EuGH-Urteil vom 13.2.2025, Rechtssache C‑612/23
Sachverhalt:
Eine Privatperson erhob bei der Österreichischen Datenschutzbehörde (DSB) eine Beschwerde nach Art 77 Abs 1 DSGVO gegen ein bestimmtes Unternehmen wegen eines (behaupteten) Verstoßes gegen Art 15 DSGVO.
Mit Bescheid lehnte die DSB es auf der Grundlage von Art 57 Abs 4 DSGVO ab, diese Beschwerde zu behandeln, da sie exzessiv sei. In diesem Zusammenhang führte sie aus, dieselbe Privatperson habe bei ihr innerhalb eines Zeitraums von ca 20 Monaten 77 ähnliche Beschwerden gegen verschiedene Verantwortliche eingebracht. Außerdem habe diese Person die DSB regelmäßig telefonisch kontaktiert, um weitere Sachverhalte zu schildern und zusätzliche Anfragen zu stellen. Gegen diesen Bescheid erhob die Privatperson Beschwerde beim Bundesverwaltungsgericht.
Der VwGH beschloss, das Verfahren auszusetzen und dem EuGH zur Vorabentscheidung vorzulegen.
Entscheidung:
Artl 57 Abs 4 DSGVO sieht vor, dass bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anfragen die Aufsichtsbehörde eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangen oder sich weigern kann, aufgrund der Anfrage tätig zu werden. In diesem Fall trägt die Aufsichtsbehörde die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter der Anfrage.
Zunächst war daher zu klären, ob Art 57 Abs 4 DSGVO dahin auszulegen ist, dass der darin enthaltene Begriff „Anfrage“ auch „Beschwerden“ nach Art. 77 Abs. 1 DSGVO umfasst. Der EuGH bejahte dies und antwortete, dass Art 57 Abs 4 DSGVO dahin auszulegen ist, dass der darin enthaltene Begriff „Anfrage“ auch Beschwerden nach Art 57 Abs 1 lit f und Art 77 Abs 1 DSGVO umfasst.
Weiters hatte der EuGH zu beantworten, ob Art 57 Abs 4 DSGVO dahin auszulegen ist, dass der bloße Umstand, dass Anfragen in großer Zahl gestellt wurden, ausreichen kann, um sie als „exzessiv“ im Sinne dieser Bestimmung einzustufen, oder ob eine solche Einstufung darüber hinaus eine Missbrauchsabsicht der anfragenden Person voraussetzt.
Der EuGH hielt dazu fest, dass eine Aufsichtsbehörde anhand aller relevanten Umstände jedes Einzelfalls feststellen muss, dass eine Missbrauchsabsicht der betroffenen Person vorliegt, wofür die Zahl der von dieser Person eingereichten Beschwerden allein nicht ausreicht. Das Vorliegen einer Missbrauchsabsicht kann aber festgestellt werden, wenn eine Person Beschwerden einreicht, ohne dass dies objektiv erforderlich ist, um ihre Rechte aus der Verordnung zu schützen.
Eine Aufsichtsbehörde kann ihre Weigerung aber nicht allein darauf stützen, dass eine Person, die eine hohe Anzahl von Beschwerden einreicht, erhebliche Ressourcen der Behörde in Anspruch nimmt. Beschwerden sind nicht allein deswegen exzessiv, weil ihre Zahl groß ist.
Auf der Grundlage der Umstände des jeweiligen Einzelfalls obliegt es somit der Aufsichtsbehörde nachzuweisen, dass eine große Anzahl von Beschwerden nicht durch den Wunsch der betroffenen Person zu erklären ist, ihre Rechte aus der DSGVO zu schützen, sondern durch einen anderen Zweck, wie etwa eine Missbrauchsabsicht der Person. Insoweit kann die Häufung von Beschwerden ein Indiz für exzessive Anfragen sein, wenn sich herausstellt, dass die Beschwerden nicht objektiv durch Erwägungen gerechtfertigt sind.
Der EuGH kam daher zu dem Ergebnis, dass Anfragen nicht allein aufgrund ihrer Zahl während eines bestimmten Zeitraums als „exzessiv“ im Sinne dieser Bestimmung eingestuft werden können, da die Ausübung der in dieser Bestimmung vorgesehenen Befugnis voraussetzt, dass die Aufsichtsbehörde das Vorliegen einer Missbrauchsabsicht der anfragenden Person nachweist.
Zu guter Letzt hielt der EuGH fest, dass eine Aufsichtsbehörde bei exzessiven Anfragen durch begründete Entscheidung wählen kann, ob sie eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangt oder sich weigert tätig zu werden, wobei sie alle relevanten Umstände berücksichtigen und sich vergewissern muss, dass die gewählte Option geeignet, erforderlich und verhältnismäßig ist.
Weitere EuGH-Entscheidungen zur DSGVO: