Bundesverwaltungsgericht W137 2288040-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 16.12.2024
• ECLI: ECLI:AT:BVWG:2024:W137.2288040.1.00

Spruch

W137 2288040-1/4E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie MMag. Jakob KALINA als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch XXXX gegen den Bescheid der Datenschutzbehörde vom 14.07.2021, GZ. D124.2311, 2020-0.636.479, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit verfahrensleitender Eingabe vom 20.03.2020, verbessert mit Schriftsatz vom 28.05.2020, erhob XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde u.a. gegen den Magistrat der Stadt Wien (MA 62) (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, dass am 20.03.2019 auf einer Dienststelle der Polizeiinspektion XXXX (PI) eine Abfrage des Lichtbildes aus dem Identitätsdokumentenregister (IDR) zu ihrem Reisepass durch Polizeibeamte der Landespolizeidirektion XXXX (LPD) durchgeführt worden sei, ohne dass eine gerichtlich strafbare Handlung vorgelegen wäre. Somit seien sowohl die LPD als auch die mitbeteiligte Partei verantwortlich für die Weitergabe ihrer Daten.

2. Mit Stellungnahme vom 10.08.2020 führte die mitbeteiligte Partei zur Datenschutzbeschwerde im Wesentlichen folgendes aus:

Die gegenständliche IDR-Abfrage sei infolge eines Einsatzes durch Lärmerregung und ungebührliches Verhalten der Beschwerdeführerin in einer BILLA-Filiale erfolgt. Für die automatische Zugriffsmöglichkeit der Polizei auf personenbezogene Reisedokumente-Daten im Zentralen Identitätsdokumentenregister bedürfe es keiner zusätzlichen Zustimmung und keines Verarbeitungsvorgangs durch die mitbeteiligte Partei. Für den Zugriff auf das die Beschwerdeführerin betreffende Passfoto sei somit die LPD Verantwortliche nach Art. 4 Z 7 DSGVO.

3. Mit Schreiben vom 28.09.2020 gab die Beschwerdeführerin zu ihrer Datenschutzbeschwerde ergänzend folgendes an:

Entsprechend dem Passgesetz sei die mitbeteiligte Partei ex lege (gemeinsam) Verantwortlicher neben der LPD. Darüber hinaus würden keine weiteren Verantwortlichen existieren, jedoch mehrere Auftragsverarbeiter iSd Art. 4 Z 8 DSGVO.

4. Mit Bescheid vom 14.07.2021, GZ. D124.2311, 2020-0.636.479, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 28.05.2020 ab.

In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Die mitbeteiligte Partei sei eine Passbehörde.

Aufgrund der zur Anzeige gebrachten Lärmerregung gemäß § 1 Abs. 1 Z 2 des Wiener Landes-Sicherheitsgesetzes (WLSG) sei die Beschwerdeführerin in einer BILLA-Filiale von Polizeibeamten zur Ausweisleistung aufgefordert worden, um ihre Identität feststellen zu können, was jedoch verweigert worden sei.

Im Zuge der Personendurchsuchung sei in der Handtasche der Beschwerdeführerin eine Legitimationskarte vorgefunden worden, die aber den Polizeibeamten von der Beschwerdeführerin weggerissen worden sei.

Aufgrund dieses Verhaltens sei sie von den Polizeibeamten in die PI verbracht worden und es sei anschließend zu einer Anzeigenerstattung gemäß § 81 Abs. 1 SPG gekommen.

In der PI sei die Identität der Beschwerdeführerin mittels einer IDR-Lichtbildabfrage durch Bedienstete der LPD festgestellt worden.

Eine Weitergabe der Daten der Beschwerdeführerin an die LPD sei nicht erfolgt.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

§ 22b Abs. 1 PassG 1992 normiere, dass Passbehörden als gemeinsame Verantwortliche gemäß Art. 4 Z 7 iVm Art. 26 Abs. 1 DSGVO ermächtigt seien, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach § 22a Abs. 1, sohin auch Lichtbilder, mit Ausnahme der lit. k, sowie ab dem Zeitpunkt der Ausstellung auch zusätzliche Daten gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff habe, die dieser von den anderen Verantwortlichen zur Verfügung gestellt worden seien.

Im vorliegenden Fall habe die mitbeteiligte Partei jedoch bloß die Infrastruktur zur Verfügung gestellt, um Abfragen aus dem IDR zu tätigen. Bei den abfragenden Personen handle es sich um Bedienstete der LPD, die eigenständig ohne Vorabprüfung Abfragen aus diesem Register hätten tätigen können. Der gegenständliche Zugriff auf den die Beschwerdeführerin betreffenden IDR-Eintrag sei zu Zwecken der Identitätsfeststellung im Rahmen eines sicherheitspolizeilichen Einsatzes und sohin zu Zwecken, die außerhalb der Tätigkeit der mitbeteiligten Partei liegen würden, erfolgt. Daher sei die mitbeteiligte Partei nicht als Verantwortliche zu qualifizieren.

5. In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:

Die Datenschutzbehörde habe zu Unrecht festgestellt, dass die mitbeteiligte Partei lediglich ein Infrastrukturbetreiber sei, denn aus § 22b Abs. 1b PassG ergebe sich, dass der Bundesminister für Inneres Auftragsverarbeiter bzw. Infrastrukturbetreiber sei. Außerdem weise die mitbeteiligte Partei auf die technische Unmöglichkeit hin, Protokolldaten zu beauskunften, was wiederum nicht für die Eigenschaft eines Infrastrukturbetreibers bzw. Auftragsverarbeiters spreche. Die Bezugnahme auf eine bestimmte Tätigkeit ändere nichts an der datenschutzrechtlichen Rolle bzw. der Verantwortlichkeit der mitbeteiligten Partei, da es keine verschiedene, getrennte Verantwortlichkeiten für dieselben Datensätze bzw. Datenbanken geben könne, sondern nur eine (gemeinsame) Verantwortlichkeit.

Beantragt werde, das Bundesverwaltungsgericht möge die Verantwortlichkeit der mitbeteiligten Partei feststellen und den angefochtenen Bescheid aufheben und die entsprechenden Bestimmungen im PassG aufgrund möglicher Verfassungswidrigkeit dem Verfassungsgerichtshof vorzulegen.

6. Mit Schreiben der Datenschutzbehörde vom 06.03.2024, hg. eingelangt am 08.03.2024, wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die mitbeteiligte Partei ist eine Passbehörde.

Am 20.03.2019 wurde ein Streifendienst der Polizei wegen Störung der öffentlichen Ordnung nach § 81 SPG bzw. ungebührendem Lärm nach § 1 Abs. 1 Z 2 WLSG durch die Beschwerdeführerin in eine BILLA-Filiale beordert. Im Zuge der in weiterer Folge in der Filiale erfolgten Amtshandlung wurde die Beschwerdeführerin aufgefordert, sich gegenüber den einschreitenden Polizeibeamten zu legitimieren.

Die Beschwerdeführerin hat daraufhin den einschreitenden Beamten ihren Namen und ihr Geburtsdatum genannt. Eine Ausweisleistung erfolgte von Seiten der Beschwerdeführerin nicht, weshalb ihr eine Festnahme nach § 35 Z 1 VStG angedroht wurde.

In der Filiale vor Ort durchgeführte EKIS-Abfragen mit dem dienstlich zugewiesenen Mobiltelefon ergaben für die einschreitenden Polizeibeamten keine Einsicht auf Lichtbilder der Beschwerdeführerin, woraufhin die Beschwerdeführerin zum Zweck der Durchführung einer IDR-Lichtbildabfrage gemäß § 35 Z 1 VStG von den Polizeibeamten festgenommen und auf die Polizeiinspektion gebracht wurde. Dort erfolgte eine Identitätsfeststellung der Beschwerdeführerin durch Abfrage ihres Lichtbildes aus dem IDR zu ihrem Reisepass und die erfolgte Festnahme der Beschwerdeführerin wurde in weiterer Folge aufgehoben.

Die mitbeteiligte Partei hatte weder darauf Einfluss, dass Polizeibeamte der LPD eine Abfrage aus dem IDR durchgeführt haben noch auf Inhalt oder Zweck dieser Abfrage.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt.

Die Feststellungen zum Polizeieinsatz am 20.03.2019, die anschließend zur Festnahme der Beschwerdeführerin führte, und die in der PI erfolgte IDR-Abfrage durch Polizeibeamte der LPD ergeben sich einerseits aus der Anzeige der LPD vom 21.03.2019 und andererseits aus den Angaben der Beschwerdeführerin in ihrer Datenschutzbeschwerde.

Die Feststellungen zum Zweck der IDR-Abfrage folgen aus der Anzeige der LPD vom 21.03.2019 und aus den Ausführungen der mitbeteiligten Partei in der Stellungnahme vom 10.08.2020 und werden von der Beschwerdeführerin auch nicht bestritten.

Dass die mitbeteiligte Partei keinen Einfluss auf die durchgeführte IDR-Abfrage der LPD hatte, folgt aus den Angaben in ihrer Stellungnahme vom 10.08.2020 sowie aus dem Schreiben des Bundesministers für Inneres, aufrufbar über folgende Internetadresse: https://www.bmi.gv.at/402/files/Informationen/sektion_iii/BF_Zentrales_Identitaetsdokumentenregister_IDR_inkl_e-card_01012020_V2.pdf.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Zu A)

3.3. Die maßgeblichen Bestimmungen der DSGVO

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. -6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

9. - 26. (…)

Die maßgeblichen Bestimmungen des DSG

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.4. Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Der EuGH hält in ständiger Rechtsprechung fest, dass der Begriff des Verantwortlichen weit definiert ist, um einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten. Weiters hat der EuGH ausgesprochen, dass der Begriff auch mehrere an der Datenverarbeitung beteiligte Akteure erfassen kann (wobei die Personen in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein können) und dass jede Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel der Datenverarbeitung mitwirkt, als Verantwortlicher angesehen werden kann. Hingegen können Personen für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegen, nicht als Verantwortliche angesehen werden. Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet (zum Ganzen VwGH 27.06.2023, Ro 2023/04/0013, Rz 22 mit Verweis auf EuGH 29.07.2019, C-40/17, Fashion ID).

Auch nach der Rechtsprechung des Verwaltungsgerichtshofes ist für die Qualifikation als (damals noch) Auftraggeber (nunmehr Verantwortlicher) maßgeblich, wer die Entscheidung getroffen hat, die Daten zu verarbeiten (vgl. VwGH 18.3.2022, Ro 2020/04/0027, Rn. 21, mwN).

In den neuen Guidelines 07/2020 V 1.0, Rz 19 legt der Europäische Datenschutzausschuss (EDSA) ein besonderes Augenmerk auf das Tatbestandselement »entscheidet«, also auf den Einfluss des Verantwortlichen auf die Verarbeitung aufgrund der Ausübung der Entscheidungsbefugnis. Diese Kontrollbefugnis kann gesetzlich definiert sein oder sich aus einer Analyse der Tatsachenelemente oder Umstände des Falles ergeben. Man sollte sich dabei die fraglichen spezifischen Verarbeitungsvorgänge ansehen und verstehen, wer sie bestimmt, indem man zunächst die folgenden Fragen überlegt: „Warum findet diese Verarbeitung statt?“ und „Wer hat entschieden, dass die Verarbeitung für einen bestimmten Zweck erfolgen soll?“

Ergibt sich die Stellung als Verantwortlicher nicht aufgrund gesetzlicher Bestimmungen, muss die Qualifikation einer Partei als Verantwortlicher auf der Grundlage einer Bewertung der tatsächlichen Umstände der Verarbeitung festgestellt werden. Dabei müssen alle relevanten tatsächlichen Umstände berücksichtigt werden. Daher ergibt sich die Rolle eines Verantwortlichen nicht aus der Art einer Stelle, die Daten verarbeitet, sondern aus ihrer konkreten Tätigkeit in einem bestimmten Kontext. Mit anderen Worten: Dieselbe Stelle kann gleichzeitig als Verantwortlicher für bestimmte Verarbeitungen und als Auftragsverarbeiter für andere Verarbeitungen tätig sein. Als einziges konkretes Beispiel für die Bewertung der tatsächlichen Umstände führt der EDSA das (unproblematische und damit nur wenig hilfreiche) Beispiel der Verarbeitung von Daten durch eine Rechtsanwaltskanzlei an, welche diese zur Erfüllung ihrer Aufgabe als gesetzlicher Vertreter eines Unternehmens vornimmt (Guidelines 07/2020 V 1.0, Rz 22).

Nach Ansicht des EDSA stellt das Tatbestandselement »Zwecke und Mittel« der Verarbeitung den wesentlichen Teil des Konzeptes dar, der bestimmen soll, ob eine Stelle als Verantwortlicher zu qualifizieren ist. Beim Zweck der Datenverarbeitung wird dabei auf das erwartete Ergebnis abgestellt, das beabsichtigt ist oder die geplanten Aktionen leitet (das Warum). Mit den Mitteln ist die Art und Weise gemeint, wie das Ergebnis oder Zielerreicht wird (das Wie). Bei einer konkreten Verarbeitung ist der Verantwortliche der Akteur, der bestimmt hat, warum die Verarbeitung stattfindet (dh „zu welchem Zweck“; oder „wozu“) und wie dieses Ziel erreicht werden soll (dh welche Mittel zur Erreichung des Ziels eingesetzt werden sollen) (Guidelines 07/2020 V 1.0, Rz 30 f).

Der Verantwortliche muss sowohl über den Zweck als auch über die Mittel der Verarbeitung entscheiden. Infolgedessen kann sich der Verantwortliche nicht damit begnügen, nur den Zweck zu bestimmen. Er muss auch Entscheidungen über die Mittel der Verarbeitung treffen. Umgekehrt kann die als Auftragsverarbeiter handelnde Stelle niemals den Zweck der Verarbeitung bestimmen. Diese – im Vergleich zu WP 169 – nunmehr eindeutige Aussage in Rz 34 der Guidelines 07/2020 V 1.0 deckt sich mit der Rsp des EuGH zu den Anforderungen an die Qualifikation als Verantwortlicher (z.B. EuGH 29.07.2019, C-40/17 [Fashion ID], siehe dazu Art. 36, Rz 11) (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO [Stand1.12.2020, rdb.at]).

3.5. Vor dem Hintergrund dieser Ausführungen wird deutlich, dass im vorliegenden Fall – in Übereinstimmung der Ausführungen der belangten Behörde im angefochtenen Bescheid – die mitbeteiligte Partei nicht als Verantwortliche iSd Art. 4 Z 7 DSGVO anzusehen ist:

Die Beschwerdeführerin wirft der mitbeteiligten Partei vor, dass sie ihr Reisepass, somit personenbezogene Daten, im Zuge einer IDR-Abfrage durch Bedienstete der LPD rechtswidrig offengelegt habe, ohne dass dabei eine gerichtlich strafbare Handlung vorgelegen wäre. Daher sei die mitbeteiligte Partei für die Weitergabe ihrer Daten als Verantwortliche iSd Art. 4 Z 7 DSGVO zu betrachten. Dadurch habe die mitbeteiligte Partei sie in ihrem Recht auf Geheimhaltung verletzt. Die belangte Behörde habe allerdings zu Unrecht festgestellt, dass die mitbeteiligte Partei lediglich ein Infrastrukturbetreiber sei, denn aus § 22b Abs. 1b PassG ergebe sich die Eigenschaft des Bundesministers für Inneres als Auftragsverarbeiter bzw. Infrastrukturbetreiber, dem aus nachstehenden Gründen nicht zu folgen sei.

Die mitbeteiligte Partei bringt in ihrer Stellungnahme vom 10.08.2020 vor, dass die LPD Verantwortliche nach Art. 4 Z 7 DSGVO sei und wies auf ein Schreiben des Bundesministers für Inneres „Information zu der Verarbeitung ‚Lokales Identitätsdokumentenregister (IDR)‘ gemäß Art. 13 und 14 Datenschutz-Grundverordnung (DSGVO)“ hin, nach dem der Bundesminister für Inneres Verantwortlicher für die Verarbeitung personenbezogener Daten für Zwecke der lokalen Evidenz zur Ausstellung von Reisepässen sei. Der Bundesminister für Inneres habe den Sicherheitsbehörden einen Zugriff auf Reisepass- und Personalausweisdaten samt Lichtbild im Wege des Zentralen Identitätsdokumentenregisters gemäß § 22b Abs. 4 2. Satz PassG eingeräumt und es bedürfe für diese automatische Zugriffsmöglichkeit der Polizei auf personenbezogenen Daten in Reisedokumenten im Zentralen Identitätsdokumentenregister keiner zusätzlichen Zustimmung und keines Verarbeitungsvorgangs durch die mitbeteiligte Partei, weswegen sie nicht die Verantwortliche für die gegenständliche Datenverarbeitung sei.

Im vorliegenden Fall erfolgte die Abfrage aus dem IDR im Zuge einer Identitätsfeststellung der Beschwerdeführerin nach § 34b VStG und zwar wegen des gegen die Beschwerdeführerin gerichteten Vorwurfes, verwaltungsstrafrechtliche Übertretungen nach dem SPG und WLSG begangen zu haben. Dabei wurde die Beschwerdeführerin im Zuge der Amtshandlung von den im Rahmen der Sicherheitsverwaltung einschreitenden Polizeibeamten der LPD XXXX zur Ausweisleistung aufgefordert und ihr im Falle der Nichtbefolgung eine Festnahme angedroht. Da in weiterer Folge keine Ausweisleistung von Seiten der Beschwerdeführerin erfolgte und auch eine Einsichtnahme in das EKIS Register auf dem Diensthandy der Polizeibeamten fehlschlug, wurde die Beschwerdeführerin zum Zweck der Identitätsfeststellung anhand einer IDR-Abfrage auf der Polizeiinspektion nach § 35 Z 1 VStG festgenommen und im Zuge dessen die gegenständliche Abfrage getätigt.

Zunächst ist darauf hinzuweisen, dass die Bestimmung des § 22b Abs. 1 b PassG zur Bestimmung der Verantwortlicheneigenschaft für den vorliegenden Fall nicht einschlägig ist, da der letzte Satz den Zweck der Verarbeitung der personenbezogenen Daten im Rahmen der zentralen Evidenz wie folgend festlegt: „Zweck dieser Verarbeitung ist es, eine Behörde gemäß Abs. 4 über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen.“

Somit kommen zur Bestimmung des Verantwortlichen iSd Art. 4 Z 7 DSGVO nur die Regelungen des SPG, die für den Polizeieinsatz am 20.03.2019 anwendbar sind, in Betracht.

Die Bestimmung des § 52 SPG ermächtigt die Sicherheitsbehörden personenbezogene Daten von Personen zu verarbeiten, soweit dies zur Erfüllung der ihnen übertragenen Aufgaben erforderlich ist.

Gemäß § 51 Abs. 1 SPG haben die Sicherheitsbehörden beim Verarbeiten (§ 36 Abs. 2 Z 2 DSG) personenbezogener Daten die Verhältnismäßigkeit (§ 29) zu beachten. Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß § 39 DSG ist zulässig, soweit dies zur Erfüllung der Aufgaben im Rahmen der Sicherheitspolizei unbedingt erforderlich ist; dabei sind angemessene Vorkehrungen zur Wahrung der Geheimhaltungsinteressen der Betroffenen zu treffen.

Gemäß Abs. 2 leg.cit. finden, sofern nicht ausdrücklich anderes angeordnet wird, auf das Verarbeiten personenbezogener Daten die Bestimmungen des DSG Anwendung.

Gemäß Abs. 3 leg.cit. übt der Bundesminister für Inneres die Funktion des Auftragsverarbeiters gemäß § 36 Abs. 2 Z 9 in Verbindung mit § 48 DSG aus, sofern nicht ausdrücklich anderes angeordnet wird. Abweichend von § 48 Abs. 2 DSG kann der Auftragsverarbeiter nach Erteilung einer allgemeinen schriftlichen Genehmigung des Verantwortlichen weitere Auftragsverarbeiter hinzuziehen. In diesem Fall obliegt es dem Auftragsverarbeiter, den Verantwortlichen über jede beabsichtigte wesentliche Änderung zu unterrichten.

Gemäß Abs. 4 leg.cit. obliegt bei Datenverarbeitungen von gemeinsam Verantwortlichen (§ 47 DSG) jedem Verantwortlichen die Erfüllung von Pflichten nach den §§ 42 bis 45 DSG nur hinsichtlich der von ihm ursprünglich verarbeiteten Daten. Nimmt ein Betroffener unter Nachweis seiner Identität ein Recht nach den §§ 43 bis 45 DSG gegenüber einem unzuständigen gemeinsam Verantwortlichen wahr, ist er an den zuständigen gemeinsam Verantwortlichen zu verweisen, sofern nicht ein Fall des § 43 Abs. 4 DSG vorliegt.

Im SPG sind keine rechtlichen Vorschriften erkennbar, die die datenschutzrechtliche Verantwortlichkeit für eine Abfrage aus dem IDR im Zuge einer Identitätsfeststellung zuweist.

Die Verantwortlichkeit für die Datenverarbeitung ist daher danach zu bestimmen, wer über Zweck und Mittel der Datenverarbeitung bestimmt hat.

Die Polizeibeamten als Bedienstete der LPD haben selbst und alleine für die LPD bestimmt, dass sie nach einer erfolgten Festnahme der Beschwerdeführerin eine Abfrage aus dem IDR im Zuge der Identitätsfeststellung tätigen. Sie haben damit Zweck, die Feststellung der Identität der Beschwerdeführerin, der Datenverarbeitung alleine bestimmt.

Damit ist die LPD, der das Handeln der Polizeibeamten zuzurechnen ist, als alleinige Verantwortliche anzusehen.

3.6. Der zuständige Senat gelangt daher – wie schon die Behörde im erstinstanzlichen Verfahren – zu dem Ergebnis, dass der mitbeteiligten Partei im vorliegenden Fall keine Verantwortlicheneigenschaft iSd Art. 4 Z 7 DSGVO zukommt und folglich für eine etwaige Verletzung im Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten der Beschwerdeführerin nicht in Frage kommt.

Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG abzuweisen.

3.7. Weiters beantragte die Beschwerdeführerin, die entsprechenden Bestimmungen im PassG aufgrund möglicher Verfassungswidrigkeit, nämlich das Gesetz entspreche nicht der Verwaltungspraxis nach Art. 18 Abs. 1 B-VG, dem Verfassungsgerichtshof zur Prüfung vorzulegen. Nach Auffassung des Bundesverwaltungsgerichtes vermag die Beschwerdeführerin jedoch mit diesem pauschalen Vorbringen ohne konkrete Anhaltspunkte keine verfassungsrechtlichen Bedenken aufzuzeigen, weshalb eine diesbezügliche nähere Auseinandersetzung unterbleiben kann.

3.8. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Die Beschwerdeführerin hat die Durchführung einer mündlichen Verhandlung nicht beantragt.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Das Unterlassen einer mündlichen Verhandlung kann im gegenständlichen Fall jedenfalls darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.