GVG aufgehoben und die Angelegenheit zur Verfahrensergänzung und Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwiesen.Der Beschwerde wird Folge gegeben, der angefochtene Bescheid
Paragraph 28, Absatz 3, VwGVG aufgehoben und die Angelegenheit zur Verfahrensergänzung und Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwiesen. Die Revision ist
4 B-VG nicht zulässig.Die Revision ist
Begründung:, Begründung: Mit E-Mail vom 09.01.2019 erhob XXXX (im Folgenden: Beschwerdeführer, BF), damals vertreten durch ZARA – Zivilcourage und Anti-Rassismus-Arbeit, Beschwerde an die Datenschutzbehörde (im Folgenden: belangte Behörde) gegen „ XXXX -Facebook Profil https://www.facebook.com/ XXXX “ (im Folgenden Beschwerdegegnerin, BG) und brachte vor, Frau XXXX habe auf Facebook den Arbeitsort, den Beruf und den Dienstgeber des BF einer breiten Öffentlichkeit bekannt gemacht. Das Originalposting sei mittlerweile gelöscht und daher auch der Kommentar der Beschwerdegegnerin nicht mehr aufrufbar. Es liege ein Screenshot bei. Der BF habe vom Verstoß am 14./15.08.2018 erfahren. Mit E-Mail vom 09.01.2019 erhob römisch 40 (im Folgenden: Beschwerdeführer, BF), damals vertreten durch ZARA – Zivilcourage und Anti-Rassismus-Arbeit, Beschwerde an die Datenschutzbehörde (im Folgenden: belangte Behörde) gegen „ römisch 40 -Facebook Profil https://www.facebook.com/ römisch 40 “ (im Folgenden Beschwerdegegnerin, BG) und brachte vor, Frau römisch 40 habe auf Facebook den Arbeitsort, den Beruf und den Dienstgeber des BF einer breiten Öffentlichkeit bekannt gemacht. Das Originalposting sei mittlerweile gelöscht und daher auch der Kommentar der Beschwerdegegnerin nicht mehr aufrufbar. Es liege ein Screenshot bei. Der BF habe vom Verstoß am 14./15.08.2018 erfahren. Beigelegt war ein Screenshot einer elektronischen Kommunikation, aus der sich unter anderem die folgende Nachricht ergibt: „ XXXX „ römisch 40 XXXX , das sind offenbar keine gestellten Szenen. Wie ich von einem XXXX -Manager hörte, ist der rechte XXXX aus XXXX und der linke sein Lebenspartner mit Migrationshintergrund. Wir versuchen nun zu ermitteln, welche Mutter hier ihr Kind verborgt hat …“ römisch 40 , das sind offenbar keine gestellten Szenen. Wie ich von einem römisch 40 -Manager hörte, ist der rechte römisch 40 aus römisch 40 und der linke sein Lebenspartner mit Migrationshintergrund. Wir versuchen nun zu ermitteln, welche Mutter hier ihr Kind verborgt hat …“ Nach einem Mangelbehebungsauftrag übermittelte der BF ein Foto einer XXXX -Werbung für „ XXXX “, auf der sich zwei Männer, der eine ein Baby haltend, befinden. Darauf findet sich folgender Text: Nach einem Mangelbehebungsauftrag übermittelte der BF ein Foto einer römisch 40 -Werbung für „ römisch 40 “, auf der sich zwei Männer, der eine ein Baby haltend, befinden. Darauf findet sich folgender Text: „Für Mütter, Väter, Partner oder Freunde, die mit Kindern unterwegs sind.“ Mit Bescheid vom 06.02.2019 wies die belangte Behörde die Beschwerde zurück und führte begründend aus, der BF habe trotz gebotener Möglichkeit in Form eines Mangelbehebungsauftrags die festgestellten Mängel nicht beseitigt, weil insbesondere ein konkretes Vorbringen betreffend § 24 Abs. 2 Z 2 DSG (zustellfähige Adresse der BG) fehle. Mit Bescheid vom 06.02.2019 wies die belangte Behörde die Beschwerde zurück und führte begründend aus, der BF habe trotz gebotener Möglichkeit in Form eines Mangelbehebungsauftrags die festgestellten Mängel nicht beseitigt, weil insbesondere ein konkretes Vorbringen betreffend Paragraph 24, Absatz 2, Ziffer 2, DSG (zustellfähige Adresse der BG) fehle. Mit Erkenntnis vom 30.03.2020 gab das Bundesverwaltungsgericht einer gegen diesen Bescheid erhobenen Beschwerde Folge, behob den Bescheid ersatzlos und trug der Behörde die Fortsetzung des Verfahrens unter Abstandnahme vom gebrauchten Zurückweisungsgrund auf. Im Wesentlichen wurde ausgeführt, mangels ausdrücklicher Bestimmung, wonach der Einschreiter neben dem Rechtsträger bzw. dem Organ, dem die behauptete Rechtsverletzung zugerechnet werde, auch die zustellfähige Adresse dieses Rechtsträgers oder Organs angeben müsse, liege kein Mangel vor, der die Behörde zu einem derartigen Mangelbehebungsauftrag berechtigt hätte, sodass der Zurückweisungsbescheid nicht zu recht ergangen sei. Die belangte Behörde werde im weiteren Verfahren die notwendigen Erhebungen zu führen und allenfalls auch die
Je nach Erhebungsergebnis könnte sodann auch eine amtswegige Berichtigung der Parteienbezeichnung erfolgen, sollte sich jene durch den BF auf Basis der Erhebungsergebnisse als verfehlt darstellen.Die belangte Behörde werde im weiteren Verfahren die notwendigen Erhebungen zu führen und allenfalls auch die
Paragraph 18, Absatz 3, E-Commerce-Gesetz (ECG) gebotenen Anordnungen zu erlassen haben. Je nach Erhebungsergebnis könnte sodann auch eine amtswegige Berichtigung der Parteienbezeichnung erfolgen, sollte sich jene durch den BF auf Basis der Erhebungsergebnisse als verfehlt darstellen. Im fortgesetzten Verfahren teilte die belangte Behörde dem BF mit Schreiben vom 05.06.2020 mit, sie werde zum Zweck der Ermittlung einer zustellfähigen Adresse Kontakt mit Facebook aufnehmen. Am gleichen Tag erging ein Schreiben der belangten Behörde an Facebook Ireland Ltd, in dem unter Berufung auf § 18 Abs. 3 E-Commerce-Gesetz (ECG) ersucht wird, der Österreichischen Datenschutzbehörde den wahren Namen sowie die zustellfähige postalische Adresse oder E-Mail-Adresse des Nutzers XXXX ( XXXX ) zu übermitteln.Am gleichen Tag erging ein Schreiben der belangten Behörde an Facebook Ireland Ltd, in dem unter Berufung auf Paragraph 18, Absatz 3, E-Commerce-Gesetz (ECG) ersucht wird, der Österreichischen Datenschutzbehörde den wahren Namen sowie die zustellfähige postalische Adresse oder E-Mail-Adresse des Nutzers römisch 40 ( römisch 40 ) zu übermitteln. Mit E-Mail vom 07.07.2020 führte Facebook Ireland unter DPA Casework „dpacasework@fb.com“ gegenüber der Datenschutzbehörde aus: „Vielen Dank für Ihre Kontaktaufnahme. Wir benötigen eine gültige Herausgabeverfügung oder gerichtliche Entscheidung, um Ihre Anfrage bearbeiten zu können. Bitte beachten Sie, dass es Situationen gibt, in denen wir die von Ihnen angeforderten Informationen aufgrund technischer Einschränkungen nicht bereitstellen können. Wenn Sie Klage einreichen möchten, sollte ein Anwalt oder Beamter Ihrer regionalen Strafverfolgungsbehörde unsere operativen Richtlinien prüfen und
den Anweisungen unter dem nachfolgendem Link Kontakt mit uns aufnehmen: https://www.facebook.com/help/473784375984502/?ref=cr Sobald die Kontaktaufnahme mit uns erfolgt ist, können wir bezüglich dieses Problems mit ihm kommunizieren. Bitte beachten Sie, dass wir bei Anfragen zur Bereitstellung von Nutzerinformationen über diesen Kanal nicht helfen können. Facebook Ireland antwortet auf dieses Auskunfts- oder Unterstützungsersuchen unbeschadet der Zuständigkeit der irischen Datenschutzkommission als federführende Aufsichtsbehörde für die grenzüberschreitende Verarbeitung
Diese Antwort ist keine Bestätigung von Facebook Ireland für ein formelles Recht Ihres Amtes, sich mit dieser Angelegenheit
der DSGVO oder verwandten lokalen Gesetzen zu befassen. Facebook Ireland“ Mit Aktenvermerk vom 23.07.2020 hielt die belangte Behörde zusammengefasst fest, Facebook weigere sich, Informationen zur BG zu übermitteln. Daher solle zur Erlangung der notwendigen Informationen ein Amtshilfeersuchen im Wege einer IMI-VMA an Irland ergehen mit dem Ersuchen, Kontakt mit Facebook aufzunehmen. Dabei sei die Frage offen, ob Irland die Ermächtigung
der RL 2000/31/EG („Richtlinie über den elektronischen Geschäftsverkehr“), die in Österreich in § 18 Abs. 3 ECG umgesetzt wurde, überhaupt in nationales Recht umgesetzt habe.Mit Aktenvermerk vom 23.07.2020 hielt die belangte Behörde zusammengefasst fest, Facebook weigere sich, Informationen zur BG zu übermitteln. Daher solle zur Erlangung der notwendigen Informationen ein Amtshilfeersuchen im Wege einer IMI-VMA an Irland ergehen mit dem Ersuchen, Kontakt mit Facebook aufzunehmen. Dabei sei die Frage offen, ob Irland die Ermächtigung
, der RL 2000/31/EG („Richtlinie über den elektronischen Geschäftsverkehr“), die in Österreich in Paragraph 18, Absatz 3, ECG umgesetzt wurde, überhaupt in nationales Recht umgesetzt habe. Die belangte Behörde richtete zunächst wieder über das Binnenmarktinformationssystem IMI (Internal Market Information System) am 27.07.2020 eine Anfrage an die irische Datenschutzbehörde (Irish DPA) mit folgender „Case Description“: „The Austria DPA has received a complaint against a Facebook user, but the complainant does not know a deliverable address. The Irish DPA is requested to assist in determining the true name of the Facebook user and a valid address.“ Sie verwies weiters auf einen Anhang mit folgendem Inhalt: „The Austrian DPA has received a complaint against a Facebook user, whereby we only know the Facebook name, but no deliverable address. This user is registered on Facebook with the profile name XXXX (https://www.facebook.com/ XXXX “). „The Austrian DPA has received a complaint against a Facebook user, whereby we only know the Facebook name, but no deliverable address. This user is registered on Facebook with the profile name römisch 40 (https://www.facebook.com/ römisch 40 “). It is possible that this name is an alias name. römisch eins t is possible that this name is an alias name. According to Article 15 of the Directive 2000/31/EC of the European Parliament and of the Council of 8 June 2000 on certain legal aspects of information society services, in particular electronic commerce, in the Internal Market ('Directive on electronic commerce') Member States may require information society service providers to communicate to the competent authorities, at their request, information enabling the identification of recipients of their service with whom they have storage agreements. According to Art 19 of the directive, Member States shall cooperate with the other Member States in this context. According to Artikel 19, of the directive, Member States shall cooperate with the other Member States in this context. The Austrian DPA therefore requests - should Ireland have transposed the authorisation under Article 15 of the said Directive into national law or if another legal basis exists - to contact Facebook in order to find out the real name and a contact address of the aboved mentioned Facebook user “ XXXX ” and to notify the Austrian DPA.“ The Austrian DPA therefore requests - should Ireland have transposed the authorisation under Article 15 of the said Directive into national law or if another legal basis exists - to contact Facebook in order to find out the real name and a contact address of the aboved mentioned Facebook user “ römisch 40 ” and to notify the Austrian DPA.“ Drei sodann von der irischen Datenschutzbehörde gestellte Fragen beantwortete die belangte Behörde am 20.11.2020 wie folgt: „Austrian DPA ref D124.005 VMA A61 160089 Answer to the questions of the Irish DPA (IMI A061 140584) 1. Please confirm the nature of the complaint that has been received and how this complaint relates to matters of electronic commerce. The Austrian DPA has received a data protection complaint for alleged violation of the principles of the GDPR. The subject of the complaint is a Facebeook posting of the user " XXXX " in which personal data of the complainant is published. Neither a postal contact address nor an e-mail address is known of the respondent with the Facebook name " XXXX ". Since no contact could be established with the opponent, no proceedings could be initiated. The complainant has appealed against this decision. The appellate instance has ordered the Austrian data protection authority to continue the proceedings. To this end, the Appellate Court ordered the Austrian Data Protection Authority to determine, if necessary, a deliverable address of the respondent from Facebook in accordance with § 18
Aufgrund dessen habe die belangte Behörde ein Amtshilfeersuchen an die irische Aufsichtsbehörde mit der Bitte um Kontaktaufnahme mit Facebook gestellt, das auch keinen Erfolg gebracht habe. Sollte der BF zwischenzeitlich über eine Kontaktmöglichkeit mit der BG verfügen, werde dieser ersucht, dies der belangten Behörde mitzuteilen.Die belangte Behörde habe Kontakt mit Facebook
Paragraph 18, Absatz 3, ECG aufgenommen, was zu keinem Ergebnis geführt habe. Aufgrund dessen habe die belangte Behörde ein Amtshilfeersuchen an die irische Aufsichtsbehörde mit der Bitte um Kontaktaufnahme mit Facebook gestellt, das auch keinen Erfolg gebracht habe. Sollte der BF zwischenzeitlich über eine Kontaktmöglichkeit mit der BG verfügen, werde dieser ersucht, dies der belangten Behörde mitzuteilen. Der BF teilte mit Schreiben vom 27.08.2021 mit, er habe keine Kontaktmöglichkeit zur BG. Er ersuche um Mitteilung, wie das Amtshilfeersuchen an die irische Aufsichtsbehörde ausgegangen sei und warum dies keinen Erfolg gebracht habe. Mit dem bekämpften Bescheid wies die belangte Behörde die Beschwerde ab und führte begründend unter anderem aus: „Mit Schreiben vom 07.07.2020 antwortete Facebook Ireland, dass für die Herausgabe der Daten eine gültige Herausgabeverfügung oder gerichtliche Entscheidung benötigt werde. Strafverfolgungsbehörden würden einen erleichterten Zugang zu den Daten haben. In weiterer Folge stellte die Datenschutzbehörde ein Amtshilfeersuchen an die irische Aufsichtsbehörde mit dem Ersuchen, zur Ausforschung einer zustellfähigen Adresse der Beschwerdegegnerin, Kontakt mit Facebook aufzunehmen. Die irische Aufsichtsbehörde teilte anschließend mit, dass im Hinblick auf die Richtlinie 2000/31/EC (E-Commerce-Richtlinie) nicht zuständig sei und deshalb keine Hilfeleistung erbringen könne.“ Der BF habe der belangten Behörde im Rahmen des Parteiengehörs mitgeteilt, dass er auch zum jetzigen Zeitpunkt über keine zustellfähige Adresse der BG verfüge. Eine am 08.09.2021 durchgeführte amtswegige Abfrage im zentralen Melderegister (ZMR) sowie im Ergänzungsregister für natürliche Personen (ERnP) mit dem Namen „ XXXX “ sei ergebnislos verlaufen. Eine am 08.09.2021 durchgeführte amtswegige Abfrage im zentralen Melderegister (ZMR) sowie im Ergänzungsregister für natürliche Personen (ERnP) mit dem Namen „ römisch 40 “ sei ergebnislos verlaufen. Rechtlich führte die belangte Behörde aus,
2 Z 2 DSG habe ein Beschwerdeführer, soweit zumutbar, den Rechtsträger oder das Organ, dem die behauptete Rechtsverletzung zugerechnet werde (Beschwerdegegnerin), zu bezeichnen. Rechtlich führte die belangte Behörde aus,
Paragraph 24, Absatz 2, Ziffer 2, DSG habe ein Beschwerdeführer, soweit zumutbar, den Rechtsträger oder das Organ, dem die behauptete Rechtsverletzung zugerechnet werde (Beschwerdegegnerin), zu bezeichnen. Anhand der vom BF zur Verfügung gestellten Unterlagen sowie vielfacher Ermittlungsschritte sei es der belangten Behörde letztendlich nicht möglich, eine zustellfähige Adresse der BG zu ermitteln bzw. diese überhaupt zu identifizieren. Schließlich sei es auch denkbar, dass es sich bei dem auf Facebook veröffentlichten Namen um einen Alias-Namen handle. Ein (inhaltliches) Verfahren habe nicht geführt werden können.
1 lit. f DSGVO sei eine Aufsichtsbehörde verpflichtet, den Gegenstand einer Beschwerde in angemessenem Umfang (und nicht „vollumfänglich“) zu untersuchen. Eine etwaige Unmöglichkeit, die anspruchsbegründenden Tatsachen (positiv) festzustellen (Beweisnotstand) gehe zu Lasten des Antragstellers. Der Antrag sei diesfalls abzuweisen.
Paragraph 57, Absatz eins, Litera f, DSGVO sei eine Aufsichtsbehörde verpflichtet, den Gegenstand einer Beschwerde in angemessenem Umfang (und nicht „vollumfänglich“) zu untersuchen. Eine etwaige Unmöglichkeit, die anspruchsbegründenden Tatsachen (positiv) festzustellen (Beweisnotstand) gehe zu Lasten des Antragstellers. Der Antrag sei diesfalls abzuweisen. Gegen diesen Bescheid richtet sich die nunmehr unvertreten erhobene Beschwerde mit dem erkennbaren Antrag, den Bescheid im Sinne einer Stattgebung der Beschwerde abzuändern und eine mündliche Verhandlung durchzuführen. Die belangte Behörde legte die Beschwerde samt dem elektronischen Akt – beim BVwG am 22.10.2021 einlangend – vor. Die Beschwerde ist im Sinne einer Aufhebung des Bescheides und Zurückverweisung berechtigt:
2 der Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 08.06.2000 (Richtlinie über den elektronischen Geschäftsverkehr) können die Mitgliedsstaaten Anbieter von Diensten der Informationsgesellschaft dazu verpflichten, die zuständigen Behörden unverzüglich über mutmaßliche rechtswidrige Tätigkeiten oder Informationen der Nutzer ihres Dienstes zu unterrichten oder dazu verpflichten, den zuständigen Behörden auf Verlangen Informationen zu übermitteln, anhand derer die Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Speicherung geschlossen haben, ermittelt werden können.
, Absatz 2, der Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 08.06.2000 (Richtlinie über den elektronischen Geschäftsverkehr) können die Mitgliedsstaaten Anbieter von Diensten der Informationsgesellschaft dazu verpflichten, die zuständigen Behörden unverzüglich über mutmaßliche rechtswidrige Tätigkeiten oder Informationen der Nutzer ihres Dienstes zu unterrichten oder dazu verpflichten, den zuständigen Behörden auf Verlangen Informationen zu übermitteln, anhand derer die Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Speicherung geschlossen haben, ermittelt werden können. Aufgrund dieser Richtlinie erging in Österreich das E-Commerce-Gesetz (ECG) 2001.
Z 2 ECG ist ein Diensteanbieter eine natürliche oder juristische Person oder sonstige rechtsfähige Einrichtung, die einen Dienst der Informationsgesellschaft bereitstellt.
Paragraph 3, Ziffer 2, ECG ist ein Diensteanbieter eine natürliche oder juristische Person oder sonstige rechtsfähige Einrichtung, die einen Dienst der Informationsgesellschaft bereitstellt. § 16 Abs. 1 ECG bezieht sich auf Diensteanbieter, die von einem Nutzer eingegebene Informationen speichern (Hosting). Paragraph 16, Absatz eins, ECG bezieht sich auf Diensteanbieter, die von einem Nutzer eingegebene Informationen speichern (Hosting).
2 haben die in den § 13 und 16 genannten Diensteanbieter aufgrund der Anordnung eines dazu gesetzlich befugten inländischen Gerichts diesem alle Informationen zu übermitteln, anhand deren die Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Übermittlung oder Speicherung von Informationen abgeschlossen haben, zur Verhütung, Ermittlung, Aufklärung oder Verfolgung gerichtlich strafbarer Handlungen ermittelt werden können.
Paragraph 18, Absatz 2, haben die in den Paragraph 13 und 16 genannten Diensteanbieter aufgrund der Anordnung eines dazu gesetzlich befugten inländischen Gerichts diesem alle Informationen zu übermitteln, anhand deren die Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Übermittlung oder Speicherung von Informationen abgeschlossen haben, zur Verhütung, Ermittlung, Aufklärung oder Verfolgung gerichtlich strafbarer Handlungen ermittelt werden können.
Abs. 3 haben die in § 16 genannten Diensteanbieter aufgrund der Anordnungen einer Verwaltungsbehörde dieser den Namen und die Adressen der Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Speicherung von Informationen abgeschlossen haben, zu übermitteln, sofern die Kenntnis dieser Informationen eine wesentliche Voraussetzung der Wahrnehmung der der Behörde übertragenen Aufgaben bildet.
Absatz 3, haben die in Paragraph 16, genannten Diensteanbieter aufgrund der Anordnungen einer Verwaltungsbehörde dieser den Namen und die Adressen der Nutzer ihres Dienstes, mit denen sie Vereinbarungen über die Speicherung von Informationen abgeschlossen haben, zu übermitteln, sofern die Kenntnis dieser Informationen eine wesentliche Voraussetzung der Wahrnehmung der der Behörde übertragenen Aufgaben bildet.
Abs. 4 haben die in § 16 genannten Dienstanbieter den Namen und die Adresse eines Nutzers ihres Dienstes, mit dem sie Vereinbarungen über die Speicherung von Informationen abgeschlossen haben, auf Verlangen dritten Personen zu übermitteln, sofern diese ein überwiegendes rechtliches Interesse an der Feststellung der Identität eines Nutzers oder eines bestimmten rechtswidrigen Sachverhalts sowie überdies glaubhaft machen, dass die Kenntnis dieser Informationen eine wesentliche Voraussetzung für die Rechtsverfolgung bildet.
Absatz 4, haben die in Paragraph 16, genannten Dienstanbieter den Namen und die Adresse eines Nutzers ihres Dienstes, mit dem sie Vereinbarungen über die Speicherung von Informationen abgeschlossen haben, auf Verlangen dritten Personen zu übermitteln, sofern diese ein überwiegendes rechtliches Interesse an der Feststellung der Identität eines Nutzers oder eines bestimmten rechtswidrigen Sachverhalts sowie überdies glaubhaft machen, dass die Kenntnis dieser Informationen eine wesentliche Voraussetzung für die Rechtsverfolgung bildet.
1 DSGVO muss sich unbeschadet anderer in dieser Verordnung dargelegter Aufgaben jede Aufsichtsbehörde in ihrem Hoheitsgebiet […]
, Absatz eins, DSGVO muss sich unbeschadet anderer in dieser Verordnung dargelegter Aufgaben jede Aufsichtsbehörde in ihrem Hoheitsgebiet […] lit f) mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes
befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und dem Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; Litera f,) mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes
, befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und dem Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; lit g) mit anderen Aufsichtsbehörden zusammenarbeiten, auch durch Informationsaustausc,h und ihnen Amtshilfe leisten, um die einheitliche Anwendung und Durchsetzung dieser Verordnung zu gewährleisten; […] Litera g,) mit anderen Aufsichtsbehörden zusammenarbeiten, auch durch Informationsaustausc,h und ihnen Amtshilfe leisten, um die einheitliche Anwendung und Durchsetzung dieser Verordnung zu gewährleisten; […] Eine der Hauptaufgaben der Aufsichtsbehörden besteht in der Untersuchung und Prüfung der Beschwerden von Betroffenen (Art. 77). Die Aufsichtsbehörde hat sich mit der Beschwerde zu befassen, der Gegenstand der Beschwerde muss in angemessenen Umfang untersucht werden. Eine der Hauptaufgaben der Aufsichtsbehörden besteht in der Untersuchung und Prüfung der Beschwerden von Betroffenen (Artikel 77,). Die Aufsichtsbehörde hat sich mit der Beschwerde zu befassen, der Gegenstand der Beschwerde muss in angemessenen Umfang untersucht werden. Ob der Umfang einer Untersuchung angemessen ist, muss nach der Intensität des Grundrechtseingriffs und danach, ob die Angelegenheit von grundsätzlicher datenschutzrechtlicher Bedeuten ist (gegebenenfalls noch in die Rechte weiterer Betroffener eingegriffen wurde) beurteilt werden. Je nachdem entscheidet die Aufsichtsbehörde dann über die Mittel der Prüfung (Zavadil in Knyrim, DatKomm Art. 57 Rz 13 und 15, Stand 01.03.2021, rdb.at). Ob der Umfang einer Untersuchung angemessen ist, muss nach der Intensität des Grundrechtseingriffs und danach, ob die Angelegenheit von grundsätzlicher datenschutzrechtlicher Bedeuten ist (gegebenenfalls noch in die Rechte weiterer Betroffener eingegriffen wurde) beurteilt werden. Je nachdem entscheidet die Aufsichtsbehörde dann über die Mittel der Prüfung (Zavadil in Knyrim, DatKomm Artikel 57, Rz 13 und 15, Stand 01.03.2021, rdb.at).
3 kann das Verwaltungsgericht den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheids an die Behörde zurückverweisen, wenn die Behörde notwendige Ermittlungen des Sachverhalts unterlassen hat. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Entschluss ausgegangen ist.
Paragraph 28, Absatz 3, kann das Verwaltungsgericht den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheids an die Behörde zurückverweisen, wenn die Behörde notwendige Ermittlungen des Sachverhalts unterlassen hat. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Entschluss ausgegangen ist. Nach ständiger Rechtsprechung des Verwaltungsgerichtshofs kann von der Möglichkeit der Zurückverweisung generell bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht werden, beispielsweise, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, zur Ermittlung des maßgeblichen Sachverhalts lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat bzw. konkrete Anhaltspunkte annehmen lassen, dass die Verwaltungsbehörde etwa schwierige Ermittlungen unterließ, damit diese dann durch das VwG vorgenommen werden. Daraus folgt: Zugrunde liegt ein behaupteter Sachverhalt, nach dem eine Geheimhaltungspflichtverletzung durch eine Beschwerdegegnerin „ XXXX “, betreffend derer lediglich ein Facebook Profil unter diesem Namen bekannt ist, erfolgt sein soll. Die Fortführung des Verfahrens setzt nähere Kenntnisse betreffend die BG, nämlich deren wahren Namen, eine zustellfähige postalische Adresse oder E-Mail-Adresse voraus. Zugrunde liegt ein behaupteter Sachverhalt, nach dem eine Geheimhaltungspflichtverletzung durch eine Beschwerdegegnerin „ römisch 40 “, betreffend derer lediglich ein Facebook Profil unter diesem Namen bekannt ist, erfolgt sein soll. Die Fortführung des Verfahrens setzt nähere Kenntnisse betreffend die BG, nämlich deren wahren Namen, eine zustellfähige postalische Adresse oder E-Mail-Adresse voraus. Entsprechend der überbundenen Rechtsansicht aus dem Erkenntnis im ersten Rechtsgang setzte die belangte Behörde diesbezüglich zunächst durchaus taugliche Ermittlungsschritte, nämlich zunächst ein Schreiben an den Diensteanbieter Facebook, offenbar mit Sitz in Irland. Dieser antwortete in kurzer Frist per E-Mail und führte aus, er benötige eine „gültige Herausgabeverfügung“ oder „gerichtliche Entscheidung“, um die Anfrage bearbeiten zu können. Facebook Ireland antworte auf dieses Auskunfts- oder Unterstützungsersuchen unbeschadet der Zuständigkeit der irischen Datenschutzkommission als federführende Aufsichtsbehörde […]. Ohne neuerlich mit Facebook Ireland in Kontakt zu treten sandte die belangte Behörde daraufhin der irischen Datenschutzbehörde unter Nutzung von IMI ein Unterstützungsersuchen unter Bezugnahme auf Art. 15 und 19 E-Commerce-Richtlinie, Facebook Ireland zu kontaktieren, um den wahren Namen und eine Kontaktadresse von „ XXXX “ herauszufinden, sollte Irland Art. 15 der genannten Richtlinie in nationales Recht umgesetzt haben. Ohne neuerlich mit Facebook Ireland in Kontakt zu treten sandte die belangte Behörde daraufhin der irischen Datenschutzbehörde unter Nutzung von IMI ein Unterstützungsersuchen unter Bezugnahme auf Artikel 15 und 19 E-Commerce-Richtlinie, Facebook Ireland zu kontaktieren, um den wahren Namen und eine Kontaktadresse von „ römisch 40 “ herauszufinden, sollte Irland Artikel 15, der genannten Richtlinie in nationales Recht umgesetzt haben. Nach ausführlicher Beantwortung der von der irischen Datenschutzbehörde gestellten Fragen sandte diese das oben dargestellte Ergebnis vom 09.08.2021, in welchem sie im Wesentlichen ausführte, die irische Datenschutzbehörde sei nicht die zuständige Behörde im Verhältnis zur Durchsetzung der E-Commerce-Richtlinie oder der E-Commerce-Gesetzgebung nach irischem Recht. Daraus folge, dass sie nicht fähig sei, Hilfe in Bezug auf das Unterstützungsansuchen der belangten Behörde zu leisten. Dazu ist auszuführen: Das Verwaltungsgericht teilt nicht die Sicht der belangten Behörde, dass diese in Ansehung dessen, dass sie sich mit den dargestellten Antworten zufriedengegeben hat, die Sache „angemessen“ im Sinne des Art. 57 Abs. 1 lit. f DSGVO untersucht hat. Das Verwaltungsgericht teilt nicht die Sicht der belangten Behörde, dass diese in Ansehung dessen, dass sie sich mit den dargestellten Antworten zufriedengegeben hat, die Sache „angemessen“ im Sinne des Artikel 57, Absatz eins, Litera f, DSGVO untersucht hat. Wie dargestellt, ist der Umfang einer Untersuchung nach der Intensität des Grundrechtseingriffes und ob die Angelegenheit von grundsätzlicher datenschutzrechtlicher Bedeutung ist, zu beurteilen. Nach dem Vorbringen im Antrag bestand eine Verletzung der Geheimhaltungspflicht in Bezug auf private Verhältnisse des BF, dessen Bild im Rahmen einer XXXX werbung österreichweite Verbreitung gefunden hat. Die Durchsetzbarkeit von Betroffenenrechten, insbesondere gegenüber international agierenden Diensten im Sinne der E-Commerce-Richtlinie, ist als durchaus zentrale Aufgabe des europäisch-rechtlich geregelten Datenschutzes anzusehen. Nach dem Vorbringen im Antrag bestand eine Verletzung der Geheimhaltungspflicht in Bezug auf private Verhältnisse des BF, dessen Bild im Rahmen einer römisch 40 werbung österreichweite Verbreitung gefunden hat. Die Durchsetzbarkeit von Betroffenenrechten, insbesondere gegenüber international agierenden Diensten im Sinne der E-Commerce-Richtlinie, ist als durchaus zentrale Aufgabe des europäisch-rechtlich geregelten Datenschutzes anzusehen. Zunächst ist festzuhalten, dass aufgrund des Erkenntnisses vom 30.03.2020 (S 6) der Behörde nicht vorgegeben war, welche Ermittlungsschritte sie vorzunehmen hatte. Sie war auch nicht auf Anordungen nach dem ECG beschränkt („allenfalls auch die nach § 18 ECG gebotenen Anordnungen“). Zunächst ist festzuhalten, dass aufgrund des Erkenntnisses vom 30.03.2020 (S 6) der Behörde nicht vorgegeben war, welche Ermittlungsschritte sie vorzunehmen hatte. Sie war auch nicht auf Anordungen nach dem ECG beschränkt („allenfalls auch die nach Paragraph 18, ECG gebotenen Anordnungen“). Weder aus der Begründung des bekämpften Bescheides noch aus den Aktenvermerken der belangten Behörden ist ersichtlich, ob und inwieweit sie im fortgesetzten Verfahren nach den Vorgaben für Fälle grenzüberschreitender Datenverarbeitung iSd Art 56, 60 und 61 DSGVO vorging. Naheliegend ist eine Konstellation nach Art 56 Abs 2 DSGVO. Weder aus der Begründung des bekämpften Bescheides noch aus den Aktenvermerken der belangten Behörden ist ersichtlich, ob und inwieweit sie im fortgesetzten Verfahren nach den Vorgaben für Fälle grenzüberschreitender Datenverarbeitung iSd Artikel 56, 60 und 61 DSGVO vorging. Naheliegend ist eine Konstellation nach Artikel 56, Absatz 2, DSGVO. Zur Antwort von Facebook Ireland auf die Anfrage der belangten Behörde: Es ist nicht klar ersichtlich, ob Facebook Ireland überhaupt erkannte, dass es sich um eine Anfrage einer Datenschutzbehörde handelte (siehe Antwortteil: „Wenn Sie Klage einreichen möchten, sollte ein Anwalt oder Beamter Ihrer regionalen Strafverfolgungsbehörde Kontakt mit uns aufnehmen.“). Facebook Ireland erkennt offenbar die Verpflichtung an, aufgrund „Herausgabeverfügungen“ oder „gerichtlicher Entscheidungen“ derartige Anfragen weiter zu verfolgen. Dies spricht für das Bestehen dem Art. 18 ECG ähnlicher Vorschriften nationalen irischen Rechts in Umsetzung der E-Commerce-Richtlinie. Es ist nicht klar ersichtlich, ob Facebook Ireland überhaupt erkannte, dass es sich um eine Anfrage einer Datenschutzbehörde handelte (siehe Antwortteil: „Wenn Sie Klage einreichen möchten, sollte ein Anwalt oder Beamter Ihrer regionalen Strafverfolgungsbehörde Kontakt mit uns aufnehmen.“). Facebook Ireland erkennt offenbar die Verpflichtung an, aufgrund „Herausgabeverfügungen“ oder „gerichtlicher Entscheidungen“ derartige Anfragen weiter zu verfolgen. Dies spricht für das Bestehen dem Artikel 18, ECG ähnlicher Vorschriften nationalen irischen Rechts in Umsetzung der E-Commerce-Richtlinie. Davon ungeachtet wäre bereits das Ersuchen der belangten Behörde vom 05.06.2020 gegenüber Facebook Ireland als „gültige Herausgabeverfügung“ einer europäischen Datenschutzbehörde anzusehen. Jedenfalls wäre die Datenschutzbehörde nach Ansicht des erkennenden Senates verhalten gewesen, sich mit dieser – im Übrigen rasch übermittelten - Antwort nicht zufrieden zu geben, und klarzustellen, dass es sich um ein behördliches Ersuchen mit dahinterstehender gerichtlicher Entscheidung (Erkenntnis vom 30.03.2020) handelt bzw. rückzufragen, auf welche Rechtsgrundlage sich die irische Aufsichtsbehörde im Rahmen ihrer abschlägigen Antwort bezog. Zur „Unzuständigkeit der irischen Datenschutzbehörde“: Wie dargestellt, resultiert insbesondere aus Art. 57 Abs 1 lit g) und Art 61 DSGVO, selbst unabhängig vom Vorliegen grenzüberschreitender Sachverhalte (Jahnel, Kommentar zur DSGVO Art 61 Rz 1, Stand 1.12.2020, rdb.at), eine Pflicht der Aufsichtsbehörden zur Zusammenarbeit, insbesondere durch Informationsaustausch und Amtshilfe. Insofern wäre es jedenfalls Sache der irischen Aufsichtsbehörde gewesen, darzustellen, ob aufgrund Art. 15 der E-Commerce-Richtlinie eine irische nationale Gesetzgebung ergangen ist, die behördliche oder gerichtliche Herausgabeverpflichtungen anordnet. Dies wäre durch die belangte Behörde jedenfalls zu urgieren gewesen. Weiters wäre rückzufragen gewesen, weshalb sich die irische Datenschutzbehörde in Ansehung der E-Commerce-Richtlinie bzw allenfalls aufgrund dieser ergangener irischer Gesetzgebung sowie auch der generellen Verpflichtung zur Zusammenarbeit und zur Amtshilfe als „nicht zuständig“ erachtet, dem Unterstützungsersuchen der österreichischen Datenschutzbehörde nachzukommen, bedarfsfalls ihrem Ersuchen auch Nachdruck zu verleihen.Wie dargestellt, resultiert insbesondere aus Artikel 57, Absatz eins, Litera g,) und Artikel 61, DSGVO, selbst unabhängig vom Vorliegen grenzüberschreitender Sachverhalte (Jahnel, Kommentar zur DSGVO Artikel 61, Rz 1, Stand 1.12.2020, rdb.at), eine Pflicht der Aufsichtsbehörden zur Zusammenarbeit, insbesondere durch Informationsaustausch und Amtshilfe. Insofern wäre es jedenfalls Sache der irischen Aufsichtsbehörde gewesen, darzustellen, ob aufgrund Artikel 15, der E-Commerce-Richtlinie eine irische nationale Gesetzgebung ergangen ist, die behördliche oder gerichtliche Herausgabeverpflichtungen anordnet. Dies wäre durch die belangte Behörde jedenfalls zu urgieren gewesen. Weiters wäre rückzufragen gewesen, weshalb sich die irische Datenschutzbehörde in Ansehung der E-Commerce-Richtlinie bzw allenfalls aufgrund dieser ergangener irischer Gesetzgebung sowie auch der generellen Verpflichtung zur Zusammenarbeit und zur Amtshilfe als „nicht zuständig“ erachtet, dem Unterstützungsersuchen der österreichischen Datenschutzbehörde nachzukommen, bedarfsfalls ihrem Ersuchen auch Nachdruck zu verleihen. Der erkennende Senat sieht im Umstand, dass sich die belangte Behörde mit den beiden ungenügenden Antworten ohne Rückfrage zufrieden gegeben hat, im Ergebnis ungeeignete Ermittlungsschritte, wobei gerade durch die in einem Aktenvermerk der belangten Behörde noch vor Rückantwort durch die irische Datenschutzbehörde zum Ausdruck gekommene Überlegung, man könne sich - sollte dem AH-Ersuchen nicht entsprochen werden – darauf stützen, dass die Beschwerde „in angemessenem Umfang“ untersucht worden sei, ein Indiz dafür gesehen werden könnte, dass man sich auf ansatzweise und nicht zielführende Ermittlungen zu beschränken bereit war. Konkret geht das Verwaltungsgericht auch davon aus, dass die oben dargestellte Fortsetzung der Ermittlungen durch die belangte Behörde wesentlich zweckmäßiger wäre als eine solche durch das Verwaltungsgericht selbst, insbesondere unter Nutzung des Kommunikationssystems IMI, das primär auf Behörden ausgerichtet ist. Im Übrigen wäre in Bezug auf die Direktanfrage an Facebook Ireland auch darauf hinzuweisen, dass zumindest nach österreichischem Recht selbst nichtbehördlichen Kontaktdatenanfragen nachzukommen ist, sofern ein überwiegendes rechtliches Interesse an der Feststellung der Identität eines Nutzers oder eines bestimmten rechtswidrigen Sachverhalts glaubhaft wird, und die Kenntnis dieser Informationen eine wesentliche Voraussetzung für die Rechtsverfolgung bildet (§ 18 Abs. 4 ECG). Hiezu wäre zu klären, ob eine entsprechende nationale irische Norm existiert.Im Übrigen wäre in Bezug auf die Direktanfrage an Facebook Ireland auch darauf hinzuweisen, dass zumindest nach österreichischem Recht selbst nichtbehördlichen Kontaktdatenanfragen nachzukommen ist, sofern ein überwiegendes rechtliches Interesse an der Feststellung der Identität eines Nutzers oder eines bestimmten rechtswidrigen Sachverhalts glaubhaft wird, und die Kenntnis dieser Informationen eine wesentliche Voraussetzung für die Rechtsverfolgung bildet (Paragraph 18, Absatz 4, ECG). Hiezu wäre zu klären, ob eine entsprechende nationale irische Norm existiert. Insofern sind die Ausführungen in der Beschwerde, die belangte Behörde sei ihren Erhebungspflichten nicht im gebotenen Umfang nachgekommen, ihre Erhebungsschritte seien unzureichend und es sei nicht ersichtlich, dass die Behörde sämtliche ihr zur Verfügung stehenden (rechtlichen) Mittel (nationale und unionsrechtliche Rechtsbehelfe) genutzt habe, nicht von der Hand zu weisen. Aufgrund aller genannten Umstände war auch der neuerliche Bescheid zu beheben und der belangten Behörde die Fortsetzung des Verfahrens im Sinne der Fortsetzung der aufgezeigten Ermittlungsschritte aufzutragen. Der Ausspruch der Unzulässigkeit der Revision folgt dem Umstand, dass - selbst in Ansehung europarechtlich und national höchstgerichtlich vieler ungeklärte Fragen in Bezug auf die Zusammenarbeit der Aufsichtsbehörden – Einzelfallumstände des Ermittlungsverfahrens gegenständlich sind und die grundsätzliche Verpflichtung der Aufsichtsbehörden zur Zusammenarbeit im Sinne des 57 Abs. 1 lit. g sowie Art 61 Abs 1 DSGVO schon aufgrund des Wortlautes dieser Bestimmungen außer Frage steht.Der Ausspruch der Unzulässigkeit der Revision folgt dem Umstand, dass - selbst in Ansehung europarechtlich und national höchstgerichtlich vieler ungeklärte Fragen in Bezug auf die Zusammenarbeit der Aufsichtsbehörden – Einzelfallumstände des Ermittlungsverfahrens gegenständlich sind und die grundsätzliche Verpflichtung der Aufsichtsbehörden zur Zusammenarbeit im Sinne des 57 Absatz eins, Litera g, sowie Artikel 61, Absatz eins, DSGVO schon aufgrund des Wortlautes dieser Bestimmungen außer Frage steht. European Case Law IdentifierECLI:AT:BVWG:2023:W274.2247619.1.00
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.