Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Mag. Bamer, über die Revision der Datenschutzbehörde in Wien, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 24. Oktober 2019, Zl. W258 22204201/7E, betreffend Aussetzung des Verfahrens gemäß § 38 AVG in einer datenschutzrechtlichen Angelegenheit (mitbeteiligte Partei: MMag. Dr. C W in D, vertreten durch die Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in 6850 Dornbirn, Messestraße 11, weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Die Revision wird als unbegründet abgewiesen.
Der Bund hat der mitbeteiligten Partei Aufwendungen in der Höhe von EUR 1.106,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
I.
1 1.1. Mit der an die belangte Behörde (Revisionswerberin) gerichteten Datenschutzbeschwerde vom 16. November 2018 behauptete die mitbeteiligte Partei eine Verletzung im Recht aus Auskunft nach Art. 15 DSGVO, weil die D GmbH (mit Sitz in Deutschland) dem Auskunftsbegehren der mitbeteiligten Partei nicht nachgekommen sei.
2 1.2. Mit Bescheid vom 18. März 2019 setzte die Revisionswerberingestützt auf § 24 Abs. 10 Z 2 DSG sowie die Art. 56, 60 und 77 Abs. 1 DSGVO das Verfahren aus.
3 In der Begründung hielt die Revisionswerberin fest, dass die D GmbH ihre Hauptniederlassung in einem anderen Mitgliedstaat der Europäischen Union habe. Die Zuständigkeit obliege vorderhand jener Aufsichtsbehörde, in deren Sprengel die Beschwerdegegnerin die Hauptniederlassung habe. Hänge der Gegenstand des Verfahrens hingegen nur mit einer Niederlassung in Österreich zusammen oder seien nur Personen in Österreich dadurch erheblich beeinträchtigt, liege die Zuständigkeit zur Verfahrensführung bei der österreichischen Aufsichtsbehörde.
Die österreichische Datenschutzbehörde habe gemäß Art. 56 Abs. 1 DSGVO in Verbindung mit § 24 Abs. 10 Z 2 DSG für die Zeit des Verfahrens zur Ermittlung der zuständigen federführenden Aufsichtsbehörde und während der federführenden Zuständigkeit einer Aufsichtsbehörde gemäß Art. 56 oder Art. 60 DSGVO das Beschwerdeverfahren gemäß § 24 DSG von Amts wegen auszusetzen. Diese Zeiten würden nicht in die Entscheidungsfrist von sechs Monaten gemäß § 73 AVG eingerechnet.
Das datenschutzrechtliche Beschwerdeverfahren sei daher bis zur Feststellung, welche Behörde für die inhaltliche Verfahrensführung zuständig sei, und zur Entscheidung einer federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses auszusetzen.
4 1.3.Gegen diesen Bescheid erhob die mitbeteiligte Partei Beschwerde an das Bundesverwaltungsgericht. Darin beantragte sie die ersatzlose Aufhebung des angefochtenen Bescheides, weil die für die Aussetzung des Verfahrens im Sinn von § 38 AVG erforderlichen Voraussetzungen nicht vorlägen. Damit sei auch die Bestimmung des § 24 Abs. 10 Z 1 DSG auf den vorliegenden Fall nicht anwendbar.
5 2. Mit dem angefochtenen Erkenntnis vom 24. Oktober 2019 gab das Bundesverwaltungsgericht der Beschwerde Folge und hob den Bescheid ersatzlos auf. Die Revision erklärte das Bundesverwaltungsgericht für zulässig.
6In der Begründung hielt das Bundesverwaltungsgericht fest, dass die Anwendbarkeit des § 38 AVG in Bezug auf ein Verfahren zur Bestimmung der federführenden Aufsichtsbehörde nach Art. 56 DSGVO bereits an der für die belangte Behörde verbindlichen Entscheidung eines anderen Gerichts oder einer anderen Behörde scheitere. Die belangte Behörde (Revisionswerberin) habe zum Zeitpunkt der Aussetzung des verwaltungsbehördlichen Verfahrens in Abstimmung mit den anderen beteiligten Aufsichtsbehördendarüber zu entscheiden gehabt, ob sie bzw. welche Aufsichtsbehörde für die bei ihr eingebrachte Beschwerde federführend zuständig sei. Ein Streitbeilegungsverfahren gemäß Art. 65 DSGVO, in dem der Europäische Datenschutzausschuss für die belangte Behörde verbindlich über diese Frage absprechen hätte können, sei nicht eingeleitet gewesen. Auf die Frage, inwieweit ein Kohärenzverfahren nach Art. 60 DSGVO oder ein Streitbeilegungsverfahren nach Art. 65 DSGVO eine Aussetzung nach § 38 AVG rechtfertigen könnte, müsse hier nicht weiter eingegangen werden, weil für eine Aussetzung in Frage kommende Verfahren zum Zeitpunkt der Aussetzung bereits eingeleitet hätten werden müssen.
7Da somit weder § 38 AVG noch eine andere Rechtsgrundlage eine Aussetzung des Datenschutzbeschwerdeverfahrens rechtfertigen habe können und der von der Revisionswerberin im bekämpften Bescheid herangezogene § 24 Abs. 10 Z 2 DSG lediglich Bestimmungen zur Fristhemmung (und nicht für eine etwaige Aussetzung) enthalte, sei der Bescheid ersatzlos zu beheben gewesen.
8Die Zulässigkeit der Revision begründete das Bundesverwaltungsgericht damit, dass Rechtsprechung des Verwaltungsgerichtshofes zur etwaigen Anwendbarkeit des § 38 AVG auf das Verfahren zur Bestimmung der betroffenen bzw. der federführenden Aufsichtsbehörde gemäß Art. 56 DSGVO fehle.
9 3.Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Amtsrevision, die zur Begründung ihrer Zulässigkeit auf die schon vom Bundesverwaltungsgericht ins Treffen geführte fehlende Rechtsprechung zu „§ 24 Abs. 10 Z 2 DSG iVm §§ 38 und 38a AVG“ verweist.
10 Die mitbeteiligte Partei erstattete eine Revisionsbeantwortung, in der sie die kostenpflichtige Abweisung der Revision beantragt.
II.
Der Verwaltungsgerichtshof hat erwogen:
11 1. Die Revision erweist sich in Hinblick auf die vom Bundesverwaltungsgericht aufgeworfene und von der Revisionswerberin aufgegriffene Frage als zulässig. Sie ist aus nachstehenden Erwägungen jedoch nicht berechtigt.
12 2. In der Revision wird vorgebracht, das Bundesverwaltungsgericht sei zu Unrecht davon ausgegangen, dass im vorliegenden Fall keine andere Behörde und kein anderes Gericht befugt sei, für die Revisionswerberin darüber zu entscheiden, ob diese oder eine andere Aufsichtsbehörde für die bei ihr eingebrachte Beschwerde federführend sei.
13 Die Verfahren nach Art. 56, 60 und 63 DSGVO seien eng miteinander verbunden und könnten ineinander übergehen. Wie sich schon aus dem Wortlaut des Art. 56 DSGVO ergebe, seien die Voraussetzungen, unter denen eine Behörde als federführende Aufsichtsbehörde tätig zu sein habe, klar geregelt. Es könne daher keine wie auch immer geartete unverbindliche Abstimmung und auch keine unverbindliche Konsensbildung in Hinblick auf die Zuständigkeit als federführende Aufsichtsbehörde geben. Vielmehr habe die federführende Aufsichtsbehörde ihre Zuständigkeit amtswegig nach den Vorgaben der DSGVO wahrzunehmen. Die endgültige Entscheidung darüber, ob und welche Aufsichtsbehörde federführend tätig werde, liege zudem nicht in der alleinigen Hand der Revisionswerberin.
14 Es bestünden entsprechende Kontrollmechanismen, denen die Revisionswerberin unterworfen sei. Es liege entgegen der Auffassung des Bundesverwaltungsgerichts gerade nicht in der alleinigen Entscheidungsgewalt der Revisionswerberin, die Zuständigkeit der federführenden Aufsichtsbehörde festzustellen.
15Dabei werde nicht verkannt, dass es sich bei der Frage, welche Aufsichtsbehörde federführend sei, streng genommen um keine Vorfrage im Sinn des § 38 AVG handle, sondern vielmehr um ein besonderes Verfahren, um die zuständige bzw. federführende Aufsichtsbehörde zu bestimmen. Jedoch gleiche die verfahrensrechtliche Situation entgegen der Rechtsansicht des Bundesverwaltungsgerichtsdurchaus jener bei Einholung einer Vorabentscheidung gemäß Art. 267 AEUV. Auch im vorliegenden Fall liege nach den genannten Bestimmungen der DSGVO die Verantwortung für die inhaltliche Verfahrensführung nicht bei der Revisionswerberin. Somit liege eine mit § 38a AVG vergleichbare Unmöglichkeit vor, eine Entscheidung durch die Revisionswerberin zu treffen. Vor diesem Hintergrund vertrete die Revisionswerberin die Ansicht, dass die zu § 38 und § 38a AVG ergangene (näher bezeichnete) Rechtsprechung des Verwaltungsgerichtshofes auch im vorliegenden Fall des § 24 Abs. 10 Z 2 DSG anzuwenden sei.
16 3.1.§ 24 Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017, lautet auszugsweise wie folgt:
„ Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) bis (9) [...]
(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:
1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.“
17 3.2.Gemäß § 38 AVG ist die Behörde, sofern die Gesetze nicht anderes bestimmen, unter anderem berechtigt, im Ermittlungsverfahren auftauchende Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, nach der über die maßgebenden Verhältnisse gewonnenen eigenen Anschauung zu beurteilen und diese Beurteilung ihrem Bescheid zugrunde zu legen. Sie kann aber auch das Verfahren bis zur rechtskräftigen Entscheidung der Vorfrage aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei der zuständigen Verwaltungsbehörde bzw. beim zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.
Bei einer Vorfrage im Sinn des § 38 AVG muss es sich um eine Frage handeln, die von einer anderen Behörde bzw. einem Gericht als Hauptfrage zu entscheiden ist, zumal der besondere prozessökonomische Sinn der Vorschrift des § 38 AVG nur dann erreicht werden kann, wenn die andere Entscheidung, deren Ergehen abgewartet wird, in der Folge die Behörde bindet, wobei eine solche Bindungswirkung jedoch immer nur eine Entscheidung über eine Hauptfrage entfaltet. Die gegenseitige Bindung der Gerichte und der Verwaltungsbehörden erstreckt sich nur so weit, wie die Rechtskraft reicht, das heißt sie erfasst nur den Inhalt des Spruchs, nicht aber die Entscheidungsgründe (vgl. VwGH 6.11.2020, Ro 2020/03/0014, mwN).
18 3.3.Die in § 24 Abs. 10 Z 2 DSG genannten Bestimmungen der DSGVO betreffen die Zuständigkeit der federführenden Aufsichtsbehörde (Art. 56), die Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden (Art. 60) und das Kohärenzverfahren (Art. 63).
19 Art. 63 DSGVO gibt als Ziel vor, dass die Aufsichtsbehörden im Rahmen des Kohärenzverfahrens untereinander und gegebenenfalls mit der Kommission zusammenarbeiten, um zur einheitlichen Anwendung der DSGVO in der gesamten Europäischen Union beizutragen. Der EuGH leitet aus Art. 63 ff DSGVO eine spezifisch datenschutzrechtliche Verpflichtung der beteiligten Aufsichtsbehörden zur loyalen und wirksamen Zusammenarbeit ab (vgl. EuGH 15.6.2021, C 645/19, Facebook Ireland Ltd. ua. , Rn. 53).
Die nähere Ausgestaltung des Kohärenzverfahrens ist in den Art. 64 bis 66 geregelt. Im Schrifttum wird darauf hingewiesen, dass es sich genau genommen nicht um ein Kohärenzverfahren handelt, sondern um drei Arten von Kohärenzverfahren, nämlich Stellungnahme des Ausschusses (Art. 64), Streitbeilegung durch den Ausschuss (Art. 65) und Dringlichkeitsverfahren (Art. 66) (vgl. Jahnel , Kommentar zur Datenschutz Grundverordnung [2021] Art. 63 Rz. 1).
20 3.§ 24 Abs. 10 DSG verweist zunächst auf § 73 AVG, der den Behörden aufträgt, ohne unnötigen Aufschub, spätestens aber sechs Monate nach Einlangen eines Antrages zu entscheiden. Nicht in diese Entscheidungsfrist eingerechnet werden so § 24 Abs. 10 weiter einerseits die Zeit, während der das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist (Z 1), und andererseits die Zeit während eines Verfahrens nach den genannten Bestimmungen der DSGVO (Z 2). In beiden Fällen soll die Entscheidungsfrist gehemmt werden (vgl. RV 1664 BlgNR 25. GP 9 f).
21Schon aus dem Wortlaut des § 24 Abs. 10 DSG bzw. aus seiner Systematik, die klar zwischen den Konstellationen der Z 1 (Aussetzen des Verfahrens und Vorfrage) und der Z 2 (Kohärenzverfahren nach der DSGVO) unterscheidet, ergibt sich, dass es sich im zweiten Fall um keine zu lösende Vorfrage handelt, die ein bescheidmäßiges Aussetzen des datenschutzrechtlichen Verfahrens gebieten würde (siehe oben Rn. 17). Anderenfalls bräuchte es den Tatbestand der Z 2 nicht und müsste dem Gesetzgeber folglich zugesonnen werden, hier Überflüssiges zu regeln (vgl. zu diesem Grundsatz VwGH 30.6.2015, Ro 2015/15/0015).
22 Damit scheidet aber auch eine von der Revision (für ein bescheidmäßiges Aussetzen) ins Treffen geführteÜbertragung der zu § 38 und § 38a AVG ergangenen Rechtsprechung des Verwaltungsgerichtshofes auf Fälle des § 24 Abs. 10 Z 2 DSG aus.
23 Ausgehend davon hat das Bundesverwaltungsgericht den Bescheid der Revisionswerberin, mit dem das datenschutzrechtliche Beschwerdeverfahren ausgesetzt wurde, zu Recht ersatzlos behoben.
24 5.Die Revision war somit gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.
25Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 14. November 2023
Rückverweise
RIS