Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Schara, über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40 42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 26. November 2020, Zl. W258 2227269 1/14E, betreffend Übertretung der Datenschutzgrundverordnung (mitbeteiligte Partei: Ö AG in W, vertreten durch die Schönherr Rechtsanwälte GmbH in 1010 Wien, Schottenring 19), den Beschluss gefasst:
Das Revisionsverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C 807/21 über das Ersuchen des Kammergerichts Berlin ausgesetzt.
1 1. Die mitbeteiligte Partei verfügt über eine Gewerbeberechtigung als „Adressenverlag und Direktwerbeunternehmen“ und betreibt eine Datenanwendung „DAM Zielgruppenadressen“, um werbetreibenden Kunden personenbezogene Daten für zielgerichtete Marketingmaßnahmen entgeltlich zur Verfügung zu stellen.
2 Nach Medienberichten über den angeblichen Verkauf personenbezogener Daten, insbesondere von Informationen über die „politische Affinität“ einzelner Personen, leitete die (revisionswerbende) Datenschutzbehörde am 8. Jänner 2019 von Amts wegen ein Prüfverfahren gegen die mitbeteiligte Partei ein, das mit Bescheid vom 11. Februar 2019 abgeschlossen wurde (siehe dazu das zwischenzeitlich ergangene Erkenntnis VwGH 14.12.2021, Ro 2021/04/0007).
3 2.1. Auf Grund der Ermittlungsergebnisse des amtswegigen datenschutzrechtlichen Prüfverfahrens wurde zudem ein Verwaltungsstrafverfahren gegen die mitbeteiligte Partei eingeleitet. Nach Durchführung eines Beweisverfahrens und einer mündlichen Verhandlung sprach die Datenschutzbehörde mit Straferkenntnis vom 23. Oktober 2019 aus, dass der mitbeteiligten Partei als Verantwortliche im Sinn des Art. 4 Z 7 DSGVO die unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten im Sinn von Art. 9 DSGVO („Parteiaffinitäten“), die unrechtmäßige Weiterverarbeitung personenbezogener Daten, die Fehlerhaftigkeit der Datenschutz Folgenabschätzung zur Anwendung „DAM Zielgruppenadressen“ sowie die Fehlerhaftigkeit und Mangelhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit „DAM Zielgruppenadressen“ zur Last gelegt werde.
Das pflichtwidrige Verhalten werde der mitbeteiligten Partei als juristische Person zugerechnet, weil die für die Zuwiderhandlungen verantwortlichen natürlichen Personen zu der wirtschaftlichen Einheit gehörten, die durch die Verantwortliche als juristische Person gebildet werde.
4 Über die mitbeteiligte Partei wurde gemäß Art. 83 Abs. 5 lit. a DSGVO eine Geldbuße in der Höhe von EUR 18.000.000, verhängt.
5 2.2. Gegen dieses Straferkenntnis erhob die mitbeteiligte Partei Beschwerde an das Bundesverwaltungsgericht. Darin brachte sie unter anderem vor, dass es für die Verhängung einer Geldbuße nach der DSGVO gegen eine juristische Person nicht ausreichend sei, einen Straftatbestand zu erfüllen. Es müsse ihr als juristische Person, die nicht selbst handeln könne, auch das Handeln einer natürlichen Person zugerechnet werden. Diese Zurechnung habe die Datenschutzbehörde unterlassen.
6 2.3. Mit dem angefochtenen Erkenntnis vom 26. November 2020 gab das Bundesverwaltungsgericht der Beschwerde Folge, behob das Straferkenntnis der Datenschutzbehörde und stellte das Verfahren gemäß § 45 Abs. 1 Z 3 VStG ein (Spruchpunkt A.I). Zudem sprach es aus, dass die mitbeteiligte Partei keine Kosten zu tragen habe (Spruchpunkt A.II) und die Revision gemäß Art. 133 Abs. 4 B VG nicht zulässig sei (Spruchpunkt B.).
7 In der Begründung führte das Bundesverwaltungsgericht unter Verweis auf das Erkenntnis VwGH 12.5.2020, Ro 2019/04/0229, aus, dass für eine Verhängung einer Geldbuße nach der DSGVO über eine juristische Person im Straferkenntnis die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderlichen Feststellungen zu treffen seien. Ebenso müssten im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden, mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.
8 Die Datenschutzbehörde habe im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der mitbeteiligten Person zugerechnet werden solle, nicht benannt. Das Straferkenntnis erweise sich daher als rechtswidrig. Eine Heilung dieses Mangels sei dem Verwaltungsgericht verwehrt.
9 Da die fehlende Konkretisierung des Tatvorwurfs ein prozessuales Hindernis einer Überprüfung durch das Bundesverwaltungsgericht darstelle, sei das gegenständliche Strafverfahren einzustellen gewesen.
10 3.1. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Amtsrevision der Datenschutzbehörde. Darin wird unter anderem vorgebracht, das Bundesverwaltungsgericht habe dem Erkenntnis VwGH 12.5.2020, Ro 2019/04/0229, einen „zu restriktiven Inhalt unterstellt“. Auch sei fraglich, ob diese Rechtsprechung des Verwaltungsgerichtshofes zu Art. 83 DSGVO angesichts der zwischenzeitig ergangenen Entscheidungen von (Höchst )Gerichten anderer Mitgliedstaaten aufrechterhalten werden könne. Es werde daher angeregt, „im Falle von Zweifeln bei der Auslegung von Art. 83 DSGVO den EuGH nach Art. 267 AEUV zu befassen“.
11 3.2. Mit ergänzender Eingabe vom 3. Jänner 2022 verwies die Datenschutzbehörde auf den Beschluss des Kammergerichts Berlin vom 6. Dezember 2021, GZ Ws 250/21, mit dem zwei Fragen zur Auslegung des Art. 83 DSGVO dem Gerichtshof der Europäischen Union (EuGH) zur Vorabentscheidung gemäß Art. 267 AEUV vorgelegt worden seien. Im Verfahren vor dem Kammergericht Berlin gehe es wie im gegenständlichen Amtsrevisionsverfahren um die Frage, ob die Aufsichtsbehörde in einem Verfahren gemäß Art. 83 DSGVO jene natürlichen Personen festzuhalten und namentlich anzuführen habe, die den Verstoß zu verantworten hätten, um eine Zurechnung zur juristischen Person zu ermöglichen, oder ob dies nicht erforderlich sei. Es werde daher beantragt, den EuGH gemäß Art. 267 AEUV mit der Frage der unmittelbaren Strafbarkeit einer juristischen Person gemäß Art. 83 DSGVO und mit der Frage der Vereinbarkeit von § 30 DSG mit Art. 83 DSGVO zu befassen, in eventu, das gegenständliche Amtsrevisionsverfahren bis zur Entscheidung des EuGH in dem vom Kammergericht Berlin eingeleiteten Vorabentscheidungsverfahren auszusetzen.
12 4. Mit dem erwähnten Beschluss vom 6. Dezember 2021 richtete das Kammergericht Berlin folgende Fragen an den EuGH zur Vorabentscheidung:
„ 1 . Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass es den Art. 101 und 102 AEUV zugeordneten funktionalen Unternehmensbegriff und das Funktionsträgerprinzip in das innerstaatliche Recht mit der Folge inkorporiert, dass unter Erweiterung des § 30 OWiG zugrunde liegenden Rechtsträgerprinzips ein Bußgeldverfahren unmittelbar gegen ein Unternehmen geführt werden kann und die Bebußung nicht der Feststellung einer durch eine natürliche und identifizierte Person, gegebenenfalls volldeliktisch, begangenen Ordnungswidrigkeit bedarf?
2. Wenn die Frage zu 1. bejaht werden sollte: Ist Art. 83 Abs. 4 bis 6 DSGVO dahin auszulegen, dass das Unternehmen den durch einen Mitarbeiter vermittelten Verstoß schuldhaft begangen haben muss (vgl. Art. 23 der Verordnung [EG] Nr. 1/2003 des Rates vom 16. Dezember 2002 zur Durchführung der in den Art. 81 und 82 des Vertrags niedergelegten Wettbewerbsregeln), oder reicht für eine Bebußung des Unternehmens im Grundsatz bereits ein ihm zuzuordnender objektiver Pflichtenverstoß aus (‚strict liability‘)?“
13 5. Die mitbeteiligte Partei hält in ihrer Stellungnahme vom 3. Februar 2022 dem ergänzenden Vorbringen der Datenschutzbehörde zusammengefasst entgegen, dass die Vorlagefragen des Kammergerichts Berlin im gegenständlichen Revisionsverfahren nicht einschlägig seien und daher von einer Aussetzung abzusehen sei. Die Datenschutzbehörde vermeine, dass sich der in der Vorlagefrage erwähnte § 30 des deutschen Ordnungswidrigkeitsgesetzes (OWiG) im Wesentlichen mit § 30 Abs. 1 bis 3 DSG decke und daher die Vorlagefrage im revisionsgegenständlichen Verfahren einschlägig sei. § 30 OWiG knüpfe an eine Handlung einer Führungsperson an. Insofern ziele die Vorlagefrage des Kammergerichts Berlin darauf ab, ob über § 30 OWiG hinausgehend die Handlung jeder Person, die berechtigt sei, für das Unternehmen tätig zu werden, ebenso strafbegründend wirke. Dies sei aber durch § 30 Abs. 2 DSG bereits verwirklicht, weil diese auf die Handlung irgendeiner Person abstelle. § 30 Abs. 2 DSG effektuiere einen Ermittlungsmaßstab, der unter jenem des § 30 OWiG liege und auf dessen Zulässigkeit die Vorlagefrage des Kammergerichts Berlin abziele. Diese sei auch in Betrachtung des unionsrechtlichen Effizienzprinzips für § 30 Abs. 2 DSG nicht einschlägig.
14 Auch im Rechtsvergleich zeige sich, dass die deutschen Vorlagefragen für das gegenständliche Revisionsverfahren nicht einschlägig seien. Das in § 30 DSG verankerte Zurechnungsmodell stelle keine Ausnahme dar, sondern sei gefestigter Teil des Unionsrechts und stehe diesem nicht entgegen. Es könne in mindestens 20 derzeit geltenden EU Rechtsvorschriften nachgewiesen werden. Die Regelung in § 30 DSG orientiere sich nicht am deutschen, sondern am europäischen Zurechnungsmodell.
15 6. Nach der Rechtsprechung des EuGH (zu Art. 267 AEUV) darf ein einzelstaatliches Gericht, dessen Entscheidungen nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können, eine Frage nach der Auslegung des Unionsrechts in eigener Verantwortung lösen, wenn die richtige Auslegung des Unionsrechts derart offenkundig ist, dass keinerlei Raum für einen vernünftigen Zweifel bleibt (vgl. EuGH 6.10.1982, Srl C.I.L.F.I.T. ua., C 283/81, EU:C:1982:335, und EuGH 6.10.2021, Consorzio Italian Management , C 561/19, EU:C:2021:799, Rn. 39 ff).
16 Gemessen daran kann den Ausführungen der mitbeteiligten Partei, wonach die vom Kammergericht Berlin an den EuGH herangetragenen Vorlagenfragen für das gegenständliche Revisionsverfahren „nicht einschlägig“ seien, nicht gefolgt werden. Die von der mitbeteiligten Partei ins Treffen geführten Unterschiede zwischen dem deutschen § 30 OWiG und dem österreichischen § 30 DSG vermögen nichts daran zu ändern, dass es in beiden Verfahren (im deutschen Vorabentscheidungsverfahren vor dem EuGH und im gegenständlichen Revisionsverfahren) um die Auslegung der unionsrechtlichen Vorschrift des Art. 83 DSGVO geht.
17 Es ist daher davon auszugehen, dass der Beantwortung der vom Kammergericht Berlin an den EuGH herangetragenen Fragen auch für die Behandlung der gegenständlichen Amtsrevision Bedeutung zukommt, weshalb die Voraussetzungen des gemäß § 62 Abs. 1 VwGG auch vom Verwaltungsgerichtshof anzuwendenden § 38 AVG vorliegen (vgl. etwa VwGH 13.6.2016, Ro 2014/03/0049, mwN).
Das gegenständliche Revisionsverfahren war somit in einem gemäß § 12 Abs. 2 VwGG gebildeten Senat bis zur Entscheidung des EuGH über das genannte Vorabentscheidungsersuchen im Verfahren zur Rechtssache C 807/21 auszusetzen.
Wien, am 24. Februar 2022
Rückverweise
RIS