Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum17.12.2009GeschäftszahlB504/09Sammlungsnummer18975LeitsatzVerletzung im Recht auf Datenschutz durch einen an eine Wertpapierfirma gerichteten Auftrag der Finanzmarktaufsichtsbehörde (FMA) zur Übermittlung von Kundendaten; ungeeignete bzw unverhältnismäßige Maßnahme zur Erreichung des Aufsichtsziels des präventiven Schutzes von Anlegerinteressen; Erschütterung des Kundenvertrauens in die Seriosität des Unternehmens durch die in Rede stehende Erhebung von Daten, insbesondere durch die KundenbefragungRechtssatzDie Erhebung von Wirtschaftsdaten, an denen die Wirtschaftssubjekte ein schutzwürdiges Interesse haben, ist gemäß §1 DSG iVm Art8 Abs2 EMRK nur dann zulässig, wenn eine zur Datenerhebung ermächtigende Norm den Eingriff gestattet, dieser einem der enumerativ aufgezählten Eingriffsziele dient und auf das Erforderliche beschränkt, geeignet und verhältnismäßig ist.Die Erhebung von Wirtschaftsdaten, an denen die Wirtschaftssubjekte ein schutzwürdiges Interesse haben, ist gemäß §1 DSG in Verbindung mit Art8 Abs2 EMRK nur dann zulässig, wenn eine zur Datenerhebung ermächtigende Norm den Eingriff gestattet, dieser einem der enumerativ aufgezählten Eingriffsziele dient und auf das Erforderliche beschränkt, geeignet und verhältnismäßig ist.Bei der Beurteilung der Frage, ob und inwiefern "überwiegende berechtigte Interessen" (§1 Abs2 DSG 2000) den Eingriff rechtfertigen und ob dieser Eingriff verhältnismäßig ist, sind das Interesse des (der) Betroffenen an der Geheimhaltung und das Interesse am staatlichen Eingriff gegenüberzustellen und abzuwägen.Es zählt zu den - im öffentlichen Interesse liegenden - Aufgaben der FMA, die Einhaltung des §3 Abs5 Z4 WertpapieraufsichtsG 2007 (betr das Verbot der Haltung von Kundengeldern) mit den gesetzlich vorgesehenen Aufsichtsmitteln zu überprüfen.Die Übermittlung der Kundendaten für sich allein erlaubt es der FMA nicht, die Einhaltung der Vorschrift des §3 Abs5 Z4 WertpapieraufsichtsG 2007 oder anderer Bestimmungen dieses Gesetzes zu kontrollieren. Der Zweck der Anforderung der Kundendaten besteht darin, das Datenmaterial für das Ziehen einer repräsentativen Kundenstichprobe zu gewinnen, mit deren Hilfe in der Folge eine Befragung von Kunden durchgeführt werden soll. Im Verfahren ist unbestritten geblieben, dass die Mitwirkung der Kunden an dieser Befragung auf freiwilliger Basis erfolgt, die FMA somit keine Handhabe hat, Auskünfte der Kunden (in Form der Beantwortung des übermittelten Fragebogens) zu erzwingen. Damit erweist sich aber die Anforderung der Kundendaten als von vornherein ungeeignet, um das Aufsichtsziel zu erreichen.Gewinnung statistisch gesicherter Aussagen solcherart nicht gewährleistet.Dem Umstand, dass die Erhebung von Kundendaten an sich, vor allem aber die persönliche Befragung der einzelnen Kunden geeignet ist, das Vertrauen der Kunden in die Seriosität des Unternehmens, dem sie ihr Geld anvertraut haben, zu erschüttern, kommt besonderes Gewicht zu.

Relevante Rechtsvorschrift:
(1) Jede Person, der wegen eines Verstoßes gegen die DSGVO oder gegen § 1 oder Artikel 2
1. Hauptstück ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz
RIS - Datenschutzgesetz - Bundesrecht konsolidiert, Fassung vom 07.... https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesno...
17 von 37 07.12.25, 22:06§ 30.
§ 31.
§ 32.
gegen den Verantwortlichen oder gegen den Auftragsverarbeiter nach Art. 82 DSGVO. Im Einzelnen gelten für
diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts.
(2) Für Klagen auf Schadenersatz ist in erster Instanz das mit der Ausübung der Gerichtsbarkeit in
bürgerlichen Rechtssachen betraute Landesgericht zuständig, in dessen Sprengel der Kläger (Antragsteller)
seinen gewöhnlichen Aufenthalt oder Sitz hat. Klagen (Anträge) können aber auch bei dem Landesgericht
erhoben  werden,  in  dessen  Sprengel  der  Beklagte  seinen  gewöhnlichen  Aufenthalt  oder  Sitz  oder  eine
Niederlassung hat.
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Die  Datenschutzbehörde  kann  Geldbußen  gegen  eine  juristische  Person  verhängen,  wenn