GZ: 2020-0.605.768 vom 28. September 2020 (Verfahrenszahl: DSB-D198.001)
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über den Antrag der A*** GmbH (eingetragen zu FN *5*1*91r im Firmenbuch des Handelsgerichts Wien, Antragstellerin), mit Sitz (Hauptniederlassung) in ****, vom 16. Dezember 2019 auf Akkreditierung als Überwachungsstelle gemäß Art. 41 Abs. 1 DSGVO wie folgt:
1. Dem Antrag wird teilweise Folge gegeben und die Antragstellerin als Überwachungsstelle für die „Datenschutz-Verhaltensregeln der Vereinigung S*** - S*** CoC“, genehmigt mit Bescheid vom 5. November 2019, GZ: DSB-D196.006/0005-DSB/2019, in der jeweils geltenden Fassung, akkreditiert .
2. Im Übrigen wird der Antrag abgewiesen .
3. Gemäß § 78 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl. Nr. 51/1991 idgF, iVm §§ 1, 3 Abs. 1 und TP 1 Bundesverwaltungsabgabenverordnung 1983, BGBl Nr. 24 idgF (BVwAbgV), hat die Antragstellerin eine Verwaltungsabgabe in Höhe von
Euro 6,50
zu entrichten.
Rechtsgrundlagen : Art. 40, Art. 41, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. p und lit. q der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 vom 4.5.2016, S. 1; § 18 Abs. 1 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 2 Abs. 1 und Abs. 2 und §§ 3 bis 6 der Verordnung der Datenschutzbehörde über die Anforderungen an eine Stelle für die Überwachung der Einhaltung von Verhaltensregeln (ÜStAkk-V), BGBl. II Nr. 264/2019; § 78 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl. Nr. 51/1991 idgF iVm §§ 1, 3 Abs. 1 und TP 1 der Bundesverwaltungsabgabenverordnung 1983 (BVwAbgV), BGBl. Nr. 24/1983 idgF.
BEGRÜNDUNG
I) Vorbringen der Antragstellerin und Verfahrensgang
1. Mit Eingabe vom 16. Dezember 2019, bei der Datenschutzbehörde eingelangt am 19. Dezember 2019, beantragte die Antragstellerin , für insgesamt drei Verhaltensregeln, die von der Datenschutzbehörde gemäß Art. 40 Abs. 5 DSGVO genehmigt wurden, als Überwachungsstelle akkreditiert zu werden. Die Antragstellerin hat dabei als Beilagen zum Antrag bzw. im weiteren Verlauf des Verfahrens auf Aufforderung der Datenschutzbehörde entsprechende Dokumente (Nachweise gemäß § 2 bis 6 ÜStAkk-V) vorgelegt.
2. Es handelt sich dabei um folgende Verhaltensregeln (jeweils in der geltenden Fassung):
A) „Datenschutz-Verhaltensregeln der Vereinigung S*** - S*** CoC“, genehmigt mit Bescheid vom 5. November 2019, GZ: DSB-D196.006/0005-DSB/2019 (kurz Verhaltensregeln S*** ), Inhaber der Genehmigung: Vereinigung S*** (kurz „S***“).
B) „Verhaltensregeln für ****“, genehmigt mit Bescheid vom 13. Mai 2019, GZ: DSB-D196.003/0001-DSB/2019 (kurz: Verhaltensregeln M*** ), Inhaber der Genehmigung: 1. Verein J***, 2. Vereinigung K***;
C) „Datenschutz-Verhaltensregeln für U***“, genehmigt mit Bescheid vom 6. August 2019, GZ: DSB-D196.001/0004-DSB/2019 (kurz: Verhaltensregeln U*** ), Inhaber der Genehmigung: 1. Verband T***, 2. Österreichischer V***verband;
3. Die Datenschutzbehörde forderte die Antragstellerin mit Verfahrensanordnung vom 9. Jänner 2020, GZ: DSB-D198.001/0001-DSB/2019, auf, Dokumente vorzulegen, aus denen hervorgeht, dass die Antragstellerin von den Inhabern der Genehmigungen betreffend die drei bezeichneten Verhaltensregeln jeweils mit der Aufgabe einer Überwachungsstelle betraut worden ist.
4. Mit Schreiben vom 9. Februar 2020 hat die Antragstellerin vorgebracht, dass ein solcher Nachweis weder in der ÜStAkk-V, noch in der DSGVO vorgesehen sei. Überdies seien die betreffenden Verhaltensregeln, mangels bisher erfolgter Benennung einer Überwachungsstelle, nur aufschiebend genehmigt und noch nicht anwendbar. Ungeachtet dieser Gesetzesauslegung habe man jedoch die Inhaber der jeweiligen Genehmigungen ersucht, entsprechende Bestätigungen an die Datenschutzbehörde zu übermitteln.
5. Die Datenschutzbehörde forderte daraufhin alle Inhaber der Genehmigungen für die Verhaltensregeln A) bis C) mit Verfahrensanordnung (Anfrage) vom 19. Februar 2020, GZ: 2020-0.095.999, zu einer Stellungnahme zu folgenden Fragen auf:
1. Haben die Inhaber der Genehmigung die Antragstellerin ausdrücklich zur Überwachungsstelle für die Verhaltensregeln bestellt und mit ihr eine entsprechende Vereinbarung getroffen?
2. Sprechen Sie sich für oder gegen eine Akkreditierung der Antragstellerin im obigen Sinne aus?
6. Von den Aufgeforderten hat sich mit Schreiben vom 10. Februar und 29. April 2020 nur die S*** ausdrücklich für eine Akkreditierung der Antragstellerin als Überwachungsstelle für die Verhaltensregeln A) ausgesprochen. Die Inhaber der Genehmigung für die Verhaltensregeln C) haben sich in der Stellungnahme vom 12. Mai 2020 ausdrücklich gegen eine Akkreditierung der Antragstellerin als Überwachungsstelle für ihre Verhaltensregeln ausgesprochen. Die Inhaber der Genehmigung für die Verhaltensregeln B) haben, trotz mehrfacher Aufforderung, keine inhaltliche Stellungnahme abgegeben. Jedoch ist am 24. August 2020 bei der Datenschutzbehörde der Antrag der J*** Service GmbH auf Akkreditierung als Überwachungsstelle für die Verhaltensregeln B) eingelangt, der von beiden Genehmigungsinhabern ausdrücklich schriftlich unterstützt wird und der derzeit zur Verfahrenszahl DSB-D198.006 geprüft wird.
II) Sachverhaltsfeststellungen
7. Das Vorbringen unter Punkt I), die von der Antragstellerin vorgelegten Dokumente und die Erklärungen der Inhaber der Verhaltensregeln A), B) und C) werden den Sachverhaltsfeststellungen zugrunde gelegt.
8. Beweiswürdigung : Der unstrittige Sachverhalt gründet sich auf die unter Punkt I) aufgezählten Verfahrensergebnisse. Die Feststellung, dass sich die Inhaber der Verhaltensregeln B) und C) nicht ausdrücklich für bzw. gegen die Akkreditierung der Antragstellerin für die jeweiligen Verhaltensregeln ausgesprochen haben, wurde auch von der Antragstellerin nach Erteilung von Parteiengehör nicht bestritten, bestritten wurde lediglich die als Rechtsfrage zu beurteilenden Frage der Notwendigkeit eines entsprechenden Konsenses.
III) In rechtlicher Hinsicht folgt daraus:
Zuständigkeit der Datenschutzbehörde
9. Die Datenschutzbehörde ist für die Behandlung von Anträgen auf Akkreditierung von Überwachungsstellen iSd Art. 41 Abs. 1 DSGVO zuständig, die gemäß Art. 57 Abs. 1 lit. q DSGVO iVm § 2 Abs. 2 ÜStAkk-V bei dieser eingebracht werden.
Zu Spruchpunkt 1 (teilweise Akkreditierung)
10. Die Tätigkeit der Antragstellerin hat auf Grundlage der vorgelegten (und den Sachverhaltsfeststellungen zugrundeliegenden) Dokumente zu erfolgen.
11. Die Antragstellerin hat die gemäß §§ 2 bis 6 ÜStAkk-V geforderten Nachweise zur Zufriedenheit der Datenschutzbehörde erbracht.
12. Die weitere Begründung entfällt gemäß § 58 Abs. 2 AVG, weil dem Standpunkt der Antragstellerin entsprochen wird.
Zu Spruchpunkt 2 (summarische Abweisung der übrigen Teile des Akkreditierungsantrags)
Auslegung von Art. 41 DSGVO
13. Art. 41 DSGVO trifft keine ausdrückliche Aussage zu der Frage, ob nur eine einzige Überwachungsstelle – darauf deutet der Wortlaut des ersten Satzes von Art. 41 Abs. 1 DSGVO ( „von einer Stelle“ ; Unterstreichung nicht im Original; auch andere Sprachfassungen – wie bspw. die englische, französische, spanische oder italienische – decken sich diesbezüglich mit der deutschen) hin – mit der Überwachung eines Regelwerks betraut werden darf, oder ob Rat und Parlament als Gesetzgeber der Europäischen Union auch eine Art von Wettbewerb zwischen Überwachungsstellen möglich machen wollten.
14. In zweiterem Fall stellt sich die zusätzliche Frage, ob eine Akkreditierung von (weiteren) Überwachungsstellen auch ohne Zustimmung , ja unter Umständen sogar gegen den Willen der Inhaber der zu überwachenden Verhaltensregeln zu erteilen ist (im Folgenden kurz: Non-Konsens-Akkreditierung). Letzteres scheint im Hinblick auf die Verhaltensregeln B) und C) die Ansicht der Antragstellerin und Akkreditierungswerberin zu sein, da sie ihren Antrag in beiden Fällen auch nach Vorhalt des fehlenden Konsenses (Verhaltensregeln B)) bzw. des ausdrücklichen Widerspruchs (Verhaltensregeln C)) der jeweiligen Genehmigungsinhaber nicht entsprechende eingeschränkt hat.
15. Der Europäische Datenschutzausschuss (kurz: EDSA) hat in Ausübung seiner Befugnisse gemäß Art. 70 Abs. 1 lit n) DSGVO die Leitlinien 1/2019 über Verhaltensregeln und Überwachungsstellen gemäß der Verordnung (EU) 2016/679, Fassung 2.0, vom 4. Juni 2019 beschlossen und veröffentlicht.
16. Darin äußert der EDSA zu der hier gegenständlichen Frage keine klare und unzweideutige Ansicht, lässt aber eine deutliche Präferenz für die Möglichkeit erkennen, mehrere Überwachungsstellen für ein Regelwerk zu akkreditieren. Insbesondere ist in Rz 60 davon die Rede, dass in Verhaltensregeln „ mindestens eine Überwachungsstelle“ (Hervorhebung nicht im Original) mit Akkreditierung bei der Aufsichtsbehörde benannt sein muss.
17. Die Datenschutzbehörde legt Art. 41 DSGVO daher in Übereinstimmung mit dem EDSA so aus, dass eine Akkreditierung mehrerer Überwachungsstellen für ein und dasselbe Regelwerk möglich ist (so auch Strohmaier in Knyrim , DatKomm Art 41 DSGVO (Stand 1.12.2018, rdb.at), Rz. 17 mwN). Dies ist jedoch nur so zu verstehen, dass eine solche Mehrfachakkreditierung nach geltender Rechtslage nicht ausgeschlossen ist.
18. Die Datenschutzbehörde schließt aus dem logisch-systematischen Kontext von Art. 40 und 41 DSGVO, insbesondere aus Art. 40 Abs. 4 iVm Art. 41 Abs. 2 lit. c) DSGVO, nämlich weiters, dass eine Überwachungsstelle mit dem Genehmigungsinhaber , der gemäß Art. 40 Abs. 2 DSGVO ein repräsentativer Branchen- oder Berufsverband von Verantwortlichen oder Auftragsverarbeitern sein muss, der demnach für seine Mitglieder – die zu Überwachenden – spricht, zusammenzuarbeiten hat . Dies erscheint nur dann möglich, wenn die betreffenden Verbände den Akkreditierungswerber unterstützen. Nach den oben (Rz 15 f) zitierten Leitlinien 1/2019 des EDSA ist es demnach Sache des oder der Genehmigungsinhaber, eine geeignet erscheinende Überwachungsstelle auszuwählen und namhaft zu machen. Eine Mehrfachnominierung ist dabei zulässig . Die Entscheidung darüber, ob eine Mehrfachakkreditierung möglich sein soll, liegt somit bei den Inhabern von Genehmigungen für Verhaltensregeln.
19. Für eine konsensuale Akkreditierung spricht auch – wie bereits erwähnt – das Zusammenspiel zwischen Art. 40 Abs. 4 und Art. 41 Abs. 2 lit. c DSGVO, da diese Verfahrensregeln aufeinander abgestimmt sein müssen, wenn sie Wirkung entfallen sollen.
20. Die Akkreditierung einer Überwachungsstelle, der Genehmigungsinhaber ausdrücklich ablehnend gegenüberstehen, ist jedoch ebenso ausgeschlossen wie die Akkreditierung einer konkurrierenden Überwachungsstelle, wenn die Genehmigungsinhaber bereits ausdrücklich ihre Unterstützung für einen anderen Akkreditierungswerber bekundet haben.
21. Eine solche Non-Konsens-Akkreditierung, wie sie die Antragstellerin hinsichtlich der Verhaltensregeln B) und C) anstrebt, würde absehbar dazu führen, dass die Genehmigungsinhaber im beschriebenen Fall eine Zusammenarbeit verweigern, und die Überwachungstätigkeit, für die eine Akkreditierung erteilt worden ist, faktisch nicht ausgeübt werden kann. Ebenso kann in diesem Fall ein effektives Zusammenspiel der jeweiligen Verfahrensregelungen nicht gewährleistet werden. Es kann den Gesetzgebern der Union jedoch nicht unterstellt werden, eine Regelung getroffen zu haben, mit der ins Leere gehende und damit dysfunktionale behördliche Genehmigungen zu erteilen sind.
Für diese Sache folgt daraus :
22. Auch für die Akkreditierung hinsichtlich der Verhaltensregeln B) und C) hat die Antragstellerin, wie oben (Rz 1 und 7) ausgeführt, die in der ÜStAkk-V festgelegten Nachweise erbracht.
23. Wie jedoch oben unter Rz. 6 festgestellt, haben sich die Genehmigungsinhaber der Verhaltensregeln C) ausdrücklich gegen eine Akkreditierung der Antragstellerin ausgesprochen. Die Genehmigungsinhaber der Verhaltensregeln B) haben hingegen gegenüber der Datenschutzbehörde ihre Unterstützung des Akkreditierungsantrags einer anderen Stelle zum Ausdruck gebracht.
24. Hinsichtlich beider Verhaltensregeln hat das Ermittlungsverfahren somit ergeben, dass keine Basis für die erforderliche Zusammenarbeit zwischen der Antragstellerin und den betreffenden vier Genehmigungsinhabern besteht. Damit bestehen weder Verfahren noch Strukturen im Sinne von Art. 40 Abs. 4 und Art. 41 Abs. 2 lit. c) DSGVO, um die Tätigkeit einer Überwachungsstelle erfolgreich ausüben zu können. Die Voraussetzungen einer Akkreditierung sind damit nicht erfüllt.
25. Der Antrag war daher im Übrigen wie im Spruchpunkt 2) abzuweisen.
Zu Spruchpunkt 3 (Kosten)
26. Der Kostenpunkt des Spruchs (Verwaltungsabgabe) stützt sich auf die zitierten Bestimmungen. Der Antrag auf Genehmigung von Verhaltensregeln ist keine Eingabe nach § 24 DSG und daher nicht von der Gebühren- und Abgabenbefreiungsklausel des § 69 Abs. 6 DSG umfasst.
27. Diese Summe ist auf das Konto BAWAG P.S.K., Georg-Coch-Platz 2, 1018 Wien, IBAN: AT460100000005490031, BIC: BAWAATWW, lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.
28. Somit war spruchgemäß zu entscheiden.
[Gebührenmitteilung nicht wiedergegeben]
Rückverweise
