Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum26.09.2022GeschäftszahlG200/2022 uaLeitsatzZurückweisung des Antrags auf Aufhebung einer Bestimmung des DSG betreffend die Zuständigkeit der Datenschutzbehörde sowie das Privileg der Medien bei der Verarbeitung personenbezogener Daten wegen zu engen AnfechtungsumfangsRechtssatzDer Antrag des Bundesverwaltungsgerichts (BVwG) auf Aufhebung näher bezeichneter Wortfolgen des Art2 §9 Abs1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG) idF BGBl I 24/2018 (Datenschutz-Deregulierungsgesetz 2018) wird zurückgewiesen.Der Antrag des Bundesverwaltungsgerichts (BVwG) auf Aufhebung näher bezeichneter Wortfolgen des Art2 §9 Abs1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG) in der Fassung Bundesgesetzblatt Teil eins, 24 aus 2018, (Datenschutz-Deregulierungsgesetz 2018) wird zurückgewiesen.Das antragstellende Gericht bringe vor, es sei verfassungswidrig, dass der Datenschutzbehörde im vorliegenden Fall keine Zuständigkeit zukomme. Soweit das antragstellende Gericht in seinem Hauptantrag (lediglich) die Aufhebung der Wortfolge "die Bestimmungen dieses Bundesgesetzes sowie" begehre, übersehe es, dass sich die Zuständigkeit der Datenschutzbehörde nicht aus dem Datenschutzgesetz, sondern ausschließlich aus der DSGVO, konkret aus deren Kapitel VI, ergebe. Die im Hauptantrag begehrte Aufhebung erweise sich somit als zu eng gefasst.Das antragstellende Gericht bringe vor, es sei verfassungswidrig, dass der Datenschutzbehörde im vorliegenden Fall keine Zuständigkeit zukomme. Soweit das antragstellende Gericht in seinem Hauptantrag (lediglich) die Aufhebung der Wortfolge "die Bestimmungen dieses Bundesgesetzes sowie" begehre, übersehe es, dass sich die Zuständigkeit der Datenschutzbehörde nicht aus dem Datenschutzgesetz, sondern ausschließlich aus der DSGVO, konkret aus deren Kapitel römisch VI, ergebe. Die im Hauptantrag begehrte Aufhebung erweise sich somit als zu eng gefasst.In gleicher Weise sei der erste Eventualantrag zu eng gefasst, weil sich die behauptete Verfassungswidrigkeit durch die Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "VI (Unabhängige Aufsichtsbehörden)," sowie "und IX (Vorschriften für besondere Verarbeitungssituationen)" nicht beseitigen lasse. Weiterhin nicht anwendbar sei nämlich Kapitel II DSGVO, weswegen der Datenschutzbehörde der inhaltliche Beurteilungsmaßstab für ihre Entscheidung fehlte. Sie habe diesfalls "im rechtsfreien Raum" zu entscheiden, was insbesondere Art18 B‑VG widerspreche.In gleicher Weise sei der erste Eventualantrag zu eng gefasst, weil sich die behauptete Verfassungswidrigkeit durch die Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "VI (Unabhängige Aufsichtsbehörden)," sowie "und römisch IX (Vorschriften für besondere Verarbeitungssituationen)" nicht beseitigen lasse. Weiterhin nicht anwendbar sei nämlich Kapitel römisch II DSGVO, weswegen der Datenschutzbehörde der inhaltliche Beurteilungsmaßstab für ihre Entscheidung fehlte. Sie habe diesfalls "im rechtsfreien Raum" zu entscheiden, was insbesondere Art18 B‑VG widerspreche.Schließlich sei auch der zweite Eventualantrag auf Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "II (Grundsätze),", "VI (Unabhängige Aufsichtsbehörden)," sowie "und IX (Vorschriften für besondere Verarbeitungssituationen)" zu eng gewählt. Bei diesem Antrag übersehe das antragstellende Gericht, dass durch den unveränderten Ausschluss des Kapitels III DSGVO ein unsachliches Ergebnis erzielt würde: Es könnten diesfalls nämlich lediglich die in §1 Abs3 DSG genannten Rechte Gegenstand eines Verfahrens vor der Datenschutzbehörde sein, nicht hingegen die über §1 Abs3 DSG hinausreichenden, in Kapitel III DSGVO genannten Rechte. Es könnten somit lediglich behauptete Verletzungen in den Rechten auf Auskunft, Richtigstellung und Löschung vor der Datenschutzbehörde geltend gemacht werden, nicht jedoch behauptete Verletzungen in den Rechten auf Information (Art13 und 14 DSGVO), Einschränkung der Verarbeitung (Art18 DSGVO), Datenübertragbarkeit (Art20 DSGVO), Widerspruch (Art21 DSGVO) und automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art22 DSGVO).Schließlich sei auch der zweite Eventualantrag auf Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "II (Grundsätze),", "VI (Unabhängige Aufsichtsbehörden)," sowie "und römisch IX (Vorschriften für besondere Verarbeitungssituationen)" zu eng gewählt. Bei diesem Antrag übersehe das antragstellende Gericht, dass durch den unveränderten Ausschluss des Kapitels römisch III DSGVO ein unsachliches Ergebnis erzielt würde: Es könnten diesfalls nämlich lediglich die in §1 Abs3 DSG genannten Rechte Gegenstand eines Verfahrens vor der Datenschutzbehörde sein, nicht hingegen die über §1 Abs3 DSG hinausreichenden, in Kapitel römisch III DSGVO genannten Rechte. Es könnten somit lediglich behauptete Verletzungen in den Rechten auf Auskunft, Richtigstellung und Löschung vor der Datenschutzbehörde geltend gemacht werden, nicht jedoch behauptete Verletzungen in den Rechten auf Information (Art13 und 14 DSGVO), Einschränkung der Verarbeitung (Art18 DSGVO), Datenübertragbarkeit (Art20 DSGVO), Widerspruch (Art21 DSGVO) und automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art22 DSGVO).Der VfGH teilt zunächst die Auffassung der Datenschutzbehörde, dass der Hauptantrag und der erste Eventualantrag jedenfalls zu eng gefasst sind. Darüber hinaus erweist sich auch der zweite Eventualantrag als unzulässig. Das BVwG verkennt, dass die von ihm angefochtenen Wortfolgen mit den sonstigen Bestimmungen des §9 Abs1 DSG in einem untrennbaren Zusammenhang stehen. Das BVwG hätte aus diesem Grund §9 Abs1 DSG zur Gänze anfechten müssen.European Case Law IdentifierECLI:AT:VFGH:2022:G200.2022

Relevante Rechtsvorschrift:
Absicht,  einen  anderen  dadurch  in  seinem  von  § 1  Abs. 1  gewährleisteten  Anspruch  zu  schädigen,
personenbezogene Daten, die ihm ausschließlich auf Grund seiner berufsmäßigen Beschäftigung anvertraut
oder zugänglich geworden sind oder die er sich widerrechtlich verschafft hat, selbst benützt, einem anderen
zugänglich  macht  oder  veröffentlicht,  obwohl  der  Betroffene  an  diesen  Daten  ein  schutzwürdiges
Geheimhaltungsinteresse hat, ist, wenn die Tat nicht nach einer anderen Bestimmung mit strengerer Strafe
bedroht ist, vom Gericht mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bis zu 720 Tagessätzen zu
bestrafen.
5. Hauptstück
Schlussbestimmungen
Durchführung und Umsetzung von Rechtsakten der EU
(1) Dieses  Bundesgesetz  dient  der  Durchführung  der  Verordnung  (EU) 2016/679  zum  Schutz
natürlicher  Personen  bei  der  Verarbeitung  personenbezogener  Daten,  zum  freien  Datenverkehr  und  zur
Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1.
(2) Dieses  Bundesgesetz  dient  weiters  der  Umsetzung  der  Richtlinie  (EU) 2016/680  zum  Schutz
natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum