W274 2290131-1/11Z
Das Bundesverwaltungsgericht fasst durch den Richter Mag. LUGHOFER als Vorsitzenden sowie die fachkundigen Laienrichter Komm.-Rat Prof. POLLIRER und Dr. GOGOLA als Beisitzer über die Beschwerde des XXXX , p.a. JA XXXX , gegen den Bescheid der Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, vom 11.03.2024, GZ: D124.0718/24 2024-0.189.520, betreffend die verbundenen Datenschutzbeschwerden vom 24.02.2023 (Beschwerdegegner: 1. JA XXXX , 2. Anstaltsleiter XXXX , 3. XXXX , alle XXXX ), und vom 01.04.2023, eingelangt am 07.03.2024, (Beschwerdegegner: 1. JA XXXX , 2. Anstaltsleiter XXXX , 3. XXXX und 4. Leiterin XXXX , alle XXXX ,), wegen Verletzung im Recht auf Geheimhaltung, in nichtöffentlicher Sitzung den
BESCHLUSS:
Das Beschwerdeverfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über das Ersuchen des Verwaltungsgerichtshofes vom 27. Juni 2023, EU 2023/0004 (Ra 2023/04/0002, beim EuGH anhängig unter C-416/23), ausgesetzt.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Begründung:
In seinen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerden vom 24.02.2023 und vom 01.04.2023, eingelangt am 07.03.2024, behauptete XXXX (im Folgenden: Beschwerdeführer, BF) jeweils Verletzungen im Recht auf Geheimhaltung gemäß § 1 DSG durch die im Spruch genannten Beschwerdegegner wegen unrechtmäßiger Verarbeitung und Manipulation von Gesundheitsdaten bzw. unrechtmäßiger Weitergabe von persönlichen Daten des BF.
In seiner Beschwerde vom 24.02.2023 brachte er – soweit fasslich – sinngemäß vor, die Erstbeschwerdegegnerin habe als Hauptverantwortliche der integrierten Vollzugsverwaltungsdatenbank (IVV) sensible Daten des BF im Zeitraum 08.10.2019 bis 29.10.2022 verarbeitet, der Zweitbeschwerdegegner als Anstaltsleiter und datenschutzrechtlicher Verantwortlicher habe Daten über vollzugsrelevante Vorgänge, die Drittbeschwerdegegnerin als leitende Anstaltsärztin sensible Daten „zur Fälschung und Manipulation von dessen Krankengeschichte bzw Kranken- und Personenvermerksakte in der IVV Datenbank“ verwendet und dabei datenschutz- und strafrechtliche Gesetzesverletzungen begangen.
In der Beschwerde vom 01.04.2023, eingelangt am 07.03.2024, brachte er vor, die dortige Erstbeschwerdegegnerin habe als Hauptverantwortliche der integrierten Vollzugsverwaltungsdatenbank (IVV) unrechtmäßig telefonischen Kontakt, Auskunft und Informationen zur Person und dem Aufenthalt des BF nicht ausgewiesnenen Kontaktperson durch die im Auftrag des Zweitbeschwerdegegners tätige Viertbeschwerdegegnerin entgegengenommen, erteilt, geführt und übertragen. Die Genannten seien weder zuständig noch befugt gewesen, außerhalb der JA der Erstbeschwerdegegnerin aber auch innerhalb des Anstaltsareals mit justizfremden Personen sowie in anderen Justizanstalten tätigen Justizwachebediensteten Kontakte, Auskünfte und Informationen im Bezug auf persönliche Daten des BF weiterzugeben.
Mit dem bekämpften Bescheid verband die belangte Behörde beide Datenschutzbeschwerden zur gemeinsamen Entscheidung und lehnte deren Behandlung gemäß Art. 57 Abs. 1 Z 4 DSGVO ab.
Die belangte Behörde stellte fest, dass der BF im Zusammenhang mit seiner Verurteilung und Inhaftierung wegen XXXX beginnend mit dem Jahr 2022 eine Vielzahl von Beschwerden aufgrund behaupteter Verletzungen im Recht auf Geheimhaltung bei der belangten Behörde eingebracht habe. Im Zeitraum von 2022 bis 2024 (Stichtag 11.03.2024) habe der BF bei der Datenschutzbehörde 43 individuelle Beschwerdeverfahren (nach Art. 77 DSGVO i.V.m. § 24 DSG) anhängig gemacht. Hiervon seien 41 Verfahren bereits mit Bescheid beendet worden. Des Weiteren habe er bislang dreizehn Bescheidbeschwerden (an das Bundesverwaltungsgericht) gegen Entscheidungen der Datenschutzbehörde (als belangte Behörde) erhoben. Gegenständlich seien hierbei stets behauptete unrechtmäßige Datenverarbeitungen des Strafrechtsaktes im Zusammenhang mit der Verurteilung und Inhaftierung des BF, Verfälschung von verarbeiteten Daten und Akten, Einsichtnahmen in justizinterne Datenbanken, Zugänglichmachung und Offenlegung von Daten an andere Strafgefangene und sonstige Dritte sowie Kenntnisnahme von Briefinhalten. Beschwerdegegner seien seine ehemalige Rechtsvertretung, Mitgefangene, Kammern, Gerichte, Staatsanwaltschaften, die Volksanwaltschaft, Justizanstalten und Verwaltungsbehörden und deren jeweilige Organe. In jenen Verfahren, in welchen bereits Ermittlungsschritte gesetzt bzw. welche bereits bescheidmäßig beendet worden seien, hätten die mitbeteiligten Parteien einheitlich vorgebracht, dass die vom BF behaupteten Verstöße nicht nachvollzogen werden könnten. In zahlreichen weiteren Fällen seien, aufgrund des jeweils umfassenden Vorbringens des BF, größtenteils unbeantwortet gebliebene bzw. unvollständig verbesserte Mangelbehebungsaufträge ergangen. Eine Verletzung in seinem Recht auf Geheimhaltung sei bislang weder durch die belangte Behörde noch das Bundesverwaltungsgericht festgestellt worden.
Rechtlich führte die belangte Behörde aus, dass sich bereits iZm der Untersuchungsobliegenheit des Art. 57 Abs. 1 lit. f DSGVO insofern eine Relativierung bzw. Prüfungsumfangsbeschränkung finde, als dass diese Obligation nur soweit bestehen solle, soweit sich deren Umfang als „angemessen“ erweise. Gemäß Art. 57 Abs. 4 DSGVO könne die Aufsichtsbehörde bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangen oder sich weigern, aufgrund der Anfrage tätig zu werden. In diesem Fall trage die Aufsichtsbehörde die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter der Anfrage. Die Einbringung einer Beschwerde sei jedenfalls als „Anfrage“ im Sinne des Art. 57 Abs. 4 DSGVO zu qualifizieren. Das Wort „oder“ in Art. 57 Abs. 4 DSGVO indiziere, dass es im Ermessen einer Aufsichtsbehörde liege, ob sie Kosten vorschreibt oder sich weigert, tätig zu werden.
Insgesamt seien vom BF 43 Beschwerden zur Thematik seiner Verurteilung und der damit in Zusammenhang stehenden Inhaftierung innerhalb eines Zeitraumes von 20 Monaten eingebracht worden. Wenngleich die Anzahl von 43 Beschwerden über einen Zeitraum von 20 Monaten zunächst mengenmäßig nicht beträchtlich erscheinen möge, so sei dennoch aufgrund der regelmäßig mangelhaften und sich wiederholenden Eingaben des BF - die einen erheblichen Aufwand für die belangte Behörde mit sich brächten - insgesamt davon auszugehen, dass der Terminus der „häufigen Wiederholung“ im Hinblick auf die gegenständlichen Beschwerden erfüllt sei. Dies sei insbesondere der Fall, da die gegenständlichen Beschwerden mit einem weit überdurchschnittlichen Einsatz von zeitlichen und personellen Ressourcen auf Seiten der Datenschutzbehörde verbunden seien. Nicht zuletzt, da die nicht nachvollziehbare „Verteilung“ der Beschwerden auf zahlreiche, sich jeweils auf mehrere Verfahren beziehende, Eingaben einen erheblichen Aufwand bei der Zuordnung der Beschwerden zu den betreffenden Verfahren bedeute. Auch liege für die Datenschutzbehörde ein offensichtlich schikanöser bzw. rechtsmissbräuchlicher Charakter vor. Es handle sich bei den Sachverhaltsdarstellungen des BF um vage Mutmaßungen und es werde stets unsubstantiiert vorgebracht, dass entweder dessen sensible personenbezogene Daten und „brisante Informationen“ offengelegt worden seien bzw. in diese Einsicht genommen worden sei, wobei dies meist unter Darlegung einer komplexen Verknüpfung der mitbeteiligen Parteien erfolge. Eine Darlegung jener Daten, in welche behauptetermaßen Einsicht genommen worden sei, erfolge auch teils nach konkreter Aufforderung im Zusammenhang mit Mängelbehebungsaufträgen nicht. Überdies habe das Ermittlungsverfahren in jenen Fällen, in welchen die mitbeteiligen Parteien bereits (zur Stellungnahme) aufgefordert worden seien, ergeben, dass die haltlosen Behauptungen des BF nicht nachvollzogen bzw. bestätigt hätten werden können. Zudem werde darauf hingewiesen, dass der BF auch bei zahlreichen anderen Gerichten, Verwaltungsbehörden und Einrichtungen Verfahren – soweit aus den bei der Datenschutzbehörde vorliegenden Beilagen ermittelbar – erfolglos angestrebt habe. Nach höchstgerichtlicher Rechtsprechung laufe ein Vorbringen, welches aus (unbestimmten) Mutmaßungen bestehe, auf einen unzulässigen Erkundungsbeweis hinaus, zu dessen Aufnahme das Gericht (gegenständlich: die Datenschutzbehörde) nicht verpflichtet sei. Zudem könne auch von keinem redlichen Rechtsschutzinteresse des BF ausgegangen werden. Vielmehr ließen die zahllosen haltlosen Behauptungen sowie die Anführung wahlloser Personen erkennen, dass der BF mit seinen Eingaben dem datenschutzrechtlichen Verfahren fremde Zwecke verfolge. Es scheine, als würde der BF über den Weg des Datenschutzes versuchen, gegen Mithäftlinge, in Ungnade gefallene Mitarbeiter der Justizanstalten, Gerichte und Staatsanwaltschaften sowie sonstige im Zusammenhang mit der Unterbringung Beteiligte − wie Postunternehmen sowie Sozialversicherungsträger und rechtliche Vertretungen − vorzugehen. Auch könne aufgrund der jeweils gleichlautenden Formulierungen der Ersteingänge davon ausgegangen werden, dass die Intention des BF vielmehr in der systematischen Einbringung zahlreicher Beschwerden liege, als in einem tatsächlichen Rechtsschutzinteresse aufgrund eines behaupteten Verstoßes. Im Ergebnis seien die gegenständlichen Beschwerden daher als rechtsmissbräuchliche Inanspruchnahme der Tätigkeit der Datenschutzbehörde zu qualifizieren.
Gegen diesen Bescheid erhob der BF Beschwerde an das Bundesverwaltungsgericht und brachte darin zusammengefasst vor, dass der Bescheid „eindrücklich“ eine „Geschäftszahlenfälschung“, eine „vorsätzliche amtswegige Urkundenfälschung“ sowie einen „Betrug mit Protokollierungen“ zeige. Die belangte Behörde sei maßlos überfordert, ihren gesetzlichen Aufgaben nachzukommen. Der gegenständliche Bescheid sei „ersatzlos und vollumfänglich“ zu beheben. Eine Verbindung gemäß § 39 Abs. 2 AVG sei nicht statthaft gewesen, weil sämtliche eingebrachte Datenschutzbeschwerden in keinerlei kausalem Zusammenhang zueinander stünden. Weiters führte der BF diverse andere von ihm angestrengte Datenschutzbeschwerden an. „Jedenfalls“ habe die belangte Behörde exzessiv, vorsätzlich, gesetzwidrig und unverhältnismäßig gehandelt.
Die belangte Behörde legte die Beschwerde samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht am 11.04.2024 unter Verweis auf den Bescheid zur Entscheidung vor. Der Akt kam der Gerichtsabteilung W 274 am 04.06.2024 zu.
II. Das Bundesverwaltungsgericht hat erwogen:
Gemäß Art. 57 Abs. 4 DSGVO kann die Aufsichtsbehörde bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangen oder sich weigern, aufgrund der Anfrage tätig zu werden. In diesem Fall trägt die Aufsichtsbehörde die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter der Anfrage.
Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei u.a. dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.
Nach der Rechtsprechung des Verwaltungsgerichtshofes können auf Grundlage des § 38 AVG Verfahren bis zur (in einem anderen Verfahren beantragten) Vorabentscheidung durch den Gerichtshof der Europäischen Union ausgesetzt werden; eine dem EuGH zur Klärung vorgelegte Frage des Unionsrechtes kann nämlich eine Vorfrage i.S.d. § 38 AVG darstellen, die zufolge des im Bereich des Unionsrechtes bestehenden Auslegungsmonopols des EuGH von diesem zu entscheiden ist (VwGH 18.12.2020, Ra 2020/15/0059; 11.11.2020, Ro 2020/17/0010; 19.12.2000, 99/12/0286). Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl. zB VwGH 13.12.2011, 2011/22/0316).
Für eine Aussetzung eines Verfahrens gemäß § 38 AVG ist es ausreichend, wenn aufgrund eines Vorabentscheidungsersuchens eine (bloß) ähnliche Rechtsfrage beim EuGH anhängig ist (vgl. VwGH 19.09.2001, 2001/16/0439). Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht einer Aussetzung des Verfahrens gemäß § 38 AVG nicht entgegen (VwGH 13.09.2017, Ra 2017/12/0068).
Für den vorliegenden Fall ergibt sich daraus Folgendes:
Der Verwaltungsgerichtshof legte mit Beschluss vom 27.06.2023, Ra 2023/04/0002 (EU 2023/004), dem EuGH folgende Fragen zur Vorabentscheidung vor:
„1. Ist der Begriff ‚Anfragen‘ oder ‚Anfrage‘ in Art. 57 Abs. 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO) dahin auszulegen, dass darunter auch ‚Beschwerden‘ nach Art. 77 Abs. 1 DSGVO zu verstehen sind?
Falls die Frage 1 bejaht wird:
2. Ist Art. 57 Abs. 4 DSGVO so auszulegen, dass es für das Vorliegen von ‚exzessiven Anfragen‘ bereits ausreicht, dass eine betroffene Person bloß innerhalb eines bestimmten Zeitraums eine bestimmte Zahl von Anfragen (Beschwerden nach Art. 77 Abs. 1 DSGVO) an eine Aufsichtsbehörde gerichtet hat, unabhängig davon, ob es sich um unterschiedliche Sachverhalte handelt und/oder die Anfragen (Beschwerden) unterschiedliche Verantwortliche betreffen, oder bedarf es neben der häufigen Wiederholung von Anfragen (Beschwerden) auch einer Missbrauchsabsicht der betroffenen Person?
3. Ist Art. 57 Abs. 4 DSGVO so auszulegen, dass die Aufsichtsbehörde bei Vorliegen einer ‚offenkundig unbegründeten‘ oder ‚exzessiven‘ Anfrage (Beschwerde) frei wählen kann, ob sie eine angemessene Gebühr auf der Grundlage der Verwaltungskosten für deren Bearbeitung verlangt oder deren Bearbeitung von vornherein verweigert; verneinendenfalls welche Umstände und welche Kriterien die Aufsichtsbehörde zu berücksichtigen hat, insbesondere ob die Aufsichtsbehörde verpflichtet ist, vorrangig als gelinderes Mittel eine angemessene Gebühr zu verlangen, und erst im Fall der Aussichtslosigkeit einer Gebühreneinhebung zur Hintanhaltung offenkundig unbegründeter oder exzessiver Anfragen (Beschwerden) berechtigt ist, deren Bearbeitung zu verweigern?“
Die Beantwortung der vom Verwaltungsgerichtshof dem EuGH zur Vorabentscheidung vorgelegten Fragen ist für die gegenständliche Rechtssache im Sinne der oben angeführten Judikatur relevant; sie ist für das gegenständliche Verfahren auch präjudiziell:
Mit dem angefochtenen Bescheid lehnte die belangte Behörde die Behandlung der oben angeführten Datenschutzbeschwerde des BF als „exzessiv“ im Sinne des Art. 57 Abs. 4 DSGVO ab. Es stellt sich sohin die Frage der Rechtmäßigkeit dieser Ablehnung. Dieser Entscheidung der belangten Behörde liegt ebenso wie der dem Vorlagebeschluss zugrundeliegenden Rechtssache die Annahme zugrunde, dass auch Beschwerden von betroffenen Personen nach Art. 77 Abs. 1 DSGVO unter den Begriff der Anfrage im Sinne des Art. 57 Abs. 4 DSGVO zu subsumieren sind, sodass sich auch im vorliegenden Fall die Frage nach dem Inhalt des Begriffes „exzessiv“ i.S.d. Art. 57 Abs. 4 DSGVO stellt sowie, ob die Aufsichtsbehörden frei wählen können, aus Anlass einer exzessiven Anfrage (Beschwerde) entweder für deren Bearbeitung eine angemessene Gebühr zu verlangen oder von vornherein deren Bearbeitung zu verweigern, was an Hand des Wortlauts oder Kontextes der Bestimmung nicht zweifelsfrei beantwortet werden kann.
Verneint der EuGH die erste Vorlagefrage, wäre die Ablehnung der Behandlung der Datenschutzbeschwerde des BF durch die belangte Behörde jedenfalls zu Unrecht erfolgt. Bejaht der EuGH die erste Vorlagefrage, kommt es für die vom Bundesverwaltungsgericht vorzunehmende Beurteilung der Rechtmäßigkeit des Vorgehens der belangten Behörde darauf an, wie der EuGH (im Sinne der zweiten Vorlagefrage) den Inhalt des Begriffs „exzessiv“ in Art. 57 Abs. 4 DSGVO definiert sowie, ob der EuGH (im Sinne der dritten Vorlagefrage) ein Wahlrecht der Aufsichtsbehörden annimmt, aus Anlass einer exzessiven Anfrage (Beschwerde) entweder für deren Bearbeitung eine angemessene Gebühr zu verlangen oder von vornherein deren Bearbeitung zu verweigern.
Vor diesem Hintergrund ist davon auszugehen, dass der Beantwortung der vom Verwaltungsgerichtshof an den EuGH herangetragenen Fragen für die Behandlung der gegenständlichen Datenschutzbeschwerde bzw. Bescheidbeschwerde Bedeutung zukommt, weshalb die Voraussetzungen des § 38 AVG vorliegen. Die Anwendung des Unionsrechts und dessen Auslegung erscheinen auch nicht als derart offenkundig, dass für einen vernünftigen Zweifel kein Raum bleibt (vgl. EuGH 6.10.1982, Srl C.I.L.F.I.T. u.a., C 283/81, EU:C:1982:335; 6.10.2021, Consorzio Italian Management, C 561/19, EU:C:2021:799, Rn. 39ff.). Im Interesse an einer einheitlichen Rechtsprechung und an einem Erkenntnisgewinn aus dem beim EuGH anhängigen Verfahren war das dem erkennenden Gericht zustehende Ermessen zu Gunsten einer Aussetzung zu üben, zumal auch nicht ersichtlich ist, dass der Aussetzung überwiegende Interessen entgegenstehen, weil der BF selbst diese in seiner Beschwerde beantragte.
Das Beschwerdeverfahren war daher – mit nicht bloß verfahrensleitendem Beschluss (vgl. VwGH 20.12.2017, Ra 2017/12/0119) – bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Verwaltungsgerichtshofes vom 27.06.2023 vorgelegten Fragen auszusetzen (vgl. auch VwGH 27.06.2023, Ra 2020/04/0084, betreffend die Aussetzung eines Revisionsverfahrens, das ebenfalls die Ablehnung der Behandlung einer Datenschutzbeschwerde durch die belangte Behörde zum Gegenstand hat, bis zur Entscheidung des EuGH über das genannte Vorabentscheidungsersuchen des Verwaltungsgerichtshofes).
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützen.
Rückverweise
