RIS Dokument GerichtBVwG Entscheidungsdatum04.04.2019 GeschäftszahlW214 2207491-1 SpruchW214 2207491-1/14E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-

§ 28Abs. 1 und 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idg

F (VwGVG), ersatzlos behoben.Der Beschwerde wird stattgegeben und die Beschwerdevorentscheidung

Paragraph 28, Absatz eins und 2 Verwaltungsgerichtsverfahrensgesetz, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013, idgF (VwGVG), ersatzlos behoben. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

ENTSCHEIDUNGSGRÜNDE: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. In einer Beschwerde, die im April 2018 bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) einlangte, wurde vom Einschreiter ausgeführt, dass die XXXX (Beschwerdeführerin in Verfahren vor dem Bundesverwaltungsgericht) Fahrzeuge per GPS überwache. Die Arbeitnehmer hätten bei Fahrzeugübernahme eine diesbezügliche Einverständniserklärung unterzeichnen müssen, was mit einem eventuellen Diebstahl des Fahrzeuges erklärt worden sei. Das System werde aber zur Überwachung der Arbeitnehmer verwendet. Es sei eine punktgenaue Ortung des Arbeitnehmers durch den Arbeitgeber möglich. Mitarbeiter seien bereits wegen Unpünktlichkeit gerügt bzw. gefragt worden, weshalb man zwischendurch bei einem Geschäft stehen geblieben sei.
2. In einer Beschwerde, die im April 2018 bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) einlangte, wurde vom Einschreiter ausgeführt, dass die römisch 40 (Beschwerdeführerin in Verfahren vor dem Bundesverwaltungsgericht) Fahrzeuge per GPS überwache. Die Arbeitnehmer hätten bei Fahrzeugübernahme eine diesbezügliche Einverständniserklärung unterzeichnen müssen, was mit einem eventuellen Diebstahl des Fahrzeuges erklärt worden sei. Das System werde aber zur Überwachung der Arbeitnehmer verwendet. Es sei eine punktgenaue Ortung des Arbeitnehmers durch den Arbeitgeber möglich. Mitarbeiter seien bereits wegen Unpünktlichkeit gerügt bzw. gefragt worden, weshalb man zwischendurch bei einem Geschäft stehen geblieben sei.
3. Die belangte Behörde leitete daraufhin ein Kontroll- und Ombudsmannverfahren

§ 30

DSG 2000 ein und ersuchte die nunmehrige Beschwerdeführerin mit Schreiben vom 20.04.2018 um Stellungnahme.2. Die belangte Behörde leitete daraufhin ein Kontroll- und Ombudsmannverfahren

Paragraph 30, DSG 2000 ein und ersuchte die nunmehrige Beschwerdeführerin mit Schreiben vom 20.04.2018 um Stellungnahme.

1. Die (nunmehrige) Beschwerdeführerin nahm mit Schreiben vom 02.05.2018 Stellung und verwies darauf, dass von den Fahrern eine Zustimmungserklärung eingeholt worden sei. Das GPS-System werde zum Schutz und zur Sicherheit für ihr Eigentum (Versicherungsbonus), zur monatlichen Abrechnung mit der Leasingfirma, zur Routenplanung und -optimierung, zur Disposition und als Fahrtenbuch genutzt, hingegen nicht zur Mitarbeiterüberwachung. Weiters wurde auf einen Link der Hersteller-Homepage verwiesen.
2. Mit Schreiben vom 09.05.2018 ersuchte die belangte Behörde die (nunmehrige) Beschwerdeführerin um Übermittlung einer Musterzustimmung. Weiters wurde um Mitteilung ersucht, ob bezüglich des GPS-Systems eine Betriebsvereinbarung vorliege. Sofern kein Betriebsrat eingerichtet sei, werde die Beschwerdeführerin ersucht mitzuteilen, ob eine Zustimmung nach § 10 AVRAG vorliege (diese wäre gegebenenfalls ebenso an die belangte Behörde zu übermitteln).
3. Mit Schreiben vom 09.05.2018 ersuchte die belangte Behörde die (nunmehrige) Beschwerdeführerin um Übermittlung einer Musterzustimmung. Weiters wurde um Mitteilung ersucht, ob bezüglich des GPS-Systems eine Betriebsvereinbarung vorliege. Sofern kein Betriebsrat eingerichtet sei, werde die Beschwerdeführerin ersucht mitzuteilen, ob eine Zustimmung nach Paragraph 10, AVRAG vorliege (diese wäre gegebenenfalls ebenso an die belangte Behörde zu übermitteln).
4. Die Beschwerdeführerin legte daraufhin mit Schreiben vom 14.05.2018 eine "Vereinbarung über die Bestellung zum verantwortlichen Beauftragten" vor.
5. Daraufhin forderte die belangte Behörde die Beschwerdeführerin nochmals auf, die Fragen nach der Betriebsvereinbarung oder nach Zustimmung nach § 10 AVRAG zu beantworten. Weiters wurde um Mitteilung der Speicherdauer der GPS-Daten gebeten.
6. Daraufhin forderte die belangte Behörde die Beschwerdeführerin nochmals auf, die Fragen nach der Betriebsvereinbarung oder nach Zustimmung nach Paragraph 10, AVRAG zu beantworten. Weiters wurde um Mitteilung der Speicherdauer der GPS-Daten gebeten.
7. Mit Schreiben vom 18.05.2018 teilte die nunmehrige Beschwerdeführerin mit, dass sie die Frage nach einer Betriebsvereinbarung mangels Betriebsrat nicht beantwortet habe und die Zustimmung zum GPS-System auch in Beantwortung der Frage nach der Zustimmung nach dem AVRAG erfolgt sei. Laut Hersteller des GPS-Systems betrage die derzeitige Speicherdauer 93 Tage, wobei der Hersteller mitgeteilt habe, dass derzeit noch nicht bekannt sei, ob sich diese aufgrund der sich ändernden regulativen Vorgaben womöglich ändern werde. In der Anlage werde zum besseren Verständnis ein Screenshot übermittelt.
8. In einer erneuten Aufforderung zur Stellungnahme vom 25.05.2018 erging seitens der belangten Behörde an die nunmehrige Beschwerdeführerin ein Hinweis auf die nunmehrige Geltung der DSGVO und dass daher im gegenständlichen Verfahren ein Bescheid zu erlassen sei. Es werde um Mitteilung gebeten, ob die übermittelte Mustereinwilligung anlässlich der Geltung der DSGVO überarbeitet worden sei oder ob die Mustereinwilligung nach wie vor in dieser Form zum Einsatz käme.
9. Mit Schreiben vom 04.06.2018 teilte die Beschwerdeführerin mit, dass eine neue, der DSGVO entsprechende Mitarbeitereinwilligung zur Anwendung komme. Diese war der Stellungnahme angeschlossen. In dieser Zustimmungserklärung waren die Art des Systems, die Datenarten, die Zwecke und die Angabe, dass die Daten nicht an Drittstaaten übermittelt würden, enthalten. Die Daten würden für 93 Tage und darüber hinaus im Rahmen der gesetzlichen Aufbewahrungspflichten aufbewahrt. Im Einzelfall könnten Daten, die für die Geltendmachung oder für die Abwehr von Ansprüchen erforderlich seien, länger aufbewahrt werden. Weiters wurde auf das Recht hingewiesen, die Einwilligung zu widerrufen, und wurde ein Ansprechpartner für allfällige Rückfragen angegeben.
10. Mit Schreiben vom 22.06.2018 teilte die belangte Behörde der Beschwerdeführerin mit, dass das Verfahren nunmehr unter einer neuen Geschäftszahl fortgeführt werde. Weiters wurden einige weitere Fragen an die Beschwerdeführerin gestellt.
11. In ihrer Stellungnahme, datiert mit 13.07.2018, führte die Beschwerdeführerin aus, dass auf die Software ausschließlich der Geschäftsführer Zugriff habe. Die Frage, ob in der Vergangenheit Mitarbeiter bzw. Fahrer befragt worden seien, weshalb diese sich zu einer gewissen Zeit an einem gewissen Standort befunden hätten, wurde verneint. Die Frage, welche Maßnahmen getroffen worden seien, um sicherzustellen, dass jene Mitarbeiter, die Zugriff auf die GPS-Software hätten, die GPS Daten nicht in unzulässiger Weise missbrauchten, wurde mit dem Hinweis darauf beantwortet, dass nur der Geschäftsführer Zugriff habe. Die Frage, ob die Funktion bereits in Anspruch genommen worden sei, dass Berichte in Form von PDF-Dateien erstellt würden, die eine genaue Analyse ermöglichen (wo und wie lange das Fahrzeug gestanden sei, wie viele Kilometer zurückgelegt worden seien und wie pünktlich das Fahrzeug gewesen sei), wurde dahingehend beantwortet, dass die Funktion lediglich stichprobenweise zu jenen Mitarbeitern abgerufen worden sei, die wegen kleinen Sachbezugs/oder der Verwendung eines Pool-Autos zur Führung eines Fahrtenbuches verpflichtet seien. Auf die Frage, wie viele Mitarbeiter bereits die neue Mustereinwilligung unterzeichnet hätten, wurde geantwortet, dass alle Mitarbeiter bereits eingewilligt hätten. Auf die Frage, welche Folgen es für den Arbeitnehmer hätte, wenn er keine Einwilligung erteile bzw. wenn er eine bereits erteilte Einwilligung widerrufe, führte die Beschwerdeführerin aus, dass diese Frage sich bis dato nie gestellt habe, weil die Mitarbeiter ohnehin keine Bedenken betreffend die branchenübliche Verwendung der GPS-Systeme hätten. Sollte einmal keine Einwilligung gegeben werden oder diese widerrufen werden, würde sodann für den jeweiligen Mitarbeiter kein Fahrzeug mit GPS-System Verwendung finden. Zur Frage, ob - unter der Annahme, dass für den Arbeitnehmer die Einwilligung zur Verwendung des GPS-Trackers Voraussetzung sei, um auch tatsächlich als Fahrer tätig zu sein und die Nicht-Einwilligung die Auflösung des Arbeitsverhältnisses bzw. die Nichteinstellung zur Folge hätte - aus Sicht der Beschwerdeführerin die Einwilligung freiwillig abgegeben werden könne, wurde geantwortet, dass es sich um eine hypothetische Frage handle, die auf eine rechtliche Beurteilung abziele, die nach dem Verständnis der Beschwerdeführerin die belangte Behörde oder ein Arbeitsgericht zu beurteilen hätte, jedoch nicht von der Beschwerdeführerin zu beantworten sei.
12. Mit dem angefochtenen Bescheid vom 08.08.2018, zugestellt am 14.08.2018, entschied die belangte Behörde "im Rahmen eines amtswegigen Prüfverfahrens aus Anlass einer anonymen Eingabe im vorangehenden Kontrolle und Ombudsmannverfahren [...] betreffend Einwilligung der Arbeitnehmer zur Nutzung eines GPS-Systems für unternehmenseigene Fahrzeuge" gegen die nunmehrige Beschwerdeführerin wie folgt:
13. Das amtswegige Prüfverfahrens sei berechtigt gewesen und es werde festgestellt, dass die Einwilligung der Arbeitnehmer zur Nutzung eines GPS-Systems für firmeneigene Fahrzeuge nicht freiwillig erfolge.
14. Die nunmehrige Beschwerdeführerin werde angewiesen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution die Verarbeitung (Nutzung des GPS-Systems für firmeneigene Fahrzeuge) in Einklang mit der Datenschutz-Grundverordnung zu bringen. Begründend führte die belangte Behörde Folgendes aus: Verfahrensgegenstand sei die Frage, ob die seitens der Beschwerdeführerin eingeholte datenschutzrechtliche Einwilligung der Arbeitnehmer zur Nutzung eines GPS-Systems für firmeneigene Fahrzeuge freiwillig erfolge. Eine Einwilligung sei im Beschäftigungskontext zwar nicht grundsätzlich ausgeschlossen, jedoch müsse dies zu einem erkennbaren Vorteil der Arbeitnehmer gereichen. Dies sei im konkreten Fall nicht gegeben. Die Beschwerdeführerin führe etwa Schutz bzw. Sicherheit des Firmeneigentums, Erleichterung der monatlichen Abrechnung mit der Leasingfirma, Routenplanung und -optimierung sowie einen Versicherungsbonus ins Treffen. Dabei übersehe sie jedoch, dass diese Faktoren zwar im Rahmen einer Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO berücksichtigt werden könnten, nicht jedoch im Rahmen der Beurteilung der Freiwilligkeit einer Einwilligung. Die Beschwerdeführerin habe als Verantwortliche die Einhaltung der DSGVO zu gewährleisten. Von einer freiwilligen Einwilligung könne nicht ausgegangen werden. Die wahrscheinliche Konsequenz wäre, dass ein Arbeitnehmer das Dienstverhältnis (als Fahrer) ohne Einwilligung nicht eingehen könne bzw. dass ein aufrechtes Dienstverhältnis ohne Einwilligung beendet werden würde.Eine Einwilligung sei im Beschäftigungskontext zwar nicht grundsätzlich ausgeschlossen, jedoch müsse dies zu einem erkennbaren Vorteil der Arbeitnehmer gereichen. Dies sei im konkreten Fall nicht gegeben. Die Beschwerdeführerin führe etwa Schutz bzw. Sicherheit des Firmeneigentums, Erleichterung der monatlichen Abrechnung mit der Leasingfirma, Routenplanung und -optimierung sowie einen Versicherungsbonus ins Treffen. Dabei übersehe sie jedoch, dass diese Faktoren zwar im Rahmen einer Interessenabwägung nach Artikel 6, Absatz eins, Litera f, DSGVO berücksichtigt werden könnten, nicht jedoch im Rahmen der Beurteilung der Freiwilligkeit einer Einwilligung. Die Beschwerdeführerin habe als Verantwortliche die Einhaltung der DSGVO zu gewährleisten. Von einer freiwilligen Einwilligung könne nicht ausgegangen werden. Die wahrscheinliche Konsequenz wäre, dass ein Arbeitnehmer das Dienstverhältnis (als Fahrer) ohne Einwilligung nicht eingehen könne bzw. dass ein aufrechtes Dienstverhältnis ohne Einwilligung beendet werden würde.
15. Dagegen erhob die Beschwerdeführerin mit Schriftsatz vom 10.09.2018, eingelangt bei der belangten Behörde am 12.09.2018, eine Beschwerde an das Bundesverwaltungsgericht. Darin wurde ausgeführt, dass die belangte Behörde im amtswegigen Prüfverfahren einzig und allein die Frage gestellt habe, ob die von der Beschwerdeführerin eingeholte datenschutzrechtliche Einwilligung der Arbeitnehmer zur Nutzung eines GPS-Systems für ihre firmeneigenen Fahrzeuge freiwillig erfolgt sei. Zur Freiwilligkeit habe die belangte Behörde auf eine Mutmaßung abgestellt, die nicht zutreffe, und wenn doch, überhaupt keinen Raum für Freiwilligkeit lasse. Die belangte Behörde habe unverständlicherweise nicht geprüft, ob die Beschwerdeführerin ein berechtigtes Interesse im Sinne des Art. 6 DSGVO an der Nutzung eines GPS-Systems für ihre firmeneigenen Fahrzeuge habe, obwohl ein solches auf der Hand liege. Bei ordnungsgemäßer Prüfung hätte die belangte Behörde auch das berechtigte Interesse prüfen müssen.

Art. 6Abs.

1 lit. c DSGVO sei die Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich sei, welche der Verantwortliche unterliege. Da bei der Beschwerdeführerin kein Betriebsrat installiert sei, mit dem eine entsprechende Betriebsvereinbarung ausgehandelt werden könnte, bestehe

§ 10

AVRAG eine gesetzliche Verpflichtung, im Fall der Einführung und Verwendung von Kontrollmaßnahmen und technischen Systemen eine entsprechende Vereinbarung mit jedem Mitarbeiter abzuschließen. Da diese Vereinbarung nicht nur Voraussetzung für die Erfüllung der im Dienstvertrag festgelegten Aufgaben und der im Unternehmen etablierten Prozesse sei, sondern auch

§ 10

AVRAG vom Gesetzgeber gefordert werde, könne nicht davon gesprochen werden, dass die Leistung der Unterschrift nicht freiwillig erfolgt sei bzw. dass der Arbeitnehmer das Dienstverhältnis ohne Einwilligung nicht eingehen könne. Eine Einstellung (der Arbeitnehmer, Anm.) bzw. Verwendung des Systems ohne eine derartige schriftliche Vereinbarung wäre nicht gesetzeskonform und daher per se ungültig.Die belangte Behörde habe unverständlicherweise nicht geprüft, ob die Beschwerdeführerin ein berechtigtes Interesse im Sinne des Artikel 6, DSGVO an der Nutzung eines GPS-Systems für ihre firmeneigenen Fahrzeuge habe, obwohl ein solches auf der Hand liege. Bei ordnungsgemäßer Prüfung hätte die belangte Behörde auch das berechtigte Interesse prüfen müssen.

Artikel 6

, Absatz eins, Litera c, DSGVO sei die Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich sei, welche der Verantwortliche unterliege. Da bei der Beschwerdeführerin kein Betriebsrat installiert sei, mit dem eine entsprechende Betriebsvereinbarung ausgehandelt werden könnte, bestehe

Paragraph 10, AVRAG eine gesetzliche Verpflichtung, im Fall der Einführung und Verwendung von Kontrollmaßnahmen und technischen Systemen eine entsprechende Vereinbarung mit jedem Mitarbeiter abzuschließen. Da diese Vereinbarung nicht nur Voraussetzung für die Erfüllung der im Dienstvertrag festgelegten Aufgaben und der im Unternehmen etablierten Prozesse sei, sondern auch

Paragraph 10, AVRAG vom Gesetzgeber gefordert werde, könne nicht davon gesprochen werden, dass die Leistung der Unterschrift nicht freiwillig erfolgt sei bzw. dass der Arbeitnehmer das Dienstverhältnis ohne Einwilligung nicht eingehen könne. Eine Einstellung (der Arbeitnehmer, Anmerkung bzw. Verwendung des Systems ohne eine derartige schriftliche Vereinbarung wäre nicht gesetzeskonform und daher per se ungültig. Weiters bestehe

§ 17

AZG die gesetzliche Pflicht zum Führen eines Fahrtenbuches, wenn das Kraftfahrzeug weder mit einem analogen noch mit einem digitalen Kontrollgerät ausgerüstet sei, oder wenn auf die Verwendung eines Kontrollgerätes verzichtet werde. Durch die Art der Aufzeichnung entfalle für Mitarbeiter, die das so genannte "kleine Pauschale" hinsichtlich der steuerlichen Anrechnung von Firmenfahrzeugen hätten, durch den Einbau des GPS-Systems das Führen eines Fahrtenbuches. Dies sei ein klarer Vorteil für die Mitarbeiter. Mit der Unterschrift der Mitarbeiter werde nicht das Einverständnis dieser eingeholt, sondern lediglich die Information über diese Art der Aufzeichnung bestätigt.Weiters bestehe

Paragraph 17, AZG die gesetzliche Pflicht zum Führen eines Fahrtenbuches, wenn das Kraftfahrzeug weder mit einem analogen noch mit einem digitalen Kontrollgerät ausgerüstet sei, oder wenn auf die Verwendung eines Kontrollgerätes verzichtet werde. Durch die Art der Aufzeichnung entfalle für Mitarbeiter, die das so genannte "kleine Pauschale" hinsichtlich der steuerlichen Anrechnung von Firmenfahrzeugen hätten, durch den Einbau des GPS-Systems das Führen eines Fahrtenbuches. Dies sei ein klarer Vorteil für die Mitarbeiter. Mit der Unterschrift der Mitarbeiter werde nicht das Einverständnis dieser eingeholt, sondern lediglich die Information über diese Art der Aufzeichnung bestätigt. Weiters wurde auf § (gemeint: Art., Anm.) 6 Abs. 1 lit. f DSGVO als Grundlage für die gegenständliche Verarbeitung hingewiesen.Weiters wurde auf Paragraph (gemeint: "Art"., Anmerkung 6 Absatz eins, Litera f, DSGVO als Grundlage für die gegenständliche Verarbeitung hingewiesen. Die belangte Behörde habe eine eingeschränkte Prüfung, die lediglich auf die Zustimmungserklärung bezogen war, durchgeführt. Wenn andere Erlaubnistatbestände in Frage kämen, so stelle sich die Frage, ob die Beschwerdeführerin dann in Entsprechung des zweiten (Spruch-)Punktes des Bescheides die Verarbeitung nur unter Berufung auf berechtigte Interessen "in Einklang" bringen könne. Es werde daher beantragt, den angefochtenen Bescheid ersatzlos aufzuheben. 14. Die belangte Behörde erließ daraufhin am 18.09.2018 eine Beschwerdevorentscheidung, mit der die Beschwerde abgewiesen wurde. Begründend wurde ausgeführt, dass sich die Beschwerdeführerin wortwörtlich auf Art. 6 Abs. 1 lit. a DSGVO, sohin die Einwilligung als Erlaubnistatbestand, gestützt habe. Der belangten Behörde stehe es nicht zu, im Rahmen ihrer Befugnisse

Art. 58Abs.

2 lit. d DSGVO den Verantwortlichen anzuweisen, die Verarbeitung auf einen spezifischen Erlaubnistatbestand zu stützen. Ebenso wenig sei es Aufgabe der belangten Behörde einen "Ersatzerlaubnistatbestand" für den Verantwortlichen zu suchen, sofern sich der von ihm genannte als untauglich erweise.14. Die belangte Behörde erließ daraufhin am 18.09.2018 eine Beschwerdevorentscheidung, mit der die Beschwerde abgewiesen wurde. Begründend wurde ausgeführt, dass sich die Beschwerdeführerin wortwörtlich auf Artikel 6, Absatz eins, Litera a, DSGVO, sohin die Einwilligung als Erlaubnistatbestand, gestützt habe. Der belangten Behörde stehe es nicht zu, im Rahmen ihrer Befugnisse

Artikel 58

, Absatz 2, Litera d, DSGVO den Verantwortlichen anzuweisen, die Verarbeitung auf einen spezifischen Erlaubnistatbestand zu stützen. Ebenso wenig sei es Aufgabe der belangten Behörde einen "Ersatzerlaubnistatbestand" für den Verantwortlichen zu suchen, sofern sich der von ihm genannte als untauglich erweise.

1. Mit Schreiben vom 02.10.2018 stellte die Beschwerdeführerin einen Vorlageantrag. Weiters wurde beantragt, das Bundesverwaltungsgericht möge den angefochtenen Bescheid ersatzlos aufheben; in eventu dahingehend abändern, dass der Einsatz von GPS-Trackern durch die Beschwerdeführerin auf gerechtfertigte Interessen gestützt (und) nicht zu beanstanden sei.
2. Mit Schreiben vom 04.10.2018 wurde die Beschwerde samt dem Verwaltungsakt von der belangten Behörde dem Bundesverwaltungsgericht vorgelegt.
3. Am 19.03.2019 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
4. Feststellungen: Die Beschwerdeführerin verwendet als datenschutzrechtliche Verantwortliche in ihren Fahrzeugen ein GPS-System, das die Standortdaten der Fahrzeuge aufzeichnet, welche den Fahrern zuordenbar sind. Dieses GPS-System wird von der Firma XXXX zur Verfügung gestellt, die als Auftragsverarbeiter agiert. Der Geschäftsführer verfügt über die von XXXX aufgezeichneten Standortdaten, wobei die gesamten Fahrtrouten der Fahrer (inklusive Pausen und Ankunft beim Auftragsort) vom System erfasst werden.Die Beschwerdeführerin verwendet als datenschutzrechtliche Verantwortliche in ihren Fahrzeugen ein GPS-System, das die Standortdaten der Fahrzeuge aufzeichnet, welche den Fahrern zuordenbar sind. Dieses GPS-System wird von der Firma römisch 40 zur Verfügung gestellt, die als Auftragsverarbeiter agiert. Der Geschäftsführer verfügt über die von römisch 40 aufgezeichneten Standortdaten, wobei die gesamten Fahrtrouten der Fahrer (inklusive Pausen und Ankunft beim Auftragsort) vom System erfasst werden. Die Beschwerdeführerin hat mit den Fahrern von Fahrzeugen, die mit dem GPS-System ausgestattet sind, die im angefochtenen Bescheid der belangten Behörde (Seiten 5 ff.) zitierte Mitarbeitereinwilligung abgeschlossen, in der die Art der Daten und die Zwecke, für die die Daten verwendet werden, genannt sind. Die belangte Behörde führte ein amtswegiges Verfahren durch, deren Gegenstand ausschließlich die Prüfung der Freiwilligkeit der verwendeten Einwilligungserklärungen war. Der Spruch des angefochtenen Bescheides lautete: "
5. Das amtswegige Prüfverfahren war berechtigt und es wird festgestellt, dass die Einwilligung der Arbeitnehmer zur Nutzung eines GPS-Systems für firmeneigene Fahrzeuge nicht freiwillig erfolgt.
6. Die XXXX wird angewiesen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution die Verarbeitung (Nutzung des GPS-Systems für firmeneigene Fahrzeuge) in Einklang mit der Datenschutz-Grundverordnung zu bringen."
7. Die römisch 40 wird angewiesen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution die Verarbeitung (Nutzung des GPS-Systems für firmeneigene Fahrzeuge) in Einklang mit der Datenschutz-Grundverordnung zu bringen." Als Rechtsgrundlage für diesen Bescheid wurde Art. 58 Abs. 2 lit. d DSGVO angegeben.Als Rechtsgrundlage für diesen Bescheid wurde Artikel 58, Absatz 2, Litera d, DSGVO angegeben. Die gegen diesen Bescheid erhobene Beschwerde wurde von der belangten Behörde mit einer Beschwerdevorentscheidung abgewiesen.
8. Beweiswürdigung: Die Feststellungen ergeben sich aus dem Verwaltungsakt und wurden durch die Aussagen der Zeugen und Parteien in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht bestätigt. Insbesondere ergibt sich sowohl aus dem ursprünglichen Bescheid (siehe Seite 8 des angefochtenen Bescheides) als auch aus der anlässlich der Aktenvorlage an das Bundesverwaltungsgericht abgegebenen Stellungnahme (Seite 2) und aus den bestätigenden Aussagen der belangten Behörde in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht (Seite 29 f. und insbesondere auch Seite 31 der Verhandlungsniederschrift), dass es der klare und eindeutige Wille der Behörde war, den Verfahrensgegenstand ausschließlich auf die Frage zu reduzieren, ob die seitens der Beschwerdeführerin eingeholte datenschutzrechtliche Einwilligung der Arbeitnehmer zur Nutzung eines GPS-Systems für firmeneigene Fahrzeuge freiwillig erfolgt.
9. Rechtliche Beurteilung: 3.1.1.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.3.1.1.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen Paragraph 39, DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. 3.1.2.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.3.1.2.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes - AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. 3.1.3.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.1.3.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder

Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Hebt das Verwaltungsgericht den angefochtenen Bescheid auf, sind

Art. 28Abs. 5 Vw

GVG die Behörden verpflichtet, in der betreffenden Rechtssache mit den ihnen zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung des Verwaltungsgerichtes entsprechenden Rechtszustand herzustellen.Hebt das Verwaltungsgericht den angefochtenen Bescheid auf, sind

Artikel 28, Absatz 5, Vw

GVG die Behörden verpflichtet, in der betreffenden Rechtssache mit den ihnen zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung des Verwaltungsgerichtes entsprechenden Rechtszustand herzustellen. 3.1.

1. Nach der Rechtsprechung des Verwaltungsgerichtshofes derogiert eine Beschwerdevorentscheidung dem Ausgangsbescheid endgültig. Das Rechtsmittel, über welches das Verwaltungsgericht zu entscheiden hat, bleibt aber im Fall eines zulässigen Vorlageantrages dennoch die Beschwerde. Da sich die Beschwerde gegen den Ausgangsbescheid richtet (und sich ihre Begründung auf diesen beziehen muss), bleibt der Ausgangsbescheid auch Maßstab dafür, ob die Beschwerde berechtigt ist oder nicht. Aufgehoben, abgeändert oder bestätigt werden kann aber nur die - außer in Fällen einer Zurückweisung einer Beschwerde - an die Stelle des Ausgangsbescheides getretene Beschwerdevorentscheidung (siehe VwGH 04.03.2016, Ra 2015/08/0026). 3.
2. Zu Spruchteil A) Ersatzlose Behebung: 3.2.
3. Rechtslage: Art. 58 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lautet (Hervorhebung durch das BVwG, Anm.):Artikel 58, der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lautet (Hervorhebung durch das BVwG, Anm.): "

dem Verfahrensrecht der Union oder dem Verfahrensrecht des Mitgliedstaats Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, des Verantwortlichen und des Auftragsverarbeiters zu erhalten.

den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten

Artikel 17

Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen, h)- eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine

den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden, Tabelle kann nicht abgebildet werden Tabelle kann nicht abgebildet werden

diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren

dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta.

Art. 58Abs.

2 lit. d DSGVO münden.Im gegenständlichen Fall war jedoch, wie aufgezeigt wurde, der Gegenstand des Verfahrens zu eng definiert: Auch wenn die belangte Behörde aufgrund allgemeiner Untersuchungsbefugnisse befugt war, die Einwilligungserklärungen einer Überprüfung zuzuführen, so konnte dies allein im gegebenen Fall jedoch nicht in eine Anweisungsbefugnis

Artikel 58, Absatz 2, Litera d, DSGVO münden.

Der Gegenstand des Verfahrens vor der belangten Behörde darf im Rechtsbehelfsverfahren nicht überschritten werden (siehe etwa VwGH 27.11.2014, 2013/03/0022) oder ausgetauscht werden, weil damit ein unzulässiger Eingriff in die Zuständigkeit der Behörde erster Instanz gegeben wäre (VwGH 05.03.2019 Ra 2019/16/0070). Da die belangte Behörde im gegebenen Fall aufgrund des zu engen Verfahrensgegenstandes zu Unrecht die Befugnis in Anspruch nahm, die Beschwerdeführerin nach der genannten Bestimmung anzuweisen, ihre Datenverarbeitungen generell "in Einklang mit der Datenschutz-Grundverordnung" zu bringen (wobei diese Anweisung auch völlig allgemein gehalten war, ohne konkrete Maßnahmen zu nennen, und damit auch nicht den Vorgaben des Art. 58 Abs. 2 lit. d DSGVO entsprach), war die Beschwerdevorentscheidung, die den angefochtenen Bescheid ersetzt hat, ersatzlos zu beheben.Da die belangte Behörde im gegebenen Fall aufgrund des zu engen Verfahrensgegenstandes zu Unrecht die Befugnis in Anspruch nahm, die Beschwerdeführerin nach der genannten Bestimmung anzuweisen, ihre Datenverarbeitungen generell "in Einklang mit der Datenschutz-Grundverordnung" zu bringen (wobei diese Anweisung auch völlig allgemein gehalten war, ohne konkrete Maßnahmen zu nennen, und damit auch nicht den Vorgaben des Artikel 58, Absatz 2, Litera d, DSGVO entsprach), war die Beschwerdevorentscheidung, die den angefochtenen Bescheid ersetzt hat, ersatzlos zu beheben. Der Vollständigkeit halber wird festgehalten, dass es damit allenfalls der belangten Behörde obliegen würde und es ihr nicht verwehrt ist, in einem neuerlichen amtswegigen Verfahren mit geändertem (etwa erweitertem) Verfahrensgegenstand etwaige Anweisungen nach Art. 58 Abs. 2 lit. d DSGVO zu tätigen.Der Vollständigkeit halber wird festgehalten, dass es damit allenfalls der belangten Behörde obliegen würde und es ihr nicht verwehrt ist, in einem neuerlichen amtswegigen Verfahren mit geändertem (etwa erweitertem) Verfahrensgegenstand etwaige Anweisungen nach Artikel 58, Absatz 2, Litera d, DSGVO zu tätigen. 3.3. Zu Spruchteil B) Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Überdies ergibt sich bereits aus der Logik des Wortlautes des Art. 58 Abs. 2 lit. d DSGVO, dass eine Anweisung zur Herstellung eines DSGVO-konformen Zustandes voraussetzt, dass aufgrund einer vom Verfahrensgegenstand her geeigneten Prüfung ein DSGVO-widriges Handeln des Verantwortlichen oder Auftragsverarbeiters festgestellt wurde.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Überdies ergibt sich bereits aus der Logik des Wortlautes des Artikel 58, Absatz 2, Litera d, DSGVO, dass eine Anweisung zur Herstellung eines DSGVO-konformen Zustandes voraussetzt, dass aufgrund einer vom Verfahrensgegenstand her geeigneten Prüfung ein DSGVO-widriges Handeln des Verantwortlichen oder Auftragsverarbeiters festgestellt wurde. 3.4. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:BVWG:2019:W214.2207491.1.00