DSB zuständig für Datenschutzbeschwerden gegen Gesetzgebungsorgane

Der Verwaltungsgerichtshof (VwGH) wies eine Amtsrevision der Datenschutzbehörde (DSB) gegen ein Erkenntnis des Bundesverwaltungsgerichts (BVwG) ab und bestätigte die Zuständigkeit der DSB für Datenschutzbeschwerden auch gegen Organe der Gesetzgebung, wie Untersuchungsausschüsse (UsA) des Nationalrates. Dem ging ein Vorabentscheidungsersuchen des VwGH an den Gerichtshof der Europäischen Union (EuGH) voraus, das der EuGH am 16. Jänner 2024 dahingehend entschieden hat, dass parlamentarische UsA grundsätzlich vom Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) erfasst sind. Da im Fall Österreichs zudem die DSB als einzige nationale Aufsichtsbehörde eingerichtet ist, erstreckt sich deren Zuständigkeit auf Grund des Anwendungsvorrangs des Unionsrechts unmittelbar auch auf den Bereich der Staatsfunktion Gesetzgebung, und zwar ungeachtet des Gewaltenteilungsgrundsatzes im österreichischen Verfassungsrecht.

Ausgangspunkt des Verfahrens war, dass im September 2018 im UsA über die politische Einflussnahme auf das (damalige) Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT-UsA) eine Auskunftsperson medienöffentlich befragt worden war. Das wörtliche Protokoll dieser Befragung war auf der Parlamentswebsite veröffentlicht worden, wobei auch der Name der Auskunftsperson vollständig genannt worden war.

Dagegen erhob die Auskunftsperson eine Datenschutzbeschwerde "gegen das Österreichische Parlament, Untersuchungsausschuss des Nationalrates" bei der DSB, weil sie sich durch die Veröffentlichung des Befragungsprotokolls unter vollständiger Nennung ihres Namens in ihrem Grundrecht auf Datenschutz gemäß § 1 Datenschutzgesetz (DSG) verletzt sah. Mit Bescheid vom 18. September 2019 wies die DSB die Beschwerde wegen Unzuständigkeit zurück. Begründend ging sie im Wesentlichen davon aus, dass zwar die DSGVO eine Kontrolle über Organe der Gesetzgebung, wozu der UsA zähle, nicht verneine; eine solche Kontrolle durch Organe der Verwaltung, wozu die DSB zähle, sei jedoch aufgrund des Gewaltenteilungsgrundsatzes ausgeschlossen.

Gegen den Bescheid der DSB erhob die Auskunftsperson Beschwerde an das BVwG. Das Gericht bejahte mit Erkenntnis vom 23. November 2020 die Zuständigkeit der DSB und begründete dies im Wesentlichen damit, dass in der DSGVO keine Unterscheidung nach Staatsfunktionen vorgenommen werde und von deren Anwendungsbereich lediglich die Gerichte ausgenommen seien, soweit diese rechtsprechend tätig würden. Diese Ausnahme könne jedoch nicht – so das BVwG – auf Organe der Gesetzgebung erstreckt werden, weshalb die DSB als Aufsichtsbehörde auch für den Bereich der Staatsfunktion Gesetzgebung zuständig sei. Der Präsident des Nationalrates wurde vom BVwG als mitbeteiligte Partei dem Verfahren beigezogen.

Gegen das Erkenntnis des BVwG erhob wiederum die DSB Revision an den VwGH. In diesem Verfahren stellten sich dem VwGH drei Fragen zur Anwendbarkeit der DSGVO sowie zur Zuständigkeit der DSB als Aufsichtsbehörde auch für parlamentarische UsA, die er dem EuGH zur Beantwortung im Rahmen eines Vorabentscheidungsverfahrens gemäß Art. 267 AEUV vorlegte. Mit Urteil vom 16. Jänner 2024 entschied der EuGH über die vom VwGH gestellten Vorlagefragen, woraufhin der VwGH sein Revisionsverfahren fortsetzte und mit der vorliegenden Entscheidung abschloss.

Der VwGH wies die von der DSB erhobene Amtsrevision ab:

Nach Darstellung des Urteils des EuGH im Vorabentscheidungsverfahren stellte der VwGH fest, dass es ausgehend von dieser Rechtsprechung für die Beantwortung der Rechtsfrage, ob Tätigkeiten eines parlamentarischen UsA, mit denen die Verarbeitung personenbezogener Daten verbunden sei, gemäß Art. 2 Abs. 2 lit. a DSGVO von deren Anwendungsbereich ausgenommen seien, ausschließlich auf die Natur dieser Tätigkeiten, und nicht darauf ankomme, ob der Verantwortliche privat oder öffentlich-rechtlich sei. Für den Fall, dass der Verantwortliche eine Behörde sei, komme es auch nicht darauf an, ob die Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich hoheitlich seien. Wesentlich sei vielmehr, ob eine Tätigkeit vorliege, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen sei. Daher sei nicht bereits jede Tätigkeit eines UsA von sich aus vom Anwendungsbereich der DSGVO ausgenommen, sondern nur jene, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts falle.

Insbesondere liege keine Ausnahme von der Anwendung der DSGVO gemäß Art. 2 Abs. 2 lit. a DSGVO für die nationale Sicherheit betreffende Tätigkeiten vor. Zwar habe der Aufgabenbereich des BVT derartige Tätigkeiten umfasst; doch führe entsprechend den Ausführungen des EuGH die bloße Tatsache, dass eine Maßnahme zum Schutz der nationalen Sicherheit getroffen worden sei, nicht dazu, dass das Unionsrecht (und insofern insbesondere die DSGVO) unanwendbar sei. So sei Gegenstand der Tätigkeit des BVT‑UsA die parlamentarische (politische) Kontrolle der "Aufgabenerfüllung des BVT" gewesen und habe folglich nicht unmittelbar in der Gewährleistung der nationalen Sicherheit bestanden. Deshalb könne sie auch nicht vom Anwendungsbereich der DSGVO ausgenommen sein.

Zur Zuständigkeit der DSB im Hinblick auf die parlamentarische Kontrolltätigkeit des BVT-UsA führte der VwGH aus, die Behörde habe diese mit Hinweis auf den Grundsatz der Trennung der Staatsgewalten, der auch Teil der europäischen Rechtsordnung sei und eine Kontrolle der Legislative durch Organe der Exekutive ausschließe, abgelehnt; es sei nämlich nicht nachvollziehbar, dass eine Verwaltungsbehörde, die der Kontrolle durch den Nationalrat unterstehe, diesen wiederum zu kontrollieren habe.

Ausgehend vom Urteil des EuGH ergebe sich – so der VwGH – die Zuständigkeit der DSB aber unmittelbar aus Art. 77 Abs. 1 und Art. 55 Abs. 1 DSGVO: Die Zuständigkeit zur Entscheidung über die gegen die Veröffentlichung des Namens der Auskunftsperson im Befragungsprotokoll auf der Parlamentswebsite gerichtete Beschwerde komme danach der DSB als einzige gemäß Art. 51 Abs. 1 DSGVO eingerichtete Aufsichtsbehörde zu. Dem stünden laut der Rechtsprechung des Verfassungsgerichtshofs (VfGH) (VfGH 13.12.2023, G 212/2023) auch keine verfassungsrechtlichen Bedenken entgegen.

Zur Zurückweisung der – über Aufforderung des BVwG gemäß § 30a Abs. 4 Verwaltungsgerichtshofgesetz 1985 (VwGG) erfolgten – Revisionsbeantwortung des Präsidenten des Nationalrates führte der VwGH aus, diese habe schon deshalb erfolgen müssen, weil eine Mitbeteiligung auf Seiten der DSB als revisionswerbende Partei im Verfahren vor dem VwGH nicht in Betracht komme. Die Stellung als Mitbeteiligter setze nämlich nach ständiger Rechtsprechung des VwGH rechtlich geschützte Interessen im Widerspruch zur Interessenslage der revisionswerbenden Partei voraus. Auch der Umstand, dass der Präsident des Nationalrates vom BVwG als Mitbeteiligter dem verwaltungsgerichtlichen Verfahren beigezogen worden sei, vermöge seine rechtliche Stellung als Mitbeteiligter im Revisionsverfahren nicht zu begründen.

Vgl. zu diesem Verfahren den Volltext der Entscheidung.