G212/2023 ua – Verfassungsgerichtshof (VfGH) Rechtssatz

Abweisung von Anträgen des VwGH und des BVwG auf Aufhebung des §31 Abs1 erster Satz, §32 Abs1 Z3, §32 Abs1 Z4 sowie §36 Abs2 Z15 DatenschutzG (DSG) idF BGBl I 120/2017.

Das Recht auf Beschwerde an die Aufsichtsbehörde einerseits und das Recht auf einen wirksamen gerichtlichen Rechtsbehelf (nach der DSGVO) andererseits müssen voneinander unbeschadet bestehen und ist keine vorrangige oder ausschließliche Zuständigkeit vorgesehen (EuGH 12.01.2023, Rs C-132/21, BE). Nichts anderes kann für die hier einschlägigen, der DSGVO nachgebildeten Art52, Art53 und Art54 der Richtlinie 2016/680 (DSRL) gelten. Auch anhand der Erwägungsgründe 85, 86 und 87 DSRL zeigt sich die (unionsrechtlich zwingende) Doppelgleisigkeit des Rechtsschutzes. Die DSRL verlangt grundsätzlich die Zuständigkeit einer (zumindest nach nationalem Recht) als Verwaltungsbehörde einzurichtenden Aufsichtsbehörde – neben der Zuständigkeit der ordentlichen Gerichtsbarkeit – im Zusammenhang mit der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung. Die Aufsichtsbehörde darf (nur) nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig gemacht werden.

Im Hinblick auf die unionsrechtlichen Vorgaben in der DSRL für die in Rede stehenden Bestimmungen des Datenschutzgesetzes ist zunächst zu klären, ob dem österreichischen Gesetzgeber ein Umsetzungsspielraum iSd doppelten Bindung zukommt, weil eine allfällige Aufhebung wegen Verfassungswidrigkeit unbestreitbar dann vorzunehmen ist, wenn ein Umsetzungsspielraum besteht. Davon zu unterscheiden ist die Frage, ob und inwieweit eine Prüfung bzw eine etwaige Aufhebung einer Bestimmung wegen Verfassungswidrigkeit in Betracht kommt, wenn kein Umsetzungsspielraum besteht, das Unionsrecht also nur eine bestimmte Umsetzung im nationalen Recht ermöglicht.

Die DSRL erlaubt bzw gebietet nur insoweit eine zulässige Umsetzung, als der Gesetzgeber (neben der Zuständigkeit der Gerichte auch) die Zuständigkeit einer Aufsichtsbehörde für die Verarbeitungen personenbezogener Daten durch die Staatsanwaltschaft normiert. Vor diesem unionsrechtlichen Hintergrund ist zu klären, ob bei Fehlen eines Umsetzungsspielraumes im nationalen Recht der Verfassungsgesetzgeber oder der (einfache) Gesetzgeber tätig werden muss bzw kann.

Im Hinblick auf Konstellationen, in denen eine Richtlinie eine inhaltliche Anordnung trifft, die im Widerspruch zu Verfassungsrecht steht, könnten Aussagen in der älteren Judikatur des VfGH so gelesen werden, dass er ein Tätigwerden des Verfassungsgesetzgebers verlangt hat.

Die Entscheidungen VfSlg 17.001/2003 und 17.022/2003 haben als mögliches Verständnis ihrer Begründung gemeinsam, dass die jeweilige verfassungsrechtliche Frage der staatsorganisatorischen Einpassung bzw nationalen Kompetenzverteilung als solche unionsrechtlich nicht determiniert war, sondern diesbezüglich ein (Umsetzungs-)Spielraum bestand.

Auf Grund des Vorrangs des Unionsrechtes auch vor dem Verfassungsrecht ist die Aufhebung einer Bestimmung, die Unionsrecht umsetzt, unzulässig, wenn das Unionsrecht dem innerstaatlichen Gesetzgeber keinen Spielraum für die inhaltliche Gestaltung einräumt, sodass der Gesetzgeber keine Möglichkeit hat, eine Ersatzregelung zu schaffen, die sowohl dem Unionsrecht als auch dem innerstaatlichen Verfassungsrecht entspricht. Aufbauend darauf geht der VfGH in VfSlg 20.070/2016 und 20.209/2017 davon aus, dass bei vollständiger Determinierung der Umsetzungsbestimmung durch die zugrunde liegende Richtlinie eine Prüfung des Umsetzungsgesetzes dem VfGH so lange verwehrt ist, als nicht die einschlägige Richtlinienbestimmung vom EuGH für ungültig erklärt wird. Entscheidend ist somit, ob der Regelungsgehalt der angefochtenen Bestimmung unionsrechtlich zwingend vorgegeben ist oder nicht (zuletzt etwa VfGH 14.12.2022, G287/2022 ua zum sog Medienprivileg im DSG).

Zum Trennungsgrundsatz (Art83 Abs2 und Art94 Abs1 B‑VG) hinsichtlich der Doppelgleisigkeit des Rechtsschutzes vor der Datenschutzbehörde (als Verwaltungsbehörde) und den ordentlichen Gerichten:

In Anbetracht der vollständigen inhaltlichen Determinierung der angefochtenen Regelungen des Datenschutzgesetzes (§32 Abs1 Z4 DSG) durch das Unionsrecht (Art46 Abs1 litf DSRL), das eine Doppelgleisigkeit des Rechtsschutzes bei der Datenschutzbehörde und bei den ordentlichen Gerichten verlangt, geht der VfGH davon aus, dass der Gesetzgeber – im Fall des Widerspruchs der angefochtenen Bestimmungen zum österreichischen Verfassungsrecht – keine Möglichkeit hätte, eine Ersatzregelung zu schaffen, die sowohl dem Unionsrecht als auch dem innerstaatlichen Verfassungsrecht entspricht.

Insofern käme eine Aufhebung der angefochtenen Bestimmungen des Datenschutzgesetzes über die Beschwerdemöglichkeit an die Datenschutzbehörde wegen des Widerspruchs gegen Art83 Abs2 und Art94 B‑VG nur dann in Betracht, wenn der EuGH die diesen Bestimmungen zugrunde liegenden Regelungen der DSRL für ungültig erklärte.

Da der VfGH allerdings nicht zuletzt auch im Hinblick auf Rs C-132/21, BE, – keine Zweifel an der Gültigkeit der Art46 Abs1 litf, Art52, Art53 und Art54 DSRL hegt, sieht er sich nicht veranlasst, den EuGH damit gemäß Art267 AEUV zu befassen.

Zur Zuständigkeit der Datenschutzbehörde als Aufsichtsbehörde über Staatsanwaltschaften hinsichtlich des behaupteten Verstoßes gegen den Trennungsgrundsatz (Art94 Abs1 B‑VG):

Die in den §§31 ff DSG geregelte Zuständigkeit der Datenschutzbehörde zur Aufsicht über Datenverarbeitungen eröffnet im Anwendungsbereich des §36 Abs1 DSG – insbesondere die Zuständigkeit zur Entscheidung über Beschwerden nach §32 Abs1 Z4 DSG – keinen Instanzenzug; die Datenschutzbehörde ist keine im Instanzenzug übergeordnete Behörde. Die Anrufung der Datenschutzbehörde mit einer Beschwerde nach §32 Abs1 Z4 DSG setzt zwar ein eigenes Verwaltungsverfahren in Gang, doch geht es in einem solchen Verfahren nicht darum, dass die Datenschutzbehörde in einer zunächst in die Zuständigkeit eines anderen Organes gefallenen Angelegenheit eine Entscheidung anstelle dieses Organs trifft. Die Datenschutzbehörde ist vielmehr zur Überwachung und Durchsetzung der maßgeblichen Bestimmungen des Datenschutzgesetzes im Anwendungsbereich des §36 Abs1 DSG – somit eines bestimmten Verhaltens aus datenschutzrechtlicher Sicht – berufen, und zwar zur Kontrolle dahin, ob darin eine Verletzung von Bestimmungen des Datenschutzgesetzes gelegen ist. Dabei verfügt die Datenschutzbehörde gegenüber den ihrer Kontrolle unterliegenden "zuständigen Stellen" über Untersuchungsbefugnisse und Abhilfebefugnisse. Letztere umfassen etwa die Befugnis der Datenschutzbehörde, der Staatsanwaltschaft die Löschung oder Berichtigung von Daten anzuordnen.

In dieser Rechtskontrolle und Anordnungsbefugnis der Datenschutzbehörde liegt eine Überordnung der Datenschutzbehörde gegenüber ihrer Aufsicht unterliegenden zuständigen Stellen.

Da die angefochtenen Bestimmungen des Datenschutzgesetzes über die Zuständigkeit der Datenschutzbehörde zur Aufsicht über Staatsanwaltschaften in Umsetzung der DSRL ergangen sind, ist zu klären, ob dem nationalen Gesetzgeber diesbezüglich ein Umsetzungsspielraum zukommt:

Der Gesetzgeber darf in Umsetzung des Art45 DSRL Staatsanwaltschaften nicht von einer Aufsicht über Datenverarbeitungen zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit ausnehmen. Die Möglichkeit der Ausnahme gemäß Art45 Abs2 zweiter Satz DSRL besteht nur für "unabhängige Justizbehörden im Rahmen ihrer justiziellen Tätigkeit".

Vor dem Hintergrund des Urteils des EuGH 27.05.2019, Rs C-508/18, OG, und Rs C-82/19, PPU – wobei dahingestellt bleiben kann, ob bzw in welchen Fällen Staatsanwaltschaften überhaupt "justizielle Tätigkeiten" iSd Art45 Abs2 zweiter Satz DSRL ausüben – ist die Möglichkeit der Ausnahme von Staatsanwaltschaften bei Datenverarbeitungen iSd DSRL auf Grund ihrer Weisungsgebundenheit unionsrechtlich verwehrt und es kommt dem nationalen Gesetzgeber diesbezüglich kein Spielraum zu.

Dem Gesetzgeber steht es offen, für die Aufsicht über Datenverarbeitungen durch Staatsanwaltschaften im Anwendungsbereich der DSRL eine eigene Aufsichtsbehörde (also nicht die Datenschutzbehörde) einzurichten. Aus Art41 Abs1 DSRL folgt unmissverständlich, dass es den Mitgliedstaaten überlassen ist, eine oder mehrere unabhängige Aufsichtsbehörden einzurichten. Bei der Einrichtung einer eigens für Staatsanwaltschaften zuständigen Aufsichtsbehörde wäre für unter dem Blickwinkel des Trennungsgrundsatzes nach Art94 Abs1 B‑VG vorgebrachten Bedenken insoweit nichts gewonnen, als auch diese gemäß den Anforderungen der DSRL einzurichtende unabhängige Aufsichtsbehörde – in Ermangelung einer entsprechenden Verfassungsbestimmung – nicht der ordentlichen Gerichtsbarkeit, sondern der Staatsfunktion Verwaltung zuzuordnen wäre. Für den VfGH ist keine Möglichkeit des einfachen Gesetzgebers erkennbar, eine mit dem Unionsrecht vereinbare nationale Regelung in Umsetzung der DSRL zu treffen, bei der die gehegten Bedenken unter dem Gesichtspunkt des Trennungsgrundsatzes des Art94 Abs1 B‑VG nicht bestünden. Mangels eines Umsetzungsspielraumes für den Gesetzgeber nach der DSRL kommt somit für den VfGH eine verfassungsrechtliche Prüfung und gegebenenfalls Aufhebung der angefochtenen Bestimmungen über die Einrichtung der Datenschutzbehörde als Aufsichtsbehörde über Datenverarbeitungen durch Staatsanwaltschaften wegen Widerspruchs zum geltend gemachten Art94 B‑VG nicht in Frage.

Der VfGH geht auch in Fällen, in denen das Recht der Europäischen Union den Gesetzgeber zu einer bestimmten Regelung unbedingt verhält (also für eine doppelte Bindung insoweit kein Raum bleibt), davon aus, dass die Bestimmungen des Art44 Abs3 B‑VG betreffend eine Gesamtänderung der Bundesverfassung einzuhalten sind. Dass die hier in Rede stehenden Regelungen der DSRL für sich oder im Zusammenhang mit sonstigen unionsrechtlichen Bestimmungen eine die Schranken des Bundesverfassungsgesetzes über den Beitritt Österreichs zur Europäischen Union, BGBl 744/1994, im Hinblick auf Art44 Abs3 B‑VG übersteigende Anordnung treffen, ist für den VfGH nicht erkennbar.