Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak, den Hofrat Dr. Mayr, die Hofrätin Mag. Hainz Sator und die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Mag.a Stüger, über die Revision des M D in W, vertreten durch die Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in 6850 Dornbirn, Messestraße 11, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 27. Februar 2023, Zl. W292 2248134 1/5E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
Der Bund hat dem Revisionswerber Aufwendungen in der Höhe von 1.346,40 Euro binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
1 1. Der Revisionswerber begehrte in seiner an die belangte Behörde gerichteten Datenschutzbeschwerde vom 2. August 2021 die Feststellung der Verletzung im Recht auf Auskunft nach Art. 15 DSGVO und brachte zusammengefasst vor, der Beschwerdegegner habe nicht vollständig auf seinen Auskunftsantrag reagiert.
2 2. Mit Bescheid vom 31. August 2021 lehnte die belangte Behörde die Behandlung der Beschwerde ab und stützte diesen Beschluss auf Art. 57 Abs. 4 DSGVO. Begründend führte die belangte Behörde aus, dass indem der Revisionswerber zwischen Februar und August 2021 insgesamt 16 ähnlich gelagerte Beschwerden gegen unterschiedliche datenschutzrechtlich Verantwortliche, zumeist mit Sitz im Ausland, eingebracht habe die Inanspruchnahme der Behörde seitens des Beschwerdeführers als exzessiv zu qualifizieren und die Behandlung der Beschwerde abzulehnen gewesen sei.
3 3. Gegen diesen Bescheid erhob der Revisionswerber Beschwerde.
4 4. Mit dem angefochtenen Erkenntnis wies das Verwaltungsgericht die Beschwerde als unbegründet ab. Die Revision erklärte es für zulässig.
5 In seiner Begründung traf das Verwaltungsgericht zusammengefasst die Feststellungen, der Revisionswerber habe im Zeitraum Februar 2021 bis August 2021 insgesamt 16 Beschwerdeverfahren bei der belangten Behörde anhängig gemacht. In der Mehrzahl seiner Eingaben habe er vorgebracht, er habe einen Antrag auf Auskunft an den datenschutzrechtlich Verantwortlichen gestellt. Seitens des jeweiligen Verantwortlichen sei nach Ablauf der Frist von einem Monat sein Auskunftsbegehren nicht beantwortet worden.
6 Eine exemplarische Darstellung der anhängig gemachten Verfahren bei der belangten Behörde ergebe folgendes Bild:
- „13130.631: Beschwerde gegen den Verantwortlichen A mit Sitz in den Niederlanden; der Beschwerdeführer hat am 6. Jänner 2021 in deutscher Sprache einen Auskunftsantrag an den Verantwortlichen gestellt und am 7. Februar, somit einen Tag nach Verstreichen der Ein Monatsfrist, Beschwerde an die belangte Behörde erhoben.
- 13130.634: Beschwerde gegen den Verantwortlichen B mit Sitz in den Niederlanden; der Beschwerdeführer hat am 6. Jänner 2021 in deutscher Sprache einen Auskunftsantrag an den Verantwortlichen gestellt und am 7. Februar, somit einen Tag nach Verstreichen der Ein Monatsfrist, Beschwerde an die belangte Behörde erhoben.
- 13130.632: Beschwerde gegen den Verantwortlichen C mit Sitz in den Vereinigten Staaten; der Beschwerdeführer hat am 6. Jänner 2021 in deutscher Sprache einen Löschantrag an den Verantwortlichen gestellt und am 7. Februar, somit einen Tag nach Verstreichen der Ein Monatsfrist, Beschwerde an die belangte Behörde erhoben.
- 13130.645: Beschwerde gegen den Verantwortlichen D mit Sitz in Italien; der Beschwerdeführer hat am 13. Jänner 2021 in italienischer Sprache einen Löschantrag an den Verantwortlichen gestellt und am 25. Februar 2021, somit etwa eineinhalb Wochen nach Verstreichen der Ein Monatsfrist, Beschwerde an die belangte Behörde erhoben.
- 13130.647: Beschwerde gegen den Verantwortlichen E mit Sitz in Deutschland; der Beschwerdeführer hat am 21. Jänner 2021 mittels eingeschriebenem Brief einen Auskunftsantrag an den Verantwortlichen übermittelt und am 26. Februar 2021, somit wenige Tage nach Verstreichen der Ein Monatsfrist, Beschwerde an die belangte Behörde erhoben.
- 13130.687: Beschwerde gegen den Verantwortlichen F mit vermutetem Sitz in Irland; der Beschwerdeführer hat am 20. Februar 2021 in englischer Sprache einen Löschantrag an den Verantwortlichen gestellt und am 26. April. 2021 Beschwerde an die belangte Behörde erhoben.
- 13130.743: Beschwerde gegen den Verantwortlichen G mit Sitz in Australien; der Beschwerdeführer hat am 16. April 2021 in englischer Sprache einen Auskunftsantrag an den Verantwortlichen gestellt und am 26. Mai 2021, somit etwa eineinhalb Wochen nach Verstreichen der Ein Monatsfrist, Beschwerde an die belangte Behörde erhoben.“
7 Der Datenschutzbeschwerde im gegenständlichen Fall sei der (behauptete) Sachverhalt zugrunde gelegen, der Verantwortliche habe einen Antrag auf Auskunft des Beschwerdeführers vom 2. Juli 2021 nicht innerhalb eines Monats erledigt, wogegen der Beschwerdeführer den verfahrenseinleitenden Antrag bei der Datenschutzbehörde am 2. August 2021 eingebracht habe.
8 In rechtlicher Hinsicht begründete das Verwaltungsgericht seine Entscheidung dahingehend, die häufige Antragswiederholung werde auch vor dem Hintergrund des Art. 12 Abs. 5 DSGVO, der die fast wortidente Bestimmung betreffend die Verpflichtungen des Verantwortlichen begrenze nur dann als exzessiv anzusehen sein, wenn diese ohne berechtigten Grund erfolge. Daher komme diese Fallgruppe dann in Betracht, wenn der Antragsteller trotz rechtmäßiger Informationserteilung bzw. Ablehnung durch den Verantwortlichen weitere (nahezu) identische Anträge stelle. Durch die Verwendung des Wortes „insbesondere“ zeige der Verordnungsgeber zudem auf, dass er auch andere Formen von exzessiven Anträgen erfasst wissen möchte. Denkbar seien rechtsmissbräuchliche Anträge, allein etwa mit dem Ziel, den Verantwortlichen zu schikanieren. Der exzessive Charakter sei etwa erfüllt, wenn die Bearbeitung der Anfragen den durchschnittlichen Arbeits und Zeitaufwand für vergleichbare Fälle deutlich überschreite und zusätzlich der erhöhte Aufwand auf eine übermäßige Fülle von substanzlosen oder ausschweifenden Ausführungen zurückzuführen sei; es reiche nicht aus, dass ein Beschwerdeführer mehrfach in vergleichbaren Fällen vorstellig werde oder dass er in zeitlichen Abständen immer wieder Beschwerde gegen eine bestimmte Datenverarbeitung einlege; allein der hohe Zeitaufwand der Bearbeitung oder eine vergleichsweise Banalität der rechtlichen Beurteilung erlaube noch keine Einordnung als exzessiv.
9 Wie festgestellt, habe der Revisionswerber zwischen Februar und August 2021 16 Beschwerdeverfahren anhängig gemacht, wobei es sich bei den datenschutzrechtlich Verantwortlichen zumeist um Unternehmen bzw. Organisationen gehandelt habe, die ihren Sitz in anderen Mitgliedstaaten, zum Teil aber auch in den USA und Australien haben. In vielen dieser Fälle sei die Ein Monatsfrist, die den jeweiligen Verantwortlichen zur Verfügung gestanden sei, zum Zeitpunkt des Einlangens der Datenschutzbeschwerden lediglich um einen Tag überschritten gewesen. Hinsichtlich des Ablehnungsrechts im Sinne von Art. 57 Abs. 4 DSGVO stelle für die Beurteilung des Vorliegens einer „exzessiven Inanspruchnahme“ der Behördentätigkeit das Gesamtaufkommen der von einem einzelnen Beschwerdeführer in einem konkret abgegrenzten Zeitraum eingebrachten Beschwerden einen bedeutenden Faktor dar. Fallbezogen sei daher festzuhalten, dass die Einbringung von 16 Beschwerden während eines Betrachtungszeitraumes von nur rund sieben Monaten in ähnlich gelagerten Fällen mit Auslandsbezug als durchaus erhebliche Anzahl an anhängig gemachten Verfahren vor der belangten Behörde angesehen werden könne.
10 Bei Verfahren, in welchen die datenschutzrechtlich Verantwortlichen außerhalb Österreichs ihre Hauptniederlassung haben, würden zudem der belangten Behörde komplexe Aufgaben im Zuge des Kooperationsmechanismus nach Art. 56 ff DSGVO zukommen: In Fällen i.S.d. des „One Stop Shop“ Prinzips bleibe die nationale Aufsichtsbehörde nämlich weiterhin die einzige Anlaufstelle des Beschwerdeführers, sie veranlasse das Kooperationsverfahren i.S.d. Art. 56 ff DSGVO, korrespondiere mit der federführenden Aufsichtsbehörde und habe auch sämtliche Übersetzungen von Schriftsätzen und Beilagen anzufertigen. Ebenso kämen der nationalen Aufsichtsbehörde vor Erlassung einer Entscheidung durch die federführende Aufsichtsbehörde Kontrollrechte (insbesondere in Form eines maßgeblichen und begründeten Einspruchs gemäß Art. 60 Abs. 4 DSGVO) zu. Bei Beschwerden gegen Verantwortliche mit Sitz außerhalb des EWR Raums müsse die belangte Behörde das Verfahren mangels Existenz von Partnerbehörden und eines Kooperationsmechanismus selbst führen. In derartigen Fällen, wie etwa im Fall von Staaten wie den USA oder Australien, sei die belangte Behörde in Ermangelung völkerrechtlicher Abkommen auf die (freiwillige) Amtshilfe der ausländischen Behörden angewiesen, wenn es etwa darum gehe, behördliche Schriftstücke rechtswirksam zuzustellen. Im Lichte der dargestellten rechtlichen und faktischen Erfordernisse im Zusammenhang mit datenschutzrechtlichen Beschwerdeverfahren gegen Verantwortliche mit Sitz außerhalb Österreichs verlangten diese einen weit überdurchschnittlichen Einsatz von zeitlichen und personellen Ressourcen auf Seiten der belangten Behörde.
11 Dem sei im gegenständlichen Fall gegenüberzustellen, dass der Datenschutzbeschwerde ähnlich wie in den anderen bei der belangten Behörde seitens des Beschwerdeführers anhängig gemachten Verfahren ein nicht innerhalb der Frist zur Rückantwort von einem Monat erledigter Antrag auf Auskunft nach Art. 15 DSGVO zugrunde lag. Die Nichteinhaltung der Frist zur Rückäußerung des Verantwortlichen gegenständlich stamme der Antrag auf Auskunft an den Verantwortlichen vom 2. Juli 2021 und die diesbezügliche Beschwerde an die belangte Behörde vom 2. August 2021 berühre den Revisionswerber indessen in verhältnismäßig geringem Ausmaß in seinen subjektiven Rechten.
12 Im Ergebnis sei unter Berücksichtigung der den vom Revisionswerber vor der belangten Behörde anhängig gemachten Verfahren zugrundeliegenden, vergleichsweise geringfügigen Überschreitungen der Frist zur Beantwortung von Auskunfts und Löschungsbegehren und der bei grenzüberschreitenden Sachverhalten gegebenen Komplexität bei der Bearbeitung derartiger Fälle der Beurteilung der belangten Behörde nicht entgegenzutreten, dass es sich in concreto um eine exzessive Ausübung der Rechte iSd Art. 57 Abs. 4 DSGVO handle, die die Behörde zu einer Ablehnung der Behandlung berechtigt habe, weshalb eine inhaltliche Behandlung der Datenschutzbeschwerde habe unterbleiben dürfen. Dies vor dem Hintergrund der Intention des Unionsgesetzgebers, der mit Art. 57 Abs. 4 DSGVO zu verhindern beabsichtige, dass einige wenige Beschwerdeführer durch unbegründete oder exzessive Anträge die Tätigkeit der Aufsichtsbehörde schwerwiegend beeinträchtigten oder gar lahmlegten.
13 Zur Zulässigkeit der Revision führte das Verwaltungsgericht aus, es fehle an Rechtsprechung des Verwaltungsgerichtshofes zur Frage, „welche Kriterien in quantitativer und qualitativer Hinsicht heranzuziehen sind, die eine Weigerung der Behandlung von Beschwerden aufgrund von exzessiven Anträgen durch die Datenschutzbehörde im Sinne der Bestimmung des Art. 57 Abs. 4 DSGVO begründen.“
14 5. Gegen dieses Erkenntnis richtet sich die ordentliche Revision. Die belangte Behörde erstattete eine Revisionsbeantwortung.
6. Der Verwaltungsgerichtshof hat erwogen:
15 6.1. In der Begründung zur Zulässigkeit seiner Revision verweist der Revisionswerber zunächst auf die in Rn. 13 wiedergegebene Begründung des Verwaltungsgerichts. Diese konkretisierte er mit der Frage, „ob die ‚Exzessivität‘ von Anträgen einer betroffenen Person im Sinne des Art 57 Abs. 4 DSGVO ausschließlich dadurch begründet werden kann, dass eine bestimmte absolute Zahl von Anträgen bei einer Aufsichtsbehörde im Sinne von Art 51 Abs 1 DSGVO eingebracht wurden“. Überdies bringt der Revisionswerber vor, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, unter welchen Voraussetzungen das Ermessen einer Behörde gemäß Art. 57 Abs. 4 DSGVO, entweder die Behandlung einer offenkundig unbegründeten oder exzessiven Anfrage abzulehnen oder „alternativ eine angemessene Gebühr auf Grundlage der Verwaltungskosten“ zu verlangen, ausgeübt werden dürfe.
16 6.2. Der EuGH hat in seinemin Beantwortung des Vorabentscheidungsersuchens des VwGH vom 27. Juni 2023, Ra 2023/04/0002, ergangenen Urteil vom 9. Jänner 2025, C 416/23, Österreichische Datenschutzbehörde (Exzessive Anfragen), unter anderem zu Recht erkannt, dass Art. 57 Abs. 4 DSGVO dahin auszulegen ist, dass Anfragen nicht allein aufgrund ihrer Zahl während eines bestimmten Zeitraums als „exzessiv“ im Sinne dieser Bestimmung eingestuft werden können, da die Ausübung der in dieser Bestimmung vorgesehenen Befugnis voraussetzt, dass die Aufsichtsbehörde das Vorliegen einer Missbrauchsabsicht der anfragenden Person nachweist. Ferner ist Art. 57 Abs. 4 DSGVO dahin auszulegen, dass eine Aufsichtsbehörde bei exzessiven Anfragen durch eine mit Gründen versehene Entscheidung wählen kann, ob sie eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangt oder sich weigert, aufgrund der Anfrage tätig zu werden, wobei sie alle relevanten Umstände berücksichtigen und sich vergewissern muss, dass die gewählte Option geeignet, erforderlich und verhältnismäßig ist.
176.3.1. Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 29. Jänner 2025, Ra 2023/04/0002, auf dessen Entscheidungsgründe hier gemäß § 43 Abs. 2 zweiter Satz VwGG verwiesen werden kann, in einem in rechtlicher und tatsächlicher Hinsicht gleichgelagerten Fall gestützt auf das oben genannte Urteil des EuGH vom 9. Jänner 2025, C 416/23, zur Frage der Voraussetzungen für eine Ablehnung der Behandlung einer Beschwerde gemäß Art. 57 Abs. 4 DSGVO zusammengefasst ausgeführt, dass eine Missbrauchsabsicht gemäß Art. 57 Abs. 4 DSGVO dann anzunehmen ist, wenn die entscheidenden Gründe der beschwerdeführenden Partei für die Einbringung einer Vielzahl von Datenschutzbeschwerden nicht in der Verfolgung der ihr aus der DSGVO zukommenden Rechte liegen und die beschwerdeführende Partei ohne diese sachfremden Gründe die Vielzahl an Datenschutzbeschwerden nicht erhoben hätte. Mit anderen Worten ist das Einbringen einer Datenschutzbeschwerde dann missbräuchlich, wenn die beschwerdeführende Partei die Beschwerden zur Erzielung eines nicht durch die datenschutzrechtlichen Bestimmungen geschützten Zwecks (etwa Publicity, Feindseligkeit, Sensationslust) erhebt.
18 Dies steht in Einklang damit, dass Art. 57 Abs. 4 DSGVO laut EuGH die ständige Rechtsprechung des Gerichtshofs widerspiegelt, nach der es im Unionsrecht einen allgemeinen Rechtsgrundsatz gibt, wonach sich die Bürger nicht in betrügerischer oder missbräuchlicher Weise auf unionsrechtliche Normen berufen dürfen (vgl. EuGH 9.1.2025, C 416/23, Rn. 49, sowie die dort angeführte Rechtsprechung). Auch wenn keine geradezu schikanöse Absicht mit einer Antragstellung verbunden ist, kann es nämlich als missbräuchlich angesehen werden, wenn eine Person die Ressourcen der Behörde in Anspruch nimmt, obwohl sich bereits aus dem Beschwerdevorbringen ergibt, dass mit der betreffenden Eingabe offenkundig andere Ziele verfolgt werden als die Durchsetzung des Schutzes, den die Bestimmungen der DSGVO gewähren.
19 6.3.2. Auf der Grundlage der Umstände des jeweiligen Einzelfalls obliegt es somit der Aufsichtsbehörde, bei der eine große Zahl von Beschwerden eingereicht wird, nachzuweisen, dass diese Zahl nicht durch den Wunsch der betroffenen Person zu erklären ist, ihre Rechte aus der DSGVO zu schützen, sondern durch einen anderen Zweck, der in keinem Zusammenhang mit diesem Schutz steht.
20Im Beschwerdeverfahren hat das Verwaltungsgericht das Vorliegen einer Missbrauchsabsicht anhand aller von ihm festzustellenden relevanten Umstände des Einzelfalls selbst zu beurteilen. Falls erforderlich hat das Verwaltungsgericht den zur Prüfung der Rechtmäßigkeit der Ablehnung der Datenschutzbeschwerde gemäß Art. 57 Abs. 4 DSGVO maßgeblichen Sachverhalt amtswegig selbst zu erheben (vgl. hierzu auch VwGH 29.1.2025, Ra 2023/04/0002).
21Ein Indiz dafür, dass es der beschwerdeführenden Partei in Bezug auf eine große Zahl von ihr eingebrachter Datenschutzbeschwerden nicht primär um den Schutz der ihr aus der DSGVO zukommenden Rechte geht, sondern die Datenschutzbeschwerden vielmehr anderen Zielen dienen, ist etwa, wenn mit den Datenschutzbeschwerden die Verletzung des Auskunftsrechts nach Art. 15 DSGVO gegen eine Vielzahl von Verantwortlichen, die auf Auskunftsersuchen der beschwerdeführenden Partei keine Antwort gaben oder es ablehnten, dem Ersuchen zu entsprechen, geltend gemacht wird, die beschwerdeführende Partei jedoch zu den Verantwortlichen keinen Bezug hat, keine Anhaltspunkte für die Verarbeitung personenbezogener Daten der beschwerdeführenden Partei durch die Verantwortlichen bestehen oder der Kontakt zu den Verantwortlichen aus der Motivation heraus hergestellt wird, in der Folge datenschutzrechtliche Beschwerden einbringen zu können (vgl. VwGH 29.1.2025, Ra 2023/04/0002).
226.3.3. Das Verwaltungsgericht hat im vorliegenden Fall richtigerweise die Frage des Vorliegens der Exzessivität nicht bloß anhand der Anzahl der eingebrachten Beschwerden geprüft, sondern auch andere Aspekte in die Beurteilung miteinbezogen. Zur Frage des primären Zwecks der Auskunftsbegehren hat es indes keine Feststellungen getroffen, weshalb ein sekundärer Feststellungsmangel vorliegt, was zur Aufhebung des angefochtenen Erkenntnisses wegen Rechtswidrigkeit des Inhaltes gemäß § 42 Abs. 2 Z 1 VwGG führen muss.
23 6.4. Im Hinblick auf die Frage der Wahl der Handlungsalternative gemäß Art. 57 Abs. 4 DSGVO (Vorschreibung einer angemessenen Gebühr oder Verweigerung der Behandlung der Beschwerde) ist dem Verwaltungsgericht dahingehend zuzustimmen, dass eine Aufsichtsbehörde im Rahmen einer Entscheidung gemäß Art. 57 Abs. 4 DSGVO grundsätzlich wählen kann, ob sie eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangt oder sich weigert, aufgrund der Anfrage tätig zu werden; sie hat jedoch alle relevanten Umstände zu berücksichtigen und sich zu vergewissern, dass die gewählte Option geeignet, erforderlich und verhältnismäßig ist (vgl. wiederum EuGH 9.1.2025, C 416/23, Österreichische Datenschutzbehörde [Exzessive Anfragen] ).
24 Auch diese Beurteilung ob die gewählte Option geeignet, erforderlich und verhältnismäßig ist hat das Verwaltungsgericht im Falle eines Beschwerdeverfahrens selbst vorzunehmen. Im vorliegenden Fall ist diese erforderliche Abwägung wie die Revision zu Recht aufzeigtunterblieben. Das Unterlassen der dazu erforderlichen Feststellungen begründet einen sekundären Feststellungsmangel, was ebenfalls zur Aufhebung des angefochtenen Erkenntnisses wegen Rechtswidrigkeit des Inhaltes gemäß § 42 Abs. 2 Z 1 VwGG führen muss.
25 6.5. Das Verwaltungsgericht wird im fortgesetzten Verfahren aufgrund der eben dargestellten Rechtsanschauung amtswegig zu prüfen haben, ob im vorliegenden Fall von einer Missbrauchsabsicht ausgegangen werden kann, und ob die Weigerung zum Tätigwerden ausgehend von den Umständen des Einzelfalls geeignet, erforderlich und verhältnismäßig ist.
26Der Ausspruch über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 29. Jänner 2025
Rückverweise
RIS