Scope of joint controller liability under Art. 26 GDPR: exclusion of parent company lacking operational influence over data processing purposes and means

Die Revision wird zurückgewiesen.

Der Bund hat der mitbeteiligten Partei Aufwendungen in der Höhe von € 1.106,40 binnen 14 Tagen bei sonstiger Exekution zu ersetzen.

11. Mit Straferkenntnis der Datenschutzbehörde vom 12. Oktober 2021 wurde der R AG (mitbeteiligte Partei) als datenschutzrechtlich (gemeinsam) Verantwortlichen im Sinne von Art. 4 Z 7 und Art. 26 DSGVO zur Last gelegt, die ab dem 2. Mai 2019 eingesetzten Formulare zur Einholung von Einwilligungserklärungen zur Verarbeitung von personenbezogenen Daten von den am [B Club] registrierten Personen zum Zweck des Profilings hätten nicht den datenschutzrechtlichen Anforderungen an eine wirksame Einwilligung gemäß Art. 4 Z 11 in Verbindung mit Art. 5 Abs. 1 lit. a und Art. 7 DSGVO entsprochen. Dadurch habe die Mitbeteiligte Verwaltungsübertretungen nach Art. 5 Abs. 1 lit. a in Verbindung mit Art. 7 Abs. 2 iVm Art. 83 Abs. 5 lit. a DSGVO begangen (Spruchpunkt I.).

2Des Weiteren wurde der Mitbeteiligten zur Last gelegt, dass als Folge der rechtsunwirksamen Einwilligungen die vom 2. Mai 2019 bis jedenfalls zum 31. Jänner 2021 erfolgten Verarbeitungen personenbezogener Daten der am [B Club] registrierten Personen zum Zweck des Profilings weder auf eine rechtswirksame Einwilligungserklärungen, noch auf einen der sonst von Art. 6 Abs. 1 DSGVO abschließend normierten Erlaubnistatbestände gestützt werden hätten können. Dadurch habe die Mitbeteiligte Verwaltungsübertretungen nach Art. 5 Abs. 1 lit. a iVm Art. 6 Abs. 1 iVm Art. 83 Abs. 5 lit. a DSGVO begangen. Das tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten der in dem Straferkenntnis genannten Mitglieder des Vorstands der Mitbeteiligten werde dieser als beschuldigter juristischer Person und datenschutzrechtlich (gemeinsam) Verantwortlichen im Sinne von Art. 4 Z 7 und Art. 26 DSGVO zugerechnet.

3Über die Mitbeteiligte wurde gemäß § 30 Abs. 1 und Abs. 2 Datenschutzgesetz (DSG) in Verbindung mit Art. 83 Abs. 5 lit. a DSGVO eine Geldbuße in der Höhe von € 8.000.000, verhängt. Ferner wurde ein Beitrag zu den Kosten des Strafverfahrens in der Höhe von € 800.000, festgesetzt.

42.1. Der gegen dieses Straferkenntnis erhobenen Beschwerde der Mitbeteiligten gab das Verwaltungsgericht mit dem im Revisionsverfahren angefochtenen Erkenntnis Folge, behob das angefochtene Straferkenntnis und stellte das Verwaltungsstrafverfahren ein. Die Revision erklärte das Verwaltungsgericht für nicht zulässig.

52.2. Das Verwaltungsgericht hielt im Rahmen der Wiedergabe des Verwaltungsgeschehens fest, die belangte Behörde habe im Rahmen eines amtswegigen Prüfverfahrens ein Verwaltungsstrafverfahren gegen die U GmbH als ausgewiesene datenschutzrechtlich Verantwortliche des [B Club] eingeleitet und mit Straferkenntnis vom 26. Juli 2021 erledigt. Das Verwaltungsgericht stellte fest, die Mitbeteiligte sei über die R Dienstleistungs-GmbH als Alleingesellschafterin an der U GmbH beteiligt. Unternehmensgegenstand der U GmbH sei der Betrieb eines Kundenbindungsprogramms, insbesondere mittels Rabatten und Hilfsdienstleistungen. Dabei handle es sich um den [B Club]. Die Geschäftsführer der U GmbH würden von deren Muttergesellschaft, der R DienstleistungsGmbH, bestellt. Es bestünden keine personellen Verflechtungen in den Leitungsorganen der Mitbeteiligten und der R DienstleistungsGmbH. Unternehmensgegenstand der Mitbeteiligten sei unter anderem das Halten und die Verwaltung von Beteiligungen an Handelsunternehmen, an Touristikunternehmen sowie an Unternehmen im Bereich von Werbung und handelssektoralen Dienstleistungen.

6In der Konzeptionsphase ab dem Jahr 2017 bis zum operativen Tätigwerden der U GmbH ab Mai 2019 sei seitens des Vorstands [der Mitbeteiligten] die strategische Ausrichtung des Kundenbindungsprogrammes festgelegt worden, wonach ein eigenes Multipartnersystem entstehen solle. Nach dem Ende der Konzeptionsphase seien die konkrete Umsetzung und Ausgestaltung des Kundenbindungsprogrammes durch die Geschäftsführung der U GmbH erfolgt. Die Mitbeteiligte bzw. ihre Vorstandsmitglieder seien darin nicht involviert gewesen. Die Umsetzungsphase habe insbesondere die konkrete Ausgestaltung der Datenverarbeitungstätigkeiten im Rahmen des Kundenbindungsprogrammes, die Ausgestaltung der Verträge mit den Kunden und der allgemeinen Geschäftsbedingungen, und der Einwilligungserklärung zum Profiling sowie die Erstellung der erforderlichen Unterlagen und die Etablierung der Prozesse zur Erfüllung der datenschutzrechtlichen Vorgaben (zum Beispiel Datenschutzerklärung, Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen gemäß Art. 43 DSGVO) umfasst. Die U GmbH habe sich dafür externer und interner Berater bedient. Zu den internen Beratern habe auch der seit 2018 tätige Konzerndatenschutzbeauftragte der Mitbeteiligten gezählt, der in einem Dienstverhältnis zur R DienstleistungsGmbH stehe.

7Am 2. Mai 2019 habe die U GmbH den operativen Geschäftsbetrieb des Kundenbindungsprogrammes und die damit verbundenen Datenverarbeitungsvorgänge aufgenommen. Dazu zähle auch die Durchführung von Profilbildungen aus den verschiedenen Datensätzen, die von den am Kundenbindungsprogramm teilnehmenden Kunden gewonnen würden.

82.3. In der rechtlichen Begründung führte das Verwaltungsgericht soweit hier relevant aus, die in der DSGVO vorgesehenen Grundsätze, Verbote und Pflichten würden sich insbesondere an „Verantwortliche“ richten. Deren Verantwortung und Haftung erstrecke sich nach den Ausführungen im 74. Erwägungsgrund der DSGVO auf jedwede Verarbeitung personenbezogener Daten, die durch sie oder in ihrem Namen erfolge. In diesem Rahmen müssten sie nicht nur geeignete und wirksame Maßnahmen treffen, sondern auch nachweisen können, dass ihre Verarbeitungstätigkeit im Einklang mit der DSGVO stünde und die Maßnahmen, die sie ergriffen hätten, um diesen Einklang herzustellen, auch wirksam seien. Der Verantwortliche sei Adressat von Ansprüchen der betroffenen Person und gelte als Ansprechstelle für Maßnahmen der Aufsichtsbehörde.

9Die Rolle des für die Verarbeitung Verantwortlichen definiere sich durch drei Merkmale: (1) jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle (personenbezogener Aspekt), (2) die allein oder gemeinsam mit anderen (pluralistische Kontrolle), (3) über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheide (Entscheidungsfunktion).

10Aus dem Umstand, dass die Mitbeteiligte die strategische Entscheidung getroffen habe, ein eigenes MultipartnerKundenbindungsprogramm einzurichten und zu diesem Zweck über die R DienstleistungsGmbH die U GmH gegründet habe und dieser wiederum unter Zuhilfenahme der R DienstleistungsGmbH die zum Betrieb des [B Club] Kundenbindungsprogrammes erforderlichen finanziellen und personellen Mittel bereitgestellt habe, habe die belangte Behörde eine gemeinsame datenschutzrechtliche Verantwortung der Mitbeteiligten und der U GmbH abgeleitet.

11Die Beschwerde stelle dies insbesondere mit dem Argument in Abrede, dass keine gemeinsame Entscheidung über die Zwecke und Mittel der Datenverarbeitungen vorliege. Die Mitbeteiligte sei an der Umsetzung des Kundenbindungsprogrammes nicht beteiligt gewesen.

12Dem Beschwerdevorbringen sei nach der Rechtauffassung des Verwaltungsgerichts zu folgen. Ein kooperatives Zusammenwirken zweier Akteure, wie es in der Rechtsprechung des Gerichtshofes der Europäischen Union (EuGH) gefordert werde, sei gegenständlich nicht erkennbar.

13Soweit die belangte Behörde in diesem Zusammenhang ausführe, hier liege eine Fallkonstellation vor, die jenem des Urteils des EuGH vom 10. Juli 2018, C25/17, Jehovan todistajat, entspreche, sei dem entgegenzuhalten, dass sich dieser Fall von dem vorliegenden unterscheide. In der Rechtssache Jehovan todistajat sei eine Verkündungstätigkeit von Tür zu Tür, im Rahmen derer die Datenerhebung erfolgt sei, von einer Religionsgemeinschaft organisiert und koordiniert worden. Die Mitbeteiligte sei hingegen seit Abschluss der Konzeptionsphase in die maßgeblichen Vorgänge nicht mehr involviert gewesen. Eine bewusste Einflussnahme auf konkrete Datenverarbeitungszwecke und mittel könne nicht gesehen werden.

14Entsprechendes gelte für die von der belangten Behörde angeführten Urteile des EuGH vom 29. Juli 2019, C40/17, Fashion ID, betreffend die Einbindung eines SocialPlugIns durch die Betreiber einer Webseite sowie vom 5. Juni 2018, C210/16, Wirtschaftsakademie SchleswigHolstein GmbH. Diese Fälle würden ebenfalls keine Parallelen zur gegenständlichen Konstellation aufweisen. Der EuGH habe im Übrigen in seinem Urteil vom 7. März 2024, C604/22, IAB Europe, betont, dass eine Person zum Vorliegen einer gemeinsamen Verantwortlichkeit tatsächlich Einfluss auf die Festlegung der Zwecke und Modalitäten einer Verarbeitung bzw. Weiterverarbeitung von Daten ausgeübt haben müsse.

15Vor diesem Hintergrund könne die Mitbeteiligte nicht als Verantwortliche für jene Datenverarbeitungen angesehen werden, auf die sich der Tatvorwurf gründe. Ihre Tätigkeit habe sich auf die Gründung der U GmbH sowie die strategische Festlegung in der Konzeptionsphase, dass ein eigenes MultipartnerKundenbindungsprogramm eingerichtet werden solle, beschränkt. Soweit die belangte Behörde ausführe, dass die Mitbeteiligte ab der Aufnahme des operativen Geschäftsbetriebes „keinerlei Leitungs und Kontrolltätigkeiten in Bezug auf die U GmbH vorgenommen oder veranlasst“ habe, zeige sie damit gerade das Fehlen einer gewollten und bewussten Zusammenarbeit der Beteiligten, die wesentlichen Entscheidungen über die Zwecke und Mittel der Datenverarbeitungen zu treffen, auf. Dies sei jedoch Voraussetzung, um eine gemeinsame Verantwortlichkeit zu begründen.

163. Gegen dieses Erkenntnis richtet sich die vorliegende Amtsrevision. Der Verwaltungsgerichtshof leitete das Vorverfahren ein. Die Mitbeteiligte erstattete eine Revisionsbeantwortung, in der sie die Zurück in eventu die Abweisung der Revision sowie die Zuerkennung des Schriftsatzaufwandes beantragte.

174. Nach Art. 133 Abs. 4 BVG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.

18Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegen der Voraussetzungen des Art. 133 Abs. 4 BVG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.

19Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 BVG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 BVG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.

205.1. In der Revision wird zur Begründung ihrer Zulässigkeit vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob die Gründung, Finanzierung und Förderung eines Kundenbindungsprogramms für konzerneigene Handelsunternehmen einen hinreichenden Einfluss auf die Datenverarbeitungen darstelle und eine Verantwortlichkeit begründe, auch wenn eine Gesellschaft in der Umsetzungsphase operativ nicht mehr involviert gewesen sei. Das Erkenntnis des Verwaltungsgerichts stehe außerdem in Widerspruch zur jüngeren Rechtsprechung des EuGH (Hinweis auf EuGH 5.12.2023, C683/21, Nacionalinis visuomenės sveikatos centras). Hätte das Verwaltungsgericht die angeführte Rechtsprechung des EuGH berücksichtigt, wäre es zu dem Schluss gekommen, dass die Mitbeteiligte für die hier relevanten Datenverarbeitung aus datenschutzrechtlicher Sicht verantwortlich sei.

215.2. Der EuGH hat zur Definition des Verantwortlichen nach Art. 4 Z 7 DSGVO im Kontext des Art. 26 DSGVO festgehalten, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann (EuGH 2.12.2025, C492/23, Russmedia Digital SRL, Rn. 58; 7.3.2024, C604/22, IAB Europe, Rn. 57; 5.12.2023, C683/21, Nacionalinis visuomenės sveikatos centras, Rn. 30; 10.7.2018, C25/17).

22Der EuGH führte zur Beurteilung der Stellung des Verantwortlichen im Sinne von Art. 2 lit. d der Richtlinie 95/46 in seinem Urteil vom 29. Juli 2019, C40/17, Fashion ID, in Rn. 74, aus, dass unbeschadet einer etwaigen insoweit im nationalen Recht vorgesehenen zivilrechtlichen Haftung, eine natürliche oder juristische Person für vor oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegt, nicht als im Sinne dieser Vorschrift verantwortlich angesehen werden kann (vgl. auch VwGH 27.3.2025, Ro 2022/04/0023, Rn. 22). Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet (vgl. EuGH 29.7.2019, C40/17, Fashion ID, Rn. 85; vgl. VwGH 27.6.2023, Ro 2023/04/00130015, Rn. 22).

23Die Mitwirkung an der Entscheidung über diese Zwecke und Mittel kann verschiedene Formen annehmen und sich sowohl aus einer gemeinsamen Entscheidung von zwei oder mehr Einrichtungen als auch aus übereinstimmenden Entscheidungen ergeben, die sich in einer Weise ergänzen, dass sich jede von ihnen konkret auf die Festlegung der Verarbeitungszwecke und mittel auswirkt (vgl. EuGH 7.3.2024, C-604/22, IAB Europe, Rn. 59; 5.12.2023, C683/21, Nacionalinis visuomenės sveikatos centras, Rn. 43).

24Um zu klären, ob die Mitbeteiligte als Verantwortliche im Sinne von Art. 4 Z 7 bzw. als gemeinsam Verantwortliche gemäß Art. 26 Abs. 1 DSGVO angesehen werden kann, ist nach der auf die Judikatur des EuGH bezugnehmenden Rechtsprechung des Verwaltungsgerichtshofes zu prüfen, ob sie unter Berücksichtigung der besonderen Umstände des vorliegenden Falles aus Eigeninteresse auf die fallgegenständliche Verarbeitung personenbezogener Daten Einfluss genommen und allenfalls gemeinsam mit anderen die Zwecke der und die Mittel zur fraglichen Verarbeitung festgelegt hat. Es ist daher die Frage zu klären, welche natürliche oder juristische Person jeweils die Entscheidung sowohl über den Zweck das „Warum“ als auch über die Mittel „auf welche Weise“ in Bezug auf die Datenverarbeitungen getroffen hat (vgl. VwGH 27.3.2025, Ro 2022/04/0023, Rn. 31).

25Entgegen den Ausführungen der Revision sind die Kriterien zur Beurteilung einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO anhand des Einflusses der beteiligten Personen auf die Datenverarbeitungen durch die zitierte Rechtsprechung des EuGH und die darauf bezugnehmende Rechtsprechung des Verwaltungsgerichtshofes geklärt.

265.3. Soweit die Revision vorbringt, das Ergebnis des Verwaltungsgerichts stehe im Widerspruch zum Urteil des EuGH vom 5. Dezember 2023, C683/21, Nacionalinis visuomenės sveikatos centras, ist dem entgegen zu halten, dass die U GmbH nach den Feststellungen des Verwaltungsgerichts von der Mitbeteiligten im Revisionsfall anders als im Ausgangsfall zu dem Urteil des EuGH vom 5. Dezember 2023 nicht mit der Entwicklung einer konkreten ITAnwendung zur Durchführung der Datenverarbeitungen beauftragt wurde. Die Revision behauptet auch nichts Gegenteiliges.

275.4. Eine im Einzelfall vorgenommene rechtliche Beurteilung kann nur dann die Zulässigkeit einer Revision begründen, wenn dies wegen einer krassen Fehlbeurteilung der einzelfallbezogenen Umstände durch das Verwaltungsgericht aus Gründen der Rechtssicherheit geboten ist (vgl. etwa VwGH 18.12.2025, Ro 2025/04/0027, Rn. 17; 1.8.2025, Ra 2023/04/0058, Rn. 21, mwN).

28Das Verwaltungsgericht führte zur Verantwortlichkeit der Mitbeteiligten aus, deren Tätigkeit habe sich auf die Gründung der U GmbH sowie die strategische Festlegung in der Konzeptionsphase, dass ein eigenes MultipartnerKundenbindungsprogramm eingerichtet werden solle, beschränkt. Soweit die belangte Behörde ausführe, dass die Mitbeteiligte ab Aufnahme des operativen Geschäftsbetriebes „keinerlei Leitungs und Kontrolltätigkeiten in Bezug auf die [U GmbH] vorgenommen oder veranlasst“ habe, zeige sie damit gerade das Fehlen einer gewollten und bewussten Zusammenarbeit der Beteiligten, die wesentlichen Entscheidungen über Zwecke und Mittel einer Datenverarbeitung zu treffen, auf. Dies sei jedoch Voraussetzung, um eine gemeinsame Verantwortlichkeit zu begründen.

29Die Revision tritt den entscheidungswesentlichen Feststellungen des Verwaltungsgerichts nicht entgegen. Sie zeigt mit ihrem Vorbringen auch nicht auf, dass dem Verwaltungsgericht mit der Würdigung, die Mitbeteiligte habe nach Abschluss der strategischen Konzeptionsphase keinen Einfluss auf die Zwecke und Mittel der von der U GmbH durchgeführten Datenverarbeitungen genommen und sei nicht als gemeinsam für die Verarbeitung Verantwortliche nach Art. 26 DSGVO anzusehen, eine krasse Fehlbeurteilung unterlaufen wäre.

306. Da die vorliegend zu klärenden Fragen des Unionsrecht durch die oben angeführte, gefestigte Rechtsprechung des EuGH bereits geklärt sind, war eine Vorlage an den EuGH nach Art. 267 AEUV nicht erforderlich (vgl. zur Begründungspflicht für Höchstgerichte jüngst EuGH 24.3.2026, C767/23, Remling).

317. In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 BVG grundsätzliche Bedeutung zukäme. Die Revision war daher gemäß § 34 Abs. 1 und 3 VwGG zurückzuweisen.

32Die Kostenentscheidung gründet sich auf die §§ 47 ff, insbesondere § 51 VwGG in Verbindung mit der VwGHAufwandersatzverordnung 2014.

Wien, am 14. April 2026