Gericht
Verwaltungsgerichtshof
Entscheidungsdatum
01.02.2024
Geschäftszahl
Ro 2021/04/0006
Betreff
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz‑Sator und die Hofräte Dr. Pürgy sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Löffler, LL.M., über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 23. November 2020, Zl. W211 2227144‑1/3E, betreffend Zurückweisung einer Datenschutzbeschwerde (mitbeteiligte Partei: W K in W, vertreten durch MMag. Michael Sommer, Rechtsanwalt in 9020 Klagenfurt, Völkermarkter Ring 1; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Spruch
Die Revision wird als unbegründet abgewiesen.
Der Bund hat dem Mitbeteiligten Aufwendungen in der von € 1.106,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen. Das Mehrbegehren wird abgewiesen.
Die Revisionsbeantwortung des Präsidenten des Nationalrates wird zurückgewiesen.
Begründung
1	Mit Beschluss vom 20. April 2018 setzte der Nationalrat gemäß Art. 53 Abs. 1 Bundes‑Verfassungsgesetz (B‑VG) den Untersuchungsausschuss über die politische Einflussnahme auf das Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT‑Untersuchungsausschuss) ein.
2	Unstrittig ist, dass der Mitbeteiligte am 19. September 2018 als Auskunftsperson vom BVT‑Untersuchungsausschuss medienöffentlich befragt wurde und das wörtliche Protokoll dieser Befragung auf der Website des österreichischen Parlaments unter vollständiger Nennung des Vor‑ und Familiennamens des Mitbeteiligten veröffentlicht wurde.
3	Der Mitbeteiligte erhob am 2. April 2019 bei der Datenschutzbehörde eine Datenschutzbeschwerde gemäß § 24 Abs. 1 Datenschutzgesetz (DSG). Darin beantragte er die Feststellung, dass die Veröffentlichung des Protokolls seiner Vernehmung unter vollständiger Nennung seines Namens gegen die Datenschutz‑Grundverordnung (DSGVO) wie auch gegen § 1 DSG verstoße.
4	Der Mitbeteiligte brachte im Wesentlichen vor, er sei bei der polizeilichen Einsatzgruppe für die Bekämpfung der Straßenkriminalität als verdeckter Ermittler tätig. Durch die (entgegen seinem Verlangen gegenüber dem BVT‑Untersuchungsausschuss) vollständige Nennung seines Vor‑ und Familiennamens im veröffentlichten Protokoll seiner Einvernahme sei er in seinem Grundrecht auf Datenschutz nach § 1 Abs. 1 DSG sowie im Recht auf Löschung unzulässig verarbeiteter Daten nach § 1 Abs. 3 Z 2 DSG verletzt worden.
5	Mit Bescheid vom 18. September 2019 wies die Datenschutzbehörde die Datenschutzbeschwerde des Mitbeteiligten „gegen das Österreichische Parlament, Untersuchungsausschuss des Nationalrates (Beschwerdegegner)“ zurück.
6	Begründend führte die Datenschutzbehörde aus, dass die DSGVO grundsätzlich die Aufsicht der Datenschutz‑Aufsichtsbehörden über Organe der Gesetzgebung ‑ anders als über Gerichte im Rahmen der justiziellen Tätigkeit (Art. 55 Abs. 3 DSGVO) ‑ nicht verneine. Der europäischen Rechtsordnung sei jedoch die Trennung der Staatsgewalten inhärent. Eine Kontrolle der Verwaltung über die Gesetzgebung sei ausgeschlossen. Der BVT‑Untersuchungsausschuss sei ein Organ, das der Gesetzgebung zuzurechnen sei. Da die vom Mitbeteiligten angeführten Protokolle einem Organ der Gesetzgebung im (verfassungs‑)gesetzlich übertragenen Wirkungsbereich zuzurechnen seien, sei die Datenschutzbeschwerde wegen Unzuständigkeit zurückzuweisen.
7	Gegen diesen Bescheid erhob der Mitbeteiligte Beschwerde an das Bundesverwaltungsgericht (Verwaltungsgericht).
8	Mit dem beim Verwaltungsgerichtshof angefochtenen Erkenntnis gab das Verwaltungsgericht der Beschwerde statt, hob den Bescheid der Datenschutzbehörde vom 18. September 2019 auf und sprach aus, dass die Revision an den Verwaltungsgerichtshof gemäß Art. 133 Abs. 4 B‑VG zulässig sei.
9	Begründend führte das Verwaltungsgericht im Wesentlichen aus, weder die Bestimmung des Art. 2 Abs. 1 DSGVO über den sachlichen Anwendungsbereich der Verordnung noch die in Art. 2 Abs. 2 DSGVO normierten Ausnahmen von deren Anwendbarkeit stellten darauf ab, welcher Staatsfunktion ein verarbeitendes Organ zuzuordnen sei. Eine Ausnahme von der Anwendbarkeit der Bestimmungen der DSGVO in Bezug auf eine bestimmte Staatsfunktion sei der Verordnung nicht zu entnehmen. Dies lasse auf eine vollumfängliche Anwendbarkeit der materiellen Bestimmungen der DSGVO auf die Gesetzgebung schließen. Neben dem Unionsrecht enthalte auch die nationale Rechtsordnung keine Vorschriften, die die Tätigkeit von Untersuchungsausschüssen, die der gesetzgeberischen Gewalt zuzuordnen seien, vom Anwendungsbereich der DSGVO ausdrücklich ausnehmen würden. Im Ergebnis sei davon auszugehen, dass die materiellen Vorschriften der DSGVO und des DSG auch für Akte maßgeblich seien, die der Staatsfunktion Gesetzgebung zuzurechnen seien.
Die Kontrollbefugnis der Datenschutzbehörde als Datenschutz‑Aufsichtsbehörde sei in der DSGVO grundsätzlich umfassend angelegt. Weder Art. 55 noch Art. 77 DSGVO schlössen eine Zuständigkeit der Datenschutzbehörde für datenschutzrechtliche Vorgänge im Rahmen der Gesetzgebung aus.
Die Ausnahmeregelung des Art. 55 Abs. 3 DSGVO für den Bereich justizieller Tätigkeiten der Gerichte sei einer Verallgemeinerung nicht zugänglich. Es sei deshalb von einer uneingeschränkten Zuständigkeit der Datenschutz‑Aufsichtsbehörden für alle anderen Einrichtungen, die mit Unabhängigkeit ausgestattet seien, auszugehen. Es sei daher auch deren Zuständigkeit für parlamentarische Untersuchungsausschüsse zu bejahen. Zusammengefasst stehe dem Argument der Trennung der Staatsgewalten entgegen, dass weder die DSGVO noch das DSG eine Ausnahme von der Zuständigkeit der Datenschutzbehörde für die Kontrolle der datenschutzrechtlichen Konformität der Verarbeitung von personenbezogenen Daten im Bereich der Gesetzgebung kenne. Vielmehr sehe die DSGVO in Art. 77 einen effektiven Rechtsschutz im Anwendungsbereich der Verordnung vor, womit jedem Betroffenen ermöglicht werden solle, sich gegen Verletzungen von ihm in der Verordnung zugestandener Rechte zur Wehr zu setzen. Da die Datenschutzbehörde entgegen der angefochtenen Entscheidung für die vorliegende Datenschutzbeschwerde zuständig sei, sei der angefochtene Bescheid zu beheben.
10	Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit fehlender Rechtsprechung des Verwaltungsgerichtshofs zur Rechtsfrage der Anwendbarkeit der DSGVO und des DSG auf Sachverhalte im Rahmen der Gesetzgebung und der Kontrollbefugnis der Datenschutzbehörde betreffend gesetzgeberischen Handelns im engeren Sinn oder sonstiger funktionell der Gesetzgebung zuzurechnender Tätigkeiten.
11	Gegen dieses Erkenntnis richtet sich die vorliegende Revision der Datenschutzbehörde. Der Mitbeteiligte beantragte in seiner Revisionsbeantwortung, der Revision keine Folge zu geben. Im Übrigen erstattete der Präsident des Nationalrates, der vom Verwaltungsgericht als mitbeteiligte Partei dem Verfahren beigezogen worden war, eine Revisionsbeantwortung, in der er ergänzt mit weiteren unions‑ und verfassungsrechtlichen Ausführungen der Argumentation der Revision beitrat, und beantragte, „der Revision Folge zu geben und das angefochtene Erkenntnis wegen Rechtswidrigkeit des Inhalts nach § 42 Abs. 2 Z 1 VwGG aufzuheben“.
12	Mit Beschluss vom 14. Dezember 2021, EU 2021/0009‑1 (Ro 2021/04/0006), legte der Verwaltungsgerichtshof im vorliegenden Revisionsverfahren folgende Fragen an den Gerichtshof der Europäischen Union (EuGH) zur Vorabentscheidung nach Art. 267 AEUV vor:
„1. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses unabhängig vom Untersuchungsgegenstand in den Anwendungsbereich des Unionsrechts im Sinne des Art. 16 Abs. 2 erster Satz AEUV, sodass die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung ‑ DSGVO) auf die Verarbeitung personenbezogener Daten durch einen parlamentarischen Untersuchungsausschuss eines Mitgliedstaates anwendbar ist?
Falls Frage 1 bejaht wird:
2. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, der Tätigkeiten einer polizeilichen Staatsschutzbehörde, somit den Schutz der nationalen Sicherheit betreffende Tätigkeiten im Sinne des 16. Erwägungsgrundes der Datenschutz‑Grundverordnung zum Untersuchungsgegenstand hat, unter den Ausnahmetatbestand des Art. 2 Abs. 2 Buchst. a DSGVO?
Falls Frage 2 verneint wird:
3. Sofern ‑ wie vorliegend ‑ ein Mitgliedstaat bloß eine einzige Aufsichtsbehörde nach Art. 51 Abs. 1 DSGVO errichtet hat, ergibt sich deren Zuständigkeit für Beschwerden im Sinne des Art. 77 Abs. 1 in Verbindung mit Art. 55 Abs. 1 DSGVO bereits unmittelbar aus der Datenschutz‑Grundverordnung?“
13	Mit Urteil vom 16. Jänner 2024, C‑33/22, Österreichische Datenschutzbehörde, hat der EuGH über dieses Vorabentscheidungsersuchen entschieden.
Der Verwaltungsgerichtshof hat erwogen:
Zulässigkeit
14	Die Revision erweist sich mangels Rechtsprechung des Verwaltungsgerichtshofs zu der vom Verwaltungsgericht dargelegten und im gesonderten Zulässigkeitsvorbringen der Revision präzisierten Rechtsfrage, ob Tätigkeiten eines vom Nationalrat ‑ wie vorliegend ‑ eingesetzten Untersuchungsausschusses in den Anwendungsbereich der DSGVO fallen und die Datenschutzbehörde als Aufsichtsbehörde für Datenschutzbeschwerden in Bezug auf Tätigkeiten eines parlamentarischen Untersuchungsausschusses zuständig ist, als zulässig. Sie ist jedoch nicht berechtigt.
Maßgebliche Rechtslage
Unionsrecht
15	Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung; DSGVO), ABl. L 119 vom 4.5.2016, lauten auszugsweise:
„(16) Diese Verordnung gilt nicht für Fragen des Schutzes von Grundrechten und Grundfreiheiten und des freien Verkehrs personenbezogener Daten im Zusammenhang mit Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, wie etwa die nationale Sicherheit betreffende Tätigkeiten. Diese Verordnung gilt nicht für die von den Mitgliedstaaten im Rahmen der Gemeinsamen Außen‑ und Sicherheitspolitik der Union durchgeführte Verarbeitung personenbezogener Daten.
...
Artikel 2
Sachlicher Anwendungsbereich
(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
a)	im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,
b)	durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen,
...
d)	durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
...
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
...
7. ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
...
Artikel 23
Beschränkungen
(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:
a)	die nationale Sicherheit;
b)	die Landesverteidigung;
c)	die öffentliche Sicherheit;
d)	die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit;
e)	den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs‑, Haushalts‑ und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit;
f)	den Schutz der Unabhängigkeit der Justiz und den Schutz von Gerichtsverfahren;
...
h)	Kontroll‑, Überwachungs‑ und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a bis e und g genannten Zwecke verbunden sind;
i)	den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen;
...
Artikel 51
Aufsichtsbehörde
(1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden ‚Aufsichtsbehörde‘).
...
Artikel 54
Errichtung der Aufsichtsbehörde
(1) Jeder Mitgliedstaat sieht durch Rechtsvorschriften Folgendes vor:
a) die Errichtung jeder Aufsichtsbehörde;
...
Artikel 55
Zuständigkeit
(1) Jede Aufsichtsbehörde ist für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.
(2) Erfolgt die Verarbeitung durch Behörden oder private Stellen auf der Grundlage von Artikel 6 Absatz 1 Buchstabe c oder e, so ist die Aufsichtsbehörde des betroffenen Mitgliedstaats zuständig. In diesem Fall findet Artikel 56 keine Anwendung.
(3) Die Aufsichtsbehörden sind nicht zuständig für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen.
...

Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“
Nationales Recht
16	§ 4 Abs. 1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz ‑ DSG), BGBl. I Nr. 165/1999 idF BGBl. I Nr. 14/2019, § 18 Abs. 1 und § 24 Abs. 1 DSG jeweils idF BGBl. I Nr. 120/2017 sowie § 35 Abs. 2 DSG idF BGBl. I Nr. 23/2018, lauten:
„Anwendungsbereich und Durchführungsbestimmung
§ 4. (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.
...
Datenschutzbehörde
Einrichtung
§ 18. (1) Die Datenschutzbehörde wird als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet.
...
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
...
Besondere Befugnisse der Datenschutzbehörde
§ 35. ...
(2) (Verfassungsbestimmung) Die Datenschutzbehörde übt ihre Befugnisse auch gegenüber den in Art. 19 B‑VG bezeichneten obersten Organen der Vollziehung sowie gegenüber den obersten Organen gemäß Art. 30 Abs. 3 bis 6, 125, 134 Abs. 8 und 148h Abs. 1 und 2 B‑VG im Bereich der diesen zustehenden Verwaltungsangelegenheiten aus.“
Anwendbarkeit der DSGVO auf die Tätigkeit eines vom Nationalrat gemäß Art. 53 Abs. 1 B‑VG eingesetzten Untersuchungsausschusses
17	Vorliegend erachtet sich der Mitbeteiligte durch die Veröffentlichung des Protokolls seiner Einvernahme vor dem BVT‑Untersuchungsausschuss als Auskunftsperson auf der Website des österreichischen Parlaments unter Nennung seines vollständigen Namens in seinem Recht auf Geheimhaltung bzw. seinem Grundrecht auf Schutz personenbezogener Daten im Sinne des Art. 8 GRC verletzt. Eine solche Veröffentlichung stellt an sich eine „Verarbeitung“ personenbezogener Daten im Sinne von Art. 4 Z 2 DSGVO dar.
18	Der EuGH hat in seinem Urteil vom 16. Jänner 2024, C‑33/22, Österreichische Datenschutzbehörde, die zunächst wesentliche Frage des Vorabentscheidungsersuchens des Verwaltungsgerichtshofs, ob eine Tätigkeit eines vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses der Anwendung der DSGVO entzogen ist, dahin beantwortet, Art. 16 Abs. 2 Satz 1 AEUV und Art. 2 Abs. 2 lit. a DSGVO sind dahin auszulegen, dass nicht angenommen werden kann, dass eine Tätigkeit allein deshalb außerhalb des Anwendungsbereichs des Unionsrechts liegt und damit der Anwendung dieser Verordnung entzogen ist, weil sie von einem vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses ausgeübt wird. Er hat dies im Wesentlichen wie folgt begründet:
„36 Hierzu ist darauf hinzuweisen, dass die DSGVO vorbehaltlich der in ihrem Art. 2 Abs. 2 und 3 genannten Fälle sowohl für Verarbeitungen gilt, die von Privatpersonen vorgenommen werden, als auch für Verarbeitungen, die durch Behörden erfolgen (vgl. in diesem Sinne Urteil vom 24. März 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, Rn. 25).
37 Aus der Rechtsprechung des Gerichtshofs ergibt sich, dass die in Art. 2 Abs. 2 DSGVO vorgesehene Ausnahme eng auszulegen ist (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 62 und die dort angeführte Rechtsprechung). In diesem Zusammenhang hat der Gerichtshof bereits entschieden, dass mit Art. 2 Abs. 2 Buchst. a DSGVO im Licht des 16. Erwägungsgrundes dieser Verordnung von deren Anwendungsbereich allein Verarbeitungen personenbezogener Daten ausgenommen werden sollen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden, so dass der bloße Umstand, dass eine Tätigkeit eine spezifische Tätigkeit des Staates oder einer Behörde ist, nicht dafür ausreicht, dass diese Ausnahme automatisch für diese Tätigkeit gilt (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 66, und vom 20. Oktober 2022, Koalitsia ‚Demokratichna Bulgaria ‑ Obedinenie‘, C‑306/21, EU:C:2022:813, Rn. 39).
38 Diese Auslegung, die sich bereits daraus ergibt, dass Art. 2 Abs. 1 DSGVO nicht danach unterscheidet, wer Urheber der betreffenden Verarbeitung ist, wird durch ihren Art. 4 Nr. 7 bestätigt, der den Begriff ‚Verantwortlicher‘ als ‚die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet‘, definiert.
39 Bei der Auslegung ebendieser Bestimmung hat der Gerichtshof festgestellt, dass, soweit ein Petitionsausschuss eines Parlaments eines Gliedstaats eines Mitgliedstaats allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet, er als ‚Verantwortlicher‘ im Sinne dieser Bestimmung einzustufen ist, so dass die von einem solchen Ausschuss vorgenommene Verarbeitung personenbezogener Daten in den Anwendungsbereich dieser Verordnung fällt (Urteil vom 9. Juli 2020, Land Hessen, C‑272/19, EU:C:2020:535, Rn. 74).
40 Der Umstand, dass es sich, wie der Präsident des Nationalrates (Österreich) hervorhebt, im Unterschied zum Petitionsausschuss in der dem Urteil vom 9. Juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), zugrunde liegenden Rechtssache, der nur mittelbar zur parlamentarischen Tätigkeit beitrug, beim BVT‑Untersuchungsausschuss um ein Organ handelt, das unmittelbar und ausschließlich parlamentarisch tätig ist, bedeutet nicht, dass die Tätigkeit dieses Untersuchungsausschusses vom Anwendungsbereich der DSGVO ausgenommen ist.
41 Wie im Wesentlichen vom Generalanwalt in Nr. 84 seiner Schlussanträge ausgeführt, bezieht sich die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme vom Anwendungsbereich dieser Verordnung ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und ‑ für den Fall, dass der Verantwortliche eine Behörde ist ‑ auch nicht darauf, dass die Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist.
42 Somit ermöglicht der Umstand, dass die Verarbeitung von personenbezogenen Daten durch einen vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss erfolgt, für sich genommen nicht den Schluss, dass diese Verarbeitung im Rahmen einer Tätigkeit stattfindet, die im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO nicht in den Anwendungsbereich des Unionsrechts fällt.“
19	Ausgehend von dieser Rechtsprechung kommt es für die Beantwortung der Rechtsfrage, ob Tätigkeiten eines vom Nationalrat eingesetzten Untersuchungsausschusses, mit denen die Verarbeitung personenbezogener Daten verbunden ist, gemäß Art. 2 Abs. 2 lit. a DSGVO vom Anwendungsbereich der DSGVO ausgenommen sind, ausschließlich auf die Natur dieser Tätigkeiten an, und nicht darauf, ob die Person des Verantwortlichen privater oder öffentlich‑rechtlicher Natur ist und ‑ für den Fall, dass der Verantwortliche eine Behörde ist ‑ auch nicht darauf, dass die Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer hoheitlichen Befugnis zuzurechnen sind. Wesentlich ist vielmehr, ob diese Befugnis mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist.
20	Daher ist nicht bereits jede Tätigkeit eines wie vorliegend vom Nationalrat nach Art. 53 Abs. 1 B‑VG eingesetzten Untersuchungsausschusses von sich aus vom Anwendungsbereich der DSGVO ausgenommen, sondern nur jene Tätigkeit, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fällt.
Ausnahme von der Anwendung der DSGVO gemäß Art. 2 Abs. 2 lit. a DSGVO
21	Der EuGH hat in seinem Urteil C‑33/22 die weitere Frage des Vorabentscheidungsersuchens des Verwaltungsgerichtshofs, ob Tätigkeiten eines vom Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, die der Untersuchung der Tätigkeiten einer polizeilichen Staatsschutzbehörde aufgrund des Verdachts politischer Einflussnahme auf diese Behörde dienen, nicht als die nationale Sicherheit betreffende Tätigkeiten im Sinne des Art. 2 Abs. 2 lit. a DSGVO anzusehen sind, die außerhalb des Anwendungsbereichs des Unionsrechts liegen, verneint und dies im Wesentlichen wie folgt begründet:
„45 Wie in Rn. 37 des vorliegenden Urteils ausgeführt, ist Art. 2 Abs. 2 Buchst. a DSGVO eng auszulegen und soll allein Verarbeitungen personenbezogener Daten vom Anwendungsbereich dieser Verordnung ausnehmen, die von staatlichen Stellen im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient, oder einer Tätigkeit, die derselben Kategorie zugeordnet werden kann, vorgenommen werden.
46 Die im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten umfassen insbesondere solche, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken (Urteile vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 67, und vom 20. Oktober 2022, Koalitsia ‚Demokratichna Bulgaria ‑ Obedinenie‘, C‑306/21, EU:C:2022:813, Rn. 40).
47 Nach Art. 4 Abs. 2 EUV bleiben solche Tätigkeiten in der alleinigen Verantwortung der Mitgliedstaaten (vgl. in diesem Sinne Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, Rn. 36).
48 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der BVT‑Untersuchungsausschuss vom Nationalrat eingesetzt wurde, um eine mögliche politische Einflussnahme auf das BVT zu untersuchen, das während des im Ausgangsverfahren in Rede stehenden Zeitraums für Verfassungsschutz und Terrorismusbekämpfung zuständig war.
...
50 Hierzu ist darauf hinzuweisen, dass es gemäß Art. 4 Abs. 2 EUV zwar Sache der Mitgliedstaaten ist, ihre wesentlichen Sicherheitsinteressen festzulegen und die geeigneten Maßnahmen zu ergreifen, um ihre innere und äußere Sicherheit zu gewährleisten, doch kann die bloße Tatsache, dass eine nationale Maßnahme zum Schutz der nationalen Sicherheit getroffen wurde, nicht dazu führen, dass das Unionsrecht unanwendbar ist und die Mitgliedstaaten von der erforderlichen Beachtung dieses Rechts entbunden werden (vgl. in diesem Sinne Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, Rn. 40 und die dort angeführte Rechtsprechung).
51 Wie bereits in Rn. 41 des vorliegenden Urteils ausgeführt, bezieht sich die in Art. 2 Abs. 2 Buchst. a DSGVO vorgesehene Ausnahme ausschließlich auf Kategorien von Tätigkeiten, die aufgrund ihrer Natur nicht in den Anwendungsbereich des Unionsrechts fallen, und nicht auf Kategorien von Personen (privater oder öffentlich-rechtlicher Natur) und ‑ für den Fall, dass der Verantwortliche eine Behörde ist ‑ auch nicht darauf, dass Aufgaben und Pflichten dieser Behörde unmittelbar und ausschließlich einer bestimmten hoheitlichen Befugnis zuzurechnen sind, wenn diese Befugnis nicht mit einer Tätigkeit einhergeht, die jedenfalls vom Anwendungsbereich des Unionsrechts ausgenommen ist. Insoweit reicht der Umstand, dass der Verantwortliche eine Behörde ist, deren Haupttätigkeit in der Gewährleistung der nationalen Sicherheit besteht, als solcher nicht aus, um Verarbeitungen personenbezogener Daten durch diese Behörde im Rahmen anderer von ihr durchgeführter Tätigkeiten vom Anwendungsbereich der DSGVO auszunehmen.
52 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte, dass der im Ausgangsverfahren in Rede stehende Untersuchungsausschuss eine politische Kontrolle der Tätigkeit des BVT zum Gegenstand hatte, da der Verdacht politischer Einflussnahme auf das BVT bestand; diese Kontrolle scheint im Sinne der oben in Rn. 45 wiedergegebenen Rechtsprechung jedoch als solche weder eine Tätigkeit darzustellen, die der Wahrung der nationalen Sicherheit dient, noch eine Tätigkeit, die derselben Kategorie zugeordnet werden kann. Daraus folgt, dass diese Tätigkeit vorbehaltlich einer Überprüfung durch das vorlegende Gericht nach Art. 2 Abs. 2 Buchst. a DSGVO nicht vom Anwendungsbereich dieser Verordnung ausgenommen ist.
53 Allerdings kann ein parlamentarischer Untersuchungsausschuss wie der im Ausgangsverfahren in Rede stehende im Rahmen seiner Tätigkeiten Zugang zu Informationen, insbesondere zu personenbezogenen Daten, haben, die aus Gründen der nationalen Sicherheit besonders zu schützen sind, indem z. B. die Informationen, die den betroffenen Personen zur Datenerfassung zur Verfügung gestellt werden, oder auch deren Zugang zu diesen Daten eingeschränkt werden.
54 In diesem Zusammenhang sieht Art. 23 DSGVO vor, dass die Pflichten und Rechte gemäß den Art. 5, 12 bis 22 und 34 DSGVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden können, um u. a. die nationale Sicherheit oder eine Kontrollfunktion, die mit der Ausübung öffentlicher Gewalt ‑ insbesondere im Rahmen der nationalen Sicherheit ‑ verbunden ist, sicherzustellen.
55 So kann das Erfordernis der Gewährleistung der nationalen Sicherheit Beschränkungen der sich aus der DSGVO ergebenden Pflichten und Rechte im Wege von Gesetzgebungsmaßnahmen rechtfertigen, insbesondere in Bezug auf die Erhebung personenbezogener Daten, die Unterrichtung der betroffenen Personen und ihren Zugang zu diesen Daten oder deren Offenlegung an andere Personen als den Verantwortlichen ohne Zustimmung der betroffenen Personen, soweit solche Beschränkungen den Wesensgehalt der Grundrechte und Grundfreiheiten der betroffenen Personen wahren und eine notwendige und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft darstellen.
56 Im vorliegenden Fall ergibt sich aus der dem Gerichtshof vorliegenden Akte jedoch nicht, dass der BVT‑Untersuchungsausschuss dargetan hätte, dass die Offenlegung der personenbezogenen Daten von WK, die im Rahmen der Veröffentlichung des Protokolls seiner Befragung vor diesem Untersuchungsausschuss auf der Webseite des Österreichischen Parlaments und ohne Zustimmung von WK erfolgte, für die Gewährleistung der nationalen Sicherheit erforderlich gewesen sei und auf einer dafür vorgesehenen nationalen Gesetzgebungsmaßnahme beruht habe. Es ist jedoch Sache des vorlegenden Gerichts, gegebenenfalls die in diesem Zusammenhang erforderlichen Überprüfungen vorzunehmen.“
22	Untersuchungsgegenstand des vom Nationalrat eingesetzten BVT‑Untersuchungsausschusses war „der Verdacht der abgestimmten, politisch motivierten Einflussnahme durch OrganwalterInnen, sonstige (leitende) Bedienstete sowie MitarbeiterInnen politischer Büros des BMI [Bundesministerium für Inneres] auf die Aufgabenerfüllung des BVT [Bundesamt für Verfassungsschutz und Terrorismusbekämpfung] samt damit in Zusammenhang stehender angeblicher Verletzung rechtlicher Bestimmungen ... im Bereich der Vollziehung des Bundes hinsichtlich
a. des Verwendens von Daten und Informationen inkl. des Unterlassens der Löschung, des Sammelns und Auslagerns von Daten sowie deren Weitergabe an Dritte;
b. der Vollziehung des § 6 PStSG [Polizeiliches Staatsschutzgesetz] und von Vorgängerregelungen (erweiterte Gefahrenerforschung und Ermittlungstätigkeit im Zusammenhang mit Extremismus, Terrorismus, Proliferation, nachrichtendienstlicher Tätigkeit und Spionage) inkl. der Ermittlungen zu rechtsextremen Aktivitäten durch das Extremismusreferat des BVT;
c. der Ausübung der Dienstaufsicht und Ermittlungen gegen Bedienstete des BVT wie Suspendierungen des Direktors und weiterer ranghoher Bediensteter;
d. der Zusammenarbeit mit den für den Verfassungsschutz zuständigen Organisationseinheiten der Landespolizeidirektionen bzw. ihren Vorgängerorganisationen hinsichtlich der lit. a bis c;
e. der Zusammenarbeit mit anderen obersten Organen und Ermittlungsbehörden (wie der StA [Staatsanwaltschaft] und der WKStA [Wirtschafts‑ und Korruptionsstaatsanwaltschaft] sowie dem Bundeskriminalamt, BAK [Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung], LKAs [Landeskriminalämter], EGS [Einsatzgruppe zur Bekämpfung der Straßenkriminalität]) im Hinblick auf die von diesen aus Anlass der oben genannten Rechtsverletzung geführten Ermittlungen und Hausdurchsuchungen; sowie
f. der Besetzung leitender Funktionen und Personalauswahl (einschließlich Ernennung bzw. Betrauung von MitarbeiterInnen der jeweiligen Kabinette von BundesministerInnen auf in Verbindung zum BVT stehende Stellen bzw. Aufgaben)“ (vgl. AB 109 BlgNR 26. GP).
23	Das Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT), seit der mit 1. Dezember 2021 in Kraft getretenen Novelle BGBl. I Nr. 148/2021 die Direktion Staatsschutz und Nachrichtendienst (DSN), fungiert als polizeiliche Staatsschutzbehörde und nimmt gemäß § 1 Abs. 2 und 3 Staatsschutz‑ und Nachrichtendienst‑Gesetz (bis zur Novelle BGBl. I Nr. 148/2021 Polizeiliches Staatsschutzgesetz ‑ PStSG) den Schutz der verfassungsmäßigen Einrichtungen und ihrer Handlungsfähigkeit sowie von Vertretern ausländischer Staaten, internationaler Organisationen und anderer Völkerrechtssubjekte nach Maßgabe völkerrechtlicher Verpflichtungen, kritischer Infrastruktur und der Bevölkerung vor terroristisch, ideologisch oder religiös motivierter Kriminalität, vor Gefährdungen durch Spionage, durch nachrichtendienstliche Tätigkeit und durch Proliferation sowie der Wahrnehmung zentraler Funktionen der internationalen Zusammenarbeit in diesen Bereichen wahr. Der Aufgabenbereich des BVT, nunmehr DSN, umfasst insofern „die nationale Sicherheit betreffende Tätigkeiten“ im Sinne des 16. Erwägungsgrundes der DSGVO. Tätigkeiten des BVT, nunmehr DSN, die insofern der Wahrung der nationalen Sicherheit dienen, sind daher gemäß Art. 2 Abs. 2 lit. a DSGVO vom sachlichen Anwendungsbereich dieser Verordnung ausgenommen.
24	Entsprechend den oben wiedergegebenen Ausführungen des EuGH im Urteil C‑33/22 führt die bloße Tatsache, dass eine nationale Maßnahme zum Schutz der nationalen Sicherheit getroffen wurde, nicht dazu, dass das Unionsrecht (und insofern insbesondere die DSGVO) unanwendbar ist (Rn. 50). Ebenso reicht der Umstand, dass der Verantwortliche eine Behörde ist, deren Haupttätigkeit in der Gewährleistung der nationalen Sicherheit besteht, als solcher nicht aus, um Verarbeitungen personenbezogener Daten durch diese Behörde im Rahmen anderer von ihr durchgeführter Tätigkeiten, die nicht der Wahrung der nationalen Sicherheit dienen, vom Anwendungsbereich der DSGVO auszunehmen (Rn. 51).
25	Gegenstand der Tätigkeit des BVT‑Untersuchungsausschusses ist die parlamentarische (politische) Kontrolle der „Aufgabenerfüllung des BVT“, somit von Tätigkeiten zur Gewährleistung der nationalen Sicherheit, zwecks Klärung des „Verdachts“ politischer Einflussnahme auf das BVT.
26	Ausgehend davon bestand die Haupttätigkeit des BVT‑Untersuchungsausschusses nicht unmittelbar in der Gewährleistung der nationalen Sicherheit, sondern der Überprüfung der „Aufgabenerfüllung des BVT“ im Hinblick auf eine politische Einflussnahme. Die parlamentarische Kontrolltätigkeit des BVT‑Untersuchungsausschusses an sich stellt daher weder eine Tätigkeit dar, die unmittelbar der Wahrung der nationalen Sicherheit im Sinne des 16. Erwägungsgrundes der DSGVO dient, noch eine Tätigkeit, die derselben Kategorie zugeordnet ist. Dementsprechend ist sie nicht gemäß Art. 2 Abs. 2 lit. a DSGVO vom Anwendungsbereich dieser Verordnung ausgenommen.
27	Die Kontrolltätigkeit des BVT-Untersuchungsausschusses ist insofern vom Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO umfasst.
28	Die vom EuGH in Rn. 56 letzter Satz seines Urteils C‑33/22 dem vorlegenden Gericht überbundene Prüfung im Zusammenhang mit Art. 23 DSGVO ist vom Verwaltungsgerichtshof im vorliegenden Verfahrensstadium der Prüfung der Zuständigkeit nicht vorzunehmen.
Zuständigkeit der Datenschutzbehörde
29	Im Hinblick auf die Anwendbarkeit der DSGVO auf die parlamentarische Kontrolltätigkeit des BVT‑Untersuchungsausschusses ist die vom Verwaltungsgericht bejahte Zuständigkeit der Datenschutzbehörde zur Behandlung und Entscheidung über die Beschwerde des Mitbeteiligten zu klären.
30	Die Datenschutzbehörde lehnt ihre Zuständigkeit mit Hinweis auf den Grundsatz der Trennung der Staatsgewalten, der auch Teil der europäischen Rechtsordnung sei und eine Kontrolle der Legislative durch Organe der Exekutive ausschließe, ab. Es sei nicht nachvollziehbar, dass eine Verwaltungsbehörde, die der Kontrolle durch den Nationalrat unterstehe, diesen zu kontrollieren habe. Dieses Verständnis spiegle sich auch im DSG wider, indem die Aufsicht über die Einhaltung der Vorgaben der DSGVO und des DSG gemäß Art. 77 DSGVO iVm §§ 4 und 35 DSG gegenüber Organen der Gesetzgebung der Datenschutzbehörde nur innerhalb enger Grenzen obliege und zwar ‑ soweit in der Verfassungsbestimmung des § 35 Abs. 2 DSG vorgesehen ‑ nur betreffend einzelner Verwaltungsangelegenheiten. Der Nationalrat und seine Ausschüsse seien das Organ, durch welches die Gesetzgebung (gemeinsam mit dem Bundesrat) auf Bundesebene ausgeübt werde. Der BVT‑Untersuchungsausschuss sei somit ein Organ der Gesetzgebung. Die Datenschutzbehörde sei in diesem Zusammenhang nicht zuständig, über behauptete Verstöße zu befinden.
31	Die im Vorabentscheidungsersuchen des Verwaltungsgerichtshofs an den EuGH herangetragene Frage zur unmittelbar aus der DSGVO sich ergebenden Zuständigkeit einer ‑ wie vorliegend ‑ einzigen in einem Mitgliedstaat eingerichteten Aufsichtsbehörde für Beschwerden iSd Art. 77 Abs. 1 iVm Art. 55 Abs. 1 DSGVO beantwortete der EuGH dahin, diese Bestimmungen sind dahin auszulegen, dass sie, wenn ein Mitgliedstaat im Einklang mit Art. 51 Abs. 1 DSGVO bloß eine einzige Aufsichtsbehörde eingerichtet hat, sie aber nicht mit der Zuständigkeit für die Überwachung der Anwendung der DSGVO durch einen vom Parlament dieses Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschuss ausgestattet hat, dieser Behörde unmittelbar die Zuständigkeit übertragen, über Beschwerden betreffend von diesem Untersuchungsausschuss durchgeführte Verarbeitungen personenbezogener Daten zu befinden. Er hat dies im Wesentlichen wie folgt begründet:
„59 Für die Beantwortung dieser Frage ist darauf hinzuweisen, dass die Verordnung gemäß Art. 288 Abs. 2 AEUV in allen ihren Teilen verbindlich ist und in jedem Mitgliedstaat unmittelbar gilt.
60 Nach gefestigter Rechtsprechung haben Verordnungen nach dieser Bestimmung sowie aufgrund ihrer Rechtsnatur und ihrer Funktion im Rechtsquellensystem des Unionsrechts im Allgemeinen unmittelbare Wirkung in den nationalen Rechtsordnungen, ohne dass nationale Durchführungsmaßnahmen erforderlich wären (Urteil vom 15. Juni 2021, Facebook Ireland u. a., C‑645/19, EU:C:2021:483, Rn. 110 und die dort angeführte Rechtsprechung).
61 Zum einen hat nach Art. 77 Abs. 1 DSGVO jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Zum anderen ist nach Art. 55 Abs. 1 DSGVO jede Aufsichtsbehörde für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr mit dieser Verordnung übertragen wurden, im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig.
62 Aus dem Wortlaut dieser Bestimmungen ergibt sich, dass ‑ wie im Wesentlichen vom Generalanwalt in Nr. 132 seiner Schlussanträge ausgeführt ‑ für Art. 77 Abs. 1 und Art. 55 Abs. 1 DSGVO keine nationalen Durchführungsmaßnahmen erforderlich sind und sie hinreichend klar, genau und unbedingt sind, um unmittelbar anwendbar zu sein.
63 Daraus folgt, dass die DSGVO den Mitgliedstaaten gemäß ihrem Art. 51 Abs. 1 bei der Anzahl der einzurichtenden Aufsichtsbehörden einen Ermessensspielraum einräumt, im Gegenzug aber festlegt, welche Zuständigkeiten diesen Behörden unabhängig von ihrer Anzahl für die Überwachung der Anwendung der Verordnung einzuräumen sind.
64 Wie im Wesentlichen in Nr. 137 der Schlussanträge des Generalanwalts festgestellt, ist also in Fällen, in denen sich ein Mitgliedstaat für die Einrichtung einer einzigen Aufsichtsbehörde entscheidet, diese Behörde zwangsläufig mit allen Zuständigkeiten ausgestattet, die die DSGVO den Aufsichtsbehörden überträgt.
65 Jede andere Auslegung würde die praktische Wirksamkeit von Art. 55 Abs. 1 und Art. 77 Abs. 1 DSGVO in Frage stellen und könnte die praktische Wirksamkeit aller anderen Bestimmungen dieser Verordnung, die für eine Beschwerde von Bedeutung sein könnten, schwächen.
66 Im Übrigen hat der Unionsgesetzgeber in Fällen, in denen er die Zuständigkeit der Aufsichtsbehörden im Bereich der Aufsicht über die von Behörden vorgenommenen Verarbeitungen einschränken wollte, dies ausdrücklich getan. Dies zeigt sich am Beispiel von Art. 55 Abs. 3 DSGVO, nach dem diese Behörden nicht für die Aufsicht über die von Gerichten im Rahmen ihrer justiziellen Tätigkeit vorgenommenen Verarbeitungen zuständig sind.
67 Die Datenschutzbehörde, der Präsident des Nationalrates und die österreichische Regierung weisen darauf hin, dass im Verfassungsrang stehende Bestimmungen des österreichischen Rechts jegliche Kontrolle der Legislative durch die Exekutive verböten. Aufgrund dieser Bestimmungen könne die Datenschutzbehörde, die der Exekutive zuzurechnen sei, nicht die Anwendung der DSGVO durch den BVT‑Untersuchungsausschuss überwachen, der ein Organ der Legislative sei.
68 Im vorliegenden Fall beschränkt sich Art. 51 Abs. 1 DSGVO jedoch gerade mit Blick auf die Achtung der verfassungsrechtlichen Struktur der Mitgliedstaaten darauf, ihnen die Einrichtung mindestens einer Aufsichtsbehörde aufzuerlegen, und stellt es ihnen frei, mehrere einzurichten. Der 117. Erwägungsgrund der DSGVO hält dazu im Übrigen fest, dass die Mitgliedstaaten mehr als eine Aufsichtsbehörde errichten können sollten, wenn dies ihrer verfassungsmäßigen, organisatorischen und administrativen Struktur entspricht.
69 Art. 51 Abs. 1 DSGVO räumt also jedem Mitgliedstaat einen Ermessensspielraum ein, der es ihm ermöglicht, so viele Aufsichtsbehörden einzurichten, wie insbesondere aufgrund seiner verfassungsmäßigen Struktur erforderlich sind.
70 Außerdem können die Einheit und die Wirksamkeit des Unionsrechts nicht dadurch beeinträchtigt werden, dass sich ein Mitgliedstaat auf Bestimmungen des nationalen Rechts beruft. Die Wirkungen des Grundsatzes des Vorrangs des Unionsrechts sind nämlich für alle Stellen eines Mitgliedstaats verbindlich, ohne dass dem insbesondere die innerstaatlichen Bestimmungen, auch wenn sie Verfassungsrang haben, entgegenstehen könnten (Urteil vom 22. Februar 2022, RS [Wirkung der Urteile eines Verfassungsgerichts], C‑430/21, EU:C:2022:99, Rn. 51 und die dort angeführte Rechtsprechung).
71 Sofern sich ein Mitgliedstaat im Rahmen seines Ermessensspielraums für die Einrichtung einer einzigen Aufsichtsbehörde entschieden hat, kann er sich nicht auf Bestimmungen des nationalen Rechts berufen ‑ auch wenn sie Verfassungsrang haben ‑, um Verarbeitungen personenbezogener Daten, die in den Anwendungsbereich der DSGVO fallen, der Überwachung durch diese Behörde zu entziehen.“
32	Wie oben dargelegt, ist die Kontrolltätigkeit des BVT‑Untersuchungsausschusses vom Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO umfasst.
33	Ausgehend von der Rechtsprechung des EuGH ergibt sich vorliegend die Zuständigkeit der Datenschutzbehörde als einzige nach Art. 51 Abs. 1 DSGVO eingerichtete Aufsichtsbehörde für die Behandlung und Entscheidung über die gegen die Veröffentlichung des Protokolls der Vernehmung des Mitbeteiligten vor dem BVT‑Untersuchungsausschuss unter vollständiger Nennung seines Namens auf der Website des Parlaments gerichteten Beschwerde unmittelbar aus Art. 77 Abs. 1 und Art. 55 Abs. 1 DSGVO.
34	Die Datenschutzbehörde ist der Staatsfunktion der Verwaltung zuzuordnen. Da nach den Ausführungen des VfGH im Erkenntnis vom 13. Dezember 2023, G 212/2023‑13, ua., für den einfachen Gesetzgeber kein Umsetzungsspielraum ersichtlich ist, eine mit dem verfassungsrechtlichen Gewaltentrennungsprinzip vereinbare, für die Überprüfung der Verarbeitung personenbezogener Daten durch das Parlament zuständige Aufsichtsbehörde nach Art. 51 Abs. 1 DSGVO einzurichten, bestehen gegen die Zuständigkeit der Datenschutzbehörde für die Überprüfung der Verarbeitung personenbezogener Daten durch den BVT‑Untersuchungsausschuss keine verfassungsrechtlichen Bedenken (vgl. zur Zuständigkeit der Datenschutzbehörde für den Bereich der Verarbeitung personenbezogener Daten durch Staatsanwaltschaften unter Hinweis auf VfGH G 212/2023‑13, ua., VwGH vom heutigen Tag, Ro 2020/04/0016, Rn. 29).
35	Das Verwaltungsgericht hat somit die Zuständigkeit der Datenschutzbehörde zur Behandlung und Entscheidung über die Datenschutzbeschwerde des Mitbeteiligten zu Recht bejaht.
Ergebnis
36	Da die Revision somit keine Rechtswidrigkeit des angefochtenen Erkenntnisses aufzeigt, war sie gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.
Kostenentscheidung
37	Der Mitbeteiligte beantragte neben dem Ersatz der Kosten für die Revisionsbeantwortung im gesetzlichen Ausmaß, mit Schriftsatz vom 27. Juni 2023 auch den Ersatz der für das Vorabentscheidungsverfahren vor dem EuGH verbundenen Kosten und zwar der Kosten für die Schriftsätze an den EuGH vom 25. Jänner 2022, 31. März 2022, 22. September 2022 und 23. Februar 2023 sowie für die Teilnahme an der Verhandlung vor dem EuGH vom 6. März 2023 und den Ersatz der Barauslagen (mit der Verhandlung vor dem EuGH am 6. März 2023 verbundene Fahrt‑ und Aufenthaltskosten) und den Ersatz der für diesen Schriftsatz an den VwGH verzeichneten Kosten.
38	Im Urteil vom 16. Jänner 2024, C‑33/22, Rn. 73, sprach der EuGH aus, dass das Verfahren für die Beteiligten des Ausgangsverfahrens Teil des bei dem vorlegenden Gericht anhängigen Verfahrens ist und die Kostenentscheidung daher Sache dieses Gerichts ist.
39	Nach § 47 Abs. 1 VwGG haben die Parteien im Verfahren vor dem Verwaltungsgerichtshof Anspruch auf Aufwandersatz nach Maßgabe der §§ 47 bis 59. Im Fall der Abweisung der Revision hat der Mitbeteiligte gemäß § 47 Abs. 3 VwGG Anspruch auf Aufwandersatz. Zu leisten ist der Aufwandersatz an sich vom Revisionswerber. Da Revisionswerber im vorliegenden Fall aber die Datenschutzbehörde als belangte Behörde des Verfahrens vor dem Verwaltungsgericht ist, ist der Aufwandersatz an den Mitbeteiligten im Sinn des § 47 Abs. 5 VwGG von dem Rechtsträger zu tragen, in dessen Namen die Behörde in dem ‑ dem Verfahren vor dem Verwaltungsgericht vorangegangenen ‑ Verwaltungsverfahren gehandelt hat (vgl. VwGH 26.9.2022, Ro 2020/04/0034, Rn. 37, mwN)
40	Der Kostenersatzanspruch des obsiegenden Mitbeteiligten ist in § 48 Abs. 3 VwGG geregelt. Diese Bestimmung begründet den Anspruch des Mitbeteiligten auf Ersatz der Kommissionsgebühren und der Eingabegebühren gemäß § 24a, die er im Verfahren vor dem Verwaltungsgerichtshof zu entrichten hat, sowie der Barauslagen des Verwaltungsgerichtshofes, für die er aufzukommen hat (Z 1), des Aufwandes, der ihn mit der Einbringung einer Revisionsbeantwortung durch einen Rechtsanwalt (Steuerberater oder Wirtschaftsprüfer) verbunden war (Schriftsatzaufwand) (Z 2), der Reisekosten (Fahrt‑ und Aufenthaltskosten), die für ihn mit der Wahrnehmung seiner Parteirechte in Verhandlungen vor dem Verwaltungsgerichtshof verbunden waren (Z 3) und des sonstigen Aufwandes, der für ihn mit der Vertretung durch einen Rechtsanwalt (Steuerberater oder Wirtschaftsprüfer) in Verhandlungen vor dem Verwaltungsgerichtshof verbunden war (Verhandlungsaufwand) (Z 4).
41	Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes besteht keine gesetzliche Grundlage für den Ersatz des Aufwandes, der einer Partei auf Grund ihrer Beteiligung an einem Zwischenverfahren (vor dem EuGH), das nicht vor dem Verwaltungsgerichtshof geführt wurde, entstanden ist. Der Ersatz des Aufwandes des Mitbeteiligten für einen an den EuGH gerichteten Schriftsatz, der Fahrt‑ und Aufenthaltskosten sowie des sonstigen Aufwandes, die dem Mitbeteiligten durch die Teilnahme der für ihn mit der Vertretung durch einen Rechtsanwalt an der vor dem EuGH durchgeführten Verhandlung erwachsen sind, kommt daher nach dem VwGG nicht in Betracht (vgl. zu alldem VwGH 28.3.2018, 2017/07/0001, Rn. 23 und 24, mwN).
42	Mangels gesetzlicher Grundlage besteht auch kein Anspruch des Mitbeteiligten auf Aufwandersatz für den Schriftsatz vom 27. Juni 2023.
43	Dem Mitbeteiligten gebührt somit gemäß §§ 47 ff VwGG in Verbindung mit der Aufwandersatzverordnung 2014 lediglich ein Anspruch auf Aufwandersatz für die Revisionsbeantwortung. Hingegen war das sich auf das Vorabentscheidungsverfahren und den Schriftsatz vom 27. Juni 2023 beziehende Mehrbegehren abzuweisen.
Zurückweisung der Revisionsbeantwortung
44	Die Revisionsbeantwortung des Präsidenten des Nationalrates war schon deshalb zurückzuweisen, weil eine Mitbeteiligung auf der Seite der revisionswerbenden Partei im Verfahren vor dem Verwaltungsgerichtshof nicht in Betracht kommt, zumal die Stellung als Mitbeteiligter rechtlich geschützte Interessen im Widerspruch zur Interessenslage der revisionswerbenden Partei voraussetzt (vgl. VwGH 25.6.2020, Ra 2018/07/0457, Rn. 39; 25.11.2020, Ra 2020/22/0082, Rn. 25, jeweils mwN). Auch der Umstand, dass der Präsident des Nationalrates vom Verwaltungsgericht als Mitbeteiligter dem Verfahren beigezogen wurde, vermag seine rechtliche Stellung als Mitbeteiligter iSd § 21 Abs. 1 Z 4 VwGG nicht zu begründen (vgl. VwGH 28.11.2019, Ro 2018/07/0049, Rn. 23, mwN).
Wien, am 1. Februar 2024
European Case Law Identifier
ECLI:AT:VWGH:2024:RO2021040006.J00