Datenschutz & NGOs. Die österreichische Datenschutzbehörde DSB darf laut einer EuGH-Entscheidung die Anzahl der angenommenen Beschwerden nicht willkürlich limitieren, so noyb-Gründer Max Schrems.
Im Urteil C-416/23 hat der Europäische Gerichtshof (EuGH) gegen die österreichische Datenschutzbehörde (DSB) geurteilt, so eine Aussendung von noyb. In dem Verfahren hatte der Verwaltungsgerichtshof (VwGH) den EuGH im Rahmen eines Vorabentscheidungsersuchens angerufen.
Darf es ein Limit für Beschwerden geben?
Der Stein des Anstoßes aus Sicht der noyb-Datenschützer: Die DSB habe bisher die Anzahl an Beschwerden, die Betroffene einbringen dürfen, auf maximal zwei Beschwerden pro Monat festgelegt, auch wenn man in der heutigen digitalen Welt mitunter fast täglich von DSGVO-Verletzungen betroffen sei. Nun habe der EuGH klargestellt: So lange es keinen missbräuchlichen Vorsatz gibt, haben alle Nutzer:innen das Recht, auch jede DSGVO-Verletzung von der DSB abgestellt zu bekommen – ungeachtet der Anzahl.
Konkret dürfen Anfragen nicht allein aufgrund ihrer Zahl während eines bestimmten Zeitraums als „exzessiv“ eingestuft werden, da die Ausübung der in der DSGVO vorgesehenen Befugnis voraussetzt, dass die Aufsichtsbehörde das Vorliegen einer Missbrauchsabsicht der anfragenden Person nachweist, so der EuGH. Art. 57 Abs. 4 der Verordnung 2016/679 sei weiters dahin auszulegen, dass eine Aufsichtsbehörde bei exzessiven Anfragen durch eine mit Gründen versehene Entscheidung wählen kann, ob sie eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangt oder sich weigert, aufgrund der Anfrage tätig zu werden, wobei sie alle relevanten Umstände berücksichtigen und sich vergewissern muss, dass die gewählte Option geeignet, erforderlich und verhältnismäßig ist, so der EuGH weiter.
Max Schrems zeigt sich in einem Statement zufrieden, er spricht konkret von einer „Ohrfeige“ für die Behörde: „Grundrechte hat man immer – nicht nur zwei mal pro Monat. Wenn die DSB Rechtsverstöße konsequent ahnden würde, gäbe es auch weniger Beschwerden.“
Nur 1,36 Prozent aller Verfahren führen zu einer Strafe
In den Augen von noyb stellt die DSB generell zu viele Verfahren gegen Unternehmen ein, die Limitierung von Beschwerden sei nur ein Aspekt dabei. Konkret gebe die DSB an, im Jahr 2023 insgesamt 4.030 Verfahren geführt zu haben (2.389 nationale Beschwerden, 876 grenzüberschreitende Beschwerden und 765 amtswegige Verfahren). Gleichzeitig wurden im gesamten Jahr nur 55 Strafen verhängt. Ergo führen nur 1,36% aller Verfahren bei der DSB zu einer Strafe, heißt es: „Jeder Falschparker hat in Österreich mehr zu befürchten als Konzerne, die millionenfach persönliche Daten missbrauchen“, so Schrems.
Ein weiterer Kritikpunkt von noyb, außerhalb des aktuellen EuGH-Verfahrens: Nach § 73 AVG müsse die DSB innerhalb von 6 Monaten entscheiden. In der Realität dauern Verfahren fast immer deutlich länger, werfen die Datenschutz-Aktivisten der Behörde vor. Weitere Rechtszüge zum Bundesverwaltungsgericht dauern ebenso mehrere Jahre.
Die DSB habe seit 2020 ihren Personalstand von 43 auf 60 Personen erhöht, gleichzeitig sei sie weiterhin um eine höhere Finanzierung bemüht. Schrems schlägt der Behörde nun öffentlich vor, sich zur Lösung ihrer Budgetprobleme an ihre Zuständigkeit für Datenschutzverstöße internationaler Konzerne zu erinnern. Eine Strafe gegen einen Giganten wie Google könnte bis zu 6 Milliarden Euro betragen (natürlich nur wenn sie erfolgreich durch die Instanzen geht, Anm.d.Red.). Das aktuelle österreichische Budgetloch von €15 bis 23 Milliarden wäre damit schon zu einem Gutteil gestopft, meint Schrems.