GZ: 2021-0.518.795 vom 5. August 2021 (Verfahrenszahl: DSB-D550.214)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
Straferkenntnis
Beschuldigter: Martin N***, geb. am: 13.06.19**, S***straße 2*, 1*** W***
Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung(en) begangen:
Sie haben
- am **.Juni 2019, 1*:11 Uhr (Tatzeit)
- unter Verwendung eines entsprechenden Endgerätes
eine Nachricht per E-Mail von der durch Sie genutzten E-Mailadresse (martinn*@*mail.at) an die E-Mailadresse der Gemeinde S*** (post@gemeinde.s***abteilung***.at), mit dem nachstehenden Inhalt übermittelt:
„An die Abteilung***
Da Frau Susanne F*** bei euch als Kindergärtnerin arbeitet und bei der Fernsehsendung *** gesagt hat, Sie ist *0% Behindert, weil ihr Nachbar sie belästigt. Das sagt aber das Gerichtsgutachten aber was Anderes (siehe Anhang).
Bitte um Lesebestätigung.
Mfg“
Im Rahmen der oben genannten E-Mailnachricht haben Sie als Beilage ein Dokument (Stellungnahme Rudolf L***, *Dr., datiert mit **.04.2014), welches Ihnen im Rahmen eines zivilgerichtlichen Verfahrens vor dem Landesgericht *** zur Zahl *3 Cg *34/13r als Verfahrenspartei zugänglich wurde übermittelt, wobei dieses Dokument gesundheitsbezogene Daten in Bezug auf Frau Susanne F*** enthält.
Sie haben daher durch die gegenständliche Übermittlung der E-Mailnachricht samt Beilagen gesundheitsbezogene Daten entgegen des Verbotes in Art. 9 DSGVO verarbeitet und die betroffenen personenbezogenen Daten mehreren Personen, die der Arbeitgeberin der Frau Susanne F*** zuzurechnen sind, offengelegt.
Sie haben daher im Ergebnis folgende Grundsätze der DSGVO verletzt:
Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“)
Verwaltungsübertretung(en) nach:
Art. 5 Abs. 1 lit. a, Art. 9 Abs. 1 und Abs. 2 in Verbindung mit Art. 83 Abs. 1 und Abs. 5 lit. a DSGVO, ABl L 2016/119, 1 idF L 2016/314, 72 und L 2018/127, 2
Wegen dieser Verwaltungsübertretung(en) wird folgende Strafe verhängt:
Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:
60,00
Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;
Euro als Ersatz der Barauslagen für
Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher
660,00
Euro
Zahlungsfrist:
Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto BAWAG P.S.K., Georg-Coch-Platz 2, 1018 Wien, IBAN: AT460100000005490031, BIC: BAWAATWW, lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .
Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.
Begründung:
1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:
1.1. Der Beschuldigte hat am **. Juni 2019, 1*:11 Uhr über ein entsprechendes Endgerät eine Nachricht per E-Mail von der durch ihn genutzten E-Mailadresse (martinn*@*mail.at) an die E-Mailadresse der Abteilung *** S*** (post@gemeinde.s***abteilung***.at), mit dem nachstehenden Inhalt übermittelt (Formatierung nicht eins zu eins wiedergegeben):
„An die Abteilung***
Da Frau Susanne F*** bei euch als Kindergärtnerin arbeitet und bei der Fernsehsendung *** gesagt hat, Sie ist *0% Behindert, weil ihr Nachbar sie belästigt. Das sagt aber das Gerichtsgutachten aber was Anderes (siehe Anhang).
Bitte um Lesebestätigung.
Mfg“
1.2. Als Beilage hat der Beschuldigte ein Dokument (Stellungnahme Rudolf L***, *Dr., datiert mit **.04.2014), das ihm im Rahmen eines zivilgerichtlichen Verfahrens vor dem Landesgericht *** zur Zahl *3 Cg *34/13r als Verfahrenspartei zugänglich wurde übermittelt, wobei dieses Dokument gesundheitsbezogene Daten in Bezug auf Frau Susanne F*** enthält. Letztgenannte Urkunde wurde durch den Beschuldigten ungeschwärzt übermittelt.
1.3. Die von der Datenübermittlung Betroffene hat in die gegenständliche Verarbeitung ihrer personenbezogenen (Gesundheits-)Daten durch den Beschuldigten zu keinem Zeitpunkt (ausdrücklich) eingewilligt.
1.4. Zwischen der Betroffenen sowie deren Ehegatten und dem Beschuldigten bestehen langjährige nachbarschaftliche Streitigkeiten, die auch den Gegenstand mehrerer zivil- und strafgerichtlicher Verfahren bildeten. Der hier Beschuldigte wurde wegen dessen gegen die Betroffene gesetzter Tathandlungen am **.06.2013 vom LG *** zur AZ *23 Hv *4/13c wegen § 218 (1) Z 2 StGB und § 107a (1 und 2) Z 1 StGB verurteilt.
1.5. Der Beschuldigte hat mit der Betroffenen vor dem LG *** zur AZ 29 Cg 23/19k einen gerichtlich rechtskräftigen Vergleich vom **.07.2020 geschlossen und sich darin verpflichtet,
a) die Verteilung des Schreibens des Dr. Rudolf L***, vom **.04.2014 oder ähnlicher das Sexual- und Intimleben der Klägerin beschreibende Urkunden sowie medizinische Diagnosen, insbesondere an Nachbarn und - mit Ausnahme der Rechtsdurchsetzung oder Rechtsverteidigung von konkreten gegen den Beklagten gestellten bzw. von ihm behaupteten Ansprüchen (auch Strafverfahren) - auch an Behörden und den Dienstgeber der Klägerin,
b) ordinäre Beschimpfungen und Behauptungen und Fragen zu „Masturbation“ gegenüber der Klägerin, zu unterlassen, sowie der Klägerin EUR 1.500,- und EUR 3.500,- als Kostenersatz binnen 14 Tagen ab Rechtswirksamkeit dieses Vergleiches zu Handen des Klagevertreters zu zahlen.
1.6. Die von der Datenübermittlung Betroffene stand zum Tatzeitpunkt in einem Dienstverhältnis zur Gemeinde S*** und befand sich in den Jahren 2013 und 2014 jeweils für mehrere Wochen im Krankenstand. Da die krankheitsbedingte Dienstunfähigkeit mit dem Verhalten des Beschuldigten in einen Kausalzusammenhang gebracht wurde, richtete die Abteilung I*** der Gemeinde S*** ein mit **.09.2014 datiertes Aufforderungsschreiben an den Beschuldigten und forderte darin diesen zur Zahlung von 1*.1**,21 Euro als Ersatz für geleistetes Diensteinkommen während der Arbeitsunfähigkeit (einschließlich Sonderzahlungen) und Dienstgeberbeiträgen für die Bedienstete auf. Dieser Aufforderung kam der Beschuldigte zwar bis dato nicht nach, es erfolgten jedoch seitens der Gemeinde S*** seither auch keinerlei weiteren gerichtlichen oder außergerichtlichen Betreibungsschritte.
1.7. Der Beschuldigte ist laut eigenen Angaben beschäftigungslos und erzielt keinerlei Erwerbseinkommen, sondern empfängt lediglich Sozialhilfeleistungen.
2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:
2.1. Die Feststellungen in Bezug auf die Übermittlung der gegenständlichen Gesundheitsdaten im Sinne des Tatvorwurfes ergeben sich aufgrund der Rechtfertigung des Beschuldigten im Rahmen der Beschuldigtenvernehmung vom **.06.2021, des übrigen Akteninhaltes, darunter Aufforderungsschreiben der Gemeinde S*** an den Beschuldigten vom 22.09.2014 sowie eine diesbezügliche Stellungnahme der Gemeinde S*** an die Datenschutzbehörde im Rahmen eines Amtshilfeersuchens, ha. eingelangt per E-Mail am **.06.2021 sowie einer ergänzenden Stellungnahme des Beschuldigten hierzu, ha. mit E-Mail vom **.08.2021. Der Tatvorwurf wurde somit vom Beschuldigten selbst zu keinem Zeitpunkt bestritten.
2.2. Der Beschuldigte räumt demnach die Übermittlung der Daten an die Abteilung *** der der Gemeinde S*** ein, rechtfertigt diese jedoch damit, dass die Gemeinde S*** gegen ihn im September 2014 (außergerichtlich) Schadenersatzansprüche erhoben hatte. Erneut im Rahmen der Gewährung des Parteiengehörs unter Vorhalt des Beweisergebnisses aufgrund des Amtshilfeersuchens an die Gemeinde S*** zur Frage, ob der Beschuldigte nach dem Jahr 2014 weiterhin gerichtlich oder außergerichtlich zur Zahlung von Schadenersatz aufgefordert wurde, wobei dies von der Gemeinde S*** verneint wurde, führt der Beschuldigte wörtlich aus wie folgt (Rechtschreib- und Grammatikfehler wie im Original):
„Die Gemeinde S*** schreibt:
Die seinerzeitigen Ansprüche sind zwar nicht als beigelegt zu betrachten, eine zivilrechtliche Geltendmachung unterblieb bis dato jedoch.
Daher musste ich jederzeit rechnen, das die Gemeinde S*** die Ansprüche bei mir einfordert und ich nochmal die Stellungnahme bzw. eventuell das Gutachten berufen muss, da Frau Susanne F*** falsche Behauptungen gegen mich öffentlich bei der Fernsehsendung *** (https://www.youtube.com/***i) gesagt hat, Sie ist *0% Behindert.
Auch bei der Gemeinde S*** hat Frau Susanne F*** falsche Behauptungen gegen mich vorgebracht und daher erst die Anspruchsforderung gegen mich erhoben haben und bis jetzt noch keine Einstellung der Forderung bekommen habe und das Verfahren noch nicht als erledigt zu betrachten ist.“
Der Sachverhalt war daher im Ergebnis als unstrittig zu erachten, der Beschuldigte vertritt jedoch zur datenschutzrechtlichen Grundlage die Auffassung, dass die gegenständliche Datenübermittlung (sinngemäß) von Art. 9 Abs. 2 lit. f DSGVO gedeckt gewesen sei.
3. Rechtlich folgt daraus:
3.1. Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5, 6, 7 und 9 DSGVO Geldbußen von bis zu 20 000 000 Euro […] verhängt werden können. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen als nationaler Aufsichtsbehörde bei der Datenschutzbehörde.
3.2. Art. 4 Z 2 DSGVO definiert den Begriff „Verarbeitung“ als jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
Art. 4 Z 7 DSGVO definiert den Begriff „Verantwortlicher“ als die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Art 4 Z 10 definiert den Begriff „Dritter“ als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
Art. 4 Z 15 definiert den Begriff „Gesundheitsdaten“ als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
3.3. Gemäß Art. 9 Abs. 1 ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt.
Art. 9 Abs. 2 DSGVO enthält eine abschließende Aufzählung von Ausnahmetatbeständen zum Verarbeitungsverbot nach Abs. 1 leg cit.:
a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
[…]
f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,
3.4. Der Beschuldigte hat wie oben festgestellt, am **.Juni 2019 (1*:11 Uhr) eine E-Mailnachricht an die Abteilung *** der Gemeinde S*** übermittelt und als Dateianlage ein PDF-Dokument angeschlossen, wobei aus dem angeschlossenen Dokument Informationen in Bezug auf die geistige Gesundheit und die Intimsphäre der Susanne F*** (der datenschutzrechtlich Betroffenen) hervorgehen. Damit ist der Beschuldigte als datenschutzrechtlicher Verantwortlicher für die Verarbeitung von Gesundheitsdaten in Bezug auf die Betroffene durch Übermittlung und Offenlegung an Dritte zu qualifizieren.
3.5. Gegenständlich war daher zu prüfen, ob die vom Beschuldigten vorgenommene Verarbeitung von Gesundheitsdaten von einem der abschließend in Art. 9 Abs. 2 DSGVO normierten Ausnahmetatbeständen gedeckt war.
3.6. Als Begründung für die gegenständliche Datenübermittlung führt der Beschuldigte im Rahmen dessen Einvernahme (und erneut anlässlich seiner schriftlichen Stellungnahme zum Parteiengehör vom **.08.2021) an, dass die Betroffene fälschlicherweise öffentlich behauptet habe, dass er ursächlich für eine psychische Erkrankung der Betroffenen und deren damit verbundener Krankenstände sei und dieser Umstand wiederum erst dazu geführt habe, dass sich die Gemeinde S*** als Dienstgeberin der Betroffenen im September 2014 mit Schadenersatzforderungen an ihn gewandt habe (vgl. oben unter Pkt. 1.6).
3.7. Wie festgestellt, hat die Betroffene in die vom Beschuldigten vorgenommene Verarbeitung ihrer Gesundheitsdaten zu keinem Zeitpunkt (ausdrücklich) im Sinne von Art. 9 Abs. 1 lit. a DSGVO eingewilligt. Mit Blick auf das Vorbringen des Beschuldigten war sohin zu prüfen, ob die Datenübermittlung auf Art. 9 Abs. 2 lit. f DSGVO gestützt werden kann, konkret stellt sich die Frage, ob der Beschuldigte die Datenübermittlung am **. Juni 2019 zu Recht durchführen durfte, um den seitens der Gemeinde S*** am **. September 2014 gegen ihn (außergerichtlich) geltend gemachten Schadenersatzanspruch (wegen Entgeltfortzahlung an Susanne F*** für Zeiten deren krankheitsbedingter Dienstunfähigkeit) abzuwehren.
Der Erlaubnistatbestand des Art 9 Abs 2 lit f DSGVO stellt für sensible Daten einen Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses iSd Art 6 Abs. 1 lit f DSGVO dar (Schiff in Ehmann/Selmayr, DS-GVO² Art 9 Rz 47).
Der Begriff Rechtsansprüche ist dabei weit zu verstehen und umfasst Ansprüche des öffentlichen wie des Privatrechts ( Schiff in Ehmann/Selmayr , DS GVO² Art 9 Rz 48). Entscheidend ist, dass ein rechtlicher Konflikt besteht ( Schiff in Ehmann/Selmayr , Art 9 DSGVO Rz 48; ein Konflikt, der den Anspruchsinhaber zwingt, prozedural tätig zu werden). Auf die Art des beschrittenen Rechtswegs kommt es hingegen nicht an ( Kampert in Sydow , Europäische Datenschutz-Grundverordnung, Art 9 DSGVO Rz 34).
Erforderlich bedeutet, dass ohne die Daten die Geltendmachung des Anspruchs bzw. eine Verteidigung dagegen nicht möglich oder wesentlich erschwert wäre ( Kampert in Sydow , Art 9 DSGVO Rz 34).
Die Ausnahmetatbestände des Art 9 Abs. 2 DSGVO gestatten eine Verarbeitung nur unter Einhaltung der sonstigen Vorgaben der DSGVO, was eine Verhältnismäßigkeitsprüfung im jeweiligen Einzelfall miteinschließt, sofern die Ausnahmetatbestände dies explizit vorsehen ( Korge in Gierschmann/Schlender/Stentzel/Veil , Kommentar Datenschutzgrundverordnung, Art 9 Rz 19). Die Voraussetzungen des Art 9 Abs. 2 DSGVO sind zusätzlich zu den allgemeinen Verarbeitungsvoraussetzungen des Art 6 Abs. 1 DSGVO zu beachten ( Petri in Simitis/Hornung/Spiecker , Art 9 DSGVO Rz 2).
3.8. Im vorliegenden Fall, in dem die vorgeworfene Offenlegung durch Übermittlung an Dritte Gesundheitsdaten der Susanne F*** betrifft, hängt die Rechtmäßigkeit dieses Verarbeitungsvorganges daher davon ab, ob sich der Beschuldigte auf ein rechtliches Interesse stützt, das dem Tatbestand des Art. 9 Abs. 2 lit. f DSGVO entspricht, konkret, ob die gegenständliche Datenübermittlung „zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen [des Beschuldigten] erforderlich“ war. Ist diese Frage zu bejahen, ist das Interesse des Beschuldigten gegen die Geheimhaltungsinteressen der Betroffenen abzuwägen (Art 6 Abs. 1 lit. f DSGVO, vgl. in Bezug auf § 219 ZPO, OGH vom 24.07.2019, 6 Ob 45/19i).
3.9. Da jedoch seitens der Gemeinde S*** gegen den Beschuldigten seit dem Aufforderungsschreiben vom **.September 2014 keinerlei gerichtlichen oder außergerichtlichen Schritte zur Geltendmachung eines allenfalls bestehenden Schadenersatzanspruches aus dem oben dargestellten Rechtsgrund mehr gesetzt wurden, sowie mit Blick auf die Verjährungsregel des § 1489 ABGB, wonach Schadenersatzansprüche innerhalb von drei Jahren ab Kenntnis von Schädiger und Schaden geltend zu machen sind, kann bezogen auf den Zeitpunkt der Übermittlung der Gesundheitsdaten am **. Juni 2019 nicht mehr davon ausgegangen werden, dass überhaupt ein rechtlicher Konflikt zwischen der Gemeinde S*** und dem Beschuldigten als Schädiger bestand; zudem nimmt der Beschuldigte im Rahmen seiner E-Mailnachricht an die Abteilung *** der Gemeinde S*** auch mit keinem Wort auf einen allenfalls gegen ihn gerichteten Schadenersatzanspruch Bezug, gegen den er sich mit dem gegenständlichen Schreiben zu verteidigen suchte.
3.10. Doch auch wenn man davon ausgeht, dass zum gegenständlichen Zeitpunkt zwischen dem Beschuldigten und der Gemeinde S***ein zivilrechtlicher Konflikt in Form eines berechtigten Schadenersatzanspruches gegen den Beschuldigten bestand, wäre die Datenübermittlung der betroffenen Gesundheitsdaten an die Abteilung *** der Gemeinde S*** nur dann rechtmäßig, wenn diese zur Abwehr des Anspruches auch erforderlich gewesen sind.
„Erforderlich“ bedeutet in diesem Zusammenhang, dass ohne die Daten die Geltendmachung des Anspruchs bzw. eine Verteidigung dagegen nicht möglich oder wesentlich erschwert wäre (Kampert in Sydow, Art 9 DSGVO Rz 34).
3.11. Bezogen auf den vorliegenden Sachverhalt war zum Kriterium der Erforderlichkeit jedoch festzustellen, dass der Beschuldigte im Jahr 2014 nicht von der Abteilung ***, sondern von der in Personalangelegenheiten zuständigen Abteilung I *** zur Zahlung eines Schadensbetrages aufgefordert wurde. Die Abteilung *** war sohin nicht diejenige Stelle, die einen allfälligen Anspruch im Namen der Gemeinde S*** gegen den Beschuldigten geltend gemacht hatte; vielmehr handelt es sich bei der Abteilun *** um die für Kindergärten zuständige Abteilung. Sohin war es nicht erforderlich, dass der Beschuldigte an diese Stelle eine medizinische Stellungnahme übermittelt, aus der Informationen in Bezug auf die geistige Gesundheit und Intimsphäre der Betroffenen hervorgehen, um einen vermeintlich (noch immer) gegen ihn bestehenden Schadenersatzanspruch abzuwehren.
3.12. Die vom Beschuldigten vorgenommene Datenverarbeitung war daher im Ergebnis als völlig willkürliche Offenlegung von Gesundheitsdaten an Dritte zu qualifizieren, die von keinem der in Art. 9 Abs. 2 DSGVO normierten Ausnahmetatbestand gedeckt war. Schließlich hätte der Beschuldigte, dieser wurde wie festgestellt seit September 2014 von der Gemeinde S*** nicht mehr mit weiteren Verfolgungsschritten belastet, im Falle einer erneuten gerichtlichen oder außergerichtlichen Geltendmachung eines Anspruches durch die Gemeinde S*** mit einer schriftlichen Stellungnahme (und einem entsprechenden Beweisanbot) zur Wehr setzen können. Das unaufgeforderte Übermitteln von Gesundheitsdaten der Betroffenen im Jahr 2019 an eine andere Abteilung als diejenige, von der das Aufforderungsschreiben aus 2019 stammte – dies knapp fünf Jahre nach der letzten Kontaktaufnahme durch die zuständige Stelle der Gemeinde S*** – war im Ergebnis daher rechtswidrig.
3.13. In Anwendung der Erfordernisse und Verpflichtungen nach Art. 5 Abs. 1 lit. a und lit. b in Verbindung mit Art. 9 Abs. 1 und Abs. 2 DSGVO auf den vorliegenden Sachverhalt kommt die erkennende Behörde zum Ergebnis, dass der Beschuldigte die verfahrensgegenständliche Übermittlung und Offenlegung von Gesundheitsdaten ohne ausdrücklicher Einwilligung der Betroffenen keinesfalls hätte durchführen dürfen. Vor dem Hintergrund des als erwiesen festgestellten Sachverhalts hat der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO daher die objektive Tatseite der Verwaltungsübertretung des Art. 9 Abs. 1 und Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO zu verantworten.
3.14. Zur subjektiven Tatseite war festzustellen, dass in Bezug auf die Übermittlung und Offenlegung von Gesundheitsdaten der Betroffenen an die Abteilung *** der Gemeinde S*** von vorsätzlicher Begehung durch den Beschuldigten auszugehen war; dies ergibt sich insbesondere vor dem Hintergrund, dass wie oben dargelegt keinerlei berechtigtes rechtliches Interesse im Sinne des Art. 9 Abs. 2 lit. f DSGVO vorlag und die Datenübermittlung daher aus rein persönlichen Motiven, die auf den langjährigen nachbarschaftlichen Konflikten zwischen dem Beschuldigten und der Betroffenen gründen, vorgenommen wurde.
4. Zur Strafzumessung ist Folgendes festzuhalten:
4.1. Gemäß Art. 83 Abs. 1 DSGVO hat die Datenschutzbehörde sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Abs. 2 leg cit, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall Folgendes gebührend zu berücksichtigen ist:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;
e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
i) […]
j) […]
k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.
Gemäß § 19 Abs. 1 VStG sind die Grundlagen für die Bemessung der Strafe die Bedeutung des strafrechtlich geschützten Rechtsgutes und die Intensität seiner Beeinträchtigung durch die Tat. Überdies sind nach dem Zweck der Strafdrohung die in Betracht kommenden Erschwerungs- und Milderungsgründe, soweit sie nicht schon die Strafdrohung bestimmen, gegeneinander abzuwägen. Auf das Ausmaß des Verschuldens ist besonders Bedacht zu nehmen. Unter Berücksichtigung der Eigenart des Verwaltungsstrafrechtes sind die §§ 32 bis 35 des Strafgesetzbuches sinngemäß anzuwenden. Die Einkommens- und Vermögensverhältnisse und allfällige Sorgepflichten des Beschuldigten sind bei der Bemessung von Geldstrafen zu berücksichtigen; dies allerdings nur in dem Ausmaß, als nicht die unmittelbar zur Anwendung gelangenden Bestimmungen der DSGVO die Bestimmungen des VStG verdrängen und in dem Umfang, welcher von Art. 83 Abs. 8 DSGVO und Erwägungsgrund 148 im Hinblick auf die zu gewährleistenden Verfahrensgarantien angeordnet ist.
4.2. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:
- Die Übermittlung und Offenlegung von Gesundheitsdaten an die Dienstgeberin der Betroffenen, wobei sich aus den verarbeiteten Daten Informationen betreffend der Sexual- und Intimsphäre ergeben, greift auf schwerwiegende Weise in die durch Art. 8 EMRK und Art. 7 EuGRC geschützten Rechtsgüter der Privat- und Intimsphäre der Betroffenen ein. Seitens des Beschuldigten wurde die gegenständliche Datenübermittlung zugestanden und liegt daher auf der subjektiven Tatseite Verschulden in Form von Vorsatz im Sinne des Art. 83 Abs. 2 lit. b DSGVO vor.
4.3. Mildernd wurde bei der Strafzumessung Folgendes berücksichtigt:
- Der Beschuldigte hat sich am Verwaltungsstrafverfahren vor der Datenschutzbehörde beteiligt und zugegeben, die Datenübermittlung durchgeführt zu haben, er hat dadurch zur Wahrheitsfindung beigetragen;
- Gegen den Beschuldigten lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafen vor;
- Der Beschuldigte ist beschäftigungslos und erzielt daher keinerlei Erwerbseinkommen, sondern bezieht lediglich Sozialleistungen.
4.4. Die konkret verhängte Strafe erscheint daher unter Berücksichtigung der festgestellten Einkommensverhältnisse des Beschuldigten im Hinblick auf den verwirklichten Tatunwert gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO von bis zu € 20.000.000 tat- und schuldangemessen und ihre Verhängung erforderlich, um den Beschuldigten und Dritte von der Begehung gleicher oder ähnlicher strafbarer Handlungen abzuhalten. Insbesondere mit Blick auf den jahrelang andauernden nachbarschaftlichen Konflikt erscheint es im Sinne einer spezialpräventiven Wirkung zwingend erforderlich, eine Geldbuße zu verhängen, um den Beschuldigten vor weiteren – gleichen oder ähnlich gelagerten – Handlungen abzuhalten.
Rückverweise
