Document Number: JWT_2019040229_20200512J00
ECLI: ECLI:AT:VWGH:2020:RO2019040229.J00
Case Number: Ro 2019/04/0229
Application Type: Vwgh
Court: Verwaltungsgerichtshof (VwGH)
Decision Date: 1589241600000
Word Count: 5956

Spruch
Die Revision wird als unbegrÃ¼ndet abgewiesen.
BegrÃ¼ndung
1 Mit Straferkenntnis vom 12.Â SeptemberÂ 2018Â legte die revisionswerbende BehÃ¶rde der N.N. Handels- und Betriebsgesellschaft mbH (mitbeteiligten Partei) zur Last, sie habe als Verantwortliche im Sinne des Art.Â 4 ZÂ 7 Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitungsanlage (VideoÃ¼berwachung) zu verantworten, dass ab dem 22.Â MÃ¤rzÂ 2018 in einem nÃ¤her genannten Wettlokal 1. die VideoÃ¼berwachung die vor dem Eingangsbereich des Wettlokals liegenden Ã¶ffentlichen ParkplÃ¤tze und VerkehrsflÃ¤chen erfasse und somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige MaÃŸ beschrÃ¤nkt sei; 2. keine Protokollierung der VerarbeitungsvorgÃ¤nge im Zusammenhang mit der VideoÃ¼berwachung stattfinde; 3. keine LÃ¶schung der durch die VideoÃ¼berwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden stattfinde, eine diesbezÃ¼glich gesonderte Protokollierung nicht vorliege und eine BegrÃ¼ndung fÃ¼r eine verlÃ¤ngerte Speicherdauer fehle; 4. die VideoÃ¼berwachung nicht geeignet gekennzeichnet sei. Die mitbeteiligte Partei habe dadurch zu 1. Art.Â 5 Abs.Â 1Â lit.Â a und c sowie Art.Â 6 Abs.Â 1 DSGVO, zu 2. fÃ¼r den Zeitraum vor dem 25.Â MaiÂ 2018 Â§Â 50b Abs.Â 1 DatenschutzgesetzÂ 2000 (DSG 2000) und ab dem 25.Â MaiÂ 2018 Â§Â 13Â Abs.Â 2 Datenschutzgesetz (DSG), zu 3. fÃ¼r den Zeitraum vor dem 25.Â MaiÂ 2018 Â§Â 50b Abs.Â 2 DSG 2000 und ab dem 25.Â MaiÂ 2018 Â§Â 13 Abs.Â 3Â DSG sowie zu 4. fÃ¼r den Zeitraum vor dem 25.Â MaiÂ 2018 Â§Â 50d Abs.Â 1Â DSG 2000 und ab dem 25.Â MaiÂ 2018 Â§Â 13 Abs.Â 5 DSG verletzt, weshalb Ã¼ber die mitbeteiligte Partei als Verantwortliche gemÃ¤ÃŸ Â§Â 30 DSG je eine Geldstrafe und zwar zu 1) gemÃ¤ÃŸ Art.Â 83 Abs.Â 5Â lit.Â a DSGVO in der HÃ¶he von EURÂ 2.400,--, bzw.Â zu 2) gemÃ¤ÃŸ Â§Â 52 Abs.Â 2 ZÂ 6 DSGÂ 2000 iVm Â§Â 69 Abs.Â 5Â DSG sowie Â§Â 62 Abs.Â 1 ZÂ 4 DSG, zu 3) gemÃ¤ÃŸ Â§Â 52Â Abs.Â 2Â ZÂ 7 DSG 2000 iVm Â§Â 69 Abs.Â 5 DSG sowie Â§Â 62 Abs.Â 1 ZÂ 4 DSG und zu 4) gemÃ¤ÃŸ Â§Â 52 Abs.Â 2Â ZÂ 4Â DSGÂ 2000 iVm Â§Â 69 Abs.Â 5 DSG sowie Â§Â 62Â Abs.Â 1 ZÂ 4 DSG in der HÃ¶he von jeweils EURÂ 800,--, insgesamt sohin in der HÃ¶he von EURÂ 4.800,-- verhÃ¤ngt und gemÃ¤ÃŸ Â§Â 64Â VStG ein Kostenbeitrag in der HÃ¶he von EURÂ 480,-- vorgeschrieben wurde.
2 Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der mitbeteiligten Partei Folge, behob das Straferkenntnis, stellte das Verfahren gemÃ¤ÃŸ Â§Â 45 Abs.Â 1 ZÂ 3 VStG ein und sprach aus, dass die mitbeteiligte Partei gemÃ¤ÃŸ Â§Â 52 Abs.Â 8Â VwGVG keine Kosten zu tragen habe und die Revision zulÃ¤ssig sei.
3 BegrÃ¼ndend fÃ¼hrte das Verwaltungsgericht zusammengefasst aus, dass entsprechend der auch auf das Verfahren nach dem DSG Ã¼bertragbaren Rechtsprechung des Verwaltungsgerichtshofs vom 29.Â MÃ¤rzÂ 2019, RoÂ 2018/02/0023, fÃ¼r die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natÃ¼rlichen Person vonnÃ¶ten sei. FÃ¼r die Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmÃ¤ÃŸigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfÃ¤lligen zusÃ¤tzlichen Voraussetzungen der Strafbarkeit genÃ¼ge, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente fÃ¼r eine Bestrafung der natÃ¼rlichen Person aufgenommen werden (Â§Â 44a VStG), mit dem Zusatz, dass das Verhalten der natÃ¼rlichen Person der juristischen Person zugerechnet werde.
Vorliegend sei eine natÃ¼rliche Person, deren Verhalten (Anordnung und Installation der Kameras oder fehlende Kontrolle der Kameras bzw.Â deren Nutzung) der mitbeteiligten Partei zugeordnet werden solle, nie bezeichnet und damit nie konkretisiert worden. Seitens der revisionswerbenden BehÃ¶rde sei zwar am 12.Â JuliÂ 2018 ein Firmenbuchauszug eingeholt worden. Auf diesen Auszug werde jedoch im Straferkenntnis weder verwiesen, noch sei er dem Straferkenntnis beigelegt worden.
Die Aufforderung zur Rechtfertigung sei an den laut Firmenbuch handelsrechtlichen GeschÃ¤ftsfÃ¼hrer der mitbeteiligten Partei adressiert gewesen. Der GeschÃ¤ftsfÃ¼hrer sei hingegen nicht in der Beschreibung des Vorwurfs angefÃ¼hrt worden. In der Anzeige der Landespolizeidirektion sei die Angabe der im Wettlokal damals tÃ¤tigen Kellnerin angefÃ¼hrt worden, wonach der Gesellschafter und gewerberechtliche GeschÃ¤ftsfÃ¼hrer der mitbeteiligten Partei "Chef der Firma" sei. Im Verfahren vor dem Verwaltungsgericht habe sich herausgestellt, dass die tatsÃ¤chliche Einflussnahme und Kontrolle der mitbeteiligten Partei mit der Information aus dem Firmenbuch nicht ausreichend konkret und der RealitÃ¤t gemÃ¤ÃŸ dargestellt worden sei.
Im Ergebnis sei davon auszugehen, dass keine ausreichende Konkretisierung des Tatvorwurfs im behÃ¶rdlichen Verfahren vorgenommen worden sei, weil aus dem Tatvorwurf nicht hervorgehe, welches Verhalten welcher Person der mitbeteiligten Partei zugerechnet werden hÃ¤tte sollen. Damit erscheine die Wahrnehmung wesentlicher Verteidigungsrechte der mitbeteiligten Partei nicht ausreichend garantiert.
Selbst nach der im Beschwerdeverfahren vertretenen Argumentation der revisionswerbenden BehÃ¶rde solle eine Handlung einer Person der juristischen Person zugeordnet werden. Dies sei vorliegend nicht der Fall. Ãœberdies beziehe sich Â§Â 30 DSG auf die dort genannten Personen, die als solche in "SchlÃ¼sselfunktionen" angesehen werden kÃ¶nnten.
Der Argumentation der revisionswerbenden BehÃ¶rde, Art.Â 83 DSGVO sei inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet, weshalb die dazu ergangene einschlÃ¤gige Rechtsprechung des Gerichtshofs der EuropÃ¤ischenÂ Union (EuGH), wonach eine konkrete Benennung einer natÃ¼rlichen Person, die innerhalb eines Unternehmens schuldhaft gehandelt haben solle oder fÃ¼r eine mÃ¶glicherweise fehlerhafte Organisation verantwortlich gemacht werden solle, nicht notwendig sei, auch vorliegend heranzuziehen sei, sei nicht zu folgen. Die zitierte Rechtsprechung beziehe sich nÃ¤mlich auf durch die EuropÃ¤ische Kommission gefÃ¼hrte wettbewerbsrechtliche Verfahren unter Heranziehung eigener -Â auch verfahrensrechtlicherÂ - Vorgaben. Art.Â 83 Abs.Â 8 DSGVO hingegen halte fest, dass die AusÃ¼bung der Befugnisse der AufsichtsbehÃ¶rde angemessenen Verfahrensgarantien gemÃ¤ÃŸ dem Unionsrecht und dem Recht der Mitgliedstaaten einschlieÃŸlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemÃ¤ÃŸer Verfahren unterliegen mÃ¼sse. Eine direkte Anwendbarkeit der RechtsprechungsgrundsÃ¤tze der Gerichte der EuropÃ¤ischen Union zum Wettbewerbsrecht scheide auf Grund der unterschiedlichen Rechtsgrundlagen, der unterschiedlichen verfahrensrechtlichen Grundlagen und des Verweises in der DSGVO selbst, wonach das Verfahren nach Art.Â 83 DSGVO den Verfahrensgarantien auch nach dem Recht der Mitgliedstaaten zu unterliegen habe, aus.
Es sei somit nicht von einem ausreichend konkretisierten Tatvorwurf im behÃ¶rdlichen Verfahren auszugehen.
Dieser Mangel kÃ¶nne vom Verwaltungsgericht nicht behoben werden.
Das vorliegende Straferkenntnis normiere keinen Zeitpunkt, an dem das strafbare Verhalten aufgehÃ¶rt habe, weshalb fÃ¼r den Beginn der Berechnung der VerfolgungsverjÃ¤hrungsfrist nach Â§Â 31 Abs.Â 1 VStG vom Datum des Straferkenntnisses, den 12.Â SeptemberÂ 2018, auszugehen sei und diese noch offen sei.
Die mangelnde Tauglichkeit der Verfolgungshandlung kÃ¶nne jedoch auf Grund der Begrenzung des Beschwerdeverfahrens auf den im Straferkenntnis gegenstÃ¤ndlichen Tatvorwurf nicht durch Nachholung der Verfolgungshandlung durch das Verwaltungsgericht beseitigt werden. Ein erstmals vom Verwaltungsgericht erhobener Tatvorwurf sei eine Ã¼ber eine bloÃŸe PrÃ¤zisierung hinausgehende unzulÃ¤ssige Ausdehnung des Beschwerdegegenstandes. Liege einem Straferkenntnis ein nicht ausreichend konkreter Vorwurf zugrunde, kÃ¶nne nur mit Behebung des Straferkenntnisses und Einstellung des Verfahrens vorgegangen werden. Die fehlende Konkretisierung des Tatvorwurfs stelle ein prozessuales Hindernis fÃ¼r die ÃœberprÃ¼fung durch das Verwaltungsgericht dar.
4 Gegen dieses Erkenntnis richtet sich die vorliegende Amtsrevision. Die mitbeteiligte Partei erstattete keine Revisionsbeantwortung.
Der Verwaltungsgerichtshof hat erwogen:
ZulÃ¤ssigkeit
5 Die Zulassung der Revision begrÃ¼ndete das Verwaltungsgericht mit fehlender hÃ¶chstgerichtlicher Rechtsprechung zu den Bestimmungen Ã¼ber die Bestrafung der juristischen Person im Zusammenhang mit der neuen Rechtslage zur DSGVO sowie zum DSG betreffend der Ãœbertragbarkeit der Aussagen des Verwaltungsgerichtshofes in dessen Erkenntnis vom 29.Â MÃ¤rzÂ 2019, RoÂ 2018/02/0023, auf die materielle Rechtslage nach der DSGVO und demÂ DSG. Ebenso fehle Rechtsprechung zur ErmÃ¤chtigung bzw.Â sogar Verpflichtung des Verwaltungsgerichts, eine fehlende Tauglichkeit einer Verfolgungshandlung durch die BehÃ¶rde bei offener VerfolgungsverjÃ¤hrung -Â hier in Bezug auf die Bestimmung der natÃ¼rlichen Person, deren Verhalten der juristischen Person zugerechnet werden solleÂ - nachzuholen.
6 Die Amtsrevision ist bereits aus den angefÃ¼hrten GrÃ¼nden
zulÃ¤ssig, sie ist jedoch nicht berechtigt.
Rechtslage
Nationales Recht
7 Â§Â 52 des Bundesgesetzes Ã¼ber den Schutz personenbezogener Daten (DatenschutzgesetzÂ 2000 - DSG 2000), BGBl.Â IÂ Nr.Â 165/1999, in der hier maÃŸgeblichen Fassung BGBl.Â IÂ Nr.Â 83/2013, lautete auszugsweise:
"10.Â Abschnitt
Strafbestimmungen
...
Verwaltungsstrafbestimmung
Â§Â 52. (1) Sofern die Tat nicht den Tatbestand einer in die ZustÃ¤ndigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine VerwaltungsÃ¼bertretung, die mit Geldstrafe bis zu 25Â 000Â Euro zu ahnden ist, wer
...
1.  (2)Sofern die Tat nicht den Tatbestand einer in die ZustÃ¤ndigkeit der Gerichte fallenden strafbaren Handlung bildet, begeht eine VerwaltungsÃ¼bertretung, die mit Geldstrafe bis zu 10Â 000Â Euro zu ahnden ist, wer
...
4. seine Offenlegungs- oder Informationspflichten gemÃ¤ÃŸ den Â§Â§Â 23, 24, 25 oder 50d verletzt oder
...
5. die gemÃ¤ÃŸ Â§Â 50a Abs.Â 7 und Â§Â 50b Abs.Â 1 erforderlichen SicherheitsmaÃŸnahmen auÃŸer Acht lÃ¤sst oder
6. Daten nach Ablauf der in Â§Â 50b Abs.Â 2 vorgesehene LÃ¶schungsfrist nicht lÃ¶scht.
1.  (2a)Sofern die Tat nicht den Tatbestand einer in die ZustÃ¤ndigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine VerwaltungsÃ¼bertretung, die mit einer Strafe bis zu 500Â Euro zu ahnden ist, wer Daten entgegen den Â§Â§Â 26, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder lÃ¶scht.
..."
Â§Â§Â 30 Abs.Â 1 bis 3 sowie 69 Abs.Â 4 und 5 des Bundesgesetzes zum Schutz natÃ¼rlicher Personen bei der Verarbeitung personenbezogener Daten (DatenschutzgesetzÂ -Â DSG), BGBl.Â IÂ Nr.Â 165/1999, in der hier maÃŸgeblichen Fassung BGBl.Â IÂ Nr.Â 24/2018, und Â§Â 62 Abs.Â 1 ZÂ 2Â leg.cit. in der hier maÃŸgeblichen Fassung BGBl.Â IÂ Nr.Â 120/2017, lauten:
"Allgemeine Bedingungen fÃ¼r die VerhÃ¤ngung von GeldbuÃŸen
Â§Â 30. (1) Die DatenschutzbehÃ¶rde kann GeldbuÃŸen gegen eine juristische Person verhÃ¤ngen, wenn VerstÃ¶ÃŸe gegen Bestimmungen der DSGVO und des Â§Â 1 oder ArtikelÂ 2 1.Â HauptstÃ¼ck durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine FÃ¼hrungsposition innerhalb der juristischen Person aufgrund
1.  1.
der Befugnis zur Vertretung der juristischen Person,
2.  2.
der Befugnis, Entscheidungen im Namen der juristischen
Person zu treffen, oder
3.Â einer Kontrollbefugnis innerhalb der juristischen Person
1.  (2)Juristische Personen kÃ¶nnen wegen VerstÃ¶ÃŸen gegen Bestimmungen der DSGVO und des Â§Â 1 oder ArtikelÂ 2 1.Â HauptstÃ¼ck auch verantwortlich gemacht werden, wenn mangelnde Ãœberwachung oder Kontrolle durch eine in Abs.Â 1 genannte Person die Begehung dieser VerstÃ¶ÃŸe durch eine fÃ¼r die juristische Person tÃ¤tige Person ermÃ¶glicht hat, sofern die Tat nicht den Tatbestand einer in die ZustÃ¤ndigkeit der Gerichte fallenden strafbaren Handlung bildet.
2.  (3)Die DatenschutzbehÃ¶rde hat von der Bestrafung eines Verantwortlichen gemÃ¤ÃŸ Â§Â 9 des VerwaltungsstrafgesetzesÂ 1991Â - VStG, BGBl.Â Nr.Â 52/1991, abzusehen, wenn fÃ¼r denselben VerstoÃŸ bereits eine Verwaltungsstrafe gegen die juristische Person verhÃ¤ngt wird.
...
4.Â HauptstÃ¼ck
Besondere Strafbestimmungen
Verwaltungsstrafbestimmung
Â§Â 62. (1) Sofern die Tat nicht einen Tatbestand nach Art.Â 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine VerwaltungsÃ¼bertretung, die mit Geldstrafe bis zu 50Â 000Â Euro zu ahnden ist, wer
...
4. eine Bildverarbeitung entgegen den Bestimmungen des 3.Â Abschnittes des 1.Â HauptstÃ¼cks betreibt oder
...
Ãœbergangsbestimmungen
Â§Â 69.
...
1.  (4)Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der DatenschutzbehÃ¶rde oder bei den ordentlichen Gerichten zum DatenschutzgesetzÂ 2000 anhÃ¤ngige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzufÃ¼hren, mit der MaÃŸgabe, dass die ZustÃ¤ndigkeit der ordentlichen Gerichte aufrecht bleibt.
2.  (5)Verletzungen des DatenschutzgesetzesÂ 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhÃ¤ngig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die fÃ¼r den TÃ¤ter in ihrer Gesamtauswirkung gÃ¼nstiger ist; dies gilt auch fÃ¼r das Rechtsmittelverfahren.
..."
Unionsrecht
8 Art.Â 4 ZÂ 7 und 8 sowie Art.Â 83 der Verordnung (EU) 2016/679 des EuropÃ¤ischen Parlaments und des Rates vom 27.Â AprilÂ 2016 zum Schutz natÃ¼rlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ABl.Â LÂ 119 vom 4.Â MaiÂ 2016, S.Â 1, (Datenschutz-Grundverordnung) - (DSGVO) lauten:
"ArtikelÂ 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
...
7. â€šVerantwortlicher' die natÃ¼rliche oder juristische Person, BehÃ¶rde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen Ã¼ber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise kÃ¶nnen die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. â€šAuftragsverarbeiter' eine natÃ¼rliche oder juristische Person, BehÃ¶rde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
...
ArtikelÂ 83
Allgemeine Bedingungen fÃ¼r die VerhÃ¤ngung von GeldbuÃŸen
1.  (1)Jede AufsichtsbehÃ¶rde stellt sicher, dass die VerhÃ¤ngung von GeldbuÃŸen gemÃ¤ÃŸ diesem Artikel fÃ¼r VerstÃ¶ÃŸe gegen diese Verordnung gemÃ¤ÃŸ den AbsÃ¤tzenÂ 5 und 6 in jedem Einzelfall wirksam, verhÃ¤ltnismÃ¤ÃŸig und abschreckend ist.
2.  (2)GeldbuÃŸen werden je nach den UmstÃ¤nden des Einzelfalls zusÃ¤tzlich zu oder anstelle von MaÃŸnahmen nach ArtikelÂ 58 AbsatzÂ 2 Buchstaben a bisÂ h undÂ i verhÃ¤ngt. Bei der Entscheidung Ã¼ber die VerhÃ¤ngung einer GeldbuÃŸe und Ã¼ber deren Betrag wird in jedem Einzelfall Folgendes gebÃ¼hrend berÃ¼cksichtigt:
a) Art, Schwere und Dauer des VerstoÃŸes unter BerÃ¼cksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des AusmaÃŸes des von ihnen erlittenen Schadens;
1.  b)
VorsÃ¤tzlichkeit oder FahrlÃ¤ssigkeit des VerstoÃŸes;
2.  c)
jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen MaÃŸnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d)Â Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter BerÃ¼cksichtigung der von ihnen gemÃ¤ÃŸ den Artikeln 25 und 32 getroffenen technischen und
organisatorischen MaÃŸnahmen;
e)Â etwaige einschlÃ¤gige frÃ¼here VerstÃ¶ÃŸe des Verantwortlichen oder des Auftragsverarbeiters;
f)Â Umfang der Zusammenarbeit mit der AufsichtsbehÃ¶rde, um dem VerstoÃŸ abzuhelfen und seine mÃ¶glichen nachteiligen Auswirkungen zu mindern;
g)Â Kategorien personenbezogener Daten, die von dem VerstoÃŸ betroffen sind;
h)Â Art und Weise, wie der VerstoÃŸ der AufsichtsbehÃ¶rde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den VerstoÃŸ mitgeteilt hat;
i)Â Einhaltung der nach ArtikelÂ 58 AbsatzÂ 2 frÃ¼her gegen den fÃ¼r den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten MaÃŸnahmen, wenn solche MaÃŸnahmen angeordnet wurden;
j)Â Einhaltung von genehmigten Verhaltensregeln nach ArtikelÂ 40 oder genehmigten Zertifizierungsverfahren nach ArtikelÂ 42 und
k)Â jegliche anderen erschwerenden oder mildernden UmstÃ¤nde im jeweiligen Fall, wie unmittelbar oder mittelbar durch den VerstoÃŸ erlangte finanzielle Vorteile oder vermiedene Verluste.
1.  (3)VerstÃ¶ÃŸt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen VerarbeitungsvorgÃ¤ngen vorsÃ¤tzlich oder fahrlÃ¤ssig gegen mehrere Bestimmungen dieser Verordnung, so Ã¼bersteigt der Gesamtbetrag der GeldbuÃŸe nicht den Betrag fÃ¼r den schwerwiegendsten VerstoÃŸ.
2.  (4)Bei VerstÃ¶ÃŸen gegen die folgenden Bestimmungen werden im Einklang mit AbsatzÂ 2 GeldbuÃŸen von bis zu 10Â 000Â 000Â EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen GeschÃ¤ftsjahrs verhÃ¤ngt, je nachdem, welcher der BetrÃ¤ge hÃ¶her ist:
a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemÃ¤ÃŸ den Artikeln 8, 11, 25 bis 39, 42 und 43;
b) die Pflichten der Zertifizierungsstelle gemÃ¤ÃŸ den Artikeln 42 und 43;
c) die Pflichten der Ãœberwachungsstelle gemÃ¤ÃŸ ArtikelÂ 41 AbsatzÂ 4.
1.  (5)Bei VerstÃ¶ÃŸen gegen die folgenden Bestimmungen werden im Einklang mit AbsatzÂ 2 GeldbuÃŸen von bis zu 20Â 000Â 000Â EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen GeschÃ¤ftsjahrs verhÃ¤ngt, je nachdem, welcher der BetrÃ¤ge hÃ¶her ist:
a) die GrundsÃ¤tze fÃ¼r die Verarbeitung, einschlieÃŸlich der Bedingungen fÃ¼r die Einwilligung, gemÃ¤ÃŸ den ArtikelnÂ 5, 6, 7 undÂ 9;
b) die Rechte der betroffenen Person gemÃ¤ÃŸ den Artikeln 12 bis 22;
c) die Ãœbermittlung personenbezogener Daten an einen EmpfÃ¤nger in einem Drittland oder an eine internationale Organisation gemÃ¤ÃŸ den Artikeln 44 bisÂ 49;
d) alle Pflichten gemÃ¤ÃŸ den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;
e) Nichtbefolgung einer Anweisung oder einer vorÃ¼bergehenden oder endgÃ¼ltigen BeschrÃ¤nkung oder Aussetzung der DatenÃ¼bermittlung durch die AufsichtsbehÃ¶rde gemÃ¤ÃŸ ArtikelÂ 58 AbsatzÂ 2 oder NichtgewÃ¤hrung des Zugangs unter VerstoÃŸ gegen
ArtikelÂ 58 AbsatzÂ 1.
1.  (6)Bei Nichtbefolgung einer Anweisung der AufsichtsbehÃ¶rde gemÃ¤ÃŸ ArtikelÂ 58 AbsatzÂ 2 werden im Einklang mit AbsatzÂ 2 des vorliegenden Artikels GeldbuÃŸen von bis zu 20Â 000Â 000Â EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen GeschÃ¤ftsjahrs verhÃ¤ngt, je nachdem, welcher der BetrÃ¤ge hÃ¶her ist.
2.  (7)Unbeschadet der Abhilfebefugnisse der AufsichtsbehÃ¶rden gemÃ¤ÃŸ ArtikelÂ 58 AbsatzÂ 2 kann jeder Mitgliedstaat Vorschriften dafÃ¼r festlegen, ob und in welchem Umfang gegen BehÃ¶rden und Ã¶ffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, GeldbuÃŸen verhÃ¤ngt werden kÃ¶nnen.
3.  (8)Die AusÃ¼bung der eigenen Befugnisse durch eine AufsichtsbehÃ¶rde gemÃ¤ÃŸ diesem Artikel muss angemessenen Verfahrensgarantien gemÃ¤ÃŸ dem Unionsrecht und dem Recht der Mitgliedstaaten, einschlieÃŸlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemÃ¤ÃŸer Verfahren, unterliegen.
4.  (9)Sieht die Rechtsordnung eines Mitgliedstaats keine GeldbuÃŸen vor, kann dieser ArtikelÂ so angewandt werden, dass die GeldbuÃŸe von der zustÃ¤ndigen AufsichtsbehÃ¶rde in die Wege geleitet und von den zustÃ¤ndigen nationalen Gerichten verhÃ¤ngt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von AufsichtsbehÃ¶rden verhÃ¤ngten GeldbuÃŸen haben. In jeden Fall mÃ¼ssen die verhÃ¤ngten GeldbuÃŸen wirksam, verhÃ¤ltnismÃ¤ÃŸig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25.Â MaiÂ 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzÃ¼glich alle spÃ¤teren Ã„nderungsgesetze oder Ã„nderungen dieser Vorschriften."
Tatzeitraum vor dem Inkrafttreten der DSGVO sowie des DSG 9 Der im Straferkenntnis der mitbeteiligten Partei betreffend sÃ¤mtlicher vierÂ VerwaltungsÃ¼bertretungen angelastete Tatzeitraum beginnt jeweils mit 22.Â MÃ¤rzÂ 2018 und umfasst somit jeweils auch einen Zeitraum vor dem Inkrafttreten der DSGVO bzw.Â dem DSG am 25.Â MaiÂ 2018 (vgl.Â Art.Â 99 Abs.Â 2Â DSGVO bzw.Â Â§Â 70 Abs.Â 9 DSG in Bezug auf die hier maÃŸgeblichen Â§Â§Â 30, 62 und 69 DSG). 10 Der mitbeteiligten Partei kÃ¶nnen daher fÃ¼r den vor dem 25.Â MaiÂ 2018 gelegenen Zeitraum mangels unmittelbarer Strafbarkeit der mitbeteiligten Partei als juristische Person gemÃ¤ÃŸ Â§Â 1 Abs.Â 2 VStG die ihr vorgeworfenen Ãœbertretungen nicht zur Last gelegt werden. Die Aufhebung des Straferkenntnisses fÃ¼r diesen Tatzeitraum erfolgte daher schon aus diesem Grund zu Recht.
Erfordernis der namentlichen Bezeichnung jener natÃ¼rlicher Personen, deren VerstÃ¶ÃŸe gegen die DSGVO bzw.Â das DSG einer juristische Person angelastet werden, in einer Verfolgungshandlung gemÃ¤ÃŸ Â§Â 32 VStG sowie im Spruch des Straferkenntnisses gemÃ¤ÃŸ Â§Â 44aÂ ZÂ 1Â VStG
Zur Frage der MaÃŸgeblichkeit der Rechtsprechung des Verwaltungsgerichtshofes zu Â§Â 99dÂ BWG vom 29.Â MÃ¤rzÂ 2019, RoÂ 2018/02/0023
11 GemÃ¤ÃŸ Art.Â 83 DSGVO iVm Art.Â 4 ZÂ 7 und 8 DSGVO sind GeldbuÃŸen fÃ¼r VerstÃ¶ÃŸe gegen die DSGVO gemÃ¤ÃŸ Art.Â 83 Abs.Â 4 bis 6 DSGVO nicht nur gegen natÃ¼rliche Personen, sondern auch gegen juristische Personen als "Verantwortlicher" iSd Art.Â 4 ZÂ 7 DSGVO oder "Auftragsverarbeiter" iSd Art.Â 4 ZÂ 8 DSGVO zu verhÃ¤ngen. NÃ¤here Bestimmungen zur strafrechtlichen Verantwortlichkeit juristischer Personen fÃ¼r von ihnen zurechenbaren natÃ¼rlichen Personen begangene VerstÃ¶ÃŸe gegen die DSGVO enthÃ¤lt die Verordnung nicht.
12 Bis zum Inkrafttreten der DSGVO und deren (unmittelbare) Geltung sowie des DSG traf juristische Personen fÃ¼r VerstÃ¶ÃŸe von ihnen zurechenbaren natÃ¼rlichen Personen gegen das bis dahin geltende DSG 2000 keine direkte strafrechtliche Verantwortlichkeit und SanktionsmÃ¶glichkeit. Es bestand lediglich das Konzept der Verantwortlichkeit fÃ¼r juristische Personen nach Â§Â 9Â VStG mit der Haftung fÃ¼r die Ã¼ber die zur Vertretung nach auÃŸen Berufenen oder Ã¼ber einen verantwortlichen Beauftragten verhÃ¤ngten Geldstrafen und die Verfahrenskosten nach Â§Â 9 Abs.Â 7Â leg.Â cit. zur ungeteilten Hand als vom rechtskrÃ¤ftigen und vollstreckbaren Strafausspruch gegen diese natÃ¼rlichen Personen abhÃ¤ngige "kriminelle BÃ¼rgschaft" und nicht als Strafe (vgl.Â VwGHÂ 22.5.2019, RaÂ 2018/04/0074, 0075, Rn.Â 9, mwN). Wie in den Gesetzesmaterialien zum DSG, BGBl.Â IÂ Nr.Â 120/2017, (ErlÃ¤utRVÂ 1664 BlgNRÂ 25. GPÂ 10), dargelegt, war somit unter anderem eine Regelung, unter welchen Voraussetzungen GeldbuÃŸen gegen juristische Personen verhÃ¤ngt werden kÃ¶nnen, erforderlich. Dabei orientiert sich die in Â§Â 30Â DSG geregelte VerhÃ¤ngung von GeldbuÃŸen gegen juristische Personen an der Regelung des Â§Â 99d des BankwesengesetzesÂ (BWG), BGBl.Â Nr.Â 532/1993.
13 In dem Erkenntnis vom 29.Â MÃ¤rzÂ 2019, RoÂ 2018/02/0023, Rn.
21Â -Â 33, hielt der Verwaltungsgerichtshof zu den
Inhaltserfordernissen der Verfolgungshandlung iSd Â§Â§Â 31 und 32Â VStG sowie des Schuldspruchs in Bezug auf Â§Â 99d Abs.Â 1Â undÂ 2Â BWG fest:
"21 Blickt man auf die wegen des Unionsrechtsbezugs hier maÃŸgebenden Verfahrensgarantien des Art.Â 47Â GRC, ist es folgerichtig, dass die juristische Person als Beschuldigte nach Â§Â 32 VStG anzusehen ist, wenn sie im Verdacht steht, eine VerwaltungsÃ¼bertretung zu verantworten zu haben und die BehÃ¶rde gegen sie eine Verfolgungshandlung richtet. Sie ist dann auch Partei im Sinne des AVG.
22 Ist die juristische Person Beschuldigte im Verwaltungsstrafverfahren (Â§Â 32Â VStG), hat sie alle mit dieser Parteistellung verbundenen Rechte. So etwa ist dem Beschuldigten rechtliches GehÃ¶r einzurÃ¤umen (Â§Â 40Â VStG), er muss an ihn gestellte Fragen nicht beantworten (Â§Â 33 Abs.Â 2Â VStG). Der Beschuldigte hat Zugang zu einem Gericht (Verwaltungsgericht), das grundsÃ¤tzlich eine Ã¶ffentliche mÃ¼ndliche Verhandlung durchzufÃ¼hren hat (Â§Â 44Â VwGVG), in der dem Beschuldigten Frage- und Informationsrechte zustehen, er kann sich auch vertreten lassen (Â§Â 46Â VwGVG). Auch ermÃ¶glicht der Strafrahmen des Â§Â 99d Abs.Â 3Â BWG mangels Untergrenze eine einzelfallgerechte StrafhÃ¶he (zur VerfassungsmÃ¤ÃŸigkeit von Â§Â 99dÂ BWG in Bezug auf die StrafhÃ¶he vgl.Â VfGHÂ 13.12.2017, GÂ 408/2016-31Â ua).
23 Zudem sind auch die EinschrÃ¤nkungen und Ausnahmen vom Amtswegigkeitsprinzip, die sich etwa aus Â§Â 25 Abs.Â 3Â VStG (Absehen von der Anzeigeerstattung), aus Â§Â 34Â VStG (VorlÃ¤ufiges Absehen von der Einleitung oder FortfÃ¼hrung des Strafverfahrens) oder aus Â§Â 45 Abs.Â 1Â VStG (Absehen von der Einleitung oder FortfÃ¼hrung eines Strafverfahrens und Einstellung) ergeben, auf das gegen die juristische Person als Beschuldigte gefÃ¼hrte Verfahren zu ihren Gunsten anwendbar, soweit sie nicht ausschlieÃŸlich auf natÃ¼rliche Personen zugeschnitten sind.
24 Durch diese der juristischen Person zukommende prozedurale Rechtsstellung wird den an das Recht auf ein faires Verfahren gestellten Anforderungen entsprochen, weshalb die von Art.Â 47Â GRC geforderten Verfahrensgarantien in einem Verfahren nach dem VStG auch fÃ¼r die juristische Person gewÃ¤hrleistet sind (vgl.Â zu Art.Â 6Â EMRK im Strafverfahren gegen einen Verband nochmals VfGHÂ 2.12.2016, GÂ 497/2015 ua).
25 Die Bestrafung der juristischen Person nach der in Rede stehenden Bestimmung setzt voraus, dass eine ihr zurechenbare natÃ¼rliche Person (FÃ¼hrungsperson) eine Straftat begangen hat. Der Strafbarkeit der juristischen Person nach Â§Â 99d Abs.Â 1 und 2Â BWG liegt dabei der Vorwurf zu Grunde, die dort genannten FÃ¼hrungspersonen hÃ¤tten gegen die dort angefÃ¼hrten
â€šVerpflichtungen verstoÃŸen' (Abs.Â 1) oder sie hÃ¤tten durch mangelnde Kontrolle oder Ãœberwachung eine â€šMitarbeitertat' ermÃ¶glicht (Abs.Â 2).
26 Die in Â§Â 99dÂ BWG verwiesenen Verbots- und Gebotsnormen richten sich entweder direkt an die juristische Person (Â§Â 98 Abs.Â 1Â BWG) oder an den Verantwortlichen gemÃ¤ÃŸ Â§Â 9 VStG (Â§Â 98 Abs.Â 2, Abs.Â 5, Abs.Â 5a und Â§Â 99 Abs.Â 1Â BWG).
27 Der verfassungsrechtlich geforderte Zusammenhang fÃ¼r die Zurechnung der Anlasstat zur juristischen Person kommt dadurch zum Ausdruck, dass einerseits eine FÃ¼hrungsperson entweder die Tat selbst begangen hat (Abs.Â 1) oder die Begehung der Tat eines Mitarbeiters durch mangelnde Ãœberwachung und Kontrolle ermÃ¶glicht wurde (Abs.Â 2), andererseits Verbandspflichten verletzt wurden (Â§Â 98 Abs.Â 1 BWG) bzw.Â der Verband einen Nutzen aus der Tat zieht (Â§Â 99d Abs.Â 3Â leg.cit.) (vgl.Â zu Â§Â 3Â VbVG neuerlich VfGHÂ 2.12.2016, GÂ 497/2015 ua).
28 Wegen eines VerstoÃŸes gegen eine verwaltungsstrafrechtlich sanktionierte Verpflichtung kann bestraft werden, wer den entsprechenden Tatbestand rechtswidrig und schuldhaft (Â§Â 5Â VStG) verwirklicht; im konkreten Fall einen oder mehrere TatbestÃ¤nde des Â§Â 98 Abs.Â 1, Abs.Â 2 ZÂ 7 und 11, Abs.Â 5, Abs.Â 5a oder Â§Â 99 Abs.Â 1 ZÂ 3 oder 4Â BWG.
29 Da die juristische Person nicht selbst handeln kann, ist ihre Strafbarkeit gemÃ¤ÃŸ Â§Â 99dÂ BWG eine Folge des tatbestandsmÃ¤ÃŸigen, rechtswidrigen und schuldhaften Verhaltens einer FÃ¼hrungsperson. DemgemÃ¤ÃŸ ist fÃ¼r die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natÃ¼rlichen Person vonnÃ¶ten. Eine Verfolgungshandlung im Sinne der Â§Â§Â 31 und 32Â VStG muss nÃ¤mlich eine bestimmte VerwaltungsÃ¼bertretung zum Gegenstand haben, was erfordert, dass sie sich auf alle der spÃ¤teren Bestrafung zugrunde liegenden Sachverhaltselemente beziehen muss (VwGHÂ 8.3.2017, RaÂ 2016/02/0226, mwN). Richtet sich ein so erhobener Vorwurf gegen die juristische Person, so ist -Â wegen der AbhÃ¤ngigkeit der Strafbarkeit der juristischen Person von der Ãœbertretung der ihr zurechenbaren natÃ¼rlichen PersonÂ - darin auch der Vorwurf gegen die darin genannte natÃ¼rliche Person enthalten.
30 Wird aber einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten (vgl.Â Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, RnÂ 13 zu Â§Â 32) FÃ¼hrungsperson in einer Verfolgungshandlung gegen die juristische Person eine der genannten Straftaten vorgeworfen und kommt die FÃ¼hrungsperson fÃ¼r eine Bestrafung in Betracht, was aufgrund der in Â§Â 99dÂ BWG verwiesenen Bestimmungen (nur) auf die Verantwortlichen gemÃ¤ÃŸ Â§Â 9Â VStG zutrifft, steht der Verantwortliche gemÃ¤ÃŸ Â§Â 9Â VStG im Verdacht dieser VerwaltungsÃ¼bertretung, weshalb er ab diesem Zeitpunkt gemÃ¤ÃŸ Â§Â 32 Abs.Â 1Â VStG Beschuldigter ist, zumal die Amtshandlung nicht an den VerdÃ¤chtigen adressiert sein muss (vgl.Â aaO, RnÂ 15). Neben der besonderen Stellung im Verwaltungsstrafverfahren als Partei ist dieser Umstand auch fÃ¼r die VerfolgungsverjÃ¤hrung sowohl hinsichtlich der juristischen als auch der natÃ¼rlichen Person von Bedeutung (Â§Â 31 Abs.Â 1Â VStG).
31 Bei dieser Gelegenheit ist festzuhalten, dass es -Â sei es fÃ¼r die Verfolgungshandlung, sei es fÃ¼r die BestrafungÂ - fÃ¼r die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden (wie im vorliegenden Straferkenntnis auf das â€šFirmenbuch') verwiesen wird; wie oben gezeigt wurde, genÃ¼gt die bloÃŸe Bestimmbarkeit der Person nicht.
32 Die Stellung als Beschuldigter hat fÃ¼r den Verantwortlichen zur Folge, dass er nicht nur in einem allenfalls gegen ihn gefÃ¼hrten Verfahren als Beschuldigter zu behandeln ist, sondern auch im Verfahren gegen die juristische Person, andernfalls seine Parteirechte nicht gewÃ¤hrleistet wÃ¤ren.
33 Mit Blick auf die eingangs wiedergegebene ZulÃ¤ssigkeitsfrage bedeutet dies, dass das Verfahren gegen die natÃ¼rliche Person nicht vorrangig zu fÃ¼hren und zu beenden ist sowie keinen Schuldspruch gegen diese erfordert, um auch die juristische Person bestrafen zu dÃ¼rfen. FÃ¼r eine Bestrafung der juristischen Person ist vielmehr entscheidend, dass die zur Beurteilung eines tatbestandsmÃ¤ÃŸigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfÃ¤lligen zusÃ¤tzlichen Voraussetzungen der Strafbarkeit genÃ¼gt, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente fÃ¼r eine Bestrafung der natÃ¼rlichen Person aufgenommen werden (Â§Â 44aÂ VStG), mit dem Zusatz, dass das Verhalten der natÃ¼rlichen Person der juristischen Person zugerechnet werde. Es kommt nicht darauf an, ob und gegebenenfalls gegen welche natÃ¼rliche Person -Â ebenfallsÂ - ein Verwaltungsstrafverfahren gefÃ¼hrt wird oder wurde."
14 Die revisionswerbende BehÃ¶rde wendet gegen die Ãœbertragbarkeit dieser Rechtsprechung auf VerstÃ¶ÃŸe gegen die DSGVO und das DSG ein, durch das Verbandsverantwortlichkeitsmodell sui generis, das dem EU-Wettbewerbsrecht entstamme und welches der Unionsgesetzgeber fÃ¼r den Bereich der GeldbuÃŸen nach Art.Â 83 DSGVO sinngemÃ¤ÃŸ vorgesehen habe, wÃ¼rden grundrechtlich gebotene Verfahrensgarantien juristischer Personen nicht geschmÃ¤lert werden. Ausgehend davon, dass juristische Personen in Verfahren nach Art.Â 83Â DSGVO auch die Rechtsschutz- und Verfahrensgarantien der Art.Â 47 bis 50Â GRC genieÃŸen wÃ¼rden, der Grundsatz der VerhÃ¤ltnismÃ¤ÃŸigkeit und das Schuldprinzip der Regelungssystematik des Art.Â 83 DSGVO inhÃ¤rent seien, und die in Art.Â 83 Abs.Â 8 DSGVO angesprochenen Verfahrensgarantien, auf die sich juristische Personen stÃ¼tzen kÃ¶nnten, auch im VStG, etwa in den Â§Â§Â 32a, 33 Abs.Â 2 und 3, 43 Abs.Â 2 bis 4 sowie 44bÂ leg.cit., zum Ausdruck kÃ¤men, bestehe fÃ¼r nationale Regelungen wie Â§Â 30 DSG -Â interpretiert im Lichte des Erkenntnisses des Verwaltungsgerichtshofes vom 29.Â MÃ¤rzÂ 2019, RoÂ 2018/02/0023Â - mit Blick auf die unmittelbare Anwendbarkeit des Art.Â 83Â DSGVO kein Raum. Â§Â 30 DSG finde in dieser Beziehung auch keine Deckung in Art.Â 83 Abs.Â 8 DSGVO. In Folge dessen seien die AusfÃ¼hrungen im Erkenntnis, RoÂ 2018/02/0023, zur verwaltungsstrafrechtlichen Verantwortlichkeit juristischer Personen im Bereich der Finanzmarktaufsicht auf die materielle Rechtslage nach der DSGVO und dem DSG nicht Ã¼bertragbar. Das VStG kenne zwar im Gegensatz zum Verbandsverantwortlichkeitsgesetz (VbVG) keine unmittelbare Strafbarkeit der juristischen Person und somit keine Â§Â 17 VbVG vergleichbare Norm. Diese -Â planwidrigeÂ - LÃ¼cke kÃ¶nne jedoch nach Ansicht der revisionswerbenden BehÃ¶rde durch eine analoge Anwendung des Â§Â 17Â VbVG geschlossen werden, um die Rechte bestimmter fÃ¼r eine juristische Person handelnder natÃ¼rlicher Personen zu wahren.
15 Auf das behÃ¶rdliche Verfahren der revisionswerbenden BehÃ¶rde fÃ¼r die VerhÃ¤ngung von GeldbuÃŸen nach Art.Â 83 DSGVO findet gemÃ¤ÃŸ Art.Â I Abs.Â 1 und Abs.Â 2 ZÂ 2 iVm Art.Â II EGVG das VStG Anwendung. Dies gilt insoweit, als die DSGVO nicht speziellere Regelungen vorsieht. Die Bestimmungen des Â§Â 30 Abs.Â 1 bis 3 DSG sind erforderlich, um die vollstÃ¤ndige Durchsetzung des Art.Â 83 DSGVO im nationalen Recht sicherzustellen, weil das VStG nur das Verfahren fÃ¼r die Strafbarkeit natÃ¼rlicher Personen regelt; Art.Â 83 DSGVO unterscheidet hingegen nicht zwischen von juristischen und von natÃ¼rlichen Personen begangenen VerstÃ¶ÃŸen (vgl.Â Bresich/Dopplinger/DÃ¶rnhÃ¶fer/Kunnert/Riedl, DSG (2018), Seite 210; Illibauer in Knyrim (Hrsg.), DatKomm Art.Â 83 RzÂ 124 (Stand OktoberÂ 2018)).
16 Â§Â 30 Abs.Â 1 und 2 DSG beinhalten keine Verfahrensnormen, sondern an Â§Â 99dÂ BWG orientierte Zurechnungsregeln fÃ¼r die VerhÃ¤ngung von GeldbuÃŸen nach der DSGVO gegen juristische Personen. Insofern bezieht sich Â§Â 30Â DSG nicht auf Art.Â 83 Abs.Â 8 DSGVO, wonach die AusÃ¼bung der eigenen Befugnisse durch eine AufsichtsbehÃ¶rde (revisionswerbende BehÃ¶rde) gemÃ¤ÃŸ dieser Bestimmung angemessenen Verfahrensgarantien gemÃ¤ÃŸ dem Unionsrecht und dem Recht der Mitgliedstaaten, einschlieÃŸlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemÃ¤ÃŸer Verfahren, unterliegen muss.
17 Anders als die Verbandsverantwortlichkeit nach dem VbVG, das in Â§Â 3 die Verantwortlichkeit eines Verbandes fÃ¼r von einem seiner EntscheidungstrÃ¤ger (Abs.Â 2) bzw.Â von einem seiner Mitarbeiter begangenen Straftaten regelt, sind Â§Â 30 DSG sowie Â§Â 99d BWG nicht von verfahrensrechtlichen Bestimmungen flankiert und findet sich auch sonst kein besonderes Verfahrensrecht fÃ¼r das Verwaltungsstrafverfahren gegen juristische Personen (vgl.Â VwGHÂ 29.3.2019, RoÂ 2018/02/0023, Rn. 16 und 17, zu Â§Â 99d BWG).
18 Vielmehr findet auf die VerhÃ¤ngung von GeldbuÃŸen gemÃ¤ÃŸ Art.Â 83 DSGVO das VStG insofern Anwendung, als die DSGVO im Rahmen des Anwendungsvorranges nicht speziellere Regelungen vorsieht. Das Vorbringen der revisionswerbenden BehÃ¶rde betreffend eine planwidrige GesetzeslÃ¼cke in Bezug auf die Behandlung jener natÃ¼rlicher Personen als Beschuldigte, fÃ¼r deren VerstÃ¶ÃŸe gegen die DSGVO bzw.Â das DSG bzw.Â fÃ¼r deren solche VerstÃ¶ÃŸe durch Mitarbeiter ermÃ¶glichende mangelnde Ãœberwachung und Kontrolle die juristische Person gemÃ¤ÃŸ Â§Â 30 Abs.Â 1 und 2 DSG verantwortlich gemacht werden kann, weil eine mit Â§Â 17 VbVG vergleichbare Gesetzesnorm fehle, steht der Ãœbertragung der Judikatur des Verwaltungsgerichtshof im Erkenntnis RoÂ 2018/02/0023 auf den vorliegenden Fall nicht entgegen. Vielmehr berÃ¼cksichtigt der Verwaltungsgerichtshof darin fÃ¼r die direkte Strafbarkeit juristischer Personen gemÃ¤ÃŸ Â§Â 99d Abs.Â 1 und 2 BWG gerade die Stellung der natÃ¼rlichen Person, deren tatbestandgemÃ¤ÃŸes, rechtswidriges und schuldhaftes Verhalten der juristischen Person zugerechnet wird, als Beschuldigter.
19 Entgegen der Rechtsansicht der revisionswerbenden BehÃ¶rde ist somit sehr wohl die vom Verwaltungsgerichtshof zur Bestimmung des Â§Â 99dÂ Abs.Â 1 undÂ 2Â BWG (die die Strafbarkeit juristischer Personen fÃ¼r ihr zurechenbares Verhalten von natÃ¼rlichen Personen weitgehend ident mit Â§Â 30 Abs.Â 1 undÂ 2Â DSG regelt) ergangene Rechtsprechung vom 29.Â MÃ¤rzÂ 2019, RoÂ 2018/02/0023, betreffend die Bestimmtheit der Verfolgungshandlung iSd Â§Â§Â 31 und 32 VStG bzw.Â der Bestrafung iSd Â§Â 44a VStG auch fÃ¼r die vorliegend wesentliche Rechtsfrage, inwiefern fÃ¼r die Bestrafung einer juristischen Person wegen VerstÃ¶ÃŸen gegen die DSGVO bzw.Â das DSG gemÃ¤ÃŸ Â§Â 30 DSG die zur Beurteilung eines tatbestandsmÃ¤ÃŸigen, rechtswidrigen und schuldhaften Verhaltens erforderlichen Feststellungen zu treffen sind und im Spruch gemÃ¤ÃŸ Â§Â 44a VStG tatbestandsmÃ¤ÃŸiges, rechtswidriges und schuldhaftes Verhalten einer namentlich genannten natÃ¼rlichen Person aufzunehmen ist, heranzuziehen.
Zur Frage der MaÃŸgeblichkeit der Rechtsprechung des EuGH zum Erfordernis der konkreten Benennung der innerhalb eines Unternehmens schuldhaft handelnden natÃ¼rlichen Personen im Wettbewerbsrecht der Union
20 Die revisionswerbende BehÃ¶rde wendet gegen das sich aus dem Erkenntnis des Verwaltungsgerichtshofs, RoÂ 2018/02/0023, abgeleitete Erfordernis der namentlichen Benennung der natÃ¼rlichen Person, deren rechtswidriges und schuldhaftes Verhalten der juristischen Person zuzurechnen ist, ein, Art.Â 83Â DSGVO sei inhaltlich den wettbewerbsrechtlichen Vorschriften der EuropÃ¤ischen Union nachgebildet und daher die Rechtsprechung des EuGH zu Art.Â 15 der Verordnung Nr.Â 17/1962 bzw.Â Art.Â 23 der Verordnung Nr.Â 1/2003 einschlÃ¤gig.Â In seinem Urteil vom 18.Â SeptemberÂ 2003, C-338/00 P, Volkswagen/Kommission, Rn. 98, in einem Verfahren Ã¼ber die VerhÃ¤ngung einer GeldbuÃŸe wegen eines VerstoÃŸes gegen Art.Â 85 EG-Vertrag habe der EuGH ausgesprochen, dass das EuropÃ¤ische Gericht (EuG) bei der Feststellung der vorsÃ¤tzlichen Begehung der Zuwiderhandlung die Personen, die innerhalb des Unternehmens schuldhaft gehandelt hÃ¤tten oder fÃ¼r die mÃ¶glicherweise fehlerhafte Organisation hÃ¤tten verantwortlich gemacht werden mÃ¼ssen, nicht benannt werden mussten. Auf diese Rechtsprechung habe sich unter anderem das EuG in seinem Urteil vom 23.Â JÃ¤nnerÂ 2014, T-391/09, Rn. 38, das mit Urteil des EuGH vom 16.Â JuniÂ 2016, Evonik Degussa und Alzchem/Kommission, C-155/14 P, bestÃ¤tigt worden sei, berufen. Auf Grund der Ã„hnlichkeit der wettbewerbsrechtlichen und der datenschutzrechtlichen Bestimmungen zur VerhÃ¤ngung von GeldbuÃŸen sei davon auszugehen, dass es sich bei einer GeldbuÃŸe nach Art.Â 83 DSGVO zwar um keine StrafmaÃŸnahme im engeren Sinn, sehr wohl aber um eine dem "Strafrecht verwandte MaÃŸnahme des Verwaltungsrechts" handle, wobei die das Strafrecht prÃ¤genden Prinzipien (Unschuldsvermutung, individuelle Vorwerfbarkeit des Handelns, Schuldprinzip) zur Anwendung gelangen wÃ¼rden. Die einschlÃ¤gige Rechtsprechung des EuGH gehe somit bei einem RegelverstoÃŸ durch juristische Personen davon aus, dass diesen der VerstoÃŸ zwar individuell vorwerfbar sein mÃ¼sse, jedoch eine konkrete Benennung der handelnden Personen innerhalb der juristischen Person nicht erforderlich sei.
21 Vorliegend habe das Verfahren vor dem Verwaltungsgericht ergeben, dass die BildÃ¼berwachung der mitbeteiligten Partei individuell vorwerfbar sei und dies von der mitbeteiligten Partei auch nicht bestritten worden sei. In einem Verfahren nach Art.Â 83 DSGVO iVm Â§Â 62 DSG sei jedoch nicht zu prÃ¼fen, ob dem GeschÃ¤ftsfÃ¼hrer oder einer anderen handlungsbefugten natÃ¼rlichen Person der VerstoÃŸ individuell zur Last gelegt werden kÃ¶nne. Folglich sei dies auch in der Verfolgungshandlung nach Â§Â 32 VStG nicht vorzuwerfen.
22 In dem unter anderem zur VerhÃ¤ngung einer GeldbuÃŸe durch die EuropÃ¤ischeÂ Kommission in einem Verfahren wegen VerstoÃŸes gegen das Wettbewerbsrecht der EuropÃ¤ischen Union (damals Gemeinschaft) ergangenen Urteil vom 18.Â SeptemberÂ 2003, Volkswagen/Kommission, C-338/00Â P, fÃ¼hrte der EuGH aus, dass im Wettbewerbsrecht der Gemeinschaft (nunmehr Union) die vorsÃ¤tzliche oder fahrlÃ¤ssige Begehung einer Zuwiderhandlung im Sinne von Art.Â 15 Abs.Â 2 der Verordnung Nr.Â 17/1962 festgestellt werden kann, ohne dass die Personen benannt zu werden brauchen, die innerhalb des mit der GeldbuÃŸe belegten Unternehmens schuldhaft gehandelt haben oder fÃ¼r dessen mÃ¶glicherweise fehlerhafte Organisation hÃ¤tten verantwortlich gemacht werden mÃ¼ssen, wobei er in diesem Zusammenhang unter anderem begrÃ¼ndend auf Art.Â 15 Abs.Â 4 der Verordnung Nr.Â 17/1962 (nunmehr Art.Â 23 Abs.Â 5 der Verordnung (EG) Nr.Â 1/2003) verwies, wonach die Entscheidungen, mit denen eine solche GeldbuÃŸe festgesetzt wird, nicht strafrechtlicher Art sind (vgl.Â Rn.Â 96 und 98). Soweit die revisionswerbende BehÃ¶rde in diesem Zusammenhang auch auf das Urteil des EuGH vom 16.Â JuniÂ 2016, EvonikÂ Degussa und Alzchem/Kommission, C-155/14 P, verweist, setzt sich der EuGH in dieser Entscheidung nicht mit dem Erfordernis der namentlichen Benennung natÃ¼rlicher Personen, deren Zuwiderhandeln gegen Wettbewerbsregeln einer juristischen Person zugerechnet wird, auseinander.
23 Im Gegensatz zur VerhÃ¤ngung von GeldbuÃŸen wegen VerstÃ¶ÃŸen gegen unionsrechtliche Wettbewerbsregeln handelt es sich bei den von der AufsichtsbehÃ¶rde eines Mitgliedstaates fÃ¼r VerstÃ¶ÃŸe gegen die DSGVO gemÃ¤ÃŸ Art.Â 83 Abs.Â 4 bis 6 DSGVO zu verhÃ¤ngenden GeldbuÃŸen um strafrechtliche Sanktionen (vgl.Â ErwÃ¤gungsgrund 150 der DSGVO). Ãœberdies muss gemÃ¤ÃŸ Art.Â 83 Abs.Â 8 DSGVO anders als hinsichtlich der Befugnis der EuropÃ¤ischen Kommission zur VerhÃ¤ngung von GeldbuÃŸen fÃ¼r VerstÃ¶ÃŸe gegen das Wettbewerbsrecht der EuropÃ¤ischen Union die AusÃ¼bung der Sanktionsbefugnis der AufsichtsbehÃ¶rde des einzelnen Mitgliedstaates nicht nur angemessenen Verfahrensgarantien des Unionsrechts (etwa der GRC), sondern auch solchen des Rechts der Mitgliedstaaten unterliegen. Insofern ist die VerhÃ¤ngung von GeldbuÃŸen durch die EuropÃ¤ische Kommission wegen VerstÃ¶ÃŸen gegen das Wettbewerbsrecht der EuropÃ¤ischen Union nicht vergleichbar mit der VerhÃ¤ngung von GeldbuÃŸen durch die AufsichtsbehÃ¶rde eines Mitgliedstaates wegen VerstÃ¶ÃŸen gegen die DSGVO gemÃ¤ÃŸ Art.Â 83 Abs.Â 4 bis 6 DSGVO. 24 Davon ausgehend ist die in der Revision dargelegte Rechtsprechung des EuGH betreffend die mangelnde Pflicht zur Benennung der Personen, die innerhalb eines wegen eines VerstoÃŸes gegen das Wettbewerbsrecht der Union mit einer GeldbuÃŸe belegten Unternehmens schuldhaft gehandelt haben, nicht fÃ¼r Verfahren betreffend die VerhÃ¤ngung von GeldbuÃŸen gemÃ¤ÃŸ Art.Â 83 DSGVO durch die AufsichtsbehÃ¶rde eines Mitgliedstaates beachtlich. Das Absehen von der namentlichen Benennung der natÃ¼rlichen Person, dessen Verhalten der juristischen Person zugerechnet wird, kann daher nicht auf diese Rechtsprechung des EuGH gestÃ¼tzt werden.
MÃ¶glichkeit der Konkretisierung der mangelnden Bestimmung der natÃ¼rlichen Person, dessen Verhalten der juristischen Person zugerechnet werden soll, durch das Verwaltungsgericht 25 Nach Â§Â 44a ZÂ 1Â VStG ist es rechtlich geboten, die Tat hinsichtlich des TÃ¤ters und der TatumstÃ¤nde so genau zu umschreiben, dass die Zuordnung des Tatverhaltens zur Verwaltungsvorschrift, die durch die Tat verletzt worden ist, in Ansehung aller Tatbestandsmerkmale ermÃ¶glicht wird (vgl.Â VwGHÂ 11.9.2019, RaÂ 2019/02/0094, Rn. 24, mwN). 26 Vorliegend hat die revisionswerbende BehÃ¶rde in der der mitbeteiligten Partei zu Handen deren handelsrechtlichen GeschÃ¤ftsfÃ¼hrers zugestellten Aufforderung zur Rechtfertigung die natÃ¼rlichen Personen, deren als tatbestandsmÃ¤ÃŸig, rechtswidrig und schuldhaft erachtetes Verhalten der mitbeteiligten Partei zuzurechnen sei, nicht namentlich benannt, sondern lediglich als "Organe oder Mitarbeiter" der mitbeteiligten Partei umschrieben. Im Spruch des Straferkenntnisses der revisionswerbenden BehÃ¶rde wird der mitbeteiligten Partei kein ihr zurechenbares, tatbestandsmÃ¤ÃŸiges, rechtswidriges und schuldhaftes Verhalten einer natÃ¼rlichen Person dargetan. Selbst in der BegrÃ¼ndungÂ legte die revisionswerbende BehÃ¶rde nicht offen, welche natÃ¼rliche Person konkret das der mitbeteiligten Partei zuzurechnende tatbestandsmÃ¤ÃŸige, rechtswidrige und schuldhafte Verhalten betreffend die einzelnen TatvorwÃ¼rfe gesetzt hat. Die revisionswerbende BehÃ¶rde umschrieb die die Tathandlungen gesetzte(n) natÃ¼rliche(n) Person(en) lediglich mit dem bloÃŸen Gesetzestext des Â§Â 30 Abs.Â 1 DSG.
27 Damit hat die revisionswerbende BehÃ¶rde weder in der gegen die mitbeteiligte Partei gerichteten Verfolgungshandlung, noch gemÃ¤ÃŸ Â§Â 44a VStG im Spruch des Straferkenntnisses die Tathandlung einer nÃ¤her genannten natÃ¼rlichen Person iSd Â§Â 30 Abs.Â 1 DSG, die der mitbeteiligten Partei zuzurechnen ist, fÃ¼r eine Bestrafung der mitbeteiligten Partei hinreichend umschrieben.
28 Unter der Tat im Sinne des Â§Â 44a ZÂ 1 VStG ist ein und dasselbe Verhalten des TÃ¤ters, unabhÃ¤ngig von der rechtlichen Beurteilung der Tat, zu verstehen. Eine nicht ausreichende Umschreibung der Tat im Sinne des Â§Â 44a ZÂ 1 VStG berechtigt das Verwaltungsgericht nicht, das Straferkenntnis zu beheben. Es ist vielmehr verpflichtet, in der Sache selbst zu entscheiden und dabei die Tat in einer dem Â§Â 44a ZÂ 1 VStG entsprechenden Weise zu prÃ¤zisieren, darf aber dabei die Tat nicht auswechseln. Ein unzulÃ¤ssiges Austauschen des Tatvorwurfs stellt nach den GrundsÃ¤tzen der hg.Â Judikatur eine im Beschwerdeverfahren durch das Verwaltungsgericht vorgenommene Erweiterung des Tatvorwurfs bzw.Â die Heranziehung eines anderen als des ursprÃ¼nglich der Bestrafung zu Grunde gelegten Sachverhalts dar. Eine Befugnis der Verwaltungsgerichte zur Ausdehnung des Gegenstands des Verfahrens Ã¼ber die Sache des Verwaltungsstrafverfahrens im Sinn des Â§Â 50Â VwGVG hinaus besteht nicht. So stellt etwa eine Ausdehnung des Tatzeitraumes erst im Beschwerdeverfahren in Verwaltungsstrafsachen vor dem Verwaltungsgericht eine unzulÃ¤ssige Erweiterung des Tatvorwurfs und der Sache des Verfahrens im Sinn des Â§Â 50Â VwGVG dar (vgl.Â VwGHÂ 13.12.2019, RaÂ 2019/02/0184, Rn. 13 - 15, mwN).
29 Wie sich aus der auch vorliegend auf die VerhÃ¤ngung von GeldbuÃŸen wegen VerstÃ¶ÃŸen gegen die DSGVO bzw.Â das DSG Ã¼bertragbaren Rechtsprechung des Verwaltungsgerichtshofes zu RoÂ 2018/02/0023 ergibt, ist, wenn sich der Tatvorwurf gegen die mitbeteiligte Partei als juristische Partei richtet, -Â wegen der AbhÃ¤ngigkeit der Strafbarkeit der juristischen Person von der Ãœbertretung der ihr zurechenbaren natÃ¼rlichen PersonÂ - darin auch der Vorwurf gegen die darin zu nennende natÃ¼rliche Person enthalten.
30 Vorliegend hat die revisionswerbende BehÃ¶rde im Spruch des Straferkenntnisses die natÃ¼rliche Person, deren VerstoÃŸ gegen die DSGVO bzw.Â das DSG der mitbeteiligten Partei zugerechnet werden soll, nicht benannt. Damit wÃ¼rde im Verwaltungsstrafverfahren gegen die juristische Person die Konkretisierung der natÃ¼rlichen Person, fÃ¼r deren tatbestandsmÃ¤ÃŸiges Verhalten die juristische Person zur Verantwortung gezogen wird, erst im Beschwerdeverfahren eine unzulÃ¤ssige Ã„nderung des Tatvorwurfs und der Sache des Verfahrens im Sinne des Â§Â 50Â VwGVG darstellen.
31 Das Verwaltungsgericht hat daher zu Recht das angefochtene Straferkenntnis behoben und das Verfahren eingestellt. 32 Die Revision erweist sich somit als unbegrÃ¼ndet und war gemÃ¤ÃŸ Â§Â 42Â Abs.Â 1Â VwGG abzuweisen.
Wien, am 12.Â MaiÂ 2020