Sitz Wien
Erdbergstraße 192 – 196, 1030 Wien
Tel: +43 1 601 49 – 0
Fax: + 43 1 711 23-889 15 41
www.bvwg.gv.at
Entscheidungsdatum
24.03.2026
Geschäftszahl
W298 2323263-1/11E
I M N A M E N D E R R E P U B L I K !
Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden
und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen
Laienrichter Mag. Florian Schultes als Beisitzerin und Beisitzer über die Beschwerde der XXXX
vom 31.03.2025 gegen das Straferkenntnis der Datenschutzbehörde vom XXXX , zu Recht
erkannt:
A)
I. Die Beschwerde wird gemäß § 50 VwGVG als unbegründet abgewiesen und das bekämpfte
Straferkenntnis bestätigt.
II. Gemäß § 52 Abs. 1, 2 und 6 VwGVG hat der Beschwerdeführer einen Kostenbeitrag zum
Beschwerdeverfahren von 20% der ausgesprochenen Strafe, sohin in der Höhe von EUR 1.260,
-- (in Worten: eintausendzweihundertsechzig) zu leisten.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
-2-
Entscheidungsgründe:
I. Verfahrensgang:
1. Am 02.09. XXXX brachten XXXX und XXXX eine Datenschutzbeschwerde gegen die XXXX
GmbH (im Weiteren: Beschwerdeführerin) bei der Datenschutzbehörde, (im Weiteren:
belangte Behörde) ein. In ihrer Beschwerde führten sie zusammengefasst soweit
verfahrensrelevant aus, dass ein Vertreter der Beschwerdeführerin heimlich ein Gespräch mit
XXXX aufgezeichnet habe und darauf stützend eine Honorarforderung der
Beschwerdeführerin gegen die mitbeteiligten Parteien erhoben habe. Dabei soll ein Vertreter
der Beschwerdeführerin eine Audioaufnahme eines Gesprächs vorgenommen haben, ohne
davor eine datenschutzrechtliche Einwilligung in die Datenverarbeitung eingeholt zu haben.
2. Mit Bescheid vom 31.03. XXXX gab die belangte Behörde der Datenschutzbeschwerde statt
und stellte fest, dass die Beschwerdeführerin durch Aufzeichnen des Gesprächs des Vertreters
der Beschwerdeführerin mit den mitbeteiligten Parteien ohne vorherige Einwilligung diese im
Recht auf Geheimhaltung verletzt habe. Demnach habe der Vertreter der Beschwerdeführerin
unrechtmäßiger Weise ein Aufnahmegerät versteckt getragen und noch bevor er den
Umstand an die mitbeteiligten Parteien relevierte, eine Aufzeichnung gestartet. Es gäbe keine
datenschutzrechtliche Einwilligung und auch keine berechtigten Interessen, die die
Grundrechte der mitbeteiligten Parteien überwiegen würden.
3. In der Folge leitete die belangte Behörde das verfahrensgegenständlich angefochtene
Strafverfahren ein, forderte die Beschwerdeführerin zur Rechtfertigung auf und führte am
05.02.2025 eine mündliche Verhandlung durch.
4. Mit im Spruch näher bezeichnetem Straferkenntnis sprach die belangte Behörde eine Strafe
in der Höhe von EUR 6.300,-- sowie Verfahrenskosten in der Höher von EUR 630,-- aus.
Begründend führte sie aus, dass sie durch ihren Beschwerdeführer ein Geschäftsgespräch
ohne ausreichende datenschutzrechtliche Verarbeitungsgrundlage aufgezeichnet habe und
dadurch gegen datenschutzrechtliche Pflichten verstoßen habe.
-3-
5.Mit Schreiben vom XXXX erhob die Beschwerdeführerin Beschwerde gegen den Bescheid
der belangten Behörde und brachte darin zusammengefasst vor, dass die belangte Behörde
den Sachverhalt unrichtig festgestellt habe, weil die Aufnahme des Gesprächs nicht vor
Betreten der Räumlichkeiten gestartet worden sei, sondern durch Abspeichern dieser.
Anderslautende Aussagen des Vertreters der Beschwerdeführerin in der mündlichen
Verhandlung vor der belangten Behörde seien in Unkenntnis dieses Umstandes getätigt
worden. Auch unrichtig sei, dass die zweitmitbeteiligte Partei keine Einwilligung abgegeben
habe. Sie habe nämlich auf dem Formblatt der Beschwerdeführerin in Kenntnis des
Umstandes, dass Gespräche aufgezeichnet würden, eine Unterschrift gesetzt und damit ihre
Einwilligung bestätigt. Es lägen keine personenbezogenen Daten vor und habe die
Beschwerdeführerin ein überwiegendes berechtigtes Interesse an der Verarbeitung der
Daten.
6. Am 22.10.2025 legte die belangte Behörde dem Bundesverwaltungsgericht die Beschwerde
samt dazugehörigem Akt zur Entscheidung vor und beantragte, das Bundesverwaltungsgericht
möge die Beschwerde abweisen.
7. Am 27.02.2026 führte das Bundesverwaltungsgericht eine mündliche Verhandlung durch.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die Beschwerdeführerin ist eine juristische Person mit der Rechtsform der Gesellschaft
mit beschränkter Haftung mit Sitz in 1100 Wien, XXXX und betreibt eine Werbeagentur. Der
Geschäftszweig lautet auf „Entwicklung von Gemeinde- und Stadtausstellungen“.
1.2. Im Rahmen ihrer Tätigkeit bietet die Beschwerdeführerin eine Dienstleistung in Form der
„ XXXX “ an, auf der Betriebe und Gewerbe in Oberösterreich digital präsentiert werden und
Nutzer:innen Informationen über diese abrufen können.
1.3. Am 24. April 2024 führte Mag. XXXX als Vertreter der Beschwerdeführerin in der
Ordination der XXXX an der Adresse XXXX innerhalb der Ordinations-Öffnungszeiten ein
Gespräch zwecks Anbietens der Dienstleistungen wie festgestellt unter 1.2. Inhalt des
Gespräches war eine Dienstleistung in Form der „ XXXX “, auf welcher Informationen zu
Betrieben und Gewerben in Oberösterreich abgerufen werden können. Die Aufzeichnung
erfasste neben dem Gesprächsinhalt u.a. die E-Mail-Adresse „ XXXX “, den Namen der XXXX
-4-
, den Namen des Instagram- und Facebook-Accounts „ XXXX “ als auch Informationen zur
Ausbildung der XXXX . In der Aufzeichnung sind überdies Gespräche der XXXX sowie weiterer
Dritter hörbar (im Folgenden zusammen „Betroffene“ genannt). Im Rahmen des Gesprächs
überreichte Mag. XXXX folgende Vertragsunterlagen:- „Auftrag“- „Basisdaten für
elektronische Medien“,- „Zusätzliche Unterlagen für elektronische Medien“, welche von
XXXX unterfertigt wurden.
1.4. Mag XXXX vermittelte sowohl bei der Vereinbarung des Termins, als auch beim Gespräch
mit XXXX den Eindruck, dass er seitens der Gemeinde tätig werde und, dass der Zweck des
Gesprächs die Aktualisierung von Daten sei. In der Folge wurde der Termin auch wie
festgestellt während der Ordinationszeiten ohne räumliche Trennung vom Ordinationsbetrieb
abgehalten. Im Laufe des Gesprächs befanden sich deshalb XXXX sowie weitere Personen (in
der Folge „Betroffene“) während eigener Gespräche im unmittelbaren Nahbereich des Mag.
XXXX . Während des Gesprächs überreichte Mag. XXXX „Vertragsunterlagen“. In den
Vertragsunterlagen befand sich folgender Passus (Formatierung nicht 1:1 übernommen): „Aus
Qualitätsverbesserungsgründen erteilt der Auftraggeber die Zustimmung zur Aufzeichnung
aller Gespräche und Anfertigung von Bildern bei der Auftragserteilung“. Während der
Dokumentenvorlage wurde XXXX mündlich erstmalig auf die Tonaufzeichnung und den
Zustimmungspassus hingewiesen. Die Zweitbetroffene nahm diesen Hinweis zur Kenntnis,
war sich aber zu diesem Zeitpunkt nicht bewusst, dass auch das laufende Gespräch
aufgezeichnet werden würde.
1.5. Die Datenschutzbehörde gab einer darauf folgenden Datenschutzbeschwerde von XXXX
und XXXX nach durchgeführter mündlicher Verhandlung vom 05.02.2025 mit Bescheid vom
17.04.2025 (GZ: D124.2010/24; 2025-0.165.616) statt und stellte fest, dass die Beschuldigte
XXXX und XXXX in ihrem Recht auf Geheimhaltung verletzt hat, indem sie das Gespräch vom
24.04.2024 aufzeichnete. Der Bescheid ist rechtskräftig.
In der Folge leitete die belangte Behörde auch ein Verwaltungsstrafverfahren ein, welches mit
verfahrensgegenständlich angefochtenem Straferkenntnis beendet wurde.
Die Beschwerdeführerin erhob gegen das Straferkenntnis das Rechtsmittel der Beschwerde.
1.6. Der weltweit erzielte Jahresumsatz der Beschuldigten aus dem Jahr XXXX wird mit EUR
89. XXXX festgestellt.
-5-
1.7. Die Beschwerdeführerin ist nicht anwaltlich vertreten.
Die Beschwerdeführerin ist mit Ladung vom 20.01.2026 zur Verhandlung am 27.02.2025
geladen worden, ein Vertreter ist unentschuldigt nicht erschienen.
Am 27.02.2026 teilte der Geschäftsführer der Beschwerdeführerin per E-Mail mit, dass er an
der Verhandlung aufgrund von Krankheit nicht teilnehmen werden können, eine ärztliche
Bestätigung im Postweg zu übermitteln kündigte er an. Am 06.03.2026 langte ein Einschreiben
datiert vom 27.01.2026 mit einer Arbeitsunfähigkeitsmeldung von Mag. XXXX in der Zeit
vom 24.02.2026 bis 06.03.2026 wegen „Krankheit“ gezeichnet durch Dr. Norbert XXXX beim
BVwG ein.
Für eine Verhandlungsteilnahme eines informierten Vertreters oder Rechtsvertreters wurde
nicht gesorgt.
Die Verhandlung wurde in Abwesenheit eines Vertreters der Beschwerdeführerin
durchgeführt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie aus dem Akt des
Bundesverwaltungsgerichts und sind betreffend die Feststellungen, dass am 24.04.2024 ein
Gespräch zwischen XXXX und Mag. XXXX in der Ordination von XXXX welches aufgezeichnet
worden ist unstrittig.
Die Beschwerdeführerin bestreitet die Tatsache, dass das Aufnahmegerät des Mag. XXXX (lt
Feststellung der belangten Behörde) verdeckt war und behauptet, dass eine Einwilligung
vorgelegen habe. Während die Frage einer wirksamen Einwilligung in der rechtlichen
Beurteilung zu ergründen ist, war jedoch festzustellen, dass aufgrund der glaubwürdigen
Aussagen der Zeugin XXXX für diese nicht erkennbar war, dass ein als solches zu erkennendes
Aufnahmegerät zu Beginn des Gesprächs von Mag. XXXX mitgenommen wurde und
eingeschaltet war. Die Zeugin XXXX konnte überdies glaubhaft schildern, dass sie, wenn sie
sich über den Gegenstand des Gesprächs und darüber, dass das Gespräch aufgezeichnet wird,
bewusst gewesen wäre, das Gespräch nicht innerhalb der Ordinationszeiten vereinbart hätte
und ohne räumliche Trennung, von der ärztlichen Verschwiegenheitspflicht unterliegenden
Gesprächen welche (unabsichtlich) auch davon erfasst sein könnten durchgeführt hätte. Die
Zeugin XXXX konnte dazu glaubhaft und lebensnah schildern, dass sie sich
datenschutzrechtlicher Pflichten gegenüber Patienten im Ordinationsbetrieb bewusst war.
Auch daraus ergibt sich für das Bundesverwaltungsgericht wie unter 1.4. der Feststellungen
-6-
festgestellt, dass sich XXXX aufgrund des Auftretens des Mag. XXXX nicht bewusst war, dass
eine Aufzeichnung stattfindet. Auch ergibt sich dies aus der Aussage der Zeugin XXXX , welche
angab, dass eine Vereinbarung über Werbung durch die Beschwerdeführerin aufgrund
dessen, dass ein Aufnahmestopp in der Ordination, sprich eine Vollauslastung, besteht, nicht
von Interesse gewesen wäre. Weiters gab XXXX unter Wahrheitspflicht glaubwürdig an, dass
eine Beauftragung zu Zwecken der Werbung durch ihre Mitarbeiterin XXXX nicht ohne
vorherige Absprache mit ihr erfolgen hätte dürfen. Auch sie verwies in ihrer Aussage vor dem
BVwG darauf, dass eine Gesprächsaufzeichnung während der Ordinationszeiten nicht
statthaft gewesen wäre.
3. Rechtliche Beurteilung:
Gemäß § 27 Verwaltungsgerichtsverfahrensgesetz BGBl. I 2013/33 idF BGBl. I 2018/57 (im
Folgenden: "VwGVG") hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen
Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der
Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.
Gegenstand des vorliegenden Verfahrens kann und darf angesichts der vorliegenden Sach-
und Rechtslage daher der Ausspruch der Strafe und die Überprüfung des Schuldspruchs und
damit der Bestrafung an sich sein.
3.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen
Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der
Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der
Richtlinie 95/46/EG (Datenschutz-Grundverordnung) vom 04.05.2016, im Folgenden: DSGVO,
lauten auszugsweise wie folgt:
„Art 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der
betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle
Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis
22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter,
verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu
übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die
Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch
-7-
elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt
werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß
den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der
Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf
Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft
macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag
gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber
innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere
zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der
Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person
innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit
den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist
sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes
angibt.
[…]“
„Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden
Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie
betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke
gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die
betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen
erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der
der Verantwortliche unterliegt;
-8-
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen
Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im
öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem
Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen
oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und
Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten
erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person
um ein Kind handelt.
[…]“
„Artikel 7
Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen
können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten
eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch
andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und
leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den
anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht
verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den
Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum
Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der
Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie
die Erteilung der Einwilligung sein. (4) Bei der Beurteilung, ob die Einwilligung freiwillig
erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden,
ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer
Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten
abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“
-9-
„Artikel 31
Zusammenarbeit mit der Aufsichtsbehörde
Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter
arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.“
„Artikel 83
Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem
Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall
wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von
Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung
über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes
gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder
des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung
betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen
zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter
Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und
organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und
seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
- 10 -
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und
gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den
Verstoß mitgeteilt hat;
i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden
Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten
Maßnahmen, wenn solche Maßnahmen angeordnet wurden;
j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten
Zertifizierungsverfahren nach Artikel 42 und
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie
unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene
Verluste.
(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander
verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere
Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den
Betrag für den schwerwiegendsten Verstoß.
(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2
Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines
gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt,
je nachdem, welcher der Beträge höher ist:
a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11,
25 bis 39, 42 und 43
…
(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2
Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines
gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt,
je nachdem, welcher der Beträge höher ist:
a) …
b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;
[…]“
- 11 -
3.2. Die gesetzlichen Grundlagen nach dem VStG lauten wie folgt:
§ 5 VStG:
(1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt
zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot
oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum
Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht
gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der
Verwaltungsvorschrift kein Verschulden trifft.
(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von
über 50 000 Euro bedroht ist.
(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt
nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines
Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.
§ 10 VStG:
(1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem
Bundesgesetz nicht anderes bestimmt ist.
(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung
ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit
Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.
§ 16 VStG:
(1) Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine
Ersatzfreiheitsstrafe festzusetzen.
(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung
angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes
bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs
Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der
Strafbemessung festzusetzen.
§ 19 VStG:
- 12 -
(1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten
Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.
(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der
Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht
schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des
Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des
Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden.
Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten
sind bei der Bemessung von Geldstrafen zu berücksichtigen.
3.3. Allgemeines zur Verhängung von Geldbußen nach Art. 83 DSGVO:
Mit der Datenschutz-Grundverordnung („DSGVO“) wurde den Aufsichtsbehörden die
Möglichkeit eingeräumt, deutlich höhere Geldbußen zu verhängen. Die DSGVO schreibt vor,
dass der Betrag der Geldbuße im Einzelfall wirksam, verhältnismäßig und abschreckend sein
muss (Artikel 83 Abs. 1 DSGVO). Die Aufsichtsbehörden haben bei der Festsetzung des Betrags
einer Geldbuße eine Liste von Umständen zu berücksichtigen, die sich auf Merkmale des
Verstoßes (seine Schwere) oder das Verhalten des den Verstoß Begehenden beziehen (Art. 83
Abs. 2 DSGVO). Die Quantifizierung des Betrags der Geldbuße beruht daher auf einer
konkreten Bewertung, die im Einzelfall unter Berücksichtigung der in der DSGVO enthaltenen
Parameter vorgenommen wird. Eine Mindestgeldbuße ist nicht vorgesehen, sondern lediglich
ein Höchstbetrag. Eine Geldbuße kann letztlich nur durch Abwägung aller in Artikel 83 Abs. 2
lit. a bis j DSGVO ausdrücklich genannten Umstände, die für den Fall relevant sind, und anderer
relevanter Anhaltspunkte berechnet werden, auch wenn sie in den genannten Bestimmungen
nicht ausdrücklich aufgeführt sind (da Art. 83 Abs. 2 lit. k DSGVO verlangt, dass jeglichen
anderen anwendbaren Umständen gebührend Rechnung getragen wird). Schließlich muss der
endgültige Betrag der Geldbuße, der sich aus dieser Prüfung ergibt, in jedem Einzelfall
wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO). Jede verhängte
Geldbuße muss all diesen Parametern ausreichend Rechnung tragen und darf gleichzeitig das
in Art. 83 Abs. 4 bis 6 DSGVO vorgesehene gesetzliche Höchstmaß nicht überschreiten (vgl. zu
alldem die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung
von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im
Folgenden: EDSA Leitlinien 2023 zu Art. 83 DSGVO], Rz. 1 – 16).
Im Urteil vom 05.12.2023 in der Rechtssache C-807/21 [Deutsche Wohnen SE] führt der EuGH
aus, dass sich die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten
- 13 -
insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstreckt sich
demnach auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem
Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen
treffen, sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im
Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen
Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83
Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine
Geldbuße gegen den Verantwortlichen zu verhängen.
„Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO ist jede natürliche oder juristische Person,
Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die
Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, schließt also
ausdrücklich auch juristische Personen ein (vgl. in diesem Sinne Urteile vom 29. Juli 2019,
Fashion ID, C‑40/17 , EU:C:2019:629, Rn. 66, und vom 28. April 2022, Meta Platforms Ireland,
C‑319/20 , EU:C:2022:322, Rn. 73 sowie die dort angeführte Rechtsprechung, vgl zur
Verantwortlichkeit auch Urteil vom 10. Juli 2018, Jehovan todistajat, C‑25/17 , EU:C:2018:551,
Rn. 68).
Der Unionsgesetzgeber unterscheidet diesbezüglich nicht zwischen der Haftung einer
natürlichen oder juristischen Person. Vorbehaltlich von Art. 83 Abs. 7 DSGVO betreffend
Behörden und öffentliche Stellen haftet daher jede Person, die diese Voraussetzung erfüllt –
unabhängig davon, ob es sich um eine natürliche oder juristische Person, eine Behörde,
Einrichtung oder andere Stelle handelt – u. a. für jeden in Art. 83 Abs. 4 bis 6 der DSGVO
genannten Verstoß, der von ihr selbst oder in ihrem Namen begangen wurde.
Aus Art. 58 Abs. 2 DSGVO ergibt sich, unionsunmittelbar ohne auf das Recht der
Mitgliedstaaten zu verweisen oder den Mitgliedstaaten einen Ermessensspielraum
einzuräumen, dass die Befugnisse gemäß Art. 58 Abs. 2 Buchst. i DSGVO auch die Befugnis zur
Verhängung von Geldbußen gehört, welche sowohl gegen eine natürliche als auch eine
juristische Person verhängt werden kann. Die materiellen Voraussetzungen, die eine
Aufsichtsbehörde bei der Verhängung einer solchen Geldbuße zu beachten hat, sind in Art. 83
normiert.
Die innerstaatliche Ausgestaltung (durch das VStG) durch das nationale Verfahrensrecht kann
daher auch nicht zusätzliche materielle Voraussetzungen festlegen. Für die materiellen
Voraussetzungen gilt daher ausschließlich das Unionsrecht. (vgl. auch Urteil vom 5. Dezember
2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , Rn. 64 bis 70).
- 14 -
Geldstrafen nach Art. 83 Abs. 1 DSGVO müssen wirksam, verhältnismäßig und abschreckend
sein, sie müssen vorsätzlich oder zumindest fahrlässig begangen werden.
Zu diesen Voraussetzungen ist festzustellen, dass Art. 83 Abs. 2 DSGVO die Kriterien anführt,
die die Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen den Verantwortlichen
berücksichtigt. Zu diesen Kriterien gehört nach Buchst. b dieser Bestimmung, die
„Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“.
Zudem ist der zweite Absatz von Art. 83 DSGVO in Verbindung mit seinem dritten Absatz zu
lesen, der bestimmt, welche Folgen bei der Kumulierung von Verstößen gegen die DSGVO
eintreten, und wie folgt lautet: „Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter
bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder
fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag
der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.“
Aus dem Wortlaut von Art. 83 Abs. 2 DSGVO ergibt sich somit, dass nur Verstöße gegen die
Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d. h. vorsätzlich oder
fahrlässig begeht, zur Verhängung einer Geldbuße gegen ihn nach diesem Artikel führen
können.
Der Unionsgesetzgeber setzt laut EuGH cit. fest, dass zur Gewährleistung eines hohen
Schutzniveaus Geldbußen brauche, welche auf ein gleichwertiges und einheitliches
Schutzniveau abzielen und hierfür in der gesamten Union gleichmäßig angewandt werden
müssen. Es liefe diesem Ziel zuwider, den Mitgliedstaaten zu gestatten, eine eigene Regelung
für die Verhängung einer Geldbuße nach Art. 83 DSGVO vorzusehen. Eine solche Wahlfreiheit
wäre zudem geeignet, den Wettbewerb zwischen den Wirtschaftsteilnehmern in der Union zu
verfälschen, was den vom Unionsgesetzgeber u. a. in den Erwägungsgründen 9 und 13 der
DSGVO dargestellten Zielen zuwiderliefe.
Insoweit ist zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und
aufgrund dessen mit einer Geldbuße gemäß Art. 83 DSGVO geahndet werden kann, noch
klarzustellen, dass ein Verantwortlicher für ein Verhalten, das in den Anwendungsbereich der
DSGVO fällt, sanktioniert werden kann, wenn er sich über die Rechtswidrigkeit seines
Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen
die Vorschriften der DSGVO verstößt (vgl. entsprechend Urteile vom 18. Juni 2013, Schenker
& Co. u. a., C‑681/11 , EU:C:2013:404, Rn. 37 und die dort angeführte Rechtsprechung, vom
25. März 2021, Lundbeck/Kommission, C‑591/16 P , EU:C:2021:243, Rn. 156, und vom 25.
- 15 -
März 2021, Arrow Group und Arrow Generics/Kommission, C‑601/16 P , EU:C:2021:244, Rn.
97).
3.4. Zum Verhältnis zwischen Unionsrecht und innerstaatlichem Recht:
Wie vom EuGH im Urteil vom 05.12.2023 zu C-807/21 klar zum Ausdruck gebracht, gilt für die
materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße
gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht, wobei diese
Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO abschließend festgelegt sind (vgl. erneut C-
807/21 , Rz. 45, 48 und 65). Nach Art. 288 Abs. 2 AEUV ist eine Unionsverordnung in allen
ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, sodass es, sofern nichts
anderes bestimmt ist, ausgeschlossen ist, dass die Mitgliedstaaten innerstaatliche
Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen.
Außerdem dürfen die Mitgliedstaaten aufgrund der ihnen aus dem AEU‑Vertrag obliegenden
Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln
(vgl. erneut EuGH, C-807/21 , Rz. 52).
Deshalb ist im Anwendungsbereich der DSGVO kein Raum für die Anwendung der
Bestimmungen nach § 11 DSG („Verwarnung durch die Datenschutzbehörde“) und § 33a VStG
(„Beraten“), da diese Bestimmungen darauf abzielen, der Datenschutzbehörde zusätzliche
Vorgaben hinsichtlich deren Ermessensausübung in Bezug auf die von Art. 58 DSGVO
eingeräumten Abhilfebefugnisse aufzugeben. Wenn § 11 DSG unmissverständlich vorgibt,
„[i]nsbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art.
58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“,
ist diese Bestimmung jedenfalls unvereinbar mit Art. 83 Abs. 2 bis 6 in Verbindung mit Art. 58
Abs. 2 lit. i DSGVO, da diese darauf abzielt, das Ermessen der Datenschutzbehörde und in der
Folge des Bundesverwaltungsgerichts, weg von der Verhängung einer Geldbuße im Sinn von
Art. 58 Abs. 2 lit. i DSGVO, hin zur Erteilung einer Verwarnung im Sinne von Art. 58 Abs. 2 lit.
b DSGVO, zu determinieren.
An dieser Stelle ist im Sinne der rezenten Rechtsprechung des EuGH zu Art. 83 DSGVO mit
Blick auf das Verwaltungsstrafgesetz (VStG) festzuhalten, dass die den Mitgliedstaaten
eingeräumte Möglichkeit, im Verfahrensrecht bei den Aufsichtsbehörden zum Verhängen
einer Geldbuße zusätzliche Kautelen vorzusehen, nicht so zu verstehen, dass sie auch befugt
wären, über diese verfahrensrechtlichen Anforderungen hinaus materielle Voraussetzungen
vorzuschreiben, welche Art. 83 Abs. 1 bis 6 DSGVO hinzutreten. Für materielle
Tatbestandsvoraussetzungen gilt demnach ausschließlich Unionsrecht (vgl. erneut EuGH vom
- 16 -
05.12.2023, C-807, Rz. 46, 48). Der Unionsgesetzgeber gestattet es nicht, sei es durch
materielles oder formelles Recht, dass dem Unionsrecht zusätzliche Schranken, etwa in Form
einer Ermessensbeschränkung etwa wie in § 5 VStG („Schuld“), auferlegt werden. Vor diesem
Hintergrund ist das Verschulden des Verantwortlichen ausschließlich anhand der
Bestimmungen des Art. 83 Abs. 1 und Abs. 2 DSGVO zu beurteilen. Auch § 9 VStG („Besondere
Fälle der Verantwortlichkeit“), die Strafbarkeit juristischer Personen und eingetragener
Personengesellschaften richtet sich ausschließlich nach der Systematik des Art. 4 Z 7 iVm Art.
83 DSGVO und kann deren Haftung nicht auf zur Vertretung nach außen Berufene oder auf
einen verantwortlichen Beauftragten überwälzen. § 19 VStG („Strafbemessung“), die
Bemessung der Geldbuße erfolgt ausschließlich anhand der von Art. 83 Abs. 1 bis 6 DSGVO
normierten Kriterien. Auch bezüglich § 20 VStG („Außerordentliche Milderung der Strafe“)
und § 22 Abs. 2 VStG („Zusammentreffen von strafbaren Handlungen“), ist eine
unionskonforme Interpretation die sich an Art. 83 Abs. 2 und 3 DSGVO orientiert
vorzunehmen (vgl. EuGH vom 05.12.2023, C-683/21 , Rz 70).
Der Strafrahmen für Unternehmen gemäß Art. 83 Abs. 5 lit b DSGVO reicht bis zu einem Betrag
von EUR 20.000.000. Das erkennende Gericht sieht an dieser Stelle die Richtlinien des
Europäischen Datenschutzausschusses zur Berechnung von Geldbußen als erheblich und
maßgeblich an.
3.5. Zur Anfechtung dem Grunde nach
3.5.1. Aufgrund der Beschwerdeschrift ist davon auszugehen, dass die Beschwerdeführerin
sich gegen die Strafe dem Grunde nach richtet, jedoch dem von der belangten Behörde
festgestellten Sachverhalt nur insoweit widerspricht, als dass ein Gespräch stattgefunden hat
und (soweit verfahrensrelevant) eine Aufzeichnung dieses Gesprächs heimlich stattgefunden
habe. Die Beschwerdeführerin rügt den Tatvorwurf und den, dem Straferkenntnis zugrunde
gelegten Lebenssachverhalt, eine explizite Rüge der Strafhöhe wurde nicht formuliert,
sondern ergibt sich lediglich aus der, der belangten Behörde vorgeworfenen falschen
Subsumption. Die Beschwerdeführerin stützt ihre Datenverarbeitung auf eine Einwilligung
sowie auf ein berechtigtes Interesse und führt aus, dass keine personenbezogenen Daten
aufgezeichnet worden seien, weil zwischen Stimme der Zeuginnen XXXX und XXXX in der
Tonbandaufzeichnung und deren Person keine Verbindung herzustellen sei und kein
Rückschluss auf die Personen möglich sei.
3.5.2. Zur Frage der Verarbeitung personenbezogener Daten ist festzuhalten, dass die
Bestimmungen der DSGVO und des DSG für die ganz oder teilweise automatisierte
- 17 -
Verarbeitung personenbezogener Daten natürlicher Personen sowie für die
nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in
einem Dateisystem gespeichert sind oder gespeichert werden sollen, gelten.
Personenbezogene Daten sind Informationen über die in Rede stehende Person (vgl. EuGH
4.5.2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, Rn. 23). In diesem Sinn im
Urteil C-434/16, Rn. 34, ausgesprochen, dass der Begriff "personenbezogene Daten" [in der
Vorgängerregelung des Art. 2 lit. a RL 95/46/EG] nicht auf sensible oder private Informationen
beschränkt ist, sondern potenziell alle Arten von Informationen sowohl objektiver als auch
subjektiver Natur in Form von Stellungnahmen oder Beurteilungen umfasst, unter der
Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt (vgl.
dazu VwGH Ra 2023/04/0005 vom 17.05.2024).
Auch der EuGH hat in den Urteilen zu den Rs Breyer vom 19.10.2016 C-582/14 und Nowak
vom 20.12.2017 C-434/16 ausgesprochen, dass der Begriff der personenbezogenen Daten
weit auszulegen ist. Demnach reicht es für das Vorliegen einer Information (als Audiodatei)
als personenbezogenes Datum auch aus, dass „die Information aufgrund ihres Inhalts, ihres
Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist“ (vgl EuGH Rs
Nowak vom 20.12.2017 C-434/16 Rn 35). Da die Beschwerdeführerin ja angibt, die
Gesprächsaufzeichnung zum Zwecke der Qualitätssicherung und (offensichtlich) auch zur
Abwehr von Rechtsansprüchen zu verarbeiten, wären die Daten ohne weitere
Identifikationsmerkmale einerseits wertlos und überschießend gleichzeitig, aber vor allem
ergibt sich, dass die Beschwerdeführerin die Daten ja mit weiteren Identifikationsmerkmalen
wie Datum des Gesprächs, teilnehmende Personen, Ort und welche Leistungen in
Verrechnung gestellt werden verarbeitet werden. Es ist insoweit für das entscheidende
Gericht nicht nachvollziehbar, dass es der Beschwerdeführerin nicht möglich wäre die
notwendigen Informationen, die es ihr ermöglichen, die Gesprächsteilnehmer unschwer und
zweifelsfrei anhand ihrer Stimme oder der zusätzlichen Merkmale, wie Name der Ordination
und Datum der Aufzeichnung, zu identifizieren.
Es liegt daher schon aus diesem Grund eine Verarbeitung personenbezogener Daten vor.
3.5.3. Die Anforderungen für eine rechtmäßige Datenverarbeitung determiniert der EuGH in
ständiger Rechtsprechung und vertritt den Standpunkt, dass zu jeder Zeit einer
Datenverarbeitung alle Grundsätze der Datenverarbeitung eingehalten werden müssen
(Urteil vom 24. November 2011, C‑468/10 und C‑469/10, EU:C:2011:777, sowie wiederholt im
Urteil vom 11.Dezember 2019 C-708/17 ECLI:EU:C:2019:1064).
- 18 -
Demnach müssen Daten stets kumulativ nach den Grundsätzen von Art. 5 und Art. 6 DSGVO
bzw. Art 9 DSGVO auf rechtmäßige Weise nach Treu und Glauben verarbeitet werden (vgl
auch EuGH vom 9.1.25, C-394/23, Mousse/SNCF).
3.5.4. Zur Einwilligung: Bei der in Prüfung gezogenen Datenverarbeitung – der
Tonaufzeichnung des Gesprächs zwischen einem Vertreter der Beschwerdeführerin und den
Betroffenen XXXX und XXXX – stützte die Beschwerdeführerin die Verarbeitung auf eine
Einwilligung gemäß Art. 7 DSGVO. Die als Zeuginnen einvernommenen Betroffenen XXXX und
XXXX bestreiten, eine Einwilligung vorab abgegeben zu haben und seien von der
Datenverarbeitung überrascht worden. Vielmehr habe es erst gut 5 Minuten nach
Gesprächsbeginn einen Verweis auf die AGB gegeben, aber keinen expliziten Hinweis auf die
Aufzeichnung des Gesprächs vom 24.04.2024.
Art 4 Z 11 DSGVO definiert die "Einwilligung“ der betroffenen Person nunmehr als "jede
freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene
Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden
Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der
sie betreffenden personenbezogenen Daten einverstanden ist“.
"Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in
größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines
Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer
Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags
nicht erforderlich sind.“ (Art. 7 Abs. 4 DSGVO)
Dazu erläutert der Erwägungsgrund 43: "... Die Einwilligung gilt nicht als freiwillig erteilt, wenn
zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert
eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die
Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der
Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“
Freiwilligkeit impliziert, dass eine betroffene Person eine echte Wahl und die Kontrolle hat. Im
Allgemeinen ist eine Einwilligung nicht gültig, wenn die betroffene Person keine wirkliche
Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss,
wenn sie nicht einwilligt (Seite 8, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung
2016/679 Version 1.1 angenommen am 4. Mai 2022, [Europäischer Datenschutzauschuss –
EDSA]).
- 19 -
Der OGH kam in bislang zwei Urteilen zum Ergebnis, dass nach der DSGVO strenge
Anforderungen an die Beurteilung der „Freiwilligkeit“ zu stellen sind (Kastelitz in Knyrim,
DatKomm Art 7 DSGVO (Stand 7.5.2020, rdb.at) mit Verweis auf OGH vom 31.08.2018, 6 Ob
140/18h maN).
Darüber hinaus wurde in der Literatur zur Frage, ob ein unbedingtes „Koppelungsverbot“
(Koppelung der Einwilligung zu einer Verarbeitung vertragsunabhängiger personenbezogener
Daten – so auch die Daten zu einer Gesprächsaufzeichnung) besteht (oder ob etwa - im
Vergleich mit altem deutschen Recht: weiterhin - auf die Monopolstellung des
Vertragspartners abzustellen ist), nicht immer eindeutig (dafür Thiele, DSB: Empfehlungen
zum Koppelungsverbot bei Online-Abonnements, jusIT 2018/13 [37]; Pollirer, Checkliste für
die Einwilligungserklärungen der Art 7 und 8 DSGVO, Dako 2017/56 [Frage 10]; Kastelitz in
Knyrim, Datenschutz-Grundverordnung [2016] 110; vorsichtiger Feiler/Forgó, EU-DSGVO
[2017] Art 7 Rz 7 ("gesetzliche Vermutung“), BeckOK DatenschutzR/Stemmer DS-GVO Art 7 Rn
43-46 (unter Darstellung der Kontroverse), unklar Paal/Pauly/Frenzel DS-GVO Art 7 Rn 18; vgl
auch Dürager/Kotschy, Neuerungen zur Zustimmung: Besteht nach der DS-GVO ein generelles
Koppelungsverbot?
http://bim.lbg.ac.at/sites/files/bim/durager_kotschy._koppelungsverbot2017.pdf)
beantwortet.
Das Spannungsverhältnis zwischen dem Text der Verordnung und dem Erwägungsgrund 43 ist
offensichtlich dahin aufzulösen, dass an die Beurteilung der "Freiwilligkeit“ der Einwilligung
strenge Anforderungen zu stellen sind. Bei der Koppelung der Einwilligung zu einer
Verarbeitung vertragsunabhängiger personenbezogener Daten mit einem Vertragsschluss ist
grundsätzlich davon auszugehen, dass die Erteilung der Einwilligung nicht freiwillig erfolgt,
wenn nicht im Einzelfall besondere Umstände für eine Freiwilligkeit der
datenschutzrechtlichen Einwilligung sprechen (vgl Ehmann/Selmayr/Heckmann/Paschke, DS-
GVO Rz 52 ff). Solche Umstände liegen im vorliegenden Fall nicht vor.
Darüber hinaus ist auf die Judikatur des VwGH zu verweisen, der in Ro 2021/04/0030 vom
06.03.2024 ausgesprochen hat, dass eine anschließende Datenverarbeitung ohne vorherige
Information als unrechtmäßig anzusehen ist, wenn die Datenerhebung vom Willen der
betroffenen Person abhängt, wie etwa die Datenerhebung aufgrund der informierten
Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. a DSGVO oder wenn die betroffene
Person berechtigt ist, sich faktisch der Datenerhebung zu entziehen, beispielsweise in Bezug
auf eine Videoüberwachung im öffentlichen Raum, der sich die betroffene Person bei
- 20 -
entsprechender Information über die Videoüberwachung entziehen kann, indem sie den
überwachten Ort nicht betritt (VwGH vom 09.05.2023 Ro 2020/04/0037).
Die Rüge der Beschwerdeführerin, dass die Datenverarbeitung erst nach der Information an
die mitbeteiligten Parteien begonnen habe, weil die Speicherung erst nach dem Gespräch
erfolgt sei, ist verfehlt. Der belangten Behörde ist dabei auch kein Feststellungsmangel
vorzuwerfen. Die belangte Behörde stützt sich auf Beweismittel der Beschwerdeführerin,
deren Echtheit und Richtigkeit unbestritten sind. Darüber hinaus, ist der belangten Behörde
auch kein Fehler in der Würdigung der Aussage des Vertreters der Beschwerdeführerin in der
do. mündlichen Verhandlung passiert, in welcher dieser zugestanden hat, die Aufnahme vor
Gesprächsbeginn gestartet zu haben. Die rechtliche Würdigung und der implizite Vorwurf
eines sekundären Feststellungsmangels, weil die Daten erst nach dem Gespräch gespeichert
worden wären, ist nicht haltbar, weil über 5 Minuten des Gesprächs vergingen, bis der
Vertreter der Beschwerdeführerin erstmals auf die Datenschutzerklärung überhaupt hinweist.
Darüber hinaus ist auch aus den Aussagen der Zeuginnen XXXX und XXXX klar
hervorgekommen, dass die strengen Anforderungen an eine wirksame Einwilligung nicht
vorliegen.
Es liegt keine (freiwillige) Einwilligung in die Datenverarbeitung vor.
3.5.5. Ein berechtigtes Interesse zur Datenverarbeitung als sekundärer Verarbeitungsgrund ist
nach der Judikatur des EuGH unter drei kumulativen Voraussetzungen zulässig:
1. Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung
Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden,
2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des
berechtigten Interesses und
3. kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen
Person über das wahrgenommene berechtigte Interesse (Urteil vom 4. Mai 2017, Rīgas
satiksme, C 13/16, EU:C:2017:336, Rn. 28, wiederholt in EuGH vom 11.12.2019 C-708/18).
Die Verarbeitung personenbezogener Daten ist ua gemäß Art. 6 Abs. 1 lit. f DSGVO zulässig,
wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten
erforderlich ist. Wenn nun der Beschwerdeführer behauptet, die verfahrensgegenständliche
Datenverarbeitung liege in seinem berechtigten Interesse, ist dies nicht zutreffend.
- 21 -
Die Beschwerdeführerin bleibt bezüglich der Datenverarbeitung jeglichen Hinweis darauf
schuldig, dass die Daten zur Zweckerreichung erforderlich sind und nicht gelindere Mittel auch
aureichen würden.
Es ist für das erkennende Gericht nicht hervorgekommen, dass die belangte Behörde eine
fehlerhafte rechtliche Beurteilung durchgeführt hätte. Auch hat die Beschwerdeführerin nicht
dargelegt welche Feststellungen die belangte Behörde hätte treffen müssen, um zu einem
anderen Ergebnis zu kommen und sind diese auch nicht offensichtlich. Zutreffend ist vielmehr,
dass für eine zulässige Datenverarbeitung zum Zwecke der Abwehr von Rechtsansprüchen
absehbar sein muss, dass es dazu kommt. Darüber hinaus ist nach der Judikatur der DSB und
des BVwG erforderlich, dass ein Beweisnotstand besteht, der hier nicht erkennbar ist (vgl.
BVwG vom 13.09.2024 W252 2277317-1).
Auch erweist sich die Ansicht der belangten Behörde, dass zum Zwecke der
Qualitätsverbesserung oder der Ergänzung von Mitschriften, eine exzessive
Datenverarbeitung vorliege, oder zumindest keine Zweckerforderlichkeit vorliege als richtig
(vgl. dazu BVwG vom 22.04.2021 W116 2238822-1, wonach dieser Umstand nachzuweisen
wäre).
Des Weiteren ist auf die Judikatur des OGH zu verweisen, der in 6 Ob 82/18d un 1 Ob 1/20h
ausgesprochen hat, dass heimliche Tonbandaufnahmen grundsätzlich rechtswidrig sind und
nur in außergewöhnlichen Fällen zulässig. Dafür, dass ein solch besonderer Ausnahmefall
vorliegt, liegt kein Hinweis vor.
3.5.6. Verstoß gegen datenschutzrechtliche Informationspflichten:
Nach der Judikatur des EuGH zu C-394/23 entstehen die datenschutzrechtlichen
Informationspflichten (Infoblatt der Beschwerdeführerin) im Zeitpunkt des Erhebens der
Daten und begründen damit eine Unrechtmäßigkeit einer Datenverarbeitung, wenn sie davor
begonnen wurde. Für die Begründung eines rechtlichen Interesses ist die Einhaltung der
Informationspflichten (insbesondere über den verfolgten Zweck) bereits bei der Erhebung der
Daten erforderlich.
Was nun die Verletzung der Verantwortlichen-Pflichten durch die Beschwerdeführerin
betrifft, hat der VwGH bereits festgehalten, dass ein Verantwortlicher zum in Art. 13 Abs. 3
DSGVO bestimmten Zeitpunkt, die Informationen gemäß Art. 13 DSGVO der betroffenen
Personen gegenüber offenzulegen hat und nicht erst nachdem ein aufgezeichnetes Gespräch
schon 5 Minuten dauert. Diesfalls steht die vollständige nachträgliche Zurverfügungstellung
- 22 -
dieser Informationen der Feststellung einer Verletzung der Informationspflicht nach Art. 13
DSGVO nicht entgegen. Da die Rechtsverletzung nach Art. 13 nicht durch eine nachträgliche,
aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft
gleichsam rückwirkend wieder beseitigt werden kann (vgl. VwGH 6.3.2024, Ro 2021/04/0030
bis 0031, Rn. 78).
3.5.7. Übertragen auf den vorliegenden Sachverhalt bedeutet das, dass kein Hinweis darauf
hervorgekommen ist, dass der belangten Behörde bei der Feststellung des Sachverhalts ein
Fehler unterlaufen wäre, die Beweiswürdigung in unvertretbare Weise vorgenommen worden
wäre und sich ebenso die rechtliche Würdigung als rechts- und gesetzeskonform erweist.
3.6.1. Zur Frage der Schuld:
Es liegen keine die Schuld ausschließenden Umstände vor.
Die Beschwerdeführerin hat durch ihren Geschäftsführer am 24.04.2024 ein Gespräch in der
Ordination von XXXX ohne Rechtsgrundlage aufgezeichnet und datenschutzrechtliche
Informationspflichten verletzt.
Die Beschwerdeführerin hat die Verwirklichung der gegenständlichen
Verwaltungsübertretung ernstlich für möglich gehalten und hat sich jedoch damit abgefunden
(dolus eventualis). Die Beschwerdeführerin hätte sich über die Einhaltung der
datenschutzrechtlichen Pflichten informieren können und wissen müssen, dass die
Aufzeichnung von Geschäftsgesprächen ohne vorherigen Hinweis auf die Aufzeichnung nicht
rechtmäßig ist. Die Beschwerdeführerin nahm es in Kauf, gegen ihre Pflichten gemäß Art. 5
Abs. 1, Art 6 Abs. 1 DSGVO zu verstoßen und liegt in Bezug darauf zumindest Verschulden in
Form von Fahrlässigkeit vor.
Die belangte Behörde nahm daher (berechtigterweise) eine vorsätzliche Tathandlung durch
die Beschwerdeführerin an.
Mangels begründeter Bestreitung und offensichtlich aufzugreifender Fehler der belangten
Behörde erübrigt sich eine weitere Erörterung.
3.5.3. Strafbemessung durch die belangte Behörde:
Bezogen auf den vorliegenden Sachverhalt wurde von der belangten Behörde bei der
Strafbemessung für die Schwere der Zuwiderhandlung ein mittlerer Schweregrad festgestellt.
Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt:
- 23 -
• gegen die Beschwerdeführerin lagen bei der belangten Behörde keinerlei einschlägige
frühere Verstöße gegen die DSGVO vor;
• Die Beschwerdeführerin hat am Ermittlungsverfahren mitgewirkt und dadurch einen Beitrag
zur Wahrheitsfindung geleistet (Art. 83 Abs. 2 lit. f und k DSGVO)
Es wurden keine erschwerenden Gründe bei der Strafzumessung herangezogen.
Mangels begründeten Einwands durch die Beschwerdeführerin oder offensichtlicher Fehler
der belangten Behörde war der Jahresumsatz wie unter II. 1.6. festzustellen.
Zunächst ist festzuhalten, dass – wie bereits unter oben ausgeführt – für die materiellen
Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen
Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei
diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO festgelegt sind (vgl. erneut EuGH, Urteile
vom 05.12.2023, C-807/21 , Rz 45, 48, 52 und 65 sowie C‑683/21 , Rz 64 bis 70).
Die nationalen Bestimmungen, hier etwa die §§ 5, 19, 20 und 22 des Verwaltungsstrafgesetzes
– VStG bleiben unangewendet. Fallbezogen war die Strafzumessung jedoch ohnehin vom
Bundesverwaltungsgericht – aufgrund und im Lichte des Beschwerdevorbringens – zu
überprüfen.
3.5.4. Zur Strafhöhe der Geldbuße im angefochtenen Straferkenntnis:
Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von
Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs.
2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung
einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen
sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der
von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der
betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu
begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der
Verantwortlichkeit.
Bei der Beurteilung dieser Kriterien ist der entscheidende Senat unter Würdigung der
Umstände des Verfahrens zu der Ansicht gelangt, dass die nicht explizit angefochtene
Strafhöhe im angefochtenen Straferkenntnis nicht zu beanstanden ist:
- 24 -
Für die zukünftige Einhaltung der DSGVO seitens der Beschwerdeführerin erscheint die Strafe
in Anbetracht dessen, dass die Schuld als mittel anzusehen war und die Beschwerdeführerin
allein aus spezialpräventiven Gründen notwendig ist, um von der Begehung weiterer
strafbarer Handlungen gleicher Art abzuhalten, sowohl schuld- als auch tatangemessen.
Es wurde lt Leitlinien zur Verhängung von Geldbußen ein Startbetrag in Höhe von EUR
3.000.000,- für die weitere Berechnung zu Grunde gelegt.
In Folge wurde die Unternehmensgröße bzw. wirtschaftliche Leistungsfähigkeit im Sinne der
Leitlinien berücksichtigt und eine Anpassung auf 0,2% des Ausgangsbetrags vorgenommen,
um insbesondere die Verhältnismäßigkeit der Geldbuße nach Art. 83 Abs. 1 DSGVO
sicherzustellen.
Den Ausführungen der belangten Behörde ist aus Sicht des erkennenden Senats nicht
entgegenzutreten.
Die ausgesprochene Strafe erscheint erforderlich, um einerseits den Unwertgehalt der Tat zu
verdeutlichen und in der Sphäre der Beschwerdeführerin ein künftig
datenschutzrechtskonformes Verhalten zu gewährleisten.
Auch aus generalpräventiven Erwägungen ergibt sich, dass das Verhängen einer Geldbuße
jedenfalls erforderlich scheint: Insbesondere soll die Praxis, Geschäftsgespräche
durchzuführen, ohne, dass Gesprächspartner unzweideutig und im Vorhinein über die Absicht,
eine Aufzeichnung durchzuführen, informiert werden, hintangehalten werden.
3.6. Aus den vorgenannten Gründen war die Beschwerde hinsichtlich des Ausspruches über
die verhängte Strafe abzuweisen.
3.7. Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem
Beschwerdeführer gemäß § 52 Abs. 2 VStG aufzuerlegen, weil die Beschwerde abzuweisen
war.
3.8. Zur Verhandlung in Abwesenheit eines Vertreters ist auszuführen, dass der
Geschäftsführer der Beschwerdeführerin eine ärztliche Arbeitsunfähigkeitsbestätigung
aufgrund von Krankheit vorlegte.
Allein aus der auf "Krankheit" lautenden Arbeitsunfähigkeitsmeldung ist die Art der
Verhinderung in keiner Weise ersichtlich. Es liegt daher kein triftiger Grund für das
Nichterscheinen des Vertreters der Beschwerdeführerin zur mündlichen Verhandlung vor,
- 25 -
zumal sich die Beschwerdeführerin auch anderweitig vertreten lassen hätte können. Aus
dieser vorgelegten Arbeitsunfähigkeitsmeldung ist die Triftigkeit der Abwesenheit jedenfalls
nicht ableitbar. Daher war die mündliche Verhandlung in Abwesenheit eines Vertreters der
Beschwerdeführerin durchzuführen (VwGH20.6.2023, Ra 2023/06/0094).
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder
Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der
Ausspruch ist kurz zu begründen. Die gegenständliche Rechtsprechung steht im Einklang mit
der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich
nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise
auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Es war daher spruchgemäß durch Senat zu entscheiden.
Zahlungsinformation:
Sie haben den festgesetzten Gesamtbetrag von insgesamt € 8.190,--, in Worten:
achttauendeinhundertneunzig (Geldstrafe iHv € 6.300,-- in Worten: sechstausenddreihundert
und € 630,--, in Worten sechshundertdreißig als Kosten des behördlichen Verfahrens sowie €
1.260,--, in Worten: eintausendzweihundertsechzig als Kosten des Beschwerdeverfahrens) auf
das Konto des Bundesverwaltungsgerichtes (Empfänger) IBAN: XXXX (BIC XXXX ), binnen zwei
Wochen ab Zustellung dieses Erkenntnisses jeweils unter Angabe der Verfahrenszahl sowie
Ihres vollständigen Namens spesenfrei für den Empfänger zu überweisen oder unter
Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht einzuzahlen. Bei Verzug muss
damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben
wird.