4 B-VG zulässig.Die Revision ist
Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: Die mitbeteiligte Partei richtete am XXXX .2019 ein Auskunftsbegehren an die XXXX der Stadt Wien, um zu erfahren, welche Art und welchen Inhalt von Daten über sie, zu welchem Zweck, wie lange, aufgrund welcher Rechtsgrundlagen gespeichert würden, wer die zuständige Aufsichtsbehörde sei, welche Daten aufgrund eines Angemessenheitsbeschlusses der EU-Kommission und welche Daten im Zuge von automatisierten Entscheidungsfindungen verarbeitet würden. Das Auskunftsbegehren war elektronisch signiert. Die mitbeteiligte Partei richtete am römisch 40 .2019 ein Auskunftsbegehren an die römisch 40 der Stadt Wien, um zu erfahren, welche Art und welchen Inhalt von Daten über sie, zu welchem Zweck, wie lange, aufgrund welcher Rechtsgrundlagen gespeichert würden, wer die zuständige Aufsichtsbehörde sei, welche Daten aufgrund eines Angemessenheitsbeschlusses der EU-Kommission und welche Daten im Zuge von automatisierten Entscheidungsfindungen verarbeitet würden. Das Auskunftsbegehren war elektronisch signiert. Mit Schreiben vom XXXX .2019 gab der Beschwerdeführer (der Magistrat der Stadt Wien) bekannt, dass die Anfrage an die nach der Geschäftseinteilung des Magistrats der Stadt Wien für die Koordinierung der Beantwortung von Auskunftsbegehren nach Art. 15 DSGVO zuständige MA XXXX weitergeleitet worden sei. Weiter knüpfe Art. 12 Abs. 6 DSGVO die Auskunftserteilung an die Bedingung, dass die betroffenen Personen gegenüber der Verantwortlichen ihre Identität nachweisen würden. Als tauglicher Identitätsnachweis gelte eine Kopie eines amtlichen Ausweises. Eine qualifizierte elektronische Signatur sei für die Durchführung einer Identitätsprüfung nicht ausreichend. Die mitbeteiligte Partei werde daher aufgefordert, binnen einer Woche schriftlich eine Kopie eines Ausweises zu übermitteln. Mit Schreiben vom römisch 40 .2019 gab der Beschwerdeführer (der Magistrat der Stadt Wien) bekannt, dass die Anfrage an die nach der Geschäftseinteilung des Magistrats der Stadt Wien für die Koordinierung der Beantwortung von Auskunftsbegehren nach Artikel 15, DSGVO zuständige MA römisch 40 weitergeleitet worden sei. Weiter knüpfe Artikel 12, Absatz 6, DSGVO die Auskunftserteilung an die Bedingung, dass die betroffenen Personen gegenüber der Verantwortlichen ihre Identität nachweisen würden. Als tauglicher Identitätsnachweis gelte eine Kopie eines amtlichen Ausweises. Eine qualifizierte elektronische Signatur sei für die Durchführung einer Identitätsprüfung nicht ausreichend. Die mitbeteiligte Partei werde daher aufgefordert, binnen einer Woche schriftlich eine Kopie eines Ausweises zu übermitteln. Daraufhin brachte die mitbeteiligte Partei am XXXX 2019 eine Beschwerde bei der DSB ein. Daraufhin brachte die mitbeteiligte Partei am römisch 40 2019 eine Beschwerde bei der DSB ein. Im Verfahren vor der DSB führte der Beschwerdeführer in einer Stellungnahme vom XXXX 2019 soweit wesentlich aus, dass die elektronische Signatur im Sinne des § 4 Abs. 1 SVG nur einen Nachweis über die Zurechenbarkeit eines Schriftstücks zu einer bestimmten Person bzw. der Identifikation des Unterfertigenden liefere, nicht jedoch als Nachweis der Identität einer Person diene. Im Verfahren vor der DSB führte der Beschwerdeführer in einer Stellungnahme vom römisch 40 2019 soweit wesentlich aus, dass die elektronische Signatur im Sinne des Paragraph 4, Absatz eins, SVG nur einen Nachweis über die Zurechenbarkeit eines Schriftstücks zu einer bestimmten Person bzw. der Identifikation des Unterfertigenden liefere, nicht jedoch als Nachweis der Identität einer Person diene. Eine weitere Stellungnahme wurde im behördlichen Verfahren nicht abgegeben. Mit dem angefochtenen Bescheid gab die DSB der Beschwerde Folge und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt habe, indem er ihrem Auskunftsbegehren nicht entsprochen habe (Spruchpunkt 1.). Es wurde dem Beschwerdeführer aufgetragen, innerhalb einer Frist von zwei Wochen dem Antrag der mitbeteiligten Partei zu entsprechen (Spruchpunkt 2.). Begründend führte die DSB dabei zusammengefasst aus, dass Art. 12 Abs. 6 DSGVO keine routinemäßige Identitätsprüfung ermögliche. Ein_e Verantwortliche_r dürfe daher nicht von allen Personen, die schriftlich oder per Email einen Auskunftsantrag stellen würden, die Vorlage eines Identitätsnachweises verlangen. Es sei ein wesentliches Merkmal einer elektronischen Signatur, dass die Identität der natürlichen Person im Zuge der Ausstellung des Zertifikats von einer Zertifizierungsstelle geprüft werde. Angesichts der Tatsache, dass die mitbeteiligte Partei neben einer qualifizierten elektronischen Signatur auch ihre Adresse und Emailadresse angegeben habe, wäre es dem Beschwerdeführer ohne Probleme möglich gewesen, den Auskunftswerber zweifelsfrei zu identifizieren. Weiters seien vom Beschwerdeführer keine begründeten Zweifel vorgebracht worden, vielmehr beschränke sie sich auf die allgemeine Aussage, dass begründete Zweifel bereits dann vorliegen würden, wenn die Authentizität einer Eingabe nicht hinreichend sichergestellt sei. Der Leistungsauftrag gründe sich auf Art. 58 Abs. 2 lit. c DSGVO iVm § 24 Abs. 5 DSGVO. Mit dem angefochtenen Bescheid gab die DSB der Beschwerde Folge und stellte fest, dass der Beschwerdeführer die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt habe, indem er ihrem Auskunftsbegehren nicht entsprochen habe (Spruchpunkt 1.). Es wurde dem Beschwerdeführer aufgetragen, innerhalb einer Frist von zwei Wochen dem Antrag der mitbeteiligten Partei zu entsprechen (Spruchpunkt 2.). Begründend führte die DSB dabei zusammengefasst aus, dass Artikel 12, Absatz 6, DSGVO keine routinemäßige Identitätsprüfung ermögliche. Ein_e Verantwortliche_r dürfe daher nicht von allen Personen, die schriftlich oder per Email einen Auskunftsantrag stellen würden, die Vorlage eines Identitätsnachweises verlangen. Es sei ein wesentliches Merkmal einer elektronischen Signatur, dass die Identität der natürlichen Person im Zuge der Ausstellung des Zertifikats von einer Zertifizierungsstelle geprüft werde. Angesichts der Tatsache, dass die mitbeteiligte Partei neben einer qualifizierten elektronischen Signatur auch ihre Adresse und Emailadresse angegeben habe, wäre es dem Beschwerdeführer ohne Probleme möglich gewesen, den Auskunftswerber zweifelsfrei zu identifizieren. Weiters seien vom Beschwerdeführer keine begründeten Zweifel vorgebracht worden, vielmehr beschränke sie sich auf die allgemeine Aussage, dass begründete Zweifel bereits dann vorliegen würden, wenn die Authentizität einer Eingabe nicht hinreichend sichergestellt sei. Der Leistungsauftrag gründe sich auf Artikel 58, Absatz 2, Litera c, DSGVO in Verbindung mit Paragraph 24, Absatz 5, DSGVO. Mit Beschwerde vom XXXX .2020 brachte der Beschwerdeführer zum einen vor, dass dem Leistungsauftrag § 24 Abs. 5 DSG entgegen stehe, wonach ein solcher nur gegen Verantwortliche des privaten Bereichs möglich seien. Weiter werde eine routinemäßige Identitätsprüfung von Seiten des Magistrats Wien nicht durchgeführt, eine Prüfung sei aber dann durchzuführen, wenn begründete Zweifel an der Identität eines Auskunftswerbers bzw. einer Auskunftswerberin bestehen würden, welche auch nicht durch eine Emailadresse oder Postanschrift zerstreut werden könnten. Die elektronische Signatur ermögliche nur die Zurechenbarkeit eines Inhalts zu einem/einer Unterfertigenden, womit aber noch nichts über die Identität des/der Unterfertigenden gesagt werde. Mag zwar dadurch die Echtheit eines Schriftstückes dargetan sein, und dass es vom/von der Aussteller_in stamme, so sei davon die Frage nach der Ausweisqualität des Schriftstücks zu trennen. Auch das Faktum, dass die Identität einer Person, der ein Zertifikat ausgestellt würde, überprüft werde, vermöge die elektronische Signatur nicht in den Rang eines Ausweisdokuments zu erheben. Mit Beschwerde vom römisch 40 .2020 brachte der Beschwerdeführer zum einen vor, dass dem Leistungsauftrag Paragraph 24, Absatz 5, DSG entgegen stehe, wonach ein solcher nur gegen Verantwortliche des privaten Bereichs möglich seien. Weiter werde eine routinemäßige Identitätsprüfung von Seiten des Magistrats Wien nicht durchgeführt, eine Prüfung sei aber dann durchzuführen, wenn begründete Zweifel an der Identität eines Auskunftswerbers bzw. einer Auskunftswerberin bestehen würden, welche auch nicht durch eine Emailadresse oder Postanschrift zerstreut werden könnten. Die elektronische Signatur ermögliche nur die Zurechenbarkeit eines Inhalts zu einem/einer Unterfertigenden, womit aber noch nichts über die Identität des/der Unterfertigenden gesagt werde. Mag zwar dadurch die Echtheit eines Schriftstückes dargetan sein, und dass es vom/von der Aussteller_in stamme, so sei davon die Frage nach der Ausweisqualität des Schriftstücks zu trennen. Auch das Faktum, dass die Identität einer Person, der ein Zertifikat ausgestellt würde, überprüft werde, vermöge die elektronische Signatur nicht in den Rang eines Ausweisdokuments zu erheben. Mit Schriftsatz vom XXXX .2020 legte die DSB den Akt dem BVwG vor. Mit Schriftsatz vom römisch 40 .2020 legte die DSB den Akt dem BVwG vor. Den Parteien wurde mit Schreiben vom XXXX 2020 die Gelegenheit zur Stellungnahme zur Beschwerde und Vorlage der DSG gegeben, und der Beschwerdeführer konkret aufgefordert, die begründeten Zweifel an der Identität der mitbeteiligten Partei darzulegen. Den Parteien wurde mit Schreiben vom römisch 40 2020 die Gelegenheit zur Stellungnahme zur Beschwerde und Vorlage der DSG gegeben, und der Beschwerdeführer konkret aufgefordert, die begründeten Zweifel an der Identität der mitbeteiligten Partei darzulegen. Der Beschwerdeführer kam dieser Aufforderung mit Schriftsatz vom XXXX .2020 nach, wobei zu Spruchpunkt 1. des angefochtenen Bescheids im wesentlichen dieselben Ausführungen wie in der Beschwerde gemacht wurden. Zur Frage des Leistungsauftrags führte der Beschwerdeführer aus, dass seiner Ansicht nach kein Vorrang des Unionsrechts bestehe, da die innerstaatliche Regelung nur eine verfahrensrechtliche sei, die nicht gegen die Effektivität des Unionsrechts verstoße, da bei Feststellung einer Verletzung in den Rechten der DSGVO Schadenersatz nach § 29 DSG begehrt werden könne. Schließlich würden sich die Zweifel an der Identität der mitbeteiligten Partei daraus ergeben, dass diese ein Auskunftsersuchen lediglich mit einer Emailadresse, einer Postanschrift und einer elektronischen Signatur gestellt habe. Es sei notwendig, dass sich der Beschwerdeführer von der Identität eines Antragstellers bzw. einer Antragstellerin überzeuge, da es nicht zulässig sei, andere Dienststellen zu ersuchen, in ihrem Namen Verifizierungen vorzunehmen. Der Beschwerdeführer kam dieser Aufforderung mit Schriftsatz vom römisch 40 .2020 nach, wobei zu Spruchpunkt 1. des angefochtenen Bescheids im wesentlichen dieselben Ausführungen wie in der Beschwerde gemacht wurden. Zur Frage des Leistungsauftrags führte der Beschwerdeführer aus, dass seiner Ansicht nach kein Vorrang des Unionsrechts bestehe, da die innerstaatliche Regelung nur eine verfahrensrechtliche sei, die nicht gegen die Effektivität des Unionsrechts verstoße, da bei Feststellung einer Verletzung in den Rechten der DSGVO Schadenersatz nach Paragraph 29, DSG begehrt werden könne. Schließlich würden sich die Zweifel an der Identität der mitbeteiligten Partei daraus ergeben, dass diese ein Auskunftsersuchen lediglich mit einer Emailadresse, einer Postanschrift und einer elektronischen Signatur gestellt habe. Es sei notwendig, dass sich der Beschwerdeführer von der Identität eines Antragstellers bzw. einer Antragstellerin überzeuge, da es nicht zulässig sei, andere Dienststellen zu ersuchen, in ihrem Namen Verifizierungen vorzunehmen. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: 1. Feststellungen: Die mitbeteiligte Partei stellte am XXXX .2019 ein elektronisch signiertes Auskunftsbegehren nach Art. 15 DSGVO an den Beschwerdeführer über die Art, den Inhalt, die Herkunft, die Verwendungszwecke, die zuständige Aufsichtsbehörde, die Übermittlungsempfänger und die Speicherdauer der Daten, die über sie gespeichert würden. Weiters begehrte sie Auskunft, aufgrund welcher Rechtsgrundlage die Verwendung der Daten erfolge, und welche Daten im Zuge der automatisierten Entscheidungsfindung einschließlich Profiling verarbeitet würden. Sie ersuchte auch mit Verweis auf Art. 4 DSGVO um Auskunft aller anfallenden Daten, die sich in anderen Dateien befinden würden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit ihren personenbezogenen Daten direkt oder indirekt verknüpft werden könnten. Sollten die Daten
DSGVO verarbeitet werden, begehrte die mitbeteiligte Partei auch die Angabe von Name und Anschrift des Auftragsverarbeiters bzw. der Auftragsverarbeiterin. Die mitbeteiligte Partei stellte am römisch 40 .2019 ein elektronisch signiertes Auskunftsbegehren nach Artikel 15, DSGVO an den Beschwerdeführer über die Art, den Inhalt, die Herkunft, die Verwendungszwecke, die zuständige Aufsichtsbehörde, die Übermittlungsempfänger und die Speicherdauer der Daten, die über sie gespeichert würden. Weiters begehrte sie Auskunft, aufgrund welcher Rechtsgrundlage die Verwendung der Daten erfolge, und welche Daten im Zuge der automatisierten Entscheidungsfindung einschließlich Profiling verarbeitet würden. Sie ersuchte auch mit Verweis auf Artikel 4, DSGVO um Auskunft aller anfallenden Daten, die sich in anderen Dateien befinden würden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit ihren personenbezogenen Daten direkt oder indirekt verknüpft werden könnten. Sollten die Daten
, DSGVO verarbeitet werden, begehrte die mitbeteiligte Partei auch die Angabe von Name und Anschrift des Auftragsverarbeiters bzw. der Auftragsverarbeiterin. Das Auskunftsbegehren war mit einer digitalen Signatur versehen. Die mitbeteiligte Partei wies zum Nachweis ihrer Identität auf diese digitale Signatur ihres Auskunftsbegehrens hin. Die Identität des Unterzeichners kann unter https://www.a-trust.at/de/sicherheit/pdf-verifizieren/ geprüft werden. Der Beschwerdeführer informierte die mitbeteiligte Partei daraufhin mit Schreiben vom XXXX .2019 zunächst darüber, dass ihr Ansuchen auf Auskunft an die MA XXXX als
der Geschäftseinteilung des Magistrates Wien für die Koordinierung der Beantwortung von Auskunftsbegehren nach Art. 15 DSGVO zuständige Stelle weitergeleitet worden sei. Das Anliegen der mitbeteiligten Partei könne nur dann weiterbearbeitet werden, wenn die mitbeteiligte Partei ihre Identität mittels Vorlage eines geeigneten Identitätsnachweises nachweise. Eine qualifizierte elektronische Signatur erfülle das rechtliche Erfordernis der Schriftlichkeit iSd § 886 ABGB, sei jedoch zur Durchführung einer Identitätsprüfung nicht ausreichend.Der Beschwerdeführer informierte die mitbeteiligte Partei daraufhin mit Schreiben vom römisch 40 .2019 zunächst darüber, dass ihr Ansuchen auf Auskunft an die MA römisch 40 als
der Geschäftseinteilung des Magistrates Wien für die Koordinierung der Beantwortung von Auskunftsbegehren nach Artikel 15, DSGVO zuständige Stelle weitergeleitet worden sei. Das Anliegen der mitbeteiligten Partei könne nur dann weiterbearbeitet werden, wenn die mitbeteiligte Partei ihre Identität mittels Vorlage eines geeigneten Identitätsnachweises nachweise. Eine qualifizierte elektronische Signatur erfülle das rechtliche Erfordernis der Schriftlichkeit iSd Paragraph 886, ABGB, sei jedoch zur Durchführung einer Identitätsprüfung nicht ausreichend. Die mitbeteiligte Partei übermittelte in der Folge keinen (weiteren) Identitätsnachweis. Die E-Mail-Adresse der mitbeteiligten Partei wurde von ihr und dem Beschwerdeführer zur aktiven Kommunikation genutzt. Daneben hat die mitbeteiligte Partei in ihrem Auskunftsbegehren auch ihre Wohnadresse angegeben. Die Stadt Wien ist eine Gebietskörperschaft und damit eine Körperschaft öffentlichen Rechts. Der Magistrat (die MA XXXX ) vertritt die Stadt Wien in Angelegenheiten des Datenschutzes, insbesondere vor der Datenschutzbehörde. Die Stadt Wien ist eine Gebietskörperschaft und damit eine Körperschaft öffentlichen Rechts. Der Magistrat (die MA römisch 40 ) vertritt die Stadt Wien in Angelegenheiten des Datenschutzes, insbesondere vor der Datenschutzbehörde. Auf der Webseite des Magistrats der Stadt Wien war zum Zeitpunkt der Stellung des Auskunftsbegehrens ersichtlich, dass die betroffene Person bei Auskunftsbegehren ihre Identität dem Verantwortlichen gegenüber nachweisen muss (zum Beispiel mit der Kopie eines Reisepasses oder Führerscheins), damit sichergestellt sei, dass es sich um Daten der betroffenen Person handle.
den Artikeln 13 und 14 und alle Mitteilungen
den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte
den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen
den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.
delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen. Artikel 15 Auskunftsrecht der betroffenen Person
Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Artikel 57 Aufgaben
befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; g) – v) […]
1 DSGVO hat eine betroffene Person das Recht, vom/von der Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Information
lit. a bis h leg. cit.
, Absatz eins, DSGVO hat eine betroffene Person das Recht, vom/von der Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Information
Litera a bis h leg. cit. Die Entstehung eines solchen datenschutzrechtlichen Auskunftsanspruches setzt
DSGVO, wie von der belangten Behörde zutreffend ausgeführt, unter anderem voraus, dass die Identität des Auskunftswerbers bzw. der Auskunftswerberin feststeht. Bei begründeten Zweifeln an der Identität kann der/die Verantwortliche
6 DSGVO zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind. Dass dadurch jedoch keine routinemäßige Identitätsprüfung ermöglicht wird und ein_e Verantwortliche_r daher nicht generell die Vorlage eines Identitätsnachweises verlangen darf, wird in der Beschwerde vom Beschwerdeführer ausdrücklich zugestanden. Die Entstehung eines solchen datenschutzrechtlichen Auskunftsanspruches setzt
, DSGVO, wie von der belangten Behörde zutreffend ausgeführt, unter anderem voraus, dass die Identität des Auskunftswerbers bzw. der Auskunftswerberin feststeht. Bei begründeten Zweifeln an der Identität kann der/die Verantwortliche
, Absatz 6, DSGVO zusätzliche Informationen anfordern, die zur Bestätigung der Identität erforderlich sind. Dass dadurch jedoch keine routinemäßige Identitätsprüfung ermöglicht wird und ein_e Verantwortliche_r daher nicht generell die Vorlage eines Identitätsnachweises verlangen darf, wird in der Beschwerde vom Beschwerdeführer ausdrücklich zugestanden. Der Beschwerdeführer vermeint jedoch, dass Zweifel an der Identität nicht durch die bloße Bekanntgabe einer E-Mail-Adresse oder Postanschrift zerstreut werden könnten. In seiner Argumentation übersieht der Beschwerdeführer jedoch, dass er im Verfahren zu keinem Zeitpunkt – weder in der Kommunikation mit der mitbeteiligten Partei, noch im Verfahren vor der belangten Behörde oder in der Beschwerde – dargelegt hat, aus welchem Grund er an der Identität der mitbeteiligten Partei zweifelt. Die mitbeteiligte Partei hat ausdrücklich nachgefragt, ob derartige begründete Zweifel gegeben seien und bejahendenfalls, worin diese bestünden, bekam aber keine diesbezügliche Antwort. In seiner Stellungnahme an die belangte Behörde vom XXXX .2019 führte der Beschwerdeführer lediglich aus, dass die „Authentizität“ der Eingabe der mitbeteiligten Partei nicht hinreichend sichergestellt gewesen sei (gemeint war offenbar die „Identität“, Anm.), ohne dies jedoch konkret aufzuzeigen. Aus den Ausführungen geht vielmehr hervor, dass der Beschwerdeführer vor jeder Auskunftserteilung die Identität des Auskunftswerbers bzw. der Auskunftswerberin prüft, auch wenn dies in der Beschwerde vom XXXX .2020 und in der Stellungnahme vom XXXX .2020 in Abrede gestellt wird. Dieses Vorgehen zum Zeitpunkt des gegenständlichen Auskunftsbegehrens ging allerdings auch aus der Website des Magistrats der Stadt Wien https://www.wien.gv.at/info/datenschutz/magistrat/ hervor. Eine solche Vorgehensweise, die einer routinemäßigen Identitätsprüfung gleichkommt, widerspricht jedoch – wie oben ausgeführt - dem Wortlaut des Art. 12 Abs. 6 DSGVO, wonach die zusätzliche Anforderung von Informationen begründete Zweifel an der Identität des Antragstellers bzw. der Antragstellerin voraussetzt. Wenn der Beschwerdeführer in seiner Stellungnahme vom XXXX .2019 argumentiert, dass nicht unbedingt eine Ausweiskopie beigebracht werden muss, sondern auch ein anderer Nachweis der Identität möglich sei, so ändert das nichts daran, dass stets ein Identitätsnachweis gefordert wird.In seiner Argumentation übersieht der Beschwerdeführer jedoch, dass er im Verfahren zu keinem Zeitpunkt – weder in der Kommunikation mit der mitbeteiligten Partei, noch im Verfahren vor der belangten Behörde oder in der Beschwerde – dargelegt hat, aus welchem Grund er an der Identität der mitbeteiligten Partei zweifelt. Die mitbeteiligte Partei hat ausdrücklich nachgefragt, ob derartige begründete Zweifel gegeben seien und bejahendenfalls, worin diese bestünden, bekam aber keine diesbezügliche Antwort. In seiner Stellungnahme an die belangte Behörde vom römisch 40 .2019 führte der Beschwerdeführer lediglich aus, dass die „Authentizität“ der Eingabe der mitbeteiligten Partei nicht hinreichend sichergestellt gewesen sei (gemeint war offenbar die „Identität“, Anm.), ohne dies jedoch konkret aufzuzeigen. Aus den Ausführungen geht vielmehr hervor, dass der Beschwerdeführer vor jeder Auskunftserteilung die Identität des Auskunftswerbers bzw. der Auskunftswerberin prüft, auch wenn dies in der Beschwerde vom römisch 40 .2020 und in der Stellungnahme vom römisch 40 .2020 in Abrede gestellt wird. Dieses Vorgehen zum Zeitpunkt des gegenständlichen Auskunftsbegehrens ging allerdings auch aus der Website des Magistrats der Stadt Wien https://www.wien.gv.at/info/datenschutz/magistrat/ hervor. Eine solche Vorgehensweise, die einer routinemäßigen Identitätsprüfung gleichkommt, widerspricht jedoch – wie oben ausgeführt - dem Wortlaut des Artikel 12, Absatz 6, DSGVO, wonach die zusätzliche Anforderung von Informationen begründete Zweifel an der Identität des Antragstellers bzw. der Antragstellerin voraussetzt. Wenn der Beschwerdeführer in seiner Stellungnahme vom römisch 40 .2019 argumentiert, dass nicht unbedingt eine Ausweiskopie beigebracht werden muss, sondern auch ein anderer Nachweis der Identität möglich sei, so ändert das nichts daran, dass stets ein Identitätsnachweis gefordert wird. Wie die belangte Behörde und die mitbeteiligte Partei zutreffend ausgeführt haben, waren dem Beschwerdeführer der vollständige Name, die Adresse und E-Mail-Adresse der mitbeteiligten Partei bekannt. Zudem versah die mitbeteiligte Partei ihr Auskunftsbegehren auch mit einer qualifizierten elektronischen Signatur. Weiter ergibt sich auch aus dem Erwägungsgrund 64 zur DSGVO, dass der Beschwerdeführer alle vertretbaren Mittel zu nutzen hat, um die Identität einer Auskunft suchenden betroffenen Person zu ermitteln. Für das Bundesverwaltungsgericht ist aus den vorgelegten Verwaltungsakten, die den Ablauf des Verfahrens sowie den Kommunikationsablauf zwischen der mitbeteiligten Partei und dem Beschwerdeführer hinreichend genau skizzieren, jedenfalls kein Grund ersichtlich, weshalb der Beschwerdeführer an der Identität der mitbeteiligten Partei zweifelte oder zweifeln hätte müssen. Die Beschwerde war hinsichtlich Spruchpunkt 1. des angefochtenen Bescheides schon aus diesem Grund abzuweisen. Das Bundesverwaltungsgericht teilt jedoch auch die Ansicht der belangten Behörde, dass die elektronische Signatur im vorliegenden Fall ein geeignetes Mittel zum Nachweis der Identität darstellt: Art. 3 Z 10 eIDAS-VO (auf den § 3 Abs. 2 SVG verweist) definiert eine elektronische Signatur als „Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet.“; eine fortgeschrittene elektronische Signatur
Z 11 als „eine elektronische Signatur, die die Anforderungen des Artikels 26 erfüllt“, das heißt eindeutig dem/der Unterzeichner_in zugeordnet ist, die Identifizierung des Unterzeichners bzw. der Unterzeichnerin ermöglicht, unter Verwendung elektronischer Signaturerstellungsdaten erstellt wird, die der/die Unterzeichner_in mit einem hohen Maß an Vertrauen unter der alleinigen Kontrolle verwenden kann und mit den auf diese Weise unterzeichneten Daten so verbunden ist, dass eine nachträgliche Veränderung der Daten erkannt werden kann; und eine qualifizierte elektronische Signatur
Z 12 als „eine fortgeschrittene elektronische Signatur, die von einer qualifizierten elektronischen Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat für elektronische Signaturen beruht.“ Artikel 3, Ziffer 10, eIDAS-VO (auf den Paragraph 3, Absatz 2, SVG verweist) definiert eine elektronische Signatur als „Daten in elektronischer Form, die anderen elektronischen Daten beigefügt oder logisch mit ihnen verbunden werden und die der Unterzeichner zum Unterzeichnen verwendet.“; eine fortgeschrittene elektronische Signatur
Ziffer 11, als „eine elektronische Signatur, die die Anforderungen des Artikels 26 erfüllt“, das heißt eindeutig dem/der Unterzeichner_in zugeordnet ist, die Identifizierung des Unterzeichners bzw. der Unterzeichnerin ermöglicht, unter Verwendung elektronischer Signaturerstellungsdaten erstellt wird, die der/die Unterzeichner_in mit einem hohen Maß an Vertrauen unter der alleinigen Kontrolle verwenden kann und mit den auf diese Weise unterzeichneten Daten so verbunden ist, dass eine nachträgliche Veränderung der Daten erkannt werden kann; und eine qualifizierte elektronische Signatur
Ziffer 12, als „eine fortgeschrittene elektronische Signatur, die von einer qualifizierten elektronischen Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat für elektronische Signaturen beruht.“
G hat ein VDA (Vertrauensdiensteanbieter, das ist eine natürliche oder juristische Person oder eine sonstige rechtsfähige Einrichtung, die Zertifikate ausstellt oder andere Signatur- und Zertifizierungsdienste erbringt; vgl. § 2 Z 10 SiG) oder eine in seinem Auftrag tätige Stelle die Identität von Personen, denen ein qualifiziertes Zertifikat ausgestellt werden soll, anhand eines amtlichen Lichtbildausweises oder durch einen anderen in seiner Zuverlässigkeit gleichwertigen, dokumentierten oder zu dokumentierenden Nachweis, festzustellen. Der VDA hat die Zuordnung bestimmter Signaturprüfdaten zu dieser Person durch ein qualifiziertes Zertifikat zu bestätigen.
Paragraph 8, Absatz eins, SiG hat ein VDA (Vertrauensdiensteanbieter, das ist eine natürliche oder juristische Person oder eine sonstige rechtsfähige Einrichtung, die Zertifikate ausstellt oder andere Signatur- und Zertifizierungsdienste erbringt; vergleiche Paragraph 2, Ziffer 10, SiG) oder eine in seinem Auftrag tätige Stelle die Identität von Personen, denen ein qualifiziertes Zertifikat ausgestellt werden soll, anhand eines amtlichen Lichtbildausweises oder durch einen anderen in seiner Zuverlässigkeit gleichwertigen, dokumentierten oder zu dokumentierenden Nachweis, festzustellen. Der VDA hat die Zuordnung bestimmter Signaturprüfdaten zu dieser Person durch ein qualifiziertes Zertifikat zu bestätigen. Daraus folgt, dass die Identität der mitbeteiligten Partei bereits bei Ausstellung des qualifizierten Zertifikates festgestellt worden sein muss, ansonsten hätte eine solche Ausstellung nicht erfolgen dürfen. Es gibt keine Hinweise darauf, dass das qualifizierte Zertifikat ohne Identitätsnachweis und somit rechtswidrig an die mitbeteiligte Partei ausgestellt wurde, weshalb jedenfalls davon auszugehen ist, dass ihre Identität ordnungsgemäß von einem VDA oder einer in seinem Auftrag tätigen Stelle überprüft worden ist. Bei dem vom Beschwerdeführer in seiner Stellungnahme vom XXXX .2019 angestrengten Beispiel, wonach ein unterzeichneter Kaufvertrag, der bei Einsicht in einen Betriebsanlagenakt vorgelegt werde, keinen Nachweis der Identität darstelle, übersieht der Beschwerdeführer, dass bei der Unterfertigung eines Kaufvertrages – im Unterschied zum Vorgang bei der Ausstellung des qualifizierten Zertifikates - die Identität nicht bzw. nicht von einem qualifizierten Vertrauensdienstanbieter, wie etwa der A-Trust GmbH, die in der Liste der Aufsichtsbehörde RTR (Rundfunk und Telekom Regulierungs-GmbH) eingetragen ist und regelmäßigen Kontrollen durch diese unterliegt, geprüft wurde. Bei dem vom Beschwerdeführer in seiner Stellungnahme vom römisch 40 .2019 angestrengten Beispiel, wonach ein unterzeichneter Kaufvertrag, der bei Einsicht in einen Betriebsanlagenakt vorgelegt werde, keinen Nachweis der Identität darstelle, übersieht der Beschwerdeführer, dass bei der Unterfertigung eines Kaufvertrages – im Unterschied zum Vorgang bei der Ausstellung des qualifizierten Zertifikates - die Identität nicht bzw. nicht von einem qualifizierten Vertrauensdienstanbieter, wie etwa der A-Trust GmbH, die in der Liste der Aufsichtsbehörde RTR (Rundfunk und Telekom Regulierungs-GmbH) eingetragen ist und regelmäßigen Kontrollen durch diese unterliegt, geprüft wurde. Auch den Ausführungen zur „Identität für elektronische Geschäfte“ auf der Rechtsinformationsseite des Bundes (https://www.oesterreich.gv.at/themen/dokumente_und_recht/handy_signatur_und_kartenbasierte_buergerkarte/1/Seite.2821106.html, abgerufen am 06.04.2021) zufolge können sich die Nutzer_innen der qualifizierten elektronischen Signatur (Bürgerkarte/Handy-Signatur) bei Webseiten, die die Verwendung einer solchen unterstützen, ausweisen. Zusätzlich zur Ausweisfunktion biete die Bürgerkarte/Handy-Signatur auch die Möglichkeit, Dokumente einfach und sicher elektronisch zu unterschreiben. Der vom Beschwerdeführer angeführte „Elektronischen Identitätsnachweis (E-ID)“ ist eine Erweiterung der qualifizierten elektronischen Signatur, jedoch kann auch – wie oben ausgeführt – bereits die qualifizierte elektronische Signatur Ausweisfunktion haben. Die Ausführungen des Beschwerdeführers, dass die qualifizierte elektronische Signatur keinen Lichtbildausweis zu ersetzen vermöge, gehen auch schon deshalb ins Leere, da – wie die belangte Behörde zutreffend ausgeführt hat – der Nachweis der Identität auch auf andere Weise, als durch einen Lichtbildausweis, nämlich durch einen elektronischen Identitätsnachweis, einen Identitätsbestätigungsdienst, ein anderes elektronisches Nachweisverfahren oder eben durch eine qualifizierte elektronische Signatur erfolgen kann (vgl. Greve in Sydow (Hrsg.), Europäische Datenschutzgrundverordnung (Handkommentar) Art. 12 Rz 19). Die Ausführungen des Beschwerdeführers, dass die qualifizierte elektronische Signatur keinen Lichtbildausweis zu ersetzen vermöge, gehen auch schon deshalb ins Leere, da – wie die belangte Behörde zutreffend ausgeführt hat – der Nachweis der Identität auch auf andere Weise, als durch einen Lichtbildausweis, nämlich durch einen elektronischen Identitätsnachweis, einen Identitätsbestätigungsdienst, ein anderes elektronisches Nachweisverfahren oder eben durch eine qualifizierte elektronische Signatur erfolgen kann vergleiche Greve in Sydow (Hrsg.), Europäische Datenschutzgrundverordnung (Handkommentar) Artikel 12, Rz 19). Die belangte Behörde hat daher zu Recht festgestellt, dass der Beschwerdeführer die mitbeteiligte Partei in ihrem Recht auf Auskunft verletzt hat. 2.2. Zu Spruchpunkt 2. des angefochtenen Bescheides: Auftrag, dem Antrag des Beschwerdeführers binnen einer Frist von zwei Wochen bei sonstiger Exekution zu entsprechen: Der Beschwerdeführer bringt in seiner Beschwerde vor, dass
5 DSG die Erteilung eines Leistungsauftrages an Verantwortliche des öffentlichen Bereiches nicht zulässig sei. Der Beschwerdeführer bringt in seiner Beschwerde vor, dass
Paragraph 24, Absatz 5, DSG die Erteilung eines Leistungsauftrages an Verantwortliche des öffentlichen Bereiches nicht zulässig sei. Dabei verkennt er, dass die belangte Behörde bereits im angefochtenen Bescheid festgehalten hat, dass die Einschränkung des § 24 Abs. 5 DSG auf Verantwortliche des privaten Bereiches aufgrund des Anwendungsvorranges des Art. 58 Abs. 2 lit. c DSGVO, der eine solche Einschränkung nicht vorsieht, unangewendet zu bleiben hat, womit die belangte Behörde im Recht ist: Dabei verkennt er, dass die belangte Behörde bereits im angefochtenen Bescheid festgehalten hat, dass die Einschränkung des Paragraph 24, Absatz 5, DSG auf Verantwortliche des privaten Bereiches aufgrund des Anwendungsvorranges des Artikel 58, Absatz 2, Litera c, DSGVO, der eine solche Einschränkung nicht vorsieht, unangewendet zu bleiben hat, womit die belangte Behörde im Recht ist:
2 lit. c DSGVO verfügt jede Aufsichtsbehörde über sämtliche Abhilfebefugnisse, die es ihr gestatten, den/die Verantwortliche_n oder den/die Auftragsverarbeiter_in anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.
, Absatz 2, Litera c, DSGVO verfügt jede Aufsichtsbehörde über sämtliche Abhilfebefugnisse, die es ihr gestatten, den/die Verantwortliche_n oder den/die Auftragsverarbeiter_in anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.
2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) sind die Verordnungen diejenigen Rechtsakte, welche allgemeine Geltung haben, in allen ihren Teilen verbindlich sind und unmittelbar in jedem Mitgliedstaat gelten. Im Konfliktfall zwischen nationalem Recht und unmittelbar anwendbarem Unionsrecht hat nach der ständigen Rechtsprechung des EuGH die Anwendung der innerstaatlichen Vorschrift zu unterbleiben (vgl. Urteil vom 15.07.1964, C-6/64; VwGH 06.09.2012, 2012/09/0105).
, Absatz 2, des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) sind die Verordnungen diejenigen Rechtsakte, welche allgemeine Geltung haben, in allen ihren Teilen verbindlich sind und unmittelbar in jedem Mitgliedstaat gelten. Im Konfliktfall zwischen nationalem Recht und unmittelbar anwendbarem Unionsrecht hat nach der ständigen Rechtsprechung des EuGH die Anwendung der innerstaatlichen Vorschrift zu unterbleiben vergleiche Urteil vom 15.07.1964, C-6/64; VwGH 06.09.2012, 2012/09/0105). Wenn der Beschwerdeführer dazu vermeint, es handle es sich um eine „verfahrensrechtliche Sonderregelung“, so ist dem entgegenzuhalten, dass sie dennoch dem Unionsrecht entgegensteht, zumal dieses diesbezüglich keinen Raum für Sonderregelungen einräumt. Auch in der wissenschaftlichen Literatur wird die Auffassung vertreten, dass die in der DSGVO normierten Aufgaben und Befugnisse der Aufsichtsbehörden auch gegenüber der öffentlichen Verwaltung zur Anwendung kommen. „So sieht Art. 57 Abs. 1 lit. a DSGVO vor, dass die DSB ‚die Anwendung dieser Verordnung‘ – auch gegenüber der öffentlichen Verwaltung – ‚überwachen und durchsetzen soll‘. Die DSB hat insoweit auch gegenüber der öffentlichen Verwaltung die breiten Untersuchungsbefugnisse
1 DSGVO, aber auch die sog. „Abhilfebefugnisse“
2 DSGVO. Dabei handelt es sich um Anordnungen, die als Bescheid oder als Akt unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt gedeutet werden können.“ (vgl. Konrad Lachmayer, Die DSGVO im öffentlichen Bereich, ÖJZ 2018/17, 112 ff, 118). Die DSB kann daher auch gegenüber Verantwortlichen des öffentlichen Bereiches einen Leistungsbescheid erlassen (vgl. Thiele/Wagner, Kommentar zum DSG
„Abhilfebefugnisse“
Dabei handelt es sich um Anordnungen, die als Bescheid oder als Akt unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt gedeutet werden können.“ vergleiche Konrad Lachmayer, Die DSGVO im öffentlichen Bereich, ÖJZ 2018/17, 112 ff, 118). Die DSB kann daher auch gegenüber Verantwortlichen des öffentlichen Bereiches einen Leistungsbescheid erlassen vergleiche Thiele/Wagner, Kommentar zum DSG
4 VVG ist die Vollstreckung durch Geldstrafen als Zwangsmittel auch gegen juristische Personen mit Ausnahme der Körperschaften des öffentlichen Rechts und eingetragene Personengesellschaften zulässig. Wie die belangte Behörde in ihrer Stellungnahme vom XXXX .2020 auch selbst eingeräumt hat, ist eine „Exekution“ gegen den Beschwerdeführer nicht möglich. Auch eine Erzwingung durch die Verhängung von Geldbußen iSd DSGVO ist gegen Behörden und öffentliche Stellen
Vom Leistungsauftrag zu unterscheiden ist die Frage der Vollstreckung nach dem VVG: Bei der Auskunftserteilung handelt es sich um eine unvertretbare Handlung, zu deren Durchsetzung grundsätzlich Geldstrafen verhängt werden dürfen.
Paragraph 5, Absatz 4, VVG ist die Vollstreckung durch Geldstrafen als Zwangsmittel auch gegen juristische Personen mit Ausnahme der Körperschaften des öffentlichen Rechts und eingetragene Personengesellschaften zulässig. Wie die belangte Behörde in ihrer Stellungnahme vom römisch 40 .2020 auch selbst eingeräumt hat, ist eine „Exekution“ gegen den Beschwerdeführer nicht möglich. Auch eine Erzwingung durch die Verhängung von Geldbußen iSd DSGVO ist gegen Behörden und öffentliche Stellen
Paragraph 30, DSG nicht möglich. Festzuhalten ist in diesem Zusammenhang, dass diese Ausnahmeregelung nicht als „Freibrief“ für die öffentliche Verwaltung verstanden werden kann, sich nicht an die DSGVO zu halten (vgl. Konrad Lachmayer, aaO). Insbesondere bleiben allfällige Schadenersatz-/Haftungsansprüche gegenüber dem Beschwerdeführer unberührt, und könnte ein Zuwiderhandeln gegen den Bescheid der belangten Behörde auch disziplinäre und/oder strafrechtliche Konsequenzen mit sich ziehen.Festzuhalten ist in diesem Zusammenhang, dass diese Ausnahmeregelung nicht als „Freibrief“ für die öffentliche Verwaltung verstanden werden kann, sich nicht an die DSGVO zu halten vergleiche Konrad Lachmayer, aaO). Insbesondere bleiben allfällige Schadenersatz-/Haftungsansprüche gegenüber dem Beschwerdeführer unberührt, und könnte ein Zuwiderhandeln gegen den Bescheid der belangten Behörde auch disziplinäre und/oder strafrechtliche Konsequenzen mit sich ziehen. 3. Da im Verfahren ausschließlich Rechtsfragen zu klären waren, konnte
GVG auf die Durchführung einer – nicht beantragten – mündlichen Verhandlung verzichtet werden (VwGH, 19.09.2017, Ra 2017/01/0276). 3. Da im Verfahren ausschließlich Rechtsfragen zu klären waren, konnte
Paragraph 24, Absatz 4, VwGVG auf die Durchführung einer – nicht beantragten – mündlichen Verhandlung verzichtet werden (VwGH, 19.09.2017, Ra 2017/01/0276). Zu B) Zulässigkeit der Revision:
GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision
4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision
Der Ausspruch ist kurz zu begründen. Die Revision ist
4 B-VG zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs zur Auslegung des Art. 12 Abs. 6 DSGVO fehlt. Die Revision ist
, Absatz 4, B-VG zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs zur Auslegung des Artikel 12, Absatz 6, DSGVO fehlt. European Case Law IdentifierECLI:AT:BVWG:2021:W211.2228343.1.00
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.