BVwG W101 2308679-1

Spruch:

W101 2308679-1/2E

BESCHLUSS

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde der XXXX , vertreten durch die SUMMER SCHERTLER KAUFMANN RECHTSANWÄLTE GmbH, wegen Verletzung der Entscheidungspflicht der Datenschutzbehörde betreffend die am 18.06.2024 eingebrachte Datenschutzbeschwerde beschlossen:

A)

Die Säumnisbeschwerde wird gemäß Art. 56 und 60 DSGVO iVm § 24 Abs. 10 Z 2 DSG als unzulässig zurückgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung:

I. Verfahrensgang:

Mit Schreiben vom 10.06.2024 (eingelangt am 18.06.2024) brachte XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX . (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) bei der Datenschutzbehörde ein, weil sie in ihrem Recht auf Auskunft verletzt worden sei. Sie begründete ihre Beschwerde im Wesentlichen folgendermaßen:

Die Beschwerdeführerin habe auf der Website der mitbeteiligten Partei über einen längeren Zeitraum an dem dort angebotenen Online-Glücksspiel teilgenommen und in diesem Zusammenhang eine Auskunft über ihre bei der mitbeteiligten Partei durchgeführten Ein- und Auszahlungen sowie weitere Informationen begehrt. In der Folge habe die mitbeteiligte Partei am 24.04.2024 lediglich eine unvollständige Transaktionsliste übermittelt und erachte sich die Beschwerdeführerin somit in ihrem Recht auf Auskunft gemäß Art. 15 DSGVO verletzt, da eine unvollständige Auskunft erteilt worden sei.

Am 29.01.2025 erhob die Beschwerdeführerin eine Säumnisbeschwerde und brachte im Wesentlichen vor:

Die Datenschutzbehörde habe – seit dem Einlangen der verfahrensgegenständlichen Datenschutzbeschwerde am 18.06.2024 – weder die Beschwerde erledigt, noch ein Verfahren nach Art. 56 ff DSGVO eingeleitet. Die Datenschutzbehörde sei somit ihrer Entscheidungspflicht nicht binnen sechs Monaten nachgekommen.

Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge

1. über die am 18.06.2024 eingebrachte Datenschutzbeschwerde in der Sache entscheiden und

2. in eventu gemäß § 24 Abs. 1 VwGVG eine öffentliche mündliche Verhandlung durchführen.

Mit Schreiben vom 19.02.2025 teilte die Datenschutzbehörde der Beschwerdeführerin im Wesentlichen mit, dass sie zwischenzeitlich ein Verfahren gemäß Art. 56 DSGVO eingeleitet habe.

Mit Stellungnahme vom 20.02.2025 legte die Datenschutzbehörde den Verwaltungsakt dem Bundesverwaltungsgericht vor, bestritt das Vorbringen der Beschwerdeführerin und führte ergänzend aus:

Es liege eine „grenzüberschreitende Verarbeitung“ gemäß Art. 4 Z 23 DSGVO vor und sei die XXXX Aufsichtsbehörde die mutmaßlich zuständige federführende Aufsichtsbehörde. In die Entscheidungsfrist werde die Dauer eines Verfahrens nach Art. 60 DSGVO nicht eingerechnet, dabei übersehe die Datenschutzbehörde nicht, dass das Verfahren nach Art. 56 und 60 DSGVO im Zeitpunkt der Erhebung der Säumnisbeschwerde noch nicht eingeleitet gewesen sei. Da die Durchführung eines solchen Verfahrens jedoch nicht im Ermessen der Datenschutzbehörde liege, komme es bei Vorliegen der gesetzlichen Voraussetzungen automatisch zur Einleitung eines solchen Verfahrens. Das Bundesverwaltungsgericht habe in einem vergleichbaren Fall bereits festgehalten, dass die Hemmung der Entscheidungsfrist gemäß § 24 Abs. 10 Z 2 DSG nicht erst mit der Einleitung des Verfahrens nach Art. 56 und 60 DSGVO eintrete, sondern vielmehr bereits mit der Einbringung einer Datenschutzbeschwerde, welche eine grenzüberschreitende Verarbeitung zum Gegenstand habe. Vor diesem Hintergrund liege keine Säumnis vor.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die Beschwerdeführerin erhob am 18.06.2024 eine Datenschutzbeschwerde gegen die XXXX mit Sitz in XXXX wegen einer behaupteten Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO.

In der Folge hat die Beschwerdeführerin am 29.01.2025 die gegenständliche Säumnisbeschwerde betreffend ihren Antrag vom 18.06.2024 auf bescheidmäßige Erledigung erhoben.

Die Datenschutzbehörde übermittelte mit 17.02.2025 der gemäß der DSGVO eingerichteten XXXX Aufsichtsbehörde via der IT-Kooperationsplattform „Internal Market Information System“ (kurz „IMI“) die Datenschutzbeschwerde des Beschwerdeführers und teilte dieser mit, dass die Zuständigkeit der XXXX Behörde als federführende Aufsichtsbehörde angenommen werde.

Maßgebend ist, dass die Datenschutzbehörde am 29.01.2025 – zum Zeitpunkt der Einbringung der Säumnisbeschwerde – noch nicht säumig gewesen ist.

2. Beweiswürdigung:

Die obigen Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungs- und Gerichtsakt, insbesondere der Datenschutzbeschwerde vom 18.06.2024, der Säumnisbeschwerde vom 29.01.2025 und dem IMI-Report Nr. 736218.1.

Der maßgebliche Sachverhalt hat auf Grund der vorliegenden Aktenlage zweifelsfrei und vollständig festgestellt werden können.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 3 B-VG erkennen die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht durch eine Verwaltungsbehörde.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gegenständlich liegt somit Senatszuständigkeit vor.

3.2. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

3.3. Zu A)

3.3.1 Anzuwendende Rechtsalge:

3.3.1.1. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4 DSGVO – Begriffsbestimmungen:

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. - 6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. - 20. (…)

21. „Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle;

22. „betroffene Aufsichtsbehörde“ eine Aufsichtsbehörde, die von der Verarbeitung personenbezogener Daten betroffen ist, weil

a) der Verantwortliche oder der Auftragsverarbeiter im Hoheitsgebiet des Mitgliedstaats dieser Aufsichtsbehörde niedergelassen ist,

b) (…)

c) eine Beschwerde bei dieser Aufsichtsbehörde eingereicht wurde;

23. „grenzüberschreitende Verarbeitung“ entweder

a) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder

b) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann;

24. - 26. (…).

Artikel 55 DSGVO – Zuständigkeit:

(1) Jede Aufsichtsbehörde ist für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.

(2) - (3) (…)

Artikel 56 DSGVO – Zuständigkeit der federführenden Aufsichtsbehörde:

(1) Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.

(2) Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.

(3) In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.

(4) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.

(5) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.

(6) Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.

Artikel 60 DSGVO – Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden:

(1) Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.

(2) Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.

(3) Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.

(4) Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.

(5) Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.

(6) Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.

(7) Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.

(8) Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.

(9) Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.

(10) Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.

(11) Hat — in Ausnahmefällen — eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.

(12) Die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden übermitteln einander die nach diesem Artikel geforderten Informationen auf elektronischem Wege unter Verwendung eines standardisierten Formats.

3.3.1.2. Die maßgebende Bestimmung des DSG:

Beschwerde an die Datenschutzbehörde:

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) - (7) (…)

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) (…)

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.“

3.3.2. Zurückweisung der Säumnisbeschwerde:

Die Beschwerdeführerin moniert gegenständlich, dass die Datenschutzbehörde nicht innerhalb von sechs Monaten über ihren Antrag entschieden habe und somit säumig sei.

Gemäß Art. 130 Abs. 1 Z 3 B-VG erkennen die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht (Säumnisbeschwerde) durch eine Verwaltungsbehörde. Gemäß Art. 132 Abs. 3 B-VG kann Beschwerde wegen Verletzung der Entscheidungspflicht erheben, wer im Verwaltungsverfahren als Partei zur Geltendmachung der Entscheidungspflicht berechtigt zu sein behauptet.

Gemäß § 8 Abs. 1 VwGVG kann eine Beschwerde wegen Verletzung der Entscheidungspflicht erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der Stelle eingelangt ist, bei der er einzubringen war. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.

Die Zulässigkeit einer Säumnisbeschwerde setzt die Säumnis der vor dem Verwaltungsgericht belangten Behörde voraus, deren Entscheidungspflicht geltend gemacht wird, und somit die Verpflichtung dieser Behörde, über den bei ihr eingebrachten Antrag mittels Bescheid zu entscheiden (vgl. VwGH 09.06.2020, Ra 2020/10/0016). Fehlt es an der Säumnis der Behörde, so ist die Säumnisbeschwerde zurückzuweisen (vgl. VwGH 28.3.2019, Ra 2018/14/0286; 10.12.2018, Ro 2018/12/0017).

Art. 55 Abs. 1 DSGVO sieht vor, dass jede Aufsichtsbehörde grundsätzlich für die Erfüllung der ihr mit der Verordnung übertragenen Aufgaben und die Ausübung der ihr mit der Verordnung übertragenen Befugnisse im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig ist. Zu den ihr übertragenen Aufgaben zählt u.a. gemäß Art. 57 lit. f DSGVO das Befassen mit Beschwerden einer betroffenen Person, wobei dies voraussetzt, dass die Aufsichtsbehörde für eine bestimmte Datenverarbeitung überhaupt zuständig ist (EuGH 15.06.2021, C-645/19, Rz. 47 ff).

Wie oben festgestellt, ist der gegenständliche Antrag (hier: die Datenschutzbeschwerde) der Beschwerdeführerin am 18.06.2024 bei der österreichischen Datenschutzbehörde eingelangt. Der Inhalt der Datenschutzbeschwerde richtet sich gegen die in XXXX niedergelassene mitbeteiligte Partei, wegen einer behaupteten Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO. Dabei handelt es sich um eine „grenzüberschreitende Verarbeitung“ im Sinne des Art. 4 Z 23 lit. b DSGVO und ist in der Folge von der österreichischen Datenschutzbehörde als betroffene Aufsichtsbehörde gemäß Art. 4 Z 22 lit. c DSGVO ein Verfahren der Zusammenarbeit mit der federführenden Aufsichtsbehörde gemäß Art. 56 Abs. 1 in Verbindung mit den Art. 60 ff DSGVO zu führen. Gemäß § 24 Abs. 10 Z 2 DSG wird in die Entscheidungsfrist die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO nicht eingerechnet und ist in einem solchen Fall die Entscheidungsfrist gehemmt (vgl. VwGH 14.11.2023, Ro 2020/04/0009). Wie die Datenschutzbehörde bei Aktenvorlage mitteilte, hat sie es zwar verabsäumt, ein solches Verfahren vor Erhebung der verfahrensgegenständlichen Säuminsbeschwerde einzuleiten. Dies führt aber aufgrund nachstehender Erwägungen nicht zum Vorliegen einer Säumnis:

Art. 56 Abs. 1 DSGVO sieht – unbeschadet der in Art. 55 Abs. 1 der Verordnung enthaltenen Zuständigkeitsregel – für „grenzüberschreitende Verarbeitungen“ im Sinne von Art. 4 Z 23 der Verordnung das Verfahren der Zusammenarbeit und Kohärenz vor, das auf einer Aufteilung der Zuständigkeiten zwischen einer „federführenden Aufsichtsbehörde“ und den anderen betroffenen Aufsichtsbehörden beruht. Danach ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Art. 60 DSGVO die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung. Hieraus ergibt sich iVm Art. 60 DSGVO, dass in Bezug auf die „grenzüberschreitenden Verarbeitungen“ die verschiedenen betroffenen nationalen Aufsichtsbehörden nach dem in diesen Vorschriften geregelten Verfahren zusammenarbeiten müssen, um zu einem Konsens und zu einem einheitlichen Beschluss zu gelangen, der alle Aufsichtsbehörden bindet und mit dem der Verantwortliche die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union in Einklang zu bringen hat (EuGH 15.06.2021, C-645/19, Rz. 50 ff).

Bei einer grenzüberschreitenden Verarbeitung ist die Zuständigkeit der „federführenden Aufsichtsbehörde“ zur Führung eines solchen Verfahrens der Zusammenarbeit und Kohärenz – wie insbesondere aus Art. 56 Abs. 6 DSGVO hervorgeht – die Regel, von der lediglich in Ausnahmefällen, wie in Art. 56 Abs. 2 und Art. 60 Abs. 11 DSGVO angeordnet, abgewichen wird. Diese Ausnahmefälle liegen gegenständlich nicht vor. Die Zuständigkeit zur Entscheidung über eine Beschwerde in Bezug auf eine grenzüberschreitende Datenverarbeitung an sich („Erlass von Beschlüssen“) wird hingegen wiederum vom Ausgang des Verfahrens der Zusammenarbeit abhängig gemacht. Während stattgebende Beschlüsse der beteiligten Aufsichtsbehörden nach Art. 60 Abs. 7 DSGVO von der federführenden Aufsichtsbehörde erlassen werden, soll die von den beteiligten Aufsichtsbehörden beschlossene Abweisung der Beschwerde nach Art. 60 Abs. 8 DSGVO durch die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, selbst erfolgen (vgl. BVwG 21.03.2025, Zl. W292 2307654-1 und 11.09.2024, Zl. W256 2290824-1).

Aus dem 10. Erwägungsgrund der DSGVO ergibt sich, dass mit dieser u. a. erreicht werden soll, dass die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten unionsweit gleichmäßig und einheitlich angewandt werden und dass die Hemmnisse für den Verkehr personenbezogener Daten in der Union beseitigt werden. Dieses Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz nach Art. 56 Abs. 1 und 60 DSGVO könnten aber gefährdet bzw. beeinträchtigt werden, wenn eine Aufsichtsbehörde, die nicht die federführende ist, einen Beschluss nach diesem Verfahren erlässt (vgl. EuGH 15.06.2021, C-645/19, Rz. 64 f).

Somit hängt im Falle einer grenzüberschreitenden Verarbeitung die Zuständigkeit zum Erlass eines den Antrag auf Sachentscheidung erledigenden Beschlusses vom Ausgang des Verfahrens der Zusammenarbeit und Kohärenz nach Art. 56 Abs. 1 und 60 DSGVO ab. Andernfalls wären das bereits dargelegte Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz gefährdet. Dies steht auch im Einklang mit der bereits dargestellten Bestimmung des § 24 Abs. 10 Z 2 DSG, wonach in die sechsmonatige Entscheidungsfrist die Zeit während eines Verfahrens nach Art 56, 60 und 63 DSGVO nicht eingerechnet werden kann.

Demnach liegt die Durchführung eines Verfahrens nach Art. 56 Abs. 1 und 60 DSGVO nicht im Ermessen der Datenschutzbehörde, sondern wird vielmehr bei Vorliegen der gesetzlichen Voraussetzungen automatisch bei Einbringung der Datenschutzbeschwerde in Gang gesetzt. Eine andere Sichtweise hätte zur Folge, dass das Ziel und die praktische Wirksamkeit des Verfahrens der Zusammenarbeit und Kohärenz gefährdet werden würden (vgl. BVwG 21.03.2025, Zl. W292 2307654-1 und 11.09.2024, Zl. W256 2290824-1).

Im Ergebnis war die Entscheidungsfrist der Datenschutzbehörde bereits mit der Einbringung der Beschwerde am 18.06.2024 und auch noch zum maßgeblichen Zeitpunkt der Erhebung der Säumnisbeschwerde am 29.01.2025 gehemmt. In der Folge kann die der Datenschutzbehörde zur Verfügung stehende Entscheidungsfrist noch nicht verstrichen sein. Damit erweist sich die Säumnisbeschwerde aber als mit dem Mangel der Berechtigung zu ihrer Einbringung belastet. Liegt nämlich im Zeitpunkt der Einbringung der Säumnisbeschwerde kein unerledigter Antrag vor, ist das Vorliegen einer Säumnis zu verneinen, weshalb sich die Säumnisbeschwerde als unzulässig erweist und zurückzuweisen ist (vgl. VwGH 12.12.2019, Ra 2019/01/0249 bis 0250; 19.12.2018, Ra 2016/06/0109; 23.08.2017, Ra 2017/11/0150).

Die Säumnisbeschwerde war daher spruchgemäß als unzulässig zurückzuweisen.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 2 VwGVG kann die Verhandlung entfallen, wenn der das vorangegangene Verwaltungsverfahren einleitende Antrag der Partei oder die Beschwerde zurückzuweisen ist oder bereits aufgrund der Aktenlage feststeht, dass der mit Beschwerde angefochtene Bescheid aufzuheben, die angefochtene Ausübung unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt oder die angefochtene Weisung für rechtswidrig zu erklären ist oder die Säumnisbeschwerde zurückzuweisen oder abzuweisen ist.

Da die Säumnisbeschwerde zurückzuweisen ist, hat gemäß § 24 Abs. 2 Z 2 VwGVG eine mündliche Verhandlung unterbleiben können.

3.5. Zu B) Unzulässigkeit der Revision:

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (wie oben unter 3.3.2. ausgeführt), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.