Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40-42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 22. August 2019, Zl. W256 2213660 1/4E, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Parteien: 1. C GmbH in W, vertreten durch Dr. Friedrich Gatscha, Rechtsanwalt in 1010 Wien, Stubenring 24, und 2. R K in O, vertreten durch Dr. Michael Paul Parusel, Rechtsanwalt in 1010 Wien, Stadiongasse 6-8), zu Recht erkannt:
Die Revision wird als unbegründet abgewiesen.
Der Bund hat der erstmitbeteiligten Partei Aufwendungen in der Höhe von EUR 1.106,40 binnen 14 Tagen bei sonstiger Exekution zu ersetzen.
I.
1 1.Mit Bescheid der Datenschutzbehörde (Revisionswerberin) vom 5. Dezember 2018 wurde der Datenschutzbeschwerde der zweitmitbeteiligten Partei teilweise stattgegeben und festgestellt, dass die erstmitbeteiligte Partei (als Betreiberin einer Kreditauskunftei gemäß § 152 GewO 1994) die zweitmitbeteiligte Partei sowohl im Recht auf Geheimhaltung als auch im Recht auf Löschung verletzt habe, indem sie dem partiellen Löschungsantrag der zweitmitbeteiligten Partei überschießend entsprochen und alle Daten gelöscht habe (Spruchpunkt 1). Hinsichtlich der von der zweitmitbeteiligten Partei behaupteten Verletzung im Recht auf Berichtigung und dem diesbezüglichen Begehren, der erstmitbeteiligten Partei die Berichtigung bzw. Wiederherstellung der Generalien der zweitmitbeteiligten Partei aufzutragen, wurde die Beschwerde hingegen abgewiesen (Spruchpunkt 2).
2 Die Abweisung in Spruchpunkt 2 begründete die Datenschutzbehörde damit, dass auf Grund der gänzlichen Löschung der Daten der zweitmitbeteiligten Partei eine Berichtigung oder Wiederherstellung derselben schon dem Wesen nach nicht möglich sei, weil für eine Berichtigung das faktische Vorhandensein eines zu berichtigenden Datensatzes Voraussetzung sei. Folglich sei kein Leistungsauftrag zu erteilen gewesen.
3 2. Gegen diesen Bescheid („insbesondere in Bezug auf Spruchpunkt 2 [...]“) erhob die zweitmitbeteiligte Partei Beschwerde an das Bundesverwaltungsgericht und brachte dazu vor, dass in Spruchpunkt 1 des Bescheides zwar ein Verstoß der erstmitbeteiligten Partei gegen geltendes Recht festgestellt worden sei. Dennoch müsse diese wie aus Spruchpunkt 2 hervorgehe keine Folgen befürchten. Darüber hinaus komme die Datenschutzbehörde zum unrichtigen Ergebnis, dass eine Wiederherstellung das Vorhandensein eines Datensatzes voraussetze. Es werde daher beantragt, das Bundesverwaltungsgericht möge der Beschwerde Folge geben und den Bescheid in Bezug auf Spruchpunkt 2 aufheben und dahingehend abändern, dass der erstmitbeteiligten Partei aufgetragen werde, die Generalien der zweitmitbeteiligten Partei wiederherzustellen.
4 3.1. Mit dem angefochtenen Erkenntnis vom 22. August 2019 gab das Bundesverwaltungsgericht der Beschwerde Folge und änderte den Bescheid dahingehend ab, dass der Spruch insgesamt zu lauten habe: „Die Beschwerde wird als unbegründet abgewiesen.“ Die ordentliche Revision erklärte das Bundesverwaltungsgericht für zulässig.
5 3.2. In der Begründung hielt das Bundesverwaltungsgerichtunter Verweis auf die Übergangsbestimmung des § 69 Abs. 4 DSGzunächst fest, dass im vorliegenden Fall die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung [im Folgenden: DSGVO]) sowie das Datenschutzgesetz (DSG), BGBl. Nr. 165/1999 in der Fassung BGBl. I Nr. 24/2018, maßgeblich seien.
6 Zum Prüfungsumfang führte das Bundesverwaltungsgericht aus, dass sich die zweitmitbeteiligte Partei im gesamten Verfahren gegen die überschießende Löschung ihres Namens und ihrer Wohnadresse durch die erstmitbeteiligte Partei gewendet habe. Diese habe so das Vorbringen der zweitmitbeteiligten Partei das eingeschränkte Löschungsbegehren ignoriert und damit die zweitmitbeteiligte Partei in ihrem Recht auf Löschung verletzt. Zudem weigere sich die erstmitbeteiligte Partei, diese Daten der zweitmitbeteiligten Partei wiederherzustellen, weshalb diese auch in ihrem Recht auf Richtigstellung gemäß § 1 Abs. 3 Z 3 DSG bzw. auf Berichtigung gemäß Art. 16 DSGVO verletzt sei.
7Die vorliegende Beschwerde richte sich nunmehr dagegen, dass die Datenschutzbehörde die überschießende Löschung der Daten zwar für rechtswidrig befunden, die Beseitigung dieses rechtswidrigen Zustandes (nämlich die Wiederherstellung der Daten) der erstmitbeteiligten Partei jedoch nicht aufgetragen habe. Schon aus § 24 Abs. 5 zweiter Satz DSG folge, dass die begehrte Beseitigung des von der Datenschutzbehörde in Spruchpunkt 1 festgestellten rechtswidrigen Zustandes nämlich die Wiederherstellung der Daten untrennbar mit der Feststellung der Rechtsverletzung an sich zusammenhängt und damit nicht losgelöst voneinander beurteilt werden könne. Das erkennende Verwaltungsgericht sei daher verhalten, die Feststellung der Rechtsverletzung an sich und damit den angefochtenen Bescheid umfassend zu überprüfen.
8 In der Sache hielt das Bundesverwaltungsgericht fest, dass sich die zweitmitbeteiligte Partei allein gegen die überschießende Löschung wende, weil diese bei abfragenden Dritten den Eindruck mangelnder Kreditwürdigkeit hervorrufe. Die Datenschutzbehörde sei dem gefolgt und davon ausgegangen, dass diese den Eindruck der Kreditunwürdigkeit hervorrufende (überschießende) Löschung als eine Verarbeitung wider Treu und Glauben und damit als rechtswidrig qualifiziert werden müsste.
9 Diese Auffassung der Datenschutzbehörde könne allerdings so das Bundesverwaltungsgericht nicht geteilt werden. Personenbezogene Daten im Sinn der DSGVO seien alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen würden. Dabei seien Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, als Informationen über eine identifizierbare Person zu betrachten. Die (auf keine solche Zusatzinformationen gestützte) bloße Vermutung, dass Daten einer bestimmten Person zugeordnet werden könnten, begründe demnach keine Identifizierbarkeit und damit keinen Personenbezug.
10Im vorliegenden Fall sei die erstmitbeteiligte Partei als Kreditauskunftei gemäß § 152 GewO 1994 zwar zur Verarbeitung bonitätsrelevanter Informationen berechtigt, eine gesetzliche Verpflichtung dazu könne aber nicht abgeleitet werden. Eine Pflicht, die um einen vom Löschungsbegehren betroffenen Datensatz reduzierte Eintragung in ihrer Datei zu belassen, bestehe daher für die erstmitbeteiligte Partei nicht. Auch könnten mangels dieser gesetzlich angeordneten Verpflichtung zur Datenverarbeitung im Fall einer Nichtverarbeitung keine (über bloße Vermutungen hinausgehenden) geeigneten Rückschlüsse zur Person der zweitmitbeteiligten Partei und ihrer Kreditwürdigkeit gezogen werden. Die insofern allfällige bloß spekulative Annahme Dritter, dass die zweitmitbeteiligte Partei bei Nichtverarbeitung durch die erstmitbeteiligte Partei kreditunwürdig sei, könne dementsprechend keinesfalls mit einer Verarbeitung personenbezogener Daten durch die erstmitbeteiligte Partei gleichgesetzt werden.
11 Da das Grundrecht auf Datenschutz aber ausschließlich auf die Verarbeitung personenbezogener Daten abstelle, könne die zweitmitbeteiligte Partei durch die gegenständliche Löschung schon allein deshalb nicht in ihrem Recht auf Datenschutz und damit in weiterer Folge schon gar nicht in ihrem davon abgeleiteten Recht auf Löschung und Richtigstellung (Vervollständigung) verletzt sein. Da somit insgesamt eine Rechtsverletzung der zweitmitbeteiligten Partei nicht vorliege, sei spruchgemäß zu entscheiden gewesen. Eine nähere Auseinandersetzung über einen Leistungsauftrag habe bei diesem Ergebnis unterbleiben können.
12Die Revision erklärte das Bundesverwaltungsgericht für zulässig, weil Rechtsprechung zur Frage fehle, ob die Nichtaufnahme einer Partei in die Datei einer Kreditauskunftei gemäß § 152 GewO 1994 einer Datenverarbeitung über deren Kredit(un)würdigkeit im Sinn des DSG bzw. der DSGVO gleichzusetzen sei.
13 4. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Amtsrevision.
14 Die erstmitbeteiligte Partei erstattete eine Revisionsbeantwortung, in der sie die kostenpflichtige Zurück-, in eventu die Abweisung der Revision beantragt.
II.
Der Verwaltungsgerichtshof hat erwogen:
15 1. Die Revision erweist sich in Hinblick auf die vom Bundesverwaltungsgericht angenommenen Gründe als zulässig, aus nachstehenden Erwägungen jedoch als nicht berechtigt.
16 2.1. Die Revision wendet sich zunächst gegen den vom Bundesverwaltungsgericht angenommenen Prüfungsumfang. Die Beschwerde der zweitmitbeteiligten Partei habe sich ausschließlich gegen Spruchpunkt 2 des angefochtenen Bescheides gerichtet, nämlich dagegen, dass der erstmitbeteiligten Partei nicht die Berichtigung bzw. Wiederherstellung der Daten aufgetragen und das diesbezügliche Begehren abgewiesen worden sei. Die Auffassung des Bundesverwaltungsgerichts, dass der angefochtene Bescheid umfassend geprüft werden müsse, weil Spruchpunkt 1 untrennbar mit Spruchpunkt 2 verbunden sei, werde nicht geteilt. Vielmehr handle es sich so die Revision um jeweils verschiedene Rechte, die einer voneinander losgelösten Beurteilung sehr wohl zugänglich seien. Das Recht auf Geheimhaltung und Löschung stehe mit dem Recht auf Berichtigung in keinem untrennbaren oder inhaltlichen Zusammenhang, was sich auch aus der Systematik der DSGVO ergebe. Da in der Beschwerde von mehreren trennbaren Ansprüchen nur ein Teil bekämpft worden sei, hätte das Bundesverwaltungsgericht auch nur über diesen absprechen dürfen.
17 2.2. Nach der auch von der Revision ins Treffen geführtenRechtsprechung des Verwaltungsgerichtshofes hat das Verwaltungsgericht zwar grundsätzlich in der Sache selbst zu entscheiden und damit nicht nur die gegen den verwaltungsbehördlichen Bescheid eingebrachte Beschwerde, sondern auch die Angelegenheit zu erledigen, die von der Verwaltungsbehörde zu entscheiden war. Diese Prüfungsbefugnis ist jedoch keine unbegrenzte, vielmehr ist ihr äußerster Rahmen die „Sache“ des bekämpften Bescheids; dieser Rahmen wird in den Fällen einer Trennbarkeit der behördlichen Entscheidung weiter eingeschränkt, wenn in der Beschwerde von mehreren trennbaren Absprüchen nur ein Teil bekämpft wird. Eine Trennbarkeit von Absprüchen ist dann gegeben, wenn jeder Teil für sich allein ohne einen inneren Zusammenhang mit anderen Teilen einem gesonderten Abspruch zugänglich ist (vgl. VwGH 9.9.2015, Ro 2015/03/0032, VwGH 12.9.2018, Ra 2015/08/0032, und VwGH 27.8.2020, Ra 2020/15/0035).
18 In der vorliegenden Konstellation ist jedoch von einem inneren Zusammenhang zwischen Spruchpunkt 1 und Spruchpunkt 2 des Bescheides der Datenschutzbehörde auszugehen, weil durch die (nicht angefochtene) Feststellung der Datenschutzbehörde in Spruchpunkt 1, wonach die zweitmitbeteiligte Partei sowohl im Recht auf Geheimhaltung als auch im Recht auf Löschung verletzt sei, das Bundesverwaltungsgericht in seiner Entscheidung, ob eine Verletzung im Recht auf Berichtigung vorliegt und dem Antrag, die Berichtigung bzw. Wiederherstellung der Generalien aufzutragen, stattzugeben ist oder nicht (Spruchpunkt 2), eingeschränkt wird. So könnte das Bundesverwaltungsgericht den Leistungsantrag etwa nicht mit der Begründung abweisen, dass im vorliegenden Fall – mangels Verarbeitung personenbezogener Daten – gar keine Verletzung im Recht auf Geheimhaltung vorliegt. Damit hat die Entscheidung in Spruchpunkt 1 maßgeblichen Einfluss auf die Entscheidung in Spruchpunkt 2 (vgl. in diesem Sinn zur Trennbarkeit von Absprüchen auch schon VwGH 28.2.2013, 2012/10/0074).
19 3.Soweit die Revision rügt, das Bundesverwaltungsgericht habe in Zusammenhang mit der Feststellung von „abgeschlossenen Ereignissen“ zu Unrecht die zum Entscheidungszeitpunkt geltende Rechtslage (somit das DSG und die DSGVO) herangezogen, kann im Grunde des § 43 Abs. 2 VwGG auf die Ausführungen in den Erkenntnissen VwGH 23.2.2021, Ra 2019/04/0054, und VwGH 2.9.2021, Ra 2019/04/0108, verwiesen werden. Auch im vorliegenden Fall zeigt die Revision nicht auf, dass der vom Bundesverwaltungsgericht seiner Entscheidung zugrunde gelegte Sachverhalt unter Anwendung des DSG 2000 im Ergebnis rechtlich anders zu beurteilen wäre.
20 4.1.In der Sache bringt die Revision vor, das Bundesverwaltungsgericht verkenne die im vorliegenden Fall einschlägige Rechtsprechung des Obersten Gerichtshofes. Dieser habe in einer näher bezeichneten Entscheidung zu Kreditauskunfteien gemäß § 152 GewO 1994 unmissverständlich klargestellt, dass es einem Betroffenen bei einem antragsbedürftigen Recht freistehen müsse, als „Minus“ auch die Löschung bloß eines Teiles der Daten zu begehren. Der Oberste Gerichtshof habe auch klar festgestellt, dass der Gesetzgeber das Löschungsrecht ausschließlich in das Belieben des Betroffenen stelle. Betrachte man diese Aussage im Gesamtgefüge der Entscheidung, ergebe sich, dass der Oberste Gerichtshof sehr wohl eine partielle Löschung bejahe. Die Möglichkeit der Inanspruchnahme eines partiellen Löschungsrechts ergebe sich darüber hinaus auch aus dem Umstand, dass bestimmte personenbezogene Daten eines Betroffenen nicht mehr dem Anspruch der Richtigkeit und Aktualität entsprechen würden, während dies für andere Datenteile noch der Fall sein könne. Es müsse möglich sein, auch nur einen Teil des Datensatzes zu löschen, um den Grundsätzen des § 6 DSG 2000 bzw. Art. 5 DSGVO gerecht zu werden.
Die Revision bringt zudem vor, dass auch „Negativeinträge“ in Bonitätsdatenbanken eine Aussagekraft hätten. Die Löschung des gesamten Datensatzes in der Datenbank einer Kreditauskunftei erwecke den (offenbar intendierten) Eindruck, dass die betroffene Person kreditunwürdig sei. Insofern bestehe sehr wohl die Gefahr, dass ein falsches Bild vermittelt werde. Das Nichtaufscheinen im Kontext einer Bonitätsdatenbank sei als Verarbeitung zu qualifizieren, weil auch Negativeinträge in Bonitätsdatenbanken eine Aussagekraft hätten.
21 4.2. Der Revision gelingt es mit diesem Vorbringen nicht, eine Rechtswidrigkeit der angefochtenen Entscheidung aufzuzeigen:
Der Oberste Gerichtshof hat im sowohl von der Revision als auch vom Bundesverwaltungsgericht herangezogenenUrteil vom 1. Oktober 2008, 6 Ob 195/08g, in Zusammenhang mit Kreditauskunfteien gemäß § 152 GewO 1994 (unter Verweis auf die Gesetzesmaterialien) ausgesprochen, dass es dem Gesetzgeber sinnvoll erschien, Personen ein Widerspruchsrecht gegen die Aufnahme in solche Verzeichnisse einzuräumen, wenn sie in Abweichung von der durchschnittlichen Einschätzung der Geheimhaltungsinteressen eine Verletzung ihrer Interessen durch Aufnahme ihrer Daten in ein solches Verzeichnis befürchten. Durch die Möglichkeit des Widerspruchs sei gewährleistet, dass einerseits Verzeichnisse dieser Art, die von der großen Mehrheit der Bevölkerung als sinnvoll und nützlich empfunden werden, legalerweise existieren können und andererseits Interessenslagen, die vom Durchschnitt abweichen, entsprechend berücksichtigt werden können. Daraus ergibt sich für den Obersten Gerichtshof, dass der Gesetzgeber das Löschungsrecht ausschließlich in das Belieben des Betroffenen stellt. Auf eine Dartuung eines besonderen Geheimhaltungsinteresses oder objektiv schutzwürdiger Interessen kommt es demnach gerade nicht an.
So lagen dem Urteil OGH 6 Ob 195/08g und der Aussage des Obersten Gerichtshofes, dass der Betroffene auch berechtigt sei, ein partielles Löschungsbegehren zu stellen, eine Konstellation zu Grunde, in der der Betreiber der Kreditauskunftei die Löschung der den Kläger betreffenden Daten insgesamt ablehnte und sich zudem gegen die Fassung des Klagebegehrens wendete.
Zudem stellte der Oberste Gerichtshof klar, dass es dem Betroffenen (wenngleich im Gesetz nur von einem Widerspruch gegen die Aufnahme in eine Datei die Rede ist) auch freistehe, als bloßes Minus die Löschung bloß eines Teiles der Eintragung zu begehren. Allerdings hat der Oberste Gerichtshof auch festgehalten, dass dadurch schutzwürdige Interessen des Betreibers der Kreditauskunftei nicht beeinträchtigt werden, weil diesen keine Pflicht trifft, die um den vom Löschungsbegehren betroffenen Datensatz reduzierte Eintragung seiner Datei zu belassen.
22 Somit ist aber weder gesagt noch kann daraus der Schluss gezogen werden, dass eine über ein partielles Löschungsbegehren hinausgehende Löschung von Daten zu einer Verletzung im Recht auf Löschung führt.
23 Unter „Löschen“ wird eine Maßnahme mit der Wirkung verstanden, dass der Auftraggeber nicht mehr über die Daten verfügt (vgl. Jahnel , Datenschutzrecht [2010] Rz. 3/112). Demnach liegt der Zweck des Löschungsanspruches darin, dass dem Datenanwender der Zugriff auf bestimmte personenbezogene Daten irreversibel entzogen und dem Auftraggeber und allen seiner Sphäre zuzurechnenden Personen die Kenntnisnahme der materiellen Angaben dauerhaft unmöglich gemacht wird (vgl. Ennöckl , Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung [2014] 463 mwN).
Ausgehend davon kann durch eine über ein partielles Löschungsbegehren hinausgehende gänzliche Löschung (schon begrifflich) nicht das Recht auf Löschung verletzt werden.
24 Gleiches gilt für die behauptete Verletzung im Recht auf Geheimhaltung.
25 Zwar wird Bonitätsdaten grundsätzlich eine „besondere Eingriffstiefe“ in das Recht auf Geheimhaltung beigemessen (vgl. Thiele/Wagner, DSG [2022] § 1 Rz. 138 mwN). Im gegenständlichen Zusammenhang gilt es jedoch auch zu berücksichtigen, dass das Vorliegen eines personenbezogenen Datums ein materielles Element voraussetzt, also Angaben über einen Betroffenen gemacht werden müssen. Dieses Kriterium ist zwar weit zu verstehen und enthält sämtliche Arten von Informationen, die über eine individuelle Person gegeben werden können, ohne dass dies auf einer inhaltlichen Ebene eingeschränkt würde. Aussagen, die keinerlei Information vermitteln, können aber mangels materieller Angaben keine Daten darstellen (vgl. Ennöckl , aaO, 108).
26Gegenstand des freien Gewerbes der Kreditauskunfteien gemäß § 152 GewO 1994 ist die Erteilung von Auskünften über Kreditverhältnisse zu geschäftlichen Zwecken (vgl. Stolzlechner et al , GewO 4[2020] § 152 Rz. 2). Bei diesen (somit nach der GewO 1994 erlaubten) „Bonitätsdatenbanken“ handelt es sich jedoch um keine gesetzlich angeordnete Aufnahme in eine öffentlich zugängliche Datei. § 152 GewO 1994 sieht nämlich nur die Möglichkeit zur Führung einer solchen Datenbank vor, sie kann aber nicht als gesetzlicher Auftrag zur Datensammlung angesehen werden (vgl. Riesz, § 152 in: Ennöckl/N. Raschauer/Wessely [Hrsg.], GewO Bd. II [2015] Rz. 2, sowie OGH 21.1.2015, 17 Os 43/14y).
27 Entgegen dem Revisionsvorbringen lässt der Umstand des Nicht(mehr)aufscheinens keine zwingenden Rückschlüsse auf die Bonität (Kreditwürdigkeit) des Betroffenen zu. Damit stellt das Nicht(mehr)aufscheinen aber auch kein personenbezogenes Datum im oben beschriebenen Sinn dar, weshalb durch die über ein partielles Löschungsbegehren hinausgehende gänzliche Löschung der Daten der zweitmitbeteiligten Partei nicht das Recht auf Geheimhaltung verletzt werden kann. Soweit allfällige wirtschaftliche Nachteile für den Betroffenen behauptet werden, führt dies für die hier maßgebliche datenschutzrechtliche Beurteilung zu keinem anderen Ergebnis.
28 5.Aus den dargelegten Gründen war die Revision gemäß § 42 Abs. 1 VwGG abzuweisen.
29Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 28. März 2023
Rückverweise
Keine Ergebnisse gefunden
RIS