2.1. Der gegen dieses Straferkenntnis erhobenen Beschwerde der Mitbeteiligten gab das Verwaltungsgericht mit dem im Revisionsverfahren angefochtenen Erkenntnis Folge, behob das angefochtene Straferkenntnis und stellte das Verwaltungsstrafverfahren ein. Die Revision erklärte das Verwaltungsgericht für nicht zulässig.

2.2. Das Verwaltungsgericht hielt im Rahmen der Wiedergabe des Verwaltungsgeschehens fest, die belangte Behörde habe im Rahmen eines amtswegigen Prüfverfahrens ein Verwaltungsstrafverfahren gegen die U GmbH als ausgewiesene datenschutzrechtlich Verantwortliche des [B Club] eingeleitet und mit Straferkenntnis vom 26. Juli 2021 erledigt. Das Verwaltungsgericht stellte fest, die Mitbeteiligte sei über die R Dienstleistungs-GmbH als Alleingesellschafterin an der U GmbH beteiligt. Unternehmensgegenstand der U GmbH sei der Betrieb eines Kundenbindungsprogramms, insbesondere mittels Rabatten und Hilfsdienstleistungen. Dabei handle es sich um den [B Club]. Die Geschäftsführer der U GmbH würden von deren Muttergesellschaft, der R Dienstleistungs-GmbH, bestellt. Es bestünden keine personellen Verflechtungen in den Leitungsorganen der Mitbeteiligten und der R Dienstleistungs-GmbH. Unternehmensgegenstand der Mitbeteiligten sei unter anderem das Halten und die Verwaltung von Beteiligungen an Handelsunternehmen, an Touristikunternehmen sowie an Unternehmen im Bereich von Werbung und handelssektoralen Dienstleistungen.

Am 2. Mai 2019 habe die U GmbH den operativen Geschäftsbetrieb des Kundenbindungsprogrammes und die damit verbundenen Datenverarbeitungsvorgänge aufgenommen. Dazu zähle auch die Durchführung von Profilbildungen aus den verschiedenen Datensätzen, die von den am Kundenbindungsprogramm teilnehmenden Kunden gewonnen würden.

2.3. In der rechtlichen Begründung führte das Verwaltungsgericht soweit hier relevant aus, die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten würden sich insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstrecke sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolge. In diesem Rahmen müssten sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern auch nachweisen können, dass ihre Verarbeitungstätigkeit im Einklang mit der DSGVO stünde und die Maßnahmen, die sie ergriffen hätten, um diesen Einklang herzustellen, auch wirksam seien. Der Verantwortliche sei Adressat von Ansprüchen der betroffenen Person und gelte als Ansprechstelle für Maßnahmen der Aufsichtsbehörde.

Die Rolle des für die Verarbeitung Verantwortlichen definiere sich durch drei Merkmale: (1) jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle (personenbezogener Aspekt), (2) die allein oder gemeinsam mit anderen (pluralistische Kontrolle), (3) über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheide (Entscheidungsfunktion).

Aus dem Umstand, dass die Mitbeteiligte die strategische Entscheidung getroffen habe, ein eigenes Multipartner-Kundenbindungsprogramm einzurichten und zu diesem Zweck über die R Dienstleistungs-GmbH die U GmH gegründet habe und dieser - wiederum unter Zuhilfenahme der R Dienstleistungs-GmbH - die zum Betrieb des [B Club] Kundenbindungsprogrammes erforderlichen finanziellen und personellen Mittel bereitgestellt habe, habe die belangte Behörde eine gemeinsame datenschutzrechtliche Verantwortung der Mitbeteiligten und der U GmbH abgeleitet.

Die Beschwerde stelle dies insbesondere mit dem Argument in Abrede, dass keine gemeinsame Entscheidung über die Zwecke und Mittel der Datenverarbeitungen vorliege. Die Mitbeteiligte sei an der Umsetzung des Kundenbindungsprogrammes nicht beteiligt gewesen.

Dem Beschwerdevorbringen sei nach der Rechtauffassung des Verwaltungsgerichts zu folgen. Ein kooperatives Zusammenwirken zweier Akteure, wie es in der Rechtsprechung des Gerichtshofes der Europäischen Union (EuGH) gefordert werde, sei gegenständlich nicht erkennbar.

Soweit die belangte Behörde in diesem Zusammenhang ausführe, hier liege eine Fallkonstellation vor, die jenem des Urteils des EuGH vom 10. Juli 2018, C-25/17, Jehovan todistajat, entspreche, sei dem entgegenzuhalten, dass sich dieser Fall von dem vorliegenden unterscheide. In der Rechtssache Jehovan todistajat sei eine Verkündungstätigkeit von Tür zu Tür, im Rahmen derer die Datenerhebung erfolgt sei, von einer Religionsgemeinschaft organisiert und koordiniert worden. Die Mitbeteiligte sei hingegen seit Abschluss der Konzeptionsphase in die maßgeblichen Vorgänge nicht mehr involviert gewesen. Eine bewusste Einflussnahme auf konkrete Datenverarbeitungszwecke und -mittel könne nicht gesehen werden.

Entsprechendes gelte für die von der belangten Behörde angeführten Urteile des EuGH vom 29. Juli 2019, C-40/17, Fashion ID, betreffend die Einbindung eines Social-Plug-Ins durch die Betreiber einer Webseite sowie vom 5. Juni 2018, C-210/16, Wirtschaftsakademie Schleswig-Holstein GmbH. Diese Fälle würden ebenfalls keine Parallelen zur gegenständlichen Konstellation aufweisen. Der EuGH habe im Übrigen in seinem Urteil vom 7. März 2024, C-604/22, IAB Europe, betont, dass eine Person zum Vorliegen einer gemeinsamen Verantwortlichkeit tatsächlich Einfluss auf die Festlegung der Zwecke und Modalitäten einer Verarbeitung bzw. Weiterverarbeitung von Daten ausgeübt haben müsse.

Vor diesem Hintergrund könne die Mitbeteiligte nicht als Verantwortliche für jene Datenverarbeitungen angesehen werden, auf die sich der Tatvorwurf gründe. Ihre Tätigkeit habe sich auf die Gründung der U GmbH sowie die strategische Festlegung in der Konzeptionsphase, dass ein eigenes Multipartner-Kundenbindungsprogramm eingerichtet werden solle, beschränkt. Soweit die belangte Behörde ausführe, dass die Mitbeteiligte ab der Aufnahme des operativen Geschäftsbetriebes „keinerlei Leitungs- und Kontrolltätigkeiten in Bezug auf die U GmbH vorgenommen oder veranlasst“ habe, zeige sie damit gerade das Fehlen einer gewollten und bewussten Zusammenarbeit der Beteiligten, die wesentlichen Entscheidungen über die Zwecke und Mittel der Datenverarbeitungen zu treffen, auf. Dies sei jedoch Voraussetzung, um eine gemeinsame Verantwortlichkeit zu begründen.

3. Gegen dieses Erkenntnis richtet sich die vorliegende Amtsrevision. Der Verwaltungsgerichtshof leitete das Vorverfahren ein. Die Mitbeteiligte erstattete eine Revisionsbeantwortung, in der sie die Zurück- in eventu die Abweisung der Revision sowie die Zuerkennung des Schriftsatzaufwandes beantragte.

5.1. In der Revision wird zur Begründung ihrer Zulässigkeit vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob die Gründung, Finanzierung und Förderung eines Kundenbindungsprogramms für konzerneigene Handelsunternehmen einen hinreichenden Einfluss auf die Datenverarbeitungen darstelle und eine Verantwortlichkeit begründe, auch wenn eine Gesellschaft in der Umsetzungsphase operativ nicht mehr involviert gewesen sei. Das Erkenntnis des Verwaltungsgerichts stehe außerdem in Widerspruch zur jüngeren Rechtsprechung des EuGH (Hinweis auf EuGH 5.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras). Hätte das Verwaltungsgericht die angeführte Rechtsprechung des EuGH berücksichtigt, wäre es zu dem Schluss gekommen, dass die Mitbeteiligte für die hier relevanten Datenverarbeitung aus datenschutzrechtlicher Sicht verantwortlich sei.

5.3. Soweit die Revision vorbringt, das Ergebnis des Verwaltungsgerichts stehe im Widerspruch zum Urteil des EuGH vom 5. Dezember 2023, C-683/21, Nacionalinis visuomenės sveikatos centras, ist dem entgegen zu halten, dass die U GmbH nach den Feststellungen des Verwaltungsgerichts von der Mitbeteiligten im Revisionsfall - anders als im Ausgangsfall zu dem Urteil des EuGH vom 5. Dezember 2023 - nicht mit der Entwicklung einer konkreten IT-Anwendung zur Durchführung der Datenverarbeitungen beauftragt wurde. Die Revision behauptet auch nichts Gegenteiliges.

Das Verwaltungsgericht führte zur Verantwortlichkeit der Mitbeteiligten aus, deren Tätigkeit habe sich auf die Gründung der U GmbH sowie die strategische Festlegung in der Konzeptionsphase, dass ein eigenes Multipartner-Kundenbindungsprogramm eingerichtet werden solle, beschränkt. Soweit die belangte Behörde ausführe, dass die Mitbeteiligte ab Aufnahme des operativen Geschäftsbetriebes „keinerlei Leitungs- und Kontrolltätigkeiten in Bezug auf die [U GmbH] vorgenommen oder veranlasst“ habe, zeige sie damit gerade das Fehlen einer gewollten und bewussten Zusammenarbeit der Beteiligten, die wesentlichen Entscheidungen über Zwecke und Mittel einer Datenverarbeitung zu treffen, auf. Dies sei jedoch Voraussetzung, um eine gemeinsame Verantwortlichkeit zu begründen.