Source: https://datenrecht.ch/oesterreich-keine-dsgvo-busse-ohne-ausreichende-konkretisierung-der-anlasstat/
Timestamp: 2020-07-10 07:22:08+00:00

Document:
Österreich: Keine DSGVO-Busse ohne ausreichende Konkretisierung der Anlasstat - daten:recht
10. Juni 2020 10. Juni 2020 von David Vasella
Die öster­rei­chi­sche Daten­schutz­be­hör­de hat­te eine Bus­se von EUR 4 800 wegen ver­säum­ter Löschung von Video­auf­zeich­nun­gen ver­hängt. Der gebüss­te Ver­ant­wort­li­che hat­te den Bus­s­ent­scheid beim Bun­des­ver­wal­tungs­ge­richt (BVG) ange­foch­ten.
Das BVG hielt in sei­nem Ent­scheid vom 19. August 2019 dazu zunächst Fol­gen­des fest:
Die Bestra­fung der juri­sti­schen Per­son nach der in Rede ste­hen­den Bestim­mung setzt vor­aus, dass eine ihr zure­chen­ba­re natür­li­che Per­son (Füh­rungs­per­son) eine Straf­tat began­gen hat. […]
Frag­lich war vor allem, ob die Daten­schutz­auf­sichts­be­hör­de (DSB) eine Bus­se ver­hän­gen durf­te, ohne den Mit­ar­bei­ter, der für die Anlas­stat ver­ant­wort­lich war, kon­kret zu benen­nen. Die DSB woll­te dar­auf ver­zich­ten, u.a. in Anleh­nung an wett­be­werbs­ver­fah­rens­recht­li­che Grund­sät­ze:
Die DSB beschäf­tig­te sich mit die­ser Fra­ge in einer Stel­lung­nah­me […], in der sie zuerst auf einen Schrift­satz […] in einem wei­te­ren Ver­fah­ren ver­wies […]. Dar­in wird zusam­men­ge­fasst aus­ge­führt, dass auf der Grund­la­ge der DSGVO jede Hand­lung von Per­so­nen, die im Rah­men einer juri­sti­schen Per­son tätig wer­den, der juri­sti­schen Per­son zuzu­rech­nen sei. Es sei irrele­vant, um wel­chem Mit­ar­bei­ter es sich dabei kon­kret gehan­delt habe. […] In ihrer Stel­lung­nah­me […] führt die DSB wei­ter aus, dass Art. 83 DSGVO inhalt­lich wett­be­werbs­recht­li­chen Vor­schrif­ten nach­ge­bil­det sei, wes­halb daher die ein­schlä­gi­ge Recht­spre­chung des EuGH zu Art. 15 der Ver­ord­nung Nr. 17/1962 bzw. Art. 23 der Ver­ord­nung Nr. 1/2003 her­an­zu­zie­hen sei. Dar­aus erge­be sich – hier zusam­men­ge­fasst -, dass eine kon­kre­te Benen­nung einer natür­li­chen Per­son, die inner­halb des Unter­neh­mens schuld­haft gehan­delt haben soll oder für eine mög­li­cher­wei­se feh­ler­haf­te Orga­ni­sa­ti­on ver­ant­wort­lich gemacht wer­den soll, nicht not­wen­dig sei (dazu zitiert EuGH, Urteil vom 18.09.2003, C‑338/00 P, und wei­ter EuG, Urteil vom 23.01.2014, T‑391/09, sowie die Schluss­an­trä­ge zu Rs C204/00 P und Rs C‑280/06).
Das BVG weist die­se Auf­fas­sung zurück – erfor­der­lich sei viel­mehr die kon­kre­te Bezeich­nung des fak­tisch ver­ant­wort­li­chen Anlasstä­ters:
Die in der Stel­lung­nah­me zitier­ten Ver­fah­ren bezie­hen sich auf wett­be­werbs­recht­li­che Ver­fah­ren, die durch die Kom­mis­si­on geführt wur­den, also auf euro­pa­recht­li­cher Ebe­ne unter Her­an­zie­hung eige­ner – auch ver­fah­rens­recht­li­cher – Vor­ga­ben der oben zitier­ten Ver­ord­nun­gen. Art. 83 Abs. 8 DSGVO hält hin­ge­gen fest, dass die Aus­übung der Befug­nis­se der Auf­sichts­be­hör­de ange­mes­se­nen Ver­fah­rens­ga­ran­tien gemäß dem Uni­ons­recht und dem Recht der Mit­glied­staa­ten ein­schließ­lich wirk­sa­mer gericht­li­cher Rechts­be­hel­fe und ord­nungs­ge­mä­ßer Ver­fah­ren unter­lie­gen muss. Damit schei­det nach Ansicht des Bun­des­ver­wal­tungs­ge­richts eine direk­te Anwend­bar­keit von Recht­spre­chungs­grund­sät­zen der euro­päi­schen Gerich­te zum Wett­be­werbs­recht […] aus. […] Daher muss im Ergeb­nis fest­ge­hal­ten wer­den, dass gegen­ständ­lich nicht von einem aus­rei­chend kon­kre­ti­sier­ten Tat­vor­wurf im behörd­li­chen Ver­fah­ren aus­ge­gan­gen wer­den kann.
Erfor­der­lich wäre viel­mehr eine die kon­kre­te Benen­nung der fak­tisch ver­ant­wort­li­chen Person(en):
Außer­dem darf in die­sem Zusam­men­hang nicht über­se­hen wer­den, dass die Anzei­ge der LPD vom XXXX 2018 bereits anführt, die damals dort täti­ge Kell­ne­rin habe gegen­über den Poli­zei­be­am­ten ange­ge­ben, der Chef der Fir­ma sei Herr XXXX [und damit der Gesell­schaf­ter bzw. der gewer­be­recht­li­che Geschäfts­füh­rer]. Im bis­her durch­ge­führ­ten ver­wal­tungs­ge­richt­li­chen Ver­fah­ren stell­te sich schließ­lich auch her­aus, dass die tat­säch­li­che Ein­fluss­nah­me und Kon­trol­le der betei­lig­ten Per­so­nen in Bezug auf die Beschwer­de­füh­re­rin mit der Infor­ma­ti­on aus dem Fir­men­buch nicht aus­rei­chend kon­kret und nicht gemäß der Rea­li­tät dar­ge­stellt wur­de. Im Ergeb­nis muss daher davon aus­ge­gan­gen wer­den, dass gegen­ständ­lich kei­ne aus­rei­chen­de Kon­kre­ti­sie­rung des Tat­vor­wurfs im behörd­li­chen Ver­fah­ren vor­ge­nom­men wur­de, da aus die­sem nicht her­vor­geht, das Ver­hal­ten wel­cher Per­son der Beschwer­de­füh­re­rin zuge­rech­net hät­te wer­den sol­len. Damit scheint aber die Wahr­neh­mung wesent­li­cher Ver­tei­di­gungs­rech­te der Beschul­dig­ten im Ver­fah­ren nicht mehr aus­rei­chend garan­tiert.
Dazu fin­det sich hier ein Bei­trag von Micha­el Suda, der bei der DSB tätig ist.
DSB Öster­reich: Feh­len­des Dou­­ble-Opt-In-Ver­­­fah­­ren als Ver­let­zung von DSGVO 32 DSB AT: Erleich­te­rungs­ge­bot von Art. 12 Abs. 2 DSGVO ver­letzt Öster­reich: Bus­se von EUR 18 Mio. gegen die Öster­rei­chi­sche Post Polen: DSGVO-Bus­­se von EUR 220’000 (Ver­let­zung der Trans­pa­renz) Spa­ni­en: DSGVO-Bus­­se gegen Rechts­an­walt
Kategorien Rechtsprechung Tags DSGVO 83, Österreich, Sanktionen, Strafverfahren Beitrags-Navigation

References: Art. 83
 EuGH 
 Art. 15
 Art. 23
 Art. 83
 Art. 12