Rechtssatz
Das Bundesverwaltungsgericht bestätigt die Unzuständigkeit der österreichischen Datenschutzbehörde (DSB) bei einer Beschwerde gegen eine ausschließlich in Italien tätige Anwaltskanzlei.
Da keine grenzüberschreitende Datenverarbeitung nach Art. 4 Z 23 DSGVO vorliegt, ist die italienische Datenschutzbehörde zuständig.
Sachverhalt
Ein österreichischer Beschwerdeführer reichte im Mai 2024 eine Datenschutzbeschwerde gegen eine italienische Anwaltskanzlei bei der österreichischen Datenschutzbehörde ein.
Er warf der Kanzlei vor, sein Recht auf Auskunft nach Art. 15 DSGVO verletzt zu haben, da sie seinen Auskunftsantrag nicht fristgerecht beantwortet hatte.
Die österreichische DSB leitete die Beschwerde im Januar 2025 an die italienische Datenschutzbehörde ("Garante per la Protezione dei Dati Personali") weiter und erklärte ihre Unzuständigkeit.
Daraufhin forderte der Beschwerdeführer die DSB auf, die Abtretung bescheidmäßig zu erledigen.
Mit Bescheid vom 3. Februar 2026 wies die DSB die Beschwerde zurück und berief sich auf ihre fehlende sachliche Zuständigkeit.
Rechtliche Begründung
Das BVwG analysierte die Zuständigkeitsnormen der DSGVO eingehend.
Zentral war die Frage, ob eine "grenzüberschreitende Verarbeitung" nach Art. 4 Z 23 DSGVO vorliegt.
Diese liegt vor, wenn
(a) ein Verantwortlicher in mehreren EU-Mitgliedstaaten niedergelassen ist oder
(b) die Verarbeitung von einer einzelnen Niederlassung ausgeht, aber erhebliche Auswirkungen auf Betroffene in mehreren Mitgliedstaaten hat.
Das Gericht stellte fest, dass die Anwaltskanzlei ausschließlich in Italien tätig ist – alle Kanzleistandorte befinden sich dort.
Es gibt weder Zweigniederlassungen in Österreich noch Hinweise auf erhebliche Auswirkungen auf Betroffene in mehreren Mitgliedstaaten.
Art. 55 DSGVO begrenzt die Zuständigkeit einer Datenschutzbehörde grundsätzlich auf Verstöße im Hoheitsgebiet des eigenen Mitgliedstaates.
Da kein Fall des Art. 4 Z 23 DSGVO vorlag, waren die Kooperationsmechanismen der Art. 56 und 60 ff DSGVO nicht einschlägig.
Das BVwG bestätigte zudem die Rechtmäßigkeit der Weiterleitung nach § 6 AVG: Eine abtretende Behörde erfüllt ihre Verpflichtung durch die Weitergabe an die zuständige Stelle und erlangt die Entscheidungspflicht erst wieder, wenn der Betroffene eine bescheidmäßige Erledigung verlangt – was die DSB korrekt getan hatte.
Fazit
Das BVwG wies die Beschwerde ab und bestätigte damit die Unzuständigkeit der österreichischen DSB.
Die Entscheidung ist rechtmäßig, da keine grenzüberschreitende Verarbeitung im Sinne der DSGVO vorliegt.
Das Gericht betonte, dass Art. 77 DSGVO zwar Beschwerderechte bei der DSB des Aufenthaltsorts, Arbeitsplatzes oder Verstoßsortes eröffnet, diese Bestimmung aber im Kontext der Zuständigkeitsnormen zu lesen ist.
Die österreichische DSB hat durch die Weiterleitung an die italienische Behörde dennoch für einen effizienten Rechtsschutz gesorgt.
Die fehlende sachliche Zuständigkeit der österreichischen Behörde wurde richtig erkannt.
Was bedeutet das für Verantwortliche und Betroffene?
Für Datenschutzverantwortliche und Betroffene ergibt sich daraus:
(1) Beschwerden gegen ausländische Unternehmen sollten bei der Datenschutzbehörde des Mitgliedstaates eingereicht werden, in dem der Verantwortliche niedergelassen ist.
(2) Die österreichische DSB wird Beschwerden, die rein ausländische, nicht-vernetzte Verarbeitungen betreffen, an die zuständige ausländische Behörde weiterleiten.
(3) Eine grenzüberschreitende Verarbeitung liegt nicht vor, nur weil ein österreichischer Betroffener von einer Datenverarbeitung betroffen ist – die tatsächliche geografische und operative Struktur des Verantwortlichen ist entscheidend.
(4) Unternehmen mit Niederlassungen in nur einem Mitgliedstaat sollten sicherstellen, dass ihre Datenverarbeitungsprozesse dokumentiert sind, um Zuständigkeitsfragen klar klären zu können.
Kommentar schreiben