Das BVwG hat sich mit der Frage der Beschwerdelegitimation und dem Verhältnis von § 24 DSG zu Art 77 DSGVO auseinandergesetzt. In der Entscheidung folgt das BVwG der im DatKomm vertretenen Meinung.

Die Entscheidung der DSB:

Die DSB ist sehr formell in den Entscheidungen, wenn der/die Beschwerdeführer*In zB den Beschwerdegegenstand erweitert oder ergänzt oder auch mehrere unterschiedliche Rechte in einer Beschwerde zusammengefasst werden.

In einer jüngst ergangenen Entscheidung, die beim BVwG bekämpft wurde, hat die DSB dazu ausgeführt, und die Beschwerde aufgrund formeller Mängel zurückgewiesen:

„Zwar kann der verfahrenseinleitende Antrag in jeder Lage des Verfahrens bis zu einer allfälligen Schließung des Ermittlungsverfahrens (§ 39 Abs. 3 AVG) geändert werden. Durch die Antragsänderung darf die Sache ihrem Wesen nach aber nicht geändert werden (§ 13 Abs. 8 AVG). Die hier gegenständliche Änderung – konkret: Ausweitung – des Verfahrensgegenstandes auf eine Geheimhaltungsbeschwerde erweist sich als eine wesentliche Änderung in der Sache, da die Behörde erheblich unterschiedliche Feststellungen zu treffen gehabt hätte. Nach der Rechtsprechung des VwGH besteht eine wesentliche Änderung des ursprünglichen Antrags dann, wenn es sich um ein „anderes Vorhaben“ handelt, das Vorhaben also im Lichte der anzuwendenden Materiengesetze (vgl. auch VwGH 3. 9. 2008, Zl. 2006/04/0081 und 22. 5. 2012, Zl. 2007/04/0193 im Hinblick auf das MinRoG; ferner VwSlg. 18.003 A/2010 zum oö PolStrG und VwGH 23. 10. 2007, Zl. 2006/06/0343 zum UVP-G) eine andere Qualität erhält (VwGH 10. 9. 2008, Zl. 2007/05/0107; 18. 2. 2010, Zl. 2008/07/0087.

Die vorliegende Erweiterung der Beschwerde ist vor Erlassung des erstinstanzlichen Bescheides nach § 13 Abs. 8 AVG als Änderung ihres „Wesens“ daher unzulässig.

Die Beschwerde war im Spruchpunkt 2 spruchgemäß zurückzuweisen.“

Das BVwG vertritt eine andere Ansicht

Das BVwG vertritt – der im Datkomm veröffentlichten Meinung – die Ansicht, dass Art 77 DSGVO ein selbständiges Beschwerderecht normiert, und ein „Rückgriff“ auf die nationalen, einschränkenden Regelungen nicht erfolgen muss.

Dazu führt das BVwG im Teilerkenntnis vom 09.08.2021, W211 2222613-2/llE, mit dem der Bescheid der DSB aufgehoben wurde, und daher die DSB neu zu entscheiden hat, explizit aus (Hervorhebungen durch den Verfasser):

„2.3.2. Zu den geltend gemachten Verstößen gegen die Datenminimierungspflicht nach Art. 5 DSGVO sowie die Datensicherungspflichten nach Art. 25 DSGVO:

Der Beschwerdeführer führte in seiner Beschwerde an das Bundesverwaltungsgericht aus, er habe in seiner Datenschutzbeschwerde auch die Feststellung einer Verletzung des Rechts auf Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO und eine Verletzung seines Rechts gemäß Art. 5 Abs. 1 lit. f DSGVO auf Verarbeitung seiner Daten in einer Weise, die eine angemessene Sicherheit seiner personenbezogenen Daten gewährleiste, geltend gemacht, die entsprechenden Anträge seien von der belangten Behörde jedoch zu Unrecht zurückgewiesen worden.

Die belangte Behörde stützt in der Begründung des angefochtenen Bescheides die Zurückweisung des diesbezüglichen Beschwerdepunkts darauf, dass die Geltendmachung von Verstößen gegen die Datenminimierungs- und Sicherungspflichten gemäß Art. 5 DSGVO gemeinsam mit § 1 DSG eine Erweiterung des Beschwerdegegenstands, der sich auf die Verletzung von Auskunfts- bzw. Informationspflichten beschränke, darstellte, womit eine unzulässige Änderung des Wesens der Datenschutzbeschwerde gemäß § 13 Abs. 8 AVG vorgenommen worden sei.

Allerdings bedarf Art. 77 DSGVO, der das Recht auf Beschwerde bei einer Aufsichtsbehörde enthält, keiner Umsetzung in das nationale Recht und ermöglicht es, dass sich eine betroffene Person unmittelbar darauf gestützt an die Datenschutzbehörde wendet, wenn sie der Ansicht ist, dass durch die Verarbeitung der sie betreffenden personenbezogenen Daten die Bestimmungen der DSGVO verletzt werden. Er normiert ein eigenständiges Recht auf Beschwerde, das nicht an formelle oder inhaltliche Vorgaben geknüpft ist (siehe Schweiger in Knyrim, DatKomm Art 77 DSGVO Rz 8 und 11 Stand 1.12.2018, rdb.at).

Die notwendigen Voraussetzungen für die Geltendmachung des Rechts auf Beschwerde sind, dass die beschwerdeführende Person selbst durch die Verarbeitung betroffen ist, und die Verarbeitung gegen die Bestimmungen der DSGVO verstößt, sowie die angerufene Behörde zum Kreis der zuständigen Behörden gehört.

Art. 77 DSGVO legt nicht fest, welche Darlegungsverpflichtung die beschwerdeführende Person hat, wobei sämtliche Verletzungen der Bestimmungen der DSGVO für eine Beschwerde infrage kommen, sohin etwa auch Verstöße gegen die Grundprinzipien des Art. 5 DSGVO und sämtlicher organisationsrechtlicher Vorschriften, die die Verarbeitung der personenbezogenen Daten des Beschwerdeführers betreffen können (siehe Schweiger in Knyrim, DatKomm Art 77 DSGVO Rz 8-12 (Stand 1.12.2018, rdb.at)).

Im vorliegenden Fall machte der Beschwerdeführer in seiner Datenschutzbeschwerde aus seiner Sicht erfolgte Verstöße gegen die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO geltend und hierzu auch detaillierte Angaben (Seiten 3 - 5 der Datenschutzbeschwerde}. Von einer unzulässigen Änderung des Wesens der Datenschutzbeschwerde gemäߧ 13 Abs. 8 AVG kann daher nicht die Rede sein. Die Zurückweisung hinsichtlich der geltend gemachten Verstöße gegen die Datenminimierungs- sowie die Datensicherungspflichten erging damit zu Unrecht.

Der gegenständliche Bescheid ist diesbezüglich daher zu beheben.“

Wir unterstützen Sie gerne bei Beschwerdeverfahren vor der DSB in jeder Phase des Verfahrens und selbstverständlich als betroffene Person oder auch als Verantwortlicher, der von einer Beschwerde betroffen ist.