Betreff
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator und die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision des D M in P, vertreten durch die Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in 6850 Dornbirn, Messestraße 11, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 13. Juli 2021, Zl. W214 2219238-1/35E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; mitbeteiligte Partei: V GmbH in W, vertreten durch Mag. Heinz Templ, LL.M., Rechtsanwalt in 1020 Wien, Taborstraße 24a II Top 9; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Spruch
Die Revision wird als unbegründet abgewiesen.
Der Revisionswerber hat dem Bund Aufwendungen in der Höhe von 553,20 Euro und der mitbeteiligten Partei Aufwendungen in der Höhe von 1.106,40 Euro jeweils binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
1 1. Verfahrensgang laut Akteninhalt:
2 Der Revisionswerber stellte am 25. Mai 2018 einen Antrag auf Auskunft gemäß Art. 15 DSGVO an die mitbeteiligte Partei.
3 Nach Erhalt eines Antwortschreibens der Mitbeteiligten vom 14. Juni 2018 erhob der Revisionswerber am 4. Juli 2018 bei der belangten Behörde Datenschutzbeschwerde wegen unvollständiger Auskunftserteilung.
4 Im Rahmen des von der belangten Behörde eingeleiteten Verfahrens erteilte die Mitbeteiligte am 23. August 2018 eine ergänzende schriftliche Auskunft. Daraufhin erging seitens der belangten Behörde an den Revisionswerber am 6. Februar 2019 eine Aufforderung im Sinne des § 24 Abs. 6 DSG.
5 Dieser Aufforderung erwiderte der Revisionswerber in einem Schreiben vom 11. Februar 2019, die Dokumente, die seine personenbezogenen Daten enthalten würden, seien unvollständig übermittelt worden. Es seien ihm Kopien von 53 Dateien ohne weitere Erläuterung zugesandt worden. Zudem seien Gesundheitsdaten ohne seine explizite Einwilligung gespeichert worden, welche zu löschen seien.
6 Über Aufforderung der belangten Behörde vom 14. Februar 2019 gab die Mitbeteiligte bekannt, dass die gesundheitsbezogenen Daten des Revisionswerbers bereits gelöscht worden seien und diesbezüglich keine Verarbeitungstätigkeit mehr erfolge. Sämtliche vorhandenen Daten seien in einem gängigen Dateiformat dem Revisionswerber vollständig übermittelt worden. Deren Verwendungszweck decke sich vollständig mit den von der Mitbeteiligten bereits beauskunfteten Verarbeitungszwecken.
7 Nach einem zweiten Vorhalt gemäß § 24 Abs. 6 DSG übermittelte der Revisionswerber wiederum eine Stellungnahme, in welcher er vorbrachte, die Mitbeteiligte habe am 23. November 2017 die XY GmbH mit dem Inkasso einer offenen Rechnung vom 28. März 2017 beauftragt, was in der Auskunft nicht vorkomme.
8 2. Mit dem verfahrensgegenständlichen Bescheid vom 5. April 2019 wies die belangte Behörde die Beschwerde des Revisionswerbers ab. Begründend führte diese aus, die Mitbeteiligte habe mit ihren beiden Schreiben vom 14. Juni 2018 und 23. August 2018 sämtliche den Revisionswerber betreffenden, von ihr verarbeiteten Daten beauskunftet und entsprechende Kopien übermittelt. Zu dem vom Revisionswerber angesprochenen Inkasso sei diesem bereits im Schreiben vom 23. August 2018 Auskunft erteilt worden. Es seien keine Gründe vorhanden, die für eine nach wie vor unvollständige Auskunft sprechen würden, weshalb davon auszugehen sei, dass die Mitbeteiligte ihren Verpflichtungen gemäß Art. 15 DSGVO vollumfänglich nachgekommen sei. Die Beschwerde sei daher gemäß § 24 Abs. 5 DSG abzuweisen.
9 3. Mit dem verfahrensgegenständlichen Erkenntnis der unter einem vom Bundesverwaltungsgericht gefasste Beschluss betreffend die Zurückweisung eines Antrages auf Unterbrechung blieb unangefochten und ist daher nicht Gegenstand des Revisionsverfahrens wies das Bundesverwaltungsgericht die Beschwerde des Revisionswerbers nach Durchführung einer öffentlichen Verhandlung ab.
10 Die Revision erklärte das Bundesverwaltungsgericht für zulässig.
11 3.1. In seiner Begründung traf das Bundesverwaltungsgericht zunächst detaillierte Feststellungen über den Inhalt der Auskunft, welche dem Revisionswerber am 14. Juni 2018 erteilt worden sei. Ferner sei dem Revisionswerber von der mitbeteiligten Partei im Rahmen des behördlichen Verfahrens mit Schreiben vom 23. August 2018 mitgeteilt worden, dass die Mitbeteiligte keinen Webshop betreibe. Eine Verarbeitung der Daten des Revisionswerbers in einem Webshop sei nicht erfolgt. Ferner seien dem Revisionswerber vier konkrete Empfänger seiner Daten darunter die XY GmbH , sowie Datum und Grund der Weitergabe seiner Daten genannt worden. Eine Weitergabe der Gesundheitsdaten des Revisionswerbers sei nicht erfolgt. Ferner sei mitgeteilt worden, dass keine Verarbeitung der personenbezogenen Daten zu Zwecken der Produktinformation erfolgt sei, und es seien dem Revisionswerber Kopien von 53 bei der mitbeteiligten Partei gespeicherten Dokumenten übermittelt worden. In diesem Zusammenhang sei darauf hingewiesen worden, dass es sich um sämtliche bei der mitbeteiligten Partei gespeicherten Dokumente handle, welche personenbezogene Daten des Revisionswerbers enthalten würden. Die den Revisionswerber betreffenden Originalrechnungen würden von der Mitbeteiligten ungeordnet in Kisten aufbewahrt werden.
12 Ferner stellte das Bundesverwaltungsgericht fest, die Mitbeteiligte sei aus der Verschmelzung zweier Gesellschaften hervorgegangen. Im Zuge dieser Unternehmensverschmelzung seien die aus Sicht der Mitbeteiligten relevanten Daten im Zeitraum zwischen 5. Dezember 2017 und 11. Dezember 2017 zusammengeführt worden. Zum Zeitpunkt der Auskunftserteilung an den Revisionswerber sei die Verschmelzung in technischer Hinsicht abgeschlossen gewesen. Die Mitbeteiligte verarbeite weder Bankdaten noch sonstige über die bereits beauskunfteten Daten hinausgehende personenbezogene Daten des Revisionswerbers. Eine bestimmte Rechnung vom 28. März 2017 sei dem Revisionswerber weder über seinen Namen noch über eine ID Nummer zugeordnet. Im Übrigen habe der Revisionswerber von diesen konkreten Rechnungsdaten inzwischen auch Kenntnis erlangt. In analogen Dateien würden keine personenbezogenen Daten verarbeitet. Dem Revisionswerber seien sämtliche über ihn vorhandene personenbezogene Daten, mit Ausnahme der Rechnungsdaten, die unter der Seriennummer verarbeitet würden, bereits während des Verfahrens vor der belangten Behörde beauskunftet worden. Die Rechnungsdaten der Rechnung vom 28. März 2017 seien dem Revisionswerber im Verfahren vor dem Bundesverwaltungsgericht zugekommen.
13 3.2. In rechtlicher Hinsicht folgerte das Bundesverwaltungsgericht aus den Feststellungen, dass dem Revisionswerber sämtliche Auskünfte seine personenbezogenen Daten betreffend, wenngleich teilweise verspätet, erteilt worden seien. Die Rechtsverletzung der unvollständigen Auskunftserteilung sei im Sinne des § 24 Abs. 6 DSG daher nachträglich beseitigt worden. Die Mitbeteiligte habe auch die Zwecke der Datenverarbeitungen beauskunftet. Selbst jene Rechnungsdaten, die lediglich unter einer Seriennummer verarbeitet würden, seien dem Revisionswerber im Verfahren vor dem Bundesverwaltungsgericht offengelegt worden. Selbst wenn man die Meinung vertrete, diese im System als „Aktivität“ verarbeiteten Daten würden personenbezogene Daten des Revisionswerbers darstellen, weil diese anhand seiner Korrespondenzen über die Seriennummer auf ihn zurückgeführt werden könnten, sei diesbezüglich keine Beschwer des Beschwerdeführers mehr gegeben. Übrige Rechnungen fänden sich nur in unstrukturierter Form in einer Kiste abgelegt, sodass in diesem Zusammenhang kein Dateisystem im Sinne des Art. 40 Abs. 6 DSGVO vorliege. Diese Rechnungen seien somit kein Gegenstand der Auskunftserteilung im Sinne des Art. 15 DSGVO. Die Mitbeteiligte habe jedoch sogar über diese Dokumente Auskunft erteilt.
14 Zusammenfassend liege dem Revisionswerber eine vollständige Auskunft über die ihn betreffenden Daten bei der mitbeteiligten Partei vor. Nach der Rechtsprechung des Verwaltungsgerichtshofs, die auf die geltende Rechtslage übertragbar sei, komme dem Revisionswerber kein Recht auf Feststellung über eine allfällige in der Vergangenheit erfolgte Verletzung des Auskunftsrechts zu. Die Prüfbefugnis des Bundesverwaltungsgerichts sei in der verfahrensgegenständlichen Angelegenheit auf die monierte Verletzung des Rechts auf Auskunft durch Unvollständigkeit der Auskunftserteilung beschränkt. Gemäß § 24 Abs. 6 DSG habe der Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die Möglichkeit, die behauptete Rechtsverletzung nachträglich zu beseitigen, indem er den Anträgen des jeweiligen Beschwerdeführers entspreche. Daraus ergebe sich, dass § 24 DSG betroffenen Personen ein Recht einräumen solle, etwaige Verletzungen von Rechten, die ihnen aus der DSGVO erwachsen würden, durchzusetzen. Im Falle, dass Rechtsverletzungen zum Zeitpunkt der Entscheidung der Datenschutzbehörde nicht mehr bestünden, sei vorgesehen, das Verfahren formlos einzustellen. Die DSGVO, in deren Anwendungsbereich betroffene Personen Beschwerden gemäß § 24 DSG erheben könnten, spreche nicht gegen diese Interpretation. Art. 77 DSGVO, auf welchem die gegenständliche Beschwerde letztlich gründe, spreche davon, dass betroffene Personen das Recht auf Beschwerde bei einer Aufsichtsbehörde hätten, wenn sie der Ansicht seien, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstoße. Dem entspreche sinngemäß die Formulierung des § 24 Abs. 1 DSG. Dies bedinge, dass eine in der Vergangenheit stattgefundene Rechtsverletzung nicht vollständig beseitigt wurde oder beseitigt werden konnte, sondern in „irgendeiner Form“ fortwirke. Nach Erwägungsgrund 63 der DSGVO solle das Auskunftsrecht dazu dienen, betroffenen Personen zu ermöglichen, sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu sein und ihre Rechtmäßigkeit zu überprüfen. Für die Erreichung dieses Zieles sei es für die betroffenen Personen nicht erforderlich, Rechtsverletzungen, die zwischenzeitlich behoben worden seien, mit Bescheid feststellen zu lassen.
15 Die Revision sei im vorliegenden Fall zulässig, weil Rechtsprechung des Verwaltungsgerichtshofes zur Frage fehle, ob § 24 DSG im Anwendungsbereich der DSGVO der betroffenen Person das Recht auf Feststellung einer Verletzung des Rechts auf Auskunft einräume, wenn eine Auskunft während des Beschwerdeverfahrens vor der Datenschutzbehörde erteilt worden sei.
16 4. Gegen dieses Erkenntnis richtet sich die ordentliche Revision des vor der belangten Behörde als Beschwerdeführer aufgetretenen Revisionswerbers.
17 Die belangte Behörde und die Mitbeteiligte erstatteten jeweils eine Revisionsbeantwortung.
5. Der Verwaltungsgerichtshof hat erwogen:
18 5.1. Die Revision verweist auf die Zulässigkeitsbegründung des Bundesverwaltungsgerichts und auf das Fehlen von Rechtsprechung des Verwaltungsgerichtshofs zur Anwendbarkeit der Bestimmungen des § 24 Abs. 6 DSG im Anwendungsbereich der DSGVO. Die Revision ist bereits auf Grund dieses Vorbringens zulässig, im Ergebnis jedoch nicht berechtigt.
19 5.2. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung DSGVO), ABl. L 119 vom 4.5.2016, S. 1, lauten wie folgt:
„Allgemeine Bestimmungen
(...)
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
(...)
4. ‚Profiling‘ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
(...)
6. ‚Dateisystem‘ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
(...)
Transparenz und Modalitäten
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder insbesondere im Fall von häufiger Wiederholung exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
b) sich weigern, aufgrund des Antrags tätig zu werden.
Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.
(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.
Abschnitt 2
Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten
(...)
Artikel 15
Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und zumindest in diesen Fällen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.
(...)
KAPITEL VIII
Rechtsbehelfe, Haftung und Sanktionen
Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“
20 Die maßgebliche Bestimmung des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017, lautet wie folgt:
„3. Abschnitt
Rechtsbehelfe, Haftung und Sanktionen
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.
(...)“
21 5.3. Vorauszuschicken ist, dass die Revision nicht in Abrede stellt, die Auskunft sei entgegen den Schlussfolgerungen im angefochtenen Erkenntnis vollständig erteilt worden. Sie wendet sich auch nicht gegen die Feststellung, dem Revisionswerber sei bereits im Verfahren vor der belangten Behörde über sämtliche ihn betreffenden personenbezogenen Daten Auskunft erteilt worden.
22 Zu ergänzen ist, dass das Bundesverwaltungsgericht insofern unbekämpft die Sachverhaltsfeststellung getroffen hat, dass die Rechnungsdaten der Rechnung vom 28. März 2017, die lediglich unter der Seriennummer verarbeitet worden seien, dem Revisionswerber im Verfahren vor dem Bundesverwaltungsgericht zugekommen seien. Diese Daten seien den Feststellungen zufolge dem Revisionswerber weder namentlich noch über eine ID Nummer zugeordnet gewesen. Diese Daten sind daher ausgehend von den erwähnten Feststellungen nicht als den Revisionswerber betreffende personenbezogene Daten im Sinne des Art. 4 Z 1 DSGVO anzusehen, weil sie ihm den Feststellungen zufolge weder über seinen Namen noch über eine Kennnummer zugeordnet waren und sich demzufolge weder direkt noch indirekt auf die Person des Revisionswerbers beziehen (angefochtenes Erkenntnis S. 14). Vor diesem Hintergrund ist für die weiteren Überlegungen davon auszugehen, dass dem Revisionswerber sämtliche personenbezogene Daten im Verfahren vor der belangten Behörde zugekommen sind.
23 5.4.1. Die Revision führt weitwendig aus, Einschränkungen des in Art. 77 DSGVO geregelten Beschwerderechts betroffene Personen durch nationale Regelungen seien unzulässig. Es sei bei der Anwendung der Bestimmungen des § 24 Abs. 6 DSG eine genaue Prüfung vorzunehmen, ob und inwiefern diese Bestimmung eine Einschränkung des in Art. 77 DSGVO in Verbindung mit Art. 57 Abs. 1 lit. f DSGVO geregelten Beschwerderechts betroffener Personen bewirke und ob diese Bestimmung gegebenenfalls (teilweise) unangewendet zu bleiben habe, um dem europarechtlichen Effektivitätsgrundsatz zu entsprechen. § 24 Abs. 6 DSG weise eine große praktische Relevanz auf. In der Praxis würden viele Beschwerden keine inhaltliche Erledigung erfahren, sondern nach einer nachträglich erfolgten Auskunftserteilung eingestellt werden. Im Übrigen werde die Bestimmung des § 24 Abs. 6 DSG auch auf Verfahren wegen Verletzung der in Art. 13 und 14 DSGVO geregelten Informationspflichten analog angewendet.
24 Der Hauptzweck der Regelung des § 24 Abs. 6 DSG seien verfahrensökonomische Überlegungen des Gesetzgebers gewesen. Die aktuelle Praxis der belangten Behörde als auch des Bundesverwaltungsgerichts würde bei der Anwendung der Bestimmung des § 24 Abs. 6 DSG über den ursprünglich vom Gesetzgeber intendierten Zweck, Beschwerdeverfahren nicht durch Bescheid beenden zu müssen, hinausgehen. Aus dem Datenschutzbericht 2020 der belangten Behörde ergebe sich, dass mehr als ein Drittel aller erledigten Individualbeschwerdeverfahren durch Verfahrenseinstellung beendet würden. Dies entspreche auch der Erfahrung des Revisionswerbervertreters. Eine vergleichbare Übersicht über die Entscheidungspraxis des Bundesverwaltungsgerichts liege dem Revisionswerber nicht vor. Eine verfahrensökonomische Erledigung im Sinne des Gesetzgebers werde dennoch in vielen Fällen nicht erreicht. So habe das verfahrensgegenständliche Verfahren betreffend die Beschwerde des Revisionswerbers mehr als drei Jahre gedauert. Das Bundesverwaltungsgericht habe letztlich durch die Erlassung des angefochtenen Erkenntnisses meritorisch über die Beschwerde des Revisionswerbers entschieden, sodass sich verfahrensökonomische Vorteile im gegenständlichen Verfahren durch die Anwendung von § 24 Abs. 6 DSG nicht ergeben hätten.
25 5.4.2. Diese oben zusammengefasst wiedergegebenen Ausführungen beziehen sich auf die in § 24 Abs. 6 DSG vorgesehene Möglichkeit einer formlosen Einstellung des Verfahrens nach Anhörung des Beschwerdeführers, sofern der Datenschutzbehörde infolge einer Entsprechung der Anträge des Beschwerdeführers durch den Beschwerdegegner die Beschwerde als gegenstandslos erscheine. Fallbezogen ist es jedoch gerade nicht zu einer Einstellung des Beschwerdeverfahrens gekommen. Vielmehr hat die belangte Behörde meritorisch durch Abweisung der Beschwerde entschieden. Auch im Beschwerdeverfahren vor dem Bundesverwaltungsgericht wurde eine meritorische Entscheidung getroffen. Auf die von der Revision ausgebreiteten Argumente betreffend die Unanwendbarkeit der formlosen Einstellung gemäß § 24 Abs. 6 DSG im Anwendungsbereich der DSGVO ist vor diesem Hintergrund fallbezogen nicht einzugehen. Zur Lösung abstrakter Rechtsfragen ist der Verwaltungsgerichtshof nämlich nicht berufen (vgl. etwa VwGH 3.1.2023, Ra 2022/02/0223, mwN).
26 5.5. Die Revision wendet sich ferner gegen die Ansicht, dass bei Erteilung einer vollständigen Auskunft die Beschwer des Revisionswerbers entfalle und kein weitergehendes Interesse an der Feststellung der ursprünglichen Rechtsverletzung bestehe. Vor dem Hintergrund der Rechtsprechung zu immateriellem Schadenersatz im Falle einer ursprünglich unvollständigen und verspäteten Auskunftserteilung sei dies nicht haltbar.
27 5.5.1. Dem ist Folgendes zu entgegnen:
28 Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten (ua.) gegen die DSGVO verstößt. Gemäß § 24 Abs. 2 Z 5 DSG hat die Beschwerde das Begehren zu enthalten, die behauptete Rechtsverletzung festzustellen. Soweit sich eine Beschwerde als berechtigt erweist, ist ihr nach § 24 Abs. 5 erster Satz DSG Folge zu geben. Das Gesetz sieht demnach als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß § 24 Abs. 5 DSG Folge zu geben ist, sofern sie sich als berechtigt erweist. Ferner hat der Verwaltungsgerichtshof mit näherer Begründung festgehalten, dass § 24 DSG der in ihrem persönlichen Recht verletzten Person die Möglichkeit einräumt, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen (vgl. VwGH 19.10.2022, Ro 2022/04/0001).
29 In dem eben erwähnten Erkenntnis Ro 2022/04/0001 hat der Verwaltungsgerichtshof zur Frage der Erfüllung der datenschutzrechtlichen Begehren eines Antragstellers unter Hinweis auf frühere Rechtsprechung Folgendes festgehalten:
„Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.
(...)
Der Verfassungsgerichtshof hat in seinem Erkenntnis VfGH 26.6.1991, B 811/89, festgehalten, die wegen behaupteter Verletzung der Rechte auf Richtigstellung oder auf Löschung erhobene Datenschutzbeschwerde habe ausschließlich zum Ziel, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der (damals noch) Datenschutzkommission und ihre ‚Vollstreckung‘ zur Durchsetzung des Rechts auf Richtigstellung oder auf Löschung zu verhelfen. Sei die Richtigstellung oder Löschung durchgeführt (bzw. veranlasst) worden, sei die Möglichkeit der Verletzung der durch § 1 Abs. 4 DSG 2000 eingeräumten subjektiven Rechte nicht mehr gegeben. Eine meritorische Entscheidung wegen Verletzung dieser Rechte komme nur dann und solange in Betracht, als die angestrebte Richtigstellung oder Löschung noch nicht durchgeführt (bzw. veranlasst) worden sei.
Unter Bezugnahme auf dieses Erkenntnis hat der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 28.3.2006, 2004/06/0125, die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber (infolge der wenn auch verspätet ergangenen Mitteilung) nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint. Der Verwaltungsgerichtshof hat darin betont, dass die Mitteilung über die Löschung auf die Erbringung einer Leistung gegenüber dem Rechtsunterworfenen ausgerichtet ist. Es entspricht so der Verwaltungsgerichtshof weiter einem effektiven Rechtsschutz, wenn im Fall der Gewährleistung eines bestimmten Verwaltungshandelns (wie die Löschung oder die Mitteilung darüber) entsprechende Rechtsmittel zur Erreichung dieses Verwaltungshandelns bestehen. (...)“
30 Die in dieser Rechtsprechung vertretene Auffassung, dass die Feststellung einer Verletzung in seinen Rechten zugunsten eines Beschwerdeführers, der das Feststellungsbegehren auf die Nichterfüllung einer datenschutzrechtlich gebotenen Verpflichtung zu einer bestimmten Leistung (Auskunft, Richtigstellung, Löschung) stützt, nicht mehr in Frage kommt, wenn der Beschwerdegegner dem Leistungsbegehren nachgekommen ist, korrespondiert mit der Rechtsprechung des Obersten Gerichtshofs, wonach bei Erfüllung des Auskunftsbegehrens durch die Beklagte während des laufenden Zivilverfahrens nicht erkennbar sei, worin das rechtliche Interesse des Klägers an der klageweise begehrten Feststellung des Auskunftsrechts bestehe, weshalb das Klagebegehren auf Feststellung des Rechts auf Auskunftserteilung abzuweisen sei (vgl. OGH 18.2.2021, 6 Ob 127/20z).
31 5.5.2. Dem steht die DSGVO nicht entgegen: Die Bestimmungen der DSGVO verlangen selbst ausdrücklich keine Feststellung einer Rechtsverletzung (s. dazu die Auflistung der Befugnisse in Art. 58 Abs. 1 bis 3 DSGVO). Entgegen den Ausführungen in der Revision geht dies weder aus Art. 77 DSGVO hervor, der das Recht einer Beschwerde der betroffenen Person vor einer Aufsichtsbehörde statuiert, noch ordnet dies Art. 15 DSGVO an, der das Recht auf Auskunft regelt. Im Gegenteil obliegt die Regelung des Verfahrensrechts in Zusammenhang mit der DSGVO den Mitgliedstaaten (s. insbes. hinsichtlich der Ausübung der Befugnisse der Aufsichtsbehörde Art. 58 Abs. 4 DSGVO).
32 Zu den Anforderungen an die verfahrensrechtliche Ausgestaltung der von der DSGVO geforderten Rechtsbehelfe betroffener Personen führte der EuGH in seinem Urteil vom 12. Jänner 2023, C‑132/21, Nemzeti Adatvedelmi és Információsabdság Hatóság Folgendes aus:
„45 Mangels einer einschlägigen Unionsregelung ist es nach dem Grundsatz der Verfahrensautonomie der Mitgliedstaaten Sache der einzelnen Mitgliedstaaten, die Modalitäten für das Verwaltungsverfahren und das Gerichtsverfahren zu regeln, die ein hohes Schutzniveau der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen.
46 Daher hat das vorlegende Gericht auf der Grundlage der nationalen Verfahrensvorschriften zu bestimmen, wie die von der Verordnung 2016/679 vorgesehenen Rechtsbehelfe in einem Fall wie dem im Ausgangsverfahren in Rede stehenden durchzuführen sind.
47 Allerdings dürfen die Modalitäten der Durchführung dieser nebeneinander bestehenden und voneinander unabhängigen Rechtsbehelfe die praktische Wirksamkeit und den wirksamen Schutz der durch diese Verordnung garantierten Rechte nicht in Frage stellen.
48 Diese Modalitäten dürfen nämlich nicht weniger günstig ausgestaltet sein als die für entsprechende innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die Unionsrechtsordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität) (vgl. in diesem Sinne Urteil vom 14. Juli 2022, EPIC Financial Consulting, C‑274/21 und C‑275/21, EU:C:2022:565, Rn. 73 und die dort angeführte Rechtsprechung).“
33 Die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität bilden somit der eben zitierten Rechtsprechung des EuGH zufolge den Maßstab für die innerstaatliche Ausgestaltung der Rechtsbehelfe der DSGVO, deren Ausgestaltung grundsätzlich den Mitgliedstaaten obliegt.
34 Erwägungsgrund 63 DSGVO lautet wie folgt:
„(63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.“
35 Nach diesem Erwägungsgrund muss der auf das Auskunftsrecht bezogene Rechtsschutz dem Betroffenen die Durchsetzung des Rechts ermöglichen, zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Entsprechend der oben wiedergegebenen Rechtsprechung des EuGH haben die nationalen verfahrensrechtlichen Vorschriften dem Betroffenen effektiven Rechtsschutz zur Erreichung dieser Ziele zu bieten.
36 Es ist jedoch nicht ersichtlich, inwiefern es vor diesem Hintergrund erforderlich wäre, dem Betroffenen für den Fall, dass seinem Auskunftsbegehren während des laufenden Verfahrens vor der belangten Behörde zur Gänze nachgekommen wird, eine Feststellung betreffend die zwischenzeitig beseitigte Rechtsverletzung zuzugestehen. Ist das Rechtsschutzbegehren auf die Erlangung einer bestimmten Leistung gerichtet, die zum Entscheidungszeitpunkt als vom Verpflichteten erfüllt anzusehen ist, ist vielmehr davon auszugehen, dass der Betroffene sein Rechtsschutzziel erreicht hat.
37 Einem allfälligen Schadenersatzanspruch wegen der verspäteten Erteilung der Auskunft steht dies nicht entgegen, weil die Frage der Verspätung in dem Verfahren über das Begehren auf Auskunftserteilung selbst nicht geklärt wird. Eine Feststellung der Aufsichtsbehörde betreffend die verspätete Auskunftserteilung ist auch nicht Voraussetzung für eine Schadenersatzklage vor den Zivilgerichten, sodass die betroffene Person an der Verfolgung ihrer Ansprüche nicht gehindert ist. Eine wie von der Revision vorgebracht „entscheidende Erleichterung“ bei der Geltendmachung weiterer Ansprüche vermag kein rechtliches Interesse an einem Feststellungsbescheid zu begründen.
38 5.6. Die Revision vermeint ferner, es liege ein wesentlicher Verfahrensmangel vor, weil die Beschwerde des Revisionswerbers abgewiesen wurde. Dies impliziere, dass die Beschwerde des Revisionswerbers bereits ursprünglich unberechtigt gewesen sei. Jedoch habe der Revisionswerberin erst im Laufe des Verfahrens vor der belangten Behörde bzw. vor dem Bundesverwaltungsgericht vollständig Auskunft erhalten. Das Bundesverwaltungsgericht hätte aufgrund der Schlussfolgerung, dass dem Revisionswerber erst im Verfahren vor der belangten Behörde vollständig Auskunft erteilt worden sei, weshalb von einer „nachträglichen Beseitigung“ der ursprünglichen Rechtsverletzung auszugehen sei, unter Anwendung des § 24 Abs. 6 DSG mit Einstellung des Beschwerdeverfahrens vorgehen müssen.
39 5.6.1. Dem ist Folgendes zu erwidern:
§ 24 Abs. 6 DSG sieht eine formlose Einstellung des Verfahrens vor der belangten Behörde nur für die Fälle vor, dass der Datenschutzbehörde die Beschwerde wegen der Entsprechung der Anträge des Beschwerdeführers als gegenstandslos erscheint, und der Beschwerdeführer nach Abführung des in § 24 Abs. 6 DSG näher geregelten Anhörungsverfahrens nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Inwiefern nun diese Bestimmung fallbezogen vor dem Hintergrund zur Anwendung gelangen hätte sollen, dass der Revisionswerber sein Vorbringen, ihm sei nach wie vor nicht vollständig Auskunft erteilt worden, ja auch noch im Beschwerdeverfahren aufrechterhalten hat, ist nicht nachvollziehbar.
40 Lediglich hinzuweisen ist darauf, dass das Bundesverwaltungsgericht entgegen den Ausführungen in der Revision, die Beschwerde nicht „abgelehnt“ hat.
41 5.7. Die Revision bringt ferner vor, die in § 27 Abs. 1 DSG vorgesehene Möglichkeit der Beschwerdeerhebung stelle „formal“ einen den Vorgaben des Art. 78 DSGVO entsprechenden Rechtsbehelf dar, jedoch sei fraglich, ob ein solcher wirksam im Sinne des Art. 47 GRC sei, wenn das Bundesverwaltungsgericht im Ergebnis „die (ursprünglich berechtigte) Beschwerde des Revisionswerbers abweisen und von einer Feststellung dieser (ursprünglichen) Rechtsverletzung absehen kann“.
42 Mit der Beschwerde an das Bundesverwaltungsgericht stand dem Revisionswerber der Zugang zu einem Gericht im Sinne des Art. 47 GRC offen, das über seinen datenschutzrechtlichen Antrag mit voller Kognitionsbefugnis in tatsächlicher und rechtlicher Hinsicht entscheiden konnte. Gegen dessen Erkenntnis kann sowohl der Verfassungsgerichtshof mit der Behauptung der Verletzung eines verfassungsgesetzlich gewährleisteten Rechts, sohin auch eines Rechts nach der EMRK, als auch der Verwaltungsgerichtshof bei Vorliegen einer Rechtsfrage von grundsätzlicher Bedeutung gemäß Art. 133 Abs. 4 B VG angerufen werden, wozu auch Fragen der Einhaltung des einschlägigen Unionsrechts gehören. Der Revisionswerber verfügt daher auch über einen Rechtsweg, der die Wahrung der ihm durch das Unionsrecht verliehenen Rechte gewährleistet und auf dem er eine Gerichtsentscheidung erwirken kann, mit der die allfällige Unvereinbarkeit einer fraglichen Regelung mit dem Unionsrecht festgestellt wird. Ein solcher Rechtsschutz steht mit Art. 47 GRC ersichtlich nicht in Widerspruch (vgl. VwGH 14.9.2016, Ra 2016/18/0081, mit Verweis auf EGMR vom 10. Mai 2012, A.L. gegen Österreich, Nr. 7788/11, RNr. 73; VfSlg. Nr. 18.222/2007, EuGH vom 28. Juli 2011, C 69/10, Samba Diouf , RNr. 54 mit Hinweis auf EuGH vom 11. September 2003, C-13/01, Safalero ). Die Wirksamkeit eines Rechtsbehelfs im Sinne des Art. 47 GRC kann jedoch nicht wie von der Revision insinuiert daran gemessen werden kann, ob im Einzelfall der Beschwerdeführer vor dem Bundesverwaltungsgericht Recht bekommen hat oder nicht.
43 5.8. Die Verweise der Revision auf divergierende Entscheidungen des Bundesverwaltungsgerichts gehen schon deshalb ins Leere, als diese jeweils in einem Säumnisbeschwerdeverfahren ergingen, was hier nicht der Fall war, bzw. die Kontrolle der richtigen Anwendung des § 24 Abs. 6 DSG durch die Datenschutzbehörde selbst betrafen.
44 5.9. Die Revision war aus den oben dargestellten Gründen abzuweisen.
45 Der Ausspruch über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2014.
Wien, am 6. März 2024