Die DSGVO statuiert eine Mitwirkungspflicht in Art.Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO.
Die DSB ist an sich sehr geduldig, aber letztlich dann auch Strafbehörde, und verhängte wegen Verletzung der Mitwirkungspflicht eine Geldstrafe von EUR 10.000,-- (7.12.2023, 2023-0.637.760, rechtskräftig). Dies bei einem Umsatz von ca. EUR 176 Mio.
_________________________________________________________________________________________
Aufforderungen und mangelnde Reaktion im Beschwerdeverfahren
Die Datenschutzbehörde forderte den Verantwortlichen mehrmals, konkret mit Schreiben vom:
17. November 2021 (erste Aufforderung zur Stellungnahme, GZ: D124.5263 - 2021-0.803.344), postalisch versendet am gleichen Tag an den Sitz der beschuldigten juristischen Person in „**** R***stadt, W***straße 1*-5*“,
11. April 2022 (erstes Urgenzschreiben, GZ: D124.5263 - 2022-0.260.991), versendet am gleichen Tag nachweislich per RSb an den Sitz der beschuldigten juristischen Person,
03. Juni 2022 (zweites Urgenzschreiben, GZ: D124.5263 - 2022-0.408.549), versendet am 09.06.2022 nachweislich per E-Mail an das E-Mail-Postfach des Datenschutzbeauftragten der Beschuldigten (Erwin.L***@***mail-it.org), zur Stellungnahme im Beschwerdeverfahren auf und wies dabei jedes Mal ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin.
Nach dem ersten Urgenzschreiben vom 11.04.2022 hat der zuständige Sachbearbeiter der Datenschutzbehörde am 03.06.2022 mit dem Datenschutzbeauftragten des Verantwortlichen telefoniert und ihn über das laufende Beschwerdeverfahren und die mangelnde Mitwirkung der Beschuldigten informiert. Dem Datenschutzbeauftragten wurde konkret mitgeteilt, dass die Datenschutzbehörde bereits zweimal die Beschuldigte zur Stellungnahme aufgefordert hat und bis zum 03.06.2022 noch keine Stellungnahme eingelangt ist.
Der Datenschutzbeauftragte führte hierzu ins Treffen, dass es hausinterne Probleme mit der Weiterleitung gab und dass die Datenschutzbehörde ihm die Aufforderung zur Stellungnahme unmittelbar per E-Mail zusenden soll (Erwin.L***@***mail-it.org). Daraufhin wurde am 09.06.2022 die Aufforderung zur Stellungnahme an die angegebene E-Mail-Adresse zugestellt.
Das Verwaltungsstrafverfahren
Erst nach Einleitung des Verwaltungsstrafverfahrens reagierte der Verantwortliche und hat umfassende "Verbesserungsmaßnahmen" in Bezug auf Datenschutzmanagement im Unternehmen gesetzt.
Der Verantwortliche erzielte einen Jahresumsatz in der Höhe von insgesamt EUR 176.*88.4*1,34.
Der Verantwortliche beantragte im laufenden Verfahren die Einstellung, in eventu eine Verwarnung.
"2.5. Zum Antrag der Beschuldigte auf Einstellung gemäß § 45 Abs. 1 Z 4 VStG Die Beschuldigte räumte im Rahmen ihrer schriftlichen Rechtfertigung den Tatvorwurf vollumfänglich ein, beantragte jedoch die Einstellung des Verfahrens nach § 45 Abs. 1 Z 4 VStG oder in eventu gemäß § 11 DSG „bloß eine Verwarnung“ auszusprechen und führte hierzu die festgestellten Maßnahmen, die in Reaktion auf das Verwaltungsstrafverfahren von ihr ergriffen wurden, ins Treffen.
Im konkreten Fall sei die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat sowie das Verschulden der Beschuldigten gering. Eine Geldbuße sei jedenfalls nicht aus spezialpräventiven Gründen erforderlich.
Dieser Ansicht kann nicht gefolgt werden und wird Nachstehend näher beleuchtet: In Bezug auf die Anwendung des § 11 DSG ist zunächst darauf hinzuweisen, dass das BVwG bereits festgestellt hat, dass aus § 11 DSG kein Vorrang einer Verwarnung entnommen werden kann und führte hierzu konkret aus: „Ein Vorrang des Vorgehens nach § 11 DSG lässt sich der Systematik und dem Anwendungsvorrang der DSGVO jedenfalls nicht entnehmen; betreffend einen möglichen Versuch, die belangte Behörde (oder das Gericht) über die DSGVO hinaus zu binden, fehlt es an einer entsprechenden Öffnungsklausel bzw. Ermächtigung in der DSGVO“ (vgl. BVwG vom 2. März 2020, GZ: W211 2217212-1).
In Bezug auf die Einstellung des Verwaltungsstrafverfahrens nach § 45 Abs. 1 Z 4 VStG oder die Erteilung einer Ermahnung mittels Bescheid statt einer Einstellung (§ 45 Abs. 1 letzter Satz VStG) kann zunächst auf die Voraussetzungen und die hierzu ergangene Judikatur des Verwaltungsgerichtshofs (VwGH) hingewiesen werden:
Nach der ständigen Rsp des VwGH setzt die Anwendung des § 45 Abs. 1 Z 4 VStG voraus, dass die dort genannten Umstände kumulativ vorliegen.
Um daher eine Einstellung des Verfahrens nach dieser Vorschrift oder eine Ermahnung im Sinne des § 45 Abs. 1 letzter Satz VStG vornehmen zu können, müssen erstens die Bedeutung des strafrechtlich geschützten Rechtsgutes, zweitens die Intensität seiner Beeinträchtigung durch die Tat und drittens das Verschulden des Beschuldigten gering sein (VwGH 25.04.2019, Ra 2018/09/0209).
Bei der Bedeutung des strafrechtlich geschützten Gutes kommt es auf die abstrakte Bedeutung desselben an. Wenn das geschützte Rechtsgut (besonders) bedeutsam ist, scheidet daher eine Einstellung oder eine Ermahnung aus. Selbst wenn also der schädigende Erfolg im Wesentlichen ausgeblieben ist, kann – selbst bei geringem Verschulden – die Z 4 nicht angewendet werden, wenn das geschützte Rechtsgut abstrakt (besonders) bedeutsam ist (VwGH 18.12.2018, Ra 2016/04/0148; Kneihs in Raschauer/Wessely, VStG², § 45 Rz 8).
Die Bestimmungen der DSGVO dienen nach Art. 1 Abs. 1 DSGVO zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten und zum freien Verkehr solcher Daten. Nach Abs. 2 sollen insbesondere die Grundrechte und Grundfreiheiten natürlicher Personen (insbesondere deren Recht auf Schutz personenbezogener Daten) geschützt werden.
Im konkreten Fall sind im Kern die Rechtsbehelfe von Betroffenen bzw. das Recht auf eine Beschwerde bei einer Aufsichtsbehörde betroffen. Die mangelnde Mitwirkung der Verantwortlichen am Verfahren verzögert insbesondere das Beschwerdeverfahren und schränkt die Betroffene in ihrem Recht ein.
Die Behandlung einer Beschwerde im Sinne einer Stattgabe durch die DSB „a limine“ ohne Involvierung des Verantwortlichen bzw. Einräumung von Parteiengehör ist – entgegen dem Vorbringen der Beschuldigten - denkunmöglich und verfahrensrechtlich unzulässig. Außerdem ist die Behörde, wie bereits ausgeführt, verpflichtet, den tatsächlichen Sachverhalt von Amts wegen zu ermitteln und ist nicht an das Vorbringen der Parteien in einem kontradiktorischen Verfahren gebunden. Selbst wenn daher im Zuge der Beschwerde Beilagen/Beweismittel von der Betroffenen übermittelt werden, kann die DSB nicht per se die Richtigkeit und Echtheit der Beilagen annehmen, insbesondere da sie die näheren Umstände im Zusammenhang mit der behaupteten/vorgeworfenen Verarbeitung nicht kennt.
Im Zusammenhang mit den Voraussetzungen für eine Einstellung/Ermahnung nach § 45 Abs. 1 Z 4 VStG ist auch die Rechtsprechung des VwGH zu berücksichtigen, die betreffend Bedeutung des strafrechtlich geschützten Rechtsgutes auf die vom Gesetzgeber festgelegten Strafrahmen abstellt. Die Wertigkeit eines Rechtsgutes, das durch Zuwiderhandlung gegen eine Norm beeinträchtigt/verletzt wurde, findet demnach ihren Ausdruck auch in der Höhe des gesetzlichen Strafrahmens, der für entsprechende Zuwiderhandlungen vom Gesetzgeber festgelegt wurde. Der VwGH ging dabei in Bezug auf § 99 Abs. 3 lit. a StVO (bei einem Strafrahmen für eine Geldstrafe bis zu EUR 726,-) davon aus, dass die Bedeutung des strafrechtlich geschützten Rechtsgutes nicht gering ist (vgl. VwGH vom 19.06.2018, Ra 2017/02/0102). Im vorliegenden Fall hat der Unionsgesetzgeber - aufgrund der Bedeutung der Mitwirkung von Verantwortlichen in Zusammenschau mit der Systematik der DSGVO (Art. 5 Abs. 2 DSGVO) - die Verpflichtung nach Art. 31 DSGVO in den Katalog der strafbewehrten Bestimmungen der Verordnung gemäß Art. 83 Abs. 4 lit. a DSGVO aufgenommen und für Zuwiderhandlungen eine Geldbuße von bis zu EUR 10.000.000 oder 2% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen. Es kann daher keinesfalls im vorliegenden Fall die Wertigkeit des von der Missachtung des Art. 31 DSGVO geschützten Rechtsgutes als gering eingestuft werden.
Es scheitert somit bereits an der ersten Voraussetzung. Es kann im Ergebnis nicht davon ausgegangen werden, dass die Bedeutung des hier strafrechtlich geschützten Rechtsgutes gering ist. Es besteht jedenfalls ein abstrakt hohes Interesse. Ob die Intensität seiner Beeinträchtigung durch die Tat und das Verschulden des Beschuldigten gering sind, ist somit nicht relevant und kann daher auch nicht zur Einstellung des Verfahrens nach § 45 Abs. 1 Z 4 VStG führen.
Selbst wenn die Bedeutung des geschützten Rechtsgutes als gering eingestuft werden würde, wäre für die Beschuldigte - unter Berücksichtigung der subjektiven Tatseite - nichts gewonnen (kein geringes Verschulden).
Die DSB informierte den DSBA der Beschuldigten über das laufende Beschwerdeverfahren und die bis dato mangelnde Mitwirkung. Der DSBA hat es in Folge dennoch unterlassen, die Angelegenheit weiter zu verfolgen, indem er nicht die Rechtsabteilung der Beschuldigten zumindest darüber informierte oder insbesondere nicht einem Vorstandsmitglied darüber berichtete.
Dabei ist im Zusammenhang mit der Stellung des DSBA zu berücksichtigen, dass gemäß Art. 38 Abs. 3 dritter Satz DSGVO dieser unmittelbar der höchsten Managementebene des Verantwortlichen berichten muss. Der DSBA hat jedoch trotz der Kenntnis über die mangelnde Mitwirkung der Beschuldigten und der Möglichkeit der Einleitung eines Verwaltungsstrafverfahrens offenbar keine weiteren Maßnahmen getroffen. Aber auch aufgrund der Tatsache, dass die Vorstandsmitglieder in Bezug auf die Erfassung und Weiterleitung von behördlichen Schriftstücken kein wirksames Kontrollsystem eingerichtet und erst nach Einleitung des gegenständlichen Verfahrens die Implementierung eines „Sicherheitssystems“ beschlossen haben, kann keinesfalls ein geringes Verschulden angenommen werden. Es liegt, wie im Rahmen der subjektiven Tatseite festgehalten, zumindest bedingter Vorsatz vor, da die Beschuldigte bzw. ihre Angestellten trotz der Information über die mangelnde Mitwirkung der Beschuldigten im Rahmen eines anhängigen Beschwerdeverfahrens unter Verweis auf die Mitwirkungspflicht auf Art. 31 DSGVO es ernstlich für möglich gehalten haben, dass sie im Falle der (weiteren) mangelnden Mitwirkung eine Verwaltungsübertretung begehen und in Folge ein Verwaltungsstrafverfahren eingeleitet wird, und sich mit dem Risiko bzw. den Folgen jedoch offenbar abgefunden haben. Daher scheitert es im Ergebnis auch daran, dass im vorliegenden Fall kein geringes Verschulden angenommen werden kann."
Zur Strafhöhe (ca 0,1% des Jahresumsatzes)
"Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 10.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 4 DSGVO (hier bis zu EUR 10.000.000) in Zusammenschau mit dem erzielten Jahresumsatz der Beschuldigten in der Höhe von circa EUR 176 Millionen tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens (0,1% des Strafrahmens!). In diesem Zusammenhang kann abschließend noch darauf hingewiesen werden, dass die DSB, wie bereits oben angegeben, die Schwere der Zuwiderhandlung mit „gering“ festgelegt und im Rahmen dieser Kategorie den Ausgangsbetrag für die weitere Berechnung ebenfalls am untersten Ende angesetzt hat.
Kommentar schreiben