VwGH-Entscheidung vom 24.6.2026, Ro 2025/04/0007
Sachverhalt:
Die Revisionswerberin, ein Unternehmen mit Gewerbeberechtigung als Adressverlag und Direktwerbeunternehmen, betrieb die Datenanwendung „DAM-Zielgruppenadressen“, über die personenbezogene Daten für zielgerichtete Marketingmaßnahmen entgeltlich zur Verfügung gestellt wurden. Neben Stammdaten wurden dabei insbesondere sogenannte Parteiaffinitäten verarbeitet. Für rund 2,2 Mio Personen wurde anhand soziodemografischer Merkmale, des Wohnorts, von Umfrageergebnissen und regionalen Wahlergebnissen statistisch errechnet, mit welcher Wahrscheinlichkeit Interesse an Wahlwerbung bestimmter politischer Parteien bestand. Den betroffenen Personen wurden entsprechende Wahrscheinlichkeitswerte zugeordnet, gespeichert und teilweise an Dritte verkauft. Eine ausdrückliche Einwilligung der Betroffenen lag nicht vor.
Darüber hinaus wurden Daten aus der Paketzustellung herangezogen, um aus der Anzahl empfangener Pakete eine Paketfrequenz zu berechnen und daraus ein Hochrechnungsmodell für Marketingzwecke zu entwickeln. Auch hierfür lag keine Einwilligung der betroffenen Personen vor.
Die DSB verhängte mit Straferkenntnis aus dem Jahr 2019 wegen mehrerer Verstöße gegen die DSGVO eine Geldbuße von EUR 18 Mio. Das BVwG gab der dagegen erhobenen Beschwerde teilweise Folge, bestätigte jedoch den Schuldspruch hinsichtlich wesentlicher Vorwürfe und reduzierte die Geldbuße auf EUR 16 Mio. Es ging insbesondere davon aus, dass die Verarbeitung der Parteiaffinitäten gegen Art 5 Abs 1 lit a iVm Art 9 Abs 1 DSGVO verstoßen habe. Zudem nahm es Verstöße im Zusammenhang mit der DSFA nach Art 35 DSGVO sowie dem Verzeichnis von Verarbeitungstätigkeiten nach Art 30 DSGVO an.
Entscheidung:
Der VwGH bestätigte den Schuldspruch wegen der Verarbeitung der Parteiaffinitäten. Die einer konkreten Person zugeordneten statistischen Wahrscheinlichkeitswerte sind personenbezogene Daten und, soweit daraus politische Meinungen hervorgehen, besondere Kategorien personenbezogener Daten iSd Art 9 Abs 1 DSGVO. Da weder eine ausdrückliche Einwilligung noch ein anderer Ausnahmetatbestand des Art 9 Abs 2 DSGVO vorlag, war die Verarbeitung rechtswidrig. Auch § 151 GewO bot dafür keine ausreichende Rechtsgrundlage.
Ausführlich befasste sich der VwGH mit dem Verschuldensmaßstab bei Geldbußen nach Art 83 DSGVO. Unter Bezugnahme auf die Rsp des EuGH in der Rs Deutsche Wohnen (siehe HIER im BLOG) stellte er klar, dass für die Verhängung einer Geldbuße gegen eine juristische Person keine vorherige Zurechnung des Verstoßes zu einer bestimmten natürlichen Person und auch keine Handlung oder Kenntnis eines Leitungsorgans erforderlich ist. Entscheidend ist, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Ein Bewusstsein darüber, tatsächlich gegen die DSGVO zu verstoßen, ist nicht erforderlich.
Das von der Revisionswerberin eingerichtete Datenschutz Compliance System führte daher nicht zum Entfall des Verschuldens. Der VwGH bestätigte die Annahme eines grob fahrlässigen Verhaltens. Angesichts der bereits bestehenden datenschutzrechtlichen Rsp und der erheblichen Ressourcen des Unternehmens hätte die Frage, ob konkret Personen zugeordnete statistische Parteiaffinitäten personenbezogene Daten darstellen, sorgfältiger geprüft werden müssen. Die gegenteilige rechtliche Einschätzung vermochte die Revisionswerberin nicht zu entlasten.
Erfolgreich war die Revision hingegen hinsichtlich der zusätzlich angenommenen Verstöße gegen Art 35 DSGVO und Art 30 DSGVO. Zwar stellen die DSFA und das Verzeichnis von Verarbeitungstätigkeiten eigenständige Pflichten des Verantwortlichen dar. Im konkreten Fall beruhten die beanstandete DSFA und das fehlerhafte bzw unvollständige Verarbeitungsverzeichnis jedoch auf derselben unrichtigen rechtlichen Einschätzung, wonach die Parteiaffinitäten keine personenbezogenen und damit auch keine besonderen Kategorien personenbezogener Daten seien. Der VwGH sah darin keinen eigenständigen zusätzlichen Unrechtsgehalt. Dieser war bereits durch den Schuldspruch wegen der rechtswidrigen Verarbeitung nach Art 5 Abs 1 lit a iVm Art 9 Abs 1 DSGVO erfasst. Die entsprechenden Verwaltungsstrafverfahren waren daher gemäß § 45 Abs 1 Z 2 VStG einzustellen.
Da damit mehrere vom BVwG bei der Strafbemessung berücksichtigte Verstöße wegfielen, setzte der VwGH die Geldbuße selbst neu fest. Nach Art 83 Abs 3 DSGVO ist bei mehreren miteinander verbundenen Verstößen eine Gesamtgeldbuße zu verhängen, deren Gesamtbetrag den Höchstbetrag für den schwerwiegendsten Verstoß nicht überschreiten darf. Unter Berücksichtigung des Wegfalls der Verstöße gegen Art 30 und Art 35 DSGVO, der von der Revisionswerberin ergriffenen Abhilfemaßnahmen sowie der langen Verfahrensdauer reduzierte der VwGH die Geldbuße von EUR 16 Mio auf EUR 13 Mio. Der Kostenbeitrag für das Verwaltungsstrafverfahren wurde mit EUR 100.000 festgesetzt.
Weitere Blog-Beiträge: