Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrätin Mag. Hainz Sator und Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Ö Aktiengesellschaft in W, vertreten durch die Eberhardt Rechtsanwälte OG in 1010 Wien, Weihburggasse 18 20, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 22. Dezember 2020, Zl. W258 2225293 1/6E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde, weitere Partei: Bundesministerin für Justiz),
I. zu Recht erkannt:
Der Revision wird Folge teilweise gegeben und das angefochtene Erkenntnis im Umfang des Spruchpunktes A) 2., sohin im Umfang der Abweisung der Beschwerde hinsichtlich der Spruchpunkte 1. und 2. des bekämpften Bescheides und der damit ausgesprochenen Massgabebestätigung dieser Bescheidpunkte, wegen Rechtswidrigkeit des Inhalts aufgehoben.
II. den Beschluss gefasst:
In ihrem übrigen Umfang, insofern sich die Revision gegen Spruchpunkt A) 1. des angefochtenen Erkenntnisses wendet, mit welchem Spruchpunkt 3. des bekämpften Bescheides ersatzlos behoben wurde, wird die Revision zurückgewiesen.
Der Bund hat der Revisionswerberin die Aufwendungen in Höhe von € 1.346,40 binnen 14 Tagen bei sonstiger Exekution zu ersetzen.
1 1. Aus den Feststellungen des angefochtenen Erkenntnisses ergibt sich folgender unstrittiger Sachverhalt:
2 Die Revisionswerberin ist Logistik und Postdienstleisterin. In diesem Rahmen bietet sie den Versand von adressierten Briefen gegen Entgelt an.
3 Eine Mitarbeiterin der Revisionswerberin stellte am 16. Jänner 2019 an einer bestimmten Adresse einen für den Transport der zuzustellenden Briefsendungen bestimmten Depotsack unbeaufsichtigt auf der Straße ab. Dieser enthielt etwa 200 adressierte Postsendungen und hätte in weiterer Folge von einer Zustellerin der Revisionswerberin entgegengenommen werden sollen.
4 Die Mitarbeiterin einer Steuerberatungskanzlei, die diesen irrtümlicherweise für einen Sack hielt, der von einem der Klienten der Kanzlei vergessen worden sei, nahm den Depotsack in die Kanzleiräumlichkeiten mit, wo er in der Folge geöffnet wurde. Etwa fünf Minuten nachdem der Depotsack abgestellt worden war, nahm ihn die Zustellerin der Revisionswerberin in der Steuerberatungskanzlei wiederum an sich.
5 Die Steuerberatungskanzlei teilte in der Folge der Datenschutzbehörde mit Eingabe vom 17. Jänner 2019 den Vorfall mit. Die belangte Behörde leitete daraufhin ein amtswegiges Prüfverfahren nach Art. 58 DSGVO ein.
6 2. Mit Bescheid vom 13. August 2019 erließ die belangte Behörde nach Einholung einer Stellungnahme von der Revisionswerberin einen Bescheid, mit welchem sie die Feststellung traf, die Revisionswerberin habe dadurch, dass ein Sack mit Postsendungen am 16. Jänner 2019 um 10:00 Uhr unbeaufsichtigt vor dem Bürohaus an einer bestimmt bezeichneten Adresse abgestellt worden sei, gegen die ihr auferlegte Pflicht, die Integrität und Vertraulichkeit der Datenverarbeitung sowie der erforderlichen Sicherheitsmaßnahmen zu gewährleisten, (Spruchpunkt 1.) und ferner gegen ihre Pflicht nach Art. 33 DSGVO verstoßen, weil sie über diesen Vorfall keine Meldung im Sinne dieser Bestimmung an die belangte Behörde erstattet habe (Spruchpunkt 2.). Ferner wurde der Revisionswerberin aufgetragen, die Meldung gemäß Art. 33 DSGVO innerhalb von 72 Stunden nachzuholen (Spruchpunkt 3.).
7 Da die Revisionswerberin Postsendungen anhand der Postleitzahl der Zustelladresse verteile, liege ein Dateisystem im Sinne der DSGVO vor. Die Datenverarbeitung sei durch die am Depotsack angebrachte Aufschrift „Eigentum der Ö AG“ nicht ausreichend gesichert. Die Revisionswerberin hätte den Sachverhalt der belangten Behörde gemäß Art. 33 DSGVO melden müssen, weil der Depotsack unbeaufsichtigt und daher nicht ausgeschlossen gewesen sei, dass Briefsendungen abhandenkommen bzw. sich Dritte unbefugte sich Kenntnis von ihrem Inhalt verschaffen hätten können.
8 3. Gegen diesen Bescheid erhob die Revisionswerberin Beschwerde an das Bundesverwaltungsgericht. Ferner erstattete die Revisionswerberin an die belangte Behörde ohne Anerkennung einer diesbezüglichen Rechtspflicht eine Meldung gemäß Art. 33 DSGVO.
9 4. Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht der Beschwerde der Revisionswerberin teilweise Folge und hob Spruchpunkt 3. des bekämpften Bescheids, wonach der Revisionswerberin aufgetragen werde, die Meldung gemäß Art. 33 DSGVO innerhalb von 72 Stunden nachzuholen, ersatzlos auf (Spruchpunkt A.1.).
10 Im Übrigen wurden die Beschwerde abgewiesen und die Spruchpunkte 1. oder 2. des bekämpften Bescheides mit der Maßgabe bestätigt, dass Spruchpunkt 2. zu lauten habe: „2. es wird festgestellt, dass die Ö AG gegen ihre Pflicht nach Art. 33 DSGVO verstoßen hat, indem sie den in Spruchpunkt 1. genannten Vorfall nicht innerhalb von 72 Stunden an die Datenschutzbehörde gemeldet hat.“ (Spruchpunkt A.2. des angefochtenen Erkenntnisses).
11 Ferner erklärte das Bundesverwaltungsgericht die Revision für zulässig.
12 In seiner Begründung traf das Bundesverwaltungsgericht über den eingangs wiedergegebenen Sachverhalt hinausgehend die Feststellung, dass die Revisionswerberin gemeinsam mit der Erhebung der Bescheidbeschwerde an das Bundesverwaltungsgericht eine Meldung über den verfahrensgegenständlichen Vorfall gemäß Art. 33 DSGVO bei der belangten Behörde erstattet habe.
13 In rechtlicher Hinsicht folgerte das Verwaltungsgericht, die Revisionswerberin bestreite, dass der verfahrensgegenständliche Vorfall unter den Anwendungsbereich der DSGVO falle. Ein Depotsack, der Briefe enthalte, sei mangels Sortierung der Briefe kein Dateisystem, weshalb gemäß Art. 2 Abs. 1 DSGVO diese Verarbeitung nicht der DSGVO unterliege.
14 Entgegen der Rechtsansicht der Revisionswerberin sei davon auszugehen, dass es sich bei dem Verfahren von Briefsendungen zumindest um eine nichtautomatisierte Verarbeitung personenbezogener Daten handle, die in einem Dateisystem gespeichert seien. Die DSGVO gelte gemäß Art. 2 Abs. 1 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert seien oder gespeichert werden sollten. Ein Dateisystem sei gemäß Art. 4 Z 6 DSGVO jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich seien. Zur Beurteilung, welche Vorgänge zu einer Vorgangsreihe gehörten, sei vor dem Hintergrund der DSGVO auf den Zweck der Verarbeitung abzustellen. Die Revisionswerberin biete gegen Entgelt die Dienstleistung „Briefzustellung“ an. Die „last mile Zustellung“ bilde bei dieser Dienstleistung regelmäßig den letzten Schritt. Der maßgebliche Zweck der Verarbeitung bestehe jedoch im Transport der Briefsendungen von ihrem Absender bis zu ihrem Empfänger. Für die Beurteilung, ob die in der Datenanwendung „Briefversand“ verarbeiteten Daten derart strukturiert seien, dass diese leichter wiedergefunden werden könnten, sei daher die Sortierung maßgeblich, welche die Revisionswerberin im Rahmen der Bereitstellung der Dienstleistung „Briefzustellung“ vornehme. Komme es zu einer „last mile Zustellung“ würden die Briefsendungen strukturiert, indem diese je nach Postleitzahl und Straßenname der Empfängeradresse über allenfalls mehrere Logistikzentren verteilt würden, bis sie an dem für die Zieladresse zuständigen Logistikzentrum eingelangt seien. Dort würden die für den jeweiligen Zustellbereich adressierten Briefsendungen in Postsäcke eingeordnet und vom Zusteller an den jeweiligen Empfänger übergeben. In einem Depotsack würden sich daher nur noch Briefsendungen eines bestimmten Zustellbereichs befinden, wodurch es dem Zustellorgan ermöglicht werde, die Briefe leicht aufzufinden. Unter Verweis auf das Urteil des EuGH vom 10. Juli 2018, C 25/17, gelangte das Verwaltungsgericht zu dem Schluss, dass es sich bei den verfahrensgegegenständlichen Briefsendungen zumindest um eine nichtautomatisierte Verarbeitung personenbezogener Daten handle, die in einem Dateisystem gespeichert seien. Die Schlichtung in einem Depotsack diene dazu, Briefsendungen an ihre Empfänger zuzustellen und in diesem Zusammenhang dem Zustellorgan zu ermöglichen, die Briefsendung in wirtschaftlich vertretbarer Zeit zu finden und dem Empfänger zu übergeben. Die physischen Datenträger seien in Form der Briefumschläge und der darin enthaltenen Papierbögen vorhanden.
15 Verantwortliche hätten gemäß Art. 32 Abs. 1 DSGVO geeignete technische und organisatorische Maßnahmen zu treffen, um eine angemessene Sicherheit bei der Verarbeitung von personenbezogenen Daten zu gewährleisten. Für die Verletzung dieser Verpflichtungen maßgeblich sei, ob die ergriffenen Sicherheitsmaßnahmen geeignet und hinreichend seien, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten vor den Risiken, die mit der Datenverarbeitung verbunden seien zu schützen. Beim Abstellen eines Sackes auf einem öffentlichen Gehsteig bestehe das Risiko, dass unbefugte Dritte den vermeintlich herrenlosen Sack an sich nehmen würden, allenfalls um ihn zu beschädigen oder zu vernichten, zu öffnen, um sich zu bereichern oder weil der Eigentumshinweis übersehen werde. Dieses Risiko bestehe vor allem im städtischen Gebiet aufgrund des erhöhten Aufkommens von Passanten. Dass die Mitarbeiterin der Revisionswerberin von der Sicherheitsmaßnahme der Verwahrung der Postsäcke in den bereitgestellten absperrbaren Depots fallbezogen keinen Gebrauch gemacht habe, müsse sich die Revisionswerberin zurechnen lassen. Die Sicherheitsmaßnahmen, die die Revisionswerberin im konkreten Fall ergriffen habe, seien nicht ausreichend gewesen, um die Verfügbarkeit und Vertraulichkeit der von ihr die Betroffenen verarbeiteten personenbezogenen Daten sicherzustellen. Die belangte Behörde habe daher zu Recht festgestellt, dass die Revisionswerberin gegen die ihr auferlegte Pflicht, die Integrität und Vertraulichkeit der Datenverarbeitung sowie erforderliche Sicherheitsmaßnahmen zu gewährleisten, verstoßen habe. Die dagegen erhobene Beschwerde sei daher abzuweisen.
16 Gemäß Art. 33 Abs. 1 DSGVO habe der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden der Verletzung der zuständigen Aufsichtsbehörde zu melden. Die Revisionswerberin hätte nach den oben Gesagten den Vorfall an die Datenschutzbehörde als zuständige Aufsichtsbehörde melden müssen. Sie habe diese Meldung zwischenzeitig jedoch nachgeholt, weshalb die Feststellung, dass keine Meldung erstattet worden sei, nicht mehr zutreffend wäre. Spruchpunkt 2 des bekämpften Bescheides, sei daher mit der Maßgabe zu bestätigen, dass die Revisionswerberin die Meldung nicht innerhalb von 72 Stunden erstattet habe.
17 Spruchpunkt 3 des bekämpften Bescheids, mit welchem der Revisionswerberin die Erstattung der Meldung aufgetragen worden sei, sei wegen der zwischenzeitig erfolgten Meldung durch die Revisionswerberin ersatzlos zu beheben.
18 Die Revision sei zulässig, weil insbesondere zur Frage, wie personenbezogene Daten strukturiert sein müssten, um von einem Dateisystem im Sinne des Art. 2 Abs. 1 DSGVO ausgehen zu können, Rechtsprechung des Verwaltungsgerichtshofs fehle.
19 5. Gegen dieses Erkenntnis in seinem gesamten Umfang richtet sich die vorliegende ordentliche Revision.
20 Die belangte Behörde erstattete eine Revisionsbeantwortung.
21 6. Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 gebildeten Senat erwogen:
22 6.1. Zu Spruchpunkt I.
23 6.1.1. Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 14. Dezember 2021, Ro 2020/04/0032, ausgeführt, dass keine rechtliche Grundlage für einen selbständigen Abspruch über die allfällige Berechtigung der Durchführung eines Verfahrens im Sinne des Art. 58 Abs. 2 DSGVO bzw. der allfälligen Rechtswidrigkeit des jeweils anlassgebenden Verarbeitungsvorgangs besteht. Diese Rechtsauffassung hat der Verwaltungsgerichtshof in seinem Beschluss vom 1. September 2022, Ra 2022/04/0066, bestätigt. Nach dieser gefestigten Rechtsprechung enthält Art. 58 DSGVO keine ausdrückliche rechtliche Grundlage für eine selbständige Feststellung über die allfällige Rechtswidrigkeit eines datenschutzrechtlich relevanten Verarbeitungsvorgangs in einem amtswegig eingeleiteten Verfahren durch die Datenschutzbehörde. § 24 DSG sieht zwar die Möglichkeit der Feststellung einer Verletzung in einem datenschutzrechtlich geschützten Recht über Antrag einer betroffenen Person vor. Diese Bestimmung regelt jedoch die Individualbeschwerde einer in ihrem Recht auf Schutz der sie betreffenden personenbezogenen Daten verletzten Person und ist auf das von der Datenschutzbehörde amtswegig eingeleitete Verfahren weder direkt noch im Wege einer Analogie anwendbar (vgl. wiederum VwGH Ro 2020/04/0032).
24 6.1.2. Entsprechend dieser Judikatur mangelte es auch im vorliegenden Fall an der Rechtsgrundlage für die vom Verwaltungsgericht bestätigten Bescheidpunkte 1. und 2., mit welchen jeweils die von der Behörde aus dem verfahrensgegenständlichen Sachverhalt gefolgerte datenschutzrechtlich relevante Rechtswidrigkeit des den Anlassfall bildenden Tuns (Abstellen des Depotsacks) bzw. Unterlassens (Unterlassen der Meldung gemäß Art. 33 DSGVO) der Revisionswerberin festgestellt wurde. Insofern das Verwaltungsgericht die Beschwerde der Revisionswerberin in ihrem gegen diese Spruchpunkte gerichteten Umfang entgegen der oben zitierten Rechtsprechung des Verwaltungsgerichtshofs abgewiesen hat, hat es seine Entscheidung mit Rechtswidrigkeit des Inhalts belastet. Schon deshalb ist das angefochtene Erkenntnis in diesem Umfang gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
6.2. Zu Spruchpunkt II.
25 Das Verwaltungsgericht hat ferner Spruchpunkt 3 des bekämpften Bescheids, wonach der Revisionswerberin aufgetragen wurde, die Meldung gemäß Art. 33 DSGVO innerhalb von 72 Stunden nachzuholen, ersatzlos behoben.
26 6.2.1. Gemäß § 34 Abs. 1 VwGG sind Revisionen, denen (u.a.) der Mangel der Berechtigung zu ihrer Erhebung entgegensteht, ohne weiteres Verfahren in nichtöffentlicher Sitzung mit Beschluss zurückzuweisen. Gemäß § 34 Abs. 3 leg. cit. ist ein Beschluss nach Abs. 1 in jeder Lage des Verfahrens zu fassen. Die Erhebung einer Revision an den Verwaltungsgerichtshof ist (u.a.) nur dann zulässig, wenn die Möglichkeit besteht, dass die angefochtene Entscheidung in Rechte des Revisionswerbers eingreift (vgl. VwGH 29.9.2015, Ra 2015/05/0064, mwN). Zu einer rein abstrakten Prüfung der Rechtmäßigkeit einer verwaltungsgerichtlichen Entscheidung ist der Verwaltungsgerichtshof nicht berufen (vgl. zum Ganzen etwa VwGH 27.6.2017, Ra 2017/10/0083, mwN).
27 Das somit als Prozessvoraussetzung erforderliche Rechtsschutzbedürfnis besteht im objektiven Interesse des Revisionswerbers an einer Beseitigung der angefochtenen, ihn beschwerenden verwaltungsgerichtlichen Erledigung. Das objektive Interesse des Revisionswerbers an der Kontrolle durch den Verwaltungsgerichtshof gründet in dessen Beschwer. Eine solche liegt vor, wenn das angefochtene verwaltungsgerichtliche Handeln vom Antrag des Revisionswerbers zu dessen Nachteil abweicht (formelle Beschwer) oder mangels Antrages das Verwaltungsgericht den Revisionswerber durch seine Entscheidung belastet. Dieses Rechtsschutzinteresse wird daher immer dann zu verneinen sein, wenn es (aufgrund der geänderten Umstände) für die Rechtsstellung des Revisionswerbers keinen Unterschied mehr macht, ob die angefochtene Entscheidung aufrecht bleibt oder aufgehoben wird, bzw. wenn die Erreichung des Verfahrenszieles für den Revisionswerber keinen objektiven Nutzen hat, also die in der Revision aufgeworfenen Rechtsfragen insoweit nur (mehr) theoretische Bedeutung haben. Fehlte es bereits im Zeitpunkt der Revisionserhebung am erforderlichen Rechtsschutzinteresse, ist die Revision zurückzuweisen (vgl. VwGH 27.2.2018, Ra 2017/05/0208, mwN).
28 6.2.2. Das vorliegend angefochtene Erkenntnis kann die Revisionswerberin mit der ersatzlosen Behebung des Spruchpunkte 3. des bekämpften Bescheides nicht in subjektiven Rechten verletzen: Durch die ersatzlose Behebung mag diese zurecht erfolgt sein oder nicht wurde das von der Revisionswerberin mit Erhebung der Beschwerde gegen den Bescheid verfolgte Rechtsschutzziel vollumfänglich erreicht. Ein über die ersatzlose Behebung hinausgehendes Rechtsschutzinteresse kann der Revisionswerberin nicht zukommen, weshalb der Revision in diesem Umfang die Prozessvoraussetzung der Beschwer mangelt.
29 Dies hat nach dem oben Gesagten zur Zurückweisung der Revision in ihrem den trennbaren Spruchteil A) 1. des angefochtenen Erkenntnisses betreffenden Umfang zu führen.
30 6.3. Der Ausspruch über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 31. Oktober 2023
Rückverweise
