GZ: 2025-0.778.661 vom 7. Oktober 2025 (Verfahrenszahl: DSB-D550.1230)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
Straferkenntnis
Beschuldigter: Markus D***, geb. am **.**.199*
Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:
Sie haben am 03.05.2025, um 09:42 Uhr bis 9:50 Uhr (in der Folge „ Tatzeitraum “) unrechtmäßig personenbezogene Daten von Franziska V*** (in der Folge „ Betroffene “) verarbeitet, indem Sie sich zunächst mittels Ersatzschlüssel Zugang zur versperrten Festplatte der Betroffenen verschafft haben, diese an den zur Datenauswertung bestimmten Computer der Polizeiinspektion N*** (in der Folge „ Tatort “) angesteckt und Bild(-Daten) der Betroffenen (in Bekleidung und in Unterwäsche, als auch beim Stillen) eingesehen haben. Die Verarbeitung erfolgte ohne eine die Verarbeitung rechtfertigenden Bedingung nach Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 DSGVO sowie ohne legitimen Zweck gemäß Art. 5 Abs. 1 lit. b DSGVO.
Verwaltungsübertretung nach:
Art. 5 Abs. 1 lit. a und b sowie Art. 6 Abs. 1 und Art. 83 Abs. 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF
Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt:
Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:
250
Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;
Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher
2.750
Euro
Zahlungsfrist:
Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden .
Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.
Begründung:
1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest:
1. Der Beschuldigte ist Beamte der Polizeiinspektion N*** (in der Folge „PI“).
2. RI Franziska V*** (in der Folge „ Betroffene “) leistet ebenso an der genannten PI ihren Dienst. Sie hat eine private Festplatte in ihrem Kleiderkasten in der Damen Umkleidekabine verwahrt. Dieser Kasten ist nicht immer versperrt, war jedoch am 03.05.2025 versperrt.
Zwischen dem Beschuldigten und der Betroffenen besteht kein Naheverhältnis.
3. Der Beschuldigte hat am 03.05.2025, während er sich alleine in der PI befand, den Ersatzschlüssel zum Spind von der Betroffenen aus dem Aktenschrank im Dienstführungsbüro geholt und den Spind geöffnet.
Der Beschuldigte hat das externe Laufwerk im Kasten entdeckt und an den Computer, welcher für die Datenträger Auswertung verwendet wird aus Neugier angesteckt und mit dem Programm Libre Bilder angesehen.
Die Lichtbilder zeigen die Betroffene in ihrer Schwangerschaft. Zu sehen war konkret:
- ein Babybauchfoto vor dem Spiegel, teils in Unterwäsche, um den Wachstumsfortschritt des Bauches zu dokumentieren,
- ein Foto beim Stillen des Kindes, wobei keine nackte Brust ersichtlich war, da das Kind an der Brust angelegt war sowie
- Alltags- und Urlaubsbilder.
Die Benutzung des Computers erfolgte am 03.05.2025 in der Zeit von 09:42 Uhr bis 09:50 Uhr (in der Folge „ Tatzeitraum “).
4. In der Folge wurden interne Erhebungen der PI durchgeführt und legte der Beschuldigte telefonisch am 24.05.2025 ein Geständnis ab. Der Beschuldigte wurde zwei Monate vom Dienst suspendiert, wodurch er finanzielle Einbußen hatte, zumal der monatliche Bezug auf 2/3 gekürzt wurde.
Des Weiteren wurde gegen den Beschuldigten ein Disziplinarverfahren geführt, nach Abschluss dieses Verfahrens erhielt er eine Geldstrafe in Höhe von 10.800 EUR, wobei diese binnen 36 Monaten zu Sätzen von je 300 EUR zu begleichen ist.
5. Der Beschuldigte beteuerte sein Verhalten schriftlich gegenüber der Datenschutzbehörde und führte an, sich mehrmals bei der Betroffenen entschuldigt zu haben.
6. Der Beschuldigte bezieht ein monatliches Nettoeinkommen, welches monatlich variiert und in der Spanne zwischen 2.700 EUR und 3.200 EUR liegt. Der Beschuldigte hat Schulden in Höhe von 402.000 EUR und zwei Kinder im Alter von 7 und 12 Jahren.
2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen:
1. Die getroffenen Feststellungen zu den Punkten 1. bis 4. fußen aus dem von der Landespolizeidirektion L*** übermittelten Bericht vom 26.05.2025, GZ: PAD/**/0*3*99*2/0*4/*** sowie der schriftlichen Rechtfertigung des Beschuldigten vom 26.09.2025 in welcher dieser die Geschehnisse bestätigte.
2. Die getroffenen Feststellungen zu den Verhalten des Beschuldigten nach dem Vorfall sowie zu seinen Einkommens- und Vermögensverhältnissen in den Punkten 4, 5 und 6 fußen auf der schriftlichen Rechtfertigung des Beschuldigten vom 26.09.2025.
3. Rechtlich folgt daraus:
3.1. Zur objektiven Tatseite
Gegenständlich hat der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO feststellungsgemäß am Tatort im Tatzeitraum Einsicht in die auf der externen Festplatte gespeicherten personenbezogenen (Bild-)Daten der Betroffen nach Art. 4 Z 1 DSGVO genommen (vgl. EuGH 11.12.2014, C-212/13, Rz 2).
Die „ Einsichtnahme “ ist als Verarbeitung im Sinne des Art. 4 Z 2 DSGVO zu qualifizieren, wobei bereits das bloße „ Abrufen “ ohne konkretes „ Einsehen “ den weiten „ Verarbeitungsbegriff“ des Art. 4 Z 2 DSGVO entsprechen würde (vgl. Erkenntnis des BVwG vom 01.03.2023; GZ: W287 2260123-1/10E).
Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig iSd DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. eine Rechtsgrundlage nach Art. 6 Abs. 1 gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57 sowie EuGH vom 21.12.2023, C-667/21, Rz 78).
Gegenständlich hat der Beschuldigte nicht vorgebracht, auf welchen der in Art. 6 Abs. 1 DSGVO normierten Tatbestände sich die vorgenommene Verarbeitung konkret stützt. Der Beschuldigte führte in diesem Zusammenhang ausschließlich aus, dass dieser neugierig gewesen sei. In Betracht käme daher nur das Vorliegen berechtigter Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.
Art. 6 Abs. 1 lit. f DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „ Gleichordnungsverhältnissen “ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist und den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person überwiegen.
Aus der reinen „ Neugier“ kann nach Ansicht der Datenschutzbehörde jedenfalls kein berechtigtes Interesse erblickt werden, welches die Verarbeitung rechtfertigen würde.
Im Ergebnis liegt also kein die Verarbeitung rechtfertigender Tatbestand vor, womit auch das Vorliegen eines legitimen Zwecks gemäß Art. 5 Abs. 1 lit. b DSGVO zu verneinen ist.
Der objektive Tatbestand ist somit erfüllt.
3.2. Zur subjektiven Tatseite
Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, d.h. vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68) und dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76). Eine entsprechende Erkundigungspflicht trifft den Beschuldigten jedenfalls dann, wenn er sich über die Rechtslage nicht im Klaren war (VwGH 25.06.2013, 2013/09/0022).
Der Beschuldigte hätte jedenfalls erkennen müssen, dass die von ihm beabsichtigte Verarbeitung nicht im Einklang mit den Grundsätzen einer Datenverarbeitung stehen kann. Bereits aus dem Wortlaut der Grundsätze nach Art. 5 Abs. 1 lit. b DSGVO ergibt sich, dass eine Verarbeitung personenbezogener Daten nicht zweckwidrig vorgenommen werden darf. Auch gab er an, dass er sich unmittelbar nach begonnenem Zugriff auf das Laufwerk die Frage gestellt habe, was er da eigentlich tue. Gerade auch als Beamte hätte ihm jedoch bewusst sein müssen, dass ein derartiger Eingriff nicht gestattet ist.
Dadurch ist auch die subjektive Tatseite in Form des Vorsatzes erfüllt.
4. Zur Strafzumessung ist Folgendes festzuhalten:
Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000.
Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt:
Art und Schwere des Verstoßes : der Beschuldigte hat seine dienstliche Zugriffsbefugnis missbraucht, um Einsicht in versperrte personenbezogene Daten der Betroffenen aus reiner Neugier zu erhalten (Art. 83 Abs. 2 lit. a DSGVO).
Es liegt Verschulden in Form von Vorsätzlichkeit vor (Art. 83 Abs. 2 lit. b DSGVO).
Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt:
Gegen den Beschuldigten lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafenaufgrund von Verstößen gegen die DSGVO oder das DSG vor (Art. 83 Abs. 2 lit. e DSGVO).
Der Beschuldigte hat im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und einen Beitrag zur Feststellung des Sachverhalts geleistet. Der Beschuldigte räumte überdies die Verletzung ein (Geständnis) und zeigte sich reuig (Art. 83 Abs. 2 lit. k DSGVO).
In Bezug auf das Einkommen des Beschuldigten ging die Datenschutzbehörde aufgrund des variierend angegebenen Einkommens von einem durchschnittlichen monatlichen Nettoeinkommen in der Höhe von rund EUR 3.000 aus. Die Sorgfaltspflichten gegenüber den Kindern des Beschuldigten sowie die Schulden wurden bei der Bemessung der Strafe ebenfalls berücksichtigt, stellen jedoch per se keinen Strafmilderungsgrund dar.
Eines der wesentlichen Ziele der DSGVO ist gemäß Art. 1 Abs. 2 DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC. Der Beschuldigte hat die Grundrechte der Betroffenen, wie oben ausgeführt, verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche, die sich auf Daten Zugriff verschaffen können, im Zusammenhang mit missbräuchlichen Einsichtnahmen zu sensibilisieren, insbesondere dahingehend, dass eine derartige Verarbeitung keine Deckung in der Rechtfertigungsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO findet.
Die Datenschutzbehörde geht davon aus, dass der Beschuldigte es künftig unterlassen wird, derartige Abfragen vorzunehmen, insbesondere aufgrund der Suspendierung und des Disziplinarverfahrens samt der in diesem Zusammenhang bestehender finanzieller Einbußen und der Geldstrafe in Höhe von 10.800 EUR. Daher liegen nach Ansicht der Datenschutzbehörde keine spezialpräventiven Gründe vor.
Die konkret verhängte Strafe in der Höhe von EUR 2.500 erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) sowie unter Berücksichtigung der relevanten Strafbemessungskriterien nach Art. 83 Abs. 2 DSGVO tat- und schuldangemessen und befindet sich aufgrund des erstmaligen Verstoßes am untersten Ende des zur Verfügung stehenden Strafrahmens.
Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen.
Im Ergebnis ist die konkret verhängte Strafe somit für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden.
Rückverweise
