Bundesverwaltungsgericht W298 2284182-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 03.06.2026
• ECLI: ECLI:AT:BVWG:2026:W298.2284182.1.00

Spruch

W298 2284182-1/12Z

W298 2284205-1/5Z

W298 2284240-1/4Z

W298 2284428-1/12Z

W298 2284615-1/9Z

W298 2284631-1/12Z

W298 2284717-1/12Z

W298 2284750-1/12Z

W298 2285066-1/10Z

W298 2285129-1/5Z

W298 2285406-1/4Z

W298 2285410-1/5Z

W298 2285567-1/10Z

W298 2285577-1/4Z

W298 2285616-1/4Z

W298 2285618-1/10Z

W298 2286216-1/5Z

W298 2288444-1/5Z BESCHLUSS

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias Veigl als Vorsitzenden und die fachkundigen Laienrichter Mag. Gerda Ferch-Fischer und Mag. Florian Schultes, LL.M. in den Rechtssachen betreffend die Beschwerden der XXXX , vertreten durch die Schönherr Rechtsanwälte GmbH, vom 21.12.2023, 22.12.2024 sowie vom 17.05.2024 gegen Spruchpunkt 1) der Bescheide der Datenschutzbehörde vom

a.29.11.2023, GZ: XXXX

b.27.11.2023, GZ: XXXX

c.27.11.2023, GZ: XXXX

d.27.11.2023, GZ. XXXX

e.27.11.2023, GZ. XXXX

f.30.11.2023, GZ. XXXX

g.29.11.2023, GZ. XXXX

h.29.11.2023, GZ. XXXX

i.29.11.2023, GZ. XXXX

j.30.11.2023, GZ. XXXX

k.27.11.2023, GZ. XXXX

l.27.11.2023, GZ. XXXX

m.27.11.2023, GZ. XXXX

n.30.11.2023, GZ. XXXX

o.11.02.2024, GZ. XXXX

p.27.11.2023, GZ. XXXX

q.27.11.2023, GZ. XXXX

r.29.11.2023. GZ. XXXX

s.vom 29.11.2023, GZ. XXXX

den Beschluss gefasst:

A)

I. Die Verfahren werden gemäß §§ 17 VwGVG iVm § 39 Abs. 2 AVG verbunden.

II. Die Verfahren werden gemäß § 34 Abs. 3 VwGVG bis zur rechtskräftigen Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, W292 2284228-1/49E, ausgesetzt.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Begründung:

Das Bundesverwaltungsgericht hat erwogen:

1. Verfahrensgang und Feststellungen:

1.1. Die in den oben genannten Verfahren mitbeteiligten Parteien vor dem Bundesverwaltungsgericht erhoben jeweils eine Datenschutzbeschwerde gegen die XXXX , idF. Beschwerdeführerin vor dem Bundesverwaltungsgericht und der Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung in Rechten nach der DSGVO, konkret durch Verstöße gegen Datenverarbeitungsgrundsätze des Art. 5 Abs. 1 DSGVO und Benachrichtigungspflichten nach Art. 34 DSGVO sowie im Recht auf Geheimhaltung nach § 1 DSG. Diesen Datenschutzbeschwerden lag die mediale Berichterstattung zugrunde, wonach ein Hacker Meldedaten (Name, Geburtsdaten und Meldeadressen) fast aller Österreicher aus einer Datenbank der Beschwerdeführerin gestohlen und im Internet zum Verkauf angeboten habe. An die Daten sei der Hacker durch eine Nachlässigkeit bei einer IT-Firma gelangt, welche die Beschwerdeführerin mit der Neustrukturierung der Datenbank beauftragt hatte. Die Datenbank sei im Mai 2020 ohne Zugangssicherung im Internet zugänglich gewesen. Dies entspreche nicht den datenschutzrechtlichen Vorgaben hinsichtlich der Sicherheit der Verarbeitung personenbezogener Daten und sei das Fehlverhalten des IT-Dienstleisters der Verantwortlichen zuzurechnen. Zudem habe hinsichtlich der gegenständlichen Vorfälle keine individuelle Benachrichtigung im Sinne von Art. 34 DSGVO stattgefunden.

1.2. Aufgrund einer Vielzahl gleichgelagerter Datenschutzbeschwerden, denen derselbe Sachverhalt zugrunde lag, führte die Datenschutzbehörde, protokolliert zur Zl. XXXX , ein einheitliches Ermittlungsverfahren („Hauptverfahren“) durch, in Rahmen dessen setzte die Datenschutzbehörde umfassende Ermittlungsschritte und legte die gewonnenen Ermittlungs-ergebnisse im Sinne der Verfahrensökonomie allen gegen die Verantwortliche gerichteten Verfahren zu Grunde.

1.3. Mit den im Spruch genannten Bescheiden gab die Datenschutzbehörde den zugrundeliegenden und hier gegenständlichen Datenschutzbeschwerden (teilweise) statt.

1.4. Hiergegen erhob die Beschwerdeführerin fristgerecht Beschwerden an das Bundesverwaltungsgericht und brachte zusammengefasst vor, dass das Beschwerderecht der mitbeteiligten Partei im Sinne von § 24 Abs. 4 DSG präkludiert sei, weil sie bereits seit dem 27.05.2020 durch die öffentliche Bekanntmachung Kenntnis von einer sie potenziell betreffenden Datenschutzverletzung gehabt habe, die verfahrenseinleitende Datenschutzbeschwerde jedoch erst im Jahre 2023 erhoben worden sei. Weiters sei ein mangelhaftes Ermittlungsverfahren geführt worden, weil die relevanten Feststellungen der belangten Behörde auf einer Indizienkette beruhen würden. Schließlich sei die rechtliche Beurteilung nicht richtig, weil die Bestimmung des Art. 32 DSGVO falsch angewendet worden sei. Vor allem sei der gegenständliche Vorfall nicht der Beschwerdeführerin zuzurechnen, weil ihre Pflichten als Verantwortliche nicht so weit gehen würden, dass sie automatisch für jede Handlung des Auftragsverarbeiters haftbar gemacht werden könne, denn die Hauptverpflichtung des Verantwortlichen in Bezug auf den Auftragsverarbeiter bestehe nur in der sorgfältigen Auswahl, der klaren Instruktion und der laufenden Überwachung des Auftragsverarbeiters.

1.5. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 05.07.2024, Zl. W292 2284228-1/49E, wurde in einem Parallelverfahren betreffend den oben beschriebenen Lebenssachverhalt die Bescheidbeschwerde der Beschwerdeführerin gemäß § 28 Abs. 2 VwGVG, § 1 und 24 DSG in Verbindung mit Art. 5, 6, 32 und 77 DSGVO, als unbegründet abgewiesen.

Mit Eingabe vom 16.08.2024 erhob die Beschwerdeführerin außerordentliche Revision gegen dieses Erkenntnis des Bundesverwaltungsgerichtshofes vom 05.07.2024, W292 2284228-1/49E, und ist das diesbezügliche Verfahren beim Verwaltungsgerichtshof derzeit anhängig.

1.6. Den verfahrensgegenständlichen Fällen liegt im Wesentlichen derselbe Sachverhalt im Zusammenhang mit der Zugänglichmachung personenbezogener Daten der Betroffenen wie im hg. Verfahren W292 2284228-1 zugrunde. Am Bundesverwaltungsgericht sind diesbezüglich rund 100 Verfahren anhängig.

2. Beweiswürdigung:

Die oben angeführten Feststellungen beruhen auf dem jeweils unbedenklichen Akteninhalt, insbesondere den verfahrensgegenständlichen Bescheidbeschwerden sowie den in den jeweiligen erstinstanzlichen Verfahren erlassenen im Spruch aufgelisteten Bescheide.

Die Tatsache, dass diverse gleichgelagerte Sachverhalte betreffende Beschwerdeverfahren am Bundesverwaltungsgericht anhängig wurden sowie dass gegen die in einem solchen Verfahren ergangene Entscheidung des Bundesverwaltungsgerichts vom 05.07.2024 Revision erhoben wurde und das diesbezügliche Revisionsverfahren derzeit anhängig ist, ergibt sich aus der elektronischen Verfahrensadministration (eVA+) des Bundesverwaltungsgerichtes.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 Bundes-Verfassungsgesetz (B-VG), BGBl. Nr. 1/1930 (WV) idF BGBl. I Nr. 194/1999 (DFB), erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 Bundesverwaltungsgerichtsgesetz (BVwGG), BGBl. I Nr. 10/2013, entscheidet das Verwaltungsgericht durch Einzelrichter, soweit die Bundes- oder Landesgesetze nicht die Entscheidung durch Senate vorsehen.

Gemäß § 27 Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gemäß § 9 BVwGG leitet die Vorsitzende die Geschäfte des Senates und führt das Verfahren bis zur Verhandlung. Die dabei erforderlichen Beschlüsse bedürfen keines Senatsbeschlusses.

Eine gemäß § 17 VwGVG iVm § 38 AVG ergangene Aussetzungsentscheidung ist keine bloße verfahrensleitende Entscheidung. Ein Aussetzungsbeschluss unterliegt nicht dem Revisionsausschluss gem § 25a Abs 3 VwGG (VwGH 24.03.2015, Ro 2014/05/0089).

3.3. Zu Spruchpunkt A I)

§ 39 Abs. 1 AVG lautet wie folgt:

„§ 39. (1) Für die Durchführung des Ermittlungsverfahrens sind die Verwaltungsvorschriften maßgebend.

(2) Soweit die Verwaltungsvorschriften hierüber keine Anordnungen enthalten, hat die Behörde von Amts wegen vorzugehen und unter Beobachtung der in diesem Teil enthaltenen Vorschriften den Gang des Ermittlungsverfahrens zu bestimmen. Sie kann insbesondere von Amts wegen oder auf Antrag eine mündliche Verhandlung durchführen und mehrere Verwaltungssachen zur gemeinsamen Verhandlung und Entscheidung verbinden oder sie wieder trennen. Die Behörde hat sich bei allen diesen Verfahrensanordnungen von Rücksichten auf möglichste Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis leiten zu lassen.“

Das Verwaltungsgericht kann gemäß § 17 VwGVG iVm § 39 Abs. 2 AVG unter Bedachtnahme auf möglichste Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis mehrere in seine Zuständigkeit fallende Rechtssachen zur gemeinsamen Entscheidung verbinden, soweit dies im Rahmen der Geschäftsverteilung möglich ist (vgl. VwGH 03.02.2022, Ra 2019/17/0115; 17.11.2015, Ra 2015/03/0058; Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht10 Rz 276/1 und 798).

Die Entscheidung des Verwaltungsgerichts mehrere Verwaltungssachen zur gemeinsamen Verhandlung und Entscheidung zu verbinden oder sie wieder zu trennen, stellt einen nicht gesondert anfechtbaren und nicht zu begründenden verfahrensleitenden Beschluss iSd § 31 Abs. 2 VwGVG dar (vgl. VwGH 17.07.2017, Ra 2017/11/0156 unter Bezugnahme auf die Ausführungen unter Pkt. 5 des E vom 30.06.2015, Ra 2015/03/0022).

Da es sich bei den Verfahrensparteien, um Beschwerdeführer und Beschwerdegegner im behördlichen Verfahren vor der belangten Behörde handelt und den zugrundeliegenden Datenschutzbeschwerden der gleiche Lebenssachverhalt zugrundeliegt, liegt eine gemeinsame Entscheidung dieser Beschwerdeverfahren im Sinne der Zweckmäßigkeit, und Einfachheit der Verfahren nahe.

3.4. Zu Spruchpunkt A) II.

Gemäß § 34 Abs. 3 VwGVG kann das Verwaltungsgericht ein Verfahren über eine Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG mit Beschluss aussetzen, wenn

1. vom Verwaltungsgericht in einer erheblichen Anzahl von anhängigen oder in naher Zukunft zu erwartenden Verfahren eine Rechtsfrage zu lösen ist und gleichzeitig beim Verwaltungsgerichtshof ein Verfahren über eine Revision gegen ein Erkenntnis oder einen Beschluss eines Verwaltungsgerichtes anhängig ist, in welchem dieselbe Rechtsfrage zu lösen ist, und

2. eine Rechtsprechung des Verwaltungsgerichtshofes zur Lösung dieser Rechtsfrage fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.

Gleichzeitig hat das Verwaltungsgericht dem Verwaltungsgerichtshof das Aussetzen des Verfahrens unter Bezeichnung des beim Verwaltungsgerichtshof anhängigen Verfahrens mitzuteilen. Eine solche Mitteilung hat zu entfallen, wenn das Verwaltungsgericht in der Mitteilung ein Verfahren vor dem Verwaltungsgerichtshof zu bezeichnen hätte, das es in einer früheren Mitteilung schon einmal bezeichnet hat. Mit der Zustellung des Erkenntnisses oder Beschlusses des Verwaltungsgerichtshofes an das Verwaltungsgericht gemäß § 44 Abs. 2 VwGG ist das Verfahren fortzusetzen. Das Verwaltungsgericht hat den Parteien die Fortsetzung des Verfahrens mitzuteilen.

Aus den Erläuterungen (vgl. RV 2009 BlgNR 24. GP, 8) zu § 34 VwGVG geht hervor, dass ein Verfahren ausgesetzt werden kann, wenn bei einem Verwaltungsgericht in einer erheblichen Zahl von anhängigen oder zu erwartenden Verfahren eine Rechtsfrage zu lösen ist, die in einem – gleichzeitig anhängigen – Verfahren vor dem Verwaltungsgerichtshof zu lösen ist. Zweck dieser Bestimmung ist daher aus Gründen der Prozessökonomie zu vermeiden, dass die gleiche Rechtsfrage nebeneinander in mehreren Verfahren erörtert werden muss (vgl. zu den entsprechenden Bestimmungen der BAO: VwGH 18.04.1990, 89/16/0200; 21.12.2011, 2009/13/0159 sowie Ritz, BAO5 § 271).

Wenn daher ein Verwaltungsgericht, während vor dem Verwaltungsgerichtshof ein Verfahren zur Klärung einer bestimmten Rechtsfrage anhängig ist, Verfahren, bei denen die gleiche Rechtsfrage strittig ist, aussetzt (und nicht durch Erlassung weiterer Entscheidungen mehrfache Revisionen an den Verwaltungsgerichtshof „verursacht“), dient die Aussetzung auch Parteiinteressen (Wegfall des Kostenrisikos in Bezug auf allfällig zu ergreifende Rechtsmittel an den Verwaltungsgerichtshof).

Außerdem soll durch die Aussetzung eines Verfahrens die Funktionsfähigkeit des Verwaltungsgerichts bei einer großen Zahl gleichgelagerter Beschwerden gewährleistet sein, indem auf einen beim Verwaltungsgerichtshof anhängigen „leading case“ gewartet und so dessen Rechtsansicht eingeholt werden kann. Darüber hinaus wird der Verwaltungsgerichtshof selbst vor einer potentiell massenhaften Revisionseinbringung geschützt (Fister/Fuchs/Sachs, Verwaltungsgerichts-verfahren² § 34 VwGVG Rz 14).

Für die Aussetzung eines Verfahrens gemäß § 38 AVG reicht es aus, wenn eine (bloß) ähnliche Rechtsfrage anhängig ist. Der Umstand, dass die Unionsrechtskonformität formell unterschiedlicher nationaler Normen zu beurteilen ist, steht daher einer Aussetzung des Verfahrens gemäß § 38 AVG nicht entgegen (vgl. VwGH vom 13.09.2017, Ra 2017/12/0068).

Für den vorliegenden Fall bedeutet das:

Beim Bundesverwaltungsgericht sind zum Themenkomplex des sog. „ XXXX Data Breach“ etwa 100 Bescheidbeschwerden der Beschwerdeführerin in unterschiedlichen Gerichtsabteilungen anhängig. Damit liegt jedenfalls eine erhebliche Anzahl an Verfahren im Sinne des § 34 Abs. 3 VwGVG vor (vgl. Bumberger/Lampert/Larcher/Weber [Hrsg] VwGVG § 34 Rz 42 mit Verweis auf Reisner in Götzl/Gruber/Reisner/Winkler, Verfahrensrecht2 § 34 Rz 28; Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 § 34 Anm 15 mwN). Das gegenständliche Verfahren ist eines dieser Verfahren.

Beschwerdegegenständlich ist die Frage, ob die Beschwerdeführerin als Verantwortliche iSd Art. 4 Z 7 DSGVO gegen ihre Pflichten nach Art. 5 Abs. 1 lit. f und Art. 32 DSGVO verstoßen hat, sodass sie die mitbeteiligte Partei infolge des widerrechtlichen Abgriffes der Meldedaten durch einen Dritten (Hacker) in ihrem Recht auf Geheimhaltung verletzt hat. Zur Beantwortung dieser Frage ist wesentlich, ob die Verantwortlicheneigenschaft von der GIS Gebühren Info Service GmbH auf die ORF-Beitrags Service GmbH übergegangen ist, ob die vorzunehmende Form der öffentlichen Bekanntmachung iSd Art. 34 Abs. 3 lit. c DSGVO erfüllt worden ist, ob die Verpflichtung der Benachrichtigung eines potenziell Betroffenen von einem Datensicherheitsvorfall besteht, ob die subjektive Präklusivfrist des § 24 Abs. 4 DSG mit der Kenntnis des beschwerenden Ereignisses oder auf die Kenntnis über die persönliche Betroffenheit zu laufen beginnt sowie ob der gegenständliche Verstoß des Auftragsverarbeiters gegen Art. 32 DSGVO der Beschwerdeführerin zuzurechnen ist.

Diese Fragen sind wesentliche Gegenstände des beim Verwaltungsgerichtshof anhängigen außerordentlichen Revisionsverfahrens gegen das Erkenntnis vom 05.07.2024, Zl. W292 2284228-1/49E, 49E, sodass die Voraussetzungen für die Aussetzung des Verfahrens gemäß § 34 Abs. 3 VwGVG gegeben sind.

Das Beschwerdeverfahren ist daher bis zur Entscheidung durch den Verwaltungsgerichtshof über die außerordentliche Revision vom 16.08.2024 gegen das Erkenntnis des Bundesverwaltungsgerichts vom 05.07.2024, GZ W292 2284228-1/49E, auszusetzen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten (vgl. VwGH 13.09.2017, Ra 2017/12/0068).