← Österreich

{'item': '2024-0.641.771'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum16.10.2024 Geschäftszahl2024-0.641.771 Anfechtung beim BVwG/VwGH/VfGHDieses Straferkenntnis ist rechtskräftig. TextGZ: 2024-0.641

Art. 37

DSGVO, Rz 2).Artikel 37, DSGVO regelt, unter welchen Bedingungen der Verantwortliche und der Auftragsverarbeiter verpflichtend einen Datenschutzbeauftragten zu benennen haben. Artikel 37, DSGVO gilt dabei sowohl für Verantwortliche als auch Auftragsverarbeiter und zwar unabhängig voneinander vergleiche König in Knyrim,

Artikel 37, DSGVO, Rz 2).

Der Datenschutzbeauftragte bekleidet eine besondere Rolle innerhalb der Organisation der Verantwortlichen bzw. des Auftragsverarbeiters. Er muss stets bei datenschutzrechtlichen Fragestellungen eingebunden werden und muss über die notwendigen Ressourcen sowie Zugänge verfügen, um seine Aufgaben erfüllen zu können (siehe Art. 38 DSGVO). Die Aufgaben des Datenschutzbeauftragten sind in Art. 39 DSGVO normiert. Der Datenschutzbeauftragte ist für Aufsichtsbehörden eine „Anlaufstelle“ und ist zur „Zusammenarbeit mit der Aufsichtsbehörde“ verpflichtet (Art. 39 Abs. 1 lit. d und e DSGVO).Der Datenschutzbeauftragte bekleidet eine besondere Rolle innerhalb der Organisation der Verantwortlichen bzw. des Auftragsverarbeiters. Er muss stets bei datenschutzrechtlichen Fragestellungen eingebunden werden und muss über die notwendigen Ressourcen sowie Zugänge verfügen, um seine Aufgaben erfüllen zu können (siehe Artikel 38, DSGVO). Die Aufgaben des Datenschutzbeauftragten sind in Artikel 39, DSGVO normiert. Der Datenschutzbeauftragte ist für Aufsichtsbehörden eine „Anlaufstelle“ und ist zur „Zusammenarbeit mit der Aufsichtsbehörde“ verpflichtet (Artikel 39, Absatz eins, Litera d, und e DSGVO). Der Verantwortliche und der Auftragsverarbeiter haben auf jeden Fall einen Datenschutzbeauftragten zu benennen, „wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht“ (Art. 37 Abs. 1 lit. c DSGVO).Der Verantwortliche und der Auftragsverarbeiter haben auf jeden Fall einen Datenschutzbeauftragten zu benennen, „wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht“ (Artikel 37, Absatz eins, Litera c, DSGVO). In ErwG 97 ist dargelegt, dass sich die „Kerntätigkeit“ eines Verantwortlichen auf „seine Haupttätigkeiten und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit“ bezieht. Als „Kerntätigkeit“ lassen sich die wichtigsten Arbeitsabläufe betrachten, die zur Erreichung der Ziele des Verantwortlichen oder des Auftragsverarbeiters erforderlich sind. Gleichwohl sollte der Begriff „Kerntätigkeit“ nicht dahingehend interpretiert werden, dass sich dieser nicht auch auf Tätigkeiten erstreckt, bei denen die Verarbeitung von Daten einen untrennbaren Bestandteil der Tätigkeit des Verantwortlichen oder Auftragsverarbeiters darstellt (vgl. hierzu die Leitlinien der Art. 29-Datenschutzgruppe WP 243 rev.01, S. 8).In ErwG 97 ist dargelegt, dass sich die „Kerntätigkeit“ eines Verantwortlichen auf „seine Haupttätigkeiten und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit“ bezieht. Als „Kerntätigkeit“ lassen sich die wichtigsten Arbeitsabläufe betrachten, die zur Erreichung der Ziele des Verantwortlichen oder des Auftragsverarbeiters erforderlich sind. Gleichwohl sollte der Begriff „Kerntätigkeit“ nicht dahingehend interpretiert werden, dass sich dieser nicht auch auf Tätigkeiten erstreckt, bei denen die Verarbeitung von Daten einen untrennbaren Bestandteil der Tätigkeit des Verantwortlichen oder Auftragsverarbeiters darstellt vergleiche hierzu die Leitlinien der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, WP 243 rev.01, S. 8). Die Leitlinien zum Datenschutzbeauftragten der Art. 29-Datenschutzgruppe (WP 243 rev.01, abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html) nehmen zwar unter 2.1.3, Seite 9, in Fußnote 14 dazu Stellung, indem sie auf ErwG 91 verweisen und daraus ableiten, dass sich der Begriff auf „umfangreiche Verarbeitungsvorgänge […], die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, eine große Zahl von Personen betreffen könnten und - beispielsweise aufgrund ihrer Sensibilität - wahrscheinlich ein hohes Risiko mit sich bringen“ bezieht.Die Leitlinien zum Datenschutzbeauftragten der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, (WP 243 rev.01, abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html) nehmen zwar unter 2.1.3, Seite 9, in Fußnote 14 dazu Stellung, indem sie auf ErwG 91 verweisen und daraus ableiten, dass sich der Begriff auf „umfangreiche Verarbeitungsvorgänge […], die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, eine große Zahl von Personen betreffen könnten und - beispielsweise aufgrund ihrer Sensibilität - wahrscheinlich ein hohes Risiko mit sich bringen“ bezieht. Nähere Anhaltspunkte dazu, was unter einer „umfangreichen Datenverarbeitung“ zu verstehen ist, finden sich in Übereinstimmung mit den Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“, WP 248 Rev.01 (abrufbar unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_edsa.html, S.11), auf Seite 9 der Leitlinien zum Datenschutzbeauftragten: „In jedem Fall empfiehlt die WP29 die Berücksichtigung speziell folgender Faktoren, wenn ermittelt werden soll, ob die fragliche Verarbeitung in großem Umfang durchgeführt wird:

  1. a)die Zahl der betroffenen Personen – entweder als bestimmte Zahl oder als Anteil an der maßgeblichen Bevölkerung
  2. b)das Datenvolumen und/oder das Spektrum an in Bearbeitung befindlichen Daten
  3. c)die Dauer oder Permanenz der Datenverarbeitungstätigkeit
  4. d)die geografische Ausdehnung der Verarbeitungstätigkeit.“ Grobe Hinweise auf eine umfangreiche Verarbeitung können auch die Anzahl der Mitarbeiter geben (die mit der Verarbeitung personenbezogener Daten betraut sind) (vgl. Löffler in Knyrim, Datenschutzrecht, Rz 13.13). ErwGr 91 verneint eine „umfangreiche“ Verarbeitung personenbezogener Daten, wenn sie von einem einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs oder von einem einzelnen Rechtsanwalt vorgenommen wird.Grobe Hinweise auf eine umfangreiche Verarbeitung können auch die Anzahl der Mitarbeiter geben (die mit der Verarbeitung personenbezogener Daten betraut sind) vergleiche Löffler in Knyrim, Datenschutzrecht, Rz 13.13). ErwGr 91 verneint eine „umfangreiche“ Verarbeitung personenbezogener Daten, wenn sie von einem einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs oder von einem einzelnen Rechtsanwalt vorgenommen wird. Als Beispiele für den Anwendungsbereich des Art. 37 Abs. 1 lit. c DSGVO können Gesundheitseinrichtungen, Labors, Beratungsstellen, Opferschutzeinrichtungen sowie Einrichtungen zur Resozialisierung von Straftätern (zB Bewährungshilfe, Täterarbeit) genannt werden (vgl. Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 37 DSGVO, Rz 32).Als Beispiele für den Anwendungsbereich des Artikel 37, Absatz eins, Litera c, DSGVO können Gesundheitseinrichtungen, Labors, Beratungsstellen, Opferschutzeinrichtungen sowie Einrichtungen zur Resozialisierung von Straftätern (zB Bewährungshilfe, Täterarbeit) genannt werden vergleiche Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 37, DSGVO, Rz 32). Im Hinblick darauf, dass die Kerntätigkeit der Beschuldigten die eines „diagnostischen Labors“ im Zusammenhang mit der Covid-Pandemie in Österreich (konkret: im Bundesland Z***) war und zumindest im Winter 2021/22 täglich ca. 45.000 Einzel PCR-Analysen durchführte, sohin in der Verarbeitung einer großen Anzahl von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO, die Beschuldigte durchschnittlich 200 Mitarbeiter:innen beschäftigte sowie die Tätigkeitsbereiche der Beschuldigten aufgrund der steigenden Auftragslage im Laufe der Zeit umfangreicher wurden, muss zum Schluss gekommen werden, dass eine umfangreiche Verarbeitung besonderer Kategorien von Daten nach Art. 9 DSGVO besteht und deswegen verpflichtend ein Datenschutzbeauftragter bestellt werden muss. Dies wurde von der Beschuldigten im Laufe des Verfahrens auch nicht bestritten und wurde – wenngleich dieser der Datenschutzbehörde nicht angezeigt wurde – ein Datenschutzbeauftragter bestellt.Im Hinblick darauf, dass die Kerntätigkeit der Beschuldigten die eines „diagnostischen Labors“ im Zusammenhang mit der Covid-Pandemie in Österreich (konkret: im Bundesland Z***) war und zumindest im Winter 2021/22 täglich ca. 45.000 Einzel PCR-Analysen durchführte, sohin in der Verarbeitung einer großen Anzahl von Gesundheitsdaten nach Artikel 9, Absatz eins, DSGVO, die Beschuldigte durchschnittlich 200 Mitarbeiter:innen beschäftigte sowie die Tätigkeitsbereiche der Beschuldigten aufgrund der steigenden Auftragslage im Laufe der Zeit umfangreicher wurden, muss zum Schluss gekommen werden, dass eine umfangreiche Verarbeitung besonderer Kategorien von Daten nach Artikel 9, DSGVO besteht und deswegen verpflichtend ein Datenschutzbeauftragter bestellt werden muss. Dies wurde von der Beschuldigten im Laufe des Verfahrens auch nicht bestritten und wurde – wenngleich dieser der Datenschutzbehörde nicht angezeigt wurde – ein Datenschutzbeauftragter bestellt. Fraglich – und gegenständlich strittig – ist somit lediglich der Zeitraum in welchem die Verpflichtung zur Bestellung eines Datenschutzbeauftragten bestand. Wie aus den Feststellungen hervorgeht, hat die Beschuldigte ihre Gewerbeberechtigungen mit 26.02.2024 zurückgelegt, behauptet aber dass bereits ab Juni 2023 keine „operative Tätigkeit“ mehr bestanden habe und bringt sohin implizit vor, dass die Notwendigkeit der Benennung eines Datenschutzbeauftragten sohin mit Juni 2023 geendet habe. Der Terminus der „operativen Tätigkeit“ findet sich im österreichischen AIFMG, jedoch ohne eine gesetzliche Klarstellung, worum es sich dabei handelt. In der AIFMD wird dieses Kriterium als „allgemein-kommerzieller oder industrieller Zweck“ bezeichnet (vgl. Ley in Piska/Völkel, Blockchain rules, Rz 12.15). Die Notwendigkeit der Bestellung eines Datenschutzbeauftragten stellt jedoch ausschließlich auf die „Kerntätigkeit“ ab und nicht auf einen etwaigen kommerziellen oder industriellen Zweck. Vielmehr lässt sich aus den erworbenen Gewerbeberechtigungen in Zusammenschau mit dem Geschäftszweck die Haupttätigkeit ableiten. So soll gerade auch die kurze Bezeichnung des Geschäftszweigs nach eigener Angabe (§ 3 Abs 1 Z 5 FBG) den tatsächlichen Tätigkeitsbereich des Rechtsträgers umschreiben (vgl. Potyka in Straube/Ratka/Rauter, UGB I 4 § 3 FBG, Rz 6). Weshalb die Kerntätigkeit daher mit behauptetem Ende der operativen Geschäftstätigkeit nicht mehr bestehen sollte, ist nicht nachvollziehbar und gründet auf keiner gesetzlichen Grundlage.Der Terminus der „operativen Tätigkeit“ findet sich im österreichischen AIFMG, jedoch ohne eine gesetzliche Klarstellung, worum es sich dabei handelt. In der AIFMD wird dieses Kriterium als „allgemein-kommerzieller oder industrieller Zweck“ bezeichnet vergleiche Ley in Piska/Völkel, Blockchain rules, Rz 12.15). Die Notwendigkeit der Bestellung eines Datenschutzbeauftragten stellt jedoch ausschließlich auf die „Kerntätigkeit“ ab und nicht auf einen etwaigen kommerziellen oder industriellen Zweck. Vielmehr lässt sich aus den erworbenen Gewerbeberechtigungen in Zusammenschau mit dem Geschäftszweck die Haupttätigkeit ableiten. So soll gerade auch die kurze Bezeichnung des Geschäftszweigs nach eigener Angabe (Paragraph 3, Absatz eins, Ziffer 5, FBG) den tatsächlichen Tätigkeitsbereich des Rechtsträgers umschreiben vergleiche Potyka in Straube/Ratka/Rauter, UGB I 4 Paragraph 3, FBG, Rz 6). Weshalb die Kerntätigkeit daher mit behauptetem Ende der operativen Geschäftstätigkeit nicht mehr bestehen sollte, ist nicht nachvollziehbar und gründet auf keiner gesetzlichen Grundlage. Als Zwischenergebnis ist daher festzuhalten, dass jedenfalls im Zeitraum 19.02.2021 bis 26.02.2023 (in der Folge „Tatzeitraum“) von einer Verpflichtung zur Bestellung eines Datenschutzbeauftragten auszugehen war. Neben der verpflichteten Bestellung ist überdies zu berücksichtigen, dass bei der Benennung des Datenschutzbeauftragten den Voraussetzungen des Art. 38 DSGVO („Stellung des Datenschutzbeauftragten“) genüge getan wird. Insgesamt soll Art. 38 DSGVO den Datenschutzbeauftragten in die Lage versetzen, seine Aufgaben, wie bereits eingangs erwähnt, nicht nur unabhängig, sondern auch effektiv erfüllen zu können (vgl. König in Knyrim,

Art. 38DSGVO, Rz 1).

Neben der verpflichteten Bestellung ist überdies zu berücksichtigen, dass bei der Benennung des Datenschutzbeauftragten den Voraussetzungen des Artikel 38, DSGVO („Stellung des Datenschutzbeauftragten“) genüge getan wird. Insgesamt soll Artikel 38, DSGVO den Datenschutzbeauftragten in die Lage versetzen, seine Aufgaben, wie bereits eingangs erwähnt, nicht nur unabhängig, sondern auch effektiv erfüllen zu können vergleiche König in Knyrim,

Artikel 38, DSGVO, Rz 1).

Art. 38 Abs. 6 DSGVO statuiert, dass der Datenschutzbeauftragte andere Aufgaben und Pflichten wahrnehmen kann. Dabei hat der Verantwortliche oder der Auftragsverarbeiter aber sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen (vgl. König in Knyrim,

Art. 38DSGVO).

Wann ein solcher „Interessenkonflikt“ vorliegt, wird in der DSGVO selbst nicht definiert.Artikel 38, Absatz 6, DSGVO statuiert, dass der Datenschutzbeauftragte andere Aufgaben und Pflichten wahrnehmen kann. Dabei hat der Verantwortliche oder der Auftragsverarbeiter aber sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen vergleiche König in Knyrim,

Artikel 38, DSGVO).

Wann ein solcher „Interessenkonflikt“ vorliegt, wird in der DSGVO selbst nicht definiert. Allgemein können sich Interessenkonflikte einerseits aus der Art der Tätigkeit ergeben oder auch daraus, dass wegen weiterer Aufgaben und Pflichten keine Zeit mehr verbleibt, um die Aufgaben des Datenschutzbeauftragten nach Art. 39 DSGVO wahrzunehmen (vgl. König in Knyrim,

Art. 38

DSGVO, Rz 35).Allgemein können sich Interessenkonflikte einerseits aus der Art der Tätigkeit ergeben oder auch daraus, dass wegen weiterer Aufgaben und Pflichten keine Zeit mehr verbleibt, um die Aufgaben des Datenschutzbeauftragten nach Artikel 39, DSGVO wahrzunehmen vergleiche König in Knyrim,

Artikel 38, DSGVO, Rz 35). Der Eu

GH hat sich in der Rs EuGH C-453/21 vom 09.02.2023 bereits zur Frage geäußert, ob ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 S 2 vorliegt, wenn der Datenschutzbeauftragter zugleich das Amt des Vorsitzenden des in der verantwortlichen Stelle gebildeten Betriebsrats innehat und im Zuge dessen ausgeführt, dass „sich aus dem Wortlaut der Bestimmung erstens [ergibt], dass die Wahrnehmung der Aufgaben des Datenschutzbeauftragten und die Wahrnehmung anderer Aufgaben beim Verantwortlichen oder seinem Auftragsverarbeiter nach der DSGVO grundsätzlich nicht unvereinbar sind“, aber sichergestellt werden muss, dass diese anderen Aufgaben und Pflichten nicht zu einem „Interessenkonflikt“ führen. Angesichts der Bedeutung dieses Ausdrucks im gewöhnlichen Sprachgebrauch ist davon auszugehen, dass der Datenschutzbeauftragte entsprechend dem mit Art. 38 Abs. 6 DSGVO verfolgten Ziel nicht mit der Wahrnehmung von Aufgaben oder Pflichten betraut werden darf, die die Ausübung seiner Stellung als Datenschutzbeauftragter beeinträchtigen könnten. Dem Datenschutzbeauftragten dürfen somit keine Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlichen oder seinem Auftragsverarbeiter festzulegen, weil der Datenschutzbeauftragte die Überwachung dieser Zwecke und Mittel unabhängig durchführen können muss.Der EuGH hat sich in der Rs EuGH C-453/21 vom 09.02.2023 bereits zur Frage geäußert, ob ein Interessenkonflikt im Sinne von Artikel 38, Absatz 6, S 2 vorliegt, wenn der Datenschutzbeauftragter zugleich das Amt des Vorsitzenden des in der verantwortlichen Stelle gebildeten Betriebsrats innehat und im Zuge dessen ausgeführt, dass „sich aus dem Wortlaut der Bestimmung erstens [ergibt], dass die Wahrnehmung der Aufgaben des Datenschutzbeauftragten und die Wahrnehmung anderer Aufgaben beim Verantwortlichen oder seinem Auftragsverarbeiter nach der DSGVO grundsätzlich nicht unvereinbar sind“, aber sichergestellt werden muss, dass diese anderen Aufgaben und Pflichten nicht zu einem „Interessenkonflikt“ führen. Angesichts der Bedeutung dieses Ausdrucks im gewöhnlichen Sprachgebrauch ist davon auszugehen, dass der Datenschutzbeauftragte entsprechend dem mit Artikel 38, Absatz 6, DSGVO verfolgten Ziel nicht mit der Wahrnehmung von Aufgaben oder Pflichten betraut werden darf, die die Ausübung seiner Stellung als Datenschutzbeauftragter beeinträchtigen könnten. Dem Datenschutzbeauftragten dürfen somit keine Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlichen oder seinem Auftragsverarbeiter festzulegen, weil der Datenschutzbeauftragte die Überwachung dieser Zwecke und Mittel unabhängig durchführen können muss. Ob konkret ein „Interessenkonflikt“ iSv Art. 38 Abs. 6 DSGVO vorliegt, ist aber im Einzelfall auf der Grundlage einer Würdigung aller relevanten Umstände, insbesondere der Organisationsstruktur des Verantwortlichen oder seines Auftragsverarbeiters, und im Licht aller anwendbaren Rechtsvorschriften, einschließlich etwaiger interner Vorschriften des Verantwortlichen oder des Auftragsverarbeiters, festzustellen (vgl. Rs 40ff ebd).Ob konkret ein „Interessenkonflikt“ iSv Artikel 38, Absatz 6, DSGVO vorliegt, ist aber im Einzelfall auf der Grundlage einer Würdigung aller relevanten Umstände, insbesondere der Organisationsstruktur des Verantwortlichen oder seines Auftragsverarbeiters, und im Licht aller anwendbaren Rechtsvorschriften, einschließlich etwaiger interner Vorschriften des Verantwortlichen oder des Auftragsverarbeiters, festzustellen vergleiche Rs 40ff ebd). Auch, wenn das Vorliegen eines Interessenkonflikts stets auf Grundlage des konkreten Einzelfalls geprüft werden muss, gibt es Ämter und Positionen in Unternehmen, bei denen ein Interessenkonflikt auf Basis von Aufgaben und Pflichtenkreis regelmäßig anzunehmen sein wird (vgl. Brinkmann, Datenschutzbeauftragte und Interessenkonflikte - Die Gefahr der Unvereinbarkeit mit sonstigen Aufgaben und Ämtern, BB 2024, 54).Auch, wenn das Vorliegen eines Interessenkonflikts stets auf Grundlage des konkreten Einzelfalls geprüft werden muss, gibt es Ämter und Positionen in Unternehmen, bei denen ein Interessenkonflikt auf Basis von Aufgaben und Pflichtenkreis regelmäßig anzunehmen sein wird vergleiche Brinkmann, Datenschutzbeauftragte und Interessenkonflikte - Die Gefahr der Unvereinbarkeit mit sonstigen Aufgaben und Ämtern, BB 2024, 54). Das bedeutet, dass mit der Position des Datenschutzbeauftragten bestimmte Positionen im Unternehmen unvereinbar sein werden (vgl. König in Knyrim,

Art 38DSGVO, Rz 36).

Als Beispiele für derartige Positionen, bei denen Interessenskonflikte erwartet werden können, sind solche des leitenden Managements zu nennen, wie etwa in der Geschäftsführung, des Finanzvorstands und Abteilungsleiter (vgl. Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 38 DSGVO, Rz 35). Aber auch bei Beteiligungen am Unternehmenserfolg, also einem wirtschaftlichen Interesse des Datenschutzbeauftragten, bspw. als Gesellschafter, kann von einem Interessenskonflikt ausgegangen werden (vgl. Bergt in Kühling/Buchner, DSGVO Art. 38, Rz 41).Das bedeutet, dass mit der Position des Datenschutzbeauftragten bestimmte Positionen im Unternehmen unvereinbar sein werden vergleiche König in Knyrim,

Artikel 38, DSGVO, Rz 36).

Als Beispiele für derartige Positionen, bei denen Interessenskonflikte erwartet werden können, sind solche des leitenden Managements zu nennen, wie etwa in der Geschäftsführung, des Finanzvorstands und Abteilungsleiter vergleiche Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 38, DSGVO, Rz 35). Aber auch bei Beteiligungen am Unternehmenserfolg, also einem wirtschaftlichen Interesse des Datenschutzbeauftragten, bspw. als Gesellschafter, kann von einem Interessenskonflikt ausgegangen werden vergleiche Bergt in Kühling/Buchner, DSGVO Artikel 38,, Rz 41). Wird ein potentieller Interessenskonflikt identifiziert, ist durch entsprechende Maßnahmen sicherzustellen, dass ein solcher eben nicht eintritt. Abhängig von Gegenstand, Größe und Struktur einer Organisation, empfiehlt die Artikel-29-Datenschutzgruppe in ihren Leitlinien zum Datenschutzbeauftragten (WP 243 rev.01, abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html) auf Seite 19f zur Begegnung von „Interessenkonflikten“ in der Position des Datenschutzbeauftragten Folgendes: - „die Positionen zu benennen, die mit der Funktion eines DSB unvereinbar sind, - zur Vermeidung von Interessenkonflikten diesbezügliche interne Richtlinien aufzustellen - eine allgemeine Erläuterung potenzieller Interessenkonflikte vorzunehmen - zu erklären, dass sich der DSB in Bezug auf seine Funktion in keinem Interessenkonflikt befindet und auf diese Weise das Bewusstsein für diese Anforderung zu schärfen - in die internen Richtlinien der Einrichtung Sicherungsvorkehrungen aufzunehmen und dafür Sorge zu tragen, dass die Stellenausschreibung für die Position eines DSB bzw. der betreffende Dienstleistungsvertrag zwecks Vermeidung von Interessenkonflikten hinreichend genau und präzise formuliert wird. In diesem Zusammenhang ist zu beachten, dass Interessenkonflikte je nachdem, ob der DSB intern oder extern rekrutiert wird, unterschiedliche Formen annehmen können.“ Gegenständlich war die von der Beschuldigten als Datenschutzbeauftragter benannte Person ebenso handelsrechtlicher Geschäftsführer und sohin das zur Vertretung nach außen berufene Organ. Zudem war die benannte Person bis zum 17.02.2023 sogar Gesellschafter der Beschuldigten. Die benannte Person (der Geschäftsführer und Gesellschafter der Beschuldigten) war aufgrund ihrer Doppel- bzw. Dreifachrolle jedenfalls nicht als von der Beschuldigten unabhängige Stelle zu qualifizieren, welche die Aufgabe der Überwachung der Einhaltung der DSGVO sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen vornehmen konnte. Dadurch war eine von der Geschäftsführung vorzunehmende unabhängige Kontrolle durch den Datenschutzbeauftragten im vorliegenden Fall ausgeschlossen. Vielmehr lag eine Art der Selbstkontrolle vor, welche keiner unabhängigen objektiven Überprüfung eines Dritten zugänglich war. Das durch die Doppelrolle ein Interessenskonflikt bestand wurde von der Beschuldigten zuletzt auch nicht mehr bestritten, so führte diese am 03.09.2024 aus, dass dem Geschäftsführer der beschuldigten Person nicht bekannt war, dass ein Interessenkonflikt in dieser Konstellation vorliege. Wenngleich die Beschuldigte vermeint, dass gegenständlich die Möglichkeit aufgrund individueller Maßnahmen besteht, das Potential des Interessenkonflikts aufzulösen, so ist dem jedoch zu entgegen, dass gegenständlich eben keine – insbesondere nach außen wirksamen – Maßnahmen getroffen wurden. Rein das Vorbringen, dass beim Geschäftsführer ein entsprechendes datenschutzrechtliches Bewusstsein vorhanden sei, stellt keinesfalls eine derartige Maßnahme dar und ist im Ergebnis auch nicht überzeugend. Vielmehr sollte jedenfalls davon auszugehen sein, dass der Verantwortliche selbst ein datenschutzrechtliches Bewusstsein mit sich bringt. Der objektive Tatbestand ist daher erfüllt. 3.

  1. Zur subjektiven Tatseite Der EuGH hat, wie schon bereits von der Datenschutzbehörde in ihrer bisherigen Spruchpraxis angenommen, nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).Der EuGH hat, wie schon bereits von der Datenschutzbehörde in ihrer bisherigen Spruchpraxis angenommen, nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können vergleiche EuGH vom 05.12.2023, C-807/21, Rz 68). In Bezug auf die subjektive Tatseite ist jedoch zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH nämlich fest, dass den Mitgliedstaaten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Art. 83 Abs. 1 bis 6 DSGVO genau geregelt sind (vgl. hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff). Somit gelangt die (nationale) Bestimmung nach § 5 VStG in Bezug auf das Verschulden nicht zur Anwendung.In Bezug auf die subjektive Tatseite ist jedoch zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Artikel 83, DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH nämlich fest, dass den Mitgliedstaaten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Artikel 83, Absatz eins, bis 6 DSGVO genau geregelt sind vergleiche hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff). Somit gelangt die (nationale) Bestimmung nach Paragraph 5, VStG in Bezug auf das Verschulden nicht zur Anwendung. Zu der entscheidenden Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).Zu der entscheidenden Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76). Unter Verweis auf weitere Rechtsprechung stellte der EuGH zudem ausdrücklich klar, dass die Anwendung von Art. 83 DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt (vgl. EuGH vom 05.12.2023, C-807/21, Rz 77). Unter Verweis auf weitere Rechtsprechung stellte der EuGH zudem ausdrücklich klar, dass die Anwendung von Artikel 83, DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt vergleiche EuGH vom 05.12.2023, C-807/21, Rz 77). Überdies stellte der EuGH in Bezug auf die Haftung für Geldbußen nach Art. 83 DSGVO grundlegend fest, dass Verantwortliche „nicht nur geeignete und wirksame Maßnahmen treffen [müssen], sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen“ (EuGH C-807/21, Rn 38).Überdies stellte der EuGH in Bezug auf die Haftung für Geldbußen nach Artikel 83, DSGVO grundlegend fest, dass Verantwortliche „nicht nur geeignete und wirksame Maßnahmen treffen [müssen], sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Artikel 83, Absatz 4, bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Artikel 83, DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen“ (EuGH C-807/21, Rn 38). In Bezug auf den Verstoß gegen die Pflicht, dass der Verantwortliche oder Auftragsverarbeiter sicherstellt, dass bei der Wahrnehmung von anderen Aufgaben und Pflichten des Datenschutzbeauftragten keine Interessenskonflikte vorliegen, unterlag die Beschuldigte jedenfalls somit jedenfalls einer Erkundigungspflicht. In diesem Zusammenhang wird darauf hingewiesen, dass sich auf der Website der Datenschutzbehörde weitreichende Informationen zum Datenschutzbeauftragten finden (vgl. hierzu „www.dsb.gv.at“), im Besonderen wird auf den seitens der Datenschutzbehörde zur Verfügung gestellten „Leitfaden zur Verordnung (EU) 2016/679“ (abrufbar unter https://www.dsb.gv.at/recht-entscheidungen/gesetze-in-oesterreich.html) verwiesen. In diesem Zusammenhang wird darauf hingewiesen, dass sich auf der Website der Datenschutzbehörde weitreichende Informationen zum Datenschutzbeauftragten finden vergleiche hierzu „www.dsb.gv.at“), im Besonderen wird auf den seitens der Datenschutzbehörde zur Verfügung gestellten „Leitfaden zur Verordnung (EU) 2016/679“ (abrufbar unter https://www.dsb.gv.at/recht-entscheidungen/gesetze-in-oesterreich.html) verwiesen. Im Übrigen finden sich auf der Website des Europäischen Datenschutzausschuss umfassende Leitlinien zum Datenschutzbeauftragten („Leitlinien zum Datenschutzbeauftragten der Art. 29-Datenschutzgruppe (WP 243 rev.01), abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html“), welche in dieser Entscheidung bereits mehrfach zitiertet wurden. In diesen wird unter anderem ausführlich erklärt, wann von einem Interessenskonflikt auszugehen ist und welche Maßnahmen zur Begegnung eines Interessenskonflikts herangezogen werden können.Im Übrigen finden sich auf der Website des Europäischen Datenschutzausschuss umfassende Leitlinien zum Datenschutzbeauftragten („Leitlinien zum Datenschutzbeauftragten der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, (WP 243 rev.01), abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html“), welche in dieser Entscheidung bereits mehrfach zitiertet wurden. In diesen wird unter anderem ausführlich erklärt, wann von einem Interessenskonflikt auszugehen ist und welche Maßnahmen zur Begegnung eines Interessenskonflikts herangezogen werden können. Außerdem hat der Europäische Datenschutzausschuss auch einen Leitfaden für kleine und mittlere Unternehmen (KMUs) mit einer Reihe an Empfehlungen veröffentlicht und unter anderem auch konkret zur Rolle des Datenschutzbeauftragten (abrufbar in Deutsch unter: https://www.edpb.europa.eu/sme-data-protection-guide/data-protection-officer_de). Schließlich ist jedoch auch festzuhalten, dass sich bereits aus dem Wortlaut des Art. 38 Abs. 6 DSGVO unmissverständlich ergibt, dass der Verantwortliche sicherstellen muss, dass kein Interessenkonflikt in dieser Rolle vorliegt.Schließlich ist jedoch auch festzuhalten, dass sich bereits aus dem Wortlaut des Artikel 38, Absatz 6, DSGVO unmissverständlich ergibt, dass der Verantwortliche sicherstellen muss, dass kein Interessenkonflikt in dieser Rolle vorliegt. Die Beschuldigte handelte demnach jedenfalls schuldhaft, da sie sich mit ihren Verpflichtungen nicht auseinandersetzte, obwohl ihr dies zumutbar und möglich gewesen wäre. Dies wäre für die Beschuldigte ein Leichtes gewesen, denn behaupte diese ohnedies über ein entsprechendes datenschutzrechtliches Bewusstsein in Ausgestalt ihres Geschäftsführers zu verfügen. Die Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH jedenfalls über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN). So war die Beschuldigte zuletzt auch einsichtig und führte aus, dass der beschuldigten Person nicht bekannt gewesen sei, dass ein Interessenkonflikt in dieser Konstellation vorliege. Zudem erkannte die Beschuldigte den Vorwurf und entschuldigte sich hierfür.Die Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH jedenfalls über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN). So war die Beschuldigte zuletzt auch einsichtig und führte aus, dass der beschuldigten Person nicht bekannt gewesen sei, dass ein Interessenkonflikt in dieser Konstellation vorliege. Zudem erkannte die Beschuldigte den Vorwurf und entschuldigte sich hierfür. Es liegt somit im vorliegenden Fall jedenfalls Verschulden in Form von Fahrlässigkeit vor. Dadurch ist die subjektive Tatseite ebenfalls erfüllt.
  2. Zur Strafzumessung ist Folgendes festzuhalten: 4.
  3. Allgemeines zur Strafbemessung Gemäß Art. 83 Abs. 1 DSGVO hat die Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.Gemäß Artikel 83, Absatz eins, DSGVO hat die Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Artikel 83, Absatz 4, 5, und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Artikel 83, Absatz 2, DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind. Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht.Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht. Die Bestimmung nach § 19 Abs. 1 VStG gelangt nicht zur Anwendung, da die Strafbemessung ebenfalls abschließend durch Art. 83 Abs. 2 DSGVO geregelt wird und kein Ermessensspielraum für die Mitgliedstaaten bleibt (vgl. EuGH 05.12.23, C-807/21, Rn 45; siehe hierzu auch die rezente Entscheidung des BVwG vom 03.06.2024, GZ: W292 2282284-1).Die Bestimmung nach Paragraph 19, Absatz eins, VStG gelangt nicht zur Anwendung, da die Strafbemessung ebenfalls abschließend durch Artikel 83, Absatz 2, DSGVO geregelt wird und kein Ermessensspielraum für die Mitgliedstaaten bleibt vergleiche EuGH 05.12.23, C-807/21, Rn 45; siehe hierzu auch die rezente Entscheidung des BVwG vom 03.06.2024, GZ: W292 2282284-1). Gemäß Art. 83 Abs. 4 DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Abs. 2, Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.Gemäß Artikel 83, Absatz 4, DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Absatz 2,, Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist. Der Begriff Umsatz in Art. 83 Abs. 4, 5 und 6 DSGVO ist im Sinne des Art. 2 Z 5 der Richtlinie 2013/34/EU des Europäischen Parlaments und des Rates vom
  4. Juni 2013 über den Jahresabschluss, den konsolidierten Abschluss und damit verbundene Berichte von Unternehmen bestimmter Rechtsformen, zur Änderung der Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates und zur Aufhebung der Richtlinien 78/660/EWG und 83/349/EWG des Rates (im Folgenden „Richtlinie 2013/34/EU“) zu verstehen. Umsatz ist die Summe aller verkauften Waren und Dienstleistungen. Nettoumsatz ist der Betrag, der sich aus dem Verkauf von Produkten und der Erbringung von Dienstleistungen nach Abzug von Erlösschmälerungen und der Mehrwertsteuer (MwSt) sowie sonstigen direkt mit dem Umsatz verbundenen Steuern ergibt (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1, Rz 128 ff).Der Begriff Umsatz in Artikel 83, Absatz 4, 5, und 6 DSGVO ist im Sinne des Artikel 2, Ziffer 5, der Richtlinie 2013/34/EU des Europäischen Parlaments und des Rates vom
  5. Juni 2013 über den Jahresabschluss, den konsolidierten Abschluss und damit verbundene Berichte von Unternehmen bestimmter Rechtsformen, zur Änderung der Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates und zur Aufhebung der Richtlinien 78/660/EWG und 83/349/EWG des Rates (im Folgenden „Richtlinie 2013/34/EU“) zu verstehen. Umsatz ist die Summe aller verkauften Waren und Dienstleistungen. Nettoumsatz ist der Betrag, der sich aus dem Verkauf von Produkten und der Erbringung von Dienstleistungen nach Abzug von Erlösschmälerungen und der Mehrwertsteuer (MwSt) sowie sonstigen direkt mit dem Umsatz verbundenen Steuern ergibt vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1, Rz 128 ff). 4.
  6. In der Sache In Anbetracht der Fines-Leitlinien wird die Beschuldigte in Bezug auf ihren Umsatz, welchen diese für das Geschäftsjahr 2023 mit 4 Mio. EUR bezifferte und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße in die zweitniedrigste Kategorie („Unternehmen mit einem Umsatz von 2 Mio. EUR bis 10 Mio. EUR“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten. Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 4 DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (2% des Jahresumsatzes) gelangt nicht zur Anwendung.Der Strafrahmen im konkreten Fall reicht gemäß Artikel 83, Absatz 4, DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (2% des Jahresumsatzes) gelangt nicht zur Anwendung. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Art. 83 Abs. 2 lit. g DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) als niedrig („low level of seriousness“) angenommen.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Artikel 83, Absatz 2, Litera g, DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) als niedrig („low level of seriousness“) angenommen. Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die oben bereits für den Schweregrad berücksichtigten Kriterien) bei der Strafzumessung Folgendes mildernd berücksichtigt:  Die Beschuldigte hat bis dato keine einschlägigen Verstöße begangen und ist somit unbescholten (vgl. Art. 83 Abs. 2 lit. e DSGVO).Die Beschuldigte hat bis dato keine einschlägigen Verstöße begangen und ist somit unbescholten vergleiche Artikel 83, Absatz 2, Litera e, DSGVO).  Die Beschuldigte hat im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet. Die Beschuldigte räumte gegenüber der Datenschutzbehörde die Missachtung ihrer Verpflichtung ein (Geständnis) (vgl. Art. 83 Abs. 2 lit. f und lit. k DSGVO). Dies wurde besonders strafmildernd berücksichtigt.Die Beschuldigte hat im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet. Die Beschuldigte räumte gegenüber der Datenschutzbehörde die Missachtung ihrer Verpflichtung ein (Geständnis) vergleiche Artikel 83, Absatz 2, Litera f und Litera k, DSGVO). Dies wurde besonders strafmildernd berücksichtigt. Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Art. 38 DSGVO soll den Datenschutzbeauftragten in die Lage versetzen, seine Aufgaben nicht nur unabhängig, sondern auch effektiv zu erfüllen. Die Beschuldigte hat diese Bestimmung – wie oben ausgeführt – insofern verletzt, als diese nicht sicherstellte, dass der Datenschutzbeauftragte im Rahmen der Wahrnehmung anderer Aufgaben und Pflichten nicht in einen Interessenskonflikt führten. Die Verhängung der konkreten Geldstrafe war daher jedenfalls im Sinne der Generalprävention erforderlich, um Verantwortliche und Auftragsverarbeiter in diesem Zusammenhang mit ihrer Benennung eines Datenschutzbeauftragten zu sensibilisieren.Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Artikel 38, DSGVO soll den Datenschutzbeauftragten in die Lage versetzen, seine Aufgaben nicht nur unabhängig, sondern auch effektiv zu erfüllen. Die Beschuldigte hat diese Bestimmung – wie oben ausgeführt – insofern verletzt, als diese nicht sicherstellte, dass der Datenschutzbeauftragte im Rahmen der Wahrnehmung anderer Aufgaben und Pflichten nicht in einen Interessenskonflikt führten. Die Verhängung der konkreten Geldstrafe war daher jedenfalls im Sinne der Generalprävention erforderlich, um Verantwortliche und Auftragsverarbeiter in diesem Zusammenhang mit ihrer Benennung eines Datenschutzbeauftragten zu sensibilisieren. Die Datenschutzbehörde geht davon aus, dass die Beschuldigte es künftig unterlassen wird, neuerlich einen derartigen Verstoß zu begehen. Daher liegen nach Ansicht der Datenschutzbehörde keine spezialpräventiven Gründe vor. Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 5.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 4 DSGVO tat- und schuldangemessen. Ein (noch) niedrigerer Betrag würde den zentralen Kriterien des Art. 83 Abs. 1 DSGVO (wirksam, abschreckend und verhältnismäßig) nicht gerecht werden.Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 5.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 4, DSGVO tat- und schuldangemessen. Ein (noch) niedrigerer Betrag würde den zentralen Kriterien des Artikel 83, Absatz eins, DSGVO (wirksam, abschreckend und verhältnismäßig) nicht gerecht werden. European Case Law IdentifierECLI:AT:DSB:2024:2024.0.641.771

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.