Entscheidungsdatum
10.02.2026Norm
AVG §39 Abs2Spruch
,
W605 2284187-1/6Z
W605 2284265-1/3Z
W605 2284446-1/3Z
W605 2284618-1/3Z
W605 2284633-1/3Z
W605 2284718-1/4Z
W605 2284755-1/4Z
W605 2285111-1/4Z
W605 2285396-1/4Z
W605 2285435-1/4Z
W605 2285576-1/4Z
W605 2285587-1/4Z
W605 2285614-1/4Z
W605 2285654-1/4Z
W605 2286670-1/4Z
W605 2288259-1/4Z
W605 2288563-1/3Z
W605 2292733-1/4Z
BESCHLUSSW605 2292733-1/4Z , BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Julia LUDWIG als Vorsitzende und die fachkundigen Laienrichter Dr.in Barbara Fellner-Resch und Mag. Florian Schultes, LL.M. in den Rechtssachen betreffend die Beschwerden der XXXX , vertreten durch die Schönherr Rechtsanwälte GmbH, Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Julia LUDWIG als Vorsitzende und die fachkundigen Laienrichter Dr.in Barbara Fellner-Resch und Mag. Florian Schultes, LL.M. in den Rechtssachen betreffend die Beschwerden der römisch 40 , vertreten durch die Schönherr Rechtsanwälte GmbH,
1. vom 21.12.2023 gegen Spruchpunkt 1) der Bescheide der Datenschutzbehörde vom
a. 29.11.2023, GZ: XXXX a. 29.11.2023, GZ: römisch 40
XXXX 29.11.2023, GZ: XXXX römisch 40 29.11.2023, GZ: römisch 40
c. 30.11.2023, GZ: XXXX c. 30.11.2023, GZ: römisch 40
d. 30.11.2023, GZ. XXXX d. 30.11.2023, GZ. römisch 40
e. 30.11.2023, XXXX e. 30.11.2023, römisch 40
f. 01.12.2023, GZ. XXXX f. 01.12.2023, GZ. römisch 40
g. 30.11.2023, GZ. XXXX g. 30.11.2023, GZ. römisch 40
h. 30.11.2023, GZ. XXXX h. 30.11.2023, GZ. römisch 40
i. 27.11.2023, GZ. XXXX i. 27.11.2023, GZ. römisch 40
j. 27.11.2023, GZ. XXXX j. 27.11.2023, GZ. römisch 40
k. 30.11.2023, GZ. XXXX k. 30.11.2023, GZ. römisch 40
l. 27.11.2023, GZ. XXXX l. 27.11.2023, GZ. römisch 40
m. 27.11.2023, GZ. XXXX m. 27.11.2023, GZ. römisch 40
n. 30.11.2023, GZ. XXXX n. 30.11.2023, GZ. römisch 40
o. 27.11.2023, GZ. XXXX o. 27.11.2023, GZ. römisch 40
p. 28.11.2023, GZ. XXXX p. 28.11.2023, GZ. römisch 40
XXXX 28.11.2023, GZ. XXXX römisch 40 28.11.2023, GZ. römisch 40
und 2. vom 17.05.2024 gegen Spruchpunkt 1) des Bescheids der Datenschutzbehörde vom 30.04.2024, GZ. XXXX den Beschluss gefasst: und 2. vom 17.05.2024 gegen Spruchpunkt 1) des Bescheids der Datenschutzbehörde vom 30.04.2024, GZ. römisch 40 den Beschluss gefasst:
A)
I. Die Verfahren werden gemäß §§ 17 VwGVG iVm § 39 Abs. 2 AVG verbunden.römisch eins. Die Verfahren werden gemäß Paragraphen 17, VwGVG in Verbindung mit Paragraph 39, Absatz 2, AVG verbunden.
II. Die Verfahren werden gemäß § 34 Abs. 3 VwGVG bis zur rechtskräftigen Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, W292 2284228-1/49E, ausgesetzt.römisch zwei. Die Verfahren werden gemäß Paragraph 34, Absatz 3, VwGVG bis zur rechtskräftigen Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, W292 2284228-1/49E, ausgesetzt.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Begründung:
Das Bundesverwaltungsgericht hat erwogen:
1. Verfahrensgang und Feststellungen:
1.1. Die in den oben genannten Verfahren mitbeteiligten Parteien vor dem Bundesverwaltungsgericht erhoben jeweils eine Datenschutzbeschwerde gegen die XXXX , idF. Beschwerdeführerin vor dem Bundesverwaltungsgericht und der Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung in Rechten nach der DSGVO, konkret durch Verstöße gegen Datenverarbeitungsgrundsätze des Art. 5 Abs. 1 DSGVO und Benachrichtigungspflichten nach Art. 34 DSGVO sowie im Recht auf Geheimhaltung nach § 1 DSG. Diesen Datenschutzbeschwerden lag die mediale Beichterstattung zugrunde, wonach ein Hacker Meldedaten (Name, Geburtsdaten und Meldeadressen) fast aller Österreicher aus einer Datenbank der Beschwerdeführerin gestohlen und im Internet zum Verkauf angeboten habe. An die Daten sei der Hacker durch eine Nachlässigkeit bei einer IT-Firma gelangt, welche die Beschwerdeführerin mit der Neustrukturierung der Datenbank beauftragt hatte. Die Datenbank sei im Mai 2020 ohne Zugangssicherung im Internet zugänglich gewesen. Dies entspreche nicht den datenschutzrechtlichen Vorgaben hinsichtlich der Sicherheit der Verarbeitung personenbezogener Daten und sei das Fehlverhalten des IT-Dienstleisters der Verantwortlichen zuzurechnen. Zudem habe hinsichtlich der gegenständlichen Vorfälle keine individuelle Benachrichtigung im Sinne von Art. 34 DSGVO stattgefunden.1.1. Die in den oben genannten Verfahren mitbeteiligten Parteien vor dem Bundesverwaltungsgericht erhoben jeweils eine Datenschutzbeschwerde gegen die römisch 40 , in der Fassung Beschwerdeführerin vor dem Bundesverwaltungsgericht und der Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung in Rechten nach der DSGVO, konkret durch Verstöße gegen Datenverarbeitungsgrundsätze des Artikel 5, Absatz eins, DSGVO und Benachrichtigungspflichten nach Artikel 34, DSGVO sowie im Recht auf Geheimhaltung nach Paragraph eins, DSG. Diesen Datenschutzbeschwerden lag die mediale Beichterstattung zugrunde, wonach ein Hacker Meldedaten (Name, Geburtsdaten und Meldeadressen) fast aller Österreicher aus einer Datenbank der Beschwerdeführerin gestohlen und im Internet zum Verkauf angeboten habe. An die Daten sei der Hacker durch eine Nachlässigkeit bei einer IT-Firma gelangt, welche die Beschwerdeführerin mit der Neustrukturierung der Datenbank beauftragt hatte. Die Datenbank sei im Mai 2020 ohne Zugangssicherung im Internet zugänglich gewesen. Dies entspreche nicht den datenschutzrechtlichen Vorgaben hinsichtlich der Sicherheit der Verarbeitung personenbezogener Daten und sei das Fehlverhalten des IT-Dienstleisters der Verantwortlichen zuzurechnen. Zudem habe hinsichtlich der gegenständlichen Vorfälle keine individuelle Benachrichtigung im Sinne von Artikel 34, DSGVO stattgefunden.
1.2. Aufgrund einer Vielzahl gleichgelagerter Datenschutzbeschwerden, denen derselbe Sachverhalt zugrunde lag, führte die Datenschutzbehörde, protokolliert zur Zl. XXXX , ein einheitliches Ermittlungsverfahren („Hauptverfahren“) durch, in Rahmen dessen setzte die Datenschutzbehörde umfassende Ermittlungsschritte und legte die gewonnenen Ermittlungs-ergebnisse im Sinne der Verfahrensökonomie allen gegen die Verantwortliche gerichteten Verfahren zu Grunde.1.2. Aufgrund einer Vielzahl gleichgelagerter Datenschutzbeschwerden, denen derselbe Sachverhalt zugrunde lag, führte die Datenschutzbehörde, protokolliert zur Zl. römisch 40 , ein einheitliches Ermittlungsverfahren („Hauptverfahren“) durch, in Rahmen dessen setzte die Datenschutzbehörde umfassende Ermittlungsschritte und legte die gewonnenen Ermittlungs-ergebnisse im Sinne der Verfahrensökonomie allen gegen die Verantwortliche gerichteten Verfahren zu Grunde.
1.3. Mit den im Spruch genannten Bescheiden gab die Datenschutzbehörde den zugrundeliegenden und hier gegenständlichen Datenschutzbeschwerden (teilweise) statt.
1.4. Hiergegen erhob die Beschwerdeführerin fristgerecht Beschwerden an das Bundesverwaltungsgericht und brachte zusammengefasst vor, dass das Beschwerderecht der mitbeteiligten Partei im Sinne von § 24 Abs. 4 DSG präkludiert sei, weil sie bereits seit dem 27.05.2020 durch die öffentliche Bekanntmachung Kenntnis von einer sie potenziell betreffenden Datenschutzverletzung gehabt habe, die verfahrenseinleitende Datenschutzbeschwerde jedoch erst im Jahre 2023 erhoben worden sei. Weiters sei ein mangelhaftes Ermittlungsverfahren geführt worden, weil die relevanten Feststellungen der belangten Behörde auf einer Indizienkette beruhen würden. Schließlich sei die rechtliche Beurteilung nicht richtig, weil die Bestimmung des Art. 32 DSGVO falsch angewendet worden sei. Vor allem sei der gegenständliche Vorfall nicht der Beschwerdeführerin zuzurechnen, weil ihre Pflichten als Verantwortliche nicht so weit gehen würden, dass sie automatisch für jede Handlung des Auftragsverarbeiters haftbar gemacht werden könne, denn die Hauptverpflichtung des Verantwortlichen in Bezug auf den Auftragsverarbeiter bestehe nur in der sorgfältigen Auswahl, der klaren Instruktion und der laufenden Überwachung des Auftragsverarbeiters.1.4. Hiergegen erhob die Beschwerdeführerin fristgerecht Beschwerden an das Bundesverwaltungsgericht und brachte zusammengefasst vor, dass das Beschwerderecht der mitbeteiligten Partei im Sinne von Paragraph 24, Absatz 4, DSG präkludiert sei, weil sie bereits seit dem 27.05.2020 durch die öffentliche Bekanntmachung Kenntnis von einer sie potenziell betreffenden Datenschutzverletzung gehabt habe, die verfahrenseinleitende Datenschutzbeschwerde jedoch erst im Jahre 2023 erhoben worden sei. Weiters sei ein mangelhaftes Ermittlungsverfahren geführt worden, weil die relevanten Feststellungen der belangten Behörde auf einer Indizienkette beruhen würden. Schließlich sei die rechtliche Beurteilung nicht richtig, weil die Bestimmung des Artikel 32, DSGVO falsch angewendet worden sei. Vor allem sei der gegenständliche Vorfall nicht der Beschwerdeführerin zuzurechnen, weil ihre Pflichten als Verantwortliche nicht so weit gehen würden, dass sie automatisch für jede Handlung des Auftragsverarbeiters haftbar gemacht werden könne, denn die Hauptverpflichtung des Verantwortlichen in Bezug auf den Auftragsverarbeiter bestehe nur in der sorgfältigen Auswahl, der klaren Instruktion und der laufenden Überwachung des Auftragsverarbeiters.
1.5. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 05.07.2024, Zl. W292 2284228-1/49E, wurde in einem Parallelverfahren betreffend den oben beschriebenen Lebenssachverhalt die Bescheidbeschwerde der Beschwerdeführerin gemäß § 28 Abs. 2 VwGVG, § 1 und 24 DSG in Verbindung mit Art. 5, 6, 32 und 77 DSGVO, als unbegründet abgewiesen.1.5. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 05.07.2024, Zl. W292 2284228-1/49E, wurde in einem Parallelverfahren betreffend den oben beschriebenen Lebenssachverhalt die Bescheidbeschwerde der Beschwerdeführerin gemäß Paragraph 28, Absatz 2, VwGVG, Paragraph eins und 24 DSG in Verbindung mit Artikel 5, 6, 32 und 77 DSGVO, als unbegründet abgewiesen.
Mit Eingabe vom 16.08.2024 erhob der Beschwerdeführer außerordentliche Revision gegen dieses Erkenntnis des Bundesverwaltungsgerichtshofes vom 05.07.2024, W292 2284228-1/49E, und ist das diesbezügliche Verfahren beim Verwaltungsgerichtshof derzeit anhängig.
1.6. Den verfahrensgegenständlichen Fällen liegt im Wesentlichen derselbe Sachverhalt im Zusammenhang mit der Zugänglichmachung personenbezogener Daten der Betroffenen wie im hg. Verfahren W292 2284228-1 zugrunde. Am Bundesverwaltungsgericht sind diesbezüglich rund 100 Verfahren anhängig.
2. Beweiswürdigung:
Die oben angeführten Feststellungen beruhen auf dem jeweils unbedenklichen Akteninhalt, insbesondere den verfahrensgegenständlichen Bescheidbeschwerden vom 21.12.2023 und 17.05.2024 sowie den in den jeweiligen erstinstanzlichen Verfahren erlassenen im Spruch aufgelisteten Bescheide.
Die Tatsache, dass diverse gleichgelagerte Sachverhalte betreffende Beschwerdeverfahren am Bundesverwaltungsgericht anhängig wurden sowie dass gegen die in einem solchen Verfahren ergangene Entscheidung des Bundesverwaltungsgerichts vom 05.07.2024 Revision erhoben wurde und das diesbezügliche Revisionsverfahren derzeit anhängig ist, ergibt sich aus der elektronischen Verfahrensadministration (eVA+) des Bundesverwaltungsgerichtes.
3. Rechtliche Beurteilung:
3.1. Gemäß Art. 130 Abs. 1 Z 1 Bundes-Verfassungsgesetz (B-VG), BGBl. Nr. 1/1930 (WV) idF BGBl. I Nr. 194/1999 (DFB), erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, Bundes-Verfassungsgesetz (B-VG), Bundesgesetzblatt Nr. 1 aus 1930, (WV) in der Fassung Bundesgesetzblatt Teil eins, Nr. 194 aus 1999, (DFB), erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 Bundesverwaltungsgerichtsgesetz (BVwGG), BGBl. I Nr. 10/2013, entscheidet das Verwaltungsgericht durch Einzelrichter, soweit die Bundes- oder Landesgesetze nicht die Entscheidung durch Senate vorsehen. Gemäß Paragraph 6, Bundesverwaltungsgerichtsgesetz (BVwGG), Bundesgesetzblatt Teil eins, Nr. 10 aus 2013,, entscheidet das Verwaltungsgericht durch Einzelrichter, soweit die Bundes- oder Landesgesetze nicht die Entscheidung durch Senate vorsehen.
Gemäß § 27 Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gemäß Paragraph 27, Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Gemäß § 9 BVwGG leitet die Vorsitzende die Geschäfte des Senates und führt das Verfahren bis zur Verhandlung. Die dabei erforderlichen Beschlüsse bedürfen keines Senatsbeschlusses.Gemäß Paragraph 9, BVwGG leitet die Vorsitzende die Geschäfte des Senates und führt das Verfahren bis zur Verhandlung. Die dabei erforderlichen Beschlüsse bedürfen keines Senatsbeschlusses.
Eine gemäß § 17 VwGVG iVm § 38 AVG ergangene Aussetzungsentscheidung ist keine bloße verfahrensleitende Entscheidung. Ein Aussetzungsbeschluss unterliegt nicht dem Revisionsausschluss gem § 25a Abs 3 VwGG (VwGH 24.03.2015, Ro 2014/05/0089). Eine gemäß Paragraph 17, VwGVG in Verbindung mit Paragraph 38, AVG ergangene Aussetzungsentscheidung ist keine bloße verfahrensleitende Entscheidung. Ein Aussetzungsbeschluss unterliegt nicht dem Revisionsausschluss gem Paragraph 25 a, Absatz 3, VwGG (VwGH 24.03.2015, Ro 2014/05/0089).
3.3. Zu Spruchpunkt A I) 3.3. Zu Spruchpunkt A römisch eins)
§ 39 Abs. 1 AVG lautet wie folgt:Paragraph 39, Absatz eins, AVG lautet wie folgt:
„§ 39. (1) Für die Durchführung des Ermittlungsverfahrens sind die Verwaltungsvorschriften maßgebend.
(2) Soweit die Verwaltungsvorschriften hierüber keine Anordnungen enthalten, hat die Behörde von Amts wegen vorzugehen und unter Beobachtung der in diesem Teil enthaltenen Vorschriften den Gang des Ermittlungsverfahrens zu bestimmen. Sie kann insbesondere von Amts wegen oder auf Antrag eine mündliche Verhandlung durchführen und mehrere Verwaltungssachen zur gemeinsamen Verhandlung und Entscheidung verbinden oder sie wieder trennen. Die Behörde hat sich bei allen diesen Verfahrensanordnungen von Rücksichten auf möglichste Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis leiten zu lassen.“
Das Verwaltungsgericht kann gemäß § 17 VwGVG iVm § 39 Abs. 2 AVG unter Bedachtnahme auf möglichste Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis mehrere in seine Zuständigkeit fallende Rechtssachen zur gemeinsamen Entscheidung verbinden, soweit dies im Rahmen der Geschäftsverteilung möglich ist (vgl. VwGH 03.02.2022, Ra 2019/17/0115; 17.11.2015, Ra 2015/03/0058; Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht10 Rz 276/1 und 798).Das Verwaltungsgericht kann gemäß Paragraph 17, VwGVG in Verbindung mit Paragraph 39, Absatz 2, AVG unter Bedachtnahme auf möglichste Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis mehrere in seine Zuständigkeit fallende Rechtssachen zur gemeinsamen Entscheidung verbinden, soweit dies im Rahmen der Geschäftsverteilung möglich ist vergleiche VwGH 03.02.2022, Ra 2019/17/0115; 17.11.2015, Ra 2015/03/0058; Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht10 Rz 276/1 und 798).
Die Entscheidung des Verwaltungsgerichts mehrere Verwaltungssachen zur gemeinsamen Verhandlung und Entscheidung zu verbinden oder sie wieder zu trennen, stellt einen nicht gesondert anfechtbaren und nicht zu begründenden verfahrensleitenden Beschluss iSd § 31 Abs. 2 VwGVG dar (vgl. VwGH 17.07.2017, Ra 2017/11/0156 unter Bezugnahme auf die Ausführungen unter Pkt. 5 des E vom 30.06.2015, Ra 2015/03/0022).Die Entscheidung des Verwaltungsgerichts mehrere Verwaltungssachen zur gemeinsamen Verhandlung und Entscheidung zu verbinden oder sie wieder zu trennen, stellt einen nicht gesondert anfechtbaren und nicht zu begründenden verfahrensleitenden Beschluss iSd Paragraph 31, Absatz 2, VwGVG dar vergleiche VwGH 17.07.2017, Ra 2017/11/0156 unter Bezugnahme auf die Ausführungen unter Pkt. 5 des E vom 30.06.2015, Ra 2015/03/0022).
Da es sich bei den Verfahrensparteien, um Beschwerdeführer und Beschwerdegegner im behördlichen Verfahren vor der belangten Behörde handelt und den zugrundeliegenden Datenschutzbeschwerden der gleiche Lebenssachverhalt zugrundeliegt, liegt eine gemeinsame Entscheidung dieser Beschwerdeverfahren im Sinne der Zweckmäßigkeit, und Einfachheit der Verfahren nahe.
3.4. Zu Spruchpunkt A) II.3.4. Zu Spruchpunkt A) römisch zwei.
Gemäß § 34 Abs. 3 VwGVG kann das Verwaltungsgericht ein Verfahren über eine Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG mit Beschluss aussetzen, wennGemäß Paragraph 34, Absatz 3, VwGVG kann das Verwaltungsgericht ein Verfahren über eine Beschwerde gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG mit Beschluss aussetzen, wenn
1. vom Verwaltungsgericht in einer erheblichen Anzahl von anhängigen oder in naher Zukunft zu erwartenden Verfahren eine Rechtsfrage zu lösen ist und gleichzeitig beim Verwaltungsgerichtshof ein Verfahren über eine Revision gegen ein Erkenntnis oder einen Beschluss eines Verwaltungsgerichtes anhängig ist, in welchem dieselbe Rechtsfrage zu lösen ist, und
2. eine Rechtsprechung des Verwaltungsgerichtshofes zur Lösung dieser Rechtsfrage fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
Gleichzeitig hat das Verwaltungsgericht dem Verwaltungsgerichtshof das Aussetzen des Verfahrens unter Bezeichnung des beim Verwaltungsgerichtshof anhängigen Verfahrens mitzuteilen. Eine solche Mitteilung hat zu entfallen, wenn das Verwaltungsgericht in der Mitteilung ein Verfahren vor dem Verwaltungsgerichtshof zu bezeichnen hätte, das es in einer früheren Mitteilung schon einmal bezeichnet hat. Mit der Zustellung des Erkenntnisses oder Beschlusses des Verwaltungsgerichtshofes an das Verwaltungsgericht gemäß § 44 Abs. 2 VwGG ist das Verfahren fortzusetzen. Das Verwaltungsgericht hat den Parteien die Fortsetzung des Verfahrens mitzuteilen.Gleichzeitig hat das Verwaltungsgericht dem Verwaltungsgerichtshof das Aussetzen des Verfahrens unter Bezeichnung des beim Verwaltungsgerichtshof anhängigen Verfahrens mitzuteilen. Eine solche Mitteilung hat zu entfallen, wenn das Verwaltungsgericht in der Mitteilung ein Verfahren vor dem Verwaltungsgerichtshof zu bezeichnen hätte, das es in einer früheren Mitteilung schon einmal bezeichnet hat. Mit der Zustellung des Erkenntnisses oder Beschlusses des Verwaltungsgerichtshofes an das Verwaltungsgericht gemäß Paragraph 44, Absatz 2, VwGG ist das Verfahren fortzusetzen. Das Verwaltungsgericht hat den Parteien die Fortsetzung des Verfahrens mitzuteilen.
Aus den Erläuterungen (vgl. RV 2009 BlgNR 24. GP, 8) zu § 34 VwGVG geht hervor, dass ein Verfahren ausgesetzt werden kann, wenn bei einem Verwaltungsgericht in einer erheblichen Zahl von anhängigen oder zu erwartenden Verfahren eine Rechtsfrage zu lösen ist, die in einem – gleichzeitig anhängigen – Verfahren vor dem Verwaltungsgerichtshof zu lösen ist. Zweck dieser Bestimmung ist daher, aus Gründen der Prozessökonomie zu vermeiden, dass die gleiche Rechtsfrage nebeneinander in mehreren Verfahren erörtert werden muss (vgl. zu den entsprechenden Bestimmungen der BAO: VwGH 18.04.1990, 89/16/0200; 21.12.2011, 2009/13/0159 sowie Ritz, BAO5 § 271).Aus den Erläuterungen vergleiche Regierungsvorlage 2009 BlgNR 24. GP, 8) zu Paragraph 34, VwGVG geht hervor, dass ein Verfahren ausgesetzt werden kann, wenn bei einem Verwaltungsgericht in einer erheblichen Zahl von anhängigen oder zu erwartenden Verfahren eine Rechtsfrage zu lösen ist, die in einem – gleichzeitig anhängigen – Verfahren vor dem Verwaltungsgerichtshof zu lösen ist. Zweck dieser Bestimmung ist daher, aus Gründen der Prozessökonomie zu vermeiden, dass die gleiche Rechtsfrage nebeneinander in mehreren Verfahren erörtert werden muss vergleiche zu den entsprechenden Bestimmungen der BAO: VwGH 18.04.1990, 89/16/0200; 21.12.2011, 2009/13/0159 sowie Ritz, BAO5 Paragraph 271,).
Wenn daher ein Verwaltungsgericht, während vor dem Verwaltungsgerichtshof ein Verfahren zur Klärung einer bestimmten Rechtsfrage anhängig ist, Verfahren, bei denen die gleiche Rechtsfrage strittig ist, aussetzt (und nicht durch Erlassung weiterer Entscheidungen mehrfache Revisionen an den Verwaltungsgerichtshof „verursacht“), dient die Aussetzung auch Parteiinteressen (Wegfall des Kostenrisikos in Bezug auf allfällig zu ergreifende Rechtsmittel an den Verwaltungsgerichtshof).
Außerdem soll durch die Aussetzung eines Verfahrens die Funktionsfähigkeit des Verwaltungsgerichts bei einer großen Zahl gleichgelagerter Beschwerden gewährleistet sein, indem auf einen beim Verwaltungsgerichtshof anhängigen „leading case“ gewartet und so dessen Rechtsansicht eingeholt werden kann. Darüber hinaus wird der Verwaltungsgerichtshof selbst vor einer potentiell massenhaften Revisionseinbringung geschützt (Fister/Fuchs/Sachs, Verwaltungsgerichts-verfahren² § 34 VwGVG Rz 14).Außerdem soll durch die Aussetzung eines Verfahrens die Funktionsfähigkeit des Verwaltungsgerichts bei einer großen Zahl gleichgelagerter Beschwerden gewährleistet sein, indem auf einen beim Verwaltungsgerichtshof anhängigen „leading case“ gewartet und so dessen Rechtsansicht eingeholt werden kann. Darüber hinaus wird der Verwaltungsgerichtshof selbst vor einer potentiell massenhaften Revisionseinbringung geschützt (Fister/Fuchs/Sachs, Verwaltungsgerichts-verfahren² Paragraph 34, VwGVG Rz 14).
Für die Aussetzung eines Verfahrens gemäß § 38 AVG reicht es aus, wenn eine (bloß) ähnliche Rechtsfrage anhängig ist. Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht daher einer Aussetzung des Verfahrens gemäß § 38 AVG nicht entgegen (vgl. VwGH vom 13.09.2017, Ra 2017/12/0068).Für die Aussetzung eines Verfahrens gemäß Paragraph 38, AVG reicht es aus, wenn eine (bloß) ähnliche Rechtsfrage anhängig ist. Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht daher einer Aussetzung des Verfahrens gemäß Paragraph 38, AVG nicht entgegen vergleiche VwGH vom 13.09.2017, Ra 2017/12/0068).
Für den vorliegenden Fall bedeutet das:
Beim Bundesverwaltungsgericht sind zum Themenkomplex des sog. „ XXXX “ etwa 100 Bescheidbeschwerden der Beschwerdeführerin in unterschiedlichen Gerichtsabteilungen anhängig. Damit liegt jedenfalls eine erhebliche Anzahl an Verfahren im Sinne des § 34 Abs. 3 VwGVG vor (vgl. Bumberger/Lampert/Larcher/Weber [Hrsg] VwGVG § 34 Rz 42 mit Verweis auf Reisner in Götzl/Gruber/Reisner/Winkler, Verfahrensrecht2 § 34 Rz 28; Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 § 34 Anm 15 mwN). Das gegenständliche Verfahren ist eines dieser Verfahren.Beim Bundesverwaltungsgericht sind zum Themenkomplex des sog. „ römisch 40 “ etwa 100 Bescheidbeschwerden der Beschwerdeführerin in unterschiedlichen Gerichtsabteilungen anhängig. Damit liegt jedenfalls eine erhebliche Anzahl an Verfahren im Sinne des Paragraph 34, Absatz 3, VwGVG vor vergleiche Bumberger/Lampert/Larcher/Weber [Hrsg] VwGVG Paragraph 34, Rz 42 mit Verweis auf Reisner in Götzl/Gruber/Reisner/Winkler, Verfahrensrecht2 Paragraph 34, Rz 28; Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 Paragraph 34, Anmerkung 15 mwN). Das gegenständliche Verfahren ist eines dieser Verfahren.
Beschwerdegegenständlich ist die Frage, ob die Beschwerdeführerin als Verantwortliche iSd Art. 4 Z 7 DSGVO gegen ihre Pflichten nach Art. 5 Abs. 1 lit. f und Art. 32 DSGVO verstoßen hat, sodass sie die mitbeteiligte Partei infolge des widerrechtlichen Abgriffes der Meldedaten durch einen Dritten (Hacker) in ihrem Recht auf Geheimhaltung verletzt hat. Zur Beantwortung dieser Frage ist wesentlich, ob die Verantwortlicheneigenschaft von der XXXX auf die XXXX übergegangen ist, ob die vorzunehmende Form der öffentlichen Bekanntmachung iSd Art. 34 Abs. 3 lit. c DSGVO erfüllt worden ist, ob die Verpflichtung der Benachrichtigung eines potenziell Betroffenen von einem Datensicherheitsvorfall besteht, ob die subjektive Präklusivfrist des § 24 Abs. 4 DSG mit der Kenntnis des beschwerenden Ereignisses oder auf die Kenntnis über die persönliche Betroffenheit zu laufen beginnt sowie ob der gegenständliche Verstoß des Auftragsverarbeiters gegen Art. 32 DSGVO der Beschwerdeführerin zuzurechnen ist.Beschwerdegegenständlich ist die Frage, ob die Beschwerdeführerin als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO gegen ihre Pflichten nach Artikel 5, Absatz eins, Litera f und Artikel 32, DSGVO verstoßen hat, sodass sie die mitbeteiligte Partei infolge des widerrechtlichen Abgriffes der Meldedaten durch einen Dritten (Hacker) in ihrem Recht auf Geheimhaltung verletzt hat. Zur Beantwortung dieser Frage ist wesentlich, ob die Verantwortlicheneigenschaft von der römisch 40 auf die römisch 40 übergegangen ist, ob die vorzunehmende Form der öffentlichen Bekanntmachung iSd Artikel 34, Absatz 3, Litera c, DSGVO erfüllt worden ist, ob die Verpflichtung der Benachrichtigung eines potenziell Betroffenen von einem Datensicherheitsvorfall besteht, ob die subjektive Präklusivfrist des Paragraph 24, Absatz 4, DSG mit der Kenntnis des beschwerenden Ereignisses oder auf die Kenntnis über die persönliche Betroffenheit zu laufen beginnt sowie ob der gegenständliche Verstoß des Auftragsverarbeiters gegen Artikel 32, DSGVO der Beschwerdeführerin zuzurechnen ist.
Diese Fragen sind wesentliche Gegenstände des beim Verwaltungsgerichtshof anhängigen außerordentlichen Revisionsverfahrens gegen das Erkenntnis vom 05.07.2024, Zl. W292 2284228-1/49E, 49E, sodass die Voraussetzungen für die Aussetzung des Verfahrens gemäß § 34 Abs. 3 VwGVG gegeben sind. Diese Fragen sind wesentliche Gegenstände des beim Verwaltungsgerichtshof anhängigen außerordentlichen Revisionsverfahrens gegen das Erkenntnis vom 05.07.2024, Zl. W292 2284228-1/49E, 49E, sodass die Voraussetzungen für die Aussetzung des Verfahrens gemäß Paragraph 34, Absatz 3, VwGVG gegeben sind.
Das Beschwerdeverfahren ist daher bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, auszusetzen.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten (vgl. VwGH 13.09.2017, Ra 2017/12/0068). Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des Paragraph 38, AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten vergleiche VwGH 13.09.2017, Ra 2017/12/0068).
Schlagworte
Auftragsverarbeiter außerordentliche Revision Aussetzung Datenschutz Datenschutzverfahren Frist Geheimhaltung Melderegister öffentliche Bekanntmachung Präklusion Verantwortlicher Verfahrensverbindung Vorfrage VwGHEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W605.2284187.1.00Im RIS seit
25.03.2026Zuletzt aktualisiert am
25.03.2026
