IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende sowie die fachkundige Laienrichterin Mag.a Viktoria HAIDINGER als Beisitzerin und den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 21.06.2024, Zl. D124.0199/23 2024-0.200.909, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Partei: XXXX ) zu Recht erkannt:
A)
Die Beschwerde wird mit der Maßgabe als unbegründet abgewiesen, dass Spruchpunkt 1. und 2. des angefochtenen Bescheides wie folgt lauten:
„1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass der Beschwerdegegner den Beschwerdeführer im Recht auf Auskunft verletzt hat, indem er die verarbeitete E-Mail-Adresse des Beschwerdeführers „ XXXX “ nicht beauskunftet und dadurch eine unvollständige Auskunft erteilt hat.
2. Dem Beschwerdegegner wird aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution die E-Mail-Adresse „ XXXX “ zu beauskunften.“
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Vorverfahren (D124.1329/22)
1.1. Der nunmehrige Mitbeteiligte (ehemaliger Beschwerdeführer im Verfahren vor der Datenschutzbehörde) brachte bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) am 10.10.2022 (verbessert mit Eingabe vom 02.11.2022) eine Datenschutzbeschwerde wegen Nichterteilung einer Auskunft iSd Art. 15 DSGVO gegen den nunmehrigen Beschwerdeführer (ehemaligen Beschwerdegegner im Verfahren vor der belangten Behörde) ein.
1.2. Der Beschwerdeführer erteilte in der Folge mit Schreiben vom 14.12.2022 eine Auskunft, weshalb das Verfahren von der belangten Behörde mit Erledigung vom 08.02.2023 gemäß § 24 Abs. 6 DSG eingestellt wurde.
2. Gegenständliches Verfahren (D124.0199/23)
2.1. Mit Schriftsatz/Datenschutzbeschwerde vom 13.01.2023 machte der Mitbeteiligte (soweit verfahrensgegenständlich relevant) eine Unrichtigkeit/Unvollständigkeit der Auskunft geltend und brachte zusammengefasst vor, dass der Beschwerdeführer bei den gespeicherten personenbezogenen Daten eine E-Mail-Adresse anführe, die es so gar nicht gebe bzw. die er nicht betreibe. Es sei ihm daher unverständlich, woher der Beschwerdeführer diese E-Mail-Adresse beziehe und mit ihm assoziiere. Er habe über diese E-Mail-Adresse auch weder mit der belangten Behörde kommuniziert, noch seinen Antrag auf Auskunftserteilung an den Beschwerdeführer von dieser E-Mail-Adresse versendet.
2.2. Die belangte Behörde forderte den Beschwerdeführer mit Schreiben vom 08.03.2023 zur Stellungnahme betreffend die Datenschutzbeschwerde des Mitbeteiligten auf, der Beschwerdeführer erstattete jedoch in der Folge keine weitere Stellungnahme.
2.3. Die belangte Behörde teilte dem Mitbeteiligten mit Schreiben vom 01.03.2024 mit, dass sie trotz Nichtreaktion des Beschwerdeführers die Datenschutzbeschwerde als erledigt betrachte und beabsichtige, das Verfahren gemäß § 24 Abs. 6 DSG einzustellen.
2.4. Der Mitbeteiligte wiederholte mit Eingabe vom 12.03.2024 seine Ausführungen aus der Datenschutzbeschwerde und brachte insbesondere abermals vor, dass der Beschwerdeführer eine nicht existente E-Mail-Adresse zu seiner Person verarbeite.
2.5. Mit nunmehr angefochtenem Bescheid der belangten Behörde wurde der Datenschutzbeschwerde des Mitbeteiligten wegen Verletzung im Recht auf Auskunft teilweise stattgegeben und festgestellt, dass der Beschwerdeführer den Mitbeteiligten im Recht auf Auskunft verletzt habe, indem er statt der korrekten E-Mail-Adresse des Mitbeteiligten – konkret: XXXX – eine unrichtige E-Mail-Adresse – konkret: XXXX - beauskunftet und dadurch eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.) sowie dem Beschwerdeführer aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution die E-Mail-Adresse XXXX anstatt der unrichtigen E-Mail-Adresse XXXX zu beauskunften (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).
2.6. Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht Bescheidbeschwerde (Parteibeschwerde) gemäß Art. 130 Abs. 1 Z 1 B-VG an das Bundesverwaltungsgericht, in welcher er vorbrachte, den Bescheid wegen unrichtiger rechtlicher Beurteilung anzufechten. Die von der belangten Behörde angeführten E-Mail-Adressen seien kein personenbezogenes Datum iSd DSG und der DSGVO, da er diese niemandem zuordnen könne. Die E-Mail-Adresse sei vom Mitbeteiligten zudem selbst übermittelt worden und sei er über deren Verarbeitung bereits informiert gewesen, sodass keine Beschwer vorliege. Hinsichtlich der E-Mail-Adresse XXXX habe er eine richtige Auskunft erteilt, da diese bei ihm zum Mitbeteiligten tatsächlich gespeichert gewesen sei. Außerdem sei rechtlich verfehlt nicht beachtet worden, dass die Datenverarbeitung hier durch einen Rechtsanwalt erfolgt sei.
2.7. Die belangte Behörde machte von der Möglichkeit der Beschwerdevorentscheidung nicht Gebrauch und legte die Beschwerde samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor, wobei sie den angefochtenen Bescheid verteidigte.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der Mitbeteiligte stellte am 26.08.2022 per E-Mail von der Adresse „ XXXX “ einen Antrag auf Auskunft gemäß Art. 15 DSGVO an den Beschwerdeführer.
Der Beschwerdeführer verarbeitete in der Folge diese E-Mail-Adresse des Mitbeteiligten.
Der Beschwerdeführer erteilte dem Mitbeteiligten mit Schreiben vom 14.12.2022 eine Auskunft über die verarbeiteten personenbezogenen Daten, wobei er als einzige verarbeitete E-Mail-Adresse des Mitbeteiligten „ XXXX “ anführte.
Mit Schriftsatz/Datenschutzbeschwerde vom 13.01.2023 machte der Mitbeteiligte eine Unrichtigkeit/Unvollständigkeit der Auskunft geltend.
Mit dem angefochtenen Bescheid der belangten Behörde wurde der Datenschutzbeschwerde des Mitbeteiligten wegen Verletzung im Recht auf Auskunft teilweise stattgegeben und festgestellt, dass der Beschwerdeführer den Mitbeteiligten im Recht auf Auskunft verletzt habe, indem er statt der korrekten E-Mail-Adresse des Mitbeteiligten – konkret: XXXX – eine unrichtige E-Mail-Adresse – konkret: XXXX - beauskunftet und dadurch eine unvollständige Auskunft erteilt habe (Spruchpunkt 1.) sowie dem Beschwerdeführer aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution die E-Mail-Adresse XXXX anstatt der unrichtigen E-Mail-Adresse XXXX zu beauskunften (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.).
Gegen diesen Bescheid erhob der Beschwerdeführer fristgerecht Bescheidbeschwerde an das Bundesverwaltungsgericht.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten sowie dem gegenständlichen Gerichtsakt, insbesondere aus dem angefochtenen Bescheid. Die für die Entscheidung wesentlichen Umstände im Tatsachenbereich sind geklärt und die relevanten Ermittlungsergebnisse und Urkunden liegen in den vorgelegten Verwaltungsakten ein. Die belangte Behörde hat ein mängelfreies, ordnungsgemäßes Ermittlungsverfahren durchgeführt und in der Begründung des angefochtenen Bescheides den maßgeblichen Sachverhalt in Übereinstimmung mit der Aktenlage richtig festgestellt.
Diesem Sachverhalt und der Beweiswürdigung trat der Beschwerdeführer in seiner Parteibeschwerde nicht bzw. mit bloß unsubstantiiertem Vorbringen entgegen. Insbesondere bestreitet der Beschwerdeführer nicht, dass er die E-Mail-Adresse XXXX verarbeitet hat.
Damit steht der entscheidungswesentliche Sachverhalt fest. Einer weiteren Klärung des Sachverhaltes unter Aufnahme weiterer Beweise und Durchführung einer mündlichen Verhandlung bedarf es daher nicht.
3. Rechtliche Beurteilung:
3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
3.2. Zu den Prozessvoraussetzungen:
Die Beschwerde wurde fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.
3.3. Zu Spruchteil A)
3.3.1. Zu den Rechtsgrundlagen:
Art. 4 DSGVO lautet auszugsweise:
„Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
Art. 15 DSGVO lautet:
„Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“
3.3.2. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:
3.3.2.1. Der Beschwerdeführer moniert in seiner Bescheidbeschwerde, dass die von der belangten Behörde im Bescheid angeführten E-Mail-Adressen keine personenbezogenen Daten iSd DSG und der DSGVO seien, da er diese niemandem zuordnen könne, die E-Mail-Adresse vom Mitbeteiligten selbst übermittelt worden und er über deren Verarbeitung bereits informiert gewesen sei, sodass keine Beschwer vorliege, hinsichtlich der E-Mail-Adresse XXXX eine richtige Auskunft erteilt und rechtlich verfehlt nicht beachtet worden sei, dass die Datenverarbeitung durch einen Rechtsanwalt erfolgt sei.
Dem Beschwerdeführer ist jedoch Folgendes entgegenzuhalten:
3.3.2.1.1. Gemäß Art. 4 Z 1 DSGVO handelt es sich bei »personenbezogenen Daten« um »alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen«. Der Ausdruck »alle Informationen« ist äußerst weit zu verstehen und umfasst sowohl Tatsachen als auch Werturteile. In der Rs Novak bezieht der EuGH – noch zur Begrifflichkeit der Datenschutz-Richtlinie – neben sensiblen und privaten Informationen auch potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur mit ein, soweit es sich dabei um Informationen »über« eine Person handelt (EuGH 20.12.2017, C-434/16 Rz 33). Personenbezogene Daten iSd Art 4 Z 1 liegen darüber hinaus aber nur dann vor, wenn die natürliche Person, auf die sich Informationen beziehen, entweder identifiziert oder zumindest identifizierbar ist (sog »Identitätskomponente«; vgl Bergauer in Knyrim, Datenschutz-Grundverordnung, 43 [52 ff]). Art 4 Z 1 bestimmt, dass eine natürliche Person dann identifizierbar ist, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind (Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 1 DSGVO Rz 9ff [Stand 1.12.2020, rdb.at]).
Vor dem Hintergrund dieser Ausführungen wird deutlich, dass es sich bei der E-Mail-Adresse des Mitbeteiligten „ XXXX “ zweifelsfrei um ein personenbezogenes Datum iSd Art. 4 Z 1 DSGVO handelt, zumal der Mitbeteiligte durch diese E-Mail-Adresse (in Kombination mit dem an den Beschwerdeführer gestellten Auskunftsersuchen) identifiziert werden kann.
3.3.2.1.2. Gemäß Art. 15 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und die Informationen gemäß Abs. 1 lit. a bis h leg. cit.
Für das Recht, ein Auskunftsbegehren zu stellen, müssen keinerlei Voraussetzungen vorliegen, wie etwa ein konkreter Verdacht der Unrechtmäßigkeit einer Verarbeitung. Seine Grenzen findet das Recht allerdings in den Fällen, in denen Auskunftsbegehren offenkundig unbegründet oder exzessiv gestellt werden (siehe dazu Art 12, Rz 23 ff), wofür jedoch im vorliegenden Fall keine Anhaltspunkte bestehen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 11 [Stand 1.12.2020, rdb.at]).
Entgegen den Ausführungen des Beschwerdeführers sieht Art. 15 DSGVO (im Gegensatz zu Art. 14 Abs. 5 lit. a DSGVO) keine Ausnahme von der Verpflichtung zur Auskunftserteilung vor, wenn die betroffene Person bereits über die Informationen verfügt, sodass das diesbezügliche Vorbringen des Beschwerdeführers ins Leere geht.
Nach den unbestritten gebliebenen Feststellungen der belangten Behörde wurde die vom Beschwerdeführer verarbeitete E-Mail-Adresse des Mitbeteiligen „ XXXX “ nicht im Rahmen der Auskunftserteilung an den Mitbeteiligten beauskunftet, sodass in der unvollständig gebliebenen Auskunftserteilung die Beschwer des Mitbeteiligten zu ersehen ist.
3.3.2.1.3. Der Beschwerdeführer hat zudem nicht dargetan, inwieweit es gemäß § 9 Abs. 4 RAO hinsichtlich des Rechts des Rechtsanwalts auf Verschwiegenheit zur Sicherstellung des Schutzes der Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche erforderlich sein sollte, dem Mitbeteiligten eine Auskunft über die verarbeitete E-Mail-Adresse „ XXXX “ nicht zu erteilen und ist dies auch sonst nicht ersichtlich geworden.
3.3.2.1.4. Zutreffend ist, dass der Beschwerdeführer die verarbeitete E-Mail-Adresse „ XXXX “ zu Recht beauskunftet hat, da der Zweck des Rechts auf Auskunft gemäß Art. 15 DSGVO ist, der betroffenen Person einen Einblick in das »Ob und Wie« der Verarbeitung ihrer personenbezogenen Daten zu ermöglichen, sodass in weiterer Folge – bei Bekanntwerden einer unrechtmäßigen/unrichtigen Verarbeitung – ein Antrag auf Löschung, Widerspruch oder Berichtigung gestellt werden kann (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 2 [Stand 1.12.2020, rdb.at]).
Vor diesem Hintergrund sowie aufgrund des Umstandes, dass im Spruch des angefochtenen Bescheides die zu beauskunftende E-Mail-Adresse des Mitbeteiligten offenbar aufgrund eines Versehens unrichtig als „ XXXX “ (anstelle „ XXXX “) angeführt war, war der Spruch des angefochtenen Bescheides spruchgemäß abzuändern.
3.4. Zum Absehen von einer mündlichen Verhandlung:
Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 1 und 4 VwGVG entfallen. Im vorliegenden Fall liegt kein Parteiantrag auf Durchführung einer mündlichen Verhandlung vor und lässt die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten. Die Notwendigkeit der Durchführung einer Verhandlung ist auch im Hinblick auf Art. 6 Abs. 1 EMRK und Art. 47 GRC nicht ersichtlich. Der entscheidungsrelevante Sachverhalt ist hier geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen.
Zu B) Unzulässigkeit der Revision
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage von grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Rückverweise
RIS