Spruch
W252 2238175-1/11E
W252 2238186-1/11E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT, LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerden von XXXX , XXXX (Erstbeschwerdeführer) gegen den Teilbescheid und der XXXX (Zweitbeschwerdeführerin), vertreten durch Schönherr Rechtsanwälte GmbH, 1010 Wien, Schottenring 19 gegen Spruchpunkt 1. Und 2. des Teilbescheides der Datenschutzbehörde vom 09.11.2020, GZ XXXX , in einer datenschutzrechtlichen Angelegenheit, in nichtöffentlicher Sitzung zu Recht erkannt:
A)
I. Die Beschwerde des Erstbeschwerdeführers wird abgewiesen.
II. Der Beschwerde der Zweitbeschwerdeführerin gegen Spruchpunkt 1. und Spruchpunkt 2. des angefochtenen Bescheides wird stattgegeben.
III. Der Spruch des angefochtenen Bescheides wird dahingehend abgeändert, dass Spruchpunkt 1. und 2. entfallen und es insgesamt zu lauten hat:
„Die Beschwerde wegen Verletzung im Recht auf Auskunft wird als unbegründet abgewiesen.“
B) Die Revision ist gemäß Art 133 Abs 4 B-VG unzulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:
1. Am 23.08.2019 erhob der Erstbeschwerdeführer (in Folge „BF1“) eine Datenschutzbeschwerde bei der belangten Behörde. Darin brachte er auszugsweise vor, er habe am 07.01.2019 ein Auskunftsbegehren an die Zweitbeschwerdeführerin (in Folge „BF2“) gestellt, aber keine Antwort erhalten.
2. Mit Stellungnahme vom 21.11.2019 erteilte die BF2 eine Auskunft an den BF1.
3. Am 08.06.2020 gab der BF1 bekannt, dass er nunmehr in seinem Recht auf Auskunft verletzt sei, da die erhaltene Auskunft unvollständig sei. Insbesondere sei nicht ersichtlich, an welche Personen Daten weitergegeben wurden und zu welchem Zweck.
4. Mit oben genanntem Teilbescheid gab die belangte Behörde der Beschwerde teilweise statt und stellte fest, dass die BF2 den BF1 dadurch im Recht auf Auskunft verletzt habe, indem sie am 21.11.2019 eine mangelhafte Auskunft erteilt habe (Spruchpunkt 1). Gleichzeitig trug sie der BF2 auf dem BF1 innerhalb von 4 Wochen bei sonstiger Exekution die konkreten Empfänger der personenbezogenen Daten des BF1 zu bezeichnen, insbesondere auch jene Auftragsverarbeiter, die die personenbezogenen Daten des BF1 tatsächlich erhalten haben (Spruchpunkt 2.). Im Übrigen wies sie die Beschwerde wegen einer Verletzung im Recht auf Auskunft als unbegründet ab (Spruchpunkt 3.).
Im Wesentlichen führte die belangte Behörde aus, dass das Recht auf Auskunft jedenfalls die vollständige Nennung der konkreten Empfänger der Daten der BF2 erfordere. Ein Recht auf Feststellung, dass die Auskunft zu spät erteilt worden sei, gebe es nicht. Eine Entscheidung hinsichtlich der ebenfalls vom BF1 geltend gemachten Verletzungen im Recht auf Geheimhaltung und Recht auf Information erfolge zu einem späteren Zeitpunkt.
5. Gegen diesen Bescheid richteten sich die gegenständlichen Beschwerden.
Der BF1 brachte in seiner Beschwerde vom 15.12.2020 vor, die belangte Behörde habe es verabsäumt der BF2 aufzutragen, zu welchen Verarbeitungszwecken (Rechtsgrundlagen) die verarbeiteten Daten an die jeweiligen Unternehmen weitergegeben werden bzw wurden. Im Übrigen liege keine taugliche Rechtsgrundlage für die Verarbeitung seiner personenbezogenen Daten vor, weshalb die Verarbeitung durch die BF1 rechtswidrig sei. Es sei außerdem nicht zumutbar, dass er durch die Weigerung bzw verspätete Auskunftserteilung durch die BF2 zu einer Durchsetzung seiner Rechte vor der belangten Behörde gezwungen werde.
Die BF2 brachte in ihrer Beschwerde vom 15.12.2020 gegen Spruchpunkt 1. und 2. des angefochtenen Bescheides vor, dass sie dem BF1 bereits alle Empfänger beauskunftet habe. Darüber hinaus komme ihr ein Wahlrecht dahingehend zu, die konkreten Empfänger oder nur Empfängerkategorien zu beauskunften. Eine Verletzung im Recht auf Auskunft liege daher nicht vor.
6. Die belangte Behörde legte die Beschwerden unter Anschluss des Verwaltungsakts mit Schriftsätzen vom 22.12.2020, hg eingelangt am 29. bzw 30.12.2020, vor und beantragte – unter Verweis auf die Begründung des angefochtenen Bescheids – die Beschwerden abzuweisen.
7. Auf Grund der Verfügung des Geschäftsverteilungsausschusses vom 14.01.2021 wurden die gegenständlichen Rechtssachen der Gerichtsabteilung W245 abgenommen und neu zugewiesen.
Beweis wurde erhoben durch Einsichtnahme in den Verwaltungs- und Gerichtsakt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Mit Schreiben vom 07.01.2019 begehrte der BF1 von der BF2 eine Auskunft zu seinen verarbeiteten Daten.
1.2. Die BF2 erteilte dem BF1 infolge der Beschwerdeerhebung und der darauffolgenden Aufforderung durch die Datenschutzbehörde im laufenden Administrativverfahren am 21.11.2019 folgende Auskunft (Formatierung nicht 1:1 wiedergegeben):
(siehe die Auskunft vom 21.11.2019; OZ 1, S 79 ff).
2. Beweiswürdigung:
Die Feststellungen zum Auskunftsbegehren und zum Inhalt der Auskunft vom 21.11.2019 ergeben sich aus dem unbedenklichen Verwaltungsakt. Der BF1 legte seinen Auskunftsantrag am 23.08.2019 vor. Die BF2 übermittelte die Auskunft im Rahmen ihrer Stellungnahme an die belangte Behörde und den BF1. Der BF1 bestätigte den Erhalt der Auskunft in seiner Eingabe vom 19.01.2020 gegenüber der belangten Behörde.
3. Rechtliche Beurteilung:
Zu A)
3.1. Zum Beschwerdegegenstand:
Eingangs ist festzuhalten, dass sich der Teilbescheid, aufgrund eines offenbar auf einem Versehen beruhenden Schreibfehlers, nicht auf die Datenschutzbeschwerde vom 23.08.2020 bezieht. Eine Beschwerde mit diesem Datum ist im Akt nicht enthalten. Seinem Inhalt nach spricht der Bescheid aber offenkundig über die Datenschutzbeschwerde des BF1 vom 08.06.2020 ab. Durch die Äußerungen des BF1 vom 08.06.2020 wurde die Sache des ursprünglichen Verfahrens (Beschwerde wegen Nicht-Erteilung einer Auskunft vom 23.08.2019) ihrem Wesen nach geändert. Die belangte Behörde hatte demnach über die „neue“ Beschwerde wegen einer unvollständigen Auskunft vom 08.06.2020 zu entscheiden (siehe dazu ErlRV 472 BlgNR 24. GP, 13).
Die belangte Behörde ist daher im Ergebnis zu Recht von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde ausgegangen und hat über diese mit dem gegenständlichen Bescheid abgesprochen (siehe hierzu die Erläuterungen des wortgleichen § 31 Abs 8 DSG 2000, ErlRV 472 BlgNR 24. GP, 13).
Der gegenständliche Teilbescheid spricht ausschließlich über die Datenschutzbeschwerde hinsichtlich der Verletzung im Recht auf Auskunft ab. Dies ergibt sich – entgegen der Ausführungen des BF1 – zweifelsfrei aus dem Wortlaut des Spruches, in dem stets nur auf das „Recht auf Auskunft“ bezuggenommen wird. Der äußerste Rahmen für die Prüfbefugnis ist die „Sache“ des bekämpften Bescheides, somit ausschließlich das Recht auf Auskunft (siehe zum Prüfungsumfang der Verwaltungsgerichte VwGH 09.09.2015, Ro 2015/03/0032 mwN). Eine Befassung damit, ob die personenbezogenen Daten des BF1 ohne rechtliche Grundlage (rechtliche Verpflichtung) bzw ohne Einwilligung verarbeitet und weitergegeben wurden – wie vom BF1 in seiner Bescheidbeschwerde gegen den gegenständlichen Teilbescheid angeregt – hatte aufgrund des begrenzten Prüfungsumfanges des Verwaltungsgerichts zu unterbleiben. Insofern war auf die Ausführungen des BF1 zur (Un-)Zulässigkeit der Verarbeitung seiner Daten nicht näher einzugehen.
3.2. Zum Verarbeitungszweck:
Der BF1 bemängelt in seiner Bescheidbeschwerde hinsichtlich des Rechts auf Auskunft, dass nicht beauskunftet worden sei, „zu welchen Verarbeitungszwecken (Rechtsgrundlage) die verarbeiteten Daten an die jeweiligen Unternehmen weitergegeben werden bzw wurden“ (siehe Bescheidbeschwerde des BF1 vom 15.12.2020, S 2).
Dem ist entgegenzuhalten, dass die BF2 dem BF1, wie festgestellt, sowohl Zweck, als auch Rechtsgrundlage der Verarbeitung ausführlich mitgeteilt hat. Anhand der Angaben in der Auskunft vom 21.11.2019 unter der Überschrift „Brieflogistik Allgemeine Informationen“ ist es dem BF1 jedenfalls möglich sich der Verarbeitung bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können (siehe ErwGr 63 DSGVO). Darüber hinaus enthält die Auskunft zu den Auftragsverarbeitern jeweils weitere Angaben inwiefern diese für die BF2 tätig werden (siehe beispielsweise „Versand und Logistik: Diese Unternehmen unterstützen die XXXX beim Erbringen von Logistikleistungen und können daher personenbezogene Daten erhalten:“; Auskunft vom 21.11.2019, S 6).
Die Auskunft ist hinsichtlich der Verarbeitungszwecke daher vollständig.
3.3. Zu den Empfängern der Daten im Besonderen:
Der EuGH hat in seinem Urteil (EuGH 12.01.2023, C-154/21, RW/ XXXX ) Art 15 Abs 1 lit c DSGVO dahingehend ausgelegt, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen (siehe EuGH 12.01.2023, C-154/21, RW/ XXXX , Rz 51).
Die Argumentation der BF2 in der Bescheidbeschwerde, wonach die Nennung der konkreten Empfänger nicht geschuldet sei, eine Wahlmöglichkeit hinsichtlich der Empfängerkategorien bestehe bzw dies mit einem unverhältnismäßig hohen Aufwand verbunden wäre geht vor dem Hintergrund EuGH Judikatur ins Leere (siehe Bescheidbeschwerde vom 15.12.2020, S 4 ff).
Allerdings führte der EuGH in seiner Entscheidung weiter aus, dass das Recht auf Schutz personenbezogener Daten – und somit auch jenes auf Auskunft nach Art 15 DSGVO –nicht uneingeschränkt ist. Folglich sei denkbar, dass es unter bestimmten Umständen nicht möglich ist, Informationen über konkrete Empfänger zu erteilen. Daher kann das Auskunftsrecht auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere, wenn diese noch nicht bekannt sind (EuGH 12.01.2023, C-154/21, RW/ XXXX , Rz 47 f).
In ihrer Stellungnahme vom 16.03.2023 führte die BF2 aus, dass es ihr faktisch nicht möglich sei die konkreten Empfänger zu benennen, da sie über derartige Informationen nicht verfüge, weil bei der BF2 keine betroffenenbezogene Dokumentation der Empfänger erfolgt und diese Informationen bei der BF2 nicht verarbeitet werden (Stellungnahme der BF2 vom 16.03.2023, S 3 f).
Die Auskunft vom 21.11.2019 war daher hinsichtlich der Empfänger vollständig, da die BF2 sämtliche vorhandenen Informationen über die Empfänger bzw Empfängerkategorien bekanntgegeben hat. Aufgrund der Angabe der Empfängerkategorien, wie ua Auftragsverarbeiter der BF2 für Versand und Logistik, kann sich der BF1 ein Bild davon machen, welche Kategorien von Empfängern seine Daten erhalten haben. Durch die Nennung der einzelnen Unternehmen wurden die Empfängerkategorien weiter aufgeschlüsselt und sind damit gut verständlich.
Eine explizite Verpflichtung, die konkreten Empfänger zu speichern, ist aus Art 15 Abs 1 lit c nicht ableitbar (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 40; sowie Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 27).
Die Auskunft ist daher auch hinsichtlich der Empfänger vollständig.
3.4. Zeitpunkt der Auskunftserteilung:
In seiner Bescheidbeschwerde bringt der BF1 vor, dass ihm die Auskunft verspätet erteilt worden sei. Eine Feststellung über eine in der Vergangenheit liegende Verletzung im Recht auf Auskunft ¬– dh eine verspätete Auskunft – ist allerdings nicht vom Beschwerderecht nach § 24 DSG iVm Art 15 DSGVO umfasst (siehe VwGH 27.09.2007, 2006/06/0330; VwGH 19.10.2022, Ro 2022/04/0001).
3.5. Weitere Mängel, die sich auf das Recht auf Auskunft beziehende, wurden vom BF1 nicht vorgebracht und waren auch sonst nicht ersichtlich. Gegenständlich liegt somit im Entscheidungszeitpunkt keine Verletzung im Recht auf Auskunft (insbesondere hinsichtlich der Verarbeitungszwecke und Empfänger) vor.
Der Beschwerde der BF2 war daher stattzugeben, jene des BF1 abzuweisen und der Spruch des angefochtenen Bescheides entsprechend abzuändern.
Es war spruchgemäß zu entscheiden.
3.6. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art 6 Abs 1 EMRK noch Art 47 GRC entgegenstehen.
Von der –von der BF2 – beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt (hier die Auskunft vom 21.11.2019) bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In den Beschwerden wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH 24.02.2015, Ra 2014/19/0171). Des Weiteren konnte sich das Verwaltungsgericht der Beweiswürdigung der belangten Behörde anschließen.
Der Großteil des Vorbringens des BF1 richtet sich gegen die Zulässigkeit der Datenverarbeitung und liegt somit – wie bereits unter Punkt II.3.1. ausgeführt – außerhalb des Beschwerdegegenstandes. Die Beurteilung, ob aus der Auskunft vom 21.11.2019 die Verarbeitungszwecke ausreichend klar hervorgehen, ist eine Rechtsfrage. Der tatsächliche Inhalt der Auskunft und somit der entscheidungsrelevante Sachverhalt, ist im gegenständlichen Verfahren unbestritten.
Die ergänzenden Ausführungen der BF2 in ihrer Stellungnahme vom 16.03.2023 stellen insofern keinen „neuen“ Sachverhalt dar, als diese Informationen bereits aus der von der belangten Behörde festgestellten Auskunft hervorgehen.
Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Art 6 Abs 1 EMRK noch Art 47 der Charta der Grundrechte entgegen.
Zu B) Unzulässigkeit der Revision
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich hinsichtlich des Rechts auf Auskunft auf die jeweils zitierte Rechtsprechung des EuGH stützen.