Mit Straferkenntnis vom 23. Oktober 2019 sprach die Datenschutzbehörde aus, dass der Österreichischen Post AG als Verantwortliche im Sinn des Art. 4 Z 7 DSGVO
- die unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten im Sinn von Art. 9 DSGVO („Parteiaffinitäten“),
- die unrechtmäßige Weiterverarbeitung personenbezogener Daten,
- die Fehlerhaftigkeit der Datenschutz-Folgenabschätzung zur Anwendung „DAM-Zielgruppenadressen“ sowie
- die Fehlerhaftigkeit und Mangelhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit „DAM-Zielgruppenadressen“
zur Last gelegt werde.
Es wurde mit dem Straferkenntnis eine Geldstrafe von EUR 18.000.000,-- verhängt. Diese Strafe wurde vom BVwG am 26.11.2020 "behoben", dh der Bescheid aufgehoben und das Verfahren eingestellt, da keine natürliche Person im Straferkenntnis benannt wurde, die die Tat begangen hatte.
Die Datenschutzbehörde erhob eine außerordentliche Amtsrevision an den VwGH, der das Verfahren bis zur Entscheidung des EuGH iS "Deutsches Wohnen SE", C-807/21 ausgesetzt hatte. Da am 5.12.2023 die Entscheidung vom EuGH gefällt wurde, wird das Verfahren gegen die Österreichische Post nun fortgesetzt.
Seit der EuGH-Entscheidung vom 05.12.2023 ist klar, dass eine nationale Regelung, die vorsieht, dass der Verstoß (bei einer juristischen Person) zuvor einer identifizierten Person zuzurechnen ist, unangewendet bleiben muss, da dies in Art 83 DSGVO nicht vorgesehen ist. Eine derartige zusätzliche Anforderung kann unter Verstoß gegen Art. 83 Abs. 1 DSGVO die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden (Rn. 51 des Urteils).
Dennoch ist Voraussetzung für die Bestrafung einer juristischen Person, dass die Tat schuldhaft, dh vorsätzlich oder fahrlässig begangen wurde.
Das nächste Straferkenntnis in diesem Zusammenhang wird daher mit Spannung erwartet.
Kommentar schreiben