W298 2301242-1 – BVwG Entscheidung

W298 2301242-1/21E

Im namen der republik!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Dr. Wolfgang Goricnik als Beisitzerin und Beisitzer über die Beschwerde von XXXX , vertreten durch Rechtsanwalt MMag. Thomas BREUSS, Erdbergstraße 118/22-24, 1030 Wien, wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde, nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

A)

I. Der Beschwerde wird teilweise stattgegeben und festgestellt, dass die XXXX den Beschwerdeführer dadurch im Recht auf Auskunft gemäß Art 15 DSGVO verletzt hat, indem sie ihm, über seine Anfrage vom 01.02.2023, eine unvollständige Auskunft erteilt hat.

Der XXXX wird binnen Frist von 6 Wochen aufgetragen eine vollständige Datenschutzauskunft über die personenbezogenen Daten des Beschwerdeführers an den Beschwerdeführer zu übermitteln und zusätzlich zu den bereits erfolgten Teilauskünften vom 28.02.2023, 28.08.2023, 15.05.2024 und 31.07.2025 insbesondere Folgendes zu beauskunften:

VOSI-Protokolle (Kreditreports, XXXX , Protokolle ÜBA, Protokolle XXXX ), sofern sie personenbezogene Daten des Beschwerdeführers zum Inhalt haben; die den Beschwerdeführer betreffende fehlende FMA-Korrespondenz; jegliche weitere Korrespondenz und Unterlagen (aus dem Personalakt), welche personenbezogene Daten des Beschwerdeführers zum Inhalt haben.

II. Im Übrigen wird die Beschwerde abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Schreiben vom 23.05.2023 erhob der Beschwerdeführer eine Beschwerde aufgrund Verletzung des Rechts auf Auskunft und Berichtigung und regte ein amtswegiges Prüfverfahren an. Der Beschwerdeführer erachte sich in seinem Recht auf Auskunft (Art 15 DSGVO) und Berichtigung (Art 16 DSGVO) durch seine frühere Arbeitgeberin XXXX (in weiterer der Folge: „Beschwerdegegnerin“) verletzt. Der Beschwerdeführer sei aufgrund unhaltbarer Vorwürfe fristlos entlassen worden. Im Zuge des arbeitsrechtlichen Verfahrens des Beschwerdeführers am Landesgericht XXXX zur Geschäftszahl XXXX gegen die Beschwerdegegnerin sei es zu einer wohl absichtlichen unrichtigen Verarbeitung gekommen. Die Beschwerdegegnerin habe im Zivilprozess nicht nur gegen einen fundamentalen zivilprozessrechtlichen Grundsatz verstoßen, indem sie dem Sachverständigen am Gericht vorbei Unterlagen geschickt habe. Sie habe außerdem nur „sorgfältig“ ausgewählte Unterlagen geliefert – nämlich nur solche, welche isoliert betrachtet den Eindruck erwecken würden, der Beschwerdeführer wäre im Unrecht, und nicht die, welche sein sorgfältiges Verhalten belegen würden. Das Gericht untersuche aktuell diese Umtriebe. Die datenschutzrechtliche Seite sei der absichtliche Verstoß gegen den Grundsatz der Datenrichtigkeit. Der Beschwerdeführer habe angesichts der Fülle der Unterlagen nach so langer Tätigkeit bei der Beschwerdegegnerin sich zu einer Priorisierung entschieden. Die Beschwerdegegnerin sollte demnach Informationen zu vier Kreditengagements vorlegen, die Gegenstand des zivilgerichtlichen Verfahrens seien und daher ohnehin aufbereitet sein müssten. Darüber hinaus habe er die Protokolle von XXXX und XXXX sowie Schreiben an die Behörden wie Finanzmarktaufsicht und OeNB, in welchen er genannt werde verlangt. Als Bankenaufsichtsrechtler und Datenschutzrechtler gehe er angesichts ähnlicher Beratungsfälle davon aus, dass letztere Unterlagen selbst ohne externe Beratung in zwei Wochen gefunden und aufbereitet werden könnten. Alle übrigen Unterlagen wolle der Beschwerdeführer ebenso. Am 28.02.2023 habe die Datenschutzbeauftragte der Beschwerdegegnerin ein vom Vorstand der Bank unterzeichnetes Schreiben sowie einen Link zu einem Downloadbereich übermittelt. Über diesem Link finde man neben einem Auszug aus dem Verarbeitungsverzeichnis im Excel-Format im Wesentlichen Depot- und Kontoauszüge des Beschwerdeführers als Bankkunden, zahlreiche Fehlermeldungen wegen nicht aktueller Software, die anscheinend ins PDF-Format kopiert worden wären, und zahlreiche vollständig leere Dokumente. Zu diesen leeren Dokumenten gebe es jeweils keine Erklärung, um welche Art Dokument es sich handle, oder warum es überhaupt keinen Inhalt habe. Insgesamt seien von 847 zur Verfügung gestellten Dokumenten 406 unbrauchbar, weil sie nicht leserlich, leer oder nur die Kopie einer Fehlermeldung seien. Alle Dokumente, die mit der beschriebenen fehlerhaften Verarbeitung zu tun hätten, würden fehlen. Insgesamt sei die Auskunft nicht nur bewusst rechtswidrig, sondern auch absolut unbrauchbar. Der Beschwerdeführer mache nun vom Recht auf Auskunft gemäß Art 15 DSGVO Gebrauch, um im nächsten Schritt präzise und informiert nachvollziehen zu können, ob die Beschwerdegegnerin seinem Recht auf Berichtigung der Daten gemäß Art 16 DSGVO Genüge tue und dem Sachverständigen korrekte Daten liefere – und damit die Verarbeitung richtigstelle. Von einem exzessiven Auskunftsbegehren könne nicht die Rede sein. Der Beschwerdeführer gehe davon aus, dass die Beschwerdegegnerin seine Daten absichtlich grob fehlerhaft verarbeite, weshalb es ihm zustehe, alle Daten und Datenverarbeitungen zu überprüfen, die ihn betreffen würden. Der Beschwerdeführer sowie das Gericht hätten die Beschwerdegegnerin aufgefordert, die Daten zu vervollständigen. Diese Berichtigung sei aktuell noch nicht erfolgt. Der Beschwerdeführer erachte sich daher auch in diesem Recht als verletzt.

2. Mit Mangelbehebungsauftrag vom 19.07.2023 wurde der Beschwerdeführer darauf hingewiesen, dass betreffend eine behauptete Verletzung im Recht auf Berichtigung von Daten der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners fehle.

3. Mit E-Mail vom 01.08.2023 zog der Beschwerdeführer die Beschwerde gemäß Art 16 DSGVO zurück und änderte seine Beschwerde dahingehend ab, dass er sich nunmehr gegen die Verletzung des Rechts auf Auskunft beschwerte und ein amtswegiges Prüfverfahren anregte. Der Beschwerdeführer mache nun vom Recht auf Auskunft gemäß Art 15 DSGVO Gebrauch, um im nächsten Schritt präzise und informiert nachvollziehen zu können, ob die Verantwortliche seinem Recht auf Berichtigung der Daten gemäß Art 16 DSGVO Genüge tue und dem Sachverständigen korrekte Daten liefere – und damit die Verarbeitung richtigstelle. Von einem exzessiven Auskunftsbegehren könne nicht die Rede sein. Die Beschwerdegegnerin scheine fast nur Daten liefern zu können, bei der das Allgemeine Rechenzentrum die Systeme betreibe und als Dienstleisterin zahlreicher Banken entsprechende Services zur Verfügung stelle. Die Beschwerdegegnerin habe völlig leere Seiten, Fehlermeldungen und im Übrigen nur Daten aus der Kundenrolle geschickt, was eine bewusste sowie demonstrative Missachtung des Datenschutzrechts sei.

4. Die Beschwerdegegnerin brachte mit Schreiben vom 25.08.2023 eine Stellungnahme ein und führte darin - für das gegenständliche Verfahren relevant - aus, dem Beschwerdeführer gehe es ausschließlich darum, sich Unterlagen für den Arbeitsrechtsprozess zu verschaffen. Er versuche die Bestimmungen der Zivilprozessordnung über den Auskunftsanspruch nach der DSGVO auszuhebeln. Das Auskunftsbegehren des Beschwerdeführers sei nicht nur unbegründet, sondern auch exzessiv. Es sei zu beachten, dass sämtliche Unterlagen mit personenbezogenen Daten des langjährigen Geschäftsstellenleiters nicht nur dahingehend zu sichten wären, ob durch die beantragte Auskunftserteilung Rechte Dritter oder Eigeninteressen gefährdet und gegebenenfalls entsprechende Vorkehrungen zu treffen wären, sondern dass die Verantwortliche hierbei auch die Einhaltung des strafbewehrten Bankgeheimnisses sicherzustellen hätte. Der zur Erfüllung des Auskunftsersuchens notwendige Aufwand stehe in keinem vernünftigen Verhältnis zur Wahrung der durch die DSGVO geschützten Interessen des Betroffenen. Die Übermittlung sämtlicher Urkunden mit personenbezogenen Daten eines ehemaligen Geschäftsstellenleiters würde jedoch unweigerlich dazu führen, dass damit auch in das Recht auf Datenschutz, das Recht auf Achtung des Privatlebens und das Recht auf Achtung der Kommunikation anderer Personen eingegriffen werden würde. Dessen ungeachtet habe die Beschwerdegegnerin dem Beschwerdeführer eine Aufstellung betreffend die Verarbeitung seiner personenbezogenen Daten bekannt gegeben und einzelne Datenkopien zur Verfügung gestellt. Es sei richtig, dass der Inhalt bei einigen der übermittelten Datenkopien aufgrund eines Problems mit dem Datenexport nicht, oder nicht leserlich angezeigt worden wären. Mittlerweile seien dem Beschwerdeführer sämtliche Datenkopien, deren Inhalte gemäß der Aufstellung des Beschwerdeführers fehlerhaft oder gar nicht angezeigt werden könnten, in fehlerfreier und leserlicher Form zur Verfügung gestellt worden.

5. Mit Eingabe vom 28.08.2023 übermittelte die Beschwerdegegnerin in Ergänzung zu ihrer Stellungnahme, die dem Beschwerdeführer mit E-Mail vom 18.08.2023 übermittelten Datenkopien, deren Inhalt nun fehlerfrei und leserlich sei.

6. Mit Eingabe vom 19.09.2023 brachte der Beschwerdeführer vor, dass die geltend gemachte Rechtsverletzung nach wie vor bestehe. Mit der ursprünglichen Auskunft vom 28.02.2023 habe die Beschwerdegegnerin 847 Dokumente zur Verfügung gestellt, von denen 406 nicht leserlich, leer oder eine Kopie einer Fehlermeldung gewesen seien. Am 18.08.2023 habe die Beschwerdegegnerin ein kurzes Schreiben übermittelt, das einen Link zu einem Downloadbereich und in einer eigenen E-Mail ein Passwort enthalte. Mit diesem Schreiben habe die Verantwortliche auch jene fehlenden 406 Dokumente in lesbarer Form zur Verfügung gestellt. Diese nun insgesamt 847 Dokumente würden jedoch ausschließlich die Kundenbeziehung zur Beschwerdegegnerin betreffen, aber nicht die Daten des Beschwerdeführers als früherer Angestellter. Die begehrten Kopien über die Tätigkeit als Angestellter insbesondere in Bezug auf einige Kreditengagements sowie die Erwähnungen des Beschwerdeführers in XXXX Protokollen, XXXX Protokollen sowie Schreiben und Beilagen an die Behörden (FMA, OeNB etc) habe die Beschwerdegegnerin nicht zur Verfügung gestellt, was sie auch in ihrem Schreiben vom 25.08.2023 an die Datenschutzbehörde nicht bestreite. Die Beschwerdegegnerin müsse alle relevanten Dokumente dem Gerichtsachverständigen vorgelegen, aber dürfte tatsächlich zahlreiche, für den Beschwerdeführer günstige Dokumente „unterschlagen“ haben, denn der Beschwerdeführer könne sich an zahlreiche Dokumente und Informationen erinnern, die nicht vorgelegt worden wären, aber stark für ihn sprechen würden. Die Sammlung und Übermittlung der vollständigen Daten zu diesem Fall sei völlig unabhängig von zivilprozessualen oder strafrechtlichen Qualifikationen – aus datenschutzrechtlicher Perspektive – eine Verarbeitung. Es sei falsch, dass der Beschwerdeführer sich Unterlagen für das Verfahren verschaffen wolle. Es gehe ihm darum, die Verarbeitung der Unterlagen durch die XXXX überprüfen zu können. Dass es Reflexwirkungen auf die zivilgerichtlichen Verfahren haben würde, könne das Datenschutzrecht des Beschwerdeführers nicht einschränken. Die Beschwerdegegnerin habe entsprechende Schwärzungen vorzunehmen. Es gehe hier in erster Linie um Daten, die ohnehin dem gemeinsamen gerichtlichen Sachverständigen offengelegt werden oder werden müssten, und die dem Beschwerdeführer weitestgehend bekannt seien, weil er sie als Angestellter selbst erzeugt habe.

7. Die Beschwerdegegnerin replizierte mit Stellungahme vom 17.04.2024, das Verarbeitungsverzeichnis, welches dem Beschwerdeführer im Rahmen der Auskunftsbeantwortung übermittelt worden wäre, beinhalte unter anderem auch Informationen zu Datenverarbeitungen, welche der „Tätigkeit als Angestellter“ zuordenbar sei. Konkret handle es sich dabei um die Verarbeitungskategorien „Urlaubs-und Reisekostenabrechnung“, „Zeiterfassung“, „Personal“, „Telefonaufzeichnung § 33 WAG 2018“, „E-Mail“, „Kundendaten/Kundenunterlagen“ und „Protokolle“. Der Beschwerdeführer führe nicht aus, welche „Dokumente und Information“ er konkret meine. Die Beschwerdegegnerin sei bereit, im Rahmen des rechtlich zulässigen, jene Dokumente beziehungsweise Dokumentenbestandteile, allenfalls geschwärzt beziehungsweise anonymisiert, zu liefern, die es dem Beschwerdeführer ermöglichen würden zu beurteilen, ob dem Sachverständigen alle für seine Befundaufnahme relevanten Dokumente, die personenbezogene Daten des Beschwerdeführers enthalten würden, übermittelt worden wären. Die Beschwerdegegnerin ersuchte die Datenschutzbehörde um Erstreckung der Frist bis längstens zum 30.06.2024 zur Abgabe der ergänzenden Stellungnahme, insbesondere im Hinblick auf die Auswertung der E-Mails. Es sei geplant, Unterlagen zu XXXX und XXXX protokollen sowie Kontendispositionen binnen zwei Wochen, und zu Kundenakten binnen einem Monat allenfalls auch dem Beschwerdeführer zur Verfügung zu stellen.

8. Mit Verfahrensanordnung vom 23.04.2024 wurde die Frist zur Beibringung einer ergänzenden Stellungnahme bis zum 15.05.2024 erstreckt.

9. Mit Eingabe vom 15.05.2024 übermittelte die Beschwerdegegnerin eine ergänzende Stellungnahme und führte darin aus, um den Beschwerdeführer beschwerdefrei zu stellen, habe die Beschwerdegegnerin versucht, aus dem Auskunftsbegehren und der Beschwerde jene Dokumente und Dokumentenbestandteile herauszufiltern, um die es dem Beschwerdeführer erkennbar gehe. Dem Beschwerdeführer würden nunmehr sämtliche Dokumente bzw. Dokumentenbestandteile – geschwärzt bzw. anonymisiert – zur Verfügung gestellt werden, die es ihm ermöglichen würden, zu beurteilen, ob dem Sachverständigen im Zuge des streitanhängigen Gerichtsverfahrens alle für seine Befundaufnahme relevanten Dokumente mit personenbezogenen Daten übermittelt worden wären. Dem Beschwerdeführer würden Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung gestellt werden, die bis zur Beendigung des Arbeitsverhältnisses generiert worden wären. Die in den übermittelten Dokumenten vorgenommenen Schwärzungen bzw. Anonymisierungen seien insbesondere darin begründet, dass es sich dabei um personenbezogene Daten Dritter handle, zu deren Schutz die Beschwerdegegnerin verpflichtet sei, oder die weitere Kontextualisierung der verarbeiteten Daten im Sinne der Rechtsprechung des EuGH zu C-487/21 nicht erforderlich gewesen sei, um ihre Verständlichkeit zu gewährleisten. Insofern der Beschwerdeführer – trotz der vorgenommenen Konkretisierung - weiterhin alle Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, sohin Datenbankauszüge, E-Mails, Briefe (bankintern oder an Dritte wie die FMA), Leistungsbeurteilungen, Auszüge von XXXX protokollen, Telefonaufzeichnungen und Telefonprotokolle, Gesprächsnotizen, Kreditanträge, Listen usw, verlange, werde einmal mehr darauf verwiesen, dass der Beschwerdeführer bereits umfassende Kopien erhalten habe und erachte die Beschwerdegegnerin unter Aufrechterhaltung ihrer bisherigen Begründungen diese Verlangen als rechtmissbräuchlich und exzessiv. Die Beschwerdegegnerin führte weiters aus, welche Kopien der konkret angeforderten Unterlagen nicht übermittelt werden. Dem Beschwerdeführer würden - mangels konkreter Anforderung - Datenkopien nach der Beendigung des Dienstverhältnisses nicht mehr zur Verfügung gestellt werden, doch könne dazu allgemein festgehalten werden, dass die diesbezüglichen Verarbeitungen von personenbezogenen Daten des Beschwerdeführers nur erfolgt wären, sofern die FMA Berichterstattungen zu den laufenden Gerichtsverfahren angefordert habe. Bezüglich dieser dem Beschwerdeführer nicht direkt übermittelten, jedoch der belangten Behörde zur Verfügung gestellten Datenkopien, beantragte die Beschwerdegegenerin, die belangte Behörde möge diese aus der Akteneinsicht ausnehmen. Sowohl bei den unter Pkt. 6.a. angeführten E-Mails wie auch bei den unter Pkt. 6.b. und 6.c. angeführten Protokollen bzw. der Protokollbeilage handle es sich unzweifelhaft um unternehmensinterne Informationen im Zusammenhang mit den laufenden Rechtsstreitigkeiten. Diese stünden insbesondere im Zusammenhang mit dem Arbeitsgerichtsverfahren, welches derzeit zwischen dem Beschwerdeführer, als ehemaliger Führungskraft, und der Beschwerdegegnerin vor dem Landesgericht XXXX anhängig sei.

10. Der Beschwerdeführer führte mit Schriftsatz vom 11.06.2024 aus, dass die geltende gemachte Rechtsverletzung nach wie vor bestehe, trotz des neuerlichen Nachtrages. Der Beschwerdeführer fordere alle seine Daten und Informationen zu den Kreditengagements XXXX , XXXX , XXXX und XXXX . Die Auskunft sei in allen vier Fällen eindeutig und offensichtlich unvollständig. Der Beschwerdeführer bemängle, dass die Beschwerdegegnerin nicht alle VOSI-Protokolle bzw Kreditreports (Watchlist etc) vorgelegt habe. Gerade auch die Protokolle vor dem Zeitraum 2020 seien in den Gerichtsverfahren relevant und müssten dem Sachverständigen vorgelegt werden. Die Beschwerdegegnerin habe die IR-Berichte XXXX /2021 und XXXX /2021 im arbeitsrechtlichen Prozess gegen den Beschwerdeführer vorgelegt. Die Beschwerdegegnerin habe die im IR-Bericht XXXX /2021 unter den Unterpunkten je Kreditengagement angeführten „Überziehungsanweisungen“ bzw Entscheidungen bis heute nicht vorgelegt. Die Beschwerdegegnerin führe dazu in ihrem Schreiben an den Rechtsvertreter des Beschwerdeführers vom 15.05.2024 unter Punkt 2.f) aus, dass diese Daten nicht mehr vorlägen. Wenn diese Daten tatsächlich nicht mehr vorlägen, wie die Verantwortliche auch in einem Schreiben vom 29.05.2024 noch einmal behauptet habe (Beilage ./D), läge ein Gesetzesverstoß gegen die Aufbewahrungspflichten und ein Bruch des Löschkonzepts vor, welcher aufklärungsbedürftig sei. Es seien auch jene Daten zu beauskunften, welche die Beschwerdegegnerin in Bezug auf die Verfahren über den Beschwerdeführer an die FMA weitergebe. Es würden umfangreiche Daten des Beschwerdeführers fehlen, die ihm ganz oder teilweise vorliegen würden. Bezüglich der von der Akteneinsicht ausgenommene Aktenbestandteile werde die Beschränkung akzeptiert.

11. Mit Schriftsatz vom 09.07.2024 brachte der Beschwerdeführer vor, dass die Rechtsverletzung nach wie vor vorliege. Die Beschwerdegegnerin habe dem Beschwerdeführer mit Schreiben vom 29.05.2024 mitgeteilt, dass das Rechenzentrum der Bank final bestätigt habe, dass die für den Gerichtssachverständigen sehr kritischen Daten zu den ARCTIS Überziehungsanweisungen nicht mehr existiere, und es keine Verarbeitung dazu gebe. Der Rechtsvertreter des Beschwerdeführers kenne das Löschkonzept des Rechenzentrums sowie die technischen Grundlagen und Gegebenheiten des Kernbankensystems im Detail. Eine solche Löschung widerspräche nicht nur den technischen Gegebenheiten und dem Löschkonzept diametral, sondern wäre im Übrigen auch ein Bruch gesetzlicher Aufbewahrungspflichten und regulatorischer Bestimmungen. Am 11.06.2024 habe die Verantwortliche auf Nachfragen des Beschwerdeführers mit einem Schreiben reagiert, demzufolge sie doch noch einen Auftrag an das Rechenzentrum gestellt habe. Dies stelle einen Widerspruch zu ihrem Schreiben vom 29.05.2024 dar, wonach das Rechenzentrum bereits eine finale Erklärung abgegeben habe, dass es keine Daten gebe. Diesen Widerspruch habe die Beschwerdegegnerin nicht auflösen können. Die Beschwerdegegnerin habe am 13.06.2024 einen Teil der Daten, welche laut Vorkorrespondenz vom Rechenzentrum gelöscht worden seien, übermittelt. Diese übertrieben stark geschwärzten Unterlagen der Teilauskunft 4 seien unvollständig, denn sie würden nur eine von vier Kreditakten betreffen, nämlich XXXX . Dass es mehr geben müsse, ergebe sich aus dem von der Beschwerdegegnerin im zivilgerichtlichen Verfahren vor dem Landesgericht XXXX , XXXX vorgelegten Bericht. Die in diesem Bericht unter den Punkten 1.3, 2.3.und 3.3. zu den jeweiligen Kredit-Engagements angeführten Überziehungsanweisungen habe die Beschwerdegegnerin bis heute nicht vorgelegt. Diese Überziehungsanweisungen würden im Übrigen den gleichen Zeitraum wie das Kreditengagement XXXX betreffen. Das Rechenzentrum lösche nicht individuell auf Kundenebene, sondern auf Zeitebene, und zwar frühestens sieben Jahre, nachdem ein Engagement geschlossen worden seien. Alle vier Kreditengagements seien aber offen. Jedenfalls sei die Auskunft vom 29.05.2024 falsch. Der Beschwerdeführer wisse mit Sicherheit, dass die Beschwerdegegnerin umfangreiche Daten verarbeite, aber nicht beauskunftet habe, aber er habe naturgemäß kein vollständiges Bild von den fehlenden Daten. Es sei vielmehr die Verpflichtung der Verantwortlichen, eine vollständige Auskunft zu liefern.

12. Mit Schriftsatz vom 15.07.2024 erhob der Beschwerdeführer eine Säumnisbeschwerde und brachte darin im Wesentlichen vor, im Zuge des arbeitsrechtlichen Verfahrens am Landesgericht XXXX zur Geschäftszahl XXXX gegen die Verantwortliche sei es zu einer (absichtlichen) unrichtigen Verarbeitung gekommen, als die Verantwortliche dem Sachverständigen (am Gericht vorbei) nur ausgewählte Unterlagen geliefert habe – nämlich nur solche, welche isoliert betrachtet den Eindruck erwecken würden, der Beschwerdeführer wäre im Unrecht, und nicht jene, welche sein sorgfältiges Verhalten belegen würden. Der Beschwerdeführer habe ein umfassendes datenschutzrechtliches Auskunftsbegehren an die Verantwortliche gerichtet. Mit Schreiben vom 28.02.2023 habe der Datenschutzbeauftragte der Beschwerdegegnerin ein vom Vorstand der Bank unterzeichnetes Schreiben sowie einen Link zu einem Downloadbereich mit der Teilauskunft 1. übermittelt. Die Teilauskunft 1 habe nahezu keine Daten der Priorität 1 beinhaltet (Informationen zu vier Kreditengagements, die Gegenstand des zivilgerichtlichen Verfahrens sind und daher ohnehin aufbereitet waren; Protokolle von XXXX und XXXX sowie Schreiben an die Behörden wie Finanzmarktaufsicht und OeNB, in welchen der Beschwerdeführer genannt werde). Die Beschwerdegegnerin habe am 18.08.2023 einen neuen Downloadlink mit der Teilauskunft 2 übermittelt. Die Teilauskunft 2 habe im Wesentlichen die ursprünglich nicht lesbaren 406 Kopien zur Teilauskunft 1 beinhaltet, welche fast ausschließlich die Rolle des Beschwerdeführers als Kunden, aber nicht als Mitarbeiter betrfoffen hätten. Mit 15.05.2024 habe die Beschwerdegegnerin der belangten Behörde eine neuerliche Stellungnahme vorgelegt und tatsächlich im Rahmen der Teilauskunft 3 eine größere Menge von Daten/Kopien der Priorität 1 zur Verfügung gestellt. Zwar habe die Verantwortliche nun eine große Zahl von Kopien zur Verfügung gestellt, nach wie vor würden aber kritische Dokumente fehlen. Darüberhinaus habe der Beschwerdeführer der Beschwerdegegnerin über seinen Rechtsvertreter erklärt, dass die Behauptung, dass im Rechenzentrum bestimmte für den Prozess zentrale Daten zerstört worden seien, nicht stimmen könne, weil dies nicht nur gegen das seinem Rechtsvertreter im Detail bekannte Löschkonzept sowie den technischen Gegebenheiten widerspräche, sondern im Übrigen auch ein Bruch gesetzlicher Aufbewahrungspflichten und regulatorischer Bestimmungen sei. Zwei Tage später – am 13.06.2024 - habe die Beschwerdegegnerin ohne den Versuch irgendeiner Erklärung einen Teil der in der Vorkorrespondenz von der Beschwerdegegnerin als gelöscht bezeichneten Daten übermittelt. Diese Daten der Teilauskunft 4 seien allerdings wieder unvollständig, denn sie betreffen nur einen von vier (Kredit)Akten der laufenden zivilgerichtlichen Verfahren am Landesgericht XXXX . Die sechsmonatige Entscheidungsfrist der belangten Behörde sei am 23.11.2023 abgelaufen.

13. Die belangte Behörde legte mit Schreiben vom 11.10.2024 die Säumnisbeschwerde des Beschwerdeführers samt den bezughabenden Verwaltungsakt vor und beantragte, das Bundesverwaltungsgericht möge gemäß § 28 Abs. 7 VwGVG in der Sache selbst entscheiden, da der maßgebliche Sachverhalt feststehe.

14. Am 18.06.2025 fand eine mündliche Verhandlung statt, bei welcher der Beschwerdeführer zu seinen Beschwerdegründen befragt wurde und der Inhalt der einzelnen im Verfahren vor der belangten Behörde erstatteten Auskünfte erörtert wurde. Der Beschwerdegegnerin wurde eine Frist von vier Wochen zur vollständigen Erteilung der Auskunft gegeben.

15. Mit Schreiben vom 31.07.2025 erteilte die Beschwerdegegnerin eine ergänzende Stellungnahme. Bezüglich der ARCTIS Unterlagen führte sie aus, sie habe ergänzende Überziehungsanweisungen von Seiten des Rechenzentrums erhalten und diese umgehend an den Beschwerdeführer weitergeleitet. Weder für Anweisungen zu Anträgen für Überziehungen, noch zu Kreditanträgen sind Vorstandssitzungen (VoSi) im Prozess der Entscheidungsfindung vorgesehen. Es würden also keine VoSi-Protokolle zur Genehmigung der Kreditanträge oder Überziehungsanweisungen zu den gegenständlichen Kreditengagements, die dem Beschwerdeführer zur Verfügung gestellt werden könnten, existieren. Die Informationen an Kunden im Zusammenhang mit der Entlassung des Beschwerdeführers sowie die nachfolgende Korrespondenz würden dem Beschwerdeführer nunmehr zur Verfügung gestellt werden. Die Mitarbeiter der Beschwerdegegnerin seien per Mailnachricht darüber informiert worden, dass man sich vom Beschwerdeführer getrennt habe. Auch diese Nachricht werde hiermit übermittelt. Die ,,Sachverhaltsdarstellung“ in einem XXXX protokoll unterliege einem Geheimhaltungsinteresse. Die FMA-Korrespondenz werde mit entsprechenden Schwärzungen direkt zur Verfügung gestellt.

16. Mit Stellungnahme vom 10.09.2025 führte der Beschwerdeführer aus, auch nach dem fünften Versuch – 18 Monate nach dem Auskunftsbegehren – sei die Auskunft der Beschwerdegegnerin unvollständig; noch nicht einmal die Daten der Priorität 1 seien vollständig beauskunftet. Keinesfalls habe die Beschwerdegegnerin den Anträgen nachträglich entsprochen.

Zu den ARCTIS-Unterlagen / Überziehungsanweisungen brachte er vor, die Teilauskunft V beinhaltet nun alle bisher fehlenden Überziehungsanweisungen. Im Hinblick auf die Korrespondenz mit dem Rechenzentrum verlange der Beschwerdeführer die Offenlegung der Namen der beteiligten Personen. Ohne diese Namen seien die Schreiben als Beweismittel unbrauchbar. Dieser Vorfall sei aufklärungsbedürftig, weil es sich bei der behaupteten Löschung dieser Unterlagen um einen Verstoß gegen das bekannte Löschkonzept des Rechtenzentrums und die Aufbewahrungsfristen nach dem FM-GwG handeln müsse.

Zu den Protokollen XXXX sitzungen brachte der Beschwerdeführer vor, selbstverständlich gebe es keine XXXX protokolle zu Überziehungsanweisungen. Wie die Beschwerdegegnerin richtig ausführe, würden Kreditanträge, die das Pouvoir des Vorstands übersteigen würden, nach positiver Entscheidung durch den Vorstand dem XXXX beziehungsweise XXXX zur Entscheidung vorgelegt; die Entscheidungen würden in den XXXX und XXXX -Protokollen dokumentiert. Es sei beispielsweise kein einziges XXXX vorgelegt worden. Die Beauskunftung hinsichtlich der vier Kreditengagements mit lediglich drei übermittelten VOSI-Protokollen Kreditkunden (vom XXXX ) und zwei übermittelten VOSI-Protokollen RM/KM/RE (vom 12. November sowie 15. November 2019 und 6. Februar 2020) seien nicht zuletzt angesichts der regulatorischen (tourlichen) Notwendigkeit weiterhin unvollständig. Eine Behandlung und entsprechende Protokollierung der vier Kreditengagements sei somit angesichts der gesetzlichen Erfordernisse (Bonitätseinstufung, Obligohöhe, teilweise Organgeschäft etc) über eine Laufzeit von 15 Jahren jedenfalls gegeben. Dass es zu den vier Kreditengagements über die Laufzeit von 15 Jahren nicht mehr VOSI-Protokolle (Kreditreports, XXXX , Protokolle ÜBA, Protokolle XXXX etc) gebe, sei angesichts der dargelegten regulatorischen Notwendigkeiten schlichtweg ausgeschlossen.

Bezüglich der FMA-Korrespondenz führte der Beschwerdeführer aus, dem Beschwerdeführer liege insbesondere aus verschiedenen Gerichtsverfahren über die Beilage ./P hinausgehende weitere Korrespondenz mit der FMA vor, die noch nicht beauskunftet worden sei. Die Beschwerdegegnerin sei in der Verhandlung sogar ausdrücklich darauf hingewiesen worden, dass der Beschwerdeführer die FMA-Korrespondenz aus den Prozessen kenne.

Nach wie vor würden auch zahlreiche Korrespondenz und Unterlagen aus dem Personalakt des Beschwerdeführers fehlen (Zeugnisse, Ausbildungsnachweise, Dienstvertrag, Urlaubsanträge, Zeiterfassungen etc).

17. Die Beschwerdegegnerin replizierte mit Schriftsatz vom 08.10.2025, die Beschwerdegegnerin sei mit der Urkundenvorlage vom 31.07.2025 dem Begehren bezüglich der vom Beschwerdeführer in der mündlichen Verhandlung beantragten Dokumente vollständig nachgekommen.

Zu den ARCTIS Unterlagen/Überziehungsanweisungen führte die Beschwerdegegnerin aus, der Forderung nach Offenlegung der Namen der beteiligten Personen könne nicht nachgekommen werden. Es bestehe keine Rechtsgrundlage, aufgrund derer die Beschwerdegegnerin zur Preisgabe verpflichtet wäre.

Bezüglich der XXXX protokolle führte die Beschwerdegegnerin aus, der Beschwerdeführer fordere nun offenbar die Vorlage von Kreditreports, da er selbst davon ausgehe, dass es „selbstverständlich keine XXXX protokolle“ gebe. Diese Unterlagen seien jedoch bislang nicht explizit gefordert worden und werde dessen Vorlage auch nicht im Rahmen seiner Einvernahme erörtert. Sie seien damit nicht Gegenstand des Beschwerdeverfahrens. Es sei richtig, dass zu Krediten, die der Beschwerdeführer betreut habe, XXXX oder XXXX sowie Kreditreports vorliegen würden. Personenbezogene Daten des Beschwerdeführers seien in der Regel jedoch nur insofern enthalten, als sein Name oder in der Regel überhaupt nur seine Kennnummer als Kreditbetreuer festgehalten sei. Die Aufbereitung (Durchsicht und Schwärzung) der Protokolle würde lediglich Aufwand bei der Beschwerdegegnerin verursachen, dem Beschwerdeführer jedoch keinen zusätzlichen Informationswert bieten. Die Auskunft, dass der Name oder die Kennnummer des Beschwerdeführers als personenbezogenes Datum verarbeitet wurde, erfülle vor diesem Hintergrund bereits die Auskunftspflicht.

Bezüglich der FMA-Eingaben habe der Beschwerdeführer in der Verhandlung angegeben, dass er bislang eine Eingabe an die FMA laut Gerichtsbeilage ./17 des LG XXXX zu XXXX nicht erhalten habe und dies moniert. Diese Eingabe sei als Beilage ./P bereits zur Verfügung gestellt worden. Bezüglich über die Beilage ./P hinausgehende „FMA-Korrespondenz“, ersuche die Beschwerdegegnerin um entsprechende Präzisierung. Jene Korrespondenz mit der FMA, die für die Beurteilung des Sachverhalts im arbeitsgerichtlichen Verfahren relevant gewesen sei, erliege im Akt des arbeitsgerichtlichen Verfahrens - der Beschwerdeführer verfüge demnach darüber. Eine Übermittlung dieser Schreiben im Rahmen der datenschutzrechtlichen Auskunft sei natürlich möglich, wenn auch sinnbefreit, weil der Beschwerdeführer diese Dokumente ja ohnehin bereits in seinem Besitz habe und teilweise im Rahmen des datenschutzrechtlichen Auskunftsverfahrens noch einmal übermittelt bekommen habe. Darüberhinausgehende FMA-Korrespondenz sei nicht Gegenstand des Beschwerdeverfahrens. Zudem gebe es eine enorme Anzahl an Dokumenten und Daten, die in diesem Zusammenhang geprüft werden müssten, die aber keinen zusätzlichen Erkenntnisgewinn für den Beschwerdeführer bedeuten würden. Der Name des Beschwerdeführers scheine in vielen dieser Korrespondenzstücke auf. Die Angabe seines Namens erfolge aber eben nur wegen der Angabe seiner Funktion und enthalte in der Regel keine weitergehenden personenbezogenen Daten. Die Übermittlung sämtlicher dieser Meldungen und Schreiben, die weder den Gegenstand des arbeitsgerichtlichen Verfahrens, noch sonstige Personalangelegenheiten des Beschwerdeführers betreffen würden, seien daher weder notwendig, noch zielführend, um über die Verarbeitung „seiner“ Daten iSd Art 15 DSGVO zu informieren. Praktisch würde er unzählige Dokumente erhalten, die – außer seinem Namen – aufgrund der enthaltenen bankinternen Daten zu schwärzen wären.

Der Beschwerdeführer habe in der Verhandlung am 18.06.2025 über Befragen des Gerichts genau angegeben, welche Unterlagen und Dokumente er noch herausgegeben wissen will. Es sei nicht erörtert worden, dass die Beschwerdegegnerin Dokumente der „Priorität 2“ im Rahmen der ergänzenden Auskunft vorlegen soll. Dokumente der Priorität 2 seien ausgehend davon und mit Blick auf das vor der DSB geführte Verfahren vom Gegenstand des vorliegenden Verfahrens nicht umfasst. In jedem Fall sei aufgrund des exzessiven Begehrens eine Präzisierung des „Priorität 2 – Auskunftsverlangens“ angesichts seines Umfangs erforderlich. Durch seine Angaben in der Verhandlung habe der Beschwerdeführer seinen Beschwerdegrund konkret dargelegt, womit der Beschwerdegegenstand und damit der Antrag deutlich umgrenzt worden wäre. Der Beschwerdeführer fordere eine „vollständige Auskunft“ und die Beauskunftung der Dokumente der Priorität 2. Diese umfasse eine außergewöhnliche Menge an Daten. Es existiere geradezu eine Flut von Unterlagen, die Daten des Beschwerdeführers enthalten. Die Prüfung dieser Unterlagen dahin, ob eine Übermittlung, Interessen Dritter zuwiderlaufe oder die Offenlegung gegen das Bankgeheimnis oder sonstige Geheimhaltungsinteressen verstoße, würde enorme Ressourcen der Beschwerdegegnerin binden und einen unverhältnismäßigen Aufwand verursachen. Da das Auskunftsverlangen auch im offensichtlichen Zusammenhang mit der Einleitung des Entlassungsverfahrens des Beschwerdeführers stünde, sei außerdem davon auszugehen, dass die Auskunft vor diesem Hintergrund aus sachfremden Gründen begehrt worden wäre. Die weit überwiegende Zahl der Unterlagen der Priorität 2 sei für das Entlassungsverfahren zudem inhaltlich nicht relevant, diene damit nicht einmal der Beweisbeschaffung, sondern scheine gestellt worden zu sein, um auf die Beschwerdegegnerin durch die Bindung von Ressourcen Druck aufzubauen und zu einem Vergleich oder ähnlichem zu bewegen. Die Übermittlung von Kopien sei zudem dann notwendig, wenn anders die Informationen nicht verständlich sei. Es sei mehr als fraglich, ob dem Beschwerdeführer mit der Übermittlung geschwärzter Dokumente tatsächlich mehr geholfen sei als mit der Information, welche Daten in welcher Art und Weise verarbeitet worden wären. Es sei jedenfalls die Einschränkung des Auskunftsbegehrens durch Präzisierung angezeigt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Der Beschwerdeführer stand seit XXXX bis zu seiner Entlassung in einem Dienstverhältnis zur Beschwerdegegnerin. Von XXXX war er in der Volksbank XXXX tätig (ab XXXX deren Vorstand), welche sich im Jahr XXXX mit der Beschwerdegegnerin XXXX hat. Ab XXXX war der Beschwerdeführer XXXX und XXXX der Beschwerdegegnerin in der Zweigstelle XXXX . Am XXXX wurde der Beschwerdeführer entlassen.

1.2. Der Beschwerdeführer stellte am 01.02.2023 ein Auskunftsbegehren an die Beschwerdegegnerin. Als Grund für das Auskunftsbegehren nannte er das laufende gerichtliche Verfahren gegen XXXX beziehungsweise die XXXX und den Verdacht der wiederholten Irreführung und Täuschung des Gerichtes („Prozessbetrug“) gegen Personen aus dem Institut der Beschwerdegegnerin.

Der Beschwerdeführer stellte ein Auskunftsbegehren mit auszugsweise folgendem Inhalt an die Beschwerdegegnerin:

„Mein Klient ersucht um Beauskunftung der folgenden Aspekte zu seinen Daten, die in Ihrem Institut verarbeitet werden:

- die Verarbeitungszwecke;

- die Kategorien personenbezogener Daten, die verarbeitet werden;

- die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden;

- die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

- wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten.

Darüber hinaus begehrt mein Klient gemäß Art 15 Abs 3 DSGVO eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Nur zur Klarstellung darf ich an dieser Stelle ausführen, dass dies selbstverständlich nicht nur Datenbankauszüge wie etwa jene aus dem Kernbankensystem Arctis (bzw Vorgängersystemen), sondern zB auch alle E-Mails und Briefe (bankintern oder an Dritte wie die FMA), Leistungsbeurteilungen, Auszüge von XXXX protokollen, Telefonaufzeichnungen und Telefonprotokolle, Gesprächsnotizen, Kreditanträge, Listen usw umfasst.

Falls Sie auf den vorzulegenden Kopien Schwärzungen gemäß Art 15 Abs 4 DSGVO vornehmen müssen, bitten wir jeweils um eine aussagekräftige Begründung, welche uns bzw der Datenschutzbehörde die Möglichkeit gibt, die Rechtmäßigkeit zu beurteilen.

Gemäß Art 12 DSGVO ersuche ich Sie, die Auskunft unverzüglich, in jedem Fall aber binnen eines Monats kostenlos und in verständlicher Form entweder als E-Mail an mich zu übermitteln oder einen entsprechenden sicheren Datenraum zu schaffen, aus welchem die Daten heruntergeladen werden können. Gerne können wir die zuletzt verwendeten Modalitäten wieder anwenden.

Ich möchte Sie auch diesmal wieder in Ihrer Rolle als weisungsfreier Datenschutzbeauftragter bitten, persönlich besonderes Augenmerk darauf zu legen, dass die Auskunft trotz der bestehenden Konflikte zwischen meinem Klienten und einzelnen Personen Ihres Hauses vollständig erfolgt. Gerade in der gegenständlichen Konstellation, in der eine Hausdurchsuchung durch die Strafbehörden ein durchaus realistisches Szenario ist, könnte eine rechtswidrige Auskunft zu weitreichenden und schwerwiegenden Konsequenzen führen.

…

Nur für den Fall, dass die XXXX das Beheben der aufgetretenen schweren systemischen Mängel versäumt hat, sind alle Daten und Informationen prioritär zu behandeln, die meinen Klienten betreffen und – in welchem Kontext auch immer – mit den Kreditengagements folgender Bankkunden zu tun haben:

- XXXX ;

- XXXX ;

- XXXX ;

- XXXX .

Genauso prioritär sind außerdem Erwähnungen meines Klienten in XXXX -Protokollen, XXXX -Protokollen sowie Schreiben und Beilagen an die Behörden (FMA, OeNB etc) zu behandeln.

In Bezug auf diese oben genannten Daten wird mein Klient keinerlei Ausflüchte und Verzögerungen akzeptieren und mit allen gebotenen Mitteln dagegen vorgehen. Nach dieser Übermittlung wären dann alle übrigen, nicht auf diese Fälle bezogenen Daten vollständig zu beauskunften.“

1.3. Die Beschwerdegegnerin beantwortete das Auskunftsbegehren des Beschwerdeführers mit Schreiben vom 27.02.2023 wie folgt:

„Sehr geehrter Herr MMag. Breuss,

zum Auskunftsbegehren gem. Art. 15 DSGVO lhres Mandanten XXXX (in der Folge "Mandant") vom 01.02.2023 dürfen wir wie folgt replizieren:

Die Anschuldigungen lhres Schreibens vom 1. Februar 2023 weisen wir auf das Schärfste zurück, werden darauf im Rahmen dieser Replik jedoch nicht näher eingehen.

Gesagt sei zu Pkt 1 nur so viel: Als Helfer des Gerichts steht dem Sachverständigen selbstverständlich auch das Recht zu, Urkunden direkt von den Parteien anzufordern, sofern sich nicht beide Parteien dagegen aussprechen. Exakt dieses Recht hat der Sachverständige ausgeübt, weshalb über unseren Rechtsvertreter die angeforderten Unterlagen zur Verfügung gestellt wurden. Hätten wir die angeforderten Unterlagen nicht geliefert, hätte der Sachverständige nach § 359 Abs. 2 ZPO gerichtliche Hilfe in Anspruch nehmen müssen, was die Gutachtenserstellung unnötig in die Länge gezogen hätte. Selbstredend steht es lhrem Mandanten frei, sich im Rahmen des arbeitsgerichtlichen Verfahrens über die Echtheit und die Richtigkeit der auf diese Weise vom Sachverständigen beschafften Urkunden zu erklären und seine Bedenken dagegen vorzubringen.

Oa Ausführungen sind jedoch insofern relevant, als sie unmissverständlich die Stoßrichtung des gegenständlichen Auskunftsersuchens erkennen lassen. Wie Sie selbst anführen, geht es lhrem Mandanten primär nicht um die Ausübung seines Auskunftsbegehrens nach Art. 15 DSGVO, sondern vielmehr darum, einer vermeintlichen “Unterlagenzurückhaltung ein für alle Mal entgegenzuwirken“ und sich somit - unter Vorschiebung des Auskunftsanspruchs nach der DSGVO - Unterlagen für den anhängigen Arbeitsrechtsprozess zu verschaffen.

ln diesem Zusammenhang dürfen wir Sie darauf hinweisen, dass ein Anspruch auf Auskunft nach Art 15 DSGVO nicht besteht, wenn mit einem solchen Antrag offensichtlich sachfremde Ziele verfolgt werden. Auskunftsanträge, deren Zweck nicht die Überprüfung der Rechtmäßigkeit der Datenverarbeitung ist, sondern die sachfremde Ziele verfolgen, sind als offensichtlich unbegründet abzulehnen (vgl. KnyrimAl/Willheim, “Das datenschutzrechtliche Auskunftsrecht als nur beschränktes Mittel der Beweisbeschaffung zur Durchsetzung zivilrechtlicher Ansprüche", RdW 2021/600, S 752 mwN).

Des Weiteren ist die Gewährung des Zugangs zu Dokumenten mit personenbezogenen Daten für Zwecke der Beweisführung in gerichtlichen Verfahren zur Durchsetzung privatrechtlicher Ansprüche kein von der DSGVO geschütztes Ziel. Eine Ausdehnung des datenschutzrechtlichen Auskunftsrechts ausschließlich zu Zwecken der Beweismittelbeschaffung in zivilgerichtlichen Auseinandersetzungen würde auch unrechtmäßig in die Autonomie der Mitgliedsstaaten zur Regelung der Beweislastverteilung und der Beweisführung in zivilgerichtlichen Auseinandersetzungen, die dem Anwendungsbereich ihres materiellen Rechts sowie ihres Verfahrensrechts unterliegen, eingreifen (vgl. dazu insgesamt Knyrim/Willheim, aaO, S 752f). Vielmehr hat lhr Mandant mit Hilfe der diesbezüglichen Regelungen der ZPO auf die Vorlage - seiner Ansicht nach - entlastender Beweismittel zu drängen. lm Hinblick auf den klar ersichtlichen personellen, zeitlichen und auch inhaltlichen Kontext zum bestehenden Arbeitsrechtsstreit, ist von einer solchen offenkundigen und damit rechtsmissbräuchlichen Ausübung des datenschutzrechtlichen Auskunftsrechts für den sachfremden Zweck der Beweismittelbeschaffung auszugehen.

Wie sie selbst ausführen, bekleidete Ihr Mandant zudem verschiedenste Funktionen innerhalb unseres Unternehmens, sodass wir nach Art. 12 Abs. 5 lit. b DSGVO auch berechtigt sind, das Auskunftsbegehren aufgrund eines offenkundig unbegründeten und exzessiven Antrags abzulehnen, zumal er, wie oben dargelegt, offenkundig zur Verfolgung sachfremder Zwecke gestellt wird; außerdem ist zu berücksichtigen, dass lhr Mandant aufgrund seiner gehobenen Stellung in unserem Unternehmen, Kenntnis von den ihn betreffenden personenbezogenen Daten hat. Mit Blickrichtung auf lhre Klarstellung, was sie unter der begehrten Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, verstehen ("alle E-Mails und Briefe [bankintern oder an Drifte wie FMA), Leistungsbeurteilungen, Auszüge von XXXX protokollen, Telefonaufzeichnungen und Telefonprotokolle, Gesprächsnotizen, Kreditanträge, Listen usw“) ist auch jedenfalls von einem unverhältnismäßigen Aufwand gegenüber der durch die DSGVO geschützten lnteressen lhres Mandanten, nämlich dem Bewusstsein über die Verarbeitung der ihn betreffenden personenbezogenen Daten und die Überprüfung der Rechtmäßigkeit, auszugehen, sodass es sich jedenfalls auch um ein exzessives Auskunftsbegehren, dessen Ablehnung erlaubt ist, handelt.

Schließlich darf nach Art. 15 Abs. 4 DSGVO das Recht auf Erhalt einer Kopie gem. Art. 15 Abs. 3 DSGVO nicht die Rechte und Freiheiten anderer Personen beeinträchtigen. Wir dürfen lhnen daher jedenfalls auch keine Kopien zu Verfügung stellen, wenn dadurch Rechte solche Dritter verletzt würden, worunter auch Auskünfte über unternehmensinterne Informationen betreffend laufender Rechtsstreitigkeiten zu subsumieren sind.

Trotz unseres grundsätzlichen Rechtes, das Auskunftsbegehren abzulehnen, sind wir jedoch bereit, lhnen in Beantwortung lhres Auskunftsbegehrens gem. Art. 15 DSGVO vom 01.02.2023 für lhren Mandanten die Verarbeitung seiner personenbezogenen Daten gemäß beiliegender Aufstellung inkl. der mitübermittelten Datenkopien bekannt zu geben bzw. zur Verfügung zu stellen.

Die Aufstellung beinhaltet:

 die Verarbeitungszwecke;

 die Kategorien der verarbeiteten personenbezogenen Daten;

 die Empfänger, gegenüber denen die personenbezogenen Daten offengelegt werden;

 die geplante Dauer der Speicherung der Daten bzw. die Kriterien für die Festlegung dieser Dauer;

 die Herkunft der personenbezogenen Daten;

 das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling;

Oa Aufstellung, inklusive der Datenkopien stellen wir lhnen in geschützter Form über eine Datenplattform zur Verfügung.

lhrem Mandanten steht grundsätzlich das Recht auf Berichtigung, Löschung, Einschränkung und Widerspruch zur Verarbeitung seiner personenbezogenen Daten zu. Zur Ausübung dieser Rechte wenden Sie sich bitte an uns.

Sollte lhr Mandant der Ansicht sein, dass die Verarbeitung seiner personenbezogenen Daten gegen das Datenschutzrecht verstößt oder seine datenschutzrechtlichen Ansprüche in irgendeiner Weise verletzt worden sind, besteht darüber hinaus das Recht, bei der Aufsichtsbehörde Beschwerde einzulegen. ln Österreich ist dafür die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien zuständig.

Sollte lhr Mandant der Meinung sein, dass dem Auskunftsbegehren zu Unrecht nicht gänzlich entsprochenen wurde, steht es ihm selbstverständlich frei, bei der oa Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen. In diesem Fall können wir die Rechtmäßigkeit der Ablehnung im Zuge eines allfälligen Beschwerdeverfahrens jederzeit nachweisen.“

1.4. Die von der Beschwerdegegnerin dem Beschwerdeführer übermittelten Dokumente enthielten Fehlermeldungen und Tabellen bezüglich Daten aus der Kundenrolle. Die übermittelten Datenkopien waren zum größten Teil nicht leserlich.

1.5. Der Beschwerdeführer änderte am 01.08.2023 sein Begehren dahingehend ab, dass er die Verletzung im Recht auf Auskunft begehrte und die Einleitung eines amtswegigen Prüfverfahrens anregte. Der Beschwerdeführer beanstandete die von der Beschwerdegegnerin erteilte Auskunft auszugsweise wie folgt:

„Am 28. Februar 2023 übermittelte der Datenschutzbeauftragte der XXXX ein vom Vorstand der Bank unterzeichnetes Schreiben (Beilage ./B) sowie einen Link zu einem Downloadbereich. Folgt man diesem Link, findet man neben einem Auszug aus dem Verarbeitungsverzeichnis im Excel-Format im Wesentlichen Depot- und Kontoauszüge meines Klienten als Bankkunden, zahlreiche Fehlermeldungen wegen nicht aktueller (!) Software (Beilage ./C oder Beilage ./D), die anscheinend ins pdf-Format kopiert wurden, und zahlreiche vollständig leere Dokumente. Zu diesen leeren Dokumenten gibt es jeweils keine Erklärung, um welche Art Dokument es sich handelt, oder warum es überhaupt keinen Inhalt hat. Insgesamt sind von 847 zur Verfügung gestellten Dokumenten 406 unbrauchbar, weil sie nicht leserlich, leer oder nur die Kopie eine Fehlermeldung sind (Übersicht zu den erhaltenen Unterlagen als Beilage ./E).

Alle Dokumente, die mit der beschriebenen fehlerhaften Verarbeitung zu tun haben, fehlen. Insgesamt ist die Auskunft nicht nur bewusst rechtswidrig, sondern auch absolut unbrauchbar.

Die Verantwortliche behauptet zwar, eine Auskunft geliefert zu haben, meint aber gleichzeitig, dass der Auskunftsanspruch nach der DSGVO nur vorgeschoben sei, und dass sachfremde Ziele verfolgt werden würden. Darüber hinaus behauptet die Verantwortliche, dass das Auskunftsbegehren exzessiv sei.“

1.6. Die Beschwerdegegnerin teilte dem Beschwerdeführer mit E-Mail vom 18.08.2023 mit, dass jene Datenkopien, deren Inhalt gemäß der Aufstellung des Beschwerdeführers fehlerhaft sind, oder nicht angezeigt werden, nun in fehlerfreier und leserlicher Form zum Download zur Verfügung gestellt werden. Die Zugangsdaten und das Dateipasswort werden dem Beschwerdeführer separat zur Verfügung gestellt. Dem Beschwerdeführer wurde in einem separaten Schreiben, Dateien unter dem Weblink XXXX zum Download bereitgestellt mit folgender Information: „Das Passwort für dass Zip-Archiv erhalten Sie mittels separatem Mail. Sollte es Probleme mit dem Zugang oder Download geben, bitten wir Sie, uns Bescheid zu geben“. Darin wurden die 406 Dokumente in leserlicher Form zur Verfügung gestellt.

1.7. Der Beschwerdeführer erachtet die Rechtsverletzung nach wie vor als gegeben und führte im Schriftsatz vom 19.09.2023 aus, dass folgende Dokumente fehlen:

Die begehrten Kopien über die Tätigkeit als Angestellter insbesondere in Bezug auf einige Kreditengagements sowie die Erwähnungen des Beschwerdeführers in XXXX -Protokollen, XXXX Protokollen sowie Schreiben und Beilagen an die Behörden (FMA, OeNB etc).

1.8. Die Beschwerdegegnerin teilte dem Beschwerdeführer mit Schreiben vom 15.05.2024 mit, ihm weitere von ihm begehrte Kopien zum Download zur Verfügung zu stellen und sofern einzelne Datenkopien nicht zur Verfügung gestellt wurden, diesbezüglich eine detaillierte Begründung gegenüber der belangten Behörde erfolge. Dem Schreiben war ein Link beigefügt, der zu den Datenkopien führen sollte.

1.9. Die Beschwerdegegnerin übermittelte der Datenschutzbehörde mit E-Mail vom 15.05.2024 ein Schreiben inklusive Dateianhänge. Das Passwort für die Dateianhänge wurde in einem separaten E-Mail übermittelt. Die Beschwerdegegnerin führte aus, dass betreffend der vom Beschwerdeführer erkennbar konkret angeforderten Unterlagen, diesem nur folgende Kopien nicht direkt übermittelt werden:

E-Mails:

b. XXXX - und XXXX protokoll vom XXXX .

c. Beilage ./2 des Protokolls über die Sitzung XXXX und XXXX vom XXXX ; d. Eingaben an die Österreichische Finanzmarktaufsicht (nachfolgend auch „FMA“) über die Incoming Plattform: Sofern in diesen Eingaben personenbezogene Daten des Beschwerdeführers verarbeitet wurden, kam es dabei ausschließlich zur Nennung des Beschwerdeführers in Funktionsbezeichnungen (insb. in Organigrammen) bzw. im Rahmen der aufsichtlichen Korrespondenz im Zuge der oben zu Pkt. 3. angeführten Verschmelzung.

Die Beschwerdegegnerin stellte diese, dem Beschwerdeführer nicht direkt übermittelten Datenkopien, der Datenschutzbehörde zur Verfügung und beantragte, sie möge diese Aktenbestandteile wegen Schädigung berechtigter Interessen der Beschwerdegegnerin oder dritter Personen von der Akteneinsicht bzw. vom Parteiengehör des Beschwerdeführers ausnehmen.

Zu den einzelnen, dem Beschwerdeführer nicht direkt übermittelten E-Mails, führte die Beschwerdegegnerin aus:

„

Wie aus den Unterlagen ersichtlich ist, umfassen die angeführten E-Mails ausschließlich einen Austausch über den aktuellen Arbeitsrechtsstreit und werden dort wesentliche Meilensteine, Strategien, Erwägungen und rechtliche Einschätzungen ausgetauscht.

c. Protokolle gemäß oben Pkt. 6.b.:

i. Protokoll vom XXXX 2020: Im Zuge einer Beratung zu einem FMA-Schreiben wurde auch die Personalangelegenheit des Beschwerdeführers thematisiert und wurden insb. die bisher gesetzten Schritte sowie die geplante weitere Vorgehensweise bzw. Problemfelder in dieser Causa diskutiert.

ii. Protokoll vom XXXX 2020: Tagesordnungspunkt 18. Erneut Beratung über die Personalangelegenheit des Beschwerdeführers; Darlegung der bisherigen Entwicklungen und Schritte und Ausführungen zur geplanten weiteren Vorgehensweise sowie Besprechung der dieser zugrundeliegenden Einschätzungen. Das Protokoll beinhaltet Einschätzungen und Handlungsempfehlungen verschiedenster Personen zur oa Personalie und deren Konsequenzen. Zudem werden auch höchstpersönliche Daten (Gesundheitsdaten) verarbeitet.

iii. Protokoll vom XXXX 2021:

Tagesordnungspunkt 3: Besagter Tagesordnungspunkt behandelt erneut und intensiv die Personalangelegenheit des Beschwerdeführers und wird hier – anhand von Powerpoint-Folien – vorstandsseitig zunächst ein Statusbericht vorgetragen. Zu diesem Bericht und zur Begründung für dessen Nichtvorlage siehe (Pkt. 7. d.). In weiterer Folge erfolgte insb. eine chronologische Sachverhaltsdarstellung inkl. rechtlicher Einschätzungen, Beratungen und Wortmeldungen zur Causa und werden zT auch wieder höchstpersönliche Daten (insb. Gesundheitsdaten) verarbeitet. Allgemein wird hier im Hinblick auf – nunmehr aktuell abzuführende Gerichtsverfahren – umfassend beraten und werden Handlungsempfehlungen, rechtliche und kommerzielle Einschätzungen und Sachverhaltsannahmen diskutiert. Zudem geht es im XXXX -Protokoll um das Thema „Grundsatzvereinbarung“, welches für den Beschwerdeführer insofern relevant ist, als dieser in einem (weiteren) anhängigen Gerichtsverfahren als Nebenintervenient des Prozessgegners der XXXX auftritt. Neben dem Umstand, dass es sich auch betreffend der Sachverhaltsdarstellungen und Beratungen diesbezüglich unzweifelhaft um Geschäftsgeheimnisse handelt, werden dort – zu einem ganz überwiegenden Teil - keine personenbezogenen Daten des Beschwerdeführers verarbeitet, sodass ein Auskunftsbegehren betreffend des Großteils der diesen Themenkomplex betreffenden Textpassagen schon aus dem Grund nicht besteht, als eine umfassende Kontextualisierung der vom Beschwerdeführer verarbeiteten Daten im Sinne der Rechtsprechung des EuGH zu C-487/21 nicht erforderlich wäre, um deren Verständlichkeit zu gewährleisten.

Zum Themenblock betreffend den „Vorwurf der Fehlentwicklung in der ehemaligen VB XXXX “: Auch hier erfolgen vertrauliche Beratungen und ein vertraulicher Informationsaustausch zu aktuell anhängigen Gerichtsverfahren und ist auch diesbezüglich anzumerken, dass erneut nur bedingt personenbezogenen Daten des Beschwerdeführers verarbeitet werden, sodass ein Auskunftsbegehren schon deshalb nur auf solche Themenkomplexe eingeschränkt bestünde, die für eine umfassende Kontextualisierung der verarbeiteten Daten des Beschwerdeführers im Sinne der Rechtsprechung des EuGH zu C-487/21 erforderlich wäre, um deren Verständlichkeit zu gewährleisten.

Das zu den ersten beiden Themenblöcke Gesagte trifft auch für den dritten Themenblock (Risikosituation, XXXX -Quote; Problemobligos XXXX , Problemobligo …) zu.

d. Beilage ./2 zum Protokoll gemäß oben Pkt. 6.c.:

In besagter Protokollbeilage zum oben schon näher angeführten Tagesordnungspunkt 3 des Protokolls vom XXXX 2021 wird anhand von Powerpoint-Folien im vertraulichen Kreis des Leitungsorgans der XXXX unter Pkt. A) insb. die Entwicklung der Personalangelegenheit des Beschwerdeführers dargelegt, wobei neben einer chronologischen Darlegung von teils auch rein bankinternen und vertraulichen Beratungen zur geplanten weiteren Vorgehensweise auch rechtliche Einschätzungen getroffen werden. Unter Pkt. B) werden der Inhalt der Verwarnung des Beschwerdeführers vom XXXX 2020 inhaltlich dargelegt, wobei hier keine personenbezogenen Daten des Beschwerdeführers verarbeitet werden und es allgemein um eine Information des Leitungsorgans in seiner Aufsichtsfunktion über die Fehlentwicklung einer Geschäftsstelle der XXXX geht. Sofern es nur um den Inhalt der gegenüber dem Beschwerdeführer ausgesprochenen Verwarnung selbst und die an ihn gerichteten Erwartungen geht, besteht auch schon deshalb kein Auskunftsrecht, weil diese dem Beschwerdeführer ja ohnehin bekannt sind. Schließlich erfolgt unter Pkt. C) eine vorstandseitige Gegenüberstellung der Sachverhaltsdarstellungen des Vorstandes mit jenen des Beschwerdeführers im Schreiben an XXXX vom XXXX 2020. Auch hier werden in vertraulichem Kreis Strategien und rechtliche Erwägungen zu aktuell laufenden Gerichtsverfahren dargelegt. Im Übrigen beinhalten die Ausführungen des XXXX der XXXX überwiegend auch keine personenbezogenen Daten des Beschwerdeführers, sodass eine Auskunftspflicht auch aus diesem Umstand nicht besteht. Im Übrigen wird zur Begründung ergänzend auf jene zu auf Pkt. 7.c.iii. verwiesen.

Die in besagten Protokollen und die in Beilage ./2 des Protokolls vom XXXX 2021 enthaltenen Informationen sind unzweifelhaft als Geschäftsgeheimnisse zu qualifizieren, weil Sie ihrem Wesen nach und auch tatsächlich nur einem eingeschränkten unternehmensinternen Personenkreis, nämlich dem – jeweils Verschwiegenheitspflichten unterliegenden - XXXX und XXXX allenfalls einschließlich zur Verschwiegenheit verpflichteter Berater bekannt sind und die aufgrund ihres potentiellen Einflusses auf den Prozessausgang der aktuell anhängigen Gerichtsverfahren einen kommerziellen Wert haben. Die Kenntnis dieser Protokolle bzw. der erwähnten Beilage ./2 würde dem Beschwerdeführer unzweifelhaft einen unangemessenen Prozessvorteil verschaffen und stehen dem Auskunftsbegehren zudem die sonst bereits allgemein und zu den einzelnen Punkten noch speziell ausgeführten Gründe entgegen.“

1.10. Die belangte Behörde forderte die Beschwerdegegnerin auf, die auszunehmenden Teile sowohl der Stellungnahme als auch der Unterlagen, genau zu bezeichnen beziehungsweise zu kennzeichnen und eventuell auch in separater Form zu übermitteln.

1.11. Mit E-Mail vom 20.05.2024 teilte die Beschwerdegegnerin der belangten Behörde mit, dass in der ergänzenden Stellungnahme vom 15.5.2024 eine Auflistung der dem Beschwerdeführer nicht zur Verfügung gestellten Datenkopien übermittelt wurde und insbesondere in den Begründungen auch detailliert angeführt ist, welchen Inhalt die Datenkopien aufweisen, weshalb beantragt wird - neben den Datenkopien selbst - auch die betreffenden Bereiche der ergänzenden Stellungnahme vom 15.05.2024 gemäß § 17 (3) AVG von der Akteneinsicht auszunehmen. Konkret handelt es sich bei den von der Akteneinsicht auszunehmenden Bereichen der ergänzenden Stellungnahme vom 15.05.2024 um Pkt. 6.a. bis inkl. 6.c.; Pkt. 7. a. zweiter Absatz; Pkt. 7.b. bis inkl. Pkt. 7.d. vorletzter Absatz und; Anlage: "Aufstellung der übermittelten Datenkopien an die Datenschutzbehörde" (S 15 der Stellungnahme).

Diese auszunehmenden Bereiche wurden in

a) einer "PDF"-Version der hiermit nochmals übermittelten Stellungnahme ("Beilage_1_Stellungnahme_gelb hinterlegt.pdf") und in

b) einer weiteren hiermit übermittelten "Word"-Version der Stellungnahme samt Anhang für die Möglichkeit einer Bearbeitung durch die Datenschutzbehörde ("Beilage_2_Stellungnahme gelb_hinterlegt.docx" und "Beilage_3_Aufstellung der übermittelten Datenkopien an die Datenschutzbehörde.docx") gelb hinterlegt.

Die Beschwerdegegnerin übermittelte dem Beschwerdeführer am 29.05.2024 ein E-Mail mit folgendem Inhalt:

„Sehr geehrter Herr MMag.Breuss,

wir nehmen Bezug auf unser Schreiben vom 15.05.2024 zur Datenschutzbeschwerde XXXX und teilen Ihnen mit, dass uns zu den unter Pkt. 2 f) angeführten "Arctis Überziehungsanweisungen" vom Betreiber unseres Rechenzentrums final bestätigt wurde, dass diesbezüglich keine weiteren Daten vorhanden sind und dazu keine Datenverarbeitung stattfindet.

Mit freundlichen Grüßen

XXXX

Organisation | IKT | IKS

Datenschutzbeauftragter

IKS-Beauftragter“

1.12. Der Beschwerdeführer antwortete der Beschwerdegegnerin mit Schreiben vom 06.06.2024, dass das E-Mail vom 29.05.2024 „angesichts des offensichtlichen Verstoßes gegen die gesetzliche Aufbewahrungspflichten nicht ausreicht“.

1.13. Mit E-Mail vom 10.06.2024 antwortete die Beschwerdegegnerin dem Beschwerdeführer wie folgt:

„Sehr geehrter Herr MMag. Breuss,

wir nehmen Bezug auf Ihr mittels E-Mail am 6.6.2024 bei uns eingegangenes Schreiben mit selbigen Datum und teilen Ihnen mit, dass wir den Betreiber unseres Rechenzentrums bereits beauftragt haben

a) die uns mit Supportauftrag Nr. 88779 vom 3.5.2024 bei XXXX angeforderten fehlenden Datenkopien zu den "Arctis-Überziehungsanweisungen" entgegen der ursprünglichen Auskunft von XXXX , bereit zu stellen oder

b) sollte dies nicht möglich sein, um eine ausführliche Begründung warum eine Bereitstellung nicht erfolgen kann.

Laut Mitteilung der XXXX Ges.m.b.H von heute nachmittag ist die Bearbeitung derzeit noch in Durchführung und es wurde uns eine Stellungnahme in den nächsten Tagen zugesichert..

Wir betonen, dass es in unserem Interesse liegt, dem Beschwerdeführer alle ausstehenden Datenkopien vollständig zur Verfügung zu stellen und werden Ihnen die Informationen sofort nach Vorliegen bereitstellen.

Mit freundlichen Grüßen

XXXX

Organisation | IKT | IKS

Datenschutzbeauftragter

IKS-Beauftragter“

1.14. Der Beschwerdeführer begehrte mit Schriftsatz vom 11.06.2024 die erteilte Auskunft wie folgt zu vervollständigen: (435)

Zu den vier Kreditakten: Er forderte alle seine Daten und Informationen zu den Kreditengagements XXXX , XXXX , XXXX und XXXX :

„Zu XXXX : In der Auskunft befindet sich eine Kopie (11.1.2021) zum Kreditengagement XXXX . Dem Gerichtssachverständigen hat die Verantwortliche im Februar 2023 23 Kopien geliefert.

Zu XXXX : In der Auskunft befindet sich eine Kopie (7.10.2020) zum Kreditengagement XXXX . Dem Gerichtssachverständigen hat die Verantwortliche im Februar 2023 sechs Kopien geliefert.

Zu XXXX : In der Auskunft befinden sich drei Kopien XXXX zum Kreditengagement XXXX . Dem Gerichtssachverständigen hat die Verantwortliche im Februar 2023 18 Kopien geliefert.

Zu XXXX : In der Auskunft befinden sich zwei Kopien XXXX zum Kreditengagement XXXX GmbH. Dem Gerichtssachverständigen hat die Verantwortliche im Februar 2023 neun Kopien geliefert. Zum Kreditengagement XXXX übermittelte die Verantwortliche drei Kopien XXXX . Dem Gerichtssachverständigen hat die Verantwortliche im Februar 2023 13 Kopien geliefert.

Protokolle von Vorstandssitzungen zu Kreditkunden („VOSI-Protokolle“)

Die VOSI-Protokolle der notleidenden Engagements betreffen die Sitzungen XXXX . Da die Engagements seit der Fusion im Jahre XXXX Großteils bereits in der Bonitätsstufe 5 bzw "notleidend" eingestuft waren, ist es absolut unglaubwürdig und lebensfremd, dass diese Engagements über fünf Jahre nicht besprochen worden sein sollen. Dies wäre auch bankenaufsichtsrechtlich/regulatorisch äußerst problematisch. Mein Klient bemängelt somit, dass die Verantwortliche nicht alle VOSI-Protokolle bzw Kreditreports (Watchlist etc) vorgelegt hat. Gerade auch die Protokolle vor dem Zeitraum 2020 sind in den Gerichtsverfahren relevant und müssen dem Sachverständigen vorgelegt werden.

Berichte der Internen Revision („IR-Berichte“)

Die Verantwortliche hat die IR-Berichte XXXX /2021 und XXXX /2021 im arbeitsrechtlichen Prozess gegen meinen Klienten vorgelegt.

Die XXXX hat die im IR-Bericht XXXX /2021 unter den Unterpunkten je Kreditengagement angeführten „Überziehungsanweisungen“ bzw Entscheidungen bis heute nicht vorgelegt. Die XXXX führt dazu in Ihrem Schreiben an den Rechtsvertreter des Beschwerdeführers vom 15. Mai 2024 unter Punkt 2.f) aus, dass diese Daten nicht mehr vorlägen.

…

Eingaben an die Finanzmarktaufsicht

Schreiben an die Finanzmarktaufsicht sind Priorität 1, und es sind natürlich auch jene Daten zu beauskunften, welche die XXXX in Bezug auf die Verfahren über meinen Klienten an die FMA weitergibt.

…

Fehlende Dokumente der Priorität 2

Es fehlen umfangreiche Daten meines Klienten, die meinem Klienten ganz oder teilweise vorliegen. Hier interessiert meinen Klienten nicht nur, aber insbesondere:

- Überziehungsanweisungen aus den anderen Kreditakten – um zu prüfen, ob die XXXX alle Überziehungsanweisungen „verloren“ hat oder doch nur jene, welche die vier prozessgegenständlichen Kreditakten betrifft (siehe Punkt 2.3);

- Daten aus dem Personalakt wie Zeugnisse, Ausbildungsnachweise etc, weiters Aufzeichnungen über Urlaube und Zeiterfassung;

- ein Schreiben des Vorstandes an alle Mitarbeiter der Bank zum Ausscheiden des Beschwerdeführers aus der Bank;

- ein Schreiben über das Ausscheiden des Beschwerdeführes aus der Bank an alle Kunden;

- zahlreiche Beschwerdemails von Kunden an den Vorstand anlässlich des Ausscheidens des Beschwerdeführers (teilweise war mein Klient in Kopie oder in Blindkopie);

- Korrespondenz zur Grundsatzvereinbarung XXXX ;

- Mailkorrespondenz mit Arbeitskollegen in Lienz“.

Weiters führte der Beschwerdeführer bezüglich der von der Akteneinsicht ausgenommenen Aktenbestandteile, die Beschränkung für den Gang dieser Verfahren zu akzeptieren.

Die Beschwerdegegnerin übermittelte dem Beschwerdeführer am 13.06.2024 ein E-Mail mit folgendem Inhalt:

„Sehr geehrter Herr MMag. Breuss,

bezugnehmend auf unser Mail vom 10.06.2024 konnten die bei unserem Rechenzentrum angeforderten Datenkopien der "Arctis-Überziehungsanweisungen" nunmehr bereitgestellt werden.

Wir übermitteln Ihnen diese in der Beilage und lassen Ihnen das Passwort zum Öffnen der Datei mittels separatem Mail zukommen.

Mit freundlichen Grüßen

XXXX

Organisation | IKT | IKS

Datenschutzbeauftragter

IKS-Beauftragter“

1.15. Die vom Beschwerdeführer begehrten ARCTIS-Unterlagen / Überziehungsanweisungen wurden ihm in weiterer Folge beauskunftet.

1.16. Der Beschwerdeführer begehrt nunmehr bezüglich der begehrten ARCTIS-Unterlagen / Überziehungsanweisungen, im Hinblick auf die Korrespondenz mit dem Rechenzentrum, die Offenlegung der Namen der beteiligten Personen, da die Beschwerdegegnerin dem Beschwerdeführer zunächst mitteilte, dass das Rechenzentrum die begehrten Unterlagen gelöscht habe und diese im Nachhinein doch bereitgestellt werden konnten.

Der Beschwerdeführer begehrt weiters die Vorlage der XXXX und die Vorlage der restlichen VOSI-Protokolle (Kreditreports, XXXX , Protokolle ÜBA, Protokolle XXXX etc) sowie die vollständige Beauskunftung der FMA-Korrespondenz und Unterlagen aus dem Personalakt des Beschwerdeführers.

Die Beschwerdegegnerin weigert sich die XXXX oder des XXXX sowie Kreditreports vorzulegen sowie die „darüberhinausgehende“ FMA-Korrespondenz und Dokumente der „Priorität 2“. Weiters weigert sie sich zur Offenlegung der Namen, welche in der Korrespondenz mit dem Rechenzentrum vorkommen.

Demnach wurden dem Beschwerdeführer Folgendes nicht beauskunftet: Namen, welche in der Korrespondenz mit dem Rechenzentrum vorkommen; XXXX ; weitere VOSI-Protokolle; weitere FMA-Korrespondenz; Unterlagen aus dem Personalakt; Dokumente der „Priorität 2“.

2. Beweiswürdigung:

2.1. Die Feststellungen zum Dienstverhältnis des Beschwerdeführers bei der Beschwerdegegnerin und zu seiner Entlassung basieren auf dem Vorbringen beider Parteien und auf den Aussagen des Beschwerdeführers in der mündlichen Verhandlung (siehe Verhandlungsprotokoll S. 6).

2.2. Der Inhalt des Auskunftsbegehrens des Beschwerdeführers war dem an die Beschwerdegegnerin gerichteten Schreiben vom 01.02.2023 zu entnehmen.

2.3. Die von der Beschwerdegegnerin erteilte Auskunft war ihrem Schreiben vom 27.02.2023 zu entnehmen sowie der im Anhang mitübermittelten Datenkopien. Die Beschwerdegegnerin führte in ihrer Stellungnahme vom 25.08.2023 aus, dass diese aufgrund eines Problems mit dem Datenexport nicht, oder nicht leserlich angezeigt worden wären.

2.4. Die in weiterer Folge dem Beschwerdeführer nochmals übermittelten Datenkopien waren den E-Mails der Beschwerdegegnerin vom 18.08.2023 zu entnehmen. Der Beschwerdeführer führte in seiner Eingabe vom 19.09.2023 aus, dass die Beschwerdegegnerin mit diesem Schreiben auch jene fehlenden 406 Dokumente in lesbarer Form zur Verfügung gestellt habe.

2.5. Die Beschwerdegegnerin führt in ihrem Schreiben an die belangte Behörde vom 15.05.2024 an, welche Kopien dem Beschwerdeführer nicht direkt übermittelt werden und beantragte darin, die belangte Behörde möge diese Aktenbestandteile von der Akteneinsicht beziehungsweise vom Parteiengehör des Beschwerdeführers ausnehmen.

2.6. In der mündlichen Verhandlung vor dem Bundesverwaltungsgericht wurde die Beschwerdegegnerin befragt, ob die in ARCTIS gespeicherten Daten vorhanden sind beziehungsweise weshalb die gelöscht worden wären. Die Beschwerdegegnerin antwortete, dass sie diesbezüglich eine Falschauskunft des Rechenzentrums erhalten habe. Das sei wohl darauf zurückzuführen, dass die Kundenkonnten bereits geschlossen gewesen wären. Die Beschwerdegegnerin habe daraufhin ihrerseits mehrmals urgiert und die Daten wieder angefragt und in weiterer Folge die Überziehungsanweisungen, die sie vom Rechenzentrum erhalten habe, vollständig an den Beschwerdeführer weitergeleitet. Die Rechtsvertretung des Beschwerdeführers hielt dem entgegen, dass die vorgelegten Unterlagen nur einen der vier Kreditakten, nämlich XXXX betreffen würden, woraufhin die Beschwerdegegnerin sich bereit erklärte dies nachzuholen (Verhandlungsprotokoll S. 3).

Die Beschwerdegegnerin wurde in der mündlichen Verhandlung weiters befragt, ob hinsichtlich der Protokolle ebenso die Bereitschaft besteht, eine nachträgliche Auskunft zu erteilen. Die Beschwerdegegnerin hielt dazu fest, dass schon einige XXXX - und XXXX protokolle vorgelegt worden wären. Die, die nicht vorgelegt worden wären, seien solche, in denen die Personalangelegenheiten des Beschwerdeführers erörtert worden wären und aus diesem Grund ein Geheimhaltungsinteresse bestehe. Dies sei der belangten Behörde aber vollständig übermittelt worden, mit der Begründung, dass die Interessenabwägung dazu geführt habe, diese einzelnen Protokolle nicht direkt an den Beschwerdeführer zu übermitteln wären. Der Beschwerdegegnerin wurde vom erkennenden Richter entgegengehalten, dass nicht ganz klar ist, welche Geheimhaltungsinteressen verletzt werden würden. Die Beschwerdegegnerin vermeinte, dass in diesen Sitzungen insbesondere die Strategie und Vorgehensweisen betreffend das ASG-Verfahren betreffend die Entlassung des Beschwerdeführers erörtert worden wäre und die Offenlegung der Strategie natürlich nachteilig für die Beschwerdegegnerin wäre, weil es naturgemäß einen Vorteil für den Beschwerdeführer im ASG-Verfahren bringen würde.

Auf Nachfrage, welche Daten er noch herausgegeben haben möchte, antwortete der Beschwerdeführer, die Überziehungsanweisungen sowie zu den XXXX protokollen sei auch nicht alles beauskunftet worden, weil betreffend der vier Kredite 69 Anträge eingebracht worden seien und zu jedem dieser eine Besprechung im XXXX stattgefunden haben müsse. Demgegenüber seien dem Beschwerdeführer nur drei Protokolle nur teilweise beauskunftet worden. Bei all diesen Obligos, aus den Krediten, die der Beschwerdeführer betreut habe, bestehe schon aufgrund der Höhe eine gesetzliche Verpflichtung zur Besprechung mit dem XXXX , angesichts der Höhe des Obligos, der Bonität und auch, weil ein Organgeschäft dabei sei. Daher müsse es aus all den Jahren XXXX weit mehr XXXX protokolle geben, die ihn betroffen hätten (Verhandlungsprotokoll S. 7).

In der Gemeinde habe es einen großen Wirbel um die Kündigung des Beschwerdeführers gegeben, von der unter anderem auch medial berichtet worden wäre. In diesem Zeitungsartikel sei ein Beschwerdebrief und eine Unterschriftsliste genannt worden. Die entsprechende Unterschriftenliste liege dem Beschwerdeführer ebenso nicht vor.

Im übermittelten XXXX protokoll (Teilauskunft 3, 15.05.2024) werde auf der Seite 56, vorletzter Absatz ausgeführt, dass bis zu diesem Zeitpunkt 45 Beschwerdebriefe bei der Bank eingelangt seien. In allen Teilauskünften, die von der Beschwerdegegnerin erteilt worden wären, sei kein einziges dieser Schreiben dem Beschwerdeführer vorgelegt worden. Auch eine Mitteilung an die Mitarbeiter der Bank nach der Entlassung des Beschwerdeführers sollte eine Information an die Mitarbeiter nach sich gezogen haben, zumal jede Änderung im Mitarbeiterstab, Neuaufnahme, Austritt, Ehrung, Pensionierung immer unmittelbar vom Vorstandsvorsitzenden der Bank in einem eigenen Schreiben an alle Mitarbeiter mitgeteilt werde. Dieses Schreiben der „ungerechtfertigten Entlassung“ und die Information an die Mitarbeiterkollegen liege dem Beschwerdeführer bis heute nicht vor. Des Weiteren werde im beauskunfteten XXXX protokoll auf der Seite 66 eine Sachverhaltsdarstellung genannt, die den Beschwerdeführer betreffe und die ihm bis heute nicht vorliege. Dem Beschwerdeführer liege außerdem eine Gerichtsbeilage vor, indem er Nebenintervenient sei. In diesem Schreiben an die FMA werde der Beschwerdeführer namentlich genannt. Das Schreiben sei aber in der Beauskunftung nicht vorgelegt worden (Verhandlungsprotokoll S. 8).

2.7. In der mündlichen Verhandlung wurde zusammenfassend dargelegt, dass dem Beschwerdeführer die Unterschriftenlisten von Kunden der Beschwerdegegnerin; ein Schreiben des XXXX zur Entlassung an die Mitarbeiter; die auf Seite 66 des XXXX protokolls genannte Sachverhaltsdarstellung sowie ein Schreiben an die Finanzmarktaufsichtsbehörde vorgelegt wurden. Die mitbeteiligte Partei vermeinte in der mündlichen Verhandlung, dass das Auskunftsbegehren des Beschwerdeführers auf den Gegenstand des arbeitsgerichtlichen Verfahrens eingegrenzt gewesen sei, insbesondere habe es die vier Kreditengagements, die Protokolle der XXXX und XXXX sitzungen und die Korrespondenz zwischen der Beschwerdegegnerin und der FMA betroffen. Dem ist entgegenzuhalten, dass der Beschwerdeführer mehrmals die Beauskunftung aller von ihm gespeicherten personenbezogenen Daten verlangte und dabei auf gewisse Dokumente verwies die jedenfalls zu beauskunften sind. Die Beschwerdegegnerin gab in der mündlichen Verhandlung an, dass sie ebenso die nun „heute“ aufgezählten Unterlagen, nach Sichtung gerne nachreichen werde (Verhandlungsprotokoll S.9). Aus diesem Vorbringen der Beschwerdegegnerin war klar zu entnehmen, dass sie dem Auskunftsbegehren des Beschwerdeführers bis dato nicht vollständig entsprochen hat und nach wie vor personenbezogene Daten des Beschwerdeführers gespeichert hat, die nicht beauskunftet wurden.

2.8. Die vom Beschwerdeführer nach wie vor begehrte Auskunft war seiner Stellungnahme vom 10.09.2025 zu entnehmen. Dass die Beschwerdegegnerin nach wie vor nicht alles beauskunftet hat, geht zudem aus ihrer Stellungnahme vom 08.10.2025 hervor. Dies begründete die Beschwerdegegnerin im Wesentlichen damit, dass die Unterlagen bislang nicht explizit gefordert worden seien. Es sei richtig, dass zu Krediten, die der Beschwerdeführer betreut habe, XXXX oder XXXX sowie Kreditreports vorliegen würden. Personenbezogene Daten des Beschwerdeführers seien in der Regel jedoch nur insofern enthalten, als sein Name oder in der Regel überhaupt nur seine Kennnummer als Kreditbetreuer festgehalten sei. Die Aufbereitung (Durchsicht und Schwärzung) der Protokolle würde lediglich Aufwand bei der Beschwerdegegnerin verursachen, dem Beschwerdeführer jedoch keinen zusätzlichen Informationswert bieten. Darüberhinausgehende FMA-Korrespondenz sei nicht Gegenstand des Beschwerdeverfahrens. Zudem gebe es eine enorme Anzahl an Dokumenten und Daten, die in diesem Zusammenhang geprüft werden müssten, die aber keinen zusätzlichen Erkenntnisgewinn für den Beschwerdeführer bedeuten würden. Der Name des Beschwerdeführers scheine in vielen dieser Korrespondenzstücke auf. Bezüglich der Dokumente der „Priorität 2“ sei in der mündlichen Verhandlung nicht erörtert worden, dass die Beschwerdegegnerin diese im Rahmen der ergänzenden Auskunft vorlegen soll. Aus den Ausführungen der Beschwerdegegnerin geht somit klar hervor, dass sie nach wie vor dem Auskunftsbegehren des Beschwerdeführers nicht vollständig entsprochen hat, weil sie davon ausgeht eine ergänzende Auskunft würde für den Beschwerdeführer keinen weiteren Nutzen bringen oder nicht Gegenstand des Verfahrens sein oder für die Beschwerdegegnerin einen unverhältnismäßigen Aufwand bedeuten.

2.9. Der Beschwerdeführer führte in seiner Stellungnahme vom 10.09.2025 bezüglich der ARCTIS-Unterlagen/Überziehungsanweisungen aus, die Teilauskunft V beinhalte nun alle bisher fehlenden Überziehungsanweisungen (siehe Stellungnahme vom 10.09.2025 S.2). Der Beschwerdeführer hat somit bezüglich der ARTIS-Unterlagen eine vollständige Auskunft erhalten.

3. Rechtliche Beurteilung:

3.1. Zulässigkeit der Beschwerde

Gemäß Art. 130 Abs. 1 Z 3 B-VG erkennen die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht durch eine Verwaltungsbehörde. Gemäß Art. 132 Abs. 3 B-VG kann Beschwerde wegen Verletzung der Entscheidungspflicht erheben, wer im Verwaltungsverfahren als Partei zur Geltendmachung der Entscheidungspflicht berechtigt zu sein behauptet.

Gemäß § 73 Abs. 1 AVG sind die Behörden verpflichtet, wenn in den Verwaltungsvorschriften nicht anderes bestimmt ist, über Anträge von Parteien (§ 8) und Berufungen ohne unnötigen Aufschub, spätestens aber sechs Monate nach deren Einlangen den Bescheid zu erlassen.

Gemäß § 8 Abs. 1 VwGVG kann eine Beschwerde wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG (Säumnisbeschwerde) erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der Stelle eingelangt ist, bei der er einzubringen war. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.

Fallkonkret bedeutet dies:

Der Beschwerdeführer brachte am 23.05.2023 eine Datenschutzbeschwerde bei der belangten Behörde ein. Die sechsmonatige Entscheidungsfrist der belangten Behörde endete demnach mit Ablauf des 23.11.2023. Am 15.07.2024 brachte der Beschwerdeführer eine Beschwerde wegen Verletzung der Entscheidungsfrist ein.

Nach der Judikatur des Verwaltungsgerichtshofes ist der Begriff des Verschuldens der Behörde nach § 73 Abs. 2 AVG nicht im Sinne eines Verschuldens von Organwaltern der Behörde, sondern insofern "objektiv" zu verstehen, als ein solches "Verschulden" dann anzunehmen ist, wenn die zur Entscheidung berufene Behörde nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war (vgl. VwGH 21.09.2007, 2006/05/0145). Weiters hat der Verwaltungsgerichtshof in ständiger Rechtsprechung ein überwiegendes Verschulden der Behörde darin angenommen, dass diese die für eine zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet (vgl. VwGH 06.07.2010, 2009/05/0306). Die Behörden haben dafür Sorge zu tragen, dass durch organisatorische Vorkehrungen eine rasche Entscheidung möglich ist (VwGH 26.01.2012, 2008/07/0036).

Gemäß § 16 VwGVG kann im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG die Behörde innerhalb einer Frist von bis zu drei Monaten den Bescheid erlassen.

Nach ungenütztem Ablauf der dreimonatigen Frist ist die Verwaltungsbehörde zur Erledigung der Verwaltungssache nicht mehr zuständig, sondern geht die Zuständigkeit auf das Verwaltungsgericht über (siehe dazu VwGH 19.09.2017, Ro 2017/20/0001; 25.11.2015, Ra 2015/08/0102; 10.11.2015, Ro 2015/19/0001).

Der Zuständigkeitsübergang tritt infolge der Einbringung einer zulässigen und berechtigten Säumnisbeschwerde, die die dreimonatige Frist in Gang setzt, unabhängig von einer allfälligen nachträglichen Bescheiderlassung alleine aufgrund des ungenützten Verstreichens der dreimonatigen Nachholfrist nach Einbringung einer zulässigen und berechtigten Säumnisbeschwerde ein. Das Verwaltungsgericht ist nach Verstreichen der dreimonatigen Nachfrist zuständig, in der Verwaltungssache (meritorisch) zu entscheiden, ohne dass ein ausdrücklicher Abspruch über die Stattgebung der Säumnisbeschwerde vorzunehmen ist (siehe wiederum VwGH 19.09.2017, Ro 2017/20/0001).

Im gegenständlichen Fall brachte der Beschwerdeführer, wie bereits erwähnt, am 23.05.2023 die Datenschutzbeschwerde bei der belangten Behörde ein. Die belangte Behörde erteilte dem Beschwerdeführer erstmal mit Schreiben vom 19.07.2023 einen Mangelbehebungsauftrag. Die belangte Behörde unterlies in weiterer Folge die für eine zügige Verfahrensführung notwendigen Schritte und wartete grundlos mit der Bescheiderlassung zu, weshalb der Beschwerdeführer mit Eingabe vom 15.07.2024 die gegenständliche Säumnisbeschwerde einbrachte, die für zulässig zu erklären ist.

Nachdem die belangte Behörde nach Einbringung der Säumnisbeschwerde durch den Beschwerdeführer die dreimonatige Entscheidungsfrist gemäß § 16 VwGVG iVm Art. 130 Abs. 1 Z 3 B-VG ungenützt verstreichen ließ, ist die belangte Behörde zur Erledigung der Datenschutzbeschwerde nicht mehr zuständig, sondern geht die Zuständigkeit auf das Bundesverwaltungsgericht über, welches in der Sache zu entscheiden hat (siehe dazu VwGH 19.09.2017, Ro 2017/20/0001; 25.11.2015, Ra 2015/08/0102; 10.11.2015, Ro 2015/19/0001).

3.2. Teilstattgabe der Beschwerde

Zu A Punkt. I)

3.2.1 Maßgebliche Bestimmungen

Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) lauten wie folgt:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

„Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

…

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

[…]“

„Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

3.2.2. Unter Berücksichtigung der maßgeblichen Rechtsprechung bedeutet dies fallkonkret:

Der Beschwerdeführer stellte bei der Beschwerdegegnerin erstmals mit Schreiben vom 01.02.2023 ein Auskunftsbegehren.

Unmittelbare Rechtsfolge eines Auskunftsantrags ist die Pflicht des Verantwortlichen, Auskunft zu erteilen. Eine Nichtreaktion auf ein Auskunftsbegehren ist eine Verletzung des Rechts auf Auskunft, weshalb mitunter von einer Reaktionspflicht auf einen Auskunftsantrag gesprochen wird (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 26 (Stand 1.7.2024, rdb.at)).

Die Beschwerdegegnerin erstattete mehrere Teilauskünfte und weigert sich eine weitere Auskunft bezüglich der XXXX sowie VOSI-Protokolle (Kreditreports, XXXX , Protokolle ÜBA, Protokolle XXXX ) zu erstatteten und begründete dies im Wesentlichen damit, dass es lediglich Aufwand bei der Beschwerdegegnerin verursachen würde und dem Beschwerdeführer jedoch keinen zusätzlichen Informationswert bieten würde, da ausschließlich sein Name daraus hervorgehe. Weiters seien diese Unterlagen in der mündlichen Verhandlung nicht gefordert worden. Die Nicht-Beauskunftung der weiteren FMA-Korrespondenz erfolge aus demselben Grund. Die Beschwerdeführerin führte diesbezüglich weiters aus, dass der Beschwerdeführer präzisieren solle, welche FMA-Korrespondenz er begehre und er bereits über Teile dieser Korrespondenz verfüge. Die begehrten Dokumente der „Priorität 2“ seien in der mündlichen Verhandlung nicht erörtert worden und somit nicht Beschwerdegegenstand. In jedem Fall sei aufgrund des exzessiven Begehrens eine Präzisierung des „Priorität 2 – Auskunftsverlangens“ angesichts seines Umfangs erforderlich, welcher unverhältnismäßigen Aufwand verursachen würde. Da das Auskunftsverlangen auch im offensichtlichen Zusammenhang mit der Einleitung des Entlassungsverfahrens des Beschwerdeführers stünde, sei außerdem davon auszugehen, dass die Auskunft vor diesem Hintergrund aus sachfremden Gründen begehrt worden wäre.

Der Beschwerdegegnerin ist zunächst eingangs entgegenzuhalten, dass der Beschwerdeführer mit seinem Begehren vom 01.02.2023 ein umfassendes Auskunftsbegehren stellte. Ob diese Unterlagen in der mündlichen Verhandlung nochmals explizit vom Beschwerdeführer gefordert wurden, oder nicht, ist daher unerheblich. Der Beschwerdeführer führte in seinem Auskunftsbegehren an die Beschwerdegegnerin explizit aus: „Nur zur Klarstellung darf ich an dieser Stelle ausführen, dass dies selbstverständlich nicht nur Datenbankauszüge wie etwa jene aus dem Kernbankensystem Arctis (bzw Vorgängersystemen), sondern zB auch alle E-Mails und Briefe (bankintern oder an Dritte wie die FMA), Leistungsbeurteilungen, Auszüge von XXXX protokollen, Telefonaufzeichnungen und Telefonprotokolle, Gesprächsnotizen, Kreditanträge, Listen usw umfasst“. Weiters führte er aus „Nach dieser Übermittlung wären dann alle übrigen, nicht auf diese Fälle bezogenen Daten vollständig zu beauskunften.“

Das datenschutzrechtliche Auskunftsbegehren des Beschwerdeführers war somit zu Beginn auf sämtliche personenbezogene Daten, welche die Beschwerdegegnerin vom Beschwerdeführer gespeichert hat, bezogen. Er priorisierte mit seinen Ausführungen lediglich manche Unterlagen. Gegenstand seines Auskunftsbegehrens waren jedoch sämtliche gespeicherte Unterlagen zu seiner Person. Der Beschwerdeführer hat sein Art. 15 DSGVO Auskunftsbegehren explizit nicht eingeschränkt, sondern ist davon auszugehen, dass der Beschwerdeführer mit der Priorisierung und dem Hinweis auf Dokumenten und Daten, von deren Existenz er weiß, seiner Mitwirkungspflicht nachgekommen ist. Aus der Natur des Dienstverhältnisses und deren Dauer ergibt sich generisch, dass sich große Datenmengen angesammelt haben.

Des Weiteren geht die Beschwerdegegnerin davon aus, dass die zusätzliche Beauskunftung der fehlenden Unterlagen keinen zusätzlichen Informationswert für den Beschwerdeführer bieten würde. Diesen Ausführungen der Beschwerdegegnerin ist entgegenzuhalten, dass es nicht in ihrem Aufgabenbereich liegt zu beurteilen, welchen Mehrwert die vom Beschwerdeführer begehrte Auskunft für ihn hätte. Das Recht auf Auskunft gemäß Art 15 DSGVO besteht begründungslos. Es muss insbesondere nicht mit einem Rechtsschutz- oder Auskunftsinteresse begründet werden. So führt auch der EDSA aus, dass es dem Verantwortlichen verwehrt ist, das „warum“ des Auskunftsantrags zu prüfen (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 25 (Stand 1.7.2024, rdb.at)). Die Bearbeitung von Auskunftsanträgen erfolgt in Erfüllung einer gesetzlichen Verpflichtung und stützt sich sohin auf Art 6 Abs 1 lit c (VwGH 06. 03. 2024, Ro 2021/04/0037).

Der Vorhalt der Beschwerdegegnerin, dass der Beschwerdeführer (insbesondere in Bezug auf die FMA-Korrespondenz) über Unterlagen bereits verfüge, geht ebenso ins Leere. Der Beschwerdegegnerin ist dahingehend Recht zu geben, dass dem Beschwerdeführer bereits vorliegende Daten nicht zu beauskunften sind. Die fehlende FMA-Korrespondenz ist dem Beschwerdeführer dennoch zu beauskunften, da der Beschwerdeführer lediglich über Teile dieser Unterlagen verfügt und nicht über alle Unterlagen. Die Beschwerdegegnerin ist nicht in Kenntnis darüber, über welche Unterlagen der Beschwerdeführer bereits verfügt und welche nicht. Der Beschwerdeführer ist wiederum nicht in Kenntnis darüber, welche Unterlagen noch fehlen. Die Beschwerdegegnerin kann dem Beschwerdeführer somit nicht vorhalten, über Unterlagen bereits zu verfügen.

Die Beschwerdegegnerin brachte mehrmals vor, dass das Auskunftsverlangen mit der Einleitung des Entlassungsverfahrens des Beschwerdeführers in Zusammenhang stünde. Diesem Vorbringen der Beschwerdegegnerin ist entgegenzuhalten, dass es vom EuGH als zulässig angesehen wird, dass Daten (primär) für einen anderen als den in ErwGr 63 DSGVO erwähnten Zweck begehrt werden. Dieser Zweck schließt keineswegs eine vorausgehende, begleitende oder nachgehende Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch den Beschwerdeführer aus. Es kann nicht ausgeschlossen werden, dass der Beschwerdeführer (auch) die Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch die Beschwerdegegnerin anstrebt. Ein solches Überprüfungsrecht kann ihm nicht pauschal abgesprochen werden, lediglich aufgrund eines parallellaufenden Entlassungsverfahrens (siehe auch OLG Wien 10.06.2024, 14 R 48/24t). Der EuGH stellte in seinem Urteil vom 26.10.2023 zu C-307/22 ("Copies du dossier médical“) klar, dass die Auskunftsverpflichtung auch dann besteht, wenn der betreffende Auskunftsantrag mit einem anderen als den in Satz 1 des ErwGr 63 der DSGVO genannten Zwecken begründet wird. Schon daraus, dass die betroffene Person nach der DSGVO nicht verpflichtet ist, ihren Auskunftsantrag zu begründen, folgt, dass ein solcher auch nicht davon abhängig sein kann, dass einer der im ersten Satz des 63. ErwGr der DSGVO genannten Gründe geltend gemacht wird (vgl. EuGH 26.10.2023. C-307/22 Rn 38, 43, 51 f). Das pauschale Ablehnen eines dahingehenden Auskunftsanspruchs des Beschwerdeführers kann daher nicht aus der Judikatur abgeleitet werden. Vielmehr hätte die Beschwerdegegnerin konkret und im Einzelfall zu begründen, warum auskunftspflichtige Teile von Datensätzen nicht oder nicht vollständig beauskunftet werden können. Das Bundesverwaltungsgericht anerkennt, dass das datenschutzrechtliche Auskunftsrecht nicht unbegrenzt gilt, jedoch muss eine Weigerung personenbezogene Daten einer betroffenen Person – des Beschwerdeführers – zu beauskunften immer entsprechend begründet werden.

Ein Auskunftsbegehren ist auch nicht "offenkundig unbegründet“ oder rechtsmissbräuchlich, wenn damit datenschutzfremde Ziele verfolgt werden. Schließlich wird häufig eine betroffene Person erst durch die Erfüllung des Auskunftsrechts in die Lage versetzt werden, ihre weiteren Rechte geltend zu machen (Haidinger in Knyrim, DatKomm Art 15 DS-GVO Rz 1 mwN). Die Beschwerdegegnerin kann daher die Erteilung der Auskunft nicht verweigern, weil sie davon ausgeht, das Auskunftsbegehren sei deshalb gestellt worden, um Beweise für das Entlassungsverfahren zu sammeln.

Die Beschwerdegegnerin verweigerte zudem eine weitere Auskunftserteilung, da der Beschwerdeführer sein Begehren aufgrund des Umfanges der gespeicherten Daten präzisieren solle. Eine Mitwirkungspflicht der betroffenen Person ist im Normtext der DSGVO nicht verankert. Allerdings sieht ErwGr 63 vor, dass ein Verantwortlicher, der eine große Menge von Informationen über die betroffene Person verarbeitet, verlangen können soll, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr eine Auskunft erteilt. Damit ist selbst aus dem Wortlaut dieses ErwGr keine allgemeine Mitwirkungspflicht abzuleiten, sondern eine sanktionslose Obliegenheit der betroffenen Person zur Präzisierung, wenn der Verantwortliche eine große Menge an Daten verarbeitet und die betroffene Person einen sehr pauschalen Antrag stellt. In diesen Fällen ist der Verantwortliche berechtigt, bei der betroffenen Person eine Präzisierung zu verlangen, ein Anspruch darauf besteht aber nicht (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 35 (Stand 01.12.2020, rdb.at)) Eine Mitwirkungspflicht ist somit nur in ErwGr 63 zur DSGVO angedeutet, jedoch nicht ausdrücklich normiert, weshalb ein Verantwortlicher zwar berechtigt ist, von der betroffenen Person eine Präzisierung zu verlangen, aber keinen Anspruch darauf hat. Dem Vorbringen der Beschwerdegegnerin ist somit zu entgegnen, dass der Verantwortliche (insb zur Aufwandsminimierung) berechtigt ist, die betroffene Person um Präzisierung zu ersuchen, er hat aber keinen Anspruch darauf, weshalb eine Nicht-Reaktion der betroffenen Person den Verantwortlichen von seinen Pflichten nicht entbindet. Die betroffene Person kann dennoch darauf bestehen, dass alle Daten beauskunftet werden. Aus der Präzisierungsobliegenheit ergibt sich zwanglos, dass der Betroffene die Berechtigung hat, den Umfang der Auskunftsantrags selbst zu bestimmen, daher auch einzuschränken (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 11/1 (Stand 1.7.2024, rdb.at)). Die Beschwerdegegnerin kann somit die Erteilung einer Datenschutzauskunft nicht davon abhängig machen, dass der Beschwerdeführer sein Begehren präzisiert. Der Beschwerdeführer hat sein Auskunftsersuchen aber sowieso mehrfach begründet, Priorisierungen vorgenommen, bestimmte Themenkomplexe und Dokumente benannt, von deren Existenz er weiß. Die Präzisierungsobliegenheit dient nicht dazu, den Beschwerdeführer in seinem Auskunftsrecht insgesamt zu beschränken, sondern soll einem Verantwortlichen, der eine große Datenmenge – was hier offensichtlich vorliegt – verarbeitet, beim niederschwellig zugänglichen datenschutzrechtlichen Auskunftsrecht, eine Hilfestellung bieten. Verfahrensgegenständlich kann dem anwaltlich vertretenen Beschwerdeführer nach den mehreren Teilauskünften, zu denen er durch seinen Vertreter jeweils begründete Stellungnahmen im behördlichen Administrativverfahren und im Verfahren vor dem Bundesverwaltungsgericht abgegeben hat, nicht vorgeworfen werden, dass er seiner Mitwirkungsobliegenheit nicht nachgekommen ist. Die Beschwerdegegnerin bleibt auch jeden Nachweis schuldig, dass sie bereit gewesen wäre, ein entsprechendes Auskunftsbegehren überhaupt zu beantworten. Darüber hinaus hätte die Beschwerdegegnerin im Verfahren auch bekanntzugeben gehabt, welche Informationen seitens des Beschwerdeführers fehlten, um ihrer Auskunftspflicht nachzukommen. Ein Verstoß gegen eine Mitwirkungsobliegenheit kann daher nicht erblickt werden.

3.2.3. Zur von der Beschwerdegegnerin vorgebrachten exzessiven Antragsstellung durch den Beschwerdeführer:

Nach Art 12 DSGVO können Auskünfte nach Art 15 nur dann verweigert werden (vgl Art 12 Abs 5 lit b DSGVO), wenn sie - insbesondere im Fall von häufiger Wiederholung - "exzessiv“ sind. Die Grenzlinie bildet demnach eine rechtsmissbräuchliche Rechtsausübung. Freilich ist "sehr häufig“ zuweilen ein dehnbarer Begriff (vgl Illibauer in Knyrim, DatKomm Art 12 DSGVO Rz 68 f).

Die Beurteilung, ob von häufigen Wiederholungen bzw exzessiven Auskunftsanträgen auszugehen ist, hängt - im Hinblick auf den ErwGr 63 S 1, wonach das Auskunftsrecht in "angemessenen Abständen“ wahrgenommen werden können muss - nach hA davon ab, wie dynamisch der Datenbestand ist, und damit wie häufig Änderungen zu erwarten sind. Nach § 26 Abs 6 DSG 2000 war die Auskunft einmal pro Jahr unentgeltlich zu erteilen, sofern der Antrag den "aktuellen Datenbestand“ betraf. Ein jährliches Intervall vertraten auch einige Mitgliedstaaten in den Verhandlungen zur DSGVO. Bei wöchentlicher Antragstellung wird man wohl von Exzessivität sprechen können. Ein Auskunftsantrag pro Quartal (im Hinblick auf Art 12 Abs 3 S 2 u Art 78 Abs 3 DSGVO) wird insbesondere bei dynamischen Datenbeständen ein angemessenes Intervall sein (vgl Illibauer in Knyrim, aaO Art 15 DSGVO Rz 23). Kein Exzess liegt vor, wenn zu einem Datenbestand mit geringer bis mittlerer Dynamik ein Antrag pro Kalenderjahr gestellt wird (vgl Pollirer in Knyrim, DatKomm Checkliste 6 Auskunftsrecht nach Art 15 DSGVO, Rz 4/8 aE).

Nach Ansicht des erkennenden Gerichts ist im gegebenen Fall zweifellos zu berücksichtigen, dass Auskunftsbegehren des Beschwerdeführers seit seinem Auskunftsbegehren vom 01.02.2023 stets gleichgeblieben ist und er lediglich deshalb bei der Beschwerdegegnerin eine weitere Auskunftserteilung begehrte, weil er jedes Mal Teilauskünfte erhielt und diese nie vollständig waren. Die zu übermittelnden Daten haben sich zudem in der Zwischenzeit wohl nicht verändert haben (vgl dazu auch Illibauer aaO Art 12 DSGVO Rz 68/1). Es ist also von einem unveränderten ("historischen“) Datenbestand auszugehen, auf welchen sich die Auskunftsanträge beziehen. Aber selbst im Hinblick darauf könnte ein Auskunftsersuchen, das an sich nicht rechtsmissbräuchlich ist, nicht schon deswegen als "exzessiv“ angesehen werden, weil es (inhaltsgleich) seit fast drei Jahren wiederholt wird. Die bloße Erinnerung an die Erledigung eines noch nicht oder mangelhaft beantworteten Auskunftsantrags darf nicht als neuer Antrag verstanden werden (EDSA, Guidelines 1/2022 Right of Access (Ver 2.0) Rn 29). Die Beschwerdegegnerin darf die Auskunft somit nicht wegen der „Häufigkeit“ der Anträge als exzessiv ablehnen. Bloß aufgrund der Tatsache, dass die Beschwerdegegnerin über viele Daten des Beschwerdeführers verfügt, dürfen die Anträge auch nicht als exzessiv abgelehnt werden. Die Verweigerung der Erteilung einer vollständigen Auskunft wegen exzessiver Antragsstellung seitens des Beschwerdeführers scheidet daher aus.

Konkret in Bezug auf das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO weist der EuGH auf die Möglichkeit hin, dass der Verantwortliche gemäß Art. 12 Abs. 5 lit. b DSGVO im Einklang mit Art. 5 Abs. 2 sowie im 74. Erwägungsgrund dieser Verordnung niedergelegten Grundsatz der Rechenschaftspflicht sich weigern kann, auf Grund von Anträgen der betroffenen Person tätig zu werden, wenn es sich um offenkundig unbegründete oder exzessive Anträge handelt (EuGH vom 12.01.2023, C-154/21, Österreichische Post Rn. 49).

Die Beschwerdegegnerin brachte im gegenständlichen Verfahren vor, dass die Anträge des Beschwerdeführers exzessiv seien. Dass es sich im vorliegenden Fall um einen exzessiven oder unbegründeten Antrag handelt, ist nicht ersichtlich, vielmehr ist der Antrag auf eine große Datenmenge gerichtet und bestreitet die Beschwerdegegnerin bis heute, dass der Antrag zurecht besteht.

Es gibt keine Anhaltspunkte dafür, dass das Auskunftsbegehren des Beschwerdeführers offenkundig unbegründet oder - insbesondere im Fall häufiger Wiederholung – „exzessiv“ war, weshalb dem Auskunftsbegehren des Beschwerdeführers zu entsprechen ist.

Der Anspruch des Beschwerdeführers auf Auskunft im Sinne des Art 15 Abs. 1 DSGVO besteht somit zu Recht.

3.2.4. Weiters brachte die Beschwerdegegnerin vor, die Übermittlung von Kopien sei dann notwendig, wenn anders die Informationen nicht verständlich sei. Es sei mehr als fraglich, ob dem Beschwerdeführer mit der Übermittlung geschwärzter Dokumente tatsächlich mehr geholfen sei als mit der Information, welche Daten in welcher Art und Weise verarbeitet worden wären.

Das Recht der betroffenen Person auf Auskunft über ihre Daten, die Gegenstand der Verarbeitung sind, und auf Auskunft über die damit verbundenen Informationen – das integraler Bestandteil des Rechts auf Schutz personenbezogener Daten ist – wird in Art. 15 Abs. 1 DSGVO gewährleistet. Nach dem Wortlaut dieser Bestimmung haben die betroffenen Personen das Recht auf Auskunft über ihre personenbezogenen Daten, die Gegenstand einer Verarbeitung sind. (EuGH 26.10.2023, C‑307/22 Rn 33).

Der »Kerninhalt« des Auskunftsrechts, der etwas versteckt in Satz 1 von Art 15 Abs 1 normiert ist, besteht darin, dass der Verantwortliche der betroffenen Person den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen hat. Nach Vorstellung des europäischen Gesetzgebers (ErwGr 63 Satz 4) sollte der Verantwortliche nach Möglichkeit einen Fernzugang zu einem sicheren System bereitstellen, welcher der betroffenen Person einen direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 18 (Stand 01.12.2020,db.at)).

Das Auskunftsrecht stellt ein fundamentales Recht im System der DSGVO dar, weshalb jede Ausnahme von diesem Grundsatz eng auszulegen ist (EuGH C-246/24 Rn 27; C-416/23 Rn 33 und 48). Das Auskunftsrecht ist nämlich erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art 16, 17 bzw. 18 DSGVO zustehen, sowie ihr in Art 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder ihre in den Art 79 und 82 DSGVO vorgesehenen Rechte auf Einlegung eines gerichtlichen Rechtsbehelfs bzw. auf Schadenersatz auszuüben (EuGH C-203/22 ).

Das Recht auf Auskunft ist von einem Antrag der betroffenen Person abhängig (vgl. VwGH 6.3.2024, Ro 2021/04/0030, Rn. 31). Eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO setzt demnach einen der (potenziell) betroffenen Person in rechtlicher Hinsicht zurechenbaren Antrag an den jeweiligen datenschutzrechtlich Verantwortlichen voraus, der die Verpflichtung zur Auskunftserteilung wirksam begründet. Daraus folgt, dass erst die Nichterfüllung - oder auch unvollständige Erfüllung - einer durch einen bestimmten rechtswirksamen Antrag begründeten Auskunftsverpflichtung zum Gegenstand eines datenschutzrechtlichen Beschwerdeverfahrens gemacht werden kann. Der datenschutzrechtliche Beschwerdegegenstand wegen einer Verletzung im Recht auf Auskunft hat sich demzufolge jeweils auf die durch einen bestimmten Antrag begründete Auskunftsverpflichtung und deren Nichterfüllung oder unvollständige Erfüllung zu beziehen (VwGH 10.12.2024, Ra 2022/04/010). Im Schrifttum wird der „Kerninhalt“ des Auskunftsrechts gemäß Art. 15 DSGVO darin gesehen, dass der Verantwortliche der betroffenen Person den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen hat. Der EuGH hat schon zur Datenschutzrichtlinie klargestellt, dass das Recht auf Auskunft auch den Inhalt der übermittelten Information umfasst (VwGH 03.08.2023, Ro 2020/04/0015).

Art. 15 Abs. 3 Satz 1 DSGVO ist dahin auszulegen, dass das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, bedeutet, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird. Dieses Recht umfasst gegebenenfalls auch den Anspruch, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. diese Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind (EuGH 04.05.2023, C-487/21, Österreichische Datenschutzbehörde und CRIF). Neben dem Recht auf Auskunft gemäß Art. 15 Abs. 1 DSGVO besteht somit kein zusätzliches - eigenständiges - Recht auf Kopien von Auszügen aus Dokumenten, ganzen Dokumenten oder Auszügen aus Datenbanken, die seine personenbezogenen Daten enthalten. Art. 15 Abs. 3 (Satz 1) DSGVO stellt nämlich nach der oben wiedergegebenen Rechtsprechung des EuGH (bloß) eine Regelung für die Form der Unterrichtung dar, die erforderlichenfalls sicherstellen soll, dass die zu gewährende Auskunft auf verständliche Art erfolgt (VwGH 03.08.2023, Ro 2020/04/0035). Die Beschwerdegegnerin ist somit verpflichtet, dem Beschwerdeführer die Auskunft auf verständliche Art zu übermitteln. Art 15 Abs 3 Satz 3 DSGVO sieht vor, dass der betroffenen Person „die Informationen“ in einem gängigen elektronischen Format zur Verfügung zu stellen sind, wenn die Antragstellung elektronisch erfolgte, sofern sie nichts anderes angibt. Diese Bestimmung ist auf alle der Auskunftspflicht unterliegenden Informationen anzuwenden, was der EuGH in der Rechtssache CRIF mit Verweis auf Art 12 Abs 3 DSGVO bestätigte (EuGH C-487/21 Rn 93). Was als „gängiges elektronisches Format“ anzusehen ist, ist in der DSGVO nicht geregelt. Bereits aus dem Transparenzgebot folgt, dass darunter Dateitypen zu verstehen sein werden, die mit durchschnittlich ausgestatteten Endgeräten gelesen werden können. Keine Transparenz liegt demnach vor, wenn ein Auskunftswerber, der über ein durchschnittlich ausgestattetes Gerät verfügt, gezwungen ist, sich zusätzliche Software anzuschaffen, um die ihm vom Verantwortlichen zur Verfügung gestellten Dateitypen lesen zu können (Haidinger in Knyrim, Art 15 DSGVO Rz 21). Nach ErwGr 63 Satz 4 soll der Verantwortliche der betroffenen Person nach Möglichkeit einen Fernzugang zu einem sicheren System zur Verfügung stellen, mit Hilfe dessen sie Zugang zu ihren personenbezogenen Daten erhält (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 34 (Stand 1.12.2020, rdb.at)). Die Beschwerdegegnerin ist bei der Auskunftserteilung verpflichtet, diese Grundsätze zu beachten und dem Beschwerdeführer die Informationen in einem gängigen elektronischen Format und in verständlicher Weise zur Verfügung zu stellen.

Folglich bedeutet das Recht, vom für die Verarbeitung Verantwortlichen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zu erhalten, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten überlassen wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten, die u. a. diese Daten enthalten, zu erhalten, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen (Urteil vom 4. Mai 2023, Österreichische Datenschutzbehörde und CRIF, C‑487/21, EU:C:2023:369, Rn. 45).

Eine Kopie ist dann zur Verfügung zu stellen, wenn dies unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen. Art 15 Abs. 3 S 3 DSGVO sieht vor, dass der betroffenen Person „die Informationen“ in einem gängigen elektronischen Format zur Verfügung zu stellen sind, wenn die Antragstellung elektronisch erfolgte, sofern sie nichts anderes angibt. Diese Bestimmung ist auf alle der Auskunftspflicht unterliegenden Informationen anzuwenden, was der EuGH in der Rs CRIF mit Verweis auf Art 12 Abs 3 bestätigt hat. Als gängige elektronische Formate werden wohl jedenfalls pdf, jpeg, gif, mp3, mp4 udgl zu verstehen sein, die mit durchschnittlich ausgestatten Endgeräten gelesen werden können, daher allenfalls auch Standardprodukte von Microsoft. Der Auskunftswerber sollte nicht gezwungen sein, kostenpflichtige Software anzuschaffen. Die Möglichkeit zur Weiterverarbeitung ist – anders als beim Recht auf Datenübertragbarkeit nach Art 20 – nicht geboten. Das „Verpacken“ in einem ZIP-File schadet nicht. Die Pflicht zur Zurverfügungstellung in einem elektronischen Format bedingt nicht automatisch eine Übermittlung auf digitalem Weg. So wird Art 15 Abs 3 S 3 auch dann erfüllt, wenn ein USB-Stick per eingeschriebenem Brief übermittelt wird (Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 21 (Stand 1.7.2024, rdb.at)).

Die Beschwerdegegnerin hat daher die vom Beschwerdeführer begehrte Auskunft unter Berücksichtigung dieser Ausführungen in einem gängigen elektronischen Format zur Verfügung zu stellen.

3.2.5 Zusammenfassend ist auszuführen, dass die Bestimmung des Art. 15 Abs. 1 und 3 DSGVO dem Verantwortlichen nicht ermöglichen, für den Auskunftsantrag der betroffenen Person eine Begründung zu verlangen. Art. 15 DSGVO, der zu Abschnitt 2 von Kapitel III gehört, der die Informationspflicht und das Recht auf Auskunft zu personenbezogenen Daten zum Gegenstand hat, vervollständigt den Transparenzrahmen der DSGVO, indem er der betroffenen Person ein Recht auf Auskunft über ihre personenbezogenen Daten und ein Recht auf Information über die Verarbeitung dieser Daten gewährt. Die betroffene Person ist nicht verpflichtet, den Antrag auf Auskunft über die Daten zu begründen, weshalb der erste Satz des 63. Erwägungsgrundes nicht dahin ausgelegt werden kann, dass dieser Antrag zurückzuweisen ist, wenn mit ihm ein anderer Zweck verfolgt wird als der, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen. Dieser Erwägungsgrund vermag nämlich die Tragweite von Art. 15 Abs. 3 DSGVO nicht einzuschränken. Angesichts der Bedeutung, die die DSGVO dem in Art. 15 Abs. 1 DSGVO garantierten Recht auf Auskunft über die personenbezogenen Daten, die Gegenstand einer Verarbeitung sind, zur Erreichung solcher Ziele beimisst, darf die Ausübung dieses Rechts folglich nicht von Bedingungen abhängig gemacht werden, die der Unionsgesetzgeber nicht ausdrücklich festgelegt hat, wie etwa von der Verpflichtung, einen der im ersten Satz des 63. Erwägungsgrundes DSGVO genannten Gründe geltend zu machen (EuGH 26.10.2023, C‑307/22 Rn 38, 43, 51).

Ausdrücklich festzuhalten ist, dass für das Recht, ein Auskunftsbegehren zu stellen, keinerlei Voraussetzungen vorliegen müssen, wie etwa ein konkreter Verdacht der Unrechtmäßigkeit einer Verarbeitung. Seine Grenzen findet das Recht allerdings in den Fällen, in denen Auskunftsbegehren offenkundig unbegründet oder exzessiv gestellt werden (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 11 (Stand 1.12.2020, rdb.at)).

Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche nach Art 15 DSGVO sich unter anderem weigern, aufgrund des Antrags tätig zu werden. Die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter des Antrags hat der Verantwortliche zu erbringen (Art 12 Abs 5 DSGVO; vgl zum Rechtsmissbrauch: RS0026265). Dieser Beweis ist der Beschwerdegegnerin nicht gelungen.

Die Beschwerdegegnerin hat dem Beschwerdeführer daher (sofern personenbezogene Daten des Beschwerdeführers enthalten sind) alle XXXX ; VOSI-Protokolle (Kreditreports, XXXX , Protokolle ÜBA, Protokolle XXXX ); FMA-Korrespondenz; Dokumente der „Priorität 2“ sowie sämtliche andere fehlende Unterlagen (beispielsweise aus dem Personalakt) zu beauskunften. Auch wenn der Beschwerdeführer über manche Teile der FMA-Korrespondenz verfügt, ist nicht ersichtlich, welche Teile der FMA-Korrespondenz ihm noch nicht beauskunftet wurden, weshalb die Beschwerdegegnerin alle von ihr noch nicht beauskunfteten Unterlagen zur FMA-Korrespondenz zu beauskunften hat, sofern sie einen Personenbezug zum Beschwerdeführer aufweisen. Dass die Beauskunftung der zusätzlichen Unterlagen zu einem Aufwand für die Beschwerdegegnerin führt, begründet kein Ablehnungsrecht des Auskunftsbegehrens. Ein „bloß“ hoher Aufwand für den Verantwortlichen kann erst dann einen Ablehnungsgrund sein, wenn Exzessivität iSd Art 12 Abs 5 vorliegt; s Art 12 Rz 68 ff sowie EDSA, Guidelines 1/2022 Right of Access (Ver 2.0) Rn 147, 164. Das Vorliegen einer solchen Exzessivität wurde jedoch bereits verneint.

Zu A Punkt II.)

3.3. Zu den ARCTIS-Unterlagen / Überziehungsanweisungen führte der Beschwerdeführer aus, dass nunmehr alle bisher fehlenden Überziehungsanweisungen beauskunftet worden wären. Da das Rechenzentrum der Beschwerdegegnerin zunächst mitgeteilt habe, über diese Unterlagen nicht mehr zu verfügen und in weiterer Folge diese Unterlagen doch beauskunftet werden konnten, verlangte der Beschwerdeführer die Vorlage der Korrespondenz zwischen der Beschwerdegegnerin und dem Rechenzentrum. Dies wurde dem Beschwerdeführer auch vorgelegt, er verlangt jedoch diesbezüglich die Offenlegung der Namen der beteiligten Personen. Ohne diese Namen seien die Schreiben als Beweismittel unbrauchbar. Lediglich diesem Begehren des Beschwerdeführers kann nicht entsprochen werden, da dieses personenbezogene Daten Dritter zum Inhalt hätte. Hinsichtlich dieses Punktes (Offenlegung der Namen der beteiligten Personen in der Korrespondenz zwischen Beschwerdegegnerin und Rechenzentrum) war dem Begehren mangels Erforderlichkeit für die Kontextualisierung seines Auskunftsanspruches nicht zu entsprechen und dieses abzuweisen. Dass die Beschwerdegegnerin auf Anfrage des gerichtlichen Sachverständigen im arbeitsrechtlichen Verfahren keine Unterlagen beziehungsweise Überziehungsanweisungen zur Verfügung stellte, ist für das hiergerichtliche Verfahren irrelevant.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Konkrete Rechtsfragen grundsätzlicher Bedeutung sind weder in der gegenständlichen Beschwerde vorgebracht worden, noch im Verfahren vor dem Bundesverwaltungsgericht hervorgekommen.