(2)Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

1. a)einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
2. b)einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
3. c)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,
4. d)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
5. e)den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen,
6. f)eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
7. g)die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 17 Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen,
8. h)eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,
9. i)eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,
10. j)die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen. […]

(6)Jeder Mitgliedstaat kann durch Rechtsvorschriften vorsehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels VII beeinträchtigen.“

(6)Jeder Mitgliedstaat kann durch Rechtsvorschriften vorsehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels römisch sieben beeinträchtigen.“ Der mit „Beschwerde an die Datenschutzbehörde“

(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.„§ 24.

(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

(2)Die Beschwerde hat zu enthalten: […] 5. das Begehren, die behauptete Rechtsverletzung festzustellen […]

(5)Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“ 3.

1. Angewendet auf den Sachverhalt bedeutet das: Die belangte Behörde hat mit dem bekämpften Bescheid in einem von Amts wegen eingeleiteten Prüfverfahren abgesprochen, dass das amtswegige Prüfverfahren berechtigt gewesen sei und festgestellt, dass die Verarbeitung personenbezogener Daten von 73 Personen zwischen Jänner und März 2021 für Zwecke interner Ermittlungen auf Basis diverser angegebenen Rechtfertigungstatbestände unrechtmäßig gewesen sei. Es besteht für die belangte Behörde aber keine rechtliche Grundlage für einen selbständigen Abspruch über die allfällige Berechtigung der Durchführung eines Verfahrens im Sinne des Art 58 Abs 2 DSGVO bzw. der allfälligen Rechtswidrigkeit des jeweils anlassgebenden Verarbeitungsvorgangs: Art 58 DSGVO enthält keine ausdrückliche rechtliche Grundlage für eine selbständige Feststellung über die allfällige Rechtswidrigkeit eines datenschutzrechtlich relevanten Verarbeitungsvorgangs in einem amtswegig eingeleiteten Verfahren durch die Datenschutzbehörde. § 24 DSG wiederum regelt die von einer ihrer Ansicht nach in ihrem Recht auf Schutz der sie betreffenden personenbezogenen Daten verletzten Person erhobene Individualbeschwerde und ist damit auf das von der Datenschutzbehörde amtswegig eingeleitete Verfahren nicht direkt anwendbar. (VwGH 14.12.2021, Ro 2020/04/0032)Es besteht für die belangte Behörde aber keine rechtliche Grundlage für einen selbständigen Abspruch über die allfällige Berechtigung der Durchführung eines Verfahrens im Sinne des Artikel 58, Absatz 2, DSGVO bzw. der allfälligen Rechtswidrigkeit des jeweils anlassgebenden Verarbeitungsvorgangs: Artikel 58, DSGVO enthält keine ausdrückliche rechtliche Grundlage für eine selbständige Feststellung über die allfällige Rechtswidrigkeit eines datenschutzrechtlich relevanten Verarbeitungsvorgangs in einem amtswegig eingeleiteten Verfahren durch die Datenschutzbehörde. Paragraph 24, DSG wiederum regelt die von einer ihrer Ansicht nach in ihrem Recht auf Schutz der sie betreffenden personenbezogenen Daten verletzten Person erhobene Individualbeschwerde und ist damit auf das von der Datenschutzbehörde amtswegig eingeleitete Verfahren nicht direkt anwendbar. (VwGH 14.12.2021, Ro 2020/04/0032) Auch eine analoge Anwendung des § 24 DSG, welcher der Datenschutzbehörde die Kompetenz einräumt, bei Individualbeschwerden datenschutzrechtliche Verstöße rechtsverbindlich festzustellen, auf von Amts wegen eingeleitete Prüfverfahren, scheidet mangels Vorliegen einer planwidrigen Lücke aus, weil der Gesetzgeber die Kompetenzen der Datenschutzbehörde bei Individualbeschwerden und bei amtswegigen Einschreiten bewusst unterschiedlich geregelt hat (siehe ebenfalls VwGH 14.12.2021, Ro 2020/04/0032 mwN).Auch eine analoge Anwendung des Paragraph 24, DSG, welcher der Datenschutzbehörde die Kompetenz einräumt, bei Individualbeschwerden datenschutzrechtliche Verstöße rechtsverbindlich festzustellen, auf von Amts wegen eingeleitete Prüfverfahren, scheidet mangels Vorliegen einer planwidrigen Lücke aus, weil der Gesetzgeber die Kompetenzen der Datenschutzbehörde bei Individualbeschwerden und bei amtswegigen Einschreiten bewusst unterschiedlich geregelt hat (siehe ebenfalls VwGH 14.12.2021, Ro 2020/04/0032 mwN). 3.
2. Die Einwände der belangten Behörde können nicht überzeugen. 3.3.
3. Wenn die belangte Behörde vermeint, dass das zuvor zitierte Erkenntnis des Verwaltungsgerichthofes vom 14.12.2021, AZ Ro 2020/04/0032, auf den gegenständlichen Fall nicht anwendbar sei, weil sich der Verwaltungsgerichtshof in dieser Entscheidung lediglich mit nach wie vor bestehenden Rechtsverletzungen auseinandergesetzt hat, die Rechtsverletzungen im gegenständlichen Fall aber bereits abgeschlossen seien, ist ihr entgegen zu halten, dass sich der Verwaltungsgerichtshof in der genannten Entscheidung auch mit Rechtsverletzungen auseinandergesetzt hat, die bereits abgeschlossen waren, nämlich mit der Weitergabe personenbezogener Daten an Dritte (Rz 3). 3.3.
4. Der belangten Behörde ist allerdings dahingehend zuzustimmen, dass sich der Verwaltungsgerichtshof in dieser Entscheidung nur auf Verletzungen der DSGVO, nicht jedoch – wie hier – auf eine Verletzung von § 1 DSG bezogen hat. Daraus ist für sie aber nichts zu gewinnen, weil die tragenden Überlegungen des Verwaltungsgerichtshofes auch auf Verstöße gegen § 1 DSG übernommen werden können:3.3.
5. Der belangten Behörde ist allerdings dahingehend zuzustimmen, dass sich der Verwaltungsgerichtshof in dieser Entscheidung nur auf Verletzungen der DSGVO, nicht jedoch – wie hier – auf eine Verletzung von Paragraph eins, DSG bezogen hat. Daraus ist für sie aber nichts zu gewinnen, weil die tragenden Überlegungen des Verwaltungsgerichtshofes auch auf Verstöße gegen Paragraph eins, DSG übernommen werden können: Hinsichtlich der Verfahrensvorschriften und der Kompetenz der Datenschutzbehörde macht das Datenschutzgesetz nämlich keinen Unterschied, ob eine Verletzung der DSGVO oder des § 1 DSG gegenständlich ist. Damit besteht auch in Bezug auf Verletzungen des § 1 DSG keine ausdrückliche rechtliche Grundlage für die belangte Behörde, Rechtsverletzungen in einem amtswegig eingeleiteten Verfahren in rechtlich verbindlicher Weise festzustellen. Hinsichtlich der Verfahrensvorschriften und der Kompetenz der Datenschutzbehörde macht das Datenschutzgesetz nämlich keinen Unterschied, ob eine Verletzung der DSGVO oder des Paragraph eins, DSG gegenständlich ist. Damit besteht auch in Bezug auf Verletzungen des Paragraph eins, DSG keine ausdrückliche rechtliche Grundlage für die belangte Behörde, Rechtsverletzungen in einem amtswegig eingeleiteten Verfahren in rechtlich verbindlicher Weise festzustellen. Auch eine analoge Anwendung des § 24 DSG (nur dort wird – abgesehen von dem hier nicht relevanten § 22 Abs 6 DSG – eine Feststellungkompetenz der Datenschutzbehörde normiert) scheidet bei Verletzungen des § 1 DSG aus, weil die Ausführungen des VwGH, wonach der Gesetzgeber von der Möglichkeit des Art 58 Abs 6 DSGVO, wonach jeder Mitgliedstaat durch Rechtsvorschriften vorsehen kann, dass seine Aufsichtsbehörde neben den in den Art 58 Abs 1, 2 und 3 DSGVO aufgeführten Befugnissen über zusätzliche Befugnisse verfügt, nach den Materialien zu § 22 DSG bewusst keinen Gebrauch gemacht (vgl. AB 1761 BlgNR
6. GP, 14), weshalb er die Kompetenzen der Datenschutzbehörde bei Individualbeschwerden und bei amtswegigen Einschreiten bewusst unterschiedlich geregelt hat, weshalb eine Analogie mangels planwidriger Lücke ausscheide, auch für Verfahren zutreffen, die sich auf § 1 DSG stützen.Auch eine analoge Anwendung des Paragraph 24, DSG (nur dort wird – abgesehen von dem hier nicht relevanten Paragraph 22, Absatz 6, DSG – eine Feststellungkompetenz der Datenschutzbehörde normiert) scheidet bei Verletzungen des Paragraph eins, DSG aus, weil die Ausführungen des VwGH, wonach der Gesetzgeber von der Möglichkeit des Artikel 58, Absatz 6, DSGVO, wonach jeder Mitgliedstaat durch Rechtsvorschriften vorsehen kann, dass seine Aufsichtsbehörde neben den in den Artikel 58, Absatz eins, 2 und 3 DSGVO aufgeführten Befugnissen über zusätzliche Befugnisse verfügt, nach den Materialien zu Paragraph 22, DSG bewusst keinen Gebrauch gemacht vergleiche Ausschussbericht 1761 BlgNR
7. GP, 14), weshalb er die Kompetenzen der Datenschutzbehörde bei Individualbeschwerden und bei amtswegigen Einschreiten bewusst unterschiedlich geregelt hat, weshalb eine Analogie mangels planwidriger Lücke ausscheide, auch für Verfahren zutreffen, die sich auf Paragraph eins, DSG stützen. Mit der gleichen Begründung hat der Verwaltungsgerichtshof in dieser Entscheidung auch das – von der belangten Behörde nunmehr angezogene – Argument, es sei nicht nachvollziehbar warum der belangten Behörde zwar in Verfahren über Individualbeschwerden, nicht jedoch in amtswegig eingeleiteten Verfahren eine Feststellungkompetenz zukommt, verworfen. Wenn die belangte Behörde vorbringt, es sei für Verstöße gegen § 1 DSG typisch, dass sie bereits abgeschlossen sind und es könne dem österreichischen (Verfassungs-)Gesetzgeber nicht unterstellt werden, eine Bestimmung zu erlassen, die amtswegig nicht vollzogen werden kann, geht sie von der unzutreffenden Annahme aus, dass das Datenschutzrecht – hier das Grundrecht auf Datenschutz nach § 1 DSG – nur dann durchsetzbar wäre, wenn Rechtverletzungen in einer der Rechtskraft fähigen Weise festgestellt werden können.Wenn die belangte Behörde vorbringt, es sei für Verstöße gegen Paragraph eins, DSG typisch, dass sie bereits abgeschlossen sind und es könne dem österreichischen (Verfassungs-)Gesetzgeber nicht unterstellt werden, eine Bestimmung zu erlassen, die amtswegig nicht vollzogen werden kann, geht sie von der unzutreffenden Annahme aus, dass das Datenschutzrecht – hier das Grundrecht auf Datenschutz nach Paragraph eins, DSG – nur dann durchsetzbar wäre, wenn Rechtverletzungen in einer der Rechtskraft fähigen Weise festgestellt werden können. Im Gegenteil ist die Feststellungkompetenz der Datenschutzbehörde im Beschwerdeverfahren nach § 24 DSG nicht normiert worden, um einen Verantwortlichen oder einen Auftragsverarbeiter zu einem rechtskonformen Verhalten zu veranlassen oder dem Datenschutzrecht selbst zur Durchsetzung zu verhelfen, sondern um es Betroffenen zu ermöglichen, in einem amtswegigen und für sie einfachen Verfahren die Rechtswidrigkeit einer Datenverarbeitung verbindlich feststellen zu lassen, um es der betroffenen Person basierend auf dieser Feststellung zu ermöglichen, weitere individuelle Ansprüche – etwa Schadenersatzansprüche – zu verfolgen (VwGH 14.12.2021, Ro 2020/04/0032 Rz 38 f).Im Gegenteil ist die Feststellungkompetenz der Datenschutzbehörde im Beschwerdeverfahren nach Paragraph 24, DSG nicht normiert worden, um einen Verantwortlichen oder einen Auftragsverarbeiter zu einem rechtskonformen Verhalten zu veranlassen oder dem Datenschutzrecht selbst zur Durchsetzung zu verhelfen, sondern um es Betroffenen zu ermöglichen, in einem amtswegigen und für sie einfachen Verfahren die Rechtswidrigkeit einer Datenverarbeitung verbindlich feststellen zu lassen, um es der betroffenen Person basierend auf dieser Feststellung zu ermöglichen, weitere individuelle Ansprüche – etwa Schadenersatzansprüche – zu verfolgen (VwGH 14.12.2021, Ro 2020/04/0032 Rz 38 f). Die Durchsetzung des Datenschutzrechts wird vielmehr durch andere Rechtsinstitute, wie Abhilfebefugnisse der Behörde, insbesondere nach Art 58 DSGVO, oder Geldbußen sichergestellt. Selbst bei abgeschlossenen Verstößen kommt – sofern nicht ohnehin ein Verbot oder eine Einschränkung der Datenverarbeitung gemäß Art 58 Abs 2 lit f DSGVO in Betracht kommt – der belangten Behörde die Kompetenz zu, Verantwortliche gemäß Art 58 Abs 2 lit b DSGVO zu verwarnen oder über sie eine Geldbuße gemäß Art 83 DSGVO, allenfalls Verwaltungsstrafen gemäß § 62 DSG zu verhängen. Tritt Gewinn- oder Schädigungsabsicht hinzu, ist eine Verletzung des § 1 DSG sogar mit strafgerichtlicher Strafe bedroht (§ 63 DSG).Die Durchsetzung des Datenschutzrechts wird vielmehr durch andere Rechtsinstitute, wie Abhilfebefugnisse der Behörde, insbesondere nach Artikel 58, DSGVO, oder Geldbußen sichergestellt. Selbst bei abgeschlossenen Verstößen kommt – sofern nicht ohnehin ein Verbot oder eine Einschränkung der Datenverarbeitung gemäß Artikel 58, Absatz 2, Litera f, DSGVO in Betracht kommt – der belangten Behörde die Kompetenz zu, Verantwortliche gemäß Artikel 58, Absatz 2, Litera b, DSGVO zu verwarnen oder über sie eine Geldbuße gemäß Artikel 83, DSGVO, allenfalls Verwaltungsstrafen gemäß Paragraph 62, DSG zu verhängen. Tritt Gewinn- oder Schädigungsabsicht hinzu, ist eine Verletzung des Paragraph eins, DSG sogar mit strafgerichtlicher Strafe bedroht (Paragraph 63, DSG). Letztlich mag das Argument der belangten Behörde, dass über Verletzungen der DSGVO (gemeint wohl auch gegen § 1 DSG) in Bescheidform abzusprechen sei, um den Bescheidadressaten einen Rechtsmittelzug zu ermöglichen, zwar eine taugliche Begründung dafür sein, dass Leistungsaufträge in Bescheidform ergehen müssen, nicht jedoch, dass der DSB eine Feststellungkompetenz zukommt.Letztlich mag das Argument der belangten Behörde, dass über Verletzungen der DSGVO (gemeint wohl auch gegen Paragraph eins, DSG) in Bescheidform abzusprechen sei, um den Bescheidadressaten einen Rechtsmittelzug zu ermöglichen, zwar eine taugliche Begründung dafür sein, dass Leistungsaufträge in Bescheidform ergehen müssen, nicht jedoch, dass der DSB eine Feststellungkompetenz zukommt. 3.
8. Der bekämpfte Bescheid ist somit ohne rechtliche Grundlage ergangen, weshalb der gegen ihn gerichteten Beschwerde bereits aus diesem Grund Folge zu geben und der Bescheid ersatzlos zu beheben war. 3.
9. Es war daher spruchgemäß zu entscheiden. 3.
10. Von der Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs 2 Z 1
11. Fall VwGVG abgesehen werden.3.
12. Von der Durchführung einer mündlichen Verhandlung konnte gemäß Paragraph 24, Absatz 2, Ziffer eins,
13. Fall VwGVG abgesehen werden. Zu Spruchpunkt B) Unzulässigkeit der Revision: Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen. Die Revision ist nicht zulässig, weil keine Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommt. Zur Beantwortung der Frage, ob der Datenschutzbehörde in einem amtswegig eingeleiteten Prüfverfahren die Kompetenz zukommt, in rechtlich verbindlicher Weise Rechtsverletzungen festzustellen, oder über die Berechtigung des amtswegigen Prüfverfahrens abzusprechen, konnte sich das Verwaltungsgericht auf die zitierte Rechtsprechung des Verwaltungsgerichtshofes stützen. Zwar bezog sich das zitierte Erkenntnis nicht ausdrücklich auf Verstöße gegen § 1 DSG, seine tragenden Überlegungen konnten aber zweifelsfrei auf Verstöße gegen § 1 DSG übertragen werden.Die Revision ist nicht zulässig, weil keine Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Artikel 133, Absatz 4, B-VG zukommt. Zur Beantwortung der Frage, ob der Datenschutzbehörde in einem amtswegig eingeleiteten Prüfverfahren die Kompetenz zukommt, in rechtlich verbindlicher Weise Rechtsverletzungen festzustellen, oder über die Berechtigung des amtswegigen Prüfverfahrens abzusprechen, konnte sich das Verwaltungsgericht auf die zitierte Rechtsprechung des Verwaltungsgerichtshofes stützen. Zwar bezog sich das zitierte Erkenntnis nicht ausdrücklich auf Verstöße gegen Paragraph eins, DSG, seine tragenden Überlegungen konnten aber zweifelsfrei auf Verstöße gegen Paragraph eins, DSG übertragen werden. European Case Law IdentifierECLI:AT:BVWG:2022:W258.2247028.1.00