Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum26.09.2022GeschäftszahlG200/2022 uaLeitsatzZurückweisung des Antrags auf Aufhebung einer Bestimmung des DSG betreffend die Zuständigkeit der Datenschutzbehörde sowie das Privileg der Medien bei der Verarbeitung personenbezogener Daten wegen zu engen AnfechtungsumfangsRechtssatzDer Antrag des Bundesverwaltungsgerichts (BVwG) auf Aufhebung näher bezeichneter Wortfolgen des Art2 §9 Abs1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG) idF BGBl I 24/2018 (Datenschutz-Deregulierungsgesetz 2018) wird zurückgewiesen.Der Antrag des Bundesverwaltungsgerichts (BVwG) auf Aufhebung näher bezeichneter Wortfolgen des Art2 §9 Abs1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG) in der Fassung Bundesgesetzblatt Teil eins, 24 aus 2018, (Datenschutz-Deregulierungsgesetz 2018) wird zurückgewiesen.Das antragstellende Gericht bringe vor, es sei verfassungswidrig, dass der Datenschutzbehörde im vorliegenden Fall keine Zuständigkeit zukomme. Soweit das antragstellende Gericht in seinem Hauptantrag (lediglich) die Aufhebung der Wortfolge "die Bestimmungen dieses Bundesgesetzes sowie" begehre, übersehe es, dass sich die Zuständigkeit der Datenschutzbehörde nicht aus dem Datenschutzgesetz, sondern ausschließlich aus der DSGVO, konkret aus deren Kapitel VI, ergebe. Die im Hauptantrag begehrte Aufhebung erweise sich somit als zu eng gefasst.Das antragstellende Gericht bringe vor, es sei verfassungswidrig, dass der Datenschutzbehörde im vorliegenden Fall keine Zuständigkeit zukomme. Soweit das antragstellende Gericht in seinem Hauptantrag (lediglich) die Aufhebung der Wortfolge "die Bestimmungen dieses Bundesgesetzes sowie" begehre, übersehe es, dass sich die Zuständigkeit der Datenschutzbehörde nicht aus dem Datenschutzgesetz, sondern ausschließlich aus der DSGVO, konkret aus deren Kapitel römisch VI, ergebe. Die im Hauptantrag begehrte Aufhebung erweise sich somit als zu eng gefasst.In gleicher Weise sei der erste Eventualantrag zu eng gefasst, weil sich die behauptete Verfassungswidrigkeit durch die Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "VI (Unabhängige Aufsichtsbehörden)," sowie "und IX (Vorschriften für besondere Verarbeitungssituationen)" nicht beseitigen lasse. Weiterhin nicht anwendbar sei nämlich Kapitel II DSGVO, weswegen der Datenschutzbehörde der inhaltliche Beurteilungsmaßstab für ihre Entscheidung fehlte. Sie habe diesfalls "im rechtsfreien Raum" zu entscheiden, was insbesondere Art18 B‑VG widerspreche.In gleicher Weise sei der erste Eventualantrag zu eng gefasst, weil sich die behauptete Verfassungswidrigkeit durch die Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "VI (Unabhängige Aufsichtsbehörden)," sowie "und römisch IX (Vorschriften für besondere Verarbeitungssituationen)" nicht beseitigen lasse. Weiterhin nicht anwendbar sei nämlich Kapitel römisch II DSGVO, weswegen der Datenschutzbehörde der inhaltliche Beurteilungsmaßstab für ihre Entscheidung fehlte. Sie habe diesfalls "im rechtsfreien Raum" zu entscheiden, was insbesondere Art18 B‑VG widerspreche.Schließlich sei auch der zweite Eventualantrag auf Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "II (Grundsätze),", "VI (Unabhängige Aufsichtsbehörden)," sowie "und IX (Vorschriften für besondere Verarbeitungssituationen)" zu eng gewählt. Bei diesem Antrag übersehe das antragstellende Gericht, dass durch den unveränderten Ausschluss des Kapitels III DSGVO ein unsachliches Ergebnis erzielt würde: Es könnten diesfalls nämlich lediglich die in §1 Abs3 DSG genannten Rechte Gegenstand eines Verfahrens vor der Datenschutzbehörde sein, nicht hingegen die über §1 Abs3 DSG hinausreichenden, in Kapitel III DSGVO genannten Rechte. Es könnten somit lediglich behauptete Verletzungen in den Rechten auf Auskunft, Richtigstellung und Löschung vor der Datenschutzbehörde geltend gemacht werden, nicht jedoch behauptete Verletzungen in den Rechten auf Information (Art13 und 14 DSGVO), Einschränkung der Verarbeitung (Art18 DSGVO), Datenübertragbarkeit (Art20 DSGVO), Widerspruch (Art21 DSGVO) und automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art22 DSGVO).Schließlich sei auch der zweite Eventualantrag auf Aufhebung der Wortfolgen "die Bestimmungen dieses Bundesgesetzes sowie", "II (Grundsätze),", "VI (Unabhängige Aufsichtsbehörden)," sowie "und römisch IX (Vorschriften für besondere Verarbeitungssituationen)" zu eng gewählt. Bei diesem Antrag übersehe das antragstellende Gericht, dass durch den unveränderten Ausschluss des Kapitels römisch III DSGVO ein unsachliches Ergebnis erzielt würde: Es könnten diesfalls nämlich lediglich die in §1 Abs3 DSG genannten Rechte Gegenstand eines Verfahrens vor der Datenschutzbehörde sein, nicht hingegen die über §1 Abs3 DSG hinausreichenden, in Kapitel römisch III DSGVO genannten Rechte. Es könnten somit lediglich behauptete Verletzungen in den Rechten auf Auskunft, Richtigstellung und Löschung vor der Datenschutzbehörde geltend gemacht werden, nicht jedoch behauptete Verletzungen in den Rechten auf Information (Art13 und 14 DSGVO), Einschränkung der Verarbeitung (Art18 DSGVO), Datenübertragbarkeit (Art20 DSGVO), Widerspruch (Art21 DSGVO) und automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art22 DSGVO).Der VfGH teilt zunächst die Auffassung der Datenschutzbehörde, dass der Hauptantrag und der erste Eventualantrag jedenfalls zu eng gefasst sind. Darüber hinaus erweist sich auch der zweite Eventualantrag als unzulässig. Das BVwG verkennt, dass die von ihm angefochtenen Wortfolgen mit den sonstigen Bestimmungen des §9 Abs1 DSG in einem untrennbaren Zusammenhang stehen. Das BVwG hätte aus diesem Grund §9 Abs1 DSG zur Gänze anfechten müssen.European Case Law IdentifierECLI:AT:VFGH:2022:G200.2022

Relevante Rechtsvorschrift:
Verstöße  gegen  Bestimmungen  der  DSGVO  und  des  § 1  oder  Artikel 2  1. Hauptstück  durch  Personen
begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und
eine Führungsposition innerhalb der juristischen Person aufgrund
1. der Befugnis zur Vertretung der juristischen Person,
2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
3. einer Kontrollbefugnis innerhalb der juristischen Person
innehaben.
(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder
Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle
durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige
Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden
strafbaren Handlung bildet.
(3) Die  Datenschutzbehörde  hat  von  der  Bestrafung  eines  Verantwortlichen  gemäß  § 9  des
Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991 , abzusehen, wenn für denselben Verstoß bereits
eine Verwaltungsstrafe gegen die juristische Person verhängt wird.