EuGH: DSGVO bei parlamentarischen Untersuchungsausschüssen?

AEUV: Art 16

DSGVO: Art 2, Art 51, Art 55, Art 77

In ihrer Datenschutzbeschwerde erachtet sich eine Auskunftsperson durch die Veröffentlichung des Protokolls ihrer Einvernahme vor dem BVT-Untersuchungsausschuss auf der Website des österreichischen Parlaments unter Nennung des vollständigen Namens in ihrem Recht auf Geheimhaltung bzw ihrem Grundrecht auf Schutz personenbezogener Daten iSd Art 8 GRC verletzt. Der VwGH wollte in diesem Zusammenhang vom EuGH ua wissen, ob die Tätigkeiten von parlamentarischen Untersuchungsausschüssen – unabhängig vom Untersuchungsgegenstand – in den Anwendungsbereich des Unionsrechts fallen und die DSGVO somit auf die Verarbeitung personenbezogener Daten durch einen parlamentarischen Untersuchungsausschuss eines Mitgliedstaates anwendbar ist. Der EuGH kam zu folgendem Ergebnis:

Eine Tätigkeit liegt nicht allein deshalb außerhalb des Anwendungsbereichs des Unionsrechts (iSv Art 16 Abs 2 Satz 1 AEUV) – und damit der auch der DSGVO –, weil sie von einem Untersuchungsausschuss ausgeübt wird, der vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzt wurde. Gem Art 2 Abs 2 Buchst a DSGVO findet diese VO keine Anwendung auf die Verarbeitung personenbezogener Daten „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“. Art 2 Abs 2 Buchst a DSGVO ist eng auszulegen und soll allein Datenverarbeitungen vom Anwendungsbereich der DSGVO ausnehmen, die von staatlichen Stellen im Rahmen einer Tätigkeit zur Wahrung der nationalen Sicherheit (oder einer Tätigkeit derselben Kategorie) vorgenommen werden. Die Tätigkeiten eines Untersuchungsausschusses eines nationalen Parlaments zur Ausübung des Kontrollrechts der Vollziehung, die der Untersuchung der Tätigkeiten einer polizeilichen Staatsschutzbehörde aufgrund des Verdachts politischer Einflussnahme auf diese Behörde dienen, sind als solche nicht als Tätigkeiten betr die nationale Sicherheit iS dieser Bestimmung anzusehen.

Im Rahmen seines Ermessensspielraums gem Art 51 Abs 1 DSGVO kann jeder Mitgliedstaat so viele Aufsichtsbehörden einrichten, wie insb aufgrund seiner verfassungsmäßigen Struktur erforderlich sind. In Fällen, in denen sich ein Mitgliedstaat für die Einrichtung einer einzigen Aufsichtsbehörde entscheidet, ist diese Behörde zwangsläufig mit allen Zuständigkeiten ausgestattet, die die DSGVO den Aufsichtsbehörden überträgt. Hat ein Mitgliedstaat im Einklang mit Art 51 Abs 1 DSGVO somit bloß eine einzige Aufsichtsbehörde eingerichtet, sie aber nicht mit der Zuständigkeit für die Überwachung der Anwendung der DSGVO durch einen parlamentarischen Untersuchungsausschuss ausgestattet, ist dieser Behörde unmittelbar die Zuständigkeit übertragen, über Beschwerden betreffend die Verarbeitungen personenbezogener Daten durch diesen Untersuchungsausschuss zu befinden. Der Mitgliedstaat kann sich in diesem Zusammenhang nicht auf Bestimmungen des nationalen Rechts berufen – auch wenn sie Verfassungsrang haben –, um Verarbeitungen personenbezogener Daten, die in den Anwendungsbereich der DSGVO fallen, der Überwachung durch diese Behörde zu entziehen.

EuGH 16. 1. 2024, C-33/22, Österreichische Datenschutzbehörde