GZ: 2024-0.796.258 vom 12. Dezember 2024 (Verfahrenszahl: DSB-D550.1113)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen
(inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie
deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder
verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
Straferkenntnis
Beschuldigter: Michael D***, geb. am **.**.196*
Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz
natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und
zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl.
Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende
Verwaltungsübertretung begangen:
Sie haben sich am 15.07.2024 in Wien (in der Folge „Tatort“) Aktfotos von Angelika V*** (in der
Folge „Betroffene“), welche Sie zuvor mit dem Mobiltelefon der Betroffenen angefertigt haben,
ohne Zustimmung der Betroffenen von ihrem Mobiltelefon über den Dienst „I***“ an Ihr eigenes
Mobiltelefon weitergeleitet. Überdies haben Sie die Lichtbilder jedenfalls vom 15.07.2024 bis
zum 16.07.2024 („Tatzeitraum“) auf Ihrem Mobiltelefon gespeichert. Die Lichtbilder spiegeln als
Aktfotos intime Aufnahmen wider und sind personenbezogene Daten zum Sexualleben der
Betroffenen.
Die durchgeführten Bilddatenverarbeitungen – Weiterleitung sowie Speicherung der Lichtbilder
– erfolgte unrechtmäßig, da diese weder auf die Einwilligung der Betroffenen, noch auf einen
der sonstigen Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO gestützt werden können und
den Grundsätzen gemäß Art. 5 Abs. 1 lit. a DSGVO (Rechtmäßigkeit, Verarbeitung nach Treu
und Glauben, Transparenz“), Art. 5 Abs. 1 lit. b („Zweckbindung“) und Art. 5 Abs. 1 lit. c DSGVO
(„Datenminimierung“) widersprechen.
Verwaltungsübertretung nach:
Art. 9 sowie Art. 5 Abs. 1 lit. a iVm Art. 83 Abs. 1 und Abs. 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF
Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt:
Geldstrafe von Euro falls diese uneinbringlich Gemäß
ist, Ersatzfreiheitsstrafe
von
€ 2.000 120 Stunden Art 83 Abs. 5 lit. a DSGVO iVm § 16
Verwaltungsstrafgesetz 1991 – VStG
Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:
200
Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe,
mindestens jedoch 10 Euro;
Euro als Ersatz der Barauslagen für
Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher
2.200 Euro
Zahlungsfrist:
Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist
in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [Anmerkung
Bearbeiter/in: hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als
Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.
Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall
ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine
Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem
Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.
Begründung:
1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten
Beweisverfahrens fest:
1.1. Zum Verfahrensgang und mangelnde Mitwirkung des Beschuldigten
Am 28.08.2024 wurde der Datenschutzbehörde (im Folgenden: „DSB“) mittels Anzeige der Frau
Angelika V*** (in der Folge „Betroffene“) zur Kenntnis gebracht, dass der Beschuldigte am 15.07.2024
heimlich - bei Erstellung eines Aktfotos der Betroffenen - mehrere Aktfotos angefertigt habe und sich
diese selber über den Dienst „I***“ übermittelt habe.
Die DSB leitete in Folge mit Erledigung vom 01.10.2024 (GZ: D550.1113; 2024-0.631.094) ein
Verwaltungsstrafverfahren ein und forderte den Beschuldigten zur Rechtfertigung in Bezug auf
nachstehende Verwaltungsübertretung auf (Formatierung nicht 1:1 übernommen):
„Sie haben am 15.07.2024 in Wien („Tatort“) vereinbarungsgemäß ein Aktfoto von Angelika V***
(in der Folge „Betroffene“) mit ihrem Mobiltelefon unter Berücksichtigung der alleinigen
Verwertung von der Betroffenen angefertigt.
Ohne Zustimmung der Betroffenen haben Sie jedoch - über das vereinbarte Lichtbild hinaus -
mehrere Aktfotos angefertigt und sich diese selbst über den Dienst „I***“ an Ihr Mobiltelefon
weitergeleitet, wodurch Sie personenbezogenen Daten der Betroffenen unrechtmäßig erhoben
und übermittelt haben. Überdies haben Sie die Lichtbilder jedenfalls von 15.07.2024 bis zum
28.08.2024 („Tatzeitraum“) auf Ihrem Mobiltelefon gespeichert und sohin fortlaufend
personenbezogenen Daten der Betroffenen verarbeitet. Die Lichtbilder spiegeln als Aktfotos
intime Aufnahmen wider und sind personenbezogene Daten zum Sexualleben der Betroffenen.
Die durchgeführte Bilddatenverarbeitung – Anfertigung, Weiterleitung sowie Speicherung der
Lichtbilder – erfolgte unrechtmäßig, da diese weder auf eine Einwilligung der betroffenen
Person, noch auf einen der sonstigen Erlaubnistatbestände des Art. 9 Abs. 1 DSGVO gestützt
werden kann und den Grundsätzen gemäß Art. 5 DSGVO widerspricht.“
Im Rahmen dieses Schreibens wurde ausdrücklich darauf hingewiesen, dass das Strafverfahren ohne
Anhörung des Beschuldigten durchgeführt wird, wenn die Aufforderung zur Rechtfertigung nicht befolgt
wird.
Der Aufforderung zur Rechtfertigung wurde eine Beilage betreffend die Bekanntgabe der Einkommens-
und Vermögensverhältnisse sowie Sorgepflichten angeschlossen. Die Beilage enthält folgenden
Hinweis (Formatierung nicht 1:1 übernommen):
„Mit der beiliegenden Aufforderung zur Rechtfertigung wurde gegen Sie als Beschuldigter ein
Verwaltungsstrafverfahren eingeleitet. Gemäß § 19 Abs. 2 letzter Satz,
Verwaltungsstrafgesetz 1991 – VStG sind bei der Bemessung von Geldstrafen die
Einkommens- und Vermögensverhältnisse sowie allfällige Sorgepflichten des Beschuldigten zu
berücksichtigen.
Wir fordern Sie daher auf, den nachstehenden Fragebogen auszufüllen und an uns
zurückzuschicken. Falls sie den Fragebogen nicht bzw. nicht rechtzeitig (bis zu dem in der
beiliegenden Aufforderung zur Rechtfertigung angegebenen Zeitpunkt) an uns übermitteln, sind
wir gezwungen, die Bemessung einer allfälligen Geldstrafe im Zuge des
Verwaltungsstrafverfahrens unter Einschätzung dieser Verhältnisse vorzunehmen.
Beruf: .....................................................................................................................................
Monatliches Nettoeinkommen: ...............................................................................................
Vermögen: ..............................................................................................................................
Sorgepflichten: .......................................................................................................................“
Das Schreiben wurde samt Beilage mittels RSa-Brief an den Hauptwohnsitz des Beschuldigten per
Adresse „F***platz *5/*4, 1*** Wien“ versandt. Nach einem Zustellversuch durch Organe der Post wurde
das Schreiben ab dem 11.10.2024 in der „Abholfiliale: Post Geschäftsstelle 1*** Wien,
Hinterlegungsdatum: 11.10.2024“ zur Abholung bereitgehalten.
Die Sendung wurde am 29.10.2024 als „nicht behoben“ retourniert.
1.2. Zur Anfertigung und Speicherung der gegenständlichen Lichtbilder:
Der Beschuldigte hat die Betroffenen am 15.07.2024 eingeladen, sich mit ihm in Wien (in der Folge
„Tatort“) in einem Swimming-Pool auf dem Dach des Hauses einer Wohnung eines gemeinsamen
Bekannten „abzukühlen“. Da die Betroffene keine Badebekleidung dabeihatte, hat sie sich entkleidet
und ist im unbekleideten Zustand schwimmen gegangen.
Der Beschuldigte ist Kameramann und haben sich die Betroffene und der Beschuldigte darüber
verständigt, dass mit dem Mobiltelefon der Betroffenen ein Aktbild von der Betroffenen für ihre alleinige
Verwendung angefertigt wird.
Der Beschuldigte fertigte mehrere Lichtbilder der Betroffenen im unbekleideten Zustand an und
übermittelte diese ohne Wissen der Betroffenen über den Dienst „I***“ an sein eigenes Mobiltelefon.
Am 16.07.2024 forderte die Betroffene den Beschuldigten mittels nachstehender Nachricht auf, die
Lichtbilder zu löschen (Formatierung nicht 1:1 übernommen):
„Sofort löschen, meine Schwester ist Polizistin. Ich will, dass die Bilder umgehend gelöscht
werden. Ich habe dir keine Erlaubnis dazu gegeben. Sollten sie an Dritte weitergeleitet werden,
werde ich Anzeige erstatten. […]“
Der Beschuldigte antwortete der Betroffenen hierauf am selben Tag wie folgt (Formatierung nicht 1:1
übernommen):
„Eigentlich wollte ich sie fotoshopen [sic] und dir die verbesserten Fotos schicken aber wie du
meinst, ich kenne das Recht des eigenen Bildes und würde es niemals missachten ich bin
Kameramann und habe jeden Tag damit zu tun.“
Der Beschuldigte hat die Aktfotos der Betroffenen am 16.07.2024 in der Folge von seinem Mobiltelefon
gelöscht.
2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:
2.1. Die Feststellungen zu 1.1. ergeben sich unzweifelhaft aus der Ersteingabe vom 28.08.2024 und
dem gegenständlichen Verwaltungsstrafakt. Die Feststellung zum Zustellvorgang der Erledigung vom
01.10.2024 (GZ: D550.1113; 2024-0.631.094) beruht auf dem unbedenklichen und gut lesbaren
Rückschein.
2.2. Die Feststellungen ergeben sich im Wesentlichen auf Grundlage der von der Einschreiterin
übermittelten Informationen, insbesondere aufgrund der übermittelten Screenshots des
Nachrichtenverlaufes zwischen der Betroffenen und dem Beschuldigten. So hat die Betroffene den
Beschuldigten am 16.07.2024 gefragt, ob er sich die Lichtbilder gesendet habe, worauf dieser
entgegnete: „genau ich zeige sie eh nicht her“. Auch lässt sich dem Chatverlauf die Berufung des
Beschuldigten entnehmen und dass dieser die Lichtbilder in Folge der Aufforderung gelöscht habe. Der
Beschuldigte hat sich - trotz Aufforderung zur Rechtfertigung vom 01.10.2024 (GZ: D550.1113; 2024-
0.631.094) - zu dem Tatvorwurf nicht geäußert.
3. Rechtlich folgt daraus:
3.1. Zur Zuständigkeit der DSB und Anwendungsbereich der DSGVO
Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5, 6, 7 und 9
DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4% seines
gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden
können, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für
die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als
nationaler Aufsichtsbehörde bei der DSB.
Gemäß Art. 2 Abs. 1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte
Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung
personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Die im vorliegenden Fall durch das Mobiltelefon erfassten Bilddaten stellen zweifelsfrei
personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar (vgl. EuGH 11.12.2014, C-212/13, Rz 2).
Darüber hinaus gilt zu beachten, dass die Lichtbilder durchaus intime Aufnahmen widerspiegeln. Die
Bedeutungen von „intim“ sind unter anderem: „sehr nahe und vertraut (in Bezug auf das persönliche
Verhältnis zwischen Menschen); sexuell; den Bereich der Geschlechtsorgane betreffend; anheimelnd,
gemütlich, privaten Charakter habend“ (vgl. dazu den Link https://www.duden.de/
rechtschreibung/intim). So befindet sich die Betroffene in einem unbekleideten Zustand und wurden die
Lichtbilder im Rahmen des gemeinsamen „Abkühlens“ angefertigt. Das Sexualleben erfasst alle
Informationen in Zusammenhang mit sexuellen Aktivitäten, Vorlieben und Praktiken, worunter zB intime
Bildaufnahmen fallen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 9 DSGVO, Rz 29).
Das gegenständliche Lichtbild erfasst sohin jedenfalls Daten zum Sexualleben der Betroffenen im
Sinne des Art. 9 Abs. 1 DSGVO (vgl. auch den Bescheid der DSB vom 20.06.2024, GZ: D124.0614/23;
2024-0.342.465).
Durch die „Anfertigung“, „Übermittlung“ und „Speicherung“ der Lichtbilder mittels Mobiltelefons wurden
Verarbeitungen im Sinne von Art. 4 Z 2 DSGVO vorgenommen. Im Lichte des als erwiesen
angenommenen Sachverhalts ist der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO zu
qualifizieren.
Als Verantwortlicher ist der Beschuldigte Adressat der einschlägigen Pflichten der DSGVO – wie etwa
die Einhaltung der Grundsätze der Datenverarbeitung – im Zusammenhang mit den gegenständlichen
Verarbeitungen, die nachstehend näher beleuchtet werden.
3.2. Zur Rechtmäßigkeit der Datenverarbeitung
In Bezug auf die Rechtmäßigkeit der Verarbeitung wird Eingangs darauf hingewiesen, dass Art. 5
DSGVO die Grundsätze der Verarbeitung personenbezogener Daten festlegt und im Abs. 1 lit. a
bestimmt, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer
für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („Rechtmäßigkeit,
Verarbeitung nach Treu und Glauben, Transparenz“). Die Bestimmung des Art. 5 Abs. 1 lit. b DSGVO
normiert zudem, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke
erhoben werden müssen und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet
werden dürfen (Grundsatz der „Zweckbindung“). Die Bestimmung nach Art. 5 Abs. 1 lit. c DSGVO
normiert zudem, dass die konkrete Datenverarbeitung dem jeweiligen Zweck angemessen und
erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss
(Grundsatz der „Datenminimierung“).
Grundsätzlich besteht nach Art. 9 Abs. 1 DSGVO ein Verarbeitungsverbot für besondere Kategorien
personenbezogener Daten. Die Anforderungen für eine rechtmäßige Datenverarbeitung im
Zusammenhang mit Daten zum Sexualleben sind in Art. 9 Abs. 2 DSGVO im Sinne einer Ausnahme
dieses Verarbeitungsverbotes konkretisiert.
Art. 9 Abs. 2 DSGVO enthält eine Aufzählung von zehn Tatbeständen („Anwendungsfälle“), in denen
das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO nicht anwendbar ist. Ein Rückgriff auf Art. 6 Abs. 1
DSGVO ist ausgeschlossen, würde dieser ja die hohen Hürden des Art. 9 Abs. 2 umgehen (vgl. in
Knyrim, DatKomm Art. 9 DSGVO Rz 30).
Im Vergleich zu Art. 6 Abs. 1 fehlen in Art. 9 Abs. 2 insbesondere die Zulässigkeitstatbestände der
„Verarbeitung im berechtigten Interesse des Verantwortlichen oder eines Dritten“ (Art. 6 Abs. 1 lit. f)
und jener der „Verarbeitung zur Vertragserfüllung“ (Art. 6 Abs. 1 lit. b; s jedoch Art 9 Abs 2 lit h
„aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs“), was zu einem
restriktiveren Zulässigkeitsregime führt (vgl. in Knyrim, DatKomm Art. 9 DSGVO Rz 30).
Gegenständlich sind – wie eingangs bereits aufgezeigt – folgende Verarbeitungsvorgänge zu
differenzieren, die in der Folge jeweils einzelnen auf deren Rechtmäßigkeit geprüft werden müssen:
1) Anfertigung der Lichtbilder
2) Übermittlung der Lichtbilder und
3) Speicherung der Lichtbilder.
3.2.1. Zur Anfertigung der Lichtbilder
Im Hinblick auf die Anfertigung der Lichtbilder wird Art. 9 Abs. 2 lit. a DSGVO schlagend. Gemäß Art. 9
Abs. 2 lit. a DSGVO besteht das Verarbeitungsverbot von besonderen Kategorien personenbezogener
Daten nicht, für den Fall, dass die betroffene Person in die Verarbeitung der genannten
personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat.
So bestand in Bezug auf die Anfertigung der Lichtbilder die ausdrückliche Einwilligung der Betroffenen,
welche die Anfertigung der Lichtbilder ihrer Person im unbekleideten Zustand mit ihrem Mobiltelefon
gerade wünschte. Demnach kann im Zusammenhang mit diesem Verarbeitungsvorgang keine
Verletzung erblickt werden.
3.2.2. Zur Übermittlung der Lichtbilder
Für die Übermittlung der Lichtbilder an das Mobiltelefon des Beschuldigten lag hingegen keine
ausdrückliche Einwilligung vor. Vielmehr erfolgte dies ohne Wissen der Betroffenen.
Wenngleich der Beschuldigte sich – mangels Rechtfertigung – nicht darauf berief, brachte dieser im
Rahmen des schriftlichen „I***“-Nachrichtenverlaufs mit der Betroffenen vor, dass er die Lichtbilder
eigentlich habe „fotoshopen [sic]“ und der Betroffenen „die verbesserten Fotos schicken“ habe wollen
und stützte sich insofern auf das berechtigte Interesse eines Dritten, konkret: der Betroffenen. Wie
jedoch bereits eingangs erwähnt, ist dem Art. 9 Abs. 2 DSGVO der Zulässigkeitstatbestand des
berechtigten Interesses fremd.
Im Übrigen sind für die Datenschutzbehörde keine anderen Ausnahmetatbestände des Art. 9 Abs. 2
DSGVO ersichtlich.
Damit kann die vorgeworfene Tathandlung nicht durch Art. 9 Abs. 2 DSGVO gerechtfertigt werden. Im
Ergebnis liegt also kein die Verarbeitung rechtfertigender Tatbestand vor, womit auch das Vorliegen
eines legitimen Zwecks (Art. 5 Abs. 1 lit. b DSGVO) zu verneinen ist.
Da die vorgenommene Verarbeitungshandlung eines legitimen Zwecks entbehrt, konnte die
Verarbeitung der personenbezogenen Daten auch nicht dem Zweck angemessen und erheblich sowie
auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt erfolgen (Art. 5 Abs. 1 lit. c
DSGVO). Der objektive Tatbestand ist somit erfüllt.
3.2.3. Zur Speicherung der Lichtbilder
Im Hinblick auf die Speicherung kann auf die unter die zu Punkt 3.2.2. getroffenen Aussagen verwiesen
werden und ergibt sich auch im Zusammenhang mit der Speicherung, dass keine der in Art. 9 Abs. 2
DSGVO vorliegenden Ausnahmetatbestande zur Anwendung gelangt. Damit kann auch diese
Tathandlung nicht durch Art. 9 Abs. 2 DSGVO gerechtfertigt werden.
Im Ergebnis liegt also auch im Zusammenhang mit der Speicherung kein die Verarbeitung
rechtfertigender Tatbestand vor, womit auch das Vorliegen eines legitimen Zwecks (Art. 5 Abs. 1 lit. b
DSGVO) zu verneinen ist. Da die vorgenommene Verarbeitungshandlung eines legitimen Zwecks
entbehrt, konnte die Verarbeitung der personenbezogenen Daten auch nicht dem Zweck angemessen
und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt erfolgen
(Art. 5 Abs. 1 lit. c DSGVO).
Der objektive Tatbestand ist für diese Verarbeitungshandlung somit ebenso erfüllt.
3.4. Zur subjektiven Tatseite
Der EuGH hat nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der
Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße
führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).
In Bezug auf die subjektive Tatseite ist zu berücksichtigen, dass die Voraussetzung des Verschuldens
für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und
insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in
Bezug auf das Verschulden stellte der EuGH fest, dass den Mitgliedstatten in diesem Zusammenhang
kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde,
da die materiellen Voraussetzungen abschließend in Art. 83 Abs. 1 bis 6 DSGVO genau geregelt sind
(vgl. hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff). Somit gelangt § 5 VStG in Bezug auf das
Verschulden nicht zur Anwendung.
Zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße
geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein
solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines
Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die
Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).
Die Verantwortung und Haftung eines Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung
personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der
Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch
nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die
Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind (vgl. EuGH
C-807/21, Rz 38, unter Verweis auf ErwGr 74).
Im vorliegenden Fall wird von der DSB keine vorsätzliche Tathandlung durch den Beschuldigte
angenommen. Der Beschuldigte hat als Verantwortlicher gemäß Art. 4 Z 7 DSGVO zwar bewusst
beschlossen, sich die Lichtbilder zu übermitteln und auf seinem Mobiltelefon zu speichern, hat sich
jedoch dabei vorab offenbar nicht ausreichend über die einschlägigen Verwaltungsvorschriften
erkundigt. Bereits das Aufrufen der Webseite der DSB hätte gereicht, um beispielsweise in Erfahrung
zu bringen, dass die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich
verboten ist und die Ausnahmen des Verarbeitungsverbotes in Art. 9 Abs. 2 DSGVO statuiert sind. Im
Übrigen kann dies auch schon aus dem eindeutigen Wortlaut des Art. 9 DSGVO abgeleitet werden.
Schließlich kann in diesem Zusammenhang auch auf das Erkenntnis des Bundesverwaltungsgerichts
vom 08.04.2022 zur GZ: W214 2240128-1 verwiesen werden, wonach der dortigen
Beschwerdeführerin ebenfalls bekannt sein musste, „dass es einschlägige Datenschutzvorschriften
gibt, umso mehr, als über die DSGVO bei deren Wirksamwerden im Jahre 2018 breit in der
Öffentlichkeit informiert und diskutiert wurde und eine große Anzahl von medialen Beiträgen zu diesem
Thema erschienen ist“.
Im Lauf des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass dem
Beschuldigte an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein
Verschulden trifft. Der Beschuldigte hat insbesondere die Möglichkeit einer Rechtfertigung nicht in
Anspruch genommen, um sowohl der objektiven als auch subjektiven Tatseite entgegenzutreten. Der
Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit seines
Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihm dabei bewusst war, dass er gegen die
Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82
mwN).
Dadurch ist die subjektive Tatseite ebenfalls erfüllt.
4. Zur Strafzumessung ist Folgendes festzuhalten:
Gemäß Art. 83 Abs. 1 DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für
Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6
DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83
Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren
Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.
Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die
nach den vom Gesetzgeber festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013,
2013/09/0106). Die von der DSB für die Strafbemessung zu berücksichtigenden Kriterien sind
abschließend in Art. 83 Abs. 2 DSGVO normiert.
Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG
zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die
Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten
Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen
nicht übersteigen.
Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zu dem mit § 22 Abs. 2 VStG normierten
Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener
Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der
DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten
Verstoß übersteigt. Somit gilt im Anwendungsbereich der DSGVO – wie im vorliegenden Fall zur
Anwendung gebracht – das Absorptionsprinzip des Art. 83 Abs. 3 DSGVO.
Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 lit. a DSGVO bis zu einem Betrag in der
Höhe von EUR 20.000.000.
Die Einkommens- und Vermögensverhältnisse konnten mangels Mitwirkung des Beschuldigten nicht
festgestellt werden. Daher musste eine Schätzung in diesem Zusammenhang von der Behörde
vorgenommen werden.
Laut dem Berufslexikon des Arbeitsmarktservice (AMS) wird das Einstiegsgehalt einer Kamerafrau
bzw. eines Kameramannes zwischen EUR 2.090,- und 2.760,- bemessen
(https://www.berufslexikon.at/pdf/ pdf3624-Kameramann-frau/).
Auf Basis dessen wird im vorliegenden Fall von einem monatlichen Bruttoverdienst des Beschuldigten
iHv EUR 2.760,- ausgegangen.
Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend
berücksichtigt:
Art, Dauer und Schwere des Verstoßes: Die unrechtmäßige Verarbeitung, konkret die
Übermittlung sowie die Speicherung hat die grundrechtlich geschützten Rechte der betroffenen
Person (Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und
Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC)
verletzt (Art. 83 Abs. 2 lit. a DSGVO).
Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind: Der Beschuldigte
verarbeitete gegenständlich besondere Kategorien personenbezogenen Daten, konkret: Daten
zum Sexualleben der Betroffenen (Art. 83 Abs. 2 lit. g DSGVO).
Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd
berücksichtigt:
Gegen den Beschuldigten lagen bis dato bei der DSB keine einschlägigen Vorstrafen aufgrund von
Verstößen gegen die DSGVO oder das DSG vor (Art. 83 Abs. 2 lit. e DSGVO),
Der Beschuldigte hat das Lichtbild nach Aufforderung der Betroffenen gelöscht (Art. 83 Abs. 2 lit. c
DSGVO).
Die Verhängung der Strafe im konkreten Fall ist nicht nur im spezialpräventiven Sinne notwendig, um
den Beschuldigten von weiteren strafbaren Handlungen gleicher Art abzuhalten (der Beschuldigte gab
der DSB insbesondere nicht an, dass er derartige Verarbeitungen in Zukunft unterlasse), sondern
darüber hinaus auch im generalpräventiven Sinne erforderlich, um Verantwortliche in Bezug auf die
rechtskonforme Verarbeitung sensibler Daten zu sensibilisieren.
Die konkret verhängte Strafe in der Höhe von EUR 2.000,- erscheint daher im Hinblick auf den
verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5
DSGVO (hier bis zu EUR 20.000.000) sowie unter Berücksichtigung der relevanten
Strafbemessungskriterien nach Art. 83 Abs. 2 DSGVO tat- und schuldangemessen und befindet sich
aufgrund des erstmaligen Verstoßes am untersten Ende des zur Verfügung stehenden Strafrahmens.
Im Ergebnis ist die konkret verhängte Strafe somit für den gegenständlichen Fall wirksam,
verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO.