TE Vwgh Erkenntnis 2015/3/5 Ro 2015/02/0003

Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Beck und die Hofräte Mag. Dr. Köller, Dr. Lehofer, Dr. N. Bachler sowie die Hofrätin Mag. Dr. Mauer-Kober als Richter, im Beisein der Schriftführerin Mag. Farcas-Hutchinson, über die Revision der Mag. S in W, vertreten durch die Dorda Brugger Jordis Rechtsanwälte GmbH in 1010 Wien, Universitätsring 10, gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 20. Oktober 2014, Zl. W172 2000394- 1/11E, betreffend Übertretung des Investmentfondsgesetzes 2011 (Partei gemäß § 21 Abs. 1 Z 2 VwGG: Finanzmarktaufsichtsbehörde), zu Recht erkannt:

Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit des Inhaltes aufgehoben.

Der Bund hat der Revisionswerberin Aufwendungen in der Höhe von EUR 1.346,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.

Mit dem angefochtenen Erkenntnis hat das Verwaltungsgericht der Revisionswerberin als Geschäftsführerin der S Invest GmbH, einer konzessionierten Kapitalanlagegesellschaft (KAG), vorgeworfen, sie habe in dieser Funktion gemäß § 9 Abs. 1 VStG zu verantworten, dass es die S Invest GmbH

"1) von 01.09.2011 bis 24.10.2012 unterlassen hat, bei der elektronischen Datenverarbeitung für ein hohes Maß an Sicherheit und für die Integrität und vertrauliche Behandlung der aufgezeichneten Daten zu sorgen.

Dies dadurch, dass bei der S Invest GmbH von 01.09.2011 bis 24.10.2012 keine Regelungen und Beschränkungen bezüglich des Zugriffs auf EDV-Systeme (z.B. das Kernbankensystem TAMBAS) bestanden, welche u.a. Portfoliogeschäfte sowie Zeichnungs- und Rücknahmeaufträge für all jene Kapitalanlagefonds aufzeichnen, für die die S Privatbank AG als Depotbank iSd InvFG 2011 bestellt wurde. Da die EDV-Systeme auch von der S Privatbank AG und der S Invest GmbH verwendet werden, war nicht gewährleistet, dass die Mitarbeiter der S Invest GmbH nur Zugriff auf die Daten der eigenen verwalteten Kapitalanlagefonds hatten. Vielmehr waren sämtlichen Mitarbeitern der S Invest GmbH neben den eigenen verwalteten Kapitalanlagefonds - mangels Beschränkung der Zugriffsmöglichkeiten - auch elektronische Daten betreffend Portfolio-Geschäfte sowie Zeichnungs- und Rücknahmeaufträge von Kapitalanlagefonds anderer Kapitalanlagegesellschaften, nämlich all jener Kapitalanlagefonds, für die die S Privatbank AG als Depotbank mit der Ausgabe und Rücknahme von Anteilen bestellt wurde, zugänglich."

Die Revisionswerberin habe dadurch § 12 Abs. 2 InvFG 2011 iVm § 190 Abs. 2 Z 3 InvFG 2011verletzt, wofür über sie eine Strafe von EUR 3.000,-- (Ersatzfreiheitsstrafe 13 Stunden) verhängt wurde.

Nach Wiedergabe des Inhalts der Beschwerde der Revisionswerberin sowie der Angaben der vom Verwaltungsgericht befragten Personen, stellte das Verwaltungsgericht - soweit wesentlich - fest, die S Invest GmbH habe die S Privatbank AG, eine Gesellschafterin der S Invest GmbH, als Depotbank für eine Vielzahl von Kapitalanlagefonds mit Ausgabe und Rücknahme von Anteilen beauftragt. Die S Invest GmbH sei als Kapitalanlagegesellschaft bei knapp 190 Fonds tätig. Jeder Mitarbeiter der S Invest GmbH habe Zugang zum Kernbankensystem TAMBAS in verschiedenen Stufen und Wertigkeiten gehabt. Für Mitarbeiter habe es eine EDV-Richtlinie gegeben, in der auf die Vertraulichkeit der Daten und unterschiedliche Verpflichtungen nach dem BWG hingewiesen worden sei. Eine derartige Erklärung zur Datensicherheit sei zu unterschreiben gewesen. Die Freigabe von bestimmten Eingaben sei an eine bestimmte Position und Funktion gebunden gewesen. Jeder Mitarbeiter, so auch die Mitglieder der Geschäftsleitung, hätten entsprechend ihrer Aufgabenbereiche das System genutzt, um Informationen über die von der S Invest GmbH verwalteten Investmentfonds zu erhalten. Die Zugriffe seien aufgezeichnet worden, sodass im TAMBAS nachvollziehbar gewesen sei, wann ein Mitarbeiter zugegriffen habe. Die S Invest GmbH habe aber lediglich kontrolliert, ob die EDV, "deren betreffenden Dienstleistungen an die S Privatbank AG delegiert waren", den Mitarbeiter als der S Invest GmbH angehörig angelegt habe und die Mitarbeiter mit diesem System hätten arbeiten können bzw. die für ihre Arbeit notwendigen Zugriffe gehabt hätten. Darüber hinaus habe es keine Kontrollen gegeben, wie stichprobenartige Überprüfungen, ob Mitarbeiter entsprechend ihren Berechtigungen auf Kundendaten zugegriffen hätten bzw. was jeder Mitarbeiter der S Invest GmbH potenziell habe machen können. Nur die S Privatbank AG habe derartige Kontrollmechanismen eingerichtet, sodass die S Invest GmbH nur durch Mitteilung der Depotbank von einem solchen pflichtwidrigen Verhalten hätte erfahren können.

In rechtlicher Hinsicht sah das Verwaltungsgericht den Tatbestand des § 12 Abs. 2 InvFG verwirklicht, weil durch den von der S Privatbank AG als Depotbank der S Invest GmbH ermöglichten technischen Zugriff auf Daten von Investmentfonds anderer KAGen nicht nur die Interessen von Anteilsinhabern, also von Kunden anderer KAGen, sondern auch von Marktkonkurrenten betroffen seien. Somit sei auch die Integrität und Funktionsfähigkeit des Marktes überhaupt, dessen Aufrechterhaltung und Gewährleistung ein wesentlicher Teil des InvFG 2011 darstelle, angesprochen. Durch die strengen Vorgaben an die Datensicherheit durch § 12 Abs. 2 InvFG 2011 sei der technisch mögliche unumschränkte Zugang der Mitarbeiter der S Invest GmbH zum Kernbankensystem TAMBAS der S Privatbank AG zu Kundendaten Dritter jedenfalls ein Verstoß gegen die in dieser Regelung auferlegte Verpflichtung.

Gegen dieses Erkenntnis richtet sich die Revision wegen Rechtswidrigkeit des Inhaltes.

Die Finanzmarktaufsichtsbehörde hat eine Revisionsbeantwortung erstattet und die kostenpflichtige Zurück- bzw. Abweisung der Revision beantragt.

Die Revisionswerberin hat einen weiteren Schriftsatz eingebracht, in dem sie die Einstellung des Verfahrens beantragt.

Das Verwaltungsgericht hat die Akten des Verfahrens vorgelegt.

Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 2 VwGG gebildeten Senat erwogen:

Zum Einwand, das erstinstanzliche Straferkenntnis sei wegen Ablaufs der 15-Monatsfrist gemäß § 51 Abs. 7 VStG bzw. § 43 Abs. 1 VwGVG außer Kraft getreten:

Gemäß § 43 Abs. 1 VwGVG tritt ein Straferkenntnis, wenn seit dem Einlangen einer rechtzeitig eingebrachten und zulässigen Beschwerde des Beschuldigten bei der Behörde 15 Monate vergangen sind, von Gesetzes wegen außer Kraft; das Verfahren ist einzustellen.

§ 43 VwGVG ist dahin auszulegen, dass ein (früher: erstinstanzliches) verwaltungsbehördliches Straferkenntnis außer Kraft tritt, wenn seit Einlangen der nun als Beschwerde zu beurteilenden (rechtzeitig eingebrachten und zulässigen) Berufung 15 Monate vergangen sind. Für das Einhalten dieser Frist ist die Zustellung des Erkenntnisses des Verwaltungsgerichtes spätestens am letzten Tag der Frist zumindest an eine der Parteien erforderlich (vgl. das Erkenntnis vom 26. August 2014, Ro 2014/02/0106).

Die für die Berechnung der in Rede stehenden Frist maßgebenden §§ 32 und 33 AVG (vgl. § 38 VwGVG iVm § 24 VStG) lauten:

"§ 32. (1) Bei der Berechnung von Fristen, die nach Tagen bestimmt sind, wird der Tag nicht mitgerechnet, in den der Zeitpunkt oder das Ereignis fällt, wonach sich der Anfang der Frist richten soll.

(2) Nach Wochen, Monaten oder Jahren bestimmte Fristen enden mit dem Ablauf desjenigen Tages der letzten Woche oder des letzten Monats, der durch seine Benennung oder Zahl dem Tag entspricht, an dem die Frist begonnen hat. Fehlt dieser Tag im letzten Monat, so endet die Frist mit Ablauf des letzten Tages dieses Monats.

§ 33. (1) Beginn und Lauf einer Frist werden durch Samstage, Sonntage oder gesetzliche Feiertage nicht behindert.

(2) Fällt das Ende einer Frist auf einen Samstag, Sonntag, gesetzlichen Feiertag, Karfreitag oder 24. Dezember, so ist der nächste Tag, der nicht einer der vorgenannten Tage ist, als letzter Tag der Frist anzusehen.

(3) Die Tage von der Übergabe an einen Zustelldienst im Sinne des § 2 Z 7 des Zustellgesetzes zur Übermittlung an die Behörde bis zum Einlangen bei dieser (Postlauf) werden in die Frist nicht eingerechnet.

(4) Durch Gesetz oder Verordnung festgesetzte Fristen können, wenn nicht ausdrücklich anderes bestimmt ist, nicht geändert werden."

Im Revisionsfall wurde die Revisionswerberin mit Straferkenntnis der Finanzmarktaufsichtsbehörde vom 27. Juni 2013 mehrerer Übertretungen des InvFG 2011 schuldig erkannt. Die dagegen von der Revisionswerberin erhobene Berufung vom 18. Juli 2013 langte am 19. Juli 2013 bei der Finanzmarktaufsichtsbehörde ein. Die Frist des § 43 Abs. 1 VwGVG endete somit am 19. Oktober 2014.

Mit dem angefochtenen Erkenntnis vom 20. Oktober 2014 hat das Verwaltungsgericht der als Beschwerde zu wertenden Berufung hinsichtlich Spruchpunkt I.1) des Straferkenntnisses vom 27. Juni 2013 keine Folge gegeben und das Straferkenntnis der Finanzmarktaufsichtsbehörde in diesem Punkt bestätigt (hinsichtlich der übrigen Spruchpunkte wurde das Verfahren mit Beschluss des Verwaltungsgerichtes vom 22. Dezember 2014 eingestellt). Das Erkenntnis vom 20. Oktober 2014 wurde nach der Aktenlage der Finanzmarktaufsichtsbehörde am 20. Oktober 2014 und der Revisionswerberin am 22. Oktober 2014 jeweils durch Übernahme zugestellt.

Der 19. Oktober 2014 war ein Sonntag, sodass gemäß § 33 Abs. 2 AVG der nächste Tag, somit der 20. Oktober 2014, als letzter Tag der 15-Monatsfrist anzusehen ist. Durch die Zustellung des Erkenntnisses vom 20. Oktober 2014 an die Finanzmarktaufsichtsbehörde am selben Tag wurde die Frist des § 43 Abs. 1 VwGVG gewahrt. Das Straferkenntnis der Finanzmarktaufsichtsbehörde vom 27. Juni 2013 ist demnach nicht außer Kraft getreten.

Zur Hauptsache:

§ 12 InvFG 2011, BGBl. Nr. 77/2011, in Kraft getreten am 1. September 2011, lautet:

"Elektronische Aufzeichnungen

§ 12. (1) Die Verwaltungsgesellschaft hat angemessene Vorkehrungen für geeignete elektronische Systeme zu treffen, um eine zeitnahe und ordnungsgemäße Aufzeichnung jedes Portfoliogeschäfts und jedes Zeichnungs- oder Rücknahmeauftrags und damit die Einhaltung der §§ 19, 20 und 31 bis 33 zu ermöglichen.

(2) Die Verwaltungsgesellschaft hat bei der elektronischen Datenverarbeitung für ein hohes Maß an Sicherheit und für die Integrität und vertrauliche Behandlung der aufgezeichneten Daten zu sorgen. Die datenschutzrechtlich relevanten Bestimmungen (§14 DSG 2000-Datensicherheitsmaßnahmen) sind einzuhalten.

(3) Für den Fall, dass die Verwaltungsgesellschaft gemäß § 5 Abs. 5 die Depotbank mit den Aufgaben der Ausgabe und Rücknahme von Anteilen beauftragt hat, sind die Pflichten gemäß Abs. 1 und 2 im Hinblick auf § 20 von der Depotbank einzuhalten."

Nach den Erläuterungen (vgl. RV 1254 BlgNR XXIV GP) setzt § 12 InvFG 2011 Art. 7 der Richtlinie 2010/43/EU um, wonach die Verwaltungsgesellschaft im Hinblick auf sichere Datenverarbeitungsverfahren und die Dokumentationspflicht für alle OGAW-Transaktionen (gemäß § 2 Abs. 1 InvFG 2011 ist OGAW ein Organismus zur gemeinsamen Veranlagung in Wertpapieren) über Vorkehrungen zu verfügen hat, die eine zeitnahe und ordnungsgemäße Aufzeichnung aller für OGAW ausgeführten Transaktionen ermöglichen (so auch der Erwägungsgrund 8 der Richtlinie 2010/43/EU).

In den Erläuterungen wird klargestellt, dass die Aufzeichnungspflicht gemäß § 12 Abs. 1 InvFG 2011 für jedes Portfoliogeschäft und jeden Zeichnungs- oder Rücknahmeauftrag gelten soll, somit für alle Geschäfte und Aufträge, die von der Verwaltungsgesellschaft selbst abgewickelt werden (vgl. §§ 19 und 20 InvFG). Die Aufzeichnung dieser Transaktionen soll in erster Linie Dokumentationszwecken dienen (vgl. § 21 InvFG).

Die Sicherheit der Aufzeichnung und der Verarbeitung der aufgezeichneten Daten ist durch die Verwaltungsgesellschaft zu gewährleisten. Zu diesem Zweck hat die Verwaltungsgesellschaft nach § 12 Abs. 2 InvFG 2011 sowohl für die Aufzeichnung gemäß Abs. 1 leg. cit. als auch für die weitere Verarbeitung der von ihr aufgezeichneten Daten (Sicherheits)Standards einzuhalten. Diese Anforderungen werden ausschließlich an die elektronische Datenverarbeitung der Verwaltungsgesellschaft gestellt.

Aus dem Wortlaut der hier maßgebenden Norm des § 12 Abs. 2 InvFG 2011 im gegebenen Zusammenhang ergibt sich unter Beachtung der zitierten Erläuterungen, dass § 12 InvFG 2011 nur jene Daten im Auge hat, die von der Verwaltungsgesellschaft selbst im Zusammenhang mit Portfoliogeschäften sowie Zeichnungs- oder Rücknahmeaufträgen gemäß Abs. 1 leg. cit. aufgezeichnet werden.

Schon die Überschrift zu § 12 InvFG (Elektronische "Aufzeichnungen") legt ein solches Verständnis nahe, woran auch der Hinweis auf § 14 DSG 2000 im letzten Satz von § 12 Abs. 2 InvFG nichts zu ändern vermag (vgl. zum Begriff der Datenverarbeitung § 4 Z 9 DSG 2000).

Die Anforderungen an die elektronische Datenverarbeitung, für ein hohes Maß an Sicherheit und für die Integrität und vertrauliche Behandlung der aufgezeichneten Daten zu sorgen, betreffen demnach nur die von der Verwaltungsgesellschaft gemäß § 12 Abs. 1 InvFG 2011 selbst aufgezeichneten Daten.

Ein solches mit dem Wortlaut von § 12 Abs. 2 InvFG 2011 im Einklang stehendes Ergebnis ist aus folgenden Gründen geboten:

Gemäß § 1 Abs. 1 VStG kann eine Tat (Handlung oder Unterlassung) als Verwaltungsübertretung nur bestraft werden, wenn sie vor ihrer Begehung mit Strafe bedroht war.

§ 1 Abs. 1 VStG legt fest, dass die Bestrafung einer Tat nur insoweit zulässig ist, als ihre Begehung mit Strafe bedroht war. Es besteht also das Erfordernis einer die Tatbegehung als solche erfassenden einschlägigen Strafvorschrift. Die Tat muss ausdrücklich mit Strafe bedroht sein. Die Grenzen des strafrechtlich Verbotenen müssen verlässlich bestimmt werden können. Im Verwaltungsstrafrecht bildet daher der äußerst mögliche Wortsinn die Grenze belastender Strafrechtsgewinnung (vgl. dazu und zum Analogieverbot im Verwaltungsstrafrecht Lewisch/Fister/Weilguni, Verwaltungsstrafgesetz, Rz 5 zu § 1 VStG und die dort zitierte hg. Rechtsprechung).

Im Revisionsfall steht das vom Verwaltungsgericht im Spruch seines Erkenntnisses zum Ausdruck gebrachte Verständnis von § 12 Abs. 2 InvFG 2011 diesen im Verwaltungsstrafrecht geltenden Auslegungskriterien schon deshalb entgegen, weil der Wortlaut von § 12 Abs. 2 InvFG 2011 selbst dem äußerst möglichen Wortsinn nach keine Anhaltspunkte dafür gibt, dass diese Bestimmung den Zugriff von eigenen Mitarbeitern auf Daten Dritter pönalisieren soll bzw. von ihr auch Daten umfasst sein sollen, die nicht von der Verwaltungsgesellschaft, sondern von anderen Gesellschaften aufgezeichnet wurden und auf die von Mitarbeitern der Verwaltungsgesellschaft - aus welchen Gründen immer, wenn auch nach bestimmten Regeln - zugegriffen werden kann. Letzteres könnte allenfalls einen Interessenskonflikt bewirken (vgl. § 22 ff InvFG 2011).

Das angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit des Inhaltes aufzuheben.

Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff VwGG iVm der VwGH-Aufwandersatzverordnung 2014 in der Fassung BGBl. II Nr. 8/2014.

Wien, am 5. März 2015