Entscheidungsdatum
15.07.2024Norm
B-VG Art133 Abs4Spruch
W298 2284627-1/11E
Im namen der republik
Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundigen Laienrichter Mag. Gerda Ferch-Fischer und Dr. Wolfgang Goricnik als beisitzende Laienrichter über die Beschwerde von XXXX , gegen das Straferkenntnis der Datenschutzbehörde vom XXXX 2023, GZ: D550.902 2023-0.811.212, zu Recht erkannt: Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundigen Laienrichter Mag. Gerda Ferch-Fischer und Dr. Wolfgang Goricnik als beisitzende Laienrichter über die Beschwerde von römisch 40 , gegen das Straferkenntnis der Datenschutzbehörde vom römisch 40 2023, GZ: D550.902 2023-0.811.212, zu Recht erkannt:
A)
I. Der Beschwerde wird Folge gegeben und die verhängte Geldstrafe auf gesamt EUR 1.500,-- reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß § 64 VStG auf EUR 150,--. römisch eins. Der Beschwerde wird Folge gegeben und die verhängte Geldstrafe auf gesamt EUR 1.500,-- reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß Paragraph 64, VStG auf EUR 150,--.
II. Gemäß § 52 Abs. 8 VwGVG hat der Beschwerdeführer keine Kosten des Beschwerdeverfahrens zu tragen.römisch II. Gemäß Paragraph 52, Absatz 8, VwGVG hat der Beschwerdeführer keine Kosten des Beschwerdeverfahrens zu tragen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang: römisch eins. Verfahrensgang:
1. Mit Schreiben vom 31.10.2023 teilte die belangte Behörde der Beschwerdeführerin XXXX mit, dass aufgrund von zwei datenschutzrechtlichen Beschwerdeverfahren bei der Datenschutzbehörde (belangte Behörde), die eine behauptete Verletzung im Recht auf Geheimhaltung infolge einer vermutet unrechtmäßigen Videoüberwachung mit mindestens XXXX fest montierten Kameras zum Gegenstand gehabt habe und forderte die belangte Behörde die Beschwerdeführerin zur Rechtfertigung auf. Demnach sei den Beschwerden der betroffenen Personen Folge gegeben worden. 1. Mit Schreiben vom 31.10.2023 teilte die belangte Behörde der Beschwerdeführerin römisch 40 mit, dass aufgrund von zwei datenschutzrechtlichen Beschwerdeverfahren bei der Datenschutzbehörde (belangte Behörde), die eine behauptete Verletzung im Recht auf Geheimhaltung infolge einer vermutet unrechtmäßigen Videoüberwachung mit mindestens römisch 40 fest montierten Kameras zum Gegenstand gehabt habe und forderte die belangte Behörde die Beschwerdeführerin zur Rechtfertigung auf. Demnach sei den Beschwerden der betroffenen Personen Folge gegeben worden.
2. Mit Rechtfertigung vom XXXX 2023 brachte die Beschwerdeführerin anwaltlich vertreten im Wesentlichen vor, dass sie den inkriminierten Aufnahmebereich, aufgrund dessen die Stattgabe der Datenschutzbeschwerden erfolgte seien, verändert habe, indem durch Auspixeln nur mehr der Garderobenbereich und eben nicht mehr der Eingang der Toiletten erfasst werde. Das Restaurant sei hochpreisig und der Eventbereich sei Tatort von Diebstählen. Die Täter könnten leicht unbemerkt über Lobby oder Terrasse zum Garderobenbereich gelangen und dort Diebstähle an den abgelegten Kleidungsstücken und Handtaschen verüben. Die belangte Behörde habe nur betreffend die eine Kamera bei der Garderobe eine überschießende Datenverarbeitung festgestellt, weil das Miterfassen der Toiletteneingangsbereiche, die direkt neben der Garderobe liegen, nicht erforderlich sei. Alle anderen Kameras seien nach der datenschutzrechtlichen Überprüfung im Einklang mit den rechtlichen Bestimmungen und auch die Kamera im Garderobenbereich erfasse zu 75% Bereiche deren Überwachung zulässig seien. Jedenfalls sei das Verschulden als gering anzusehen und stelle die Beschwerdeführerin den Antrag das Verwaltungsstrafverfahren einzustellen in eventu eine Ermahnung auszusprechen. Ein Vorbringen zu den Einkommens- und Vermögensverhältnissen ist unterblieben. 2. Mit Rechtfertigung vom römisch 40 2023 brachte die Beschwerdeführerin anwaltlich vertreten im Wesentlichen vor, dass sie den inkriminierten Aufnahmebereich, aufgrund dessen die Stattgabe der Datenschutzbeschwerden erfolgte seien, verändert habe, indem durch Auspixeln nur mehr der Garderobenbereich und eben nicht mehr der Eingang der Toiletten erfasst werde. Das Restaurant sei hochpreisig und der Eventbereich sei Tatort von Diebstählen. Die Täter könnten leicht unbemerkt über Lobby oder Terrasse zum Garderobenbereich gelangen und dort Diebstähle an den abgelegten Kleidungsstücken und Handtaschen verüben. Die belangte Behörde habe nur betreffend die eine Kamera bei der Garderobe eine überschießende Datenverarbeitung festgestellt, weil das Miterfassen der Toiletteneingangsbereiche, die direkt neben der Garderobe liegen, nicht erforderlich sei. Alle anderen Kameras seien nach der datenschutzrechtlichen Überprüfung im Einklang mit den rechtlichen Bestimmungen und auch die Kamera im Garderobenbereich erfasse zu 75% Bereiche deren Überwachung zulässig seien. Jedenfalls sei das Verschulden als gering anzusehen und stelle die Beschwerdeführerin den Antrag das Verwaltungsstrafverfahren einzustellen in eventu eine Ermahnung auszusprechen. Ein Vorbringen zu den Einkommens- und Vermögensverhältnissen ist unterblieben.
3. Mit nunmehr angefochtenem Straferkenntnis vom XXXX 2023 wurde über die Beschwerdeführerin eine Geldstrafe von EUR XXXX ,00 gemäß Art 83 Abs. 1 und 5 lit. a DSGVO verhängt und der Beschwerdeführer gemäß § 64 VStG zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens in Höhe von EUR XXXX ,00 verpflichtet. 3. Mit nunmehr angefochtenem Straferkenntnis vom römisch 40 2023 wurde über die Beschwerdeführerin eine Geldstrafe von EUR römisch 40 ,00 gemäß Artikel 83, Absatz eins und 5 Litera a, DSGVO verhängt und der Beschwerdeführer gemäß Paragraph 64, VStG zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens in Höhe von EUR römisch 40 ,00 verpflichtet.
Der Beschwerdeführerin wurde zur Last gelegt, sie habe als Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO zumindest in der Zeit zwischen XXXX bis zum XXXX (Tatzeitraum) eine Videokamera im Garderobenbereich des XXXX betrieben und durch die Einstellung des Kamerawinkels einen Bereich erfasst, der zur Gefahrenabwehr nicht erforderlich gewesen sei. Die Beschwerdeführerin habe den Erfassungsbereich der inkriminierten Kamera zwischen dem XXXX und dem XXXX eingeschränkt, sodass der Eingangsbereich der Toiletten nicht mehr von der Kamera aufgezeichnet werden könne. Die Beschwerdeführerin habe durch die Wahl des Einstellungswinkels und dadurch, dass der Aufnahmebereich über das unbedingt erforderliche Ausmaß hinausgegangen sei, gegen Art. 5 Abs. 1 lit. c DSGVO und damit gegen Verarbeitungsgrundsätze der DSGVO verstoßen. Der Verarbeitung der Bilddaten, die für den Tatzeitraum festgestellt worden seien, hätte somit auch an einer Rechtfertigung gemäß Art. Abs. 1 gefehlt.Der Beschwerdeführerin wurde zur Last gelegt, sie habe als Verantwortlicher im Sinne des Artikel 4, Ziffer 7, DSGVO zumindest in der Zeit zwischen römisch 40 bis zum römisch 40 (Tatzeitraum) eine Videokamera im Garderobenbereich des römisch 40 betrieben und durch die Einstellung des Kamerawinkels einen Bereich erfasst, der zur Gefahrenabwehr nicht erforderlich gewesen sei. Die Beschwerdeführerin habe den Erfassungsbereich der inkriminierten Kamera zwischen dem römisch 40 und dem römisch 40 eingeschränkt, sodass der Eingangsbereich der Toiletten nicht mehr von der Kamera aufgezeichnet werden könne. Die Beschwerdeführerin habe durch die Wahl des Einstellungswinkels und dadurch, dass der Aufnahmebereich über das unbedingt erforderliche Ausmaß hinausgegangen sei, gegen Artikel 5, Absatz eins, Litera c, DSGVO und damit gegen Verarbeitungsgrundsätze der DSGVO verstoßen. Der Verarbeitung der Bilddaten, die für den Tatzeitraum festgestellt worden seien, hätte somit auch an einer Rechtfertigung gemäß Art. Absatz eins, gefehlt.
Rechtlich führte die belangte Behörde aus, dass nach der jüngsten Judikatur des EuGH zur Strafbarkeit von juristischen Personen die Pflicht zur Ermittlung der Verantwortung einer natürlichen Person entfalle. Die belangte Behörde könne eine juristische Person auch ohnedies zur Verantwortung ziehen. Geldbußen nach Art. 83 DSGVO könnten demnach auch unmittelbar gegen juristische Personen verhängt werden. Rechtlich führte die belangte Behörde aus, dass nach der jüngsten Judikatur des EuGH zur Strafbarkeit von juristischen Personen die Pflicht zur Ermittlung der Verantwortung einer natürlichen Person entfalle. Die belangte Behörde könne eine juristische Person auch ohnedies zur Verantwortung ziehen. Geldbußen nach Artikel 83, DSGVO könnten demnach auch unmittelbar gegen juristische Personen verhängt werden.
In subjektiver Hinsicht sei festzuhalten, dass es nach der höchstgerichtlichen Rechtsprechung nur auf einen schuldhaften Verstoß ankomme, aber nicht darauf, ob dieser vorsätzlich oder fahrlässig begangen werde. Die Verstöße seien nicht durch eine Person begangen worden, jedoch hafte die Beschwerdeführerin für den Verstoß. Die Beschwerdeführerin könne sich auch nicht über die unzweckmäßige Erfassung von Teilen des Toiletteneingangsbereichs im unklaren gewesen sein. Es liege somit im Ergebnis auf der subjektiven Tatseite auch das Verschulden in Form von Fahrlässigkeit im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor. Eine Einstellung des Verfahrens oder eine Ermahnung komme mit Verweis auf die Judikatur des VwGH zu § 45 VStG nicht infrage.In subjektiver Hinsicht sei festzuhalten, dass es nach der höchstgerichtlichen Rechtsprechung nur auf einen schuldhaften Verstoß ankomme, aber nicht darauf, ob dieser vorsätzlich oder fahrlässig begangen werde. Die Verstöße seien nicht durch eine Person begangen worden, jedoch hafte die Beschwerdeführerin für den Verstoß. Die Beschwerdeführerin könne sich auch nicht über die unzweckmäßige Erfassung von Teilen des Toiletteneingangsbereichs im unklaren gewesen sein. Es liege somit im Ergebnis auf der subjektiven Tatseite auch das Verschulden in Form von Fahrlässigkeit im Sinne des Artikel 83, Absatz 2, Litera b, DSGVO vor. Eine Einstellung des Verfahrens oder eine Ermahnung komme mit Verweis auf die Judikatur des VwGH zu Paragraph 45, VStG nicht infrage.
Im Zusammenhang mit der Strafzumessung führte die belangte Behörde aus, dass die Einkommens- und Vermögensverhältnisse der Beschwerdeführerin, mangels Angaben, nicht festgestellt und folglich nicht berücksichtigt worden seien und deshalb eine behördliche Einschätzung erfolgt sei. Das Verschulden der Beschwerdeführerin werde in Anbetracht der Art, Schwere und Dauer des Verstoßes als mittelschwer eingestuft.
Mildernd werde berücksichtigt, dass keine einschlägigen Vorstrafen bestünden, die Beschwerdeführerin an der Aufklärung mitgewirkt habe und die Beschwerdeführerin Anweisungen der belangten Behörde zeitnah umgesetzt habe. Die verhängte Strafe sei im Hinblick auf den verwirklichten Tatunwert gemessen am Strafrahmen tat- und schuldangemessen.
6. Gegen das Straferkenntnis wurde am XXXX 2024 Beschwerde eingebracht und darin zunächst ausgeführt, dass der Sachverhalt dem Grunde nach nicht bestritten werde, aber die Höhe der verhängten Geldstrafe angefochten werde, sowie, dass angesichts der Sachverhaltslage überhaupt eine Ermahnung ausreiche. Es wurde vorgebracht, dass es sich entgegen der Rechtsansicht der belangten Behörde, um keine schwere Verfehlung handle. Die Beschwerdeführerin habe die Videoüberwachung nach dem alten Datenschutzrecht im Jahr 2016 im DVR registriert und sei die Datenverarbeitung auch genehmigt worden. Überdies habe die Beschwerdeführerin die Überwachungsanlage äußerst zurückhaltend eingesetzt und im Einklang mit den Zwecken: die spezielle Gefahrenabwehr, die sich aus dem Betrieb des Gewerbes der Beschwerdeführerin ergebe. Jedenfalls treffe die Beschwerdeführerin kein mittelschweres Verschulden und würde auch angesichts des sofortigen Mitwirkens zur Beseitigung des Zustandes dazu führen, dass keine Bestrafung erforderlich sei.6. Gegen das Straferkenntnis wurde am römisch 40 2024 Beschwerde eingebracht und darin zunächst ausgeführt, dass der Sachverhalt dem Grunde nach nicht bestritten werde, aber die Höhe der verhängten Geldstrafe angefochten werde, sowie, dass angesichts der Sachverhaltslage überhaupt eine Ermahnung ausreiche. Es wurde vorgebracht, dass es sich entgegen der Rechtsansicht der belangten Behörde, um keine schwere Verfehlung handle. Die Beschwerdeführerin habe die Videoüberwachung nach dem alten Datenschutzrecht im Jahr 2016 im DVR registriert und sei die Datenverarbeitung auch genehmigt worden. Überdies habe die Beschwerdeführerin die Überwachungsanlage äußerst zurückhaltend eingesetzt und im Einklang mit den Zwecken: die spezielle Gefahrenabwehr, die sich aus dem Betrieb des Gewerbes der Beschwerdeführerin ergebe. Jedenfalls treffe die Beschwerdeführerin kein mittelschweres Verschulden und würde auch angesichts des sofortigen Mitwirkens zur Beseitigung des Zustandes dazu führen, dass keine Bestrafung erforderlich sei.
7. Mit Schreiben vom 16.01.2024 legte die belangte Behörde die Beschwerde und den Verwaltungsakt dem Bundesverwaltungsgericht vor.
8. Mit Beschluss vom 24.04.2024 wurde die Rechtssache der ursprünglich zugewiesenen Gerichtsabteilung abgenommen und der Abteilung W298 per 03.05.2024 neu zugewiesen.
9. Mit Beschluss vom 08.05.2024 forderte das Bundesverwaltungsgericht die belangte Behörde und die Beschwerdeführerin auf, weitere Akten – insbesondere die DVR Meldung – vorzulegen.
10. Mit Beschluss vom 17.06.2024 beraumte das Bundesveraltungsgericht eine mündliche Verhandlung an.
11. Mit Schriftsatz vom 26.06.2024 und vom 27.06.2024 verzichteten die Beschwerdeführerin und die belangte Behörde auf die Durchführung einer mündlichen Verhandlung und verwiesen jeweils auf das schriftliche Vorbringen.
II. Das Bundesverwaltungsgericht hat erwogen: römisch II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.Der unter Punkt römisch eins. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.
Folgender entscheidungswesentlicher Sachverhalt steht fest:
1. Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung und betreibt ein Restaurant und Eventmanagement an der XXXX .1. Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung und betreibt ein Restaurant und Eventmanagement an der römisch 40 .
2. Die Beschwerdeführerin betreibt seit der Meldung an das Datenverarbeitungsregister, das bei der Datenschutzbehörde geführt wurde, eine Videoüberwachung mit XXXX Kameras an der unter II.1. festgestellter Adresse zum Zwecke des Eigentumsschutzes der Gäste und zur speziellen Gefahrenprävention sowie zur Möglichkeit der Aufklärung von Straftaten. Eine der Kameras filmte einen Bereich der zur Zweckerreichung nicht unbedingt erforderlich ist. 2. Die Beschwerdeführerin betreibt seit der Meldung an das Datenverarbeitungsregister, das bei der Datenschutzbehörde geführt wurde, eine Videoüberwachung mit römisch 40 Kameras an der unter römisch II.1. festgestellter Adresse zum Zwecke des Eigentumsschutzes der Gäste und zur speziellen Gefahrenprävention sowie zur Möglichkeit der Aufklärung von Straftaten. Eine der Kameras filmte einen Bereich der zur Zweckerreichung nicht unbedingt erforderlich ist.
3. Die Beschwerdeführerin wirkte in der Folge an der Aufklärung des Tathergangs mit, gab jedoch ihre Einkommens- und Vermögensverhältnisse nicht bekannt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Verwaltungsakt, dem angefochtenen Straferkenntnis und der Beschwerde.
3. Rechtliche Beurteilung:
Zu A):
3.1. Zu Spruchpunkt I.3.1. Zu Spruchpunkt römisch eins.
3.1.1. Im vorliegenden Fall wendet sich der Beschwerdeführer in seiner an das Bundesverwaltungsgericht gerichteten Beschwerde ausschließlich gegen das Ausmaß der mit dem angefochtenen Erkenntnis verhängten Geldstrafe.
Gemäß § 27 Verwaltungsgerichtsverfahrensgesetz BGBl. I 2013/33 idF BGBl. I 2018/57 (im Folgenden: "VwGVG") hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.Gemäß Paragraph 27, Verwaltungsgerichtsverfahrensgesetz BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2018/57 (im Folgenden: "VwGVG") hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.
Gegenstand des vorliegenden Verfahrens kann und darf angesichts der vorliegenden Sach- und Rechtslage daher allein der Ausspruch der Strafe, nicht jedoch eine darüberhinausgehende Überprüfung des Schuldspruchs und damit der Bestrafung an sich sein. Hinsichtlich der Frage der Strafbarkeit ist insofern Teilrechtskraft eingetreten (siehe dazu ausdrücklich VwGH, 27.10.2014, Ra 2014/02/0053; VwGH 24.07.2019, Ra 2018/02/0034 u.v.m.).
3.1.2. Die für die Strafbemessung maßgeblichen Bestimmungen des Art. 83 DSGVO lauten auszugsweise wie folgt: 3.1.2. Die für die Strafbemessung maßgeblichen Bestimmungen des Artikel 83, DSGVO lauten auszugsweise wie folgt:
Art. 83 Abs.1, 2 und 5 lit. a DSGVO:Artikel 83, Absatz ,, 2 und 5 Litera a, DSGVO:
„Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a)
Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b)
Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c)
jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d)
Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e)
etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f)
Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g)
Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h)
Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i)
Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j)
Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
k)
jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a)
die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9, […]
3.1.3. Die gesetzlichen Grundlagen nach dem VStG lauten wie folgt:
§ 5 VStG:Paragraph 5, VStG:
(1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.
(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.(1a) Absatz eins, zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.
(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.
§ 10 VStG:Paragraph 10, VStG:
(1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem
Bundesgesetz nicht anderes bestimmt ist.
(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.
§ 16 VStG:Paragraph 16, VStG:
(1) Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine
Ersatzfreiheitsstrafe festzusetzen.
(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der Strafbemessung festzusetzen.(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf Paragraph 12, nach den Regeln der Strafbemessung festzusetzen.
§ 19 VStG:Paragraph 19, VStG:
(1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.
(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.(2) Im ordentlichen Verfahren (Paragraphen 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die Paragraphen 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.
3.2. Allgemeines zur Verhängung von Geldbußen nach Art. 83 DSGVO:3.2. Allgemeines zur Verhängung von Geldbußen nach Artikel 83, DSGVO:
Mit der Datenschutz-Grundverordnung („DSGVO“), die seit dem 25. Mai 2018 anwendbar ist, hat die EU eine umfassende Reform der Datenschutzvorschriften in Europa vollendet. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Die Verordnung stützt sich auf mehrere Schlüsselkomponenten, zu denen unter anderem stärkere Durchsetzungsbefugnisse der Aufsichtsbehörden gehören. Die DSGVO sieht als Neuerung deutlich höhere Geldbußen sowie eine Harmonisierung der Geldbußen zwischen den Mitgliedstaaten vor. Verantwortliche und Auftragsverarbeiter haben mehr als zuvor, Sorge dafür zu tragen, dass die personenbezogenen Daten natürlicher Personen wirksam geschützt werden. Die Aufsichtsbehörden sind befugt sicherzustellen, dass die Grundsätze der DSGVO sowie die Rechte der betroffenen Personen gemäß dem Wortlaut und dem Geist der DSGVO gewahrt werden. Die DSGVO schreibt vor, dass der Betrag der Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Abs. 1 DSGVO). Darüber hinaus haben die Aufsichtsbehörden bei der Festsetzung des Betrags der Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Art. 83 Abs. 2 DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer konkreten Bewertung, die in jedem Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen Parameter vorgenommen wird. Eine Mindestgeldbuße sieht die DSGVO für Verhaltensweisen, die gegen Datenschutzvorschriften verstoßen, nicht vor. Vielmehr sieht die DSGVO in ihrem Artikel 83 Absätze 4 bis 6, in denen verschiedene Verhaltensweisen zusammengefasst werden, lediglich Höchstbeträge vor. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Abs. 2 lit. a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen nicht ausdrücklich aufgeführt sind (da Art. 83 Abs. 2 lit. k DSGVO verlangt, dass jeglichen anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO). Jede verhängte Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das in Art. 83 Abs. 4 bis 6 DSGVO vorgesehene gesetzliche Höchstmaß nicht überschreiten (vgl. zu alldem die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Art. 83 DSGVO], Rz. 1 – 16). Mit der Datenschutz-Grundverordnung („DSGVO“), die seit dem 25. Mai 2018 anwendbar ist, hat die EU eine umfassende Reform der Datenschutzvorschriften in Europa vollendet. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Die Verordnung stützt sich auf mehrere Schlüsselkomponenten, zu denen unter anderem stärkere Durchsetzungsbefugnisse der Aufsichtsbehörden gehören. Die DSGVO sieht als Neuerung deutlich höhere Geldbußen sowie eine Harmonisierung der Geldbußen zwischen den Mitgliedstaaten vor. Verantwortliche und Auftragsverarbeiter haben mehr als zuvor, Sorge dafür zu tragen, dass die personenbezogenen Daten natürlicher Personen wirksam geschützt werden. Die Aufsichtsbehörden sind befugt sicherzustellen, dass die Grundsätze der DSGVO sowie die Rechte der betroffenen Personen gemäß dem Wortlaut und dem Geist der DSGVO gewahrt werden. Die DSGVO schreibt vor, dass der Betrag der Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Absatz eins, DSGVO). Darüber hinaus haben die Aufsichtsbehörden bei der Festsetzung des Betrags der Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Artikel 83, Absatz 2, DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer konkreten Bewertung, die in jedem Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen Parameter vorgenommen wird. Eine Mindestgeldbuße sieht die DSGVO für Verhaltensweisen, die gegen Datenschutzvorschriften verstoßen, nicht vor. Vielmehr sieht die DSGVO in ihrem Artikel 83 Absätze 4 bis 6, in denen verschiedene Verhaltensweisen zusammengefasst werden, lediglich Höchstbeträge vor. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Absatz 2, Litera a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen nicht ausdrücklich aufgeführt sind (da Artikel 83, Absatz 2, Litera k, DSGVO verlangt, dass jeglichen anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Artikel 83, Absatz eins, DSGVO). Jede verhängte Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das in Artikel 83, Absatz 4 bis 6 DSGVO vorgesehene gesetzliche Höchstmaß nicht überschreiten vergleiche zu alldem die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Artikel 83, DSGVO], Rz. 1 – 16).
In seiner jüngst ergangenen Rechtsprechung zu Art. 83 DSGVO hält der Europäische Gerichtshof (EuGH) zur Verhängung von Geldbußen durch nationale Aufsichtsbehörden die im folgenden dargestellten Grundsätze fest. In seiner jüngst ergangenen Rechtsprechung zu Artikel 83, DSGVO hält der Europäische Gerichtshof (EuGH) zur Verhängung von Geldbußen durch nationale Aufsichtsbehörden die im folgenden dargestellten Grundsätze fest.
Im Urteil vom 05.12.2023 in der Rechtssache C-807/21 [Deutsche Wohnen SE] führt der EuGH aus wie folgt [Hervorhebungen durch das Bundesverwaltungsgericht]:
„Zur Beantwortung der ersten Vorlagefrage ist zunächst festzustellen, dass sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen.„Zur Beantwortung der ersten Vorlagefrage ist zunächst festzustellen, dass sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Artikel 83, DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen.
In Art. 4 Nr. 7 DSGVO ist der Begriff „Verantwortlicher“ weit definiert als die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.In Artikel 4, Nr. 7 DSGVO ist der Begriff „Verantwortlicher“ weit definiert als die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Das Ziel dieser weiten Definition des Art. 4 Nr. 7 DSGVO – die ausdrücklich auch juristische Personen einschließt – besteht im Einklang mit dem Ziel der DSGVO darin, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten zu gewährleisten (vgl. in diesem Sinne Urteile vom 29. Juli 2019, Fashion ID, C?40/17, EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland, C?319/20, EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung).Das Ziel dieser weiten Definition des Artikel 4, Nr. 7 DSGVO – die ausdrücklich auch juristische Personen einschließt – besteht im Einklang mit dem Ziel der DSGVO darin, einen wirksamen Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten zu gewährleisten vergleiche in diesem Sinne Urteile vom 29. Juli 2019, Fashion ID, C?40/17, EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland, C?319/20, EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung).
Des Weiteren hat der Gerichtshof bereits entschieden, dass eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als Verantwortlicher angesehen werden kann (vgl. in diesem Sinne Urteil vom 10. Juli 2018, Jehovan todistajat, C?25/17, EU:C:2018:551, Rn. 68).Des Weiteren hat der Gerichtshof bereits entschieden, dass eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als Verantwortlicher angesehen werden kann vergleiche in diesem Sinne Urteil vom 10. Juli 2018, Jehovan todistajat, C?25/17, EU:C:2018:551, Rn. 68).
Somit ergibt sich aus dem Wortlaut und dem Zweck von Art. 4 Nr. 7 DSGVO, dass der Unionsgesetzgeber bei der Bestimmung der Haftung nach der DSGVO nicht zwischen natürlichen und juristischen Personen unterschieden hat, da die einzige Voraussetzung für diese Haftung darin besteht, dass diese Personen allein oder zusammen mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden.Somit ergibt sich aus dem Wortlaut und dem Zweck von Artikel 4, Nr. 7 DSGVO, dass der Unionsgesetzgeber bei der Bestimmung der Haftung nach der DSGVO nicht zwischen natürlichen und juristischen Personen unterschieden hat, da die einzige Voraussetzung für diese Haftung darin besteht, dass diese Personen allein oder zusammen mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden.
Vorbehaltlich der Bestimmungen von Art. 83 Abs. 7 DSGVO betreffend Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt – unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle handelt – u. a. für jeden in Art. 83 Abs. 4 bis 6 der DSGVO genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde.Vorbehaltlich der Bestimmungen von Artikel 83, Absatz 7, DSGVO betreffend Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt – unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle handelt – u. a. für jeden in Artikel 83, Absatz 4 bis 6 der DSGVO genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde.
[…]
Sodann legt Art. 58 Abs. 2 DSGVO die Befugnisse der Aufsichtsbehörden zum Erlass von Abhilfemaßnahmen genau fest, ohne auf das Recht der Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum einzuräumen. Zum einen zielen diese Befugnisse, zu denen gemäß Art. 58 Abs. 2 Buchst. i DSGVO die Befugnis zur Verhängung von Geldbußen gehört, auf den Verantwortlichen ab, und zum anderen kann ein solcher Verantwortlicher, wie aus Rn. 39 des vorliegenden Urteils hervorgeht, sowohl eine natürliche als auch eine juristische Person sein. Die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Art. 83 Abs. 1 bis 6 DSGVO genau und ohne Ermessensspielraum für die Mitgliedstaaten aufgeführt.Sodann legt Artikel 58, Absatz 2, DSGVO die Befugnisse der Aufsichtsbehörden zum Erlass von Abhilfemaßnahmen genau fest, ohne auf das Recht der Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum einzuräumen. Zum einen zielen diese Befugnisse, zu denen gemäß Artikel 58, Absatz 2, Buchst. i DSGVO die Befugnis zur Verhängung von Geldbußen gehört, auf den Verantwortlichen ab, und zum anderen kann ein solcher Verantwortlicher, wie aus Rn. 39 des vorliegenden Urteils hervorgeht, sowohl eine natürliche als auch eine juristische Person sein. Die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Artikel 83, Absatz eins bis 6 DSGVO genau und ohne Ermessensspielraum für die Mitgliedstaaten aufgeführt.
[…]
Zwar ergibt sich aus Art. 58 Abs. 4 und Art. 83 Abs. 8 DSGVO im Licht des 129. Erwägungsgrundes der DSGVO, dass die Ausübung der Befugnisse, über die die Aufsichtsbehörde gemäß diesen Artikeln verfügt, angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss.Zwar ergibt sich aus Artikel 58, Absatz 4 und Artikel 83, Absatz 8, DSGVO im Licht des 129. Erwägungsgrundes der DSGVO, dass die Ausübung der Befugnisse, über die die Aufsichtsbehörde gemäß diesen Artikeln verfügt, angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss.
Die Tatsache, dass die DSGVO den Mitgliedstaaten somit die Möglichkeit einräumt, Anforderungen an das von den Aufsichtsbehörden anzuwendende Verfahren bei der Verhängung einer Geldbuße vorzusehen, bedeutet jedoch keineswegs, dass sie auch befugt wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Art. 83 Abs. 1 bis 6 DSG
