Spruch
W 254 2291347-1/10E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende sowie durch die fachkundige Laienrichterin Mag.a Viktoria HAIDINGER und den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzerin und Beisitzer über die Beschwerde von XXXX , vertreten durch Appiano Kramer Rechtsanwälte gegen den Bescheid der Datenschutzbehörde vom 21.03.2024, Zl. D124.1770/23 2023-0.763.207, betreffend eine Warnung gemäß Art. 58 Abs. 2 lit. a DSGVO zu Recht erkannt:
A)
Der Bescheid wird ersatzlos behoben.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:
1. In einer Datenschutzbeschwerde vom 19.07.2023, GZ:D 124.1770/23 wurde von XXXX , einem Mieter (in Folge: Mieter) der beschwerdeführenden XXXX (in Folge: beschwerdeführenden Partei) eine Verletzung im Recht auf Geheimhaltung geltend gemacht, da die beschwerdeführende Partei eine elektronische Zugangskontrolle im Haus, in welchem sich das Mietobjekt befindet, installiert hatte, durch welche die Zutritte des Mieters protokolliert werden.
2. Die Datenschutzbeschwerde wurde mit Bescheid vom 21.03.2024 mit der Begründung abgewiesen, dass - ungeachtet der Eröffnung des Anwendungsbereiches der DGSVO – es aufgrund der Verweigerung der Annahme der elektronischen Chipkarte durch den Mieter – noch nicht zur geplanten Protokollierung der Zutritte des Mieters gekommen sei.
3. Infolge dieser Datenschutzbeschwerde erließ die Datenschutzbehörde von Amts wegen den angefochtenen verfahrensgegenständlichen Bescheid vom 21.03.2024 und sprach die Warnung aus, dass die beabsichtigten Datenverarbeitungsvorgänge im Zusammenhang mit der Einführung eines elektronisch sperrbaren Zugangsschlosses des Unternehmens „Kentix“, konkret die Erhebung und Speicherung von Informationen (Datum, Uhrzeit, Benutzer*in) zu Türöffnungen der Eingangstüre durch Mieter*innen und sonstige Bewohner*innen des Hauses XXXX Wien („Buchungsereignisse“) voraussichtlich gegen die DSGVO verstoßen.
4. Gegen diesen Bescheid erhob die beschwerdeführende Partei am 18.04.2024 eine Beschwerde an das Bundesverwaltungsgericht und führte darin im Wesentlichen aus, dass ein der DSGVO unterliegender Verarbeitungsvorgang nicht vorläge und dass selbst bei Annahme eines solchen, dieser durch das überwiegende Interesse der beschwerdeführenden Partei gerechtfertigt sei.
5. Mit Schreiben vom 25.04.2024 legte die belangte Behörde die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Beschwerdevorbringen zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde.
6. Der Mieter der Wohnung XXXX erteilte mit Schreiben vom 06.09.2024 die Auskunft, dass das elektronische Schloss nunmehr seit 25.03.2024 benutzt werde.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Die beschwerdeführende Partei ist Eigentümerin der Liegenschaft mit der Adresse XXXX Wien. XXXX ist Mieter an dieser Adresse.
Am 12.02.2024 wurde ein elektronisches Schließsystem an dieser Adresse installiert. Der Mieter verweigerte zunächst die Entgegennahme und Verwendung des elektronischen Zugangsschlüssels.
Die gegen die Installation des elektronischen Schließsystems erhobene Datenschutzbeschwerde des Mieters wurde mit Bescheid vom 21.03.2024 mit der Begründung abgewiesen, dass - ungeachtet der Eröffnung des Anwendungsbereiches der DGSVO – es aufgrund der Verweigerung der Annahme der elektronischen Chipkarte durch den Mieter – noch nicht zur geplanten Protokollierung der Zutritte des Mieters gekommen sei.
Mit amtswegig erlassenen Bescheid ebenfalls vom 21.03.2024 wurde die Warnung ausgesprochen, dass die beabsichtigten Datenverarbeitungsvorgänge im Zusammenhang mit der Einführung eines elektronisch sperrbaren Zugangsschlosses des Unternehmens „Kentix“, konkret die Erhebung und Speicherung von Informationen (Datum, Uhrzeit, Benutzer*in) zu Türöffnungen der Eingangstüre durch Mieter*innen und sonstige Bewohner*innen des Hauses XXXX Wien („Buchungsereignisse“) voraussichtlich gegen die DSGVO verstoßen.
Der Mieter hat den Zugangsschlüssel kurz nach Erlass des Bescheides entgegengenommen und verwendet das elektronische Schloss seit dem 25.03.2024.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem unzweifelhaften und unstrittigen Akteninhalt. Es liegen keine einander widersprechenden Ergebnisse des Ermittlungsverfahrens vor, weshalb die Beweiswürdigung kurz ausfallen kann (VwGH vom 21.10.2014, Ro 2014/03/0076).
3. Rechtliche Beurteilung:
3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide der Datenschutzbehörde durch Senat. Gegenständlich liegt somit Senatszuständigkeit vor.
3.2. Zu Spruchteil A)
3.3. Zu den Rechtsgrundlagen:
Art. 58 Abs 2 lit a DSGVO lautet:
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen, […]
Art. 78 Abs 1 DSGVO lautet:
Art. 78 DSGVO – Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde
(1) Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.
3.4. Die mildeste in Art. 58 Abs. 2 DSGVO normierte Abhilfebefugnis ist die in lit. a normierte Warnung, welche eine Datenschutz-Aufsichtsbehörde gemäß Art. 58 Abs. 2 lit. a DSGVO gegenüber einem Verantwortlichen oder Auftragsverarbeiter aussprechen kann, wenn ein beabsichtigter Verarbeitungsvorgang „voraussichtlich“ gegen die DSGVO verstößt. Im Unterschied zum Hinweis gemäß Art. 58 Abs. 1 lit. d handelt es sich hier nicht um einen vermeintlichen, sondern um einen zu erwartenden Verstoß. Die Warnung gemäß Art. 58 Abs. 2 lit. a lässt sich somit auch als präventive Abhilfemaßnahme charakterisieren (vgl. Selmayr in Ehmann/Selmayr, DS-GVO3 Art. 58 Rz 19).
Die Warnung ist nach dem Wortlaut der Vorschrift daher nur möglich, solange die Verarbeitung lediglich geplant ist (vgl. Ziebarth in Sydow/Marsch, DS-GVO/BDSG3 Art. 58 Rz 36).
Die Erwägungsgründe zu Art. 78 DSGVO stellen klar, dass gerichtlicher Rechtsschutz gegen sämtliche Untersuchungs- und Abhilfebefugnisse nach Art. 58 Abs. 2 zu gewähren ist, dies gilt auch für Warnungen und Verwarnungen (vgl. Sydow in Sydow/Marsch, DS-GVO/BDSG3 Art. 78 Rz 22).
3.5. Das VwGVG enthält keine ausdrückliche Regelung dafür, welche Sach- und Rechtslage die VwG ihrer Prüfung zugrunde zu legen haben (vgl ErläutRV 1618 BlgNR 24. GP 13). Die hL geht entsprechend der Judikatur jedoch davon aus, dass für die Entscheidung der Verwaltungsgerichte nach § 28 VwGVG die Sach- und Rechtslage zum Zeitpunkt der Entscheidung maßgeblich ist (vgl VwGH 21. 10. 2014, Ro 2014/03/0076; 24. 3. 2015, Ro 2014/09/0066; 27. 4. 2016, Ra 2015/05/0069). Allfällige Änderungen des maßgeblichen Sachverhalts und der Rechtslage sind also zu berücksichtigen (VwGH 30.06.2015, Ra 2015/03/0022). Im Ergebnis hat das Verwaltungsgericht somit auch Sachverhaltselemente, die bei der Prüfung auf Grund der Beschwerde im gerichtlichen Verfahren hervorgekommen sind, seiner Entscheidung zugrunde zu legen (VwGH vom 18.02.2015, Ra 2015/04/0007).
Von dieser grundsätzlichen Konstellation betreffend das anwendbare Recht bestehen allerdings Ausnahmen: zum einen im Falle des Bestehens von Übergangsbestimmungen und zum anderen, wenn das Begehr der Beschwerde auf die Feststellung gerichtet war, was zu einem bestimmten Zeitpunkt rechtmäßig war (vgl. Holzer, datenschutzrechtliche Überlegungen zur Übergangsbestimmung § 69 Abs 4 DSG, jusIT 2020/8 [32]; VwGH vom 14.12.2021, Ro 2020/04/0032 [Möglichkeit der rechtsverbindlichen Feststellung einer datenschutzrechtlichen Rechtsverletzung]). Anderes gilt auch, wenn darüber abzusprechen ist, was zu einem bestimmten Zeitpunkt oder in einem bestimmten Zeitraum gegolten hat. Im vorliegenden Fall handelt es sich jedoch um keine dieser Ausnahmen, weshalb die allgemeine Regelung zum Tragen kommt, dass die im Zeitpunkt der Entscheidung geltende Sach- und Rechtslage anzuwenden ist.
Im gegenständlichen Verfahren sind neue Sachverhaltselemente hervorgekommen: nunmehr wurde die Chipkarte vom Mieter abgeholt und wird das Zugangsschloss vom Mieter der betreffenden Liegenschaft verwendet und somit werden Informationen zu Türöffnungen tatsächlich erhoben und gespeichert.
Es handelt sich zum Entscheidungszeitpunkt daher nicht mehr nur um beabsichtigte Verarbeitungsvorgänge. Nach dem Wortlaut des Art. 58 Abs 2 lit a DSGVO ist eine Warnung aber nur dann möglich, solange die Verarbeitung lediglich geplant ist.
Da die Voraussetzung der Anwendbarkeit dieser Bestimmung – nämlich, dass die Verarbeitung lediglich geplant und nicht bereits durchgeführt wird – jedenfalls zum Entscheidungszeitpunkt durch die geänderte Sachlage nicht mehr gegeben ist, war spruchgemäß zu entscheiden.
3.6. Da bereits aus diesem Grund der Bescheid ersatzlos zu beheben war, erübrigt sich die Frage, ob nicht bereits bei Erlassung des angefochtenen Bescheides keine lediglich beabsichtigte Datenverarbeitung vorlag: es ist nämlich nicht auszuschließen, dass andere Personen die Liegenschaft, welche unter anderem als Lagerplatz dient, unter Verwendung eines Chips betreten haben, da das System bereits am 12.02.2024 installiert wurde. Aus Sicht des erkennenden Senats lag daher womöglich schon bei Erlassung des angefochtenen Bescheids keine lediglich beabsichtigte Datenverarbeitung vor. Da aber jedenfalls zum Entscheidungszeitpunkt keine lediglich geplante Datenverarbeitung vorlag, konnte von der abschließenden Klärung dieser Frage abgesehen werden.
3.7. Zum Absehen von einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Die beschwerdeführende Partei hat mit Stellungnahme vom 18.04.2024 eine mündliche Verhandlung beantragt.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Ein solcher Fall liegt hier vor: Im vorliegenden Fall ist der entscheidungsrelevante Sachverhalt anhand der Aktenlage feststehend und geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung daher nicht entgegen. Aus diesen Gründen war es auch von Amts wegen nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12). Da bereits aus der Aktenlage feststand, dass der angefochtene Bescheid aufzuheben ist, konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die höchstgerichtliche Rechtsprechung zur maßgeblichen Sach- und Rechtslage ist eindeutig und wurde die diesbezügliche Judikatur des Verwaltungsgerichtshofes in der rechtlichen Beurteilung zitiert. Darüber hinaus ist auch die Rechtslage klar und eindeutig, da der Wortlaut des anzuwendenden Art. 58 Abs 2 lit a DSGVO unter Berücksichtigung der dazu vorhandenen, in der Entscheidung zitierten Kommentare keine Zweifel betreffend die Anwendbarkeit offenlässt.