Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Löffler, LL.M., über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 26. November 2020, Zl. W258 2227269 1/14E, betreffend Übertretung der Datenschutzgrundverordnung (mitbeteiligte Partei: X Aktiengesellschaft in W, vertreten durch die Schönherr Rechtsanwälte GmbH in 1010 Wien, Schottenring 19; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit des Inhaltes aufgehoben.
I.
1 1. Die mitbeteiligte Partei, eine in der Rechtsform einer Aktiengesellschaft eingerichtete juristische Person, verfügt über eine Gewerbeberechtigung als „Adressenverlag und Direktwerbeunternehmen“ und betreibt eine Datenanwendung „DAM-Zielgruppenadressen“, um werbetreibenden Kunden personenbezogene Daten für zielgerichtete Marketingmaßnahmen entgeltlich zur Verfügung zu stellen.
2 Nach Medienberichten über den angeblichen Verkauf personenbezogener Daten, insbesondere von Informationen über die „politische Affinität“ einzelner Personen, leitete die Datenschutzbehörde (Amtsrevisionswerberin) am 8. Jänner 2019 von Amts wegen ein Prüfverfahren gegen die mitbeteiligte Partei ein, das mit Bescheid vom 11. Februar 2019 abgeschlossen wurde (siehe dazu die in der Folge ergangenen Erkenntnisse VwGH 14.12.2021, Ro 2020/04/0032, und VwGH 14.12.2021, Ro 2021/04/0007).
3 Auf Grund der Ermittlungsergebnisse des amtswegigen datenschutzrechtlichen Prüfverfahrens leitete die Amtsrevisionswerberin zudem ein Verwaltungsstrafverfahren gegen die mitbeteiligte Partei ein.
4 2. Mit Straferkenntnis vom 23. Oktober 2019 sprach die Amtsrevisionswerberin aus, dass der mitbeteiligten Partei als Verantwortliche im Sinn des Art. 4 Z 7 DSGVO die unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten im Sinn von Art. 9 DSGVO („Parteiaffinitäten“), die unrechtmäßige Weiterverarbeitung personenbezogener Daten, die Fehlerhaftigkeit der Datenschutz-Folgenabschätzung zur Anwendung „DAM Zielgruppenadressen“ sowie die Fehlerhaftigkeit und Mangelhaftigkeit des Verzeichnisses zur Verarbeitungstätigkeit „DAM Zielgruppenadressen“ zur Last gelegt werde.
5 Das pflichtwidrige Verhalten werde der mitbeteiligten Partei als juristischer Person zugerechnet, weil die für die Zuwiderhandlungen verantwortlichen natürlichen Personen zu der wirtschaftlichen Einheit gehörten, die durch die Verantwortliche als juristische Person gebildet werde.
6 Über die mitbeteiligte Partei wurde gemäß Art. 83 Abs. 5 lit. a DSGVO eine Geldbuße in der Höhe von EUR 18.000.000,-- verhängt.
7 3.1. Der dagegen erhobenen Beschwerde der mitbeteiligten Partei gab das Bundesverwaltungsgericht (BVwG) mit dem angefochtenen Erkenntnis vom 26. November 2020 Folge, hob das angefochtene Straferkenntnis auf und stellte das Verfahren gemäß § 45 Abs. 1 Z 3 VStG ein (Spruchpunkt A.I.). Darüber hinaus sprach das BVwG aus, dass die mitbeteiligte Partei keine Kosten zu tragen habe (Spruchpunkt A.II.) und die Revision gemäß Art. 133 Abs. 4 B VG nicht zulässig sei (Spruchpunkt B.).
8 3.2. In der Begründung führte das BVwG aus, dass gemäß § 30 Abs. 1 DSG Geldbußen gegen juristische Personen verhängt werden könnten, wenn Verstöße gegen Bestimmungen der DSGVO durch Personen vorlägen, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt hätten und eine Führungsposition innerhalb der juristischen Person innehätten, nämlich auf Grund der Befugnis zur Vertretung der juristischen Person, der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder einer Kontrollbefugnis innerhalb der juristischen Person.
9 Juristische Personen könnten wegen Verstößen gegen die Bestimmungen der DSGVO gemäß § 30 Abs. 2 DSG auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in § 30 Abs. 1 DSG genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht habe, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bilde.
10 Schließlich verwies das BVwG darauf, dass nach näher bezeichneter Rechtsprechung des Verwaltungsgerichtshofes für die Verhängung einer Geldbuße nach der DSGVO über eine juristische Person im Straferkenntnis die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderlichen Feststellungen zu treffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufzunehmen seien (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.
11 Im konkreten Fall habe die belangte Behörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der mitbeteiligten Partei zugerechnet werden solle, nicht benannt. Das Straferkenntnis erweise sich daher als rechtswidrig.
12 Eine Heilung dieses Mangels sei dem Verwaltungsgericht verwehrt. Es dürfe die vorgeworfene Tat nicht austauschen. Da die fehlende Konkretisierung des Tatvorwurfs ein prozessuales Hindernis einer Überprüfung durch das BVwG darstelle, sei das gegenständliche Strafverfahren einzustellen gewesen.
13 4. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Amtsrevision der belangten Behörde.
14 Mit Beschluss vom 24. Februar 2022, Ra 2020/04/0187 11, hat der Verwaltungsgerichtshof das gegenständliche Revisionsverfahren bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 ausgesetzt, weil der Beantwortung der vom Kammergericht Berlin (Deutschland) vorgelegten Fragen auch für die Behandlung der vorliegenden Revision Bedeutung zugekommen ist.
15 Mit Urteil vom 5. Dezember 2023, C-807/21, Deutsches Wohnen SE, hat der EuGH über das Vorabentscheidungsersuchen des Kammergerichts Berlin entschieden.
16 In der Folge wurde vom Verwaltungsgerichtshof das Vorverfahren eingeleitet.
17 Die mitbeteiligte Partei erstattete eine Revisionsbeantwortung, in der sie der Revision inhaltlich entgegentritt und sich zum Urteil des EuGH äußert.
II.
Der Verwaltungsgerichtshof hat erwogen:
18 1.1. Die Revision bringt zur Begründung ihrer Zulässigkeit vor, es stelle sich die Frage, ob die (näher bezeichnete) Rechtsprechung des Verwaltungsgerichtshofes zu Art. 83 DSGVO angesichts der zwischenzeitig ergangenen Rechtsprechung in anderen Mitgliedstaaten aufrechterhalten werden könne bzw. ob das BVwG mit dem angefochtenen Erkenntnis dieser Rechtsprechung des Verwaltungsgerichtshofes nicht einen „zu restriktiven Inhalt unterstellt“ habe.
19 1.2. Die Revision erweist sich in Hinblick auf dieses Vorbringen als zulässig und aus nachstehenden Erwägungen auch als berechtigt.
20 2. Die Amtsrevision bringt gegen die Aufhebung des angefochtenen Straferkenntnisses und die Einstellung des Verwaltungsstrafverfahrens unter anderem vor, das BVwG habe die ersatzlose Behebung einzig damit begründet, dass im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der mitbeteiligten Partei zugerechnet werden solle, nicht benannt worden sei, und sich daher das Straferkenntnis vor dem Hintergrund des § 30 DSG, § 44a VStG und Art. 83 DSGVO als rechtswidrig erweise.
21 3.1. Tatsächlich hat das BVwG wie oben in Rn. 11 dargestellt das angefochtene Straferkenntnis als rechtswidrig erachtet, weil die belangte Behörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der mitbeteiligten Partei zugerechnet werden solle, nicht benannt habe.
22 Das BVwG stützte sich dabei auf das Erkenntnis VwGH 12.5.2020, Ro 2019/04/0229. Darin hat der Verwaltungsgerichtshof mit näherer Begründung ausgesprochen, dass sich seine zu § 99d Abs. 1 und 2 BWG (der die Strafbarkeit juristischer Personen für ihnen zurechenbares Verhalten von natürlichen Personen weitgehend ident mit § 30 Abs. 1 und 2 DSG regelt) ergangene Rechtsprechung betreffend die Bestimmtheit der Verfolgungshandlung im Sinn der §§ 31 und 32 VStG bzw. der Bestrafung im Sinn des § 44a VStG auch für die Frage, inwiefern für die Bestrafung einer juristischen Person wegen Verstößen gegen die DSGVO bzw. das DSG gemäß § 30 DSG die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens erforderlichen Feststellungen zu treffen sind und im Spruch gemäß § 44a VStG tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer namentlich genannten natürlichen Person aufzunehmen ist, als einschlägig erweist.
23 3.2. Im zwischenzeitlich ergangenen Urteil vom 5. Dezember 2023, C 807/21, Deutsches Wohnen SE, (siehe oben Rn. 15) hat der EuGH jedoch ausgesprochen, dass Art. 58 Abs. 2 lit. i und Art. 83 DSGVO einer nationalen Regelung entgegenstehen, wonach eine Geldbuße wegen eines in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person in ihrer Eigenschaft als Verantwortliche nur dann verhängt werden kann, wenn dieser Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde.
24 Es liefe so der EuGH dem Zweck der DSGVO zuwider, den Mitgliedstaaten zu gestatten, einseitig und als erforderliche Voraussetzung für die Verhängung einer Geldbuße gemäß Art. 83 DSGVO gegen einen Verantwortlichen, der eine juristische Person ist, zu verlangen, dass der betreffende Verstoß zuvor einer identifizierten Person zugerechnet wurde oder ihr zuzurechnen ist. Außerdem könnte eine solche zusätzliche Anforderung letztlich unter Verstoß gegen Art. 83 Abs. 1 DSGVO die Wirksamkeit und die abschreckende Wirkung von Geldbußen schwächen, die gegen juristische Personen als Verantwortliche verhängt werden (Rn. 51 des Urteils).
25 Der EuGH weist in diesem Zusammenhang auch darauf hin, dass nach Art. 288 Abs. 2 AEUV eine Unionsverordnung in allen ihren Teilen verbindlich ist und unmittelbar in jedem Mitgliedstaat gilt, so dass es, sofern nichts anderes bestimmt ist, ausgeschlossen ist, dass die Mitgliedstaaten innerstaatliche Vorschriften erlassen, die die Tragweite einer solchen Verordnung beeinträchtigen. Außerdem dürfen die Mitgliedstaaten auf Grund der ihnen aus dem AEUV obliegenden Verpflichtungen die unmittelbare Geltung, die den Verordnungen innewohnt, nicht vereiteln. Insbesondere dürfen sie keine Handlung vornehmen, durch die die unionsrechtliche Natur einer Rechtsvorschrift und die sich daraus ergebenden Wirkungen den Einzelnen verborgen würden (Rn. 52 des Urteils).
26 3.3. Jedes im Rahmen seiner Zuständigkeit angerufene nationale Gericht als Organ des Mitgliedstaates ist demnach verpflichtet, in Anwendung des in Art. 4 Abs. 3 EUV niedergelegten Grundsatzes der Zusammenarbeit das unmittelbar geltende Unionsrecht uneingeschränkt anzuwenden. Die Geltung des Unionsrechts kann durch einen Mitgliedstaat nicht durch Vorschriften des nationalen Rechts, auch wenn diese Verfassungsrang haben, beeinträchtigt werden. Ist es nicht möglich, die volle Wirksamkeit des Unionsrechtes im Wege einer unionsrechtskonformen Auslegung des nationalen Rechts sicherzustellen, so hat ein nationales Gericht für die volle Wirksamkeit dieser unionsrechtlichen Normen im Wege des Anwendungsvorrangs Sorge zu tragen, indem es jede möglicherweise entgegenstehende Bestimmung des nationalen Rechts aus eigener Entscheidungsbefugnis unangewendet lässt.
Die Verwaltungsgerichte und die Verwaltungsbehörden sind daher verpflichtet, im Anwendungsbereich des Unionsrechts die einschlägigen Rechtsvorschriften der Union zu identifizieren und deren Sinn auch anhand der Rechtsprechung der Gerichte der Europäischen Union, insbesondere des EuGH, der letztlich zur Auslegung der Rechtsvorschriften der Europäischen Union zuständig ist (vgl. Art. 267 AEUV), zu erfassen. Auf dieser Grundlage ist der Inhalt der österreichischen Rechtsvorschriften zu klären, die damit im Zusammenhang stehen. Dies betrifft insbesondere solche österreichischen Rechtsvorschriften, die unionsrechtliche Vorgaben umsetzen. Maßgebend für das Zusammenwirken zwischen unionsrechtlichen und österreichischen Rechtsvorschriften sind insbesondere die unionsrechtlichen Grundsätze des Anwendungsvorrangs des Unionsrechts samt der unionsrechtskonformen Auslegung des nationalen Rechtes (vgl. zu all dem etwa VwGH 10.10.2018, Ra 2017/03/0108, mwN).
27 Soweit die mitbeteiligte Partei in ihrer Revisionsbeantwortung dazu vorbringt, eine innerstaatliche Regelung könne erst durch ein Urteil des EuGH mit dem Unionsrecht in einen offenkundigen Widerspruch geraten und nur dann komme der Anwendungsvorrang des Unionsrechts zum Tragen, ist auf die von der mitbeteiligten Partei selbst ins Treffen geführte Rechtsprechung des Verfassungsgerichtshofes zu verweisen, wonach dieser die festgestellte Rechtswidrigkeit der Gesetzesanwendung im Sinn der effektiven Durchsetzung des Gemeinschaftsrechts (nunmehr Unionsrecht) in jedem Stadium des Verfahrens zu beachten hat, und zwar auch dann, wenn die Nichtanwendbarkeit des innerstaatlichen Rechts erst im Zuge des Verfahrens vor dem Verfassungsgerichtshof offenkundig wurde (vgl. VfSlg. 15.448/1999). Nichts anderes gilt für das Revisionsverfahren vor dem Verwaltungsgerichtshof.
28 3.4. Umgelegt auf den vorliegenden Fall bedeutet dies, dass die vom BVwG im Einklang mit dem bereits erwähnten Erkenntnis VwGH Ro 2019/04/0229 aus dem nationalen Recht (dem VStG) abgeleitete Vorgabe, wonach für eine Verhängung einer Geldbuße nach der DSGVO über eine juristische Person im Spruch des Straferkenntnisses alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufzunehmen seien, unangewendet hätte bleiben müssen und das BVwG das angefochtene Straferkenntnis nicht schon mit der Begründung hätte aufheben dürfen, dass die belangte Behörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO der mitbeteiligten Partei zugerechnet werden sollte, nicht benannt habe.
Daran vermag auch der vom EuGH im erwähnten Urteil C 807/21 ebenfalls getroffene Ausspruch (auf den auch die mitbeteiligte Partei in ihrer Revisionsbeantwortung verweist) nichts zu ändern, dass nur Verstöße gegen die Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, das heißt vorsätzlich oder fahrlässig, begeht, zur Verhängung einer Geldbuße führen können.
29 Indem das BVwG dies verkannte, hat es das angefochtene Erkenntnis mit Rechtswidrigkeit seines Inhaltes belastet.
30 4. Das angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit seines Inhaltes aufzuheben.
31 Diese Entscheidung konnte in einem gemäß § 11 Abs. 1 VwGG gebildeten Senat getroffen werden, weil in jenem Fall, in dem der Verwaltungsgerichtshof durch Änderung seiner Rechtsprechung der Rechtsansicht des EuGH Rechnung trägt, es keiner Befassung eines Senates nach § 13 Abs. 1 Z 1 VwGG bedarf (vgl. zuletzt etwa VwGH 25.7.2023, Ra 2021/20/0246, mwN).
Wien, am 1. Februar 2024
RIS