TE Bvwg Beschluss 2021/9/3 W211 2230221-1

W211 2230221-1/10E

BESCHLUSS

Das Bundesverwaltungsgericht beschließt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , XXXX , in einer datenschutzrechtlichen Angelegenheit:

A)

Das Verfahren wird gemäß § 17 VwGVG iVm § 38 AVG bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über die mit Beschluss des Obersten Gerichtshofs vom 18.02.2021, 6 Ob 159/20f, vorgelegte Frage ausgesetzt.

B)

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Begründung:

Das Bundesverwaltungsgericht hat erwogen:

1. Verfahrensgang / Feststellungen:

1. Mit Datenschutzbeschwerde vom XXXX 2019 monierte die nunmehrige mitbeteiligte Partei (in der Folge mP) die Unvollständigkeit einer erteilten Auskunft nach Art. 15 DSGVO durch die XXXX (in der Folge: BF).

2. Mit Stellungnahme vom XXXX 2019 führte die BF zu dieser Datenschutzbeschwerde soweit noch wesentlich aus, dass zum Vorhalt der mP, es sei ihr nicht mitgeteilt worden, an wen ihre Daten übermittelt worden seien, eine weitergehende Detailierung auf individuelle Empfänger_innenebene die Offenlegung der Vertriebswege der BF und ihrer individuellen Kundenbeziehungen bedeuten würde. Aus Art. 15 DSGVO sei kein Zwang zur Offenlegung individueller Empfänger_innen ableitbar, auch würde dies die Offenlegung von Geschäfts- und Betriebsgeheimnissen bedeuten. Die Auskunft sei über die Kategorien der Empfänger_innen erteilt worden. Ebenso sei das Wirken der BF als Adressverlag und Direktmarketingunternehmen in den Datenschutzhinweisen erklärt. Es werde die Abweisung der Beschwerde beantragt.

3. Mit dem angefochtenen Bescheid vom XXXX 2020 wurde der Beschwerde der mP stattgegeben und festgestellt, dass die nunmehrige BF die mP dadurch im Recht auf Auskunft verletzt habe, indem sie in der Auskunft vom XXXX 2019 die Empfänger_innen, denen gegenüber personenbezogene Daten der mP offengelegt worden seien, nicht beauskunftet habe (Spruchpunkt 1.) Der BF wurde weiter bei sonstiger Exekution aufgetragen, innerhalb einer Frist von vier Wochen die konkreten Empfänger_innen der personenbezogenen Daten zu bezeichnen.

4. Mit Beschwerde vom XXXX 2020 führte die BF zusammengefasst aus, dass dem/der Verantwortlichen ein Wahlrecht zustünde, ob konkrete Empfänger_innen oder Empfänger_innenkategorien beauskunftet würden. Der Wortlaut des Art. 15 DSGVO spreche eindeutig für ein solches Wahlrecht. Die Datenschutzbehörde habe außerdem den Schutz von Betriebs- und Geschäftsgeheimnissen nicht berücksichtigt.

5. Mit ergänzender Stellungnahme vom XXXX 2020 brachte die Datenschutzbehörde vor, dass eine darin angeführte nähere Auskunft der BF beweisen würde, dass die Beauskunftung konkreter Empfänger_innen nicht, wie behauptet, unmöglich sei.

6. Mit Beschluss des Obersten Gerichthofs vom 18.02.2021, 6 Ob 159/20f, wurde dem Gerichtshof der Europäischen Union gemäß Art. 267 AEUV die folgende Frage zur Vorabentscheidung vorgelegt:

„Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“

7. Am XXXX 2021 stellte die BF einen Antrag auf Aussetzung des Verfahrens wegen des anhängigen Vorabentscheidungsersuchens durch den Obersten Gerichtshof vom 18.02.2021.

8. Am XXXX 2021 brachte die BF eine Replik auf die ergänzende Stellungnahme der Datenschutzbehörde vom XXXX 2020 ein.

2. Beweiswürdigung:

Die Feststellungen beruhen auf dem Verwaltungsakt sowie auf dem Vorabentscheidungsersuchen des OGH vom 18.02.2021, das unter RIS - 6Ob159/20f - Entscheidungstext - Justiz (OGH, OLG, LG, BG, OPMS, AUSL) (bka.gv.at) abrufbar ist.

Diese Feststellungen sind nicht strittig.

3. Rechtliche Beurteilung:

Zu A)

3.1. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage, die als Hauptfrage von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wäre, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.

3.2. Eine Hauptfrage in diesem Sinne kann auch eine Vorlagefrage eines beim EuGH anhängigen Vorabentscheidungsverfahren sein. Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl zB VwGH 13.12.2011, 2011/22/0316). Präjudiziell ist eine Rechtsfrage dabei auch zu einer „bloß“ ähnliche Rechtsfrage, und zwar auch dann, wenn nicht dieselbe gesetzliche Regelung desselben Gesetzgebers betroffen ist (vgl jüngst VwGH 13.9.2017, Ra 2017/12/0068).

3.3. Im gegenständlichen Fall moniert die mP, dass es einer Auskunft durch die BF an Informationen über Empfänger_innen bzw. konkreten Kategorien der Empfänger_innen von personenbezogenen Daten fehle.

3.4. Zur Frage, ob der Nennung der Empfänger_innen oder lediglich von Kategorien der Empfänger_innen im Rahmen des Art. 15 Abs. 1 lit c DSGVO der Vorrang einzuräumen ist, liegen unterschiedliche Literaturmeinung vor.

3.5. Dazu ist außerdem bereits ein Vorabentscheidungsersuchen des Obersten Gerichtshofs vom 18.02.2021 beim Gerichtshof der Europäischen Union mit der folgenden Begründung anhängig:

„Zur ersten Frage liegen in Österreich und Deutschland verschiedene Lehrmeinungen vor:
1.1.1. Für ein Wahlrecht des Verantwortlichen:
Nach Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 39 ist aus dem Wort „oder“ zu schließen, dass der Verantwortliche das Wahlrecht hat, Empfänger oder lediglich Kategorien von Empfängern bekanntzugeben.
Paal in Paal/Pauly, DS-GVO/BDSG2 Art 15 DSGVO Rz 6 steht auf dem Standpunkt, zwischen „Empfängern“ und „Kategorien von Empfängern“ bestehe ein Wahlrecht zugunsten des Verantwortlichen; dieser könne sich demnach stets auf die Angabe von Kategorien von Empfängern beschränken.
1.1.2. Gegen ein Wahlrecht des Verantwortlichen:

Gegen ein Wahlrecht des Verantwortlichen, soweit künftige Offenlegungen von Daten des Betroffenen an konkrete Empfänger bereits feststehen, und für eine „zwingende“ Erstreckung des Auskunftsanspruchs auf die Namen der Empfänger, wenn eine Offenlegung bereits erfolgt ist, spricht sich etwa Dix in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht [2019] Art 15 Rz 20 aus.

Auch Bäcker in Kühling/Buchner, DS-GVO/BDSG2 Art 15 DSGVO Rz 16 f vertritt den Standpunkt, der Verantwortliche habe grundsätzlich kein Wahlrecht: Soweit er die Empfänger der Daten noch oder schon kenne, müsse er sie auf Verlangen benennen. Komme es dadurch zu einer Kollision zwischen dem Datenschutzrecht der betroffenen Person auf Auskunft und gegenläufigen Geheimhaltungsinteressen der Datenempfänger, so setze sich nach Art 15 DSGVO das Recht der betroffenen Person durch. Der Betroffene könne diesfalls noch zusätzlich eine Auskunft über die Kategorien der Empfänger verlangen.

Ehmann in Ehmann/Selmayr, DSGVO2 Art 15 Rz 20 argumentiert zunächst, ein Vergleich mit Art 30 Abs 1 lit d DSGVO zeige, dass im Rahmen des Auskunftsanspruchs die Nennung der dort nicht genannten (konkreten) Empfänger von personenbezogenen Daten Vorrang vor der dort ausschließlich genannten Nennung der Kategorien von Empfängern habe, und stellt dann auf den Zweck des Auskunftsanspruchs ab: Nur die Nennung der konkreten Empfänger ermögliche es, die Rechtmäßigkeit der Verarbeitung zu überprüfen.

Schantz in Schantz/Wolff, Das neue Datenschutzrecht [2017] Rz 1198 mwN geht davon aus, der Betroffene könne wählen, ob er vom Verantwortlichen die Namen der Empfänger oder lediglich die Kategorien der verschiedenen Empfänger erfahren möchte. Überließe man dem Verantwortlichen die Entscheidung über den Inhalt der Auskunft, würde dies die praktische Wirksamkeit des Auskunftsrechts erheblich beeinträchtigen, weil die Kenntnis der konkreten Empfänger häufig für den Betroffenen große Bedeutung habe.

Schmidt-Wudy in Wolff/Brink, BeckOK Datenschutzrecht32 (Stand 1. 5. 2020) Art 15 DSGVO Rz 58 vertritt die Auffassung, es sei fraglich, ob das „oder“ zwischen „Empfänger“ und „Kategorien von Empfängern“ eine Tatbestandsalternativität impliziere oder als „und“ zu verstehen sei. Die Wortlautauslegung überlasse dem Verantwortlichen die Auswahl, ob er die Empfänger oder die Kategorien von Empfängern beauskunftet; ErwGr 63 scheine eher die Ansicht zu stützen, dass in jedem Fall die „Empfänger“ zu beauskunften sind und die Kategorien von Empfängern fakultativ beauskunftet werden können. Es erscheine sachgerecht, in jedem Fall eine Pflicht zur Auskunft über Empfänger, eine solche hinsichtlich der Kategorien von Empfängern aber nur dann anzunehmen, wenn Daten mehrfach beauskunftet worden sind bzw werden sollen, da nur dann „Kategorien von Empfängern“ vorlägen.

1.2. Erwägungen des Obersten Gerichtshofs:

Der Wortlaut von Art 15 Abs 1 lit c DSGVO lässt keine abschließende Beurteilung der Frage zu.

Die deutsche Fassung deutet, indem sie in Art 15 Abs 1 zweiter Halbsatz DSGVO auf die Reichweite des Auskunftsrechts des Betroffenen und nicht etwa der korrelierenden Auskunftsverpflichtung des Verantwortlichen abstellt, eher auf ein Wahlrecht des Betroffenen hin.

Nichts anderes ergibt sich aus der Formulierung des entsprechenden Textabschnitts in der englischen (arg: „[…] the right to obtain […] access to […] the following information: […] the recipients or categories of recipient to whom the personal data have been or will be disclosed“) und der französischen Sprachfassung (arg: „[…] le droit d'obtenir […] les informations suivantes: les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées […]“).

Anders als in Art 15 DSGVO wird in Art 13 Abs 1 lit e und Art 14 Abs 1 lit e DSGVO kein (Auskunfts-)Recht des Betroffenen auf Informationen über „Empfänger oder Kategorien von Empfängern“ statuiert, sondern vielmehr eine Informationspflicht des Verantwortlichen.

Dazu kommt, dass die in Art 13 und 14 DSGVO vorgesehene Informationspflicht am – zwangsläufig der Datenverarbeitung vorgelagerten – Zeitpunkt der Datenerhebung anknüpft, sodass die Informationen stets vorab, also in einem Stadium zu erteilen sind, in dem es noch zu keiner tatsächlichen Offenlegung von Daten gegenüber Dritten gekommen sein kann. Der Auskunftsanspruch nach Art 15 DSGVO erstreckt sich dagegen nicht bloß auf die aktuell verarbeiteten Daten des Betroffenen, sondern schon nach seiner Zweckrichtung auch auf den in der Vergangenheit verarbeiteten Datenbestand (grundlegend EuGH Rs C-553/07, Rijkeboer, ECLI:EU:C:2009:293, Rz 51 ff; die überzeugenden auf das Telos des Auskunftsanspruchs abstellenden Erwägungen dieser Entscheidung sind auch auf den Auskunftsanspruch nach Art 15 DSGVO zu übertragen, zumal sich aus ErwGr 9 und 10 der DSGVO ableiten lässt, dass der Europäische Gesetzgeber eine Herabsetzung des Schutzniveaus gegenüber der RL 95/46/EG ganz allgemein nicht intendiert hat).

ErwGr 63 der DSGVO spricht davon, „jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, … wer die Empfänger der personenbezogenen Daten sind, …“. Hier wird also nicht bloß von „Kategorien von Empfängern“ gesprochen, was ebenfalls dafür spricht, dass der Verantwortliche die einzelnen Empfänger namentlich nennen muss.

Vor diesem Hintergrund hat sich die Auslegung des Art 15 Abs 1 lit c DSGVO in erster Linie am Normzweck zu orientieren: Dabei ist zunächst auf das bereits dargelegte Telos des Auskunftsrechts als Hilfsanspruch zur effektiven Rechtsdurchsetzung, insbesondere der Betroffenenrechte nach Art 16 ?ff DSGVO, zu verweisen. Dieser Regelungszweck spricht klar für ein – vom Wortlaut der Bestimmung durchaus gedecktes – Verständnis dahingehend, dass nicht dem Verantwortlichen ein Auswahlermessen hinsichtlich der Frage zukommt, wie konkret er dem Ersuchen um Auskunft über die Empfänger personenbezogener Daten nachkommen will; vielmehr soll grundsätzlich der Betroffene die Wahl haben, ob er Auskunft nur über abstrakte Empfängerkategorien oder über die konkreten Empfänger seiner Daten begehrt. Das gegenteilige Normverständnis, aufgrund dessen sich der Verantwortliche letztlich immer darauf zurückziehen könnte, bloß über die Empfängerkategorie zu informieren, führte zu einer erheblichen Beeinträchtigung der vom Europäischen Gesetzgeber angestrebten Effektivität der dem Betroffenen zum Schutz seiner Daten zur Verfügung stehenden Rechtsbehelfe: Hat nämlich der Verantwortliche – wie das Berufungsgericht und die Beklagte meinen – die freie Wahl, wird kaum jemals ein Verantwortlicher die mit erheblichem Mehraufwand verbundene Detailauskunft über konkrete Empfänger erteilen. Diesfalls wird der Betroffene in aller Regel nur über abstrakte Empfängerkategorien informiert werden.“

3.6. Die Frage, die dem Gerichtshof der Europäischen Union vorgelegt wurde, ist der im gegenständlichen Verfahren zu lösenden Rechtsfrage im Sinne der oben angeführten Judikatur ähnlich; sie ist auch präjudiziell: die Frage, ob konkrete Empfänger_innen im Rahmen des Art. 15 Abs. 1 lit c DSGVO zu beauskunften sind, oder ob ein Wahlrecht des/der Verantwortlichen besteht, konkrete Empfänger_innen oder Kategorien der Empfänger_innen zu beauskunften, ist Gegenstand des anhängigen Beschwerdeverfahrens.

3.7. Es wird daher die Aussetzung des Beschwerdeverfahrens – mit nicht bloß verfahrensleitendem Beschluss (vgl VwGH 20.12.2017, Ra 2017/12/0019) – bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über die mit Beschluss des Obersten Gerichtshofs vom 18.02.2021, Zl. 6 Ob 159/20f, vorgelegte Frage beschlossen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten. Eine – wie hier – im Rahmen dieser vom Verwaltungsgerichtshof aufgestellten Grundsätze vorgenommene Beurteilung einer bei einem anderen Gericht anhängigen Rechtsfrage als für das gegenständliche Verfahren präjudiziell ist nicht reversibel (vgl VwGH 13.9.2017, Ra 2017/12/0068).