Entscheidungsdatum
22.08.2023Norm
AVG §38Spruch
,
W137 2244367-1/16E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde der XXXX , gegen den Bescheid der Datenschutzbehörde vom 28.05.2021, GZ. D124.3573 2021-0.084.376, zu Recht erkannt: Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde der römisch 40 , gegen den Bescheid der Datenschutzbehörde vom 28.05.2021, GZ. D124.3573 2021-0.084.376, zu Recht erkannt:
A)
Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen. Die Beschwerde wird gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
, ,
Text
Entscheidungsgründe:, Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Mit verfahrenseinleitender Eingabe vom 02.02.2021 erhob FrauXXXX (= beschwerdeführende Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung im Recht auf Einschränkung der Datenverarbeitung gemäß Art. 18 DSGVO und forderte die Erlassung eines Mandatsbescheides sowie die Aussetzung des Beschwerdeverfahrens durch die Datenschutzbehörde. Sie begründete ihre Datenschutzbeschwerde folgendermaßen: 1. Mit verfahrenseinleitender Eingabe vom 02.02.2021 erhob FrauXXXX (= beschwerdeführende Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung im Recht auf Einschränkung der Datenverarbeitung gemäß Artikel 18, DSGVO und forderte die Erlassung eines Mandatsbescheides sowie die Aussetzung des Beschwerdeverfahrens durch die Datenschutzbehörde. Sie begründete ihre Datenschutzbeschwerde folgendermaßen:
Die Beschwerdegegnerin betreibe eine App unter der Bezeichnung „ XXXX “, in welcher Lehrpersonal an österreichischen Schulen bewertet werden könne und habe, entgegen ihren eigenen Vorgaben, bereits auf Basis von zwei abgegebenen Bewertungen eine Durchschnittsbewertung über die Antragstellerin erstellt. Die Vorgabe, erst ab fünf abgegebenen Bewertungen eine Durchschnittsbewertung zu erstellen, diene dazu, die Rechte der betroffenen Lehrpersonen zu wahren. Insofern verstoße die Beschwerdegegnerin gegen die übergeordneten Grundsätze der Datenverarbeitung, insbesondere gegen Art. 5 Abs. 1 lit a DSGVO. Eine solche Verletzung mache die zugrundeliegende Datenverarbeitung rechtswidrig und erfülle die Voraussetzungen des Art. 18 DSGVO. Darüber hinaus sei zur vorübergehenden Sicherung der persönlichen Rechte der Antragstellerin ein Mandatsbescheid gemäß § 22 Abs. 4 dritter Satz bzw. hilfsweise erster Satz DSG zu erlassen. Die Aussetzung des Beschwerdeverfahrens hinsichtlich Art 18 DSGVO sei indiziert, da es sich bei der Frage der Rechtmäßigkeit der zugrundeliegenden Datenverarbeitung um eine Vorfrage für das gegenständliche Beschwerdeverfahren handle, welche bereits (bei der Datenschutzbehörde) in einem anderen Beschwerdeverfahren anhängig sei.Die Beschwerdegegnerin betreibe eine App unter der Bezeichnung „ römisch 40 “, in welcher Lehrpersonal an österreichischen Schulen bewertet werden könne und habe, entgegen ihren eigenen Vorgaben, bereits auf Basis von zwei abgegebenen Bewertungen eine Durchschnittsbewertung über die Antragstellerin erstellt. Die Vorgabe, erst ab fünf abgegebenen Bewertungen eine Durchschnittsbewertung zu erstellen, diene dazu, die Rechte der betroffenen Lehrpersonen zu wahren. Insofern verstoße die Beschwerdegegnerin gegen die übergeordneten Grundsätze der Datenverarbeitung, insbesondere gegen Artikel 5, Absatz eins, Litera a, DSGVO. Eine solche Verletzung mache die zugrundeliegende Datenverarbeitung rechtswidrig und erfülle die Voraussetzungen des Artikel 18, DSGVO. Darüber hinaus sei zur vorübergehenden Sicherung der persönlichen Rechte der Antragstellerin ein Mandatsbescheid gemäß Paragraph 22, Absatz 4, dritter Satz bzw. hilfsweise erster Satz DSG zu erlassen. Die Aussetzung des Beschwerdeverfahrens hinsichtlich Artikel 18, DSGVO sei indiziert, da es sich bei der Frage der Rechtmäßigkeit der zugrundeliegenden Datenverarbeitung um eine Vorfrage für das gegenständliche Beschwerdeverfahren handle, welche bereits (bei der Datenschutzbehörde) in einem anderen Beschwerdeverfahren anhängig sei.
Der Beschwerde waren insgesamt neun Beilagen über den Schriftverkehr der Antragstellerin und der Beschwerdegegnerin bzw. der anhängigen Verfahren hinsichtlich Art. 14, 15 DSGVO und § 1 Abs. 1 DSG angeschlossen.Der Beschwerde waren insgesamt neun Beilagen über den Schriftverkehr der Antragstellerin und der Beschwerdegegnerin bzw. der anhängigen Verfahren hinsichtlich Artikel 14, 15, DSGVO und Paragraph eins, Absatz eins, DSG angeschlossen.
2. Mit Antrag vom 17.12.2020 richtete die Antragstellerin ein Begehren auf Einschränkung der Datenverarbeitung an die Beschwerdegegnerin. In diesem Antrag führte sie soweit wesentlich aus, dass diese in einem der oben angeführten Verfahren zugestanden habe, dass die Verarbeitung entgegen der eigenen Vorgaben erfolge und es sich dabei um einen Programmierfehler handle. Damit sei der übergeordnete Verarbeitungsgrundsatz des Art. 5 Abs. 1 lit a DSGVO verletzt und die Beschwerdegegnerin verpflichtet die personenbezogenen Daten der Antragstellerin umgehend zu löschen. Dem widerspreche die Antragstellerin mit der Begründung, dass mit Blick auf die laufenden Verfahren, eine Löschung nicht begehrt werde, sondern bis zu deren Abschluss die Einschränkung der Datenverarbeitung zu veranlassen sei. Eine endgültige Löschung der personenbezogenen Daten dürfe erst nach Abschluss der laufenden Beschwerdeverfahren erfolgen.2. Mit Antrag vom 17.12.2020 richtete die Antragstellerin ein Begehren auf Einschränkung der Datenverarbeitung an die Beschwerdegegnerin. In diesem Antrag führte sie soweit wesentlich aus, dass diese in einem der oben angeführten Verfahren zugestanden habe, dass die Verarbeitung entgegen der eigenen Vorgaben erfolge und es sich dabei um einen Programmierfehler handle. Damit sei der übergeordnete Verarbeitungsgrundsatz des Artikel 5, Absatz eins, Litera a, DSGVO verletzt und die Beschwerdegegnerin verpflichtet die personenbezogenen Daten der Antragstellerin umgehend zu löschen. Dem widerspreche die Antragstellerin mit der Begründung, dass mit Blick auf die laufenden Verfahren, eine Löschung nicht begehrt werde, sondern bis zu deren Abschluss die Einschränkung der Datenverarbeitung zu veranlassen sei. Eine endgültige Löschung der personenbezogenen Daten dürfe erst nach Abschluss der laufenden Beschwerdeverfahren erfolgen.
3. Mit Antwortschreiben vom 15.01.2021 gab die Beschwerdegegnerin bekannt, dem Antrag auf Einschränkung der Verarbeitung nicht nachzukommen. Es sei nicht ersichtlich, dass durch den Programmierfehler eine Datenschutzverletzung vorliege. Selbst wenn ein Verstoß gegen einen Verarbeitungsgrundsatz vorliegen sollte, wäre dieser nicht geeignet die Datenverarbeitung an sich rechtswidrig erscheinen zu lassen. Die Voraussetzungen für die Einschränkung der Datenverarbeitung seien nicht gegeben.
4. Mit Bescheid vom 28.05.2021, GZ. D124.3573 2021-0.084.376, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 02.02.2021 bezüglich der Erlassung eines Mandatsbescheides ab (Spruchpunkt I) und setzte das Verfahren hinsichtlich der geltend gemachten Verletzung im Recht auf Einschränkung der Verarbeitung der personenbezogenen Daten der Antragstellerin bis zur rechtskräftigen Entscheidung der Vorfrage, betreffend eine behauptete Verletzung im Recht auf Geheimhaltung, aus (Spruchpunkt II).4. Mit Bescheid vom 28.05.2021, GZ. D124.3573 2021-0.084.376, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 02.02.2021 bezüglich der Erlassung eines Mandatsbescheides ab (Spruchpunkt römisch eins) und setzte das Verfahren hinsichtlich der geltend gemachten Verletzung im Recht auf Einschränkung der Verarbeitung der personenbezogenen Daten der Antragstellerin bis zur rechtskräftigen Entscheidung der Vorfrage, betreffend eine behauptete Verletzung im Recht auf Geheimhaltung, aus (Spruchpunkt römisch zwei).
Die Datenschutzbehörde folgerte in rechtlicher Hinsicht im Wesentlichen:
Zur Abweisung des Begehrens hinsichtlich der Erlassung eines Mandatsbescheides:
Die notwendige Voraussetzung einer wesentlichen unmittelbaren Gefährdung schutzwürdiger Geheimhaltungsinteressen der Antragstellerin gemäß § 22 Abs. 4 DSG iVm § 57 Abs. 1 AVG liege nicht vor und wurde durch diese auch nicht belegt. Da die Beschwerdegegnerin die Einschränkung der Verarbeitung mit Antwortschreiben vom 15.01.2021 abgelehnt habe und damit ihrer Verpflichtung gemäß Art. 12 Abs. 4 DSGVO nachgekommen sei, liege auch kein Fall des § 22 Abs. 4 dritter Satz DSG vor.Die notwendige Voraussetzung einer wesentlichen unmittelbaren Gefährdung schutzwürdiger Geheimhaltungsinteressen der Antragstellerin gemäß Paragraph 22, Absatz 4, DSG in Verbindung mit Paragraph 57, Absatz eins, AVG liege nicht vor und wurde durch diese auch nicht belegt. Da die Beschwerdegegnerin die Einschränkung der Verarbeitung mit Antwortschreiben vom 15.01.2021 abgelehnt habe und damit ihrer Verpflichtung gemäß Artikel 12, Absatz 4, DSGVO nachgekommen sei, liege auch kein Fall des Paragraph 22, Absatz 4, dritter Satz DSG vor.
Zur Aussetzung des Beschwerdeverfahrens hinsichtlich Art. 18 DSGVO:Zur Aussetzung des Beschwerdeverfahrens hinsichtlich Artikel 18, DSGVO:
Die Hauptfrage des anhängigen Beschwerdeverfahrens hinsichtlich § 1 Abs. 1 DSG, ob die Datenverarbeitungen der Beschwerdegegnerin den Vorgaben der DSGVO entsprechen, stelle eine Vorfrage für das gegenständliche Beschwerdeverfahren dar, stütze die Antragstellerin sich doch auf die unrechtmäßige Verarbeitung ihrer personenbezogenen Daten, welche Voraussetzung für den Tatbestand des Art. 18 Abs. 1 lit b DSGVO sei. Das Beschwerdeverfahren sei daher auszusetzen.Die Hauptfrage des anhängigen Beschwerdeverfahrens hinsichtlich Paragraph eins, Absatz eins, DSG, ob die Datenverarbeitungen der Beschwerdegegnerin den Vorgaben der DSGVO entsprechen, stelle eine Vorfrage für das gegenständliche Beschwerdeverfahren dar, stütze die Antragstellerin sich doch auf die unrechtmäßige Verarbeitung ihrer personenbezogenen Daten, welche Voraussetzung für den Tatbestand des Artikel 18, Absatz eins, Litera b, DSGVO sei. Das Beschwerdeverfahren sei daher auszusetzen.
5. In der vom 18.06.2021 gegen beide Spruchpunkte des Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:
Die belangte Behörde habe über § 22 Abs. 4 erster Satz DSG abgesprochen, welcher von der BF im gegenständlichen Verfahren jedoch nicht vorgebracht worden sei. Das Vorliegen von „Gefahr im Verzug“ sei keine Voraussetzung für die Erlassung eines Mandatsbescheides gemäß § 22 Abs. 4 dritter Satz DSG (wie von der Beschwerdeführerin gewünscht); die zu diesem Punkt von der belangten Behörde angeführte Begründung entbehre jeglicher Rechtsgrundlage. So stütze die belangte Behörde die Abweisung des Begehrens auf Erlassung eines Mandatsbescheides auf die Erfüllung der Verpflichtung des Art. 12 Abs. 4 DSGVO. Durch dieses Vorgehen raube die belangte Behörde dem § 22 Abs. 4 dritter Satz DSG jeden Anwendungsbereich und verhindere somit den vorübergehenden Rechtsschutz, welcher einer systematischen und teleologischen Interpretation dieser Bestimmung zu entnehmen sei.Die belangte Behörde habe über Paragraph 22, Absatz 4, erster Satz DSG abgesprochen, welcher von der BF im gegenständlichen Verfahren jedoch nicht vorgebracht worden sei. Das Vorliegen von „Gefahr im Verzug“ sei keine Voraussetzung für die Erlassung eines Mandatsbescheides gemäß Paragraph 22, Absatz 4, dritter Satz DSG (wie von der Beschwerdeführerin gewünscht); die zu diesem Punkt von der belangten Behörde angeführte Begründung entbehre jeglicher Rechtsgrundlage. So stütze die belangte Behörde die Abweisung des Begehrens auf Erlassung eines Mandatsbescheides auf die Erfüllung der Verpflichtung des Artikel 12, Absatz 4, DSGVO. Durch dieses Vorgehen raube die belangte Behörde dem Paragraph 22, Absatz 4, dritter Satz DSG jeden Anwendungsbereich und verhindere somit den vorübergehenden Rechtsschutz, welcher einer systematischen und teleologischen Interpretation dieser Bestimmung zu entnehmen sei.
Eine Aussetzung sei erst nach Erlassung eines Mandatsbescheides angeregt worden. Beantragt werde auch die Durchführung einer mündlichen Verhandlung.
6. Mit Stellungnahme der Datenschutzbehörde vom 06.07.2021 war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden. Dabei beantragte die belangte Behörde die Abweisung der Beschwerde und verwies vollinhaltlich auf den angefochtenen Bescheid.
7. Mit Eingabe vom 20.07.2023 teilte die BF mit, dass die beantragte mündliche Verhandlung aus ihrer Sicht nicht mehr erforderlich sei.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die mitbeteiligte Partei ( XXXX ) betreibt die gleichnamige App „ XXXX “, in welcher Lehrpersonal an österreichischen Schulen bewertet werden kann. Diese verwendet öffentlich zugängliche Daten über Lehrende und Bewertungen durch App-Nutzer. Mit Schreiben vom 15.01.2021 lehnte sie einen Antrag auf Einschränkung der Datenverarbeitung durch die Beschwerdeführerin ab.1.1. Die mitbeteiligte Partei ( römisch 40 ) betreibt die gleichnamige App „ römisch 40 “, in welcher Lehrpersonal an österreichischen Schulen bewertet werden kann. Diese verwendet öffentlich zugängliche Daten über Lehrende und Bewertungen durch App-Nutzer. Mit Schreiben vom 15.01.2021 lehnte sie einen Antrag auf Einschränkung der Datenverarbeitung durch die Beschwerdeführerin ab.
1.2. Die Beschwerdeführerin ist eine Lehrerin, welche an einer österreichischen Schule beschäftigt ist und einen Antrag auf Einschränkung der Verarbeitung ihrer personenbezogenen Daten an die mitbeteiligte Partei am 17.12.2020 übermittelte und gegen dessen Ablehnung am 02.02.2021 eine Beschwerde an die DSB erhob. Zum Zweck des vorläufigen Rechtsschutzes, beantragte die BF einen Mandatsbescheid gemäß § 22 Abs. 4 DSG.1.2. Die Beschwerdeführerin ist eine Lehrerin, welche an einer österreichischen Schule beschäftigt ist und einen Antrag auf Einschränkung der Verarbeitung ihrer personenbezogenen Daten an die mitbeteiligte Partei am 17.12.2020 übermittelte und gegen dessen Ablehnung am 02.02.2021 eine Beschwerde an die DSB erhob. Zum Zweck des vorläufigen Rechtsschutzes, beantragte die BF einen Mandatsbescheid gemäß Paragraph 22, Absatz 4, DSG.
1.3. Mit der Wortfolge: „So sehen die Bestimmungen in § 22 Abs. 4 DSG erster und zweiter Satz (…). Ob die Voraussetzungen dieser Bestimmungen im gegenständlichen Fall vorliegen, kann von der Beschwerdeführerin nicht abschließend beurteilt werden (…). Es liegen nämlich jedenfalls die Voraussetzung des § 22 Abs. 4 dritter Satz DSG vor (…).“stützt sich die BF (in ihrer Datenschutzbeschwerde) erkennbar auf beide Varianten des § 22 Abs. 4 DSG. 1.3. Mit der Wortfolge: „So sehen die Bestimmungen in Paragraph 22, Absatz 4, DSG erster und zweiter Satz (…). Ob die Voraussetzungen dieser Bestimmungen im gegenständlichen Fall vorliegen, kann von der Beschwerdeführerin nicht abschließend beurteilt werden (…). Es liegen nämlich jedenfalls die Voraussetzung des Paragraph 22, Absatz 4, dritter Satz DSG vor (…).“stützt sich die BF (in ihrer Datenschutzbeschwerde) erkennbar auf beide Varianten des Paragraph 22, Absatz 4, DSG.
1.4. Zwischen der BF und der mitbeteiligten Partei sind weitere Verfahren zum selben Themenkomplex hinsichtlich Art. 14 und 15 DSGVO sowie § 1 Abs. 1 DSG anhängig.1.4. Zwischen der BF und der mitbeteiligten Partei sind weitere Verfahren zum selben Themenkomplex hinsichtlich Artikel 14 und 15 DSGVO sowie Paragraph eins, Absatz eins, DSG anhängig.
1.5. Die belangte Behörde setzte das Verfahren hinsichtlich einer Verletzung der Beschwerdeführerin in ihren Betroffenenrechten gemäß Art. 18 DSGVO, bis zur rechtskräftigen Entscheidung der Vorfrage, betreffend eine behauptete Verletzung im Recht auf Geheimhaltung, in einem ebenfalls bei der DSB anhängigen Beschwerdeverfahren, aus.1.5. Die belangte Behörde setzte das Verfahren hinsichtlich einer Verletzung der Beschwerdeführerin in ihren Betroffenenrechten gemäß Artikel 18, DSGVO, bis zur rechtskräftigen Entscheidung der Vorfrage, betreffend eine behauptete Verletzung im Recht auf Geheimhaltung, in einem ebenfalls bei der DSB anhängigen Beschwerdeverfahren, aus.
1.6. Die mitbeteiligte Partei hat bereits während des erstinstanzlichen Verfahrens – mit Stellungnahme vom 17.12.2020 - die beanstandete (zu frühe) Veröffentlichung einer Bewertung aufgrund eines Programmierungsfehlers eingestanden und eine Sanierung/Fehlerbehebung angekündigt. In der nunmehr verfahrensgegenständlichen Beschwerde wird nicht dargelegt, dass dieser Programmierungsfehler noch bestehen würde.
2. Beweiswürdigung:
Die getroffenen Feststellungen ergeben sich aus dem vorgelegten Verwaltungs- und dem beim BVwG geführten Gerichtsakt. Es bestehen von Seiten des Bundesverwaltungsgerichts keine Bedenken an der Richtigkeit der darin aufliegenden Schreiben und wurde dies im Übrigen auch von keiner Partei behauptet.
Eine noch bestehende fehlerhafte Programmierung hinsichtlich der Veröffentlichungsschwelle wurde weder in der Beschwerde noch im laufenden Verfahren behauptet.
3. Rechtliche Beurteilung:
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß
§ 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.Gemäß Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß , Paragraph 24, Absatz 7, leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.2. Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Paragraph 28, Absatz eins, VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.3. Zu A)
3.3.1. Die maßgeblichen Bestimmungen der DSGVO lauten auszugsweise:
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:,
a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) (…)
(3) (…)
(4) (…)
Artikel 18
Recht auf Einschränkung der Verarbeitung
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,
b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;
c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder
d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.
(2) Wurde die Verarbeitung gemäß Absatz 1 eingeschränkt, so dürfen diese personenbezogenen Daten — von ihrer Speicherung abgesehen — nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.
(3) Eine betroffene Person, die eine Einschränkung der Verarbeitung gemäß Absatz 1 erwirkt hat, wird von dem Verantwortlichen unterrichtet, bevor die Einschränkung aufgehoben wird.
3.3.2. Die maßgebliche Bestimmung des DSG lautet auszugsweise:
§ 22Paragraph 22
Befugnisse
[…]
(4) Liegt durch den Betrieb einer Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Personen (Gefahr im
Verzug) vor, so kann die Datenschutzbehörde die Weiterführung der Datenverarbeitung mit Bescheid gemäß § 57 Abs. 1 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl. Nr. 51/1991, untersagen. Wenn dies technisch möglich, im Hinblick auf den Zweck der Datenverarbeitung sinnvoll und zur Beseitigung der Gefährdung ausreichend scheint, kann dieVerzug) vor, so kann die Datenschutzbehörde die Weiterführung der Datenverarbeitung mit Bescheid gemäß Paragraph 57, Absatz eins, des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, Bundesgesetzblatt Nr. 51 aus 1991,, untersagen. Wenn dies technisch möglich, im Hinblick auf den Zweck der Datenverarbeitung sinnvoll und zur Beseitigung der Gefährdung ausreichend scheint, kann die
Weiterführung auch nur teilweise untersagt werden. Ebenso kann die Datenschutzbehörde auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Art. 18 DSGVO mit Bescheid gemäß § 57 Abs. 1 AVG anordnen, wenn der Verantwortliche einer diesbezüglichen Verpflichtung nicht fristgerecht nachkommt. Wird einer Untersagung nicht unverzüglich Folge geleistet, hat die Datenschutzbehörde nach Art. 83 Abs. 5 DSGVO vorzugehen.Weiterführung auch nur teilweise untersagt werden. Ebenso kann die Datenschutzbehörde auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Artikel 18, DSGVO mit Bescheid gemäß Paragraph 57, Absatz eins, AVG anordnen, wenn der Verantwortliche einer diesbezüglichen Verpflichtung nicht fristgerecht nachkommt. Wird einer Untersagung nicht unverzüglich Folge geleistet, hat die Datenschutzbehörde nach Artikel 83, Absatz 5, DSGVO vorzugehen.
[…]
3.3.3. Die maßgeblichen Bestimmungen des AVG lauten auszugsweise:
§ 38.Paragraph 38,
Allgemeine Grundsätze
Sofern die Gesetze nicht anderes bestimmen, ist die Behörde berechtigt, im Ermittlungsverfahren auftauchende Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, nach der über die maßgebenden Verhältnisse gewonnenen eigenen Anschauung zu beurteilen und diese Beurteilung ihrem Bescheid zugrunde zu legen. Sie kann aber auch das Verfahren bis zur rechtskräftigen Entscheidung der Vorfrage aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei der zuständigen Verwaltungsbehörde bzw. beim zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird
§ 57Paragraph 57
Erlassung von Bescheiden
(1) Wenn es sich um die Vorschreibung von Geldleistungen nach einem gesetzlich, statutarisch oder tarifmäßig feststehenden Maßstab oder bei Gefahr im Verzug um unaufschiebbare Maßnahmen handelt, ist die Behörde berechtigt, einen Bescheid auch ohne
vorausgegangenes Ermittlungsverfahren zu erlassen.
(2) Gegen einen nach Abs. 1 erlassenen Bescheid kann bei der Behörde, die den Bescheid erlassen hat, binnen zwei Wochen Vorstellung erhoben werden. Die Vorstellung hat nur dann aufschiebende Wirkung, wenn sie gegen die Vorschreibung einer Geldleistung gerichtet ist.(2) Gegen einen nach Absatz eins, erlassenen Bescheid kann bei der Behörde, die den Bescheid erlassen hat, binnen zwei Wochen Vorstellung erhoben werden. Die Vorstellung hat nur dann aufschiebende Wirkung, wenn sie gegen die Vorschreibung einer Geldleistung gerichtet ist.
(3) Die Behörde hat binnen zwei Wochen nach Einlangen der Vorstellung das Ermittlungsverfahren einzuleiten, widrigenfalls der angefochtene Bescheid von Gesetzes wegen außer Kraft tritt. Auf Verlangen der Partei ist das Außerkrafttreten des Bescheides
schriftlich zu bestätigen.
3.3.4. Die maßgebliche Bestimmung des B-VG lautet auszugsweise:
Art. 130 B-VGArtikel 130, B-VG
(Verfassungsbestimmung)
[…]
(3) Außer in Verwaltungsstrafsachen und in den zur Zuständigkeit des Verwaltungsgerichtes des Bundes für Finanzen gehörenden Rechtssachen liegt Rechtswidrigkeit nicht vor, soweit das Gesetz der Verwaltungsbehörde Ermessen einräumt und sie dieses im Sinne des Gesetzes geübt hat.
[…]
3.3.5. Zu Spruchpunkt I. des bekämpften Bescheides ist festzuhalten, dass die BF in ihrer Datenschutzbeschwerde vom 02.02.2021 den begehrten Mandatsbescheid auf beide Varianten des § 22 Abs. 4 DSG stützte, wie der oben getroffenen Feststellung zu entnehmen ist. Aus der getroffenen Wortwahl ergibt sich eindeutig, dass das Begehren der Mandatsbescheiderlassung, wenn auch nicht primär, auch auf den ersten Satz des § 22 Abs. 4 DSG gestützt wird. Vor diesem Hintergrund und der folgenden weiteren rechtlichen Beurteilung, hat die belangte Behörde zu Recht eine Beurteilung dahingehend durchgeführt, ob eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Personen vorliegt.3.3.5. Zu Spruchpunkt römisch eins. des bekämpften Bescheides ist festzuhalten, dass die BF in ihrer Datenschutzbeschwerde vom 02.02.2021 den begehrten Mandatsbescheid auf beide Varianten des Paragraph 22, Absatz 4, DSG stützte, wie der oben getroffenen Feststellung zu entnehmen ist. Aus der getroffenen Wortwahl ergibt sich eindeutig, dass das Begehren der Mandatsbescheiderlassung, wenn auch nicht primär, auch auf den ersten Satz des Paragraph 22, Absatz 4, DSG gestützt wird. Vor diesem Hintergrund und der folgenden weiteren rechtlichen Beurteilung, hat die belangte Behörde zu Recht eine Beurteilung dahingehend durchgeführt, ob eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Personen vorliegt.
§ 22 Abs. 4 DSG räumt der belangten Behörde bei Gefahr im Verzug die Möglichkeit ein, von Amts wegen eine Datenverarbeitung (teilweise) zu untersagen oder auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Art 18 DSGVO anzuordnen. Paragraph 22, Absatz 4, DSG räumt der belangten Behörde bei Gefahr im Verzug die Möglichkeit ein, von Amts wegen eine Datenverarbeitung (teilweise) zu untersagen oder auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Artikel 18, DSGVO anzuordnen.
Schon der Verweis auf § 57 Abs. 1 AVG stellt hinreichend klar, dass es sich bei § 22 Abs. 4 DSG insgesamt um ein abgekürztes (Mandats)Verfahren handelt, welches (ohne vorausgehendes Ermittlungsverfahren) sofortigen Rechtsschutz bei besonders gefährlichen Datenverarbeitungen bieten soll. Maßnahmen, die losgelöst von einer akuten Gefahrensituation auf längere Sicht gerichtet wären, sind durch Abs. 4 nicht gedeckt (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 22 Rz 4 und 7 (Stand 1.2.2022, rdb.at)).Schon der Verweis auf Paragraph 57, Absatz eins, AVG stellt hinreichend klar, dass es sich bei Paragraph 22, Absatz 4, DSG insgesamt um ein abgekürztes (Mandats)Verfahren handelt, welches (ohne vorausgehendes Ermittlungsverfahren) sofortigen Rechtsschutz bei besonders gefährlichen Datenverarbeitungen bieten soll. Maßnahmen, die losgelöst von einer akuten Gefahrensituation auf längere Sicht gerichtet wären, sind durch Absatz 4, nicht gedeckt vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 22, Rz 4 und 7 (Stand 1.2.2022, rdb.at)).
3.3.6. Der Mandatsbescheid nach § 22 Abs 4 DSG dient einem sofortigen Verbot einer besonders gefährlichen Datenverarbeitung iS einer Einstweiligen Verfügung. Es wurde eine wirksame Sofortsanktionsmaßnahme bei besonders schweren Verstößen geschaffen und gleichzeitig die Rechtsposition der Teilnehmer gestärkt. Die Feststellungsbefugnis nach § 22 Abs 6 soll einen Missbrauch durch datenschutzrechtliche Abmahnverbände verhindern. Im Ergebnis bezweckt die Vorschrift insgesamt einen effektiven Schutz von Betroffeneninteressen. Gemäß Abs 4 kann die Datenschutzbehörde, sofern durch den Betrieb einer Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Person (Gefahr in Verzug) vorliegt, die Weiterführung der Datenverarbeitung mit Bescheid gemäß § 57 Abs 1 AVG untersagen. 3.3.6. Der Mandatsbescheid nach Paragraph 22, Absatz 4, DSG dient einem sofortigen Verbot einer besonders gefährlichen Datenverarbeitung iS einer Einstweiligen Verfügung. Es wurde eine wirksame Sofortsanktionsmaßnahme bei besonders schweren Verstößen geschaffen und gleichzeitig die Rechtsposition der Teilnehmer gestärkt. Die Feststellungsbefugnis nach Paragraph 22, Absatz 6, soll einen Missbrauch durch datenschutzrechtliche Abmahnverbände verhindern. Im Ergebnis bezweckt die Vorschrift insgesamt einen effektiven Schutz von Betroffeneninteressen. Gemäß Absatz 4, kann die Datenschutzbehörde, sofern durch den Betrieb einer Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Person (Gefahr in Verzug) vorliegt, die Weiterführung der Datenverarbeitung mit Bescheid gemäß Paragraph 57, Absatz eins, AVG untersagen.
Abs 4 erfordert zunächst eine materielle Rechtswidrigkeit der Datenverarbeitung. Für deren Vorliegen genügt aber ein begründeter Verdacht einer Datenschutzverletzung. Es müssen also tatsächliche Anhaltspunkte die Annahme der Wahrscheinlichkeit rechtfertigen, dass Bestimmungen des Datenschutzrechts verletzt wurden und dies rational nachvollziehbar dargelegt werden kann (vgl VwGH 21.3.2012, 2012/16/0005 zur Zulässigkeit einer finanzbehördlichen Hausdurchsuchung). Dieser Verdacht kann etwa durch eine unzulässige Bildverarbeitung entgegen § 12 begründet sein (vgl DSB 22.8.2014, DSB-D215.463/0006-DSB/2014 [Videoüberwachung im Wohnungseingangsbereich]). Nach der bisherigen Spruchpraxis muss es sich um einen begründeten Verdacht handeln. Dieser liegt vor, wenn die Verletzung zumindest (medial) öffentlich geworden ist (vgl DSK 15.3.2010, K213.051/0004-DSK/2011 [Google Street View I]). Dass eine wesentliche Gefährdung schutzwürdiger Geheimhaltungsinteressen vorliegt, ergibt sich idR aus einer Zusammenschau (bescheinigte oder amtsbekannte) Tatsachen im Einzelfall.Absatz 4, erfordert zunächst eine materielle Rechtswidrigkeit der Datenverarbeitung. Für deren Vorliegen genügt aber ein begründeter Verdacht einer Datenschutzverletzung. Es müssen also tatsächliche Anhaltspunkte die Annahme der Wahrscheinlichkeit rechtfertigen, dass Bestimmungen des Datenschutzrechts verletzt wurden und dies rational nachvollziehbar dargelegt werden kann vergleiche VwGH 21.3.2012, 2012/16/0005 zur Zulässigkeit einer finanzbehördlichen Hausdurchsuchung). Dieser Verdacht kann etwa durch eine unzulässige Bildverarbeitung entgegen Paragraph 12, begründet sein vergleiche DSB 22.8.2014, DSB-D215.463/0006-DSB/2014 [Videoüberwachung im Wohnungseingangsbereich]). Nach der bisherigen Spruchpraxis muss es sich um einen begründeten Verdacht handeln. Dieser liegt vor, wenn die Verletzung zumindest (medial) öffentlich geworden ist vergleiche DSK 15.3.2010, K213.051/0004-DSK/2011 [Google Street View I]). Dass eine wesentliche Gefährdung schutzwürdiger Geheimhaltungsinteressen vorliegt, ergibt sich idR aus einer Zusammenschau (bescheinigte oder amtsbekannte) Tatsachen im Einzelfall.
Liegt durch den Betrieb dieser Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen, dh »Gefahr im Verzug« vor, kann die DSB die Weiterführung zur Gänze oder teilweise bescheidmäßig untersagen. Für die Zulässigkeit behördlicher Untersagungsmaßnahmen fordert das Gesetz eine inhaltliche Beschränkung, nämlich auf die unmittelbare Gefahrenabwehr. Maßnahmen, die losgelöst von einer akuten Gefahrensituation – etwa auf die Verbesserung von Sicherheitsmaßnahmen der Datenverarbeitung – auf längere Sicht gerichtet wären, sind durch Abs 4 nicht gedeckt. Es müsste also ohne den sofortigen Stopp der Verarbeitung der Schutz der dadurch Betroffenen vereitelt werden können. Es genügt, wenn in der Zeit von der behördlichen Ermittlung bis zu deren Entscheidung mit einer Gefährdung schutzwürdiger Geheimhaltungsinteressen oder sogar einem Schaden an der Privatsphäre der Betroffenen zu rechnen ist (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 22 RZ 7, 15 und 17 (Stand 1.2.2022, rdb.at)).Liegt durch den Betrieb dieser Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen, dh »Gefahr im Verzug« vor, kann die DSB die Weiterführung zur Gänze oder teilweise bescheidmäßig untersagen. Für die Zulässigkeit behördlicher Untersagungsmaßnahmen fordert das Gesetz eine inhaltliche Beschränkung, nämlich auf die unmittelbare Gefahrenabwehr. Maßnahmen, die losgelöst von einer akuten Gefahrensituation – etwa auf die Verbesserung von Sicherheitsmaßnahmen der Datenverarbeitung – auf längere Sicht gerichtet wären, sind durch Absatz 4, nicht gedeckt. Es müsste also ohne den sofortigen Stopp der Verarbeitung der Schutz der dadurch Betroffenen vereitelt werden können. Es genügt, wenn in der Zeit von der behördlichen Ermittlung bis zu deren Entscheidung mit einer Gefährdung schutzwürdiger Geheimhaltungsinteressen oder sogar einem Schaden an der Privatsphäre der Betroffenen zu rechnen ist vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph 22, RZ 7, 15 und 17 (Stand 1.2.2022, rdb.at)).
Macht der Beschwerdeführer im Rahmen einer Beschwerde eine wesentliche Beeinträchtigung seiner schutzwürdigen Geheimhaltungsinteressen durch die Verarbeitung seiner personenbezogenen Daten glaubhaft, so kann die Datenschutzbehörde gem. § 25 iVm § 22 Abs 4 DSG bei Gefahr in Verzug einen Mandatsbescheid erlassen und die Fortführung der Datenverarbeitung mit Bescheid gem § 57 Abs 1 AVG – teilweise – untersagen. Gefahr in Verzug liegt vor, wenn eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen vorliegt, die Gefahrensituation muss durch den Verantwortlichen, gegen den sich die Beschwerde richtet, verursacht werden. So untersagte die Datenschutzbehörde beispielsweise einem Arzt die Offenlegung personenbezogener Gesundheits- und Patientendaten auf der persönlichen Facebook-Seite sowie auf dem offiziellen Facebook-Auftritt der Ärztekammer für Wien sowie sonstigen öffentlichen Facebook-Gruppen/Seiten und Social-Media-Plattformen mit sofortiger Wirkung. Der Arzt hatte ausgewählten Ausschnitte aus Patientenbriefen, Befunden oder sonstigen ärztliche Aufzeichnungen/Protokollen gepostet, um öffentlich Kritik zu üben. Die Veröffentlichung von Patienten- und Gesundheitsdaten stellt einen schwerwiegenden Eingriff in das Grundrecht auf Datenschutz der Betroffenen gem § 1 DSG dar, eine Rechtsgrundlage für die Veröffentlichung war nicht ersichtlich (Datenschutzbehörde vom 30.03.2020, DSB-D213.1042 – 2020-0.0.203.677; vgl. Ghali Yvonne, Recht auf Beschwerde an die Datenschutzbehörde in WEKA Datenschutzrecht (abrufbar unter: https://www.weka.at/datenschutzrecht/#1585420)).Macht der Beschwerdeführer im Rahmen einer Beschwerde eine wesentliche Beeinträchtigung seiner schutzwürdigen Geheimhaltungsinteressen durch die Verarbeitung seiner personenbezogenen Daten glaubhaft, so kann die Datenschutzbehörde gem. Paragraph 25, in Verbindung mit Paragraph 22, Absatz 4, DSG bei Gefahr in Verzug einen Mandatsbescheid erlassen und die Fortführung der Datenverarbeitung mit Bescheid gem Paragraph 57, Absatz eins, AVG – teilweise – untersagen. Gefahr in Verzug liegt vor, wenn eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen vorliegt, die Gefahrensituation muss durch den Verantwortlichen, gegen den sich die Beschwerde richtet, verursacht werden. So untersagte die Datenschutzbehörde beispielsweise einem Arzt die Offenlegung personenbezogener Gesundheits- und Patientendaten auf der persönlichen Facebook-Seite sowie auf dem offiziellen Facebook-Auftritt der Ärztekammer für Wien sowie sonstigen öffentlichen Facebook-Gruppen/Seiten und Social-Media-Plattformen mit sofortiger Wirkung. Der Arzt hatte ausgewählten Ausschnitte aus Patientenbriefen, Befunden oder sonstigen ärztliche Aufzeichnungen/Protokollen gepostet, um öffentlich Kritik zu üben. Die Veröffentlichung von Patienten- und Gesundheitsdaten stellt einen schwerwiegenden Eingriff in das Grundrecht auf Datenschutz der Betroffenen gem Paragraph eins, DSG dar, eine Rechtsgrundlage für die Veröffentlichung war nicht ersichtlich (Datenschutzbehörde vom 30.03.2020, DSB-D213.1042 – 2020-0.0.203.677; vergleiche Ghali Yvonne, Recht auf Beschwerde an die Datenschutzbehörde in WEKA Datenschutzrecht (abrufbar unter: https://www.weka.at/datenschutzrecht/#1585420)).
Der Ansicht der Beschwerdeführerin, dass § 22 Abs. 4 dritter Satz DSG keine Gefahr im Verzug voraussetze, kann demnach nicht gefolgt werden. Eine entsprechende Trennung wird in der Literatur in diesem Zusammenhang nicht vertreten. Der Ansicht der Beschwerdeführerin, dass Paragraph 22, Absatz 4, dritter Satz DSG keine Gefahr im Verzug voraussetze, kann demnach nicht gefolgt werden. Eine entsprechende Trennung wird in der Literatur in diesem Zusammenhang nicht vertreten.
Die von der Beschwerdeführerin nicht eindeutig behauptete, aber in ihren Beschwerden zumindest angedeutete, Gefahr im Verzug wurde durch diese nicht belegt. Vielmehr hat sie diese in der gegenständlichen Beschwerde als nicht erforderliches Kriterium angesehen. Sonstige Anhaltspunkte, die eine unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der Beschwerdeführerin und damit eine unaufschiebbare Maßnahme nach einem der Tatbestände des § 22 Abs. 4 DSG gerechtfertigt hätten, sind im Übrigen nicht ersichtlich (siehe dazu erneut Thiele a.a.O., § 22 Rn 20, wonach das Vorliegen von Gefahr im Verzug durch Tatsachen begründet werden muss). Die von der Beschwerdeführerin nicht eindeutig behauptete, aber in ihren Beschwerden zumindest angedeutete, Gefahr im Verzug wurde durch diese nicht belegt. Vielmehr hat sie diese in der gegenständlichen Beschwerde als nicht erforderliches Kriterium angesehen. Sonstige Anhaltspunkte, die eine unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der Beschwerdeführerin und damit eine unaufschiebbare Maßnahme nach einem der Tatbestände des Paragraph 22, Absatz 4, DSG gerechtfertigt hätten, sind im Übrigen nicht ersichtlich (siehe dazu erneut Thiele a.a.O., Paragraph 22, Rn 20, wonach das Vorliegen von Gefahr im Verzug durch Tatsachen begründet werden muss).
Im vorliegenden Fall hat die BF die Einschränkung der Verarbeitung ihrer personenbezogenen Daten in der von der mitbeteiligten Partei betriebenen App „ XXXX “ nach § 22 Abs. 4 DSG iVm § 57 Abs. 1 AVG im Wesentlichen mit der Begründung beantragt, die Verarbeitung ihrer Daten sei rechtswidrig, da durch die, entgegen der eigenen Vorgaben des Verantwortlichen, veranlasste Durchschnittsbewertung (hier: zwei Bewertungen anstelle von fünf Bewertungen wurden als Durchschnitt herangezogen), auch ein Verstoß gegen den Verarbeitungsgrundsatz des Art. 5 Abs. 1 lit a DSGVO vorliege und die Bewertung einer breiten Öffentlichkeit (jedem App-Nutzer) zugänglich sei. Ein solcher Verstoß gegen eigene Vorgaben, die bei vergleichbaren – legalen – Plattformen nicht immer vorliegen und auch gesetzlich nicht vorgeschrieben sind, stellt nach Ansicht des Senats im vorliegenden Fall jedoch keine Gefahr im Verzug im Sinne einer wesentlichen Gefährdung schutzwürdiger Interessen dar. Dies nicht zuletzt, weil ist die einschlägige Datenverarbeitung bereits höchstgerichtlich (durch den OGH) als zulässig eingestuft worden. Im vorliegenden Fall hat die BF die Einschränkung der Verarbeitung ihrer personenbezogenen Daten in der von der mitbeteiligten Partei betriebenen App „ römisch 40 “ nach Paragraph 22, Absatz 4, DSG in Verbindung mit Paragraph 57, Absatz eins, AVG im Wesentlichen mit der Begründung beantragt, die Verarbeitung ihrer Daten sei rechtswidrig, da durch die, entgegen der eigenen Vorgaben des Verantwortlichen, veranlasste Durchschnittsbewertung (hier: zwei Bewertungen anstelle von fünf Bewertungen wurden als Durchschnitt herangezogen), auch ein Verstoß gegen den Verarbeitungsgrundsatz des Artikel 5, Absatz eins, Litera a, DSGVO vorliege und die Bewertung einer breiten Öffentlichkeit (jedem App-Nutzer) zugänglich sei. Ein solcher Verstoß gegen eigene Vorgaben, die bei vergleichbaren – legalen – Plattformen nicht immer vorliegen und auch gesetzlich nicht vorgeschrieben sind, stellt nach Ansicht des Senats im vorliegenden Fall jedoch keine Gefahr im Verzug im Sinne einer wesentlichen Gefährdung schutzwürdiger Interessen dar. Dies nicht zuletzt, weil ist die einschlägige Datenverarbeitung bereits höchstgerichtlich (durch den OGH) als zulässig eingestuft worden.
Schließlich wurde auch in der Beschwerde und im Beschwerdeverfahren gar nicht mehr konkret behauptet, dass der relevante Programmierfehler und/oder somit eine Veröffentlichung der Bewertung der Beschwerdeführerin vor Erreichen der Schwelle von 5 Bewertungen noch vorliegt.
Da somit schon mangels Gefahr im Verzug kein Anlass für einen Mandatsbescheid nach § 22 Abs. 4 DSG iVm § 57 Abs. 1 AVG bestand, wurde der diesbezügliche Antrag der Beschwerdeführerin von der belangten Behörde zu Recht abgewiesen.Da somit schon mangels Gefahr im Verzug kein Anlass für einen Mandatsbescheid nach Paragraph 22, Absatz 4, DSG in Verbindung mit Paragraph 57, Absatz eins, AVG bestand, wurde der diesbezügliche Antrag der Beschwerdeführerin von der belangten Behörde zu Recht abgewiesen.
3.3.6. Selbst wenn man davon ausgehen würde, dass Gefahr im Verzug in der gegenständlichen Konstellation keine Voraussetzung für den dritten Satz des § 22 Abs. 4 (dritter Satz) DSG wäre oder man die Schwelle für die Annahme einer (möglichen) wesentlichen Gefährdung vergleichsweise niedrig ansetzen würde, sieht § 57 Abs. 1 AVG aber jedenfalls eine Ermessensentscheidung vor. Danach hat sie bei ihrer Entscheidung3.3.6. Selbst wenn man davon ausgehen würde, dass Gefahr im Verzug in der gegenständlichen Konstellation keine Voraussetzung für den dritten Satz des Paragraph 22, Absatz 4, (dritter Satz) DSG wäre oder man die Schwelle für die Annahme einer (möglichen) wesentlichen Gefährdung vergleichsweise niedrig ansetzen würde, sieht Paragraph 57, Absatz eins, AVG aber jedenfalls eine Ermessensentscheidung vor. Danach hat sie bei ihrer Entscheidung
a. die Wahrscheinlichkeit und das Ausmaß (die Imminenz und Schwere) des drohenden Schadens sowie
b. die Dringlichkeit einer Abwehrmaßnahme und
c. die voraussichtliche Dauer des Ermittlungsverfahrens und
d. dessen Vorteile
zu veranschlagen (vgl Hengstschläger/Leeb6 Rz 427; Kolonovits/Muzak/Stöger11 Rz 580; Schulev-Steindl6 Rz 233).zu veranschlagen vergleiche Hengstschläger/Leeb6 Rz 427; Kolonovits/Muzak/Stöger11 Rz 580; Schulev-Steindl6 Rz 233).
Der OGH hat freilich bereits die grundsätzliche Zulässigkeit der App “ XXXX “, des Verarbeitungstatbestandes und der Erhebungsart der verwendeten Daten festgestellt (OGH vom 02.02.2022, 6 Ob 129/21w; siehe auch das Erkenntnis des BVwG vom 20.10.2021 (W252 2236355-1/4E).Der OGH hat freilich bereits die grundsätzliche Zulässigkeit der App “ römisch 40 “, des Verarbeitungstatbestandes und der Erhebungsart der verwendeten Daten festgestellt (OGH vom 02.02.2022, 6 Ob 129/21w; siehe auch das Erkenntnis des BVwG vom 20.10.2021 (W252 2236355-1/4E).
Vor diesem Hintergrund und angesichts der Struktur der verwendeten individuellen Daten – die durchgehend öffentlich abrufbar sind und sich im Kern ausschließlich auf die berufliche Tätigkeit als Lehrerin beziehen – würde eine entsprechende Ermessensentscheidung seitens der Bundesverwaltungsgerichts zum selben Ergebnis, nämlich einer Abweisung der Beschwerde führen. Dies insbesondere auch, weil eine Kommentierung der Bewertung nicht möglich ist und auch keine Kontaktdaten verarbeitet werden.
3.3.7. Den zweiten Spruchpunkt bekämpft die Beschwerdeführerin im Wesentlichen mit dem Argument, dass eine Aussetzung nur in Verbindung mit der beziehungsweise nach der Erlassung eines Mandatsbescheides begehrt – und in diesem Zusammenhang auch nur angeregt worden war. Dabei übersieht die BF, dass eine Aussetzung nur angeregt werden kann und diese im freien (Auswahl)ermessen der belangten Behörde liegt.
Darüber hinaus ist es unerheblich, ob eine Partei die Anregung lediglich unter einer bestimmten Voraussetzung – hier: der vorherigen Erlassung eines Mandatsbescheides – angeregt hat. Eine solche bedingte Anregung ist weder gesetzlich vorgesehen, noch wäre sie für die Behörde in irgendeiner Form bindend.
3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.4. Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Die Beschwerdeführerin stellte in ihrer Beschwerde einen Antrag auf Durchführung einer mündlichen Verhandlung, welchen sie jedoch nachträglich mit Eingabe vom 20.07.2023 zurückzog.
Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung zudem darauf gestützt werden, dass der Sachverhalt aus der Aktenlage unstrittig feststeht. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung zudem darauf gestützt werden, dass der Sachverhalt aus der Aktenlage unstrittig feststeht. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).
Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 4 VwGVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war folglich gemäß Paragraph 24, Absatz 4, VwGVG abzusehen.
Zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Es war daher durch Senat spruchgemäß zu entscheiden.
Schlagworte
Aussetzung Bewertung Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Einschränkung Ermessen Gefahr im Verzug Geheimhaltungsinteresse Lehrer Mandatsbescheid personenbezogene Daten SchuleEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2023:W137.2244367.1.00Im RIS seit
28.09.2023Zuletzt aktualisiert am
28.09.2023
