Verwaltungsgerichtshof (VwGH)

Aus der Anführung eines Tatzeitraumes im Spruch des erstinstanzlichen Straferkenntnisses ergibt sich unabhängig von der mit der Bestrafung verbundenen weiteren (Erfassungs-)Wirkung, dass Abspruchsgegenstand, und somit auch "Sache" iSd. (nunmehr) § 50 VwGVG 2014, ausschließlich die Tatbegehung in diesem Zeitraum ist (vgl. VwGH 29.1.1991, 90/04/0211, und 3.9.1996, 96/04/0080; VwGH 5.11.2014, Ra 2014/09/0018). Die Ausdehnung des Tatzeitraums durch das VwG ist keine (grundsätzlich zulässige) Präzisierung der rechtlichen Grundlage der Bestrafung, sondern eine unzulässige Erweiterung des Tatvorwurfs und der Sache des Verfahrens iSd. § 50 VwGVG 2014, wozu das VwG nicht berechtigt ist (vgl. VwGH 5.11.2014, Ra 2014/09/0018; 21.4.2021, Ra 2020/02/0252). Dem VwG ist es somit verwehrt, den Tatvorwurf und damit die Bestrafung über den von der Behörde ausdrücklich festgelegten Tatzeitraum hinaus auszudehnen, dies unabhängig davon, ob diese - gemessen an ihren Sachverhaltsfeststellungen - allenfalls ein zu frühes Tatzeitende angenommen hat.Aus der Anführung eines Tatzeitraumes im Spruch des erstinstanzlichen Straferkenntnisses ergibt sich unabhängig von der mit der Bestrafung verbundenen weiteren (Erfassungs-)Wirkung, dass Abspruchsgegenstand, und somit auch "Sache" iSd. (nunmehr) Paragraph 50, VwGVG 2014, ausschließlich die Tatbegehung in diesem Zeitraum ist vergleiche VwGH 29.1.1991, 90/04/0211, und 3.9.1996, 96/04/0080; VwGH 5.11.2014, Ra 2014/09/0018). Die Ausdehnung des Tatzeitraums durch das VwG ist keine (grundsätzlich zulässige) Präzisierung der rechtlichen Grundlage der Bestrafung, sondern eine unzulässige Erweiterung des Tatvorwurfs und der Sache des Verfahrens iSd. Paragraph 50, VwGVG 2014, wozu das VwG nicht berechtigt ist vergleiche VwGH 5.11.2014, Ra 2014/09/0018; 21.4.2021, Ra 2020/02/0252). Dem VwG ist es somit verwehrt, den Tatvorwurf und damit die Bestrafung über den von der Behörde ausdrücklich festgelegten Tatzeitraum hinaus auszudehnen, dies unabhängig davon, ob diese - gemessen an ihren Sachverhaltsfeststellungen - allenfalls ein zu frühes Tatzeitende angenommen hat.

Gemäß Art. 83 Abs. 3 DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen (vgl. etwa zum Anwendungsvorrang des Unionsrechts gegenüber dem in § 22 VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf.Gemäß Artikel 83, Absatz 3, DSGVO ist bei mehreren Verstößen eines Verantwortlichen gegen die DSGVO eine Gesamtstrafe zu verhängen vergleiche etwa zum Anwendungsvorrang des Unionsrechts gegenüber dem in Paragraph 22, VStG normierten Kumulationsprinzip VwGH 30.4.2025, Ro 2021/04/0024, Rn. 35, mwN), deren Gesamtbetrag nicht den Betrag für den schwersten Verstoß übersteigen darf.

Für die Berechnung der Geldstrafe legt Art. 83 Abs. 5 DSGVO - wie auch die Bestimmungen des Art. 83 Abs. 4 und 6 DSGVO für die in diesen Absätzen aufgeführten Verstöße - das Höchstmaß der zu verhängenden Geldstrafe fest. Dieses Höchstmaß darf von der DSB nicht überschritten werden.Für die Berechnung der Geldstrafe legt Artikel 83, Absatz 5, DSGVO - wie auch die Bestimmungen des Artikel 83, Absatz 4 und 6 DSGVO für die in diesen Absätzen aufgeführten Verstöße - das Höchstmaß der zu verhängenden Geldstrafe fest. Dieses Höchstmaß darf von der DSB nicht überschritten werden.

Art. 83 Abs. 5 DSGVO - wie auch Art. 83 Abs. 4 und 6 DSGVO - sieht grundsätzlich ein statisches Höchstmaß vor, und zwar konkret € 20.000.000,--. Wenn jedoch der Adressat der Geldbuße ein Unternehmen iSd Art. 101 und 102 AEUV ist (vgl. zur Zugrundelegung des Begriffs "Unternehmer" im Sinne der Art. 101 und 102 AEUV bei der Berechnung der Geldbußen für die in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 59) oder einem solchen angehört, ergibt sich aus Art. 83 Abs. 5 DSGVO - wie auch aus Art. 83 Abs. 4 und 6 DSGVO - der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens (EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 23, mwN). Dieser für Unternehmen iSd Art. 101 und 102 AEUV umsatzbasierte Höchstbetrag kommt jedoch gemäß Art. 83 Abs. 5 DSGVO nur zum Tragen, wenn er den statischen Höchstbetrag von € 20.000.000,-- übersteigt.Artikel 83, Absatz 5, DSGVO - wie auch Artikel 83, Absatz 4 und 6 DSGVO - sieht grundsätzlich ein statisches Höchstmaß vor, und zwar konkret € 20.000.000,--. Wenn jedoch der Adressat der Geldbuße ein Unternehmen iSd Artikel 101 und 102 AEUV ist vergleiche zur Zugrundelegung des Begriffs "Unternehmer" im Sinne der Artikel 101 und 102 AEUV bei der Berechnung der Geldbußen für die in Artikel 83, Absatz 4 bis 6 DSGVO genannten Verstöße EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 59) oder einem solchen angehört, ergibt sich aus Artikel 83, Absatz 5, DSGVO - wie auch aus Artikel 83, Absatz 4 und 6 DSGVO - der Höchstbetrag für die Geldbuße auf der Grundlage eines Prozentsatzes des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens (EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 23, mwN). Dieser für Unternehmen iSd Artikel 101 und 102 AEUV umsatzbasierte Höchstbetrag kommt jedoch gemäß Artikel 83, Absatz 5, DSGVO nur zum Tragen, wenn er den statischen Höchstbetrag von € 20.000.000,-- übersteigt.

Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Art. 83 für Verstöße gegen die DSGVO gemäß seinen Abs. 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist (vgl. EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 24 und 25). Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Art. 101 und 102 AEUV als Adressaten berücksichtigt, kann die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein (vgl. EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 58).Nach Artikel 83, Absatz eins, DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel 83, für Verstöße gegen die DSGVO gemäß seinen Absatz 4 bis 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist vergleiche EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 24 und 25). Nur eine Geldbuße, die nicht nur sämtliche festgestellten Verstöße gegen die DSGVO an Hand der in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien, sondern gegebenenfalls auch die tatsächliche oder materielle Leistungsfähigkeit eines Unternehmens im Sinne des Artikel 101 und 102 AEUV als Adressaten berücksichtigt, kann die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen erfüllen, sowohl wirksam und verhältnismäßig als auch abschreckend zu sein vergleiche EuGH 13.2.2025, C-383/23, ILVA [Geldbuße wegen Verstoßes gegen die DSGVO], Rn. 29 mit Hinweis auf EuGH 5.12.2023, C-807/21, Deutsche Wohnen, Rn. 58).

Insbesondere im Hinblick auf den Grundsatz der Verhältnismäßigkeit ist bei der Bemessung der zu verhängenden Geldstrafe sowohl die Schwere der zu ahndenden Verstöße als auch die Größe in Form der tatsächlichen oder materiellen Leistungsfähigkeit des die Verstöße zu verantwortenden Unternehmens zu beachten.

Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Art. 83 Abs. 1 DSGVO genannten Voraussetzungen, die in Art. 83 Abs. 2 DSGVO aufgezählten Kriterien sowie die in § 19 VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Art. 101 und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist. Vom VwGH ist daher (bloß) zu prüfen, ob das VwG einzelfallbezogen von dem ihm eingeräumten Ermessen im Sinn der DSGVO und des VStG Gebrauch gemacht hat, das heißt, ob die verhängte Strafe unter Bedachtnahme auf die Strafbemessungsgründe vertretbar erscheint (vgl. zur Strafbemessung nach § 19 VStG etwa VwGH 29.4.2025, Ro 2024/11/0002, Rn. 46, mwN).Bei der Strafbemessung handelt es sich um eine Ermessensentscheidung, die unter Bedachtnahme auf die drei in Artikel 83, Absatz eins, DSGVO genannten Voraussetzungen, die in Artikel 83, Absatz 2, DSGVO aufgezählten Kriterien sowie die in Paragraph 19, VStG festgelegten Kriterien und im Fall von zu bestrafenden Unternehmen im Sinne der Artikel 101 und 102 AEUV unter Berücksichtigung deren Größe vorzunehmen ist. Vom VwGH ist daher (bloß) zu prüfen, ob das VwG einzelfallbezogen von dem ihm eingeräumten Ermessen im Sinn der DSGVO und des VStG Gebrauch gemacht hat, das heißt, ob die verhängte Strafe unter Bedachtnahme auf die Strafbemessungsgründe vertretbar erscheint vergleiche zur Strafbemessung nach Paragraph 19, VStG etwa VwGH 29.4.2025, Ro 2024/11/0002, Rn. 46, mwN).

Da sich die Wortfolge "seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres" eines Unternehmens im Sinne des Art. 101 und 102 AEUV in Art. 83 Abs. 4, 5 und 6 DSGVO nur auf die Bestimmung des dynamischen Strafrahmens bezieht, ist bei der Beurteilung der Unternehmensgröße in Form der tatsächlichen oder materiellen Leistungsfähigkeit des Unternehmens im Rahmen der Strafbemessung nicht ausschließlich der Jahresumsatz eines (des vorangegangenen) Geschäftsjahres zu berücksichtigen.Da sich die Wortfolge "seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres" eines Unternehmens im Sinne des Artikel 101 und 102 AEUV in Artikel 83, Absatz 4, 5 und 6 DSGVO nur auf die Bestimmung des dynamischen Strafrahmens bezieht, ist bei der Beurteilung der Unternehmensgröße in Form der tatsächlichen oder materiellen Leistungsfähigkeit des Unternehmens im Rahmen der Strafbemessung nicht ausschließlich der Jahresumsatz eines (des vorangegangenen) Geschäftsjahres zu berücksichtigen.