{"id":5060,"date":"2020-06-10T15:15:38","date_gmt":"2020-06-10T14:15:38","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=5060"},"modified":"2020-07-15T12:36:53","modified_gmt":"2020-07-15T11:36:53","slug":"teil-2-bussgelder-aufgrund-von-datenschutzverstoessen-urteil-aus-oesterreich-bestaetigt-die-hohen-anforderungen-um-datenschutzverletzungen-einem-unternehmen-als-juristische-person-zuzurechnen","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2020\/06\/10\/teil-2-bussgelder-aufgrund-von-datenschutzverstoessen-urteil-aus-oesterreich-bestaetigt-die-hohen-anforderungen-um-datenschutzverletzungen-einem-unternehmen-als-juristische-person-zuzurechnen\/","title":{"rendered":"Bu\u00dfgelder aufgrund von Datenschutzverst\u00f6\u00dfen (Teil 2): Urteil aus \u00d6sterreich best\u00e4tigt die hohen Anforderungen um Datenschutzverletzungen einem Unternehmen als juristische Person zuzurechnen"},"content":{"rendered":"

Im\u00a0letzten Beitrag<\/a> habe ich mich mit den geltenden Normen f\u00fcr Bu\u00dfgelder aufgrund von Datenschutzverst\u00f6\u00dfen befasst. Zu diesen mangelt es in Deutschland noch an neueren Gerichtsurteilen. Dieser Beitrag besch\u00e4ftigt sich deshalb mit der Rechtsprechung in \u00d6sterreich, in dem die Rechtslage weitgehend mit der deutschen Rechtslage \u00fcbereinstimmt.<\/p>\n

Rechtsprechung in \u00d6sterreich: Keine Zurechnung von Verst\u00f6\u00dfen \u201edurch das Unternehmen\u201c<\/strong><\/p>\n

In einer durch das \u00f6sterreichische Bundesverwaltungsgericht ergangenen Entscheidung (W211 2208885-1\/19E)<\/a> ging es darum, ob einem Unternehmen ein Datenschutzversto\u00df zugerechnet werden konnte, um auf dieser Grundlage ein Bu\u00dfgeldbescheid zu erlassen.<\/p>\n

Sachverhalt<\/u>: In dem Fall ging es konkret um den Erlass eines Bu\u00dfgeldbescheides aufgrund zweier, am Gesch\u00e4ftslokal der Beklagten montierten Kameras, welche nach Ansicht der Datenschutzbeh\u00f6rde meldepflichtig waren und zudem der von den Kameras erfasste Bereich (vor dem Eingangsbereich liegende \u00f6ffentliche Parkpl\u00e4tze und Verkehrsfl\u00e4chen) dem Zweck der Verarbeitung unangemessen war.\u00a0 Zudem fand keine Protokollierung oder L\u00f6schung der personenbezogenen Bilddaten statt.<\/p>\n

T\u00e4ter:<\/u> Die besondere Relevanz dieses Urteils zeichnet sich dadurch aus, dass die \u00f6sterreichische Datenschutzbeh\u00f6rde den Datenschutzversto\u00df der juristischen Person zurechnet, ohne konkret bestimmbar<\/u> eine nat\u00fcrliche Person<\/u> zu benennen, die f\u00fcr die gegen die DSGVO versto\u00dfende Handlung verantwortlich waren, sondern vielmehr den Datenschutzversto\u00df pauschal dem Unternehmen zuordnete und dies f\u00fcr ausreichend erachtete, ein Bu\u00dfgeld zu verh\u00e4ngen. Infrage stand somit die Rechtm\u00e4\u00dfigkeit dieses Bu\u00dfgeldbescheids.<\/p>\n

Vergleichbarkeit nationalen Rechts:<\/u> Zwar handelt es sich um ein Urteil ergehend auf Grundlage des nationalen Rechts der Republik \u00d6sterreich, jedoch sind die vom Gericht dargestellten Grunds\u00e4tze zu der Zurechenbarkeit datenschutzrechtlich relevanten Handelns nat\u00fcrlicher Personen auf juristische Personen auch f\u00fcr das deutsche Recht von Bedeutung, da die \u00f6sterreichischen Vorschriften zu den Bu\u00dfgeldern gegen\u00fcber Unternehmen den deutschen Vorschriften der \u00a7 30 und \u00a7 130 OWiG sehr \u00e4hnlich sind.<\/p>\n

Ansatz der \u00d6sterreichischen Datenschutzaufsicht:<\/u> Nach Ansicht der Datenschutzbeh\u00f6rde verletzte dies Art. 5 Abs. 1 lit a und c sowie Art. 6 Abs. 1 der DSGVO sowie \u00a7\u00a7 50b Abs. 1 und Abs. 2 DSG 2000 und 13 Abs. 2 (Protokollierung), Abs. 3 (L\u00f6schung) und Abs. 5 (Kennzeichnung) DSG. In Folge dieses Handelns erlie\u00df die Beh\u00f6rde einen Bu\u00dfgeldbescheid gegen die juristische Person auf Grundlage einer Datenschutzverletzung des Unternehmens.<\/p>\n

Zurechnung?<\/u> Problematisch war allerdings, dass weder aus der Aufforderung zur Rechtfertigung noch aus sonstigen Verfahrenshandlung hervorging, welches bestimmte Verhalten einer identifizierbaren nat\u00fcrlichen Person dem Unternehmen zugerechnet werden sollte. Offensichtlich war unklar, welche identifizierbare nat\u00fcrliche Person im Unternehmen entweder die Datenschutzrechtsverletzung beging oder aufgrund der Missachtung von Aufsichtspflichten erm\u00f6glichte.\u00a0Ansatz des \u00d6-BVerwG: Nach Ansicht des Gerichtes ist sei eine solche pauschale Feststellung einer Datenschutzverletzung unzureichend:<\/p>\n