Das österreichische Höchstgericht verlangt bei DSGVO-Verstößen einen konkreten Tatvorwurf gegen konkrete Personen für Bestrafung einer juristischen Person.
In der Entscheidung (Ro 2019/04/0229) vom 12.5.2020 klärt der Verwaltungsgerichtshof (VwGH), dass für die Strafbarkeit einer juristischen Person wegen Verstoßes gegen die DSGVO jene natürliche Personen, deren Verstöße ihr angelastet werden, sowohl in Verfolgungshandlungen als auch im Spruch des Straferkenntnisses zu nennen sind. Somit müssen die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden, mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.
Wesentliche Elemente des Verwaltungsstrafverfahren sind am Ende dieses Artikels kurz dargestellt.
Praxistipps
Jede bestrafte juristische Person sollte sowohl die Verfolgungshandlungen (d.s. alle von der Behörde gegen eine bestimmte Person als Beschuldigten gerichtete Amtshandlung, wie z.B. eine Aufforderung zur Rechtfertigung, Ladung, Vernehmung u. dgl.) als auch das Straferkenntnis prüfen, ob dieses nicht bekämpft werden kann.
Sowohl die handelnde natürliche Person als auch die (in der Folge allenfalls bestrafte) juristische Person genießen die Verfahrensgarantien des Verwaltungsstrafgesetzes (VStG) und müssen sich bspw. nicht selbst belasten.
Klarstellungen des VwGH zur Position der Datenschutzbehörde (DSB)
Das im Verfahren gegenständliche Straferkenntnis der DSB nannte keine natürliche Person, deren Verhalten der bestraften juristischen Person zugerechnet werden sollte. Die bestrafte juristische Person brachte Beschwerde an das Bundesverwaltungsgericht ein, das das Straferkenntnis behob und das Verfahren einstellte. In der Revision an den VwGH stützte sich die DSB auf die wettbewerbsrechtliche Judikatur des EuGH und die unmittelbare Anwendbarkeit des Art. 83 DSGVO, weshalb § 30 Datenschutzgesetz (DSG) nicht anwendbar sein soll. Hierzu hielt der VwGH fest:
Auf das Verfahren ist das Verwaltungsstrafrecht anzuwenden
Geldbußen nach der DSGVO sind Verwaltungsstrafen, sodass auf das Verfahren das VStG anzuwenden ist, soweit die DSGVO keine spezielleren Regelungen vorsieht. Für juristische Personen besteht kein besonderes Verwaltungsstrafverfahrensrecht. § 30 DSG berücksichtigt für die direkte Strafbarkeit der juristischen Person die Stellung der handelnden natürlichen Person, deren tatbestandgemäßes, rechtswidriges und schuldhaftes Verhalten der juristischen Person zugerechnet wird. § 30 DSG setzt damit Art. 83 DSGVO im nationalen Recht durch, weil das VStG nur das Verfahren für die Strafbarkeit natürlicher Personen regelt.
§ 30 Abs. 1 und 2 DSG beinhaltet keine Verfahrensnormen, sondern Zurechnungsregeln
Die DSB wendete § 30 Abs. 1 und 2 DSG aufgrund der unmittelbaren Anwendbarkeit des Art. 83 DSGVO und mangels Deckung in Art. 83 Abs. 8 DSGVO nicht an. Nach Ansicht des VwGH (Rn 16) beinhaltet § 30 Abs. 1 und 2 DSG keine Verfahrensnormen, sondern Zurechnungsregeln für die Verhängung von Geldbußen gegen juristische Personen. „Insofern bezieht sich § 30 DSG nicht auf Art. 83 Abs. 8 DSGVO“ (gemäß dem angemessene Verfahrensgarantien nach Unionsrecht und nationalem Recht zu beachten sind). Dieser Punkt scheint widersprüchlich, insbesondere zum nachstehenden Teil der Begründung.
Wettbewerbsrechtliche Bestimmungen sind nicht vergleichbar
Der VwGH teilt nicht die Ansicht der DSB, wonach die wettbewerbsrechtlichen Bestimmungen zur Verhängung von Geldbußen vergleichbar und keine konkrete Benennung der handelnden Personen innerhalb der juristischen Person erforderlich wären. Dabei stützt sich der VwGH auf den EuGH (C-338/00 P, Volkswagen/Kommission, Rn 96 und 98), wonach wettbewerbsrechtliche Geldbußen nicht strafrechtlicher Art sind, während aber die von einer Aufsichtsbehörde verhängten Geldbußen für Verstöße gegen die DSGVO gemäß “Erwägungsgrund 150 der DSGVO” strafrechtliche Sanktionen darstellen. Der VwGH betont (Rn 23), dass auch Art. 83 Abs. 8 DSGVO nicht nur angemessene Verfahrensgarantien des Unionsrechts (etwa der Grundrechte-Charta), sondern auch solche des Rechts der Mitgliedstaaten für die Ausübung der Sanktionsbefugnis vorsieht.
Überblick zum Verfahren gegen juristische Personen
Eine Verwaltungsstrafe setzt voraus, dass jemand den sanktionierten Tatbestand rechtswidrig und schuldhaft (§ 5 VStG) verwirklicht. Da eine juristische Person nicht selbst handeln kann, ist ihre Strafbarkeit gemäß § 30 DSG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer ihr zurechenbaren natürlichen Person (Führungsperson). Der Strafe liegt der Vorwurf zugrunde, dass die in § 30 Abs 1 DSG genannten Führungspersonen gegen die dort genannten Verpflichtungen verstießen (Abs. 1) oder durch mangelnde Kontrolle oder Überwachung eine Mitarbeitertat ermöglichten (Abs. 2).
Genaue Umschreibung der Tathandlung
Jede Verfolgungshandlung (§§ 31 und 32 VStG) muss eine bestimmte Verwaltungsübertretung zum Gegenstand haben, sodass sie sich bereits auf alle der späteren Bestrafung zugrunde liegenden wesentlichen Sachverhaltselemente bezieht. Aufgrund der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person ist darin auch der Vorwurf gegen die darin genannte natürliche Person enthalten und muss deren Tathandlung genau umschreiben.
Rechte der Parteien
Wird in einer Verfolgungshandlung gegen eine juristische Person eine Verwaltungsstraftat vorgeworfen, ist sie ab diesem Zeitpunkt gemäß § 32 Abs. 1 VStG auch Beschuldigter und hat alle mit dieser Parteistellung verbundenen Rechte. Die handelnde natürliche Person ist ebenso Beschuldigte im Verfahren gegen die juristische Person und hat entsprechende Parteirechte. Ein Beschuldigter hat bspw. ein Recht auf rechtliches Gehör (§ 40 VStG), muss an ihn gestellte Fragen nicht beantworten (§ 33 Abs. 2 VStG) und kann ein Straferkenntnis vor einem Verwaltungsgericht nach Durchführung einer öffentlichen mündlichen Verhandlung (§ 44 Verwaltungsgerichtsverfahrensgesetz (VwGVG)), in der ihm Frage- und Informationsrechte zustehen und er sich vertreten lassen kann (§ 46 VwGVG), überprüfen lassen. Durch diese Verfahrensgarantien wird dem Recht auf ein faires Verfahren entsprochen und damit auch Art. 47 der EU Grundrechte-Charta für juristische Personen gewährleistet.
Abonnieren Sie auch unseren Newsletter, um auf dem Laufenden zu bleiben: