Compliancesystem macht sich bezahlt: Höchste DSGVO-Geldstrafe Österreichs vom VwGH auf EUR 13 Mio. herabgesetzt 

Vorgeschichte:
Bereits im Jahr 2019 erging ein Straferkenntnis der österreichischen Datenschutzbehörde (DSB) an die Österreichische Post, da diese in den Jahren zuvor u.a. „Parteiaffinitäten“ ohne Zustimmung der Betroffenen erhoben und als Marketingdaten weiterverkauft hatte.

Über Umwege gelangte eine dagegen eingebrachte Beschwerde zum Bundesverwaltungsgericht (BVwG), welches das Verfahren 2020 zunächst gemäß § 45 Abs 1 Z 3 VStG einstellte; die DSB hatte im Straferkenntnis keine namentlich genannten natürlichen Personen adressiert, sondern lediglich die Österreichische Post als juristische Person. Zum damaligen Zeitpunkt wäre dies im Rahmen der Auslegung von Art 83 DSGVO nicht ausreichend gewesen. Durch Revision der DSB landete das Urteil 2022 vor dem Verwaltungsgerichtshof (VwGH), welcher das Revisionsverfahren zur Klärung einer Vorfrage durch den EuGH zunächst pausierte. Anfang des Jahres 2024 stellte der EuGH durch das Urteil Deutsche Wohnen SE (C‑807/21) klar, dass eine Geldbuße wegen eines in Art 83 Abs 4 bis 6 DSGVO genannten Verstoßes gegen eine juristische Person als Verantwortliche verhängt werden kann, ohne dass der Verstoß zuvor einer natürlichen Person zugerechnet wurde, woraufhin der VwGH das Erkenntnis des BVwG aus 2022 aufhob. Das BVwG entschied daraufhin Ende 2024, das Strafmaß von ursprünglich fast EUR 19 Mio. auf EUR 16 Mio. zu senken. Gegen dieses Urteil erhob die Österreichische Post Revision und veranlasste sohin den VwGH, sich erneut (ein drittes Mal!) mit dem Sachverhalt zu beschäftigen und in der Sache final zu entscheiden (Ro 2025/04/0007-7).

Die Gründe für die Herabsetzung:
Der VwGH bestätigte das Vorbringen der Revisionswerberin, dass die im BVwG‑Erkenntnis genannte Mangelhaftigkeit der Dokumentationspflicht – Datenschutz-Folgenabschätzung (DSFA) bzw. Verarbeitungsverzeichnis (VVZ) – erst durch die (vom VwGH bestätigte) falsche rechtliche Einschätzung, dass der Verkauf von Marketingdaten inkl. politischer Affinitäten zulässig sei, entstanden sei und somit im grundsätzlichen Vergehen des Verkaufes dieser Daten konsumiert werde. Zur „Konsumtion“ führte der VwGH aus, dass Delikte, die in einem anderen ebenfalls verwirklichten Delikt bereits vollumfänglich erfasst sind, nicht doppelt zugerechnet werden.

Über die Festsetzung der Strafhöhe entschied der VwGH „in der Sache selbst“ und nahm eine Strafbemessung vor, die er als verhältnismäßig, aber zugleich abschreckend für zukünftige Fälle erachtete. Das bestehende interne Compliancesystem wurde vom VwGH ausdrücklich als Milderungsgrund berücksichtigt. Des Weiteren wirkten sich sowohl die unangemessen lange Verfahrensdauer vor dem VwGH als auch die vorgenannte Konsumtion strafmildernd aus, sodass die Strafe von EUR 16 Mio. auf EUR 13 Mio. herabgesetzt wurde.

Deutlich herabgesetzt wurden auch die ursprünglichen Verfahrenskosten von EUR 1,6 Mio. auf EUR 100.000,00, da nach Art 83 Abs 4 bis 6 DSGVO, so der VwGH, bereits ein außergewöhnlich hohes Strafmaß verhängt wurde und somit außergewöhnliche Umstände vorlagen. Daher war davon abzusehen, die üblichen 10 % des Strafmaßes als Verfahrenskosten festzusetzten.

Die Entscheidung des VwGH veranschaulicht, dass

• die Einrichtung bzw. das Bestehen eines internen Compliancesystems strafmildernd wirkt;
• es sich insgesamt lohnt, den Instanzenzug einzuschlagen, um eine mildere Strafe zu erhalten.

Die ursprüngliche Strafe von über EUR 19 Mio. wurde um mehr als 30 % auf EUR 13 Mio. reduziert, die Verfahrenskosten um über 90 %. Die Strafe ist damit – soweit uns ersichtlich ist – zwar nach wie vor die höchste in Österreich jemals im Datenschutzrecht verhängte Strafe, die Reduktion um mehrere Millionen Euro dürfte aber ebenso ein Rekord sein.