Spruch
W108 2288584-1/6E
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom 28.11.2023, Zl. D124.2564 2023-0.769.506, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Partei: XXXX ) beschlossen:
A)
Die Beschwerde wird gemäß § 31 Abs. 1 VwGVG als unzulässig zurückgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Text
Begründung:
I. Verfahrensgang und Sachverhalt:
1.1. In der verfahrensgegenständlichen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß § 24 Datenschutzgesetz (DSG) sowie Art. 77 Datenschutz-Grundverordnung (DSGVO) vom 28.05.2020 machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG sowie Art. 5 DSGVO durch die XXXX (nunmehr XXXX ; mitbeteiligte Partei) geltend.
Dazu wurde zusammengefasst vorgebracht, dass es einen großen Datendiebstahl gegeben habe und Daten aller Österreicher und somit auch die höchstpersönlichen Daten des Beschwerdeführers betroffen seien.
1.2. Aufgrund einer Vielzahl gleichgelagerter Datenschutzbeschwerden, denen der gleiche Sachverhalt zugrunde lag, führte die belangte Behörde, protokolliert zur Zahl D124.0227/23, ein einheitliches Ermittlungsverfahren („Hauptverfahren“) durch, in dessen Rahmen sie die wesentlichen Ermittlungsschritte setzte und die gewonnenen Ermittlungsergebnisse im Sinne der Verfahrensökonomie allen gegen die mitbeteiligte Partei gerichteten Verfahren zu Grunde legte.
1.3. Mit dem nunmehr angefochtenen Bescheid entschied die belangte Behörde über die Datenschutzbeschwerde wegen Verletzung im Recht auf Geheimhaltung wie folgt (Formatierung nicht 1:1 wiedergegeben):
„Der Beschwerde wird Folge gegeben und es wird festgestellt, dass die Beschwerdegegnerin die beschwerdeführende Partei im Recht auf Geheimhaltung verletzt hat, indem die Beschwerdegegnerin es mangels geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten der beschwerdeführenden Partei (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden.“
1.4. Gegen diesen Bescheid erhoben sowohl der Beschwerdeführer als auch die mitbeteiligte Partei (protokolliert zur hg. Zahl W108 2288652-1) fristgerecht Bescheidbeschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG an das Bundesverwaltungsgericht.
Der Beschwerdeführer brachte zusammengefasst vor, dass die belangte Behörde gegen „europäisches Recht“ verstoßen habe, indem sie kein Verwaltungsstrafverfahren eingeleitet habe, sowie, dass der Informationspflicht unzureichend nachgekommen worden sei, da er kein persönliches Anschreiben, dass die persönlichen Daten verloren gegangen seien, erhalten habe.
1.5. Die belangte Behörde machte von der Möglichkeit der Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie ausführte, dass die Beschwerde sich bereits deswegen als unbegründet erweise, als sie sich gegen einen Bescheid richte, in dem einer vom Beschwerdeführer eingebrachten Datenschutzbeschwerde im Spruch Folge gegeben und eine Verletzung seines Grundrechts auf Geheimhaltung gemäß § 1 DSG infolge von Verstößen gegen die DSGVO festgestellt worden sei. Der Beschwerdeführer sei demnach durch den angefochtenen Bescheid nicht beschwert oder in sonstiger Weise denkmöglich benachteiligt.
1.6. Die mitbeteiligte Partei brachte eine Beschwerdebeantwortung ein, in der sie ebenfalls die Auffassung vertrat, dem Beschwerdeführer mangle es an der formellen Beschwer.
1.7. Mit Schreiben vom 13.12.2024 gewährte das Bundesverwaltungsgericht dem Beschwerdeführer zur Frage des Vorliegens einer Beschwer unter Hinweis auf die Entscheidung des Verwaltungsgerichtshofes vom 31.05.2017, Ro 2017/17/0004, Parteiengehör.
1.8. Der Beschwerdeführer erstattete in der Folge jedoch keine Stellungnahme.
II. Das Bundeverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. dargestellte Verfahrensgang wird als Sachverhalt zu Grunde gelegt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten und dem gegenständlichen Gerichtsakt.
3. Rechtliche Beurteilung:
Zu A)
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen, soweit nicht ein Erkenntnis zu fällen ist, durch Beschluss.
3.2. Zu den Prozessvoraussetzungen:
Die Beschwerde wurde fristwahrend erhoben, es ist jedoch festzuhalten, dass Prozessvoraussetzung für die Führung von Verfahren vor Verwaltungsgerichten unter anderem das Bestehen eines Rechtsschutzinteresses ist. Dieses besteht im objektiven Interesse des Beschwerdeführers an der Beseitigung des angefochtenen, ihn beschwerenden Verwaltungsaktes. Es wird immer dann zu verneinen sein, wenn es für die Rechtsstellung des Beschwerdeführers keinen Unterschied mehr macht, ob der angefochtene Bescheid aufrecht bleibt oder aufgehoben wird bzw. wenn die Erreichung des Verfahrenszieles für den Beschwerdeführer keinen objektiven Nutzen hat, die aufgeworfenen Rechtsfragen soweit nur (mehr) theoretische Bedeutung besitzen. Im Falle des Fehlens des Rechtsschutzinteresses ist die Beschwerde zurückzuweisen (VwGH 27.07.2017, Ra 2017/07/0014).
Mit dem angefochtenen Bescheid wurde der Datenschutzbeschwerde des Beschwerdeführers Folge gegeben und festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer im Recht auf Geheimhaltung verletzt hat, indem die Beschwerdegegnerin es mangels geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten des Beschwerdeführers (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden.
Der Beschwerdeführer erhob trotz dieser stattgebenden Entscheidung der belangten Behörde Bescheidbeschwerde an das Bundesverwaltungsgericht und führte aus, dass die belangte Behörde gegen „europäisches Recht“ verstoßen habe, indem sie kein Verwaltungsstrafverfahren eingeleitet habe, sowie, dass der Informationspflicht unzureichend nachgekommen worden sei, da er kein persönliches Anschreiben, dass die persönlichen Daten verloren gegangen seien, erhalten habe.
Voraussetzung für die Zulässigkeit der Beschwerde ist jedoch – wie oben ausgeführt – das Bestehen eines Rechtsschutzinteresses. Wenn der Beschwerde - wie im vorliegenden Beschwerdefall - vollinhaltlich stattgegeben wurde, so steht der Zulässigkeit einer derartigen Bescheidbeschwerde der Mangel der formellen Beschwer und daher des Rechtsschutzbedürfnisses entgegen (vgl. VwGH 31.05.2017, Ro 2017/17/0004 mit Verweis auf VwGH 25.08.2016, Ro 2014/17/0148, mwN).
Wie die belangte Behörde zutreffend ausführt, war das vom Beschwerdeführer gestellte Anbringen in seiner Beschwerde vom 28.05.2020 allgemein auf „Wahrung meiner Rechte“ bzw. auf Feststellung einer „Verletzung meiner Rechte“ gerichtet, weshalb der Beschwerdeführer durch den angefochtenen Bescheid nicht in seinem Recht auf Geheimhaltung verletzt ist. Das mit der erhobenen Datenschutzbeschwerde angestrebte Ziel, nämlich die Feststellung der Verletzung des Rechtes auf Geheimhaltung, wurde durch den stattgebenden Ausspruch der belangten Behörde im angefochtenen Bescheids bereits erreicht. Der Beschwerdeführer kann daher kein objektives Interesse an der Beseitigung dieses Spruchpunktes haben, ein zusätzlicher Anspruch auf Einleitung eines Verwaltungsstrafverfahrens besteht – wie die belangte Behörde ebenfalls zurecht ausführt – nicht, zumal Gegenstand des Beschwerdeverfahrens gemäß Art. 77 Abs. 1 DSGVO und § 24 Abs. 1 DSG nicht die Verhängung einer Verwaltungsstrafe (Geldbuße gemäß Art. 83 DSGVO) war, auf die Verhängung einer solchen Strafe gemäß § 25 Abs. 1 VStG kein subjektives Recht der betroffenen Person besteht, und im Übrigen im Fall einer in Form des Privatrechts (Gesellschaft mit beschränkter Haftung) eingerichteten Stelle, die im gesetzlichen Auftrag handelte (Datenverarbeitung für den Zweck der Einhebung der früheren Rundfunkgebühren gemäß § 4 Abs. 1 RGG), gemäß § 30 Abs. 5 DSG keine Geldbuße verhängt hätte werden können, was gemäß Art. 83 Abs. 7 DSGVO auch unionsrechtlich zulässig ist. Die Verletzung der Informationspflicht gemäß Art. 14 DSGVO war ebenfalls nicht vom Gegenstand des Beschwerdeverfahrens vor der belangten Behörde erfasst und ist „Sache“ des Beschwerdeverfahrens vor dem Verwaltungsgericht - ungeachtet des durch § 27 VwGVG vorgegebenen Prüfumfangs – jedenfalls nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat (vgl. dazu etwa VwGH 17.12.2014, Ra 2014/03/0049; VwGH 22.01.2015, Ra 2014/06/0055; VwGH 26.03.2015, Ra 2014/07/0077).
Die Bescheidbeschwerde war daher wegen Fehlen des Rechtsschutzinteresses als unzulässig zurückzuweisen.
Eine mündliche Verhandlung konnte gemäß § 24 Abs. 2 Z 1 VwGVG entfallen, da die Beschwerde zurückzuweisen war.
Zu B)
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.