W214 2243436-1 – Bundesverwaltungsgericht Entscheidung

W214 2243436-1/13Z

BESCHLUSS

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch FRESHFIELDS BRUCKHAUS DERINGER PartG mbB, gegen das Straferkenntnis der Datenschutzbehörde vom 04.05.2021, Zl. D550.360 2021-0.169.109, beschlossen:

A)

Das Verfahren wird gemäß § 17 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) iVm § 38 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG) bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) über die mit Beschluss des Kammergerichtes Berlin vom 06.12.2021, Zl. 3 Ws 250/21 (beim EuGH anhängig unter C-807/21), vorgelegten Fragen ausgesetzt.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung:

I. Verfahrensgang und Sachverhalt:

1. Die Beschwerdeführerin ist Betreiberin des XXXX -Programms, eines unternehmens- und branchenübergreifenden Kundenbindungsprogramms, welches im Mai 2018 in Österreich eingeführt wurde. Unterschiedliche Unternehmen, insbesondere Einzelhandelsketten, nehmen als Partnerunternehmen am Programm teil, dazu schließt die Beschwerdeführerin als Betreiberin des Programms mit diesen Unternehmen einen Vertrag ab. Kunden, die bei am Programm teilnehmenden Partnerunternehmen Waren oder Dienstleistungen beziehen, können sich beim Programm registrieren und werden dadurch Mitglied. Die Mitglieder können beim Bezug von Waren oder Dienstleistungen von teilnehmenden Partnerunternehmen oder sonstigen Aktionen von dem jeweiligen Partner Rabatte in Form von Punkten sammeln. Diese Punkte können ab einer gewissen Punktehöhe durch das Mitglied in Österreich eingelöst werden. Der Beschwerdeführerin obliegt als Betreiberin des Programms insbesondere die Organisation der Mitgliedschaft der registrierten Kunden sowie die Verwaltung des Webauftritts unter XXXX Im Rahmen der Mitgliederregistrierung können die Mitglieder iSd Art. 6 Abs. 1 lit. a DSGVO einwilligen, dass Ihre Daten für Zwecke der Werbung und Marktforschung verwendet werden. Diese Einwilligung kann jederzeit widerrufen werden. Wenn eine Einwilligungserklärung abgegeben wird, kann der kartenausgebende Partner des Programms – also jener Partner, bei dem sich das Mitglied registriert hat – dem jeweiligen Mitglied personalisierte Werbung schicken und dieses anschreiben. Daneben kann die Beschwerdeführerin an alle Mitglieder personalisierte Werbung versenden. Die Partnerunternehmen können die Beschwerdeführerin gegen Entgelt auch beauftragen, personalisierte Werbemaßnahme durchzuführen.

2. Die belangte Behörde leitete gegen die Beschwerdeführerin ein amtswegiges Prüfverfahren ein. Aufgrund der Ermittlungsergebnisse des amtswegigen Prüfverfahrens wurde zudem ein Verwaltungsstrafverfahren gegen die Beschwerdeführerin eingeleitet.

3. Nach Durchführung des Ermittlungsverfahrens erließ die belangte Behörde das angefochtene Straferkenntnis und sprach aus, dass die Beschwerdeführerin als Verantwortliche im Zusammenhang mit dem Betrieb von „ XXXX “ in Österreich, jedenfalls seit dem 25.05.2018 bis einschließlich 30.07.2020 im gesamten Bundesgebiet, bei den Ersuchen um Einwilligung der betroffenen Personen, die sich für das XXXX -Kundenbindungsprogramm registriert hätten, für die „Verarbeitung von Kundendaten zur personalisierten Ansprache“, unter Verwendung der Methoden (i) physisches Anmeldeformular im „ XXXX “ und (ii) Webseite XXXX , nicht den Anforderungen gemäß Art. 4 Z 11 iVm Art. 5 Abs. 1 lit. a iVm Art. 7 Abs. 2 DSGVO entsprochen habe, wodurch die Betroffenen dazu veranlasst worden seien, in die Verarbeitung ihrer personenbezogenen Daten einzuwilligen, ohne dass die Voraussetzungen für eine Einwilligung vorgelegen seien (Spruchpunkt 1.). Die Beschwerdeführerin habe daher personenbezogene Daten unrechtmäßig verarbeitet, da die Verarbeitung auch auf keine andere Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO gestützt werden könne (Spruchpunkt 2.).

Die Beschwerdeführerin habe daher im Ergebnis den Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verletzt und personenbezogene Daten verarbeitet, ohne dass hierfür eine geeignete Rechtsgrundlage nach Art. 6 DSGVO vorgelegen habe. Dies sei dadurch ermöglicht worden, dass die im Tatzeitraum zur Vertretung nach außen berufenen und intern mit der Kontrolle und Überwachung sämtlicher datenschutzrechtlicher Angelegenheiten verantwortlichen [namentlich genannten] Geschäftsführer, gemeinsam als vertretungsbefugte Organe im Sinne des § 30 Abs. 1 und Abs. 2 DSG, durch Außerachtlassung der gebotenen Sorgfalt aufgrund mangelnder Kontrolle und Überwachung die oben dargestellten Verwaltungsübertretungen zu verantworten hätten. Das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der namentlich genannten Geschäftsführer werde im Hinblick auf § 30 Abs. 1 und Abs. 2 DSG der Beschwerdeführerin als beschuldigte juristische Person und datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO zugerechnet.

Über die Beschwerdeführerin wurde wegen dieser Verstöße gemäß Art. 83 Abs. 5 lit. a DSGVO iVm § 30 DSG eine Geldbuße in Höhe von EUR XXXX verhängt.

4. Gegen dieses Straferkenntnis erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin wurde zusammengefasst unter anderem vorgebracht, dass bei rechtsrichtiger Auslegung der Art. 4 Z 11 DSGVO und Art 7 Abs. 2 DSGVO die Verwendung der entsprechenden Einwilligungserklärung von der belangten Behörde nicht zu beanstanden und somit auch nicht zu untersagen gewesen wäre. Bei rechtsrichtiger Auslegung und Anwendung des § 5 VStG hätte die belangte Behörde überdies auch kein Verschulden der Beschwerdeführerin bzw. der Geschäftsführer in Form von Fahrlässigkeit annehmen können.

5. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch und legte die Beschwerde samt dem bezughabenden Verwaltungsakt und einer Stellungnahme zum Beschwerdevorbringen mit Schreiben vom 14.06.2021 dem Bundesverwaltungsgericht zur Entscheidung vor.

6. Mit ergänzender Stellungnahme vom 04.01.2022 beantragte die belangte Behörde den EuGH gemäß Art. 267 AEUV mit der Frage der unmittelbaren Strafbarkeit einer juristischen Person gemäß Art. 83 DSGVO und mit der Frage der Vereinbarkeit von § 30 DSG mit Art. 83 DSGVO zu befassen; in eventu das Verfahren bis zur Entscheidung des EuGH in der Rechtssache C-807/21 gemäß § 38 AVG iVm §§ 17 und 38 VwGVG auszusetzen.

Dazu wurde von der belangten Behörde vorgebracht, dass das Kammergericht Berlin mit Beschluss vom 06.12.2021, GZ 2 Ws 250/21 dem EuGH folgende Fragen zur Auslegung von Art. 83 DSGVO zur Vorabentscheidung nach Art. 267 AEUV vorgelegt habe:

„1. Ist Art. 83 Abs. 4 bis 6 DS-GVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?

2. Wenn die Frage zu 1. bejaht werden sollte: Ist Art. 83 Abs. 4 bis 6 DS-GVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 der Verordnung (EG) Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liability“)?“

Die Absätze 1 und 5 des § 30 OWiG würden sich im Wesentlichen mit § 30 Abs. 1 bis 3 DSG decken, insbesondere im Hinblick auf die Frage der Zurechnung des Handelns bestimmter natürlicher Personen zu einer juristischen Person. Im anhängigen Beschwerdeverfahren gehe es – ebenso wie im Verfahren vor dem KG Berlin – um die Frage, ob die Aufsichtsbehörde in einem Verfahren nach Art. 83 DSGVO jene natürliche(n) Person(en) festzustellen und namentlich anzuführen habe, die den Verstoß zu verantworten habe/hätten, um eine Zurechnung zur juristischen Person zu ermöglichen, oder ob dies nicht erforderlich sei. Es sei vom Ausgang dieses Vorabentscheidungsverfahrens abhängig, ob die Ausführungen des VwGH in seinem Erkenntnis vom 12. Mai 2020, Ro 2019/04/0229, Rz 14 ff, aufrechterhalten werden könnten. Die belangte Behörde habe im angefochtenen Bescheid eine Zurechnung nach § 30 Abs. 1 und 2 DSG vorgenommen. Aufgrund des Vorabentscheidungsersuchens sei zunächst fraglich, ob diese Bestimmung überhaupt zur Anwendung gelangen dürfe. Die Beschwerdeführerin moniere in ihrer Beschwerde diese Zurechnung und führe in diesem Zusammenhang auch Verfahrensfehler ins Treffen. Sollten die Ausführungen des VwGH aufgrund einer allfälligen Entscheidung des EuGH nicht weiter aufrechterhalten bzw. die einschlägigen (Zurechnungs-)Bestimmungen des § 30 DSG nicht weiter angewendet werden können, sei das Vorbringen der Beschwerdeführerin in diesem Zusammenhang irrelevant, da a priori keine Zurechnung erforderlich gewesen wäre. Der EuGH werde sich darüber hinaus aufgrund der zweiten Vorlagefrage auch generell mit der Frage des Verschuldens einer juristischen Person auseinanderzusetzen haben, insbesondere, ob für die Verhängung einer Geldbuße bereits ein dem Verantwortlichen zuzuordnender objektiver Pflichtenverstoß ausreiche („strict-liability“-Grundsatz). Der EuGH habe bereits im Zusammenhang mit Wettbewerbsbeschränkungen entschieden, dass es über die objektive Tatbestandsverwirklichung hinaus eines spezifischen Verschuldens nicht bedürfe (vgl. EuGH 07.06.1983, C-100/80, Rz 112). Eine Ahndung bedürfe demnach lediglich der Feststellung einer objektiven Pflichtwidrigkeit. Die Entscheidung des EuGH zu dieser Vorlagefrage sei insofern relevant, da die Beschwerdeführerin ins Treffen führe, dass sie am Verstoß kein Verschulden treffe und daher das Straferkenntnis aufzuheben sei. Es werde jedoch darauf hingewiesen, dass die Datenschutzbehörde unabhängig von der Entscheidung des EuGH zur zweiten Vorlagefrage dennoch ein Verschulden der Beschwerdeführerin festgestellt und in der Begründung näher ausgeführt habe. Aufgrund dieses Vorabentscheidungsersuchen könne auch nicht mehr gesagt werden, dass im Hinblick auf die Strafbarkeit einer juristischen Person nach Art. 83 DSGVO ein acte clair vorliege.

7. Das Bundesverwaltungsgericht brachte der Beschwerdeführerin die ergänzende Stellungnahme der belangten Behörde mit Schreiben vom 15.03.2022 zur Kenntnis und forderte sie zur Abgabe einer Stellungnahme binnen zwei Wochen auf.

8. Mit Stellungnahme vom 29.03.2022 führte die Beschwerdeführerin (soweit für die gegenständliche Entscheidung relevant) aus, dass es im anhängigen Beschwerdeverfahren entgegen der Ausführung der belangten Behörde nicht um die Frage gehe, ob die Aufsichtsbehörde in einem Verfahren nach Art 83 DSGVO jene natürliche(n) Person(en) festzustellen und namentlich anzuführen habe, die einen Verstoß zu verantworten habe/hätten, um eine Zurechnung zur juristischen Person zu ermöglichen oder ob dies nicht erforderlich sei. Die Datenschutzbehörde habe im angefochtenen Bescheid die namentlich genannten Geschäftsführer als handelnde Personen, deren Verhalten die belangte Behörde der Beschwerdeführerin zugerechnet habe, angeführt. Ob diese Nennung nun tatsächlich erforderlich gewesen sei oder nicht, spiele für das gegenständliche Beschwerdeverfahren keine Rolle – sie sei ohnehin erfolgt. Ebenfalls unrichtig sei die Angabe der belangten Behörde, die Beschwerdeführerin habe in ihrer Bescheidbeschwerde die Zurechnung nach § 30 Abs. 1 und 2 DSG als solche moniert. Die Beschwerdeführerin sehe keine Notwendigkeit, dem EuGH im Zuge dieses Verfahrens eigene Fragen zur unmittelbaren Strafbarkeit einer juristischen Person gemäß Art 83 DSGVO und der Vereinbarkeit von § 30 DSG mit Art 83 DSGVO zur Vorabentscheidung vorzulegen, da ohnehin entsprechende Fragen bereits beim EuGH anhängig gemacht worden seien. Wenn die belangte Behörde im Übrigen davon ausgehe, dass aufgrund des Vorabentscheidungsersuchens des KG Berlin „nicht mehr“ gesagt werden könne, dass im Hinblick auf die Strafbarkeit einer juristischen Person nach Art 83 DSGVO ein Acte clair vorliegt, so sei hierzu festzuhalten, dass die bloße Stellung eines Vorabentscheidungsersuchens durch ein anderes Gericht die Annahme eines Acte clair durch das erkennende Gericht nicht verhindere (vgl etwa EuGH 09.05.2015, C-72/14 und C-197/14, X und van Dijk). Seitens der Beschwerdeführerin seien in der Bescheidbeschwerde eine Vielzahl von Rechtsverstößen durch die belangte Behörde aufgezeigt worden, nur ein Teil davon beziehe sich auf die Frage des Verschuldens. Es komme aus Sicht der Beschwerdeführerin für eine Aufhebung des angefochtenen Bescheides nicht zwingend auf den Ausgang des Verfahrens vor dem EuGH zum Vorabentscheidungsersuchen des KG Berlin an.

Das Bundeverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

2. Beweiswürdigung

Die Feststellungen ergeben sich aus dem vorgelegten Verwaltungs- sowie dem gegenständlichen Gerichtsakt und sind unstrittig.

3. Rechtliche Beurteilung

Zu A)

3.1. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.

3.2. Nach der Rechtsprechung des VwGH können auf Grundlage des § 38 AVG Verfahren bis zur (in einem anderen Verfahren beantragten) Vorabentscheidung durch den Gerichtshof der Europäischen Union ausgesetzt werden; eine dem EuGH zur Klärung vorgelegte Frage des Unionsrecht kann nämlich eine Vorfrage iSd § 38 AVG darstellen, die zufolge des im Bereich des Unionsrechts bestehenden Auslegungsmonopols des EuGH von diesem zu entscheiden ist (VwGH 18.12.2020, Ra 2020/15/0059; 11.11.2020, Ro 2020/17/0010; 19.12.2000, 99/12/0286). Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl zB VwGH 13.12.2011, 2011/22/0316).

3.3.1. Wie oben ausgeführt, legte das Kammergericht Berlin mit Beschluss vom 06.12.2021, GZ 2 Ws 250/21, dem EuGH folgende Fragen zur Auslegung von Art. 83 DSGVO zur Vorabentscheidung nach Art. 267 AEUV vor:

„1. Ist Art. 83 Abs. 4 bis 6 DS-GVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrundeliegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?

2. Wenn die Frage zu 1. bejaht werden sollte: Ist Art. 83 Abs. 4 bis 6 DS-GVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 der Verordnung (EG) Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus („strict liability“)?“

3.3.2. § 30 Abs. 1 Ordnungswidrigkeitengesetz (OWiG) lautet:

㤠30

Geldbuße gegen juristische Personen und Personenvereinigungen

(1) Hat jemand

1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs,

2. als Vorstand eines nicht rechtsfähigen Vereins oder als Mitglied eines solchen Vorstandes,

3. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft,

4. als Generalbevollmächtigter oder in leitender Stellung als Prokurist oder Handlungsbevollmächtigter einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung oder

5. als sonstige Person, die für die Leitung des Betriebs oder Unternehmens einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung verantwortlich handelt, wozu auch die Überwachung der Geschäftsführung oder die sonstige Ausübung von Kontrollbefugnissen in leitender Stellung gehört,

eine Straftat oder Ordnungswidrigkeit begangen, durch die Pflichten, welche die juristische Person oder die Personenvereinigung treffen, verletzt worden sind oder die juristische Person oder die Personenvereinigung bereichert worden ist oder werden sollte, so kann gegen diese eine Geldbuße festgesetzt werden.“

§ 30 Abs. 1 und 2 Datenschutzgesetz (DSG) lauten:

„Allgemeine Bedingungen für die Verhängung von Geldbußen

§ 30. (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

1. der Befugnis zur Vertretung der juristischen Person,

2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder

3. einer Kontrollbefugnis innerhalb der juristischen Person innehaben.

(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.“

3.3.3. Das Kammergericht Berlin möchte vom EuGH mit den an diesen herangetragenen Vorlagefragen wissen, ob die Aufsichtsbehörde in einem Verfahren nach Art. 83 DSGVO – entsprechend nationaler Zurechnungsregeln wie § 30 OWiG – jene natürlichen Personen festzustellen und namentlich anzuführen hat, die den Verstoß zu verantworten haben, um eine Zurechnung zur juristischen Person zu ermöglichen oder ob Art. 83 DSGVO bereits eine unmittelbare Unternehmerhaftung vorsieht (erste Vorlagefrage), die über die objektive Tatbestandverwirklichung hinaus eines spezifischen Verschuldens (eines Mitarbeiters) gar nicht bedarf (zweite Vorlagefrage).

3.3.4. Wie aus der zitierten Bestimmung ersichtlich, enthält § 30 DSG eine mit § 30 OWiG vergleichbare, nationale Zurechnungsregeln für die Verhängung von Geldbußen nach der DSGVO gegen juristische Personen und wurden diese im vorliegenden Verfahren von der belangten Behörde im Zuge der Erlassung des Straferkenntnisses auch angewendet.

Der Beschwerdeführerin wurde aufgrund des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens ihrer vertretungsbefugten Geschäftsführer Verstöße gegen die DSGVO zur Last gelegt und deshalb gemäß Art. 83 Abs. 5 lit. a DSGVO iVm § 30 DSG eine Geldbuße in Höhe von EUR XXXX über die Beschwerdeführerin verhängt.

Die dem EuGH zur Vorabentscheidung vorgelegten Fragen sind jedenfalls auch für das gegenständliche Verfahren im Sinne der oben angeführten Judikatur relevant, da aufgrund der dargelegten Vorlagefragen schon fraglich ist, ob – wie im vorliegenden Fall – nationale Zurechnungsregelungen (wie in § 30 DSG vorgesehen) in einem Verfahren nach Art. 83 DSGVO überhaupt zur Anwendung gelangen. Dies hat zum einen Einfluss auf die Frage, wie Ermittlungen in Verwaltungsstrafverfahren von der Behörde generell zu führen sind (Einvernahmen der „Verantwortlichen“ etc.), sowie andererseits auf den Spruch des Straferkenntnisses, zumal der Beschuldigte ein subjektives Recht darauf hat, dass ein Straferkenntnis den in § 44 a Z 1 – 5 festgelegten Sprucherfordernissen entspricht (vgl VwGH 26. 1. 2012, 2010/07/0011) und Verstöße gegen § 44 a VStG eine offenkundige Verletzung des Gesetzes zum Nachteil des Bestraften iSd § 52 a VStG bedeuten (vgl VwGH 08.09.2011, 2011/03/0130). Sollte der EuGH in Beantwortung der ersten Vorlagefrage aussprechen, dass eine Zurechnung nicht zu erfolgen hat, ist davon auszugehen, dass der Spruch des gegenständlichen Straferkenntnisses mit der Benennung der verantwortlichen Geschäftsführer nicht den gesetzlichen Erfordernissen des § 44a VStG entspricht. Weiters könnten bei Bejahung der zweiten Vorlagefrage dahingehend, dass für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß ausreicht, die Ausführungen der Beschwerdeführerin in ihrer Bescheidbeschwerde, die Geschäftsführer der Beschwerdeführerin treffe kein Verschulden an der von der belangten Behörde festgestellten Datenschutzverletzung, unberücksichtigt bleiben.

3.3.5. Es wird daher die Aussetzung des Beschwerdeverfahrens – mit nicht bloß verfahrensleitendem Beschluss (vgl VwGH 20.12.2017, Ra 2017/12/0019) – bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Kammergerichtes Berlin vom 06.12.2021, Zl. 3 Ws 250/21 (beim EuGH anhängig unter C-807/21), vorgelegte Frage beschlossen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten. Eine – wie hier – im Rahmen dieser vom Verwaltungsgerichtshof aufgestellten Grundsätze vorgenommene Beurteilung einer bei einem anderen Gericht anhängigen Rechtsfrage als für das gegenständliche Verfahren präjudiziell ist nicht reversibel (vgl. VwGH 13.9.2017, Ra 2017/12/0068).