Zu einem in Österreich betriebenen Kundenbindungsprogramm erkannte die Aufsichtsbehörde, dass die in diesem Zusammenhang verwendeten Formulare zur Einholung von Einwilligungserklärungen nicht den datenschutzrechtlichen Anforderungen entsprachen. Hierüber wurde ein Verwaltungsstrafverfahren eingeleitet. Jedoch nicht nur gegen die, das Kundenbindungsprogramm operativ betreibende Tochtergesellschaft, sondern auch gegen die Muttergesellschaft.

Unternehmensgegenstand der Muttergesellschaft ist – klassisch Holdinggesellschaft – jedoch bloß das Halten und die Verwaltung von Beteiligungen an Handelsunternehmen, an Touristikunternehmen sowie an Unternehmen im Bereich der Werbung und handelssektoralen Dienstleistungen. In die operative Tätigkeit der Tochtergesellschaft und des Kundenbindungsprogramms war die Muttergesellschaft nicht eingebunden.

Dennoch wurde gegen die Muttergesellschaft eine Geldstrafe von EUR 8.000.000 verhängt. Schließlich, so die Ansicht der Aufsichtsbehörde, wäre die Beschuldigte mit ihrer Tochtergesellschaft gemeinsam für die Verarbeitung im Zusammenhang mit dem Kundenbindungsprogramm verantwortlich. Denn hierfür reiche bereits, dass die Muttergesellschaft die strategische Ausrichtung und die finanziellen Mittel für das Kundenbindungsprogramm bereitgestellt habe. Mit dem Argument, dass die Tochtergesellschaft operativ eigenständig handle, die Einwilligungserklärungen ohne Einflussnahme der Muttergesellschaft gestaltet habe und diese nicht in die operative Datenverarbeitung im Kundenbindungsprogramm involviert sei, überzeugte die Muttergesellschaft die Aufsichtsbehörde nicht.

Das Verfahren über die gegen das Straferkenntnis erhobene Bescheidbeschwerde wurde zunächst wegen EuGH Deutsche Wohnen ausgesetzt, schließlich sei eine ähnliche Rechtsfrage zu behandeln und man wolle die Entscheidung des Gerichtshofs abwarten. Im Ergebnis wurde das Straferkenntnis behoben. Dies jedoch mit dem Argument, dass die Muttergesellschaft nicht gemeinsam mit ihrer Tochtergesellschaft für die Verarbeitung im Kundenbindungsprogramm verantwortlich ist, deshalb auch keine Verantwortliche ist und im Ergebnis nicht Adressat eine Geldstrafe nach der EU-DSGVO sein kann. Das EuGH-Urteil hätte man somit nicht abwarten müssen.

Die Rechtsansicht der Aufsichtsbehörde verneinte das Verwaltungsgericht mit folgenden Argumenten:

• Die in der EU-DSGVO vorgesehenen Grundsätze, Verbote und Pflichten richten sich insbesondere an Verantwortliche.
• Alleine die Gründung einer Tochtergesellschaft und die strategische Festlegung in der Konzeptionsphase, schafft noch keine wesentlichen Entscheidungen über Zweck und Mittel einer Datenverarbeitung durch das Tochterunternehmen.
• Da die Muttergesellschaft ab der Aufnahme des operativen Geschäftsbetriebes des Tochterunternehmens keinerlei Leitungs- und Kontrolltätigkeiten in Bezug auf deren Tätigkeit vorgenommen oder veranlasst hat, fehlt es am für die gemeinsame Verantwortlichkeit iSd Art 26 EU-DSGVO erforderlichen, gewollten und bewussten Zusammenarbeit der Beteiligten, die wesentliche Entscheidungen über Zweck und Mittel einer Datenverarbeitung zu treffen.
• Eine Verantwortlichkeit der Muttergesellschaft scheidet dementsprechend aus.