Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:Die beschuldigte juristische Person mit Sitz in **31 K***hausen, O***straße *6/8/*7 (im Folgenden „N***GG“), hat als Verantwortliche
, Ziffer 7, der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), Amtsblatt Nummer L 119 vom 04.05.2016, Seite 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen: I. Die N***GG hat in ihrer Rolle als Verantwortliche
Z 7 DSGVO in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 31.07.2020 bis 26.09.2022 (im Folgenden „Tatzeitraum 1“) am Standort in **12 K***hausen, M***platz *3 (im Folgenden „Tatort 1“) unrechtmäßig personenbezogene Daten verarbeitet, indem sie am Tatort 1 eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben hat, wobei der Aufnahmebereich der Anlage die Innenräume ihrer Betriebsstätte („N*** Delivery & Take away“) am Tatort 1 (unter anderem Arbeitsplätze der MitarbeiterInnen der N***GG im Küchen- und Abholbereich) erfasste. Die Speicherdauer in Bezug auf die Aufzeichnungen betrug 14 Tage und die Aufzeichnung wurde ständig – dh ohne Unterbrechungen (wie bspw. außerhalb der Betriebszeiten) – durchgeführt. Die Datenverarbeitung durch N***GG war im Ergebnis nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt und konnte auf keine Rechtsgrundlage
1 DSGVO gestützt werden. römisch eins. Die N***GG hat in ihrer Rolle als Verantwortliche
, Ziffer 7, DSGVO in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 31.07.2020 bis 26.09.2022 (im Folgenden „Tatzeitraum 1“) am Standort in **12 K***hausen, M***platz *3 (im Folgenden „Tatort 1“) unrechtmäßig personenbezogene Daten verarbeitet, indem sie am Tatort 1 eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben hat, wobei der Aufnahmebereich der Anlage die Innenräume ihrer Betriebsstätte („N*** Delivery & Take away“) am Tatort 1 (unter anderem Arbeitsplätze der MitarbeiterInnen der N***GG im Küchen- und Abholbereich) erfasste. Die Speicherdauer in Bezug auf die Aufzeichnungen betrug 14 Tage und die Aufzeichnung wurde ständig – dh ohne Unterbrechungen (wie bspw. außerhalb der Betriebszeiten) – durchgeführt. Die Datenverarbeitung durch N***GG war im Ergebnis nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt und konnte auf keine Rechtsgrundlage
II. Darüber hinaus hat N***GG in ihrer Rolle als Verantwortliche
Z 7 DSGVO in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 25.05.2018 (bzw. seit In-Geltung-Tretung der DSGVO) bis 08.03.2023 (im Folgenden „Tatzeitraum 2“) in **31 K***hausen, O***straße *6/8/*7 (Sitz der N***GG – im Folgenden „Tatort 2“), gegen ihre Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne des Art. 30 Abs. 1 DSGVO verstoßen, indem sie kein solches Verarbeitungsverzeichnis in der nach Art. 30 Abs. 3 DSGVO genannten Form (schriftlich oder in einem elektronischen Format) geführt hat.römisch zwei. Darüber hinaus hat N***GG in ihrer Rolle als Verantwortliche
, Ziffer 7, DSGVO in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 25.05.2018 (bzw. seit In-Geltung-Tretung der DSGVO) bis 08.03.2023 (im Folgenden „Tatzeitraum 2“) in **31 K***hausen, O***straße *6/8/*7 (Sitz der N***GG – im Folgenden „Tatort 2“), gegen ihre Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne des Artikel 30, Absatz eins, DSGVO verstoßen, indem sie kein solches Verarbeitungsverzeichnis in der nach Artikel 30, Absatz 3, DSGVO genannten Form (schriftlich oder in einem elektronischen Format) geführt hat. Die beschuldigte juristische Person hat daher im Ergebnis gegen folgende Vorgaben der DSGVO verstoßen: ● Die rechtmäßige Verarbeitung personenbezogener Daten auf Basis einer Rechtsgrundlage
1 DSGVODie rechtmäßige Verarbeitung personenbezogener Daten auf Basis einer Rechtsgrundlage
, Absatz eins, DSGVO ● Die Pflicht zur Führung eines Verzeichnisses betreffend aller Verarbeitungstätigkeiten
DSGVO Die Pflicht zur Führung eines Verzeichnisses betreffend aller Verarbeitungstätigkeiten
, DSGVO ● Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise
1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise
, Absatz eins, Litera a, DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) ● Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten
1 lit. c DSGVO („Datenminimierung) Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten
, Absatz eins, Litera c, DSGVO („Datenminimierung) Verwaltungsübertretungen nach: Ad. I.: Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgFAd. römisch eins.: Artikel 5, Absatz eins, Litera a, und c sowie Artikel 6, Absatz eins, in Verbindung mit Artikel 83, Absatz eins, und 5 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ad. II.: Art. 30 Abs. 1 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgFAd. römisch zwei.: Artikel 30, Absatz eins, in Verbindung mit Artikel 83, Absatz eins, und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Wegen dieser Verwaltungsübertretungen wird
DSGVO folgende Strafe verhängt:Wegen dieser Verwaltungsübertretungen wird
, DSGVO folgende Strafe verhängt: Geldstrafe von Euro
€ 20.000,- Art 83 Abs. 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF Artikel 83, Absatz 5, Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF Ferner haben Sie
G zu zahlen:Ferner haben Sie
Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: 2.000,- Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro; Euro als Ersatz der Barauslagen für Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher 22.000,- Euro Zahlungsfrist: Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden. Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt. Begründung:
Vm § 24 DSG zur GZ: D124.5325 ein und forderte die N***GG zur Stellungnahme hierzu auf.Die DSB leitete daraufhin ein Beschwerdeverfahren
, DSGVO in Verbindung mit Paragraph 24, DSG zur GZ: D124.5325 ein und forderte die N***GG zur Stellungnahme hierzu auf. Nach zahlreichen Aufforderungen zur Stellungnahme und Vorlage von Screenshots vom Aufnahmebereich der Kameras, die von N***GG zunächst ohne sachliche Begründung verweigert wurden, legte die Beschuldigte schließlich mit Stellungnahme vom 21.06.2022 die geforderten Unterlagen (Aufnahmebereich der Anlage) im Beschwerdeverfahren vor und führte aus, dass der Einsatz der Kameras dem Schutze des Eigentums der Beschuldigten und dem Schutze der Kunden sowie Arbeitnehmer der N***GG diene und dabei das gelindeste Mittel darstelle. Die Aufzeichnungen der Kameras würden für eine Dauer von 14 Tagen gespeichert werden. Danach würden die Aufzeichnungen automatisch gelöscht werden. Die Verarbeitung stützte die Beschuldigte auf eine vermeintliche Einwilligung der Betroffenen
1 lit. a DSGVO.Nach zahlreichen Aufforderungen zur Stellungnahme und Vorlage von Screenshots vom Aufnahmebereich der Kameras, die von N***GG zunächst ohne sachliche Begründung verweigert wurden, legte die Beschuldigte schließlich mit Stellungnahme vom 21.06.2022 die geforderten Unterlagen (Aufnahmebereich der Anlage) im Beschwerdeverfahren vor und führte aus, dass der Einsatz der Kameras dem Schutze des Eigentums der Beschuldigten und dem Schutze der Kunden sowie Arbeitnehmer der N***GG diene und dabei das gelindeste Mittel darstelle. Die Aufzeichnungen der Kameras würden für eine Dauer von 14 Tagen gespeichert werden. Danach würden die Aufzeichnungen automatisch gelöscht werden. Die Verarbeitung stützte die Beschuldigte auf eine vermeintliche Einwilligung der Betroffenen
Vm § 24 DSG mit Bescheid vom 26.09.2022 (GZ: D124.5325 / 2022-0.646.831) erledigt. Die DSB gab den Beschwerden der Betroffenen statt und hielt im Rahmen des Bescheides fest, dass die N***GG die Betroffenen in ihrem Recht auf Geheimhaltung verletzte, indem sie mit einer Videoüberwachungsanlage in der Küche ihrer Betriebsstätte Bildaufnahmen verarbeitet hat, die den gesamten Küchenarbeitsbereich erfassten. Der N***GG wurde unter Spruchpunkt
G iVm § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen SE) aus. Dieser Aussetzungsbescheid erwuchs mangels Rechtsmittel in Rechtskraft.Mit Bescheid vom 14.06.2023 setzte die DSB das gegenständliche Verfahren
Paragraph 24, VStG in Verbindung mit Paragraph 38, AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen SE) aus. Dieser Aussetzungsbescheid erwuchs mangels Rechtsmittel in Rechtskraft. Mit Bescheid vom 05.12.2023 hob die DSB den Aussetzungsbescheid vom 14.06.2023 von Amts wegen auf und setzte das Verwaltungsstrafverfahren – unter Berücksichtigung des Urteils vom 05.12.2023 des EuGH in der Rechtssache C-807/21 – fort. Beweiswürdigung: Die bisherigen Feststellungen zum Verfahrensgang ergeben sich aus dem gegenständlichen Verwaltungsstrafakt und dem Verwaltungsakt zum Beschwerdeverfahren (GZ: D124.5325). 1.
Darüber hinaus wurde der Beschuldigten im Rahmen der Aufforderung zur Rechtfertigung konkret ein Verstoß gegen Art. 30 DSGVO vorgeworfen. Diesem Vorwurf entgegnete die Beschuldigte, dass die Videoaufzeichnungen nur durch die handelsrechtlichen Geschäftsführer eingesehen werden können bzw. nur sie die Login-Daten haben. Zudem würden die Aufzeichnungen nach 14 Tagen automatisch gelöscht werden, wenn keine Beweissicherung erforderlich ist. Daher sei für sie nicht erkennbar, „welche Aufzeichnungen
Daraus ergibt sich ohne Zweifel, dass die Beschuldigte zumindest seit der In-Geltung-Tretung der DSGVO am 25.05.2018 bis zum Zeitpunkt der Aufforderung zur Rechtfertigung kein Verarbeitungsverzeichnis geführt hat. Beweiswürdigung: Diese Feststellung ergibt sich zunächst aus der Stellungnahme der N***GG vom 25.08.2022 im Beschwerdeverfahren. Im Zuge dieser Stellungnahme brachte sie unter anderem vor, dass es für sie mangels einer Verarbeitungstätigkeit („bzw. diese Bildaufzeichnungen nicht verarbeitet werden“) nicht erkennbar sei, „welche Aufzeichnungen
Darüber hinaus wurde der Beschuldigten im Rahmen der Aufforderung zur Rechtfertigung konkret ein Verstoß gegen Artikel 30, DSGVO vorgeworfen. Diesem Vorwurf entgegnete die Beschuldigte, dass die Videoaufzeichnungen nur durch die handelsrechtlichen Geschäftsführer eingesehen werden können bzw. nur sie die Login-Daten haben. Zudem würden die Aufzeichnungen nach 14 Tagen automatisch gelöscht werden, wenn keine Beweissicherung erforderlich ist. Daher sei für sie nicht erkennbar, „welche Aufzeichnungen
Daraus ergibt sich ohne Zweifel, dass die Beschuldigte zumindest seit der In-Geltung-Tretung der DSGVO am 25.05.2018 bis zum Zeitpunkt der Aufforderung zur Rechtfertigung kein Verarbeitungsverzeichnis geführt hat. 1.
1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
, Absatz eins, DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die im vorliegenden Fall durch die Videokameras aufgezeichneten Bilddaten stellen zweifelsfrei personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar (vgl. EuGH 11.12.2014, C-212/13, Rz 2). Durch den Einsatz der gegenständlichen Videoüberwachungsanlage wurde eine Verarbeitung im Sinne von Art. 4 Z 2 DSGVO vorgenommen. Soweit die Beschuldigte in diesem Zusammenhang vorbringt, dass im konkreten Fall „keine Verarbeitungstätigkeit“ vorliege und daher auch kein Verzeichnis zu führen sei, kann darauf hingewiesen werden, dass die Legaldefinition nach Art. 4 Z 2 DSGVO keine „Mindestverarbeitung“ verlangt (vgl. hierzu BVwG vom 03.09.2019, GZ: W214 2219944-1). Aus dem Wortlaut der Definition ist zu entnehmen, dass bereits die Anfertigung bzw. das Erfassen/Erheben von personenbezogenen Daten eine Verarbeitung darstellt. Außerdem bringt die Beschuldigte selbst vor, dass die Aufnahmen in der Dauer von 14 Tagen gespeichert werden. Auch die Speicherung stellt eine eigenständige Verarbeitung im Sinne des Art. 4 Z 2 DSGVO dar.Die im vorliegenden Fall durch die Videokameras aufgezeichneten Bilddaten stellen zweifelsfrei personenbezogene Daten im Sinne von Artikel 4, Ziffer eins, DSGVO dar vergleiche EuGH 11.12.2014, C-212/13, Rz 2). Durch den Einsatz der gegenständlichen Videoüberwachungsanlage wurde eine Verarbeitung im Sinne von Artikel 4, Ziffer 2, DSGVO vorgenommen. Soweit die Beschuldigte in diesem Zusammenhang vorbringt, dass im konkreten Fall „keine Verarbeitungstätigkeit“ vorliege und daher auch kein Verzeichnis zu führen sei, kann darauf hingewiesen werden, dass die Legaldefinition nach Artikel 4, Ziffer 2, DSGVO keine „Mindestverarbeitung“ verlangt vergleiche hierzu BVwG vom 03.09.2019, GZ: W214 2219944-1). Aus dem Wortlaut der Definition ist zu entnehmen, dass bereits die Anfertigung bzw. das Erfassen/Erheben von personenbezogenen Daten eine Verarbeitung darstellt. Außerdem bringt die Beschuldigte selbst vor, dass die Aufnahmen in der Dauer von 14 Tagen gespeichert werden. Auch die Speicherung stellt eine eigenständige Verarbeitung im Sinne des Artikel 4, Ziffer 2, DSGVO dar. Im Lichte des als erwiesen angenommenen Sachverhalts ist die Beschuldigte als Verantwortliche
Z 7 DSGVO zu qualifizieren, da sie primär zum Schutze ihres Eigentums eine Videoüberwachungsanlage betrieben hat. Die Rolle als Verantwortliche wurde von der Beschuldigten auch nicht bestritten (weder im Beschwerdeverfahren noch im Verwaltungsstrafverfahren). Als Verantwortliche ist die Beschuldigte Adressat der einschlägigen Pflichten der DSGVO im Zusammenhang mit der gegenständlichen Videoüberwachungsanlage, die im Folgenden näher beleuchtet werden.Im Lichte des als erwiesen angenommenen Sachverhalts ist die Beschuldigte als Verantwortliche
, Ziffer 7, DSGVO zu qualifizieren, da sie primär zum Schutze ihres Eigentums eine Videoüberwachungsanlage betrieben hat. Die Rolle als Verantwortliche wurde von der Beschuldigten auch nicht bestritten (weder im Beschwerdeverfahren noch im Verwaltungsstrafverfahren). Als Verantwortliche ist die Beschuldigte Adressat der einschlägigen Pflichten der DSGVO im Zusammenhang mit der gegenständlichen Videoüberwachungsanlage, die im Folgenden näher beleuchtet werden. 2.
Z 11 DSGVO versteht man unter „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
, Ziffer 11, DSGVO versteht man unter „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
4 DSGVO sowie unter Berücksichtigung von Art. 4 Z 11 DSGVO und Erwägungsgrund 43 DSGVO muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl diese Einwilligung zur Erfüllung dieses Vertrags nicht erforderlich ist. Unfreiwillig ist eine Einwilligung insbesondere dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist (vgl. dazu den Bescheid der DSB vom 16. April 2019, GZ: DSB-D213.679/0003-DSB/2018).
, Absatz 4, DSGVO sowie unter Berücksichtigung von Artikel 4, Ziffer 11, DSGVO und Erwägungsgrund 43 DSGVO muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl diese Einwilligung zur Erfüllung dieses Vertrags nicht erforderlich ist. Unfreiwillig ist eine Einwilligung insbesondere dann, wenn bei Nichtabgabe der Einwilligung ein Nachteil zu erwarten ist vergleiche dazu den Bescheid der DSB vom 16. April 2019, GZ: DSB-D213.679/0003-DSB/2018). In Art. 7 Abs. 1 DSGVO wird die ausdrückliche Verpflichtung des Verantwortlichen deutlich dargelegt, die Einwilligung der betroffenen Person nachzuweisen. Nach Art. 5 Abs. 2 iVm Art. 7 Abs. 1 iVm Art. 24 Abs. 1 DSGVO liegt die Beweislast beim Verantwortlichen. Erwägungsgrund 42 der DSGVO hält hierzu fest: „Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat“.In Artikel 7, Absatz eins, DSGVO wird die ausdrückliche Verpflichtung des Verantwortlichen deutlich dargelegt, die Einwilligung der betroffenen Person nachzuweisen. Nach Artikel 5, Absatz 2, in Verbindung mit Artikel 7, Absatz eins, in Verbindung mit Artikel 24, Absatz eins, DSGVO liegt die Beweislast beim Verantwortlichen. Erwägungsgrund 42 der DSGVO hält hierzu fest: „Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte der Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat“. Der EuGH hat in diesem Zusammenhang in einer Entscheidung ausdrücklich klargestellt, dass der Verantwortliche einer Verarbeitung die Beweislast für die Einhaltung der Grundsätze nach Art. 5 Abs. 1 DSGVO trägt. Das bedeutet, dass der Verantwortliche beispielsweise nachweisen muss, dass die Daten für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Darüber hinaus wies der EuGH schließlich in Bezug auf eine Einwilligung nach Art. 7 Abs. 1 DSGVO darauf hin, dass in jenen Fällen, in denen die Verarbeitung auf einer Einwilligung beruht, der Verantwortliche die Beweislast dafür trägt, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. In diesem Zusammenhang trägt der Verantwortliche insbesondere die Beweislast dafür, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde (vgl. EuGH vom 04.07.2023, C-252/21, Rz 95 und 152 ff).Der EuGH hat in diesem Zusammenhang in einer Entscheidung ausdrücklich klargestellt, dass der Verantwortliche einer Verarbeitung die Beweislast für die Einhaltung der Grundsätze nach Artikel 5, Absatz eins, DSGVO trägt. Das bedeutet, dass der Verantwortliche beispielsweise nachweisen muss, dass die Daten für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Darüber hinaus wies der EuGH schließlich in Bezug auf eine Einwilligung nach Artikel 7, Absatz eins, DSGVO darauf hin, dass in jenen Fällen, in denen die Verarbeitung auf einer Einwilligung beruht, der Verantwortliche die Beweislast dafür trägt, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. In diesem Zusammenhang trägt der Verantwortliche insbesondere die Beweislast dafür, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde vergleiche EuGH vom 04.07.2023, C-252/21, Rz 95 und 152 ff). In einer rezenten Entscheidung erinnerte der EuGH erneut daran, dass Verantwortliche im Lichte ihrer Pflichten nach der DSGVO nicht nur geeignete und wirksame Maßnahmen treffen, sondern auch nachweisen können müssen, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die ergriffenen Maßnahmen auch wirksam sind, um diesen Einklang sicherzustellen (vgl. EuGH vom 05.12.2023, C-807/21, Rz 38).In einer rezenten Entscheidung erinnerte der EuGH erneut daran, dass Verantwortliche im Lichte ihrer Pflichten nach der DSGVO nicht nur geeignete und wirksame Maßnahmen treffen, sondern auch nachweisen können müssen, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die ergriffenen Maßnahmen auch wirksam sind, um diesen Einklang sicherzustellen vergleiche EuGH vom 05.12.2023, C-807/21, Rz 38). Im konkreten Fall stützte sich die Beschuldigte zunächst auf die Einwilligung der Arbeitnehmer, konnte jedoch im Rahmen des Beschwerdeverfahrens keine zulässige Einwilligung für die Verarbeitung durch die Videoüberwachungsanlage im Sinne der oben genannten Bestimmungen bzw. Anforderungen der DSGVO, insbesondere der Freiwilligkeit einer Einwilligung, nachweisen. Darüber hinaus könnte selbst das Vorliegen einer solchen Einwilligung der Arbeitnehmer im konkreten Fall das Kriterium der Freiwilligkeit nicht erfüllen (vgl. zu all dem die Ausführungen und zitierte Judikatur im Bescheid der DSB vom 26.09.2022, S. 13). Sowohl im Rahmen der Beschwerde gegen den Bescheid vom 26.09.2022 als auch im Zuge der schriftlichen Rechtfertigung vom 06.04.2023 brachte die Beschuldigte vor, dass sie die festgestellte Videoüberwachung in der Küche der Betriebsstätte für „absolut notwendig“ erachtet. Daher ist es evident, dass die Beschuldigte selbst im Falle einer mangelnden Einwilligung eines Arbeitnehmers die gegenständliche Kamera innerhalb der Küche nicht deinstalliert bzw. weiter betrieben hätte. Somit gab es keine Alternative für die Arbeitnehmer, wenn sie sich dazu entschieden hätten, keine Einwilligung für den Betrieb der Videoüberwachungsanlage zu erteilen. Durch eine mangelnde Einwilligung hätten die Arbeitnehmer zudem gegen die festgestellte Klausel im Rahmen ihres Arbeitsvertrages („Kameraaufzeichnung“) verstoßen (Koppelungsverbot
4 DSGVO).Im konkreten Fall stützte sich die Beschuldigte zunächst auf die Einwilligung der Arbeitnehmer, konnte jedoch im Rahmen des Beschwerdeverfahrens keine zulässige Einwilligung für die Verarbeitung durch die Videoüberwachungsanlage im Sinne der oben genannten Bestimmungen bzw. Anforderungen der DSGVO, insbesondere der Freiwilligkeit einer Einwilligung, nachweisen. Darüber hinaus könnte selbst das Vorliegen einer solchen Einwilligung der Arbeitnehmer im konkreten Fall das Kriterium der Freiwilligkeit nicht erfüllen vergleiche zu all dem die Ausführungen und zitierte Judikatur im Bescheid der DSB vom 26.09.2022, S. 13). Sowohl im Rahmen der Beschwerde gegen den Bescheid vom 26.09.2022 als auch im Zuge der schriftlichen Rechtfertigung vom 06.04.2023 brachte die Beschuldigte vor, dass sie die festgestellte Videoüberwachung in der Küche der Betriebsstätte für „absolut notwendig“ erachtet. Daher ist es evident, dass die Beschuldigte selbst im Falle einer mangelnden Einwilligung eines Arbeitnehmers die gegenständliche Kamera innerhalb der Küche nicht deinstalliert bzw. weiter betrieben hätte. Somit gab es keine Alternative für die Arbeitnehmer, wenn sie sich dazu entschieden hätten, keine Einwilligung für den Betrieb der Videoüberwachungsanlage zu erteilen. Durch eine mangelnde Einwilligung hätten die Arbeitnehmer zudem gegen die festgestellte Klausel im Rahmen ihres Arbeitsvertrages („Kameraaufzeichnung“) verstoßen (Koppelungsverbot
Gemessen daran konnte die gegenständliche Verarbeitung nicht auf eine allfällige Einwilligung der Arbeitnehmer im Sinne des Art. 6 Abs. 1 lit. a iVm Art. 7 DSGVO gestützt werden. Schließlich ist in diesem Zusammenhang darauf hinzuweisen, dass die Beschuldigte in ihrer Rechtfertigung vom 06.04.2023 ausschließlich nur mehr ein berechtigtes Interesse als Rechtsgrundlage ins Treffen führte.Gemessen daran konnte die gegenständliche Verarbeitung nicht auf eine allfällige Einwilligung der Arbeitnehmer im Sinne des Artikel 6, Absatz eins, Litera a, in Verbindung mit Artikel 7, DSGVO gestützt werden. Schließlich ist in diesem Zusammenhang darauf hinzuweisen, dass die Beschuldigte in ihrer Rechtfertigung vom 06.04.2023 ausschließlich nur mehr ein berechtigtes Interesse als Rechtsgrundlage ins Treffen führte. 2.2.2. Zum berechtigten Interesse als Rechtgrundlage nach Art. 6 Abs. 1 lit. f DSGVOZum berechtigten Interesse als Rechtgrundlage nach Artikel 6, Absatz eins, Litera f, DSGVO Eingangs ist in Bezug auf den Wechsel der Rechtsgrundlage im Laufe der Verfahren darauf hinzuweisen, dass die DSB – in Einklang mit den Leitlinien des Europäischen Datenschutzausschusses (EDSA) – davon ausgeht, dass ein nachträglicher Wechsel der Erlaubnistatbestände von Art. 6 Abs. 1 lit. a auf lit. f leg. cit. im Falle der Ungültigkeit der Einwilligungserklärung nicht zulässig ist (vgl. BVwG vom 28.09.2023, W256 2227693-1, im Zusammenhang mit einem Kundenbindungsprogramm). Unabhängig davon wird die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO im konkreten Fall näher beleuchtet.Eingangs ist in Bezug auf den Wechsel der Rechtsgrundlage im Laufe der Verfahren darauf hinzuweisen, dass die DSB – in Einklang mit den Leitlinien des Europäischen Datenschutzausschusses (EDSA) – davon ausgeht, dass ein nachträglicher Wechsel der Erlaubnistatbestände von Artikel 6, Absatz eins, Litera a, auf Litera f, leg. cit. im Falle der Ungültigkeit der Einwilligungserklärung nicht zulässig ist vergleiche BVwG vom 28.09.2023, W256 2227693-1, im Zusammenhang mit einem Kundenbindungsprogramm). Unabhängig davon wird die Rechtsgrundlage nach Artikel 6, Absatz eins, Litera f, DSGVO im konkreten Fall näher beleuchtet. In Bezug auf die Rechtmäßigkeit der Verarbeitung wird darauf hingewiesen, dass Art. 5 DSGVO die Grundsätze der Verarbeitung personenbezogener Daten festlegt und im Abs. 1 lit. a bestimmt, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Art. 5 Abs. 1 lit. c DSGVO normiert zudem, dass die konkrete Datenverarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss („Datenminimierung“).In Bezug auf die Rechtmäßigkeit der Verarbeitung wird darauf hingewiesen, dass Artikel 5, DSGVO die Grundsätze der Verarbeitung personenbezogener Daten festlegt und im Absatz eins, Litera a, bestimmt, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Artikel 5, Absatz eins, Litera c, DSGVO normiert zudem, dass die konkrete Datenverarbeitung dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss („Datenminimierung“). Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art 5 Rz 8f).Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Artikel 5, Rz 8f). Art 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) gestattet die Verarbeitung nach der Judikatur des EuGH unter drei kumulativen Voraussetzungen: (
1 DSGVO ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen. Dieses Verzeichnis muss die in Art. 30 Abs. 1 lit. a bis g DSGVO angeführten Angaben enthalten. Ein solches Verzeichnis ist
3 DSGVO schriftlich zu führen, wobei auch ein elektronisches Format zulässig ist. Nach Art. 30 Abs. 4 DSGVO müssen Verantwortliche auf Anfrage einer Aufsichtsbehörde dieses Verzeichnis zur Verfügung stellen.Jeder Verantwortliche und gegebenenfalls sein Vertreter müssen
, Absatz eins, DSGVO ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen. Dieses Verzeichnis muss die in Artikel 30, Absatz eins, Litera a, bis g DSGVO angeführten Angaben enthalten. Ein solches Verzeichnis ist
, Absatz 3, DSGVO schriftlich zu führen, wobei auch ein elektronisches Format zulässig ist. Nach Artikel 30, Absatz 4, DSGVO müssen Verantwortliche auf Anfrage einer Aufsichtsbehörde dieses Verzeichnis zur Verfügung stellen. Im vorliegenden Fall hatte die Beschuldigte, wie festgestellt, kein solches Verzeichnis über die in ihre Zuständigkeit fallenden Verarbeitungstätigkeiten geführt. Daher konnte sie ein solches Verzeichnis auf Anfrage der DSB im Rahmen des Beschwerdeverfahrens auch nicht vorlegen. Die Beschuldigte brachte in diesem Zusammenhang - zusammengefasst - vor, dass auf die Aufzeichnungen der Anlage nur die Geschäftsführer der N***GG Zugriff hätten und die Aufzeichnungen nach 14 Tagen automatisch gelöscht werden, wenn keine Beweissicherung erforderlich erscheint. Daher gebe es im konkreten Fall „keine Verarbeitungstätigkeiten“ und sei nicht erkennbar, welche Aufzeichnungen hier geführt werden müssten. Schließlich wurde nochmals auf den Zweck der Anlage verwiesen. In Bezug auf die Tatsache, dass im konkreten Fall eine Verarbeitung im Sinne von Art. 4 Z 2 DSGVO vorliegt, kann auf die Ausführungen oben unter Punkt 2.1 verwiesen werden. Die Beschuldigte verarbeitete, wie bereits ausgeführt, in ihrer Rolle als Verantwortliche durch den Einsatz der Videoüberwachungsanlage personenbezogene Daten von ihren Arbeitnehmern und Kunden. Dadurch unterliegt sie den einschlägigen Pflichten der DSGVO und somit auch der Verpflichtung zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten
1 DSGVO. Die Ausnahmebestimmung nach Art. 30 Abs. 5 DSGVO ist im konkreten Fall bereits aufgrund der regelmäßig bzw. dauerhaften Verarbeitung durch die Videoüberwachungsanlage nicht einschlägig (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 30 DSGVO, Rz 13 (Stand 1.12.2020, rdb.at)).In Bezug auf die Tatsache, dass im konkreten Fall eine Verarbeitung im Sinne von Artikel 4, Ziffer 2, DSGVO vorliegt, kann auf die Ausführungen oben unter Punkt 2.1 verwiesen werden. Die Beschuldigte verarbeitete, wie bereits ausgeführt, in ihrer Rolle als Verantwortliche durch den Einsatz der Videoüberwachungsanlage personenbezogene Daten von ihren Arbeitnehmern und Kunden. Dadurch unterliegt sie den einschlägigen Pflichten der DSGVO und somit auch der Verpflichtung zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten
Die Ausnahmebestimmung nach Artikel 30, Absatz 5, DSGVO ist im konkreten Fall bereits aufgrund der regelmäßig bzw. dauerhaften Verarbeitung durch die Videoüberwachungsanlage nicht einschlägig vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 30, DSGVO, Rz 13 (Stand 1.12.2020, rdb.at)). Somit ist auch die objektive Tatseite betreffend Art. 30 Abs. 1 DSGVO erfüllt.Somit ist auch die objektive Tatseite betreffend Artikel 30, Absatz eins, DSGVO erfüllt. 2.4. Zur Strafbarkeit der Beschuldigten als juristische Person nach Art. 83 DSGVOZur Strafbarkeit der Beschuldigten als juristische Person nach Artikel 83, DSGVO Die Voraussetzungen für die Verhängung von Geldbußen sowohl gegen natürliche Personen als auch gegen juristische Personen werden in Art. 83 DSGVO normiert. Der nationale Gesetzgeber hat jedoch in § 30 Abs. 1 und 2 DSG weitere „allgemeine Bedingungen für die Verhängung von Geldbußen“ normiert.Die Voraussetzungen für die Verhängung von Geldbußen sowohl gegen natürliche Personen als auch gegen juristische Personen werden in Artikel 83, DSGVO normiert. Der nationale Gesetzgeber hat jedoch in Paragraph 30, Absatz eins, und 2 DSG weitere „allgemeine Bedingungen für die Verhängung von Geldbußen“ normiert. Nach § 30 Abs. 1 DSG kann die Datenschutzbehörde Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund
2 DSG auch in jenen Fällen verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in § 30 Abs. 1 DSG genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat (mangelnde Kontrolle und Überwachung), sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO
Paragraph 30, Absatz 2, DSG auch in jenen Fällen verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Paragraph 30, Absatz eins, DSG genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat (mangelnde Kontrolle und Überwachung), sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet. Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 12.05.2020 zu Ro 2019/04/0229 sich erstmalig mit der Anwendbarkeit der Strafbarkeitsvoraussetzungen des § 30 DSG in einem Verfahren nach Art. 83 DSGVO auseinandergesetzt und stellte in diesem Zusammenhang fest, dass eine juristische Person nicht selbst handeln kann und daher ihre Strafbarkeit nach § 30 DSG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer natürlichen (Führungs-)Person im Sinne des § 30 Abs. 1 DSG ist. Demnach sei für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person (oder auch die sogenannte „Zurechnungsperson“) vonnöten. Die Zurechnung der konkreten Tathandlung durch die Führungsperson an die juristische Person müsse im Spruch aufgenommen und die Zurechnungsperson zudem als identifizierte natürliche Person namentlich genannt werden (vgl. VwGH 12.05.2020, Ro 2019/04/0229, mwN). Mit anderen Worten: Die Datenschutzbehörde müsse in einem Verfahren nach Art. 83 DSGVO im Spruch des Straferkenntnisses jene natürliche (Führungs-)Person, deren Verstoß gegen die DSGVO bzw. das DSG der im Sinne des Art. 4 Z 7 DSGVO verantwortlichen juristischen Person zugerechnet werden soll, namentlich nennen, um in Folge eine Geldbuße nach Art. 83 DSGVO gegen die Verantwortliche als juristische Person verhängen zu können. Diese Zurechnungsperson ist dabei als Beschuldigte im Verwaltungsstrafverfahren gegen die juristische Person zu führen und hat per se Parteistellung (vgl. Zaczek, Das Verbandsverantwortlichkeitsmodell des Art 83 DSGVO, in Jahnel (Hrsg), Jahrbuch Datenschutzrecht 2020, S. 257 ff).Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 12.05.2020 zu Ro 2019/04/0229 sich erstmalig mit der Anwendbarkeit der Strafbarkeitsvoraussetzungen des Paragraph 30, DSG in einem Verfahren nach Artikel 83, DSGVO auseinandergesetzt und stellte in diesem Zusammenhang fest, dass eine juristische Person nicht selbst handeln kann und daher ihre Strafbarkeit nach Paragraph 30, DSG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer natürlichen (Führungs-)Person im Sinne des Paragraph 30, Absatz eins, DSG ist. Demnach sei für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person (oder auch die sogenannte „Zurechnungsperson“) vonnöten. Die Zurechnung der konkreten Tathandlung durch die Führungsperson an die juristische Person müsse im Spruch aufgenommen und die Zurechnungsperson zudem als identifizierte natürliche Person namentlich genannt werden vergleiche VwGH 12.05.2020, Ro 2019/04/0229, mwN). Mit anderen Worten: Die Datenschutzbehörde müsse in einem Verfahren nach Artikel 83, DSGVO im Spruch des Straferkenntnisses jene natürliche (Führungs-)Person, deren Verstoß gegen die DSGVO bzw. das DSG der im Sinne des Artikel 4, Ziffer 7, DSGVO verantwortlichen juristischen Person zugerechnet werden soll, namentlich nennen, um in Folge eine Geldbuße nach Artikel 83, DSGVO gegen die Verantwortliche als juristische Person verhängen zu können. Diese Zurechnungsperson ist dabei als Beschuldigte im Verwaltungsstrafverfahren gegen die juristische Person zu führen und hat per se Parteistellung vergleiche Zaczek, Das Verbandsverantwortlichkeitsmodell des Artikel 83, DSGVO, in Jahnel (Hrsg), Jahrbuch Datenschutzrecht 2020, S. 257 ff). Mit Beschluss vom 06.12.2021 ersuchte das Kammergericht Berlin den EuGH im Rahmen eines Vorabentscheidungsersuchens nach Art. 267 AEUV um Auslegung des Art. 83 DSGVO in Bezug auf die Frage, ob ein Unternehmen unmittelbar Betroffener im Bußgeldverfahren wegen eines Verstoßes gegen Art. 83 DSGVO sein kann und legte in diesem Zusammenhang folgende Fragen vorMit Beschluss vom 06.12.2021 ersuchte das Kammergericht Berlin den EuGH im Rahmen eines Vorabentscheidungsersuchens nach Artikel 267, AEUV um Auslegung des Artikel 83, DSGVO in Bezug auf die Frage, ob ein Unternehmen unmittelbar Betroffener im Bußgeldverfahren wegen eines Verstoßes gegen Artikel 83, DSGVO sein kann und legte in diesem Zusammenhang folgende Fragen vor
4 bis 6 DSGVO verhängt werden (nicht jedoch für das oben zusammengefasste Ergebnis in Bezug auf die erste Vorlagefrage). Demnach müsse der wettbewerbsrechtliche Unternehmensbegriff, wonach jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung umfasst ist, der Entscheidung über die Höhe der Geldbuße zu Grunde gelegt werden (vgl. EuGH C-807/21, Rz 53 ff). Mit anderen Worten: Für die Berechnung der Geldbuße muss der weltweite Jahresumsatz der wirtschaftlichen Einheit herangezogen werden, wenn der Adressat der Geldbuße ein Unternehmen im Sinne des Art. 101 und 102 AEUV ist oder einem solchen angehört. Über diese Frage hinaus stellte der EuGH zudem fest, dass der Begriff „Unternehmen“ im Sinne der Artikel 101, und 102 AEUV (siehe ErwGr 150 DSGVO) nur für die Berechnung einer Geldbuße relevant ist, die
, Absatz 4, bis 6 DSGVO verhängt werden (nicht jedoch für das oben zusammengefasste Ergebnis in Bezug auf die erste Vorlagefrage). Demnach müsse der wettbewerbsrechtliche Unternehmensbegriff, wonach jede eine wirtschaftliche Tätigkeit ausübende Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung umfasst ist, der Entscheidung über die Höhe der Geldbuße zu Grunde gelegt werden vergleiche EuGH C-807/21, Rz 53 ff). Mit anderen Worten: Für die Berechnung der Geldbuße muss der weltweite Jahresumsatz der wirtschaftlichen Einheit herangezogen werden, wenn der Adressat der Geldbuße ein Unternehmen im Sinne des Artikel 101, und 102 AEUV ist oder einem solchen angehört. Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt (vgl. EuGH vom 06.10.2021, C-882/19, Rz 41 mwN).Diese wirtschaftliche Einheit besteht in einer einheitlichen Organisation persönlicher, materieller und immaterieller Mittel, die dauerhaft einen bestimmten wirtschaftlichen Zweck verfolgt vergleiche EuGH vom 06.10.2021, C-882/19, Rz 41 mwN). Hierzu führte der EuGH, wie schon zuvor der Generalanwalt in seinen Schlussanträgen, ins Treffen, dass nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten unter Zugrundlegung des Begriffs der wirtschaftlichen Einheit festgesetzt wird, letztendlich die in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen (wirksam, abschreckend, verhältnismäßig) erfüllen kann (vgl. EuGH C-807/21, Rz 58 f).Hierzu führte der EuGH, wie schon zuvor der Generalanwalt in seinen Schlussanträgen, ins Treffen, dass nur eine Geldbuße, deren Höhe anhand der tatsächlichen oder materiellen Leistungsfähigkeit des Adressaten unter Zugrundlegung des Begriffs der wirtschaftlichen Einheit festgesetzt wird, letztendlich die in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen (wirksam, abschreckend, verhältnismäßig) erfüllen kann vergleiche EuGH C-807/21, Rz 58 f). 2.5. Zur subjektiven Tatseite Der EuGH hat in Bezug auf die zweite Vorlagefrage, wie schon bereits von der Datenschutzbehörde in ihrer bisherigen Spruchpraxis angenommen, nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68). Der EuGH hat in Bezug auf die zweite Vorlagefrage, wie schon bereits von der Datenschutzbehörde in ihrer bisherigen Spruchpraxis angenommen, nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können vergleiche EuGH vom 05.12.2023, C-807/21, Rz 68). In Bezug auf die subjektive Tatseite ist zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH fest, dass den Mitgliedstatten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Art. 83 Abs. 1 bis 6 DSGVO genau geregelt sind (vgl. hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff).In Bezug auf die subjektive Tatseite ist zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Artikel 83, DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH fest, dass den Mitgliedstatten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Artikel 83, Absatz eins, bis 6 DSGVO genau geregelt sind vergleiche hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff). Zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76). Zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76). Unter Verweis auf weitere Rechtsprechung stellte der EuGH zudem ausdrücklich klar, dass die Anwendung von Art. 83 DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt (vgl. EuGH vom 05.12.2023, C-807/21, Rz 77).Unter Verweis auf weitere Rechtsprechung stellte der EuGH zudem ausdrücklich klar, dass die Anwendung von Artikel 83, DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt vergleiche EuGH vom 05.12.2023, C-807/21, Rz 77). Die Verantwortung und Haftung eines Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind (vgl. EuGH C-807/21, Rz 38, unter Verweis auf ErwGr 74). Die Verantwortung und Haftung eines Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind vergleiche EuGH C-807/21, Rz 38, unter Verweis auf ErwGr 74). Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes: Zunächst ist festzuhalten, dass es im Rahmen des Ermittlungsverfahrens keine Anhaltspunkte dafür gab, dass die gegenständlichen Verstöße von einer Person begangen wurden, die nicht im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte. Dem Urteil des EuGH zufolge ist es für die Verhängung einer Geldbuße gegen eine juristische Person jedoch nicht erforderlich, dass die Datenschutzbehörde eine identifizierte natürliche Person, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte, in ihrer Entscheidung anführt und das Handeln dieser Person der juristischen Person zurechnet. Es ist daher im vorliegenden Fall auch nicht entscheidungserheblich, ob und welcher Geschäftsführer der Beschuldigten die gegenständlichen Verstöße zu verantworten hat. Im Lichte des als erwiesen angenommen Sachverhalts wird von der Datenschutzbehörde keine vorsätzliche Tathandlung durch die Beschuldigte angenommen. Die Beschuldigte hat als Verantwortliche
Z 7 DSGVO beschlossen, dass für die festgestellten Zwecke eine Videoüberwachungsanlage montiert und in Betrieb genommen wird und dies ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen. Bereits das Aufrufen der Webseite der Datenschutzbehörde (siehe oben) hätte gereicht, um beispielsweise in Erfahrung zu bringen, dass lediglich eine Speicherdauer von 72 Stunden als zulässig erachtet wird. Darüber hinaus hat auch der Europäische Datenschutzausschuss Empfehlungen im Rahmen von Leitlinien zur Videoüberwachung auf ihrer Webseite veröffentlicht (siehe Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte).Im Lichte des als erwiesen angenommen Sachverhalts wird von der Datenschutzbehörde keine vorsätzliche Tathandlung durch die Beschuldigte angenommen. Die Beschuldigte hat als Verantwortliche
, Ziffer 7, DSGVO beschlossen, dass für die festgestellten Zwecke eine Videoüberwachungsanlage montiert und in Betrieb genommen wird und dies ohne sich dabei vorab über die einschlägigen Verwaltungsvorschriften zu erkundigen. Bereits das Aufrufen der Webseite der Datenschutzbehörde (siehe oben) hätte gereicht, um beispielsweise in Erfahrung zu bringen, dass lediglich eine Speicherdauer von 72 Stunden als zulässig erachtet wird. Darüber hinaus hat auch der Europäische Datenschutzausschuss Empfehlungen im Rahmen von Leitlinien zur Videoüberwachung auf ihrer Webseite veröffentlicht (siehe Leitlinien 3 aus 2019, zur Verarbeitung personenbezogener Daten durch Videogeräte). Außerdem kann in diesem Zusammenhang auch auf das Erkenntnis des Bundesverwaltungsgerichts vom 08.04.2022 zur GZ: W214 2240128-1 verwiesen werden, wonach der dortigen Beschwerdeführerin ebenfalls bekannt sein musste, „dass es einschlägige Datenschutzvorschriften gibt, umso mehr, als über die DSGVO bei deren Wirksamwerden im Jahre 2018 breit in der Öffentlichkeit informiert und diskutiert wurde und eine große Anzahl von medialen Beiträgen zu diesem Thema erschienen ist“ (siehe Punkt 3.3.2 zur Erfüllung der subjektiven Tatseite). In Bezug auf die unrechtmäßige Verarbeitung personenbezogener Daten durch den Betrieb einer Videoüberwachungsanlage (Spruchpunkt I.) liegt jedenfalls Verschulden in Form von Fahrlässigkeit vor.In Bezug auf die unrechtmäßige Verarbeitung personenbezogener Daten durch den Betrieb einer Videoüberwachungsanlage (Spruchpunkt römisch eins.) liegt jedenfalls Verschulden in Form von Fahrlässigkeit vor. Auch der Verstoß gegen die verpflichtende Führung des Verarbeitungsverzeichnisses kann durch kein Vorbringen der Beschuldigten gerechtfertigt werden. Die Beschuldigte hat sich weder vor noch nach der In-Geltung-Tretung der DSGVO über die einschlägigen Verwaltungsvorschriften geeignet erkundigt. Dies wäre der Beschuldigten jedoch jedenfalls möglich und zumutbar gewesen. Auch in Bezug auf Spruchpunkt II. liegt Verschulden in Form von Fahrlässigkeit vor.Auch der Verstoß gegen die verpflichtende Führung des Verarbeitungsverzeichnisses kann durch kein Vorbringen der Beschuldigten gerechtfertigt werden. Die Beschuldigte hat sich weder vor noch nach der In-Geltung-Tretung der DSGVO über die einschlägigen Verwaltungsvorschriften geeignet erkundigt. Dies wäre der Beschuldigten jedoch jedenfalls möglich und zumutbar gewesen. Auch in Bezug auf Spruchpunkt römisch zwei. liegt Verschulden in Form von Fahrlässigkeit vor. Spätestens seit dem Abschluss des Beschwerdeverfahrens nach Art. 77 DSGVO iVm § 24 DSG hätte es der Beschuldigten klar sein müssen, dass sie gegen Vorgaben der DSGVO verstößt.Spätestens seit dem Abschluss des Beschwerdeverfahrens nach Artikel 77, DSGVO in Verbindung mit Paragraph 24, DSG hätte es der Beschuldigten klar sein müssen, dass sie gegen Vorgaben der DSGVO verstößt. Im Lauf des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass der Beschuldigten an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. Die Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN).Im Lauf des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass der Beschuldigten an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. Die Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN). Dadurch ist die subjektive Tatseite ebenfalls erfüllt. 3. Zur Strafzumessung ist Folgendes festzuhalten:
1 DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.
, Absatz eins, DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Artikel 83, Absatz 4, 5, und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Artikel 83, Absatz 2, DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind. Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht. Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist vergleiche VwGH 05.09.2013, 2013/09/0106).
G sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (dies gilt naturgemäß nur für natürliche Personen, ist aber sinngemäß auf juristische Personen zu übertragen); dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.
Paragraph 19, Absatz eins, VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32, bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (dies gilt naturgemäß nur für natürliche Personen, ist aber sinngemäß auf juristische Personen zu übertragen); dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Artikel 83, Absatz 8, DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird. Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zu dem mit § 22 Abs. 2 VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge (in der englischen Sprachfassung: „the same or linked processing operations“), durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich dieser Bestimmung das Absorptionsprinzip (vergleichbar mit dem im österreichischen Strafrecht nach § 28 Abs. 1 StGB normierten Kombinationsprinzip). Durch Artikel 83, Absatz 3, DSGVO wird in Abweichung zu dem mit Paragraph 22, Absatz 2, VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge (in der englischen Sprachfassung: „the same or linked processing operations“), durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich dieser Bestimmung das Absorptionsprinzip (vergleichbar mit dem im österreichischen Strafrecht nach Paragraph 28, Absatz eins, StGB normierten Kombinationsprinzip). Ansonsten (außerhalb des Anwendungsbereiches des Art. 83 Abs. 3 DSGVO) gelangt das Kumulationsprinzip nach § 22 Abs. 2 VStG zur Anwendung (vgl. mwN BVwG 12.03.2020, GZ: W256 2223922-1). Auch im Rahmen der Fines-Leitlinien wird darauf Bezug genommen und festgehalten, dass Art. 83 Abs. 3 DSGVO in seiner Anwendung beschränkt ist und nicht für jeden Fall gilt, in welchem mehrere Verstöße gegen die DSGVO festgestellt werden (vgl. Fines-Leitlinien,
5 DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Abs. 2, Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
, Absatz 5, DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Absatz 2,, Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist. Der Begriff Umsatz in Art. 83 Abs. 4, 5 und 6 DSGVO ist im Sinne des Art. 2 Z 5 der Richtlinie 2013/34/EU des Europäischen Parlaments und des Rates vom
5 DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (4% des Jahresumsatzes) gelangt nicht zur Anwendung.Der Strafrahmen im konkreten Fall reicht
, Absatz 5, DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (4% des Jahresumsatzes) gelangt nicht zur Anwendung. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 2 lit. a DSGVO) [Anmerkung Bearbeiter/in: im Original aufgrund eines offensichtlichen Redaktionsversehens „Art. 83 Abs. 1 lit. a DSGVO“], der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Art. 83 Abs. 2 lit. g DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem hohen Schweregrad („high level of seriousness“) festgelegt.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz 2, Litera a, DSGVO) [Anmerkung Bearbeiter/in: im Original aufgrund eines offensichtlichen Redaktionsversehens „"Art". 83 Absatz eins, Litera a, DSGVO“], der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Artikel 83, Absatz 2, Litera g, DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem hohen Schweregrad („high level of seriousness“) festgelegt. Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die bereits für die Feststellung des Schweregrades berücksichtigten Kriterien nach Art. 83 Abs. 1 lit. a, b und g DSGVO hinaus) bei der Strafzumessung Folgendes erschwerend berücksichtigt:Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die bereits für die Feststellung des Schweregrades berücksichtigten Kriterien nach Artikel 83, Absatz eins, Litera a, b, und g DSGVO hinaus) bei der Strafzumessung Folgendes erschwerend berücksichtigt: ● n/a Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus bei der Strafzumessung Folgendes mildernd berücksichtigt: ● gegen die Beschuldigte liegen bei der Datenschutzbehörde keinerlei einschlägige frühere Verstöße gegen die DSGVO vor Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Verhängung der konkreten Geldstrafe war jedenfalls im Sinne der Spezialprävention notwendig, um die Beschuldigte von der Begehung weiterer Verstöße abzuhalten, insbesondere um sie in Bezug auf die Grundsätze der Datenverarbeitung nach Art. 5 Abs. 1 DSGVO sowie ihrer Pflichten als Verantwortliche wie das Führen eines Verarbeitungsverzeichnisses zu sensibilisieren. Die Beschuldigte zeigte sich in Bezug auf die vorgeworfenen Tathandlungen nicht einsichtig und es ist jedenfalls davon auszugehen, dass sie ohne die Verhängung einer Geldstrafe die gegenständliche Verarbeitung fortsetzen wird. Die Verhängung der Geldstrafe war darüber hinaus auch im Sinne der Generalprävention erforderlich, um Verantwortliche in Bezug auf den rechtskonformen Einsatz von Videoüberwachungsanlagen, insbesondere am Arbeitsplatz, und der damit im Zusammenhang stehenden Pflichten nach der DSGVO zu sensibilisieren.Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Verhängung der konkreten Geldstrafe war jedenfalls im Sinne der Spezialprävention notwendig, um die Beschuldigte von der Begehung weiterer Verstöße abzuhalten, insbesondere um sie in Bezug auf die Grundsätze der Datenverarbeitung nach Artikel 5, Absatz eins, DSGVO sowie ihrer Pflichten als Verantwortliche wie das Führen eines Verarbeitungsverzeichnisses zu sensibilisieren. Die Beschuldigte zeigte sich in Bezug auf die vorgeworfenen Tathandlungen nicht einsichtig und es ist jedenfalls davon auszugehen, dass sie ohne die Verhängung einer Geldstrafe die gegenständliche Verarbeitung fortsetzen wird. Die Verhängung der Geldstrafe war darüber hinaus auch im Sinne der Generalprävention erforderlich, um Verantwortliche in Bezug auf den rechtskonformen Einsatz von Videoüberwachungsanlagen, insbesondere am Arbeitsplatz, und der damit im Zusammenhang stehenden Pflichten nach der DSGVO zu sensibilisieren. Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 20.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens (0,1% des Strafrahmens).Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 20.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens (0,1% des Strafrahmens). European Case Law IdentifierECLI:AT:DSB:2023:2023.0.583.644
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.