Entscheidungsdatum
09.10.2026Norm
AVG §73 Abs1Spruch
,
W256 2323088-1/9E
W256 2323088-1/9E,
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende sowie die fachkundige Laienrichterin Dr. Claudia Rosenmayr-Klemenz und den fachkundigen Laienrichter Mag. Matthias Schachner als Beisitzer über die Säumnisbeschwerde von XXXX wegen behaupteter Verletzung der Entscheidungspflicht der Datenschutzbehörde betreffend ihre am 24. März 2025 eingebrachte Datenschutzbeschwerde beschlossen:Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende sowie die fachkundige Laienrichterin Dr. Claudia Rosenmayr-Klemenz und den fachkundigen Laienrichter Mag. Matthias Schachner als Beisitzer über die Säumnisbeschwerde von römisch 40 wegen behaupteter Verletzung der Entscheidungspflicht der Datenschutzbehörde betreffend ihre am 24. März 2025 eingebrachte Datenschutzbeschwerde beschlossen:
A) Die Säumnisbeschwerde wird als unzulässig zurückgewiesen.
B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Begründung:
1. Verfahrensgang:
In ihrer an die belangte Behörde per E-Mail vom 24. März 2025 gerichteten Datenschutzbeschwerde behauptete die Beschwerdeführerin eine Verletzung in ihrem Recht auf Auskunft durch die XXXX (im Folgenden: X Limited), weil diese auf ihr Auskunftsbegehren vom 9. Dezember 2024 keine entsprechende Antwort erteilt habe. In ihrer an die belangte Behörde per E-Mail vom 24. März 2025 gerichteten Datenschutzbeschwerde behauptete die Beschwerdeführerin eine Verletzung in ihrem Recht auf Auskunft durch die römisch 40 (im Folgenden: römisch zehn Limited), weil diese auf ihr Auskunftsbegehren vom 9. Dezember 2024 keine entsprechende Antwort erteilt habe.
Mit E-Mail vom 15. Oktober 2025 brachte die Beschwerdeführerin gegenüber der belangten Behörde vor, dass sechs Monate nun schon lange vorbei seien und sie nunmehr Säumnis geltend mache.
Mit Schreiben vom 17. Oktober 2025 teilte die belangte Behörde der Beschwerdeführerin mit, dass die gegenständliche (Datenschutz-)Beschwerde einen Sachverhalt betreffe, der nicht der alleinigen Zuständigkeit der österreichischen Datenschutzbehörde unterliege. Die federführende Zuständigkeit obliege jener Aufsichtsbehörde, in deren Sprengel die Beschwerdegegnerin ihre Hauptniederlassung oder einzige Niederlassung habe. Dies sei mutmaßlich die maltesische Aufsichtsbehörde. Aus diesem Grund sei zwischenzeitig ein Verfahren gemäß Art. 56 DSGVO eingeleitet worden und werde auf die Bestimmung des § 24 Abs. 10 Z 2 DSG hingewiesen. Die Entscheidungsfrist sei daher gehemmt. Mit Schreiben vom 17. Oktober 2025 teilte die belangte Behörde der Beschwerdeführerin mit, dass die gegenständliche (Datenschutz-)Beschwerde einen Sachverhalt betreffe, der nicht der alleinigen Zuständigkeit der österreichischen Datenschutzbehörde unterliege. Die federführende Zuständigkeit obliege jener Aufsichtsbehörde, in deren Sprengel die Beschwerdegegnerin ihre Hauptniederlassung oder einzige Niederlassung habe. Dies sei mutmaßlich die maltesische Aufsichtsbehörde. Aus diesem Grund sei zwischenzeitig ein Verfahren gemäß Artikel 56, DSGVO eingeleitet worden und werde auf die Bestimmung des Paragraph 24, Absatz 10, Ziffer 2, DSG hingewiesen. Die Entscheidungsfrist sei daher gehemmt.
Mit Schreiben vom 17. Oktober 2025 legte die belangte Behörde die Säumnisbeschwerde dem Bundesverwaltungsgericht vor und erstattete eine Stellungnahme. Darin wird zusammengefasst ausgeführt, dass die Säumnisbeschwerde sich als unzulässig erweise, da es an der Säumnis der belangten Behörde und somit an einer Prozessvoraussetzung fehle. Gegenständlich sei von der belangten Behörde eine (Datenschutz-)Beschwerde in Zusammenhang mit einer grenzüberschreitenden Verarbeitung iSd. Art. 4 Z 23 DSGVO zu behandeln. Gemäß Art. 56 Abs. 1 DSGVO sei die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Art. 60 leg. cit. die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung. Dies sei im vorliegenden Fall mutmaßlich die maltesische Aufsichtsbehörde. Gemäß § 24 Abs. 10 Z 2 DSG werde in die Entscheidungsfrist gemäß § 73 AVG die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO nicht eingerechnet. Dies führe ex lege zu einer Hemmung der Entscheidungsfrist (Hinweis auf VwGH 14.11.2023, Ro 2020/04/0009). Die belangte Behörde verkenne nicht, dass im vorliegenden Fall das Verfahren nach Art. 56 und 60 DSGVO im Zeitpunkt der Erhebung der Säumnisbeschwerde (noch) nicht eingeleitet worden sei. Nach der Rechtsprechung liege die Durchführung eines solchen Verfahrens jedoch nicht im Ermessen der belangten Behörde, sondern es werde bei Vorliegen der gesetzlichen Voraussetzungen automatisch bei Einbringung der Beschwerde in Gang gesetzt. Die Hemmung der Entscheidungsfrist gemäß § 24 Abs. 10 Z 2 DSG trete somit nicht erst mit der Einleitung des Verfahrens nach Art. 56 und 60 DSGVO, sondern vielmehr bereits mit der Einbringung der Beschwerde, die eine grenzüberschreitende Verarbeitung zum Gegenstand habe, ein (Hinweis auf BVwG 11.09.2024, W256 2290824-1). Vor diesem Hintergrund liege gegenständlich keine Säumnis der belangten Behörde vor. Die belangte Behörde teilte weiters mit, dass das Verfahren nach Art. 56 und 60 DSGVO von ihr zwischenzeitlich eingeleitet worden sei und derzeit vor der mutmaßlich federführen maltesischen Aufsichtsbehörde anhängig sei. Zum Beleg dessen wurde ein aktueller Auszug aus dem Binnenmarktinformationssystem der Europäischen Union (IMI-Report, Nr. 837746.1 vom 17. Oktober 2025) beigelegt. Mit Schreiben vom 17. Oktober 2025 legte die belangte Behörde die Säumnisbeschwerde dem Bundesverwaltungsgericht vor und erstattete eine Stellungnahme. Darin wird zusammengefasst ausgeführt, dass die Säumnisbeschwerde sich als unzulässig erweise, da es an der Säumnis der belangten Behörde und somit an einer Prozessvoraussetzung fehle. Gegenständlich sei von der belangten Behörde eine (Datenschutz-)Beschwerde in Zusammenhang mit einer grenzüberschreitenden Verarbeitung iSd. Artikel 4, Ziffer 23, DSGVO zu behandeln. Gemäß Artikel 56, Absatz eins, DSGVO sei die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60, leg. cit. die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung. Dies sei im vorliegenden Fall mutmaßlich die maltesische Aufsichtsbehörde. Gemäß Paragraph 24, Absatz 10, Ziffer 2, DSG werde in die Entscheidungsfrist gemäß Paragraph 73, AVG die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO nicht eingerechnet. Dies führe ex lege zu einer Hemmung der Entscheidungsfrist (Hinweis auf VwGH 14.11.2023, Ro 2020/04/0009). Die belangte Behörde verkenne nicht, dass im vorliegenden Fall das Verfahren nach Artikel 56 und 60 DSGVO im Zeitpunkt der Erhebung der Säumnisbeschwerde (noch) nicht eingeleitet worden sei. Nach der Rechtsprechung liege die Durchführung eines solchen Verfahrens jedoch nicht im Ermessen der belangten Behörde, sondern es werde bei Vorliegen der gesetzlichen Voraussetzungen automatisch bei Einbringung der Beschwerde in Gang gesetzt. Die Hemmung der Entscheidungsfrist gemäß Paragraph 24, Absatz 10, Ziffer 2, DSG trete somit nicht erst mit der Einleitung des Verfahrens nach Artikel 56 und 60 DSGVO, sondern vielmehr bereits mit der Einbringung der Beschwerde, die eine grenzüberschreitende Verarbeitung zum Gegenstand habe, ein (Hinweis auf BVwG 11.09.2024, W256 2290824-1). Vor diesem Hintergrund liege gegenständlich keine Säumnis der belangten Behörde vor. Die belangte Behörde teilte weiters mit, dass das Verfahren nach Artikel 56 und 60 DSGVO von ihr zwischenzeitlich eingeleitet worden sei und derzeit vor der mutmaßlich federführen maltesischen Aufsichtsbehörde anhängig sei. Zum Beleg dessen wurde ein aktueller Auszug aus dem Binnenmarktinformationssystem der Europäischen Union (IMI-Report, Nr. 837746.1 vom 17. Oktober 2025) beigelegt.
Dazu führte die Beschwerdeführerin in ihrem Schreiben vom 25. März 2026 aus, es liege sehr wohl Säumnis vor. Nach gelebter Praxis der belangten Behörde starte diese regelmäßig zuerst einen Schlichtungsversuch und leite erst nach dessen Erfolglosigkeit das Verfahren nach den Art 56 ff DSGVO ein, wobei sie offenbar selbst davon ausgehe, dass dieses Verfahren nicht automatisch eingeleitet werde, sondern eine Einleitung über die Plattform IMI vorgenommen werden müsse. Im Übrigen gebe die belangte Behörde in ihrer dem BVwG vorgelegten Stellungnahme selbst bekannt, dass sie das Verfahren nach Art 56 und 60 DSGVO zwischenzeitlich eingeleitet habe und werde damit im Umkehrschluss klargestellt, dass bisher keine Schritte gesetzt worden seien.Dazu führte die Beschwerdeführerin in ihrem Schreiben vom 25. März 2026 aus, es liege sehr wohl Säumnis vor. Nach gelebter Praxis der belangten Behörde starte diese regelmäßig zuerst einen Schlichtungsversuch und leite erst nach dessen Erfolglosigkeit das Verfahren nach den Artikel 56, ff DSGVO ein, wobei sie offenbar selbst davon ausgehe, dass dieses Verfahren nicht automatisch eingeleitet werde, sondern eine Einleitung über die Plattform IMI vorgenommen werden müsse. Im Übrigen gebe die belangte Behörde in ihrer dem BVwG vorgelegten Stellungnahme selbst bekannt, dass sie das Verfahren nach Artikel 56 und 60 DSGVO zwischenzeitlich eingeleitet habe und werde damit im Umkehrschluss klargestellt, dass bisher keine Schritte gesetzt worden seien.
2. Feststellungen:
Die von der Beschwerdeführerin am 24. März 2025 erhobene Datenschutzbeschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO richtet sich gegen die X-Limited mit Sitz in Malta als Beschwerdegegnerin. In weiterer Folge brachte die Beschwerdeführerin am 15. Oktober 2025 eine Beschwerde wegen Verletzung der Entscheidungspflicht bei der belangten Behörde gemäß § 8 Abs. 1 VwGVG ein.Die von der Beschwerdeführerin am 24. März 2025 erhobene Datenschutzbeschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft gemäß Artikel 15, DSGVO richtet sich gegen die X-Limited mit Sitz in Malta als Beschwerdegegnerin. In weiterer Folge brachte die Beschwerdeführerin am 15. Oktober 2025 eine Beschwerde wegen Verletzung der Entscheidungspflicht bei der belangten Behörde gemäß Paragraph 8, Absatz eins, VwGVG ein.
Die belangte Behörde übermittelte am 17. Oktober 2025 via der IT-Kooperationsplattform „Internal Market Information System“ (kurz „IMI“) der maltesischen Aufsichtsbehörde die Datenschutzbeschwerde der Beschwerdeführerin.
3. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem unbedenklichen Akteninhalt, insbesondere aus der Datenschutzbeschwerde, der Säumnisbeschwerde sowie dem im Verwaltungsakt einliegenden IMI-Report, Nr. 837746.1 vom 17.10.2025.
4. Rechtliche Beurteilung:
Zu A)
4.1. Rechtsgrundlagen:
Die maßgebliche Bestimmung des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 70/2024, lauten auszugsweise samt Überschrift wie folgt:Die maßgebliche Bestimmung des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 70 aus 2024,, lauten auszugsweise samt Überschrift wie folgt:
„Beschwerde an die Datenschutzbehörde
§ 24 (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
[…]
(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.
[…]
(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:(10) In die Entscheidungsfrist gemäß Paragraph 73, AVG werden nicht eingerechnet:
1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.“2. die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO.“
Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift: Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[…]
22. ‚betroffene Aufsichtsbehörde‘ eine Aufsichtsbehörde, die von der Verarbeitung personenbezogener Daten betroffen ist, weil
[..]
c. eine Beschwerde bei dieser Aufsichtsbehörde eingereicht wurde;
23. ‚grenzüberschreitende Verarbeitung‘ entweder
a) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder
b) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann;
[…]
Artikel 55
Zuständigkeit
Jede Aufsichtsbehörde ist für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.
Erfolgt die Verarbeitung durch Behörden oder private Stellen auf der Grundlage von Artikel 6 Absatz 1 Buchstabe c oder e, so ist die Aufsichtsbehörde des betroffenen Mitgliedstaats zuständig. In diesem Fall findet Artikel 56 keine Anwendung.
Die Aufsichtsbehörden sind nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.
Artikel 56
Zuständigkeit der federführenden Aufsichtsbehörde
(1) Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.
(2) Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.
(3) In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.
(4) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.
(5) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.
(6) Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.
[…]
Artikel 60
Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden
(1) Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.
(2) Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.
(3) Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.
(4) Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.
(5) Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.
(6) Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.
(7) Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.
(8) Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.
(9) Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.
(10) Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.
(11) Hat — in Ausnahmefällen — eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.
(12) Die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden übermitteln einander die nach diesem Artikel geforderten Informationen auf elektronischem Wege unter Verwendung eines standardisierten Formats.
[…]
Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) […]“
4.2. In der Sache:
Art. 78 Abs. 2 DSGVO eröffnet jeder betroffenen Person die Möglichkeit einer Untätigkeitsklage, wenn sich die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde nicht mit einer Beschwerde befasst (hat). Artikel 78, Absatz 2, DSGVO eröffnet jeder betroffenen Person die Möglichkeit einer Untätigkeitsklage, wenn sich die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde nicht mit einer Beschwerde befasst (hat).
§ 8 VwGVG ordnet dazu im innerstaatlichen Bereich an, dass Beschwerde wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG (Säumnisbeschwerde) erst erhoben werden kann, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der Stelle eingelangt ist, bei der er einzubringen war. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.Paragraph 8, VwGVG ordnet dazu im innerstaatlichen Bereich an, dass Beschwerde wegen Verletzung der Entscheidungspflicht gemäß Artikel 130, Absatz eins, Ziffer 3, B-VG (Säumnisbeschwerde) erst erhoben werden kann, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der Stelle eingelangt ist, bei der er einzubringen war. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.
Die Zulässigkeit einer Säumnisbeschwerde setzt die Säumnis der vor dem Verwaltungsgericht belangten Behörde voraus, deren Entscheidungspflicht geltend gemacht wird, und somit die Verpflichtung dieser Behörde, über den bei ihr eingebrachten Antrag mittels Bescheids zu entscheiden. Fehlt es an der Säumnis der Behörde, so ist die Säumnisbeschwerde zurückzuweisen (VwGH 09.06.2020, Ra 2020/10/0016 Rz 26 mwN).
Art. 55 Abs. 1 DSGVO sieht vor, dass jede Aufsichtsbehörde grundsätzlich für die Erfüllung der ihr mit der Verordnung übertragenen Aufgaben und die Ausübung der ihr mit der Verordnung übertragenen Befugnisse im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig ist. Zu den ihr übertragenen Aufgaben zählt u.a. nach Art. 57 Abs. 1 lit. f DSGVO das Befassen mit Beschwerden einer betroffenen Person, wobei dies voraussetzt, dass die Aufsichtsbehörde für eine bestimmte Datenverarbeitung überhaupt zuständig ist (EuGH 15.6.2021, Rz 47 ff).Artikel 55, Absatz eins, DSGVO sieht vor, dass jede Aufsichtsbehörde grundsätzlich für die Erfüllung der ihr mit der Verordnung übertragenen Aufgaben und die Ausübung der ihr mit der Verordnung übertragenen Befugnisse im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig ist. Zu den ihr übertragenen Aufgaben zählt u.a. nach Artikel 57, Absatz eins, Litera f, DSGVO das Befassen mit Beschwerden einer betroffenen Person, wobei dies voraussetzt, dass die Aufsichtsbehörde für eine bestimmte Datenverarbeitung überhaupt zuständig ist (EuGH 15.6.2021, Rz 47 ff).
Wie festgestellt, brachte die Beschwerdeführerin ihre verfahrenseinleitende Datenschutzbeschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft am 24. März 2025 bei der belangten Behörde ein. Diese richtete sich gegen die in Malta ansässige X-Limited als Beschwerdegegnerin.
Zu Recht weist die belangte Behörde daher in ihrer Stellungnahme zur vorgelegten Säumnisbeschwerde darauf hin, dass die vorliegende Datenschutzbeschwerde insofern in einem Zusammenhang mit einer grenzüberschreitenden Verarbeitung personenbezogener Daten iSd Art. 4 Z 23 DSGVO steht und damit von der belangten Behörde als betroffene Aufsichtsbehörde nach Art. 4 Abs. 22 lit. c DSGVO ein Verfahren der Zusammenarbeit zwischen der maltesischen federführenden Aufsichtsbehörde nach Art. 56 Abs. 1 iVm Art. 60 ff DSGVO zu führen ist.Zu Recht weist die belangte Behörde daher in ihrer Stellungnahme zur vorgelegten Säumnisbeschwerde darauf hin, dass die vorliegende Datenschutzbeschwerde insofern in einem Zusammenhang mit einer grenzüberschreitenden Verarbeitung personenbezogener Daten iSd Artikel 4, Ziffer 23, DSGVO steht und damit von der belangten Behörde als betroffene Aufsichtsbehörde nach Artikel 4, Absatz 22, Litera c, DSGVO ein Verfahren der Zusammenarbeit zwischen der maltesischen federführenden Aufsichtsbehörde nach Artikel 56, Absatz eins, in Verbindung mit Artikel 60, ff DSGVO zu führen ist.
Um entsprechend ErwGr 123 eine einheitliche Anwendung der DSGVO in der gesamten Union sicherzustellen, sieht Art. 56 Abs. 1 DSGVO als lex specialis zu Art. 55 Abs. 1 DSGVO für „grenzüberschreitende Verarbeitungen“ ein Verfahren der Zusammenarbeit und Kohärenz vor, das auf einer Aufteilung der Zuständigkeiten zwischen einer „federführenden Aufsichtsbehörde“ und den anderen betroffenen Aufsichtsbehörden beruht. Es ergibt sich insbesondere aus den Art. 56 und 60 der Verordnung, dass in Bezug auf die „grenzüberschreitenden Verarbeitungen“ die verschiedenen betroffenen nationalen Aufsichtsbehörden nach dem in diesen Vorschriften geregelten Verfahren zusammenarbeiten müssen, um zu einem Konsens und zu einem einheitlichen Beschluss zu gelangen, der alle Aufsichtsbehörden bindet und mit dem der Verantwortliche die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union in Einklang zu bringen hat (EuGH 15.6.2021, C-645/19 Rz 50 ff).Um entsprechend ErwGr 123 eine einheitliche Anwendung der DSGVO in der gesamten Union sicherzustellen, sieht Artikel 56, Absatz eins, DSGVO als lex specialis zu Artikel 55, Absatz eins, DSGVO für „grenzüberschreitende Verarbeitungen“ ein Verfahren der Zusammenarbeit und Kohärenz vor, das auf einer Aufteilung der Zuständigkeiten zwischen einer „federführenden Aufsichtsbehörde“ und den anderen betroffenen Aufsichtsbehörden beruht. Es ergibt sich insbesondere aus den Artikel 56 und 60 der Verordnung, dass in Bezug auf die „grenzüberschreitenden Verarbeitungen“ die verschiedenen betroffenen nationalen Aufsichtsbehörden nach dem in diesen Vorschriften geregelten Verfahren zusammenarbeiten müssen, um zu einem Konsens und zu einem einheitlichen Beschluss zu gelangen, der alle Aufsichtsbehörden bindet und mit dem der Verantwortliche die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union in Einklang zu bringen hat (EuGH 15.6.2021, C-645/19 Rz 50 ff).
Bei einer grenzüberschreitenden Verarbeitung ist die Zuständigkeit der „federführenden Aufsichtsbehörde“ zur Führung eines solchen Verfahrens der Zusammenarbeit und Kohärenz – wie insbesondere aus Art. 56 Abs. 6 DSGVO hervorgeht - die Regel, von der lediglich in Ausnahmefällen, wie in Art. 56 Abs. 2 und Art. 60 Abs. 11 DSGVO (hier nicht einschlägig) angeordnet, abgewichen wird.Bei einer grenzüberschreitenden Verarbeitung ist die Zuständigkeit der „federführenden Aufsichtsbehörde“ zur Führung eines solchen Verfahrens der Zusammenarbeit und Kohärenz – wie insbesondere aus Artikel 56, Absatz 6, DSGVO hervorgeht - die Regel, von der lediglich in Ausnahmefällen, wie in Artikel 56, Absatz 2 und Artikel 60, Absatz 11, DSGVO (hier nicht einschlägig) angeordnet, abgewichen wird.
Die Zuständigkeit zur Entscheidung über eine Beschwerde in Bezug auf eine grenzüberschreitende Datenverarbeitung an sich („Erlass von Beschlüssen“) wird hingegen wiederum vom Ausgang des Verfahrens der Zusammenarbeit abhängig gemacht. Während stattgebende Beschlüsse der beteiligten Aufsichtsbehörden nach Art. 60 Abs. 7 DSGVO von der federführenden Aufsichtsbehörde erlassen werden, soll die von den beteiligten Aufsichtsbehörden beschlossene Abweisung der Beschwerde nach Art. 60 Abs. 8 DSGVO durch die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, selbst erfolgen.Die Zuständigkeit zur Entscheidung über eine Beschwerde in Bezug auf eine grenzüberschreitende Datenverarbeitung an sich („Erlass von Beschlüssen“) wird hingegen wiederum vom Ausgang des Verfahrens der Zusammenarbeit abhängig gemacht. Während stattgebende Beschlüsse der beteiligten Aufsichtsbehörden nach Artikel 60, Absatz 7, DSGVO von der federführenden Aufsichtsbehörde erlassen werden, soll die von den beteiligten Aufsichtsbehörden beschlossene Abweisung der Beschwerde nach Artikel 60, Absatz 8, DSGVO durch die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, selbst erfolgen.
Damit sollen sowohl der Verantwortliche, als auch der Betroffene die Möglichkeit erhalten, einen gerichtlichen Rechtsbehelf gegen einen sie betreffenden Beschluss in dem Mitgliedstaat zu erhalten, in dem sie ihre Hauptniederlassung haben oder sich aufhalten (Dix in Kühling/Buchner [Hrsg.], DS-GVO BDSG4, Art. 60, Rz 19).Damit sollen sowohl der Verantwortliche, als auch der Betroffene die Möglichkeit erhalten, einen gerichtlichen Rechtsbehelf gegen einen sie betreffenden Beschluss in dem Mitgliedstaat zu erhalten, in dem sie ihre Hauptniederlassung haben oder sich aufhalten (Dix in Kühling/Buchner [Hrsg.], DS-GVO BDSG4, Artikel 60,, Rz 19).
Da somit bei grenzüberschreitenden Datenverarbeitungen die Zuständigkeit zur Entscheidung vom Ausgang des Verfahrens der Zusammenarbeit und Kohärenz nach Art. 56 Abs. 1 und 60 DSGVO abhängt und diese somit bis dahin nicht geklärt ist, kann eine Verletzung der Entscheidungspflicht durch eine Aufsichtsbehörde bis zum Abschluss eines solchen Verfahrens nicht rechtswirksam geltend gemacht werden. Andernfalls wären das bereits dargelegte Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz gefährdet (vgl. dazu auch EuGH 15.6.2021, C-645/19 Rz 65). Da somit bei grenzüberschreitenden Datenverarbeitungen die Zuständigkeit zur Entscheidung vom Ausgang des Verfahrens der Zusammenarbeit und Kohärenz nach Artikel 56, Absatz eins und 60 DSGVO abhängt und diese somit bis dahin nicht geklärt ist, kann eine Verletzung der Entscheidungspflicht durch eine Aufsichtsbehörde bis zum Abschluss eines solchen Verfahrens nicht rechtswirksam geltend gemacht werden. Andernfalls wären das bereits dargelegte Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz gefährdet vergleiche dazu auch EuGH 15.6.2021, C-645/19 Rz 65).
Damit in Einklang ordnet § 24 Abs. 10 Z 2 DSG auch an, dass in die Entscheidungsfrist nach § 73 AVG die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO nicht eingerechnet werden kann. Damit in Einklang ordnet Paragraph 24, Absatz 10, Ziffer 2, DSG auch an, dass in die Entscheidungsfrist nach Paragraph 73, AVG die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO nicht eingerechnet werden kann.
Sofern die Beschwerdeführerin dazu in ihrer Stellungnahme vom 25. März 2025 ausführt, die belangte Behörde gehe – wie ihrer Stellungnahme zur Aktenvorlage zu entnehmen sei – offenbar selbst davon aus, dass sie das Verfahren erst am 17. Oktober 2025 eingeleitet habe, genügt der Hinweis, dass die Durchführung eines Kohärenz-Verfahrens nicht im Ermessen der belangten Behörde liegt, sondern vielmehr bei Vorliegen der gesetzlichen Voraussetzungen automatisch bei Einbringung der Beschwerde in Gang gesetzt wird. Eine andere Sichtweise hätte nämlich auch hier zur Folge, dass das Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz gefährdet werden würden (siehe dazu BVwG 11.09.2024, W256 2290824/14E; 21.03.2025, W292 2307654-1/4E, u.v.m.).
Da die Frist zur Entscheidung im vorliegenden Fall bereits mit der Einbringung der Datenschutzbeschwerde gehemmt wurde, liegt keine Säumnis der belangten Behörde vor. Die Säumnisbeschwerde war daher als unzulässig zurückzuweisen.
4.3. Eine mündliche Verhandlung konnte gemäß § 24 Abs. 2 Z 2 VwGVG unterbleiben, da die Säumnisbeschwerde zurückzuweisen war.4.3. Eine mündliche Verhandlung konnte gemäß Paragraph 24, Absatz 2, Ziffer 2, VwGVG unterbleiben, da die Säumnisbeschwerde zurückzuweisen war.
zu Spruchpunkt B)
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.
Das Bundesverwaltungsgericht konnte sich bei der Lösung der vorliegenden Rechtsfrage auf die Rechtsprechung des VwGH zu § 24 Abs. 10 DSG stützen (vgl. VwGH 14.11.2023, Ro 2020/04/0009).Das Bundesverwaltungsgericht konnte sich bei der Lösung der vorliegenden Rechtsfrage auf die Rechtsprechung des VwGH zu Paragraph 24, Absatz 10, DSG stützen vergleiche VwGH 14.11.2023, Ro 2020/04/0009).
Schlagworte
Datenschutz Datenschutzbehörde Datenschutzbeschwerde Datenschutzverfahren federführende Aufsichtsbehörde Fristenhemmung grenzüberschreitende Datenverarbeitung Säumnisbeschwerde Verletzung der Entscheidungspflicht ZurückweisungEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W256.2323088.1.00Im RIS seit
19.10.2026Zuletzt aktualisiert am
19.10.2026
