W252 2247518-1 – BVwG Entscheidung

W252 2247518-1/11E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Elisabeth SCHMUT LL.M. als Vorsitzende und die fachkundigen Laienrichterinnen Dr.in Claudia ROSENMAYR-KLEMENZ und Mag.a Adriana MANDL als Beisitzerinnen über die Beschwerde von XXXX , (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX (nunmehr XXXX ), XXXX ), gegen den Bescheid der Datenschutzbehörde vom 16.09.2021, GZ XXXX , in nichtöffentlicher Sitzung in einer datenschutzrechtlichen Angelegenheit zu Recht erkannt:

A) Der Beschwerde wird teilweise stattgegeben und der angefochtene Bescheid wie folgt abgeändert:

„1. Der Beschwerde vom 20.05.2020 wird hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung stattgegeben und festgestellt, dass XXXX (bis 17.07.2022) bzw XXXX (ab 18.07.2022) als Stammzahlenregisterbehörde den Beschwerdeführer bis zum 27.07.2023 im Recht auf Geheimhaltung gemäß § 1 DSG verletzt hat, indem sie personenbezogene Daten des Beschwerdeführers im Ergänzungsregister für sonstige Betroffene (ERsB) verarbeitet haben.

2. Der Beschwerde vom 20.05.2020 wird hinsichtlich der behaupteten Verletzung im Recht auf Information stattgegeben und festgestellt, dass XXXX (bis 17.07.2022) bzw XXXX (ab 18.07.2022) als Stammzahlenregisterbehörde ihre Informationspflicht gemäß Art 14 DSGVO verletzt hat.

3. Die Beschwerde vom 24.09.2020 wegen der behaupteten Verletzung im Recht auf Einschränkung der Verarbeitung wird als unbegründet abgewiesen.“

B) Die Revision ist nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Eingabe vom 20.05.2020 erhob der Beschwerdeführer (in Folge „BF“) eine Datenschutzbeschwerde an die belangte Behörde und brachte zusammengefasst vor, die mitbeteiligte Partei (in Folge „MP“) habe ihn durch die Verarbeitung seiner Daten im Ergänzungsregister für sonstige Betroffene (in Folge auch „ERsB“) in seinem Recht auf Geheimhaltung verletzt. Er habe zu keinem Zeitpunkt einen Antrag auf Eintragung in das ERsB gestellt und sei immer im Zentralen Melderegister (ZMR) gemeldet gewesen. Es gebe daher keine Rechtsgrundlage für die Eintragung und Datenverarbeitung. Darüber hinaus sei er zu keinem Zeitpunkt über die Eintragung gemäß Art 14 DSGVO informiert worden, was eine Verletzung in seinem Recht auf Information bedeute. Der BF regte aus diesen Gründen eine Untersagung der Weiterführung der Datenverarbeitung gemäß § 22 Abs 4 DSG an.

2. Mit Bescheid vom 16.09.2021 wies die belangte Behörde die Beschwerde als unbegründet ab. Begründend führte sie aus, dass dem BF zwei „Identitäten“ iSd E-GovG zukommen, eine als natürliche (Privat-)Person und eine als Einzelunternehmer. Die Eintragung in das ERsB sei daher trotz seiner Eintragung im Melderegister zulässig und daher auch nicht zu untersagen. Die vom BF geltend gemachte Verletzung im Recht auf Information liege nicht vor, da er bereits über die geforderten Informationen verfüge.

3. Gegen diesen Bescheid richtet sich die gegenständliche Beschwerde des BF vom 18.10.2021. In dieser gibt der BF zusammengefasst an, dass die von der belangten Behörde ausgeführte „doppelte“ Identität als Privatperson und Unternehmen dem E-GovG nicht zu entnehmen sei. Er sei außerdem seit mehr als zwölf Jahren nicht mehr als Einzelunternehmer tätig, weshalb die Eintragung auch gegen die Grundsätze der Zweckbindung und Datenminimierung verstoße. Die MP habe ihre Informationspflicht verletzt, da sie diese nicht rechtzeitig erteilt habe. Eine nachträgliche Sanierung einer derartigen Verletzung sei nicht möglich. Die belangte Behörde habe ihm hinsichtlich seines Rechts auf Einschränkung der Verarbeitung kein Parteiengehör gewährt. Aufgrund der Rechtswidrigkeit der Verarbeitung stehe ihm dieses Recht – entgegen der Ansicht der belangten Behörde – zu.

4. Die belangte Behörde legte den Verwaltungsakt mit Schriftsatz vom 20.10.2021, hg eingelangt am 20.10.2021, vor und beantragte die Beschwerde – unter Verweis auf die Begründung des Bescheids – abzuweisen.

Beweis wurde erhoben durch Einsichtnahme in den Verwaltungs- und Gerichtsakt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Zum Ergänzungsregister für sonstige Betroffene:

Das ERsB wurde bis zum 10.07.2020 als öffentliches Register, öffentlich abrufbar unter www.ersb.gv.at, geführt. Dieser Zugangspfad bzw der Zugang wurde am 07.05.2020 gesperrt bzw deaktiviert. Ab diesem Zeitpunkt hatten neben den Betroffenen selbst nur Einrichtungen des Bundes, der Länder, Gemeinden, Sozialversicherungsträger und der gesetzlichen Interessenvertretungen Zugriff. Seit dem 28.07.2023 ist das ERsB wieder öffentlich abrufbar.

1.2. Der BF war bis zum 27.07.2023 mit seinem Namen, Geburtsdatum und seiner Adresse im ERsB unter der Ordnungsnummer XXXX eingetragen.

1.3. Der BF ist im Zentralen Melderegister unter der ZMR-Zahl XXXX eingetragen.

1.4. Zu den Rechtfertigungsgründen:

Der BF hat keinen Antrag auf Eintragung in das ERsB gestellt. Der BF hat am 19.05.2020 von seiner Eintragung im ERsB erfahren.

Die Eintragung im ERsB war nach Ansicht der MP erforderlich, um in einem elektronischen Verfahren unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiert oder unternehmerisch tätig ist. Sie stützte die Datenverarbeitung auf den Erlaubnistatbestand der Wahrnehmung von Aufgaben im öffentlichen Interesse gemäß Art 6 Abs 1 lit e DSGVO iVm § 6 Abs 4 E-GovG.

1.5. Der BF verfügt zumindest seit Erhebung der Datenschutzbeschwerde über die Informationen des Art 14 DSGVO und kennt somit Namen und Kontaktdaten des Verantwortlichen sowie Zweck, Kategorie, Empfänger der Daten bzw Datenverarbeitung und ist sich seiner Rechte (iSd Art 14 Abs 2 DSGVO) bewusst.

2. Beweiswürdigung:

2.1. Die Feststellungen über die Führung des ERsB, sowie die Offlinenahme sowie die weiteren Zugriffsberechtigungen ergeben sich zweifelsfrei aus den diesbezüglichen gesetzlichen Bestimmungen (§ 14 ERegV 2009; sowie die Novelle BGBl. II Nr. 331/2009) sowie einer diesbezüglichen Anfragebeantwortung der damaligen XXXX (Anfragebeantwortung 2016/AB 27. GP vom 15.07.2020, GZ 2020-0.307.719).

2.2. Die Feststellungen hinsichtlich der Eintragung im ERsB ergeben sich eindeutig aus dem, mit einer Amtssignatur versehenen, Auszug aus dem ERsB zum BF vom 05.05.2020, der dem Verwaltungsakt beiliegt (OZ 1, S 104 f). Dass der BF nicht mehr im ERsB eingetragen ist, ergibt sich einerseits aus einer Nachschau im ERsB (OZ 3), andererseits aus den Materialien zu Novelle des E-GovG, wonach natürliche Personen, die unternehmerisch tätig sind, nicht mehr in das ERsB einzutragen sind (ErlRV 1443 BlGMr XXVII. GP, S 2).

2.3. Die Feststellung, dass der BF im ZMR eingetragen ist, beruht auf dem unbedenklichen Auszug aus dem Zentralen Melderegister vom 11.06.2012, den der BF in seiner Datenschutzbeschwerde vorlegte (OZ 1, S 18) sowie seiner überzeugenden Angabe, dass er zumindest seit 2005 zu jedem Zeitpunkt im ZMR gemeldet war (OZ 1, S 25).

2.4. Zu den Rechtfertigungsgründen:

Die Feststellung, dass der BF keinen Antrag auf Eintragung ins ERsB gestellt hat, ergibt sich aus seinem diesbezüglich glaubhaften Vorbringen (OZ 1, S 25). Die MP behauptete nichts gegenteiliges, weshalb die entsprechende Feststellung getroffen werden konnte.

Dass der BF am 19.05.2020 von seiner Eintragung erfahren hat ergibt sich klar aus dem Vorbringen in seiner Datenschutzbeschwerde. Zum einen hat er wohl durch Medienberichte eine Verarbeitung vermutet, was aus der Vorlage eines dieser Berichte zu schließen ist (vgl die Datenschutzbeschwerde, Beilage./7; OZ 1, 19, 25). Zum anderen gab der BF nachvollziehbar an, dass er erst durch die ihm erteilte Auskunft (zugestellt am 19.05.2020) von der tatsächlichen Verarbeitung seiner Daten im ERsB erfahren hat (vgl OZ 1, S 27).

Die Feststellungen zum Vorbringen der MP hinsichtlich der Rechtfertigungsgründe stützen sich auf ihr diesbezügliches Vorbringen vom 10.08.2020 (OZ 1, S 59 ff).

2.5. Die Feststellung, dass der BF bereits über die Informationen des Art 14 DSGVO verfügt, ergibt sich daraus, dass er bereits in seiner Datenschutzbeschwerde festhielt, dass es sich bei der MP um die Stammzahlenregisterbehörde handle und auch zu welchem Zweck sowie auf welche Weise die erhobenen Daten grundsätzlich verarbeitet werden (vgl OZ 1, S 24 ff). Darüber hinaus bestritt der BF in seiner Bescheidbeschwerde diesbezüglich nur die rechtliche Argumentation der belangten Behörde, nicht aber den Umstand, dass diese davon ausging, dass er bereits über die Informationen verfügt (vgl OZ 1, S 207, 276 ff).

3. Rechtliche Beurteilung:

Zu A)

Die zulässige Beschwerde ist teilweise berechtigt.

3.1. Zur Rechtzeitigkeit der Datenschutzbeschwerde:

Das Vorbringen der MP, dass das Beschwerderecht aufgrund der Eintragung in das ERsB im Jahr 2012 bereits iSd § 24 Abs 4 DSG präkludiert sei (vgl die Stellungnahme der MP vom 10.08.2020, S 3; OZ 1, S 61), ist unzutreffend. Bei einer – wie hier – fortdauernder Verarbeitung von personenbezogenen Daten beginnt die Frist zur Erhebung einer Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung nicht vor Beendigung dieses Dauerzustandes zu laufen (vgl zur inhaltsgleichen Vorgängerbestimmung des § 34 Abs 1 DSG 2000: RIS-Justiz, RS0131534). Da der BF zum Zeitpunkt der Erhebung seiner Datenschutzbeschwerde weiterhin im ERsB eingetragen war, war die Datenschutzbeschwerde jedenfalls zulässig.

3.2. Zur Änderung der Rechtslage während dem Beschwerdeverfahren:

Grundsätzlich hat das Bundesverwaltungsgericht die Sach- und Rechtslage zum Entscheidungszeitpunkt anzuwenden (vgl VwGH 25.06.2019, Ra 2019/10/0012). Allerdings wird eine Verletzung im Recht auf Geheimhaltung bereits dadurch verwirklicht, dass Daten für einen begrenzten Zeitraum (zB bis zu deren Löschung bzw einer Änderung der Rechtslage) unrechtmäßig verarbeitet werden. Durch eine Löschung bzw eine Änderung der Rechtslage kann eine Rechtsverletzung zwar beendet werden, jedoch wirkt dies nicht auf den Zeitraum bis zur Löschung bzw zur Änderung der Rechtslage zurück (vgl in diesem Sinne VwGH 19.10.2022, Ro 2022/04/0001; sowie Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 24 Rz 310). Seitdem die Novelle des E-Goverment-Gesetztes (BGBl. I Nr. 119/2022) bzw insbesondere § 6 Abs 4 E-GovG in Kraft ist (ein Jahr nach Kundmachung, somit ab 28.07.2023), sind die Daten des BF nicht mehr im ERsB gespeichert.

Im vorliegenden Fall ist weiterhin über die Verarbeitung bis zum 27.07.2023 zu entscheiden.

3.3. Vor diesem Hintergrund ergibt sich für die Beschwerdesache Folgendes:

Die datenschutzrechtliche Verantwortlicheneigenschaft der MP ergibt sich aus § 7 Abs 1 E-GovG iVm § 1 ERegV 2009, wonach die Stammzahlenregisterbehörde das Ergänzungsregister zu führen hat (siehe dazu auch § 6b E-GovG, i.d.F. BGBl. Nr. I 119/2022).

Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01 (Österreichischer Rundfunk ua), Rn 65; 16.12.2008, C-524/06 (Huber), Rn 48).

Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art 6 Abs 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 90).

In der Stellungnahme vom 10.08.2020 zieht die MP den Erlaubnistatbestand gemäß Art 6 Abs 1 lit e DSGVO in Betracht (OZ 1, S 60). Fest steht, dass eine Einwilligung des BF zur Verarbeitung nicht vorlag (Art 6 Abs 1 lit a DSGVO). Auch war die Verarbeitung für die Erfüllung eines Vertrages (Art 6 Abs 1 lit b DSGVO) sowie aus lebenswichtigen Interessen des BF (Art 6 Abs 1 lit d DSGVO) nicht erforderlich. Art 6 Abs 1 lit f DSGVO kann von Behörden als Rechtfertigung zur Verarbeitung von personenbezogenen Daten nicht herangezogen werden (Art 6 Abs 1, letzter Satz DSGVO).

Vor diesem Hintergrund kommen nur Art 6 Abs 1 lit c und e DSGVO als Rechtfertigung der Verarbeitung der personenbezogenen Daten des BF in Frage. Dabei ist zu beachten, dass die in Art 6 Abs 1 lit b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen sind, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 93, mwH).

3.3.1. Zur Rechtmäßigkeit der Verarbeitung auf Grundlage von Art 6 Abs 1 lit c DSGVO bis zum 27.07.2023:

Art 6 Abs 1 lit c DSGVO setzt eine Verpflichtung kraft objektiven Rechts voraus. Die rechtliche Verpflichtung muss unmittelbaren Bezug zur Datenverarbeitung aufweisen und gerade die zu erfüllende Rechtspflicht begründen, also eine Verarbeitungspflicht anordnen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO (Stand 7.5.2020, rdb.at), Rn 39 f.; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO (Stand 1.12.2020, rdb.at), Rn 42).

§ 6 Abs 4 E-GovG (idF BGBl. I Nr. 119/2022 bis zum 27.07.2023) sah vor, dass Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, auf ihren Antrag oder in den Fällen des § 10 Abs 2 auf Antrag des Verantwortlichen der Datenverarbeitung im Ergänzungsregister einzutragen sind. Das Ergänzungsregister wurde getrennt nach natürlichen Personen und sonstigen Betroffenen geführt. Dahingehend übereinstimmend führte § 1 ERegV 2009 aus, dass die Stammzahlenregisterbehörde das Ergänzungsregister für Betroffene führt, die weder im Zentralen Melderegister (ZMR) eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen. Betroffene natürliche Personen wurden im Ergänzungsregister für natürliche Personen (ERnP) geführt, alle anderen Betroffenen im Ergänzungsregister für sonstige Betroffene (ERsB).

Aufgrund des eindeutigen Wortlauts ist erkennbar, dass eine Verarbeitung in einem Ergänzungsregister erst dann möglich ist, wenn der Betroffene weder im Melderegister eingetragen ist bzw noch im Firmenbuch oder im Vereinsregister eingetragen werden muss. Im gegenständlichen Fall ist der BF im Zentralen Melderegister eingetragen (siehe Punkt II.1.3). Schon vor diesem Hintergrund scheidet eine Eintragung in ein Ergänzungsregister aus. Dies findet auch seine Deckung in den damaligen Materialen zum E-GovG: „Das Stammzahlenregister der natürlichen Personen ist nur ein virtuelles Register, dessen Einträge nur jeweils im Bedarfsfall kurz zum Zweck der Errechnung erzeugt und sodann sofort wieder gelöscht werden. Für andere Betroffene ist es hingegen auf Dauer eingerichtet, und zwar in Form des Firmenbuches, des Zentralen Vereinsregisters und des Ergänzungsregisters für nicht-natürliche Personen“ (ErlRV 252 BlgNr XXII. GP, 9). Besonders deutlich wird in ErlRV 290 BlgNr XXIII. GP, 4 hervorgehoben, wann eine Eintragung in ein Ergänzungsregister zulässig ist: „Daher soll bei Betroffenen, die natürliche Personen sind, auf das Faktum der Eintragung in das Zentrale Melderegister abgestellt werden. Bei anderen Betroffenen soll weiterhin darauf abgestellt werden, ob diese weder im Firmenbuch noch im Vereinsregister eingetragen sein müssen.“ Aus dem klaren Gesetzeswortlaut und den entsprechenden Ausführungen in den Materialien ergibt sich, dass eine Eintragung eines Betroffenen in das ERsB dann nicht mehr möglich ist, wenn eine Eintragung im Zentralen Melderegister vorliegt.

Dem rollenbasierten Ansatz der MP, der auf dem Betroffenenbegriff des § 2 Z 7 E-GovG basiert, wonach einem Menschen mehrere Identitäten zukommen können, je nachdem, ob jemand in seiner privaten oder wirtschaftlichen Eigenschaft auftritt, kann nicht gefolgt werden. So ergibt sich bereits aus der Präambel/Promulgationsklausel der Ergänzungsregisterverordnungen (BGBl. II. Nr. 331/2009 bzw. auch BGBl II. Nr. 241/2022), dass diese Verordnungen insbesondere aufgrund des § 6 Abs 4 E-GovG erlassen worden sind. § 6 Abs. 4 E-GovG enthält im Vergleich zu § 2 Z 7 E-GovG nur einen, auf weder im Melderegister, Firmenbuch, oder Vereinsregister Eingetragene, Betroffenenbegriff. In diesem Zusammenhang ist zu beachten, dass der äußerst mögliche Wortsinn die Grenze jeglicher Auslegung absteckt (VwGH 29.06.2022, Ra 2020/06/0041). Der rollenbasierte Ansatz der MP geht erst aus den umfassenden Änderungen des E-GovG (siehe dazu BGBl. I Nr. 199/2022, tritt ein Jahr nach dem Tag der Kundmachung [27.07.2022] in Kraft) sowie den dazugehörigen Erläuterungen (ErlRV 1443 BlGMr XXVII. GP, 1 ff) hervor. Die Materialien, können allerdings immer nur zu Auslegung des Gesetztes, dessen Vorarbeiten sie sind, herangezogen werden. Auf Absichten bei der Erlassung eines früheren Gesetzes kann daraus nicht geschlossen werden (vgl RIS-Justiz RS0008771).

Die Eintragung des BF scheitert somit bereits an seiner Eintragung ins ZMR. Die Verarbeitung seiner personenbezogenen Daten im ERsB kann daher nicht auf Art 6 Abs 1 lit c DSGVO gestützt werden.

3.3.2. Zur Rechtmäßigkeit der Verarbeitung auf Grundlage von Art 6 Abs 1 lit e DSGVO bis zum 27.07.2023:

Gemäß Art 6 Abs 1 lit e DSGVO ist eine Verarbeitung rechtmäßig, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Art 6 Abs 1 lit e DSGVO steht in einem engen Zusammenhang mit Art 6 Abs 2 und 3 DSGVO, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Art 6 Abs 3 stellt klar, dass die Verarbeitung auf dem Unionsrecht oder dem Recht der Mitgliedstaaten beruhen muss, dem der Verantwortliche unterliegt, und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 127 f sowie ErwGr 45).

Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Ferner können in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert werden (vgl ErwGr 45 Satz 1 und 5). Insofern kann die Aufgabe bzw die Befugnisse des Verantwortlichen durch die Rechtsgrundlage begrenzt werden.

Wie bereits ausgeführt, werden in § 6 Abs 4 E-GovG die Aufgaben und Befugnisse derart umschrieben, dass Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, auf ihren Antrag oder in den Fällen des § 10 Abs 2 E-GovG auf Anregung einer anderen Stelle der Datenanwendung im Ergänzungsregister einzutragen sind. Aufgaben bzw Befugnisse, die über den äußerst möglichen Wortsinn der Regelung hinausgehen (vgl VwGH 29.06.2022, Ra 2020/06/0041), kommen der MP nicht zu. Wie bereits dargestellt, ist eine Verarbeitung von personenbezogenen Daten des BF im ERsB somit nicht möglich, da er bereits im Zentralen Melderegister eingetragen ist.

Die Verarbeitung der personenbezogenen Daten des BF im ERsB kann daher auch nicht auf Art 6 Abs 1 lit e DSGVO gestützt werden.

3.3.3. Ergebnis:

Die Verarbeitung der personenbezogenen Daten des BF bis zum 27.07.2023 im ERsB durch die MP kann auf keine gültige Rechtsgrundlage gestützt werden, womit die MP den BF bis zum 27.07.2023 in seinem Recht auf Geheimhaltung verletzt hat. Der Beschwerde war daher stattzugeben und der Spruch des angefochtenen Bescheides entsprechend abzuändern.

3.4. Zur Informationspflicht gemäß Art 14 DSGVO:

In seiner Bescheidbeschwerde bringt der BF vor, dass die MP ihn in seinem Recht auf Information verletzt habe, da er zu keinem Zeitpunkt über die Verarbeitung informiert worden sei. Die Information hätte spätestens mit Wirksamwerden der Bestimmungen der DSGVO am 25.05.2018 erteilt werden müssen. Die MP sei somit ihrer Informationspflicht nicht nachgekommen. Die belangte Behörde führte diesbezüglich aus, dass der BF mittlerweile bereits über die Informationen verfüge bzw die Rechtsverletzung saniert worden sei und wies die Beschwerde diesbezüglich ab. Dem war nicht zu folgen.

Die Regelung zur Informationspflicht in Art 14 DSGVO erfordert ein aktives Handeln des Verantwortlichen ohne vorausgehenden Antrag der betroffenen Person (vgl VwGH 06.03.2024, Ro 2021/04/0030, RS 18).

Die Informationspflicht des Verantwortlichen nach Art 14 DSGVO besteht unabhängig von einem vorherigen Antrag der betroffenen Person. Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann (vgl VwGH 06.03.2024, Ro 2021/04/0030, RS 14).

Nach der Regelung des Art 14 Abs 5 DSGVO findet Art 14 Abs 1 bis 4 DSGVO keine Anwendung, wenn die betroffene Person bereits über die Informationen verfügt. Eine derartige Regelung betreffend eine Ausnahme von einer Informationspflicht kann sich nur auf den Zeitpunkt beziehen, zu dem die Informationspflicht zu erfüllen gewesen wäre; die betroffene Person muss somit zu dem Zeitpunkt über die Informationen verfügen, zu dem sie der Verantwortliche mitteilen müsste (vgl zudem dazu, dass Ausnahmen nach [dort: Art. 2] der DSGVO nach der Rechtsprechung des EuGH eng auszulegen sind, EuGH 16.01.2024, C-33/22, Österreichische Datenschutzbehörde, Rn. 37) (VwGH 06.03.2024, Ro 2021/04/0030, RS 16).

Auf den Fall angewendet bedeutet das:

Wie der angeführten Rechtsprechung des VwGH zu entnehmen ist, kann eine Verletzung der Informationspflicht nicht – wie von der belangten Behörde ausgeführt – nachträglich beseitigt werden. Die Informationen nach Art 14 DSGVO hätten – wie der BF zutreffend ausführte – spätestens zum Zeitpunkt des Inkrafttretens der DSGVO (25.05.2018) erteilt werden müssen. Da der BF zu diesem Zeitpunkt noch nicht von der Verarbeitung seiner Daten im ERsB wusste, scheidet eine Anwendung des Art 14 Abs 5 DSGVO jedenfalls aus (vgl zum Zeitpunkt der Erteilung, zur (nicht möglichen) Sanierung bzw zur Anwendbarkeit des Art 14 Abs 5 DSGVO VwGH 06.03.2024, Ro 2021/04/0030; mit Verweis auf EuGH 16.01.2024, C-33/22, Österreichische Datenschutzbehörde).

Die MP hat durch die Unterlassung der ihr zukommenden Informationspflicht nach Art 14 DSGVO den BF in seinen Rechten verletzt. Der Beschwerde war daher diesbezüglich stattzugeben und die Rechtsverletzung festzustellen.

Ein Leistungsauftrag konnte angesichts dessen, dass der BF bereits über die Informationen verfügt, unterbleiben.

3.5. Zum Recht auf Einschränkung der Verarbeitung gemäß Art 18 DSGVO:

3.5.1. Zur Fortsetzung des ausgesetzten Verfahrens (D124.3033):

Der BF brachte in seiner Bescheidbeschwerde vor, dass die belangte Behörde das Verfahren, trotz bescheidmäßiger Aussetzung hinsichtlich der Verletzung im Recht auf Einschränkung der Verarbeitung (D124.3033), fortgesetzt und mit gegenständlichem Bescheid entschieden habe (OZ 1, S 279).

Der VwGH führte hierzu aus, dass einer Partei selbst aus einem rechtskräftigen Aussetzungsbescheid nach § 38 AVG kein subjektives Recht auf Nichtbeendigung des ausgesetzten Verfahrens erwächst und sie durch die Fortsetzung eines ausgesetzten Verfahrens vor Beendigung des die Vorfrage betreffenden Verfahrens nicht in ihren Rechten verletzt sein kann (vgl zuletzt VwGH 12.09.2023, Ro 2023/20/0001 mwN). Es kann auch dahingestellt bleiben, ob es – objektiv – rechtswidrig ist, das Verfahren, auch ohne Beseitigung des vom BF als Beilage ./9 (OZ 1, S 268 ff) vorgelegten Aussetzungsbescheides aus dem Rechtsbestand im Wege des § 68 Abs 2 AVG, fortzusetzen (vgl VwGH 23.04.1986, 86/11/0011).

3.5.2. Zur Verletzung des rechtlichen Gehörs:

Sofern der BF vorbringt, dass ihm hinsichtlich des Rechts auf Einschränkung der Verarbeitung durch die – seines Erachtens nach überraschende Entscheidung – kein Parteiengehör gewährt worden sei, ist auszuführen, dass dieser allfällige Verfahrensmangel jedenfalls durch die Einbringung seiner Beschwerde an das VwG und der damit verbundenen – und von ihm auch wahrgenommenen – Möglichkeit zu diesem Thema Stellung zu nehmen, saniert wurde (vgl VwGH 24.10.2017, Ra 2016/06/0104).

3.5.3. Zum Recht auf Einschränkung der Verarbeitung im Konkreten:

Nach § 24 Abs 5 zweiter Satz DSG ist einem Verantwortlichen des privaten Bereichs aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. § 24 Abs 6 DSG sieht kein Recht auf Feststellung über eine in der Vergangenheit liegende Verletzung von Rechten vor, bei denen – wie hier – einem Antrag durch eine bestimmte Leistung entsprochen werden kann, vor (vgl VwGH 19.10.2022, Ro 2022/04/0001; sowie VwGH 06.03.2024, Ro 2021/04/0030).

Gegenständlich verarbeitet die MP die Daten des BF nicht mehr im ERsB. Eine Einschränkung einer nicht mehr vorliegenden Verarbeitung ist nicht möglich. Wie ausgeführt, ist eine Feststellung über eine in der Vergangenheit erfolgte Verletzung des Rechts auf Einschränkung der Verarbeitung nicht vom Beschwerderecht des § 24 DSG erfasst. Die Beschwerde war daher diesbezüglich abzuweisen.

3.6. Es war spruchgemäß zu entscheiden.

3.7. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art 6 Abs 1 EMRK noch Art 47 GRC entgegenstehen.

Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw darüberhinausgehender relevanter Sachverhalt behauptet (VwGH 24.02.2015, Ra 2014/19/0171).

Der entscheidungsrelevante Sachverhalt, insbesondere hinsichtlich der Eintragungen zum BF im ERsB, ist im gegenständlichen Verfahren unbestritten.

Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Art 6 Abs 1 EMRK noch Art 47 der Charta der Grundrechte entgegen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Im Übrigen war eine Beurteilung des Einzelfalls vorzunehmen.

Es war daher spruchgemäß zu entscheiden