Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak und die Hofräte Dr. Mayr und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision des C G in G, vertreten durch die Höhne, In der Maur Partner Rechtsanwälte GmbH Co KG in 1070 Wien, Mariahilfer Straße 20, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 7. September 2023, Zl. W287 2256190 1/5E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; weitere Partei: Bundesministerin für Justiz; mitbeteiligte Partei: R GmbH [vormals I GmbH] in W, vertreten durch die Kosch Partner Rechtsanwälte GmbH in 1100 Wien, Am Belvedere 11), zu Recht erkannt:
Das angefochtene Erkenntnis wird wegen Rechtswidrigkeit seines Inhaltes aufgehoben.
Der Bund hat dem Revisionswerber Aufwendungen in der Höhe von € 1.346,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
1 Mit Bescheid vom 11. Mai 2022 wies die belangte Behörde die gegen die mitbeteiligte Partei wegen unvollständiger Bereitstellung von Informationen nach Art. 14 DSGVO gerichtete Datenschutzbeschwerde des Revisionswerbers vom 12. Juli 2021 als unbegründet ab.
2 Begründend führte die belangte Behörde zusammengefasst aus, die mitbeteiligte Partei habe die behauptete Verletzung im Recht auf Information bis zum Abschluss des Verfahrens vor der belangten Behörde beseitigt, indem sie dem Revisionswerber die gemäß Art. 14 DSGVO erforderlichen Informationen zur Verfügung gestellt habe. Dem Revisionswerber komme kein Recht auf Feststellung zu, dass die Information zu spät erteilt worden sei.
3 Die dagegen erhobene Beschwerde des Revisionswerbers wies das Verwaltungsgericht mit dem angefochtenen Erkenntnis als unbegründet ab und sprach aus, dass die Revision zulässig sei.
4 In seiner Begründung stellte das Verwaltungsgericht fest, dass die mitbeteiligte Partei dem Revisionswerber im Zuge des Verfahrens vor der belangten Behörde eine vollständige Information nach Art. 14 DSGVO erteilt habe. Rechtlich legte das Verwaltungsgericht zusammengefasst dar, dem Revisionswerber komme kein Recht auf Feststellung von Rechtsverletzungen zu, die zum Zeitpunkt der Entscheidung der belangten Behörde nicht mehr bestanden hätten.
5 Den Zulässigkeitsausspruch begründete das Verwaltungsgericht mit fehlender Rechtsprechung des Verwaltungsgerichtshofs zur Rechtsfrage, „ob § 24 DSG im Anwendungsbereich der DSGVO einem/einer Betroffenen das Recht auf Feststellung einer Verletzung des Rechts auf Auskunft einräumt, wenn eine Auskunft während des Beschwerdeverfahrens vor der DSB erteilt worden ist bzw. ob die hiezu zur Rechtslage zum DSG 2000 ergangene Rechtsprechung des Verwaltungsgerichtshofs auf die aktuelle Rechtslage übertragbar ist“.
6 Dagegen richtet sich die vorliegende ordentliche Revision. Die belangte Behörde und die mitbeteiligte Partei erstatteten jeweils Revisionsbeantwortungen, in der sie jeweils die Zurück- in eventu Abweisung der Revision beantragten.
Der Verwaltungsgerichtshof hat in einem gemäß § 12 Abs. 1 Z 2 VwGG gebildeten Senat erwogen:
Zulässigkeit
7 In der ordentlichen Revision wird ergänzend zur Zulässigkeitsbegründung des Verwaltungsgerichts vorgebracht, es fehle Rechtsprechung des Verwaltungsgerichtshofes zur Rechtsfrage, ob die nachträgliche Erteilung der Information gemäß Art. 14 DSGVO der Feststellung der Verletzung der Informationspflicht nach dieser Bestimmung entgegenstehe.
8 Die Revision erweist sich zu Letzterem als zulässig; sie ist auch berechtigt.
Recht auf Feststellung der Verletzung der Informationspflicht nach Art. 14 DSGVO trotz nachträglich vollständig erteilter Information
9 Der Revisionswerber bringt vor, § 24 Abs. 5 und 6 DSG sei vorliegend nicht anwendbar. Die mitbeteiligte Partei sei von sich aus verpflichtet, ihre Informationspflichten gemäß Art. 13 bzw. 14 DSGVO gegenüber dem Revisionswerber zu erfüllen. Dazu brauche es keinen Antrag seitens des Revisionswerbers. Demgegenüber setze § 24 Abs. 6 DSG voraus, dass der Beschwerdegegner den Anträgen des Beschwerdeführers entspreche.
Da ein Betroffener gemäß Art. 77 DSGVO berechtigt sei, die belangte Behörde wegen eines Verstoßes gegen Art. 14 DSGVO anzurufen, könne der von der belangten Behörde zu erlassende Bescheid mangels Alternative lediglich ein Feststellungsbescheid sein. Es sei weder ein Gestaltungs noch ein Leistungsbescheid denkbar. Der Zweck von Art. 13 und Art. 14 DSGVO sei es, den Betroffenen über einen ihn betreffenden Verarbeitungsvorgang zu informieren. Ein „Nachholen“ der Informationspflicht sei daher in keinem Fall rechtlich möglich.
10 Die belangte Behörde wendet dagegen in ihrer Revisionsbeantwortung zusammengefasst ein, Art. 14 DSGVO sei im Kapitel III der Verordnung geregelt. Bereits aus der Überschrift dieses Kapitels („Rechte der betroffenen Person“) ergebe sich, dass einerseits der Verantwortliche gemäß Art. 14 DSGVO bestimmte Informationen von sich zur Verfügung stellen müsse, andererseits die betroffene Person auch das Recht habe, diese Informationen antragsunabhängig zu erhalten. Dass Art. 14 DSGVO nicht in Art. 12 Abs. 2 DSGVO erwähnt werde, sei nur so zu verstehen, dass der Verantwortliche ohne Antrag tätig werden müsse.
Die Feststellungskompetenz der belangten Behörde ergebe sich nicht aus der DSGVO, sondern aus § 24 Abs. 5 DSG. Darin werde zwar festgehalten, dass ein Leistungsauftrag nur dann zu erteilen sei, wenn eine Beschwerde im Zusammenhang mit dem Recht auf Auskunft, Berichtigung, Löschung Einschränkung oder Datenübertragung geltend gemacht werde. § 24 Abs. 5 und 6 DSG sei jedoch auf Beschwerden im Zusammenhang mit dem Informationsrecht nach Art. 13 und Art. 14 DSGVO analog anzuwenden, weil der österreichische Gesetzgeber im Zuge der Anpassung des DSG an die DSGVO in § 24 Abs. 5 und 6 DSG offenbar nicht davon ausgegangen sei, dass die Informationspflichten nach Art. 13 und Art. 14 DSGVO aus Sicht eines Betroffenen umgekehrt als antragsunabhängige Informationsrechte geltend gemacht werden könnten.
Überdies räume Art. 58 Abs. 2 DSGVO der belangten Behörde weitgehende Befugnisse ein, um einen Verantwortlichen oder Auftragsverarbeiter zu einem rechtskonformen Verhalten zu veranlassen. Eine Feststellungskompetenz der Behörde lasse sich daraus nicht ableiten.
Eine Beschwerde nach Art. 77 DSGVO ziele darauf ab, Rechtsschutz zu erlangen, wenn ein Verantwortlicher bestimmten Begehren oder Pflichten nicht nachkomme. Der Erfolg einer Beschwerde nach Art. 77 Abs. 1 DSGVO iVm § 24 DSG knüpfe zwingend an die Voraussetzung, dass zum Entscheidungszeitpunkt eine konkrete Beschwer vorliege. Ein Recht auf Feststellung, dass gewisse Informationen nicht im Zeitpunkt der Erhebung (Art. 14 Abs. 1 DSGVO) oder im Zeitpunkt der in Art. 14 Abs. 3 DSGVO normierten Fälle erteilt worden sei, sei aus der DSGVO und dem DSG nicht ableitbar. Dies finde auch im Wortlaut von Art. 13 Abs. 4 und Art. 14 Abs. 5 DSGVO Deckung, dass keine Informationspflicht bestehe, wenn die betroffene Person über die entsprechenden Informationen verfüge.
11 Die mitbeteiligte Partei brachte in ihrer Revisionsbeantwortung zusammengefasst vor, die belangte Behörde habe infolge der Informationserteilung durch die mitbeteiligte Partei davon ausgehen können, dass der Revisionswerber gemäß Art. 13 Abs. 4 DSGVO über alle Informationen verfüge. Somit liege keine Verletzung im Recht auf Information mehr vor. Der Revisionswerber sei nicht mehr beschwert. Das Rechtsschutzziel im Sinne des Art. 77 DSGVO sei damit erfüllt. Damit stehe auch der Wortlaut des Art. 77 DSGVO im Einklang, dass die betroffene Person nur dann eine Beschwerde bei der Aufsichtsbehörde einbringen könne, wenn sie der Ansicht sei, dass die Verarbeitung der personenbezogenen Daten gegen die DSGVO „verstößt“. Dem Revisionswerber komme daher weder zum Entscheidungszeitpunkt der belangten Behörde noch zum Entscheidungszeitpunkt des Verwaltungsgerichts ein rechtliches Interesse an der gewünschten Feststellung zu. Ein eigenständiger Feststellungsanspruch über Rechtsverletzungen in der Vergangenheit sei weder der DSGVO noch dem DSG zu entnehmen. Die diesbezügliche Rechtsprechung des Verwaltungsgerichtshofes zum DSG 2000 sei, wie auch im Erkenntnis VwGH 19.10.2022, Ro 2022/04/0001, dargelegt, auf die neue Rechtslage übertragbar.
12 Der Verwaltungsgerichtshof hat in seinem Erkenntnis VwGH 6.3.2024, Ro 2021/04/0027, Rn. 27 bis 37, insbesondere unter Bezugnahme auf VwGH 19.10.2022, Ro 2022/04/0001, ein Recht der betroffenen Person auf Feststellung einer behaupteten Verletzung im Recht auf Auskunftserteilung nach Art. 15 DSGVO verneint, wenn der Beschwerdegegner gemäß § 24 Abs. 6 DSG bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die begehrte Auskunft vollständig erteilt und damit die behauptete Rechtsverletzung nachträglich beseitigt.
13 Mit Erkenntnis vom gleichen Tag, VwGH 6.3.2024, Ro 2021/04/0030 bis 0031, hat sich der Verwaltungsgerichtshof eingehend mit der vorliegend wesentlichen Rechtsfrage der nachträglichen Feststellung einer vergangenen, nicht mehr aufrechten Rechtsverletzung im Anwendungsbereich des Art. 14 DSGVO auseinandergesetzt und dazu nach auszugsweiser, wörtlicher Wiedergabe der Rn. 25 bis 27 sowie 29 und 31 des Erkenntnisses VwGH 19.10.2022, Ro 2022/04/0001, auszugsweise, wie folgt, festgehalten:
„77 Vorliegend geht es [...] um die in Art. 14 DSGVO normierte Informationspflicht des Verantwortlichen gegenüber der betroffenen Person. Zwar ist diese Informationspflicht in Kapitel III der DSGVO (‚Rechte der betroffenen Person‘) geregelt. Allerdings unterscheidet sich diese Regelung von den in den Art. 15 ff DSGVO geregelten Rechten auf Auskunft, Berichtigung, Löschung (u.ä.) dadurch, dass das Recht auf Erhalt von Informationen nach Art. 14 DSGVO anders als die Rechte nach den Art. 15 ff DSGVO nicht von einem Antrag der betroffenen Person abhängig ist. Auch in der allgemeinen Regelung des Art. 12 DSGVO ist von einem Antrag der betroffenen Person auf Wahrnehmung ihrer Rechte nur hinsichtlich der Rechte gemäß den Art. 15 bis 22 DSGVO die Rede.
78 Die Informationspflicht des Verantwortlichen nach Art. 14 DSGVO besteht somit unabhängig von einem vorherigen Antrag der betroffenen Person (vgl. in diesem Sinn auch Illibauer in Knyrim [Hrsg.], DatKomm Art. 12, Rz. 20/1). Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen (im Sinn der oben dargestellten Rechtsprechung) zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann.
79 Insofern ist diese Rechtsverletzung in dieser Hinsicht mit der durch das Erkenntnis VwGH Ro 2022/04/0001 klargestellten Rechtslage im Fall der Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG vergleichbar. Auch § 24 Abs. 5 zweiter Satz DSG sieht einen (an Verantwortliche des privaten Bereichs gerichteten) Auftrag nur bezüglich der Anträge des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung vor. Eine nachträgliche Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen im Zusammenhang mit dem Recht auf Erfüllung der Informationspflicht nach Art. 14 DSGVO wird hingegen nicht angesprochen. Somit lässt sich auch aus der von der Zweitrevisionswerberin ins Treffen geführten (noch zum DSG 2000 ergangenen) Rechtsprechung des Verwaltungsgerichtshofes (siehe etwa VwGH 27.9.2007, 2006/06/0330) zu den Rechten auf Auskunft bzw. Löschung für den vorliegenden Fall nichts ableiten.
80 An diesem Ergebnis vermag auch die von den revisionswerbenden Parteien ins Treffen geführte Regelung des Art. 14 Abs. 5 DSGVO, wonach Art. 14 Abs. 1 bis 4 DSGVO keine Anwendung findet, wenn die betroffene Person bereits über die Informationen verfügt, nichts zu ändern. Eine derartige Regelung betreffend eine Ausnahme von einer Informationspflicht kann sich nämlich nur auf den Zeitpunkt beziehen, zu dem die Informationspflicht zu erfüllen gewesen wäre; die betroffene Person muss somit zu dem Zeitpunkt über die Informationen verfügen, zu dem sie der Verantwortliche mitteilen müsste (vgl. zudem dazu, dass Ausnahmen nach [dort: Art. 2] der DSGVO nach der Rechtsprechung des EuGH eng auszulegen sind, EuGH 16.1.2024, C 33/22, Österreichische Datenschutzbehörde , Rn. 37). [...]“
14 Da vorliegend die mitbeteiligte Partei erst während des Verfahrens vor der belangten Behörde, jedoch nicht bereits zu dem in Art. 14 Abs. 3 DSGVO bestimmten Zeitpunkt, die gemäß Art. 14 DSGVO gegenüber dem Revisionswerber zu erteilenden Informationen übermittelt hat, steht die vollständige nachträgliche Zurverfügungstellung dieser Informationen der Feststellung einer Verletzung der Informationspflicht nach Art. 14 DSGVO nicht entgegen. Da vorliegend die geltend gemachte Rechtsverletzung nach Art. 14 DSGVO in der Unterlassung der (antragslos zu erfolgenden) Mitteilung liegt, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann (vgl. das oben auszugsweise wiedergegebene Erkenntnis VwGH 6.3.2024, Ro 2021/04/0030 bis 0031, Rn. 78), fehlt es auch nicht an der Beschwer im Entscheidungszeitpunkt der belangten Behörde.
15 Demnach kommt dem Revisionswerber, obwohl die mitbeteiligte Partei nachträglich während des Verfahrens vor der belangten Behörde ihre Informationspflicht nach Art. 14 DSGVO erfüllt hat, das Recht auf Feststellung einer Verletzung dieser Informationspflicht zu.
Ergebnis
16 Aus den dargelegten Gründen ist die vom Verwaltungsgericht bestätigte Abweisung der auf Verletzung der Informationspflicht nach Art. 14 DSGVO gerichteten Datenschutzbeschwerde rechtswidrig. Das angefochtene Erkenntnis war daher gemäß § 42 Abs. 2 Z 1 VwGG aufzuheben.
17 Der Ausspruch über den Aufwandersatz stützt sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 20. März 2025
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
RIS