Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum17.12.2009GeschäftszahlB504/09Sammlungsnummer18975LeitsatzVerletzung im Recht auf Datenschutz durch einen an eine Wertpapierfirma gerichteten Auftrag der Finanzmarktaufsichtsbehörde (FMA) zur Übermittlung von Kundendaten; ungeeignete bzw unverhältnismäßige Maßnahme zur Erreichung des Aufsichtsziels des präventiven Schutzes von Anlegerinteressen; Erschütterung des Kundenvertrauens in die Seriosität des Unternehmens durch die in Rede stehende Erhebung von Daten, insbesondere durch die KundenbefragungRechtssatzDie Erhebung von Wirtschaftsdaten, an denen die Wirtschaftssubjekte ein schutzwürdiges Interesse haben, ist gemäß §1 DSG iVm Art8 Abs2 EMRK nur dann zulässig, wenn eine zur Datenerhebung ermächtigende Norm den Eingriff gestattet, dieser einem der enumerativ aufgezählten Eingriffsziele dient und auf das Erforderliche beschränkt, geeignet und verhältnismäßig ist.Die Erhebung von Wirtschaftsdaten, an denen die Wirtschaftssubjekte ein schutzwürdiges Interesse haben, ist gemäß §1 DSG in Verbindung mit Art8 Abs2 EMRK nur dann zulässig, wenn eine zur Datenerhebung ermächtigende Norm den Eingriff gestattet, dieser einem der enumerativ aufgezählten Eingriffsziele dient und auf das Erforderliche beschränkt, geeignet und verhältnismäßig ist.Bei der Beurteilung der Frage, ob und inwiefern "überwiegende berechtigte Interessen" (§1 Abs2 DSG 2000) den Eingriff rechtfertigen und ob dieser Eingriff verhältnismäßig ist, sind das Interesse des (der) Betroffenen an der Geheimhaltung und das Interesse am staatlichen Eingriff gegenüberzustellen und abzuwägen.Es zählt zu den - im öffentlichen Interesse liegenden - Aufgaben der FMA, die Einhaltung des §3 Abs5 Z4 WertpapieraufsichtsG 2007 (betr das Verbot der Haltung von Kundengeldern) mit den gesetzlich vorgesehenen Aufsichtsmitteln zu überprüfen.Die Übermittlung der Kundendaten für sich allein erlaubt es der FMA nicht, die Einhaltung der Vorschrift des §3 Abs5 Z4 WertpapieraufsichtsG 2007 oder anderer Bestimmungen dieses Gesetzes zu kontrollieren. Der Zweck der Anforderung der Kundendaten besteht darin, das Datenmaterial für das Ziehen einer repräsentativen Kundenstichprobe zu gewinnen, mit deren Hilfe in der Folge eine Befragung von Kunden durchgeführt werden soll. Im Verfahren ist unbestritten geblieben, dass die Mitwirkung der Kunden an dieser Befragung auf freiwilliger Basis erfolgt, die FMA somit keine Handhabe hat, Auskünfte der Kunden (in Form der Beantwortung des übermittelten Fragebogens) zu erzwingen. Damit erweist sich aber die Anforderung der Kundendaten als von vornherein ungeeignet, um das Aufsichtsziel zu erreichen.Gewinnung statistisch gesicherter Aussagen solcherart nicht gewährleistet.Dem Umstand, dass die Erhebung von Kundendaten an sich, vor allem aber die persönliche Befragung der einzelnen Kunden geeignet ist, das Vertrauen der Kunden in die Seriosität des Unternehmens, dem sie ihr Geld anvertraut haben, zu erschüttern, kommt besonderes Gewicht zu.

Relevante Rechtsvorschrift:
Verstöße  gegen  Bestimmungen  der  DSGVO  und  des  § 1  oder  Artikel 2  1. Hauptstück  durch  Personen
begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und
eine Führungsposition innerhalb der juristischen Person aufgrund
1. der Befugnis zur Vertretung der juristischen Person,
2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
3. einer Kontrollbefugnis innerhalb der juristischen Person
innehaben.
(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder
Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle
durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige
Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden
strafbaren Handlung bildet.
(3) Die  Datenschutzbehörde  hat  von  der  Bestrafung  eines  Verantwortlichen  gemäß  § 9  des
Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991 , abzusehen, wenn für denselben Verstoß bereits
eine Verwaltungsstrafe gegen die juristische Person verhängt wird.