Veröffentlicht am 25. Jänner
Der Europäische Gerichtshof (EuGH) hat am 5.12.2023 in einem deutschen Vorabentscheidungsverfahren eine grundlegende Entscheidung zur Verhängung von Geldbußen gegen juristische Personen nach der DSGVO getroffen (EuGH C-807/21, Rs Deutsche Wohnen SE). Diese Entscheidung befasst sich mit grundlegenden Fragen zur Verhängung von Geldbußen nach Art 83 DSGVO, insbesondere in Bezug auf juristische Personen.
Nach Ansicht des EuGH können Geldbußen nach Art 83 DSGVO unmittelbar gegen juristische Personen verhängt werden, ohne dass der Verstoß einer konkret identifizierten natürlichen Person zugerechnet werden muss. Juristische Personen haften daher für Verstöße, die im Rahmen ihrer unternehmerischen Tätigkeit begangen werden, damit unabhängig davon, ob ein:e Vertreter:in, Leiter:in oder eine andere Person gehandelt hat.
Verschulden erforderlich
Der EuGH betonte, dass Art 83 DSGVO die Voraussetzungen für die Verhängung von Geldbußen abschließend regelt. Weiters stellte der EuGH klar, dass nur schuldhafte (vorsätzliche oder fahrlässige) Verstöße zu Geldbußen führen können, wobei die konkrete (für den Verstoß verantwortliche) natürliche Person nicht identifiziert werden muss, aber dennoch ein Verschulden nachweislich vorwerfbar sein muss.
Zudem hält der EuGH fest, dass die Aufsichtsbehörden bei der Bemessung der Geldbußen für Verstöße gegen die DSGVO den Begriff „Unternehmen“ im Sinne der Art 101 und 102 AEUV heranzuziehen haben. Daraus folgt, dass für die Bemessung einer Geldbuße nach der DSGVO der weltweite Konzernjahresumsatz heranzuziehen ist.
Erstes Straferkenntnis der Datenschutzbehörde (DSB) nach EuGH-Entscheidung
Die österreichische Datenschutzbehörde (DSB) verhängte drei Tage nach dieser EuGH-Entscheidung eine Geldstrafe von EUR 9.500,- gegen einen Verantwortlichen, der eine Auskunftsanfrage iSd Art 15 DSGVO einer betroffenen Person versehentlich als Löschungsantrag nach Art 17 DSGVO qualifizierte und die Daten der betroffenen Person löschte, anstatt die beantragte Auskunft zu erteilen (DSB 11.12.2023, 2023-0.789.858). Zusätzlich wurden die Verfahrenskosten in Höhe von EUR 950,- auferlegt. Diese Entscheidung der DSB ist rechtskräftig.
Bezugnahme auf EuGH-Kriterien und Strafbemessung
Die DSB bezog sich in ihrem Straferkenntnis explizit auf die vom EuGH festgestellten Kriterien im Zusammenhang mit der Verhängung von Geldbußen nach der DSGVO. Sie stellte fest, dass die Verantwortlichkeit und Haftung des Verantwortlichen für jegliche Datenverarbeitung besteht, die in seinem Namen erfolgt. Die DSB berücksichtigte bei der Strafbemessung das Verschulden (Fahrlässigkeit), die Unternehmensgröße, die Schwere und Dauer des Verstoßes sowie die Milderungsgründe. Sie betonte die Notwendigkeit der Generalprävention und kam zum Schluss, dass die verhängte Strafe angemessen sei.
