W274 2247619-1/4E
Das Bundesverwaltungsgericht erkennt durch Mag. LUGHOFER als Vorsitzenden sowie die fachkundigen Laienrichter Prof. KommR POLLIRER und Dr. GOGOLA als Beisitzer über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde vom 08.09.2021, GZ: D124.005, Beschwerdegegnerin vor de DSB „ XXXX (facebookprofil)“, wegen Verletzung im Recht auf Geheimhaltung, in nicht öffentlicher Sitzung den
BESCHLUSS:
Der Beschwerde wird Folge gegeben, der angefochtene Bescheid gemäß § 28 Abs 3 VwGVG aufgehoben und die Angelegenheit zur Verfahrensergänzung und Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwiesen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Begründung:
Mit E-Mail vom 09.01.2019 erhob XXXX (im Folgenden: Beschwerdeführer, BF), damals vertreten durch ZARA – Zivilcourage und Anti-Rassismus-Arbeit, Beschwerde an die Datenschutzbehörde (im Folgenden: belangte Behörde) gegen „ XXXX -Facebook Profil https://www.facebook.com/ XXXX “ (im Folgenden Beschwerdegegnerin, BG) und brachte vor, Frau XXXX habe auf Facebook den Arbeitsort, den Beruf und den Dienstgeber des BF einer breiten Öffentlichkeit bekannt gemacht. Das Originalposting sei mittlerweile gelöscht und daher auch der Kommentar der Beschwerdegegnerin nicht mehr aufrufbar. Es liege ein Screenshot bei. Der BF habe vom Verstoß am 14./15.08.2018 erfahren.
Beigelegt war ein Screenshot einer elektronischen Kommunikation, aus der sich unter anderem die folgende Nachricht ergibt:
„ XXXX
XXXX , das sind offenbar keine gestellten Szenen. Wie ich von einem XXXX -Manager hörte, ist der rechte XXXX aus XXXX und der linke sein Lebenspartner mit Migrationshintergrund. Wir versuchen nun zu ermitteln, welche Mutter hier ihr Kind verborgt hat …“
Nach einem Mangelbehebungsauftrag übermittelte der BF ein Foto einer XXXX -Werbung für „ XXXX “, auf der sich zwei Männer, der eine ein Baby haltend, befinden. Darauf findet sich folgender Text:
„Für Mütter, Väter, Partner oder Freunde, die mit Kindern unterwegs sind.“
Mit Bescheid vom 06.02.2019 wies die belangte Behörde die Beschwerde zurück und führte begründend aus, der BF habe trotz gebotener Möglichkeit in Form eines Mangelbehebungsauftrags die festgestellten Mängel nicht beseitigt, weil insbesondere ein konkretes Vorbringen betreffend § 24 Abs. 2 Z 2 DSG (zustellfähige Adresse der BG) fehle.
Mit Erkenntnis vom 30.03.2020 gab das Bundesverwaltungsgericht einer gegen diesen Bescheid erhobenen Beschwerde Folge, behob den Bescheid ersatzlos und trug der Behörde die Fortsetzung des Verfahrens unter Abstandnahme vom gebrauchten Zurückweisungsgrund auf. Im Wesentlichen wurde ausgeführt, mangels ausdrücklicher Bestimmung, wonach der Einschreiter neben dem Rechtsträger bzw. dem Organ, dem die behauptete Rechtsverletzung zugerechnet werde, auch die zustellfähige Adresse dieses Rechtsträgers oder Organs angeben müsse, liege kein Mangel vor, der die Behörde zu einem derartigen Mangelbehebungsauftrag berechtigt hätte, sodass der Zurückweisungsbescheid nicht zu recht ergangen sei.
Die belangte Behörde werde im weiteren Verfahren die notwendigen Erhebungen zu führen und allenfalls auch die gemäß § 18 Abs 3 E-Commerce-Gesetz (ECG) gebotenen Anordnungen zu erlassen haben. Je nach Erhebungsergebnis könnte sodann auch eine amtswegige Berichtigung der Parteienbezeichnung erfolgen, sollte sich jene durch den BF auf Basis der Erhebungsergebnisse als verfehlt darstellen.
Im fortgesetzten Verfahren teilte die belangte Behörde dem BF mit Schreiben vom 05.06.2020 mit, sie werde zum Zweck der Ermittlung einer zustellfähigen Adresse Kontakt mit Facebook aufnehmen.
Am gleichen Tag erging ein Schreiben der belangten Behörde an Facebook Ireland Ltd, in dem unter Berufung auf § 18 Abs. 3 E-Commerce-Gesetz (ECG) ersucht wird, der Österreichischen Datenschutzbehörde den wahren Namen sowie die zustellfähige postalische Adresse oder E-Mail-Adresse des Nutzers XXXX ( XXXX ) zu übermitteln.
Mit E-Mail vom 07.07.2020 führte Facebook Ireland unter DPA Casework „dpacasework@fb.com“ gegenüber der Datenschutzbehörde aus:
„Vielen Dank für Ihre Kontaktaufnahme.
Wir benötigen eine gültige Herausgabeverfügung oder gerichtliche Entscheidung, um Ihre Anfrage bearbeiten zu können. Bitte beachten Sie, dass es Situationen gibt, in denen wir die von Ihnen angeforderten Informationen aufgrund technischer Einschränkungen nicht bereitstellen können.
Wenn Sie Klage einreichen möchten, sollte ein Anwalt oder Beamter Ihrer regionalen Strafverfolgungsbehörde unsere operativen Richtlinien prüfen und gemäß den Anweisungen unter dem nachfolgendem Link Kontakt mit uns aufnehmen:
https://www.facebook.com/help/473784375984502/?ref=cr
Sobald die Kontaktaufnahme mit uns erfolgt ist, können wir bezüglich dieses Problems mit ihm kommunizieren. Bitte beachten Sie, dass wir bei Anfragen zur Bereitstellung von Nutzerinformationen über diesen Kanal nicht helfen können.
Facebook Ireland antwortet auf dieses Auskunfts- oder Unterstützungsersuchen unbeschadet der Zuständigkeit der irischen Datenschutzkommission als federführende Aufsichtsbehörde für die grenzüberschreitende Verarbeitung gemäß Artikel 56 Absatz 1 der Datenschutz-Grundverordnung (DSGVO). Diese Antwort ist keine Bestätigung von Facebook Ireland für ein formelles Recht Ihres Amtes, sich mit dieser Angelegenheit gemäß der DSGVO oder verwandten lokalen Gesetzen zu befassen.
Facebook Ireland“
Mit Aktenvermerk vom 23.07.2020 hielt die belangte Behörde zusammengefasst fest, Facebook weigere sich, Informationen zur BG zu übermitteln. Daher solle zur Erlangung der notwendigen Informationen ein Amtshilfeersuchen im Wege einer IMI-VMA an Irland ergehen mit dem Ersuchen, Kontakt mit Facebook aufzunehmen. Dabei sei die Frage offen, ob Irland die Ermächtigung gemäß Art. 15 der RL 2000/31/EG („Richtlinie über den elektronischen Geschäftsverkehr“), die in Österreich in § 18 Abs. 3 ECG umgesetzt wurde, überhaupt in nationales Recht umgesetzt habe.
Die belangte Behörde richtete zunächst wieder über das Binnenmarktinformationssystem IMI (Internal Market Information System) am 27.07.2020 eine Anfrage an die irische Datenschutzbehörde (Irish DPA) mit folgender „Case Description“:
„The Austria DPA has received a complaint against a Facebook user, but the complainant does not know a deliverable address. The Irish DPA is requested to assist in determining the true name of the Facebook user and a valid address.“
Sie verwies weiters auf einen Anhang mit folgendem Inhalt:
„The Austrian DPA has received a complaint against a Facebook user, whereby we only know the Facebook name, but no deliverable address. This user is registered on Facebook with the profile name XXXX (https://www.facebook.com/ XXXX “).
It is possible that this name is an alias name.
According to Article 15 of the Directive 2000/31/EC of the European Parliament and of the Council of 8 June 2000 on certain legal aspects of information society services, in particular electronic commerce, in the Internal Market ('Directive on electronic commerce') Member States may require information society service providers to communicate to the competent authorities, at their request, information enabling the identification of recipients of their service with whom they have storage agreements.
According to Art 19 of the directive, Member States shall cooperate with the other Member States in this context.
The Austrian DPA therefore requests - should Ireland have transposed the authorisation under Article 15 of the said Directive into national law or if another legal basis exists - to contact Facebook in order to find out the real name and a contact address of the aboved mentioned Facebook user “ XXXX ” and to notify the Austrian DPA.“
Drei sodann von der irischen Datenschutzbehörde gestellte Fragen beantwortete die belangte Behörde am 20.11.2020 wie folgt:
„Austrian DPA ref D124.005
VMA A61 160089
Answer to the questions of the Irish DPA (IMI A061 140584)
1. Please confirm the nature of the complaint that has been received and how this complaint relates to matters of electronic commerce.
The Austrian DPA has received a data protection complaint for alleged violation of the principles of the GDPR. The subject of the complaint is a Facebeook posting of the user " XXXX " in which personal data of the complainant is published. Neither a postal contact address nor an e-mail address is known of the respondent with the Facebook name " XXXX ". Since no contact could be established with the opponent, no proceedings could be initiated. The complainant has appealed against this decision. The appellate instance has ordered the Austrian data protection authority to continue the proceedings. To this end, the Appellate Court ordered the Austrian Data Protection Authority to determine, if necessary, a deliverable address of the respondent from Facebook in accordance with § 18 (3) of the E-Commerce Act (this provision transposed Article 15 of Directive2000/31/EC).
2. Please confirm the specific basis for which the requested information is required.
A contact address of the Facebook user with the Facebook name " XXXX " is required in order to conduct the data protection complaint procedure.
3. Please confirm what steps have been previously taken by the Austrian DPA thus far in order to obtain the information that is requested. In particular, please confirm if the Austrian DPA has attempted to request this information from Facebook Ireland Limited and, if so, please provide the response, if any, that was received.
In the Facebook profile with the name " XXXX ", the Austrian city of XXXX is indicated as her place of residence. A request was made in the Austrian register of residents, but the person could not be found.
With a letter from the Austrian data protection authority dated 5.6.2020, Facebook Ireland was contacted directly to obtain the necessary data. Reference was made to the implementation of the directive mentioned.
In a letter dated 7.7.2020, Facebook Ireland responded and stated that a valid release order or court decision was required in order to process the request. It also pointed out the possibility of obtaining information from law enforcement agencies.
The Austrian Data Protection Authority did not reply to this message, but contacted the Irish Data Protection Authority directly via IMI VMA A61 140584.
It should be noted, however, that the Austrian data protection authority is not a law enforcement authority in this case, but according to Art 15 of Directive 2000/31/EC (transposed into Austrian law in § 18 (3) of the Austrian E-Commerce Act) the necessary data must also be disclosed to administrative authorities. A release order or court decision is therefore not necessary.
The Austrian Data Protection Authority therefore hopes that Facebook will provide the necessary information to the Irish Data Protection Authority. To the extent that Art 15 of Directive 2000/31/EC has been implemented in Irish law, Facebook would be obliged to provide the information to the Irish Data Protection Authority. In this regard, reference is also made to Art 19 of Directive 2000/31/EC, according to which Member States shall cooperate with the other Member States in this context.“
Diese Antworten übersandte die österreichische Datenschutzbehörde der irischen Datenschutzbehörde per E-Mail am 20.11.2020 mit der Bemerkung:
„In the relevant document section you will now find the answers of the Austrian DPA to the questions of the Irish DPA.“
Wiederum über IMI teilte die Irische Datenschutzbehörde Data Protection Commission (DPC) am 09.08.2021 der belangten Behörde mit:
„We are contacting you regarding the request received from the Austrian DPA an on VMN 140584 in respect of case D124.005.
Thank you for your response to our request for information in respect of the abovementioned case […]
Please be advised, however, that the DPC is not the competent authority in relation to enforcement of Directive 2000/31/EC (eCommerce Directive) or eCommerce legislation in Irish law. Consequently, we are unable to provide assistance in respect of the request received from the Austrian DPA.
Please let us know if you require any further information.“
Mit Aktenvermerk vom 09.08.2021 hielt die belangte Behörde fest, die irische Aufsichtsbehörde habe mitgeteilt, dass im Hinblick auf die Richtlinie 2000/31/EC nicht zuständig sei und daher keine weiteren Veranlassungen treffen könne.
Die belangte Behörde versandte sodann ein Schreiben vom 09.08.2021 an den BF zum Parteiengehör mit folgendem Inhalt:
Die belangte Behörde habe Kontakt mit Facebook gemäß § 18 Abs 3 ECG aufgenommen, was zu keinem Ergebnis geführt habe. Aufgrund dessen habe die belangte Behörde ein Amtshilfeersuchen an die irische Aufsichtsbehörde mit der Bitte um Kontaktaufnahme mit Facebook gestellt, das auch keinen Erfolg gebracht habe. Sollte der BF zwischenzeitlich über eine Kontaktmöglichkeit mit der BG verfügen, werde dieser ersucht, dies der belangten Behörde mitzuteilen.
Der BF teilte mit Schreiben vom 27.08.2021 mit, er habe keine Kontaktmöglichkeit zur BG. Er ersuche um Mitteilung, wie das Amtshilfeersuchen an die irische Aufsichtsbehörde ausgegangen sei und warum dies keinen Erfolg gebracht habe.
Mit dem bekämpften Bescheid wies die belangte Behörde die Beschwerde ab und führte begründend unter anderem aus:
„Mit Schreiben vom 07.07.2020 antwortete Facebook Ireland, dass für die Herausgabe der Daten eine gültige Herausgabeverfügung oder gerichtliche Entscheidung benötigt werde. Strafverfolgungsbehörden würden einen erleichterten Zugang zu den Daten haben.
In weiterer Folge stellte die Datenschutzbehörde ein Amtshilfeersuchen an die irische Aufsichtsbehörde mit dem Ersuchen, zur Ausforschung einer zustellfähigen Adresse der Beschwerdegegnerin, Kontakt mit Facebook aufzunehmen.
Die irische Aufsichtsbehörde teilte anschließend mit, dass im Hinblick auf die Richtlinie 2000/31/EC (E-Commerce-Richtlinie) nicht zuständig sei und deshalb keine Hilfeleistung erbringen könne.“
Der BF habe der belangten Behörde im Rahmen des Parteiengehörs mitgeteilt, dass er auch zum jetzigen Zeitpunkt über keine zustellfähige Adresse der BG verfüge.
Eine am 08.09.2021 durchgeführte amtswegige Abfrage im zentralen Melderegister (ZMR) sowie im Ergänzungsregister für natürliche Personen (ERnP) mit dem Namen „ XXXX “ sei ergebnislos verlaufen.
Rechtlich führte die belangte Behörde aus, gemäß § 24 Abs. 2 Z 2 DSG habe ein Beschwerdeführer, soweit zumutbar, den Rechtsträger oder das Organ, dem die behauptete Rechtsverletzung zugerechnet werde (Beschwerdegegnerin), zu bezeichnen.
Anhand der vom BF zur Verfügung gestellten Unterlagen sowie vielfacher Ermittlungsschritte sei es der belangten Behörde letztendlich nicht möglich, eine zustellfähige Adresse der BG zu ermitteln bzw. diese überhaupt zu identifizieren. Schließlich sei es auch denkbar, dass es sich bei dem auf Facebook veröffentlichten Namen um einen Alias-Namen handle. Ein (inhaltliches) Verfahren habe nicht geführt werden können.
Gemäß § 57 Abs. 1 lit. f DSGVO sei eine Aufsichtsbehörde verpflichtet, den Gegenstand einer Beschwerde in angemessenem Umfang (und nicht „vollumfänglich“) zu untersuchen. Eine etwaige Unmöglichkeit, die anspruchsbegründenden Tatsachen (positiv) festzustellen (Beweisnotstand) gehe zu Lasten des Antragstellers. Der Antrag sei diesfalls abzuweisen.
Gegen diesen Bescheid richtet sich die nunmehr unvertreten erhobene Beschwerde mit dem erkennbaren Antrag, den Bescheid im Sinne einer Stattgebung der Beschwerde abzuändern und eine mündliche Verhandlung durchzuführen.
Die belangte Behörde legte die Beschwerde samt dem elektronischen Akt – beim BVwG am 22.10.2021 einlangend – vor.
Die Beschwerde ist im Sinne einer Aufhebung des Bescheides und Zurückverweisung berechtigt:
Gemäß Art. 15 Abs. 2 der Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 08.06.2000 (Richtlinie über den elektronischen Geschäftsverkehr) können die Mitgliedsstaaten Anbieter von Diensten der Informationsgesellschaft dazu verpflichten, die zuständigen Behörden unverzüglich über mutmaßliche rechtswidrige Tätigkeiten oder Informationen der Nutzer ihres Dienstes zu unterrichten oder dazu verpflichten, den zuständigen Behörden auf Verlangen Informationen zu übermitteln, anhand derer die Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Speicherung geschlossen haben, ermittelt werden können.
Aufgrund dieser Richtlinie erging in Österreich das E-Commerce-Gesetz (ECG) 2001.
Gemäß § 3 Z 2 ECG ist ein Diensteanbieter eine natürliche oder juristische Person oder sonstige rechtsfähige Einrichtung, die einen Dienst der Informationsgesellschaft bereitstellt.
§ 16 Abs. 1 ECG bezieht sich auf Diensteanbieter, die von einem Nutzer eingegebene Informationen speichern (Hosting).
Gemäß § 18 Abs. 2 haben die in den § 13 und 16 genannten Diensteanbieter aufgrund der Anordnung eines dazu gesetzlich befugten inländischen Gerichts diesem alle Informationen zu übermitteln, anhand deren die Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Übermittlung oder Speicherung von Informationen abgeschlossen haben, zur Verhütung, Ermittlung, Aufklärung oder Verfolgung gerichtlich strafbarer Handlungen ermittelt werden können.
Gemäß Abs. 3 haben die in § 16 genannten Diensteanbieter aufgrund der Anordnungen einer Verwaltungsbehörde dieser den Namen und die Adressen der Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Speicherung von Informationen abgeschlossen haben, zu übermitteln, sofern die Kenntnis dieser Informationen eine wesentliche Voraussetzung der Wahrnehmung der der Behörde übertragenen Aufgaben bildet.
Gemäß Abs. 4 haben die in § 16 genannten Dienstanbieter den Namen und die Adresse eines Nutzers ihres Dienstes, mit dem sie Vereinbarungen über die Speicherung von Informationen abgeschlossen haben, auf Verlangen dritten Personen zu übermitteln, sofern diese ein überwiegendes rechtliches Interesse an der Feststellung der Identität eines Nutzers oder eines bestimmten rechtswidrigen Sachverhalts sowie überdies glaubhaft machen, dass die Kenntnis dieser Informationen eine wesentliche Voraussetzung für die Rechtsverfolgung bildet.
Gemäß Art. 57 Abs. 1 DSGVO muss sich unbeschadet anderer in dieser Verordnung dargelegter Aufgaben jede Aufsichtsbehörde in ihrem Hoheitsgebiet […]
lit f) mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Art. 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und dem Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;
lit g) mit anderen Aufsichtsbehörden zusammenarbeiten, auch durch Informationsaustausc,h und ihnen Amtshilfe leisten, um die einheitliche Anwendung und Durchsetzung dieser Verordnung zu gewährleisten; […]
Eine der Hauptaufgaben der Aufsichtsbehörden besteht in der Untersuchung und Prüfung der Beschwerden von Betroffenen (Art. 77). Die Aufsichtsbehörde hat sich mit der Beschwerde zu befassen, der Gegenstand der Beschwerde muss in angemessenen Umfang untersucht werden.
Ob der Umfang einer Untersuchung angemessen ist, muss nach der Intensität des Grundrechtseingriffs und danach, ob die Angelegenheit von grundsätzlicher datenschutzrechtlicher Bedeuten ist (gegebenenfalls noch in die Rechte weiterer Betroffener eingegriffen wurde) beurteilt werden. Je nachdem entscheidet die Aufsichtsbehörde dann über die Mittel der Prüfung (Zavadil in Knyrim, DatKomm Art. 57 Rz 13 und 15, Stand 01.03.2021, rdb.at).
Gemäß § 28 Abs. 3 kann das Verwaltungsgericht den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheids an die Behörde zurückverweisen, wenn die Behörde notwendige Ermittlungen des Sachverhalts unterlassen hat. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Entschluss ausgegangen ist.
Nach ständiger Rechtsprechung des Verwaltungsgerichtshofs kann von der Möglichkeit der Zurückverweisung generell bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht werden, beispielsweise, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, zur Ermittlung des maßgeblichen Sachverhalts lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat bzw. konkrete Anhaltspunkte annehmen lassen, dass die Verwaltungsbehörde etwa schwierige Ermittlungen unterließ, damit diese dann durch das VwG vorgenommen werden.
Daraus folgt:
Zugrunde liegt ein behaupteter Sachverhalt, nach dem eine Geheimhaltungspflichtverletzung durch eine Beschwerdegegnerin „ XXXX “, betreffend derer lediglich ein Facebook Profil unter diesem Namen bekannt ist, erfolgt sein soll. Die Fortführung des Verfahrens setzt nähere Kenntnisse betreffend die BG, nämlich deren wahren Namen, eine zustellfähige postalische Adresse oder E-Mail-Adresse voraus.
Entsprechend der überbundenen Rechtsansicht aus dem Erkenntnis im ersten Rechtsgang setzte die belangte Behörde diesbezüglich zunächst durchaus taugliche Ermittlungsschritte, nämlich zunächst ein Schreiben an den Diensteanbieter Facebook, offenbar mit Sitz in Irland.
Dieser antwortete in kurzer Frist per E-Mail und führte aus, er benötige eine „gültige Herausgabeverfügung“ oder „gerichtliche Entscheidung“, um die Anfrage bearbeiten zu können. Facebook Ireland antworte auf dieses Auskunfts- oder Unterstützungsersuchen unbeschadet der Zuständigkeit der irischen Datenschutzkommission als federführende Aufsichtsbehörde […].
Ohne neuerlich mit Facebook Ireland in Kontakt zu treten sandte die belangte Behörde daraufhin der irischen Datenschutzbehörde unter Nutzung von IMI ein Unterstützungsersuchen unter Bezugnahme auf Art. 15 und 19 E-Commerce-Richtlinie, Facebook Ireland zu kontaktieren, um den wahren Namen und eine Kontaktadresse von „ XXXX “ herauszufinden, sollte Irland Art. 15 der genannten Richtlinie in nationales Recht umgesetzt haben.
Nach ausführlicher Beantwortung der von der irischen Datenschutzbehörde gestellten Fragen sandte diese das oben dargestellte Ergebnis vom 09.08.2021, in welchem sie im Wesentlichen ausführte, die irische Datenschutzbehörde sei nicht die zuständige Behörde im Verhältnis zur Durchsetzung der E-Commerce-Richtlinie oder der E-Commerce-Gesetzgebung nach irischem Recht. Daraus folge, dass sie nicht fähig sei, Hilfe in Bezug auf das Unterstützungsansuchen der belangten Behörde zu leisten.
Dazu ist auszuführen:
Das Verwaltungsgericht teilt nicht die Sicht der belangten Behörde, dass diese in Ansehung dessen, dass sie sich mit den dargestellten Antworten zufriedengegeben hat, die Sache „angemessen“ im Sinne des Art. 57 Abs. 1 lit. f DSGVO untersucht hat.
Wie dargestellt, ist der Umfang einer Untersuchung nach der Intensität des Grundrechtseingriffes und ob die Angelegenheit von grundsätzlicher datenschutzrechtlicher Bedeutung ist, zu beurteilen.
Nach dem Vorbringen im Antrag bestand eine Verletzung der Geheimhaltungspflicht in Bezug auf private Verhältnisse des BF, dessen Bild im Rahmen einer XXXX werbung österreichweite Verbreitung gefunden hat. Die Durchsetzbarkeit von Betroffenenrechten, insbesondere gegenüber international agierenden Diensten im Sinne der E-Commerce-Richtlinie, ist als durchaus zentrale Aufgabe des europäisch-rechtlich geregelten Datenschutzes anzusehen.
Zunächst ist festzuhalten, dass aufgrund des Erkenntnisses vom 30.03.2020 (S 6) der Behörde nicht vorgegeben war, welche Ermittlungsschritte sie vorzunehmen hatte. Sie war auch nicht auf Anordungen nach dem ECG beschränkt („allenfalls auch die nach § 18 ECG gebotenen Anordnungen“).
Weder aus der Begründung des bekämpften Bescheides noch aus den Aktenvermerken der belangten Behörden ist ersichtlich, ob und inwieweit sie im fortgesetzten Verfahren nach den Vorgaben für Fälle grenzüberschreitender Datenverarbeitung iSd Art 56, 60 und 61 DSGVO vorging. Naheliegend ist eine Konstellation nach Art 56 Abs 2 DSGVO.
Zur Antwort von Facebook Ireland auf die Anfrage der belangten Behörde:
Es ist nicht klar ersichtlich, ob Facebook Ireland überhaupt erkannte, dass es sich um eine Anfrage einer Datenschutzbehörde handelte (siehe Antwortteil: „Wenn Sie Klage einreichen möchten, sollte ein Anwalt oder Beamter Ihrer regionalen Strafverfolgungsbehörde Kontakt mit uns aufnehmen.“). Facebook Ireland erkennt offenbar die Verpflichtung an, aufgrund „Herausgabeverfügungen“ oder „gerichtlicher Entscheidungen“ derartige Anfragen weiter zu verfolgen. Dies spricht für das Bestehen dem Art. 18 ECG ähnlicher Vorschriften nationalen irischen Rechts in Umsetzung der E-Commerce-Richtlinie.
Davon ungeachtet wäre bereits das Ersuchen der belangten Behörde vom 05.06.2020 gegenüber Facebook Ireland als „gültige Herausgabeverfügung“ einer europäischen Datenschutzbehörde anzusehen.
Jedenfalls wäre die Datenschutzbehörde nach Ansicht des erkennenden Senates verhalten gewesen, sich mit dieser – im Übrigen rasch übermittelten - Antwort nicht zufrieden zu geben, und klarzustellen, dass es sich um ein behördliches Ersuchen mit dahinterstehender gerichtlicher Entscheidung (Erkenntnis vom 30.03.2020) handelt bzw. rückzufragen, auf welche Rechtsgrundlage sich die irische Aufsichtsbehörde im Rahmen ihrer abschlägigen Antwort bezog.
Zur „Unzuständigkeit der irischen Datenschutzbehörde“:
Wie dargestellt, resultiert insbesondere aus Art. 57 Abs 1 lit g) und Art 61 DSGVO, selbst unabhängig vom Vorliegen grenzüberschreitender Sachverhalte (Jahnel, Kommentar zur DSGVO Art 61 Rz 1, Stand 1.12.2020, rdb.at), eine Pflicht der Aufsichtsbehörden zur Zusammenarbeit, insbesondere durch Informationsaustausch und Amtshilfe. Insofern wäre es jedenfalls Sache der irischen Aufsichtsbehörde gewesen, darzustellen, ob aufgrund Art. 15 der E-Commerce-Richtlinie eine irische nationale Gesetzgebung ergangen ist, die behördliche oder gerichtliche Herausgabeverpflichtungen anordnet. Dies wäre durch die belangte Behörde jedenfalls zu urgieren gewesen. Weiters wäre rückzufragen gewesen, weshalb sich die irische Datenschutzbehörde in Ansehung der E-Commerce-Richtlinie bzw allenfalls aufgrund dieser ergangener irischer Gesetzgebung sowie auch der generellen Verpflichtung zur Zusammenarbeit und zur Amtshilfe als „nicht zuständig“ erachtet, dem Unterstützungsersuchen der österreichischen Datenschutzbehörde nachzukommen, bedarfsfalls ihrem Ersuchen auch Nachdruck zu verleihen.
Der erkennende Senat sieht im Umstand, dass sich die belangte Behörde mit den beiden ungenügenden Antworten ohne Rückfrage zufrieden gegeben hat, im Ergebnis ungeeignete Ermittlungsschritte, wobei gerade durch die in einem Aktenvermerk der belangten Behörde noch vor Rückantwort durch die irische Datenschutzbehörde zum Ausdruck gekommene Überlegung, man könne sich - sollte dem AH-Ersuchen nicht entsprochen werden – darauf stützen, dass die Beschwerde „in angemessenem Umfang“ untersucht worden sei, ein Indiz dafür gesehen werden könnte, dass man sich auf ansatzweise und nicht zielführende Ermittlungen zu beschränken bereit war. Konkret geht das Verwaltungsgericht auch davon aus, dass die oben dargestellte Fortsetzung der Ermittlungen durch die belangte Behörde wesentlich zweckmäßiger wäre als eine solche durch das Verwaltungsgericht selbst, insbesondere unter Nutzung des Kommunikationssystems IMI, das primär auf Behörden ausgerichtet ist.
Im Übrigen wäre in Bezug auf die Direktanfrage an Facebook Ireland auch darauf hinzuweisen, dass zumindest nach österreichischem Recht selbst nichtbehördlichen Kontaktdatenanfragen nachzukommen ist, sofern ein überwiegendes rechtliches Interesse an der Feststellung der Identität eines Nutzers oder eines bestimmten rechtswidrigen Sachverhalts glaubhaft wird, und die Kenntnis dieser Informationen eine wesentliche Voraussetzung für die Rechtsverfolgung bildet (§ 18 Abs. 4 ECG). Hiezu wäre zu klären, ob eine entsprechende nationale irische Norm existiert.
Insofern sind die Ausführungen in der Beschwerde, die belangte Behörde sei ihren Erhebungspflichten nicht im gebotenen Umfang nachgekommen, ihre Erhebungsschritte seien unzureichend und es sei nicht ersichtlich, dass die Behörde sämtliche ihr zur Verfügung stehenden (rechtlichen) Mittel (nationale und unionsrechtliche Rechtsbehelfe) genutzt habe, nicht von der Hand zu weisen.
Aufgrund aller genannten Umstände war auch der neuerliche Bescheid zu beheben und der belangten Behörde die Fortsetzung des Verfahrens im Sinne der Fortsetzung der aufgezeigten Ermittlungsschritte aufzutragen.
Der Ausspruch der Unzulässigkeit der Revision folgt dem Umstand, dass - selbst in Ansehung europarechtlich und national höchstgerichtlich vieler ungeklärte Fragen in Bezug auf die Zusammenarbeit der Aufsichtsbehörden – Einzelfallumstände des Ermittlungsverfahrens gegenständlich sind und die grundsätzliche Verpflichtung der Aufsichtsbehörden zur Zusammenarbeit im Sinne des 57 Abs. 1 lit. g sowie Art 61 Abs 1 DSGVO schon aufgrund des Wortlautes dieser Bestimmungen außer Frage steht.
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
Keine Ergebnisse gefunden
RIS