← Österreich

{'item': 'W298 2266157-1'}

Obsah (17)Art. 133§ 152Art. 15Art 22§ 6§ 27§ 24§ 58§ 17Art. 130§ 28§ 31Art. 28Artikel 92Artikel 46Artikel 80§ 25a

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum19.04.2023 GeschäftszahlW298 2266157-1 Spruch, W298 2266157-1/5E IM NAMEN DER REPUBLIK Das Bundesverwaltungsgericht hat durch den Richter

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang: römisch eins. Verfahrensgang: 1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 08.07.2020, machte der Mitbeteiligte (Beschwerdeführer vor der belangten Behörde), XXXX , eine Verletzung im Recht auf Auskunft nach Art. 15 DSGVO geltend. Dazu brachte er vor, dass die nunmehrige Beschwerdeführerin XXXX (wurde mit Verschmelzungsvertrag vom 16.09.2021 mit der XXXX als übernehmende Gesellschaft verschmolzen; in weiterer Folge: BF), in Ausübung des Kreditauskunfteigewerbes

§ 152Gew

O personenbezogene Daten des Mitbeteiligten verarbeite. Die BF habe dem Antrag des Mitbeteiligten vom 16.10.2019 auf Erteilung einer aussagekräftigen Information über die bei der Berechnung der Bonitätsscores involvierten Logik, insbesondere Algorithmen, nicht entsprochen. Stattdessen sei der Antrag mit Schreiben der Datenschutzbeauftragten der BF vom 12.11.2019 unter Pauschalverweis auf ein weiteres Schreiben vom 11.07.2019 abgelehnt worden.1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 08.07.2020, machte der Mitbeteiligte (Beschwerdeführer vor der belangten Behörde), römisch 40 , eine Verletzung im Recht auf Auskunft nach Artikel 15, DSGVO geltend. Dazu brachte er vor, dass die nunmehrige Beschwerdeführerin römisch 40 (wurde mit Verschmelzungsvertrag vom 16.09.2021 mit der römisch 40 als übernehmende Gesellschaft verschmolzen; in weiterer Folge: BF), in Ausübung des Kreditauskunfteigewerbes

Paragraph 152, GewO personenbezogene Daten des Mitbeteiligten verarbeite. Die BF habe dem Antrag des Mitbeteiligten vom 16.10.2019 auf Erteilung einer aussagekräftigen Information über die bei der Berechnung der Bonitätsscores involvierten Logik, insbesondere Algorithmen, nicht entsprochen. Stattdessen sei der Antrag mit Schreiben der Datenschutzbeauftragten der BF vom 12.11.2019 unter Pauschalverweis auf ein weiteres Schreiben vom 11.07.2019 abgelehnt worden. Die BF errechne aufgrund der statistischen Wahrscheinlichkeit anhand gewisser selbst bestimmter Parameter mathematische Werte, welche die Zahlungsausfallwahrscheinlichkeit des Mitbeteiligten widerspiegeln würden („Bonitätsscores“). Dabei handle es sich um Ergebnisse einer automatisierten Verarbeitung personenbezogener Daten im Sinne des Art. 22 Abs. 1 DSGVO, mit denen die wirtschaftliche Leistungsfähigkeit des Mitbeteiligten prognostiziert werde. Die BF errechne aufgrund der statistischen Wahrscheinlichkeit anhand gewisser selbst bestimmter Parameter mathematische Werte, welche die Zahlungsausfallwahrscheinlichkeit des Mitbeteiligten widerspiegeln würden („Bonitätsscores“). Dabei handle es sich um Ergebnisse einer automatisierten Verarbeitung personenbezogener Daten im Sinne des Artikel 22, Absatz eins, DSGVO, mit denen die wirtschaftliche Leistungsfähigkeit des Mitbeteiligten prognostiziert werde.

  1. Nach einem von der belangten Behörde erteilten Mangelbehebungsauftrag, brachte der anwaltlich vertretene Mitbeteiligte mit Schreiben vom 17.09.2021 vor, dass er aufgrund der ihm übermittelten aktualisierten Vollauskunft/Selbstauskunft nun in Kenntnis sei, dass es zwei Datensätze gebe und beide Dokumente trotz unterschiedlicher zugrundeliegender Beurteilungsparameter dasselbe Rating von 0,01 aufweisen würden. Der Vorwurf der mangelhaften Auskunftserteilung beziehe sich dabei auf beide Auskünfte (WiData-IDs „2481676“ und „2481677“).
  2. Nach Aufforderung zur Stellungnahme brachte die BF mit Schreiben vom 08.03.2022 vor, dass der Mitbeteiligte erstmals mit Schreiben vom 06.05.2019 die Löschung der zu seiner Person gespeicherten Bonitätsdaten, nämlich die Information zu einem Schuldenregulierungsverfahren, beantragt habe. Die BF habe die Löschung des Schuldenregulierungsverfahrens sodann antragsgemäß vorgenommen und dies dem Mitbeteiligten mit Schreiben vom 05.06.2019 bestätigt. Da zu diesem Zeitpunkt keine Zahlungserfahrungsdaten des Mitbeteiligten mehr vorgelegen haben, habe man beim Feld Bonitätsbewertung die Information „derzeit keine Einschätzung möglich“ eingetragen. Mit Schreiben vom 14.06.2019 habe der Mitbeteiligte um Bekanntgabe der Parameter ersucht, welche bei der Erstellung des Bonitätsscores herangezogen werden, welche ihm auch mitgeteilt worden seien. Dem Mitbeteiligten seien somit sowohl der Wert des Bonitätsscoring (ursprünglich 3,65 und nach Löschung des Schuldenregulierungsverfahrens 0,01) als auch sämtliche zu seiner Person vorhandenen Informationen (welche als Eingabedaten zur Bonitätsbewertung herangezogen werden) und zudem noch die Parameter, beauskunftet worden. Es sei einzig der Algorithmus als Berechnungsformel einschließlich Berechnungslogik nicht offengelegt worden, dazu sei die BF aber weder verpflichtet, noch sei dies möglich, da der Mitbeteiligte bereits mit Schreiben vom 06.05.2019 die Löschung der Information zur Zahlungserfahrung beantragt habe und erst mit Schreiben vom 16.10.2019 die BF aufgefordert habe, den Algorithmus und die (bereits gelöschte) Bonitätsbewertung offen zu legen. Aus Sicht der BF habe der Mitbeteiligte alle erforderlichen Informationen erhalten. Gegenständlich liege auch keine automatisierte Entscheidungsfindung vor.
  3. Der Mitbeteiligte erstattete, nach Einräumung des Parteiengehörs, am 24.03.2022 eine Stellungnahme und brachte darin vor, dass er einen Anspruch auf aussagekräftige Informationen über die in das Scoringverfahren involvierte Logik (…)

Art. 15Abs.

1 lit. h DSGVO habe. Die BF könne sich dem Auskunftsanspruch nicht mit dem Argument der gelöschten Zahlungserfahrungsdaten entziehen. Auch weise die BF dem Mitbeteiligten das Rating 0,01 (keine Einschätzung möglich) zu, obwohl es nach ihrem eigenen Vorbringen keinen Bonitätsscore mehr gäbe. Auch scheine ein Bonitätswert von 0,01 nicht in der Ratingskala der BF auf. Weiters führte er aus, dass es sich bei der Bewertung von Personen mit Scoringwerten auch um Profiling im Sinne des Art. 4 Z 4 DSGVO handle. Für den Mitbeteiligten sei anhand der bisherigen Auskünfte nicht ersichtlich, wie ein Rating von 0,01 ermittelt werden habe können und was dieses Rating aussage, da dieses keiner der angeführten Bonitätskategorien zuordenbar sei. 4. Der Mitbeteiligte erstattete, nach Einräumung des Parteiengehörs, am 24.03.2022 eine Stellungnahme und brachte darin vor, dass er einen Anspruch auf aussagekräftige Informationen über die in das Scoringverfahren involvierte Logik (…)

Artikel 15, Absatz eins, Litera h, DSGVO habe.

Die BF könne sich dem Auskunftsanspruch nicht mit dem Argument der gelöschten Zahlungserfahrungsdaten entziehen. Auch weise die BF dem Mitbeteiligten das Rating 0,01 (keine Einschätzung möglich) zu, obwohl es nach ihrem eigenen Vorbringen keinen Bonitätsscore mehr gäbe. Auch scheine ein Bonitätswert von 0,01 nicht in der Ratingskala der BF auf. Weiters führte er aus, dass es sich bei der Bewertung von Personen mit Scoringwerten auch um Profiling im Sinne des Artikel 4, Ziffer 4, DSGVO handle. Für den Mitbeteiligten sei anhand der bisherigen Auskünfte nicht ersichtlich, wie ein Rating von 0,01 ermittelt werden habe können und was dieses Rating aussage, da dieses keiner der angeführten Bonitätskategorien zuordenbar sei.

  1. Mit dem nunmehr angefochtenem Bescheid vom 27.06.2022 gab die belangte Behörde der Beschwerde betreffend den Datensatz „WiData-ID 2481677“ statt und stellte fest, dass die BF den Mitbeteiligten dadurch im Recht auf Auskunft verletzt habe, indem sie nach Erhalt des Auskunftsbegehrens und vor einer Auskunftserteilung die personenbezogenen Daten des Mitbeteiligten zum Datensatz „WiData-ID 2481677“ ohne Antrag des Beschwerdeführers gelöscht habe (Spruchpunkt 1.). Betreffend den Datensatz „WiData-ID 2481676“ wurde der Beschwerde teilweise stattgegeben und festgestellt, dass die BF den Mitbeteiligten dadurch im Recht auf Auskunft verletzt habe, indem die erteilte Auskunft in sich widersprüchlich, nicht ausreichend transparent und dadurch die Verarbeitung für den Mitbeteiligten nicht nachvollziehbar gewesen sei (Spruchpunkt 2.). Mit Spruchpunkt
  2. wurde der BF aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution, die erteilte Auskunft zum Datensatz „WiData-ID 2481676“ dahingehend klarzustellen und zu präzisieren, weshalb, wenn angeblich kein Bonitätsscoring erfolgt sei und keine Einschätzung möglich gewesen sei, im Feld „Bonitätsbewertung“ dennoch ein Ratingzahlenwert von 0,01 aufscheint, weiters weshalb darin „ein durchschnittliches bis erhöhtes Risiko“ und „Geschäftsverbindungen bedürfen näherer Betrachtung“ zu sehen sind und in welchen Ratingbereich ein Rating von 0,01 laut Ratingtabelle fällt. Sollte in der Ratingtabelle für 0,01 eine Ausfallswahrscheinlichkeit angegeben sein, sei zu beauskunften, aufgrund welcher Informationen die betreffende Ausfallswahrscheinlichkeit beim Mitbeteiligten angesetzt worden sei. Begründend führte die belangte Behörde (nach Wiederholung des Vorbringens der Parteien und des Verfahrensganges) zunächst aus, dass Beschwerdegegenstand die Frage sei, ob der Mitbeteiligten durch die Reaktion der BF in seinem Recht auf Auskunft verletzt worden sei. Sie traf umfangreiche Sachverhaltsfeststellungen und führte dazu rechtlich aus, dass die BF zum Zeitpunkt der Antragstellung (16.10.2019) unbestritten personenbezogene Daten des Mitbeteiligten verarbeitet habe, nämlich zu den Datensätzen „WiData-ID 2481676“ und „WiData-ID 2481677“. Trotz unterschiedlicher Eingabeparameter scheine der gleiche Wert, nämlich 0,01 als „Rating-Ergebnis“ auf. Dem Mitbeteiligten sei keine Information erteilt worden, vielmehr habe ihm die BF mit Schreiben vom 12.11.2019 mitgeteilt, dass der Datensatz zu „WiData-ID 2481677“ – und zwar ohne Antrag des Mitbeteiligten– gelöscht worden sei und führte aus, dass über gelöschte Datensätze keine Auskunft erteilt werden könne. Da die BF weder dargestellt habe, weshalb für den Mitbeteiligten überhaupt ein neuer Datensatz zu „WiData-ID 2481677“ angelegt worden sei, noch weshalb eine Löschung dieses Datensatzes erfolgt sei, war der Beschwerde, mit Verweis auf die Entscheidung der belangten Behörde vom 30.09.2021, GZ 2021-0.664.183, welche einen vergleichbaren Sachverhalt aufweise, stattzugeben. Weiters habe der Mitbeteiligte auch für den Datensatz „WiData-ID 2481676“ eine mangelhafte Auskunft geltend gemacht. Die BF habe bestritten, dass es nach der Löschung des Schuldenregulierungsverfahrens überhaupt zu einem (individuellen) Bonitätsscore gekommen sei, da keine negativen Zahlungserfahrungsdaten des Mitbeteiligten mehr vorhanden gewesen seien, weshalb sich bereits aus diesem Grund eine Auskunft

Art. 15Abs. 1 lit. h DSGVO erübrige. Aus dem Auskunftsdokument zu „Wi

Data-ID 2481676“, nach Löschung der negativen Zahlungserfahrung sei jedoch ersichtlich, dass die BF weiterhin die personenbezogenen Daten des Mitbeteiligten verarbeite. Über diese personenbezogenen Daten sei eine - den Maßstäben des Art. 12 Abs. 1

  1. Satz DSGVO entsprechende Auskunft zu erteilen. Ohne weitere Erklärung, sei die Auskunft, dass keine Bonitätserrechnung erfolge, gleichzeitig aber Risikoeinschätzungen zum Mitbeteiligten abgegeben werden, in sich widersprüchlich, und die Verarbeitung schlicht nicht nachvollziehbar. Ebenso sei in der Tabelle der Ratingübersicht für den „Wert 0,01“ keine Erklärung angeführt. Es gebe zwar eine Ratingstufe „0“ und darauf folgend einen Ratingbereich „1,0 -1,99“, jedoch keine - für den Rating-Wert 0,01 - passende Einstufung. Überdies weise die Ratingtabelle für den Wert „0“ in der Spalte „Bonität“ den Inhalt „keine Einschätzung möglich“, gleichzeitig aber eine Ausfallswahrscheinlichkeit von „0,364“ aus. Soweit dem Mitbeteiligten in Folge der zu erteilenden klarstellenden Auskunft zur „Einstufung“ eine Ausfallswahrscheinlichkeit zugeordnet werde, wären auch Auskünfte zur Zuordnung der Ausfallswahrscheinlichkeit zu erteilen. Hinsichtlich dem im Spruchpunkt
  2. erteilten Leistungsauftrag wurde ausgeführt, dass eine Frist von vier Wochen als angemessen erscheine. Sie traf umfangreiche Sachverhaltsfeststellungen und führte dazu rechtlich aus, dass die BF zum Zeitpunkt der Antragstellung (16.10.2019) unbestritten personenbezogene Daten des Mitbeteiligten verarbeitet habe, nämlich zu den Datensätzen „WiData-ID 2481676“ und „WiData-ID 2481677“. Trotz unterschiedlicher Eingabeparameter scheine der gleiche Wert, nämlich 0,01 als „Rating-Ergebnis“ auf. Dem Mitbeteiligten sei keine Information erteilt worden, vielmehr habe ihm die BF mit Schreiben vom 12.11.2019 mitgeteilt, dass der Datensatz zu „WiData-ID 2481677“ – und zwar ohne Antrag des Mitbeteiligten– gelöscht worden sei und führte aus, dass über gelöschte Datensätze keine Auskunft erteilt werden könne. Da die BF weder dargestellt habe, weshalb für den Mitbeteiligten überhaupt ein neuer Datensatz zu „WiData-ID 2481677“ angelegt worden sei, noch weshalb eine Löschung dieses Datensatzes erfolgt sei, war der Beschwerde, mit Verweis auf die Entscheidung der belangten Behörde vom 30.09.2021, GZ 2021-0.664.183, welche einen vergleichbaren Sachverhalt aufweise, stattzugeben. Weiters habe der Mitbeteiligte auch für den Datensatz „WiData-ID 2481676“ eine mangelhafte Auskunft geltend gemacht. Die BF habe bestritten, dass es nach der Löschung des Schuldenregulierungsverfahrens überhaupt zu einem (individuellen) Bonitätsscore gekommen sei, da keine negativen Zahlungserfahrungsdaten des Mitbeteiligten mehr vorhanden gewesen seien, weshalb sich bereits aus diesem Grund eine Auskunft

Artikel 15, Absatz eins, Litera h, DSGVO erübrige. Aus dem Auskunftsdokument zu „Wi

Data-ID 2481676“, nach Löschung der negativen Zahlungserfahrung sei jedoch ersichtlich, dass die BF weiterhin die personenbezogenen Daten des Mitbeteiligten verarbeite. Über diese personenbezogenen Daten sei eine - den Maßstäben des Artikel 12, Absatz eins,

  1. Satz DSGVO entsprechende Auskunft zu erteilen. Ohne weitere Erklärung, sei die Auskunft, dass keine Bonitätserrechnung erfolge, gleichzeitig aber Risikoeinschätzungen zum Mitbeteiligten abgegeben werden, in sich widersprüchlich, und die Verarbeitung schlicht nicht nachvollziehbar. Ebenso sei in der Tabelle der Ratingübersicht für den „Wert 0,01“ keine Erklärung angeführt. Es gebe zwar eine Ratingstufe „0“ und darauf folgend einen Ratingbereich „1,0 -1,99“, jedoch keine - für den Rating-Wert 0,01 - passende Einstufung. Überdies weise die Ratingtabelle für den Wert „0“ in der Spalte „Bonität“ den Inhalt „keine Einschätzung möglich“, gleichzeitig aber eine Ausfallswahrscheinlichkeit von „0,364“ aus. Soweit dem Mitbeteiligten in Folge der zu erteilenden klarstellenden Auskunft zur „Einstufung“ eine Ausfallswahrscheinlichkeit zugeordnet werde, wären auch Auskünfte zur Zuordnung der Ausfallswahrscheinlichkeit zu erteilen. Hinsichtlich dem im Spruchpunkt
  2. erteilten Leistungsauftrag wurde ausgeführt, dass eine Frist von vier Wochen als angemessen erscheine.
  3. Gegen den genannten Bescheid erhob die BF am 02.08.2022 fristgerecht Beschwerde und führte im Wesentlich aus, dass die Annahme der belangten Behörde, dass die BF den Datensatz zu „WiData-ID 2481677“ ohne Antrag des Mitbeteiligten gelöscht habe, unrichtig sei. Gegenständlich betreibe der Mitbeteiligte ein Unternehmen und sei sohin als Einzelunternehmer mit der „WiData-ID 2481676“ und als Privatperson mit der „WiData-ID 2481677“ bei der BF erfasst. Es handle sich aber um ein und dieselbe Person. Aufgrund des Umstandes, dass der Mitbeteiligte im Rahmen seines Einzelunternehmens für Schulden und Verbindlichkeiten persönlich hafte, hätten Zahlungsanstände zum Einzelunternehmen des Betroffenen auch Auswirkungen auf den Betroffenen als Privatperson. Sohin bestehe eine Verknüpfung zwischen den Datensätzen und Zahlungsanstände zum Einzelunternehmen würden auch die Bonität der jeweiligen Privatperson beeinflussen. Nachdem der Mitbeteiligte im November 2018 eine allgemeine Auskunft zu seinem Einzelunternehmen begehrt habe („WiData-ID 2481676“), sei die Löschung des Schuldenregulierungsverfahrens sein einziges Ansinnen gewesen. Diesem Löschungsbegehren sei man nachgekommen und mit Löschung des Schuldenregulierungsverfahren sei sohin die einzige Information zum Zahlungsverhalten (unabhängig vom jeweiligen Datensatz) beseitigt. Dies habe sich auf die Bonitätsbewertung beider Datensätze (Einzelunternehmen und Privatperson) dahingehend ausgewirkt, dass mangels Eingabedaten zum Zahlungsverhalten des Mitbeteiligten eine Bonitätsberechnung ab dem Löschungszeitpunkt nicht mehr erfolgt und eine Bonitätseinschätzung durch Berechnung nicht mehr möglich gewesen sei. Die belangte Behörde differenziere zwischen den beiden Datensätzen und meint, der Löschungsantrag hätte sich nur auf „WiData-ID 2481676“ bezogen. Dabei verkenne sie jedoch, dass es sich bei beiden Datensätzen um ein und dieselbe Person handle. Weiters führte die BF aus, dass der Wert 0,01 immer dann angeführt werde, wenn keine Informationen zum Zahlungsverhalten vorliegen würden und deshalb keine Bonitätsberechnung mehr vorgenommen werden könne. Liegen keine Informationen zum Zahlungsverhalten vor, so sei es auch nachvollziehbar, dass das Risiko mit durchschnittlich bis erhöht angegeben werde und die Empfehlung erfolge, dass Geschäftsverbindungen einer näheren Betrachtung bedürfen. Der nach der Löschung angegeben Wert 0,01 erfolge, da die Zahl 0 im System der BF aus Softwaregründen nicht eingegeben werden könne. Dabei handle es sich nicht um einen errechneten Wert, sondern werde dieser immer dann vergeben, wenn mangels Daten zum Zahlungsverhalten keine Einschätzung möglich sei. Es liege auch keine automatisiere Entscheidungsfindung einschließlich Profiling

Art 22Abs.

1 und Abs. 4 DSGVO vor. Zum Schluss wurde der Antrag auf Aufhebung des Ausschlusses der aufschiebenden Wirkung gestellt.6. Gegen den genannten Bescheid erhob die BF am 02.08.2022 fristgerecht Beschwerde und führte im Wesentlich aus, dass die Annahme der belangten Behörde, dass die BF den Datensatz zu „WiData-ID 2481677“ ohne Antrag des Mitbeteiligten gelöscht habe, unrichtig sei. Gegenständlich betreibe der Mitbeteiligte ein Unternehmen und sei sohin als Einzelunternehmer mit der „WiData-ID 2481676“ und als Privatperson mit der „WiData-ID 2481677“ bei der BF erfasst. Es handle sich aber um ein und dieselbe Person. Aufgrund des Umstandes, dass der Mitbeteiligte im Rahmen seines Einzelunternehmens für Schulden und Verbindlichkeiten persönlich hafte, hätten Zahlungsanstände zum Einzelunternehmen des Betroffenen auch Auswirkungen auf den Betroffenen als Privatperson. Sohin bestehe eine Verknüpfung zwischen den Datensätzen und Zahlungsanstände zum Einzelunternehmen würden auch die Bonität der jeweiligen Privatperson beeinflussen. Nachdem der Mitbeteiligte im November 2018 eine allgemeine Auskunft zu seinem Einzelunternehmen begehrt habe („WiData-ID 2481676“), sei die Löschung des Schuldenregulierungsverfahrens sein einziges Ansinnen gewesen. Diesem Löschungsbegehren sei man nachgekommen und mit Löschung des Schuldenregulierungsverfahren sei sohin die einzige Information zum Zahlungsverhalten (unabhängig vom jeweiligen Datensatz) beseitigt. Dies habe sich auf die Bonitätsbewertung beider Datensätze (Einzelunternehmen und Privatperson) dahingehend ausgewirkt, dass mangels Eingabedaten zum Zahlungsverhalten des Mitbeteiligten eine Bonitätsberechnung ab dem Löschungszeitpunkt nicht mehr erfolgt und eine Bonitätseinschätzung durch Berechnung nicht mehr möglich gewesen sei. Die belangte Behörde differenziere zwischen den beiden Datensätzen und meint, der Löschungsantrag hätte sich nur auf „WiData-ID 2481676“ bezogen. Dabei verkenne sie jedoch, dass es sich bei beiden Datensätzen um ein und dieselbe Person handle. Weiters führte die BF aus, dass der Wert 0,01 immer dann angeführt werde, wenn keine Informationen zum Zahlungsverhalten vorliegen würden und deshalb keine Bonitätsberechnung mehr vorgenommen werden könne. Liegen keine Informationen zum Zahlungsverhalten vor, so sei es auch nachvollziehbar, dass das Risiko mit durchschnittlich bis erhöht angegeben werde und die Empfehlung erfolge, dass Geschäftsverbindungen einer näheren Betrachtung bedürfen. Der nach der Löschung angegeben Wert 0,01 erfolge, da die Zahl 0 im System der BF aus Softwaregründen nicht eingegeben werden könne. Dabei handle es sich nicht um einen errechneten Wert, sondern werde dieser immer dann vergeben, wenn mangels Daten zum Zahlungsverhalten keine Einschätzung möglich sei. Es liege auch keine automatisiere Entscheidungsfindung einschließlich Profiling

Artikel 22, Absatz eins und Absatz 4, DSGVO vor.

Zum Schluss wurde der Antrag auf Aufhebung des Ausschlusses der aufschiebenden Wirkung gestellt.

  1. Am 19.09.2022 änderte die belangte Behörde mittels Beschwerdevorentscheidung den Spruch des angefochtenen Bescheides dahingehend, dass im Spruchpunkt
  2. die Wortfolge „ohne Antrag“ entfällt, in den Sachverhaltsfeststellungen unter Punkt C
  3. der erste Satz um die Wortfolge „und die Löschung betreffend des Datensatzes „WiData-ID 2481677“ ergänzt werde und in der rechtlichen Beurteilung unter Punkt D.2., zweiter Satz die Wortfolge „-und zwar ohne Antrag des Beschwerdeführers- „sowie der dritte Satz, vollständig entfällt. Begründend führte sie aus, dass der BF hinsichtlich einem mit Schreiben vom 16.10.2019 beantragten Löschbegehren (betrifft den Datensatz „WiData-ID 2481677“) seitens des Mitbeteiligten recht zu geben sei. Diese Teil-Stattgabe ändere aber nichts am rechtlichen Ergebnis, dass die BF den Mitbeteiligten durch die Löschung des Datensatzes „WiData-ID 2481677“ im Recht auf Auskunft verletzt habe. Es entspreche der ständigen Judikatur der belangten Behörde, dass es – selbst bei gleichzeitig gestellten Auskunfts- und Löschungsbegehren – für den Verantwortlichen erkennbar sei, dass ein Betroffener erst nach erteilter Auskunft die Löschung begehrt. Durch die Löschung der Daten vor Datenauskunft habe die BF gegen Art. 15 iVm Art. 5 lit. a DSGVO verstoßen. Hinsichtlich Spruchpunkt
  4. und
  5. wurde im Zuge der Beschwerdevorentscheidung keine Abänderung getroffen.
  6. Am 19.09.2022 änderte die belangte Behörde mittels Beschwerdevorentscheidung den Spruch des angefochtenen Bescheides dahingehend, dass im Spruchpunkt
  7. die Wortfolge „ohne Antrag“ entfällt, in den Sachverhaltsfeststellungen unter Punkt C
  8. der erste Satz um die Wortfolge „und die Löschung betreffend des Datensatzes „WiData-ID 2481677“ ergänzt werde und in der rechtlichen Beurteilung unter Punkt D.2., zweiter Satz die Wortfolge „-und zwar ohne Antrag des Beschwerdeführers- „sowie der dritte Satz, vollständig entfällt. Begründend führte sie aus, dass der BF hinsichtlich einem mit Schreiben vom 16.10.2019 beantragten Löschbegehren (betrifft den Datensatz „WiData-ID 2481677“) seitens des Mitbeteiligten recht zu geben sei. Diese Teil-Stattgabe ändere aber nichts am rechtlichen Ergebnis, dass die BF den Mitbeteiligten durch die Löschung des Datensatzes „WiData-ID 2481677“ im Recht auf Auskunft verletzt habe. Es entspreche der ständigen Judikatur der belangten Behörde, dass es – selbst bei gleichzeitig gestellten Auskunfts- und Löschungsbegehren – für den Verantwortlichen erkennbar sei, dass ein Betroffener erst nach erteilter Auskunft die Löschung begehrt. Durch die Löschung der Daten vor Datenauskunft habe die BF gegen Artikel 15, in Verbindung mit Artikel 5, Litera a, DSGVO verstoßen. Hinsichtlich Spruchpunkt
  9. und
  10. wurde im Zuge der Beschwerdevorentscheidung keine Abänderung getroffen.
  11. Mit Schreiben vom 03.10.2022 stellte die BF einen Vorlageantrag.
  12. Mit Schreiben vom 20.01.2023 (eingelangt am 26.01.2023) legte die belangte Behörde die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme dahingehend ab, dass das Beschwerdevorbringen zur Gänze bestritten und auf den Ausgangsbescheid sowie die Beschwerdevorentscheidung verwiesen werde. II. Das Bundesverwaltungsgericht hat erwogen: römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
  13. Feststellungen: Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.Der unter Punkt römisch eins. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt. Insbesondere wird folgender Sachverhalt festgestellt: Die BF (ursprünglich XXXX , aufgrund des Verschmelzungsvertrages vom 16.09.2021 nunmehr XXXX ), betreibt das Gewerbe der Kreditauskunftei und hat im Zuge dieser Tätigkeit Daten des Mitbeteiligten im Rahmen ihres Dateisystems „WiData“ verarbeitet.Die BF (ursprünglich römisch 40 , aufgrund des Verschmelzungsvertrages vom 16.09.2021 nunmehr römisch 40 ), betreibt das Gewerbe der Kreditauskunftei und hat im Zuge dieser Tätigkeit Daten des Mitbeteiligten im Rahmen ihres Dateisystems „WiData“ verarbeitet. Der Mitbeteiligte ist als Einzelunternehmer tätig. Bei der BF sind zwei Datensätze zur Person des Mitbeteiligten angelegt: Der Datensatz „WiData-ID 2481677“ repräsentiert dabei den Mitbeteiligten als Einzelunternehmer, der Datensatz „WiData-ID 2481676“ den Mitbeteiligten als Privatperson. Am 12.11.2018 ersuchte der Mitbeteiligte die BF um eine Datenauskunft, woraufhin ihm die BF vorerst eine Auskunft (aktualisiert am 27.11.2018) zum Datensatz „WiData-ID 2481676“ übermittelte. Der Mitbeteiligte beantragte sodann mit Schreiben vom 06.05.2019 die Löschung jener Daten, die Einfluss auf sein Rating nehmen und nicht seine tatsächliche finanzielle und wirtschaftliche Lage wiedergeben würden. Die BF ist dem Löschungsbegehren nachgekommen und hat das Schuldenregulierungsverfahren (dabei handelt es sich um das einzige gespeicherte Zahlungserfahrungsdatum zum Mitbeteiligten), in beiden Datensätzen die zum Mitbeteiligten verarbeitet werden „WiData-ID 2481677“ und „WiData-ID 2481676“ gelöscht. Seit diesem Zeitpunkt wird das Rating „0,01 (Keine Einschätzung möglich)“ bei der Beurteilungsübersicht in beiden Datensätzen angeführt. Der Wert 0,01 wurde nicht automatisiert oder mit einer Berechnungslogik errechnet, sondern manuell eingegeben. 0,01 wird bei mangelnden Daten zum Zahlungsverhalten als Grundwert vergeben und ist in der Ratingskala unter „0“ einzuordnen. Mit Schreiben vom 16.10.2019 beantragte der Mitbeteiligte unter anderem die vollständige Löschung des Datensatzes „WiData-ID 2481677“ und die Erteilung aussagekräftiger Informationen in allgemein verständlicher Form über die bei der Berechnung der Bonitätsscores involvierten Logik, insbesondere über die in die Berechnung einbezogenen Faktoren und die vom System auszuführenden Rechenanweisungen (Algorithmus).
  14. Beweiswürdigung: Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem hier gegenständlichen Gerichtsakt sowie den beigebrachten Unterlagen und Stellungnahmen.
  15. Rechtliche Beurteilung: 3.1.1.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. 3.1.1.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. 3.1.2.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des - 15 - AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. 3.1.2.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des - 15 - AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. 3.1.3.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist. 3.1.3.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs.

1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Hebt das Verwaltungsgericht den angefochtenen Bescheid auf, sind

Art. 28Abs. 5 Vw

GVG die Behörden verpflichtet, in der betreffenden Rechtssache mit den ihnen zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung des Verwaltungsgerichtes entsprechenden Rechtszustand herzustellen. Hebt das Verwaltungsgericht den angefochtenen Bescheid auf, sind

Artikel 28, Absatz 5, Vw

GVG die Behörden verpflichtet, in der betreffenden Rechtssache mit den ihnen zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung des Verwaltungsgerichtes entsprechenden Rechtszustand herzustellen. 3.1.

  1. Nach der Rechtsprechung des Verwaltungsgerichtshofes derogiert eine Beschwerdevorentscheidung dem Ausgangsbescheid endgültig. Das Rechtsmittel, über welches das Verwaltungsgericht zu entscheiden hat, bleibt aber im Fall eines zulässigen Vorlageantrages dennoch die Beschwerde. Da sich die Beschwerde gegen den Ausgangsbescheid richtet (und sich ihre Begründung auf diesen beziehen muss), bleibt der Ausgangsbescheid auch Maßstab dafür, ob die Beschwerde berechtigt ist oder nicht. Aufgehoben, abgeändert oder bestätigt werden kann aber nur die – außer in Fällen einer Zurückweisung einer Beschwerde – an die Stelle des Ausgangsbescheides getretene Beschwerdevorentscheidung (siehe VwGH 04.03.2016, Ra 2015/08/0026). 3.
  2. Zu Spruchteil A): 3.2.
  3. Rechtslage: Die belangte Behörde hat ihrem Bescheid – soweit verfahrensgegenständlich relevant - folgende Rechtsgrundlagen zugrunde gelegt: Art. 5 Z 1 lit. a, Art. 12, Art. 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO). Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen.Artikel 5, Ziffer eins, Litera a,, Artikel 12,, Artikel 15,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f,, Artikel 58, Absatz 2, Litera c, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO). Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen. Art. 5 Abs. 1 lit. a DSGVO lautet:Artikel 5, Absatz eins, Litera a, DSGVO lautet: „Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten

(1)Personenbezogene Daten müssen a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“); Art. 12 Abs. 3 DSGVO lautet:Artikel 12, Absatz 3, DSGVO lautet: Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1)Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen

den Artikeln 13 und 14 und alle Mitteilungen

den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2)Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte

den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte

den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3)Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag

den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4)Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5)Informationen

den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen

den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

  1. a)ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
  2. b)sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6)Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag

den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7)Die Informationen, die den betroffenen Personen

den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8)Der Kommission wird die Befugnis übertragen,

Artikel 92

delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen. Art. 15 DSGVO lautet:Artikel 15, DSGVO lautet: Artikel 15 Auskunftsrecht der betroffenen Person

(1)Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
  1. a)die Verarbeitungszwecke;
  2. b)die Kategorien personenbezogener Daten, die verarbeitet werden;
  3. c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
  4. d)falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  5. e)das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
  6. f)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
  7. g)wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
  8. h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2)Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien

Artikel 46im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3)Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(4)Das Recht auf Erhalt einer Kopie

Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Art. 51 Abs. 1 DSGVO lautet: Artikel 51, Absatz eins, DSGVO lautet: Artikel 51 Aufsichtsbehörde

(1)Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“). Art. 57 Abs. 1 lit. f DSGVO lautet:Artikel 57, Absatz eins, Litera f, DSGVO lautet: Artikel 57 Aufgaben
(1)Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes

Artikel 80

befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; Art. 58 Abs. 2 lit. c DSGVO lautet:Artikel 58, Absatz 2, Litera c, DSGVO lautet: Artikel 58 Befugnisse

(2)Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten, c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen, Art. 77 Abs. 1 DSGVO lautet:Artikel 77, Absatz eins, DSGVO lautet: Artikel 77 Recht auf Beschwerde bei einer Aufsichtsbehörde
(1)Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. 3.3.2 Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes: Nach Art. 15 Abs. 1 DSGVO hat die betroffenen Person (der Mitbeteiligte) das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; so hat er ein Recht auf Auskunft über diese personenbezogenen Daten und Informationen. Die BF verarbeitet als Verantwortliche iSd Art. 4 Z 7 DSGVO persönliche Daten des Mitbeteiligten.Nach Artikel 15, Absatz eins, DSGVO hat die betroffenen Person (der Mitbeteiligte) das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; so hat er ein Recht auf Auskunft über diese personenbezogenen Daten und Informationen. Die BF verarbeitet als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO persönliche Daten des Mitbeteiligten. Verfahrensgegenständlich sind die beiden Datensätze - „WiData-ID 2481677“ und „WiData-ID 2481676“ die beide zum Mitbeteiligten verarbeitet werden, wobei der Datensatz mit den Endziffern 77 für den Mitbeteiligten als Einzelunternehmer und der Datensatz mit den Endziffern 76 für den Mitbeteiligten als Privatperson bei der BF verarbeitet werden. Beide Datensätze enthielten Daten aus einer negativen Zahlungserfahrung zum Mitbeteiligten wegen eines Insolvenzverfahrens (Schuldenregulierungsverfahren). Dabei handelte es sich um die einzigen Daten die zum Zahlungsverhalten des Mitbeteiligten von der BF in ihrem System gespeichert waren. Weitere Informationen zum Zahlungsverhalten des Mitbeteiligten waren seitens der BF nicht erfasst. Da der Mitbeteiligte nach einem Auskunftsersuchen im November 2018, sodann im Mai 2019 einen Antrag auf Löschung jener Daten, die Einfluss auf sein Rating nehmen und nicht seine tatsächliche wirtschaftliche Lage wiedergeben hatten, beantragte, löschte die BF das gespeicherte Schuldenregulierungsverfahren in beiden Datensätzen. 3.3.2.
  1. Zum Spruchpunkt
  2. des angefochtenen Bescheides: Die Feststellungen der belangten Behörde sind insoweit aktenwidrig als sie annimmt, dass der Sachverhalt dahingehend festzustellen war, dass die BF nach Erhalt des Auskunftsbegehrens und vor einer inhaltlichen Auskunftserteilung die personenbezogenen Daten des Mitbeteiligten zum Datensatz „WiData-ID 2481677“ gelöscht und sich dadurch dem Auskunftsbegehren entzogen hat. Richtigerweise hätte die belangte Behörde nämlich davon ausgehen müssen, dass die ursprüngliche (erste Auskunft) an den Mitbeteiligten unvollständig gewesen ist, weil sie nur einen Datensatz und nicht alle zur Person des Mitbeteiligten verarbeiteten personenbezogenen Daten beinhaltete. Ausgehend davon beantragte nämlich der Mitbeteiligte mit Schreiben vom 06.05.2019 selbst die Löschung all jener Daten, die Einfluss auf sein Rating nehmen und seine tatsächliche finanzielle und wirtschaftliche Lage nicht richtig wiedergeben haben. Am 16.10.2019 stellte er dann den Antrag auf vollständige Löschung des Datensatzes „WiData-ID 2481677“ und Erteilung von Informationen nach Art. 17 Abs. 2 DSGVO. Die Feststellungen der belangten Behörde sind insoweit aktenwidrig als sie annimmt, dass der Sachverhalt dahingehend festzustellen war, dass die BF nach Erhalt des Auskunftsbegehrens und vor einer inhaltlichen Auskunftserteilung die personenbezogenen Daten des Mitbeteiligten zum Datensatz „WiData-ID 2481677“ gelöscht und sich dadurch dem Auskunftsbegehren entzogen hat. Richtigerweise hätte die belangte Behörde nämlich davon ausgehen müssen, dass die ursprüngliche (erste Auskunft) an den Mitbeteiligten unvollständig gewesen ist, weil sie nur einen Datensatz und nicht alle zur Person des Mitbeteiligten verarbeiteten personenbezogenen Daten beinhaltete. Ausgehend davon beantragte nämlich der Mitbeteiligte mit Schreiben vom 06.05.2019 selbst die Löschung all jener Daten, die Einfluss auf sein Rating nehmen und seine tatsächliche finanzielle und wirtschaftliche Lage nicht richtig wiedergeben haben. Am 16.10.2019 stellte er dann den Antrag auf vollständige Löschung des Datensatzes „WiData-ID 2481677“ und Erteilung von Informationen nach Artikel 17, Absatz 2, DSGVO. Infolge der falschen Feststellungen würdigte die belangte Behörde rechtlich falsch, dass es nicht schlüssig und nachvollziehbar sei, dass das einzige bei der BF gespeicherte Zahlungserfahrungsdatum, nämlich das Schuldenregulierungsverfahren des Mitbeteiligten, Einfluss auf beide Datensätze „WiData-ID 2481676“ und „WiData-ID 2481677“ hatte. Richtiger Weise hätte die belangte Behörde feststellen müssen, dass die erste Auskunft, die der Mitbeteiligte vor seinem Antrag auf Löschung erhalten hat, insoweit unvollständig war, als nur einer der beiden Datensätze beauskunftet worden ist. Weiter verkennt die belangte Behörde den Sachverhalt auch dahingehend, dass eine transparente Auskunft deswegen nicht vorliegt, weil für die Datensätze unterschiedliche Eingabewerte zum selben Ergebnis führen würden. Hier hätte die belangte Behörde feststellen müssen, dass die BF nach der vom Mitbeteiligten veranlassten Löschung mangels Zahlungserfahrungsdaten manuell einen neutralen Ausgangswert eingegeben hat und der Mitbeteiligte aktuell keiner automatisierten Entscheidung aufgrund einer Logik unterliegt. Die BF hat bereits im Verfahren erster Instanz die Löschung in beiden Datensätzen nachvollziehbar damit begründet, dass der Mitbeteiligte im Rahmen seiner wirtschaftlichen Tätigkeit als Einzelunternehmer einer persönlichen Zahlungsausfallshaftung unterliegt und Zahlungsanstände zum Einzelunternehmen daher auch Auswirkungen auf ihn als Privatperson haben können. Eine logische Konsequenz daraus ist, dass ein Zahlungserfahrungsdatum die Bonitätsbewertung des Mitbeteiligten in beiden Datensätzen beeinflusst. Aufgrund des Antrags des Mitbeteiligten vom 06.05.2019, nämlich auf Löschung „all jener Daten, die Einfluss auf sein Rating nehmen und nicht seine tatsächliche finanzielle und wirtschaftliche Lage wiedergeben“, kann der BF gegenständlich auch nicht vorgeworfen werden, dass sie die Löschung des Schuldenregulierungsverfahrens in beiden Datensätzen des Mitbeteiligten (sohin auch im Datensatz „WiData-ID 2481677“) zu Unrecht vorgenommen hat, um sich dem Auskunftsbegehren zu entziehen. Die BF hat dem Mitbeteiligten sodann auch vollständig Auskunft erteilt, aus welcher hervorgeht, dass mangels Eingabedaten zum Zahlungsverhalten eine Bonitätsberechnung ab dem Löschungszeitpunkt, sohin im Mai 2019, nicht mehr erfolgte. Dem Mitbeteiligten wurden auch die Quellen und Parameter genannt, welche bei der Erstellung von Bonitätsratings grundsätzlich und für eine zukünftige Bonitätsbewertung ihn betreffend, herangezogen werden würden. 3.3.2.
  3. Zum Spruchpunkt
  4. des angefochtenen Bescheides: Die belangte Behörde führt betreffend den Datensatz „WiData-ID 2481676“ aus, dass die BF den Mitbeteiligten dadurch im Recht auf Auskunft verletzt habe, indem die erteilte Auskunft in sich widersprüchlich, nicht ausreichend transparent und dadurch die Verarbeitung für den Mitbeteiligten nicht nachvollziehbar sei. Dabei nimmt sie auf den Vermerk im Bonitätsfeld „keine Einschätzung möglich“ und die Einstufung des Risikos mit „durchschnittlich bis erhöhtes Risiko“, sowie die Einschätzung „Geschäftsverbindungen bedürfen näherer Betrachtung“ Bezug. Es sei für die belangte Behörde nicht nachvollziehbar, dass keine Bonitätserrechnung erfolge, gleichzeitig aber Risikoeinschätzungen zum Mitbeteiligten vorgenommen würden. Ebenso gebe es keine Erklärung zu dem zugeordneten Wert 0,
  5. Dazu ist auszuführen, dass die BF in ihrem Beschwerdeschriftsatz vom 02.08.2022 umfangreich Erläuterungen machte und hinsichtlich der Risikoeinschätzung erklärte, dass auch der Umstand, dass keine Information zum Zahlungsverhalten vorliegt, ebenso eine Information sei, die bei Anfragen zur Identität und Bonität von Betroffenen bereitgestellt werde und, dass diesfalls die Auskunft erteilt werde, dass keine Bonitätsbeurteilung möglich sei und das Risiko demnach als durchschnittlich bis erhöht eingestuft werde. Es ist ebenso schlüssig und nachvollziehbar, dass mangels Daten zum Zahlungsverhalten keine Bonitätsbewertung vorgenommen werden kann und daher der Vermerk „keine Einschätzung möglich“ angeführt wird, als auch, dass bei Personen zu denen keine Zahlungserfahrungen vorliegen, die Empfehlung erfolgt, dass Geschäftsverbindungen einer näheren Betrachtung bedürfen. Die BF legte weiters schlüssig und plausibel dar, wie sich der Ratingzahlenwert 0,01 ergibt und dieser die Information „keine Einschätzung möglich“ aufweist sowie, dass der angegebene Wert von 0,01 der Kategorie „0“ zuzuordnen ist und dass es sich dabei um keinen errechnet Wert handelt, sondern dieser immer dann vergeben wird, wenn mangels Daten zum Zahlungsverhalten (wie gegenständlich) eine Einschätzung nicht möglich ist. Aus der von der BF dargebrachten Ratingtabelle geht auch klar hervor, dass der Wert 0,01 dem Wert 0 zuzuordnen ist und für diese Kategorie eine Ausfallwahrscheinlichkeit von 0,364% ausgewiesen wird. Dass sich diese, der Kategorie 0 zugeordnete, Ausfallwahrscheinlichkeit von 0,364% auf alle gelisteten Unternehmen im Ratingbereich 0 bezieht geht aus der von der BF beigebrachten Tabelle ebenso hervor und erklärte sie abermals, dass in diesen Wert eben keine individuellen Merkmale des Mitbeteiligten einfließen, sondern es sich dabei um einen allgemeinen statistischen Wert handelt. Offensichtlich ging die belangte Behörde bei ihrer rechtlichen Würdigung auch davon aus, dass schon die Eingabe eines Grundwertes in eine Tabelle eine Datenverarbeitung im Sinne des Art. 4 Z 7 DSGVO darstellen würde und demnach eine Auskunft über die Parameter eines Profiling zu erteilen ist. Offensichtlich ging die belangte Behörde bei ihrer rechtlichen Würdigung auch davon aus, dass schon die Eingabe eines Grundwertes in eine Tabelle eine Datenverarbeitung im Sinne des Artikel 4, Ziffer 7, DSGVO darstellen würde und demnach eine Auskunft über die Parameter eines Profiling zu erteilen ist. Die belangte Behörde hätte aber unabhängig davon, ob ein Profiling vorliegt zu dem Schluss kommen müssen, dass auch diese Voraussetzungen gegeben sind, nämlich die Auskunft auch dann als ausreichend anzusehen wäre, wenn ein Profiling vorliegen würde und die Voraussetzungen des Art 15 Abs. 1 lit. h) DSGVO vorgelegen hätten. Die belangte Behörde hätte aber unabhängig davon, ob ein Profiling vorliegt zu dem Schluss kommen müssen, dass auch diese Voraussetzungen gegeben sind, nämlich die Auskunft auch dann als ausreichend anzusehen wäre, wenn ein Profiling vorliegen würde und die Voraussetzungen des Artikel 15, Absatz eins, Litera h,) DSGVO vorgelegen hätten. Dennoch ist aus der Literatur und Judikatur auch im Hinblick auf die Leitlinien des Europäischen Datenschutz Ausschusses (vgl. S. 7 Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 angenommen am
  6. Oktober 2017 zuletzt überarbeitet und angenommen am
  7. Februar 2018 WP251rev.01, bzw. Klabunde in Ehmann/Selmayr –Datenschutzgrund-Verordnung zu Art. 4 Rn. 28f.) nicht abzuleiten, dass schon die die manuelle Vergabe eines neutralen Grundwerts zur etwaigen Berechnung einer Bonitätsbewertung als Profiling zu gelten habe. Dennoch ist aus der Literatur und Judikatur auch im Hinblick auf die Leitlinien des Europäischen Datenschutz Ausschusses vergleiche S. 7 Leitlinien zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679 angenommen am
  8. Oktober 2017 zuletzt überarbeitet und angenommen am
  9. Februar 2018 WP251rev.01, bzw. Klabunde in Ehmann/Selmayr –Datenschutzgrund-Verordnung zu Artikel 4, Rn. 28f.) nicht abzuleiten, dass schon die die manuelle Vergabe eines neutralen Grundwerts zur etwaigen Berechnung einer Bonitätsbewertung als Profiling zu gelten habe. Da es sich bei dem von der BF angegeben Wert 0,01 um keinen errechneten Wert handelt, sondern dieser mangels Vorliegen von Daten angegeben wird, können weitere Überlegungen hinsichtlich einer vorliegenden automatisierten Entscheidungsfindung einschließlich Profiling

Art. 22Abs.

1 und 4 DSGVO dahingestellt bleiben. Da es sich bei dem von der BF angegeben Wert 0,01 um keinen errechneten Wert handelt, sondern dieser mangels Vorliegen von Daten angegeben wird, können weitere Überlegungen hinsichtlich einer vorliegenden automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22, Absatz eins und 4 DSGVO dahingestellt bleiben.

Die belangte Behörde hätte daher davon ausgehen müssen, dass letztlich eine vollständige und rechtmäßige Auskunft vorliegt, weil es § 24 Abs. 6 DSG der BF erlaubt bis zum Abschluss des Verfahrens erster Instanz vor der Datenschutzbehörde Ergänzungen vorzunehmen um den erblickten Missstand zu beheben. Auch die Judikatur des VwGH geht davon aus, dass ein beseitigter Mangel etwa bei einer Art. 15 DSGVO Auskunft unerheblich ist und nicht zur Feststellung einer bloß vorübergehenden Rechtsverletzung bei antragsbedürftigen Rechten führt. (VwGH vom 19.10.2022, Ro 2022/04/0001 bzw. VfGH vom 26.6.1991, B 811/89)Die belangte Behörde hätte daher davon ausgehen müssen, dass letztlich eine vollständige und rechtmäßige Auskunft vorliegt, weil es Paragraph 24, Absatz 6, DSG der BF erlaubt bis zum Abschluss des Verfahrens erster Instanz vor der Datenschutzbehörde Ergänzungen vorzunehmen um den erblickten Missstand zu beheben. Auch die Judikatur des VwGH geht davon aus, dass ein beseitigter Mangel etwa bei einer Artikel 15, DSGVO Auskunft unerheblich ist und nicht zur Feststellung einer bloß vorübergehenden Rechtsverletzung bei antragsbedürftigen Rechten führt. (VwGH vom 19.10.2022, Ro 2022/04/0001 bzw. VfGH vom 26.6.1991, B 811/89) Die BF kam demnach entgegen der Ansicht der belangten Behörde sehr wohl ihrer Auskunftspflicht nach und erfüllt die erteilte Auskunft die Voraussetzungen des Art. 15 DSGVO. Die BF kam demnach entgegen der Ansicht der belangten Behörde sehr wohl ihrer Auskunftspflicht nach und erfüllt die erteilte Auskunft die Voraussetzungen des Artikel 15, DSGVO. 3.3.2.3. Der erteilte Leistungsauftrag im Spruchpunkt 3. des angefochtenen Bescheides war ersatzlos zu beheben. 3.3.3.

§ 24Abs. 1 Vw

GVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.3.3.

Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

§ 24Abs. 4 Vw

GVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen. Die BF hat zwar gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt, jedoch kann im gegenständlichen Fall das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war, insbesondere, weil die Datenschutzauskunft über die zu erkennen ist, vollständig im Akt aufliegt und deren Echtheit und Richtigkeit nicht bestritten ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Die BF hat zwar gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt, jedoch kann im gegenständlichen Fall das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war, insbesondere, weil die Datenschutzauskunft über die zu erkennen ist, vollständig im Akt aufliegt und deren Echtheit und Richtigkeit nicht bestritten ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12). Von der Durchführung einer mündlichen Verhandlung war daher

§ 24Abs. 1 und Abs. 4 Vw

GVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war daher

Paragraph 24, Absatz eins und Absatz 4, VwGVG abzusehen. 3.4. Zu B) Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Aufgrund der eindeutigen Rechtslage handelt es sich nicht um eine Rechtsfrage grundsätzlicher Bedeutung. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2023:W298.2266157.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.