Geschäftszahl (GZ):W292 2307870-1/6E (bitte bei allen Eingaben anführen)
IM NAMEN DER REPUBLIK
Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter Mag. René BOGENDORFER und Mag. Matthias SCHACHNER als Beisitzer über die Beschwerde von XXXX , vertreten durch RA Dr. Gregor KLAMMER, Goldschmiedgasse 6/6-8, 1010 Wien, gegen den Bescheid der Datenschutzbehörde vom 27.01.2025, GZ. XXXX (mitbeteiligte Partei XXXX ), zu Recht erkannt:
A)
Der Beschwerde wird Folge gegeben und der angefochtene Bescheid dahingehend abgeändert, dass der Spruch nunmehr zu lauten hat wie folgt:
„1. Der Beschwerde wird stattgegeben und es wird festgestellt, dass die XXXX (als datenschutzrechtlich Verantwortliche) XXXX , geb. XXXX (als datenschutzrechtlich betroffene Person) dadurch im Recht auf Auskunft gemäß Art. 15 DSGVO verletzt hat, indem sie dem Betroffenen keine vollständige Auskunft gemäß Art. 15 Abs. 1 DSGVO erteilt hat.
2. Die Verantwortliche wird gemäß Art. 58 Abs. 2 lit. c DSGVO angewiesen, dem Betroffenen innerhalb einer Frist von acht Wochen bei sonstiger Exekution eine Auskunft im Umfang von Spruchpunkt 1. Zu erteilen.“
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Mit Eingabe an die Datenschutzbehörde (im Folgenden: belangte Behörde) vom 13.01.2025 erhob XXXX (im Folgenden: Beschwerdeführer) im Wegen seines Rechtsvertreters Datenschutzbeschwerde gegen die XXXX (im Folgenden: mitbeteiligte Partei) wegen Verletzung im Recht auf Auskunft gem. Art. 15 DSGVO. Der Beschwerdeführer brachte hierzu im Wesentlichen vor, er habe am 13.11.2024 eine Anfrage an die mitbeteiligte Partei gestellt, ob er von einem im Jahr 2023 publik gewordenen Datenleck betroffen gewesen sei, die mitbeteiligte Partei habe ihm jedoch nicht fristgerecht die diesbezüglichen Informationen zur Verfügung gestellt.
2. Mit dem im Spruch angeführten Bescheid der belangten Behörde vom 27.01.2025 wies diese die Datenschutzbeschwerde als unbegründet ab. Begründend hielt die belangte Behörde zusammengefasst fest, dass es sich beim Schreiben des Beschwerdeführers vom 13.11.2024 nicht um einen Antrag auf Auskunft handle und von der mitbeteiligten Partei auch nicht als solcher verstanden werden musste. Aus dem Wortlaut des Schreibens könne – bei Abstellungen auf den objektiven Erklärungswert – kein datenschutzrechtlicher Auskunftsantrag erblickt werden und fänden sich darüber hinaus in diesem keine Hinweise auf die DSGVO.
3. Dagegen erhob der Beschwerdeführer im Wege seines Rechtsvertreters am 03.02.2025 Bescheidbeschwerde und führte zusammengefasst aus, dass aus der Anfrage vom 13.11.2024 klar hervorgehe, dass darunter ein Antrag nach Art. 15 DSGVO zu verstehen sei. Zur Wahrnehmung der antragsbedürftigen Betroffenenrechte aus der DSGVO sei insbesondere nicht erforderlich, einen formalistischen Antrag zu stellen, diesen auch als „Antrag“ zu bezeichnen oder explizit eine Rechtsgrundlage anzuführen. Zudem habe die mitbeteiligte Partei selbst das Schreiben vom 13.11.2024 als Auskunftsantrag nach Art. 15 DSGVO verstanden; dies gehe aus dem – der Bescheidbeschwerde beigelegten – Schreiben der Rechtsvertretung der mitbeteiligten Partei vom 28.01.2025 hervor.
4. Am 19.02.2025 legte die belangte Behörde dem Bundesverwaltungsgericht die Bescheidbeschwerde samt den Bezug habenden Verwaltungsakt vor.
5. Das Bundesverwaltungsgericht übermittelte der mitbeteiligten Partei mit Schreiben vom 21.02.2025 die Bescheidbeschwerde vom 03.02.2025 zur allfälligen Stellungnahme innerhalb gesetzter Frist.
6. Mit Verfügung des Geschäftsverteilungsausschusses vom 29.04.2025 wurde die gegenständliche Rechtssache der vormals zuständigen Gerichtsabteilung abgenommen und der nunmehr zuständigen Gerichtsabteilung neu zugewiesen.
II. Das Bundesverwaltungsgericht hat erwogen:
II.1. Feststellungen:
Der Rechtsvertreter des Beschwerdeführers wandte sich per E-Mail vom 13.11.2024 an die Adresse XXXX der mitbeteiligten Partei mit folgendem Inhalt [Formatierung nicht wie im Original]:
„Betreff: Datenleck XXXX
Sehr geehrte Damen und Herren,
Ich zeige an, dass obiggenannte Person rechtsfreundlich vertrete, ich berufe mich auf meine Vollmacht.
Hiermit bitte ich Sie, mir bekanntzugeben, ob die Daten meiner Mandantschaft vom „ XXXX -Datenleck“ betroffen waren, und wenn ja, welche Daten dies waren.
Als Identitätsnachweis lasse ich Ihnen im Anhang meine Reisepasskopie zukommen.
Vielen Dank für Ihre Mühe!“
II.2. Beweiswürdigung:
Die getroffenen Feststellungen ergeben sich aus dem vorgelegten und unbedenklichen Verwaltungsakt, insbesondere aus dem E-Mail des Beschwerdeführers an die mitbeteiligte Partei vom 13.11.2024.
II.3. Rechtliche Beurteilung:
Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor.
3.1. Zu Spruchpunkt A) –Stattgabe der Beschwerde und Abänderung des Spruchs:
3.1.1. Anzuwendendes Recht:
Die maßgeblichen Bestimmung des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 70/2024, lautet auszugsweise samt Überschrift wie folgt:
„Beschwerde an die Datenschutzbehörde
§ 24 (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. Dies gilt nicht, soweit ein Recht auf Beschwerde beim Parlamentarischen Datenschutzkomitee gemäß § 35f Abs. 1 besteht.
(2) Die Beschwerde hat zu enthalten:
1.die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
[…]“
Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016 (im Folgenden: DSGVO), lauten auszugsweise samt Überschrift:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[…]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
[…]
Artikel 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
[…]
Artikel 58
Befugnisse
[…]
(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,
a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,
[…]
Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“
3.1.2. Fallgegenständlich war zu prüfen, ob das vom Beschwerdeführer an die mitbeteiligte Partei gerichtete E-Mail vom 13.11.2024 einen Antrag auf Auskunftserteilung iSd Art. 15 DSGVO darstellt. Bejahendenfalls hätte dies die mitbeteiligte Partei gem. Art. 12 Abs. 3 DSGVO grundsätzlich verpflichtet, innerhalb eines Monates nach Eingang den Beschwerdeführer im beantragten Ausmaß Auskunft über die ihn betreffenden personenbezogenen Daten zu erteilen oder ihn über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung, zu unterrichten.
3.1.3. Der Kerninhalt des Auskunftsrechts nach Art. 15 DSGVO besteht darin, dass der Verantwortliche der betroffenen Person den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen hat (vgl. Jahnel, Kommentar zur DSGVO, Art. 15 DSGVO, Rz. 18). Diesbezüglich ist auch im 63. Erwägungsgrund zur DSGVO festgehalten, dass eine betroffene Person ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können sollte, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht.
3.1.4. Vorwegzuschicken ist, dass an den Antrag von Betroffenen selbst keine zu hohen Voraussetzungen geknüpft werden dürfen. Zwar muss aus dem Antrag bzw. der Anfrage hervorgehen, worauf die betroffene Person abzielt (bspw. kann die Frage „was haben Sie für Daten über mich?“ sehr einfach als Antrag auf Auskunft gem. Art 15 ausgelegt werden) und ist diese auch zu identifizieren, jedoch führen falsche Bezeichnungen nicht zur Mangelhaftigkeit des Antrags selbst (Illibauer in Knyrim, DatKomm, Art 12 DSGVO, Rz. 91/1).
Ein übertriebener Formalismus bei Geltendmachung von Betroffenenrechte der Art. 15 bis 22 DSGVO ist der Systematik der DSGVO nicht zu entnehmen. Vielmehr geht aus dem zu Art. 5 DSGVO ergangenen 39. Erwägungsgrund zur DSGVO als Voraussetzung für den Grundsatz der Transparenz hervor, dass alle Informationen und Mitteilungen zur Verarbeitung personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abzufassen sind. Damit korrespondierend ist im 59. Erwägungsgrund festgehalten, dass einer betroffenen Person die Ausübung ihr nach der DSGVO zustehenden Rechte durch festgelegte Modalitäten erleichtert werden soll (vgl. auch Illibauer in Knyrim, DatKomm, Art 12 DSGVO, Rz. 8). Hieraus folgt, dass bei Ausübung der Betroffenenrechte nach Art. 15 bis 22 DSGVO kein allzu strenger Maßstab anzulegen ist, der einer der DSGVO entsprechenden Geltendmachung eben jener Rechte zuwiderlaufen würde.
3.1.5.Weder in der DSGVO noch in den weiteren, in Betracht kommenden gesetzlichen Grundlagen ist vorgesehen, dass ein Auskunftsbegehren gewisse Formulierungen aufweisen oder eine konkrete Rechtsgrundlage angeführt werden muss. Jedoch muss für den Empfänger erkennbar sein, dass es sich um ein datenschutzrechtliches Auskunftsbegehren handelt, insbesondere da das Einlangen eines solchen unmittelbare Verpflichtungen, nämlich u.a. die Auskunft innerhalb der gesetzlichen Frist zu erteilen, geknüpft sind (vgl. dazu VwGH 27.11.2007, 2006/06/0262 zum Auskunftsbegehren nach § 26 DSG 2000).
3.1.6.Bei der Beurteilung von Parteierklärungen kommt es auf den objektiven Erklärungswert an, also darauf, wie ein redlicher Empfänger einer Erklärung diese unter Berücksichtigung aller Umstände verstehen musste (VwGH 15.12.2021, Ra 2021/13/0078). Somit ist für die Frage, ob eine für den Empfänger als datenschutzrechtliches Auskunftsbegehren gem. Art. 15 DSGVO erkennbare Erklärung vorliegt, diese auf ihren Inhalt zu prüfen, wobei jener Maßstab anzulegen ist, der auch für einseitige privatrechtliche Willenserklärungen gilt. Die Auslegung der Erklärung ist daher am Empfängerhorizont zu messen, wobei die aus der Erklärung abzuleitenden Rechtsfolgen nicht danach zu beurteilen sind, was der Erklärende sagen wollte oder was der Erklärungsempfänger darunter verstanden hat, sondern wie die Erklärung bei objektiver Beurteilung der Sachlage durch einen redlichen und verständigen Menschen zu verstehen war. Auf konkrete Umstände, namentlich auf den (Geschäfts-)Zweck und die Interessenlage ist hiebei Bedacht zu nehmen (OGH, 29.04.2015, RS0113932).
3.1.7. Im vorliegenden Fall richtete der Rechtsvertreter des Beschwerdeführers am 13.11.2024 eine E-Mail an die mitbeteiligte Partei, in welchem diese gebeten wurde, bekanntzugeben, ob die Daten des Beschwerdeführers vom „ XXXX -Datenleck“ betroffen gewesen wären und bejahendenfalls, welche Daten dies waren. Aus Sicht des erkennenden Senates ist der gegenständlichen E-Mail des Beschwerdeführers unmissverständlich ein Antrag auf datenschutzrechtliche Auskunft gem. Art. 15 DSGVO zu entnehmen. Unter objektiver Berücksichtigung der fallgegenständlichen Umstände kann aus der konkreten Bitte zur Bekanntgabe von auf den Beschwerdeführer bezogene Daten, soweit diese von einem Datenleck betroffen wären, von einem redlichen und verständlichen Erklärungsempfänger nur geschlossen werden, dass der Beschwerdeführer eine Bestätigung drüber verlangte, ob ihn betreffende personenbezogene Daten verarbeitet wurden und soweit dies der Fall war, er sein Recht auf Auskunft über eben jene personenbezogenen Daten geltend machte. In diesem Zusammenhang indiziert auch die dem E-Mail vom 13.11.2024 beigefügte Kopie des Reisepasses des Beschwerdeführers eine Ausübung der datenschutzrechtlichen Betroffenenrechte (vgl. Art. 12 Abs. 6 DSGVO).
3.1.8. Weder aus dem Wortlaut der E-Mail vom 13.11.2024, noch aus anderen konkreten Umständen kann nach Ansicht des erkennenden Senates gegenteiliges geschlossen werden. Soweit die belangte Behörde im angefochtenen Bescheid hinsichtlich des E-Mails ausführt, aus dessen Formulieren ergebe sich eine reine Bitte nach Bekanntgabe der Betroffenheit des Beschwerdeführers, ist dem zu entgegnen, dass die Verwendung einer allgemein gebräuchlichen Höflichkeitsform per se nicht dazu geeignet ist, die Geltendmachung von Betroffenenrechten nach der DSGVO auszuschließen. Ebenso wenig sind die Ausführungen der Behörde, wonach aus dem Schreiben nicht erkennbar sei, dass eine Reaktionspflicht der mitbeteiligten Partei nach der DSGVO ausgelöst werden solle, für den erkennenden Senat nachvollziehbar, da insbesondere aus der Bitte um Bekanntgabe der Betroffenheit der personenbezogenen Daten des Beschwerdeführers nichts anderes als ein Interesse an einer replizierenden Antwort der mitbeteiligten Partei zum Ausdruck kommt. In diesem Zusammenhang ist erneut darauf hinzuweisen, dass bei Ausübung der Betroffenenrechte der DSGVO keine gesetzliche Verpflichtung besteht, die Rechtsgrundlage des geltend gemachten Rechts anzuführen, woran auch der Umstand, dass der Beschwerdeführer rechtsfreundlich vertreten ist, nichts zu ändern vermag.
3.1.9. Im Ergebnis ist der E-Mail des Beschwerdeführers an die mitbeteiligte Partei vom 13.11.2024 eindeutig ein Antrag auf Auskunft über personenbezogene Daten gem. Art. 15 DSGVO zu entnehmen. Unbestritten war im Verfahren, dass die mitbeteiligte Partei in der in Art. 12 Abs. 3 DSGVO normierten Frist diesem datenschutzrechtlichen Auskunftsbegehren nicht nachgekommen ist oder den Beschwerdeführer über eine Fristverlängerung unterrichtet hat. Insofern war auszusprechen, dass die mitbeteiligte Partei den Beschwerdeführer im Recht auf Auskunft verletzt hat, indem sie bis zum Abschluss des gegenständlichen Verfahrens keine Auskunft erteilt hat und war der mitbeteiligten Partei gem. Art 58 Abs. 2 lit. c DSGVO zu Recht aufzutragen, dem Beschwerdeführer innerhalb einer Frist von acht Wochen bei sonstiger Exekution eine entsprechende Auskunft zu erteilen.
3.1.10.Zum Entfall einer mündlichen Verhandlung: Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
3.2. Zu Spruchpunkt B) – Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG nicht zulässig ist.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
