DSGVO - „exzessive Anfragen“

DSGVO: Art 57

1. Infolge der Vorabentscheidung in diesem Verfahren EuGH 9. 1. 2025, C-416/23, RdW 2025/153, hat der VwGH nun ua ausgesprochen, dass die Datenschutzbehörde die Behandlung einer Datenschutzbeschwerde gem Art 57 Abs 4 DSGVO nur bei Vorliegen von Missbrauchsabsicht der bf P verweigern darf und der Aufsichtsbehörde dabei für das Vorliegen der Missbrauchsabsicht die Beweislast obliegt. Allein die überdurchschnittlich hohe Anzahl von Beschwerden einer Person reicht nicht als Nachweis, kann jedoch ein Indiz für Missbrauchsabsicht sein.

Von einer Missbrauchsabsicht ist dann auszugehen, wenn die Erhebung von Datenschutzbeschwerden erfolgt, ohne dass dies objektiv erforderlich ist, um die Rechte der bf P aus der DSGVO schützen, sondern einem anderen Zweck dient und die bf P ohne diese sachfremden Gründe die Vielzahl an Datenschutzbeschwerden nicht erhoben hätte. Das Vorliegen eines solchen anderen Zwecks ist anhand aller relevanten Umstände jedes Einzelfalls und hinsichtlich der von der Datenschutzbehörde konkret abgelehnten Beschwerde festzustellen. Lediglich als ein Beispiel für das Vorliegen eines anderen Zwecks führt der EuGH die Absicht der bf P an, das ordnungsgemäße Funktionieren der Behörde zu beeinträchtigen, indem sie die Behörde mit Anfragen überflutet.

Ein Indiz für andere Ziele hinter einer hohen Zahl von Datenschutzbeschwerden gegen eine Vielzahl von Verantwortlichen ist etwa, wenn die bf P zu den Verantwortlichen keinen Bezug hat und keine Anhaltspunkte für die Verarbeitung personenbezogener Daten der bf P durch die Verantwortlichen bestehen.

Andererseits ist vom bloßen Umstand, dass die bf P einen Bezug zu der Vielzahl von Verantwortlichen hat und davon auszugehen ist, dass diese Verantwortlichen personenbezogene Daten der bf P verarbeiten, nicht von vornherein darauf zu schließen, dass es der bf P tatsächlich um den Schutz ihrer Rechte aus der DSGVO geht und nicht vielmehr um die Verfolgung anderer Interessen und Ziele. Veranlasst etwa eine bf P lediglich deshalb eine Verarbeitung ihrer personenbezogenen Daten durch einen Verantwortlichen, um in weiterer Folge ihre Rechte aus der DSGVO gegenüber dem Verantwortlichen geltend machen zu können (wie etwa das Auskunftsrecht nach Art 15), und besteht nur deswegen eine Beziehung zum Verantwortlichen, ist in Bezug auf eine spätere Datenschutzbeschwerde Missbrauchsabsicht der bf P anzunehmen.

2. Bei Vorliegen exzessiver Datenschutzbeschwerden einer bf P besteht für die Datenschutzbehörde gem Art 57 Abs 4 DSGVO die Wahl zwischen der Einhebung einer angemessenen Gebühr für deren Bearbeitung und der Weigerung, aufgrund der Datenschutzbeschwerden tätig zu werden. Die Datenschutzbehörde hat dabei alle relevanten Umstände zu berücksichtigen und auf die Eignung, Erforderlichkeit und Verhältnismäßigkeit beider Optionen Bedacht zu nehmen.

Da mit dem Verlangen einer angemessenen Gebühr die Rechte einer bf P aus der DSGVO in geringerem Maße beeinträchtigt werden, steht die Gebühreneinhebung an sich im Einklang mit dem Grundsatz der Verhältnismäßigkeit. Allein daraus ist jedoch noch nicht auf den Vorzug der Einhebung einer Gebühr zu schließen. Vielmehr ist auch die Eignung dieser Option zu prüfen, das Ziel des Art 57 Abs 4 DSGVO (Verhinderung von Missbrauch) zu erreichen. Die Eignung der Gebühreneinhebung wird etwa dann zu verneinen sein, wenn die Vollstreckbarkeit der Gebührenvorschreibung aufgrund der finanziellen Lage der bf P zweifelhaft ist, wenn anzunehmen ist, dass die bf P die Rechtsschutzmöglichkeiten gegen einen Gebührenbescheid ebenfalls ausnützen wird, um die Behörden lahmzulegen, oder wenn die bf P trotz Gebührenvorschreibung von der Einbringung exzessiver Datenschutzbeschwerden nicht Abstand nimmt.

VwGH 29. 1. 2025, Ra 2023/04/0002

Entscheidung

„Sache“ des Beschwerdeverfahrens

Vorliegend hat die Datenschutzbehörde die Behandlung der Datenschutzbeschwerde gem Art 57 Abs 4 DSGVO abgelehnt. Damit hat sie die Datenschutzbeschwerde des Mitbeteiligten gerade nicht inhaltlich geprüft und über sie nicht inhaltlich entschieden.

„Sache“ des Beschwerdeverfahrens vor dem VwG ist daher lediglich die Frage der Rechtmäßigkeit der Ablehnung der inhaltlichen Behandlung der Datenschutzbeschwerde. Das VwG hat daher weder die Datenschutzbeschwerde inhaltlich zu prüfen noch darüber inhaltlich zu entscheiden. Eine solche meritorische Entscheidung über die Datenschutzbeschwerde hätte vielmehr eine rechtswidrige Überschreitung des Gegenstands des Bescheidbeschwerdeverfahrens zur Folge.

Das VwG ist nicht auf die Prüfung der konkreten Begründung der Datenschutzbehörde beschränkt, sondern hat den von der Datenschutzbehörde herangezogenen Ablehnungsgrund umfassend und abschließend zu beurteilen. Falls erforderlich (und kein Fall des § 28 Abs 3 zweiter Satz VwGG vorliegt), hat das VwG den zur Prüfung der Rechtmäßigkeit der Ablehnung der Datenschutzbeschwerde maßgeblichen Sachverhalt amtswegig selbst zu erheben.

Fehlende Feststellungen

Die Datenschutzbehörde begründete die Ablehnung der Datenschutzbeschwerde des Mitbeteiligten gem Art 57 Abs 4 DSGVO wegen Vorliegens exzessiver Anfragen dahin, dass der Mitbeteiligte seit August 2018 77 Beschwerden bei ihr anhängig gemacht habe (vier Datenschutzbeschwerden im Jahr 2018, 53 im Jahr 2019 und 20 in den ersten drei Monaten des Jahres 2020), weshalb im Hinblick auf Telefonate mit dem Mitbeteiligten anzunehmen sei, dass er auch zukünftig die Tätigkeit der Datenschutzbehörde massiv in Anspruch nehmen werde. Die Sachverhalte, die den Datenschutzbeschwerden zugrunde liegen, seien im Wesentlichen gleich. Der Mitbeteiligte richte zunächst an jeweils verschiedene Verantwortliche, mit denen er im Laufe der Zeit zu tun gehabt habe, Anträge auf Auskunft bzw Löschung und bringe in der Folge eine Datenschutzbeschwerde ein, wenn der Verantwortliche nicht innerhalb eines Monats geantwortet habe. Die „Ein-Monats-Frist“ sei bei Beschwerdeeinbringung oftmals erst wenige Tage überschritten.

Auch in der Revision begründete die Datenschutzbehörde die Erfüllung des Tatbestandes der Exzessivität lediglich mit der Einbringung von insg 77 Datenschutzbeschwerden innerhalb von eineinhalb Jahren. Diese Anzahl an Datenschutzbeschwerden übersteige jene Zahl an Beschwerden, „die ein durchschnittlich Normunterworfener in derselben Zeitspanne zur Wahrung seiner Rechte erheben würde“. Mit dieser Begründung legt die Datenschutzbehörde keine Missbrauchsabsicht des Mitbeteiligten entsprechend der Auslegung des Art 57 Abs 4 DSGVO durch den EuGH dar. Auch mit dem Hinweis auf eine erhebliche Inanspruchnahme ihrer Ressourcen infolge der überdurchschnittlich hohen Zahl der Datenschutzbeschwerden des Mitbeteiligten vermag die Datenschutzbehörde für sich genommen keine Missbrauchsabsicht des Mitbeteiligten nachzuweisen.

Das VwG hatte jedoch den herangezogenen Ablehnungsgrund „exzessiver Anfragen“ von sich aus umfassend und abschließend zu prüfen und ist insofern seiner umfassenden und abschließenden Prüfungspflicht dieses Ablehnungsgrundes nicht hinreichend nachgekommen. Den Feststellungen des VwG lässt sich zwar entnehmen, dass der Mitbeteiligte seine Datenschutzbeschwerden gegen Verantwortliche richtete, mit denen er im Laufe der Zeit zu tun hatte, zu denen er also einen Bezug hatte. Darüber hinaus kann jedoch eine Missbrauchsabsicht des Mitbeteiligten nicht abschließend beurteilt werden, weil es ergänzender Ermittlungen zum Vorliegen einer Missbrauchsabsicht bedarf.

Ergebnis

Das angefochtene Erkenntnis war daher gem § 42 Abs 2 Z 1 VwGG aufzuheben. Das VwG wird im fortzusetzenden Verfahren mit den Parteien das Vorliegen einer Missbrauchsabsicht im Lichte der Rsp zu erörtern und ausgehend davon gegebenenfalls das Ermittlungsverfahren und die Feststellungen, etwa über die Beweggründe der Auskunfts- und Löschungsbegehren und der erhobenen Datenschutzbeschwerden, amtswegig zu ergänzen haben.

Für den Fall der Bejahung einer Missbrauchsabsicht hat das VwG in weiterer Folge zu beurteilen, ob die Weigerung zum Tätigwerden im Verhältnis zur Einhebung einer Gebühr geeignet, erforderlich und verhältnismäßig ist.