermine mit dem Vorstandsmitglied geendet. Die Umsetzung des Programms sei in die Hände der Beschwerdeführerin und damit in jene ihrer Geschäftsführer gelegt worden. Zu diesem Zweck sei im Dezember 2017 die Umfirmierung und Änderung des Unternehmensgegenstandes der Beschwerdeführerin sowie die Neubestellung ihrer Geschäftsführung erfolgt. Unter der alleinigen Verantwortung der Geschäftsführer der Beschwerdeführerin habe die Beschwerdeführerin die konkrete Umsetzung und Ausgestaltung des Kundenbindungsprogramms entwickelt. Die Beschwerdeführerin habe sich dafür externer und interner Berater bedient, das heiße Berater, die in einem Dienstverhältnis zu Unternehmen der römisch 40 -Gruppe stehen, und solche, bei denen dies nicht der Fall sei, insbesondere Rechtsanwälte. Zu den wesentlichen internen Beratern habe der Datenschutzbeauftragte und Leiter der römisch 40 -internen Datenschutzabteilung, römisch 40 , gehört. Dieser sei bei der römisch 40 m.b.H. angestellt. Unter einem legte die Beschwerdeführerin Screenshots bzw. Kopien der jeweiligen Anmeldestrecken sowie der (gleichgelagerten) Anmeldebroschüre des bereits genannten Kundenbindungsprogrammes römisch 40 vor und erstattete dazu ein näheres Vorbringen. Eine Anmeldung mittels Anmeldebroschüre sei seit
5. Februar 2020 nicht mehr möglich, wobei Profiling auf Basis der über die Papier-Flyer und die Webseite abgegebenen Einwilligungserklärungen nach wie vor durchgeführt werde. Es seien mit Stand
6. Februar 2020 682.071 Registrierungen mittels Webseite (davon hätten 574.232 Personen ihre Einwilligung zum Zweck der personalisierten Ansprache erteilt) sowie 1.948.181 mittels Anmeldebroschüre (davon hätten 1.710.789 Personen ihre Einwilligung zum Zweck der personalisierten Ansprache erteilt) erfolgt. Zusätzlich führte die Beschwerdeführerin aus, dass die drei Online-Anmeldeprozesse sehr ähnlich aufgebaut seien, weshalb die belangte Behörde in der Beschwerdevorentscheidung zu Recht zur Ansicht gelangt sei, dass die Einwilligung zum Profiling über die römisch 40 App und den römisch 40 rechtmäßig sei. Die Einwilligung zum Profiling bei der Anmeldung zum römisch 40 über die römisch 40 App oder den römisch 40 unterscheide sich aber inhaltlich nicht von der Webseite und der Anmeldebroschüre. Aus diesem Grund sei nicht nachvollziehbar, weshalb die belangte Behörde im Ladungsbescheid in Punkt 1) davon ausgehe, dass das Ersuchen um Einwilligung bei den Anmeldearten „Webseite“ und „Anmeldebroschüre“ nicht den Anforderungen an eine Einwilligung gemäß Artikel 4, Ziffer 11, DSGVO entspreche. Im Übrigen könne die Beschwerdeführerin aus näheren Gründen auf die alternativen Rechtsgrundlagen des Artikel 6, Absatz eins, Litera f und Artikel 6, Absatz 4, DSGVO zurückgreifen. Davon abgesehen fehle es für eine Bestrafung aber ohnedies schon an dem erforderlichen Verschulden. Die Beschwerdeführerin habe sich im Vorfeld umfassend und intensiv mit der Ausgestaltung des Anmeldeprozesses auseinandergesetzt und zwar intern und auch extern durch Rechtsanwälte. Am
7. Juli 2020 übermittelte die belangte Behörde der Beschwerdeführerin eine Aufforderung zur Rechtfertigung, mit welcher ihr – soweit hier wesentlich – erneut der mit dem Ladungsbescheid dargelegte Tatvorwurf vorgehalten wurde. Ergänzend wurde ihr darin u.a. mitgeteilt, dass der Tatvorwurf aufgrund der Rechtsprechung des Verwaltungsgerichtshofes dahingehend ergänzt werde, dass die Geschäftsführer der Beschwerdeführerin die vorgeworfenen Verwaltungsübertretungen aufgrund von mangelnder Kontrolle und Überwachung zu verantworten hätten. Dies insbesondere dadurch, dass die Geschäftsführer die Einhaltung der datenschutzrechtlichen Bestimmungen im Zusammenhang mit dem operativen Betrieb des Kundenbindungsprogrammes, im Besonderen in Bezug auf die rechtliche Ausgestaltung der Einwilligungserklärungen und damit einhergehenden Informationsverpflichtungen, nicht in ausreichendem Maße sichergestellt hätten. Das rechtswidrige und schuldhafte Verhalten der genannten Personen werde dabei der XXXX GmbH als beschuldigten juristischen Person zugerechnet. Am
8. Juli 2020 übermittelte die belangte Behörde der Beschwerdeführerin eine Aufforderung zur Rechtfertigung, mit welcher ihr – soweit hier wesentlich – erneut der mit dem Ladungsbescheid dargelegte Tatvorwurf vorgehalten wurde. Ergänzend wurde ihr darin u.a. mitgeteilt, dass der Tatvorwurf aufgrund der Rechtsprechung des Verwaltungsgerichtshofes dahingehend ergänzt werde, dass die Geschäftsführer der Beschwerdeführerin die vorgeworfenen Verwaltungsübertretungen aufgrund von mangelnder Kontrolle und Überwachung zu verantworten hätten. Dies insbesondere dadurch, dass die Geschäftsführer die Einhaltung der datenschutzrechtlichen Bestimmungen im Zusammenhang mit dem operativen Betrieb des Kundenbindungsprogrammes, im Besonderen in Bezug auf die rechtliche Ausgestaltung der Einwilligungserklärungen und damit einhergehenden Informationsverpflichtungen, nicht in ausreichendem Maße sichergestellt hätten. Das rechtswidrige und schuldhafte Verhalten der genannten Personen werde dabei der römisch 40 GmbH als beschuldigten juristischen Person zugerechnet. Die Beschwerdeführerin erstattete am
9. September 2020 eine Rechtfertigung. Darin wiederholte sie im Wesentlichen ihr bisheriges Vorbringen. Ergänzend wurde vorgebracht, dass die Geschäftsführer der Beschwerdeführerin die eingeholten (rechtsanwaltlichen) Auskünfte zur Ausgestaltung der Einholung der Einwilligung über die einzelnen Kanäle sorgfältig geprüft hätten, um sicherzustellen, dass das Ersuchen um Einwilligung bei allen verwendeten Methoden den Anforderungen an eine wirksame Einwilligung nach Art. 4 Z 1 DSGVO genüge. Nachdem die eingeholten Informationen ergeben hätten, dass aufgrund des Anmeldeprozesses eine wirksame Einwilligung nach der genannten Gesetzesstelle jedenfalls vorliege, hätten die Geschäftsführer auf Grundlage vorgenannter überzeugender Auskünfte auf deren Richtigkeit derselben vertraut und sich für die in Rede stehende Ausgestaltung der einzelnen Methoden der Anmeldung entschieden. Die beiden Geschäftsführer hätten von Beginn an alle erforderlichen Schritte gesetzt, um die Datenverarbeitungsprozesse DSGVO-konform auszugestalten. Insbesondere hätten diese die Implementierung eines die gesamte Organisation und damit auch die Datenverarbeitungen des XXXX durchdringenden Compliance Management Systems veranlasst und hierfür die erforderlichen Erkundigungen bei Beratern bzw. Rechtsanwälten eingeholt. Auf Basis der übereinstimmenden Ergebnisse vorgenannter Erkundigungen hätten die Geschäftsführer die Entscheidungen hinsichtlich der Anmeldeprozesse getroffen. Es könne den Geschäftsführern bzw. der Beschwerdeführerin daher keine Außerachtlassung der gebotenen Sorgfalt vorgeworfen werden, selbst wenn eine andere Art der Kontrolle oder Überwachung zu einem anderen Ergebnis im Hinblick auf die Entscheidungen zum Anmeldeprozess auf der Webseite und dem Anmeldeformular geführt hätte. Die von der belangten Behörde bemängelten Entscheidungen seien das Ergebnis rechtlicher Wertungen zur Frage, ob eine Einwilligung rechtskonform erfolgt sei. Selbst die belangte Behörde habe im Prüfverfahren zunächst noch eine strengere Auslegung dieser Normen vertreten als im gegenständlichen Verwaltungsstrafverfahren in puncto Anmeldung per XXXX App und XXXX . Der Beschwerdeführerin bzw. den Geschäftsführern könnten vor diesem Hintergrund die angelasteten Verwaltungsübertretungen aufgrund von mangelnder Kontrolle und Überwachung in subjektiver Hinsicht nicht zugerechnet werden, zumal diese Auskünfte mehrerer Rechtsanwälte eingeholt hätten, welche zur Einschätzung gelangt seien, dass aufgrund des dargestellten und von ihnen beurteilten Anmeldeprozesses rechtswirksame Einwilligungen in das Profiling vorliegen würden. Die Geschäftsführer hätten ihre in Rede stehenden Entscheidungen im Vertrauen auf die übereinstimmenden Erkundigungen sowie unter sorgfältiger Abwägung dieser eingeholten Auskünfte getroffen. Dabei hätten die Geschäftsführer auch die mit den vorgenannten Auskünften übereinstimmenden Auskünfte des für die XXXX -Gruppe zuständigen Datenschutzbeauftragten eingeholt. Es handle sich dabei um richtige, jedenfalls vertretbare Rechtsansichten. Wäre die Auffassung der belangten Behörde richtig, würden Geschäftsführer trotz Vorhandensein von Compliance Management Systemen und trotz Vertrauen auf (externe) Rechtsauskünfte immer haften, wenn die belangte Behörde eine andere Rechtsansicht vertrete. Festzuhalten sei zudem, dass den Geschäftsführern bewusst gewesen sei, dass eine Datenverarbeitung auf eine Rechtsgrundlage gestützt werden müsse. Deshalb sei auch eine Einwilligung ausgearbeitet und von externen Rechtsanwälten geprüft worden. Der Umstand, dass die belangte Behörde sich der jedenfalls vertretbaren Rechtsansicht hinsichtlich der Einwilligung in den beiden eingangs genannten Anmeldemethoden „Webseite“ und „Anmeldeformular“ nicht anschließe, bedeute nicht, dass den Geschäftsführern die Außerachtlassung der gebotenen Sorgfalt aufgrund von mangelnder Kontrolle und Überwachung subjektiv vorgeworfen werden könne Ganz im Gegenteil seien die Geschäftsführer konkret durch die Einholung der zahlreichen Auskünfte und einer darauf beruhenden sorgfältigen Abwägung ihren Kontroll- und Überwachungspflichten ordnungsgemäß nachgekommen. Insbesondere sei hervorzuheben, dass die belangte Behörde selbst den Inhalt des Einwilligungstexts in den bemängelten Verwendungsmethoden nicht kritisiere, sondern lediglich Kritik daran übe, wie der Einwilligungstext im Kontext der Webseite und des Anmeldeformulars eingebettet sei. Die Geschäftsführer hätten sich mit Rechtsanwälten um die korrekte Ausgestaltung der Einwilligung bemüht. Der Umstand, dass die entsprechenden Abwägungen der eingeholten Rechtsauskünfte durch die Geschäftsführer zu einem anderen Ergebnis als der Ansicht der belangten Behörde geführt hätten, könne den Geschäftsführern nicht als eine ihnen zurechenbare Sorgfaltswidrigkeit angelastet werden, weshalb der subjektive Vorwurf schon aus diesen Gründen auszuschließen sei. Im Übrigen handle es sich bei der verfahrensgegenständlichen Verwaltungsübertretung (wenn überhaupt) jedenfalls nur um ein einmaliges, geringfügiges und nicht vorwerfbares – jedenfalls aber entschuldbares – Versehen, weshalb die Voraussetzungen für ein Absehen von einer Strafe nach § 11 DSG sowie § 45 Abs. 1 Z 4 VStG – allenfalls unter bloßer Abmahnung bzw. Verwarnung – vorliegen würden.Die Beschwerdeführerin erstattete am
10. September 2020 eine Rechtfertigung. Darin wiederholte sie im Wesentlichen ihr bisheriges Vorbringen. Ergänzend wurde vorgebracht, dass die Geschäftsführer der Beschwerdeführerin die eingeholten (rechtsanwaltlichen) Auskünfte zur Ausgestaltung der Einholung der Einwilligung über die einzelnen Kanäle sorgfältig geprüft hätten, um sicherzustellen, dass das Ersuchen um Einwilligung bei allen verwendeten Methoden den Anforderungen an eine wirksame Einwilligung nach Artikel 4, Ziffer eins, DSGVO genüge. Nachdem die eingeholten Informationen ergeben hätten, dass aufgrund des Anmeldeprozesses eine wirksame Einwilligung nach der genannten Gesetzesstelle jedenfalls vorliege, hätten die Geschäftsführer auf Grundlage vorgenannter überzeugender Auskünfte auf deren Richtigkeit derselben vertraut und sich für die in Rede stehende Ausgestaltung der einzelnen Methoden der Anmeldung entschieden. Die beiden Geschäftsführer hätten von Beginn an alle erforderlichen Schritte gesetzt, um die Datenverarbeitungsprozesse DSGVO-konform auszugestalten. Insbesondere hätten diese die Implementierung eines die gesamte Organisation und damit auch die Datenverarbeitungen des römisch 40 durchdringenden Compliance Management Systems veranlasst und hierfür die erforderlichen Erkundigungen bei Beratern bzw. Rechtsanwälten eingeholt. Auf Basis der übereinstimmenden Ergebnisse vorgenannter Erkundigungen hätten die Geschäftsführer die Entscheidungen hinsichtlich der Anmeldeprozesse getroffen. Es könne den Geschäftsführern bzw. der Beschwerdeführerin daher keine Außerachtlassung der gebotenen Sorgfalt vorgeworfen werden, selbst wenn eine andere Art der Kontrolle oder Überwachung zu einem anderen Ergebnis im Hinblick auf die Entscheidungen zum Anmeldeprozess auf der Webseite und dem Anmeldeformular geführt hätte. Die von der belangten Behörde bemängelten Entscheidungen seien das Ergebnis rechtlicher Wertungen zur Frage, ob eine Einwilligung rechtskonform erfolgt sei. Selbst die belangte Behörde habe im Prüfverfahren zunächst noch eine strengere Auslegung dieser Normen vertreten als im gegenständlichen Verwaltungsstrafverfahren in puncto Anmeldung per römisch 40 App und römisch 40 . Der Beschwerdeführerin bzw. den Geschäftsführern könnten vor diesem Hintergrund die angelasteten Verwaltungsübertretungen aufgrund von mangelnder Kontrolle und Überwachung in subjektiver Hinsicht nicht zugerechnet werden, zumal diese Auskünfte mehrerer Rechtsanwälte eingeholt hätten, welche zur Einschätzung gelangt seien, dass aufgrund des dargestellten und von ihnen beurteilten Anmeldeprozesses rechtswirksame Einwilligungen in das Profiling vorliegen würden. Die Geschäftsführer hätten ihre in Rede stehenden Entscheidungen im Vertrauen auf die übereinstimmenden Erkundigungen sowie unter sorgfältiger Abwägung dieser eingeholten Auskünfte getroffen. Dabei hätten die Geschäftsführer auch die mit den vorgenannten Auskünften übereinstimmenden Auskünfte des für die römisch 40 -Gruppe zuständigen Datenschutzbeauftragten eingeholt. Es handle sich dabei um richtige, jedenfalls vertretbare Rechtsansichten. Wäre die Auffassung der belangten Behörde richtig, würden Geschäftsführer trotz Vorhandensein von Compliance Management Systemen und trotz Vertrauen auf (externe) Rechtsauskünfte immer haften, wenn die belangte Behörde eine andere Rechtsansicht vertrete. Festzuhalten sei zudem, dass den Geschäftsführern bewusst gewesen sei, dass eine Datenverarbeitung auf eine Rechtsgrundlage gestützt werden müsse. Deshalb sei auch eine Einwilligung ausgearbeitet und von externen Rechtsanwälten geprüft worden. Der Umstand, dass die belangte Behörde sich der jedenfalls vertretbaren Rechtsansicht hinsichtlich der Einwilligung in den beiden eingangs genannten Anmeldemethoden „Webseite“ und „Anmeldeformular“ nicht anschließe, bedeute nicht, dass den Geschäftsführern die Außerachtlassung der gebotenen Sorgfalt aufgrund von mangelnder Kontrolle und Überwachung subjektiv vorgeworfen werden könne Ganz im Gegenteil seien die Geschäftsführer konkret durch die Einholung der zahlreichen Auskünfte und einer darauf beruhenden sorgfältigen Abwägung ihren Kontroll- und Überwachungspflichten ordnungsgemäß nachgekommen. Insbesondere sei hervorzuheben, dass die belangte Behörde selbst den Inhalt des Einwilligungstexts in den bemängelten Verwendungsmethoden nicht kritisiere, sondern lediglich Kritik daran übe, wie der Einwilligungstext im Kontext der Webseite und des Anmeldeformulars eingebettet sei. Die Geschäftsführer hätten sich mit Rechtsanwälten um die korrekte Ausgestaltung der Einwilligung bemüht. Der Umstand, dass die entsprechenden Abwägungen der eingeholten Rechtsauskünfte durch die Geschäftsführer zu einem anderen Ergebnis als der Ansicht der belangten Behörde geführt hätten, könne den Geschäftsführern nicht als eine ihnen zurechenbare Sorgfaltswidrigkeit angelastet werden, weshalb der subjektive Vorwurf schon aus diesen Gründen auszuschließen sei. Im Übrigen handle es sich bei der verfahrensgegenständlichen Verwaltungsübertretung (wenn überhaupt) jedenfalls nur um ein einmaliges, geringfügiges und nicht vorwerfbares – jedenfalls aber entschuldbares – Versehen, weshalb die Voraussetzungen für ein Absehen von einer Strafe nach Paragraph 11, DSG sowie Paragraph 45, Absatz eins, Ziffer 4, VStG – allenfalls unter bloßer Abmahnung bzw. Verwarnung – vorliegen würden. Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom
11. März 2021 auf, Dokumente (bspw. Rechtsgutachten, Textvorschläge, etc.), aus denen ableitbar sei, auf welcher rechtlichen Basis die Geschäftsführung im Ergebnis die Entscheidung getroffen habe, sowie die verfahrensgegenständlichen Einwilligungserklärungen – unter Verwendung der Methoden i) Webseite www. XXXX .at und ii) Anmeldeformular („Flyer“) – für den operativen Betrieb freizugeben und einzusetzen, vorzulegen.Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom
12. März 2021 auf, Dokumente (bspw. Rechtsgutachten, Textvorschläge, etc.), aus denen ableitbar sei, auf welcher rechtlichen Basis die Geschäftsführung im Ergebnis die Entscheidung getroffen habe, sowie die verfahrensgegenständlichen Einwilligungserklärungen – unter Verwendung der Methoden i) Webseite www. römisch 40 .at und ii) Anmeldeformular („Flyer“) – für den operativen Betrieb freizugeben und einzusetzen, vorzulegen. Daraufhin wurde von der Beschwerdeführerin mit Schriftsatz vom
13. April 2021 ein Schreiben der Rechtsanwaltskanzlei XXXX Rechtsanwälte GmbH (im Folgenden: XXXX ) vom
14. April 2021 als Bestätigung dafür, dass die Entwicklung der Anmeldestrecke in enger Abstimmung mit den Rechtsanwälten erfolgt sei, vorgelegt. Daraufhin wurde von der Beschwerdeführerin mit Schriftsatz vom
15. April 2021 ein Schreiben der Rechtsanwaltskanzlei römisch 40 Rechtsanwälte GmbH (im Folgenden: römisch 40 ) vom
16. April 2021 als Bestätigung dafür, dass die Entwicklung der Anmeldestrecke in enger Abstimmung mit den Rechtsanwälten erfolgt sei, vorgelegt. In ihrer Stellungnahme vom
17. April 2021 wiederholte die Beschwerdeführerin im Wesentlichen ihr bisheriges Vorbringen. Mit Verfügung vom
18. Juni 2021 wurde der Beschwerdeführerin die aufgrund einer amtswegigen Erhebung festgestellte veränderte Anmeldestrecke auf der Webseite der Beschwerdeführerin zum Parteiengehör übermittelt. Dazu teilte die Beschwerdeführerin mit Stellungnahme vom
19. Juni 2021 der belangten Behörde mit, dass die Anmeldestrecke auf der Webseite der Beschwerdeführerin geändert und am
20. März 2020 für den Echtbetrieb freigegeben worden sei. Seither sei eine Anmeldung nur mehr über die geänderte Anmeldestrecke auf der Webseite möglich. Eine Anmeldung über das physische Anmeldeformular sei seit
21. Februar 2020 nicht mehr möglich. Im Übrigen teilte die Beschwerdeführerin der belangten Behörde mit, dass die bisher für sie operative Geschäftsführerin ihre Tätigkeit mit
22. Jänner 2021 zurückgelegt habe. Mit dem gegenständlich angefochtenen Straferkenntnis sprach die belangte Behörde aus, dass die Beschwerdeführerin als Verantwortliche durch das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten ihrer im Tatzeitraum vertretungsbefugten Organe folgende Verwaltungsübertretungen begangen habe: „I. Die ab dem 02.05.2019 eingesetzten Formulare zur Einholung von Einwilligungserklärungen zur Verarbeitung von personenbezogenen Daten von den am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profilings durch die Beschuldigte [...] mit dem Wortlaut [..] „I. Die ab dem 02.05.2019 eingesetzten Formulare zur Einholung von Einwilligungserklärungen zur Verarbeitung von personenbezogenen Daten von den am „ römisch 40 “ registrierten betroffenen Personen zum Zweck des Profilings durch die Beschuldigte [...] mit dem Wortlaut [..] a) Webseite www. XXXX at (in der hier festgestellten Ausgestaltung eingesetzt von 02.05.2019 bis 05.03.2020 – Tatzeitraum I.a.), und a) Webseite www. römisch 40 at (in der hier festgestellten Ausgestaltung eingesetzt von 02.05.2019 bis 05.03.2020 – Tatzeitraum römisch eins.a.), und b) Anmeldeformular „Flyer“ (in der hier festgestellten Ausgestaltung eingesetzt von 02.05.2019 bis 03.02.2020 – Tatzeitraum I.b.), b) Anmeldeformular „Flyer“ (in der hier festgestellten Ausgestaltung eingesetzt von 02.05.2019 bis 03.02.2020 – Tatzeitraum römisch eins.b.), hat nicht den datenschutzrechtlichen Anforderungen an eine wirksame Einwilligung gemäß der Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a und Art. 7 DSGVO entsprochen.hat nicht den datenschutzrechtlichen Anforderungen an eine wirksame Einwilligung gemäß der Artikel 4, Ziffer 11,

Artikel 5, Absatz eins, Litera a und Artikel 7, DSGVO entsprochen.

Dadurch wurden Betroffene dazu veranlasst, in die Verarbeitung ihrer personenbezogenen Daten zum Zweck des Profilings durch die Beschuldigte [..] einzuwilligen, ohne dass die Voraussetzungen für eine rechtswirksame Einwilligung vorlagen. [..] II. Als Folge der rechtsunwirksamen Einwilligung konnte somit die vom 02.05.2019 bis zum 31.01.2021 [..] erfolgte Verarbeitung personenbezogener Daten der am „ XXXX “ registrierten betroffenen Personen zum Zweck des Profilings durch die Beschuldigte - weder auf eine rechtswirksame Einwilligungserklärung, - noch auf einen der sonst von Art. 6 Abs. 1 DSGVO abschließend normierten Erlaubnistatbestände gestützt werden. [..]“römisch zwei. Als Folge der rechtsunwirksamen Einwilligung konnte somit die vom 02.05.2019 bis zum 31.01.2021 [..] erfolgte Verarbeitung personenbezogener Daten der am „ römisch 40 “ registrierten betroffenen Personen zum Zweck des Profilings durch die Beschuldigte - weder auf eine rechtswirksame Einwilligungserklärung, - noch auf einen der sonst von Artikel 6, Absatz eins, DSGVO abschließend normierten Erlaubnistatbestände gestützt werden. [..]“ Die Beschwerdeführerin habe daher im Ergebnis den Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verletzt und personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorgelegen habe. Dies sei dadurch ermöglicht worden, dass die im Tatzeitraum zur Vertretung nach außen berufenen und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten verantwortlichen [namentlich genannten] Geschäftsführer gemeinsam als vertretungsbefugte Organe im Sinne des § 30 Abs. 1 und Abs. 2 DSG durch Außerachtlassung der gebotenen Sorgfalt aufgrund mangelnder Kontrolle und Überwachung die oben dargestellten Verwaltungsübertretungen zu verantworten hätten. Die Beschwerdeführerin habe daher im Ergebnis den Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verletzt und personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Artikel 6, DSGVO vorgelegen habe. Dies sei dadurch ermöglicht worden, dass die im Tatzeitraum zur Vertretung nach außen berufenen und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten verantwortlichen [namentlich genannten] Geschäftsführer gemeinsam als vertretungsbefugte Organe im Sinne des Paragraph 30, Absatz eins und Absatz 2, DSG durch Außerachtlassung der gebotenen Sorgfalt aufgrund mangelnder Kontrolle und Überwachung die oben dargestellten Verwaltungsübertretungen zu verantworten hätten. Das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der namentlich genannten Geschäftsführer werde im Hinblick auf § 30 Abs. 1 und Abs. 2 DSG der Beschwerdeführerin als beschuldigter juristischer Person und datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO zugerechnet.Das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der namentlich genannten Geschäftsführer werde im Hinblick auf Paragraph 30, Absatz eins und Absatz 2, DSG der Beschwerdeführerin als beschuldigter juristischer Person und datenschutzrechtlich Verantwortlicher im Sinne von Artikel 4, Ziffer 7, DSGVO zugerechnet. Der Beschwerdeführerin seien daher Verwaltungsübertretungen zu I. nach Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO sowie zu II. nach Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVO anzulasten und es werde wegen dieser Verstöße gemäß Art. 83 Abs. 5 lit. a DSGVO iVm § 30 DSG eine Geldbuße in Höhe von EUR 2.000.000,00 über die Beschwerdeführerin verhängt. Zudem habe die Beschwerdeführerin gemäß § 64 VStG einen Beitrag in Höhe von 10 % der Strafe, sohin EUR 200.000,00, zu den Kosten des Strafverfahrens zu leisten.Der Beschwerdeführerin seien daher Verwaltungsübertretungen zu römisch eins. nach Artikel 5, Absatz eins, Litera a,

Artikel 7

, Absatz 2,

Artikel 83, Absatz 5, Litera a, DSGVO sowie zu römisch zwei.

nach Artikel 5, Absatz eins, Litera a,

Artikel 6

, Absatz eins,

Artikel 83

, Absatz 5, Litera a, DSGVO anzulasten und es werde wegen dieser Verstöße gemäß Artikel 83, Absatz 5, Litera a, DSGVO

Paragraph 30, DSG eine Geldbuße in Höhe von EUR 2.000.000,00 über die Beschwerdeführerin verhängt. Zudem habe die Beschwerdeführerin gemäß Paragraph 64, VStG einen Beitrag in Höhe von 10 % der Strafe, sohin EUR 200.000,00, zu den Kosten des Strafverfahrens zu leisten. Rechtlich hielt die belangte Behörde im Wesentlichen fest, die Beschwerdeführerin habe die Verarbeitung der personenbezogenen Daten der am XXXX teilnehmenden betroffenen Personen zum Zweck des Profiling auf die Rechtsgrundlage der Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO gestützt. An die Kriterien von Art. 4 Z 11 und Art. 7 DSGVO sei ein hoher Maßstab anzulegen, Inhalt und Tragweite vorgefasster Vertragsklauseln müssten nach der Rechtsprechung des OGH für den Verbraucher „durchschaubar“ sein. Die betroffene Person erhalte im Rahmen der Anmeldung zum XXXX unter Verwendung der Webseite www. XXXX unter dem Abschnitt mit der Überschrift „Genießen Sie ihre persönlichen Vorteile“ zunächst keine sichtbaren Informationen darüber, dass mit „persönlicher Vorteil“ die Verarbeitung personenbezogener Daten zum Zweck des Profiling gemeint sei. Auch in der in diesem Abschnitt eingebetteten Box werde zunächst bloß auf die AGB und die Datenschutzerklärung verwiesen („Ich erkläre mich gemäß Punkt 5.5. und 5.6. AGB [ebenso Punkte 4.4. und 4.5. der Datenschutzerklärung“] damit einverstanden, dass …“). Erst nachdem die Box entsprechend hinuntergescrollt werde, werde auf die Verarbeitung personenbezogener Daten zum Zweck des Profiling verwiesen; die Information zum Profiling sei daher in keiner „leicht zugänglichen Form“ und auch in keiner „klaren und knappen Form“ verfügbar. Weiters sei festzuhalten, dass eine betroffene Person die auf den ersten Blick sichtbaren Optionen „Ja“ und „Nein“, die bloß allgemein auf den Erhalt oder Nichterhalt von „exklusiven Vorteilen und Aktionen“ verweisen würden, nach allgemeiner Lebenserfahrung nicht mit Profiling assoziiere und es sich daher auch um keine „klare und einfache Sprache“ und insofern um keine rechtsgültige Einwilligung handle. Der europäische Gesetzgeber habe ausdrückliche Anforderungen an ein Ersuchen um Einwilligung in Art. 7 DSGVO normiert, die zusätzlich und unabhängig von den AGB und der Datenschutzerklärung einzuhalten seien. Wenn ein Vertrag also (wie gegenständlich die Anmeldung zum XXXX ) mehrere Aspekte behandle, habe sich das Ersuchen um Einwilligung deutlich abzuheben. In Bezug auf die Anmeldebroschüre („Flyer“) werde am Ende des Anmeldeformulars das Feld „Unterschrift“ vorgegeben. Unterhalb des Feldes „Unterschrift“ sei der Hinweis „Diese Unterschrift gilt nur für die Einwilligungserklärung und ist freiwillig. Ihre Anmeldung zum XXXX ist auch ohne Unterschrift wirksam“ vorhanden. Die „Einwilligungserklärung“ selbst sei jedoch wiederum oberhalb des Feldes „Unterschrift“ platziert. Davon ausgehend sei festzuhalten, dass sich das Anmeldeformular ganz allgemein auf die Anmeldung zum XXXX beziehe. Da das Feld „Unterschrift“ jedoch am Ende des Anmeldeformulars platziert sei, werde der Eindruck vermittelt, dass es sich hierbei um die Unterschrift als Bestätigung zur Anmeldung zum XXXX handle. Dabei sei auch nach allgemeiner Lebenserfahrung davon auszugehen, dass ein Durchschnittsbenutzer, der sich zum XXXX anmelde (und somit einen Vertrag abschließe) damit rechne, dass es sich hierbei um die Unterschrift zur Bestätigung der Anmeldung – und nicht um die Abgabe einer datenschutzrechtlichen Einwilligung zum Profiling – handle. An diesen Ausführungen könne auch der darunter platzierte Hinweis nichts ändern, dass diese Unterschrift nur für die Einwilligungserklärung gelte: Dieser sei erstens nach links versetzt, sodass er sich unter dem Feld „Datum“ und nicht direkt unter dem Feld „Unterschrift“ befinde. Ein Durchschnittsbenutzer werde – ausgehend von der gegenständlichen Gestaltung des Ersuchens um Einwilligung – nicht davon ausgehen, dass er eine datenschutzrechtliche Einwilligung im Hinblick auf die Verarbeitung seiner personenbezogenen Daten zum Zwecke des Profiling erteile. Vor diesem Hintergrund sei davon auszugehen, dass die Ersuchen um Einwilligung unter Verwendung

1. a)der Webseite und
2. b)des Anmeldeformulars („Flyer“) nicht den in Art. 4 Z 11 DSGVO und Art. 7 Abs. 2 iVm Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 lit. a DSGVO normierten Anforderungen entsprochen haben. Nach dem ausdrücklichen Wortlaut von Art. 7 Abs. 2 DSGVO seien Teile einer Einwilligungserklärung dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen. Da das Ersuchen um Einwilligung zum Zwecke des Profiling unter Heranziehung der Methoden
3. i)Webseite www. XXXX at und
4. ii)Anmeldeformular („Flyer“) nicht den Anforderungen gemäß Art. 4 Z 11 DSGVO und Art. 7 Abs. 2 DSGVO entspreche, handle es sich um eine ungültige Einwilligungserklärung und folglich könne diese auch nicht als Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. a DSGVO herangezogen werden. Daher seien sämtliche Verarbeitungsvorgänge im Zusammenhang mit dem Profiling durch die Verantwortliche auf rechtswidrige Art und Weise erfolgt, da diese von keinem der (abschließend normierten) Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO legitimiert werde. Die ersatzweise Heranziehung eines Alternativtatbestandes komme deshalb nicht in Betracht, da die Beschwerdeführerin sich von Beginn an für eine Rechtsgrundlage zu entscheiden habe. Doch selbst, wenn man all diesen Überlegungen nicht folge und davon ausgehe, dass sich die Verantwortliche zu einem späteren Zeitpunkt – etwa im Rahmen eines Verfahrens vor der Aufsichtsbehörde – erstmalig auf einen Alternativerlaubnistatbestand stützen könne, sei zu bemerken, dass eine Interessenabwägung gegen sie ausschlagen würde und eine (zulässige) Weiterverarbeitung nicht in Betracht käme. Die Beschwerdeführerin habe sohin die objektive Tatseite der Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO (Spruchpunkt I.), sowie Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVO (Spruchpunkt II.) verletzt. Zur subjektiven Tatseite hielt die belangte Behörde im Wesentlichen fest, dass die Geschäftsführer bereits anhand des klaren Wortlautes der Bestimmungen der DSGVO erkennen hätten müssen, dass die hier gegenständlichen Einwilligungserklärungen mit hoher Wahrscheinlichkeit nicht den Anforderungen der DSGVO entsprechen. Es liege somit auf subjektiver Tatseite Verschulden in Form von Fahrlässigkeit vor. Zum Absehen von der Bestrafung gemäß § 11 DSG bzw. § 45 VStG sei festzuhalten, dass das Bundesverwaltungsgericht bereits rechtskräftig bestätigt habe, dass § 11 DSG kein Vorrang einer Verwarnung entnommen werden könne. Es könne auch nicht davon ausgegangen werden, dass die Bedeutung des hier strafrechtlich geschützten Rechtsgutes gering sei, jedenfalls bestehe ein abstrakt hohes Interesse. Ob die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering seien, sei somit nicht relevant und könne daher auch nicht zur Einstellung des Verfahrens nach § 45 Abs. 1 Z 4 VStG führen. Rechtlich hielt die belangte Behörde im Wesentlichen fest, die Beschwerdeführerin habe die Verarbeitung der personenbezogenen Daten der am römisch 40 teilnehmenden betroffenen Personen zum Zweck des Profiling auf die Rechtsgrundlage der Einwilligung nach Artikel 6, Absatz eins, Litera a, DSGVO gestützt. An die Kriterien von Artikel 4, Ziffer 11 und Artikel 7, DSGVO sei ein hoher Maßstab anzulegen, Inhalt und Tragweite vorgefasster Vertragsklauseln müssten nach der Rechtsprechung des OGH für den Verbraucher „durchschaubar“ sein. Die betroffene Person erhalte im Rahmen der Anmeldung zum römisch 40 unter Verwendung der Webseite www. römisch 40 unter dem Abschnitt mit der Überschrift „Genießen Sie ihre persönlichen Vorteile“ zunächst keine sichtbaren Informationen darüber, dass mit „persönlicher Vorteil“ die Verarbeitung personenbezogener Daten zum Zweck des Profiling gemeint sei. Auch in der in diesem Abschnitt eingebetteten Box werde zunächst bloß auf die AGB und die Datenschutzerklärung verwiesen („Ich erkläre mich gemäß Punkt 5.5. und 5.6. AGB [ebenso Punkte 4.4. und 4.5. der Datenschutzerklärung“] damit einverstanden, dass …“). Erst nachdem die Box entsprechend hinuntergescrollt werde, werde auf die Verarbeitung personenbezogener Daten zum Zweck des Profiling verwiesen; die Information zum Profiling sei daher in keiner „leicht zugänglichen Form“ und auch in keiner „klaren und knappen Form“ verfügbar. Weiters sei festzuhalten, dass eine betroffene Person die auf den ersten Blick sichtbaren Optionen „Ja“ und „Nein“, die bloß allgemein auf den Erhalt oder Nichterhalt von „exklusiven Vorteilen und Aktionen“ verweisen würden, nach allgemeiner Lebenserfahrung nicht mit Profiling assoziiere und es sich daher auch um keine „klare und einfache Sprache“ und insofern um keine rechtsgültige Einwilligung handle. Der europäische Gesetzgeber habe ausdrückliche Anforderungen an ein Ersuchen um Einwilligung in Artikel 7, DSGVO normiert, die zusätzlich und unabhängig von den AGB und der Datenschutzerklärung einzuhalten seien. Wenn ein Vertrag also (wie gegenständlich die Anmeldung zum römisch 40 ) mehrere Aspekte behandle, habe sich das Ersuchen um Einwilligung deutlich abzuheben. In Bezug auf die Anmeldebroschüre („Flyer“) werde am Ende des Anmeldeformulars das Feld „Unterschrift“ vorgegeben. Unterhalb des Feldes „Unterschrift“ sei der Hinweis „Diese Unterschrift gilt nur für die Einwilligungserklärung und ist freiwillig. Ihre Anmeldung zum römisch 40 ist auch ohne Unterschrift wirksam“ vorhanden. Die „Einwilligungserklärung“ selbst sei jedoch wiederum oberhalb des Feldes „Unterschrift“ platziert. Davon ausgehend sei festzuhalten, dass sich das Anmeldeformular ganz allgemein auf die Anmeldung zum römisch 40 beziehe. Da das Feld „Unterschrift“ jedoch am Ende des Anmeldeformulars platziert sei, werde der Eindruck vermittelt, dass es sich hierbei um die Unterschrift als Bestätigung zur Anmeldung zum römisch 40 handle. Dabei sei auch nach allgemeiner Lebenserfahrung davon auszugehen, dass ein Durchschnittsbenutzer, der sich zum römisch 40 anmelde (und somit einen Vertrag abschließe) damit rechne, dass es sich hierbei um die Unterschrift zur Bestätigung der Anmeldung – und nicht um die Abgabe einer datenschutzrechtlichen Einwilligung zum Profiling – handle. An diesen Ausführungen könne auch der darunter platzierte Hinweis nichts ändern, dass diese Unterschrift nur für die Einwilligungserklärung gelte: Dieser sei erstens nach links versetzt, sodass er sich unter dem Feld „Datum“ und nicht direkt unter dem Feld „Unterschrift“ befinde. Ein Durchschnittsbenutzer werde – ausgehend von der gegenständlichen Gestaltung des Ersuchens um Einwilligung – nicht davon ausgehen, dass er eine datenschutzrechtliche Einwilligung im Hinblick auf die Verarbeitung seiner personenbezogenen Daten zum Zwecke des Profiling erteile. Vor diesem Hintergrund sei davon auszugehen, dass die Ersuchen um Einwilligung unter Verwendung
5. a)der Webseite und
6. b)des Anmeldeformulars („Flyer“) nicht den in Artikel 4, Ziffer 11, DSGVO und Artikel 7, Absatz 2,

Artikel 5

, Absatz eins, Litera a und Artikel 6, Absatz eins, Litera a, DSGVO normierten Anforderungen entsprochen haben. Nach dem ausdrücklichen Wortlaut von Artikel 7, Absatz 2, DSGVO seien Teile einer Einwilligungserklärung dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen. Da das Ersuchen um Einwilligung zum Zwecke des Profiling unter Heranziehung der Methoden

1. i)Webseite www. römisch 40 at und
2. ii)Anmeldeformular („Flyer“) nicht den Anforderungen gemäß Artikel 4, Ziffer 11, DSGVO und Artikel 7, Absatz 2, DSGVO entspreche, handle es sich um eine ungültige Einwilligungserklärung und folglich könne diese auch nicht als Rechtsgrundlage gemäß Artikel 6, Absatz eins, Litera a, DSGVO herangezogen werden. Daher seien sämtliche Verarbeitungsvorgänge im Zusammenhang mit dem Profiling durch die Verantwortliche auf rechtswidrige Art und Weise erfolgt, da diese von keinem der (abschließend normierten) Erlaubnistatbestände des Artikel 6, Absatz eins, DSGVO legitimiert werde. Die ersatzweise Heranziehung eines Alternativtatbestandes komme deshalb nicht in Betracht, da die Beschwerdeführerin sich von Beginn an für eine Rechtsgrundlage zu entscheiden habe. Doch selbst, wenn man all diesen Überlegungen nicht folge und davon ausgehe, dass sich die Verantwortliche zu einem späteren Zeitpunkt – etwa im Rahmen eines Verfahrens vor der Aufsichtsbehörde – erstmalig auf einen Alternativerlaubnistatbestand stützen könne, sei zu bemerken, dass eine Interessenabwägung gegen sie ausschlagen würde und eine (zulässige) Weiterverarbeitung nicht in Betracht käme. Die Beschwerdeführerin habe sohin die objektive Tatseite der Artikel 5, Absatz eins, Litera a,

Artikel 7

, Absatz 2,

Artikel 83

, Absatz 5, Litera a, DSGVO (Spruchpunkt römisch eins.), sowie Artikel 5, Absatz eins, Litera a,

Artikel 6

, Absatz eins,

Artikel 83, Absatz 5, Litera a, DSGVO (Spruchpunkt römisch zwei.) verletzt.

Zur subjektiven Tatseite hielt die belangte Behörde im Wesentlichen fest, dass die Geschäftsführer bereits anhand des klaren Wortlautes der Bestimmungen der DSGVO erkennen hätten müssen, dass die hier gegenständlichen Einwilligungserklärungen mit hoher Wahrscheinlichkeit nicht den Anforderungen der DSGVO entsprechen. Es liege somit auf subjektiver Tatseite Verschulden in Form von Fahrlässigkeit vor. Zum Absehen von der Bestrafung gemäß Paragraph 11, DSG bzw. Paragraph 45, VStG sei festzuhalten, dass das Bundesverwaltungsgericht bereits rechtskräftig bestätigt habe, dass Paragraph 11, DSG kein Vorrang einer Verwarnung entnommen werden könne. Es könne auch nicht davon ausgegangen werden, dass die Bedeutung des hier strafrechtlich geschützten Rechtsgutes gering sei, jedenfalls bestehe ein abstrakt hohes Interesse. Ob die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering seien, sei somit nicht relevant und könne daher auch nicht zur Einstellung des Verfahrens nach Paragraph 45, Absatz eins, Ziffer 4, VStG führen. Im Hinblick auf die Strafzumessung sei aufgrund des Jahresumsatzes der Beschwerdeführerin der Strafrahmen bis zu EUR 20.000.000 heranzuziehen und es komme auch Art. 83 Abs. 3 DSGVO, wonach im Falle eines Verstoßes gegen mehrere Bestimmungen der DSGVO der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigen dürfe, zur Anwendung. Erschwerend sei berücksichtigt worden, dass die Beschwerdeführerin von circa 2.285.021 natürlichen Personen in Österreich eine ungültige Einwilligung erhoben habe und bis dato die personenbezogenen Daten dieser Betroffenen zum Zwecke der personalisierten Ansprache aufgrund einer ungültigen Einwilligung verarbeite. Die Verarbeitung sei somit im gesamten Tatzeitraum (seit 2. Mai 2019) unrechtmäßig erfolgt. Mildernd sei berücksichtigt worden, dass die belangte Behörde in Bezug auf die im Spruch geahndeten Verstöße nicht von vorsätzlicher, sondern von fahrlässiger Begehung ausgehe, dass gegen die Beschwerdeführerin bei der belangten Behörde keinerlei einschlägigen früheren Verstöße gegen die DSGVO vorliegen würden, dass die Beschwerdeführerin im Rahmen des gegenständlichen Ermittlungsverfahrens vor der belangten Behörde mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet habe, dass die Beschwerdeführerin einen Bilanzverlust erzielt habe, dass die Beschwerdeführerin bzw. deren Geschäftsführer sich im Februar bzw. März 2020 in Reaktion auf den Bescheid der belangten Behörde im amtswegigen Prüfverfahren dazu entschlossen hätten,

1. a)das verfahrensgegenständliche Papierformular „Flyer“ nicht mehr zur Einholung von Einwilligungserklärungen einzusetzen und
2. b)die digitale Anmeldestrecke zur Einholung der Einwilligungserklärung über die Webseite zu adaptieren, sowie die aktuelle COVID-19 Pandemie und sämtliche daraus resultierenden erforderlichen Umstrukturierungsmaßnahmen im Betrieb. Im Hinblick auf die Strafzumessung sei aufgrund des Jahresumsatzes der Beschwerdeführerin der Strafrahmen bis zu EUR 20.000.000 heranzuziehen und es komme auch Artikel 83, Absatz 3, DSGVO, wonach im Falle eines Verstoßes gegen mehrere Bestimmungen der DSGVO der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigen dürfe, zur Anwendung. Erschwerend sei berücksichtigt worden, dass die Beschwerdeführerin von circa 2.285.021 natürlichen Personen in Österreich eine ungültige Einwilligung erhoben habe und bis dato die personenbezogenen Daten dieser Betroffenen zum Zwecke der personalisierten Ansprache aufgrund einer ungültigen Einwilligung verarbeite. Die Verarbeitung sei somit im gesamten Tatzeitraum (seit 2. Mai 2019) unrechtmäßig erfolgt. Mildernd sei berücksichtigt worden, dass die belangte Behörde in Bezug auf die im Spruch geahndeten Verstöße nicht von vorsätzlicher, sondern von fahrlässiger Begehung ausgehe, dass gegen die Beschwerdeführerin bei der belangten Behörde keinerlei einschlägigen früheren Verstöße gegen die DSGVO vorliegen würden, dass die Beschwerdeführerin im Rahmen des gegenständlichen Ermittlungsverfahrens vor der belangten Behörde mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet habe, dass die Beschwerdeführerin einen Bilanzverlust erzielt habe, dass die Beschwerdeführerin bzw. deren Geschäftsführer sich im Februar bzw. März 2020 in Reaktion auf den Bescheid der belangten Behörde im amtswegigen Prüfverfahren dazu entschlossen hätten,
3. a)das verfahrensgegenständliche Papierformular „Flyer“ nicht mehr zur Einholung von Einwilligungserklärungen einzusetzen und
4. b)die digitale Anmeldestrecke zur Einholung der Einwilligungserklärung über die Webseite zu adaptieren, sowie die aktuelle COVID-19 Pandemie und sämtliche daraus resultierenden erforderlichen Umstrukturierungsmaßnahmen im Betrieb. Die konkret verhängte Strafe in der Höhe von EUR 2.000.000,00 scheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befinde sich aufgrund der vorliegenden Milderungsgründe am untersten Ende des zur Verfügung stehenden Strafrahmens. Die konkret verhängte Strafe in der Höhe von EUR 2.000.000,00 scheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befinde sich aufgrund der vorliegenden Milderungsgründe am untersten Ende des zur Verfügung stehenden Strafrahmens. Dagegen richtet sich die vorliegende Beschwerde. Nach Darstellung des Verfahrensganges, auch in Bezug auf das amtswegig geführte (Vor-)Verfahren, zu welchem als Beweismittel die Beischaffung des zugrundliegenden Aktes W256 2227693-1 beantragt wurde, wurde zusammengefasst vorgebracht, dass hinsichtlich von Spruchpunkt I. das Straferkenntnis aufzuheben und das Verfahren einzustellen sei. Nach Art. 83 DSGVO sei ausschließlich die Bestrafung des Verantwortlichen wegen einer unzulässigen Verarbeitung personenbezogener Daten zulässig. Der bloße Einsatz der nach Ansicht der belangten Behörde unzulässigen Formulare sei eine straflose Vortat. Dies ergebe sich insbesondere aus dem Wortlaut des Art. 83 Abs. 2 und 3 DSGVO und zuletzt aus dem Gegenstand und Ziel der DSGVO, die sich auf den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten beziehe. Davon abgesehen habe die belangte Behörde der Beschwerdeführerin den in Spruchpunkt I. vorgeworfenen Verstoß gegen Art. 7 Abs. 2 DSGVO erstmals im Straferkenntnis konkretisiert vorgeworfen und es sei in diesem Zeitpunkt bereits Verfolgungsverjährung eingetreten gewesen. Die Anforderungen an eine wirksame Einwilligung seien entgegen der Ansicht der Datenschutzbehörde erfüllt und die Verarbeitung erfolge im Einklang mit der DSGVO und den Geschäftsführern sei in keiner Weise ein Außerachtlassen der gebotenen Sorgfalt oder eine mangelnde Kontrolle und Überwachung in diesem Zusammenhang anzulasten. Zur objektiven Tatseite sei festzuhalten, dass kein Verstoß gegen die DSGVO vorliege. Die von der Beschwerdeführerin eingesetzten Ersuchen um Einwilligung würden jeweils den einschlägigen Vorgaben entsprechen, insbesondere sei durch die vorgesehene Gestaltung für die Nutzer unmissverständlich sichergestellt, dass sie bei der Unterschrift bzw. bei Betätigen eines Buttons eine datenschutzrechtliche Einwilligungserklärung abgeben. Die Anmeldeprozesse online seien im Wesentlichen gleichartig aufgebaut. Bereits in den AGB seien die Zwecke der Datenverarbeitung – darunter das Profiling – fett hervorgehoben. Insbesondere sei dort auch das Wort „Profiling“ mehrmals fett hervorgehoben. In der Datenschutzerklärung seien die Zwecke der Datenverarbeitung – wie etwa Profiling – ebenfalls fett hervorgehoben. Hinsichtlich der Erteilung der Zustimmung zu den AGB und der Bestätigung betreffend die Datenschutzerklärung müsse der Betroffene eine nicht vorausgewählte Checkbox aktiv anklicken. Er habe in allen drei Anmeldeformen die Möglichkeit, die AGB und die Datenschutzerklärung zur Gänze zu lesen, bevor er seine diesbezügliche Erklärung abgebe. Bei der Erklärung zum Profiling stünden dem Betroffenen zwei alternativ auswählbare und nicht vorausgewählte Checkboxen zur Verfügung. Die Einwilligungserklärung zum Profiling beginne mit einem Verweis auf konkrete Bestimmungen in den AGB (Punkte 5.5. und 5.6.) und der Datenschutzerklärung (Punkte 4.4. und 4.5.) und enthalte ausdrücklich das Wort „Profiling“. Die AGB und die Datenschutzerklärung enthalten, wie ausgeführt, in den verwiesenen Bestimmungen dieses Wort ebenfalls ausdrücklich und fett gedruckt. Der unmittelbar neben der Checkbox zur Einwilligung zum Profiling platzierte Text laute: „JA, ich stimme der Verarbeitung meiner Daten gemäß untenstehender Einwilligungserklärung zu und möchte somit von exklusiven Vorteilen und Aktionen profitieren.“ Der unmittelbar neben der Checkbox zur Ablehnung des Profiling platzierte Text laute: „NEIN, ich stimme der Verarbeitung meiner Daten gemäß untenstehender Einwilligungserklärung nicht zu und möchte somit nicht von exklusiven Vorteilen und Aktionen profitieren.“ Bei der Anmeldung über die Webseite erfolge die Einholung der oben beschriebenen Erklärungen nicht Screen für Screen, sondern diese würden auf einem Screen nacheinander eingeholt werden. Der Betroffene könne hier die Reihenfolge der Abgabe der Erklärungen selbst bestimmen. Die Einwilligungserklärung zum Profiling befinde sich hier zwar in einer Scrollbox, jedoch finde sich am Ende des Screens unmittelbar über dem Button „Jetzt anmelden“ eine Übersicht der eingegebenen persönlichen Informationen sowie der Hinweis auf die abgegebenen Erklärungen. Die letzte Zeile laute fett gedruckt „Profiling: Zustimmung erteilt“ bzw „Profiling: Zustimmung nicht erteilt“, sofern eine entsprechende Erklärung abgegeben worden sei. Wenn keine Erklärung abgegeben worden sei, finde sich dort der Text: „Profiling: Bitte wählen Sie bei Profiling eine Antwort aus, um mit der Anmeldung fortzufahren.“ Daneben befinde sich ein Bleistiftsymbol. Wenn der Betroffene darauf klicke, werde er automatisch direkt zur Einwilligungserklärung gescrollt. Die Anmeldung könne nur (mit dem Button „Jetzt anmelden“) abgeschlossen werden, nachdem (u.a.) eine Erklärung („ja“ oder „nein“) betreffend Profiling abgeben worden sei. Es sei für den Betroffenen in Zusammenhang mit der Einwilligungserklärung bereits auf den ersten Blick (ohne scrollen zu müssen) folgende Information ersichtlich: „Ich erkläre mich gemäß Punkt 5.5. und 5.6. AGB (ebenso Punkte 4.4. und 4.5. der Datenschutzerklärung) damit einverstanden, dass die XXXX GmbH sowie die XXXX Partner, bei denen ich meine XXXX Karte verwendet habe, (
5. l)meine Teilnahmedaten und Einkaufsdaten zusammenführen und analysieren, um mir für mich relevante und auf meine Interessen zugeschnittene (…)“. Durch diese Information sei für den Betroffenen auf den ersten Blick erkennbar, dass seine Teilnahmedaten und Einkaufsdaten auf Basis der Einwilligung zum Profiling zusammengeführt und analysiert werden. Weiters sei hervorzuheben, dass die Anmeldung über die Webseite für die Darstellung auf Mobiltelefonen gegenüber der Darstellung auf einem herkömmlichen Computer (Webversion) optimiert sei. Bei der von den Betroffenen in überwiegendem Maße verwendeten Mobilversion sei der Button "Jetzt anmelden“ noch näher an der letzten Zeile „Profiling: Zustimmung erteilt“ bzw. „Profiling: Zustimmung nicht erteilt“ platziert, sodass dadurch die Aufmerksamkeit des Betroffenen noch intensiver auf die erteilte bzw. nicht erteilte Zustimmung zum Profiling gelenkt werde. Im Übrigen übersehe die belangte Behörde, dass direkt neben den anzuhakenden Optionen („Ja“, „Nein“) zum Profiling ein ausdrücklicher Hinweis auf „untenstehende Einwilligungserklärung“ erfolge, in welcher der Zweck der Verarbeitung ausdrücklich genannt werde. Diese Information sei direkt unter dem Verweis sowie inhaltlich kurz und prägnant. Dabei sei auch für den Betroffenen sofort erkennbar, welche Datenverarbeitungen, nämlich das Zusammenführen und Analysieren der Teilnahme- und Einkaufsdaten, auf Basis der Einwilligung erfolgen würden. Die Ansicht der belangten Behörde, dass der Text „Exklusive Vorteile und Aktionen“ hervorgehoben sei und die Information zum „Profiling“ nebensächlich abgehandelt werde, sei daher unzutreffend. Auch im Rahmen der physischen Anmeldung mittels „Flyer“ enthalte das Anmeldeformular mehrmals deutliche Hinweise in Bezug auf das Profiling, insbesondere in den darin vollständig abgedruckten AGB. Die Einholung zur Einwilligung erfolge auf der letzten Seite der Anmeldebroschüre. Dabei fänden sich vor allem drei Abschnitte: AGB/Datenschutzerklärung/Einwilligungserklärung. Durch Ausfüllen und Abgabe des Anmeldeformulars erkläre sich der Teilnehmer mit den AGB einverstanden. Die Einwilligungserklärung bestehe aus dem gut sichtbaren Wort „Einwilligungserklärung“, gefolgt vom Einwilligungstext. Unter der Einwilligungserklärung finde sich ein Pflichtfeld für das Datum, gekennzeichnet durch ein Sternchen, sowie rechts daneben das optionale Feld „Unterschrift“. Direkt unter diesem Feld befinde sich der Einwilligungstext, laut dem die Unterschrift nur für die Einwilligungserklärung gelte und freiwillig sowie die Anmeldung zum XXXX auch ohne Unterschrift wirksam sei. Schon angesichts dieses Hinweises könne den Ausführungen der belangten Behörde, der Kunde gehe davon aus, dass die Unterschrift für die Anmeldung sei, nicht gefolgt werden. Hinzu komme, dass das Unterschriftenfeld auch nicht mit einem Sternchen versehen sei. Dagegen richtet sich die vorliegende Beschwerde. Nach Darstellung des Verfahrensganges, auch in Bezug auf das amtswegig geführte (Vor-)Verfahren, zu welchem als Beweismittel die Beischaffung des zugrundliegenden Aktes W256 2227693-1 beantragt wurde, wurde zusammengefasst vorgebracht, dass hinsichtlich von Spruchpunkt römisch eins. das Straferkenntnis aufzuheben und das Verfahren einzustellen sei. Nach Artikel 83, DSGVO sei ausschließlich die Bestrafung des Verantwortlichen wegen einer unzulässigen Verarbeitung personenbezogener Daten zulässig. Der bloße Einsatz der nach Ansicht der belangten Behörde unzulässigen Formulare sei eine straflose Vortat. Dies ergebe sich insbesondere aus dem Wortlaut des Artikel 83, Absatz 2 und 3 DSGVO und zuletzt aus dem Gegenstand und Ziel der DSGVO, die sich auf den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten beziehe. Davon abgesehen habe die belangte Behörde der Beschwerdeführerin den in Spruchpunkt römisch eins. vorgeworfenen Verstoß gegen Artikel 7, Absatz 2, DSGVO erstmals im Straferkenntnis konkretisiert vorgeworfen und es sei in diesem Zeitpunkt bereits Verfolgungsverjährung eingetreten gewesen. Die Anforderungen an eine wirksame Einwilligung seien entgegen der Ansicht der Datenschutzbehörde erfüllt und die Verarbeitung erfolge im Einklang mit der DSGVO und den Geschäftsführern sei in keiner Weise ein Außerachtlassen der gebotenen Sorgfalt oder eine mangelnde Kontrolle und Überwachung in diesem Zusammenhang anzulasten. Zur objektiven Tatseite sei festzuhalten, dass kein Verstoß gegen die DSGVO vorliege. Die von der Beschwerdeführerin eingesetzten Ersuchen um Einwilligung würden jeweils den einschlägigen Vorgaben entsprechen, insbesondere sei durch die vorgesehene Gestaltung für die Nutzer unmissverständlich sichergestellt, dass sie bei der Unterschrift bzw. bei Betätigen eines Buttons eine datenschutzrechtliche Einwilligungserklärung abgeben. Die Anmeldeprozesse online seien im Wesentlichen gleichartig aufgebaut. Bereits in den AGB seien die Zwecke der Datenverarbeitung – darunter das Profiling – fett hervorgehoben. Insbesondere sei dort auch das Wort „Profiling“ mehrmals fett hervorgehoben. In der Datenschutzerklärung seien die Zwecke der Datenverarbeitung – wie etwa Profiling – ebenfalls fett hervorgehoben. Hinsichtlich der Erteilung der Zustimmung zu den AGB und der Bestätigung betreffend die Datenschutzerklärung müsse der Betroffene eine nicht vorausgewählte Checkbox aktiv anklicken. Er habe in allen drei Anmeldeformen die Möglichkeit, die AGB und die Datenschutzerklärung zur Gänze zu lesen, bevor er seine diesbezügliche Erklärung abgebe. Bei der Erklärung zum Profiling stünden dem Betroffenen zwei alternativ auswählbare und nicht vorausgewählte Checkboxen zur Verfügung. Die Einwilligungserklärung zum Profiling beginne mit einem Verweis auf konkrete Bestimmungen in den AGB (Punkte 5.5. und 5.6.) und der Datenschutzerklärung (Punkte 4.4. und 4.5.) und enthalte ausdrücklich das Wort „Profiling“. Die AGB und die Datenschutzerklärung enthalten, wie ausgeführt, in den verwiesenen Bestimmungen dieses Wort ebenfalls ausdrücklich und fett gedruckt. Der unmittelbar neben der Checkbox zur Einwilligung zum Profiling platzierte Text laute: „JA, ich stimme der Verarbeitung meiner Daten gemäß untenstehender Einwilligungserklärung zu und möchte somit von exklusiven Vorteilen und Aktionen profitieren.“ Der unmittelbar neben der Checkbox zur Ablehnung des Profiling platzierte Text laute: „NEIN, ich stimme der Verarbeitung meiner Daten gemäß untenstehender Einwilligungserklärung nicht zu und möchte somit nicht von exklusiven Vorteilen und Aktionen profitieren.“ Bei der Anmeldung über die Webseite erfolge die Einholung der oben beschriebenen Erklärungen nicht Screen für Screen, sondern diese würden auf einem Screen nacheinander eingeholt werden. Der Betroffene könne hier die Reihenfolge der Abgabe der Erklärungen selbst bestimmen. Die Einwilligungserklärung zum Profiling befinde sich hier zwar in einer Scrollbox, jedoch finde sich am Ende des Screens unmittelbar über dem Button „Jetzt anmelden“ eine Übersicht der eingegebenen persönlichen Informationen sowie der Hinweis auf die abgegebenen Erklärungen. Die letzte Zeile laute fett gedruckt „Profiling: Zustimmung erteilt“ bzw „Profiling: Zustimmung nicht erteilt“, sofern eine entsprechende Erklärung abgegeben worden sei. Wenn keine Erklärung abgegeben worden sei, finde sich dort der Text: „Profiling: Bitte wählen Sie bei Profiling eine Antwort aus, um mit der Anmeldung fortzufahren.“ Daneben befinde sich ein Bleistiftsymbol. Wenn der Betroffene darauf klicke, werde er automatisch direkt zur Einwilligungserklärung gescrollt. Die Anmeldung könne nur (mit dem Button „Jetzt anmelden“) abgeschlossen werden, nachdem (u.a.) eine Erklärung („ja“ oder „nein“) betreffend Profiling abgeben worden sei. Es sei für den Betroffenen in Zusammenhang mit der Einwilligungserklärung bereits auf den ersten Blick (ohne scrollen zu müssen) folgende Information ersichtlich: „Ich erkläre mich gemäß Punkt 5.5. und 5.6. AGB (ebenso Punkte 4.4. und 4.5. der Datenschutzerklärung) damit einverstanden, dass die römisch 40 GmbH sowie die römisch 40 Partner, bei denen ich meine römisch 40 Karte verwendet habe, (
6. l)meine Teilnahmedaten und Einkaufsdaten zusammenführen und analysieren, um mir für mich relevante und auf meine Interessen zugeschnittene (…)“. Durch diese Information sei für den Betroffenen auf den ersten Blick erkennbar, dass seine Teilnahmedaten und Einkaufsdaten auf Basis der Einwilligung zum Profiling zusammengeführt und analysiert werden. Weiters sei hervorzuheben, dass die Anmeldung über die Webseite für die Darstellung auf Mobiltelefonen gegenüber der Darstellung auf einem herkömmlichen Computer (Webversion) optimiert sei. Bei der von den Betroffenen in überwiegendem Maße verwendeten Mobilversion sei der Button "Jetzt anmelden“ noch näher an der letzten Zeile „Profiling: Zustimmung erteilt“ bzw. „Profiling: Zustimmung nicht erteilt“ platziert, sodass dadurch die Aufmerksamkeit des Betroffenen noch intensiver auf die erteilte bzw. nicht erteilte Zustimmung zum Profiling gelenkt werde. Im Übrigen übersehe die belangte Behörde, dass direkt neben den anzuhakenden Optionen („Ja“, „Nein“) zum Profiling ein ausdrücklicher Hinweis auf „untenstehende Einwilligungserklärung“ erfolge, in welcher der Zweck der Verarbeitung ausdrücklich genannt werde. Diese Information sei direkt unter dem Verweis sowie inhaltlich kurz und prägnant. Dabei sei auch für den Betroffenen sofort erkennbar, welche Datenverarbeitungen, nämlich das Zusammenführen und Analysieren der Teilnahme- und Einkaufsdaten, auf Basis der Einwilligung erfolgen würden. Die Ansicht der belangten Behörde, dass der Text „Exklusive Vorteile und Aktionen“ hervorgehoben sei und die Information zum „Profiling“ nebensächlich abgehandelt werde, sei daher unzutreffend. Auch im Rahmen der physischen Anmeldung mittels „Flyer“ enthalte das Anmeldeformular mehrmals deutliche Hinweise in Bezug auf das Profiling, insbesondere in den darin vollständig abgedruckten AGB. Die Einholung zur Einwilligung erfolge auf der letzten Seite der Anmeldebroschüre. Dabei fänden sich vor allem drei Abschnitte: AGB/Datenschutzerklärung/Einwilligungserklärung. Durch Ausfüllen und Abgabe des Anmeldeformulars erkläre sich der Teilnehmer mit den AGB einverstanden. Die Einwilligungserklärung bestehe aus dem gut sichtbaren Wort „Einwilligungserklärung“, gefolgt vom Einwilligungstext. Unter der Einwilligungserklärung finde sich ein Pflichtfeld für das Datum, gekennzeichnet durch ein Sternchen, sowie rechts daneben das optionale Feld „Unterschrift“. Direkt unter diesem Feld befinde sich der Einwilligungstext, laut dem die Unterschrift nur für die Einwilligungserklärung gelte und freiwillig sowie die Anmeldung zum römisch 40 auch ohne Unterschrift wirksam sei. Schon angesichts dieses Hinweises könne den Ausführungen der belangten Behörde, der Kunde gehe davon aus, dass die Unterschrift für die Anmeldung sei, nicht gefolgt werden. Hinzu komme, dass das Unterschriftenfeld auch nicht mit einem Sternchen versehen sei. Auf subjektiver Tatseite liege kein Verschulden vor. Die belangte Behörde gehe von einem Verschulden aus, ohne jedoch entsprechende Ermittlungen dazu getätigt zu haben. Allgemein habe die belangte Behörde verkannt, dass das Verschulden von der Behörde zu beweisen sei. Die Beschwerdeführerin habe im Rahmen ihrer Mitwirkungspflicht ausreichende Informationen vorgelegt und die gesetzten Schritte genau dargestellt; die belangte Behörde habe daher zu Unrecht das Verschulden bejaht und - ohne Feststellungen dazu - Fahrlässigkeit angenommen. Dass die belangte Behörde der Beschwerdeführerin zur Last lege, die Geschäftsführer seien den Ergebnissen der beigezogenen Rechtsanwälte mit Fachgebiet Datenschutzrecht gefolgt und davon nicht abgewichen, entbehre jeder Logik: Es könne von Geschäftsführern nicht verlangt werden, einerseits Rechtsanwälte mit ausgewiesenem Tätigkeitsschwerpunkt im jeweiligen Rechtsgebiet beizuziehen und andererseits von deren Ergebnissen abzuweichen, ohne selbst über entsprechendes Fachwissen zu verfügen, sofern es sich nicht um für jedermann erkennbare, offenkundige Widersprüche handle. Die Beschwerdeführerin habe dargestellt, dass die Entstehung der Dokumente unter Einbindung der Rechtsanwaltskanzlei erfolgt sei und diese im Zuge dessen den rechtlichen Rahmen, somit die Möglichkeiten aus rechtlicher Sicht, aufgezeigt habe. Dies sei ein intensiver Prozess zwischen den herangezogenen Rechtsanwälten und der Beschwerdeführerin mit unmittelbarer Beteiligung der benannten Geschäftsführer selbst gewesen, der sich über einen längeren Zeitraum erstreckt habe. Die Rechtsanwälte hätten weiters die finalen Dokumente geprüft und mit den benannten Geschäftsführern abgestimmt. Auch habe bereits seit dem Jahr 2016 eine intensive Auseinandersetzung intern zu diesem Thema stattgefunden. Es habe somit eine intensive, mehrjährige Auseinandersetzung sowohl intern als auch extern stattgefunden. Unrichtig sei auch der Vorwurf, die Ausgestaltung der Einwilligungserklärungen habe klar dem Wortlaut von Art. 7 Abs. 2 DSGVO widersprochen und die Geschäftsführer hätten erkennen können, dass die Einwilligungserklärungen mit hoher Wahrscheinlichkeit nicht den Anforderungen der DSGVO entsprechen würden. Das zeige sich schon daran, dass bei erstmaligem Einsatz der Erklärungen am 2. Mai 2019 noch kaum verlässliche Judikatur zur DSGVO vorgelegen sei. Gerade da Art. 7 Abs. 2 DSGVO unbestimmte Gesetzesbegriffe enthalte, bestehe in diesem Bereich erheblicher Auslegungsspielraum, welcher erst durch (höchstgerichtliche) Judikatur in einer Rechtssicherheit schaffenden Weise konkretisiert werde. Die Frage, ob eine rechtswidrige Einwilligung zur Verarbeitung personenbezogener Daten zum Zweck des Profiling vorliege, sei jedenfalls im vorliegenden Fall eindeutig eine Auslegungsfrage unbestimmter Rechtsbegriffe. Das zeige sich ganz deutlich an den Ergebnissen des dargestellten Prüfverfahrens. Sei die belangte Behörde noch im Erstbescheid der Ansicht gewesen, dass die im Rahmen aller Anmeldearten eingeholte Einwilligung nicht rechtswirksam sei, habe sie dies in der Beschwerdevorentscheidung auf die zwei auch hier gegenständlichen Anmeldearten eingeschränkt. Aus der Begründung in der Beschwerdevorentscheidung sei ersichtlich, dass im Ergebnis die Platzierung des Wortes "Profiling" im Anmeldeprozess den Ausschlag gegeben habe, ob - aus der Sicht der belangten Behörde - eine wirksame bzw. nicht wirksame Einwilligung zu Zwecken des Profiling abgegeben worden sei. Aber selbst wenn von einer Verwaltungsübertretung auszugehen sei und ein vorwerfbares Verhalten im Sinne eines Verschuldens auf Seiten der Beschwerdeführerin als gegeben angesehen werden könnte, wäre dennoch von einer Bestrafung abzusehen gewesen, da mit einer Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO bzw. § 11 DSG bzw. einer Ermahnung gemäß § 45 Abs. 1 Z 4 VStG das Auslangen gefunden werden hätte können. Davon absehen sei auch die verhängte Strafe zu hoch bemessen und diese wäre bei vollständiger und rechtsrichtiger Berücksichtigung aller Umstände deutlich niedriger anzusetzen gewesen. Hinzu komme, dass die belangte Behörde als einzigen erschwerenden Umstand die Vielzahl an Personen gewertet habe; diesem habe sie zahlreiche Milderungsgründe mit erheblichem Gewicht gegenübergestellt. Bereits deshalb widerspreche die Höhe der verhängten Geldbuße Art. 83 Abs. 5 DSGVO. Darüber hinaus sei der Beschwerdeführerin, wenn überhaupt, ein nicht vorwerfbarer Verbotsirrtum vorzuwerfen. Diesen Milderungsgrund habe die belangte Behörde nicht berücksichtigt, obwohl auch Art. 83 Abs. 2 DSGVO verlange, den Grad der Verantwortung einzubeziehen. Die Verhängung eines Verfahrenskostenbeitrages sei im Übrigen unionsrechtswidrig. Das VStG sei nur insoweit anzuwenden, als die DSGVO keine speziellen Bestimmungen enthalte. Die DSGVO (Art. 83f) regle mögliche Sanktionen, einschließlich Geldbußen, bei Verstößen gegen die DSGVO abschließend. Selbst wenn der Verwaltungskostenbeitrag nach nationalem Recht nicht als Sanktion gelte, sei dieser Begriff im Anwendungsbereich der DSGVO autonom auszulegen. Da der Verwaltungskostenbeitrag materiell dieselbe Wirkung wie eine weitere Geldbuße habe, sei er als Sanktion iSd DSGVO zu sehen. Art. 84 DSGVO belasse für eine solche zusätzliche Geldbuße jedoch keine innerstaatliche Regelungsbefugnis, vielmehr seien die Geldbußen nach Art. 83 DSGVO abschließend geregelt. § 64 VStG müsse daher in einem Verwaltungsstrafverfahren gemäß Art. 83 DSGVO unangewendet bleiben. Das ergebe sich im Übrigen auch aus dem Verhältnismäßigkeitsgrundsatz gemäß Art. 49 GRC und Art. 83 Abs. 1 DSGVO. Letztlich wurde angemerkt, dass die belangte Behörde zu Unrecht die Ermittlungsergebnisse des amtswegigen Prüfverfahrens zur GZ DSB-D213.895/0003-DSB/2019 im Verwaltungsstrafverfahren herangezogen habe.Auf subjektiver Tatseite liege kein Verschulden vor. Die belangte Behörde gehe von einem Verschulden aus, ohne jedoch entsprechende Ermittlungen dazu getätigt zu haben. Allgemein habe die belangte Behörde verkannt, dass das Verschulden von der Behörde zu beweisen sei. Die Beschwerdeführerin habe im Rahmen ihrer Mitwirkungspflicht ausreichende Informationen vorgelegt und die gesetzten Schritte genau dargestellt; die belangte Behörde habe daher zu Unrecht das Verschulden bejaht und - ohne Feststellungen dazu - Fahrlässigkeit angenommen. Dass die belangte Behörde der Beschwerdeführerin zur Last lege, die Geschäftsführer seien den Ergebnissen der beigezogenen Rechtsanwälte mit Fachgebiet Datenschutzrecht gefolgt und davon nicht abgewichen, entbehre jeder Logik: Es könne von Geschäftsführern nicht verlangt werden, einerseits Rechtsanwälte mit ausgewiesenem Tätigkeitsschwerpunkt im jeweiligen Rechtsgebiet beizuziehen und andererseits von deren Ergebnissen abzuweichen, ohne selbst über entsprechendes Fachwissen zu verfügen, sofern es sich nicht um für jedermann erkennbare, offenkundige Widersprüche handle. Die Beschwerdeführerin habe dargestellt, dass die Entstehung der Dokumente unter Einbindung der Rechtsanwaltskanzlei erfolgt sei und diese im Zuge dessen den rechtlichen Rahmen, somit die Möglichkeiten aus rechtlicher Sicht, aufgezeigt habe. Dies sei ein intensiver Prozess zwischen den herangezogenen Rechtsanwälten und der Beschwerdeführerin mit unmittelbarer Beteiligung der benannten Geschäftsführer selbst gewesen, der sich über einen längeren Zeitraum erstreckt habe. Die Rechtsanwälte hätten weiters die finalen Dokumente geprüft und mit den benannten Geschäftsführern abgestimmt. Auch habe bereits seit dem Jahr 2016 eine intensive Auseinandersetzung intern zu diesem Thema stattgefunden. Es habe somit eine intensive, mehrjährige Auseinandersetzung sowohl intern als auch extern stattgefunden. Unrichtig sei auch der Vorwurf, die Ausgestaltung der Einwilligungserklärungen habe klar dem Wortlaut von Artikel 7, Absatz 2, DSGVO widersprochen und die Geschäftsführer hätten erkennen können, dass die Einwilligungserklärungen mit hoher Wahrscheinlichkeit nicht den Anforderungen der DSGVO entsprechen würden. Das zeige sich schon daran, dass bei erstmaligem Einsatz der Erklärungen am 2. Mai 2019 noch kaum verlässliche Judikatur zur DSGVO vorgelegen sei. Gerade da Artikel 7, Absatz 2, DSGVO unbestimmte Gesetzesbegriffe enthalte, bestehe in diesem Bereich erheblicher Auslegungsspielraum, welcher erst durch (höchstgerichtliche) Judikatur in einer Rechtssicherheit schaffenden Weise konkretisiert werde. Die Frage, ob eine rechtswidrige Einwilligung zur Verarbeitung personenbezogener Daten zum Zweck des Profiling vorliege, sei jedenfalls im vorliegenden Fall eindeutig eine Auslegungsfrage unbestimmter Rechtsbegriffe. Das zeige sich ganz deutlich an den Ergebnissen des dargestellten Prüfverfahrens. Sei die belangte Behörde noch im Erstbescheid der Ansicht gewesen, dass die im Rahmen aller Anmeldearten eingeholte Einwilligung nicht rechtswirksam sei, habe sie dies in der Beschwerdevorentscheidung auf die zwei auch hier gegenständlichen Anmeldearten eingeschränkt. Aus der Begründung in der Beschwerdevorentscheidung sei ersichtlich, dass im Ergebnis die Platzierung des Wortes "Profiling" im Anmeldeprozess den Ausschlag gegeben habe, ob - aus der Sicht der belangten Behörde - eine wirksame bzw. nicht wirksame Einwilligung zu Zwecken des Profiling abgegeben worden sei. Aber selbst wenn von einer Verwaltungsübertretung auszugehen sei und ein vorwerfbares Verhalten im Sinne eines Verschuldens auf Seiten der Beschwerdeführerin als gegeben angesehen werden könnte, wäre dennoch von einer Bestrafung abzusehen gewesen, da mit einer Verwarnung nach Artikel 58, Absatz 2, Litera b, DSGVO bzw. Paragraph 11, DSG bzw. einer Ermahnung gemäß Paragraph 45, Absatz eins, Ziffer 4, VStG das Auslangen gefunden werden hätte können. Davon absehen sei auch die verhängte Strafe zu hoch bemessen und diese wäre bei vollständiger und rechtsrichtiger Berücksichtigung aller Umstände deutlich niedriger anzusetzen gewesen. Hinzu komme, dass die belangte Behörde als einzigen erschwerenden Umstand die Vielzahl an Personen gewertet habe; diesem habe sie zahlreiche Milderungsgründe mit erheblichem Gewicht gegenübergestellt. Bereits deshalb widerspreche die Höhe der verhängten Geldbuße Artikel 83, Absatz 5, DSGVO. Darüber hinaus sei der Beschwerdeführerin, wenn überhaupt, ein nicht vorwerfbarer Verbotsirrtum vorzuwerfen. Diesen Milderungsgrund habe die belangte Behörde nicht berücksichtigt, obwohl auch Artikel 83, Absatz 2, DSGVO verlange, den Grad der Verantwortung einzubeziehen. Die Verhängung eines Verfahrenskostenbeitrages sei im Übrigen unionsrechtswidrig. Das VStG sei nur insoweit anzuwenden, als die DSGVO keine speziellen Bestimmungen enthalte. Die DSGVO (Artikel 83 f,) regle mögliche Sanktionen, einschließlich Geldbußen, bei Verstößen gegen die DSGVO abschließend. Selbst wenn der Verwaltungskostenbeitrag nach nationalem Recht nicht als Sanktion gelte, sei dieser Begriff im Anwendungsbereich der DSGVO autonom auszulegen. Da der Verwaltungskostenbeitrag materiell dieselbe Wirkung wie eine weitere Geldbuße habe, sei er als Sanktion iSd DSGVO zu sehen. Artikel 84, DSGVO belasse für eine solche zusätzliche Geldbuße jedoch keine innerstaatliche Regelungsbefugnis, vielmehr seien die Geldbußen nach Artikel 83, DSGVO abschließend geregelt. Paragraph 64, VStG müsse daher in einem Verwaltungsstrafverfahren gemäß Artikel 83, DSGVO unangewendet bleiben. Das ergebe sich im Übrigen auch aus dem Verhältnismäßigkeitsgrundsatz gemäß Artikel 49, GRC und Artikel 83, Absatz eins, DSGVO. Letztlich wurde angemerkt, dass die belangte Behörde zu Unrecht die Ermitt