Verwaltungsgerichtshof (VwGH)

Der EuGH hat im Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, ausgesprochen, dass Art. 58 Abs. 2 lit. i und Art. 83 DSGVO einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.Der EuGH hat im Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, ausgesprochen, dass Artikel 58, Absatz 2, Litera i und Artikel 83, DSGVO einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.

Der EuGH führt im Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE aus, dass sich aus dem Wortlaut von Art. 83 DSGVO ergibt, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können (Rn. 68 des zitierten EuGH-Urteiles). Art. 83 DSGVO gestattet es nicht, eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes zu verhängen, ohne dass nachgewiesen ist, dass dieser Verstoß von dem Verantwortlichen vorsätzlich oder fahrlässig begangen wurde (Rn. 75 des Urteiles).Der EuGH führt im Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE aus, dass sich aus dem Wortlaut von Artikel 83, DSGVO ergibt, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen können (Rn. 68 des zitierten EuGH-Urteiles). Artikel 83, DSGVO gestattet es nicht, eine Geldbuße wegen eines in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstoßes zu verhängen, ohne dass nachgewiesen ist, dass dieser Verstoß von dem Verantwortlichen vorsätzlich oder fahrlässig begangen wurde (Rn. 75 des Urteiles).

Im Zusammenhang mit der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Art. 83 DSGVO geahndet werden kann, stellt der EuGH klar, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt (vgl. EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 76 mHa EuGH 25.3.2021, C-591/16 P, Lundbeck/Kommission, Rn. 156; 25.3.2021, C-601/16 P, Arrow Group und Arrow Generics/Kommission, Rn. 97; 18.6.2013, C-681/11, Schenker & Co. u. a., Rn. 37, mwN). Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung von Art. 83 DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus (EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77, mwN).Im Zusammenhang mit der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und aufgrund dessen mit einer Geldbuße gemäß Artikel 83, DSGVO geahndet werden kann, stellt der EuGH klar, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt vergleiche EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 76 mHa EuGH 25.3.2021, C-591/16 P, Lundbeck/Kommission, Rn. 156; 25.3.2021, C-601/16 P, Arrow Group und Arrow Generics/Kommission, Rn. 97; 18.6.2013, C-681/11, Schenker & Co. u. a., Rn. 37, mwN). Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung von Artikel 83, DSGVO keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraus (EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77, mwN).

Der EuGH stellt für das Verschulden des Verantwortlichen für Verstöße gegen die DSGVO darauf ab, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Bewusstsein über den Rechtsverstoß ist keine Voraussetzung des Verschuldens.

Der Maßstab zur Feststellung des Verschuldens eines Verantwortlichen für Verstöße gegen die DSGVO wurde durch den EuGH klargestellt. Für entgegenstehende nationalrechtliche Vorgaben bleibt insbesondere im Hinblick auf den Hinweis des EuGH in dem Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, dass die Mitgliedstaaten nicht berechtigt sind, über die von den Aufsichtsbehörden anzuwendenden verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Art. 83 Abs. 1 bis 6 DSGVO geregelten hinzutreten (vgl. Rn. 48 des Urteils), im nationalen Recht kein Raum. Für die Ermittlung des Verschuldens des Verantwortlichen hat demzufolge § 5 VStG außer Betracht zu bleiben, weil es ausschließlich auf die in der Rechtsprechung des EuGH als maßgeblich genannte Frage ankommt, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Bei der Festlegung dieses Verschuldensmaßstabes nimmt der EuGH Bezug auf seine kartellrechtliche Rechtsprechung (vgl. EuGH 18.6.2013, C-681/11, Schenker & Co AG u.a., EuGH 25.3.2021, C-601/16P, Arrow Group; vgl. auch EuG 12.12.2012, T-332/09, Electrabel/Europäische Kommission). Für die Frage, wann ein Verhalten eines Verantwortlichen für einen Verstoß gegen die DSGVO als schuldhaft (vorsätzlich oder fahrlässig) anzusehen ist, kann des Weiteren auf die Leitlinien des EDSA 04/2022 für die Berechnung von Geldbußen im Sinne der DSGVO, Vers 2.1, vom 24. Mai 2023 zurückgegriffen werden.Der Maßstab zur Feststellung des Verschuldens eines Verantwortlichen für Verstöße gegen die DSGVO wurde durch den EuGH klargestellt. Für entgegenstehende nationalrechtliche Vorgaben bleibt insbesondere im Hinblick auf den Hinweis des EuGH in dem Urteil vom 5. Dezember 2023, C-807/21, Deutsche Wohnen SE, dass die Mitgliedstaaten nicht berechtigt sind, über die von den Aufsichtsbehörden anzuwendenden verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen vorzusehen, die zu den in Artikel 83, Absatz eins bis 6 DSGVO geregelten hinzutreten vergleiche Rn. 48 des Urteils), im nationalen Recht kein Raum. Für die Ermittlung des Verschuldens des Verantwortlichen hat demzufolge Paragraph 5, VStG außer Betracht zu bleiben, weil es ausschließlich auf die in der Rechtsprechung des EuGH als maßgeblich genannte Frage ankommt, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Bei der Festlegung dieses Verschuldensmaßstabes nimmt der EuGH Bezug auf seine kartellrechtliche Rechtsprechung vergleiche EuGH 18.6.2013, C-681/11, Schenker & Co AG u.a., EuGH 25.3.2021, C-601/16P, Arrow Group; vergleiche auch EuG 12.12.2012, T-332/09, Electrabel/Europäische Kommission). Für die Frage, wann ein Verhalten eines Verantwortlichen für einen Verstoß gegen die DSGVO als schuldhaft (vorsätzlich oder fahrlässig) anzusehen ist, kann des Weiteren auf die Leitlinien des EDSA 04 aus 2022, für die Berechnung von Geldbußen im Sinne der DSGVO, Vers 2.1, vom 24. Mai 2023 zurückgegriffen werden.

Das Auslegungsergebnis, wonach die einer bestimmt bezeichneten Person zugeschriebene (hohe) Empfänglichkeit für Werbung konkreter Parteien kein personenbezogenes Datum sein soll, lässt sich aus Art. 4 Z 1 DSGVO keinesfalls ableiten.Das Auslegungsergebnis, wonach die einer bestimmt bezeichneten Person zugeschriebene (hohe) Empfänglichkeit für Werbung konkreter Parteien kein personenbezogenes Datum sein soll, lässt sich aus Artikel 4, Ziffer eins, DSGVO keinesfalls ableiten.

Ob die verantwortliche Gesellschaft mit gutem Grund die Einhaltung der datenschutzrechtlichen Vorschriften aufgrund der Einrichtung einer qualitätsgesicherten Organisation (vgl. dazu VwGH 23.6.2021, Ro 2019/03/0020 bis 0021, Rn. 45 und 46, mHa grundlegend VwGH 20.3.2018, Ra 2017/03/0092, mwN) erwarten konnte, ist nach der Rechtsprechung des EuGH in der Rechtssache Deutsche Wohnen SE nicht maßgeblich, weil das Verschulden des Verantwortlichen - im Falle einer juristischen Person - nicht einmal Kenntnis des Leitungsorgans voraussetzt (vgl. EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77).Ob die verantwortliche Gesellschaft mit gutem Grund die Einhaltung der datenschutzrechtlichen Vorschriften aufgrund der Einrichtung einer qualitätsgesicherten Organisation vergleiche dazu VwGH 23.6.2021, Ro 2019/03/0020 bis 0021, Rn. 45 und 46, mHa grundlegend VwGH 20.3.2018, Ra 2017/03/0092, mwN) erwarten konnte, ist nach der Rechtsprechung des EuGH in der Rechtssache Deutsche Wohnen SE nicht maßgeblich, weil das Verschulden des Verantwortlichen - im Falle einer juristischen Person - nicht einmal Kenntnis des Leitungsorgans voraussetzt vergleiche EuGH 5.12.2023, C-807/21, Deutsche Wohnen SE, Rn. 77).

Für die Frage des Verschuldens der Verantwortlichen ist wesentlich, ob es sich bei der von ihr vertretenen Rechtsansicht um eine im Zeitpunkt der Verarbeitung vertretbare Rechtsansicht handelte. Im Hinblick auf die Rechtsprechung des EuGH und des EuG kommt dabei dem Vorliegen von Rechtsprechung (Präzedenzfällen), auf die der Verantwortliche seine Rechtsansicht stützen konnte, wesentliche Bedeutung zu (vgl. EuGH 25.3.2021, C-601/16P, Arrow Group, Rn. 99; EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 258). Auch die EDSA-Leitlinien weisen Versäumnisse beim Lesen und Einhalten vorhandener Richtlinien und Versäumnisse bei der Prüfung veröffentlichter Informationen auf personenbezogene Daten als Umstände aus, die auf Fahrlässigkeit hindeuten können (vgl. EDSA-Leitlinien 04/2022, S. 20-21).Für die Frage des Verschuldens der Verantwortlichen ist wesentlich, ob es sich bei der von ihr vertretenen Rechtsansicht um eine im Zeitpunkt der Verarbeitung vertretbare Rechtsansicht handelte. Im Hinblick auf die Rechtsprechung des EuGH und des EuG kommt dabei dem Vorliegen von Rechtsprechung (Präzedenzfällen), auf die der Verantwortliche seine Rechtsansicht stützen konnte, wesentliche Bedeutung zu vergleiche EuGH 25.3.2021, C-601/16P, Arrow Group, Rn. 99; EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 258). Auch die EDSA-Leitlinien weisen Versäumnisse beim Lesen und Einhalten vorhandener Richtlinien und Versäumnisse bei der Prüfung veröffentlichter Informationen auf personenbezogene Daten als Umstände aus, die auf Fahrlässigkeit hindeuten können vergleiche EDSA-Leitlinien 04 aus 2022,, S. 20-21).

Von einer unklaren Rechtslage in Bezug auf die Einstufung der Parteiaffinitäten als besondere Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO war schon im Hinblick auf die - bei der Ermittlung dieser Daten beabsichtigte - Wahrscheinlichkeit des Hervorgehens der politischen Meinung aus den verarbeiteten Daten und den Schutzweck des Art. 9 Abs. 1 DSGVO nicht auszugehen (vgl. VwGH 14.12.2021, Ro 2021/04/0007, Rn. 46 bis 48). Die Rechtsansicht, wonach das Verarbeiten von Marketingklassifikationen für politische Werbung mit keinem Risiko für den Betroffenen verbunden sei, erweist sich schon vor diesem Hintergrund als unvertretbar.Von einer unklaren Rechtslage in Bezug auf die Einstufung der Parteiaffinitäten als besondere Kategorien von Daten gemäß Artikel 9, Absatz eins, DSGVO war schon im Hinblick auf die - bei der Ermittlung dieser Daten beabsichtigte - Wahrscheinlichkeit des Hervorgehens der politischen Meinung aus den verarbeiteten Daten und den Schutzweck des Artikel 9, Absatz eins, DSGVO nicht auszugehen vergleiche VwGH 14.12.2021, Ro 2021/04/0007, Rn. 46 bis 48). Die Rechtsansicht, wonach das Verarbeiten von Marketingklassifikationen für politische Werbung mit keinem Risiko für den Betroffenen verbunden sei, erweist sich schon vor diesem Hintergrund als unvertretbar.

Von nur leichter Fahrlässigkeit ist in Bezug auf das Bestehen von erheblichen Mitteln zur Prüfung der Rechtsfrage des Personenbezuges der Parteiaffinitäten bei der Veranwortlichen, die eine genaue Analyse der vorgelegenen Entscheidungen der Datenschutzbehörden für die Veranwortliche leicht ermöglichten (vgl. dazu EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 250), nicht auszugehen.Von nur leichter Fahrlässigkeit ist in Bezug auf das Bestehen von erheblichen Mitteln zur Prüfung der Rechtsfrage des Personenbezuges der Parteiaffinitäten bei der Veranwortlichen, die eine genaue Analyse der vorgelegenen Entscheidungen der Datenschutzbehörden für die Veranwortliche leicht ermöglichten vergleiche dazu EuG 12.12.2012, T-332/9, Electrabel/Europäische Kommission, Rn. 250), nicht auszugehen.

Das nach Art. 30 Abs. 1 DSGVO vom Verantwortlichen zu führende Verzeichnis von Verarbeitungstätigkeiten soll den Nachweis ermöglichen, dass der Verantwortliche personenbezogene Daten im Einklang mit der DSGVO verarbeitet (vgl. ErwGr 82). Verstöße gegen Art. 30 führen nicht unmittelbar dazu, dass die pflichtwidrig undokumentierte Verarbeitung rechtswidrig ist.Das nach Artikel 30, Absatz eins, DSGVO vom Verantwortlichen zu führende Verzeichnis von Verarbeitungstätigkeiten soll den Nachweis ermöglichen, dass der Verantwortliche personenbezogene Daten im Einklang mit der DSGVO verarbeitet vergleiche ErwGr 82). Verstöße gegen Artikel 30, führen nicht unmittelbar dazu, dass die pflichtwidrig undokumentierte Verarbeitung rechtswidrig ist.

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 Abs. 1 DSGVO verlangt vom Verantwortlichen nicht allein eine Dokumentation, sondern den Nachweis eines wertenden Abwägens des Verantwortlichen, ob die durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen im Lichte des verfolgten Zwecks einerseits tragbar sind und andererseits die Eintrittswahrscheinlichkeit einer rechtswidrigen Verarbeitung der Daten der betroffenen Person durch technische und organisatorische Maßnahmen hinreichend vermindert werden können. Eine nicht oder fehlerhaft durchgeführte DSFA wirkt sich daher nicht auf die materielle Zulässigkeit der Verarbeitungsvorgänge personenbezogener Daten aus.Eine Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35, Absatz eins, DSGVO verlangt vom Verantwortlichen nicht allein eine Dokumentation, sondern den Nachweis eines wertenden Abwägens des Verantwortlichen, ob die durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen im Lichte des verfolgten Zwecks einerseits tragbar sind und andererseits die Eintrittswahrscheinlichkeit einer rechtswidrigen Verarbeitung der Daten der betroffenen Person durch technische und organisatorische Maßnahmen hinreichend vermindert werden können. Eine nicht oder fehlerhaft durchgeführte DSFA wirkt sich daher nicht auf die materielle Zulässigkeit der Verarbeitungsvorgänge personenbezogener Daten aus.

Der EuGH hat in seinem Urteil vom 4. Mai 2023, C-60/22, UZ/Bundesrepublik Deutschland, Rn. 69, festgehalten, dass der Verstoß eines Verantwortlichen gegen die Pflichten aus den Art. 26 und 30 der DSGVO über den Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung für die Verarbeitung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten keine unrechtmäßige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht, weil dieser Verstoß als solcher nicht bedeutet, dass der Verantwortliche gegen den Grundsatz der "Rechenschaftspflicht" im Sinne von Art. 5 Abs. 2 in Verbindung mit Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 Unterabs. 1 der DSGVO verstößt.Der EuGH hat in seinem Urteil vom 4. Mai 2023, C-60/22, UZ/Bundesrepublik Deutschland, Rn. 69, festgehalten, dass der Verstoß eines Verantwortlichen gegen die Pflichten aus den Artikel 26 und 30 der DSGVO über den Abschluss einer Vereinbarung zur Festlegung der gemeinsamen Verantwortung für die Verarbeitung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten keine unrechtmäßige Verarbeitung darstellt, die der betroffenen Person ein Recht auf Löschung oder auf Einschränkung der Verarbeitung verleiht, weil dieser Verstoß als solcher nicht bedeutet, dass der Verantwortliche gegen den Grundsatz der "Rechenschaftspflicht" im Sinne von Artikel 5, Absatz 2, in Verbindung mit Artikel 5, Absatz eins, Litera a und Artikel 6, Absatz eins, Unterabs. 1 der DSGVO verstößt.

Ein Verstoß gegen formelle Pflichten des Verantwortlichen hat nach der Rechtsprechung des EuGH für sich genommen keine Auswirkungen auf die Rechtmäßigkeit der Verarbeitung.

Das Vorliegen einer Konsumtion ist zu bejahen, wenn durch zwei Übertretungen dasselbe Rechtsgut verletzt wird und das eine Delikt das andere zwingend nach sich zieht (vgl. VwGH 16.9.1999, 99/07/0086; VwGH 28.2.1992, 90/10/0052).Das Vorliegen einer Konsumtion ist zu bejahen, wenn durch zwei Übertretungen dasselbe Rechtsgut verletzt wird und das eine Delikt das andere zwingend nach sich zieht vergleiche VwGH 16.9.1999, 99/07/0086; VwGH 28.2.1992, 90/10/0052).

Art. 35 Abs. 1 iVm Abs. 3 DSGVO erfordert eine Bewertung der durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen. Dies bezieht sich nach Art. 35 DSGVO auf die Form einer Verarbeitung, aus der ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen resultieren kann.Artikel 35, Absatz eins, in Verbindung mit Absatz 3, DSGVO erfordert eine Bewertung der durch die Datenverarbeitung verursachten Eingriffe und potentiellen Gefahren für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Personen. Dies bezieht sich nach Artikel 35, DSGVO auf die Form einer Verarbeitung, aus der ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen resultieren kann.

Der Unwert des Verstoßes der Verantwortlichen gegen Art. 35 Abs. 1 iVm Abs. 3 DSGVO aufgrund der Verneinung der Verarbeitung besonderer Kategorien von personenbezogenen Daten ist durch den Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO konsumiert.Der Unwert des Verstoßes der Verantwortlichen gegen Artikel 35, Absatz eins, in Verbindung mit Absatz 3, DSGVO aufgrund der Verneinung der Verarbeitung besonderer Kategorien von personenbezogenen Daten ist durch den Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO konsumiert.

Die unrichtige rechtliche Beurteilung, dass es sich bei den Parteiaffinitäten nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO handelte, mithin die Übertretung der Grundsätze der Verarbeitung nach Art. 5 Abs. 1 lit. a iVm Art. 9 Abs. 1 DSGVO, zog nach sich, dass die Parteiaffinitäten nicht als eigene Kategorien personenbezogener Daten in das Verzeichnis von Verarbeitungstätigkeiten aufgenommen wurden. Ein gesonderter Unrechtsgehalt ist der unrichtigen Einstufung der Parteiaffinitäten in Bezug auf die Erfüllung der Dokumentationspflicht nach Art. 30 Abs. 1 DSGVO nicht zu entnehmen.Die unrichtige rechtliche Beurteilung, dass es sich bei den Parteiaffinitäten nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten nach Artikel 9, Absatz eins, DSGVO handelte, mithin die Übertretung der Grundsätze der Verarbeitung nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 9, Absatz eins, DSGVO, zog nach sich, dass die Parteiaffinitäten nicht als eigene Kategorien personenbezogener Daten in das Verzeichnis von Verarbeitungstätigkeiten aufgenommen wurden. Ein gesonderter Unrechtsgehalt ist der unrichtigen Einstufung der Parteiaffinitäten in Bezug auf die Erfüllung der Dokumentationspflicht nach Artikel 30, Absatz eins, DSGVO nicht zu entnehmen.

Gemäß Art. 83 Abs. 3 DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen (vgl. etwa zum Anwendungsvorrang des Unionsrechts gegenüber dem in § 22 VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf.Gemäß Artikel 83, Absatz 3, DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen vergleiche etwa zum Anwendungsvorrang des Unionsrechts gegenüber dem in Paragraph 22, VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf.

Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Art. 83 für Verstöße gegen die DSGVO gemäß seinen Abs. 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist (vgl. EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 24 und 25). Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Art. 101 und 102 AEUV als Adressaten berücksichtigt, kann die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein (vgl. EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 58).Nach Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel 83, für Verstöße gegen die DSGVO gemäß seinen Absatz 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist vergleiche EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 24 und 25). Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Artikel 101 und 102 AEUV als Adressaten berücksichtigt, kann die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein vergleiche EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 58).

Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen, die in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien sowie die in § 19 VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Art. 101 und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist. Vom VwGH ist daher (bloß) zu prüfen, ob das VwG einzelfallbezogen von dem ihm eingeräumten Ermessen im Sinn der DSGVO und des VStG Gebrauch gemacht hat, das heißt, ob die verhängte Strafe unter Bedachtnahme auf die Strafbemessungsgründe vertretbar erscheint (vgl. zur Strafbemessung nach § 19 VStG etwa VwGH 29.4.2025, Ro 2024/11/0002, Rn. 46, mwN).Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen, die in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien sowie die in Paragraph 19, VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Artikel 101 und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist. Vom VwGH ist daher (bloß) zu prüfen, ob das VwG einzelfallbezogen von dem ihm eingeräumten Ermessen im Sinn der DSGVO und des VStG Gebrauch gemacht hat, das heißt, ob die verhängte Strafe unter Bedachtnahme auf die Strafbemessungsgründe vertretbar erscheint vergleiche zur Strafbemessung nach Paragraph 19, VStG etwa VwGH 29.4.2025, Ro 2024/11/0002, Rn. 46, mwN).

Die Verantwortliche prüfte die Rechtmäßigkeit der Verarbeitung der Parteiaffinitäten im Rahmen der von ihr eingerichteten Datenschutzstruktur, die aus der Datenschutzmanagerin und der Datenschutzbeauftragten bestand, unter Einbeziehung der betroffenen Fachabteilungen. Im Ergebnis nahm die Verantwortliche die Beurteilung des Personenbezugs der Parteiaffinitäten unrichtig vor und prüfte davon ausgehend nicht weiter, ob es sich dabei um besondere Kategorien von personenbezogenen Daten nach Art. 9 DSGVO handelte. Auch wenn dies nicht dazu führt, dass der Verantwortlichen keine grobe Fahrlässigkeit vorzuwerfen ist, ist dieser Umstand doch beim Grad der Verantwortung des Verantwortlichen nach Art. 83 Abs. 2 lit. d DSGVO bei der Bemessung der Geldbuße zu Gunsten der Verantwortlichen zu berücksichtigen.Die Verantwortliche prüfte die Rechtmäßigkeit der Verarbeitung der Parteiaffinitäten im Rahmen der von ihr eingerichteten Datenschutzstruktur, die aus der Datenschutzmanagerin und der Datenschutzbeauftragten bestand, unter Einbeziehung der betroffenen Fachabteilungen. Im Ergebnis nahm die Verantwortliche die Beurteilung des Personenbezugs der Parteiaffinitäten unrichtig vor und prüfte davon ausgehend nicht weiter, ob es sich dabei um besondere Kategorien von personenbezogenen Daten nach Artikel 9, DSGVO handelte. Auch wenn dies nicht dazu führt, dass der Verantwortlichen keine grobe Fahrlässigkeit vorzuwerfen ist, ist dieser Umstand doch beim Grad der Verantwortung des Verantwortlichen nach Artikel 83, Absatz 2, Litera d, DSGVO bei der Bemessung der Geldbuße zu Gunsten der Verantwortlichen zu berücksichtigen.

Gemäß Art. 83 Abs. 2 lit. e DSGVO sind etwaige frühere Verstöße des Verantwortlichen bei der Entscheidung über den Betrag der Geldbuße zu berücksichtigen. Nach den EDSA-Leitlinien 04/2022, Rn. 94, kann das Vorliegen früherer Verstöße bei der Berechnung der Geldbuße als erschwerender Faktor gesehen werden. Lägen keine früheren Verstöße vor, kann dies jedoch nicht als mildernder Umstand angesehen werden, weil die Einhaltung der DSGVO die Regel sei. Das VwG berücksichtigte das Fehlen früherer Verstöße der Verantwortlichen als Fehlen des Erschwernisgrundes einer "einschlägigen Vorstrafe" in dem angefochtenen Erkenntnis. Nach dem Wortlaut des Art. 83 Abs. 2 lit. e DSGVO, der auf das Vorliegen früherer Verstöße als Kriterium für die Bemessung der Geldbuße abstellt, sowie nach den Ausführungen in den EDSA-Leitlinien war eine darüber hinausgehende Berücksichtigung des Fehlens früherer Verstöße der Verantwortlichen gegen die DSGVO als mildernder Umstand nicht geboten.Gemäß Artikel 83, Absatz 2, Litera e, DSGVO sind etwaige frühere Verstöße des Verantwortlichen bei der Entscheidung über den Betrag der Geldbuße zu berücksichtigen. Nach den EDSA-Leitlinien 04 aus 2022,, Rn. 94, kann das Vorliegen früherer Verstöße bei der Berechnung der Geldbuße als erschwerender Faktor gesehen werden. Lägen keine früheren Verstöße vor, kann dies jedoch nicht als mildernder Umstand angesehen werden, weil die Einhaltung der DSGVO die Regel sei. Das VwG berücksichtigte das Fehlen früherer Verstöße der Verantwortlichen als Fehlen des Erschwernisgrundes einer "einschlägigen Vorstrafe" in dem angefochtenen Erkenntnis. Nach dem Wortlaut des Artikel 83, Absatz 2, Litera e, DSGVO, der auf das Vorliegen früherer Verstöße als Kriterium für die Bemessung der Geldbuße abstellt, sowie nach den Ausführungen in den EDSA-Leitlinien war eine darüber hinausgehende Berücksichtigung des Fehlens früherer Verstöße der Verantwortlichen gegen die DSGVO als mildernder Umstand nicht geboten.

Der Verantwortlichen wurde zwar die Verarbeitung der Datenart Parteiaffinitäten zum Zwecke des Adresshandels und Direktmarketing ohne Einwilligung der betroffenen Personen mit Erkenntnis des VwG untersagt und die gegen dieses Erkenntnis gerichtete Revision wurde mit Erkenntnis des VwGH als unbegründet abgewiesen (vgl. VwGH 14.12.2021, Ro 2021/04/0007). Dies führt jedoch nicht dazu, dass bei der Strafbemessung spezialpräventive Erwägungen in Bezug auf die Tätigkeit der Verantwortlichen im Bereich des Adressverlags und des Direktmarketings gänzlich außer Betracht bleiben können.Der Verantwortlichen wurde zwar die Verarbeitung der Datenart Parteiaffinitäten zum Zwecke des Adresshandels und Direktmarketing ohne Einwilligung der betroffenen Personen mit Erkenntnis des VwG untersagt und die gegen dieses Erkenntnis gerichtete Revision wurde mit Erkenntnis des VwGH als unbegründet abgewiesen vergleiche VwGH 14.12.2021, Ro 2021/04/0007). Dies führt jedoch nicht dazu, dass bei der Strafbemessung spezialpräventive Erwägungen in Bezug auf die Tätigkeit der Verantwortlichen im Bereich des Adressverlags und des Direktmarketings gänzlich außer Betracht bleiben können.

Art. 83 Abs. 4 und 5 DSGVO stellt als Bemessungsgrundlage der Geldbuße jeweils auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres ab. Auch aus den EDSA-Leitlinien 04/2022, Rn. 128 ff, ergeben sich keine mit den Leitlinien für das Verfahren zur Festsetzung von Geldbußen der Europäischen Kommission (ABl. C 210 vom 1.9.2006, pp. 2-5) vergleichbaren Anhaltspunkte für eine Berücksichtigung des tatbezogenen Umsatzes.Artikel 83, Absatz 4 und 5 DSGVO stellt als Bemessungsgrundlage der Geldbuße jeweils auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres ab. Auch aus den EDSA-Leitlinien 04 aus 2022,, Rn. 128 ff, ergeben sich keine mit den Leitlinien für das Verfahren zur Festsetzung von Geldbußen der Europäischen Kommission Amtsblatt C 210 vom 1.9.2006, pp. 2-5) vergleichbaren Anhaltspunkte für eine Berücksichtigung des tatbezogenen Umsatzes.

Die Verarbeitung der Parteiaffinitäten (als Verstoß gegen das Rechtmäßigkeitsgebot des Art. 5 Abs. 1 lit. a erster Fall DSGVO iVm dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Art. 9 Abs. 1 DSGVO) ist schon aufgrund der Eingriffsintensität in Bezug auf die betroffenen besonderen Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO als schwerer Verstoß zu betrachten.Die Verarbeitung der Parteiaffinitäten (als Verstoß gegen das Rechtmäßigkeitsgebot des Artikel 5, Absatz eins, Litera a, erster Fall DSGVO in Verbindung mit dem Verarbeitungsverbot besonderer Kategorien personenbezogener Daten des Artikel 9, Absatz eins, DSGVO) ist schon aufgrund der Eingriffsintensität in Bezug auf die betroffenen besonderen Kategorien von personenbezogenen Daten nach Artikel 9, Absatz eins, DSGVO als schwerer Verstoß zu betrachten.

Die Dauer eines Vorabentscheidungsverfahrens vor dem EuGH wird – anders als die Dauer des Verfahrens vor dem VwGH (vgl. VwGH 30.4.2025, Ro 2021/04/0024, Rn. 39, mwN) - nicht in die Gesamtverfahrensdauer miteingerechnet (vgl. EGMR (Große Kammer) 27.6.2017, Satakunnan Markkinapörssi Oy und Satamedia Oy/Finnland, 931/13, Z 208, mwN).Die Dauer eines Vorabentscheidungsverfahrens vor dem EuGH wird – anders als die Dauer des Verfahrens vor dem VwGH vergleiche VwGH 30.4.2025, Ro 2021/04/0024, Rn. 39, mwN) - nicht in die Gesamtverfahrensdauer miteingerechnet vergleiche EGMR (Große Kammer) 27.6.2017, Satakunnan Markkinapörssi Oy und Satamedia Oy/Finnland, 931/13, Ziffer 208,, mwN).

Zu den in seinem Urteil, MT, C-231/20, als mit dem Unionsrecht im Einklang stehend beurteilten Strafbestimmungen nach dem GSpG 1989 hat der EuGH ausgeführt, es sei Sache des nationalen Gerichts, auch in den jeweiligen Einzelfällen - insbesondere auch vor dem Hintergrund allfälliger außerordentlicher Umstände - zu beurteilen, ob die Gesamtsummen der verhängten (Mindest-)Geldstrafen in Hinblick auf die zu erzielende abschreckende Wirkung und die insgesamt verhängten Ersatzfreiheitsstrafen in Hinblick auf die Schwere der Tat noch verhältnismäßig sind bzw. der Beitrag zu den Kosten des Verfahrens in Hinblick auf die tatsächlichen Kosten nicht überhöht ist und nicht das in Art. 47 GRC verankerte Recht auf Zugang zu den Gerichten verletzt (vgl. auch VwGH 10.12.2021, Ra 2020/17/0013).Zu den in seinem Urteil, MT, C-231/20, als mit dem Unionsrecht im Einklang stehend beurteilten Strafbestimmungen nach dem GSpG 1989 hat der EuGH ausgeführt, es sei Sache des nationalen Gerichts, auch in den jeweiligen Einzelfällen - insbesondere auch vor dem Hintergrund allfälliger außerordentlicher Umstände - zu beurteilen, ob die Gesamtsummen der verhängten (Mindest-)Geldstrafen in Hinblick auf die zu erzielende abschreckende Wirkung und die insgesamt verhängten Ersatzfreiheitsstrafen in Hinblick auf die Schwere der Tat noch verhältnismäßig sind bzw. der Beitrag zu den Kosten des Verfahrens in Hinblick auf die tatsächlichen Kosten nicht überhöht ist und nicht das in Artikel 47, GRC verankerte Recht auf Zugang zu den Gerichten verletzt vergleiche auch VwGH 10.12.2021, Ra 2020/17/0013).

Die Rechtsgrundlagen für die Verhängung von Geldstrafen gemäß § 52 Abs. 2 dritter Strafsatz GSpG 1989, für die Verhängung von Ersatzfreiheitsstrafen gemäß § 16 VStG im Zusammenhang mit der Verhängung von Geldstrafen gemäß § 52 Abs. 2 dritter Strafsatz GSpG 1989 und für die Vorschreibung eines Beitrages zu den Kosten des Strafverfahrens gemäß § 64 Abs. 2 VStG sind grundsätzlich mit dem Unionsrecht (insbesondere Art. 56 AEUV und Art. 49 Abs. 3 der GRC vereinbar. Sofern im Einzelfall außerordentliche Umstände vorliegen, die vom Gesetzgeber bei der Erstellung des gesetzlichen Strafrahmens bzw. der Normierung des Verfahrenskostenbeitrages nicht hinreichend berücksichtigt worden sind und bei denen auch mit der Anwendung des § 20 VStG nicht das Auslangen gefunden werden kann, ist bei der Anwendung dieser Rechtsgrundlagen sicherzustellen, dass die jeweils bemessene Geldstrafe und die Gesamtsumme der verhängten Geldstrafen nicht außer Verhältnis zum durch die geahndeten Taten erzielbaren wirtschaftlichen Nutzen stehen, sowie, dass die Dauer der tatsächlich verhängten Ersatzfreiheitsstrafen der Schwere der Übertretungen entspricht und dass der Beitrag zu den Kosten des Verwaltungsstrafverfahrens nicht überhöht ist.Die Rechtsgrundlagen für die Verhängung von Geldstrafen gemäß Paragraph 52, Absatz 2, dritter Strafsatz GSpG 1989, für die Verhängung von Ersatzfreiheitsstrafen gemäß Paragraph 16, VStG im Zusammenhang mit der Verhängung von Geldstrafen gemäß Paragraph 52, Absatz 2, dritter Strafsatz GSpG 1989 und für die Vorschreibung eines Beitrages zu den Kosten des Strafverfahrens gemäß Paragraph 64, Absatz 2, VStG sind grundsätzlich mit dem Unionsrecht (insbesondere Artikel 56, AEUV und Artikel 49, Absatz 3, der GRC vereinbar. Sofern im Einzelfall außerordentliche Umstände vorliegen, die vom Gesetzgeber bei der Erstellung des gesetzlichen Strafrahmens bzw. der Normierung des Verfahrenskostenbeitrages nicht hinreichend berücksichtigt worden sind und bei denen auch mit der Anwendung des Paragraph 20, VStG nicht das Auslangen gefunden werden kann, ist bei der Anwendung dieser Rechtsgrundlagen sicherzustellen, dass die jeweils bemessene Geldstrafe und die Gesamtsumme der verhängten Geldstrafen nicht außer Verhältnis zum durch die geahndeten Taten erzielbaren wirtschaftlichen Nutzen stehen, sowie, dass die Dauer der tatsächlich verhängten Ersatzfreiheitsstrafen der Schwere der Übertretungen entspricht und dass der Beitrag zu den Kosten des Verwaltungsstrafverfahrens nicht überhöht ist.

Art. 83 Abs. 4 bis 6 DSGVO sehen für Unternehmen Höchstbeträge für die nach diesen Bestimmungen zu verhängenden Geldbußen auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens vor. Im Falle von Verstößen gegen Art. 83 Abs. 4 bis 6 DSGVO können somit - für das Verwaltungsstrafverfahren - außergewöhnlich hohe Geldbußen verhängt werden. § 64 Abs. 2 VStG normiert jedoch keine Höchstgrenze für die Vorschreibung von Verfahrenskosten des Strafverfahrens erster Instanz. Vor diesem Hintergrund erweist sich ein Beitrag zu den Kosten des Verfahrens im Ausmaß von 10 % der verhängten Geldbuße iHv auf € 13.000.000 im Revisionsfall als überhöht und damit als nicht verhältnismäßig. Der Beitrag zu den Kosten des Strafverfahrens war daher unter Außerachtlassung von § 64 Abs. 2 erster Halbsatz VStG vom VwGH gemäß § 64 Abs. 1 VStG mit € 100.000 festzusetzen.Artikel 83, Absatz 4 bis 6 DSGVO sehen für Unternehmen Höchstbeträge für die nach diesen Bestimmungen zu verhängenden Geldbußen auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens vor. Im Falle von Verstößen gegen Artikel 83, Absatz 4 bis 6 DSGVO können somit - für das Verwaltungsstrafverfahren - außergewöhnlich hohe Geldbußen verhängt werden. Paragraph 64, Absatz 2, VStG normiert jedoch keine Höchstgrenze für die Vorschreibung von Verfahrenskosten des Strafverfahrens erster Instanz. Vor diesem Hintergrund erweist sich ein Beitrag zu den Kosten des Verfahrens im Ausmaß von 10 % der verhängten Geldbuße iHv auf € 13.000.000 im Revisionsfall als überhöht und damit als nicht verhältnismäßig. Der Beitrag zu den Kosten des Strafverfahrens war daher unter Außerachtlassung von Paragraph 64, Absatz 2, erster Halbsatz VStG vom VwGH gemäß Paragraph 64, Absatz eins, VStG mit € 100.000 festzusetzen.