Entscheidungsdatum
12.04.2024Norm
AVG §38Spruch
W108 2274731-1/5E
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. SCHACHNER als Beisitzerin und Beisitzer über die Beschwerde von XXXX , vertreten durch noyb - Europäisches Zentrum für digitale Rechte, gegen Spruchpunkt 3. des Bescheides der Datenschutzbehörde vom 09.05.2023, Zl. D130.703 2022-0.277.156, betreffend eine Datenschutzbeschwerde (mitbeteiligte Partei: XXXX beschlossen:Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. SCHACHNER als Beisitzerin und Beisitzer über die Beschwerde von römisch XXXX , vertreten durch noyb - Europäisches Zentrum für digitale Rechte, gegen Spruchpunkt 3. des Bescheides der Datenschutzbehörde vom 09.05.2023, Zl. D130.703 2022-0.277.156, betreffend eine Datenschutzbeschwerde (mitbeteiligte Partei: römisch XXXX beschlossen:
A)
Das Verfahren wird bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union über die mit Beschluss des Verwaltungsgerichtes Wiesbaden vom 10.12.2021 (beim EuGH anhängig unter C-768/21) vorgelegte Frage ausgesetzt.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Begründung:
I. Verfahrensgang und Sachverhalt:römisch eins. Verfahrensgang und Sachverhalt:
1. In seiner an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) bzw. § 24 Datenschutzgesetz (DSG) vom 27.05.2021 behauptete der Beschwerdeführer eine Verletzung gemäß Art. 5 Abs. 1 lit. a und b DSGVO, Art. 6 Abs. 1 DSGVO, Art. 9 Abs. 2 DSGVO sowie Art. 27 DSGVO durch die XXXX (Beschwerdegegnerin im Verfahren vor der belangten Behörde, nunmehr mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht). 1. In seiner an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß Artikel 77, Datenschutz-Grundverordnung (DSGVO) bzw. Paragraph 24, Datenschutzgesetz (DSG) vom 27.05.2021 behauptete der Beschwerdeführer eine Verletzung gemäß Artikel 5, Absatz eins, Litera a und b DSGVO, Artikel 6, Absatz eins, DSGVO, Artikel 9, Absatz 2, DSGVO sowie Artikel 27, DSGVO durch die römisch XXXX (Beschwerdegegnerin im Verfahren vor der belangten Behörde, nunmehr mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht).
Dazu wurde zusammengefasst vorgebracht: Die mitbeteiligte Partei sei ein Unternehmen mit Sitz in den XXXX , gegründet XXXX . Das einzige Produkt des Unternehmens sei eine Gesichtserkennungsplattform, die es Nutzern ermögliche, Fotos von Personen mit online gefundenen Bildern von ihnen abzugleichen. Der Beschwerdeführer habe via Email am 28.04.2021 ein Auskunftsverlangen bei der mitbeteiligten Partei gestellt. Die mitbeteiligte Partei habe am 29.04.2021 auf das Auskunftsverlangen per E-Mail mit einer PDF-Datei geantwortet, die fünf Suchergebnisse zum Profil des Beschwerdeführers in der Datenbank der mitbeteiligten Partei gezeigt habe. Die mitbeteiligte Partei könne sich auf keine Rechtsgrundlage berufen, um ihre Verarbeitungstätigkeiten zu rechtfertigen, insbesondere liege ein berechtigtes Interesse iSd Art. 6 Abs. 1 lit. f DSGVO nicht vor, zumal hohe Risiken bei der Verarbeitung biometrischer Daten bestehen würden, eine unvermeidliche abschreckende Wirkung auf die Grundrechte vorliege und besondere Nachteile für schutzbedürftige Gemeinschaften zu erwarten seien. Es fehle zudem an einer Rechtmäßigkeitsbedingung gemäß Art. 9 Abs. 1 DSGVO, des Weiteren liege ein Verstoß gegen den Grundsatz von Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz sowie der Zweckbindung vor. Die mitbeteiligte Partei verstoße auch gegen die Pflicht, einen Vertreter in der EU gemäß Art. 27 Abs. 1 DSGVO zu benennen. Dazu wurde zusammengefasst vorgebracht: Die mitbeteiligte Partei sei ein Unternehmen mit Sitz in den römisch XXXX , gegründet römisch XXXX . Das einzige Produkt des Unternehmens sei eine Gesichtserkennungsplattform, die es Nutzern ermögliche, Fotos von Personen mit online gefundenen Bildern von ihnen abzugleichen. Der Beschwerdeführer habe via Email am 28.04.2021 ein Auskunftsverlangen bei der mitbeteiligten Partei gestellt. Die mitbeteiligte Partei habe am 29.04.2021 auf das Auskunftsverlangen per E-Mail mit einer PDF-Datei geantwortet, die fünf Suchergebnisse zum Profil des Beschwerdeführers in der Datenbank der mitbeteiligten Partei gezeigt habe. Die mitbeteiligte Partei könne sich auf keine Rechtsgrundlage berufen, um ihre Verarbeitungstätigkeiten zu rechtfertigen, insbesondere liege ein berechtigtes Interesse iSd Artikel 6, Absatz eins, Litera f, DSGVO nicht vor, zumal hohe Risiken bei der Verarbeitung biometrischer Daten bestehen würden, eine unvermeidliche abschreckende Wirkung auf die Grundrechte vorliege und besondere Nachteile für schutzbedürftige Gemeinschaften zu erwarten seien. Es fehle zudem an einer Rechtmäßigkeitsbedingung gemäß Artikel 9, Absatz eins, DSGVO, des Weiteren liege ein Verstoß gegen den Grundsatz von Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz sowie der Zweckbindung vor. Die mitbeteiligte Partei verstoße auch gegen die Pflicht, einen Vertreter in der EU gemäß Artikel 27, Absatz eins, DSGVO zu benennen.
Der Beschwerdeführer stellte (soweit verfahrensgegenständlich relevant) den Antrag, dass der mitbeteiligten Partei gemäß Art. 58 Abs. 2 lit. f DSGVO verboten werde, die personenbezogenen Daten des Beschwerdeführers sowie die personenbezogenen Daten von betroffenen Personen innerhalb der EU zu verarbeiten.Der Beschwerdeführer stellte (soweit verfahrensgegenständlich relevant) den Antrag, dass der mitbeteiligten Partei gemäß Artikel 58, Absatz 2, Litera f, DSGVO verboten werde, die personenbezogenen Daten des Beschwerdeführers sowie die personenbezogenen Daten von betroffenen Personen innerhalb der EU zu verarbeiten.
2. Mit dem angefochtenen Bescheid gab die belangte Behörde der Datenschutzbeschwerde statt und stellte fest, dass die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers in ihrer Datenbank entgegen Art. 5 Abs. 1 DSGVO sowie ohne Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO und Art. 9 DSGVO, und somit unrechtmäßig, verarbeite (Spruchpunkt 1.). Der mitbeteiligten Partei wurde aufgetragen, die personenbezogenen Daten des Beschwerdeführers zu löschen (Spruchpunkt 2.). Die Anträge des Beschwerdeführers auf Verbot der Verarbeitung seiner personenbezogenen Daten sowie, dass der mitbeteiligten Partei verboten werden solle, die personenbezogenen Daten von betroffenen Personen innerhalb der EU zu verarbeiten, wurden zurückgewiesen (Spruchpunkt 3.). Schließlich wurde der mitbeteiligten Partei aufgetragen, innerhalb einer Frist von vier Wochen einen Vertreter in der Union gemäß Art. 27 DSGVO zu benennen (Spruchpunkt 4.). 2. Mit dem angefochtenen Bescheid gab die belangte Behörde der Datenschutzbeschwerde statt und stellte fest, dass die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers in ihrer Datenbank entgegen Artikel 5, Absatz eins, DSGVO sowie ohne Rechtsgrundlage gemäß Artikel 6, Absatz eins, DSGVO und Artikel 9, DSGVO, und somit unrechtmäßig, verarbeite (Spruchpunkt 1.). Der mitbeteiligten Partei wurde aufgetragen, die personenbezogenen Daten des Beschwerdeführers zu löschen (Spruchpunkt 2.). Die Anträge des Beschwerdeführers auf Verbot der Verarbeitung seiner personenbezogenen Daten sowie, dass der mitbeteiligten Partei verboten werden solle, die personenbezogenen Daten von betroffenen Personen innerhalb der EU zu verarbeiten, wurden zurückgewiesen (Spruchpunkt 3.). Schließlich wurde der mitbeteiligten Partei aufgetragen, innerhalb einer Frist von vier Wochen einen Vertreter in der Union gemäß Artikel 27, DSGVO zu benennen (Spruchpunkt 4.).
Begründend führte die belangte Behörde (soweit verfahrensgegenständlich relevant) zusammengefasst aus, dass die Verarbeitungstätigkeiten der mitbeteiligten Partei gemäß Art. 3 Abs. 2 lit. b DSGVO vom räumlichen Anwendungsbereich der DSGVO umfasst seien, da es die Software der mitbeteiligten Partei möglich mache, mit nur einem Referenzfoto einer Person, welches gezielt bearbeitet werde, um eindeutige Merkmale herauszufiltern, ein Suchergebnis, das alle Fotos mit einem ähnlichen biometrischen Muster aufweise, zu erhalten, welches auch aus den URLs von den Webseiten bestehe, in welchen die Fotos aufgefunden worden seien. Auf diese Weise sei es möglich, viele verschiedene Informationen einer Person zusammenzutragen und mehr über ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten herauszufinden. Die mitbeteiligte Partei sei auch Verantwortliche iSd Art. 4 Z 7 DSGVO für die Verarbeitung der personenbezogenen Daten des Beschwerdeführers, indem sie die Lichtbilder des Beschwerdeführers samt zusätzlicher Informationen aus dem Internet beschaffe und in ihrer Datenbank gespeichert habe. Begründend führte die belangte Behörde (soweit verfahrensgegenständlich relevant) zusammengefasst aus, dass die Verarbeitungstätigkeiten der mitbeteiligten Partei gemäß Artikel 3, Absatz 2, Litera b, DSGVO vom räumlichen Anwendungsbereich der DSGVO umfasst seien, da es die Software der mitbeteiligten Partei möglich mache, mit nur einem Referenzfoto einer Person, welches gezielt bearbeitet werde, um eindeutige Merkmale herauszufiltern, ein Suchergebnis, das alle Fotos mit einem ähnlichen biometrischen Muster aufweise, zu erhalten, welches auch aus den URLs von den Webseiten bestehe, in welchen die Fotos aufgefunden worden seien. Auf diese Weise sei es möglich, viele verschiedene Informationen einer Person zusammenzutragen und mehr über ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheiten herauszufinden. Die mitbeteiligte Partei sei auch Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO für die Verarbeitung der personenbezogenen Daten des Beschwerdeführers, indem sie die Lichtbilder des Beschwerdeführers samt zusätzlicher Informationen aus dem Internet beschaffe und in ihrer Datenbank gespeichert habe.
Zum Antrag des Beschwerdeführers auf Verhängung eines Verbots der Verarbeitung seiner personenbezogenen Daten sei zunächst festzuhalten, dass eine Aufsichtsbehörde zwar verpflichtet sei, im Falle eines festgestellten Verstoßes geeignete Abhilfemaßnahmen zu treffen, die konkrete Auswahl der Abhilfebefugnisse nach der Rechtsprechung des EuGH dennoch der Aufsichtsbehörde und nicht der betroffenen Person obliege. Im konkreten Fall erachte es die Datenschutzbehörde zur Herstellung des rechtmäßigen Zustandes für zweckmäßiger, die Löschung der personenbezogenen Daten des Beschwerdeführers anzuordnen. Für ein (zusätzliches) Verbot der Datenverarbeitung nach Art. 58 Abs. 2 lit. f DSGVO – bezogen auf den Beschwerdeführer – bleibe somit kein Raum.Zum Antrag des Beschwerdeführers auf Verhängung eines Verbots der Verarbeitung seiner personenbezogenen Daten sei zunächst festzuhalten, dass eine Aufsichtsbehörde zwar verpflichtet sei, im Falle eines festgestellten Verstoßes geeignete Abhilfemaßnahmen zu treffen, die konkrete Auswahl der Abhilfebefugnisse nach der Rechtsprechung des EuGH dennoch der Aufsichtsbehörde und nicht der betroffenen Person obliege. Im konkreten Fall erachte es die Datenschutzbehörde zur Herstellung des rechtmäßigen Zustandes für zweckmäßiger, die Löschung der personenbezogenen Daten des Beschwerdeführers anzuordnen. Für ein (zusätzliches) Verbot der Datenverarbeitung nach Artikel 58, Absatz 2, Litera f, DSGVO – bezogen auf den Beschwerdeführer – bleibe somit kein Raum.
Bezüglich des Antrages des Beschwerdeführers, über die mitbeteiligte Partei ein Verbot der Verarbeitung personenbezogener Daten von Personen innerhalb der EU zu verhängen, sei festzuhalten, dass aus dem Wortlaut von Art. 58 Abs. 2 lit. f DSGVO nicht abgeleitet werden könne, dass einer betroffenen Person ein subjektives Recht zukomme, dass eine Aufsichtsbehörde ein generelles Verarbeitungsverbot verhänge. Zwar werde der Beschwerdeführer von einer Organisation nach Art. 80 Abs. 1 DSGVO vertreten, ein solcher Antrag wäre allerdings nur im Rahmen von Art. 80 Abs. 2 DSGVO möglich, der jedoch nicht in österreichisches Recht umgesetzt worden sei. Die nicht erfolgte Umsetzung von Art. 80 Abs. 2 DSGVO könne nicht durch ein Beschwerdeverfahren nach Art. 77 DSGVO kompensiert werden. Die Anträge seien daher zurückzuweisen gewesen. Zur Vollständigkeit sei an dieser Stelle auszuführen, dass die belangte Behörde die Inanspruchnahme ihrer amtswegigen Abhilfebefugnisse einer Datenschutzüberprüfung hinsichtlich betroffener Personen auf österreichischem Staatsgebiet gegen die mitbeteiligte Partei prüfe.Bezüglich des Antrages des Beschwerdeführers, über die mitbeteiligte Partei ein Verbot der Verarbeitung personenbezogener Daten von Personen innerhalb der EU zu verhängen, sei festzuhalten, dass aus dem Wortlaut von Artikel 58, Absatz 2, Litera f, DSGVO nicht abgeleitet werden könne, dass einer betroffenen Person ein subjektives Recht zukomme, dass eine Aufsichtsbehörde ein generelles Verarbeitungsverbot verhänge. Zwar werde der Beschwerdeführer von einer Organisation nach Artikel 80, Absatz eins, DSGVO vertreten, ein solcher Antrag wäre allerdings nur im Rahmen von Artikel 80, Absatz 2, DSGVO möglich, der jedoch nicht in österreichisches Recht umgesetzt worden sei. Die nicht erfolgte Umsetzung von Artikel 80, Absatz 2, DSGVO könne nicht durch ein Beschwerdeverfahren nach Artikel 77, DSGVO kompensiert werden. Die Anträge seien daher zurückzuweisen gewesen. Zur Vollständigkeit sei an dieser Stelle auszuführen, dass die belangte Behörde die Inanspruchnahme ihrer amtswegigen Abhilfebefugnisse einer Datenschutzüberprüfung hinsichtlich betroffener Personen auf österreichischem Staatsgebiet gegen die mitbeteiligte Partei prüfe.
3. Gegen Spruchpunkt 3. dieses Bescheides, insoweit dieser die Zurückweisung des Antrags auf Untersagung der relevanten Verarbeitungsvorgänge der personenbezogenen Daten des Beschwerdeführers betrifft, erhob der Beschwerdeführer fristgerecht Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG an das Bundesverwaltungsgericht. Der Beschwerdeführer brachte darin (nach Wiederholung des Sachverhaltes) zusammengefasst vor, dass die bloße Feststellung der Rechtsverletzung durch die belangte Behörde nur einen unzulänglichen Rechtsschutz für den Beschwerdeführer gegen mögliche zukünftige Datenverarbeitungen biete. Selbst falls die mitbeteiligte Partei sämtliche personenbezogenen Daten zum Beschwerdeführer aus ihren Datenbanken löschen sollte, sei zu befürchten, dass die mitbeteiligte Partei abermals rechtswidrig personenbezogene Daten des Beschwerdeführers verarbeite, zumal ein wesentlicher Teil ihres Geschäftsmodells darin bestehe, im Internet verfügbare Gesichtsfotografien von Personen zu sammeln, zu speichern und weiterzuverwenden. Der unionsrechtliche Effektivitätsgrundsatz verlange einen subjektiven Anspruch auf Verhängung eines Verarbeitungsverbotes bei festgestellten DSGVO-widrigen Verarbeitungsvorgängen. Andernfalls wäre eine betroffene Person in Österreich gezwungen, eine zusätzliche Unterlassungsklage vor dem zuständigen Zivilgericht einzubringen. Damit seien für die betroffene Person jedoch empfindliche Nachteile gegenüber der Geltendmachung eines Anspruchs auf aufsichtsbehördliche Verbotsverhängung verbunden, zumal Verfahren vor Aufsichtsbehörden im EWR kostenfrei seien, die Rechtsdurchsetzung vor Zivilgerichten hingegen in der Regel mit – teils beträchtlichen – Kosten und einem entsprechenden Kostenrisiko verknüpft sei und gerade in Österreich die Zuständigkeit des Landesgerichts und der damit einhergehende Anwaltszwang hervorzuheben sei. Ebenso wäre die doppelte Geltendmachung des gleichen Sachverhalts vor zwei Stellen verfahrensökonomisch wenig sinnvoll und würde der Beschwerdemöglichkeit vor der belangten Behörde ihren Zweck entziehen. Insofern führe die verfehlte Rechtsansicht der belangten Behörde zu einer übermäßigen Erschwerung der Rechtsdurchsetzung und einer weitgehenden Wirkungslosigkeit des Beschwerderechts nach Art. 77 DSGVO in all jenen Fällen, in denen iSd § 24 Abs. 5 DSG kein Antrag auf Auskunft, Berichtigung, Löschung oder Einschränkung oder Datenübertragung gegenständlich sei. Auch nach der Judikatur des Verwaltungsgerichtshofes sei im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen. Selbst wenn man diesen Ausführungen nicht folge und die Auswahl der konkreten Abhilfemaßnahme trotz Antragstellung durch den Beschwerdeführer und entsprechendem rechtlichen Interesse allein ins Ermessen der belangten Behörde stelle, komme dem Beschwerdeführer dennoch ein subjektiver Anspruch auf Verhängung eines Verarbeitungsverbots zu, da das Ermessen der belangten Behörde gegenständlich auf null reduziert sei, da ein Verarbeitungsverbot im vorliegenden Fall schlicht und einfach das einzig effektive Mittel sei, weitere datenschutzwidrige Verarbeitungen zu unterbinden. 3. Gegen Spruchpunkt 3. dieses Bescheides, insoweit dieser die Zurückweisung des Antrags auf Untersagung der relevanten Verarbeitungsvorgänge der personenbezogenen Daten des Beschwerdeführers betrifft, erhob der Beschwerdeführer fristgerecht Beschwerde gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG an das Bundesverwaltungsgericht. Der Beschwerdeführer brachte darin (nach Wiederholung des Sachverhaltes) zusammengefasst vor, dass die bloße Feststellung der Rechtsverletzung durch die belangte Behörde nur einen unzulänglichen Rechtsschutz für den Beschwerdeführer gegen mögliche zukünftige Datenverarbeitungen biete. Selbst falls die mitbeteiligte Partei sämtliche personenbezogenen Daten zum Beschwerdeführer aus ihren Datenbanken löschen sollte, sei zu befürchten, dass die mitbeteiligte Partei abermals rechtswidrig personenbezogene Daten des Beschwerdeführers verarbeite, zumal ein wesentlicher Teil ihres Geschäftsmodells darin bestehe, im Internet verfügbare Gesichtsfotografien von Personen zu sammeln, zu speichern und weiterzuverwenden. Der unionsrechtliche Effektivitätsgrundsatz verlange einen subjektiven Anspruch auf Verhängung eines Verarbeitungsverbotes bei festgestellten DSGVO-widrigen Verarbeitungsvorgängen. Andernfalls wäre eine betroffene Person in Österreich gezwungen, eine zusätzliche Unterlassungsklage vor dem zuständigen Zivilgericht einzubringen. Damit seien für die betroffene Person jedoch empfindliche Nachteile gegenüber der Geltendmachung eines Anspruchs auf aufsichtsbehördliche Verbotsverhängung verbunden, zumal Verfahren vor Aufsichtsbehörden im EWR kostenfrei seien, die Rechtsdurchsetzung vor Zivilgerichten hingegen in der Regel mit – teils beträchtlichen – Kosten und einem entsprechenden Kostenrisiko verknüpft sei und gerade in Österreich die Zuständigkeit des Landesgerichts und der damit einhergehende Anwaltszwang hervorzuheben sei. Ebenso wäre die doppelte Geltendmachung des gleichen Sachverhalts vor zwei Stellen verfahrensökonomisch wenig sinnvoll und würde der Beschwerdemöglichkeit vor der belangten Behörde ihren Zweck entziehen. Insofern führe die verfehlte Rechtsansicht der belangten Behörde zu einer übermäßigen Erschwerung der Rechtsdurchsetzung und einer weitgehenden Wirkungslosigkeit des Beschwerderechts nach Artikel 77, DSGVO in all jenen Fällen, in denen iSd Paragraph 24, Absatz 5, DSG kein Antrag auf Auskunft, Berichtigung, Löschung oder Einschränkung oder Datenübertragung gegenständlich sei. Auch nach der Judikatur des Verwaltungsgerichtshofes sei im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen. Selbst wenn man diesen Ausführungen nicht folge und die Auswahl der konkreten Abhilfemaßnahme trotz Antragstellung durch den Beschwerdeführer und entsprechendem rechtlichen Interesse allein ins Ermessen der belangten Behörde stelle, komme dem Beschwerdeführer dennoch ein subjektiver Anspruch auf Verhängung eines Verarbeitungsverbots zu, da das Ermessen der belangten Behörde gegenständlich auf null reduziert sei, da ein Verarbeitungsverbot im vorliegenden Fall schlicht und einfach das einzig effektive Mittel sei, weitere datenschutzwidrige Verarbeitungen zu unterbinden.
Der Beschwerdeführer stellte die Anträge, das Bundesverwaltungsgericht möge der gegenständlichen Beschwerde Folge geben und Spruchpunkt 3. des angefochtenen Bescheids aufheben und der mitbeteiligten Partei gemäß Art. 58 Abs. 2 lit. f DSGVO verbieten, personenbezogene Daten, insbesondere Fotografien, des Beschwerdeführers ohne Rechtsgrundlage gemäß Art. 6 Abs. 1 und Art. 9 DSGVO zu Zwecken des Betriebs und der Zurverfügungstellung einer Datenbank zu verarbeiten, in eventu Spruchpunkt 3. des angefochtenen Bescheids aufheben und die Angelegenheit an die belangte Behörde zurückverweisen. Dabei möge das Bundesverwaltungsgericht die belangte Behörde anweisen, ein entsprechendes Verarbeitungsverbot gegenüber der mitbeteiligten Partei zu verhängen.Der Beschwerdeführer stellte die Anträge, das Bundesverwaltungsgericht möge der gegenständlichen Beschwerde Folge geben und Spruchpunkt 3. des angefochtenen Bescheids aufheben und der mitbeteiligten Partei gemäß Artikel 58, Absatz 2, Litera f, DSGVO verbieten, personenbezogene Daten, insbesondere Fotografien, des Beschwerdeführers ohne Rechtsgrundlage gemäß Artikel 6, Absatz eins und Artikel 9, DSGVO zu Zwecken des Betriebs und der Zurverfügungstellung einer Datenbank zu verarbeiten, in eventu Spruchpunkt 3. des angefochtenen Bescheids aufheben und die Angelegenheit an die belangte Behörde zurückverweisen. Dabei möge das Bundesverwaltungsgericht die belangte Behörde anweisen, ein entsprechendes Verarbeitungsverbot gegenüber der mitbeteiligten Partei zu verhängen.
4. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht mit Schreiben vom 05.07.2023 zur Entscheidung vor und gab eine Stellungnahme ab, in welcher das Beschwerdevorbringen zur Gänze bestritten wurde. Entgegen der Auffassung des Beschwerdeführers könne aus der Rechtsprechung des EuGH keine gesetzliche Pflicht der belangten Behörde abgeleitet werden, jedenfalls (bestimmte) Abhilfemaßnahmen zu setzen, sondern sei die Aufsichtsbehörde in ihrem Ermessensspielraum vielmehr verpflichtet, „mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen“. Im konkreten Fall habe die belangte Behörde ihren Ermessensspielraum dahingehend wahrgenommen, als sie es zur Herstellung des rechtmäßigen Zustandes ausdrücklich für zweckmäßiger erachtet habe, die Löschung der personenbezogenen Daten des Beschwerdeführers anzuordnen. Unter diesen Gesichtspunkten gehe die belangte Behörde davon aus, dass kein subjektives Recht des Beschwerdeführers auf eine (bestimmte) Abhilfemaßnahme gemäß Art. 58 Abs. 2 DSGVO bestehe. Allerdings halte die belangte Behörde auch fest, dass die gegenständliche Rechtsfrage, ob die Aufsichtsbehörde jedenfalls verpflichtet sei, Abhilfemaßnahmen gemäß Art. 58 Abs. 2 DSGVO zu setzen und diesbezüglich ein subjektiver Rechtsanspruch bestehe, zurzeit im Rahmen eines Vorabentscheidungsersuchens des Verwaltungsgerichts Wiesbaden vom 14. Dezember 2021 beim EuGH anhängig sei. Die belangte Behörde rege daher an, das gegenständliche Verfahren bis zur Entscheidung der Rechtssache C-768/21 auszusetzen.4. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht mit Schreiben vom 05.07.2023 zur Entscheidung vor und gab eine Stellungnahme ab, in welcher das Beschwerdevorbringen zur Gänze bestritten wurde. Entgegen der Auffassung des Beschwerdeführers könne aus der Rechtsprechung des EuGH keine gesetzliche Pflicht der belangten Behörde abgeleitet werden, jedenfalls (bestimmte) Abhilfemaßnahmen zu setzen, sondern sei die Aufsichtsbehörde in ihrem Ermessensspielraum vielmehr verpflichtet, „mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen“. Im konkreten Fall habe die belangte Behörde ihren Ermessensspielraum dahingehend wahrgenommen, als sie es zur Herstellung des rechtmäßigen Zustandes ausdrücklich für zweckmäßiger erachtet habe, die Löschung der personenbezogenen Daten des Beschwerdeführers anzuordnen. Unter diesen Gesichtspunkten gehe die belangte Behörde davon aus, dass kein subjektives Recht des Beschwerdeführers auf eine (bestimmte) Abhilfemaßnahme gemäß Artikel 58, Absatz 2, DSGVO bestehe. Allerdings halte die belangte Behörde auch fest, dass die gegenständliche Rechtsfrage, ob die Aufsichtsbehörde jedenfalls verpflichtet sei, Abhilfemaßnahmen gemäß Artikel 58, Absatz 2, DSGVO zu setzen und diesbezüglich ein subjektiver Rechtsanspruch bestehe, zurzeit im Rahmen eines Vorabentscheidungsersuchens des Verwaltungsgerichts Wiesbaden vom 14. Dezember 2021 beim EuGH anhängig sei. Die belangte Behörde rege daher an, das gegenständliche Verfahren bis zur Entscheidung der Rechtssache C-768/21 auszusetzen.
5. Das Bundesverwaltungsgericht übermittelte die Beschwerde der mitbeteiligten Partei im Wege der Beschwerdemitteilung sowie dem Beschwerdeführer die von der belangten Behörde bei der Aktenvorlage abgegebene Stellungnahme gemäß § 10 VwGVG zur Kenntnis- und Stellungnahme.5. Das Bundesverwaltungsgericht übermittelte die Beschwerde der mitbeteiligten Partei im Wege der Beschwerdemitteilung sowie dem Beschwerdeführer die von der belangten Behörde bei der Aktenvorlage abgegebene Stellungnahme gemäß Paragraph 10, VwGVG zur Kenntnis- und Stellungnahme.
6. Der Beschwerdeführer erstattete am 28.07.2023 eine Stellungnahme, in welcher er vorbrachte, die belangte Behörde verkenne, dass die Löschung im beschwerdegegenständlichen Fall weder zweckmäßig sei, um iSd Art. 57 Abs. 1 lit. a DSGVO die Anwendung der DSGVO durch die mitbeteiligte Partei in Österreich durchzusetzen, noch um dem gegenständlichen Rechtsschutzbedürfnis des Beschwerdeführers zu entsprechen. Die mitbeteiligte Partei scanne das Internet wieder und wieder auf Bilder. So würden auch nach einer Löschung von Bildern und anderen personenbezogenen Daten, früher oder später ebendiese Bilder durch diesen automatischen Prozess unweigerlich abermals erhoben und in das System der mitbeteiligten Partei aufgenommen. Insofern bewirke die Löschung der gegenständlichen Bilder und personenbezogenen Daten keinen dauerhaften Rechtsschutz für den Beschwerdeführer, zumal Fotografien seiner Person öffentlich verfügbar seien. Es bestehe also eine imminente Wiederholungsgefahr. Der Beschwerdeführer müsste wieder und wieder (womöglich im Stundentakt) Löschungsbegehren an die mitbeteiligte Partei stellen, um die Verarbeitung seiner Daten durch die mitbeteiligte Partei bestenfalls zu minimieren. Im Gegensatz zur Löschung führe ein Verarbeitungsverbot dazu, dass die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers auch in Zukunft nicht mehr verarbeiten dürfe, da ihr bereits die Erhebung dieser Daten untersagt wäre. Gerade das regelmäßige Sammeln von Bildern im Internet und die sich daraus ergebende Wiederholungsgefahr würden ein solches Verbot erfordern. Ein Verarbeitungsverbot biete gegenständlich die einzige effektive Abhilfe gegenüber dem kontinuierlichen Rechtsbruch der mitbeteiligten Partei. Daraus ergebe sich, dass der (gebundene) Ermessensspielraum der belangten Behörde in diesem Fall in Hinblick auf Art. 8 GRC schon nach österreichischem Recht soweit reduziert sei, dass jedenfalls ein Verarbeitungsverbot zu verhängen sei – Art. 58 DSGVO und § 22 DSG räumten der belangten Behörde neben dem Verarbeitungsverbot nach Art. 58 Abs. 2 lit. f DSGVO kein anderes Abhilfebefugnis ein, das iSv EuGH C-311/118 „geeignet und erforderlich“ wäre, die gegenständliche Rechtsverletzung dauerhaft zu unterbinden. Selbst falls man daher einen subjektiven Anspruch auf Verhängung eines Verarbeitungsverbots verneine, müsse die belangte Behörde gegenständlich ein solches verhängen.6. Der Beschwerdeführer erstattete am 28.07.2023 eine Stellungnahme, in welcher er vorbrachte, die belangte Behörde verkenne, dass die Löschung im beschwerdegegenständlichen Fall weder zweckmäßig sei, um iSd Artikel 57, Absatz eins, Litera a, DSGVO die Anwendung der DSGVO durch die mitbeteiligte Partei in Österreich durchzusetzen, noch um dem gegenständlichen Rechtsschutzbedürfnis des Beschwerdeführers zu entsprechen. Die mitbeteiligte Partei scanne das Internet wieder und wieder auf Bilder. So würden auch nach einer Löschung von Bildern und anderen personenbezogenen Daten, früher oder später ebendiese Bilder durch diesen automatischen Prozess unweigerlich abermals erhoben und in das System der mitbeteiligten Partei aufgenommen. Insofern bewirke die Löschung der gegenständlichen Bilder und personenbezogenen Daten keinen dauerhaften Rechtsschutz für den Beschwerdeführer, zumal Fotografien seiner Person öffentlich verfügbar seien. Es bestehe also eine imminente Wiederholungsgefahr. Der Beschwerdeführer müsste wieder und wieder (womöglich im Stundentakt) Löschungsbegehren an die mitbeteiligte Partei stellen, um die Verarbeitung seiner Daten durch die mitbeteiligte Partei bestenfalls zu minimieren. Im Gegensatz zur Löschung führe ein Verarbeitungsverbot dazu, dass die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers auch in Zukunft nicht mehr verarbeiten dürfe, da ihr bereits die Erhebung dieser Daten untersagt wäre. Gerade das regelmäßige Sammeln von Bildern im Internet und die sich daraus ergebende Wiederholungsgefahr würden ein solches Verbot erfordern. Ein Verarbeitungsverbot biete gegenständlich die einzige effektive Abhilfe gegenüber dem kontinuierlichen Rechtsbruch der mitbeteiligten Partei. Daraus ergebe sich, dass der (gebundene) Ermessensspielraum der belangten Behörde in diesem Fall in Hinblick auf Artikel 8, GRC schon nach österreichischem Recht soweit reduziert sei, dass jedenfalls ein Verarbeitungsverbot zu verhängen sei – Artikel 58, DSGVO und Paragraph 22, DSG räumten der belangten Behörde neben dem Verarbeitungsverbot nach Artikel 58, Absatz 2, Litera f, DSGVO kein anderes Abhilfebefugnis ein, das iSv EuGH C-311/118 „geeignet und erforderlich“ wäre, die gegenständliche Rechtsverletzung dauerhaft zu unterbinden. Selbst falls man daher einen subjektiven Anspruch auf Verhängung eines Verarbeitungsverbots verneine, müsse die belangte Behörde gegenständlich ein solches verhängen.
Zur angeregten Aussetzung des Verfahrens sei festzuhalten, dass die gegenständliche Rechtssache schon nach der innerstaatlich gebotenen gebundenen Ermessensentscheidung im Lichte der Grundrechte in § 1 DSG und Art. 8 GRC klar zu entscheiden sei. Eine gegebenenfalls weitere Bindung des Ermessens nach europarechtlichen Vorgaben erübrige sich damit für Österreich ohnehin. Darüber hinaus betreffe die EuGH-Rechtssache C-768/21 gerade nicht die Frage, ob ein subjektives Recht auf eine bestimmte Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO bestehe. Ebenso wenig betreffe diese Rechtssache die Frage, ob und wann eine Ermessenspielraumreduktion vorliege, die eine Aufsichtsbehörde dazu verpflichte, eine bestimmte Abhilfemaßnahme zu ergreifen. Der EuGH sei lediglich gefragt worden, ob die festgestellte Verletzung der Rechte einer betroffenen Person die Aufsichtsbehörde auch dazu verpflichte, eine Abhilfemaßnahme zu ergreifen – nicht welche Maßnahme zu treffen sei. Im gegenständlichen Verfahren gehe es jedoch gerade darum, welche Abhilfemaßnahme, Löschung oder Verarbeitungsverbot, zweckmäßig sei. Da von der Rechtssache C-768/21 insofern keine Klärung der gegenständlichen Rechtsfragen zu erwarten sei, seien die Bedingungen des § 17 VwGVG iVm § 38 AVG nicht erfüllt.Zur angeregten Aussetzung des Verfahrens sei festzuhalten, dass die gegenständliche Rechtssache schon nach der innerstaatlich gebotenen gebundenen Ermessensentscheidung im Lichte der Grundrechte in Paragraph eins, DSG und Artikel 8, GRC klar zu entscheiden sei. Eine gegebenenfalls weitere Bindung des Ermessens nach europarechtlichen Vorgaben erübrige sich damit für Österreich ohnehin. Darüber hinaus betreffe die EuGH-Rechtssache C-768/21 gerade nicht die Frage, ob ein subjektives Recht auf eine bestimmte Abhilfemaßnahme nach Artikel 58, Absatz 2, DSGVO bestehe. Ebenso wenig betreffe diese Rechtssache die Frage, ob und wann eine Ermessenspielraumreduktion vorliege, die eine Aufsichtsbehörde dazu verpflichte, eine bestimmte Abhilfemaßnahme zu ergreifen. Der EuGH sei lediglich gefragt worden, ob die festgestellte Verletzung der Rechte einer betroffenen Person die Aufsichtsbehörde auch dazu verpflichte, eine Abhilfemaßnahme zu ergreifen – nicht welche Maßnahme zu treffen sei. Im gegenständlichen Verfahren gehe es jedoch gerade darum, welche Abhilfemaßnahme, Löschung oder Verarbeitungsverbot, zweckmäßig sei. Da von der Rechtssache C-768/21 insofern keine Klärung der gegenständlichen Rechtsfragen zu erwarten sei, seien die Bedingungen des Paragraph 17, VwGVG in Verbindung mit Paragraph 38, AVG nicht erfüllt.
7. Die mitbeteiligte Partei erstattete keine weitere Stellungnahme.
II. Das Bundeverwaltungsgericht hat erwogen:römisch II. Das Bundeverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. dargestellte Verfahrensgang wird als Sachverhalt zu Grunde gelegt.Der unter Punkt römisch eins. dargestellte Verfahrensgang wird als Sachverhalt zu Grunde gelegt.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten sowie dem gegenständlichen Gerichtsakt und sind unstrittig.
3. Rechtliche Beurteilung:
Zu A)
3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen, soweit nicht ein Erkenntnis zu fällen ist, durch Beschluss.Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen, soweit nicht ein Erkenntnis zu fällen ist, durch Beschluss.
3.1.2. Relevante Bestimmungen der DSGVO lauten (auszugsweise) samt Überschrift:
Art. 57Artikel 57,
Aufgaben
(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet
a) die Anwendung dieser Verordnung überwachen und durchsetzen;
Art. 58Artikel 58,
Befugnisse
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,
d) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
e) den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffene Person entsprechend zu benachrichtigen,
f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
g) die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Art. 17 Absatz 2 und Art. 19 offengelegt wurden, über solche Maßnahmen anzuordnen,g) die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 17, Absatz 2 und Artikel 19, offengelegt wurden, über solche Maßnahmen anzuordnen,
h) eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Art. 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,h) eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,
i) eine Geldbuße gemäß Art. 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,i) eine Geldbuße gemäß Artikel 83, zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,
j) die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen.
Art. 81Artikel 81,
Aussetzung des Verfahrens
(1) Erhält ein zuständiges Gericht in einem Mitgliedstaat Kenntnis von einem Verfahren zu demselben Gegenstand in Bezug auf die Verarbeitung durch denselben Verantwortlichen oder Auftragsverarbeiter, das vor einem Gericht in einem anderen Mitgliedstaat anhängig ist, so nimmt es mit diesem Gericht Kontakt auf, um sich zu vergewissern, dass ein solches Verfahren existiert.
(2) Ist ein Verfahren zu demselben Gegenstand in Bezug auf die Verarbeitung durch denselben Verantwortlichen oder Auftragsverarbeiter vor einem Gericht in einem anderen Mitgliedstaat anhängig, so kann jedes später angerufene zuständige Gericht das bei ihm anhängige Verfahren aussetzen.
(3) Sind diese Verfahren in erster Instanz anhängig, so kann sich jedes später angerufene Gericht auf Antrag einer Partei auch für unzuständig erklären, wenn das zuerst angerufene Gericht für die betreffenden Klagen zuständig ist und die Verbindung der Klagen nach seinem Recht zulässig ist.
3.1.3. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.3.1.3. Gemäß Paragraph 38, AVG, der gemäß Paragraph 17, VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.
Nach der Rechtsprechung des VwGH können auf Grundlage des § 38 AVG Verfahren bis zur (in einem anderen Verfahren beantragten) Vorabentscheidung durch den Gerichtshof der Europäischen Union ausgesetzt werden; eine dem EuGH zur Klärung vorgelegte Frage des Unionsrecht kann nämlich eine Vorfrage iSd § 38 AVG darstellen, die zufolge des im Bereich des Unionsrechts bestehenden Auslegungsmonopols des EuGH von diesem zu entscheiden ist (VwGH 18.12.2020, Ra 2020/15/0059; 11.11.2020, Ro 2020/17/0010; 19.12.2000, 99/12/0286). Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl. zB VwGH 13.12.2011, 2011/22/0316).Nach der Rechtsprechung des VwGH können auf Grundlage des Paragraph 38, AVG Verfahren bis zur (in einem anderen Verfahren beantragten) Vorabentscheidung durch den Gerichtshof der Europäischen Union ausgesetzt werden; eine dem EuGH zur Klärung vorgelegte Frage des Unionsrecht kann nämlich eine Vorfrage iSd Paragraph 38, AVG darstellen, die zufolge des im Bereich des Unionsrechts bestehenden Auslegungsmonopols des EuGH von diesem zu entscheiden ist (VwGH 18.12.2020, Ra 2020/15/0059; 11.11.2020, Ro 2020/17/0010; 19.12.2000, 99/12/0286). Sie berechtigt zur Aussetzung nach Paragraph 38, AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist vergleiche zB VwGH 13.12.2011, 2011/22/0316).
Für eine Aussetzung eines Verfahrens gemäß § 38 AVG ist es ausreichend, wenn aufgrund eines Vorabentscheidungsersuchens eine (bloß) ähnliche Rechtsfrage beim EuGH anhängig ist (vgl. VwGH 19.09.2001, 2001/16/0439). Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht einer Aussetzung des Verfahrens gemäß § 38 AVG nicht entgegen (VwGH Ra 13.09.2017, 2017/12/0068).Für eine Aussetzung eines Verfahrens gemäß Paragraph 38, AVG ist es ausreichend, wenn aufgrund eines Vorabentscheidungsersuchens eine (bloß) ähnliche Rechtsfrage beim EuGH anhängig ist vergleiche VwGH 19.09.2001, 2001/16/0439). Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht einer Aussetzung des Verfahrens gemäß Paragraph 38, AVG nicht entgegen (VwGH Ra 13.09.2017, 2017/12/0068).
Die Erwägungsgründe 144 zu Art. 81 DSGVO betreffend die „Aussetzung des Verfahrens“ sprechen vom Erfordernis für die Aussetzung, dass Verfahren miteinander verwandt sein müssen, was dann der Fall ist, wenn zwischen ihnen eine so enge Beziehung gegeben ist, dass eine gemeinsame Verhandlung und Entscheidung geboten erscheint, um zu vermeiden, dass in getrennten Verfahren einander widersprechende Entscheidungen ergehen. Daraus kann abgeleitet werden, dass für eine Aussetzung der Zweck des Verfahrens sowie die Grundlage, dh der Sachverhalt und der Vorwurf der Rechtsverletzung, identisch sein müssen (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 81 DSGVO Rz 5 unter Hinweis auf Schweiger in Knyrim, DatKomm Art. 81 DSGVO Rz 16). Art. 81 DSGVO ist für zivilgerichtliche und verwaltungsgerichtliche Verfahren ohne Einschränkung auf bestimmte Verfahrensarten anzuwenden (s. Schweiger in Knyrim, DatKomm Art. 81 DSGVO Rz 8).Die Erwägungsgründe 144 zu Artikel 81, DSGVO betreffend die „Aussetzung des Verfahrens“ sprechen vom Erfordernis für die Aussetzung, dass Verfahren miteinander verwandt sein müssen, was dann der Fall ist, wenn zwischen ihnen eine so enge Beziehung gegeben ist, dass eine gemeinsame Verhandlung und Entscheidung geboten erscheint, um zu vermeiden, dass in getrennten Verfahren einander widersprechende Entscheidungen ergehen. Daraus kann abgeleitet werden, dass für eine Aussetzung der Zweck des Verfahrens sowie die Grundlage, dh der Sachverhalt und der Vorwurf der Rechtsverletzung, identisch sein müssen vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung, Artikel 81, DSGVO Rz 5 unter Hinweis auf Schweiger in Knyrim, DatKomm Artikel 81, DSGVO Rz 16). Artikel 81, DSGVO ist für zivilgerichtliche und verwaltungsgerichtliche Verfahren ohne Einschränkung auf bestimmte Verfahrensarten anzuwenden (s. Schweiger in Knyrim, DatKomm Artikel 81, DSGVO Rz 8).
3.2. Für den vorliegenden Fall ergibt sich daraus Folgendes:
3.2.1. Das Verwaltungsgericht Wiesbaden legte mit Beschluss vom 10.12.2021 dem EuGH folgende Frage zur Vorabentscheidung vor:
„Sind Art. 57 Abs. 1 Buchst. a und f sowie Art. 58 Abs. 2 Buchst. a bis j in Verbindung mit Art. 77 Abs. 1 der Verordnung (EU) 2016/6791 dahingehend auszulegen, dass in dem Fall, dass die Aufsichtsbehörde eine Datenverarbeitung feststellt, die den Betroffenen in seinen Rechten verletzt, die Aufsichtsbehörde stets verpflichtet ist, nach Art. 58 Abs. 2 dieser Verordnung einzuschreiten?“„Sind Artikel 57, Absatz eins, Buchst. a und f sowie Artikel 58, Absatz 2, Buchst. a bis j in Verbindung mit Artikel 77, Absatz eins, der Verordnung (EU) 2016/6791 dahingehend auszulegen, dass in dem Fall, dass die Aufsichtsbehörde eine Datenverarbeitung feststellt, die den Betroffenen in seinen Rechten verletzt, die Aufsichtsbehörde stets verpflichtet ist, nach Artikel 58, Absatz 2, dieser Verordnung einzuschreiten?“
Zu den Gründen für die Vorlage der Frage zur Vorabentscheidung an den EuGH führte das Verwaltungsgericht Wiesbaden wie folgt aus (Formatierung nicht 1:1 wiedergegeben):
„IV.
25 Das vorlegende Gericht ist zur Vorlage der Frage gemäß Art. 267 Abs. 1 lit. a, Abs. 2 AEUV berechtigt. Denn in Frage steht die Auslegung der Art. 57, 58, 77 DS-GVO, die sekundäres Unionsrecht darstellen. 25 Das vorlegende Gericht ist zur Vorlage der Frage gemäß Artikel 267, Absatz eins, Litera a,, Absatz 2, AEUV berechtigt. Denn in Frage steht die Auslegung der Artikel 57,, 58, 77 DS-GVO, die sekundäres Unionsrecht darstellen.
26 Die Entscheidung über diese Frage ist für den Erlass des Urteiles erforderlich. Denn im vorliegenden Fall hat die nationale Aufsichtsbehörde ein Einschreitermessen ausgeübt und ist zu dem Ergebnis gekommen, dass zwar ein Verstoß gegen Datenschutzbestimmungen vorliegt, ein Einschreiten nach Art. 58 Abs. 2 DS-GVO aber dennoch nicht geboten sei. Dieses Vorgehen ist nur dann rechtmäßig, wenn die Aufsichtsbehörde auch bei einem festgestellten Datenschutzverstoß nicht verpflichtet ist, einzuschreiten. 26 Die Entscheidung über diese Frage ist für den Erlass des Urteiles erforderlich. Denn im vorliegenden Fall hat die nationale Aufsichtsbehörde ein Einschreitermessen ausgeübt und ist zu dem Ergebnis gekommen, dass zwar ein Verstoß gegen Datenschutzbestimmungen vorliegt, ein Einschreiten nach Artikel 58, Absatz 2, DS-GVO aber dennoch nicht geboten sei. Dieses Vorgehen ist nur dann rechtmäßig, wenn die Aufsichtsbehörde auch bei einem festgestellten Datenschutzverstoß nicht verpflichtet ist, einzuschreiten.
