Bundesverwaltungsgericht W137 2297602-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 18.11.2024
• ECLI: ECLI:AT:BVWG:2024:W137.2297602.1.00

Spruch

W137 2297602-1/3E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie MMag. Jakob KALINA als Beisitzerinnen über die Säumnisbeschwerde des XXXX wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die Datenschutzbeschwerde vom 11.11.2023 zu Recht erkannt:

A)

Der Säumnisbeschwerde wird gemäß § 8 VwGVG stattgegeben und die Datenschutzbehörde gemäß § 28 Abs. 7 VwGVG beauftragt, den versäumten Bescheid unter Zugrundelegung der im gegenständlichen Erkenntnis festgelegten Rechtsanschauung – Prüfungsrelevanz der Zugriffsberechtigung der zweitmitbeteiligten Partei auf ein dienstliches Postfach - binnen acht Wochen zu erlassen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Eingabe vom 11.11.2023, verbessert mit Schriftsatz vom 28.11.2023 aufgrund eines Mängelbehebungsauftrages, brachte ( XXXX ) XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) bei der belangten Behörde eine Datenschutzbeschwerde gegen die Bundesministerin für XXXX (= erstmitbeteiligte Partei vor dem Bundesverwaltungsgericht und Erstbeschwerdegegnerin vor der Datenschutzbehörde) sowie XXXX der erstmitbeteiligten Partei (= zweitmitbeteiligte Partei vor dem Bundesverwaltungsgericht und Zweitbeschwerdegegner vor der Datenschutzbehörde), wegen Verletzung im Recht auf Geheimhaltung ein. Der Beschwerdeführer brachte zusammengefasst vor, dass ihm am 18.07.2023 vom Dienststellenleiter der XXXX angeordnet worden sei, ein E-Mail-Postfach ( XXXX ) einzurichten, auf das lediglich zwei bestimmte Personen berechtigt wären zuzugreifen. Allerdings habe eine externe Person, die einer anderen Dienststelle angehöre, nämlich die zweitmitbeteiligte Partei, mehrmals rechtswidrig auf dieses E-Mail-Postfach, in dem die private E-mail-Adresse des Beschwerdeführers sowie mehrere E-Mails mit Inhalten zu diversen derzeit anhängigen Disziplinar-, Zivil- und Strafverfahren gegen den Beschwerdeführer ersichtlich seien, zugegriffen. Obwohl dieser Sachverhalt in der Folge dem Dienststellenleiter der XXXX am 30.10.2023 gemeldet worden sei, habe dieser jedoch offensichtlich keine Maßnahmen zur Schließung des Datenlecks iSd Art. 33 DSGVO veranlasst.

2. Die erstmitbeteiligte Partei erstattete in der Folge am 12.12.2023, nach entsprechender Aufforderung, eine Stellungnahme, in der sie im Wesentlichen ausführte, die Datenschutzbeschwerde vom 11.11.2023 sei abzuweisen, weil der Beschwerdeführer nicht in seinem Recht auf Geheimhaltung personenbezogener Daten verletzt worden sei. Der Beschwerdeführer sei einem Arbeitsplatz der XXXX zugewiesen, jedoch sei er derzeit im Rahmen eines gegen ihn nach den Bestimmungen des XXXX anhängigen Disziplinarverfahrens vom Dienst enthoben. Am 18.07.2023 sei ihm der Befehl erteilt worden, Eingaben an die XXXX im Wege der Übermittlung an die zu diesem Zweck durch die XXXX eingerichtete dienstliche E-Mail-Adresse XXXX einzubringen. Der Zugriff auf diese E-Mail-Adresse sei dabei durch technische Maßnahmen auf jene Bediensteten der XXXX eingeschränkt, welche aufgrund der Festlegung des Dienststellenleiters der XXXX regelmäßig mit den Eingaben des Beschwerdeführers dienstlich befasst seien. Dies seien der mit der Führung der XXXX beauftragte XXXX (= Dienststellenleiter der XXXX ), weiters XXXX (= zweitmitbeteiligte Partei) sowie XXXX .

Die zweitmitbeteiligte Partei sei zum Zeitpunkt ihrer Einsichtnahme in die gegenständlichen vom Beschwerdeführer an die E-Mail-Adresse XXXX übermittelten E-Mails auf den Arbeitsplatz XXXX bei der Dienststelle XXXX , Standeskörper XXXX zugewiesen und der XXXX dienstzugeteilt gewesen. Auf Grundlage dienstrechtlicher Bestimmungen sei auch zulässig gewesen, die zweitmitbeteiligte Partei zusätzliche dienstliche Aufgaben aus dem Vollziehungsbereich der XXXX zuzuordnen. Somit sei die Einsichtnahme der zweitmitbeteiligten Partei in die Eingaben des Beschwerdeführers im Wege des Zugriffs auf die E-Mail-Adresse der XXXX am 18.10.2023 durch das Datenschutzbüro datenschutzrechtlich unbedenklich gewesen und es liege kein begründeter Verdacht einer Verletzung der Bestimmungen des Art. 32 DSGVO vor. Außerdem werde darauf hingewiesen, dass die gegenständlichen E-Mails gar keine Gesundheitsdaten des Beschwerdeführers enthalten würden.

3. Mit Schreiben vom 23.12.2023 führte der Beschwerdeführer im Wesentlichen aus, er bestreite, dass die zweitmitbeteiligte Partei zum Zeitpunkt des Zugriffs auf das gegenständliche E-Mail-Postfach Angehöriger der XXXX gewesen sei, denn sie sei damals der XXXX dienstzugeteilt gewesen. Um seine Behauptungen zu untermauern würde er nun folgende Beweisanträge stellen:

1. Vorlage des Dienstzuteilungsdokumentes der zweitmitbeteiligten Partei zur XXXX

2. Die erstmitbeteiligte Partei möge jenes Dokument vorlegen, aus welchem hervorgehe, dass die zweitmitbeteiligte Partei mit der Weiterführung der Bearbeitung der Belange des Beschwerdeführers bei der erstmitbeteiligten Partei betraut sei.

3. Die erstmitbeteiligte Partei möge jenes Dokument vorlegen, in welchem klar hervorgehe, dass nun XXXX uneingeschränkt mit den Aufgaben des XXXX seit 03.07.2023 betraut sei.

4. Am 16.05.2024 brachte der Beschwerdeführer Säumnisbeschwerde ein, weil seit der Beschwerdeerhebung am 11.11.2023 schon über 6 Monate vergangen seien.

5. Die belangte Behörde legte dem erkennenden Gericht die Säumnisbeschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 09.08.2024, hg. eingelangt am 19.08.2024, vor und gab u.a. an, dass sie den Bescheid nicht innerhalb der dreimonatigen Nachfrist erlassen habe können, weil noch weitere Ermittlungsschritte nötig gewesen seien.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Mit Datenschutzbeschwerde an die Datenschutzbehörde vom 11.11.2023, die gegen die Bundesministerin für XXXX sowie gegen XXXX gerichtet war, brachte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung vor.

Die belangte Behörde hat über die Datenschutzbeschwerde vom 11.11.2023 bislang nicht entschieden, wobei sich aus dem Akt ergibt, dass diese vergleichsweise aufwändige Ermittlungen auf XXXX bzw. des Ministeriums für XXXX erfordert und im Kontext mit diversen, den Beschwerdeführer betreffenden, Verfahren im Dienst- und Disziplinarrecht steht.

Es kann nicht festgestellt werden, dass die Behörde durch ein Verschulden des Beschwerdeführers oder ein unüberwindbares Hindernis gehindert gewesen wäre, binnen sechs Monaten eine Sachentscheidung über die Datenschutzbeschwerde des Beschwerdeführers zu treffen.

Der Sachverhalt ist bislang nicht geklärt.

2. Beweiswürdigung:

Dass der Beschwerdeführer am 11.11.2023 eine Datenschutzbeschwerde bei der Datenschutzbehörde eingebracht und eine Verletzung im Recht auf Geheimhaltung geltend gemacht hat, ergibt sich aus dem Vorbringen des Beschwerdeführers und ist insofern unstrittig.

Dass die belangte Behörde bislang nicht inhaltlich über die Datenschutzbeschwerde entschieden hat, wurde von dieser selbst in der der Vorlage beiliegenden Stellungnahme eingeräumt.

Die Feststellung, dass der Sachverhalt bislang nicht geklärt ist, basiert insbesondere auf dem Umstand, dass seitens der belangten Behörde nicht erhoben wurde, ob die zweitmitbeteiligte Partei dienstlich befugt gewesen ist, in das gegenständliche E-Mail-Postfach Einsicht zu nehmen.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 3 B-VG entscheiden die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht durch eine Verwaltungsbehörde.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 7 VwGVG kann im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG das Verwaltungsgericht sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde auftragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender Frist zu erlassen.

Zu A)

3.3. Nach § 8 Abs. 1 VwGVG kann eine Säumnisbeschwerde erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, nicht innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der gesetzlich vorgesehenen Stelle eingelangt ist. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.

Ein überwiegendes Verschulden der Behörde ist dann anzunehmen, wenn diese die für eine zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet (vgl. Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren [2013] § 8 VwGVG, Anm. 9 mit Verweis auf VwGH 26.01.2012, 2008/07/0036; vgl. auch VwGH 18.12.2014, 2012/07/0087 m.w.N.).

3.4. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. -6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. -26. (…)

3.5. Die maßgeblichen Bestimmungen des DSG:

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(…)

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstatten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitung gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogen Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.6. Mit Datenschutzbeschwerden vom 11.11.2023 brachte der Beschwerdeführer eine Verletzung in seinem Recht auf Geheimhaltung vor. Über die Beschwerde wurde von der belangten Behörde nicht innerhalb der sechsmonatigen Entscheidungsfrist mit Bescheid entschieden.

Am 16.05.2024 brachte der Beschwerdeführer Säumnisbeschwerden ein.

Innerhalb der dreimonatigen Nachfrist wurden die erst- und zweitmitbeteiligten Parteien von der Datenschutzbehörde zur Stellungnahme sowie zur Vorlage von Unterlagen aufgefordert und erstatteten diese am 16.07.2024 sodann eine ergänzende Stellungnahme. Daraufhin forderte die belangte Behörde mit Schreiben vom 29.07.2024 die erst- und zweitmitbeteiligten Parteien auf, binnen einer Frist von zwei Wochen eine darüberhinausgehende Stellungnahme abzugeben und auszuführen, weshalb die Beilagen 1 bis 3 der Stellungnahme sowie die in der Stellungnahme grau hinterlegten Teile von der Akteneinsicht/Parteiengehör ausgenommen werden sollten.

In weitere Folge wurde die Säumnisbeschwerde von der belangten Behörde dem Bundesverwaltungsgericht mit Schriftsatz vom 09.08.2024, hg. eingelangt am 19.08.2024, vorgelegt.

Nach § 8 Abs. 1 VwGVG kann eine Säumnisbeschwerde erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, nicht innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der gesetzlich vorgesehenen Stelle eingelangt ist. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.

Ein überwiegendes Verschulden der Behörde ist dann anzunehmen, wenn diese die für eine zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet (vgl. Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren [2013] § 8 VwGVG, Anm. 9 mit Verweis auf VwGH 26.01.2012, 2008/07/0036; vgl. auch VwGH 18.12.2014, 2012/07/0087).

Nach der Judikatur des Verwaltungsgerichtshofes ist der Begriff des Verschuldens der Behörde nach § 73 Abs. 2 AVG nicht im Sinne eines Verschuldens von Organwaltern der Behörde, sondern insofern „objektiv“ zu verstehen, als ein solches „Verschulden“ dann anzunehmen ist, wenn die zur Entscheidung berufene Behörde nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war (vgl. VwGH vom 21.09.2007, 2006/05/0145). Weiters hat der Verwaltungsgerichtshof in ständiger Rechtsprechung ein überwiegendes Verschulden der Behörde darin angenommen, dass diese die für eine zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet (vgl. VwGH 06.07.2010, 2009/05/0306). Die Behörden haben dafür Sorge zu tragen, dass durch organisatorische Vorkehrungen eine rasche Entscheidung möglich ist (VwGH 26.01.2012, 2008/07/0036).

In diesem Zusammenhang ist festzuhalten, dass sich aus dem Akteninhalt in keiner Weise ergibt, dass die Verfahrensverzögerung durch ein schuldhaftes Verhalten des Beschwerdeführers oder durch unüberwindliche Hindernisse verursacht war.

Die Behörde hat im konkreten Fall die für eine zügige Verfahrensführung notwendigen Schritte unterlassen beziehungsweise allenfalls zu spät gesetzt um eine rechtzeitige Entscheidung in der Sache zu bewerkstelligen. Das Bundesverwaltungsgericht geht daher von einer durch die belangte Behörde zu verantwortenden Untätigkeit aus, die die Kriterien eines „überwiegenden Verschuldens“ erfüllt.

Daraus folgt, dass die Säumnisbeschwerde zulässig ist und die Zuständigkeit hinsichtlich der Datenschutzbeschwerde auf das Bundesverwaltungsgericht übergegangen ist.

3.7. Gemäß § 28 Abs. 7 VwGVG „kann“ das Verwaltungsgericht sein „Erkenntnis“ aufgrund einer (zulässigen und begründeten) Säumnisbeschwerde vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken (sog. „Teilerkenntnis“ [vgl. VwGH 04.07.2016, Ra 2014/04/0015; Fuchs, ÖJZ 2013, 950 ff; Pabel, Verfahren 422] bzw. z.T. „Rahmenentscheidung“ [Hauer, Gerichtsbarkeit3 Rz 260; Kolonovits/Muzak/Stöger10 Rz 934 f] bzw. „Grundsatzentscheidung“ [vgl. VwGH 28.03.1996, 95/06/0221]) und der Behörde auftragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender, Frist zu erlassen. Kommt die Behörde dem Auftrag nicht nach, so entscheidet das Verwaltungsgericht über die Beschwerde durch Erkenntnis in der Sache selbst, wobei es auch das sonst der Behörde zustehende Ermessen handhabt (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 198).

§ 28 Abs. 7 erster Satz VwGVG räumt dem Verwaltungsgericht also nach dem Vorbild des § 42 Abs. 4 VwGG aF eine sog „kondemnatorische“ Entscheidungsbefugnis ein, kraft derer es die belangte Behörde zum Erlass eines Bescheides „verurteilt“ (vgl. VwGH 04.07.2016, Ra 2014/04/0015 im Anschluss an Oberndorfer, Verwaltungsgerichtsbarkeit 177). Damit erhält die belangte Behörde eine „dritte Chance“ (Grabenwarter/Fister, ZVG 2014, 295; Schulev-Steindl, ÖJZ 2014, 439; vgl. auch VwGH 27.5.2015, Ra 2015/19/0075); (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 199).

Ob das Verwaltungsgericht von dieser Möglichkeit Gebrauch macht, sein Erkenntnis auf die Entscheidung einzelner maßgeblicher Rechtsfragen zu beschränken (wie auch bejahendenfalls die Auswahl dieser Rechtsfragen), liegt in seinem Ermessen (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 199).

Auch wenn das Gesetz hier nicht explizit Determinanten nennt, ist davon auszugehen, dass das Verwaltungsgericht bei seiner Entscheidung in erster Linie die Grundsätze der Verfahrensökonomie zu beachten hat (vgl. VwGH 4.7.2016, Ra 2014/04/0015). Aus dieser Sicht wird die Erlassung eines „Teilerkenntnisses“ vor allem dann in Betracht kommen, wenn neben der Lösung der maßgeblichen Rechtsfragen auch der Sachverhalt weiter klärungsbedürftig ist, was im vorliegenden Fall jedenfalls zutrifft (vgl. VwGH 4.7.2016, Ra 2014/04/0015; Eder/Martschin/Schmid, VwGVG § 28 K 30; Schulev-Steindl, ÖJZ 2014, 439); (Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 199).

In einem Teilerkenntnis gemäß § 28 Abs. 7 erster Satz VwGVG hat das Verwaltungsgericht „einzelne maßgebliche Rechtsfragen“ zu „entscheiden“ und der „Behörde aufzutragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender Frist zu erlassen“ (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 200).

Eine maßgebliche „Voraussetzung“ für eine Teilentscheidung gemäß § 28 Abs. 7 VwGVG ist, dass das Verwaltungsgericht darin – fallbezogen (vgl. VwGH 15.03.2016, Ra 2015/01/0208) – über einzelne maßgebliche Rechtsfragen der Angelegenheit entscheidet (vgl. VwGH 16.12.2014, Ra 2014/22/0106). Auch diese „Entscheidung“ hat im Spruch des Erkenntnisses zu erfolgen (vgl. VwGH 15.03.2016, Ra 2015/01/0208; vgl. auch VwGH 21.02.2013, 2012/06/0105); (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 202).

Umgekehrt wäre es unzulässig, die konkreten Rechtsfragen schon vollständig zu klären und damit die Entscheidung in der Sache selbst vorwegzunehmen, ohne diese gleich selbst (durch ein „Vollerkenntnis“) zu treffen (vgl. VwGH 28.05.2015, Ro 2015/22/0017); (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 202).

Mit einem Teilerkenntnis iSd § 28 Abs. 7 erster Satz VwGVG wird das Verfahren an die Behörde „zurückverwiesen“ und die Zuständigkeit in der Angelegenheit wieder auf die Behörde übertragen (vgl. VwGH 16.12.2014, Ra 2014/22/0106; 10.11.2015, Ra 2015/19/0144; 15.3.2016, Ra 2015/01/0208); (vgl. Leeb in Hengstschläger/Leeb, AVG § 28 VwGVG Rz 204).

3.8. Vor diesem Hintergrund macht das Bundesverwaltungsgericht von seiner Ermächtigung gemäß § 28 Abs. 7 VwGVG Gebrauch und trägt der belangten Behörde auf, den versäumten Bescheid unter folgender Rechtsanschauung nachzuholen:

Im vorliegenden Fall ist die Bundesministerin für XXXX als Behörde Verantwortliche iSd Art. 4 Z 7 DSGVO und der Leiter der XXXX wurde im gegenständlichen Fall als deren Amtsorgan tätig.

Zu beurteilen ist zunächst, ob die zweitmitbeteiligte Partei ebenfalls als deren Amtsorgan tätig wurde oder ob sie als Verantwortliche iSd Art. 4 Z 7 DSGVO zu werten ist.

Die belangte Behörde wird im gegenständlichen Verfahren nach § 24 DSG weiters zu prüfen haben, ob und inwieweit innerhalb der erstmitbeteiligten Partei als Behörde das Grundrecht auf Geheimhaltung personenbezogener Daten des Beschwerdeführers infolge des Zugriffes auf das E-Mail-Postfach XXXX durch die zweitmitbeteiligte Partei verletzt wurde. Dabei wird insbesondere zu beurteilen sein, inwiefern die zweitmitbeteiligte Partei dienstlich befugt gewesen ist, anlässlich der Behandlung der diversen anhängigen Dienst-, Zivil- und Strafverfahren gegen den Beschwerdeführer in die Inhalte der E-Mails des E-Mail-Postfaches XXXX einzusehen. Dies wird im Lichte der hier relevanten Bestimmungen der DSGVO und des DSG zu erfolgen haben.

Dabei wird die Rechtmäßigkeit insbesondere nach den Bestimmungen der Art. 5 und 6 der DSGVO und § 1 Abs. 2 DSG sowie dem dieser Bestimmung innewohnenden Verhältnismäßigkeitsprinzip zu prüfen und letztendlich durch stattgebenden oder abweisenden Bescheid darüber abzusprechen sein.

Die belangte Behörde hat es bislang unterlassen, dies zu prüfen und diesbezüglich hinreichende Erhebungen zu tätigen.

Zwar hat die belangte Behörde die mitbeteiligten Parteien mit Schreiben vom 03.06.2024 sowie 29.07.2024 zur ergänzenden Stellungnahme sowie zur Vorlage von den vom Beschwerdeführer angeführten Beweisanträge aufgefordert, jedoch wurden diese Fragen von der mitbeteiligten Partei nur unzureichend beantwortet und hat die belangte Behörde es in der Folge unterlassen, weitergehende Abklärungen vorzunehmen.

Es ist davon auszugehen, dass der Feststellung des oben angeführten Sachverhalts für die Behandlung der gegenständlichen Datenschutzbeschwerde beziehungsweise Säumnisbeschwerde zentrale Bedeutung zukommt und die Voraussetzungen des § 28 Abs. 7 VwGVG vorliegen.

Da im gegenständlichen Fall der Sachverhalt weiter klärungsbedürftig ist, war im Interesse der Verfahrensökonomie das Ermessen zu Gunsten einer kondemnatorischen Entscheidung zu üben, zumal auch nicht ersichtlich war, dass einer solchen verfahrensgegenständlich überwiegenden Interessen entgegenstehen.

Im Hinblick auf die noch durchzuführenden Ermittlungen ist die in § 28 Abs. 7 VwGVG vorgesehene Frist in vollem Umfang zu gewähren.

Der Datenschutzbehörde wird daher gemäß § 28 Abs. 7 VwGVG aufgetragen, binnen acht Wochen die Bescheide zu erlassen.

3.9. Eine mündliche Verhandlung konnte entfallen, zumal § 28 Abs. 7 VwGVG dem Verwaltungsgericht ermöglicht, ohne Durchführung eines umfassenden Ermittlungsverfahrens die wesentlichen für die Lösung des Falles maßgeblichen Rechtsfragen zu entscheiden (vgl. VwGH 28.05.2015, Ro 2015/22/0017).

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.