Ro 2021/04/0030 – Verwaltungsgerichtshof (VwGH) Entscheidung

Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Kleiser, Hofrat Dr. Mayr, Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revisionen 1. der Datenschutzbehörde (protokolliert zu Ro 2021/04/0030) und 2. der C GmbH in W, vertreten durch die Baker McKenzie Rechtsanwälte LLP Co KG in 1010 Wien, Schottenring 25 (protokolliert zu Ro 2021/04/0031), gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 9. August 2021, W211 2222613 2/11E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde [in dem zu Ro 2021/04/0031 protokollierten Verfahren]: Datenschutzbehörde; mitbeteiligte Parteien: 1. Dipl. Ing. F F in M, 2. [in dem zu Ro 2021/04/0030 protokollierten Verfahren] C GmbH in W, vertreten wiederum durch die Baker McKenzie Rechtsanwälte LLP Co KG; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:

Die Spruchpunkte A)I.1. und A)I.2. des angefochtenen Erkenntnisses werden aufgrund der Revision der Zweitrevisionswerberin wegen Rechtswidrigkeit des Inhaltes aufgehoben.

Spruchpunkt A)III.2. des angefochtenen Erkenntnisses wird aufgrund der Revision der Erstrevisionswerberin wegen Rechtswidrigkeit des Inhaltes aufgehoben.

Im Übrigen, somit hinsichtlich der Spruchpunkte A)II. und A)III.1. des angefochtenen Erkenntnisses, werden die Revisionen als unbegründet abgewiesen.

Der Antrag des (Erst)Mitbeteiligten in der Revisionsbeantwortung, in Bezug auf Spruchpunkt A)II. des angefochtenen Erkenntnisses in der Sache selbst zu entscheiden, wird zurückgewiesen.

Der Bund hat der Zweitrevisionswerberin Aufwendungen in der Höhe von € 1.346,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.

I.

1 1. Der (Erst)Mitbeteiligte (im Folgenden Mitbeteiligter) ersuchte die C GmbH (Betreiberin einer Identitäts- und Bonitätsdatenbank, im Folgenden Zweitrevisionswerberin) mit Schreiben vom 28. Dezember 2018 um näher umschriebene Auskünfte betreffend die von der Zweitrevisionswerberin über ihn verarbeiteten personenbezogenen Daten. Die Zweitrevisionswerberin erteilte daraufhin mit Schreiben vom 31. Dezember 2018 gewisse Auskünfte. Darin wurde unter anderem angeführt, dass ein konkret bezeichnetes Unternehmen (E AG) am 8. November 2018 eine Abfrage zur Identität und Bonität des Mitbeteiligten vorgenommen habe.

2 Mit Schreiben vom 16. Jänner 2019 erhob der Mitbeteiligte bei der Datenschutzbehörde (DSB, belangte Behörde, Erstrevisionswerberin) eine auf Art. 77 Datenschutz Grundverordnung (DSGVO) und § 24 Datenschutzgesetz (DSG) gestützte Datenschutzbeschwerde. Darin monierte er, die Auskunft der Zweitrevisionswerberin sei hinsichtlich näher bezeichneter Aspekte (Herkunft der Daten, Speicherdauer, Verarbeitungszwecke, fehlende Kopie) unzureichend gewesen, wodurch er in seinem Recht auf Auskunft nach Art. 15 DSGVO verletzt worden sei, und die Zweitrevisionswerberin habe gegen die Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO) sowie (hinsichtlich der Übermittlung seiner Daten an einen Dritten) gegen die Informationspflicht gemäß Art. 14 DSGVO verstoßen.

3 Mit Schreiben vom 18. März 2019 nahm die Zweitrevisionswerberin über Vorhalt der DSB zu dieser Datenschutzbeschwerde Stellung und ergänzte die erteilte Auskunft hinsichtlich einzelner Punkte (insbesondere zur Herkunft der Daten und zur Speicherdauer). Der Mitbeteiligte gab in einem als Reaktion darauf erstatteten Schreiben vom 19. März 2019 im Zusammenhang mit den geltend gemachten Verstößen gegen die Grundsätze der Datenminimierung und der Vertraulichkeit an, er stütze seine Datenschutzbeschwerde auch auf § 1 Abs. 1 DSG bzw. das Recht auf Geheimhaltung.

4 2. Mit Bescheid vom 11. September 2019 wies die belangte Behörde die Datenschutzbeschwerde „wegen Verstoßes gegen das Auskunftsrecht“ (Spruchpunkt 1.) sowie „wegen Verstoßes gegen die Informationspflichten gemäß Art. 14 DSGVO“ (Spruchpunkt 2.) ab und „wegen Verletzung im Recht auf Geheimhaltung aufgrund eines Verstoßes gegen die Datenminimierungspflicht sowie aufgrund eines Verstoßes gegen die Datensicherungspflichten“ zurück (Spruchpunkt 3.).

5 Die belangte Behörde hielt auf das Wesentliche zusammengefasst Folgendes fest: Die Auskunft der Zweitrevisionswerberin sei angesichts der ergänzenden Stellungnahme vom 18. März 2019 hinreichend gewesen. Zur Erfüllung der Informationspflichten sei es ausreichend, wenn die Informationen öffentlich (zB auf einer Website) zugänglich seien. Die (in der Stellungnahme vom 19. März 2019 erstmals erfolgte) Berufung auf § 1 Abs. 1 DSG bzw. die damit erfolgte Geltendmachung einer Verletzung im Recht auf Geheimhaltung stelle eine (im Hinblick auf § 13 Abs. 8 AVG) unzulässige wesentliche Änderung der Sache dar, weshalb die Datenschutzbeschwerde insoweit zurückzuweisen sei.

6 3. Mit dem angefochtenen (Teil)Erkenntnis vom 9. August 2021 sprach das Bundesverwaltungsgericht (BVwG) über die dagegen erhobene Beschwerde des Mitbeteiligten wie folgt ab:

„A) I.

1. Der Beschwerde gegen Spruchpunkt 1. wird teilweise stattgegeben und festgestellt, dass die mitbeteiligte Partei den Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, dass sie eine unzureichende Auskunft im Sinne des Art. 15 Abs. 1 lit. d DSGVO hinsichtlich der geplanten Dauer, für die die personenbezogenen Daten gespeichert werden, bzw. die Kriterien für die Festlegung dieser Dauer erteilt hat.

2. Der mitbeteiligten Partei wird aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution die Auskunft betreffend die Speicherdauer gemäß Art. 15 DSGVO zu erteilen.

3. Die Beschwerde gegen Spruchpunkt 1. wird in Bezug auf die Beschwerdepunkte betreffend die Erteilung der Auskunft über die Herkunft der Daten und die Verarbeitungszwecke abgewiesen.

II. Der Beschwerde gegen Spruchpunkt 2. wird stattgegeben und festgestellt, dass die mitbeteiligte Partei ihre Informationspflicht nach Art. 14 Abs. 1 lit. e DSGVO verletzt hat.

III.

1. Der Beschwerde gegen Spruchpunkt 3. wird hinsichtlich der geltend gemachten Verstöße gegen die Datenminimierungspflicht nach Art. 5 DSGVO sowie die Datensicherungspflichten nach Art. 25 DSGVO stattgegeben und der angefochtene Bescheid diesbezüglich ersatzlos behoben.

2. Die Beschwerde gegen Spruchpunkt 3. wird hinsichtlich der Zurückweisung der Datenschutzbeschwerde wegen einer geltend gemachten Verletzung im Recht auf Geheimhaltung abgewiesen.“

Die Revision wurde gemäß Art. 133 Abs. 4 B VG für zulässig erklärt.

7 Das BVwG wies zunächst darauf hin, dass hinsichtlich der Frage der Zurverfügungstellung einer Kopie der personenbezogenen Daten gemäß Art. 15 Abs. 3 DSGVO mit Beschluss (ebenfalls) vom 9. August 2021 ein Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union (EuGH [dort protokolliert zu C 487/21]) gestellt worden sei, weshalb diese Frage nicht Gegenstand des vorliegenden Teilerkenntnisses sei.

8 Das BVwG stellte die wesentlichen Inhalte der Schreiben der Zweitrevisionswerberin vom 31. Dezember 2018 und vom 18. März 2019 dar und hielt fest, die Zweitrevisionswerberin habe den Mitbeteiligten nicht über die Offenlegung seiner personenbezogenen Daten an die E AG unterrichtet.

9 In seiner rechtlichen Beurteilung legte das BVwG (mit näherer Begründung) dar, dass die seitens der Zweitrevisionswerberin erteilte Auskunft zur Herkunft der Daten gemäß Art. 15 Abs. 1 lit. g und zu den Verarbeitungszwecken nach Art. 15 Abs. 1 lit. a DSGVO ausreichend gewesen sei. Die Auskunft zur Speicherdauer bzw. zu den Kriterien für die Festlegung dieser Dauer gemäß Art. 15 Abs. 1 lit. d DSGVO erachtete das BVwG hingegen als unvollständig und damit rechtswidrig; es sei unzureichend, der betroffenen Person zu erklären, dass ihre Daten so lange wie notwendig für die berechtigten Zwecke gespeichert würden. Im vorliegenden Fall habe der Mitbeteiligte aufgrund der Auskunft der Zweitrevisionswerberin (die angegeben habe, die Daten so lange zu speichern, wie sie inhaltlich richtig seien, kein gesetzlicher Löschungsgrund bestehe und die Speicherung den Zweck der Verarbeitung erfülle) nicht abschätzen können, wie lange seine Daten gespeichert würden.

10 Zur Informationspflicht nach Art. 14 DSGVO führte das BVwG (unter Verweis auf näher zitierte Rechtsprechung des EuGH) aus, es sei zwischen der Informationspflicht und dem Auskunftsrecht zu unterscheiden, wobei der „Datenverarbeiter“ hinsichtlich der Informationspflicht von sich aus „aktiv Transparenz“ herstellen müsse. Entgegen der Ansicht der Zweitrevisionswerberin richte sich die Informationspflicht nicht an das Unternehmen, das die Datenbankabfrage durchführe (die E AG), sondern an den Verantwortlichen (die Zweitrevisionswerberin). Aus dem von der belangten Behörde begründend herangezogenen Erwägungsgrund 58 zur DSGVO ergebe sich für den vorliegenden Fall (in der zwischen der betroffenen Person und dem Verantwortlichen typischerweise kein Online Kontakt bestehe) nicht, dass ein bloßes „Online Stellen“ der Daten ausreichend sei, weil die betroffene Person überhaupt keine Ahnung habe, dass ihre Daten bei Dritten erhoben worden seien. Daher hätte die Zweitrevisionswerberin den Mitbeteiligten spätestens zum Zeitpunkt der ersten Abfrage (am 8. November 2018) von der Offenlegung an eine Empfängerin informieren müssen.

11 Zu der mit Spruchpunkt 3. des bekämpften Bescheides erfolgten (teilweisen) Zurückweisung der Datenschutzbeschwerde durch die belangte Behörde hielt das BVwG zunächst fest, Gegenstand des Beschwerdeverfahrens sei nur die Rechtmäßigkeit der Zurückweisung. Der Mitbeteiligte habe in seiner Datenschutzbeschwerde vom 16. Jänner 2019 zwar die Feststellung begehrt, dass sein „Recht auf Achtung des Privat- und Familienlebens gemäß § 1 Abs. 1 DSG“ verletzt worden sei, er habe dazu jedoch keine weitergehenden Ausführungen gemacht. Vor dem Hintergrund ihres Inhalts habe davon ausgegangen werden können, dass die Datenschutzbeschwerde nach ihrem objektiven Erklärungswert nur darauf gerichtet gewesen sei, Verletzungen der Auskunfts- und Informationspflicht bzw. der Datenminimierungs- und Datensicherungspflicht geltend zu machen. Die Zurückweisung der Datenschutzbeschwerde sei daher hinsichtlich der Verletzung im Recht auf Geheimhaltung zu Recht erfolgt. Anders sei dies bei den geltend gemachten Verstößen gegen die Datenminimierungspflicht sowie die Datensicherungspflichten zu sehen, hinsichtlich derer von einer unzulässigen Änderung des „Wesens“ der Datenschutzbeschwerde keine Rede sein könne. Diesbezüglich verwies das BVwG auch darauf, dass Art. 77 DSGVO ein eigenständiges Recht auf Beschwerde normiere, das nicht an formelle oder inhaltliche Vorgaben geknüpft sei. Die Zurückweisung der Datenschutzbeschwerde sei daher in diesem Punkt zu Unrecht erfolgt und deshalb zu beheben gewesen.

12 Die Zulassung der Revision begründete das BVwG mit fehlender Rechtsprechung des Verwaltungsgerichtshofes zur Auslegung der Art. 5, 14 und 15 Abs. 1 DSGVO.

13 4. Gegen die Spruchpunkte A)II. und A)III. dieses Erkenntnisses erhob die belangte Behörde die zu Ro 2021/04/0030 protokollierte Amtsrevision. Zur Zulässigkeit bringt die Erstrevisionswerberin zu Spruchpunkt A)II. vor, es sei eine grundsätzliche Rechtsfrage, ob Art. 14 Abs. 1 lit. e DSGVO dahingehend auszulegen sei, dass eine betroffene Person vom Verantwortlichen proaktiv bei jeder Datenübermittlung an einen Dritten zu informieren sei oder ob eine „generische Information“ über Empfänger oder Kategorien von Empfängern ausreiche. Zu Spruchpunkt A)III. geht die Erstrevisionswerberin davon aus, dass das BVwG über den einheitlichen, keine Teilung zulassenden Spruchpunkt 3. des Bescheides der DSB zu Unrecht (in Abweichung von der Rechtsprechung des Verwaltungsgerichtshofes) getrennt abgesprochen und damit indirekt über ein Vorbringen entschieden habe, das nicht selbständiger Gegenstand des Ausgangsverfahrens gewesen sei.

14 Gegen die Spruchpunkte A)I.1., A)I.2., A)II. und A)III.1. richtet sich die zu Ro 2021/04/0031 protokollierte Revision der Zweitrevisionswerberin. Im Zulässigkeitsvorbringen wird zu Spruchpunkt A)I. zum einen vorgebracht, es bestehe überhaupt kein Raum für einen Feststellungsbescheid; zum anderen fehle Rechtsprechung des Verwaltungsgerichtshofes zur Frage, wann die Angabe einer bestimmten Speicherdauer im Sinn des Art. 15 Abs. 1 lit. d DSGVO „nicht möglich“ sei bzw. in welcher „Detailtiefe“ die Kriterien für die Festlegung dieser Dauer anzugeben seien. In seinem Spruchpunkt A)II. sei das BVwG nach Ansicht der Zweitrevisionswerberin zu Unrecht (in Abweichung von der Rechtsprechung des Verwaltungsgerichtshofes) davon ausgegangen, dass ein Recht auf Feststellung von Rechtsverletzungen in der Vergangenheit bestehe. Zudem sei die Veröffentlichung einer Datenschutzerklärung im Internet im Sinn des Art. 14 DSGVO als ausreichend anzusehen. Zu Spruchpunkt A)III. verweist die Zweitrevisionswerberin auf die ungeklärte (ihrer Ansicht nach zu verneinende) Frage, ob eine betroffene Person die Verletzung objektiver Pflichten des Verantwortlichen (hier nach Art. 5 DSGVO) zum Gegenstand eines Beschwerdeverfahrens machen könne.

15 Der Mitbeteiligte erstattete zu beiden Revisionen jeweils eine Revisionsbeantwortung, in denen er beantragt, die Revision hinsichtlich der Spruchpunkte A)I.1., A)I.2. und A)III. abzuweisen und in Bezug auf Spruchpunkt A)II. in der Sache selbst zu entscheiden und festzustellen, dass die Zweitrevisionswerberin ihre Informationspflichten nach Art. 14 Abs. 1 und 2 DSGVO verletzt habe, indem sie den Mitbeteiligten nicht binnen Monatsfrist entsprechend informiert habe. In eventu wird beantragt, die Revisionen zur Gänze als unbegründet abzuweisen. Weiters ergeht die Anregung, das Revisionsverfahren bis zur Entscheidung des EuGH im Verfahren C 552/21 auszusetzen bzw. falls der Verwaltungsgerichtshof die diesbezügliche Auffassung des Mitbeteiligten nicht teilen sollte näher formulierte Fragen einerseits zum Verhältnis zwischen § 24 DSG und Art. 77 DSGVO sowie andererseits zur Auslegung des Art. 14 DSGVO zur Vorabentscheidung an den EuGH heranzutragen.

16 Die DSB erstattete zur Revision der Zweitrevisionswerberin eine Revisionsbeantwortung, in der sie beantragt, die Revision in näher bezeichneten Punkten abzuweisen und ihr im Übrigen stattzugeben.

II.

Der Verwaltungsgerichtshof hat erwogen:

1. Zulässigkeit

17 Die Revisionen erweisen sich im Hinblick auf die in Rn. 13 und 14 dargestellten Ausführungen als zulässig.

2. Vorbemerkungen

18 Zu einzelnen Ausführungen des Mitbeteiligten und der Erstrevisionswerberin in ihren jeweiligen Revisionsbeantwortungen ist vorab zunächst Folgendes anzumerken:

19 Der Mitbeteiligte begehrt in seinem (in beiden Revisionsbeantwortungen gestellten) Primärantrag hinsichtlich des Spruchpunktes A)II. eine Sachentscheidung durch den Verwaltungsgerichtshof. Da eine auf § 42 Abs. 4 VwGG gestützte Entscheidung des Verwaltungsgerichtshofes in der Sache selbst die Rechtswidrigkeit der angefochtenen Erledigung voraussetzt (vgl. VwGH 17.12.2014, Ro 2014/03/0066, Pkt. V.1., mwN) und die Stellung als Mitbeteiligter rechtlich geschützte Interessen im Widerspruch zur Interessenlage des Revisionswerbers erfordert (vgl. etwa VwGH 4.7.2016, Ra 2016/04/0014, Rn. 40, mwN), kommt ein (die Rechtswidrigkeit der angefochtenen Entscheidung bedingender) Antrag auf Sachentscheidung in einer Revisionsbeantwortung nicht in Betracht. Der diesbezügliche Antrag des Mitbeteiligten erweist sich daher schon aus diesem Grund als unzulässig. Ausgehend davon ist auch nicht auf das damit in Zusammenhang stehende Vorbringen des Mitbeteiligten einzugehen, wonach die Feststellung des BVwG in Spruchpunkt A)II. des angefochtenen Erkenntnisses „nicht weit genug“ gehe.

20 Zum Antrag des Mitbeteiligten auf Aussetzung des Revisionsverfahrens bis zur Entscheidung des EuGH in dem zu C 552/21 protokollierten Verfahren genügt der Hinweis, dass zwischenzeitig mit Beschluss des Präsidenten des EuGH vom 25. Jänner 2022 infolge Zurücknahme des Vorabentscheidungsersuchens diese Rechtssache im Register des EuGH gestrichen worden ist.

21 Soweit die belangte Behörde in ihrer Amtsrevision anregt, ihre Ausführungen in einer Revisionsbeantwortung, die in einem anderen, näher bezeichneten Verfahren erstattet worden ist, auch im vorliegenden Revisionsverfahren zu berücksichtigen, und der Mitbeteiligte in seiner Revisionsbeantwortung (als Reaktion darauf) beantragt, der belangten Behörde aufzutragen, ihm die in dieser Revisionsbeantwortung angeführten Argumente zur Stellungnahme zu übermitteln, ist festzuhalten, dass die Revision die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt, zu enthalten hat und Verweise auf andere Schriftsätze dieser Anforderung nicht gerecht werden, weshalb auf sie nicht einzugehen ist (vgl. etwa VwGH 29.6.2017, Ra 2016/04/0068 bis 0077, Rn. 32, mwN). Ausgehend davon besteht auch keine Notwendigkeit, auf den dargestellten Antrag des Mitbeteiligten einzugehen.

22 Soweit die belangte Behörde in ihrer Revisionsbeantwortung schließlich die Abweisung der Revision der Zweitrevisionswerberin „in ihrem Punkt 4.2., 4.6., 5.1.1. und 5.3.“ beantragt, ist anzumerken, dass eine teilweise Abweisung einer Revision zwar hinsichtlich trennbarer Spruchpunkte möglich ist (vgl. dort zur getrennten Prüfung der Zulässigkeit bei trennbaren Spruchpunkten bzw. Absprüchen - etwa VwGH 27.6.2023, Ra 2020/04/0027, Rn. 13, mwN), nicht aber - wie hier von der belangten Behörde begehrt - hinsichtlich einzelner Begründungselemente einer Revision. Auf den diesbezüglichen Antrag der belangten Behörde ist daher nicht weiter einzugehen.

3. Rechtsgrundlagen

23 3.1. Die maßgeblichen Bestimmungen des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 51/2012 (§ 1) bzw. BGBl. I Nr. 120/2017 (§ 24) lauten auszugsweise:

„ Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

[...]

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

[...]

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

[...]

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

[...]

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

[...]“

24 3.2. Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung [DSGVO]), lauten auszugsweise:

„[Erwägungsgrund] (39) [...] Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind. Dieser Grundsatz betrifft insbesondere die Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine faire und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen gewährleisten, sowie deren Recht, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffende personenbezogene Daten verarbeitet werden. [...]

(58) Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und gegebenenfalls zusätzlich visuelle Elemente verwendet werden. Diese Information könnte in elektronischer Form bereitgestellt werden, beispielsweise auf einer Website, wenn sie für die Öffentlichkeit bestimmt ist. Dies gilt insbesondere für Situationen, wo die große Zahl der Beteiligten und die Komplexität der dazu benötigten Technik es der betroffenen Person schwer machen, zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck sie betreffende personenbezogene Daten erfasst werden, wie etwa bei der Werbung im Internet. [...]

[...]

(60) Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. [...]

[...]

(63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. [...] Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. [...]

[...]

Artikel 1

Gegenstand und Ziele

[...]

(2) Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

[...]

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (,Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);

[...]

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (,Datenminimierung‘);

[...]

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen (,Integrität und Vertraulichkeit‘);

[...]

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

[...]

Artikel 14

Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

[...]

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

[...]

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

[...]

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

[...]

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

[...]

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; [...]

[...]

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

[...]

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

[...]

Artikel 25

Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen wie z. B. Pseudonymisierung trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

[...]

Artikel 58

Befugnisse

[...]

(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

[...]

(6) Jeder Mitgliedstaat kann durch Rechtsvorschriften vorsehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels VII beeinträchtigen.

[...]

Artikel 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

[...]

Artikel 79

Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter

(1) Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

[...]“

4. Feststellung der Verletzung im Recht auf Auskunft

25 4.1. Das BVwG traf in seinem Spruchpunkt A)I.1. die Feststellung, dass die Zweitrevisionswerberin den Mitbeteiligten (in näher dargestellter Weise) in seinem Recht auf Auskunft verletzt habe.

26 Die Zweitrevisionswerberin bringt dazu vor, es bestehe (nach näher zitierter Rechtsprechung des Verwaltungsgerichtshofes) kein Raum für einen Feststellungsbescheid, wenn ein Leistungsbescheid möglich sei. Im Hinblick auf den in Spruchpunkt A)I.2. erteilten Leistungsauftrag erübrige sich daher die in Spruchpunkt A)I.1. erfolgte Feststellung. Weder die DSB noch das BVwG hätten somit die Kompetenz, eine feststellende Entscheidung zu erlassen; dies ergebe sich aus den Abs. 5 und 6 des § 24 DSG, wonach - so es nicht zu einer Abweisung der Datenschutzbeschwerde oder einer Einstellung infolge nachträglicher Beseitigung der Rechtsverletzung komme - dem Verantwortlichen die Beseitigung der Rechtsverletzung aufzutragen sei. Schließlich sei die Feststellung auch nicht in den in Art. 58 Abs. 2 DSGVO aufgelisteten Abhilfebefugnissen genannt.

27 Die DSB verweist in ihrer Revisionsbeantwortung auf die Regelungen des § 24 Abs. 2 Z 5 und Abs. 5 DSG, aus denen sich ergebe, dass eine Kompetenz zur Erlassung eines Feststellungsbescheides bestehe. Auch der Mitbeteiligte tritt der diesbezüglichen Auffassung der Zweitrevisionswerberin in seiner Revisionsbeantwortung mit näherer Begründung entgegen.

28 4.2. Der Verwaltungsgerichtshof hat zur Frage des Anspruchs auf Feststellung einer Verletzung (dort) im Recht auf Geheimhaltung unter Verweis auf die Regelungen in § 24 Abs. 2 Z 5 und Abs. 5 DSG bereits festgehalten, dass das Gesetz als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vorsieht. Der Verwaltungsgerichtshof hat daher keine Zweifel daran, dass der Datenschutzbehörde die Zuständigkeit zukommt, auf Grund einer sich als berechtigt erweisenden Beschwerde die Verletzung eines Beschwerdeführers in seinem Recht auf (dort) Geheimhaltung der ihn betreffenden personenbezogenen Daten festzustellen (vgl. zu allem VwGH 19.10.2022, Ro 2022/04/0001, Rn. 21 f, mwN).

29 Diese Rechtsprechung ist zumal § 24 Abs. 2 Z 5 DSG nicht zwischen den verschiedenen Rechten der betroffenen Person differenziert auf die Feststellung einer Verletzung im Recht auf Auskunft übertragbar (vgl. im Ergebnis bereits VwGH 3.8.2023, Ro 2020/04/0015; 3.8.2023, Ro 2020/04/0035). Der Verwaltungsgerichtshof sieht sich auf Grund des Vorbringens der Zweitrevisionswerberin auch nicht veranlasst, von dieser Rechtsprechung abzugehen. Da der Verwaltungsgerichtshof im zitierten Erkenntnis VwGH Ro 2022/04/0001 einen im Gesetz vorgesehenen Antrag auf Erlassung eines Feststellungsbescheides anerkannt hat, ist die von der Zweitrevisionswerberin ins Treffen geführte Rechtsprechung zur Subsidiarität von Feststellungsbescheiden für den vorliegenden Fall nicht einschlägig, weil sich diese auf nicht ausdrücklich im Gesetz vorgesehene Feststellungsbescheide bezieht (vgl. VwGH 24.04.2018, Ra 2017/05/0215, Rn. 29). Soweit die Zweitrevisionswerberin auf die Auflistung der Abhilfebefugnisse in Art. 58 Abs. 2 DSGVO verweist, genügt der Hinweis, dass die Mitgliedstaaten nach Art. 58 Abs. 6 DSGVO zusätzliche Befugnisse vorsehen können.

5. Auskunft über die geplante Speicherdauer

30 5.1. Gemäß Art. 15 Abs. 1 lit. d DSGVO hat die betroffene Person ein Recht auf Auskunft über - falls möglich - die geplante Dauer, für welche die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, über die Kriterien für die Festlegung dieser Dauer.

31 Das BVwG verweist diesbezüglich auf näher bezeichnete Leitlinien der „Artikel 29 Datenschutzgruppe“, denen zufolge die Information einer betroffenen Person die Beurteilung ermöglichen soll, wie lange die Aufbewahrungsdauer sei, und es unzureichend sei, der betroffenen Person nur zu erklären, ihre Daten würden „so lange wie notwendig“ für die berechtigten Zwecke gespeichert. Auf Grund der hier von der Zweitrevisionswerberin erteilten Auskünfte sei es für den Mitbeteiligten nicht möglich gewesen, die Speicherdauer abzuschätzen.

32 Die Zweitrevisionswerberin bringt vor, sie verarbeite Daten zum Zweck des Gewerbes einer Kreditauskunftei und müsse die Daten daher so lange verarbeiten, solange der Mitbeteiligte Verträge abschließen könne bzw. am Wirtschaftsleben teilnehme. Solange es möglich sei, dass potenzielle Vertragspartner Auskünfte über seine Bonität einholen möchten, so lange sei es auch gerechtfertigt, die für eine Bonitätsbeurteilung erforderlichen Daten zu verarbeiten. Das Kriterium der Teilnahme am Wirtschaftsleben sei ausreichend präzise, eine weitere Konkretisierung der Auskunft sei weder möglich noch sinnvoll. Die von ihr erteilte Auskunft genüge somit den Anforderungen des Art. 15 Abs. 1 lit. d DSGVO.

33 Der Mitbeteiligte hält dem entgegen, in dem von der Zweitrevisionswerberin ins Treffen geführten Kriterium der „Teilnahme am Wirtschaftsleben“ komme eine Verarbeitung für die gesamte Lebensdauer der betroffenen Person zum Ausdruck, womit aber der Grundsatz der Speicherbegrenzung verletzt werde.

34 5.2. Zu diesem Vorbringen des Mitbeteiligten ist zunächst festzuhalten, dass es gegenständlich nicht darum geht, ob die Verarbeitung der personenbezogenen Daten dem Grundsatz der Speicherbegrenzung in Art. 5 Abs. 1 lit. e DSGVO entspricht, sondern (nur) darum, ob die Auskunft hinsichtlich der Speicherdauer den Vorgaben des Art. 15 Abs. 1 lit. d DSGVO entspricht. Auf das dargestellte Vorbringen des Mitbeteiligten betreffend den Grundsatz der Speicherbegrenzung ist daher nicht weiter einzugehen.

35 5.3. Art. 15 Abs. 1 lit. d DSGVO sieht ein Recht auf Auskunft über die geplante Speicherdauer nur vor, falls dies möglich ist; falls nicht, besteht ein Anspruch auf Auskunft über die Kriterien für die Festlegung dieser Dauer. Erwägungsgrund 63 zur DSGVO spricht ebenfalls davon, dass ein Anrecht darauf, zu erfahren, wie lange die personenbezogenen Daten gespeichert werden, nur besteht, wenn dies möglich ist. Auch der EuGH hat zum Auskunftsrecht nach Art. 15 Abs. 1 DSGVO festgehalten, dies beinhalte ein Anrecht darauf, zu erfahren „wenn möglich, wie lange sie [die personenbezogenen Daten] gespeichert werden (vgl. EuGH 22.6.2023, C 579/21, J.M. , Rn. 56).

36 Weiters hat der EuGH festgehalten, dass Art. 15 Abs. 1 DSGVO die Transparenz der Art und Weise der Verarbeitung personenbezogener Daten gegenüber der betroffenen Person gewährleisten soll. Mit den in Art. 15 Abs. 1 DSGVO genannten Informationen wird das Ziel verfolgt, dass die betroffene Person sich der Verarbeitung bewusst sein muss und deren Rechtmäßigkeit überprüfen kann. Das in Art. 15 DSGVO vorgesehene Auskunftsrecht muss es der betroffenen Person ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden, und somit gegebenenfalls ihre Rechte auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung, die ihr nach den Art. 16 bis 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art. 79 und 82 DSGVO vorgesehenes Recht auf Einlegung eines Rechtsbehelfs auszuüben (vgl. erneut EuGH 22.6.2023, C 579/21, Rn. 53 sowie 56 bis 58, mwN).

37 In den (vom Europäischen Datenschutzausschuss [EDSA] am 25. Mai 2018 bestätigten) Leitlinien für Transparenz gemäß der Verordnung 2016/679 der (aufgrund von Art. 29 der Richtlinie 95/46/EG eingerichteten, nunmehr vom EDSA abgelösten) Artikel 29 Datenschutzgruppe, WP 260 rev.01, S 49, wird zu der im Wesentlichen vergleichbaren Formulierung in Art. 13 Abs. 2 lit. a sowie Art. 14 Abs. 2 lit. a DSGVO (Informationspflichten des Verantwortlichen bei der Erhebung von Daten) ausgeführt, es reiche nicht aus, allgemein darauf hinzuweisen, dass die personenbezogenen Daten so lange gespeichert würden, wie dies für die legitimen Zwecke der Verarbeitung erforderlich sei; die Information über die Speicherfrist solle so formuliert sein, dass die betroffene Person die Möglichkeit habe, ausgehend von ihrer eigenen Situation einzuschätzen, welche Speicherfrist gelte (vgl. dazu auch Illibauer in Knyrim [Hrsg.], DatKomm [2022] Art. 13, Rz. 44 ff; vgl. weiters Dix in Simitis ua. [Hrsg.], Datenschutzrecht [2019] Art. 15, Rz. 22, wonach wenn es nicht möglich ist, konkrete Speicherfristen zu nennen auf bestimmte Umstände hingewiesen werden kann, die noch nicht bekannt sind, von denen die Speicherfrist aber abhängt).

38 5.4. Im vorliegenden Fall hat die Zweitrevisionswerberin in ihrer (ergänzenden) Stellungnahme vom 18. März 2019 darauf hingewiesen, dass die Speicherung so lange erfolgt, wie der Mitbeteiligte am Wirtschaftsleben teilnimmt, indem er mit Kunden der Zweitrevisionswerberin kontrahieren möchte; die unternehmerische Funktion werde gelöscht, wenn der Eintrag im Firmenbuch bzw. im „Gewerberegister“ gelöscht werde. Ausgehend davon vermag sich der Verwaltungsgerichtshof der im angefochtenen Erkenntnis zum Ausdruck gebrachten Auffassung, diese Umschreibung der Speicherdauer sei weder präzise noch verständlich, nicht anzuschließen. Unter Zugrundelegung der von der Zweitrevisionswerberin geplanten Speicherdauer ist es ihr jedenfalls nicht möglich, einen konkreten Endzeitpunkt oder eine genauere Zeitspanne anzugeben. Hingegen ist davon auszugehen, dass der Mitbeteiligte den Zeitpunkt abschätzen kann, zu dem er seine unternehmerische Tätigkeit beendet. Es ist für den Verwaltungsgerichtshof auch nicht ersichtlich, dass die fallbezogen erteilte Information für die betroffene Person (hier den Mitbeteiligten) nicht ausreichend wäre, um die Zulässigkeit der Datenverarbeitung zu beurteilen und gegebenenfalls ihre Rechte auf Löschung, auf Einschränkung der Verarbeitung, auf Widerspruch gegen die Verarbeitung oder auf Geltendmachung eines Schadenersatzanspruchs auszuüben.

39 Ob diese von der Zweitrevisionswerberin in Aussicht genommene Speicherdauer in der Sache den Vorgaben des Art. 5 DSGVO entspricht, ist worauf erneut hinzuweisen ist - nicht Gegenstand des Spruchpunktes A)I. des angefochtenen Erkenntnisses betreffend die behauptete Verletzung im Recht auf Auskunft, sondern wäre im Zusammenhang mit einer behaupteten Verletzung des Art. 5 DSGVO zu beurteilen (siehe diesbezüglich allerdings die nachstehenden Ausführungen in Pkt. II.6.2.).

6. Geltendmachung objektiver Verstöße gegen die Grundsätze des Art. 5 DSGVO in einer Beschwerde nach Art. 77 DSGVO

40 6.1. Die belangte Behörde wies in Spruchpunkt 3. ihres Bescheides die Datenschutzbeschwerde des Mitbeteiligten „wegen Verletzung im Recht auf Geheimhaltung aufgrund eines Verstoßes gegen die Datenminimierungspflicht sowie aufgrund eines Verstoßes gegen die Datensicherungspflicht“ zurück.

41 Das BVwG wies die dagegen erhobene Beschwerde des Mitbeteiligten teilweise (hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung) ab und gab ihr teilweise (hinsichtlich der geltend gemachten Verstöße gegen die Datenminimierungs- und die Datensicherungspflicht) durch eine ersatzlose Behebung der diesbezüglichen Zurückweisung statt.

42 Die Zweitrevisionswerberin bringt zu dieser ersatzlosen Behebung der Zurückweisung vor, in einem Beschwerdeverfahren (nach Art. 77 DSGVO bzw. § 24 DSG) könnten Verletzungen des Art. 5 DSGVO nicht geltend gemacht werden. Betroffene Personen hätten zwar die in Kapitel III der DSGVO („Rechte der betroffenen Person“) vorgesehenen subjektiven Rechte, aber kein einklagbares Recht auf Einhaltung der Grundsätze nach Art. 5 DSGVO. Dies ergebe sich aus den dort verwendeten Formulierungen, denen zufolge es sich dabei um objektive Pflichten des Verantwortlichen handle, aus denen aber keine subjektiven Ansprüche der betroffenen Person gegen den Verantwortlichen erwachsen würden. Demgegenüber würden die in Kapitel III der DSGVO verwendeten (anderslautenden) Formulierungen subjektive Rechte einräumen. Die (diesbezügliche) Zurückweisung der Datenschutzbeschwerde durch die DSB sei somit im Ergebnis zu Recht erfolgt. Abschließend erfolgen noch Ausführungen dazu, dass auch in der Sache keine Verletzung des Art. 5 Abs. 1 lit. c und f DSGVO vorliege.

43 Die belangte Behörde vertritt in ihrer Revisionsbeantwortung diesbezüglich die Auffassung, es bestehe zwar kein subjektives Recht auf spezifische Datensicherungsmaßnahmen oder auf Maßnahmen zur Datenminimierung, es sei aber möglich, dass eine betroffene Person aufgrund unzureichender Maßnahmen in ihrem Recht auf Geheimhaltung verletzt werde. Bei Vorliegen einer subjektiven Beschwer könnten daher auch Verletzungen objektiver (durch die DSGVO auferlegter) Pflichten im Rahmen eines Beschwerdeverfahrens nach Art. 77 DSGVO bzw. § 24 DSG geltend gemacht werden.

44 Der Mitbeteiligte bringt vor, Art. 77 DSGVO beinhalte ein eigenständiges Beschwerderecht (neben demjenigen nach § 24 DSG) und umfasse sämtliche Verletzungen von Bestimmungen der DSGVO. Entgegen der Auffassung der belangten Behörde könne die Geltendmachung eines unionsrechtlich eingeräumten Rechts nicht davon abhängen, ob auf innerstaatlicher Ebene eine Regelung wie diejenige des § 1 Abs. 1 DSG bestehe. Der EuGH habe in seinem Urteil EuGH 16.7.2020, C 311/18, Rn. 109, zum Ausdruck gebracht, dass eine Beschwerde auch bei Verstößen gegen objektive Pflichten erhoben werden könne. Dies ergebe sich auch aus Art. 1 Abs. 2 DSGVO, weil für den darin angesprochenen Schutz der personenbezogenen Daten die Einhaltung der objektiven Verpflichtungen des Verantwortlichen wesentlich sei. Den Ausführungen der Zweitrevisionswerberin zu den unterschiedlichen Formulierungen in der DSGVO sei zudem entgegenzuhalten, dass es auch außerhalb des Kapitels III der DSGVO Bestimmungen gebe, die den betroffenen Personen Rechte einräumten, während umgekehrt in manchen Formulierungen der Art. 13 und 14 DSGVO (die im Kapitel III der DSGVO zu finden seien) nicht auf Rechte der betroffenen Person, sondern auf Pflichten des Verantwortlichen abgestellt werde. Schließlich enthält die Revisionsbeantwortung des Mitbeteiligten noch Ausführungen dazu, dass in der Sache ein Verletzung des Prinzips der Datenminimierung sowie der Datensicherungspflicht vorgelegen sei.

45 6.2. Vorauszuschicken ist zunächst Folgendes: Der Verwaltungsgerichtshof hat bereits wiederholt festgehalten, dass Sache des Beschwerdeverfahrens vor dem Verwaltungsgericht im Fall einer Antragszurückweisung durch die belangte Behörde nur die Frage der Rechtmäßigkeit dieser Zurückweisung ist (vgl. etwa VwGH 22.11.2022, Ra 2019/04/0003, Rn. 20, mwN). Ausgehend davon ist fallbezogen - angesichts der von der belangten Behörde in ihrem Spruchpunkt 3. gewählten Erledigungsart - auf das Vorbringen der Zweitrevisionswerberin und des Mitbeteiligten zum Nichtvorliegen bzw. zum Vorliegen von Verstößen gegen die Grundsätze der Datenminimierung und Datensicherheit in der Sache nicht einzugehen.

46 6.3. § 24 Abs. 1 DSG sieht das Recht auf Beschwerde bei der DSB vor, wenn die betroffene Person der Ansicht ist, dass die Datenverarbeitung gegen die DSGVO oder gegen § 1 oder Art. 2 1. Hauptstück DSG verstößt, wobei die Beschwerde nach § 24 Abs. 2 Z 1 DSG die Bezeichnung des als verletzt erachteten Rechts zu enthalten hat.

47 Art. 79 Abs. 1 DSGVO (zum wirksamen gerichtlichen Rechtsbehelf) stellt darauf ab, dass eine betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO dann das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

48 Demgegenüber hat nach dem hier maßgeblichen Art. 77 DSGVO jede betroffene Person unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Der EuGH hat zudem bereits festgehalten, dass Art. 77 DSGVO hinreichend klar, genau und unbedingt und damit unmittelbar anwendbar ist (vgl. EuGH 16.1.2024, C 33/22, Österreichische Datenschutzbehörde , Rn. 62).

49 Art. 77 Abs. 1 DSGVO stellt seinem Wortlaut nach somit gerade nicht auf eine Verletzung in Rechten, sondern auf einen Verstoß der Datenverarbeitung gegen die DSGVO ab. Damit spricht aber nichts gegen die Annahme, dass Verstöße gegen die Grundsätze des Art. 5 Abs. 1 DSGVO (wie fallbezogen nach dessen lit. c und f) für sich allein in einer Beschwerde nach Art. 77 DSGVO geltend gemacht werden können, sofern dieser Verstoß die Verarbeitung von den Beschwerdeführer (hier somit den Mitbeteiligten) betreffenden personenbezogenen Daten betrifft.

50 Der EuGH hat in seinem Urteil vom 22. Juni 2023, C 579/21, J.M. , Rn. 62, festgehalten, dass die dort im Wege eines Auskunftsersuchens angeforderten Informationen zum Zeitpunkt der Verarbeitung der Daten einen Gesichtspunkt darstellen, um deren Rechtmäßigkeit zu überprüfen, weil zum Zeitpunkt der Verarbeitung die in den Art. 5 und 6 DSGVO vorgesehenen Voraussetzungen erfüllt sein müssen. Die damit angesprochene Überprüfung der Rechtmäßigkeit im Hinblick auf die Einhaltung der Vorgaben der Art. 5 und 6 DSGVO (als Folge einer Auskunftserteilung) seitens der betroffenen Person erfordert es aber, eine allfällige (behauptete) Rechtswidrigkeit im Wege einer Beschwerde nach Art. 77 DSGVO geltend machen zu können. Schließlich lag auch zwei Verfahren des EuGH im Zusammenhang mit der Übermittlung personenbezogener Daten in Drittländer (EuGH 6.10.2015, C 362/14, Schrems ; EuGH 16.7.2020, C 311/18, Facebook Ireland und Schrems ) eine (die Untersagung der Übermittlung personenbezogener Daten in die Vereinigten Staaten von Amerika begehrende) Beschwerde einer betroffenen Person bei einer (damals noch) Kontrollstelle (nunmehr Aufsichtsbehörde) zugrunde, in der keine Verletzung in Rechten nach der Richtlinie 95/46, sondern ein Verstoß gegen die Grundsatzbestimmung des Art. 25 der Richtlinie 95/46 geltend gemacht worden ist.

51 Aus unionsrechtlicher Sicht ist es daher vor dem Hintergrund der oben angeführten Rechtsprechung des EuGH zulässig, eine Datenschutzbeschwerde nach Art. 77 DSGVO (allein) auf Art. 5 DSGVO zu stützen (vgl. dazu im Übrigen auch Jahnel , Kommentar zur DSGVO [2021] Art. 77, Rz. 9 bis 12; Schweiger in Knyrim [Hrsg.], DatKomm [2022] Art. 77 Rz. 11; Tambou in Spiecker ua. [Hrsg.], General Data Protection Regulation, Art. 77, Rz. 21; Bergt in Kühling/Buchner [Hrsg.], DS GVO [2020], Art. 77 Rz. 10). Dieses Verständnis wohnt auf innerstaatlicher Ebene im Übrigen auch der Regelung des § 24 Abs. 1 DSG inne, der davon spricht, dass eine Datenverarbeitung gegen die DSGVO oder gegen § 1 DSG verstößt.

52 Auf Grund dieser Erwägungen vermag sich der Verwaltungsgerichtshof aber der Ansicht der Zweitrevisionswerberin, wonach die belangte Behörde die Datenschutzbeschwerde des Mitbeteiligten bereits mangels zulässigen Beschwerdegegenstandes im Ergebnis zu Recht zurückgewiesen habe, nicht anzuschließen. Im Hinblick auf die dargelegte Rechtsauffassung sieht sich der Verwaltungsgerichtshof auch nicht veranlasst, der Anregung des Mitbeteiligten zur Einleitung eines Vorabentscheidungsersuchens zu Art. 77 DSGVO nachzukommen.

53 Das bedeutet zwar - worauf ergänzend hingewiesen werden soll - nicht, dass eine Datenschutzbeschwerde, mit der ein Verstoß gegen die DSGVO geltend gemacht wird, nicht (parallel dazu bzw. unter einem) auch auf § 1 Abs. 1 DSG gestützt werden kann; zwingend ist dies aber nicht. Es ist auch möglich, über eine auf die DSGVO und auf § 1 Abs. 1 DSG gestützte Datenschutzbeschwerde unter einem und somit einheitlich abzusprechen, wenn ein im Wege einer Beschwerde nach Art. 77 DSGVO geltend gemachter Verstoß gegen (etwa) Art. 5 DSGVO gleichzeitig auch eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG darstellt.

Dessen ungeachtet ist aber zu beachten, dass der Anwendungsbereich des § 1 Abs. 1 DSG mit dem Anwendungsbereich der DSGVO nicht in jeder Hinsicht übereinstimmt (vgl. diesbezüglich etwa VwGH 27.6.2023, Ro 2020/04/0014, Rn. 17 f, bzw. - in umgekehrter Hinsicht - VwGH 1.2.2024, Ro 2021/04/0016, Rn. 24 f). Eine Verletzung im Recht auf Geheimhaltung stellt somit nicht in jedem Fall automatisch auch einen Verstoß gegen die DSGVO dar. Umgekehrt ist es nach Ansicht des Verwaltungsgerichtshofes auch nicht ausgeschlossen, dass ein im Rahmen des Art. 77 DSGVO geltend gemachter Verstoß gegen die DSGVO keine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG darstellt.

7. Sache des Beschwerdeverfahrens hinsichtlich der (teilweisen) Zurückweisung der Datenschutzbeschwerde

54 7.1. Der Mitbeteiligte hat in seiner Datenschutzbeschwerde (abgesehen von den unter den Pkten. II.5. und II.9. behandelten behaupteten Verletzungen im Recht auf Auskunft bzw. Information) einen Verstoß gegen das Prinzip der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO (infolge der Speicherung falscher, nicht mehr bestehender Wohnsitze) sowie eine Verletzung der Vertraulichkeit und der Datensicherheit gemäß Art. 5 Abs. 1 lit. f DSGVO (infolge einer unzureichend verschlüsselten Übermittlung von personenbezogenen Daten) geltend gemacht.

Neben der Feststellung von Verstößen gegen die genannten Bestimmungen der DSGVO wurde auch die Feststellung begehrt, dass der Mitbeteiligte in seinem Recht auf Achtung seines Privat- und Familienlebens bzw. dass sein Anspruch auf Geheimhaltung seiner personenbezogenen Daten gemäß § 1 Abs. 1 DSG verletzt worden sei. In seinem ergänzenden Schreiben vom 19. März 2019 bekräftigte der Mitbeteiligte, dass sich die Datenschutzbeschwerde neben einer Geltendmachung von Verstößen gegen Art. 5 DSGVO auch auf § 1 Abs. 1 DSG beziehe. Der Datenschutzbeschwerde des Mitbeteiligten lässt sich somit nicht entnehmen, dass über die geltend gemachten Verstöße nach Art. 5 DSGVO einerseits und § 1 Abs. 1 DSG andererseits zwingend ein einheitlicher, gemeinsamer Abspruch begehrt wurde.

55 Die belangte Behörde ging im Spruchpunkt 3. ihres Bescheides hingegen davon aus, dass sich die Datenschutzbeschwerde insoweit auf eine „Verletzung im Recht auf Geheimhaltung aufgrund eines Verstoßes gegen die Datenminimierungspflicht [Art. 5 Abs. 1 lit. c DSGVO] sowie aufgrund eines Verstoßes gegen die Datensicherungspflicht [Art. 5 Abs. 1 lit. f DSGVO]“ bezogen hat.

56 Demgegenüber nahm das BVwG an, dass mit der Datenschutzbeschwerde (zumindest) zwei voneinander trennbare Verletzungen bzw. Verstöße geltend gemacht worden seien, einerseits - und nur insoweit sei die Datenschutzbeschwerde mangels näherer Ausführungen zu Recht zurückgewiesen worden - betreffend das Recht auf Geheimhaltung und andererseits diesbezüglich sei die Zurückweisung der Datenschutzbeschwerde zu beheben gewesen betreffend Verstöße gegen die Datenminimierungs- und die Datensicherungspflicht.

57 Nach der (in ihrer Revision vertretenen) Ansicht der Erstrevisionswerberin habe das BVwG damit über den einheitlichen, keine Teilung zulassenden Spruchpunkt 3. des Bescheides der DSB zu Unrecht getrennt abgesprochen und somit über eine Sache entschieden, die nicht Gegenstand des Ausgangsverfahrens gewesen sei.

58 7.2. Diesem Vorbringen der Amtsrevisionswerberin ist Folgendes entgegenzuhalten:

59 Wie oben dargelegt besteht keine rechtliche Notwendigkeit, über eine Datenschutzbeschwerde, mit der sowohl eine Verletzung des § 1 Abs. 1 DSG als auch Verstöße gegen Art. 5 Abs. 1 DSGVO geltend gemacht werden, zwingend einheitlich und in untrennbarer Weise abzusprechen.

60 Daher vermag auch der Umstand, dass die belangte Behörde diese Teile der Datenschutzbeschwerde als einheitlichen - im Sinn von untrennbaren - Antragsgegenstand angesehen hat, nichts daran zu ändern, dass Sache des Beschwerdeverfahrens vor dem BVwG diesbezüglich die Zurückweisung einer Datenschutzbeschwerde war, die eine Mehrzahl von - voneinander trennbaren - Begehren enthielt. Das BVwG war daher im Rahmen seiner Entscheidungsbefugnis zwar insofern begrenzt, als es über die von der belangten Behörde zurückgewiesenen Anträge nicht meritorisch entscheiden durfte (was es ohnehin nicht gemacht hat). Es war aber nicht daran gehindert, die (mehreren) von der belangten Behörde zurückgewiesenen trennbaren Begehren einer jeweils eigenständigen, allenfalls auch divergierenden Entscheidung zuzuführen.

61 Die teilweise Abweisung und teilweise Stattgabe der Beschwerde des Mitbeteiligten gegen Spruchpunkt 3. des Bescheides der DSB begegnet daher unter dem von der belangten Behörde in ihrer Amtsrevision ins Treffen geführten Aspekt der Sache des Beschwerdeverfahrens dem Grunde nach keinen Bedenken.

8. Zulässigkeit der (teilweisen) Zurückweisung der Datenschutzbeschwerde

62 8.1. Die belangte Behörde hat wie bereits dargestellt in Spruchpunkt 3. ihres Bescheides die Datenschutzbeschwerde des Mitbeteiligten (teilweise) mit der Begründung zurückgewiesen, es liege insoweit eine unzulässige wesentliche Änderung der Sache (im Sinn des § 13 Abs. 8 AVG) vor.

63 Das BVwG hat die dagegen erhobene Beschwerde des Mitbeteiligten hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung abgewiesen, insoweit Spruchpunkt 3. des Bescheides der DSB bestätigt und damit das Recht auf Sachentscheidung verneint (hinsichtlich der geltend gemachten Verstöße gegen die Datenminimierungs- und die Datensicherungspflicht wurde Spruchpunkt 3. des Bescheides hingegen ersatzlos behoben, weil insofern keine unzulässige Änderung des Wesens der Datenschutzbeschwerde vorgelegen sei). Die diesbezügliche Bestätigung der Zurückweisung der Datenschutzbeschwerde begründete das BVwG damit, es habe vor dem Hintergrund des Inhaltes der Datenschutzbeschwerde davon ausgegangen werden können, dass diese nach ihrem objektiven Erklärungswert nur darauf gerichtet gewesen sei, Verletzungen der Auskunfts- und Informationspflicht bzw. der Datenminimierungs- und Datensicherungspflicht geltend zu machen, weshalb die Zurückweisung der Datenschutzbeschwerde hinsichtlich der Verletzung im Recht auf Geheimhaltung zu Recht erfolgt sei.

64 8.2. Der Verwaltungsgerichtshof vermag sich aus folgenden Überlegungen der für die teilweise Zurückweisung der Datenschutzbeschwerde des Mitbeteiligten herangezogenen Begründung des BVwG nicht anzuschließen:

65 Wäre die Datenschutzbeschwerde des Mitbeteiligten tatsächlich wie das BVwG ausführt so auszulegen gewesen, dass eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG überhaupt nicht geltend gemacht worden sei (siehe gegenteilig dazu aber bereits die Ausführungen oben in Pkt. II.7.1.), dann wäre die Zurückweisung der diesbezüglichen Datenschutzbeschwerde mangels Vorliegens eines darauf gerichteten Antrags ersatzlos zu beheben (und nicht zu bestätigen) gewesen. Die Begründung des BVwG für die Bestätigung der Zurückweisung der Datenschutzbeschwerde hinsichtlich einer Verletzung im Recht auf Geheimhaltung erweist sich daher als für den Verwaltungsgerichtshof nicht nachvollziehbar.

66 Das von der DSB in ihrem Bescheid vom 11. September 2019 ins Treffen geführte Argument der unzulässigen wesentlichen Antragsänderung im Sinn des § 13 Abs. 8 AVG wird worauf zur Vollständigkeit hingewiesen werden soll von dieser in ihrer Revision nicht mehr aufrechterhalten, sondern vielmehr festgestellt, „dass die Zurückweisung gemäß Spruchpunkt 3. des Ausgangsbescheides zu Unrecht“ ergangen sei.

67 Ausgehend davon erweist sich die (vom BVwG im Spruchpunkt A)III.2. des angefochtenen Erkenntnisses bestätigte) Zurückweisung der Datenschutzbeschwerde des Mitbeteiligten hinsichtlich der Verletzung im Recht auf Geheimhaltung als rechtswidrig.

9. Verletzung der Informationspflicht gemäß Art. 14 DSGVO

68 9.1. Die belangte Behörde begründete die Abweisung der Datenschutzbeschwerde des Mitbeteiligten hinsichtlich der geltend gemachten Verletzung im Recht auf Information nach Art. 14 DSGVO damit, dass die Verantwortliche (Zweitrevisionswerberin) nicht aktiv auf die betroffene Person zugehen müsse, sondern dass es ausreiche, wenn die nach Art. 14 DSGVO geforderten Informationen wie dies vorliegend der Fall gewesen sei öffentlich zugänglich seien.

69 Demgegenüber ging das BVwG davon aus, dass der Verantwortliche hinsichtlich der Informationspflicht von sich aus „aktiv Transparenz“ herstellen müsse. Ein bloßes „Online Stellen“ der Daten sei nicht ausreichend, wenn wie hier der Fall die betroffene Person keine Ahnung habe, dass ihre Daten bei Dritten erhoben worden seien.

70 Die Zweitrevisionswerberin bringt in ihrer Revision zum einen vor, das Beschwerderecht der betroffenen Person erstrecke sich nicht auf Verletzungen, die sich in der Vergangenheit abgespielt hätten; nur aktuell anhaltende Verletzungen könnten Gegenstand eines Beschwerdeverfahrens sein. Der Mitbeteiligte habe die begehrte Information mit Schreiben vom 31. Dezember 2018 erhalten, sein Rechtsschutzziel sei somit vollständig erreicht. Es gebe keine Anhaltspunkte dafür, dass mit dem DSG von der dahingehenden (zum DSG 2000 ergangenen) Rechtsprechung des Verwaltungsgerichtshofes abgewichen werden sollte. Schließlich spreche auch Art. 77 DSGVO für diese Sichtweise, weil diese Bestimmung im Präsens abgefasst sei. Zudem fänden nach Art. 14 Abs. 5 lit. a DSGVO die Abs. 1 bis 4 des Art. 14 DSGVO keine Anwendung, wenn die betroffene Person bereits über die Information verfüge.

Zum anderen so die Zweitrevisionswerberin weiter sei die Veröffentlichung einer Datenschutzerklärung im Internet im Sinn des Art. 14 DSGVO als ausreichend anzusehen. Damit stelle die Zweitrevisionswerberin der Öffentlichkeit Informationen darüber zur Verfügung, welchen potentiellen Empfängern personenbezogene Daten der betroffenen Personen übermittelt würden. Die Information könne über die Website des Verantwortlichen erfolgen, wenn die zu erteilenden Informationen allgemeinen Charakter hätten, die gegenüber allen betroffenen Personen gleich seien. Eine aktive Benachrichtigung jeder betroffenen Person über jede Übermittlung ihrer personenbezogenen Daten wäre aufgrund der Vielzahl der Bonitätsabfragen praktisch undurchführbar, zumal die Zweitrevisionswerberin nur postalische und keine elektronischen Kontaktdaten verarbeite.

71 Die belangte Behörde weist in ihrer Revision zunächst darauf hin, dass die Informationspflicht nach Art. 14 DSGVO eng mit dem Verarbeitungsgrundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO verknüpft und der Grundsatz der Transparenz hinsichtlich der Modalitäten in Art. 12 DSGVO näher konkretisiert sei. Aus Erwägungsgrund 58 zur DSGVO ergebe sich, dass Informationen nach Art. 14 DSGVO in elektronischer Form bereitgestellt werden könnten, etwa auf einer Website, wenn sie für die Öffentlichkeit bestimmt seien. Die Transparenz sei notwendige Voraussetzung für die Ausübung der weiteren Betroffenenrechte. Während eine Auskunft nach Art. 15 DSGVO auf Antrag einer bestimmten Person zu erteilen sei, seien die Informationen nach Art. 14 DSGVO an einen unbestimmten Adressatenkreis gerichtet und daher in allgemeiner, nicht auf eine einzelne betroffene Person zugeschnittene Art und Weise zu erteilen. Müsste wie das BVwG meint der Verantwortliche den Mitbeteiligten spätestens zum Zeitpunkt der ersten Offenlegung (hier also am 8. November 2018) gemäß Art. 14 Abs. 1 lit. e iVm Abs. 3 lit. c DSGVO informieren, würde dies den in Art. 15 Abs. 1 lit. c DSGVO normierten Auskunftsanspruch (bezüglich der Empfänger) „ad absurdum“ führen. Daher sei die Informationspflicht durch die von der Zweitrevisionswerberin auf ihrer Website öffentlich gemachten Informationen hinreichend erfüllt.

Selbst bei gegenteiliger Sichtweise wäre aber im Hinblick auf die Bekanntgabe der Information mit Schreiben vom 31. Dezember 2018 zum Entscheidungszeitpunkt keine Beschwer mehr vorgelegen. Ein Recht auf nachträgliche Feststellung, dass gewisse Informationen erst verspätet erteilt worden seien, sei aus der DSGVO nicht ableitbar. Dies decke sich mit der Regelung des Art. 14 Abs. 5 DSGVO, wonach keine Informationspflicht bestehe, wenn die betroffene Person über die entsprechenden Informationen verfüge. Eine allfällige Verletzung im Recht auf Geheimhaltung, weil die Informationen zu spät erfolgt seien, sei vorliegend nicht geltend gemacht worden.

72 Der Mitbeteiligte bringt diesbezüglich vor, Art. 14 Abs. 3 DSGVO verlange eine Informationserteilung innerhalb eines Monats nach Erhebung der Daten. Informationen gemäß Art. 14 DSGVO seien vom Verantwortlichen aktiv zu liefern; eine Bereitstellung auf einer Website reiche jedenfalls in solchen Fällen nicht aus, in denen die betroffene Person nicht wisse, dass Daten von ihr verarbeitet würden. Müsste eine betroffene Person vom Verantwortlichen nicht aktiv informiert werden, so müsste sie ständig das Internet nach möglichen Verantwortlichen absuchen, um an diese ein Auskunftsbegehren zu stellen. Eine online abrufbare Datenschutzerklärung könne nur dann für die Erfüllung der Informationspflicht nach Art. 14 DSGVO herangezogen werden, wenn der betroffenen Person zuvor proaktiv mitgeteilt worden sei, dass ihre Daten verarbeitet würden. Es liege auch keine Ausnahme von der Informationspflicht gemäß Art. 14 Abs. 5 DSGVO vor. Schließlich regt der Mitbeteiligte an, ein Vorabentscheidungsersuchen zur Auslegung des Art. 14 DSGVO an den EuGH zu richten, sollte der Verwaltungsgerichtshof Zweifel hinsichtlich der vom Mitbeteiligten vertretenen Auffassung hegen.

73 9.2. Der (mit Art. 13 beginnende) Abschnitt II des Kapitels III der DSGVO enthält Regelungen betreffend die Informationspflicht und das Recht auf Auskunft. Art. 14 DSGVO sieht zur Informationspflicht in seinem Abs. 1 vor, dass der Verantwortliche, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, dieser die aufgelisteten Informationen mitteilt; darunter fallen gemäß der hier gegenständlichen lit. e „gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten“. Nach Art. 14 Abs. 3 lit. a und c DSGVO sind diese Informationen innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, bzw. - falls die Offenlegung an einen anderen Empfänger beabsichtigt ist - spätestens zum Zeitpunkt der ersten Offenlegung zu erteilen. Art. 14 Abs. 5 DSGVO enthält Ausnahmen von diesen Verpflichtungen. Art. 12 Abs. 1 DSGVO sieht wiederum allgemein vor, dass Informationen gemäß (ua.) Art. 14 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln sind, wobei die Übermittlung der Informationen schriftlich oder in anderer Form, gegebenenfalls auch elektronisch, erfolgt.

74 Erwägungsgrund 58 zur DSGVO hält dazu fest, dass die Information in elektronischer Form bereitgestellt werden kann, beispielsweise auf einer Website, wenn sie für die Öffentlichkeit bestimmt ist. Gemäß Erwägungsgrund 60 zur DSGVO machen es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.

75 9.3. In einem ersten Schritt ist zunächst das Argument der revisionswerbenden Parteien zu beurteilen, wonach die nachträgliche Feststellung einer vergangenen, nicht mehr aufrechten Rechtsverletzung (auch im Anwendungsbereich des Art. 14 DSGVO) nicht vorgesehen sei.

76 Der Verwaltungsgerichtshof hat (im Zusammenhang mit den Rechten auf Auskunft, Berichtigung oder Löschung einerseits und auf Geheimhaltung andererseits) zu dieser Frage in seinem Erkenntnis VwGH 19.10.2022, Ro 2022/04/0001, Rn. 25 ff, festgehalten,

„[...], dass bereits nach der Regelung des § 24 Abs. 5 DSG zwischen dem Recht auf Geheimhaltung einerseits und den Rechten auf Auskunft, Berichtigung und Löschung andererseits zu unterscheiden ist. Nach § 24 Abs. 5 zweiter Satz DSG ist einem Verantwortlichen des privaten Bereichs aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Eine Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen wird im Zusammenhang mit dem Recht auf Geheimhaltung hingegen nicht angesprochen.

26 Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.

27 Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. [...] Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.

[...]

29 Unter Bezugnahme auf dieses Erkenntnis hat der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 28.3.2006, 2004/06/0125, die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber (infolge der wenn auch verspätet ergangenen Mitteilung) nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint. Der Verwaltungsgerichtshof hat darin betont, dass die Mitteilung über die Löschung auf die Erbringung einer Leistung gegenüber dem Rechtsunterworfenen ausgerichtet ist. [...]

[...]

31 Der Verwaltungsgerichtshof hat daher bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Art. 4 Z 7 DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden. Dies ist für die geltende Rechtslage aber nicht anders zu beurteilen.“

77 Im hier maßgeblichen Spruchpunkt A)II. geht es nun weder um das Recht auf Auskunft, Berichtigung oder Löschung (gemäß den Art. 15 bis 17 DSGVO) noch um das Recht auf Geheimhaltung (gemäß § 1 Abs. 1 DSG), sondern um die in Art. 14 DSGVO normierte Informationspflicht des Verantwortlichen gegenüber der betroffenen Person. Zwar ist diese Informationspflicht in Kapitel III der DSGVO („Rechte der betroffenen Person“) geregelt. Allerdings unterscheidet sich diese Regelung von den in den Art. 15 ff DSGVO geregelten Rechten auf Auskunft, Berichtigung, Löschung (u.ä.) dadurch, dass das Recht auf Erhalt von Informationen nach Art. 14 DSGVO anders als die Rechte nach den Art. 15 ff DSGVO nicht von einem Antrag der betroffenen Person abhängig ist. Auch in der allgemeinen Regelung des Art. 12 DSGVO ist von einem Antrag der betroffenen Person auf Wahrnehmung ihrer Rechte nur hinsichtlich der Rechte gemäß den Art. 15 bis 22 DSGVO die Rede.

78 Die Informationspflicht des Verantwortlichen nach Art. 14 DSGVO besteht somit unabhängig von einem vorherigen Antrag der betroffenen Person (vgl. in diesem Sinn auch Illibauer in Knyrim [Hrsg.], DatKomm Art. 12, Rz. 20/1). Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen (im Sinn der oben dargestellten Rechtsprechung) zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann.

79 Insofern ist diese Rechtsverletzung in dieser Hinsicht mit der durch das Erkenntnis VwGH Ro 2022/04/0001 klargestellten Rechtslage im Fall der Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG vergleichbar. Auch § 24 Abs. 5 zweiter Satz DSG sieht einen (an Verantwortliche des privaten Bereichs gerichteten) Auftrag nur bezüglich der Anträge des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung vor. Eine nachträgliche Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen im Zusammenhang mit dem Recht auf Erfüllung der Informationspflicht nach Art. 14 DSGVO wird hingegen nicht angesprochen. Somit lässt sich auch aus der von der Zweitrevisionswerberin ins Treffen geführten (noch zum DSG 2000 ergangenen) Rechtsprechung des Verwaltungsgerichtshofes (siehe etwa VwGH 27.9.2007, 2006/06/0330) zu den Rechten auf Auskunft bzw. Löschung für den vorliegenden Fall nichts ableiten.

80 An diesem Ergebnis vermag auch die von den revisionswerbenden Parteien ins Treffen geführte Regelung des Art. 14 Abs. 5 DSGVO, wonach Art. 14 Abs. 1 bis 4 DSGVO keine Anwendung findet, wenn die betroffene Person bereits über die Informationen verfügt, nichts zu ändern. Eine derartige Regelung betreffend eine Ausnahme von einer Informationspflicht kann sich nämlich nur auf den Zeitpunkt beziehen, zu dem die Informationspflicht zu erfüllen gewesen wäre; die betroffene Person muss somit zu dem Zeitpunkt über die Informationen verfügen, zu dem sie der Verantwortliche mitteilen müsste (vgl. zudem dazu, dass Ausnahmen nach [dort: Art. 2] der DSGVO nach der Rechtsprechung des EuGH eng auszulegen sind, EuGH 16.1.2024, C 33/22, Österreichische Datenschutzbehörde , Rn. 37). Dass dies im vorliegenden Fall, in dem die hier fragliche Information betreffend die Offenlegung der personenbezogenen Daten des Mitbeteiligten an eine Dritte erst aufgrund des Auskunftsersuchens des Mitbeteiligten mit Schreiben vom 31. Dezember 2018 mitgeteilt wurde, gegeben gewesen wäre, ergibt sich aus dem Vorbringen der revisionswerbenden Parteien aber gerade nicht.

81 Somit steht der Umstand, dass die nach Art. 14 Abs. 1 lit. e DSGVO mitzuteilende Information im Schreiben der Verantwortlichen vom 31. Dezember 2018 enthalten war, der Feststellung einer Verletzung im diesbezüglichen Recht per se nicht entgegen.

82 9.4. Angesichts dessen ist daher zu prüfen, ob das BVwG fallbezogen zu Recht eine Verletzung des Art. 14 Abs. 1 lit. e DSGVO angenommen hat.

83 Der EuGH hat im Zusammenhang mit der Abgrenzung des Art. 15 von den Art. 13 und 14 DSGVO festgehalten, dass in letzteren Bestimmungen die Pflicht des Verantwortlichen festgelegt ist, der betroffenen Person Informationen über die Kategorien von Empfängern oder die konkreten Empfänger von sie betreffenden personenbezogenen Daten bereitzustellen, wenn diese Daten bei der betroffenen Person oder nicht bei der betroffenen Person erhoben werden, während Art. 15 DSGVO ein tatsächliches Auskunftsrecht zugunsten der betroffenen Person vorsieht, so dass diese wählen können muss, ob ihr falls möglich – Informationen über bestimmte Empfänger, gegenüber denen diese Daten offengelegt wurden oder noch offengelegt werden, oder Informationen über die Kategorien von Empfängern bereitgestellt werden (EuGH 12.1.2023, C 154/21, Österreichische Post [Informationen über die Empfänger personenbezogener Daten] , Rn. 36).

84 Zu den mit den Art. 13 und 14 DSGVO dem Grunde nach vergleichbaren Vorgängerregelungen der Art. 10 und 11 der Richtlinie 95/46 hat der EuGH festgehalten, dass das Erfordernis der Unterrichtung der von der Verarbeitung ihrer personenbezogenen Daten betroffenen Personen die Voraussetzung dafür schafft, dass sie ihr Auskunfts- und Berichtigungsrecht sowie ihr Recht, der Verarbeitung der Daten zu widersprechen, ausüben können. Folglich verpflichtet das in Art. 6 der Richtlinie 95/46 vorgesehene Erfordernis der Verarbeitung personenbezogener Daten nach Treu und Glauben eine Verwaltungsbehörde, die betroffenen Personen davon zu unterrichten, dass die personenbezogenen Daten an eine andere Verwaltungsbehörde weitergeleitet werden, um von dieser in ihrer Eigenschaft als deren Empfänger verarbeitet zu werden (vgl. zu allem EuGH 1.10.2015, C 201/14, Smaranda Bara ua. , Rn. 33 f; vgl. weiters EuGH 7.5.2009, C 553/07, Rijkeboer , Rn. 68, wonach mit den Art. 10 und 11 der Richtlinie 46/95 dem für die Verarbeitung Verantwortlichen die Pflicht auferlegt wird, unter bestimmten Voraussetzungen die betroffene Person u.a. über die Empfänger oder Kategorien der Empfänger der Daten zu informieren, wobei der für die Verarbeitung Verantwortliche oder sein Vertreter selbst die betroffene Person hiervon unterrichten muss, namentlich zum Zeitpunkt der Erhebung der Daten oder, wenn sie nicht unmittelbar bei dieser Person erhoben werden, zum Zeitpunkt der Speicherung der Daten oder gegebenenfalls zum Zeitpunkt ihrer Weitergabe an einen Dritten).

85 In den Leitlinien für Transparenz gemäß der Verordnung 2016/679 der Artikel 29 Datenschutzgruppe, WP 260 rev.01, S 9, heißt es zu der in Art. 12 Abs. 1 DSGVO angesprochenen leichten Zugänglichkeit der Information, dass die betroffene Person nicht gezwungen sein sollte, die Informationen selbst ausfindig zu machen; vielmehr sollte für sie ersichtlich sein, wo und wie sie auf diese Informationen zugreifen können, was etwa dadurch geschehen könne, dass ihr ein entsprechender Link zur Verfügung gestellt werde.

86 Vorauszuschicken ist zunächst, dass die Regelung zur Informationspflicht in Art. 14 DSGVO ein aktives Handeln des Verantwortlichen ohne vorausgehenden Antrag der betroffenen Person erfordert. Strittig ist allerdings, ob die Bereitstellung einer (entsprechende Informationen enthaltenden) Datenschutzerklärung auf der Homepage der Zweitrevisionswerberin in einer Konstellation wie der vorliegenden für die Erfüllung der in Art. 14 Abs. 1 DSGVO normierten Informationspflicht ausreichend ist.

87 Dabei ist nach Ansicht des Verwaltungsgerichtshofes insbesondere zu beachten, dass nach der oben dargestellten, insoweit auf die DSGVO übertragbaren Aussage des EuGH in seinem Urteil C 201/14 die Pflicht zur Mitteilung der Informationen Voraussetzung dafür ist, dass die von der Verarbeitung ihrer personenbezogenen Daten betroffene Person ihre Rechte auf Auskunft, Berichtigung oder Löschung (u.ä.) ausüben kann. Um dieser Funktion gerecht zu werden, ist es aber wiederum erforderlich, dass diese Informationen für die betroffene Person leicht zugänglich sind. Dies kann in einem Fall, in dem die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden sind, die betroffene Person auch sonst in keiner Verbindung mit dem Verantwortlichen steht und daher keine Kenntnis von einer Verarbeitung ihrer personenbezogenen Daten durch die Verantwortliche haben muss, durch die bloße Möglichkeit der Abrufbarkeit einer Datenschutzerklärung auf einer Website aber nicht gewährleistet werden. Vor dem Hintergrund der auch vom EuGH zum Ausdruck gebrachten Zielsetzung kann Art. 14 Abs. 1 DSGVO daher nicht dahingehend verstanden werden, dass die Verfügbarkeit der darin genannten Informationen auf einer Website ohne eine aktive, ausdrückliche Verständigung der betroffenen Person von dieser Form der Bereitstellung auch dann ausreichend ist, wenn die betroffene Person auch dem Grunde nach keine Kenntnis vom Umstand einer Datenverarbeitung durch die Verantwortliche hatte (vgl. in diesem Sinn auch Knyrim , in Ehmann/Selmayr [Hrsg.], DS GVO Art. 14 Rz. 13; Greve , in Sydow/Marsch [Hrsg.], DS GVO/BDSG Art. 12 Rz. 20; Bäcker in Kühling/Buchner [Hrsg.], DS GVO [2020], Art. 14 Rz. 41).

88 Da eine solche Kenntnis des Mitbeteiligten von einer Datenverarbeitung durch die Zweitrevisionswerberin zum Zeitpunkt der Erhebung der Daten auch in den Revisionen nicht vorgebracht und das Vorliegen eines Ausnahmetatbestandes nach Art. 14 Abs. 5 DSGVO nicht in einer für den Verwaltungsgerichtshof nachvollziehbaren Art aufgezeigt wird, ist die in Spruchpunkt A)II. getroffene Feststellung des BVwG betreffend eine Verletzung des Art. 14 Abs. 1 lit. e DSGVO nicht als rechtswidrig zu erkennen.

10. Ergebnis

89 Aus den in Pkt. II.5. dargestellten Erwägungen waren die Spruchpunkte A)I.1. und A)I.2. des angefochtenen Erkenntnisses und aus den in Pkt. II.8. dargestellten Erwägungen war Spruchpunkt A)III.2. des angefochtenen Erkenntnisses jeweils gemäß § 42 Abs. 2 Z 1 VwGG wegen Rechtswidrigkeit des Inhaltes aufzuheben.

90 Aus den in Pkt. II.9. bzw. den in den Pkten. II.6. bis II. 8 dargelegten Erwägungen waren die Revisionen im Übrigen, soweit sie sich somit gegen die Spruchpunkte A)II. und A)III.1. des angefochtenen Erkenntnisses richteten, gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.

91 Der Antrag des Mitbeteiligten auf Sachentscheidung des Verwaltungsgerichtshofes hinsichtlich des angefochtenen Spruchpunktes A)II. war aus den in Pkt. II.2. dargelegten Erwägungen zurückzuweisen.

92 Die Entscheidung über den Aufwandersatz beruht auf den §§ 47 ff, insbesondere § 50 VwGG iVm der VwGH Aufwandersatzverordnung 2014.

Wien, am 6. März 2024