GZ: 2025-0.502.649 vom 17. September 2025 (Verfahrenszahl: DSB-D124.1060/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. a Waltraud A*** (Beschwerdeführerin) vom 26. April 2025 gegen die N*** Immobilien Asset Management GmbH (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Auskunft wie folgt:
Die Beschwerde wird als unbegründet abgewiesen .
Rechtsgrundlagen : Art. 15 Abs. 1, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit verfahrenseinleitender Eingabe brachte die Beschwerdeführerin eine Datenschutzbeschwerde gemäß Art. 77 Abs. 1 DSGVO ein. Inhaltlich brachte die Beschwerdeführerin vor, dass die Beschwerdegegnerin auf ihren Antrag auf Auskunft nicht (fristgerecht) reagiert habe.
2. Die Beschwerdegegnerin brachte infolge einer Aufforderung durch die Datenschutzbehörde vor, dass der Antrag der Beschwerdeführerin ursprünglich nicht zugeordnet werden konnte, da es innerhalb ihrer Beteiligungsgruppe mehrere Gesellschaften gebe. Mittlerweile habe die Beschwerdeführerin jedoch konkretisiert, auf welche Gesellschaft sich ihre Anfrage bezogen habe. Der Beschwerdeführerin sei daraufhin eine Negativauskunft erteilt worden, weil keine personenbezogenen Daten der Beschwerdeführerin vorhanden seien bzw. möglicherweise zwar irgendwann vorhanden gewesen seien, aber mittlerweile gelöscht worden seien.
3. Im darauffolgenden Parteiengehör gemäß § 24 Abs. 6 DSG führte die Beschwerdeführerin aus, dass sie die Beschwerde als nicht erledigt erachte. Einerseits sei Ihr Antrag auf Auskunft bearbeitet worden und müsse schon deshalb eine Datenverarbeitung vorliegen. Die Nichtbeauskunftung bzw. das Nichtvorhandensein von Löschprotokollen widerspreche dem Transparenzgebot und der Rechenschaftspflicht. Außerdem stellten sich für sie nachfolgende Fragen: Wer verarbeitet mein Schreiben intern? Wie lange und zu welchem Zweck werden diese Informationen aufbewahrt? Wird der Eingang solcher Schreiben überhaupt registriert oder dokumentiert? Und falls sie gelöscht werden – auf welcher rechtlichen Grundlage und mit welchem Nachweis?
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Auskunft verletzt hat, indem sie eine (verspätete) Negativauskunft erteilt hat.
C. Sachverhaltsfeststellungen
1. Die Datenschutzbehörde legt das Vorbringen unter Punkt A ihren Sachverhaltsfeststellungen zugrunde.
2. Mit Schreiben vom 3. März 2025 richtete die Beschwerdeführerin ein postalisches Einschreiben an die „N*** Immobilien GmbH“, Adresse: L***straße *4, **** Wien. In diesem Schreiben waren u.a. nachfolgende Ausführungen zu finden:
„Datenauskunft gemäß Art. 15 DSGVO
Zusätzlich ersuchen wir um eine schriftliche Auskunft gemäß Art. 15 DSGVO über die von Ihnen verarbeiteten personenbezogenen Daten, die in Bezug auf mich und meinen Ehemann gespeichert sind. Bitte teilen Sie uns insbesondere mit:
• Welche personenbezogenen Daten von mir gespeichert und verarbeitet werden.
• Den Zweck der Verarbeitung dieser Daten.
• Die Rechtsgrundlage für die Speicherung und Verarbeitung.
• An welche Dritte diese Daten weitergegeben wurden oder noch weitergegeben werden.
• Die geplante Speicherdauer oder die Kriterien zur Festlegung dieser Dauer.
Wir ersuchen Sie, uns diese Informationen innerhalb der gesetzlichen Frist von einem Monat, bis spätestens 09.04.2025 zukommen zu lassen.“
3. Die von der Beschwerdeführerin angegebene „N*** Immobilien GmbH“ ist als eigenständige Gesellschaft an der unter Punkt C.2. genannten Adresse nicht existent. Vielmehr handelt es sich um eine Beteiligungsgruppe, die zum Zeitpunkt des Einlangens des Antrags aus drei Gesellschaften bestand, welche alle „N*** Immobilien“ in ihrer Firmenbezeichnung enthielten. Bei einer dieser Gesellschaften handelte es sich um die Beschwerdegegnerin.
Das unter Punkt C.2. genannte Schreiben ist daher an der genannten Adresse eingelangt, konnte aber vorerst keiner konkreten Gesellschaft zugeordnet werden.
4. Mangels Reaktion erhob die Beschwerdeführerin am 26. April 2025 Beschwerde bei der Datenschutzbehörde.
5. Im Laufe des Beschwerdeverfahrens konkretisierte die Beschwerdeführerin auf Anfrage der Beschwerdegegnerin am 15. Mai 2025 jene Gesellschaft, auf welche sich Ihre Anfrage bezog, nämlich auf die Beschwerdegegnerin.
Daraufhin erteilte die Beschwerdegegnerin der Beschwerdeführerin am selben Tag nachfolgende Information per E-Mail:
„S.g. Frau [Beschwerdeführerin], s.g. [Ehegatte der Beschwerdeführerin]
bezüglich ihrer Anfrage nach Art. 15 DSGVO möchten wir Sie hiermit, nach Durchsicht und Prüfung, informieren.
In der [Beschwerdegegnerin] liegen zu den Namen:
· [Beschwerdeführerin], geboren […], und
· [Ehegatte der Beschwerdeführerin], geboren […]
keine Informationen vor bzw. wurden diese bereits gelöscht.
Ihre E-Mail Anfrage bleibt bis zum Abschluss der derzeit laufenden, behördlichen Verfahren zu diesem Fall bei der [Beschwerdegegnerin] verspeichert.
Mit diesem Schreiben bestätigen wir gleichzeitig das Einlangen ihrer E-Mail – bitte auch um Information ihrerseits, ob Sie mit dieser Leermeldung auf eine postalische Übermittlung verzichten, und ob wir die Angelegenheit als erledigt betrachten können. Bitte um Ihre Rückmeldung bis […].“
6. Bei der Beschwerdegegnerin waren zum Zeitpunkt des Einlangens des Antrags der Beschwerdeführerin (vgl. Punkt C.3.) keine die Beschwerdeführerin betreffenden personenbezogenen Daten vorhanden. Der Beschwerdegegnerin verfügte zu diesem Zeitpunkt auch über keine Löschprotokolle bzw. -nachweise.
Beweiswürdigung : Die getroffenen Feststellungen beruhen auf übereinstimmendem Vorbringen der Verfahrensparteien. Hinsichtlich der Feststellung, dass zum Zeitpunkt des Einlangens des Antrags der Beschwerdeführerin keine personenbezogenen Daten der Beschwerdeführerin (oder Löschprotokolle) vorhanden gewesen sind, folgt die Datenschutzbehörde dem stringenten und nachvollziehbaren Vorbringen der Beschwerdegegnerin, welches von der Beschwerdeführerin im Rahmen des Parteiengehörs inhaltlich nicht weiter bestritten worden ist.
D. In rechtlicher Hinsicht folgt daraus:
D1. Zum Beschwerdegegenstand
Wie dem Parteienvorbringen bzw. dem Verfahrensgang sowie den Feststellungen zu entnehmen ist, behauptete die Beschwerdeführerin ursprünglich die Nichterteilung der Auskunft und brachte im Laufe des Verfahrens vor, die Auskunft erweise sich als mangelhaft bzw. unvollständig.
Demnach war das ursprüngliche Verfahren gemäß § 24 Abs. 6 Satz 3 DSG formlos einzustellen und gleichzeitig ein neues Verfahren – unter der gleichen Geschäftszahl – zu führen (vgl. hierzu etwa das Erkenntnis des BVwG vom 21.8.2024, GZ: W214 2280448-1).
Eingangs ist zudem darauf hinzuweisen, dass der VwGH in ständiger Rechtsprechung vertritt, dass in einem antragsbedürftigen Verwaltungsverfahren in erster Linie der Antragsteller bzw. die Antragstellerin bestimmt, was Gegenstand des Verfahrens ist. Von der Verwaltungsbehörde wie auch dem Verwaltungsgericht kann grundsätzlich nur darüber abgesprochen werden, was überhaupt beantragt wurde, insofern sind die Behörde und das Gericht an den Inhalt des Antrags des jeweiligen Antragstellers gebunden, diesen ist auch verwehrt, einseitig von diesem abzuweichen (vgl. Erkenntnis des VwGH vom 22.6.2016, Ra 2016/03/0027).
Sowohl die Datenschutzbehörde als auch das BVwG haben vor diesem Hintergrund wiederholt ausgesprochen, dass beim Beschwerdeverfahren gemäß Art. 77 DSGVO iVm. § 24 Abs. 1 DSG der Inhalt der Beschwerde den Beschwerdegegenstand konstituiert und begrenzt (vgl. etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).
Demnach war Beschwerdegegenstand im vorliegenden Fall die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Auskunft verletzt hat, indem die Beschwerdegegnerin
1) eine (verspätete) Negativauskunft erteilt hat, obwohl sie den Auskunftsantrag der Beschwerdeführerin samt Identitätsnachweis verarbeitet hat;
2) keine Löschnachweise entgegen Art. 5 Abs. 1 lit. a und Art. 5 Abs. 2 DSGVO gespeichert und beauskunftet hat;
3) keine Auskunft über mündlich vorhandene Daten erteilt hat.
D2. Zur Beschwerde
Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf bestimmte Informationen gemäß lit. a bis lit. h leg. cit.
Sofern die Beschwerdeführerin konkrete Fragen an die Beschwerdegegnerin richtete - welche sich nicht im Wortlaut des Art. 15 DSGVO widerspiegeln - (etwa betreffend die unternehmensinterne Registrierung von Auskunftsschreiben) ist schon an dieser Stelle darauf hinzuweisen, dass das Recht auf Auskunft nicht dazu eingesetzt werden kann, die Beantwortung allgemeiner Fragen zu erwirken (vgl. Erkenntnis des BVwG vom 9. Jänner 2025, GZ: W256 2244544-1/17E).
Davon abgesehen, kann eingangs festgehalten werden, dass es sich beim Schreiben der Beschwerdeführerin vom 3. März 2025 unbestrittenermaßen um einen Antrag auf Auskunft handelt, welcher auch in den Machtbereich der Beschwerdegegnerin gelangt ist. Dass dies intern vorerst nicht richtig zugeordnet werden konnte, ist in diesem Zusammenhang unerheblich bzw. wäre die Beschwerdegegnerin dazu verpflichtet gewesen, umgehend Nachforschungen einzuleiten (etwa durch sofortige Rückfrage bei der Beschwerdeführerin).
Grundsätzlich ist der Beschwerdeführerin daher insofern zuzustimmen, als dass sich die (nachträglich) erteilte Auskunft als verspätet erweist.
Allerdings ist es nicht nur herrschende Spruchpraxis der Datenschutzbehörde, sondern entspricht es überdies der Rechtsansicht des VwGH, dass aus Art. 77 DSGVO (iVm § 24 DSG) ein Recht auf Feststellung, dass eine Auskunft zu spät oder ursprünglich unrichtig erteilt worden ist, nicht ableitbar ist (vgl. etwa den Bescheid der Datenschutzbehörde vom 26.11.2018, GZ: DSB-D123.223/0007-DSB/2018, abrufbar im RIS sowie zur insoweit vergleichbaren Rechtslage nach dem DSG 2000 das Erkenntnis des VwGH vom 27.9.2007, 2006/06/0330 sowie zur aktuellen Rechtslage das Erkenntnis des VwGH vom 19.10.2022, Ro 2022/04/0001).
Folglich erwies sich die Beschwerde in Hinblick auf die Verspätung als unbegründet.
Zur Information der Beschwerdegegnerin, dass hinsichtlich der Beschwerdeführerin keine personenbezogenen Daten verarbeitet werden, ist darauf hinzuweisen, dass damit, sofern zu einer antragsstellenden Person (aktuell) keine personenbezogenen Daten verarbeitet werden, nach herrschender Judikatur den Anforderungen des Art. 15 Abs. 1 DSGVO (vollständig) entsprochen wird (vgl. etwa das Erkenntnis des BVwG vom 24. Juni 2021, GZ: W274 2240807-1).
Hinsichtlich des Vorbringens der Beschwerdeführerin, die Negativauskunft erweise sich deshalb als unrichtig, da die Beschwerdegegnerin den Antrag auf Auskunft samt Identitätsnachweis erhalten bzw. gespeichert habe, ist darauf hinzuweisen, dass Gegenstand einer zu erteilenden datenschutzrechtlichen Auskunft die im Zeitpunkt des Einlangens des Auskunftsverlangens tatsächlich verarbeiteten Daten sind (vgl. etwa den Bescheid der DSB GZ: D124.043/0008-DSB/2019).
Somit waren die personenbezogenen Daten der Beschwerdeführerin, die in ihrem Antrag auf Auskunft bzw. im Identitätsnachweis enthalten gewesen sind, in zeitlicher Hinsicht nicht vom Auskunftsrecht umfasst.
Davon abgesehen, hat die Beschwerdeführerin die Richtigkeit der Negativauskunft inhaltlich nicht weiter bestritten. Bloße Vermutungen bezogen auf die Unrichtigkeit einer datenschutzrechtlichen Auskunft begründen keine weitere Erhebungspflicht der Behörde (vgl. Erkenntnis des BVwG vom 14.6.2023, GZ: W274 2253346-1).
Zum Vorbringen der Beschwerdeführerin, die Beschwerdegegnerin habe sie auch durch die Nichtbeauskunftung von Löschprotokollen in ihrem Recht auf Auskunft verletzt, ist festzuhalten, dass aufgrund des klaren Wortlauts von Art. 15 Abs. 1 DSGVO keine inhaltliche Auskunftspflicht hinsichtlich der in der Vergangenheit verarbeiteten (bereits gelöschten) Daten besteht und aus der Bestimmung auch keine Verpflichtung zur Speicherung von Löschprotokoll ableitbar ist. Im Übrigen waren diese Protokolle zum Zeitpunkt der Antragstellung nicht vorhanden, womit eine Beauskunftung schon faktisch unmöglich gewesen wäre.
Auch kann aus den Transparenz- und Nachweisverpflichtungen des Art. 5 DSGVO eine solche Verpflichtung zur Erstellung von Löschprotokollen nicht abgeleitet werden.
Hinsichtlich des Vorbringens der Beschwerdeführerin, ihr sei in rechtwidriger Weise keine Auskunft über die bei der Beschwerdegegnerin zu ihrer Person mündlich vorhandenen Daten erteilt worden, ist darauf hinzuweisen, dass der sachliche Anwendungsbereich der DSGVO gemäß Art. 2 Abs. 1 ausschließlich ganz oder teilweise automatisierte Verarbeitungen sowie Verarbeitungen im Rahmen eines Dateisystems umfasst. Damit ist Art. 15 DSGVO auf mündliche Verarbeitungen nicht anwendbar.
Vor diesem Hintergrund erwies sich die Beschwerde insgesamt als nicht berechtigt und war gemäß § 24 Abs. 5 DSG abzuweisen .
Es war daher spruchgemäß zu entscheiden.
Rückverweise
