Obsah (16)

§ 34Art. 133§ 24§ 1Art. 34Art. 32Art. 130§ 28Art. 15§ 6§ 27§ 58§ 17§ 31§ 44§ 25a

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum22.01.2025 GeschäftszahlW108 2285591-1 Spruch, W108 2285591-1/7Z BESCHLUSS Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAU

§ 34Abs. 3 Vw

GVG bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, ausgesetzt.Das Beschwerdeverfahren wird

Paragraph 34, Absatz 3, VwGVG bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, ausgesetzt. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Begründung:, Begründung: I. Verfahrensgang und Sachverhalt:römisch eins. Verfahrensgang und Sachverhalt: 1.1. In der verfahrensgegenständlichen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde

§ 24Datenschutzgesetz (DSG) sowie Art.

77 Datenschutz-Grundverordnung (DSGVO) vom 21.04.2023 machte die nunmehrige mitbeteiligte Partei (ehemalige beschwerdeführende Partei im Verfahren vor der belangten Behörde) eine Verletzung im Recht auf Geheimhaltung

§ 1

DSG sowie im Recht auf Benachrichtigung

Art. 34

DSGVO durch die nunmehrige Beschwerdeführerin (ehemalige Beschwerdegegnerin im Verfahren vor der belangten Behörde) geltend. 1.1. In der verfahrensgegenständlichen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde

Paragraph 24, Datenschutzgesetz (DSG) sowie Artikel 77, Datenschutz-Grundverordnung (DSGVO) vom 21.04.2023 machte die nunmehrige mitbeteiligte Partei (ehemalige beschwerdeführende Partei im Verfahren vor der belangten Behörde) eine Verletzung im Recht auf Geheimhaltung

Paragraph eins, DSG sowie im Recht auf Benachrichtigung

Artikel 34

, DSGVO durch die nunmehrige Beschwerdeführerin (ehemalige Beschwerdegegnerin im Verfahren vor der belangten Behörde) geltend. Dazu wurde zusammengefasst vorgebracht, dass aufgrund medialer Berichterstattung bekanntgeworden sei, dass ein Hacker Meldedaten (Name, Geburtsdaten und Meldeadressen) fast aller Österreicher aus einer Datenbank der Beschwerdeführerin gestohlen und im Internet zum Verkauf angeboten habe. An die Daten sei der Hacker durch eine Nachlässigkeit bei einer IT-Firma gelangt, welche die Beschwerdeführerin mit der Neustrukturierung der Datenbank beauftragt hatte. Die Datenbank sei im Mai 2020 ohne Zugangssicherung im Internet zugänglich gewesen. Dies entspreche nicht den datenschutzrechtlichen Vorgaben hinsichtlich der Sicherheit der Verarbeitung personenbezogener Daten und sei das Fehlverhalten des IT-Dienstleisters der Verantwortlichen zuzurechnen. Zudem habe hinsichtlich der gegenständlichen Vorfälle keine individuelle Benachrichtigung im Sinne von Art. 34 DSGVO stattgefunden.Dazu wurde zusammengefasst vorgebracht, dass aufgrund medialer Berichterstattung bekanntgeworden sei, dass ein Hacker Meldedaten (Name, Geburtsdaten und Meldeadressen) fast aller Österreicher aus einer Datenbank der Beschwerdeführerin gestohlen und im Internet zum Verkauf angeboten habe. An die Daten sei der Hacker durch eine Nachlässigkeit bei einer IT-Firma gelangt, welche die Beschwerdeführerin mit der Neustrukturierung der Datenbank beauftragt hatte. Die Datenbank sei im Mai 2020 ohne Zugangssicherung im Internet zugänglich gewesen. Dies entspreche nicht den datenschutzrechtlichen Vorgaben hinsichtlich der Sicherheit der Verarbeitung personenbezogener Daten und sei das Fehlverhalten des IT-Dienstleisters der Verantwortlichen zuzurechnen. Zudem habe hinsichtlich der gegenständlichen Vorfälle keine individuelle Benachrichtigung im Sinne von Artikel 34, DSGVO stattgefunden. 1.

1. Aufgrund einer Vielzahl gleichgelagerter Datenschutzbeschwerden, denen der gleiche Sachverhalt zugrunde lag, führte die belangte Behörde, protokolliert zur Zahl D124.0227/23, ein einheitliches Ermittlungsverfahren („Hauptverfahren“) durch, in dessen Rahmen sie die wesentlichen Ermittlungsschritte setzte und die gewonnenen Ermittlungsergebnisse im Sinne der Verfahrensökonomie allen gegen die Beschwerdeführerin gerichteten Verfahren zu Grunde legte. 1.
2. Mit dem nunmehr angefochtenen Bescheid entschied die belangte Behörde über die Datenschutzbeschwerde der mitbeteiligten Partei wegen A) Verletzung im Recht auf Geheimhaltung als Folge eines Verstoßes gegen Art. 32 DSGVO, B) Verletzung im Recht auf Geheimhaltung als Folge der Datenübermittlung an ein IT-Unternehmen zwecks (Neu-)Konstruktion von Datenbanken und C) Verletzung der Benachrichtigungspflicht über eine Verletzung des Schutzes personenbezogener Daten, wie folgt (Formatierung nicht 1:1 wiedergegeben):1.
3. Mit dem nunmehr angefochtenen Bescheid entschied die belangte Behörde über die Datenschutzbeschwerde der mitbeteiligten Partei wegen A) Verletzung im Recht auf Geheimhaltung als Folge eines Verstoßes gegen Artikel 32, DSGVO, B) Verletzung im Recht auf Geheimhaltung als Folge der Datenübermittlung an ein IT-Unternehmen zwecks (Neu-)Konstruktion von Datenbanken und C) Verletzung der Benachrichtigungspflicht über eine Verletzung des Schutzes personenbezogener Daten, wie folgt (Formatierung nicht 1:1 wiedergegeben): „1) Der Beschwerde wird hinsichtlich Beschwerdepunkt A) Folge gegeben und es wird festgestellt, dass die Beschwerdegegnerin die beschwerdeführende Partei im Recht auf Geheimhaltung verletzt hat, indem die Beschwerdegegnerin es mangels geeigneter technischer und organisatorischer Maßnahmen

Art. 32

DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten der beschwerdeführenden Partei (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden.„1) Der Beschwerde wird hinsichtlich Beschwerdepunkt A) Folge gegeben und es wird festgestellt, dass die Beschwerdegegnerin die beschwerdeführende Partei im Recht auf Geheimhaltung verletzt hat, indem die Beschwerdegegnerin es mangels geeigneter technischer und organisatorischer Maßnahmen

Artikel 32

, DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten der beschwerdeführenden Partei (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden. 2) Die Beschwerde wird hinsichtlich der Beschwerdepunkte B) und C) abgewiesen.“ 1.4. Gegen Spruchpunkt 1. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Bescheidbeschwerde

Art. 130Abs.

1 Z 1 B-VG an das Bundesverwaltungsgericht.1.

1. Gegen Spruchpunkt
2. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Bescheidbeschwerde

Artikel 130, Absatz eins, Ziffer eins, B-VG an das Bundesverwaltungsgericht.

1.

1. Die belangte Behörde machte von der Möglichkeit der Beschwerdevorentscheidung nicht Gebrauch und legte die Beschwerde samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor, wobei sie den angefochtenen Bescheid verteidigte. 2.
2. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 05.07.2024, Zl. W292 2284228-1/49E, wurde in einem Parallelverfahren die Bescheidbeschwerde der Beschwerdeführerin

§ 28Abs. 2 Vw

GVG, § 1 und 24 DSG in Verbindung mit Art. 5, 6, 32 und 77 DSGVO, als unbegründet abgewiesen und ausgesprochen, dass die Revision

Art. 133Abs.

4 B-VG nicht zulässig sei. 2.1. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 05.07.2024, Zl. W292 2284228-1/49E, wurde in einem Parallelverfahren die Bescheidbeschwerde der Beschwerdeführerin

Paragraph 28, Absatz 2, VwGVG, Paragraph eins und 24 DSG in Verbindung mit Artikel 5, 6, 32 und 77 DSGVO, als unbegründet abgewiesen und ausgesprochen, dass die Revision

Artikel 133, Absatz 4, B-VG nicht zulässig sei.

Rechtlich hielt das Bundesverwaltungsgericht zunächst fest, dass die Beschwerdeführerin die datenschutzrechtliche Verantwortung für von der XXXX vorgenommene Verarbeitungsvorgänge treffe und aufgrund eines vorhandenen Informationsdefizits der betroffenen Personen keine Präklusion des Beschwerderechts

§ 24Abs.

4 DSG eingetreten sei, wiewohl es der Beschwerdeführerin möglich gewesen wäre, in den Wochen und Monaten nach dem widerrechtlichen Zugriff vom 08.05.2020 die betroffenen Personen auf wirksame Weise zum Hergang und den Folgen des Vorfalles im Sinne von Art. 34 Abs. 1 und Abs. 2 DSGVO zu informieren.Rechtlich hielt das Bundesverwaltungsgericht zunächst fest, dass die Beschwerdeführerin die datenschutzrechtliche Verantwortung für von der römisch 40 vorgenommene Verarbeitungsvorgänge treffe und aufgrund eines vorhandenen Informationsdefizits der betroffenen Personen keine Präklusion des Beschwerderechts

Paragraph 24, Absatz 4, DSG eingetreten sei, wiewohl es der Beschwerdeführerin möglich gewesen wäre, in den Wochen und Monaten nach dem widerrechtlichen Zugriff vom 08.05.2020 die betroffenen Personen auf wirksame Weise zum Hergang und den Folgen des Vorfalles im Sinne von Artikel 34, Absatz eins und Absatz 2, DSGVO zu informieren. Zur Zurechnung des Verhaltens des Auftragsverarbeiters zur Beschwerdeführerin als Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO sei auszuführen, dass der Auftragsverarbeiter der verlängerte Arm des Verantwortlichen sei, weshalb im gegenständlichen Fall sämtliche Verarbeitungsvorgänge, die im Auftrag der XXXX im Rahmen des gegenständlichen IT-Projektes vorgenommen worden seien, so zu behandeln seien, als ob diese von der XXXX als Verantwortlicher selbst (etwa im Rahmen der hauseigenen IT-Abteilung) vorgenommen worden wären. Zur Zurechnung des Verhaltens des Auftragsverarbeiters zur Beschwerdeführerin als Verantwortlicher im Sinne von Artikel 4, Ziffer 7, DSGVO sei auszuführen, dass der Auftragsverarbeiter der verlängerte Arm des Verantwortlichen sei, weshalb im gegenständlichen Fall sämtliche Verarbeitungsvorgänge, die im Auftrag der römisch 40 im Rahmen des gegenständlichen IT-Projektes vorgenommen worden seien, so zu behandeln seien, als ob diese von der römisch 40 als Verantwortlicher selbst (etwa im Rahmen der hauseigenen IT-Abteilung) vorgenommen worden wären. Die Beschwerdeführerin habe als Verantwortliche im Sinne von Art. 4 Z 7 DSGVO dadurch gegen ihre Pflichten nach Art. 5 Abs. 1 lit. f und Art. 32 DSGVO verstoßen, indem sie im Zuge der Entwicklungstätigkeiten nicht sichergestellt habe, dass die an den Auftragsverarbeiter übermittelten Meldedaten im Rahmen einer Testumgebung verarbeitet worden seien, die ein dem Risiko angemessenes Schutzniveau vor unberechtigten Zugriffen biete, nicht dafür Sorge getragen habe, dass die Entwicklungstätigkeiten anhand von simulierten Daten vorgenommen worden seien, sowie insgesamt keine wirksamen technischen und organisatorischen Maßnahmen in Gestalt eines Projektmanagements etabliert habe, welche eine regelmäßige Kontrolle und Überwachung der Einhaltung eines angemessenen Schutzniveaus durch den Auftragsverarbeiter umfasst hätten, anstelle lediglich durch den Abschluss einer Vereinbarung hierauf zu vertrauen. Durch diese Vorgangsweise habe die Beschwerdeführerin ein erhebliches Risiko geschaffen, das sich im Zuge des unberechtigten Zugriffes vom Mai 2020 – und der damit einhergehenden Verletzung des Schutzes personenbezogener Daten – auch verwirklicht habe.Die Beschwerdeführerin habe als Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO dadurch gegen ihre Pflichten nach Artikel 5, Absatz eins, Litera f und Artikel 32, DSGVO verstoßen, indem sie im Zuge der Entwicklungstätigkeiten nicht sichergestellt habe, dass die an den Auftragsverarbeiter übermittelten Meldedaten im Rahmen einer Testumgebung verarbeitet worden seien, die ein dem Risiko angemessenes Schutzniveau vor unberechtigten Zugriffen biete, nicht dafür Sorge getragen habe, dass die Entwicklungstätigkeiten anhand von simulierten Daten vorgenommen worden seien, sowie insgesamt keine wirksamen technischen und organisatorischen Maßnahmen in Gestalt eines Projektmanagements etabliert habe, welche eine regelmäßige Kontrolle und Überwachung der Einhaltung eines angemessenen Schutzniveaus durch den Auftragsverarbeiter umfasst hätten, anstelle lediglich durch den Abschluss einer Vereinbarung hierauf zu vertrauen. Durch diese Vorgangsweise habe die Beschwerdeführerin ein erhebliches Risiko geschaffen, das sich im Zuge des unberechtigten Zugriffes vom Mai 2020 – und der damit einhergehenden Verletzung des Schutzes personenbezogener Daten – auch verwirklicht habe. 2.

1. Gegen dieses Erkenntnis erhob die Beschwerdeführerin mit Schriftsatz vom 16.08.2024 eine außerordentliche Revision an den Verwaltungsgerichtshof, in welcher sie ausführte, dass die Revision entgegen dem Ausspruch des Bundesverwaltungsgerichtes zulässig sei, da es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage fehle, ob die Verantwortlicheneigenschaft einer Behörde auf eine neue Behörde übergehe, in welcher Form eine öffentliche Bekanntmachung iSd Art. 34 Abs. 3 lit. c DSGVO vorzunehmen sei, damit die Betroffenen vergleichbar wirksam informiert würden, wie durch eine individuelle Benachrichtigung, ob ein Betroffener über einen Datensicherheitsvorfall zu benachrichtigen sei, wenn nur mit einer bestimmten Wahrscheinlichkeit bestimmt werden könne, ob der Betroffene vom Datensicherheitsvorfall betroffen sei, ob die subjektive Präklusivfrist des § 24 Abs. 4 DSG aufgrund einer öffentlichen Bekanntmachung iSd Art. 34 Abs. 3 lit. c DSGVO zu laufen beginne sowie zur Zurechnung des rechtswidrigen Verhaltens des Auftragsverarbeiters. Das Erkenntnis des Bundesverwaltungsgerichtes weiche zudem von der Rechtsprechung des Verwaltungsgerichtshofs ab. Das Bundesverwaltungsgericht habe die Rechtsprechung des Verwaltungsgerichtshofs zum Umfang der Ermittlungspflicht der Verwaltungsbehörden falsch angewendet, in der Bescheidbeschwerde sei die Aufnahme von Beweisen, nämlich die Beschaffung des beim Hacker sichergestellten Datenbestands sowie die Einvernahme des Hackers, beantragt worden, insbesondere die Einvernahme des Hackers hätte jedenfalls zur Wahrheitsfindung beitragen können. 2.
2. Gegen dieses Erkenntnis erhob die Beschwerdeführerin mit Schriftsatz vom 16.08.2024 eine außerordentliche Revision an den Verwaltungsgerichtshof, in welcher sie ausführte, dass die Revision entgegen dem Ausspruch des Bundesverwaltungsgerichtes zulässig sei, da es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage fehle, ob die Verantwortlicheneigenschaft einer Behörde auf eine neue Behörde übergehe, in welcher Form eine öffentliche Bekanntmachung iSd Artikel 34, Absatz 3, Litera c, DSGVO vorzunehmen sei, damit die Betroffenen vergleichbar wirksam informiert würden, wie durch eine individuelle Benachrichtigung, ob ein Betroffener über einen Datensicherheitsvorfall zu benachrichtigen sei, wenn nur mit einer bestimmten Wahrscheinlichkeit bestimmt werden könne, ob der Betroffene vom Datensicherheitsvorfall betroffen sei, ob die subjektive Präklusivfrist des Paragraph 24, Absatz 4, DSG aufgrund einer öffentlichen Bekanntmachung iSd Artikel 34, Absatz 3, Litera c, DSGVO zu laufen beginne sowie zur Zurechnung des rechtswidrigen Verhaltens des Auftragsverarbeiters. Das Erkenntnis des Bundesverwaltungsgerichtes weiche zudem von der Rechtsprechung des Verwaltungsgerichtshofs ab. Das Bundesverwaltungsgericht habe die Rechtsprechung des Verwaltungsgerichtshofs zum Umfang der Ermittlungspflicht der Verwaltungsbehörden falsch angewendet, in der Bescheidbeschwerde sei die Aufnahme von Beweisen, nämlich die Beschaffung des beim Hacker sichergestellten Datenbestands sowie die Einvernahme des Hackers, beantragt worden, insbesondere die Einvernahme des Hackers hätte jedenfalls zur Wahrheitsfindung beitragen können. Nach Rechtsansicht der Revisionswerberin sei für die Frage der Verantwortlicheneigenschaft der Beschwerdeführerin nicht auf ihre Rechtspersönlichkeit, sondern auf ihre gesetzliche Bezeichnung und auf ihren gesetzlichen Auftrag abzustellen. Mit dem ORF-Beitrags-Gesetz 2024 (OBG) sei die Beschwerdeführerin und damit eine neue Behörde geschaffen worden, die von der XXXX als Behörde und damit als datenschutzrechtliche Verantwortliche zu unterscheiden sei. Gesellschaftsrechtlich bestehe zwar Personenidentität zwischen der (ehemaligen) XXXX und der nunmehrigen Beschwerdeführerin. Im OBG werde aber nunmehr eine neue Behörde explizit als Verantwortliche benannt und auch der gesetzliche Auftrag samt Ermächtigungen zur Datenverarbeitung habe sich geändert. Die Beschwerdeführerin habe die sachverhaltsgegenständliche Zweck-Mittel-Entscheidung zu den Datenverarbeitungen der XXXX nicht getroffen und aufgrund der Verschiedenheit ihres gesetzlichen Auftrags auch nicht treffen können. Insofern könne ihr auch keine datenschutzrechtliche Verantwortlichkeit hierfür zugelastet werden. Auch Art. 4 Z 7 DSGVO kenne keinen Übergang der Rechtspflichten einer Behörde an eine andere Behörde. Nach Rechtsansicht der Revisionswerberin sei für die Frage der Verantwortlicheneigenschaft der Beschwerdeführerin nicht auf ihre Rechtspersönlichkeit, sondern auf ihre gesetzliche Bezeichnung und auf ihren gesetzlichen Auftrag abzustellen. Mit dem ORF-Beitrags-Gesetz 2024 (OBG) sei die Beschwerdeführerin und damit eine neue Behörde geschaffen worden, die von der römisch 40 als Behörde und damit als datenschutzrechtliche Verantwortliche zu unterscheiden sei. Gesellschaftsrechtlich bestehe zwar Personenidentität zwischen der (ehemaligen) römisch 40 und der nunmehrigen Beschwerdeführerin. Im OBG werde aber nunmehr eine neue Behörde explizit als Verantwortliche benannt und auch der gesetzliche Auftrag samt Ermächtigungen zur Datenverarbeitung habe sich geändert. Die Beschwerdeführerin habe die sachverhaltsgegenständliche Zweck-Mittel-Entscheidung zu den Datenverarbeitungen der römisch 40 nicht getroffen und aufgrund der Verschiedenheit ihres gesetzlichen Auftrags auch nicht treffen können. Insofern könne ihr auch keine datenschutzrechtliche Verantwortlichkeit hierfür zugelastet werden. Auch Artikel 4, Ziffer 7, DSGVO kenne keinen Übergang der Rechtspflichten einer Behörde an eine andere Behörde. Die XXXX habe die Öffentlichkeit am 27.05.2020 per APA-Meldung und auf ihrer Website über den Datensicherheitsvorfall informiert. Insbesondere die APA-Meldung habe dazu geführt, dass die Öffentlichkeit vom Datensicherheitsvorfall tatsachlich Kenntnis erlangt habe. Dies nicht nur aufgrund der APA-Meldung selbst, sondern auch wegen der dadurch bewirkten Medienberichterstattung. Durch eine öffentliche Bekanntmachung iSd Art. 34 Abs. 3 lit. c DSGVO würden Betroffene eines Datensicherheitsvorfalls ebenso wirksam informiert wie durch eine individuelle Benachrichtigung. Die subjektive Präklusivfrist des § 24 Abs. 4 DSG werde durch eine entsprechend qualifizierte öffentliche Bekanntmachung über einen Datensicherheitsvorfall ausgelöst und sei - berechnet ab der APA-Meldung - am 28.05.2021 abgelaufen. Da die Datenschutzbeschwerde der mitbeteiligten Partei deutlich nach Ablauf dieser Frist bei der belangten Behörde eingelangt sei, wäre die Datenschutzwerde wegen Präklusion zurückzuweisen gewesen. Indem das Bundesverwaltungsgericht dies verkannt habe, habe es das Erkenntnis mit Rechtswidrigkeit des Inhalts belastet. Die römisch 40 habe die Öffentlichkeit am 27.05.2020 per APA-Meldung und auf ihrer Website über den Datensicherheitsvorfall informiert. Insbesondere die APA-Meldung habe dazu geführt, dass die Öffentlichkeit vom Datensicherheitsvorfall tatsachlich Kenntnis erlangt habe. Dies nicht nur aufgrund der APA-Meldung selbst, sondern auch wegen der dadurch bewirkten Medienberichterstattung. Durch eine öffentliche Bekanntmachung iSd Artikel 34, Absatz 3, Litera c, DSGVO würden Betroffene eines Datensicherheitsvorfalls ebenso wirksam informiert wie durch eine individuelle Benachrichtigung. Die subjektive Präklusivfrist des Paragraph 24, Absatz 4, DSG werde durch eine entsprechend qualifizierte öffentliche Bekanntmachung über einen Datensicherheitsvorfall ausgelöst und sei - berechnet ab der APA-Meldung - am 28.05.2021 abgelaufen. Da die Datenschutzbeschwerde der mitbeteiligten Partei deutlich nach Ablauf dieser Frist bei der belangten Behörde eingelangt sei, wäre die Datenschutzwerde wegen Präklusion zurückzuweisen gewesen. Indem das Bundesverwaltungsgericht dies verkannt habe, habe es das Erkenntnis mit Rechtswidrigkeit des Inhalts belastet. Das Bundesverwaltungsgericht habe sein Erkenntnis zudem mit Rechtswidrigkeit infolge Unzuständigkeit belastet, indem es die „Sache“ des Verfahrens durch Behandlung der Benachrichtigungspflicht

Art. 34

DSGVO und der Auskunftspflicht

Art. 15DSGVO überschritten habe.

Das Bundesverwaltungsgericht habe sein Erkenntnis zudem mit Rechtswidrigkeit infolge Unzuständigkeit belastet, indem es die „Sache“ des Verfahrens durch Behandlung der Benachrichtigungspflicht

Artikel 34

, DSGVO und der Auskunftspflicht

Artikel 15, DSGVO überschritten habe.

Das Verhalten des Hackers sei auch weder der XXXX noch dem Auftragsverarbeiter zurechenbar. Wolle man im Öffnen des Ports einen Verstoß gegen die DSGVO erblicken, so habe dieses Verhalten mit den Weisungen der XXXX nicht im Einklang gestanden. Die Weisungen der XXXX seien in der Vereinbarung zur Auftragsverarbeitung dokumentiert. Selbst in dieser Betrachtung könne daher der Zurechnungsgedanke unter § 1 DSG nicht dazu führen, dass dies der XXXX zurechenbar sei. Ein Überwachungsverschulden der XXXX sei nicht zu erkennen. Der XXXX als Verantwortlichen sei weder zumutbar, die Mitarbeiter des Auftragsverarbeiters zu kontrollieren noch sei es der XXXX zumutbar, die vom Auftragsverarbeiter verwendeten Ports zu überwachen.Das Verhalten des Hackers sei auch weder der römisch 40 noch dem Auftragsverarbeiter zurechenbar. Wolle man im Öffnen des Ports einen Verstoß gegen die DSGVO erblicken, so habe dieses Verhalten mit den Weisungen der römisch 40 nicht im Einklang gestanden. Die Weisungen der römisch 40 seien in der Vereinbarung zur Auftragsverarbeitung dokumentiert. Selbst in dieser Betrachtung könne daher der Zurechnungsgedanke unter Paragraph eins, DSG nicht dazu führen, dass dies der römisch 40 zurechenbar sei. Ein Überwachungsverschulden der römisch 40 sei nicht zu erkennen. Der römisch 40 als Verantwortlichen sei weder zumutbar, die Mitarbeiter des Auftragsverarbeiters zu kontrollieren noch sei es der römisch 40 zumutbar, die vom Auftragsverarbeiter verwendeten Ports zu überwachen. Aus diesen Gründen sei das Erkenntnis ersatzlos zu beheben. 3.

1. Mit Schreiben vom 13.12.2024 teilte das Bundesverwaltungsgericht mit, dass beabsichtigt sei, das Beschwerdeverfahren bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, auszusetzen. 3.
2. Die mitbeteiligte Partei erstattete dazu mit Schriftsatz vom 18.12.2024 eine Stellungnahme, in welcher ausgeführt wurde, dass sich die mitbeteiligte Partei gegen die Aussetzung ausspreche, da der Verwaltungsgerichtshof den Antrag auf Zuerkennung der aufschiebenden Wirkung der Beschwerdeführerin bereits verworfen habe und eine Aussetzung des gegenständlichen Verfahrens damit nicht in Einklang zu bringen wäre. II. Das Bundeverwaltungsgericht hat erwogen:römisch zwei. Das Bundeverwaltungsgericht hat erwogen:
3. Feststellungen: Der unter Punkt I. dargestellte Verfahrensgang wird als Sachverhalt zu Grunde gelegt.Der unter Punkt römisch eins. dargestellte Verfahrensgang wird als Sachverhalt zu Grunde gelegt. Dem verfahrensgegenständlichen Fall liegt im Wesentlichen derselbe Sachverhalt im Zusammenhang mit der Zugänglichmachung personenbezogener Daten der Betroffenen wie im hg. Verfahren W292 2284228-1 zugrunde. Am Bundesverwaltungsgericht sind diesbezüglich rund 100 Verfahren anhängig.
4. Beweiswürdigung: Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten und dem gegenständlichen Gerichtsakt sowie – hinsichtlich des Verfahrens W292 2284228-1 und der Anzahl der beim Bundesverwaltungsgericht anhängigen gleichartigen Verfahren – aus der Einsichtnahme in die elektronische Verfahrensadministration des Bundesverwaltungsgerichts eVA+.
5. Rechtliche Beurteilung: Zu A) 3.1.1.

Art. 130Abs.

1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen, soweit nicht ein Erkenntnis zu fällen ist, durch Beschluss.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen, soweit nicht ein Erkenntnis zu fällen ist, durch Beschluss. 3.1.2.

§ 34Abs. 3 Vw

GVG kann das Verwaltungsgericht ein Verfahren über eine Beschwerde

Art. 130Abs.

1 Z 1 B-VG mit Beschluss aussetzen, wenn 3.1.2.

Paragraph 34, Absatz 3, VwGVG kann das Verwaltungsgericht ein Verfahren über eine Beschwerde

Artikel 130, Absatz eins, Ziffer eins, B-VG mit Beschluss aussetzen, wenn 1.

vom Verwaltungsgericht in einer erheblichen Anzahl von anhängigen oder in naher Zukunft zu erwartenden Verfahren eine Rechtsfrage zu lösen ist und gleichzeitig beim Verwaltungsgerichtshof ein Verfahren über eine Revision gegen ein Erkenntnis oder einen Beschluss eines Verwaltungsgerichtes anhängig ist, in welchem dieselbe Rechtsfrage zu lösen ist, und 2. eine Rechtsprechung des Verwaltungsgerichtshofes zur Lösung dieser Rechtsfrage fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird. Gleichzeitig hat das Verwaltungsgericht dem Verwaltungsgerichtshof das Aussetzen des Verfahrens unter Bezeichnung des beim Verwaltungsgerichtshof anhängigen Verfahrens mitzuteilen. Eine solche Mitteilung hat zu entfallen, wenn das Verwaltungsgericht in der Mitteilung ein Verfahren vor dem Verwaltungsgerichtshof zu bezeichnen hätte, das es in einer früheren Mitteilung schon einmal bezeichnet hat. Mit der Zustellung des Erkenntnisses oder Beschlusses des Verwaltungsgerichtshofes an das Verwaltungsgericht

§ 44Abs. 2 des Verwaltungsgerichtshofgesetzes 1985 – Vw

GG, BGBl. Nr. 10/1985, ist das Verfahren fortzusetzen. Das Verwaltungsgericht hat den Parteien die Fortsetzung des Verfahrens mitzuteilen.Gleichzeitig hat das Verwaltungsgericht dem Verwaltungsgerichtshof das Aussetzen des Verfahrens unter Bezeichnung des beim Verwaltungsgerichtshof anhängigen Verfahrens mitzuteilen. Eine solche Mitteilung hat zu entfallen, wenn das Verwaltungsgericht in der Mitteilung ein Verfahren vor dem Verwaltungsgerichtshof zu bezeichnen hätte, das es in einer früheren Mitteilung schon einmal bezeichnet hat. Mit der Zustellung des Erkenntnisses oder Beschlusses des Verwaltungsgerichtshofes an das Verwaltungsgericht

Paragraph 44, Absatz 2, des Verwaltungsgerichtshofgesetzes 1985 – VwGG, Bundesgesetzblatt Nr. 10 aus 1985,, ist das Verfahren fortzusetzen. Das Verwaltungsgericht hat den Parteien die Fortsetzung des Verfahrens mitzuteilen. Aus den Erläuterungen (vgl. RV 2009 BlgNR

1. GP, 8) zu § 34 VwGVG geht hervor, dass ein Verfahren ausgesetzt werden kann, wenn bei einem Verwaltungsgericht in einer erheblichen Zahl von anhängigen oder zu erwartenden Verfahren eine Rechtsfrage zu lösen ist, die in einem – gleichzeitig anhängigen – Verfahren vor dem Verwaltungsgerichtshof zu lösen ist. Zweck dieser Bestimmung ist daher, aus Gründen der Prozessökonomie zu vermeiden, dass die gleiche Rechtsfrage nebeneinander in mehreren Verfahren erörtert werden muss (vgl. zu den entsprechenden Bestimmungen der BAO: VwGH 18.04.1990, 89/16/0200; 21.12.2011, 2009/13/0159 sowie Ritz, BAO5 § 271).Aus den Erläuterungen vergleiche Regierungsvorlage 2009 BlgNR
2. GP, 8) zu Paragraph 34, VwGVG geht hervor, dass ein Verfahren ausgesetzt werden kann, wenn bei einem Verwaltungsgericht in einer erheblichen Zahl von anhängigen oder zu erwartenden Verfahren eine Rechtsfrage zu lösen ist, die in einem – gleichzeitig anhängigen – Verfahren vor dem Verwaltungsgerichtshof zu lösen ist. Zweck dieser Bestimmung ist daher, aus Gründen der Prozessökonomie zu vermeiden, dass die gleiche Rechtsfrage nebeneinander in mehreren Verfahren erörtert werden muss vergleiche zu den entsprechenden Bestimmungen der BAO: VwGH 18.04.1990, 89/16/0200; 21.12.2011, 2009/13/0159 sowie Ritz, BAO5 Paragraph 271,). Wenn daher ein Verwaltungsgericht, während vor dem Verwaltungsgerichtshof ein Verfahren zur Klärung einer bestimmten Rechtsfrage anhängig ist, Verfahren, bei denen die gleiche Rechtsfrage strittig ist, aussetzt (und nicht durch Erlassung weiterer Entscheidungen mehrfache Revisionen an den Verwaltungsgerichtshof „verursacht“), dient die Aussetzung auch Parteiinteressen (Wegfall des Kostenrisikos in Bezug auf allfällig zu ergreifende Rechtsmittel an den Verwaltungsgerichtshof). Zudem soll durch die Aussetzung eines Verfahrens die Funktionsfähigkeit des Verwaltungsgerichts bei einer großen Zahl gleichgelagerter Beschwerden gewährleistet sein, indem auf einen beim Verwaltungsgerichtshof anhängigen „leading case“ gewartet und so dessen Rechtsansicht eingeholt werden kann. Darüber hinaus wird der Verwaltungsgerichtshof selbst vor einer potentiell massenhaften Revisionseinbringung geschützt (Fister/Fuchs/Sachs, Anm 14 zu § 34 VwGVG).Zudem soll durch die Aussetzung eines Verfahrens die Funktionsfähigkeit des Verwaltungsgerichts bei einer großen Zahl gleichgelagerter Beschwerden gewährleistet sein, indem auf einen beim Verwaltungsgerichtshof anhängigen „leading case“ gewartet und so dessen Rechtsansicht eingeholt werden kann. Darüber hinaus wird der Verwaltungsgerichtshof selbst vor einer potentiell massenhaften Revisionseinbringung geschützt (Fister/Fuchs/Sachs, Anmerkung 14 zu Paragraph 34, VwGVG). 3.
3. Für den vorliegenden Fall ergibt sich daraus Folgendes: Beim Bundesverwaltungsgericht sind zum Themenkomplex des sog. „ XXXX Data Breach“ etwa 100 Bescheidbeschwerden der Beschwerdeführerin in unterschiedlichen Gerichtsabteilungen anhängig. Damit liegt jedenfalls eine erhebliche Anzahl an Verfahren im Sinne des § 34 Abs. 3 VwGVG vor (vgl. Bumberger/Lampert/Larcher/Weber [Hrsg] VwGVG § 34 Rz 42 mit Verweis auf Reisner in Götzl/Gruber/Reisner/Winkler, Verfahrensrecht2 § 34 Rz 28; Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 § 34 Anm 15 mwN). Das gegenständliche Verfahren ist eines dieser Verfahren.Beim Bundesverwaltungsgericht sind zum Themenkomplex des sog. „ römisch 40 Data Breach“ etwa 100 Bescheidbeschwerden der Beschwerdeführerin in unterschiedlichen Gerichtsabteilungen anhängig. Damit liegt jedenfalls eine erhebliche Anzahl an Verfahren im Sinne des Paragraph 34, Absatz 3, VwGVG vor vergleiche Bumberger/Lampert/Larcher/Weber [Hrsg] VwGVG Paragraph 34, Rz 42 mit Verweis auf Reisner in Götzl/Gruber/Reisner/Winkler, Verfahrensrecht2 Paragraph 34, Rz 28; Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 Paragraph 34, Anmerkung 15 mwN). Das gegenständliche Verfahren ist eines dieser Verfahren. Beschwerdegegenständlich ist jeweils grundsätzlich die Frage, ob die Beschwerdeführerin die Betroffenen im Recht auf Geheimhaltung verletzt hat, indem die Beschwerdeführerin es mangels geeigneter technischer und organisatorischer Maßnahmen

Art. 32

DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten der Betroffenen (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden. Diese Frage ist (unter anderem) auch Gegenstand der Revision der Beschwerdeführerin. Beschwerdegegenständlich ist jeweils grundsätzlich die Frage, ob die Beschwerdeführerin die Betroffenen im Recht auf Geheimhaltung verletzt hat, indem die Beschwerdeführerin es mangels geeigneter technischer und organisatorischer Maßnahmen

Artikel 32

, DSGVO („Sicherheit der Verarbeitung“) ermöglicht hat, dass personenbezogene Daten der Betroffenen (jedenfalls Vor- und Nachname, Geburtsdatum und postalische Anschrift) zumindest einer dritten Person (Hacker) unrechtmäßig zugänglich wurden. Diese Frage ist (unter anderem) auch Gegenstand der Revision der Beschwerdeführerin. Zudem macht die Beschwerdeführerin in ihrer Revision u.a. ihre mangelnde datenschutzrechtliche Verantwortlichkeit, da es sich bei ihr im Vergleich zur XXXX um eine „neue Behörde“ handle, eine Präklusion des Beschwerderechts aufgrund der vorgenommenen öffentliche Bekanntmachung iSd Art. 34 Abs. 3 lit. c DSGVO sowie die Unzulässigkeit der Zurechnung des rechtswidrigen Verhaltens des Auftragsverarbeiters an den Verantwortlichen mangels Überwachungsverschulden geltend. Zudem macht die Beschwerdeführerin in ihrer Revision u.a. ihre mangelnde datenschutzrechtliche Verantwortlichkeit, da es sich bei ihr im Vergleich zur römisch 40 um eine „neue Behörde“ handle, eine Präklusion des Beschwerderechts aufgrund der vorgenommenen öffentliche Bekanntmachung iSd Artikel 34, Absatz 3, Litera c, DSGVO sowie die Unzulässigkeit der Zurechnung des rechtswidrigen Verhaltens des Auftragsverarbeiters an den Verantwortlichen mangels Überwachungsverschulden geltend. Diese Rechtsfragen sind wesentlicher Gegenstand der beim Verwaltungsgerichtshof anhängigen außerordentlichen Revision gegen das hg. Erkenntnis vom 05.07.2024, GZ W292 2284228-1/49E, sodass die Voraussetzungen für die Aussetzung des Verfahrens

§ 34Abs. 3 Vw

GVG gegeben sind. Diese Rechtsfragen sind wesentlicher Gegenstand der beim Verwaltungsgerichtshof anhängigen außerordentlichen Revision gegen das hg. Erkenntnis vom 05.07.2024, GZ W292 2284228-1/49E, sodass die Voraussetzungen für die Aussetzung des Verfahrens

Paragraph 34, Absatz 3, VwGVG gegeben sind. Entgegen den Ausführungen der mitbeteiligten Partei in ihrer Stellungnahme steht der Aussetzung des gegenständlichen Beschwerdeverfahrens auch eine (allfällige) Nichtzuerkennung der aufschiebenden Wirkung durch den Verwaltungsgerichtshof im genannten Revisionsverfahren nicht entgegen, zumal § 34 Abs. 4 VwGVG keine dem § 30 Abs. 2 VwGG gleichende Regelung enthält, wonach die Aussetzung des Beschwerdeverfahrens nicht statthaft wäre, wenn dem zwingende öffentliche Interessen entgegenstehen oder mit der Ausübung der durch das angefochtene Erkenntnis eingeräumten Berechtigung für die Partei ein unverhältnismäßiger Nachteil verbunden wäre. Wie oben ausgeführt, dient die Aussetzung durch den Wegfall des Kostenrisikos in Bezug auf allfällig zu ergreifende Rechtsmittel an den Verwaltungsgerichtshof zudem auch Parteiinteressen. Im Interesse an einer einheitlichen Rechtsprechung und an einem Erkenntnisgewinn aus dem beim Verwaltungsgerichtshof anhängigen Verfahren war das Ermessen zu Gunsten einer Aussetzung zu üben, zumal auch nicht ersichtlich ist, dass der Aussetzung überwiegende Interessen entgegenstehen.Entgegen den Ausführungen der mitbeteiligten Partei in ihrer Stellungnahme steht der Aussetzung des gegenständlichen Beschwerdeverfahrens auch eine (allfällige) Nichtzuerkennung der aufschiebenden Wirkung durch den Verwaltungsgerichtshof im genannten Revisionsverfahren nicht entgegen, zumal Paragraph 34, Absatz 4, VwGVG keine dem Paragraph 30, Absatz 2, VwGG gleichende Regelung enthält, wonach die Aussetzung des Beschwerdeverfahrens nicht statthaft wäre, wenn dem zwingende öffentliche Interessen entgegenstehen oder mit der Ausübung der durch das angefochtene Erkenntnis eingeräumten Berechtigung für die Partei ein unverhältnismäßiger Nachteil verbunden wäre. Wie oben ausgeführt, dient die Aussetzung durch den Wegfall des Kostenrisikos in Bezug auf allfällig zu ergreifende Rechtsmittel an den Verwaltungsgerichtshof zudem auch Parteiinteressen. Im Interesse an einer einheitlichen Rechtsprechung und an einem Erkenntnisgewinn aus dem beim Verwaltungsgerichtshof anhängigen Verfahren war das Ermessen zu Gunsten einer Aussetzung zu üben, zumal auch nicht ersichtlich ist, dass der Aussetzung überwiegende Interessen entgegenstehen. 3.3. Das Beschwerdeverfahren war daher bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, auszusetzen. Zu B)

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. Es ist auch nicht ersichtlich, dass sich in den konkreten Fällen eine Rechtsfrage stellt, die über den (hier vorliegenden konkreten) Einzelfall hinaus Bedeutung entfaltet. Ausgehend davon kann eine Rechtsfrage von grundsätzlicher Bedeutung auch insofern nicht bejaht werden. Es war daher auszusprechen, dass die Revision

Art. 133Abs.

4 B-VG nicht zulässig ist.Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. Es ist auch nicht ersichtlich, dass sich in den konkreten Fällen eine Rechtsfrage stellt, die über den (hier vorliegenden konkreten) Einzelfall hinaus Bedeutung entfaltet. Ausgehend davon kann eine Rechtsfrage von grundsätzlicher Bedeutung auch insofern nicht bejaht werden. Es war daher auszusprechen, dass die Revision

Artikel 133, Absatz 4, B-VG nicht zulässig ist. European Case Law Identifier

ECLI:AT:BVWG:2025:W108.2285591.1.00