Spruch
im namen der Repbulik!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Anna Caroline RIEDLER als Vorsitzende sowie den fachkundigen Laienrichter Mag. Robert AUER, MBL und den fachkundigen Laienrichter MMag. Jakob KALINA als Beisitzer über die Beschwerde von XXXX vertreten durch Rechtsanwalt Dr. Peter ZÖCHBAUER, gegen Spruchpunkt 2. a) des Bescheides der Datenschutzbehörde vom 23.08.2024, Zl. XXXX , betreffend eine datenschutzrechtliche Angelegenheit (Mitbeteiligter: XXXX ) zu Recht erkannt:
A)
Der Beschwerde wird stattgegeben und der Bescheid im angefochtenen Umfang (Spruchpunkt 2. a) ersatzlos aufgehoben.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit Bescheid vom 23.08.2024, Zl. XXXX , wies die Datenschutzbehörde die vom Mitbeteiligten erhobene Datenschutzbeschwerde gegen die Beschwerdeführerin wegen eines behaupteten Verstoßes gegen Art. 44 DSGVO im Zusammenhang mit dem Aufruf der Website XXXX als unbegründet ab (Spruchpunkt 1.). In Spruchpunkt 2. a) trug die Behörde der Beschwerdeführerin amtswegig auf, innerhalb einer Frist von sechs Wochen „[d]as Ersuchen um Einwilligung (den Cookie Banner) auf der Website XXXX (siehe Sachverhaltsfeststellung C.5.) derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt wird. Hierfür hat die [Beschwerdeführerin] den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘)“. Ferner wurde der Beschwerdeführerin in Spruchpunkt 2. b) amtswegig aufgetragen, binnen sechs Wochen „[d]ie Website XXXX derart abzuändern, dass beim Besuch der Website vor Abgabe einer Einwilligung keine Google Analytics Cookies (siehe Sachverhaltsfeststellung C.5.) gesetzt werden.“.
2. Die Beschwerdeführerin erhob gegen Spruchpunkt 2. a) des angefochtenen Bescheides Beschwerde an das Bundesverwaltungsgericht.
3. Die Datenschutzbehörde legte die Beschwerde samt den bezughabenden Akt dem Bundesverwaltungsgericht vor, erstattete eine Stellungnahme und stellte die Anträge, in der Sache selbst zu entscheiden und die Beschwerde abzuweisen.
4. Das Bundesverwaltungsgericht übermittelte der Beschwerdeführerin und dem Mitbeteiligten mit Schreiben vom 25.09.2024 die Stellungnahme der belangten Behörde vom 16.09.2024 zum Parteiengehör, woraufhin die Beschwerdeführerin mit Schreiben vom 09.10.2024 eine Stellungnahme abgab.
5. Mit Schreiben vom 10.03.2025 verständigte das Bundesverwaltungsgericht die Parteien vom Ergebnis einer ergänzenden Beweisaufnahme und gewährte den Parteien die Möglichkeit, innerhalb einer Frist von zwei Wochen eine Stellungnahme abzugeben.
6. Die Beschwerdeführerin erstattete am 24.03.2025 hierzu eine Stellungnahme.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Der Bescheid der Datenschutzbehörde vom 23.08.2024 lautet betreffend 2. a), wie folgt:
„SPRUCH
[…]
2) Der [Beschwerdeführerin] wird amtswegig aufgetragen, innerhalb einer Frist von sechs Wochen:
a) Das Ersuchen um Einwilligung (den Cookie Banner) auf der Website XXXX (siehe Sachverhaltsfeststellung C.5.) derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt wird. Hierfür hat die [Beschwerdeführerin] den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option ‚Akzeptieren‘ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa ‚Ablehnen‘ oder ‚Schließen des Cookie-Banners ohne Einwilligung‘)
[…]“
1.2. Die Beschwerdeführerin erhob in der Folge rechtzeitig Beschwerde gegen Spruchpunkt 2. a) des angefochtenen Bescheides („Der genannte Bescheid wird im Umfang des unter Spruchpunkt 2.a. erteilten amtswegigen Auftrags angefochten.“).
1.3. Der verfahrensgegenständliche Cookie-Banner stellt sich nunmehr auf erster Ebene wie folgt dar [abgerufen am 10.03.2025 und am 16.04.2025, auf XXXX
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem vorgelegten, unbedenklichen Verwaltungsakt, dem gegenständlichen Gerichtsakt und dem Aufruf der Website XXXX am 10.03.2025 und am 16.04.2025. Konkrete Hinweise, dass die vorgelegten Unterlagen unrichtig oder unecht sein sollten, sind nicht hervorgekommen und wurde dies auch nicht konkret aufgezeigt.
3. Rechtliche Beurteilung:
Zu A)
3.1. Rechtsbestimmungen
3.1.1. Die relevanten Bestimmungen der DSGVO lauten wie folgt:
Art. 4 Z 1, 2, 7 und 11 DSGVO:
Begriffsbestimmungen
Art. 4. Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
11. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
Art. 7 DSGVO:
Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
Art. 58 Abs. 2 lit. d DSGVO:
Befugnisse
[…]
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
[…]
d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen.
3.1.2. Zum Spruchpunkt 2. a) des angefochtenen Bescheides:
Die für das Bundesverwaltungsgericht maßgebliche Sach- und Rechtslage bestimmt sich – mangels anderer gesetzlicher Regelung – nach dem Zeitpunkt der verwaltungsgerichtlichen Entscheidung (vgl. bspw. VwGH 24.03.2015, Ro 2014/09/0066).
Die Datenschutzbehörde trug der Beschwerdeführerin unter Spruchpunkt 2. a) auf, die Einwilligung (den Cookie Banner) auf der Website XXXX derart abzuändern, dass beim Besuch der Website eine gültige Einwilligung geholt wird. Hierfür musste die Beschwerdeführerin den Cookie-Banner zumindest derart abändern, dass auf der ersten Ebene des Cookie-Banners neben der Option „Akzeptieren“ eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen (etwa „Ablehnen“ oder „Schließen des Cookie-Banners ohne Einwilligung“).
Diesem Leistungsauftrag hat die Beschwerdeführerin zwischenzeitlich Folge geleistet. Beim Besuch der Website der Beschwerdeführerin erscheint ein Cookie-Banner, auf dessen erster Ebene neben der Option „Alle akzeptieren“ die optisch gleichwertige Option „Alle ablehnen“ vorhanden ist, um den Cookie-Banner ohne Angabe einer Einwilligung zu schließen. Dies bestätigte die Beschwerdeführerin mit ihrer Stellungnahme vom 24.03.2025.
Damit ist auf der Website der Beschwerdeführerin zum Entscheidungszeitpunkt eine – den Vorgaben der Datenschutzbehörde im angefochtenen Bescheid entsprechende – Möglichkeit des Widerrufs der Einwilligung für die eingesetzten Cookies und die damit im Zusammenhang stehende Verarbeitung personenbezogener Daten gemäß Art. 7 Abs. 3 DSGVO gegeben, sodass die Beschwerdeführerin dem ihr unter Punkt 2. a) des angefochtenen Bescheides erteilten Leistungsauftrag entsprochen hat (vgl dazu VwGH 14.12.2021, Ro 2021/04/0007, Pkt 4.5., wonach der Löschungsauftrag auf die Beseitigung der vorhandenen Ergebnisse der rechtswidrigen Datenverarbeitung abzielt und die Unterlassungsanweisung dazu dient, in Hinkunft eine weitere rechtswidrige Datenverarbeitung zu verhindern).
Die Grundlage für den Leistungsauftrag ist daher weggefallen, weshalb Spruchpunkt 2. a) des bekämpften Bescheides ersatzlos aufzuheben war.
3.2. Zum Unterbleiben einer mündlichen Verhandlung
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Ein solcher Fall liegt hier vor: Im vorliegenden Fall ist der entscheidungsrelevante Sachverhalt anhand der Aktenlage feststehend und geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung daher nicht entgegen. Aus diesen Gründen war es auch von Amts wegen nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen.
Zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen (insbesondere VwGH 14.12.2021, Ro 2021/04/0007).