W287 2286005-1 – Bundesverwaltungsgericht Entscheidung

W287 2286005-1/15E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin MMag.a Dr.in Julia KUSZNIER als Vorsitzende sowie die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG über die Beschwerde der XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG, Schottenring 25, 1010 Wien, gegen das Straferkenntnis der Datenschutzbehörde vom 02.01.2024, GZ: XXXX , nach Durchführung einer mündlichen Verhandlung im Umlaufweg zu Recht erkannt:

A)

I. Der Beschwerde wird hinsichtlich des Ausspruchs über die verhängte Strafe teilweise stattgegeben und die verhängte Geldstrafe auf gesamt EUR 10.000,00 reduziert; korrespondierend dazu reduziert sich der Beitrag zu den Kosten des Strafverfahrens vor der belangten Behörde gemäß § 64 VStG auf EUR 1.000,00.

II. Die Beschwerdeführerin hat gemäß § 52 Abs. 8 VwGVG keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang und Sachverhalt:

1. Die XXXX (in weiterer Folge auch „Beschwerdeführerin“) wurde mit Schreiben der Datenschutzbehörde (in weiterer Folge auch „belangte Behörde“) vom 12.10.2021 zur Rechtfertigung aufgefordert. Ihr wurde vorgeworfen, dass sie in mehreren Administrativverfahren vor der belangten Behörde (GZ: XXXX und XXXX ) ihre Pflichten zur Zusammenarbeit mit der Aufsichtsbehörde im Sinne von Art. 31 DSGVO verletzt habe.

2. Mit Schriftsatz vom 17.11.2021 führte die Beschwerdeführerin aus, dass ihr in allen genannten Verfahren, denen eine Beschwerde iSd. § 24 Abs. 1 DSG einer betroffenen Person zu Grunde gelegen sei, die Möglichkeit zur Stellungnahme eingeräumt worden sei. Diese habe sie aus verschiedenen Gründen nicht wahrgenommen. Es liege kein tatbestandsmäßiges Verhalten vor, da es sich gegenständlich bei den Aufforderungen zur Stellungnahme nicht um „Anfragen“ iSd. Art. 31 DSGVO gehandelt habe. Die Gewährung der Möglichkeit zur Stellungnahme folge aus dem Anspruch der Verfahrensparteien auf rechtliches Gehör nach § 37 AVG und sei ein Mitwirkungsrecht der Parteien und keine Pflicht. Die Erfüllung der Aufgaben der belangten Behörde sei auch ohne Stellungnahme der Beschwerdeführerin möglich gewesen. Es sei insbesondere das Recht auf ein faires Verfahren nach Art. 47 Abs. 2 GRC bzw. Art. 6 EMRK und das sich aus diesen Artikeln ergebende nemo- tenetur-Prinzip zu beachten.

Aufgrund der COVID-19-Pandemie seien außergewöhnliche Umstände vorgelegen, weshalb die Beschwerdeführerin jedenfalls nicht schuldhaft gehandelt habe. Die Bearbeitung von Anfragen sei aufgrund der reduzierten Verfügbarkeit von Mitarbeitern empfindlich erschwert und verlangsamt gewesen. Dem hohen Arbeitsanfall geschuldet, hätten Akten priorisiert werden müssen. Es seien Rechtsgüter nur sehr geringfügig beeinträchtigt worden, weshalb das Verfahren gem. § 45 Abs. 1 Z 4 VStG einzustellen sei bzw. mit einer Verwarnung das Auslangen gefunden werden könne.

3. Mit Schreiben vom 25.01.2022 sowie 23.02.2022 wurde die Beschwerdeführerin auch hinsichtlich der Verfahren zu den Geschäftszahlen XXXX sowie XXXX (vormals XXXX ) zur Rechtfertigung aufgefordert. Ihr wurde vorgeworfen, auch in diesen Verfahren gegen ihre Mitwirkungspflichten verstoßen und in der Folge Anweisungen der belangten Behörde trotz rechtskräftiger Bescheide nicht befolgt zu haben.

4. Mit Schriftsatz vom 16.03.2022 brachte die Beschwerdeführerin eine ergänzende Rechtfertigung ein und wiederholte im Wesentlichen ihr bisheriges Vorbringen.

Alle Anweisungen der Behörde in den relevanten Verfahren seien befolgt worden, es könne höchstens von einer verspäteten Umsetzung der Anweisung gesprochen werden. Die Beschwerdeführerin habe zur Befolgung der Anweisungen teilweise umfangreiche Nachforschungen in der internen Datenbank vornehmen müssen. Es habe somit insgesamt ein entschuldigender Notstand vorgelegen.

5. Am 09.06.2022 wurde der Zeuge XXXX (Abteilungsleiter für die Bereiche Finanzen, Administration und Recht) vor der belangten Behörde einvernommen. Dieser gab an, grundsätzlich für die Umsetzung der Anweisungen der Datenschutzbehörde zuständig zu sein. Die inhaltliche Erledigung obliege aber XXXX (nunmehr XXXX ).

Zusammenfassend gab er an, dass alle „Userbegehren“ erledigt worden seien und es keine organisatorischen Mängel bei der Beschwerdeführerin gegeben habe. Mit COVID-19 seien die Betroffenenanfragen stark angestiegen. Wegen der geänderten Rechtslage habe eine Umstrukturierung im Personal erfolgen müssen, um alle rechtlichen Agenden bearbeiten zu können. Aufgrund der strukturellen Änderungen und der Kurzarbeit seien Informationen verspätet oder teilweise gar nicht bei den Verantwortlichen angekommen.

6. Die Zeugin XXXX (Unternehmensjuristin und Datenschutzbeauftragte) führte im Zuge der Vernehmung am 09.06.2022 vor der belangten Behörde aus, dass die knappen Ressourcen während der COVID-19-Pandemie dazu geführt hätten, dass Themen priorisiert werden mussten und in Folge Mitarbeiter vom Bereich Datenschutz abgezogen worden seien. Es habe im Grunde keine Zeit gegeben, adäquat mit der Behörde zu kommunizieren.

7. Mit Bescheid vom 04.07.2022 wurde das Verfahren gemäß § 24 VStG iVm § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-807/21 ausgesetzt.

8. Mit Bescheid vom 05.12.2023 wurde der Bescheid der Datenschutzbehörde vom 04.07.2022 (GZ. XXXX ) behoben und das Verfahren fortgesetzt.

9. Mit nunmehr angefochtenem Straferkenntnis der belangten Behörde vom 02.01.2024, GZ. XXXX wurde über die Beschwerdeführerin eine Geldstrafe in Höhe von EUR XXXX gemäß Art. 83 Abs. 6 DSGVO DSGVO verhängt und die Beschwerdeführerin gemäß § 64 VStG zum Ersatz eines Anteils der Kosten des Strafverfahrens in Höhe von EUR XXXX verpflichtet. Die Beschwerdeführerin habe gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der belangten Behörde gemäß Art. 31 DSGVO verstoßen, indem sie den von der belangten Behörde näher dargestellten Aufforderungen zur Stellungnahme im Rahmen der Beschwerdeverfahren zu den Geschäftszahlen: XXXX (vormals: XXXX ) nicht entsprochen habe. Dadurch habe die Beschwerdeführerin in ihrer Rolle als Verantwortliche auf Anfrage einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht mitgewirkt (Spruchpunkte I.-V.).

Im Zusammenhang mit dem Beschwerdeverfahren zur GZ. XXXX habe die Beschwerdeführerin ferner der Anweisung der belangten Behörde, der betroffenen Person eine Auskunft iSd. Art. 15 DSGVO zu erteilen, nicht binnen der festgesetzten Frist von vier Wochen entsprochen (Spruchpunkt VI.).

Das Verfahren hinsichtlich des Vorwurfs, dass die Beschwerdeführerin eine Anweisung der Datenschutzbehörde im Zusammenhang mit einer Löschung nach Abschluss des Beschwerdeverfahrens zur GZ. XXXX nicht befolgt habe, wurde gemäß § 45 Abs. 1 Z 1 (1. Fall) VStG eingestellt (Spruchpunkt VII.).

Die Beschwerdeführerin habe demnach Verwaltungsübertretungen nach Art. 31 iVm. Art. 83 Abs. 1 und 4 lit. a DSGVO sowie Art. 58 Abs. 2 lit. c iVm. Art. 83 Abs. 1 und 6 DSGVO begangen.

10. Mit Schriftsatz vom 30.01.2024 erhob die Beschwerdeführerin fristgerecht Beschwerde gegen das Straferkenntnis vom 02.01.2024 und wiederholte darin im Wesentlichen ihr bisheriges Vorbringen. Ergänzend brachte sie vor, dass bezüglich des Spruchpunktes VI. die Anweisung der belangten Behörde befolgt worden sei. Es sei keine Anordnung missachtet worden, aufgrund besonderer Umstände des Einzelfalls sei die Auskunft lediglich verspätet erteilt worden. Mangels rechtzeitiger Verfolgungshandlung sei hinsichtlich der Spruchpunkte I. bis III. und VI. bereits Verfolgungsverjährung eingetreten, weshalb der belangten Behörde hinsichtlich dieser Punkte die Zuständigkeit zur Strafverfolgung gefehlt habe. Die belangte Behörde habe bezüglich der Aufforderungen zu den Verfahren XXXX und XXXX keinen Tatzeitraum oder Tatort genannt. Zudem habe die belangte Behörde den verfahrensrelevanten Sachverhalt nicht ausreichend ermittelt, da sie sich nicht mit den besonderen Herausforderungen im Zuge der COVID-19 Pandemie beschäftigt habe. Die Höhe der Strafe sei hinsichtlich aller angefochtenen Spruchpunkte (I. – VI.) unverhältnismäßig.

11. Mit Aktenvorlage vom 06.02.2024 legte die belangte Behörde den verfahrensgegenständlichen Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor. In ihrer Stellungnahme führte die belangte Behörde aus, es sei nicht nachvollziehbar, welche Sachverhaltselemente im Zusammenhang mit den Zeugenbefragungen nicht erörtert worden seien. Bezüglich des (rechtlichen) Vorbringens betreffend Verstoß gegen das nemo-tenetur-Prinzip (Selbstbelastungsverbot) übersehe die Beschwerdeführerin ihre Rechenschaftspflicht. Unabhängig davon habe die Beschwerdeführerin am Beschwerdeverfahren deshalb nicht mitgewirkt, weil sie intern die Ressourcen der Rechtsabteilung auf andere Agenden fokussiert habe und nicht, weil sie befürchtet habe, dass sie sich durch die Befolgung der Aufforderungen selbst belasten würde. Die Beschwerdeführerin habe außerdem auf die Aufforderungen der belangten Behörde gar nicht reagiert und zu keinem Zeitpunkt vorgebracht bzw. behauptet, dass sie der Aufforderung nicht nachkommen könne, weil sie sich ansonsten selbst belasten würde.

12. Am 17.01.2025 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt, in der ein informierter Vertreter der Beschwerdeführerin sowie die Zeugen XXXX und XXXX einvernommen wurden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die Beschwerdeführerin ist Medieninhaberin und Herausgeberin der Tageszeitung XXXX sowie Betreiberin eines Online-Nachrichtendienstes. Sie verarbeitet Daten zahlreicher Privatpersonen.

1.2. Zur objektiven Tatseite:

1.2.1. Zum Verfahren zur GZ. XXXX :

Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 03.11.2020 (zugestellt am 11.11.2020) und mit Schreiben vom 14.12.2020 (zugestellt am 18.12.2020) per E-Mail zur Stellungnahme auf. Mit Schreiben vom 04.01.2021 (zugestellt am 11.01.2021, OZ 2 VWA ./12) wurde die Beschwerdeführerin per RSb-Brief erneut zur Stellungnahme aufgefordert und ausdrücklich auf ihre Mitwirkungspflicht gemäß Art. 58 Abs. 1 lit. a und lit. e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hingewiesen. Auf diese Schreiben reagierte die Beschwerdeführerin nicht. Mit Bescheid vom 01.02.2021 zur GZ. XXXX (OZ 2 VWA ./03) wurde schließlich ohne Mitwirkung der Beschwerdeführerin festgestellt, dass die Beschwerdeführerin die betroffene Person dadurch im Recht auf Auskunft verletzt habe, indem sie dem Auskunftsbegehren nicht entsprochen habe. Zudem wurde der Beschwerdeführerin aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution dem Antrag der betroffenen Person auf Auskunft zu entsprechen.

Trotz des mit Bescheid vom 01.02.2021 (GZ. XXXX ) erteilten Auftrages, innerhalb einer Frist von vier Wochen dem Antrag der betroffenen Person auf Auskunft nach Art. 15 DSGVO zu entsprechen, wurde keine Auskunft durch die Beschwerdeführerin innerhalb dieser Frist erteilt. Der Bescheid wurde der Beschwerdeführerin nachweislich am 03.02.2021 zugestellt und erwuchs (mangels Rechtsmittels) mit 04.03.2021 in Rechtskraft. Die betroffene Person teilte der belangten Behörde mit E-Mails vom 26.02.2021, 07.03.2021 und 17.03.2021 mit, dass sie weiterhin und trotz Anweisung der belangten Behörde keine Auskunft von der Beschwerdeführerin erhalten habe. Die Beschwerdeführerin erteilte schließlich am 14.04.2021 eine „Negativauskunft“ an die betroffene Person. Die Verzögerung beruhte darauf, dass zunächst keine Übereinstimmung zwischen den von der betroffenen Person in den CRM-Systemen hinterlegten Daten und den Daten, die die betroffene Person im Rahmen des Auskunftsprozesses angegeben hatte, erzielt werden konnte.

1.2.2. Zum Verfahren zur GZ. XXXX :

Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 10.08.2020 und mit Schreiben vom 13.10.2020 sowie mittels RSb-Brief vom 30.11.2020, welcher der Beschwerdeführerin am 09.12.2020 zugestellt wurde, zur Stellungnahme auf (OZ 2 VWA./13). Die Beschwerdeführerin reagierte auf keines der Schreiben, obwohl sie ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm. Art. 58 Abs. 1 lit. a und lit. e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hingewiesen wurde. Mit Bescheid vom 19.01.2021 zur GZ. XXXX (OZ 2 VWA ./04) wurde die Datenschutzbeschwerde der betroffenen Person ohne Mitwirkung der Beschwerdeführerin abgewiesen.

1.2.3. Zum Verfahren zur GZ. XXXX :

Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 18.05.2020 (zugestellt am 25.05.2020) zur Stellungnahme auf. Die Beschwerdeführerin stellte einen Antrag auf Fristerstreckung. Die Frist wurde daraufhin auf den 30.06.2020 erstreckt. Mit Schreiben vom 30.06.2020 erstattete die Beschwerdeführerin eine Stellungnahme. Mit Schreiben vom 13.08.2020 wurde der Beschwerdeführerin der Antrag der betroffenen Person auf Löschung vorgehalten und sie aufgefordert, hierzu binnen zwei Wochen ab Erhalt der Aufforderung eine Stellungnahme einzubringen. Diese Aufforderung wurde der Beschwerdeführerin am 01.09.2020 zugestellt. Die Beschwerdeführerin reagierte nicht auf diese Aufforderung der belangten Behörde. Die Beschwerdeführerin wurde schließlich erneut mittels RSb-Brief vom 02.12.2020 zur Stellungnahme aufgefordert, welcher ihr am 19.12.2020 zugestellt wurde (OZ 2 VWA./14). Die Beschwerdeführerin reagierte auf dieses Schreiben ebenso nicht. Die Beschwerdeführerin wurde ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm. Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hingewiesen. Das Verfahren wurde schließlich ohne Mitwirkung der Beschwerdeführerin mit Bescheid vom 04.02.2021 XXXX abgeschlossen.

1.2.4. Zum Verfahren zur GZ. XXXX :

Die belangte Behörde forderte die Beschwerdeführerin mit Schreiben vom 18.05.2021 (zugestellt am 19.05.2021) und mit Schreiben 11.06.2021 (zugestellt am 14.06.2021) zur Stellungnahme auf und wies ausdrücklich auf die Mitwirkungspflicht gemäß Art. 31 iVm. Art. 58 Abs. 1 lit. a und lit. e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin. Auf diese Aufforderungen reagierte die Beschwerdeführerin nicht. Mit Bescheid vom 16.07.2021 zur GZ. XXXX (OZ 2 VWA ./06) wurde ohne Mitwirkung der Beschwerdeführerin festgestellt, dass die Beschwerdeführerin die betroffene Person in ihrem Recht auf Auskunft verletzt habe.

Nach Zustellung des Bescheides, konkret mit E-Mail vom 28.07.2021, übermittelte die Beschwerdeführerin (nachträglich) eine Stellungnahme.

1.2.5. Zum Verfahren zur GZ. XXXX (vormals XXXX ):

Die belangte Behörde forderte die Beschwerdeführerin nach erstmaliger Stellungnahme vom 28.07.2021 mit Schreiben vom 02.09.2021 (zugestellt am 06.09.2021) sowie mit Schreiben vom 15.11.2021 (zugestellt am 15.11.2021) zur weiteren Stellungnahme auf. Mit RSb-Brief vom 23.12.2021 (zugestellt am 03.01.2022, OZ 2 VWA ./11) wurde die Beschwerdeführerin erneut zur Stellungnahme aufgefordert. Die Beschwerdeführerin reagierte auf diese Aufforderungen nicht, obwohl sie ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm. Art. 58 Abs. 1 lit. a und lit. e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle der mangelnden Mitwirkung) hingewiesen wurde. Mit Bescheid vom 07.02.2022 zur GZ. XXXX wurde schließlich ohne Mitwirkung der Beschwerdeführerin ausgesprochen, dass sie die betroffene Person in ihrem Recht auf Auskunft verletzt habe, indem sie eine unvollständige Auskunft erteilt habe.

1.3. Zu den Verfolgungshandlungen der belangten Behörde:

Mit Schreiben vom 12.10.2021 wurde die Beschwerdeführerin zur Rechtfertigung aufgefordert, weil sie im Verdacht stehe, in den Verfahren zu den GZ: XXXX sowie XXXX ihrer Pflicht zur Zusammenarbeit mit der Behörde nicht nachgekommen zu sein.

Mit Schreiben vom 25.01.2022 forderte die belangte Behörde die Beschwerdeführerin wegen der mangelnden Mitwirkung in einem weiteren Verfahren (GZ. XXXX ) und wegen der Nichtbefolgung von Anweisungen in den Verfahren zu den GZ. XXXX sowie GZ. XXXX zur Rechtfertigung auf.

Mit Schreiben vom 16.02.2022 forderte die belangte Behörde die Beschwerdeführerin zur Rechtfertigung hinsichtlich der vorgeworfenen mangelnden Mitwirkung zu GZ. XXXX (vormals XXXX ) auf.

In sämtlichen Aufforderungen zur Rechtfertigung gab die belangte Behörde konkret die jeweiligen Geschäftszahlen der betroffenen Beschwerdeverfahren sowie die Schreiben, auf die die Beschwerdeführerin nicht reagiert habe, samt Datum an.

1.4. Zur subjektiven Tatseite:

Der Bereichsleiter XXXX ging davon aus, dass die Aufforderungen zur Stellungnahme keinen obligatorischen Charakter haben und der Beschwerdeführerin nur die Möglichkeit einer Stellungnahme eingeräumt werde, wobei sich der Bereichsleiter diesbezüglich rechtlich nicht erkundigte. Er nahm an, dass der belangten Behörde alle Informationen vorliegen würden, um eine Entscheidung in den jeweiligen Verfahren treffen zu können und erachtete eine Stellungnahme daher als nicht erforderlich. Die Ressourcen wurden bewusst auf andere Agenden konzentriert, insbesondere wurde auch in den gegenständlichen Beschwerdeverfahren bewusst entschieden, keine externe Hilfe zur Bearbeitung in Anspruch zu nehmen. Wenn die notwendigen Kapazitäten vorhanden gewesen wären, hätte der Bereichsleiter eine Stellungnahme abgegeben.

Der für die Bearbeitung der datenschutzrechtlichen Agenden unmittelbar zuständigen XXXX war bewusst, dass die Beschwerdeführerin verpflichtet war, auf die Aufforderungen der Datenschutzbehörde in den gegenständlichen Verfahren zu reagieren und eine Stellungnahme abzugeben. Sie informierte XXXX darüber, dass die Beschwerdeführerin den Aufforderungen nachkommen müsse und die Fristen nicht eingehalten werden könnten. Diese Information wurde nicht an die Geschäftsführung weitergegeben.

Die Erstattung von Stellungnahmen wurde nicht deshalb unterlassen, weil sich die Beschwerdeführerin nicht selbst belasten wollte.

1.5. Zur internen Organisation der Beschwerdeführerin und zur Situation im relevanten Zeitraum:

1.5.1. Datenschutzrechtliche Agenden werden bei der Beschwerdeführerin intern auf mehrere Bereiche aufgeteilt, die bei der Beantwortung von Datenschutzanfragen zusammenarbeiten müssen. Für das zentrale Datenschutzmanagement ist der Bereich „Finanzen, Administration und Recht“ zuständig. Für diesen Bereich war im relevanten Zeitraum (Mitte 2020 – Anfang 2022) XXXX als Abteilungsleiter intern verantwortlich. Es gibt ein definiertes Datenschutz-E-Mail-Postfach, wobei die einlangenden Anfragen durch Datenschutzjurist:innen koordiniert und bearbeitet werden.

1.5.2. Mit Beginn der COVID-19-Pandemie kam es bei der Beschwerdeführerin zu einem Anstieg an Betroffenenanfragen (von ca. 20 auf etwa 150 Anfragen pro Jahr). Zudem stieg der Arbeitsanfall in der Rechtsabteilung der Beschwerdeführerin im Zusammenhang mit der COVID-19-Pandemie auch in anderen Bereichen (Sicherheit/Gesundheit der Arbeitnehmer; Kurzarbeit; Fortbestand des Unternehmens durch (rechtliche) Prüfung von zahlreichen Förderungen und Einreichung von Anträgen für die gesamte Unternehmensgruppe; Umstellung des Betriebes auf „Home-Office“). Ab diesem Zeitpunkt nahm die Beschwerdeführerin aufgrund der im gesamten Unternehmen angeordneten Kurzarbeit eine Priorisierung der anfallenden Agenden vor. Der Fokus der Beschwerdeführerin lag im Jahr 2020 auf Systemerhaltung und Krisen-Management, der Umsetzung der Kurzarbeitsregelungen, der Beantragung von Förderungen sowie der Erfüllung der rechtlichen Verpflichtungen als systemkritisches Unternehmen im Zusammenhang mit der COVID-19-Pandemie. Im Zeitraum von April 2020 bis September 2020 befanden sich die Arbeitnehmer:innen überwiegend in Kurzarbeit. Zudem wurde intern ein „Einstellungsstopp bis Anfang 2021“ beschlossen.

Im Zuge der COVID-19-Pandemie entschied die Beschwerdeführerin, Personal aus dem datenschutzrechtlichen Bereich abzuziehen und für Maßnahmen im Zusammenhang mit Administration, COVID-19-Regelungen und Kurzarbeit einzusetzen. Innerhalb der Rechtsabteilung wurde ebenfalls eine Priorisierung der Agenden vorgenommen, und der Fokus lag dabei auf der Einreichung und Prüfung von Förderungen sowie der Analyse von COVID-19-Gesetzesbestimmungen. Der Einsatz von Ressourcen für die Behandlung von datenschutzrechtlichen Angelegenheiten rückte dabei bewusst in den Hintergrund. Die Geschäftsführung der Beschwerdeführerin und der für die Rechtsabteilung zuständige Bereichsleiter sahen auch keine zusätzlichen Ressourcen hierfür vor. Ebenso entschied man sich bewusst gegen die Inanspruchnahme externer Hilfe zB durch Rechtsvertreter in gegenständlichen Beschwerdeverfahren vor der belangten Behörde.

1.5.3. Während des Einstellungsstopps wurden die datenschutzrechtlichen Angelegenheiten im Wesentlichen von einer Person XXXX behandelt, wobei diese wiederum auch mit weiteren Themen betraut war. Der für die Rechtsabteilung zuständige Bereichsleiter XXXX entschied im Ergebnis daher, dass andere Themen (mangels Ressourcen) prioritär gegenüber den Aufforderungen der Datenschutzbehörde behandelt werden sollten.

1.5.4. Die Beschwerdeführerin war phasenweise nicht mehr in der Lage, das für die datenschutzrechtlichen Angelegenheiten eingerichtete E-Mail-Postfach der Datenschutzabteilung zu verwalten. Das Postfach konnte nicht mehr auf Eingänge/Schreiben der Datenschutzbehörde geprüft werden. Es erfolgte seitens der Beschwerdeführerin zwar eine Sichtung des Datenschutz-Postfachs, allerdings langte in diesem Postfach auch eine Vielzahl an Eingaben mit Spam-Inhalten ein. Phasenweise war XXXX alleine dafür verantwortlich, das Datenschutzpostfach zu sichten, da XXXX mit anderen Aufgaben betraut wurde und die zuvor für die Sichtung zuständige Mitarbeiterin abgezogen wurde.

1.5.5. Die Zustellungen der belangten Behörde erfolgten über unterschiedliche Kanäle (E-Mail, E-Zustellung über Finanzonline sowie RSb). Die Schreiben der Datenschutzbehörde wurden zwar zugestellt, wurden jedoch aufgrund der mangelhaften internen Abläufe der Beschwerdeführerin teilweise nicht bzw. unrichtig weitergeleitet und kamen letztlich teilweise nicht oder stark verspätet bei der zuständigen Datenschutzabteilung bzw. Rechtsabteilung an. Das Postwesen der Beschwerdeführerin war nicht auf die verschiedenen von der belangten Behörde genutzten Kommunikationskanäle ausgerichtet. Es mangelte an Prozessen, die einlangenden Schriftstücke an die richtigen Abteilungen weiterzuleiten. Stellenweise wurden Eingaben ohne Information an die entsprechenden Abteilungen abgelegt oder während der COVID-19-Pandemie auf die Arbeitsplätze der jeweiligen Mitarbeiter gelegt, die sich jedoch im Home Office befanden.

1.5.6. Ende 2021 kam es zu einem Ausfall der Werkvertragsdatenbank der Beschwerdeführerin. Diese Datenbank ist essentiell für den Betrieb der Beschwerdeführerin, insbesondere für eine Abrechnung mit Lieferanten bzw. Werkvertragsnehmern und freien Mitarbeitern. Die Wiederherstellung dieser Datenbank musste priorisiert werden, wobei XXXX verstärkt eingebunden war und somit weniger Kapazitäten für die Bearbeitung datenschutzrechtlicher Agenden hatte.

1.5.7. Mit September 2021 erfolgte eine Aufstockung des Personals, wodurch die Abteilung für datenschutzrechtliche Angelegenheiten wieder mehr Kapazitäten und Ressourcen hatte. In weiterer Folge wurde der angefallene Rückstau im „Datenschutzpostfach“ bis März 2022 abgearbeitet.

1.6. Zum Umsatz der Beschwerdeführerin:

Die Beschwerdeführerin erzielte im Jahr 2022 einen weltweiten Jahresumsatz in der Höhe von insgesamt EUR XXXX . Im Jahr 2023 betrug der weltweite Jahresumsatz insgesamt EUR XXXX .

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

2.1. Die getroffenen Feststellungen ergeben sich aus dem vorgelegten Verwaltungsakt, dem Gerichtsakt sowie den Einvernahmen eines informierten Vertreters der Beschwerdeführerin und der Zeugen XXXX und XXXX in der mündlichen Verhandlung. Die grundlegende Tatsache, dass die Beschwerdeführerin mehrmals aufgefordert wurde, in den relevanten Verfahren vor der belangten Behörde Stellungnahmen abzugeben, und dass sie diesen Aufforderungen nur zum Teil nachkam bzw. verspätet nachkam, blieb unbestritten. Ebenso ergibt sich unstrittig aus dem Verwaltungsakt, wann die Beschwerdeführerin zu welcher Verwaltungsübertretung zur Rechtfertigung aufgefordert wurde, sowie der Inhalt der jeweiligen Schreiben. Die Gründe für die verzögerte Auskunftserteilung im Verfahren zur GZ XXXX ergeben sich aus dem von der Beschwerdeführerin vorgelegten Schreiben (OZ 1 AS 82/83).

2.2. Dass der für die Bearbeitung der Eingaben verantwortlichen Person XXXX bewusst war, dass die Aufforderungen der belangten Behörde obligatorischen Charakter hatten, ergibt sich aus folgenden Erwägungen: Zum Einen enthielten insbesondere die zuletzt per Rsb versendeten Aufforderungen der Datenschutzbehörde in allen Verfahren den ausdrücklichen Hinweis, dass im Falle der Verletzung der Mitwirkungspflicht ein Verwaltungsstrafverfahren eingeleitet werden könne. XXXX gab dazu sowohl in der Einvernahme vor der belangten Behörde sowie im Rahmen der mündlichen Verhandlung vor dem Bundesverwaltungsgericht an, dass ihr bewusst gewesen sei, dass es sich bei den Schreiben der belangten Behörde nicht um eine freigestellte Möglichkeit handelte, an den Verfahren mitzuwirken. Im Rahmen ihrer Einvernahme vor der belangten Behörde führte sie diesbezüglich aus: „[…] Ich habe jedenfalls Herrn XXXX gesagt, dass wir den Aufforderungen nachkommen müssen und, dass aktuell die Fristen nicht mehr eingehalten werden können.“ Im Zuge der mündlichen Verhandlung vor dem Bundesverwaltungsgericht führte sie auf die Frage, ob sie davon ausgegangen sei, auf die Aufforderungen der DSB reagieren zu müssen, aus: „Natürlich, wenn ich es gesehen habe, das haben wir dann auch gemacht. Wenn darinstand, dass ein Verfahren eingestellt wird, gehe ich davon aus, dass ich darauf nicht reagieren muss. Ich bin bei den ggst. Aufforderungen, wenn ich sie in die Hand bekommen habe, davon ausgegangen, dass ich der DSB etwas schicken muss, wenn sich das aus dem Schreiben ergeben hat.“ (OZ 2 VWA ./19; OZ 12, S. 18, 26 sowie 31). Schließlich mussten die verantwortlichen Personen auch aufgrund der Tatsache, dass die belangte Behörde in den jeweiligen Verfahren mehrfach Aufforderungen verschickte und nicht nach einem erfolglosen Versuch, eine Stellungnahme zu erlangen, aufgab, davon ausgehen, dass die belangte Behörde eine Stellungnahme als erforderlich ansah.

XXXX gab zwar durchgehend an, davon ausgegangen zu sein, dass keine Stellungnahme erforderlich sei, räumte aber gleichzeitig ein, dass er die Schreiben beantwortet hätte, hätte er die Ressourcen dafür gehabt (OZ 12, S. 20) und dass er sich rechtlich nicht erkundigt habe (OZ 2, VWA./18).

Dass die Erstattung von Stellungnahmen nicht deshalb unterlassen wurde, weil sich die Beschwerdeführerin nicht selbst belasten wollte, ergibt sich aus den Aussagen der Zeugen XXXX und XXXX in der mündlichen Verhandlung sowie aus der Tatsache, dass in manchen Verfahren (teilweise) verspätet Stellungnahmen eingebracht wurden, wobei die Beschwerdeführerin in keinem Fall angab, dass sie keine Stellungnahme abgeben wolle, um sich selbst nicht zu belasten.

2.3. Die Feststellungen zur internen Organisation und den internen Strukturänderungen der Beschwerdeführerin ergeben sich insbesondere aus den nachvollziehbaren, glaubhaften und im gesamten Verfahren im Wesentlichen unveränderten Aussagen der beiden Zeugen XXXX und XXXX (OZ 12, S. 17 und 25; OZ 2 VWA ./18 und ./19) und folgen insofern den Feststellungen der belangten Behörde im Straferkenntnis.

Die Rollen der beiden Zeugen, die diese in der Organisation der Beschwerdeführerin innehatten, ergeben sich aus deren übereinstimmenden Aussagen und Schilderungen. Auch die jeweiligen Verantwortungsbereiche wurden nachvollziehbar beschrieben. Daraus folgend war auch festzustellen, dass XXXX als Leiter diverser Abteilungen (darunter auch des Bereichs Datenschutz) für die Organisationsstruktur innerhalb der Rechtsabteilung vor und während der COVID-19-Pandemie verantwortlich war (OZ 12, S. 17 und 25).

Die Feststellungen zu den durch COVID-19 bedingten strukturellen Änderungen gründen auf den ebenfalls nachvollziehbaren und glaubhaften Angaben der beiden Zeugen. Es konnte überzeugend aufgezeigt werden, dass – in Anbetracht der neuen Situation (Kurzarbeit und Homeoffice) – ein Ressourcenmangel herrschte. Ebenso konnte dargelegt werden, dass die Beschwerdeführerin als „systemkritisches Unternehmen“ mit neuen rechtlichen Herausforderungen konfrontiert war (OZ 12, S. 17 f sowie 26).

Die Feststellungen zu den erfolgten Priorisierungen basieren auf den übereinstimmenden und im gesamten Verfahren im Wesentlichen gleich gebliebenen Ausführungen der beiden Zeugen sowie den diversen Eingaben der Beschwerdeführerin. Der Umstand, dass priorisiert wurde, ist insofern unstrittig. Dies gab auch der informierte Vertreter der Beschwerdeführerin im Rahmen der mündlichen Verhandlung vor dem BVwG an (OZ 2 VWA./18; OZ. 12, S. 15 sowie 17 ff).

Dass die Beschwerdeführerin in den gegenständlichen Beschwerdeverfahren bewusst keine externe Hilfe in Anspruch genommen hat, ergibt sich aus den Aussagen in der mündlichen Verhandlung (OZ 12, S. 15 und 29), nach denen im relevanten Zeitraum weitere Verfahren anhängig waren, die teilweise von den Rechtsvertretern der Beschwerdeführerin übernommen wurden, was in den gegenständlichen Verfahren jedoch verworfen worden sei.

Die Feststellung zu den Zustellwegen der Datenschutzbehörde sowie zu den zunächst während der COVID-19-Pandemie mangelhaften internen Postabläufen der Beschwerdeführerin gründet auf den übereinstimmenden Aussagen der Zeugen (OZ. 12, S. 13 und 22).

Die Feststellungen zur Aufstockung des Personals in der Rechtsabteilung sowie jene zum Ausfall der Vertragsdatenbank ergeben sich aus den entsprechenden Schilderungen der Zeugen in der mündlichen Verhandlung sowie vor der belangten Behörde.

2.4. Die Feststellungen zum Umsatz der Beschwerdeführerin aus dem Jahr 2022 bzw. 2023 basieren auf einer gerichtlichen Nachschau im Firmenbuch. Hierbei wurde iSd. 150. Erwägungsgrundes der DSGVO der Unternehmensbegriff der Art. 101 und 102 AEUV zugrunde gelegt und Einsicht in den Jahresabschluss der XXXX , FN XXXX genommen.

3. Rechtliche Beurteilung:

Nach § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat unter anderem über Beschwerden gegen Bescheide der Datenschutzbehörde.

3.1. Die gesetzlichen Grundlagen lauten auszugsweise wie folgt:

Art. 31 DSGVO:

Zusammenarbeit mit der Aufsichtsbehörde

Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

Art. 83 Abs. 1, 4 und 6 DSGVO:

Allgemeine Bedingungen für die Verhängung von Geldbußen

Art 83 (1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

Artikel 58 DSGVO

Befugnisse

(2) lit c) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.

§ 5 VStG:

Schuld

§ 5 (1) Wenn eine Verwaltungsvorschrift über das Verschulden nicht anderes bestimmt, genügt zur Strafbarkeit fahrlässiges Verhalten. Fahrlässigkeit ist bei Zuwiderhandeln gegen ein Verbot oder bei Nichtbefolgung eines Gebotes dann ohne weiteres anzunehmen, wenn zum Tatbestand einer Verwaltungsübertretung der Eintritt eines Schadens oder einer Gefahr nicht gehört und der Täter nicht glaubhaft macht, daß ihn an der Verletzung der Verwaltungsvorschrift kein Verschulden trifft.

(1a) Abs. 1 zweiter Satz gilt nicht, wenn die Verwaltungsübertretung mit einer Geldstrafe von über 50 000 Euro bedroht ist.

(2) Unkenntnis der Verwaltungsvorschrift, der der Täter zuwidergehandelt hat, entschuldigt nur dann, wenn sie erwiesenermaßen unverschuldet ist und der Täter das Unerlaubte seines Verhaltens ohne Kenntnis der Verwaltungsvorschrift nicht einsehen konnte.

§ 10 VStG:

Strafen

§ 10 (1) Strafart und Strafsatz richten sich nach den Verwaltungsvorschriften, soweit in diesem Bundesgesetz nicht anderes bestimmt ist.

(2) Soweit für Verwaltungsübertretungen, insbesondere auch für die Übertretung ortspolizeilicher Vorschriften, keine besondere Strafe festgesetzt ist, werden sie mit Geldstrafe bis zu 218 Euro oder mit Freiheitsstrafe bis zu zwei Wochen bestraft.

§ 19 VStG:

Strafbemessung

§ 19. (1) Grundlage für die Bemessung der Strafe sind die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat.

(2) Im ordentlichen Verfahren (§§ 40 bis 46) sind überdies die nach dem Zweck der Strafdrohung in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen.

3.2. Zur Erfüllung des objektiven Tatbestands:

3.2.1. Die belangte Behörde verhängte über die Beschwerdeführerin eine Geldbuße gemäß Art. 83 Abs. 4 lit. a DSGVO wegen einer Verwaltungsübertretung nach Art. 31 DSGVO infolge der Verletzung der Mitwirkungspflicht in fünf anhängigen Datenschutzbeschwerdeverfahren (Spruchpunkte I. bis V. des angefochtenen Straferkenntnisses) sowie gemäß Art. 83 Abs. 6 DSGVO wegen Nichtbefolgung einer Anweisung der Aufsichtsbehörde nach Art. 58 Abs. 2 lit. c DSGVO (Spruchpunkt VI. des Straferkenntnisses).

Aufgrund der Beschwerdeschrift ist davon auszugehen, dass die Beschwerdeführerin sich gegen die Strafe dem Grunde und der Höhe nach richtet, jedoch dem von der belangten Behörde festgestellten Sachverhalt nicht widerspricht, sondern vielmehr eine unrichtige rechtliche Beurteilung dieses Sachverhalts vorbringt.

3.2.2. Zum Verstoß gegen die Mitwirkungspflicht gemäß Art. 31 DSGVO (Spruchpunkte I.-V. des Straferkenntnisses):

3.2.2.1. Gemäß Art. 31 DSGVO arbeiten der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Art. 31 DSGVO soll die Durchsetzbarkeit der aufsichtsbehördlichen Aufgaben nach Art. 51 ff unterstützen (Hartung in Kühling/Buchner, DSGVO3, Art. 31, Rz 5).

Nach Art. 31 setzt die Pflicht zur Zusammenarbeit eine entsprechende Anfrage der Aufsichtsbehörde voraus (Hartung in Kühling/Buchner4, DS-GVO/BDSG, Art. 31 Rz 8). Der Adressat einer Anfrage nach Art. 31 hat die Pflicht zur Duldung und Mitwirkung, soweit es sich um die in Art. 58 enthaltenen Anfragen und Maßnahmen handelt (Hartung in Kühling/Buchner4, DS-GVO/BDSG, Art. 31 Rz 12). Art. 31 bestimmt, dass die Normadressaten auf Anfrage der Aufsichtsbehörde mit ihr nur bei der Erfüllung ihrer Aufgaben zusammenarbeiten sollen. Es bedarf daher stets eines Konnexes zu den der Aufsichtsbehörde übertragenen Aufgaben, die sich aus der Verordnung ergeben (Bogendorfer in Knyrim, Dat-Komm, Art. 31 DSGVO [Stand 01.12.2022, rdb.at] Rz 15).

Nach Art. 58 Abs. 1 lit. a hat die Aufsichtsbehörde das Recht, den Verantwortlichen, den Auftragsverarbeiter und ggf. den Vertreter des Verantwortlichen oder Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung der Aufgaben der Aufsichtsbehörde erforderlich sind. Die Verpflichtung zur Bereitstellung aller Informationen bezieht sich auf alle (Er-) Kenntnisse, die den jeweiligen Beteiligten zur Verfügung stehen, und soll verhindern, dass nur einzelne Auskünfte gegeben werden und so die Untersuchungen der Aufsichtsbehörde erschwert werden. Korrespondierend zu Art. 58 Abs. 1 lit. a verpflichtet Art. 31 den Verantwortlichen, den Auftragsverarbeiter und ggf. deren Vertreter, mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben auf Anfrage zusammenzuarbeiten (Boehm in Kühling/Buchner4, DS-GVO/BDSG, Art. 58 Rz 14). Die Mitwirkungspflichten der Betroffenen sind vor dem jeweiligen faktischen Hintergrund zu sehen, wobei im Zusammenhang mit der Aufforderung der Datenschutzbehörde zur Äußerung in einer bestimmten Rechtssache von einer hinreichenden Bestimmtheit des Mitwirkungsgegenstandes auszugehen ist. Unzweifelhaft hat der Adressat einer Anfrage nach Art. 31 DSGVO die Pflicht zur Duldung beziehungsweise Mitwirkung. Zunächst ist einer Anfrage nachzukommen, soweit es sich um die in Art. 58 DSGVO enthaltenen Anfragen und Maßnahmen handelt. Insofern ist die Mitwirkungspflicht im Interesse einer wirksamen Aufsicht und Durchsetzung der Normen der DSGVO umfassend und schließt insbesondere die Angabe von bekannten Tatsachen und Unterlagen einschließlich Beweismittel ein (vgl. allg. Bogendorfer in Knyrim, DatKomm Art. 31 DSGVO (Stand 1.12.2022, rdb.at) Rz 7; sowie Hartung in Kühling/Buchner, DS-GVO BDSG Art. 31 DSGVO Rz 8-12). Insgesamt legt Art. 31 DSGVO dem Verantwortlichen sohin eine verwaltungsrechtliche Kooperationspflicht auf; die Vorschrift drängt insofern den Grundsatz der amtswegigen Sachverhaltsermittlung ein Stück weit zurück.

Verweigert der Verantwortliche die Mitwirkung und kommt er der Aufforderung zur Abgabe einer Äußerung nicht nach, kann dies die Sanktionierung nach Art. 83 Abs. 4 lit. a DSGVO nach sich ziehen (Bogendorfer in Knyrim, DatKomm Art. 31 DSGVO [Stand 01.12.2022, rdb.at] Rz 7).

3.2.2.2. Dass die Beschwerdeführerin im konkreten Fall Verantwortliche gemäß Art. 4 Z 7 DSGVO ist, die die Mitwirkungspflicht nach Art. 31 DSGVO trifft, wird nicht bestritten.

3.2.2.3. Wie im Detail festgestellt, wurde die Beschwerdeführerin in insgesamt 5 Beschwerdeverfahren vor der belangten Behörde mehrfach zur Stellungnahme zu den Datenschutzbeschwerden der betroffenen Personen und Mitwirkung in dem jeweils genannten Verfahren aufgefordert, dies jeweils unter Hinweis darauf, dass im Fall der Verletzung der Mitwirkungspflicht ein Verwaltungsstrafverfahren eingeleitet werden könne. Es bestehen vor dem Hintergrund der obigen Ausführungen keine Bedenken gegen die Rechtsansicht der Datenschutzbehörde, dass es sich dabei um Anfragen im Sinne des Art. 31 DSGVO handelt. Es ist daher davon auszugehen, dass die Beschwerdeführerin den objektiven Tatbestand des Art. 31 iVm. Art. 83 Abs. 1 und 4 lit. a DSGVO verwirklicht hat.

3.2.2.4. Soweit die Beschwerdeführerin darauf verweist, dass ihre Mitwirkung durch Abgabe einer Stellungnahme zur Feststellung des Sachverhalts in den gegenständlichen Verfahren vor der Datenschutzbehörde zur Feststellung des Sachverhalts nicht erforderlich gewesen sei, ist dem entgegenzuhalten, dass die Verpflichtung zur Kooperation auf Anfrage der Aufsichtsbehörde besteht und nicht von einer bestimmten Fragestellung oder dem Ausgang des Verfahrens, in dem die Anfrage ergeht, abhängt und diese insbesondere auch nicht der ex ante-Beurteilung des Sachverhalts durch die Beschwerdeführerin unterliegt. Schließlich ist auch auf die mehrfachen Aufforderungen zur Stellungnahme durch die belangte Behörde hinzuweisen, weshalb die Beschwerdeführerin nicht davon ausgehen durfte, dass ihre Mitwirkung an den Verfahren ohnehin irrelevant sei.

3.2.2.5. Zum Vorbringen der Beschwerdeführerin, die Pflicht eine inhaltliche Stellungnahme abzugeben, käme einer grundrechtswidrigen Pflicht zur Selbstbelastung gleich:

Mitwirkungspflichten stehen im Spannungsverhältnis zum Grundsatz nemo tenetur („Selbstbelastungsverbot“). Zwar besteht die Garantie des Selbstbezichtigungsverbots bereits im Vorfeld eines Verwaltungsstrafverfahrens, sie gilt jedoch nicht absolut und kann eingeschränkt werden, solange der Grundkern dieses Verfahrensrechts erhalten bleibt. Ein Selbstbelastungsverbot wird im verwaltungsbehördlichen Verfahren regelmäßig dann nicht vertretbar sein, wenn es darum geht, einen objektiven Verstoß festzustellen. Davon abzugrenzen ist die Feststellung der Schuld, bei welcher der Behörde die Beweisführung obliegt (Zavadil in Knyrim, DatKomm Art. 58 DSGVO Rz 12 f (Stand 1.7.2024, rdb.at)).

Gesetzliche Auskunftspflichten sind nur dann verfassungswidrig, wenn sie dazu dienen, einer Behörde Informationen über ein strafbares Verhalten des Auskunftspflichtigen zu verschaffen (VfSlg. 14.987 – einschränkende Interpretation einer Meldepflicht; VfSlg. 15.600; VwGH 29.11.2000, 98/09/0242; 27.6.2001, 98/09/0363). Jedoch sind Melde- oder Auskunftspflichten, die nicht intentional auf eine Informationsbeschaffung zum Zwecke strafrechtlicher Verfolgung des Verpflichteten gerichtet sind, zulässig (VfSlg. 5235, 5295, 11.549; vgl. zu alldem Muzak, B-VG6 Art. 90 (Stand 1.10.2020, rdb.at)).

Die Pflicht der Normadressaten zur Zusammenarbeit mit der Aufsichtsbehörde findet va. in den Art. 47 Abs. 2, 48 Abs. 2 und 52 GRC sowie Art. 6 EMRK ihre Grenzen. Der EuGH vertritt in seiner Judikatur zum Wettbewerbsrecht die Ansicht, dass der Grundsatz der Selbstbelastungsfreiheit nicht verletzt ist, solange mit einer Information kein unmittelbares Schuldeingeständnis verbunden ist. Der Gerichtshof sieht darin auch keinen Widerspruch zu Art. 6 EMRK und führt dazu in erster Linie aus, dass sich aus dem Wortlaut des Art. 6 EMRK kein ausdrückliches Selbstbelastungsverbot ergibt (EuGH 18.10.1989, Rechtssache 374/87-„Orkem/Kommission“). Schließlich geht auch der EGMR davon aus, dass Art. 6 Abs. 1 EMRK auf vorbereitende verwaltungsrechtliche Ermittlungen nicht anwendbar ist (EGMR Nr. 19187/91, Urt. v. 17.12.1996, Rz. 67).

Ein Verstoß gegen Art. 6 EMRK liegt nur dann vor, wenn eine Selbstauskunft die Gefahr einer (verwaltungs-)strafrechtlichen Verfolgung mit sich bringt und einer Selbstbezichtigung gleichkommt. Das Recht zu schweigen darf jedoch nicht dazu führen, dass jegliche Zusammenarbeit mit einer Behörde verweigert wird (so auch das von der Beschwerdeführerin angeführte Urteil des EuGH zu „Consob“ (EuGH 02.02.2021, C-481/19) in Rz. 41). Art. 31 DSGVO soll die Durchsetzbarkeit der aufsichtsbehördlichen Aufgaben nach Art. 51 ff DSGVO unterstützen, selbst wenn die hiernach vorgesehene Zusammenarbeit dem Verantwortlichen schaden könnte (Hartung in Kühling/Buchner, DS-GVO BDSG Art. 31 DSGVO Rz. 5).

Insgesamt bestehen vor dem Hintergrund dieser Ausführungen keine Bedenken gegen die Annahme einer Mitwirkungspflicht der Beschwerdeführerin in den gegenständlichen (vorgelagerten) Beschwerdeverfahren vor der belangten Behörde. Zum Einen hat die Beschwerdeführerin die Mitwirkung in mehreren Verfahren gänzlich verweigert, zum Anderen waren die Aufforderungen der Behörde nicht intentional auf eine Informationsbeschaffung zum Zwecke strafrechtlicher Verfolgung gerichtet. Schließlich legte die Beschwerdeführerin gegenüber der belangten Behörde auch nicht dar, dass sie eine (weitere) Mitwirkung verweigere, um sich nicht selbst zu belasten. Vielmehr gab sie durchgehend an, dass die mangelnde Mitwirkung durch die Herausforderungen im Zusammenhang mit der COVID-19-Pandemie bedingt waren.

Schließlich ist auf den Beschluss des VfGH vom 25.11.2024 zu E 4123/2024-5 hinzuweisen, in welchem der Gerichtshof die Behandlung einer Beschwerde in einem Verfahren, dem ein vergleichbarer Sachverhalt zugrunde lag, ablehnte, da durch eine Entscheidung die Klärung einer verfassungsrechtlichen Frage nicht zu erwarten sei.

3.2.3. Zur Nichtbefolgung einer Anweisung nach Art. 58 Abs. 2 lit. c DSGVO (Spruchpunkt VI. des angefochtenen Straferkenntnisses):

Art. 58 DSGVO definiert verschiedenste aufsichtsbehördliche Untersuchungsbefugnisse (Abs. 1), Abhilfebefugnisse (Abs. 2) sowie Genehmigungs- und Beratungsbefugnisse (Abs. 3). Die Aufsichtsbehörden der Mitgliedstaaten sind grundsätzlich frei in der Auswahl der anzuwendenden Maßnahmen, diese müssen allerdings im jeweiligen Einzelfall verhältnismäßig sein. Die Aufsichtsbehörde kann den Verantwortlichen bzw. Auftragsverarbeiter anweisen, den Anträgen eines Betroffenen auf Ausübung der ihm nach der DSGVO zustehenden Rechte zu entsprechen, kann allerdings auch Geldbußen verhängen. Die diesbezügliche Entscheidung liegt im Ermessen der Aufsichtsbehörde, wobei die in Art. 83 DSGVO genannten Erwägungen heranzuziehen sind. Die Geldbuße kann neben oder anstatt weiterer Abhilfemaßnahmen iSd Art. 58 Abs. 2 lit. a–h und i DSGVO verhängt werden (Zavadil in Knyrim, DatKomm Art. 58 DSGVO Rz 29 ff, 42 (Stand 1.7.2024, rdb.at)).

Der Begriff der „Anweisung“ meint nach der Literatur alle verbindlichen Anweisungen der Aufsichtsbehörde, unabhängig davon, wie sie formuliert sind. Dabei handelt es sich […] um alle vollstreckbaren Verwaltungsakte mit Handlungsbefehl auf Basis von Art. 58 Abs. 2, sodass entweder Bestandskraft oder sofortige Vollziehbarkeit gegeben sein müssen (Bergt in Kühling/Buchner DSGVO4 Art. 83 Rz 109 mwN).

Mit Bescheid vom 01.02.2021 stellte die belangte Behörde im Verfahren zu GZ. XXXX fest, dass die Beschwerdeführerin die betroffene Person in ihrem Recht auf Auskunft verletzt habe, indem sie dem Auskunftsbegehren nicht entsprochen habe. Der Beschwerdeführerin wurde aufgetragen, innerhalb einer Frist von 4 Wochen dem Antrag der betroffenen Person auf Auskunft zu entsprechen. Der Bescheid wurde der Beschwerdeführerin nachweislich am 03.02.2021 zugestellt und erwuchs mit 04.03.2021 in Rechtskraft. Mit Eintritt der Rechtskraft begann die 4-wöchige Frist zur Erteilung der Auskunft entsprechend dem bescheidmäßig erteilten Leistungsauftrag zu laufen (vgl. VwGH 03.10.2013, 2012/06/0221; Hengstschläger/Leeb, AVG § 59 Rz 58 (Stand 1.3.2023, rdb.at) mwN).

Die Beschwerdeführerin erteilte schließlich am 14.04.2021 eine „Negativauskunft“ an die betroffene Person, sodass die Auskunft letztlich (nur) ca 10 Tage nach Ablauf der im Leistungsauftrag festgelegten Leistungsfrist erteilt wurde.

Sofern die Beschwerdeführerin vermeint, dass der Tatbestand des Art. 58 Abs. 2 lit. c iVm. 83 Abs. 1 und 6 DSGVO nicht verwirklicht sei, weil der Normtext im Präsens gefasst sei, die Beschwerdeführerin jedoch die Auskunft (verspätet) erteilt habe und Art. 86 Abs. 6 DSGVO somit auf rechtlicher Ebene nicht anwendbar sei, ist dem entgegenzuhalten, dass allein aus der Formulierung, die im Übrigen nicht von der Formulierung sonstiger Verwaltungsstrafnormen oder Strafnormen des StGB abweicht, nicht abgeleitet werden kann, dass nur ein andauernder Verstoß strafbar ist. Vielmehr wurde der Tatbestand des Art. 58 Abs. 2 lit. c iVm. 83 Abs. 1 und 6 DSGVO mit Ablauf der 4-wöchigen Leistungsfrist verwirklicht. Die Dauer des Verstoßes bzw. eine allfällige Beseitigung ist im Rahmen der Strafbemessung (Art. 83 Abs. 2 lit. a DSGVO) bzw. im Rahmen der Milderungsgründe zu berücksichtigen.

Wenn die Beschwerdeführerin in Rz 52 ihrer Bescheidbeschwerde darauf hinweist, dass die Leistungsfrist des Art. 12 Abs. 3 DSGVO eine reine Modalitätsbestimmung, eine Monatsfrist und keine Wochenfrist und auch schon abgelaufen sei, verkennt sie, dass die Leistungsfrist des Bescheids zu GZ. XXXX eine Frist iSd. § 59 AVG darstellt. Auch wenn nationales Recht keine zusätzlichen materiellen Voraussetzungen für die Verhängung von Geldbußen vorsehen darf, so obliegt es den Mitgliedstaaten das anzuwendende Verfahrensrecht zu normieren. Insofern wurde der Beschwerdeführerin eine Anweisung iSd. Art. 58 Abs. 2 DSGVO gegeben, welche in weiterer Folge nicht bzw. verspätet befolgt wurde. Der objektive Tatbestand des Art. 83 Abs. 6 DSGVO ist somit verwirklicht.

Ebenso vermag die Argumentation der Beschwerdeführerin, dass bei Nichtbefolgung der Anweisung der belangten Behörde im konkreten Fall neben den Exekutionsmitteln nach §§ 4 ff. VVG kein Platz für die Verhängung einer Strafe sei, nicht zu überzeugen, zumal die Vollstreckbarkeit der Anweisung gerade Voraussetzung für die Anwendbarkeit der Strafbestimmung ist (vgl. Bergt in Kühling/Buchner DSGVO4 Art. 83 Rz 109 mwN). Zudem lässt diese Argumentation generalpräventive Überlegungen außer Betracht, dient doch die Verhängung einer Strafe nicht nur dazu, der betroffenen Person bei der Durchsetzung ihrer Betroffenenrechte zu helfen, sondern auch andere Verantwortliche anzuhalten, Anweisungen der Datenschutzbehörde fristgerecht zu erfüllen.

Das erkennende Gericht geht daher davon aus, dass die Beschwerdeführerin den objektiven Tatbestand des Art. 58 Abs. 2 lit. c iVm. Art. 83 Abs. 1 und 4 lit. a DSGVO verwirklicht hat.

3.3. Zur Erfüllung des subjektiven Tatbestands:

Gemäß Art. 84 Abs. 4 lit. a DSGVO sind auch Verstöße gegen die Zusammenarbeitspflicht nach Art. 31 DSGVO bußgeldbewehrt. Nach Art. 83 DSGVO kann eine Geldbuße nur dann verhängt werden, wenn nachgewiesen ist, dass der Verantwortliche, der eine juristische Person und zugleich ein Unternehmen ist, einen in Art. 83 Abs. 4 bis Abs. 6 DSGVO genannten Verstoß vorsätzlich oder fahrlässig begangen hat. Ein Verantwortlicher kann für ein Verhalten, das in den Anwendungsbereich der DSGVO fällt, sanktioniert werden, wenn er sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt. Handelt es sich bei dem Verantwortlichen um eine juristische Person, setzt die Anwendung des Art. 83 DSGVO keine Handlung und nicht einmal Kenntnis seitens des Leistungsorgans dieser juristischen Personen voraus (vgl. EuGH 05.12.2023, C-807/21, Deutsches Wohnen SE gegen Staatsanwaltschaft Berlin, Rz 76 bis 78).

Der Beschwerdeführerin waren mit der ersten erfolgten (rechtswirksamen) Zustellung der Aufforderung zur Stellungnahme die Tatsachen, die den gesetzlichen Tatbestand erfüllen, bekannt, und zwar, dass sie zur Mitwirkung gemäß Art. 31 DSGVO verpflichtet ist und im Falle der Verletzung dieser Mitwirkungspflicht ein Verwaltungsstrafverfahren gegen sie eingeleitet wird. Ebenso war die Beschwerdeführerin mit Zustellung des Bescheids zur GZ. XXXX im Klaren, dass sie dem Auftrag der Datenschutzbehörde, eine Auskunft an die betroffene Person zu erteilen, binnen 4 Wochen ab Rechtskraft nachkommen musste. Sie konnte sich über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein. Wie sich aus den jeweiligen behördlichen Aufforderungen an die Beschwerdeführerin klar und eindeutig ergibt, hat die belangte Behörde jeweils auf die Bestimmung des Art. 31 DSGVO sowie den Umstand hingewiesen, dass im Falle der Nichtmitwirkung durch die Beschwerdeführerin seitens der Datenschutzbehörde eine Geldbuße im Sinne von Art. 83 DSGVO verhängt werden könne und dabei hinreichend genau umschrieben, welche Informationen von der Beschwerdeführerin, in deren (damaliger) Eigenschaft als Verfahrenspartei in einem datenschutzrechtlichen Beschwerdeverfahren nach § 24 DSG bzw. Art. 77 DSGVO, benötigt werden; dennoch hat die Beschwerdeführerin den behördlichen Aufforderungen keine Folge geleistet bzw. verspätet Folge geleistet.

Es bestehen in dieser Hinsicht keine Bedenken gegen die Ausführungen der belangten Behörde, der vorliegende Verstoß sei der Beschwerdeführerin in Form von Fahrlässigkeit subjektiv vorwerfbar. Als Verantwortliche hat sie die Einhaltung datenschutzrechtlicher Bestimmungen sicherzustellen und Abläufe so zu organisieren, dass den Verpflichtungen gegenüber der belangten Behörde termingerecht nachgekommen werden kann. Es wird dabei nicht verkannt, dass die Beschwerdeführerin im Zuge der COVID-19-Pandemie mit besonderen Herausforderungen konfrontiert war. Wie festgestellt wurde, hat die Beschwerdeführerin jedoch bewusst andere Agenden priorisiert und insbesondere auch eine Inanspruchnahme externer Hilfe unterlassen. Ebenso ist der Beschwerdeführerin eine mangelhafte Organisation des internen Postwesens anzulasten (vgl. Punkt 1.5.5. oben), weshalb sie somit zumindest fahrlässig und damit subjektiv vorwerfbar gehandelt hat.

Dieses fahrlässige Verhalten muss sich die Beschwerdeführerin zurechnen lassen; eine Handlung oder Kenntnis eines Leitungsorgans der Beschwerdeführerin, ist hierfür nicht erforderlich (EuGH 05.12.2023, C 807/21, Deutsche Wohnen SE, Rz 77).

Sofern die Beschwerdeführerin vorbringt, dass die belangte Behörde den Sachverhalt iSd. § 39 Abs. 2 AVG nicht sachgerecht ermittelt hätte und daraus folgend die konkreten, durch die COVID-19-Pandemie bedingten Umstände nicht berücksichtigt hätte, ist dem entgegenzuhalten, dass die belangte Behörde diese Umstände umfassend festgestellt und im Rahmen der Bemessung der Strafe berücksichtigt hat. In der mündlichen Verhandlung vor dem Bundesverwaltungsgericht erstattete die Beschwerdeführerin auch auf Nachfrage durch die vorsitzende Richterin kein darüberhinausgehendes Vorbringen mehr. Ebenso ergaben sich aufgrund der Zeugenaussagen keine Anhaltspunkte für weitere bei der Strafbemessung zu berücksichtigende Umstände im Zusammenhang mit der COVID-19-Pandemie.

Die Berufung der Beschwerdeführerin auf das Vorliegen einer entschuldigenden Notstandssituation iSd. § 6 VStG vermag nicht zu überzeugen, zumal diese nicht angenommen werden kann, wenn es dem Beschuldigte anders als durch Begehung des strafbaren Verhaltens möglich wäre, die behauptete unmittelbar und schwere Gefahr abzuwehren (vgl. VwGH 19.09.1990, 90/03/0123). Wie festgestellt, entschied sich die Beschwerdeführerin im konkreten Fall jedoch bewusst dafür, gewisse Angelegenheiten zu priorisieren, den Personaleinsatz in der Rechtsabteilung umzustrukturieren und großflächig Kurzarbeit zu beantragen sowie einzelne Verfahren vor der belangten Behörde gegenüber den hier gegenständlichen Verfahren vorrangig zu behandeln und externe Berater damit zu beauftragen, was der Beschwerdeführerin auch in den hier gegenständlichen Verfahren frei gestanden wäre. Vor diesem Hintergrund scheidet eine Berufung auf das Vorliegen eines entschuldigenden Notstands, der von der Rechtsprechung einschränkend interpretiert und nur in Ausnahmefällen zugelassen wird, im konkreten Fall aus (Lewisch/Fister/Weilguni, VStG3 § 6 (Stand 1.7.2023, rdb.at) Rz 12).

Es ist daher in einer Gesamtbetrachtung von einer fahrlässigen Tatbegehung der Beschwerdeführerin auszugehen.

3.4. Zum Vorbringen der Verfolgungsverjährung:

3.4.1. § 31 VStG regelt die Verjährung in Verwaltungsstrafverfahren. Gemäß § 31 Abs. 1 VStG ist die Verfolgung einer Person unzulässig, wenn gegen sie binnen einer Frist von einem Jahr keine Verfolgungshandlung (§ 32 Abs. 2) vorgenommen worden ist. Diese Frist ist von dem Zeitpunkt zu berechnen, an dem die strafbare Tätigkeit abgeschlossen worden ist oder das strafbare Verhalten aufgehört hat; ist der zum Tatbestand gehörende Erfolg erst später eingetreten, so läuft die Frist erst von diesem Zeitpunkt.

Die Strafbarkeit einer Verwaltungsübertretung erlischt gemäß § 31 Abs. 2 VStG durch Verjährung. Die Verjährungsfrist beträgt drei Jahre und beginnt in dem in Abs. 1 genannten Zeitpunkt. In die Verjährungsfrist werden die Perioden iSd. § 31 Abs. 1 Z1 – Z4 VStG nicht eingerechnet.

Eine Verfolgungshandlung ist gem. § 32 Abs. 2 VStG jede von einer Behörde gegen eine bestimmte Person als Beschuldigten gerichtete Amtshandlung, selbst dann, wenn die Behörde zu dieser Amtshandlung nicht zuständig war, die Amtshandlung ihr Ziel nicht erreicht oder der Beschuldigte davon keine Kenntnis erlangt hat.

Beim Erfordernis einer genauen Tatumschreibung im Sinne des § 44a Z. 1 VStG kommt es darauf an, den Beschuldigten in die Lage zu versetzen, auf den konkreten Tatvorwurf bezogene Beweise anzubieten, um eben diesen Tatvorwurf zu widerlegen, und ihn rechtlich davor zu schützen, wegen desselben Verhaltens nochmals zur Verantwortung gezogen zu werden. Das an Tatort- und Tatzeitumschreibung zu stellende Erfordernis wird daher nicht nur von Delikt zu Delikt, sondern auch nach den jeweils gegebenen Begleitumständen in jedem einzelnen Fall ein verschiedenes, weil an den erwähnten Rechtsschutzüberlegungen zu messendes Erfordernis sein (Hinweis E VS 3. Oktober 1985, 85/02/0053, VwSlg 11894 A/1985). Diese Rechtsschutzüberlegungen sind auch bei der Prüfung der Frage anzustellen, ob innerhalb der Verjährungsfrist des § 31 Abs. 1 VStG eine taugliche Verfolgungshandlung im Sinne des § 32 Abs. 2 VStG vorliegt oder nicht (VwGH 19.12.2005, 2001/03/0162). Das bedeutet, dass die dem Beschuldigten vorgeworfene Tat (lediglich) unverwechselbar konkretisiert sein muss, damit dieser in die Lage versetzt wird, auf den Vorwurf zu reagieren und damit sein Rechtsschutzinteresse zu wahren (VwGH 26.06.2003, 2002/09/0005; VwGH 03.03.2021, Ra 2021/03/0031 mwN). Die Umschreibung dieser Tat hat so präzise zu sein, dass der Beschuldigte einerseits seine Verteidigungsrechte wahren und im ordentlichen Verwaltungsstrafverfahren (und gegebenenfalls in einem Wiederaufnahmeverfahren) in die Lage versetzt wird, auf den konkreten Tatvorwurf bezogene Beweise anzubieten und eben diesen Tatvorwurf zu widerlegen, und er andererseits nicht der Gefahr einer Doppelbestrafung ausgesetzt ist (Fister in Lewisch/Fister/Weilguni, VStG3 § 44a (Stand 1.7.2023, rdb.at) Rz 2).

3.4.2. Im Verfahren zur GZ. XXXX wurde die Beschwerdeführerin erstmals mit Schreiben vom 03.11.2020 (zugestellt am 11.11.2020) zur Stellungnahme aufgefordert. Mit Schreiben vom 04.01.2021, (zugestellt am 11.01.2021) erfolgte die dritte Aufforderung zur Stellungnahme (OZ 2 VWA ./12). Mit Bescheid vom 01.02.2021 (zugestellt am 03.02.2021) wurde das Verfahren abgeschlossen. Mit Schreiben vom 12.10.2021 wurde die Beschwerdeführerin schließlich über den Verdacht informiert, dass sie ihren Pflichten zur Zusammenarbeit mit der belangten Behörde nicht nachgekommen sei, und wurde auf das Verfahren zu GZ. XXXX hingewiesen sowie auf die jeweils datierten Aufforderungsschreiben (OZ 2 VWA ./7).

Im gleichen Verfahren wurde von der belangten Behörde mit Bescheid vom 01.02.2021 festgestellt, dass die Beschwerdeführerin die betroffene Person in ihrem Recht auf Auskunft verletzt habe, und ihr aufgetragen, innerhalb einer Frist von 4 Wochen dem Antrag auf Auskunft zu entsprechen (Rechtskraft mit 04.03.2021). Mit Schreiben vom 14.04.2021 wurde die betroffene Person schließlich durch die Beschwerdeführerin iSd. Art. 15 DSGVO informiert. Mit Schreiben vom 25.01.2022 (OZ 2 VWA ./09) wurde die Beschwerdeführerin zur ergänzenden Rechtfertigung aufgefordert, wobei Bezug auf das konkrete Verfahren sowie das Datum der Rechtskraft des Bescheides und das Datum der Erteilung der Negativauskunft genommen wurde.

Im Verfahren zur GZ. XXXX wurde die Beschwerdeführerin erstmals mit Schreiben vom 10.08.2020 zur Stellungnahme aufgefordert. Mit Schreiben vom 30.11.2020 (zugestellt am 09.12.2020) erfolgte die dritte Aufforderung zur Stellungnahme (OZ 2 VWA ./13). Mit Bescheid vom 19.01.2021 wurde das Verfahren abgeschlossen. Mit Schreiben vom 12.10.2021 wurde die Beschwerdeführerin schließlich über den Verdacht informiert, dass sie ihren Pflichten zur Zusammenarbeit mit der belangten Behörde nicht nachgekommen sei, und wurde auf das Verfahren zur GZ. XXXX hingewiesen sowie auf die jeweils datierten Aufforderungsschreiben (OZ 2 VWA ./7).

Im Verfahren zur GZ. XXXX wurde die Beschwerdeführerin erstmals mit Schreiben vom 13.08.2020 (zugestellt am 01.09.2020) zur ergänzenden Stellungnahme aufgefordert. Mit Schreiben vom 02.12.2020 (zugestellt am 14.12.2020) erfolgte die dritte Aufforderung zur Stellungnahme (OZ 2 VWA ./14). Mit Bescheid vom 04.02.2021 wurde das Verfahren abgeschlossen. Mit Schreiben vom 12.10.2021 wurde die Beschwerdeführerin schließlich über den Verdacht informiert, dass sie ihren Pflichten zur Zusammenarbeit mit der belangten Behörde nicht nachgekommen sei, und wurde auf das Verfahren zu GZ. XXXX hingewiesen sowie auf die jeweils datierten Aufforderungsschreiben (OZ 2 VWA ./7).

Die Aufforderungen zur Rechtfertigung vom 12.10.2021, vom 25.01.2022 sowie vom 23.02.2022 enthielten jeweils einen Hinweis, dass die Beschwerdeführerin ihre Pflichten zur Zusammenarbeit mit der belangten Behörde in den jeweils näher spezifizierten Verfahren in Hinblick auf die im Detail angeführten und datierten Aufforderungen zur Stellungnahme nicht nachgekommen sei. Dem Argument, dass die Beschwerdeführerin nicht gewusst habe, um welchen Tatzeitraum es gehe, kann somit nicht gefolgt werden. Aus Sicht des erkennenden Gerichts wurde die Tat durch Angabe der betreffenden Schreiben und des betreffenden Verfahrens ausreichend konkretisiert, um auf die Vorwürfe reagieren und das Rechtsschutzinteresse wahren zu können. Die Beschwerdeführerin führte in der Beschwerdeschrift dazu auch nicht näher aus, weshalb sie die in den Aufforderungen zur Rechtfertigung enthaltenen Angaben als zu wenig konkretisiert erachtet, um darauf spezifisch reagieren und sich verteidigen zu können.

Soweit die Beschwerdeführerin vermeint, dass der Tatort der Handlung erst im Straferkenntnis definiert worden sei und dabei auf die Entscheidung des VwGH vom 01.08.2022 zu Ra 2022/03/0171 verweist, ist dem ebenso nicht zu folgen: Zum einen handelte es sich beim Verfahren vor dem VwGH um ein Verfahren nach dem Güterbeförderungsgesetz 1995, welches schon aufgrund der Natur des Verfahrens einer Konkretisierung des Ortes der Anhaltung bedarf. Zum anderen bezieht sich der VwGH in seiner Judikatur auf einen „ausreichend zu konkretisierenden Tatort“: Das gem § 44a Z 1 VStG an die Tatortumschreibung zu stellende Erfordernis ist nicht nur von Delikt zu Delikt, sondern auch nach den jeweils gegebenen Begleitumständen in jedem einzelnen Fall ein verschiedenes (VwGH 20. 5. 2003, 2002/02/0236; 6. 6. 2012, 2011/08/0368; 3. 3. 2021, Ra 2021/03/0031; 21. 10. 2022, Ra 2022/09/0070).

Im konkreten Fall konnte der Beschwerdeführerin nach Ansicht des erkennenden Gerichts nicht unklar sein, welche konkreten Taten ihr vorgeworfen wurden. Zudem bestand auch die Gefahr einer Doppelbestrafung nicht, zumal die Behörde jeden einzelnen Tatvorwurf mit datierten Aufforderungsschreiben, in denen die Beschwerdeführerin zur Mitwirkung aufgefordert wurde, und Verfahrenszahlen näher bezeichnete.

Die Aufforderungen zur Rechtfertigung wurden der Beschwerdeführerin sämtliche Vorwürfe betreffend innerhalb eines Jahres ab Beendigung des strafbaren Verhaltens, das mit Erlass des jeweiligen Bescheides (Spruchpunkte I. bis V. des Straferkenntnisses) bzw. mit Erteilung der Auskunft nach Bescheiderlassung (Spruchpunkt VI. des Straferkenntnisses) angenommen werden kann, zugestellt. Eine Verfolgungsverjährung ist damit nicht eingetreten.

3.5. Zur Strafbemessung:

Gemäß Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber im § 19 VStG festgelegten Kriterien vorzunehmen ist (VwGH 05.09.2013, 2013/09/0106).

Zunächst ist jedoch festzuhalten, dass – wie bereits oben ausgeführt – für die materiellen Voraussetzungen, die eine Aufsichtsbehörde bei der Verhängung einer Geldbuße gegen einen Verantwortlichen zu beachten hat, ausschließlich das Unionsrecht maßgebend ist, wobei diese Voraussetzungen in Art. 83 Abs. 1 bis 6 DSGVO festgelegt sind (vgl. erneut EuGH, Urteile vom 05.12.2023, C-807/21, Rz. 45, 48, 52 und 65 sowie C‑683/21, Rz. 64 bis 70). Die Grundsätze des VStG gelten somit nur, solange sie nicht durch direkt anwendbares Unionsrecht verdrängt werden.

Da die vorliegenden Verstöße auf „miteinander verbundenen“ Verarbeitungsvorgängen beruhen und sich auch ansonsten keine Hinweise darauf ergeben, dass sich diese Verstöße untereinander ausschließen, ist die belangte Behörde zu Recht von der Anwendbarkeit des Art. 83 Abs. 3 DSGVO ausgegangen (vgl. dazu die näheren Erläuterungen von Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Art. 83 Rz 46, insbesondere in Rz 49 und 50 sowie Bergt in Kühling/Buchner [Hrsg.], DS-GVO – BDSG4, Art 83, Rz 60).

In Art. 83 Abs. 3 DSGVO wird angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt (vgl. Art. 83 Abs. 3 DSGVO sowie Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 83 DSGVO Rz 12 (Stand 1.12.2020, rdb.at)).

Der Begriff „Gesamtbetrag“ bedeutet, dass alle begangenen Verstöße bei der Bemessung der Höhe der Geldbuße berücksichtigt werden müssen, und die Formulierung „für den schwersten Verstoß festgelegter Betrag“ bezieht sich auf die gesetzlichen Höchstbeträge für Geldbußen (Art 83 Abs. 4 bis 6). Daher gilt: Auch wenn die Geldbuße selbst den gesetzlichen Höchstbetrag der höchsten Bußgeldstufe nicht überschreiten darf, muss der Zuwiderhandelnde dennoch ausdrücklich für schuldig befunden werden, gegen mehrere Vorschriften verstoßen zu haben und diese Verstöße müssen bei der Berechnung der Höhe der letztlich zu verhängenden Geldbuße berücksichtigt werden (siehe dazu Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Art 83, Rz 57). Im Ergebnis werden also die Geldbußen für alle Einzelverstöße summiert, am Ende aber mit dem Höchstbetrag begrenzt, der für die schwerwiegendste Tat angedroht ist (siehe dazu Bergt in Kühling/Buchner [Hrsg.], DS-GVO – BDSG4, Art 83 Rz 62 unter Verweis auf die englische Sprachfassung „the amount specified for the gravest infringement“).

Bei der Berechnung des Gesamtbetrages ist trotz der Deckelung in Abs. 3 zu berücksichtigen, dass bereits für jeden einzelnen Verstoß und die hierfür veranschlagte Geldbuße nach Abs. 2 lit. a zu berücksichtigen sein wird, dass mehrfach gegen die DSGVO verstoßen wurde. Daher wird der Gesamtbetrag der Geldbuße in jedem Fall höher sein, als wenn nur ein einzelner Verstoß im Einzelfall vorliegt (siehe dazu Nemitz in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung3, Art 83, Rz 60).

Im vorliegenden Fall fallen die Verstöße nach den Spruchpunkten I.-V. des Straferkenntnisses unter die Sanktionsnorm des Art. 83 Abs. 1 und 4 lit. a DSGVO, der Verstoß nach Spruchpunkt VI. des Straferkenntnisses unter Art. 83 Abs. 1 und 6 DSGVO. Es ist sohin vom Strafrahmen des Art. 83 Abs. 6 DSGVO auszugehen, da dieser mit einer angedrohten Geldbuße von EUR 20.000.000,00 oder 4% des Vorjahresumsatzes eine höhere Strafdrohung als Art. 83 Abs. 4 DSGVO mit einer Strafdrohung von bis zu EUR 10.000.000,00 oder 2% des Vorjahresumsatzes vorsieht.

Die belangte Behörde ging im angefochtenen Erkenntnis den Angaben des Geschäftsführers der Beschwerdeführerin folgend von einem Jahresumsatz der Beschwerdeführerin für das Geschäftsjahr 2022 in Höhe von EUR XXXX aus. Da das Straferkenntnis am 02.01.2024 erlassen wurde, zu diesem Zeitpunkt jedoch noch keine Jahresabschlussdaten für das Geschäftsjahr 2023 zur Verfügung standen, wurde von der belangten Behörde der Konzernumsatz des Jahres 2022 von EUR XXXX herangezogen. Der nunmehr vorhandene Konzernumsatz des Jahres 2023 weist demgegenüber einen geringfügig niedrigeren Umsatz von XXXX aus. Aufgrund des festgestellten Umsatzes, ergibt sich eine Obergrenze der Geldbuße von EUR 20.000.000,00.

Nach Art. 83 Abs. 1 DSGVO stellt jede Aufsichtsbehörde sicher, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. In Art. 83 Abs. 2 DSGVO sind Zumessungskriterien aufgeführt, die bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall "gebührend" zu berücksichtigen sind. Relevant sind danach insbesondere Art, Schwere und Dauer des Verstoßes, die Zahl der von der Verarbeitung betroffenen Personen, das Ausmaß des Schadens, die Kategorie der betroffenen personenbezogenen Daten, das Bemühen des Unternehmens, den Schaden zu begrenzen, Art und Umfang der Kooperation mit den Datenschutzbehörden und der Grad der Verantwortlichkeit.

Der Umsatz des Unternehmens ist in Art. 83 Abs. 2 DSGVO nicht als Kriterium für die Bemessung der Geldbuße genannt. Daraus folgt jedoch nicht, dass dem Umsatz des Unternehmens bei der Bemessung der Geldbuße keine Bedeutung zukommt. „Zum einen bestimmt der Umsatz bei umsatzstarken Unternehmen die Bußgeldobergrenze und spannt dadurch erst den Rahmen auf, in den der konkrete Datenschutzverstoß einzuordnen und einzupassen ist. Der Bußgeldrahmen gibt der konkreten Zumessung die notwendige Orientierung. Zum anderen müssen Geldbußen gegen Unternehmen gem. Art. 83 Abs. 1 DSGVO wirksam und abschreckend sein. Dies richtet sich auch nach der Ahndungsempfindlichkeit des jeweiligen Unternehmens. Je größer das Unternehmen ist, desto geringer ist regelmäßig die Ahndungsempfindlichkeit und desto höher ist im Regelfall das Bußgeld zu bemessen, damit es seine spezialpräventive Wirkung entfalten kann. Die Höhe des Umsatzes ist für die Unternehmensgröße und damit für die Ahnungsempfindlichkeit ein geeigneter Indikator; der Bilanzgewinn und sonstige Kennzahlen der wirtschaftlichen Leistungsfähigkeit des Unternehmens können zusätzlich berücksichtigt werden“ (siehe hierzu BVwG 27.03.2024, W214 2243436-1/39E m.w.H.). Auch die Leitlinien des EDSA zur Berechnung von Geldbußen gehen (mit Verweis auf einen diesbezüglich verbindlichen Beschluss 1/2021 des EDSA, Rn. 411 und 412) davon aus, dass bei der Berechnung der Geldbuße der Größe des Unternehmens Rechnung zu tragen ist, weshalb dessen Umsatz zu berücksichtigen ist (siehe dazu die abermals die Leitlinien EDSA 04/2022, Rn. 63ff.).

Da der Strafrahmen nach Art. 83 DSGVO bis EUR 20.000.000 sehr hoch ist, ist die Bedeutung des geschützten Rechtsgutes jedenfalls nicht als gering einzustufen.

Das Gericht teilt die Ausführungen der Datenschutzbehörde, nach denen von einem geringen Schweregrad des Verstoßes auszugehen ist.

Nach den Leitlinien EDSA 04/2022 ist bei einem Verstoß geringen Schweregrades ein Ausgangsbetrag von 0 % bis 10 % des gesetzlichen Höchstmaßes (EUR 20.000.000,00) anzunehmen. Vor dem Hintergrund der obigen Ausführungen scheint für das Bundesverwaltungsgericht daher ein vorläufiger Ausgangbetrag von EUR 200.000,00 (1 % des gesetzlichen Höchstmaßes) angemessen.

Da der Konzernumsatz im konkreten Fall zwischen EUR 50.000.000 und EUR 100.000.000 liegt, hat nach den Leitlinien des EDSA eine Anpassung anhand der Größe des Unternehmens zu erfolgen. Aufgrund des Konzernumsatzes von EUR XXXX empfiehlt der EDSA die Berechnung auf der Grundlage eines Betrags zwischen 8 % und 20 % des vorläufigen Ausgangsbetrages vorzunehmen. Zumal der Unternehmensumsatz am unteren Ende der angegebenen Spanne liegt, erachtet das erkennende Gericht den von der belangten Behörde herangezogenen Prozentsatz von 15% als zu hoch. Das erkennende Gericht geht daher von einem endgültigen Ausgangsbetrag in Höhe von 8% des vorläufigen Ausgangsbetrags, sohin EUR 16.000,00, aus.

Die belangte Behörde berücksichtigte folgende Umstände als mildernd:

 keine früheren einschlägigen Verstöße gegen die DSGVO

 Die Beschwerdeführerin wirkte im Rahmen des Verwaltungsstrafverfahrens an der Ermittlung des Sachverhalts mit.

 Die Beschwerdeführerin ergriff Maßnahmen zur Verbesserung der Kommunikation.

 Die Beschwerdeführerin erteilte letztendlich eine Auskunft.

 die generelle durch COVID-19 bedingte Situation.

Diese als mildernd zu berücksichtigenden Umstände liegen nach Ansicht des erkennenden Gerichts auch weiterhin vor. Aus Sicht des erkennenden Gerichts blieb jedoch unberücksichtigt, dass die Auskunft an die betroffene Person bereits 10 Tage nach Ablauf der Leistungsfrist erteilt wurde, sodass lediglich von einer geringfügigen Verspätung auszugehen ist, die zudem darauf beruhte, dass die betroffene Person anhand der angegebenen Daten in den Datenbanken nicht aufgefunden werden konnte. In diesem Zusammenhang ist auch zu beachten, dass die belangte Behörde zwar grundsätzlich zu Recht vom Strafrahmen des Art. 83 Abs. 6 DSGVO ausging. Allerdings ist dieser Strafrahmen lediglich auf die Nichtbefolgung der Anweisung nach Art. 58 Abs. 2 lit. c DSGVO (somit lediglich auf Spruchpunkt VI. des angefochtenen Bescheides) anzuwenden. Die den Spruchpunkten I.-V. zugrundeliegenden Handlungen unterliegen jeweils nur dem geringeren Strafrahmen des Art. 83 Abs. 4 lit. a DSGVO. Schließlich ist mildernd zu berücksichtigen, dass die belangte Behörde von der Nichtbefolgung einer Anweisung (Spruchpunkt VI. des Straferkenntnisses) erst infolge Mitteilung durch die Beschwerdeführerin Kenntnis erlangt hat, zumal die entsprechenden Mitteilungen der betroffenen Person an die belangte Behörde noch vor Ablauf der Leistungsfrist ergingen, zu diesem Zeitpunkt also noch kein Verstoß gegen Art. 58 Abs. 2 lit. c DSGVO vorlag. Auch die lange Verfahrensdauer von nunmehr drei Jahren und 4 Monaten (Art. 83 Abs. 2 lit. k DSGVO), die der Beschwerdeführerin nicht zugerechnet werden kann, zumal sie im Wesentlichen durch eine Aussetzung des Verfahrens bis zur Entscheidung des EuGH vom 05.12.2023, C-807/21, bedingt war, ist mildernd zu berücksichtigen.

Demgegenüber lagen nach Ansicht der belangten Behörde keine als erschwerend zu berücksichtigenden Umstände vor. Nach Auffassung des erkennenden Gerichts ist allerdings als erschwerend zu berücksichtigen, dass die Beschwerdeführerin auch nach Zustellung der ersten Aufforderung zur Rechtfertigung mit Schreiben vom 12.10.2021 im Verfahren zu GZ. XXXX , somit nach Kenntnis von der Einleitung eines Verwaltungsstrafverfahrens aufgrund des Verstoßes gegen die Mitwirkungspflichten, nochmals gegen die sie treffenden Mitwirkungspflichten verstoßen hat.

Die belangte Behörde bzw. das erkennende Gericht haben sich bei der Höhe der Strafe – entgegen dem Vorbringen der Beschwerdeführerin – auch an generalpräventiven Gründen zu orientieren, auch wenn im konkreten Fall aus spezialpräventiven Gründen keine Strafe erforderlich wäre. Insbesondere soll verhindert werden, dass sich datenschutzrechtliche Verantwortliche einer Mitwirkung entziehen, die Ermittlungstätigkeit der belangten Behörde erschweren bzw. verzögern und inhaltliches Vorbringen erstmals im Rahmen einer Beschwerde gegen die Entscheidung der belangten Behörde erstatten.

Da im konkreten Fall keinerlei spezialpräventive Gründe für die Verhängung einer Geldbuße vorliegen und insgesamt die Milderungsgründe deutlich überwiegen, war die Strafe herabzusetzen, wobei das Bundesverwaltungsgericht eine Strafe von EUR 10.000,00 im konkreten Fall als tat- und schuldangemessen erachtet. Die Strafe befindet sich ferner am untersten Ende des zur Verfügung stehenden Strafrahmens. Für eine weitere Herabsetzung der Sanktion besteht insbesondere mit Blick auf die generalpräventiven Gründe der Geldbuße kein Raum. Ein (noch) niedrigerer Betrag würde im vorliegenden Fall den in Art. 83 Abs. 1 DSGVO normierten Kriterien für eine Geldbuße, wonach diese in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein muss, nicht mehr gerecht werden. Dazu ist zu bemerken, dass das Bundesverwaltungsgericht bei der Festsetzung der Geldbuße auch selbst Ermessen zu üben hatte (vgl. Wessely in Raschauer/Wessely (Hrsg), Kommentar zum VStG – Verwaltungsstrafgesetz³ (2023) § 19 Rz. 26).

Soweit die Beschwerdeführerin in ihrer Bescheidbeschwerde auf mildere Abhilfemaßnahmen der DSB (§ 45 Abs. 1 VStG, § 11 DSG und § 34a VStG) verweist und zusammengefasst die Rechtsansicht vertritt, dass keine Geldbuße zu verhängen, sondern vielmehr mit einer Verwarnung das Auslangen gefunden werden hätte können bzw. das Verfahren einzustellen gewesen sei, war dem aus Sicht des erkennenden Senats im Lichte der unmittelbar anwendbaren Vorgaben des Art. 58 und 83 DSGVO – sowie der Rechtsprechung des EuGH vom 05.12.2023 (EuGH 05.12.2023, C-807/21, Deutsches Wohnen SE gegen Staatsanwaltschaft Berlin) – nicht zu folgen. Art. 58 Abs. 2 lit. i DSGVO bestimmt, dass Aufsichtsbehörden befugt sind, eine Geldbuße gemäß Art. 83 DSGVO „zusätzlich zu oder anstelle von“ anderen in Art. 58 Abs. 2 genannten Abhilfebefugnissen wie die Befugnis zur Erteilung von Warnungen, Verwarnungen oder Anweisungen zu verhängen. Ebenso relevant ist Erwägungsgrund 148 DSGVO, nach dem es den Aufsichtsbehörden gestattet ist, im Fall eines geringfügigeren Verstoßes oder falls die voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, von der Verhängung einer Geldbuße abzusehen und stattdessen eine Verwarnung zu erteilen.

Im vorliegenden Fall ist jedoch zu berücksichtigen, dass die gänzliche Weigerung, auf Behördenschreiben zu reagieren, die Arbeit der Aufsichtsbehörde erheblich erschwert bzw. verzögert. Die datenschutzrechtliche Pflicht zur Zusammenarbeit hat zum Ziel, die Wirksamkeit der Untersuchung durch eine Aufsichtsbehörde zu garantieren und steht damit im Allgemeininteresse an der Durchsetzbarkeit des Grundrechts auf Datenschutz. Das ergibt sich auch daraus, dass es der Unionsgesetzgeber für erforderlich gehalten hat, in Ausnahme zum Grundsatz der Verfahrensrechtsautonomie der Mitgliedsstaaten autonome, spezielle verfahrensrechtliche Mitwirkungspflichten im Sekundärrecht zu erlassen. Das Bundesverwaltungsgericht kommt daher zu dem Ergebnis, dass das Verschulden der Beschwerdeführerin eine Geldbuße erfordert. Vor diesem Hintergrund kann der belangten Behörde daher nicht entgegengetreten werden, wenn sie die vorliegende Geldbuße auch als Mittel zur Bekräftigung des Geltungsanspruches der DSGVO und zwar sowohl unter dem Gesichtspunkt der Aufrechterhaltung des Vertrauens der Bevölkerung auf die Durchsetzung des Datenschutzrechtes, als auch zur Erhaltung und Stärkung der Normentreue in Ansehung potentieller „Täter“ in ähnlicher Lage gewertet und dementsprechend als erschwerend berücksichtigt hat. Schließlich darf im vorliegenden Fall auch nicht unberücksichtigt bleiben, dass die Beschwerdeführerin mehrfach gegen die DSGVO verstoßen hat.

Unter Berücksichtigung dieser Erwägungen war der Ausgangsbetrag entsprechend anzupassen, sodass eine Geldbuße in Höhe von EUR 10.000,00 EUR schuld- und tatangemessen angemessen scheint. Der Beschwerde war daher im genannten Umfang stattzugeben und die Geldbuße auf EUR 10.000,00 herabzusetzen.

3.6. Zu den Kosten des Verwaltungsstrafverfahrens sowie des Beschwerdeverfahrens:

Gemäß § 64 Abs. 1 VStG ist im Straferkenntnis auszusprechen, dass der Bestrafte einen Beitrag zu den Kosten des Strafverfahrens zu leisten hat. Gemäß § 64 Abs. 2 VStG ist dieser Beitrag für das Verfahren erster Instanz mit 10 % der verhängten Strafe, mindestens jedoch mit 10 Euro zu bemessen. Der Beitrag zu den Kosten war aufgrund der nunmehr verhängten Strafe auf EUR 1.000,00 zu reduzieren.

Die Kosten des Beschwerdeverfahrens vor dem Bundesverwaltungsgericht waren dem Beschwerdeführer gemäß § 52 Abs. 8 VStG nicht aufzuerlegen, weil seiner Beschwerde teilweise Folge gegeben wurde.

Es war daher spruchgemäß zu entscheiden.

3.7. Zu B) Zulässigkeit der Revision:

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, weil es an einer Rechtsprechung des Verwaltungsgerichtshofes zur gegenständlichen Frage, ob die Aufsichtsbehörde aufgrund der Nicht-Erstattung von Stellungnahmen durch Verantwortliche – trotz zuvor erfolgter Aufforderungen – eine Verletzung der Mitwirkungspflicht bejahen kann und Sanktionen in Form von Geldbußen aussprechen darf, fehlt.

3.8. Zahlungsinformation:

Die Beschwerdeführerin hat den Gesamtbetrag von 11.000,00 EUR (Strafe, Kosten des verwaltungsbehördlichen Verfahrens) binnen 2 Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen oder unter Mitnahme dieses Erkenntnisses beim Bundesverwaltungsgericht einzuzahlen. Bei Verzug muss damit gerechnet werden, dass der Betrag nach erfolgter Mahnung zwangsweise eingetrieben.