Die österreichische Datenschutzbehörde hatte eine Busse von EUR 4 800 wegen versäumter Löschung von Videoaufzeichnungen verhängt. Der gebüsste Verantwortliche hatte den Bussentscheid beim Bundesverwaltungsgericht (BVG) angefochten.
Das BVG hielt in seinem Entscheid vom 19. August 2019 dazu zunächst Folgendes fest:
Die Bestrafung der juristischen Person nach der in Rede stehenden Bestimmung setzt voraus, dass eine ihr zurechenbare natürliche Person (Führungsperson) eine Straftat begangen hat. […]
Fraglich war vor allem, ob die Datenschutzaufsichtsbehörde (DSB) eine Busse verhängen durfte, ohne den Mitarbeiter, der für die Anlasstat verantwortlich war, konkret zu benennen. Die DSB wollte darauf verzichten, u.a. in Anlehnung an wettbewerbsverfahrensrechtliche Grundsätze:
Die DSB beschäftigte sich mit dieser Frage in einer Stellungnahme […], in der sie zuerst auf einen Schriftsatz […] in einem weiteren Verfahren verwies […]. Darin wird zusammengefasst ausgeführt, dass auf der Grundlage der DSGVO jede Handlung von Personen, die im Rahmen einer juristischen Person tätig werden, der juristischen Person zuzurechnen sei. Es sei irrelevant, um welchem Mitarbeiter es sich dabei konkret gehandelt habe. […] In ihrer Stellungnahme […] führt die DSB weiter aus, dass Art. 83 DSGVO inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet sei, weshalb daher die einschlägige Rechtsprechung des EuGH zu Art. 15 der Verordnung Nr. 17/1962 bzw. Art. 23 der Verordnung Nr. 1/2003 heranzuziehen sei. Daraus ergebe sich – hier zusammengefasst -, dass eine konkrete Benennung einer natürlichen Person, die innerhalb des Unternehmens schuldhaft gehandelt haben soll oder für eine möglicherweise fehlerhafte Organisation verantwortlich gemacht werden soll, nicht notwendig sei (dazu zitiert EuGH, Urteil vom 18.09.2003, C‑338/00 P, und weiter EuG, Urteil vom 23.01.2014, T‑391/09, sowie die Schlussanträge zu Rs C204/00 P und Rs C‑280/06).
Das BVG weist diese Auffassung zurück – erforderlich sei vielmehr die konkrete Bezeichnung des faktisch verantwortlichen Anlasstäters:
Die in der Stellungnahme zitierten Verfahren beziehen sich auf wettbewerbsrechtliche Verfahren, die durch die Kommission geführt wurden, also auf europarechtlicher Ebene unter Heranziehung eigener – auch verfahrensrechtlicher – Vorgaben der oben zitierten Verordnungen. Art. 83 Abs. 8 DSGVO hält hingegen fest, dass die Ausübung der Befugnisse der Aufsichtsbehörde angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren unterliegen muss. Damit scheidet nach Ansicht des Bundesverwaltungsgerichts eine direkte Anwendbarkeit von Rechtsprechungsgrundsätzen der europäischen Gerichte zum Wettbewerbsrecht […] aus. […] Daher muss im Ergebnis festgehalten werden, dass gegenständlich nicht von einem ausreichend konkretisierten Tatvorwurf im behördlichen Verfahren ausgegangen werden kann.
Erforderlich wäre vielmehr eine die konkrete Benennung der faktisch verantwortlichen Person(en):
Außerdem darf in diesem Zusammenhang nicht übersehen werden, dass die Anzeige der LPD vom XXXX 2018 bereits anführt, die damals dort tätige Kellnerin habe gegenüber den Polizeibeamten angegeben, der Chef der Firma sei Herr XXXX [und damit der Gesellschafter bzw. der gewerberechtliche Geschäftsführer]. Im bisher durchgeführten verwaltungsgerichtlichen Verfahren stellte sich schließlich auch heraus, dass die tatsächliche Einflussnahme und Kontrolle der beteiligten Personen in Bezug auf die Beschwerdeführerin mit der Information aus dem Firmenbuch nicht ausreichend konkret und nicht gemäß der Realität dargestellt wurde. Im Ergebnis muss daher davon ausgegangen werden, dass gegenständlich keine ausreichende Konkretisierung des Tatvorwurfs im behördlichen Verfahren vorgenommen wurde, da aus diesem nicht hervorgeht, das Verhalten welcher Person der Beschwerdeführerin zugerechnet hätte werden sollen. Damit scheint aber die Wahrnehmung wesentlicher Verteidigungsrechte der Beschuldigten im Verfahren nicht mehr ausreichend garantiert.
Dazu findet sich hier ein Beitrag von Michael Suda, der bei der DSB tätig ist.