Der Gebrauch von Cookies erlaubt uns Ihre Erfahrung auf dieser Website zu optimieren. Wir verwenden Cookies zu Statistikzwecken und zur Qualitätssicherung. Durch Fortfahren auf unserer Website stimmen Sie dieser Verwendung zu.

Weitere Informationen

Navigation

Image-Film abspielen

Neuigkeiten

weitere News

Inhalt

16.7.2026 DSGVO: Unrechtmäßige Verarbeitung von „Partei-Affinitäten“ - VwGH setzt Geldbuße auf 13 Mio. Euro herab und Verfahrenskosten mit 100.000 Euro fest

Ro 2025/04/0007 vom 24. Juni 2026

Das der vorliegenden Entscheidung zugrundeliegende Verfahren läuft seit 2019 und war unter unterschiedlichen Aspekten bereits zweimal vom VwGH zu behandeln (siehe die Entscheidungen vom 14. Dezember 2021, Ro 2021/04/0007 und vom 1. Februar 2024, Ra 2020/04/0187).

Der VwGH entschied vorliegend über die gegen eine Unternehmerin verhängte Geldbuße. Von der Unternehmerin wurden personenbezogene Daten von Werbeadressaten gesammelt und verwaltet. Diese personenbezogenen Daten stellte die Unternehmerin (wahl-)werbetreibenden Kunden für Werbemaßnahmen entgeltlich zur Verfügung. Das Bundesverwaltungsgericht hatte die Geldbuße der Datenschutzbehörde (DSB) wegen Verstößen gegen die DSGVO auf 16 Mio. Euro herabgesetzt, die Verstöße dem Grunde nach im Wesentlichen aber bestätigt. Die Unternehmerin erhob gegen das Erkenntnis des Bundesverwaltungsgerichts Revision an den VwGH.

Die Unternehmerin berechnete und speicherte zwischen Mai 2018 und Februar 2019 für rund 2,2 Millionen Personen sogenannte „Partei-Affinitäten“. Diese statistischen Wahrscheinlichkeitswerte gaben an, wie sehr sich eine Person für Wahlwerbung bestimmter Parteien interessieren könnte und wurden teilweise an Dritte verkauft. Zudem verarbeitete das Unternehmen Daten über die Paketfrequenz aus dem Zustellbereich für Marketingzwecke weiter, ohne hierfür eine Einwilligung einzuholen.

Die DSB verhängte mit Straferkenntnis eine Geldbuße von 18 Mio. Euro sowie einen Beitrag zu den Kosten des Strafverfahrens von 1,8 Mio. Euro.

Das Bundesverwaltungsgericht gab der dagegen erhobenen Beschwerde teilweise Folge. Es stellte das Verfahren ein, soweit es den Vorwurf der unrechtmäßigen Verarbeitung von „Umzugsaffinitäten“ betraf. Es schränkte den Tatzeitraum hinsichtlich der Paketfrequenzen ein. Es bestätigte jedoch die unrechtmäßige Verarbeitung der Partei-Affinitäten als besondere Kategorie personenbezogener Daten sowie die Vorwürfe zur Fehlerhaftigkeit der Datenschutz-Folgenabschätzung (DSFA) und des Verzeichnisses von Verarbeitungstätigkeiten (VVZ). Das Bundesverwaltungsgericht reduzierte die Geldbuße auf 16 Mio. Euro und setzte den Beitrag zu den Kosten des Strafverfahrens mit 1,6 Mio. Euro fest. Dabei wertete es das Verhalten der Verantwortlichen als grob fahrlässig, weil das interne Kontrollsystem grundlegende juristische Fehlinterpretationen nicht verhindert habe.

Der VwGH setzt sich in der vorliegenden Entscheidung mit der Frage des Verschuldens, der Konkurrenz von Tatbeständen und der Verhältnismäßigkeit der Kosten des Strafverfahrens auseinander.

Die Unternehmerin argumentierte in der Revision, sie habe nicht schuldhaft gehandelt, weil sie ein umfassendes Compliance-System („Fit für die DSGVO“) eingerichtet und die Rechtslage intern sowie durch Experten geprüft habe, sie habe damals die Ansicht vertreten, dass statistisch berechnete Wahrscheinlichkeitswerte (Affinitäten) keine personenbezogenen Daten seien.

Der VwGH wies die Revision in diesem Punkt unter Verweis auf die Rechtsprechung des EuGH als unbegründet ab. Für die Bestrafung einer juristischen Person ist kein Handeln oder Wissen der Leitungsorgane erforderlich. Es genügt, dass der Verantwortliche schuldhaft (vorsätzlich oder fahrlässig) gehandelt hat. Für das Verschulden des Verantwortlichen für Verstöße gegen die DSGVO wird darauf abgestellt, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte. Bewusstsein über den Rechtsverstoß ist keine Voraussetzung des Verschuldens. Die Einstufung von Parteiaffinitäten als nicht personenbezogen durch die Unternehmerin war unvertretbar. Bereits vor 2018 war durch die Rechtsprechung der Datenschutzbehörden geklärt, dass Informationen, die einer identifizierbaren Person zugeordnet werden, personenbezogene Daten sind - auch wenn sie auf Schätzungen beruhen. Da die Unternehmerin über erhebliche Mittel zur rechtlichen Prüfung verfügte, die bestehende Entscheidungspraxis aber dennoch fehlinterpretierte, bestätigte der VwGH die Beurteilung des Bundesverwaltungsgerichts, die Rechtsansicht der Unternehmerin, dass es sich bei den Parteiaffinitäten als statistische Werte nicht um personenbezogene Daten handle, begründe grobe Fahrlässigkeit.

Ein weiterer Vorwurf gegen die Unternehmerin betraf die Mangelhaftigkeit der Datenschutz-Folgenabschätzungen (DSFA) und den Verzeichnissen von Verarbeitungstätigkeiten (VVZ). In diesen Dokumenten hatte die Unternehmerin die Verarbeitung sensibler Daten verneint. Der VwGH sieht in diesem Punkt eine Konsumtion des Tatverhaltens. Dass die personenbezogenen Daten nicht in die DSFA und in das VVZ aufgenommen worden waren, war eine Folge der Fehlbeurteilung, es handle sich nicht um personenbezogene Daten und damit auch nicht um besondere Kategorien von personenbezogenen Daten. Der Unwert des Verstoßes gegen Dokumentationspflichten wird bereits durch die Bestrafung der unrechtmäßigen Verarbeitung selbst vollständig erfasst, eine zusätzliche Bestrafung ist unzulässig. Der VwGH stellte das Verfahren zu diesen Vorwürfen ein.

Betreffend die von der Unternehmerin bemängelten Strafbemessung wertete der VwGH als mildernd die von der Unternehmerin getroffenen Maßnahmen zur Verhinderung eines Verstoßes, die gegenüber zahlreichen Betroffenen abgegebenen Unterlassungserklärungen, sowie die außergewöhnlich lange Verfahrensdauer von etwa 66 Monaten. Der VwGH sah die Berücksichtigung des Fehlens früherer Verstöße gegen die DSGVO als zusätzlich mildernden Umstand nicht für geboten, weil das Bundesverwaltungsgericht bereits das Fehlen früherer Verstöße als Fehlen eines Erschwernisgrundes einer „einschlägigen Vorstrafe“ gewertet hatte.

Der VwGH wies die Revision zum Teil zurück, zum Teil wies er die Revision als unbegründet ab, schließlich gab er der Revision teilweise Folge und erkannte in der Sache selbst. Zusammengefasst bestätigte der VwGH in seiner Sachentscheidung die Spruchpunkte I. (Verarbeitung von „Partei-Affinitäten“) und II. a) 1.) (Verarbeitung der „Paketfrequenz“) des Straferkenntnisses. Hinsichtlich des Vorwurfs der Fehlerhaftigkeit der Datenschutz-Folgenabschätzung (DSFA) und des Verzeichnisses von Verarbeitungstätigkeiten (VVZ) stellte der VwGH das Verwaltungsstrafverfahren ein.

Der VwGH setzte die Geldbuße auf 13 Mio. Euro herab.

Der VwGH führt schließlich aus, dass die Festsetzung der Kosten des Strafverfahrens mit 1,3 Mio. Euro dem Unionsrecht widerspricht, weil dies zu einer sachlich nicht rechtfertigbaren Zusatzstrafe führt. Der VwGH setzte den Kostenbeitrag daher mit 100.000 Euro fest.

Volltext der Entscheidung

Kontakt für Rückfragen: 
Medienstelle des Verwaltungsgerichtshofes
Dr. Nikolaus Bachler
Telefon: (01) 531 11 - 252
E-Mail: medien@vwgh.gv.at

Der Verwaltungsgerichtshof ist das österreichische Höchstgericht in verwaltungsrechtlichen Angelegenheiten. Seine Entscheidungen unterliegen keinem weiteren Rechtszug.

Zum Seitenanfang / To Page Top