Datenschutzbehörde
16.10.2024
2024-0.641.771
Dieses Straferkenntnis ist rechtskräftig.
GZ: 2024-0.641.771 vom 16. Oktober 2024 (Verfahrenszahl: DSB-D550.769)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
Straferkenntnis
Beschuldigte juristische Person: D**** GmbH (FN *32*9*n)
Sie haben als Verantwortliche im Sinne des Artikel 4, Ziffer 7, der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), Amtsblatt Nummer L 119 vom 04.05.2016 Seite 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:
Die Beschuldigte hat seit dem 19.05.2021 bis 26.02.2024 („Tatzeit“) ihren handelsrechtlichen Geschäftsführer (Dr. Edzard T***) und somit ihr zur Vertretung nach außen berufenes Organ als Datenschutzbeauftragten benannt. Eine Sicherstellung, dass die Wahrnehmung anderer Aufgaben und Pflichten der Person des Benannten nicht zu einem Interessenkonflikt führt, ist nicht erfolgt.
Die Beschuldigte hat daher gegen ihre Pflicht nach Artikel 38, Absatz 6, DSGVO verstoßen, indem sie ihren handelsrechtlichen Geschäftsführer zum Datenschutzbeauftragten benannte, obwohl dieser aufgrund seiner gleichzeitigen Tätigkeit als Geschäftsführer und Datenschutzbeauftragter der Beschuldigten einem Interessenkonflikt unterliegt. Die Beschuldigte hat dadurch im Ergebnis eine nicht geeignete Person als Datenschutzbeauftragten benannt.
Verwaltungsübertretungen nach:
Artikel 37, 38, Absatz 6, in Verbindung mit Artikel 83, Absatz eins, und 4 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF
Wegen dieser Verwaltungsübertretung wird gemäß Artikel 83, DSGVO folgende Strafe verhängt:
Geldstrafe von Euro | gemäß |
€ 5.000 | Artikel 83, Absatz 4, Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF |
Ferner haben Sie gemäß Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:
500
Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;
Euro als Ersatz der Barauslagen für
Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher
5.500
Euro
Zahlungsfrist:
Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [Angaben zur Kontoverbindung gekürzt].
Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt.
Begründung:
1.1. Die Beschuldigte ist eine am 19.05.2021 unter der Firmenbuchnummer FN *32*9*n eingetragene Gesellschaft mit beschränkter Haftung, mit Sitz in M***platz *6, **** H***stadt.
1.2. Dr. Edzard T***, geb. am **.**.199* vertritt die Beschuldigte seit 19.05.2021 selbstständig als handelsrechtlicher Geschäftsführer und war bis zum 17.02.2023 überdies Gesellschafter der Beschuldigten. Die Beschuldigte benannte Dr. Edzard T*** als Datenschutzbeauftragten. Eine Meldung des benannten Datenschutzbeauftragten an die Datenschutzbehörde erfolgte nicht.
Die Beschuldigte hat keine aktiven Schritte – im Sinne von nach außen tretenden und sichtbaren Maßnahmen – gesetzt, um sicherzustellen, dass die in einer Person vereinheitlichte Rolle als Geschäftsführer und Datenschutzbeauftragter keinen potentiellen Interessenskonflikten unterliegt.
1.3. Dr. Edzard T*** ist Jurist. Er hat zunächst das Diplomstudium und im Anschluss daran das Doktoratsstudium der Rechtswissenschaften an der Universität H***stadt abgeschlossen. Zudem verfügt er über einen zusätzlichen postgradualen Abschluss aus dem Bereich der Rechtswissenschaften von der P*** University in W***, Schottland. Darüber hinaus hat er einen Lehrgang zum Datenschutzbeauftragten beim Wirtschaftsförderungsinstitut der Wirtschaftskammer Österreich (WIFI) begonnen, aber nicht abgeschlossen.
1.4. Der Geschäftszweig der Beschuldigten lautet auf „Sanitätswesen und diagnostisches Labor“. Der Zweck der Gesellschaft bestand in der Beitragsleistung zur Bekämpfung der Covid-19 Pandemie und Sicherstellung der Rückkehr zur Normalität durch Aufträge von verschiedenen Auftraggebern sowohl aus dem privaten Bereich als auch durch die öffentliche Hand.
Im Zusammenhang mit dem Abschluss von Kooperationsverträgen und Teilnahmen an landesweiten und bundesweiten Ausschreibungen ist die Beschuldigte stetig gewachsen und stellte kapazitätsmäßig eines der stärksten COVID Labors in Z*** dar. Die Tätigkeitsbereiche der Beschuldigten wurden aufgrund der steigenden Auftragslage im Laufe der Zeit umfangreicher.
Die Beschuldigte beschäftigte durchschnittlich 200 Mitarbeiter:innen und führte im Winter 2021/22 täglich ca. 45.000 Einzel PCR-Analysen durch.
1.5. Die Beschuldigte hatte seit 11.06.2021 die Gewerbe der „Organisatorischen Vor- und Nachbereitung von virologischen Testungen an Menschen“, der „Geschäftsvermittlung in der Form der Vermittlung von Aufträgen zur Durchführung von (Gen-) Tests zwischen verschriebenen Ärzten, zugelassenen Labors und Privatpersonen, die diese Dienstleistungen in Anspruch nehmen möchten“, der „Handelsgewerbe mit Ausnahme der reglementierten Handelsgewerbe und Handelsagent“ und der „Güterbeförderung mit Kraftfahrzeugen oder Kraftfahrzeugen mit Anhängern, deren höchst zulässiges Gesamtgewicht insgesamt 3.500 kg nicht übersteigt“ inne.
Ab 27.07.2021 hatte die Beschuldigte überdies die Gewerbeberechtigung für das Gewerbe der „Herstellung und Aufbereitung sowie Vermietung von Medizinprodukten, soweit diese Tätigkeiten nicht unter ein anderes reglementiertes Gewerbe fallen, und Handel mit sowie Vermietung von Medizinprodukten“.
Die Beschuldigte hatte ab 21.08.2021 das Gewerbe der „Herstellung von Arzneimitteln und Giften und Großhandel mit Arzneimitteln und Giften“ und ab 16.08.2021 das Gewerbe der „Chemischen Laboratorien“ inne.
Die Beschuldigte legte schließlich alle Gewerbeberechtigungen mit 26.02.2024 zurück und übt diese seitdem nicht mehr aus.
1.6. Nach Zurücklegung der Gewerbeberechtigungen speicherte die Beschuldigte die im Rahmen ihrer Tätigkeit erhaltenen Datensätze bis zur Löschung am 21.03.2024.
1.6. Der Umsatz der Beschuldigten im Jahr 2023 betrug nach eigenen Angaben ca. 4 Mio. EUR, wobei zu berücksichtigen sei, dass ab Juni 2023 keine operative Tätigkeit bestand.
2.1. Die getroffenen Feststellungen zu Punkt 1.1. ergeben sich aus einer amtswegigen Abfrage des Firmenbuchs zur Firmenbuchnummer *32*9*n mit historischen Daten.
2.2. Die getroffenen Feststellungen zu Punkt 1.2. ergeben sich einerseits aus einer am 08.10.2024 erfolgten Abfrage des Firmenbuchs sowie andererseits aus der Vernehmung der Beschuldigten vom 23.05.2023 vergleiche hierzu S. 4, GZ: D550.769; 2023-0.384.689).
Die Feststellung zur Nichtmeldung des Datenschutzbeauftragten ergibt sich aus Amtswissen und deckt sich mit den Angaben der Beschuldigten im Rahmen der Vernehmung vom 23.05.2023 vergleiche hierzu S. 4, GZ: D550.769; 2023-0.384.689)
Die Feststellung dahingehend, dass die Beschuldigte keine aktiven Schritte zur Hintanhaltung von potentiellen Interessenskonflikten gesetzt hat, ergibt sich aus der Beantwortung der im Rahmen der Beschuldigtenvernehmung vom 23.05.2023 gestellten Fragestellung inwiefern der Geschäftsführer der Beschuldigten sicherstellt, „dass es keinen Interessenskonflikt mit Ihrer Rolle als Geschäftsführer im Unternehmen und als DSBA gibt“. Konkret antwortete die Beschuldigte hierauf wie folgt: „Der Auftraggeber ist in diesem Fall ja eine öffentliche Stelle. Für die Verwaltung der Covid-Pandemie ist es für uns konstruktiver den DSBA und den Geschäftsführer in einer Person zu vereinen. Vor allem weil die Kommunikation mit dem Auftraggeber bzw. der öffentlichen Stelle (Corona Leitstelle) stattgefunden hat.“ Aktiv gesetzte Maßnahmen lassen sich hieraus keinesfalls ableiten. Auch brachte die Beschuldigte im Rahmen ihrer Rechtfertigung vom 03.09.2024 lediglich vor, dass die Doppelrolle zu keiner Gefährdung führe, denn bestehe beim Geschäftsführer ein entsprechendes Bewusstsein und sei keine Konstellation vorstellbar, in der eine Vernachlässigung datenschutzrechtlicher Pflichten aus unternehmerischer Sicht indiziert gewesen wäre. Aus der erklärten mangelnden Notwendigkeit der personellen Trennung der Funktionen kann jedoch keinesfalls ein aktiver Schritt abgeleitet werden und wurde dies auch nicht vorgebracht.
2.3. Die getroffenen Feststellungen zum akademischen Werdegang des Geschäftsführers (Punkt 1.3.) der Beschuldigten ergeben sich aus den im Rahmen der Rechtfertigung vom 03.07.2023 beigelegten Ausbildungsunterlagen von Herrn Dr. Edzard T***: Bestätigung des Studienerfolges des Bachelorstudiums Wirtschaftsrecht von der Universität H***stadt; Bescheid der Universität H***stadt über die Verleihung des akademischen Grades: Magister der Rechtswissenschaften vom 02.08.2017; Zeugnis über die Erste Diplomprüfung der Universität H***stadt vom 29.01.2015; Zeugnis über die Zweite Diplomprüfung der Universität H***stadt vom 07.02.2017; Zeugnis über die Dritte Diplomprüfung der Universität H***stadt; Bestätigung über den Abschluss des postgradualen Studiengangs der P*** Universität vom 05.11.2020; Zeugnis über das Doktoratsstudium vom 05.09.2019; E-Mail vom 07.03.2022 über die Information des WIFI Z*** über den Kursbeginn des Online-Kurs zur Veranstaltung zertifizierter Datenschutzbeauftragter.
2.4. Punkt 1.4. ergibt sich aus einer amtswegigen Abfrage des Firmenbuchs zur Firmenbuchnummer *32*9*n mit Stichtag 8.10.2024, Einsichtnahme in den Jahresabschluss sowie Lagebericht der Beschuldigten vom 31.12.2021 in Zusammenschau mit den in der Vernehmung der Beschuldigten vom 23.05.2023 getroffenen Aussagen vergleiche hierzu S. 4f, GZ: D550.769; 2023-0.384.689).
2.5. Die getroffenen Feststellungen zu Punkt 1.5. ergeben sich aus amtswegigen Abfragen nach beendeten Gewerben der Beschuldigten im Gewerbeinformationssystem Austria (GISA) zu den GISA-Zahlen: [Anmerkung Bearbeiter/in: insgesamt 7 GISA-Zahlen angeführt].
2.6. Punkt 1.6. der Feststellungen ergibt sich aus der Stellungnahme der Beschuldigten vom 03.09.2024 („bis zum 21.03.2024 erfolgte lediglich eine Speicherung von besonderen Datenkategorien“; „Sämtliche Daten wurden über Auftrag des Auftraggebers der beschuldigten Person am 21.03.2024 gelöscht“).
2.7. Punkt 1.7. der Feststellungen ergibt sich aus der per E-Mail übermittelten Urkundenvorlage der Beschuldigten vom 26.08.2024, welcher ein E-Mail des Geschäftsführers der Beschuldigten an die Rechtsvertreter mit Schilderung der wirtschaftlichen Situation, eine Periodenübersicht für den Zeitraum 01 bis 06 2024 betreffend die Beschuldigte und eine Periodenübersicht für den Zeitraum 01 bis 06 2024 betreffend die Gesellschafterin der Beschuldigten beigelegt war.
3.1. Zum Anwendungsbereich der DSGVO und zur Zuständigkeit der Datenschutzbehörde
Artikel 83, Absatz 4, Litera a, DSGVO legt fest, dass bei Verstößen gegen die Pflichten der Artikel 8, 11, 25, bis 39, 42 und 43 DSGVO Geldbußen von bis zu 10 000 000 Euro oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist.
Nach Paragraph 22, Absatz 5, DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.
Folglich ist die Datenschutzbehörde auch für das gegenständliche Verwaltungsstrafverfahren zuständig.
3.2. Zur objektiven Tatseite
Artikel 37, DSGVO regelt, unter welchen Bedingungen der Verantwortliche und der Auftragsverarbeiter verpflichtend einen Datenschutzbeauftragten zu benennen haben. Artikel 37, DSGVO gilt dabei sowohl für Verantwortliche als auch Auftragsverarbeiter und zwar unabhängig voneinander vergleiche König in Knyrim, DatKomm Artikel 37, DSGVO, Rz 2).
Der Datenschutzbeauftragte bekleidet eine besondere Rolle innerhalb der Organisation der Verantwortlichen bzw. des Auftragsverarbeiters. Er muss stets bei datenschutzrechtlichen Fragestellungen eingebunden werden und muss über die notwendigen Ressourcen sowie Zugänge verfügen, um seine Aufgaben erfüllen zu können (siehe Artikel 38, DSGVO). Die Aufgaben des Datenschutzbeauftragten sind in Artikel 39, DSGVO normiert. Der Datenschutzbeauftragte ist für Aufsichtsbehörden eine „Anlaufstelle“ und ist zur „Zusammenarbeit mit der Aufsichtsbehörde“ verpflichtet (Artikel 39, Absatz eins, Litera d, und e DSGVO).
Der Verantwortliche und der Auftragsverarbeiter haben auf jeden Fall einen Datenschutzbeauftragten zu benennen, „wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht“ (Artikel 37, Absatz eins, Litera c, DSGVO).
In ErwG 97 ist dargelegt, dass sich die „Kerntätigkeit“ eines Verantwortlichen auf „seine Haupttätigkeiten und nicht auf die Verarbeitung personenbezogener Daten als Nebentätigkeit“ bezieht. Als „Kerntätigkeit“ lassen sich die wichtigsten Arbeitsabläufe betrachten, die zur Erreichung der Ziele des Verantwortlichen oder des Auftragsverarbeiters erforderlich sind. Gleichwohl sollte der Begriff „Kerntätigkeit“ nicht dahingehend interpretiert werden, dass sich dieser nicht auch auf Tätigkeiten erstreckt, bei denen die Verarbeitung von Daten einen untrennbaren Bestandteil der Tätigkeit des Verantwortlichen oder Auftragsverarbeiters darstellt vergleiche hierzu die Leitlinien der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, WP 243 rev.01, S. 8).
Die Leitlinien zum Datenschutzbeauftragten der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, (WP 243 rev.01, abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html) nehmen zwar unter 2.1.3, Seite 9, in Fußnote 14 dazu Stellung, indem sie auf ErwG 91 verweisen und daraus ableiten, dass sich der Begriff auf „umfangreiche Verarbeitungsvorgänge […], die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, eine große Zahl von Personen betreffen könnten und - beispielsweise aufgrund ihrer Sensibilität - wahrscheinlich ein hohes Risiko mit sich bringen“ bezieht.
Nähere Anhaltspunkte dazu, was unter einer „umfangreichen Datenverarbeitung“ zu verstehen ist, finden sich in Übereinstimmung mit den Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“, WP 248 Rev.01 (abrufbar unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_edsa.html, S.11), auf Seite 9 der Leitlinien zum Datenschutzbeauftragten:
„In jedem Fall empfiehlt die WP29 die Berücksichtigung speziell folgender Faktoren, wenn ermittelt werden soll, ob die fragliche Verarbeitung in großem Umfang durchgeführt wird:
Grobe Hinweise auf eine umfangreiche Verarbeitung können auch die Anzahl der Mitarbeiter geben (die mit der Verarbeitung personenbezogener Daten betraut sind) vergleiche Löffler in Knyrim, Datenschutzrecht, Rz 13.13). ErwGr 91 verneint eine „umfangreiche“ Verarbeitung personenbezogener Daten, wenn sie von einem einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs oder von einem einzelnen Rechtsanwalt vorgenommen wird.
Als Beispiele für den Anwendungsbereich des Artikel 37, Absatz eins, Litera c, DSGVO können Gesundheitseinrichtungen, Labors, Beratungsstellen, Opferschutzeinrichtungen sowie Einrichtungen zur Resozialisierung von Straftätern (zB Bewährungshilfe, Täterarbeit) genannt werden vergleiche Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 37, DSGVO, Rz 32).
Im Hinblick darauf, dass die Kerntätigkeit der Beschuldigten die eines „diagnostischen Labors“ im Zusammenhang mit der Covid-Pandemie in Österreich (konkret: im Bundesland Z***) war und zumindest im Winter 2021/22 täglich ca. 45.000 Einzel PCR-Analysen durchführte, sohin in der Verarbeitung einer großen Anzahl von Gesundheitsdaten nach Artikel 9, Absatz eins, DSGVO, die Beschuldigte durchschnittlich 200 Mitarbeiter:innen beschäftigte sowie die Tätigkeitsbereiche der Beschuldigten aufgrund der steigenden Auftragslage im Laufe der Zeit umfangreicher wurden, muss zum Schluss gekommen werden, dass eine umfangreiche Verarbeitung besonderer Kategorien von Daten nach Artikel 9, DSGVO besteht und deswegen verpflichtend ein Datenschutzbeauftragter bestellt werden muss. Dies wurde von der Beschuldigten im Laufe des Verfahrens auch nicht bestritten und wurde – wenngleich dieser der Datenschutzbehörde nicht angezeigt wurde – ein Datenschutzbeauftragter bestellt.
Fraglich – und gegenständlich strittig – ist somit lediglich der Zeitraum in welchem die Verpflichtung zur Bestellung eines Datenschutzbeauftragten bestand.
Wie aus den Feststellungen hervorgeht, hat die Beschuldigte ihre Gewerbeberechtigungen mit 26.02.2024 zurückgelegt, behauptet aber dass bereits ab Juni 2023 keine „operative Tätigkeit“ mehr bestanden habe und bringt sohin implizit vor, dass die Notwendigkeit der Benennung eines Datenschutzbeauftragten sohin mit Juni 2023 geendet habe.
Der Terminus der „operativen Tätigkeit“ findet sich im österreichischen AIFMG, jedoch ohne eine gesetzliche Klarstellung, worum es sich dabei handelt. In der AIFMD wird dieses Kriterium als „allgemein-kommerzieller oder industrieller Zweck“ bezeichnet vergleiche Ley in Piska/Völkel, Blockchain rules, Rz 12.15). Die Notwendigkeit der Bestellung eines Datenschutzbeauftragten stellt jedoch ausschließlich auf die „Kerntätigkeit“ ab und nicht auf einen etwaigen kommerziellen oder industriellen Zweck. Vielmehr lässt sich aus den erworbenen Gewerbeberechtigungen in Zusammenschau mit dem Geschäftszweck die Haupttätigkeit ableiten. So soll gerade auch die kurze Bezeichnung des Geschäftszweigs nach eigener Angabe (Paragraph 3, Absatz eins, Ziffer 5, FBG) den tatsächlichen Tätigkeitsbereich des Rechtsträgers umschreiben vergleiche Potyka in Straube/Ratka/Rauter, UGB I 4 Paragraph 3, FBG, Rz 6). Weshalb die Kerntätigkeit daher mit behauptetem Ende der operativen Geschäftstätigkeit nicht mehr bestehen sollte, ist nicht nachvollziehbar und gründet auf keiner gesetzlichen Grundlage.
Als Zwischenergebnis ist daher festzuhalten, dass jedenfalls im Zeitraum 19.02.2021 bis 26.02.2023 (in der Folge „Tatzeitraum“) von einer Verpflichtung zur Bestellung eines Datenschutzbeauftragten auszugehen war.
Neben der verpflichteten Bestellung ist überdies zu berücksichtigen, dass bei der Benennung des Datenschutzbeauftragten den Voraussetzungen des Artikel 38, DSGVO („Stellung des Datenschutzbeauftragten“) genüge getan wird. Insgesamt soll Artikel 38, DSGVO den Datenschutzbeauftragten in die Lage versetzen, seine Aufgaben, wie bereits eingangs erwähnt, nicht nur unabhängig, sondern auch effektiv erfüllen zu können vergleiche König in Knyrim, DatKomm Artikel 38, DSGVO, Rz 1).
Artikel 38, Absatz 6, DSGVO statuiert, dass der Datenschutzbeauftragte andere Aufgaben und Pflichten wahrnehmen kann. Dabei hat der Verantwortliche oder der Auftragsverarbeiter aber sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen vergleiche König in Knyrim, DatKomm Artikel 38, DSGVO). Wann ein solcher „Interessenkonflikt“ vorliegt, wird in der DSGVO selbst nicht definiert.
Allgemein können sich Interessenkonflikte einerseits aus der Art der Tätigkeit ergeben oder auch daraus, dass wegen weiterer Aufgaben und Pflichten keine Zeit mehr verbleibt, um die Aufgaben des Datenschutzbeauftragten nach Artikel 39, DSGVO wahrzunehmen vergleiche König in Knyrim, DatKomm Artikel 38, DSGVO, Rz 35).
Der EuGH hat sich in der Rs EuGH C-453/21 vom 09.02.2023 bereits zur Frage geäußert, ob ein Interessenkonflikt im Sinne von Artikel 38, Absatz 6, S 2 vorliegt, wenn der Datenschutzbeauftragter zugleich das Amt des Vorsitzenden des in der verantwortlichen Stelle gebildeten Betriebsrats innehat und im Zuge dessen ausgeführt, dass „sich aus dem Wortlaut der Bestimmung erstens [ergibt], dass die Wahrnehmung der Aufgaben des Datenschutzbeauftragten und die Wahrnehmung anderer Aufgaben beim Verantwortlichen oder seinem Auftragsverarbeiter nach der DSGVO grundsätzlich nicht unvereinbar sind“, aber sichergestellt werden muss, dass diese anderen Aufgaben und Pflichten nicht zu einem „Interessenkonflikt“ führen. Angesichts der Bedeutung dieses Ausdrucks im gewöhnlichen Sprachgebrauch ist davon auszugehen, dass der Datenschutzbeauftragte entsprechend dem mit Artikel 38, Absatz 6, DSGVO verfolgten Ziel nicht mit der Wahrnehmung von Aufgaben oder Pflichten betraut werden darf, die die Ausübung seiner Stellung als Datenschutzbeauftragter beeinträchtigen könnten. Dem Datenschutzbeauftragten dürfen somit keine Aufgaben oder Pflichten übertragen werden, die ihn dazu veranlassen würden, die Zwecke und Mittel der Verarbeitung personenbezogener Daten beim Verantwortlichen oder seinem Auftragsverarbeiter festzulegen, weil der Datenschutzbeauftragte die Überwachung dieser Zwecke und Mittel unabhängig durchführen können muss.
Ob konkret ein „Interessenkonflikt“ iSv Artikel 38, Absatz 6, DSGVO vorliegt, ist aber im Einzelfall auf der Grundlage einer Würdigung aller relevanten Umstände, insbesondere der Organisationsstruktur des Verantwortlichen oder seines Auftragsverarbeiters, und im Licht aller anwendbaren Rechtsvorschriften, einschließlich etwaiger interner Vorschriften des Verantwortlichen oder des Auftragsverarbeiters, festzustellen vergleiche Rs 40ff ebd).
Auch, wenn das Vorliegen eines Interessenkonflikts stets auf Grundlage des konkreten Einzelfalls geprüft werden muss, gibt es Ämter und Positionen in Unternehmen, bei denen ein Interessenkonflikt auf Basis von Aufgaben und Pflichtenkreis regelmäßig anzunehmen sein wird vergleiche Brinkmann, Datenschutzbeauftragte und Interessenkonflikte - Die Gefahr der Unvereinbarkeit mit sonstigen Aufgaben und Ämtern, BB 2024, 54).
Das bedeutet, dass mit der Position des Datenschutzbeauftragten bestimmte Positionen im Unternehmen unvereinbar sein werden vergleiche König in Knyrim, DatKomm Artikel 38, DSGVO, Rz 36). Als Beispiele für derartige Positionen, bei denen Interessenskonflikte erwartet werden können, sind solche des leitenden Managements zu nennen, wie etwa in der Geschäftsführung, des Finanzvorstands und Abteilungsleiter vergleiche Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 38, DSGVO, Rz 35). Aber auch bei Beteiligungen am Unternehmenserfolg, also einem wirtschaftlichen Interesse des Datenschutzbeauftragten, bspw. als Gesellschafter, kann von einem Interessenskonflikt ausgegangen werden vergleiche Bergt in Kühling/Buchner, DSGVO Artikel 38,, Rz 41).
Wird ein potentieller Interessenskonflikt identifiziert, ist durch entsprechende Maßnahmen sicherzustellen, dass ein solcher eben nicht eintritt. Abhängig von Gegenstand, Größe und Struktur einer Organisation, empfiehlt die Artikel-29-Datenschutzgruppe in ihren Leitlinien zum Datenschutzbeauftragten (WP 243 rev.01, abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html) auf Seite 19f zur Begegnung von „Interessenkonflikten“ in der Position des Datenschutzbeauftragten Folgendes:
Gegenständlich war die von der Beschuldigten als Datenschutzbeauftragter benannte Person ebenso handelsrechtlicher Geschäftsführer und sohin das zur Vertretung nach außen berufene Organ. Zudem war die benannte Person bis zum 17.02.2023 sogar Gesellschafter der Beschuldigten.
Die benannte Person (der Geschäftsführer und Gesellschafter der Beschuldigten) war aufgrund ihrer Doppel- bzw. Dreifachrolle jedenfalls nicht als von der Beschuldigten unabhängige Stelle zu qualifizieren, welche die Aufgabe der Überwachung der Einhaltung der DSGVO sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen vornehmen konnte. Dadurch war eine von der Geschäftsführung vorzunehmende unabhängige Kontrolle durch den Datenschutzbeauftragten im vorliegenden Fall ausgeschlossen.
Vielmehr lag eine Art der Selbstkontrolle vor, welche keiner unabhängigen objektiven Überprüfung eines Dritten zugänglich war. Das durch die Doppelrolle ein Interessenskonflikt bestand wurde von der Beschuldigten zuletzt auch nicht mehr bestritten, so führte diese am 03.09.2024 aus, dass dem Geschäftsführer der beschuldigten Person nicht bekannt war, dass ein Interessenkonflikt in dieser Konstellation vorliege.
Wenngleich die Beschuldigte vermeint, dass gegenständlich die Möglichkeit aufgrund individueller Maßnahmen besteht, das Potential des Interessenkonflikts aufzulösen, so ist dem jedoch zu entgegen, dass gegenständlich eben keine – insbesondere nach außen wirksamen – Maßnahmen getroffen wurden. Rein das Vorbringen, dass beim Geschäftsführer ein entsprechendes datenschutzrechtliches Bewusstsein vorhanden sei, stellt keinesfalls eine derartige Maßnahme dar und ist im Ergebnis auch nicht überzeugend. Vielmehr sollte jedenfalls davon auszugehen sein, dass der Verantwortliche selbst ein datenschutzrechtliches Bewusstsein mit sich bringt.
Der objektive Tatbestand ist daher erfüllt.
3.3. Zur subjektiven Tatseite
Der EuGH hat, wie schon bereits von der Datenschutzbehörde in ihrer bisherigen Spruchpraxis angenommen, nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können vergleiche EuGH vom 05.12.2023, C-807/21, Rz 68).
In Bezug auf die subjektive Tatseite ist jedoch zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Artikel 83, DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH nämlich fest, dass den Mitgliedstaaten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Artikel 83, Absatz eins, bis 6 DSGVO genau geregelt sind vergleiche hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff). Somit gelangt die (nationale) Bestimmung nach Paragraph 5, VStG in Bezug auf das Verschulden nicht zur Anwendung.
Zu der entscheidenden Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76).
Unter Verweis auf weitere Rechtsprechung stellte der EuGH zudem ausdrücklich klar, dass die Anwendung von Artikel 83, DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt vergleiche EuGH vom 05.12.2023, C-807/21, Rz 77).
Überdies stellte der EuGH in Bezug auf die Haftung für Geldbußen nach Artikel 83, DSGVO grundlegend fest, dass Verantwortliche „nicht nur geeignete und wirksame Maßnahmen treffen [müssen], sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Artikel 83, Absatz 4, bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Artikel 83, DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen“ (EuGH C-807/21, Rn 38).
In Bezug auf den Verstoß gegen die Pflicht, dass der Verantwortliche oder Auftragsverarbeiter sicherstellt, dass bei der Wahrnehmung von anderen Aufgaben und Pflichten des Datenschutzbeauftragten keine Interessenskonflikte vorliegen, unterlag die Beschuldigte jedenfalls somit jedenfalls einer Erkundigungspflicht.
In diesem Zusammenhang wird darauf hingewiesen, dass sich auf der Website der Datenschutzbehörde weitreichende Informationen zum Datenschutzbeauftragten finden vergleiche hierzu „www.dsb.gv.at“), im Besonderen wird auf den seitens der Datenschutzbehörde zur Verfügung gestellten „Leitfaden zur Verordnung (EU) 2016/679“ (abrufbar unter https://www.dsb.gv.at/recht-entscheidungen/gesetze-in-oesterreich.html) verwiesen.
Im Übrigen finden sich auf der Website des Europäischen Datenschutzausschuss umfassende Leitlinien zum Datenschutzbeauftragten („Leitlinien zum Datenschutzbeauftragten der Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e, (WP 243 rev.01), abrufbar u.a. unter https://www.dsb.gv.at/europa-internationales/europaeischer_datenschutzausschuss_ edsa.html“), welche in dieser Entscheidung bereits mehrfach zitiertet wurden. In diesen wird unter anderem ausführlich erklärt, wann von einem Interessenskonflikt auszugehen ist und welche Maßnahmen zur Begegnung eines Interessenskonflikts herangezogen werden können.
Außerdem hat der Europäische Datenschutzausschuss auch einen Leitfaden für kleine und mittlere Unternehmen (KMUs) mit einer Reihe an Empfehlungen veröffentlicht und unter anderem auch konkret zur Rolle des Datenschutzbeauftragten (abrufbar in Deutsch unter: https://www.edpb.europa.eu/sme-data-protection-guide/data-protection-officer_de).
Schließlich ist jedoch auch festzuhalten, dass sich bereits aus dem Wortlaut des Artikel 38, Absatz 6, DSGVO unmissverständlich ergibt, dass der Verantwortliche sicherstellen muss, dass kein Interessenkonflikt in dieser Rolle vorliegt.
Die Beschuldigte handelte demnach jedenfalls schuldhaft, da sie sich mit ihren Verpflichtungen nicht auseinandersetzte, obwohl ihr dies zumutbar und möglich gewesen wäre. Dies wäre für die Beschuldigte ein Leichtes gewesen, denn behaupte diese ohnedies über ein entsprechendes datenschutzrechtliches Bewusstsein in Ausgestalt ihres Geschäftsführers zu verfügen.
Die Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH jedenfalls über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN). So war die Beschuldigte zuletzt auch einsichtig und führte aus, dass der beschuldigten Person nicht bekannt gewesen sei, dass ein Interessenkonflikt in dieser Konstellation vorliege. Zudem erkannte die Beschuldigte den Vorwurf und entschuldigte sich hierfür.
Es liegt somit im vorliegenden Fall jedenfalls Verschulden in Form von Fahrlässigkeit vor. Dadurch ist die subjektive Tatseite ebenfalls erfüllt.
4.1. Allgemeines zur Strafbemessung
Gemäß Artikel 83, Absatz eins, DSGVO hat die Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Artikel 83, Absatz 4, 5, und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Artikel 83, Absatz 2, DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.
Die Datenschutzbehörde hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht.
Die Bestimmung nach Paragraph 19, Absatz eins, VStG gelangt nicht zur Anwendung, da die Strafbemessung ebenfalls abschließend durch Artikel 83, Absatz 2, DSGVO geregelt wird und kein Ermessensspielraum für die Mitgliedstaaten bleibt vergleiche EuGH 05.12.23, C-807/21, Rn 45; siehe hierzu auch die rezente Entscheidung des BVwG vom 03.06.2024, GZ: W292 2282284-1).
Gemäß Artikel 83, Absatz 4, DSGVO werden im Falle der dort genannten Verstöße, im Einklang mit Absatz 2,, Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Der Begriff Umsatz in Artikel 83, Absatz 4, 5, und 6 DSGVO ist im Sinne des Artikel 2, Ziffer 5, der Richtlinie 2013/34/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Jahresabschluss, den konsolidierten Abschluss und damit verbundene Berichte von Unternehmen bestimmter Rechtsformen, zur Änderung der Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates und zur Aufhebung der Richtlinien 78/660/EWG und 83/349/EWG des Rates (im Folgenden „Richtlinie 2013/34/EU“) zu verstehen. Umsatz ist die Summe aller verkauften Waren und Dienstleistungen. Nettoumsatz ist der Betrag, der sich aus dem Verkauf von Produkten und der Erbringung von Dienstleistungen nach Abzug von Erlösschmälerungen und der Mehrwertsteuer (MwSt) sowie sonstigen direkt mit dem Umsatz verbundenen Steuern ergibt vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1, Rz 128 ff).
4.2. In der Sache
In Anbetracht der Fines-Leitlinien wird die Beschuldigte in Bezug auf ihren Umsatz, welchen diese für das Geschäftsjahr 2023 mit 4 Mio. EUR bezifferte und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße in die zweitniedrigste Kategorie („Unternehmen mit einem Umsatz von 2 Mio. EUR bis 10 Mio. EUR“) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten.
Der Strafrahmen im konkreten Fall reicht gemäß Artikel 83, Absatz 4, DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (2% des Jahresumsatzes) gelangt nicht zur Anwendung.
Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO), der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO) sowie die Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Artikel 83, Absatz 2, Litera g, DSGVO) wird von der Datenschutzbehörde die Schwere der Zuwiderhandlung („Seriousness of the infringement“) als niedrig („low level of seriousness“) angenommen.
Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus (über die oben bereits für den Schweregrad berücksichtigten Kriterien) bei der Strafzumessung Folgendes mildernd berücksichtigt:
Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Artikel 38, DSGVO soll den Datenschutzbeauftragten in die Lage versetzen, seine Aufgaben nicht nur unabhängig, sondern auch effektiv zu erfüllen. Die Beschuldigte hat diese Bestimmung – wie oben ausgeführt – insofern verletzt, als diese nicht sicherstellte, dass der Datenschutzbeauftragte im Rahmen der Wahrnehmung anderer Aufgaben und Pflichten nicht in einen Interessenskonflikt führten. Die Verhängung der konkreten Geldstrafe war daher jedenfalls im Sinne der Generalprävention erforderlich, um Verantwortliche und Auftragsverarbeiter in diesem Zusammenhang mit ihrer Benennung eines Datenschutzbeauftragten zu sensibilisieren.
Die Datenschutzbehörde geht davon aus, dass die Beschuldigte es künftig unterlassen wird, neuerlich einen derartigen Verstoß zu begehen. Daher liegen nach Ansicht der Datenschutzbehörde keine spezialpräventiven Gründe vor.
Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 5.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 4, DSGVO tat- und schuldangemessen. Ein (noch) niedrigerer Betrag würde den zentralen Kriterien des Artikel 83, Absatz eins, DSGVO (wirksam, abschreckend und verhältnismäßig) nicht gerecht werden.
ECLI:AT:DSB:2024:2024.0.641.771