Verwaltungsgerichtshof (VwGH)

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

1

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E3R E15202000
E3R E19400000
10/10 Datenschutz
37/01 Geldrecht Währungsrecht
37/02 Kreditwesen
40/01 Verwaltungsverfahren

Norm

BWG 1993 §99d
DSG 2000
DSG 2000 §30 idF 2018/I/024
VStG §9
VStG §9 Abs7
32016R0679 Datenschutz-GrundV
  1. VStG § 9 heute
  2. VStG § 9 gültig ab 05.01.2008 zuletzt geändert durch BGBl. I Nr. 3/2008
  3. VStG § 9 gültig von 01.01.2002 bis 04.01.2008 zuletzt geändert durch BGBl. I Nr. 137/2001
  4. VStG § 9 gültig von 01.01.1999 bis 31.12.2001 zuletzt geändert durch BGBl. I Nr. 158/1998
  5. VStG § 9 gültig von 01.02.1991 bis 31.12.1998
  1. VStG § 9 heute
  2. VStG § 9 gültig ab 05.01.2008 zuletzt geändert durch BGBl. I Nr. 3/2008
  3. VStG § 9 gültig von 01.01.2002 bis 04.01.2008 zuletzt geändert durch BGBl. I Nr. 137/2001
  4. VStG § 9 gültig von 01.01.1999 bis 31.12.2001 zuletzt geändert durch BGBl. I Nr. 158/1998
  5. VStG § 9 gültig von 01.02.1991 bis 31.12.1998

Rechtssatz

Bis zum Inkrafttreten der DSGVO und deren (unmittelbare) Geltung sowie des DSG traf juristische Personen für Verstöße von ihnen zurechenbaren natürlichen Personen gegen das bis dahin geltende DSG 2000 keine direkte strafrechtliche Verantwortlichkeit und Sanktionsmöglichkeit. Es bestand lediglich das Konzept der Verantwortlichkeit für juristische Personen nach Paragraph 9, VStG mit der Haftung für die über die zur Vertretung nach außen Berufenen oder über einen verantwortlichen Beauftragten verhängten Geldstrafen und die Verfahrenskosten nach Paragraph 9, Absatz 7, leg. cit. zur ungeteilten Hand als vom rechtskräftigen und vollstreckbaren Strafausspruch gegen diese natürlichen Personen abhängige "kriminelle Bürgschaft" und nicht als Strafe vergleiche VwGH 22.5.2019, Ra 2018/04/0074, 0075, Rn. 9, mwN). Wie in den Gesetzesmaterialien zum DSG, Bundesgesetzblatt Teil eins, Nr. 120 aus 2017,, (ErläutRV 1664 BlgNR 25. GP 10), dargelegt, war somit unter anderem eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, erforderlich. Dabei orientiert sich die in Paragraph 30, DSG geregelte Verhängung von Geldbußen gegen juristische Personen an der Regelung des Paragraph 99 d, des Bankwesengesetzes (BWG), Bundesgesetzblatt Nr. 532 aus 1993,.

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J01

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J01

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

2

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E3R E15202000
E3R E19400000
10/10 Datenschutz
37/01 Geldrecht Währungsrecht
37/02 Kreditwesen
40/01 Verwaltungsverfahren

Norm

BWG 1993 §99d
DSG 2000 §30 idF 2018/I/024
EGVG 2008 Art1 Abs1
EGVG 2008 Art1 Abs2 Z2
EGVG 2008 Art2
VStG
32016R0679 Datenschutz-GrundV Art83
32016R0679 Datenschutz-GrundV Art83 Abs8

Rechtssatz

Auf das behördliche Verfahren der Datenschutzbehörde für die Verhängung von Geldbußen nach Artikel 83, DSGVO findet gemäß Art. römisch eins Absatz eins und Absatz 2, Ziffer 2, in Verbindung mit Art. römisch II EGVG das VStG Anwendung. Dies gilt insoweit, als die DSGVO nicht speziellere Regelungen vorsieht. Die Bestimmungen des Paragraph 30, Absatz eins bis 3 DSG sind erforderlich, um die vollständige Durchsetzung des Artikel 83, DSGVO im nationalen Recht sicherzustellen, weil das VStG nur das Verfahren für die Strafbarkeit natürlicher Personen regelt; Artikel 83, DSGVO unterscheidet hingegen nicht zwischen von juristischen und von natürlichen Personen begangenen Verstößen vergleiche Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG (2018), Seite 210; Illibauer in Knyrim (Hrsg.), DatKomm Artikel 83, Rz 124 (Stand Oktober 2018)). Paragraph 30, Absatz eins und 2 DSG beinhalten keine Verfahrensnormen, sondern an Paragraph 99 d, BWG orientierte Zurechnungsregeln für die Verhängung von Geldbußen nach der DSGVO gegen juristische Personen. Insofern bezieht sich Paragraph 30, DSG nicht auf Artikel 83, Absatz 8, DSGVO, wonach die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß dieser Bestimmung angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss.

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J02

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J02

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

3

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

10/10 Datenschutz
24/03 Sonstiges Strafrecht
37/01 Geldrecht Währungsrecht
37/02 Kreditwesen

Norm

BWG 1993 §99d
DSG 2000 §30 idF 2018/I/024
VbVG 2006 §3 Abs2

Rechtssatz

Anders als die Verbandsverantwortlichkeit nach dem VbVG, das in Paragraph 3, die Verantwortlichkeit eines Verbandes für von einem seiner Entscheidungsträger (Absatz 2,) bzw. von einem seiner Mitarbeiter begangenen Straftaten regelt, sind Paragraph 30, DSG sowie Paragraph 99 d, BWG nicht von verfahrensrechtlichen Bestimmungen flankiert und findet sich auch sonst kein besonderes Verfahrensrecht für das Verwaltungsstrafverfahren gegen juristische Personen vergleiche VwGH 29.3.2019, Ro 2018/02/0023, Rn. 16 und 17, zu Paragraph 99 d, BWG).

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J03

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J03

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

4

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E3R E15202000
E3R E19400000
40/01 Verwaltungsverfahren

Norm

VStG
32016R0679 Datenschutz-GrundV
32016R0679 Datenschutz-GrundV Art83

Rechtssatz

Auf die Verhängung von Geldbußen gemäß Artikel 83, DSGVO findet das VStG insofern Anwendung, als die DSGVO im Rahmen des Anwendungsvorranges nicht speziellere Regelungen vorsieht.

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J04

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J04

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

5

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E3R E15202000
E3R E19400000
10/10 Datenschutz
37/01 Geldrecht Währungsrecht
37/02 Kreditwesen
40/01 Verwaltungsverfahren

Norm

BWG 1993 §99d Abs1
BWG 1993 §99d Abs2
DSG 2000 §30 Abs1 idF 2018/I/024
DSG 2000 §30 Abs2 idF 2018/I/024
DSG 2000 §30 idF 2018/I/024
VStG §31
VStG §32
VStG §44a
32016R0679 Datenschutz-GrundV
  1. VStG § 31 heute
  2. VStG § 31 gültig ab 01.01.2019 zuletzt geändert durch BGBl. I Nr. 57/2018
  3. VStG § 31 gültig von 01.07.2013 bis 31.12.2018 zuletzt geändert durch BGBl. I Nr. 33/2013
  4. VStG § 31 gültig von 26.03.2009 bis 30.06.2013 zuletzt geändert durch BGBl. I Nr. 20/2009
  5. VStG § 31 gültig von 01.01.1999 bis 25.03.2009 zuletzt geändert durch BGBl. I Nr. 158/1998
  6. VStG § 31 gültig von 01.07.1995 bis 31.12.1998 zuletzt geändert durch BGBl. Nr. 620/1995
  7. VStG § 31 gültig von 01.02.1991 bis 30.06.1995
  1. VStG § 32 heute
  2. VStG § 32 gültig ab 01.01.2019 zuletzt geändert durch BGBl. I Nr. 57/2018
  3. VStG § 32 gültig von 01.07.2013 bis 31.12.2018 zuletzt geändert durch BGBl. I Nr. 33/2013
  4. VStG § 32 gültig von 01.01.1999 bis 30.06.2013 zuletzt geändert durch BGBl. I Nr. 158/1998
  5. VStG § 32 gültig von 01.02.1991 bis 31.12.1998

Rechtssatz

Die vom Verwaltungsgerichtshof zur Bestimmung des Paragraph 99 d, Absatz eins und 2 BWG (die die Strafbarkeit juristischer Personen für ihr zurechenbares Verhalten von natürlichen Personen weitgehend ident mit Paragraph 30, Absatz eins und 2 DSG regelt) ergangene Rechtsprechung vom 29. März 2019, Ro 2018/02/0023, betreffend die Bestimmtheit der Verfolgungshandlung iSd Paragraphen 31 und 32 VStG bzw. der Bestrafung iSd Paragraph 44 a, VStG ist auch für die Rechtsfrage, inwiefern für die Bestrafung einer juristischen Person wegen Verstößen gegen die DSGVO bzw. das DSG gemäß Paragraph 30, DSG die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens erforderlichen Feststellungen zu treffen sind und im Spruch gemäß Paragraph 44 a, VStG tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer namentlich genannten natürlichen Person aufzunehmen ist, heranzuziehen.

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J05

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J05

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

6

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E1P
E3R E15202000
E3R E19400000

Norm

12010P/TXT Grundrechte Charta
32016R0679 Datenschutz-GrundV Art83

Rechtssatz

Im Gegensatz zur Verhängung von Geldbußen wegen Verstößen gegen unionsrechtliche Wettbewerbsregeln handelt es sich bei den von der Aufsichtsbehörde eines Mitgliedstaates für Verstöße gegen die DSGVO gemäß Artikel 83, Absatz 4 bis 6 DSGVO zu verhängenden Geldbußen um strafrechtliche Sanktionen vergleiche Erwägungsgrund 150 der DSGVO). Überdies muss gemäß Artikel 83, Absatz 8, DSGVO anders als hinsichtlich der Befugnis der Europäischen Kommission zur Verhängung von Geldbußen für Verstöße gegen das Wettbewerbsrecht der Europäischen Union die Ausübung der Sanktionsbefugnis der Aufsichtsbehörde des einzelnen Mitgliedstaates nicht nur angemessenen Verfahrensgarantien des Unionsrechts (etwa der GRC), sondern auch solchen des Rechts der Mitgliedstaaten unterliegen. Insofern ist die Verhängung von Geldbußen durch die Europäische Kommission wegen Verstößen gegen das Wettbewerbsrecht der Europäischen Union nicht vergleichbar mit der Verhängung von Geldbußen durch die Aufsichtsbehörde eines Mitgliedstaates wegen Verstößen gegen die DSGVO gemäß Artikel 83, Absatz 4 bis 6 DSGVO.

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J06

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J06

Rechtssatz für Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Rechtssatz

Rechtssatznummer

7

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E3R E15202000
E3R E19400000
40/01 Verwaltungsverfahren

Norm

VStG §44a Z1
VwGVG 2014 §50
32016R0679 Datenschutz-GrundV Art4 Z7

Rechtssatz

Vorliegend hat die Datenschutzbehörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO bzw. das DSG der im Sinne des Artikel 4, Ziffer 7, DSGVO verantwortlichen GmbH zugerechnet werden soll, nicht benannt. Damit würde im Verwaltungsstrafverfahren gegen die juristische Person die Konkretisierung der natürlichen Person, für deren tatbestandsmäßiges Verhalten die juristische Person zur Verantwortung gezogen wird, erst im Beschwerdeverfahren eine unzulässige Änderung des Tatvorwurfs und der Sache des Verfahrens im Sinne des Paragraph 50, VwGVG darstellen.

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J07

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWR_2019040229_20200512J07

Entscheidungstext Ro 2019/04/0229

Entscheidungsart

Erkenntnis

Dokumenttyp

Entscheidungstext

Geschäftszahl

Ro 2019/04/0229

Entscheidungsdatum

12.05.2020

Index

E1P
E3R E15202000
E3R E19400000
10/10 Datenschutz
24/03 Sonstiges Strafrecht
37/01 Geldrecht Währungsrecht
37/02 Kreditwesen
40/01 Verwaltungsverfahren

Norm

BWG 1993 §99d
BWG 1993 §99d Abs1
BWG 1993 §99d Abs2
DSG 2000
DSG 2000 §30 Abs1 idF 2018/I/024
DSG 2000 §30 Abs2 idF 2018/I/024
DSG 2000 §30 idF 2018/I/024
EGVG 2008 Art1 Abs1
EGVG 2008 Art1 Abs2 Z2
EGVG 2008 Art2
VbVG 2006 §3 Abs2
VStG
VStG §31
VStG §32
VStG §44a
VStG §44a Z1
VStG §9
VStG §9 Abs7
VwGVG 2014 §50
12010P/TXT Grundrechte Charta
32016R0679 Datenschutz-GrundV
32016R0679 Datenschutz-GrundV Art4 Z7
32016R0679 Datenschutz-GrundV Art83
32016R0679 Datenschutz-GrundV Art83 Abs8
  1. VStG § 31 heute
  2. VStG § 31 gültig ab 01.01.2019 zuletzt geändert durch BGBl. I Nr. 57/2018
  3. VStG § 31 gültig von 01.07.2013 bis 31.12.2018 zuletzt geändert durch BGBl. I Nr. 33/2013
  4. VStG § 31 gültig von 26.03.2009 bis 30.06.2013 zuletzt geändert durch BGBl. I Nr. 20/2009
  5. VStG § 31 gültig von 01.01.1999 bis 25.03.2009 zuletzt geändert durch BGBl. I Nr. 158/1998
  6. VStG § 31 gültig von 01.07.1995 bis 31.12.1998 zuletzt geändert durch BGBl. Nr. 620/1995
  7. VStG § 31 gültig von 01.02.1991 bis 30.06.1995
  1. VStG § 32 heute
  2. VStG § 32 gültig ab 01.01.2019 zuletzt geändert durch BGBl. I Nr. 57/2018
  3. VStG § 32 gültig von 01.07.2013 bis 31.12.2018 zuletzt geändert durch BGBl. I Nr. 33/2013
  4. VStG § 32 gültig von 01.01.1999 bis 30.06.2013 zuletzt geändert durch BGBl. I Nr. 158/1998
  5. VStG § 32 gültig von 01.02.1991 bis 31.12.1998
  1. VStG § 9 heute
  2. VStG § 9 gültig ab 05.01.2008 zuletzt geändert durch BGBl. I Nr. 3/2008
  3. VStG § 9 gültig von 01.01.2002 bis 04.01.2008 zuletzt geändert durch BGBl. I Nr. 137/2001
  4. VStG § 9 gültig von 01.01.1999 bis 31.12.2001 zuletzt geändert durch BGBl. I Nr. 158/1998
  5. VStG § 9 gültig von 01.02.1991 bis 31.12.1998
  1. VStG § 9 heute
  2. VStG § 9 gültig ab 05.01.2008 zuletzt geändert durch BGBl. I Nr. 3/2008
  3. VStG § 9 gültig von 01.01.2002 bis 04.01.2008 zuletzt geändert durch BGBl. I Nr. 137/2001
  4. VStG § 9 gültig von 01.01.1999 bis 31.12.2001 zuletzt geändert durch BGBl. I Nr. 158/1998
  5. VStG § 9 gültig von 01.02.1991 bis 31.12.1998

Betreff

Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger und die Hofräte Dr. Mayr sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Klima, LL.M., über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40-42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 19. August 2019, Zl. W211 2208885- 1/19E, betreffend Übertretung des Datenschutzgesetzes 2000 sowie des Datenschutzgesetzes und der Datenschutzgrundverordnung (DSGVO) (mitbeteiligte Partei: N.N. Handels- und Betriebsgesellschaft mbH. in G), zu Recht erkannt:

Spruch

Die Revision wird als unbegründet abgewiesen.

Begründung

1 Mit Straferkenntnis vom 12. September 2018 legte die revisionswerbende Behörde der N.N. Handels- und Betriebsgesellschaft mbH (mitbeteiligten Partei) zur Last, sie habe als Verantwortliche im Sinne des Artikel 4, Ziffer 7, Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitungsanlage (Videoüberwachung) zu verantworten, dass ab dem 22. März 2018 in einem näher genannten Wettlokal 1. die Videoüberwachung die vor dem Eingangsbereich des Wettlokals liegenden öffentlichen Parkplätze und Verkehrsflächen erfasse und somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt sei; 2. keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung stattfinde; 3. keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden stattfinde, eine diesbezüglich gesonderte Protokollierung nicht vorliege und eine Begründung für eine verlängerte Speicherdauer fehle; 4. die Videoüberwachung nicht geeignet gekennzeichnet sei. Die mitbeteiligte Partei habe dadurch zu 1. Artikel 5, Absatz eins, Litera a und c sowie Artikel 6, Absatz eins, DSGVO, zu 2. für den Zeitraum vor dem 25. Mai 2018 Paragraph 50 b, Absatz eins, Datenschutzgesetz 2000 (DSG 2000) und ab dem 25. Mai 2018 Paragraph 13, Absatz 2, Datenschutzgesetz (DSG), zu 3. für den Zeitraum vor dem 25. Mai 2018 Paragraph 50 b, Absatz 2, DSG 2000 und ab dem 25. Mai 2018 Paragraph 13, Absatz 3, DSG sowie zu 4. für den Zeitraum vor dem 25. Mai 2018 Paragraph 50 d, Absatz eins, DSG 2000 und ab dem 25. Mai 2018 Paragraph 13, Absatz 5, DSG verletzt, weshalb über die mitbeteiligte Partei als Verantwortliche gemäß Paragraph 30, DSG je eine Geldstrafe und zwar zu 1) gemäß Artikel 83, Absatz 5, Litera a, DSGVO in der Höhe von EUR 2.400,--, bzw. zu 2) gemäß Paragraph 52, Absatz 2, Ziffer 6, DSG 2000 in Verbindung mit Paragraph 69, Absatz 5, DSG sowie Paragraph 62, Absatz eins, Ziffer 4, DSG, zu 3) gemäß Paragraph 52, Absatz 2, Ziffer 7, DSG 2000 in Verbindung mit Paragraph 69, Absatz 5, DSG sowie Paragraph 62, Absatz eins, Ziffer 4, DSG und zu 4) gemäß Paragraph 52, Absatz 2, Ziffer 4, DSG 2000 in Verbindung mit Paragraph 69, Absatz 5, DSG sowie Paragraph 62, Absatz eins, Ziffer 4, DSG in der Höhe von jeweils EUR 800,--, insgesamt sohin in der Höhe von EUR 4.800,-- verhängt und gemäß Paragraph 64, VStG ein Kostenbeitrag in der Höhe von EUR 480,-- vorgeschrieben wurde.

2 Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der mitbeteiligten Partei Folge, behob das Straferkenntnis, stellte das Verfahren gemäß Paragraph 45, Absatz eins, Ziffer 3, VStG ein und sprach aus, dass die mitbeteiligte Partei gemäß Paragraph 52, Absatz 8, VwGVG keine Kosten zu tragen habe und die Revision zulässig sei.

3 Begründend führte das Verwaltungsgericht zusammengefasst aus, dass entsprechend der auch auf das Verfahren nach dem DSG übertragbaren Rechtsprechung des Verwaltungsgerichtshofs vom 29. März 2019, Ro 2018/02/0023, für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten sei. Für die Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (Paragraph 44 a, VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.

Vorliegend sei eine natürliche Person, deren Verhalten (Anordnung und Installation der Kameras oder fehlende Kontrolle der Kameras bzw. deren Nutzung) der mitbeteiligten Partei zugeordnet werden solle, nie bezeichnet und damit nie konkretisiert worden. Seitens der revisionswerbenden Behörde sei zwar am 12. Juli 2018 ein Firmenbuchauszug eingeholt worden. Auf diesen Auszug werde jedoch im Straferkenntnis weder verwiesen, noch sei er dem Straferkenntnis beigelegt worden.

Die Aufforderung zur Rechtfertigung sei an den laut Firmenbuch handelsrechtlichen Geschäftsführer der mitbeteiligten Partei adressiert gewesen. Der Geschäftsführer sei hingegen nicht in der Beschreibung des Vorwurfs angeführt worden. In der Anzeige der Landespolizeidirektion sei die Angabe der im Wettlokal damals tätigen Kellnerin angeführt worden, wonach der Gesellschafter und gewerberechtliche Geschäftsführer der mitbeteiligten Partei "Chef der Firma" sei. Im Verfahren vor dem Verwaltungsgericht habe sich herausgestellt, dass die tatsächliche Einflussnahme und Kontrolle der mitbeteiligten Partei mit der Information aus dem Firmenbuch nicht ausreichend konkret und der Realität gemäß dargestellt worden sei.

Im Ergebnis sei davon auszugehen, dass keine ausreichende Konkretisierung des Tatvorwurfs im behördlichen Verfahren vorgenommen worden sei, weil aus dem Tatvorwurf nicht hervorgehe, welches Verhalten welcher Person der mitbeteiligten Partei zugerechnet werden hätte sollen. Damit erscheine die Wahrnehmung wesentlicher Verteidigungsrechte der mitbeteiligten Partei nicht ausreichend garantiert.

Selbst nach der im Beschwerdeverfahren vertretenen Argumentation der revisionswerbenden Behörde solle eine Handlung einer Person der juristischen Person zugeordnet werden. Dies sei vorliegend nicht der Fall. Überdies beziehe sich Paragraph 30, DSG auf die dort genannten Personen, die als solche in "Schlüsselfunktionen" angesehen werden könnten.

Der Argumentation der revisionswerbenden Behörde, Artikel 83, DSGVO sei inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet, weshalb die dazu ergangene einschlägige Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH), wonach eine konkrete Benennung einer natürlichen Person, die innerhalb eines Unternehmens schuldhaft gehandelt haben solle oder für eine möglicherweise fehlerhafte Organisation verantwortlich gemacht werden solle, nicht notwendig sei, auch vorliegend heranzuziehen sei, sei nicht zu folgen. Die zitierte Rechtsprechung beziehe sich nämlich auf durch die Europäische Kommission geführte wettbewerbsrechtliche Verfahren unter Heranziehung eigener - auch verfahrensrechtlicher - Vorgaben. Artikel 83, Absatz 8, DSGVO hingegen halte fest, dass die Ausübung der Befugnisse der Aufsichtsbehörde angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren unterliegen müsse. Eine direkte Anwendbarkeit der Rechtsprechungsgrundsätze der Gerichte der Europäischen Union zum Wettbewerbsrecht scheide auf Grund der unterschiedlichen Rechtsgrundlagen, der unterschiedlichen verfahrensrechtlichen Grundlagen und des Verweises in der DSGVO selbst, wonach das Verfahren nach Artikel 83, DSGVO den Verfahrensgarantien auch nach dem Recht der Mitgliedstaaten zu unterliegen habe, aus.

Es sei somit nicht von einem ausreichend konkretisierten Tatvorwurf im behördlichen Verfahren auszugehen.

Dieser Mangel könne vom Verwaltungsgericht nicht behoben werden.

Das vorliegende Straferkenntnis normiere keinen Zeitpunkt, an dem das strafbare Verhalten aufgehört habe, weshalb für den Beginn der Berechnung der Verfolgungsverjährungsfrist nach Paragraph 31, Absatz eins, VStG vom Datum des Straferkenntnisses, den 12. September 2018, auszugehen sei und diese noch offen sei.

Die mangelnde Tauglichkeit der Verfolgungshandlung könne jedoch auf Grund der Begrenzung des Beschwerdeverfahrens auf den im Straferkenntnis gegenständlichen Tatvorwurf nicht durch Nachholung der Verfolgungshandlung durch das Verwaltungsgericht beseitigt werden. Ein erstmals vom Verwaltungsgericht erhobener Tatvorwurf sei eine über eine bloße Präzisierung hinausgehende unzulässige Ausdehnung des Beschwerdegegenstandes. Liege einem Straferkenntnis ein nicht ausreichend konkreter Vorwurf zugrunde, könne nur mit Behebung des Straferkenntnisses und Einstellung des Verfahrens vorgegangen werden. Die fehlende Konkretisierung des Tatvorwurfs stelle ein prozessuales Hindernis für die Überprüfung durch das Verwaltungsgericht dar.

4 Gegen dieses Erkenntnis richtet sich die vorliegende Amtsrevision. Die mitbeteiligte Partei erstattete keine Revisionsbeantwortung.

Der Verwaltungsgerichtshof hat erwogen:

Zulässigkeit

5 Die Zulassung der Revision begründete das Verwaltungsgericht mit fehlender höchstgerichtlicher Rechtsprechung zu den Bestimmungen über die Bestrafung der juristischen Person im Zusammenhang mit der neuen Rechtslage zur DSGVO sowie zum DSG betreffend der Übertragbarkeit der Aussagen des Verwaltungsgerichtshofes in dessen Erkenntnis vom 29. März 2019, Ro 2018/02/0023, auf die materielle Rechtslage nach der DSGVO und dem DSG. Ebenso fehle Rechtsprechung zur Ermächtigung bzw. sogar Verpflichtung des Verwaltungsgerichts, eine fehlende Tauglichkeit einer Verfolgungshandlung durch die Behörde bei offener Verfolgungsverjährung - hier in Bezug auf die Bestimmung der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden solle - nachzuholen.

6 Die Amtsrevision ist bereits aus den angeführten Gründen

zulässig, sie ist jedoch nicht berechtigt.

Rechtslage

Nationales Recht

7 Paragraph 52, des Bundesgesetzes über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, in der hier maßgeblichen Fassung Bundesgesetzblatt Teil eins, Nr. 83 aus 2013,, lautete auszugsweise:

"10. Abschnitt

Strafbestimmungen

...

Verwaltungsstrafbestimmung

Paragraph 52, (1) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 25 000 Euro zu ahnden ist, wer

...

  1. Absatz 2Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 10 000 Euro zu ahnden ist, wer

...

4. seine Offenlegungs- oder Informationspflichten gemäß den Paragraphen 23,, 24, 25 oder 50d verletzt oder

...

5. die gemäß Paragraph 50 a, Absatz 7 und Paragraph 50 b, Absatz eins, erforderlichen Sicherheitsmaßnahmen außer Acht lässt oder

6. Daten nach Ablauf der in Paragraph 50 b, Absatz 2, vorgesehene Löschungsfrist nicht löscht.

  1. Absatz 2 aSofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den Paragraphen 26,, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht.

..."

Paragraphen 30, Absatz eins bis 3 sowie 69 Absatz 4 und 5 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, in der hier maßgeblichen Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, und Paragraph 62, Absatz eins, Ziffer 2, leg.cit. in der hier maßgeblichen Fassung Bundesgesetzblatt Teil eins, Nr. 120 aus 2017,, lauten:

"Allgemeine Bedingungen für die Verhängung von Geldbußen

Paragraph 30, (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des Paragraph eins, oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

  1. Ziffer eins
    der Befugnis zur Vertretung der juristischen Person,
  2. Ziffer 2
    der Befugnis, Entscheidungen im Namen der juristischen
Person zu treffen, oder
         3.       einer Kontrollbefugnis innerhalb der juristischen Person
  1. Absatz 2Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des Paragraph eins, oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Absatz eins, genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.
  2. Absatz 3Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß Paragraph 9, des Verwaltungsstrafgesetzes 1991 - VStG, Bundesgesetzblatt Nr. 52 aus 1991,, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.

...

4. Hauptstück

Besondere Strafbestimmungen

Verwaltungsstrafbestimmung

Paragraph 62, (1) Sofern die Tat nicht einen Tatbestand nach Artikel 83, DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50 000 Euro zu ahnden ist, wer

...

4. eine Bildverarbeitung entgegen den Bestimmungen des 3. Abschnittes des 1. Hauptstücks betreibt oder

...

Übergangsbestimmungen

Paragraph 69,

...

  1. Absatz 4Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.
  2. Absatz 5Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.

..."

Unionsrecht

8 Artikel 4, Ziffer 7 und 8 sowie Artikel 83, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ABl. L 119 vom 4. Mai 2016, S. 1, (Datenschutz-Grundverordnung) - (DSGVO) lauten:

"Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

...

7. ‚Verantwortlicher' die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. ‚Auftragsverarbeiter' eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

...

Artikel 83

Allgemeine Bedingungen für die Verhängung von Geldbußen

  1. Absatz einsJede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
  2. Absatz 2Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

  1. Litera b
    Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
  2. Litera c
    jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
                     d)       Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und
organisatorischen Maßnahmen;
         e)       etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
         f)       Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
         g)       Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
         h)       Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
         i)       Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
         j)       Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und
         k)       jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
  1. Absatz 3Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.
  2. Absatz 4Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

b) die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;

c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.

  1. Absatz 5Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;

b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;

c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;

d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels römisch IX erlassen wurden;

e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen

Artikel 58 Absatz 1.

  1. Absatz 6Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
  2. Absatz 7Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.
  3. Absatz 8Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.
  4. Absatz 9Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, kann dieser Artikel so angewandt werden, dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften."

Tatzeitraum vor dem Inkrafttreten der DSGVO sowie des DSG 9 Der im Straferkenntnis der mitbeteiligten Partei betreffend sämtlicher vier Verwaltungsübertretungen angelastete Tatzeitraum beginnt jeweils mit 22. März 2018 und umfasst somit jeweils auch einen Zeitraum vor dem Inkrafttreten der DSGVO bzw. dem DSG am 25. Mai 2018 vergleiche Artikel 99, Absatz 2, DSGVO bzw. Paragraph 70, Absatz 9, DSG in Bezug auf die hier maßgeblichen Paragraphen 30,, 62 und 69 DSG). 10 Der mitbeteiligten Partei können daher für den vor dem 25. Mai 2018 gelegenen Zeitraum mangels unmittelbarer Strafbarkeit der mitbeteiligten Partei als juristische Person gemäß Paragraph eins, Absatz 2, VStG die ihr vorgeworfenen Übertretungen nicht zur Last gelegt werden. Die Aufhebung des Straferkenntnisses für diesen Tatzeitraum erfolgte daher schon aus diesem Grund zu Recht.

Erfordernis der namentlichen Bezeichnung jener natürlicher Personen, deren Verstöße gegen die DSGVO bzw. das DSG einer juristische Person angelastet werden, in einer Verfolgungshandlung gemäß Paragraph 32, VStG sowie im Spruch des Straferkenntnisses gemäß Paragraph 44 a, Ziffer eins, VStG

Zur Frage der Maßgeblichkeit der Rechtsprechung des Verwaltungsgerichtshofes zu Paragraph 99 d, BWG vom 29. März 2019, Ro 2018/02/0023

11 Gemäß Artikel 83, DSGVO in Verbindung mit Artikel 4, Ziffer 7 und 8 DSGVO sind Geldbußen für Verstöße gegen die DSGVO gemäß Artikel 83, Absatz 4 bis 6 DSGVO nicht nur gegen natürliche Personen, sondern auch gegen juristische Personen als "Verantwortlicher" iSd Artikel 4, Ziffer 7, DSGVO oder "Auftragsverarbeiter" iSd Artikel 4, Ziffer 8, DSGVO zu verhängen. Nähere Bestimmungen zur strafrechtlichen Verantwortlichkeit juristischer Personen für von ihnen zurechenbaren natürlichen Personen begangene Verstöße gegen die DSGVO enthält die Verordnung nicht.

12 Bis zum Inkrafttreten der DSGVO und deren (unmittelbare) Geltung sowie des DSG traf juristische Personen für Verstöße von ihnen zurechenbaren natürlichen Personen gegen das bis dahin geltende DSG 2000 keine direkte strafrechtliche Verantwortlichkeit und Sanktionsmöglichkeit. Es bestand lediglich das Konzept der Verantwortlichkeit für juristische Personen nach Paragraph 9, VStG mit der Haftung für die über die zur Vertretung nach außen Berufenen oder über einen verantwortlichen Beauftragten verhängten Geldstrafen und die Verfahrenskosten nach Paragraph 9, Absatz 7, leg. cit. zur ungeteilten Hand als vom rechtskräftigen und vollstreckbaren Strafausspruch gegen diese natürlichen Personen abhängige "kriminelle Bürgschaft" und nicht als Strafe vergleiche VwGH 22.5.2019, Ra 2018/04/0074, 0075, Rn. 9, mwN). Wie in den Gesetzesmaterialien zum DSG, Bundesgesetzblatt Teil eins, Nr. 120 aus 2017,, (ErläutRV 1664 BlgNR 25. GP 10), dargelegt, war somit unter anderem eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, erforderlich. Dabei orientiert sich die in Paragraph 30, DSG geregelte Verhängung von Geldbußen gegen juristische Personen an der Regelung des Paragraph 99 d, des Bankwesengesetzes (BWG), Bundesgesetzblatt Nr. 532 aus 1993,.

13 In dem Erkenntnis vom 29. März 2019, Ro 2018/02/0023, Rn.

21 - 33, hielt der Verwaltungsgerichtshof zu den

Inhaltserfordernissen der Verfolgungshandlung iSd Paragraphen 31 und 32 VStG sowie des Schuldspruchs in Bezug auf Paragraph 99 d, Absatz eins, und 2 BWG fest:

"21 Blickt man auf die wegen des Unionsrechtsbezugs hier maßgebenden Verfahrensgarantien des Artikel 47, GRC, ist es folgerichtig, dass die juristische Person als Beschuldigte nach Paragraph 32, VStG anzusehen ist, wenn sie im Verdacht steht, eine Verwaltungsübertretung zu verantworten zu haben und die Behörde gegen sie eine Verfolgungshandlung richtet. Sie ist dann auch Partei im Sinne des AVG.

22 Ist die juristische Person Beschuldigte im Verwaltungsstrafverfahren (Paragraph 32, VStG), hat sie alle mit dieser Parteistellung verbundenen Rechte. So etwa ist dem Beschuldigten rechtliches Gehör einzuräumen (Paragraph 40, VStG), er muss an ihn gestellte Fragen nicht beantworten (Paragraph 33, Absatz 2, VStG). Der Beschuldigte hat Zugang zu einem Gericht (Verwaltungsgericht), das grundsätzlich eine öffentliche mündliche Verhandlung durchzuführen hat (Paragraph 44, VwGVG), in der dem Beschuldigten Frage- und Informationsrechte zustehen, er kann sich auch vertreten lassen (Paragraph 46, VwGVG). Auch ermöglicht der Strafrahmen des Paragraph 99 d, Absatz 3, BWG mangels Untergrenze eine einzelfallgerechte Strafhöhe (zur Verfassungsmäßigkeit von Paragraph 99 d, BWG in Bezug auf die Strafhöhe vergleiche VfGH 13.12.2017, G 408/2016-31 ua).

23 Zudem sind auch die Einschränkungen und Ausnahmen vom Amtswegigkeitsprinzip, die sich etwa aus Paragraph 25, Absatz 3, VStG (Absehen von der Anzeigeerstattung), aus Paragraph 34, VStG (Vorläufiges Absehen von der Einleitung oder Fortführung des Strafverfahrens) oder aus Paragraph 45, Absatz eins, VStG (Absehen von der Einleitung oder Fortführung eines Strafverfahrens und Einstellung) ergeben, auf das gegen die juristische Person als Beschuldigte geführte Verfahren zu ihren Gunsten anwendbar, soweit sie nicht ausschließlich auf natürliche Personen zugeschnitten sind.

24 Durch diese der juristischen Person zukommende prozedurale Rechtsstellung wird den an das Recht auf ein faires Verfahren gestellten Anforderungen entsprochen, weshalb die von Artikel 47, GRC geforderten Verfahrensgarantien in einem Verfahren nach dem VStG auch für die juristische Person gewährleistet sind vergleiche zu Artikel 6, EMRK im Strafverfahren gegen einen Verband nochmals VfGH 2.12.2016, G 497/2015 ua).

25 Die Bestrafung der juristischen Person nach der in Rede stehenden Bestimmung setzt voraus, dass eine ihr zurechenbare natürliche Person (Führungsperson) eine Straftat begangen hat. Der Strafbarkeit der juristischen Person nach Paragraph 99 d, Absatz eins und 2 BWG liegt dabei der Vorwurf zu Grunde, die dort genannten Führungspersonen hätten gegen die dort angeführten

‚Verpflichtungen verstoßen' (Absatz eins,) oder sie hätten durch mangelnde Kontrolle oder Überwachung eine ‚Mitarbeitertat' ermöglicht (Absatz 2,).

26 Die in Paragraph 99 d, BWG verwiesenen Verbots- und Gebotsnormen richten sich entweder direkt an die juristische Person (Paragraph 98, Absatz eins, BWG) oder an den Verantwortlichen gemäß Paragraph 9, VStG (Paragraph 98, Absatz 2,, Absatz 5,, Absatz 5 a und Paragraph 99, Absatz eins, BWG).

27 Der verfassungsrechtlich geforderte Zusammenhang für die Zurechnung der Anlasstat zur juristischen Person kommt dadurch zum Ausdruck, dass einerseits eine Führungsperson entweder die Tat selbst begangen hat (Absatz eins,) oder die Begehung der Tat eines Mitarbeiters durch mangelnde Überwachung und Kontrolle ermöglicht wurde (Absatz 2,), andererseits Verbandspflichten verletzt wurden (Paragraph 98, Absatz eins, BWG) bzw. der Verband einen Nutzen aus der Tat zieht (Paragraph 99 d, Absatz 3, leg.cit.) vergleiche zu Paragraph 3, VbVG neuerlich VfGH 2.12.2016, G 497/2015 ua).

28 Wegen eines Verstoßes gegen eine verwaltungsstrafrechtlich sanktionierte Verpflichtung kann bestraft werden, wer den entsprechenden Tatbestand rechtswidrig und schuldhaft (Paragraph 5, VStG) verwirklicht; im konkreten Fall einen oder mehrere Tatbestände des Paragraph 98, Absatz eins,, Absatz 2, Ziffer 7 und 11, Absatz 5,, Absatz 5 a, oder Paragraph 99, Absatz eins, Ziffer 3, oder 4 BWG.

29 Da die juristische Person nicht selbst handeln kann, ist ihre Strafbarkeit gemäß Paragraph 99 d, BWG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson. Demgemäß ist für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten. Eine Verfolgungshandlung im Sinne der Paragraphen 31 und 32 VStG muss nämlich eine bestimmte Verwaltungsübertretung zum Gegenstand haben, was erfordert, dass sie sich auf alle der späteren Bestrafung zugrunde liegenden Sachverhaltselemente beziehen muss (VwGH 8.3.2017, Ra 2016/02/0226, mwN). Richtet sich ein so erhobener Vorwurf gegen die juristische Person, so ist - wegen der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person - darin auch der Vorwurf gegen die darin genannte natürliche Person enthalten.

30 Wird aber einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten vergleiche Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, Rn 13 zu Paragraph 32,) Führungsperson in einer Verfolgungshandlung gegen die juristische Person eine der genannten Straftaten vorgeworfen und kommt die Führungsperson für eine Bestrafung in Betracht, was aufgrund der in Paragraph 99 d, BWG verwiesenen Bestimmungen (nur) auf die Verantwortlichen gemäß Paragraph 9, VStG zutrifft, steht der Verantwortliche gemäß Paragraph 9, VStG im Verdacht dieser Verwaltungsübertretung, weshalb er ab diesem Zeitpunkt gemäß Paragraph 32, Absatz eins, VStG Beschuldigter ist, zumal die Amtshandlung nicht an den Verdächtigen adressiert sein muss vergleiche aaO, Rn 15). Neben der besonderen Stellung im Verwaltungsstrafverfahren als Partei ist dieser Umstand auch für die Verfolgungsverjährung sowohl hinsichtlich der juristischen als auch der natürlichen Person von Bedeutung (Paragraph 31, Absatz eins, VStG).

31 Bei dieser Gelegenheit ist festzuhalten, dass es - sei es für die Verfolgungshandlung, sei es für die Bestrafung - für die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden (wie im vorliegenden Straferkenntnis auf das ‚Firmenbuch') verwiesen wird; wie oben gezeigt wurde, genügt die bloße Bestimmbarkeit der Person nicht.

32 Die Stellung als Beschuldigter hat für den Verantwortlichen zur Folge, dass er nicht nur in einem allenfalls gegen ihn geführten Verfahren als Beschuldigter zu behandeln ist, sondern auch im Verfahren gegen die juristische Person, andernfalls seine Parteirechte nicht gewährleistet wären.

33 Mit Blick auf die eingangs wiedergegebene Zulässigkeitsfrage bedeutet dies, dass das Verfahren gegen die natürliche Person nicht vorrangig zu führen und zu beenden ist sowie keinen Schuldspruch gegen diese erfordert, um auch die juristische Person bestrafen zu dürfen. Für eine Bestrafung der juristischen Person ist vielmehr entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genügt, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (Paragraph 44 a, VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Es kommt nicht darauf an, ob und gegebenenfalls gegen welche natürliche Person - ebenfalls - ein Verwaltungsstrafverfahren geführt wird oder wurde."

14 Die revisionswerbende Behörde wendet gegen die Übertragbarkeit dieser Rechtsprechung auf Verstöße gegen die DSGVO und das DSG ein, durch das Verbandsverantwortlichkeitsmodell sui generis, das dem EU-Wettbewerbsrecht entstamme und welches der Unionsgesetzgeber für den Bereich der Geldbußen nach Artikel 83, DSGVO sinngemäß vorgesehen habe, würden grundrechtlich gebotene Verfahrensgarantien juristischer Personen nicht geschmälert werden. Ausgehend davon, dass juristische Personen in Verfahren nach Artikel 83, DSGVO auch die Rechtsschutz- und Verfahrensgarantien der Artikel 47 bis 50 GRC genießen würden, der Grundsatz der Verhältnismäßigkeit und das Schuldprinzip der Regelungssystematik des Artikel 83, DSGVO inhärent seien, und die in Artikel 83, Absatz 8, DSGVO angesprochenen Verfahrensgarantien, auf die sich juristische Personen stützen könnten, auch im VStG, etwa in den Paragraphen 32 a,, 33 Absatz 2 und 3, 43 Absatz 2 bis 4 sowie 44b leg.cit., zum Ausdruck kämen, bestehe für nationale Regelungen wie Paragraph 30, DSG - interpretiert im Lichte des Erkenntnisses des Verwaltungsgerichtshofes vom 29. März 2019, Ro 2018/02/0023 - mit Blick auf die unmittelbare Anwendbarkeit des Artikel 83, DSGVO kein Raum. Paragraph 30, DSG finde in dieser Beziehung auch keine Deckung in Artikel 83, Absatz 8, DSGVO. In Folge dessen seien die Ausführungen im Erkenntnis, Ro 2018/02/0023, zur verwaltungsstrafrechtlichen Verantwortlichkeit juristischer Personen im Bereich der Finanzmarktaufsicht auf die materielle Rechtslage nach der DSGVO und dem DSG nicht übertragbar. Das VStG kenne zwar im Gegensatz zum Verbandsverantwortlichkeitsgesetz (VbVG) keine unmittelbare Strafbarkeit der juristischen Person und somit keine Paragraph 17, VbVG vergleichbare Norm. Diese - planwidrige - Lücke könne jedoch nach Ansicht der revisionswerbenden Behörde durch eine analoge Anwendung des Paragraph 17, VbVG geschlossen werden, um die Rechte bestimmter für eine juristische Person handelnder natürlicher Personen zu wahren.

15 Auf das behördliche Verfahren der revisionswerbenden Behörde für die Verhängung von Geldbußen nach Artikel 83, DSGVO findet gemäß Art. römisch eins Absatz eins und Absatz 2, Ziffer 2, in Verbindung mit Art. römisch II EGVG das VStG Anwendung. Dies gilt insoweit, als die DSGVO nicht speziellere Regelungen vorsieht. Die Bestimmungen des Paragraph 30, Absatz eins bis 3 DSG sind erforderlich, um die vollständige Durchsetzung des Artikel 83, DSGVO im nationalen Recht sicherzustellen, weil das VStG nur das Verfahren für die Strafbarkeit natürlicher Personen regelt; Artikel 83, DSGVO unterscheidet hingegen nicht zwischen von juristischen und von natürlichen Personen begangenen Verstößen vergleiche Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG (2018), Seite 210; Illibauer in Knyrim (Hrsg.), DatKomm Artikel 83, Rz 124 (Stand Oktober 2018)).

16 Paragraph 30, Absatz eins und 2 DSG beinhalten keine Verfahrensnormen, sondern an Paragraph 99 d, BWG orientierte Zurechnungsregeln für die Verhängung von Geldbußen nach der DSGVO gegen juristische Personen. Insofern bezieht sich Paragraph 30, DSG nicht auf Artikel 83, Absatz 8, DSGVO, wonach die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde (revisionswerbende Behörde) gemäß dieser Bestimmung angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss.

17 Anders als die Verbandsverantwortlichkeit nach dem VbVG, das in Paragraph 3, die Verantwortlichkeit eines Verbandes für von einem seiner Entscheidungsträger (Absatz 2,) bzw. von einem seiner Mitarbeiter begangenen Straftaten regelt, sind Paragraph 30, DSG sowie Paragraph 99 d, BWG nicht von verfahrensrechtlichen Bestimmungen flankiert und findet sich auch sonst kein besonderes Verfahrensrecht für das Verwaltungsstrafverfahren gegen juristische Personen vergleiche VwGH 29.3.2019, Ro 2018/02/0023, Rn. 16 und 17, zu Paragraph 99 d, BWG).

18 Vielmehr findet auf die Verhängung von Geldbußen gemäß Artikel 83, DSGVO das VStG insofern Anwendung, als die DSGVO im Rahmen des Anwendungsvorranges nicht speziellere Regelungen vorsieht. Das Vorbringen der revisionswerbenden Behörde betreffend eine planwidrige Gesetzeslücke in Bezug auf die Behandlung jener natürlicher Personen als Beschuldigte, für deren Verstöße gegen die DSGVO bzw. das DSG bzw. für deren solche Verstöße durch Mitarbeiter ermöglichende mangelnde Überwachung und Kontrolle die juristische Person gemäß Paragraph 30, Absatz eins und 2 DSG verantwortlich gemacht werden kann, weil eine mit Paragraph 17, VbVG vergleichbare Gesetzesnorm fehle, steht der Übertragung der Judikatur des Verwaltungsgerichtshof im Erkenntnis Ro 2018/02/0023 auf den vorliegenden Fall nicht entgegen. Vielmehr berücksichtigt der Verwaltungsgerichtshof darin für die direkte Strafbarkeit juristischer Personen gemäß Paragraph 99 d, Absatz eins und 2 BWG gerade die Stellung der natürlichen Person, deren tatbestandgemäßes, rechtswidriges und schuldhaftes Verhalten der juristischen Person zugerechnet wird, als Beschuldigter.

19 Entgegen der Rechtsansicht der revisionswerbenden Behörde ist somit sehr wohl die vom Verwaltungsgerichtshof zur Bestimmung des Paragraph 99 d, Absatz eins, und 2 BWG (die die Strafbarkeit juristischer Personen für ihr zurechenbares Verhalten von natürlichen Personen weitgehend ident mit Paragraph 30, Absatz eins, und 2 DSG regelt) ergangene Rechtsprechung vom 29. März 2019, Ro 2018/02/0023, betreffend die Bestimmtheit der Verfolgungshandlung iSd Paragraphen 31 und 32 VStG bzw. der Bestrafung iSd Paragraph 44 a, VStG auch für die vorliegend wesentliche Rechtsfrage, inwiefern für die Bestrafung einer juristischen Person wegen Verstößen gegen die DSGVO bzw. das DSG gemäß Paragraph 30, DSG die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens erforderlichen Feststellungen zu treffen sind und im Spruch gemäß Paragraph 44 a, VStG tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer namentlich genannten natürlichen Person aufzunehmen ist, heranzuziehen.

Zur Frage der Maßgeblichkeit der Rechtsprechung des EuGH zum Erfordernis der konkreten Benennung der innerhalb eines Unternehmens schuldhaft handelnden natürlichen Personen im Wettbewerbsrecht der Union

20 Die revisionswerbende Behörde wendet gegen das sich aus dem Erkenntnis des Verwaltungsgerichtshofs, Ro 2018/02/0023, abgeleitete Erfordernis der namentlichen Benennung der natürlichen Person, deren rechtswidriges und schuldhaftes Verhalten der juristischen Person zuzurechnen ist, ein, Artikel 83, DSGVO sei inhaltlich den wettbewerbsrechtlichen Vorschriften der Europäischen Union nachgebildet und daher die Rechtsprechung des EuGH zu Artikel 15, der Verordnung Nr. 17/1962 bzw. Artikel 23, der Verordnung Nr. 1/2003 einschlägig. In seinem Urteil vom 18. September 2003, C-338/00 P, Volkswagen/Kommission, Rn. 98, in einem Verfahren über die Verhängung einer Geldbuße wegen eines Verstoßes gegen Artikel 85, EG-Vertrag habe der EuGH ausgesprochen, dass das Europäische Gericht (EuG) bei der Feststellung der vorsätzlichen Begehung der Zuwiderhandlung die Personen, die innerhalb des Unternehmens schuldhaft gehandelt hätten oder für die möglicherweise fehlerhafte Organisation hätten verantwortlich gemacht werden müssen, nicht benannt werden mussten. Auf diese Rechtsprechung habe sich unter anderem das EuG in seinem Urteil vom 23. Jänner 2014, T-391/09, Rn. 38, das mit Urteil des EuGH vom 16. Juni 2016, Evonik Degussa und Alzchem/Kommission, C-155/14 P, bestätigt worden sei, berufen. Auf Grund der Ähnlichkeit der wettbewerbsrechtlichen und der datenschutzrechtlichen Bestimmungen zur Verhängung von Geldbußen sei davon auszugehen, dass es sich bei einer Geldbuße nach Artikel 83, DSGVO zwar um keine Strafmaßnahme im engeren Sinn, sehr wohl aber um eine dem "Strafrecht verwandte Maßnahme des Verwaltungsrechts" handle, wobei die das Strafrecht prägenden Prinzipien (Unschuldsvermutung, individuelle Vorwerfbarkeit des Handelns, Schuldprinzip) zur Anwendung gelangen würden. Die einschlägige Rechtsprechung des EuGH gehe somit bei einem Regelverstoß durch juristische Personen davon aus, dass diesen der Verstoß zwar individuell vorwerfbar sein müsse, jedoch eine konkrete Benennung der handelnden Personen innerhalb der juristischen Person nicht erforderlich sei.

21 Vorliegend habe das Verfahren vor dem Verwaltungsgericht ergeben, dass die Bildüberwachung der mitbeteiligten Partei individuell vorwerfbar sei und dies von der mitbeteiligten Partei auch nicht bestritten worden sei. In einem Verfahren nach Artikel 83, DSGVO in Verbindung mit Paragraph 62, DSG sei jedoch nicht zu prüfen, ob dem Geschäftsführer oder einer anderen handlungsbefugten natürlichen Person der Verstoß individuell zur Last gelegt werden könne. Folglich sei dies auch in der Verfolgungshandlung nach Paragraph 32, VStG nicht vorzuwerfen.

22 In dem unter anderem zur Verhängung einer Geldbuße durch die Europäische Kommission in einem Verfahren wegen Verstoßes gegen das Wettbewerbsrecht der Europäischen Union (damals Gemeinschaft) ergangenen Urteil vom 18. September 2003, Volkswagen/Kommission, C-338/00 P, führte der EuGH aus, dass im Wettbewerbsrecht der Gemeinschaft (nunmehr Union) die vorsätzliche oder fahrlässige Begehung einer Zuwiderhandlung im Sinne von Artikel 15, Absatz 2, der Verordnung Nr. 17/1962 festgestellt werden kann, ohne dass die Personen benannt zu werden brauchen, die innerhalb des mit der Geldbuße belegten Unternehmens schuldhaft gehandelt haben oder für dessen möglicherweise fehlerhafte Organisation hätten verantwortlich gemacht werden müssen, wobei er in diesem Zusammenhang unter anderem begründend auf Artikel 15, Absatz 4, der Verordnung Nr. 17/1962 (nunmehr Artikel 23, Absatz 5, der Verordnung (EG) Nr. 1/2003) verwies, wonach die Entscheidungen, mit denen eine solche Geldbuße festgesetzt wird, nicht strafrechtlicher Art sind vergleiche Rn. 96 und 98). Soweit die revisionswerbende Behörde in diesem Zusammenhang auch auf das Urteil des EuGH vom 16. Juni 2016, Evonik Degussa und Alzchem/Kommission, C-155/14 P, verweist, setzt sich der EuGH in dieser Entscheidung nicht mit dem Erfordernis der namentlichen Benennung natürlicher Personen, deren Zuwiderhandeln gegen Wettbewerbsregeln einer juristischen Person zugerechnet wird, auseinander.

23 Im Gegensatz zur Verhängung von Geldbußen wegen Verstößen gegen unionsrechtliche Wettbewerbsregeln handelt es sich bei den von der Aufsichtsbehörde eines Mitgliedstaates für Verstöße gegen die DSGVO gemäß Artikel 83, Absatz 4 bis 6 DSGVO zu verhängenden Geldbußen um strafrechtliche Sanktionen vergleiche Erwägungsgrund 150 der DSGVO). Überdies muss gemäß Artikel 83, Absatz 8, DSGVO anders als hinsichtlich der Befugnis der Europäischen Kommission zur Verhängung von Geldbußen für Verstöße gegen das Wettbewerbsrecht der Europäischen Union die Ausübung der Sanktionsbefugnis der Aufsichtsbehörde des einzelnen Mitgliedstaates nicht nur angemessenen Verfahrensgarantien des Unionsrechts (etwa der GRC), sondern auch solchen des Rechts der Mitgliedstaaten unterliegen. Insofern ist die Verhängung von Geldbußen durch die Europäische Kommission wegen Verstößen gegen das Wettbewerbsrecht der Europäischen Union nicht vergleichbar mit der Verhängung von Geldbußen durch die Aufsichtsbehörde eines Mitgliedstaates wegen Verstößen gegen die DSGVO gemäß Artikel 83, Absatz 4 bis 6 DSGVO. 24 Davon ausgehend ist die in der Revision dargelegte Rechtsprechung des EuGH betreffend die mangelnde Pflicht zur Benennung der Personen, die innerhalb eines wegen eines Verstoßes gegen das Wettbewerbsrecht der Union mit einer Geldbuße belegten Unternehmens schuldhaft gehandelt haben, nicht für Verfahren betreffend die Verhängung von Geldbußen gemäß Artikel 83, DSGVO durch die Aufsichtsbehörde eines Mitgliedstaates beachtlich. Das Absehen von der namentlichen Benennung der natürlichen Person, dessen Verhalten der juristischen Person zugerechnet wird, kann daher nicht auf diese Rechtsprechung des EuGH gestützt werden.

Möglichkeit der Konkretisierung der mangelnden Bestimmung der natürlichen Person, dessen Verhalten der juristischen Person zugerechnet werden soll, durch das Verwaltungsgericht 25 Nach Paragraph 44 a, Ziffer eins, VStG ist es rechtlich geboten, die Tat hinsichtlich des Täters und der Tatumstände so genau zu umschreiben, dass die Zuordnung des Tatverhaltens zur Verwaltungsvorschrift, die durch die Tat verletzt worden ist, in Ansehung aller Tatbestandsmerkmale ermöglicht wird vergleiche VwGH 11.9.2019, Ra 2019/02/0094, Rn. 24, mwN). 26 Vorliegend hat die revisionswerbende Behörde in der der mitbeteiligten Partei zu Handen deren handelsrechtlichen Geschäftsführers zugestellten Aufforderung zur Rechtfertigung die natürlichen Personen, deren als tatbestandsmäßig, rechtswidrig und schuldhaft erachtetes Verhalten der mitbeteiligten Partei zuzurechnen sei, nicht namentlich benannt, sondern lediglich als "Organe oder Mitarbeiter" der mitbeteiligten Partei umschrieben. Im Spruch des Straferkenntnisses der revisionswerbenden Behörde wird der mitbeteiligten Partei kein ihr zurechenbares, tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer natürlichen Person dargetan. Selbst in der Begründung legte die revisionswerbende Behörde nicht offen, welche natürliche Person konkret das der mitbeteiligten Partei zuzurechnende tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten betreffend die einzelnen Tatvorwürfe gesetzt hat. Die revisionswerbende Behörde umschrieb die die Tathandlungen gesetzte(n) natürliche(n) Person(en) lediglich mit dem bloßen Gesetzestext des Paragraph 30, Absatz eins, DSG.

27 Damit hat die revisionswerbende Behörde weder in der gegen die mitbeteiligte Partei gerichteten Verfolgungshandlung, noch gemäß Paragraph 44 a, VStG im Spruch des Straferkenntnisses die Tathandlung einer näher genannten natürlichen Person iSd Paragraph 30, Absatz eins, DSG, die der mitbeteiligten Partei zuzurechnen ist, für eine Bestrafung der mitbeteiligten Partei hinreichend umschrieben.

28 Unter der Tat im Sinne des Paragraph 44 a, Ziffer eins, VStG ist ein und dasselbe Verhalten des Täters, unabhängig von der rechtlichen Beurteilung der Tat, zu verstehen. Eine nicht ausreichende Umschreibung der Tat im Sinne des Paragraph 44 a, Ziffer eins, VStG berechtigt das Verwaltungsgericht nicht, das Straferkenntnis zu beheben. Es ist vielmehr verpflichtet, in der Sache selbst zu entscheiden und dabei die Tat in einer dem Paragraph 44 a, Ziffer eins, VStG entsprechenden Weise zu präzisieren, darf aber dabei die Tat nicht auswechseln. Ein unzulässiges Austauschen des Tatvorwurfs stellt nach den Grundsätzen der hg. Judikatur eine im Beschwerdeverfahren durch das Verwaltungsgericht vorgenommene Erweiterung des Tatvorwurfs bzw. die Heranziehung eines anderen als des ursprünglich der Bestrafung zu Grunde gelegten Sachverhalts dar. Eine Befugnis der Verwaltungsgerichte zur Ausdehnung des Gegenstands des Verfahrens über die Sache des Verwaltungsstrafverfahrens im Sinn des Paragraph 50, VwGVG hinaus besteht nicht. So stellt etwa eine Ausdehnung des Tatzeitraumes erst im Beschwerdeverfahren in Verwaltungsstrafsachen vor dem Verwaltungsgericht eine unzulässige Erweiterung des Tatvorwurfs und der Sache des Verfahrens im Sinn des Paragraph 50, VwGVG dar vergleiche VwGH 13.12.2019, Ra 2019/02/0184, Rn. 13 - 15, mwN).

29 Wie sich aus der auch vorliegend auf die Verhängung von Geldbußen wegen Verstößen gegen die DSGVO bzw. das DSG übertragbaren Rechtsprechung des Verwaltungsgerichtshofes zu Ro 2018/02/0023 ergibt, ist, wenn sich der Tatvorwurf gegen die mitbeteiligte Partei als juristische Partei richtet, - wegen der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person - darin auch der Vorwurf gegen die darin zu nennende natürliche Person enthalten.

30 Vorliegend hat die revisionswerbende Behörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO bzw. das DSG der mitbeteiligten Partei zugerechnet werden soll, nicht benannt. Damit würde im Verwaltungsstrafverfahren gegen die juristische Person die Konkretisierung der natürlichen Person, für deren tatbestandsmäßiges Verhalten die juristische Person zur Verantwortung gezogen wird, erst im Beschwerdeverfahren eine unzulässige Änderung des Tatvorwurfs und der Sache des Verfahrens im Sinne des Paragraph 50, VwGVG darstellen.

31 Das Verwaltungsgericht hat daher zu Recht das angefochtene Straferkenntnis behoben und das Verfahren eingestellt. 32 Die Revision erweist sich somit als unbegründet und war gemäß Paragraph 42, Absatz eins, VwGG abzuweisen.

Wien, am 12. Mai 2020

European Case Law Identifier (ECLI)

ECLI:AT:VWGH:2020:RO2019040229.J00

Im RIS seit

23.06.2020

Zuletzt aktualisiert am

23.06.2020

Dokumentnummer

JWT_2019040229_20200512J00