Der VwGH hat in einer Entscheidung (GZ RO 2019/04/0229) zur Strafbarkeit der juristischen Person festgelegt, dass er die Bestimmung des § 99d BWG und seine Judikatur dazu auch auf das DSG umlegt.
Was bedeutet das in der Praxis für die Datenschutzbehörde?
- Die Datenschutzbehörde muss in einem Verfahren/Beschwerdefall bereits in der Aufforderung zur Rechtfertigung an das Unternehmen, jene Personen klar bezeichnen, denen das vorgeworfene Verhalten zuzurechnen ist.
- Die Datenschutzbehörde muss die vertretungsbefugten Personen namentlich anführen, der das Verhalten zugeordnet wird.
- Die Datenschutzbehörde muss zusätzlich jeder einzelnen, vertretungsbefugten Person eine Aufforderung zur Rechtfertigung schicken, da diese als Beschuldigte in einem Verwaltungsstrafverfahren geführt wird.
- Jede dieser Personen muss selbst eine Stellungnahme abgeben.
- Jedes vertretungsbefugte Organ haftet für die anderen mit.
Ausweg für Verantwortliche
- Unternehmen sollten einen Verantwortlichen gemäß § 9 VstG benennen und an die Datenschutzbehörde melden.
- Dieser muss über tatsächliche Durchgriffsrechte verfügen.
- In einem Verfahren kann die Datenschutzbehörde den § 9 VstG Verantwortlichen neben dem Unternehmen adressieren.
- In weiterer Folge muss das Unternehmen und der §9 VstG Verantwortliche, eine Stellungnahme an die Datenschutzbehörde erstatten.
- Die Datenschutzbehörde ist anschließend in der Lage, das Verfahren nur noch gegen das Unternehmen weiter zu führen und das Verfahren gegen den § 9 VstG Verantwortlichen einzustellen.
So entsteht indirekt eine Verpflichtung bzw. zumindest eine starke Empfehlung zur Meldung des § 9 VstG Verantwortlichen für Datenschutz.