Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator und die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers MMag. Dr. Gotsbacher, über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40 42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 4. April 2019, Zl. W214 2207491 1/14E, betreffend Anweisung zur Abstellung von Verstößen gegen die Datenschutz Grundverordnung (mitbeteiligte Partei: F GmbH in A, vertreten durch Dr. Marius Schober, Rechtsanwalt in 1010 Wien, Bösendorferstraße 7), zu Recht erkannt:
Der Revision wird teilweise Folge gegeben und das angefochtene Erkenntnis im Umfang der ersatzlosen Behebung des Spruchpunktes 2. der Beschwerdevorentscheidung der Datenschutzbehörde wegen Rechtswidrigkeit des Inhalts aufgehoben.
In ihrem darüberhinausgehenden Anfechtungsumfang betreffend die ersatzlose Behebung des Spruchpunktes 1. der Beschwerdevorentscheidung der Datenschutzbehörde wird die Revision abgewiesen.
Es findet kein Aufwandersatz statt.
1 1.1. Aus dem angefochtenen Erkenntnis ergibt sich folgender unstrittiger Sachverhalt:
2 Die Mitbeteiligte betreibt ein Sicherheits und Gebäudeüberwachungsunternehmen. Sie verwendet als datenschutzrechtlich Verantwortliche ein in den Fahrzeugen ihrer Außendienstmitarbeiter installiertes GPS System, das die Standortdaten der Fahrzeuge aufzeichnet, sodass die Mitbeteiligte über die Fahrtrouten der Mitarbeiter samt Ankunft und Aufenthaltszeiten der Fahrzeuge an den Standorten informiert ist.
3 1.2. In einem anonymen Schreiben an die Revisionswerberin vom 17. April 2018 teilte der Verfasser mit, die mitbeteiligte Partei überwache die firmeneigenen Fahrzeuge per GPS. Die Arbeitnehmer seien jeweils gezwungen, bei Fahrzeugübernahme eine diesbezügliche Einverständniserklärung zu unterzeichnen. Diese Vorgehensweise werde als Schutzmaßnahme des Unternehmens für den Fall eines Fahrzeugdiebstahls erklärt. Tatsächlich diene das GPS System der Überwachung der Arbeitnehmer.
4 1.3. Die Revisionswerberin leitete aus Anlass dieser Mitteilung ein Kontrollund Ombudsmannverfahren gemäß § 30 DSG 2000 ein, das nach Inkrafttreten der Datenschutz Grundverordnung (DSGVO) als amtswegiges Prüfverfahren fortgeführt wurde.
5 2. Mit Bescheid der Revisionswerberin vom 8. August 2018 sprach diese die „Feststellung“ aus, dass das amtswegige Prüfungsverfahren berechtigt und die Einwilligung der Arbeitnehmer zur Nutzung des GPS Systems durch die Mitbeteiligte nicht freiwillig erfolgt sei (Spruchpunkt 1). Unter einem erging an die Mitbeteiligte die Anweisung, die Verarbeitung (Nutzung des GPS Systems für firmeneigene Fahrzeuge) innerhalb einer Frist von vier Wochen in Einklang mit der Datenschutz Grundverordnung zu bringen (Spruchpunkt 2). Die Revisionswerberin stützte ihren Bescheid im Wesentlichen auf Art. 57 Abs. 1 lit. a, d und h sowie Art. 58 Abs. 2 lit. d DSGVO.
6 In der Begründung führte die Revisionswerberin aus, die Mitbeteiligte habe über Vorhalt des in der anonymen Anzeige enthaltenen Vorwurfs, wonach die Firmenfahrzeuge per GPS Tracker überwacht würden und die daraus verfügbaren Daten dazu verwendet worden seien, Mitarbeiter zu kontrollieren und unter anderem wegen Unpünktlichkeit zu rügen, vorgebracht, alle Fahrer bzw. Mitarbeiter würden vor Nutzung des Fahrzeuges auf dessen Ausstattung mit einem GPS System hingewiesen und es würde deren Zustimmung eingeholt werden. Das GPS System diene nicht der Mitarbeiterüberwachung, sondern zum Schutz und zur Sicherheit des Firmeneigentums, zur monatlichen Abrechnung mit der Leasingfirma, zur Routenplanung und optimierung sowie zur Disposition. Ferner werde es als Fahrtenbuch genutzt; die Revisionswerberin erhalte für die Installierung einen Versicherungsbonus. Die Mitbeteiligte habe der Revisionswerberin eine Mustervereinbarung zur Nutzung des GPS Systems sowie nach Inkrafttreten der DSGVO aus eigenem eine neue „der Datenschutz Grundverordnung entsprechende Mitarbeitereinwilligung“ betreffend die Datenverarbeitung „personenbezogener Fahrzeugdaten“ übermittelt. Laut Angabe der Mitbeteiligten würden die GPS bzw. Standortdaten der Firmenfahrzeuge laut Hersteller für 93 Tage gespeichert werden. Sämtliche Mitarbeiter hätten die neue Mitarbeitereinwilligung bereits unterzeichnet. Ohne Vorliegen der schriftlichen Einwilligung seitens eines Arbeitnehmers dürfe kein Fahrzeug mit GPS System Verwendung finden. Die Beurteilung der Freiwilligkeit der Einwilligung obliege nach Ansicht der Mitbeteiligten den zuständigen Behörden.
7 Rechtlich führte die Revisionswerberin aus, es sei die Frage zu klären, ob die seitens der Mitbeteiligten eingeholte datenschutzrechtliche Einwilligung der Arbeitnehmer zur Nutzung eines GPS Systems für firmeneigene Fahrzeuge freiwillig erfolge. Die Freiwilligkeit einer Einwilligung im Beschäftigungskontext sei nicht grundsätzlich ausgeschlossen. So könne eine freiwillige Einwilligung etwa dann vorliegen, wenn ein bestimmter Verarbeitungsvorgang auch zum erkennbaren Vorteil des Arbeitnehmers gereiche, bspw. wenn die Erhebung und Speicherung von Wegzeiten erfolge, weil Außendienstmitarbeiter diese Daten für ihre Einkommensteuer benötigen und die Fahrtenbuchfunktionen nach Belieben ein- und abgestellt werden können. Die Mitbeteiligte erlange durch das verwendete GPS System zwar zunächst nur Auskunft über den Aufenthaltsort des jeweiligen Fahrzeugs, der Einsatz des Systems produziere jedoch als „Nebenprodukt“ personenbezogene Daten, indem es eine genaue Bewegungs- und Leistungsanalyse des betroffenen Arbeitnehmers ermögliche. Diese Daten würden nicht nur in Echtzeit überwacht, sondern wie vorgebracht 93 Tage gespeichert. Ein klarer Vorteil für den Arbeitnehmer sei nicht erkennbar und auch nicht vorgebracht worden. Von der Mitbeteiligten ins Treffen geführte Gründe wie Schutz bzw. Sicherheit des Firmeneigentums, Erleichterung der monatlichen Abrechnung mit der Leasingfirma, Routenplanung und -optimierung sowie ein Versicherungsbonus könnten zwar im Rahmen einer Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO berücksichtigt werden, jedoch nicht im Rahmen der Beurteilung der Freiwilligkeit einer Art. 6 Abs. 1 lit. a DSGVO entsprechenden Einwilligung. Sofern die Mitbeteiligte ausführe, dass diese Beurteilung dem Arbeitsgericht oder der Revisionswerberin obliege, sei ihr entgegenzuhalten, dass sie als Verantwortliche gemäß Art. 24 DSGVO verpflichtet sei, die Einhaltung der DSGVO zu gewährleisten, sodass es in Hinblick auf die Geltendmachung des Erlaubnistatbestandes des Art. 6 Abs. 1 lit. a DSGVO an ihr gelegen wäre, eine entsprechende Würdigung der Freiwilligkeit der Einwilligung vorzunehmen. Angesichts des Vorbringens der Mitbeteiligten, wonach einerseits bei nicht erteilter oder widerrufener Einwilligung seitens eines Arbeitnehmers für diesen kein Fahrzeug mit GPS System Verwendung finden dürfe und die Mitbeteiligte andererseits ihren gesamten betrieblichen Ablauf hinsichtlich des Einsatzes der Firmenfahrzeuge auf Grundlage des GPS Systems plane und koordiniere, könne nicht davon ausgegangen werden, dass einem Arbeitnehmer tatsächlich die Wahl bleibe, seine Einwilligung nicht zu erteilen. Die wahrscheinliche Konsequenz wäre daher, dass ein Dienstverhältnis ohne Einwilligung keinen Bestand haben könnte.
8 3. Gegen diesen Bescheid erhob die Mitbeteiligte Beschwerde an das Bundesverwaltungsgericht und stellte nach Erlassung einer den Bescheid bestätigenden Beschwerdevorentscheidung durch die Revisionswerberin einen Vorlageantrag.
9 4. Mit dem hier angefochtenen Erkenntnis gab das Bundesverwaltungsgericht nach Durchführung einer mündlichen Verhandlung der Beschwerde der Mitbeteiligten statt und hob die Beschwerdevorentscheidung insgesamt ersatzlos auf. Die Revision erklärte es für nicht zulässig.
10 4.1. Das Verwaltungsgericht stellte über den eingangs wiedergegebenen Sachverhalt hinausgehend fest, der Geschäftsführer der Mitbeteiligten verfüge aufgrund der Datenaufzeichnungen über die den Außendienstmitarbeitern jeweils zuordenbaren Standortdaten, wobei die gesamten Fahrtrouten inklusive Pausen und Ankunftszeiten der Fahrer vom System erfasst würden.
11 Die Mitbeteiligte habe mit den betreffenden Außendienstmitarbeitern eine Mitarbeitereinwilligung abgeschlossen, in der die Art der erfassten Daten und die Zwecke, für die die Daten erfasst würden, genannt seien.
12 Weiter hielt das Verwaltungsgericht in seinen Feststellungen fest, die Revisionswerberin habe ein amtswegiges Prüfverfahren durchgeführt, deren Gegenstand ausschließlich die Prüfung der Freiwilligkeit der verwendeten Einwilligungserklärungen gewesen sei.
13 4.2. In seiner rechtlichen Beurteilung führte das Verwaltungsgericht aus, die Revisionswerberin habe zwar ein Ermittlungsverfahren durchgeführt. Sie habe jedoch den „Verfahrensgegenstand“ auf die Prüfung nur einer von mehreren möglichen Rechtsgrundlagen für den datenschutzrelevanten Eingriff durch die Mitbeteiligte, nämlich die der freiwilligen Einwilligung, beschränkt. Eine Prüfung der weiteren in Frage kommenden Rechtfertigungsgründe sei unterblieben. Die Behörde habe zu diesen auch keine Feststellungen getroffen. Aufgrund des engen Verfahrensgegenstandes sei daher keine Auseinandersetzung mit der Frage erfolgt, inwieweit die Verarbeitung sämtlicher Standortdaten der Fahrer für die von der Mitbeteiligten genannten Zwecke dem Gebot der Verhältnismäßigkeit entspreche und in Einklang mit Art. 6 Abs. 1 DSGVO erfolgen dürfe. Aus diesem Grund habe die Revisionswerberin gar nicht abschließend beurteilen können, ob die Datenverarbeitungen der mitbeteiligten Partei den Rechtmäßigkeitsvoraussetzungen, insbesondere etwa des Art. 6 Abs. 1 DSGVO, entsprechen würden oder nicht. Die Revisionswerberin sei daher auch nicht berechtigt gewesen, die mitbeteiligte Partei „bei sonstiger Exekution“ anzuweisen, ihre Verarbeitung in Einklang mit der DSGVO zu bringen. Auch wenn die Revisionswerberin aufgrund allgemeiner Untersuchungsbefugnisse berechtigt gewesen sei, die Einwilligungserklärungen einer Überprüfung zuzuführen, habe dies allein im gegebenen Fall nicht in die Ausübung der Befugnis gemäß Art. 58 Abs. 2 lit. d DSGVO münden dürfen. Da die Revisionswerberin im gegebenen Fall aufgrund des zu engen Verfahrensgegenstandes die Abhilfebefugnis zu Unrecht in Anspruch genommen habe und der Gegenstand des Verfahrens im Rechtsmittelverfahren nicht überschritten werden dürfe, sei die Beschwerdevorentscheidung ersatzlos zu beheben gewesen.
14 5. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Revision der belangten Behörde vor dem Verwaltungsgericht.
15 Die Mitbeteiligte erstattete eine Revisionsbeantwortung.
6. Der Verwaltungsgerichtshof hat erwogen:
16 6.1. Zur Begründung ihrer Zulässigkeit bringt die Revision insbesondere vor, das Verwaltungsgericht sei von der Rechtsprechung des Verwaltungsgerichtshofes abgewichen, weil die ersatzlose Behebung eines Bescheides voraussetze, dass dieser nicht hätte ergehen dürfen und der dem materiellen Recht entsprechende Zustand nur durch die Kassation hergestellt werden könne. Eine ersatzlose Behebung setze voraus, dass über den betreffenden Antrag nicht neuerlich entschieden werden dürfe. Der angefochtenen Entscheidung sei indes nicht zu entnehmen, weshalb das Verwaltungsgericht nicht mit einer Änderung des bekämpften Bescheides vorgegangen sei.
17 Die Revision ist zulässig und im Ergebnis teilweise begründet.
186.2. Die im Revisionsfall maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO), ABl. L 119 vom 4. Mai 2016, lauten auszugsweise:
„Art. 6 Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
...
Art. 7 Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
...
Art. 57 Aufgaben
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
a) die Anwendung dieser Verordnung überwachen und durchsetzen;
...
h) Untersuchungen über die Anwendung dieser Verordnung durchführen, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde;
...
Art. 58 Befugnisse
(1) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,
a) den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind,
b) Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,
...
d) den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,
...
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
...
d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
...
f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
...
i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,
...
Art. 78 Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde
(1) Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.
...
(3) Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.
... .“
19 Die für den Revisionsfall relevanten Erwägungsgründe der DSGVO sind:
„(129) Um die einheitliche Überwachung und Durchsetzung dieser Verordnung in der gesamten Union sicherzustellen, sollten die Aufsichtsbehörden in jedem Mitgliedstaat dieselben Aufgaben und wirksamen Befugnisse haben, darunter, insbesondere im Fall von Beschwerden natürlicher Personen, Untersuchungsbefugnisse, Abhilfebefugnisse und Sanktionsbefugnisse und Genehmigungsbefugnisse und beratende Befugnisse, sowie unbeschadet der Befugnisse der Strafverfolgungsbehörden nach dem Recht der Mitgliedstaaten die Befugnis, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und Gerichtsverfahren anzustrengen. Dazu sollte auch die Befugnis zählen, eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen. Die Mitgliedstaaten können andere Aufgaben im Zusammenhang mit dem Schutz personenbezogener Daten im Rahmen dieser Verordnung festlegen. Die Befugnisse der Aufsichtsbehörden sollten in Übereinstimmung mit den geeigneten Verfahrensgarantien nach dem Unionsrecht und dem Recht der Mitgliedstaaten unparteiisch, gerecht und innerhalb einer angemessenen Frist ausgeübt werden. Insbesondere sollte jede Maßnahme im Hinblick auf die Gewährleistung der Einhaltung dieser Verordnung geeignet, erforderlich und verhältnismäßig sein, wobei die Umstände des jeweiligen Einzelfalls zu berücksichtigen sind, das Recht einer jeden Person, gehört zu werden, bevor eine individuelle Maßnahme getroffen wird, die nachteilige Auswirkungen auf diese Person hätte, zu achten ist und überflüssige Kosten und übermäßige Unannehmlichkeiten für die Betroffenen zu vermeiden sind. Untersuchungsbefugnisse im Hinblick auf den Zugang zu Räumlichkeiten sollten im Einklang mit besonderen Anforderungen im Verfahrensrecht der Mitgliedstaaten ausgeübt werden, wie etwa dem Erfordernis einer vorherigen richterlichen Genehmigung. Jede rechtsverbindliche Maßnahme der Aufsichtsbehörde sollte schriftlich erlassen werden und sie sollte klar und eindeutig sein; die Aufsichtsbehörde, die die Maßnahme erlassen hat, und das Datum, an dem die Maßnahme erlassen wurde, sollten angegeben werden und die Maßnahme sollte vom Leiter oder von einem von ihm bevollmächtigen Mitglied der Aufsichtsbehörde unterschrieben sein und eine Begründung für die Maßnahme sowie einen Hinweis auf das Recht auf einen wirksamen Rechtsbehelf enthalten. Dies sollte zusätzliche Anforderungen nach dem Verfahrensrecht der Mitgliedstaaten nicht ausschließen. Der Erlass eines rechtsverbindlichen Beschlusses setzt voraus, dass er in dem Mitgliedstaat der Aufsichtsbehörde, die den Beschluss erlassen hat, gerichtlich überprüft werden kann.
...
(143) Jede natürliche oder juristische Person hat das Recht, unter den in Artikel 263 AEUV genannten Voraussetzungen beim Gerichtshof eine Klage auf Nichtigerklärung eines Beschlusses des Ausschusses zu erheben. Als Adressaten solcher Beschlüsse müssen die betroffenen Aufsichtsbehörden, die diese Beschlüsse anfechten möchten, binnen zwei Monaten nach deren Übermittlung gemäß Artikel 263 AEUV Klage erheben. Sofern Beschlüsse des Ausschusses einen Verantwortlichen, einen Auftragsverarbeiter oder den Beschwerdeführer unmittelbar und individuell betreffen, so können diese Personen binnen zwei Monaten nach Veröffentlichung der betreffenden Beschlüsse auf der Website des Ausschusses im Einklang mit Artikel 263 AEUV eine Klage auf Nichtigerklärung erheben. Unbeschadet dieses Rechts nach Artikel 263 AEUV sollte jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf bei dem zuständigen einzelstaatlichen Gericht gegen einen Beschluss einer Aufsichtsbehörde haben, der gegenüber dieser Person Rechtswirkungen entfaltet. Ein derartiger Beschluss betrifft insbesondere die Ausübung von Untersuchungs , Abhilfe und Genehmigungsbefugnissen durch die Aufsichtsbehörde oder die Ablehnung oder Abweisung von Beschwerden. Das Recht auf einen wirksamen gerichtlichen Rechtsbehelf umfasst jedoch nicht rechtlich nicht bindende Maßnahmen der Aufsichtsbehörden wie von ihr abgegebene Stellungnahmen oder Empfehlungen. Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Verfahrensrecht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgebliche Sach und Rechtsfragen zu prüfen, einschließt. Wurde eine Beschwerde von einer Aufsichtsbehörde abgelehnt oder abgewiesen, kann der Beschwerdeführer Klage bei den Gerichten desselben Mitgliedstaats erheben.“
20 6.3. Zu Spruchpunkt 1. des Bescheides:
21 Vorweg ist festzuhalten, dass die beiden vor dem Verwaltungsgericht bekämpften Bescheidspruchpunkte insofern trennbar sind, als der in Spruchpunkt 1. enthaltene Abspruch als solcher keine notwendige Grundlage für den Abspruch in Spruchpunkt 2. bildet. Die Ausübung der Abhilfebefugnis gemäß Art. 58 Abs. 2 lit. d DSGVO setzt nämlich weder einen separaten Abspruch über die Berechtigung des von der Revisionswerberin durchgeführten amtswegigen Prüfverfahrens noch einen selbständigen Abspruch über eine Feststellung betreffend das Nichtvorliegen eines bestimmten Erlaubnistatbestandes des Art. 6 DSGVO voraus. Spruchpunkt 2. kann sohin ungeachtet der Beseitigung von Spruchpunkt 1. selbständig rechtlichen Bestand haben.
22 Die Revisionswerberin übte fallgegenständlich die ihr durch Art. 58 Abs. 2 lit. d DSGVO eingeräumte Abhilfebefugnis aus, die ihr gestattet, den Verantwortlichen fallbezogen die Mitbeteiligte oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Schon aus systematischen Gründen setzt die Ausübung der genannten Abhilfebefugnis voraus, dass die Aufsichtsbehörde im Zuge der Wahrnehmung geeigneter Untersuchungsbefugnisse den maßgeblichen Sachverhalt ermittelt und einen durch die in Frage stehenden Datenverarbeitungsvorgänge bedingten Verstoß gegen die Bestimmungen der DSGVO festgestellt hat (vgl. Polenz in Simitis/Hornung/Spiecker (Hrsg), Datenschutzrecht (2019), Art. 58, Rz 33). Daher mag die in Spruchpunkt 1. der Beschwerdevorentscheidung enthaltene Feststellung, wonach im vorliegenden Fall die Einwilligung der Arbeitnehmer zur Nutzung des GPS Systems für firmeneigene Fahrzeuge der mitbeteiligten Partei nicht freiwillig erfolge, eine inhaltliche Voraussetzung für die in Spruchpunkt 2. ausgesprochene Anweisung sein. Anders als die revisionswerbende belangte Behörde möglicherweise meint, enthält Art. 58 Abs. 2 lit. d DSGVO jedoch keine rechtliche Grundlage für einen gesonderten Abspruch in Form der Feststellung des Verstoßes, der jeweils den Anlass für die Abhilfeentscheidung darstellt.
23 Aus diesen Gründen hat das Verwaltungsgericht im Ergebnis zurecht die ersatzlose Behebung des Spruchpunktes 1. der Beschwerdevorentscheidung ausgesprochen, weshalb der Revision in diesem Umfang kein Erfolg beschieden sein kann.
Zu Spruchpunkt 2. des Bescheides:
24 6.4. Gemäß Art. 78 Abs. 1 und 3 DSGVO iVm Erwägungsgrund 143 richtet sich das Verfahren über Beschwerden gegen Entscheidungen der nationalen Aufsichtsbehörde nach dem jeweiligen mitgliedstaatlichen Verfahrensrecht (vgl. Jahnel , Kommentar zur Datenschutz Grundverordnung (DSGVO), Art. 78, Rz 8; Nemitz in Ehmann/Selmayr (Hrsg), Datenschutz Grundverordnung (2017), Art. 78, Rn 7).
25Nach der Rechtsprechung des Verwaltungsgerichtshofes ist „Sache“ des Bescheidbeschwerdeverfahrens vor dem Verwaltungsgericht (nur) jene Angelegenheit, die den Inhalt des Spruchs der belangten Behörde gebildet hat (VwGH 9.9.2015, Ro 2015/03/0032, mwN), d.h. jene Angelegenheit, die von der belangten Behörde entschieden wurde (VwGH 16.3.2016, Ra 2015/04/0042). Der durch die Beschwerde gemäß § 27 VwGVG festgelegte Prüfungsumfang ist nach der Rechtsprechung des Verwaltungsgerichtshofes nicht ausschließlich an das Vorbringen der Beschwerdeführerin gebunden. Der äußerste Rahmen für die Prüfbefugnis ist die „Sache“ des bekämpften Bescheides (VwGH 16.3.2016, Ra 2015/04/0042).
26 Fallgegenständlich ist maßgeblicher Inhalt des mit der Beschwerdevorentscheidung bestätigten Spruchs des Bescheides die Anweisung, die einer Überprüfung unterzogene Datenverarbeitung (Nutzung des GPSSystems für die unternehmenseigenen KFZ) in Einklang mit der DSGVO zu bringen. „Sache“ des Beschwerdeverfahrens war fallgegenständlich daher die Überprüfung der Rechtmäßigkeit der in Ausübung der durch Art. 58 Abs. 2 lit. d DSGVO eingeräumten Abhilfebefugnis erteilten Anweisung, die einer Überprüfung unterzogene Datenverarbeitung in Einklang mit der DSGVO zu bringen, bzw. die Frage, ob eben diese Datenverarbeitung durch die mitbeteiligte Partei im Einklang mit der DSGVO erfolgte (siehe VwGH 17.12.2014, Ra 2014/03/0049, und 27.11.2020, Ra 2020/03/0086, zu insofern vergleichbaren Konstellationen). Dass die rechtliche Beurteilung durch die Revisionswerberin im behördlichen Verfahren zu kurz gegriffen haben mag, weil diese wie das Verwaltungsgericht meint zu Unrecht lediglich einen Rechtfertigungstatbestand geprüft hat, hat auf den Umfang der „Sache“ keinen Einfluss. Es ist daher nicht ersichtlich, inwiefern der für das Verwaltungsgericht eröffnete Prüfungsumfang gegenüber der „Sache“ des bekämpften Bescheides eine Einengung erfahren hätte, weshalb der Prüfung der Rechtmäßigkeit der in Frage stehenden Datenverarbeitung anhand aller Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO durch das Verwaltungsgericht keine Schranken gesetzt waren. Der Verwaltungsgerichtshof vermag sich daher der Rechtsansicht des Verwaltungsgerichts, wonach mit einer im verwaltungsgerichtlichen Verfahren erfolgenden Prüfung der Rechtmäßigkeit der fallgegenständlich gegebenen Datenverarbeitung anhand aller Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO eine Überschreitung des „Beschwerdegegenstandes“ gegeben wäre, nicht anzuschließen.
27Infolge der unrichtigen rechtlichen Beurteilung der „Sache“ des Beschwerdeverfahrens unterließ das Verwaltungsgericht Ermittlungen zum etwaigen Vorliegen bzw. Nichtvorliegen der übrigen Erlaubnistatbestände. Die Voraussetzungen für die ersatzlose Behebung der Beschwerdevorentscheidung durch das Verwaltungsgericht lagen fallgegenständlich daher schon insofern nicht vor, als der entscheidungswesentliche Sachverhalt hinsichtlich der Ausübung der Abhilfebefugnis nicht von vornherein feststand (VwGH 25.3.2015, Ro 2015/12/0003). Vor diesem Hintergrund kam eine ersatzlose Behebung der Beschwerdevorentscheidung, die eine meritorische Entscheidung in der Beschwerdesache darstellt, durch das Verwaltungsgericht fallbezogen nicht in Betracht.
28Der Spruch des angefochtenen Erkenntnisses lässt sich indes nicht als Vergreifen im Ausdruck und damit als Zurückverweisung an die belangte Behörde vor dem Verwaltungsgericht im Sinne des § 28 Abs. 3 zweiter Satz VwGVG ansehen. Gegen eine solche Sichtweise spricht insbesondere, dass das Verwaltungsgericht hinsichtlich des von ihm als durch die Revisionswerberin beschränkt angesehenen Verfahrensgegenstandes selbständige Ermittlungen, insbesondere eine mündliche Verhandlung, durchgeführt hat. Eine Ergänzungsbedürftigkeit des ermittelten Sachverhaltes hat es selbst nicht angenommen (vgl. dazu VwGH 15.3.2017, Ra 2015/04/0082).
29Indem das Verwaltungsgericht seine Entscheidung auf eine unrichtige rechtliche Beurteilung der „Sache“ des Beschwerdeverfahrens gestützt hat, hat es das angefochtene Erkenntnis hinsichtlich der Behebung des Spruchpunktes 2. des Bescheides mit Rechtswidrigkeit des Inhalts belastet. Es war daher bereits insoweit gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
30 Vor diesem Hintergrund erübrigt sich ein Eingehen auf einen Erlaubnistatbestand gemäß Art. 6 Abs. 1 DSGVO.
31 6.5. Der Vollständigkeit halber ist für das fortgesetzte Verfahren auf Art. 58 Abs. 2 lit. d DSGVO hinzuweisen. Demnach hat die Aufsichtsbehörde die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Anordnungen müssen dabei inhaltlich hinreichend bestimmt sein. Für den Adressaten muss vollständig, klar und unzweideutig erkennbar sein, was die anordnende Stelle verlangt, damit dieser sein Verhalten danach richten kann (vgl. wiederum Polenz in Simitis/Hornung/Spiecker (Hrsg), Datenschutzrecht (2019), Art. 58, Rz 32). Da es sich in diesen Fällen um Verarbeitungsvorgänge handeln muss, die mit der DSGVO in Einklang gebracht werden können, kann es sich zudem bei dem zugrundeliegenden Verstoß nur um eine Verarbeitung handeln, die nicht keinesfalls durchgeführt werden dürfte. Vielmehr muss ein behebbarer Verstoß vorliegen.
Ein Kostenzuspruch findet gemäß § 47 Abs. 4 VwGG nicht statt.
Wien, am 12. November 2021
Rückverweise
RIS