VwGH dismisses appeal against administrative court for failing to find abuse of rights in excessive GDPR complaints.

Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.

I. 11. Mit Schreiben vom 17. Dezember 2021 wandte sich die erstmitbeteiligte Partei an das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz und brachte vor, dass es nach Medienberichten zu einem schwerwiegenden Datensicherheitsvorfall gekommen sei, von dem offenbar sowohl das Register der anzeigepflichtigen Krankheiten gemäß § 4 EpiG als auch das Register für Screeningprogramme gemäß § 5 EpiG betroffen sein dürften. Für diese Datenverarbeitung sei der für das Gesundheitswesen zuständige Minister (nunmehr: zuständige Ministerin [zweitmitbeteiligte Partei]) Verantwortlicher.

Der Erstmitbeteiligte gehe davon aus, dass in den genannten Datenverarbeitungen auch ihn betreffende Daten verarbeitet würden. Er ersuche daher gemäß Art. 15 Abs. 1 DSGVO zunächst um Bestätigung, dass ihn betreffende Daten verarbeitet würden. Wenn dies der Fall sei, werde um Bekanntgabe der in Art. 15 DSGVO genannten Informationen sowie um Übermittelung einer Kopie der ihn betreffenden personenbezogenen Daten ersucht.

2In der Folge beantragte der Erstmitbeteiligte mit Schreiben vom 2. Februar 2022 bei der Datenschutzbehörde (belangte Behörde), diese möge feststellen, dass er von der zweitmitbeteiligten Partei im Recht auf Geheimhaltung verletzt worden sei. Der zweitmitbeteiligten Partei sei aufzutragen, eine vollständige und den gesetzlichen Vorgaben entsprechende Auskunft zu erteilen. Er verwies dabei auf sein Schreiben vom 17. Dezember 2021 und darauf, dass bis dato keine Auskunft erteilt worden sei.

32. Die belangte Behörde lehnte die Datenschutzbeschwerde des Erstmitbeteiligten mit Bescheid vom 10. Mai 2022 ab.

4Dies begründete sie damit, dass die Behandlung der Beschwerde auf Grund der Exzessivität der Anträge des Erstmitbeteiligten abzulehnen gewesen sei. Seine nunmehr über 60 Beschwerden seien jedenfalls als „häufige Wiederholung“ im Sinn des Art 57 Abs. 4 DSGVO zu qualifizieren. Der Komplexitätsgrad der vom Erstmitbeteiligten bei der belangten Behörde in Gang gesetzten Verfahren sei hoch. Es würden dadurch auch auf Grund der durchwegs sehr umfangreichen Stellungnahmen des Erstmitbeteiligten überdurchschnittlich viele Ressourcen der belangten Behörde gebunden.

53. Gegen diesen Ablehnungsbescheid erhob der Erstmitbeteiligte Beschwerde.

64. Mit dem angefochtenen Erkenntnis vom 28. September 2022 gab das Verwaltungsgericht der Beschwerde Folge, hob den Bescheid der belangten Behörde auf und trug dieser die Fortsetzung des Verfahrens auf. Die Revision erklärte das Verwaltungsgericht für nicht zulässig.

7Das Verwaltungsgericht führte in der Begründung aus, dass die belangte Behörde die Ablehnung der Datenschutzbeschwerde allein auf die 63 bei ihr anhängigen Beschwerden des Erstmitbeteiligten gestützt hatte. Der Umstand, dass ein möglicher Betroffener ihm zustehende Rechte einer Vielzahl von Verantwortlichen gegenüber ausübe, werde so das Verwaltungsgericht ohne Hinzutreten weiterer Umstände nicht als exzessiv zu werten sein, zumal die zulässige Ausübung von Rechten ohne Anhaltspunkte eines Missbrauchscharakters nach der gesamten Intention der DSGVO zu keiner Einschränkung der Rechtsausübung möglicher Betroffener führen dürfe. Die von der belangten Behörde herangezogene Begründung liefere keine Anhaltspunkte dafür, dass die konkret zu Grunde liegende Datenschutzbeschwerde offenkundig unbegründet oder exzessiv im Sinn des Art. 57 Abs. 4 DSGVO wäre und die belangte Behörde daher deren Behandlung ablehnen dürfe. Der Bescheid sei somit zu beheben und der belangten Behörde die Fortsetzung des gesetzmäßigen Verfahrens aufzutragen gewesen.

85. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Amtsrevision.

9Im eingeleiteten Vorverfahren erstattete der Erstmitbeteiligte eine Revisionsbeantwortung, in der er die kostenpflichtige Zurück-, in eventu Abweisung der Revision beantragte.

II. Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen:

101.1. Das Vorbringen der Revision zur Begründung ihrer Zulässigkeit zielt zusammengefasst auf die Klärung der Voraussetzungen des Begriffs der „Exzessivität“ im Sinn des Art. 57 Abs. 4 DSGVO ab.

111.2. Die Revision erweist sich in Hinblick auf dieses Vorbringen als zulässig und aus nachstehenden Überlegungen auch als berechtigt.

122. Der vorliegende Fall gleicht hinsichtlich der zentralen Rechtsfrage der Voraussetzungen für die Annahme des Vorliegens eines Ablehnungsgrundes im Sinn des Art. 57 Abs. 4 DSGVO durch die Revisionswerberin dem Fall, der auch dem Erkenntnis des Verwaltungsgerichtshofes vom 29. Jänner 2025, Ra 2022/04/0049, zugrunde lag, weshalb gemäß § 43 Abs. 2 VwGG auf die dortigen Ausführungen verwiesen werden kann (vgl. dazu auch schon VwGH 29.1.2025, Ro 2022/04/0016).

Danach setzt zusammengefasst die Weigerung der Behandlung einer Datenschutzbeschwerde durch die Datenschutzbehörde gemäß Art. 57 Abs. 4 DSGVO eine von der Datenschutzbehörde nachzuweisende Missbrauchsabsicht der beschwerdeführenden Partei voraus. Von einer solchen Missbrauchsabsicht ist dann auszugehen, wenn die entscheidenden Gründe der beschwerdeführenden Partei für die Einbringung einer Vielzahl von Datenschutzbeschwerden nicht in der Verfolgung der ihr aus der DSGVO zukommenden Rechte liegen und die beschwerdeführende Partei ohne diese sachfremden Gründe die Vielzahl an Datenschutzbeschwerden nicht erhoben hätte.

13Vor dem Hintergrund der in dem erwähnten Erkenntnis dargelegten Rechtslage liegt fallbezogen ein sekundärer Feststellungsmangel vor.

Das Verwaltungsgericht hat im Zusammenhang mit der Frage der Exzessivität zwar ausgeführt, dass die zulässige Ausübung von Rechten ohne Anhaltspunkte eines Missbrauchscharakters nach der gesamten Intention der DSGVO zu keiner Einschränkung der Rechtsausübung möglicher Betroffener führen dürfe. Allerdings hat das Verwaltungsgericht in der Folge keine eigenen Feststellungen zu den von ihm selbst für maßgeblich erachteten Tatsachen getroffen, um seiner wenn auch auf die Frage der Ablehnung der Beschwerde beschränkten Entscheidungspflicht nachkommend darauf eine rechtliche Beurteilung zu gründen.

14Das Verwaltungsgericht war auf Grund der Beschwerde des Erstmitbeteiligten gegen den Ablehnungsbescheid der belangten Behörde verpflichtet, über die Frage der Rechtmäßigkeit der Ablehnung der Datenschutzbeschwerde wegen Vorliegens der Exzessivität gemäß Art. 57 Abs. 4 DSGVO zu entscheiden und falls erforderlich den zur Prüfung der Rechtmäßigkeit der Ablehnung der Datenschutzbeschwerde gemäß Art. 57 Abs. 4 DSGVO maßgeblichen Sachverhalt amtswegig selbst zu erheben, sofern nicht die Voraussetzungen für eine Zurückverweisung vorliegen.

Gelangt dabei das Verwaltungsgericht nach Durchführung des Ermittlungsverfahrens, das vorliegend die Einräumung von Parteiengehör zur Missbrauchsabsicht zu umfassen hat, zum Ergebnis, dass die Ablehnung der Behandlung der Datenschutzbeschwerde gemäß Art. 57 Abs. 4 DSGVO aus den von der Datenschutzbehörde herangezogenen Gründen inhaltlich rechtswidrig ist, so hat es den betreffenden Bescheid (ersatzlos) zu beheben (vgl. dazu nochmals VwGH Ra 2022/04/0049, Rn. 36).

153. Indem das Verwaltungsgericht dies verkannte und die zur Beurteilung der Exzessivität erforderlichen Feststellungen nicht traf, hat es seine Entscheidung mit inhaltlicher Rechtswidrigkeit belastet, weshalb das angefochtene Erkenntnis gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben war.

Wien, am 31. März 2025