Verletzt die Veröffentlichung des Protokolls der Vernehmung einer Auskunftsperson im BVT-Untersuchungsausschuss ihr Recht auf Geheimhaltung? Zur Klärung legt der VwGH (Ro 2021/04/0006) dem EuGH nun die Frage zur Vorabentscheidung vor, ob die DSGVO auf die Verarbeitung von personenbezogenen Daten im Rahmen der Tätigkeit eines parlamentarischen Untersuchungsausschusses überhaupt anwendbar ist.
Ausgangslage
Der Betroffene wurde am 19. September 2018 als Auskunftsperson vom Untersuchungsausschuss über die politische Einflussnahme auf das Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT‑Untersuchungsausschuss) medienöffentlich befragt und das wörtliche Protokoll dieser Befragung auf der Website des österreichischen Parlaments unter vollständiger Nennung des Vor‑ und Familiennamens des Erstmitbeteiligten veröffentlicht.
Der Betroffene erachtete sich dadurch in seinen Rechten nach der DSGVO wie auch nach § 1 DSG verletzt und erhob Beschwerde bei der Datenschutzbehörde (DSB). Er brachte im Wesentlichen vor, er sei bei der polizeilichen Einsatzgruppe für die Bekämpfung der Straßenkriminalität als verdeckter Ermittler tätig. Durch die entgegen seinem Verlangen gegenüber dem BVT‑Untersuchungsausschuss vollständige Nennung seines Vor- und Familiennamens im veröffentlichten Protokoll seiner Einvernahme sei er in seinem Grundrecht auf Datenschutz nach § 1 Abs 1 DSG sowie im Recht auf Löschung unzulässig verarbeiteter Daten nach § 1 Abs 3 Z 2 DSG verletzt worden.
Die DSB wies die Beschwerde zurück und führte begründend aus, dass die DSGVO zwar grundsätzlich die Aufsicht der DSB über Organe der Gesetzgebung ‑ anders als über Gerichte im Rahmen der justiziellen Tätigkeit (Art 55 Abs 3 DSGVO) ‑ nicht verneine, der europäischen Rechtsordnung jedoch die Trennung der Staatsgewalten inhärent sei. Eine Kontrolle der Verwaltung über die Gesetzgebung sei somit ausgeschlossen. Da der BVT‑Untersuchungsausschuss ein Organ sei, das der Gesetzgebung zuzurechnen ist, wäre die Datenschutzbeschwerde daher wegen Unzuständigkeit zurückzuweisen gewesen.
Mit dem beim VwGH angefochtenen Erkenntnis gab das Verwaltungsgericht der Beschwerde statt, hob den Bescheid der DSB auf und sprach aus, dass die Revision an den VwGH zulässig sei.
Begründend führte das Verwaltungsgericht im Wesentlichen aus, weder die Bestimmung des Art 2 Abs. 1 DSGVO über den sachlichen Anwendungsbereich der Verordnung noch die in Art 2 Abs 2 DSGVO normierten Ausnahmen von deren Anwendbarkeit stellten darauf ab, welcher Staatsfunktion ein verarbeitendes Organ zuzuordnen sei. Eine Ausnahme von der Anwendbarkeit der Bestimmungen der DSGVO in Bezug auf eine bestimmte Staatsfunktion sei der Verordnung nicht zu entnehmen. Dies lasse auf eine vollumfängliche Anwendbarkeit der materiellen Bestimmungen der DSGVO auf die Gesetzgebung schließen. Neben dem Unionsrecht enthalte auch die nationale Rechtsordnung keine Vorschriften, die die Tätigkeit von Untersuchungsausschüssen, die der gesetzgeberischen Gewalt zuzuordnen seien, vom Anwendungsbereich der DSGVO ausdrücklich ausnehmen würden. Im Ergebnis sei davon auszugehen, dass die materiellen Vorschriften der DSGVO und des DSG auch für Akte maßgeblich seien, die der Staatsfunktion Gesetzgebung zuzurechnen seien.
Weder Art 55 noch Art 77 DSGVO schlössen eine Zuständigkeit der DSB für datenschutzrechtliche Vorgänge im Rahmen der Gesetzgebung aus. Die Ausnahmeregelung des Art 55 Abs 3 DSGVO für den Bereich justizieller Tätigkeiten der Gerichte sei einer Verallgemeinerung nicht zugänglich. Es sei daher deren Zuständigkeit für parlamentarische Untersuchungsausschüsse zu bejahen. Gegen dieses Erkenntnis richtete sich die Revision der DSB.
Die Vorlagefragen
1. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses unabhängig vom Untersuchungsgegenstand in den Anwendungsbereich des Unionsrechts, sodass die DSGVO auf die Verarbeitung personenbezogener Daten durch einen parlamentarischen Untersuchungsausschuss eines Mitgliedstaates anwendbar ist?
Falls Frage 1 bejaht wird:
2. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, der Tätigkeiten einer polizeilichen Staatsschutzbehörde, somit den Schutz der nationalen Sicherheit betreffende Tätigkeiten im Sinne des 16. Erwägungsgrundes der DSGVO zum Untersuchungsgegenstand hat, unter den Ausnahmetatbestand des Art 2 Abs 2 lit a DSGVO?
Falls Frage 2 verneint wird:
3. Sofern ‑ wie vorliegend ‑ ein Mitgliedstaat bloß eine einzige Aufsichtsbehörde nach Art 51 Abs 1 DSGVO errichtet hat, ergibt sich deren Zuständigkeit für Beschwerden im Sinne des Art 77 Abs 1 in Verbindung mit Art 55 Abs. 1 DSGVO bereits unmittelbar aus der DSGVO?
Zu Frage 1
Vorliegend erachtet sich der Betroffene durch die Veröffentlichung des Protokolls seiner Einvernahme vor dem BVT‑Untersuchungsausschuss als Auskunftsperson auf der Website des österreichischen Parlaments unter Nennung seines vollständigen Namens in seinem Recht auf Geheimhaltung bzw. seinem Grundrecht auf Schutz personenbezogener Daten im Sinne des Art. 8 GRC verletzt. Eine solche Veröffentlichung stellt an sich eine „Verarbeitung“ personenbezogener Daten im Sinne von Art. 4 Z 2 DSGVO dar. Zusammengefasst ist für den VwGH aber fraglich, ob im Gegensatz zu dem, den Petitionsausschuss des Hessischen Landtags betreffenden Urteil des EuGH vom 9. Juli 2020, Land Hessen, C‑272/19, der Kernbereich parlamentarischer Tätigkeiten, wie etwa Vorgänge der Gesetzgebung bzw. der parlamentarischen Kontrolle, unter Art 16 Abs 2 AEUV fällt und somit gemäß Art 2 Abs 2 lit a DSGVO vom sachlichen Anwendungsbereich der DSGVO umfasst ist.
Zu Frage 2
Untersuchungsgegenstand des vorliegend vom Nationalrat eingesetzten BVT‑Untersuchungsausschusses war „der Verdacht der abgestimmten, politisch motivierten Einflussnahme durch OrganwalterInnen, sonstige (leitende) Bedienstete sowie MitarbeiterInnen politischer Büros des Bundesministerium für Inneres (BMI) auf die Aufgabenerfüllung des Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT) samt damit in Zusammenhang stehender angeblicher Verletzung rechtlicher Bestimmungen.
Der Aufgabenbereich des BVT umfasst „die nationale Sicherheit betreffende Tätigkeiten“ im Sinne des 16. Erwägungsgrundes der DSGVO. Der Untersuchungsgegenstand des hier maßgeblichen Untersuchungsausschusses betrifft daher Tätigkeiten der nationalen Sicherheit, die im Hinblick auf den 16. Erwägungsgrund der DSGVO nicht unter den Anwendungsbereich des Unionsrechts fallen und daher gemäß Art 2 Abs 2 lit a DSGVO vom sachlichen Anwendungsbereich dieser Verordnung ausgenommen sind.
Gemäß dem Urteil des EuGH vom 6. Oktober 2020, La Quadrature du Net u.a., C‑511/18 , C‑512/18 und C‑520/18, Rn 101, sind in Bezug auf Art 3 Abs 2 erster Gedankenstrich der Richtlinie 95/46 „‚Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung [und] die Sicherheit des Staates‘ generell vom Anwendungsbereich dieser Richtlinie“ ausgenommen, „ohne anhand des Urhebers der betreffenden Verarbeitung von Daten zu unterscheiden“. Sofern die parlamentarische Kontrolltätigkeit eines Untersuchungsausschusses somit grundsätzlich in den Anwendungsbereich des Unionsrechts im Sinne des Art 16 Abs 2 AEUV fällt, stellt sich die Frage, ob Tätigkeiten eines parlamentarischen Untersuchungsausschusses zumindest dann unter den Ausnahmetatbestand des Art 2 Abs 2 lit a DSGVO fallen, wenn der Untersuchungsgegenstand Tätigkeiten der Vollziehung betrifft, die wie vorliegend nach dem 16. Erwägungsgrund nicht unter den Anwendungsbereich des Unionsrechts zu subsumieren sind.
Zu Frage 3
Gemäß § 18 Abs 1 DSG wurde in Österreich die DSB als einzige nationale Aufsichtsbehörde nach Art 51 DSGVO eingerichtet. Im Rahmen der Durchführung des Art 77 DSGVO räumt § 24 Abs 1 DSG jeder betroffenen Person das Recht auf Beschwerde bei der DSB ein, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.
Im Fall der Anwendbarkeit der DSGVO auf die parlamentarische Kontrolltätigkeit setzt die Zuständigkeit der DSB als einzige nationale Aufsichtsbehörde für Akte der Gesetzgebung auf Grund des verfassungsrechtlichen Gewaltentrennungsprinzips zwischen Exekutive und Legislative eine verfassungsrechtliche Verankerung voraus. Eine solche ist hingegen derzeit nicht vorhanden. Sollte der EuGH die erste Frage bejahen und die zweite Frage verneinen und die DSGVO auf die vorliegende parlamentarische Kontrolltätigkeit anwendbar sein, stellt sich für den VwGH in Bezug auf die DSB die weitere Frage, ob sich deren Zuständigkeit im Hinblick auf das in Art 77 Abs 1 DSGVO jeder betroffenen Person eingeräumte Recht auf Beschwerde bei einer Aufsichtsbehörde bereits unmittelbar aus dem Unionsrecht (Art 77 Abs 1 in Verbindung mit Art 55 Abs 1 DSGVO) ableitet.
(Bild: © Parlamentsdirektion) 
Verletzt die Veröffentlichung des Protokolls der Vernehmung einer Auskunftsperson im BVT-Untersuchungsausschuss ihr Recht auf Geheimhaltung? Zur Klärung legt der VwGH (Ro 2021/04/0006) dem EuGH nun die Frage zur Vorabentscheidung vor, ob die DSGVO auf die Verarbeitung von personenbezogenen Daten im Rahmen der Tätigkeit eines parlamentarischen Untersuchungsausschusses überhaupt anwendbar ist.
Ausgangslage
Der Betroffene wurde am 19. September 2018 als Auskunftsperson vom Untersuchungsausschuss über die politische Einflussnahme auf das Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT‑Untersuchungsausschuss) medienöffentlich befragt und das wörtliche Protokoll dieser Befragung auf der Website des österreichischen Parlaments unter vollständiger Nennung des Vor‑ und Familiennamens des Erstmitbeteiligten veröffentlicht.
Der Betroffene erachtete sich dadurch in seinen Rechten nach der DSGVO wie auch nach § 1 DSG verletzt und erhob Beschwerde bei der Datenschutzbehörde (DSB). Er brachte im Wesentlichen vor, er sei bei der polizeilichen Einsatzgruppe für die Bekämpfung der Straßenkriminalität als verdeckter Ermittler tätig. Durch die entgegen seinem Verlangen gegenüber dem BVT‑Untersuchungsausschuss vollständige Nennung seines Vor- und Familiennamens im veröffentlichten Protokoll seiner Einvernahme sei er in seinem Grundrecht auf Datenschutz nach § 1 Abs 1 DSG sowie im Recht auf Löschung unzulässig verarbeiteter Daten nach § 1 Abs 3 Z 2 DSG verletzt worden.
Die DSB wies die Beschwerde zurück und führte begründend aus, dass die DSGVO zwar grundsätzlich die Aufsicht der DSB über Organe der Gesetzgebung ‑ anders als über Gerichte im Rahmen der justiziellen Tätigkeit (Art 55 Abs 3 DSGVO) ‑ nicht verneine, der europäischen Rechtsordnung jedoch die Trennung der Staatsgewalten inhärent sei. Eine Kontrolle der Verwaltung über die Gesetzgebung sei somit ausgeschlossen. Da der BVT‑Untersuchungsausschuss ein Organ sei, das der Gesetzgebung zuzurechnen ist, wäre die Datenschutzbeschwerde daher wegen Unzuständigkeit zurückzuweisen gewesen.
Mit dem beim VwGH angefochtenen Erkenntnis gab das Verwaltungsgericht der Beschwerde statt, hob den Bescheid der DSB auf und sprach aus, dass die Revision an den VwGH zulässig sei.
Begründend führte das Verwaltungsgericht im Wesentlichen aus, weder die Bestimmung des Art 2 Abs. 1 DSGVO über den sachlichen Anwendungsbereich der Verordnung noch die in Art 2 Abs 2 DSGVO normierten Ausnahmen von deren Anwendbarkeit stellten darauf ab, welcher Staatsfunktion ein verarbeitendes Organ zuzuordnen sei. Eine Ausnahme von der Anwendbarkeit der Bestimmungen der DSGVO in Bezug auf eine bestimmte Staatsfunktion sei der Verordnung nicht zu entnehmen. Dies lasse auf eine vollumfängliche Anwendbarkeit der materiellen Bestimmungen der DSGVO auf die Gesetzgebung schließen. Neben dem Unionsrecht enthalte auch die nationale Rechtsordnung keine Vorschriften, die die Tätigkeit von Untersuchungsausschüssen, die der gesetzgeberischen Gewalt zuzuordnen seien, vom Anwendungsbereich der DSGVO ausdrücklich ausnehmen würden. Im Ergebnis sei davon auszugehen, dass die materiellen Vorschriften der DSGVO und des DSG auch für Akte maßgeblich seien, die der Staatsfunktion Gesetzgebung zuzurechnen seien.
Weder Art 55 noch Art 77 DSGVO schlössen eine Zuständigkeit der DSB für datenschutzrechtliche Vorgänge im Rahmen der Gesetzgebung aus. Die Ausnahmeregelung des Art 55 Abs 3 DSGVO für den Bereich justizieller Tätigkeiten der Gerichte sei einer Verallgemeinerung nicht zugänglich. Es sei daher deren Zuständigkeit für parlamentarische Untersuchungsausschüsse zu bejahen. Gegen dieses Erkenntnis richtete sich die Revision der DSB.
Die Vorlagefragen
1. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses unabhängig vom Untersuchungsgegenstand in den Anwendungsbereich des Unionsrechts, sodass die DSGVO auf die Verarbeitung personenbezogener Daten durch einen parlamentarischen Untersuchungsausschuss eines Mitgliedstaates anwendbar ist?
Falls Frage 1 bejaht wird:
2. Fallen Tätigkeiten eines von einem Parlament eines Mitgliedstaats in Ausübung seines Kontrollrechts der Vollziehung eingesetzten Untersuchungsausschusses, der Tätigkeiten einer polizeilichen Staatsschutzbehörde, somit den Schutz der nationalen Sicherheit betreffende Tätigkeiten im Sinne des 16. Erwägungsgrundes der DSGVO zum Untersuchungsgegenstand hat, unter den Ausnahmetatbestand des Art 2 Abs 2 lit a DSGVO?
Falls Frage 2 verneint wird:
3. Sofern ‑ wie vorliegend ‑ ein Mitgliedstaat bloß eine einzige Aufsichtsbehörde nach Art 51 Abs 1 DSGVO errichtet hat, ergibt sich deren Zuständigkeit für Beschwerden im Sinne des Art 77 Abs 1 in Verbindung mit Art 55 Abs. 1 DSGVO bereits unmittelbar aus der DSGVO?
Zu Frage 1
Vorliegend erachtet sich der Betroffene durch die Veröffentlichung des Protokolls seiner Einvernahme vor dem BVT‑Untersuchungsausschuss als Auskunftsperson auf der Website des österreichischen Parlaments unter Nennung seines vollständigen Namens in seinem Recht auf Geheimhaltung bzw. seinem Grundrecht auf Schutz personenbezogener Daten im Sinne des Art. 8 GRC verletzt. Eine solche Veröffentlichung stellt an sich eine „Verarbeitung“ personenbezogener Daten im Sinne von Art. 4 Z 2 DSGVO dar. Zusammengefasst ist für den VwGH aber fraglich, ob im Gegensatz zu dem, den Petitionsausschuss des Hessischen Landtags betreffenden Urteil des EuGH vom 9. Juli 2020, Land Hessen, C‑272/19, der Kernbereich parlamentarischer Tätigkeiten, wie etwa Vorgänge der Gesetzgebung bzw. der parlamentarischen Kontrolle, unter Art 16 Abs 2 AEUV fällt und somit gemäß Art 2 Abs 2 lit a DSGVO vom sachlichen Anwendungsbereich der DSGVO umfasst ist.
Zu Frage 2
Untersuchungsgegenstand des vorliegend vom Nationalrat eingesetzten BVT‑Untersuchungsausschusses war „der Verdacht der abgestimmten, politisch motivierten Einflussnahme durch OrganwalterInnen, sonstige (leitende) Bedienstete sowie MitarbeiterInnen politischer Büros des Bundesministerium für Inneres (BMI) auf die Aufgabenerfüllung des Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT) samt damit in Zusammenhang stehender angeblicher Verletzung rechtlicher Bestimmungen.
Der Aufgabenbereich des BVT umfasst „die nationale Sicherheit betreffende Tätigkeiten“ im Sinne des 16. Erwägungsgrundes der DSGVO. Der Untersuchungsgegenstand des hier maßgeblichen Untersuchungsausschusses betrifft daher Tätigkeiten der nationalen Sicherheit, die im Hinblick auf den 16. Erwägungsgrund der DSGVO nicht unter den Anwendungsbereich des Unionsrechts fallen und daher gemäß Art 2 Abs 2 lit a DSGVO vom sachlichen Anwendungsbereich dieser Verordnung ausgenommen sind.
Gemäß dem Urteil des EuGH vom 6. Oktober 2020, La Quadrature du Net u.a., C‑511/18 , C‑512/18 und C‑520/18, Rn 101, sind in Bezug auf Art 3 Abs 2 erster Gedankenstrich der Richtlinie 95/46 „‚Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung [und] die Sicherheit des Staates‘ generell vom Anwendungsbereich dieser Richtlinie“ ausgenommen, „ohne anhand des Urhebers der betreffenden Verarbeitung von Daten zu unterscheiden“. Sofern die parlamentarische Kontrolltätigkeit eines Untersuchungsausschusses somit grundsätzlich in den Anwendungsbereich des Unionsrechts im Sinne des Art 16 Abs 2 AEUV fällt, stellt sich die Frage, ob Tätigkeiten eines parlamentarischen Untersuchungsausschusses zumindest dann unter den Ausnahmetatbestand des Art 2 Abs 2 lit a DSGVO fallen, wenn der Untersuchungsgegenstand Tätigkeiten der Vollziehung betrifft, die wie vorliegend nach dem 16. Erwägungsgrund nicht unter den Anwendungsbereich des Unionsrechts zu subsumieren sind.
Zu Frage 3
Gemäß § 18 Abs 1 DSG wurde in Österreich die DSB als einzige nationale Aufsichtsbehörde nach Art 51 DSGVO eingerichtet. Im Rahmen der Durchführung des Art 77 DSGVO räumt § 24 Abs 1 DSG jeder betroffenen Person das Recht auf Beschwerde bei der DSB ein, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.
Im Fall der Anwendbarkeit der DSGVO auf die parlamentarische Kontrolltätigkeit setzt die Zuständigkeit der DSB als einzige nationale Aufsichtsbehörde für Akte der Gesetzgebung auf Grund des verfassungsrechtlichen Gewaltentrennungsprinzips zwischen Exekutive und Legislative eine verfassungsrechtliche Verankerung voraus. Eine solche ist hingegen derzeit nicht vorhanden. Sollte der EuGH die erste Frage bejahen und die zweite Frage verneinen und die DSGVO auf die vorliegende parlamentarische Kontrolltätigkeit anwendbar sein, stellt sich für den VwGH in Bezug auf die DSB die weitere Frage, ob sich deren Zuständigkeit im Hinblick auf das in Art 77 Abs 1 DSGVO jeder betroffenen Person eingeräumte Recht auf Beschwerde bei einer Aufsichtsbehörde bereits unmittelbar aus dem Unionsrecht (Art 77 Abs 1 in Verbindung mit Art 55 Abs 1 DSGVO) ableitet.