H abgeschlossen worden sei. Die XXXX GmbH sei im Auftrag der Beschwerdeführerin und in ihrer Rolle als Auftragsverarbeiterin für die Verarbeitung von personenbezogenen (Gesundheits-)Daten über Proben von natürlichen Personen, die von der Beschwerdeführerin einem PCR-COVID-19-Testverfahren unterzogen worden seien, tätig gewesen. Die PCR-Testergebnisse seien von der Beschwerdeführerin innerhalb einer von XXXX GmbH zur Verfügung gestellten Software eingetragen und sind seitdem in einer Datenbank der XXXX GmbH archiviert worden.römisch vier. Die Beschwerdeführerin habe außerdem in ihrer Rolle als Verantwortliche im Zeitraum vom 05.05.2021 bis einschließlich 13.02.2022 gegen ihre in Artikel 28, Absatz 3, DSGVO normierte Pflicht verstoßen, indem kein
H abgeschlossen worden sei. Die römisch 40 GmbH sei im Auftrag der Beschwerdeführerin und in ihrer Rolle als Auftragsverarbeiterin für die Verarbeitung von personenbezogenen (Gesundheits-)Daten über Proben von natürlichen Personen, die von der Beschwerdeführerin einem PCR-COVID-19-Testverfahren unterzogen worden seien, tätig gewesen. Die PCR-Testergebnisse seien von der Beschwerdeführerin innerhalb einer von römisch 40 GmbH zur Verfügung gestellten Software eingetragen und sind seitdem in einer Datenbank der römisch 40 GmbH archiviert worden. Für die Verarbeitung im Zeitraum vom 05.05.2021 bis 13.02.2022 habe kein schriftlicher Vertrag iSd Art. 28 Abs. 9 DSGVO vorgelegt werden können. Die Beschwerdeführerin habe erst am 14.02.2022 einen Auftragsverarbeitungsvertrag mit der XXXX GmbH abgeschlossen. Die Verarbeitung der personenbezogenen (Gesundheits-)Daten durch die XXXX GmbH als Auftragsverarbeiterin sei im Zeitraum vom 05.05.2021 bis einschließlich 13.02.2022 somit ohne
Sd Artikel 28, Absatz 9, DSGVO vorgelegt werden können. Die Beschwerdeführerin habe erst am 14.02.2022 einen Auftragsverarbeitungsvertrag mit der römisch 40 GmbH abgeschlossen. Die Verarbeitung der personenbezogenen (Gesundheits-)Daten durch die römisch 40 GmbH als Auftragsverarbeiterin sei im Zeitraum vom 05.05.2021 bis einschließlich 13.02.2022 somit ohne
V. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche im Zeitraum vom 07.06.2021 bis einschließlich 12.04.2022 gegen ihre Verpflichtung zur Benennung eines Datenschutzbeauftragten gemäß Art. 37 Abs. 1 lit. c DSGVO verstoßen, indem sie keinen geeigneten Datenschutzbeauftragten in Entsprechung der Vorgaben nach Art. 37 Abs. 5 DSGVO bestellt habe. Die von der Verantwortlichen mit 07.06.2021 bestellte Datenschutzbeauftragte XXXX sei nicht auf Grundlage ihrer beruflichen Qualifikation und insbesondere ihres Fachwissens benannt worden, das sie auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitze oder auf der Grundlage ihrer Fähigkeiten zur Erfüllung der in Art. 39 DSGVO genannten Aufgaben. Die von der Beschwerdeführerin bestellte Datenschutzbeauftragte habe keine datenschutzrelevante Praxiserfahrung oder abgeschlossene Ausbildung/Zertifizierung gehabt und sei daher auch nicht geeignet gewesen, um die in Art. 39 genannten Aufgaben eines Datenschutzbeauftragten zu erfüllen.römisch fünf. Die Beschwerdeführerin habe in ihrer Rolle als Verantwortliche im Zeitraum vom 07.06.2021 bis einschließlich 12.04.2022 gegen ihre Verpflichtung zur Benennung eines Datenschutzbeauftragten gemäß Artikel 37, Absatz eins, Litera c, DSGVO verstoßen, indem sie keinen geeigneten Datenschutzbeauftragten in Entsprechung der Vorgaben nach Artikel 37, Absatz 5, DSGVO bestellt habe. Die von der Verantwortlichen mit 07.06.2021 bestellte Datenschutzbeauftragte römisch 40 sei nicht auf Grundlage ihrer beruflichen Qualifikation und insbesondere ihres Fachwissens benannt worden, das sie auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitze oder auf der Grundlage ihrer Fähigkeiten zur Erfüllung der in Artikel 39, DSGVO genannten Aufgaben. Die von der Beschwerdeführerin bestellte Datenschutzbeauftragte habe keine datenschutzrelevante Praxiserfahrung oder abgeschlossene Ausbildung/Zertifizierung gehabt und sei daher auch nicht geeignet gewesen, um die in Artikel 39, genannten Aufgaben eines Datenschutzbeauftragten zu erfüllen. VI. Die Beschwerdeführerin habe schließlich in ihrer Rolle als Verantwortliche im Zeitraum vom 07.06.2021 bis einschließlich 01.09.2021 gegen ihre Pflicht gemäß Art. 37 Abs. 7 DSGVO verstoßen, indem sie die Änderung betreffend die Person der Datenschutzbeauftragen bzw. die am 07.06.2021 erfolgte Benennung von XXXX als (neue) Datenschutzbeauftragte bis zum 02.09.2021 nicht der Datenschutzbehörde gemeldet habe.römisch sechs. Die Beschwerdeführerin habe schließlich in ihrer Rolle als Verantwortliche im Zeitraum vom 07.06.2021 bis einschließlich 01.09.2021 gegen ihre Pflicht gemäß Artikel 37, Absatz 7, DSGVO verstoßen, indem sie die Änderung betreffend die Person der Datenschutzbeauftragen bzw. die am 07.06.2021 erfolgte Benennung von römisch 40 als (neue) Datenschutzbeauftragte bis zum 02.09.2021 nicht der Datenschutzbehörde gemeldet habe. Die Beschwerdeführerin habe daher folgende Verwaltungsübertretungen begangen: Ad. I.: Art. 5 Abs. 1 lit. a und c sowie Art. 9 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF Ad. römisch eins.: Artikel 5, Absatz eins, Litera a und c sowie Artikel 9, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und 5 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ad. II.: Art. 5 Abs. 1 lit. f und Art. 32 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF Ad. römisch zwei.: Artikel 5, Absatz eins, Litera f und Artikel 32, in Verbindung mit Artikel 83, Absatz eins und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ad. III.: Art. 34 Abs. 1 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF Ad. römisch drei.: Artikel 34, Absatz eins, in Verbindung mit Artikel 83, Absatz eins und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ad. IV.: Art. 28 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF Ad. römisch vier.: Artikel 28, in Verbindung mit Artikel 83, Absatz eins und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ad. V.: Art. 37 Abs. 1 lit. c und 5 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF Ad. römisch fünf.: Artikel 37, Absatz eins, Litera c und 5 in Verbindung mit Artikel 83, Absatz eins und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ad. VI.: Art. 37 Abs. 7 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgFAd. römisch sechs.: Artikel 37, Absatz 7, in Verbindung mit Artikel 83, Absatz eins und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Aufgrund der Verwaltungsübertretungen zu den Spruchteilen I. bis IV. war über die Beschwerdeführerin gemäß Art. 83 DSGVO eine Geldstrafe iHv € 96.000,00 sowie aufgrund der Verwaltungsübertretungen zu den Spruchteilen V. und VI. gemäß Art. 83 DSGVO eine Geldstrafe iHv € 4.000,00 zuzüglich € 10.000,00 als Beitrag zu den Kosten des Strafverfahrens verhängt worden. Aufgrund der Verwaltungsübertretungen zu den Spruchteilen römisch eins. bis römisch vier. war über die Beschwerdeführerin gemäß Artikel 83, DSGVO eine Geldstrafe iHv € 96.000,00 sowie aufgrund der Verwaltungsübertretungen zu den Spruchteilen römisch fünf. und römisch sechs. gemäß Artikel 83, DSGVO eine Geldstrafe iHv € 4.000,00 zuzüglich € 10.000,00 als Beitrag zu den Kosten des Strafverfahrens verhängt worden. In diesem Straferkenntnis traf die Datenschutzbehörde hinsichtlich der Spruchteile I. bis VI. im Wesentlichen folgende Sachverhaltsfeststellungen: In diesem Straferkenntnis traf die Datenschutzbehörde hinsichtlich der Spruchteile römisch eins. bis römisch sechs. im Wesentlichen folgende Sachverhaltsfeststellungen: Zur Tätigkeit der Beschwerdeführerin bis 18.07.2021 und Übergabe des Laborbetriebs an XXXX GmbH: Zur Tätigkeit der Beschwerdeführerin bis 18.07.2021 und Übergabe des Laborbetriebs an römisch 40 GmbH: Das Land Tirol habe der Beschwerdeführerin im September 2020 den Auftrag erteilt, die PCR-Tests in Tirol während der damals bestehenden Covid-19-Pandemie durchzuführen. Dieser Auftrag sei ohne Ausschreibung und mittels Direktvergabe an die Beschwerdeführerin erteilt worden. Als darüber medial berichtet worden sei, habe das Land Tirol der Beschwerdeführerin den Auftrag im Jahr 2021 wiederum entzogen und es habe eine Ausschreibung für die Abwicklung der PCR-Tests stattgefunden. Den Zuschlag habe in der Folge die XXXX GmbH erhalten. Diese habe als „Nachfolgerin“ der Beschwerdeführerin beschlossen, den gesamten Laborbetrieb der Beschwerdeführerin weiterzuführen.Den Zuschlag habe in der Folge die römisch 40 GmbH erhalten. Diese habe als „Nachfolgerin“ der Beschwerdeführerin beschlossen, den gesamten Laborbetrieb der Beschwerdeführerin weiterzuführen. Die Abwicklung der PCR-Tests in Tirol durch die Beschwerdeführerin sei jedoch nicht sofort bei Bekanntgabe einer neuen Ausschreibung eingestellt worden, sondern es habe eine Übergangsphase für die Umstellung auf den Betrieb durch XXXX GmbH gegeben. Bis zum 04.05.2021 habe die Beschwerdeführerin für die Abwicklung der PCR-Tests für die Eintragung der relevanten Daten zu den jeweiligen Tests ihre eigene Software verwendet.Die Abwicklung der PCR-Tests in Tirol durch die Beschwerdeführerin sei jedoch nicht sofort bei Bekanntgabe einer neuen Ausschreibung eingestellt worden, sondern es habe eine Übergangsphase für die Umstellung auf den Betrieb durch römisch 40 GmbH gegeben. Bis zum 04.05.2021 habe die Beschwerdeführerin für die Abwicklung der PCR-Tests für die Eintragung der relevanten Daten zu den jeweiligen Tests ihre eigene Software verwendet. Ab dem 05.05.2021 habe die Beschwerdeführerin jedoch ausschließlich die von der XXXX GmbH zur Verfügung gestellte Software verwendet, um die relevanten Daten zu den Tests einzutragen. Die PCR-Tests seien von ihr zwar selbst durchgeführt bzw. analysiert, jedoch die Ergebnisse nicht mehr in ihrem eigenen System, sondern der XXXX -Applikation eingetragen worden. Die Software der XXXX GmbH sei von der Beschwerdeführerin bis zum Vertragsende mit dem Land Tirol am 18.07.2021 verwendet worden (somit insgesamt im Zeitraum vom 05.05.2021 bis 18.07.2021).Ab dem 05.05.2021 habe die Beschwerdeführerin jedoch ausschließlich die von der römisch 40 GmbH zur Verfügung gestellte Software verwendet, um die relevanten Daten zu den Tests einzutragen. Die PCR-Tests seien von ihr zwar selbst durchgeführt bzw. analysiert, jedoch die Ergebnisse nicht mehr in ihrem eigenen System, sondern der römisch 40 -Applikation eingetragen worden. Die Software der römisch 40 GmbH sei von der Beschwerdeführerin bis zum Vertragsende mit dem Land Tirol am 18.07.2021 verwendet worden (somit insgesamt im Zeitraum vom 05.05.2021 bis 18.07.2021). Die XXXX GmbH habe mit dieser Software eine Gesamtlösung für das Einlangen einer Anfrage bei einem Labor für einen PCR-Test bis hin zur Rückmeldung der Testergebnisse an den Auftraggeber angeboten. Diese Software sei von XXXX GmbH als externer IT-Dienstleister von XXXX GmbH verwaltet worden.Die römisch 40 GmbH habe mit dieser Software eine Gesamtlösung für das Einlangen einer Anfrage bei einem Labor für einen PCR-Test bis hin zur Rückmeldung der Testergebnisse an den Auftraggeber angeboten. Diese Software sei von römisch 40 GmbH als externer IT-Dienstleister von römisch 40 GmbH verwaltet worden. Der finale Betriebsübergang zwischen der Beschwerdeführerin und XXXX GmbH habe schließlich am 18.07.2021 stattgefunden. Ab diesem Zeitpunkt habe die Beschwerdeführerin die von der XXXX GmbH zur Verfügung gestellte Software nicht mehr für die Abwicklung von PCR-Tests verwendet, weil der Laborbetrieb bzw. die Durchführung der PCR-Testverfahren ab diesem Zeitpunkt zur Gänze auf die XXXX GmbH übergegangen sei. Der finale Betriebsübergang zwischen der Beschwerdeführerin und römisch 40 GmbH habe schließlich am 18.07.2021 stattgefunden. Ab diesem Zeitpunkt habe die Beschwerdeführerin die von der römisch 40 GmbH zur Verfügung gestellte Software nicht mehr für die Abwicklung von PCR-Tests verwendet, weil der Laborbetrieb bzw. die Durchführung der PCR-Testverfahren ab diesem Zeitpunkt zur Gänze auf die römisch 40 GmbH übergegangen sei. Die Informationen zu den jeweiligen PCR-Tests, die im Zeitraum ab dem 05.05.2021 bis 18.07.2021 (Übergangsphase) von der Beschwerdeführerin erhoben, analysiert und innerhalb der XXXX -Software eingetragen worden seien, seien von der XXXX GmbH in der Folge auch aufbewahrt worden (auch nach dem finalen Betriebsübergang).Die Informationen zu den jeweiligen PCR-Tests, die im Zeitraum ab dem 05.05.2021 bis 18.07.2021 (Übergangsphase) von der Beschwerdeführerin erhoben, analysiert und innerhalb der römisch 40 -Software eingetragen worden seien, seien von der römisch 40 GmbH in der Folge auch aufbewahrt worden (auch nach dem finalen Betriebsübergang). Die Informationen zu den PCR-Tests vor dem 05.05.2021 seien von der Beschwerdeführerin in ihrem eigenen System (mittels einer Cloud-Lösung „OwnCloud“) aufbewahrt worden und hätten sich nicht in der XXXX -Datenbank befunden. Für diese Informationen bzw. Test-Ergebnisse sei durch die XXXX GmbH zu keinem Zeitpunkt eine Archivierungsleistung erbracht worden. Die Informationen zu den PCR-Tests vor dem 05.05.2021 seien von der Beschwerdeführerin in ihrem eigenen System (mittels einer Cloud-Lösung „OwnCloud“) aufbewahrt worden und hätten sich nicht in der römisch 40 -Datenbank befunden. Für diese Informationen bzw. Test-Ergebnisse sei durch die römisch 40 GmbH zu keinem Zeitpunkt eine Archivierungsleistung erbracht worden. Während der Übergangsphase habe zudem ein Geschäftsführerwechsel bei der Beschwerdeführerin stattgefunden. Bis zum 06.06.2021 sei XXXX selbstständig als Geschäftsführer und ärztlicher Leiter tätig gewesen. Danach sei die Geschäftsführung von seiner Ehefrau, XXXX , übernommen worden und er habe auch seine Position als ärztlicher Leiter zurückgelegt. Nach dem Geschäftsführerwechsel sei XXXX jedoch weiterhin für die Beschwerdeführerin tätig gewesen. Die neue Geschäftsführerin habe ihm sogleich den Auftrag erteilt, die Informationen zu den PCR-Testergebnissen, die nicht in der XXXX -Applikation eingetragen worden seien, also jene Datensätze bis zum 04.05.2021, für die Beschwerdeführerin zu archivieren bis eine Lösung dafür gefunden werde. In diesem Zeitraum war XXXX der neuen Geschäftsführung der Beschwerdeführerin operativ unterstellt und habe hierfür Zugang zu den von ihr bis zum 04.05.2021 abgewickelten PCR-Tests gehabt, die grundsätzlich innerhalb der „OwnCloud“ aufbewahrt worden seien.Während der Übergangsphase habe zudem ein Geschäftsführerwechsel bei der Beschwerdeführerin stattgefunden. Bis zum 06.06.2021 sei römisch 40 selbstständig als Geschäftsführer und ärztlicher Leiter tätig gewesen. Danach sei die Geschäftsführung von seiner Ehefrau, römisch 40 , übernommen worden und er habe auch seine Position als ärztlicher Leiter zurückgelegt. Nach dem Geschäftsführerwechsel sei römisch 40 jedoch weiterhin für die Beschwerdeführerin tätig gewesen. Die neue Geschäftsführerin habe ihm sogleich den Auftrag erteilt, die Informationen zu den PCR-Testergebnissen, die nicht in der römisch 40 -Applikation eingetragen worden seien, also jene Datensätze bis zum 04.05.2021, für die Beschwerdeführerin zu archivieren bis eine Lösung dafür gefunden werde. In diesem Zeitraum war römisch 40 der neuen Geschäftsführung der Beschwerdeführerin operativ unterstellt und habe hierfür Zugang zu den von ihr bis zum 04.05.2021 abgewickelten PCR-Tests gehabt, die grundsätzlich innerhalb der „OwnCloud“ aufbewahrt worden seien. Zum Versand der E-Mail-Nachricht am 10.08.2021 und zur Meldung an die Datenschutzbehörde: Am 10.08.2021 um 13:08 Uhr habe XXXX im Auftrag der Geschäftsführerin und über ein der Beschwerdeführerin zurechenbares E-Mail-Postfach ( XXXX ) eine E-Mail-Nachricht an XXXX ( XXXX ) gesendet. Dieser sei bis dato Geschäftsführer von XXXX , dem IT-Dienstleister von XXXX GmbH.Am 10.08.2021 um 13:08 Uhr habe römisch 40 im Auftrag der Geschäftsführerin und über ein der Beschwerdeführerin zurechenbares E-Mail-Postfach ( römisch 40 ) eine E-Mail-Nachricht an römisch 40 ( römisch 40 ) gesendet. Dieser sei bis dato Geschäftsführer von römisch 40 , dem IT-Dienstleister von römisch 40 GmbH. Im Anhang dieser E-Mail-Nachricht habe XXXX drei unverschlüsselte und auch sonst auf Dateiebene nicht gesicherte Excel-Dateien hinzugefügt und diese ebenfalls an XXXX übermittelt. Die im Anhang übermittelten Excel-Dateien hätten rund 24.000 Datensätze im Zusammenhang mit positiven COVID-19-Testergebnissen (PCR-Testergebnisse) von namentlich genannten natürlichen Personen im (Test-)Zeitraum vom 01.01.2021 bis einschließlich 04.05.2021 enthalten. Über das Testergebnis hinaus hätten die Datensätze unter anderem folgende Informationen (Patientendaten): Vorname, Nachname, Alter, Geburtsdatum, Postleitzahl, Ort, „Point of Care“, Details zu den Tests wie Mutationen, Testdatum und CT-Wert enthalten.Im Anhang dieser E-Mail-Nachricht habe römisch 40 drei unverschlüsselte und auch sonst auf Dateiebene nicht gesicherte Excel-Dateien hinzugefügt und diese ebenfalls an römisch 40 übermittelt. Die im Anhang übermittelten Excel-Dateien hätten rund 24.000 Datensätze im Zusammenhang mit positiven COVID-19-Testergebnissen (PCR-Testergebnisse) von namentlich genannten natürlichen Personen im (Test-)Zeitraum vom 01.01.2021 bis einschließlich 04.05.2021 enthalten. Über das Testergebnis hinaus hätten die Datensätze unter anderem folgende Informationen (Patientendaten): Vorname, Nachname, Alter, Geburtsdatum, Postleitzahl, Ort, „Point of Care“, Details zu den Tests wie Mutationen, Testdatum und CT-Wert enthalten. Diese Datensätze seien zuvor, nämlich vor dem Versand der E-Mail am 10.08.2021, aus der „OwnCloud“ der Beschwerdeführerin, wo die PCR-Testergebnisse grundsätzlich aufbewahrt worden seien, von XXXX heruntergeladen und in drei separaten Excel-Dateien gespeichert worden, um diese in Folge als Anhang zur E-Mail hinzuzufügen und XXXX zu übermitteln. Die Beschwerdeführerin habe das Ziel verfolgt, dass diese Datensätze vom oben genannten Testzeitraum ebenfalls innerhalb der XXXX -Applikation eingespielt und darin archiviert werden würden (wie jene Datensätze/Testergebnisse, die ab dem 05.05.2021 bis 18.07.2021 von der Beschwerdeführerin generiert, analysiert und innerhalb der XXXX -Applikation eingetragen worden seien), damit die XXXX GmbH diese Ergebnisse wiederum dem Land Tirol bei Bedarf zur Verfügung stellen könne. Diese Datensätze seien zuvor, nämlich vor dem Versand der E-Mail am 10.08.2021, aus der „OwnCloud“ der Beschwerdeführerin, wo die PCR-Testergebnisse grundsätzlich aufbewahrt worden seien, von römisch 40 heruntergeladen und in drei separaten Excel-Dateien gespeichert worden, um diese in Folge als Anhang zur E-Mail hinzuzufügen und römisch 40 zu übermitteln. Die Beschwerdeführerin habe das Ziel verfolgt, dass diese Datensätze vom oben genannten Testzeitraum ebenfalls innerhalb der römisch 40 -Applikation eingespielt und darin archiviert werden würden (wie jene Datensätze/Testergebnisse, die ab dem 05.05.2021 bis 18.07.2021 von der Beschwerdeführerin generiert, analysiert und innerhalb der römisch 40 -Applikation eingetragen worden seien), damit die römisch 40 GmbH diese Ergebnisse wiederum dem Land Tirol bei Bedarf zur Verfügung stellen könne. Seitens XXXX GmbH habe es jedoch keine Pläne dahingehend gegeben, dass die Datensätze von der Beschwerdeführerin bis 04.05.2021 ebenfalls von ihr archiviert werden würden. Kurz vor dem Versand der E-Mail sei in diesem Zusammenhang eine telefonische Anfrage von der Beschwerdeführerin an die XXXX GmbH erfolgt, ob eine Archivierung dieser Datensätze vorgenommen werden könnte. Der Geschäftsführer von XXXX GmbH habe in der Folge XXXX angerufen und ihn über diese Anfrage von der Beschwerdeführerin informiert und nachgefragt, ob es technisch möglich wäre, auch diese Datensätze in die Applikation/Datenbank von XXXX GmbH einzuspielen.Seitens römisch 40 GmbH habe es jedoch keine Pläne dahingehend gegeben, dass die Datensätze von der Beschwerdeführerin bis 04.05.2021 ebenfalls von ihr archiviert werden würden. Kurz vor dem Versand der E-Mail sei in diesem Zusammenhang eine telefonische Anfrage von der Beschwerdeführerin an die römisch 40 GmbH erfolgt, ob eine Archivierung dieser Datensätze vorgenommen werden könnte. Der Geschäftsführer von römisch 40 GmbH habe in der Folge römisch 40 angerufen und ihn über diese Anfrage von der Beschwerdeführerin informiert und nachgefragt, ob es technisch möglich wäre, auch diese Datensätze in die Applikation/Datenbank von römisch 40 GmbH einzuspielen. In weiterer Folge sei XXXX von XXXX im Zusammenhang mit der Archivierungsanfrage von der Beschwerdeführerin telefonisch kontaktiert worden. Konkret sei nachgefragt worden, wie die Datensätze übermittelt werden sollten, damit sie von XXXX in die Applikation von XXXX GmbH eingefügt werden könnten. XXXX habe jedoch mitgeteilt, dass er zunächst die Struktur bzw. den Aufbau dieser Datensätze analysieren müsse, um überprüfen zu können, ob technisch ein solcher Import überhaupt vorgenommen werden könne.In weiterer Folge sei römisch 40 von römisch 40 im Zusammenhang mit der Archivierungsanfrage von der Beschwerdeführerin telefonisch kontaktiert worden. Konkret sei nachgefragt worden, wie die Datensätze übermittelt werden sollten, damit sie von römisch 40 in die Applikation von römisch 40 GmbH eingefügt werden könnten. römisch 40 habe jedoch mitgeteilt, dass er zunächst die Struktur bzw. den Aufbau dieser Datensätze analysieren müsse, um überprüfen zu können, ob technisch ein solcher Import überhaupt vorgenommen werden könne. Zu diesem Zeitpunkt habe es sich lediglich um eine Archivierungsanfrage der Beschwerdeführerin an die XXXX GmbH gehandelt. Die Übermittlung der Echtdaten bzw. Patientendaten sei zu diesem Zeitpunkt gar nicht vereinbart oder seitens XXXX / XXXX GmbH überhaupt geplant worden. Erst nach positiver Analyse der Struktur durch XXXX hätte allenfalls eine Übermittlung der Echtdaten erfolgen sollen, wobei die Übermittlung dann jedenfalls im Rahmen eines von XXXX eingerichteten gesicherten Kanals stattgefunden hätte und nicht per E-Mail.Zu diesem Zeitpunkt habe es sich lediglich um eine Archivierungsanfrage der Beschwerdeführerin an die römisch 40 GmbH gehandelt. Die Übermittlung der Echtdaten bzw. Patientendaten sei zu diesem Zeitpunkt gar nicht vereinbart oder seitens römisch 40 / römisch 40 GmbH überhaupt geplant worden. Erst nach positiver Analyse der Struktur durch römisch 40 hätte allenfalls eine Übermittlung der Echtdaten erfolgen sollen, wobei die Übermittlung dann jedenfalls im Rahmen eines von römisch 40 eingerichteten gesicherten Kanals stattgefunden hätte und nicht per E-Mail. Ungeachtet dessen habe XXXX nicht bloß die Struktur der Datensätze (eine einzelne Excel-Datei ohne Inhalt bis auf die Datenkategorien), sondern sämtliche Echtdaten im Rahmen von drei separaten Excel-Listen übermittelt.Ungeachtet dessen habe römisch 40 nicht bloß die Struktur der Datensätze (eine einzelne Excel-Datei ohne Inhalt bis auf die Datenkategorien), sondern sämtliche Echtdaten im Rahmen von drei separaten Excel-Listen übermittelt. Durch den Versand per E-Mail habe sich die oben genannte E-Mail-Nachricht samt Anhang mit den Patientendaten im E-Mail-Postfach von XXXX ( XXXX ) befunden. Die Excel-Dateien seien daher von der Beschwerdeführerin neben der „OwnCloud“ auch innerhalb des Postfachs von XXXX aufbewahrt bzw. gespeichert worden. Die Excel-Dateien seien innerhalb des Postfachs weiterhin auf Dateiebene unverschlüsselt und auch sonst nicht vor einem unbefugten Zugriff geschützt gewesen. Zum Zeitpunkt des Versandes dieser E-Mail bis zumindest 30.08.2021 sei das Postfach von XXXX auch durch keine Zwei-Faktor-Authentifizierung (im Folgenden auch: 2FA) geschützt worden, sondern ausschließlich durch ein Kennwort.Durch den Versand per E-Mail habe sich die oben genannte E-Mail-Nachricht samt Anhang mit den Patientendaten im E-Mail-Postfach von römisch 40 ( römisch 40 ) befunden. Die Excel-Dateien seien daher von der Beschwerdeführerin neben der „OwnCloud“ auch innerhalb des Postfachs von römisch 40 aufbewahrt bzw. gespeichert worden. Die Excel-Dateien seien innerhalb des Postfachs weiterhin auf Dateiebene unverschlüsselt und auch sonst nicht vor einem unbefugten Zugriff geschützt gewesen. Zum Zeitpunkt des Versandes dieser E-Mail bis zumindest 30.08.2021 sei das Postfach von römisch 40 auch durch keine Zwei-Faktor-Authentifizierung (im Folgenden auch: 2FA) geschützt worden, sondern ausschließlich durch ein Kennwort. In weiterer Folge sei es zu einer Kompromittierung bzw. einem unberechtigten Zugriff auf das E-Mail-Postfach von XXXX durch eine oder mehrere bis dato unbekannte Person(
3 und 9 DSGVO schriftlich abgefasst worden. Dies sei erst am 14.02.2022 durch die Beschwerdeführerin als Verantwortliche und XXXX GmbH als Auftragsverarbeiterin erfolgt. Daher sei die objektive Tatseite des Art. 28 DSGVO erfüllt. Im Lichte des als erwiesen angenommenen Sachverhalts sei jedoch weder vor noch während der Übergangsphase ein
Dies sei erst am 14.02.2022 durch die Beschwerdeführerin als Verantwortliche und römisch 40 GmbH als Auftragsverarbeiterin erfolgt. Daher sei die objektive Tatseite des Artikel 28, DSGVO erfüllt. Zur Benennung einer nicht geeigneten Datenschutzbeauftragten (Spruchteil V.): Zur Benennung einer nicht geeigneten Datenschutzbeauftragten (Spruchteil römisch fünf.): XXXX sei zum Zeitpunkt ihrer Bestellung als Datenschutzbeauftragte geringfügig angestellt gewesen und habe keinerlei Fachkompetenz auf dem Gebiet des nationalen und europäischen Datenschutzrechts und der dementsprechenden Datenschutzpraxis, einschließlich eines umfassenden Verständnisses der DSGVO gehabt. Der Maßstab für die Qualifikationen des Datenschutzbeauftragten sei hier allerdings aufgrund der Verarbeitung eines großen Umfangs sensibler Informationen in Form von Gesundheitsdaten hoch anzusetzen gewesen. Die gewählte Datenschutzbeauftragte habe die erforderlichen Qualifikationen iSd Art. 37 Abs. 5 DSGVO und im Lichte des ErwGr 97 DSGVO zum Zeitpunkt ihrer Bestellung nicht erfüllt. Darüber hinaus habe sich im Laufe des Verfahrens ergeben, dass XXXX nicht mehr bereit gewesen sei, mit der Datenschutzbehörde als zuständige Aufsichtsbehörde zusammenzuarbeiten, indem sie sämtliche an sie gestellten Fragen unrechtmäßig verweigert habe. Auch daraus ergebe sich, dass sie nicht geeignet sei, um die in Art. 39 Abs. 1 lit. d und e DSGVO genannten Aufgaben zu erfüllen. römisch 40 sei zum Zeitpunkt ihrer Bestellung als Datenschutzbeauftragte geringfügig angestellt gewesen und habe keinerlei Fachkompetenz auf dem Gebiet des nationalen und europäischen Datenschutzrechts und der dementsprechenden Datenschutzpraxis, einschließlich eines umfassenden Verständnisses der DSGVO gehabt. Der Maßstab für die Qualifikationen des Datenschutzbeauftragten sei hier allerdings aufgrund der Verarbeitung eines großen Umfangs sensibler Informationen in Form von Gesundheitsdaten hoch anzusetzen gewesen. Die gewählte Datenschutzbeauftragte habe die erforderlichen Qualifikationen iSd Artikel 37, Absatz 5, DSGVO und im Lichte des ErwGr 97 DSGVO zum Zeitpunkt ihrer Bestellung nicht erfüllt. Darüber hinaus habe sich im Laufe des Verfahrens ergeben, dass römisch 40 nicht mehr bereit gewesen sei, mit der Datenschutzbehörde als zuständige Aufsichtsbehörde zusammenzuarbeiten, indem sie sämtliche an sie gestellten Fragen unrechtmäßig verweigert habe. Auch daraus ergebe sich, dass sie nicht geeignet sei, um die in Artikel 39, Absatz eins, Litera d und e DSGVO genannten Aufgaben zu erfüllen. Die Beschwerdeführerin habe somit im Ergebnis auch die objektive Tatseite des Art. 37 Abs. 1 lit. c und 5 DSGVO erfüllt.Die Beschwerdeführerin habe somit im Ergebnis auch die objektive Tatseite des Artikel 37, Absatz eins, Litera c und 5 DSGVO erfüllt. Zur Meldung der Datenschutzbeauftragten an die Datenschutzbehörde (Spruchteil VI.): Zur Meldung der Datenschutzbeauftragten an die Datenschutzbehörde (Spruchteil römisch sechs.): Die Beschwerdeführerin habe entgegen ihrer Verpflichtung nach Art. 37 Abs. 7 DSGVO die Bestellung von XXXX als neue Datenschutzbeauftragte gegenüber der Datenschutzbehörde als zuständige Aufsichtsbehörde erst mehrere Monate nach ihrer Bestellung und unmittelbar vor der Meldung nach Art. 33 DSGVO gemeldet. Dadurch sei die objektive Tatseite des Art. 37 Abs. 7 DSGVO erfüllt. Die Beschwerdeführerin habe entgegen ihrer Verpflichtung nach Artikel 37, Absatz 7, DSGVO die Bestellung von römisch 40 als neue Datenschutzbeauftragte gegenüber der Datenschutzbehörde als zuständige Aufsichtsbehörde erst mehrere Monate nach ihrer Bestellung und unmittelbar vor der Meldung nach Artikel 33, DSGVO gemeldet. Dadurch sei die objektive Tatseite des Artikel 37, Absatz 7, DSGVO erfüllt. Zur subjektiven Tatseite: Die Beschwerdeführerin habe als Verantwortliche gemäß Art. 4 Z 7 DSGVO die festgestellten Verstöße aufgrund von Fahrlässigkeit nach Art. 83 Abs. 2 lit. b DSGVO zu verantworten. Lediglich im Zusammenhang mit der Verwaltungsübertretung nach Spruchteil I. gehe die Datenschutzbehörde von einer groben Fahrlässigkeit aus, weil XXXX aufgrund der konkreten Umstände beim Versand der gegenständlichen E-Mail-Nachricht einem erhöhten Sorgfaltsmaßstab unterlegen sei und dem nicht entsprochen habe.Die Beschwerdeführerin habe als Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO die festgestellten Verstöße aufgrund von Fahrlässigkeit nach Artikel 83, Absatz 2, Litera b, DSGVO zu verantworten. Lediglich im Zusammenhang mit der Verwaltungsübertretung nach Spruchteil römisch eins. gehe die Datenschutzbehörde von einer groben Fahrlässigkeit aus, weil römisch 40 aufgrund der konkreten Umstände beim Versand der gegenständlichen E-Mail-Nachricht einem erhöhten Sorgfaltsmaßstab unterlegen sei und dem nicht entsprochen habe. In Bezug auf die restlichen Verstöße (Spruchteile II. bis VI.) könne keine grobe Fahrlässigkeit festgestellt werden. Aber auch die Einhaltung dieser Verpflichtungen wäre der Beschwerdeführerin jedenfalls möglich und zumutbar gewesen und es liege zumindest ein Verschulden in Form von Fahrlässigkeit vor. In Bezug auf die restlichen Verstöße (Spruchteile römisch zwei. bis römisch sechs.) könne keine grobe Fahrlässigkeit festgestellt werden. Aber auch die Einhaltung dieser Verpflichtungen wäre der Beschwerdeführerin jedenfalls möglich und zumutbar gewesen und es liege zumindest ein Verschulden in Form von Fahrlässigkeit vor. Zur Strafzumessung: Gemäß Art. 83 Abs. 1 DSGVO habe die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sei. Gemäß Artikel 83, Absatz eins, DSGVO habe die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sei. Durch Art. 83 Abs. 3 DSGVO werde in Abweichung zu dem mit § 22 Abs. 2 VStG normierten Kumulationsprinzip grundsätzlich angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen werde, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteige. Somit gelte im Anwendungsbereich dieser Bestimmung das Absorptionsprinzip. Ansonsten (außerhalb des Anwendungsbereiches des Art. 83 Abs. 3 DSGVO) gelange das Kumulationsprinzip nach § 22 Abs. 2 VStG zur Anwendung.Durch Artikel 83, Absatz 3, DSGVO werde in Abweichung zu dem mit Paragraph 22, Absatz 2, VStG normierten Kumulationsprinzip grundsätzlich angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen werde, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteige. Somit gelte im Anwendungsbereich dieser Bestimmung das Absorptionsprinzip. Ansonsten (außerhalb des Anwendungsbereiches des Artikel 83, Absatz 3, DSGVO) gelange das Kumulationsprinzip nach Paragraph 22, Absatz 2, VStG zur Anwendung. Im konkreten Fall gelange für die festgestellten Verstöße teilweise das Absorptionsprinzip nach Art. 83 Abs. 3 DSGVO und teilweise das Kumulationsprinzip nach § 22 Abs. 2 VStG zur Anwendung. Es seien im Ergebnis zwei Geldbußen unter Anwendung des Art. 83 Abs. 3 DSGVO nebeneinander zu verhängen. Konkret sei für die Verstöße nach Spruchteilen I. bis IV. eine Geldbuße unter Anwendung des Absorptionsprinzips zu verhängen und andererseits eine Geldbuße für die Verstöße nach Spruchteilen V. und VI.Im konkreten Fall gelange für die festgestellten Verstöße teilweise das Absorptionsprinzip nach Artikel 83, Absatz 3, DSGVO und teilweise das Kumulationsprinzip nach Paragraph 22, Absatz 2, VStG zur Anwendung. Es seien im Ergebnis zwei Geldbußen unter Anwendung des Artikel 83, Absatz 3, DSGVO nebeneinander zu verhängen. Konkret sei für die Verstöße nach Spruchteilen römisch eins. bis römisch vier. eine Geldbuße unter Anwendung des Absorptionsprinzips zu verhängen und andererseits eine Geldbuße für die Verstöße nach Spruchteilen römisch fünf. und römisch sechs. Die Verstöße nach Spruchteilen I. bis IV. würden sich auf miteinander verbundene Verarbeitungsvorgänge durch die Beschwerdeführerin beziehen, weshalb hierfür eine einzelne Geldbuße zu verhängen gewesen sei. Die restlichen Verstöße nach Spruchteilen V. und VI. würden sich jedoch auf die Benennung der Datenschutzbeauftragten beziehen, die losgelöst von der Verarbeitung zwischen der Beschwerdeführerin und der XXXX GmbH und dem Versand der E-Mail-Nachricht vom 10.08.2021 zu behandeln gewesen seien.Die Verstöße nach Spruchteilen römisch eins. bis römisch vier. würden sich auf miteinander verbundene Verarbeitungsvorgänge durch die Beschwerdeführerin beziehen, weshalb hierfür eine einzelne Geldbuße zu verhängen gewesen sei. Die restlichen Verstöße nach Spruchteilen römisch fünf. und römisch sechs. würden sich jedoch auf die Benennung der Datenschutzbeauftragten beziehen, die losgelöst von der Verarbeitung zwischen der Beschwerdeführerin und der römisch 40 GmbH und dem Versand der E-Mail-Nachricht vom 10.08.2021 zu behandeln gewesen seien. Der Strafrahmen ergebe sich dabei jeweils aus dem schwerwiegendsten Verstoß. Daher gelange im vorliegenden Fall für die Verstöße nach Spruchteilen I. bis IV. der Strafrahmen nach Art. 83 Abs. 5 lit. a DSGVO und für die Verstöße nach V. und VI. der Strafrahmen nach Art. 83 Abs. 4 lit. a DSGVO zur Anwendung.Der Strafrahmen ergebe sich dabei jeweils aus dem schwerwiegendsten Verstoß. Daher gelange im vorliegenden Fall für die Verstöße nach Spruchteilen römisch eins. bis römisch vier. der Strafrahmen nach Artikel 83, Absatz 5, Litera a, DSGVO und für die Verstöße nach römisch fünf. und römisch sechs. der Strafrahmen nach Artikel 83, Absatz 4, Litera a, DSGVO zur Anwendung. Im vorliegenden Fall sei für beide Geldbußen aufgrund des als erwiesen angenommenen Jahresumsatzes des Unternehmens iSd Art. 101 und 102 AEUV der statische (€ 20 Mio. bzw. € 10 Mio.) und nicht der variable Strafrahmen (4% bzw. 2%) anzuwenden.Im vorliegenden Fall sei für beide Geldbußen aufgrund des als erwiesen angenommenen Jahresumsatzes des Unternehmens iSd Artikel 101 und 102 AEUV der statische (€ 20 Mio. bzw. € 10 Mio.) und nicht der variable Strafrahmen (4% bzw. 2%) anzuwenden. Gegenständlich würden neben der kapitalmäßigen Verflechtung durch eine 100% Beteiligung der XXXX GmbH auch personelle sowie organisatorische Verflechtungen vorliegen, weshalb im Ergebnis eine wirtschaftliche Einheit zwischen der Beschwerdeführerin und ihrer Alleingesellschafterin XXXX GmbH angenommen werden könne, was auch nicht bestritten worden sei.Gegenständlich würden neben der kapitalmäßigen Verflechtung durch eine 100% Beteiligung der römisch 40 GmbH auch personelle sowie organisatorische Verflechtungen vorliegen, weshalb im Ergebnis eine wirtschaftliche Einheit zwischen der Beschwerdeführerin und ihrer Alleingesellschafterin römisch 40 GmbH angenommen werden könne, was auch nicht bestritten worden sei. Daher sei der gesamte vorgelegte Jahresumsatz der Beschwerdeführerin sowie der XXXX GmbH iHv insgesamt € 471.211,07 bei der Berechnung der Geldbuße zu berücksichtigten gewesen.Daher sei der gesamte vorgelegte Jahresumsatz der Beschwerdeführerin sowie der römisch 40 GmbH iHv insgesamt € 471.211,07 bei der Berechnung der Geldbuße zu berücksichtigten gewesen. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen seien (Art. 83 Abs. 2 lit. g DSGVO), werde von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) für die erste Geldbuße mit einem schweren Schweregrad („High level of seriousness“) und für die zweite Geldbuße mit einem niedrigen Schweregrad („Low level of seriousness“) festgelegt.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen seien (Artikel 83, Absatz 2, Litera g, DSGVO), werde von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) für die erste Geldbuße mit einem schweren Schweregrad („High level of seriousness“) und für die zweite Geldbuße mit einem niedrigen Schweregrad („Low level of seriousness“) festgelegt. Bezogen auf den vorliegenden Sachverhalt seien darüber hinaus bei der Strafzumessung für die erste Geldbuße Folgendes erschwerend berücksichtigt worden: da im vorliegenden Fall das Absorptionsprinzip nach Art. 83 Abs. 3 DSGVO angewendet und für die Verstöße nach Spruchteilen I. bis IV. eine einzelne Geldbuße verhängt werde, wobei der Spruchteil I. als schwerwiegendster Verstoß heranzuziehen gewesen sei, müssten die restlichen Verstöße (Spruchteile II. bis IV.) im Rahmen der Strafbemessung als erschwerend berücksichtigt werden (Art. 83 Abs. 2 lit. k DSGVO). Dabei seien die Verstöße nach Spruchteil II. (in Bezug auf die mangelnden Sicherheitsmaßnahmen) und Spruchteil III. (Verletzung der Benachrichtigungspflicht) besonders ins Gewicht gefallen. Der Verstoß nach Spruchteil IV. (kein Auftragsverarbeitungsvertrag) habe hingegen aufgrund der Art des Verstoßes und der festgestellten Umstände nur eine geringfügige Auswirkung auf die letztendlich zu verhängende Geldbuße gehabt.Bezogen auf den vorliegenden Sachverhalt seien darüber hinaus bei der Strafzumessung für die erste Geldbuße Folgendes erschwerend berücksichtigt worden: da im vorliegenden Fall das Absorptionsprinzip nach Artikel 83, Absatz 3, DSGVO angewendet und für die Verstöße nach Spruchteilen römisch eins. bis römisch vier. eine einzelne Geldbuße verhängt werde, wobei der Spruchteil römisch eins. als schwerwiegendster Verstoß heranzuziehen gewesen sei, müssten die restlichen Verstöße (Spruchteile römisch zwei. bis römisch vier.) im Rahmen der Strafbemessung als erschwerend berücksichtigt werden (Artikel 83, Absatz 2, Litera k, DSGVO). Dabei seien die Verstöße nach Spruchteil römisch zwei. (in Bezug auf die mangelnden Sicherheitsmaßnahmen) und Spruchteil römisch drei. (Verletzung der Benachrichtigungspflicht) besonders ins Gewicht gefallen. Der Verstoß nach Spruchteil römisch vier. (kein Auftragsverarbeitungsvertrag) habe hingegen aufgrund der Art des Verstoßes und der festgestellten Umstände nur eine geringfügige Auswirkung auf die letztendlich zu verhängende Geldbuße gehabt. Hingegen seien bezogen auf die erste Geldbuße die Tatsachen, dass gegen die Beschwerdeführerin bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen würden sowie dass die Beschwerdeführerin im Rahmen des gegenständlichen Ermittlungsverfahrens einen gewissen Beitrag zur Wahrheitsfindung geleistet habe, (hinsichtlich des zweiten Grundes in einem geringen Umfang) mildernd berücksichtigt worden. Bezogen auf die zweite Geldbuße sei neben dem schwerwiegendsten Verstoß (Spruchteil V.) der zusätzlich festgestellte Verstoß wegen der verspäteten Meldung an die Datenschutzbehörde grundsätzlich erschwerend zu berücksichtigten gewesen. In Bezug auf den Verstoß nach Spruchteil VI. könne jedoch festgehalten werden, dass dieser keine Auswirkungen auf die Höhe der letztendlich zu verhängenden Geldbuße gehabt habe, weil in diesem Zusammenhang ein Hinweis auf die Rechtswidrigkeit ausreichend gewesen sei. Bezogen auf die zweite Geldbuße sei neben dem schwerwiegendsten Verstoß (Spruchteil römisch fünf.) der zusätzlich festgestellte Verstoß wegen der verspäteten Meldung an die Datenschutzbehörde grundsätzlich erschwerend zu berücksichtigten gewesen. In Bezug auf den Verstoß nach Spruchteil römisch sechs. könne jedoch festgehalten werden, dass dieser keine Auswirkungen auf die Höhe der letztendlich zu verhängenden Geldbuße gehabt habe, weil in diesem Zusammenhang ein Hinweis auf die Rechtswidrigkeit ausreichend gewesen sei. Bezogen auf die zweite Geldbuße sei Folgendes mildernd berücksichtigt worden: ebenfalls die oben genannte Strafmilderungsgründe wegen Unbescholtenheit und Mitwirkung während des Ermittlungsverfahrens im beschriebenen Umfang und die bestellte Datenschutzbeauftragte habe nach ihrer Benennung zumindest einen Bildungsauftrag von der Beschwerdeführerin (Absolvierung einer Ausbildung, die mit einer Zertifizierung als Datenschutzbeauftragte abgeschlossen wird) erhalten, um sich Fachwissen für die Tätigkeit als Datenschutzbeauftragte anzueignen (Art. 83 Abs. 2 lit. k DSGVO). Bezogen auf die zweite Geldbuße sei Folgendes mildernd berücksichtigt worden: ebenfalls die oben genannte Strafmilderungsgründe wegen Unbescholtenheit und Mitwirkung während des Ermittlungsverfahrens im beschriebenen Umfang und die bestellte Datenschutzbeauftragte habe nach ihrer Benennung zumindest einen Bildungsauftrag von der Beschwerdeführerin (Absolvierung einer Ausbildung, die mit einer Zertifizierung als Datenschutzbeauftragte abgeschlossen wird) erhalten, um sich Fachwissen für die Tätigkeit als Datenschutzbeauftragte anzueignen (Artikel 83, Absatz 2, Litera k, DSGVO). Die im Ergebnis konkret verhängten Strafen in der Höhe von € 96.000,00 und € 4.000,00 würden daher jeweils im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen sowie des festgestellten Jahresumsatzes und unter Berücksichtigung der Erschwernis- sowie Milderungsgründe tat- und schuldangemessen erscheinen und würden sich beide am untersten Ende des zur Verfügung stehenden Strafrahmens (0,48% bzw. 0,04% des zur Verfügung stehenden Strafrahmens) befinden. Die Beschwerdeführerin erhob gegen alle Spruchteile dieses Straferkenntnisses, in denen ihr wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen eine Strafe auferlegt wurde (= Spruchteile I. bis VI.), fristgerecht eine Beschwerde, in der sie im Wesentlichen Folgendes vorbrachte: Die Beschwerdeführerin erhob gegen alle Spruchteile dieses Straferkenntnisses, in denen ihr wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen eine Strafe auferlegt wurde (= Spruchteile römisch eins. bis römisch sechs.), fristgerecht eine Beschwerde, in der sie im Wesentlichen Folgendes vorbrachte: Die Datenschutzbehörde habe den Sachverhalt mangelhaft festgestellt und hätte weitere Fakten sammeln müssen, um sich ein genaues Bild der Sachlage machen zu können. Auch würden sich die zum Erlass des Straferkenntnisses führenden Gründe keine Deckung in den Aktenunterlagen finden. Es werde ausdrücklich bestritten, dass die gegenständlichen personenbezogenen Daten überhaupt der Beschwerdeführerin zuzuordnen seien, denn laut IT-forensischer Untersuchungen habe es kein Eindringen in ihre Systeme gegeben, was per se schon eine Strafe wegen fehlender technischer und organisatorischer Maßnahmen haltlos mache. Die E-Mail, welche der Datenschutzbehörde vorliege, stimme in der Uhrzeit nicht mit jener überein, welche tatsächlich von Seiten der Beschwerdeführerin an einen Auftragsverarbeiter gesendet worden sei. Außerdem sei von der Staatsanwaltschaft Innsbruck ermittelt und vom Standard berichtet, dass im Dezember 2021 von einem Datenschutz-NGO-Obmann mit den Zugangsdaten der Beschwerdeführerin ins epidemiologisches Meldesystem des Bundesministeriums für Soziales, Gesundheit, Pflege und Konsumentenschutz eingebrochen worden sei. Allerdings sei die Möglichkeit, dass aus dieser Quelle Daten beschaffen worden seien, die zu einem früheren Zeitpunkt einmal von der Beschwerdeführerin erhoben worden seien, zu keinem Zeitpunkt in Betracht gezogen worden. Darüber hinaus sei dem Antrag der Anwälte der Beschwerdeführerin, die der Datenschutzbehörde vorliegende Datei im Original zur Verfügung gestellt zu bekommen, nicht vollständig nachgekommen, weil sie die Datei nicht im Original erhalten habe. Ein Abgleich mit ihren Daten habe daher nicht stattfinden können, weswegen völlig unklar und unbewiesen sei, ob die Daten überhaupt von ihr stammen würden. Schließlich habe die Datenschutzbehörde ihr Ermessen unzweckmäßig ausgeübt und gegen rudimentäre Verfahrensrechte wie etwa das Recht auf Akteneinsicht verstoßen. Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge eine mündliche Verhandlung durchführen, die faktische Beweislage aktualisieren und beachten sowie das angefochtene Straferkenntnis aufheben. Mit Schreiben der Datenschutzbehörde vom 17.07.2024, eingelangt am 18.07.2024, war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden. Am 10.,
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.