Der Europäische Gerichtshof hat in einem aktuellen Urteil entschieden, dass ein parlamentarischer Untersuchungsausschuss grundsätzlich die DSGVO einhalten muss. Dies gilt jedoch nicht, wenn der Ausschuss eine Tätigkeit ausübt, die dem Schutz der nationalen Sicherheit dient.
Der Inhalt im Überblick
Sind Untersuchungsausschüsse an die DSGVO gebunden?
Das Urteil des Europäischen Gerichtshof (EuGH) vom 16.01.2024, Rs. C-33/22, betraf ein Verfahren, in dem der österreichische Nationalrat, die Abgeordnetenkammer des österreichischen Parlaments, einen Untersuchungsausschuss zur Aufklärung einer möglichen politischen Einflussnahme auf das Bundesamt für Verfassungsschutz und Terrorismusbekämpfung eingesetzt hatte. Eine Auskunftsperson, die als verdeckter Ermittler bei der Einsatzgruppe zur Bekämpfung der Straßenkriminalität eingesetzt war und vom Untersuchungsausschuss befragt worden war, beantragte die Anonymisierung ihrer Daten. Der Betroffene beschwerte sich bei der österreichischen Datenschutzbehörde, weil sein Name auf der Website des österreichischen Parlaments veröffentlicht worden war.
Die Datenschutzbehörde wies die Beschwerde mit der Begründung zurück, dass sie als Exekutivorgan aufgrund des Grundsatzes der Gewaltenteilung nicht befugt sei, die Einhaltung der DSGVO durch den Untersuchungsausschuss, der Teil der Legislative ist, zu überprüfen.
Der Bescheid wurde zunächst vom österreichischen Bundesverwaltungsgericht mit der Begründung aufgehoben, dass der Anwendungsbereich der DSGVO nach Art. 2 Abs. 1 DSGVO alle Datenverarbeitungen unabhängig von der verarbeitenden Stelle und deren staatlicher Funktion umfasse. Art. 2 Abs. 2 DSGVO lasse keine Ausnahmen für bestimmte Staatsfunktionen wie die Gesetzgebung zu. Die in Art. 2 Abs. 2 lit. a DSGVO vorgesehene Ausnahme von dieser Bestimmung sei eng auszulegen. Daher sei die Datenschutzbehörde gemäß Art. 77 DSGVO für die Entscheidung über Beschwerden zuständig.
Die Datenschutzbehörde legte daraufhin Revision beim österreichischen Verwaltungsgerichtshof ein. Der Verwaltungsgerichtshof wandte sich im Wege eines Vorabentscheidungsverfahrens an den EuGH, um die Frage zu klären, ob der Untersuchungsausschuss der DSGVO und der Kontrolle durch die Datenschutzbehörde unterliegt.
Exkurs: Vorabentscheidungsverfahren
Das Vorabentscheidungsverfahren ist ein grundlegendes Instrument des Europarechts, um die einheitliche Auslegung und Anwendung des Unionsrechts zu gewährleisten. Es ermöglicht den nationalen Gerichten, dem EuGH Fragen nach der Auslegung des Unionsrechts oder nach der Gültigkeit einer Handlung der Union vorzulegen. Stellt sich eine solche Frage in einem Verfahren vor einem letztinstanzlichen Gericht, so ist dieses grundsätzlich verpflichtet, den EuGH anzurufen.
Der Gerichtshof entscheidet nicht über den bei dem nationalen Gericht anhängigen Rechtsstreit. Dieser ist von dem nationalen Gericht unter Berücksichtigung der Entscheidung des Gerichtshofs zu entscheiden. Die Entscheidung des Gerichtshofs bindet in gleicher Weise andere nationale Gerichte, wenn diese über vergleichbare Fragen zu entscheiden haben. Etwa zwei Drittel aller beim EuGH anhängigen Verfahren sind Vorabentscheidungsverfahren. Dieses Verfahren trägt damit wesentlich zur Rechtseinheit in der EU bei.
Was hat das Gericht entschieden?
Der EuGH hat folgende Entscheidungen getroffen:
- Die Tätigkeit eines parlamentarischen Untersuchungsausschusses ist nicht automatisch vom Anwendungsbereich des Unionsrechts und damit von der Anwendung der DSGVO ausgenommen. Dies ergibt sich aus der Auslegung von Art. 16 Abs. 2 S. 1 AEUV und Art. 2 Abs. 2 lit. a DSGVO.
- Untersuchungen eines parlamentarischen Untersuchungsausschusses, die sich auf die Tätigkeit einer polizeilichen Staatsschutzbehörde wegen des Verdachts der politischen Einflussnahme beziehen, sind nicht als Tätigkeiten anzusehen, die die nationale Sicherheit betreffen.
- Hat ein Mitgliedstaat nur eine einzige Kontrollstelle eingerichtet, die jedoch nicht befugt ist, die Anwendung der DSGVO durch einen parlamentarischen Untersuchungsausschuss zu überwachen, so übertragen Art. 77 Abs. 1 und Art. 55 Abs. 1 DSGVO dieser Stelle unmittelbar die Befugnis, über Beschwerden in Bezug auf die Verarbeitung personenbezogener Daten durch den Untersuchungsausschuss zu entscheiden.
Zusammenfassend hat der EuGH entschieden, dass ein parlamentarischer Untersuchungsausschuss grundsätzlich die DSGVO einhalten muss, es sei denn, er übt eine Tätigkeit aus, die dem Schutz der nationalen Sicherheit dient.
In Bezug auf Österreich stellte der EuGH fest, dass die Datenschutzbehörde, die einzige von Österreich eingerichtete Aufsichtsbehörde im Sinne der DSGVO, ungeachtet des Grundsatzes der Gewaltentrennung grundsätzlich auch für die Überwachung der Einhaltung der DSGVO durch einen Untersuchungsausschuss zuständig ist.
Auswirkung auf die Arbeit parlamentarischer Untersuchungsausschüsse
Aus diesem Urteil lässt sich ableiten, dass parlamentarische Untersuchungsausschüsse in der Europäischen Union grundsätzlich die DSGVO einhalten müssen. Das bedeutet, dass sie personenbezogenen Daten, z.B. von Befragten, schützen müssen. Es gibt jedoch Ausnahmen von dieser Regel, etwa wenn ein Untersuchungsausschuss eine Tätigkeit ausübt, die der Wahrung der nationalen Sicherheit dient, unterliegt er nicht der DSGVO und damit auch nicht der Kontrolle durch eine Aufsichtsbehörde.
Dieses Urteil könnte weitreichende Auswirkungen auf die Arbeitsweise parlamentarischer Untersuchungsausschüsse in der EU haben und sie dazu veranlassen, ihre Datenschutzpraktiken zu überprüfen und gegebenenfalls zu ändern. Es unterstreicht auch die Bedeutung des Datenschutzes in allen Bereichen der Gesellschaft.
