X
Digital
(Bild: © Andy) (Bild: © Andy)

Seit dem Inkrafttreten der DSGVO und der damit einhergehenden Novellierung des DSG kann bei Verstößen gegen das Datenschutzrecht auch gegenüber juristischen Personen eine Strafe verhängt werden. Der Verwaltungsgerichtshof hat in einer neuen Entscheidung (Ro 2019/04/0229) die Voraussetzungen dafür erstmalig konkretisiert.

Gemäß Art 83 Datenschutzgrundverordnung („DSGVO“) kann die Datenschutzbehörde bei Verstößen gegen die DSGVO gegenüber „Verantwortlichen“ iSd Art 4 Z 7 DSGVO und „Auftragsverarbeitern“ iSd Art 4 Z 8 DSGVO Geldbußen verhängen. Die DSGVO unterscheidet diesbezüglich nicht, ob es sich dabei um natürliche oder juristische Personen handelt.

Dem österreichischen Verwaltungsstrafrecht ist eine Bestrafung von juristischen Personen allerdings grundsätzlich fremd. Zur Regelung der allgemeinen Bedingungen für die Verhängung von Geldbußen gegen juristische Personen durch die Datenschutzbehörde wurden daher die Bestimmungen des § 30 Abs 1 bis 3 DSG neueingeführt.

Gemäß § 30 Abs 1 DSG kann gegenüber einer juristischen Person dann eine Geldbuße verhängte werden, wenn die Verstöße gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück DSG durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund (1) der Befugnis zur Vertretung der juristischen Person, oder (2) der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder (3) einer Kontrollbefugnis innerhalb der juristischen Person, innehaben.

Nach § 30 Abs 2 DSG ist zudem eine Bestrafung der juristischen Person möglich, wenn eine mangelnde Überwachung oder Kontrolle durch eine in Abs 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglich hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet. Die Strafbarkeit der juristischen Person ist dementsprechend immer eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson.

Nach der zu der ähnlichen Bestimmung des § 99d BWG ergangenen Rechtsprechung des Verwaltungsgerichtshofes (Ro 2018/02/0023) ist für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten. Der gegen eine juristische Person erhobene Vorwurf muss – wegen der Abhängigkeit ihrer Strafbarkeit von der Übertretung der ihr zurechenbaren natürliche Person – immer auch den Vorwurf gegen die darin genannte natürliche Person enthalten.

Das Verfahren gegen die natürlich Person ist dabei jedoch nicht vorrangig zu führen und zu beenden. Es bedarf auch keines Schuldspruches gegen diese, um die juristische Person zu bestrafen. Für deren Bestrafung ist vielmehr entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genügt, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Ob diese Grundsätze auch bei der Verhängung von Geldbußen aufgrund von Verstößen gegen das Datenschutzrecht anzuwenden sind, war bislang jedoch unklar.

Ausgangslage der nunmehrigen Entscheidung des Verwaltungsgerichtshofes war die Verhängung einer Geldbuße gegen eine juristische Person durch die Datenschutzbehörde aufgrund von Verstößen gegen die DSGVO und das DSG. Die Datenschutzbehörde hat hierbei in der der juristischen Person zu Handen deren handelsrechtlichen Geschäftsführers zugestellten Aufforderung zur Rechtfertigung die natürlichen Personen, deren als tatbestandsmäßig, rechtswidrig und schuldhaft erachtetes Verhalten der juristischen Person zuzurechnen sei, nicht namentlich benannt, sondern lediglich als „Organe oder Mitarbeiter“ der juristischen Person umschrieben.

Zudem wurde im Spruch des Straferkenntnisses gegen die juristische Person kein ihr zurechenbares, tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer natürlichen Person dargetan. Auch in der Begründung legte die Datenschutzbehörde nicht offen, welche natürliche Person konkret das der juristischen Person zuzurechnende tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten betreffend die einzelnen Tatvorwürfe gesetzt hat.

Die Datenschutzbehörde hat somit weder in der gegen die juristische Person gerichteten Verfolgungshandlung, noch gemäß § 44a VStG im Spruch des Straferkenntnisses die Tathandlung einer näher genannten natürlichen Person im Sinne des § 30 DSG, die der juristischen Person zuzurechnen ist, für eine Bestrafung der juristischen Person hinreichend umschrieben. Nach Ansicht der Datenschutzbehörde war dies auch nicht erforderlich, da aufgrund der unmittelbaren Anwendbarkeit des Art 83 DSGVO für eine Anwendung des § 30 DSG kein Raum verbleibe.

Entgegen dieser Ansicht entschied der Verwaltungsgerichtshof jedoch, dass die Bestimmungen des § 30 Abs 1 bis 3 DSG erforderlich sind, um die vollständige Durchsetzung des Art 83 DSGVO im nationalen Recht sicherzustellen, da das ansonsten auf Verwaltungsstrafverfahren anzuwendende VStG nur das Verfahren über die Strafbarkeit natürlicher Personen regelt. Auch ist die zu § 99d BWG ergangene Rechtsprechung hinsichtlich der Konkretisierung und somit der Erfordernis der namentlichen Benennung der natürlichen Person, deren rechtswidriges und schuldhaftes Verhalten der juristischen Person zuzurechnen ist auch bei Geldbußen aufgrund von Verstößen gegen das Datenschutzrecht anzuwenden.

Es reicht für die Bestimmtheit der natürlichen Person auch nicht aus, wenn auf der Erledigung der Datenschutzbehörde nicht beigeschlossene Urkunden, wie im gegenständlichen Fall auf das Firmenbuch, verwiesen wird. Eine bloße Bestimmbarkeit der natürlichen Person deren Verhalten der juristischen Person zuzurechnen ist, ist nicht ausreichend. Eine von der Datenschutzbehörde verabsäumte mangelnde Bestimmung der natürlichen Person kann auch durch das Verwaltungsgericht nicht mehr konkretisiert werden, da dies eine unzulässige Änderung des Tatvorwurfes wäre.

Zum Autor:

Mag. Nils Gröschel ist Rechtsanwaltsanwärter bei Preslmayr Rechtsanwälte.

Wir von Preslmayr Rechtsanwälte sind führende Experten im Wirtschaftsrecht. Neben den rechtlichen Aspekten gilt unsere Aufmerksamkeit vor allem den wirtschaftlichen Zielen unserer Mandanten. Wir sehen uns als juristische Begleiter und Problemlöser mit unternehmerischem Denken.