Texte intégral

Bundesverwaltungsgericht W292 2285487-1

Dokumenttyp: Entscheidungstext
Entscheidungsdatum: 06.12.2024
ECLI: ECLI:AT:BVWG:2024:W292.2285487.1.00

Spruch

W292 2285487-1/31E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK, als Vorsitzenden und die fachkundigen Laienrichter Mag. René BOGENDORFER und Mag. Mathias SCHACHNER als Beisitzer über die Beschwerde der XXXX GmbH mit Sitz in XXXX , vertreten durch die Hauska Matzunski Rechtsanwälte OG, gegen das Straferkenntnis der Österreichischen Datenschutzbehörde vom 12.12.2023, Zl. D550.559, 2023-0.667.869, nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

I. Die Beschwerde wird mit der Maßgabe als unbegründet abgewiesen, dass der Spruch des angefochtenen Bescheides zu lauten hat wie folgt:

„Die Beschuldigte XXXX GmbH mit Sitz in XXXX , hat als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen:

I. Die Beschuldigte hat in ihrer Rolle als Verantwortliche zumindest im Zeitraum vom 03.10.2020 bis einschließlich 06.08.2021 in XXXX , unrechtmäßig personenbezogene Daten einer betroffenen Person XXXX verarbeitet, indem sie die Daten des Betroffenen zum Zwecke der Arbeitsvermittlung aufbewahrt und unter anderem für die Übermittlung von unterschiedlichen Jobangeboten verwendet hat. Dies trotz des Antrags des Betroffenen vom 03.10.2020 auf Löschung seiner Daten und der Information, dass er an keinen Jobangeboten bzw. an keiner Arbeitsvermittlung durch XXXX interessiert ist. Die Daten wurden dennoch weiterhin aufbewahrt und unter anderem für die Übersendung weiterer Jobangebote am 20.11.2020 sowie 01.12.2020 und 16.04.2021 verwendet.

Eine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO für die in Rede stehende Datenverarbeitung lag im Tatzeitraum nicht vor.

Die Beschuldigte hat dadurch folgende Vorgaben der DSGVO verletzt:

•Die Verarbeitung personenbezogener Daten war von keinem der Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO gedeckt

•Die Verarbeitung personenbezogener Daten hat gegen den Grundsatz der Verarbeitung auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise nach Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) verstoßen

•Die Verarbeitung personenbezogener Daten hat gegen den Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten nach Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung) verstoßen

•Die Verarbeitung personenbezogener Daten hat gegen den Grundsatz der Speicherbegrenzung, wonach personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist nach Art. 5 Abs. 1 lit. e DSGVO („Speicherbegrenzung“) verstoßen

II. Die Beschuldigte hat in ihrer Rolle als Verantwortliche darüber hinaus zwischen 03.10.2020 bis einschließlich 06.08.2021 in XXXX , den Betroffenen XXXX in seinem Recht auf Löschung verletzt, indem sie den Antrag des Betroffenen vom 03.10.2020 nicht behandelte und die beantragte Löschung bis zumindest 06.08.2021 nicht vornahm. Der Betroffene hatte gemäß Art. 17 Abs. 1 DSGVO das Recht, dass seine Daten unverzüglich gelöscht werden und die XXXX war verpflichtet, die personenbezogenen Daten des Betroffenen unverzüglich zu löschen, da folgende Löschungstatbestände erfüllt waren:

•Die personenbezogenen Daten waren für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig (Art. 17 Abs. 1 lit. a DSGVO)

•Die personenbezogenen Daten wurden unrechtmäßig verarbeitet (Art. 17 Abs. 1 lit. d DSGVO)

Eine der Ausnahmebestimmungen des Art. 17 Abs. 3 DSGVO lag im konkreten Fall nicht vor.

Die Beschuldigte hat dadurch als Verantwortliche im Sinne von Art. 4 Z 7 DSGVO den Betroffenen in seinem Recht auf Löschung nach Art. 17 DSGVO verletzt.

III. Die Datenschutzbehörde forderte die Beschuldigte als Verfahrenspartei bzw. Beschwerdegegnerin im Beschwerdeverfahren zur GZ: D124.3325 mehrmals, konkret mit Schreiben vom:

07.12. 2020 (erste Aufforderung zur Stellungnahme; GZ: D124.3325 – 2020-0.800.849), per E-Mail an XXXX am 17.12.2020 (13:28 Uhr) zugestellt und am gleichen Tag gelesen (13:41 Uhr), und

25.03. 2021 (erstes Urgenzschreiben, erneute Aufforderung zur Stellungnahme; GZ: D124.3325 – 2021-0.213.417), per RSb an XXXX am 06.04.2021 zugestellt, und

23.04. 2021 (zweites Urgenzschreiben, erneute Aufforderung zur Stellungnahme; GZ: D124.3325 / 2021-0.291.660), per E-Mail an XXXX am 27.04.2021 (10:58 Uhr) zugestellt und am gleichen Tag gelesen (11:00 Uhr), zur Stellungnahme auf und wies dabei jedes Mal ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin. Die XXXX hat jedoch auf die genannten Aufforderungsschreiben der Datenschutzbehörde bis 06.08.2021 betreffend 2020-0.800.849 und 2021-0.291.660 gar nicht und in Bezug auf 2021-0.213.417 zwar mit einer kurzen (unsubstantiierten) Stellungnahme vom 12.04.2021 reagiert, jedoch der Aufforderung im Wesentlichen nicht entsprochen. Das Verfahren musste schließlich ohne Mitwirkung der Beschuldigten als Verfahrenspartei mit Bescheid vom 06.08.2021 (GZ: D124.3325 – 2021-0.415.529) abgeschlossen werden.

Gemessen daran hat die Beschuldigte in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO im Zeitraum zwischen 17.12.2020 bis 05.08.2021 innerhalb des Bundesgebietes Österreich gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde) gemäß Art. 31 DSGVO verstoßen, indem sie den oben näher dargestellten Aufforderungen zur Stellungnahme im Rahmen des Beschwerdeverfahrens nicht entsprochen hat. Dadurch hat die Beschuldigte in ihrer Rolle als Verantwortliche auf Anfrage einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht zusammengearbeitet.

Verwaltungsübertretung(en) nach:

Ad. I.: Art. 5 Abs. 1 lit. a, c und e sowie Art. 6 Abs. 1 und Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1,

Ad. II.: Art. 17 iVm Art. 83 Abs. 1 und 5 lit. b DSGVO ABl. L 2016/119, S. 1,

Ad. III.: Art. 31 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1

Wegen dieser Verwaltungsübertretungen wird gemäß Art. 83 DSGVO folgende Strafe verhängt:

Geldstrafe von Euro 12.800,- gemäß Art. 83 Abs. 3 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

1. 280,- Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

14. 080,- Euro“

II. Die Beschwerdeführerin hat gemäß § 52 Abs. 1 und 2 VwGVG einen Beitrag zu den Kosten des Beschwerdeverfahrens in der Höhe von EUR 2.560,00 (20% der verhängten Strafe) zu leisten.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I.Verfahrensgang:

1. Mit Schreiben vom 01.12.2020 erhob XXXX (in Folge: Betroffener) bei der Datenschutzbehörde (in Folge: belangte Behörde) eine Datenschutzbeschwerde gegen die XXXX GmbH (für das hg. Verfahren in Folge: Beschwerdeführerin) wegen einer Verletzung in seinem Recht auf Löschung gemäß Art. 17 DSGVO ein. Im Rahmen seiner Eingabe an die Datenschutzbehörde behauptete der Betroffene, er habe am 03.10.2020 bei der Beschwerdeführerin einen Antrag auf Löschung gestellt, jedoch habe diese nicht darauf reagiert. Die Beschwerdeführerin habe die Daten des Betroffenen nicht von ihm, sondern vom AMS erhalten und der Betroffene erhalte von der Beschwerdeführerin auch nach Ablauf der Löschungsfrist Jobangebote.

2. Mit Schreiben vom 07.12.2020 forderte die belangte Behörde die Beschwerdeführerin zur Stellungnahme auf. Diese Aufforderung blieb unbeantwortet.

3. Mit Schreiben vom 25.03.2021 forderte die belangte Behörde die Beschwerdeführerin erneut zur Stellungnahme auf und wies auf deren Mitwirkungspflicht (als datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO) und die Möglichkeit der Einleitung eines Verwaltungsstrafverfahrens hin.

4. Mit Schreiben vom 12.04.2021 gab die Beschwerdeführerin eine Stellungnahme ab, in der sie ausführte, der Betroffene sei zum Zeitpunkt der Kontaktaufnahme beim AMS als arbeitssuchend gemeldet gewesen. Das AMS gelte als offizielle Plattform der Arbeitsvermittlung und die Beschwerdeführerin habe die Daten des Betroffenen vom AMS erhalten, sodass die Stellenangebote nicht rechtswidrig übermittelt worden seien.

5. Mit Schreiben vom 19.04.2021 gab der Betroffene eine weitere Stellungnahme ab, in der er im Wesentlichen vorbrachte, er habe vom AMS erfahren, dass dessen Vertragspartner ausschließlich über das AMS mit Arbeitswilligen Kontakt aufnehmen würde. Es gehe nicht darum, wie die Beschwerdeführerin die Daten erhalten habe und ob dies rechtskonform erfolgt sei, sondern darum, dass diese dem Löschungsantrag des Betroffenen nicht nachgekommen sei.

6. Mit Bescheid der belangten Behörde vom 06.08.2021, Zl. D124.3325,2021-0.415.529, hat die Datenschutzbehörde der Datenschutzbeschwerde stattgegeben und festgestellt, dass die Beschwerdeführerin den Betroffenen dadurch im Recht auf Löschung verletzt hat, indem sie dessen Antrag auf Löschung vom 03.10.2020 nicht nachgekommen ist (Spruchpunkt 1.). Weiters wurde die Beschwerdeführerin angewiesen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution sämtliche von ihr verarbeiteten Daten des Betroffenen zu löschen (Spruchpunkt 2.).

Begründend führt die Datenschutzbehörde zusammengefasst aus, die Beschwerdeführerin habe als Verantwortliche bei der Erhebung der Daten des Betroffenen gegen den Transparenzgrundsatz gemäß Art. 5 Abs. 1 lit. a und Art. 14 Abs. 1 und 2 DSGVO verstoßen, weshalb sie gemäß Art. 17 Abs. 1 lit. d DSGVO jedenfalls zur Löschung verpflichtet war. Die Verantwortliche habe die Daten des Betroffenen zwar einer von diesem selbst erstellten Stellenanzeige im eJob-Room des AMS entnommen, demnach dort eingesehen und kopiert, dies war jedoch ohne Mitwirkung des Beschwerdeführers und damit ohne die mit einer solchen Mitwirkung verbundene Kenntnisnahme von der Datenerhebung und den aus diesem Anlass vom Verantwortlichen bereitzustellenden Informationen geschehen. Die Ausnahme gemäß Art. 14 Abs. 5 lit. a DSGVO kam daher nicht zur Anwendung. Gemäß Art. 14 Abs. 3 lit. b DSGVO hätte die Verantwortliche daher spätestens zum Zeitpunkt der ersten SMS an den Betroffenen diesem die gemäß Art. 14 Abs. 1 und 2 DSGVO in Frage kommenden Informationen erteilen müssen. Die Verantwortliche wäre daher verpflichtet gewesen, die Daten des Betroffenen nach dem Einlangen von dessen Antrag auf Löschung am 03.10.2020 unverzüglich, längstens jedoch innerhalb der Monatsfrist gemäß Art. 12 Abs. 3 DSGVO zu löschen.

7. Mit Schreiben der belangten Behörde vom 27.04.2022 wurde der Beschwerdeführerin mitgeteilt, sie stehe im Verdacht, in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls zwischen 03.10.2020 bis einschließlich 06.08.2021 unrechtmäßig personenbezogene Daten des Betroffenen verarbeitet zu haben, indem die Daten des Betroffenen trotz des Antrags des Betroffenen auf Löschung seiner Daten zum Zwecke der Arbeitsvermittlung aufbewahrt wurden. Die Aufbewahrung der Daten sei dadurch zum Zwecke der Arbeitsvermittlung nicht mehr erforderlich gewesen und die Daten des Betroffenen hätten nicht länger gespeichert bzw. aufbewahrt werden dürfen. Die Beschwerdeführerin habe die Daten somit in Missachtung der Grundsätze der Datenverarbeitung gemäß Art. 5 DSGVO (insbesondere die Grundsätze nach Art. 5 Abs. 1 lit. a, c und e DSGVO) aufbewahrt. Eine Rechtsgrundlage für die konkrete Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sei für den gesamten Tatzeitraum nicht vorgelegen. Die Beschwerdeführerin stehe zudem im Verdacht, zwischen 03.10.2020 bis einschließlich 06.08.2021 den Betroffenen in seinem Recht auf Löschung verletzt zu haben, indem der Antrag des Betroffenen ignoriert und die beantragte Löschung bis zumindest 06.08.2021 verweigert worden sei. Die Beschwerdeführerin habe schließlich als Verantwortliche und in ihrer Rolle als Beschwerdegegnerin (Verfahrenspartei) im Verfahren im Zeitraum zwischen 17.12.2020 bis 05.08.2021 gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde) im Sinne von Art. 31 DSGVO verstoßen, indem sie mehrfach die Aufforderungen der belangten Behörde zur Stellungnahme in Bezug auf den Antrag des Betroffenen auf Löschung ignoriert habe. Das rechtswidrige und schuldhafte Verhalten des ausgewiesenen organschaftlichen Vertreters werde der beschuldigten juristischen Person als die datenschutzrechtlich Verantwortliche (im Sinne von Art. 4 Z 7 DSGVO) zugerechnet.

8. Mit Schreiben vom 11.05.2022 gab XXXX über die E-Mail-Adresse XXXX eine Stellungnahme ab, ohne eine von der Beschwerdeführerin erteilte Vollmacht vorzulegen. In der Stellungnahme wurde ausgeführt, der Betroffene sei mehrmals beim AMS als arbeitssuchend gemeldet gewesen und jede Person, die beim AMS gemeldet ist, scheine bei der Beschwerdeführerin auf. Die Telefonnummer des Betroffenen sei im AMS eJob-Room für jeden zugänglich und es sei gesetzlich geregelt, dass jedes Unternehmen Zugriff auf die AMS-Daten habe bzw. zugreifen dürfe. Die Nummer des Betroffenen sei bei der Beschwerdeführerin gelöscht worden, es könne allerdings sein, dass er erneut angeschrieben werde, falls er sich wieder beim AMS als arbeitssuchend melde.

9. Mit Schreiben der belangten Behörde vom 26.09.2022 wurde die Beschwerdeführerin erneut zur Abgabe einer substantiierten Rechtfertigung aufgefordert. Insbesondere wurde sie dazu aufgefordert, eine Vollmacht vorzulegen, die rechtliche Grundlage für die Datenverarbeitung darzulegen, das Verarbeitungsverzeichnis gemäß Art. 30 DSGVO zu übermitteln, sich für den ihr vorgeworfenen Verstoß gegen die Mitwirkungspflicht zu rechtfertigen und ihren Jahresumsatz sowie ihre Gewinne/Verluste bekanntzugeben.

10. Mit Schreiben der belangten Behörde vom 19.01.2023 wurde der Beschwerdeführerin die Möglichkeit eingeräumt, der belangten Behörde bis zum 01.02.2023 das Verarbeitungsverzeichnis gemäß Art. 30 DSGVO zu übermitteln und bis zum 09.02.2023 eine Rechtfertigung/Stellungnahme einzubringen.

11. Mit Bescheid der belangten Behörde vom 16.02.2023, Zl. D550.559,2023-0.129.244, zugestellt am 20.02.2023, wurde das Verfahren gemäß § 24 VStG iVm § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-807/21 ausgesetzt.

Begründend hielt die belangte Behörde zusammengefasst fest, mit Beschluss vom 06.12.2021 zur GZ: 3 Ws 250/21 habe das Kammergericht Berlin den Gerichtshof der Europäischen Union im Rahmen eines Vorabentscheidungsersuchens nach Art. 267 AEUV um Auslegung des Art. 83 DSGVO in Bezug auf die Frage, ob ein Unternehmen unmittelbar Betroffener im Bußgeldverfahren wegen eines Verstoßes gegen Art. 83 DSGVO sein kann, ersucht und in diesem Zusammenhang näher bezeichnete Fragen vorgelegt. Zum Zeitpunkt des Einlangens des Vorabentscheidungsersuchens beim EuGH sei im gegenständlichen Verwaltungsstrafverfahren keine meritorische Entscheidung der belangten Behörde vorgelegen. Über das Vorabentscheidungsersuchen in der beim EuGH anhängigen Rechtssache C-807/21 sei zum Zeitpunkt der gegenständlichen Verfahrensaussetzung nicht rechtskräftig entschieden worden. Die belangte Behörde habe im konkreten Fall eine Zurechnung nach § 30 DSG vorgenommen. Aufgrund des Vorabentscheidungsersuchens in der Rechtssache C-807/21 sei fraglich, ob diese Bestimmung überhaupt zur Anwendung gelangen dürfe. Die durch den EuGH im Zuge des Vorabentscheidungsverfahrens zu lösende Rechtsfrage habe daher schon deshalb für das gegenständliche Verfahren präjudizielle Wirkung, da die belangte Behörde für eine allfällige Bestrafung der Beschwerdeführerin (Straferkenntnis oder Verwarnung) eine Zurechnung nach § 30 DSG vornehmen müsste.

12. Mit Schreiben vom 07.08.2023 gab die Beschwerdeführerin eine Stellungnahme ab, in der sie ausführte, sie erhalte vom AMS direkt oder über den AMS eJob-Room Zugang zu den Telefonnummern der Arbeitssuchenden. Ihrer Ansicht nach sei es nicht strafbar, Arbeitssuchenden Jobangebote zu übermitteln, wenn diese Personen beim AMS gemeldet sind und die Daten Unternehmen öffentlich zugänglich gemacht werden. Die Beschwerdeführerin habe bislang nicht reagiert, da eine ehemalige Mitarbeiterin die Schreiben abgelegt habe, ohne sie weiterzuleiten, und eines der Schreiben sei erst kürzlich zufällig entdeckt worden. Die Daten des Betroffenen seien gelöscht worden und er werde nicht mehr mit Arbeitsangeboten kontaktiert. Die Beschwerdeführerin erwirtschafte 1,9 Millionen € Umsatz und der Geschäftsführer beziehe ein Nettogehalt in Höhe von 2.500,- €. Die Beschwerdeführerin entschuldigte sich für die mangelhafte Mitwirkung am Verfahren, ersuchte um Einstellung des Verfahrens oder um eine allenfalls milde Strafe und stellte in Aussicht, in Zukunft vergleichbare Vorkommnisse durch klare Aufzeichnungen und Anweisungen zu verhindern.

13. Mit Bescheid der belangten Behörde vom 05.12.2023, Zl. D550.559,2023-0.807.490, zugestellt am 11.12.2023, wurde der Aussetzungsbescheid vom 16.02.2023 von Amts wegen aufgehoben und das Verwaltungsstrafverfahren – unter Berücksichtigung des Urteils vom 05.12.2023 des EuGH in der Rechtssache C-807/21 – fortgesetzt.

14. Mit Straferkenntnis der belangten Behörde vom 12.12.2023, Zl. D550.559,2023-0.667.869, zugestellt am 15.12.2023, wurde festgestellt, zumindest im Zeitraum vom 03.10.2020 bis einschließlich 06.08.2021 unrechtmäßig personenbezogene Daten einer betroffenen Person verarbeitet, indem sie die Daten des Betroffenen trotz seines Löschungsantrags vom 03.10.2020 zum Zwecke der Arbeitsvermittlung aufbewahrt und unter anderem für die Übermittlung von unterschiedlichen Jobangeboten verwendet habe. Die Beschwerdeführerin habe somit personenbezogene Daten ohne einer einschlägigen Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO verarbeitet und damit gegen die Grundsätze nach Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“), Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung) und Art. 5 Abs. 1 lit. e DSGVO („Speicherbegrenzung“) verstoßen (Spruchpunkt I.). Darüber hinaus habe sie den Betroffenen von 03.10.2020 bis einschließlich 06.08.2021 in seinem Recht auf Löschung nach Art. 17 DSGVO verletzt, indem sie den Antrag des Betroffenen vom 03.10.2020 nicht behandelt und die beantragte Löschung bis zumindest 06.08.2021 nicht vorgenommen habe, obwohl die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig gewesen und unrechtmäßig verarbeitet worden seien (Spruchpunkt II.). Weiters habe die Beschwerdeführerin im Zeitraum von 17.12.2020 bis 05.08.2021 gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der belangten Behörde gemäß Art. 31 DSGVO verstoßen, indem sie den näher dargestellten Aufforderungen zur Stellungnahme im Rahmen des Beschwerdeverfahrens nicht entsprochen habe (Spruchpunkt III.). Aufgrund dieser Verwaltungsübertretungen wurde über die Beschwerdeführerin gemäß Art. 83 Abs. 3 und 5 lit. a DSGVO eine Geldstrafe in Höhe von € 12.800,- verhängt. Ferner habe sie gemäß § 64 VStG € 1.280,- als Beitrag zu den Kosten des Strafverfahrens zu zahlen. Der zu zahlende Gesamtbetrag betrage daher € 14.080,-.

Begründend führt die belangte Behörde – soweit wesentlich – aus, der im Zuge der Aufforderung zur Rechtfertigung vorgeworfene Sachverhalt sei von der Beschwerdeführerin im Rahmen des Verwaltungsstrafverfahrens nicht bestritten worden. Sie habe sowohl die Kontaktaufnahme bzw. die Vermittlung von Jobangeboten an den Betroffenen als auch die mangelnde Mitwirkung im Beschwerdeverfahren eingeräumt. Auch die Rolle der Beschwerdeführerin als Verantwortliche gemäß Art. 4 Z 7 DSGVO sei zu keinem Zeitpunkt bestritten worden. Mangels Einwilligung des Betroffenen sei für die Datenverarbeitung lediglich der Rechtfertigungstatbestand nach Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) in Frage gekommen. Im Tatzeitraum habe die Beschwerdeführerin ausschließlich das reglementierte Gewerbe der „Überlassung von Arbeitskräften“, nicht jedoch jenes der „Arbeitskräfteüberlassung“ ausgeübt, sodass an der Datenverarbeitung kein berechtigtes Interesse bestanden habe. Zudem sei die Datenverarbeitung auch nicht erforderlich gewesen. Daher bedürfe es auch keiner Interessenabwägung. Da die personenbezogenen Daten des Betroffenen unrechtmäßig verarbeitet worden und die Verarbeitung nicht erforderlich gewesen sei, hätte die Beschwerdeführerin dem Löschungsantrag nachkommen müssen. Erst nach Erledigung des Beschwerdeverfahrens mit einer Anweisung und der Einleitung des gegenständlichen Verwaltungsstrafverfahrens habe die Beschwerdeführerin die Löschung schlussendlich vorgenommen. Mehrere Mitarbeiterinnen der Beschwerdeführerin hätten über das anhängige Beschwerdeverfahren und die mangelnde Mitwirkung der Beschwerdeführerin Kenntnis erlangt und in Folge dennoch nicht gewährleistet, dass den Aufforderungen ordnungsgemäß entsprochen werde. Außerdem habe der Geschäftsführer der Beschwerdeführerin die mangelnde Mitwirkung selbst eingeräumt. Der EuGH habe in seiner Entscheidung vom 05.12.2023, C-807/21, ausgeführt, dass juristische Personen nicht nur für Verstöße haften, die von ihren Vertretern, Leitern oder Geschäftsführern begangen wurden, sondern auch für Verstöße, die von jeder anderen Person begangen wurde, die im Rahmen der unternehmerischen Tätigkeit und im Namen der juristischen Person handelte. Außerdem müsse es möglich sein, die in Art. 83 DSGVO vorgesehenen Geldbußen unmittelbar gegen juristische Personen zu verhängen. Es sei im vorliegenden Fall nicht entscheidungserheblich, ob der Geschäftsführer der Beschwerdeführerin die gegenständlichen Verstöße zu verantworten habe (z.B. aufgrund mangelnder Überwachung und Kontrolle der jeweiligen Arbeitnehmer). In diesem Zusammenhang habe der EuGH ausdrücklich klargestellt, dass keine Handlung und nicht einmal eine Kenntnis über den Verstoß seitens des Leitungsorgans für die Anwendung des Art. 83 DSGVO erforderlich ist. Im Lichte des als erwiesen angenommen Sachverhalts werde eine vorsätzliche Tathandlung für sämtliche Verwaltungsübertretungen durch die Beschwerdeführerin angenommen. Es werde angenommen, dass der Umsatz der Beschwerdeführerin in der niedrigsten Kategorie der Fines-Leitlinien liege und dass ein Verstoß mittleren Schweregrads vorliege. Es würden keine Erschwerungsgründe vorliegen. Als mildernd sei zu werten, dass keinerlei einschlägige frühere Verstöße gegen die DSGVO vorliegen würden, dass die Beschwerdeführerin nach Aussetzung des Verfahrens mitgewirkt und zur Wahrheitsfindung beigetragen habe sowie dass sie die Löschung der Daten nach Einbringung der Beschwerde vorgenommen habe. Die Strafe sei zur Sensibilisierung aus spezial- und generalpräventiven Gründen erforderlich sowie tat- und schuldangemessen.

15. Mit Schreiben vom 10.01.2024, eingelangt am 12.01.2024, erhob die Beschwerdeführerin anwaltlich vertreten Beschwerde gegen das Straferkenntnis vom 12.12.2023. Begründend führte sie darin aus, das Straferkenntnis werde in seinem gesamten Umfang, auch hinsichtlich der Strafhöhe, angefochten. Die belangte Behörde habe den Sachverhalt unvollständig ermittelt. Der Betroffene habe seine personenbezogenen Daten dem AMS überlassen und zugestimmt, dass diese Daten zum Zweck der Arbeitsvermittlung gespeichert und vom AMS für alle Unternehmen in Österreich im eJob-Room angeboten werden. Die Abfrageberechtigung habe nichts mit dem Gewerbe des jeweiligen Unternehmens zu tun. Die Beschwerdeführerin habe ausschließlich die Telefonnummer des Betroffenen verarbeitet und somit auf die rechtmäßige Verarbeitung und Datenminimierung geachtet. Nur im Fall einer Interessensbekundung seitens der Arbeitssuchenden würden weitere Daten verarbeitet werden und zum Zweck der Lohnbuchhaltung und für eine Betriebsprüfung gespeichert werden, sodass auch der Grundsatz der Speicherbegrenzung eingehalten werde. Die Beschwerdeführerin sei dem Löschungsantrag des Betroffenen nachgekommen und dieser habe lediglich drei weitere Jobangebote erhalten, da seine Daten in diesem Zeitraum im eJob-Room enthalten gewesen seien und die Beschwerdeführerin lediglich Telefonnummern extrahiert habe, sodass für sie nicht ersichtlich gewesen sei, dass der Betroffene weitere Jobangebote erhalten habe. Die Beschwerdeführerin sei jedoch ohnehin dazu berechtigt gewesen und habe keine datenschutzrechtlichen Bestimmungen verletzt. Eine bloße Telefonnummer sei zudem kein personenbezogener Datensatz, da eine Änderung der Telefonnummer jederzeit möglich sei und auch die Angabe der Telefonnummer einer fremden Person möglich sei. Bis zur Entscheidung des EuGH vom 5.12.2023 habe die Beschwerdeführerin zudem keine Rechtsklarheit über die unmittelbar anzuwendenden Bestimmungen des Art. 58 Abs. 2 lit. i und Art. 83 Abs. 1 bis 6 DSGVO gehabt bzw. haben könne, sodass sie auch keinen Vorsatz dahingehend entwickeln können habe. In Anbetracht der Milderungsgründe sowie spezial- und generalpräventiver Überlegungen hätte die Strafe geringer ausfallen müssen.

Das Straferkenntnis sei ersatzlos aufzuheben und das Verfahren einzustellen, zumindest sei jedoch die Geldstrafe deutlich niedriger festzusetzen. Die Beschwerdeführerin verzichtete explizit auf die Durchführung einer mündlichen Verhandlung.

16. Mit Schreiben vom 25.01.2024 (eingelangt am 30.01.2024) legte die belangte Behörde dem Bundesverwaltungsgericht die Beschwerde samt Bezug habendem Verwaltungsakt vor. Im Rahmen ihrer Stellungnahme führt die belangte Behörde zusammengefasst aus, das Beschwerdevorbringen werde zur Gänze bestritten und verweise man auf die Ausführungen im angefochtenen Straferkenntnis. Zudem erweise sich das Vorbringen, wonach die Beschwerdeführerin die Daten des Betroffenen aus dem AMS eJob-Room erlangt habe und dieser die Funktion komplett deaktivieren müsse, wenn er keine Jobangebote erhalten wolle, als nicht nachvollziehbar. Die Beschwerdeführerin habe sich nicht mit den Ausführungen zu den berechtigten Interessen im Straferkenntnis auseinandergesetzt. Von der belangten Behörde werde bestritten, dass „jeder Unternehmer alle im AMS eJob-Room gespeicherten Daten“ abfragen könne bzw. diese Daten „allen österreichischen Unternehmen gratis zur Verfügung“ stehen würden. Tatsächlich dürfe Arbeitsvermittlung gemäß § 4 Abs. 1 AMFG nur durch einen beschränkten Personenkreis ausgeübt werden und es müsse zuvor eine Registrierung beim AMS erfolgen. Den Nutzungsbedingungen des eJob-Room zufolge sei die Plattform nicht dafür vorgesehen, eine systematische Erhebung von personenbezogenen Daten aus dieser Plattform vorzunehmen, um diese in Folge in ein System zu übertragen und sämtlichen betroffenen Personen unaufgefordert eine Nachricht zum Zweck der Arbeitsvermittlung zu versenden. Außerdem habe die Beschwerdeführerin im Tatzeitraum lediglich das Gewerbe der „Arbeitskräfteüberlassung“ ausgeübt. Schon aufgrund der im Straferkenntnis genannten Gründe könne die gegenständliche Datenverarbeitung keinesfalls auf berechtigte Interessen gestützt werden. Die mangelhafte Mitwirkung der Beschwerdeführerin im Verfahren gehe unzweifelhaft aus dem Akt hervor und stehe in keinem Zusammenhang mit dem Vorabentscheidungsersuchen zu C-807/21.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die Beschwerdeführerin, die XXXX GmbH (FN XXXX ), übte im Zeitraum vom 03.08.2020 bis 06.08.2021 ausschließlich das reglementierte Gewerbe „Überlassung von Arbeitskräften“ aus. Die Gewerbeberechtigung hierfür entstand am 09.10.2019. Seit 10.01.2023 (somit nach dem hier relevanten Tatzeitraum) übt die Beschwerdeführerin zusätzlich das Gewerbe der „Arbeitsvermittlung“ aus.

Die Beschwerdeführerin ist spezialisiert auf die Bereitstellung von Personaldienstleistungen in der Bau- und Industriebranche sowie im Medizinbereich.

1.2. Die Beschwerdeführerin verarbeitete im Rahmen ihrer gewerblichen Tätigkeit, jedenfalls im Zeitraum vom 03.10.2020 bis einschließlich 06.08.2021 in XXXX , ohne Zutun des Betroffenen XXXX Informationen zum Betroffenen (Vor- und Nachnahme, Anschrift, Kontaktdaten, insbesondere dessen Mobilfunknummer) aus dem „eJob-Room“ für Arbeitssuchende des Arbeitsmarktservice (AMS), um diese zum Zweck der Ausübung des Gewerbes der Arbeitskräfteüberlassung zu nutzen. Das Unternehmen der Beschwerdeführerin nutzte die personenbezogneen Daten des Betroffenen unter anderem für die Übermittlung von unterschiedlichen Jobangeboten (zur Überlassung) bei Drittfirmen.

Dies trotz des Antrags des Betroffenen vom 03.10.2020 auf Löschung seiner Daten und der Information, dass er an keinen derartigen Angeboten durch das Unternehmen der Beschwerdeführerin interessiert wäre bzw. ohne, dass zwischen dem Betroffenen und dem Unternehmen der Beschwerdeführerin zuvor eine vertragliche Beziehung bestand.

Da der Betroffene keine weitere Zusendung von elektronischen Nachrichten zur Vermittlung von Jobangeboten seitens des Unternehmens der Beschuldigten wünschte, diese aber auch tatsächlich nicht benötigte, da er von 06.08.2020 bis 07.07.2022 als Arbeiter in Beschäftigung – und damit nicht arbeitssuchend war, versuchte er zunächst telefonisch mit der Beschwerdeführerin Kontakt aufzunehmen, um keine weiteren elektronischen Nachrichten von ihrem Unternehmen zu erhalten. Die telefonischen Versuche des Betroffenen blieben jedoch fruchtlos, da er keine Mitarbeiterin der Beschwerdeführerin erreichen konnte.

Der Text der E-Mailnachricht des Betroffenen vom 03.10.2020 stellt sich inhaltlich dar wie folgt [Formatierung nicht wie im Original]:

„Betreff: Antrag auf unverzügliche Löschung gemäß Art. 17 Abs. 1 DSGVO

Von XXXX

Datum03.10.2020 17:31

Guten Tag,

ich stelle hiermit Antrag auf unverzügliche Löschung mich betreffender personenbezogener Daten gemäß Art. 17 Abs. 1 DSGVO.

Bitte löschen Sie sämtliche mich betreffenden personenbezogenen Daten nach der Definition des Art. 4 Nr. 1 DSGVO.

Ich bin der Meinung, dass die Voraussetzungen des Art. 17 Abs. 1 DSGVO gegeben sind. Sie können auch keinen Ausnahmetatbestand nach Art. 17 Abs. 3 DSGVO geltend machen, zumal ich keine Person des öffentlichen Lebens bin.

Sollte ich eine Einwilligung zur Verarbeitung meiner Daten (bspw. Nach Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 DSGVO) erteilt haben, widerrufe ich diese hiermit für den gesamten Prozess der Datenverarbeitung.

Weiterhin lege ich im Sinne des Art. 21 DSGVO Widerspruch gegen die Verarbeitung mich betreffender Personenbezogener Daten ein, dies gilt auch für Profiling. Ich fordere Sie auf, die Verarbeitung der mich betreffenden Daten gemäß Art. 18 Abs. 1 lit. D DSGVO einzuschränken, solange noch nicht feststeht, ob Ihre berechtigten Gründe gegenüber meinen überwiegen. Falls Sie die betroffenen Daten öffentlich gemacht haben sollten, sind Sie nach Art. 17 Abs. 2 DSGVO dazu verpflichtet, alle angemessenen Maßnahmen zu treffen, um andere Verantwortliche, beispielsweise Suchmaschinenbetreiber, welche die oben aufgeführten personenbezogenen Daten verarbeiten, über meinen Antrag auf Löschung aller Links, Kopien oder Replikationen zu informieren. Dies gilt nicht nur für exakte Kopien der betroffenen Daten, sondern auch für solche, aus denen in den betroffenen Daten enthaltene Informationen entnehmbar sind.

Sofern Sie die betroffenen personenbezogenen Daten einem oder mehreren Empfängern im Sinne des Art. 4 Nr. 9 DSGVO offengelegt haben, haben Sie meinen Wunsch auf Löschung der genannten personenbezogenen Daten und sämtlicher Verweise darauf nach Art. 19 DSGVO auch allen solchen Empfängern mitzuteilen. Bitte informieren Sie mich weiterhin über diese Empfänger.

Sollten Sie die Löschung ablehnen, haben Sie dies mir gegenüber zu begründen.

Meine Anfrage schließt explizit auch sämtliche weitere Angebote und Unternehmen ein, für die Sie verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO sind.

Nach Art. 12 Abs. 3 DSGVO haben Sie mich unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die vorgenommenen Löschungen zu informieren.

Zur Identifikation meiner Person habe ich folgende Daten beigefügt:

XXXX ; wohnhaft: XXXX ; Geb..: XXXX ; Tel.: XXXX

Sollten Sie meinem Antrag nicht innerhalb der genannten Frist nachkommen, behalte ich mir vor rechtliche Schritte gegen Sie einzuleiten und Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzureichen. Heute ist der 3.Oktober 2020.

Schon im Voraus vielen Dank für Ihre Mühe.

Mit freundlichen Grüßen

XXXX “

Diese Nachricht ist der Beschwerdeführerin jedenfalls zugegangen und wurde von ihr zweifellos zur Kenntnis genommen. Es erfolgte keine Reaktion auf dieses Schreiben durch die Beschwerdeführerin. Es erfolgte keine Löschung der Daten des Betroffenen, vielmehr hat die Beschuldigte dem Betroffenen zumindest am 20.11.2020, 01.12.2020 und 16.04.2021 weitere Nachrichten zugesandt, um Jobangebote von ihren Kunden an den Betroffenen zu vermitteln.

1.3. Der Betroffene brachte am 01.12.2020 bei der Datenschutzbehörde Datenschutzbeschwerde gegen die Beschwerdeführerin ein und brachte darin im Wesentlichen vor, sich in seinem Recht auf Löschung eingeschränkt zu fühlen, da er in Bezug auf seinen Antrag vom 03.10.2020 keine Rückmeldung von der Beschwerdeführerin erhalten habe, er daher davon ausgehe, dass keine Löschung vorgenommen worden sei. Er habe von der Beschwerdeführerin jedoch auch keine Ablehnung des Antrags erhalten.

1.4. Die Datenschutzbehörde leitete in Folge ein Beschwerdeverfahren (§ 24 DSG) gegen die Beschwerdeführerin zur GZ: D124.3325 ein und forderte sie mit Schreiben vom 07.12.2020 in ihrer Rolle als Verantwortliche/Beschwerdegegnerin zur Stellungnahme auf. Konkret wurde der Beschwerdeführerin die Aufforderung zur Stellungnahme samt Beilagen (Beschwerde des Betroffenen) per E-Mail an XXXX am 17.12.2020 (13:28 Uhr) zugestellt wobei diese Nachricht am selben Tag (um 13:41 Uhr) gelesen wurde.

1.4.1. Die Beschwerdeführerin kam der Aufforderung zur Stellungnahme seitens der Datenschutzbehörde nicht nach und erfolgte auch sonst keinerlei Reaktion seitens des Unternehmens der Beschwerdeführerin.

1.4.2. Die Datenschutzbehörde hat daher in Folge die Beschwerdeführerin mit Urgenzschreiben vom 25.03.2021 erneut zur Stellungnahme aufgefordert. Konkret wurde das erste Urgenzschreiben per RSb an den Firmensitz der Beschwerdeführerin in XXXX , am 06.04.2021 zugestellt.

In Reaktion auf das Urgenzschreiben hat eine der Datenschutzbehörde unbekannte Mitarbeiterin des Unternehmens der Beschwerdeführerin, wobei die betreffende Mitarbeiterin laut Firmenbuch über keine Vertretungsbefugnis verfügte, zudem auch sonst keine Vollmachtbekanntgabe diese Person betreffend vorlag, mit Schreiben vom 12.04.2021 folgende Stellungnahme übermittelt [das Schreiben wurde als Beilage zur E-Mail vom 12.04.2021 von der Absenderadresse XXXX übermittelt, Formatierung nicht wie im Original]:

„Sehr geehrte Damen und Herren,

zu oben angeführter Angelegenheit, nehmen wir wie folgt Stellung:

XXXX war zum Zeitpunkt der Kontaktaufnahme beim Arbeitsmarktservice als arbeitssuchend gemeldet.

Nachdem das AMS als offizielle Plattform der Arbeitsvermittlung gilt und wir die Daten von diesem Amt übermittelt bekommen haben, sehen wir dies in keinem Fall als rechtswidrig, XXXX ein Stellenangebot anzubieten.

Wir verbleiben mit der Bitte um Kenntnisnahme

Mit freundlichen Grüßen

( XXXX (Stempel)

XXXX “

1.4.3. Eine weitere Stellungnahme, insbesondere hinsichtlich der behaupteten und verfahrensgegenständlichen Verletzung im Recht auf Löschung des Betroffenen wurde seitens der Beschwerdeführerin gegenüber der Datenschutzbehörde nicht erstattet.

1.4.4. Die Datenschutzbehörde forderte die Beschwerdeführerin daher mit einem zweiten Aufforderungsschreiben vom 23.04.2021 erneut zur Stellungnahme auf, verwies darin insbesondere auf die Rechenschaftspflicht in deren Rolle als Verantwortliche (Art. 5 Abs. 2 DSGVO). Das erneute behördliche Aufforderungsschreiben wurde per E-Mail an XXXX am 27.04.2021 (10:58 Uhr) zugestellt und am selben Tag um 11:00 Uhr gelesen.

1.4.5. Die Datenschutzbehörde wies die Beschwerdeführerin im Rahmen sämtlicher Aufforderungsschreiben ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin.

1.4.6. Die Beschwerdeführerin kam dem Aufforderungsschreiben jedoch nicht nach und erfolgte auch sonst keine Reaktion seitens der Beschwerdeführerin. Das Verfahren musste schließlich ohne Mitwirkung der Beschwerdeführerin mit Bescheid vom 06.08.2021 (GZ: D124.3325 / 2021-0.415.529) abgeschlossen werden. Die Datenschutzbehörde gab der Beschwerde des Betroffenen statt und es wurde festgestellt, dass die Beschwerdeführerin den Betroffenen in seinem Recht auf Löschung verletzt hat, indem sie seinem Antrag auf Löschung seiner Daten nicht nachgekommen ist. Zudem wurde der Beschwerdeführerin die Löschung der Daten des Betroffenen binnen vier Wochen bei sonstiger Exekution aufgetragen. Dieser Bescheid erwuchs in Rechtskraft.

1.4.7. Die Datenschutzbehörde leitete in Folge das gegenständliche Verwaltungsstrafverfahren gegen die Beschuldigte ein und forderte sie mit Schreiben vom 27.04.2022 zur Rechtfertigung und Bekanntgabe des Jahresumsatzes auf. Darin verwies die belangte Behörde ausdrücklich darauf, dass das Strafverfahren ohne Anhörung der Beschuldigten im Falle mangelnder Mitwirkung fortgesetzt werde. Die Aufforderung zur Rechtfertigung wurde der Beschwerdeführerin und ihrem ausgewiesenen Geschäftsführer XXXX per RSa am 02.05.2022 und 03.05.2022 nachweislich zugestellt.

1.4.8. In Reaktion hierauf erstattete eine der Datenschutzbehörde unbekannte Mitarbeiterin der Beschwerdeführerin eine schriftliche Rechtfertigung, diese wurde per E-Mail am 11.05.2022 von XXXX an die Datenschutzbehörde übermittelt. Vollmacht wurde dabei nicht gelegt. Inhaltlich beschränkte sich die Stellungnahme im Wesentlichen auf den (erneuten) Hinweis, dass die personenbezogenen Daten des Betroffenen aus dem „E-Job-Room“ des AMS erhoben und daher rechtmäßig verarbeitet worden seien.

1.4.9. Mangels Vertretungslegitimation und aufgrund der unsubstantiierten Rechtfertigung forderte die Datenschutzbehörde die Beschuldigte erneut zur Rechtfertigung auf und stellte konkrete Fragen. Darüber hinaus wurde die Beschuldigte aufgefordert, ihr Verarbeitungsverzeichnis der Datenschutzbehörde vorzulegen und den Jahresumsatz bekanntzugeben. Die Aufforderung wurde erneut per RSa an die Beschuldigte und ihren Geschäftsführer zugestellt.

1.4.10. Dieser Aufforderung kam die Beschwerdeführerin wiederum nicht nach und erfolgte auch auf eine weitere behördliche Aufforderung zur Stellungnahme keinerlei Rückäußerung seitens der Beschwerdeführerin.

1.4.11. Mit Bescheid vom 16.02.2023 hat die Datenschutzbehörde das Verwaltungsstrafverfahren bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-807/21 (Deutsche Wohnen SE) ausgesetzt. Der Aussetzungsbescheid erwuchs mangels Rechtsmittel in Rechtskraft.

1.4.12. In der Folge erstattete die Beschwerdeführerin aufgrund der Einleitung eines weiteren Verwaltungsstrafverfahrens (Ausgangspunkt war erneut die mangelnde Mitwirkung anlässlich eines weiteren Beschwerdeverfahrens vor der Datenschutzbehörde), eine schriftliche Rechtfertigung betreffend den Tatvorwurf des hier zu behandelnden Verwaltungsstrafverfahrens. Darin führte die Beschwerdeführerin im Wesentlichen aus, dass sie die Telefonnummer des Betroffenen aus dem „eJob-Room“ des AMS zum Zwecke der Kontaktaufnahme und Übermittlung eines unverbindlichen Jobangebots erhoben habe; hinsichtlich der vorgeworfenen mangelnden Mitwirkung in den datenschutzrechtlichen Beschwerdeverfahren verwies die Beschwerdeführerin auf das Verschulden einer Mitarbeiterin. Demnach habe eine namentlich genannte Mitarbeiterin die behördlichen Schreiben „in einer Kiste abgelegt und den Geschäftsführer nicht informiert. Zudem führte die Beschwerdeführerin aus, nun die Daten des Betroffenen gelöscht zu haben und diesen in Zukunft nicht mehr zu kontaktieren. Den Umsatz des Unternehmens bezifferte die Beschwerdeführerin mit EUR 1,9 Millionen.

1.4.13. Mit Schreiben vom 05.12.2023 hob die DSB den Aussetzungsbescheid vom 16.02.2023 von Amts wegen auf und setzte das Verwaltungsstrafverfahren - unter Berücksichtigung des Urteils vom 05.12.2023 des EuGH in der Rechtssache C-807/21 – fort.

1.5. Eine vergleichbare elektronische Mitteilung des Unternehmens der Beschwerdeführerin zum Zweck der Unterbreitung von Arbeitsangeboten stellt sich inhaltlich wie folgt dar [Formatierung nicht wie im Original]:

„Arbeits - ANGEBOT:

XXXX GmbH

XXXX

Einsatzort - WIEN

langfristig!

Wir suchen Tischler (auch angelernt möglich)

Lohn - 2.600 € Netto

grundlegend 4 Tage Woche möglich
Zug/Fahrtkosten wird von der Firma bezahlt (Ticketabholcode/Mitarbeiterkarte) oder KM Ersatz
Einzelzimmer wird auch von der Firma organisiert und bezahlt

Bei Interesse bitte jederzeit bei XXXX unter XXXX melden oder XXXX

Mit freundlichen Grüßen

XXXX

1.6. Aus den SMS-Nachrichten, die das Unternehmen der Beschwerdeführerin an den Betroffenen im Tatzeitraum versandt hat, geht nicht hervor, ob beabsichtigt ist, den Betroffenen in ein anderes Unternehmen als Arbeitskraft zu vermitteln oder ob eine Arbeitskräfteüberlassung beabsichtigt war. Weiterhin enthielten die an den Betroffenen versandten Nachrichten keinerlei Informationen im Sinne der Art. 13 und 14 DSGVO.

1.7. Während des Tatzeitraumes (und sogar bis zum Tag der mündlichen Verhandlung) fanden sich auf der Website des Unternehmens der Beschwerdeführerin keine Informationen dazu, dass von der Beschwerdeführerin als Verantwortliche im Rahmen des Gewerbes der Arbeitskräfteüberlassung personenbezogene Daten aus dem Online-Portal des AMS, dem sogenannten „E-Job-Room“ gewonnen und zum Zweck der Zusendung von Arbeitsangeboten an Betroffene (weiter-)verarbeitet werden.

1.8. Hinsichtlich der Benutzung des „eJob-Rooms“ des AMS bestehen die folgenden – auszugsweise dargestellten – Nutzungsbedingungen, die jedes Unternehmen zu akzeptieren hat. Diese gelten sowohl im registrierten (Stand 12.11.2022), wie auch im unregistrierten Bereich (Stand: 01.08.2019):

„Datenschutz:

Die im eJob-Room enthaltenen Daten von Unternehmen, die Stellen anbieten, sowie von Arbeitssuchenden, die Stellen suchen, unterliegen dem Zweckbindungsgrundsatz des Datenschutzrechts. Daher ist die Nutzung der in der Datenbank enthaltenen Daten zu anderen Zwecken als jenen, die den gesetzlichen Auftrag des Arbeitsmarktservice widerspiegeln, untersagt. Dies betrifft insbesondere aber nicht ausschließlich die Verwendung erlangter Daten für Werbezwecke.

Die Nutzung des eJob-Room durch registrierte Unternehmen wird zu statistischen (Serviceverbesserung) und sicherheitstechnischen (Servicestabilität) Zwecken einer automatisierten Überwachung zugeführt (Monitoring). Die hier verarbeiteten Daten umfassen etwa Anzahl und Art der durchgeführten Suchen, Anzahl und Art der eingesehenen Bewerber_innendaten oder Häufigkeit von Systemanmeldungen.

Haftungsausschluss

Das AMS haftet weder für den Inhalt noch für die Richtigkeit und Vollständigkeit übermittelter bzw. im Rahmen dieses Dienstes zur Verfügung gestellter Daten. Sie tragen daher auch die alleinige Verantwortung für Ihre eigenen Inhalte sowie für den Gebrauch von fremden Inhalten. Das AMS haftet nicht für einen Schaden der durch eingegebene oder erlangte Daten oder deren Nutzung entsteht. Sollte das AMS diesbezüglich in Anspruch genommen werden, so hat es das Recht, sich an Ihnen klag- und schadlos zu halten. Bitte beachten Sie auch, dass fremde Inhalte durch Marken- oder Immaterialgüterrechte geschützt sein können und deren unberechtigte Nutzung daher nicht nur zivilrechtliche, sondern auch strafrechtliche Folgen haben kann.“

1.9. Das Unternehmen der Beschwerdeführerin hat hinsichtlich der Person des XXXX ausschließlich am 20.07.2020 eine Datenabfrage im eJobroom des AMS vorgenommen.

1.10. Die Datenschutzbehörde hat mit Bescheid vom 14.12.2023, Zl. D550.918 / 2024-0.407.488, gegen die Beschwerdeführerin eine weitere Geldbuße wegen Verletzung der Pflichten aus Art. 31 DSGVO verhängt, das Bundesverwaltungsgericht hat mit Erkenntnis vom 17.09.2024 zur Zl. W298 2295130-1/E die verhängte Geldbuße auf € 500,00 (zzgl. 10 Prozent Verfahrenskosten) reduziert. Das Bundesverwaltungsgericht ging in diesem Verfahren von folgendem Sachverhalt aus:

Die belangte Behörde forderte im Verfahren zur Zl. D124.1318/23 die Beschwerdeführerin am

I.22.06.2023 (erste Aufforderung zur Stellungnahme; GZ: D124.1318/23 – 2023-0.457.455), per Brief an XXXX zugestellt, und

II.11.09.2023 (Aufforderung zur Stellungnahme, Urgenz; GZ: D124.1318/23 – 2023-0.651.474), per RSb an XXXX am 13.09.2023 zugestellt

auf, am zuvor genannten AVG Verfahren zur Feststellung der Einhaltung datenschutzrechtlicher Pflichten gegenüber XXXX mitzuwirken.

Die Beschwerdeführerin beantwortete die behördlichen Aufforderungen trotz nachweislicher Zustellung bis zum 09.01.2024 nicht. In der Folge wirkte die Beschwerdeführerin mit, indem sie den Anträgen des XXXX folgend, Datensätze löschte.

Die Beschwerdeführerin wirkte im gegenständlichen Strafverfahren, das nach Abschluss des AVG Verfahrens am 25.03.2024 mit Aufforderung zur Rechtfertigung eingeleitet wurde, an der Aufklärung des Tathergangs nicht mit und gab ihre Einkommens- und Vermögensverhältnisse nicht bekannt.

2. Beweiswürdigung:

2.1. Zu 1.1.: Die Feststellungen zur Gesellschaft der Beschwerdeführerin und deren gewerblicher Tätigkeit ergeben sich anhand des Internetauftrittes der Beschwerdeführerin sowie den damit korrespondierenden Angaben vor dem Bundesverwaltungsgericht, zudem aus dem offenen Firmenbuch sowie dem Gewerberechts-Informationssystem-Austria (GISA).

2.2. Zu 1.2.: Die diesbezüglichen Feststellungen ergeben sich zunächst aus dem unbedenklichen Inhalt des Verwaltungsaktes, zudem anhand des Beschwerdevorbringens und der Aussagen der Beschwerdeführerin im Rahmen der mündlichen Verhandlung vor dem BVwG, sowie den damit korrespondierenden Angaben des als Zeugen einvernommenen Betroffenen. Dass der Betroffene zu keinem Zeitpunkt in die Verarbeitung seiner personenbezogenen Daten durch das Unternehmen der Beschwerdeführerin zum Zweck der Übermittlung von Jobangeboten eingewilligt hat, folgt zweifelsfrei aus den plausiblen, in sich schlüssigen Angaben des Zeugen vor dem Bundesverwaltungsgericht, an deren Glaubhaftigkeit für den erkennenden Senat keinerlei Zweifel hervorgekommen sind. Die Zeiten der tatsächlichen Arbeitslosigkeit des Betroffenen ergeben sich aus dessen diesbezüglichen Angaben bzw. anhand einer vom Bundesverwaltungsgericht von Amts wegen durchgeführten Sozialversicherungsabfrage.

Wenn die Beschwerdeführerin zur Thematik der datenschutzrechtlichen Einwilligungserklärung die Auffassung vertritt, der Betroffene habe im Zuge der Nutzung des AMS-Portals (eJob-Room) in die Nutzung seiner personenbezogenen Daten durch sämtliche Unternehmen eingewilligt, verkennt die Beschwerdeführerin die Rechtslage, worauf im Rahmen der rechtlichen Beurteilung einzugehen sein wird. Die Beschwerdeführerin behauptete aber zu keinem Zeitpunkt, dass der Betroffene ihrem Unternehmen gegenüber eine Einwilligungserklärung erteilt hätte.

Der Umstand, dass der Betroffene am 03.10.2020 dem Unternehmen der Beschwerdeführerin schriftlich (per E-Mail) ausdrücklich mitgeteilt hat, dass er keine weitere Kontaktaufnahme mehr wünschte und die Löschung seiner Daten beantragte, folgt zweifelsfrei anhand des E-Mails vom 03.10.2020, dessen Erhalt und Kenntnisnahme von der Beschwerdeführerin selbst zu keinem Zeitpunkt in Abrede gestellt wurde.

So räumt die Beschwerdeführerin hierzu selbst im Rahmen des Beschwerdeschriftsatzes ein:

„Im gegenständlichen Fall wurde dem Antrag des Betroffenen XXXX vom 3.10.2020 auf Löschung seiner Daten firmenintern Genüge getan und diese Daten gelöscht und nicht mehr verwendet. Dies war schon aufgrund seiner eigenen Angabe, keine Jobanbote und auch an keinen Arbeitsvermittlungsversuchen durch die XXXX GmbH interessiert zu sein, gegeben.“

Der Umstand, wonach das Unternehmen der Beschwerdeführerin dem Betroffenen nach dem 03.10.2020, und damit nach Erhalt und Kenntnisnahme des Antrages auf Löschung bzw. der Widerspruchserklärung, drei weitere Male Mitteilungen zum Zweck der Übermittlung von Jobangeboten per SMS zugesandt hat, folgt aus den in sich schlüssigen Angaben des Zeugen, an dessen Glaubwürdigkeit für den erkennenden Senat keinerlei Zweifel hervorgekommen sind. So hat der Zeuge plausibel und nachvollziehbar dargelegt, dass er zunächst telefonisch versucht hat, dem Unternehmen der Beschwerdeführerin mitzuteilen, dass er keine weiteren Zusendungen mehr wünsche, diese Versuche jedoch fruchtlos geblieben sind, und er erst aufgrund der erneuten Kontaktaufnahme nach dem 03.10.2020 – mangels Alternativen – den Rechtsweg über die Datenschutzbehörde beschritten hat. Die vom Betroffenen gesetzten Schritte liegen dabei auch im Bereich der allgemeinen Lebenserfahrung, wie sonst hätte er sich gegen weitere Zusendungen zur Wehr setzen sollen, zumal eine direkte Kontaktaufnahme mit dem Unternehmen der Beschwerdeführerin zu keinerlei Erfolg führte und der Betroffene keinerlei Interesse an Jobangeboten hatte, war er doch zu dieser Zeit gar nicht auf Arbeitssuche, sondern in Beschäftigung. Der Betroffene erweckte zudem auf den erkennenden Senat nicht den Eindruck, dass er den Rechtsweg gegen die Beschwerdeführerin aus rein schikanösen Motiven ergriffen hat. Vielmehr decken sich die Schilderungen des Betroffenen, wonach seitens des Unternehmens der Beschwerdeführerin keinerlei Einsicht gegeben war, mit den Wahrnehmungen des erkennenden Senates zur Person des Geschäftsführers der Beschwerdeführerin. Dieser zeigte sich vor dem Bundesverwaltungsgericht ob der Rechteausübung des Betroffenen empört und uneinsichtig („Also das kann’s doch nicht sein, dass solche Leute beim AMS langzeitarbeitslos picken bleiben und sich dann noch beschweren, dass sie in Monatsabständen ein Arbeitsangebot bekommen“).

Wenn die Beschwerdeführerin sodann im Rahmen ihrer Schlussausführungen vor dem Bundesverwaltungsgericht erstmals anzweifelt, den Betroffenen nach dem 03.10.2020 weitere Male – und damit nach dessen ausdrücklichem Widerspruch – kontaktiert zu haben („Ich würde noch dazu sagen, wir wissen, dass wir ihn kontaktiert haben und ansonsten würden wir nicht dasitzen, aber er hat nach diesem Löschungsauftrag seiner Daten auch keinen Beweis vorgelegt, dass er danach noch einmal kontaktiert wurde, also ich verstehe nicht, wo dann der Beweis begründet ist, dass er nach dieser Löschung von uns noch einmal kontaktiert wurde. … also muss da meiner Meinung nach im Zweifel für uns entschieden werden, weil es gibt keinen Nachweis“), stellt dies eine nicht substantiierte Schutzbehauptung dar, die sich weder mit dem bisherigen Vorbringen der Beschwerdeführerin, noch mit sonstigen Ermittlungsergebnissen in Einklang bringen lässt. Dem diesbezüglichen Vorbringen war daher jegliche Glaubhaftigkeit zu versagen. Plausibel erscheint vielmehr, dass die Beschwerdeführerin bei der Verwaltung von negativen Rückmeldungen (Löschungsanträgen und Widerspruchserklärungen) die erforderliche Sorgfalt außer Acht gelassen hat und den Betroffenen tatsächlich drei weitere Male nach dem 03.10.2020 kontaktierte.

2.3. Zu 1.3. Der Umstand, wonach bezogen auf den Tatzeitraum innerhalb des Unternehmens der Beschwerdeführerin keine wirksamen technischen Vorkehrungen getroffen waren um sicherzustellen, dass Personen wie der Betroffene, die mitgeteilt haben, dass sie keine weitere Kontaktaufnahme seitens des Unternehmens mehr wünschten, definitiv von keinem Mitarbeiter der Beschwerdeführerin mehr kontaktiert werden, folgt aus einer Gesamtbetrachtung sämtlicher Ereignisse und den diesbezüglich klaren und eindeutigen Angaben der Beschwerdeführerin im Zuge der mündlichen Verhandlung, wenn der Geschäftsführer der Beschwerdeführerin danach gefragt angibt:

„VR: Dh, damals ab dem 03.10.2020 hatten Sie keine Liste, wo der Zeuge bei seinem ersten Löschantrag aufgenommen wurde und dadurch sichergestellt wurde, dass er nie mehr von Ihnen kontaktiert wird?

BF: Nicht in dieser Form, dass es jetzt zentral gespeichert wurde, Er wurde schon vermerkt, aber nicht so, dass es für die neuen Mitarbeiter dann eben wahrscheinlich ersichtlich war.“

Dahingehend auch die Äußerungen des Rechtsvertreters der Beschwerdeführerin:

„VR: Unstrittig ist doch, dass der XXXX damals am 03.10. Ihnen mit Hilfe eines Formulars der Datenschutzbehörde einen Antrag auf Löschung bzw. einen Widerspruch zur Datenverarbeitung übermittelt hat. Ich glaube das ist aktenkundig und das steht auch fest und das kann man nicht wegdiskutieren oder sehe ich das falsch?

RV: Das ist vollkommen richtig und das ist völlig außer Streit gestellt worden. Was man dazu ausführen könnte: Es sind in Österreich nicht alle Unternehmen oder die wenigsten Unternehmer Experten in Datenschutzrecht. Man kann natürlich darüber diskutieren, ob man sich einen Rechtsbeistand suchen muss. Wir vertreten die XXXX GmbH gar nicht so lange.

Die Sache ist die: Wenn ein Antrag auf Löschung kommt, dann hat vielleicht der BF einfach die Daten gelöscht und wenn sie dann wiederum der betroffenen Person XXXX eine Nachricht geschickt hat, dann ist es vielleicht daran gelegen, dass er die Daten gelöscht hat und nicht mehr gewusst hat, dass sie ihn kontaktiert hat, weil woher soll er das wissen sollen und das muss man vielleicht auch berücksichtigen. Natürlich ist das nicht die richtige Vorgehensweise, das gestehen wir ein. Man sollte das aber bei der Strafzumessung vielleicht auch berücksichtigen.“

2.4. Zu 1.4.: Die Feststellungen zum Verfahrensverlauf vor der belangten Behörde – sowohl bezogen auf das Verwaltungsstrafverfahren, als auch hinsichtlich des Administrativverfahrens, in welchem sich die Beschwerdeführerin und der Betroffene als Parteien gegenüber standen, – folgen aus den unbedenklichen behördlichen Verfahrensakten. Der Umstand, wonach die Beschwerdeführerin von der belangten Behörde mehrfach zur Mitwirkung aufgefordert wurde, den behördlichen Aufforderungsschreiben jedoch nicht entsprochen hat, stellt die Beschwerdeführerin im Verfahren vor dem Bundesverwaltungsgericht auch nicht in Abrede, sondern stellt ihre rechtliche Verpflichtung zur Mitwirkung nach § 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO – unter Verweis auf ein (mittlerweile erledigtes) Verfahren zur Vorabentscheidung durch den EuGH – in Frage.

2.5. Zu 1.5.: Die getroffenen Feststellungen ergeben sich zunächst anhand der diesbezüglichen Angaben des als Zeugen befragten Betroffenen, dem Text der beispielhaft vorgelegten Nachricht der Beschwerdeführerin sowie den damit korrespondierenden Aussagen des Vertreters der Beschwerdeführerin vor dem BVwG:

„VR: Steht in diesen SMS-Nachrichten klar drinnen, dass Ihr Unternehmen als Arbeitskräfteüberlassungsunternehmen den jeweiligen Betroffenen kontaktiert?

BF: Es ist unsere Webseite teilweise … es ist wie gesagt sehr unterschieden. Es war immer unsere Webseite drauf, natürlich auch da können Mitarbeiter draufklicken, was wir machen und prinzipiell steht 99% die Geschäftstätigkeitsbereich „Arbeitskräfteüberlassung“ und es steht nicht drinnen, dass er vermittelt wird. Es steht aber auch nicht drinnen, dass das eine Arbeitskräfteüberlassung ist. Es steht drinnen ein Jobangebot von der Firma XXXX GmbH.

VR: D.h., das ist für einen Laien nicht vorderhand ersichtlich, in welcher Eigenschaft Ihr Unternehmen auftritt?

BF: Wie gesagt, wenn er dann anruft und sich für die Stelle interessiert, dann wird ihm natürlich erklärt, dass er bei einem Kunden (von uns) überlassen werden soll. Also noch einmal: Alle Mitarbeiter (99%), die was anrufen, die wissen „Okay, sie sind beim Arbeitskräfteüberlasser; schauen auf unsere Webseite und wissen, dass das ein Personalservice ist, das ist Zeitarbeit, ist Arbeitskräfteüberlassung und kennen sich dahingehend aus“, aber natürlich, wenn sie es, wissen wollen, dann erklären wir es. In der SMS steht es mehr oder weniger „begreifbar“ drinnen sage ich Mal, aber nicht direkt.“

2.6. Zu 1.6.: Die Feststellungen, wonach während des Tatzeitraumes (und sogar bis zum Tag der mündlichen Verhandlung) auf der Homepage des Unternehmens der Beschwerdeführerin keinerlei Informationen nach Art. 13 und 14 DSGVO zu finden waren, folgt bereits aus einer Nachschau auf der Website des Unternehmens der Beschwerdeführerin am Tag der mündlichen Verhandlung, der Inhalt des Bereichs „Datenschutz“ stellt sich dar wie folgt [Anm.: während der mündlichen Verhandlung wurde unter Nutzung des Dienstes https://web.archive.org/web/ XXXX der Stand der Website des Unternehmens mit 22.09.2020 abgefragt, dieser Stand entspricht inhaltlich der Textfassung des Tages der mündlichen Verhandlung]:

„Datenschutzerklärung Cookies

Personenbezogene Bezeichnungen richten sich der deutschen Sprache gemäß an beide Geschlechter in gleicher Weise. Die Inhalte dieses Dokuments sind urheberrechtlich geschützt und jeglicher Nutzung ausgeschlossen. Dies wird regelmäßig durch entsprechende Programme geprüft.

1. Kontaktdaten und Ansprechpartner

XXXX GmbH

XXXX

Österreich

Ansprechpartner: XXXX

T: + XXXX

E-Mail: XXXX

2. Schutz personenbezogener Daten natürlicher Personen

Gemäß Art 13 DSGVO informiert die XXXX GmbH über die Verarbeitung Ihrer persönlichen Daten bzw. der persönlichen Daten unserer Ansprechpartner in Ihrem Unternehmen und ihre Rechtsgrundlagen. Diese sind grundsätzlich das Vertragsverhältnis und die Einwilligung.

Es werden nur solche personenbezogenen Daten erhoben, die für die Durchführung und Abwicklung der Vertragsbeziehung erforderlich sind oder die Sie freiwillig zur Verfügung gestellt haben.

Die XXXX GmbH verarbeitet Ihre personenbezogenen Daten im Einklang mit der DSGVO auf Basis der Gesetze, des Vertrages oder Ihrer Einwilligung.

3. Art der verarbeiteten Daten

Wir verarbeiten Ihre personenbezogenen Daten, die Sie uns im Rahmen der Vertragsbeziehung oder aufgrund einer vorvertraglichen Beziehung (z.B. Anfrage) zur Verfügung stellen, wie etwa Name, Anschrift, E-Mail-Adresse, Telefonnummer. Darüber hinaus speichern wir die Daten Ihres Kontakts mit uns, wie etwa die Korrespondenz, Ihre Anfragen, Verträge, Rechnungen, etc.

4. Zweck und Rechtsgrundlage der Verarbeitung

Wenn Sie über unsere Website mit uns Kontakt aufnehmen, eine Anfrage werden die im Formular angegebenen Daten bei uns gespeichert. Wird ein Vorgang abgebrochen, werden die Daten nicht gespeichert.

Wir verarbeiten Ihre personenbezogenen Daten zum Zwecke der Erfüllung unserer vorvertraglichen Verpflichtungen, wie etwa dem Beantworten Ihrer Anfragen, zur Erfüllung des Vertrages und damit verbundener Nebenleistungen, wie Buchhaltung etc. und zur Erfüllung unserer gesetzlichen Verpflichtungen.

Eine darüber hinausgehende Verarbeitung, beispielsweise zu Werbezwecken, erfolgt nur mit Ihrer Zustimmung. Diese Zustimmung können Sie jederzeit unter den oben angegebenen Kontaktdaten widerrufen.

Rechtsgrundlage für die Datenverarbeitung ist daher der Vertrag oder die vorvertragliche Beziehung sowie die österreichische Rechtsordnung, sofern sich aus ihr gesetzliche Aufbewahrungspflichten ergeben. Sollte die Verarbeitung nicht zu vertraglichen Zwecken erforderlich sein, erfolgt sie aufgrund Ihrer Zustimmung.

5. Newsletter und Werbezusendungen

Sofern wir über Ihre entsprechende Zustimmung verfügen, verarbeiten wir Ihre Daten auch zu Werbe- und Informationszwecken, beispielsweise um Ihnen Newsletter oder Angebote zuzusenden. Ihre Zustimmung können Sie jederzeit widerrufen. Wir löschen dann umgehend Ihre E-Mail Adresse aus unserm Newsletter-System.

6. Aufbewahrung von Daten

Ihre Daten werden nur so lange gespeichert, wie es der oben genannte Zweck erfordert oder so lange es aufgrund gesetzlicher Aufbewahrungspflichten notwendig ist. Darüber hinaus werden Daten nur aufgrund Ihrer Zustimmung bis auf Widerruf gespeichert. Trotz Vorliegen Ihrer Zustimmung sind wir nicht verpflichtet, die Daten dauerhaft zu speichern und können sie daher jederzeit löschen.

7. Übermittlung von Daten

An Dritte, insbesondere externe Dienstleister, wie IT-Dienstleister, Steuerberater oder Buchhalter, werden die Daten nur übermittelt, sofern dies für die Erfüllung des Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Zur Wahrung unserer berechtigten Interessen können die Daten auch an Rechtsanwälte oder Behörden weitergeleitet werden.

8. Zusätzliche Datenschutzerklärung Website + Cookie-Pop-Up

8.1. Server-Log-Files

Zugriffsdaten: Der Websitebetreiber bzw. Seitenprovider erhebt Daten über Zugriffe auf die Seite und speichert diese als „Server-Logfiles“ ab. Folgende Daten werden so protokolliert:- Besuchte Website

Uhrzeit zum Zeitpunkt des Zugriffes
Menge der gesendeten Daten in Byte
Quelle/Verweis, von welchem Sie auf die Seite gelangten
Verwendeter Browser
Verwendetes Betriebssystem
Verwendete IP-Adresse (ggf.: in anonymisierter Form)

Die erhobenen Daten dienen lediglich statistischen Auswertungen und zur Verbesserung der Website. Der Websitebetreiber behält sich allerdings vor, die Server-Logfiles nachträglich zu überprüfen, sollten konkrete Anhaltspunkte auf eine rechtswidrige Nutzung hinweisen.

8.2. Cookies

Unsere Website verwendet so genannte Cookies. Dabei handelt es sich um kleine Textdateien, die mit Hilfe des Browsers auf Ihrem Endgerät abgelegt werden. Sie richten keinen Schaden an.

Wir nutzen Cookies dazu, unser Angebot nutzerfreundlich zu gestalten. Einige Cookies bleiben auf Ihrem Endgerät gespeichert, bis Sie diese löschen. Sie ermöglichen es uns, Ihren Browser beim nächsten Besuch wiederzuerkennen.

Bei der Ablehnung von Cookies oder der Deaktivierung von Cookies kann die Funktionalität unserer Website eingeschränkt sein.

8.3. XXXX -Analytics

Diese Website benutzt XXXX Analytics, einen Webanalysedienst der XXXX Analytics verwendet sog. „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch den Cookie erzeugten Informationen über Ihre Benutzung dieser Website (einschließlich Ihrer IP-Adresse) werden an einen Server von XXXX in den USA übertragen und dort gespeichert. XXXX wird diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten für die Websitebetreiber zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen zu erbringen. Auch wird XXXX diese Informationen gegebenenfalls an Dritte übertragen, sofern dies gesetzlich vorgeschrieben oder soweit Dritte diese Daten im Auftrag von XXXX verarbeiten. XXXX wird in keinem Fall Ihre IP-Adresse mit anderen Daten von XXXX in Verbindung bringen. Sie können die Installation der Cookies durch eine entsprechende Einstellung Ihrer Browser Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich nutzen können. Durch die Nutzung dieser Website erklären Sie sich mit der Bearbeitung der über Sie erhobenen Daten durch XXXX in der zuvor beschriebenen Art und Weise und zu dem zuvor benannten Zweck einverstanden.

Wir haben mit dem Anbieter einen entsprechenden Vertrag zur Auftragsdatenverarbeitung abgeschlossen.

8.4. AdWords Remarketing

Der Anbieter verwendet auf der Webseite die Remarketing- oder "Ähnliche Zielgruppen"- Funktion der XXXX . Mittels dieser Funktion kann der Anbieter die Besucher der Webseite zielgerichtet mit Werbung ansprechen, indem für Besucher der Webseite des Anbieters personalisierte, interessenbezogene Werbung-Anzeigen geschaltet werden, wenn sie andere Webseiten im XXXX Display-Netzwerk besuchen. Zur Durchführung der Analyse der Webseiten- Nutzung, welche die Grundlage für die Erstellung der interessenbezogenen Werbeanzeigen bildet, setzt XXXX sog. Cookies ein. Hierzu speichert XXXX eine kleine Datei mit einer Zahlenfolge in den Browsern der Besucher der Webseite. Über diese Zahl werden die Besuche der Webseite sowie anonymisierte Daten über die Nutzung der Webseite erfasst. Es erfolgt keine Speicherung von personenbezogenen Daten der Besucher der Webseite. Besuchen Sie nachfolgend eine andere Webseite im XXXX Display-Netzwerk werden Ihnen Werbeeinblendungen angezeigt, die mit hoher Wahrscheinlichkeit zuvor aufgerufene Produkt- und Informationsbereiche berücksichtigen. Sie können die Verwendung von Cookies durch XXXX dauerhaft deaktivieren, indem Sie dem nachfolgenden Link folgen und das dort bereitgestellte Plug-In herunterladen und installieren: XXXX

8.5. XXXX -Plugins

Auf diesen Internetseiten werden Plugins des sozialen Netzwerkes XXXX verwendet, das von der XXXX betrieben wird XXXX . Wenn Sie mit einem solchen Plugin versehene Internetseiten unserer Internetpräsenz aufrufen, wird eine Verbindung zu den XXXX -Servern hergestellt und dabei das Plugin durch Mitteilung an Ihren Browser auf der Internetseite dargestellt. So wird an den XXXX -Server übermittelt, welche unserer Internetseiten Sie besucht haben. XXXX ordnet diese Informationen Ihrem persönlichen Konto zu. Bei der Nutzung der Plugin-Funktionen (z.B. Anklicken des „Gefällt mir“-Buttons, Abgabe eines Kommentars) werden auch diese Informationen Ihrem XXXX -Konto zugeordnet. Sie können diese Zuordnung verhindern, wenn Sie sich bei Ihrem Konto Ausloggen. Nähere Informationen zur Erhebung und Nutzung der Daten durch XXXX finden Sie in den Datenschutzhinweisen von XXXX .

8.6. XXXX -Plugin

Auf der Seite sind Funktionen des Dienstes XXXX eingebunden. Diese Funktionen werden angeboten durch die XXXX integriert. Wenn Sie über ein XXXX Account verfügen können Sie die Inhalte unserer Seite mit Ihrem Profil verlinken. Dadurch kann XXXX den Besuch unserer Seite Ihrem Konto zuordnen. Weiter weißen wir darauf hin, dass wir als Anbieter der Seite keine Kenntnis vom Inhalt der übermittelten Daten sowie deren Nutzung durch XXXX erhalten.

Weitere Informationen hierzu finden Sie in der Datenschutzerklärung von XXXX : XXXX

Zudem führt der Vertreter der Gesellschaft der Beschwerdeführerin hierzu vor dem Bundesverwaltungsgericht aus:

„VR: Informieren Sie Betroffene auf Ihrer Homepage eigentlich im Sinne von Art. 13 und 14 DSGVO, dass Sie Daten aus dem eJob-Room verwenden, um Arbeitskräfteüberlassung anzubieten?

BF: Wir haben natürlich alle Datenschutzmaßnahmen ergriffen, aber ob das jetzt in unseren Datenschutzmaßnahmen [Anm.: gemeint wohl: Datenschutzinformationen] drinnen steht, müsste ich überprüfen. Das macht unsere Werbeagentur oder jene die was Websiten erstellen.

VR: Dh, wenn Sie das nicht in Ihrer SMS drinnen haben, dann würde ich erwarten, dass Sie auf Ihrer Homepage nach Art. 13 und 14 DSGVO – nachdem Sie Daten nicht beim Betroffenen erheben, sondern aus anderen Quellen – Informationen dahingehend bieten, woher Sie die Daten von Betroffenen haben, nachdem Sie sagen, es kann sich jeder dann schlau machen mit Ihrem Firmenwortlaut und auch Ihre Homepage aufsuchen und herausfinden, was hier geschieht?

BF: Muss man sich erkundigen, ob das rechtlich überhaupt ein „Muss“ ist sage ich einmal.

VR: Ich kann Ihnen sagen, dass das ein Muss ist.

BF: Auf der Website zu informieren, dass wir jenen „Kanal“ angeben, wo wir Arbeitskräfte herbekommen oder wie?

VR: Nein, woher Sie die Daten herbekommen, die Sie dann verwenden für Ihre Arbeitskräfteüberlassungsangebote.

BF: D.h., ich muss dann hineinschreiben: Jeder der in den Postkasten ein Lebenslauf reinwirft oder bei uns persönlich in der Firma erscheint vom AMS – die sind von Facebook, LinkedIn usw.?!

LR1: Nein, wo Sie die Daten herbekommen, wenn Sie die Daten nicht bei der Person erheben. Wenn Sie die Daten von der Person selbst bekommen, gilt das nicht, aber wenn Sie die nicht von der Person bekommen, dann gilt Art. 13 und 14 DSGVO. Kennen Sie diese Bestimmung?

BF: Nein, bis jetzt nicht bekannt. Ich muss auf unserer Agentur schauen, die was uns da betreut; dahingehend Datenschutz der Webseite. Auf der Webseite sind glaube ich 4/5 Seiten oder eine Seite davon ist Datenschutz alleine; ob da etwas drinnen steht, müsste man kontrollieren.“

Da dem Geschäftsführer der Beschwerdeführerin die Informationspflichten nach Art. 13 und 14 DSGVO nicht bekannt waren, verwundert es auch nicht, dass derartige Informationen auf der Website der Beschwerdeführerin bis zum Tag der mündlichen Verhandlung (bzw. bezogen auf den Tatzeitraum) nicht vorhanden waren.

Eine erneute Abfrage der Website des Unternehmens der Beschwerdeführerin am 25.09.2024 ergibt ein ähnliches Bild, die Datenschutzerklärungen unter XXXX stellen sich zum Abfragezeitpunkt dar wie folgt:

„ XXXX GmbH

Datenschutzerklärung Cookies

1. Kontaktdaten und Ansprechpartner

XXXX GmbH

XXXX

Österreich

Ansprechpartner: XXXX

T: + XXXX

E-Mail: XXXX

2. Schutz personenbezogener Daten natürlicher Personen

Es werden nur solche personenbezogenen Daten erhoben, die für die Durchführung und Abwicklung der Vertragsbeziehung erforderlich sind oder die Sie freiwillig zur Verfügung gestellt haben.

Die XXXX GmbH verarbeitet Ihre personenbezogenen Daten im Einklang mit der DSGVO auf Basis der Gesetze, des Vertrages oder Ihrer Einwilligung.

3. Art der verarbeiteten Daten

Wir verarbeiten Ihre personenbezogenen Daten, die Sie uns im Rahmen der Vertragsbeziehung oder aufgrund einer vorvertraglichen Beziehung (z.B. Anfrage) zur Verfügung stellen, wie etwa Name, Anschrift, E-Mail-Adresse und Telefonnummer. Darüber hinaus speichern wir die Daten Ihres Kontakts mit uns, wie etwa die Korrespondenz, Ihre Anfragen, Verträge, Rechnungen, etc. Zudem beziehen wir auch Daten vom AMS eJob-Room, von diversen Jobbörsen sowie von Social Media-Plattformen wie LinkedIn, Xing, Instagram und Facebook.

4. Zweck und Rechtsgrundlage der Verarbeitung

Wenn Sie über unsere Website mit uns Kontakt aufnehmen, eine Anfrage werden die im Formular angegebenen Daten bei uns gespeichert. Wird ein Vorgang abgebrochen, werden die Daten nicht gespeichert.

Eine darüber hinausgehende Verarbeitung, beispielsweise zu Werbezwecken, erfolgt nur mit Ihrer Zustimmung. Diese Zustimmung können Sie jederzeit unter den oben angegebenen Kontaktdaten widerrufen.

5. Newsletter und Werbezusendungen

6. Aufbewahrung von Daten

7. Übermittlung von Daten

8. Zusätzliche Datenschutzerklärung Website + Cookie-Pop-Up

8.1. Server-Log-Files

Zugriffsdaten: Der Websitebetreiber bzw. Seitenprovider erhebt Daten über Zugriffe auf die Seite und speichert diese als „Server-Logfiles“ ab. Folgende Daten werden so protokolliert:

Besuchte Website
Uhrzeit zum Zeitpunkt des Zugriffes
Menge der gesendeten Daten in Byte
Quelle/Verweis, von welchem Sie auf die Seite gelangten
Verwendeter Browser
Verwendetes Betriebssystem
Verwendete IP-Adresse (ggf.: in anonymisierter Form)

8.2. Cookies

Unsere Website verwendet so genannte Cookies. Dabei handelt es sich um kleine Textdateien, die mit Hilfe des Browsers auf Ihrem Endgerät abgelegt werden. Sie richten keinen Schaden an.

Bei der Ablehnung von Cookies oder der Deaktivierung von Cookies kann die Funktionalität unserer Website eingeschränkt sein.

8.3. XXXX -Analytics

Wir haben mit dem Anbieter einen entsprechenden Vertrag zur Auftragsdatenverarbeitung abgeschlossen.

8.4. AdWords Remarketing

8.5. XXXX -Plugins

8.6. XXXX -Plugin

Weitere Informationen hierzu finden Sie in der Datenschutzerklärung von XXXX : XXXX

Selbst mit Stand 25.09.2024 finden sich damit auf dem Internetauftritt der Beschwerdeführerin keine Hinweise darauf, dass personenbezogene Daten Betroffener aus dem sogenannten „E-Job-Room“ des AMS, damit von dritter Seite, bezogen und zum Zweck der Zusendung von Jobangeboten durch die Beschwerdeführerin als Personalüberlassungsunternehmen genutzt werden.

2.7. Zu 1.8. und 1.9.: Die diesbezüglichen Feststellungen folgen aus den öffentlich einsehbaren Nutzungsbedingungen des AMS zum Dienst des eJob-Rooms sowie aufgrund einer Anfragebeantwortung des AMS im Wege der Amtshilfe an das Bundesverwaltungsgericht [AMS-Zl. BGS/TIM/1482/9863/2024].

3. Rechtliche Beurteilung:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide der Datenschutzbehörde. Gegenständlich liegt somit Senatszuständigkeit vor.

Zu A)

3.1. Anzuwendendes Recht:

3.2. Zur Abweisung der Beschwerde:

3.2.1. Im Rahmen ihrer rechtzeitigen und zulässigen Beschwerde, diese wendet sich unzweifelhaft sowohl gegen die verhängte Geldbuße dem Grunde als auch der Höhe nach, bringt die Beschwerdeführerin zusammengefasst vor wie folgt:

Zum Tatvorwurf der unrechtmäßigen Verarbeitung (Spruchpunkt I.): Der Anzeiger [hier: der Betroffene] habe seine persönlichen und arbeitsrelevanten Daten beim AMS Österreich gemeldet und auch schriftlich zugestimmt, dass sämtliche überlassenen Daten zum Zweck der Arbeitsvermittlung sowohl beim AMS gespeichert werden können als auch von dieser Stelle für alle Unternehmer in Österreich im eJob-Room elektronisch angeboten werden. Der eJob-Room des AMS stehe allen österreichischen Unternehmern gratis zur Verfügung und können die dort vom AMS aufbereiteten Daten betreffend arbeitssuchender Personen kostenfrei von Unternehmen, die Arbeitskräfte suchen, abgefragt werden. Eine Abfrageberechtigung habe dabei nichts mit einem einschlägigen Gewerbe der (abfragenden) Unternehmen zu tun, sondern könne jeder Unternehmer alle im AMS eJob-Room gespeicherten Daten abfragen und Arbeitssuchende kontaktieren. Im gegenständlichen Fall sei dem Antrag des Betroffenen vom 03.10.2020 auf Löschung seiner Daten firmenintern Genüge getan und dessen Daten gelöscht und nicht mehr verwendet worden.

Dass der Betroffene letztlich drei Mal weitere Jobangebote [per SMS] erhalten habe, gründet sich darauf, dass der Betroffene weiterhin seine Daten über den eJob-Room des AMS zur allgemeinen Abfrage durch Unternehmer bereitgestellt habe bzw. durch das AMS bereitstellen ließ. Da innerhalb des Unternehmens der Beschwerdeführerin vorweg Telefonnummern extrahiert und SMS versendet worden seien, sei nicht ersichtlich gewesen, dass der Betroffene weitere Mitteilungen mit Jobangeboten vom Unternehmen der Beschwerdeführerin erhielt. Das Unternehmen der Beschwerdeführerin sei jedoch berechtigt gewesen, zumindest die ihr zur Verfügung gestellten Daten aus dem eJob-Room des AMS weiter zu verarbeiten, was auch geschehen sei. Nachdem der Betroffene nach eigenen Angaben keine Jobangebote wollte oder an einer Arbeitsvermittlung nicht interessiert gewesen sei, hätte der Betroffene seine Daten beim AMS löschen lassen müssen. Die Tatsache, dass dem Betroffenen weitere Arbeits- und Jobangebote per SMS übermittelt wurden, beruhe daher nicht auf dem Verhalten der Beschwerdeführerin, sondern ausschließlich auf dem eigenen Verhalten des Betroffenen gegenüber dem AMS.

Rechtlich folge daraus, dass die vorgeworfenen Rechtsverletzungen bei der Verarbeitung der personenbezogenen Daten des Betroffenen nicht stattgefunden haben.

Zum Tatvorwurf des Verstoßes gegen die Pflicht zur Löschung (Spruchpunkt II.) vertritt die Beschwerdeführerin sodann die Rechtsansicht, dass, sofern die Initiative zur Verarbeitung von Daten vom Betroffenen selbst ausgehe und dieser etwa über den eJob-Room des AMS seine Daten einschließlich auch einer Telefonnummer allen österreichischen Unternehmern zur kostenlosen Einsichtnahme zur Verfügung gestellt habe, im Ergebnis auch kein Recht des Betroffenen vorliege, seine Daten nach Art. 17 DSGVO zu löschen, wenn er im Gegenzug weiterhin sich derselben Vorgangsweise durch das AMS bedienne. Österreichische Unternehmer könnten sich darauf verlassen, dass das AMS Zustimmungserklärungen betroffener Personen habe, um die Daten Arbeitssuchender für jedermann einsichtig aufzubereiten und abfragebereit zu halten.

In Bezug auf den Tatvorwurf der Verletzung von Mitwirkungspflichten im Sinne von Art. 31 DSGVO bringt die Beschwerdeführerin – soweit wesentlich – vor, die seitens der Datenschutzbehörde an sie ergangenen Aufforderungen nicht in Abrede zu stellen; jedoch sei erst seit einem Urteil des EuGh vom 05.12.2023 (gemeint wohl: Rechtssache C-807/21) überhaupt geklärt, dass eine juristische Person unmittelbare Adressatin der DSGVO sein könne. Die Beschwerdeführerin scheint mit ihrem diesbezüglichen Vorbringen zum Ausdruck bringen zu wollen, dass bis zur genannten Entscheidung des EuGH für sie keine Klarheit darüber bestanden habe, ob eine juristische Person überhaupt eigenständig von einer Aufsichtsbehörde in Anspruch genommen werden könnte, weshalb auch keinesfalls von einem Tatvorsatz auf der Seite der Gesellschaft der Beschwerdeführerin in – Bezug auf sämtliche mit dem angefochtenen Bescheid geahndeten Straftatbestände der DSGVO – gegeben sein könne.

Insgesamt liege daher keine Rechtswidrigkeit und subjektiv in Richtung Vorsatz deutende Handlungsweise der Beschwerdeführerin vor.

Hinsichtlich der Strafzumessung führt die Beschwerdeführerin ins Treffen, dass sie (gemeint wohl in Bezug auf die unmittelbare Verantwortung einer juristischen Person nach Art. 83 DSGVO) bis zur Entscheidung des EuGH vom 05.12.2023 eine vertretbare Rechtsansicht vertreten habe und daher nicht zu bestrafen sei. Worin allerdings diese vertretbare Rechtsansicht gelegen ist, lässt die Beschwerdeführerin dabei im Dunkeln. Insgesamt sei aber auch der Milderungsgrund, wonach die Gesellschaft der Beschwerdeführerin keine einschlägigen Verstöße gegen die DSGVO zu verantworten habe, von der belangten Behörde nicht in ausreichendem Maße berücksichtigt worden und wäre selbst eine geringere Geldbuße im Ergebnis noch ausreichend gewesen.

3.2.2. Zur Rechtmäßigkeit der inkriminierten Datenverarbeitung (Spruchpunkt I. des angefochtenen Bescheides):

3.2.2.1. Nach Spruchpunkt I. des angefochtenen Bescheides habe die Beschwerdeführerin im Zeitraum vom 03.10.2020 bis einschließlich 06.08.2021 in XXXX , unrechtmäßig personenbezogene Daten einer betroffenen Person XXXX ) verarbeitet, indem sie die Daten des Betroffenen zum Zwecke der Arbeitsvermittlung aufbewahrt und unter anderem für die Übermittlung von unterschiedlichen Jobangeboten verwendet hat. Dies trotz des Antrags des Betroffenen vom 03.10.2020 auf Löschung seiner Daten und der Information, dass er an keine Jobangebote bzw. Arbeitsvermittlung durch das Unternehmen der Beschwerdeführerin interessiert sei. Die Daten seien von der Beschwerdeführerin dennoch weiterhin aufbewahrt und unter anderem für die Übersendung weiterer Jobangebote am 20.11.2020 sowie 01.12.2020 und 16.04.2021 verwendet und sei die Aufbewahrung und Verwendung der Daten zum Zwecke der Arbeitsvermittlung nicht erforderlich gewesen und hätten die Daten des Betroffenen nicht länger gespeichert und verwendet werden dürfen. Eine Rechtsgrundlage für die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sei im Tatzeitraum nicht vorgelegen.

3.2.2.2. Fallbezogen war zu prüfen, ob die – mit Spruchpunkt I des angefochtenen Bescheides inkriminierte – Verarbeitung personenbezogener Daten des Betroffenen im Rahmen der gewerblichen Tätigkeit der Beschwerdeführerin als Arbeitskräfteüberlassungsunternehmen, bezogen auf den hier maßgeblichen Tatzeitraum, auf rechtmäßige Weise, d.h. in Entsprechung der Verarbeitungsgrundsätze nach Art. 5 Abs. 1 DSGVO bzw. der Rechtmäßigkeitstatbestände im Sinne von Art. 6 Abs. 1 DSGVO, erfolgte (vgl. zu den Anforderungen an eine rechtmäßige Verarbeitung: EuGH vom 04.10.2024, C-446/21, Rz. 46 und die dort angeführte Rsp). Die Telefonnummer sowie der Name des Betroffenen stellen jedenfalls personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar, da sie eine identifizierte oder identifizierbare natürliche Person betreffen (vgl. EuGH vom 04.10.2024, C-21/23, Rz. 79). Gemäß Art. 4 Z 2 DSGVO erfasst die „Verarbeitung“ von Daten jeden Vorgang im Zusammenhang mit personenbezogenen Daten wie (ua.) das Erfassen oder die Verwendung. Nach der Rechtsprechung des EuGH ist der Begriff „Verarbeitung“ weit zu verstehen (vgl. EuGH 24.02.2022, C 175/20, Rn. 35). Vor diesem Hintergrund besteht für den erkennenden Senat kein Zweifel daran, dass die gesamte Vorgangsreihe, von der Aufbewahrung der Informationen zum Betroffenen bis zur Zusendung der elektronischen Nachrichten zum Zweck der Unterbreitung von Arbeitsangeboten, eine Verarbeitung im Sinne von Art. 4 Z 2 DSGVO darstellt. Die Gesellschaft der Beschwerdeführerin ist im vorliegenden Zusammenhang als Verantwortliche im Sinne von Art. 4 Z 7 DSGVO für den gesamten – in Spruchpunkt I des angefochtenen Bescheides umschriebenen – Verarbeitungsvorgang anzusehen, da ausschließlich die Gesellschaft der Beschwerdeführerin selbst, zur Verfolgung ihres eigenen wirtschaftlichen Interesses, auf die Verarbeitung der in Rede stehenden Kontaktdaten Einfluss genommen hat. Damit hat aber die Gesellschaft der Beschwerdeführerin die Entscheidung über die Zwecke und Mittel dieser Verarbeitung alleine getroffen. Hierbei ist es nicht erforderlich, dass über die Zwecke und Mittel der Verarbeitung innerhalb der Gesellschaft der Beschwerdeführerin mittels schriftlicher Anleitungen oder Anweisungen entschieden wurde (vgl. EuGH vom 05.12.2023, C-683/21, Rz 30 ff). Bereits an dieser Stelle ist festzuhalten, dass das rechtliche Vorbringen der Beschwerdeführerin (zuletzt im Schriftsatz vom 17.09.2024), wonach sie davon ausgehen durfte, dass die Verarbeitung der gegenständlichen Daten des Betroffenen rechtmäßig sein müsse, da die Daten zuvor vom Arbeitsmarktservice auf dessen Internetportal veröffentlicht wurden, verfehlt ist. Bei der Veröffentlichung der Daten zum Betroffenen durch das Arbeitsmarktservice handelt es sich um eine Verarbeitung durch das Arbeitsmarktservice selbst als eigenständige Verantwortliche im Sinne von Art. 4 Z 7 DSGVO, ob die Veröffentlichung durch das Arbeitsmarktservice rechtmäßig war – wovon hier zwar auszugehen sein wird – steht dabei in keinem rechtlichen Zusammenhang mit der Frage, ob die Verarbeitung der personenbezogenen Daten durch die Gesellschaft der Beschwerdeführerin, im Rahmen deren gewerblicher Tätigkeit als Arbeitskräfteüberlassungsunternehmen, rechtmäßig war. Aus den Ausführungen der Beschwerdeführerin, wonach die in Rede stehende Verarbeitung der personenbezogenen Daten einerseits auf die Einwilligung des Betroffenen selbst gegenüber dem Arbeitsmarktservice, andererseits aber auch auf die Bestimmungen der §§ 29 und 32 AMSG gestützt werden könnten, war daher für den Rechtsstandpunkt der Beschwerdeführerin nichts zu gewinnen. Die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten richten sich insbesondere an „Verantwortliche“. Deren Verantwortung und Haftung erstreckt sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolgt. In diesem Rahmen müssen sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern sie müssen auch nachweisen können, dass ihre Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die sie ergriffen haben, um diesen Einklang sicherzustellen, auch wirksam sind. Diese Haftung ist es, die bei einem der in Art. 83 Abs. 4 bis 6 DSGVO genannten Verstöße die Grundlage dafür bildet, nach Art. 83 DSGVO eine Geldbuße gegen den Verantwortlichen zu verhängen (vgl. erneut EuGH vom 05.12.2023, C-807/21, Rz 38).

3.2.2.3. Im gegebenen Zusammenhang kommt als Erlaubnistatbestand – mangels einer Einwilligung des Betroffenen bzw. mangels einer vertraglichen Beziehung zwischen den Parteien – ausschließlich der Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO in Betracht. Gemäß dieser Bestimmung ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (vgl. zu Art. 6 Abs. 1 lit. f DSGVO etwa VwGH vom 01.02.2024, Ro 2021/01/0016).

3.2.2.4. Nach der Rechtsprechung des EuGH ist der Rechtfertigungsgrund des Art. 6 Abs. 1 lit. f DSGVO eng auszulegen und sind Verarbeitungen personenbezogener Daten nach Art. 6 Abs. 1 lit. f DSGVO unter drei kumulativen Voraussetzungen rechtmäßig:

Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. EuGH C-252/21, Rn. 106, mwN).

Der EuGH hat (in einem Fall betreffend die Vorgängerregelung des Art. 6 Abs. 1 lit. f DSGVO in Art. 7 lit. f der Richtlinie 95/46/EG) auch anerkannt, dass für die Abwägung (der einander gegenüberstehenden Rechte und Interessen) auch die unterschiedlich schwere Beeinträchtigung der Grundrechte der betroffenen Person durch die Datenverarbeitung je nachdem, ob die in Rede stehenden Daten öffentlich zugänglich sind oder nicht, berücksichtigt werden kann (vgl. EuGH 11.12.2019, C 708/18, TK, Rn. 54).

Für die Beurteilung der Erforderlichkeit der Datenverarbeitung ist aber zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (vgl. wiederum EuGH C-252/21, Rn. 108). Der EuGH hat in diesem Zusammenhang etwa davon gesprochen, dass die Verarbeitung innerhalb der Grenzen dessen zu erfolgen hat, was zur Verwirklichung des berechtigten Interesses „unbedingt notwendig“ ist (EuGH C-252/21, Rn. 126), bzw. dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das „absolut Notwendige“ beschränken müssen (vgl. EuGH 17.06.2021, C-597/19, M.I.C.M., Rn. 110).

3.2.2.5. Bezogen auf den vorliegenden Fall ergibt sich daraus Folgendes:

3.2.2.5.1. Vorwegzuschicken ist, dass sich die Prüfung der Rechtmäßigkeit der gegenständlichen Datenverarbeitung ausschließlich auf den mit Spruchpunkt I des angefochtenen Bescheides umschriebenen Tatvorwurf zu beschränken hat. Danach habe die Beschwerdeführerin als Verantwortliche während des Zeitraums von 03.10.2020 bis einschließlich 06.08.2021 unrechtmäßig personenbezogene Daten einer (näher bezeichneten) betroffenen Person verarbeitet; dies indem die Beschwerdeführerin als Verantwortliche die Daten des Betroffenen zum Zwecke der Arbeitsvermittlung aufbewahrt und unter anderem für die Übermittlung von unterschiedlichen Jobangeboten verwendet habe, dies trotz des Antrags des Betroffenen vom 03.10.2020 auf Löschung seiner Daten und der Information, dass er an keinen Jobangeboten bzw. [keiner] Arbeitsvermittlung durch die Verantwortliche interessiert sei; dennoch seien die Daten weiterhin aufbewahrt und unter anderem für die Übersendung weiterer Jobangebote am 20.11.2020 sowie 01.12.2020 und 16.04.2021 verwendet worden. Die Aufbewahrung und Verwendung der Daten sei zum Zwecke der Arbeitsvermittlung nicht erforderlich gewesen und die Daten des Betroffenen hätten nicht länger gespeichert und verwendet werden dürfen. Nicht vom Tatvorwurf umfasst ist demnach der gesonderte Verarbeitungsschritt der ursprünglichen Gewinnung der Informationen zum Betroffenen vom Internetportal des Arbeitsmarktservice am 20.07.2020, wo die Daten zuvor veröffentlicht wurden. Ob die initiale Gewinnung der Daten rechtmäßig war, war im vorliegenden Fall nicht zu prüfen, da diese vom mit dem Spruch des angefochtenen Bescheides umschriebenen Tatvorwurf nicht erfasst ist. Der mit Spruchpunkt I des angefochtenen Bescheides umschriebene Tatvorwurf enthält zudem zwei Verarbeitungsaspekte, einerseits die Aufbewahrung der Kontaktdaten der betroffenen Person zum Zweck der Kontaktaufnahme, andererseits die Verwendung der Kontaktdaten zur Zusendung elektronischer Nachrichten, wobei bei der Beurteilung des letzteren Verarbeitungsvorganges telekommunikationsrechtliche Bestimmungen beachtlich sind.

3.2.2.5.2. Zum Vorliegen eines berechtigten Interesses: Grundsätzlich kann die gegenständliche Verarbeitung personenbezogener Daten durch die Verantwortliche, soweit dies den Verarbeitungsvorgang der Aufbewahrung der Kontaktdaten betrifft, im Rahmen der Ausübung des Gewerbes der Überlassung von Arbeitskräften (§ 135 GewO) zum Zweck der Anbahnung neuer Dienstverhältnisse ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO darstellen. Entgegen der rechtlichen Einschätzung der belangten Behörde kommt es dabei nicht darauf an, ob die Verantwortliche die Kontaktdaten der betroffenen Person im Rahmen des Gewerbes der Überlassung von Arbeitskräften, oder im Rahmen der Ausübung des Gewerbes der Arbeitsvermittlung verwendete bzw. ob die Verantwortliche – bezogen auf den hier relevanten Tatzeitraum – berechtigt war, das Gewerbe der Arbeitsvermittlung (§ 4 Abs. 1 Z 4 AMFG) auszuüben. Auf dem Boden des festgestellten Sachverhaltes besteht aus Sicht des erkennenden Senates kein Zweifel, dass die Verantwortliche die Kontaktdaten des Betroffenen verarbeitet hat, um dem Betroffenen ein Arbeitsangebot zu unterbreiten und in Folge nach Zustandekommen eines Dienstvertrages – an Dritte (§ 3 Abs. 3 AÜG) zu überlassen (§ 3 Abs. 1 und 2 AÜG). Ob der betroffenen Person bei Erhalt der inkriminierten elektronischen Nachrichten erkennbar war, ob die Verantwortliche die Daten zum Zweck der Arbeitskräfteüberlassung oder der Arbeitsvermittlung verwendete, spielt auf der Ebene der Prüfung des Vorliegens eines berechtigten Interesses zwar keine Rolle, wird jedoch bei der Beurteilung der Einhaltung des Transparenzgrundsatzes (Art. 5 Abs. 1 lit. a DSGVO), sowie auf Ebene der Interessenabwägung, im Zuge derer auch die Erwartungshaltung der betroffenen Person zu berücksichtigen ist, zu prüfen sein. Die Verarbeitung von Kontaktdaten potenzieller neuer Mitarbeiter zum Zweck der Kontaktaufnahme zur Unterbreitung eines Beschäftigungsangebotes kann nach Ansicht des erkennenden Senates grundsätzlich ein berechtigtes (wirtschaftliches) Interesse eines Unternehmens darstellen.

3.2.2.5.3. Im vorliegenden Fall hat die Verantwortliche der betroffenen Person, bezogen auf den Tatzeitraum ab dem 03.10.2020, am 20.11.2020, 01.12.2020 und 16.04.2021 elektronische Mitteilungen per SMS zugesandt, um auf Stellenangebote beim Unternehmen der Verantwortlichen hinzuweisen und eine mögliche Vertragsbeziehung anzubahnen. Dieser Vorgang ist als Maßnahme der Direktwerbung zu qualifizieren, sollte doch die betroffene Person als Empfänger der Nachrichten auf Arbeitsmöglichkeiten bei der Verantwortlichen hingewiesen werden, wobei deren Unternehmensgegenstand in der Überlassung von Arbeitskräften an Dritte besteht. Die elektronische Zusendung diente damit der Akquise von Arbeitskräften, was regelmäßig Grundvoraussetzung für den operativen Geschäftsbetrieb eines Arbeitskräfteüberlassungsunternehmens sein wird. Nach dem allgemeinen Sprachgebrauch umfasst die Direktwerbung alle Formen der individuellen werblichen Kommunikation zwischen Anbietern und ausgewählten (potentiellen) Nachfragern, die nicht persönlich, sondern durch ein Medium erfolgt. Direktwerbung kann daher in Form von Anrufen, Faxen, SMS (auch zB über WhatsApp oder ähnliche Dienstleister), E-Mails (auch zB als Auto-Reply E-Mails oder Rechnungen mit Werbeinhalten in der Fußzeile) und Briefen mit individueller Anschrift postalisch erfolgen. Er erfasst jeden Inhalt, der für ein bestimmtes Produkt, aber auch für eine bestimmte Idee einschließlich bestimmter politischer Anliegen wirbt oder dafür Argumente liefert. In der Rechtsprechung wird der Begriff der Direktwerbung daher weit interpretiert und umfasst jede Maßnahme, die dazu dient, auf ein eigenes Bedürfnis und die Möglichkeit seiner Befriedigung hinzuweisen, wobei schon die Anregung zur Inanspruchnahme bestimmter Leistungen diesem Begriff unterstellt werden kann (vgl. bereits OGH, 18.05.1999, 4Ob113/99t, VwGH, 26.06.2013, 2012/03/0089).

Die Übermittlung von Werbung durch Telefonanruf bedarf ausnahmslos nach § 174 Abs 1 TKG 2021 einer vorherigen Einwilligung. Die Voraussetzungen für eine gültig abgegebene Einwilligung ergeben sich - mangels näherer Regelungen im TKG 2021 zur Einwilligung - aus Art 7 DSGVO. Dies gilt auch für die Zusendung durch elektronische Post (§ 174 Abs. 3 TKG 2021), also Werbung per E-Mail, SMS oder Messenger (Telegram, WhatsApp, Signal oä), es sei denn die betroffene Person ist – was im vorliegenden Fall zu verneinen ist – bereits Kunde der Verantwortlichen. Umgelegt auf den vorliegenden Fall bedeutet dies aber, dass der Verarbeitungsvorgang der Zusendung elektronischer Nachrichten an die betroffene Person gegen die Bestimmung des § 174 Abs. 3 TKG 2021 verstoßen hat, da die betroffene Person der Verantwortlichen gegenüber zu keinem Zeitpunkt eine Einwilligung erteilt hat und zwischen den Parteien auch keine Kundenbeziehung bestand. Daraus folgt aber, dass die vom Tatvorwurf des Spruchpunkt I des angefochtenen Bescheides miterfassten Verarbeitungsvorgänge der Zusendung elektronischer Nachrichten bereits gegen den Grundsatz einer rechtmäßigen Verarbeitung im Sinne von Art. 5 Abs. 1 lit. a DSGVO verstoßen haben, und bereits aus diesem Grund als rechtswidrig anzusehen waren, weshalb dieser Aspekt der Verarbeitung auch nicht im Erlaubnistatbestand des Art. 6 Abs. 1 lit f DSGVO Deckung finden konnte.

3.2.2.5.4. Zur Erforderlichkeit der Verarbeitung der Kontaktdaten der betroffenen Person: Im hier zu prüfenden Fall hat die betroffene Person der Verantwortlichen am 03.10.2020 (per E-Mail) unmissverständlich mitgeteilt, dass sie kein Interesse an der Zusendung von elektronischen Nachrichten zum Zweck der Unterbreitung von Arbeitsangeboten seitens des Unternehmens der Beschwerdeführerin habe, wobei diese Mitteilung der Verantwortlichen – wie festgestellt – unbestritten zur Kenntnis gelangte. Nach dem klaren und eindeutigen Wortlaut dieser Erklärung der betroffenen Person handelt es sich dabei – neben einem Antrag auf Löschung im Sinne von Art. 17 DSGVO – um eine Widerspruchserklärung im Sinne von Art. 21 DSGVO. Bereits ab diesem Zeitpunkt war jegliche Verarbeitung personenbezogener Daten der Verantwortlichen zum Zweck der Kontaktaufnahme mit der betroffenen Person zur Unterbreitung von Arbeitsangeboten, gleich ob auf elektronischem oder anderem Wege, gemäß Art. 21 Abs. 2 und 3 DSGVO nicht (mehr) zulässig; die weitere Verarbeitung (und Aufbewahrung) der Daten war jedoch auch nicht mehr erforderlich im Sinne von Art. 6 Abs. 1 lit. f DSGVO, um ein allenfalls grundsätzlich bestehendes berechtigtes Interesse an der Gewinnung neuer Arbeitskräfte im Rahmen der gewerblichen Tätigkeit als Arbeitskräfteüberlassungsunternehmen zu verfolgen. Die Verarbeitung der personenbezogenen Daten der betroffenen Person war daher ab dem 03.10.2020 jedenfalls unzulässig.

3.2.2.5.5. Zur Interessenabwägung: Zwar kann eine Interessenabwägung im engeren Sinn bereits aus den vorgenannten Gründen unterbleiben. Der Vollständigkeit halber sei jedoch darauf hingewiesen, dass die Beschwerdeführerin, bezogen auf den maßgeblichen Tatzeitraum, weder auf deren Website, noch im Rahmen der elektronischen Nachrichten an die betroffene Person, ihre Informationspflichten im Sinne von Art. 14 DSGVO erfüllt hat. So fanden sich auf der Website des Unternehmens der Beschwerdeführerin keine Informationen dahingehend, wonach von der Beschwerdeführerin als Verantwortliche im Rahmen des Gewerbes der Arbeitskräfteüberlassung personenbezogene Daten aus dem Online-Portal des AMS, dem sogenannten „E-Job-Room“ gewonnen und zum Zweck der Zusendung von Arbeitsangeboten an Betroffene (weiter-)verarbeitet werden (Art. 14 Abs. 1 lit. c, Abs. 2 lit. b und f DSGVO). Zusammengefasst wäre die Verantwortliche verpflichtet gewesen, sowohl auf deren Website als auch im Rahmen der ersten Kontaktaufnahme mit dem Betroffenen, darüber zu informieren, dass personenbezogene Daten von einer öffentlichen Quelle (hier der Website des AMS) gewonnen werden, diese Daten im Rahmen der Gewerbeausübung zum Zweck der Akquise von Arbeitskräften verarbeitet werden, bzw. dass gegen diese Form der Verarbeitung Widerspruch erhoben werden kann sowie ein Recht auf Auskunft gemäß Art. 15 DSGVO sowie ein Beschwerderecht an die Aufsichtsbehörde gemäß Art. 77 DSGVO besteht. Vor diesem Hintergrund überwiegen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person jedenfalls das wirtschaftliche Interesse an der Verarbeitung der personenbezogenen Daten durch die Verantwortliche. Die mit Spruchpunkt I des angefochtenen Bescheides erfasste Datenverarbeitung kann somit keinesfalls auf den Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO gestützt werden.

3.2.2.6. Im Ergebnis war daher festzustellen, dass die Beschwerdeführerin als Verantwortliche gemäß Art. 4 Z 7 DSGVO, durch die Verarbeitung der Kontaktdaten des Betroffenen zum Zweck der Unterbreitung von Arbeitsangeboten im Rahmen ihrer gewerblichen Tätigkeit, bezogen auf den Tatzeitraum ab dem 03.10.2020 bis zum 06.08.2021, gegen Art. 5 Abs. 1 lit. a, c und e, in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO, verstoßen hat. Dadurch hat die Beschwerdeführerin die objektive Tatseite der Strafbestimmung des Art. 83 Abs. 5 lit. a DSGVO verwirklicht.

3.2.2.7. Im vorliegenden Zusammenhang liegt jedenfalls Verschulden in Form von grober Fahrlässigkeit vor, da die Beschwerdeführerin als Unternehmerin im Bereich der Arbeitskräfteüberlassung verpflichtet gewesen wäre, sich Kenntnis über die einschlägigen datenschutzrechtlichen Vorgaben zu verschaffen und deren Einhaltung im Rahmen ihres Geschäftsbetriebes effektiv sicherzustellen. Im Besonderen hätte die Beschwerdeführerin sämtliche Verarbeitungsvorgänge ausschließlich im Einklang mit den Verarbeitungsgrundsätzen nach Art. 5 Abs. 1 DSGVO, sowie im zulässigen Rahmen der abschließend von Art. 6 Abs. 1 lit f DSGVO normierten Erlaubnistatbestände, vornehmen dürfen. Dabei war es allein die Aufgabe der Beschwerdeführerin als datenschutzrechtlich Verantwortlicher, die sich aus der DSGVO ergebenden Pflichten einzuhalten (vgl. ausdrücklich EuGH, 05.12.2023, C-807/21, Rz. 38, sowie C-883/21, Rz. 80, 81). Demgegenüber hat sich die Beschwerdeführerin mit den datenschutzrechtlichen Vorgaben nicht einmal im Ansatz auseinandergesetzt und schlicht darauf vertraut, dass die gewerbliche Verwendung der Kontaktdaten, da diese öffentlich im Internet abrufbar waren, rechtmäßig war.

3.2.3. Zur Verletzung des Rechts auf Löschung gemäß Art. 17 DSGVO (Spruchpunkt II. des angefochtenen Bescheides):

3.2.3.1. Spruchpunkt II. des angefochtenen Bescheides betrifft den Tatvorwurf, wonach die Beschwerdeführerin als Verantwortliche gemäß Art. 4 Z 7 DSGVO, bezogen auf den Tatzeitraum zwischen 03.10.2020 bis einschließlich 06.08.2021, gegen Art. 17 Abs. 1 lit. a und d DSGVO verstoßen habe, indem sie den Antrag auf Löschung der betroffenen Person vom 03.10.2020 nicht behandelte und die beantragte Löschung bis zumindest 06.08.2021 nicht vorgenommen habe.

3.2.3.2. Wie festgestellt, war die Verarbeitung (Aufbewahrung) der Kontaktdaten der betroffenen Person ab dem 03.10.2020 nicht mehr zulässig (vgl. Rz. 3.2.2), da der Betroffene einen Widerspruch im Sinne von Art. 21 DSGVO erklärte, weshalb die Verarbeitung ab diesem Zeitpunkt nicht mehr auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden konnte. Diesbezüglich liegt sowohl die Tatbestandsvoraussetzung des Art. 17 Abs. 1 lit. a DSGVO vor, wonach einem Antrag auf Löschung zu entsprechen ist, wenn die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Da der Betroffene mit E-Mail vom 03.10.2020 der Verantwortlichen unmissverständlich mitgeteilt hat, dass er an keinen Arbeitsangeboten vom Unternehmen der Beschwerdeführerin interessiert sei, war die weitere Aufbewahrung der Kontaktdaten tatsächlich nicht mehr erforderlich, um ein grundsätzlich bestehendes Interesse an der Gewinnung von Arbeitskräften zu verfolgen. Zudem ist die Erklärung des Betroffenen vom 03.10.2020 jedenfalls als Widerspruch im Sinne von Art. 21 Abs. 2 DSGVO zu qualifizieren, wodurch auch die Tatbestandsvoraussetzungen des Art. 17 Abs. 1 lit. d DSGVO gegeben waren. Danach sind personenbezogene Daten, die zu Zwecken der Direktwerbung verarbeitet werden (vgl. dazu oben Rz. 3.2.2.5.3) zu löschen, wenn die betroffene Person Widerspruch erhebt (Art. 21 Abs. 2 iVm Art 17 Abs. 1 lit. c 2. Halbsatz DSGVO). In Bezug auf die Verarbeitung der Kontaktdaten der betroffenen Person zum Zweck der Zusendung elektronischer Nachrichten war zudem der Tatbestand des Art. 17 Abs. 1 lit. d DSGVO erfüllt, da die Zusendung elektronischer Nachrichten aufgrund von § 174 TKG 2021 absolut unzulässig war (vgl. dazu Rz. 3.2.2.5.3) und dem Antrag auf Löschung in Bezug auf unrechtmäßig verarbeitete Daten nach dieser Bestimmung jedenfalls zu entsprechen war. Im gegebenen Zusammenhang kommt – bezogen auf die dem Spruchpunkt II. zugrundeliegenden Umstände – keine der Ausnahmebestimmungen des Art. 17 Abs. 3 DSGVO in Betracht.

3.2.3.3. Auf dem Boden des festgestellten Sachverhaltes ergibt sich demgegenüber, dass die Beschwerdeführerin auf den Antrag auf Löschung sowie die Widerspruchserklärung der betroffenen Person nicht reagiert hat, bzw. auch nach Einbringung einer Datenschutzbeschwerde weiterhin die personenbezogenen Daten des Betroffenen verarbeitet hat. Erst nach Erledigung des (behördlichen) Beschwerdeverfahrens mit Bescheid vom 06.08.2021 (Zl. D124.3325/2021-0.415.529), darin wurde der Beschwerdeführerin die Löschung der Kontaktdaten des Betroffenen aufgetragen und erwuchs dieser Bescheid in Rechtskraft, bzw. der Einleitung des Verwaltungsstrafverfahrens hat die Beschwerdeführerin die Löschung der Kontaktdaten der betroffenen Person letztlich vorgenommen.

3.2.3.4. Zwar hat die Beschwerdeführerin, indem sie auf den Antrag auf Löschung im Sinne von Art. 17 DSGVO vom 06.10.2020 nicht reagierte, neben der Pflicht zur Löschung gemäß Art. 17 Abs. 1 DSGVO, auch gegen ihre Informations- und Mitteilungspflichten nach Art. 12 Abs. 3 und 4 DSGVO verstoßen. Wenn die Beschwerdeführerin daher – wie auch bis zuletzt im Rechtsmittelverfahren – die Ansicht vertrat, dass sie die Daten rechtmäßig verwendete und daher dem Antrag auf Löschung nicht nachkommen werde, wäre es die Pflicht der Beschwerdeführerin gewesen, die betroffene Person innerhalb einer Frist von einem Monat (ab Einlangen des Löschungsantrages vom 06.10.2020) über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen, zu unterrichten (Art. 12 Abs. 3 und 4 DSGVO). Jedoch waren die vorgenannten Versäumnisse gegen die aus Art. 12 Abs. 3 und 4 DSGVO resultierenden Pflichten der Beschwerdeführerin im vorliegenden Fall nicht vom Tatvorwurf der behördlichen Verfolgungshandlungen umfasst. Weder die behördliche Aufforderung zur Rechtfertigung vom 27.04.2022, noch diejenige vom 26.09.2022, umfassen Sachverhaltselemente, die einen Tatvorwurf in Bezug auf die Nichterfüllung von Informations- und Mitteilungsverpflichtungen im Sinne der Vorgaben in Art. 12 Abs. 3 und 4 DSGVO betreffen. Auch im Spruch des angefochtenen Bescheides findet sich – abgesehen von einer Nennung des Art. 12 Abs. 3 DSGVO als einer der angewandten Rechtsgrundlagen, keinerlei Hinweis auf die Verletzung der aus Art. 12 Abs. 3 und 4 DSGVO resultierenden Verpflichtungen, lediglich aus der rechtlichen Begründung zu Spruchpunkt II. des angefochtenen Bescheides geht – wenn auch zutreffend – hervor, dass die belangte Behörde einen Verstoß gegen die Informations- und Mitteilungsverpflichtungen gemäß Art. 12 Abs. 3 und 4 DSGVO ebenfalls als verwirklicht erachtete. Eine Bestrafung wegen Verletzung der Verpflichtungen aus Art. 12 Abs. 3 und 4 DSGVO kommt im vorliegenden Fall – mangels einer diesbezüglichen Verfolgungshandlung –nicht in Betracht, weshalb der Spruch des angefochtenen Straferkenntnis vom Bundesverwaltungsgericht entsprechend zu korrigieren war (vgl. VwGH 28.05.2014 2012/07/0033).

3.2.3.5. Auf dem Boden des festgestellten Sachverhaltes hat die Beschwerdeführerin daher, indem sie den Antrag auf Löschung der betroffenen Person vom 03.10.2020 nicht beachtete, die objektive Tatseite der Art. 17 Abs. 1 in Verbindung mit Art. 83 Abs. 5 lit. b DSGVO verwirklicht.

In Bezug auf den mit Spruchpunkt II des angefochtenen Bescheides geahndeten Tatvorwurf war von vorsätzlichem Handeln auszugehen. So ist der Antrag auf Löschung vom 03.10.2020 der Beschwerdeführerin unzweifelhaft zugegangen, jedoch wollte diese die Löschung schlicht nicht vornehmen, da sie sich mit den rechtlichen Voraussetzungen des Art. 17 DSGVO nicht auseinandersetzte und weiterhin – dies ohne hierzu rechtliche Erkundigungen angestrengt zu haben – von dem für sie gewünschten rechtlichen Ergebnis ausging, wonach betroffenen Personen kein Recht auf Löschung zukomme und deren personenbezogenen Daten, wenn diese bereits einmal veröffentlicht waren, für gewerbliche Zwecke weiterverarbeitet werden könnten.

3.2.4. Zur Verletzung der Mitwirkungspflichten nach Art. 31 DSGVO (Spruchpunkt III. des angefochtenen Bescheides):

3.2.4.1. Spruchpunkt III des angefochtenen Bescheides liegt der Tatvorwurf zugrunde, wonach die Datenschutzbehörde die Beschwerdeführerin als Verfahrenspartei im datenschutzrechtlichen Beschwerdeverfahren (Zl. D124.3325), mittels näher bezeichneter behördlicher Verfügungen – unter Verweis auf Art. 31 DSGVO – zur Stellungnahme (und Mitwirkung am Verfahren) aufgefordert habe, jedoch die Beschwerdeführerin auf die betreffenden behördlichen Verfügungen bis 06.08.2021, betreffend der Zl. 2020-0.800.849 und 2021-0.291.660 gar nicht, in Bezug auf das Aufforderungsschreiben zur Zl. 2021-0.213.417, lediglich mit einer kurzen (unsubstantiierten) Stellungnahme vom 12.04.2021 reagiert, jedoch den behördlichen Aufforderungen inhaltlich im Wesentlichen nicht entsprochen habe. Das betreffende behördliche Verfahren sei schließlich ohne Mitwirkung der Beschwerdeführerin mit Bescheid vom 06.08.2021 (Zl. D124.3325 / 2021-0.415.529) abgeschlossen worden (vgl. die Feststellungen unter Rz. 1.4).

3.2.4.2. Die Beschwerdeführerin tritt den diesbezüglichen Sachverhaltsfeststellungen des angefochtenen Bescheides nicht entgegen, vertritt jedoch zusammengefasst die Rechtsansicht, dass ihr die Pflichten der DSGVO insgesamt als juristische Person nicht klar sein konnten, da zumindest bis zur Entscheidung des EuGH vom 05.12.2023 in der Rechtssache C-807/21 keine Rechtsklarheit über die unmittelbar anzuwendenden Bestimmungen des Art. 58 Abs. 2 lit. i und Art. 83 Abs. 1 bis 6 DSGVO geherrscht habe. Folglich habe die Beschwerdeführerin (als juristische Person bezogen auf deren Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO) keinen Vorsatz dahingehend entwickeln können, dass sie bei dem gegebenen Sachverhalt die Verwirklichung von Verwaltungsübertretungen nach den Spruchpunkten I. bis III. ernstlich für möglich gehalten und sich damit abgefunden hätte. Aus dem diesbezüglichen Rechtsstandpunkt der Beschwerdeführerin war jedoch nichts zu gewinnen. Das Urteil des EuGH vom 05.12.2023 in der Rechtssache C-807/21 befasst sich im Kern mit der Rechtsfrage, ob in Verfahren zur Verhängung von Geldbußen nach den Bestimmungen der DSGVO in Fällen, in welchen es sich beim Verantwortlichen um eine juristische Person handelt, es eines Nachweises bedarf, wonach eine (namentlich) bestimmte Person aus dem Kreis vertretungsbefugter Organe der juristischen Person, die den Verstoß gegen eine sanktionsbewährte Bestimmung der DSGVO tatbestandsmäßig, rechtswidrig und schuldhaft begangen oder ermöglicht haben. Die vom EuGH in den Urteilen vom 05.12.2023 in den Rechtssachen C-807/21 und C-683/21 gelösten Rechtsfragen stehen dabei in keinem rechtlichen oder tatsächlichen Zusammenhang mit den Verarbeitungsgrundsätzen, Rechtmäßigkeitstatbeständen und sonstigen Verpflichtungen, die für Verantwortliche und Auftragsverarbeiter im Anwendungsbereich der DSGVO gelten. Oder anders gewendet, auch vor den genannten Urteilen des EuGH vom 05.12.2023 bestand kein Zweifel daran, dass Unternehmen bei der Verarbeitung personenbezogener Daten an die Verarbeitungsgrundsätze, Erlaubnistatbestände sowie Pflichten der DSGVO gebunden sind, gleichviel, ob es sich beim Verantwortlichen um eine natürliche oder juristische Person handelt. Insgesamt war das diesbezügliche Vorbringen als schlichte Schutzbehauptung der Beschwerdeführerin zu qualifizieren, schließlich handelt es sich bei dem Umstand, dass in einem Mitgliedstaat der Union niedergelassene Unternehmen, dies ganz unabhängig von deren Rechtsform, bei Ausübung ihrer unternehmerischen Tätigkeit an nationale- und unionsrechtliche Vorschriften gebunden sind, um kein rechtliches Spezifikum der DSGVO. Zur Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH bereits klar, dass Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. erneut EuGH C-807/21, Rz 76; siehe auch EuGH vom 05.12.2023, C-683/21, Rz 81).

3.2.4.3. Die Beschwerdeführerin hat daher, in Bezug auf den mit Spruchpunkt III des angefochtenen Bescheides umschriebenen Tatvorwurf, gegen die Verpflichtung des Art. 31 DSGVO verstoßen und dadurch die Sanktionsbestimmung des Art. 83 Abs. 4 lit. a DSGVO verwirklicht. Im gegebenen Zusammenhang liegt jedenfalls Verschulden in Form von vorsätzlicher Begehung der Verstöße gegen die Mitwirkungspflicht des Art. 31 DSGVO vor. Wie sich aus den jeweiligen behördlichen Aufforderungen an die Beschwerdeführerin klar und eindeutig ergibt, hat die belangte Behörde jeweils auf die Bestimmung des Art. 31 DSGVO sowie den Umstand hingewiesen, dass im Falle der Nichtmitwirkung durch die Beschwerdeführerin seitens der Datenschutzbehörde eine Geldbuße im Sinne von Art. 83 DSGVO verhängt werden könne und dabei hinreichend genau umschrieben, welche Informationen von der Beschwerdeführerin, in deren (damaliger) Eigenschaft als Verfahrenspartei in einem datenschutzrechtlichen Beschwerdeverfahren nach § 24 DSG bzw. Art. 77 DSGVO, benötigt werden; dennoch hat die Beschwerdeführerin den behördlichen Aufforderungen absichtlich keine Folge geleistet (vgl. hierzu die Aussagen der Beschwerdeführerin im Rahmen der mündlichen Verhandlung zur Nachfrage, weshalb man im Verfahren vor der Datenschutzbehörde nicht mitgewirkt habe, wonach man das während der Corona-Phase nicht „so ernst genommen habe bzw. mit anderen Problemen beschäftigt gewesen sei …“, S. 15 der Verhandlungsschrift).

3.2.4.4. Bei der an Verantwortliche und Auftragsverarbeiter gerichteten Verpflichtung in Art. 31 DSGVO handelt es sich um eine zentrale Bestimmung zur Mitwirkung in aufsichtsbehördlichen Verfahren, ohne deren Durchsetzung die Erfüllung der den Aufsichtsbehörden übertragenen Aufgaben nach Art. 57 Abs. 1 DSGVO erheblich erschwert oder sogar verunmöglicht würden. So haben die Aufsichtsbehörden (insbesondere) nach Art. 57 Abs. 1 lit a DSGVO die Anwendung dieser Verordnung zu überwachen und durchzusetzen sowie nach lit. f leg. cit. sich mit Beschwerden [Art. 77 DSGVO] einer betroffenen Person […] zu befassen, den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist – diese beträgt gemäß § 24 Abs. 7 DSG drei Monate – über den Fortgang und das Ergebnis der Untersuchung zu unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist. Vor dem Hintergrund, dass der Datenschutzbehörde als zuständiger nationaler Aufsichtsbehörde (Art. 55 DSGVO) – insbesondere im Rahmen der Führung von Beschwerdeverfahren im Sinne von Art. 77 DSGVO – regelmäßig die Ermittlung und Beurteilung (mitunter technisch) komplexer Sachverhalte zukommt, erscheint es unabdingbar, dass Verantwortliche und Auftragsverarbeiter auf Anfrage der Behörde an der Sachverhaltsermittlung mitwirken bzw. dazu auch durch Sanktionsandrohung verhalten werden können (vgl. zum Regelungszweck des Art. 31 DSGVO Bogendorfer in Knyrim, DatKomm Art 31 DSGVO, Stand 1.12.2022, rdb.at). Dies auch vor dem Hintergrund, dass Datenverarbeitungsvorgänge regelmäßig von Außen, ohne innere Vorgänge einer verarbeitenden Stelle einsehen zu können, ohne deren Mitwirkung nicht nachvollzogen und beurteilt werden könnten. Auf verfahrensrechtlicher Ebene sei im gegebenen Zusammenhang flankierend auf die Verfahrensförderungspflichten der Parteien im Verwaltungsverfahren (§ 39 Abs. 2a AVG) verwiesen, wobei dem Verantwortlichen – wie im hier zu beurteilenden Fall eines Beschwerdeverfahrens gemäß Art. 77 DSGVO – Parteistellung als Beschwerdegegner (§ 24 Abs. 2 Z 2 DSG) zukommt. Die Pflicht nach Art. 31 DSGVO wird dabei grundrechtskonform auszulegen sein und ihre Grenze im Selbstbelastungsverbot finden (vgl. zu grundrechtskonformen Auslegung und Anwendung von Unionsrecht: EuGH, 21.06.2022, C-817/19, Rz. 87 und die dort angeführte Rechtsprechung); die Mitwirkung eines Verantwortlichen (Art.4 Z 7 DSGVO) folgt bereits aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO, und kann aus Sicht des erkennenden Senates nicht von Vornherein als grundrechtswidrig angesehen werden. Ein in diese Richtung gehendes Vorbringen wurde von der Beschwerdeführerin auch nicht erstattet.

3.2.5. Zur Strafzumessung:

3.2.5.1. Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.

3.2.5.2. Mit dem angefochtenen Straferkenntnis verhängte die Datenschutzbehörde eine (einheitliche) Geldbuße im Sinne von Art. 83 Abs. 3 DSGVO aufgrund der Verwirklichung mehrerer Verstöße gegen Bestimmungen der DSGVO in Form „gleicher oder miteinander verbundener Verarbeitungsvorgänge“ (Tateinheit - Idealkonkurrenz). Spruchpunkt I. bezieht sich dabei auf den Vorwurf der unrechtmäßigen Verarbeitung der Kontaktdaten der betroffenen Person zum Zweck der Zusendung von Arbeitsangeboten, Spruchpunkt II. betrifft den Vorwurf, die Verantwortliche habe im ab dem 03.10.2020 gegen ihre Pflicht zur Löschung gemäß Art. 17 DSGVO verstoßen, indem sie dem Antrag auf Löschung der betroffnen Person nicht nachgekommen ist; Spruchpunkt III. betrifft schließlich den Vorwurf, die Verantwortliche habe in einem näher bezeichneten Beschwerdeverfahren als Partei vor der Datenschutzbehörde auf deren Anfrage nicht ausreichend mitgewirkt und dadurch gegen ihre Pflicht gemäß Art. 30 DSGVO verstoßen.

3.2.5.3. Art. 83 Abs. 3 DSGVO legt fest, dass in Fällen wie im vorliegenden, in denen ein Verantwortlicher bei „gleichen oder miteinander verbundenen Verarbeitungsvorgängen“ vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung verstößt, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt.

3.2.5.4. Der Begriff „miteinander verbunden“ bezieht sich dabei auf den Grundsatz, dass ein einheitliches Verhalten aus mehreren Teilen bestehen kann, deren Ausführung von einem einheitlichen Willen bestimmt ist und die inhaltlich (insbesondere in Bezug auf die Identität der betroffenen Person, den Zweck und die Art), räumlich und zeitlich so eng miteinander verbunden sind, dass sie objektiv als eine natürliche Handlungseinheit angesehen werden können (vgl. EDSA Leitlinien 2023 zu Art. 83 DSGVO, Rz 28). Dies ist im vorliegenden der Fall, da die unrechtmäßige Verarbeitung in engem Zusammenhang mit dem sonstigen Verhalten der Verantwortlichen, näherhin der gänzlichen Unkenntnis datenschutzrechtlicher Verpflichtungen im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der gewerblichen Tätigkeit als Arbeitskräfteüberlassungsunternehmen steht. Diese gänzliche Unkenntnis der datenschutzrechtlichen Rahmenbedingungen hat auch zur Verwirklichung der Verletzung der Pflicht zur Löschung nach Art. 17 DSGVO, bzw. zur Pflicht zur Mitwirkung als Partei im Verfahren vor der Datenschutzbehörde nach Art. 31 DSGVO, im Sinne einer natürlichen Handlungseinheit geführt. Die DSGVO normiert damit für bestimmte Fallkonstellationen ein Absorptionsprinzip, dies in Abweichung zu dem ansonsten von § 22 Abs. 2 VStG normierten Kumulationsprinzip.

3.2.5.5. Im vorliegenden Fall besteht der „schwerwiegendste Verstoß“ in der mit Spruchpunkt I. des angefochtenen Bescheides verfolgten unrechtmäßigen Verarbeitung der Kontaktdaten bzw. der Verletzung des Rechts auf Löschung, wodurch die Verantwortliche die Bestimmungen der Art. 5 Abs. 1, Art. 6 Abs. 1 und Art. 17 DSGVO verletzt hat. Für Verstöße gegen die vorgenannten Bestimmungen gilt der Strafrahmen des Art. 83 Abs. 5 lit. a DSGVO, sohin ein Rahmen bis 20.000.000 EURO, auch wenn die Verantwortliche im vorliegenden Zusammenhang Unternehmerin ist, kommt der umsatzbezogene Strafrahmen von bis zu 4 Prozent des weltweit erzielten Jahresumsatzes mit Blick auf den – wenn auch nur auf Basis der Angaben der Beschwerdeführerin angenommenen Jahresumsatz von EUR 1.900.000,- –nicht in Betracht.

3.2.5.6. Auch in Fällen des Art. 83 Abs. 3 DSGVO ist jedoch – auch nach Ansicht des Europäischen Datenschutzausschusses – zu beachten, dass der Wortlaut „Gesamtbetrag“ in Art. 83 Abs. 3 DSGVO indiziert, dass alle begangenen Verstöße bei der Beurteilung des Betrags der Geldbuße berücksichtigt werden müssen und die Formulierung „Betrag für den schwerwiegendsten Verstoß“ sich auf das gesetzliche Höchstmaß für Geldbußen bezieht (Art. 83 Abs. 4 bis 6 DSGVO). Daher ist, auch wenn die Geldbuße nicht die rechtliche Höchstgrenze der höchsten Bußgeldstufe übersteigen darf, ein Verantwortlicher für schuldig zu befinden, gegen mehrere Bestimmungen verstoßen zu haben. Diese Verstöße müssen bei der Beurteilung des Betrags der endgültigen Geldbuße, die zu verhängen ist, entsprechend Berücksichtigung finden. In Fällen, wie dem vorliegenden, in dem die Verantwortliche durch Tateinheit mehrere Verstöße gegen die DSGVO verwirklicht, hier neben Art. 5, 6 und 17 DSGVO auch die Pflichten aus Art. 31 DSGVO, können die übrigen – neben dem als schwerwiegendsten Verstoß identifizierten – begangenen Verstöße nicht verworfen werden, sondern müssen bei der Berechnung der Geldbuße berücksichtigt werden (vgl. EDSA Leitlinien 2023 zu Art. 83 DSGVO, Rz. 43).

3.2.5.7. Zu den Strafzumessungsgründen im Einzelnen:

Schwerwiegend fällt zu Lasten der Beschwerdeführerin ins Gewicht, dass sie als Unternehmen aus dem Bereich der Arbeitskräfteüberlassung personenbezogene Daten von Arbeitnehmerinnen und Arbeitnehmern zu verwalten hat, um ihre Kerntätigkeit, die gewerbliche Überlassung von Arbeitskräften, ausüben zu können. Vor diesem Hintergrund ist es als besonders verwerflich anzusehen, dass innerhalb des Unternehmens der Beschwerdeführerin nicht einmal grundlegende Kenntnisse betreffend datenschutzrechtlicher Rahmenbedingungen, so etwa zu den Verarbeitungsgrundsätzen, Erlaubnistatbeständen und Betroffenenrechten, vorhanden waren. So ist man im Unternehmen der Beschwerdeführerin – ohne nachvollziehbare Begründung – davon ausgegangen, dass personenbezogene Daten aus öffentlich zugänglichen Quellen zu gewerblichen Zwecken weiterverarbeitet werden, und Anträge auf Löschung seitens einer betroffenen Person sowie behördliche Aufforderungsschreiben unbeachtet bleiben könnten. Als Unternehmerin wäre die Beschwerdeführerin jedenfalls verpflichtet gewesen, sich über die – seit Mai 2018 in Geltung stehenden – Bestimmungen der Datenschutz-Grundverordnung zu informieren und ihren Geschäftsbetrieb darauf abzustimmen. Hierzu hätte sie beispielsweise das Informationsangebot der Wirtschaftskammer (vgl. etwa: https://www.wko.at/datenschutz/uebersicht, zuletzt abgerufen am 04.12.2024) oder auch der Datenschutzbehörde (unter www.dsb.gv.at) nutzen bzw. kostenlos die Leitlinien des Europäischen Datenschutzausschusses zu Rate ziehen können. Im Besonderen hätte sich die Beschwerdeführerin in Bezug auf die Ausübung des Gewerbes der Arbeitskräfteüberlassung mit den Erlaubnistatbeständen des Art. 6 Abs. 1 DSGVO vertraut machen, und ihre Mitarbeiterinnen und Mitarbeiter auf wirksame Weise im Umgang mit Anfragen von betroffenen Personen schulen müssen. Die Unterlassung all dessen führt zu einem hohen Grad an Verantwortung auf Seiten der Beschwerdeführerin, dessen Tatunwert höher als von der belangten Behörde einzuschätzen war, da von einem Unternehmen, dass gewerbsmäßig Arbeitskräfte überlässt, ein besonderes Maß an Sorgfalt im Umgang mit personenbezogenen Daten und den Rechten der Betroffenen erwartet werden kann; demgegenüber hat die Beschwerdeführerin jedoch durch ihr Verhalten ein besonderes Maß an Gleichgültigkeit gegenüber der – von der DSGVO geschützten – Grundrechtspositionen zum Ausdruck gebracht (Art. 83 Abs. 2 lit. a, d und k DSGVO).

Zudem war erschwerend zu werten, dass in Bezug auf Spruchpunkt II und III von vorsätzlicher Begehung, in Bezug auf Spruchpunkt I von grob fahrlässigem Verhalten auszugehen war.

Ebenso war – im Gegensatz zur behördlichen Entscheidung – der Umstand, dass die Beschwerdeführerin die Daten des betroffenen (erst) aufgrund einer behördlichen Anordnung in Erledigung eines aufsichtsbehördlichen Beschwerdeverfahrens, und nicht auf Basis des Antrages der betroffenen Person vom 03.10.2020, gelöscht hat, als erschwerend im Sinne von Art. 83 Abs. 2 lit. d und k DSGVO) zu werten. Wenn die belangte Behörde die Löschung nach Erlass des aufsichtsbehördlichen Bescheides als Milderungsgrund annimmt, übersieht sie dabei, dass die Bescheide der Datenschutzbehörde einen Exekutionstitel bilden und die Beschwerdeführerin daher ohnehin gezwungen war, der behördlichen Anordnung zur Löschung zu entsprechen, andernfalls die Löschung zwangsweise durchgesetzt worden wäre. Es kann nicht als Milderungsgrund gewertet werden, wenn eine betroffene Person zur Durchsetzung ihres Rechts auf Löschung nach Art. 17 DSGVO auf die Beschreitung des Rechtsweges angewiesen bleibt; vielmehr liegt es in der pflichtgemäßen Verantwortung eines Verantwortlichen, Anträge auf Löschung zu prüfen und zu beachten, dies muss umso mehr gelten, wenn – wie im vorliegenden Fall – die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, zu Zwecken der Direktwerbung erfolgt und die betroffene Person einen Widerspruch im Sinne von Art. 21 DSGVO einlegt.

Weiterhin war erschwerend zu werten, dass die Beschwerdeführerin auch in einem anderen – zwischenzeitlich vom Bundesverwaltungsgericht rechtskräftig entschiedenen Fall – wegen der Missachtung der Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde nach Art. 31 DSGVO verurteilt wurde (vgl. BVwG vom 17.09.2024, Zl. W298 2295130-1/E), das Verhalten der Beschwerdeführerin gegenüber der Datenschutzbehörde kann daher nicht als bloß einmaliges organisatorisches Versehen gewertet werden.

Milderungsgründe sind demgegenüber keine hervorgetreten. So ist insbesondere darauf zu verweisen, dass die Beschwerdeführerin zwischenzeitlich nicht einmal die auf deren Homepage bereitgestellten Datenschutzinformationen angepasst hat und weiterhin keine Informationen im Sinne von Art. 14 DSGVO ersichtlich sind.

3.2.5.8. Ergebnis: Die vom Bundesverwaltungsgericht bestätigte Geldbuße scheint tat- und schuldangemessen und befindet sich am unteren Ende des zur Verfügung stehenden Strafrahmens von EUR 20.000.000. Für eine weitere Herabsetzung der Sanktion besteht insbesondere aufgrund der oben genannten Erschwernisgründe kein Raum. Ein (noch) niedrigerer Betrag würde im vorliegenden Fall den in Art. 83 Abs. 1 DSGVO normierten Kriterien für eine Geldbuße, wonach diese in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss, nicht mehr gerecht werden. Im Besonderen erfordern auch generalpräventive Erwägungen die Verhängung einer Geldbuße in dieser Höhe, um andere Unternehmen aus dem Bereich der Arbeitskräfteüberlassung auf die Einhaltung der datenschutzrechtlichen Bestimmungen zu sensibilisieren bzw. die Beschwerdeführerin selbst von der Begehung weiterer Verstöße gegen die DSGVO abzuhalten. Letzteres erweist sich mit Blick auf das uneinsichtige Verhalten der Beschwerdeführerin – nicht zuletzt im Verfahren vor dem Bundesverwaltungsgericht – als jedenfalls angezeigt.

3.2.5.9. Zu den Kosten des Verwaltungsstrafverfahrens sowie des Beschwerdeverfahrens:

Gemäß § 64 Abs. 1 VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß § 64 Abs. 2 VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10 % der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen.

Da der Beschwerde keine Folge gegeben wurde, waren der Beschwerdeführerin Kosten des Beschwerdeverfahrens im Ausmaß von 20 Prozent der verhängten Geldstrafe aufzuerlegen (§ 52 Abs. 1 und Abs. 2 VwGVG).

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Es war daher spruchgemäß durch Senat zu entscheiden.

Zahlungsinformation:

Sie haben den Gesamtbetrag von EUR 16.640,00 (Strafe, Kosten des verwaltungsbehördlichen sowie verwaltungsgerichtlichen Verfahrens) binnen zwei Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben werden wird.

Bundesverwaltungsgericht W292 2285487-1

Regest

Texte intégral

Bundesverwaltungsgericht W292 2285487-1

Spruch

Begründung

Poursuivez vos recherches dans ChatGPT ou Claude