Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, den Hofrat Dr. Mayr, die Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der C GmbH in W, vertreten durch Dr. Friedrich Gatscha, Rechtsanwalt in 1010 Wien, Stubenring 24, sowie die Diwok Hermann Petsche Rechtsanwälte LLP Co KG in 1010 Wien, Schottenring 25, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 9. Dezember 2019, Zl. W214 2221970 1/15E, betreffend Datenschutzbeschwerde wegen Verletzung im Recht auf Auskunft (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: C W in D, vertreten durch die Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in 6850 Dornbirn, Messestraße 11; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Die Revision wird als unbegründet abgewiesen.
Die Revisionswerberin hat dem Bund Aufwendungen in der Höhe von EUR 553,20 und der mitbeteiligten Partei Aufwendungen in der Höhe von EUR 1.106,40 jeweils binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
I.
1 1.Mit Bescheid der Datenschutzbehörde (belangte Behörde) vom 13. Mai 2019 wurde der Datenschutzbeschwerde der mitbeteiligten Partei teilweise Folge gegeben und festgestellt, dass die Revisionswerberin (als Betreiberin einer Kreditauskunftei gemäß § 152 GewO 1994) die mitbeteiligte Partei im Recht auf Auskunft verletzt habe, weil die Auskunft vom 6. August 2018 sowie die weitere Auskunft vom 20. November 2018 unvollständig gewesen seien (Spruchpunkt 1).
Die belangte Behörde trug der Revisionswerberin auf, der mitbeteiligten Partei innerhalb von vier Wochen bei sonstiger Exekution eine Reihe näher umschriebener Auskünfte zu erteilen (Spruchpunkt 2). In Hinblick auf „eine unvollständige Auskunft über die Empfänger oder Kategorien von Empfängern und über damit im Zusammenhang stehende Übermittlungen“ wurde die Datenschutzbeschwerde abgewiesen (Spruchpunkt 3).
Die Anträge der mitbeteiligten Partei auf Kostenersatz sowie auf Verhängung einer Geldbuße gegen die Revisionswerberin wurden zurückgewiesen (Spruchpunkte 4 und 5).
2 Die belangte Behörde führte zu den Spruchpunkten 3 und 4 begründend aus, dass die Revisionswerberin im Rahmen ihrer Auskunft vom 6. August 2018 mit der B GmbH und der P AG zwei konkrete Auskunftsempfänger, die Abfragen zur Identität und Bonität der mitbeteiligten Partei getätigt hätten, genannt habe. Die Richtigkeit und Vollständigkeit werde durch den Umstand indiziert, dass die B GmbH (wie von der mitbeteiligten Partei selbst vorgebracht) personenbezogene Daten der mitbeteiligten Partei („Score Wert“) von der Revisionswerberin abgefragt habe. Es sei der mitbeteiligten Partei somit möglich, ihre weiteren Betroffenenrechte zielgerichtet gegenüber diesen konkret genannten Empfängern auszuüben. Neben dem Auskunftsrecht über die konkreten Empfänger, den die Revisionswerberin erfüllt habe, sei diese Auskunft zu den weiteren Empfängerkategorien ausreichend; dies insbesondere deshalb, weil die Revisionswerberin nicht wissen könne, welche Stellen zukünftig Abfragen, die die Identität oder Bonität der mitbeteiligten Partei beträfen, tätigten. Die konkreten Empfänger stünden somit noch nicht fest.
3 2. Gegen die Spruchpunkte 3 und 4 erhob die mitbeteiligte Partei Beschwerde an das Bundesverwaltungsgericht.
4 3.1. Mit dem angefochtenen Erkenntnis vom 9. Dezember 2019 gab das Bundesverwaltungsgericht dieser Beschwerde insofern statt, als
- der Spruchpunkt 1 des angefochtenen Bescheides zu lauten habe:
„1. Der Beschwerde wird Folge gegeben und wird festgestellt, dass die [Revisionswerberin] die [mitbeteiligte Partei] dadurch im Recht auf Auskunft verletzt hat, indem die Auskunft vom 6. August 2018 sowie die weitere Auskunft vom 20. November 2018 unvollständig ist.“
- im Spruchpunkt 2 des angefochtenen Bescheides folgende lit. g angefügt werde:
„g) Der [Revisionswerberin] wird aufgetragen, binnen vier Wochen bei sonstiger Exekution der mitbeteiligten Partei Auskunft über den Inhalt der von ihr an die [B GmbH] und die [P AG] übermittelten Daten zu erteilen.“
- Spruchpunkt 3 des angefochtenen Bescheides entfalle und die Spruchpunkte 4 und 5 in die Spruchpunkte 3 und 4 unbenannt würden (Spruchpunkt 1).
Im Übrigen wies das Bundesverwaltungsgericht die Beschwerde ab (Spruchpunkt 2) und erklärte die Revision gemäß Art. 133 Abs. 4 B VG für zulässig.
5 3.2. In der Begründung stellte das Bundesverwaltungsgericht fest, dass die Revisionswerberin der mitbeteiligten Partei keine Auskunft über die an die beiden Auskunftsempfänger (B GmbH und P AG) übermittelten Daten erteilt habe. Die gegenständlich übermittelten Daten seien nach wie vor bei der Revisionswerberin gespeichert. Sie würden getrennt von der Identitäts- und Bonitätsdatenbank gesondert zu den jeweiligen Empfängern in einem Kundenarchiv in derselben Form, in der die Daten den Empfängern als Wirtschaftsauskunft elektronisch übermittelt worden seien, gespeichert.
6 In seinen rechtlichen Erwägungen führte das Bundesverwaltungsgericht aus, dass es die von der belangten Behörde zu Art. 15 Abs. 1 DSGVO vertretene Ansicht nicht teile, wonach die dortigen Bestimmungen gesondert zu lesen seien und dementsprechend die betroffene Person zwar ein Recht auf Auskunft über die verarbeiteten personenbezogenen Daten und die Empfänger bzw. Empfängerkategorien habe, nicht aber auf die Auskunft, welche personenbezogenen Daten an die Empfänger übermittelt worden seien.
Schon aus dem Wortlaut der Bestimmung und der Gesetzessystematik ergebe sich, dass Art. 15 Abs. 1 und Art. 15 Abs. 1 lit. c DSGVO zusammen zu lesen seien. Der Gerichtshof der Europäischen Union (EuGH) habe in seiner Rechtsprechung zur früheren (insoweit deckungsgleichen) Richtlinie 95/46/EG ausgesprochen, dass ein Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Basisdaten sowie auch über den Inhalt der übermittelten Daten bestehe.
7 Der Verantwortliche müsse vollständig darüber informieren, an wen er welche Daten bereits offengelegt habe oder noch offen zu legen plane. Die belangte Behörde übersehe zudem, dass es der mitbeteiligten Partei im vorliegenden Fall nicht mehr möglich gewesen sei, bei einem der Empfänger (der P AG) zu eruieren, welche Daten an diese übermittelt worden seien. Die Daten seien bei der P AG nämlich nicht mehr vorhanden. Somit bliebe der mitbeteiligten Partei nur die Möglichkeit, bei der Revisionswerberin Auskunft darüber zu begehren, welche Daten an die P AG übermittelt worden seien.
8 Die Revision gemäß Art. 133 Abs. 4 B VG sei zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhänge, der grundsätzliche Bedeutung zukomme. Es liege hinsichtlich der Frage, ob nach Art. 15 DSGVO auch Auskunft über den Inhalt der an die Empfänger übermittelten Daten zu erteilen sei, keine Rechtsprechung des Verwaltungsgerichtshofes vor.
9 4. Gegen Spruchpunkt 1 dieses Erkenntnisses richtet sich die vorliegende ordentliche Revision.
10 Im eingeleiteten Vorverfahren erstattete die belangte Behörde eine Revisionsbeantwortung, in der sie die kostenpflichtige Abweisung der Revision beantragt. In der Revisionsbeantwortung der mitbeteiligten Partei wird die kostenpflichtige Zurück , in eventu die Abweisung der Revision beantragt.
II.
Der Verwaltungsgerichtshof hat erwogen:
11 1.1. Die Revision verweist zur Begründung ihrer Zulässigkeit auf die vom Bundesverwaltungsgericht angeführte Rechtsfrage und streicht der „Vollständigkeit halber“ noch einmal hervor, dass zur gegenständlich strittigen Frage, ob das Recht auf Auskunft nach Art. 15 Abs. 1 lit. c DSGVO auch ein Recht auf Auskunft über den Inhalt der an Empfänger übermittelte Daten umfasse, keine Rechtsprechung existiere.
12 1.2. Die Revision ist in Hinblick auf die vom Bundesverwaltungsgericht und von der Revisionswerberin aufgeworfenen Rechtsfrage zulässig. Sie erweist sich aus nachstehenden Erwägungen jedoch als nicht berechtigt.
13 2.Art. 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung DSGVO), ABl. L 119 vom 4.5.2016, S. 1, lautet wie folgt:
„Artikel 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und zumindest in diesen Fällen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“
14 3. Im vorliegenden Fall hat das Bundesverwaltungsgericht der Revisionswerberin ergänzend zum Bescheid der belangten Behörde aufgetragen, der mitbeteiligten Partei Auskunft über den Inhalt der an die B GmbH und die P AG übermittelten Daten zu erteilen.
15 4. Dagegen wendet sich die Revisionswerberin und bringt vor, das angefochtene Erkenntnis sei mit inhaltlicher Rechtswidrigkeit belastet, weil es sich auf die unrichtige Rechtsansicht des Bundesverwaltungsgerichts stütze, Art. 15 Abs. 1 lit. c DSGVO begründe nicht nur ein Recht des Betroffenen, Auskunft über die Empfänger oder Kategorien von Empfängern zu erhalten, sondern auch Auskunft über den Inhalt der übermittelten Daten.
Weder aus der Wortlautinterpretation noch aus einer systematischen Betrachtung ergebe sich, dass auch über die offengelegten Daten Auskunft zu erteilen wäre. Das Recht, Auskunft über die verarbeiteten Daten zu erhalten, sei nach der Struktur des Art. 15 DSGVO unabhängig vom Recht, Auskunft über die Metainformationen der Datenverarbeitung zu erhalten. Dies ergebe sich aus dem Wortlaut des Art. 15 Abs. 1 DSGVO, wonach der Betroffene ein Recht auf Auskunft „und auf folgende Informationen“ habe, die in lit. a bis h taxativ aufgezählt würden.
16 Selbst wenn man die „personenbezogenen Daten“ in Art. 15 Abs. 1 lit. c DSGVO als Rückbezug auf Art. 15 Abs. 1 zweiter Halbsatz DSGVO interpretiere, lasse sich daraus dennoch nicht schließen, dass nach Art. 15 Abs. 1 lit. c DSGVO auch Auskunft über die übermittelten Daten zu erteilen wäre. Denn eine solche Bezugnahme auf die verarbeiteten Daten erfolge augenscheinlich ausschließlich dazu, um die offenzulegenden Empfänger zu konkretisieren.
Allerdings bestehe so die Revisionswerberin unter Bezugnahme auf näher bezeichnete Literaturmeinungen nach Art. 15 Abs. 1 lit. c DSGVO kein Recht, Auskunft über den konkreten Empfänger zu erhalten. Folglich ergebe sich aus dieser Bestimmung auch keine Pflicht, über die übermittelten Daten Auskunft zu leisten.
17 Die Revision beruft sich zudem auf die in der DSGVO verankerten Grundsätze der Datenminimierung und Speicherbegrenzung. Überspanne man das Auskunftsrecht zu einem Instrument der umfassenden (zeitlich unbeschränkten) Kontrolle der Rechtmäßigkeit der Verarbeitung, so führe dies zwangsläufig dazu, dass Verantwortliche keine Datenlöschung mehr vornehmen würden. Der Verantwortliche müsse eine Historie aller personenbezogener Daten vorhalten, obgleich er diese gar nicht mehr benötige. Das würde zu wahren „Datenfriedhöfen“ führen, die ausschließlich für allfällige Auskunftsbegehren vorgehalten werden müssten.
18 Schließlich würde eine weite Auslegung des Art. 15 Abs. 1 lit. c DSGVO, wonach der Verantwortliche nicht nur über die Empfänger oder Kategorien von Empfänger, sondern auch über die in der Vergangenheit übermittelten Daten Auskunft zu erteilen habe, sowohl das Grundrecht auf Datenschutz der Betroffenen nach Art. 8 GRC als auch das Grundrecht auf unternehmerische Freiheit nach Art. 16 GRC verletzen. Dass Unmengen zusätzlicher personenbezogener Daten vorgehalten werden müssten, wäre zwar im Interesse weniger Betroffener, die zu einem späteren Zeitpunkt Auskunft über die übermittelten Daten begehrten. Allerdings würden hierdurch die Interessen aller anderen Betroffenen erheblich beeinträchtigt.
19 5.1. Entgegen der Ansicht der Revision wird im Schrifttum der „Kerninhalt“ des Auskunftsrechts gemäß Art. 15 DSGVO darin gesehen, dass der Verantwortliche der betroffenen Person den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen hat (vgl. Jahnel , Kommentar zur Datenschutz Grundverordnung [2021] Art. 15 Rz. 18).
20 Auch der EuGH hat schon zum Auskunftsrecht nach der insoweit vergleichbaren Vorgängerbestimmung des Art. 12 lit. a der Richtlinie 95/46/EG (Datenschutzrichtlinie) ausgesprochen, dass die Mitgliedstaaten verpflichtet sind, ein Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Daten sowie den Inhalt der übermittelten Information vorzusehen (vgl. EuGH 7.5.2009, C 553/07, Rijkeboer , Rn. 70).
21 Damit hat der EuGH schon zur Datenschutzrichtlinie klargestellt, dass das Recht auf Auskunft auch den Inhalt der übermittelten Information umfasst, und dabei aber auch auf die (von der Revisionswerberin angesprochenen) Bedenken betreffend Datenminimierung und Speicherbegrenzung Bedacht genommen.
22 5.2. Was das von der Revision ebenfalls ins Treffen geführte Spannungsverhältnis zu anderen Grundrechten betrifft, ist auf das Urteil des EuGH vom 12. Jänner 2023 , C 154/21, Österreichische Post , zu verweisen. Darin räumt der EuGH zwar ein, dass das Recht auf Schutz der personenbezogenen Daten kein uneingeschränktes Recht ist, weil es in Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Grundsatzes der Verhältnismäßigkeit gegen andere Grundrechte abgewogen werden muss (Rn. 47).
Konkret in Bezug auf das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO weist der EuGH jedoch auf die Möglichkeit hin, dass der Verantwortliche gemäß Art. 12 Abs. 5 lit. b DSGVO im Einklang mit Art. 5 Abs. 2 sowie im 74. Erwägungsgrund dieser Verordnung niedergelegten Grundsatz der Rechenschaftspflicht sich weigern kann, auf Grund von Anträgen der betroffenen Person tätig zu werden, wenn es sich um offenkundig unbegründete oder exzessive Anträge handelt (Rn. 49).
Dass es sich im vorliegenden Fall um einen derartigen Antrag handeln würde, wird von der Revision nicht vorgebracht und ist auch nicht ersichtlich.
23 Auf das darüber hinaus erstattete Vorbringen zur Speicherbegrenzung muss fallbezogen nicht näher eingegangen werden, weil die Revisionswerberin der Feststellung des Bundesverwaltungsgerichts, wonach die Revisionswerberin bestätigt habe, die an die beiden Empfänger übermittelten Daten noch gespeichert zu haben, nicht entgegengetreten ist und eine Unmöglichkeit, diese Auskünfte zu erteilen, somit nicht ersichtlich ist (vgl. zur Unmöglichkeit, Informationen zu erteilen [dort in Bezug auf den Empfänger] erneut EuGH 12.1.2023, C 154/21, Österreichische Post , Rn. 48).
24 5.3. Im Urteil in der Rs. C154/21 (Rn. 41) hat der EuGH aber insbesondere auch ausgesprochen, dass die betroffene Person nach Art. 15 Abs. 1 lit. c DSGVO das Recht hat, von dem Verantwortlichen Informationen über die konkreten Empfänger zu verlangen, gegenüber denen betreffende personenbezogene Daten offengelegt worden sind oder noch offengelegt werden (siehe dazu auch das zwischenzeitlich im Folgeverfahren ergangene Urteil OGH 24.3.2023, 6 Ob 19/23x, wo das Begehren des Klägers auf Bekanntgabe der Empfänger seiner personenbezogenen Daten [und nicht bloß der Kategorien von Empfängern] als grundsätzlich berechtigt angesehen wurde).
25 Damit ist im vorliegenden Fall der Argumentation der Revision, dass sich aus Art. 15 Abs. 1 lit. c DSGVO keine Pflicht ergebe, über die übermittelten Daten Auskunft zu leisten, weil diese Bestimmung auch kein Recht vorsehe, Auskunft über den konkreten Empfänger zu erhalten, der Boden entzogen.
26 5.4. Zuletzt hat der EuGH im Urteil vom 4. Mai 2023, C 487/21, CRIF GmbH , noch einmal betont, dass die Ausübung des in Art. 15 DSGVO vorgesehenen Auskunftsrechts der betroffenen Person nicht nur ermöglichen muss, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob diese in zulässiger Weise verarbeitet werden. Dieses Auskunftsrecht ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung und ihr Recht auf Einschränkung der Verarbeitung sowie ihr Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr Recht auf Einlegung eines gerichtlichen Rechtsbehelfs auszuüben (Rn. 34 und 35, unter Verweis auf seine ständige Rechtsprechung, unter anderem auf das schon erwähnte Urteil EuGH in der Rs. C 154/21, wo wiederum auf das zur Datenschutzrichtlinie ergangene Urteil in der Rs. C 553/07 verwiesen wird).
27 5.5. Ausgehend davon ist der mit dem angefochtenen Erkenntnis des Bundesverwaltungsgerichts erteilte Auftrag an die Revisionswerberin, der mitbeteiligten Partei Auskunft über den Inhalt der an die B GmbH und die P AG übermittelten Daten zu erteilen, nicht als rechtswidrig zu erkennen.
28 6.Die Revision war daher gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.
29 Der Anregung der Revision, dem EuGH näher bezeichnete Frage zu Art. 15 Abs. 1 lit. c DSGVO vorzulegen, war angesichts der bereits vorliegenden Rechtsprechung des EuGH zu dieser Frage (siehe oben Rn. 20 bis 26) nicht näher zu treten.
30Der Ausspruch über den Aufwandersatz gründet sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 3. August 2023
Rückverweise
RIS