DSGVO: 13 Millionen Euro für Parteiaffinitäten

Ein Adressverlag hatte für rund 2,2 Millionen Menschen in Österreich sogenannte Parteiaffinitäten berechnet und gespeichert: statistische Wahrscheinlichkeitswerte dafür, wie sehr sich eine Person für die Wahlwerbung bestimmter Parteien interessieren könnte. Ein Teil dieser Werte wurde an Dritte verkauft. Die Datenschutzbehörde verhängte im Oktober 2019, auch wegen weiterer Vorwürfe, eine Geldbuße von 18 Millionen Euro, das Bundesverwaltungsgericht setzte sie Ende 2024 auf 16 Millionen Euro herab. Mit dem Erkenntnis Ro 2025/04/0007 vom 24. Juni 2026 hat der Verwaltungsgerichtshof das Verfahren abgeschlossen: Die Geldbuße beträgt 13 Millionen Euro, der Beitrag zu den Verfahrenskosten 100.000 Euro.

Die Entscheidung ist mehr als ein Schlussstrich unter einen prominenten Fall. Sie beantwortet mehrere Fragen, die für jedes Unternehmen von Gewicht sind, das personenbezogene Daten in größerem Umfang verarbeitet.

Wahrscheinlichkeitswerte sind personenbezogene Daten

Das Unternehmen hatte die Parteiaffinitäten als bloße Statistik eingestuft und nicht als personenbezogene Daten. Diese Einschätzung hielt schon vor dem Bundesverwaltungsgericht nicht stand: Informationen, die einer identifizierbaren Person zugeordnet werden, sind personenbezogene Daten, auch wenn sie auf Schätzungen beruhen. Das hatte der Europäische Gerichtshof bereits im Dezember 2017 in der Rechtssache Nowak (C-434/16) festgehalten, und auch die österreichische Datenschutzkommission und die Datenschutzbehörde hatten zuvor in diesem Sinn entschieden.

Aus einem Wert, der die vermutete Nähe zu einer politischen Partei abbildet, geht die politische Meinung hervor. Damit handelt es sich um besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Deren Verarbeitung ist grundsätzlich untersagt; eine ausdrückliche Einwilligung der Betroffenen lag nicht vor. Auch § 151 GewO, der Adressverlagen bestimmte Verarbeitungen für Marketingzwecke erlaubt, verlangt für solche Daten ein ausdrückliches Einverständnis.

Verschulden: eine Compliance-Struktur allein schützt nicht

Das Unternehmen hatte sich mit einem eigenen Projekt auf die DSGVO vorbereitet und Personen mit dem Datenschutz betraut. Sie vertraten die Auffassung, die statistischen Werte seien keine personenbezogenen Daten. Diese Rechtsansicht wurde als unvertretbar beurteilt, das Verhalten als grob fahrlässig. Das Vorbereitungsprojekt nimmt dem Verstoß nicht die Vorwerfbarkeit: Es hatte ihn gerade nicht verhindert. Bei der Bemessung der Strafe wirkt es allerdings sehr wohl mildernd — dazu unten.

Der Verwaltungsgerichtshof stellt klar, dass für die Bestrafung einer juristischen Person kein Handeln oder Wissen ihrer Leitungsorgane erforderlich ist. Er stützt sich dabei auf das Urteil des Europäischen Gerichtshofs in der Rechtssache Deutsche Wohnen (C-807/21). Nationale Vorschriften zum Verschulden, wie § 5 VStG, dürfen nicht über die Anforderungen des Art. 83 DSGVO hinausgehen. Entscheidend ist, ob sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens im Klaren sein konnte.

Eine Gesamtstrafe statt einer Addition von Einzelstrafen

Neben der Verarbeitung der Parteiaffinitäten waren dem Unternehmen eine fehlerhafte Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und ein unrichtiges Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) vorgeworfen worden. Beide Dokumente beruhten auf derselben Einstufung: Das Verzeichnis verneinte die Verarbeitung sensibler Daten, die Folgenabschätzung sah kein hohes Risiko. Das Bundesverwaltungsgericht hatte diese Verstöße als eigenständige Übertretungen gewertet.

Der Verwaltungsgerichtshof sieht das anders. Beide Dokumentationsmängel sind Folge derselben Fehlbeurteilung, nämlich der Einstufung der Parteiaffinitäten. Ein eigener Unrechtsgehalt kommt ihnen nicht zu; sie werden vom Hauptverstoß konsumiert. Eine Konsumtion liegt nach der Rechtsprechung des Gerichtshofs vor, wenn durch zwei Übertretungen dasselbe Rechtsgut verletzt wird und das eine Delikt das andere zwingend nach sich zieht.

Für die verbleibenden Verstöße gilt Art. 83 Abs. 3 DSGVO: Verstößt ein Verantwortlicher bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen gegen mehrere Bestimmungen, ist eine Gesamtstrafe zu verhängen, deren Betrag den Betrag für den schwersten Verstoß nicht übersteigen darf. Diese Regel geht dem Kumulationsprinzip des § 22 VStG vor, das für jede Übertretung eine eigene Strafe vorsieht.

Bemessung: der weltweite Konzernumsatz zählt

Für den Strafrahmen stellen Art. 83 Abs. 4 und 5 DSGVO auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahrs ab, zugrunde gelegt wurden die festgestellten Konzernumsätze — für 2018 knapp zwei, für 2023 gut 2,7 Milliarden Euro. Für eine Bemessung am tatbezogenen Umsatz, wie sie das Unternehmen anstrebte, fehlt eine rechtliche Grundlage; auch die Leitlinien des Europäischen Datenschutzausschusses zur Bußgeldberechnung bieten dafür keinen Anhaltspunkt.

Die Strafbemessung ist eine Ermessensentscheidung, die sich an den Kriterien des Art. 83 Abs. 2 DSGVO und des § 19 VStG orientiert. Hier hat der Verwaltungsgerichtshof das Bundesverwaltungsgericht in einem Punkt korrigiert, der für die Praxis der wichtigste des ganzen Erkenntnisses ist: Die Maßnahmen, die das Unternehmen zur Verhinderung eines Verstoßes getroffen hatte, sind beim Grad der Verantwortung nach Art. 83 Abs. 2 lit. d DSGVO zu seinen Gunsten zu berücksichtigen. Zusammen mit den gegenüber zahlreichen Betroffenen abgegebenen Unterlassungserklärungen und der außergewöhnlich langen Verfahrensdauer von rund 66 Monaten trägt das die Herabsetzung von sechzehn auf dreizehn Millionen Euro. Nicht zusätzlich mildernd wirken das Fehlen früherer Verstöße — das hatte das Bundesverwaltungsgericht bereits als Fehlen eines Erschwerungsgrundes berücksichtigt — und ein Geständnis, das sich auf die Tatsachen beschränkte, ohne die eigene Verantwortung anzuerkennen. Erschwerend wirkte der wirtschaftliche Vorteil, den das Unternehmen unter anderem aus dem Verkauf der Daten gezogen hatte.

Verfahrenskosten: keine versteckte Zusatzstrafe

Nach § 64 Abs. 2 VStG beträgt der Beitrag zu den Kosten des Strafverfahrens zehn Prozent der verhängten Strafe. Bei 13 Millionen Euro wären das 1,3 Millionen Euro gewesen. Der Verwaltungsgerichtshof hält das für unverhältnismäßig: Die DSGVO legt in Art. 83 Abs. 4 bis 6 Höchstbeträge für Geldbußen fest, § 64 VStG kennt für den Kostenbeitrag dagegen keine Obergrenze. Das Unternehmen hatte darin eine sachlich nicht rechtfertigbare Zusatzstrafe gesehen; der Gerichtshof hielt den Betrag wegen dieser außergewöhnlichen Umstände für überhöht und damit unverhältnismäßig. Er setzte ihn mit 100.000 Euro fest.

Was Unternehmen daraus mitnehmen

Scores und Wahrscheinlichkeitswerte sind personenbezogene Daten, sobald sie einer Person zugeordnet werden. Wer aus ihnen auf politische Meinung, Gesundheit, Religion oder andere sensible Merkmale schließt, verarbeitet besondere Datenkategorien und braucht dafür eine ausdrückliche Einwilligung oder einen anderen Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO.

Datenschutzorganisation ersetzt keine tragfähige Rechtsprüfung — zahlt sich aber aus. Ein Projekt und benannte Zuständige verhindern die Strafe nicht, wenn die grundlegende Einordnung der Daten falsch ist. Bei der Bemessung der Strafe hat der Verwaltungsgerichtshof die getroffenen Vorkehrungen jedoch ausdrücklich zugunsten des Unternehmens gewertet. Bei Zweifelsfragen von diesem Gewicht verdient die Einordnung eine eigenständige rechtliche Prüfung, und ihre Grundlagen sollten dokumentiert sein.

Die Geldbuße bemisst sich am Konzernumsatz, nicht am Umsatz aus der beanstandeten Verarbeitung. Für Unternehmen in Konzernstrukturen kann das der maßgebliche Rahmen sein, auch wenn nur eine Gesellschaft betroffen ist.

Kooperation und Abhilfe wirken mildernd. Zusammenarbeit mit der Behörde, Löschung der Daten und Unterlassungserklärungen gegenüber Betroffenen wurden zugunsten des Unternehmens gewertet. Ein Geständnis wirkt allerdings nur dann mildernd, wenn es die eigene Verantwortung einschließt.

Folgeverstöße aus derselben Fehlbeurteilung wurden hier nicht gesondert bestraft. Wer eine Datenkategorie falsch einordnet, macht zwangsläufig auch Folgenabschätzung und Verarbeitungsverzeichnis fehlerhaft. Ob solche Verstöße vom Hauptverstoß aufgezehrt werden, hängt aber vom Einzelfall ab; darauf verlassen kann man sich nicht.