Der VwGH hat eine Entscheidung zur "Strafbarkeit der juristischen Person im Datenschutzrecht" gefällt.
Mag. Michael Suda (von der DSB) hat uns dazu einen Gastbeitrag zur Verfügung gestellt.
Verwaltungsgerichtshof stärkt Rechte juristischer Personen im Verwaltungsstrafverfahren
Der Autor dieses Gastbeitrags, der hauptberuflich als juristischer Referent für die Datenschutzbehörde tätig ist, betont, dass die folgenden Zeilen seine persönliche Meinung und nicht jene der Behörde darstellen.
Das Verfahren bisher
Der österreichische Verwaltungsgerichtshof (VwGH) hat kürzlich eine Entscheidung (Erkenntnis vom 12.5.2020, Ro 2019/04/0229) getroffen, die weitreichende Folgen für die Vollziehung der Strafbestimmungen der DSGVO (Art. 83 DSGVO) haben könnte.
Wie mehrfach (auch in diesem Blog) berichtet, hat die DSB rund vier Monate nach dem Wirksamwerden der DSGVO ihre erste größere Entscheidung als Verwaltungsstrafbehörde getroffen (Straferkenntnis vom 12.9.2018, DSB-D550.038/0003-DSB/2018). Darin wurde eine Geldstrafe bzw. Geldbuße in Höhe von € 4. 800,--,-- (zuzüglich 10 % Kostenbeitrag, dh € 480,--) über eine Gesellschaft m.b.H. (Beschuldigte) verhängt, also über eine juristische Person. Dieser wurden als Betreiberin eines Wett-Cafés insgesamt vier Verstöße gegen Bestimmungen der DSGVO und des DSG beim Betrieb einer Videoüberwachung (Bildverarbeitung) zur Last gelegt.
Das Straferkenntnis wurde von der Beschuldigten beim Bundesverwaltungsgericht (BVwG) bekämpft.
Dieses hat mit Erkenntnis vom 19.8.2019, W211 2208885-1/19E, das Straferkenntnis der DSB aufgehoben und das Strafverfahren eingestellt (Näheres dazu auch hier in diesem Blog).
DSB nannte keine konkrete Person für die Bestrafung
Tragender Grund dafür war, dass es die DSB im Verwaltungsstrafverfahren unterlassen habe, jeweils einen Tatvorwurf gemäß § 30 Abs. 1 und 2 DSG gegen konkrete Personen zu richten, denen ein maßgeblicher Einfluss auf die Geschäfte der Beschuldigten zukomme (Führungspersonen) und deren eigenes schuldhaftes Handeln (eigenes Tun, eigenes Unterlassen oder mangelnde Überwachung untergeordneter Mitarbeiter) sich die Beschuldigte zurechnen lassen müsse.
Das BVwG beruft sich dabei auf jüngste Rechtsprechung des VwGH zu § 99d des Bankwesengesetzes (BWG) (Erkenntnis vom 29.3.2019, Ro 2018/02/0023). § 99d BWG, der ebenfalls auf Unionsrecht (wenn auch auf einer Richtlinie und nicht auf einer unmittelbar anwendbaren Unions-Verordnung) basiert, ist die einzige mir bekannte Bestimmung im österreichischen Verwaltungsstrafrecht, die schon vor der DSGVO eine Strafbarkeit juristischer Personen (Verbandsverantwortlichkeit) vorgesehen hat.
Die DSB wandte sich an den Verwaltungsgerichtshof gegen diese Aufhebung des Straferkenntnisses
Die DSB hat die Sache daraufhin durch Einbringung der vom BVwG ausdrücklich zugelassenen Revision vor den VwGH gebracht.
Die DSB hat im entsprechenden Schriftsatz argumentiert, dass eine gegen eine juristische Personen verhängte Geldbuße nach Art. 83 DSGVO mit einer Geldbuße zu vergleichen sei, wie sie die Europäische Kommission etwa im Wettbewerbsrecht (nach Art. 15 der Verordnung Nr. 17/1962 bzw. Art. 23 der Verordnung Nr. 1/2003) verhängen könne, wobei es laut Rechtsprechung des EuGH (insbesondere Urteil vom 18.9 2003, C-33 8/00 P, Volkswagen/Kommission) in solchen Verfahren nicht erforderlich sei, einer konkret benannten natürlichen Person ein Fehlverhalten vorzuwerfen oder nachzuweisen.
Die DSB hat weiters vorgebracht, dass Art. 83 DSGVO ein Verbandsverantwortlichkeitsmodell „sui generis“ (Illibauer in Knyrim DatKomm Art 83 DSGVO (Stand 1.10.2018, rdb.at), Randnummer 20, mwN) vorsehe, die Strafbarkeit juristischer Personen abschließend regle, und § 30 DSG daher mangels einer entsprechenden Öffnungsklausel unangewendet bleiben müsse.
Man kann darüber hinaus sogar sagen, dass durch die Möglichkeit, Geldbußen gegen juristische Personen als Unternehmensträger an Stelle der handelnden Menschen zu verhängen, das Verfahren zur Verhängung von Sanktionen wegen unternehmerischen Verstößen gegen Datenschutzrecht gezielt vereinfacht und effizienter gestaltet werden sollte.
Die Entscheidung des VwGH
Der VwGH hat nun die Revision der DSB abgewiesen und die Rechtsansicht des BVwG bestätigt.
Der VwGH erklärt in den Entscheidungsgründen in ausdrücklicher Ablehnung des Vorbringens der DSB in der Revisionsschrift seine jüngste Rechtsprechung zu § 99d BWG auch im Hinblick auf § 30 DSG und Art. 83 DSGVO für relevant und die Rechtsprechung des EuGH zu wettbewerbsrechtlichen Geldbußen für nicht beachtlich (Entscheidungsgründe, Randnummer 24), da es sich bei den Geldbußen der DSGVO, anders als bei jenen des Wettbewerbsrechts der Union, eindeutig um Strafen handle.
Bemerkenswert ist vor allem, dass der VwGH diese weitreichende Entscheidung getroffen hat, ohne den EuGH um eine Auslegung des Art. 83 DSGVO, insbesondere im Zusammenwirken mit § 30 DSG zu ersuchen, obwohl das Unionsrecht verlangt, dass die Sanktionsbestimmungen der DSGVO in allen Mitgliedstaaten die gleichen Wirkungen entfalten müssen (DSGVO, ErwGr 150).
Ausdrückliche Erwägungen zur Frage einer Vorlage beim EuGH finden sich in den Entscheidungsgründen nicht. Die nur implizit ableitbare Begründung des VwGH, es handle sich um die Auslegung von Bestimmungen des nationalen Verfahrensrechts, und Art. 83 Abs. 8 DSGVO überlasse letzteres den Mitgliedstaaten, überzeugt nicht. Der VwGH betont nämlich selbst, dass § 30 DSG gerade nicht zum Verfahrensrecht gehört (siehe Entscheidungsgründe, Randnummer 16: „§ 30 Abs. 1 und 2 DSG beinhalten keine Verfahrensnormen, sondern an § 99d BWG orientierte Zurechnungsregeln für die Verhängung von Geldbußen nach der DSGVO gegen juristische Personen.“).
Es handelt sich demnach um anlässlich des Wirksamwerdens der DSGVO neu geschaffene Bestimmungen des materiellen österreichischen Datenschutz-Verwaltungsstrafrechts, die die Anwendung von Art. 83 DSGVO nachhaltig beeinflussen. Daher hätte der VwGH jedenfalls die von der DSB aufgeworfene Frage der Vereinbarkeit des § 30 DSG mit Unionsrecht meines Erachtens aufgreifen und gemäß Art. 267 AEUV dem EuGH zur Vorabentscheidung vorlegen müssen.
Die DSB wird sich wahrscheinlich nunmehr, auch über die Wirkungen des § 63 VwGG hinaus, an die Rechtsansicht des Höchstgerichts gebunden sehen.
Durch diese Rechtsprechung wird die Verfolgung juristischer Personen bei Verstößen gegen die DSGVO und das DSG erschwert, weil die DSB ab sofort immer
· Führungspersonen benennen,
· das ihnen vorgeworfene Verhalten umschreiben, und
· diese als Beschuldigte (zusätzlich zur juristischen Person) in das Strafverfahren einbeziehen muss.
Ein konkreter Tatvorwurf gegen einen Menschen macht einen deutlich höheren Ermittlungsaufwand notwendig, wobei in Rechnung zu stellen ist, dass im Verwaltungsstrafverfahren Art. 31 DSGVO (Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde) nicht anwendbar ist, und eine juristische Person als Trägerin eines größeren Unternehmens damit nicht verpflichtet ist, Einblick in innere Organisationsverhältnisse und Aufgabenverteilungen (etwa zwischen mehreren vertretungsbefugten Geschäftsführern oder Vorstandsmitgliedern) zu geben.
Autor: Michael Suda
08.06.2020
Kommentar schreiben