TE Bvwg Erkenntnis 2021/7/30 W211 2240501-1

W211 2240501-1/4E

Im namen der republik!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die am XXXX 2018 gestellte Datenschutzbeschwerde wegen einer behaupteten Verletzung im Recht auf Auskunft durch die XXXX in nichtöffentlicher Sitzung zu Recht:

A)

In Erledigung der Beschwerde wird der Datenschutzbehörde aufgetragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung des Bundesverwaltungsgerichts binnen acht Wochen ab Zustellung zu erlassen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Beschwerde an die österreichische Datenschutzbehörde vom XXXX .2018 brachte der Beschwerdeführer eine Verletzung im Recht auf Auskunft vor, weil eine näher bezeichnete Firma mit Sitz in den Niederlanden einem Antrag auf Auskunft gemäß Art. 15 DSGVO nicht nachgekommen sei.

2. Mit Schreiben vom XXXX .2018 informierte die österreichische Datenschutzbehörde den Beschwerdeführer darüber, dass gegenständlich ein internationaler Sachverhalt vorliege, weshalb davon ausgegangen werde, dass die niederländische Behörde als federführende Aufsichtsbehörde für die Sache zuständig sei, was den Mitgliedsbehörden des Europäischen Datenschutzausschusses zur Kenntnis gebracht worden sei.

3. Am XXXX .2018 informierte die niederländische Datenschutzbehörde über das „Internal Market Information System“ („IMI“) darüber, vorzuschlagen, ein Schreiben an den Verantwortlichen – die Firma mit Sitz in den Niederlanden – zu senden, um auf den Sachverhalt hinzuweisen.

4. Aus einer mit „Draft Decision“ betitelten Eintragung der niederländischen Datenschutzbehörde vom XXXX .2018 im IMI geht zusammengefasst als Sachverhalt hervor, dass die niederländische Datenschutzbehörde die Datenschutzvereinbarungen auf der Website der Firma gelesen und festgestellt habe, dass der nunmehrige Beschwerdeführer seinen Antrag auf Auskunft an die Mailadresse „info@....“ statt an „support@.....“ geschickt habe; dennoch sei erstere Adresse ein aktiver Account, und habe die Firma die Anfrage erhalten.

Es werde seitens der niederländischen Behörde vorgeschlagen, mit einem Schreiben an die Firma auf die mögliche Verletzung der DSGVO hinzuweisen, eine Auslegung der verletzten Bestimmung der DSGVO anzubieten sowie eine Erklärung, wie sich die Firma verordnungsgemäß verhalten könne. Weiter werde der Firma das ursprüngliche Ansuchen mitgeschickt, damit diese – als Verantwortliche – Gelegenheit bekäme, dem Ansuchen noch zu entsprechen.

Im Falle weiterer Beschwerden ähnlicher Natur könnte die niederländische Datenschutzbehörde eine Untersuchung einleiten. Die monierte Bestimmung der DSGVO sei eindeutig. Die vorgeworfene Verletzung betreffe nur eine Person oder eine kleine Gruppe von betroffenen Personen, auch würde die niederländische Datenschutzbehörde den Einfluss dieser Verletzung auf das Privatleben der betroffenen Person als gering einstufen. Das vorgeschlagene Schreiben wäre nach Ansicht der niederländischen Datenschutzbehörde eine angemessene Reaktion.

5. Am XXXX .2019 erließ die niederländische Datenschutzbehörde eine sog. „Final Decision“: darin wurde ergänzend ausgeführt, dass die niederländische Datenschutzbehörde das im vorigen Absatz genannte Schreiben versendet habe. Weiter habe sie die Firma aufgefordert darüber zu informieren, dass die Firma, als Verantwortliche, Zugang zu den angefragten Daten ermöglicht habe. Am XXXX 2019 habe die Firma – die Verantwortliche – einen Nachweis darüber erbracht, dass sie dem Ansuchen nachgekommen sei. Die Firma habe davor mehrmals weitere Informationen beim Beschwerdeführer angefragt (wie einen Username, E-Mailadresse und Adresse). Da der Beschwerdeführer auf diese Aufforderungen nicht zeitgerecht reagiert habe, sei das Ticket geschlossen worden. Erst nach dieser Schließung des Vorgangs habe der Beschwerdeführer die notwendigen weiteren Informationen eingebracht, die die Firma in die Lage versetzt hätten, dem Ansuchen nachzukommen. Die Firma sei nun dem Ansuchen nachgekommen und habe den Beschwerdeführer über alle Daten informiert, die sie über ihn habe. Da die Bestimmung der DSGVO eindeutig sei, die vorgeworfene Verletzung nur eine betroffene Person bzw. eine kleine Gruppe von betroffenen Personen beträfe, und der Beschwerdeführer nicht mehr in der Datenbank der Firma aufscheine, sei das von der niederländischen Datenschutzbehörde geführte Verfahren angemessen gewesen.

Als Entscheidung wurde ausgeführt, dass die niederländische Datenschutzbehörde keine aktuell bestehende Verletzung des Art. 15 DSGVO festgestellt sowie die Beschwerde angemessen geprüft habe. Die niederländische Datenschutzbehörde werde gegen die Firma/die Verantwortliche keine weiteren Schritte setzen und das Verfahren schließen.

6. Am XXXX .2019 langte für den damals noch minderjährigen Beschwerdeführer eine Einverständniserklärung seines Vaters zur Führung unter anderen auch des gegenständlichen Verfahrens bei der österreichischen Datenschutzbehörde ein.

7. Mit Schreiben vom XXXX .2020 brachte der Beschwerdeführer eine Säumnisbeschwerde betreffend das gegenständliche Beschwerdeverfahren bei der österreichischen Datenschutzbehörde sein.

8. Mit Email vom XXXX .2021 „erinnerte“ der Beschwerdeführer an die Säumnisbeschwerde sowie daran, dass diese nach drei Monaten, soferne die österreichische Datenschutzbehörde nicht selbst über die Beschwerde entscheiden wolle, dem Bundesverwaltungsgericht vorzulegen sei.

9. Mit Schreiben vom XXXX .2021 legte die österreichische Datenschutzbehörde die Beschwerde sowie den Verwaltungsakt vor.

10. Auf Nachfrage gab die Datenschutzbehörde am XXXX .2021 sinngemäß und per Email bekannt, dass weitere Unterlagen oder Beweismittel, so zB die Information durch die Verantwortliche über die Auskunftserteilung, durch die niederländische Datenschutzbehörde nicht vorgelegt worden seien.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Mit Datenschutzbeschwerde vom XXXX .2018 gab der Beschwerdeführer an, mit Email vom XXXX .2018 von der XXXX in den Niederlanden eine Auskunft nach Art. 15 DSGVO über seine personenbezogenen Daten beantragt zu haben. Die Firma habe auf den Antrag nicht zeitgerecht geantwortet.

Mit XXXX .2018 leitete die österreichische Datenschutzbehörde ein Verfahren zu Etablierung der federführenden Aufsichtsbehörde ein und informierte den Beschwerdeführer mit Schreiben vom selben Tag darüber, dass aufgrund der Niederlassung der in der Beschwerde angeführten Verantwortlichen in den Niederlanden davon ausgegangen werde, dass die niederländische Datenschutzbehörde für die Sache zuständig sei.

Mit „final decision“ betitelter Kommunikation vom XXXX .2019 stellte die niederländische Datenschutzbehörde keine aktuell bestehende Verletzung des Art. 15 DSGVO fest und gab an, ein der Beschwerde angemessenes Verfahren geführt zu haben. Das Verfahren werde seitens der niederländischen Datenschutzbehörde geschlossen.

Begründend wurde angeführt, dass die Verantwortliche – die XXXX – mit Schreiben vom XXXX 2019 Nachweise dahingehend erbracht habe, dass sie wiederholt beim Beschwerdeführer zusätzliche Informationen, wie Username, E-Mailadresse und Adresse, verlangt habe, die jedoch vom Beschwerdeführer zuerst nicht erteilt worden seien. Der Vorgang sei daher bei der Verantwortlichen geschlossen worden. Nach der verspäteten Erteilung der Informationen durch den Beschwerdeführer sei die Auskunft nunmehr erteilt worden. Die Verantwortliche habe dem Beschwerdeführer alle personenbezogenen Daten, die sie über den Beschwerdeführer habe, übermittelt.

Die rechtliche Bestimmung sei eindeutig, und die angebliche Verletzung der Bestimmungen (die durch die niederländische Behörde nicht festgestellt worden sei) beträfe nur eine Person oder eine kleine Gruppe von Personen. Der Beschwerdeführer sei nicht mehr in der Datenbank der Verantwortlichen gespeichert.

Weitere Unterlagen dazu, so zB die Information durch die Verantwortliche in den Niederlanden über die erteilte Auskunft, wurden durch die niederländische Datenschutzbehörde nicht übermittelt und befinden sich nicht im Verwaltungsakt.

Mit Schreiben vom XXXX .2020 brachte der Beschwerdeführer eine Säumnisbeschwerde ein. Mit Schreiben vom XXXX .2021 legte die österreichische Datenschutzbehörde die Säumnisbeschwerde und den Verwaltungsakt dem Bundesverwaltungsgericht vor. Aus dem Verwaltungsakt gehen keine relevanten Verfahrensschritte der österreichischen Datenschutzbehörde zwischen dem XXXX .2019 (Einlangen einer Einverständniserklärung des Vaters des Beschwerdeführers) und Aktenvorlage am XXXX .2021 hervor.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt. Der Sachverhalt ist aktenkundig und nicht strittig.

3. Rechtliche Beurteilung:

Zur Zulässigkeit der Säumnisbeschwerde:

3.1. Gemäß Art. 130 Abs. 1 Z 3 B-VG erkennen die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht durch eine Verwaltungsbehörde. Gemäß Art. 132 Abs. 3 B-VG kann Beschwerde wegen Verletzung der Entscheidungspflicht erheben, wer im Verwaltungsverfahren als Partei zur Geltendmachung der Entscheidungspflicht berechtigt zu sein behauptet.

Gemäß § 8 Abs. 1 VwGVG kann eine Beschwerde wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG (Säumnisbeschwerde) erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der Stelle eingelangt ist, bei der er einzubringen war. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.

Mit Datenschutzbeschwerde vom XXXX .2018 rügte der Beschwerdeführer eine Verletzung im Recht auf Auskunft nach Art. 15 DSGVO; ein entsprechender Bescheid wurde durch die (österreichische) Datenschutzbehörde letztendlich nicht erlassen, obwohl die niederländische Datenschutzbehörde bereits am XXXX .2019 einen Entscheidungsentwurf vorlegte, gegen den kein Einspruch erfolgte. Am XXXX .2020 erhob der Beschwerdeführer eine Säumnisbeschwerde, die am XXXX .2020 bei der Datenschutzbehörde einlangte.

Aus den Verwaltungsakten ergeben sich keine Hinweise darauf, dass zwischenzeitlich durch die Behörde verfahrensrelevante Schritte gesetzt wurden.

Nach der Judikatur des Verwaltungsgerichtshofes ist der Begriff des Verschuldens der Behörde nach § 73 Abs. 2 AVG nicht im Sinne eines Verschuldens von Organwaltern der Behörde, sondern insofern "objektiv" zu verstehen, als ein solches "Verschulden" dann anzunehmen ist, wenn die zur Entscheidung berufene Behörde nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war (vgl. VwGH 21.09.2007, 2006/05/0145). Weiters hat der Verwaltungsgerichtshof in ständiger Rechtsprechung ein überwiegendes Verschulden der Behörde darin angenommen, dass diese die für eine zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet (vgl. VwGH 06.07.2010, 2009/05/0306). Die Behörden haben dafür Sorge zu tragen, dass durch organisatorische Vorkehrungen eine rasche Entscheidung möglich ist (VwGH 26.01.2012, 2008/07/0036).

In diesem Zusammenhang ist festzuhalten, dass es sich aus dem Akteninhalt nicht ergibt, dass die Verfahrensverzögerung durch ein schuldhaftes Verhalten des Beschwerdeführers oder durch unüberwindliche Hindernisse verursacht war. Das Bundesverwaltungsgericht geht daher von einer durch die Behörde zu verantwortenden Untätigkeit aus, die die Kriterien des "überwiegenden Verschuldens" erfüllt.

Daraus folgt, dass die Säumnisbeschwerde zulässig ist und die Zuständigkeit hinsichtlich des Antrages auf das Bundesverwaltungsgericht übergegangen ist.

3.2. Zu A)

1. Rechtsgrundlagen:

§ 28 Abs. 1 und 7 VwGVG, BGBl. I Nr. 22/2013 idF vom BGBl. I Nr. 138/2017, lautet:

Erkenntnisse

§ 28. (1) Sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist, hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen. […]

(7) Im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG kann das Verwaltungsgericht sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde auftragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender Frist zu erlassen. Kommt die Behörde dem Auftrag nicht nach, so entscheidet das Verwaltungsgericht über die Beschwerde durch Erkenntnis in der Sache selbst, wobei es auch das sonst der Behörde zustehende Ermessen handhabt.

Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO), lauten (in Auszügen):

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Artikel 56

Zuständigkeit der federführenden Aufsichtsbehörde

(1) Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.

(2) Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.

(3) In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.

(4) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.

(5) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.

(6) Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.

Zusammenarbeit

Artikel 60

Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden

(1) Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.

(2) Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.

(3) Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.

(4) Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.

(5) Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.

(6) Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.

(7) Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.

(8) Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.

(9) Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.

(10) Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.

(11) Hat — in Ausnahmefällen — eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.

(12) Die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden übermitteln einander die nach diesem Artikel geforderten Informationen auf elektronischem Wege unter Verwendung eines standardisierten Formats.

2. Gemäß § 28 Abs. 7 VwGVG kann im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG das Verwaltungsgericht sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde auftragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender Frist zu erlassen.

Auch wenn § 28 Abs. 7 VwGVG für die Ausübung des darin eingeräumten Ermessens nicht explizit Determinanten nennt, ist davon auszugehen, dass das Verwaltungsgericht bei seiner Entscheidung in erster Linie die Grundsätze der Verfahrensökonomie zu beachten hat (vgl. VwGH 24.10.2017, Ra 2016/06/0023, Rn. 20, mwN). Aus verfahrensökonomischer Sicht wird die Erlassung eines "Teilerkenntnisses" vor allem dann in Betracht kommen, wenn neben der Lösung der maßgeblichen Rechtsfragen der Sachverhalt noch weiter klärungsbedürftig ist (vgl. VwGH 4.7.2016, Ra 2014/04/0015, Rn. 19, mwN; vgl. weiters VwGH 28.5.2015, Ro 2015/22/0017, in dem von der Lösung maßgeblicher Rechtsfragen ohne vollständige Feststellung des maßgebenden Sachverhalts die Rede ist) (vgl. VwGH 28.05.2019, Ra 2018/22/0060).

Das Bundesverwaltungsgericht macht im gegenständlichen Fall von der Ermächtigung gemäß § 28 Abs. 7 VwGVG Gebrauch und trägt der österreichischen Datenschutzbehörde auf, den versäumten Bescheid innerhalb von acht Wochen unter Zugrundelegung der hiermit festgelegten Rechtsanschauung nachzuholen:

2.1. Allgemeines:

Die Bestimmungen über die Zusammenarbeit von europäischen Datenschutzbehörden in der DSGVO dienen der Einheitlichkeit und Effektivität der Rechtsdurchsetzung des Datenschutzregimes. Das daher vorgesehene „One-Stop-Shop“ lässt Verantwortliche mit Niederlassungen in der Union von einem einheitlichen Verfahren mit einem/einer einzigen Ansprechpartner_in profitieren. Ausgehend von der Bestimmung der Hauptniederlassung des/der Verantwortlichen wird nach Art. 56 Abs. 1 DSGVO die federführende Aufsichtsbehörde bestimmt (vgl. Klabunde in Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Auflage, Art. 60, RZ 1 f und Leissler/Wolfbauer in Knyrim, DatKomm Art 60 DSGVO (Stand 1.10.2018, rdb.at)).

Die Zusammenarbeit der federführenden Aufsichtsbehörde und der anderen betroffenen Aufsichtsbehörden in Verfahren mit innereuropäischem Auslandsbezug ist ein Kernstück der Neuerungen der DSGVO mit dem Ziel, für eine einheitliche Rechtsdurchsetzung zu sorgen. Die Kooperation ist überdies von zentraler Bedeutung für die Erleichterung der Rechtsschutzmöglichkeiten der Verfahrensbeteiligten.

Die federführende Aufsichtsbehörde iSd Art. 56 Abs. 1 DSGVO arbeitet mit den anderen betroffenen Aufsichtsbehörden zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen nach Abs. 1 S. 2 untereinander alle zweckdienlichen Informationen aus. Im Gegensatz zum Bemühen um einen Konsens, welches ausschließlich der federführenden Aufsichtsbehörde zugewiesen ist, handelt es sich hier um eine beiderseitige Verpflichtung.

Die Abs. 3 bis 10 des Art. 60 DSGVO enthalten ein komplexes Beschlussverfahren. Die Stellung der federführenden Aufsichtsbehörde kann als Rolle des primus inter pares beschrieben werden. Sie übernimmt zur Vorbereitung des eigentlichen Beschlusses die wesentlichen Aktionen, ist aber verpflichtet, auf die Positionen der anderen Aufsichtsbehörden angemessen einzugehen und diese zu integrieren. Ein Alleingang ist nicht möglich. Daher ist die Informationspflicht der federführenden Behörde vorgesehen. Ihr obliegt es auch einerseits einen Beschlussentwurf auszufertigen, andererseits aber bereits in diesem die Standpunkte der anderen betroffenen Aufsichtsbehörden zu integrieren, denen dieser Entwurf vorgelegt wird.

Der Verordnungsgeber hat den anderen betroffenen Aufsichtsbehörden eine Frist von vier Wochen eingeräumt, um den Beschlussentwurf zu prüfen. Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb dieser Frist gegen den Beschlussentwurf einen maßgeblichen begründeten Einspruch ein, bestehen zwei Optionen: Zum einen kann sich die federführende Aufsichtsbehörde diesem Einspruch nicht anschließen, bzw. sie ist, zum anderen, der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist. In jedem dieser beiden Unterfälle leitet die federführende Aufsichtsbehörde das Kohärenzverfahren nach Art. 63 DSGVO ein.

Hält die federführende Aufsichtsbehörde dagegen den Einspruch für maßgeblich und für begründet, ist sie verpflichtet, sich dem Einspruch anzuschließen und legt sodann einen überarbeiteten Beschlussentwurf zur Stellungnahme vor, womit erneut das Verfahren zur Stellungnahme eingeleitet wird.

Legt aber keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf der federführenden Aufsichtsbehörde ein, gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden. Damit sind die Aufsichtsbehörden an ihn gebunden. Ist diese Bindungswirkung eingetreten, so wird der Beschluss im Regelfall von der federführenden Aufsichtsbehörde, sowie in Ausnahmefällen von einer betroffenen Aufsichtsbehörde bzw. in geteilter Form durch beide Aufsichtsbehörden gemeinsam erlassen. Im Falle ordnungsgemäßer Beteiligung der betroffenen Aufsichtsbehörden tritt die Bindungswirkung für diese und die federführende Aufsichtsbehörde nach dem Wortlaut von Abs. 6 mit Fristablauf ein. Ein bestätigender Beschluss ist hierzu nicht erforderlich, es handelt sich dabei um eine Fiktion.

Im Regelfall erlässt die federführende Aufsichtsbehörde den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des/der Verantwortlichen und gegebenenfalls des Auftragsverarbeiters/der Auftragsverarbeiterin mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis, was auf elektronischem Wege zu erfolgen hat.

Abs. 8 des Art. 60 DSGVO sieht eine Ausnahme des Regelfalls und der dort vorgesehenen einfachen Unterrichtung eines Beschwerdeführers vor, wenn dessen Beschwerde vollumfänglich abgelehnt oder abgewiesen wird. In diesen Fällen erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Abs. 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den/die Verantwortliche_n in Kenntnis. Damit sollen für den/die Beschwerdeführer_in bzw. für die betroffene Person ortsnahe Rechtsschutzmöglichkeiten gewährleistet sein. Den verbindlichen Beschluss der federführenden Aufsichtsbehörde kann der/die Beschwerdeführer_in in dem Mitgliedstaat gerichtlich überprüfen lassen, indem jene Aufsichtsbehörde ihren Sitz hat, bei der die Beschwerde eingereicht wurde (vgl. zur Zusammenfassung des Verfahrens Polenz in Simits/Hornung/Spiecker, Datenschutzrecht, 1. Auflage, Artikel 60, RZ 1 ff).

2.2. In Bezug auf den Sachverhalt bedeutet dies:

Dem vorgelegten Verwaltungsakt fehlen relevante Unterlagen betreffend die Verfahrensergebnisse aus den Niederlanden, so die Information der Verantwortlichen über die Auskunftserteilung an den Beschwerdeführer.

Die österreichische Datenschutzbehörde ist iSd Zusammenarbeit mit den anderen europäischen Datenschutzbehörden besser geeignet als das Bundesverwaltungsgericht, die relevanten Unterlagen von der niederländischen Datenschutzbehörde nachzufordern und damit den Verwaltungsakt zu vervollständigen. Im Sinne der Prozessökonomie ist daher die österreichische Datenschutzbehörde dazu aufgefordert, die entsprechenden notwendigen Schritte im Verfahren zu setzen.

Weiter ist die folgende Rechtsanschauung festzulegen:

Nach Vervollständigung des Verwaltungsaktes für die Nachvollziehbarkeit der getroffenen Entscheidungen ist schließlich weiter vorzugehen wie folgt:

Im gegenständlichen Fall führte die niederländische Datenschutzbehörde als federführende Aufsichtsbehörde das Beschwerdeverfahren durch und legte am XXXX .2019 mit Verweis darauf, dass die Auskunft erteilt wurde und keine aktuelle Verletzung von Art. 15 DSGVO festgestellt werden konnte, einen Entscheidungsentwurf vor. Binnen der dafür vorgesehenen Frist von vier Wochen brachten dazu weder die österreichische noch gegebenenfalls andere Datenschutzbehörden einen Einspruch gegen den Entscheidungsentwurf ein, weshalb dieser nunmehr für die österreichische Datenschutzbehörde bindend geworden ist.

Daher wird für diese nun Art. 60 Abs. 8 DSGVO schlagend: Das Verfahrensergebnis und der Entwurf einer „final decision“ stellt im Ergebnis eine Abweisung der Datenschutzbeschwerde des Beschwerdeführers dar, weil daraus hervorgeht, dass die ersuchte Auskunft nach Art. 15 DSGVO schließlich durch die Verantwortliche, die XXXX , erteilt wurde. Da damit der Beschwerde des Beschwerdeführers auch nicht teilweise Rechnung getragen wird, ist gemäß Art. 60 Abs. 8 DSGVO die entsprechende Entscheidung – der Bescheid – durch die österreichische Datenschutzbehörde iSd „final decision“ der niederländischen Datenschutzbehörde zu erlassen und dem Beschwerdeführer zuzustellen sowie die Verantwortliche darüber in Kenntnis zu setzen.

Der österreichischen Datenschutzbehörde wird daher gemäß § 28 Abs. 7 VwGVG aufgetragen, binnen acht Wochen den Bescheid zu erlassen. Im Hinblick auf die noch durchzuführenden Ermittlungen (Einholung der Unterlagen von der niederländischen Datenschutzbehörde) wurde die in § 28 Abs. 7 VwGVG vorgesehene Frist in vollem Umfang gewährt.

3. Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall kann das Unterbleiben einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt zur Beurteilung der Beschwerde aus der Aktenlage in Verbindung mit der Beschwerde geklärt ist. Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es an höchstgerichtlicher Rechtsprechung insbesondere zum Verfahren nach Art. 60 DSGVO fehlt.

Es war daher spruchgemäß zu entscheiden.