BVwG W298 2285480-1

Spruch:

W298 2285480-1/10E

Beantragte schriftliche Ausfertigung des am 06.03.2025 mündlich verkündeten Erkenntnisses

Im namen der republik!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Dr. Wolfgang Goricnik als Beisitzerin und Beisitzer über die Beschwerde der XXXX gegen das Straferkenntnis der Datenschutzbehörde vom 15.12.2023, GZ: XXXX , zu Recht erkannt:

A)

I. Die Beschwerde wird gemäß § 50 VwGVG als unbegründet abgewiesen und das bekämpfte Straferkenntnis bestätigt.

II. Gemäß § 52 Abs. 1, 2 und 6 VwGVG hat der Beschwerdeführer einen Kostenbeitrag zum Beschwerdeverfahren von 20% der ausgesprochenen Strafe, sohin in der Höhe von EUR 3000,-- (in Worten: Dreitausend) zu leisten.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Am XXXX erhob XXXX bei der Datenschutzbehörde (in weiterer Folge „belangte Behörde“) eine Datenschutzbeschwerde gegen die XXXX (in weiterer Folge „Beschwerdeführerin“) und machte darin eine Verletzung im Recht auf Löschung geltend. Demnach habe die Beschwerdeführerin auf sein Löschbegehren nicht reagiert.

2. Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 13.04.2023 zur Stellungnahme auf. Dieser Aufforderung kam die Beschwerdeführerin nicht nach. Die belangte Behörde urgierte mit Schreiben vom 23.05.2023 die Aufforderung zur Stellungnahme. Auch dieser Aufforderung kam die Beschwerdeführerin nicht nach.

3. Die belangte Behörde leitete das verfahrensgegenständliche Verwaltungsstrafverfahren ein und forderte mit Schreiben vom 20.07.2023 die Beschwerdeführerin zur Rechtfertigung und Bekanntgabe des weltweit erzielten Jahresumsatzes auf. Gleichzeitig wurde im Rahmen des Administrativverfahrens ein Ladungsbescheid an den Geschäftsführer der Beschwerdeführerin zugestellt.

4. Mit Bescheid vom 29.08.2023 setzte die belangte Behörde das Verwaltungsstrafverfahren gemäß § 24 VStG iVm § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-807/21 aus.

5. Mit Mitteilung vom 11.09.2023 stellte die belangte Behörde das Administrativverfahren betreffend den Antrag auf Löschung von XXXX infolge Entsprechens ein.

6. Mit Schreiben vom 05.12.2023 hob die belangte Behörde den Aussetzungsbescheid vom 29.08.2023 von Amts wegen auf und setzte das Verwaltungsstrafverfahren - unter Berücksichtigung des Urteils vom 05.12.2023 des EuGH in der Rechtssache C-807/21 – fort.

7. Mit dem nunmehr angefochtenem Straferkenntnis vom 15.12.2023 verhängte die belangte Behörde über die Beschwerdeführerin eine Geldstrafe in der Höhe von EUR 15.000,-- gemäß Art 83 Abs. 3 und 5 lit. b DSGVO. Die Beschwerdeführerin wurde unter Einem gemäß § 64 VStG zum Ersatz eines Beitrages zu den Kosten des Strafverfahrens in Höhe von EUR 1.500,- verpflichtet. Demnach habe die Beschwerdeführerin jedenfalls seit 01.03.2023 bis zumindest 20.07.2023 gegen ihre Pflicht gemäß Art. 12 Abs. 2 DSGVO zur Erleichterung der Rechtsausübung von Betroffenenrechten gemäß den Art. 15 bis 22 DSGVO (Erleichterungsgrundsatz) verstoßen, indem sie lediglich eine nicht aktive bzw. nicht erreichbare E-Mail-Domain zur Geltendmachung von Betroffenenrechten nach der DSGVO in der Datenschutzerklärung auf der Webseite XXXX “ (konkret: „ XXXX “) bereitstellte und damit die Rechtsausübung von Betroffenenrechten verhindert bzw. erschwert habe (Anträge zur Ausübung von Betroffenenrechten per E-Mail). Dadurch habe die Beschwerdeführerin gegen den Erleichterungsgrundsatz nach Art. 12 Abs. 2 DSGVO verstoßen. Außerdem habe die Beschwerdeführerin im Zeitraum von 01.03.2023 bis 01.04.2023 XXXX in seinem Recht auf Löschung nach Art. 12 Abs. 3 iVm Art. 17 DSGVO verletzt, indem sie auf das Löschbegehren vom 01.03.2023 nicht binnen einem Monat reagiert habe. Die Beschwerdeführerin habe zudem gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der Datenschutzbehörde gemäß Art. 31 DSGVO verstoßen, indem sie mehreren Aufforderungen zur Stellungnahme nicht beantwortet habe.

8. Mit E-Mail vom 15.01.2024 erhob die Beschwerdeführerin Beschwerde gegen das Straferkenntnis. Demnach entspreche die angegebene Umsatzeinschätzung bei Weitem nicht der tatsächlichen Höhe des Jahresumsatzes 2020 und sei um ein Vielfaches zu hoch angesetzt. Die Beschwerdeführerin sei nie gefragt worden, die Umsatzerlöse bekannt zu geben. Die Umsatzerlöse seien im Jahr 2022 bei EUR XXXX gelegen. Es sei außerdem nicht genügend darauf eingegangen worden, dass die Beschwerdeführerin die E-Mail der betroffenen Person nicht erhalten habe. Die Höhe der Strafe sei nicht angemessen. Die Beschwerdeführerin begehrte die Aufhebung des „Bescheides“ und der Strafe und beantragte die Beigabe eines von ihr namentlich genannten Verteidigers sowie die Durchführung einer öffentlichen mündlichen Verhandlung.

9. Mit Aktenvorlage vom 29.01.2024 legte die belangte Behörde dem Bundesverwaltungsgericht die verfahrensgegenständliche Beschwerde mitsamt den bezughabenden Verfahrensakten vor. Bezugnehmend auf den letzten Absatz der Beschwerde, in welcher die „Beigabe eines Verteidigers“ beantragt wurde, verwies die belangte Behörde auf einen Aktenvermerk, wonach es sich bei der Formulierung ausdrücklich nicht um einen Antrag auf Verfahrenshilfe handle, sondern habe der Geschäftsführer der Beschwerdeführerin nur darauf aufmerksam machen wollen, dass die Beschwerdeführerin künftig vom genannten Rechtsanwalt in dieser Sache vertreten werde. Die notwendige Gewinn- und Verlustrechnung für die Schätzung der Umsatzerlöse im Jahr 2022 sei außerdem nicht vorgelegt worden. Aus dem Jahresabschluss vom Jahr 2021 könnten die Umsatzerlöse nicht entnommen werden.

10. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 18.06.2024 wurde die gegenständliche Rechtssache der Gerichtsabteilung W101 abgenommen und am 24.06.2024 der Gerichtsabteilung W98 neu zugewiesen.

11. Mit Ladung vom 27.01.2025, welche der Beschwerdeführerin am zugestellt am 04.02.2025 zugestellt worden ist, wurde zur (beantragten) mündlichen Verhandlung am 06.03.2025 geladen.

12. In der Folge verzichtete die belangte Behörde auf eine Teilnahme an der mündlichen Verhandlung.

13. Am 05.03.2025 übermittelte die Tochter des Geschäftsführers der Beschwerdeführerin eine ärztliche Arbeitsunfähigkeitsmeldung des Geschäftsführers und führte aus, dass für eine Verhandlungsteilnahme eines informierten Vertreters oder Rechtsvertreters nicht gesorgt werden könne.

14. Am 06.03.2025 fand die mündliche Verhandlung in Abwesenheit eines Vertreters der Beschwerdeführerin und der belangten Behörde statt. Das Bundesverwaltungsgericht verkündete das Erkenntnis wie im Spruch oben angeführt.

15. Mit Eingabe vom 21.03.2025, eingelangt am 25.03.2025, beantragte die Beschwerdeführerin durch ihren GF eine schriftliche Ausfertigung des mündlich verkündeten Erkenntnisses.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die Beschwerdeführerin ist eine juristische Person mit der Rechtsform der Gesellschaft mit beschränkter Haftung. Die Beschwerdeführerin übt das nach § 124 Z 14 Gewerbeordnung 1994 reglementierte Gewerbe „Reisebüro“ aus. Sie bietet als Reiseveranstalter und Reisebüro verschiedene Dienstleistungen an.

Die Datenschutzerklärung über die Verarbeitung personenbezogener Daten durch die Beschwerdeführerin ist zum Entscheidungszeitpunkt – und war für den vorgeworfenen Tatzeitraum und darüber hinaus zumindest vom 01.03.2023 bis 10.07.2023 – vom auf der von der Beschwerdeführerin betriebenen Webseite unter „ XXXX “ abrufbar. Der Datenschutzerklärung der Beschwerdeführerin war folgendes zu entnehmen:

„Der Datenschutzverantwortliche ist unter folgender Adresse erreichbar: XXXX , mit Sitz in XXXX .“

Zum Zwecke der (elektronischen) Kontaktaufnahme (per E-Mail) durch Betroffene nannte die Beschwerdeführerin demnach folgende E-Mail-Adresse in ihrer Datenschutzerklärung: „ XXXX “.

XXXX war Kunde der Beschwerdeführerin und buchte eine Reise.

Mit E-Mail vom XXXX ersuchte XXXX die Beschwerdeführerin, alle zu seiner Person gespeicherten Daten zu löschen. Als Nachweis für seine Identität legte er eine Kopie seines Reisepasses vor. Zudem ersuchte er die Beschwerdeführerin um schriftliche Bestätigung der Datenlöschung, dies unverzüglich beziehungsweise binnen einer Frist von einem Monat. XXXX übermittelte das Löschbegehren vom XXXX an die E-Mail-Adresse „ XXXX “. Die Beschwerdeführerin reagierte nicht auf das Löschbegehren von XXXX , weshalb er eine Beschwerde bei der belangten Behörde einbrachte.

Die Beschwerdeführerin reagierte in der Folge nicht auf die Aufforderungsschreiben der belangten Behörde vom 13.04.2023 und vom 23.05.2023, in welchen sie ersucht wurde eine Stellungnahme zur Datenschutzbeschwerde von XXXX abzugeben. Die belangte Behörde wies im Rahmen der Aufforderungen zur Stellungnahme ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin.

Die Geschäftsleitung der Beschwerdeführerin teilte der belangten Behörde am 10.07.2023 telefonisch mit, dass diese E-Mail-Adresse nicht aktiv ist. Eine von der belangten Behörde vorgenommene „E-Mail-Account-Überprüfung“ ergab, dass die E-Mail-Adresse tatsächlich nicht existierte. Die E-Mail-Adresse scheint jedoch weiterhin als Kontaktadresse auf der Website der Beschwerdeführerin auf. Eine Geltendmachung der Rechte nach der DSGVO wurde – zumindest per E-Mail – sohin verunmöglicht, was die Beschwerdeführerin wusste.

Das im Rahmen der Datenschutzerklärung der Beschwerdeführerin angegebene E-Mail-Postfach war somit jedenfalls im Tatzeitraum nicht aktiv. Daraus folgte unter anderem, dass elektronisch (per E-Mail) eingebrachte Anträge zur Ausübung von Betroffenenrechten, wie jener Antrag auf Löschung der hier betroffenen Person, von der Beschwerdeführerin nicht behandelt wurden.

Die Datenschutzbehörde leitete aufgrund der unterlassenen Mitwirkung am Verfahren sowie der unterlassenen Löschung und der Erschwerung der Geltendmachung von Betroffenenrechten durch die Beschwerdeführerin das gegenständliche Verwaltungsstrafverfahren ein und forderte mit Schreiben vom 20.07.2023 die Beschwerdeführerin sowie den Geschäftsführer zur Rechtfertigung und Bekanntgabe des weltweit erzielten Jahresumsatzes auf. Gleichzeitig wurde im Rahmen des Beschwerdeverfahrens ein Ladungsbescheid an den Geschäftsführer der Beschwerdeführerin zugestellt.

Die Beschwerdeführerin brachte in Folge keine Rechtfertigung ein und wirkte nicht am gegenständlichen Verfahren mit, der Geschäftsführer folgte jedoch dem Ladungsbescheid der belangten Behörde. Am 11.08.2023 wurde der Geschäftsführer der Beschwerdeführerin persönlich einvernommen. Darüber hinaus brachte die Beschwerdeführerin nach der Einvernahme des Geschäftsführers weitere Unterlagen im Beschwerdeverfahren ein. Mit E-Mail vom 16.08.2023 teilte die Beschwerdeführerin der belangten Behörde mit, die Daten der betroffenen Person gelöscht zu haben und zählte auf welche Daten der betroffenen Person noch bei ihr gespeichert sind. Demnach speichert die belangte Behörde eine Rechnung für eine Leistung, die sie der betroffenen Personen zur Verfügung stellte sowie eine Art Buchungsbestätigung und die Informationen zur Reiseversicherung. Die Beschwerdeführerin begründete die Speicherung dieser Daten mit der steuerrechtlichen Aufbewahrungspflicht. Das Verfahren betreffend das Löschbegehren von XXXX wurde dem folgend gemäß § 24 Abs. 6 DSG eingestellt und das nunmehr verfahrensgegenständliche Verwaltungsstrafverfahren weitergeführt, was mit der Erlassung des Straferkenntnisses vom 15.12.2023 durch die belangte Behörde endete.

Die Beschwerdeführerin erhob gegen das Straferkenntnis das Rechtsmittel der Beschwerde.

Der weltweit erzielte Jahresumsatz der Beschuldigten aus dem Jahr 2022 konnte nicht festgestellt werden.

Die Beschwerdeführerin ist nicht anwaltlich vertreten.

Die Beschwerdeführerin ist mit Ladung vom 27.1.2025 zur Verhandlung am 06.03.2025 geladen worden, ein Vertreter ist unentschuldigt nicht erschienen.

Am 05.03.2025 übermittelte die Tochter des Geschäftsführers der Beschwerdeführerin eine ärztliche Arbeitsunfähigkeitsmeldung des Geschäftsführers ohne den Grund der Arbeitsunfähigkeit zu relevieren und teilte mit, dass für eine Verhandlungsteilnahme eines informierten Vertreters oder Rechtsvertreters nicht gesorgt werden könne.

Die Verhandlung wurde in Abwesenheit eines Vertreters der Beschwerdeführerin durchgeführt.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie aus dem Akt des Bundesverwaltungsgerichts und sind nicht weiter strittig.

Die Beschwerdeführerin behauptete in der Bescheidbeschwerde vom 15.01.2024, nie gefragt worden zu sein, die Umsatzerlöse bekannt zu geben. Diesbezüglich wird auf die „Aufforderung zur Rechtfertigung“ vom 20.07.2023 verwiesen, die der Beschwerdeführerin übermittelt wurde und in welcher die belangte Behörde folgendes ausführte:

„Die beschuldigte juristische Person wird dazu aufgefordert, im Zuge der schriftlichen Rechtfertigung oder im Rahmen der Vernehmung insbesondere folgende verfahrensrelevanten Dokumente/Informationen vorzulegen:

• Weltweit erzielter Jahresumsatz der beschuldigten juristischen Person des Vorjahres (Sollte der Umsatz nicht bekanntgegeben werden, ist die Behörde verpflichtet, eine Schätzung des Umatzes vorzunehmen)

• Sonstige zur Verteidigung dienliche Beweismittel“

Die Beschwerdeführerin behauptete die Umsatzerlöse seien im Jahr 2022 bei EUR XXXX gelegen, legte jedoch keine entsprechenden Nachweise vor.

Der Geschäftsführer der Beschwerdeführerin führte in seiner Beschwerde vom 15.01.2024 aus: „Weiters beantrage ich die Beigabe eines Verteidigers, namentlich Hr. Rechtsanwalt Dr. Georg Rihs, Kramergasse 9/3/3 in 1010 Wien“. Aus dem Aktenvermerk der belangten Behörde vom 16.01.2024 geht hervor, dass der Geschäftsführer mit seinen Ausführungen in der Beschwerde vom 15.01.2024, keine Verfahrenshilfe beantragte, sondern nur die Information erteilen wollte, dass die Beschwerdeführerin im Beschwerdeverfahren vom genannten Rechtsanwalt vertreten werde. Der Geschäftsführer wolle die Beschwerde aber selbst schreiben, um sich Kosten zu sparen. Der vermeintliche Rechtsanwalt der Beschwerdeführerin übermittelte am 30.01.2024 der belangten Behörde ein E-Mail und führte darin aus, dass zwischen XXXX kein Mandatsverhältnis bestehe und auch nie bestanden habe, weshalb die Beschwerdeführerin nicht anwaltlich vertreten ist.

Der Umstand, dass die Domain sowie Homepage bzw. Datenschutzerklärung der Beschwerdeführerin wie im Tatzeitraum besteht, gründet sich auf eine amtswegige Nachschau auf der Homepage.

3. Rechtliche Beurteilung:

Zu A)

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Gemäß § 27 Verwaltungsgerichtsverfahrensgesetz BGBl. I 2013/33 idF BGBl. I 2018/57 (im Folgenden: "VwGVG") hat das Verwaltungsgericht, soweit nicht Rechtswidrigkeit wegen Unzuständigkeit der Behörde vorliegt, den angefochtenen Bescheid auf Grund der Beschwerde oder auf Grund der Erklärung über den Umfang der Anfechtung zu überprüfen.

Gegenstand des vorliegenden Verfahrens kann und darf angesichts der vorliegenden Sach- und Rechtslage daher der Ausspruch der Strafe und die Überprüfung des Schuldspruchs und damit der Bestrafung an sich sein.

3.2. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise wie folgt:

„Art 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts Anderes angibt.

[…]“

„Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

[…]“

„Artikel 31

Zusammenarbeit mit der Aufsichtsbehörde

Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.“

„Artikel 83

Allgemeine Bedingungen für die Verhängung von Geldbußen

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43

…

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) …

b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;

[…]“

3.2. Die gesetzlichen Grundlagen nach dem VStG lauten wie folgt:

§ 5 VStG:

(1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.

(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.

(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.

§ 10 VStG:

(1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.

(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.

§ 16 VStG:

(1) Wird eine Geldstrafe verhängt, so ist zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen.

(2) Die Ersatzfreiheitsstrafe darf das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Eine Ersatzfreiheitsstrafe von mehr als sechs Wochen ist nicht zulässig. Sie ist ohne Bedachtnahme auf § 12 nach den Regeln der Strafbemessung festzusetzen.

§ 19 VStG:

(1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.

(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.

3.3. Umgelegt auf den vorliegenden Fall bedeutet das:

Allgemeines zur Verhängung von Geldbußen nach Art. 83 DSGVO:

Seit Inkrafttreten der DSGVO sind Aufsichtsbehörden befugt und berufen sicherzustellen, dass die Grundsätze der DSGVO sowie die Rechte der betroffenen Personen gewahrt werden. Geldbußen haben demnach in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss (Artikel 83 Abs. 1 DSGVO). Darüber hinaus haben die Aufsichtsbehörden bei der Festsetzung des Betrags einer Geldbuße jene Umstände oder Merkmale des Verstoßes zu berücksichtigen (Art. 83 Abs. 2 DSGVO), anders gesagt die Schwere des Verstoßes zu bewerten. Der Ausspruch der Höhe der Geldbuße stellt eine konkrete Einzelfallbewertung unter Berücksichtigung der in der DSGVO enthaltenen Parameter dar. Eine Mindesthöhe von Geldbußen sieht die DSGVO nicht, Höchstbeträge gemäß Artikel 83 Absätze 4 bis 6 vor. Eine Geldbuße kann letztlich nur anhand aller den Einzelfall determinierenden Umstände welche sich aus Artikel 83 Abs. 2 lit. a bis j DSGVO ergeben berechnet werden. Schließlich muss die Höhe der Geldbuße, die sich aus dieser Prüfung ergibt, in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO) (vgl. zu alldem die Leitlinien 04/2022 des Europäischen Datenschutzausschusses für die Berechnung von Geldbußen im Sinne der DSGVO, Version 2.1, Angenommen am 24.05.2023 [im Folgenden: EDSA Leitlinien 2023 zu Art. 83 DSGVO], Rz. 1 – 16).

Im Urteil vom 05.12.2023 in der Rechtssache C-807/21 [Deutsche Wohnen SE] hat der EuGH die Grundsätze zur Verhängung von Geldbußen durch nationale Aufsichtsbehörden skizziert.

Demnach gilt für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht. Diese Voraussetzungen sind in Art. 83 Abs. 1 bis 6 DSGVO taxativ festgelegt und lassen den Mitgliedstaaten keinen Ermessensspielraum (vgl. auch Urteil vom 5. Dezember 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , Rn. 64 bis 70).

Dazu ist festzuhalten, dass Art. 83 Abs. 2 DSGVO allein die Kriterien normiert, die die Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen den Verantwortlichen zu berücksichtigen hat. Zu diesen Kriterien gehört nach Buchst. b dieser Bestimmung die „Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes“. Das Verschulden ist demnach auch erforderlich.

Kommt es zu einer Kumulierung von Verstößen gegen die DSGVO, übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

3.4. Zum Verhältnis zwischen Unionsrecht und innerstaatlichem Recht:

Aus dem Urteil des EuGH C-807/21 geht hervor, dass die Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, abschließend in Art. 83 Abs. 1 bis 6 DSGVO durch das Unionsrecht festgelegt sind (Rz. 45, 48 und 65). Gemäß Art. 288 Abs. 2 AEUV ist eine Unionsverordnung in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat, sodass im Anwendungsbereich der DSGVO kein Raum für die Anwendung nationaler Bestimmungen, die letztlich zusätzliche Tatbestandserfordernisse hinsichtlich des behördlichen Ermessens normieren, wie sie in § 11 DSG („Verwarnung durch die Datenschutzbehörde“) und § 33a VStG („Beraten“) bestehen, bleibt, soweit die Behörde Art. 58 DSGVO anzuwenden hat (Rz. 52).

Deshalb findet § 11 DSG: „[i]nsbesondere bei erstmaligen Verstößen wird die Datenschutzbehörde im Einklang mit Art. 58 DSGVO von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“, keine Anwendung, weil Art. 83 Abs. 2 bis 6 in Verbindung mit Art. 58 Abs. 2 lit. i DSGVO, dem widersprechen.

An dieser Stelle ist im Sinne der Rechtsprechung des EuGH zu Art. 83 DSGVO mit Blick auf das Verwaltungsstrafgesetz (VStG) festzuhalten, dass das Verfahrensrecht der Mitgliedstaaten nur insoweit zur Anwendung kommt, als es nicht der Durchsetzung des Unionsrechts widerspricht – es dürfen daher keine materiellen Tatbestandsvoraussetzungen dem Art. 83 Abs. 1 bis 6 DSGVO hinzutreten (vgl. erneut EuGH vom 05.12.2023, C-807, Rz. 46, 48). Auch Ermessensbeschränkung, wie in § 5 VStG („Schuld“) sind demnach nicht anzuwenden und das Verschulden des Verantwortlichen ist ausschließlich anhand der Bestimmungen des Art. 83 Abs. 1 und Abs. 2 DSGVO zu beurteilen. § 9 VStG („Besondere Fälle der Verantwortlichkeit“), die Strafbarkeit juristischer Personen und eingetragener Personengesellschaften richtet sich ausschließlich nach der Systematik des Art. 4 Z 7 iVm Art. 83 DSGVO und kann deren Haftung nicht auf zur Vertretung nach außen Berufene oder auf einen verantwortlichen Beauftragten einschränken. Auch betreffend § 19 VStG („Strafbemessung“), ist die Bemessung der Geldbuße ausschließlich anhand der von Art. 83 Abs. 1 bis 6 DSGVO normierten Kriterien durchzuführen. Weiter ergeben sich die Erschwernis- und Milderungsgründe abschließend aus Art. 83 Abs. 2 DSGVO, § 20 VStG („Außerordentliche Milderung der Strafe“), § 22 Abs. 2 VStG („Zusammentreffen von strafbaren Handlungen“), bleiben daher auch im Anwendungsbereich von Art. 83 Abs. 3 DSGVO unangewendet (vgl. EuGH vom 05.12.2023, C-683/21 , Rz 70).

Der Strafrahmen für Unternehmen gemäß Art. 83 Abs. 5 lit b DSGVO reicht bis zu einem Betrag von EUR 20.000.000. Das erkennende Gericht sieht an dieser Stelle die Richtlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen als erheblich und maßgeblich an.

3.5. Zur Anfechtung dem Grunde nach

3.5.1. Die Beschwerdeführerin erhebt Beschwerde gegen die Strafe dem Grunde nach, rügt jedoch den von der belangten Behörde festgestellten Sachverhalt nicht, sondern erachtet die verhängte Geldstrafe als zu hoch bemessen und den Ausspruch einer Geldbuße allgemein unangemessen.

Die Beschwerdeführerin hat als Verantwortliche gegen ihre Pflicht gemäß Art. 12 Abs. 2 DSGVO verstoßen, der betroffenen Person die Ausübung ihrer Rechte gemäß den Art. 15 bis 22 DSGVO zu erleichtern.

Weiter liegt ein Verstoß gegen ihre Pflicht gemäß Art. 12 Abs. 3 DSGVO iVm. Art. 17 DSGVO, der betroffenen Person Informationen in Bezug auf einen Antrag gemäß den Art. 15 bis 22 DSGVO unverzüglich, jedoch jedenfalls innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen.

Außerdem hat die Beschwerdeführerin gegen ihre Pflicht verstoßen, gemäß Art. 31 DSGVO mit der belangten Behörde auf Anfrage bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

Auch im Verfahren vor dem Bundesverwaltungsgericht hat die Beschwerdeführerin in keiner Phase des Verfahrens mitgewirkt.

3.5.2. Zur Frage der Schuld:

Es liegen keine die Schuld ausschließende Umstände vor.

Die Beschwerdeführerin ignorierte den von XXXX gestellten Antrag gemäß Art 17 DSGVO:

Mit E-Mail vom 01.03.2023 ersuchte XXXX die Beschwerdeführerin, alle zu seiner Person gespeicherten Daten zu löschen. XXXX richtete sein Begehren an die von der Beschwerdeführerin in ihrer Datenschutzerklärung angegebene E-Mail-Adresse. Da diese E-Mail-Adresse nicht existierte bzw. keiner gültigen Domain zugehört, die die Zustellung der Nachricht in die Sphäre der Beschwerdeführerin ermöglicht, erhielt sie das Löschbegehren der betroffenen Person nicht. Die Beschwerdeführerin erfuhr schließlich mit Schreiben der belangten Behörde vom 13.04.2023 vom Antrag der betroffenen Person nach Art 17 DSGVO und weigerte sich (vorerst) tätig zu werden. Die belangte Behörde richtete am 23.05.2023 ein weiteres Schreiben an die Beschwerdeführerin, auf welches sie ebenso nicht reagierte. Die beantragte Löschung erfolgte schließlich erst im Laufe des datenschutzrechtlichen Administrativverfahrens und nach mehreren Aufforderungen zur Stellungnahme, der Einleitung eines Verwaltungsstrafverfahrens und einem Ladungsbescheid unter der Androhung von Zwangsmaßnahmen zur Einvernahme des Geschäftsführers. Die Beschwerdeführerin unterlies es damit nicht nur Informationen in Bezug auf den Antrag von XXXX gemäß Art. 17 DSGVO zur Verfügung zu stellen, sondern ignorierte auch Anfragen der belangten Behörde, obwohl ihr die Einleitung eines Strafverfahrens angedroht wurde und die Pflicht zur Zusammenarbeit bekannt sein musste – weil dies von der belangten Behörde bereits bei den Aufforderungsschreiben bekanntgegeben wurde.

In Bezug auf die mangelnde Mitwirkung im Beschwerdeverfahren kam die belangte Behörde zum Schluss, dass die behördlichen Aufforderungen nachweislich zugestellt und von einer Arbeitnehmerin der Beschwerdeführerin entgegengenommen wurden. Die Arbeitnehmerin informierte auch den Geschäftsführer und dieser nahm nach mehreren Aufforderungen schließlich Kontakt zum Sachbearbeiter der belangten Behörde auf und kündigte die Mitwirkung der Beschwerdeführerin im Beschwerdeverfahren an. Schlussendlich unterließ die Beschwerdeführerin dennoch die Mitwirkung und kam den Aufforderungen weiterhin nicht nach. In der Folge wurde ein Verwaltungsstrafverfahren eingeleitet und der Geschäftsführer zur persönlichen Einvernahme geladen. Im Rahmen des datenschutzrechtlichen Administrativverfahrens wurde die Beschwerdeführerin ausdrücklich über ihre Pflicht zur Mitwirkung informiert. Es erfolgte auch die Information, dass eine mangelnde Mitwirkung eine Verwaltungsübertretung darstellt und im Falle mangelnder Mitwirkung ein Verwaltungsstrafverfahren eingeleitet wird. Die Beschwerdeführerin kam den Anforderungen dennoch nicht nach und hat dadurch die Verwirklichung der gegenständlichen Verwaltungsübertretung ernstlich für möglich gehalten und hat sich jedoch damit abgefunden (dolus eventualis). Die belangte Behörde nahm daher richtiger Weise eine vorsätzliche Tathandlung durch die Beschwerdeführerin an. Außerdem nahm sie es in Kauf gegen ihre Pflicht, betroffenen Personen die Durchsetzung ihrer Rechte nach den Art. 15 bis 22 DSGVO zu erleichtern, zu verstoßen, indem sie in ihrer Datenschutzerklärung eine nicht existente beziehungsweise eine nicht existente beziehungsweise inaktive E-Mail angab. Die Beschwerdeführerin hat trotz Informationen es weiterhin unterlassen, Maßnahmen zu ergreifen und das Postfach war auch während des Verwaltungsstrafverfahrens bis zumindest 12.09.2023 nicht aktiv. Gemessen daran liegt in Bezug auf diesen Verstoß Verschulden in Form von Fahrlässigkeit vor.

Auch im Verfahren vor dem Bundesverwaltungsgericht war keinerlei Willen zur Mitwirkung oder zur Minderung der Folgen der vorgeworfenen Rechtsverletzung zu erkennen.

3.5.3. Strafbemessung durch die belangte Behörde:

Bezogen auf den vorliegenden Sachverhalt wurde von der belangten Behörde bei der Strafbemessung für die Schwere der Zuwiderhandlung ein mittlerer Schweregrad festgestellt.

Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt:

• keinerlei einschlägige frühere Verstöße gegen die DSGVO;

• Die Beschwerdeführerin wirkte im oben angeführten Beschwerdeverfahren schließlich mit und wird dieser Umstand als strafmildernd berücksichtigt, wobei nicht übersehen werden darf, dass die erfolgte Mitwirkung mehrere Maßnahmen durch die belangte Behörde erforderte und die Beschwerdeführerin trotz Kenntnis über die mangelnde Mitwirkung und telefonischer Rücksprache mit dem Sachbearbeiter zuvor am Verfahren nicht mitwirkte;

• Die Beschwerdeführerin nahm zudem im oben angeführten Beschwerdeverfahren im Ergebnis die beantragte Löschung vor und kam somit dem Antrag des Betroffenen vom 01.03.2023 schlussendlich nach, weshalb das dortige Verfahren nach § 24 Abs. 6 DSG eingestellt werden konnte.

Nicht berücksichtigt wurde die Mitwirkung im Strafverfahren, da die Beschwerdeführerin auf die Aufforderung zur Rechtfertigung nicht reagierte und auch sonst keine Mitwirkung im Verwaltungsstrafverfahren erfolgte.

Mangels Bekanntgabe der Beschwerdeführerin zu Einkommens- und Vermögensverhältnissen wurde der Umsatz anhand des jährlichen Bilanzgewinnes geschätzt und unter Unternehmungen bis zu einem Umsatz von unter 2.000.000,-- EUR subsumiert. Das Bundesverwaltungsgericht tritt dem – insbesondere mangels anderer Informationen durch die Beschwerdeführerin –nicht entgegen.

Zunächst ist festzuhalten, dass – wie bereits ausgeführt – für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO festgelegt sind (vgl. erneut EuGH, Urteile vom 05.12.2023, C-807/21 , Rz 45, 48, 52 und 65 sowie C‑683/21 , Rz 64 bis 70).

Die nationalen Bestimmungen, hier etwa die §§ 5, 19, 20 und 22 des Verwaltungsstrafgesetzes – VStG bleiben unangewendet. Eine Bedachtnahme auf die Bestimmung des § 19 VStG oder § 45 VStG und die hierzu ergangene Rechtsprechung hat zu unterbleiben. Fallbezogen war die Strafzumessung jedoch ohnehin vom Bundesverwaltungsgericht – aufgrund und im Lichte des Beschwerdevorbringens – zu überprüfen.

3.5.4. Zum Beschwerdevorbringen, wonach die mit dem angefochtenen Straferkenntnis verhängte Geldbuße unangemessen hoch erscheine:

Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.

Bei der Beurteilung dieser Kriterien ist der entscheidende Senat unter Würdigung der Umstände des Verfahrens zu der Ansicht gelangt, dass dem Vorbringen der Beschwerdeführerin nicht zu folgen ist:

Für die zukünftige Einhaltung der DSGVO seitens der Beschwerdeführerin erscheint die Strafe in Anbetracht dessen, dass die Beschwerdeführerin weder im (Straf)Verfahren vor der belangten Behörde noch beim Bundesverwaltungsgericht mitgewirkt hat und die Datenschutzerklärung immer noch nicht geändert wurde verhältnismäßig und notwendig.

Es handelt sich jedoch um den ersten einschlägigen Verstoß.

Die belangte Behörde hat bei der Strafzumessung bereits berücksichtigt, dass die Beschwerdeführerin der Aufforderung der belangten Behörde (zur Löschung von Daten) gemäß dem Antrag von XXXX schließlich nachgekommen ist und die Rechtsverletzung beseitigt hat und ebenso die tatgegenständliche Weigerung dem Antrag einer betroffenen Person nachzukommen, wie schon erwähnt, erheblich verspätet beseitigt hat. Dennoch erscheint die Geldbuße erforderlich, um den Unwertgehalt der Tat zu verdeutlichen und in der Sphäre der Beschwerdeführerin eine zukünftige Kooperation mit Behörden und Einhaltung der datenschutzrechtlichen Pflichten gegenüber betroffenen Personen zu gewährleisten. Insbesondere ist die Erleichterung der Ausübung der Betroffenenrechte und die Kooperation mit der Datenschutzbehörde ein Kernstück der datenschutzrechtlichen Pflichten nach der DSGVO und ein schuldhafter Verstoß gegen die Möglichkeit der Einhaltung der Pflichten nach der DSGVO als nicht geringfügig anzusehen. Schließlich ist erneut festzuhalten, dass seitens der Beschwerdeführerin auch nachdem die belangte Behörde eine erhebliche Geldbuße ausgesprochen hat, ein auffallend sorgloser Umgang im Zusammenhang mit behördlicher und gerichtlicher Kooperation zu erkennen ist.

Hinzu kommt der Umstand, dass die Datenschutzerklärung noch immer nicht geändert ist.

Auch aus generalpräventiven Erwägungen ergibt sich, dass die verhängte Geldbuße jedenfalls erforderlich erscheint: Insbesondere soll verhindert werden, dass sich datenschutzrechtliche Verantwortliche einer Mitwirkung entziehen und die Ermittlungstätigkeit der belangten Behörde erschweren und dann einer Sanktion entgehen, indem sie sich erheblich verspätet doch am Verfahren beteiligen. Die Einhaltung der rechtlichen Pflichten aus Art. 31 DSGVO dienen der Möglichkeit der elementaren Möglichkeit der Durchsetzung vom Grundrecht auf Datenschutz. Daher erscheint es auch erforderlich, den Blick von potentiellen und bestehenden Verantwortlichen auf die strikte Einhaltung der behördlichen Kooperation zu schärfen und dafür Sorge zu tragen, dass nicht erst das Einleiten eines Strafverfahrens der belangten Behörde dazu führt, dass sich Verantwortliche am Verfahren beteiligen.

Es war daher spruchgemäß zu entscheiden.

3.6. Zur Verhandlung in Abwesenheit eines Vertreters ist auszuführen, dass der Geschäftsführer der Beschwerdeführerin durch seine Tochter dem Bundesverwaltungsgericht am Tag vor der mündlichen Verhandlung eine ärztliche Arbeitsunfähigkeitsbestätigung aufgrund von Krankheit vorlegte.

Allein aus der auf "Krankheit" lautenden Arbeitsunfähigkeitsmeldung ist die Art der Verhinderung in keiner Weise ersichtlich. Es liegt daher kein triftiger Grund für das Nichterscheinen des Beschwerdeführers zur mündlichen Verhandlung vor. Aus dieser vorgelegten Arbeitsunfähigkeitsmeldung ist die Triftigkeit der Abwesenheit jedenfalls nicht ableitbar. Daher war die mündliche Verhandlung in Abwesenheit eines Vertreters der Beschwerdeführerin durchführen (VwGH20.6.2023, Ra 2023/06/0094).

3.7. Die Kostenentscheidung gründet sich auf § 52 Abs. 1, 2 und 6 VwGVG.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Zahlungsinformation:

Sie haben den Gesamtbetrag von EUR 18.000,-- (In Worten: Achtzehntausend) (Strafe und Kosten des Beschwerdeverfahrens) binnen zwei Wochen nach Zustellung dieser Entscheidung auf das Konto des Bundesverwaltungsgerichtes mit dem IBAN AT84 0100 0000 0501 0167, BIC BUNDATWW unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen oder unter Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht zu bezahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag, nach erfolgter Mahnung, zwangsweise eingetrieben werden wird und im Fall seiner Uneinbringlichkeit die Ersatzfreiheitsstrafe vollstreckt werden wird.