2024-0.796.258 – Datenschutzbehörde Entscheidung

GZ: 2024-0.796.258 vom 12. Dezember 2024 (Verfahrenszahl: DSB-D550.1113)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

Straferkenntnis

Beschuldigter: Michael D***, geb. am **.**.196*

Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:

Sie haben sich am 15.07.2024 in Wien (in der Folge „ Tatort “) Aktfotos von Angelika V*** (in der Folge „ Betroffene “), welche Sie zuvor mit dem Mobiltelefon der Betroffenen angefertigt haben, ohne Zustimmung der Betroffenen von ihrem Mobiltelefon über den Dienst „ I*** “ an Ihr eigenes Mobiltelefon weitergeleitet. Überdies haben Sie die Lichtbilder jedenfalls vom 15.07.2024 bis zum 16.07.2024 („ Tatzeitraum “) auf Ihrem Mobiltelefon gespeichert. Die Lichtbilder spiegeln als Aktfotos intime Aufnahmen wider und sind personenbezogene Daten zum Sexualleben der Betroffenen.

Die durchgeführten Bilddatenverarbeitungen – Weiterleitung sowie Speicherung der Lichtbilder – erfolgte unrechtmäßig, da diese weder auf die Einwilligung der Betroffenen, noch auf einen der sonstigen Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO gestützt werden können und den Grundsätzen gemäß Art. 5 Abs. 1 lit. a DSGVO ( Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz “), Art. 5 Abs. 1 lit. b („ Zweckbindung “) und Art. 5 Abs. 1 lit. c DSGVO („ Datenminimierung “) widersprechen.

Verwaltungsübertretung nach:

Art. 9 sowie Art. 5 Abs. 1 lit. a iVm Art. 83 Abs. 1 und Abs. 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt:

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:

200

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

2.200

Euro

Zahlungsfrist:

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [Anmerkung Bearbeiter/in: hier gekürzt] , lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Begründung:

1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:

1.1. Zum Verfahrensgang und mangelnde Mitwirkung des Beschuldigten

Am 28.08.2024 wurde der Datenschutzbehörde (im Folgenden: „ DSB “) mittels Anzeige der Frau Angelika V*** (in der Folge „ Betroffene “) zur Kenntnis gebracht, dass der Beschuldigte am 15.07.2024 heimlich - bei Erstellung eines Aktfotos der Betroffenen - mehrere Aktfotos angefertigt habe und sich diese selber über den Dienst „ I*** “ übermittelt habe.

Die DSB leitete in Folge mit Erledigung vom 01.10.2024 (GZ: D550.1113; 2024-0.631.094) ein Verwaltungsstrafverfahren ein und forderte den Beschuldigten zur Rechtfertigung in Bezug auf nachstehende Verwaltungsübertretung auf (Formatierung nicht 1:1 übernommen):

„Sie haben am 15.07.2024 in Wien („Tatort“) vereinbarungsgemäß ein Aktfoto von Angelika V*** (in der Folge „Betroffene“) mit ihrem Mobiltelefon unter Berücksichtigung der alleinigen Verwertung von der Betroffenen angefertigt.

Ohne Zustimmung der Betroffenen haben Sie jedoch - über das vereinbarte Lichtbild hinaus - mehrere Aktfotos angefertigt und sich diese selbst über den Dienst „I***“ an Ihr Mobiltelefon weitergeleitet, wodurch Sie personenbezogenen Daten der Betroffenen unrechtmäßig erhoben und übermittelt haben. Überdies haben Sie die Lichtbilder jedenfalls von 15.07.2024 bis zum 28.08.2024 („Tatzeitraum“) auf Ihrem Mobiltelefon gespeichert und sohin fortlaufend personenbezogenen Daten der Betroffenen verarbeitet. Die Lichtbilder spiegeln als Aktfotos intime Aufnahmen wider und sind personenbezogene Daten zum Sexualleben der Betroffenen.

Die durchgeführte Bilddatenverarbeitung – Anfertigung, Weiterleitung sowie Speicherung der Lichtbilder – erfolgte unrechtmäßig, da diese weder auf eine Einwilligung der betroffenen Person, noch auf einen der sonstigen Erlaubnistatbestände des Art. 9 Abs. 1 DSGVO gestützt werden kann und den Grundsätzen gemäß Art. 5 DSGVO widerspricht.“

Im Rahmen dieses Schreibens wurde ausdrücklich darauf hingewiesen, dass das Strafverfahren ohne Anhörung des Beschuldigten durchgeführt wird, wenn die Aufforderung zur Rechtfertigung nicht befolgt wird.

Der Aufforderung zur Rechtfertigung wurde eine Beilage betreffend die Bekanntgabe der Einkommens- und Vermögensverhältnisse sowie Sorgepflichten angeschlossen. Die Beilage enthält folgenden Hinweis (Formatierung nicht 1:1 übernommen):

„Mit der beiliegenden Aufforderung zur Rechtfertigung wurde gegen Sie als Beschuldigter ein Verwaltungsstrafverfahren eingeleitet. Gemäß § 19 Abs. 2 letzter Satz, Verwaltungsstrafgesetz 1991 –VStG sind bei der Bemessung von Geldstrafen die Einkommens- und Vermögensverhältnisse sowie allfällige Sorgepflichten des Beschuldigten zu berücksichtigen.

Wir fordern Sie daher auf, den nachstehenden Fragebogen auszufüllen und an uns zurückzuschicken. Falls sie den Fragebogen nicht bzw. nicht rechtzeitig (bis zu dem in der beiliegenden Aufforderung zur Rechtfertigung angegebenen Zeitpunkt) an uns übermitteln, sind wir gezwungen, die Bemessung einer allfälligen Geldstrafe im Zuge des Verwaltungsstrafverfahrens unter Einschätzung dieser Verhältnisse vorzunehmen.

Beruf: .....................................................................................................................................

Monatliches Nettoeinkommen: ...............................................................................................

Vermögen: ..............................................................................................................................

Sorgepflichten: .......................................................................................................................“

Das Schreiben wurde samt Beilage mittels RSa-Brief an den Hauptwohnsitz des Beschuldigten per Adresse „ F***platz *5/*4, 1*** Wien “ versandt. Nach einem Zustellversuch durch Organe der Post wurde das Schreiben ab dem 11.10.2024 in der „ Abholfiliale: Post Geschäftsstelle 1*** Wien, Hinterlegungsdatum: 11.10.2024 “ zur Abholung bereitgehalten.

Die Sendung wurde am 29.10.2024 als „ nicht behoben “ retourniert.

1.2. Zur Anfertigung und Speicherung der gegenständlichen Lichtbilder:

Der Beschuldigte hat die Betroffenen am 15.07.2024 eingeladen, sich mit ihm in Wien (in der Folge „ Tatort “) in einem Swimming-Pool auf dem Dach des Hauses einer Wohnung eines gemeinsamen Bekannten „ abzukühlen “. Da die Betroffene keine Badebekleidung dabeihatte, hat sie sich entkleidet und ist im unbekleideten Zustand schwimmen gegangen.

Der Beschuldigte ist Kameramann und haben sich die Betroffene und der Beschuldigte darüber verständigt, dass mit dem Mobiltelefon der Betroffenen ein Aktbild von der Betroffenen für ihre alleinige Verwendung angefertigt wird.

Der Beschuldigte fertigte mehrere Lichtbilder der Betroffenen im unbekleideten Zustand an und übermittelte diese ohne Wissen der Betroffenen über den Dienst „ I*** “ an sein eigenes Mobiltelefon.

Am 16.07.2024 forderte die Betroffene den Beschuldigten mittels nachstehender Nachricht auf, die Lichtbilder zu löschen (Formatierung nicht 1:1 übernommen):

„Sofort löschen, meine Schwester ist Polizistin. Ich will, dass die Bilder umgehend gelöscht werden. Ich habe dir keine Erlaubnis dazu gegeben. Sollten sie an Dritte weitergeleitet werden, werde ich Anzeige erstatten. […]“

Der Beschuldigte antwortete der Betroffenen hierauf am selben Tag wie folgt (Formatierung nicht 1:1 übernommen):

„ Eigentlich wollte ich sie fotoshopen [sic] und dir die verbesserten Fotos schicken aber wie du meinst, ich kenne das Recht des eigenen Bildes und würde es niemals missachten ich bin Kameramann und habe jeden Tag damit zu tun.“

Der Beschuldigte hat die Aktfotos der Betroffenen am 16.07.2024 in der Folge von seinem Mobiltelefon gelöscht.

2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:

2.1. Die Feststellungen zu 1.1. ergeben sich unzweifelhaft aus der Ersteingabe vom 28.08.2024 und dem gegenständlichen Verwaltungsstrafakt. Die Feststellung zum Zustellvorgang der Erledigung vom 01.10.2024 (GZ: D550.1113; 2024-0.631.094) beruht auf dem unbedenklichen und gut lesbaren Rückschein.

2.2. Die Feststellungen ergeben sich im Wesentlichen auf Grundlage der von der Einschreiterin übermittelten Informationen, insbesondere aufgrund der übermittelten Screenshots des Nachrichtenverlaufes zwischen der Betroffenen und dem Beschuldigten. So hat die Betroffene den Beschuldigten am 16.07.2024 gefragt, ob er sich die Lichtbilder gesendet habe, worauf dieser entgegnete: „genau ich zeige sie eh nicht her“. Auch lässt sich dem Chatverlauf die Berufung des Beschuldigten entnehmen und dass dieser die Lichtbilder in Folge der Aufforderung gelöscht habe. Der Beschuldigte hat sich - trotz Aufforderung zur Rechtfertigung vom 01.10.2024 (GZ: D550.1113; 2024-0.631.094) - zu dem Tatvorwurf nicht geäußert.

3. Rechtlich folgt daraus:

3.1. Zur Zuständigkeit der DSB und Anwendungsbereich der DSGVO

Art. 83 Abs. 5 lit. a DSGVO legt fest, dass bei Verstößen gegen die Bestimmungen der Art. 5, 6, 7 und 9 DSGVO Geldbußen von bis zu 20 000 000 Euro oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt werden können, je nachdem, welcher der Beträge höher ist. Nach § 22 Abs. 5 DSG liegt die Zuständigkeit für die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen für Österreich als nationaler Aufsichtsbehörde bei der DSB.

Gemäß Art. 2 Abs. 1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Die im vorliegenden Fall durch das Mobiltelefon erfassten Bilddaten stellen zweifelsfrei personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO dar (vgl. EuGH 11.12.2014, C-212/13, Rz 2). Darüber hinaus gilt zu beachten, dass die Lichtbilder durchaus intime Aufnahmen widerspiegeln. Die Bedeutungen von „ intim “ sind unter anderem: „ sehr nahe und vertraut (in Bezug auf das persönliche Verhältnis zwischen Menschen); sexuell; den Bereich der Geschlechtsorgane betreffend; anheimelnd, gemütlich, privaten Charakter habend “ (vgl. dazu den Link https://www.duden.de/ rechtschreibung/intim). So befindet sich die Betroffene in einem unbekleideten Zustand und wurden die Lichtbilder im Rahmen des gemeinsamen „ Abkühlens “ angefertigt. Das Sexualleben erfasst alle Informationen in Zusammenhang mit sexuellen Aktivitäten, Vorlieben und Praktiken, worunter zB intime Bildaufnahmen fallen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art. 9 DSGVO, Rz 29). Das gegenständliche Lichtbild erfasst sohin jedenfalls Daten zum Sexualleben der Betroffenen im Sinne des Art. 9 Abs. 1 DSGVO (vgl. auch den Bescheid der DSB vom 20.06.2024, GZ: D124.0614/23; 2024-0.342.465).

Durch die „ Anfertigung “, „ Übermittlung “ und „ Speicherung “ der Lichtbilder mittels Mobiltelefons wurden Verarbeitungen im Sinne von Art. 4 Z 2 DSGVO vorgenommen. Im Lichte des als erwiesen angenommenen Sachverhalts ist der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO zu qualifizieren.

Als Verantwortlicher ist der Beschuldigte Adressat der einschlägigen Pflichten der DSGVO – wie etwa die Einhaltung der Grundsätze der Datenverarbeitung – im Zusammenhang mit den gegenständlichen Verarbeitungen, die nachstehend näher beleuchtet werden.

3.2. Zur Rechtmäßigkeit der Datenverarbeitung

In Bezug auf die Rechtmäßigkeit der Verarbeitung wird Eingangs darauf hingewiesen, dass Art. 5 DSGVO die Grundsätze der Verarbeitung personenbezogener Daten festlegt und im Abs. 1 lit. a bestimmt, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen („ Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz “). Die Bestimmung des Art. 5 Abs. 1 lit. b DSGVO normiert zudem, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden dürfen (Grundsatz der „ Zweckbindung “). Die Bestimmung nach Art. 5 Abs. 1 lit. c DSGVO normiert zudem, dass die konkrete Datenverarbeitung dem jeweiligen Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss (Grundsatz der „ Datenminimierung “).

Grundsätzlich besteht nach Art. 9 Abs. 1 DSGVO ein Verarbeitungsverbot für besondere Kategorien personenbezogener Daten. Die Anforderungen für eine rechtmäßige Datenverarbeitung im Zusammenhang mit Daten zum Sexualleben sind in Art. 9 Abs. 2 DSGVO im Sinne einer Ausnahme dieses Verarbeitungsverbotes konkretisiert.

Art. 9 Abs. 2 DSGVO enthält eine Aufzählung von zehn Tatbeständen („ Anwendungsfälle “), in denen das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO nicht anwendbar ist. Ein Rückgriff auf Art. 6 Abs. 1 DSGVO ist ausgeschlossen, würde dieser ja die hohen Hürden des Art. 9 Abs. 2 umgehen (vgl. in Knyrim , DatKomm Art. 9 DSGVO Rz 30).

Im Vergleich zu Art. 6 Abs. 1 fehlen in Art. 9 Abs. 2 insbesondere die Zulässigkeitstatbestände der „ Verarbeitung im berechtigten Interesse des Verantwortlichen oder eines Dritten “ (Art. 6 Abs. 1 lit. f) und jener der „ Verarbeitung zur Vertragserfüllung “ (Art. 6 Abs. 1 lit. b; s jedoch Art 9 Abs 2 lit h „ aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs “), was zu einem restriktiveren Zulässigkeitsregime führt (vgl. in Knyrim , DatKomm Art. 9 DSGVO Rz 30).

Gegenständlich sind – wie eingangs bereits aufgezeigt – folgende Verarbeitungsvorgänge zu differenzieren, die in der Folge jeweils einzelnen auf deren Rechtmäßigkeit geprüft werden müssen:

1) Anfertigung der Lichtbilder

2) Übermittlung der Lichtbilder und

3) Speicherung der Lichtbilder.

3.2.1. Zur Anfertigung der Lichtbilder

Im Hinblick auf die Anfertigung der Lichtbilder wird Art. 9 Abs. 2 lit. a DSGVO schlagend. Gemäß Art. 9 Abs. 2 lit. a DSGVO besteht das Verarbeitungsverbot von besonderen Kategorien personenbezogener Daten nicht, für den Fall, dass die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat.

So bestand in Bezug auf die Anfertigung der Lichtbilder die ausdrückliche Einwilligung der Betroffenen, welche die Anfertigung der Lichtbilder ihrer Person im unbekleideten Zustand mit ihrem Mobiltelefon gerade wünschte. Demnach kann im Zusammenhang mit diesem Verarbeitungsvorgang keine Verletzung erblickt werden.

3.2.2. Zur Übermittlung der Lichtbilder

Für die Übermittlung der Lichtbilder an das Mobiltelefon des Beschuldigten lag hingegen keine ausdrückliche Einwilligung vor. Vielmehr erfolgte dies ohne Wissen der Betroffenen.

Wenngleich der Beschuldigte sich – mangels Rechtfertigung – nicht darauf berief, brachte dieser im Rahmen des schriftlichen „ I*** “-Nachrichtenverlaufs mit der Betroffenen vor, dass er die Lichtbilder eigentlich habe „fotoshopen [sic]“ und der Betroffenen „die verbesserten Fotos schicken“ habe wollen und stützte sich insofern auf das berechtigte Interesse eines Dritten, konkret: der Betroffenen. Wie jedoch bereits eingangs erwähnt, ist dem Art. 9 Abs. 2 DSGVO der Zulässigkeitstatbestand des berechtigten Interesses fremd.

Im Übrigen sind für die Datenschutzbehörde keine anderen Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO ersichtlich.

Damit kann die vorgeworfene Tathandlung nicht durch Art. 9 Abs. 2 DSGVO gerechtfertigt werden. Im Ergebnis liegt also kein die Verarbeitung rechtfertigender Tatbestand vor, womit auch das Vorliegen eines legitimen Zwecks (Art. 5 Abs. 1 lit. b DSGVO) zu verneinen ist.

Da die vorgenommene Verarbeitungshandlung eines legitimen Zwecks entbehrt, konnte die Verarbeitung der personenbezogenen Daten auch nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt erfolgen (Art. 5 Abs. 1 lit. c DSGVO). Der objektive Tatbestand ist somit erfüllt.

3.2.3. Zur Speicherung der Lichtbilder

Im Hinblick auf die Speicherung kann auf die unter die zu Punkt 3.2.2. getroffenen Aussagen verwiesen werden und ergibt sich auch im Zusammenhang mit der Speicherung, dass keine der in Art. 9 Abs. 2 DSGVO vorliegenden Ausnahmetatbestande zur Anwendung gelangt. Damit kann auch diese Tathandlung nicht durch Art. 9 Abs. 2 DSGVO gerechtfertigt werden.

Im Ergebnis liegt also auch im Zusammenhang mit der Speicherung kein die Verarbeitung rechtfertigender Tatbestand vor, womit auch das Vorliegen eines legitimen Zwecks (Art. 5 Abs. 1 lit. b DSGVO) zu verneinen ist. Da die vorgenommene Verarbeitungshandlung eines legitimen Zwecks entbehrt, konnte die Verarbeitung der personenbezogenen Daten auch nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt erfolgen (Art. 5 Abs. 1 lit. c DSGVO).

Der objektive Tatbestand ist für diese Verarbeitungshandlung somit ebenso erfüllt.

3.4. Zur subjektiven Tatseite

Der EuGH hat nun explizit festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).

In Bezug auf die subjektive Tatseite ist zu berücksichtigen, dass die Voraussetzung des Verschuldens für die Verhängung einer Geldbuße nach Art. 83 DSGVO unionsautonom auszulegen und insbesondere im Lichte der Rechtsprechung des EuGH zu beurteilen ist. Auch zur Vorlagefrage in Bezug auf das Verschulden stellte der EuGH fest, dass den Mitgliedstatten in diesem Zusammenhang kein Ermessensspielraum durch den Unionsgesetzgeber für nationale Regelungen eingeräumt wurde, da die materiellen Voraussetzungen abschließend in Art. 83 Abs. 1 bis 6 DSGVO genau geregelt sind (vgl. hierzu auch EuGH vom 05.12.2023, C-683/21, Rz 64 ff). Somit gelangt § 5 VStG in Bezug auf das Verschulden nicht zur Anwendung.

Zu der Frage, ob ein Verstoß vorsätzlich oder fahrlässig begangen wurde und daher mit einer Geldbuße geahndet werden kann, stellte der EuGH in seinem oben zitierten Urteil gleichzeitig klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).

Die Verantwortung und Haftung eines Verantwortlichen erstreckt sich dabei auf jedwede Verarbeitung personenbezogener Daten, die durch oder in seinem Namen erfolgt. In diesem Rahmen muss der Verantwortliche nicht nur geeignete und wirksame Maßnahmen treffen, sondern muss er auch nachweisen können, dass seine Verarbeitungstätigkeiten im Einklang mit der DSGVO stehen und die Maßnahmen, die er ergriffen hat, um diesen Einklang sicherzustellen, auch wirksam sind (vgl. EuGH C-807/21, Rz 38, unter Verweis auf ErwGr 74).

Im vorliegenden Fall wird von der DSB keine vorsätzliche Tathandlung durch den Beschuldigte angenommen. Der Beschuldigte hat als Verantwortlicher gemäß Art. 4 Z 7 DSGVO zwar bewusst beschlossen, sich die Lichtbilder zu übermitteln und auf seinem Mobiltelefon zu speichern, hat sich jedoch dabei vorab offenbar nicht ausreichend über die einschlägigen Verwaltungsvorschriften erkundigt. Bereits das Aufrufen der Webseite der DSB hätte gereicht, um beispielsweise in Erfahrung zu bringen, dass die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich verboten ist und die Ausnahmen des Verarbeitungsverbotes in Art. 9 Abs. 2 DSGVO statuiert sind. Im Übrigen kann dies auch schon aus dem eindeutigen Wortlaut des Art. 9 DSGVO abgeleitet werden.

Schließlich kann in diesem Zusammenhang auch auf das Erkenntnis des Bundesverwaltungsgerichts vom 08.04.2022 zur GZ: W214 2240128-1 verwiesen werden, wonach der dortigen Beschwerdeführerin ebenfalls bekannt sein musste, „ dass es einschlägige Datenschutzvorschriften gibt, umso mehr, als über die DSGVO bei deren Wirksamwerden im Jahre 2018 breit in der Öffentlichkeit informiert und diskutiert wurde und eine große Anzahl von medialen Beiträgen zu diesem Thema erschienen ist “.

Im Lauf des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass dem Beschuldigte an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. Der Beschuldigte hat insbesondere die Möglichkeit einer Rechtfertigung nicht in Anspruch genommen, um sowohl der objektiven als auch subjektiven Tatseite entgegenzutreten. Der Beschuldigte konnte sich im Lichte der Rechtsprechung des EuGH über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein, unabhängig davon, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76 und 77; EuGH C-683/21, Rz 81 und 82 mwN).

Dadurch ist die subjektive Tatseite ebenfalls erfüllt.

4. Zur Strafzumessung ist Folgendes festzuhalten:

Gemäß Art. 83 Abs. 1 DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.

Die Strafbemessung innerhalb eines gesetzlichen Strafrahmens ist eine Ermessensentscheidung, die nach den vom Gesetzgeber festgelegten Kriterien vorzunehmen ist (vgl. VwGH 05.09.2013, 2013/09/0106). Die von der DSB für die Strafbemessung zu berücksichtigenden Kriterien sind abschließend in Art. 83 Abs. 2 DSGVO normiert.

Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen.

Durch Art. 83 Abs. 3 DSGVO wird in Abweichung zu dem mit § 22 Abs. 2 VStG normierten Kumulationsprinzip angeordnet, dass in Fällen gleicher oder miteinander verbundener Verarbeitungsvorgänge, durch die vorsätzlich oder fahrlässig gegen mehrere Bestimmungen der DSGVO verstoßen wird, der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigt. Somit gilt im Anwendungsbereich der DSGVO – wie im vorliegenden Fall zur Anwendung gebracht – das Absorptionsprinzip des Art. 83 Abs. 3 DSGVO.

Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000.

Die Einkommens- und Vermögensverhältnisse konnten mangels Mitwirkung des Beschuldigten nicht festgestellt werden. Daher musste eine Schätzung in diesem Zusammenhang von der Behörde vorgenommen werden.

Laut dem Berufslexikon des Arbeitsmarktservice (AMS) wird das Einstiegsgehalt einer Kamerafrau bzw. eines Kameramannes zwischen EUR 2.090,- und 2.760,- bemessen (https://www.berufslexikon.at/pdf/ pdf3624-Kameramann-frau/).

Auf Basis dessen wird im vorliegenden Fall von einem monatlichen Bruttoverdienst des Beschuldigten iHv EUR 2.760,- ausgegangen.

Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:

Art, Dauer und Schwere des Verstoßes: Die unrechtmäßige Verarbeitung, konkret die Übermittlung sowie die Speicherung hat die grundrechtlich geschützten Rechte der betroffenen Person (Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC) verletzt (Art. 83 Abs. 2 lit. a DSGVO).

 Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind: Der Beschuldigte verarbeitete gegenständlich besondere Kategorien personenbezogenen Daten, konkret: Daten zum Sexualleben der Betroffenen (Art. 83 Abs. 2 lit. g DSGVO).

Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt:

Gegen den Beschuldigten lagen bis dato bei der DSB keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder das DSG vor (Art. 83 Abs. 2 lit. e DSGVO),

 Der Beschuldigte hat das Lichtbild nach Aufforderung der Betroffenen gelöscht (Art. 83 Abs. 2 lit. c DSGVO).

Die Verhängung der Strafe im konkreten Fall ist nicht nur im spezialpräventiven Sinne notwendig, um den Beschuldigten von weiteren strafbaren Handlungen gleicher Art abzuhalten (der Beschuldigte gab der DSB insbesondere nicht an, dass er derartige Verarbeitungen in Zukunft unterlasse), sondern darüber hinaus auch im generalpräventiven Sinne erforderlich, um Verantwortliche in Bezug auf die rechtskonforme Verarbeitung sensibler Daten zu sensibilisieren.

Die konkret verhängte Strafe in der Höhe von EUR 2.000,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Art. 83 Abs. 2 DSGVO tat- und schuldangemessen und befindet sich aufgrund des erstmaligen Verstoßes am untersten Ende des zur Verfügung stehenden Strafrahmens.

Im Ergebnis ist die konkret verhängte Strafe somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO.