Bundesverwaltungsgericht W214 2251351-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 28.11.2022
• ECLI: ECLI:AT:BVWG:2022:W214.2251351.1.00

Spruch

W214 2251351-1/5E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX gegen den Teilbescheid der Datenschutzbehörde vom 22.12.2021, Zl. D130.740 2021-0.874.430, zu Recht erkannt:

A)

Der Beschwerde wird gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) stattgegeben und der angefochtene Bescheid ersatzlos behoben.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang

1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 13.07.2021 (verbessert mit Eingaben vom 07.10.2021 und 27.10.2021) machte der Beschwerdeführer eine Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO, im Recht auf Berichtigung gemäß Art. 16 DSGVO, im Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu sein, gemäß Art. 22 DSGVO sowie im Grundrecht auf Datenschutz gemäß § 1 Abs. 1 DSG durch die XXXX (mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht) sowie die XXXX (Zweitbeschwerdegegnerin im Verfahren vor der belangten Behörde) geltend. Dazu wurde zusammengefasst vorgebracht, dass infolge einer Suchanfrage auf der Suchmaschine „ XXXX “ nach dem Namen des Beschwerdeführers bei den Vorschlägen für Unternehmen seine Rechtsanwaltskanzlei mit seinem Namen, Adresse, Öffnungszeiten, Telefonnummer und Bilddarstellungen angezeigt werde. Er habe kein „ XXXX “, diese Daten nicht angelegt und daher zu keiner Zeit in die Veröffentlichung der Daten eingewilligt. Diese Darstellung sei eine Veröffentlichung eigener Inhalte durch XXXX und würden die Inhalte durch ein Profiling, in seinem Fall insbesondere Analyse des Aufenthaltsortes, Darstellung von automatisiert überprüften Bildern seiner Person und Auswertung der „Stoßzeiten“, kreiert. Zudem seien die Daten nicht korrekt, die Öffnungszeiten seien falsch, bei den abgebildeten Personen handle es sich wiederholt nicht um seine Person und die veröffentlichten „Stoßzeiten“ würden nicht die tatsächliche Besucherfrequenz der Kanzlei widerspiegeln. Er habe umgehend nach Kenntniserlangung einen Antrag auf Löschung des Accounts bzw. der Veröffentlichung seiner Daten sowie implizit einen Antrag auf Berichtigung gestellt, seine Begehren seien jedoch abgelehnt worden.

Der Datenschutzbeschwerde wurde ein exemplarischer Screenshot einer durchgeführten Suchanfrage (Beilage ./A) vom 13.05.2021, ein ausgefülltes Antragsformular zum Löschen personenbezogener Daten der mitbeteiligten Partei (Beilage ./B) sowie ein Antwortschreiben der mitbeteiligten Partei vom 09.12.2020 (Beilage ./C) beigefügt.

2.1. Mit Teilbescheid der belangten Behörde vom 10.12.2021, GZ D130.740 2021-0.757.153, wurde die Datenschutzbeschwerde des Beschwerdeführers wegen Verletzung in den Rechten auf Berichtigung sowie einer nicht ausschließlich automatisierten Entscheidung im Einzelfall unterworfen zu sein, als unbegründet abgewiesen.

Begründend führte die belangte Behörde aus, dass der Beschwerdeführer vor Erhebung der Beschwerde bei der belangten Behörde weder einen Antrag auf Berichtigung noch einen Antrag gegen eine automatisierte Entscheidung im Einzelfall gestellt habe, weshalb ein nicht behebbarer Mangel vorliege und die Beschwerde diesbezüglich abzuweisen gewesen sei.

2.2. Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht Bescheidbeschwerde an das Bundesverwaltungsgericht.

3. Mit dem angefochtenen Bescheid setzte die belangte Behörde das Verfahren gegen die mitbeteiligte Partei hinsichtlich der behaupteten Verletzungen im Recht auf Löschung sowie im Recht auf Geheimhaltung bis zur Feststellung der federführenden Aufsichtsbehörde und bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses aus.

Begründend wurde (nach Wiederholung des Verfahrensganges) festgehalten, dass die gegenständliche Beschwerde einen Sachverhalt betreffe, der iSd Art. 56 und 60 DSGVO nicht der alleinigen Zuständigkeit der belangten Behörde unterliege. Die federführende Zuständigkeit obliege gemäß Art. 56 Abs. 1 DSGVO jener Aufsichtsbehörde, in deren Sprengel die mitbeteiligte Partei ihre Hauptniederlassung oder einzige Niederlassung habe. Dies sei im gegenständlichen Verfahren vermutlich die irische Aufsichtsbehörde. Die belangte Behörde habe gemäß Art. 56 Abs. 1 DSGVO iVm § 24 Abs. 10 Z 2 DSG für die Zeit des Verfahrens zur Ermittlung einer federführenden Aufsichtsbehörde und während der federführenden Zuständigkeit einer Aufsichtsbehörde gemäß Art. 56 oder Art. 60 DSGVO von Amts wegen das Beschwerdeverfahren gemäß § 24 DSG auszusetzen. Die Zeiten in Verfahren zur Ermittlung einer federführenden bzw. vor einer federführenden Aufsichtsbehörde würden nicht in die Frist gemäß § 73 AVG eingerechnet. Das Beschwerdeverfahren sei spruchgemäß bis zur Ermittlung bzw. Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses auszusetzen gewesen.

4. Gegen diesen hier verfahrensgegenständlichen Teilbescheid erhob der Beschwerdeführer mit Schriftsatz vom 20.01.2022 fristgerecht eine Beschwerde an das Bundesverwaltungsgericht.

Darin wurde (nach Wiederholung des Sachverhaltes und Vorbringens im behördlichen Verfahren) ausgeführt, dass im vorliegenden Fall die Voraussetzungen für eine bescheidförmige Aussetzung nicht vorliegen würden. Richtig sei zwar, dass nach Art 56 Abs. 1 DSGVO jene Aufsichtsbehörde die federführende sei, in welcher der Verantwortliche die Hauptniederlassung bzw. einzige Niederlassung habe, doch existiere sehr wohl auch eine österreichische Niederlassung (die Zweitbeschwerdegegnerin). Aus der Bescheidbegründung des angefochtenen Bescheides sei nicht ersichtlich, dass die belangte Behörde Ermittlungen betreffend die Zweitbeschwerdegegnerin im Lichte der Frage der Zuständigkeit durchgeführt hätte. Unklar sei nun, auf welcher rechtlichen Basis die belangte Behörde zum Ergebnis der bescheidförmigen Aussetzung des Verfahrens gelangt sei. Die Behörde führe die Bestimmungen des § 24 Abs. 10 Z 2 DSG (iVm Art 56 Abs. 1 DSGVO) an. Richtigerweise enthalte § 24 Abs. 10 Z 2 DSG aber keine rechtliche Grundlage für eine Verfahrensaussetzung, sondern sehe lediglich vor, dass "die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO" in die Entscheidungsfrist nach § 73 AVG "nicht eingerechnet" werde. Diese Bestimmung sei offenkundig dem insoweit gleichlautenden § 8 Abs. 2 VwGVG nachgebildet. Auch dort sei eine Hemmung des Fristenlaufes, aber keine eigenständige Rechtsgrundlage für eine Aussetzung des Verfahrens normiert. Eine Aussetzung des Verfahrens sei auch nach § 38 AVG nicht möglich. Im vorliegenden Fall liege keine Vorfrage, die als Hauptfrage (präjudiziell) von einer anderen Verwaltungsbehörde bzw. einem Gericht zu entscheiden wäre, vor. Auch die DSGVO sehe keine Rechtsgrundlage für eine Aussetzung des Verfahrens vor. Zwar sei es richtig, dass Art 56 DSGVO u.a. die Aufsichtsbehörde der Hauptniederlassung des Verantwortlichen als die „federführende Aufsichtsbehörde" gemäß dem Verfahren nach Artikel 60 bestimme, doch normiere Art. 60 DSGVO keine Alleinzuständigkeit der Aufsichtsbehörde der Hauptniederlassung bzw. der einzigen Niederlassung für die Verfahrensabwicklung und (inhaltliche) Entscheidungsfindung, sondern eine spezielle Form der Zusammenarbeit. Auch in den Erwägungsgründen der Verordnung werde mehrfach die Zusammenarbeit der Behörden und nicht die Tätigkeit einer federführenden, bei gleichzeitiger Untätigkeit der nicht-federführenden Behörde betont. Hinzu komme, dass das Instrument der Aussetzung auch die Rechtsposition des Beschwerdeführers in – einer auch unionsrechtlich – unzulässigen Weise beeinträchtige. Würde das Verfahren also rechtskräftig ausgesetzt werden, müsste der Beschwerdeführer zuwarten bis der Aussetzungsbescheid nach Abschluss des Verfahrens durch die federführende Behörde behoben sei. Diese ausgesprochen eingeschränkte Rechtsposition, die in grundlegendem Widerspruch zu den sonst vorgesehen Rechten der Partei im Verfahren stehe, würde auch völlig losgelöst von der tatsächlichen Dauer des Verfahrens vor der federführenden Aufsichtsbehörde bestehen. Dass dies – jedenfalls potentiell – in einem Spannungsverhältnis, wenn nicht in Widerspruch zu vor allem Art 41 sowie Art 47 GRC stehe, werde als notorisch betrachtet. Der durch die belangte Behörde bescheidförmig verfügten Aussetzung des Verfahrens mangle es daher bereits an einer einfachgesetzlichen Rechtsgrundlage, insbesondere sei das Vorgehen auch durch § 24 DSG nicht gedeckt, zudem bestehe auch ein Spannungsverhältnis bzw. Widerspruch zu unionsrechtlichen Vorgaben.

5. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie ausführte, dass das Beschwerdevorbringen zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde. Sofern der Beschwerdeführer vorbringe, es existiere auch eine österreichische Niederlassung, sei darauf hinzuweisen, dass der angefochtene Teilbescheid – wie aus dem Spruch ersichtlich – lediglich das Verfahren betreffend die behauptete Rechtsverletzung durch die mitbeteiligte Partei aussetze, nicht jedoch das Verfahren gegen die Zweitbeschwerdegegnerin.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Mit Datenschutzbeschwerde vom 13.07.2021 (verbessert mit Eingaben vom 07.10.2021 und 27.10.2021) machte der Beschwerdeführer eine Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO, im Recht auf Berichtigung gemäß Art. 16 DSGVO, im Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu sein, gemäß Art. 22 DSGVO sowie im Grundrecht auf Datenschutz gemäß § 1 Abs. 1 DSG durch die XXXX (mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht) sowie die XXXX (Zweitbeschwerdegegnerin im Verfahren vor der belangten Behörde) geltend.

Mit Teilbescheid der belangten Behörde vom 22.12.2021, Zl. D130.740 2021-0.874.430, setzte die belangte Behörde das Verfahren gegen die mitbeteiligte Partei hinsichtlich der behaupteten Verletzungen im Recht auf Löschung sowie im Recht auf Geheimhaltung bis zur Feststellung der federführenden Aufsichtsbehörde und bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses aus.

Gegen diesen Teilbescheid erhob der Beschwerdeführer fristgerecht Beschwerde an das Bundesverwaltungsgericht.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und sind unstrittig.

3. Rechtliche Beurteilung:

Zu A)

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkraftretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. Zu Spruchteil A):

3.3.1. Rechtslage:

Die belangte Behörde hat ihrem Teilbescheid vom 22.12.2021 – soweit für das gegenständliche Verfahren relevant – folgende Rechtsgrundlagen zugrunde gelegt:

§ 24 Abs. 1 und Abs. 10 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999 idgF sowie Art. 56 Abs. 1, 60 Abs. 1 und 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 vom 4.5.2016, S. 1. Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus sind die Art. 4 Z 21 bis 23 sowie 51 und 65 DSGVO und die §§ 38 sowie 73 Abs. 1 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl. Nr. 51/1991 (WV) idgF relevant.

§ 24 Abs. 1 und 10 DSG samt Überschrift lauten:

㤠24 DSG

Beschwerde an die Datenschutzbehörde

(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.“

§ 38 Abs. 1 AVG lautet:

„§ 38. Sofern die Gesetze nicht anderes bestimmen, ist die Behörde berechtigt, im Ermittlungsverfahren auftauchende Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, nach der über die maßgebenden Verhältnisse gewonnenen eigenen Anschauung zu beurteilen und diese Beurteilung ihrem Bescheid zugrunde zu legen. Sie kann aber auch das Verfahren bis zur rechtskräftigen Entscheidung der Vorfrage aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei der zuständigen Verwaltungsbehörde bzw. beim zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.“

§ 73 Abs. 1 AVG samt Überschrift lautet:

„3. Abschnitt: Entscheidungspflicht

§ 73. (1) Die Behörden sind verpflichtet, wenn in den Verwaltungsvorschriften nicht anderes bestimmt ist, über Anträge von Parteien (§ 8) und Berufungen ohne unnötigen Aufschub, spätestens aber sechs Monate nach deren Einlangen den Bescheid zu erlassen. Sofern sich in verbundenen Verfahren (§ 39 Abs. 2b) aus den anzuwendenden Rechtsvorschriften unterschiedliche Entscheidungsfristen ergeben, ist die zuletzt ablaufende maßgeblich.“

Art. 4 Z 21 bis 23 DSGVO lauten:

„Art. 4 DSGVO

Begriffsbestimmungen

21. Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle;

22. „betroffene Aufsichtsbehörde“ eine Aufsichtsbehörde, die von der Verarbeitung personenbezogener Daten betroffen ist, weil

a) der Verantwortliche oder der Auftragsverarbeiter im Hoheitsgebiet des Mitgliedstaats dieser Aufsichtsbehörde niedergelassen ist,

b) diese Verarbeitung erhebliche Auswirkungen auf betroffene Personen mit Wohnsitz im Mitgliedstaat dieser Aufsichtsbehörde hat oder haben kann oder

c) eine Beschwerde bei dieser Aufsichtsbehörde eingereicht wurde;

23. „grenzüberschreitende Verarbeitung“ entweder

a) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder

b) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann;“

Art. 51 Abs. 1 und 2 DSGVO lauten:

„Art. 51 DSGVO

Aufsichtsbehörde

(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).

(2) Jede Aufsichtsbehörde leistet einen Beitrag zur einheitlichen Anwendung dieser Verordnung in der gesamten Union. 2Zu diesem Zweck arbeiten die Aufsichtsbehörden untereinander sowie mit der Kommission gemäß Kapitel VII zusammen.“

Art. 56 Abs. 1 DSGVO lautet:

„Art. 56 DSGVO

Zuständigkeit der federführenden Aufsichtsbehörde

(1) Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.“

Art. 60 Abs. 1 DSGVO lautet:

„Art. 60 DSGVO

Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden

(1) Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.“

Art. 65 Abs. 1 DSGVO lautet:

„Art. 65 DSGVO

Streitbeilegung durch den Ausschuss

(1) Um die ordnungsgemäße und einheitliche Anwendung dieser Verordnung in Einzelfällen sicherzustellen, erlässt der Ausschuss in den folgenden Fällen einen verbindlichen Beschluss:

a) wenn eine betroffene Aufsichtsbehörde in einem Fall nach Artikel 60 Absatz 4 einen maßgeblichen und begründeten Einspruch gegen einen Beschlussentwurf der federführenden Aufsichtsbehörde eingelegt hat und sich die federführende Aufsichtsbehörde dem Einspruch nicht angeschlossen hat oder den Einspruch als nicht maßgeblich oder nicht begründet abgelehnt hat. Der verbindliche Beschluss betrifft alle Angelegenheiten, die Gegenstand des maßgeblichen und begründeten Einspruchs sind, insbesondere die Frage, ob ein Verstoß gegen diese Verordnung vorliegt,

b) wenn es widersprüchliche Standpunkte dazu gibt, welche der betroffenen Aufsichtsbehörden für die Hauptniederlassung zuständig ist,

c) wenn eine zuständige Aufsichtsbehörde in den in Artikel 64 Absatz 1 genannten Fällen keine Stellungnahme des Ausschusses einholt oder der Stellungnahme des Ausschusses gemäß Artikel 64 nicht folgt. In diesem Fall kann jede betroffene Aufsichtsbehörde oder die Kommission die Angelegenheit dem Ausschuss vorlegen.“

Art. 77 Abs. 1 DSGVO lautet:

„Art. 77 DSGVO

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

3.3. 2 Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

3.3.2.1. Die Beurteilung der Wirksamkeit einer Verfahrenshandlung, hier der Erlassung eines Aussetzungsbescheids, ist als solche nach der im Zeitpunkt der Setzung der Verfahrenshandlung geltenden (Verfahrens-)Rechtslage zu beurteilen (VwGH 21.10.2004, 99/06/0016), sohin ist für die Beurteilung der Rechtmäßigkeit der Aussetzung des Verfahrens die Sachlage zum Zeitpunkt der Erlassung des Aussetzungsbescheids, dh der Zeitpunkt seiner Zustellung am 23.12.2021, zu Grunde zu legen.

3.3.2.2. Im vorliegenden Fall ist unstrittig, dass eine grenzüberschreitende Datenverarbeitung vorliegt. Das Verfahren über die Beschwerde einer betroffenen Person im Zusammenhang mit einer (innergemeinschaftlich) grenzüberschreitenden Datenverarbeitung besteht grundsätzlich aus drei Phasen. In einem ersten Schritt werden die beteiligten Aufsichtsbehörden und ihre jeweilige Rolle als federführende oder betroffene Aufsichtsbehörde bestimmt (Art 56 DSGVO). Jede Aufsichtsbehörde bestimmt ihre Rolle dabei grundsätzlich selbst; sie ist aber im Rahmen der allgemeinen Kooperationspflicht nach Art. 51 Abs. 2 S 2 DSGVO verpflichtet, sich mit den anderen Aufsichtsbehörden abzustimmen und um eine Konsens zu bemühen (vgl. Polenz in Simitis, Hornung, Spiecker [Hg.], Datenschutzrecht (2019) Art 65 Rz 16). In einem zweiten Schritt führt die federführende Aufsichtsbehörde das Kohärenzverfahren nach Art. 60 DSGVO und fasst über die Beschwerde einen – mangels Einspruch einer anderen Aufsichtsbehörde gemäß Art 60 Abs. 4 DSGVO für alle Aufsichtsbehörden verbindlichen – Beschluss (Art. 60 Abs. 6 DSGVO). Im letzten Schritt wird dieser Beschluss von der Aufsichtsbehörde, bei der die Beschwerde eingebracht worden ist, hinsichtlich ablehnender oder abweisender Spruchpunkte ihm gegenüber erlassen (Art. 60 Abs. 8 DSGVO). Über den Inhalt anderer Spruchpunkte wird er von der Aufsichtsbehörde, bei der die Beschwerde eingereicht worden ist, unterrichtet (Art. 60 Abs. 7 DSGVO).

Sind sich die beteiligten Aufsichtsbehörden u.a. über ihre jeweilige Zuständigkeit oder über den Inhalt des Beschlusses nicht einig, kann als Zwischenschritt jeweils ein Streitbeilegungsverfahren gemäß Art 65 DSGVO eingeleitet werden. In diesem Fall entscheidet der Europäische Datenschutzausschuss über die strittige Frage für die jeweiligen Aufsichtsbehörden verbindlich (zur Klärung von Zuständigkeitsfragen siehe auch Polenz in Simitis, Hornung, Spiecker [Hg.], Datenschutzrecht (2019) Art. 56 Rz 9 und Art. 65 Rz 13 ff; weiters Klabunde in Ehmann/Selmayr, Datenschutz-Grundverordnung² (2018) Art 65 Rz 9).

Die belangte Behörde führt im angefochtenen Bescheid aus, dass gemäß Art. 56 Abs. 1 DSGVO iVm § 24 Abs. 10 Z 2 DSG für die Zeit des Verfahrens zur Ermittlung einer federführenden Aufsichtsbehörde und während der federführenden Zuständigkeit einer Aufsichtsbehörde gemäß Art. 56 oder Art. 60 von Amts wegen das Beschwerdeverfahren gemäß § 24 DSG auszusetzen sei.

Wie der Beschwerdeführer in seiner Bescheidbeschwerde jedoch zutreffend ausführt, enthält § 24 Abs. 10 Z 2 DSG keine rechtliche Grundlage für eine Verfahrensaussetzung, sondern normiert lediglich eine Hemmung des Fristenlaufes dergestalt, dass „die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO" in die Entscheidungsfrist nach § 73 AVG "nicht eingerechnet" wird. § 24 Abs. 10 Z 2 DSG bildet aber selbst keine eigenständige Rechtsgrundlage für die von der belangten Behörde verfügte Verfahrensaussetzung.

Auch kommt eine Aussetzung nach § 38 AVG nicht in Betracht: Nach ständiger Rechtsprechung des Verwaltungsgerichtshofs ist unter einer Vorfrage im Sinne des § 38 AVG eine für die Entscheidung der Verwaltungsbehörde präjudizielle Rechtsfrage zu verstehen, über die als Hauptfrage von anderen Verwaltungsbehörden oder von den Gerichten oder auch von derselben Behörde, jedoch in einem anderen Verfahren, zu entscheiden ist. Präjudiziell – und damit Vorfragenentscheidung im verfahrensrechtlich relevanten Sinn – ist nur eine Entscheidung, die erstens eine Rechtsfrage betrifft, deren Beantwortung für die Hauptfragenentscheidung unabdingbar, das heißt eine notwendige Grundlage ist, und zweitens diese in einer die Verwaltungsbehörde bindenden Weise regelt. Dass es sich bei der Vorfrage um eine Frage handeln muss, über die von der anderen Behörde als Hauptfrage zu entscheiden ist, ergibt sich daraus, dass der besondere prozessökonomische Sinn der Vorschrift des § 38 AVG nur dann erreicht werden kann, wenn die andere Entscheidung, deren Ergehen abgewartet wird, in der Folge die Behörde bindet, wobei eine solche Bindungswirkung jedoch immer nur eine Entscheidung über eine Hauptfrage entfaltet (vgl. jüngst VwGH 27.06.2019, Ra 2019/02/0017, mwN).

Die Anwendbarkeit des § 38 AVG in Bezug auf ein Verfahren zur Bestimmung der federführenden Aufsichtsbehörde nach Art. 56 DSGVO scheitert bereits an der für die belangte Behörde verbindlichen Entscheidung eines anderen Gerichts oder einer anderen Behörde:

Die belangte Behörde hatte zum Zeitpunkt der Aussetzung des verwaltungsbehördlichen Verfahrens darüber zu entscheiden, ob sie bzw. welche Aufsichtsbehörde für die bei ihr eingebrachte Beschwerde federführend zuständig ist; ein Streitbeilegungsverfahren gemäß Art 65 DSGVO, in dem der Europäische Datenschutzausschuss für die belangte Behörde verbindlich über diese Frage absprechen hätte können, war nicht eingeleitet. Zum Zeitpunkt der Aussetzung war somit keine andere Behörde oder kein anderes Gericht befugt, für die belangte Behörde verbindlich darüber zu entscheiden, ob sie bzw. welche Aufsichtsbehörde für die bei ihr eingebrachte Beschwerde federführend ist. Es war der belangten Behörde – in diesem Verfahrensstadium – daher verwehrt, das Verfahren gemäß § 38 AVG auszusetzen.

Auf die Frage, inwieweit ein Kohärenzverfahren nach Art 60 DSGVO oder ein Streitbeilegungsverfahren nach Art 65 DSGVO eine Aussetzung nach § 38 AVG rechtfertigen könnte, musste vom erkennenden Gericht nicht weiter eingegangen werden, weil die für eine Aussetzung in Frage kommenden Verfahren zum Zeitpunkt der Aussetzung bereits eingeleitet worden hätten sein müssen oder zeitgleich mit der Aussetzung eingeleitet werden hätten müssen und zum Zeitpunkt der Erlassung des Aussetzungsbescheides weder Verfahren nach Art 60 noch nach Art 65 DSGVO eingeleitet waren bzw. eingeleitet worden sind. Im Übrigen ist darauf hinzuweisen, dass – wie der Beschwerdeführer ebenfalls zutreffend ausführt – Art. 60 DSGVO keine Alleinzuständigkeit der Aufsichtsbehörde der Hauptniederlassung bzw. der einzigen Niederlassung für die Verfahrensabwicklung und (inhaltliche) Entscheidungsfindung normiert, sondern eine Zusammenarbeit, bei welcher untereinander alle zweckdienlichen Informationen ausgetauscht werden sollen, weshalb eine Aussetzung des Verfahrens auch insofern nicht in Betracht kommt.

Da zum Zeitpunkt der Erlassung des Aussetzungsbescheids somit weder § 24 Abs. 10 Z 2 DSG noch eine andere Rechtsgrundlage eine Aussetzung des Beschwerdeverfahrens rechtfertigen konnte, war der Beschwerde stattzugeben und der angefochtene Teilbescheid ersatzlos zu beheben.

3.4. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Im gegenständlichen Fall liegt kein Parteiantrag auf Durchführung einer mündlichen Verhandlung vor und war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist zulässig, weil eine Rechtsfrage zu lösen waren, der grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommt. So fehlt es an Rechtsprechung des Verwaltungsgerichtshofs zur Rechtmäßigkeit einer bescheidförmigen Aussetzung eines Verfahrens bis zur Feststellung der federführenden Aufsichtsbehörde/bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses.