W214 2233132-1/27E
TEILERKENNTNIS
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde XXXX vertreten durch Schönherr Rechtsanwälte GmbH, gegen die Spruchpunkte 1. und 2.a. des Bescheides der Datenschutzbehörde vom 13.02.2020, Zl. DSB-D205.157/0005-DSB/2019, zu Recht erkannt:
A)
Die Beschwerde wird teilweise stattgegeben und Spruchpunkt 2.a. des angefochtenen Bescheides ersatzlos behoben.
Die Beschwerde gegen Spruchpunkt 1. des angefochtenen Bescheides wird mit der Maßgabe als unbegründet abgewiesen, dass dieser Spruchpunkt zu lauten hat wie folgt:
„Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Auskunft gemäß Art. 15 Abs. 1 lit. c DSGVO verletzt hat, indem sie ihm keine Auskunft über die Empfänger seiner personenbezogenen Daten (bzw. keine Negativauskunft) erteilt hat bzw. erteilt.“
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.
Entscheidungsgründe
I. Verfahrensgang:
1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 30.05.2019 behauptete XXXX (Mitbeteiligter im Verfahren vor dem Bundesverwaltungsgericht, ehemaliger Beschwerdeführer vor der belangten Behörde) eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO durch die Beschwerdeführerin (Beschwerdegegnerin im Verfahren vor der belangten Behörde). Dazu brachte er (soweit verfahrensgegenständlich noch relevant) zusammengefasst vor, dass ihm von der Beschwerdeführerin keine Auskunft über die Empfänger von Zielgruppendaten erteilt worden sei.
Der Datenschutzbeschwerde beigefügt wurde das Aufforderungsschreiben des Mitbeteiligten an die Beschwerdeführerin gemäß Art. 15 DSGVO vom 12.01.2019, das (undatierte) Antwortschreiben der Beschwerdeführerin sowie die E-Mail-Korrespondenz des Mitbeteiligten mit der Beschwerdeführerin vom April/Mai 2019.
2. Über Aufforderung der belangten Behörde erstattete die Beschwerdeführerin am 27.08.2019 sowie am 14.10.2019 jeweils eine Stellungnahme und führte zusammengefasst (soweit verfahrensgegenständlich noch relevant) aus, dass darüber informiert worden sei, dass Daten zu Marketingzwecken an Geschäftskunden weitergegeben worden seien. Eine Verpflichtung über bestimmte Empfänger zu informieren bestehe nicht, da dies die Offenlegung der Vertriebswege der Beschwerdeführerin und ihrer individuellen Kundenbeziehungen und somit von Geschäfts- und Betriebsgeheimnissen bedeuten würde, was jedoch im Rahmen einer Auskunftsbeantwortung nach der DSGVO nicht geschuldet sei.
3. Dem Mitbeteiligten wurden die Stellungnahmen der Beschwerdeführerin von der belangten Behörde mit Schreiben vom 18.10.2019 zur Kenntnis gebracht. Der Mitbeteiligte replizierte auf diese mit Stellungnahme vom 05.11.2019 und brachte (soweit verfahrensgegenständlich noch relevant) zusammengefasst vor, dass die vorgeschobene Notwendigkeit der Wahrung von Geschäftsgeheimnissen kein Grund sei, die Informationen über einzelne Empfänger von Daten nicht weiterzugeben, da ansonsten kein Unternehmen verpflichtet wäre, solche Informationen zur Verfügung zu stellen und eine solche Auffassung die Verpflichtung nach Art. 15 Abs. 1 lit. c DSGVO weitgehend aufheben würde. Es wäre einem Betroffenen ansonsten auch gar nicht möglich, sich mit Auskunftsersuchen an Firmen zu wenden und die Löschung bzw. Richtigstellung der eigenen Daten zu verlangen. Zudem habe die Beschwerdeführerin auf entsprechende frühere Anfragen von anderen Anfragenden sehr wohl die einzelnen Empfänger von marketingfähigen Daten genannt.
4. Mit dem angefochtenen Bescheid wurde der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt habe, indem sie am 03.04.2019 eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der Beschwerdeführerin wurde aufgetragen, dem Mitbeteiligten innerhalb einer Frist von vier Wochen bei sonstiger Exekution, a) die konkreten Empfänger der personenbezogenen Daten des Mitbeteiligten zu bezeichnen, b) eine allgemein verständliche Auskunft über die Begriffe der möglichen Werbezielgruppen „Werbung Bio“, „Selbstständigkeit“, „Werbung Investment“, „Zielgruppe Charakteristik“, „Lebensphase“ „Werbung Spenden“ sowie „Werbung Umzug“ zu erteilen, insbesondere über die Bedeutung der verwendeten Schlüsselbegriffe, sowie Informationen über die maßgeblichen Parameter für die Bewertung und die Zuordnung zum Mitbeteiligten zur Verfügung zu stellen, sowie c) eine allgemein verständliche Auskunft über den Begriff der „Möglichen Zielgruppe Akademiker“ zu erteilen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).
Begründend führte die belangte Behörde im Hinblick auf die Spruchpunkte 1. und 2.a. aus, dass der Mitbeteiligte im gegenständlichen Fall zwar persönlich an ihn gerichtete, jedoch weitgehend standardisierte Antworten erhalten habe. Die Auskunft beinhalte bezüglich der Empfänger der über den Mitbeteiligten gespeicherten Daten lediglich eine allgemeine Formulierung: „Die XXXX verwendet Daten, soweit das rechtlich zulässig ist, im Rahmen ihrer Tätigkeit als Adressverlag und bietet diese Geschäftskunden für Marketingzwecke an“. Es bedürfe einer Interessensabwägung im Einzelfall, in welchem die Gesichtspunkte der Datenschutzinteressen der Beteiligten und der öffentlichen Geheimhaltungsinteressen einzubeziehen seien, um festzustellen, ob konkrete Empfänger oder lediglich Empfängerkreise zu beauskunften seien. Im konkreten Fall stehe das nicht weiter begründungsbedürftige Auskunftsinteresse des Mitbeteiligten an einer möglichst vollständigen Auskunft, insbesondere um unionsrechtlich garantierte subjektive Rechte wie beispielsweise Berichtigungs- und Löschungsrechte auch gegenüber Dritten und anderen Verantwortlichen durchsetzen zu können, dem Geheimhaltungsinteresse der Beschwerdeführerin gegenüber. Die Beschwerdeführerin bringe vor, dass eine Benennung konkreter Empfänger ihre Vertriebswege und Kundenbeziehungen preisgebe. Warum die Offenlegung der Geschäftspartner ihre schutzwürdigen Interessen als Adressverlag berühre, lasse die Beschwerdeführerin allerdings offen. Aus Sicht der belangten Behörde würden somit auch keine schutzwürdigen Interessen der Beschwerdeführerin vorliegen. Zusätzlich lasse sich aus der Tatsache der entgeltlichen Überlassung von Daten durch Adressverlage schließen, dass die Beschwerdeführerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben müsse, an wen die betreffenden Daten weitergegeben worden seien. Auch habe sie zu keinem Zeitpunkt behauptet, dass ihr die konkreten Adressaten unbekannt seien.
5. Gegen die Spruchpunkte 1. und 2. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht.
Die Beschwerdeführerin brachte (soweit verfahrensgegenständlich noch relevant) zusammengefasst vor, dass ein Wahlrecht bestehe, ob Empfängerkategorien oder konkrete Empfänger beauskunftet würden. Die erteilte Auskunft über die Empfängerkategorien sei sohin mangelfrei gewesen und der Bescheid mit inhaltlicher Rechtswidrigkeit belastet. Die Beauskunftung aller konkreten Empfänger sei zudem mit unverhältnismäßig hohem Aufwand verbunden und würde Betriebs- und Geschäftsgeheimnisse der Beschwerdeführerin offenlegen. Die Datenweitergabe durch die Beschwerdeführerin erfolge als Adressverlags- und Direktmarketingunternehmen stets im Einklang mit § 151 GewO. An die Kunden der Beschwerdeführerin würden nicht Einzeldaten, sondern Datenpakete weitergegeben. Die an einen bestimmten Empfänger weitergegebenen Datenpakete seien Auszüge aus der umfangreichen Datenbank der Beschwerdeführerin, die je nach Anfrage zusammengestellt würden. Die Datenpakete könnten mehrere hunderttausend oder auch Millionen Datensätze umfassen. Es sei jedoch nicht verpflichtend, die Weitergabe jedes einzelnen Datensatzes innerhalb des Datenpaketes zu protokollieren. Insofern sei auch die Beauskunftung aller konkreten Empfänger – auf Basis der auf eine konkrete Person bezogen gespeicherten Daten – faktisch nicht möglich. Zur Wahrung der Betroffenenrechte würden monatliche Updates erfolgen, in deren Rahmen Berichtigungen, Löschungen und Untersagungen der Datenweitergabe innerhalb der von der DSGVO genannten Frist an die Empfänger der Daten übermittelt und in deren Datenbank eingespielt würden. Ob in einem an einen konkreten Empfänger übermittelten Datenbestand eine bestimmte Person enthalten sei, könne im Nachhinein in vielen Fällen nur mit erheblichem Aufwand rekonstruiert werden. Die Rekonstruktion sei zudem mit Unsicherheit behaftet, da Änderungen des Datensatzes, die nach dem Exporttag erfolgt seien, nicht protokolliert würden. Auch zeitweilige Sperren des Datensatzes für die Datenweitergabe könnten zu einer Falschauskunft führen. Aus der DSGVO selbst könne auch keine Verpflichtung, die Empfänger zu speichern, abgeleitet werden. Dies werde auch durch die Transparenzleitlinien der Art. 29 Datenschutzgruppe bestärkt. Dadurch, dass die konkreten Empfänger nicht bekannt seien, entstehe auch kein Rechtsschutzdefizit, da das Rechtsschutzinteresse des Betroffenen durch die „Robinsonliste“ sowie die Folgemitteilungspflicht gemäß Art. 19 DSGVO sichergestellt werde. Darüber hinaus müssten Aussendungen, für die diese Daten verwendet würden, Informationen enthalten, von wem diese Daten stammen.
Darüber hinaus liege eine Verletzung des Parteiengehörs vor, die belangte Behörde hätte der Beschwerdeführerin die Sachverhaltsannahmen vorzuhalten gehabt, wonach aus Sicht der belangten Behörde keine schutzwürdigen Interessen sowie keine Geschäftsgeheimnisse der Beschwerdeführerin vorlägen und, dass die Beschwerdeführerin über die konkreten Empfänger aus verrechnungstechnischen Gründen genaue Kenntnisse habe. Diese Feststellungen seien zudem unrichtig. Betreffend die rechtlichen Konsequenzen des Verfahrens wäre der Beschwerdeführerin vorzuhalten gewesen, dass die belangte Behörde beabsichtige, die Beauskunftung der konkreten Empfänger aufzutragen, da es sich um eine strittige Rechtsfrage handle. Der angefochtene Bescheid leide daher auch an Rechtswidrigkeit infolge Verletzung von Verfahrensvorschriften.
6. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch und legte die Beschwerde samt dem bezughabenden Verwaltungsakt mit Schreiben vom 16.07.2020 dem Bundesverwaltungsgericht zur Entscheidung vor.
7. Der OGH legte mit Beschluss vom 18.02.2021, Zl. 6 Ob 159/20f, folgende Frage dem EuGH, welche zur Zl. C-154/21 anhängig war, zur Vorabentscheidung vor:
„Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“
8. Mit Schriftsatz vom 22.03.2021 beantragte die Beschwerdeführerin die Aussetzung des gegenständlichen Beschwerdeverfahrens gemäß § 17 VwGVG iVm § 38 AVG bis zur Entscheidung des EuGH über den Vorlagebeschluss des OGH vom 18.02.2021, 6 Ob 159/20f.
9. Der Mitbeteiligte erstattete am 15.07.2021 eine Stellungnahme, in welcher er zu Spruchpunkt 2.a des angefochtenen Bescheides ausführte, dass die Beschwerdeführerin der Aufforderung immer noch nicht nachgekommen sei. Da der Informationspflicht seitens der Empfänger von Daten gemäß Art. 14 [DSGVO] kaum nachgekommen werde, sei es für eine Wahrung der Rechte gemäß Art. 15 DSGVO unbedingt erforderlich, dass dem Betroffenen eine Auskunft darüber erteilt werde, an welche anderen Empfänger Daten des Betroffenen weitergegeben worden seien. Dazu sei die Benennung jedes einzelnen Empfängers erforderlich und nicht nur die Benennung der Kategorie. Die zumeist behauptete Gefährdung von Geschäftsgeheimnissen gemäß Art. 23 Abs. lit. i DSGVO iVm § 4 Abs. 6 DSG sei in keiner Weise nachvollziehbar, insbesondere da andernfalls die Bestimmungen des Art. 15 [DSGVO] sinnlos wären, da die Besitzer von Daten des Betroffenen gar nicht ausfindig gemacht werden könnten.
10. Die Beschwerdeführerin führte mit Eingabe vom 08.04.2022 zu Spruchpunkt 1. des angefochtenen Bescheides aus, dass nach der Rechtsprechung des VwGH die Erlassung eines Feststellungsbescheides infolge des Grundsatzes der Subsidiarität von Feststellungsbegehren und Feststellungsbescheiden überhaupt unzulässig sei, wenn die strittige Rechtsfrage im Rahmen eines anderen gesetzlich vorgesehenen Verwaltungsverfahrens oder eines gerichtlichen Verfahrens entschieden werden könne. Die belangte Behörde sei gemäß § 24 Abs. 5 DSG befugt, Leistungsbescheide zu erlassen, die im DSG 2000 normierte Feststellungskompetenz der belangten Behörde sei bewusst nicht übernommen worden. Wegen der Subsidiarität von Feststellungsbescheiden sei es auch denkunmöglich, dass der Gesetzgeber das gleichzeitige Erlassen eines Leistungs- und eines Feststellungsspruchpunktes beabsichtigt habe. Im konkreten Fall habe die belangte Behörde durch die Leistungsaufträge in Spruchpunkt 2. dieselben Rechtsfragen wie in Spruchpunkt 1. entschieden, weshalb dieser schon deshalb als rechtswidrig zu beheben sei.
11. Mit Teilerkenntnis des Bundesverwaltungsgerichtes vom 17.05.2022, Zl. W214 2233132-1/13E, wurden die Spruchpunkte 2. b und c des angefochtenen Bescheides ersatzlos behoben sowie mit Beschluss das Verfahren gemäß § 17 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) iVm § 38 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG) hinsichtlich der Spruchpunkte 1. und 2. a des angefochtenen Bescheides bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) über die mit Beschluss des Obersten Gerichtshofes (OGH) vom 18.02.2021, Zl. 6 Ob 159/20f (beim EuGH anhängig unter C-154/21), vorgelegte Frage ausgesetzt.
12. Mit Urteil vom 12.01.2023, Zl. C-154/21, erkannte der EuGH zu der oben wiedergegebenen Frage zu Recht:
„Art. 15 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung) ist dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.“
13. Das Bundesverwaltungsgericht verständigte die Parteien mit Schreiben vom 08.05.2023 von der Fortsetzung des Verfahrens und ersuchte die Beschwerdeführerin binnen zwei Wochen ab Erhalt des Schreibens bekanntzugeben, ob im Lichte der Entscheidung des EuGH die Beschwerde aufrecht erhalten werde.
14. Die Beschwerdeführerin gab am 24.05.2023 sowie am 10.08.2023 jeweils eine Stellungnahme ab, in welchen sie ausführte, dass die gesetzmäßigen Aufbewahrungspflichten erfüllt und die Übermittlung der Anzahl von Datensätzen dokumentiert werde, nicht jedoch die Betroffenen dieser Datensätze. Auch die Rechnung werde nur über die Anzahl der übermittelten Datensätze gelegt. Wie auch aus der Rechtsprechung der ehemaligen Datenschutzkommission hervorgehe, werde die Weitergabe von Datensätzen in den Unterlagen von Adressverlagen und Direktmarketingunternehmen regelmäßig nicht betroffenenbezogen dokumentiert. Daher stehe auch in den aufbewahrten Unterlagen (Rechnungen, Verträge etc.) nicht, welche Daten welcher Betroffenen (insbesondere solche des Mitbeteiligten) an welche konkreten Empfänger übermittelt worden seien. Die Beschwerdeführerin verfüge weder über Protokoll- oder Dokumentationsdaten, die die Identitäten allfälliger Empfänger der Daten des Mitbeteiligten beinhielten, noch könne die Beschwerdeführerin allfällige Empfänger des Datensatzes des Mitbeteiligten aus ihren Unterlagen rekonstruieren. Es sei der Beschwerdeführerin daher iSd Rechtsprechung des EuGH nicht möglich, die Identitäten der konkreten Empfänger mitzuteilen. Die Beschwerdeführerin habe sich aber keineswegs auf den Standpunkt zurückgezogen, über keine Informationen zu den konkreten Empfängern zu verfügen, sondern mit einem hohen Rechercheaufwand versucht, die konkreten Empfänger zu rekonstruieren. Wie dem Bundesverwaltungsgericht bekannt sei, hätten in vielen Fällen auch tatsächlich konkrete Empfänger rekonstruiert werden können. Im Fall des Mitbeteiligten hätten die Nachforschungen der Beschwerdeführerin jedoch zum Ergebnis geführt, dass kein konkreter Empfänger der Daten des Mitbeteiligten festgestellt werden könne. Es könne nicht mehr festgestellt werden, ob Daten des Mitbeteiligten weitergegeben worden seien.
15. Der Mitbeteiligte erstattete am 05.09.2023 ebenfalls eine weitere Stellungnahme, in welcher er im Wesentlichen seine bisherigen Ausführungen wiederholte, wonach ein Betroffener bei Nichtbekanntgabe der einzelnen Empfänger keine Möglichkeit habe zu überprüfen, ob diese Daten korrekt seien und nicht die ihm nach Art. 16 und 17 DSGVO zustehenden Rechte wahrnehmen könne.
16. Die Beschwerdeführerin brachte am 08.11.2023 eine weitere Eingabe ein, in welcher sie ihr Vorbringen wiederholte, es hätten keine Empfänger der Daten des Mitbeteiligten rekonstruiert werden können. Die Datenempfänger seien weder im Datensatz des Mitbeteiligten gespeichert, noch seien sie seinem Namen in einer Datenbank zugeordnet worden. Durch eine einfache Datenbankabfrage sei es der Beschwerdeführerin daher nicht möglich gewesen, konkrete Empfänger festzustellen. Auch bei der versuchten Rekonstruktion durch die Verknüpfung mehrerer pseudonymisierter Datensätze in unterschiedlichen Formaten aus verschiedenen Datenbanken hätten zum Mitbeteiligten keine Weitergaben gefunden werden können. Es könne daher in Bezug auf den Mitbeteiligten nicht mit Sicherheit ausgeschlossen werden, dass es zu Datenweitergaben gekommen sei, wobei es jedoch nicht unwahrscheinlich sei, dass es tatsächlich zu gar keinen Datenweitergaben gekommen sei.
Der Eingabe beigefügt wurde ein Screenshot von der von der Beschwerdeführerin neu aufgesetzten „Empfängerdatenbank“, aus welchem ersichtlich sei, dass hinsichtlich des Mitbeteiligten keine Datenweitergabe rekonstruiert habe werden können.
17. Am 08.11.2023 fand zudem eine mündliche Verhandlung vor dem Bundesverwaltungsgericht im Beisein der Beschwerdeführerin sowie ihrer rechtlichen Vertretung, des Mitbeteiligten sowie eines Vertreters der belangten Behörde statt.
In der mündlichen Verhandlung wurde die Leiterin der Rechtsabteilung der Beschwerdeführerin als Zeugin einvernommen.
Sie gab unter anderem an, dass die Beschwerdeführerin lange Zeit davon ausgegangen sei, dass die konkreten Empfänger nicht beauskunftet und gespeichert werden müssten. Dies auch vor dem Hintergrund, dass es von der belangten Behörde genehmigte Verhaltensregeln gegeben habe, denen auch ein Musterschreiben angeschlossen gewesen sei, wie eine Auskunft an die betroffenen Personen auszusehen habe, wobei als Empfängerkategorie „Werbekunden“ angeführt gewesen sei. Die Information, an wen der genaue Datensatz geschickt worden sei, habe für die Beschwerdeführerin keinen Mehrwert gehabt und daher seien diese Datensätze grundsätzlich nicht gespeichert worden. Es habe bei bestimmten Kunden Ausnahmen gegeben, die ausdrücklich gewünscht hätten, dass bei den Empfängern gespeichert werde, die Daten welcher Personen sie erhalten hätten. Vereinzelt sei auch bei bestimmten Produkten der Empfänger mitgespeichert worden, aber nicht umfassend. Die Speicherungen, die erfolgt seien, seien nicht auf Personenebene, sondern pseudonymisiert erfolgt. Es sei etwa eine Haushalts-ID gespeichert worden. Anfang Jänner sei die Entscheidung des EuGH, dass die Empfänger beauskunftet werden müssen, ergangen. Ab dem Zeitpunkt habe die Beschwerdeführerin versucht, den vergangenen Auskunftsersuchen soweit wie möglich mit einer Rekonstruktion nachzukommen. Die Rekonstruktion habe eigentlich schon 2019/2020 begonnen, die Beschwerdeführerin sei mit sehr vielen Auskunftsersuchen konfrontiert gewesen und habe dem auch Genüge tun wollen. Es seien verschiedene Datenbanken verwendet und versucht worden, diese über die Haushalts-ID zusammenzuführen. Seit 01.01.2022 werde im Bereich des Adressverlages „getrackt“, an wen welche personenbezogenen Daten einer betroffenen Person weitergeben worden seien.
II. Das Bundeverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.
Damit steht insbesondere fest:
Die Beschwerdeführerin ist eine Logistik- und Zustelldienstleisterin. Sie verfügt über die gewerbliche Befugnis eines Adressverlags- und Direktmarketingunternehmens.
Der Mitbeteiligte stellte am 12.01.2019 einen Antrag gemäß Art. 15 DSGVO an die Beschwerdeführerin und ersuchte um Auskunft betreffend die ihn verarbeiteten personenbezogenen Daten.
Die Beschwerdeführerin erteilte dem Mitbeteiligten daraufhin eine Auskunft, in welcher unter anderem mitgeteilt wurde, dass die Beschwerdeführerin die Daten, soweit dies rechtlich zulässig sei, im Rahmen ihrer Tätigkeit als Adressverlag verwende und diese Geschäftskunden zu Marketingzwecken anbiete. Weiters war in der Auskunft zum Datensatz des Mitbeteiligten „Datenweitergabe gem § 151 Gewerbeordnung zulässig“ vermerkt. Konkrete Empfänger der personenbezogenen Daten des Mitbeteiligten wurden nicht beauskunftet.
Der Mitbeteiligte erhob in der Folge am 30.05.2019 eine Datenschutzbeschwerde an die belangte Behörde, in welcher er eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO durch die Beschwerdeführerin geltend machte und unter anderem vorbrachte, dass ihm von der Beschwerdeführerin keine Auskunft über die Empfänger von Zielgruppendaten erteilt worden sei.
Mit dem angefochtenen Bescheid wurde der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt habe, indem sie am 03.04.2019 eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.). Der Beschwerdeführerin wurde aufgetragen, dem Mitbeteiligten innerhalb einer Frist von vier Wochen bei sonstiger Exekution, a) die konkreten Empfänger der personenbezogenen Daten des Mitbeteiligten zu bezeichnen, b) eine allgemein verständliche Auskunft über die Begriffe der möglichen Werbezielgruppen „Werbung Bio“, „Selbstständigkeit“, „Werbung Investment“, „Zielgruppe Charakteristik“, „Lebensphase“ „Werbung Spenden“ sowie „Werbung Umzug“ zu erteilen, insbesondere über die Bedeutung der verwendeten Schlüsselbegriffe, sowie Informationen über die maßgeblichen Parameter für die Bewertung und die Zuordnung zum Mitbeteiligten zur Verfügung zu stellen, sowie c) eine allgemein verständliche Auskunft über den Begriff der „Möglichen Zielgruppe Akademiker“ zu erteilen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).
Gegen die Spruchpunkte 1. und 2. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht.
Mit Teilerkenntnis des Bundesverwaltungsgerichtes vom 17.05.2022, Zl. W214 2233132-1/13E, wurden die Spruchpunkte 2. b und c des angefochtenen Bescheides ersatzlos behoben sowie mit Beschluss das Verfahren gemäß § 17 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) iVm § 38 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG) hinsichtlich der Spruchpunkte 1. und 2. a des angefochtenen Bescheides bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) über die mit Beschluss des Obersten Gerichtshofes (OGH) vom 18.02.2021, Zl. 6 Ob 159/20f (beim EuGH anhängig unter C-154/21), vorgelegte Frage ausgesetzt.
Der EuGH entschied mit Urteil vom 12.01.2023, Zl. C-154/21, über die vom OGH vorgelegte Frage.
Mit der Zielsetzung, der Rechtsprechung des EuGH Rechnung tragen zu können, setzte die Beschwerdeführerin eine „Empfängerdatenbank“ auf, in welcher die Identität der Auskunftswerber aus Auskunftsbegehren vor Ende 2021 mit den Empfängern ihrer personenbezogenen Daten verknüpft wurde. Die Beschwerdeführerin verknüpfte hierbei mehrere pseudonymisierter Datensätze in unterschiedlichen Formaten aus verschiedenen Datenbanken und versuchte, durch ihre Verträge mit Werbekunden und die darin erfassten Produkte und Zielgebiete Erkenntnisse zu gewinnen, von welchen Personen Daten tatsächlich an Kunden/Empfänger weitergegeben wurden.
In einigen Fällen gelang es der Beschwerdeführerin auf diese Weise eine Rekonstruktion der Empfänger vorzunehmen, im Fall des Mitbeteiligten lieferte die Abfrage in der „Empfängerdatenbank“ jedoch keine Ergebnisse. Es kann jedoch nicht mit Sicherheit ausgeschlossen werden, dass die personenbezogenen Daten des Mitbeteiligten trotz negativer Abfrage in der „Empfängerdatenbank“ an Dritte übermittelt wurden.
Seit Jänner 2022 „trackt“ die Beschwerdeführerin, welche personenbezogenen Daten an welche Empfänger übermittelt werden.
Vor Einrichtung der „Empfängerdatenbank“ wurden bei der Beschwerdeführerin nur dann die Daten der Empfänger zu den betroffenen Personen gespeichert, wenn die Kunden/Empfänger dies ausdrücklich verlangten oder im Rahmen des Produkts „Adresscheck“, bei welchem die Beschwerdeführerin die Richtigkeit und Aktualität des Adresssatzes gegenüber den Kunden/Empfängern bestätigte. Die Kunden der Beschwerdeführerin/Empfänger der personenbezogenen Daten erhielten monatlich Listen von der Beschwerdeführerin mit aktualisierten Datensätzen. Die Kunden/Empfänger waren verpflichtet, ihre Datensätze mit der neue Liste zu aktualisieren, sodass sichergestellt war, dass allfällige Widersprüche der Betroffenen berücksichtigt wurden. Beim Adress-Check wurden die Kunden/Empfänger gesondert über Löschungen oder Berichtigungen informiert.
2. Beweiswürdigung
Die Feststellungen ergeben sich aus dem vorgelegten Verwaltungsakt sowie dem gegenständlichen Gerichtsakt, insbesondere aus der Niederschrift über die mündliche Verhandlung. Die Beschwerdeführerin hat glaubhaft vorgebracht, dass es im Falle des Mitbeteiligten nicht möglich war, konkrete Empfänger seiner personenbezogenen Daten zu identifizieren oder mit Sicherheit auszuschließen, dass seine personenbezogenen Daten an Empfänger/Kunden der Beschwerdeführerin übermittelt wurden.
3. Rechtliche Beurteilung
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie anderer näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.2. Zu den Prozessvoraussetzungen:
Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.
3.3. In der Sache
3.3.1. Rechtslage:
Art. 12 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates
vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener
Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) – DSGVO lautet:
„Art. 12 DSGVO
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. 2Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. 2In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
b) sich weigern, aufgrund des Antrags tätig zu werden.
Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. 2Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.
(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.“
Art. 15 DSGVO lautet:
„Art. 15 DSGVO
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. 2Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. 3Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“
Art. 77 DSGVO lautet:
„Art. 77 DSGVO
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“
§ 4 Abs. 6 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I Nr. 165/1999 idgF lautet wie folgt: „(6) Das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DSGVO besteht gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht, wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde.“
§ 24 DSG lautet wie folgt:
„3. Abschnitt
Rechtsbehelfe, Haftung und Sanktionen
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.
(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.
(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.
(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.
(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:
1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.“
§ 26b Abs. 1 des Bundesgesetzes gegen den unlauteren Wettbewerb 1984 – UWG, BGBl. Nr. 448/1984 (WV) idgF lautet wie folgt:
„§ 26b Abs. 1 (1) Geschäftsgeheimnis ist eine Information, die
1. geheim ist, weil sie weder in ihrer Gesamtheit noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen zu tun haben, allgemein bekannt noch ohne weiteres zugänglich ist,
2. von kommerziellem Wert ist, weil sie geheim ist, und
3. Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen durch die Person ist, welche die rechtmäßige Verfügungsgewalt über diese Informationen ausübt.“
3.3.2. Umgelegt auf den vorliegenden Fall ergibt sich daraus Folgendes:
3.3.2.1. Zunächst ist festzuhalten, dass das Bundesverwaltungsgericht bereits mit Teilerkenntnis vom 17.05.2022, Zl. W214 2233132-1/13E, die Spruchpunkte 2. b und c des angefochtenen Bescheides ersatzlos behoben hat.
Verfahrensgegenständlich sind sohin nur mehr die Spruchpunkte 1. und 2.a. des angefochtenen Bescheides, mit welchen der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt wurde, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt hat, indem sie am 03.04.2019 eine unvollständige Auskunft erteilt hat (Spruchpunkt 1.) sowie der Beschwerdeführerin aufgetragen wurde, dem Mitbeteiligten innerhalb einer Frist von vier Wochen bei sonstiger Exekution, die konkreten Empfänger der personenbezogenen Daten des Mitbeteiligten zu bezeichnen (Spruchpunkt 2.a.).
3.3.2.2. Soweit die Beschwerdeführerin vorbringt, es liege eine Verletzung des Parteiengehörs vor, da die belangte Behörde der Beschwerdeführerin bestimmte, im Bescheid getroffene Sachverhaltsannahmen und rechtliche Beurteilungen vorzuhalten gehabt hätte, ist darauf zu verweisen, dass die Ergebnisse des Ermittlungsverfahrens im bekämpften Bescheid vollständig wiedergegeben sind, womit eine allenfalls erfolgte Verletzung des Parteiengehörs durch die mit einer Beschwerde verbundenen Möglichkeit einer Stellungnahme jedenfalls saniert ist (vgl dazu etwa VwGH 08.08.2017, Ra 2017/19/0082, mwN).
3.3.2.3. Zu Spruchpunkt 2.a. des angefochtenen Bescheides:
Mit Spruchpunkt 2.a. des angefochtenen Bescheides wurde der Beschwerdeführerin von der belangten Behörde aufgetragen, dem Mitbeteiligten innerhalb einer Frist von vier Wochen bei sonstiger Exekution, die konkreten Empfänger der personenbezogenen Daten des Mitbeteiligten zu bezeichnen.
Die für das Bundesverwaltungsgericht maßgebliche Sach- und Rechtslage bestimmt sich – mangels anderer gesetzlicher Regelung – nach dem Zeitpunkt der verwaltungsgerichtlichen Entscheidung (vgl. bspw. VwGH 24.03.2015 Ro 2014/09/0066), allenfalls bestimmt sich die Sachlage nach dem Zeitpunkt des Schlusses des Ermittlungsverfahrens (§ 17 VwGVG iVm § 39 Abs 3 AVG; vgl Kolonovits/Muzak/Stöger Verwaltungsverfahrensrecht11 Rz 835/1).
Wie festgestellt war es der Beschwerdeführerin – trotz eingehender Analysierung der Datenbanken – nicht möglich, konkrete Empfänger der personenbezogenen Daten des Mitbeteiligten zu rekonstruieren oder mit Sicherheit auszuschließen, dass die personenbezogenen Daten des Mitbeteiligten an keine Empfänger weitergegeben wurden. Somit war keine Auskunftserteilung (auch nicht in Form einer „Negativauskunft“) möglich.
Der Beschwerdeführerin ist es sohin faktisch nicht möglich, dem Leistungsauftrag nachzukommen, da (mögliche) Empfänger der personenbezogenen Daten des Mitbeteiligten nicht identifiziert werden konnten (können), weshalb Spruchpunkt 2.a. des angefochtenen Bescheides ersatzlos zu beheben war (vgl. dazu auch Hengstschläger/Leeb, AVG § 68 [Stand 1.3.2018, rdb.at] mit Verweis auf die Rechtsprechung des VwGH zu § 68 Abs. 4 Z 3 AVG [VwSlg 1723 A/1950; 2198 A/1951; VwGH 20. 2. 1990, 89/01/0259; VwSlg 2198 A/1951], wonach Bescheide von der sachlich in Betracht kommenden Oberbehörde als nichtig erklärt werden können, durch die jemandem eine Verpflichtung zu einer Handlung oder Unterlassung, also zu einem Verhalten auferlegt worden ist, das an objektiv gegebenen Hindernissen, die der Erfüllung entgegenstehen, scheitert und § 68 Abs 4 Z 3 AVG insbesondere auf Bescheide anwendbar ist, die zu einer Leistung verpflichten, deren Erbringung dem Bescheidadressaten faktisch unmöglich ist und die daher auch nicht im Wege der Vollstreckung zwangsweise durchgesetzt werden kann, wobei nicht gefordert ist, dass die tatsächliche Undurchführbarkeit bereits bei Erlassung des Bescheides gegeben war.)
3.3.2.4. Zu Spruchpunkt 1. des angefochtenen Bescheides:
Mit Spruchpunkt 1. des angefochtenen Bescheides wurde der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt habe, indem sie am 03.04.2019 eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.).
Die Beschwerdeführerin bringt dazu vor, dass nach der Rechtsprechung des VwGH die Erlassung eines Feststellungsbescheides infolge des Grundsatzes der Subsidiarität von Feststellungsbegehren und Feststellungsbescheiden überhaupt unzulässig sei, wenn die strittige Rechtsfrage im Rahmen eines anderen gesetzlich vorgesehenen Verwaltungsverfahrens oder eines gerichtlichen Verfahrens entschieden werden könne. Im konkreten Fall habe die belangte Behörde durch die Leistungsaufträge in Spruchpunkt 2. dieselben Rechtsfragen wie in Spruchpunkt 1. entschieden, weshalb dieser schon deshalb als rechtswidrig zu beheben sei.
Die Beschwerdeführerin ist mit ihren Ausführungen jedoch nicht im Recht:
Es ist zwar zutreffend, dass nach der Rechtsprechung des VwGH zum Datenschutzgesetz 2000 (DSG 2000) BGBl I Nr. 165/1999, in der Fassung BGBl I Nr. 13/2005, wobei die tragenden Erwägungen des Verwaltungsgerichtshofs auf die neue Rechtslage weiter angewendet werden können, ein Recht auf Feststellung im Zusammenhang mit einem anderen datenschutzrechtlichen Leistungsrecht, dem Löschungsrecht, verneint wurde (vgl. VwGH 27.09.2007 2006/06/0330 mit Verweis auf die Grundsatzentscheidung VwGH 28.03.2006 2004/06/0125), jedoch ist der vorliegende Fall anders gelagert:
Gegenständlich wurde der von der belangten Behörde in Spruchpunkt 2.a. erteilte Leistungsauftrag vom Bundesverwaltungsgericht wegen tatsächlicher Unmöglichkeit der Auskunft behoben.
Dennoch liegt eine Rechtsverletzung durch die Beschwerdeführerin vor:
Es ist der Beschwerdeführerin nämlich nur deshalb nicht möglich, dem Leistungsauftrag zu entsprechen, da sie – wie festgestellt – vor Erlassung des Urteils des EuGH vom 12.01.2023, Zl. C-154/21, nur vereinzelt gespeichert hatte, ob bzw. an welche Empfänger personenbezogene Daten von Betroffenen übermittelt wurden und im Fall des Mitbeteiligten keine solche Speicherung stattfand und auch eine zuverlässige Rekonstruktion der Empfänger im Fall des Mitbeteiligten nicht möglich war.
Der Verantwortliche ist aber grundsätzlich verpflichtet, die Informationen darüber, welche Daten er an welche Empfänger offengelegt hat, zu speichern, um die gebotene Auskunft erteilen zu können. Ansonsten würden die Datenschutzrechte der betroffenen Person gegenüber dem Verantwortlichen und den Empfängern, die an die Offenlegung anknüpfen, weitgehend leerlaufen. Erwägungsgrund 64 steht dieser Pflicht nicht entgegen, da es hierbei allein um solche Daten geht, die eine Identifikation der betroffenen Person ermöglichen, womit aber nichts über die Speicherung von Metainformationen zu personenbezogenen Daten gesagt ist (Bäcker in Kühling/Buchner DS-GVO – BDSG, Art. 15 Rz 18; vgl. auch Mester in Taeger/Gabel DSGVO – BDSG – TTDSG, Art. 15 Rz 7 sowie Dix in Simitis | Hornung | Spiecker Datenschutzrecht DSGVO mit BDSG, Art. 15 Rz 20 mit Verweis auf EuGH C-553/07 Rijkeboer).
Die Beschwerdeführerin hat auch nicht vorgebracht, dass eine solche Speicherungspflicht sie übermäßig belasten würden und ist dies auch insbesondere vor dem Hintergrund, dass die Beschwerdeführerin seit 01.01.2022 „trackt“, welche personenbezogenen Daten an welche Empfänger übermittelt werden, nicht ersichtlich geworden. Die Daten müssen zudem zumindest so lange vorgehalten werden, wie die betroffene Person noch die Möglichkeit hat, Rechte gegenüber Empfängern geltend zu machen (Mester in Taeger/Gabel DSGVO – BDSG – TTDSG, Art. 15 Rz 8).
Dem steht auch nicht entgegen, dass der EuGH im Urteil vom 12.01.2023, Zl. C-154/21, ausgesprochen hat, dass Art. 15 Abs. 1 lit. c DSGVO dahin auszulegen ist, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren.
Nach dem EuGH ist diese Unmöglichkeit insbesondere dann der Fall, wenn diese noch nicht bekannt sind (Rz 48 des zitierten Urteils). Schon allein das letztgenannte Beispiel zeigt, dass die Unmöglichkeit nur in Ausnahmefällen geltend gemacht werden kann. Eine „Unmöglichkeit“ kann aber nicht eingewendet werden, wenn sich der Verantwortliche grundsätzlich nicht so organisiert hat, dass er nach Art. 15 Abs. 1 DSGVO auch die Empfänger beauskunften kann. Andernfalls könnte jeder Verantwortliche entscheiden, die Empfänger grundsätzlich nicht zu verarbeiten und damit das Auskunftsrecht bezüglich der Empfänger ad absurdum führen.
Der EuGH hält nämlich im selben Urteil fest, dass – um die praktische Wirksamkeit der Rechte der Art. 16, 17 und 18 DSGVO zu gewährleisten – die betroffene Person insbesondere über das Recht verfügen muss, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden (vgl. Rz 38 und 39 des zitierten Urteils).
Im vorliegenden Fall ist es dem Mitbeteiligten jedoch nicht möglich, seine Rechte gemäß den Art. 16, 17 und 18 DSGVO geltend zu machen, da er über keine Informationen betreffend die (möglichen) Empfänger seiner personenbezogenen Daten verfügt und es der Beschwerdeführerin auch nicht möglich ist, diese Informationen zu erteilen, da sie – entgegen der sich für sie aus der DSGVO ergebenden Pflichten – im Fall des Mitbeteiligten keine Informationen zu potentiellen Empfängern der personenbezogenen Daten des Mitbeteiligten gespeichert hat.
Der Vollständigkeit halber ist auf die Bestimmung des Art. 19 DSGVO hinzuweisen, welcher eine grundsätzliche Verpflichtung des Verantwortlichen normiert, allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach Artikel 16, Artikel 17 Absatz 1 und Artikel 18 mitzuteilen. Auch in diesem Zusammenhang sind die Ausnahmen restriktiv zu interpretieren.
Aus dem oben Gesagten ergibt sich, dass im vorliegenden Fall – anders als in den Fällen, auf die sich die oben zitierte Rechtsansicht des VwGH bezieht – eine in der Vergangenheit stattgefundene Rechtsverletzung nicht beseitigt wurde bzw. beseitigt werden konnte, sondern noch fortwirkt.
Der vorliegende Fall ist daher vielmehr mit den Fällen vergleichbar, in welchen der VwGH ausgeführt hat, dass § 24 DSG der in ihrem persönlichen Grundrecht verletzten Person die Möglichkeit einräumt, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen, da die Löschung der in Frage stehenden Daten nicht dazu führte, dass der „Anspruch“ erfüllt bzw. das Ziel der Beschwerde erreicht wurde (vgl. VwGH 14.12.2021, Ro 2020/04/0032).
Das Bundesverwaltungsgericht verkennt nicht, dass zur Rechtslage in der Zeit vor dem EuGH-Urteil unterschiedliche Auffassungen bestanden und die Beschwerdeführerin sich nach dem Vorliegen des einschlägigen Urteils des EuGH umgehend so organisiert hat, dass nunmehr die Empfänger der personenbezogenen Daten so verarbeitet werden, dass sie auch entsprechend beauskunftet werden können. Wenn die Beschwerdeführerin vorbringt, dass – aufgrund der Rechtsprechung der belangten Behörde und (ordentlichen) Gerichten lange Zeit davon ausgegangen worden sei, dass die konkreten Empfänger nicht beauskunftet und gespeichert werden müssten, ist aber darauf hinzuweisen, dass die DSGVO im Administrativverfahren nicht auf ein Verschulden des Verantwortlichen abgestellt wird. Es kommt daher (lediglich) darauf an, dass ein Verstoß objektiv vorliegt, was aus den oben angeführten Gründen zu bejahen war. Die Beschwerdeführerin hätte ihre Datenverarbeitungen daher bereits ab Geltungsbeginn der DSGVO so organisieren müssen, dass die Betroffenenrechte gewährleistet werden können.
Nach der Rechtsprechung des OGH trifft auch der ursprünglich vorgebrachte Einwand der Beschwerdeführerin nicht zu, dass dem Auskunftsbegehren überwiegende Geheimhaltungsinteressen der Beschwerdeführerin entgegenstehen, weil eine vollständige Offenlegung aller konkreten Empfänger gleichzeitig den Kundenstamm der Beschwerdeführerin im Rahmen der Ausübung des Gewerbes als Adresshandel- und Direktmarketingunternehmen offenbaren würde, da ansonsten Art. 15 Abs. 1 lit c DSGVO niemals zur Preisgabe individueller Empfänger führen würde, weil diesfalls immer "Geschäftsgeheimnisse“ preisgegeben würden. Die Auslegung eines Gesetzes, die dazu führt, dass das Gesetz keinen Anwendungsbereich hat, verbietet sich (OGH 24.03.2023, 6 Ob 19/23x mit Verweis auf RS0010053). Im Übrigen wurde das Vorliegen eines Geschäftsgeheimnisses für den konkreten Fall von der Beschwerdeführerin in der mündlichen Verhandlung auch verneint.
Die Beschwerde gegen Spruchpunkt 1. des angefochtenen Bescheides war daher mit der Maßgabe als unbegründet abzuweisen, dass der Datenschutzbeschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt wird, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft gemäß Art. 15 Abs. 1 lit. c DSGVO verletzt bzw. verletzt hat, indem sie ihm keine Auskunft bzw. Negativauskunft über die Empfänger seiner personenbezogenen Daten erteilt hat und erteilt.
Zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist im vorliegenden Fall zulässig, da es an Rechtsprechung des Verwaltungsgerichtshofes zur Frage fehlt, ob bei einem Leistungsrecht nach der DSGVO ausnahmsweise eine Feststellung der Rechtsverletzung in Frage kommt, wenn ein Leistungsauftrag wegen Unmöglichkeit der Erbringung nicht erteilt werden kann, die Rechtsverletzung aber dennoch fortwirkt. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist.
Rückverweise
