RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum11.05.2023 GeschäftszahlW258 2237026-1 Spruch, W258 2237026-1/16E IM NAMEN DER REPUBLIK Das Bundesverwaltungsgericht hat durch den Richte

Art 133

Abs 4 B-VG zulässig.B) Die Revision ist

Artikel 133, Absatz 4, B-VG zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: 1. Mit Eingabe vom 05.12.2019 behauptete die mitbeteiligte Partei (Beschwerdeführerin im Administrativverfahren) eine Verletzung in ihrem Recht auf Auskunft über sie betreffende personenbezogene Daten und beantragte, die Datenschutzbehörde (in Folge „belangte Behörde“) möge feststellen, dass die Beschwerdeführerin (Beschwerdegegnerin im Administrativverfahren) die mitbeteiligte Partei in ihrem Recht auf Auskunft

Art 15

DSGVO und in ihrem Recht auf transparente Information nach Art 12 DSGVO verletzt habe.1. Mit Eingabe vom 05.12.2019 behauptete die mitbeteiligte Partei (Beschwerdeführerin im Administrativverfahren) eine Verletzung in ihrem Recht auf Auskunft über sie betreffende personenbezogene Daten und beantragte, die Datenschutzbehörde (in Folge „belangte Behörde“) möge feststellen, dass die Beschwerdeführerin (Beschwerdegegnerin im Administrativverfahren) die mitbeteiligte Partei in ihrem Recht auf Auskunft

Artikel 15

, DSGVO und in ihrem Recht auf transparente Information nach Artikel 12, DSGVO verletzt habe. Begründend führte die mitbeteiligte Partei zusammengefasst aus, dass ihr die Beschwerdeführerin zwar eine Auskunft nach Art 15 DSGVO erteilt habe, aus dieser Auskunft allerdings nicht hervorgehe, welchen konkreten Empfängern ihre personenbezogenen Daten tatsächlich offengelegt wurden. Weiters fehle eine Kopie ihrer Überweisungsdaten.Begründend führte die mitbeteiligte Partei zusammengefasst aus, dass ihr die Beschwerdeführerin zwar eine Auskunft nach Artikel 15, DSGVO erteilt habe, aus dieser Auskunft allerdings nicht hervorgehe, welchen konkreten Empfängern ihre personenbezogenen Daten tatsächlich offengelegt wurden. Weiters fehle eine Kopie ihrer Überweisungsdaten. 2. Über Parteiengehör vom 12.12.2019 brachte die Beschwerdeführerin mit Schriftsatz vom 10.01.2020 vor, dass sie den Anträgen der mitbeteiligten Partei entsprochen hätte, indem sie der mitbeteiligten Partei mit Schreiben vom 10.01.2020 eine ergänzende Auskunft erteilt habe. Das Verfahren sei daher

§ 24Abs 6 DSG einzustellen.2.

Über Parteiengehör vom 12.12.2019 brachte die Beschwerdeführerin mit Schriftsatz vom 10.01.2020 vor, dass sie den Anträgen der mitbeteiligten Partei entsprochen hätte, indem sie der mitbeteiligten Partei mit Schreiben vom 10.01.2020 eine ergänzende Auskunft erteilt habe. Das Verfahren sei daher

Paragraph 24, Absatz 6, DSG einzustellen.

1. Über Parteiengehört vom 03.02.2020 replizierte die mitbeteiligte Partei mit Schreiben vom 19.02.2020, die in ihrer Beschwerde beschriebenen Rechtsverletzungen wären insoweit noch nicht beseitigt, als die Beschwerdeführerin ihr die konkreten Empfänger ihrer Daten nach wie vor nicht genannt habe.
2. Mit Bescheid vom XXXX gab die belangte Behörde der Beschwerde wegen Verletzung im Recht auf Auskunft statt, stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Auskunft verletzt habe, indem sie keine Auskunft über die konkreten Empfänger erteilt hat (Spruchpunkt 1.) und trug der Beschwerdeführerin auf, innerhalb einer Frist von vier Wochen die konkreten Empfänger zu bezeichnen (Spruchpunkt 2.). Begründend führte sie aus, dass im Einzelfall zu entscheiden sei, ob die Kategorien von Empfängern oder die konkreten Empfänger zu benennen sind. Das Auskunftsinteresse der mitbeteiligten Partei an einer möglichst vollständigen Auskunft, das etwa dazu dient, datenschutzrechtliche Berichtigungs- und Löschungsansprüche durchsetzen zu können, stehe dem Geheimhaltungsinteresse der Beschwerdegegnerin gegenüber. Die Beschwerdeführerin habe die Empfänger nur sehr allgemein und beispielhaft beauskunftet und nicht vorgebracht, weshalb die Offenlegung der konkreten Empfänger ihre Geheimhaltungsinteressen berühren könnten, weshalb das Auskunftsinteresse der mitbeteiligten Partei überwiege.
3. Mit Bescheid vom römisch 40 gab die belangte Behörde der Beschwerde wegen Verletzung im Recht auf Auskunft statt, stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Auskunft verletzt habe, indem sie keine Auskunft über die konkreten Empfänger erteilt hat (Spruchpunkt 1.) und trug der Beschwerdeführerin auf, innerhalb einer Frist von vier Wochen die konkreten Empfänger zu bezeichnen (Spruchpunkt 2.). Begründend führte sie aus, dass im Einzelfall zu entscheiden sei, ob die Kategorien von Empfängern oder die konkreten Empfänger zu benennen sind. Das Auskunftsinteresse der mitbeteiligten Partei an einer möglichst vollständigen Auskunft, das etwa dazu dient, datenschutzrechtliche Berichtigungs- und Löschungsansprüche durchsetzen zu können, stehe dem Geheimhaltungsinteresse der Beschwerdegegnerin gegenüber. Die Beschwerdeführerin habe die Empfänger nur sehr allgemein und beispielhaft beauskunftet und nicht vorgebracht, weshalb die Offenlegung der konkreten Empfänger ihre Geheimhaltungsinteressen berühren könnten, weshalb das Auskunftsinteresse der mitbeteiligten Partei überwiege.
4. Gegen diesen Bescheid richtet sich die gegenständliche Beschwerde der Beschwerdeführerin vom 09.10.2020 wegen Rechtswidrigkeit, in der sie beantragte, der Beschwerde stattzugeben und den Bescheid im angefochtenen Umfang aufzuheben, in eventu den Bescheid im angefochtenen Umfang aufzuheben und die Sache zur neuerlichen Entscheidung an die belangte Behörde zurückzuverweisen. Begründend führte die Beschwerdeführerin sinngemäß und zusammengefasst aus, dass ihr ein Wahlrecht zukomme die konkreten Datenempfänger oder Empfängerkategorien zu beauskunften. Die Benennung der Empfängerkategorien sei im vorliegenden Fall ausreichend.
5. Die belangte Behörde legte dem erkennenden Gericht die Beschwerde unter Anschluss des Verwaltungsakts mit Schriftsatz vom 12.11.2020, hg eingelangt am 19.11.2020, vor und beantragte die Beschwerde abzuweisen.
6. Nach Parteiengehör vom 14.07.2022 setzte das Bundesverwaltungsgericht das Verfahren mit Beschluss vom 09.08.2022 bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-154/21, in der es um die Frage ging, wie detailliert Verantwortliche Empfänger personenbezogener Daten zu beauskunften haben,

§ 38AVG i

Vm § 17 VwGVG aus.7. Nach Parteiengehör vom 14.07.2022 setzte das Bundesverwaltungsgericht das Verfahren mit Beschluss vom 09.08.2022 bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-154/21, in der es um die Frage ging, wie detailliert Verantwortliche Empfänger personenbezogener Daten zu beauskunften haben,

Paragraph 38, AVG in Verbindung mit Paragraph 17, VwGVG aus.

1. Mit Urteil des Gerichtshofes vom 12.01.2023 in der Rechtssache C-154/21 war die Bedingung für die Beendigung der Aussetzung eingetreten und das Verfahren fortgesetzt.
2. Nach der Einräumung von Parteiengehör vom 16.03.2023 gab die Beschwerdeführerin dem erkennenden Gericht mit Stellungnahme vom 27.03.2023 (OZ 6) bekannt, dass sie der mitbeteiligten Partei mit Schreiben vom 24.03.2023 ergänzende Auskunft über die konkreten Empfänger ihrer Daten erteilt und damit dem Antrag der mitbeteiligten Partei entsprochen habe und beantragte, den bekämpften Bescheid zu beheben und das Verfahren einzustellen. Die der mitbeteiligten Partei ergänzend übermittelte Auskunft vom 24.03.2023, die Angaben zu den möglichen Empfängern der personenbezogenen Daten der mitbeteiligten Partei enthielt, lag dem Schriftsatz in Kopie bei.
3. Auf den hg Auftrag vom 29.03.2023, binnen zehn Tagen bekannt zu geben, ob die Angaben der Beschwerdeführerin, wonach sie die Auskunft nunmehr vollständig erteilt hätte, zutreffend sei, reagierte die mitbeteiligten Partei nicht, woraufhin das Gericht eine mündliche Verhandlung für den 24.05.2023 anberaumt hat.
4. Mit Schriftsatz vom 27.04.2023 (OZ 9) brachte die Beschwerdeführerin vor, dass sie zwischenzeitlich die Zustellung der ergänzenden Auskunft vom 24.03.2023 mit der beigefügten Sendungsverfolgung belegen könne und regte an, die Angelegenheit ohne mündliche Verhandlung zu entscheiden. Der Schriftsatz wurde mit hg Schreiben vom 28.04.2023 der belangten Behörde und der mitbeteiligten Partei übermittelt.
5. Die mitbeteiligte Partei teilte dem Gericht mit Schreiben vom 27.04.2023 (OZ 11) mit, dass aus ihrer Sicht keine Verhandlung erforderlich sei. Die belangte Behörde teilte dem Gericht über fernmündliche Rückfrage am 03.05.2023 mit, dass auch aus ihrer Sicht keine Verhandlung erforderlich sei. Beweis wurde erhoben durch Einsichtnahme in den Verwaltungsakt, die Stellungnahme der Beschwerdeführerin vom 27.03.2023 samt ergänzender Auskunft vom 24.03.2023 sowie die Stellungnahmen der Parteien vom 27.04.
6. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
7. Der folgende Sachverhalt steht fest: 1.
8. Die mitbeteiligte Partei führte in einem Schreiben an die Beschwerdeführerin vom 10.12.2018 aus: „[…] Betrifft: Antrag auf Auskunft

Art. 15

DSGVO„[…] Betrifft: Antrag auf Auskunft

Artikel 15

, DSGVO […] I.römisch eins.

Art. 15

Abs 1 und 2 DSGVO haben Sie mir folgende Informationen zu meinen personenbezogenen Daten bekannt zu geben:

Artikel 15

, Absatz eins und 2 DSGVO haben Sie mir folgende Informationen zu meinen personenbezogenen Daten bekannt zu geben: -Verarbeitungszwecke; - Kategorien personenbezogener Daten, die verarbeitet werden; - die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen; - falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung der Dauer; […] - wenn die personenbezogenen Daten nicht bei mir erhoben wurden, alle verfügbaren Informationen über die Herkunft der Daten; - das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling […] II.römisch zwei.

Art. 15Abs.

3 DSGVO haben Sie mir eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.

Artikel 15

, Absatz 3, DSGVO haben Sie mir eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. […]“ 1.

1. Die Beschwerdeführerin beantwortete das Schreiben mit eingeschriebenen Brief vom 19.12.2018 (soweit verfahrensrelevant) wie folgt: „[…] Auskunftsersuchen gem. Art 15 DSGVOAuskunftsersuchen gem. Artikel 15, DSGVO Ihre Anfrage vom
2. 12.2018 […] Welche Stammdaten haben wir zu ihrer Person gespeichert? [Auflistung diverser Stammdaten betreffend die mitbeteiligte Partei] Welche Informationen haben wir zu Ihren beendeten Produkten gespeichert? [Auflistung diverser gelöschter Bankprodukte] Wer erhält ihre Daten? Innerhalb der Bank erhalten jene Stellen bzw. Mitarbeiterinnen Ihre Daten, die diese zur Erfüllung vertraglicher, gesetzlicher und/oder aufsichtsrechtlicher Pflichten sowie berechtigter Interessen benötigen. Darüber hinaus erhalten von uns vertraglich gebundene Auftragsverarbeiter (insbesondere IT- und Backoffice-Dienstleister) Ihre Daten, sofern diese die Daten zur Erfüllung ihrer jeweiligen Leistung benötigen. Sämtliche Auftragsverarbeiter sind vertraglich dazu verpflichtet, Ihre Daten vertraulich zu behandeln und nur im Rahmen der Leistungserbringung zu verarbeiten. Bei Vorliegen einer gesetzlichen oder aufsichtsrechtlichen Verpflichtung können öffentliche Stellen und Institutionen (Europäische Bankenaufsichtsbehörde, Europäische Zentralbank, Österreichische Nationalbank, Österreichische Finanzmarktaufsicht, Finanzbehörden etc.) sowie unsere Bank- und Abschlussprüfer Empfänger Ihrer personenbezogenen Daten sein. In Hinblick auf eine Datenweitergabe an sonstige Dritte möchten wir darauf hinweisen, dass die Bank als österreichisches Kreditinstitut zur Einhaltung des Bankgeheimnisses

§ 38

BWG und daher zur Verschwiegenheit über sämtliche kundenbezogenen Informationen und Tatsachen verpflichtet ist, die uns aufgrund der Geschäftsbeziehung anvertraut oder zugänglich gemacht wurden. Wir dürfen Ihre personenbezogenen Daten daher nur weitergeben, wenn Sie uns hierzu vorab schriftlich und ausdrücklich vom Bankgeheimnis entbunden haben oder wir gesetzlich bzw. aufsichtsrechtlich dazu verpflichtet oder ermächtigt sind. Empfänger personenbezogener Daten können in diesem Zusammenhang andere Kredit- und Finanzinstitute oder vergleichbare Einrichtungen sein. Wir übermitteln Daten, die wir zur Durchführung der Geschäftsbeziehung mit Ihnen benötigen. Je nach Vertrag können diese Empfänger z.B. Korrespondenzbanken, Börsen, Depotbanken, Auskunfteien oder andere, mit der Bank verbundene Unternehmen (aufgrund behördlicher oder gesetzlicher Verpflichtung) sein. Bei Vorliegen einer gesetzlichen oder aufsichtsrechtlichen Verpflichtung können öffentliche Stellen und Institutionen (Europäische Bankenaufsichtsbehörde, Europäische Zentralbank, Österreichische Nationalbank, Österreichische Finanzmarktaufsicht, Finanzbehörden etc.) sowie unsere Bank- und Abschlussprüfer Empfänger Ihrer personenbezogenen Daten sein. In Hinblick auf eine Datenweitergabe an sonstige Dritte möchten wir darauf hinweisen, dass die Bank als österreichisches Kreditinstitut zur Einhaltung des Bankgeheimnisses

Paragraph 38, BWG und daher zur Verschwiegenheit über sämtliche kundenbezogenen Informationen und Tatsachen verpflichtet ist, die uns aufgrund der Geschäftsbeziehung anvertraut oder zugänglich gemacht wurden. Wir dürfen Ihre personenbezogenen Daten daher nur weitergeben, wenn Sie uns hierzu vorab schriftlich und ausdrücklich vom Bankgeheimnis entbunden haben oder wir gesetzlich bzw. aufsichtsrechtlich dazu verpflichtet oder ermächtigt sind. Empfänger personenbezogener Daten können in diesem Zusammenhang andere Kredit- und Finanzinstitute oder vergleichbare Einrichtungen sein. Wir übermitteln Daten, die wir zur Durchführung der Geschäftsbeziehung mit Ihnen benötigen. Je nach Vertrag können diese Empfänger z.B. Korrespondenzbanken, Börsen, Depotbanken, Auskunfteien oder andere, mit der Bank verbundene Unternehmen (aufgrund behördlicher oder gesetzlicher Verpflichtung) sein. Weitere Datenempfänger können diejenigen Stellen sein, für welche Sie uns eine entsprechende Erlaubnis erteilt haben (Einwilligung zur Datenverarbeitung, Befreiung vom Bankgeheimnis). […]“ 1.3. Mit Schreiben an die mitbeteiligte Partei vom 10.01.2020 führte die Beschwerdeführerin (soweit verfahrensrelevant) aus: „Auskunftsrecht gem. Art 15 DSGVO„Auskunftsrecht gem. Artikel 15, DSGVO Ergänzung zum Schreiben vom 19.12.2018 […] Die XXXX als Beschwerdegegnerin entspricht

§ 24

Abs 6 DSG Ihren Anträgen als Beschwerdeführerin und stellt Ihnen die Information über die geforderte Auskunft mit diesem Schreiben zur Verfügung. Diese Information wird als Kopie der Datenschutzbehörde übermittelt.Die römisch 40 als Beschwerdegegnerin entspricht

Paragraph 24, Absatz 6, DSG Ihren Anträgen als Beschwerdeführerin und stellt Ihnen die Information über die geforderte Auskunft mit diesem Schreiben zur Verfügung. Diese Information wird als Kopie der Datenschutzbehörde übermittelt. […] Gerne kommen wir Ihrem Begehren auf Auskunft Ihrer Transaktionsdaten nach und dürfen auf die Auflistung im Anhang verweisen. […] Des Weiteren erhalten Sie nachstehende Informationen über Kategorien von Empfängern, gegenüber denen Ihre personenbezogenen Daten durch unser Bankinstitut offengelegt wurden: Jene Stellen bzw. MitarbeiterInnen unseres Bankinstituts, die Ihre personenbezogenen Daten zur Erfüllung vertraglicher, gesetzlicher und/oder aufsichtsrechtlicher Pflichten sowie berechtigter Interessen benötigen Öffentliche Institutionen und Behörden aufgrund gesetzlicher oder aufsichtsrechtlicher Verpflichtungen: österreichische Finanzmarktaufsicht, Bundesministerium für Inneres Von uns beauftragte Dritte, zB für IT- und Backoffice-Dienstleister sowie Bankenprüfstellen. Dritte sind vertraglich dazu verpflichtet, Ihre Daten vertraulich zu behandeln und nur im Rahmen der Leistungserbring zu verarbeiten Dritte im Rahmen der Vertragserfüllung und aufgrund rechtlicher Vorschriften, z.B. EmpfängerIn einer Überweisung und deren ZahlungsdienstleisterIn, Bonitätsdatenbanken […]“ Dem Schreiben war eine Liste diverser Kontotransaktionen beigefügt. 1.

1. Mit Schreiben vom 24.03.2023 an die mitbeteiligte Partei, ihr zugestellt am 28.03.2023, führte die Beschwerdeführerin aus, wie folgt: „[…] ERGÄNZUNG DER ERTEILTEN DATENSCHUTZAUSKUNFT […] Bitte beachten Sie, dass wir die Offenlegung personenbezogener Daten an allfällige Empfänger nicht in betroffenenbezogener Form dokumentieren. Daher verfügen wir über keine Protokolls- oder Dokumentationsdaten, die mit Sicherheit belegen könnten, an welchen konkreten Empfängern Ihre personenbezogenen Daten tatsächlich weitergegeben worden sind. Mit einem hohen Rechercheaufwand konnten wir die möglichen Empfänger Ihrer Daten rekonstruieren. Ob Ihre Daten tatsächlich an jeden der unten angeführten Empfänger weitergegeben worden sind, kann jedoch nicht mehr mit Sicherheit festgestellt werden. An folgende Empfänger sind Ihre Daten, soweit nachvollziehbar, im Rahmen unserer Prozesse wahrscheinlich weitergegeben worden: Empfänger Steuerberater/Wirtschaftsprüfer/Revisionsverbände XXXX Gerichte/Behörden römisch 40 Gerichte/Behörden XXXX Zahlungsverkehrs-/Transaktionsdienstleister römisch 40 Zahlungsverkehrs-/Transaktionsdienstleister XXXX Bonitätsauskunfteien römisch 40 Bonitätsauskunfteien XXXX IT-Dienstleister römisch 40 IT-Dienstleister XXXX Telefon-/Post-/Backofficedienstleister römisch 40 Telefon-/Post-/Backofficedienstleister XXXX […]“ römisch 40 […]“ 1.
2. Die Beschwerdeführerin verfügt über keine über den Inhalt des Schreibens vom 24.03.2023 hinausgehenden Informationen darüber, an wen sie Daten über die mitbeteiligte Partei weitergegeben hat.
3. Die Feststellungen gründen auf der folgenden Beweiswürdigung: 2.
4. Die Feststellungen zum Auskunftsbegehren der mitbeteiligten Partei und den Antworten der Beschwerdeführerin (1.
5. bis 1.3.) gründen auf den von den Parteien im Administrativverfahren vorgelegten unbedenklichen Urkunden, die Feststellungen zur ergänzenden Auskunft der Beschwerdeführerin vom 24.03.2023 (1.4.) gründet auf dem von der Beschwerdeführerin im hg Verfahren vorgelegten unbedenklichen Schreiben vom 24.03.2023 (OZ 6) und dem unbedenklichen Zustellnachweis („Sendungsdetails“) vom 21.04.2023 (OZ 9). 2.
6. Die Feststellung, wonach die Beschwerdeführerin über keine detaillieren Informationen darüber verfügt, an wen sie Daten über die mitbeteiligte Partei weitergegeben hat, gründet auf dem unwidersprochenen Vorbringen der Beschwerdeführerin und den folgenden ergänzenden Überlegungen: Die ursprünglich der mitbeteiligten Partei erteilten Auskünfte haben keine konkreten Empfänger der Daten enthalten. Die Beschwerdeführerin ist daher – wie sie auch im Verfahren vorgebracht hat – davon ausgegangen, dass es aus rechtlichen Gründen nicht erforderlich ist, die Empfänger konkret zu benennen. Es ist daher nachvollziehbar, wenn die Beschwerdeführerin – wie sie in ihrer ergänzenden Auskunft vom 24.03.2023 ausgeführt hat – nicht protokolliert hat, an wen sie Daten einer bestimmten Person konkret übermittelt hat. Für das Vorbringen spricht auch, dass sich die Beschwerdeführerin nach der Klarstellung der Rechtslage durch den EuGH, wonach grundsätzlich die konkreten Empfänger zu beauskunften sind, nicht auf den Standpunkt zurückgezogen hat, über keine Informationen zu verfügen, was vor dem Hintergrund, dass der EuGH auch ausgesprochen hat, dass die Auskunft auf Informationen über die Kategorien von Empfängern beschränkt werden kann, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, uU ausreichend sein hätte können, um den gegenständlichen Fall zu gewinnen (vgl EuGH 12.01.2023, C-154/21, RW/Österreichische Post AG, Rz 43, 48). Vielmehr hat sie interne Recherchen durchgeführt und dreißig wahrscheinliche Empfänger ermittelt und der mitbeteiligten Partei mitgeteilt.Für das Vorbringen spricht auch, dass sich die Beschwerdeführerin nach der Klarstellung der Rechtslage durch den EuGH, wonach grundsätzlich die konkreten Empfänger zu beauskunften sind, nicht auf den Standpunkt zurückgezogen hat, über keine Informationen zu verfügen, was vor dem Hintergrund, dass der EuGH auch ausgesprochen hat, dass die Auskunft auf Informationen über die Kategorien von Empfängern beschränkt werden kann, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, uU ausreichend sein hätte können, um den gegenständlichen Fall zu gewinnen vergleiche EuGH 12.01.2023, C-154/21, RW/Österreichische Post AG, Rz 43, 48). Vielmehr hat sie interne Recherchen durchgeführt und dreißig wahrscheinliche Empfänger ermittelt und der mitbeteiligten Partei mitgeteilt. Auch die aus der ergänzenden Auskunft vom 24.03.2023 hervorgehende Vorgehensweise der Beschwerdeführerin, um die wahrscheinlichen Empfänger zu ermitteln, nämlich offenbar „im Rahmen [ihrer] Prozesse“ übliche Empfänger festzustellen, ist vor dem Hintergrund, keine ausreichenden Protokolls- oder Dokumentationsdateien zu verfügen, nachvollziehbar. Letztlich ist kein Motiv der Beschwerdeführerin erkennbar, unrichtige Angaben zu machen, ermöglicht sie der mitbeteiligten Partei doch mit ihrer Auskunft an die konkret genannten wahrscheinlichen Empfänger Auskunftsbegehren zu stellen, um selbst festzustellen, ob und welche Daten sie über die mitbeteiligte Partei verarbeiten und woher sie stammen (Art 15 Abs 1 lit g DSGVO).Letztlich ist kein Motiv der Beschwerdeführerin erkennbar, unrichtige Angaben zu machen, ermöglicht sie der mitbeteiligten Partei doch mit ihrer Auskunft an die konkret genannten wahrscheinlichen Empfänger Auskunftsbegehren zu stellen, um selbst festzustellen, ob und welche Daten sie über die mitbeteiligte Partei verarbeiten und woher sie stammen (Artikel 15, Absatz eins, Litera g, DSGVO).
7. Rechtlich folgt daraus: Zu Spruchpunkt A) Die Beschwerde ist zulässig und berechtigt. 3.
8. Zur ersatzlosen Behebung von Spruchpunkt
9. des bekämpften Bescheides (Feststellung einer vergangenen Verletzung im Recht auf Auskunft): Mit Spruchpunkt
10. hat die belangte Behörde festgestellt, dass die Beschwerdeführerin die mitbeteiligte Partei in ihrem Recht auf Auskunft verletzt hat, indem jene keine Auskunft darüber erteilt hat, an welche konkreten Empfänger sie personenbezogene Daten der mitbeteiligten Partei weitergegeben hat. Die Feststellung kann vor dem Hintergrund der von der Beschwerdeführerin ergänzend erteilten Auskunft nicht aufrechterhalten werden: 3.2.
11. Zur Vollständigkeit der Auskunft:

Art 15

DSGVO haben betroffene Personen das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so haben sie ein Recht auf Auskunft über diese personenbezogenen Daten und ua

Art 15

Abs 1 lit c DSGVO auf Informationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen.

Artikel 15

, DSGVO haben betroffene Personen das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so haben sie ein Recht auf Auskunft über diese personenbezogenen Daten und ua

Artikel 15

, Absatz eins, Litera c, DSGVO auf Informationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen. Die Informationen zu den nach Art 15 Abs 1 lit c DSGVO zu beauskunftenden Empfängern müssen dabei möglichst genau sein. Insbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen Informationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern (EuGH 12.01.2023, C-154/21, RW/Österreichische Post AG, Rz 43).Die Informationen zu den nach Artikel 15, Absatz eins, Litera c, DSGVO zu beauskunftenden Empfängern müssen dabei möglichst genau sein. Insbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen Informationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern (EuGH 12.01.2023, C-154/21, RW/Österreichische Post AG, Rz 43). Die Auskunft kann aber auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere, wenn sie noch nicht bekannt sind (EuGH 12.01.2023, C-154/21, RW/Österreichische Post AG, Rz 48). Angewendet auf den Sachverhalt bedeutet das: Die Beschwerdeführerin hat der mitbeteiligten Partei zwar nicht die konkreten Empfänger sie betreffender Daten genannt, sie hat aber – soweit ihr das möglich war – die Empfänger insoweit eingegrenzt, als sie 30 „wahrscheinliche“ Empfänger namentlich ermittelt und der mitbeteiligten Partei mitgeteilt hat. Die Beschwerdeführerin verfügt über keine weiteren Informationen über die Empfänger der die mitbeteiligte Partei betreffenden Daten. Vor dem Hintergrund, dass, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, die Empfänger nicht beauskunftet werden müssen, muss das Auskunftsrecht nach Art 15 Abs 1 lit c DSGVO jedenfalls erfüllt sein, wenn an sich nicht bekannte Empfänger soweit durch allgemeine Überlegungen derart eingeschränkt werden, dass eine bestimmte Anzahl wahrscheinlicher Empfänger ermittelt werden kann und diese wahrscheinlichen Empfänger dem Auskunftswerber mitgeteilt werden. Vor dem Hintergrund, dass, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, die Empfänger nicht beauskunftet werden müssen, muss das Auskunftsrecht nach Artikel 15, Absatz eins, Litera c, DSGVO jedenfalls erfüllt sein, wenn an sich nicht bekannte Empfänger soweit durch allgemeine Überlegungen derart eingeschränkt werden, dass eine bestimmte Anzahl wahrscheinlicher Empfänger ermittelt werden kann und diese wahrscheinlichen Empfänger dem Auskunftswerber mitgeteilt werden. Die festgestellte Verletzung im Recht auf Auskunft liegt somit nicht (mehr) vor. 3.2.2. Zur (mangelnden) Feststellungskompetenz von vergangen Verletzungen im Recht auf Auskunft:

§ 24

Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Art 2 1. Hauptstück DSG verstößt.

§ 24

Abs 5 DSG ist im Fall einer berechtigten Beschwerde über eine Verletzung, die einem Verantwortlichen des privaten Bereichs zuzurechnen ist, diesem aufzutragen den Anträgen des Beschwerdeführers zu entsprechen, etwa die beantragte Auskunft zu erteilen. § 24 Abs 6 DSG, der

§ 17Vw

GVG sinngemäß im verwaltungsgerichtlichen Verfahren anzuwenden ist, sieht dementsprechend vor, dass ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Diesfalls hat die belangte Behörde das Verfahren grundsätzlich formlos einzustellen.

Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2, 1. Hauptstück DSG verstößt.

Paragraph 24, Absatz 5, DSG ist im Fall einer berechtigten Beschwerde über eine Verletzung, die einem Verantwortlichen des privaten Bereichs zuzurechnen ist, diesem aufzutragen den Anträgen des Beschwerdeführers zu entsprechen, etwa die beantragte Auskunft zu erteilen. Paragraph 24, Absatz 6, DSG, der

Paragraph 17, VwGVG sinngemäß im verwaltungsgerichtlichen Verfahren anzuwenden ist, sieht dementsprechend vor, dass ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Diesfalls hat die belangte Behörde das Verfahren grundsätzlich formlos einzustellen. § 24 DSG soll betroffenen Personen ein Recht einräumen, etwaige Verletzungen von Rechten, die ihm aus dem DSG oder der DSGVO erwachsen, durchzusetzen (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG

Datenschutzgesetz idF BGBl Nr. 565/1978, in der § 14 Abs 1 DSG sogar – mit dem jetzigen Wortlaut des Gesetzes vergleichbar – darauf abstellt, dass der Beschwerdeführer „behauptet, wegen Verletzung von Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen in seinen Rechten verletzt worden zu sein“, ein Recht auf Feststellung vergangener und inzwischen behobener Rechtsverletzungen verneint (VfGH 26.06.1991, VfSgl. Nr. 12.768). Insbesondere folgt daraus, dass sich aus dem Grundrecht auf Datenschutz, das sich in Bezug auf das Recht auf Auskunft – soweit hier entscheidungsrelevant – nicht geändert hat (§ 1 Abs 3 Datenschutzgesetz idF BGBl Nr. 565/1978 bzw § 1 Abs 3 Z 1 DSG idF BGBl I Nr. 165/1999 zuletzt geändert durch BGBl I Nr. 51/2012) nicht ergibt, dass einer betroffenen Person in Bezug auf das Recht auf Auskunft das Recht auf bescheidförmige Feststellung vergangener Rechtsverletzungen eingeräumt werden muss.Schließlich hat auch der Verfassungsgerichtshof zur Rechtslage vor dem DSG 2000, nämlich zum Recht auf Auskunft

Datenschutzgesetz in der Fassung Bundesgesetzblatt Nr. 565 aus 1978,, in der Paragraph 14, Absatz eins, DSG sogar – mit dem jetzigen Wortlaut des Gesetzes vergleichbar – darauf abstellt, dass der Beschwerdeführer „behauptet, wegen Verletzung von Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen in seinen Rechten verletzt worden zu sein“, ein Recht auf Feststellung vergangener und inzwischen behobener Rechtsverletzungen verneint (VfGH 26.06.1991, VfSgl. Nr. 12.768). Insbesondere folgt daraus, dass sich aus dem Grundrecht auf Datenschutz, das sich in Bezug auf das Recht auf Auskunft – soweit hier entscheidungsrelevant – nicht geändert hat (Paragraph eins, Absatz 3, Datenschutzgesetz in der Fassung Bundesgesetzblatt Nr. 565 aus 1978, bzw Paragraph eins, Absatz 3, Ziffer eins, DSG in der Fassung Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, zuletzt geändert durch Bundesgesetzblatt Teil eins, Nr. 51 aus 2012,) nicht ergibt, dass einer betroffenen Person in Bezug auf das Recht auf Auskunft das Recht auf bescheidförmige Feststellung vergangener Rechtsverletzungen eingeräumt werden muss. Europarechtliche Überlegungen stehen dem nicht entgegen, weil die VO (EU) 2016/679 (DSGVO) einerseits den Aufsichtsbehörden kein Recht einräumt, Verletzungen der DSGVO in rechtlich verbindlicher Weise festzustellen (Art 58 Abs 1 bis 3 DSGVO) sie aber andererseits den Mitgliedsstaaten die Befugnis gewährt, ihren Aufsichtsbehörden ergänzende Abhilfebefugnisse einzuräumen (Art 58 Abs 6 DSGVO).Europarechtliche Überlegungen stehen dem nicht entgegen, weil die VO (EU) 2016/679 (DSGVO) einerseits den Aufsichtsbehörden kein Recht einräumt, Verletzungen der DSGVO in rechtlich verbindlicher Weise festzustellen (Artikel 58, Absatz eins bis 3 DSGVO) sie aber andererseits den Mitgliedsstaaten die Befugnis gewährt, ihren Aufsichtsbehörden ergänzende Abhilfebefugnisse einzuräumen (Artikel 58, Absatz 6, DSGVO). Da einer betroffenen Person somit kein subjektives öffentliches Recht zukommt, Verletzungen des Auskunftsrechts, die zum Abschluss des Verfahrens bereits behoben waren, mit Bescheid feststellen zu lassen, die Auskunft zwischenzeitlich erteilt worden ist und die belangte Behörde in so einem Fall das Verfahren

§ 24

Abs 6 DSG formlos einzustellen hat, war der Bescheid ersatzlos zu beheben.Da einer betroffenen Person somit kein subjektives öffentliches Recht zukommt, Verletzungen des Auskunftsrechts, die zum Abschluss des Verfahrens bereits behoben waren, mit Bescheid feststellen zu lassen, die Auskunft zwischenzeitlich erteilt worden ist und die belangte Behörde in so einem Fall das Verfahren

Paragraph 24, Absatz 6, DSG formlos einzustellen hat, war der Bescheid ersatzlos zu beheben. 3.

1. Zur ersatzlosen Behebung von Spruchpunkt
2. des bekämpften Bescheides: Auch die in Spruchpunkt
3. des bekämpften Bescheides enthaltenen Leistungsbefehle können vor dem Hintergrund der von der Beschwerdeführerin ergänzend erteilten Auskunft nicht aufrechterhalten werden: Die für das Bundesverwaltungsgericht maßgebliche Sach- und Rechtslage bestimmt sich nämlich – mangels anderer gesetzlicher Regelung – nach dem Zeitpunkt der verwaltungsgerichtlichen Entscheidung (vgl. bspw. VwGH 24.03.2015, Ro 2014/09/0066), allenfalls bestimmt sich die Sachlage nach dem Zeitpunkt des Schlusses des Ermittlungsverfahrens (§ 17 VwGVG iVm § 39 Abs 3 AVG; vgl Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11 Rz 835/1).Die für das Bundesverwaltungsgericht maßgebliche Sach- und Rechtslage bestimmt sich nämlich – mangels anderer gesetzlicher Regelung – nach dem Zeitpunkt der verwaltungsgerichtlichen Entscheidung vergleiche bspw. VwGH 24.03.2015, Ro 2014/09/0066), allenfalls bestimmt sich die Sachlage nach dem Zeitpunkt des Schlusses des Ermittlungsverfahrens (Paragraph 17, VwGVG in Verbindung mit Paragraph 39, Absatz 3, AVG; vergleiche Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11 Rz 835/1). In Spruchpunkt
4. des bekämpften Bescheides wurde der Beschwerdeführerin aufgetragen, die konkreten Empfänger der personenbezogenen Daten zu bezeichnen. Da die Beschwerdeführerin die Auskunft nunmehr vervollständigt hat, ist die Grundlage für die Erteilung eines Leistungsauftrags weggefallen, weshalb Spruchpunkt
5. des bekämpften Bescheids ersatzlos zu beheben war. 3.
6. Es war daher spruchgemäß zu entscheiden. 3.
7. Von der Durchführung einer mündlichen Verhandlung konnte aufgrund des Verzichts der Parteien (OZ 9, 11 und 13) abgesehen werden. Zu Spruchpunkt B) Zulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist zulässig, weil zur (hier auch) gegenständlichen Frage, ob ein Betroffener auch dann noch ein subjektives öffentliches Recht auf Feststellung der Verletzung in seinem Recht auf Auskunft hat, wenn die zu beauskunftenden Informationen nach Abschluss des Administrativverfahrens, aber vor Abschluss des gerichtlichen Beschwerdeverfahrens beauskunftet worden sind, eine gefestigte Rechtsprechung des Verwaltungsgerichtshofes fehlt. Zwar übernimmt der Verwaltungsgerichtshof in seinem Erkenntnis vom 19.10.2022, Ro 2022/04/0001, seine zum DSG 2000 ergangene Rechtsprechung zum Feststellungsanspruch vergangener Verletzungen im Recht auf Geheimhaltung und unterscheidet sie von seiner ebenfalls zum DSG 2000 ergangen Rechtsprechung zur mangelnden Recht auf Feststellung vergangener Verletzungen im Recht auf Auskunft. Der Verwaltungsgerichtshof hatte in dem Erkenntnis aber weder über eine vergangene Verletzung im Recht auf Auskunft zu entscheiden, noch hat er seine diesbezügliche Rechtsprechung ausdrücklich übernommen. European Case Law IdentifierECLI:AT:BVWG:2023:W258.2237026.1.00