BESCHLUSS
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundige Laienrichterin Mag.a Julia WEISS als Beisitzerin und den fachkundigen Laienrichter Gerhard RAUB als Beisitzer über die Beschwerde von XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, 1010 Wien, Schottenring 19 gegen den Bescheid der Datenschutzbehörde vom 30.04.2024 Zl. XXXX , in einer datenschutzrechtlichen Angelegenheit im Umlaufwege beschlossen:
A)
Das Beschwerdeverfahren wird gemäß § 34 Abs 3 VwGVG bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, ausgesetzt.
B)
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Begründung:
I. Verfahrensgang:
1. Mit Eingabe vom 30.01.2023 erhob die mitbeteiligte Partei eine Datenschutzbeschwerde an die belangte Behörde und brachte zusammengefasst vor, aus einem Zeitungsartikel ergebe sich, dass es bei der Beschwerdeführerin einen Datendiebstahl gegeben habe bzw. Daten gehackt und weiterverkauft worden seien; auch ihre Daten seien davon betroffen, weshalb sie in ihren Rechten verletzt sei.
2. Aufgrund einer Vielzahl gleichgelagerter Datenschutzbeschwerden, denen der gleiche Sachverhalt zugrunde lag, führte die belangte Behörde, protokolliert zur Zl. D124.0227/23, ein einheitliches Ermittlungsverfahren (in Folge „Hauptverfahren“) durch, in dessen Rahmen sie die wesentlichen Ermittlungsschritte setzte und die gewonnenen Ermittlungsergebnisse im Sinne der Verfahrensökonomie allen gegen die Beschwerdeführerin gerichteten Verfahren zu Grunde legte.
3. Mit Bescheid vom 30.04.2024 gab die belangte Behörde der Datenschutzbeschwerde Folge und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Geheimhaltung verletzt habe, indem ein Auftragsverarbeiter der Beschwerdeführerin es mangels geeigneter technischer und organisatorischer Maßnahmen gemäß Art 32 DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten der mitbeteiligten Partei (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden.
4. Dagegen erhob die Beschwerdeführerin am 17.05.2024 Bescheidbeschwerde und führte zusammengefasst aus, das Beschwerderecht sei bereits präkludiert sei, die belangte Behörde habe Verfahrensvorschriften verletzt und der Bescheid sei inhaltlich rechtswidrig. So habe die belangte Behörde ua den Datenzugriff unrichtig bewertet und ihn unrichtig der Beschwerdeführerin zugerechnet.
5. Die belangte Behörde legte die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 29.05.2024, hg eingelangt am 29.05.2024, vor und beantragte – unter Verweis auf die Begründung des Bescheides – die Beschwerde abzuweisen.
Beweis wurde erhoben durch Einschau in den Verwaltungsakt, in den hg Gerichtsakt zur AZ W292 2284228, in das gerichtsweite Aktenverwaltungsprogramm und in das Rechtsinformationssystem des Bundes.
I. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1.1. Im gegenständlichen Verfahren ist zu klären, ob die mitbeteiligte Partei dadurch in ihrem Recht auf Geheimhaltung verletzt worden ist, weil es durch einen Hackerangriff auf einen Auftragsverarbeiter der Beschwerdeführerin zu einer Offenlegung die mitbeteiligte Partei betreffende Informationen an zumindest einen unbefugten Dritten gekommen ist.
Rechtlich ist dabei zu beurteilen, ob die Beschwerdeführerin nach wie vor als Verantwortliche für die Datenverarbeitung zu sehen ist, obwohl es zwischenzeitlich zu einer Änderung der gesetzlichen Grundlage zu ihrer rechtlichen Ausgestaltung gekommen ist.
Weiters ist zu beurteilen, ob eine öffentliche Bekanntmachung über eine Verletzung des Schutzes personenbezogener Daten nach Art 34 Abs 3 DSGVO die subjektive Präklusionsfrist des § 24 Abs 4 DSG auslöst.
Letztlich, ob die Beschwerdeführerin als Verantwortliche sich allenfalls unzureichende Datenschutz- und Datensicherheitsmaßnahme ihres Auftragsverarbeiters zurechnen lassen muss, oder ob hierfür zusätzlich ein Überwachungsverschulden erforderlich ist.
1.2. Am Bundesverwaltungsgericht sind zu diesem Sachverhalt rund 100 weitere Verfahren anhängig, in denen dieselben Rechtsfragen zu klären sind.
1.3. In einem dieser Verfahren hat Bundesverwaltungsgerichts mit Erkenntnis vom 05.07.2024, GZ W292 2284228-1/49E, bereits entschieden. Dagegen hat die Beschwerdeführerin außerordentlichen Revision an den Verwaltungsgerichtshof erhoben. Begründend führte die Beschwerdeführerin darin insbesondere aus, sie sei nicht datenschutzrechtlich Verantwortliche, weil es sich bei ihr im Vergleich zur XXXX um eine „neue Behörde“ handle, die öffentliche Bekanntmachung über eine Verletzung des Schutzes personenbezogener Daten nach Art 34 Abs 3 DSGVO habe die subjektive Präklusionsfrist des § 24 Abs 4 DSG bei betroffenen Personen ausgelöst und die Zurechnung des rechtswidrigen Verhaltens eines Auftragsverarbeiters an die Verantwortliche sei mangels Überwachungsverschulden unzulässig.
1.4. Zu den von der Beschwerdeführerin geltend gemachten Rechtsfragen liegt bislang keine Rechtsprechung des Verwaltungsgerichtshofs vor.
2. Die Feststellungen gründen in der folgenden Beweiswürdigung:
2.1. Die Feststellungen zu den zu klärenden Rechtsfragen ergeben sich aus dem Verwaltungsakt.
2.2. Die Anzahl der am Bundesverwaltungsgericht diesbezüglich anhängigen Verfahren ist gerichtsnotorisch.
2.3. Die Feststellungen zum hg Verfahren W292 2284228-1 gründen sich in die Einsicht in den verwaltungsgerichtlichen Akt.
2.4. Die Feststellung zur fehlenden Rechtsprechung des Verwaltungsgerichtshofes gründet auf einer Einsicht in das Rechtsinformationssystem des Bundes.
3. Rechtlich folgt daraus:
Zu A)
3.1. Gemäß § 34 Abs 3 VwGVG kann das Verwaltungsgericht ein Verfahren über eine Beschwerde gemäß Art 130 Abs 1 Z 1 B-VG mit Beschluss aussetzen, wenn (1.) vom Verwaltungsgericht in einer erheblichen Anzahl von anhängigen oder in naher Zukunft zu erwartenden Verfahren eine Rechtsfrage zu lösen ist und gleichzeitig beim Verwaltungsgerichtshof ein Verfahren über eine Revision gegen ein Erkenntnis oder einen Beschluss eines Verwaltungsgerichtes anhängig ist, in welchem dieselbe Rechtsfrage zu lösen ist, und (2.) eine Rechtsprechung des Verwaltungsgerichtshofes zur Lösung dieser Rechtsfrage fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
Zweck dieser Bestimmung sind prozessökonomische Überlegungen, Rechtsschutzerwägungen bezüglich der Verfahrensdauer und die Gewährleistung der Funktionsfähigkeit des VwG und des VwGH bei einer großen Zahl gleichartiger Verfahren (Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 § 34 VwGVG, Rz 14).
Ob die Zahl von anhängigen oder zu erwartenden Verfahren „erheblich“ ist, ist vom Verwaltungsgericht nach Fallzahlen zu beurteilen (ErläutRV 2009 BlgNR 24. GP 8).
3.2. Angewendet auf den Sachverhalt bedeutet das:
Beim Bundesverwaltungsgericht sind zum gegenständlichen Sachverhalt etwa 100 weitere Bescheidbeschwerden anhängig, somit eine erhebliche Anzahl an Verfahren im Sinne des § 34 Abs 3 VwGVG.
In den Verfahren hat das Verwaltungsgericht dieselben Rechtsfragen zu klären, nämlich, ob die Beschwerdeführerin durch die Änderung ihrer öffentlich-rechtlichen Grundlage, nach wie vor als Verantwortliche für die Datenverarbeitung zu sehen ist, ob eine öffentliche Bekanntmachung über eine Verletzung des Schutzes personenbezogener Daten nach Art 34 Abs 3 DSGVO die subjektive Präklusionsfrist des § 24 Abs 4 DSG auslöst, und der Beschwerdeführerin als Verantwortliche das Handeln eines Auftragsverarbeiters nur dann zugerechnet werden kann, wenn sie ein Überwachungsverschulden trifft.
Zu diesen Rechtsfragen fehlt Rechtsprechung des Verwaltungsgerichtshofes und sie sind wesentlicher Gegenstand der beim Verwaltungsgerichtshof anhängigen außerordentlichen Revision gegen das Erkenntnis des BVwG vom 05.07.2024, GZ W292 2284228-1/49E.
Die Voraussetzungen für die Aussetzung des Verfahrens gemäß § 34 Abs 3 VwGVG sind daher gegeben. Sie ist angebracht, um das Verwaltungsgericht nicht mit einer Vielzahl an gleichlautenden rechtlichen Erläuterungen zu und den Verwaltungsgerichtshof nicht mit einer Vielzahl an gleichlautenden Entscheidungen übermäßig zu belasten und das Kostenrisiko für etwaige Revisionen der Parteien zu vermeiden.
3.3. Es war daher spruchgemäß zu entscheiden.
Zu B) (Un)Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Die hier anzuwendenden Regelungen erweisen sich als klar und eindeutig.
Rückverweise
