W298 2261568-1 – Bvwg Entscheidung

W298 2261568-1/16E

IM NAMEN DER REPUBLIK

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzender und die fachkundigen Laienrichter Mag. Viktoria Haidinger, LLM und Gerhard Raub als Beisitzer über die Beschwerde der XXXX den Bescheid der Datenschutzbehörde vom 03.08.2022, GZ: D124.5271, 2022-0.135.887, zu Recht erkannt:

A) Der Beschwerde wird stattgegeben und der Spruch dahingehend abgeändert als, dass er zu lauten hat:

I. Der Datenschutzbeschwerde der XXXX , vormals XXXX wird zurückgewiesen

II. Die Spruchpunkte 2. – 5. werden ersatzlos behoben

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 17.11.2021 behauptete die mitbeteiligte Partei (Beschwerdeführerin im Verfahren vor der belangten Behörde) eine Verletzung im Grundrecht auf Datenschutz gemäß § 1 Abs. 1 DSG dadurch, dass die Beschwerdeführerin (Beschwerdegegnerin im Verfahren vor der belangten Behörde) eine Investorenwarnung auf Ihrer Homepage veröffentlicht habe – demnach habe sie den Eindruck erweckt, dass sie ohne eine Konzession dafür zu haben, Wertpapiere handle. Die mitbeteiligte Partei habe dagegen das rechtsstaatliche Verfahren vor dem Bundesverwaltungsgericht (BVwG) und dem Verwaltungsgerichtshof (VwGH) angestrebt. Dabei habe insbesondere das BVwG festgehalten, dass die Investorenwarnung berechtigt gewesen sei. Als entscheidungsrelevant sei der „Footer“ auf der Homepage XXXX gewesen, welche nicht mehr existiere. Dadurch liege (nach Wegfall des Footers) eine unberechtigte Datenverarbeitung vor. Im Übrigen habe die Beschwerdeführerin auch eine Verletzung im Recht auf Auskunft zu verantworten, indem sie keine (ausreichende) Auskunft bezüglich der Speicherdauer ihrer Daten gemacht habe. Die mitbeteiligte Partei habe daher von der Beschwerdeführerin zurecht gefordert die Investorenwarnung zu löschen.

2. Nach Aufforderung zur Stellungnahme durch die belangte Behörde führte die Beschwerdeführerin dazu aus, dass die mitbeteiligte Partei eine juristische Person sei und daher nicht antragslegitimiert. Aber selbst wenn die mitbeteiligte Partei antragslegitimiert gewesen sei, wäre die Datenschutzbeschwerde nicht berechtigt, weil die Rechtmäßigkeit der Investorenwarnung vom BVwG bestätigt worden sei. Die Grundlage der Datenverarbeitung ergäbe sich aus Unionssekundärrecht und aus dem WAG 2018. Darüber hinaus habe die Beschwerdeführerin, soweit zulässig um nicht Geschäfts- oder Betriebsgeheimnisse zu gefährden, Auskunft erteilt. Insbesondere habe die Beschwerdeführerin darüber informiert, dass keine endgültige Speicherfrist bestehe.

3. Dazu replizierte die mitbeteiligte Partei weiter, dass die Investorenwarnung ein starkes und selten genutztes Instrument sei, das die mitbeteiligte Partei wesentlich beeinträchtige. Darüber hinaus sei auch auf der Homepage XXXX der Footer entfernt worden, wodurch eine Täuschung von Konsumenten nicht mehr bestehe und daher auch die Voraussetzungen des WAG 2018 nicht (mehr) gegeben seien.

4. In der Folge erlies die belangte Behörde den angefochtenen Bescheid und gab der Beschwerde der mitbeteiligten Partei statt und begründete dies im Wesentlichen damit, dass durch das Entfernen des Footer durch die mitbeteiligte Partei eine neue Sachlage eingetreten sei, die es erforderlich mache die Datenverarbeitungslegitimation neu zu überprüfen. Dazu sei die mitbeteiligte Partei auch berechtigt, weil § 1 DSG nicht ausschließlich natürliche Personen berechtige, sondern auch juristische – in diesem Sinne auch eine GmbH. Es ergäbe sich zwar im Hinblick auf das Behördenverfahren zwar kein Anhaltspunkt auf eine Geheimhaltungspflichtverletzung im Sinne des § 1 Abs. 1 DSG, aber hätte die Beschwerdeführerin dem Löschantrag der mitbeteiligte Partei folgen müssen, nachdem sich die Sachlage geändert habe und die Beschwerde daher aus datenschutzrechtlicher Sicht berechtigt gewesen sei.

5. Dagegen erhob die Beschwerdeführerin (rechtzeitig) am 18.08.2022 Beschwerde an das Bundesverwaltungsgericht und führte begründend aus, dass die belangte Behörde schon darüber irre, dass die mitbeteiligte Partei beschwerdelegitimiert gemäß § 1 DSG sei. Vielmehr gelte nach einigen Literaturmeinungen, dass § 1 DSG juristische Personen nicht in dem angenommenen Umfang schütze. Darüber hinaus habe mittlerweile der VwGH die außerordentliche Revision der mitbeteiligten Partei zurückgewiesen und sei daher die Rechtskonformität des Handelns der Beschwerdeführerin bestätigt worden. Darüber hinaus habe die belangte Behörde die rechtskräftigen Erkenntnisse des BVwG grob falsch interpretiert, wenn sie annehme, dass der Footer der einzige Grund für die Berechtigung des Vorgehens der Beschwerdeführerin gewesen sei. Das BVwG habe nämlich den Gesamtauftritt der mitbeteiligten Partei gewürdigt. Darüber hinaus verletze die belangte Behörde verfassungsgesetzliche gewährleistete Rechte und entziehe die Sache dem gesetzlichen Richter. Jedenfalls ergäbe sich durch die erneute Entscheidung in der Sache die bereits rechtsverbindlich beurteilt wurde ein grob rechtswidriges Vorgehen, insbesondere dadurch, dass die belangte Behörde den Zweck der Investorenwarnung grosso modo nicht richtig auslege, wenn sie auslege, dass der Zweck nach der Änderung der Firma der mitbeteiligten Partei nicht mehr gegeben sei.

6. Die belangte Behörde legte den Verwaltungsakt vor und gab eine Stellungnahme ab in der sie auf den Bescheid verwies und erneut ausführte, dass die mitbeteiligte Partei beschwerdelegitimiert sei und ein neuer Sachverhalt vorliege, weil sich Tatsachen geändert hätten. Die Ausführungen der belangten Behörde seien „unstrittig“.

6. Der Geschäftsverteilungsausschuss nahm die Rechtssache der ursprünglich zuständigen Abteilung W 245 mit Beschluss vom 31.05.2023 ab und teilte sie per 12.06.2023 der nunmehr zuständigen Abteilung W 298 zu.

7. Nach Einräumen des Parteiengehörs nahm die Beschwerdeführerin Stellung und führte erneut aus, dass es der mitbeteiligte Partei an einer Beschwerdelegitimation fehle. Darüber hinaus wurde ein Rechtsgutachten vorgelegt auf das die Beschwerdeführerin zu ihren Ausführungen verwies. Auch sei die DSGVO nicht auf den gegenständlichen Sachverhalt anwendbar und mangele es daher an der Berechtigung der belangten Behörde zur Feststellung des maßgeblichen Sachverhalts. Darüber hinaus habe die belangte Behörde qualifiziert gegen Verfahrensvorschriften verstoßen und der Beschwerdeführerin wesentliche Beweismittel bzw. Stellungnahmen in der Sache nicht vor Bescheiderlassung vorgelegt.

8. Die belangte Behörde nahm ebenso Stellung und führte aus, dass der Bescheid richtig sei und wiederholte im Wesentlichen die Entscheidungsgründe aus dem angefochtenen Bescheid, trat den Ausführungen aus dem Rechtsgutachten der Beschwerdeführerin entgegen.

9. Mit Eingabe vom 14.09.2023 trat die mitbeteiligte Partei dem Vorbringen der Beschwerdeführerin entgegen und beantragte die Beschwerde abzuweisen.

II. Das Bundesverwaltungsgericht hat erwogen:

II.1. Feststellungen:

1. Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

2. Insbesondere wird festgestellt, dass die Beschwerdeführerin am 2.10.2020 unter der URL XXXX eine Investorenwarnung aussprach.

Mit Bescheid vom 23.10.2020 GZ: FMA-UB0001.800/0001-BUG/2020 wurde entschieden, dass die mitbeteiligte Partei nicht berechtigt ist konzessionspflichtige Wertpapierdienstleistungen zu erbringen. Der Ausspruch der Investorenwarnung war rechtmäßig und wurde vom BVwG bestätigt sowie eine Revision vom VwGH zurückgewiesen.

3. Die mitbeteiligte Partei änderte am 11.05.2022 ihre Firma von XXXX auf XXXX . Der auf der Homepage eingebettete Footer lautete wie folgt:

XXXX

XXXX

XXXX

XXXX

XXXX

wurde gelöscht.

4. Die mitbeteiligte Partei ist eine Gesellschaft mit beschränkter Haftung mit Sitz in Österreich zu FN XXXX und beantragte am 1.10.2021 die Löschung der Investorenwarnung bei der Beschwerdeführerin, was abgelehnt wurde.

5. Die belangte Behörde erlies den nunmehr angefochtenen Bescheid, gegen den sich die (rechtzeitige) Beschwerde richtet.

II.2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem hier gegenständlichen Gerichtsakt.

Der Sachverhalt ist nicht strittig. Die In diesem Zusammenhang werden die Ausführungen des Beschwerdeführers als grundsätzlich glaubwürdig erachtet und wird auf die in der rechtlichen Begründung zu den einzelnen Beschwerdepunkten enthaltenen detaillierten Ausführungen verwiesen.

Die mitbeteiligte Partei trat dem Tatsachenvorbringen des Beschwerdeführers grundsätzlich nicht entgegen und brachte lediglich vor, keinen Zugang zur E-Mail Domain gehabt zu haben.

II.3. Rechtliche Beurteilung:

Zu A)

II.3.1. Zuständigkeit des Bundesverwaltungsgerichts:

Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Die zulässige Beschwerde ist berechtigt.

II.3.2. Rechtslage:

§ 1 DSG lautet:

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1.das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2.das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

§ 24 DSG lautet:

„Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

Artikel 16 AEUV lautet:

„Artikel 16

(ex-Artikel 286 EGV)

(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2) Das Europäische Parlament und der Rat erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht.

Die auf der Grundlage dieses Artikels erlassenen Vorschriften lassen die spezifischen Bestimmungen des Artikels 39 des Vertrags über die Europäische Union unberührt.“

Artikel 8 EU-GRC lautet:

„Artikel 8

Schutz personenbezogener Daten (1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. (3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.“

Artikel 2 DSGVO lautet:

„Artikel 2 DSGVO

Sachlicher Anwendungsbereich

(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,

b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen,

c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten,

d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

(3) Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst.

[…]“

Artikel 4 DSGVO lautet: „Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;“

Art. 5 DSGVO lautet:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 58 lautet:

(1) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,

a) den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind,

b) Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,

c)eine Überprüfung der nach Artikel 42 Absatz 7 erteilten Zertifizierungen durchzuführen,

d)den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,

e) von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind, zu erhalten,

f) gemäß dem Verfahrensrecht der Union oder dem Verfahrensrecht des Mitgliedstaats Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, des Verantwortlichen und des Auftragsverarbeiters zu erhalten.

(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,

b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,

c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,

d)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,

e) den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen,

f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,

g) die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 17 Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen,

h) eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,

i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,

j) die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen.

(3) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Genehmigungsbefugnisse und beratenden Befugnisse, die es ihr gestatten,

a) gemäß dem Verfahren der vorherigen Konsultation nach Artikel 36 den Verantwortlichen zu beraten,

b) zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an das nationale Parlament, die Regierung des Mitgliedstaats oder im Einklang mit dem Recht des Mitgliedstaats an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten,

c)die Verarbeitung gemäß Artikel 36 Absatz 5 zu genehmigen, falls im Recht des Mitgliedstaats eine derartige vorherige Genehmigung verlangt wird,

d)eine Stellungnahme abzugeben und Entwürfe von Verhaltensregeln gemäß Artikel 40 Absatz 5 zu billigen,

e) Zertifizierungsstellen gemäß Artikel 43 zu akkreditieren,

f) im Einklang mit Artikel 42 Absatz 5 Zertifizierungen zu erteilen und Kriterien für die Zertifizierung zu billigen,

g) Standarddatenschutzklauseln nach Artikel 28 Absatz 8 und Artikel 46 Absatz 2 Buchstabe d festzulegen,

h) Vertragsklauseln gemäß Artikel 46 Absatz 3 Buchstabe a zu genehmigen,

i) Verwaltungsvereinbarungen gemäß Artikel 46 Absatz 3 Buchstabe b zu genehmigen

j) verbindliche interne Vorschriften gemäß Artikel 47 zu genehmigen.

(4) Die Ausübung der der Aufsichtsbehörde gemäß diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren gemäß dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta.

(5) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass seine Aufsichtsbehörde befugt ist, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben oder sich sonst daran zu beteiligen, um die Bestimmungen dieser Verordnung durchzusetzen.

(6) Jeder Mitgliedstaat kann durch Rechtsvorschriften vorsehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels VII beeinträchtigen.

Art. 77 DSGVO lautet: „Artikel 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

II.3.3. Zur Beschwerdelegitimation der mitbeteiligten Partei :

Zunächst ist festzuhalten, dass sich die mitbeteiligte Partei in ihrer an die belangte Behörde gerichteten Datenschutzbeschwerde expressis verbis auf § 1 Abs. 1 DSG stützte. Daher ist § 1 Abs. 1 DSG als verletztes Recht benannt, und hatte die belangte Behörde daher im vorliegenden Fall auch konkret eine Rechtsverletzung in der Sphäre des Beschwerdeführers am Maßstab des in § 1 Abs. 1 DSG statuierten Grundrechteschutzes zu prüfen gehabt.

Aufgrund des uneindeutigen Wortlauts von Art. 1 Abs. 1 DSGVO schützt diese nur die Daten natürlicher Personen, und somit nicht juristischer Personen. Die Frage, ob sich juristische Personen auf Art. 8 EMRK berufen können, wenn aus ihrem Namen eine natürliche Person hervorgeht (ErwGr 14 widerspricht in diesem Punkt EuGH 09.11.2010, C-92/09, Schecke; C-93/09, Eifert), stellt sich im vorliegenden Fall nicht. Der mitbeteiligten Partei war es somit im konkreten Fall verwehrt, sich auf Art. 1 und Art 77 DSGVO zu berufen.

§ 1 Abs. 1 und 3 DSG erfuhren bis dato keine Novellierung. Juristischen Personen steht daher weiterhin das Grundrecht auf Geheimhaltung ihrer Daten sowie grundsätzlich das Recht auf Auskunft, Richtigstellung und Löschung zu. Einer nationalen Regelung, welche die Daten juristischer Personen schützt, steht die DSGVO nicht entgegen (vgl. Lachmayer in Knyrim, DatKomm Art 1 DSGVO Rz 80 (Stand 1.12.2018, rdb.at); BVerfG 06.11.2019, 1 BvR 16/13; VfGH 14.03.2012, U466/11 VfSlg. 19.632).

Hiervon zu unterscheiden ist, ob nach Inkrafttreten der DSGVO juristische Personen aktiv legitimiert sind, Rechte nach § 1 DSG im behördlichen Administrativverfahren geltend zu machen. Hierzu gibt es widerstreitende Meinungen:

Wie aus dem angefochtenen Bescheid ersichtlich, bejaht die belangte Behörde diese Frage jedenfalls bei rein nationalen Fällen (vgl. bereits DSB 13.09.2018, DSB-D216.713/0006-DSB/2018; DSB 25.05.2020, 2020-0.191.240). Dies trifft auch für Teile der Literatur zu.

Jedoch ist für die Interpretation der Reichweite des Schutzes des in § 1 Abs. 1 DSG statuierten subjektiv öffentlichen Rechts primär Art. 2 des DSG und insbesondere die Durchführungsbestimmung des § 4 Abs. 1 DSG beachtlich: Diesem zu Folge gelten die Bestimmungen der DSGVO und des DSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen. Der österreichische Gesetzgeber hat in den Erläuternden Bemerkungen zu § 4 Abs. 1 DSG wie folgt festgehalten:

„Das Grundrecht auf Datenschutz wurde bisher im Sinne der Begriffsbestimmungen des § 4 DSG 2000 ausgelegt (vgl zB. Eberhard, zu § 1 DSG 2000, in Korinek/Holoubek ua, Kommentar zum österreichischen Bundesverfassungsrecht). Nunmehr muss es im Sinne der Begriffsbestimmungen der DSGVO ausgelegt werden, dh „Betroffene“ bzw „betroffene Personen“ sind gem Art 4 Z 1 DSGVO nur natürliche Personen.“ (AÄA zu § 4 Abs 1 idF des Datenschutz-Deregulierungs-Gesetzes 2018 (AA-10 26. GP 4)).

Damit ist aber auch § 24 DSG, welcher jeder betroffenen Person ein Recht auf Beschwerde bei der Datenschutzbehörde einräumt, auf natürliche Personen beschränkt. Demnach ist, insoweit eine Datenverarbeitung gemäß § 1 Abs. 1 DSG vorliegt, auch die Geltendmachung des subjektiven Rechts einer juristischen Person im Wege des verwaltungsbehördlichen Administrativverfahrens nicht vorgesehen.

Schließlich kommen die in § 1 Abs 3 genannten Rechte der betroffenen Person nur nach Maßgabe gesetzlicher Bestimmungen zu. Sie stehen insofern unter einem Konkretisierungsvorbehalt (siehe dazu Ennöckl, Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung 103, 173 ff sowie VfSlg 16.986/2003). Den Gesetzgeber trifft ein Ausgestaltungsauftrag, die Modalitäten der Geltendmachung der datenschutzrechtlichen Begleitrechte zu regeln. Während das DSG 2000 noch ganz generell allgemeine Regelungen zu den Begleitrechten enthielt (§§ 26 ff DSG 2000), entfallen im DSG derartige Regelungen zu den Rechten der betroffenen Person für den Anwendungsbereich der DSGVO weitgehend, da sich diese unmittelbar aus der DSGVO (Kap III der DSGVO – Rechte der betroffenen Person) ergeben. Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 zu Abs 3 Anm 17 ff (Stand 12.6.2018, rdb.at)

Eine verfassungskonforme Interpretation von § 24 DSG im Sinne einer Erweiterung entgegen dem Normeninhalt und dem expliziten Wortlaut von § 4 Abs. 1 DSG, als dass der einfachgesetzliche Teil des DSG auch eine juristische Person aktiv legitimiere, kommt schon deswegen nicht infrage, weil der Wortlaut der Bestimmung unzweideutig ist.

Für das beschließende Gericht ist ebenso wenig ersichtlich, dass dem Gesetzgeber bei der Normengestaltung im Hinblick auf § 24 DSG eine planwidrige Lücke unterlaufen wäre, denn es wäre insbesondere im Hinblick auf § 4 Abs. 1 DSG, der ja explizit die Bestimmungen über den Anwendungsbereich der DSGVO als Durchführungsbestimmungen übernommen hat, ein leichtes gewesen Art. 1 und 2 DSGVO auszunehmen.

Dadurch ergibt sich aber auch im verfassungsgesetzlich geschützten Bereich des § 1 Abs. 1 DSG (wo juristische Personen mitumfasst sind) im Vergleich zu einer natürlichen Person kein (grob) unterschiedlicher Grundrechteschutz:

Wie bereits erwähnt, hat der EuGH hat in den Rs Schecke und Eifert (EuGH 09.11.2010, C-92/09 und C-93/09) ausgesprochen, dass der Rechtsschutz der EMRK insbesondere betreffend Art. 8 EMRK auch juristischen Personen zugutekommt, wenn eine juristische Person den Namen einer oder mehrerer natürlicher Personen enthält.

Ähnlich meint auch Lachmayer in Knyrim, DatKomm Art 1 DSGVO Rz 17 (Stand 1.12.2018, rdb.at) der mit Verweis auf Anderl/Hörlsberger/Müller, Kein einfachgesetzlicher Schutz für Daten juristischer Personen; ÖJZ 2018, 14; Knyrim/Maurer, Der Datenschutz für die juristische Person bleibt bestehen, Dako 2017/48; Leissler, Datenschutz für juristische Personen - ein Blick in die Zukunft, ecolex 2017, 1222 sowie Heißl in Knyrim, DatKomm Art 2 Rz 20 ff), dass der alleinige Grundrechtsschutz eine äußerst reduzierte Anwendbarkeit des Datenschutzes auf juristische Personen eröffnet.

Es ergibt sich daher auch, dass die Interpretation der belangten Behörde, dass § 24 DSG die mitbeteiligte Partei als juristische Person aktiv legitimiere, unrichtig ist.

Mangels Beschwerdelegitimation der mitbeteiligten Partei war der Beschwerde statt zu geben, und die Datenschutzbeschwerde der mitbeteiligten Partei zurückzuweisen.

Es war daher spruchgemäß zu entscheiden

II.3.4. Durchführung einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall liegt von den anwaltlich vertretenen Parteien kein Antrag auf Durchführung einer mündlichen Verhandlung vor (VwGH 19.10.2016, Ra 2016/12/0073) und konnte das Unterlassen einer mündlichen Verhandlung auch darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Die Heranziehung weiterer Beweismittel waren zur Klärung des Sachverhaltes nicht notwendig.

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

Zu B)

II.3.5. Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage fehlt, ob juristische Personen gemäß § 4 DSG iVm Art. 1 DSGVO und § 24 DSG allgemein aktiv legitimiert sind das Grundrecht nach § 1 Abs. 1 DSG im behördlichen Administrativverfahren auszuüben.