← Österreich

{'item': 'W605 2307742-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum23.04.2025 GeschäftszahlW605 2307742-1 Spruch, W605 2307742-1/6E BESCHLUSS Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Jul

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz.

15; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 78 DSGVO [Stand 01.12.2020, rdb.at] Rz. 12 und 15). Da bereits aufgrund Art. 130 Abs. 1 Z 3 B-VG iVm den verfahrensrechtlichen Bestimmungen des § 8 VwGVG eine Beschwerde wegen Verletzung der Entscheidungspflicht möglich ist, ist es im Endeffekt irrelevant, ob man die Säumnisbeschwerde als Fall des Art. 78 Abs. 2 DSGVO oder als ohnehin nach innerstaatlichem Recht eingeräumten Beschwerdemöglichkeit sieht (Souhrada-Kirchmayer in Knyrim,

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz.

16).Artikel 78, Absatz 2, DSGVO eröffnet die Möglichkeit einer Untätigkeitsklage, wenn die Aufsichtsbehörde eine Beschwerde nicht bearbeitet. Das Recht steht nur betroffenen Personen zu, die eine Beschwerde gemäß Artikel 77, Absatz eins, eingereicht haben (Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz

(2024)4 Rz. 16). Paragraph 24, Absatz 8, DSG soll Detailregelungen zu Artikel 78, Absatz 2, DSGVO schaffen (1761 der Beilagen römisch 25 . Gesetzgebungsperiode - Ausschussbericht NR – Berichterstattung, Seite 15). Gemäß Paragraph 24, Absatz 8, kann jede Person das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt wird. In beiden Fällen handelt es sich um Fälle einer Säumnis der DSB (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz.

15; Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 78, DSGVO [Stand 01.12.2020, rdb.at] Rz. 12 und 15). Da bereits aufgrund Artikel 130, Absatz eins, Ziffer 3, B-VG in Verbindung mit den verfahrensrechtlichen Bestimmungen des Paragraph 8, VwGVG eine Beschwerde wegen Verletzung der Entscheidungspflicht möglich ist, ist es im Endeffekt irrelevant, ob man die Säumnisbeschwerde als Fall des Artikel 78, Absatz 2, DSGVO oder als ohnehin nach innerstaatlichem Recht eingeräumten Beschwerdemöglichkeit sieht (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz.

16). 3.1.5.

  1. Die Säumnisbeschwerde setzt zunächst voraus, dass die Behörde in einem „Verwaltungsverfahren“, in dem der Beschwerdeführer „Partei“ ist, ihre „Entscheidungspflicht“ verletzt hat. Sie bedingt damit, dass die Behörde iSd § 73 Abs. 1 AVG zur Erlassung eines Bescheides verpflichtet ist (vgl. VfGH 02.07.2015, E 657/2015) und damit säumig ist (Leeb in Hengstschläger/Leeb, AVG § 8 VwGVG [Stand 15.02.2017, rdb.at] Rz. 5). 3.1.5.
  2. Die Säumnisbeschwerde setzt zunächst voraus, dass die Behörde in einem „Verwaltungsverfahren“, in dem der Beschwerdeführer „Partei“ ist, ihre „Entscheidungspflicht“ verletzt hat. Sie bedingt damit, dass die Behörde iSd Paragraph 73, Absatz eins, AVG zur Erlassung eines Bescheides verpflichtet ist vergleiche VfGH 02.07.2015, E 657 aus 2015,) und damit säumig ist (Leeb in Hengstschläger/Leeb, AVG Paragraph 8, VwGVG [Stand 15.02.2017, rdb.at] Rz. 5). 3.1.5.
  3. Eine Säumnisbeschwerde ist nach dem Wortlaut des Abs. 2 nicht vorgesehen, wenn es sich bei der säumigen Behörde nicht um „die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde“ handelt. Diese Einschränkung ist erforderlich, weil Art. 55f nur für die Aufsichtsbehörden der Mitgliedstaaten und nicht deren Gerichte gilt (vgl. Art. 55 Rz. 2) und daher durch eine Säumnisbeschwerde gegen eine nach Art. 55f unzuständige Behörde für die Gerichte eine (nationale) Zuständigkeit begründet werden könnte, wo für die Aufsichtsbehörde keine (nationale) Zuständigkeit bestand. Soweit Normen des nationalen Rechts eine Säumnisbeschwerde gegen eine nach Art. 55f unzuständige Behörde zulassen (so Art. 130 Abs. 1 Z 3 B-VG; §§ 8, 9 Abs. 5 VwGVG), haben diese nationalen Normen kraft Anwendungsvorrangs des Unionsrechts unangewendet zu bleiben (Feiler/Forgó, EU-DSGVO2 [2022] Art. 78 DSGVO Rz. 5). 3.1.5.
  4. Eine Säumnisbeschwerde ist nach dem Wortlaut des Absatz 2, nicht vorgesehen, wenn es sich bei der säumigen Behörde nicht um „die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde“ handelt. Diese Einschränkung ist erforderlich, weil Artikel 55 f, nur für die Aufsichtsbehörden der Mitgliedstaaten und nicht deren Gerichte gilt vergleiche Artikel 55, Rz. 2) und daher durch eine Säumnisbeschwerde gegen eine nach Artikel 55 f, unzuständige Behörde für die Gerichte eine (nationale) Zuständigkeit begründet werden könnte, wo für die Aufsichtsbehörde keine (nationale) Zuständigkeit bestand. Soweit Normen des nationalen Rechts eine Säumnisbeschwerde gegen eine nach Artikel 55 f, unzuständige Behörde zulassen (so Artikel 130, Absatz eins, Ziffer 3, B-VG; Paragraphen 8, 9, Absatz 5, VwGVG), haben diese nationalen Normen kraft Anwendungsvorrangs des Unionsrechts unangewendet zu bleiben (Feiler/Forgó, EU-DSGVO2 [2022] Artikel 78, DSGVO Rz. 5). Eine Säumnisbeschwerde an das Bundesverwaltungsgericht kann nur dann erhoben werden, wenn die säumige Behörde auch die nach Art. 55 und Art. 56 DSGVO zuständige Aufsichtsbehörde ist. Ist diese Zuständigkeit nicht gegeben, ist die Säumnisbeschwerde aufgrund der unmittelbaren Anwendbarkeit des Art. 78 Abs. 2 DSGVO zurückzuweisen (Feiler/Forgó, EU-DSGVO2 [2022] § 24 DSG Rz. 9).Eine Säumnisbeschwerde an das Bundesverwaltungsgericht kann nur dann erhoben werden, wenn die säumige Behörde auch die nach Artikel 55 und Artikel 56, DSGVO zuständige Aufsichtsbehörde ist. Ist diese Zuständigkeit nicht gegeben, ist die Säumnisbeschwerde aufgrund der unmittelbaren Anwendbarkeit des Artikel 78, Absatz 2, DSGVO zurückzuweisen (Feiler/Forgó, EU-DSGVO2 [2022] Paragraph 24, DSG Rz. 9). 3.1.5.
  5. Handelt es sich um einen grenzüberschreitenden Sachverhalt, so ist für die Entscheidung in der Sache aber gerade nicht jede in dieser Weise angerufene, sondern die federführende Aufsichtsbehörde zuständig, welche vorbehaltlich der in Art. 56 Abs. 2 DSGVO geregelten Ausnahme eine Entscheidung über die Rechtmäßigkeit der Datenverarbeitung trifft (Polenz in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht,

(2025)2, Art. 56 Rz. 14; siehe auch Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz
(2024)4 Art. 78, Rz. 27; siehe auch Boehm in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht
(2025)2 Art. 78, Rz. 22: Die Untätigkeitsklage ist regelmäßig gegen die federführende Aufsichtsbehörde zu richten, wenn keine alleinige Zuständigkeit der Aufsichtsbehörde besteht, bei der die Beschwerde eingereicht wurde. Denn nach Art. 60 Abs. 7 DSGVO ist es die federführende Aufsichtsbehörde, die die Entscheidung erlässt, und die angerufene Aufsichtsbehörde teilt sie nur dem Beschwerdeführer mit. Eine Ausnahme besteht nur, wenn gerade die Untätigkeit der angerufenen Aufsichtsbehörde angegriffen werden soll, etwa weil diese die Beschwerde nicht weitergeleitet oder den Beschwerdeführer nicht informiert hat; in diesem Fall dürfte eine Klage gegen beide Aufsichtsbehörden in Betracht kommen.).3.1.5.3. Handelt es sich um einen grenzüberschreitenden Sachverhalt, so ist für die Entscheidung in der Sache aber gerade nicht jede in dieser Weise angerufene, sondern die federführende Aufsichtsbehörde zuständig, welche vorbehaltlich der in Artikel 56, Absatz 2, DSGVO geregelten Ausnahme eine Entscheidung über die Rechtmäßigkeit der Datenverarbeitung trifft (Polenz in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht,
(2025)2, Artikel 56, Rz. 14; siehe auch Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz
(2024)4 Artikel 78,, Rz. 27; siehe auch Boehm in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht
(2025)2 Artikel 78,, Rz. 22: Die Untätigkeitsklage ist regelmäßig gegen die federführende Aufsichtsbehörde zu richten, wenn keine alleinige Zuständigkeit der Aufsichtsbehörde besteht, bei der die Beschwerde eingereicht wurde. Denn nach Artikel 60, Absatz 7, DSGVO ist es die federführende Aufsichtsbehörde, die die Entscheidung erlässt, und die angerufene Aufsichtsbehörde teilt sie nur dem Beschwerdeführer mit. Eine Ausnahme besteht nur, wenn gerade die Untätigkeit der angerufenen Aufsichtsbehörde angegriffen werden soll, etwa weil diese die Beschwerde nicht weitergeleitet oder den Beschwerdeführer nicht informiert hat; in diesem Fall dürfte eine Klage gegen beide Aufsichtsbehörden in Betracht kommen.). 3.1.5.
  1. Art. 56 Abs. 1 sieht für „grenzüberschreitende Verarbeitungen“ im Sinne von Art. 4 Nr. 23 DSGVO das Verfahren der Zusammenarbeit und Kohärenz vor, das auf einer Aufteilung der Zuständigkeiten zwischen einer „federführenden Aufsichtsbehörde“ und den betroffenen Aufsichtsbehörden beruht. Danach ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Art. 60 DSGVO die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung (EuGH 15.06.2021, C-645/19, Rz. 50).3.1.5.
  2. Artikel 56, Absatz eins, sieht für „grenzüberschreitende Verarbeitungen“ im Sinne von Artikel 4, Nr. 23 DSGVO das Verfahren der Zusammenarbeit und Kohärenz vor, das auf einer Aufteilung der Zuständigkeiten zwischen einer „federführenden Aufsichtsbehörde“ und den betroffenen Aufsichtsbehörden beruht. Danach ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60, DSGVO die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung (EuGH 15.06.2021, C-645/19, Rz. 50). Bei einer grenzüberschreitenden Verarbeitung personenbezogener Daten ist die Zuständigkeit der federführenden Aufsichtsbehörde für den Erlass eines Beschlusses, mit dem festgestellt wird, dass die Verarbeitung gegen die Vorschriften der DSGVO über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten verstößt, die Regel und die Zuständigkeit der anderen betroffenen Aufsichtsbehörden für den Erlass eines solchen, wenn auch nur vorläufigen, Beschlusses die Ausnahme. Die grundsätzliche Zuständigkeit der federführenden Aufsichtsbehörde wird durch Art. 56 Abs. 6 DSGVO bestätigt, wonach die federführende Aufsichtsbehörde der „einzige Ansprechpartner“ der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung ist (EuGH 15.06.2021, C-645/19, Rz. 63). Das Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz könnten aber gefährdet werden, wenn eine Aufsichtsbehörde, die in Bezug auf eine grenzüberschreitende Datenverarbeitung nicht die federführende ist, die Befugnis gemäß Art. 58 Abs. 5 DSGVO außerhalb derjenigen Fälle ausüben könnte, in denen sie für den Erlass eines Beschlusses zuständig ist. Die Ausübung dieser Befugnis zielt nämlich darauf ab, eine rechtsverbindliche gerichtliche Entscheidung zu erwirken. Eine solche Entscheidung vermag aber das genannte Ziel und das Verfahren der Zusammenarbeit und Kohärenz genauso zu beeinträchtigen wie ein Beschluss, der von einer Aufsichtsbehörde erlassen wird, der nicht die federführende ist (EuGH 15.06.2021, C-645/19, Rz. 65).Bei einer grenzüberschreitenden Verarbeitung personenbezogener Daten ist die Zuständigkeit der federführenden Aufsichtsbehörde für den Erlass eines Beschlusses, mit dem festgestellt wird, dass die Verarbeitung gegen die Vorschriften der DSGVO über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten verstößt, die Regel und die Zuständigkeit der anderen betroffenen Aufsichtsbehörden für den Erlass eines solchen, wenn auch nur vorläufigen, Beschlusses die Ausnahme. Die grundsätzliche Zuständigkeit der federführenden Aufsichtsbehörde wird durch Artikel 56, Absatz 6, DSGVO bestätigt, wonach die federführende Aufsichtsbehörde der „einzige Ansprechpartner“ der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung ist (EuGH 15.06.2021, C-645/19, Rz. 63). Das Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz könnten aber gefährdet werden, wenn eine Aufsichtsbehörde, die in Bezug auf eine grenzüberschreitende Datenverarbeitung nicht die federführende ist, die Befugnis gemäß Artikel 58, Absatz 5, DSGVO außerhalb derjenigen Fälle ausüben könnte, in denen sie für den Erlass eines Beschlusses zuständig ist. Die Ausübung dieser Befugnis zielt nämlich darauf ab, eine rechtsverbindliche gerichtliche Entscheidung zu erwirken. Eine solche Entscheidung vermag aber das genannte Ziel und das Verfahren der Zusammenarbeit und Kohärenz genauso zu beeinträchtigen wie ein Beschluss, der von einer Aufsichtsbehörde erlassen wird, der nicht die federführende ist (EuGH 15.06.2021, C-645/19, Rz. 65). 3.1.5.
  3. Art. 56 ist lex specialis gegenüber Art.
  4. Ist Art. 55 Abs. 2 als Ausnahmeregelung zu Art. 56 nicht einschlägig, ist gemäß Abs. 1 die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters die zuständige federführende Aufsichtsbehörde für grenzüberschreitende Verarbeitungen. Es wird dann das Verfahren nach Art. 60 DSGVO angewendet (Polenz in Simtis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht
(2025)2 Art. 56, Rz. 6) . Der Beschwerdegegner hat eine Niederlassung in Malta und damit eine Niederlassung in der Union, sodass die maltesische Aufsichtsbehörde als federführende Behörde in Betracht kommt. Die belangte Behörde hat die Beschwerde des Beschwerdeführers daher auch an die maltesische Aufsichtsbehörde weitergeleitet.3.1.5.5. Artikel 56, ist lex specialis gegenüber Artikel 55, Ist Artikel 55, Absatz 2, als Ausnahmeregelung zu Artikel 56, nicht einschlägig, ist gemäß Absatz eins, die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters die zuständige federführende Aufsichtsbehörde für grenzüberschreitende Verarbeitungen. Es wird dann das Verfahren nach Artikel 60, DSGVO angewendet (Polenz in Simtis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht
(2025)2 Artikel 56,, Rz. 6) . Der Beschwerdegegner hat eine Niederlassung in Malta und damit eine Niederlassung in der Union, sodass die maltesische Aufsichtsbehörde als federführende Behörde in Betracht kommt. Die belangte Behörde hat die Beschwerde des Beschwerdeführers daher auch an die maltesische Aufsichtsbehörde weitergeleitet. Nach Art. 56 Abs. 2 kann die nationale Aufsichtsbehörde auch bei grenzüberschreitender Datenverarbeitung die alleinige Zuständigkeit für sich beanspruchen, wenn entweder der Gegenstand der Beschwerde oder der Verarbeitung nur mit einer Niederlassung in dem jeweiligen Mitgliedstaat zusammenhängt oder betroffenen Personen nur dieses Mitgliedstaates erheblich beeinträchtigt werden. Damit räumt die Verordnung den nationalen Aufsichtsbehörden in solchen Fällen grenzüberschreitender Datenverarbeitung eine eigene Kompetenzoption ein, in denen der Bezug zu einem Mitgliedstaat im Vordergrund steht (Dix in Kühling/Buchner, DS-GVO BDSG
(2024)4 Rz. 9). Die belangte Behörde hat eine solche Zuständigkeit für sich nicht beansprucht, vielmehr hat sie die Datenschutzbeschwerde des Beschwerdeführers an die maltesische Aufsichtsbehörde weitergeleitet, die sich in der Folge zur federführenden zuständige Aufsichtsbehörde erklärt hat. Nach Artikel 56, Absatz 2, kann die nationale Aufsichtsbehörde auch bei grenzüberschreitender Datenverarbeitung die alleinige Zuständigkeit für sich beanspruchen, wenn entweder der Gegenstand der Beschwerde oder der Verarbeitung nur mit einer Niederlassung in dem jeweiligen Mitgliedstaat zusammenhängt oder betroffenen Personen nur dieses Mitgliedstaates erheblich beeinträchtigt werden. Damit räumt die Verordnung den nationalen Aufsichtsbehörden in solchen Fällen grenzüberschreitender Datenverarbeitung eine eigene Kompetenzoption ein, in denen der Bezug zu einem Mitgliedstaat im Vordergrund steht (Dix in Kühling/Buchner, DS-GVO BDSG
(2024)4 Rz. 9). Die belangte Behörde hat eine solche Zuständigkeit für sich nicht beansprucht, vielmehr hat sie die Datenschutzbeschwerde des Beschwerdeführers an die maltesische Aufsichtsbehörde weitergeleitet, die sich in der Folge zur federführenden zuständige Aufsichtsbehörde erklärt hat. 3.1.5.6. Hinzu kommt, dass gemäß § 24 Abs. 10 Z 2 DSG die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO in die Entscheidungsfrist gemäß § 73 AVG nicht eingerechnet wird, die Entscheidungsfrist soll gehemmt werden (VwGH 14.11.2023, Ro 2020/04/0009, Rz. 20). Nach den Erläuterungen zu § 24 Abs. 10 DSG (RV 1664 BlgNR 25. GP 9
  1. f)betrifft dies insbesondere die Verfahren der federführenden Aufsichtsbehörde im Fall des Vorliegens eines sog. „Lokalen Falles“ gemäß Art. 56 Abs. 2 ff DSGVO sowie die Verfahren der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden (Art. 60) und den Fall des Kohärenzverfahrens (Art. 63).3.1.5.6. Hinzu kommt, dass gemäß Paragraph 24, Absatz 10, Ziffer 2, DSG die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO in die Entscheidungsfrist gemäß Paragraph 73, AVG nicht eingerechnet wird, die Entscheidungsfrist soll gehemmt werden (VwGH 14.11.2023, Ro 2020/04/0009, Rz. 20). Nach den Erläuterungen zu Paragraph 24, Absatz 10, DSG Regierungsvorlage 1664 BlgNR 25. Gesetzgebungsperiode 9
  2. f)betrifft dies insbesondere die Verfahren der federführenden Aufsichtsbehörde im Fall des Vorliegens eines sog. „Lokalen Falles“ gemäß Artikel 56, Absatz 2, ff DSGVO sowie die Verfahren der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden (Artikel 60,) und den Fall des Kohärenzverfahrens (Artikel 63,). Die Frist ist somit während der federführenden Zuständigkeit der ausländischen Aufsichtsbehörde im Verfahren gemäß Art. 56 oder Art. 60 DSGVO gehemmt. Die Frist ist somit während der federführenden Zuständigkeit der ausländischen Aufsichtsbehörde im Verfahren gemäß Artikel 56, oder Artikel 60, DSGVO gehemmt. Im Wesentlichen ist das Verfahren gemäß Art. 60 DSGVO, wonach sich die federführende Aufsichtsbehörde insbesondere darum zu bemühen hat, einen Konsens zu erzielen, nicht abgeschlossen. Art. 60 Abs. 7 bis Abs. 9 DSGVO enthält eine komplexe Regelung über den Erlass und die Bekanntgabe von Beschlüssen, die im „One-Stop-Shop-Verfahren“ gefasst worden sind (Dix in Kühling/Buchner, DS-GVO BDSG
(2024)4 Art. 60, Rz. 19). Den Beschluss, mit dem eine Verletzung der Verordnung festgestellt und der Verantwortliche oder Auftragsverarbeiter zur entsprechenden Änderung seiner Praxis verpflichtet wird, erlässt entsprechend Abs. 7 die federführende Behörde. Die betroffene Behörde hat dagegen die Aufgabe, einen eigenständigen Beschluss (nur dann) zu erlassen, soweit die Beschwerde für unberechtigt gehalten wird, und diesen Beschluss den Beschwerde führenden Personen mitzuteilen und die Verantwortlichen und Auftragsverarbeiter hiervon zu unterrichten (Dix in Kühling/Buchner, DS-GVO BDSG
(2024)4 Art. 60, Rz. 26).Im Wesentlichen ist das Verfahren gemäß Artikel 60, DSGVO, wonach sich die federführende Aufsichtsbehörde insbesondere darum zu bemühen hat, einen Konsens zu erzielen, nicht abgeschlossen. Artikel 60, Absatz 7 bis Absatz 9, DSGVO enthält eine komplexe Regelung über den Erlass und die Bekanntgabe von Beschlüssen, die im „One-Stop-Shop-Verfahren“ gefasst worden sind (Dix in Kühling/Buchner, DS-GVO BDSG
(2024)4 Artikel 60,, Rz. 19). Den Beschluss, mit dem eine Verletzung der Verordnung festgestellt und der Verantwortliche oder Auftragsverarbeiter zur entsprechenden Änderung seiner Praxis verpflichtet wird, erlässt entsprechend Absatz 7, die federführende Behörde. Die betroffene Behörde hat dagegen die Aufgabe, einen eigenständigen Beschluss (nur dann) zu erlassen, soweit die Beschwerde für unberechtigt gehalten wird, und diesen Beschluss den Beschwerde führenden Personen mitzuteilen und die Verantwortlichen und Auftragsverarbeiter hiervon zu unterrichten (Dix in Kühling/Buchner, DS-GVO BDSG
(2024)4 Artikel 60,, Rz. 26). Eine Entscheidung der belangten Behörde im Hinblick auf eine etwaige (teilweise) Abweisung der erhobenen Datenschutzbeschwerde des Beschwerdeführers (wie vom Beschwerdeführer im Rahmen seiner Säumnisbeschwerde vorgebracht, siehe Punkt 3.5.1.) kann erst erfolgen, wenn auch eine diesbezügliche Entscheidung der federführenden Aufsichtsbehörde vorliegt und ist die Entscheidungsfrist der belangten Behörde bis zur Entscheidung der federführenden Aufsichtsbehörde gemäß § 24 Abs. 10 Z 2 DSG gehemmt, sodass (im Entscheidungszeitpunkt) keine Säumnis der belangten Behörde vorliegt.Eine Entscheidung der belangten Behörde im Hinblick auf eine etwaige (teilweise) Abweisung der erhobenen Datenschutzbeschwerde des Beschwerdeführers (wie vom Beschwerdeführer im Rahmen seiner Säumnisbeschwerde vorgebracht, siehe Punkt 3.5.1.) kann erst erfolgen, wenn auch eine diesbezügliche Entscheidung der federführenden Aufsichtsbehörde vorliegt und ist die Entscheidungsfrist der belangten Behörde bis zur Entscheidung der federführenden Aufsichtsbehörde gemäß Paragraph 24, Absatz 10, Ziffer 2, DSG gehemmt, sodass (im Entscheidungszeitpunkt) keine Säumnis der belangten Behörde vorliegt. Vor dem Hintergrund, dass im Rahmen einer grenzüberschreitenden Verarbeitung personenbezogener Daten das in der DSGVO vorgesehene Verfahren nach Art. 56 ff DSGVO zur Anwendung kommt und daher eine Entscheidungspflicht der belangten Behörde erst begründet wird, wenn sie die zuständige federführende Aufsichtsbehörde ist, kann sie daher im Hinblick auf eine Entscheidungspflicht betreffend eine grenzüberschreitende Verarbeitung personenbezogener Daten nicht säumig werden, wenn sie nicht die zuständige federführende Aufsichtsbehörde ist. Daher kann nicht bereits mit Einlangen der Beschwerde eine Zuständigkeit und damit eine Entscheidungspflicht der belangten Behörde begründet werden, die die hierzulande vorgesehene sechsmonatige Entscheidungsfrist nach § 73 AVG in Gang setzt, wie dies grundsätzlich der Fall wäre, wenn es sich um eine nicht grenzüberschreitende Verarbeitung personenbezogener Daten handeln würde. Der europäische Gesetzgeber hat das in Art. 56, 60 DSGVO geregelte Konzept der federführenden Aufsicht geschaffen, damit widersprechende Entscheidungen der Aufsichtsbehörden vermieden werden (vgl. Borges in Forgó/Helfrich/Schneider
(2019)3 Betrieblicher Datenschutz, Art 56 Rz. 198f). Daher kann – entgegen der Rechtsansicht der belangten Behörde – nicht schon mit Einlangen der Beschwerde bei der lediglich betroffenen und nicht federführenden Aufsichtsbehörde eine automatische Hemmung der Entscheidungsfrist für die belangte Behörde angenommen werden. Dies ergibt sich auch nicht aus den Erläuterungen zu § 24 Abs. 10 DSG, in welcher die Hemmung der Entscheidungsfrist explizit insbesondere während eines Verfahrens gemäß Art. 56 Abs. 2ff, Art. 60 und Art. 63 DSGVO normiert ist. Soweit der Gesetzeswortlaut explizit von einer Nichteinberechnung der Zeit während eines Verfahrens nach Verfahrens nach Art. 56, 60 und 63 DSGVO spricht, muss dieses ein laufendes und somit notwendiger weise bereits eingeleitetes Verfahren bedeuten, ansonsten der österreichische Gesetzgeber eine automatische Hemmung der Frist wohl andernfalls bereits mit Einlangen der Beschwerde normiert hätte. Vor dem Hintergrund, dass im Rahmen einer grenzüberschreitenden Verarbeitung personenbezogener Daten das in der DSGVO vorgesehene Verfahren nach Artikel 56, ff DSGVO zur Anwendung kommt und daher eine Entscheidungspflicht der belangten Behörde erst begründet wird, wenn sie die zuständige federführende Aufsichtsbehörde ist, kann sie daher im Hinblick auf eine Entscheidungspflicht betreffend eine grenzüberschreitende Verarbeitung personenbezogener Daten nicht säumig werden, wenn sie nicht die zuständige federführende Aufsichtsbehörde ist. Daher kann nicht bereits mit Einlangen der Beschwerde eine Zuständigkeit und damit eine Entscheidungspflicht der belangten Behörde begründet werden, die die hierzulande vorgesehene sechsmonatige Entscheidungsfrist nach Paragraph 73, AVG in Gang setzt, wie dies grundsätzlich der Fall wäre, wenn es sich um eine nicht grenzüberschreitende Verarbeitung personenbezogener Daten handeln würde. Der europäische Gesetzgeber hat das in Artikel 56, 60, DSGVO geregelte Konzept der federführenden Aufsicht geschaffen, damit widersprechende Entscheidungen der Aufsichtsbehörden vermieden werden vergleiche Borges in Forgó/Helfrich/Schneider
(2019)3 Betrieblicher Datenschutz, Artikel 56, Rz. 198f). Daher kann – entgegen der Rechtsansicht der belangten Behörde – nicht schon mit Einlangen der Beschwerde bei der lediglich betroffenen und nicht federführenden Aufsichtsbehörde eine automatische Hemmung der Entscheidungsfrist für die belangte Behörde angenommen werden. Dies ergibt sich auch nicht aus den Erläuterungen zu Paragraph 24, Absatz 10, DSG, in welcher die Hemmung der Entscheidungsfrist explizit insbesondere während eines Verfahrens gemäß Artikel 56, Absatz 2 f, f,, Artikel 60 und Artikel 63, DSGVO normiert ist. Soweit der Gesetzeswortlaut explizit von einer Nichteinberechnung der Zeit während eines Verfahrens nach Verfahrens nach Artikel 56, 60 und 63 DSGVO spricht, muss dieses ein laufendes und somit notwendiger weise bereits eingeleitetes Verfahren bedeuten, ansonsten der österreichische Gesetzgeber eine automatische Hemmung der Frist wohl andernfalls bereits mit Einlangen der Beschwerde normiert hätte. Eine speziell in der DSGVO vorgesehene Säumnis der betroffenen Aufsichtsbehörde, bei der die Beschwerde eingebracht worden ist, kommt nur in Betracht, wenn diese sich nicht mit der eingebrachten Beschwerde iSd § 24 Abs. 8 befasst bzw. in Bearbeitung der Beschwerde an die federführende Aufsichtsbehörde weiterleitet hat, weshalb das für die grenzüberschreitende Verarbeitung personenbezogener Daten vorgesehene Verfahren nicht in Gang gesetzt wurde (siehe die Ausführungen unter Punkt 3.1.7.). Die belangte Aufsichtsbehörde trifft nur dann eine etwaige Entscheidungspflicht, wenn die zuständige federführende Behörde die Beschwerde (teilweise) abweist. Nur hinsichtlich der Erlassung eines etwaigen (teilweise) ablehnenden Bescheides ins die belangten Behörde auch zuständig, was auch eine Entscheidungsfrist der belangten Behörde aufleben ließe. Eine speziell in der DSGVO vorgesehene Säumnis der betroffenen Aufsichtsbehörde, bei der die Beschwerde eingebracht worden ist, kommt nur in Betracht, wenn diese sich nicht mit der eingebrachten Beschwerde iSd Paragraph 24, Absatz 8, befasst bzw. in Bearbeitung der Beschwerde an die federführende Aufsichtsbehörde weiterleitet hat, weshalb das für die grenzüberschreitende Verarbeitung personenbezogener Daten vorgesehene Verfahren nicht in Gang gesetzt wurde (siehe die Ausführungen unter Punkt 3.1.7.). Die belangte Aufsichtsbehörde trifft nur dann eine etwaige Entscheidungspflicht, wenn die zuständige federführende Behörde die Beschwerde (teilweise) abweist. Nur hinsichtlich der Erlassung eines etwaigen (teilweise) ablehnenden Bescheides ins die belangten Behörde auch zuständig, was auch eine Entscheidungsfrist der belangten Behörde aufleben ließe. 3.1.7. Sofern der Beschwerdeführer vorbringt, die belangte Behörde sei ihrer auferlegten Entscheidungspflicht nicht nachgekommen, weil sie nicht ein Verfahren nach Art. 56 ff DSGVO eingeleitet habe, ist Folgendes auszuführen:3.1.7. Sofern der Beschwerdeführer vorbringt, die belangte Behörde sei ihrer auferlegten Entscheidungspflicht nicht nachgekommen, weil sie nicht ein Verfahren nach Artikel 56, ff DSGVO eingeleitet habe, ist Folgendes auszuführen: 3.1.7.1. Gemäß Art. 78 Abs. 2 Alt. 2 wird eine bloße Untätigkeit der Aufsichtsbehörde verlangt. Der Beschwerdeführer wurde dabei von der Aufsichtsbehörde weder über den Verfahrensstand noch über den Verfahrensausgang informiert (BeckOK DatenschutzR/Mundil DS-GVO Art. 78, Rz. 17 und 19, Stand: 01.02.2024; siehe auch (Souhrada-Kirchmayer in Knyrim,

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz. 16; Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz

(2024)4 Rz. 17). Die zweite Variante des Säumnisschutzes richtet sich gegen die Verletzung der Unterrichtungspflicht, wonach die Datenschutzbehörde verpflichtet ist, die betroffene Person innerhalb von drei Monaten über den Stand oder das Ergebnis der Beschwerde in Kenntnis zu setzen. § 27 Abs. 1 sowie § 24 Abs. 8 DSG sehen ausdrücklich die Zuständigkeit des Bundesverwaltungsgerichts für Beschwerden wegen Verletzung dieser Unterrichtungspflicht vor (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 78 DSGVO [Stand 01.12.2020, rdb.at] Rz. 15). Außer der angeführten Frist von drei Monaten sind nähere verfahrensrechtliche Bestimmungen weder in Art. 78 Abs. 2 noch in den §§ 27 bzw. 24 Abs. 8 DSG zu finden. In diesem Fall handelt es sich um eine spezielle Art von Säumnis (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 78 DSGVO [Stand 01.12.2020, rdb.at] Rz. 16). In einem derartigen Fall kann das Bundesverwaltungsgericht auch angerufen werden, weil § 27 Abs. 1 DSG eine ausdrückliche Zuständigkeit des Bundesverwaltungsgerichts für Beschwerden wegen Verletzung der genannten Unterrichtungspflicht normiert (Souhrada-Kirchmayer in Knyrim,

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18.). Da es sich bei dieser Verpflichtung um ein Spezifikum der DSGVO handelt, sind in den österreichischen Verfahrensgesetzen keine einschlägigen Bestimmungen vorgesehen (Souhrada-Kirchmayer in Knyrim,

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18.). 3.1.7.1. Gemäß Artikel 78, Absatz 2, Alt. 2 wird eine bloße Untätigkeit der Aufsichtsbehörde verlangt. Der Beschwerdeführer wurde dabei von der Aufsichtsbehörde weder über den Verfahrensstand noch über den Verfahrensausgang informiert (BeckOK DatenschutzR/Mundil DS-GVO Artikel 78,, Rz. 17 und 19, Stand: 01.02.2024; siehe auch (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz. 16; Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz

(2024)4 Rz. 17). Die zweite Variante des Säumnisschutzes richtet sich gegen die Verletzung der Unterrichtungspflicht, wonach die Datenschutzbehörde verpflichtet ist, die betroffene Person innerhalb von drei Monaten über den Stand oder das Ergebnis der Beschwerde in Kenntnis zu setzen. Paragraph 27, Absatz eins, sowie Paragraph 24, Absatz 8, DSG sehen ausdrücklich die Zuständigkeit des Bundesverwaltungsgerichts für Beschwerden wegen Verletzung dieser Unterrichtungspflicht vor (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 78, DSGVO [Stand 01.12.2020, rdb.at] Rz. 15). Außer der angeführten Frist von drei Monaten sind nähere verfahrensrechtliche Bestimmungen weder in Artikel 78, Absatz 2, noch in den Paragraphen 27, bzw. 24 Absatz 8, DSG zu finden. In diesem Fall handelt es sich um eine spezielle Art von Säumnis (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 78, DSGVO [Stand 01.12.2020, rdb.at] Rz. 16). In einem derartigen Fall kann das Bundesverwaltungsgericht auch angerufen werden, weil Paragraph 27, Absatz eins, DSG eine ausdrückliche Zuständigkeit des Bundesverwaltungsgerichts für Beschwerden wegen Verletzung der genannten Unterrichtungspflicht normiert (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18.). Da es sich bei dieser Verpflichtung um ein Spezifikum der DSGVO handelt, sind in den österreichischen Verfahrensgesetzen keine einschlägigen Bestimmungen vorgesehen (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18.). Es sei naheliegend, dass auch hier – wie im Fall der Säumnisbeschwerde – die Datenschutzbehörde innerhalb einer bestimmten Frist die versäumte Information nachholen können soll, weil es sich hier auch um eine spezielle Art von Säumnis handle (Souhrada-Kirchmayer in Knyrim,

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18). Mangels einer verfahrensrechtlichen Regelung kann aber in einem derartigen Fall wohl nur eine analoge Anwendung der Bestimmungen über die Säumnisbeschwerde erfolgen. Ist die Information (Mitteilung) nachgeholt worden, kommt eine Feststellung einer Verletzung der Unterrichtungspflicht in der Vergangenheit nicht in Betracht, da Art. 78 Abs. 2 DSGVO und § 24 Abs. 7 DSG iVm § 27 Abs. 1 DSG einen wirksamen gerichtlichen Rechtsbehelf nur für die Fälle einer Säumnis der belangten Behörde vorsehen (Souhrada-Kirchmayer in Knyrim,

Art 78DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18).Es sei naheliegend, dass auch hier – wie im Fall der Säumnisbeschwerde – die Datenschutzbehörde innerhalb einer bestimmten Frist die versäumte Information nachholen können soll, weil es sich hier auch um eine spezielle Art von Säumnis handle (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18). Mangels einer verfahrensrechtlichen Regelung kann aber in einem derartigen Fall wohl nur eine analoge Anwendung der Bestimmungen über die Säumnisbeschwerde erfolgen. Ist die Information (Mitteilung) nachgeholt worden, kommt eine Feststellung einer Verletzung der Unterrichtungspflicht in der Vergangenheit nicht in Betracht, da Artikel 78, Absatz 2, DSGVO und Paragraph 24, Absatz 7, DSG in Verbindung mit Paragraph 27, Absatz eins, DSG einen wirksamen gerichtlichen Rechtsbehelf nur für die Fälle einer Säumnis der belangten Behörde vorsehen (Souhrada-Kirchmayer in Knyrim,

Artikel 78, DS-GVO [Stand 01.07.2024, rdb.at] Rz.

18). 3.1.7.2. Die Untätigkeit kann auch im Nichtweiterleiten der Beschwerde an die zuständige Aufsichtsbehörde bestehen (Boehm in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, DS-GVO/BDSG

(2025)2, Art. 78 Rz. 22; Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz
(2024)4 Art. 78, Rz. 27). Bis zum Zeitpunkt der Erhebung der Säumnisbeschwerde hatte die belangte Behörde die Beschwerde des Beschwerdeführers nicht weitergeleitet bzw. nicht das Verfahren gemäß Art. 56 ff DSGVO eingeleitet, was sie jedoch nachholte, indem sie am 17.02.2025 ein Verfahren gemäß Art. 56 DSGVO via der IT-Kooperationsplattform „Internal Market Information System“ einleitete und den Beschwerdeführer mit Schreiben vom 17.02.2025 hierüber informierte.3.1.7.2. Die Untätigkeit kann auch im Nichtweiterleiten der Beschwerde an die zuständige Aufsichtsbehörde bestehen (Boehm in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, DS-GVO/BDSG
(2025)2, Artikel 78, Rz. 22; Bergt in Kühling/Buchner, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz
(2024)4 Artikel 78,, Rz. 27). Bis zum Zeitpunkt der Erhebung der Säumnisbeschwerde hatte die belangte Behörde die Beschwerde des Beschwerdeführers nicht weitergeleitet bzw. nicht das Verfahren gemäß Artikel 56, ff DSGVO eingeleitet, was sie jedoch nachholte, indem sie am 17.02.2025 ein Verfahren gemäß Artikel 56, DSGVO via der IT-Kooperationsplattform „Internal Market Information System“ einleitete und den Beschwerdeführer mit Schreiben vom 17.02.2025 hierüber informierte. 3.1.7.
  1. Da die belangte Behörde die Beschwerde inzwischen an die maltesische Aufsichtsbehörde weitergeleitet hat, liegt (auch) keine Säumnis der belangten Behörde gemäß Art. 78 Abs. 2 Alt. 2 DSGVO (mehr) vor.3.1.7.
  2. Da die belangte Behörde die Beschwerde inzwischen an die maltesische Aufsichtsbehörde weitergeleitet hat, liegt (auch) keine Säumnis der belangten Behörde gemäß Artikel 78, Absatz 2, Alt. 2 DSGVO (mehr) vor. 3.1.
  3. Die Säumnisbeschwerde war spruchgemäß zurückzuweisen. 3.
  4. Zum Unterbleiben einer mündlichen Verhandlung Eine mündliche Verhandlung konnte gemäß § 24 Abs. 2 Z 2 VwGVG entfallen, weil die Säumnisbeschwerde zurückzuweisen ist. Eine mündliche Verhandlung konnte gemäß Paragraph 24, Absatz 2, Ziffer 2, VwGVG entfallen, weil die Säumnisbeschwerde zurückzuweisen ist. Zu B) Unzulässigkeit der Revision: Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall – Bedeutung zukommt.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall – Bedeutung zukommt. Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs. 4 B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11.
  5. 2020, Ra 2018/04/0157). Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine klare Rechtslage und der zitierten Judikatur des Europäischen Gerichtshofes stützen. Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Artikel 133, Absatz 4, B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11.
  6. 2020, Ra 2018/04/0157). Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine klare Rechtslage und der zitierten Judikatur des Europäischen Gerichtshofes stützen. European Case Law IdentifierECLI:AT:BVWG:2025:W605.2307742.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.