gekommen. Dies wurde dadurch ermöglicht, dass der im Tatzeitraum zur Vertretung
außen berufene und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten betraute Geschäftsführer B***, geb. am xxx, durch Außerachtlassung der gebotenen Sorgfalt sowie aufgrund mangelnder Kontrolle und Überwachung, die oben dargestellte Verwaltungsübertretung zu verantworten hat. Der Geschäftsführer hat es jedenfalls verabsäumt, ein wirksames internes Kontrollsystem in Form geeigneter Maßnahmen für ein operatives Tagesgeschäft zu implementieren. Dies führte im Ergebnis dazu, dass die Beschuldigte in zwei Fällen den Aufforderungen zur Stellungnahme der Datenschutzbehörde gar nicht und in einem Fall erst
Verstreichen der Frist entsprochen und dadurch gegen ihre Pflicht zur Zusammenarbeit mit Aufsichtsbehörden
DSGVO verstoßen hat.Dies wurde dadurch ermöglicht, dass der im Tatzeitraum zur Vertretung
außen berufene und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten betraute Geschäftsführer B***, geb. am xxx, durch Außerachtlassung der gebotenen Sorgfalt sowie aufgrund mangelnder Kontrolle und Überwachung, die oben dargestellte Verwaltungsübertretung zu verantworten hat. Der Geschäftsführer hat es jedenfalls verabsäumt, ein wirksames internes Kontrollsystem in Form geeigneter Maßnahmen für ein operatives Tagesgeschäft zu implementieren. Dies führte im Ergebnis dazu, dass die Beschuldigte in zwei Fällen den Aufforderungen zur Stellungnahme der Datenschutzbehörde gar nicht und in einem Fall erst
Verstreichen der Frist entsprochen und dadurch gegen ihre Pflicht zur Zusammenarbeit mit Aufsichtsbehörden
Das rechtswidrige und schuldhafte Verhalten des oben namentlich genannten Geschäftsführers wird im Hinblick auf § 30 Abs. 1 und Abs. 2 Datenschutzgesetz (im Folgenden „DSG“) der A*** GmbH als beschuldigter juristischer Person und datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO zugerechnet.Das rechtswidrige und schuldhafte Verhalten des oben namentlich genannten Geschäftsführers wird im Hinblick auf Paragraph 30, Absatz eins und Absatz 2, Datenschutzgesetz (im Folgenden „DSG“) der A*** GmbH als beschuldigter juristischer Person und datenschutzrechtlich Verantwortlicher im Sinne von Artikel 4, Ziffer 7, DSGVO zugerechnet. Die Beschuldigte hat dadurch folgende Rechtsvorschrift(
Eintreten der Rechtskraft auf das Konto BAWAG P.S.K., Georg-Coch-Platz 2, 1018 Wien, IBAN: AT460100000005490031, BIC: BAWAATWW, lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden. Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen. Begründung: I.römisch eins. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest: Zum Verfahrensgang: 1. Drei Arbeitnehmer der Beschuldigten (im Folgenden: betroffene Personen) haben gegen die Beschuldigte jeweils eine Beschwerde wegen Verletzung des Rechts auf Geheimhaltung
Vm §§ 1 und 24 DSG eingebracht, da die Beschuldigte Gesundheitsdaten sowie sonstige Daten dieser betroffenen Personen im Zusammenhang mit Arbeitsunfähigkeitsmeldungen im Rahmen einer im
richtendienst „WhatsApp“ gegründeten und von der Beschuldigten betriebenen Gruppe „A*** GmbH“ mit anderen Arbeitnehmern geteilt haben soll. Die Betroffenen bemängelten die fehlende Rechtsgrundlage für die konkrete Verarbeitung und beantragten daher die Feststellung der Verletzung im Recht auf Geheimhaltung.Drei Arbeitnehmer der Beschuldigten (im Folgenden: betroffene Personen) haben gegen die Beschuldigte jeweils eine Beschwerde wegen Verletzung des Rechts auf Geheimhaltung
, DSGVO in Verbindung mit Paragraphen eins, und 24 DSG eingebracht, da die Beschuldigte Gesundheitsdaten sowie sonstige Daten dieser betroffenen Personen im Zusammenhang mit Arbeitsunfähigkeitsmeldungen im Rahmen einer im
richtendienst „WhatsApp“ gegründeten und von der Beschuldigten betriebenen Gruppe „A*** GmbH“ mit anderen Arbeitnehmern geteilt haben soll. Die Betroffenen bemängelten die fehlende Rechtsgrundlage für die konkrete Verarbeitung und beantragten daher die Feststellung der Verletzung im Recht auf Geheimhaltung. 2. Im Beschwerdeverfahren zur GZ: DSB-D124.289 hat die Datenschutzbehörde zunächst mit Verfahrensanordnung vom 22.03.2019 (GZ: DSB-D124.289/0002-DSB/2019 – Zustellung erfolgte mittels unbescheinigter Briefsendung) und dann mit Urgenzschreiben vom 17.04.2019 (GZ. DSB-D124.289/0003-DSB/2019), unter Anschluss einer Kopie der ersten Verfahrensanordnung und versehen mit einem Hinweis auf mögliche verwaltungsstrafrechtliche Folgen eines Verstoßes gegen Art. 31 DSGVO, jeweils unter Setzung einer zweiwöchigen Frist die Beschuldigte zur Stellungnahme aufgefordert. Die Zustellung der Verfahrensanordnung vom 17.04.2019 am 30.04.2019 ist urkundlich
gewiesen (Rückschein). Die Beschuldigte hat zunächst keinerlei Stellungnahme abgegeben. Erst am 20.11.2019 sowie 22.11.2019 hat die Beschuldigte zwei Stellungnahmen zum Vorbringen des Beschwerdeführers eingebracht. Im Zuge dieser zwei Stellungnahmen brachte die Beschuldigte weitere Sachverhaltselemente im Zusammenhang mit der Offenlegung der Arbeitsunfähigkeitsmeldung im Rahmen der Whatsapp-Gruppe vor. Im Hinblick auf die rechtliche Beurteilung wendete die Beschuldigte die mangelnde Passivlegitimation ein. Zudem sei die Frist gemäß § 73 Abs. 1 AVG bereits abgelaufen und der Grundsatz „ne bis in idem“ (Verbot der Doppelbestrafung) sei hier – mit Verweis auf das mit Vergleich abgeschlossene arbeitsgerichtliche Verfahren – ebenfalls zu berücksichtigen Im Beschwerdeverfahren zur GZ: DSB-D124.289 hat die Datenschutzbehörde zunächst mit Verfahrensanordnung vom 22.03.2019 (GZ: DSB-D124.289/0002-DSB/2019 – Zustellung erfolgte mittels unbescheinigter Briefsendung) und dann mit Urgenzschreiben vom 17.04.2019 (GZ. DSB-D124.289/0003-DSB/2019), unter Anschluss einer Kopie der ersten Verfahrensanordnung und versehen mit einem Hinweis auf mögliche verwaltungsstrafrechtliche Folgen eines Verstoßes gegen Artikel 31, DSGVO, jeweils unter Setzung einer zweiwöchigen Frist die Beschuldigte zur Stellungnahme aufgefordert. Die Zustellung der Verfahrensanordnung vom 17.04.2019 am 30.04.2019 ist urkundlich
gewiesen (Rückschein). Die Beschuldigte hat zunächst keinerlei Stellungnahme abgegeben. Erst am 20.11.2019 sowie 22.11.2019 hat die Beschuldigte zwei Stellungnahmen zum Vorbringen des Beschwerdeführers eingebracht. Im Zuge dieser zwei Stellungnahmen brachte die Beschuldigte weitere Sachverhaltselemente im Zusammenhang mit der Offenlegung der Arbeitsunfähigkeitsmeldung im Rahmen der Whatsapp-Gruppe vor. Im Hinblick auf die rechtliche Beurteilung wendete die Beschuldigte die mangelnde Passivlegitimation ein. Zudem sei die Frist gemäß Paragraph 73, Absatz eins, AVG bereits abgelaufen und der Grundsatz „ne bis in idem“ (Verbot der Doppelbestrafung) sei hier – mit Verweis auf das mit Vergleich abgeschlossene arbeitsgerichtliche Verfahren – ebenfalls zu berücksichtigen Beweis: Einsicht in die Aktenunterlagen des Beschwerdeverfahrens vor der Datenschutzbehörde zur GZ: DSB-D124.289, erledigt mit Bescheid der DSB vom 23.12.2019
außen vertretungsbefugten natürlichen Personen (Geschäftsführer: B***, C***, D***) ein. Die Beschuldigte kam sämtlichen Aufforderung im Verwaltungsstrafverfahren rechtzeitig
und hat zur Wahrheitsfindung beigetragen. 6. Die Beschuldigte hat sich durch die Beschuldigtenvertreterin, RA Dr. A*** N***, geb. am xxx, im Rahmen ihrer Vernehmung am 03.08.2020 um 11:15 vertreten lassen. Zur organisatorischen Struktur der Beschuldigten 7. Die Beschuldigte hat drei im Firmenbuch ausgewiesene Geschäftsführer, namentlich: a. B***, geb. am xxx (vertritt seit xxx selbständig) b. C***, geb. am xxx (vertritt seit xxx selbständig) c. D***, geb. am xxx (vertritt seit xxx selbständig) Alle Geschäftsführer sind in xxx, Spanien, ansässig. 8. Der Geschäftsführer B*** ist intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten betraut und somit unter anderem auch für die anhängigen Beschwerdeverfahren vor der Datenschutzbehörde zuständig. Das operative Tagesgeschäft der Beschuldigten in Österreich wird vom Betriebsleiter E*** geführt. Dieser verrichtet seine Tätigkeit in der Steiermark im Logistikzentrum O***., das ebenfalls von der Beschuldigten betrieben wird. Zudem verrichtet der Betriebsleiter seine Tätigkeit auch in Deutschland R***) und pendelt daher immer zwischen O***. und R***. Am Firmensitz der Beschuldigten in xxx befindet sich kein Mitarbeiter der Beschuldigten. Die Tagespost am Firmensitz wird von der Beschuldigtenvertreterin und ihren Mitarbeitern behoben und unmittelbar (ungeöffnet) an das Logistikzentrum in O*** weitergeleitet. Im Logistikzentrum gibt es keine Büroräumlichkeiten. Die Firmensitzadresse fungierte daher im Tatzeitraum nur als Postanschrift. In xxx führt die Beschuldigte jedenfalls kein operatives Geschäft. Der Betriebsleiter E*** war zur Tatzeit unmittelbar der Geschäftsführung in organisatorischer Hinsicht unterstellt und berichtete in regelmäßigen Abständen der Geschäftsführung über das operative Geschäft in Österreich und Deutschland in englischer Sprache. 9. Bevor die betroffenen Personen eine Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung bei der Datenschutzbehörde eingebracht haben, gab es drei separate arbeitsrechtliche Verfahren (GZ: xxx) vor dem Landesgericht für Zivilrechtssachen Graz als Arbeits- und Sozialgericht (im Folgenden: LG Graz). Die betroffenen Personen (vertreten durch xxx) begehrten - aufgrund der Verletzung ihres Rechts auf Geheimhaltung durch die Offenlegung der Daten im Whatsapp-Gruppenchat „A*** GmbH“, das von der Beschuldigten zum Zwecke der unmittelbaren und effizienten Kommunikation zwischen den Mitarbeitern sowie der Erteilung von Anweisungen an die Mitarbeiter betrieben wird - Schadenersatz, jeweils in der Höhe von EUR 3.000,00 sowie den Ersatz sämtlicher Verfahrenskosten. Die Beschuldigte schloss in diesen drei Verfahren mit den betroffenen Personen einen Vergleich ab. Die Beschuldigte verpflichtet sich, den Betroffenen jeweils einen Betrag von EUR 1.585,50 zu bezahlen sowie den Ersatz der Hälfte der Gerichtskosten zu übernehmen. Dieser Betrag wurde über xxx bereits den betroffenen Personen ausbezahlt. 10. Der für die datenschutzrechtlichen Angelegenheiten intern zuständige Geschäftsführer B*** ging davon aus, dass bereits alle entscheidungsrelevanten Informationen und Dokumente im Zuge der Beschwerdeeinbringung durch die betroffenen Personen vorgelegt wurden und dass es keiner weiteren Stellungnahme seitens der Beschuldigten bedarf. Die Aufforderungen der Datenschutzbehörde konnte zudem sachlich nicht korrekt eingeordnet werden und wurde den arbeitsrechtlichen Verfahren vor dem LG Graz, die bereits mit Vergleich abgeschlossen worden waren, zugeordnet. Die Aufforderungen der Datenschutzbehörde wurden daher als gegenstandslos betrachtet. Es erfolgte – trotz Urgenz – keinerlei Reaktion auf die Aufforderungen zur Rechtfertigung. 11. Die Beschuldigte weist in ihrer Gewinn- und Verlustrechnung für den Zeitraum 01.01.2019 bis 31.12.2019 im Jahr 2019 einen Jahresumsatz von EUR 86n.nnn,nn und sonstige betriebliche Erträge in der Höhe von EUR 7.nnn,nn aus. Das Betriebsergebnis wird mit EUR 34.nnn,nn beziffert. Im Jahr 2019 ergibt sich ein Bilanzverlust in der Höhe von EUR 79.nnn,nn. II.römisch zwei. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen: 1. Die Datenschutzbehörde legt folgende Unterlagen/Dokumente ihren Sachverhaltsdarstellungen zugrunde (Beweise): a. Den Akteninhalt des Beschwerdeverfahrens vor der Datenschutzbehörde zur GZ: DSB-D124.289, erledigt mit Bescheid der DSB vom 23.12.2019, b. den Akteninhalt des Beschwerdeverfahrens vor der Datenschutzbehörde zur GZ: DSB-D124.286, erledigt mit Bescheid der DSB vom 07.10.2019, c. den Akteninhalt des Beschwerdeverfahrens vor der Datenschutzbehörde zur GZ: DSB-D124.285, erledigt mit Bescheid der DSB vom 07.10.2019, d. die Niederschrift über die Vernehmung der Vertreterin der Beschuldigten vom 03.08.2020 im gegenständlichen Verfahren, e. schriftliche Stellungnahme der Beschuldigten im gegenständlichen Verfahren vom 03.08.2020 (samt Beilagen) zum vorgeworfenen Tatvorwurf und in Entsprechung der Aufforderung zur Rechtfertigung vom 18.02.2020, f. Firmenbuchauszug zum Stichtag 03.08.2020 zu FN xxx (A*** GmbH), g. Gewinn- und Verlustrechnung der Beschuldigten für den Zeitraum 01.01.2019 bis 31.12.2019, h. schriftliche Stellungnahme der Beschuldigten im gegenständlichen Verfahren vom 10.09.2020 in Entsprechung der ergänzenden Aufforderung zur Rechtfertigung der Datenschutzbehörde vom 04.08.2020, i. Vergleichsausfertigung zum Verfahren vor dem Landesgericht für Zivilrechtssachen Graz als Arbeits- und Sozialgericht (GZ: xxx), j. Vergleichsausfertigung zum Verfahren vor dem Landesgericht für Zivilrechtssachen Graz als Arbeits- und Sozialgericht (GZ: xxx), k. Vergleichsausfertigung zum Verfahren vor dem Landesgericht für Zivilrechtssachen Graz als Arbeits- und Sozialgericht (GZ: xxx). An der Echtheit der Unterlagen bestehen keine begründeten Zweifel. 2. Die Feststellungen zur mangelnden Zusammenarbeit der Beschuldigten mit der Datenschutzbehörde als Aufsichtsbehörde bzw. die Nichtbeachtung der Aufforderungen zur Stellungnahme in den drei Beschwerdeverfahren vor der Datenschutzbehörde beruhen auf dem schlüssig dokumentierten Akteninhalt zu den jeweiligen Verfahren (siehe oben Beweis 1. a, b und c). Außerdem räumt die Beschuldigte die Nichtbeachtung der Aufforderungen zur Stellungnahme der Datenschutzbehörde im Zuge ihrer schriftlichen Rechtfertigung vom 10.09.2020 (siehe oben Beweis 1.
dem, welcher der Beträge höher ist.
5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.Artikel 83, Absatz 4, Litera a, DSGVO legt fest, dass bei Verstößen gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikel 8, 11, 25 bis 39, 42 und 43 DSGVO Geldbußen von bis zu 10 Millionen Euro oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je
dem, welcher der Beträge höher ist.
Paragraph 22, Absatz 5, DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde. Zum Spruch Zur Erfüllung des objektiven Tatbestands
DSG verletzt hat, indem sie Gesundheitsdaten sowie sonstige Daten in dieser Whatsapp-Gruppe gegenüber anderen Mitarbeitern offengelegt hat. Die Beschuldigte war somit in ihrer Funktion als datenschutzrechtliche Verantwortliche im Sinne des Art. 4 Z 7 DSGVO und damit als Beschwerdegegnerin
2 Z 2 DSG in den jeweiligen Beschwerdeverfahren beteiligt.Eingangs ist zunächst festzuhalten, dass die Beschuldigte aufgrund der Feststellungen im gegenständlichen Fall sowie anhand der Feststellungen in den jeweiligen Beschwerdeverfahren zweifelsfrei als Betreiberin und somit Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO für die Verarbeitung der personenbezogenen Daten und Gesundheitsdaten (Arbeitsunfähigkeitsmeldungen) im Rahmen der Whatsapp-Gruppe „A*** GmbH“ zu qualifizieren ist. Die Rolle als Betreiberin der Whatsapp-Gruppe und dessen Zweck (unmittelbare und effiziente Kommunikation zwischen den Mitarbeitern der Beschuldigten sowie zur Übermittlung von Dienstanweisungen, Änderungen der Tagesarbeitszeiten und Schichten) werden von der Beschuldigten im gegenständlichen Fall nicht bestritten. Die Beschuldigte räumt sogar diese Rolle und dessen Zweck in ihrer Rechtfertigung vom 03.08.2020 ein (siehe Seite 2, Punkt römisch eins. dritter Gedankenstrich). Gegenstand der jeweiligen Beschwerdeverfahren bei der Datenschutzbehörde war die Frage, ob die Beschuldigte die Betroffenen in ihrem Recht auf Geheimhaltung
Paragraph eins, DSG verletzt hat, indem sie Gesundheitsdaten sowie sonstige Daten in dieser Whatsapp-Gruppe gegenüber anderen Mitarbeitern offengelegt hat. Die Beschuldigte war somit in ihrer Funktion als datenschutzrechtliche Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO und damit als Beschwerdegegnerin
Paragraph 24, Absatz 2, Ziffer 2, DSG in den jeweiligen Beschwerdeverfahren beteiligt. 4. Als Verantwortliche ist die Beschuldigte – auf Anfrage – gemäß Art. 31 DSGVO zur Zusammenarbeit mit einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben verpflichtet. Die Datenschutzbehörde ist Aufsichtsbehörde im Sinne des Art. 51 DSGVO (siehe auch § 18 Abs. 1 DSG). Die Aufgaben einer Aufsichtsbehörde werden in Art. 57 DSGVO festgelegt.
1 lit. f DSGVO muss jede Aufsichtsbehörde in ihrem jeweiligen Hoheitsgebiet sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Art. 80 DSGVO befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist. Es besteht eine Behandlungspflicht einlangender Beschwerden im Umfang des Art. 57 Abs. 1 lit. f DSGVO. Die Aufsichtsbehörde muss eine solche Beschwerde mit aller gebotenen Sorgfalt bearbeiten (siehe dazu das Urteil des EuGH vom 16. Juli 2020, C-311/18, Rz 109). Die Befugnisse einer Aufsichtsbehörde sind in Art. 58 DSGVO geregelt.
1 lit. a DSGVO hat eine Aufsichtsbehörde die Befugnis, den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Aus dieser Bestimmung ist bereits eine Mitwirkungsobliegenheit der Normadressaten ableitbar (vgl. Bogendorfer in Knyrim, DatKomm Art 31 DSGVO Rz 4).
1 DSG kann die Datenschutzbehörde vom Verantwortlichen oder Auftragsverarbeiter der überprüften Datenverarbeitung insbesondere alle notwendigen Aufklärungen verlangen sowie Einschau in die Datenverarbeitung und diesbezügliche Unterlagen begehren. Zudem hat eine Behörde
AVG im Ermittlungsverfahren den maßgeblichen Sachverhalt zu erforschen (materielle Wahrheit) und muss hiefür die erforderlichen Ermittlungsmaßnahmen
Der Grundsatz der materiellen Wahrheit besagt, dass die Behörde den wirklichen Sachverhalt von Amts wegen ermitteln muss und nicht an das Vorbringen der Parteien in einem kontradiktorischen Verfahren gebunden ist. Als Verantwortliche ist die Beschuldigte – auf Anfrage – gemäß Artikel 31, DSGVO zur Zusammenarbeit mit einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben verpflichtet. Die Datenschutzbehörde ist Aufsichtsbehörde im Sinne des Artikel 51, DSGVO (siehe auch Paragraph 18, Absatz eins, DSG). Die Aufgaben einer Aufsichtsbehörde werden in Artikel 57, DSGVO festgelegt.
, Absatz eins, Litera f, DSGVO muss jede Aufsichtsbehörde in ihrem jeweiligen Hoheitsgebiet sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80, DSGVO befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist. Es besteht eine Behandlungspflicht einlangender Beschwerden im Umfang des Artikel 57, Absatz eins, Litera f, DSGVO. Die Aufsichtsbehörde muss eine solche Beschwerde mit aller gebotenen Sorgfalt bearbeiten (siehe dazu das Urteil des EuGH vom 16. Juli 2020, C-311/18, Rz 109). Die Befugnisse einer Aufsichtsbehörde sind in Artikel 58, DSGVO geregelt.
, Absatz eins, Litera a, DSGVO hat eine Aufsichtsbehörde die Befugnis, den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Aus dieser Bestimmung ist bereits eine Mitwirkungsobliegenheit der Normadressaten ableitbar vergleiche Bogendorfer in Knyrim, DatKomm Artikel 31, DSGVO Rz 4).
Paragraph 22, Absatz eins, DSG kann die Datenschutzbehörde vom Verantwortlichen oder Auftragsverarbeiter der überprüften Datenverarbeitung insbesondere alle notwendigen Aufklärungen verlangen sowie Einschau in die Datenverarbeitung und diesbezügliche Unterlagen begehren. Zudem hat eine Behörde
Paragraph 37, AVG im Ermittlungsverfahren den maßgeblichen Sachverhalt zu erforschen (materielle Wahrheit) und muss hiefür die erforderlichen Ermittlungsmaßnahmen
Paragraph 39, AVG amtswegig setzen. Der Grundsatz der materiellen Wahrheit besagt, dass die Behörde den wirklichen Sachverhalt von Amts wegen ermitteln muss und nicht an das Vorbringen der Parteien in einem kontradiktorischen Verfahren gebunden ist. 5. Es kann somit als Zwischenergebnis festgehalten werden, dass die gegenständlichen Aufforderungen zur Stellungnahme an die Beschuldigte in den jeweiligen Beschwerdeverfahren jedenfalls von den Befugnissen im Unionsrecht sowie den Erfordernissen
nationalem Recht gedeckt sind und dass die angemessene Untersuchung des Beschwerdegegenstands eine - im Aufgabenkatalog des Art. 58 DSGVO – unionsrechtlich festgelegte Verpflichtung der Datenschutzbehörde als Aufsichtsbehörde darstellt. Zudem muss die Behörde
und 39 AVG von Amts wegen den maßgeblichen Sachverhalt erforschen und ist eine Verfahrenspartei auch verpflichtet, an der Feststellung des maßgeblichen Sachverhaltes mitzuwirken (vgl. dazu das Erkenntnis des VwGH vom 27. Mai 2019, Ra 2019/14/0153). Schon aus diesem Grund kommt dem Einwand der Beschuldigten, sie sei nicht verpflichtet gewesen, eine Stellungnahme abzugeben, keine Berechtigung zu.Es kann somit als Zwischenergebnis festgehalten werden, dass die gegenständlichen Aufforderungen zur Stellungnahme an die Beschuldigte in den jeweiligen Beschwerdeverfahren jedenfalls von den Befugnissen im Unionsrecht sowie den Erfordernissen
nationalem Recht gedeckt sind und dass die angemessene Untersuchung des Beschwerdegegenstands eine - im Aufgabenkatalog des Artikel 58, DSGVO – unionsrechtlich festgelegte Verpflichtung der Datenschutzbehörde als Aufsichtsbehörde darstellt. Zudem muss die Behörde
Paragraphen 37, und 39 AVG von Amts wegen den maßgeblichen Sachverhalt erforschen und ist eine Verfahrenspartei auch verpflichtet, an der Feststellung des maßgeblichen Sachverhaltes mitzuwirken vergleiche dazu das Erkenntnis des VwGH vom
vollziehen kann, was von ihm verlangt wird, weshalb zumindest der Gegenstand der Anfrage und der Zweck anzugeben sein wird (vgl. Kastelitz in Gantschacher/Jelinek/Schmidl/Spanberger [Hrsg.], DSGVO Art. 31 Anm 3; Bogendorfer in Knyrim, DatKomm Art. 31 DSGVO Rz 14).Die Normadressaten des Artikel 31, DSGVO haben nämlich auf Anfrage der Aufsichtsbehörde mit ihr zusammenzuarbeiten. Sie müssen daher nicht von sich aus tätig werden, es sei denn, die DSGVO sieht dies in einer Bestimmung besonders vor (so etwa in Artikel 33, und 36 DSGVO). Die Anfrage der Aufsichtsbehörde muss inhaltlich so hinreichend bestimmt sein, dass der Normadressat
vollziehen kann, was von ihm verlangt wird, weshalb zumindest der Gegenstand der Anfrage und der Zweck anzugeben sein wird vergleiche Kastelitz in Gantschacher/Jelinek/Schmidl/Spanberger [Hrsg.], DSGVO Artikel 31, Anmerkung 3, ; Bogendorfer in Knyrim, DatKomm Artikel 31, DSGVO Rz 14). 8. Die gegenständlichen Aufforderungen zur Stellungnahme in den jeweiligen Beschwerdeverfahren waren inhaltlich hinreichend bestimmt und die Beschuldigte konnte jedenfalls
vollziehen, was von ihr verlangt wird. Sie waren auch notwendig, um den maßgeblichen Sachverhalt festzustellen und insbesondere die Beschuldigte zu den erhobenen Vorwürfen zu hören und ihr Gelegenheit zur Darlegung des eigenen Standpunktes zu geben. Das Ergebnis eines kontradiktorischen Verfahrens hängt bereits seinem Wesen
davon ab, ob den Ausführungen der Verfahrensparteien Berechtigung zukommt oder nicht, weil es letztlich nur eine obsiegende Partei geben kann. Den Ausführungen der Beschuldigten im Zuge der Einvernahme vom 03.08.2020 sowie den schriftlichen Rechtfertigungen vom 03.08.2020 und 10.09.2020 ist zu entnehmen, dass die Beschuldigte durchaus den Gegenstand und Zweck der Aufforderungen zur Stellungnahme
vollziehen konnte. Sie war jedoch der Ansicht, dass ihre Stellungnahme nicht mehr erforderlich sei, da die Datenschutzbehörde alle relevanten Informationen hätte. Deshalb wurde auch keine Stellungnahme - trotz Urgenz - eingebracht. Die Aufforderungen zur Stellungnahmen sind daher jedenfalls als ordnungsgemäße „Anfragen einer Aufsichtsbehörde“ zu qualifizieren. 9. Als Ergebnis kann daher festgehalten werden, dass bereits aufgrund des Wortlauts des Art. 31 DSGVO die Beschuldigte die objektive Tatseite der Verwaltungsübertretung des Art. 83 Abs. 4 lit. a DSGVO zu verantworten hat, indem sie als Verantwortliche auf die mehrfachen Aufforderungen zur Stellungnahme in den jeweiligen Beschwerdeverfahren nicht reagiert hat und dadurch ihrer Pflicht zur Zusammenarbeit mit der Datenschutzbehörde nicht
gekommen ist. Die Pflicht zur Zusammenarbeit ist auch daraus ableitbar, dass einer Aufsichtsbehörde nicht von vornherein unterstellt werden kann, sinnlose Anfragen zu stellen, die in keinem Zusammenhang mit ihrer Vollzugstätigkeit stehen.Als Ergebnis kann daher festgehalten werden, dass bereits aufgrund des Wortlauts des Artikel 31, DSGVO die Beschuldigte die objektive Tatseite der Verwaltungsübertretung des Artikel 83, Absatz 4, Litera a, DSGVO zu verantworten hat, indem sie als Verantwortliche auf die mehrfachen Aufforderungen zur Stellungnahme in den jeweiligen Beschwerdeverfahren nicht reagiert hat und dadurch ihrer Pflicht zur Zusammenarbeit mit der Datenschutzbehörde nicht
gekommen ist. Die Pflicht zur Zusammenarbeit ist auch daraus ableitbar, dass einer Aufsichtsbehörde nicht von vornherein unterstellt werden kann, sinnlose Anfragen zu stellen, die in keinem Zusammenhang mit ihrer Vollzugstätigkeit stehen.
der vorgegebenen Frist, jedoch noch vor Bescheiderlassung - zwei Stellungnahmen hintereinander am 20.11.2019 und 22.11.2019 eingebracht hat. Im Zuge dieser Stellungnahmen hat die Beschuldigte, wie im Sachverhalt festgestellt, weitere Sachverhaltselemente im Zusammenhang mit der Offenlegung der Arbeitsunfähigkeitsmeldung im Rahmen der Whatsapp-Gruppe sowie einige Argumente im Hinblick auf die rechtliche Beurteilung des Sachverhalts vorgebracht (z.B. die mangelnde Passivlegitimation). Allein daraus ergibt sich, dass die Datenschutzbehörde nicht alle relevanten Informationen durch die Beschwerdeführer vorgelegt bekommen hat. Die Stellungnahmen waren zwar deutlich verspätet, jedoch wurde bis dahin noch kein Bescheid erlassen, weshalb die Stellungnahmen der Beschuldigten jedenfalls noch im Ermittlungsverfahren aufgenommen und in weiterer Folge auch im Bescheid thematisiert wurden. Die Stellungnahmen der Beschuldigten haben somit zur Feststellung des maßgebenden Sachverhalts beigetragen. Somit kann der Ansicht der Beschuldigten überhaupt nicht gefolgt werden, dass sie nichts mehr zu den Verfahren beitragen konnte (vgl. dazu nochmals das bereits zitierte Erkenntnis des VwGH vom 27. Mai 2019).Die Beschuldigte widerspricht durch diese Behauptung in ihrer eigenen Argumentation, da sie in einem der drei Beschwerdeverfahren (zur GZ: D124.289) - wenn auch deutlich
der vorgegebenen Frist, jedoch noch vor Bescheiderlassung - zwei Stellungnahmen hintereinander am 20.11.2019 und 22.11.2019 eingebracht hat. Im Zuge dieser Stellungnahmen hat die Beschuldigte, wie im Sachverhalt festgestellt, weitere Sachverhaltselemente im Zusammenhang mit der Offenlegung der Arbeitsunfähigkeitsmeldung im Rahmen der Whatsapp-Gruppe sowie einige Argumente im Hinblick auf die rechtliche Beurteilung des Sachverhalts vorgebracht (z.B. die mangelnde Passivlegitimation). Allein daraus ergibt sich, dass die Datenschutzbehörde nicht alle relevanten Informationen durch die Beschwerdeführer vorgelegt bekommen hat. Die Stellungnahmen waren zwar deutlich verspätet, jedoch wurde bis dahin noch kein Bescheid erlassen, weshalb die Stellungnahmen der Beschuldigten jedenfalls noch im Ermittlungsverfahren aufgenommen und in weiterer Folge auch im Bescheid thematisiert wurden. Die Stellungnahmen der Beschuldigten haben somit zur Feststellung des maßgebenden Sachverhalts beigetragen. Somit kann der Ansicht der Beschuldigten überhaupt nicht gefolgt werden, dass sie nichts mehr zu den Verfahren beitragen konnte vergleiche dazu nochmals das bereits zitierte Erkenntnis des VwGH vom
stehend näher erläutert: 13.
2 DSG können juristische Personen wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück des DSG verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in § 30 Abs. 1 DSG genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat. Entscheidend ist hierbei die Frage, ob ein wirksames internes Kontrollsystem bei der Beschuldigten implementiert wurde, hier insbesondere dafür, um das operative Tagesgeschäft in Österreich von Spanien aus zu überwachen.
Paragraph 30, Absatz 2, DSG können juristische Personen wegen Verstößen gegen Bestimmungen der DSGVO und des Paragraph eins, oder Artikel 2
gegangen wird, diese Verstöße dokumentiert werden und zu entsprechenden Konsequenzen (beispielsweise zu einer Verbesserung der Anleitungen oder Schulungen, allenfalls auch zu disziplinären Maßnahmen) führen, sodass im Ergebnis mit gutem Grund erwartet werden kann, dass die Einhaltung von Vorschriften gewährleistet ist (vgl. VwGH 07.03.2016, Ra 2016/02/0030, mwH).Zu einem wirksamen Kontrollsystem gehört, dass in systematischer Weise möglichen Verstößen
gegangen wird, diese Verstöße dokumentiert werden und zu entsprechenden Konsequenzen (beispielsweise zu einer Verbesserung der Anleitungen oder Schulungen, allenfalls auch zu disziplinären Maßnahmen) führen, sodass im Ergebnis mit gutem Grund erwartet werden kann, dass die Einhaltung von Vorschriften gewährleistet ist vergleiche VwGH 07.03.2016, Ra 2016/02/0030, mwH).
geordneter Hilfspersonen bedienen. Um die Einhaltung der sie treffenden Verpflichtungen zu sichern, liegt es an der verwaltungsstrafrechtlich verantwortlichen Person iSd § 9 VStG, zur Umsetzung ihrer gegenüber ihren Mitarbeiterinnen und Mitarbeitern bestehende Kontrollpflichten ein wirksam begleitendes Kontrollsystem einzurichten, durch welches die Einhaltung der einschlägigen Vorschriften jederzeit sichergestellt werden kann (vgl. VwGH 8.11.2016, Ra 2016/11/0144; 20.03.2018, Ra 2017/03/0092). Der Geschäftsführer hätte hier jedenfalls zumindest die rechtsfreundliche Vertretung der Beschuldigten (im gegenständlichen Fall die Beschuldigtenvertreterin) stärker im Rahmen der laufenden Kontrolle von anhängigen Verfahren einbinden und ihr zumindest auch eine Kontrollfunktion einräumen müssen, damit der Betriebsleiter – neben seinen anderen Aufgaben – nicht alleine die Verfahren überwachen muss. Vor allem war die Beschuldigtenvertreterin auch die Rechtsvertretung der Beschuldigten im Rahmen der jeweiligen arbeitsrechtlichen Verfahren vor dem LG Graz und kannte daher den Sachverhalt und wäre ihr als rechtskundiger Parteienvertretern sicherlich aufgefallen, dass es sich bei den Verfahren vor der Datenschutzbehörde um gesonderte, in keinem Zusammenhang mit den arbeitsrechtlichen Verfahren stehende Verfahren handelte.Der Betriebsleiter in Österreich ist - in organisatorischer Hinsicht - der Geschäftsführung der Beschuldigten unmittelbar unterstellt und berichtet zwar in englischer Sprache regelmäßig der Geschäftsführung über das operative Tagesgeschäft in Österreich und somit auch über den Status der laufenden gerichtlichen und behördlichen Verfahren, jedoch hat er die gegenständlichen Aufforderungen zur Stellungnahme der Datenschutzbehörde fälschlicherweise nicht richtig behandelt, indem er sie als gegenstandlos betrachtet hat, da die arbeitsrechtlichen Verfahren bereits mit einem Vergleich abgeschlossen wurden. Dies ist unter anderem darauf zurückzuführen, dass der Betriebsleiter ein breites Aufgabenfeld hat, da er für das gesamte operative Tagesgeschäft in Österreich und Deutschland (Logistikzentrum in R***) zuständig ist und zudem regelmäßig zwischen den Logistikzentren in O*** und R*** pendeln muss. Der Betriebsleiter ist somit nicht ausschließlich für die Überwachung bzw. laufende Kontrolle der anhängigen gerichtlichen sowie behördlichen Verfahren zuständig. Eine verwaltungsstrafrechtlich verantwortliche Person iSd Paragraph 9, VStG wird sich angesichts der betrieblichen arbeitsteiligen Aufgabenerfüllung regelmäßig zur Erfüllung ihrer rechtlichen Verpflichtungen auch ihrer Anordnungskompetenz unterworfener
geordneter Hilfspersonen bedienen. Um die Einhaltung der sie treffenden Verpflichtungen zu sichern, liegt es an der verwaltungsstrafrechtlich verantwortlichen Person iSd Paragraph 9, VStG, zur Umsetzung ihrer gegenüber ihren Mitarbeiterinnen und Mitarbeitern bestehende Kontrollpflichten ein wirksam begleitendes Kontrollsystem einzurichten, durch welches die Einhaltung der einschlägigen Vorschriften jederzeit sichergestellt werden kann vergleiche VwGH 8.11.2016, Ra 2016/11/0144; 20.03.2018, Ra 2017/03/0092). Der Geschäftsführer hätte hier jedenfalls zumindest die rechtsfreundliche Vertretung der Beschuldigten (im gegenständlichen Fall die Beschuldigtenvertreterin) stärker im Rahmen der laufenden Kontrolle von anhängigen Verfahren einbinden und ihr zumindest auch eine Kontrollfunktion einräumen müssen, damit der Betriebsleiter – neben seinen anderen Aufgaben – nicht alleine die Verfahren überwachen muss. Vor allem war die Beschuldigtenvertreterin auch die Rechtsvertretung der Beschuldigten im Rahmen der jeweiligen arbeitsrechtlichen Verfahren vor dem LG Graz und kannte daher den Sachverhalt und wäre ihr als rechtskundiger Parteienvertretern sicherlich aufgefallen, dass es sich bei den Verfahren vor der Datenschutzbehörde um gesonderte, in keinem Zusammenhang mit den arbeitsrechtlichen Verfahren stehende Verfahren handelte. 21. Ein wirksam begleitendes Kontrollsystem beinhaltet einen von den verwaltungsstrafrechtlich verantwortlichen Personen zu beachtenden objektiven Sorgfaltsmaßstab, dessen Nichtbeachtung jedenfalls eine fahrlässige Vorgangsweise indiziert. Die notwendige Beachtung dieses Sorgfaltsmaßstabs umfasst dabei einerseits die Einrichtung eines wirksamen Kontrollsystems, andererseits die Beachtung dieses Kontrollsystems im Einzelfall. In Ermangelung einschlägiger ausdrücklicher Vorschriften richtet sich das Maß der einzuhaltenden objektiven Sorgfalt insbesondere
dem, was von einem sich seiner Pflichten gegen die Mitwelt bewussten, dem Verkehrskreis des Täters angehörenden Menschen billigerweise verlangt werden kann (vgl. VwGH 20.03.2018, Ra 2017/03/0092). Ausgehend von der ständigen Rechtsprechung des VwGH (vgl. etwa VwGH 16.02.2011, Ra 2011/08/0004) obliegt es dem Geschäftsführer - der zur Vertretung der einer GmbH
außen berufen ist und für die Einhaltung der Verwaltungsvorschriften Sorge zu tragen hat – ein wirksames Kontrollsystem einzurichten, wenn er die selbstverantwortliche Besorgung einzelner Angelegenheiten (wie beispielsweise hier die Kontrolle von anhängigen Verfahren bzw. das Führen des operativen Tagesgeschäfts) anderen Personen überlässt (vgl. auch VwGH 12.10.2017, Ra 2015/08/0082). Die bloße Erteilung von Weisungen reicht nicht, um von einem wirksamen Kontrollsystem ausgehen zu können. Entscheidend ist, ob auch eine wirksame Kontrolle der vom Verantwortlichen erteilten Weisungen erfolgte, die unter den vorhersehbaren Verhältnissen die Einhaltung der gesetzlichen Vorschrift mit gutem Grund erwarten ließ (vgl. VwGH 16.12.2015, Ra 2013/10/0236).Ein wirksam begleitendes Kontrollsystem beinhaltet einen von den verwaltungsstrafrechtlich verantwortlichen Personen zu beachtenden objektiven Sorgfaltsmaßstab, dessen Nichtbeachtung jedenfalls eine fahrlässige Vorgangsweise indiziert. Die notwendige Beachtung dieses Sorgfaltsmaßstabs umfasst dabei einerseits die Einrichtung eines wirksamen Kontrollsystems, andererseits die Beachtung dieses Kontrollsystems im Einzelfall. In Ermangelung einschlägiger ausdrücklicher Vorschriften richtet sich das Maß der einzuhaltenden objektiven Sorgfalt insbesondere
dem, was von einem sich seiner Pflichten gegen die Mitwelt bewussten, dem Verkehrskreis des Täters angehörenden Menschen billigerweise verlangt werden kann vergleiche VwGH 20.03.2018, Ra 2017/03/0092). Ausgehend von der ständigen Rechtsprechung des VwGH vergleiche etwa VwGH 16.02.2011, Ra 2011/08/0004) obliegt es dem Geschäftsführer - der zur Vertretung der einer GmbH
außen berufen ist und für die Einhaltung der Verwaltungsvorschriften Sorge zu tragen hat – ein wirksames Kontrollsystem einzurichten, wenn er die selbstverantwortliche Besorgung einzelner Angelegenheiten (wie beispielsweise hier die Kontrolle von anhängigen Verfahren bzw. das Führen des operativen Tagesgeschäfts) anderen Personen überlässt vergleiche auch VwGH 12.10.2017, Ra 2015/08/0082). Die bloße Erteilung von Weisungen reicht nicht, um von einem wirksamen Kontrollsystem ausgehen zu können. Entscheidend ist, ob auch eine wirksame Kontrolle der vom Verantwortlichen erteilten Weisungen erfolgte, die unter den vorhersehbaren Verhältnissen die Einhaltung der gesetzlichen Vorschrift mit gutem Grund erwarten ließ vergleiche VwGH 16.12.2015, Ra 2013/10/0236). 22. Es ist zwar den Ausführungen der Beschuldigten zu folgen, dass die Überwachung des täglichen operativen Tagesgeschäfts durch eine in Spanien ansässige Geschäftsführung keine leichte Aufgabe darstellt, jedoch ist, unter Berücksichtigung der oben angeführten Umstände, in Bezug auf das gegenständliche Kontrollsystem der Beschuldigten festzuhalten, dass der Geschäftsführer dennoch objektiv sorgfaltswidrig gehandelt hat, indem er kein wirksames internes Kontrollsystem im Sinne der Judikatur des VwGH für das tägliche operative Tagesgeschäft in Österreich implementiert hat. Der Geschäftsführer hätte jedenfalls die Rechtsvertretung der Beschuldigten im Zusammenhang mit der Kontrolle der anhängigen Verfahren in Österreich stärker einbeziehen müssen. Zudem ist die sonstige Einrichtung bzw. Konzeption des internen Kontrollsystems der Beschuldigten für das operative Tagesgeschäft in Österreich mit einer wesentlichen Fehleranfälligkeit behaftet (Sitz in xxx ist reine Postanschrift, keine Mitarbeiter dort beschäftigt; die Post wird
O*** an den Betriebsleiter geschickt, dieser ist jedoch nicht immer anwesend, da er zwischen O*** und R*** pendelt; der Standort in O*** hat keine Büroräumlichkeiten, die die Verwaltung solcher Angelegenheiten erleichtern würde, etc.). Gerade von einem Geschäftsführer, der nicht in Österreich aufhältig ist, der Landessprache nicht mächtig ist und die Geschäfte „aus der Ferne führt“, ist zu erwarten, dass er für eine Niederlassung in einem anderen Mitgliedstaat Personen bestellt, die imstande sind, mit Behörden auf Anfrage zu kommunizieren. Andernfalls könnte sich ein Unternehmen – wie die Beschuldigte – sich einer effektiven Rechtsverfolgung konsequent entziehen.
teiligen Auswirkungen zu mindern;
dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (dies gilt naturgemäß nur für natürliche Personen, ist aber sinngemäß auf juristische Personen zu übertragen); dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.Gemäß Paragraph 19, Absatz eins, VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind
dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32, bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (dies gilt naturgemäß nur für natürliche Personen, ist aber sinngemäß auf juristische Personen zu übertragen); dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Artikel 83, Absatz 8, DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.
dem, welcher der Beträge höher ist. Der Begriff Umsatz im Sinne von Art. 83 Abs. 4 und 5 DSGVO ist im Sinne des Nettoumsatzerlöses der Richtlinie 2013/34/EU zu verstehen. Danach sind Nettoumsatzerlöse die Beträge, die sich aus dem Verkauf von Produkten und der Erbringung von Dienstleistungen
Abzug von Erlösschmälerungen und der Mehrwertsteuer sowie sonstigen direkt mit dem Umsatz verbundenen Steuern ergeben (Art. 2 Z 5 RL 2013/34/EU).Gemäß Artikel 83, Absatz 4, werden im Falle der dort genannten Verstöße, im Einklang mit Absatz 2,, Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je
dem, welcher der Beträge höher ist. Der Begriff Umsatz im Sinne von Artikel 83, Absatz 4, und 5 DSGVO ist im Sinne des Nettoumsatzerlöses der Richtlinie 2013/34/EU zu verstehen. Danach sind Nettoumsatzerlöse die Beträge, die sich aus dem Verkauf von Produkten und der Erbringung von Dienstleistungen
Abzug von Erlösschmälerungen und der Mehrwertsteuer sowie sonstigen direkt mit dem Umsatz verbundenen Steuern ergeben (Artikel 2, Ziffer 5, RL 2013/34/EU).
Meinung der Beschuldigten bereits alle Informationen der Behörde vorliegen. Eine gänzlich fehlende bzw. die erst verspätet erfolgte Reaktion führte jedoch zu einer deutlichen Verzögerung des Verfahrens und hat die Behörde bei der Erfüllung ihrer Aufgaben behindert.Art, Schwere, Umfang und Dauer des Verstoßes:, Die Beschuldigte wurde im Rahmen mehrerer Beschwerdefahren mehrmals zur Stellungnahme durch die Datenschutzbehörde aufgefordert. Die Beschuldigte hat – trotz Urgenz und Zustellung per RSb – wiederholt nicht auf die Aufforderungen reagiert, obwohl ihr spätestens mit den Urgenzschreiben klar sein musste, dass ihre Mitwirkung am Verfahren erforderlich war. Es erfolgte nur eine eingeschränkte Reaktion im Rahmen eines von drei Beschwerdeverfahren. Es wäre jedenfalls möglich gewesen, die Datenschutzbehörde darüber zu informieren, dass keine Stellungnahme eingebracht wird, da
Meinung der Beschuldigten bereits alle Informationen der Behörde vorliegen. Eine gänzlich fehlende bzw. die erst verspätet erfolgte Reaktion führte jedoch zu einer deutlichen Verzögerung des Verfahrens und hat die Behörde bei der Erfüllung ihrer Aufgaben behindert. 7. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt: a. Da die Datenschutzbehörde in Bezug auf die im Spruch geahndeten Verstöße gegen die Pflicht zur Zusammenarbeit mit Aufsichtsbehörden nicht von vorsätzlicher, sondern von fahrlässiger Begehung ausgeht, wurde dies im Verhältnis zu möglichen Höchststrafe deutlich strafmildernd in Ansatz gebracht; b. Gegen die Beschuldigte liegen bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vor, dies wurde ebenfalls als strafmildernd berücksichtigt; c. Zudem hat die Beschuldigte im Rahmen des gegenständlichen Ermittlungsverfahrens vor der Datenschutzbehörde sehr kooperativ mitgewirkt und dadurch einen wesentlichen Beitrag zur Wahrheitsfindung beigetragen; d. Bei der Beschuldigten handelt es sich
der Empfehlung der EU-Kommission 2003/61 (KMU-Definition der Europäischen Kommission) um ein Kleinunternehmen (der Personalaufwand im Rahmen der Gewinn- und Verlustrechnung für das Jahr 2019 stellt eine Mitarbeiterzahl von mehr als 9 Mitarbeiter, jedoch jedenfalls weniger als 49 dar und der Umsatz übersteigt nicht die Grenze von EUR 10.000.000). Dies wird ebenfalls vor allem im Sinne der Verhältnismäßigkeit als deutlich mildernd berücksichtigt; e. Der Umstand, dass die Beschuldigte laut der Gewinn- und Verlustrechnung für das Jahr 2019 einen Bilanzverlust in der Höhe von EUR 79.nnn,nn erzielt hat. f. Hinsichtlich der finanziellen Situation der Beschuldigten wird - im Sinne der Verhältnismäßigkeit - auch die aktuelle COVID-19 Pandemie als strafmildernd berücksichtigt. 8. Die konkret verhängte Strafe in der Höhe von EUR 3.000,00 erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 4 DSGVO tat- und schuldangemessen und befindet sich aufgrund der vorliegenden Milderungsgründe am untersten Ende des zur Verfügung stehenden Strafrahmens. Die Verhängung ist jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche und Auftragsverarbeiter hinsichtlich ihrer Pflicht zur Zusammenarbeit mit der Datenschutzbehörde als Aufsichtsbehörde dahingehend zu sensibilisieren, dass den Aufforderungen zur Mitwirkung an Verfahren vor der Datenschutzbehörde fristgerecht entsprochen wird, um allfällige Verzögerungen zu vermeiden. Die konkret verhängte Strafe ist somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO.Die konkret verhängte Strafe in der Höhe von EUR 3.000,00 erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 4, DSGVO tat- und schuldangemessen und befindet sich aufgrund der vorliegenden Milderungsgründe am untersten Ende des zur Verfügung stehenden Strafrahmens. Die Verhängung ist jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche und Auftragsverarbeiter hinsichtlich ihrer Pflicht zur Zusammenarbeit mit der Datenschutzbehörde als Aufsichtsbehörde dahingehend zu sensibilisieren, dass den Aufforderungen zur Mitwirkung an Verfahren vor der Datenschutzbehörde fristgerecht entsprochen wird, um allfällige Verzögerungen zu vermeiden. Die konkret verhängte Strafe ist somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Artikel 83, Absatz eins, DSGVO. European Case Law IdentifierECLI:AT:DSB:2021:2020.0.582.166
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.