W211 2274025-1/3E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M., als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom XXXX , in nichtöffentlicher Sitzung zu Recht:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG unzulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit verfahrenseinleitender Eingabe vom XXXX .2023 an die Datenschutzbehörde, idF DSB, brachte der Beschwerdeführer, idF BF, zusammengefasst vor, dass die nunmehrige mitbeteiligte Partei, die XXXX idF mP, einen näher umschriebenen Geldbetrag mittels Mahnklage vom XXXX .2021 gegen den BF bei einem Bezirksgericht eingeklagt habe. Die Klage sei von der Rechtsvertretung der mP eingebracht worden. Das Bezirksgericht habe in weiterer Folge die Klage der mP abgewiesen. Daraus folge als logische Konsequenz, dass die dabei stattgefundene Datenverarbeitung der personenbezogenen Daten des BF nicht rechtmäßig gewesen, sondern von den Unternehmen eine Datenschutzverletzung begangen worden sei. Dadurch erachte sich der BF im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt. Es liege zudem ein Verstoß gegen die Grundsätze für die Verarbeitung personenbezogener Daten gem. Art. 5 DSGVO und die Rechtmäßigkeit der Verarbeitung gem. Art. 6 und 9 DSGVO vor. Zur Rechtzeitigkeit seiner verfahrenseinleitenden Eingabe führte der BF aus, dass das Urteil des Bezirksgerichts am Tag der Verhandlung am XXXX .2022 „in Aussicht gestellt bzw. vorangekündigt“ worden sei. Die Übermittlung des Urteils an die Rechtsvertretung des BF sei erst am XXXX .2022 erfolgt. Das Urteil sei mit XXXX 2022 rechtskräftig geworden. Der Fristenlauf zur Einhaltung der Einjahresfrist ende daher mit dem XXXX 2023. Die Beschwerde sei gemäß § 24 Abs. 4 DSG jedenfalls fristgerecht.
2. Mit Schreiben vom XXXX .2023 replizierte die mP durch ihre Rechtsvertretung auf die Beschwerde zusammengefasst und soweit hier wesentlich, dass die Beschwerde des BF wegen Verspätung zurückzuweisen sei, da der BF allerspätestens am XXXX .2022 von den Umständen Kenntnis erlangt habe, durch die er sich beschwert erachte. Das Urteil des Bezirksgerichts sei am XXXX .2022 in Anwesenheit beider Parteien mündlich verkündet und in weiterer Folge in gekürzter Form ausgefertigt worden. Die Beschwerde sei mit XXXX .2023 datiert, sei jedoch aber offenbar erst am XXXX .2023 bei der DSB eingelangt. Der BF habe aber bereits kurz nach dem XXXX .2021, jedenfalls aber spätestens am XXXX .2022 Kenntnis von den Umständen, durch die er sich nun über ein Jahr später als beschwert erachte, gehabt.
3. Mit Stellungnahme vom XXXX .2023 führte der BF replizierend und soweit wesentlich ergänzend aus, dass das Bezirksgericht zwar die Richtigkeit seines Rechtsstandpunkts am XXXX .2022 mündlich festgestellt habe, allerdings habe dies nur ein vorläufiges Ergebnis dargestellt. Das Protokoll zur Tagsatzung mit der Urteilsverkündung sei den Parteien erst am XXXX .2022 zugestellt worden. Die mP hätte in Folge 14 Tage Zeit gehabt, somit bis zum XXXX .2022, eine Anmeldung der Berufung vorzunehmen. Die Summe der Datenschutzverletzungen sei frühestens mit Zustellung des rechtskräftigen Urteils am XXXX 2022 beendet worden. Erst mit offizieller Zustellung des Urteils sei die fehlende Aktivlegitimierung rechtskräftig festgestellt worden. Der BF habe erst am XXXX 2022 von diesen Umständen Kenntnis erlangt. Die Beschwerde sei daher als rechtzeitig anzusehen.
4. Mit dem angefochtenen Bescheid wies die DSB die Datenschutzbeschwerde des BF als verspätet zurück und führte soweit wesentlich begründend aus, dass der BF die mit XXXX .2023 datierte Beschwerde am XXXX .2023 der Post übergeben habe. Dem BF sei die Tatsache, Betroffener einer Datenverarbeitung gewesen zu sein bzw., dass seine Daten vermuteter Weise unzulässig weitergegeben worden seien, bereits vor formeller Rechtskraft des zivilgerichtlichen Urteils, nämlich spätestens am XXXX .2022, bekannt gewesen. Der BF habe nach eigenem Vorbringen sowie nach dem Inhalt der von ihm als Beweismittel vorgelegten Dokumente spätestens am Tag der mündlichen Verkündung vor dem Bezirksgericht, somit am XXXX .2022, Kenntnis erlangt. Das Eintreten der formellen Rechtskraft sei unter Zugrundelegung des Sachverhalts nicht maßgebend.
5. Mit Beschwerde vom XXXX .2023 richtete sich der BF gegen den Bescheid und führte dazu zusammengefasst und soweit hier wesentlich aus, dass über das Datum der Zustellung des rechtskräftigen Urteils am XXXX 2022 hinaus eine weitere rechtswidrige Datenverarbeitung durchgeführt worden sei, weil das Urteil dem Rechtsanwalt übermittelt worden sei, welcher dieses an die mP übermitteln habe müssen, welche das Urteil sodann an die Auftraggeberin weiterzuleiten gehabt habe, womit der Zeitraum mit Datenschutzverletzungen ausgedehnt worden sei. Im Übrigen sei die Summe der Datenschutzverletzungen frühestens mit dem XXXX 2022 beendet worden, erst an diesem Datum habe der BF davon Kenntnis erlangt. Die beschwerenden Datenverarbeitungen hätten sogar noch bis zum gegenwärtigen Zeitpunkt - aufgrund des Verfahrens vor der Behörde - angedauert. Die DSB habe § 24 Abs. 4 DSG falsch angewendet, weil die untrennbar miteinander verbundenen Datenschutzverletzungen durch die beteiligten Parteien weit über die mündliche Verhandlung hinaus angedauert hätten. Die Behauptung, dass der BF mit XXXX .2022 Kenntnis von der behaupteterweise rechtswidrigen Datenverarbeitung erlangt habe, sei völlig unsubstantiiert, hingegen sei mit Rücksicht auf § 461 ZPO der Eintritt der formellen Rechtskraft des betreffenden Urteils maßgebend.
6. Mit Schreiben vom XXXX .2023 legte die DSB die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Die mP, die XXXX , brachte am XXXX .2021 anwaltlich vertreten eine Mahnklage gegen den BF ein. Mit mündlich verkündetem Urteil des Bezirksgerichts XXXX vom XXXX .2022, XXXX , wurde in Anwesenheit beider Parteien das Klagebegehren der mP wegen fehlender aktiver Klagslegitimation abgewiesen.
Der BF erlangte spätestens mit XXXX .2022 Kenntnis davon, Betroffener von Datenverarbeitungen im Zusammenhang mit dem geführten Verfahren vor dem Bezirksgericht gewesen zu sein, bzw. dass seine Daten im Zusammenhang mit dem Gerichtsverfahren in von ihm behaupteter Weise unzulässig weitergegeben worden wären.
Der BF übergab seine verfahrensgegenständliche Datenschutzbeschwerde am XXXX .2023 der Post. Darin machte er eine Verletzung im Recht auf Geheimhaltung sowie einen Verstoß gegen die Grundsätze der Verarbeitung personenbezogener Daten bzw. gegen die Rechtmäßigkeit der Verarbeitung durch die mP im Zusammenhang mit der Führung des Gerichtsverfahrens geltend.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den von der DSB vorgelegten Verwaltungsunterlagen und dem Gerichtsakt.
Die beschwerenden Ereignisse ergeben sich aus der Datenschutzbeschwerde des BF, in welcher er ausführlich schilderte, durch welche Datenverarbeitungsvorgänge er sich in seinen Rechten verletzt sieht. Aus den darin enthaltenen Angaben, dem beigefügten Urteil des Bezirksgerichts sowie der Stellungname der mP vom XXXX .2023 ergibt sich der Zeitpunkt der Kenntnisnahme über die beschwerenden Ereignisse.
Während sich der BF in seiner Bescheidbeschwerde gegen die rechtliche Beurteilung bzw. die unzureichende Fassung des Beschwerdeumfanges und die daraus resultierende Verkürzung des Sachverhaltes sowie mangelhafte Beweiswürdigung im angefochtenen Bescheid richtet, bestreitet auch der BF im Wesentlichen nicht das Datum der mündlichen Urteilsverkündung vor dem Bezirksgericht (siehe S 9 der Beschwerde). Der BF relevierte insoweit lediglich die aus seiner Sicht mangelnde rechtliche Relevanz der mündlichen Verkündung des Urteils am XXXX .2022 für den Beginn des Fristenlaufs (hinsichtlich des Vorbringens zum Eintritt der formellen Rechtskraft dieses Urteils wird auf die rechtliche Beurteilung verwiesen). Auf Basis der Aktenlage ergeben sich keine Anhaltspunkte, aufgrund der an dem Zeitpunkt der Kenntnisnahme der beschwerenden Ereignisse zu zweifeln wäre.
Das Einbringungsdatum der Datenschutzbeschwerde lässt sich dem Poststempel auf dem Briefumschlag der Beschwerde im Verwaltungsakt entnehmen.
3. Rechtliche Beurteilung:
Zu A)
3.1. Rechtsgrundlagen:
§ 24 Abs. 1 und 4 DSG lauten:
㤠24 DSG
Beschwerde an die Datenschutzbehörde
(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. […]
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.“
3.2. Angewendet auf den vorliegenden Fall bedeutet dies:
3.2.1. Soweit der BF moniert, die DSB habe den Beschwerdegegenstand verkürzt, da sie den geltend gemachten Verstoß gegen das Grundrecht auf Datenschutz, gegen die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO bzw. gegen die Rechtmäßigkeit der Verarbeitung gemäß Art. 6 bzw. 9 DSGVO ignoriert habe, ist dazu Folgendes festzuhalten:
Der Verwaltungsgerichtshof hat bereits wiederholt ausgesprochen, dass im Fall der Zurückweisung einer Beschwerde durch die belangte Behörde Sache des Beschwerdeverfahrens lediglich die Frage der Rechtmäßigkeit der Zurückweisung ist (vgl. VwGH 18.12.2014, Ra 2014/07/0002, 0003; 23.06.2015, Ra 2015/22/0040, sowie 16.09.2015, Ra 2015/22/0082 bis 0084, jeweils mwN). Eine inhaltliche Entscheidung über den verfahrensgegenständlichen Antrag ist dem Bundesverwaltungsgericht somit verwehrt.
3.2.2. Gemäß § 24 Abs. 4 DSG erlischt der Anspruch auf Behandlung einer (Datenschutz-) Beschwerde, wenn der:die Einschreiter:in sie nicht binnen eines Jahres, nachdem er:sie Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
Bei den in § 24 DSG genannten Fristen handelt es sich um Präklusivfristen (siehe OGH 31.07.2015, 6 Ob 45/15h und Jahnel, Datenschutzrecht, Update, S 191 zur Vorgängerbestimmung des § 34 Abs. 1 DSG 2000 sowie Bresich/Dopplinger/ Dörnhöfer/Kunnert/Riedl, DSG, S 190 zu § 24 DSG), auf die von Amts wegen, also bei feststehendem Sachverhalt ohne Einwendung Bedacht genommen werden muss (vgl. Dohr/Pollirer/Weiss/Knyrim, Datenschutzrecht, § 34, Anm. 2 zur Vorgängerbestimmung des § 34 Abs. 1 DSG 2000). In Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl wird ausgeführt, dass die Verjährungsregel des § 24 Abs. 4 DSG hinsichtlich der Zeitvorgaben für das Erlöschen des Anspruchs auf Behandlung einer Beschwerde weitgehend § 34 Abs. 1 DSG 2000 (subjektive Frist von einem Jahr ab Kenntnis des Sachverhalts und objektive Frist von drei Jahren ab Stattfinden des Ereignisses) entspricht.
Gegenstand der Datenschutzbeschwerde des BF an die DSB war eine behauptete Verletzung im Recht auf Geheimhaltung sowie ein Verstoß gegen die Grundsätze der Verarbeitung personenbezogener Daten bzw. gegen die Rechtmäßigkeit der Verarbeitung durch die mP im Zusammenhang mit einem zivilgerichtlichen Verfahren. Der der Beschwerde bei der DSB zugrundeliegende Sachverhalt bezieht sich auf Datenverarbeitungsvorgänge, die sich im Zusammenhang mit einem durch die mP per Mahnklage gegen den BF eingeleiteten Gerichtsverfahren ereignet haben sollen. Wie festgestellt wurde das Urteil am XXXX .2022 in Anwesenheit der an diesem Gerichtsverfahren beteiligten Parteien mündlich verkündet. Dass im Zusammenhang mit dem Gerichtsverfahren Datenverarbeitungen durch die mP stattgefunden haben, wurde dem BF daher (aller-) spätestens am Tag der mündlichen Urteilsverkündung vor dem Bezirksgericht bekannt.
Der BF bringt in seiner Bescheidbeschwerde zusammengefasst vor, dass die mündliche Verkündung des Urteils am XXXX .2022 keine Relevanz für den Start eines Fristenlaufs habe. Der Zivilprozess sei erst mit XXXX 2022 rechtskräftig abgeschlossen gewesen. Frühestens mit diesem Datum sei die Summe der Datenschutzverletzungen beendet worden. Demnach habe der BF auch erst ab diesem Zeitpunkt die notwendige Kenntnis erlangt. Daher sei in diesem Kontext der Eintritt der formellen Rechtskraft maßgebend.
Der BF hatte jedoch (aller-) spätestens ab dem Zeitpunkt der mündlichen Urteilsverkündung am XXXX .2022 Kenntnis von den beschwerenden Ereignissen iSd § 24 Abs. 4 DSG. Auf den Zeitpunkt eines erst später erfolgten Eintritts der formellen Rechtskraft des Urteils in dem zugrundeliegenden Zivilprozess kommt es für den Beginn des Fristenlaufs nicht an. Sohin geht auch der Verweis des BF auf § 461 ZPO ins Leere. Es ist außerdem ergänzend anzumerken, dass es sich bei einer mündlichen Urteilsverkündung um kein in „Aussicht genommenes Urteil“ handelt, und § 461 Abs. 2 ZPO die Voraussetzungen für die Zulässigkeit einer Berufung gegen ein mündlich verkündetes Urteil regelt. Wie bereits die DSB zutreffend ausführte, hat gemäß § 24 Abs. 4 1. Fall DSG die betroffene Person „Kenntnis erlangt“, wenn ihr selbst oder einem:einer ihr zuzurechnenden Vertreter:in das Wissen über die Tatsache der Datenverarbeitung zugänglich geworden ist (vgl. BVwG 13.08.2018, W211 2181809-1). Ebenso wenig vermag folglich das Vorbringen zu überzeugen, dass der BF erst mit XXXX 2022 Kenntnis von den beschwerenden Ereignissen erlangt habe, zumal er der Feststellung, der tatsächlichen Kenntnisnahme durch ihn bzw. seinen rechtsanwaltlichen Vertreter (spätestens) am XXXX .2022 im Zuge der mündlichen Urteilsverkündung im Zivilprozess im Grunde nicht ausreichend begründet entgegentritt. Im Besonderen ergibt sich dabei aus dem beiliegenden Urteil, dass bereits zwecks Beweiserhebung in den Netznutzungsvertrag, in eine Endabrechnung, in eine Korrespondenz und in eine Rechnung eines Inkasso-Unternehmens im Rahmen des Zivilprozesses Einsicht genommen wurde, was die Feststellung zur Kenntniserlangung der beschwerenden Umstände (aller-) spätestens am XXXX .2022 weiter stützt.
Die einjährige subjektive Frist des § 24 Abs. 4 DSG betreffend die Möglichkeit der Erhebung einer Datenschutzbeschwerde bezüglich einer Verletzung im Recht auf Geheimhaltung durch die mP war daher am XXXX .2023 (Zeitpunkt der Erhebung der Datenschutzbeschwerde) bereits abgelaufen.
Wenn der BF vorbringt, dass die Datenschutzverletzungen über das Datum der mündlichen Urteilsverkündung hinaus angedauert hätten, insbesondere, weil das Urteil zunächst der Rechtsvertretung der mP übermittelt worden sei, welcher dieses aufgrund seiner Bestellung an die mP übermitteln habe müssen, welche das Urteil hierauf an eine Auftraggeberin weiterzuleiten gehabt habe, verkennt er, dass diese geschilderten Datenverarbeitungsvorgänge nicht Gegenstand im Verfahren vor der DSB waren. Im Übrigen stellt die Weitergabe von Daten eine abgeschlossene Handlung dar, weshalb keine „fortgesetzte Schädigung“ gegeben ist (vgl. BVwG 18.03.2019, W211 2208247-1 [Datenweitergabe] und OGH 29.05.2017, 6 Ob 217/16d [Meldung an Kleinkreditevidenz]). Der BF bezog sich in seiner verfahrensgegenständlichen Datenschutzbeschwerde nur auf Datenverarbeitungsvorgänge im Zusammenhang mit dem genannten Zivilprozess, weshalb die nunmehr darüber hinaus geltend gemachten Datenverarbeitungen nicht Gegenstand des Verfahrens der DSB waren und auch nicht Gegenstand des Bescheidbeschwerdeverfahrens sein können.
3.2.3. Das Recht auf Beschwerde bei einer Aufsichtsbehörde ergibt sich unmittelbar aus Art. 77 DSGVO. Die Ausübung der Befugnisse der Aufsichtsbehörde richtet sich gemäß Art 58 Abs. 4 DSGVO nach dem mitgliedstaatlichen Verfahrensrecht (vgl. Zavadil in Knyrim, DatKomm Art 58 DSGVO Rz 51; sowie Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 24 Rz 3).
Darüber hinaus ist es nach ständiger Rechtsprechung des EuGH mangels einer einschlägigen Unionsregelung gemäß dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten Sache der einzelnen Mitgliedstaaten, die Modalitäten für das Verwaltungsverfahren und das Gerichtsverfahren zu regeln, die den Schutz der dem:der Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen. Diese Verfahrensmodalitäten dürfen jedoch nicht weniger günstig ausgestaltet sein als jene für entsprechende innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die Unionsrechtsordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität) (siehe EuGH 06.10.2015, C-61/14, Rz 46).
Es ist nicht ersichtlich, dass die Fristen des § 24 DSG das Beschwerderecht nach der DSGVO unverhältnismäßig einschränken würden (vgl. auch hg. Erkenntnis vom 27.01.2023, W108 2253996-1). Wie den Erläuterungen zur Vorgängerbestimmung (§ 34 Abs 1 DSG 2000) zu entnehmen ist, erachtete der Gesetzgeber die Einführung dieser Frist für sachlich geboten, da die Ermittlung von Sachverhalten, die lange zurückliegen, mit erheblichen Schwierigkeiten verbunden sein kann und eine verlässliche Beurteilung des Vorliegens von Datenschutzverletzungen erschwert (siehe ErlRV 1613 BlgNR 20. GP 50).
Die DSB hat die Datenschutzbeschwerde daher zu Recht zurückgewiesen, weswegen die gegenständliche Bescheidbeschwerde abzuweisen ist.
4. Eine mündliche Verhandlung konnte nach nach § 24 Abs. 2 Z 1 VwGVG entfallen, da der das vorangegangene Verwaltungsverfahren einleitende Antrag der Partei – hier die Datenschutzbeschwerde des BF – zurückzuweisen war. Darüber hinaus hatte das Bundesverwaltungsgericht ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegen.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch liegen sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Der Wortlaut der angewandten Bestimmungen ist eindeutig.
Im Übrigen war eine auf die Umstände des Einzelfalls bezogene Prüfung vorzunehmen.
Es war somit insgesamt spruchgemäß zu entscheiden.
Rückverweise
