2025-0.177.424 – Datenschutzbehörde Entscheidung

GZ: 2025-0.177.424 vom 3. Juni 2025 (Verfahrenszahl: DSB-D550.1163)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

Straferkenntnis

Beschuldigte: B*** Parkraumbewirtschaftung Ges.m.b.H. (FN *9*3*1v)

Die beschuldigte juristische Person mit Sitz in 1*** Wien, L***platz *3 hat als Verantwortliche im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:

Die Datenschutzbehörde forderte die Beschuldigte als Verfahrenspartei bzw. Verantwortliche im amtswegigen Prüfverfahren zur GZ: D213.1903 mehrmals, konkret mit Schreiben vom:

 14.06.2023 (erste Aufforderung zur Stellungnahme; GZ: D213.1903 – 2023-0.200.677), per E-Mail an das Postfach „parking***@b***parkraumbewirtschaftung.com“ zugestellt,

 03.08.2023 (erneute Aufforderung zur Stellungnahme, erste Urgenz; GZ: D213.1903 – 2023-0.572.728), per RSb an die Anschrift „1*** Wien, L***platz *3“ zugestellt, und

 11.10.2024 (erneute Aufforderung zur Stellungnahme; GZ: D213.1903 – 2024-0.739.070), per RSb an die Anschrift „1*** Wien, L***platz *3“ zugestellt,

zur Stellungnahme im oben angeführten Prüfverfahren auf und wies dabei jedes Mal ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin. Im Zuge der Urgenzschreiben wurde die Beschuldigte auf ihre mangelnde Mitwirkung hingewiesen bzw. auf die Tatsache, dass der Beschuldigten die Aufforderungen der Datenschutzbehörde zugestellt und von ihr nicht befolgt wurden. Die Beschuldigte hat jedoch auf sämtliche oben näher dargestellte Aufforderungsschreiben der Datenschutzbehörde bis dato weiterhin nicht reagiert .

Überdies forderte die Datenschutzbehörde den handelsrechtlichen Geschäftsführer der Beschuldigten, Herrn Peter J***, geb. am **. Mai 199*, vertritt die Beschuldigte seit 4. April 2023 selbstständig, mit Schreiben vom:

 19.12.2024 (Ladungsbescheid; GZ: D213.1903 – 2024-0.928.547), per RSa an die Anschrift „1*** Wien, L***platz *3 “ zugestellt,

dazu auf, vor der Datenschutzbehörde zum Zwecke einer mündlichen Einvernahme im Zusammenhang mit dem amtswegigen Prüfverfahren zu erscheinen. Der Geschäftsführer kam dieser Ladung ebenfalls nicht nach. Das Verhalten bzw. die Unterlassung des Geschäftsführers als nach außen hin vertretungsbefugte Person wird dabei der Beschuldigten als juristische Person unmittelbar zugerechnet und ebenfalls als mangelnde Bereitschaft zur Kooperation mit der Datenschutzbehörde als zuständige Aufsichtsbehörde gewertet.

Das amtswegige Prüfverfahren musste von der Datenschutzbehörde schlussendlich ohne Mitwirkung der Verantwortlichen mit Bescheid vom 17.03.2025 (GZ: D213.1903 / 2025-0.192.907) einer Enderledigung zugeführt werden.

Gemessen daran ergibt sich Folgendes:

Die Beschuldigte hat jedenfalls im Zeitraum vom 08.08.2023 bis zum Abschluss des amtswegigen Prüfverfahrens am 17.03.2025 innerhalb des Bundesgebietes Österreich gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde) gemäß Art. 31 DSGVO verstoßen, indem sie den oben näher dargestellten Aufforderungen zur Stellungnahme sowie der Ladung zu einer mündlichen Einvernahme durch ihren Geschäftsführer nicht entsprochen bzw. Letztere nicht befolgt hat. Dadurch hat die Beschuldigte in ihrer Rolle als Verantwortliche auf Anfragen einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht zusammengearbeitet.

Verwaltungsübertretung nach:

Art. 31 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung wird gemäß Art. 83 DSGVO folgende Geldstrafe verhängt:

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

1.600,-

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

17.600,-

Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar . Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] , lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt .

Begründung:

1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:

1.1. Zur Beschuldigten und einschlägigen Vorverfahren

1.1.1. Die beschuldigte juristische Person ist eine im Firmenbuch eingetragene Gesellschaft mit beschränkter Haftung und als solche im Geschäftszweig „ Erwerb, Vermietung, Verpachtung von Parkplätzen “ tätig. Seit dem 14. Februar 2025 ist die Beschuldigte als „ B*** Parkraumbewirtschaftung Ges.m.b.H. in Liqu. “ im Firmenbuch eingetragen. Herr Peter J***, geb. am **. Mai 199*, ist der handelsrechtliche Geschäftsführer sowie Alleingesellschafter der Beschuldigten. Seit 14.2.2025 wird er im Firmenbuch als Abwickler bzw. Liquidator geführt.

1.1.2. Die Beschuldigte wurde durch ihre eigentümliche Geschäftspraktik bereits mehrfach medial auffällig. Besagte Geschäftspraktik besteht darin, Kraftfahrzeuge, welche sich auf einen von der Beschuldigten überwachten Stellplatz begeben bzw. diesen auch nur geringfügig passieren, aufzuzeichnen und die davon betroffenen Personen anschließend mit Abmahnschreiben aufgrund einer erfolgten Besitzstörung zu konfrontieren. Dabei wird zumeist ein Betrag in Höhe von EUR 400,- bis EUR 1.200,- bei gleichzeitiger Klagsdrohung eingefordert.

1.1.3. Im Zusammenhang mit dieser Geschäftspraktik wurden der Datenschutzbehörde (im Folgenden: „DSB“) wiederholt Fälle betreffend eine unrechtmäßige Videoüberwachung durch die Beschuldigte und eine sohin erfolgte Verletzung im Grundrecht auf Geheimhaltung angezeigt. Folglich wurden bereits mehrere Beschwerdeverfahren geführt, in welchen die Beschuldigte jedoch die Mitwirkung mit der DSB als nationale Aufsichtsbehörde systematisch verweigerte und somit Verstöße gegen Art. 31 DSGVO verwirklichte. Aus diesem Grund wurden bereits drei Strafverfügungen gegen die Beschuldigte in Bezug auf separate Beschwerdeverfahren gemäß Art. 77 DSGVO iVm § 24 DSG verhängt (zu den GZ: D550.1123; 2024-0.701.699; D550.1124; 2024-0.701.701; D550.1128; 2024-0.715.538). Sämtliche Strafverfügungen erwuchsen mangels Rechtsmittel (Einspruch) in Rechtskraft.

1.1.4. In Reaktion auf die letzte Strafverfügung dieser Reihe meldete sich die Beschuldigte mit Mail vom 19.02.2025. Darin brachte die Beschuldigte vor, dass ihr die ursprünglichen Unterlagen nicht zugestellt worden seien, überdies ersuchte sie um die Übermittlung des Aktes per Mail. Darauf reagierte die DSB per Mail vom 03.03.2025, in welchem der Beschuldigten ein Termin für eine Akteneinsicht in den Räumlichkeiten der DSB angeboten wurde (GZ: D550.1128; 2025-0.134.477). Die Beschuldigte ist zum vergebenen Termin jedoch nicht erschienen und hat sich seither nicht mehr bei der Datenschutzbehörde gemeldet.

1.2. Zum Gang des amtswegigen Prüfverfahrens zur GZ: D213.1903

1.2.1. In Folge der Vielzahl an Anzeigen, welche sich gegen die Beschuldigte richteten, wurden sämtliche gleichgelagerte Fälle in einem amtswegigen Prüfverfahren zur GZ: D213.1903 konzentriert, um diese aus verfahrensökonomischen Erwägungen gesammelt zu behandeln.

1.2.2. Im Rahmen dieses Prüfverfahrens wurde die Beschuldigte erstmals mit Schreiben vom 14.06.2023 per Mail an die auf der Webseite zur Verfügung gestellte Mailadresse „parking***@b***parkraumbewirtschaftung.com“ zur Stellungnahme aufgefordert (GZ: D213.1903; 2023-0.200.677). Auf dieses Schreiben erfolgte keine Reaktion durch die Beschuldigte.

1.2.3. Mit Schreiben der DSB vom 03.08.2023 wurde die Beschuldigte erneut zur Stellungnahme aufgefordert (GZ: D213.1903; 2023-0.572.728). Die per RSb an die im Firmenbuch ausgewiesene Adresse „1*** Wien, L***platz *3“ versandte Aufforderung wurde in einer Abgabeeinrichtung hinterlegt, die Beschuldigte hat das Schreiben jedoch nie behoben und folglich auch auf diese Aufforderung bis dato nicht reagiert.

1.2.4. Eine weitere Aufforderung zur Stellungnahme erging am 11.10.2024. Darin wurde die Beschuldigte nochmals explizit auf die Mitwirkungspflicht sowie die Möglichkeit der Einleitung eines Verwaltungsstrafverfahrens hingewiesen (GZ: D213.1903; 2024-0.739.070). Das Schreiben wurde per RSb an die oben angeführte Adresse versandt und nachweislich am 17.10.2024 von einem Arbeitnehmer der Beschuldigten übernommen. Der Arbeitnehmer war dem Zusteller persönlich bekannt. Eine Reaktion seitens der Beschuldigten blieb erneut aus.

1.2.5. In weiterer Folge wurde der alleinvertretungsbefugte Gesellschafter-Geschäftsführer der Beschuldigten, Herr Peter J***, per Ladungsbescheid vom 19.12.2024 zu einer mündlichen Einvernahme am 15.01.2025, um 9:00 Uhr in den Räumlichkeiten der DSB geladen (GZ: D213.1903; 2024-0.928.547). Der Bescheid wurde per RSa-Brief an die Adresse der Beschuldigten versandt und in einer Abgabeeinrichtung hinterlegt. Herr Peter J*** erschien jedoch ohne vorangehende Ankündigung nicht zum vorgesehenen Termin.

1.2.6.Die DSB hat das amtswegige Prüfverfahren letztendliche ohne Mitwirkung der Beschuldigten erledigt und die dort gegenständliche Verarbeitung anhand der ihr vorliegenden Unterlagen näher beleuchtet. Das Verfahren wurde mit Bescheid vom 17.03.2025 (GZ: D213.1903 / 2025-0.192.907) einer Erledigung zugeführt. Der Beschuldigten wurde dabei die Verarbeitung personenbezogener Daten durch Videokameras auf Park- und Stellflächen innerhalb des Staatsgebiets der Republik Österreich mit sofortiger Wirkung und bei sonstiger Exekution untersagt.

1.3. Zum Gang des gegenständlichen Verwaltungsstrafverfahrens

1.3.1. Nachdem die Beschuldigte im oben angeführten Prüfverfahren jegliche Mitwirkung verweigerte, wurde bereits vor Abschluss des amtswegigen Prüfverfahrens ein Verwaltungsstrafverfahren gegen diese eingeleitet. Im Rahmen dessen erging mit Schreiben der DSB vom 04.02.2025 eine Aufforderung zur Rechtfertigung betreffend den Vorwurf der verweigerten Zusammenarbeit mit der Aufsichtsbehörde gemäß Art. 31 DSGVO an die im Firmenbuch ausgewiesene Adresse der Beschuldigten (GZ: D550.1163; 2025-0.062.174). Das per RSa versandte Schreiben wurde in einer Abgabeeinrichtung hinterlegt und nicht behoben. In der Aufforderung wurde die Beschuldigte ausdrücklich darauf hingewiesen, dass das Verwaltungsstrafverfahren auch ohne ihre Anhörung fortgesetzt und einer Erledigung zugeführt wird, wenn sie sich am Ermittlungsverfahren nicht beteiligt.

1.3.2. Auch im gegenständlichen Verwaltungsstrafverfahren erfolgte keinerlei Reaktion durch die Beschuldigte.

1.3.3. Mangels Mitwirkung der Beschuldigten an der Feststellung des weltweit erzielten Umsatzes aus dem Vorjahr musste eine Schätzung durch die DSB vorgenommen werden. Auf diese Rechtsfolge wurde die Beschuldigte in der Aufforderung zur Rechtfertigung vom 04.02.2025 ebenfalls ausdrücklich hingewiesen. Die Beschuldigte erzielte im vorangegangenen Geschäftsjahr Umsatzerlöse in der Höhe von bis zu EUR 2.000.000,-.

2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:

2.1. Die Feststellungen zu Punkt 1.1.1. beruhen auf einem amtswegig erhobenen Auszug aus dem Firmenbuch vom 21.03.2025. Die Feststellungen zu Punkt 1.1.2. beruhen auf diversen medialen Berichterstattungen, welche der DSB zur Kenntnis gelangt sind, siehe exemplarisch: https://www.i***post.at/****/parkplatznepp***. Die betroffenen Personen haben zudem die DSB mit Beschwerden sowie Anzeigen auf die Geschäftspraktiken der Beschuldigten hingewiesen. Die Feststellung zu den Punkten 1.1.3. betreffend die bei der DSB anhängigen Beschwerdeverfahren, welche sich gegen die Beschuldigte richteten, sowie die aufgrund mangelnder Mitwirkung ergangenen Strafverfügungen fußen auf den entsprechenden Verwaltungsakten: GZ: D124.1195/24 (Strafverfügung in D550.1123); D124.0728/24 (Strafverfügung in D550.1124); D124.1768/24 (Strafverfügung in D550.1128). Die Feststellung zu Punkt 1.1.4. beruht auf dem Verwaltungsstrafakt zur GZ: D550.1128.

2.2. Die Feststellungen zu Punkt 1.2. ergeben sich unzweifelhaft aus dem Verwaltungsakt zur GZ: D213.1903. Die Feststellung betreffend die Mailadresse der Beschuldigten beruht dabei auf einer amtswegigen Recherche auf der Webseite der Beschuldigten (https://www.b***parkraumbewirtschaftung.com), die Feststellung bezüglich der Anschrift des Firmensitzes beruht auf einem amtswegig erhobenen Auszug aus dem Firmenbuch.

2.3. Die Feststellungen zu Punkt 1.3. ergeben sich unzweifelhaft aus dem gegenständlichen Verwaltungsstrafakt. Darüber hinaus hat die Beschuldigte kein Vorbringen erstattet, das den oben getroffenen Feststellungen entgegenstehen würde.

3. Rechtlich folgt daraus:

3.1. Allgemeines

Art. 83 Abs. 4 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 8, 11, 25 bis 39, 42 und 43 DSGVO Geldbußen von bis zu 10 000 000 Euro oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist.

Nach § 22 Abs. 5 DSG liegt die Zuständigkeitfür die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Verstöße gegen das DSG und die DSGVO bei der DSB .

Als Verantwortliche gemäß Art. 4 Z 7 DSGVO für die Verarbeitung personenbezogener Daten durch mehrere Bildverarbeitungsanlagen (Videokameras) ist die Beschuldigte Adressatin der einschlägigen Pflichten der DSGVO . Im konkreten Fall unterlag die Beschuldigte als Verantwortliche aufgrund ihrer Parteistellung in einem amtswegigen Prüfverfahren vor der DSB der Pflicht zur Zusammenarbeit nach Art. 31 DSGVO . Diese Bestimmung stellt gemäß Art. 83 Abs. 4 lit. a DSGVO eine strafbewehrte Verpflichtung für Verantwortliche dar und wird Nachstehend näher beleuchtet.

3.2. Zur Mitwirkungspflicht von Verantwortlichen mit der DSB

Verantwortliche und Auftragsverarbeiter und gegebenenfalls ihre Vertreter müssen gemäß Art. 31 DSGVO auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenarbeiten. Bei dieser Bestimmung handelt es sich gemäß Art. 83 Abs. 4 lit. a DSGVO um einestrafbewehrte Verpflichtung von Verantwortlichen (vgl. BVwG 10.03.2025, W287 2286005-1/15E) .

Aus Art. 31 DSGVO sind in Zusammenschau mit den Befugnissen der Aufsichtsbehörde nach Art. 57 und Art. 58 DSGVO sowohl Duldungs- als auch Mitwirkungspflichten ableitbar. Die DSB muss gemäß Art. 57 Abs. 1 lit. a DSGVO für das gesamte österreichische Bundesgebiet („in ihrem Hoheitsgebiet“) die Anwendung der DSGVO überwachen und durchsetzen. Dabei handelt es sich um eine der zentralen Aufgaben der DSB als für das österreichische Hoheitsgebiet zuständige Aufsichtsbehörde. Außerdem muss die DSB nach Art. 57 Abs. 1 lit. v DSGVO jede sonstige Aufgabe im Zusammenhang mit dem Schutz personenbezogener Daten erfüllen. Für die Erfüllung dieser Aufgaben werden der DSB sowohl Untersuchungsbefugnisse als auch Abhilfebefugnisse ( Art. 58 Abs. 1 und 2 DSGVO) eingeräumt.

Die DSGVO räumt den Aufsichtsbehörden unter anderem die Befugnis ein, den Verantwortlichen anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind (Art. 58 Abs.1 lit. a DSGVO) . Die Verpflichtung zur Bereitstellung aller Informationen bezieht sich dabei auf alle (Er-) Kenntnisse, die den jeweiligen Beteiligten zur Verfügung stehen, und soll verhindern, dass nur einzelne Auskünfte gegeben werden und so die Untersuchungen der Aufsichtsbehörde erschwert werden. Aus dieser Bestimmung ergibt sich in Zusammenschau mit Art. 31 DSGVO somit eine Mitwirkungspflicht für die Normadressaten (siehe auch ErwGr 82 zweiter Satz DSGVO). Für den Fall der mangelnden Mitwirkung führte der Unionsgesetzgeber daher in Art. 83 Abs. 4 lit. a DSGVO die Möglichkeit der Sanktionierung ein.

Ohne die Mitwirkung von Verantwortliche und Auftragsverarbeiter kann die jeweils zuständige Aufsichtsbehörde ihren gesetzlich aufgetragenen Aufgaben faktisch nicht ordnungsgemäß nachkommen. Insofern ist die Mitwirkungspflicht im Interesse einer wirksamen Aufsicht und Durchsetzung der Normen der DSGVO umfassend und schließt insbesondere die Angabe von bekannten Tatsachen und Unterlagen einschließlich Beweismittel ein. Jegliche Weigerung zur Kooperation mit der DSB wird mit einer Geldbuße begegnet. Darauf weist die DSB in jeder Aufforderung ausdrücklich hin.

Insgesamt betrachtet legt Art. 31 DSGVO der Beschuldigten sohin eine verwaltungsrechtliche Kooperationspflicht auf; die Vorschrift drängt insofern den Grundsatz der amtswegigen Sachverhaltsermittlung ein Stück weit zurück. Die Erforderlichkeit einer Stellungnahme der Verantwortlichen für die Feststellung des Sachverhalts ist dabei unerheblich. Die Verpflichtung zur Kooperation auf Anfrage der Aufsichtsbehörde besteht unabhängig davon und ist auch nicht von einer bestimmten Fragestellung oder dem Ausgang des Verfahrens, in dem die Anfrage ergeht, abhängig (insbesondere unterliegt es auch nicht der ex-ante-Beurteilung des Sachverhalts durch die Verantwortliche, vgl. BVwG 10.03.2025, W287 2286005-1/15E). Der Umstand, dass die DSB das amtswegige Prüfverfahren schlussendlich ohne Mitwirkung der Beschuldigten einer Erledigung zugeführt hat, ist daher nicht entscheidungserheblich.

Im vorliegenden Fall ist die Beschuldigte als Verantwortliche gemäß Art. 4 Z 7 DSGVO zu qualifizieren, womit die einschlägigen Pflichten der DSGVO Anwendung finden. Im Lichte des als erwiesen angenommenen Sachverhalts ist die Beschuldigte der Pflicht zur Mitwirkung mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht nachgekommen. Dabei wurde die Beschuldigte über einen Zeitraum von über einem Jahr mehrfach dazu aufgefordert, dieser Pflicht nachzukommen, damit die DSB den Sachverhalt hinreichend klären und in weiterer Folge das Prüfverfahren einer Enderledigung zuführen kann. Nichtsdestotrotz hat die Beschuldigte jegliche Zusammenarbeit mit der DSB verweigert. Selbst einer Ladung unter Androhung einer Zwangsstrafe bei Nichterscheinen ist der der Beschuldigten zuzurechnende Gesellschafter-Geschäftsführer nicht nachgekommen.

Im Ergebnis ist die objektive Tatseite des Art. 31 DSGVO durch die mangelnde Mitwirkung der Beschuldigten im Tatzeitraum erfüllt .

3.3. Zur subjektiven Tatseite

Der EuGH hat in Bezug auf die zweite Vorlagefrage in seinem Urteil vom 05.12.2023, wie von der DSB bereits in ihrer bisherigen Spruchpraxis angenommen, nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).

In Bezug auf die subjektive Tatseite ist zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH fest, dass den Mitgliedstaaten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Art. 83 Abs. 1 bis 6 DSGVO genau geregelt sind (vgl. hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff).

Zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).

Unter Verweis auf weitere Rechtsprechung stellte der EuGH zudem ausdrücklich klar, dass die Anwendung von Art. 83 DSGVO gegenüber juristischen Personen keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans dieser juristischen Person voraussetzt (vgl. EuGH vom 05.12.2023, C-807/21, Rz 77).

Die Verantwortung und Haftung eines Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind (vgl. EuGH C-807/21, Rz 38, unter Verweis auf ErwGr 74).

Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes:

Zunächst ist festzuhalten, dass es im Rahmen des Ermittlungsverfahrens keine Anhaltspunkte dafür gab, dass die gegenständlichen Verstöße von einer Person begangen wurden, die nicht im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte. Die Beschuldigte erstattete auch kein Vorbringen in diesem Zusammenhang und es ist aufgrund der Aktenlage evident, dass jedenfalls ein Schreiben der DSB nachweislich übernommen wurde, während die übrigen Schreiben – mangels anderweitiger Vorbringen – gemäß § 17 Abs. 3 ZustG als zugestellt gelten. Dadurch erlangte die Beschuldigte jedenfalls Kenntnis über ihre mangelnde Mitwirkung im amtswegigen Prüfverfahren. Hierfür spricht zudem die Reaktion der Beschuldigten im Verwaltungsstrafverfahren zur GZ: D550.1128, in welchem sich diese per Mail an die DSB richtete, um eine Akteneinsicht zu beantragen, auf das Retourmail jedoch nicht mehr reagierte und auch zum vereinbarten Termin nicht erschien. Aus der in diesem Verfahren bereits verhängten Geldbuße aufgrund mangelnder Mitwirkung konnte die Beschuldigte zweifelsfrei schließen, dass eine Mitwirkung im Verfahren vor der DSB erforderlich ist und eine Missachtung dieser Pflicht mit einer Geldbuße geahndet wird. Trotz diesem Wissen hat es die Beschuldigte auch im gegenständlichen Prüfverfahren unterlassen, an der Wahrheitsfindung mitzuwirken.

Durch welche konkrete natürliche Person innerhalb der Organisation der Beschuldigten der Tatbestand der mangelnden Mitwirkung erfüllt wurde, ist dabei unerheblich. Dem EuGH zufolge ist es für die Verhängung einer Geldbuße gegen eine juristische Person nicht erforderlich, dass die DSB eine identifizierte natürliche Person, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte, in ihrer Entscheidung anführt und das Handeln dieser Person der juristischen Person zurechnet (vgl. EuGH C-807/21, Rz 60). Organe einer juristischen Person – konkret der alleinvertretungsbefugte Geschäftsführer, welcher mit Ladungsbescheid vom 19.12.2024 zu einer mündlichen Einvernahme vor der DSB geladen wurde – sind jedenfalls dem verantwortlichen Unternehmen zuzurechnen (vgl. Jahnel , Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 10).

Im Laufe des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass der Beschuldigten an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. Vielmehr hätte die Beschuldigte Sorge dafür tragen müssen, dass sie die ihr von der DSB zugestellten Schreiben innerhalb der ihr gesetzten Frist beantwortet (vgl. zuletzt BVwG vom 17.09.2024, W298 2295130-1).

Die Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihr dabei bewusst war, dass sie gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN).

Angesichts der drei bereits verhängten Geldbußen aufgrund von Verstößen gegen die Mitwirkungspflicht gemäß Art. 31 DSGVO musste es die Beschuldigte nicht nur für latent möglich halten, vielmehr musste sie gar zwangsläufig davon ausgehen, dass die abermalige Unterlassung der ausdrücklich geforderten Mitwirkung gegen Vorschriften der DSGVO verstößt und mit einer weiteren Sanktion begegnet wird. Obgleich das konkrete Verfahren ausschließlich den fallgegenständlichen Verstoß zu beurteilen hat, kann die systematische Unterlassung jedweder Reaktion in zahlreichen vor der DSB anhängigen Verfahren trotz nachweislicher Zustellung als weiterer Beleg herangezogen werden, um die Vorsätzlichkeit des konkreten Mitwirkungsverstoßes zu untermauern.

Außerdem wurde die Beschuldigte mit jeder Aufforderung über ihre Mitwirkungspflicht informiert sowie über die Rechtsfolgen im Falle der mangelnden Kooperation mit der DSB. Sie hat es daher jedenfalls für möglich gehalten, einen (weiteren) Verstoß gegen Art. 31 DSGVO zu verantworten und hat sich damit abgefunden.

Im Ergebnis liegt daher Verschulden in Form von Vorsatz vor (Art. 83 Abs. 2 lit. b DSGVO) . Damit ist die subjektive Tatseite ebenfalls erfüllt .

4. Zur Strafzumessung ist Folgendes festzuhalten:

Gemäß Art. 83 Abs. 1 DSGVO hat die Aufsichtsbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO , dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.

Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung , die nach den vom Gesetzgeber festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106). Die von der DSB für die Strafbemessung zu berücksichtigenden Kriterien sind abschließend in Art. 83 Abs. 2 DSGVO normiert.

Die Bestimmung nach § 19 Abs. 1 VStG gelangt nicht zur Anwendung, da die Strafbemessung ebenfalls abschließend durch Art. 83 Abs. 2 DSGVO geregelt wird und kein Ermessensspielraum für die Mitgliedstaaten bleibt (vgl. EuGH 05. 12. 23, C-807/21, Rn 45; siehe hierzu auch die rezente Entscheidung des BVwG vom 03. 06. 2024, GZ: W292 2282284-1).

Die DSB hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht.

Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 4 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000.

Der relevante Jahresumsatz der Beschuldigten konnte mangels Mitwirkung nicht festgestellt werden. Es musste daher eine Schätzung durch die DSB vorgenommen werden. Dabei erfolgte eine amtswegige Abfrage im Firmenbuch. Unter Berücksichtigung des verfügbaren Jahresabschlusses der B*** Parkraumbewirtschaftung Ges.m.b.H. zum 31.12.2023 ergibt sich folgende Einordnung für die Gesellschaft: „ mikro “. Folglich wird die Beschuldigte mittels Schätzung in die niedrigste Kategorie der Fines-Leitlinien („Undertakings with a turnover of up until € 2 million“ ) eingestuft. Durch diese Einstufung wird die Unternehmensgröße gebührend berücksichtigt, um insbesondere die Verhältnismäßigkeit der Geldbuße zu gewährleisten. Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 4 DSGVO bis zu einem Betrag in der Höhe von EUR 10.000.000,- (statischer Strafrahmen). Der dynamische Strafrahmen (2% des Jahresumsatzes) gelangt nicht zur Anwendung.

Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 2 lit. a DSGVO), der Vorsätzlichkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO) sowie der Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Art. 83 Abs. 2 lit. g DSGVO) wird von der DSB die Schwere der Zuwiderhandlung („Seriousness of the infringement“) zwischen mittel und hoch („medium/high level of seriousness“) angenommen. Aufgrund der statischen Spanne ergibt sich dadurch ein Ausgangsbetrag in Höhe von EUR 2.000.000,- für die weitere Strafzumessung.

In Folge wurde die (geschätzte) Unternehmensgröße bzw. wirtschaftliche Leistungsfähigkeit der Beschuldigten im Sinne der Leitlinien berücksichtigt und eine Anpassung auf 0,4% des Ausgangsbetrags vorgenommen (konkret ergibt sich dadurch ein Betrag in der Höhe von EUR 8.000).

Dieser Betrag wurde schließlich aufgrund nachstehender Gründe erhöht:

Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus bei der Strafzumessung Folgendes erschwerend berücksichtigt:

 Die Beschuldigte ist bereits wegen drei einschlägigen Verstöße gegen die Mitwirkungspflicht nach Art. 31 DSGVO vorbestraft (Art. 83 Abs. 2 lit. e DSGVO).

Bezogen auf den vorliegenden Sachverhalt wurde darüber hinaus bei der Strafzumessung Folgendes mildernd berücksichtigt:

 n/a (es ergaben sich im Ermittlungsverfahren keine Anhaltspunkte für das Vorliegen bestimmter Milderungsgründe)

Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Auch nach Art. 83 Abs. 1 DSGVO muss durch die Aufsichtsbehörde sichergestellt werden, dass jede Geldbuße durch die Datenschutzbehörde für festgestellte Verstöße wirksam, abschreckend und verhältnismäßig ist.

Somit kann im Sinne dieser Voraussetzungen die Geldbuße im Einzelfall nochmals erhöht oder reduziert werden.

Die Verhängung der konkreten Strafe war jedenfalls im Sinne der Spezialprävention notwendig , um die Beschuldigte von der Begehung weiterer Straftaten abzuhalten, da die geringeren Geldbußen in Form von Strafverfügungen aus vorhergehenden Verwaltungsstrafverfahren offensichtlich keine Wirkung zeigten. Es zeigte sich, dass durch die DSB weitere und stärkere Abhilfemaßnahmen ergriffen werden müssen, um künftig ähnlich gelagerte Verstöße durch die Beschuldigte präventiv entgegenzuwirken. Darüber hinaus war die Verhängung einer Geldstrafe auch im generalpräventiven Sinne erforderlich , um Verantwortliche und Auftragsverarbeiter im Zusammenhang mit ihrer Mitwirkungspflicht nach Art. 31 DSGVO zu sensibilisieren und darzulegen, dass Verstöße gegen die Mitwirkungspflicht nicht ignoriert, sondern mit aufbauend strengeren Abhilfemaßnahmen begegnet werden.

Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 16.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 4 DSGVO (hier bis zu EUR 10.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Art. 83 Abs. 1 und 2 DSGVO tat- und schuldangemessen.

Ein (noch) niedrigerer Strafbetrag würde den zentralen Voraussetzungen einer Geldbuße in Art. 83 Abs. 1 DSGVO nicht gerecht werden.