RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum26.02.2025 GeschäftszahlW101 2284403-1 Spruch, W101 2284403-1/10E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

§ 50Vw

GVG wird der Beschwerde hinsichtlich der Höhe der Strafe teilweise stattgegeben und die Strafe auf € 1.100,00 herabgesetzt. römisch zwei.

Paragraph 50, VwGVG wird der Beschwerde hinsichtlich der Höhe der Strafe teilweise stattgegeben und die Strafe auf € 1.100,00 herabgesetzt. III. Die Beschwerdeführerin hat

§ 64Abs. 1 VSt

G einen Kostenbeitrag von € 110,00 zum Strafverfahren vor der belangten Behörde zu leisten, das sind 10% der nunmehr verhängten Strafe.römisch drei. Die Beschwerdeführerin hat

Paragraph 64, Absatz eins, VStG einen Kostenbeitrag von € 110,00 zum Strafverfahren vor der belangten Behörde zu leisten, das sind 10% der nunmehr verhängten Strafe. IV.

§ 52Abs. 8 Vw

GVG hat die Beschwerdeführerin keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.römisch vier.

Paragraph 52, Absatz 8, VwGVG hat die Beschwerdeführerin keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: Am 19.10.2022 übermittelte die XXXX (im Folgenden: XXXX ) der Datenschutzbehörde eine Sachverhaltsdarstellung und führte im Wesentlichen aus, dass die XXXX GmbH (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte vor der Datenschutzbehörde) Betreiberin einer Videoüberwachungsanlage sei, die den öffentlichen Raum erfasse. Die XXXX ersuchte sohin um datenschutzrechtliche Prüfung des angezeigten Sachverhaltes und übermittelte im Zuge der Anzeige ein Lichtbild über den Aufnahmebereich der Anlage.Am 19.10.2022 übermittelte die römisch 40 (im Folgenden: römisch 40 ) der Datenschutzbehörde eine Sachverhaltsdarstellung und führte im Wesentlichen aus, dass die römisch 40 GmbH (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschuldigte vor der Datenschutzbehörde) Betreiberin einer Videoüberwachungsanlage sei, die den öffentlichen Raum erfasse. Die römisch 40 ersuchte sohin um datenschutzrechtliche Prüfung des angezeigten Sachverhaltes und übermittelte im Zuge der Anzeige ein Lichtbild über den Aufnahmebereich der Anlage. Die Datenschutzbehörde leitete in der Folge gegen die Beschwerdeführerin ein Verwaltungsstrafverfahren ein und forderte sie bzw. deren Geschäftsführer mit Schreiben vom 24.10.2022 zur Rechtfertigung in Bezug auf den Betrieb der Videoüberwachungsanlage am Tatort sowie der mangelnden Informationserteilung gegenüber den Betroffenen auf. Es bestand der Verdacht, dass die Beschwerdeführerin in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls im Zeitraum vom 01.12.2021 bis einschließlich 16.10.2022 in XXXX unrechtmäßig personenbezogene Daten verarbeitet habe, indem sie am Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe, die sowohl einen Teilbereich des angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße XXXX in XXXX erfasst habe. Dadurch bestehe der Verdacht, dass die gegenständliche Verarbeitung nicht dem Zweck angemessen und nicht auf das notwenige Maß beschränkt gewesen sei. Darüber hinaus war die Beschwerdeführerin aufgefordert worden, ihren Jahresumsatz sowie Gewinne/Verluste des Vorjahres sowie sonstige zur Verteidigung dienliche Beweismittel vorzulegen. Die Datenschutzbehörde leitete in der Folge gegen die Beschwerdeführerin ein Verwaltungsstrafverfahren ein und forderte sie bzw. deren Geschäftsführer mit Schreiben vom 24.10.2022 zur Rechtfertigung in Bezug auf den Betrieb der Videoüberwachungsanlage am Tatort sowie der mangelnden Informationserteilung gegenüber den Betroffenen auf. Es bestand der Verdacht, dass die Beschwerdeführerin in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls im Zeitraum vom 01.12.2021 bis einschließlich 16.10.2022 in römisch 40 unrechtmäßig personenbezogene Daten verarbeitet habe, indem sie am Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe, die sowohl einen Teilbereich des angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße römisch 40 in römisch 40 erfasst habe. Dadurch bestehe der Verdacht, dass die gegenständliche Verarbeitung nicht dem Zweck angemessen und nicht auf das notwenige Maß beschränkt gewesen sei. Darüber hinaus war die Beschwerdeführerin aufgefordert worden, ihren Jahresumsatz sowie Gewinne/Verluste des Vorjahres sowie sonstige zur Verteidigung dienliche Beweismittel vorzulegen. Mit Stellungnahme vom 13.11.2022 gab die Beschwerdeführerin betreffend das Verwaltungsstrafverfahren im Wesentlichen Folgendes an: Ihr sei nicht bekannt gewesen, dass der Betrieb der gegenständlichen Videoüberwachungsanlage in der konkreten Form nicht erlaubt sei. Daher sei die Anlage unverzüglich entfernt worden und werde inzwischen auch nicht mehr betrieben, was aus dem beigelegten Lichtbild ersichtlich sei. Darüber hinaus legte die Beschwerdeführerin ihre Gewinn- und Verlustrechnung des Jahres 2021 vor. Mit Bescheid vom 04.01.2023, GZ. D550.725, 2022-0.809.515, setzte die Datenschutzbehörde das gegenständliche Verwaltungsstrafverfahren

§ 24VSt

G iVm § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen SE) aus. Mit Bescheid vom 04.01.2023, GZ. D550.725, 2022-0.809.515, setzte die Datenschutzbehörde das gegenständliche Verwaltungsstrafverfahren

Paragraph 24, VStG in Verbindung mit Paragraph 38, AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen SE) aus. Mit Bescheid vom 05.12.2023, GZ. D550.725, 2023-0.805.038, behob die Datenschutzbehörde von Amts wegen den Aussetzungsbescheid vom 04.01.2023 und setzte das gegenständliche Verwaltungsstrafverfahren – unter Berücksichtigung des Urteils vom 05.12.2023 des EuGH in der Rechtssache C-807/21 – fort. Mit Straferkenntnis vom 14.12.2023, GZ. D550.725, 2023-0.570.521, sprach die Datenschutzbehörde aus, die Beschwerdeführerin habe als Verantwortliche

Art. 4

Z 7 DSGVO nachstehende Sachverhalte verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:Mit Straferkenntnis vom 14.12.2023, GZ. D550.725, 2023-0.570.521, sprach die Datenschutzbehörde aus, die Beschwerdeführerin habe als Verantwortliche

Artikel 4

, Ziffer 7, DSGVO nachstehende Sachverhalte verwirklicht und dadurch folgende Verwaltungsübertretungen begangen: I. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022 (im Folgenden „Tatzeitraum“) in XXXX (im Folgenden „Tatort“), unrechtmäßig personenbezogene Daten verarbeitet, indem sie am Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe. Der Aufnahmebereich der Videoüberwachungsanlage habe einen Teilbereich des am Tatort angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße XXXX in XXXX umfasst. Die Datenverarbeitung durch die Beschwerdeführerin mittels der Anlage am Tatort sei daher nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt gewesen und habe im Ergebnis auf keine Rechtsgrundlage

Art. 6Abs.

1 DSGVO gestützt werden können. römisch eins. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022 (im Folgenden „Tatzeitraum“) in römisch 40 (im Folgenden „Tatort“), unrechtmäßig personenbezogene Daten verarbeitet, indem sie am Tatort eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben habe. Der Aufnahmebereich der Videoüberwachungsanlage habe einen Teilbereich des am Tatort angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße römisch 40 in römisch 40 umfasst. Die Datenverarbeitung durch die Beschwerdeführerin mittels der Anlage am Tatort sei daher nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt gewesen und habe im Ergebnis auf keine Rechtsgrundlage

Artikel 6, Absatz eins, DSGVO gestützt werden können.

II. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche darüber hinaus zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022 (im Folgenden „Tatzeitraum“) in XXXX (im Folgenden „Tatort“), gegen ihre Informationspflicht

Art. 13

DSGVO verstoßen, indem sie am Tatort keine Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den betroffenen Personen vorgenommen habe, um sie über die Verarbeitung durch die Videoüberwachungsanlage zu informieren. Dadurch seien die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die oben dargestellte Verarbeitung im Sinne der Art. 12 und 13 DSGVO informiert worden. römisch zwei. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche darüber hinaus zumindest im Zeitraum vom 01.12.2021 bis 28.10.2022 (im Folgenden „Tatzeitraum“) in römisch 40 (im Folgenden „Tatort“), gegen ihre Informationspflicht

Artikel 13

, DSGVO verstoßen, indem sie am Tatort keine Kennzeichnung der Videoüberwachungsanlage oder eine sonstige Informationserteilung gegenüber den betroffenen Personen vorgenommen habe, um sie über die Verarbeitung durch die Videoüberwachungsanlage zu informieren. Dadurch seien die Betroffenen bei der Erhebung ihrer personenbezogenen Daten im Aufnahmebereich der Anlage nicht über die oben dargestellte Verarbeitung im Sinne der Artikel 12 und 13 DSGVO informiert worden. Die Beschwerdeführerin habe daher im Ergebnis gegen folgende Vorgaben der DSGVO verstoßen: ● Die rechtmäßige Verarbeitung personenbezogener Daten auf Basis einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO Die rechtmäßige Verarbeitung personenbezogener Daten auf Basis einer Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO ● Die Informationspflicht von Verantwortlichen bei Erhebung personenbezogener Daten unmittelbar bei der betroffenen Person nach Art. 13 DSGVO Die Informationspflicht von Verantwortlichen bei Erhebung personenbezogener Daten unmittelbar bei der betroffenen Person nach Artikel 13, DSGVO ● Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise nach Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise nach Artikel 5, Absatz eins, Litera a, DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) ● Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten nach Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung) Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten nach Artikel 5, Absatz eins, Litera c, DSGVO („Datenminimierung) Aufgrund dieser Verwaltungsübertretungen war über die Beschwerdeführerin eine Geldstrafe iHv € 3.190,00 zuzüglich € 319,00 als Beitrag zu den Kosten des Strafverfahrens verhängt worden. In diesem Straferkenntnis traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen: Die Beschwerdeführerin betreibe am Tatort eine Werkstatt und übe das reglementierte Gewerbe „Kraftfahrzeugtechnik (Handwerk)“ aus. Am Tatort (konkret oberhalb und seitlich neben der Einfahrt zur Werkstatt) sei von ihr in einem nicht näher feststellbaren Zeitraum, jedoch zumindest vom 01.12.2021 bis 28.10.2022 eine Videoüberwachungsanlage betrieben worden, die primär zum Schutz ihres Eigentums gedient habe. Die Anlage habe dabei einen Teilbereich des am Tatort angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße XXXX in XXXX (Aufnahmebereich) erfasst.Die Beschwerdeführerin betreibe am Tatort eine Werkstatt und übe das reglementierte Gewerbe „Kraftfahrzeugtechnik (Handwerk)“ aus. Am Tatort (konkret oberhalb und seitlich neben der Einfahrt zur Werkstatt) sei von ihr in einem nicht näher feststellbaren Zeitraum, jedoch zumindest vom 01.12.2021 bis 28.10.2022 eine Videoüberwachungsanlage betrieben worden, die primär zum Schutz ihres Eigentums gedient habe. Die Anlage habe dabei einen Teilbereich des am Tatort angrenzenden (öffentlichen) Gehsteigs sowie einen Teilbereich der (öffentlichen) Gemeindestraße römisch 40 in römisch 40 (Aufnahmebereich) erfasst. Die Videoüberwachungsanlage sei im gesamten Tatzeitraum nicht gekennzeichnet gewesen und es sei auch sonst keine Informationserteilung an die betroffenen Personen über den Betrieb der gegenständlichen Anlage erfolgt. Die Aufzeichnungen der Anlage seien für einen Zeitraum von 24 Stunden gespeichert und in Folge automatisch gelöscht worden. Die Anlage sei zu einem nicht näher feststellbaren Zeitpunkt, jedoch jedenfalls nach Zustellung der Aufforderung zur Rechtfertigung abmontiert und die noch vorhandenen Aufzeichnungen gelöscht worden. Die Beschwerdeführerin habe im Zeitraum vom 01.01.2021 bis 31.12.2021 Umsatzerlöse in der Höhe von € 190.899,01 erzielt. Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes: Zur Rechtmäßigkeit der Videoüberwachungsanlage (Spruchteil I.): Zur Rechtmäßigkeit der Videoüberwachungsanlage (Spruchteil römisch eins.): Die Beschwerdeführerin habe im vorliegenden Fall zwar ein berechtigtes Interesse am Betrieb der Videoüberwachungsanlage (Schutz ihres Eigentums) gehabt, jedoch sei die konkrete Verarbeitung bzw. die Einstellung des festgestellten Aufnahmebereichs nicht erforderlich und somit auch nicht das gelindeste Mittel gewesen, um die genannten Interessen zu gewährleisten. Außerdem komme man auch nach Durchführung einer Interessenabwägung zum Ergebnis, dass die Geheimhaltungsinteressen und Grundrechte der Betroffenen das Interesse der Beschwerdeführerin überwiegen würden. Im Ergebnis sei die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO für die konkrete Verarbeitung nicht einschlägig. Die Verarbeitung der Bilddaten durch die gegenständliche Videoüberwachungsanlage sei somit unrechtmäßig erfolgt. Damit sei der objektive Tatbestand eines Verstoßes gegen die Grundsätze für die Verarbeitung des Art. 5 Abs. 1 lit. a und c und des Art. 6 Abs. 1 lit. f DSGVO erfüllt, da weder dem Grundsatz der Rechtmäßigkeit der Datenverarbeitung noch dem Grundsatz der Datenminimierung gefolgt worden sei, noch ein ausreichend berechtigtes Interesse gegeben wäre. Im Ergebnis sei die Rechtsgrundlage nach Artikel 6, Absatz eins, Litera f, DSGVO für die konkrete Verarbeitung nicht einschlägig. Die Verarbeitung der Bilddaten durch die gegenständliche Videoüberwachungsanlage sei somit unrechtmäßig erfolgt. Damit sei der objektive Tatbestand eines Verstoßes gegen die Grundsätze für die Verarbeitung des Artikel 5, Absatz eins, Litera a und c und des Artikel 6, Absatz eins, Litera f, DSGVO erfüllt, da weder dem Grundsatz der Rechtmäßigkeit der Datenverarbeitung noch dem Grundsatz der Datenminimierung gefolgt worden sei, noch ein ausreichend berechtigtes Interesse gegeben wäre. Zum Verstoß gegen die Informationspflicht (Spruchteil II.): Zum Verstoß gegen die Informationspflicht (Spruchteil römisch zwei.): Die Beschwerdeführerin habe im Tatzeitraum gar keine Kennzeichnung der Videoüberwachungsanlage vorgenommen oder die Betroffenen in einer anderen Form über die Verarbeitung informiert. Somit habe sie gegen das Transparenzgebot und ihre Informationspflichten nach Art. 5 Abs. 1 lit. a iVm Art. 12 und Art. 13 DSGVO verstoßen. Die Beschwerdeführerin habe somit auch die objektive Tatseite betreffend Art. 5 Abs. 1 lit. a iVm Art. 12 und 13 DSGVO erfüllt.Die Beschwerdeführerin habe im Tatzeitraum gar keine Kennzeichnung der Videoüberwachungsanlage vorgenommen oder die Betroffenen in einer anderen Form über die Verarbeitung informiert. Somit habe sie gegen das Transparenzgebot und ihre Informationspflichten nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 12 und Artikel 13, DSGVO verstoßen. Die Beschwerdeführerin habe somit auch die objektive Tatseite betreffend Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 12 und 13 DSGVO erfüllt. Zur subjektiven Tatseite: Dem Urteil des EuGH vom 05.12.2023, Zl. C-807/21, zufolge sei es für die Verhängung einer Geldbuße gegen eine juristische Person nicht erforderlich, dass die Datenschutzbehörde eine identifizierte natürliche Person, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person gehandelt habe, in ihrer Entscheidung anführe und das Handeln dieser Person der juristischen Person zurechne. Es sei daher im vorliegenden Fall auch nicht entscheidungserheblich, ob der ebenfalls als Beschuldigter geführte Geschäftsführer der Beschwerdeführerin die gegenständlichen Verstöße zu verantworten gehabt habe. Die Beschwerdeführerin habe als Verantwortliche

Art. 4

Z 7 DSGVO beschlossen, dass für die festgestellten Zwecke eine Videoüberwachungsanlage am Tatort montiert und in Betrieb genommen werde und dies ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen. Im Hinblick auf die subjektive Tatseite liege jedenfalls Verschulden in Form von Fahrlässigkeit (Art. 83 Abs. 2 lit. b DSGVO) vor.Die Beschwerdeführerin habe als Verantwortliche

Artikel 4

, Ziffer 7, DSGVO beschlossen, dass für die festgestellten Zwecke eine Videoüberwachungsanlage am Tatort montiert und in Betrieb genommen werde und dies ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen. Im Hinblick auf die subjektive Tatseite liege jedenfalls Verschulden in Form von Fahrlässigkeit (Artikel 83, Absatz 2, Litera b, DSGVO) vor. Zur Strafzumessung:

Art. 83Abs.

1 DSGVO habe die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sei.

Artikel 83

, Absatz eins, DSGVO habe die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sei. Die Beschwerdeführerin habe im Jahr 2021 einen Jahresumsatz iHv € 190.899,01 erzielt. Unter Anwendung der Fines-Leitlinien werde sie in Bezug auf ihren Umsatz und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße in die niedrigste Kategorie eingestuft. Durch diese Einstufung werde die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen seien (Art. 83 Abs. 2 lit. g DSGVO), werde von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem mittleren Schweregrad („medium level of seriousness“) festgelegt.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen seien (Artikel 83, Absatz 2, Litera g, DSGVO), werde von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem mittleren Schweregrad („medium level of seriousness“) festgelegt. Bezogen auf den vorliegenden Sachverhalt seien darüber hinaus bei der Strafzumessung die Tatsache, dass gegen die Beschuldigte bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen würden, die Mitwirkung der Beschwerdeführerin im gegenständlichen Ermittlungsverfahren und der Umstand, dass die Beschwerdeführerin umgehend nach Zustellung der Aufforderung zur Rechtfertigung die gegenständliche Verarbeitung nicht weiter fortsetzt habe, mildernd berücksichtigt worden. Des Weiteren seien generalpräventive Gründe mitberücksichtigt worden. Die im Ergebnis konkret verhängte Strafe iHv € 3.190,00 erscheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu € 20.000.000,00) tat- und schuldangemessen und befinde sich am untersten Ende des zur Verfügung stehenden Strafrahmens (0,01% des Strafrahmens). Die im Ergebnis konkret verhängte Strafe iHv € 3.190,00 erscheine daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu € 20.000.000,00) tat- und schuldangemessen und befinde sich am untersten Ende des zur Verfügung stehenden Strafrahmens (0,01% des Strafrahmens). In der gegen dieses Straferkenntnis fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen Folgendes vor: Die von der belangten Behörde vorgenommene Interessenabwägung, dass das Interesse der Beschwerdeführerin, den Eingangsbereich ihrer Werkstatt sowie die davorliegende Fläche durch eine Bildverarbeitungsanlage zu überwachen, um ihr Eigentum zu schützen das Interesse der Betroffenen an einem Schutz iSd DSGVO nicht überwiegen würden, sei nicht richtig. Die Tore dieser KFZ-Werkstatt seien insbesondere in den warmen Monaten dauerhaft geöffnet, um den Kunden ein Zu- und Wegfahren aus der Werkstatt zu ermöglichen sowie für entsprechende Frischluftzufuhr der Mitarbeiter zu sorgen. Dies bedeute, dass unmittelbar neben dem Gehsteig bereits der Werkstättenbereich beginne, der nicht durch eine entsprechende, geschlossene Tür abgegrenzt sei, sodass jeder Passant ohne weiteres in die Werkstatt gelangen könnte, wo sich nicht nur Eigentum der Beschwerdeführerin, sondern auch Fremdeigentum (Fahrzeuge, die zu reparieren seien,) und Mitarbeiter befinden würden. Dementsprechend habe die Beschwerdeführerin ein berechtigtes Interesse daran, hier Vorsorge zu treffen, jener Personen gewahr zu werden, welche die Werkstattfläche betreten könnten. Hinzu komme, dass immer wieder sowohl ihre Mitarbeiter als auch Kunden diese Gehsteigfläche überfahren und damit in die Gefahr gelangen würden, mit den dortigen Fußgängern zu kollidieren, auch hier bestehe ein berechtigtes Interesse daran, derartige mögliche Vorfälle aufzuzeichnen, um ein mögliches Verschulden auch im Sinne der betroffenen Fußgänger zu klären. Dies bedeute, dass die gegenständliche Bildverarbeitungsanlage nicht nur diesem Interesse der Beschwerdeführerin diene, sondern auch dem Interesse der Allgemeinheit (und damit im Interesse der betroffenen Personen), da diesen im Falle eines rechtswidrigen Unfalles der Beweis des Verschuldens einfach gemacht werden könnte. Betreffend die nicht-vorhandene Kennzeichnung sei darauf hinzuweisen, dass die Bildverarbeitungsanlage in ihrer Art so offensichtlich und deutlich sichtbar gewesen sei, dass eine zusätzliche Kennzeichnung nur eine Wiederholung der ohnedies sichtbaren Bildverarbeitungsanlage gewesen wäre und die Kennzeichnung schon in der deutlich sichtbaren Anbringung der Bildverarbeitungsanlage gegeben gewesen sei. Schließlich sei sie der Meinung, dass ihr Verschulden als gering einzustufen sei, sodass die Verhängung der gegenständlichen Geldstrafe nicht dem Tatbild angemessen sei, weswegen hier lediglich eine Abmahnung ausreichend wäre. Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge nach Durchführung einer mündlichen Verhandlung das angefochtene Straferkenntnis aufheben und das Strafverfahren einstellen. Mit Schreiben der Datenschutzbehörde vom 12.01.2024, eingelangt am 16.01.2024, war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden. Mit Schriftsatz vom 16.12.2024 brachte die Beschwerdeführerin – wie in der Ladung zur mündlichen Verhandlung aufgefordert – ihre Jahresabschlüsse der Jahre 2021 und 2022 zur Vorlage. Am 20.12.2024 fand sodann eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt, an der ein Vertreter der Datenschutzbehörde, der informierte Vertreter der beschuldigten juristischen Person (Geschäftsführer) sowie deren Verteidiger teilnahmen und in der XXXX , der von der XXXX die unzulässige Videoüberwachung bei der Datenschutzbehörde angezeigt hatte, als Zeuge einvernommen worden war.Am 20.12.2024 fand sodann eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt, an der ein Vertreter der Datenschutzbehörde, der informierte Vertreter der beschuldigten juristischen Person (Geschäftsführer) sowie deren Verteidiger teilnahmen und in der römisch 40 , der von der römisch 40 die unzulässige Videoüberwachung bei der Datenschutzbehörde angezeigt hatte, als Zeuge einvernommen worden war. Am Ende der mündlichen Verhandlung war die Beschwerdeführerin aufgefordert worden, Nachweise der vom Geschäftsführer genannten Jahresumsätze in den Jahren 2023 und 2024 spätestens bis zum 31.01.2025 vorzulegen. Im Protokoll war nach Schluss des Beweisverfahrens

§ 47Abs. 2 Vw

GVG festgehalten worden, dass nur im Falle der fristgerechten Vorlage der geforderten Nachweise die Jahresumsätze 2023 und 2024 im Rahmen der Strafbemessung Berücksichtigung finden können. Am Ende der mündlichen Verhandlung war die Beschwerdeführerin aufgefordert worden, Nachweise der vom Geschäftsführer genannten Jahresumsätze in den Jahren 2023 und 2024 spätestens bis zum 31.01.2025 vorzulegen. Im Protokoll war nach Schluss des Beweisverfahrens

Paragraph 47, Absatz 2, VwGVG festgehalten worden, dass nur im Falle der fristgerechten Vorlage der geforderten Nachweise die Jahresumsätze 2023 und 2024 im Rahmen der Strafbemessung Berücksichtigung finden können. Am 30.01.2025 brachte die Beschwerdeführerin ihren Jahresabschluss 2023 und ihre Saldenliste 2024 zur Vorlage. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen: Die Beschwerdeführerin betreibt am Standort XXXX , eine Werkstatt und übt das reglementierte Gewerbe „Kraftfahrzeugtechnik (Handwerk)“ aus. Die Beschwerdeführerin betreibt am Standort römisch 40 , eine Werkstatt und übt das reglementierte Gewerbe „Kraftfahrzeugtechnik (Handwerk)“ aus. Der Geschäftsführer der Beschwerdeführerin ist XXXX .Der Geschäftsführer der Beschwerdeführerin ist römisch 40 . Die Beschwerdeführerin hat im Zeitraum vom 01.02.2021 bis 28.10.2022 eine Videoüberwachungsanlage am Standort ihrer Werkstatt betrieben, wobei vom Aufnahmebereich der Videoüberwachungsanlage ein Teil des an der Werkstatt angrenzenden öffentlichen Gehsteigs sowie ein Teil der öffentlichen Gemeindestraße XXXX in XXXX erfasst wurden. Die Beschwerdeführerin hat im Zeitraum vom 01.02.2021 bis 28.10.2022 eine Videoüberwachungsanlage am Standort ihrer Werkstatt betrieben, wobei vom Aufnahmebereich der Videoüberwachungsanlage ein Teil des an der Werkstatt angrenzenden öffentlichen Gehsteigs sowie ein Teil der öffentlichen Gemeindestraße römisch 40 in römisch 40 erfasst wurden. Die Beschwerdeführerin hat diese Videoüberwachungsanlage straßenseitig im Bereich des Eingangstors der Werkstatt angebracht, um ihr Eigentum sowie das Eigentum ihrer Kunden zu schützen und um mögliche Straftaten im Aufnahmebereich zu dokumentieren bzw. um potenzielle Täter leichter ausfindig machen zu können. Die Aufzeichnungen der Videoüberwachungsanlage wurden für einen Zeitraum von 24 Stunden gespeichert und in der Folge automatisch gelöscht. Im Oktober 2022 wurde das dem Geschäftsführer gehörende Auto, welches direkt vor der Einfahrt der Werkstatt – also im Aufnahmebereich der Kamera – geparkt war, von einem anderen Auto beim Einparken beschädigt. Danach hat der Geschäftsführer die aufgenommenen Bilder der Videoüberwachung kontrolliert. Im Zuge dieser Bilddatenkontrolle hat er festgestellt, dass zwar das Auto, mit welchem der Schaden an seinem eigenen Auto verursacht wurde, gut zu erkennen war, dessen Kennzeichen aber nicht. Daher hat er vom Bildschirm mit seinem Handy ein Foto angefertigt, auf welchem dieses Auto zu sehen war. Zum Zweck der Kennzeicheneruierung des Unfallgegners hat der Geschäftsführer sodann im Zuge einer Anzeigenerstattung bei der Polizeiinspektion wegen Sachbeschädigung an seinem vor der Werkstatt auf der öffentlichen Straße abgestellten Auto im Polizeikommissariat XXXX ein von der Videoüberwachungsanlage stammendes Foto vorgelegt, auf dem auch ein Teil des öffentlichen Gehsteigs und ein Teil der öffentlichen Straße zu sehen war. Im Oktober 2022 wurde das dem Geschäftsführer gehörende Auto, welches direkt vor der Einfahrt der Werkstatt – also im Aufnahmebereich der Kamera – geparkt war, von einem anderen Auto beim Einparken beschädigt. Danach hat der Geschäftsführer die aufgenommenen Bilder der Videoüberwachung kontrolliert. Im Zuge dieser Bilddatenkontrolle hat er festgestellt, dass zwar das Auto, mit welchem der Schaden an seinem eigenen Auto verursacht wurde, gut zu erkennen war, dessen Kennzeichen aber nicht. Daher hat er vom Bildschirm mit seinem Handy ein Foto angefertigt, auf welchem dieses Auto zu sehen war. Zum Zweck der Kennzeicheneruierung des Unfallgegners hat der Geschäftsführer sodann im Zuge einer Anzeigenerstattung bei der Polizeiinspektion wegen Sachbeschädigung an seinem vor der Werkstatt auf der öffentlichen Straße abgestellten Auto im Polizeikommissariat römisch 40 ein von der Videoüberwachungsanlage stammendes Foto vorgelegt, auf dem auch ein Teil des öffentlichen Gehsteigs und ein Teil der öffentlichen Straße zu sehen war. Angemerkt wird, dass die Übermittlung des besagten Fotos an das Polizeikommissariat XXXX durch deren Mitteilung an die Datenschutzbehörde das gegenständliche Verwaltungsstrafverfahren ins Rollen gebracht hat. Angemerkt wird, dass die Übermittlung des besagten Fotos an das Polizeikommissariat römisch 40 durch deren Mitteilung an die Datenschutzbehörde das gegenständliche Verwaltungsstrafverfahren ins Rollen gebracht hat. Abgesehen von diesem einen Vorfall sind zu keinem Anlass jemals Fotos von den Aufnahmen der Videoüberwachungsanlage gemacht und gespeichert worden. Andere Bilddaten von Personen oder Autos sind demzufolge nicht gespeichert, sondern immer automatisch nach 24 Stunden gelöscht worden. Die Videoüberwachungsanlage war im gesamten Tatzeitraum nicht gekennzeichnet und es erfolgte auch sonst keine Informationserteilung an die betroffenen Personen über den Betrieb der gegenständlichen Videoüberwachungsanlage. Die Videoüberwachungsanlage wurde unmittelbar nach Zustellung der Aufforderung zur Rechtfertigung am 28.10.2022 abmontiert und ist seither nicht mehr in Verwendung. Etwaige Aufnahmen auf der Speicherkarte wurden gelöscht. Die Beschwerdeführerin beabsichtigt in Zukunft keine Videoüberwachungsanlagen in der oben dargestellten Form zu betreiben. Die Beschwerdeführerin erzielte in den Jahren 2021, 2022, 2023 und 2024 Umsatzerlöse iHv € 190.889,01, € 222.596,66, € 160.581,70 und € 149.618,
3. Beweiswürdigung: Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt. Die obigen Feststellungen sind auf der Grundlage der in der mündlichen Verhandlung vom 20.12.2024 aufgenommenen Beweise getroffen worden. Dass die Beschwerdeführerin als beschuldigte juristische Person am Standort XXXX , eine Werkstatt betreibt und XXXX deren Geschäftsführer ist, gründen sich insbesondere auf dem Auszug aus dem Firmenbuch (= Beilage Nr. 1 des Verhandlungsprotokolls). Dass die Beschwerdeführerin als beschuldigte juristische Person am Standort römisch 40 , eine Werkstatt betreibt und römisch 40 deren Geschäftsführer ist, gründen sich insbesondere auf dem Auszug aus dem Firmenbuch (= Beilage Nr. 1 des Verhandlungsprotokolls). Die Feststellungen zum Betrieb der gegenständlichen Videoüberwachungsanlage und zu ihrem Aufnahmebereich ergeben sich aus den glaubwürdigen Angaben des Geschäftsführers in der Verhandlung vom 20.12.2024, aber auch aus seiner bei der belangten Behörde eingebrachten Rechtfertigung vom 13.11.
4. Zum Tatzeitraum gab der Geschäftsführer allerdings insbesondere in der Verhandlung an, die Videoüberwachungskamera sei – im Gegensatz zum festgestellten Anfangsdatum im angefochtenen Straferkenntnis – Anfang 2021, spätestens am 01.02.2021, installiert und ab diesem Zeitpunkt betrieben worden. Aus diesem Grund wurde der Tatzeitraum oben neu mit „01.02.2021 bis 28.10.2022“ festgestellt. Die Feststellungen zum Verwendungszweck der Videoüberwachungskamera beruhen auf den diesbezüglich glaubhaften Angaben des Geschäftsführers in der Verhandlung (siehe Verhandlungsprotokoll S. 7). Die Angaben in Bezug auf die Speicherdauer der Aufzeichnung der Videoüberwachungsanlage folgen aus der schriftlichen Rechtfertigung der Beschwerdeführerin vom 13.11.2022 sowie aus den glaubhaften Angaben des Geschäftsführers in der Verhandlung (siehe Verhandlungsprotokoll S. 8). Die obigen Feststellungen zu dem Vorfall mit der Beschädigung des eigenen Autos im Aufnahmebereich der Videokamera ergeben sich aus den glaubwürdigen Angaben des Geschäftsführers (siehe Verhandlungsprotokoll S. 8). Dass die Videoüberwachungsanlage durch die Beschwerdeführerin unmittelbar nach dem Erhalt der Aufforderung durch die Datenschutzbehörde zur Rechtfertigung abmontiert wurde, ergibt sich ebenfalls aus der diesbezüglich glaubhaften Darstellung des Geschäftsführers. Zur Feststellung, dass sich die Kamera in diesem genannten Zeitraum auch grundsätzlich im Betrieb befand, gelangt der erkennende Senat vor allem durch die entsprechenden Angaben des Geschäftsführers, der auf Befragung des Vertreters der Datenschutzbehörde in der Verhandlung glaubhaft angab, dass während der Betriebszeiten der Werkstatt dauernd die Bilddaten im Aufnahmebereich aufgezeichnet wurden und außerhalb der Öffnungszeiten der Werkstatt die Videoüberwachungskamera allerdings nur über einen Bewegungsmelder aktiviert wurde (siehe Verhandlungsprotokoll S. 13). Dass die gegenständliche Videoüberwachungsanlage nicht gekennzeichnet war, wurde durch den Geschäftsführer selbst bestätigt (siehe Verhandlungsprotokoll S. 14). Daher hat die obige diesbezügliche Feststellung getroffen werden können. Dass die Kamera spätestens am 28.10.2022 abmontiert wurde bzw. seitdem nicht mehr in Verwendung ist und etwaige Aufnahmen auf der Speicherkarte gelöscht wurden, ist unstrittig. Die Feststellungen zu den Einkommens- und Vermögensverhältnissen der Beschwerdeführerin beruhen auf den vorgelegten Jahresabschlüssen der Jahre 2021, 2022, 2023 sowie der vorgelegten Saldenliste
6. Rechtliche Beurteilung: 3.1.

Art. 130Abs.

1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Abs.

1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde.

§ 27Abs.

2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7, leg. cit. und der Entscheidungspflicht der Datenschutzbehörde.

Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor. 3.2.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.2.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.

1. Zu A) 3.3.
2. Anzuwendende Rechtslage: 3.3.1.
3. Die maßgeblichen Bestimmungen der DSGVO: Artikel 4 – Begriffsbestimmungen:
4. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
5. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; 3.-
6. (…)
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. -
9. (…) Artikel 5 – Grundsätze für die Verarbeitung personenbezogener Daten:

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Kapitel IX

Kapitel römisch neun.

Absatz 1 Buchstaben c und e wird festgelegt durch

1. a)Unionsrecht oder
2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

Artikel 9

verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten

Artikel 10

verarbeitet werden,

1. d)die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
2. e)das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann Artikel 12 – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person:

den Artikeln 13 und 14 und alle Mitteilungen

den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte

den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen

den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

1. a)ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
2. b)sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

Artikel 92

delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen. Artikel 13 – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person:

Artikel 46

oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

1. a)die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
2. b)das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
3. c)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
4. d)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
5. e)ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
6. f)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Absatz 2 zur Verfügung.

diesem Artikel für Verstöße gegen diese Verordnung

den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

1. e)etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
2. f)Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
3. g)Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
4. h)Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
5. i)Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden; […]
6. k)jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

den Artikeln 8, 11, 25 bis 39, 42 und 43; […]

den Artikeln 5, 6, 7 und 9; b) die Rechte der betroffenen Personen

den Artikeln 12 bis 22; […] 3.3.1.2. Die maßgeblichen Bestimmungen des DSG: Beschwerde an die Datenschutzbehörde: § 24

§ 73AVG werden nicht eingerechnet:

Paragraph 73, AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.
3. die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO. 3.3.1.
4. Die maßgeblichen Bestimmungen des VStG: Strafen: § 10

Art. 5Abs.

1 lit. c DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung): Eine Gesamtbetrachtung des Grundsatzes der Datenminimierung inklusive seines Gebots der Beschränkung auf das notwendige Maß ergibt, dass darin die Gebote der Datenvermeidung und Datensparsamkeit enthalten sind, und sich die Anwendung auf zahlreiche Aspekte auffächert, die sich zum Teil mit dem Grundsatz der Zweckbindung und dem Grundsatz der Speicherbegrenzung überschneiden: Der Grundsatz der Datenminimierung beschränkt generell die Eingriffstiefe und damit die Art der Daten, den Personenbezug der Daten, die Menge der Daten, den Detailgrad der Daten, die Speicherdauer der Daten, die Anzahl der Nutzungen und den Kreis der Zugriffsberechtigten. Die Minimierung der Datenmenge bedeutet sowohl die Minimierung der Anzahl der Betroffenen als auch die Minimierung der Datenmenge pro Betroffenem. (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO, Rz 39 [Stand 07.05.2020, rdb.at]).

Artikel 5

, Absatz eins, Litera c, DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung): Eine Gesamtbetrachtung des Grundsatzes der Datenminimierung inklusive seines Gebots der Beschränkung auf das notwendige Maß ergibt, dass darin die Gebote der Datenvermeidung und Datensparsamkeit enthalten sind, und sich die Anwendung auf zahlreiche Aspekte auffächert, die sich zum Teil mit dem Grundsatz der Zweckbindung und dem Grundsatz der Speicherbegrenzung überschneiden: Der Grundsatz der Datenminimierung beschränkt generell die Eingriffstiefe und damit die Art der Daten, den Personenbezug der Daten, die Menge der Daten, den Detailgrad der Daten, die Speicherdauer der Daten, die Anzahl der Nutzungen und den Kreis der Zugriffsberechtigten. Die Minimierung der Datenmenge bedeutet sowohl die Minimierung der Anzahl der Betroffenen als auch die Minimierung der Datenmenge pro Betroffenem. vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO, Rz 39 [Stand 07.05.2020, rdb.at]). Art. 6 Abs. 1 lit. f DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist. Diese berechtigten Interessen stellen jedoch dann keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, mit zu berücksichtigen. Das Konzept der vernünftigen Erwartungen der betroffenen Person ist nicht empirisch, sondern normativ zu verstehen, ansonsten würde man unzulässigerweise vom Sein auf das Sollen schließen; es kommt daher darauf an, ob die betroffene Person die subjektive Erwartung hat, geschützt sein zu sollen, und diese Erwartung objektiv legitim ist. Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der belangten Behörde und dem OGH in ihrer Entscheidungspraxis herangezogen wird:Artikel 6, Absatz eins, Litera f, DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist. Diese berechtigten Interessen stellen jedoch dann keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, mit zu berücksichtigen. Das Konzept der vernünftigen Erwartungen der betroffenen Person ist nicht empirisch, sondern normativ zu verstehen, ansonsten würde man unzulässigerweise vom Sein auf das Sollen schließen; es kommt daher darauf an, ob die betroffene Person die subjektive Erwartung hat, geschützt sein zu sollen, und diese Erwartung objektiv legitim ist. Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Artikel 7, Litera f, DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist, das auch von der belangten Behörde und dem OGH in ihrer Entscheidungspraxis herangezogen wird:

1. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,
2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person. Im Kern ist eine Abwägung der berührten Interessen (Interessenabwägung) im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten. Fällt diese Interessenabwägung zugunsten des Verantwortlichen oder eines Dritten aus, ist die Verarbeitung grundsätzlich zulässig (unter Beachtung der weiteren, vorgenannten Voraussetzungen, sowie insb. des Art. 5 DSGVO). Für die Vornahme der Interessenabwägung ist der Verantwortliche zuständig und nachweispflichtig (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO [Stand 07.05.2020, rdb.at]).Im Kern ist eine Abwägung der berührten Interessen (Interessenabwägung) im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten. Fällt diese Interessenabwägung zugunsten des Verantwortlichen oder eines Dritten aus, ist die Verarbeitung grundsätzlich zulässig (unter Beachtung der weiteren, vorgenannten Voraussetzungen, sowie insb. des Artikel 5, DSGVO). Für die Vornahme der Interessenabwägung ist der Verantwortliche zuständig und nachweispflichtig vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO [Stand 07.05.2020, rdb.at]). Wie oben bereits festgestellt, betrieb die Beschwerdeführerin vom 01.02.2021 bis 28.10.2022 eine Videoüberwachungsanlage am Standort ihrer Werkstatt in der XXXX , bei der der Kamerawinkel so eingestellt war, dass ein Teil des am Tatort angrenzenden öffentlichen Gehsteigs sowie ein Teil der öffentlichen Gemeindestraße XXXX in XXXX erfasst wurden.Wie oben bereits festgestellt, betrieb die Beschwerdeführerin vom 01.02.2021 bis 28.10.2022 eine Videoüberwachungsanlage am Standort ihrer Werkstatt in der römisch 40 , bei der der Kamerawinkel so eingestellt war, dass ein Teil des am Tatort angrenzenden öffentlichen Gehsteigs sowie ein Teil der öffentlichen Gemeindestraße römisch 40 in römisch 40 erfasst wurden. Die Beschwerdeführerin benutzte diese Videoüberwachungsanlage um ihr Eigentum sowie das Eigentum ihrer Kunden zu schützen und um mögliche Straftaten ihre Werkstatt betreffend zu dokumentieren und um potenzielle Täter leichter ausfindig machen zu können. Abgesehen von dem Vorfall mit dem beschäftigten Auto des Geschäftsführers im Oktober 2022, als zu dem genannten Zweck ein Foto vom Bildschirm der Videoüberwachungsanlage angefertigt wurde, sind zu keinem Anlass weitere Fotos von der Videoüberwachungsanlage gemacht und gespeichert worden. Der belangten Behörde ist dahingehend zu folgen, wenn sie vermeint, dass im vorliegenden Fall das grundrechtlich geschützte Recht auf Geheimhaltung der zufällig in den Aufnahmebereich der Bildaufnahme gelangenden Fußgänger und Verkehrsteilnehmer ein allfälliges Interesse am Betrieb der Bildaufnahme überwiegt, und zwar aus folgenden Erwägungen: Die Beschwerdeführerin hat ein rechtfertigendes Interesse des iSd Art. 6 Abs. 1 lit. f DSGVO am Betrieb der Bildaufnahme vor (Schutz ihres Eigentums, Schutz des Eigentums ihrer Kunden, Ausforschung potenzieller Straftäter) vorgebracht. Allerdings wird ein maßgeblicher Bereich des – vor der Werkstatt liegenden – öffentlichen Raumes von der Videokamera erfasst und zufällig dort vorbeikommende Fußgänger und Verkehrsteilnehmer – bei welchen es sich naturgemäß auch nicht ausschließlich um Kunden der Beschwerdeführerin handeln muss – müssen vernünftigerweise nicht damit rechnen, dass sie am erfassten Gehsteig bzw. Straßenteil aufgenommen werden. Im Ergebnis ist der belangten Behörde daher zuzustimmen, dass die gegenständliche Videoüberwachungsanlage auch zur Erfüllung des genannten Zwecks nicht auf das notwendige Maß beschränkt war und darüber hinaus die Geheimhaltungsinteressen der betroffenen Personen (die zufällig an der Werkstatt vorbeikommenden Fußgänger und Verkehrsteilnehmer) überwiegen, sodass im vorliegend die Tatbestandsvoraussetzungen des Art. 6 Abs. 1 lit. f DSGVO nicht erfüllt sind und sich die Datenverarbeitung als unrechtmäßig erweist. Eine andere rechtfertigende Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO ist für den erkennenden Senat nicht ersichtlich und wurde von der Beschwerdeführerin auch nicht vorgebracht.Die Beschwerdeführerin hat ein rechtfertigendes Interesse des iSd Artikel 6, Absatz eins, Litera f, DSGVO am Betrieb der Bildaufnahme vor (Schutz ihres Eigentums, Schutz des Eigentums ihrer Kunden, Ausforschung potenzieller Straftäter) vorgebracht. Allerdings wird ein maßgeblicher Bereich des – vor der Werkstatt liegenden – öffentlichen Raumes von der Videokamera erfasst und zufällig dort vorbeikommende Fußgänger und Verkehrsteilnehmer – bei welchen es sich naturgemäß auch nicht ausschließlich um Kunden der Beschwerdeführerin handeln muss – müssen vernünftigerweise nicht damit rechnen, dass sie am erfassten Gehsteig bzw. Straßenteil aufgenommen werden. Im Ergebnis ist der belangten Behörde daher zuzustimmen, dass die gegenständliche Videoüberwachungsanlage auch zur Erfüllung des genannten Zwecks nicht auf das notwendige Maß beschränkt war und darüber hinaus die Geheimhaltungsinteressen der betroffenen Personen (die zufällig an der Werkstatt vorbeikommenden Fußgänger und Verkehrsteilnehmer) überwiegen, sodass im vorliegend die Tatbestandsvoraussetzungen des Artikel 6, Absatz eins, Litera f, DSGVO nicht erfüllt sind und sich die Datenverarbeitung als unrechtmäßig erweist. Eine andere rechtfertigende Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO ist für den erkennenden Senat nicht ersichtlich und wurde von der Beschwerdeführerin auch nicht vorgebracht. Damit ist der objektive Tatbestand einer Verletzung des Art. 5 Abs. 1 lit. a und c und des Art. 6 Abs. 1 lit. f DSGVO erfüllt, da den Grundsätzen der Datenminimierung und der Rechtmäßigkeit der Datenverarbeitung nicht entsprochen wurde.Damit ist der objektive Tatbestand einer Verletzung des Artikel 5, Absatz eins, Litera a und c und des Artikel 6, Absatz eins, Litera f, DSGVO erfüllt, da den Grundsätzen der Datenminimierung und der Rechtmäßigkeit der Datenverarbeitung nicht entsprochen wurde. Die Strafbarkeit dieses Verstoßes gründet sich auf § 83 Abs. 1 und 5 DSGVO.Die Strafbarkeit dieses Verstoßes gründet sich auf Paragraph 83, Absatz eins und 5 DSGVO. 3.3.2.1.
4. Fehlende Kennzeichnung der Videoüberwachungsanlage (
5. Tatbestand): Art. 5 Abs. 1 lit. a DSGVO sieht vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). Artikel 5, Absatz eins, Litera a, DSGVO sieht vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). In der DSGVO wird der Grundsatz der Transparenz durch Art. 13 und 14 zur Informationspflicht sowie Art. 12 zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie gegebenfalls übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO [Stand 07.05.2020, rdb.at]).In der DSGVO wird der Grundsatz der Transparenz durch Artikel 13 und 14 zur Informationspflicht sowie Artikel 12, zu den diesbezüglichen Modalitäten konkretisiert. Diesen Bestimmungen sowie den ErwGr 39 und 58 kann somit auch der Gehalt des Grundsatzes der Transparenz entnommen werden: Für die Betroffenen muss erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie gegebenfalls übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO [Stand 07.05.2020, rdb.at]). Da die Beschwerdeführerin unbestritten es verabsäumt hat, entweder die Videoüberwachungsanlage zu kennzeichnen oder die betroffenen Personen in sonstiger Weise zu informieren, hat sie auch gegen das Transparenzgebot und ihre Informationspflichten nach Art. 5 Abs. 1 lit. a iVm Art. 12 und Art. 13 DSGVO verstoßen. Damit ist der objektive Tatbestand einer Verletzung des Art. 5 Abs. 1 lit. a DSGVO iVm Art. 12 und Art. 13 DSGVO verwirklicht worden. Da die Beschwerdeführerin unbestritten es verabsäumt hat, entweder die Videoüberwachungsanlage zu kennzeichnen oder die betroffenen Personen in sonstiger Weise zu informieren, hat sie auch gegen das Transparenzgebot und ihre Informationspflichten nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 12 und Artikel 13, DSGVO verstoßen. Damit ist der objektive Tatbestand einer Verletzung des Artikel 5, Absatz eins, Litera a, DSGVO in Verbindung mit Artikel 12 und Artikel 13, DSGVO verwirklicht worden. Die Strafbarkeit dieses Verstoßes gründet sich ebenfalls auf Art. 83 Abs. 1 und 5 DSGVO.Die Strafbarkeit dieses Verstoßes gründet sich ebenfalls auf Artikel 83, Absatz eins und 5 DSGVO. 3.3.2.
6. Strafrechtliche Verantwortlichkeit und Verschulden der Beschwerdeführerin Die belangte Behörde hielt im angefochtenen Straferkenntnis fest, dass die subjektive Tatseite ebenfalls erfüllt sei, da Verschulden in Form von Fahrlässigkeit (Art. 83 Abs. 2 lit. b DSGVO) vorliege.Die belangte Behörde hielt im angefochtenen Straferkenntnis fest, dass die subjektive Tatseite ebenfalls erfüllt sei, da Verschulden in Form von Fahrlässigkeit (Artikel 83, Absatz 2, Litera b, DSGVO) vorliege. Der Geschäftsführer der Beschwerdeführerin brachte dazu in der mündlichen Verhandlung lediglich vor, es sei ihm nicht bewusst gewesen, dass das Betreiben der Videoüberwachungsanlage in der gegenständlichen Konstellation verboten sei, und er habe nach Erhalt des Schreibens zur Rechtfertigung von der belangten Behörde die Kamera unverzüglich entfernt. Hierzu ist zunächst festzuhalten, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist.Hierzu ist zunächst festzuhalten, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Artikel 83, DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Unter Verweis auf die Rechtsprechung des EuGH (Urteil vom 05.12.2023, C-807/21) hat der Verwaltungsgerichtshof ausgesprochen, dass die „aus dem nationalen Recht [dem VStG] abgeleitete Vorgabe, wonach für eine Verhängung einer Geldbuße nach der DSGVO über eine juristische Person im Spruch des Straferkenntnisses alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufzunehmen seien, unangewendet (…) bleiben“ muss. Der EuGH stellte zudem in diesem Urteil ausdrücklich klar, dass die Anwendung von Art. 83 DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt (vgl. EuGH 05.12.2023, C-807/21, Rz 77). Die Verantwortung und Haftung eines/einer Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der/die Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind (vgl. EuGH 05.12.2023, C-807/21, unter Verweis auf ErwGr 74). Unter Verweis auf die Rechtsprechung des EuGH (Urteil vom 05.12.2023, C-807/21) hat der Verwaltungsgerichtshof ausgesprochen, dass die „aus dem nationalen Recht [dem VStG] abgeleitete Vorgabe, wonach für eine Verhängung einer Geldbuße nach der DSGVO über eine juristische Person im Spruch des Straferkenntnisses alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufzunehmen seien, unangewendet (…) bleiben“ muss. Der EuGH stellte zudem in diesem Urteil ausdrücklich klar, dass die Anwendung von Artikel 83, DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt vergleiche EuGH 05.12.2023, C-807/21, Rz 77). Die Verantwortung und Haftung eines/einer Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der/die Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind vergleiche EuGH 05.12.2023, C-807/21, unter Verweis auf ErwGr 74). Nach der Rechtsprechung des EuGH können nur Verstöße gegen Bestimmungen der DSGVO, die der/die Verantwortliche schuldhaft begangen hat, zur Verhängung einer Geldbuße führen. Verschulden liegt aber bereits dann vor, wenn der/die Beschuldigte sich über die Rechtswidrigkeit seines/ihres Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm/ihr dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 68, 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN).Nach der Rechtsprechung des EuGH können nur Verstöße gegen Bestimmungen der DSGVO, die der/die Verantwortliche schuldhaft begangen hat, zur Verhängung einer Geldbuße führen. Verschulden liegt aber bereits dann vor, wenn der/die Beschuldigte sich über die Rechtswidrigkeit seines/ihres Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm/ihr dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 68, 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN). Im vorliegenden Fall ist es unstrittig, dass die Verstöße von der Beschwerdeführerin begangen wurden. Es ist zwar nicht davon auszugehen, dass die Beschwerdeführerin als Verantwortliche iSd Art. 4 Z 7 DSGVO vorsätzlich gegen die Bestimmungen der Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1 lit. f sowie Art. 12 und Art. 13 DSGVO verstoßen hat, jedoch liegt im Sinne der Rechtsprechung des EuGH augenscheinlich Verschulden in Form von Fahrlässigkeit vor. Gegenständlich wurde durch die Beschwerdeführerin eine Videoüberwachungsanlage ab 01.02.2021 installiert und in Betrieb genommen, ohne sich vorab über die einschlägigen Verwaltungsvorschriften nach der DSGVO zu erkundigen. Im vorliegenden Fall ist es unstrittig, dass die Verstöße von der Beschwerdeführerin begangen wurden. Es ist zwar nicht davon auszugehen, dass die Beschwerdeführerin als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO vorsätzlich gegen die Bestimmungen der Artikel 5, Absatz eins, Litera a und c, Artikel 6, Absatz eins, Litera f, sowie Artikel 12 und Artikel 13, DSGVO verstoßen hat, jedoch liegt im Sinne der Rechtsprechung des EuGH augenscheinlich Verschulden in Form von Fahrlässigkeit vor. Gegenständlich wurde durch die Beschwerdeführerin eine Videoüberwachungsanlage ab 01.02.2021 installiert und in Betrieb genommen, ohne sich vorab über die einschlägigen Verwaltungsvorschriften nach der DSGVO zu erkundigen. Angesichts des Betreibens der konkreten Videoüberwachungsanlage konnte sich die Beschwerdeführerin nach der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens, über die Aufnahme von öffentlichen Bereichen und die Nichtkennzeichnung der Videoüberwachungsanlage, nicht im Unklaren sein, gleichviel, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt, wodurch ein Verschulden der Beschwerdeführerin in Form von Fahrlässigkeit jedenfalls gegeben ist. Damit ist die subjektive Tatseite der Verstöße gegen Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1 lit. f DSGVO sowie Art. 12 und Art. 13 DSGVO im gegenständlichen Fall verwirklicht worden. Damit ist die subjektive Tatseite der Verstöße gegen Artikel 5, Absatz eins, Litera a und c, Artikel 6, Absatz eins, Litera f, DSGVO sowie Artikel 12 und Artikel 13, DSGVO im gegenständlichen Fall verwirklicht worden. 3.3.2.
7. Strafbemessung Mit dem angefochtenen Straferkenntnis wurde über die Beschwerdeführerin eine Geldstrafe iHv € 3.190,00 verhängt und die Beschwerdeführerin zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens iHv 10% der Strafe, sohin € 319,00, verpflichtet. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist vergleiche VwGH 05.09.2013, 2013/09/0106). Der Strafrahmen reicht

Art. 83Abs.

5 DSGVO bis zu einem Betrag von € 20.000.000,00 oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist. Der Strafrahmen reicht

Artikel 83

, Absatz 5, DSGVO bis zu einem Betrag von € 20.000.000,00 oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist. Bei der Bemessung der Geldbuße innerhalb dieses Bußgeldrahmens war für den erkennenden Senat Folgendes maßgebend: Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall „gebührend“ zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.Nach Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Artikel 83, Absatz 2, DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall „gebührend“ zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit. Obwohl der Umsatz des Unternehmens in Art. 83 Abs. 2 DSGVO nicht ausdrücklich als Kriterium für die Bemessung der Geldbuße genannt wird, kommt dem Umsatz des Unternehmens bei der Bemessung der Geldbuße sehr wohl eine Bedeutung zu:Obwohl der Umsatz des Unternehmens in Artikel 83, Absatz 2, DSGVO nicht ausdrücklich als Kriterium für die Bemessung der Geldbuße genannt wird, kommt dem Umsatz des Unternehmens bei der Bemessung der Geldbuße sehr wohl eine Bedeutung zu: Das Landgericht Bonn führt in seinem Urteil vom 11.11.2020, 29 OWi 1/20, beispielsweise aus, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße Bedeutung zukommt: „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen

Art. 83Abs.

1 DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden.“Das Landgericht Bonn führt in seinem Urteil vom 11.11.2020, 29 OWi 1/20, beispielsweise aus, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße Bedeutung zukommt: „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen

Artikel 83, Absatz eins, DSGVO wirksam und abschreckend sein.

Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden.“ Auch die Leitlinien des EDSA 04/2022 gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1/2021 des EDSA, Rz 411 und 412) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist, wobei laut Leitlinien auch die wirtschaftliche Überlebensfähigkeit bei der Verhältnismäßigkeit zu berücksichtigen ist (siehe die Leitlinien des EDSA 04/2022, Rz 63ff.)Auch die Leitlinien des EDSA 04 aus 2022, gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1 aus 2021, des EDSA, Rz 411 und 412) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist, wobei laut Leitlinien auch die wirtschaftliche Überlebensfähigkeit bei der Verhältnismäßigkeit zu berücksichtigen ist (siehe die Leitlinien des EDSA 04 aus 2022,, Rz 63ff.) Bei der Strafbemessung ist nicht der Umsatz im letzten abgeschlossenen Geschäftsjahr vor Erlass des Bußgeldbescheides/Straferkenntnisses zu berücksichtigen, sondern die im Entscheidungszeitpunkt des Bundesverwaltungsgerichtes aktuelle Einkommens- und Vermögenslage des Beschwerdeführers, zumal nur so sichergestellt werden kann, dass die Geldbuße zu dem Zeitpunkt, zu welchem sie beglichen werden muss (nach Erlass des Erkenntnisses des Bundesverwaltungsgerichtes) auch verhältnismäßig iSd Art. 83 Abs. 1 DSGVO ist. Diese Sichtweise deckt sich einerseits mit der Rechtsprechung des Verwaltungsgerichtshofes zu § 19 Abs. 2 VStG, wonach allfällige Veränderungen der Einkommens-, Vermögensverhältnisse im Laufe des Rechtsmittelverfahrens zu berücksichtigen sind (vgl. VwGH 29.01.2007, 2006/03/0155) andererseits auch mit den Ausführungen des EDSA zur wirtschaftlichen Überlebensfähigkeit, wonach das Unternehmen detaillierte Finanzdaten für die letzten fünf Jahre sowie Prognosen für das laufende und die nächsten zwei Jahre vorlegen muss (vgl. Leitlinien des EDSA 04/2022, Rz 140ff.).Bei der Strafbemessung ist nicht der Umsatz im letzten abgeschlossenen Geschäftsjahr vor Erlass des Bußgeldbescheides/Straferkenntnisses zu berücksichtigen, sondern die im Entscheidungszeitpunkt des Bundesverwaltungsgerichtes aktuelle Einkommens- und Vermögenslage des Beschwerdeführers, zumal nur so sichergestellt werden kann, dass die Geldbuße zu dem Zeitpunkt, zu welchem sie beglichen werden muss (nach Erlass des Erkenntnisses des Bundesverwaltungsgerichtes) auch verhältnismäßig iSd Artikel 83, Absatz eins, DSGVO ist. Diese Sichtweise deckt sich einerseits mit der Rechtsprechung des Verwaltungsgerichtshofes zu Paragraph 19, Absatz 2, VStG, wonach allfällige Veränderungen der Einkommens-, Vermögensverhältnisse im Laufe des Rechtsmittelverfahrens zu berücksichtigen sind vergleiche VwGH 29.01.2007, 2006/03/0155) andererseits auch mit den Ausführungen des EDSA zur wirtschaftlichen Überlebensfähigkeit, wonach das Unternehmen detaillierte Finanzdaten für die letzten fünf Jahre sowie Prognosen für das laufende und die nächsten zwei Jahre vorlegen muss vergleiche Leitlinien des EDSA 04 aus 2022,, Rz 140ff.). Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (§ 19 Abs. 1 VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse (und allfällige Sorgepflichten) des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (§ 19 Abs. 2 VStG).Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsguts und die Intensität seiner Beeinträchtigung durch die Tat (Paragraph 19, Absatz eins, VStG). Überdies sind die in Betracht kommenden Erschwerungs- und Milderungsgründe gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechts sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögens-verhältnisse (und allfällige Sorgepflichten) des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (Paragraph 19, Absatz 2, VStG). Der festgestellte unzulässige Betrieb der Videoüberwachung und deren Nichtkennzeichnung waren potenziell dazu geeignet, eine große Zahl an Betroffenen (hier: sowohl zufällig am Außenbereich vorbeikommende Passanten als auch sonstige auf der angrenzenden Straße vorbeifahrenden Verkehrsteilnehmer) in deren grundrechtlich geschütztes Recht auf Geheimhaltung iSd § 1 DSG zu verletzen. Die aufgenommenen Bilddaten wurden jedoch automatisch nach 24 Stunden gelöscht mit der einen Ausnahme des vom Geschäftsführer aufgenommenen Fotos des Bildschirms nach der Beschädigung seines Autos, wobei auf diesem Foto keine betroffenen Personen abgelichtet waren. Da die Bilddaten Betroffener immer gelöscht wurden, geht der erkennende Senat von einem geringfügigen Schweregrad der Verstöße aus. Der festgestellte unzulässige Betrieb der Videoüberwachung und deren Nichtkennzeichnung waren potenziell dazu geeignet, eine große Zahl an Betroffenen (hier: sowohl zufällig am Außenbereich vorbeikommende Passanten als auch sonstige auf der angrenzenden Straße vorbeifahrenden Verkehrsteilnehmer) in deren grundrechtlich geschütztes Recht auf Geheimhaltung iSd Paragraph eins, DSG zu verletzen. Die aufgenommenen Bilddaten wurden jedoch automatisch nach 24 Stunden gelöscht mit der einen Ausnahme des vom Geschäftsführer aufgenommenen Fotos des Bildschirms nach der Beschädigung seines Autos, wobei auf diesem Foto keine betroffenen Personen abgelichtet waren. Da die Bilddaten Betroffener immer gelöscht wurden, geht der erkennende Senat von einem geringfügigen Schweregrad der Verstöße aus. Die Verstöße wurden jeweils über einen längeren Zeitraum von mehr als 1,5 Jahren vollzogen. Die Verstöße beruhten auf Fahrlässigkeit. Erschwerend wurden von der belangten Behörde keine Umstände berücksichtigt und sind solche auch im Verfahren vor dem Bundesverwaltungsgericht nicht hervorgekommen. Mildernd wurden von der belangten Behörde die Tatsachen gewertet, dass gegen die Beschwerdeführerin bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen würden, ihre Mitwirkung im gegenständlichen Ermittlungsverfahren und der Umstand, dass sie umgehend nach Zustellung der Aufforderung zur Rechtfertigung die gegenständliche Verarbeitung nicht weiter fortgesetzt habe. Nach der Rechtsprechung des VwGH sind die Einkommens- und Vermögensverhältnisse des/der Beschuldigten bei der Bemessung von Geldstrafen im Sinne des § 19 Abs. 2 letzter Satz VStG zu berücksichtigen. Der VwGH führt dazu aus: „Dazu wurde in der hg Rechtsprechung bereits erkannt, dass die Verhängung einer Geldstrafe auch dann gerechtfertigt ist, wenn der Bestrafte kein Einkommen bezieht (Hinweis E vom 15. Oktober 2002, 2001/21/0087, mwN), und selbst das Vorliegen ungünstiger Einkommens- und Vermögensverhältnisse nicht bedeutet, dass Anspruch auf Verhängung der Mindeststrafe besteht (Hinweis E vom 16. September 2009, 2009/09/0150, mwN) (VwGH vom 01.10.2014, Ra 2014/09/0022).Nach der Rechtsprechung des VwGH sind die Einkommens- und Vermögensverhältnisse des/der Beschuldigten bei der Bemessung von Geldstrafen im Sinne des Paragraph 19, Absatz 2, letzter Satz VStG zu berücksichtigen. Der VwGH führt dazu aus: „Dazu wurde in der hg Rechtsprechung bereits erkannt, dass die Verhängung einer Geldstrafe auch dann gerechtfertigt ist, wenn der Bestrafte kein Einkommen bezieht (Hinweis E vom 15. Oktober 2002, 2001/21/0087, mwN), und selbst das Vorliegen ungünstiger Einkommens- und Vermögensverhältnisse nicht bedeutet, dass Anspruch auf Verhängung der Mindeststrafe besteht (Hinweis E vom 16. September 2009, 2009/09/0150, mwN) (VwGH vom 01.10.2014, Ra 2014/09/0022). Die Beschwerdeführerin erzielte im Jahr 2022 einen Umsatzerlös iHv € 222.596,66. Im Jahr 2024 hat die Beschwerdeführerin hingegen nur noch einen Umsatzerlös iHv € 149.618,97 erzielt. Unter Berücksichtigung der dargestellten Rahmenbedingungen einer Strafbemessung ist der erkennende Senat der Ansicht, dass die Geldstrafe von der belangten Behörde in Höhe des Gesamtbetrags von € 3.509,00 zu hoch angesetzt wurde, weil – abgesehen von dem einen oben erwähnten Vorfall mit dem Parkschaden am Auto des Geschäftsführers der Beschwerdeführerin – zu keinem Anlass sonst jemals Fotos des Bildmaterials der Videoüberwachungskamera vor der Löschung gemacht und andere Bilddaten von Personen oder Autos nach 24 Stunden immer automatisch gelöscht worden sind. Auch hat die Beschwerdeführerin sich nach Bekanntwerden möglicher Verstöße gegen die DSGVO darum gekümmert, dass der Zustand unverzüglich beseitigt wird, was nach Meinung des erkennenden Senats als besonderer Milderungsgrund zu werten ist. Darüber hinaus sind durch die Beschwerdeführerin keine weiteren derartigen Verstöße nach der DSGVO zu befürchten. Ausgehend von der kleinen Größe der KFZ-Werkstatt und einem Umsatzerlös von nur ca. € 150.000 im Jahr 2024 erscheint für den erkennenden Senat für die verwirklichten Verstöße nach der DSGVO eine Geldstrafe iHv € 1.100,00 tat- und schuldangemessen. 3.3.2.4. Aus den oben dargelegten Gründen wird die Beschwerde in den Schuldfragen hinsichtlich der Spruchteile I. und II. des o.a. Straferkenntnisses mit einer Maßgabenabänderung des jeweiligen Spruchs zum Tatzeitraum spruchgemäß abgewiesen. 3.3.2.4. Aus den oben dargelegten Gründen wird die Beschwerde in den Schuldfragen hinsichtlich der Spruchteile römisch eins. und römisch zwei. des o.a. Straferkenntnisses mit einer Maßgabenabänderung des jeweiligen Spruchs zum Tatzeitraum spruchgemäß abgewiesen. Hingegen wird der Beschwerde hinsichtlich der Höhe der Strafe teilweise stattgegeben und die Strafe spruchgemäß herabgesetzt. 3.3.2.5. Zu den Kosten des Verwaltungsstrafverfahrens sowie des Beschwerdeverfahrens:

§ 64Abs. 1 VSt

G ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat.

§ 64Abs. 2 VSt

G ist dieser Beitrag für das Verfahren erster Instanz mit 10% der verhängten Strafe, mindestens jedoch mit € 10,00 zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf € 110,00 zu reduzieren.

Paragraph 64, Absatz eins, VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat.

Paragraph 64, Absatz 2, VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10% der verhängten Strafe, mindestens jedoch mit € 10,00 zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf € 110,00 zu reduzieren. Da der Beschwerde teilweise Folge gegeben wurde, waren der Beschwerdeführerin keine Kosten des Beschwerdeverfahrens aufzuerlegen (§ 52 Abs. 8 VwGVG).Da der Beschwerde teilweise Folge gegeben wurde, waren der Beschwerdeführerin keine Kosten des Beschwerdeverfahrens aufzuerlegen (Paragraph 52, Absatz 8, VwGVG). 3.3.2.

1. Zahlungsinformation: Die Beschwerdeführerin hat den Gesamtbetrag von € 1.210,00 (Strafe und Kosten des verwaltungsbehördlichen Strafverfahrens) binnen zwei Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben wird. 3.
2. Zu B) Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (wie oben unter 3.3.2. ausgeführt), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (wie oben unter 3.3.2. ausgeführt), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2025:W101.2284403.1.00