2023-0.227.168 – Datenschutzbehörde Entscheidung

GZ: 2023-0.227.168 vom 23. März 2023 (Verfahrenszahl: DSB-D777.026)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.

Der Name der Beschwerdegegnerin ist hier nicht pseudonymisiert worden, da eine Bearbeitung des Bescheidinhalts, die eine Identifizierung der Beschwerdegegnerin unmöglich gemacht oder doch deutlich erschwert hätte, nur durch weitgehende Beseitigung der Verständlichkeit des Inhalts der Entscheidung möglich gewesen wäre. Dem Geheimhaltungsrecht (§ 1 DSG) und Geheimhaltungsinteresse der Beschwerdegegnerin, einer juristischen Person, die im Rahmen des Sachverhalts ausdrücklich mit gesetzlichen Aufgaben betraut war, steht der gesetzliche Auftrag gemäß § 23 Abs. 2 DSG gegenüber, wobei es sich hier um eine Entscheidung von grundsätzlicher Bedeutung für die Allgemeinheit handelt, da einige Rechtsfragen hier erstmals rechtskräftig entschieden worden sind. Die Entscheidung war daher wegen Überwiegens des allgemeinen Interesses an der Veröffentlichung in die Entscheidungsdokumentation der Datenschutzbehörde aufzunehmen.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Erich A*** (Beschwerdeführer) vom 10. Februar 2022 (ha. eingelangt am 14. Februar 2022) gegen die ELGA GmbH (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Auskunft wie folgt:

1. Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem sie auf seinen diesbezüglichen Antrag nicht reagiert hat.

2. Der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von vier Wochen bei sonstiger Exekution ihrer Reaktionsverpflichtung gegenüber dem Beschwerdeführer gemäß Art. 12 Abs. 3 iVm Art. 15 Abs. 1 DSGVO nachzukommen.

Rechtsgrundlagen : Art. 12 Abs. 1, Abs. 2, Abs. 3 und Abs. 4, Art. 15 Abs. 1, Art. 23 Abs. 1 lit. e, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 2 Z 14, 17 Abs. 1 und Abs. 2, 24c Abs. 1, 24e Abs. 1 Z 1 sowie 27 Abs. 17 des Gesundheitstelematikgesetzes 2012 (GTelG 2012), BGBl. I Nr. 111/2012 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit verfahrenseinleitender Eingabe vom 10. Februar 2022 (ha. eingelangt am 14. Februar 2022) behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft dadurch, dass die Beschwerdegegnerin nicht (fristgerecht) auf seinen diesbezüglichen Antrag vom 3. Jänner 2022 reagiert habe.

2. Die Datenschutzbehörde forderte aufgrund einer Vielzahl gleichlautender Beschwerden die Beschwerdegegnerin mit ho. Schreiben vom 28. September 2022 zur Abgabe einer Stellungnahme auf.

3. Mit Eingabe vom 15. November 2022 brachte die Beschwerdegegnerin wie folgt vor:

Eingangs werde auf die fehlende Verantwortlicheneigenschaft der Beschwerdegegnerin iZm dem elektronischen Impfpass (in weiterer Folge: „e-Impfpass“) hingewiesen, da diese weder gesetzlich vorgesehen sei, noch der Beschwerdegegnerin sonstige faktische Entscheidungsbefugnisse über die Zwecke und Mittel der Verarbeitung zukommen würden. Vielmehr werde diese Entscheidung vom zuständigen Bundesminister (Anm.: Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz) getroffen, der die gesetzlichen Grundlagen für die Verarbeitungstätigkeit „e-Impfpass“ ausarbeite, den Beschluss im Nationalrat einbringe, in den entsprechenden Gremien – insbesondere in jenen der Beschwerdegegnerin – die Entwicklung vorgebe sowie den e-Impfpass mehrheitlich finanziere. Im Ergebnis bedeute dies „ohne Gesundheitsminister, kein e-Impfpass“. Dass fallgegenständlich überhaupt eine Diskussion über die Verantwortlicheneigenschaft geführt werde, liege einzig und alleine an der Öffnungsklausel des Art. 4 Z 7 DSGVO. Es stelle sich in diesem Zusammenhang allerdings die Frage, ob eine Öffnungsklausel auch eine Zuordnung „contra facta“ gestatte oder doch nur für Zweifelsfälle anwendbar sei. Die entsprechenden Leitlinien des Europäischen Datenschutzausschusses würden jedenfalls nahelegen, dass völlig konträre Lebenssachverhalte nicht durch Legaldefinitionen „zurechtgebogen“ werden dürfen. Der Europäische Datenschutzausschuss führe weiters aus, dass, sofern der Verantwortliche vom Gesetz explizit bestimmt sei, dies für die Bestimmung der Verantwortlichkeit maßgeblich sei. Dies setze jedoch voraus, dass der Gesetzgeber diejenige Stelle als Verantwortlichen bestimme, welcher die Möglichkeit zur „echten“ Kontrollausübung offenstehe. Dass die Beschwerdegegnerin dazu nicht in der Lage sei, zeige sich etwa an deren fehlenden (spezifischen) Zugriffsberechtigung in § 24f Abs. 4 GTelG 2012, die der Beschwerdegegnerin nicht einmal die Wahrnehmung der – streitgegenständlichen – Betroffenenrechte erlauben würde (Verweis auf den Bescheid der Datenschutzbehörde vom 2. September 2022, GZ: 2022-0.347.251), an der Weisungsgebundenheit der Beschwerdegegnerin gegenüber ihren Eigentümern, an der faktischen Erteilung zahlreicher Aufträge und Vorgaben an die Beschwerdegegnerin betreffend Verarbeitungstätigkeiten iZm dem e-Impfpass sowie an der kontinuierlichen Anpassung der gesetzlichen Grundlagen durch den zuständigen Bundesminister. Wie bereits ausgeführt, komme der Beschwerdegegnerin auch keine Budgethoheit zu. Außerdem habe der zuständige Bundesminister öffentlich klargestellt, dass die Einleitung eines Verfahrens gemäß Art. 36 DSGVO – damals im Zusammenhang mit dem mittlerweile aufgehobenen COVID-19-Impfpflichtgesetz – nicht zu den Aufgaben der Geschäftsführung der Beschwerdegegnerin gehöre, obwohl die Einleitung eines solchen Verfahrens dem Verantwortlichen obliege. Die Beschwerdegegnerin habe auch kein genuines Interesse an dieser Verarbeitungstätigkeit. Das Interesse beschränke sich vielmehr auf die entgeltliche Abwicklung von Aufträgen, die seitens ihrer Eigentümer oder anderer öffentlichen Stellen vergeben werde. Auch die Datenschutzbehörde habe in ihrer Entscheidung vom 14. Oktober 2022 festgehalten, dass die Beschwerdegegnerin nicht Verantwortliche der Verarbeitungstätigkeit „e-Impfpass“ und folglich keine Passivlegitimation vorgelegen sei. Außerdem werde auf die bereits zum Ministerialentwurf betreffend das Bundesgesetz, mit dem das Epidemiegesetz 1950 und das COVID-19-Maßnahmengesetz geändert werden, ergangene Stellungnahme der Beschwerdegegnerin verwiesen, im Rahmen derer ausführlich dargelegt worden sei, dass die „Pilotphase“ des zentralen Impfregisters bereits abgelaufen und ab diesem Zeitpunkt der zuständige Bundesminister Verantwortlicher sei. Davon abgesehen, mangle es auch an der Passivlegitimation für die Ausübung von Betroffenenrechten. Gemäß § 24e Abs. 1 Z 1 GTelG 2012 stehe betroffenen Personen das Recht auf Auskunft ausschließlich schriftlich gegenüber der „ELGA-Ombudsstelle“ oder elektronisch im Wege des Zugangsportals zu. Selbst wenn die Beschwerdegegnerin Verantwortliche sein sollte, wäre die zusätzliche Inanspruchnahme der Beschwerdegegnerin für sämtliche Betroffenenrechte gemäß Kapitel III DSGVO – insbesondere durch § 24e Abs. 1 Z 1 GTelG 2012 – ausgeschlossen, wie auch die einschlägigen parlamentarischen Materialien belegen würden.

4. Mit Erledigung vom 10. Jänner 2023 erteilte die Datenschutzbehörde dem Beschwerdeführer zur Stellungnahme der Beschwerdegegnerin Parteiengehör.

5. Im Rahmen des erteilten Parteiengehörs gab der Beschwerdeführer keine weitere Stellungnahme mehr ab. Ein entsprechender Weiterleitungsbericht liegt dem Akt bei und es liegt keine Fehlermeldung eines Email-Servers vor.

B. Beschwerdegegenstand

Ausgehend vom Beschwerdevorbringen ergibt sich als Beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem sie auf seinen diesbezüglichen Antrag nicht reagiert hat.

C. Sachverhaltsfeststellungen

1. Bei der Beschwerdegegnerin handelt es sich um eine zur FN 338778 d eingetragene Gesellschaft mit beschränkter Haftung mit Sitz in 1200 Wien, Treustraße 35-43. Der Unternehmenszweck ist auf die Erbringung von im Allgemeininteresse liegenden Serviceleistungen auf dem Gebiet der Daseinsvorsorge im Bereich von e-Health zur Einführung und Implementierung der elektronischen Gesundheitsakte gerichtet. Eigentümer (Gesellschafter) sind dabei Bund (vertreten durch den Bundesminister für Gesundheit), Länder sowie der Dachverband der Sozialversicherungsträger.

Beweiswürdigung: Die getroffenen Feststellungen gründen auf einer amtswegigen Abfrage des Firmenbuches zur FN 338778 d sowie der Webseite www.elga.gv.at, letztmalig abgefragt durch die Datenschutzbehörde am 22. März 2023.

2. Der Beschwerdeführer hat an die Beschwerdegegnerin – unter Adressierung an die unter Punkt C.1. genannte Adresse – am 3. Jänner 2022 ein postalisches Schreiben übermittelt, welches sich auszugsweise – soweit verfahrensrelevant – wie folgt darstellte:

[Anmerkung Bearbeiter/in: Antrag auf Auskunft im Original als grafische Datei dargestellt.]

Betrifft: Auskunftsbegehren gem. Art. 15 DSGVO

Sehr geehrte Damen und Herren!

Ich beziehe mich auf meine Rechte nach der DSGVO, insbesondere Art. 15 DSGVO.

Bitte bestätigen Sie mir, ob Sie mich betreffende personenbezogene Daten verarbeiten.

Ich ersuche Sie um Auskunft über sämtliche personenbezogenen Daten, die Sie zu meiner Person gespeichert haben.

Zudem ersuche Sie um folgende Informationen:

- die Verarbeitungszwecke sowie die Kategorien personenbezogener Daten, die verarbeitet werden und, wenn die personenbezogenen Daten nicht bei mir erhoben wurden, auch alle Informationen über die Herkunft dieser Daten.

- alle Vertrags·bzw. Rechtsgrundlagen, aufgrund denen diese Daten verwendet werden.

- die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt bzw. übermittelt worden sind oder noch offengelegt werden, sowie die Garantien nach Art. 46 DSGVO, sofern personenbezogene Daten an ein Drittland oder internationale Organisationen übermittelt werden oder wurden.

- das Bestehen eines Rechts auf Berichtigung und Löschung der mich betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch Sie oder eines Widerspruchsrechts gegen diese Verarbeitung.

- das Bestehen eines Beschwerderechts bei der zuständigen Aufsichtsbehörde

- werden Verknüpfungen mit anderen Datenbanken (auch externen) durchgeführt dann gilt das Auskunftsbegehren auch für diese Daten; das gilt auch wenn solche Verknüpfungen geplant sind. Weiters sind auch die Ergebnisse der Verknüpfungen im Detail anzuführen.

- die geplante Dauer, für die die personenbezogenen Daten gespeichert werden. oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der glaubhaften verfahrenseinleitenden Eingabe des Beschwerdeführers, im Rahmen dessen u.a. das genannte Schreiben in Kopie vorgelegt worden ist.

3. Das unter Punkt C.2. genannte Schreiben ist der Beschwerdegegnerin (postalisch) zugegangen. Seitens der Beschwerdegegnerin erfolgten bis zum Abschluss des Verfahrens weder eine inhaltliche Auskunftserteilung noch sonstige Informationen oder Reaktionen gegenüber dem Beschwerdeführer.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem glaubwürdigen Vorbringen des Beschwerdeführers, welches von der Beschwerdegegnerin zu keinem Zeitpunkt bestritten oder auf sonstige Weise in Zweifel gezogen worden ist. Insbesondere hat die Beschwerdegegnerin den Erhalt des Schreibens zu keinem Zeitpunkt bestritten.

D. In rechtlicher Hinsicht folgt daraus:

D.1. Zu Spruchpunkt 1

D.1.1. Rechtsgrundlagen

Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf in Abs. 2 leg. cit. genannte Informationen.

Diese Informationen sind laut Art. 12 Abs. 1 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln („Genauigkeits- und Verständlichkeitsgebot“). Der Verantwortliche erleichtert gemäß Abs. 2 leg. cit. der betroffenen Person die Ausübung ihrer Betroffenenrechte („Erleichterungsgebot“). Gemäß Abs. 3 leg. cit. ist dem Antrag – grundsätzlich – unverzüglich, in jedem Fall aber innerhalb eines Monats, zu entsprechen. Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so ist er laut Abs. 4 leg. cit. dazu verpflichtet, die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen, zu unterrichten („Reaktions- und Beschleunigungsgebot“).

Gemäß § 24e Abs. 1 GTelG 2012 haben Bürger/innen das Recht, elektronisch im Wege des Zugangsportals oder schriftlich gegenüber der ELGA-Ombudsstelle Auskunft (Art. 15 in Verbindung mit Art. 23 Abs. 1 lit. e DSGVO) über die sie betreffenden, im zentralen Impfregister gespeicherten Daten und Protokolldaten zu erhalten und sich die im zentralen Impfregister gespeicherten Daten selbst auszudrucken oder sich von der ELGA-Ombudsstelle ausdrucken zu lassen, wobei § 17 Abs. 2 und 4 leg. cit. Anwendung findet.

Laut § 17 Abs. 1 und Abs. 2 GTelG 2012 (sowie § 10 Abs. 1 und Abs. 3 Z 1 ELGA-VO 2015) sind die ELGA-Ombudsstellen von dem für das Gesundheitswesen zuständigen Bundesminister (durch Verordnung) einzurichten und von diesem zu betreiben. Aufgabe einer ELGA-Ombudsstelle ist insbesondere die Information, Beratung und Unterstützung betroffener Personen in Angelegenheiten im Zusammenhang mit ELGA, insbesondere bei der Durchsetzung von Teilnehmer/innen/rechten und in Angelegenheiten des Datenschutzes. In diesem Sinne hat die ELGA-Ombudsstelle als Anlaufstelle für den ELGA-Teilnehmer/die ELGA-Teilnehmerin auf Antrag binnen zwei Wochen alle Auskünfte zu erteilen, die notwendig sind, um den für die Verarbeitung seiner/ihrer Daten in ELGA Verantwortlichen (Art. 4 Z 7 DSGVO) festzustellen. Die Zuständigkeiten der Datenschutzbehörde bleiben von dieser Bestimmung unberührt.

D.1.2. Zur behaupteten Verletzung im Recht auf Auskunft

Eingangs ist festzuhalten, dass es sich beim unter Punkt C.2. genannten Schreiben zweifellos um einen Antrag auf Auskunft iSv Art. 15 Abs. 1 iVm Art. 12 Abs. 3 DSGVO handelt, welcher unbestrittenermaßen in den Machtbereich der Beschwerdegegnerin gelangt – folglich dieser zugegangen – ist (vgl. zur Anwendung der „Empfangstheorie“ etwa den Bescheid der DSB vom 22. Februar 2019, GZ: DSB-D124.098/0002-DSB/2019, abrufbar im RIS).

Wie den Feststellungen zu entnehmen ist, erfolgte seitens der Beschwerdegegnerin weder eine inhaltliche Auskunft noch eine sonstige Reaktion – insbesondere auch keine Unterrichtung über die Gründe für die Nicht-Entsprechung – sondern ist diese schlicht untätig geblieben.

Die Beschwerdegegnerin führte begründend aus, dass sie aufgrund ihrer fehlenden Verantwortlicheneigenschaft iZm Verarbeitungen im elektronischen Impfpasses (im weiterer Folge: e-Impfpass) weder rechtlich verpflichtet noch – gesetzlich oder faktisch – zur Auskunftserteilung kompetent gewesen sei. Zudem beschränke § 24e Abs. 1 GTelG 2012 die Ausübungsmodalitäten des Auskunftsrechtes über die im zentralen Impfregister gespeicherten Daten auf die elektronische Abfrage im Wege des Zugangsportales bzw. schriftliche Geltendmachung gegenüber der „ELGA-Ombudsstelle“, wobei letztere nicht mit der Beschwerdegegnerin gleichzusetzen – sondern wie u.a. aus § 17 leg. cit. ersichtlich – dem zuständigen Bundesminister zuzuordnen sei.

Betreffend die behauptete fehlende datenschutzrechtliche Verantwortlichkeit übersieht die Beschwerdegegnerin, dass laut den Bestimmungen der DSGVO zwischen dem „Aufkunftsverpflichteten“ – das ist diejenige Stelle, an welche das Begehren auf Auskunft gerichtet ist – und dem eigentlichen Verantwortlichen – gemäß Art. 4 Z 7 leg. cit. also jene Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet – zu unterscheiden ist.

Dies ergibt sich schon alleine aus dem Umstand, dass – sowohl nach gefestigter Rechtsprechung als auch einhelliger Literatur – für den Fall, dass zur antragsstellenden Person (aktuell) keine personenbezogenen Daten verarbeitet werden, jedenfalls eine „Negativauskunft“ zu erteilen ist (vgl. etwa das Erkenntnis des BVwG vom 24. Juni 2021, GZ: W274 2240807-1, sowie Bäcker in Kühling/Buchner , Datenschutz-Grundverordnung (2017) Art. 15 Rz. 7; zur früheren Rechtslage etwa das Erkenntnis des VwGH vom 27. Mai 2009, GZ: 2007/05/0052, wonach § 26 DSG 2000 ein Recht auf Negativauskunft gewährte, sofern ein Grund zur Annahme bestand, dass ein Auftraggeber Daten zum Betroffenen verarbeitete). Auf eine „besondere Intensität“ der Beziehung zwischen Aufkunftsverpflichtetem und betroffener Person kann es vor diesem Hintergrund gerade nicht ankommen (vgl. etwa den Bescheid der DSB vom 1. Oktober 2019, GZ: DSB-D123.625/0006-DSB/2019). Umgekehrt ist auch der Umstand der tatsächlichen Datenverarbeitung keine Voraussetzung für die Eigenschaft als Auskunftsberechtigter.

Folgerichtig muss auch zwischen der (unerlässlichen) Reaktionspflicht und der Verpflichtung zur inhaltlichen Beauskunftung unterschieden werden. Während letztere – schon rein faktisch – nur für jene (natürliche oder juristische) Person oder andere Stelle, die über die wesentliche Entscheidungsbefugnis hinsichtlich Verarbeitungszwecke und -mittel der (aktuell vorhandenen) Daten verfügt, bestehen kann, wird die Verpflichtung gemäß Art. 12 Abs. 3 DSGVO, innerhalb eines Monats zu reagieren, bereits mit dem Eingang des Antrages ausgelöst. Sollte der „Auskunftsverpflichtete“ in diesem Zusammenhang – insbesondere nach Prüfung des vorhandenen Datenbestandes – zum Ergebnis gelangen, dass eine Auskunftserteilung entweder rechtlich nicht geschuldet oder faktisch unmöglich ist, so unterrichtet er gemäß Art. 12 Abs. 4 DSGVO die antragstellende Person ohne Verzögerung über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen (vgl. zur früheren – und dem Grunde nach vergleichbaren – Rechtslage den Bescheid der DSK vom 10. Juli 2009, GZ: K121.495/0013-DSK/2009, wonach selbst bei einem rechtsungültigem Antrag im Regelfall von einer Reaktionspflicht auszugehen war).

Ebenso geht das Bundesverwaltungsgericht davon aus, dass eine Reaktionspflicht besteht, auch wenn der Empfänger eines Antrags auf Auskunft grundsätzlich nicht als Verantwortlicher in Betracht kommt (Erkenntnis vom 20. Oktober 2015, GZ W214 2105746-1).

Das (inhaltliche) Auskunftsrecht soll die betroffene Person in die Situation versetzen, unionsrechtlich garantierte subjektive Rechte – etwa Berichtigungs- und Löschungsrechte, aber auch das Recht auf Beschwerde infolge einer rechtswidrigen Verarbeitung – geltend zu machen (vgl. dazu das Erkenntnis des VwGH vom 27. Mai 2009, Zl. 2007/05/0052, mwN, sowie das Urteil des EuGH vom 7. Mai 2009, Rs C-553/07, Rijkeboer ).

Die Reaktions- und Unterrichtungspflicht ist dabei nach dem Willen des unionsrechtlichen Verordnungsgebers gewissermaßen – in Form einer Ausübungsmodalität – als (vorgelagerter) Ausgangspunkt für die Geltendmachung von Betroffenenrechten (gegenständlich: Art. 15 DSGVO) konstruiert. Bleibt diejenige Stelle, an welche das Begehren gerichtet ist, nämlich (gänzlich) untätig (Art. 12 Abs. 3 DSGVO) bzw. wird der Antragsteller nicht über die Gründe hierfür unterrichtet (Art. 12 Abs. 4 DSGVO), so ist es für diesen schlichtweg unmöglich, sein Begehren an die richtige Stelle (Verantwortlichen) zu richten oder dieses zu verbessern und somit im Ergebnis, seine Betroffenenrechte effektiv geltend zu machen (vgl. zum Recht auf schriftliche Ablehnung eines Auskunftsantrages nach der früheren – und hinsichtlich Sinn und Zweck vergleichbaren – Rechtslage den Bescheid der DSK vom 10. April 2013, GZ: K121.924/0006-DSK/2013).

Auch der von der Beschwerdegegnerin ins Treffen geführte Umstand, der Gesetzgeber verweise in § 24e Abs. 1 GTelG 2012 hinsichtlich der Ausübung von Betroffenenrechte auf die eigens dafür eingerichtete „ELGA-Ombudsstelle“, vermag nichts an der bereits durch das Einlangen des Antrags des Beschwerdeführers ausgelösten Reaktions- bzw. – bei Nicht-Tätigwerden – Unterrichtungspflicht der Beschwerdegegnerin zu ändern.

Im Ergebnis hat die Beschwerdegegnerin durch die vorliegende Nichtreaktion gegen ihre Verpflichtung nach Art. 12 Abs. 3 und Abs. 4 DSGVO verstoßen und den Beschwerdeführer dadurch im Recht auf Auskunft gemäß Art. 15 Abs. 1 leg. cit. verletzt.

Es war daher spruchgemäß zu entscheiden.

D.2. Zu Spruchpunkt 2

Wie zu Punkt D.1. bereits näher ausgeführt, hat die Beschwerdegegnerin den Beschwerdeführer in seinem Recht auf Auskunft infolge einer Nichtreaktion verletzt und war der Beschwerdegegnerin folglich aufzutragen, auf den Antrag des Beschwerdeführers entsprechend zu reagieren.

Der Leistungsauftrag gründet hierbei auf Art. 58 Abs. 2 lit. c DSGVO, wonach die Aufsichtsbehörde anordnen kann, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.

Eine Reaktionsfrist von vier Wochen erscheint als in diesem Zusammenhang dem Aufwand angemessen.

Es war daher spruchgemäß zu entscheiden.