Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak, die Hofrätin Mag. Hainz Sator und den Hofrat Dr. Pürgy als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Bezirkshauptmannschaft Gmünd, gegen den Beschluss des Bundesverwaltungsgerichts vom 26. Juni 2025, Zl. W298 2291079 1/8E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; weitere Partei: Bundesministerin für Justiz; mitbeteiligte Partei: J H), zu Recht erkannt:
Der angefochtene Beschluss wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
1 1. Mit verfahrenseinleitender Eingabe vom 5. Dezember 2023 erhob die Mitbeteiligte eine Datenschutzbeschwerde bei der belangten Behörde, in welcher sie vorbrachte, die Revisionswerberin habe ohne Kenntnis der Mitbeteiligten ein Verfahren nach dem NÖ Jagdgesetz gegen sie eingeleitet. Der in dem Verfahren beigezogene Amtssachverständige habe die Telefonnummer des Arbeitsplatzes der Mitbeteiligten ermittelt und die Büroadresse bzw. Kontaktdaten dazu verwendet, einen Rückruf ausrichten zu lassen. Dadurch habe die Revisionswerberin die Mitbeteiligte in ihrem Recht auf Geheimhaltung verletzt.
2 2. Mit Bescheid vom 1. März 2024 wies die belangte Behörde die Datenschutzbeschwerde im Wesentlichen mit der Begründung ab, dass die Verwendung von Kontaktdaten einer an einem Verwaltungsverfahren beteiligten Person durch die geltenden verfahrensrechtlichen Bestimmungen gedeckt sei.
3 Gegen diesen Bescheid erhob die Mitbeteiligte Beschwerde an das Bundesverwaltungsgericht (Verwaltungsgericht).
43. Mit dem angefochtenen Beschluss gab das Verwaltungsgericht der Beschwerde der Mitbeteiligten insofern Folge, als es den angefochtenen Bescheid gemäß § 28 Abs. 3 zweiter Satz VwGVG behob und die Angelegenheit zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwies.
5 Die Revision erklärte das Verwaltungsgericht für nicht zulässig.
6 Das Verwaltungsgericht traf in seiner Begründung nach Darstellung des Verfahrensverlaufs wörtlich folgende Feststellung:
„Insbesondere wird festgestellt, dass die belangte Behörde keinerlei Ermittlungen dahingehend durchgeführt hat, ob durch Ermittlungsschritte des im jagdrechtlichen Verfahren gegen die Beschwerdeführerin eingesetzten Amtssachverständigen datenschutzrechtliche Pflichten eingehalten wurden.“
7In seiner rechtlichen Beurteilung führte das Verwaltungsgericht nach Wiedergabe mehrerer Rechtssätze aus, die Mitbeteiligte habe den von der Revisionswerberin eingesetzten Amtssachverständigen stets als „Organ“ der Revisionswerberin bezeichnet und sei daher irrig davon ausgegangen, dass dieser der Revisionswerberin datenschutzrechtlich zuzurechnen sei. Die belangte Behörde hätte auf eine Verbesserung der ursprünglichen Datenschutzbeschwerde hinwirken müssen, „nachdem sich aus der Zusammenschau des Antrags der Mitbeteiligten und den Ausführungen worin sie Rechtswidrigkeit der gerügten Rechtsverletzung erblickte, ein aufklärungsbedürftiger Widerspruch ergeben hat“. Jedoch habe die belangte Behörde auch selbst über die Verantwortlicheneigenschaft geirrt: Bei der Definition des Verantwortlichen als jene Person oder Stelle, die über Zweck(e) und Mittel der Verarbeitung entscheide, handle es sich um eine funktionale Sichtweise, der zufolge die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen werde. Das Bundesverwaltungsgericht habe in seiner bisherigen Judikatur zu Sachverständigen in Gerichtsverfahren nach der JN und ZPO die Rechtsansicht vertreten, dass gerichtlich beeidete Sachverständige zumindest gemeinsam mit dem Gericht, das sie mit der Gutachtenserstellung beauftragt habe, als Verantwortliche iSd. Art. 4 Z 7 DSGVO zu betrachten seien, da sie selbständig und eigenverantwortlich über die Mittel entschieden. Soweit durch das mangelhafte Ermittlungsverfahren ersichtlich, habe die Revisionswerberin hinsichtlich der Methodik der Gutachtenserstellung und der Entscheidung, welche personenbezogenen Daten konkret verarbeitet würden, keinerlei Einfluss auf den Inhalt des Gutachtens und auch keine diesbezüglichen Weisungsbefugnisse. Damit werde von den Sachverständigen über wesentliche Aspekte der Mittel entschieden. Die datenschutzrechtliche Kontrolle nach der DSGVO und dem DSG obliege daher dem Amtssachverständigen. Der Amtssachverständige habe im Auftrag der Revisionswerberin Ermittlungen zur Erstellung eines Gutachtens geführt. Es liege keine typische verfahrensrechtliche Situation vor, in der eine Behörde ein rechtsstaatliches Verfahren abführe, und damit auch kein Verwaltungshandeln im engeren Sinn, auf das der Maßstab des Art. 18 B VG anzuwenden sei. Die Frage, ob die Verarbeitung der Daten gegen datenschutzrechtliche Pflichten verstoßen habe, sei sohin nicht mit dem Maßstab des Übermaßverbots begrenzt.
8Nach der Rechtsprechung des Verwaltungsgerichtshofes komme eine Zurückverweisung der Sache an die Verwaltungsbehörde zur Durchführung notwendiger Ermittlungen nach § 28 Abs. 3 zweiter Satz VwGVG insbesondere dann in Betracht, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen habe. Übertragen auf den vorliegenden Sachverhalt bedeute das, dass die belangte Behörde in erster Linie keinerlei Ermittlungen bezüglich des datenschutzrechtlichen Verhaltens des Amtssachverständigen der Revisionswerberin getätigt habe, weil sie rechtsirrig davon ausgegangen sei, dass er der Revisionswerberin zuzurechnen sei. Betreffend die Revisionswerberin habe sie keinerlei Ermittlungen angestellt, weil sie davon ausgegangen sei, dass ein eingeschränkter Prüfmaßstab vorliege.
9 4. Gegen diesen Beschluss richtet sich die außerordentliche Revision, über die das Vorverfahren eingeleitet wurde. Die Mitbeteiligte und die belangte Behörde erstatteten jeweils eine Revisionsbeantwortung.
105. Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen:
11 Die Revisionswerberin Beschwerdegegnerin im behördlichen Verfahren der belangten Behördebringt zur Zulässigkeit der Revision vor, der angefochtene Beschluss weiche von näher bezeichneter Rechtsprechung des Verwaltungsgerichtshofs zum Vorrang der meritorischen Entscheidungsverpflichtung der Verwaltungsgerichte ab; es liege zudem keine Rechtsprechung des Verwaltungsgerichtshofs zur datenschutzrechtlichen Verantwortlichkeit von Amtssachverständigen im Sinne des § 52 AVG vor. Zudem sei der angefochtene Beschluss vor dem Hintergrund der einschlägigen Rechtsprechung des Verwaltungsgerichtshofs mangelhaft begründet.
12 Die Revision erweist sich als zulässig und begründet.
13 5.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung), lauten auszugsweise:
„ Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[...]
7. ,Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[...]
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
[...]
e)die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
[...]
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a)Unionsrecht oder
b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
[...]“
14 § 24 des Datenschutzgesetzes, BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017, lautet auszugsweise:
„Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
[...]
2.soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
[...]“
155.2. Das aufgrund einer Datenschutzbeschwerde geführte Verfahren ist ein antragsgebundenes Verfahren. Grundsätzlich liegt die Benennung des Beschwerdegegners (somit der Person, die Adressat des beantragten Bescheides der DSB sein soll) in der Disposition des Antragstellers (somit der betroffenen Person, die eine Datenschutzbeschwerde erhebt). In den Fällen, in denen die betroffene Person in ihrem Antrag unmissverständlich bzw. unzweifelhaft eine bestimmte Person als Verantwortlichen benennt, besteht für die DSB daher keine Möglichkeit, das Verfahren gegen eine andere Person zu führen (vgl. VwGH 5.6.2025, Ra 2024/04/0008, Pkt. 4.2.).
16 Der Text des verfahrenseinleitenden Antrages lautete auszugsweise wie folgt: Die Mitbeteiligte sei „durch die unrechtmäßig von mir ermittelten Daten, nämlich meinen Hauptberuf als Ladnerin, meine Arbeitsplatzadresse in [...], der Firmennummer meines Arbeitgebers und dem Komprimieren durch einen ‚sogenannten Privatanruf‘ am Firmentelefon durch ein von der [Revisionswerberin] bestelltes Organ, bin ich im Schutz meiner Daten durch die [Revisionswerberin] verletzt worden“. Ausgehend von diesem Wortlaut ist nicht ersichtlich, inwiefern Zweifel an der eindeutigen Bezeichnung der Beschwerdegegnerin bestehen sollten, zumal auch in der Einleitung des Schreibens der Mitbeteiligten der verfahrenseinleitende Antrag ausdrücklich als Beschwerde wegen einer Datenschutzverletzung durch die Revisionswerberin bezeichnet wird.
17 Vor diesem Hintergrund hat das Verwaltungsgericht verkannt, dass die belangte Behörde das datenschutzrechtliche Verfahren zu Recht gegen die Revisionswerberin als Beschwerdegegnerin geführt und den in der Folge von der Mitbeteiligten bekämpften Bescheid auch gegenüber der Revisionswerberin erlassen hat. Die auf den Austausch der Person des Beschwerdegegners abzielende Begründung des Verwaltungsgerichts erweist sich als rechtswidrig und kann die Aufhebung des angefochtenen Bescheids nicht begründen.
18 Im Übrigen ist darauf zu verweisen, dass zur Bestimmung der Verantwortlichenstellung im Sinne des Art. 4 Z 7 DSGVO stets zu ermitteln ist, wem ein Handeln zuzuordnen ist; den handelnden Personen selbst, oder der Organisation, für die eine natürliche Person gegebenenfalls tätig wird (vgl. Hödl in Knyrim, DatKomm, Art. 4 Rz 81). Inwiefern im vorliegenden Fall des Einschreitens eines Organs der Revisionswerberin im Rahmen des ihm übertragenen Aufgabenbereichs das Handeln nicht der Revisionswerberin zuzurechnen wäre, ist ausgehend vom Vorbringen im verfahrenseinleitenden Antrag nicht ersichtlich.
19 5.3. Aus dem oben Gesagten ergibt sich, dass Gegenstand des verwaltungsgerichtlichen Verfahrens die vorgebrachte datenschutzrechtliche Verletzung durch die Revisionswerberin ist, wobei der zugrunde liegende Sachverhalt soweit ersichtlich unstrittig ist. Dass die Mitbeteiligte telefonisch an ihrem Arbeitsplatz von einem Organ der Revisionswerberin im Zusammenhang mit einem bei der Revisionswerberin geführten Verwaltungsverfahren kontaktiert wurde, ist laut Akteninhalt unstrittig.
20Zum Vorbringen der Revisionswerberin, das Verwaltungsgericht habe überdies gegen § 28 Abs. 3 zweiter Satz VwGVG verstoßen, ist auf die ständige Rechtsprechung des Verwaltungsgerichtshofs zu verweisen, dass die genannte Bestimmung der meritorischen Entscheidungspflicht durch die Verwaltungsgerichte einen prinzipiellen Vorrang einräumt. Von der Möglichkeit der Zurückverweisung kann nur bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht werden. Selbst Bescheide, die in der Begründung dürftig sind, rechtfertigen keine Zurückverweisung der Sache, wenn brauchbare Ermittlungsergebnisse vorliegen, die im Zusammenhalt mit einer allenfalls durchzuführenden Verhandlung (§ 24 VwGVG) zu vervollständigen sind. Wenn die Verwaltungsbehörde aber jegliche erforderliche Ermittlungstätigkeit unterlassen, lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat, so sind die Voraussetzungen für eine Zurückverweisung iSd. § 28 Abs. 3 zweiter Satz VwGVG erfüllt. Die Anwendung von allgemeinen verfahrensrechtlichen Grundsätzenhier die Zurückverweisung nach § 28 Abs. 3 zweiter Satz VwGVGist idR eine Frage des Einzelfalls, die nur revisibel ist, wenn das Verwaltungsgericht diese Grundsätze durch ein unvertretbares Vorgehen verletzt hätte (vgl. VwGH 27.12.2024, Ra 2024/04/0440, mwN).
21 Insofern die Revision unter Hinweis auf diese Rechtsprechung vorbringt, dass das Verwaltungsgericht in der Sache selbst entscheiden müsse und hierbei von der Judikatur des Verwaltungsgerichtshofs abgewichen sei, da nach der Rechtsprechung von der Möglichkeit der Zurückverweisung nur bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht werden dürfe, eine solche besondere Ermittlungslücke aber verfahrensgegenständlich überhaupt nicht vorliege, ist dem insofern zuzustimmen, als nicht ersichtlich ist, welche Ermittlungsschritte die belangte Behörde angesichts des unstrittigen Sachverhalts unterlassen hat. Die Frage, ob das Organ der Revisionswerberin im Zuge der Führung des verwaltungsbehördlichen Verfahrens die Kontaktdaten betreffend den Arbeitsplatz der Mitbeteiligten ermitteln durfte, ohne gegen das Grundrecht auf Geheimhaltung personenbezogener Daten zu verstoßen, bildet dabei eine reine Rechtsfrage.
225.4. Der angefochtene Beschluss war aus den oben dargestellten Erwägungen wegen Rechtswidrigkeit seines Inhaltes gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
Wien, am 19. November 2025
Rückverweise
Keine Verweise gefunden
