VwGH Ra 2021/04/0009

Spruch:

Dem Gerichtshof der Europäischen Union (EuGH) werden nach Art. 267 AEUV folgende Fragen zur Vorabentscheidung vorgelegt:

Sind die Art. 77 und 79 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung ‑ DSGVO) vor dem Hintergrund der Ausführungen des EuGH in den Urteilen vom 12. Jänner 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, sowie vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, dahingehend auszulegen,

1. dass die innerstaatlich vorgesehene Möglichkeit der Zurückweisung einer Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO auf Grund der bereits zuvor erfolgten Einlegung eines gerichtlichen Rechtsbehelfs nach Art. 79 DSGVO in derselben Rechtssache und des Umstands der Anhängigkeit dieses Rechtsbehelfs bei Gericht eine zulässige Modalität zur Regelung des Zusammenspiels dieser Rechtsbehelfe (im Sinn der genannten Rechtsprechung des EuGH) darstellt,

und falls die erste Frage verneint wird,

2. dass die innerstaatlich vorgesehene Möglichkeit der Zurückweisung einer Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO auf Grund des Umstandes, dass in dem zur selben Rechtssache anhängig gemachten Verfahren über den gerichtlichen Rechtsbehelf nach Art. 79 DSGVO bereits eine (wenn auch noch nicht rechtskräftige) inhaltliche Entscheidung ergangen ist, eine zulässige Modalität zur Regelung des Zusammenspiels dieser Rechtsbehelfe (im Sinn der genannten Rechtsprechung des EuGH) darstellt?

Begründung

1. Sachverhalt und Ausgangsverfahren

1 1.1. Aus der vorliegend angefochtenen Entscheidung ergibt sich folgender den Revisionssachen zugrundeliegender Sachverhalt:

2 Die Ärztin GS (Zweitrevisionswerberin) begehrte am 3. Juli 2017 (gestützt auf die vor Inkrafttreten der DSGVO bestehende Rechtslage) von der D GmbH (Betreiberin einer Ärztesuchplattform, die es Dritten ermöglicht, Bewertungen und Erfahrungsberichte zu Ärzten abzugeben; Mitbeteiligte) die Löschung näher bezeichneter personenbezogener Daten. Dieses Löschungsbegehren wurde (mit Schreiben vom 10. Juli 2017) abgelehnt. Im November 2017 brachte die Zweitrevisionswerberin eine zivilgerichtliche Klage gegen die Mitbeteiligte ein, in der (unter anderem) eine Verletzung im Recht auf Datenschutz geltend gemacht und die Löschung der von der Mitbeteiligten veröffentlichten Daten der Zweitrevisionswerberin sowie die Unterlassung einer erneuten Verarbeitung beantragt wurde.

3 Nach Inkrafttreten der DSGVO begehrte die Zweitrevisionswerberin von der Mitbeteiligten mit Schreiben vom 22. Juni 2018 erneut die Löschung ihrer Daten auf der Plattform der Mitbeteiligten. Auch dieses Begehren wurde (mit Schreiben vom 6. Juli 2018) abgelehnt.

4 In der Folge erhob die Zweitrevisionswerberin am 26. Juli 2018 bei der Datenschutzbehörde (DSB, Erstrevisionswerberin) als Aufsichtsbehörde eine insbesondere auf Art. 17 DSGVO (Recht auf Löschung) gestützte, gegen die Mitbeteiligte gerichtete Beschwerde nach Art. 77 DSGVO. Darin begehrte sie, die DSB möge die Verletzung der Rechte der Zweitrevisionswerberin feststellen und die Mitbeteiligte verpflichten, alle Daten auf ihrer Plattform zu löschen sowie jede weitere Verarbeitung zu unterlassen.

5 1.2. Mit Bescheid vom 4. Jänner 2019 wies die DSB diese Beschwerde zurück.

6 Die DSB legte ihrer Entscheidung zugrunde, sowohl das (im November 2017 eingeleitete) gerichtliche Verfahren als auch das Verfahren vor der DSB würden auf denselben Gegenstand abstellen, nämlich die Löschung der Daten der Zweitrevisionswerberin von der Plattform der Mitbeteiligten. In rechtlicher Hinsicht ging die DSB davon aus, dass eine parallele oder sukzessive Verfahrensführung vor einer Aufsichtsbehörde und einem Gericht bei systematischer Betrachtungsweise dem Rechtsschutzmechanismus der DSGVO zuwiderlaufen würde. Die DSB müsste im gegenständlichen Verfahren aus datenschutzrechtlicher Sicht über dieselbe Frage absprechen wie das Zivilgericht. Eine gleichzeitige Inanspruchnahme des Beschwerderechts bei der Aufsichtsbehörde und des gerichtlichen Rechtsbehelfs in derselben Sache komme nicht in Betracht.

7 1.3. Mit dem angefochtenen Erkenntnis vom 4. Dezember 2020 gab das Bundesverwaltungsgericht (BVwG) der dagegen erhobenen Beschwerde der Zweitrevisionswerberin keine Folge.

8 Das BVwG legte seiner Entscheidung die Feststellungen der DSB zugrunde. In rechtlicher Hinsicht hielt das BVwG zunächst fest, in der DSGVO sei gewollt eine Zweigleisigkeit des Rechtsschutzes normiert worden. Da die DSGVO unmittelbar anwendbar sei, müssten entgegenstehende nationale Regelungen unangewendet bleiben. Eine Zurückweisung der auf Art. 77 DSGVO gestützten Beschwerde der Zweitrevisionswerberin aus den von der DSB genannten Gründen komme daher nicht in Betracht. Vielmehr sei die Entscheidungskompetenz der DSB grundsätzlich zu bejahen.

9 Anschließend verwies das BVwG auf die in § 24 Abs. 4 Datenschutzgesetz (DSG) vorgesehene Präklusionsregelung, der zufolge für die Geltendmachung von Datenschutzverletzungen eine subjektive Präklusionsfrist (ab Kenntnis des beschwerenden Ereignisses) von einem Jahr bestehe. Da die Zweitrevisionswerberin am 3. Juli 2017 in Kenntnis der Veröffentlichung ihrer Daten durch die Mitbeteiligte gewesen sei und im weiteren Verfahren kein zusätzliches wesentliches Sachverhaltselement behauptet worden sei, sei der Anspruch auf Behandlung ihrer auf Art. 77 DSGVO gestützten Beschwerde zum Zeitpunkt ihrer Einbringung am 26. Juli 2018 bereits erloschen gewesen. Die Änderung der Rechtslage (Inkrafttreten der DSGVO) bewirke keine Unterbrechung der Präklusionsfrist. Da auch eine verspätete Beschwerde nach Art. 77 DSGVO zu einer Zurückweisung führe, sei die Beschwerde der Zweitrevisionswerberin im Ergebnis zu Recht zurückgewiesen worden.

10 1.4. Wie sich dem (dem Verwaltungsgerichtshof vorliegenden) Verfahrensakt entnehmen lässt, war die zivilgerichtliche Klage der Zweitrevisionswerberin (auf Löschung der Daten) bereits zuvor mit erstinstanzlichem Urteil vom 23. Juli 2020 inhaltlich abgewiesen worden. Dieses Urteil war zum Zeitpunkt der Entscheidung des BVwG aber noch nicht in Rechtskraft erwachsen.

11 1.5. Gegen das Erkenntnis des BVwG erhoben sowohl die DSB als auch GS (nach Ablehnung der Behandlung ihrer Beschwerde durch den Verfassungsgerichtshof) Revision an den Verwaltungsgerichtshof.

12 Die Mitbeteiligte erstattete zu den beiden Revisionen eine gemeinsame Revisionsbeantwortung.

2. Maßgebliche Bestimmungen des Unionsrechts

13 Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung [DSGVO]), lauten auszugsweise:

„[Erwägungsgründe]

(11) Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen sowie eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, ebenso wie ‑ in den Mitgliedstaaten ‑ gleiche Befugnisse bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung.

[...]

(141) Jede betroffene Person sollte das Recht haben, bei einer einzigen Aufsichtsbehörde insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts eine Beschwerde einzureichen und gemäß Artikel 47 der Charta einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn sie sich in ihren Rechten gemäß dieser Verordnung verletzt sieht oder wenn die Aufsichtsbehörde auf eine Beschwerde hin nicht tätig wird, eine Beschwerde teilweise oder ganz abweist oder ablehnt oder nicht tätig wird, obwohl dies zum Schutz der Rechte der betroffenen Person notwendig ist. Die auf eine Beschwerde folgende Untersuchung sollte vorbehaltlich gerichtlicher Überprüfung so weit gehen, wie dies im Einzelfall angemessen ist. Die Aufsichtsbehörde sollte die betroffene Person innerhalb eines angemessenen Zeitraums über den Fortgang und die Ergebnisse der Beschwerde unterrichten. Sollten weitere Untersuchungen oder die Abstimmung mit einer anderen Aufsichtsbehörde erforderlich sein, sollte die betroffene Person über den Zwischenstand informiert werden. Jede Aufsichtsbehörde sollte Maßnahmen zur Erleichterung der Einreichung von Beschwerden treffen, wie etwa die Bereitstellung eines Beschwerdeformulars, das auch elektronisch ausgefüllt werden kann, ohne dass andere Kommunikationsmittel ausgeschlossen werden.

[...]

Artikel 17

Recht auf Löschung (,Recht auf Vergessenwerden‘)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

[...]

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

[...]

Artikel 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

[...]

Artikel 78

Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde

(1) Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.

[...]

Artikel 79

Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter

(1) Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

[...]

Artikel 81

Aussetzung des Verfahrens

[...]

(2) Ist ein Verfahren zu demselben Gegenstand in Bezug auf die Verarbeitung durch denselben Verantwortlichen oder Auftragsverarbeiter vor einem Gericht in einem anderen Mitgliedstaat anhängig, so kann jedes später angerufene zuständige Gericht das bei ihm anhängige Verfahren aussetzen.

(3) Sind diese Verfahren in erster Instanz anhängig, so kann sich jedes später angerufene Gericht auf Antrag einer Partei auch für unzuständig erklären, wenn das zuerst angerufene Gericht für die betreffenden Klagen zuständig ist und die Verbindung der Klagen nach seinem Recht zulässig ist.

[...]“

3. Maßgebliche Bestimmungen des nationalen Rechts

14 Art. 94 Bundes‑Verfassungsgesetz (B‑VG) BGBl. Nr. 1/1930 in der Fassung BGBl. I Nr. 114/2013, lautet auszugsweise:

„Artikel 94. (1) Die Justiz ist von der Verwaltung in allen Instanzen getrennt.

[...]“

15 § 24 Datenschutzgesetz (DSG), BGBl. I Nr. 165/1999, in der Fassung BGBl. I Nr. 120/2017, lautet auszugsweise:

„Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

[...]

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

[...]“

4. Vorlageberechtigung

16 Der Verwaltungsgerichtshof ist ein Gericht im Sinn des Art. 267 AEUV, dessen Entscheidungen selbst nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können.

5. Vorbemerkungen

17 5.1. Vorauszuschicken ist zum einen Folgendes: Das BVwG begründete die (Bestätigung der) Zurückweisung der Beschwerde der Zweitrevisionswerberin nach Art. 77 DSGVO (anders als die DSB) damit, dass die Beschwerde nach § 24 Abs. 4 DSG präkludiert gewesen sei.

18 Der Verwaltungsgerichtshof ist demgegenüber ‑ auch im Hinblick auf das mit der DSGVO verfolgte Ziel der Stärkung der Rechte der betroffenen Personen (vgl. etwa EuGH 12.1.2023, C‑132/21, Rn. 42) ‑ der Ansicht, dass im vorliegenden Fall, in dem die Zweitrevisionswerberin nach Inkrafttreten der DSGVO am 22. Juni 2018 erstmals von dem dargestellten Recht nach Art. 17 Abs. 1 DSGVO Gebrauch gemacht hat, die Frist des § 24 Abs. 4 DSG erst ab Kenntnis von der Ablehnung des darauf gestützten Verlangens (somit ab Zugang des die Ablehnung beinhaltenden E‑Mails der Mitbeteiligten vom 6. Juli 2018) zu laufen begonnen hat. Auf den Umstand, ab wann die Zweitrevisionswerberin Kenntnis von der zugrundeliegenden Datenverarbeitung gehabt hat, kommt es in diesem Zusammenhang nicht an.

19 Da die Begründung des BVwG die (Bestätigung der) Zurückweisung der auf Art. 77 DSGVO gestützten Beschwerde der Zweitrevisionswerberin somit nach Auffassung des Verwaltungsgerichtshofes nicht zu tragen vermag, ist vom Verwaltungsgerichtshof bei der Entscheidung der ihm vorliegenden Revisionssachen zu prüfen, ob die Zurückweisung dieser Beschwerde der Zweitrevisionswerberin aus anderen Gründen ‑ wie insbesondere aus dem von der DSB ins Treffen geführten Grund der Anhängigkeit der Rechtssache bei Gericht ‑ im Ergebnis rechtmäßig war. Im Zuge dieser Prüfung stellen sich nach Ansicht des Verwaltungsgerichtshofes die im gegenständlichen Ersuchen um Vorabentscheidung angeführten und im Folgenden näher erläuterten Fragen der Auslegung des Unionsrechts.

20 5.2. Zum anderen ist vorab anzumerken, dass der Verwaltungsgerichtshof keine Anhaltspunkte dafür hat, an der vom BVwG seiner Entscheidung zugrunde gelegten Beurteilung zu zweifeln, dass sowohl das gerichtliche Verfahren als auch das Verfahren vor der DSB hinsichtlich der Löschung der Daten denselben Gegenstand zum Inhalt haben (dass im gerichtlichen Verfahren ‑ über die behauptete Datenschutzverletzung hinaus ‑ weitere Ansprüche geltend gemacht worden sind, steht dieser Annahme nicht entgegen). Daran vermag das Vorbringen der Zweitrevisionswerberin, wonach im Hinblick auf allgemeine Überlegungen keine Identität des Streitgegenstandes vorliege, nichts zu ändern, weil damit den fallbezogen zugrunde zu legenden Feststellungen nicht substantiiert entgegengetreten wird.

6. Allgemeine Erläuterungen zu den Vorlagefragen

21 6.1. Der EuGH hat zur Auslegung der Art. 77 bis 79 DSGVO in seinem Urteil vom 12. Jänner 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, Folgendes festgehalten:

„29 Mit seinen Fragen möchte das vorlegende Gericht, das mit einer Klage nach Art. 78 Abs. 1 der Verordnung 2016/679 gegen einen Beschluss der Aufsichtsbehörde gemäß Art. 77 Abs. 1 befasst ist, somit wissen, ob nach der Verordnung das rechtskräftige Urteil eines gemäß Art. 79 Abs. 1 angerufenen Gerichts hinsichtlich der Feststellung, ob eine Verletzung der durch die Verordnung garantierten Rechte vorliegt, bindend ist.

[...]

34 Somit bieten diese Bestimmungen der Verordnung 2016/679 Personen, die einen Verstoß gegen diese Verordnung geltend machen, verschiedene Rechtsbehelfe, wobei jeder dieser Rechtsbehelfe „unbeschadet“ der anderen eingelegt werden können muss.

35 Zunächst ergibt sich aus dem Wortlaut dieser Bestimmungen, dass die Verordnung 2016/679 weder eine vorrangige oder ausschließliche Zuständigkeit vorsieht noch einen Vorrang der Beurteilung der genannten Behörde oder des genannten Gerichts zum Vorliegen einer Verletzung der durch diese Verordnung verliehenen Rechte. Der Rechtsbehelf nach Art. 78 Abs. 1 der Verordnung, dessen Gegenstand die Prüfung der Rechtmäßigkeit des gemäß Art. 77 der Verordnung erlassenen Beschlusses einer Aufsichtsbehörde ist, und der in Art. 79 Abs. 1 der Verordnung vorgesehene Rechtsbehelf können daher nebeneinander und unabhängig voneinander eingelegt werden.

36 Diese Feststellung wird durch den Kontext bestätigt, in den sich die in Rede stehenden Bestimmungen der Verordnung 2016/679 einfügen.

37 Während nämlich der Unionsgesetzgeber das Verhältnis zwischen den in der Verordnung 2016/679 vorgesehenen Rechtsbehelfen im Fall gleichzeitiger Befassung von Aufsichtsbehörden oder Gerichten mehrerer Mitgliedstaaten mit einer Verarbeitung personenbezogener Daten durch denselben Verantwortlichen ausdrücklich geregelt hat, ist dies bei den in den Art. 77 bis 79 dieser Verordnung vorgesehenen Rechtsbehelfen nicht der Fall.

38 Zum einen sehen die Art. 60 bis 63 der Verordnung 2016/679 Mechanismen der Zusammenarbeit, der gegenseitigen Amtshilfe und der Koordinierung vor, nach denen sich die Aufsichtsbehörden gegenseitig unterstützen, einander informieren und gemeinsame Maßnahmen durchführen, um eine kohärente und wirksame Anwendung der Verordnung in der gesamten Union sicherzustellen.

39 Zum anderen sieht Art. 81 Abs. 2 und 3 der Verordnung Regeln für Fälle vor, in denen mehrere Gerichte verschiedener Mitgliedstaaten angerufen werden.

40 Dagegen sind solche Regeln in der Verordnung 2016/679 nicht vorgesehen, wenn wegen derselben Verarbeitung personenbezogener Daten in ein und demselben Mitgliedstaat eine Beschwerde bei einer Aufsichtsbehörde und gerichtliche Rechtsbehelfe eingelegt werden.

[...]

42 Was schließlich die mit dieser Verordnung verfolgten Ziele betrifft, geht insbesondere aus dem zehnten Erwägungsgrund der Verordnung hervor, dass diese darauf abzielt, ein hohes Datenschutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union zu gewährleisten. Im elften Erwägungsgrund dieser Verordnung heißt es außerdem, dass ein wirksamer Schutz dieser Daten die Stärkung der Rechte der betroffenen Personen erfordert. Wie der Generalanwalt in Nr. 55 seiner Schlussanträge ausgeführt hat, steht die Entscheidung des Unionsgesetzgebers, den betroffenen Personen die Möglichkeit zu belassen, die zum einen in Art. 77 Abs. 1 und Art. 78 Abs. 1 der Verordnung 2016/679 und zum anderen in Art. 79 Abs. 1 dieser Verordnung vorgesehenen Rechtsbehelfe nebeneinander und unabhängig voneinander wahrzunehmen, im Einklang mit dem Ziel dieser Verordnung.

43 Die Verordnung 2016/679 erlegt nämlich u. a. den zuständigen Behörden der Mitgliedstaaten die Verpflichtung auf, für die in Art. 16 AEUV und Art. 8 der Charta garantierten Rechte ein hohes Schutzniveau zu gewährleisten. [...]

44 Die Bereitstellung mehrerer Rechtsbehelfe stärkt auch das im 141. Erwägungsgrund der Verordnung 2016/679 genannte Ziel, jeder betroffenen Person, die sich in ihren Rechten gemäß dieser Verordnung verletzt sieht, das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gemäß Art. 47 der Charta zu garantieren.

45 Mangels einer einschlägigen Unionsregelung ist es nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten Sache der einzelnen Mitgliedstaaten, die Modalitäten für das Verwaltungsverfahren und das Gerichtsverfahren zu regeln, die ein hohes Schutzniveau der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen.

46 Daher hat das vorlegende Gericht auf der Grundlage der nationalen Verfahrensvorschriften zu bestimmen, wie die von der Verordnung 2016/679 vorgesehenen Rechtsbehelfe in einem Fall wie dem im Ausgangsverfahren in Rede stehenden durchzuführen sind.

47 Allerdings dürfen die Modalitäten der Durchführung dieser nebeneinander bestehenden und voneinander unabhängigen Rechtsbehelfe die praktische Wirksamkeit und den wirksamen Schutz der durch diese Verordnung garantierten Rechte nicht in Frage stellen.

[...]

51 Die Mitgliedstaaten müssen daher sicherstellen, dass die konkreten Modalitäten für die Ausübung der in Art. 77 Abs. 1, Art. 78 Abs. 1 und Art. 79 Abs. 1 der Verordnung 2016/679 vorgesehenen Rechtsbehelfe das in Art. 47 der Charta niedergelegte Recht auf einen wirksamen Rechtsbehelf bei einem Gericht nicht unverhältnismäßig beeinträchtigen [...].

[...]

53 Daher kann nicht ausgeschlossen werden, dass die Entscheidungen dieser beiden Gerichte einander widersprechen, indem das eine einen Verstoß gegen die Verordnung 2016/679 und das andere das Fehlen eines solchen Verstoßes feststellt.

54 In diesem Fall würde zum einen das Vorliegen zweier einander widersprechender Entscheidungen das im zehnten Erwägungsgrund dieser Verordnung genannte Ziel in Frage stellen, eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sicherzustellen.

[...]

56 Zum anderen würde sich daraus eine Schwächung des Schutzes natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten ergeben, da eine solche Inkohärenz zu einer Situation der Rechtsunsicherheit führen würde.

57 Nach alledem ist auf die Vorlagefragen zu antworten, dass Art. 77 Abs. 1, Art. 78 Abs. 1 und Art. 79 Abs. 1 der Verordnung 2016/679 in Verbindung mit Art. 47 der Charta dahin auszulegen sind, dass sie es erlauben, die in Art. 77 Abs. 1 und Art. 78 Abs. 1 einerseits und in Art. 79 Abs. 1 andererseits vorgesehenen Rechtsbehelfe nebeneinander und unabhängig voneinander auszuüben. Im Einklang mit dem Grundsatz der Verfahrensautonomie obliegt es den Mitgliedstaaten, die Modalitäten des Zusammenspiels dieser Rechtsbehelfe zu regeln, um die Wirksamkeit des Schutzes der durch diese Verordnung garantierten Rechte, die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen sowie das in Art. 47 der Charta niedergelegte Recht auf einen wirksamen Rechtsbehelf bei einem Gericht zu gewährleisten.“

22 In seinem weiteren Urteil vom 7. Dezember 2023, SCHUFA Holding [Restschuldbefreiung], C‑26/22 und C‑64/22, hat der EuGH unter Bezugnahme auf das Urteil C‑132/21 Folgendes festgehalten:

„66 Was zweitens das in Art. 79 Abs. 1 DSGVO vorgesehene Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter betrifft, ist darauf hinzuweisen, dass nach der Rechtsprechung des Gerichtshofs der Rechtsbehelf nach Art. 78 Abs. 1 DSGVO und der in Art. 79 Abs. 1 DSGVO vorgesehene Rechtsbehelf nebeneinander und unabhängig voneinander eingelegt werden können [...]. In diesem Zusammenhang hat der Gerichtshof insbesondere festgestellt, dass die Bereitstellung mehrerer Rechtsbehelfe das im 141. Erwägungsgrund dieser Verordnung genannte Ziel stärkt, jeder betroffenen Person, die sich in ihren Rechten gemäß dieser Verordnung verletzt sieht, das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gemäß Art. 47 der Charta zu garantieren [...].

67 Daher ‑ und obwohl es nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten Sache der einzelnen Mitgliedstaaten ist, die Modalitäten des Zusammenspiels dieser Rechtsbehelfe zu regeln [...] ‑ hat die Existenz des in Art. 79 Abs. 1 DSGVO vorgesehenen Rechts auf einen wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter keine Auswirkung auf den Umfang der gerichtlichen Überprüfung, der ein Beschluss einer Aufsichtsbehörde über eine Beschwerde im Rahmen eines Rechtsbehelfs gemäß Art. 78 Abs. 1 DSGVO unterliegt.“

23 6.2. Nach der Verfassungsbestimmung des Art. 94 B‑VG ist in Österreich die Justiz von der Verwaltung in allen Instanzen getrennt. Aus dem in Art. 94 B‑VG verankerten Prinzip der Trennung der Justiz von der Verwaltung ergibt sich das Gebot, eine Angelegenheit (zur Gänze) zur Vollziehung entweder den Gerichten oder den Verwaltungsbehörden zuzuweisen (vgl. etwa VfGH 12.3.2019, G 190/2018, Rn. 111).

24 Nach der Rechtsprechung des österreichischen Verfassungsgerichtshofes kommt dem Gesetzgeber im Hinblick auf die im Unionsrecht zwingend vorgegebenen Rechtsschutzmöglichkeiten bei Datenschutzverletzungen einerseits mittels Beschwerde an die Aufsichtsbehörde und andererseits durch einen wirksamen gerichtlichen Rechtsbehelf innerstaatlich kein Umsetzungsspielraum zu (vgl. VfGH 13.12.2023, G 2012/2023 ua.).

25 Unstrittig ist somit, dass die österreichische Verfassungsbestimmung des Art. 94 B‑VG im Hinblick auf die unionsrechtlichen Vorgaben (fallbezogen der Art. 77 bis 79 DSGVO) der Einrichtung der DSB als zuständige Aufsichtsbehörde neben der Zuständigkeit der ordentlichen Gerichte nicht entgegensteht. Im Einklang damit steht es einer betroffenen Person (im datenschutzrechtlichen Sinn) frei, entweder eine Beschwerde im Verwaltungsweg an die gemäß Art. 77 DSGVO eingerichtete DSB zu erheben oder sich mit einer Klage an die Zivilgerichte zu wenden, wobei beide Rechtswege einen (voneinander unabhängigen) gerichtlichen Instanzenzug vorsehen.

26 6.3. Die Bedeutung des Art. 94 B‑VG lässt sich allerdings nicht auf ein Verbot der Einrichtung von Parallelzuständigkeiten reduzieren.

27 6.3.1. So hat der Verfassungsgerichtshof festgehalten, dass über ein und dieselbe Frage nicht sowohl Gerichte als auch Verwaltungsbehörden, sei es im gemeinsamen Zusammenwirken, sei es im instanzenmäßig gegliederten Nacheinander, entscheiden dürfen (vgl. etwa VfGH 16.12.2010, G 259/09 ua., Pkt. III.A.2.5.). Eine materielle Überprüfung oder Korrektur gerichtlicher Entscheidungen bleibt einer Verwaltungsbehörde ‑ als mit dem Grundsatz der Trennung von Justiz und Verwaltung unvereinbar ‑ verwehrt (vgl. dazu VfGH 4.10.2006, B 742/06, Pkt. III.1.5.). Eine gesetzliche Regelung, die anordnet, dass das ordentliche Gericht nach seiner Prüfung den Bescheid der Verwaltungsbehörde allenfalls aufheben oder abändern kann, steht mit dem Grundsatz des Art. 94 B‑VG über die Trennung von Justiz und Verwaltung und der daraus abzuleitenden Selbständigkeit der Behörden beider Ordnungen nicht im Einklang (vgl. VfGH 14.6.1985, G 17/85). Ebenso würde eine Regelung, nach der ein und dieselbe Rechtsfrage je nach den zufälligen Umständen des Einzelfalles entweder vom Gericht oder von der Verwaltungsbehörde zu entscheiden ist, Art. 94 B‑VG widersprechen (vgl. VfGH 15.3.1973, G 46/72). Art. 94 B‑VG lässt es somit nicht zu, dass über dieselbe Sache Gerichte und Verwaltungsbehörden nebeneinander oder nacheinander entscheiden (vgl. VfGH 14.10.1970, G 20/70). In der Literatur wird dazu festgehalten, dass durch den Trennungsgrundsatz die Unabhängigkeit beider Gewalten (voneinander) sichergestellt werden soll (vgl. etwa Khakzadeh‑Leiler, in Kneihs/Lienbacher [Hrsg.], BVR [2013] Art. 94, Rn. 23 und 35).

28 Zudem hat der Verwaltungsgerichtshof im Zusammenhang mit der Verhängung einer Ordnungsstrafe wegen einer (in einer Eingabe erfolgten) beleidigenden Schreibweise, die sich mangels Trennbarkeit der Formulierung auf mehrere Angelegenheiten bezog und die Zuständigkeit mehrerer Behörden zur Folge hatte, festgehalten, dass diesfalls das Zuvorkommen entscheidet, zumal mit der einmaligen Verhängung einer Ordnungsstrafe der Zweck der Maßnahme erfüllt ist (vgl. VwGH 25.3.1987, 86/11/0145, 0150 [verstärkter Senat]; weiters VwGH 16.10.2014, Ra 2014/06/0004).

29 Vor dem Hintergrund dieser Rechtsprechung lässt sich jedenfalls annehmen, dass in einer Konstellation, in der über eine Sache (wie vorliegend in einem nach Art. 79 DSGVO geführten Verfahren) bereits ein ‑ wenn auch nicht rechtskräftiges ‑ gerichtliches Urteil vorliegt, eine weitere Entscheidung in dieser Sache durch eine Aufsichtsbehörde (oder durch ein im Wege des Art. 78 DSGVO zuständig gewordenes Gericht) unzulässig wäre. Somit wäre die auf Art. 77 DSGVO gestützte Beschwerde ‑ gemessen an den nationalen Vorgaben ‑ aufgrund des Vorliegens einer inhaltlichen Entscheidung in dieser Sache (nach dem Grundsatz des Zuvorkommens) zurückzuweisen. Die Unionsrechtskonformität einer derartigen Vorgehensweise ist Gegenstand der zweiten Vorlagefrage.

30 6.3.2. Darüber hinaus hat der Verfassungsgerichtshof im Zusammenhang mit Art. 94 B‑VG festgehalten, dass es der Verfassung widerspricht, wenn die gesetzliche Regelung so beschaffen ist, dass ein und dieselbe Rechtssache von Vollziehungsorganen verschiedenen Typs ‑ somit sowohl von einem Gericht als auch von einer Verwaltungsbehörde ‑ behandelt werden kann (vgl. dazu VfGH 12.3.2019, G 190/2018, Rn. 112). Das Gesetz darf nicht vorsehen, dass ein und dieselbe Sache von Vollziehungsorganen verschiedenen Typs, also sowohl von einem Gericht als auch von einer Verwaltungsbehörde, ‑ nebeneinander oder nacheinander ‑ behandelt werden kann, ohne dass das Gesetz selbst objektiv erfassbare Voraussetzungen dafür aufstellt, wann die Zuständigkeit des einen oder des anderen Vollziehungsorgans gegeben ist (vgl. VfGH 6.12.2003, G 147/01, Pkt. II.2.2.2.).

31 Vor dem Hintergrund dieser innerstaatlichen Rechtslage ergibt sich, dass nach österreichischem Recht bereits die Anhängigkeit (und damit die Behandlung) einer Rechtssache bei einem (nach Art. 79 DSGVO zuständigen) Gericht der Zulässigkeit der Behandlung dieser Rechtssache aufgrund einer (danach eingelegten) Beschwerde nach Art. 77 DSGVO durch die Aufsichtsbehörde entgegensteht. Diesfalls wäre die auf Art. 77 DSGVO gestützte Beschwerde somit ‑ wiederum gemessen an den nationalen Vorgaben ‑ aufgrund der bereits zuvor eingetretenen Anhängigkeit dieser Rechtssache bei einem Gericht zurückzuweisen. Die Unionsrechtskonformität einer derartigen Vorgehensweise ist Gegenstand der ersten Vorlagefrage.

7. Erläuterungen zur ersten Vorlagefrage

32 Nach den Ausführungen des EuGH in seinem bereits dargestellten Urteil C‑132/21 sind die Art. 77 bis 79 DSGVO dahin auszulegen, dass sie es „erlauben“, die in Art. 77 Abs. 1 und Art. 78 Abs. 1 DSGVO einerseits und in Art. 79 Abs. 1 DSGVO andererseits vorgesehenen Rechtsbehelfe nebeneinander und unabhängig voneinander auszuüben bzw. einzulegen. Im Einklang mit dem Grundsatz der Verfahrensautonomie obliegt es aber den Mitgliedstaaten, die Modalitäten des Zusammenspiels dieser Rechtsbehelfe zu regeln, um die Wirksamkeit des Schutzes der durch diese Verordnung garantierten Rechte, die gleichmäßige und einheitliche Anwendung ihrer Bestimmungen sowie das in Art. 47 der Charta niedergelegte Recht auf einen wirksamen Rechtsbehelf bei einem Gericht zu gewährleisten (Rn. 35 und Tenor).

33 Dem Verwaltungsgerichtshof stellt sich die Frage, ob es eine zulässige innerstaatliche Modalität im Sinn dieser Rechtsprechung darstellt, wenn eine Beschwerde nach Art. 77 DSGVO (ohne Eingehen in die Sache) zurückgewiesen wird, weil in derselben Rechtssache bereits zuvor ein wirksamer gerichtlicher Rechtsbehelf nach Art. 79 DSGVO eingelegt wurde und das Verfahren darüber noch bei Gericht anhängig ist.

34 Insbesondere ist darauf hinzuweisen, dass der EuGH in seinem (oben auszugsweise wiedergegebenen) Urteil vom 12. Jänner 2023, C‑132/21, Rn. 54 ff, ausführt, dass „das Vorliegen zweier einander widersprechender Entscheidungen das im zehnten Erwägungsgrund dieser Verordnung genannte Ziel in Frage stellen [würde], eine unionsweit gleichmäßige und einheitliche Anwendung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sicherzustellen“ und ferner, dass „sich daraus eine Schwächung des Schutzes natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten ergeben [würde], da eine solche Inkohärenz zu einer Situation der Rechtsunsicherheit führen würde“. Soll das Vorliegen einander widersprechender Entscheidungen verhindert werden, so bietet sich vor dem Hintergrund der innerstaatlichen Rechtslage die Möglichkeit, einander widersprechende Entscheidungen der voneinander unabhängig agierenden Organe der Zivilgerichte und der Verwaltungsbehörden (samt verwaltungsgerichtlichen Instanzen) zu verhindern, indem im Ergebnis ähnlich wie Art. 81 Abs. 2 und 3 DSGVO bei Anhängigmachung ein und desselben Streitgegenstandes vor den Zivilgerichten und der Verwaltungsbehörde von dem zum späteren Zeitpunkt angerufenen Organ mit Zurückweisung vorgegangen wird.

35 Für die Zulässigkeit einer solchen Vorgehensweise spricht insbesondere, dass der EuGH im zitierten Urteil C‑132/21, Rn. 37 ff, zur Begründung dafür, dass die Rechtsbehelfe nebeneinander und unabhängig voneinander eingelegt werden können, unter anderem auf das Fehlen von Regelungen abgestellt hat, wie sie die Art. 60 bis 63 bzw. Art. 81 DSGVO zur Zusammenarbeit mehrerer Aufsichtsbehörden bzw. mehrerer Gerichte aus unterschiedlichen Mitgliedstaaten enthalten. Die Art. 60 bis 63 DSGVO dienen ‑ wie der EuGH zum Ausdruck bringt ‑ durch Normierung wechselseitiger Unterstützungs‑ und Informationspflichten dem Ziel, eine kohärente und wirksame Anwendung der DSGVO sicherzustellen. Art. 81 Abs. 2 und 3 DSGVO sieht für den Fall der Anhängigkeit von Verfahren zum selben Gegenstand bei Gerichten mehrerer Mitgliedstaaten (unter näher bestimmten Voraussetzungen) die Möglichkeit der Aussetzung des Verfahrens durch das später angerufene Gericht bzw. die Möglichkeit einer Unzuständigkeitserklärung durch ein Gericht vor. Diese Regelungen können dafür sprechen, dass die für den Fall des Zusammenwirkens von Aufsichtsbehörde und Gericht in einem Mitgliedstaat national vorzusehenden Modalitäten ebenfalls bereits auf der Stufe der Anhängigkeit der Verfahren bei beiden Instanzen (Aufsichtsbehörde und Gericht) ansetzen können. Auch wenn die hier maßgebliche innerstaatliche Modalität mit den in der DSGVO für den zwischenstaatlichen Bereich vorgesehenen Mechanismen nicht völlig deckungsgleich ist, erscheint es vor dem Hintergrund ihrer Zielsetzung (eine kohärente Anwendung der DSGVO sicherzustellen) vertretbar, sie als zulässig anzusehen.

36 Zudem ist darauf hinzuweisen, dass ‑ auch wenn der vom EuGH begründend ins Treffen geführte Grundsatz des effektiven Rechtsschutzes primär die Situation der die Rechtsbehelfe in Anspruch nehmenden, von der Datenverarbeitung betroffenen Person vor Augen hat ‑ auch dem als Beschwerdegegner herangezogenen Verantwortlichen ein Recht auf eine effektive Verfahrensführung zugebilligt werden muss, das durch zwei parallele Verfahren (sowohl vor der Aufsichtsbehörde als auch vor Gericht) über denselben Gegenstand beeinträchtigt werden kann. So können etwa Kosten für die Rechtsvertretung für zwei parallel geführte Verfahren eine nicht unerhebliche Belastung darstellen.

37 Im Fall einer Zurückweisung einer Beschwerde nach Art. 77 DSGVO allein aufgrund der Anhängigkeit eines gerichtlichen Rechtsbehelfs gibt es zum Zeitpunkt der Zurückweisung allerdings noch keine inhaltliche Entscheidung über die behauptete Datenschutzverletzung und es besteht daher zu diesem Zeitpunkt auch noch keine Gefahr einander widersprechender Entscheidungen. Zudem hat der EuGH im zitierten Urteil C‑26/22 ua. festgehalten, dass die Existenz des in Art. 79 Abs. 1 DSGVO vorgesehenen Rechts auf einen wirksamen gerichtlichen Rechtsbehelf keine Auswirkung auf den Umfang der gerichtlichen Überprüfung hat, der ein Beschluss einer Aufsichtsbehörde über eine Beschwerde im Rahmen eines Rechtsbehelfs gemäß Art. 78 Abs. 1 DSGVO unterliegt (Rn. 67).

38 Für den Verwaltungsgerichtshof ist die Auslegung der genannten Bestimmungen jedenfalls nicht derart offenkundig, dass für einen vernünftigen Zweifel kein Raum bleibt.

8. Erläuterungen zur zweiten Vorlagefrage

39 Sollte der EuGH die erste Vorlagefrage verneinen, so stellt sich für den Verwaltungsgerichtshof im nächsten Schritt die Frage, ob es eine zulässige innerstaatliche Modalität im Sinn dieser Rechtsprechung darstellt, wenn eine Beschwerde nach Art. 77 DSGVO zurückgewiesen wird, weil in dem zur selben Rechtssache anhängig gemachten Verfahren über den wirksamen gerichtlichen Rechtsbehelf nach Art. 79 DSGVO bereits eine (wenn auch noch nicht rechtskräftige) inhaltliche gerichtliche Entscheidung ergangen ist.

40 Zu dieser Frage ist zunächst Folgendes vorauszuschicken: Für die Prüfung des Erkenntnisses eines Verwaltungsgerichtes durch den Verwaltungsgerichtshof ist stets die Sach‑ und Rechtslage zum Zeitpunkt der Erlassung der angefochtenen Entscheidung (und nicht zum Zeitpunkt der Entscheidung des Verwaltungsgerichtshofes) maßgeblich (vgl. etwa VwGH 1.9.2022, Ra 2021/09/0130, Rn. 27). Das BVwG hat demgegenüber auch bei der Beurteilung der Zulässigkeit einer Zurückweisung die Sach‑ und Rechtslage im Zeitpunkt seiner Entscheidung zu berücksichtigen (vgl. etwa VwGH 28.1.2016, Ra 2015/07/0070). Ausgehend davon ist es für das BVwG zunächst unerheblich, dass zum Zeitpunkt der Bescheiderlassung durch die DSB noch keine gerichtliche Entscheidung in dieser Rechtssache vorlag. Zum Zeitpunkt der Entscheidung des BVwG lag jedoch bereits eine inhaltliche gerichtliche Entscheidung (in dem nach Art. 79 DSGVO eingeleiteten Verfahren) vor. Dieser Umstand war für das BVwG (und damit auch für den Verwaltungsgerichtshof bei der Beurteilung der gegenständlichen Revisionen) beachtlich.

41 Für eine Zulässigkeit der in Rn. 38 dargestellten Modalität spricht nach Ansicht des Verwaltungsgerichtshofes wiederum, dass der EuGH (wie oben dargelegt) das Vorliegen einander widersprechender Entscheidungen (in einer Rechtssache) als mit den Zielsetzungen der DSGVO nicht in Einklang stehend erachtet hat. Die Zurückweisung einer an die Aufsichtsbehörde gerichteten Beschwerde ab dem Zeitpunkt des Vorliegens einer inhaltlichen Entscheidung in dem nach Art. 79 DSGVO eingeleiteten gerichtlichen Verfahren trägt diesem Ziel der Vermeidung einander widersprechender Entscheidungen jedenfalls Rechnung.

42 Gegen die unionsrechtliche Zulässigkeit einer derartigen Modalität ließe sich einwenden, dass durch das Abstellen auf eine noch nicht rechtskräftige Entscheidung für die betroffene Person noch keine Sicherheit hinsichtlich des Bestandes dieser Entscheidung eingetreten ist. Hinzuweisen ist zudem darauf, dass es in der dem zitierten Urteil C‑132/21 zugrundeliegenden Konstellation ein rechtskräftiges Urteil eines gemäß Art. 79 DSGVO angerufenen Gericht gab (an welches das dort vorlegende, gemäß Art. 78 DSGVO angerufene Gericht allerdings nicht gebunden war), ohne dass diesem Umstand bei der Antwort auf die dort gestellte Vorlagefrage eine ausdrückliche Bedeutung beigemessen worden wäre.

43 Im Ergebnis ist somit auch diese Frage für den Verwaltungsgerichtshof nicht völlig eindeutig zu beantworten.

9. Ergebnis

44 Da die Anwendung des Unionsrechts und dessen Auslegung nicht als derart offenkundig erscheinen, dass für einen vernünftigen Zweifel kein Raum bleibt (vgl. EuGH 6.10.1982, C.I.L.F.I.T. ua., C‑283/81; 6.10.2021, Consorzio Italian Management, C‑561/19, Rn. 39 ff), werden die eingangs formulierten Vorlagefragen gemäß Art. 267 AEUV mit dem Ersuchen um Vorabentscheidung vorgelegt.

Wien, am 17. Mai 2024