1 DSGVO das Recht, dass seine Daten gelöscht werden und die Beschuldigte war verpflichtet, die personenbezogenen Daten des Betroffenen unverzüglich zu löschen. Eine der Ausnahmebestimmungen des Art. 17 Abs. 3 DSGVO lag im konkreten Fall nicht vor. Die Beschuldigte verarbeitet nach wie vor personenbezogene Daten von Herrn Roberto B***, indem sie dessen personenbezogenen Daten unter der URL https://www.n***.com/?action=showPlayer&id=*4*6 auf ihrer Webseite veröffentlicht. römisch zwei. Die Beschuldigte hat darüber hinaus als Verantwortliche im Zeitraum von 23.09.2020 bis dato („Tatzeitraum 2“), innerhalb des Bundesgebietes von Österreich („Tatort“), gegen Artikel 17, DSGVO verstoßen, indem sie dem Löschungsbegehren von Herrn Roberto B*** vom 23.09.2020 nicht vollständig nachgekommen ist. Der Betroffene hatte
, Absatz eins, DSGVO das Recht, dass seine Daten gelöscht werden und die Beschuldigte war verpflichtet, die personenbezogenen Daten des Betroffenen unverzüglich zu löschen. Eine der Ausnahmebestimmungen des Artikel 17, Absatz 3, DSGVO lag im konkreten Fall nicht vor. Die Beschuldigte verarbeitet nach wie vor personenbezogene Daten von Herrn Roberto B***, indem sie dessen personenbezogenen Daten unter der URL https://www.n***.com/?action=showPlayer&id=*4*6 auf ihrer Webseite veröffentlicht. III. Die Beschuldigte hat schließlich im Zeitraum von 11.05.2021 bis dato („Tatzeitraum 3“), innerhalb des Bundesgebietes von Österreich („Tatort“), den Leistungsauftrag in Spruchpunkt 2.b. des rechtskräftigen Bescheides der Datenschutzbehörde vom 10.05.2021, GZ: D124.3076, 2021-0.096.835, welcher ihr nachweislich am 11.05.2021 zugestellt wurde, nicht befolgt, indem sie die personenbezogenen Daten des Betroffenen nicht gelöscht hat oder auf einem nicht öffentlich zugänglichen Bereich gespeichert hat. Dadurch hat die Beschuldigte eine Anweisung einer Aufsichtsbehörde iSd Art. 58 Abs. 2 lit. c DSGVO nicht befolgt. römisch drei. Die Beschuldigte hat schließlich im Zeitraum von 11.05.2021 bis dato („Tatzeitraum 3“), innerhalb des Bundesgebietes von Österreich („Tatort“), den Leistungsauftrag in Spruchpunkt 2.b. des rechtskräftigen Bescheides der Datenschutzbehörde vom 10.05.2021, GZ: D124.3076, 2021-0.096.835, welcher ihr nachweislich am 11.05.2021 zugestellt wurde, nicht befolgt, indem sie die personenbezogenen Daten des Betroffenen nicht gelöscht hat oder auf einem nicht öffentlich zugänglichen Bereich gespeichert hat. Dadurch hat die Beschuldigte eine Anweisung einer Aufsichtsbehörde iSd Artikel 58, Absatz 2, Litera c, DSGVO nicht befolgt. Verwaltungsübertretungen nach: Ad I.: Art. 25 Abs. 1 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgFAd römisch eins.: Artikel 25, Absatz eins, in Verbindung mit Artikel 83, Absatz eins, und 4 Litera a, DSGVO Amtsblatt , L 2016/119, S. 1, idgF Ad II.: Art. 17 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. b DSGVO ABl. L 2016/119, S. 1, idgFAd römisch zwei.: Artikel 17, Absatz eins, in Verbindung mit Artikel 83, Absatz eins, und 5 Litera b, DSGVO Amtsblatt , L 2016/119, S. 1, idgF Ad III.: Art. 58 Abs. 2 lit. c iVm Art. 83 Abs. 1 und 6 DSGVO ABl. L 2016/119, S. 1, idgFAd römisch drei.: Artikel 58, Absatz 2, Litera c, in Verbindung mit Artikel 83, Absatz eins, und 6 DSGVO Amtsblatt , L 2016/119, S. 1, idgF Wegen dieser Verwaltungsübertretungen wird
DSGVO folgende Strafe verhängt:Wegen dieser Verwaltungsübertretungen wird
, DSGVO folgende Strafe verhängt: Geldstrafe von Euro
€ 11.000,- Art. 83 Abs. 4 lit. a, Abs. 5 lit. a und Abs. 6 DSGVOArtikel 83, Absatz 4, Litera a,, Absatz 5, Litera a und Absatz 6, DSGVO Ferner haben Sie
G zu zahlen:Ferner haben Sie
Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: 1.100 Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro; Euro als Ersatz der Barauslagen für Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher 12.100 Euro Zahlungsfrist: Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [Anmerkung Bearbeiter/in: hier gekürzt] einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden. Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt. Begründung:
4 lit. a können Geldbußen bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden, wenn gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter
den Artikeln 8, 11, 25 bis 39, 42 und 43 verstoßen wird.
, Absatz 4, Litera a, können Geldbußen bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden, wenn gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter
den Artikeln 8, 11, 25 bis 39, 42 und 43 verstoßen wird. Art. 83 Abs. 5 lit. b DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 12 bis 22 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist.Artikel 83, Absatz 5, Litera b, DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Artikel 12, bis 22 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist.
6 DSGVO werden bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
, Absatz 6, DSGVO werden bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.Nach Paragraph 22, Absatz 5, DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde. Die Datenschutzbehörde ist daher im vorliegenden Fall zuständig. 2.2. Zur Verarbeitung personenbezogener Daten und zur Verantwortlicheneigenschaft der Beschuldigten
1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
, Absatz eins, DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. In Bezug auf das Vorliegen einer Verarbeitung personenbezogener Daten im Sinne von Art. 4 Z 1 und 2 DSGVO bestehen keine Zweifel und wurde dies von der Beschuldigten auch nicht bestritten.In Bezug auf das Vorliegen einer Verarbeitung personenbezogener Daten im Sinne von Artikel 4, Ziffer eins, und 2 DSGVO bestehen keine Zweifel und wurde dies von der Beschuldigten auch nicht bestritten. Die Beschuldigte verarbeitet durch die Veröffentlichung der in 1.1.1. genannten Informationen unzweifelhaft personenbezogene Daten. Auch die Rolle der Beschuldigten als Verantwortliche
Z 7 DSGVO wurde zu keinem Zeitpunkt bestritten und es ergaben sich im Verfahren keine Anhaltspunkte für eine gegenteilige Annahme. Als Verantwortliche ist die Beschuldigte Adressat der einschlägigen Pflichten der DSGVO. Auch die Rolle der Beschuldigten als Verantwortliche
, Ziffer 7, DSGVO wurde zu keinem Zeitpunkt bestritten und es ergaben sich im Verfahren keine Anhaltspunkte für eine gegenteilige Annahme. Als Verantwortliche ist die Beschuldigte Adressat der einschlägigen Pflichten der DSGVO. 2.3. Zum Verstoß
Spruchpunkt I.2.3. Zum Verstoß
Spruchpunkt römisch eins.
1 DSGVO trifft der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z.B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Personen zu schützen.
, Absatz eins, DSGVO trifft der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z.B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Personen zu schützen. ErwGr 78 DSGVO konkretisiert, was geeignete technische und organisatorische Maßnahmen sein können. So ist darin auszugsweise Folgendes geregelt: Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun. Solche Maßnahmen könnten unter anderem darin bestehen, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien zu Art. 25 DSGVO betont, dass sowohl die geeigneten Maßnahmen als auch die notwendigen Garantien demselben Zweck dienen sollen, nämlich die Rechte der betroffenen Personen zu schützen und sicherzustellen, dass der Schutz ihrer personenbezogenen Daten in die Verarbeitung aufgenommen wird (vgl. Leitlinien 4/2019 zu Artikel 25, Rz 7).Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien zu Artikel 25, DSGVO betont, dass sowohl die geeigneten Maßnahmen als auch die notwendigen Garantien demselben Zweck dienen sollen, nämlich die Rechte der betroffenen Personen zu schützen und sicherzustellen, dass der Schutz ihrer personenbezogenen Daten in die Verarbeitung aufgenommen wird vergleiche Leitlinien 4 aus 2019, zu Artikel 25, Rz 7). Die Verantwortlichen müssen die Grundsätze umsetzen, um Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen zu gewährleisten. Zu diesen Grundsätzen gehören Transparenz, Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie die Rechenschaftspflicht. Herauszustreichen ist für den vorliegenden Fall der Grundsatz der Datenminimierung
1 lit. c DSGVO. Demnach müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.Herauszustreichen ist für den vorliegenden Fall der Grundsatz der Datenminimierung
Demnach müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Der EDSA führt in den genannten Leitlinien einige Beispiele für zentrale Aspekte der Technikgestaltung und der Voreinstellung in Bezug auf die Datenminimierung an. Ist es für die Verarbeitung nicht notwendig, dass sich der endgültige Datensatz auf ein identifiziertes oder identifizierbares Individuum bezieht, (wie in Statistiken) dies jedoch bei der ursprünglichen Verarbeitung der Fall ist, muss der Verantwortliche die personenbezogenen Daten löschen oder anonymisieren, sobald die Identifizierung nicht mehr erforderlich ist (vgl. die bereits genannten Leitlinien des EDSA, Rz 75 und 76).Ist es für die Verarbeitung nicht notwendig, dass sich der endgültige Datensatz auf ein identifiziertes oder identifizierbares Individuum bezieht, (wie in Statistiken) dies jedoch bei der ursprünglichen Verarbeitung der Fall ist, muss der Verantwortliche die personenbezogenen Daten löschen oder anonymisieren, sobald die Identifizierung nicht mehr erforderlich ist vergleiche die bereits genannten Leitlinien des EDSA, Rz 75 und 76). Auch Aspekte der Rechenschaftspflicht finden sich ferner im in Art. 25 Abs. 1 DSGVO verankerten Grundsatz „Datenschutz durch Technik“, wonach die Mittel zur Verarbeitung, d.h. Produkte, Dienstleistungen und Anwendungen, sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung derart zu wählen sind, dass die Anforderungen der DSGVO erfüllt werden können (vgl. Baumgartner in Ehmann/Selmayr (Hrsg.), DS-GVO2 [2018] Art. 25 Rz 2; siehe auch Hötzendorfer in Gantschacher/Jelinek/Schmidl/Spanberger (Hrsg.), Kommentar zur Datenschutz-Grundverordnung [2017] Art. 25 Anm. 3).Auch Aspekte der Rechenschaftspflicht finden sich ferner im in Artikel 25, Absatz eins, DSGVO verankerten Grundsatz „Datenschutz durch Technik“, wonach die Mittel zur Verarbeitung, d.h. Produkte, Dienstleistungen und Anwendungen, sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung derart zu wählen sind, dass die Anforderungen der DSGVO erfüllt werden können vergleiche Baumgartner in Ehmann/Selmayr (Hrsg.), DS-GVO2 [2018] Artikel 25, Rz 2; siehe auch Hötzendorfer in Gantschacher/Jelinek/Schmidl/Spanberger (Hrsg.), Kommentar zur Datenschutz-Grundverordnung [2017] Artikel 25, Anmerkung 3, ). Voraussetzung für die Verarbeitung personenbezogener Daten in verantwortlicher Weise ist, dass der Verantwortliche sowohl über die Kenntnisse für die Umsetzung des Datenschutzes als auch über die hierfür erforderlichen Fähigkeiten verfügt. Dies bedeutet, dass der Verantwortliche die Datenschutzverpflichtungen, die ihm aus der DSGVO erwachsen, kennt und dass er diese Verpflichtungen einhalten kann (vgl. die bereits genannten Leitlinien des EDSA, Rz 88).Voraussetzung für die Verarbeitung personenbezogener Daten in verantwortlicher Weise ist, dass der Verantwortliche sowohl über die Kenntnisse für die Umsetzung des Datenschutzes als auch über die hierfür erforderlichen Fähigkeiten verfügt. Dies bedeutet, dass der Verantwortliche die Datenschutzverpflichtungen, die ihm aus der DSGVO erwachsen, kennt und dass er diese Verpflichtungen einhalten kann vergleiche die bereits genannten Leitlinien des EDSA, Rz 88). Die Beschuldigte hätte – etwa nach einem berechtigten Löschungsbegehren – dafür Sorge zu tragen, dass durch die auf ihrer Webseite veröffentlichten Daten kein Rückschluss auf die betroffene Person mehr möglich ist. Dies könnte etwa – wie auch vom EDSA in seinen Leitlinien ausdrücklich genannt – durch eine Anonymisierung erfolgen (vgl. die genannten Leitlinien des EDSA, Rz 54; siehe zur Anonymisierung als Mittel zur Löschung auch den Bescheid der DSB vom 05.12.2018, DSB-D123.270/0009-DSB/2018). Die Beschuldigte hätte – etwa nach einem berechtigten Löschungsbegehren – dafür Sorge zu tragen, dass durch die auf ihrer Webseite veröffentlichten Daten kein Rückschluss auf die betroffene Person mehr möglich ist. Dies könnte etwa – wie auch vom EDSA in seinen Leitlinien ausdrücklich genannt – durch eine Anonymisierung erfolgen vergleiche die genannten Leitlinien des EDSA, Rz 54; siehe zur Anonymisierung als Mittel zur Löschung auch den Bescheid der DSB vom 05.12.2018, DSB-D123.270/0009-DSB/2018). Auch das Bundesverwaltungsgericht hat bereits ausgeführt, dass die Beschuldigte
DSGVO angehalten ist, dem Gedanken des Datenschutzes durch Technikgestaltung Rechnung zu tragen. Demnach ist das Argument, dass die Daten von Betroffenen für Neuanmeldungen, Transfers und zur Überprüfung von Mehrfachmeldungen bei Namensgleichheit benötigt werden, dann unbeachtlich, wenn betroffene Personen bereits aus dem Verband des Beschuldigten ausgeschieden sind bzw. seit vielen Jahren keine aktiven Spieler mehr sind (vgl. das Erkenntnis des BVwG vom 12.04.2023, GZ: W252 2246403-1/10E).Auch das Bundesverwaltungsgericht hat bereits ausgeführt, dass die Beschuldigte
, DSGVO angehalten ist, dem Gedanken des Datenschutzes durch Technikgestaltung Rechnung zu tragen. Demnach ist das Argument, dass die Daten von Betroffenen für Neuanmeldungen, Transfers und zur Überprüfung von Mehrfachmeldungen bei Namensgleichheit benötigt werden, dann unbeachtlich, wenn betroffene Personen bereits aus dem Verband des Beschuldigten ausgeschieden sind bzw. seit vielen Jahren keine aktiven Spieler mehr sind vergleiche das Erkenntnis des BVwG vom 12.04.2023, GZ: W252 2246403-1/10E). Im Ergebnis hat die Beschuldigte jedenfalls im Tatzeitraum 1 gegen Art. 25 DSGVO verstoßen, indem sie keine geeigneten technischen und organisatorischen Maßnahmen getroffene hat, damit im Fall einer erforderlichen Löschung aus der öffentlichen Datenbank der Beschuldigten keine Rückschlüsse mehr auf betroffene Personen gezogen werden können.Im Ergebnis hat die Beschuldigte jedenfalls im Tatzeitraum 1 gegen Artikel 25, DSGVO verstoßen, indem sie keine geeigneten technischen und organisatorischen Maßnahmen getroffene hat, damit im Fall einer erforderlichen Löschung aus der öffentlichen Datenbank der Beschuldigten keine Rückschlüsse mehr auf betroffene Personen gezogen werden können. Die Beschuldigte hat somit im Tatzeitraum 1 die objektive Tatseite von Art. 25 Abs. 1 DSGVO erfüllt.Die Beschuldigte hat somit im Tatzeitraum 1 die objektive Tatseite von Artikel 25, Absatz eins, DSGVO erfüllt. 2.4. Zum Verstoß
Spruchpunkt II.2.4. Zum Verstoß
Spruchpunkt römisch zwei.
1 DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen, und ist darüber hinaus der Verantwortliche selbst verpflichtet, personenbezogene Daten unverzüglich zu löschen, wenn einer der in Art. 17 Abs. 1 lit. a – lit. f DSGVO genannten Gründe vorliegt.
, Absatz eins, DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen, und ist darüber hinaus der Verantwortliche selbst verpflichtet, personenbezogene Daten unverzüglich zu löschen, wenn einer der in Artikel 17, Absatz eins, Litera a, – Litera f, DSGVO genannten Gründe vorliegt. Der Betroffene brachte im Beschwerdeverfahren zu D124.3076 vor, er wünsche die Löschung seiner Daten, die öffentlich verarbeitet würden und von Suchmaschinen gefunden werden könnten, spiele nicht mehr Fußball und habe daher nicht vor, jemals wieder an der von der Beschuldigten veranstalteten Fußballliga als Spieler teilzunehmen. Die Verarbeitung seiner Daten sei daher nicht mehr notwendig. Wie die Datenschutzbehörde mit Bescheid vom 10.05.2023 rechtskräftig festgestellt hat, hat die Beschuldigte den Betroffenen im Recht auf Löschung verletzt, indem sie den Löschungsantrag des Betroffenen vom 23.09.2020 abgelehnt hat. Die personenbezogenen Daten des Betroffenen sind iSd Art. 17 Abs. 1 lit. a DSGVO für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig. Die personenbezogenen Daten des Betroffenen sind iSd Artikel 17, Absatz eins, Litera a, DSGVO für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig. Darüber hinaus werden die personenbezogenen Daten des Betroffenen iSd Art. 17 Abs. 1 lit. d leg. cit. unrechtmäßig verarbeitet:Darüber hinaus werden die personenbezogenen Daten des Betroffenen iSd Artikel 17, Absatz eins, Litera d, leg. cit. unrechtmäßig verarbeitet: Die Beschuldigte hat es – trotz Aufforderungen der Datenschutzbehörde im Beschwerdeverfahren zu D124.3076 sowie im vorliegenden Verwaltungsstrafverfahren – unterlassen, eine konkrete Rechtsgrundlage iSd Art. 6 Abs. 1 DSGVO für die Datenverarbeitung zu benennen.Die Beschuldigte hat es – trotz Aufforderungen der Datenschutzbehörde im Beschwerdeverfahren zu D124.3076 sowie im vorliegenden Verwaltungsstrafverfahren – unterlassen, eine konkrete Rechtsgrundlage iSd Artikel 6, Absatz eins, DSGVO für die Datenverarbeitung zu benennen. Festzuhalten ist, dass die ein zuvor erteilte allfällige Einwilligung durch den Betroffenen
3 DSGVO mit dem Antrag auf Löschung vom 23.09.2020 widerrufen wurde. Mit dem wirksamen Widerruf der Einwilligung des Betroffenen entfällt auch eine etwaige Rechtsgrundlage
1 lit. a DSGVO (Rechtmäßigkeit der Verarbeitung aufgrund der Einwilligung der betroffenen Person).Festzuhalten ist, dass die ein zuvor erteilte allfällige Einwilligung durch den Betroffenen
Mit dem wirksamen Widerruf der Einwilligung des Betroffenen entfällt auch eine etwaige Rechtsgrundlage
, Absatz eins, Litera a, DSGVO (Rechtmäßigkeit der Verarbeitung aufgrund der Einwilligung der betroffenen Person). Falls die Beschuldigte sich auf ein berechtigtes Interesse
1 lit. f DSGVO stützt, ist auszuführen, dass sich die Gewichtung der ursprünglichen Interessenlage mittlerweile verschoben hat, weil der Betroffene seit Jahren bereits aus der Fußballliga der Beschuldigten ausgeschieden ist. Er bestritt am 06.10.2019 sein letztes Spiel. Es ist kein Grund mehr gegeben, weshalb die Daten des Betroffenen für die von der Beschuldigten veranstaltete Fußballliga noch benötigt werden würden. Auch das Interesse der an Sportwettbewerben interessierten Öffentlichkeit an Daten eines nicht mehr an Wettbewerbsspielen teilnehmenden Fußballers ist als gering zu bewerten. Somit überwiegt verfahrensgegenständlich das berechtigte Interesse des Betroffenen.Falls die Beschuldigte sich auf ein berechtigtes Interesse
, Absatz eins, Litera f, DSGVO stützt, ist auszuführen, dass sich die Gewichtung der ursprünglichen Interessenlage mittlerweile verschoben hat, weil der Betroffene seit Jahren bereits aus der Fußballliga der Beschuldigten ausgeschieden ist. Er bestritt am 06.10.2019 sein letztes Spiel. Es ist kein Grund mehr gegeben, weshalb die Daten des Betroffenen für die von der Beschuldigten veranstaltete Fußballliga noch benötigt werden würden. Auch das Interesse der an Sportwettbewerben interessierten Öffentlichkeit an Daten eines nicht mehr an Wettbewerbsspielen teilnehmenden Fußballers ist als gering zu bewerten. Somit überwiegt verfahrensgegenständlich das berechtigte Interesse des Betroffenen. Die Datenschutzbehörde verkennt nicht, dass in Art. 17 Abs. 3 DSGVO Ausnahmetatbestände des Art. 17 normiert sind, jedoch brachte die Beschuldigte keine solchen vor und sind aus dem Verfahrensgang auch nicht hervorgegangen.Die Datenschutzbehörde verkennt nicht, dass in Artikel 17, Absatz 3, DSGVO Ausnahmetatbestände des Artikel 17, normiert sind, jedoch brachte die Beschuldigte keine solchen vor und sind aus dem Verfahrensgang auch nicht hervorgegangen. Aus Sicht der Datenschutzbehörde erscheint für die Verarbeitung der einzig in Frage kommende Ausnahmetatbestand, auf welchen sich die Beschuldigte stützen könnte, der im öffentlichen Interesse liegende Archivzweck
Vm Art 89 DSGVO.Aus Sicht der Datenschutzbehörde erscheint für die Verarbeitung der einzig in Frage kommende Ausnahmetatbestand, auf welchen sich die Beschuldigte stützen könnte, der im öffentlichen Interesse liegende Archivzweck
Da etwa durch eine Anonymisierung der Daten des Betroffenen Spielergebnisse weder unmöglich gemacht noch ernsthaft beeinträchtigt wird, ist der Ausnahmetatbestand auf den gegenständlichen Fall nicht anwendbar (zur Anonymisierung als Mittel zur Löschung siehe erneut den Bescheid der DSB vom 05.12.2018, DSB-D123.270/0009-DSB/2018). Insbesondere unter Bedachtnahme der Faktoren der Zweckmäßigkeit, Erheblichkeit und Zweckorientiertheit erscheint eine Aufbewahrung in der Form, die die Identifizierbarkeit des Betroffenen ermöglichen, im gegenständlichen Einzelfall als nicht notwendig (vgl. Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung“). Auch der Grundsatz der Speicherbegrenzung (Art: 5 Abs. 1 lit. e DSGVO) spricht für diese Wertung. Insbesondere unter Bedachtnahme der Faktoren der Zweckmäßigkeit, Erheblichkeit und Zweckorientiertheit erscheint eine Aufbewahrung in der Form, die die Identifizierbarkeit des Betroffenen ermöglichen, im gegenständlichen Einzelfall als nicht notwendig vergleiche Artikel 5, Absatz eins, Litera c, DSGVO („Datenminimierung“). Auch der Grundsatz der Speicherbegrenzung (Art: 5 Absatz eins, Litera e, DSGVO) spricht für diese Wertung. Die Datenschutzbehörde merkt zudem nochmals an, dass das Bundesverwaltungsgericht in einem ähnlich gelagerten Verfahren zum selben Ergebnis gekommen ist (vgl. BVwG W252 2246403-1/10E vom 12. April 2023).Die Datenschutzbehörde merkt zudem nochmals an, dass das Bundesverwaltungsgericht in einem ähnlich gelagerten Verfahren zum selben Ergebnis gekommen ist vergleiche BVwG W252 2246403-1/10E vom 12. April 2023). Wie den Feststellungen zu entnehmen ist, verarbeitet die Beschuldigte nach wie vor Daten des Betroffenen auf ihrer Webseite und ist dem Löschungsbegehren des Betroffenen bis dato – trotz rechtskräftigen Bescheides der Datenschutzbehörde – nicht gänzlich nachgekommen. Die Beschuldigte verletzte den Betroffenen daher im Tatzeitraum 2 im Recht auf Löschung
DSGVO und ist diesbezüglich der objektive Tatbestand erfüllt.Die Beschuldigte verletzte den Betroffenen daher im Tatzeitraum 2 im Recht auf Löschung
2.5. Zum Verstoß
Spruchpunkt III. 2.5. Zum Verstoß
Spruchpunkt römisch drei. Der Datenschutzbehörde steht iSd Art. 58 Abs. 2 lit. c DSGVO die Befugnis zu, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.Der Datenschutzbehörde steht iSd Artikel 58, Absatz 2, Litera c, DSGVO die Befugnis zu, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen. Im gegenständlichen Fall ist die Beschuldigte der Anweisung der Aufsichtsbehörde nur teilweise nachgekommen. Es wurde zwar zu einem nicht näher feststellbaren Zeitpunkt das Spielerfoto des Betroffenen sowie die Informationen „Jahrgang“, „Status“, „Nationalität“, „Im Verein seit“ und „Rückennummer“ gelöscht. Jedoch sind der Name und alle sonstigen unter Punkt 1.1.1. aufgelisteten Informationen über den Betroffenen weiterhin öffentlich auf der Webseite der Beschuldigten einsehbar. Vor dem Hintergrund des als erwiesen festgestellten Sachverhalts hat die Beschuldigte als Verantwortliche
Vm Art. 83 Abs. 6 DSGVO zu verantworten, da sie der Anweisung der Datenschutzbehörde, die Daten des Betroffenen zu löschen oder in einem nicht öffentlich zugänglichen Bereich zu speichern, nicht nachgekommen ist.Vor dem Hintergrund des als erwiesen festgestellten Sachverhalts hat die Beschuldigte als Verantwortliche
, Ziffer 7, DSGVO die objektive Tatseite der Verwaltungsübertretung des Artikel 58, Absatz 2, Litera c, in Verbindung mit Artikel 83, Absatz 6, DSGVO zu verantworten, da sie der Anweisung der Datenschutzbehörde, die Daten des Betroffenen zu löschen oder in einem nicht öffentlich zugänglichen Bereich zu speichern, nicht nachgekommen ist. 2.6. Zur Strafbarkeit der Beschuldigten als juristische Person Die Voraussetzungen für die Verhängung von Geldbußen sowohl gegen natürliche Personen als auch gegen juristische Personen werden in Art. 83 DSGVO normiert. Der nationale Gesetzgeber hat jedoch in § 30 Abs. 1 und 2 DSG weitere „allgemeine Bedingungen für die Verhängung von Geldbußen“ normiert. Die Voraussetzungen für die Verhängung von Geldbußen sowohl gegen natürliche Personen als auch gegen juristische Personen werden in Artikel 83, DSGVO normiert. Der nationale Gesetzgeber hat jedoch in Paragraph 30, Absatz eins, und 2 DSG weitere „allgemeine Bedingungen für die Verhängung von Geldbußen“ normiert. Nach § 30 Abs. 1 DSG kann die Datenschutzbehörde Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund
2 DSG auch in jenen Fällen verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in § 30 Abs. 1 DSG genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO
Paragraph 30, Absatz 2, DSG auch in jenen Fällen verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Paragraph 30, Absatz eins, DSG genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet. Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 12.05.2020 zu Ro 2019/04/0229 erstmalig mit der Anwendbarkeit der Strafbarkeitsvoraussetzungen des § 30 DSG in einem Verfahren nach Art. 83 DSGVO auseinandergesetzt und stellte in diesem Zusammenhang fest, dass eine juristische Person nicht selbst handeln kann und daher ihre Strafbarkeit nach § 30 DSG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson im Sinne des § 30 Abs. 1 DSG ist. Demnach sei für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person (Führungsperson bzw. sogenannte „Zurechnungsperson“) vonnöten. Die Zurechnung der Tathandlung durch die Führungsperson an die juristische Person müsse im Spruch aufgenommen und die Zurechnungsperson zudem als identifizierte natürliche Person namentlich genannt werden (vgl. VwGH 12.05.2020, Ro 2019/04/0229, mwN). Mit anderen Worten: die Datenschutzbehörde müsse in einem Verfahren nach Art. 83 DSGVO im Spruch des Straferkenntnisses jene natürliche Person, deren Verstoß gegen die DSGVO bzw. das DSG der im Sinne des Art. 4 Z 7 DSGVO verantwortlichen juristischen Person zugerechnet werden soll, namentlich nennen, um eine Geldbuße nach Art. 83 DSGVO gegen die Verantwortliche als juristische Person verhängen zu können.Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 12.05.2020 zu Ro 2019/04/0229 erstmalig mit der Anwendbarkeit der Strafbarkeitsvoraussetzungen des Paragraph 30, DSG in einem Verfahren nach Artikel 83, DSGVO auseinandergesetzt und stellte in diesem Zusammenhang fest, dass eine juristische Person nicht selbst handeln kann und daher ihre Strafbarkeit nach Paragraph 30, DSG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson im Sinne des Paragraph 30, Absatz eins, DSG ist. Demnach sei für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person (Führungsperson bzw. sogenannte „Zurechnungsperson“) vonnöten. Die Zurechnung der Tathandlung durch die Führungsperson an die juristische Person müsse im Spruch aufgenommen und die Zurechnungsperson zudem als identifizierte natürliche Person namentlich genannt werden vergleiche VwGH 12.05.2020, Ro 2019/04/0229, mwN). Mit anderen Worten: die Datenschutzbehörde müsse in einem Verfahren nach Artikel 83, DSGVO im Spruch des Straferkenntnisses jene natürliche Person, deren Verstoß gegen die DSGVO bzw. das DSG der im Sinne des Artikel 4, Ziffer 7, DSGVO verantwortlichen juristischen Person zugerechnet werden soll, namentlich nennen, um eine Geldbuße nach Artikel 83, DSGVO gegen die Verantwortliche als juristische Person verhängen zu können. Mit Beschluss vom 06.12.2021 ersuchte das Kammergericht Berlin den EuGH im Rahmen eines Vorabentscheidungsersuchens nach Art. 267 AEUV um Auslegung des Art. 83 DSGVO in Bezug auf die Frage, ob ein Unternehmen unmittelbar Betroffener im Bußgeldverfahren wegen eines Verstoßes gegen Art. 83 DSGVO sein kann und legte in diesem Zusammenhang folgende Fragen vor:Mit Beschluss vom 06.12.2021 ersuchte das Kammergericht Berlin den EuGH im Rahmen eines Vorabentscheidungsersuchens nach Artikel 267, AEUV um Auslegung des Artikel 83, DSGVO in Bezug auf die Frage, ob ein Unternehmen unmittelbar Betroffener im Bußgeldverfahren wegen eines Verstoßes gegen Artikel 83, DSGVO sein kann und legte in diesem Zusammenhang folgende Fragen vor:
1 DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.
, Absatz eins, DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Artikel 83, Absatz 4, 5, und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Artikel 83, Absatz 2, DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind. Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht.Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im Paragraph 19, VStG festgelegten Kriterien vorzunehmen ist vergleiche VwGH 05.09.2013, 2013/09/0106).
G sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (dies gilt naturgemäß nur für natürliche Personen, ist aber sinngemäß auf juristische Personen zu übertragen); dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.
Paragraph 19, Absatz eins, VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32, bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen (dies gilt naturgemäß nur für natürliche Personen, ist aber sinngemäß auf juristische Personen zu übertragen); dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Artikel 83, Absatz 8, DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird. Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zu dem mit § 22 Abs. 2 VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge (in der englischen Sprachfassung: „the same or linked processing operations“), durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich dieser Bestimmung das Absorptionsprinzip.Durch Artikel 83, Absatz 3, DSGVO wird in Abweichung zu dem mit Paragraph 22, Absatz 2, VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge (in der englischen Sprachfassung: „the same or linked processing operations“), durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich dieser Bestimmung das Absorptionsprinzip.
5 lit. a bzw. Abs. 6 DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Abs. 2, Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Absatz 6, DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Absatz 2,, Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist. Darüber hinaus ist im Sinne des Art. 83 Abs. 1 DSGVO zu beachten, dass im Rahmen der Strafbemessung des „Gesamtbetrages der Geldbuße“ unter Anwendung des Absorptionsprinzips nach Art. 83 Abs. 3 DSGVO alle begangenen Verstöße gegen die DSGVO berücksichtigt werden müssen. Der Wortlaut „Betrag für den schwerwiegendsten Verstoß“ bezieht sich dabei auf den Strafrahmen bzw. die gesetzlich vorgegebenen Höchstbeträge (siehe Art. 83 Abs. 4 bis 6 DSGVO). Der EDSA hielt hierzu fest, dass im Anwendungsbereich des Art. 83 Abs. 3 DSGVO die anderen begangenen Verstöße nicht de facto verworfen werden können, sondern bei der Strafbemessung dementsprechend berücksichtigt werden müssen (vgl. Fines-Leitlinien, Kapitel 3 – Rz 43). Ansonsten würde dies zu einer Privilegierung von Verantwortlichen und Auftragsverarbeiter führen, die im Rahmen eines festgestellten Sachverhaltes gleich gegen mehrere Bestimmungen der DSGVO verstoßen haben.Darüber hinaus ist im Sinne des Artikel 83, Absatz eins, DSGVO zu beachten, dass im Rahmen der Strafbemessung des „Gesamtbetrages der Geldbuße“ unter Anwendung des Absorptionsprinzips nach Artikel 83, Absatz 3, DSGVO alle begangenen Verstöße gegen die DSGVO berücksichtigt werden müssen. Der Wortlaut „Betrag für den schwerwiegendsten Verstoß“ bezieht sich dabei auf den Strafrahmen bzw. die gesetzlich vorgegebenen Höchstbeträge (siehe Artikel 83, Absatz 4, bis 6 DSGVO). Der EDSA hielt hierzu fest, dass im Anwendungsbereich des Artikel 83, Absatz 3, DSGVO die anderen begangenen Verstöße nicht de facto verworfen werden können, sondern bei der Strafbemessung dementsprechend berücksichtigt werden müssen vergleiche Fines-Leitlinien, Kapitel 3 – Rz 43). Ansonsten würde dies zu einer Privilegierung von Verantwortlichen und Auftragsverarbeiter führen, die im Rahmen eines festgestellten Sachverhaltes gleich gegen mehrere Bestimmungen der DSGVO verstoßen haben. Mangels Mitwirkung der Beschuldigten in Bezug auf die Feststellung ihrer Vermögensverhältnisse musste die Datenschutzbehörde eine Schätzung vornehmen (vgl. VwGH 11.05.1990, 89/18/0179; 22.04.1992, 92/03/0019; 23.02.1996, 95/02/0174). In Anbetracht der Fines-Leitlinien wird die Beschuldigte in Bezug auf ihren Umsatz und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße im Zuge der Schätzung in die niedrigste Kategorie („Undertakings with a turnover up until € 2 Million“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten.Mangels Mitwirkung der Beschuldigten in Bezug auf die Feststellung ihrer Vermögensverhältnisse musste die Datenschutzbehörde eine Schätzung vornehmen vergleiche VwGH 11.05.1990, 89/18/0179; 22.04.1992, 92/03/0019; 23.02.1996, 95/02/0174). In Anbetracht der Fines-Leitlinien wird die Beschuldigte in Bezug auf ihren Umsatz und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße im Zuge der Schätzung in die niedrigste Kategorie („Undertakings with a turnover up until € 2 Million“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten. Der Strafrahmen im konkreten Fall reicht
5 DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (4% des Jahresumsatzes) gelangt nicht zur Anwendung.Der Strafrahmen im konkreten Fall reicht
, Absatz 5, DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (4% des Jahresumsatzes) gelangt nicht zur Anwendung. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Art. 83 Abs. 2 lit. g DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem mittelhohen Schweregrad („medium level of seriousness“) festgelegt.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Artikel 83, Absatz 2, Litera g, DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) mit einem mittelhohen Schweregrad („medium level of seriousness“) festgelegt. Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die bereits für die Feststellung des Schweregrades berücksichtigten Kriterien nach Art. 83 Abs. 1 lit. a, b und g DSGVO hinaus) bei der Strafzumessung Folgendes erschwerend berücksichtigt:Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die bereits für die Feststellung des Schweregrades berücksichtigten Kriterien nach Artikel 83, Absatz eins, Litera a, b, und g DSGVO hinaus) bei der Strafzumessung Folgendes erschwerend berücksichtigt: ● Die Beschuldigte brachte trotz telefonischer Ankündigung keine schriftliche Rechtfertigung bei der Datenschutzbehörde ein, äußerte sich nicht zu ihren Vermögensverhältnissen und arbeitete somit in einem sehr geringen Umfang mit der Datenschutzbehörde zusammen (vgl. Art. 83 Abs. 1 lit. f DSGVO)Die Beschuldigte brachte trotz telefonischer Ankündigung keine schriftliche Rechtfertigung bei der Datenschutzbehörde ein, äußerte sich nicht zu ihren Vermögensverhältnissen und arbeitete somit in einem sehr geringen Umfang mit der Datenschutzbehörde zusammen vergleiche Artikel 83, Absatz eins, Litera f, DSGVO) Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt: ● Gegen die Beschuldigte liegen bei der Datenschutzbehörde keine einschlägigen früheren Verstöße gegen die DSGVO vor (vgl. Art. 83 Abs. 2 lit. e DSGVO) Gegen die Beschuldigte liegen bei der Datenschutzbehörde keine einschlägigen früheren Verstöße gegen die DSGVO vor vergleiche Artikel 83, Absatz 2, Litera e, DSGVO) Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Verhängung der konkreten Geldstrafe war jedenfalls im Sinne der Spezialprävention notwendig, um die Beschuldigte von der Begehung weiterer Verstöße abzuhalten, um sie in Bezug auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
DSGVO und um sie auf ihre Pflichten im Zusammenhang mit Löschungsbegehren und die Befolgung von Anweisungen der Datenschutzbehörde zu sensibilisieren. Es ist jedenfalls davon auszugehen, dass die Beschuldigte ohne die Verhängung einer Geldstrafe die gegenständliche Verarbeitung fortsetzen wird, hat sie doch auch schon ein rechtskräftiges Erkenntnis des Bundesverwaltungsgericht nicht weiter beachtet. Die Verhängung der konkreten Geldstrafe war jedenfalls im Sinne der Spezialprävention notwendig, um die Beschuldigte von der Begehung weiterer Verstöße abzuhalten, um sie in Bezug auf Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
, DSGVO und um sie auf ihre Pflichten im Zusammenhang mit Löschungsbegehren und die Befolgung von Anweisungen der Datenschutzbehörde zu sensibilisieren. Es ist jedenfalls davon auszugehen, dass die Beschuldigte ohne die Verhängung einer Geldstrafe die gegenständliche Verarbeitung fortsetzen wird, hat sie doch auch schon ein rechtskräftiges Erkenntnis des Bundesverwaltungsgericht nicht weiter beachtet. Die Verhängung der Geldstrafe war darüber hinaus auch im Sinne der Generalprävention erforderlich, um Verantwortliche in Bezug auf Datenverarbeitungen im Rahmen von vergleichbaren öffentlich einsehbaren Datenbanken sowie in Bezug auf den Umgang mit Löschungsbegehren und Leistungsaufträgen der Datenschutzbehörde zu sensibilisieren. Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 11.000,- erscheint im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen (hier bis zu EUR 20.000.000) tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens. European Case Law IdentifierECLI:AT:DSB:2024:2023.0.592.319
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.