I.römisch eins.
1
1. Mit Eingabe vom 5. Juli 2021 erstattete der Zweitmitbeteiligte bei der Datenschutzbehörde (belangte Behörde, Amtsrevisionswerberin) eine gegen die Erstmitbeteiligte (eine in Deutschland ansässige Gesellschaft) gerichtete Datenschutzbeschwerde wegen Verletzung des Rechts auf Geheimhaltung gemäß § 1 Abs. 1 Datenschutzgesetz (DSG) und des Art. 6 Datenschutz-Grundverordnung (DSGVO). Darin brachte er vor, durch Aufrufen einer (näher bezeichneten) Website seien ohne seine Einwilligung personenbezogene Daten an einen Dritten übermittelt worden.1. Mit Eingabe vom 5. Juli 2021 erstattete der Zweitmitbeteiligte bei der Datenschutzbehörde (belangte Behörde, Amtsrevisionswerberin) eine gegen die Erstmitbeteiligte (eine in Deutschland ansässige Gesellschaft) gerichtete Datenschutzbeschwerde wegen Verletzung des Rechts auf Geheimhaltung gemäß Paragraph eins, Absatz eins, Datenschutzgesetz (DSG) und des Artikel 6, Datenschutz-Grundverordnung (DSGVO). Darin brachte er vor, durch Aufrufen einer (näher bezeichneten) Website seien ohne seine Einwilligung personenbezogene Daten an einen Dritten übermittelt worden.
2
In der Folge setzte die belangte Behörde mit Bescheid vom 5. Jänner 2022 das Verfahren bis zur Feststellung der federführenden Aufsichtsbehörde und bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses (EDSA) aus. Begründend hielt die belangte Behörde unter Hinweis auf Art. 56 und Art. 60 DSGVO fest, die gegenständliche Datenschutzbeschwerde betreffe einen Sachverhalt, der nicht in ihrer alleinigen Zuständigkeit liege. Die federführende Zuständigkeit obliege jener Aufsichtsbehörde, in deren Sprengel die Beschwerdegegnerin ihre Hauptniederlassung oder einzige Niederlassung habe; dies sei vermutlich Deutschland. Gemäß § 24 Abs. 10 Z 2 DSG sei das Verfahren auszusetzen.In der Folge setzte die belangte Behörde mit Bescheid vom 5. Jänner 2022 das Verfahren bis zur Feststellung der federführenden Aufsichtsbehörde und bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses (EDSA) aus. Begründend hielt die belangte Behörde unter Hinweis auf Artikel 56 und Artikel 60, DSGVO fest, die gegenständliche Datenschutzbeschwerde betreffe einen Sachverhalt, der nicht in ihrer alleinigen Zuständigkeit liege. Die federführende Zuständigkeit obliege jener Aufsichtsbehörde, in deren Sprengel die Beschwerdegegnerin ihre Hauptniederlassung oder einzige Niederlassung habe; dies sei vermutlich Deutschland. Gemäß Paragraph 24, Absatz 10, Ziffer 2, DSG sei das Verfahren auszusetzen.
3
2. Mit Bescheid vom 29. September 2022 behob die belangte Behörde den Aussetzungsbescheid vom 5. Jänner 2022 (Spruchpunkt I.) und wies die Datenschutzbeschwerde des Zweitmitbeteiligten als unbegründet ab (Spruchpunkt II.).2. Mit Bescheid vom 29. September 2022 behob die belangte Behörde den Aussetzungsbescheid vom 5. Jänner 2022 (Spruchpunkt römisch eins.) und wies die Datenschutzbeschwerde des Zweitmitbeteiligten als unbegründet ab (Spruchpunkt römisch zwei.).
4
2.1. Die belangte Behörde hielt zunächst fest, am 6. Jänner 2022 habe sich der Berliner Beauftragte für Datenschutz und Informationsfreiheit zur federführenden Aufsichtsbehörde erklärt. Mit Schreiben vom 26. April 2022 habe die federführende Aufsichtsbehörde einen Erledigungsentwurf („draft decision“) vorgelegt und darin zusammengefasst ausgeführt, es habe sich im Zuge einer am 18. Jänner 2022 durchgeführten technischen Überprüfung herausgestellt, dass es vor Einwilligung zu keinem Datentransfer an den Dritten komme. Demnach könne man das beschwerdegegenständliche Vorbringen nicht verifizieren. Gegen diesen Erledigungsentwurf sei weder von der belangten Behörde noch von einer anderen Aufsichtsbehörde ein maßgeblicher und begründeter Einspruch im Sinn des Art. 60 Abs. 4 DSGVO eingelegt worden. Schließlich habe die federführende Aufsichtsbehörde eine als „final decision“ bezeichnete Erledigung übermittelt.2.1. Die belangte Behörde hielt zunächst fest, am 6. Jänner 2022 habe sich der Berliner Beauftragte für Datenschutz und Informationsfreiheit zur federführenden Aufsichtsbehörde erklärt. Mit Schreiben vom 26. April 2022 habe die federführende Aufsichtsbehörde einen Erledigungsentwurf („draft decision“) vorgelegt und darin zusammengefasst ausgeführt, es habe sich im Zuge einer am 18. Jänner 2022 durchgeführten technischen Überprüfung herausgestellt, dass es vor Einwilligung zu keinem Datentransfer an den Dritten komme. Demnach könne man das beschwerdegegenständliche Vorbringen nicht verifizieren. Gegen diesen Erledigungsentwurf sei weder von der belangten Behörde noch von einer anderen Aufsichtsbehörde ein maßgeblicher und begründeter Einspruch im Sinn des Artikel 60, Absatz 4, DSGVO eingelegt worden. Schließlich habe die federführende Aufsichtsbehörde eine als „final decision“ bezeichnete Erledigung übermittelt.
5
2.2. Anschließend stellte die belangte Behörde fest, der Zweitmitbeteiligte habe bei seinem Besuch auf der von der Erstmitbeteiligten (einer Gesellschaft mit Hauptniederlassung in Berlin) betriebenen gegenständlichen Website nicht mit dem Cookie-Banner interagiert. Im Rahmen der Überprüfung durch die federführende Aufsichtsbehörde sei festgestellt worden, dass „vor Anklicken der zustimmenden Schaltfläche“ keine Cookies aus der Domäne des Dritten gesetzt würden oder Datenübertragungen an Server des Dritten stattfänden. Ob die Webseitenprozesse beim Besuch des Zweitmitbeteiligten am 5. Juli 2021 anders gestaltet gewesen seien, habe von der federführenden Aufsichtsbehörde nicht zweifelsfrei festgestellt werden können. Beweiswürdigend stützte sich die belangte Behörde auf die aktenmäßig dokumentierten Feststellungen und auf die als „draft decision“ bzw. „final decision“ bezeichneten Erledigungen der federführenden Aufsichtsbehörde.
6
2.3. In ihrer rechtlichen Beurteilung (zu Spruchpunkt II.) führte die belangte Behörde aus, gemäß Art. 60 Abs. 8 DSGVO sei jene Aufsichtsbehörde, bei der die Beschwerde eingereicht worden sei, berufen, den (End-)Beschluss zu erlassen und ihn dem Betroffenen mitzuteilen, wenn einer Datenschutzbeschwerde nicht vollumfänglich stattgegeben werde. Im vorliegenden Fall sei somit die belangte Behörde zur Erlassung des „enderledigenden Bescheides“ auf Grundlage der Verfahrensergebnisse der federführenden Aufsichtsbehörde berufen.2.3. In ihrer rechtlichen Beurteilung (zu Spruchpunkt römisch zwei.) führte die belangte Behörde aus, gemäß Artikel 60, Absatz 8, DSGVO sei jene Aufsichtsbehörde, bei der die Beschwerde eingereicht worden sei, berufen, den (End-)Beschluss zu erlassen und ihn dem Betroffenen mitzuteilen, wenn einer Datenschutzbeschwerde nicht vollumfänglich stattgegeben werde. Im vorliegenden Fall sei somit die belangte Behörde zur Erlassung des „enderledigenden Bescheides“ auf Grundlage der Verfahrensergebnisse der federführenden Aufsichtsbehörde berufen.
7
Die federführende Aufsichtsbehörde sei zum Ergebnis gelangt, dass zum Überprüfungszeitpunkt vor dem Anklicken der „zustimmenden Schaltfläche“ kein Datentransfer stattgefunden habe. Aufgrund potentiell eingetretener Änderungen der Website sei es hingegen nicht möglich gewesen, mit überragender Wahrscheinlichkeit oder gar mit Gewissheit festzustellen, ob in der Vergangenheit personenbezogene Daten des Zweitmitbeteiligten unrechtmäßig verarbeitet worden seien. Die Feststellung, weder das Bestehen noch das Nichtbestehen einer Tatsache könne mit Sicherheit angenommen werden, sei - so die belangte Behörde - unzulässig. Im Fall der Nichtfeststellbarkeit sei vom Nichtvorliegen der Tatsache auszugehen. Für das gegenständliche Beschwerdeverfahren sei daher, mangels jeglicher diesbezüglichen Anhaltspunkte, vom Nichtvorliegen des vom Zweitmitbeteiligten behaupteten Vorhalts auszugehen. Da es zu keiner Übermittlung personenbezogener Daten des Zweitmitbeteiligten gekommen sei, sei die Datenschutzbeschwerde abzuweisen gewesen.
8
Gegen diesen Bescheid erhob der Zweitmitbeteiligte Beschwerde an das Bundesverwaltungsgericht (BVwG).
9
3. Mit dem angefochtenen Beschluss behob das BVwG Spruchpunkt II. des bekämpften Bescheides und verwies die Angelegenheit zur Erlassung eines neuen Bescheides an die belangte Behörde zurück. Unter einem erklärte das BVwG die Revision nach Art. 133 Abs. 4 B-VG für nicht zulässig.3. Mit dem angefochtenen Beschluss behob das BVwG Spruchpunkt römisch zwei. des bekämpften Bescheides und verwies die Angelegenheit zur Erlassung eines neuen Bescheides an die belangte Behörde zurück. Unter einem erklärte das BVwG die Revision nach Artikel 133, Absatz 4, B-VG für nicht zulässig.
10
3.1. Das BVwG legte seiner Entscheidung Folgendes zugrunde:
11
Der Zweitmitbeteiligte habe am 5. Juli 2021 eine näher bezeichnete, von der Erstmitbeteiligten betriebene Website aufgerufen. Infolge der (daraufhin erhobenen) Datenschutzbeschwerde des Zweitmitbeteiligten habe die belangte Behörde ein Verfahren zur Bestimmung der federführenden Aufsichtsbehörde initiiert. Der Berliner Beauftragte für Datenschutz und Informationsfreiheit habe sich für federführend zuständig erklärt und ein „nicht näher überprüfbares Ermittlungsverfahren“ durchgeführt. Der Beschlussentwurf der federführenden Aufsichtsbehörde sei von der belangten Behörde nicht an den Zweitmitbeteiligten übermittelt und von ihr auch nicht beeinsprucht worden.
12
Die belangte Behörde habe anhand des Beschwerdevorbringens nicht auf eine Aufklärung des Sachverhalts hingewirkt. Ob eine Datenübermittlung allein schon durch Aufrufen der verfahrensgegenständlichen Website oder erst nach Zustimmung durch Anklicken der Cookie-Optionen vorgenommen werde, stehe nicht fest.
13
3.2. Rechtlich folgerte das BVwG zusammengefasst, der vorliegende Sachverhalt sei von der belangten Behörde selbst weder in Bezug auf das Beschwerdevorbringen noch im Hinblick auf die „draft decision“ der federführenden Aufsichtsbehörde (erkennbar) überprüft worden. Obwohl der Zweitmitbeteiligte in seiner Beschwerde umfangreiche Beweismittel angeboten habe, sei die belangte Behörde nicht darauf eingegangen und habe auch die federführende Aufsichtsbehörde nicht aufgefordert zu begründen, warum sie - wie aus der „draft decision“ erkennbar - nur einen Datentransfer via Setzen von Cookies überprüft habe. Hinzu komme, dass die belangte Behörde im vorliegenden Fall grob gegen verfahrensrechtliche Grundsätze verstoßen und den Grundsatz des Parteiengehörs qualifiziert verletzt habe. Die Unterlassung des Parteiengehörs stelle keine sanierbare Rechtsverletzung dar.
14
Art. 60 Abs. 3 DSGVO legitimiere eine betroffene Aufsichtsbehörde, direkt im Ermittlungsverfahren mitzuwirken, Stellungnahmen zu Entwürfen abzugeben und (im Zusammenwirken mit dem Beschwerdeführer) an der Klärung des Sachverhalts mit der federführenden Aufsichtsbehörde mitzuwirken. Dadurch, dass die Sachverhaltsermittlungen durch die Verletzung des Rechts auf Parteiengehör grob mangelhaft geblieben seien und der Entwurf der federführenden Aufsichtsbehörde mangels berechtigten Einspruchs im Sinn des Art. 60 Abs. 4 DSGVO nach Art. 60 Abs. 6 DSGVO für die belangte Behörde bindend geworden sei, könne dieser Fehler auch nicht mehr im Verfahren vor dem BVwG saniert werden. Die belangte Behörde werde daher im fortgesetzten Verfahren die versäumten Ermittlungsschritte zu setzen, nachvollziehbare Beweise zu erheben und die Beschwerde im angemessenen Umfang zu bearbeiten haben.Artikel 60, Absatz 3, DSGVO legitimiere eine betroffene Aufsichtsbehörde, direkt im Ermittlungsverfahren mitzuwirken, Stellungnahmen zu Entwürfen abzugeben und (im Zusammenwirken mit dem Beschwerdeführer) an der Klärung des Sachverhalts mit der federführenden Aufsichtsbehörde mitzuwirken. Dadurch, dass die Sachverhaltsermittlungen durch die Verletzung des Rechts auf Parteiengehör grob mangelhaft geblieben seien und der Entwurf der federführenden Aufsichtsbehörde mangels berechtigten Einspruchs im Sinn des Artikel 60, Absatz 4, DSGVO nach Artikel 60, Absatz 6, DSGVO für die belangte Behörde bindend geworden sei, könne dieser Fehler auch nicht mehr im Verfahren vor dem BVwG saniert werden. Die belangte Behörde werde daher im fortgesetzten Verfahren die versäumten Ermittlungsschritte zu setzen, nachvollziehbare Beweise zu erheben und die Beschwerde im angemessenen Umfang zu bearbeiten haben.
15
Die Voraussetzungen für die ausnahmsweise vorgesehene Aufhebung des Bescheides und die Zurückverweisung der Angelegenheit an die belangte Behörde seien somit gegeben, zumal die Feststellung des maßgeblichen Sachverhalts durch das BVwG selbst nicht durchgeführt werden könne.
16
4. Gegen dieses Erkenntnis richtet sich die vorliegende außerordentliche Revision der belangten Behörde.
17
Der Zweitmitbeteiligte hat bereits vor Einleitung des Vorverfahrens eine Stellungnahme eingebracht, in der er Fehler im Zusammenhang mit der technischen Überprüfung durch die federführende Aufsichtsbehörde moniert.
18
Die Erstmitbeteiligte erstattete keine Revisionsbeantwortung.
II.römisch zwei.
Der Verwaltungsgerichtshof hat erwogen:
19
1. Zur Zulässigkeit der Revision wird im Wesentlichen vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zu Art. 60 DSGVO und insbesondere zur Frage, inwiefern ein Beschluss gemäß Art. 60 Abs. 6 DSGVO das BVwG als Rechtsmittelgericht binde bzw. es dem BVwG verwehre, selbst Sachverhaltsfeststellungen zu treffen. Außerdem sei das BVwG von näher zitierter Rechtsprechung des Verwaltungsgerichtshofes zu § 28 Abs. 3 zweiter Satz VwGVG abgewichen.1. Zur Zulässigkeit der Revision wird im Wesentlichen vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zu Artikel 60, DSGVO und insbesondere zur Frage, inwiefern ein Beschluss gemäß Artikel 60, Absatz 6, DSGVO das BVwG als Rechtsmittelgericht binde bzw. es dem BVwG verwehre, selbst Sachverhaltsfeststellungen zu treffen. Außerdem sei das BVwG von näher zitierter Rechtsprechung des Verwaltungsgerichtshofes zu Paragraph 28, Absatz 3, zweiter Satz VwGVG abgewichen.
20
Die Revision ist vor diesem Hintergrund zulässig und aus nachstehenden Gründen auch berechtigt.
21
2. Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung [DSGVO]), lauten auszugsweise:
„[Erwägungsgrund] (143) [...] Verfahren gegen eine Aufsichtsbehörde sollten bei den Gerichten des Mitgliedstaats angestrengt werden, in dem die Aufsichtsbehörde ihren Sitz hat, und sollten im Einklang mit dem Verfahrensrecht dieses Mitgliedstaats durchgeführt werden. Diese Gerichte sollten eine uneingeschränkte Zuständigkeit besitzen, was die Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgebliche Sach- und Rechtsfragen zu prüfen, einschließt. Wurde eine Beschwerde von einer Aufsichtsbehörde abgelehnt oder abgewiesen, kann der Beschwerdeführer Klage bei den Gerichten desselben Mitgliedstaats erheben.
[...] Wird darüber hinaus der Beschluss einer Aufsichtsbehörde zur Umsetzung eines Beschlusses des Ausschusses vor einem einzelstaatlichen Gericht angefochten und wird die Gültigkeit des Beschlusses des Ausschusses in Frage gestellt, so hat dieses einzelstaatliche Gericht nicht die Befugnis, den Beschluss des Ausschusses für nichtig zu erklären, sondern es muss im Einklang mit Artikel 267 AEUV in der Auslegung des Gerichtshofs den Gerichtshof mit der Frage der Gültigkeit befassen, wenn es den Beschluss für nichtig hält. [...]
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[...]
23.
,grenzüberschreitende Verarbeitung‘ entweder
a)
eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder
b)
eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann;
24.
,maßgeblicher und begründeter Einspruch‘ einen Einspruch gegen einen Beschlussentwurf im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt oder ob beabsichtigte Maßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung steht, wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen;
[...]
Artikel 56
Zuständigkeit der federführenden Aufsichtsbehörde
(1) Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.
(2) Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.
(3) In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.
(4) Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.
[...]
(6) Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung.
[...]
Artikel 60
Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden
(1) Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.
[...]
(3) Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.
(4) Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.
(5) Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.
(6) Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.
(7) Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.
(8) Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.
(9) Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.
[...]
Artikel 78
Recht auf wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde
(1) Jede natürliche oder juristische Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde.
[...]
(3) Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat.
(4) Kommt es zu einem Verfahren gegen den Beschluss einer Aufsichtsbehörde, dem eine Stellungnahme oder ein Beschluss des Ausschusses im Rahmen des Kohärenzverfahrens vorangegangen ist, so leitet die Aufsichtsbehörde diese Stellungnahme oder diesen Beschluss dem Gericht zu.“
22
3.1. Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes stellt die nach § 28 Abs. 3 zweiter Satz VwGVG bestehende Zurückverweisungsmöglichkeit eine Ausnahme von der grundsätzlichen meritorischen Entscheidungszuständigkeit der Verwaltungsgerichte dar. Nach dem damit gebotenen Verständnis steht diese Möglichkeit bezüglich ihrer Voraussetzungen nicht auf derselben Stufe wie die im ersten Satz des § 28 Abs. 3 VwGVG verankerte grundsätzliche meritorische Entscheidungskompetenz der Verwaltungsgerichte. Vielmehr verlangt das im § 28 VwGVG insgesamt normierte System, in dem insbesondere die normative Zielsetzung der Verfahrensbeschleunigung bzw. der Berücksichtigung einer angemessenen Verfahrensdauer ihren Ausdruck findet, dass von der Möglichkeit der Zurückverweisung nur bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht wird. Eine Zurückverweisung der Sache an die Verwaltungsbehörde zur Durchführung notwendiger Ermittlungen wird daher insbesondere dann in Betracht kommen, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, wenn sie zur Ermittlung des maßgebenden Sachverhalts (vgl. § 37 AVG) lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat. Gleiches gilt, wenn konkrete Anhaltspunkte annehmen lassen, dass die Verwaltungsbehörde (etwa schwierige) Ermittlungen unterließ, damit diese dann durch das Verwaltungsgericht vorgenommen werden (vgl. zu allem etwa VwGH 13.6.2024, Ra 2023/04/0259, Rn. 13, mwN).3.1. Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes stellt die nach Paragraph 28, Absatz 3, zweiter Satz VwGVG bestehende Zurückverweisungsmöglichkeit eine Ausnahme von der grundsätzlichen meritorischen Entscheidungszuständigkeit der Verwaltungsgerichte dar. Nach dem damit gebotenen Verständnis steht diese Möglichkeit bezüglich ihrer Voraussetzungen nicht auf derselben Stufe wie die im ersten Satz des Paragraph 28, Absatz 3, VwGVG verankerte grundsätzliche meritorische Entscheidungskompetenz der Verwaltungsgerichte. Vielmehr verlangt das im Paragraph 28, VwGVG insgesamt normierte System, in dem insbesondere die normative Zielsetzung der Verfahrensbeschleunigung bzw. der Berücksichtigung einer angemessenen Verfahrensdauer ihren Ausdruck findet, dass von der Möglichkeit der Zurückverweisung nur bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht wird. Eine Zurückverweisung der Sache an die Verwaltungsbehörde zur Durchführung notwendiger Ermittlungen wird daher insbesondere dann in Betracht kommen, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, wenn sie zur Ermittlung des maßgebenden Sachverhalts vergleiche , Paragraph 37, AVG) lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat. Gleiches gilt, wenn konkrete Anhaltspunkte annehmen lassen, dass die Verwaltungsbehörde (etwa schwierige) Ermittlungen unterließ, damit diese dann durch das Verwaltungsgericht vorgenommen werden vergleiche , zu allem etwa VwGH 13.6.2024, Ra 2023/04/0259, Rn. 13, mwN). 23
3.2. Das BVwG hat die Aufhebung und Zurückverweisung im Wesentlichen damit begründet, die belangte Behörde habe sich weder mit dem Vorbringen des Zweitmitbeteiligten noch mit den Erledigungen der federführenden Aufsichtsbehörde auseinandergesetzt. Zudem sei der Grundsatz des Parteiengehörs verletzt worden, weil die belangte Behörde den Beschlussentwurf nicht dem Zweitmitbeteiligten übermittelt habe; diese Rechtsverletzung sei nicht sanierbar. Mangels eines berechtigten Einspruchs sei der Entwurf der federführenden Aufsichtsbehörde nach Art. 60 Abs. 6 DSGVO für die belangte Behörde bindend geworden. Dieser Fehler könne auch nicht mehr im Verfahren vor dem BVwG saniert werden. Die Voraussetzungen für die Vorgangsweise nach § 28 Abs. 3 zweiter Satz VwGVG seien somit gegeben, zumal die Feststellung des maßgeblichen Sachverhalts durch das BVwG selbst nicht durchgeführt werden könne.3.2. Das BVwG hat die Aufhebung und Zurückverweisung im Wesentlichen damit begründet, die belangte Behörde habe sich weder mit dem Vorbringen des Zweitmitbeteiligten noch mit den Erledigungen der federführenden Aufsichtsbehörde auseinandergesetzt. Zudem sei der Grundsatz des Parteiengehörs verletzt worden, weil die belangte Behörde den Beschlussentwurf nicht dem Zweitmitbeteiligten übermittelt habe; diese Rechtsverletzung sei nicht sanierbar. Mangels eines berechtigten Einspruchs sei der Entwurf der federführenden Aufsichtsbehörde nach Artikel 60, Absatz 6, DSGVO für die belangte Behörde bindend geworden. Dieser Fehler könne auch nicht mehr im Verfahren vor dem BVwG saniert werden. Die Voraussetzungen für die Vorgangsweise nach Paragraph 28, Absatz 3, zweiter Satz VwGVG seien somit gegeben, zumal die Feststellung des maßgeblichen Sachverhalts durch das BVwG selbst nicht durchgeführt werden könne.
24
3.3. Die Revision wendet dagegen (ua.) ein, es sei dem BVwG als Rechtsmittelgericht nicht verwehrt, selbst Ergänzungen des Sachverhalts vorzunehmen. Eine Verletzung des Parteiengehörs sei nach der Rechtsprechung des Verwaltungsgerichtshofes sanierbar. Das BVwG sei auch nicht an die Sachverhaltsfeststellungen der federführenden Aufsichtsbehörde gebunden, weil andernfalls der in Art. 78 DSGVO normierte Rechtsbehelf gegen eine Aufsichtsbehörde ins Leere liefe.3.3. Die Revision wendet dagegen (ua.) ein, es sei dem BVwG als Rechtsmittelgericht nicht verwehrt, selbst Ergänzungen des Sachverhalts vorzunehmen. Eine Verletzung des Parteiengehörs sei nach der Rechtsprechung des Verwaltungsgerichtshofes sanierbar. Das BVwG sei auch nicht an die Sachverhaltsfeststellungen der federführenden Aufsichtsbehörde gebunden, weil andernfalls der in Artikel 78, DSGVO normierte Rechtsbehelf gegen eine Aufsichtsbehörde ins Leere liefe.
25
4.1. In Art. 60 DSGVO ist das Verfahren der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden geregelt. Die DSGVO sieht ein eigenes Regelungssystem für das Zusammenspiel von federführender und betroffener Aufsichtsbehörde vor, in dem die federführende Aufsichtsbehörde als zentrale Stelle die Leitung des Verfahrens übernimmt (vgl. in diesem Sinn auch Jahnel, Kommentar zur DSGVO [2021] Art. 60 DSGVO Rz. 2). Die federführende Aufsichtsbehörde hat sich insbesondere darum zu bemühen, einen Konsens zu erzielen (vgl. EuGH 15.6.2021, C-645/19, Facebook Ireland ua., Rn. 51).4.1. In Artikel 60, DSGVO ist das Verfahren der Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden geregelt. Die DSGVO sieht ein eigenes Regelungssystem für das Zusammenspiel von federführender und betroffener Aufsichtsbehörde vor, in dem die federführende Aufsichtsbehörde als zentrale Stelle die Leitung des Verfahrens übernimmt vergleiche , in diesem Sinn auch Jahnel, Kommentar zur DSGVO [2021] Artikel 60, DSGVO Rz. 2). Die federführende Aufsichtsbehörde hat sich insbesondere darum zu bemühen, einen Konsens zu erzielen vergleiche , EuGH 15.6.2021, C-645/19, Facebook Ireland ua., Rn. 51).
26
Hierzu legt die federführende Aufsichtsbehörde den anderen betroffenen Aufsichtsbehörden gemäß Art. 60 Abs. 3 DSGVO einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung (vgl. erneut EuGH 15.6.2021, C-645/19, Facebook Ireland ua., Rn. 51). Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden nach Art. 60 Abs. 6 DSGVO als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden. Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt nicht (wie nach der Grundregel des Art. 60 Abs. 7 DSGVO vorgesehen) die federführende Aufsichtsbehörde, sondern gemäß Art. 60 Abs. 8 DSGVO die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den (das Verfahren über die Datenschutzbeschwerde abschließenden) Beschluss. Diese Aufsichtsbehörde hat auch dem Beschwerdeführer den Beschluss mitzuteilen und den Verantwortlichen in Kenntnis zu setzen.Hierzu legt die federführende Aufsichtsbehörde den anderen betroffenen Aufsichtsbehörden gemäß Artikel 60, Absatz 3, DSGVO einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung vergleiche , erneut EuGH 15.6.2021, C-645/19, Facebook Ireland ua., Rn. 51). Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden nach Artikel 60, Absatz 6, DSGVO als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden. Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt nicht (wie nach der Grundregel des Artikel 60, Absatz 7, DSGVO vorgesehen) die federführende Aufsichtsbehörde, sondern gemäß Artikel 60, Absatz 8, DSGVO die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den (das Verfahren über die Datenschutzbeschwerde abschließenden) Beschluss. Diese Aufsichtsbehörde hat auch dem Beschwerdeführer den Beschluss mitzuteilen und den Verantwortlichen in Kenntnis zu setzen.
27
Nach den unstrittigen Feststellungen des BVwG hat sich im vorliegenden Verfahren der Berliner Beauftragte für Datenschutz und Informationsfreiheit als federführende Aufsichtsbehörde erklärt. Ebenso unstrittig ist, dass der (gemäß Art. 60 Abs. 3 DSGVO den anderen betroffenen Aufsichtsbehörden übermittelte) Beschlussentwurf eine Ablehnung bzw. Abweisung der Datenschutzbeschwerde des Zweitmitbeteiligten (und somit die in Art. 60 Abs. 8 DSGVO angesprochene Vorgehensweise) vorgesehen hat und kein Einspruch einer betroffenen Aufsichtsbehörde erfolgt ist. Dass die belangte Behörde daher als Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den Bescheid (den Beschluss im Sinn des Art. 60 DSGVO) zu erlassen hatte und dabei an den Beschlussentwurf der federführenden Aufsichtsbehörde gebunden war, ergibt sich somit aus dem insoweit eindeutigen Wortlaut der Abs. 6 und 8 des Art. 60 DSGVO.Nach den unstrittigen Feststellungen des BVwG hat sich im vorliegenden Verfahren der Berliner Beauftragte für Datenschutz und Informationsfreiheit als federführende Aufsichtsbehörde erklärt. Ebenso unstrittig ist, dass der (gemäß Artikel 60, Absatz 3, DSGVO den anderen betroffenen Aufsichtsbehörden übermittelte) Beschlussentwurf eine Ablehnung bzw. Abweisung der Datenschutzbeschwerde des Zweitmitbeteiligten (und somit die in Artikel 60, Absatz 8, DSGVO angesprochene Vorgehensweise) vorgesehen hat und kein Einspruch einer betroffenen Aufsichtsbehörde erfolgt ist. Dass die belangte Behörde daher als Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den Bescheid (den Beschluss im Sinn des Artikel 60, DSGVO) zu erlassen hatte und dabei an den Beschlussentwurf der federführenden Aufsichtsbehörde gebunden war, ergibt sich somit aus dem insoweit eindeutigen Wortlaut der Absatz 6, und 8 des Artikel 60, DSGVO.
28
4.2. Die Bindung an den Beschlussentwurf der federführenden Aufsichtsbehörde besteht jedoch schon nach dem Wortlaut des Art. 60 Abs. 6 DSGVO nur für die dort genannten Aufsichtsbehörden (nämlich die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden), nicht hingegen für allenfalls weitere (am Verfahren nicht beteiligte) Aufsichtsbehörden und auch nicht für das in der Folge mittels gerichtlichen Rechtsbehelfs angerufene Gericht. Dies ist auch vor dem Hintergrund zu sehen, dass die Bindungswirkung nach der Regelung des Art. 60 Abs. 6 DSGVO die Folge des unterbliebenen Einspruchs ist, was aber wiederum die Möglichkeit voraussetzt, eine solchen Einspruch überhaupt einlegen zu können (vgl. in diesem Sinn auch die Leitlinien 02/2022 des Europäischen Datenschutzausschusses [EDSA] zur Anwendung des Artikels 60 DSGVO, Version 1.1, angenommen am 14. März 2022, Rn. 192).4.2. Die Bindung an den Beschlussentwurf der federführenden Aufsichtsbehörde besteht jedoch schon nach dem Wortlaut des Artikel 60, Absatz 6, DSGVO nur für die dort genannten Aufsichtsbehörden (nämlich die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden), nicht hingegen für allenfalls weitere (am Verfahren nicht beteiligte) Aufsichtsbehörden und auch nicht für das in der Folge mittels gerichtlichen Rechtsbehelfs angerufene Gericht. Dies ist auch vor dem Hintergrund zu sehen, dass die Bindungswirkung nach der Regelung des Artikel 60, Absatz 6, DSGVO die Folge des unterbliebenen Einspruchs ist, was aber wiederum die Möglichkeit voraussetzt, eine solchen Einspruch überhaupt einlegen zu können vergleiche , in diesem Sinn auch die Leitlinien 02 aus 2022, des Europäischen Datenschutzausschusses [EDSA] zur Anwendung des Artikels 60 DSGVO, Version 1.1, angenommen am 14. März 2022, Rn. 192).
29
Die fehlende Bindungswirkung für das BVwG korreliert auch mit dem in Art. 78 DSGVO verankerten Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde. Nach Art. 78 Abs. 1 DSGVO hat jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Dazu zählt auch ein Beschluss nach Art. 60 Abs. 8 DSGVO (diesbezüglich auf den Rechtsschutz gemäß Art. 78 DSGVO verweisend etwa Jahnel, Kommentar zur DSGVO [2021] Art. 60 DSGVO Rz. 27; ebenso Körffer in Paal/Pauly [Hrsg.] DSGVO3 [2021] Art. 60 DSGVO Rz. 10; Dix in Kühling/Buchner [Hrsg.] DSGVO3 [2020] Art. 60 Rz. 23). Den Leitlinien 02/2022 des EDSA zur Anwendung des Artikels 60 DSGVO lässt sich dazu Folgendes entnehmen (Rn. 226):Die fehlende Bindungswirkung für das BVwG korreliert auch mit dem in Artikel 78, DSGVO verankerten Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde. Nach Artikel 78, Absatz eins, DSGVO hat jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Dazu zählt auch ein Beschluss nach Artikel 60, Absatz 8, DSGVO (diesbezüglich auf den Rechtsschutz gemäß Artikel 78, DSGVO verweisend etwa Jahnel, Kommentar zur DSGVO [2021] Artikel 60, DSGVO Rz. 27; ebenso Körffer in Paal/Pauly [Hrsg.] DSGVO3 [2021] Artikel 60, DSGVO Rz. 10; Dix in Kühling/Buchner [Hrsg.] DSGVO3 [2020] Artikel 60, Rz. 23). Den Leitlinien 02 aus 2022, des EDSA zur Anwendung des Artikels 60 DSGVO lässt sich dazu Folgendes entnehmen (Rn. 226):
„Die in Anwendung von Artikel 60 Absatz 8 [DSGVO] erfolgte Mitteilung kann vom Beschwerdeführer genutzt werden, um gegen den Beschluss einer Aufsichtsbehörde einen Rechtsbehelf einzulegen. Da dieser Beschluss von der Aufsichtsbehörde erlassen werden muss, bei der die Beschwerde eingereicht wurde, dürfte sich der Beschwerdeführer im Einklang mit Artikel 78 Absatz 3 [DSGVO] und Artikel 47 [GRC] in räumlicher Nähe zum zuständigen Gericht befinden (da der Beschluss von der zuständigen Aufsichtsbehörde in diesem Mitgliedstaat erlassen wird und daher ein Gericht im Mitgliedstaat des Beschwerdeführers angerufen wird).“
30
Erwägungsgrund 143 zur DSGVO hält diesbezüglich allgemein fest, dass die Gerichte eine uneingeschränkte Zuständigkeit besitzen sollen, einschließlich der Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgeblichen Sach- und Rechtsfragen zu prüfen. Wäre das BVwG an den Beschlussentwurf der federführenden Aufsichtsbehörde gebunden und insoweit in seiner Prüfzuständigkeit beschränkt, läge jedoch kein wirksamer gerichtlicher Rechtsbehelf im Sinn des Art. 78 DSGVO (bzw. im Sinn der dargestellten Vorgaben) vor.Erwägungsgrund 143 zur DSGVO hält diesbezüglich allgemein fest, dass die Gerichte eine uneingeschränkte Zuständigkeit besitzen sollen, einschließlich der Zuständigkeit, sämtliche für den bei ihnen anhängigen Rechtsstreit maßgeblichen Sach- und Rechtsfragen zu prüfen. Wäre das BVwG an den Beschlussentwurf der federführenden Aufsichtsbehörde gebunden und insoweit in seiner Prüfzuständigkeit beschränkt, läge jedoch kein wirksamer gerichtlicher Rechtsbehelf im Sinn des Artikel 78, DSGVO (bzw. im Sinn der dargestellten Vorgaben) vor.
31
Darüber hinaus ist noch auf die Regelung des Art. 78 Abs. 4 DSGVO bzw. den damit in Zusammenhang stehenden Erwägungsgrund 143 zur DSGVO hinzuweisen: Nach Art. 78 Abs. 4 DSGVO hat die Aufsichtsbehörde, wenn es zu einem gerichtlichen Verfahren gegen einen Beschluss einer Aufsichtsbehörde kommt, dem eine Stellungnahme oder ein Beschluss des EDSA im Rahmen des Kohärenzverfahrens (nach den Art. 63 bis 65 DSGVO) vorangegangen ist, dem Gericht diese Stellungnahme bzw. diesen Beschluss des EDSA zuzuleiten. Erwägungsgrund 143 zur DSGVO hält dazu fest, dass das einzelstaatliche Gericht, wenn in einem derartigen Verfahren die Gültigkeit des zugrundeliegenden Beschlusses des EDSA in Frage gestellt wird, nicht die Befugnis hat, den Beschluss des EDSA für nichtig zu erklären, sondern den Gerichtshof der Europäischen Union (EuGH) mit dieser Frage befassen muss (vgl. dazu auch Körffer in Paal/Pauly [Hrsg.] DSGVO3 [2021] Art. 78 DSGVO Rz. 14). Für die hier vorliegende Konstellation, in der dem Bescheid der DSB nicht ein Beschluss des EDSA, sondern ein Beschlussentwurf der federführenden Aufsichtsbehörde zugrunde lag, finden sich in der DSGVO keine derartigen Aussagen. Auch dieser Umstand spricht gegen die Annahme, dass das BVwG (als das gemäß Art. 78 DSGVO angerufene Gericht) im Fall einer Bekämpfung eines auf Art. 60 Abs. 8 DSGVO gestützten Bescheides der DSB (als betroffener Aufsichtsbehörde) die im Beschlussentwurf der federführenden Aufsichtsbehörde erfolgte (und für die DSB bindende) Beurteilung nicht überprüfen kann (vgl. dazu wiederum Körffer in Paal/Pauly [Hrsg.] DSGVO3 [2021] Art. 78 DSGVO Rz. 15, die darauf hinweist, dass die Gefahr divergierender Gerichtsentscheidungen besteht, wenn mehrere betroffene Aufsichtsbehörden Beschlüsse gemäß Art. 60 Abs. 8 DSGVO getroffen haben und über diese Beschlüsse von Gerichten in unterschiedlichen Mitgliedstaaten entschieden wird; ebenso Bergt in Kühling/Buchner [Hrsg.] DSGVO3 [2020] Art. 78 Rz. 26).Darüber hinaus ist noch auf die Regelung des Artikel 78, Absatz 4, DSGVO bzw. den damit in Zusammenhang stehenden Erwägungsgrund 143 zur DSGVO hinzuweisen: Nach Artikel 78, Absatz 4, DSGVO hat die Aufsichtsbehörde, wenn es zu einem gerichtlichen Verfahren gegen einen Beschluss einer Aufsichtsbehörde kommt, dem eine Stellungnahme oder ein Beschluss des EDSA im Rahmen des Kohärenzverfahrens (nach den Artikel 63, bis 65 DSGVO) vorangegangen ist, dem Gericht diese Stellungnahme bzw. diesen Beschluss des EDSA zuzuleiten. Erwägungsgrund 143 zur DSGVO hält dazu fest, dass das einzelstaatliche Gericht, wenn in einem derartigen Verfahren die Gültigkeit des zugrundeliegenden Beschlusses des EDSA in Frage gestellt wird, nicht die Befugnis hat, den Beschluss des EDSA für nichtig zu erklären, sondern den Gerichtshof der Europäischen Union (EuGH) mit dieser Frage befassen muss vergleiche , dazu auch Körffer in Paal/Pauly [Hrsg.] DSGVO3 [2021] Artikel 78, DSGVO Rz. 14). Für die hier vorliegende Konstellation, in der dem Bescheid der DSB nicht ein Beschluss des EDSA, sondern ein Beschlussentwurf der federführenden Aufsichtsbehörde zugrunde lag, finden sich in der DSGVO keine derartigen Aussagen. Auch dieser Umstand spricht gegen die Annahme, dass das BVwG (als das gemäß Artikel 78, DSGVO angerufene Gericht) im Fall einer Bekämpfung eines auf Artikel 60, Absatz 8, DSGVO gestützten Bescheides der DSB (als betroffener Aufsichtsbehörde) die im Beschlussentwurf der federführenden Aufsichtsbehörde erfolgte (und für die DSB bindende) Beurteilung nicht überprüfen kann vergleiche , dazu wiederum Körffer in Paal/Pauly [Hrsg.] DSGVO3 [2021] Artikel 78, DSGVO Rz. 15, die darauf hinweist, dass die Gefahr divergierender Gerichtsentscheidungen besteht, wenn mehrere betroffene Aufsichtsbehörden Beschlüsse gemäß Artikel 60, Absatz 8, DSGVO getroffen haben und über diese Beschlüsse von Gerichten in unterschiedlichen Mitgliedstaaten entschieden wird; ebenso Bergt in Kühling/Buchner [Hrsg.] DSGVO3 [2020] Artikel 78, Rz. 26).
32
Für den Verwaltungsgerichtshof ist daher nicht ersichtlich, weshalb das BVwG aus der Bindung der belangten Behörde folgerte, dass die Feststellung des maßgeblichen Sachverhalts von ihm selbst nicht durchgeführt werden könne.
33
4.3. Soweit das BVwG diesbezüglich darauf verweist, dass durch die unterbliebene Übermittlung des Beschlussentwurfs an den Zweitmitbeteiligten der Grundsatz des Parteiengehörs verletzt worden und diese Rechtsverletzung vor dem BVwG nicht sanierbar sei, ist Folgendes festzuhalten:
34
Das BVwG geht dem Grunde nach zutreffend davon aus, dass auch in einem Verfahren basierend auf Art. 60 DSGVO dem Betroffenen Parteiengehör und die Möglichkeit der Stellungnahme zu den Ermittlungsergebnissen einzuräumen ist (vgl. dazu, dass bereits die federführende Aufsichtsbehörde im Fall einer beabsichtigten Abweisung der Datenschutzbeschwerde dem Betroffenen Parteiengehör einräumen muss, die Leitlinien 02/2022 des EDSA zur Anwendung des Artikels 60 DSGVO, Rn. 105; weiters Leissler/Wolfbauer in Knyrim [Hrsg.] DatKomm [2018] Art 60 Rz. 15). Damit korrespondiert auch die der Bestimmung des Art. 60 Abs. 8 DSGVO offensichtlich zugrundeliegende Zielsetzung, dass die betroffene Person (hier: der Zweitmitbeteiligte) einen für sie nachteiligen Beschluss (hier: den Bescheid der DSB) in seinem eigenen Mitgliedstaat und in seiner eigenen Sprache anfechten kann (vgl. in diesem Sinn erneut die Leitlinien 02/2022 des EDSA zur Anwendung des Artikels 60 DSGVO, hier Rn. 224).Das BVwG geht dem Grunde nach zutreffend davon aus, dass auch in einem Verfahren basierend auf Artikel 60, DSGVO dem Betroffenen Parteiengehör und die Möglichkeit der Stellungnahme zu den Ermittlungsergebnissen einzuräumen ist vergleiche , dazu, dass bereits die federführende Aufsichtsbehörde im Fall einer beabsichtigten Abweisung der Datenschutzbeschwerde dem Betroffenen Parteiengehör einräumen muss, die Leitlinien 02 aus 2022, des EDSA zur Anwendung des Artikels 60 DSGVO, Rn. 105; weiters Leissler/Wolfbauer in Knyrim [Hrsg.] DatKomm [2018] Artikel 60, Rz. 15). Damit korrespondiert auch die der Bestimmung des Artikel 60, Absatz 8, DSGVO offensichtlich zugrundeliegende Zielsetzung, dass die betroffene Person (hier: der Zweitmitbeteiligte) einen für sie nachteiligen Beschluss (hier: den Bescheid der DSB) in seinem eigenen Mitgliedstaat und in seiner eigenen Sprache anfechten kann vergleiche , in diesem Sinn erneut die Leitlinien 02 aus 2022, des EDSA zur Anwendung des Artikels 60 DSGVO, hier Rn. 224).
35
Nach der Rechtsprechung des Verwaltungsgerichtshofes kann eine Aufhebung und Zurückverweisung aber nicht darauf gestützt werden, dass die belangte Behörde das Parteiengehör verletzt hat. Eine allfällige Verletzung des Parteiengehörs durch diese ist nämlich dann als saniert anzusehen, wenn die Partei Gelegenheit gehabt hat, zu den Ergebnissen des Ermittlungsverfahrens im Rechtsmittel gegen den behördlichen Bescheid Stellung zu nehmen (vgl. etwa VwGH 16.12.2020, Ro 2020/07/0005, Rn. 36; 12.8.2019, Ra 2019/20/0192, Rn. 15, jeweils mwN). Auch aus dem vom BVwG (für seine gegenteilige Ansicht) begründend herangezogenen Erkenntnis des Verwaltungsgerichtshofes vom 28. Februar 2022, Ra 2021/09/0251, ergibt sich nicht anderes, wurde doch auch dort ausdrücklich festgehalten, eine im Verfahren vor der Verwaltungsbehörde erfolgte Verletzung des Parteiengehörs könne durch die mit Beschwerde an das Verwaltungsgericht verbundene Möglichkeit einer Stellungnahme saniert werden (vgl. Rn. 67).Nach der Rechtsprechung des Verwaltungsgerichtshofes kann eine Aufhebung und Zurückverweisung aber nicht darauf gestützt werden, dass die belangte Behörde das Parteiengehör verletzt hat. Eine allfällige Verletzung des Parteiengehörs durch diese ist nämlich dann als saniert anzusehen, wenn die Partei Gelegenheit gehabt hat, zu den Ergebnissen des Ermittlungsverfahrens im Rechtsmittel gegen den behördlichen Bescheid Stellung zu nehmen vergleiche , etwa VwGH 16.12.2020, Ro 2020/07/0005, Rn. 36; 12.8.2019, Ra 2019/20/0192, Rn. 15, jeweils mwN). Auch aus dem vom BVwG (für seine gegenteilige Ansicht) begründend herangezogenen Erkenntnis des Verwaltungsgerichtshofes vom 28. Februar 2022, Ra 2021/09/0251, ergibt sich nicht anderes, wurde doch auch dort ausdrücklich festgehalten, eine im Verfahren vor der Verwaltungsbehörde erfolgte Verletzung des Parteiengehörs könne durch die mit Beschwerde an das Verwaltungsgericht verbundene Möglichkeit einer Stellungnahme saniert werden vergleiche , Rn. 67). 36
4.4. Die belangte Behörde hat in ihrem Bescheid vom 29. September 2022 festgehalten, es sei im Rahmen der Überprüfung der federführenden Aufsichtsbehörde festgestellt worden, dass vor Anklicken der „zustimmenden Schaltfläche“ keine Cookies aus der Domäne des Dritten gesetzt worden seien oder Datenübertragungen an Server des Dritten stattgefunden hätten. Ob die Webseitenprozesse beim Besuch des Zweitmitbeteiligten am 5. Juli 2021 anders gestaltet gewesen seien, habe durch die federführende Aufsichtsbehörde nicht zweifelsfrei festgestellt werden können. Die Ergebnisse der Ermittlungen sind somit zwar nur sehr knapp dargestellt. Es ist fallbezogen aber nicht zu sehen, dass dem Zweitmitbeteiligten dadurch die Möglichkeit genommen wurde, zu diesen Ergebnissen des Ermittlungsverfahrens in der Beschwerde an das BVwG Stellung zu nehmen, bzw. dass die unterbliebene Einräumung von Parteiengehör im Verfahren vor dem BVwG nicht sanierbar gewesen wäre. Unter Bedachtnahme auf die speziellen Regelungen zur Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und der betroffenen Aufsichtsbehörde nach Art. 60 DSGVO kann auch nicht gesagt werden, dass krasse bzw. besonders gravierende Ermittlungslücken im Sinn der (oben) dargestellten Rechtsprechung des Verwaltungsgerichtshofes vorgelegen wären. Entgegen der Auffassung des BVwG, dass die Feststellung des maßgeblichen Sachverhalts nicht von ihm selbst durchgeführt werden könne, obliegt es daher dem BVwG, die von ihm als notwendig angesehenen ergänzenden Ermittlungsschritte selbst nachzuholen.4.4. Die belangte Behörde hat in ihrem Bescheid vom 29. September 2022 festgehalten, es sei im Rahmen der Überprüfung der federführenden Aufsichtsbehörde festgestellt worden, dass vor Anklicken der „zustimmenden Schaltfläche“ keine Cookies aus der Domäne des Dritten gesetzt worden seien oder Datenübertragungen an Server des Dritten stattgefunden hätten. Ob die Webseitenprozesse beim Besuch des Zweitmitbeteiligten am 5. Juli 2021 anders gestaltet gewesen seien, habe durch die federführende Aufsichtsbehörde nicht zweifelsfrei festgestellt werden können. Die Ergebnisse der Ermittlungen sind somit zwar nur sehr knapp dargestellt. Es ist fallbezogen aber nicht zu sehen, dass dem Zweitmitbeteiligten dadurch die Möglichkeit genommen wurde, zu diesen Ergebnissen des Ermittlungsverfahrens in der Beschwerde an das BVwG Stellung zu nehmen, bzw. dass die unterbliebene Einräumung von Parteiengehör im Verfahren vor dem BVwG nicht sanierbar gewesen wäre. Unter Bedachtnahme auf die speziellen Regelungen zur Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und der betroffenen Aufsichtsbehörde nach Artikel 60, DSGVO kann auch nicht gesagt werden, dass krasse bzw. besonders gravierende Ermittlungslücken im Sinn der (oben) dargestellten Rechtsprechung des Verwaltungsgerichtshofes vorgelegen wären. Entgegen der Auffassung des BVwG, dass die Feststellung des maßgeblichen Sachverhalts nicht von ihm selbst durchgeführt werden könne, obliegt es daher dem BVwG, die von ihm als notwendig angesehenen ergänzenden Ermittlungsschritte selbst nachzuholen.
37
4.5. Abschließend ist noch Folgendes anzumerken: Die DSGVO enthält keine Regelungen dahingehend, dass die in Art. 60 Abs. 6 DSGVO für die betroffenen Aufsichtsbehörden normierte Bindungswirkung an den Beschlussentwurf der federführenden Aufsichtsbehörde dann beseitigt wäre, wenn das (im Wege des Art. 78 DSGVO angerufene) Gericht den (auf Art. 60 Abs. 8 DSGVO basierenden) Beschluss der Aufsichtsbehörde behebt. Zwar kann eine derartige Bindungswirkung nur bezüglich einer unveränderten Sach- oder Rechtslage bestehen (vgl. dazu auch die Leitlinien 02/2022 des EDSA zur Anwendung des Artikels 60 DSGVO, Rn. 207, die darauf hinweisen, dass in außergewöhnlichen Situationen die Beachtung der Bindungswirkung die Rechtmäßigkeit des nationalen Beschlusses beeinträchtigen kann und diesbezüglich als ein Beispiel auf ein Urteil des EuGH hinweisen, das mit den von der Bindungswirkung des Beschlussentwurfs der federführenden Aufsichtsbehörde umfassten Vorgaben in Widerspruch steht). Ob eine Behebung des (unter Beachtung der Bindungswirkung ergangenen) Beschlusses der betroffenen Aufsichtsbehörde durch ein Gericht eine derartige geänderte Sach- oder Rechtslage (bzw. eine solche außergewöhnliche Situation) darstellt, muss im vorliegenden Zusammenhang aber nicht beantwortet werden, weil sich die Behebung und Zurückverweisung - wie oben dargelegt - ohnehin als verfehlt darstellt.4.5. Abschließend ist noch Folgendes anzumerken: Die DSGVO enthält keine Regelungen dahingehend, dass die in Artikel 60, Absatz 6, DSGVO für die betroffenen Aufsichtsbehörden normierte Bindungswirkung an den Beschlussentwurf der federführenden Aufsichtsbehörde dann beseitigt wäre, wenn das (im Wege des Artikel 78, DSGVO angerufene) Gericht den (auf Artikel 60, Absatz 8, DSGVO basierenden) Beschluss der Aufsichtsbehörde behebt. Zwar kann eine derartige Bindungswirkung nur bezüglich einer unveränderten Sach- oder Rechtslage bestehen vergleiche , dazu auch die Leitlinien 02 aus 2022, des EDSA zur Anwendung des Artikels 60 DSGVO, Rn. 207, die darauf hinweisen, dass in außergewöhnlichen Situationen die Beachtung der Bindungswirkung die Rechtmäßigkeit des nationalen Beschlusses beeinträchtigen kann und diesbezüglich als ein Beispiel auf ein Urteil des EuGH hinweisen, das mit den von der Bindungswirkung des Beschlussentwurfs der federführenden Aufsichtsbehörde umfassten Vorgaben in Widerspruch steht). Ob eine Behebung des (unter Beachtung der Bindungswirkung ergangenen) Beschlusses der betroffenen Aufsichtsbehörde durch ein Gericht eine derartige geänderte Sach- oder Rechtslage (bzw. eine solche außergewöhnliche Situation) darstellt, muss im vorliegenden Zusammenhang aber nicht beantwortet werden, weil sich die Behebung und Zurückverweisung - wie oben dargelegt - ohnehin als verfehlt darstellt.
38
5. Der angefochtene Beschluss war daher gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit seines Inhaltes aufzuheben, ohne dass auf das übrige Revisionsvorbringen näher einzugehen war.5. Der angefochtene Beschluss war daher gemäß Paragraph 42, Absatz 2, Ziffer eins, VwGG wegen Rechtswidrigkeit seines Inhaltes aufzuheben, ohne dass auf das übrige Revisionsvorbringen näher einzugehen war.
Wien, am 20. August 2025