Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak sowie die Hofrätin Mag. Hainz Sator und den Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 15. Dezember 2022, Zl. W256 2230543 1/14E, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Parteien: 1. Dr. M P, MA, und 2. Stadtmagistrat Innsbruck; weitere Partei: Bundesministerin für Justiz), den Beschluss gefasst:
Die Revision wird zurückgewiesen.
1 1.1. Der Erstmitbeteiligte erhob eine Datenschutzbeschwerde gegen „die Verantwortlichen der ‚MÜG‘ (eine Art Stadtpolizei) bzw. die Herren R J vom Stadtmagistrat Innsbruck wegen Verletzung der Datenschutzgrundverordnung bzw. des DSG § 1 usw.“ wegen unerlaubter Weitergabe seiner E Mail Adresse, unerlaubter Weiterleitung bzw. Veröffentlichung des Inhaltes bestimmter E Mails des Erstmitbeteiligten, die jeweils im Zusammenhang mit der Anzeige von Verstößen gegen die Parkordnung im Raum der Stadt Innsbruck standen.
2 1.2. Mit Bescheid vom 11. Februar 2020 wurde der Datenschutzbeschwerde des Erstmitbeteiligten soweit für das Revisionsverfahren von Relevanz Folge gegeben und von der Revisionswerberin die Feststellung ausgesprochen, der Zweitmitbeteiligte habe den Erstmitbeteiligten dadurch in seinem Recht auf Geheimhaltung verletzt, dass er in der Zeit von „2018 bis Mitte April 2019“ personenbezogene Daten des Erstmitbeteiligten (konkret: Name, E Mail Adresse sowie die Information, dass der Erstmitbeteiligte eine Anzeige eingebracht habe) an Dritte übermittelt habe.
3 Zwei weitere Anträge des Erstmitbeteiligten wurden ab bzw. zurückgewiesen. Der Bescheid der Revisionswerberin blieb in diesem Umfang unangefochten, weshalb diese Anträge nicht Gegenstand des Revisionsverfahrens sind.
4 1.3. Gegen die Feststellung der Rechtsverletzung erhob der Zweitmitbeteiligte Beschwerde an das Verwaltungsgericht. Ausgehend von den Sachverhaltsfeststellungen im angefochtenen Bescheid sei davon auszugehen, dass die inkriminierte datenschutzrechtliche Verletzung im Rahmen von Verwaltungsstrafverfahren erfolgt sei. Der Zweitmitbeteiligte fungiere im Zusammenhang mit der Durchführung dieser Strafverfahren jedoch lediglich als Hilfsorgan des Bürgermeisters, dem diese Aufgabe im Rahmen der Geschäfte des übertragenen Wirkungsbereichs zukomme.
5 2. Mit dem angefochtenen Erkenntnis gab das Verwaltungsgericht der Beschwerde des Zweitmitbeteiligten Folge und änderte den angefochtenen Bescheid dahingehend ab, dass die Datenschutzbeschwerde des Erstmitbeteiligten abgewiesen werde. Die Revision erklärte das Verwaltungsgericht für nicht zulässig.
6 Das Verwaltungsgericht ging von folgenden Feststellungen aus: Der Erstmitbeteiligte habe seit dem Jahr 2018 bis Mitte April 2019 zahlreiche Privatanzeigen an das Referat „Verkehrs und Sicherheitsstrafen“ des Zweitmitbeteiligten gegen Fahrzeuglenker aufgrund mutmaßlicher Verstöße gegen die StVO herangetragen. Aufgrund dieser Anzeigen seien gegen die angezeigten Lenker Verwaltungsstrafverfahren eingeleitet worden. Im Zuge dieser Verwaltungsstrafverfahren sei den Beschuldigten über ihr Verlangen Akteneinsicht gewährt worden, wobei diese jeweils auch die (ungeschwärzte) Anzeige des Erstmitbeteiligten umfasst habe. Dadurch sei den Beschuldigten der Name des Erstmitbeteiligten, dessen E Mail Adresse sowie der Umstand der Einbringung einer Anzeige offengelegt worden.
7 Die vorliegende Datenschutzbeschwerde habe sich konkret gegen den Zweitmitbeteiligten gewendet. Der Zweitmitbeteiligte könne als eigenständig rechtlich geregelte Einrichtung im Rahmen der ihm zur Durchführung übertragener Aufgaben auch datenschutzrechtlich Verantwortlicher sein.
8 Fallbezogen sei es aufgrund der Anzeigen des Erstmitbeteiligten zu Verwaltungsstrafverfahren gekommen und es sei den jeweiligen Beschuldigten über deren Begehren Akteneinsicht auch in Bezug auf die nicht geschwärzte Anzeige des Erstmitbeteiligten gewährt worden. Den in Rede stehenden Verwaltungsstrafverfahren lägen Übertretungen nach der StVO zu Grunde, welche keine Bestimmungen über die sachliche Zuständigkeit enthalte. Diese fielen daher in die Zuständigkeit der Bezirksverwaltungsbehörden, in der Landeshauptstadt Innsbruck nach deren Stadtrecht somit in die Zuständigkeit des Bürgermeisters. Der Zweitmitbeteiligte sei insoweit nur Hilfsorgan des Bürgermeisters. Somit habe der Zweitmitbeteiligte die festgestellten Verfahren schon aufgrund von (verfassungs)rechtlichen Vorgaben nicht im eigenen Namen, sondern allein für den Bürgermeister durchgeführt, weshalb der Zweitmitbeteiligte hier nach dem oben Gesagten nicht als Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO qualifiziert und damit letztlich auch nicht belastet werden könne.
9 3. Gegen dieses Erkenntnis richtet sich die außerordentliche Revision der Datenschutzbehörde.
10 4. Nach Art. 133 Abs. 4 B VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
11 Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Art. 133 Abs. 4 B VG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.
12 Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 B VG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 B VG hat der Verwaltungsgerichtshof ausschließlich im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.
13 4.1. Die Revisionswerberin bringt zur Begründung der Zulässigkeit vor, es stelle sich die grundsätzliche Rechtsfrage, ob im öffentlichen Bereich lediglich die (oberste) Behörde oder auch deren Geschäftsapparat als datenschutzrechtlich Verantwortlicher gemäß Art. 4 Z 7 DSGVO qualifiziert werden könne.
14 4.2. Verantwortlicher nach Art. 4 Z 7 DSGVO kann eine „natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle“ sein, und zwar unabhängig davon, ob die juristische Person, Behörde, Einrichtung oder sonstige Stelle öffentlich-rechtlich oder privatrechtlich organisiert ist (vgl. VwGH 27.3.2025, Ro 2022/04/0023, Rn. 16, mit Hinweis auf OGH 18.2.2025, 6 Ob 102/24d, Rn. 13).
15 Dass der Zweitmitbeteiligte grundsätzlich unter das personenbezogene Tatbestandsmerkmal des Art. 4 Z 7 DSGVO jede „natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle“ subsumiert werden kann , unterliegt keinem Zweifel. Die insofern bereits geklärte Rechtslage bedarf hier keiner weiteren Erörterung (vgl. zum Fehlen einer Rechtsfrage von grundsätzlicher Bedeutung bei klarer Rechtslage etwa VwGH 5.12.2019, Ra 2019/06/0246, Rn. 11, mwN).
16 4.3. Der Verwaltungsgerichtshof hat in seinem Erkenntnis vom 27. März 2025, Ro 2022/04/0023, Rn. 24, auch Folgendes festgehalten:
„ 5.4.2. Art. 4 Z 10 DSGVO definiert den Begriff ‚Dritter‘ als eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.
Hierzu führen die Leitlinien des EDSA 07/2020 zu den Begriffen ‚Verantwortlicher‘ und ‚Auftragsverarbeiter‘ in der DSGVO, Version 2.0 angenommen am 7. Juli 2021 (Rn. 88 f) Folgendes aus:
‚Während die Begriffe ‚personenbezogene Daten‘, ‚betroffene Person‘, ‚Verantwortlicher ‘ und ‚Auftragsverarbeiter‘ in der Verordnung definiert sind, ist der Begriff ‚Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, personenbezogene Daten zu verarbeiten‘ nicht definiert. Er wird jedoch im Allgemeinen so verstanden, dass er sich auf Personen bezieht, die zur rechtlichen Einheit des Verantwortlichen oder des Auftragsverarbeiters gehören (also Beschäftigter sind oder eine mit der Rolle von Beschäftigten in hohem Maße vergleichbare Rolle haben, z. B. Zeitarbeitskräfte, die über ein Leiharbeitsunternehmen bereitgestellt werden), jedoch nur insoweit, als sie zur Verarbeitung personenbezogener Daten befugt sind. Ein Beschäftigter usw., der Zugang zu Daten erlangt, zu denen er keinen Zugang haben darf, und dies für andere Zwecke als denen des Arbeitgebers, fällt nicht unter diese Kategorie. Vielmehr sollte dieser Beschäftigte mit Blick auf die vom Arbeitgeber vorgenommene Verarbeitung als Dritter betrachtet werden. Soweit der Beschäftigte personenbezogene Daten für eigene Zwecke verarbeitet, die sich von denen seines Arbeitgebers unterscheiden, wird er als Verantwortlicher betrachtet und übernimmt alle sich daraus ergebenden Konsequenzen und Pflichten in Bezug auf die Verarbeitung personenbezogener Daten.
Der Ausdruck ‚Dritter‘ bezeichnet somit eine Person, die in der konkreten Situation weder eine betroffene Person noch ein Verantwortlicher, Auftragsverarbeiter oder Beschäftigter ist. Beispielsweise kann der Verantwortliche einen Auftragsverarbeiter beauftragen und ihn anweisen, personenbezogene Daten an einen Dritten zu übermitteln. Dieser Dritte gilt dann als eigenständiger Verantwortlicher für die Verarbeitung, die er für seine eigenen Zwecke durchführt.‘
...“
17 Die Frage der Verantwortlichenstellung ist unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen (vgl. wiederum VwGH 27.3.2025, Ro 2022/04/0023, Rn. 29). Eine solche einzelfallbezogene Beurteilung ist im Allgemeinen wenn sie auf einer verfahrensrechtlich einwandfreien Grundlage erfolgte und in vertretbarer Weise im Rahmen der von der Rechtsprechung entwickelten Grundsätze vorgenommen wurde nicht revisibel (vgl. VwGH 8.5.2025, Ra 2024/15/0010, Rn. 12, mwN).
18 Dass die Beurteilung des Verwaltungsgerichts, welches ausgehend von den fallbezogenen Umständen, namentlich der Zuständigkeit des Bürgermeisters für die hier maßgeblichen Verwaltungsstrafverfahren, die Stellung des Zweitmitbeteiligten als bloßes Hilfsorgan qualifizierte, das für dieses monokratische Organ, das die Verantwortung für die betreffenden Verfahren trägt, gehandelt habe, unvertretbar sei, zeigt die Revision mit der Zulässigkeitsbegründung nicht auf.
19 In der Revision werden somit keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 B VG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.
Wien, am 16. September 2025
Rückverweise
