2023-0.404.421 – Datenschutzbehörde Entscheidung

GZ: 2023-0.404.421 vom 16. Juni 2023 (Verfahrenszahl: DSB-D550.788)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.

Straferkenntnis

Beschuldigter: Peter A***, geb. am 14.04.198*

Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:

- Sie haben in Ihrer Rolle als Verantwortlicher zumindest im Zeitraum von 13.01.2023 bis 26.01.2023 innerhalb des Bundesgebiets von Österreich unrechtmäßig personenbezogene Daten verarbeitet, indem Sie Kontaktdaten (Name und Telefonnummer) von Frau Melanie O***, Herrn Ernst P*** und fünf weiteren Personen, die Ihnen lediglich aufgrund ihrer Eigenschaft als Dienstnehmer der N*** Straßenbaugesellschaft m.b.H. im Rahmen von Kundenbesuchen bekannt gegeben wurden, auf Ihrem privaten Mobiltelefon gespeichert haben, um diese in weiterer Folge für den Versand politischer Werbung im Zusammenhang mit der Landtagswahl in Niederösterreich 2023 in Evidenz zu halten. Die Verarbeitung konnte auf keinen der im Art. 6 Abs. 1 DSGVO normierten Erlaubnistatbestände gestützt werden. Auch lag keine zulässige Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO vor.

Sie haben daher im Ergebnis folgende Vorgaben der DSGVO verletzt:

 Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6 Abs. 1 und 4 DSGVO

 Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise gemäß Art. 5 Abs. 1 lit. a DSGVO ( „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“ )

 Grundsatz der Verarbeitung von personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke gemäß Art. 5 Abs. 1 lit. b DSGVO ( „Zweckbindung“ )

Verwaltungsübertretung nach:

Art. 5 Abs. 1 lit. a und lit. b, Art. 6 Abs. 1 und 4 in Verbindung mit Art. 83 Abs. 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt:

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

100,00

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

1100,00

Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Begründung:

1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:

1.1. Der Beschuldigte ist Bürgermeister der Marktgemeinde L***berg.

1.2. Darüber hinaus ist der Beschuldigte Vertriebsmitarbeiter bei der N*** Straßenbaugesellschaft m.b.H.

1.3. In dieser Eigenschaft führt der Beschuldigte regelmäßig Hausbesuche bei Kunden im Zusammenhang mit dem Ausbau des Fernwärmenetzes und zur Angebotslegung durch. Die Datenerhebung der N*** Straßenbaugesellschaft m.b.H. erfolgt mit einem vorgefertigten – nicht digitalen – Formular, in das die Kontaktdaten von interessierten Kunden eingetragen werden.

1.4. Der Beschuldigte speicherte jedenfalls nach einem Termin am 13. Jänner 2023 den Namen und die Telefonnummer von Frau Irmgard O*** auf seinem privaten Mobiltelefon, um ihr zu einem späteren Zeitpunkt politische Werbung in eigener Sache für die Landtagswahl in Niederösterreich 2023 zukommen zu lassen.

1.5. Der Beschwerdeführer speicherte zur Tatzeit zudem den Namen und die Telefonnummer von Herrn Ernst P*** und fünf weiteren Personen, deren Kontaktdaten er als Mitarbeiter der N*** Straßenbaugesellschaft m.b.H. erhoben hat.

1.6. Am 25.01.2023 und am 26.01.2023 versendete der Beschuldigte an drei derart erhobene Mobiltelefonnummern im Vorfeld der Landtagswahl in Niederösterreich 2023 folgende SMS-Nachricht mit dem darunter ersichtlichen Anhang (Formatierung nicht 1:1 wiedergegeben):

„Schönen Vormittag!

Ich, Peter A***, war für die Datenaufnahme für die Angebotserstellung (Fernwärmeanschluss) vor Ort. Ich bin Bürgermeister von L***berg und bewerbe mich nun um ein Mandat für unsere [Name der Region], die südliche Region unseres Bezirks, im NÖ Landtag für die [Bezeichnung des Wahlvorschlags].

Unter diesem Link gibts ein paar Infos und ein Video über mich - https://***.***partei-noe.at/kandidatenliste/Peter-A***/ -

Bei uns zählt jede Vorzugsstimme! Wenn du mich mitunterstützen möchtest, kannst du mich auf der Wahlkreisliste auf Platz **. ankreuzen. Wer die meisten Vorzugsstimmen der ** KandidatInnen hat erhält das Mandat. Einen Musterstimmzettel sende ich noch als Foto nach.

Schönen Tag noch und liebe Grüße Peter A***“

[Anmerkung Bearbeiter/in: Die an dieser Stelle eingefügte grafische Darstellung des Stimmzettels mit Wahlwerbungselementen kann nicht mit zumutbarem Aufwand pseudonymisiert werden und wurde entfernt.]

1.7. Die betroffenen Personen haben nicht eingewilligt, dass ihre personenbezogenen Daten vom Beschuldigten auf seinem privaten Mobiltelefon zum Zwecke der zukünftigen politischen Werbung gespeichert werden.

1.8. Der Beschuldigte hat die Kontaktdaten mittlerweile – frühestens am 26.01.2023 – von seinem privaten Mobiltelefon gelöscht.

1.9. Der Beschuldigte verfügte im Jahr 2022 über ein jährliches Bruttoeinkommen von EUR 61.579,44 und über einen Schuldenstand von EUR 83.000,00 aufgrund des Umbaus des Hauses seiner Eltern.

2. Die Feststellungen werden aufgrund folgender Beweiswürdigung getroffen:

2.1. Zunächst ist festzuhalten, dass der Sachverhalt vom Beschuldigten in seinen Eingaben an die Datenschutzbehörde im Wesentlichen nicht bestritten wurde.

2.2. Die Feststellung zu Punkt 1.4. gründet insbesondere auf dem von der Datenschutzbehörde geführten Beschwerdeverfahren zur Verfahrenszahl D124.0111/23, welches mit rechtskräftigem Bescheid vom 16.03.2023 abgeschlossen wurde. Daraus ergibt sich, dass der Beschuldigte am 13.01.2023 einen Kundenbesuch getätigt hat und die Daten der von Irmgard O*** daraufhin auf seinem privaten Mobiltelefon gespeichert hat, um sie am 25.01.2023 für politische Werbung mittels einer SMS-Nachricht zu verwenden.

2.3. Dass der Beschuldigte zur Tatzeit auch die Daten von Ernst P*** und fünf weiteren Personen, deren Kontaktdaten er als Mitarbeiter der N*** Straßenbaugesellschaft m.b.H. erhoben hat, auf seinem privaten Mobiltelefon gespeichert hat, ergibt sich einerseits aus dem Beschwerdeverfahren zur Verfahrenszahl D124.0110/23 und aus dem Vorbringen des Beschuldigten in seiner im gegenständlichen Verfahren abgegebenen ergänzenden Stellungnahme vom 30.05.2023.

2.4. Dass der Beschuldigte die Daten aus seinem Privathandy mittlerweile gelöscht hat, ergibt sich aus den Ausführungen in seiner Rechtfertigung vom 22.05.2023. Dass die Löschung frühestens am 26.01.2023 erfolgte, ergibt sich aus der Tatsache, dass er an diesem Tag noch eine Textnachricht zur Wahlwerbung versendet hat.

2.5. Die Feststellung zum Einkommen und zum Schuldenstand des Beschuldigten ergibt sich aus der mit seiner Stellungnahme vom 30.05.2023 übermittelten Bekanntgabe seiner Einkommens- und Vermögensverhältnisse und dem beigelegten Einkommenssteuerbescheid für das Jahr 2022.

3. Rechtlich folgt daraus:

3.1. Zum sachlichen Anwendungsbereich der DSGVO und zur Zuständigkeit der Datenschutzbehörde

3.1.1. Der sachliche Anwendungsbereich der DSGVO gemäß Art. 2 DSGVO ist im gegenständlichen Fall zweifelsfrei erfüllt. Ein dahingehendes Vorbringen, wonach die DSGVO nicht zur Anwendung gelangen würde, hat der Beschuldigte auch nicht vorgebracht. Die Haushaltsausnahme gemäß Art. 2 Abs. 2 lit. c DSGVO ist nicht erfüllt, da die Verarbeitung im Zusammenhang mit der beruflichen Tätigkeit des Beschuldigten erfolgte (vgl. ErwGr 18 DSGVO).

3.1.2. Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5, 6, 7 und 9 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.

3.1.3. Im Ergebnis gelangt somit die DSGVO für den konkreten Fall zur Anwendung und die Datenschutzbehörde ist sowohl sachlich und örtlich für das gegenständliche Verwaltungsstrafverfahren zuständig.

3.2. Zur Rechtmäßigkeit der Datenverarbeitung

3.2.1. Die DSGVO definiert den Begriff der „Verarbeitung“ in Art. 4 Z 2 DSGVO durch Aufzählung einer Reihe von möglichen Nutzungsvorgängen. Mitumfasst sind dabei das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

3.2.2. Indem der Beschuldigte Kontaktdaten der auf den physischen Formularen eingetragenen Daten in sein privates Mobiltelefon eingespeichert hat, um diesen zu einem späteren Zeitpunkt politische Werbung zu übermitteln, hat er jedenfalls personenbezogene Daten als Verantwortlicher iSd Art. 4 Z 2 DSGVO verarbeitet.

3.2.3. Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO abschließend konkretisiert. Demnach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr , Datenschutz-Grundverordnung, Kommentar², Art 5 Rz 8f).

3.2.4. Im vorliegenden Fall kommt lediglich der Rechtfertigungstatbestand nach Art. 6 Abs. 1 lit. f DSGVO in Frage. Eine Einwilligung der Betroffenen, dass der Beschuldigte ihre Kontaktdaten in sein privates Mobiltelefon einspeichert, lag nicht vor. Ein anderer Rechtfertigungsgrund wurde vom Beschuldigten im Zuge des Verfahrens auch nicht vorgebracht. Demnach war das Vorliegen berechtigter Interessen des Beschuldigten bzw. von Dritten im Sinne von Art 6 Abs. 1 lit. f DSGVO zu prüfen. Zur Rechtmäßigkeit von Verarbeitungsvorgängen im Hinblick auf Art. 6 Abs. 1 lit. f DSGVO führt Erwägungsgrund 47 der DSGVO unter anderem erläuternd aus, dass diese durch die berechtigten Interessen eines Verantwortlichen begründet sein kann, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Auf jeden Fall ist das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, werden die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.

3.2.5. Art. 6 Abs. 1 lit. f der DSGVO gestattet die Verarbeitung demnach unter drei kumulativen Voraussetzungen: (i) Wahrnehmung eines berechtigten Interesses; (ii) Erforderlichkeit der Verarbeitung und (iii) kein Überwiegen der Rechte und Freiheiten anderer (vgl. Urteil des EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN).

3.2.6. Im vorliegenden Fall bestand das Interesse des Beschuldigten an der Erhebung der Kontaktdaten der Betroffenen darin, seinen „Bekanntenkreis zu erweitern“ und in weiterer Folge mehr Vorzugsstimmen für die Landtagswahl in Niederösterreich zu generieren. Sofern man davon ausgeht, dass die vorgenommene Datenverarbeitung für die Erreichung dieses Zieles erforderlich ist, überwiegen jedoch jedenfalls die Interessen der betroffenen Personen:

3.2.7. Diese konnten aufgrund der Beziehung zum Beschuldigten nicht in vernünftiger Weise erwarten, dass dieser ihre Kontaktdaten, die sie ihm nur in seiner Eigenschaft als Mitarbeiter der N*** Straßenbaugesellschaft m.b.H. bekanntgegeben haben, in weiterer Folge in sein privates Mobiltelefon einspeichert und konnten auch keinesfalls absehen, dass die von ihnen bekanntgegebenen Kontaktdaten vom Beschuldigten für einen gänzlich anderen Zweck – nämlich zur Kontaktaufnahme für politische Zwecke – verwendet werden.

3.2.8. Nach Durchführung einer Interessenabwägung kommt man daher zum Ergebnis, dass die Geheimhaltungsinteressen und Grundrechte der Betroffenen (Recht auf Geheimhaltung nach § 1 Abs. 1 DSG und das Recht auf Achtung des Privat- und Familienlebens nach Art. 7 EU-GRC sowie das Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC) das Interesse des Beschuldigten überwiegen.

3.2.9. Im Ergebnis ist die Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO für die konkrete Verarbeitung nicht geeignet. Eine sonstige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO kommt nicht in Betracht und wurde vom Beschuldigten auch nicht vorgebracht.

3.2.10. Nach Art. 5 Abs. 1 lit. b DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden („Zweckbindung“).

3.2.11. Zudem ist gemäß Art. 6 Abs. 4 DSGVO, wenn die Verarbeitung für einen anderen Zweck als demjenigen, für den die Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten beruht, für die Feststellung, ob die Verarbeitung für einen anderen Zweck mit dem Zweck vereinbar ist, für den die personenbezogenen Daten ursprünglich erhoben wurden, u. a. zu berücksichtigen, erstens, ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht, zweitens, in welchem Kontext die personenbezogenen Daten erhoben wurden, insbesondere das Verhältnis zwischen den betroffenen Personen und dem Verantwortlichen, drittens, um welche Art von personenbezogenen Daten es sich handelt, viertens, welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und fünftens, ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen.

3.2.12. Nach Ansicht des EuGH sollen diese Kriterien die Notwendigkeit einer konkreten, kohärenten und ausreichend engen Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten widerspiegeln und ermöglichen die Wiederverwendung früher erhobener personenbezogener Daten einzugrenzen und dabei ein Gleichgewicht zwischen dem Erfordernis der Vorhersehbarkeit und der Rechtssicherheit in Bezug auf die Zwecke der Verarbeitung der zuvor erhobenen personenbezogenen Daten einerseits und der Anerkennung einer gewissen Flexibilität zugunsten des Verantwortlichen bei der Verwaltung dieser Daten andererseits sicherzustellen (vgl. das Urteil des EuGH vom 20.10.2022, C-77/21, Rz 36 und 37).

3.2.13. Im vorliegenden Fall lag weder ein konkrete, kohärente oder ausreichend enge Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten vor, noch war es für die Betroffenen in irgendeiner Weise vorhersehbar, dass ihre Daten zu einem gänzlich anderen Zweck verarbeitet werden (siehe bereits oben unter 3.2.7).

3.2.14. Indem der Beschuldigte die Kontaktdaten der Kunden der N*** Straßenbaugesellschaft m.b.H. in einer für den ursprünglichen Zweck der Erhebung nicht zu vereinbarenden Weise weiterverarbeitet hat, hat er gegen den Grundsatz auf Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO sowie gegen Art. 6 Abs. 1 lit. f iVm Abs. 4 DSGVO verstoßen.

3.2.15. Vor dem Hintergrund des als erwiesen angenommenen Sachverhalts verarbeitete der Beschuldigte somit im Ergebnis entgegen den Bestimmungen von Art. 5 Abs. 1 lit. a und b sowie Art. 6 Abs. 1 und 4 DSGVO unrechtmäßig und ohne einen legitimen Zweck personenbezogene Daten. Damit ist die objektive Tatseite erfüllt.

3.3. Zur subjektiven Tatseite

3.3.1. In subjektiver Hinsicht ist im vorliegenden Fall festzuhalten, dass aufgrund des bewussten Einspeicherns der Kontaktdaten zur zukünftigen Kontaktaufnahme für politische Wahlen davon auszugehen ist, dass der Beschuldigte die gegenständliche Verarbeitung vorsätzlich vorgenommen hat. Es liegt daher auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor.

4. Zur Strafzumessung ist Folgendes festzuhalten:

4.1. Gemäß Art. 83 Abs. 1 DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Abs. 2 leg cit, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall Folgendes gebührend zu berücksichtigen ist:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) […]

j) […]

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

4.2. Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106).

4.3. Gemäß § 19 Abs. 1 VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen; dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet wird.

4.4. Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen.

4.5. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

 Art und Schwere des Verstoßes : Die gegenständliche Verarbeitung durch den Beschuldigten stellt einen gravierenden Eingriff in datenschutzrechtliche Rechte von sieben Betroffenen dar. Die Betroffenen konnten darauf vertrauen, dass ihre personenbezogenen Daten, welche sie dem Beschuldigten als Mitarbeiter eines Privatunternehmens bekanntgegeben haben, von demselben nicht in weiterer Folge als Kontaktdaten für Wahlaufrufe in Evidenz gehalten werden. Personen, die für politischer Ämter kandidieren, sollten sich nicht dadurch einen Vorteil bei Wahlen verschaffen, indem sie personenbezogene Daten heranziehen, die ihnen für einen gänzlich anderen Zweck anvertraut wurden. Im Ergebnis sind die Art und die Intensität des Eingriffs in das Grundrecht als hoch einzustufen.

 Vorsätzlichkeit: Der Verstoß wurde vom Beschuldigten vorsätzlich begangen (siehe Punkt 3.3.1.).

4.6. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt:

 Vorstrafen: Gegen den Beschuldigten lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder das DSG vor.

 Mitwirkung im Verwaltungsstrafverfahren: Der Beschuldigte hat auf die Aufforderungen der Datenschutzbehörde im Verwaltungsstrafverfahren fristgerecht reagiert. Der Beschuldigte räumte gegenüber der Datenschutzbehörde den Versand der Nachrichten ein, zeigte sich kooperativ in der Zusammenarbeit mit der Behörde und war geständig. Dies trug einen maßgeblichen Teil zur Aufklärung des Sachverhaltes bei. Weiters hat der Beschuldigte durch sein Geständnis den Unrechtsgehalt seiner Tat eingesehen.

4.7. Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.5.1990, 89/02/0093, VwGH 22.4.1997, 96/04/0253, VwGH 29.1.1991, 89/04/0061). Die Aufsichtsbehörden müssen zudem nach Art. 83 Abs. 1 DSGVO sicherstellen, dass die Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sind.

4.8. Die Verhängung ist jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche (etwa andere Personen, die politische Ämter anstreben oder innehaben) in Bezug auf derartige unrechtmäßige Datenverarbeitungen zu sensibilisieren.

4.9. Es liegen keine spezialpräventiven Gründe vor. Der Datenschutzbehörde wurde der Eindruck vermittelt, dass der Beschuldigte zukünftig keine derartigen Verstöße mehr begehen wird.

4.10. Die konkret verhängte Geldstrafe in Höhe von EUR 1.000,00 erscheint daher im Lichte des verwirklichten Tatunwertes, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) in Verbindung mit den Einkommens- und Vermögensverhältnissen des Beschuldigten tat- und schuldangemessen.