Die Beschwerdeführerin ist durch den angefochtenen Bescheid weder in einem verfassungsgesetzlich gewährleisteten Recht noch wegen Anwendung einer rechtswidrigen generellen Norm in ihren Rechten verletzt worden.
Die Beschwerde wird abgewiesen.
Entscheidungsgründe
I. Sachverhalt, Beschwerdevorbringen und Vorverfahren
1. Der Rechnungshof erstellte den "Bericht des Rechnungshofes über das Ergebnis seiner Erhebung der durchschnittlichen Einkommen sowie der zusätzlichen Leistungen für Pensionen bei Unternehmungen und Einrichtungen im Bereich der öffentlichen Wirtschaft des Bundes in den Jahren 2009 und 2010 gemäß Art121 Abs4 B-VG" und übermittelte diesen im Rahmen der Rechnungs- und Gebarungskontrolle gemäß Art121 B VG im Dezember 2011 an den Nationalrat (vgl. III 284 BlgNR 24. GP). Der Nationalrat veröffentlichte diesen Bericht auf der Internetseite des Parlaments. Auf Seite 198 des Berichts war unter dem Punkt "Einkommen Österreichischer Rundfunk, Vorstand bzw. Geschäftsführung" das durchschnittliche Einkommen für weibliche Vorstände/Geschäftsführer aus dem Jahr 2010 angegeben. In diesem Jahr war die Beschwerdeführerin einziges weibliches Mitglied dieser Kategorie.
2. Mit dem angefochtenen Bescheid wies die Datenschutzkommission (im Folgenden: DSK) die Beschwerde der Beschwerdeführerin gegen den Rechnungshof wegen Verletzung im Recht auf Geheimhaltung zurück:
2.1. Die DSK sei unter anderem zur Entscheidung nicht zuständig, wenn die Verwendung personenbezogener Daten im Zuge eines Aktes der Gesetzgebung (§1 Abs5 DSG 2000) erfolge oder sich die Beschwerde gegen ein Organ im Dienst der Gesetzgebung richte (§31 Abs2 DSG 2000). Unter Bezugnahme auf die Erläuternden Bemerkungen zur Regierungsvorlage der DSG-Novelle 2010 und auf eine Entschließung des Nationalrates aus 1983 (817 BlgNR XVII. GP 3) sei es für die DSK unzweifelhaft, dass der Rechnungshof bei der Erstellung des Einkommensberichts und der damit verbundenen Verwendung personenbezogener Daten für den Nationalrat und damit für ein Organ der Gesetzgebung tätig geworden sei. Der Verfassungsgerichtshof habe bereits in seinem Erkenntnis VfSlg 15.130/1998 klargestellt, dass die Verwaltungsbefugnis der Datenschutzkommission keinesfalls gegenüber dem Gesetzgeber und dessen Hilfsorganen bestünde.
2.2. Die Berichterstattungspflicht des Rechnungshofes im Zuge der Kontrolle des ORF an den Nationalrat ergebe sich für die DSK aus zwei Argumenten:
Zum einen werde der Rechnungshof bei der Prüfung des ORF als Organ des Nationalrates tätig, weswegen er gemäß Art126b Abs1 B-VG dem Nationalrat zu berichten habe.
Zum anderen verweise §31a Abs2 ORF-G in Bezug auf die Gebarungskontrolle des ORF durch den Rechnungshof auf §12 RHG und stelle damit klar, dass dem Rechnungshof gegenüber dem ORF dieselben Prüfungsrechte wie gegenüber Bundesunternehmungen im Sinne des Art126 Abs2 B-VG zustehen.
Es seien daher die Voraussetzungen des Art121 Abs4 B-VG erfüllt und die DSK sei zur Behandlung der Beschwerde nicht zuständig, weil der Rechnungshof bei der Erstellung des Einkommensberichts und der damit verbundenen Verwendung personenbezogener Daten für den Nationalrat und damit für ein Organ der Gesetzgebung tätig werde.
3. In der dagegen erhobenen Beschwerde macht die Beschwerdeführerin die Verletzung im verfassungsgesetzlich gewährleisteten Recht auf ein Verfahren vor dem gesetzlichen Richter gemäß Art83 Abs2 B-VG und die Verletzung in Rechten infolge Anwendung eines verfassungswidrigen Gesetzes geltend.
3.1. Es sei verfehlt, wenn die DSK sowohl im Spruch des Bescheides als auch in dessen Begründung ohne Einschränkung auf die Anwendbarkeit des §12 RHG verweise und in ihre Überlegungen auch §1 Abs1 und 3 RHG mit einbeziehe. Dem klaren Wortlaut des §31a Abs2 erster Halbsatz ORF-G sei zu entnehmen, dass bei der Ausübung der Kontrolle durch den Rechnungshof von den Bestimmungen des Rechnungshofgesetzes nur dessen §12 und dieser auch nur hinsichtlich der Abs1, 3 und 5 sinngemäß anzuwenden sei. Die sinngemäße Anwendbarkeit nur der genannten Bestimmungen des Rechnungshofgesetzes sei erforderlich, weil sich das Rechnungshofgesetz nicht auf die Gebarung des ORF beziehe, die keiner der in den Abschnitten I. bis IV. des Rechnungshofgesetzes genannten Gebarungen zugeordnet werden könne. Welche Bestimmungen des Rechnungshofgesetzes auch auf die Gebarungsüberprüfung des ORF anzuwenden sind, habe der Gesetzgeber somit explizit festzulegen gehabt. Dies habe er nur bezüglich der Bestimmungen des §12 Abs1, 3 und 5 RHG getan.
Aus der sinngemäßen Anwendbarkeit der Bestimmungen des §12 Abs1, 3 und 5 RHG ergebe sich weder eine Berichterstattungspflicht an den Nationalrat noch eine solche zur Aufnahme der Gehaltsdaten der Beschwerdeführerin in den Einkommensbericht. Insbesondere könne auch aus der sinngemäßen Anwendung des §12 Abs5 RHG, wonach bei Veröffentlichung der Prüfungsergebnisse das Geschäfts- und Betriebsgeheimnis der überprüften Unternehmung — im Beschwerdefall also des ORF — nicht verletzt werden dürfe, kein Schluss auf eine Berichterstattungspflicht an den Nationalrat gezogen werden, zumal sämtliche Ergebnisse einer Gebarungsprüfung durch den Rechnungshof — und zwar unabhängig davon, ob eine Berichtspflicht an den Nationalrat besteht oder nicht — zu veröffentlichen seien (vgl. insbesondere Art127b Abs4 B-VG betreffend die Gebarungsprüfung der gesetzlich beruflichen Vertretungen).
Da der ORF keine Unternehmung im Sinne des Art126b Abs2 B-VG sei, könne auch der Hinweis auf diese Verfassungsbestimmung im Bescheid der DSK deren Rechtsansicht nicht stützen.
Da sich somit aus keiner der die Gebarungsprüfung des ORF betreffenden Be-stimmungen eine Berichtspflicht an den Nationalrat ergebe bzw. keine Bestimmung gefunden werden könne, welche die Aufnahme von Gehaltsdaten den ORF betreffend in den Einkommensbericht des Rechnungshofs zu rechtfertigen vermöge, erweise sich das diesbezügliche Handeln des Rechnungshofs als eigenständig und somit nicht dem Organ Nationalrat zurechenbar.
3.2. Die DSK habe die Zurückweisung der Beschwerde der Beschwerdeführerin damit begründet, dass der Rechnungshof für ein Organ der Gesetzgebung, nämlich den Nationalrat, tätig geworden sei. Die DSK habe sich auf §31 Abs2 DSG 2000 berufen, wonach unter anderem die DSK dann nicht zur Entscheidung zuständig sei, wenn sich eine Beschwerde gegen ein Organ im Dienste der Gesetzgebung richte. Diese Bestimmung stehe nach Meinung der Beschwerdeführerin in Widerspruch zur Verfassungsbestimmung des §1 Abs5 letzter Satz DSG 2000, der eine Unzuständigkeit der DSK unter anderem nur in dem Fall vorsehe, dass es sich um einen Akt der Gesetzgebung handle. Die Begriffe "Akt der Gesetzgebung" in §1 Abs5 DSG 2000 und "Organ im Dienste der Gesetzgebung" in §31 Abs2 DSG 2000 seien ihrem Wortlaut nach derart verschieden, dass sie nicht als Synonym angesehen werden könnten. Entweder erweitere §31 Abs2 DSG 2000 in unzulässiger Weise die verfassungsgesetzliche Zuständigkeitsregelung des §1 Abs5 leg.cit. — was im gegenständlichen Fall vorzuliegen scheine — oder es schränke diese — in ebenso unzulässiger Weise — ein. Die Wortfolge "der Gesetzgebung oder" in §31 Abs2 DSG 2000 erscheine daher im Lichte der Verfassungsbestimmung des §1 Abs5 zweiter Satz DSG 2000 als verfassungswidrig bzw. nicht dem gerade für Zuständigkeitsbestimmungen geforderten, aus Art18 Abs1 B-VG ableitbaren Bestimmtheitsgebot zu entsprechen.
3.3. Folge man der Argumentation, dass es sich im vorliegenden Fall um ein eigenständiges Handeln des Rechnungshofes gehandelt habe, das diesem selbst und nicht dem Nationalrat zuzuordnen sei, könne in der Aufnahme der Gehaltsdaten der Beschwerdeführerin in den Einkommensbericht und deren nachfolgender Veröffentlichung kein Akt der Gesetzgebung erblickt werden. Daran könne auch die Bestimmung des Art122 Abs1 erster Satz B-VG, wonach der Rechnungshof unmittelbar dem Nationalrat untersteht, nichts ändern; sie sei vielmehr als Beweis dafür anzusehen, dass der Rechnungshof als Verwaltungsorgan anzusehen ist, weil dessen Unterstellung unter den Nationalrat auf Grund des Gewaltentrennungsprinzips eben dieser Verfassungsbestimmung bedurft habe. Die Unterstellung unter den Nationalrat könne nur für Angelegenheiten gelten, für die dem Nationalrat eine Zuständigkeit zukomme, wie zB für die Behandlung des ihm vorzulegenden Einkommensberichtes. Wenn aber die den ORF betreffenden Gehaltsdaten nicht in den Einkommensbericht des Rechnungshof aufzunehmen seien, sei es keinesfalls zwingend, dieses Handeln des Rechnungshofes als einen Akt der Gesetzgebung anzusehen.
3.4. Diese Auslegung sei aus unionsrechtlichen Überlegungen auch geboten: Jahnel , Datenschutzrecht, 2010, Rz 2/76, weise darauf hin, dass das datenschutz-rechtliche Grundrecht auf Geheimhaltung zwar grundsätzlich auch hinsichtlich der Staatsfunktion Gesetzgebung gelte und diese binde (vgl. dazu auch das Erkenntnis VfSlg 17.065/2003, zu §8 Abs1 bis 3 BezBegrBVG), eine Durchsetzung dieses Rechtes bei der DSK aber wegen §1 Abs5 DSG 2000 nicht möglich sei, weil die DSK für Eingriffe durch Organe der Gesetzgebung nicht zuständig sei. Da der Zivilrechtsweg nach den §§32 ff. leg.cit. ebenfalls nicht in Betracht komme, ergebe sich, dass dieses Rechtschutzdefizit im Widerspruch zu Art22 Datenschutz-Richtlinie, allenfalls auch zu Art28 Datenschutz-Richtlinie stehe, demzufolge die Mitgliedstaaten dafür Sorge zu tragen haben, dass jede Person bei Verletzung der Rechte, die ihr durch die für die betreffende Verarbeitung geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht einen Rechtsbehelf einlegen kann, bzw. dass eine unabhängige Kontrollstelle mit wirksamen Einwirkungsbefugnissen für die Überwachung des Datenschutzes vorzusehen ist. Ergänzend sei auch auf Art8 Abs3 GRC hinzuweisen, wonach die Einhaltung der den Schutz personenbezogener Daten von einer unabhängigen Stelle überwacht werden muss.
Im Übrigen ergebe sich die unmittelbare Anwendbarkeit der Bestimmungen der Datenschutz-Richtlinie aus dem Erkenntnis des Verfassungsgerichtshofes VfSlg 17.065/2003.
4. Die DSK übermittelte die Verwaltungsakten, sah aber von der Erstattung einer Gegenschrift ab.
II. Rechtslage
1. §31a des Bundesgesetzes über den Österreichischen Rundfunk (ORF-Gesetz – ORF G), BGBl 379/1984, in der Fassung BGBl I 83/2001, lautet:
"§31a. (1) (Verfassungsbestimmung) Die Gebarung des Österreichischen Rundfunks unterliegt der Kontrolle des Rechnungshofes.
(2) Bei der Ausübung der Kontrolle ist §12 Abs1, 3 und 5 des Rechnungshofgesetzes, BGBl Nr 144/1948, sinngemäß anzuwenden; das Ergebnis seiner Prüfung hat der Rechnungshof dem Stiftungsrat mitzuteilen."
2. §12 des Bundesgesetzes über den Rechnungshof (Rechnungshofgesetz 1948 – RHG), BGBl 144/1948, in der Fassung BGBl I 98/2010, lautet:
"§12. (1) Dem Rechnungshof obliegt die Überprüfung der Gebarung sonstiger Unternehmungen, an denen der Bund allein oder gemeinsam mit anderen der Zuständigkeit des Rechnungshofes unterliegenden Rechtsträgern jedenfalls mit mindestens 50 vH des Stamm-, Grund- oder Eigenkapitals beteiligt ist oder die der Bund allein oder gemeinsam mit solchen Rechtsträgern betreibt. Dem Rechnungshof obliegt weiters die Überprüfung jener Unternehmungen, die der Bund allein oder gemeinsam mit anderen der Zuständigkeit des Rechnungshofes unterliegenden Rechtsträgern durch finanzielle oder sonstige wirtschaftliche oder organisatorische Maßnahmen tatsächlich beherrscht. Die Zuständigkeit des Rechnungshofes erstreckt sich auch auf Unternehmungen jeder weiteren Stufe, bei denen die Voraussetzungen gemäß diesem Absatz vorliegen. Die Überprüfung des Rechnungshofes hat sich auf die ziffernmäßige Richtigkeit, die Übereinstimmung mit den bestehenden Vorschriften, ferner auf die Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit der Gebarung dieser Unternehmungen zu erstrecken.
(2) Die Bundesministerien, die die Interessen des Bundes bei diesen Unternehmungen wahrnehmen, haben von den ihnen zukommenden Bilanzen und Rechnungsbelegen dieser Unternehmungen sofort nach Einlangen dem Rechnungshof eine Gleichschrift zu übermitteln und diesem auch binnen drei Monaten das Ergebnis ihrer allfälligen Prüfung mitzuteilen. Zugleich sind dem Rechnungshof die Berichte etwaiger Vertreter des Bundes in der Verwaltung dieser Unternehmungen bekanntzugeben und ist ihm alles etwa sonst noch erforderliche Aktenmaterial zur Verfügung zu halten.
(3) Der Rechnungshof ist zum Zwecke der Überprüfung befugt, bei den im Abs1 genannten Unternehmungen in sämtliche Rechnungsbücher und -belege sowie sonstige Behelfe (wie Geschäftsstücke, Verträge, Korrespondenzen) einschließlich jener des laufenden Geschäftsjahres Einsicht zu nehmen und alle ihm erforderlich erscheinenden Auskünfte zu verlangen.
(4) Das Ergebnis seiner Prüfung hat der Rechnungshof den zuständigen Bundesministerien und dem Bundesministerium für Finanzen mitzuteilen.
(5) Aus Anlaß der Überprüfung durch Organe des Rechnungshofes sowie bei Veröffentlichung der Prüfungsergebnisse darf das Geschäfts- und Betriebsgeheimnis der überprüften Unternehmung nicht verletzt werden."
3. Die einschlägigen Bestimmungen der §§1 und 31 des Bundesgesetzes über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000), BGBl I 165/1999, in der Fassung BGBl I 133/2009, lauten:
"Artikel 1
(Verfassungsbestimmung)
Grundrecht auf Datenschutz
§1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art8 Abs2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl Nr 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
(4) Beschränkungen der Rechte nach Abs3 sind nur unter den in Abs2 genannten Voraussetzungen zulässig.
(5) Gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, ist, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzkommission zur Entscheidung zuständig, es sei denn, daß Akte der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.
[…]
Beschwerde an die Datenschutzkommission
§31. (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach §26 oder nach §50 Abs1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach §49 Abs3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.
(2) Die Datenschutzkommission erkennt weiters über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Geheimhaltung (§1 Abs1) oder in ihrem Recht auf Richtigstellung oder auf Löschung (§§27 und 28) verletzt zu sein, sofern der Anspruch nicht nach §32 Abs1 vor einem Gericht geltend zu machen ist oder sich gegen ein Organ im Dienste der Gesetzgebung oder der Gerichtsbarkeit richtet.
[…]"
4. Die maßgeblichen Bestimmungen der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. 1995 L 46, 31, (im Folgenden: Datenschutz-Richtlinie) in der geltenden Fassung lauten:
"Artikel 1
Gegenstand der Richtlinie
(1) Die Mitgliedstaaten gewährleisten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten.
(2) Die Mitgliedstaaten beschränken oder untersagen nicht den freien Verkehr personenbezogener Daten zwischen Mitgliedstaaten aus Gründen des gemäß Absatz 1 gewährleisteten Schutzes.
Artikel 2
Begriffsbestimmungen
Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a) 'personenbezogene Daten' alle Informationen über eine bestimmte oder bestimmbare natürliche Person („betroffene Person“); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;
b) 'Verarbeitung personenbezogener Daten' ('Verarbeitung') jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;
c) 'Datei mit personenbezogenen Daten' ('Datei') jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig ob diese Sammlung zentral, dezentralisiert oder nach funktionalen oder geographischen Gesichtspunkten aufgeteilt geführt wird;
d) 'für die Verarbeitung Verantwortlicher' die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Sind die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten in einzelstaatlichen oder gemeinschaftlichen Rechts- und Verwaltungsvorschriften festgelegt, so können der für die Verarbeitung Verantwortliche bzw. die spezifischen Kriterien für seine Benennung durch einzelstaatliche oder gemeinschaftliche Rechtsvorschriften bestimmt werden;
e) 'Auftragsverarbeiter' die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet;
f) 'Dritter' die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, außer der betroffenen Person, dem für die Verarbeitung Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters befugt sind, die Daten zu verarbeiten;
g) 'Empfänger' die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die Daten erhält, gleichgültig, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines einzelnen Untersuchungsauftrags möglicherweise Daten erhalten, gelten jedoch nicht als Empfänger;
h) 'Einwilligung der betroffenen Person' jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, daß personenbezogene Daten, die sie betreffen, verarbeitet werden.
Artikel 3
Anwendungsbereich
(1) Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.
(2) Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten,
— die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln Vund VI des Vertrags über die Europäische Union, und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates (einschließlich seines wirtschaftlichen Wohls, wenn die Verarbeitung die Sicherheit des Staates berührt) und die Tätigkeiten des Staates im strafrechtlichen Bereich;
— die von einer natürlichen Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten vorgenommen wird.
[…]
Artikel 22
Rechtsbehelfe
Unbeschadet des verwaltungsrechtlichen Beschwerdeverfahrens, das vor Beschreiten des Rechtsweges insbesondere bei der in Artikel 28 genannten Kontrollstelle eingeleitet werden kann, sehen die Mitgliedstaaten vor, daß jede Person bei der Verletzung der Rechte, die ihr durch die für die betreffende Verarbeitung geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht einen Rechtsbehelf einlegen kann.
[…]
Artikel 28
Kontrollstelle
(1) Die Mitgliedstaaten sehen vor, daß eine oder mehrere öffentliche Stellen beauftragt werden, die Anwendung der von den Mitgliedstaaten zur Umsetzung dieser Richtlinie erlassenen einzelstaatlichen Vorschriften in ihrem Hoheitsgebiet zu überwachen.
Diese Stellen nehmen die ihnen zugewiesenen Aufgaben in völliger Unabhängigkeit wahr.
(2) Die Mitgliedstaaten sehen vor, daß die Kontrollstellen bei der Ausarbeitung von Rechtsverordnungen oder Verwaltungsvorschriften bezüglich des Schutzes der Rechte und Freiheiten von Personen bei der Verarbeitung personenbezogener Daten angehört werden.
(3) Jede Kontrollstelle verfügt insbesondere über:
— Untersuchungsbefugnisse, wie das Recht auf Zugang zu Daten, die Gegenstand von Verarbeitungen sind, und das Recht auf Einholung aller für die Erfüllung ihres Kontrollauftrags erforderlichen Informationen;
— wirksame Einwirkungsbefugnisse, wie beispielsweise die Möglichkeit, im Einklang mit Artikel 20 vor der Durchführung der Verarbeitungen Stellungnahmen abzugeben und für eine geeignete Veröffentlichung der Stellungnahmen zu sorgen, oder die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten oder das vorläufige oder endgültige Verbot einer Verarbeitung anzuordnen, oder die Befugnis, eine Verwarnung oder eine Ermahnung an den für die Verarbeitung Verantwortlichen zu richten oder die Parlamente oder andere politische Institutionen zu befassen;
— das Klagerecht oder eine Anzeigebefugnis bei Verstößen gegen die einzelstaatlichen Vorschriften zur Umsetzung dieser Richtlinie.
Gegen beschwerende Entscheidungen der Kontrollstelle steht der Rechtsweg offen.
(4) Jede Person oder ein sie vertretender Verband kann sich zum Schutz der die Person betreffenden Rechte und Freiheiten bei der Verarbeitung personenbezogener Daten an jede Kontrollstelle mit einer Eingabe wenden. Die betroffene Person ist darüber zu informieren, wie mit der Eingabe verfahren wurde.
Jede Kontrollstelle kann insbesondere von jeder Person mit dem Antrag befaßt werden, die Rechtmäßigkeit einer Verarbeitung zu überprüfen, wenn einzelstaatliche Vorschriften gemäß Artikel 13 Anwendung finden. Die Person ist unter allen Umständen darüber zu unterrichten, daß eine Überprüfung stattgefunden hat.
(5) Jede Kontrollstelle legt regelmäßig einen Bericht über ihre Tätigkeit vor. Dieser Bericht wird veröffentlicht.
(6) Jede Kontrollstelle ist im Hoheitsgebiet ihres Mitgliedstaats für die Ausübung der ihr gemäß Absatz 3 übertragenen Befugnisse zuständig, unabhängig vom einzelstaatlichen Recht, das auf die jeweilige Verarbeitung anwendbar ist. Jede Kontrollstelle kann von einer Kontrollstelle eines anderen Mitgliedstaats um die Ausübung ihrer Befugnisse ersucht werden.
Die Kontrollstellen sorgen für die zur Erfüllung ihrer Kontrollaufgaben notwendige gegenseitige Zusammenarbeit, insbesondere durch den Austausch sachdienlicher Informationen.
(7) Die Mitgliedstaaten sehen vor, daß die Mitglieder und Bediensteten der Kontrollstellen hinsichtlich der vertraulichen Informationen, zu denen sie Zugang haben, dem Berufsgeheimnis, auch nach Ausscheiden aus dem Dienst, unterliegen."
III. Erwägungen
Der Verfassungsgerichtshof hat über die – zulässige – Beschwerde erwogen:
1. Das Recht auf ein Verfahren vor dem gesetzlichen Richter wird durch den Bescheid einer Verwaltungsbehörde verletzt, wenn die Behörde eine ihr gesetzlich nicht zukommende Zuständigkeit in Anspruch nimmt (zB VfSlg 15.372/1998, 15.738/2000, 16.066/2001, 16.298/2001 und 16.717/2002) oder wenn sie in gesetzwidriger Weise ihre Zuständigkeit ablehnt, etwa indem sie zu Unrecht eine Sachentscheidung verweigert (zB VfSlg 15.482/1999, 15.858/2000, 16.079/2001 und 16.737/2002).
Im vorliegenden Verfahren geht es grundlegend um die Frage, ob der Rechnungshof bei der Erstellung und Übermittlung des Einkommensberichts an den Nationalrat (und der damit verbundenen Verwendung personenbezogener Daten der Beschwerdeführerin) für ein Organ der Gesetzgebung tätig geworden ist. Dies ist aus folgenden Gründen zu bejahen:
2. Die Beschwerdeführerin hat zwar Recht, dass §1 Abs5 ("Akte der Gesetzgebung") und §31 Abs2 DSG 2000 ("gegen ein Organ im Dienste der Gesetzgebung") unterschiedliche Formulierungen für die Zuordnung eines Aktes zur Gesetzgebung (und damit der Unzulässigkeit des Rechtswegs bzw. der Unzuständigkeit der DSK) verwenden. Daraus kann aber kein unterschiedlicher Bedeutungsgehalt abgeleitet werden. Beide Bestimmungen sind so zu verstehen, dass gegen Akte der Gesetzgebung im engeren Sinn und gegen Tätigkeiten von Organen im Dienste der Gesetzgebung ein Rechtsweg an die DSK (oder eine sonstige Behörde) ausgeschlossen ist (vgl. VfSlg 19.112/2010).
3. Entgegen der Auffassung der Beschwerdeführerin besteht eine Berichterstattungspflicht des Rechnungshofs über die Einkommensdaten der Geschäftsführer des ORF an den Nationalrat gemäß Art121 Abs4 B-VG:
Es ist unzweifelhaft, dass der ORF auf Grund der Verfassungsbestimmung des §31a Abs2 ORF-G der Gebarungskontrolle des Rechnungshofs unterliegt. Die zweite Tatbestandsvoraussetzung des Art121 Abs4 B-VG ("Einrichtungen, … für die eine Berichterstattungspflicht an den Nationalrat besteht") ist nicht so zu verstehen, dass der Gesetzgeber ausdrücklich zB für den Einkommensbericht betreffend den ORF eine Berichterstattungspflicht festlegen hätte müssen; dieser Tatbestand ist vielmehr als Abgrenzung zur Berichtspflicht des Rechnungshofs bei gesetzlichen beruflichen Vertretungen zu sehen, bei denen gemäß Art127b B-VG keine Berichtspflicht an den Nationalrat besteht (vgl. Hengstschläger , in Korinek/Holoubek (Hg), Österreichisches Bundesverfassungsrecht, Art121/2-4 Rz. 16). Die Ausnahmen vom "regulären" Prüfverfahren wurden unter Berücksichtigung der Autonomie und Unabhängigkeit der gesetzlichen beruflichen Vertretungen vom Staat im Hinblick auf die Prüfkriterien, das Berichtswesen und die Beschlüsse von Organen gemacht und lassen sich nicht auf andere Einrichtungen (also beispielweise auf eine mit Bundesgesetz eingerichtete Stiftung des öffentlichen Rechts wie den ORF) übertragen (vgl. Budischowsky , Die Prüfung der Kammern durch den Rechnungshof, ZfV 1995, 774 ff.).
4. In Hinblick auf die einschlägigen verfassungsrechtlichen Bestimmungen hat die DSK somit zu Recht – in Übereinstimmung mit dem Erkenntnis VfSlg 15.130/1998 (dabei ging es um die Zurückweisung eines Antrags auf Feststellung der Rechtswidrigkeit der Übermittlung von Daten betreffend Arzthonorare durch das AKH Linz an den RH durch die DSK) und dem Erkenntnis VfSlg 19.112/2010 (Beschwerde gegen einen Zurückweisungsbescheid der DSK betreffend einen Antrag auf "bescheidmäßiges Absprechen über die Verletzung des verfassungsgesetzlich gewährleisteten Rechts auf Datenschutz gemäß §1 Abs1 DSG 2000 aufgrund der nichtanonymisierten Veröffentlichung der parlamentarischen Anfragen […] auf der Internetseite www.parlament.gv.at") – die Beschwerde der Beschwerdeführerin gegen den Rechnungshof wegen Berichterstattung der ihre Person betreffenden Einkommensdaten im veröffentlichten Einkommensbericht zurückgewiesen.
5. Es ergibt sich auch unter Berücksichtigung der vorgebrachten Argumente zur Anwendbarkeit unionsrechtlicher Bestimmungen nichts anderes:
5.1. Dem Erkenntnis VfSlg 17.065/2003, auf das sich die Beschwerdeführerin mehrfach bezieht, lag ein Kompetenzfeststellungsantrag des Rechnungshofes zugrunde, wonach der Verfassungsgerichtshof feststellen möge, "dass der Rechnungshof zum Zwecke der Überprüfung der Gebarung des ORF und zum Zwecke der namentlichen Einkommensberichterstattung gemäß §8 Abs1 bis 3 BezBgrBVG befugt ist, in sämtliche Unterlagen des ORF betreffend die von ihm in den Jahren 1998 und 1999 ausbezahlten Bezüge und Ruhebezüge Einsicht zu nehmen." Im Zuge dieses Verfahrens stellte der Verfassungsgerichtshof ein Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union, in dem der Verfassungsgerichtshof dem Gerichtshof der Europäischen Union einerseits die Frage stellte, ob "die gemeinschaftsrechtlichen Vorschriften, insbesondere jene über den Datenschutz so auszulegen [sind], dass sie einer nationalen Regelung entgegenstehen, die ein staatliches Organ zur Erhebung und Weiterleitung von Einkommensdaten zum Zweck der Veröffentlichung der Namen und Einkommen der Dienstnehmer […] einer öffentlich-rechtlichen Rundfunkanstalt […] verpflichten." Andererseits fragte der Verfassungsgerichtshof, ob "jene Bestimmungen, die einer nationalen Regelung des geschilderten Inhalts entgegenstehen, in dem Sinn unmittelbar anwendbar [sind], dass sich die zur Offenlegung verpflichteten Personen auf sie berufen können, um eine Anwendung entgegenstehender nationaler Vorschriften zu verhindern."
5.2. Der Gerichtshof der Europäischen Union (Urteil vom 20. Mai 2003, Rs. C 465/00, Rechnungshof gegen ORF ) antwortete auf die erste Frage, dass die nationalen Gerichte zu prüfen hätten, ob die nationalen Regelungen (§8 BezBegrBVG) im Hinblick auf das vom Verfassungsgesetzgeber verfolgte Ziel der ordnungsgemäßen Verwaltung der öffentlichen Mittel notwendig und angemessen seien. Auf die zweite Frage antwortete der Gerichtshof der Europäischen Union, dass Art6 Abs1 litc und Art7 litc und lite der Datenschutz-Richtlinie in dem Sinne unmittelbar anwendbar seien, dass sich ein Einzelner vor den nationalen Gerichten auf sie berufen könne, um die Anwendung entgegenstehender Vorschriften des innerstaatlichen Rechts zu verhindern.
5.3. Für den Verfassungsgerichtshof ergab sich im Erkenntnis VfSlg 17.065/2003 (S. 938), dass die differenziert ausgestalteten Berichtspflichten über die Ergebnisse der allgemeinen Gebarungsprüfung an die Aufsichtsorgane der geprüften Unternehmungen, die zuständigen Bundesminister sowie die regelmäßige Berichterstattung an den Nationalrat gemäß Art126d B-VG ausreichend sind, um eine ordnungsgemäße und effiziente Mittelverwendung sicherzustellen. Eine darüber hinausgehende, an andere als die genannten Organe gerichtete Offenlegung sei nicht notwendig und auch nicht vom Anwendungsbereich der Datenschutz-Richtlinie ausgenommen.
5.4. Da der Rechnungshof im konkreten Fall seine verfassungsmäßige, im Rahmen der Gebarungskontrolle bestehende Berichterstattungspflicht an den Nationalrat erfüllt hat (Art121 Abs4 B VG iVm §31a ORF G), hat er bei der Erstellung und Übermittlung des in Rede stehenden Einkommensberichtes an den Nationalrat als Organ des Nationalrates fungiert.
6. Die DSK hat somit im Sinne der ständigen Rechtsprechung des Verfassungsgerichtshofes (VfSlg 15.130/ 1998, 17.065/2003 und 19.112/2010) die Beschwerde der Beschwerdeführerin gegen den Rechnungshof zu Recht zurückgewiesen. Aus diesem Grund erweist sich die Beschwerde als unbegründet.
IV. Ergebnis und damit zusammenhängende Ausführungen
1. Die behauptete Verletzung in verfassungsgesetzlich gewährleisteten Rechten hat sohin nicht stattgefunden. Das Verfahren hat auch nicht ergeben, dass die Beschwerdeführerin wegen Anwendung eines verfassungswidrigen Gesetzes oder einer sonstigen rechtswidrigen generellen Norm in ihren Rechten verletzt wurde.
Die Beschwerde ist daher abzuweisen.
2. Diese Entscheidung konnte gemäß §19 Abs4 erster Satz VfGG ohne mündliche Verhandlung in nichtöffentlicher Sitzung getroffen werden.
Rückverweise
