OGH 6Ob62/25y

Spruch:

Dem Revisionsrekurswird nicht Folge gegeben.

Die klagende Partei ist schuldig, der beklagten Partei die mit 602,54 EUR (darin enthalten 100,42 EUR Umsatzsteuer) bestimmten Kosten der Revisionsrekursbeantwortung binnen 14 Tagen zu ersetzen.

Begründung:

[1] Bis zum 31. 12. 2023 oblag der GIS‑Gebühren Info Service GmbH (in der Folge Altgesellschaft) unter anderem die Einbringung der Rundfunkgebühren und sonstiger damit verbundener Abgaben und Entgelte einschließlich der Entscheidung über Befreiungsanträge (§ 4 Abs 1 Rundfunkgebührengesetz – RGG). Nach § 4 Abs 3 RGG hatte die Altgesellschaft alle Rundfunkteilnehmer zu erfassen. Zu diesem Zweck hatten die Meldebehörden auf Verlangen der Altgesellschaft dieser Namen (Vor‑ und Familiennamen), Geschlecht, Geburtsdatum und Unterkünfte der in ihrem Wirkungsbereich gemeldeten Personen in der dem jeweiligen Stand der Technik entsprechenden Form zu übermitteln. Die Altgesellschaft durfte die übermittelten Daten ausschließlich zum Zweck der Vollziehung des Rundfunkgebührengesetzes verwenden und hatte dafür Sorge zu tragen, dass die Daten nur im zulässigen Umfang verwendet werden, sowie Vorkehrungen gegen Missbrauch zu treffen. Von den Meldebehörden übermittelte Daten waren grundsätzlich längstens mit Ablauf des dem Einlangen folgenden Kalenderjahres zu löschen. Die Wahrnehmung der behördlichen Aufgaben nach § 4 Abs 1 RGG oblag der Altgesellschaft. Gegen von der Altgesellschaft erlassene Bescheide war Beschwerde an das Bundesverwaltungsgericht (BVwG) in Anwendung des Allgemeinen Verwaltungsverfahrensgesetzes (AVG) zulässig (§ 6 Abs 1 RGG). Gemäß § 6 Abs 3 RGG waren rückständige Gebühren im Verwaltungsweg hereinzubringen. Gemäß § 6 Abs 4 RGG war die Altgesellschaft befugt, Rückstandausweise oder Gebührenbescheide zur gerichtlichen Eintreibung von Geldleistungen zu erlassen. Die Tätigkeit der Altgesellschaft unterlag der Aufsicht des Bundesministers für Finanzen.

[2] Seit 1. 1. 2024 ist die Beklagte unter der neuen Firma ORF-Beitrags Service GmbH (vgl § 21 Abs 1 ORF‑Beitrags-Gesetz 2024) in gleicher Weise unter anderem mit der Erhebung des ORF-Beitrags und der Ermittlung aller Beitragsschuldner betraut (§§ 10 bis 17 ORF‑BeitragsG). Sie ist nach § 13 Abs 5 ORF‑BeitragsG „Verantwortlicher“ nach Art 4 Nr 7 DSGVO für die nach § 13 Abs 1 bis 4 ORF‑Beitrags-G verarbeiteten Daten. Dabei handelt es sich um die vom Bundesminister für Inneres auf Verlangen monatlich zu übermittelnden Meldedaten volljähriger Personen (Namen, Geburtsdatum, akademischer Grad, Hauptwohnsitz, Adresscode).

[3] Der Kläger begehrt von der Beklagten, es zu unterlassen, „ohne seine Zustimmung seinen Vor‑ und Nachnamen, sein Geburtsdatum und die postalische Anschrift, unbefugten dritten Personen, insbesondere Hackern, dadurch zugänglich zu machen, dass sie und/oder auch ihre Auftragsverarbeiter – insbesondere die V* GmbH – den Zugangs-Port zum Server, auf dem sich seine personenbezogen Daten befänden, öffne und ungeschützt – insbesondere ohne zusätzliche Zugangsbeschränkung durch Authentifizierung mittels Nutzernamen und Passwort – offen lasse“. Im Zuge eines Hackerangriffs auf einen Auftragsverarbeiter im Juli 2020 hätten sich dritte Personen unrechtmäßig Zugriff auf Meldedaten des Klägers, insbesondere Name, Geburtsdatum und Wohnadresse, verschafft. Die Beklagte habe es pflichtwidrig unterlassen, die notwendigen technischen und organisatorischen Maßnahmen zur Einhaltung des erforderlichen Schutzniveaus im Sinn des Art 32 DSGVO zu setzen, und habe damit das Recht des Klägers auf Geheimhaltung seiner personenbezogenen Daten verletzt. Dem Kläger stehe ein Unterlassungsanspruch gemäß Art 79 Abs 1 DSGVO zu.

[4] Die Beklagte beantragte Klageabweisung. Sie hafte nicht für ein Verhalten der Altgesellschaft. Im Übrigen habe sich der Vorfall bei einer externen Gesellschaft ereignet. Eine Vernachlässigung technischer und organisatorischer Maßnahmen durch diese externe Gesellschaft könne der Altgesellschaft nicht zugerechnet werden. Außerdem fehle es an der Wiederholungsgefahr und sei der Anspruch verjährt.

[5] Das Erstgericht wies die Klage von Amts wegen aufgrund des Prozesshindernisses der Unzulässigkeit des Rechtswegs zurück.

[6] Das Rekursgericht bestätigte diese Entscheidung. Die Beklagte führe ihre behördlichen Aufgaben als mit hoheitlichen Befugnissen beliehenes Unternehmen aus. Sie habe in Wahrnehmung dieser Aufgaben (letztlich) Bescheide zu erlassen, gegen die Beschwerde an das BVwG erhoben werden könne. Auch die der Erfüllung dieser behördlichen Aufgaben dienende Verarbeitung personenbezogener Daten im Sinn der DSGVO oder des DSG sei der Hoheitsverwaltung zuzuordnen. Nach geltender Rechtslage gelte dies insbesondere auch, soweit diese Verarbeitung zur (bloßen) Ermittlung der Beitragsschuldner geschehe, weil auch diese Aufgabe gemäß § 10 Abs 1 ORF‑BeitragsG als eine behördliche angeführt ist, mit der die Beklagte beliehen sei. Ein künftiger Eingriff in das Grundrecht des Klägers auf Datenschutz, wie er mit der Unterlassungsklage abgewehrt werden soll, könnte daher in diesem Zusammenhang auch nur in Vollziehung der Gesetze erfolgen. Die Unterlassungsklage ziele damit unzulässigerweise auf die Untersagung hoheitlichen Handelns ab. Rechtswidriges und schuldhaftes hoheitliches Handeln könne gemäß § 1 Abs 1 AHG einen Amtshaftungsanspruch begründen. Andere Ansprüche als Schadenersatz auf Zahlung oder Feststellung der Ersatzpflicht könnten nicht auf das AHG gestützt werden. In Ermangelung einer Anspruchsgrundlage nach bürgerlichem Recht (§ 1 JN) sei daher die Zurückweisung der Unterlassungsklage zu bestätigen.

[7] Den ordentlichen Revisionsrekurs ließ das Rekursgericht zu. Der Frage der Rechtswegzulässigkeit komme in der hier gegebenen Konstellation über den Einzelfall hinausgehende Bedeutung zu.

Rechtliche Beurteilung​

[8] Der Revisionsrekurs des Klägers ist zulässig, er ist jedoch nicht berechtigt.

1. Recht auf wirksamen Rechtsbehelf gemäß Art 79 DSGVO

[9] Der Kläger leitet seinen Anspruch auf Unterlassung gegenüber der Beklagten aus Art 79 Abs 1 DSGVO ab. Nach dieser Bestimmung hat jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

2. Doppelgleisigkeit des Rechtsschutzes

[10] 2.1. Nach ständiger Rechtsprechung des Obersten Gerichtshofs gilt für Ansprüche, die auf die DSGVO gestützt werden, wegen des Anwendungsvorrangs des Unionsrechts (hier insbesondere Art 77, 79 DSGVO und ErwGr 141 zur DSGVO) vor dem aus Art 94 Abs 1 B‑VG abgeleiteten Verbot von Parallelzuständigkeiten die Doppelgleisigkeit des Rechtsschutzes (6 Ob 91/19d; vgl auch VfGH G 212/2023). Der Betroffene kann daher sowohl verwaltungsbehördlichen als auch gerichtlichen Rechtsschutz in Anspruch nehmen (RS0132578 [T1]). Dies gilt nicht nur für Schadenersatzansprüche, sondern auch für andere zivilrechtliche Ansprüche nach der DSGVO (vgl RS0132578 [T4]).

[11] 2.2. Dies entspricht der Judikatur des Gerichtshofs der Europäischen Union (EuGH), wonach die Rechtsbehelfe der Art 77 und 78 DSGVO einerseits und Art 79 DSGVO andererseits nebeneinander und unabhängig voneinander ausgeübt werden können. Mangels einer einschlägigen Unionsregelung ist es nach dem Grundsatz der Verfahrensautonomie aber Sache der einzelnen Mitgliedstaaten, die Modalitäten für das Verwaltungsverfahren und das Gerichtsverfahren zu regeln, und haben die nationalen Gerichte auf Grundlage ihrer Verfahrensvorschriften zu bestimmen, wie die in der DSGVO vorgesehenen Rechtsbehelfe durchzuführen sind. Die Modalitäten der Durchführung der nebeneinander bestehenden und voneinander unabhängigen Rechtsbehelfe dürfen aber die praktische Wirksamkeit und den wirksamen Schutz der durch die DSGVO garantierten Rechte nicht in Frage stellen. Diese Modalitäten dürfen somit nicht weniger günstig ausgestaltet sein als die für entsprechende innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die Unionsrechtsordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität). Überdies muss das in Art 19 Abs 1 EUV und Art 47 GRC niedergelegte Recht auf effektiven gerichtlichen Rechtsschutz gewährleistet sein. Die konkreten Modalitäten für die Ausübung der Rechtsbehelfe dürfen somit das Recht auf einen wirksamen Rechtsbehelf bei einem Gericht nicht unverhältnismäßig beeinträchtigen (EuGH ECLI:EU:C:2023:2, C‑132/21 , BE/Nemzeti Adatvédelmi).

3. Adressat des Rechtsbehelfs

[12] 3.1. Adressat des gerichtlichen Rechtsbehelfs nach Art 79 DSGVO ist der Verantwortliche oder ein etwaiger Auftragsverarbeiter (Leupold/Schrems in Knyrim, DatKomm Art 79 DSGVO Rz 18; Martini in Paal/Pauly, DS‑GVO BDSG3 Art 79 Rn 11; Mundil in BeckOK Datenschutzrecht51 Art 79 Rn 8).

[13] 3.2. Verantwortlicher ist nach Art 4 Nr 7 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, und zwar unabhängig davon, ob die juristische Person, Behörde, Einrichtung oder sonstige Stelle öffentlich‑rechtlich oder privatrechtlich organisiert ist (6 Ob 102/24d; Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 81).

[14] Aus Art 79 Abs 2 letzter Halbsatz DSGVO und § 4 Abs 5 DSG ergibt sich, dass Verantwortlicher auch eine Behörde eines Mitgliedstaats sein kann, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Der autonom auszulegende Begriff „Behörde“ meint hierbei jede Stelle, die öffentliche Verwaltungstätigkeiten im Außenverhältnis zum Bürger wahrnimmt (vgl Martini in Paal/Pauly, DS‑GVO BDSG3 Art 27 Rn 44; Werkmeister in Gola/Heckmann, DSGVO3 Art 79 Rn 9; Illibauer in Knyrim, DatKomm Art 83 DSGVO Rz 43).

4. Gerichtlicher Rechtsbehelf

[15] 4.1. Durch Art 79 Abs 1 DSGVO wird der betroffenen Person ein Recht auf Entscheidung durch ein Gericht eingeräumt. Der Begriff „Gericht“ ist autonom auszulegen. Darunter sind im Sinn des Art 47 GRC alle durch Gesetz errichteten (inhaltlich und persönlich) unabhängigen, ständigen Einrichtungen zu verstehen, die mit bindender Wirkung über Rechtsfragen in einem streitigen Verfahren entscheiden (vgl etwa EuGH ECLI:EU:C:2001:651, C‑17/00 , Coster; Leupold/Schrems in Knyrim, DatKomm Art 79 DSGVO Rz 21; Martini in Paal/Pauly, DS‑GVO3 Art 79 Rn 14; Raschauer/Sander/Schlögl in Holoubek/Lienbacher, GRC-Kommentar Art 47 GRC Rz 15).

[16] 4.2. In Österreich fallen darunter die Gerichte der ordentlichen Gerichtsbarkeit, Verwaltungsgerichtshof (VwGH) und Verfassungsgerichtshof (VfGH) sowie die Verwaltungsgerichte (BVwG und LVwG; Leupold/Schrems in Knyrim, DatKomm Art 79 DSGVO Rz 21; vgl auch 6 Ob 143/23g).

5. Wirksamer Rechtsbehelf

[17] 5.1. Die Frage der Wirksamkeit des Rechtsbehelfs ist in der DSGVO nicht geregelt. Sie ist nach Art 47 GRC und Art 6, 13 EMRK zu beurteilen (EuGH ECLI:EU:C:2017:725, C‑73/16 , Peter Puškár/Finančné riaditeľstvo; EuGH ECLI:EU:C:2023:2, C‑132/21 , BE/Nemzeti Adatvédelmi; 6 Ob 35/21x; Leupold/Schrems in Knyrim, DatKomm Art 79 DSGVO Rz 22; Raschauer/Sander/Schlögl in Holoubek/Lienbacher, GRC‑Kommentar Art 47 GRC Rz 9).

[18] 5.2. Wirksam ist ein Rechtsbehelf zunächst nur dann, wenn damit ein Rechtsanspruch auf Zugang und Entscheidung durch ein Gericht verbunden ist (Raschauer/Sander/Schlögl in Holoubek/Lienbacher, GRC‑Kommentar Art 47 GRC Rz 9). Der Rechtsbehelf muss überdies im Einzelfall geeignet sein, bei Vorliegen einer Rechtsverletzung wirksam Abhilfe schaffen zu können, also eine Rechtsverletzung oder ihre Fortdauer zu verhindern oder dem Verletzten eine angemessene Wiedergutmachung zu verschaffen. Sein Ziel muss es sein, eine durch rechtswidrige Datenverarbeitung begangene Rechtsverletzung zu beseitigen, für die Zukunft abzustellen oder ihre Rechtswidrigkeit feststellen zu lassen (6 Ob 35/21x; Martini in Paal/Pauly, DS-GVO3 Art 79 Rn 17; Leupold/Schrems in Knyrim, DatKomm Art 79 DSGVO Rz 22; ausführlich Raschauer/Sander/Schlögl in Holoubek/Lienbacher, GRC‑Kommentar Art 47 GRC Rz 9 ff).

6. Datenverarbeitung im Rahmen der Hoheitsverwaltung

[19] 6.1. Bei der Beklagten handelt es sich um ein mit behördlichen Aufgaben beliehenes Unternehmen, das hoheitliche Tätigkeiten, insbesondere die Einhebung des ORF-Beitrags sowie die Ermittlung aller Beitragsschuldner, wahrnimmt (§ 10 Abs 1 ORF‑BeitragsG zur Verfassungskonformität der Bestimmung vgl E 4624/2024). Die Beklagte ist für die Datenverarbeitung Verantwortliche im Sinn des Art 4 Nr 7 DSGVO (§ 10 Abs 13 ORF‑BeitragsG).

[20] 6.2. Die Beklagte entscheidet, sofern vorgesehen, mit Bescheid in Anwendung des AVG (§ 12 Abs 1 ORF‑BeitragsG). Gegen von ihr nach diesem Bundesgesetz erlassene Bescheide kann Beschwerde an das BVwG erhoben werden. Soweit in Bundesgesetzen der Gesellschaft in erster Instanz Aufgaben und Befugnisse zugewiesen sind, stehen diese auch dem BVwG im Rahmen der Wahrnehmung seiner Aufgaben zu (§ 12 Abs 3 ORF‑BeitragsG).

7. Kein bürgerlich-rechtlicher Anspruch

[21] 7.1. Gemäß § 1 JN wird die Gerichtsbarkeit in bürgerlichen Rechtssachen, soweit dieselben nicht durch besondere Gesetze vor andere Behörden oder Organe verwiesen sind, durch Bezirksgerichte, Bezirksgerichte für Handelssachen, Landesgerichte, Handelsgerichte, durch Oberlandesgerichte und durch den Obersten Gerichtshof (ordentliche Gerichte) ausgeübt.

[22] 7.2. Unter bürgerlich-rechtlichen Ansprüchen sind im Sinn des § 1 JN jene anspruchsbegründenden rechtlichen Regelungen zu verstehen, die auf Gleichordnung beruhende Rechtsbeziehungen zwischen beliebigen Rechtssubjekten zum Gegenstand haben. Über Zivilrechtsansprüche können nach der durch die Verwaltungsgerichtsbarkeits‑Novelle 2012 (BGBl I 2012/51) geschaffenen Rechtslage sowohl die ordentlichen Gerichte als auch Verwaltungsbehörden entscheiden. Die Kompetenz der ordentlichen Gerichte hängt davon ab, ob ein bürgerlich-rechtlicher Anspruch geltend gemacht wird, der nicht ausdrücklich durch das Gesetz vor eine andere Behörde verwiesen wird (6 Ob 143/23g mwN; vgl dazu Suntinger, jusIT 2024, 65).

[23] 7.3. Im vorliegenden Fall macht der Kläger einen Unterlassungsanspruch gegen eine mit hoheitlichen Aufgaben beliehene Gesellschaft aus einer behaupteten rechtswidrigen Datenverarbeitung in Zusammenhang mit ihrer hoheitlichen Tätigkeit geltend.

[24] 7.4. Wie dargelegt, entscheidet die Beklagte, sofern vorgesehen, mit Bescheid (§ 12 Abs 1 ORF‑BeitragsG). Rechtsschutz im Zusammenhang mit der Beklagten wird gemäß § 12 Abs 3 ORF‑BeitragsG durch das BVwG gewährt. Es wird daher jeglicher (auch der in den Art 77 bis 79 DSGVO normierte gerichtliche) Rechtsschutz – ausgenommen Ansprüche und dem AHG – im Zusammenhang mit Handlungen oder Unterlassungen der Beklagten nicht den ordentlichen Gerichten, sondern dem BVwG überantwortet. Das steht nach der zitierten Entscheidung des EuGH im Einklang mit dem Unionsrecht, weil es die „Modalitäten des Zusammenspiels dieser Rechtsbehelfe“ betrifft, worin die Mitgliedstaaten grundsätzlich frei sind. Das BVwG ist ein Gericht im Sinn des Unionsrechts mit den in der Bundesverfassung normierten richterlichen Garantien der Unabhängigkeit, Unabsetzbarkeit und Unversetzbarkeit (Art 87, Art 88 iVm 134 Abs 7 B‑VG). Es hat daher entsprechend den in Punkt 5. angeführten Anforderungen wirksamen Rechtsschutz zu gewähren.

8. Ergebnis und Kosten

[25] 8.1. Der Revisionsrekurs ist daher nicht berechtigt.

[26] 8.2. Die Kostenentscheidung beruht auf §§ 50, 41 ZPO.