DSGVO gilt auch für Untersuchungsausschüsse

Ausgangspunkt des Verfahrens war, dass im September 2018 im UsA über die politische Einflussnahme auf das (damalige) Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT-UsA) eine Auskunftsperson medienöffentlich befragt worden war. Das wörtliche Protokoll dieser Befragung war auf der Parlamentswebsite veröffentlicht worden, wobei auch der Name der Auskunftsperson vollständig genannt worden war.

Dagegen erhob die Auskunftsperson Beschwerde bei der DSB, weil sie sich durch die Veröffentlichung des Befragungsprotokolls unter vollständiger Nennung ihres Namens in ihrem Grundrecht auf Datenschutz (§ 1 Datenschutzgesetz [DSG]) verletzt sah. Mit Bescheid vom 18. September 2019 wies die DSB die Beschwerde wegen Unzuständigkeit zurück. Begründend ging sie im Wesentlichen davon aus, dass zwar die DSGVO eine Kontrolle über Organe der Gesetzgebung, wozu der UsA zähle, nicht verneine, eine solche Kontrolle durch Organe der Verwaltung, wozu die DSB zähle, jedoch aufgrund des Gewaltenteilungsgrundsatzes ausgeschlossen sei.

Gegen den Bescheid der DSB erhob die Auskunftsperson Beschwerde an das Bundesverwaltungsgericht (BVwG). Das BVwG bejahte mit Erkenntnis vom 23. November 2020 die Zuständigkeit der DSB und begründete dies im Wesentlichen damit, dass in der DSGVO keine Unterscheidung nach Staatsfunktionen vorgenommen werde und von deren Anwendungsbereich lediglich die Gerichte ausgenommen seien, soweit diese rechtsprechend tätig würden. Diese Ausnahme könne jedoch nicht auf Organe der Gesetzgebung erstreckt werden, weshalb die DSB als Aufsichtsbehörde auch für den Bereich der Staatsfunktion Gesetzgebung zuständig sei.

Gegen das Erkenntnis des BVwG erhob wiederum die DSB Revision an den VwGH. In diesem – aktuell noch anhängigen – Verfahren stellten sich dem VwGH drei Fragen, die er dem EuGH zur Beantwortung im Rahmen eines Vorabentscheidungsverfahrens gemäß Art. 267 AEUV vorlegte. Diese Fragen lauteten im Wesentlichen wie folgt:

• Zunächst wollte der VwGH wissen, ob die Tätigkeiten von parlamentarischen UsA – unabhängig von deren Untersuchungsgegenstand – in den Anwendungsbereich des Unionsrechts und damit der DSGVO fallen.
• Weiters stellte der VwGH die Frage, ob, sollte die DSGVO grundsätzlich auf Tätigkeiten von parlamentarischen UsA anwendbar sein, dies auch dann gelte, wenn deren Untersuchungsgegenstand Tätigkeiten einer polizeilichen Staatschutzbehörde (hier: des damaligen BVT), also solche im Zusammenhang mit der nationalen Sicherheit, betreffen, die für sich genommen nicht in den Anwendungsbereich des Unionsrechts und damit der DSGVO fallen.
• Schließlich ging der VwGH davon aus, dass in dem Fall, dass die DSGVO uneingeschränkt zur Anwendung kommen und die DSB als Aufsichtsbehörde auch für die Tätigkeiten von parlamentarischen UsA zuständig sein sollte, eine solche Zuständigkeit – aus innerstaatlicher Sicht – auf Grund des Gewaltenteilungsgrundsatzes eine verfassungsrechtliche Verankerung benötigen würde. Er stellte daher die Frage, ob sich die Zuständigkeit der DSB als einzige nationale Aufsichtsbehörde bereits unmittelbar aus der DSGVO ableite und insoweit der Anwendungsvorrang des Unionsrechts zum Tragen komme.

Im nunmehr ergangenen Urteil des EuGH vom 16. Jänner 2024 entschied dieser die vom VwGH gestellten Vorlagefragen – im Ergebnis übereinstimmend mit den Schlussanträgen des Generalanwalts vom 11. Mai 2023 – im Wesentlichen wie folgt:

• Die Tätigkeiten von parlamentarischen UsA fielen grundsätzlich in den Anwendungsbereich des Unionsrechts im Sinne von Art. 16 Abs. 2 AEUV und Art. 2 Abs. 2 lit. a DSGVO. Die DSGVO sei daher auf die Verarbeitung personenbezogener Daten durch einen UsA anwendbar:
  
  Dies begründete der EuGH im Wesentlichen damit, dass die Ausnahmebestimmung des Art. 2 Abs. 2 lit. a DSGVO (Ausnahme von der Anwendbarkeit der DSGVO für eine "Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt") im Sinne der bisherigen Rechtsprechung eng auszulegen sei. Unter Bezugnahme auf sein Urteil vom 9. Februar 2020, C‑272/19, Land Hessen, führte der EuGH aus, der Umstand, dass es sich bei einem UsA um ein Organ handle, das unmittelbar und ausschließlich parlamentarisch tätig sei, bedeute nicht, dass dessen Tätigkeit vom Anwendungsbereich des Unionsrechts und damit der DSGVO ausgenommen sei. Dabei betonte er auch, dass es für die Frage der Anwendbarkeit der DSGVO grundsätzlich nicht darauf ankomme, ob eine Privatperson oder der Staat bzw. eine Behörde eine Datenverarbeitung vornehme.
  
  
• Die Tätigkeit eines parlamentarischen UsA, dessen Untersuchungsgegenstand Tätigkeiten einer polizeilichen Staatsschutzbehörde (hier: des damaligen BVT) sind, sei nicht von der DSGVO ausgenommen. Sie falle nicht als solche als eine die nationale Sicherheit betreffende Tätigkeit unter die Ausnahmebestimmung des Art. 2 Abs. 2 lit. a DSGVO:
  
  Diese Antwort auf die zweite Vorlagefrage begründete der EuGH im Wesentlichen damit, dass im vorliegenden Fall die Tätigkeit des BVT-UsA als solche nicht eine Tätigkeit darstelle, die der Wahrung der "nationalen Sicherheit" diene (Art. 2 Abs. 2 lit. a DSGVO im Lichte des 16. Erwägungsgrundes). Allerdings könne das Erfordernis der Gewährleistung der nationalen Sicherheit oder einer Kontrollfunktion, die mit der Ausübung öffentlicher Gewalt verbunden sei, im Zusammenhang mit einem UsA durchaus Beschränkungen der sich aus der DSGVO ergebenden Rechte und Pflichten im Wege der gesetzlichen Nutzung von Öffnungsklauseln gemäß Art. 23 DSGVO rechtfertigen. In diesem Zusammenhang überließ der EuGH die konkrete Prüfung des Ausgangsfalles jedoch dem vorlegenden VwGH, der bei der Entscheidung über die bei ihm anhängige Revision der DSB das (Auslegungs-)Urteil des EuGH zu berücksichtigen hat.
  
  
• Habe ein Mitgliedstaat nur eine einzige Aufsichtsbehörde eingerichtet, ergebe sich deren Zuständigkeit auch für die Überwachung der Einhaltung der DSGVO durch einen parlamentarischen UsA unmittelbar aus der DSGVO, und zwar ungeachtet des Gewaltenteilungsgrundsatzes im nationalen Verfassungsrecht (Art. 77 Abs. 1 iVm Art. 55 Abs. 1 DSGVO). Im vorliegenden Fall sei daher die DSB zuständig:
  
  Die Antwort auf diese dritte Vorlagefrage begründete der EuGH schließlich im Wesentlichen damit, dass in Fällen, in denen sich ein Mitgliedstaat für die Einrichtung einer einzigen Aufsichtsbehörde entscheide, diese Behörde zwangsläufig mit allen Zuständigkeiten ausgestattet sei, die die DSGVO vorsehe. Die Einheit und die Wirksamkeit des Unionsrechts erforderten es dabei, dass der Vorrang des Unionsrechts auch vor innerstaatlichem Verfassungsrecht (hier dem Gewaltenteilungsgrundsatz) gewahrt werde. Im Rahmen des Ermessensspielraums der Mitgliedstaaten, gegebenenfalls mehrere Aufsichtsbehörden einzurichten, könnten diese aber sicherstellen, dass ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entsprochen werde (Art. 51 Abs. 1 DSGVO im Lichte des 117. Erwägungsgrundes). Der Unionsgesetzgeber habe im Übrigen in Art. 55 Abs. 3 DSGVO die Datenschutzaufsicht nur hinsichtlich der Gerichte im Rahmen ihrer rechtsprechenden Tätigkeit eingeschränkt.

Vgl. zu diesem Verfahren die Pressemitteilung und den Volltext der Entscheidung.