TE Bvwg Erkenntnis 2019/8/19 W211 2217629-1

W211 2217629-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Mag.a Gerda HEILEGGER und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX gegen das Straferkenntnis der Datenschutzbehörde vom XXXX , zu Recht:

A)

I. Das angefochtene Straferkenntnis wird behoben und das Verfahren gemäß § 45 Abs. 1 Z 3 VStG eingestellt.

II. Gemäß § 52 Abs. 8 VwGVG hat die Beschwerdeführerin keine Kosten zu tragen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. Am XXXX 2018 brachten ein Wohnungseigentümer und ein Mieter einer Wohnung durch ihre Rechtsvertretung eine Anzeige an den Magistrat gegen die Beschwerdeführerin - die XXXX GmbH - ein, da in einem Bestandsverfahren ein Protokoll einer Videoüberwachung des Eingangsbereichs des Mieters zwischen dem XXXX 2016 und dem XXXX 2017 vorgelegt worden sei. Es wurde unter anderen der Antrag gestellt, die Bezirksverwaltungsbehörde möge prüfen, ob die Angezeigte verwaltungsstrafrechtlich relevante Delikte verwirklicht habe.

2. Mit Schreiben vom XXXX 2018 trat der Magistrat der Stadt Wien das Verwaltungsstrafverfahren an die DSB ab.

3. Mit Schreiben vom XXXX 2018 wurde an die Beschwerdeführerin eine Aufforderung zur Rechtfertigung geschickt, wonach der Beschwerdeführerin zur Last gelegt werde, folgende Verwaltungsübertretungen begangen zu haben: die Beschwerdeführerin mit Sitz in [....] stehe im Verdacht, als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO einer Bildverarbeitung (Videoüberwachung) am Standort [.....] im Tatzeitraum vom XXXX 2016 - XXXX 2017 verantworten zu müssen, dass die Videoüberwachung nicht geeignet gekennzeichnet gewesen sei.

4. Die Beschwerdeführerin brachte in ihrer Rechtfertigung vom XXXX 2018 zusammengefasst vor, dass ausschließlich der Eingangsbereich einer näher genannten Wohnung überwacht worden sei. Hinweisschilder hätten den berechtigten Zweck der gesamten Videoüberwachung - nämlich den Nachweis, dass der Mieter die Wohnung nicht benütze - unterlaufen. Damit wäre die Beweiserbringung gegenüber dem Gericht unmöglich gemacht worden. Unbeteiligte Personen seien nicht erfasst worden. Für die Richtigkeit zeichnete " XXXX GF". Beigelegt war ein Einkommenssteuerbescheid 2017 betreffend XXXX .

5. Mit Schreiben vom XXXX 2019 forderte die DSB die Beschwerdeführerin auf, eine Gewinn- und Verlustrechnung des vorangegangen (Geschäfts-) Jahres bzw. die zuletzt verfügbare Gewinn- und Verlustrechnung vorzulegen. Entsprechende Unterlagen wurden mit Email vom XXXX 2019 vorgelegt.

6. Daraufhin erließ die DSB das gegenständliche Straferkenntnis und sprach aus, dass die Beschwerdeführerin mit Sitz in [...] im Tatzeitraum XXXX 2016 - XXXX 2017 von 0 - 24 Uhr in [...] als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO eine Bildverarbeitung (Videoüberwachung) betrieben habe.

Die gegenständliche Videoüberwachung sei nicht gekennzeichnet gewesen.

Dadurch habe die Beschwerdeführerin die folgende Rechtsvorschrift verletzt:

§ 50d Abs. 1 DSG 2000, BGBl. I Nr. 165/1999 idF BGBl. I Nr. 83/2013.

Wegen dieser Verwaltungsübertretung würde über die Beschwerdeführerin als Verantwortliche gemäß § 30 DSG, BGBl. I Nr. 165/1999 idgF, folgende Strafe verhängt:

€ 6.700.- gemäß § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG.

Ferner habe die Beschwerdeführerin gemäß § 64 VStG € 670.- als Beitrag zu den Kosten des Strafverfahrens zu zahlen, das seien 10% der Strafe, mindestens jedoch € 10.-. Der zu zahlende Gesamtbetrag betrage daher € 7.370.-.

7. Gegen dieses Straferkenntnis wurde rechtzeitig eine Beschwerde eingebracht.

8. Mit Schreiben vom XXXX 2019 legte die DSB den Verwaltungsakt vor und beantragte, die Beschwerde als unbegründet abzuweisen. Mit Nachtrag vom XXXX 2019 wurde dem Bundesverwaltungsgericht außerdem die Beschwerde vom XXXX 2019 vorgelegt.

9. Mit Schreiben vom XXXX 2019 wurden den Parteien die Ausführungen des Erkenntnisses des VwGH vom 29.03.2019 zu Ro 2018/02/0023 zur notwendigen ausreichenden Bestimmtheit der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden soll, zur Kenntnis gebracht und sie aufgefordert, ihre Ansicht zu den Fragen der ausreichenden Bestimmtheit der natürlichen Person, deren Verhalten der juristischen Beschwerdeführerin zugerechnet werden soll, der ausreichend genauen Umschreibung der Tathandlung der natürlichen Person sowie der Verfolgungsverjährung im Zusammenhang mit der gegebenenfalls notwendigen Nachholung im Beschwerdeverfahren mitzuteilen.

Mit Schreiben vom XXXX 2019 langte dazu eine Stellungnahme der DSB ein, die der Beschwerdeführerin zur Kenntnisnahme und allfälligen Stellungnahme zugesendet wurde.

Mit Schreiben vom XXXX 2019 wurde schließlich dazu eine Replik der Beschwerdeführerin eingebracht.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die XXXX GmbH betreibt in Wien eine Detektei.

Festgestellt wird, dass weder aus der Aufforderung zur Rechtfertigung noch aus sonstigen Verfahrenshandlungen durch die belangte Behörde hervorgeht, welches Verhalten welcher natürlichen Person der Beschwerdeführerin zugerechnet und als Sachverhaltselement und Grundlage für die Bestrafung herangezogen wurde.

2. Beweiswürdigung:

Die Feststellungen zur Beschwerdeführerin ergeben sich aus dem Verwaltungsakt.

Die Feststellung zur Frage der Zurechenbarkeit des Verhaltens welcher natürlichen Person zur Beschwerdeführerin gründet sich insbesondere auf die Aufforderung zur Rechtfertigung vom XXXX 2018 sowie auf den Verwaltungsakt. Eine Person, deren Verhalten der juristischen Person zugerechnet werden soll, wird weder in der Aufforderung zur Rechtfertigung, noch im Spruch des Straferkenntnisses vom XXXX 2019 oder im Rahmen der Begründung des Straferkenntnisses definiert: im Sachverhalt wird ausgeführt, dass die fehlende Kennzeichnung der Videoüberwachungsanlage durch Personen veranlasst [wurde], die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund 1. der Befugnis zur Vertretung der juristischen Person, 2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen oder 3. einer Kontrollbefugnis innerhalb der juristischen Person innehaben, bzw. hat mangelnde Überwachung oder Kontrolle durch eine der genannten Personen die nicht (geeignete) Kennzeichnung der Videoüberwachungsanlage durch eine für die juristische Person tätige Person ermöglicht (S. 2 des angefochtenen Straferkenntnisses). Beweiswürdigend wird soweit hier wesentlich angeführt, dass die Feststellungen auf einem näher bezeichneten Protokoll der Tagsatzung eines näher bezeichneten bezirksgerichtlichen Verfahrens und auf der Rechtfertigung der Beschuldigten [der Beschwerdeführerin] beruhen würden; die Feststellungen in Bezug auf die nicht geeignete Kennzeichnung sowie den Tatzeitraum würden auf den Aussagen des Gesellschafters der Beschwerdeführerin, XXXX , im bezirksgerichtlichen Verfahren, der Stellungnahme des handelsrechtlichen Geschäftsführers, Herrn XXXX , sowie auf der Rechtfertigung vom XXXX 2018 beruhen. Die vorsätzliche Unterlassung der Anbringung einer Kennzeichnung sei durch Personen veranlasst worden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund 1. der Befugnis zur Vertretung der juristischen Person, 2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen oder 3. einer Kontrollbefugnis innerhalb der juristischen Person innehatten, oder aufgrund mangelnder Überwachung oder Kontrolle durch eine der genannten Personen die nicht vorhandene Kennzeichnung der Videoüberwachungsanlage durch eine für die juristische Person tätige Person ermöglicht haben. Dies gründe sich insbesondere auf die Aussage des Herrn XXXX , wonach er im Auftrag des handelsrechtlichen Geschäftsführers gehandelt habe (vgl. S 3f des angefochtenen Straferkenntnisses). Rechtlich folge daraus unter Punkt III.6., dass die gegenständliche Verwaltungsübertretung daher jedenfalls einer der Personen, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund 1. der Befugnis zur Vertretung der juristischen Person, 2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen oder 3. einer Kontrollbefugnis innerhalb der juristischen Person innehaben, zuzurechnen sei (vgl. S 7 des angefochtenen Straferkenntnisses).

Aus diesen Begründungen kann jedoch keine konkrete Person abgeleitet werden, deren Verhalten der Beschwerdeführerin zugerechnet werden sollte. Daran kann auch die Erwähnung eines Gesellschafters (oder Mitarbeiters) der Beschwerdeführerin (nämlich des im zivilgerichtlichen Verfahren aufgetretenen Zeugen XXXX ) nichts ändern, der angegeben hat, auf Anweisung des handelsrechtlichen Geschäftsführers gehandelt zu haben. Ein einschlägiger Auszug aus dem Firmenbuch wurde dem Verwaltungsakt nicht beigefügt. Eine ausreichende Konkretisierung der relevanten natürlichen Personen, so zB auch des handelsrechtlichen Geschäftsführers, fand weder in die Aufforderung zur Rechtfertigung, noch in den Spruch des Straferkenntnisses oder näher in dessen Begründung Eingang.

3. Rechtliche Beurteilung:

Zu A) I.

3.1. Rechtsgrundlagen:

3.1.1. DSG:

Allgemeine Bedingungen für die Verhängung von Geldbußen

§ 30. (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

1. der Befugnis zur Vertretung der juristischen Person,

2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder

3. einer Kontrollbefugnis innerhalb der juristischen Person

innehaben.

(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.

(3) Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß § 9 des Verwaltungsstrafgesetzes 1991 - VStG, BGBl. Nr. 52/1991, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.

(4) Die gemäß § 22 Abs. 5 verhängten Geldbußen fließen dem Bund zu und sind nach den Bestimmungen über die Eintreibung von gerichtlichen Geldstrafen einzubringen. Rechtskräftige Bescheide der Datenschutzbehörde sind Exekutionstitel. Die Bewilligung und der Vollzug der Exekution ist auf Grund des Exekutionstitels der Datenschutzbehörde bei dem Bezirksgericht, in dessen Sprengel der Verpflichtete seinen allgemeinen Gerichtsstand in Streitsachen hat (§§ 66, 75 der Jurisdiktionsnorm - JN, RGBl. Nr. 111/1895), oder bei dem in den §§ 18 und 19 EO bezeichneten Exekutionsgericht zu beantragen.

(5) Gegen Behörden und öffentliche Stellen, wie insbesondere in Formen des öffentlichen Rechts sowie des Privatrechts eingerichtete Stellen, die im gesetzlichen Auftrag handeln, und gegen Körperschaften des öffentlichen Rechts können keine Geldbußen verhängt werden.

3.1.2. Artikel 83 DSGVO:

Allgemeine Bedingungen für die Verhängung von Geldbußen

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a)-Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b)-Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c)-jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d)-Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e)-etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f)-Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g)-Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h)-Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i)-Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j)-Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k)-jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a)-die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

b)-die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;

c)-die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a)-die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;

b)-die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;

c)-die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;

d)-alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;

e)-Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz 1.

(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.

(8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen. [...]

3.1.3. In VwGH, Ro 2018/02/0023, Erkenntnis vom 29.03.2019, führte der Verwaltungsgerichtshof zur Strafbarkeit der juristischen Person zu einem Sachverhalt bei einer ähnlich gelagerten Rechtslage aus wie folgt (Hervorhebungen nicht im Original):

25 Die Bestrafung der juristischen Person nach der in Rede stehenden Bestimmung setzt voraus, dass eine ihr zurechenbare natürliche Person (Führungsperson) eine Straftat begangen hat. Der Strafbarkeit der juristischen Person nach § 99d Abs. 1 und 2 BWG liegt dabei der Vorwurf zu Grunde, die dort genannten Führungspersonen hätten gegen die dort angeführten "Verpflichtungen verstoßen" (Abs. 1) oder sie hätten durch mangelnde Kontrolle oder Überwachung eine "Mitarbeitertat" ermöglicht (Abs. 2).

26 Die in § 99d BWG verwiesenen Verbots- und Gebotsnormen richten sich entweder direkt an die juristische Person (§ 98 Abs. 1 BWG) oder an den Verantwortlichen gemäß § 9 VStG (§ 98 Abs. 2, Abs. 5, Abs. 5a und § 99 Abs. 1 BWG).

27 Der verfassungsrechtlich geforderte Zusammenhang für die Zurechnung der Anlasstat zur juristischen Person kommt dadurch zum Ausdruck, dass einerseits eine Führungsperson entweder die Tat selbst begangen hat (Abs. 1) oder die Begehung der Tat eines Mitarbeiters durch mangelnde Überwachung und Kontrolle ermöglicht wurde (Abs. 2), andererseits Verbandspflichten verletzt wurden (§ 98 Abs. 1 BWG) bzw. der Verband einen Nutzen aus der Tat zieht (§ 99d Abs. 3 leg.cit.) (vgl. zu § 3 VbVG neuerlich VfGH 2.12.2016, G 497/2015 ua).

28 Wegen eines Verstoßes gegen eine verwaltungsstrafrechtlich sanktionierte Verpflichtung kann bestraft werden, wer den entsprechenden Tatbestand rechtswidrig und schuldhaft (§ 5 VStG) verwirklicht; im konkreten Fall einen oder mehrere Tatbestände des § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a oder § 99 Abs. 1 Z 3 oder 4 BWG.

29 Da die juristische Person nicht selbst handeln kann, ist ihre Strafbarkeit gemäß § 99d BWG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson. Demgemäß ist für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten. Eine Verfolgungshandlung im Sinne der §§ 31 und 32 VStG muss nämlich eine bestimmte Verwaltungsübertretung zum Gegenstand haben, was erfordert, dass sie sich auf alle der späteren Bestrafung zugrunde liegenden Sachverhaltselemente beziehen muss (VwGH 8.3.2017, Ra 2016/02/0226, mwN). Richtet sich ein so erhobener Vorwurf gegen die juristische Person, so ist - wegen der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person - darin auch der Vorwurf gegen die darin genannte natürliche Person enthalten.

30 Wird aber einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten (vgl. Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, Rn 13 zu § 32) Führungsperson in einer Verfolgungshandlung gegen die juristische Person eine der genannten Straftaten vorgeworfen und kommt die Führungsperson für eine Bestrafung in Betracht, was aufgrund der in § 99d BWG verwiesenen Bestimmungen (nur) auf die Verantwortlichen gemäß § 9 VStG zutrifft, steht der Verantwortliche gemäß § 9 VStG im Verdacht dieser Verwaltungsübertretung, weshalb er ab diesem Zeitpunkt gemäß § 32 Abs. 1 VStG Beschuldigter ist, zumal die Amtshandlung nicht an den Verdächtigen adressiert sein muss (vgl. aaO, Rn 15). Neben der besonderen Stellung im Verwaltungsstrafverfahren als Partei ist dieser Umstand auch für die Verfolgungsverjährung sowohl hinsichtlich der juristischen als auch der natürlichen Person von Bedeutung (§ 31 Abs. 1 VStG).

31 Bei dieser Gelegenheit ist festzuhalten, dass es - sei es für die Verfolgungshandlung, sei es für die Bestrafung - für die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden (wie im vorliegenden Straferkenntnis auf das "Firmenbuch") verwiesen wird; wie oben gezeigt wurde, genügt die bloße Bestimmbarkeit der Person nicht.

32 Die Stellung als Beschuldigter hat für den Verantwortlichen zur Folge, dass er nicht nur in einem allenfalls gegen ihn geführten Verfahren als Beschuldigter zu behandeln ist, sondern auch im Verfahren gegen die juristische Person, andernfalls seine Parteirechte nicht gewährleistet wären.

33 Mit Blick auf die eingangs wiedergegebene Zulässigkeitsfrage bedeutet dies, dass das Verfahren gegen die natürliche Person nicht vorrangig zu führen und zu beenden ist sowie keinen Schuldspruch gegen diese erfordert, um auch die juristische Person bestrafen zu dürfen. Für eine Bestrafung der juristischen Person ist vielmehr entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genügt, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Es kommt nicht darauf an, ob und gegebenenfalls gegen welche natürliche Person - ebenfalls - ein Verwaltungsstrafverfahren geführt wird oder wurde.

3.1.4. Zur Vergleichbarkeit der Bestimmungen des DSG und des § 99d BWG wird auch letztere Bestimmung hier wiedergegeben:

§ 99d. (1) Die FMA kann Geldstrafen gegen juristische Personen verhängen, wenn Personen, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

1. der Befugnis zur Vertretung der juristischen Person,

2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder

3. einer Kontrollbefugnis innerhalb der juristischen Person

innehaben, gegen die in § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a, Abs. 5d oder § 99 Abs. 1 Z 3 oder 4 angeführten Verpflichtungen verstoßen haben.

(2) Juristische Personen können wegen Verstößen gegen die in § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a, Abs. 5d oder § 99 Abs. 1 Z 3 oder 4 angeführten Pflichten auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat.

(3) Die Geldstrafe gemäß Abs. 1 oder 2 beträgt bis zu 10 vH des jährlichen Gesamtnettoumsatzes gemäß Abs. 4 oder bis zu dem Zweifachen des aus dem Verstoß gezogenen Nutzens, soweit sich dieser beziffern lässt, im Falle eines Verstoßes gegen § 98 Abs. 5d jedoch bis zu 5 Millionen Euro oder bis zu 5 vH des jährlichen Gesamtumsatzes oder bis zum Zweifachen des aus dem Verstoß gezogenen Nutzens einschließlich eines vermiedenen Verlustes, soweit sich diese beziffern lassen.

(4) Der jährliche Gesamtnettoumsatz gemäß Abs. 3 ist bei Kreditinstituten der Gesamtbetrag aller in Z 1 bis 7 der Anlage 2 zu § 43 angeführten Erträge abzüglich der dort angeführten Aufwendungen; handelt es sich bei dem Unternehmen um eine Tochtergesellschaft, ist auf den jährlichen Gesamtnettoumsatz abzustellen, der im vorangegangenen Geschäftsjahr im konsolidierten Abschluss der Muttergesellschaft an der Spitze der Gruppe ausgewiesen ist. Bei sonstigen juristischen Personen ist der jährliche Gesamtumsatz maßgeblich. Soweit die FMA die Grundlagen für den Gesamtumsatz nicht ermitteln oder berechnen kann, hat sie diese zu schätzen. Dabei sind alle Umstände zu berücksichtigen, die für die Schätzung von Bedeutung sind.

3.1.5. Aus den Erläuterungen zu § 30 DSG geht auszugsweise hervor wie folgt (vgl. 1761 BlgNR 25. GP 16) (Hervorhebung durch das BVwG):

Art. 83 DSGVO regelt die Verhängung von Geldbußen und gilt grundsätzlich unmittelbar. Bereits in der DSGVO ist grundgelegt, dass die Geldbußen von der Datenschutzbehörde verhängt werden sollen. Erforderlich erscheint eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, wem die verhängten Geldbußen zufließen sollen und wie die Vollstreckung der Geldbußen vorgenommen werden soll.

Die Verhängung von Geldbußen gegen juristische Personen orientiert sich an der geltenden Regelung des § 99d des Bankwesengesetzes - BWG, BGBl. Nr. 532/1993.

Unter den Voraussetzungen des Abs. 1 kann die Datenschutzbehörde Geldbußen gegen eine juristische Person verhängen. Nach den Voraussetzungen des Abs. 2 können zudem juristische Personen verantwortlich gemacht werden. In beiden Fällen handelt es sich um ein gebundenes Ermessen der Behörde.

Die Datenschutzbehörde hat nach den Vorgaben des Abs. 3 von der Bestrafung eines Verantwortlichen abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird und keine besonderen Umstände vorliegen, die einem Absehen von der Bestrafung entgegenstehen. Bei der Beurteilung der Frage des Vorliegens besonderer Umstände wird auf den Grad des Verschuldens, das verletzte Rechtsgut und die Schwere des Verstoßes abzustellen sein.

Und AÄA zu § 30 Abs. 3 idF des Datenschutz-Deregulierungs-Gesetzes 2018 (AA-10 26. GP 5):

Damit es in keinem Fall zu einer doppelten Bestrafung der juristischen Person und einer natürlichen Person kommen kann, soll der letzte Halbsatz der Bestimmung "und keine besonderen Umstände vorliegen, die einem Absehen von einer Bestrafung entgegen stehen" entfallen.

3.2. Zur Frage, ob der Tatvorwurf ausreichend konkretisiert wurde:

Im oben unter 3.1.3. dargestellten Erkenntnis sprach der VwGH zu einer zu § 30 DSG vergleichbaren Bestimmung im BWG aus, dass es für die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden nur verwiesen wird; denn es bedarf einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten Führungsperson - eine reine Bestimmbarkeit reicht eben nicht aus.

§ 32 VStG ordnet an, dass Beschuldigter die im Verdacht einer Verwaltungsübertretung stehende Person von dem Zeitpunkt der ersten von der Behörde gegen sie gerichteten Verfolgungshandlung bis zum Abschluss der Strafsache ist. Verfolgungshandlung ist jede von einer Behörde gegen eine bestimmte Person als Beschuldigten gerichtete Amtshandlung. In der Verfolgungshandlung wird eine bestimmte Person der Begehung einer konkreten Verwaltungsübertretung beschuldigt. Der der Tat Verdächtige ist in der Verfolgungshandlung durch individualisierende Merkmale in unverwechselbarer Weise zu bezeichnen (vgl. Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, Rn 12f zu § 32).

Der Verwaltungsgerichtshof begründet die notwendige Konkretisierung des Tatvorwurfs und in Bezug auf § 44a Z 1 VStG mit zwei wesentlichen Verfahrensrechten des/der Beschuldigten in Strafverfahren, nämlich mit der Möglichkeit der Wahrung der Verteidigungsrechte des/der Beschuldigten und der Beseitigung der Gefahr einer Doppelbestrafung (vgl. VwGH, 10.12.2008, 2004/17/0228;

VwGH, 16.09.2010, 2010/09/0155, VwGH, 18.12.2015, Ra 2015/02/0172;

VwGH, 01.12.2015, Ro 2014/11/0002).

Im gegenständlichen Verfahren wurde eine natürliche Person, deren Verhalten (fehlende Kennzeichnung einer Videoüberwachungsanlage) der Beschwerdeführerin zugeordnet werden soll, weder in der Aufforderung zur Rechtfertigung noch im Spruch des Straferkenntnisses bezeichnet und damit nie konkretisiert.

Die Aufforderung zur Rechtfertigung war an die Beschwerdeführerin, die eine juristische Person ist, selbst geschickt worden. Im dort angeführten Vorwurf wird (nur) ausgeführt: "Der [Beschwerdeführerin] wird zur Last gelegt, folgende Verwaltungsübertretung(en) begangen zu haben: Die [Beschwerdeführerin] [...] steht im Verdacht als Verantwortliche im Sinne des Art 4 Z 7 der der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden DSGVO), ABl. Nr. L 119 vom 4.5.2016 S 1, einer Bildverarbeitung (Videoüberwachung) am Standort [...] im Tatzeitraum XXXX 2016 bis zum XXXX 2017 verantworten zu müssen, dass die Videoüberwachung nicht (geeignet) gekennzeichnet wurde."

Es muss daher davon ausgegangen werden, dass gegenständlich keine ausreichende Konkretisierung des Tatvorwurfs im behördlichen Verfahren vorgenommen wurde, da aus diesem nicht hervorgeht, das Verhalten welcher Person der Beschwerdeführerin zugerechnet hätte werden sollen. Damit scheint aber die Wahrnehmung wesentlicher Verteidigungsrechte der Beschuldigten im Verfahren nicht mehr ausreichend garantiert.

In ihrer Stellungnahme vom XXXX 2019 führt die DSB zusammengefasst aus, dass auf der Grundlage der DSGVO jede Handlung von Personen, die im Rahmen einer juristischen Person tätig werden, der juristischen Person zuzurechnen sei. Es sei irrelevant, um welchem Mitarbeiter es sich dabei konkret gehandelt habe. Das DSG enthalte auch keine dem BWG vergleichbare Determinierung von Personen, die bestimmte "Schlüsselfunktionen" ausüben würden.

Dabei übersieht die DSB, dass auch nach ihrer Argumentation eine Handlung einer Person der juristischen Person zuzuordnen sein soll, was aber im gegenständlichen Fall gerade nicht passiert ist. Darüber hinaus bezieht sich § 30 DSG auf die dort genannten Personen, die eben als solche in "Schlüsselfunktionen" angesehen werden können.

Wenn die DSB vermeint, es sei überhaupt fraglich, ob § 62 DSG anzuwenden sei, so ist vorab darauf zu verweisen, dass die DSB selbst in ihrem Straferkenntnis unter III.3. davon ausgeht, dass "vor dem Hintergrund des als erwiesen festgestellten Sachverhalts die Beschuldigte als Verantwortlicher iSd Art. 4 Z 7 DSGVO iVm § 30 Abs. 1 und 2 DSG daher die objektive Tatseite der ihr zur Last gelegten Verwaltungsübertretung des § 52 Abs. 2 Z 4 DSG 2000 zu verantworten [hat], wobei sich die Verhängung von Geldbußen gegen juristische Personen im Vorliegenden auf § 62 Abs. 3 DSG gründet", und damit selbst § 62 DSG heranzieht.

Insoweit aus der Stellungnahme der DSB herauszulesen sein soll, dass Art. 83 DSGVO direkt anzuwenden sei, wird dabei der Verweis des Art. 83 Abs. 8 DSGVO auf angemessene Verfahrensgarantien - auch nach dem Recht der Mitgliedstaaten - übersehen: Demnach hindert auch eine direkte Anwendbarkeit des Art. 83 DSGVO nicht die Heranziehung von rechtsstaatlich vorgesehenen Beschuldigtenrechten - hier in Bezug auf die ausreichende Bestimmtheit der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden soll.

Im Ergebnis muss daher festgehalten werden, dass gegenständlich nicht von einem ausreichend konkretisierten Tatvorwurf im behördlichen Verfahren ausgegangen werden kann.

Darüber hinaus ist im gegenständlichen Verfahren die Verfolgungsverjährung des § 31 Abs. 1 VStG von einem Jahr bereits abgelaufen: Diese Frist ist ab dem Zeitpunkt zu berechnen, an dem die strafbare Tätigkeit abgeschlossen worden ist oder das strafbare Verhalten aufgehört hat. Um den Eintritt der Verfolgungsverjährung zu verhindern, bedarf es einer tauglichen Verfolgungshandlung. Das gegenständliche Straferkenntnis normiert als Ende des Tatzeitraums den XXXX 2017. Eine taugliche Verfolgungshandlung, die ausreichend bestimmt ein Verhalten einer natürlichen Person der juristischen Person zurechnet, wurde innerhalb der einjährigen, dafür zur Verfügung stehenden, Frist nicht gesetzt.

Es war daher spruchgemäß zu entscheiden und das gegenständliche Strafverfahren einzustellen, da die fehlende Konkretisierung des Tatvorwurfs und der Eintritt der Verfolgungsverjährung ein prozessuales Hindernis einer Überprüfung durch das Bundesverwaltungsgericht darstellen.

Zu A) II.

Da der Beschwerde Folge zu geben und das angefochtenen Straferkenntnis aufzuheben war, ist auszusprechen, dass die Beschwerdeführerin gemäß § 52 Abs. 8 VwGVG keine Kosten des Verfahrens trägt.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es an einer Rechtsprechung des Verwaltungsgerichtshofes fehlt und es sich bei den hier zu besprechenden Rechtsfragen um solche grundsätzlicher Bedeutung handelt:

Zu den Bestimmungen für die Bestrafung der juristischen Person im Zusammenhang mit der neuen Rechtslage zur DSGVO und zum DSG besteht noch keine höchstgerichtliche Rechtsprechung. Gegenständlich stellte sich die Frage nach der Anwendbarkeit der Aussagen des Verwaltungsgerichtshofs zu VwGH 29.03.2019, Ro 2018/02/0023 auf die zu prüfende materielle Rechtslage.