Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Das Oberlandesgericht Innsbruck als Berufungsgericht hat durch den Senatspräsidenten des Oberlandesgerichts Mag. Obrist als Vorsitzenden sowie die Richterinnen des Oberlandesgerichts Dr. Nemati und Mag. Ladner-Walch als weitere Mitglieder des Senats in der Rechtssache der klagenden Partei A* , vertreten durch Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in Dornbirn, wider die beklagte Partei B* C* Limited , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG in Wien, wegen Auskunft gemäß Art 15 DSGVO, über die Berufung der beklagten Partei gegen das Urteil des Landesgerichts Feldkirch vom 8.4.2025, **-127, in nichtöffentlicher Sitzung beschlossen und zu Recht erkannt:
I. Die Berufung wegen Nichtigkeit wird verworfen .
II. Im Übrigen wird der Berufung n i c h t Folge gegeben. Das angefochtene Urteil wird mit der Maßgabe bestätigt , dass Spruchpunkt 1. insgesamt zu lauten hat:
„Die beklagte Partei ist schuldig, der klagenden Partei binnen 14 Tagen bei sonstiger Exekution kostenlos eine vollständige Auskunft über die von der beklagten Partei verarbeiteten personenbezogenen Daten in Bezug auf die klagende Partei zu erteilen, welche neben einer vollständigen Auskunft über die verarbeiteten Daten (durch eine verständliche Datenkopie) folgende Angaben gemäß Art 15 Abs 1 DSGVO enthält:
(i) die konkreten Empfänger von Offenlegungen oder Übermittlungen der personenbezogenen Daten der klagenden Partei,
(ii) den Inhalt erfolgter Offenlegungen oder Übermittlungen der Daten der klagenden Partei,
(iii) die konkrete Speicherdauer bzw die konkreten Kriterien zur Festlegung der Speicherdauer in Bezug auf die personenbezogenen Daten der klagenden Partei, und
(iv) konkrete Angaben gemäß Art 15 Abs 2 DSGVO.“
III. Die beklagte Partei ist schuldig, der klagenden Partei zu Handen der Klagsvertreterin binnen 14 Tagen die mit EUR 1.458,67 (darin enthalten EUR 243,11 USt) bestimmten Kosten des Berufungsverfahrens zu ersetzen.
IV. Die (ordentliche) Revision ist zulässig.
Entscheidungsgründe:
Der Kläger nutzt für private Zwecke zwei in seinem Eigentum stehende iPads, auf denen jeweils ein bei der Beklagten registriertes Konto mit einer dazugehörigen „B* ID“ aktiviert ist. Damit im Zusammenhang werden von der Beklagten personenbezogene Daten des Klägers verarbeitet.
Im Jahr 2021 begehrte der Kläger außergerichtlich Auskunft über die personenbezogenen Daten, die in Bezug auf ihn von der Beklagten verarbeitet wurden, sowie die Übermittlung einer Datenkopie und legte dem Auskunftsbegehren für die Identifizierung seiner Person eine Kopie seines Personalausweises bei. Das Auskunftsbegehren langte am 15.9.2021 beim Hauptsitz der Beklagten in Irland ein. Die Beklagte ließ die zur Beantwortung des Auskunftsbegehrens vorgesehene Frist ungenützt verstreichen und äußerte sich im Rahmen des (nunmehrigen) Verfahrens beim Kläger dazu, wobei die Beklagte den Kläger für die gänzliche Erfüllung des Auskunftsbegehrens grundsätzlich auf das von ihr zur Verfügung gestellte Datenschutzportal verwies.
In diesem Umfang ist der Sachverhalt im Berufungsverfahren unstrittig.
Der Kläger begehrte mit seiner Klage vom 7.12.2021 zunächst, die Beklage zu verpflichten, ihm kostenlos eine vollständige Auskunft über die von der Beklagten verarbeiteten personenbezogenen Daten in Bezug auf den Kläger zu erteilen, welche neben einer Auskunft über die verarbeiteten Daten die Angaben gemäß Art 15 Abs 1 DSGVO, insbesondere zu
(i) den Verarbeitungszwecken,
(ii) den konkreten Empfängern bzw Empfängerkategorien von Offenlegungen der personenbezogenen Daten des Klägers sowie des Inhalts der an diese Empfänger erfolgten Offenlegungen,
(iii) der Speicherdauer in Bezug auf die personenbezogenen Daten des Klägers,
(iv) allen verfügbaren Informationen zur Herkunft der personenbezogenen Daten des Klägers,
(v) allenfalls vorgenommenen automatisierten Einzelentscheidungen bzw Profiling,
sowie die Angaben gemäß Art 15 Abs 2 DSGVO enthalte, und außerdem ihm eine vollständige Datenkopie im Sinn von Art 15 Abs 3 DSGVO zur Verfügung zu stellen (S 7 in ON 1).
Der Kläger schränkte sein Begehren mehrfach ein und modifizierte es (S 20 in ON 13; S 13 in ON 31; S 7f in ON 97). Zuletzt begehrte der Kläger, die Beklagte zu verpflichten, ihm kostenlos eine vollständige Auskunft über die von der Beklagten verarbeiteten personenbezogenen Daten in Bezug auf den Kläger zu erteilen, welche neben einer vollständigen Auskunft über die verarbeiteten Daten (durch eine verständliche Datenkopie) die Angaben gemäß Art 15 Abs 1 DSGVO enthalte, insbesondere
(i) die konkreten Empfänger von Offenlegungen oder Übermittlungen der personenbezogenen Daten des Klägers,
Die Berufung ist nicht berechtigt.
I. Zur Nichtigkeit:
Die Beklagte erblickt das Vorliegen des Nichtigkeitsgrunds gemäß § 477 Abs 1 Z 9 ZPO darin, dass das Urteil nicht oder so unzureichend begründet sei, dass sich dieses nicht überprüfen lasse.
Einerseits habe das Erstgericht durch die (im Spruch erfolgte) Formulierung „insbesondere“ einem unzureichend bestimmten Begehren stattgegeben. Ein Leistungsbegehren, bei dem die Leistung nicht eindeutig festgelegt sei, sei unzulässig, weil ein diesem Begehren stattgebendes Urteil nicht die Grundlage einer Exekution bilden könne. Aus den Erwägungen des Erstgerichts lasse sich auch nicht ableiten, zu welcher Leistung die Beklagte verpflichtet sei. Das angefochtene Urteil sei daher schon allein aus diesem Grund nichtig.
Darüber hinaus habe das Erstgericht überhaupt nicht begründet, warum die von der Beklagten dem Kläger in Bezug auf die Unterpunkte (i) bis (iv) des Begehrens zur Verfügung gestellten Informationen nicht den Vorgaben des Art 15 Abs 1 DSGVO entsprechen würden. Das Erstgericht sei zu Unrecht von einem einheitlichen Anspruch ausgegangen, hätte aber zwischen den verschiedenen Rechten auf Auskunft nach Art 15 Abs 1 lit c, Art 15 Abs 1 lit d und Art 15 Abs 2 DSGVO unterscheiden müssen, um eine Überprüfung des Urteils zu ermöglichen. Das Erstgericht habe damit jede rechtliche Diskussion der verschiedenen Rechtsfragen vermieden und überhaupt nicht erklärt, warum und wie es zur rechtlichen Schlussfolgerung gekommen sei, dass die Beklagte verpflichtet sei, dem Kläger zusätzliche Informationen gemäß Art 15 DSGVO zu erteilen.
Bezüglich (zusätzlicher) Auskünfte betreffend Werbeeinschaltungen lege das Erstgericht nicht einmal dar, ob es sich dabei um personenbezogene Daten des Klägers oder einen – nicht existenten – Anspruch aus Art 15 Abs 1 lit a bis lit h DSGVO handeln solle. Es lege auch nicht dar, aufgrund welche Rechtsgrundlage die Beklagte verpflichtet sein sollte, Informationen über in einen Algorithmus allfällig eingegebene Daten bereitzustellen. Eine derartige Verpflichtung gehe über die bloße Bereitstellung der zu verarbeitenden personenbezogenen Daten nach Art 15 Abs 1 DSGVO hinaus. Zum anderen handle es sich nicht um Informationen im Sinn von Art 15 Abs 1 lit c, d oder Abs 2 DSGVO.
Unklar bleibe auch, wie der Einschub „durch eine verständliche Datenkopie“ zu verstehen sei.
Das Berufungsgericht hat dazu erwogen:
1. Der Nichtigkeitsgrund des § 477 Abs 1 Z 9 ZPO soll die objektive Überprüfbarkeit des Urteils schützen, dies aber nur so weit, als durch das Urteil die Grunderfordernisse einer zivilprozessualen Entscheidung verletzt wurden. Die Bestimmung enthält drei verschiedene, voneinander zu unterscheidende Tatbestände (
(ii) den Inhalt erfolgter Offenlegungen oder Übermittlungen der Daten des Klägers,
(iii) die konkrete Speicherdauer bzw die konkreten Kriterien zur Festlegung der Speicherdauer in Bezug auf die personenbezogenen Daten des Klägers, und
(iv) konkrete Angaben gemäß Art 15 Abs 2 DSGVO (S 7 f in ON 97).
Er brachte dazu – soweit im Berufungsverfahren noch relevant – im Wesentlichen vor, er habe die Beklagte gemäß Art 15 DSGVO mit eingeschriebenem Brief um Auskunftserteilung betreffend seine personenbezogenen Daten ersucht und ausdrücklich auch die Übermittlung einer Datenkopie gemäß Art 15 Abs 3 DSGVO verlangt. Da die Beklagte auf den Auskunftsantrag vor Klagseinbringung überhaupt nicht reagiert habe, sei die Verletzung des Auskunftsrechts offenkundig. Mit Schreiben vom 4.2.2022, und somit mehr als vier Monate nach Zustellung des ursprünglichen Auskunftsantrags, habe die Beklagte schriftlich eine Auskunft erteilt, welche jedoch unvollständig sei und nicht den gesetzlichen Vorgaben entspreche.
Die Zurverfügungstellung einer Datenkopie über das Datenschutzportal der Beklagten sei in zwei Teilen und erst am 12.2. und 17.2.2022 erfolgt. Die Datenkopie habe in verschachtelten Ordnerkonstruktionen eine Vielzahl von Einzeldateien in verschiedensten Formen enthalten. Die Daten seien teilweise schwer lesbar, nicht verständlich und nicht nachvollziehbar oder verschachtelt. Beschreibungen seien nicht zu allen bereitgestellten Dateien verfügbar. Der Abruf und die Zusammenstellung der bereitgestellten Daten sei für ihn mit einem erheblichen zeitlichen Aufwand von mehr als zehn Stunden verbunden gewesen. Die Dateien seien nicht einmal für einen Sachverständigen vollständig verständlich oder interpretierbar. Die Beklagte habe daher ihre Verpflichtung, Mitteilungen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu machen, jedenfalls verletzt.
Die Vollständigkeit könne nicht verifiziert werden. Jedenfalls gebe es offenbar Verknüpfungen der bisher beauskunfteten Daten zu weiteren Datenbeständen, die in den Auskünften nicht enthalten seien.
Die von der Beklagten übermittelte Auskunft enthalte überwiegend allgemeine Ausführungen und nehme nur an ganz wenigen Stellen auf die hinsichtlich des Klägers tatsächlich verarbeiteten Daten Bezug.
Die Aufteilung der Auskunft auf verschiedenste Dokumente und Dateien sei unzulässig. Es habe eine einheitliche Auskunftserteilung zu erfolgen. Es sei der betroffenen Person nicht zumutbar, selbst Informationen zusammenzusuchen, die allenfalls in ihrer Gesamtheit eine vollständige Auskunft ergeben könnten.
Auskunft über Empfänger bzw Empfängerkategorien und Inhalt von Offenlegungen:
Wenn bereits konkrete Offenlegungen von Daten erfolgt seien, seien die konkreten Empfänger (deren Identität) bekanntzugeben. Die Bekanntgabe von Kategorien von Empfängern beziehe sich nur auf künftige Offenlegungen. Sofern bei Auskunftserteilung konkrete Empfänger noch nicht feststünden, müsse die Auskunft über die Empfängerkategorien so konkret wie möglich erfolgen. Ferner sei auch über den Inhalt solcher Offenlegungen zu informieren. Die Kenntnis der Inhalte konkreter Datenübermittlungen sei zur Beurteilung deren Rechtmäßigkeit jedenfalls erforderlich.
In ihrer Auskunft vom 4.2.2022 habe die Beklagte lediglich allgemeine und überdies auch zweideutige Angaben gemacht. Konkrete Angaben dazu, ob es tatsächlich zu Übermittlungen oder sonstigen Offenlegungen der personenbezogenen Daten des Klägers gekommen sei, fänden sich in der Auskunft nicht. Die Beklagte habe zumindest schlüssig zugestanden, dass es zu Übermittlungen der personenbezogenen Daten des Klägers an Dritte gekommen sei, weshalb sie auch insoweit zur Auskunft verpflichtet sei.
Es sei nicht nachvollziehbar, dass die Beklagte über keinerlei Informationen über Offenlegungen verfüge. Insbesondere wäre es für die Beklagte leicht möglich zu erheben, welche Daten konzernintern, etwa an die Muttergesellschaft der Beklagten, weitergegeben würden. Die Beklagte habe noch nicht einmal angegeben, ob Daten des Klägers gegenüber der Muttergesellschaft oder anderen Konzerngesellschaften der Beklagten offengelegt worden seien. Soweit die Beklagte Empfänger benannt habe, seien die angeführten Personen so allgemein angegeben, dass eine Geltendmachung von Rechten des Klägers gegenüber diesen jedenfalls nicht möglich sei. Es sei nicht Aufgabe des Klägers, durch Recherchen Empfänger erst zu identifizieren.
Angaben zur Speicherdauer:
Es seien konkrete Speicherfristen bzw konkrete Kriterien für die Festlegung dieser Fristen bekanntzugeben.
Die Information der Beklagten dazu in ihrer Auskunft vom 4.2.2022 erschöpfe sich in der sinngemäßen Wiedergabe des in Art 5 Abs 1 lit e DSGVO geregelten Grundsatzes der Speicherbegrenzung und gebe keinerlei Aufschlüsse darüber, für welche Dauer die personenbezogenen Daten des Klägers bei der Beklagten konkret gespeichert würden und anhand welcher Kriterien die Beklagte die Dauer der Speicherung der Daten des Klägers festlege. Die Information sei daher nicht ausreichend präzise.
Auskunft über geeignete Garantien bei Übermittlungen in Drittländer:
Soweit personenbezogene Daten (auch) an Drittländer bzw dort ansässige Verantwortliche oder Auftragsverarbeiter übermittelt würden, sei über die im Zusammenhang mit solchen Übermittlungen vorgesehenen geeigneten Garantien gemäß Art 46 DSGVO zu unterrichten.
Die Beklagte habe lediglich allgemein erklärt, dass es zu Übermittlungen von personenbezogenen Daten in Drittländer außerhalb des EWR kommen könne, ohne anzugeben, ob auch Daten des Klägers übermittelt worden seien. Der bloß allgemeine Verweis auf die Vereinbarung von Standardvertragsklauseln sei unzureichend, weil es verschiedene Standardvertragsklauseln gebe. Die Beklagte müsse konkret offenlegen, mit welchem Empfänger welche Fassung der Standardvertragsklauseln vereinbart worden sei und welche ergänzenden Maßnahmen ergriffen worden seien.
Anspruch auf Übermittlung einer Kopie der personenbezogenen Daten:
Ursprünglich vertrat der Kläger die Auffassung, in Art 15 Abs 3 DSGVO werde der betroffenen Person ein gesonderter Anspruch auf Erhalt einer Kopie der sie betreffenden personenbezogenen Daten eingeräumt. Dieser Anspruch stelle insofern eine wichtige Ergänzung zur allgemeinen Auskunft gemäß Art 15 Abs 1 DSGVO dar, da sie einen Überblick über die verarbeiteten Daten in jener Form, in der diese beim Verantwortlichen tatsächlich verarbeitet würden, geben solle.
In weiterer Folge, brachte der Kläger vor, das Recht auf Erhalt einer Datenkopie sei letztlich nicht als eigenständiges Recht anzusehen, sondern lege die praktische „Modalität“ für die Erfüllung der Auskunftsverpflichtung in Bezug auf die verarbeiteten Daten fest.
Die Beklagte bestritt, beantragte Klagsabweisung und brachte zusammengefasst vor, das Auskunftsersuchen des Klägers sei in deutscher Sprache auf dem Postweg an die Beklagte geschickt worden und nicht an die Datenschutzabteilung oder den Datenschutzbeauftragten adressiert gewesen. Die Beklagte sei nicht verpflichtet gewesen, auf dieses Ersuchen zu reagieren, und habe keinen Anlass zur Klagsführung gegeben.
Am 4.2.2022 habe die Beklagte im Weg des Beklagtenvertreters eine vollständige Auskunft in Übereinstimmung mit Art 15 DSGVO an den Kläger übermittelt und damit den Auskunftsanspruch erfüllt. Der Kläger habe alle nachgefragten und geschuldeten Informationen erhalten.
Hinsichtlich der Offenlegung personenbezogener Daten sei auf das Datenschutzportal der Beklagten verwiesen worden. Über dieses Portal könne jeder Inhaber einer „B* ID“ auf sichere und einfache Art und Weise Auskunft über die über ihn verarbeiteten personenbezogenen Daten erhalten.
Die Beklagte habe dem Kläger eine umfassende Datenkopie im Sinn des Art 15 Abs 3 DSGVO und detaillierte Informationen in einer Detailtiefe geliefert, die marktübliche Standards bei Weitem überschreite. Ergänzend seien instruktive Beschreibungen geliefert worden. Die bereitgestellten Informationen seien vollständig und präzise, strukturiert, transparent und verständlich.
Nach Art 15 Abs 3 erster Satz DSGVO beziehe sich das Recht auf Datenkopie auf die Daten in der Form, wie sie dem Verantwortlichen vorliegen würden. Die Beklagte sei nicht verpflichtet, die Daten in einer bestimmten Form aufzubereiten, damit sie die betroffenen Person weiterverarbeiten könne.
Der Kläger sei bereits vor Klagseinbringung über die Möglichkeit des Zugangs zu Informationen nach Art 15 DSGVO über das Datenschutzportal informiert gewesen, da etwa die Datenschutzrichtlinie der Beklagten ausdrücklich darauf verweise. Er habe über dieses Datenschutzportal auch tatsächlich schon vor Klagseinbringung Auskunft erhalten könne. Die Klage sei schon deshalb abzuweisen.
In einer aktuellen Entscheidung der für die Beklagte ausschließlich zuständigen irischen Aufsichtsbehörde (DPC) in einem sehr ähnlich gelagerten Fall ergebe sich, dass die Modalitäten und der Inhalt der Auskunftserteilung der Beklagten Art 15 DSGVO entsprechen würden.
Auskunft über Empfänger bzw Empfängerkategorien und Inhalt von Offenlegungen:
Der Auskunftsanspruch gemäß Art 15 Abs 1 lit c DSGVO könne bereits durch die Offenlegung von Informationen über die Kategorien von Empfängern erfüllt werden. Es bestehe ein Wahlrecht des Verantwortlichen, ob er Auskunft über die Kategorien der Empfänger erteile oder die Empfänger namentlich nenne. Die Pflicht zur Auskunft über konkrete Empfänger bestehe nicht.
Auftragsverarbeiter im Sinn der DSGVO würden Daten nur im Auftrag und auf Weisung eines Verantwortlichen verarbeiten, weshalb sie im Rahmen des Art 15 DSGVO nicht als Empfänger zu qualifizieren seien. Art 15 Abs 1 lit c DSGVO verpflichte die Beklagte nur dazu, eine betroffene Person über Empfänger zu informieren, die Verantwortliche seien. Zur Gewährleistung der Wirksamkeit der Betroffenenrechte genüge dies, weil die Betroffenenrechte der DSGVO ausschließlich gegenüber Verantwortlichen zustünden. Eine Weitergabe gegenüber einem Verantwortlichen wäre nur dann erfolgt, wenn der Kläger eine solche Übermittlung im Zusammenhang mit der Inanspruchnahme bestimmter Dienste veranlasst hätte, was der Kläger nicht behauptet habe.
Dem Kläger sei Zugang zu allen der Beklagten verfügbaren Informationen über Empfänger seiner personenbezogenen Daten gewährt worden, die als Verantwortliche im Sinn der DSGVO zu qualifizieren seien. Der Kläger habe überdies Informationen zu insgesamt „804 Sellern“ (Entwicklern) erhalten. Eine Verpflichtung zur Beauskunftung weiterer Daten, wie etwa Adresse, Telefonnummer etc, zu den einzelnen Empfängern bestehe nicht. Eine einfache Internetrecherche oder eine Suche im App Store zur Erlangung genauer Kontaktdaten sei angemessen und dem Kläger zumutbar.
Ein Auskunftsrecht über den Inhalt der Offenlegungen gegenüber einzelnen Empfängern bestehe nach der DSGVO ebenfalls nicht. Im Übrigen verfüge die Beklagte über keine derartigen detaillierten Informationen und Aufzeichnungen, worüber der Kläger informiert worden sei, weshalb die Auskunft faktisch nicht erteilt werden könne. Personenbezogene Daten müssten nicht allein zu dem Zweck gespeichert werden, um auf mögliche Auskunftsersuchen reagieren zu können.
Angaben zur Speicherdauer:
Art 15 Abs 1 lit d DSGVO normiere ausdrücklich die Möglichkeit, lediglich die Kriterien für die Festlegung der Dauer anzugeben, falls die Angabe einer konkreten Dauer nicht möglich sei. Über diese Kriterien sei der Kläger informiert worden.
Auskunft über geeignete Garantien bei Übermittlungen in Drittländer:
Die Beklagte habe darüber aufgeklärt, dass sie personenbezogene Daten auch an Staaten übermittle, die nicht Mitglieder der EU oder des EWR seien. Insoweit sei der Kläger hinreichend über die Übermittlung seiner personenbezogenen Daten in Drittländer informiert worden. Datenübermittlungen in Drittstaaten stütze sie auf Standardvertragsklauseln. Welche Standardvertragsklauseln konkret mit welchem Datenempfänger geschlossen worden seien und welche zusätzlichen Maßnahme die Beklagte ergriffen habe, sei nicht zu beauskunften.
Das Erstgericht gab mit dem angefochtenen Urteil dem (eingeschränkten) Klagebegehren vollinhaltlich statt (Spruchpunkt 1.).
Es legte seiner Entscheidung – über den eingangs (nicht wörtlich) wiedergegebenen unstrittigen Sachverhalt hinaus – die auf den Seiten 5 bis 12 der angefochtenen Entscheidung enthaltenen weiteren Feststellungen zugrunde, auf die zur Vermeidung von Wiederholungen verwiesen werden kann.
In seiner rechtlichen Beurteilung verwies das Erstgericht insbesondere darauf, dass aus dem aus Art 5 und Art 12 DSGVO abzuleitenden Transparenzgrundsatz folge, dass alle Mitteilungen (Auskünfte) des Verantwortlichen, hier also der Beklagten, an die betroffene Person, insbesondere auch solche nach Art 15 DSGVO, die sich auf die Verarbeitung beziehen würden, in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zu erfolgen hätten.
Ausgehend von den getroffenen Feststellungen seien dem Kläger zwar Auskünfte über die Verarbeitung seiner personenbezogenen Daten erteilt worden. Diese würden sich jedoch insofern erschöpfen, als die in der Datenkopie übermittelten Dateien unvollständig und unverständlich, gar in einer Weise bereitgestellt worden seien, die selbst von einem Fachmann nicht nachvollzogen werden habe können. Exemplarisch seien Dateien zu nennen, die gänzlich leere Spalten aufweisen würden. Weiters würden die angeführten Spaltenzahlen nicht den tatsächlich vorliegenden Spaltenzahlen entsprechen und wiesen 538 Eintragungen innerhalb einer Datei keine Werte auf. Ebenso seien Auskünfte über Werbeeinschaltungen, über welche die Beklagte verfüge, nicht erteilt worden. Auch sei nicht dargelegt worden, welche Daten des Klägers in den dazugehörigen Algorithmus eingeschleust worden seien. Schließlich seien dem Kläger verschachtelte Datenstrukturen und Datensätze mit Verknüpfungen übermittelt worden, die nicht entschlüsselt werden hätten können.
Die Verletzung des Auskunftsrechts sei, da es sich um ein Betroffenenrecht im Sinn des Art 15 DSGVO handle, als schwerwiegender Verstoß gegen die Bestimmungen der DSGVO zu werten.
Gegen dieses Urteil richtet sich die Berufung der Beklagten . Diese strebt – unter Ausführung der Rechtsmittelgründe der Nichtigkeit, der Mangelhaftigkeit des Verfahrens, der unrichtigen Tatsachenfeststellung samt Aktenwidrigkeit und der unrichtigen rechtlichen Beurteilung – die Aufhebung des angefochtenen Urteils als nichtig, in eventu dessen Abänderung im Sinn einer vollständigen Klagsabweisung an. Hilfsweise wird ein Aufhebungsantrag gestellt.
Der Kläger beantragt in seiner Berufungsbeantwortung, die Berufung wegen Nichtigkeit zu verwerfen und darüber hinaus der Berufung nicht Folge zu geben.
Der erste Fall einer Nichtigkeit nach dieser Ziffer liegt dann vor, wenn die Fassung des Urteils so mangelhaft ist, dass dessen Überprüfung nicht mit Sicherheit vorgenommen werden kann, wobei dieser Fehler nicht den Spruch des Urteils oder dessen Gründe isoliert im Auge hat. Maßgebend ist vielmehr das Urteil als logische Gesamtheit ( G. Kodek aaO § 477 ZPO Rz 81; Pimmer aaO § 477 ZPO Rz 79).
Der zweite Fall liegt vor, wenn das Urteil mit sich selbst in Widerspruch steht, wobei dies nur den Urteilsspruch betrifft ( G. Kodek aaO § 477 ZPO Rz 82; Pimmer aaO § 477 ZPO Rz 82).
Der dritte Fall liegt vor, wenn für die Entscheidung keine Gründe angegeben sind. Dieser Nichtigkeitsgrund wird nur durch den völligen Mangel der Gründe, nicht jedoch durch eine mangelhafte Begründung gebildet. Ein völliger Mangel der Begründung liegt nur dann vor, wenn die Entscheidung gar nicht oder so mangelhaft begründet ist, dass sie sich nicht überprüfen lässt. Dies ist auch dann der Fall, wenn konkrete Gründe für die Entscheidung fehlen und nur allgemeine Wendungen gebraucht werden, also eine Scheinbegründung vorliegt. Eine bloß mangelhafte Begründung oder eine verfehlte oder unvollständige Begründung stellt den Nichtigkeitsgrund jedoch nicht her ( G. Kodek aaO § 477 ZPO Rz 83 ff; Pimmer aaO § 477 ZPO Rz 85, 87; RS0106079). Das Fehlen von Erläuterungen zu der im Ergebnis richtigen Lösung einer Rechtsfrage zieht ebenfalls keine Urteilsnichtigkeit nach sich ( G. Kodek aaO § 477 ZPO Rz 84; vgl RS0100877).
2. Wird einem unbestimmten Klagebegehren stattgegeben, so verwirklicht dies keinen der genannten Fälle des Nichtigkeitsgrunds in § 477 Abs 1 Z 9 ZPO. Vielmehr hat das Gericht im Fall eines unbestimmten Begehrens auf eine Klarstellung hinzuwirken. Insgesamt wird zur Thematik der von der Beklagten behaupteten mangelnden Bestimmtheit des Klagebegehrens auf die noch zu behandelnde Rechtsrüge verwiesen (Punkt IV.1.).
3. Grundsätzlich beizupflichten ist der Beklagten indes, dass das Erstgericht den Auskunftsanspruch des Klägers als Gesamtanspruch behandelt und rechtlich nicht im Detail auf die Unterbegehren des Klägers eingegangen ist. Dieser Mangel an Rechtsausführungen macht das angefochtene Urteil – wie sich auch im Rahmen der weiteren Behandlung der Berufung der Beklagten zeigen wird – jedoch nicht unüberprüfbar. Schon an dieser Stelle vorausgeschickt werden kann, dass sich der Umstand, dass das Erstgericht offenkundig hinsichtlich sämtlicher Unterpunkte des Klagebegehrens die Auskunft für unvollständig erachtete, aus einer Zusammenschau der rechtlichen Beurteilung mit den vom Erstgericht getroffenen Feststellungen erschließen lässt.
4. Der Nichtigkeitsgrund des § 477 Abs 1 Z 9 ZPO ist demgemäß nicht verwirklicht. Die Berufung wegen Nichtigkeit war daher zu verwerfen.
II. Zur Mangelhaftigkeit des Verfahrens:
Die Beklagte ortet im Spruch des angefochtenen Urteils einen Verstoß des Erstgerichts gegen § 405 ZPO, weil das Erstgericht dem Kläger mehr zugesprochen als dieser tatsächlich begehrt habe. Der Kläger habe sein Begehren mehrfach eingeschränkt und seine Begehren nach Art 15 Abs 1 lit a, g und h DSGVO sowie sein Begehren auf Zurverfügungstellung einer vollständigen Datenkopie im Sinn von Art 15 Abs 3 DSGVO fallen gelassen.
Bei der Fassung des Urteilsspruchs sei nicht nur der Wortlaut des Begehrens, sondern auch der Inhalt der Prozessbehauptungen des Klägers, auf die sich das Begehren stütze, zu beachten. Durch die Wortfolge „ die Angaben gemäß Art 15 Abs 1 DSGVO enthält “ im Spruch des Urteils verpflichte das Erstgericht die Beklagte tatsächlich nicht nur dazu, Auskunft über die Empfänger, den Inhalt erfolgter Offenlegungen, die konkrete Speicherdauer und konkrete Angaben gemäß Art 15 Abs 2 DSGVO zu erteilen, sondern zur Auskunft über alle von Art 15 Abs 1 lit a bis h DSGVO umfassten Informationen. Aus diesem Formalfehler im Urteil sei die Beklagte beschwert, weil ihr mehr auferlegt werde, als vom Kläger zuletzt gefordert.
Das Berufungsgericht hat dazu erwogen:
1. Gemäß § 405 ZPO ist das Gericht nicht befugt , einer Partei etwas zuzusprechen, was nicht beantragt ist.
2. Im vorliegenden Fall liegt entgegen der Auffassung der Beklagten kein Verstoß gegen § 405 ZPO vor, weil das Klagebegehren im Spruch der angefochtenen Entscheidung exakt dem vom Kläger zuletzt gestellten Begehren entspricht. Das Erstgericht hat dem Kläger insofern nicht mehr zugesprochen, als von diesem begehrt. Die von der Beklagten behauptete Mangelhaftigkeit des Verfahrens liegt daher nicht vor.
Zur Frage, ob das zuletzt gestellte Klagebegehren den Anforderungen einer ausreichend bestimmten Formulierung entspricht, wird neuerlich auf die Behandlung der Rechtsrüge verwiesen (Punkt IV.1.).
III. Zur Beweisrüge samt Aktenwidrigkeit:
1. Die Beklagte bekämpft zunächst folgende Feststellung des Erstgerichts (dortige US 6):
„ Die jeweiligen Dateien beinhalten teilweise verschachtelte und teilweise unvollständige Datenstrukturen .“
An deren Stelle begehrt sie folgende Ersatzfeststellung:
„ Die Beklagte hat dem Kläger alle personenbezogenen Daten, die die Beklagte über den Kläger verarbeitet und die der Kläger angefordert hat, zur Verfügung gestellt. “
Das Erstgericht habe die bekämpfte Feststellung auf das in diesem Verfahren eingeholte informationstechnische Sachverständigengutachten gestützt. Tatsächlich stünden das Sachverständigengutachten und die Ergebnisse des Beweisverfahrens jedoch mit der getroffenen Feststellung im Widerspruch. Der Sachverständige habe nie erwähnt, dass die zur Verfügung gestellten Informationen unvollständig seien. Vielmehr habe er auf ein Schreiben der Beklagten verwiesen, in welchem diese bestätigt habe, alle vom Kläger angeforderten Informationen, zu deren Auskunft sie gemäß Art 15 DSGVO verpflichtet sei, zur Verfügung gestellt zu haben. Dies zeige, dass der Sachverständige diese Erklärung für plausibel halte.
Dass bestimmte Datenstrukturen verschachtelt gewesen seien, bedeute laut dem Sachverständigen lediglich, dass bestimmte dem Kläger zur Verfügung gestellte personenbezogene Daten komplexer Natur gewesen seien. Aus den Ausführungen des Sachverständigen folge ferner, dass, wenn die Beklagte keine personenbezogenen Daten des Klägers verarbeite, dies durch das Fehlen von Daten belegt werde.
Der Sachverständige habe auch festgestellt, dass die Auskunft Informationen zum kompletten Lebenszyklus der Geräte, der Gerätenutzung und der Softwarenutzung durch den Kläger enthalten habe, womit er die Vollständigkeit der Informationen bestätigt habe. Schließlich habe der Sachverständige über Frage, ob die zur Verfügung gestellten Informationen Hinweise auf weitere personenbezogene Daten des Klägers enthielten, die nicht zur Verfügung gestellt worden seien, klargestellt, dass es sich dabei um reine Spekulation handle.
Mit ein und derselben Begründung bekämpft die Beklagte die genannte Feststellung auch als aktenwidrig .
Das Berufungsgericht hat dazu erwogen:
Die Behandlung der Beweisrüge zu diesem Punkt erfolgt gemeinsam mit der Behandlung der Beweisrüge zum nachfolgenden Punkt. Es wird daher auf die Ausführungen unter Punkt III.2.1. bis III.2.8. verwiesen. Die hier geltend gemachte Aktenwidrigkeit wird unter Punkt III.2.9. behandelt.
2. Die Beklagte erachtet weiters folgende Feststellungen (US 8) als unrichtig:
„ Darüber hinaus ist hervorzuheben, dass die von der Beklagten vorgelegten Datenstrukturen, die im wesentlichen die Form von Computercodes aufweisen und von denen nur einzelne Wörter lesbar sind, nur von Personen mit fachspezifischen Kenntnissen sinnerfassend gelesen werden können. Personen, die (lediglich) über informationstechnische Grundkenntnisse verfügen, können diesbezüglich nur Vermutungen anstellen .“
Ersatzweise begehrt werden folgende Feststellungen:
„ Die von der Beklagten zur Verfügung gestellte Datenkopie enthält alle personenbezogenen Daten des Klägers, die Gegenstand der Verarbeitung durch die Beklagte sind. Die Datenkopie wird in den verfügbaren dazugehörigen Erläuterungen („Data and Privacy File Guides“) verständlich erläutert. “
Zur Untermauerung dieser angefochtenen Feststellungen habe das Erstgericht lediglich allgemein auf die Ausführungen des Sachverständigen verwiesen. Das Gutachten stütze diese Feststellungen jedoch nicht. Der Sachverständige habe lediglich erwähnt, dass für die Erstellung von Verknüpfungen mit IDs technische Kenntnisse erforderlich seien. Die Erstellung von Verknüpfungen mit IDs sei aber nicht Verfahrensgegenstand. Dass technische Kenntnisse erforderlich seien, um die gemäß Art 15 DSGVO zur Verfügung gestellte Auskunft zu verstehen, sowie dass die zur Verfügung gestellten Informationen im Wesentlichen die Form von Computercodes aufweisen würden, habe der Sachverständige hingegen nie erwähnt.
Darüber hinaus habe die Beklagte vorgebracht und nachgewiesen, dass sie die zur Verfügung gestellten Informationen mit Erläuterungen übermittelt habe, in welchen ausführlich erklärt worden sei, was die jeweilige Datei enthalte und warum die Beklagte diese Informationen verarbeite. Es seien auch die jeweiligen Feldbezeichnungen der gelieferten Datensätze aufgeschlüsselt worden. Dies sei in Beilage ./C sowie mit den Beilagen ./K, ./M und ./O erfolgt. Diese Beweismittel und das diesbezügliche Vorbringen habe das Erstgericht nicht berücksichtigt.
Das Berufungsgericht hat dazu erwogen:
2.1. Um eine Beweisrüge gesetzmäßig auszuführen, muss der Rechtsmittelwerber angeben oder zumindest deutlich zum Ausdruck bringen, welche konkrete Feststellung bekämpft wird, infolge welcher unrichtigen Beweiswürdigung sie getroffen wurde, welche andere Feststellung begehrt wird sowie aufgrund welcher Beweisergebnisse und Erwägungen die gewünschte Feststellung zu treffen gewesen wäre (RS0041835 [insb T4, T 5]; Pochmarski/Tanczos/Kober , Berufung in der ZPO 4 173ff). Die bekämpfte und die an deren Stelle angestrebte Feststellung müssen denselben tatsächlichen Gesichtspunkt in unterschiedlicher Weise beleuchten, also in einem sogenannten Austauschverhältnis zueinander stehen (OLG Innsbruck 3 R 165/24z, 3 R 26/24h; RI0100145).
2.2. Das Rechtsmittelgericht hat aus Anlass einer gesetzmäßig ausgeführten Beweisrüge lediglich zu prüfen, ob die Beweise nach der Aktenlage schlüssig gewürdigt wurden ( A. Kodek in Rechberger/Klicka , ZPO 5 § 482 ZPO Rz 6; Klauser/Kodek , JN – ZPO 18 § 467 ZPO E 40/4). Allein der Umstand, dass aus den vorliegenden Beweisergebnissen ohne Verstoß gegen Denkgesetze und Erfahrungssätze auch andere Feststellungen getroffen werden könnten, ohne dass solche Feststellungen eine bedeutend höhere innere Wahrscheinlichkeit für sich hätten als die vom Erstgericht getroffenen, bildet keinen Grund, die Beweiswürdigung des Erstgerichts anzuzweifeln. Eine Beweisrüge kann nur erfolgreich sein, wenn stichhaltige Gründe ins Treffen geführt werden, die erhebliche Zweifel an der Beweiswürdigung des Erstgerichts rechtfertigen. Es ist darzulegen, dass die getroffenen Feststellungen zwingend unrichtig sind oder wenigstens bedeutend überzeugendere Ergebnisse für andere Feststellungen vorliegen (9 Ob 104/22t [Rz 7]; Klauser/Kodek aaO § 467 ZPO E 40/1, 40/3, 40/5).
2.3. Die Beweisrüge zu Punkt 1. ist nicht gesetzmäßig ausgeführt, weil das Erstgericht an weiteren Stellen im Urteil feststellte, dass die Beklagte teilweise „verschachtelte Datenstrukturen“ zur Verfügung stellte (US 7 zweiter und siebter Absatz; US 12 vierter Absatz), welche die Beklagte nicht in Anfechtung zog. Überdies nimmt die angebotene Ersatzfeststellung auf diese vom Erstgericht angenommene „Verschachtelung“ keinerlei Bezug, weshalb es dieser schon am Austauschverhältnis mit der angefochtenen Feststellung fehlt.
Weiters setzt sich die zu Punkt 1. begehrte Ersatzfeststellung bezüglich der Frage der Vollständigkeit bzw Unvollständigkeit der Auskunft auch mit den unangefochten gebliebenen Feststellungen betreffend die Spalte „AB Test“ (US 6 f), aus welchen – wie im Rahmen der rechtlichen Beurteilung noch aufzuzeigen sein wird (siehe Punkt IV.2.7.2.) – bereits eine Unvollständigkeit folgt, in Widerspruch.
2.4. Auch die hier in Punkt 2. behandelte Beweisrüge ist nicht gesetzmäßig ausgeführt, weil der erste Satz der angebotenen Ersatzfeststellungen über die angefochtene Feststellung hinausgeht und damit dieser Satz nicht im Austauschverhältnis steht.
2.5. Nichtsdestotrotz kommt den Beweisrügen in den hier behandelten Punkten 1. und 2. auch inhaltlich keine Berechtigung zu:
2.5.1. Der Umstand, dass der informationstechnische Sachverständige zur Frage der Vollständigkeit der Auskunft auf ein Schreiben der Beklagten (S 9f in ON 40) verwies, unterstellt entgegen dem Verständnis der Beklagten gerade nicht, dass der Inhalt dieses Schreibens laut Auffassung des Sachverständigen zutreffend wäre. Dies ist schlicht dem geschuldet, dass es dem Sachverständigen nicht obliegt, eine Beweiswürdigung vorzunehmen. Das betreffende Schreiben der Beklagten (bzw der Beklagtenvertretung) (ON 40.1) wurde überdies ausdrücklich mit einer rechtlichen Beurteilung verknüpft ( „...alle Informationen zur Verfügung gestellt hat … zu deren Auskunft [die Beklagte] gemäß Art 15 DSGVO verpflichtet ist. [Die Beklagte] vertritt die Rechtsansicht, dass Art 15 Abs 1 lit c DSGVO nur die Auskunft über Verantwortliche, an die personenbezogene Daten übermittelt wurden, verlangt.“). Die rechtliche Würdigung ist aber dem Gericht vorbehalten. Der Verweis des Sachverständigen ist auch vor diesem Hintergrund zu relativieren. Auch der schriftlichen Gutachtensergänzung in S 6 in ON 49 ist klar zu entnehmen, dass der Sachverständige mit diesem Verweis auf das Schreiben der Beklagten (ON 40.1) keine eigene Stellungnahme zur Frage der Vollständigkeit der Auskunft getätigt hat.
2.5.2. Dass die Auskunft der Beklagten verschachtelte Datenstrukturen enthält, geht aus dem Gutachten des Sachverständigen klar hervor (S 10 in ON 40) und bedeutet, wie sich schon aus dem – in das Urteil aufgenommenen – exemplarischen Auszug im Sachverständigengutachten ergibt, gerade nicht, dass die Daten „nur“ komplexer Natur gewesen wären. Insbesondere verwies der Sachverständige zu diesem exemplarischen Auszug auch ausdrücklich darauf, dass diesbezüglich in den bezughabenden Erläuterungen der (fremdsprachigen) Urkunde in Beilage ./K der innere Aufbau der Datenstruktur nicht dokumentiert sei.
2.5.3. Auch aus der Äußerung des Sachverständigen, dass die Nicht-Nutzung eines Diensts durch Abwesenheit von Datensätzen belegt werde oder die Installation einer App durch die Anwesenheit einer Datei, auch wenn diese nie genutzt worden sei (S 6 in ON 40), kann entgegen der Ansicht der Beklagten nicht abgeleitet werden, dass die Auskunft der Beklagten vollständig wäre.
Aus jener Formulierung des Sachverständigen, wonach in der Auskunft zusammengefasst Informationen zum kompletten Lebenszyklus der Geräte, der Gerätenutzung und der Softwarenutzung durch den Kläger enthalten seien (S 9 f in ON 40), folgt ebenfalls nicht zwingend eine Vollständigkeit der Auskunft nach Art 15 DSGVO, wobei dies im Übrigen eine Rechtsfrage darstellt.
2.5.4. Die von der Beklagten in ihrer Berufung zitierte Aussage des Sachverständigen, wonach es „reine Spekulation“ sei, wird insoweit in einen unvollständigen bzw unrichtigen Kontext gesetzt, als die Beklagte dies mit der undifferenzierten Frage, ob die dem Kläger zur Verfügung gestellten Informationen Hinweise auf weitere personenbezogene Daten des Klägers enthielten, verknüpfte. Tatsächlich tätigte der Sachverständige diese Antwort jedoch (nur) konkret in Bezug auf die Frage des Gerichts, ob es hinsichtlich (Kunden-)IDs Verknüpfungen zu weiteren personenbezogenen Daten des Klägers gebe (S 8f in ON 82.1).
2.6. Dass die Auskunft der Beklagten (teilweise) verschachtelte Datensätze enthält und Datenstrukturen, die im Wesentlichen die Form von Computercodes aufweisen und von denen nur einzelne Wörter lesbar sind, wobei die Daten nur von Personen mit fachspezifischen Kenntnissen sinnerfassend gelesen werden können, während Personen, die lediglich über informationstechnische Grundkenntnisse verfügen, diesbezüglich nur Vermutungen anstellen können, ergibt sich überdies schon aus einer Einsicht in die mit Beilage ./C (einem USB-Datenträger) gelegte Datenkopie. Darüber hinaus erschließt sich die Unübersichtlichkeit und Intransparenz aus dem Umfang und Inhalt der vom Sachverständigen erstellten Auflistung der im Datenschutzportal zum Download zur Verfügung gestellten Daten (S 6 bis 8 in ON 40 sowie insbesondere der Detailauflistung in den S 12 bis 30 in ON 40).
Allein bezogen auf die Datei „G*“ erläuterte der Sachverständige verschachtelte Datenstrukturen in 762 Datensätzen einer bestimmten Spalte (S 8 in ON 49). Darüber hinaus bestätigte er, dass vergleichbare verschachtelte Datenstrukturen auch in anderen von der Beklagten zur Verfügung gestellten Dateien enthalten sind (S 9 in ON 49). Insgesamt ermittelte er 2.345 Datensätze mit verschachtelten Daten in den von der Beklagten zur Verfügung gestellten Dateien (S 9 in ON 49).
2.7. Die von der Beklagten zur Verfügung gestellten „File Guides“ wurden vom Sachverständigen ausdrücklich bei seiner Gutachtenserstellung berücksichtigt (siehe etwa die Bezugnahme auf Beilage ./K in S 10 in ON 40 und S 5 in ON 82.1 sowie die Bezugnahme auf Beilage ./O in S 9 in ON 82.1).
Dass es selbst für den Sachverständigen, welchem – wie ausgeführt – auch die File Guides zur Verfügung standen, nicht möglich war, sämtliche von der Beklagten zur Verfügung gestellten Daten in allen Einzelheiten verlässlich nachzuvollziehen und inhaltlich zu interpretieren, stellte dieser anhand mehrerer Beispiele dar (S 8 bis 12 in ON 49; vgl S 7 in ON 82.1, S 6 f in ON 122.4). Der Sachverständige verwies auch darauf, dass im Datensatz der Beklagten tausende von Informationen enthalten seien (S 11 in ON 72.1).
Im Hinblick auf die betreffend die Thematik „AB Test*“ objektivierte Abweichung stellte der Sachverständige klar, keine weitere bzw allgemeine Überprüfung aller Dokumente auf Abweichungen in Bezug auf fehlende Erläuterungen in den File Guides vorgenommen zu haben (S 8 in ON 49).
Weiters wies der Sachverständige darauf hin, dass (auch) anhand der File Guides im Datensatz der Beklagten die Empfänger von Daten des Klägers nicht erhoben werden können (S 11 in ON 72.1).
Was das Anstellen von Vermutungen anlangt, so ist ergänzend auf die diesbezügliche Aussage des Klägers zu verweisen (S 6 in ON 122.4).
2.8. Die gutachterlichen Ausführungen des Sachverständigen lassen sich daher insgesamt zweifellos mit den von der Beklagten zu den Punkten 1. und 2. angefochtenen Feststellungen in Einklang bringen. Die von der Beklagten zu den Punkten 1. und 2. angefochtenen Feststellungen sind daher – ungeachtet der nicht gesetzmäßigen Ausführung der diesbezüglichen Beweisrügen – auf Basis dieser Beweisergebnisse auch als unbedenklich vom Berufungsgericht zu übernehmen.
2.9. Eine Aktenwidrigkeit besteht nicht in einem Widerspruch zwischen einer Tatsachenfeststellung und irgendeinem vorhandenen Beweismittel, sondern ausschließlich in einem Widerspruch zwischen dem Inhalt eines bestimmten Aktenstücks einerseits und der Zugrundelegung und Wiedergabe desselben durch das Gericht andererseits (RS0043284).
Da sich die von der Rechtsmittelwerberin zu Punkt 1. als aktenwidrig bemängelten Tatsachenfeststellungen mit den gutachterlichen Ausführungen des Sachverständigen decken, ist auch eine Aktenwidrigkeit im dargestellten Sinn zu verneinen.
3. Sodann bekämpft der Kläger folgende Feststellungen von S 7 im angefochtenen Urteil:
„ Die „I* ID“ ist 38 mal im Datensatz enthalten und weist eine Verknüpfung sowie einen Text auf, der sich in den Zeilen aber unterscheidet. Aus informationstechnischer Sicht kann nicht nachvollzogen werden, was diese Verknüpfung bedeutet und ob personenbezogene Daten des Klägers weitergegeben wurden. “
Ersatzweise begehrt werden folgende Feststellungen:
„ Die “I* ID“ ist 38 mal im Datensatz enthalten und ist eine interne Bezeichnung einer Gruppe von Nutzern ist denen ein gewisser Inhalt angezeigt wird, identifiziert durch eine Kombination von der allgemeinen Art des Inhalts und der dem Inhalt zugrunde liegenden Anzeigelogik. Diese Informationen wurden dem Kläger zur Verfügung gestellt “.
Auch diese von der Beklagten bekämpften Feststellungen stütze das Erstgericht lediglich auf einen allgemeinen Verweis auf Erkenntnisse des Sachverständigen, welche die Feststellungen jedoch nicht stützen würden. Anhaltspunkte dafür, dass die I* ID eine Verknüpfung aufweisen würde oder dass personenbezogene Daten des Klägers weitergegeben worden wären, fänden sich im Beweisverfahren nicht, insbesondere nicht in Form einer Aussage des Sachverständigen.
Im Übrigen habe die Beklagte über Auftrag des Gerichts zur I* ID weitere Informationen zur Verfügung gestellt, nämlich dass es sich dabei um eine interne Bezeichnung einer Gruppe von Nutzern handle, denen ein gewisser Inhalt angezeigt werde, identifiziert durch eine Kombination von der allgemeinen Art des Inhalts und der dem Inhalt zugrunde liegenden Anzeigelogik. Diese Informationen habe das Erstgericht im Urteil überhaupt nicht berücksichtigt.
Die Logik der von der Beklagten verwendeten Algorithmen sei nicht Gegenstand des Verfahrens. Dass ein Algorithmus der Beklagten unter Art 22 Abs 1 DSGVO fallen würde, habe der Kläger nie behauptet. Im Übrigen habe er seinen Anspruch nach Art 15 Abs 1 lit h DSGVO ausdrücklich (mit ON 13) fallen gelassen.
Das Berufungsgericht hat dazu erwogen:
3.1. Die Erledigung einer Beweisrüge durch das Berufungsgericht kann dann unterbleiben, wenn der vom Erstgericht festgestellte Sachverhalt und der davon abweichende von der Beweisrüge angestrebte Sachverhalt zum gleichen rechtlichen Ergebnis führen müsste (RS0042386) bzw wenn Feststellungen angefochten werden, die bei richtiger rechtlicher Beurteilung der Sache ohne Bedeutung sind (RS0043190).
3.2. Die hier angefochtenen Feststellungen sind nicht entscheidungswesentlich, weil dem Auskunftsbegehren des Klägers nach Art 15 Abs 1 DSGVO auch unter Ausklammerung dieser Feststellungen Berechtigung zukommt, wobei dies ebenso noch im Rahmen der Behandlung der Rechtsrüge aufzuzeigen sein wird (siehe Punkt IV.2.7.2.). Eine inhaltliche Erledigung der Beweisrüge zu diesem Punkt kann daher unterbleiben, abgesehen davon, dass der von der Beklagten begehrte Wunschsachverhalt grammatikalisch auch nicht verständlich erscheint.
4. Weiters wendet sich die Beklagte gegen folgende erstgerichtliche Feststellungen (US 7):
„ Im Anschluss dazu steht eine „UUID“- Nummer (Universal Unique Identifier), die eine sehr große Zahl darstellt und bei der aus informationstechnischer Sicht nicht nachvollziehbar ist, was diese genau zu bedeuten hat. Es kann lediglich festgestellt werden, dass es sich um eine Verknüpfung handelt, über die die Beklagte genauere Informationen preisgeben könnte. “
Anstelle dieser Feststellungen begehrt sie folgende Ersatzfeststellungen:
„ Darauf folgt eine „UUID“-Nummer (Universal Unique Identifier), die eine Kennung für die Transaktion ist. Sie ist nicht mit Daten verknüpft, die sich auf den Kläger beziehen und die dem Kläger nicht zur Verfügung gestellt wurden .“
Das Erstgericht berufe sich wiederum allgemein auf die Erkenntnisse des Sachverständigen. Tatsächlich liefere das Beweisverfahren jedoch überzeugendere Beweise für ein anderes Ergebnis. In den Erläuterungen für die Datei „Apple Media Services: Store Transaction History“ in S 163 ff in Beilage ./C sei informiert worden, dass die UUID ein Identifikator für die Transaktion sei.
Die Aussage des Sachverständigen, dass die Beklagte weitere Informationen zur UUID zur Verfügung hätte stellen können, beruhe offensichtlich lediglich darauf, dass dem Sachverständigen nicht der gesamte Inhalt des Gerichtsakts vorgelegen habe. Die weitere Aussage des Sachverständigen, dass die UUID „alles und nichts“ bedeuten könne, rechtfertige nicht den (impliziten) Schluss des Erstgerichts, dass er sich auf personenbezogene Daten des Klägers beziehe, welche nicht offengelegt worden seien. Auch habe der Sachverständige klargestellt, dass es reine Spekulation sei, dass dem Kläger weitere personenbezogene Daten nicht zur Verfügung gestellt worden seien.
Das Berufungsgericht hat dazu erwogen:
Auch die hier angefochtenen Feststellungen sind nicht entscheidungswesentlich. Es wird auf die obigen Ausführungen zu Punkt III.3.2. verwiesen.
5. Sodann bekämpft die Beklagte auch folgende Feststellungen von S 8 des Ersturteils:
„ Das Feld „Impressed content Names“ (Beilage ./K) zeigt auf, dass dem Kläger Werbeeinschaltungen gezeigt wurden. Aus informationstechnischer Sicht ist nicht vorstellbar, dass es sich dabei um solche Werbung handelt, die keinen Personenbezug zum Kläger aufweist; dies allein schon aus ökonomischen Überlegungen. “
An Ersatzfeststellungen begehrt sie dazu:
„ Das Feld „Impressed content Names“ (Beilage ./K) zeigt, dass dem Kläger Werbeeinschaltungen angezeigt wurden. Es kann nicht festgestellt werden, dass ein Algorithmus, der verwendet wurde, um zu entscheiden, welche Werbeeinschaltungen dem Kläger angezeigt wurden, personenbezogene Daten des Klägers verarbeitet hat .“
Das Erstgericht habe die angefochtenen Feststellungen lediglich auf Erfahrungssätze gestützt. Weder das Beweisverfahren noch Erfahrungssätze würden diese Tatsachenfeststellungen jedoch rechtfertigen. Ungeachtet dieser formal mangelhaften Beweiswürdigung stünden die Feststellungen im Widerspruch zu den tatsächlichen Aussagen des Sachverständigen. Dieser habe nämlich ausgeführt, dass nicht nachvollziehbar sei, ob und falls ja, welche Daten des Klägers der Algorithmus für die Entscheidung zur Werbeeinschaltung für den Kläger heranziehe. Weiters habe der Sachverständige ausgeführt, dass es sich bei den Daten nicht zwingend um personenbezogene Daten des Klägers handeln müsse. Es sei möglich, dass Personen bestimmte Werbeeinschaltungen rein zufällig angezeigt würden.
Ein Anwendungsfall des Anscheinsbeweises liege nicht vor, weil die Verwendung personenbezogener Daten für einen Algorithmus in den meisten Fällen die Einwilligung der betroffenen Person und zusätzlich die Entscheidung des Verantwortlichen zur entsprechenden Datenverarbeitung erfordere.
Die Frage, welche Daten des Klägers in den dazugehörigen Algorithmus eingeschleust würden, sei überdies nicht Gegenstand des Verfahrens.
Das Berufungsgericht hat dazu erwogen:
Die insoweit von der Beklagten in Anfechtung gezogenen Feststellungen sind wiederum nicht entscheidungswesentlich, weil der Kläger sein Begehren nach Art 15 Abs 1 lit h DSGVO, nämlich betreffend die Auskunft über allenfalls vorgenommene automatisierte Einzelentscheidungen bzw Profiling, fallen gelassen hat. Auch auf diesen Teil der Beweisrüge muss daher inhaltlich nicht näher eingegangen werden.
6. Schließlich wendet sich die Beklagte noch gegen folgende Annahmen des Erstgerichts (US 11):
„ Es ist davon auszugehen, dass die Beklagte Daten, die aus Apps stammen, die der Kläger bereits gelöscht hat, selbst nicht löscht. Es kann nicht festgestellt werden, ob bei der Beklagten systematisch festgestellte Kriterien betreffend der Löschung von Daten vorliegen (ON 99.1, S. 13) .“
Als Ersatzfeststellung gewünscht wird folgende Feststellung:
„ Die Beklagte hat systematisch Kriterien für die Löschung von Daten festgelegt, die in der Datenschutzrichtlinie der Beklagten beschrieben sind (Beilage ./9, ON 87.2) “
Die Feststellung, dass die Beklagte aus Apps stammende Daten, die der Kläger bereits gelöscht habe, selbst nicht lösche, beruhe auf keiner Grundlage. Der Sachverständige habe lediglich ausgeführt, dass es keine Anhaltspunkte dafür gebe, dass etwas gelöscht worden sei. Diese Aussage habe sich jedoch auf die von der Beklagten zur Verfügung gestellte Datenkopie (Beilage ./C) und nicht auf alle anderen von der Beklagten zur Verfügung gestellten Informationen bezogen.
Dass die Beklagte tatsächlich Daten lösche und über definierte Kriterien für die Löschung von Daten verfüge, ergebe sich aus der Datenschutzrichtlinie (Beilage ./9). Dass diese Kriterien und Informationen über die Kriterien im Einklang mit Art 15 Abs 1 lit d DSGVO stünden, wenn es um die Beantwortung eines Auskunftsersuchens gehe, ergebe sich aus der Entscheidung der DPC in Beilage ./14. Das Erstgericht gehe darauf überhaupt nicht ein.
Das Berufungsgericht hat dazu erwogen:
6.1. Die Beweisrüge dazu ist ebenso nicht gesetzmäßig ausgeführt, weil zum ersten Satz der angefochtenen Feststellungen keine Ersatzfeststellung angeboten wird.
Der zweite Satz der angefochtenen Feststellungen und daher auch die Ersatzfeststellung sind wiederum rechtlich nicht von Relevanz, weil das Erstgericht an anderer Stelle unangefochten festgestellt hat, dass aus den von der Beklagten (dem Kläger) bereitgestellten Daten keine Anhaltspunkte für bestimmte Kriterien nebst den österreichischen gesetzlichen Vorschriften festgestellt werden können, anhand derer die Beklagte die Speicherdauer bestimmt. Dies reicht bereits für sich für eine abschließende rechtliche Beurteilung des Auskunftsanspruchs des Klägers betreffend die Zusatzinformation „Speicherdauer“ aus. Hiezu wird auf die Behandlung der Rechtsrüge verwiesen (vgl Punkt IV.5.2.).
Überdies würde sich der zweite Halbsatz der gewünschten Ersatzfeststellung mit der genannten unangefochten gebliebenen Feststellung in Widerspruch setzten, weshalb die Beweisrüge auch insofern nicht gesetzmäßig ausgeführt ist.
6.2. Dass bei der Beklagten (intern) keine systematisch festgestellten Kriterien betreffend der Löschung von Daten vorliegen würden, wurde in erster Instanz von keiner Partei behauptet. Es kann daher als unstrittig angesehen werden, dass bei der Beklagten (intern) systematische Kriterien für die Löschung von Daten festgelegt sind (erster Halbsatz der gewünschten Ersatzfeststellung). Dies ändert jedoch nichts am Auskunftsanspruch des Klägers, sondern legt diesen vielmehr nahe (vgl auch Punkt IV.5.3.).
IV. Zur Rechtsrüge im engeren Sinn:
1. „Bestimmtheit des Klagebegehrens“:
Die Beklagte trägt dazu vor, das Begehren sei nicht ausreichend bestimmt. Die Bestimmtheit des Begehrens sei eine Verfahrensvoraussetzung, schon aufgrund der exekutiven Durchsetzung erforderlich und von Amts wegen zu beachten. Im Hinblick auf die Formulierung „insbesondere“ im Urteilsspruch habe das Erstgericht einem unbestimmten Begehren stattgegeben. Dadurch sei objektiv unklar, ob die Beklagte nun nur jene Informationen nach Art 15 Abs 1 lit a bis h und Abs 2 DSGVO schulde, die in weiterer Folge ausdrücklich genannt seien, oder aber alle Informationen nach Art 15 Abs 1 und 2 DSGVO. Dies sei gerade auch aufgrund der (vom Erstgericht festgestellten) Einschränkung des Klagebegehrens konkret betreffend die Verarbeitungszwecke und darüber hinaus auch den weiteren Einschränkungen des Begehrens zu erblicken.
Das Berufungsgericht hat dazu erwogen:
1.1. Gemäß § 226 Abs 1 ZPO hat die Klage ein bestimmtes Begehren zu enthalten. Ein bestimmtes Begehren hat zur Voraussetzung, dass ihm der Gegenstand, die Art, der Umfang und die Zeit der geschuldeten (hier) Leistung zu entnehmen ist (RS0000466).
Eine jeden Zweifel und jede objektive Ungewissheit ausschließende Präzisierung des Klagebegehrens ist nur bei Geldleistungsklagen zu verlangen; bei anderen Klagen ist dem Erfordernis des § 226 ZPO hinsichtlich der Bestimmtheit des Klagebegehrens jedenfalls dann genüge getan, wenn man unter Berücksichtigung des Sprach- und Ortsgebrauchs und nach den Regeln des Verkehrs daraus entnehmen kann, was begehrt ist (RS0037874; RS0000878 [T3]).
Ein Leistungsbegehren, bei dem die Leistung nicht eindeutig festgelegt ist, ist unzulässig, weil ein diesem Begehren stattgebendes Urteil nicht die Grundlage einer Exekution bilden kann (RS0037452). Ein Klagebegehren ist daher in der Regel unbestimmt, wenn ein stattgebendes Urteil nicht Grundlage einer Exekution sein könnte (RS0037452 [T3]).
Beim Erfordernis der Bestimmtheit des Klagebegehrens als Voraussetzung für einen tauglichen Exekutionstitel handelt es sich um eine prozessuale Klagsvoraussetzung, deren Vorhandensein von Amts wegen auch noch im Rechtsmittelverfahren zu prüfen ist (RS0037469).
1.2. Das Klagebegehren ist so zu verstehen, wie es in Zusammenhalt mit der Klagserzählung vom Kläger gemeint ist (vgl RS0037440 [T4]). Maßgebend ist also nicht allein der Wortlaut des Klagebegehrens, sondern auch der Inhalt der Prozessbehauptungen (RS0041078; RS0041165; RS0041254). Ein nur versehentlich unrichtig formuliertes Klagebegehren ist vom Gericht richtig zu fassen (RS0037440). Erforderlichenfalls hat das Gericht von Amts wegen den Urteilsspruch dem tatsächlichen Begehren des Klägers anzupassen oder dem Urteilsspruch eine klarere Fassung zu geben, wobei im Hinblick auf § 405 ZPO das Gericht bei seiner Spruchformulierung nicht die von den Parteien umschriebenen Grenzen des Streitgegenstands überschreiten darf und die Neufassung in den Behauptungen des Klägers Deckung finden muss (RS0041254 [insbes T2, T4, T10, T12, T16, T19, T35, T36]; vgl RS0041165; Geroldinger in Fasching/Konecny ³ III/1 § 226 ZPO Rz 99; Planitzer in Kodek/Oberhammer , ZPO-ON § 226 ZPO Rz 23).
1.3. Dass die Beklagte im Verfahren erster Instanz die Unbestimmtheit des Klagebegehrens nicht einwendete, schadet entgegen dem Standpunkt des Klägers im Hinblick darauf, dass eine solche – wie ausgeführt – auch im Rechtsmittelverfahren (von Amts wegen) aufzugreifen ist, nicht (vgl 9 Ob 48/12t).
1.4. Beizupflichten ist der Beklagten, dass – allein in Ansehung des Urteilsspruchs – aufgrund der Verwendung der Formulierung „die Angaben gemäß Art 15 Abs 1 DSGVO“ in Verbindung mit dem Wort „insbesondere“ der (unrichtige) Eindruck entstehen könnte, dass die Beklagte – neben der Auskunft über die konkret verarbeiteten Daten – auch zur Auskunft über sämtliche Zusatzinformationen gemäß Art 15 Abs 1 lit a bis lit h DSGVO verpflichtet wäre. Tatsächlich ergibt sich aber aufgrund der Tatsache, dass das Klagebegehren ursprünglich deutlich umfassender formuliert war und vom Kläger mehrfach unter Berücksichtigung der von der Beklagten schon erteilen Auskünfte eingeschränkt wurde, dass der Kläger (neben der Auskunft über die konkret verarbeiteten Daten [mittels Datenkopie] und der Auskunft nach Abs 2) nur noch hinsichtlich der lit c (iVm mit Abs 1) und der lit d Zusatzinformationen zu beauskunften begehrt (vgl dazu auch S 11 und S 22 der Berufungsbeantwortung).
Der Spruch kann (und muss) in diesem Punkt – da es sich um eine bloße Präzisierung im Sinn einer Anpassung an das klägerische Vorbringen handelt von Amts wegen – klarer gefasst werden. Insoweit ist mit einer Maßgabebestätigung vorzugehen und das Wort „insbesondere“ aus dem Spruch auszuscheiden.
1.5. Der von der Beklagten im Rahmen ihrer Nichtigkeitsberufung angesprochene Klammereinschub „ durch eine verständliche Datenkopie “ ist richtigerweise der Frage der Bestimmtheit des Klagebegehrens zuzuordnen und an dieser Stelle zu behandeln:
Art 15 Abs 3 DSGVO legt die praktischen Modalitäten für die Erfüllung des in Art 15 Abs 1 DSGVO normierten Auskunftsrechts der betroffenen Person fest, indem er ua in Satz 1 die Form festschreibt, in der der Verantwortliche die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellen muss, nämlich in Form einer Kopie. Art 15 Abs 3 Satz 1 DSGVO gewährt daher kein anderes Recht als das in Art 15 Abs 1 DSGVO vorgesehene Recht (EuGH C-487/21, CRIF , Rz 30ff).
Dass der Kläger in seinem Auskunftsbegehren auf eine „ Datenkopie “ Bezug nimmt, ist schon vor diesem Hintergrund nicht problematisch und führt jedenfalls nicht dazu, dass das Klagebegehren dadurch (zu) unbestimmt würde.
Auch die Aufnahme des Worts „ verständlich “ in das Begehren ist im vorliegenden Zusammenhang nicht zu beanstanden. Wie im Folgenden noch näher aufzuzeigen sein wird (siehe Punkt IV.2.5.), hat die Auskunft nach Art 15 DSGVO dem Transparenzgrundsatz nach Art 12 Abs 1 DSGVO zu entsprechen. Schon aus dem Gesetzeswortlaut folgt insoweit, dass die Auskunft in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erteilt werden muss. Das Wort „verständlich“ entspringt somit dem Gesetzestext und bedarf daher keiner weiteren Präzisierung durch den Kläger.
Insgesamt hat der Klammereinschub „durch eine verständliche Datenkopie“ nach Auffassung des Berufungsgerichts daher keine mangelnde Bestimmtheit des Klagebegehrens zur Folge. Auch wenn dieser Klammereinschub nicht in das Begehren aufgenommen worden wäre, würde eine den Vorgaben der DSGVO (insbesondere Art 12 und Art 15) entsprechende Auskunft geschuldet.
2. „Vollständigkeit und Verständlichkeit der Datenkopie“:
Die Beklagte führt in ihrer Rechtsrüge aus, sie habe dem Kläger (mit Beilage ./C) eine vollständige und verständliche Kopie der von der Beklagten über den Kläger verarbeiteten personenbezogenen Daten zur Verfügung gestellt, was das Erstgericht bei richtiger rechtlicher Beurteilung aus dem festgestellten Sachverhalt schlussfolgern hätte müssen.
Wenn das Erstgericht (implizit) ausführe, dass der Umstand, wonach bestimmte Spalten in den zur Verfügung gestellten Daten keine Einträge oder Werte enthielten, bedeute, dass die zur Verfügung gestellten Daten tatsächlich unvollständig seien, sei dies schlichtweg unrichtig. Die Tatsache, dass Informationen nicht zur Verfügung gestellt würden, bedeute lediglich, dass keine weiteren Informationen, die als personenbezogene Daten gemäß Art 4 Z 1 DSGVO angesehen werden könnten, verfügbar gewesen seien.
Es sei schlicht nicht logisch, aus dem Umstand, dass die Spalte „AB Test*“ in der CSV-Datei nicht beschrieben sei und keine Eintragungen enthalte, zu schließen, dass aus der Existenz der Spalte hervorgehe, dass der Kläger in einem solchen Test als Anwender der Gruppe A oder B eingestuft worden sei und dass weitere Informationen verfügbar wären, die offengelegt werden müssten. Das Gegenteil sei der Fall. Der Umstand, dass eine Spalte für eine bestimmte Datenkategorie leer sei, lasse vielmehr den logischen Schluss zu, dass von der Beklagten keine Daten dieser Kategorie in Bezug auf den Kläger verarbeitet würden, da sie sonst in der Spalte angegeben würden.
Die weitere Schlussfolgerung des Erstgerichts, wonach die Beklagte Auskünfte über Werbeeinschaltungen, über die sie verfüge, nicht erteilt und sie nicht dargelegt habe, welche Daten des Klägers in den dazugehörigen Algorithmus eingeschleust worden seien, sei auf Grundlage des festgestellten Sachverhalts ebenfalls falsch. Das Erstgericht habe nämlich ausdrücklich festgestellt, dass das Feld „Impressed content Names“ aufzeige, dass dem Kläger Werbeeinschaltungen gezeigt worden seien. Bereits daraus folge, dass die Beklagte dem Kläger die personenbezogenen Daten gemäß Art 15 Abs 1 DSGVO zur Verfügung gestellt habe. Das Gericht lege auch nicht dar, warum sich aus diesen Tatsachenfeststellungen ergäbe, dass die übermittelten Daten unvollständig oder unverständlich gewesen seien. Insbesondere sei die Frage, welche Daten des Klägers in den Algorithmus, der für die Werbeeinschaltung eingesetzt werde, eingeschleust würden, nicht Gegenstand des Verfahrens, weil der Klägers sein Begehren im Sinn des Art 15 Abs 1 lit h DSGVO mit ON 13 fallengelassen habe.
Auch aus den Feststellungen zur „recoAlgo ID“ schließe das Erstgericht offenbar, dass die zur Verfügung gestellte Datenkopie unvollständig oder unverständlich gewesen sei, was ebenso unzutreffend sei. Dass die in dieser Datenkategorie bereitgestellten personenbezogenen Daten des Klägers in jeder Zeile unterschiedlich seien, zeige nur, dass die Beklagte in dieser Datenkopie unterschiedliche Daten mit Bezug auf den Kläger verarbeitet und entsprechend zur Verfügung gestellt habe. Soweit sich in der dem Kläger zur Verfügung gestellten Datenkopie enthaltene IDs auf personenbezogene Daten des Klägers beziehen würden, habe die Beklagte diese personenbezogenen Daten bereits mit den jeweiligen IDs offengelegt.
Offenbar habe das Erstgericht die Bedeutung des Begriffs „personenbezogene Daten“ gemäß Art 4 Nr 1 DSGVO falsch ausgelegt.
Die „UUID“ sei ein personenbezogenes Datum des Klägers. Die Information, dass es sich dabei um einen Identifikator für die Transaktion handle, sei dem Kläger von der Beklagten mit dem „File Guide“, also der detaillierten Beschreibung des Inhalts und der Daten, die in jeder von der Beklagten zur Verfügung gestellten Datei enthalten seien, zur Verfügung gestellt worden. Die Feststellung im Urteil, dass es sich um eine Verknüpfung handle, über die die Beklagte genauere Informationen preisgeben könnte, sei rechtlich schlichtweg irrelevant, weil nur personenbezogene Daten zu beauskunften seien. Die „UUID“ sei nicht mit weiteren personenbezogenen Daten des Klägers verknüpft, weshalb auch der Sachverständige die diesbezügliche Behauptung des Klägers als reine Spekulation kommentiert habe.
Das Berufungsgericht hat dazu erwogen:
2.1. Als zwischen den Parteien unstrittig vorausgeschickt werden können die grundsätzliche (unmittelbare) Anwendbarkeit der DSGVO auf den vorliegenden Fall sowie die Umstände, dass es sich beim Kläger um eine betroffene Person (vgl Art 4 Nr 1 DSGVO) und bei der Beklagten um eine Verantwortliche (im Sinn von Art 4 Nr 7 DSGVO) handelt.
Lediglich der Vollständigkeit halber ist zum zeitlichen Anwendungsbereich festzuhalten, dass die (nach ihrem Art 99 Abs 2 ab dem 25.5.2018 in Geltung stehende) DSGVO auf ein Auskunftsersuchen auch dann anzuwenden ist, wenn die Verarbeitungsvorgänge, auf die sich das Auskunftsersuchen bezieht, vor dem Anwendungsdatum der Verordnung ausgeführt wurden, sofern das Ersuchen selbst nach diesem Datum gestellt wurde (EuGH C-579/21, Pankki S; 6 Ob 205/22y), was hier unstrittig der Fall ist.
2.2. Art 15 DSGVO lautet wie folgt:
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
Art 12 DSGVO lautet auszugsweise:
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person […] alle Mitteilungen gemäß den Artikeln 15 [...], die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; [...]. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 […]. […]
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 […] ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. […]
[...]
2.3. Nach ErwGr 63 DSGVO sollte eine betroffene Person ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können (6 Ob 56/21k).
Nach der Rechtsprechung des EuGH zur Wahrung des Auskunftsrechts reicht es, wenn der Antragsteller eine vollständige Übersicht dieser Daten in verständlicher Form erhält, somit in einer Form, die es ihm ermöglicht, von diesen Daten Kenntnis zu erlangen und zu prüfen, ob sie richtig sind und richtliniengemäß verarbeitet werden, sodass er gegebenenfalls die ihm verliehenen Rechte ausüben kann (EuGH C-141/12, Rz 59). Diese Rechtsprechung erging zwar zur Datenschutzrichtlinie (RL 95/46/EG), kann aber auch auf die neue Rechtslage übertragen werden, weil der Normtext im Wesentlichen ident ist (6 Ob 56/21k [vom 23.6.2021, Rz 150]).
2.4. Kerninhalt des Auskunftsrechts ist die – in Satz 1 von Art 15 Abs 1 DSGVO normierte – Verpflichtung des Verantwortlichen, der betroffenen Person den konkreten Inhalt aller über sie verarbeitenden Daten offenzulegen und – gemäß Art 15 Abs 3 DSGVO – eine Kopie der personenbezogenen Daten zur Verfügung zu stellen. Die Informationen nach lit a bis h in Art 15 Abs 1 DSGVO regeln einen Anspruch auf Zusatzinformationen ( Jahnel , DSGVO Art 15 DSGVO Rz 16, 18, 37).
2.5. Die Bestimmung des Auskunftsrechts in Art 15 DSGVO ist im Zusammenhang mit Art 12 DSGVO zu lesen ( Jahnel aaO Art 15 DSGVO Rz 4, Rz 33). Der Transparenzgrundsatz nach Art 12 Abs 1 DSGVO ist oberstes Gebot bei der Beauskunftung ( Haidinger in Knyrim , DatKomm Art 15 DSGVO Rz 35/5). Mitteilungen gemäß Art 15 DSGVO müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erteilt werden (EuGH C 487/21, CRIF , Rz 38; Jahnel aaO Art 12 DSGVO Rz 2).
Präzise ist eine Information dann, wenn sie einen hinreichenden Grad an Genauigkeit und Abgrenzungsschärfe (Eindeutigkeit) aufweist. Unter Transparenz wird die Nachvollziehbarkeit der Information verstanden. Zum Kriterium der Verständlichkeit ist zunächst auf die Erforderlichkeit, die Mitteilung (jedenfalls) in der Verkehrssprache des jeweiligen Landes zu erteilen, abzustellen. Bei längeren Texten ist auch eine sinnvolle Ordnung und Untergliederung erforderlich. Die Informationen sind zudem in leicht verständlicher Sprache und in Alltagssprache zu formulieren. Klar ist die Sprache dann, wenn sie präzise und verständlich ist, einfach, wenn sie verständlich und eindeutig ist. Maßgebend ist der Empfängerhorizont ( Jahnel aaO Art 12 DSGVO Rz 3 ff). Verständlich ist eine Formulierung, wenn sie von einem durchschnittlich verständigen Empfänger des jeweilig intendierten Empfängerkreises verstanden werden kann ( Illibauer in Knyrim , DatKomm Art 12 DSGVO Rz 39).
Beim Auskunftsrecht hat der Verantwortliche so konkret wie nur irgend möglich auf die Datenverarbeitung in Bezug auf den konkreten Auskunftswerber einzugehen. Er darf dabei jedoch nur auf jene Datenverarbeitungen eingehen, in denen tatsächlich Daten des Betroffenen verwendet werden ( Haidinger aaO Art 15 DSGVO Rz 3/1).
Zusatzinformationen sind nur dann zu beauskunften, wenn eine entsprechende Datenverarbeitung vorgenommen wird ( Haidinger aaO Art 15 DSGVO Rz 27/1).
Der Begriff „personenbezogene Daten“ des Art 4 Nr 1 DSGVO ist weit zu verstehen (6 Ob 19/23x; EuGH C 487/2, CRIF ; EuGH C-579/21, Pankki S ).
2.6. Nach der Rechtsprechung des EuGH bedeutet das Recht auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, gemäß Art 15 Abs 3 Satz 1 DSGVO, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt werden muss. Wenn die Kontextualisierung der verarbeiteten Daten unerlässlich ist, um ihre Verständlichkeit zu gewährleisten, ist davon umfasst auch das Recht, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die unter anderem diese Daten enthalten, zu erlangen. Insbesondere wenn personenbezogene Daten aus anderen Daten generiert werden oder wenn sie auf freien Feldern beruhen, das heißt auf einer fehlenden Angabe, aus der eine Information über die betreffende Person hervorgeht, ist der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann (EuGH C-487/21, CRIF , Rz 39, 41, 42; vgl EuGH C-579/21, Pankki S , Rz 66). Die Kopie, die der Verantwortliche zur Verfügung zu stellen hat, muss alle Merkmale aufweisen, die es der betroffenen Person ermöglichen, ihre Rechte gemäß der Verordnung wirksam auszuüben und diese Daten daher vollständig und originalgetreu wiedergeben (EuGH C-579/21, Pankki S, Rz 65).
Die Übermittlung der Datenkopie kann Art 15 DSGVO vollständig erfüllen, wenn sich die Daten aus der Kopie nach Maßgabe des Transparenzgebots für die betroffene Person erschließen. Demnach ist dies nicht der Fall, wenn die bloße Kopie eines umfangreichen Datenbestands die betroffene Person überfordern würde. Hier kann der Verantwortliche dadurch für Transparenz sorgen, indem er eine strukturierte Zusammenstellung erstellt oder zusätzliche Metadaten wie Erläuterungen oder ein Inhaltsverzeichnis anschließt ( Haidinger aaO Art 15 DSGVO Rz 35/6).
2.7. Für den vorliegenden Fall ergibt sich hieraus Folgendes ( Allgemeiner Auskunftsanspruch) :
2.7.1. Die Beklagte steht auf dem Standpunkt, die von ihr erteilten Auskünfte seien vollständig, verständlich und dem Art 15 DSGVO entsprechend, also ausreichend. Dabei übersieht sie aber, dass nach den Feststellungen des Erstgerichts die erteilten Auskünfte teilweise unvollständig und auch nicht transparent waren, woran der Umstand, dass dem Kläger umfangreiche Informationen über das Online-Datenschutzportal der Beklagten zur Verfügung gestellt wurden, nichts zu ändern vermag.
2.7.2. Hinsichtlich des allgemeinen Auskunftsrechts über personenbezogene Daten nach Art 15 Abs 1 Satz 1 DSGVO ergibt sich die Unvollständigkeit exemplarisch schon aus der vom Erstgericht getroffenen, unangefochten gebliebenen Feststellung, wonach die Spalte „AB Test“ in der CSV-Datei nicht beschrieben ist und keine Eintragungen enthält, wobei aus der Existenz der Spalte hervorgeht, dass der Kläger in einem solchen Test als Anwender der Gruppe A oder B eingestuft wurde. Weitere Informationen, wie der Zweck dieses Tests oder von welchem Tag die Daten des Klägers stammen, zu welchem Verwendungszweck diese benötigt wurden oder was die Beklagte mit dieser Information gemacht hat, können – den Feststellungen zufolge – (sogar) aus informationstechnischer Sicht nicht analysiert werden.
In Anlehnung an die Entscheidung des EuGH C-487/21, CRIF , Rz 42, folgt schon hieraus die Unvollständigkeit der Auskunft, weil dann, wenn aus freien Feldern eine Information über die betroffene Person hervorgeht, der Kontext, in dem die betreffenden Daten Gegenstand der Verarbeitung sind, unerlässlich für eine transparente Auskunft und eine verständliche Darstellung der Daten ist.
Auf die weiteren Feststellungen des Erstgerichts, nämlich im Zusammenhang mit der „UUID-Nummer“ (anschließend an die „ID experimentld“) und der „I* ID“ es damit – wie bei Behandlung der Beweisrüge unter Punkt III.3. und III.4. ausgeführt – nicht entscheidungswesentlich an.
2.7.3. Nach der Argumentation der Beklagten in ihrer Rechtsrüge sei es schlicht nicht logisch, aus dem Umstand, dass die Spalte „AB Test“ in der CSV-Datei nicht beschrieben sei und keine Eintragungen enthalte, zu schließen, dass aus der Existenz dieser Spalte hervorgehe, dass der Kläger in einem solchen Test als Anwender der Gruppe A oder B eingestuft worden sei und dass weitere Informationen verfügbar wären, die die Beklagte offenlegen müsste. Damit entfernt sich die Beklagte von den erstgerichtlichen Feststellungen, welche sie in diesem Zusammenhang unangefochten ließ. Die Rechtsrüge ist insoweit nicht gesetzmäßig ausgeführt.
2.7.4. Die Unvollständigkeit der Auskunft der Beklagten folgt darüber hinaus auch aus unzureichenden Informationen zu den im Folgenden noch im Detail (Punkte IV.3. bis IV.6.) zu behandelnden, Gegenstand des Klagebegehrens bildenden Zusatzinformationen nach Art 15 Abs 1 DSGVO.
2.7.5. Die Unverständlichkeit ergibt sich daraus, dass es sich bei den zur Verfügung gestellten Informationen feststellungsgemäß teilweise um verschachtelte Datenstrukturen handelt, die Daten im Wesentlichen die Form von Computercodes aufweisen und nur von Personen mit fachspezifischen Kenntnissen sinnerfassend gelesen werden können. Hinzu kommt, dass die dem Kläger zur Verfügung gestellte Datenkopie in Anbetracht ihrer Art und ihres Umfangs (9 Ordner mit Daten in jeweils fünf verschiedenen Dateitypen, wobei allein die CSV-Datei bereits 1.774 Seiten beinhaltet) auf eine unzulässige „Ostereiersuche“ hinauslaufen würde (vgl 6 Ob 56/21k, Rz 153 iVm Rz 91). Dies hat zugleich wiederum auch eine Unvollständigkeit zur Folge.
2.8. Beizupflichten ist der Beklagten, dass der Kläger sein Begehren nach Auskunft im Sinn von Art 15 Abs 1 lit h DSGVO fallen ließ, weshalb auf Beauskunftungen im Zusammenhang mit einem Algorithmus von Werbeeinschaltungen nicht mehr näher einzugehen ist.
3. „Informationen zu bestimmten Empfängern“:
Das Erstgericht vertrete – nach Ansicht der Beklagten in ihrer Rechtsrüge – offenbar die Auffassung, dass das Auskunftsrecht des Klägers nach Art 15 DSGVO verletzt worden sei, weil in der Datenkopie übermittelte Dateien unvollständig und unverständlich seien, begründe dies aber nicht weiter. Die Auffassung des Erstgerichts sei unrichtig. Nach der Rechtsprechung des EuGH könne der Verantwortliche in Fällen, in denen es nicht möglich sei, Empfänger zu identifizieren, bloß Informationen über die Kategorien von Empfängern bereitstellen. Dem sei die Beklagte nachgekommen.
Da laut EuGH Art 15 Abs 1 lit c DSGVO den Betroffenenrechten Wirksamkeit verschaffen solle und die in Art 12 ff DSGVO normierten Verpflichtungen ausschließlich gegenüber Verantwortlichen im Sinn des Art 4 Nr 7 DSGVO gelten würden, nicht jedoch gegenüber Auftragsverarbeitern, sei nur die Offenlegung aller Daten gegenüber Empfängern, die Verantwortliche seien, erforderlich. Eine darüber hinausgehende Verpflichtung bestehe hingegen nicht. Dies ergebe sich einerseits aus der DSGVO und darüber hinaus aus der Entscheidung des EuGH zu C-579/21, Pankki S , wonach Art 15 Abs 1 lit c DSGVO kein Recht auf Auskunft über Personen begründe, die personenbezogene Daten unter Aufsicht des Verantwortlichen und im Einklang mit dessen Weisungen verarbeiteten.
Festzuhalten sei, dass Entwickler („Seller“) von der Beklagten im Zusammenhang mit den Käufen ihrer Apps grundsätzlich keine Informationen beinhaltend personenbezogene Daten des Käufers einer App erhalten würden, weshalb die Beklagte diese prinzipiell nicht als Empfänger betrachte. Die Beklagte habe dennoch mit Beilage ./C über die Identität dieser „Seller“ informiert.
Die Beklagte habe daher dem Kläger alle erforderlichen Informationen über die Kategorien von Empfängern zur Verfügung gestellt und überdies Informationen über „Seller“, was im Einklang mit Art 15 Abs 1 lit c DSGVO stehe.
Informationen, die sie nicht speichere, könne sie nicht zur Verfügung stellen und sei sie dazu auch nicht verpflichtet. Es könne nicht erwartet werden, dass die Beklagte Kontaktdaten von „Sellern“ von Apps, die nicht mehr aktiv seien, für die Ewigkeit speichere. Sie sei nicht verpflichtet, Daten zum alleinigen Zweck zu speichern, um auf mögliche Auskunftsbegehren, die nicht unter Art 15 DSGVO fielen, beantworten zu können. Dies sage schon Art 11 DSGVO als Folge des Grundsatzes der Speicherbegrenzung in Art 5 Abs 1 lit e DSGVO.
Schließlich beinhalte das Recht auf Auskunft über die Empfänger jedenfalls nur das Recht auf Auskunft über die Identität, keinesfalls aber die konkreten (Kontakt-)Daten. Es genüge also die Angabe des Namens des Empfängers, um die Pflichten im Sinn des Art 15 Abs 1 lit c DSGVO zu erfüllen. Eine kurze Online-Recherche wäre dem Kläger jedenfalls zumutbar und würde diesem die Kontaktdaten verschaffen können.
Das Erstgericht hätte daher bei richtiger rechtlicher Beurteilung zum Ergebnis kommen müssen, dass die Beklagte dem Kläger alle Informationen über Empfänger von personenbezogenen Daten gemäß Art 15 Abs 1 lit c DSGVO zur Verfügung gestellt habe.
Das Berufungsgericht hat dazu erwogen:
3.1. Dem von der Beklagten im Verfahren erster Instanz vertretenen Standpunkt, wonach Art 15 Abs 1 lit c DSGVO ein Wahlrecht zugunsten des Verantwortlichen normiere und diesem sohin offen lasse, ob er Auskunft über die Kategorien der Empfänger erteile oder die Empfänger namentlich nenne, hat der EuGH in der von der Beklagten in der Berufung ohnedies selbst zitierten Entscheidung C-154/21, Österreichische Post AG , eine klare Absage erteilt. In der genannten Entscheidung führte der EuGH aus, dass der Verantwortliche grundsätzlich verpflichtet ist, die Identität der konkreten Empfänger mitzuteilen, es sei denn, es wäre dem Verantwortlichen unter bestimmten Umständen nicht möglich, die Empfänger zu identifizieren – zum Beispiel weil sie noch nicht bekannt sind ( Haidinger aaO Art 15 DSGVO Rz 39/1) –, oder dass der Verantwortliche den Nachweis erbringt, dass der Auskunftsantrag offenkundig unbegründet oder exzessive im Sinn von Art 12 Abs 5 DSGVO ist. Diesfalls kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen (EuGH C 154/21, Rz 46, 48 f).
Demgemäß kommt die Beklagte völlig zu Recht in ihrer Berufung auf ein ihr in diesem Zusammenhang angeblich zustehendes Wahlrecht nicht mehr zurück.
3.2. Doch auch der von der Beklagten weiters vertretenen Argumentation, wonach sich die Verpflichtung gemäß Art 15 Abs 1 lit c DSGVO lediglich auf Empfänger beziehe, welche Verantwortliche seien, nicht jedoch auf Empfänger, die bloß Auftragsverarbeiter seien, kann nicht gefolgt werden.
Art 4 Nr 7 DSGVO definiert den „ Verantwortlichen “ unter anderem als natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, während „ Auftragsverarbeiter “ gemäß Art 4 Nr 8 DSGVO unter anderem eine natürliche oder juristische Person ist, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. „ Empfänger “ wiederum ist nach Art 4 Nr 9 DSGVO unter anderem eine natürliche oder juristische Person, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.
Unter Empfängern im Sinn des Art 4 Nr 9 DSGVO sind auch Auftragsverarbeiter zu verstehen ( Haidinger aaO Art 15 DSGVO Rz 39/3; Bergauer in Jahnel , DSGVO Art 4 Z 9 DSGVO Rz 9; Arning in Moos/Schefzig/Arning , Praxishandbuch DSGVO 2 Kap. 6 Rz 42; DSB 24.4.2020, 2020-0.219.620 = Haidinger/Löffler , Dako 2021/40).
Gegenteiliges lässt sich auch nicht aus der Entscheidung des EuGH in der Rechtssache C-579/21, Pankki S , ableiten. In dieser Entscheidung führte der EuGH lediglich aus, dass (einzig) Arbeitnehmer des Verantwortlichen nicht als Empfänger im Sinn von Art 15 Abs 1 lit c DSGVO angesehen werden können, wenn sie personenbezogene Daten unter der Aufsicht dieses Verantwortlichen und im Einklang mit seinen Weisungen verarbeiten. Dem Verantwortlichen unmittelbar rechtlich unterworfene oder in die Organisation des Verantwortlichen eingegliederte Arbeitnehmer im Sinn von sogenannten „ internen “ Empfängern (vgl Bergauer in Jahnel aaO Art 4 Z 9 DSGVO Rz 7) können nach Auffassung des Berufungsgerichts aber nicht automatisch mit Auftragsverarbeitern gleichgesetzt werden.
Soweit die Beklagte damit argumentiert, dass die Betroffenenrechte, welchen laut EuGH durch das Auskunftsrecht Wirksamkeit verschafft werden soll, nur gegenüber Verantwortlichen normiert seien, ist ihr zu entgegnen, dass es zwar grundsätzlich zutrifft, dass Adressat der Pflichten nach Art 12 bis 22 und 34 DSGVO stets (nur) der Verantwortliche und nicht der Auftragsverarbeiter ist. Ungeachtet dessen ermöglicht aber Art 79 Abs 2 DSGVO der betroffenen Person ausdrücklich, im Fall einer Rechtsverletzung durch den Verantwortlichen unmittelbar auch gegen den Auftragsverarbeiter (gerichtlich) vorzugehen, soweit der Verantwortliche sich für die Datenverarbeitung eines solchen bedient hat ( Leupold/Schrems in Knyrim , DatKomm Art 79 DSGVO Rz 18). Überdies wird in Art 82 Abs 1 DSGVO eine schadenersatzrechtliche Haftung ausdrücklich auch des Auftragsverarbeiters festgeschrieben.
Das Auskunftsrecht soll der betroffenen Person insbesondere ermöglichen, ihre in der DSGVO normierten Rechte, etwa auf Berichtigung oder Löschung, aber auch auf Schadenersatz, geltend machen zu können (EuGH C-154/21, Österreichische Post AG , Rz 38; EuGH C-487/21, CRIF , Rz 35). Schon deshalb folgt, dass auch Auftragsverarbeiter als Empfänger zu behandeln sind, um die Wirksamkeit der Betroffenenrechte zu gewährleisten. Auftragsverarbeiter sind demgemäß als Empfänger auch zu beauskunften.
3.3. Die Beklagte hat in erster Instanz ausdrücklich zugestanden, dass sie Auftragsverarbeiter hat (S 13 in ON 99.1). Dass die Beklagte entgegen der von ihr vertretenen Rechtsauffassung, die Auftragsverarbeiter nicht bekanntgeben zu müssen, diese vollständig bekanntgegeben oder aber dass die Beklagte konkret hinsichtlich des Klägers keine Beauskunftungen an ihre Auftragsverarbeiter vorgenommen hätte, hat diese noch nicht einmal behauptet. Eine Unvollständigkeit der Beauskunftung der Empfänger durch die Beklagte liegt daher auf der Hand, auch wenn das Erstgericht keine konkrete Feststellung dazu getroffen hat, ob bislang schon alle Empfänger beauskunftet wurden. Letztlich kann dies dahingestellt bleiben, weil die Auskunft über die Empfänger aus einem weiteren Grund jedenfalls unvollständig war:
3.4. Auch wenn der EuGH offen ließ, welche konkreten Angaben der Verantwortliche zum Empfänger machen muss, muss die betroffene Person aufgrund des Zwecks des Auskunftsrechts mit Hilfe der Angaben in der Lage sein, den Empfänger dergestalt zu identifizieren , dass er diesem gegenüber einen Betroffenenantrag stellen kann ( Haidinger aaO Art 15 DSGVO Rz 39/4). In diesem Sinn führte auch der EuGH aus, dass die Informationen, die der betroffenen Person gemäß Art 15 Abs 1 lit c DSGVO erteilt werden, möglichst genau sein müssen (EuGH C-154/21, Österreichische Post AG , Rz 43; vgl auch Arning aaO Kap. 6 Rz 43, wonach jedenfalls bei bloßer Angabe der Empfängerkategorien diese möglichst konkret zu beschreiben sind, nämlich soweit möglich durch Angabe der von der jeweiligen Empfängerkategorie durchgeführten Aktivitäten, der Industrie, des Sektors und Teilsektors sowie der Standorte der Empfänger, damit die betroffene Person das damit verbundene Risiko abschätzen kann).
Feststellungsgemäß hat die Beklagte hinsichtlich sogenannter „Seller“ (Entwickler) – bei welchen es sich laut Feststellungen des Erstgerichts um Anbieter von Apps im App Store der Beklagten, welchen sich der Kläger bediente, handelt – als „Empfänger personenbezogener Daten des Klägers“ den Namen (App-Name oder Anbieter) sowie Städte- und Ländernamen mitgeteilt, nicht jedoch deren konkrete Kontaktdaten (US 10).
Aus dem zuvor dargestellten Grundsatz, wonach das Auskunftsrecht die Wirksamkeit der Ausübung der Betroffenenrechte garantieren soll, muss nach Auffassung des Berufungsgerichts auch der Schluss gezogen werden, dass allein mit der Angabe des Namens des Empfängers samt Stadt und/oder Land entgegen der Auffassung der Beklagten nicht das Auslangen gefunden werden kann, sondern die Bekanntgabe des Empfängers in einer Art und einem Umfang zu erfolgen hat, dass der betroffenen Person grundsätzlich eine Kontaktaufnahme mit dem Empfänger möglich wird. Dies ist nach den erstgerichtlichen Feststellungen selbst hinsichtlich der beauskunfteten „Seller“ gerade nicht (vollständig) der Fall (US 10). Die Beauskunftung der Empfänger nach Art 15 Abs 1 lit c DSGVO ist daher schon aus diesem Grund unvollständig und unzureichend.
3.5. Ein konkretes und durchgängiges Vorbringen dahingehend, dass die Beklagte – vor allem betreffend Empfänger, die die Beklagte selbst (rechtlich verfehlt) nicht als Empfänger qualifiziert, wie ihre Auftragsverarbeiter – keine Empfängerdaten (konkrete Empfänger samt Kontaktdaten) speichern würde, hat diese in erster Instanz nicht erstattet. So bezog sie insbesondere ihr Vorbringen, wonach sie jegliche vorhandene Information zu „diesen“ Empfängern schon zur Verfügung gestellt habe, ausdrücklich nur auf Empfänger, die als Verantwortliche zu qualifizieren seien (S 4f in ON 98). Zugleich gab sie mit ON 113, also zeitlich nach diesem Vorbringen, etwa weitere Empfängerinformationen (Stadt und Land) zu „Sellern“ bekannt.
Das Erstgericht hat überdies unangefochten festgestellt, dass bei der Beklagten die Verkäuferdaten einmalig abgespeichert werden (US 10). Die Berufungsausführungen, wonach die Beklagte Informationen, die sie nicht speichere, nicht zur Verfügung stellen könne und müsse, gehen somit insofern ins Leere.
3.6. Soweit die Beklagte den Kläger auf eine Online-Recherche verweisen möchte, ist die Rechtsrüge nicht gesetzmäßig ausgeführt, weil unangefochten feststeht, dass der Kläger als Anwender keinen Zugriff auf die bei der Beklagten hinterlegten Kontaktdaten des Empfängers hat und mittels Eingabe in einer Suchmaschine oder im App Store es nur teilweise möglich ist, an die Kontaktdaten zu gelangen (US 10).
4. „Informationen über den Inhalt der Offenlegungen“
Das Erstgericht sei – so die weitere Rechtsrüge – zur unzutreffenden rechtlichen Beurteilung gelangt, dass die in der Datenkopie übermittelten Dateien unvollständig und unverständlich seien, habe aber nicht dargelegt, warum es – ausgehend von den Feststellungen – die von der Beklagten bereitgestellten Informationen nicht als mit Art 15 DSGVO im Einklang stehend angesehen habe. Warum es die Beklagte für verpflichtet halte, Informationen offenzulegen, über die sie nicht verfüge, sei überhaupt nicht erläutert worden. Diese (implizite) rechtliche Beurteilung des Erstgerichts sei unzutreffend.
Die Beklagte führe zum Kläger schlicht keine konkreten Aufzeichnungen über Inhalte von Offenlegungen gegenüber Empfängern.
Insbesondere aus Art 11 Abs 1 DSGVO, dem Grundsatz der Speicherbegrenzung in Art 5 Abs 1 lit e DSGVO und dem Grundsatz der Datenminimierung in Art 5 Abs 1 lit c DSGVO und dem Erwägungsgrund 64, zweiter Satz DSGVO folge, dass ein Verantwortlicher personenbezogene Daten nicht allein zu dem Zweck speichern dürfe oder solle, um auf Auskunftsbegehren reagieren zu können.
Bei richtiger rechtlicher Beurteilung hätte das Erstgericht zum Ergebnis gelangen müssen, dass die Beklagte nicht verpflichtet sei, Informationen über den Inhalt von Offenlegungen oder Übermittlungen der Daten des Klägers zu speichern, wobei sie dies auch nicht tue, und sie nicht verpflichtet werden könne, Auskunft über Daten zu erteilen, die sie nicht aufbewahre.
Das Berufungsgericht hat dazu erwogen:
4.1. Der EuGH stellte in der Rechtssache C-553/07, Rijkeboer , welche zur Datenschutzrichtlinie (RL 95/46/EG) erging, klar, dass ein Auskunftsrecht auch betreffend den Inhalt der übermittelten Daten besteht. Da der Wortlaut des Art 15 Abs 1 DSGVO in den hier relevanten Punkten im Wesentlichen mit dem Wortlaut der früheren Datenschutzrichtlinie ident ist, ist diese Rechtsprechung auch auf die DSGVO übertragbar (VwGH Ro 2020/04/0015, Rz 20 f; BVwG W214 2221970-1 mwN; BVwG W214 2230686-1; vgl Jahnel aaO Art 15 DSGVO Rz 28).
4.2. Zutreffend ist, dass grundsätzlich nur verfügbare Informationen beauskunftet werden können (vgl BVwG W252 2237416-1), wobei eine durch mangelnde Aufzeichnung der Empfänger verursachte Nichtbeauskunftung derselbigen eine Verletzung des Rechts auf Auskunft bewirken kann (vgl Haidinger aaO Art 15 DSGVO Rz 40). Richtig ist auch, dass keine Pflicht zur Dokumentation bzw nachträglichen Erhebung von Datenquellen allein für Zwecke der Beauskunftung besteht (BVwG W252 2237416-1).
4.3. Nach den erstgerichtlichen Feststellungen erklärte die Beklagte betreffend den Inhalt der Offenlegungen (nur), keine detaillierten Aufzeichnungen aufzubewahren, die dokumentieren, welche spezifischen personenbezogenen Daten an welche Empfänger oder Auftragsverarbeiter weitergegeben wurden. Sie verfüge nicht über solche Informationen. Eine schriftliche Bestätigung darüber, dass die Beklagte wirklich (gar) keine Informationen über den Inhalt von Offenlegungen oder Übermittlungen personenbezogener Daten des Klägers bei der Beklagten vorhanden sind, legte die Beklagte trotz Anbot des Klägers, das (diesbezügliche) Auskunftsbegehren diesfalls einzuschränken, feststellungsgemäß nicht vor (US 11).
Hieraus kann abgeleitet werden, dass die Beklagte jedenfalls über irgendwelche (wenn auch bloß „undetaillierte“) Aufzeichnungen über den Inhalt von Offenlegungen verfügt, welche demgemäß auch zu beauskunften sind.
Überdies indiziert bereits die Unvollständigkeit der Auskunft über die Empfänger eine unzureichende Information auch über den Inhalt der Offenlegungen gegenüber den Empfängern.
Auch die bisher von der Beklagten in diesem Punkt erteilte Auskunft ist daher unzureichend.
5. „Informationen über Aufbewahrungsfristen“:
Die Beklagte argumentiert, das Erstgericht sei zum Ergebnis gekommen, dass die in der Datenkopie übermittelten Dateien unvollständig und unverständlich seien, habe aber wiederum überhaupt nicht begründet, warum die von der Beklagten zur Verfügung gestellten Informationen über die Speicherdauer nicht mit Art 15 Abs 1 lit d DSGVO übereinstimmen würden. Diese implizite rechtliche Schlussfolgerung des Erstgerichts sei falsch. Nach dem klaren Gesetzeswortlaut genüge es, die Kriterien für die Festlegung der Dauer zu nennen, wenn es nicht möglich sei, einen genaueren Zeitraum anzugeben. Informationen über die Kriterien, nach denen die Beklagte die Speicherdauer für personenbezogene Daten festlege, habe sie dem Kläger zur Verfügung gestellt.
Das Erstgericht habe auch festgestellt, dass die Beklagte personenbezogene Daten erforderlichenfalls für den kürzest möglichen, gesetzlich zulässigen Zeitraum aufbewahre. Die Auskunft entspreche daher Art 15 Abs 1 lit d DSGVO.
Das Berufungsgericht hat dazu erwogen:
5.1. Auch wenn der Verweis auf eine rechtliche Bestimmung bei entsprechender Bestimmtheit für die Angabe der Speicherdauer ausreichend sein kann ( Haidinger aaO Art 15 DSGVO Rz 42 mwN), ist ein ganz allgemein gehaltener Verweis auf gesetzliche Aufbewahrungsfristen, so etwa der Verweis „entsprechend der gesetzlichen Vorgaben“, zur Angabe der Speicherdauer nicht ausreichend ( Jahnel aaO Art 30 DSGVO Rz 30).
Die Information zur Speicherdauer ist möglichst präzise offenzulegen, damit die betroffene Person – ohne weiteren Rechercheaufwand – auf der Grundlage ihrer eigenen Situation die Dauer der Speicherung beurteilen kann . Die bloß pauschale Beschreibung, dass die personenbezogenen Daten solange gespeichert werden, als dies für die konkreten Verarbeitungszwecke bzw für die legitimen Zwecke der Verarbeitung erforderlich ist, ist nicht ausreichend (vgl zur vergleichbaren Formulierung in Art 13 Abs 2 lit a DSGVO: Illibauer in Knyrim , DatKomm Art 13 DSGVO Rz 44, 46; vgl auch VwGH Ro 2021/04/0030, Rz 37).
5.2. Die im vorliegenden Fall nach den erstgerichtlichen Feststellungen (US 11) von der Beklagten zur Speicherdauer erteilte Auskunft entspricht vor diesem Hintergrund keineswegs den Anforderungen einer präzisen und transparenten Auskunft und ist daher als unzureichend zu beurteilen. Die Auskunft erschöpft sich in bloß allgemeinen und pauschalen Hinweisen, anhand welcher, wie vom Erstgericht auch unangefochten festgestellt, über (nicht näher bezeichnete) gesetzliche Vorschriften hinaus keine Anhaltspunkte für Kriterien zur Bestimmung der Speicherdauer abgeleitet werden können.
5.3. Dass es der Beklagten nicht möglich (gewesen) wäre, die Speicherdauer konkreter zu beauskunften, hat die Beklagte (in erster Instanz) nicht behauptet. Überdies strebt die Beklagte mit ihrer Beweisrüge (siehe Punkt III.6.) selbst die Ersatzfeststellung an, wonach sie systematisch Kriterien für die Löschung von Daten festgelegt hat. Über systematisch festgelegte Löschungskriterien geben die von der Beklagten dem Kläger feststellungsgemäß zur Verfügung gestellten Informationen jedenfalls nicht (ausreichend) Auskunft.
6. „Informationen über geeignete Garantien bei internationalen Datenübermittlungen (Art 15 Abs 2 DSGVO)“
Auch in diesem Punkt sei das Erstgericht ohne Erläuterung zum Ergebnis gelangt, dass die in der Datenkopie übermittelten Daten unvollständig und unverständlich seien. Nach Art 15 Abs 2 DSGVO sei über die geeigneten Garantien gemäß Art 46 DSGVO zu unterrichten, wobei geeignete Garantien im Sinn dieser Bestimmung gemäß Art 46 Abs 2 lit c DSGVO auch die von der Kommission erlassenen Standarddatenschutzklauseln seien. Die Beklagte stütze sich bei internationalen Datenübermittlungen auf diese Standardvertragsklauseln und habe den Kläger hierüber bereits informiert, weshalb auch alle Informationen gemäß Art 15 Abs 2 DSGVO erteilt worden seien.
Das Berufungsgericht hat dazu erwogen:
6.1. Vor dem Hintergrund, dass – wie bereits mehrfach ausgeführt – mit dem Auskunftsrecht insbesondere gewährleistet werden soll, dass die in der DSGVO normierten Betroffenenrechte wirksam ausgeübt werden können, ist nach Auffassung des Berufungsgerichts auch die Auskunft der Beklagten im Sinn des Art 15 Abs 2 DSGVO, welche sich feststellungsgemäß im Hinweis erschöpft, dass die Übermittlung in Drittländer auf Grundlage der Standardvertragsklauseln erfolgt, als unzureichend anzusehen.
6.2. Dazu ist auf die Entscheidung des EuGH zu C-311/18, Schrems , zu verweisen: Eine auf Standarddatenschutzklauseln gestützte Übermittlung personenbezogener Daten bedeutet nicht zwingend, per se und uneingeschränkt, dass den nach Art 46 DSGVO für Übermittlungen in Drittländer vorzusehenden geeigneten Garantien entsprochen wird, nämlich dann, wenn diese Klauseln im betreffenden Drittland nicht eingehalten werden oder nicht eingehalten werden können, zumal dies unter anderem von der Rechtsordnung des jeweiligen Lands abhängt (Rz 105, 113, 121, 126, 142). Standarddatenschutzklauseln können aufgrund ihres Vertragscharakters naturgemäß keine drittstaatlichen Behörden binden. Demgemäß kann es in Abhängigkeit von der im jeweiligen Drittstaat gegebenen Lage notwendig sein, die in den Standarddatenschutzklauseln enthaltenen Garantien durch zusätzliche Garantien zu ergänzen (Rz 125, Rz 132 ff).
6.3. Hinzu kommt, dass es unterschiedliche Fassungen der von der Kommission erlassenen Standarddatenschutzklauseln gibt (Standardvertragsklauseln im Sinn eines Mustervertrags) (vgl Knyrim/Gerhalter in Knyrim , DatKomm Art 46 DSGVO Rz 19/1, Rz 24/1) und nach Art 46 Abs 2 lit d DSGVO überdies auch Aufsichtsbehörden – mit Genehmigung der Kommission – Standarddatenschutzklauseln annehmen können (vgl Knyrim/Gerhalter aaO Art 46 DSGVO Rz 19).
6.4. Aus dem bloß pauschalen (und drittlandunspezifischen) Verweis auf nicht näher bestimmte Standardvertragsklauseln ist somit nach Auffassung des Berufungsgerichts den Anforderungen nach Art 15 Abs 2 DSGVO nicht Genüge getan. Über den bloßen Wortlaut dieser Bestimmung hinaus ist über jegliches Instrumentarium für den internationalen Datenverkehr Auskunft zu erteilen ( Haidinger aaO Art 15 DSGVO Rz 41).
6.5. Im Übrigen indiziert bereits die unzureichende Information betreffend die Empfänger von personenbezogenen Daten auch eine mangelhafte Information über die geeigneten Garantien für Drittlandübermittlungen. Wenn eine betroffene Person nicht einmal weiß, wohin ihre Daten übermittelt werden, kann nämlich auch ein unbestimmter Verweis auf die Einhaltung bestimmter rechtlicher Rahmenbedingungen nicht als rechtmäßige Information im Sinn des Art 15 Abs 2 DSGVO betrachtet werden (vgl DSB 7.8.2025, 2025-0.626.844).
V. Zu den behaupteten sekundären Feststellungsmängeln:
1. Das angefochtene Urteil enthalte nach Ansicht der Beklagten keine Feststellungen dahingehend, dass die (irische) DPC als federführende Aufsichtsbehörde der Beklagten die Datenschutzerklärung, das Datenschutzportal der Beklagten und die auf diesem Weg von der Beklagten bereitgestellten Daten und Informationen untersucht und als den Anforderungen von Art 15 DSGVO entsprechend angesehen habe. Nach Art 56 DSGVO sei die Datenschutzbehörde jenes Mitgliedsstaats, in dem ein Verantwortlicher seine Hauptniederlassung oder einzige Niederlassung habe, allein zuständige Aufsichtsbehörde für den Erlass von Entscheidungen zu diesem Unternehmen, um eine einheitliche Anwendung der DSGVO zu gewährleisten. Daher sei die Beurteilung der federführenden Aufsichtsbehörde der Beklagten in der Entscheidung vom 28.2.2024 (Beilage ./14) entscheidungsrelevant. Zu berücksichtigen sei, dass die DPC einen Entwurf ihrer Entscheidung an alle anderen datenschutzrechtlichen Aufsichtsbehörden der EU (einschließlich Island, Liechtenstein und Norwegen) übermittelt und keine einzige der 45 Datenschutzbehörden Einwände erhoben habe. Dies lasse nur den Schluss zu, dass alle anderen Datenschutzbehörden im EWR dem Ergebnis der Prüfung durch die DPC zustimmen würden.
Bei richtiger rechtlicher Beurteilung hätte das Erstgericht die Beilage ./14 berücksichtigen und folgende Tatsachenfeststellungen treffen müssen:
„ Die Beklagte ist in Irland ansässig. Die federführende Aufsichtsbehörde, die ausschließlich zuständig für die datenschutzrechtliche Aufsicht der Beklagten ist, ist die irische Datenschutzbehörde. Nach einer eingehenden Untersuchung, die auch eine Konsultation aller anderen 45 Datenschutzbehörden im Europäischen Wirtschaftsraum zu diesem Fall umfasste, kam die irische Datenschutzbehörde zu dem Schluss, dass die Art und Weise, wie die Beklagte Auskünfte gemäß Art 15 DSGVO erteilt, und die von der Beklagten bereitgestellten Informationen gemäß Art 15 DSGVO angemessen sind und den Anforderungen der DSGVO entsprechen. Keine der anderen 45 Datenschutzbehörden erhob Einwände gegen diese Entscheidung. “
Das Berufungsgericht hat dazu erwogen:
1.1. Die Feststellungsgrundlage ist nur dann mangelhaft, wenn Tatsachen fehlen, die für die rechtliche Beurteilung wesentlich sind und dies Umstände betrifft, die nach dem Vorbringen der Parteien und den Ergebnissen des Verfahrens zu prüfen waren (RS0053317). Der Vorwurf eines rechtlichen Feststellungsmangels kann überdies nicht erfolgreich erhoben werden, wenn vom Erstgericht zu einem bestimmten Thema ohnehin Feststellungen getroffen wurden, diese aber den Vorstellungen des Rechtsmittelwerbers zuwiderlaufen (RS0043320 [T18], RS0043480 [T15, T19], RS0053317 [T1]).
1.2. Dass die von der Beklagten ins Treffen geführte Entscheidung der DPC vom 28.2.2024 in einem Verfahren betreffend den Kläger ergangen wäre, wurde von dieser zu keinem Zeitpunkt behauptet und liegen diesbezügliche Anhaltspunkte auch nicht vor. Aus der hinsichtlich ihrer Echtheit unbestrittenen Urkunde (S 2 in ON 82.1) in Beilage ./14 folgt (vgl RS0121557 [T3]), dass die dortige Entscheidung aus Anlass des Sperrens eines B*-Nutzeraccounts erging. Dass die im genannten Verfahren erteilte Auskunft (durchgängig) ident wäre mit der im vorliegenden Verfahren bzw aus Anlass desselben an den Kläger erteilten Auskunft, wurde weder behauptet noch lässt sich dies der Beilage ./14 entnehmen. Die Beklagte führt in ihrer Berufung vielmehr selbst aus, dass es sich um einen (bloß) ähnlich gelagerten Fall wie vorliegend gehandelt habe.
1.3. Die DSGVO normiert (vgl insbes Art 77 und 79 DSGVO) eine Doppelgleisigkeit der Rechtsschutzmöglichkeiten , indem sowohl ein verwaltungsbehördlicher als auch ein gerichtlicher Rechtsschutz vorgesehen ist (6 Ob 91/19d; 6 Ob 143/23g; Leupold/Schrems aaO Art 79 DSGVO Rz 25, 31), und zwar nicht nur bei Klagen wegen Schadenersatz, sondern bei sämtlichen Verletzungen von Betroffenenrechten nach der DSGVO ( Schweiger in Knyrim , DatKomm Art 77 DSGVO Rz 22/2; Jahnel aaO Art 79 DSGVO Rz 6; vgl RS0133434). In welchem Verhältnis die genannten Bestimmungen zueinander stehen, regelt die DSGVO nicht (6 Ob 91/19d). Es stellt sich folglich die Frage der Bindungswirkung.
Eine Bindung eines angerufenen Zivilgerichts an eine Entscheidung der Aufsichtsbehörde und umgekehrt ist in der DSGVO nicht geregelt ( Leupold/Schrems aaO Art 79 DSGVO Rz 31/2, Schwamberger , VbR 2018/117; Jahnel aaO Art 79 DSGVO Rz 20).
Es kann – anknüpfend an die vorstehenden Ausführungen – als unstrittig zugrunde gelegt werden, dass der Kläger nicht am Verfahren, in welchem die Entscheidung der (irischen) DPC vom 28.2.2024 erging, beteiligt war. Da für Dritte , die am Verwaltungsverfahren nicht beteiligt waren, abgesehen von einer (hier nicht in Frage stehenden) etwaigen Gestaltungs- oder Tatbestandswirkung ohnedies keine Bindungswirkung eintritt ( Leupold/Schrems aaO Art 79 DSGVO Rz 31/2; RS0121545; 9 Ob 27/15h), besteht per se keine Bindung (österreichischer) Zivilgerichte an Beschlüsse ausländischer Aufsichtsbehörden, gegen die die (österreichische) Datenschutzbehörde keinen Einspruch eingelegt hat ( Leupold/Schrems aaO Art 79 DSGVO Rz 31/2).
1.4. Feststellungen im Zusammenhang mit der Entscheidung der DPC vom 28.2.2024 bedurfte es demgemäß nicht. Die von der Beklagten in diesem Zusammenhang monierten sekundären Feststellungsmängel liegen mangels rechtlicher Relevanz somit nicht vor.
2. Die Beklagte beanstandet weiters das Fehlen von Tatsachenfeststellungen dazu, dass die Beklagte ein Online-Tool („Datenschutzportal“) für die einfache und sichere Ausübung der Betroffenenrechte in Entsprechung der Anforderungen der DSGVO zur Verfügung gestellt und dem Kläger bereits vor Klagseinbringung einen einfachen Zugang zu diesem Datenschutzportal ermöglicht habe.
In der Datenschutzrichtlinie der Beklagten werde ausdrücklich in Fettdruck und mittels Verlinkung auf das Datenschutzportal verwiesen. Da der Kläger mit einem Computer umgehen könne, Zugang zu einem Computer und über sein Nutzerkonto auf das Online-Datenschutzportal habe, habe er neben dem Zugang zu diesem Datenschutzportal kein zusätzliches Recht auf Auskunft nach Art 15 DSGVO. Durch den Verweis auf ein solches Datenschutzportal sei der Antrag auf Auskunft einer betroffenen Person nach der Rechtsprechung der Datenschutzbehörde und des Bundesverwaltungsgerichts, die durch den Verwaltungsgerichtshof bestätigt worden sei, als erfüllt anzusehen.
Ausgehend von den Informationen, die dem Kläger bereits vor Klagseinbringung zur Verfügung gestellt worden seien, sei diesem durchaus bewusst gewesen, dass er seine personenbezogenen Daten und anderen Informationen gemäß Art 15 DSGVO leicht über das Datenschutzportal der Beklagten abrufen könne. Der Kläger habe auch nie bestritten, bereits vor Klagseinbringung darüber informiert gewesen zu sein, über das Datenschutzportal der Beklagten seine personenbezogenen Daten abrufen zu können und über das Datenschutzportal Zugang dazu gehabt zu haben.
Da die Beklagte dem Kläger das Datenschutzportal zur Verfügung gestellt habe, müsse das Auskunftsbegehren des Klägers bereits in dem Zeitpunkt als erfüllt angesehen werden, als er sein in deutscher Sprache per Post und weder an den Datenschutzbeauftragten noch an die Rechtsschutzabteilung oder das Datenschutzteam adressiertes Schreiben an die Beklagte gerichtet habe. Einem Antrag, der an eine zufällige oder falsche E-Mail-Adresse oder Postanschrift gesendet werde, die nicht direkt vom Verantwortlichen angegeben worden sei, oder an einen Kontakt, der eindeutig nicht für die Entgegennahme von Anträgen zu den Rechten der betroffenen Person bestimmt sei, müsse der Verantwortliche nicht nachkommen, wenn er einen geeigneten Kommunikationsweg vorgesehen habe.
Das Erstgericht hätte daher folgende Feststellungen treffen müssen:
„ Der Kläger ist ein auf IT- und Datenschutzrecht spezialisierter Rechtsanwalt. Er ist technisch versiert und hat Zugang zu einem Computer. Der Kläger wurde vor Klagseinbringung darüber informiert, dass er über das Datenschutzportal der Beklagten auf alle Informationen zugreifen kann, auf die er nach Art 15 DSGVO Anspruch hat. Der Kläger konnte vor Klagseinbringung über das Datenschutzportal alle Daten und Informationen abrufen, zu deren Bereitstellung die Beklagte gemäß Art 15 DSGVO verpflichtet ist. Der Kläger sandte ein Schreiben in deutscher Sprache per Post an die in Irland ansässige Beklagte, in dem er gemäß Art 15 DSGVO Auskunft über seine Daten verlangte. Der Kläger richtete dieses Schreiben weder an den Datenschutzbeauftragten, noch an die Rechtsabteilung oder an das Datenschutzteam; er versah es weder mit einem Briefkopf noch mit einem Titel, geschweige denn mit seiner Berufsbezeichnung als Rechtsanwalt. “
Auf Grundlage dieser Feststellungen hätte das Erstgericht zum Schluss kommen müssen, dass der Auskunftsanspruch des Klägers bereits vor Klagseinbringung erfüllt worden und die Beklagte nicht verpflichtet gewesen sei, auf das nicht über einen von der Beklagten bereitgestellten Kommunikationskanal für Auskunftsersuchen gestellte Schreiben zu reagieren.
Das Berufungsgericht hat dazu erwogen:
2.1. Vorauszuschicken ist, dass das Erstgericht ohnedies festgestellt hat, dass die Beklagte (im Rahmen ihrer Äußerung im Verfahren) zum Auskunftsbegehren des Klägers diesen für die gänzliche Erfüllung desselben auf das von ihr zur Verfügung gestellte Datenschutzportal verwiesen hat (US 6). Weiters hat das Erstgericht Feststellungen zu den im Datenschutzportal einsehbaren Auskünften und Informationen getroffen und die über das Datenschutzportal zugänglichen Inhalte bei seiner rechtlichen Beurteilung berücksichtigt. Der Kläger wiederum hat zu keinem Zeitpunkt behauptet, dass die Zurverfügungstellung von Informationen über das Datenschutzportal grundsätzlich kein zulässiger Weg der Auskunftserteilung wäre, und hat in seinem Vorbringen die über das Datenschutzportal erlangten Informationen einfließen lassen, wenngleich er klarstellte, dass die Zurverfügungstellung der Datenkopie auf dem Datenschutzportal in zwei Teilen und erst nach Klagseinbringung erfolgt sei.
2.2. Art 12 DSGVO regelt die Modalitäten für die Ausübung der Betroffenenrechte wie etwa des Auskunftsrechts (DSB 7.8.2025, 2025-0.626.844). Über die konkrete Form des Auskunftsbegehrens gibt die DSGVO allerdings keine Auskunft, sodass der Antrag grundsätzlich sogar mündlich gestellt werden kann ( Jahnel aaO Art 15 DSGVO Rz 10). Ganz allgemein dürfen an den Antrag der betroffenen Person selbst keine zu hohen Voraussetzungen gestellt werden ( Illibauer aaO Art 12 DSGVO Rz 91/1). Art 12 Abs 2 Satz 1 DSGVO verpflichtet den Verantwortlichen, der betroffenen Person die Ausübung ihrer Rechte unter anderem nach Art 15 DSGVO zu erleichtern ( Erleichterungsgebot ) ( Jahnel aaO Art 12 DSGVO Rz 8; Illibauer aaO Art 12 DSGVO Rz 71, 71/1).
Bereits der Antragseingang beim Verantwortlichen löst die Auskunftspflicht aus. Es genügt, dass das Auskunftsbegehren in den Machtbereich des Verantwortlichen gelangt. Eine tatsächliche Kenntnisnahme der Anfrage ist nicht erforderlich (vgl BVwG W211 2223696-1).
Nach den erstgerichtlichen Feststellungen wurde das außergerichtliche Auskunftsbegehren des Klägers der Beklagten an deren Hauptwohnsitz tatsächlich zugestellt. Im Hinblick darauf und unter Berücksichtigung der vorstehenden Grundsätze schadet es daher nach Auffassung des Berufungsgerichts nicht, dass das Auskunftsbegehren unstrittig (Beilage ./A; S 2 in ON 17; vgl RS0121557 [T3]) in deutscher Sprache verfasst, per Post versandt und nicht konkret an den Datenschutzbeauftragten, die Rechtsabteilung oder das „Datenschutzteam“ der Beklagten adressiert war.
Darauf, ob der Kläger seine Rechtsanwaltseigenschaft offenlegte, kommt es nicht an. Die von der Beklagten in diesem Zusammenhang ergänzend begehrten Feststellungen bedurfte es daher nicht.
2.3. Dass die Auskunftserteilung mittels Verweis auf eine Einsicht in Online-Werkzeuge grundsätzlich (auch im vorliegenden Fall) eine mögliche und zulässige Form der Auskunftserteilung darstellen kann (BVwG 11.9.2020, W101 2132183-1; vgl VwGH Ro 2020/04/0036; Jahnel aaO Art 15 Rz 34), sofern der damit zur Verfügung gestellte Auskunftsinhalt, etwa betreffend seinen Umfang (vgl 6 Ob 56/21k, Rz 153; vgl Haidinger aaO Art 15 DSGVO Rz 21/1) den Anforderungen der DSGVO entspricht, kann unterstellt werden. Den Feststellungen, dass es sich beim Kläger um einen auf IT- und Datenschutzrecht spezialisierten Rechtsanwalt handelt, welcher technisch versiert ist und Zugang zu einem Computer hat, bedurfte es demgemäß ebenfalls nicht.
2.4. Die von der Beklagten gewünschte Feststellung, wonach der Kläger vor Klagseinbringung darüber „informiert“ worden sei, dass er über das Datenschutzportal der Beklagten auf alle Informationen zugreifen könne, auf die er nach Art 15 DSGVO Anspruch habe, setzt sich in Widerspruch mit der erstgerichtlichen Feststellung, wonach die Beklagte die für die Beantwortung des am 15.9.2021 an sie zugestellten Auskunftsbegehrens vorgesehene Frist ungenützt verstreichen ließ und sich dazu (erst) im Rahmen des Verfahrens beim Kläger äußerte (US 6).
Ungeachtet dessen folgt aus dem von der Beklagten selbst verfassten und als Urkunde gelegten Schreiben vom 4.2.2022 (Beilage ./1) – die Echtheit dieser Urkunde wurde zugestanden (vgl Urkundenerklären in S 2 in ON 17; vgl RS0121557 [T3]) –, dass zum Zeitpunkt dieses Schreibens und somit nach Klagseinbringung die Voraussetzung für die den Informationszugriff bildende Authentifizierung offenbar noch nicht stattgefunden hatte (S 2 in Beilage ./1), was auch mit den mit 12.2. und 17.2.2022 datierenden und hinsichtlich der Echtheit unbestrittenen Beilagen ./D und ./E unstrittig im Einklang steht.
2.5. Darauf, ob der Kläger vor Klagseinbringung über das Datenschutzportal – per se und ganz grundsätzlich – alle Daten und Informationen, zu deren Bereitstellung die Beklagte gemäß Art 15 DSGVO verpflichtet ist, abrufen konnte, kommt es im Übrigen nach Auffassung des Berufungsgerichts nicht an. Auch wenn man die Möglichkeit eines Verweises auf ein Online-Tool grundsätzlich für die Erfüllung des Auskunftsanspruchs als zulässig ansieht, ist von der Beklagten als Verantwortlicher ein solcher Verweis als Reaktion auf das Auskunftsersuchen jedenfalls zu fordern und nicht dem Kläger abzuverlangen, von sich aus ohne solchen Verweis in ein allfälliges Online-Tool einzusehen.
2.6. Ergänzend festzuhalten ist, dass es den von der Beklagten gewünschten Zusatzfeststellungen in diesem Zusammenhang auch schon deshalb an Entscheidungsrelevanz fehlt, weil – wie schon die Behandlung der Rechtsrüge im engeren Sinn zeigte – die Beklagte auch unter Berücksichtigung der von ihr dem Kläger über das Datenschutzportal zugänglich gemachten Informationen ihrer Auskunftspflicht nicht (voll) entsprochen hat.
2.7. Die Frage, ob die zur Verfügung gestellten Informationen alle Informationen nach Art 15 DSGVO umfassen, ist im Übrigen eine Frage der rechtlichen Beurteilung, welche einer Tatsachenfeststellung nicht zugänglich ist.
3. Weiters erachtet die Beklagte die Feststellungen des Erstgerichts zur Frage der Verständlichkeit der von der Beklagten erteilten Auskünfte als unzureichend und unvollständig.
Insbesondere vermisst die Beklagte Feststellungen über die von ihr zur Verfügung gestellten Erläuterungen („File Guides“) samt den darin enthaltenen Informationen. Entsprechende Feststellungen seien deshalb relevant, weil die Frage der Verständlichkeit auch anhand von erteilten Zusatzinformationen zu beurteilen sei. Die Beklagte habe für jede bereitgestellte Datei, die personenbezogene Daten des Klägers enthalte, zusätzliche Informationen mit Erläuterungen bereitgestellt, um die Auskunft so transparent und verständlich wie möglich zu gestalten.
Der Umstand, dass die Informationen in englischer Sprache erteilt worden seien, sei im konkreten Fall irrelevant, weil der Kläger explizit festgehalten habe, keine Informationen auf Deutsch zu fordern und fließend Englisch zu sprechen.
Das Erstgericht hätte daher folgende weitere Feststellungen treffen müssen:
„ Zusammen mit der Datenkopie stellte die Beklagte dem Kläger „File Guides“ für jede Datei, die personenbezogene Daten des Klägers, die Gegenstand der Verarbeitung durch die Beklagte sind, zur Verfügung. Diese File Guides enthalten detaillierte Erläuterungen darüber, (i) welche Informationen die jeweilige Datei enthält und (ii) warum die Beklagte diese Informationen verarbeitet sowie (iii) sind diesen dazugehörigen File Guides auch Tabellen angeschlossen, in denen die jeweiligen Feldbezeichnungen („Field Names“) in den dem Kläger gelieferten Datensätze aufgeschlüsselt und erläutert werden .“
Das Berufungsgericht hat dazu erwogen:
Dass die Beklagte dem Kläger auch sogenannte „File Guides“ (in englischer Sprache) zur Verfügung stellte, welche die jeweiligen Dateien erklären, und dass den Dateien Erläuterungen beigegeben waren, folgt bereits aus den erstgerichtlichen Feststellungen (US 10 und US 8) und kann auch anhand der vom Kläger selbst in Vorlage gebrachten Urkunden, zB Beilagen ./M und ./O (vgl Urkundenerklären in S 2 in ON 82.1), als zugestanden zugrunde gelegt werden.
Überdies floss der Inhalt der File Guides also solcher in die Feststellungen und die rechtliche Beurteilungen des Erstgerichts ein.
Ergänzender Feststellungen dazu bedurfte es nicht.
4. Das Erstgericht habe nach Ansicht der Beklagten Feststellungen dazu getroffen, dass einige Felder in der Datenkopie leer gewesen seien, etwa betreffend die Felder in der Spalte „AB Test“ in der Datei „App Store Click Activity.csv“ oder in der Datei „B* Book Collection Informatio.json“. Es habe jedoch nicht festgestellt, warum diese Datenpunkte leer geblieben seien und lediglich geschlussfolgert, dass die vorgelegten Daten unvollständig seien. Die Beklagte habe ausführliche Erklärungen und Beweise vorgelegt, wonach dann, wenn ein Feld leer bleibe oder keine Werte enthalte, dies bedeute, dass die Beklagte keine personenbezogenen Daten des Klägers verarbeitet habe, über die sie Auskunft geben könnte.
Die Beklagte könne keine Daten beauskunften, die sie nicht verarbeite. Betreffend die Datei „B* Book Collection Informatio.json“ folge aus dem dazugehörigen File Guide, dass mit dem Feldnamen „Inhalt-Beschreibung“ der Titel des Inhalts, falls bekannt, beschrieben werde. Demgemäß sei völlig klar, dass dann, wenn die Beklagte keine personenbezogenen Daten des Klägers einer bestimmten Datenkategorie verarbeite, der Wert des Felds unter dieser Datenkategorie leer sei. Auch aus den Ausführungen des Sachverständigen folge, dass wenn die Beklagte keine Daten des Klägers verarbeite, dies durch das Fehlen von Daten bewiesen werde.
Das Erstgericht hätte daher ergänzend feststellen müssen:
„ Verarbeitet die Beklagte keine personenbezogenen Daten einer bestimmten Datenkategorie, die sich auf den Kläger beziehen, so ist das Feld unter dieser Datenkategorie leer. “
Das Berufungsgericht hat dazu erwogen:
Betreffend die Spalte „AB Test“ hat das Erstgericht ausdrücklich und unangefochten festgestellt, dass diese in der CSV-Datei nicht beschrieben ist und keine Eintragungen enthält sowie dass (schon) aus der Existenz dieser Spalte hervorgeht, dass der Kläger in einem solchen Test als Anwender der Gruppe A oder B eingestuft wurde (US 6) und dass die Beklagte in der Lage wäre, über die Unvollständigkeit der Spalteninhalte der CSV-Datei zu informieren (US 12). Insofern setzt sich die gewünschte Zusatzfeststellung der Beklagten mit den erstgerichtlichen Feststellungen in Widerspruch (vgl RS0053317 [T1, T3]). Die Berufung in diesem Punkt ist daher nicht gesetzmäßig ausgeführt.
5. Schließlich moniert die Beklagte, dass das Urteil keine Feststellungen zum Inhalt von Offenlegungen gegenüber Empfängern von Daten des Klägers enthalte. Das Erstgericht schildere lediglich das Vorbringen der Streitparteien und scheine dieses als Feststellungen darzustellen. Aber auch die Schilderung des wechselseitigen Vorbringens sei nicht vollständig. Die Beklagte habe nämlich auch im Schriftsatz vom [richtig:] 10.7.2024 (ON 89) explizit (wiederholt) bestätigt und erklärt, über keine Aufzeichnungen über den Inhalt von Offenlegungen oder Übermittlungen von personenbezogenen Daten des Klägers zu verfügen. Auskunft über Daten, die die Beklagte nicht aufbewahre, müsse sie nicht erteilen. Das Erstgericht hätte daher bei richtiger rechtlicher Beurteilung feststellen müssen:
„ Die Beklagte hat keine Aufzeichnungen über den Inhalt der Weitergabe oder Übermittlung der personenbezogenen Daten des Klägers. “
In eventu hätte das Erstgericht feststellen müssen:
„ Es kann nicht festgestellt werden, dass die Beklagte über Aufzeichnungen über den Inhalt der Offenlegungen oder Übermittlungen von personenbezogenen Daten des Klägers verfügt. “
Das Berufungsgericht hat dazu erwogen:
Das Erstgericht hat, wie bereits bei Behandlung der Rechtsrüge im engeren Sinn zu Punkt IV.4.3. ausgeführt, unangefochten festgestellt, dass die Beklagte ihren Angaben zufolge (nur) keine detaillierten Aufzeichnungen darüber aufbewahrt, welche spezifischen personenbezogenen Daten an welche Empfänger oder Auftragsverarbeiter weitergegeben wurden (US 11). Überdies steht unangefochten fest, dass die Beklagte eine schriftliche Bestätigung darüber, dass bei ihr wirklich keine Informationen über den Inhalt von Offenlegungen oder Übermittlungen personenbezogener Daten des Klägers vorhanden sind, nicht vorlegte.
Das Erstgericht hat somit zur Thematik der Verfügbarkeit der Inhalte von Offenlegungen und Übermittlungen ohnedies Feststellungen getroffen, wenn auch nicht im Sinn der Beklagten (vgl wiederum RS0053317 [T1, T3]). Ein sekundärer Feststellungsmangel liegt schon insofern nicht vor. Überdies würde sich die von der Beklagten begehrte Ersatzfeststellung mit dem Inhalt der vorstehend wiedergegebenen Sachverhaltsannahmen (zum Bedeutungsgehalt siehe ebenfalls Punkt IV.4.3) in Widerspruch setzen.
Sekundäre Feststellungsmängel liegen daher insgesamt nicht vor.
VI. Der Berufung der Beklagten ist im Ergebnis somit ein Erfolg zu versagen.
VII. Verfahrensrechtliches:
1. Die Kostenentscheidung betreffend das Berufungsverfahren gründet in §§ 41, 50 ZPO.
2. Eine Bewertung des Entscheidungsgegenstands hat nach § 500 Abs 2 ZPO nur dann zu erfolgen, wenn der Streitgegenstand einen Geldwert hat. Bei der Verletzung von höchstpersönlichen Rechten, die einer Bewertung durch Geld unzugänglich sind, hat ein Bewertungsausspruch somit zu entfallen (RS0042418 [T7, T9]); die Zulässigkeit der Revision hängt dann nur vom Vorliegen einer erheblichen Rechtsfrage im Sinn des § 502 Abs 1 ZPO ab (6 Ob 127/20z).
Bei einer Verletzung im Grundrecht auf Datenschutz steht der Eingriff in die höchstpersönliche Rechtssphäre im Vordergrund, auch wenn Rechtsfolge einer Verletzung des Grundrechts ein geldwerter Schadenersatzanspruch sein kann. Aufgrund dieser Erwägung verneint der Oberste Gerichtshof die Notwendigkeit eines Bewertungsausspruchs nach § 500 Abs 2 ZPO bei einer auf Auskunftserteilung nach Art 15 Abs 1 DSGVO gerichteten Klage ebenso wie bei Geltendmachung des Anspruchs auf eine Datenkopie nach Art 15 Abs 3 DSGVO (6 Ob 127/20z; 6 Ob 138/20t). Auch im vorliegenden Fall hatte daher ein Bewertungsausspruch zu unterbleiben.
3. Die ordentliche Revision war zuzulassen, weil – soweit überblickbar – keine Rechtsprechung des Obersten Gerichtshofs zu den Fragen vorliegt,
- welche Anforderungen an die Bestimmtheit eines Auskunftsbegehrens nach Art 15 DSGVO zu stellen sind,
- ob ein deutschsprachiges Auskunftsersuchen von einem Unternehmen mit Sitz in Irland (fremdsprachiges EU-Ausland) beantwortet werden muss,
- ob eine zulässige Auskunftserteilung über ein Online-Tool (Datenschutzportal) jedenfalls voraussetzt, dass der Verantwortliche die betroffene Person darauf in Beantwortung eines Auskunftsersuchens ausdrücklich verweist,
- ob, es sich bei Auftragsverarbeitern um Empfänger im Sinn von Art 15 Abs 1 lit c DSGVO handelt,
- ob die bloße Bekanntgabe des Namens des jeweiligen Empfängers zur Beauskunftung der Empfänger nach Art 15 Abs 1 lit c DSGVO genügt oder ob weitere Informationen (Kontaktdaten) des Empfängers zwecks Ermöglichung einer Kontaktaufnahme zur Verfügung gestellt werden müssen,
- wie präzise die Auskunft über die Speicherdauer zu erfolgen hat sowie
- ob der bloße Verweis auf Standarddatenschutzklauseln zur Erfüllung des Auskunftsanspruchs nach Art 15 Abs 2 DSGVO genügt.
Rückverweise
Keine Ergebnisse gefunden
RIS