TL;DR für den Datenschutzbeauftragten
Vier nützliche Punkte. 1) Die Haftung der juristischen Person setzt nicht voraus, dass die Leitung Kenntnis hatte: das Verschulden des Verantwortlichen genügt. 2) Ein Rechtsgutachten, intern oder extern, schützt nicht, wenn die Rechtsansicht unvertretbar ist, und das Geld für gute Beratung zu haben wird zum Argument gegen Sie. 3) Ein statistischer Wahrscheinlichkeitswert, der einer identifizierbaren Person zugeordnet wird, ist ein personenbezogenes Datum, auch wenn er eine Schätzung ist. 4) Die Vorwürfe zu DSFA und Verarbeitungsverzeichnis wurden als im Hauptverstoß aufgehoben behandelt, die Dokumente waren aber dennoch falsch.
Worum es geht
Das Verfahren läuft seit 2019 und war bereits zweimal beim Verwaltungsgerichtshof. Ein Unternehmen - die Entscheidung hält es anonym und spricht von einer Unternehmerin - sammelte und verwaltete personenbezogene Daten von Werbeadressaten und stellte sie (wahl-)werbetreibenden Kunden entgeltlich zur Verfügung. Zwischen Mai 2018 und Februar 2019 berechnete und speicherte es für rund 2,2 Millionen Personen sogenannte Partei-Affinitäten: statistische Wahrscheinlichkeitswerte, die angaben, wie sehr sich eine Person für Wahlwerbung bestimmter Parteien interessieren könnte, teilweise an Dritte verkauft. Zudem verarbeitete es Daten über die Paketfrequenz aus dem Zustellbereich für Marketingzwecke weiter, ohne dafür eine Einwilligung einzuholen.
Die österreichische Datenschutzbehörde hatte 18 Millionen Euro sowie 1,8 Millionen Euro Beitrag zu den Kosten des Strafverfahrens verhängt. Das Bundesverwaltungsgericht reduzierte auf 16 Millionen Euro und 1,6 Millionen Euro Kosten, stellte das Verfahren hinsichtlich der „Umzugsaffinitäten“ ein und schränkte den Tatzeitraum für die Paketfrequenzen ein, bestätigte aber die unrechtmäßige Verarbeitung der Partei-Affinitäten als besondere Kategorie personenbezogener Daten sowie die Vorwürfe zur Fehlerhaftigkeit der Datenschutz-Folgenabschätzung und des Verzeichnisses von Verarbeitungstätigkeiten.
Die Verteidigung: wir hatten ein Compliance-Programm
In der Revision machte das Unternehmen geltend, nicht schuldhaft gehandelt zu haben: es habe ein umfassendes Compliance-System eingerichtet, die Rechtslage intern und durch Experten prüfen lassen und damals die Ansicht vertreten, statistisch berechnete Wahrscheinlichkeitswerte seien keine personenbezogenen Daten.
Warum der Gerichtshof das zurückgewiesen hat
Für die Bestrafung einer juristischen Person ist kein Handeln oder Wissen der Leitungsorgane erforderlich: es genügt, dass der Verantwortliche vorsätzlich oder fahrlässig gehandelt hat. Und der Maßstab des Verschuldens ist, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte - Bewusstsein über den Rechtsverstoß ist keine Voraussetzung. Die Einstufung der Partei-Affinitäten als nicht personenbezogen war unvertretbar: bereits vor 2018 war durch die Entscheidungspraxis der Datenschutzbehörden geklärt, dass Informationen, die einer identifizierbaren Person zugeordnet werden, personenbezogene Daten sind - auch wenn sie auf Schätzungen beruhen. Und weil das Unternehmen über erhebliche Mittel zur rechtlichen Prüfung verfügte und die bestehende Praxis dennoch fehlinterpretierte, ist die grobe Fahrlässigkeit bestätigt.
Eine Umkehrung, die man sich merken sollte, wenn ein Mandant sagt „wir haben uns das gutachterlich bestätigen lassen“. Das Gutachten ist kein Schutzschild: lag die Rechtsansicht außerhalb der bekannten Praxis, wird die Fähigkeit, gute Berater zu beauftragen, gerade zum Grund, warum es keine Entschuldigung gibt. Die Vorinstanz war noch direkter: das interne Kontrollsystem habe grundlegende juristische Fehlinterpretationen nicht verhindert.
DSFA und Verzeichnis: entfallen, aber nicht weil sie richtig waren
In der Folgenabschätzung und im Verarbeitungsverzeichnis hatte das Unternehmen die Verarbeitung sensibler Daten verneint. Der Gerichtshof sieht darin eine Konsumtion: dass die Daten nicht in die Dokumente aufgenommen wurden, war Folge der Fehlbeurteilung, es handle sich nicht um personenbezogene und damit auch nicht um besondere Kategorien von Daten. Der Unwert des Verstoßes gegen die Dokumentationspflichten wird bereits durch die Bestrafung der unrechtmäßigen Verarbeitung selbst vollständig erfasst, eine zusätzliche Bestrafung ist unzulässig. Insoweit wurde das Verfahren eingestellt.
Wie sich das praktisch liest
Erwarten Sie keine eigene Geldbuße nach Art. 30 und Art. 35, wenn der Mangel der Dokumente die nachgelagerte Folge eines einzigen Qualifikationsfehlers ist. Beachten Sie aber die Umkehrung: Verzeichnis und DSFA waren dennoch falsch, und eine einzige fehlerhafte Qualifikation pflanzt sich in jedes davon abhängige Dokument fort. Bei der Prüfung eines Verzeichnisses lautet die nützliche Frage nicht „sind die Einträge ausgefüllt“, sondern „auf welcher Qualifikation beruhen sie“.
Verfahrenskosten als verdeckte Strafe
Als mildernd wertete der Gerichtshof die getroffenen Maßnahmen zur Verhinderung eines Verstoßes, die gegenüber zahlreichen Betroffenen abgegebenen Unterlassungserklärungen und die außergewöhnlich lange Verfahrensdauer von etwa 66 Monaten. Das Fehlen früherer Verstöße als zusätzlichen Milderungsgrund zu berücksichtigen hielt er dagegen nicht für geboten, weil das Bundesverwaltungsgericht dies bereits als Fehlen eines Erschwernisgrundes gewertet hatte.
Der neueste Punkt kommt am Ende: die Festsetzung des Beitrags zu den Kosten des Strafverfahrens mit 1,3 Millionen Euro widerspricht dem Unionsrecht, weil sie zu einer sachlich nicht rechtfertigbaren Zusatzstrafe führt. Der Gerichtshof setzte diesen Beitrag mit 100.000 Euro fest.
Was jetzt konkret zu tun ist
1) Suchen Sie bei Ihren Mandanten nach Scores: Affinitäts-, Neigungs- und Interessenwerte, berechnete Segmente. Sind sie einer identifizierbaren Person zugeordnet, sind sie personenbezogene Daten, auch wenn es Schätzungen sind, und schätzen sie politische Meinungen, Gesundheit, Religion oder sexuelle Orientierung, sind sie Daten nach Art. 9. 2) Legen Sie ein Rechtsgutachten nicht wie eine Garantie ab: dokumentieren Sie auch die herangezogene Behördenpraxis und das Datum, denn der Maßstab ist, ob Sie es erkennen konnten. 3) Prüfen Sie das Verzeichnis von hinten: beginnen Sie bei den Qualifikationen (personenbezogen ja oder nein, besondere Kategorie ja oder nein) und sehen Sie, welche Einträge und welche DSFA davon abhängen. Ein Fehler oben erzeugt zehn unten. 4) Erhält ein Mandant eine Geldbuße mit einem zum Betrag proportionalen Kostenbeitrag, ist diese Entscheidung ein Argument dagegen. 5) Denken Sie daran, dass die Verzögerung der Behörde dem Betroffenen zugutekommt: 66 Monate wirkten mildernd.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
