TE Bvwg Erkenntnis 2019/8/19 W211 2208885-1

W211 2208885-1/19E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Mag.a Gerda HEILEGGER und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX gegen das Straferkenntnis der Datenschutzbehörde vom XXXX , XXXX , nach Durchführung einer mündlichen Verhandlung zu Recht:

A)

I. Das angefochtene Straferkenntnis wird behoben und das Verfahren gemäß § 45 Abs. 1 Z 3 VStG eingestellt.

II. Gemäß § 52 Abs. 8 VwGVG hat die Beschwerdeführerin keine Kosten zu tragen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. Dem hier angefochtenen Straferkenntnis ging voraus, dass am XXXX 2018 durch zwei Beamte einer Polizeiinspektion bei der XXXX (in der Folge: die Beschwerdeführerin) eine Kontrolle nach dem Glückspielgesetz durchgeführt wurde. Bei dieser Kontrolle stellten die Beamten zwei sichtbar montierte Kameras sowie im Geschäftslokal der Beschwerdeführerin Bildschirme fest. In Hinblick auf diese Wahrnehmungen sowie die Angaben einer Kellnerin im Geschäftslokal, die weiter meinte, Chef der Firma sei Herr XXXX , wurde eine Anzeige wegen Verdachts auf den Betrieb meldepflichtiger Videoüberwachungskameras und Nichtkennzeichnung einer solchen Anlage erstattet.

2. Die Datenschutzbehörde (DSB) forderte die Beschwerdeführerin zu Handen ihres Geschäftsführers mit Schreiben vom XXXX 2018 zur Rechtfertigung auf und gab darin bekannt, dass ein Verdacht in Hinblick auf die in § 62 Abs. 3 iVm § 30 DSG vorgesehene Möglichkeit der Verhängung einer Geldstrafe gegen die Beschwerdeführerin bestünde.

Die Aufforderung zur Rechtfertigung wurde durch Hinterlegung zugestellt.

3. Seitens der Beschwerdeführerin wurde keine Rechtfertigung oder sonstige Stellungnahme eingebracht.

4. Daraufhin erließ die DSB das gegenständliche Straferkenntnis und sprach aus, dass die Beschwerdeführerin zumindest ab dem XXXX.2018 von 0 - 24 Uhr in XXXX als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO eine Bildverarbeitungsanlage (Videoüberwachung) betreibe.

1) Die gegenständliche Videoüberwachung erfasse die vor dem Eingangsbereich des Geschäftslokals liegenden öffentlichen Parkplätze und Verkehrsflächen, sei somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt.

2) Es finde keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung statt.

3) Es finde keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden statt. Eine diesbezügliche gesonderte Protokollierung liege nicht vor. Eine Begründung für eine verlängerte Speicherdauer fehle.

4. Die Videoüberwachung sei nicht geeignet gekennzeichnet.

Damit verletze die Beschwerdeführerin die folgenden Rechtsvorschriften:

Zu 1): Art. 5 Abs. 1 lit a und c sowie Art. 6 Abs. 1 der DSGVO;

Zu 2): a) § 50b Abs. 1 des DSG 2000 für den Zeitraum vor dem 25.05.2018 und

b) § 13 Abs. 2 des DSG für den Zeitraum ab dem 25.05.2018

zu 3): a) § 50b Abs. 2 des DSG 2000 für den Zeitraum vor dem 25.05.2018 und

b) § 13 Abs. 3 des DSG für den Zeitraum ab dem 25.05.2018

zu 4): a) § 50d Abs. 1 des DSG 2000 für den Zeitraum vor dem 25.05.2018 und

b) § 13 Abs. 5 des DSG für den Zeitraum ab dem 25.05.2018.

Wegen dieser Verwaltungsübertretungen würde über die Beschwerdeführerin als Verantwortliche gemäß § 30 DSG folgende Strafe verhängt:

Zu 1): € 2.400.- gemäß Art. 83 Abs. 5 lit a DSGVO,

Zu 2): € 800.- gemäß a) § 52 Abs. 2 Z 6 DSG 2000 iVm § 69 Abs. 5 DSG und b) § 62 Abs. 1 Z 4 DSG,

Zu 3): € 800.- gemäß a) § 52 Abs. 2 Z 7 DSG 2000 iVm § 69 Abs. 5 DSG und b) § 62 Abs. 1 Z 4 DSG,

Zu 4): € 800.- gemäß a) § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG und b) § 62 Abs. 1 Z 4 DSG,

in Summe also € 4.800.-.

Gemäß § 64 VStG seien ferner 10% der Strafe als Kosten zu bezahlen, daher € 480.- und gesamt € 5.280.-.

5. Gegen dieses Straferkenntnis wurde rechtzeitig eine Beschwerde eingebracht.

6. Mit Schreiben vom XXXX 2018 legte die DSB die Beschwerde und den Verwaltungsakt vor und beantragte, die Beschwerde als unbegründet abzuweisen.

7. Am XXXX 2019 und am XXXX 2019 fanden mündliche Beschwerdeverhandlungen am Bundesverwaltungsgericht statt.

8. Mit Schreiben vom XXXX 2019 wurden den Parteien die Ausführungen des Erkenntnisses des VwGH vom 29.03.2019 zu Ro 2018/02/0023 zur notwendigen ausreichenden Bestimmtheit der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden soll, zur Kenntnis gebracht und die Fragen aufgeworfen, ob nach Ansicht der Parteien gegenständlich eine ausreichend genaue Umschreibung der Tathandlung der natürlichen Person stattgefunden habe und ob gegebenenfalls eine Nachholung der Bestimmung der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden soll, im Beschwerdeverfahren möglich und tunlich sei.

Mit Schreiben vom XXXX 2019 langte dazu eine Stellungnahme der DSB ein, die der Beschwerdeführerin zur Kenntnisnahme und allfälligen Stellungnahme zugesendet wurde.

Eine schriftliche Stellungnahme der Beschwerdeführerin langte innerhalb der gesetzten Frist nicht ein.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die XXXX . betreibt unter anderem in XXXX ein Wettlokal namens " XXXX ". XXXX ist der handelsrechtliche Geschäftsführer der Beschwerdeführerin seit XXXX 2017. XXXX ist seit XXXX 1993 Gesellschafter sowie gewerberechtlicher Geschäftsführer der Beschwerdeführerin, seine Funktion als handelsrechtlicher Geschäftsführer wurde im Firmenbuch am XXXX 2018 gelöscht.

Die Beschwerdeführerin ist mittlerweile in Konkurs.

Weder aus der Aufforderung zur Rechtfertigung noch aus sonstigen Verfahrenshandlungen durch die belangte Behörde geht hervor, das Verhalten welcher natürlichen Person der Beschwerdeführerin zugerechnet und als Sachverhaltselement und Grundlage für die Bestrafung herangezogen wurde.

2. Beweiswürdigung:

Die Feststellungen zur Beschwerdeführerin ergeben sich aus dem Verwaltungsakt sowie aus Auszügen aus dem Firmenbuch und dem Gewerbeinformationssystem Austria vom XXXX 2019.

Die Feststellung zur Frage der Zurechenbarkeit des Verhaltens welcher natürlichen Person gründet sich insbesondere auf die Aufforderung zur Rechtfertigung vom XXXX 2018 sowie auf den Verwaltungsakt. Eine Person, deren Verhalten der juristischen Person zugerechnet werden soll, wird weder in diesen Unterlagen, noch im Spruch des Straferkenntnisses vom XXXX 2018 oder im Rahmen der Begründung des Straferkenntnisses definiert: Beweiswürdigend wird darin ausgeführt, dass die belangte Behörde aufgrund allgemeiner Lebenserfahrung zu dem Ergebnis gelangt, dass die Installation und der Betrieb der beiden Kameras durch Personen durchgeführt oder veranlasst wurde, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund 1. der Befugnis zur Vertretung der juristischen Person, 2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder 3. einer Kontrollbefugnis innerhalb der juristischen Person, innehaben, bzw. dass mangelnde Überwachung oder Kontrolle durch eine der genannten Personen die Installation und den Betrieb der beiden Kameras durch eine für die juristische Person tätige Person ermöglicht hat (S. 5 des angefochtenen Straferkenntnisses). In der rechtlichen Beurteilung führte die belangte Behörde dazu zB aus, dass die Beschuldigte als Verantwortliche die objektive Tatseite zu verantworten hat und die gegenständlichen Verwaltungsübertretungen auch eine der Personen, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund 1. der Befugnis zur Vertretung der juristischen Person, 2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder 3. einer Kontrollbefugnis innerhalb der juristischen Person innehaben, zuzurechnen [sind] (vgl. S 7f des angefochtenen Bescheids).

Aus diesen Begründungen kann keine konkrete Person abgeleitet werden, deren Verhalten der Beschwerdeführerin zugerechnet werden sollte.

3. Rechtliche Beurteilung:

Zu A) I.

3.1. Rechtsgrundlagen:

3.1.1. DSG:

Allgemeine Bedingungen für die Verhängung von Geldbußen

§ 30. (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

1. der Befugnis zur Vertretung der juristischen Person,

2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder

3. einer Kontrollbefugnis innerhalb der juristischen Person

innehaben.

(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.

(3) Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß § 9 des Verwaltungsstrafgesetzes 1991 - VStG, BGBl. Nr. 52/1991, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.

(4) Die gemäß § 22 Abs. 5 verhängten Geldbußen fließen dem Bund zu und sind nach den Bestimmungen über die Eintreibung von gerichtlichen Geldstrafen einzubringen. Rechtskräftige Bescheide der Datenschutzbehörde sind Exekutionstitel. Die Bewilligung und der Vollzug der Exekution ist auf Grund des Exekutionstitels der Datenschutzbehörde bei dem Bezirksgericht, in dessen Sprengel der Verpflichtete seinen allgemeinen Gerichtsstand in Streitsachen hat (§§ 66, 75 der Jurisdiktionsnorm - JN, RGBl. Nr. 111/1895), oder bei dem in den §§ 18 und 19 EO bezeichneten Exekutionsgericht zu beantragen.

(5) Gegen Behörden und öffentliche Stellen, wie insbesondere in Formen des öffentlichen Rechts sowie des Privatrechts eingerichtete Stellen, die im gesetzlichen Auftrag handeln, und gegen Körperschaften des öffentlichen Rechts können keine Geldbußen verhängt werden.

3.1.2. Artikel 83 DSGVO:

Allgemeine Bedingungen für die Verhängung von Geldbußen

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a)-Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b)-Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c)-jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d)-Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e)-etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f)-Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g)-Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h)-Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i)-Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j)-Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k)-jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a)-die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

b)-die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;

c)-die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a)-die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;

b)-die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;

c)-die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;

d)-alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;

e)-Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz 1.

(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.

(8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen. [...]

3.1.3. In VwGH, Ro 2018/02/0023, Erkenntnis vom 29.03.2019, führte der Verwaltungsgerichtshof zur Strafbarkeit der juristischen Person zu einem Sachverhalt bei einer ähnlich gelagerten Rechtslage aus wie folgt (Hervorhebungen nicht im Original):

25 Die Bestrafung der juristischen Person nach der in Rede stehenden Bestimmung setzt voraus, dass eine ihr zurechenbare natürliche Person (Führungsperson) eine Straftat begangen hat. Der Strafbarkeit der juristischen Person nach § 99d Abs. 1 und 2 BWG liegt dabei der Vorwurf zu Grunde, die dort genannten Führungspersonen hätten gegen die dort angeführten "Verpflichtungen verstoßen" (Abs. 1) oder sie hätten durch mangelnde Kontrolle oder Überwachung eine "Mitarbeitertat" ermöglicht (Abs. 2).

26 Die in § 99d BWG verwiesenen Verbots- und Gebotsnormen richten sich entweder direkt an die juristische Person (§ 98 Abs. 1 BWG) oder an den Verantwortlichen gemäß § 9 VStG (§ 98 Abs. 2, Abs. 5, Abs. 5a und § 99 Abs. 1 BWG).

27 Der verfassungsrechtlich geforderte Zusammenhang für die Zurechnung der Anlasstat zur juristischen Person kommt dadurch zum Ausdruck, dass einerseits eine Führungsperson entweder die Tat selbst begangen hat (Abs. 1) oder die Begehung der Tat eines Mitarbeiters durch mangelnde Überwachung und Kontrolle ermöglicht wurde (Abs. 2), andererseits Verbandspflichten verletzt wurden (§ 98 Abs. 1 BWG) bzw. der Verband einen Nutzen aus der Tat zieht (§ 99d Abs. 3 leg.cit.) (vgl. zu § 3 VbVG neuerlich VfGH 2.12.2016, G 497/2015 ua).

28 Wegen eines Verstoßes gegen eine verwaltungsstrafrechtlich sanktionierte Verpflichtung kann bestraft werden, wer den entsprechenden Tatbestand rechtswidrig und schuldhaft (§ 5 VStG) verwirklicht; im konkreten Fall einen oder mehrere Tatbestände des § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a oder § 99 Abs. 1 Z 3 oder 4 BWG.

29 Da die juristische Person nicht selbst handeln kann, ist ihre Strafbarkeit gemäß § 99d BWG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson. Demgemäß ist für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten. Eine Verfolgungshandlung im Sinne der §§ 31 und 32 VStG muss nämlich eine bestimmte Verwaltungsübertretung zum Gegenstand haben, was erfordert, dass sie sich auf alle der späteren Bestrafung zugrunde liegenden Sachverhaltselemente beziehen muss (VwGH 8.3.2017, Ra 2016/02/0226, mwN). Richtet sich ein so erhobener Vorwurf gegen die juristische Person, so ist - wegen der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person - darin auch der Vorwurf gegen die darin genannte natürliche Person enthalten.

30 Wird aber einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten (vgl. Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, Rn 13 zu § 32) Führungsperson in einer Verfolgungshandlung gegen die juristische Person eine der genannten Straftaten vorgeworfen und kommt die Führungsperson für eine Bestrafung in Betracht, was aufgrund der in § 99d BWG verwiesenen Bestimmungen (nur) auf die Verantwortlichen gemäß § 9 VStG zutrifft, steht der Verantwortliche gemäß § 9 VStG im Verdacht dieser Verwaltungsübertretung, weshalb er ab diesem Zeitpunkt gemäß § 32 Abs. 1 VStG Beschuldigter ist, zumal die Amtshandlung nicht an den Verdächtigen adressiert sein muss (vgl. aaO, Rn 15). Neben der besonderen Stellung im Verwaltungsstrafverfahren als Partei ist dieser Umstand auch für die Verfolgungsverjährung sowohl hinsichtlich der juristischen als auch der natürlichen Person von Bedeutung (§ 31 Abs. 1 VStG).

31 Bei dieser Gelegenheit ist festzuhalten, dass es - sei es für die Verfolgungshandlung, sei es für die Bestrafung - für die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden (wie im vorliegenden Straferkenntnis auf das "Firmenbuch") verwiesen wird; wie oben gezeigt wurde, genügt die bloße Bestimmbarkeit der Person nicht.

32 Die Stellung als Beschuldigter hat für den Verantwortlichen zur Folge, dass er nicht nur in einem allenfalls gegen ihn geführten Verfahren als Beschuldigter zu behandeln ist, sondern auch im Verfahren gegen die juristische Person, andernfalls seine Parteirechte nicht gewährleistet wären.

33 Mit Blick auf die eingangs wiedergegebene Zulässigkeitsfrage bedeutet dies, dass das Verfahren gegen die natürliche Person nicht vorrangig zu führen und zu beenden ist sowie keinen Schuldspruch gegen diese erfordert, um auch die juristische Person bestrafen zu dürfen. Für eine Bestrafung der juristischen Person ist vielmehr entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genügt, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Es kommt nicht darauf an, ob und gegebenenfalls gegen welche natürliche Person - ebenfalls - ein Verwaltungsstrafverfahren geführt wird oder wurde.

3.1.4. Zur Vergleichbarkeit der Bestimmungen des DSG und des § 99d BWG wird auch letztere Bestimmung hier wiedergegeben:

§ 99d. (1) Die FMA kann Geldstrafen gegen juristische Personen verhängen, wenn Personen, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

1. der Befugnis zur Vertretung der juristischen Person,

2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder

3. einer Kontrollbefugnis innerhalb der juristischen Person

innehaben, gegen die in § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a, Abs. 5d oder § 99 Abs. 1 Z 3 oder 4 angeführten Verpflichtungen verstoßen haben.

(2) Juristische Personen können wegen Verstößen gegen die in § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a, Abs. 5d oder § 99 Abs. 1 Z 3 oder 4 angeführten Pflichten auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat.

(3) Die Geldstrafe gemäß Abs. 1 oder 2 beträgt bis zu 10 vH des jährlichen Gesamtnettoumsatzes gemäß Abs. 4 oder bis zu dem Zweifachen des aus dem Verstoß gezogenen Nutzens, soweit sich dieser beziffern lässt, im Falle eines Verstoßes gegen § 98 Abs. 5d jedoch bis zu 5 Millionen Euro oder bis zu 5 vH des jährlichen Gesamtumsatzes oder bis zum Zweifachen des aus dem Verstoß gezogenen Nutzens einschließlich eines vermiedenen Verlustes, soweit sich diese beziffern lassen.

(4) Der jährliche Gesamtnettoumsatz gemäß Abs. 3 ist bei Kreditinstituten der Gesamtbetrag aller in Z 1 bis 7 der Anlage 2 zu § 43 angeführten Erträge abzüglich der dort angeführten Aufwendungen; handelt es sich bei dem Unternehmen um eine Tochtergesellschaft, ist auf den jährlichen Gesamtnettoumsatz abzustellen, der im vorangegangenen Geschäftsjahr im konsolidierten Abschluss der Muttergesellschaft an der Spitze der Gruppe ausgewiesen ist. Bei sonstigen juristischen Personen ist der jährliche Gesamtumsatz maßgeblich. Soweit die FMA die Grundlagen für den Gesamtumsatz nicht ermitteln oder berechnen kann, hat sie diese zu schätzen. Dabei sind alle Umstände zu berücksichtigen, die für die Schätzung von Bedeutung sind.

3.1.5. Aus den Erläuterungen zu § 30 DSG geht auszugsweise hervor wie folgt (vgl. 1761 BlgNR 25. GP 16) (Hervorhebung durch das BVwG):

Art. 83 DSGVO regelt die Verhängung von Geldbußen und gilt grundsätzlich unmittelbar. Bereits in der DSGVO ist grundgelegt, dass die Geldbußen von der Datenschutzbehörde verhängt werden sollen. Erforderlich erscheint eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, wem die verhängten Geldbußen zufließen sollen und wie die Vollstreckung der Geldbußen vorgenommen werden soll.

Die Verhängung von Geldbußen gegen juristische Personen orientiert sich an der geltenden Regelung des § 99d des Bankwesengesetzes - BWG, BGBl. Nr. 532/1993.

Unter den Voraussetzungen des Abs. 1 kann die Datenschutzbehörde Geldbußen gegen eine juristische Person verhängen. Nach den Voraussetzungen des Abs. 2 können zudem juristische Personen verantwortlich gemacht werden. In beiden Fällen handelt es sich um ein gebundenes Ermessen der Behörde.

Die Datenschutzbehörde hat nach den Vorgaben des Abs. 3 von der Bestrafung eines Verantwortlichen abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird und keine besonderen Umstände vorliegen, die einem Absehen von der Bestrafung entgegenstehen. Bei der Beurteilung der Frage des Vorliegens besonderer Umstände wird auf den Grad des Verschuldens, das verletzte Rechtsgut und die Schwere des Verstoßes abzustellen sein.

Und AÄA zu § 30 Abs. 3 idF des Datenschutz-Deregulierungs-Gesetzes 2018 (AA-10 26. GP 5):

Damit es in keinem Fall zu einer doppelten Bestrafung der juristischen Person und einer natürlichen Person kommen kann, soll der letzte Halbsatz der Bestimmung "und keine besonderen Umstände vorliegen, die einem Absehen von einer Bestrafung entgegen stehen" entfallen.

3.2. Zur Frage, ob der Tatvorwurf ausreichend konkretisiert wurde:

Im oben unter 3.1.3. dargestellten Erkenntnis sprach der VwGH zu einer zu § 30 DSG vergleichbaren Bestimmung im BWG aus, dass es für die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden nur verwiesen wird; denn es bedarf einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten Führungsperson - eine reine Bestimmbarkeit reicht eben nicht aus.

§ 32 VStG ordnet an, dass Beschuldigter die im Verdacht einer Verwaltungsübertretung stehende Person von dem Zeitpunkt der ersten von der Behörde gegen sie gerichteten Verfolgungshandlung bis zum Abschluss der Strafsache ist. Verfolgungshandlung ist jede von einer Behörde gegen eine bestimmte Person als Beschuldigten gerichtete Amtshandlung. In der Verfolgungshandlung wird eine bestimmte Person der Begehung einer konkreten Verwaltungsübertretung beschuldigt. Der der Tat Verdächtige ist in der Verfolgungshandlung durch individualisierende Merkmale in unverwechselbarer Weise zu bezeichnen (vgl. Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, Rn 12f zu § 32).

Der Verwaltungsgerichtshof begründet die notwendige Konkretisierung des Tatvorwurfs und in Bezug auf § 44a Z 1 VStG mit zwei wesentlichen Verfahrensrechten des/der Beschuldigten in Strafverfahren, nämlich mit der Möglichkeit der Wahrung der Verteidigungsrechte des/der Beschuldigten und der Beseitigung der Gefahr einer Doppelbestrafung (vgl. VwGH, 10.12.2008, 2004/17/0228;

VwGH, 16.09.2010, 2010/09/0155, VwGH, 18.12.2015, Ra 2015/02/0172;

VwGH, 01.12.2015, Ro 2014/11/0002).

Im gegenständlichen Verfahren wurde eine natürliche Person, deren Verhalten (Anordnung und Installation der Kameras oder fehlende Kontrolle der Kameras bzw. deren Nutzung) der Beschwerdeführerin zugeordnet werden soll, nie bezeichnet und damit nie konkretisiert. Seitens der belangten Behörde wurde zwar am XXXX 2018 eine Firmenbuchabfrage durchgeführt; der entsprechende Auszug findet sich im Verwaltungsakt. Auf diesen Firmenbuchauszug wurde im Straferkenntnis jedoch weder verwiesen (was aber nicht für eine ausreichende Präzisierung einer möglichen Führungsperson ausreichen würde, vgl RZ 31 in VwGH, 29.03.2019, Ro 2018/02/0023), noch wurde er dem Straferkenntnis beigelegt.

Die Aufforderung zur Rechtfertigung war an die Beschwerdeführerin "zH XXXX (Geschäftsführer)" per Adresse der Beschwerdeführerin geschickt worden, womit die im Firmenbuch als handelsrechtlicher Geschäftsführer ausgewiesene Person dort in der Adresszeile, nicht hingegen in der Beschreibung des Vorwurfs selbst, angeführt wurde. Im Vorwurf selbst wird (nur) ausgeführt: "[...] Es besteht der Verdacht, dass die [Beschwerdeführerin] - zumindest ab dem XXXX .2018 bis zum gegenwärtigen Zeitpunkt - es unterlassen hat, [...]".

Außerdem darf in diesem Zusammenhang nicht übersehen werden, dass die Anzeige der LPD vom XXXX 2018 bereits anführt, die damals dort tätige Kellnerin habe gegenüber den Polizeibeamten angegeben, der Chef der Firma sei Herr XXXX [und damit der Gesellschafter bzw. der gewerberechtliche Geschäftsführer]. Im bisher durchgeführten verwaltungsgerichtlichen Verfahren stellte sich schließlich auch heraus, dass die tatsächliche Einflussnahme und Kontrolle der beteiligten Personen in Bezug auf die Beschwerdeführerin mit der Information aus dem Firmenbuch nicht ausreichend konkret und nicht gemäß der Realität dargestellt wurde.

Im Ergebnis muss daher davon ausgegangen werden, dass gegenständlich keine ausreichende Konkretisierung des Tatvorwurfs im behördlichen Verfahren vorgenommen wurde, da aus diesem nicht hervorgeht, das Verhalten welcher Person der Beschwerdeführerin zugerechnet hätte werden sollen. Damit scheint aber die Wahrnehmung wesentlicher Verteidigungsrechte der Beschuldigten im Verfahren nicht mehr ausreichend garantiert.

Die DSB beschäftigte sich mit dieser Frage in einer Stellungnahme vom XXXX 2019, in der sie zuerst auf einen Schriftsatz von XXXX 2019 in einem weiteren Verfahren verwies, das unter W211 2217629-1 beim Bundesverwaltungsgericht anhängig ist. Darin wird zusammengefasst ausgeführt, dass auf der Grundlage der DSGVO jede Handlung von Personen, die im Rahmen einer juristischen Person tätig werden, der juristischen Person zuzurechnen sei. Es sei irrelevant, um welchem Mitarbeiter es sich dabei konkret gehandelt habe. Das DSG enthalte auch keine dem BWG vergleichbare Determinierung von Personen, die bestimmte "Schlüsselfunktionen" ausüben würden.

Dabei übersieht die DSB, dass auch nach ihrer Argumentation eine Handlung einer Person der juristischen Person zuzuordnen sein soll, was aber im gegenständlichen Fall gerade nicht passiert ist. Darüber hinaus bezieht sich § 30 DSG auf die dort genannten Personen, die eben als solche in "Schlüsselfunktionen" angesehen werden können.

In ihrer Stellungnahme vom XXXX 2019 führt die DSB weiter aus, dass Art. 83 DSGVO inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet sei, weshalb daher die einschlägige Rechtsprechung des EuGH zu Art. 15 der Verordnung Nr. 17/1962 bzw. Art. 23 der Verordnung Nr. 1/2003 heranzuziehen sei. Daraus ergebe sich - hier zusammengefasst -, dass eine konkrete Benennung einer natürlichen Person, die innerhalb des Unternehmens schuldhaft gehandelt haben soll oder für eine möglicherweise fehlerhafte Organisation verantwortlich gemacht werden soll, nicht notwendig sei (dazu zitiert EuGH, Urteil vom 18.09.2003, C-338/00 P, und weiter EuG, Urteil vom 23.01.2014, T-391/09, sowie die Schlussanträge zu Rs C-204/00 P und Rs C-280/06).

Die in der Stellungnahme zitierten Verfahren beziehen sich auf wettbewerbsrechtliche Verfahren, die durch die Kommission geführt wurden, also auf europarechtlicher Ebene unter Heranziehung eigener - auch verfahrensrechtlicher - Vorgaben der oben zitierten Verordnungen. Art. 83 Abs. 8 DSGVO hält hingegen fest, dass die Ausübung der Befugnisse der Aufsichtsbehörde angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren unterliegen muss. Damit scheidet nach Ansicht des Bundesverwaltungsgerichts eine direkte Anwendbarkeit von Rechtsprechungsgrundsätzen der europäischen Gerichte zum Wettbewerbsrecht, das durch die Kommission wahrgenommen wird, aufgrund der unterschiedlichen Rechtsgrundlagen, der unterschiedlichen verfahrensrechtlichen Grundlagen und des Verweises in der DSGVO selbst, dass Verfahren nach Art. 83 DSGVO den Verfahrensgarantien (auch) nach dem Recht der Mitgliedstaaten zu unterliegen haben, aus.

Wenn die DSB schließlich darauf hinweist, dass § 30 DSG unangewendet zu bleiben hat und in den fraglichen (und dem gegenständlichen) Verfahren Art. 83 DSGVO direkt anzuwenden sei, wird dabei eben gerade auch der Verweis des Art. 83 Abs. 8 DSGVO auf angemessene Verfahrensgarantien - auch nach dem Recht der Mitgliedstaaten - übersehen: demnach hindert auch eine direkte Anwendbarkeit des Art. 83 DSGVO nicht die Heranziehung von rechtsstaatlich vorgesehenen Beschuldigtenrechten - hier in Bezug auf die ausreichende Bestimmtheit der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden soll.

Daher muss im Ergebnis festgehalten werden, dass gegenständlich nicht von einem ausreichend konkretisierten Tatvorwurf im behördlichen Verfahren ausgegangen werden kann.

3.3. Zur Frage, ob dieser Mangel durch das BVwG geheilt werden kann:

Voranzustellen ist, dass aus dem Verfahren keine Hinweise hervorgekommen sind, dass die Verfolgungsverjährung des § 31 Abs. 1 VStG von einem Jahr bereits abgelaufen ist. Diese Frist ist ab dem Zeitpunkt zu berechnen, an dem die strafbare Tätigkeit abgeschlossen worden ist oder das strafbare Verhalten aufgehört hat. Um den Eintritt der Verfolgungsverjährung zu verhindern, bedarf es einer tauglichen Verfolgungshandlung. Das gegenständliche Straferkenntnis normiert keinen Zeitpunkt, an dem das strafbare Verhalten aufgehört bzw. die strafbare Tätigkeit abgeschlossen wurde, weshalb für den Beginn der Berechnung der Frist der Verfolgungsverjährung vom Datum des angefochtenen Straferkenntnisses ausgegangen wird, also vom XXXX 2018.

Die Sache vor dem Verwaltungsgericht ist die Verwaltungsstrafsache, sohin der in der verwaltungsbehördlichen Entscheidung erfasste und erledigte Sachverhalt nach der Maßgabe seiner Bekämpfung durch die Beschwerde. Das Verwaltungsgericht entscheidet "die Angelegenheit, die von der Verwaltungsbehörde zu entscheiden war" (VwGH, 26.06.2014, Ro 2014/03/0063; 15.12.2014, Ro 2014/17/0121). Es entscheidet nicht nur über die Beschwerde als solche, sondern über die Verwaltungsstrafsache selbst. Infolge der Bindung des Verwaltungsgerichts an den Prozessgegenstand sind Auswechslungen/ Erweiterungen/Ausdehnungen der Verwaltungsstrafsache durch das Verwaltungsgericht unzulässig. Da das Verwaltungsgericht stets in der Sache entscheidet, hat es in jedem Fall auch die Befugnis und Verpflichtung zu allenfalls erforderlichen Sachverhaltsfeststellungen (Lewisch/Fister/Weilguni, VStG2, § 44 VwGVG, RZ 4ff).

Dem Verwaltungsgericht steht es offen, die Tathandlung rechtlich anders zu beurteilen, weshalb beispielsweise die Verwaltungsvorschrift, die durch die Tat verletzt worden ist, den Verfahrensgegenstand vor dem Verwaltungsgericht nicht umgrenzt. Der Verwaltungsgerichtshof stellt nicht nur auf die im Spruch des Straferkenntnisses angeführte Tathandlung ab, sondern legt die Wortfolge "Angelegenheit, die den Spruchinhalt bildet" weit aus und zählt auch sonstige nicht im Spruch des Straferkenntnisses zu findende Sachverhaltselemente, welche die Behörde den Beschuldigten erkennbar vorgehalten hat, zur Sache. Sache des Verfahrens ist also die Summe der dem Beschuldigten von der Behörde erkennbar und ausreichend konkret vorgeworfenen einzelnen Sachverhaltselemente, welche im Wesentlichen im Spruch des Straferkenntnisses Ausdruck finden müssen (Honeder/ Praschl-Bischler, Sache und Sachentscheidung bei unkonkretem Spruch im Verwaltungsstrafverfahren, ZVG 2016, 292).

Sache im Verfahren über Beschwerden gegen Straferkenntnisse ist der Tatvorwurf, der Gegenstand des bekämpften Strafbescheides ist. Das Verwaltungsgericht ist befugt und verpflichtet, gegebenenfalls die rechtliche Qualifikation der Tat zu konkretisieren bzw. zu korrigieren (VwGH 31.07.2014, Ro 2014/02/0099; 05.11.2014, Ra 2014/09/0018). Es darf nur keinen "Austausch der Tat" vornehmen, d.

h. es darf kein anderes Verhalten zum Gegenstand der Bestrafung machen als jenes, das den Tatvorwurf im Strafbescheid der Behörde bildete. Präzisierungen durch eine nähere Umschreibung dieses Vorwurfs, um den Anforderungen des § 44a Abs. 1 VStG (als erwiesen angenommene Tat) zu genügen, sind aber zulässig (vgl aus der jüngeren Rechtsprechung etwa VwGH 19.04.2012, 2010/01/0010 mwN; 23.05.2012, 2011/17/0298; vgl. auch VwGH 05.11.2014, Ra 2014/09/0018 [...]). Zu beachten ist dabei, dass die Bestrafung durch die im Verfahren gesetzte Verfolgungshandlung gedeckt sein muss. Eine Verfolgungshandlung im Sinne des § 31 Abs. 1 VStG muss nach der Rechtsprechung eine bestimmte Verwaltungsübertretung zum Gegenstand haben, was erfordert, dass sie sich auf alle der späteren Bestrafung zugrunde liegenden Sachverhaltselemente beziehen muss (vgl. VwGH 28.05.2014, 2012/07/0033). Daraus ergeben sich jedenfalls Beschränkungen für die nach der dargestellten Rechtsprechung an sich zulässige und erforderliche Präzisierung des Spruchs (Köhler in Raschauer/Wessely, Kommentar zum Verwaltungsstrafgesetz, § 50 VwGVG, RZ 3).

§ 32 Abs. 2 VStG ordnet an, dass eine Verfolgungshandlung jede von einer Behörde gegen eine bestimmte Person als Beschuldigten gerichtete Amtshandlung (Ladung, Vorführungsbefehl, Vernehmung, Ersuchen um Vernehmung, Strafverfügung und dergleichen) ist. Unter Behörden sind nur jene zu verstehen, auf deren Verfahren das VStG Anwendung findet. Nicht als Behörde ist ein Gericht anzusehen; damit sind ordentliche Gerichte gemeint, nicht hingegen die neuen Verwaltungsgerichte, da diese das VStG gemäß § 38 VwGVG anzuwenden haben (Pürgy in Raschauer/Wessely, Kommentar zum Verwaltungsstrafgesetz, § 32 VStG, RZ 5).

Damit stellt sich die Frage, ob das Verwaltungsgericht im gegenständlichen Fall aufgerufen und verpflichtet ist, im Rahmen der noch offenen Verfolgungsverjährungsfrist selbst eine taugliche Verfolgungshandlung vorzunehmen und damit - auf Basis dieser neuen, oder zumindest ausreichend konkretisierten, Verfolgungshandlung - die "Sache" zu entscheiden, oder ob mit diesem Vorgehen über die "Sache" des Beschwerdeverfahrens (weit) hinausgegangen werden würde.

Der erkennende Senat vertritt die Ansicht, dass gegenständlich die mangelnde Tauglichkeit der Verfolgungshandlung aufgrund der Begrenzung der Sache des Beschwerdeverfahrens nicht durch das Bundesverwaltungsgericht nachgeholt werden kann, da dadurch über die Sache des Beschwerdeverfahrens, die mit dem Tatvorwurf im Strafbescheid der Behörde weitgehend begrenzt ist, hinausgegangen werden würde. Insoweit das Verwaltungsgericht zur Berichtigung von fehlerhaften Sprüchen verpflichtet ist, geschieht dies auf Basis einer rechtzeitigen, tauglichen Verfolgungshandlung oder nur im Rahmen einer bloßen Präzisierung. Wenn auch die meisten diesbezüglichen Entscheidungen des VwGH auf die Verfolgungsverjährung hinweisen, sodass eine Berichtigung des Spruchs durch erstmaligen Vorwurf des Verwaltungsgerichts bei noch offener Verfolgungsverjährungsfrist als zulässig gelesen werden könnte, so scheint ein erstmaliger Vorwurf durch das Verwaltungsgericht schließlich doch eine unzulässige, weil über eine reine Präzisierung hinausgehende, Ausdehnung der Beschwerdesache zu sein. Liegt nun einem Straferkenntnis ein nicht ausreichend konkreter Vorwurf zugrunde, kann nur mit einer Behebung des Straferkenntnisses und einer Einstellung des Verfahrens vorgegangen werden (vgl. Honeder/ Praschl-Bischler, Sache und Sachentscheidung bei unkonkretem Spruch im Verwaltungsstrafverfahren, ZVG 2016, 292).

Es war daher spruchgemäß zu entscheiden und das gegenständliche Strafverfahren einzustellen, da die fehlende Konkretisierung des Tatvorwurfs ein prozessuales Hindernis einer Überprüfung durch das Bundesverwaltungsgericht darstellt (vgl. Honeder/ Praschl-Bischler, Sache und Sachentscheidung bei unkonkretem Spruch im Verwaltungsstrafverfahren, ZVG 2016, 294).

Zu A) II.

Da der Beschwerde Folge zu geben und das angefochtenen Straferkenntnis aufzuheben war, ist auszusprechen, dass die Beschwerdeführerin gemäß § 52 Abs. 8 VwGVG keine Kosten des Verfahrens trägt.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es an einer Rechtsprechung des Verwaltungsgerichtshofes fehlt und es sich bei den hier zu besprechenden Rechtsfragen um solche grundsätzlicher Bedeutung handelt:

Zu den Bestimmungen für die Bestrafung der juristischen Person im Zusammenhang mit der neuen Rechtslage zur DSGVO und zum DSG besteht noch keine höchstgerichtliche Rechtsprechung. Gegenständlich stellten sich die Fragen nach a) der Anwendbarkeit der Aussagen des Verwaltungsgerichtshofs zu VwGH 29.03.2019, Ro 2018/02/0023 auf die zu prüfende materielle Rechtslage nach der DSGVO und dem DSG sowie

b) nach der Ermächtigung oder sogar Verpflichtung des Verwaltungsgerichts, eine fehlende Tauglichkeit einer Verfolgungshandlung durch die Behörde bei offener Verfolgungsverjährung nachzuholen: hier in Bezug auf die Bestimmung der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden soll.