Z 7 DSGVO im Zeitraum vom 18.12.2023 bis zum 13.09.2024 gegen ihre Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde)
DSGVO verstoßen, indem sie den folgenden Aufforderungen zur Stellungnahme im Rahmen des Sicherheitsverletzungs-Verfahrens zur GZ: D084.4838 nicht entsprach:B*** hat in ihrer Rolle als Verantwortliche
, Ziffer 7, DSGVO im Zeitraum vom 18.12.2023 bis zum 13.09.2024 gegen ihre Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde)
, DSGVO verstoßen, indem sie den folgenden Aufforderungen zur Stellungnahme im Rahmen des Sicherheitsverletzungs-Verfahrens zur GZ: D084.4838 nicht entsprach: ● 18.12.2023: Mitteilung, Aufforderung zur Vornahme einer ergänzenden Meldung (GZ: D084.4838 – 2023-0.897.054) per E-Mail an “info@b***.at“ (Lesebestätigung vom 18.12.2023); ● 15.03.2024: Aufforderung zur ergänzenden Meldung (GZ: D084.4838 – 2024-0.150.102) per RSb an „J***straße *2, **** I***tal“, zugestellt am 20.03.2024. Dadurch hat B*** als Verantwortliche auf Anfrage einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht zusammengearbeitet. Erst nachdem das gegenständliche Verwaltungsstrafverfahren eingeleitet und die Beschuldigte zur Rechtfertigung aufgefordert wurde, brachte die Beschuldigte mit E-Mail vom 13.09.2024 eine Stellungnahme in Bezug auf das oben zitierte Sicherheitsverletzungsverfahren ein. Die beschuldigte juristische Person hat daher im Ergebnis folgende Vorschrift der DSGVO verletzt: ● Die Pflicht von Verantwortlichen,
Die Pflicht von Verantwortlichen,
, DSGVO mit der Datenschutzbehörde auf Anfrage bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten Verwaltungsübertretung nach: Art. 31 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgFArtikel 31, in Verbindung mit Artikel 83, Absatz eins, und 4 Litera a, DSGVO Amtsblatt , L 2016/119, S. 1, idgF Wegen dieser Verwaltungsübertretung wird
DSGVO folgende Strafe verhängt:Wegen dieser Verwaltungsübertretung wird
, DSGVO folgende Strafe verhängt: Geldstrafe von Euro
€ 600,- Art 83 Abs. 3 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgFArtikel 83, Absatz 3, und 4 Litera a, DSGVO Amtsblatt , L 2016/119, S. 1, idgF Ferner haben Sie
G zu zahlen:Ferner haben Sie
Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: 60,- Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro; Euro als Ersatz der Barauslagen für Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher 660,- Euro Zahlungsfrist: Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden. Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt. Begründung: 1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest: 1.1. Zum Gang des Sicherheitsverletzungs-Verfahrens vor dem ersten Straferkenntnis (D550.829) Herr Sebastian W*** (Geschäftsführer von B*** - im Folgenden „GF“) brachte am 24.04.2023 per E-Mail eine Sicherheitsverletzungs-Meldung
Für die Meldung wurde ein unverbindliches Formular, das von der DSB im Rahmen ihrer Webseite zur Verfügung gestellt wurde, verwendet.Herr Sebastian W*** (Geschäftsführer von B*** - im Folgenden „GF“) brachte am 24.04.2023 per E-Mail eine Sicherheitsverletzungs-Meldung
Für die Meldung wurde ein unverbindliches Formular, das von der DSB im Rahmen ihrer Webseite zur Verfügung gestellt wurde, verwendet. Im Zuge dieser Meldung gab der GF gegenüber der DSB bekannt, dass es am 06.03.2023 zu einer „Ransomeware Attacke“ durch unbekannte Personen kam und in Folge Daten verschlüsselt wurden. Darüber hinaus gab der GF an, dass nicht bekannt sei, ob „ein Diebstahl“ vorliege und ein „Datenabfluss“ sei nicht erkennbar. Als Kategorie betroffener Personen gab der GF „Mitarbeiter“ an und bezifferte die Anzahl an Betroffenen mit „55“. Als betroffene Kategorien personenbezogener Daten gab der GF „Bestätigungen, Lohnunterlagen“ an. Zu den getroffenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten gab der GF Folgendes an: „Gesamtes Netzwerk wurde vom Internet getrennt. Systeme werden aktuell neu aufgesetzt und gehärtet“. Zu den ergriffenen Maßnahmen zur Abmilderung der möglichen nachteiligen Auswirkungen gab der GF Folgendes an: „Verschlüsselte Festplatten des Systems wurden sicher gelöscht“. Zum Zeitpunkt der Sicherheitsverletzung gab der GF den 06.03.2023 (ca. 17:45) an. Zum Zeitpunkt der Kenntnisnahme über den Sicherheitsvorfall gab der GF den 06.03.2023 (ca. 18:30 Uhr) an. In Bezug auf die verspätete Meldung führte der GF ins Treffen, dass sie aufgrund einer polizeilichen Anzeige davon ausgegangen sind, dass „eine entsprechende Meldung automatisch weitergeleitet wurde“. In Reaktion auf diese Meldung wurde durch die DSB ein Sicherheitsverletzungs-Verfahren zur GZ: D084.4838 eingeleitet. Die DSB konnte auf Grundlage der Angaben des GF im Rahmen der Meldung vom 24.04.2023 den Fall nicht abschließend beurteilen und forderte mit Schreiben vom 24.04.2023 (GZ: D084.4838 - 2023-0.309.559) die B*** (per E-Mail an info@b***.at, z.H. GF) zur ergänzenden Meldung auf. Der GF reagierte daraufhin mit E-Mail vom 26.04.2023 konkret wie folgt (Formatierung nicht 1:1 wiedergegeben): „liebe Datenschutz Behörde, Danke für die mail wir haben und werden unsere gäste davon nicht informieren da wir unsere gäste nicht unnötig mit solchen kranken Vorfällen belasten werden... wir sind ein Bewusstseins und verströmen ausschließlich pure liebe [Anmerkung Bearbeiter/in: Sonderzeichen Herzerl und Sternderl aus Gründen der Darstellbarkeit entfernt.] und gute Laune da wir wissen das Gedanken und Taten Materie erschaffen wird nichts schlimmes passieren. Wir wissen nämlich das es so sein wird!!! wir haben mit der Firma k*** security selbstverständlich Vorkehrungen getroffen um so etwas zukünftig zu unterbunden. wir haben diese Meldung nur gemacht damit unsere Versicherung zufrieden ist und wir den Schaden erstatten bekommen. ich bitte euch diesen Vorfall mit diesem Email ruhen zu lassen und bin für weitere Fragen sehr gerne telefonisch erreichbar 0043***3*5*7*4 mit herzlichen Grüßen aus dem B*** Sebastian W*** www.b***.at” In Reaktion darauf erfolgte mit Schreiben vom 26.04.2023 (GZ: D084.4838 - 2023-0.316.639) eine erneute Aufforderung zur ergänzenden Meldung an B***. B*** reagierte daraufhin mit einer Leer-Meldung per E-Mail vom 27.04.2023 und hängte die bereits eingebrachte Stellungnahme des GF vom 26.04.2023 an. 1.
1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
, Absatz eins, DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. In Bezug auf das Vorliegen einer Verarbeitung personenbezogener Daten im Sinne von Art. 4 Z 1 und 2 DSGVO bestehen keine Zweifel. Auch die Rolle der Beschuldigten als Verantwortliche
Der GF gab zwar im Rahmen der Meldung nach Art. 33 DSGVO sich selbst namentlich an, jedoch wurde die Tatsache, dass der GF die Meldung im Namen der Beschuldigten in seiner Funktion als Geschäftsführer vornahm, bereits im Rahmen des ersten Verwaltungsstrafverfahrens (GZ: D550.829) abschließend geklärt.In Bezug auf das Vorliegen einer Verarbeitung personenbezogener Daten im Sinne von Artikel 4, Ziffer eins, und 2 DSGVO bestehen keine Zweifel. Auch die Rolle der Beschuldigten als Verantwortliche
Der GF gab zwar im Rahmen der Meldung nach Artikel 33, DSGVO sich selbst namentlich an, jedoch wurde die Tatsache, dass der GF die Meldung im Namen der Beschuldigten in seiner Funktion als Geschäftsführer vornahm, bereits im Rahmen des ersten Verwaltungsstrafverfahrens (GZ: D550.829) abschließend geklärt. Als Verantwortliche ist die Beschuldigte Adressat der einschlägigen Pflichten der DSGVO. Im konkreten Fall unterlag die Beschuldigte als Verantwortliche aufgrund der erfolgten Sicherheitsverletzung der Pflicht zur Zusammenarbeit mit der DSB im Rahmen des Sicherheitsverletzungs-Verfahrens nach Art. 31 DSGVO. Diese Bestimmung stellt
4 lit. a DSGVO eine strafbewehrte Verpflichtung für Verantwortliche dar und wird Nachstehend näher beleuchtet.Als Verantwortliche ist die Beschuldigte Adressat der einschlägigen Pflichten der DSGVO. Im konkreten Fall unterlag die Beschuldigte als Verantwortliche aufgrund der erfolgten Sicherheitsverletzung der Pflicht zur Zusammenarbeit mit der DSB im Rahmen des Sicherheitsverletzungs-Verfahrens nach Artikel 31, DSGVO. Diese Bestimmung stellt
, Absatz 4, Litera a, DSGVO eine strafbewehrte Verpflichtung für Verantwortliche dar und wird Nachstehend näher beleuchtet. 3.2. Zur Mitwirkungspflicht von Verantwortlichen mit der DSB Verantwortliche und Auftragsverarbeiter und gegebenenfalls ihre Vertreter müssen
DSGVO auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenarbeiten. Auch bei dieser Bestimmung handelt es sich
4 lit. a DSGVO um eine strafbewehrte Verpflichtung von Verantwortlichen.Verantwortliche und Auftragsverarbeiter und gegebenenfalls ihre Vertreter müssen
, DSGVO auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenarbeiten. Auch bei dieser Bestimmung handelt es sich
, Absatz 4, Litera a, DSGVO um eine strafbewehrte Verpflichtung von Verantwortlichen. Aus Art. 31 DSGVO sind in Zusammenschau mit den Befugnissen der Aufsichtsbehörde nach Art. 57 und Art. 58 DSGVO sowohl Duldungs- als auch Mitwirkungspflichten ableitbar. Die DSB muss
1 lit. a DSGVO für das gesamte österreichische Bundesgebiet („in ihrem Hoheitsgebiet) die Anwendung der DSGVO überwachen und durchsetzen. Dabei handelt es sich um eine der zentralen Aufgaben der DSB als für das österreichische Hoheitsgebiet zuständige Aufsichtsbehörde. Außerdem muss die DSB nach Art. 57 Abs. 1 lit. v DSGVO jede sonstige Aufgabe im Zusammenhang mit dem Schutz personenbezogener Daten erfüllen. Für die Erfüllung dieser Aufgaben werden der DSB sowohl Untersuchungsbefugnisse als auch Abhilfebefugnisse (Art. 58 Abs. 1 und 2 DSGVO) eingeräumt.Aus Artikel 31, DSGVO sind in Zusammenschau mit den Befugnissen der Aufsichtsbehörde nach Artikel 57 und Artikel 58, DSGVO sowohl Duldungs- als auch Mitwirkungspflichten ableitbar. Die DSB muss
, Absatz eins, Litera a, DSGVO für das gesamte österreichische Bundesgebiet („in ihrem Hoheitsgebiet) die Anwendung der DSGVO überwachen und durchsetzen. Dabei handelt es sich um eine der zentralen Aufgaben der DSB als für das österreichische Hoheitsgebiet zuständige Aufsichtsbehörde. Außerdem muss die DSB nach Artikel 57, Absatz eins, Litera v, DSGVO jede sonstige Aufgabe im Zusammenhang mit dem Schutz personenbezogener Daten erfüllen. Für die Erfüllung dieser Aufgaben werden der DSB sowohl Untersuchungsbefugnisse als auch Abhilfebefugnisse (Artikel 58, Absatz eins, und 2 DSGVO) eingeräumt. Die DSGVO räumt den Aufsichtsbehörden unter anderem die Befugnis ein, den Verantwortlichen anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind (Art. 58 Abs. 1 lit. a DSGVO). Aus dieser Bestimmung ergibt sich in Zusammenschau mit Art. 31 DSGVO somit eine Mitwirkungspflicht für die Normadressaten (siehe auch ErwGr 82 zweiter Satz DSGVO). Für den Fall der mangelnden Mitwirkung führte der Unionsgesetzgeber daher in Art. 83 Abs. 4 lit. a DSGVO die Möglichkeit der Sanktionierung ein.Die DSGVO räumt den Aufsichtsbehörden unter anderem die Befugnis ein, den Verantwortlichen anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind (Artikel 58, Absatz eins, Litera a, DSGVO). Aus dieser Bestimmung ergibt sich in Zusammenschau mit Artikel 31, DSGVO somit eine Mitwirkungspflicht für die Normadressaten (siehe auch ErwGr 82 zweiter Satz DSGVO). Für den Fall der mangelnden Mitwirkung führte der Unionsgesetzgeber daher in Artikel 83, Absatz 4, Litera a, DSGVO die Möglichkeit der Sanktionierung ein. Im vorliegenden Fall ist die Beschuldigte, wie bereits erwähnt, als Verantwortliche
Z 7 DSGVO und somit als Adressat der einschlägigen Pflichten der DSGVO zu qualifizieren. Sie brachte eine Sicherheitsverletzungs-Meldung bei der DSB ein und war in Folge als Partei am Verfahren beteiligt. Sämtliche Aufforderungen der DSB wurden der Beschuldigten im Rahmen des Sicherheitsverletzungsverfahrens, wie festgestellt, zugestellt. Aufgrund der mangelnden Mitwirkung in diesem Verfahren wurde über die Beschuldigte bereits ein Straferkenntnis verhängt. Nichtsdestotrotz hat es die Beschuldigte in Folge dessen unterlassen, auf die beiden weiteren im (hier relevanten) Tatzeitraum versandten Aufforderungen zur ergänzenden Stellungnahme zu reagieren. Somit arbeitete sie nicht mit der DSB als zuständige Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.Im vorliegenden Fall ist die Beschuldigte, wie bereits erwähnt, als Verantwortliche
, Ziffer 7, DSGVO und somit als Adressat der einschlägigen Pflichten der DSGVO zu qualifizieren. Sie brachte eine Sicherheitsverletzungs-Meldung bei der DSB ein und war in Folge als Partei am Verfahren beteiligt. Sämtliche Aufforderungen der DSB wurden der Beschuldigten im Rahmen des Sicherheitsverletzungsverfahrens, wie festgestellt, zugestellt. Aufgrund der mangelnden Mitwirkung in diesem Verfahren wurde über die Beschuldigte bereits ein Straferkenntnis verhängt. Nichtsdestotrotz hat es die Beschuldigte in Folge dessen unterlassen, auf die beiden weiteren im (hier relevanten) Tatzeitraum versandten Aufforderungen zur ergänzenden Stellungnahme zu reagieren. Somit arbeitete sie nicht mit der DSB als zuständige Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Im Lichte des als erwiesen angenommenen Sachverhalts erfüllte die Beschuldigte im Ergebnis auch die objektive Tatseite des Art. 31 DSGVO, da sie auf beide Anfragen der DSB hin nicht mit ihr bei der Erfüllung ihrer Aufgaben zusammengearbeitet hat.Im Lichte des als erwiesen angenommenen Sachverhalts erfüllte die Beschuldigte im Ergebnis auch die objektive Tatseite des Artikel 31, DSGVO, da sie auf beide Anfragen der DSB hin nicht mit ihr bei der Erfüllung ihrer Aufgaben zusammengearbeitet hat. 3.
1 DSGVO hat die Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.
, Absatz eins, DSGVO hat die Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Artikel 83, Absatz 4, 5, und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Artikel 83, Absatz 2, DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106). Die von der Datenschutzbehörde für die Strafbemessung zu berücksichtigenden Kriterien sind abschließend in Art. 83 Abs. 2 DSGVO normiert.Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber festgelegten Kriterien vorzunehmen ist vergleiche VwGH 05.09.2013, 2013/09/0106). Die von der Datenschutzbehörde für die Strafbemessung zu berücksichtigenden Kriterien sind abschließend in Artikel 83, Absatz 2, DSGVO normiert. Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht.Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht. Der Strafrahmen im konkreten Fall reicht
4 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000.Der Strafrahmen im konkreten Fall reicht
Der relevante Jahresumsatz der Beschuldigten konnte mangels Mitwirkung nicht festgestellt werden. Es musste daher eine Schätzung durch die DSB vorgenommen werden. Der Jahresabschluss der B*** zum 30.11.2023 weist ein negatives Eigenkapital aus. Laut den Angaben der Geschäftsführer im Anhang ist dieses jedoch durch stille Reserven in der Betriebsliegenschaft gedeckt und es liegt keine Überschuldung im Sinne des § 225 Abs. 1 UGB vor. Folglich wird die Beschuldigte in die niedrigste Kategorie der Fines-Leitlinien („Undertakings with a turnover of up until € 2 million“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten. Der Strafrahmen im konkreten Fall reicht
4 DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (2% des Jahresumsatzes) gelangt nicht zur Anwendung.Der relevante Jahresumsatz der Beschuldigten konnte mangels Mitwirkung nicht festgestellt werden. Es musste daher eine Schätzung durch die DSB vorgenommen werden. Der Jahresabschluss der B*** zum 30.11.2023 weist ein negatives Eigenkapital aus. Laut den Angaben der Geschäftsführer im Anhang ist dieses jedoch durch stille Reserven in der Betriebsliegenschaft gedeckt und es liegt keine Überschuldung im Sinne des Paragraph 225, Absatz eins, UGB vor. Folglich wird die Beschuldigte in die niedrigste Kategorie der Fines-Leitlinien („Undertakings with a turnover of up until € 2 million“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten. Der Strafrahmen im konkreten Fall reicht
, Absatz 4, DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (2% des Jahresumsatzes) gelangt nicht zur Anwendung. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO [Anmerkung Bearbeiter/in: offenkundiger Redaktionsfehler, gemeint wohl Art. 83 Abs. 2 lit. a DSGVO]), der Vorsätzlichkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie der Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Art. 83 Abs. 2 lit. g DSGVO) wird von der DSB die Schwere der Zuwiderhandlung („Seriousness of the infringement“) als mittel („medium level of seriousness“) angenommen. Dabei ist insbesondere die Dauer sowie die (bedingte) Vorsätzlichkeit des Verstoßes ins Gewicht gefallen.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO [Anmerkung Bearbeiter/in: offenkundiger Redaktionsfehler, gemeint wohl Artikel 83, Absatz 2, Litera a, DSGVO]), der Vorsätzlichkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie der Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Artikel 83, Absatz 2, Litera g, DSGVO) wird von der DSB die Schwere der Zuwiderhandlung („Seriousness of the infringement“) als mittel („medium level of seriousness“) angenommen. Dabei ist insbesondere die Dauer sowie die (bedingte) Vorsätzlichkeit des Verstoßes ins Gewicht gefallen. Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die bereits für die Feststellung des Schweregrades berücksichtigten Kriterien nach Art. 83 Abs. 1 lit. a, b und g DSGVO hinaus) bei der Strafzumessung Folgendes erschwerend berücksichtigt:Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die bereits für die Feststellung des Schweregrades berücksichtigten Kriterien nach Artikel 83, Absatz eins, Litera a, b, und g DSGVO hinaus) bei der Strafzumessung Folgendes erschwerend berücksichtigt: ● Die Beschuldigte hat bereits einen Verstoß gegen die Mitwirkungspflicht nach Art. 31 DSGVO begangen und war damit vorbestraft. Es handelt sich dabei um einen einschlägigen früheren Verstoß durch die Beschuldigte (Art. 83 Abs. 2 lit. e DSGVO).Die Beschuldigte hat bereits einen Verstoß gegen die Mitwirkungspflicht nach Artikel 31, DSGVO begangen und war damit vorbestraft. Es handelt sich dabei um einen einschlägigen früheren Verstoß durch die Beschuldigte (Artikel 83, Absatz 2, Litera e, DSGVO). Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus bei der Strafzumessung Folgendes mildernd berücksichtigt: ● Die Beschuldigte hat im Rahmen des gegenständlichen Verwaltungsstrafverfahrens mitgewirkt und nunmehr auch jene Fragen beantwortet, welche im Rahmen der Mitwirkungspflicht im Sicherheitsverletzungs-Verfahren beantwortet hätten werden müssen, sodass dieses Verfahren mittlerweile endgültig abgeschlossen werden konnte (Art. 83 Abs. 2 lit. f DSGVO).Die Beschuldigte hat im Rahmen des gegenständlichen Verwaltungsstrafverfahrens mitgewirkt und nunmehr auch jene Fragen beantwortet, welche im Rahmen der Mitwirkungspflicht im Sicherheitsverletzungs-Verfahren beantwortet hätten werden müssen, sodass dieses Verfahren mittlerweile endgültig abgeschlossen werden konnte (Artikel 83, Absatz 2, Litera f, DSGVO). Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Verhängung der konkreten Strafe war jedenfalls im Sinne der Spezialprävention notwendig, um die Beschuldigte von der Begehung weiterer strafbarer Handlungen abzuhalten, da die Beschuldigte bereits vorbestraft war und trotzdem einen erneuten Verstoß begangen hat. Darüber hinaus war die Verhängung einer Geldstrafe auch im generalpräventiven Sinne erforderlich, um Verantwortliche und Auftragsverarbeiter insbesondere im Zusammenhang mit ihrer Mitwirkungspflicht nach Art. 31 DSGVO zu sensibilisieren.Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Verhängung der konkreten Strafe war jedenfalls im Sinne der Spezialprävention notwendig, um die Beschuldigte von der Begehung weiterer strafbarer Handlungen abzuhalten, da die Beschuldigte bereits vorbestraft war und trotzdem einen erneuten Verstoß begangen hat. Darüber hinaus war die Verhängung einer Geldstrafe auch im generalpräventiven Sinne erforderlich, um Verantwortliche und Auftragsverarbeiter insbesondere im Zusammenhang mit ihrer Mitwirkungspflicht nach Artikel 31, DSGVO zu sensibilisieren. Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 600,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 4 DSGVO (hier bis zu EUR 10.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Art. 83 Abs. 2 DSGVO tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens.Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 600,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 4, DSGVO (hier bis zu EUR 10.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Artikel 83, Absatz 2, DSGVO tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens. Ein (noch) niedrigerer Betrag würde im vorliegenden Fall den in Art. 83 Abs. 1 DSGVO normierten Kriterien für eine Geldbuße nicht mehr gerecht werden.Ein (noch) niedrigerer Betrag würde im vorliegenden Fall den in Artikel 83, Absatz eins, DSGVO normierten Kriterien für eine Geldbuße nicht mehr gerecht werden. European Case Law IdentifierECLI:AT:DSB:2024:2024.0.671.673
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.