Index
E000 EU- Recht allgemeinNorm
B-VG Art53 Abs1Betreff
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz-Sator und die Hofräte Dr. Pürgy sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Löffler, LL.M., über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 23. November 2020, Zl. W211 2227144-1/3E, betreffend Zurückweisung einer Datenschutzbeschwerde (mitbeteiligte Partei: W K in W, vertreten durch MMag. Michael Sommer, Rechtsanwalt in 9020 Klagenfurt, Völkermarkter Ring 1; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Spruch
Die Revision wird als unbegründet abgewiesen.
Der Bund hat dem Mitbeteiligten Aufwendungen in der von € 1.106,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen. Das Mehrbegehren wird abgewiesen.
Die Revisionsbeantwortung des Präsidenten des Nationalrates wird zurückgewiesen.
Begründung
Die Kontrollbefugnis der Datenschutzbehörde als Datenschutz-Aufsichtsbehörde sei in der DSGVO grundsätzlich umfassend angelegt. Weder Art. 55 noch Art. 77 DSGVO schlössen eine Zuständigkeit der Datenschutzbehörde für datenschutzrechtliche Vorgänge im Rahmen der Gesetzgebung aus.Die Kontrollbefugnis der Datenschutzbehörde als Datenschutz-Aufsichtsbehörde sei in der DSGVO grundsätzlich umfassend angelegt. Weder Artikel 55, noch Artikel 77, DSGVO schlössen eine Zuständigkeit der Datenschutzbehörde für datenschutzrechtliche Vorgänge im Rahmen der Gesetzgebung aus.
Die Ausnahmeregelung des Art. 55 Abs. 3 DSGVO für den Bereich justizieller Tätigkeiten der Gerichte sei einer Verallgemeinerung nicht zugänglich. Es sei deshalb von einer uneingeschränkten Zuständigkeit der Datenschutz-Aufsichtsbehörden für alle anderen Einrichtungen, die mit Unabhängigkeit ausgestattet seien, auszugehen. Es sei daher auch deren Zuständigkeit für parlamentarische Untersuchungsausschüsse zu bejahen. Zusammengefasst stehe dem Argument der Trennung der Staatsgewalten entgegen, dass weder die DSGVO noch das DSG eine Ausnahme von der Zuständigkeit der Datenschutzbehörde für die Kontrolle der datenschutzrechtlichen Konformität der Verarbeitung von personenbezogenen Daten im Bereich der Gesetzgebung kenne. Vielmehr sehe die DSGVO in Art. 77 einen effektiven Rechtsschutz im Anwendungsbereich der Verordnung vor, womit jedem Betroffenen ermöglicht werden solle, sich gegen Verletzungen von ihm in der Verordnung zugestandener Rechte zur Wehr zu setzen. Da die Datenschutzbehörde entgegen der angefochtenen Entscheidung für die vorliegende Datenschutzbeschwerde zuständig sei, sei der angefochtene Bescheid zu beheben.Die Ausnahmeregelung des Artikel 55, Absatz 3, DSGVO für den Bereich justizieller Tätigkeiten der Gerichte sei einer Verallgemeinerung nicht zugänglich. Es sei deshalb von einer uneingeschränkten Zuständigkeit der Datenschutz-Aufsichtsbehörden für alle anderen Einrichtungen, die mit Unabhängigkeit ausgestattet seien, auszugehen. Es sei daher auch deren Zuständigkeit für parlamentarische Untersuchungsausschüsse zu bejahen. Zusammengefasst stehe dem Argument der Trennung der Staatsgewalten entgegen, dass weder die DSGVO noch das DSG eine Ausnahme von der Zuständigkeit der Datenschutzbehörde für die Kontrolle der datenschutzrechtlichen Konformität der Verarbeitung von personenbezogenen Daten im Bereich der Gesetzgebung kenne. Vielmehr sehe die DSGVO in Artikel 77, einen effektiven Rechtsschutz im Anwendungsbereich der Verordnung vor, womit jedem Betroffenen ermöglicht werden solle, sich gegen Verletzungen von ihm in der Verordnung zugestandener Rechte zur Wehr zu setzen. Da die Datenschutzbehörde entgegen der angefochtenen Entscheidung für die vorliegende Datenschutzbeschwerde zuständig sei, sei der angefochtene Bescheid zu beheben.
„1. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses unabhängig vom Untersuchungsgegenstand in den Anwendungsbereich des Unionsrechts im Sinne des Art. 16 Abs. 2 erster Satz AEUV, sodass die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO) auf die Verarbeitung personenbezogener Daten durch einen parlamentarischen Untersuchungsausschuss eines Mitgliedstaates anwendbar ist?„1. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses unabhängig vom Untersuchungsgegenstand in den Anwendungsbereich des Unionsrechts im Sinne des Artikel 16, Absatz 2, erster Satz AEUV, sodass die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO) auf die Verarbeitung personenbezogener Daten durch einen parlamentarischen Untersuchungsausschuss eines Mitgliedstaates anwendbar ist?
Falls Frage 1 bejaht wird:
2. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, der Tätigkeiten einer polizeilichen Staatsschutzbehörde, somit den Schutz der nationalen Sicherheit betreffende Tätigkeiten im Sinne des 16. Erwägungsgrundes der Datenschutz-Grundverordnung zum Untersuchungsgegenstand hat, unter den Ausnahmetatbestand des Art. 2 Abs. 2 Buchst. a DSGVO?2. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, der Tätigkeiten einer polizeilichen Staatsschutzbehörde, somit den Schutz der nationalen Sicherheit betreffende Tätigkeiten im Sinne des 16. Erwägungsgrundes der Datenschutz-Grundverordnung zum Untersuchungsgegenstand hat, unter den Ausnahmetatbestand des Artikel 2, Absatz 2, Buchst. a DSGVO?
Falls Frage 2 verneint wird:
3. Sofern - wie vorliegend - ein Mitgliedstaat bloß eine einzige Aufsichtsbehörde nach Art. 51 Abs. 1 DSGVO errichtet hat, ergibt sich deren Zuständigkeit für Beschwerden im Sinne des Art. 77 Abs. 1 in Verbindung mit Art. 55 Abs. 1 DSGVO bereits unmittelbar aus der Datenschutz-Grundverordnung?“3. Sofern - wie vorliegend - ein Mitgliedstaat bloß eine einzige Aufsichtsbehörde nach Artikel 51, Absatz eins, DSGVO errichtet hat, ergibt sich deren Zuständigkeit für Beschwerden im Sinne des Artikel 77, Absatz eins, in Verbindung mit Artikel 55, Absatz eins, DSGVO bereits unmittelbar aus der Datenschutz-Grundverordnung?“
Der Verwaltungsgerichtshof hat erwogen:
Zulässigkeit
Maßgebliche Rechtslage
Unionsrecht
„(16) Diese Verordnung gilt nicht für Fragen des Schutzes von Grundrechten und Grundfreiheiten und des freien Verkehrs personenbezogener Daten im Zusammenhang mit Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, wie etwa die nationale Sicherheit betreffende Tätigkeiten. Diese Verordnung gilt nicht für die von den Mitgliedstaaten im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik der Union durchgeführte Verarbeitung personenbezogener Daten.
...
Artikel 2
Sachlicher Anwendungsbereich
(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
...
...
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
...
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
...
Artikel 23
Beschränkungen
(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:
...
...
Artikel 51
Aufsichtsbehörde
(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden ‚Aufsichtsbehörde‘).
...
Artikel 54
Errichtung der Aufsichtsbehörde
(1) Jeder Mitgliedstaat sieht durch Rechtsvorschriften Folgendes vor:
a) die Errichtung jeder Aufsichtsbehörde;
...
Artikel 55
Zuständigkeit
(1) Jede Aufsichtsbehörde ist für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.
(2) Erfolgt die Verarbeitung durch Behörden oder private Stellen auf der Grundlage von Artikel 6 Absatz 1 Buchstabe c oder e, so ist die Aufsichtsbehörde des betroffenen Mitgliedstaats zuständig. In diesem Fall findet Artikel 56 keine Anwendung.
(3) Die Aufsichtsbehörden sind nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.
...
Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“
Nationales Recht
„Anwendungsbereich und Durchführungsbestimmung
§ 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.Paragraph 4, (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.
...
Datenschutzbehörde
Einrichtung
§ 18. (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet.Paragraph 18, (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Artikel 51, DSGVO eingerichtet.
...
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
...
Besondere Befugnisse der Datenschutzbehörde
§ 35. ...Paragraph 35, ...
(2) (Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Art. 19 B-VG bezeichneten obersten Organen der Vollziehung sowie gegenüber den obersten Organen gemäß Art. 30 Abs. 3 bis 6, 125, 134 Abs. 8 und 148h Abs. 1 und 2 B-VG im Bereich der diesen zustehenden Verwaltungsangelegenheiten aus.“(2) (Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Artikel 19, B-VG bezeichneten obersten Organen der Vollziehung sowie gegenüber den obersten Organen gemäß Artikel 30, Absatz 3, bis 6, 125, 134 Absatz 8, und 148h Absatz eins, und 2 B-VG im Bereich der diesen zustehenden Verwaltungsangelegenheiten aus.“
Anwendbarkeit der DSGVO auf die Tätigkeit eines vom Nationalrat gemäß Art. 53 Abs. 1 B-VG eingesetzten UntersuchungsausschussesAnwendbarkeit der DSGVO auf die Tätigkeit eines vom Nationalrat gemäß Artikel 53, Absatz eins, B-VG eingesetzten Untersuchungsausschusses
„36 Hierzu ist darauf hinzuweisen, dass die DSGVO vorbehaltlich der in ihrem Art. 2 Abs. 2 und 3 genannten Fälle sowohl für Verarbeitungen gilt, die von Privatpersonen vorgenommen werden, als auch für Verarbeitungen, die durch Behörden erfolgen (vgl. in diesem Sinne Urteil vom 24. März 2022, Autoriteit Persoonsgegevens, C-245/20, EU:C:2022:216, Rn. 25).„36 Hierzu ist darauf hinzuweisen, dass die DSGVO vorbehaltlich der in ihrem Artikel 2, Absatz 2, und 3 genannten Fälle sowohl für Verarbeitungen gilt, die von Privatpersonen vorgenommen werden, als auch für Verarbeitungen, die durch Behörden erfolgen vergleiche , in diesem Sinne Urteil vom 24. März 2022, Autoriteit Persoonsgegevens, C-245/20, EU:C:2022:216, Rn. 25).
37 Aus der Rechtsprechung des Gerichtshofs ergibt sich, dass die in Art. 2 Abs. 2 DSGVO vorgesehene Ausnahme eng auszulegen ist (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 62 und die dort angeführte Rechtsprechung). In diesem Zusammenhang hat der Gerichtshof bereits entschieden, dass mit Art. 2 Abs. 2 Buchst. a DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung von deren Anwendungsbereich allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 66, und vom 20. Oktober 2022, Koalitsia ‚Demokratichna Bulgaria - Obedinenie‘, C-306/21, EU:C:2022:813, Rn. 39).37 Aus der Rechtsprechung des Gerichtshofs ergibt sich, dass die in Artikel 2, Absatz 2, DSGVO vorgesehene Ausnahme eng auszulegen ist (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 62 und die dort angeführte Rechtsprechung). In diesem Zusammenhang hat der Gerichtshof bereits entschieden, dass mit Artikel 2, Absatz 2, Buchst. a DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung von deren Anwendungsbereich allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 66, und vom 20. Oktober 2022, Koalitsia ‚Demokratichna Bulgaria - Obedinenie‘, C-306/21, EU:C:2022:813, Rn. 39).
38 Diese Auslegung, die sich bereits daraus ergibt, dass Art. 2 Abs. 1 DSGVO nicht danach unterscheidet, wer Urheber der betreffenden Verarbeitung ist, wird durch ihren Art. 4 Nr. 7 bestätigt, der den Begriff ‚Verantwortlicher‘ als ‚die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet‘, definiert.38 Diese Auslegung, die sich bereits daraus ergibt, dass Artikel 2, Absatz eins, DSGVO nicht danach unterscheidet, wer Urheber der betreffenden Verarbeitung ist, wird durch ihren Artikel 4, Nr. 7 bestätigt, der den Begriff ‚Verantwortlicher‘ als ‚die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet‘, definiert.
39 Bei der Auslegung ebendieser Bestimmung hat der Gerichtshof festgestellt, dass, soweit ein Petitionsausschuss eines Parlaments eines Gliedstaats eines Mitgliedstaats allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet, er als ‚Verantwortlicher‘ im Sinne dieser Bestimmung einzustufen ist, so dass die von einem solchen Ausschuss vorgenommene Verarbeitung personenbezogener Daten in den Anwendungsbereich dieser Verordnung fällt (Urteil vom 9. Juli 2020, Land Hessen, C-272/19, EU:C:2020:535, Rn. 74).
40 Der Umstand, dass es sich, wie der Präsident des Nationalrates (Österreich) hervorhebt, im Unterschied zum Petitionsausschuss in der dem Urteil vom 9. Juli 2020, Land Hessen (C-272/19, EU:C:2020:535), zugrunde liegenden Rechtssache, der nur mittelbar zur parlamentarischen Tätigkeit beitrug, beim BVT-Untersuchungsausschuss um ein Organ handelt, das unmittelbar und ausschließlich parlamentarisch tätig ist, bedeutet nicht, dass die Tätigkeit dieses Untersuchungsausschusses vom Anwendungsbereich der DSGVO ausgenommen ist.
41 Wie im Wesentlichen vom Generalanwalt in Nr. 84 seiner Schlussanträge ausgeführt, bezieht sich die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme vom Anwendungsbereich dieser Verordnung ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und - für den Fall, dass der Verantwortliche eine Behörde ist - auch nicht darauf, dass die Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist.41 Wie im Wesentlichen vom Generalanwalt in Nr. 84 seiner Schlussanträge ausgeführt, bezieht sich die in Artikel 2, Absatz 2, Buchst. a DSGVO vorgesehene Ausnahme vom Anwendungsbereich dieser Verordnung ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und - für den Fall, dass der Verantwortliche eine Behörde ist - auch nicht darauf, dass die Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist.
42 Somit ermöglicht der Umstand, dass die Verarbeitung von personenbezogenen Daten durch einen vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss erfolgt, für sich genommen nicht den Schluss, dass diese Verarbeitung im Rahmen einer Tätigkeit stattfindet, die im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO nicht in den Anwendungsbereich des Unionsrechts fällt.“42 Somit ermöglicht der Umstand, dass die Verarbeitung von personenbezogenen Daten durch einen vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss erfolgt, für sich genommen nicht den Schluss, dass diese Verarbeitung im Rahmen einer Tätigkeit stattfindet, die im Sinne von Artikel 2, Absatz 2, Buchst. a DSGVO nicht in den Anwendungsbereich des Unionsrechts fällt.“
Ausnahme von der Anwendung der DSGVO gemäß Art. 2 Abs. 2 lit. a DSGVOAusnahme von der Anwendung der DSGVO gemäß Artikel 2, Absatz 2, Litera a, DSGVO
„45 Wie in Rn. 37 des vorliegenden Urteils ausgeführt, ist Art. 2 Abs. 2 Buchst. a DSGVO eng auszulegen und soll allein Verarbeitungen personenbezogener Daten vom Anwendungsbereich dieser Verordnung ausnehmen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden.„45 Wie in Rn. 37 des vorliegenden Urteils ausgeführt, ist Artikel 2, Absatz 2, Buchst. a DSGVO eng auszulegen und soll allein Verarbeitungen personenbezogener Daten vom Anwendungsbereich dieser Verordnung ausnehmen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden.
46 Die im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten umfassen insbesondere solche, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 67, und vom 20. Oktober 2022, Koalitsia ‚Demokratichna Bulgaria - Obedinenie‘, C-306/21, EU:C:2022:813, Rn. 40).46 Die im Sinne von Artikel 2, Absatz 2, Buchst. a DSGVO auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten umfassen insbesondere solche, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 67, und vom 20. Oktober 2022, Koalitsia ‚Demokratichna Bulgaria - Obedinenie‘, C-306/21, EU:C:2022:813, Rn. 40).
47 Nach Art. 4 Abs. 2 EUV bleiben solche Tätigkeiten in der alleinigen Verantwortung der Mitgliedstaaten (vgl. in diesem Sinne Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, Rn. 36).47 Nach Artikel 4, Absatz 2, EUV bleiben solche Tätigkeiten in der alleinigen Verantwortung der Mitgliedstaaten vergleiche , in diesem Sinne Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, Rn. 36).
48 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der BVT-Untersuchungsausschuss vom Nationalrat eingesetzt wurde, um eine mögliche politische Einflussnahme auf das BVT zu untersuchen, das während des im Ausgangsverfahren in Rede stehenden Zeitraums für Verfassungsschutz und Terrorismusbekämpfung zuständig war.
...
50 Hierzu ist darauf hinzuweisen, dass es gemäß Art. 4 Abs. 2 EUV zwar Sache der Mitgliedstaaten ist, ihre wesentlichen Sicherheitsinteressen festzulegen und die geeigneten Maßnahmen zu ergreifen, um ihre innere und äußere Sicherheit zu gewährleisten, doch kann die bloße Tatsache, dass eine nationale Maßnahme zum Schutz der nationalen Sicherheit getroffen wurde, nicht dazu führen, dass das Unionsrecht unanwendbar ist und die Mitgliedstaaten von der erforderlichen Beachtung dieses Rechts entbunden werden (vgl. in diesem Sinne Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, Rn. 40 und die dort angeführte Rechtsprechung).50 Hierzu ist darauf hinzuweisen, dass es gemäß Artikel 4, Absatz 2, EUV zwar Sache der Mitgliedstaaten ist, ihre wesentlichen Sicherheitsinteressen festzulegen und die geeigneten Maßnahmen zu ergreifen, um ihre innere und äußere Sicherheit zu gewährleisten, doch kann die bloße Tatsache, dass eine nationale Maßnahme zum Schutz der nationalen Sicherheit getroffen wurde, nicht dazu führen, dass das Unionsrecht unanwendbar ist und die Mitgliedstaaten von der erforderlichen Beachtung dieses Rechts entbunden werden vergleiche , in diesem Sinne Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, Rn. 40 und die dort angeführte Rechtsprechung).
51 Wie bereits in Rn. 41 des vorliegenden Urteils ausgeführt, bezieht sich die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und - für den Fall, dass der Verantwortliche eine Behörde ist - auch nicht darauf, dass Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist. Insoweit reicht der Umstand, dass der Verantwortliche eine Behörde ist, deren Haupttätigkeit in der Gewährleistung der nationalen Sicherheit besteht, als solcher nicht aus, um Verarbeitungen personenbezogener Daten durch diese Behörde im Rahmen anderer von ihr durchgeführter Tätigkeiten vom Anwendungsbereich der DSGVO auszunehmen.51 Wie bereits in Rn. 41 des vorliegenden Urteils ausgeführt, bezieht sich die in Artikel 2, Absatz 2, Buchst. a DSGVO vorgesehene Ausnahme ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und - für den Fall, dass der Verantwortliche eine Behörde ist - auch nicht darauf, dass Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist. Insoweit reicht der Umstand, dass der Verantwortliche eine Behörde ist, deren Haupttätigkeit in der Gewährleistung der nationalen Sicherheit besteht, als solcher nicht aus, um Verarbeitungen personenbezogener Daten durch diese Behörde im Rahmen anderer von ihr durchgeführter Tätigkeiten vom Anwendungsbereich der DSGVO auszunehmen.
52 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der im Ausgangsverfahren in Rede stehende Untersuchungsausschuss eine politische Kontrolle der Tätigkeit des BVT zum Gegenstand hatte, da der Verdacht politischer Einflussnahme auf das BVT bestand; diese Kontrolle scheint im Sinne der oben in Rn. 45 wiedergegebenen Rechtsprechung jedoch als solche weder eine Tätigkeit darzustellen, die der Wahrung der nationalen Sicherheit dient, noch eine Tätigkeit, die derselben Kategorie zugeordnet werden kann. Daraus folgt, dass diese Tätigkeit vorbehaltlich einer Überprüfung durch das vorlegende Gericht nach Art. 2 Abs. 2 Buchst. a DSGVO nicht vom Anwendungsbereich dieser Verordnung ausgenommen ist.52 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der im Ausgangsverfahren in Rede stehende Untersuchungsausschuss eine politische Kontrolle der Tätigkeit des BVT zum Gegenstand hatte, da der Verdacht politischer Einflussnahme auf das BVT bestand; diese Kontrolle scheint im Sinne der oben in Rn. 45 wiedergegebenen Rechtsprechung jedoch als solche weder eine Tätigkeit darzustellen, die der Wahrung der nationalen Sicherheit dient, noch eine Tätigkeit, die derselben Kategorie zugeordnet werden kann. Daraus folgt, dass diese Tätigkeit vorbehaltlich einer Überprüfung durch das vorlegende Gericht nach Artikel 2, Absatz 2, Buchst. a DSGVO nicht vom Anwendungsbereich dieser Verordnung ausgenommen ist.
53 Allerdings kann ein parlamentarischer Untersuchungsausschuss wie der im Ausgangsverfahren in Rede stehende im Rahmen seiner Tätigkeiten Zugang zu Informationen, insbesondere zu personenbezogenen Daten, haben, die aus Gründen der nationalen Sicherheit besonders zu schützen sind, indem z. B. die Informationen, die den betroffenen Personen zur Datenerfassung zur Verfügung gestellt werden, oder auch deren Zugang zu diesen Daten eingeschränkt werden.
54 In diesem Zusammenhang sieht Art. 23 DSGVO vor, dass die Pflichten und Rechte gemäß den Art. 5, 12 bis 22 und 34 DSGVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden können, um u. a. die nationale Sicherheit oder eine Kontrollfunktion, die mit der Ausübung öffentlicher Gewalt - insbesondere im Rahmen der nationalen Sicherheit - verbunden ist, sicherzustellen.54 In diesem Zusammenhang sieht Artikel 23, DSGVO vor, dass die Pflichten und Rechte gemäß den Artikel 5,, 12 bis 22 und 34 DSGVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden können, um u. a. die nationale Sicherheit oder eine Kontrollfunktion, die mit der Ausübung öffentlicher Gewalt - insbesondere im Rahmen der nationalen Sicherheit - verbunden ist, sicherzustellen.
55 So kann das Erfordernis der Gewährleistung der nationalen Sicherheit Beschränkungen der sich aus der DSGVO ergebenden Pflichten und Rechte im Wege von Gesetzgebungsmaßnahmen rechtfertigen, insbesondere in Bezug auf die Erhebung personenbezogener Daten, die Unterrichtung der betroffenen Personen und ihren Zugang zu diesen Daten oder deren Offenlegung an andere Personen als den Verantwortlichen ohne Zustimmung der betroffenen Personen, soweit solche Beschränkungen den Wesensgehalt der Grundrechte und Grundfreiheiten der betroffenen Personen wahren und eine notwendige und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen.
56 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte jedoch nicht, dass der BVT-Untersuchungsausschuss dargetan hätte, dass die Offenlegung der personenbezogenen Daten von WK, die im Rahmen der Veröffentlichung des Protokolls seiner Befragung vor diesem Untersuchungsausschuss auf der Webseite des Österreichischen Parlaments und ohne Zustimmung von WK erfolgte, für die Gewährleistung der nationalen Sicherheit erforderlich gewesen sei und auf einer dafür vorgesehenen nationalen Gesetzgebungsmaßnahme beruht habe. Es ist jedoch Sache des vorlegenden Gerichts, gegebenenfalls die in diesem Zusammenhang erforderlichen Überprüfungen vorzunehmen.“
a. des Verwendens von Daten und Informationen inkl. des Unterlassens der Löschung, des Sammelns und Auslagerns von Daten sowie deren Weitergabe an Dritte;
b. der Vollziehung des § 6 PStSG [Polizeiliches Staatsschutzgesetz] und von Vorgängerregelungen (erweiterte Gefahrenerforschung und Ermittlungstätigkeit im Zusammenhang mit Extremismus, Terrorismus, Proliferation, nachrichtendienstlicher Tätigkeit und Spionage) inkl. der Ermittlungen zu rechtsextremen Aktivitäten durch das Extremismusreferat des BVT;b. der Vollziehung des Paragraph 6, PStSG [Polizeiliches Staatsschutzgesetz] und von Vorgängerregelungen (erweiterte Gefahrenerforschung und Ermittlungstätigkeit im Zusammenhang mit Extremismus, Terrorismus, Proliferation, nachrichtendienstlicher Tätigkeit und Spionage) inkl. der Ermittlungen zu rechtsextremen Aktivitäten durch das Extremismusreferat des BVT;
c. der Ausübung der Dienstaufsicht und Ermittlungen gegen Bedienstete des BVT wie Suspendierungen des Direktors und weiterer ranghoher Bediensteter;
d. der Zusammenarbeit mit den für den Verfassungsschutz zuständigen Organisationseinheiten der Landespolizeidirektionen bzw. ihren Vorgängerorganisationen hinsichtlich der lit. a bis c;d. der Zusammenarbeit mit den für den Verfassungsschutz zuständigen Organisationseinheiten der Landespolizeidirektionen bzw. ihren Vorgängerorganisationen hinsichtlich der Litera a, bis c;
e. der Zusammenarbeit mit anderen obersten Organen und Ermittlungsbehörden (wie der StA [Staatsanwaltschaft] und der WKStA [Wirtschafts- und Korruptionsstaatsanwaltschaft] sowie dem Bundeskriminalamt, BAK [Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung], LKAs [Landeskriminalämter], EGS [Einsatzgruppe zur Bekämpfung der Straßenkriminalität]) im Hinblick auf die von diesen aus Anlass der oben genannten Rechtsverletzung geführten Ermittlungen und Hausdurchsuchungen; sowie
f. der Besetzung leitender Funktionen und Personalauswahl (einschließlich Ernennung bzw. Betrauung von MitarbeiterInnen der jeweiligen Kabinette von BundesministerInnen auf in Verbindung zum BVT stehende Stellen bzw. Aufgaben)“ (vgl. AB 109 BlgNR 26. GP).f. der Besetzung leitender Funktionen und Personalauswahl (einschließlich Ernennung bzw. Betrauung von MitarbeiterInnen der jeweiligen Kabinette von BundesministerInnen auf in Verbindung zum BVT stehende Stellen bzw. Aufgaben)“ vergleiche , Ausschussbericht 109, BlgNR 26. GP).
Zuständigkeit der Datenschutzbehörde
„59 Für die Beantwortung dieser Frage ist darauf hinzuweisen, dass die Verordnung gemäß Art. 288 Abs. 2 AEUV in allen ihren Teilen verbindlich ist und in jedem Mitgliedstaat unmittelbar gilt.„59 Für die Beantwortung dieser Frage ist darauf hinzuweisen, dass die Verordnung gemäß Artikel 288, Absatz 2, AEUV in allen ihren Teilen verbindlich ist und in jedem Mitgliedstaat unmittelbar gilt.
60 Nach gefestigter Rechtsprechung haben Verordnungen nach dieser Bestimmung sowie aufgrund ihrer Rechtsnatur und ihrer Funktion im Rechtsquellensystem des Unionsrechts im Allgemeinen unmittelbare Wirkung in den nationalen Rechtsordnungen, ohne dass nationale Durchführungsmaßnahmen erforderlich wären (Urteil vom 15. Juni 2021, Facebook Ireland u. a., C-645/19, EU:C:2021:483, Rn. 110 und die dort angeführte Rechtsprechung).
61 Zum einen hat nach Art. 77 Abs. 1 DSGVO jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Zum anderen ist nach Art. 55 Abs. 1 DSGVO jede Aufsichtsbehörde für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.61 Zum einen hat nach Artikel 77, Absatz eins, DSGVO jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Zum anderen ist nach Artikel 55, Absatz eins, DSGVO jede Aufsichtsbehörde für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.
62 Aus dem Wortlaut dieser Bestimmungen ergibt sich, dass - wie im Wesentlichen vom Generalanwalt in Nr. 132 seiner Schlussanträge ausgeführt - für Art. 77 Abs. 1 und Art. 55 Abs. 1 DSGVO keine nationalen Durchführungsmaßnahmen erforderlich sind und sie hinreichend klar, genau und unbedingt sind, um unmittelbar anwendbar zu sein.62 Aus dem Wortlaut dieser Bestimmungen ergibt sich, dass - wie im Wesentlichen vom Generalanwalt in Nr. 132 seiner Schlussanträge ausgeführt - für Artikel 77, Absatz eins und Artikel 55, Absatz eins, DSGVO keine nationalen Durchführungsmaßnahmen erforderlich sind und sie hinreichend klar, genau und unbedingt sind, um unmittelbar anwendbar zu sein.
63 Daraus folgt, dass die DSGVO den Mitgliedstaaten gemäß ihrem Art. 51 Abs. 1 bei der Anzahl der einzurichtenden Aufsichtsbehörden einen Ermessensspielraum einräumt, im Gegenzug aber festlegt, welche Zuständigkeiten diesen Behörden unabhängig von ihrer Anzahl für die Überwachung der Anwendung der Verordnung einzuräumen sind.63 Daraus folgt, dass die DSGVO den Mitgliedstaaten gemäß ihrem Artikel 51, Absatz eins, bei der Anzahl der einzurichtenden Aufsichtsbehörden einen Ermessensspielraum einräumt, im Gegenzug aber festlegt, welche Zuständigkeiten diesen Behörden unabhängig von ihrer Anzahl für die Überwachung der Anwendung der Verordnung einzuräumen sind.
64 Wie im Wesentlichen in Nr. 137 der Schlussanträge des Generalanwalts festgestellt, ist also in Fällen, in denen sich ein Mitgliedstaat für die Einrichtung einer einzigen Aufsichtsbehörde entscheidet, diese Behörde zwangsläufig mit allen Zuständigkeiten ausgestattet, die die DSGVO den Aufsichtsbehörden überträgt.
65 Jede andere Auslegung würde die praktische Wirksamkeit von Art. 55 Abs. 1 und Art. 77 Abs. 1 DSGVO in Frage stellen und könnte die praktische Wirksamkeit aller anderen Bestimmungen dieser Verordnung, die für eine Beschwerde von Bedeutung sein könnten, schwächen.65 Jede andere Auslegung würde die praktische Wirksamkeit von Artikel 55, Absatz eins und Artikel 77, Absatz eins, DSGVO in Frage stellen und könnte die praktische Wirksamkeit aller anderen Bestimmungen dieser Verordnung, die für eine Beschwerde von Bedeutung sein könnten, schwächen.
66 Im Übrigen hat der Unionsgesetzgeber in Fällen, in denen er die Zuständigkeit der Aufsichtsbehörden im Bereich der Aufsicht über die von Behörden vorgenommenen Verarbeitungen einschränken wollte, dies ausdrücklich getan. Dies zeigt sich am Beispiel von Art. 55 Abs. 3 DSGVO, nach dem diese Behörden nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig sind.66 Im Übrigen hat der Unionsgesetzgeber in Fällen, in denen er die Zuständigkeit der Aufsichtsbehörden im Bereich der Aufsicht über die von Behörden vorgenommenen Verarbeitungen einschränken wollte, dies ausdrücklich getan. Dies zeigt sich am Beispiel von Artikel 55, Absatz 3, DSGVO, nach dem diese Behörden nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig sind.
67 Die Datenschutzbehörde, der Präsident des Nationalrates und die österreichische Regierung weisen darauf hin, dass im Verfassungsrang stehende Bestimmungen des österreichischen Rechts jegliche Kontrolle der Legislative durch die Exekutive verböten. Aufgrund dieser Bestimmungen könne die Datenschutzbehörde, die der Exekutive zuzurechnen sei, nicht die Anwendung der DSGVO durch den BVT-Untersuchungsausschuss überwachen, der ein Organ der Legislative sei.
68 Im vorliegenden Fall beschränkt sich Art. 51 Abs. 1 DSGVO jedoch gerade mit Blick auf die Achtung der verfassungsrechtlichen Struktur der Mitgliedstaaten darauf, ihnen die Einrichtung mindestens einer Aufsichtsbehörde aufzuerlegen, und stellt es ihnen frei, mehrere einzurichten. Der 117. Erwägungsgrund der DSGVO hält dazu im Übrigen fest, dass die Mitgliedstaaten mehr als eine Aufsichtsbehörde errichten können sollten, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht.68 Im vorliegenden Fall beschränkt sich Artikel 51, Absatz eins, DSGVO jedoch gerade mit Blick auf die Achtung der verfassungsrechtlichen Struktur der Mitgliedstaaten darauf, ihnen die Einrichtung mindestens einer Aufsichtsbehörde aufzuerlegen, und stellt es ihnen frei, mehrere einzurichten. Der 117. Erwägungsgrund der DSGVO hält dazu im Übrigen fest, dass die Mitgliedstaaten mehr als eine Aufsichtsbehörde errichten können sollten, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht.
69 Art. 51 Abs. 1 DSGVO räumt also jedem Mitgliedstaat einen Ermessensspielraum ein, der es ihm ermöglicht, so viele Aufsichtsbehörden einzurichten, wie insbesondere aufgrund seiner verfassungsmäßigen Struktur erforderlich sind.69 Artikel 51, Absatz eins, DSGVO räumt also jedem Mitgliedstaat einen Ermessensspielraum ein, der es ihm ermöglicht, so viele Aufsichtsbehörden einzurichten, wie insbesondere aufgrund seiner verfassungsmäßigen Struktur erforderlich sind.
70 Außerdem können die Einheit und die Wirksamkeit des Unionsrechts nicht dadurch beeinträchtigt werden, dass sich ein Mitgliedstaat auf Bestimmungen des nationalen Rechts beruft. Die Wirkungen des Grundsatzes des Vorrangs des Unionsrechts sind nämlich für alle Stellen eines Mitgliedstaats verbindlich, ohne dass dem insbesondere die innerstaatlichen Bestimmungen, auch wenn sie Verfassungsrang haben, entgegenstehen könnten (Urteil vom 22. Februar 2022, RS [Wirkung der Urteile eines Verfassungsgerichts], C-430/21, EU:C:2022:99, Rn. 51 und die dort angeführte Rechtsprechung).
71 Sofern sich ein Mitgliedstaat im Rahmen seines Ermessensspielraums für die Einrichtung einer einzigen Aufsichtsbehörde entschieden hat, kann er sich nicht auf Bestimmungen des nationalen Rechts berufen - auch wenn sie Verfassungsrang haben -, um Verarbeitungen personenbezogener Daten, die in den Anwendungsbereich der DSGVO fallen, der Überwachung durch diese Behörde zu entziehen.“
Ergebnis
Kostenentscheidung
Zurückweisung der Revisionsbeantwortung
Wien, am 1. Februar 2024
Gerichtsentscheidung
EuGH 62022CJ0033 Österreichische Datenschutzbehörde VORABSchlagworte
Gemeinschaftsrecht Verordnung EURallg5 Gemeinschaftsrecht Verordnung unmittelbare Anwendung EURallg5/1European Case Law Identifier (ECLI)
ECLI:AT:VWGH:2024:RO2021040006.J00Im RIS seit
12.03.2024Zuletzt aktualisiert am
25.03.2026
