W176 2327174-1 – BVwG Entscheidung

 Spruch

W176 2327174-1/4E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden und die fachkundigen Laienrichter Mag. HALWAX und Mag. KNOLL, LL.M., als Beisitzer über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 30.09.2025, Zl. D124.0223/25, 2025-0.385.180, in einer datenschutzrechtlichen Angelegenheit (Mitbeteiligte Partei: die XXXX zu Recht erkannt:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

 Text

Begründung:

I. Verfahrensgang:

1. Mit Eingabe vom 28.01.2025, verbessert am 14.05.2025, erhob XXXX (im Folgendes BF) bei der Datenschutzbehörde Datenschutzbeschwerde gegen die die XXXX (Mitbeteiligte Partei vor dem Bundesverwaltungsgericht, im Folgenden: MP) und brachte darin im Wesentlichen Folgendes vor:

Die MP biete Frankiersysteme für Hard-Post-Versendungen an und habe dem BF eine Frankiermaschine vermietet. Sie habe dem BF angeboten, das bestehende Gerät gegen ein neueres Modell umzutauschen, welches sowohl den zu diesem Zeitpunkt geltenden als auch den ab dem Jahr 2025 vorgesehenen technischen Anforderungen entspreche. Der BF habe sich für den Umtausch auf ein solches neues Gerät entschieden, dieses sei ein Gerät mit WLAN-Router. Der BF, der als Rechtsanwalt zu besonderer beruflicher Verschwiegenheit verpflichtet sei, sei von der MP beim Umtausch auf das neue Gerät nicht darüber aufgeklärt worden, ob durch die Umstellung auf eine Netzwerkverbindung oder einen WLAN-Router weiterhin die Datensicherheit gewährleistet sei und wie die Netzwerkanbindung funktioniere. Auch fehle eine Beschreibung, wie die Verbindung zum Netzwerk oder WLAN erfolgen solle und wie die Datensicherheit gewährleistet werde.

Es werde begehrt festzustellen, dass die Aufklärung über die Technologieänderung schon vorvertraglich unzureichend gewesen sei, überdies die Anleitung zur Datenanbindung, insbesondere über WLAN-Router, unzureichend sei und die MP den BF in seinen Rechten nach Art. 5 DSGVO, Art. 25 DSGVO und Art. 32 DSGVO verletzt habe.

Weiter brachte der BF vor, dass die neue Frankiermaschine nie in Betrieb genommen worden sei, da sie nicht funktionsfähig gewesen sei.

Auch wies er darauf hin, dass zwischen ihm und der MP vor dem Bezirksgericht für Handelssachen Wien ein Rechtsstreit über die technische Leistungsfähigkeit (erg.: des Geräts) und die Datensicherung der MP ein Rechtsstreit anhängig sei.

4. Mit dem angefochtenen Bescheid vom 30.09.2025 wies die Datenschutzbehörde (im Folgenden: belangte Behörde) die Datenschutzbeschwerde des BF als unbegründet ab, wobei sie begründend zusammengefasst Folgendes ausführte:

Voraussetzung für eine erfolgreiche Datenschutzbeschwerde sei, dass tatsächlich eine Datenverarbeitung stattgefunden habe und behauptet werde, dass durch diese eine Verletzung in Rechten stattgefunden habe. Denkbare, aber nicht erfolgte Datenverarbeitungen könnten nicht im Rahmen einer Datenschutzbeschwerde an die Datenschutzbehörde herangetragen werden. Da der BF selbst angegeben habe, die neue Frankiermaschine nie im Betrieb genommen zu haben, könne eine Verarbeitung von Daten durch diese ausgeschlossen werden. Das datenschutzrechtliche Beschwerdeverfahren diene nicht dazu, die Einhaltung objektiver Pflichten durch einen Verantwortlichen zu prüfen, ohne dass sich die Nichteinhaltung in einer Beeinträchtigung subjektiver Rechtspositionen manifestiere.

5. Gegen diesen Bescheid erhob der BF fristgerecht Bescheidbeschwerde an das Bundesverwaltungsgericht, in der er die unrichtige rechtliche Beurteilung durch die belangte Behörde geltend machte und zusammengefasst Folgendes vorbrachte:

Die Behörde habe die Abweisung der Datenschutzbeschwerde lediglich auf die Rechtsauffassung gestützt, dass mangels der Inbetriebnahme des Geräts keine Verletzung in Rechten erfolgt sei, und die gebotene inhaltliche Prüfung einer Verletzung unterlassen, wodurch der BF in seinem Recht auf ein faires Verfahren nach Art 6 EMRK verletzt worden sei.

Die vom BF gerügte Verletzung liege bereits in der unterlassenen Aufklärung über die Art der Datenverarbeitung und das Datensicherheitsniveau. Die Verpflichtungen aus den genannten Bestimmungen der DSGVO setzten nicht erst mit einer tatsächlichen Verarbeitung personenbezogener Daten ein, sondern bereits in der Phase der Systemgestaltung und vorvertraglichen Information. Durch die unterlassene Information über die eingesetzten Sicherheitsmechanismen und die Funktionsweise der Netzwerkanbindung sei nicht ersichtlich, ob das Frankiersystem datenschutzkonform konzipiert sei.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt I. dargestellten Sachverhalt zugrunde.

Insbesondere wird festgestellt, dass das Gerät, durch dessen Funktionsweise der BF in den von ihm genannten Rechten verletzt worden sei, von ihm nie in Betrieb genommen wurde.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsunterlagen und sind zwischen den Verfahrensparteien nicht strittig.

3. Rechtliche Beurteilung:

3.1. Zu Spruchpunkt A):

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungs-gericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 entscheidet das Bundesverwaltungsgericht über Beschwerden gegen Bescheide der Datenschutzbehörde durch Senat. Somit liegt gegenständlich Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das Verwaltungsgerichtsverfahrensgesetz (VwGVG) geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie andere näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. In der Sache:

3.3.1. Gemäß Art. 2 DSGVO erstreckt sich der sachliche Anwendungsbereich der Verordnung auf „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden solle“.

3.3.2. Personenbezogene Daten sind nach Art. 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Begriff der Verarbeitung wird in Art. 4 Z 2 DSGVO definiert und umfasst jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

3.3.3. Aus dem Wortlaut des Art. 2 DSGVO folgt, dass der sachliche Anwendungsbereich der Verordnung das Vorliegen einer konkreten Verarbeitung personenbezogener Daten voraussetzt. Die DSGVO knüpft für ihre Anwendbarkeit auf eine tatsächliche Datenverarbeitung an sowie auf das Setzen eines Verarbeitungsvorgangs, wie sich auch aus der Begriffsdefinition der „Verarbeitung“ in Art. 4 Z 2 DSGVO ergibt, die ausdrücklich auf einen „ausgeführten Vorgang“ abstellt.

3.3.4. Der BF bringt in seiner Datenschutzbeschwerde selbst vor, die Frankiermaschine der MP zu keinem Zeitpunkt in Betrieb genommen zu haben. Mangels Inbetriebnahme konnte es daher zu keiner Verarbeitung personenbezogener Daten des BF durch dieses Gerät kommen. Eine bloß abstrakte Gefahr, personenbezogene Daten könnten zukünftig verarbeitet werden, vermag den Anwendungsbereich der DSGVO nicht zu eröffnen, da diese nicht vor einem bloßen Risiko, sondern vor einem konkreten datenschutzrechtlichen Eingriff schützt. Art. 25 DSGVO besitzt zwar eine gewisse präventive Komponente, jedoch schützt diese Norm dennoch keine zukünftigen Verarbeitungen, sondern verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen zu treffen.

3.3.5. Nach Art. 77 Abs. 1 DSGVO hat jeder Betroffene im Sinne des Art. 4 Z 1 DSGVO das Recht, Beschwerde bei der Datenschutzbehörde zu erheben, wenn sie der Ansicht ist, die Verarbeitung ihrer personenbezogenen Daten verstoße Bestimmungen der DSGVO. Voraussetzung für eine zulässige und erfolgversprechende Beschwerde bei der Datenschutzbehörde ist jedoch, dass personenbezogene Daten der betroffenen Person tatsächlich verarbeitet werden oder verarbeitet wurden. Eine bloß potenzielle, hypothetische oder erst zukünftige Datenverarbeitung genügt hierfür nicht, da Art. 77 DSGVO (ebenso wie die anderen Regelungen der DSGVO) an einen konkreten Verarbeitungsvorgang anknüpft. Die mangelnde Aufklärung, hinsichtlich datenschutzrechtlicher Risiken kann nicht im Rahmen einer Datenschutzbeschwerde geltend gemacht werden, da sich hierfür aus dem Gesetz keine Anhaltspunkte ergeben.

3.4. Da dem angefochtenen Bescheid somit eine unrichtige rechtliche Beurteilung iSd Art. 130 Abs. 1 Z 1 B-VG nicht anzulasten war, war die Beschwerde als unbegründet abzuweisen.

3.5. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 1 und Abs. 4 VwGVG entfallen. Im vorliegenden Fall liegt kein Parteiantrag auf Durchführung einer Verhandlung vor. Es konnte zudem von einer Verhandlung abgesehen werden, da die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt und die Notwendigkeit der Durchführung einer Verhandlung auch im Hinblick auf Art. 6 Abs. 1 EMRK und Art. 47 GRC nicht ersichtlich ist. Beschwerdegegenständlich ist der entscheidungsrelevante Sachverhalt anhand der Aktenlage feststehend und geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen. Aus diesen Gründen ist es auch von Amts wegen nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen.

Zu Spruchpunkt B) (Unzulässigkeit der Revision):

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Es war somit insgesamt spruchgemäß zu entscheiden.