VwGH-Entscheidung vom 24.6.2026, Ro 2025\/04\/0007<\/p>\n
<\/p>\n
Sachverhalt:<\/strong><\/p>\n Die Revisionswerberin, ein Unternehmen mit Gewerbeberechtigung als Adressverlag und Direktwerbeunternehmen, betrieb die Datenanwendung \u201eDAM-Zielgruppenadressen\u201c, \u00fcber die personenbezogene Daten f\u00fcr zielgerichtete Marketingma\u00dfnahmen entgeltlich zur Verf\u00fcgung gestellt wurden. Neben Stammdaten wurden dabei insbesondere sogenannte Parteiaffinit\u00e4ten verarbeitet. F\u00fcr rund 2,2 Mio Personen wurde anhand soziodemografischer Merkmale, des Wohnorts, von Umfrageergebnissen und regionalen Wahlergebnissen statistisch errechnet, mit welcher Wahrscheinlichkeit Interesse an Wahlwerbung bestimmter politischer Parteien bestand. Den betroffenen Personen wurden entsprechende Wahrscheinlichkeitswerte zugeordnet, gespeichert und teilweise an Dritte verkauft. Eine ausdr\u00fcckliche Einwilligung der Betroffenen lag nicht vor.<\/p>\n Dar\u00fcber hinaus wurden Daten aus der Paketzustellung herangezogen, um aus der Anzahl empfangener Pakete eine Paketfrequenz zu berechnen und daraus ein Hochrechnungsmodell f\u00fcr Marketingzwecke zu entwickeln. Auch hierf\u00fcr lag keine Einwilligung der betroffenen Personen vor.<\/p>\n Die DSB verh\u00e4ngte mit Straferkenntnis aus dem Jahr 2019 wegen mehrerer Verst\u00f6\u00dfe gegen die DSGVO eine Geldbu\u00dfe von EUR 18 Mio. Das BVwG gab der dagegen erhobenen Beschwerde teilweise Folge, best\u00e4tigte jedoch den Schuldspruch hinsichtlich wesentlicher Vorw\u00fcrfe und reduzierte die Geldbu\u00dfe auf EUR 16 Mio. Es ging insbesondere davon aus, dass die Verarbeitung der Parteiaffinit\u00e4ten gegen Art 5 Abs 1 lit a iVm Art 9 Abs 1 DSGVO versto\u00dfen habe. Zudem nahm es Verst\u00f6\u00dfe im Zusammenhang mit der DSFA nach Art 35 DSGVO sowie dem Verzeichnis von Verarbeitungst\u00e4tigkeiten nach Art 30 DSGVO an.<\/p>\n <\/p>\n Entscheidung:<\/strong><\/p>\n Der VwGH best\u00e4tigte den Schuldspruch wegen der Verarbeitung der Parteiaffinit\u00e4ten. Die einer konkreten Person zugeordneten statistischen Wahrscheinlichkeitswerte sind personenbezogene Daten<\/strong> und, soweit daraus politische Meinungen hervorgehen, besondere Kategorien personenbezogener Daten iSd Art 9 Abs 1 DSGVO<\/strong>. Da weder eine ausdr\u00fcckliche Einwilligung noch ein anderer Ausnahmetatbestand des Art 9 Abs 2 DSGVO vorlag, war die Verarbeitung rechtswidrig<\/strong>. Auch \u00a7 151 GewO bot daf\u00fcr keine ausreichende Rechtsgrundlage.<\/p>\n Ausf\u00fchrlich befasste sich der VwGH mit dem Verschuldensma\u00dfstab bei Geldbu\u00dfen<\/strong> nach Art 83 DSGVO. Unter Bezugnahme auf die Rsp des EuGH in der Rs Deutsche Wohnen (siehe HIER im BLOG<\/strong><\/a>) stellte er klar, dass f\u00fcr die Verh\u00e4ngung einer Geldbu\u00dfe gegen eine juristische Person keine vorherige Zurechnung des Versto\u00dfes zu einer bestimmten nat\u00fcrlichen Person und auch keine Handlung oder Kenntnis eines Leitungsorgans erforderlich<\/strong> ist. Entscheidend ist, ob sich der Verantwortliche \u00fcber die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Ein Bewusstsein dar\u00fcber, tats\u00e4chlich gegen die DSGVO zu versto\u00dfen, ist nicht erforderlich.<\/p>\n Das von der Revisionswerberin eingerichtete Datenschutz Compliance System f\u00fchrte daher nicht zum Entfall des Verschuldens<\/strong>. Der VwGH best\u00e4tigte die Annahme eines grob fahrl\u00e4ssigen Verhaltens<\/strong>. Angesichts der bereits bestehenden datenschutzrechtlichen Rsp und der erheblichen Ressourcen des Unternehmens h\u00e4tte die Frage, ob konkret Personen zugeordnete statistische Parteiaffinit\u00e4ten personenbezogene Daten darstellen, sorgf\u00e4ltiger gepr\u00fcft werden m\u00fcssen. Die gegenteilige rechtliche Einsch\u00e4tzung vermochte die Revisionswerberin nicht zu entlasten.<\/p>\n Erfolgreich war die Revision hingegen hinsichtlich der zus\u00e4tzlich angenommenen Verst\u00f6\u00dfe gegen Art 35 DSGVO und Art 30 DSGVO. Zwar stellen die DSFA und das Verzeichnis von Verarbeitungst\u00e4tigkeiten eigenst\u00e4ndige Pflichten des Verantwortlichen dar. Im konkreten Fall beruhten die beanstandete DSFA und das fehlerhafte bzw unvollst\u00e4ndige Verarbeitungsverzeichnis jedoch auf derselben unrichtigen rechtlichen Einsch\u00e4tzung, wonach die Parteiaffinit\u00e4ten keine personenbezogenen und damit auch keine besonderen Kategorien personenbezogener Daten seien. Der VwGH sah darin keinen eigenst\u00e4ndigen zus\u00e4tzlichen Unrechtsgehalt. Dieser war bereits durch den Schuldspruch wegen der rechtswidrigen Verarbeitung nach Art 5 Abs 1 lit a iVm Art 9 Abs 1 DSGVO erfasst. Die entsprechenden Verwaltungsstrafverfahren waren daher gem\u00e4\u00df \u00a7 45 Abs 1 Z 2 VStG einzustellen.<\/p>\n Da damit mehrere vom BVwG bei der Strafbemessung ber\u00fccksichtigte Verst\u00f6\u00dfe wegfielen, setzte der VwGH die Geldbu\u00dfe selbst neu fest. Nach Art 83 Abs 3 DSGVO ist bei mehreren miteinander verbundenen Verst\u00f6\u00dfen eine Gesamtgeldbu\u00dfe zu verh\u00e4ngen, deren Gesamtbetrag den H\u00f6chstbetrag f\u00fcr den schwerwiegendsten Versto\u00df nicht \u00fcberschreiten darf. Unter Ber\u00fccksichtigung des Wegfalls der Verst\u00f6\u00dfe gegen Art 30 und Art 35 DSGVO, der von der Revisionswerberin ergriffenen Abhilfema\u00dfnahmen sowie der langen Verfahrensdauer reduzierte der VwGH die Geldbu\u00dfe von EUR 16 Mio auf EUR 13 Mio.<\/strong> Der Kostenbeitrag f\u00fcr das Verwaltungsstrafverfahren wurde mit EUR 100.000 festgesetzt.<\/p>\n <\/p>\n <\/p>\n <\/p>\n Link zur Entscheidung<\/a><\/p>\n <\/p>\n Weitere Blog-Beitr\u00e4ge:<\/strong><\/p>\n Verkauf von Verbraucherdaten f\u00fcr Wahlwerbung: Wie sind Wahrscheinlichkeitsaussagen \u00fcber politische Pr\u00e4ferenzen datenschutzrechtlich einzuordnen?<\/a><\/p>\n