I.römisch eins.
1
1. Mit Schreiben vom 10. September 2018 teilte eine Rechtsanwältin der Datenschutzbehörde (DSB, belangte Behörde) mit, ihr seien als Reaktion auf einen Antrag auf Übermittlung von Aktenkopien (betreffend eine von ihr eingebrachte Sachverhaltsmitteilung an die Staatsanwaltschaft Steyr [Revisionswerberin]) auch (zwar unter derselben Geschäftszahl geführte, aber ein anderes Verfahren desselben Beschuldigten betreffende) Akteninhalte mit (teilweise sensiblen) personenbezogenen Daten zweier Personen übermittelt worden. Die Rechtsanwältin ersuchte die DSB, die Rechtmäßigkeit dieser Vorgehensweise der Revisionswerberin zu überprüfen.
2
Die belangte Behörde leitete daraufhin eine amtswegige Untersuchung ein.
3
2. Mit Bescheid vom 22. November 2018 sprach die belangte Behörde aus:
„Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass die Staatsanwaltschaft Steyr durch die - über das beantragte Ausmaß hinausgehende - Übermittlung von Aktenkopien [...] in ihrem Recht auf Geheimhaltung verletzt hat, indem Aktenteile zu einem Verfahren betreffend einen Verkehrsunfall mit fahrlässiger Körperverletzung an unbefugte Dritte übermittelt wurden.“
Als Rechtsgrundlagen wurden - soweit vorliegend relevant - § 31 Abs. 1, § 32 Abs. 1 Z 1 und 3 sowie § 33 Datenschutzgesetz (DSG) genannt.Als Rechtsgrundlagen wurden - soweit vorliegend relevant - Paragraph 31, Absatz eins,, Paragraph 32, Absatz eins, Ziffer eins, und 3 sowie Paragraph 33, Datenschutzgesetz (DSG) genannt.
4
Die belangte Behörde erachtete sich für die Aufsicht über die im Rahmen der staatsanwaltschaftlichen Tätigkeit vorgenommene Verarbeitung personenbezogener Daten zuständig, zumal die Staatsanwaltschaften weder als Gerichte noch als unabhängige Justizbehörden im Sinn des Art. 45 Abs. 2 der Richtlinie (EU) 2016/680 anzusehen seien. Die DSB sei auch ermächtigt gewesen, ein amtswegiges Verfahren gemäß § 32 Abs. 1 DSG in Verbindung mit Art. 57 Abs. 1 lit. h Datenschutz-Grundverordnung (DSGVO) zu führen. Die gegenständliche überschießende Datenübermittlung sei nicht durch § 1 Abs. 2 DSG gerechtfertigt gewesen. Die Revisionswerberin habe daher gegen das Recht der beiden betroffenen Personen auf Geheimhaltung verstoßen.Die belangte Behörde erachtete sich für die Aufsicht über die im Rahmen der staatsanwaltschaftlichen Tätigkeit vorgenommene Verarbeitung personenbezogener Daten zuständig, zumal die Staatsanwaltschaften weder als Gerichte noch als unabhängige Justizbehörden im Sinn des Artikel 45, Absatz 2, der Richtlinie (EU) 2016/680 anzusehen seien. Die DSB sei auch ermächtigt gewesen, ein amtswegiges Verfahren gemäß Paragraph 32, Absatz eins, DSG in Verbindung mit Artikel 57, Absatz eins, Litera h, Datenschutz-Grundverordnung (DSGVO) zu führen. Die gegenständliche überschießende Datenübermittlung sei nicht durch Paragraph eins, Absatz 2, DSG gerechtfertigt gewesen. Die Revisionswerberin habe daher gegen das Recht der beiden betroffenen Personen auf Geheimhaltung verstoßen.
5
3. Gegen dieses Erkenntnis erhob die Revisionswerberin Beschwerde an das Bundesverwaltungsgericht (BVwG).
6
Die Revisionswerberin brachte darin - mit näherer Begründung - vor, dass Staatsanwaltschaften justizielle Tätigkeiten ausübten und (unabhängige) Justizbehörden seien, weshalb eine Aufsicht durch die DSB nicht geboten sei. Staatsanwaltliches Handeln mit datenschutzrechtlichem Bezug unterliege der Kontrolle der ordentlichen Gerichte. Die Annahme einer Zuständigkeit der DSB würde zudem zu einem Verstoß gegen das Recht auf den gesetzlichen Richter und gegen den Trennungsgrundsatz führen.
7
Weiters brachte die Revisionswerberin vor, Art. 57 Abs. 1 lit. h DSGVO habe nicht konkrete Datenschutzverletzungen zum Gegenstand, sondern lediglich Untersuchungen auf einer „Metaebene“. Es gebe daher im DSG oder in der DSGVO keine rechtliche Grundlage für ein amtswegiges Einschreiten der DSB im konkreten Fall.Weiters brachte die Revisionswerberin vor, Artikel 57, Absatz eins, Litera h, DSGVO habe nicht konkrete Datenschutzverletzungen zum Gegenstand, sondern lediglich Untersuchungen auf einer „Metaebene“. Es gebe daher im DSG oder in der DSGVO keine rechtliche Grundlage für ein amtswegiges Einschreiten der DSB im konkreten Fall.
8
In inhaltlicher Hinsicht erachtete die Revisionswerberin die Übermittlung der Daten im Hinblick auf die Regelung zum unbeschränkten Recht auf Akteneinsicht gemäß § 52 Abs. 1 StPO als gesetzeskonform.In inhaltlicher Hinsicht erachtete die Revisionswerberin die Übermittlung der Daten im Hinblick auf die Regelung zum unbeschränkten Recht auf Akteneinsicht gemäß Paragraph 52, Absatz eins, StPO als gesetzeskonform.
9
4. Mit dem angefochtenen Erkenntnis vom 18. Dezember 2019 wies das BVwG diese Beschwerde als unbegründet ab und erklärte die Revision gemäß Art. 133 Abs. 4 B-VG für zulässig.4. Mit dem angefochtenen Erkenntnis vom 18. Dezember 2019 wies das BVwG diese Beschwerde als unbegründet ab und erklärte die Revision gemäß Artikel 133, Absatz 4, B-VG für zulässig.
10
In seiner rechtlichen Beurteilung legte das BVwG zunächst näher dar, dass Datenverarbeitungen durch Staatsanwaltschaften im DSG in richtlinienkonformer Weise nicht von der Zuständigkeit der DSB ausgenommen worden seien und die von der Revisionswerberin geltend gemachten verfassungsrechtlichen Bedenken schon im Hinblick auf den Anwendungsvorrang des Unionsrechts nicht aufzugreifen gewesen seien.
11
Zu der von der Revisionswerberin bestrittenen Zulässigkeit einer amtswegigen Prüfung hielt das BVwG fest, Hauptaufgabe der Aufsichtsbehörden sei die Überwachung und Durchsetzung der Anwendung der DSGVO. Die Aufsichtsbehörden seien nicht darauf beschränkt, aufgrund von Beschwerden tätig zu werden. Art. 57 Abs. 1 lit. h DSGVO ermögliche es, von Amts wegen zur Sicherstellung der Einhaltung der DSGVO einzuschreiten. Im vorliegenden Fall sei ein datenschutzrechtlich relevanter Sachverhalt von einer Rechtsanwältin an die DSB herangetragen worden. Dass die DSB sodann keine Untersuchungspflicht getroffen haben solle, könne aus dem DSG bzw. der DSGVO nicht abgeleitet werden. Die DSB sei daher zu Recht von einer Befugnis zur amtswegigen Prüfung im Rahmen des § 32 Abs. 1 Z 3 DSG in Verbindung mit Art. 57 Abs. 1 lit. h DSGVO ausgegangen.Zu der von der Revisionswerberin bestrittenen Zulässigkeit einer amtswegigen Prüfung hielt das BVwG fest, Hauptaufgabe der Aufsichtsbehörden sei die Überwachung und Durchsetzung der Anwendung der DSGVO. Die Aufsichtsbehörden seien nicht darauf beschränkt, aufgrund von Beschwerden tätig zu werden. Artikel 57, Absatz eins, Litera h, DSGVO ermögliche es, von Amts wegen zur Sicherstellung der Einhaltung der DSGVO einzuschreiten. Im vorliegenden Fall sei ein datenschutzrechtlich relevanter Sachverhalt von einer Rechtsanwältin an die DSB herangetragen worden. Dass die DSB sodann keine Untersuchungspflicht getroffen haben solle, könne aus dem DSG bzw. der DSGVO nicht abgeleitet werden. Die DSB sei daher zu Recht von einer Befugnis zur amtswegigen Prüfung im Rahmen des Paragraph 32, Absatz eins, Ziffer 3, DSG in Verbindung mit Artikel 57, Absatz eins, Litera h, DSGVO ausgegangen.
12
In der Sache führte das BVwG aus, es handle sich bei den hier gegenständlichen Ermittlungsdaten zu einem Verkehrsunfall zweifellos um personenbezogene Daten, bei den Gesundheitsdaten des Unfallopfers zudem um eine besondere Kategorie personenbezogener Daten. Ein Rechtfertigungsgrund zur Übermittlung dieser Daten liege nicht vor. Daran könne auch das Vorbringen der Revisionswerberin, sie sei nach § 26 StPO verpflichtet, alle Fakten in einem Akt zu führen, wenn ein Beschuldigter der Begehung mehrerer strafbarer Handlungen verdächtig sei, nichts ändern. Gründe dafür, warum eine Auswahl der beantragten Aktenteile unmöglich oder unzumutbar gewesen wäre, seien nicht vorgebracht worden und auch nicht ersichtlich. Die DSB sei daher zu Recht von einer Verletzung im Recht auf Geheimhaltung nach § 1 DSG ausgegangen.In der Sache führte das BVwG aus, es handle sich bei den hier gegenständlichen Ermittlungsdaten zu einem Verkehrsunfall zweifellos um personenbezogene Daten, bei den Gesundheitsdaten des Unfallopfers zudem um eine besondere Kategorie personenbezogener Daten. Ein Rechtfertigungsgrund zur Übermittlung dieser Daten liege nicht vor. Daran könne auch das Vorbringen der Revisionswerberin, sie sei nach Paragraph 26, StPO verpflichtet, alle Fakten in einem Akt zu führen, wenn ein Beschuldigter der Begehung mehrerer strafbarer Handlungen verdächtig sei, nichts ändern. Gründe dafür, warum eine Auswahl der beantragten Aktenteile unmöglich oder unzumutbar gewesen wäre, seien nicht vorgebracht worden und auch nicht ersichtlich. Die DSB sei daher zu Recht von einer Verletzung im Recht auf Geheimhaltung nach Paragraph eins, DSG ausgegangen.
13
Die Zulassung der Revision begründete das BVwG mit fehlender Rechtsprechung des Verwaltungsgerichtshofes zur amtswegigen Verfahrensführung der DSB nach § 32 Abs. 1 DSG in Verbindung mit Art. 57 Abs. 1 lit. h DSGVO.Die Zulassung der Revision begründete das BVwG mit fehlender Rechtsprechung des Verwaltungsgerichtshofes zur amtswegigen Verfahrensführung der DSB nach Paragraph 32, Absatz eins, DSG in Verbindung mit Artikel 57, Absatz eins, Litera h, DSGVO.
14
5. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Revision. Zur Zulässigkeit verweist die Revisionswerberin zum einen auf die vom BVwG aufgezeigte Rechtsfrage. Zum anderen bringt die Revisionswerberin vor, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Abgrenzung der Anwendungsbereiche des DSG einerseits bzw. der StPO und des GOG andererseits sowie zur Zuständigkeit der DSB im Zusammenhang mit der Überprüfung von Datenverarbeitungen durch Staatsanwaltschaften.
15
Die belangte Behörde erstattete eine Revisionsbeantwortung, in der sie die Zurückweisung, in eventu Abweisung der Revision beantragt.
II.römisch zwei.
Der Verwaltungsgerichtshof hat erwogen:
16
1. Die vorliegende Revision erweist sich im Hinblick auf die dargestellten Rechtsfragen als zulässig und aus nachstehenden Erwägungen auch als berechtigt.
17
2.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO), ABl. L 119 vom 4.5.2016, S. 1, lauten auszugsweise:2.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO), Amtsblatt , L 119 vom 4.5.2016, S. 1, lauten auszugsweise:
„Artikel 57
Aufgaben
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
[...]
h)
Untersuchungen über die Anwendung dieser Verordnung durchführen, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde;
[...]
Artikel 58
Befugnisse
[...]
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
[...]“
18
2.2. Die maßgeblichen Bestimmungen der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (im Folgenden: DSRL), ABl. L 119 vom 4.5.2016, S. 89, lauten auszugsweise:2.2. Die maßgeblichen Bestimmungen der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (im Folgenden: DSRL), Amtsblatt , L 119 vom 4.5.2016, S. 89, lauten auszugsweise:
„Artikel 45
Zuständigkeit
(1) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde dafür zuständig ist, im Hoheitsgebiet ihres eigenen Mitgliedstaats die ihr gemäß dieser Richtlinie zugewiesenen Aufgaben und übertragenen Befugnisse zu erfüllen bzw. auszuüben.
(2) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist. Die Mitgliedstaaten können vorsehen, dass ihre Aufsichtsbehörde nicht für die Überwachung der von anderen unabhängigen Justizbehörden im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig ist.
Artikel 46
Aufgaben
(1) Jeder Mitgliedstaat sieht vor, dass jede Aufsichtsbehörde in seinem Hoheitsgebiet
[...]
i)
Untersuchungen über die Anwendung dieser Richtlinie durchführt, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde;
[...]
Artikel 52
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde hat, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die nach dieser Richtlinie erlassenen Vorschriften verstößt.
[...]
Artikel 54
Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter
Die Mitgliedstaaten sehen vor, dass jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 52 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die Rechte, die ihr aufgrund von nach dieser Richtlinie erlassenen Vorschriften zustehen, infolge einer nicht mit diesen Vorschriften im Einklang stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.
[...]“
19
2.3. Die maßgeblichen Bestimmungen des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017 (§§ 31 und 33), bzw. BGBl. I Nr. 24/2018 (§§ 32 und 36), lauten auszugsweise:2.3. Die maßgeblichen Bestimmungen des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 120 aus 2017, (Paragraphen 31, und 33), bzw. Bundesgesetzblatt Teil eins, Nr. 24 aus 2018, (Paragraphen 32, und 36), lauten auszugsweise: „4. Abschnitt
Aufsichtsbehörde nach der Richtlinie (EU) 2016/680
Datenschutzbehörde
§ 31. (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde für den in § 36 Abs. 1 genannten Anwendungsbereich eingerichtet. Die Datenschutzbehörde ist nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.Paragraph 31, (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde für den in Paragraph 36, Absatz eins, genannten Anwendungsbereich eingerichtet. Die Datenschutzbehörde ist nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.
(2) Hinsichtlich der Unabhängigkeit, der allgemeinen Bedingungen und der Errichtung der Aufsichtsbehörde finden die Art. 52, 53 und 54 DSGVO sowie der § 18 Abs. 2, §§ 19 und 20 sinngemäß Anwendung.(2) Hinsichtlich der Unabhängigkeit, der allgemeinen Bedingungen und der Errichtung der Aufsichtsbehörde finden die Artikel 52, 53, und 54 DSGVO sowie der Paragraph 18, Absatz 2,, Paragraphen 19, und 20 sinngemäß Anwendung.
Aufgaben der Datenschutzbehörde
§ 32. (1) Die Datenschutzbehörde hat im Anwendungsbereich des § 36 Abs. 1Paragraph 32, (1) Die Datenschutzbehörde hat im Anwendungsbereich des Paragraph 36, Absatz eins
1.
die Anwendung des § 1 und der im 3. Hauptstück erlassenen Vorschriften sowie der Durchführungsvorschriften zur Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates [...] zu überwachen und durchzusetzen;die Anwendung des Paragraph eins und der im 3. Hauptstück erlassenen Vorschriften sowie der Durchführungsvorschriften zur Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates [...] zu überwachen und durchzusetzen;
[...]
3.
die in Art. 57 Abs. 1 lit. c bis e, g, h und t DSGVO festgelegten Aufgaben im Hinblick auf das 3. Hauptstück zu erfüllen;die in Artikel 57, Absatz eins, Litera c, bis e, g, h und t DSGVO festgelegten Aufgaben im Hinblick auf das 3. Hauptstück zu erfüllen;
[...]
Befugnisse der Datenschutzbehörde
§ 33. (1) Die Datenschutzbehörde verfügt im Anwendungsbereich des § 36 Abs. 1 über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Untersuchungsbefugnisse. Diese umfassen insbesondere die in § 22 Abs. 2 genannten Befugnisse.Paragraph 33, (1) Die Datenschutzbehörde verfügt im Anwendungsbereich des Paragraph 36, Absatz eins, über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Untersuchungsbefugnisse. Diese umfassen insbesondere die in Paragraph 22, Absatz 2, genannten Befugnisse.
(2) Die Datenschutzbehörde verfügt im Anwendungsbereich des § 36 Abs. 1 über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Abhilfebefugnisse. Dazu zählen jedenfalls die Befugnisse, die es ihr gestatten(2) Die Datenschutzbehörde verfügt im Anwendungsbereich des Paragraph 36, Absatz eins, über die zur Vollziehung ihres Aufgabenbereichs erforderlichen wirksamen Abhilfebefugnisse. Dazu zählen jedenfalls die Befugnisse, die es ihr gestatten
1.
einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften verstoßen;
2.
den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge, auf bestimmte Weise und innerhalb eines bestimmten Zeitraums, mit den im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften in Einklang zu bringen, insbesondere durch die Anordnung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung gemäß § 45;den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge, auf bestimmte Weise und innerhalb eines bestimmten Zeitraums, mit den im Anwendungsbereich der Richtlinie (EU) 2016/680 erlassenen Vorschriften in Einklang zu bringen, insbesondere durch die Anordnung der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung gemäß Paragraph 45,;
3.
eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen.
[...]
3. Hauptstück
Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs
1. Abschnitt
Allgemeine Bestimmungen
Anwendungsbereich und Begriffsbestimmungen
§ 36. (1) Die Bestimmungen dieses Hauptstücks gelten für die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung.Paragraph 36, (1) Die Bestimmungen dieses Hauptstücks gelten für die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung.
(2) Im Sinne dieses Hauptstücks bezeichnet der Ausdruck:
[...]
15.
‚Aufsichtsbehörde‘ ist die Datenschutzbehörde;
[...]“
20
3.1. Aus Anlass der vorliegenden Revision stellte der Verwaltungsgerichtshof mit Beschluss vom 9. Mai 2023, A 2023/0006 (Ro 2020/04/0016), an den Verfassungsgerichtshof den Antrag, § 31 Abs. 1 erster Satz, § 32 Abs. 1 Z 3 sowie § 36 Abs. 2 Z 15 DSG in näher zitierter Fassung (bzw. in eventu eine Reihe weiterer Bestimmungen des DSG) als verfassungswidrig aufzuheben.3.1. Aus Anlass der vorliegenden Revision stellte der Verwaltungsgerichtshof mit Beschluss vom 9. Mai 2023, A 2023/0006 (Ro 2020/04/0016), an den Verfassungsgerichtshof den Antrag, Paragraph 31, Absatz eins, erster Satz, Paragraph 32, Absatz eins, Ziffer 3, sowie Paragraph 36, Absatz 2, Ziffer 15, DSG in näher zitierter Fassung (bzw. in eventu eine Reihe weiterer Bestimmungen des DSG) als verfassungswidrig aufzuheben.
21
Der Verwaltungsgerichtshof hegte in diesem Beschluss verfassungsrechtliche Bedenken im Hinblick auf das Recht auf ein Verfahren vor dem gesetzlichen Richter gemäß Art. 83 Abs. 2 B-VG sowie im Hinblick auf den Trennungsgrundsatz gemäß Art. 94 B-VG.Der Verwaltungsgerichtshof hegte in diesem Beschluss verfassungsrechtliche Bedenken im Hinblick auf das Recht auf ein Verfahren vor dem gesetzlichen Richter gemäß Artikel 83, Absatz 2, B-VG sowie im Hinblick auf den Trennungsgrundsatz gemäß Artikel 94, B-VG.
22
3.2. Mit Erkenntnis vom 13. Dezember 2023, G 212/2023 ua., wies der Verfassungsgerichtshof diesen Antrag (und weitere gleichlautende Anträge) ab.3.2. Mit Erkenntnis vom 13. Dezember 2023, G 212 aus 2023, ua., wies der Verfassungsgerichtshof diesen Antrag (und weitere gleichlautende Anträge) ab.
23
In der Sache führte der Verfassungsgerichtshof auszugsweise wie folgt aus:
„Die Mitgliedstaaten sind auf Grund der DSRL verpflichtet (vgl Art. 52 ff.), für die Überwachung der Anwendung dieser Richtlinie sowohl eine oder mehrere (unabhängige) Aufsichtsbehörden als auch ordentliche Gerichte einzurichten bzw zuständig zu machen:„Die Mitgliedstaaten sind auf Grund der DSRL verpflichtet vergleiche , Artikel 52, ff.), für die Überwachung der Anwendung dieser Richtlinie sowohl eine oder mehrere (unabhängige) Aufsichtsbehörden als auch ordentliche Gerichte einzurichten bzw zuständig zu machen:
2.3.1. [...]
Bei dieser Aufsichtsbehörde bzw. bei diesen Aufsichtsbehörden handelt es sich (jedenfalls im Verständnis des nationalen [Verfassungs-]Rechts) um Verwaltungsbehörden. [...]
[...]
2.3.4. Als Zwischenergebnis ist sohin festzuhalten, dass die DSRL die Zuständigkeit einer (zumindest nach nationalem Recht) als Verwaltungsbehörde einzurichtenden Aufsichtsbehörde - neben der Zuständigkeit der ordentlichen Gerichtsbarkeit - im Zusammenhang mit der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung grundsätzlich verlangt. Die Aufsichtsbehörde darf (nur) nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig gemacht werden.
2.4. Nach der ständigen Judikatur des Verfassungsgerichtshofes (VfSlg. 15.106/1998, 15.204/1998, 15.683/1999, 20.209/2016 u.v.a.) unterliegt ein österreichisches Gesetz, mit dem eine unionsrechtliche Vorschrift ausgeführt und in österreichisches Recht umgesetzt wird, rechtlich einer doppelten Bindung: Der Gesetzgeber bleibt bei der Ausführung von Unionsrecht (auch) an bundesverfassungsgesetzliche Vorgaben insoweit gebunden, als eine Umsetzung unionsrechtlicher Vorgaben durch diese nicht inhibiert wird. Der Gesetzgeber unterliegt in diesen Fällen sohin einer Bindung an das Unionsrecht und einer Bindung an den verfassungsgesetzlich gezogenen Rahmen.2.4. Nach der ständigen Judikatur des Verfassungsgerichtshofes (VfSlg. 15.106 aus 1998,, 15.204 aus 1998,, 15.683 aus 1999,, 20.209 aus 2016, u.v.a.) unterliegt ein österreichisches Gesetz, mit dem eine unionsrechtliche Vorschrift ausgeführt und in österreichisches Recht umgesetzt wird, rechtlich einer doppelten Bindung: Der Gesetzgeber bleibt bei der Ausführung von Unionsrecht (auch) an bundesverfassungsgesetzliche Vorgaben insoweit gebunden, als eine Umsetzung unionsrechtlicher Vorgaben durch diese nicht inhibiert wird. Der Gesetzgeber unterliegt in diesen Fällen sohin einer Bindung an das Unionsrecht und einer Bindung an den verfassungsgesetzlich gezogenen Rahmen.
[...]
2.6. Der Verfassungsgerichtshof teilt die Auffassung des antragstellenden Verwaltungsgerichtshofes [...], dass die DSRL nur insoweit eine zulässige Umsetzung erlaubt bzw. gebietet, als der Gesetzgeber (neben der Zuständigkeit der Gerichte auch) die Zuständigkeit einer Aufsichtsbehörde für die Verarbeitungen personenbezogener Daten durch die Staatsanwaltschaft normiert.
2.7. Vor diesem unionsrechtlichen Hintergrund ist zu klären, ob bei Fehlen eines Umsetzungsspielraumes im nationalen Recht der Verfassungsgesetzgeber oder der (einfache) Gesetzgeber tätig werden muss bzw kann.
[...]
2.7.3. Aufbauend auf dem Erkenntnis VfSlg. 18.642/2008 geht die verfassungsgerichtliche Rechtsprechung in VfSlg. 20.070/2016 [...] davon aus, dass bei vollständiger Determinierung der Umsetzungsbestimmung durch die zugrunde liegende Richtlinie eine Prüfung des Umsetzungsgesetzes dem Verfassungsgerichtshof so lange verwehrt ist, als nicht die einschlägige Richtlinienbestimmung vom Gerichtshof der Europäischen Union für ungültig erklärt wird. Entscheidend ist somit, ob der Regelungsgehalt der angefochtenen Bestimmung unionsrechtlich zwingend vorgegeben ist oder nicht (zuletzt etwa VfGH 14.12.2022, G 287/2022 ua. zum sog. Medienprivileg im DSG).2.7.3. Aufbauend auf dem Erkenntnis VfSlg. 18.642 aus 2008, geht die verfassungsgerichtliche Rechtsprechung in VfSlg. 20.070 aus 2016, [...] davon aus, dass bei vollständiger Determinierung der Umsetzungsbestimmung durch die zugrunde liegende Richtlinie eine Prüfung des Umsetzungsgesetzes dem Verfassungsgerichtshof so lange verwehrt ist, als nicht die einschlägige Richtlinienbestimmung vom Gerichtshof der Europäischen Union für ungültig erklärt wird. Entscheidend ist somit, ob der Regelungsgehalt der angefochtenen Bestimmung unionsrechtlich zwingend vorgegeben ist oder nicht (zuletzt etwa VfGH 14.12.2022, G 287 aus 2022, ua. zum sog. Medienprivileg im DSG).
2.8. [...]
In Anbetracht der vollständigen inhaltlichen Determinierung der angefochtenen Regelungen des Datenschutzgesetzes durch das Unionsrecht, das eine Doppelgleisigkeit des Rechtsschutzes bei der Datenschutzbehörde und bei den ordentlichen Gerichten verlangt (siehe bereits Punkt 2.3.3.), geht der Verfassungsgerichtshof davon aus, dass der Gesetzgeber - im Fall des Widerspruchs der angefochtenen Bestimmungen zum österreichischen Verfassungsrecht - keine Möglichkeit hätte, eine Ersatzregelung zu schaffen, die sowohl dem Unionsrecht als auch dem innerstaatlichen Verfassungsrecht entspricht.
2.9. [...]
Der Verfassungsgerichtshof teilt die Auffassung des Verwaltungsgerichtshofes [...], dass der Gesetzgeber in Umsetzung des Art. 45 DSRL Staatsanwaltschaften nicht von einer Aufsicht über Datenverarbeitungen zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (Art. 1 Abs. 1 DSRL) ausnehmen darf. [...]Der Verfassungsgerichtshof teilt die Auffassung des Verwaltungsgerichtshofes [...], dass der Gesetzgeber in Umsetzung des Artikel 45, DSRL Staatsanwaltschaften nicht von einer Aufsicht über Datenverarbeitungen zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (Artikel eins, Absatz eins, DSRL) ausnehmen darf. [...]
[...]
Vor diesem Hintergrund [...] ist die Möglichkeit der Ausnahme von Staatsanwaltschaften bei Datenverarbeitungen im Sinne der DSRL auf Grund ihrer Weisungsgebundenheit unionsrechtlich verwehrt und es kommt dem nationalen Gesetzgeber diesbezüglich kein Spielraum zu.
2.9.5. Weiters teilt der Verfassungsgerichtshof die seitens des Verwaltungsgerichtshofes [...] vertretene Rechtsauffassung, dass es dem Gesetzgeber offensteht, für die Aufsicht über Datenverarbeitungen durch Staatsanwaltschaften im Anwendungsbereich der DSRL eine eigene Aufsichtsbehörde (also nicht die Datenschutzbehörde) einzurichten. Aus Art. 41 Abs. 1 DSRL folgt unmissverständlich, dass es den Mitgliedstaaten überlassen ist, eine oder mehrere unabhängige Aufsichtsbehörden einzurichten.2.9.5. Weiters teilt der Verfassungsgerichtshof die seitens des Verwaltungsgerichtshofes [...] vertretene Rechtsauffassung, dass es dem Gesetzgeber offensteht, für die Aufsicht über Datenverarbeitungen durch Staatsanwaltschaften im Anwendungsbereich der DSRL eine eigene Aufsichtsbehörde (also nicht die Datenschutzbehörde) einzurichten. Aus Artikel 41, Absatz eins, DSRL folgt unmissverständlich, dass es den Mitgliedstaaten überlassen ist, eine oder mehrere unabhängige Aufsichtsbehörden einzurichten.
Entgegen der Auffassung des Verwaltungsgerichtshofes [...] würden durch die Einrichtung einer eigens für Staatsanwaltschaften zuständigen Aufsichtsbehörde die unter dem Gesichtspunkt des Art. 94 B-VG seitens des Verwaltungsgerichtshofes [...] dargelegten Bedenken nicht ausgeräumt. Auch bei der Einrichtung einer eigens für Staatsanwaltschaften zuständigen Aufsichtsbehörde wäre für die seitens des Verwaltungsgerichtshofes [...] vorgebrachten Bedenken unter dem Blickwinkel des Trennungsgrundsatzes nach Art. 94 Abs. 1 B-VG insoweit nichts gewonnen, als auch diese gemäß den Anforderungen der DSRL einzurichtende unabhängige Aufsichtsbehörde - in Ermangelung einer entsprechenden Verfassungsbestimmung - nicht der ordentlichen Gerichtsbarkeit, sondern - wie unter Punkt 2.3.1. ausgeführt - der Staatsfunktion Verwaltung zuzuordnen wäre.Entgegen der Auffassung des Verwaltungsgerichtshofes [...] würden durch die Einrichtung einer eigens für Staatsanwaltschaften zuständigen Aufsichtsbehörde die unter dem Gesichtspunkt des Artikel 94, B-VG seitens des Verwaltungsgerichtshofes [...] dargelegten Bedenken nicht ausgeräumt. Auch bei der Einrichtung einer eigens für Staatsanwaltschaften zuständigen Aufsichtsbehörde wäre für die seitens des Verwaltungsgerichtshofes [...] vorgebrachten Bedenken unter dem Blickwinkel des Trennungsgrundsatzes nach Artikel 94, Absatz eins, B-VG insoweit nichts gewonnen, als auch diese gemäß den Anforderungen der DSRL einzurichtende unabhängige Aufsichtsbehörde - in Ermangelung einer entsprechenden Verfassungsbestimmung - nicht der ordentlichen Gerichtsbarkeit, sondern - wie unter Punkt 2.3.1. ausgeführt - der Staatsfunktion Verwaltung zuzuordnen wäre.
2.9.6. Für den Verfassungsgerichtshof ist keine Möglichkeit des einfachen Gesetzgebers erkennbar, eine mit den Unionsrecht vereinbare nationale Regelung in Umsetzung der DSRL zu treffen, bei der die in den Anträgen gehegten Bedenken unter dem Gesichtspunkt des Trennungsgrundsatzes des Art. 94 Abs. 1 B-VG nicht bestünden.2.9.6. Für den Verfassungsgerichtshof ist keine Möglichkeit des einfachen Gesetzgebers erkennbar, eine mit den Unionsrecht vereinbare nationale Regelung in Umsetzung der DSRL zu treffen, bei der die in den Anträgen gehegten Bedenken unter dem Gesichtspunkt des Trennungsgrundsatzes des Artikel 94, Absatz eins, B-VG nicht bestünden.
2.10. Mangels eines Umsetzungsspielraumes für den Gesetzgeber nach der DSRL kommt somit für den Verfassungsgerichtshof eine verfassungsrechtliche Prüfung und gegebenenfalls Aufhebung der angefochtenen Bestimmungen über die Einrichtung der Datenschutzbehörde als Aufsichtsbehörde über Datenverarbeitungen durch Staatsanwaltschaften wegen Widerspruchs zum geltend gemachten Art. 94 B-VG nicht in Frage (vgl. VfSlg. 18.642/2008, 20.070/2016, 20.209/2017).2.10. Mangels eines Umsetzungsspielraumes für den Gesetzgeber nach der DSRL kommt somit für den Verfassungsgerichtshof eine verfassungsrechtliche Prüfung und gegebenenfalls Aufhebung der angefochtenen Bestimmungen über die Einrichtung der Datenschutzbehörde als Aufsichtsbehörde über Datenverarbeitungen durch Staatsanwaltschaften wegen Widerspruchs zum geltend gemachten Artikel 94, B-VG nicht in Frage vergleiche , VfSlg. 18.642 aus 2008,, 20.070 aus 2016,, 20.209 aus 2017,).
2.11. In diesem Zusammenhang ist darauf hinzuweisen, dass der Verfassungsgerichtshof auch in Fällen, in denen das Recht der Europäischen Union den Gesetzgeber zu einer bestimmten Regelung unbedingt verhält (also für eine doppelte Bindung insoweit kein Raum bleibt), davon ausgeht, dass die Bestimmungen des Art. 44 Abs. 3 B-VG betreffend eine Gesamtänderung der Bundesverfassung einzuhalten sind (vgl. auch VfSlg. 20.522/2021). Dass die hier in Rede stehenden Regelungen der DSRL für sich oder im Zusammenhang mit sonstigen unionsrechtlichen Bestimmungen eine die Schranken des Bundesverfassungsgesetzes über den Beitritt Österreichs zur Europäischen Union, BGBl. 744/1994, im Hinblick auf Art. 44 Abs. 3 B-VG übersteigende Anordnung treffen, ist für den Verfassungsgerichtshof nicht erkennbar.“2.11. In diesem Zusammenhang ist darauf hinzuweisen, dass der Verfassungsgerichtshof auch in Fällen, in denen das Recht der Europäischen Union den Gesetzgeber zu einer bestimmten Regelung unbedingt verhält (also für eine doppelte Bindung insoweit kein Raum bleibt), davon ausgeht, dass die Bestimmungen des Artikel 44, Absatz 3, B-VG betreffend eine Gesamtänderung der Bundesverfassung einzuhalten sind vergleiche , auch VfSlg. 20.522 aus 2021,). Dass die hier in Rede stehenden Regelungen der DSRL für sich oder im Zusammenhang mit sonstigen unionsrechtlichen Bestimmungen eine die Schranken des Bundesverfassungsgesetzes über den Beitritt Österreichs zur Europäischen Union, Bundesgesetzblatt 744 aus 1994,, im Hinblick auf Artikel 44, Absatz 3, B-VG übersteigende Anordnung treffen, ist für den Verfassungsgerichtshof nicht erkennbar.“
24
4. Zu der von der Revisionswerberin bestrittenen Zuständigkeit der DSB ist zunächst festzuhalten, dass der angefochtenen Entscheidung eine Verarbeitung personenbezogener Daten im Anwendungsbereich der DSRL zugrunde liegt. Die Umsetzung der DSRL erfolgte im DSG (insbesondere im 4. Abschnitt des 2. Hauptstückes sowie im 3. Hauptstück). Nach § 31 Abs. 1 erster Satz DSG wird als nationale Aufsichtsbehörde für den in § 36 Abs. 1 DSG genannten Anwendungsbereich (und somit hinsichtlich der Umsetzung der DSRL) die DSB eingerichtet; dementsprechend benennt auch die Begriffsbestimmung des § 36 Abs. 2 Z 15 DSG als „Aufsichtsbehörde“ die DSB.4. Zu der von der Revisionswerberin bestrittenen Zuständigkeit der DSB ist zunächst festzuhalten, dass der angefochtenen Entscheidung eine Verarbeitung personenbezogener Daten im Anwendungsbereich der DSRL zugrunde liegt. Die Umsetzung der DSRL erfolgte im DSG (insbesondere im 4. Abschnitt des 2. Hauptstückes sowie im 3. Hauptstück). Nach Paragraph 31, Absatz eins, erster Satz DSG wird als nationale Aufsichtsbehörde für den in Paragraph 36, Absatz eins, DSG genannten Anwendungsbereich (und somit hinsichtlich der Umsetzung der DSRL) die DSB eingerichtet; dementsprechend benennt auch die Begriffsbestimmung des Paragraph 36, Absatz 2, Ziffer 15, DSG als „Aufsichtsbehörde“ die DSB.
25
4.1. § 31 Abs. 1 zweiter Satz DSG sieht (in Umsetzung von Art. 45 Abs. 2 erster Satz DSRL) vor, dass die DSB für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen nicht zuständig ist. Allerdings handelt es sich bei Staatsanwaltschaften (ungeachtet dessen, dass Staatsanwälte gemäß Art. 90a B-VG Organe der ordentlichen Gerichtsbarkeit sind) nicht um Gerichte (siehe VfGH 9.3.2011, G 52/10, VfSlg. 19.350; RV 1618 BlgNR 24. GP 9; dazu, dass Staatsanwaltschaften auch nicht als Gerichte im Sinn der DSGVO anzusehen sind, vgl. König in Knyrim, DatKomm, Art 37 DSGVO Rz. 15, mwN).4.1. Paragraph 31, Absatz eins, zweiter Satz DSG sieht (in Umsetzung von Artikel 45, Absatz 2, erster Satz DSRL) vor, dass die DSB für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen nicht zuständig ist. Allerdings handelt es sich bei Staatsanwaltschaften (ungeachtet dessen, dass Staatsanwälte gemäß Artikel 90 a, B-VG Organe der ordentlichen Gerichtsbarkeit sind) nicht um Gerichte (siehe VfGH 9.3.2011, G 52/10, VfSlg. 19.350; Regierungsvorlage 1618, BlgNR 24. Gesetzgebungsperiode 9; dazu, dass Staatsanwaltschaften auch nicht als Gerichte im Sinn der DSGVO anzusehen sind, vergleiche , König in Knyrim, DatKomm, Artikel 37, DSGVO Rz. 15, mwN).
26
4.2. Art. 45 Abs. 2 zweiter Satz DSRL ermöglicht es den Mitgliedstaaten (arg.: „können vorsehen“) zwar, die Zuständigkeit der Aufsichtsbehörde auch hinsichtlich der Überwachung der „von anderen unabhängigen Justizbehörden“ im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen auszuschließen. Das DSG enthält allerdings keine Regelung, der zufolge die Zuständigkeit der DSB (unter Inanspruchnahme dieser Richtlinienregelung) hinsichtlich der Überprüfung von Datenverarbeitungen durch „andere unabhängige Justizbehörden“ ausgeschlossen wäre (vgl. - eine Zuständigkeit der DSB hinsichtlich der Staatsanwaltschaften bejahend - auch Lachmayer in Knyrim, DatKomm § 31 DSG Rz. 6). Aus dem Inhalt der Bestimmung ergibt sich klar, dass die obligatorische Vorgabe des ersten Satzes des Art. 45 Abs. 2 DSRL in § 31 Abs. 1 zweiter Satz umgesetzt wurde, während die fakultative Möglichkeit des zweiten Satzes des Art. 45 Abs. 2 DSRL im DSG nicht in Anspruch genommen wurde.4.2. Artikel 45, Absatz 2, zweiter Satz DSRL ermöglicht es den Mitgliedstaaten (arg.: „können vorsehen“) zwar, die Zuständigkeit der Aufsichtsbehörde auch hinsichtlich der Überwachung der „von anderen unabhängigen Justizbehörden“ im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Datenverarbeitungen auszuschließen. Das DSG enthält allerdings keine Regelung, der zufolge die Zuständigkeit der DSB (unter Inanspruchnahme dieser Richtlinienregelung) hinsichtlich der Überprüfung von Datenverarbeitungen durch „andere unabhängige Justizbehörden“ ausgeschlossen wäre vergleiche , - eine Zuständigkeit der DSB hinsichtlich der Staatsanwaltschaften bejahend - auch Lachmayer in Knyrim, DatKomm Paragraph 31, DSG Rz. 6). Aus dem Inhalt der Bestimmung ergibt sich klar, dass die obligatorische Vorgabe des ersten Satzes des Artikel 45, Absatz 2, DSRL in Paragraph 31, Absatz eins, zweiter Satz umgesetzt wurde, während die fakultative Möglichkeit des zweiten Satzes des Artikel 45, Absatz 2, DSRL im DSG nicht in Anspruch genommen wurde.
27
4.3. Auch aus den von der Revisionswerberin ins Treffen geführten Regelungen im GOG und im StAG ergibt sich kein (impliziter) Ausschluss der Zuständigkeit der DSB hinsichtlich der Überprüfung von Datenverarbeitungen durch Staatsanwaltschaften, zumal die Staatsanwaltschaften auch nicht als unabhängige Justizbehörden im Sinn des Art. 45 Abs. 2 zweiter Satz DSRL anzusehen sind und ein dahingehender Ausschluss der Zuständigkeit der Aufsichtsbehörde unionsrechtskonform daher gar nicht vorgesehen werden könnte (vgl. dazu auch VfGH G 212/2023 ua., Rn. 116 f, sowie die darin abgedruckten Ausführungen im Beschluss VwGH A 2023/0006, Pkt. 4, mHa Rechtsprechung des EuGH).4.3. Auch aus den von der Revisionswerberin ins Treffen geführten Regelungen im GOG und im StAG ergibt sich kein (impliziter) Ausschluss der Zuständigkeit der DSB hinsichtlich der Überprüfung von Datenverarbeitungen durch Staatsanwaltschaften, zumal die Staatsanwaltschaften auch nicht als unabhängige Justizbehörden im Sinn des Artikel 45, Absatz 2, zweiter Satz DSRL anzusehen sind und ein dahingehender Ausschluss der Zuständigkeit der Aufsichtsbehörde unionsrechtskonform daher gar nicht vorgesehen werden könnte vergleiche , dazu auch VfGH G 212 aus 2023, ua., Rn. 116 f, sowie die darin abgedruckten Ausführungen im Beschluss VwGH A 2023/0006, Pkt. 4, mHa Rechtsprechung des EuGH).
28
Darüber hinaus ist in diesem Zusammenhang auf die Ausführungen des Gerichtshofes der Europäischen Union (EuGH) in seinem - zu den Art. 77 bis 79 DSGVO ergangenen - Urteil vom 12. Jänner 2023, C-132/21, BE, zu verweisen, in dem der EuGH festgehalten hat, dass jeder der vorgesehenen Rechtsbehelfe (Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO einerseits sowie Recht auf einen wirksamen gerichtlichen Rechtsbehelf gemäß Art. 79 DSGVO andererseits) unbeschadet des jeweils anderen Rechtsbehelfes zur Verfügung stehen müsse (Rn. 34). Da sich die entsprechenden Regelungen in den Art. 52 bis 54 DSRL (abgesehen vom Umsetzungserfordernis) inhaltlich mit denjenigen der Art. 77 bis 79 DSGVO decken, ist davon auszugehen, dass auch im Anwendungsbereich der DSRL das Recht auf Beschwerde bei einer Aufsichtsbehörde im Sinn des Art. 52 DSRL und das Recht auf einen wirksamen gerichtlichen Rechtsbehelf im Sinn des Art. 54 DSRL nebeneinander und unabhängig voneinander vorzusehen sind. Somit kann aber auch nicht angenommen werden, dass die im GOG iVm dem StAG enthaltenen Regelungen über gerichtliche Rechtsbehelfe das (daneben einzuräumende) Recht auf Beschwerde bei der Aufsichtsbehörde (vorliegend der DSB) bzw. die hier einschlägige amtswegig wahrzunehmende Untersuchungsaufgabe ausschließen.Darüber hinaus ist in diesem Zusammenhang auf die Ausführungen des Gerichtshofes der Europäischen Union (EuGH) in seinem - zu den Artikel 77, bis 79 DSGVO ergangenen - Urteil vom 12. Jänner 2023, C-132/21, BE, zu verweisen, in dem der EuGH festgehalten hat, dass jeder der vorgesehenen Rechtsbehelfe (Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77, DSGVO einerseits sowie Recht auf einen wirksamen gerichtlichen Rechtsbehelf gemäß Artikel 79, DSGVO andererseits) unbeschadet des jeweils anderen Rechtsbehelfes zur Verfügung stehen müsse (Rn. 34). Da sich die entsprechenden Regelungen in den Artikel 52, bis 54 DSRL (abgesehen vom Umsetzungserfordernis) inhaltlich mit denjenigen der Artikel 77, bis 79 DSGVO decken, ist davon auszugehen, dass auch im Anwendungsbereich der DSRL das Recht auf Beschwerde bei einer Aufsichtsbehörde im Sinn des Artikel 52, DSRL und das Recht auf einen wirksamen gerichtlichen Rechtsbehelf im Sinn des Artikel 54, DSRL nebeneinander und unabhängig voneinander vorzusehen sind. Somit kann aber auch nicht angenommen werden, dass die im GOG in Verbindung mit , dem StAG enthaltenen Regelungen über gerichtliche Rechtsbehelfe das (daneben einzuräumende) Recht auf Beschwerde bei der Aufsichtsbehörde (vorliegend der DSB) bzw. die hier einschlägige amtswegig wahrzunehmende Untersuchungsaufgabe ausschließen.
29
4.4. Vor dem Hintergrund der - oben verkürzt wiedergegebenen - Ausführungen des Verfassungsgerichtshofes im Erkenntnis G 212/2023 ua. bestehen gegen diese Zuständigkeit der DSB auch für den Bereich der Verarbeitung personenbezogener Daten durch Staatsanwaltschaften keine verfassungsrechtlichen Bedenken (mehr).4.4. Vor dem Hintergrund der - oben verkürzt wiedergegebenen - Ausführungen des Verfassungsgerichtshofes im Erkenntnis G 212 aus 2023, ua. bestehen gegen diese Zuständigkeit der DSB auch für den Bereich der Verarbeitung personenbezogener Daten durch Staatsanwaltschaften keine verfassungsrechtlichen Bedenken (mehr).
30
Das BVwG hat die Zuständigkeit der DSB im Ergebnis somit zu Recht bejaht.
31
5.1. Hinsichtlich der von der Revisionswerberin bestrittenen Zulässigkeit der amtswegigen Prüfung durch die DSB verweist das BVwG darauf, dass die Hauptaufgabe der DSB in der Überwachung und Durchsetzung der Anwendung der DSGVO bestehe, wofür sie mit umfassenden Durchsetzungsbefugnissen ausgestattet sei. Die Aufsichtsbehörden seien nicht darauf beschränkt, auf Grund von Beschwerden tätig zu werden. Dass die DSB auf Grund der hier erfolgten Eingabe einer Rechtsanwältin keine Untersuchungspflicht getroffen haben solle, sei aus dem DSG nicht abzuleiten.
32
Die Revisionswerberin bringt demgegenüber vor, aus § 24 DSG lasse sich ableiten, dass die DSB über konkrete Datenschutzverletzungen nur auf Antrag eines Betroffenen abspreche, der hier nicht vorliege. Art. 57 Abs. 1 lit. h DSGVO sei gegenständlich nicht anwendbar, weil die (zur amtswegig durchgeführten Untersuchung führenden) Informationen nicht von einer Aufsichtsbehörde oder einer sonstigen Behörde, sondern von einer Rechtsanwältin stammten. Zudem habe diese Bestimmung nicht „konkrete Datenschutzverletzungen“ zum Gegenstand, sondern nur Untersuchungen „auf einer Metaebene“. Entscheidungen über konkrete Rechtsverletzungen seien abschließend in Art. 57 Abs. 1 lit. f DSGVO geregelt, wobei ein Tätigwerden nach dieser Bestimmung eine Beschwerde voraussetze.Die Revisionswerberin bringt demgegenüber vor, aus Paragraph 24, DSG lasse sich ableiten, dass die DSB über konkrete Datenschutzverletzungen nur auf Antrag eines Betroffenen abspreche, der hier nicht vorliege. Artikel 57, Absatz eins, Litera h, DSGVO sei gegenständlich nicht anwendbar, weil die (zur amtswegig durchgeführten Untersuchung führenden) Informationen nicht von einer Aufsichtsbehörde oder einer sonstigen Behörde, sondern von einer Rechtsanwältin stammten. Zudem habe diese Bestimmung nicht „konkrete Datenschutzverletzungen“ zum Gegenstand, sondern nur Untersuchungen „auf einer Metaebene“. Entscheidungen über konkrete Rechtsverletzungen seien abschließend in Artikel 57, Absatz eins, Litera f, DSGVO geregelt, wobei ein Tätigwerden nach dieser Bestimmung eine Beschwerde voraussetze.
33
Die DSB bestreitet in der Revisionsbeantwortung, dass Untersuchungen gemäß Art. 57 Abs. 1 lit. h DSGVO nur auf einer „Metaebene“ durchzuführen seien.Die DSB bestreitet in der Revisionsbeantwortung, dass Untersuchungen gemäß Artikel 57, Absatz eins, Litera h, DSGVO nur auf einer „Metaebene“ durchzuführen seien.
34
5.2. Gemäß Art. 46 Abs. 1 lit. i DSRL ist vorzusehen, dass die Aufsichtsbehörde „Untersuchungen über die Anwendung dieser Richtlinie durchführt, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde“. § 32 Abs. 1 Z 3 DSG verweist bei der Umsetzung dieser Richtlinienbestimmung (ua.) auf die Erfüllung der im (inhaltlich deckungsgleichen) Art. 57 Abs. 1 lit. h DSGVO normierten Aufgabe. Im Hinblick auf den Wortlaut der Bestimmung (arg. „auch auf der Grundlage von“) steht der Anwendung des Art. 57 Abs. 1 lit. h DSGVO entgegen der Ansicht der Revisionswerberin nicht entgegen, dass die Information, die Auslöser für die gegenständliche amtswegige Untersuchung war, nicht von einer (Aufsichts)Behörde, sondern von einer Rechtsanwältin stammte. Aus dem von der Revisionswerberin ins Treffen geführten Urteil OGH 26.11.2019, 4 Ob 84/19k, lässt sich für den vorliegenden Fall nichts ableiten, weil es dort um die Frage der Aktivlegitimation eines Verbandes und nicht um die Frage der Zulässigkeit eines amtswegigen Untersuchungsverfahrens ging.5.2. Gemäß Artikel 46, Absatz eins, Litera i, DSRL ist vorzusehen, dass die Aufsichtsbehörde „Untersuchungen über die Anwendung dieser Richtlinie durchführt, auch auf der Grundlage von Informationen einer anderen Aufsichtsbehörde oder einer anderen Behörde“. Paragraph 32, Absatz eins, Ziffer 3, DSG verweist bei der Umsetzung dieser Richtlinienbestimmung (ua.) auf die Erfüllung der im (inhaltlich deckungsgleichen) Artikel 57, Absatz eins, Litera h, DSGVO normierten Aufgabe. Im Hinblick auf den Wortlaut der Bestimmung (arg. „auch auf der Grundlage von“) steht der Anwendung des Artikel 57, Absatz eins, Litera h, DSGVO entgegen der Ansicht der Revisionswerberin nicht entgegen, dass die Information, die Auslöser für die gegenständliche amtswegige Untersuchung war, nicht von einer (Aufsichts)Behörde, sondern von einer Rechtsanwältin stammte. Aus dem von der Revisionswerberin ins Treffen geführten Urteil OGH 26.11.2019, 4 Ob 84/19k, lässt sich für den vorliegenden Fall nichts ableiten, weil es dort um die Frage der Aktivlegitimation eines Verbandes und nicht um die Frage der Zulässigkeit eines amtswegigen Untersuchungsverfahrens ging. 35
Zudem lässt sich der umfassend und allgemein gehaltenen Formulierung des Art. 57 Abs. 1 lit. h DSGVO nicht entnehmen, dass damit nur Untersuchungen auf einer „Metaebene“ erfasst seien und konkrete Datenschutzverletzungen nicht Gegenstand solcher Untersuchungen sein könnten. Weder Art. 57 DSGVO noch Art. 46 DSRL enthalten schließlich Anhaltspunkte dafür, dass die darin vorgesehenen Aufgaben der Aufsichtsbehörde restriktiv auszulegen wären. Der Verwaltungsgerichtshof hat es auch schon unbeanstandet gelassen, dass ein amtswegig eingeleitetes Prüfverfahren eine (wenn auch eine Vielzahl von Personen betreffende) konkrete Datenübermittlung zum Gegenstand hatte (vgl. VwGH 23.6.2022, Ro 2019/04/0221 bis 0222, im Zusammenhang mit der Übermittlung von Patientendaten aus Anlass einer Ordinationsschließung).Zudem lässt sich der umfassend und allgemein gehaltenen Formulierung des Artikel 57, Absatz eins, Litera h, DSGVO nicht entnehmen, dass damit nur Untersuchungen auf einer „Metaebene“ erfasst seien und konkrete Datenschutzverletzungen nicht Gegenstand solcher Untersuchungen sein könnten. Weder Artikel 57, DSGVO noch Artikel 46, DSRL enthalten schließlich Anhaltspunkte dafür, dass die darin vorgesehenen Aufgaben der Aufsichtsbehörde restriktiv auszulegen wären. Der Verwaltungsgerichtshof hat es auch schon unbeanstandet gelassen, dass ein amtswegig eingeleitetes Prüfverfahren eine (wenn auch eine Vielzahl von Personen betreffende) konkrete Datenübermittlung zum Gegenstand hatte vergleiche , VwGH 23.6.2022, Ro 2019/04/0221 bis 0222, im Zusammenhang mit der Übermittlung von Patientendaten aus Anlass einer Ordinationsschließung). 36
5.3. Allerdings hat der Verwaltungsgerichtshof bereits wiederholt ausgesprochen, dass keine rechtliche Grundlage für einen selbständigen Abspruch über die allfällige Berechtigung der Durchführung eines Verfahrens im Sinn des Art. 58 Abs. 2 DSGVO bzw. über die Feststellung der allfälligen Rechtswidrigkeit des jeweils anlassgebenden Verarbeitungsvorgangs vorliegt (vgl. VwGH 14.12.2021, Ro 2020/04/0032, Rn. 29 ff; 8.2.2022, Ro 2021/04/0033, Rn. 6; 1.9.2022, Ra 2022/04/0066, Rn. 13 ff).5.3. Allerdings hat der Verwaltungsgerichtshof bereits wiederholt ausgesprochen, dass keine rechtliche Grundlage für einen selbständigen Abspruch über die allfällige Berechtigung der Durchführung eines Verfahrens im Sinn des Artikel 58, Absatz 2, DSGVO bzw. über die Feststellung der allfälligen Rechtswidrigkeit des jeweils anlassgebenden Verarbeitungsvorgangs vorliegt vergleiche , VwGH 14.12.2021, Ro 2020/04/0032, Rn. 29 ff; 8.2.2022, Ro 2021/04/0033, Rn. 6; 1.9.2022, Ra 2022/04/0066, Rn. 13 ff). 37
Ausgehend davon hat das BVwG, indem es die Beschwerde der Revisionswerberin abwies und damit den dargestellten Spruch des Bescheides der DSB bestätigte, das angefochtene Erkenntnis mit inhaltlicher Rechtswidrigkeit belastet.
38
6. Das angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.6. Das angefochtene Erkenntnis war daher gemäß Paragraph 42, Absatz 2, Ziffer eins, VwGG aufzuheben.
Wien, am 1. Februar 2024
