Bekanntmachungen der Datenschutzbehörde
VwGH bestätigt unrechtmäßige Verarbeitung von Partei-Affinitäten und setzt Geldbuße mit EUR 13 Mio. fest
Der Verwaltungsgerichtshof hat mit Erkenntnis vom 24. Juni 2026, Ro 2025/04/0007-7, die unrechtmäßige Verarbeitung sogenannter „Partei-Affinitäten“ (eine statistisch berechnete Wahrscheinlichkeit in Bezug auf das Interesse einer bestimmten Person an Wahlwerbung bestimmter politischer Parteien) als besondere Kategorien personenbezogener Daten rechtskräftig bestätigt. Die Verarbeitung betraf rund 2,2 Millionen Personen.
Die Daten wurden gespeichert und teilweise an Dritte verkauft, ohne dass eine Einwilligung der betroffenen Personen oder eine andere Ausnahme vom Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO vorlag. Ebenfalls bestätigt wurde die unrechtmäßige Weiterverarbeitung von Daten über die Paketfrequenz für Marketingzwecke.
Mit Straferkenntnis vom 23. Oktober 2019 verhängte die Datenschutzbehörde wegen mehrerer Verstöße gegen die DSGVO eine Geldbuße von insgesamt EUR 18 Mio. Dabei handelte es sich um die bis dahin höchste von der Datenschutzbehörde verhängte Geldbuße. Das Bundesverwaltungsgericht stellte das Verwaltungsstrafverfahren zunächst ein. Die Datenschutzbehörde bekämpfte diese Entscheidung erfolgreich beim Verwaltungsgerichtshof, der das Erkenntnis des Bundesverwaltungsgerichts aufhob und die Sache zur neuerlichen Entscheidung zurückverwies.
Im zweiten Rechtsgang bestätigte das Bundesverwaltungsgericht mit Erkenntnis vom 27. Dezember 2024 die wesentlichen Datenschutzverstöße, reduzierte die Geldbuße aufgrund zwischenzeitig hinzugetretener Milderungsgründe jedoch auf EUR 16 Mio. Gegen dieses Erkenntnis erhob die Verantwortliche sowohl Beschwerde an den Verfassungsgerichtshof als auch Revision an den Verwaltungsgerichtshof. Der Verfassungsgerichtshof lehnte mit Beschluss vom 9. Dezember 2025 die Behandlung der Beschwerde ab.
Der Verwaltungsgerichtshof wies die Revision nun teilweise zurück und teilweise als unbegründet ab. Soweit er der Revision Folge gab, entschied er unmittelbar in der Sache selbst. Er setzte die Geldbuße endgültig mit EUR 13 Mio. und den Beitrag zu den Kosten des Verwaltungsstrafverfahrens mit EUR 100.000 fest.
Der Verwaltungsgerichtshof bestätigte mit seiner Entscheidung den Kernvorwurf der Datenschutzbehörde hinsichtlich der unrechtmäßigen Verarbeitung besonderer Kategorien personenbezogener Daten und wies die Revision in diesem Punkt als unbegründet ab. Der Argumentation der Verantwortlichen, sie habe nicht schuldhaft gehandelt, folgte er nicht, sondern bestätigte die Beurteilung des Verhaltens als grob fahrlässig.
Der Verwaltungsgerichtshof befasste sich darüber hinaus insbesondere mit folgenden für datenschutzrechtliche Verwaltungsstrafverfahren relevanten Fragen:
- Verschulden: Dieses ist ausschließlich nach unionsrechtlichen Maßstäben und der Rechtsprechung des EuGH und EuG zu beurteilen; für eine Anwendung des § 5 VStG bleibt insoweit kein Raum.
- Konkurrenz von Verstößen: Mehrere Tatvorwürfe wurden aufgrund ihres Zusammenhangs mit der unrechtmäßigen Verarbeitung als konsumiert beurteilt. Dabei handelte es sich jedoch um formelle Verstöße mit einem geringen Schweregrad.
- Strafbemessung und Umsatz: Maßgeblich war im vorliegenden Fall der konzernweite Jahresumsatz. Auf einen bloß „tatbezogenen Umsatz“, wie es die Verantwortliche ins Treffen führte, kommt es nicht an.
- EDSA-Leitlinien: Der Verwaltungsgerichtshof zog mehrfach die Leitlinien 04/2022 zur Berechnung von Geldbußen zur Auslegung heran, um beispielsweise das Verschulden im vorliegenden Fall zu beurteilen. Die Leitlinien werden von allen Datenschutzaufsichtsbehörden angewendet, um eine möglichst einheitliche Anwendung und Durchsetzung der DSGVO innerhalb der Europäischen Union zu gewährleisten.
- Verfahrenskosten: Der Kostenbeitrag für das Verwaltungsstrafverfahren nach § 64 Abs. 2 VStG darf bei besonders hohen Geldbußen nicht zu einem unverhältnismäßigen Ergebnis führen. Er wurde daher mit EUR 100.000 festgesetzt.
Das Erkenntnis enthält damit wesentliche Klarstellungen für die künftige Verhängung und Bemessung von Geldbußen nach der DSGVO.