{'item': 'W292 2289837-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum06.03.2025 GeschäftszahlW292 2289837-1 Spruch, W292 2289837-1/4E BESCHLUSS Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter Mag. René BOGENDORFER und Mag. Matthias SCHACHNER als Beisitzer, über die Beschwerde der XXXX , gegen den Bescheid der Datenschutzbehörde vom 08.02.2024, GZ. XXXX (mitbeteiligte Partei XXXX ), in nicht öffentlicher Sitzung beschlossen:Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter Mag. René BOGENDORFER und Mag. Matthias SCHACHNER als Beisitzer, über die Beschwerde der römisch 40 , gegen den Bescheid der Datenschutzbehörde vom 08.02.2024, GZ. römisch 40 (mitbeteiligte Partei römisch 40 ), in nicht öffentlicher Sitzung beschlossen: A) In Erledigung der Beschwerde wird der angefochtene Bescheid aufgehoben und die Angelegenheit gemäß § 28 Abs. 3 zweiter Satz VwGVG zur Erlassung eines neuen Bescheides an die Behörde zurückverwiesen.A) In Erledigung der Beschwerde wird der angefochtene Bescheid aufgehoben und die Angelegenheit gemäß Paragraph 28, Absatz 3, zweiter Satz VwGVG zur Erlassung eines neuen Bescheides an die Behörde zurückverwiesen. B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.B) Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig. , , TextEntscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

Mit Schriftsatz vom 30.10.2021 wandte sich XXXX (im Folgenden: mitbeteiligte Partei) an den Landesbeauftragten für den Datenschutz Niedersachsen, erhob Beschwerde gegen die XXXX (im Folgenden: Beschwerdeführerin) und brachte zusammengefasst vor, die Beschwerdeführerin verletze ihn im Recht auf Auskunft, da sie auf seine postalisch eingebrachten Auskunftsanträge vom 28.11.2020 und 05.12.2020 nicht reagiert habe.
Mit Schriftsatz vom 30.10.2021 wandte sich römisch 40 (im Folgenden: mitbeteiligte Partei) an den Landesbeauftragten für den Datenschutz Niedersachsen, erhob Beschwerde gegen die römisch 40 (im Folgenden: Beschwerdeführerin) und brachte zusammengefasst vor, die Beschwerdeführerin verletze ihn im Recht auf Auskunft, da sie auf seine postalisch eingebrachten Auskunftsanträge vom 28.11.2020 und 05.12.2020 nicht reagiert habe.
Die Beschwerdeführerin erstattete im Wege ihres Rechtsvertreters mit Schriftsatz vom 24.01.2022 eine an das Bayerische Landesamt für Datenschutzaufsicht (im Folgenden: BayLDA) gerichtete Stellungnahme und brachte vor, in Deutschland eine datenschutzrechtlich unselbstständige Niederlassung zu betreiben, eigenständig verantwortlich iSd DSGVO sei jedoch die österreichische Firma XXXX der Beschwerdeführerin.
Die Beschwerdeführerin erstattete im Wege ihres Rechtsvertreters mit Schriftsatz vom 24.01.2022 eine an das Bayerische Landesamt für Datenschutzaufsicht (im Folgenden: BayLDA) gerichtete Stellungnahme und brachte vor, in Deutschland eine datenschutzrechtlich unselbstständige Niederlassung zu betreiben, eigenständig verantwortlich iSd DSGVO sei jedoch die österreichische Firma römisch 40 der Beschwerdeführerin.
Das BayLDA regte mit Eintrag im Binnenmarktinformationssystem der Europäischen Union (IMI) vom 05.08.2022 die Zuständigkeit der Datenschutzbehörde (im Folgenden: belangte Behörde) als federführende Aufsichtsbehörde an und forderte die Beschwerdeführerin mit Schreiben von 30.08.2022 und 22.09.2022 zur Abgabe einer Stellungnahme auf. Die belangte Behörde erklärte mit IMI-Eintrag vom 19.10.2022 ihre Zuständigkeit.
Die Beschwerdeführerin teilte der belangten Behörde nach entsprechenden Aufforderungen vom 10.11.2022, 07.12.2022 und 05.01.2023 per E-Mail am 16.01.2023 mit, zur Mitwirkung weitere Informationen zur mitbeteiligten Partei zu benötigen, da der Name der mitbeteiligten Partei nicht zuordenbar sei.
Das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) übermittelte nach entsprechendem Ersuchen der belangten Behörde eine Eingabe der mitbeteiligten Partei vom 11.02.
Dieser Eingabe beigelegt war ein von der Beschwerdeführerin an die E-Mail-Adresse der mitbeteiligten Partei versandte E-Mail, die sich an XXXX richtet und eine Auflistung mit offenen Forderungen gegen den Kontoinhaber XXXX (in weiterer Folge: unbeteiligte Person) enthält.
Das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) übermittelte nach entsprechendem Ersuchen der belangten Behörde eine Eingabe der mitbeteiligten Partei vom 11.02.
Dieser Eingabe beigelegt war ein von der Beschwerdeführerin an die E-Mail-Adresse der mitbeteiligten Partei versandte E-Mail, die sich an römisch 40 richtet und eine Auflistung mit offenen Forderungen gegen den Kontoinhaber römisch 40 (in weiterer Folge: unbeteiligte Person) enthält.
Die Beschwerdeführerin brachte nach Aufforderung durch die belangte Behörde mit Stellungnahme vom 23.02.2023 vor, dass der Vorgang in der Sache der unbeteiligten Person bereits im Dezember 2022 gestoppt und die Akte geschlossen worden sei. Mit ergänzenden Eingaben vom 27.02.2023 und 01.03.2023 gab die Beschwerdeführerin an, dass der mitbeteiligten Partei XXXX per E-Mail mitgeteilt worden sei, dass der Akt geschlossen worden sei. Den Erhalt einer solchen E-Mail bestätigte die mitbeteiligte Partei mit Eingabe vom 25.04.2023.
Die Beschwerdeführerin brachte nach Aufforderung durch die belangte Behörde mit Stellungnahme vom 23.02.2023 vor, dass der Vorgang in der Sache der unbeteiligten Person bereits im Dezember 2022 gestoppt und die Akte geschlossen worden sei. Mit ergänzenden Eingaben vom 27.02.2023 und 01.03.2023 gab die Beschwerdeführerin an, dass der mitbeteiligten Partei römisch 40 per E-Mail mitgeteilt worden sei, dass der Akt geschlossen worden sei. Den Erhalt einer solchen E-Mail bestätigte die mitbeteiligte Partei mit Eingabe vom 25.04.
Die Beschwerdeführerin gab mit Eingaben vom 25.04.2023 erneut bekannt, sich mit der mitbeteiligten Partei in Verbindung zu setzen, nachdem sie von der belangten Behörde darauf hingewiesen wurde, dass es sich bei der mitbeteiligten Partei und der unbeteiligten Person um unterschiedliche Personen handle.
Nach Aufforderung zur Stellungnahme durch die belangte Behörde wiederholte die Beschwerdeführerin mit Eingaben vom 20.06.2023 und 26.06.2023 ihr bisheriges Vorbringen und gab darüber hinaus bekannt, dass ihrerseits lediglich Schriftverkehr mit der belangten Behörde dokumentiert und kein Schreiben an die mitbeteiligte Partei ergangen sei.
Mit hier angefochtenem Bescheid der belangten Behörde vom 08.02.2024 hat die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei vom 30.10.2021 stattgegeben und festgestellt, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Auskunft verletzt habe (Spruchpunkt 1.) und der Beschwerdeführerin aufgetragen, der mitbeteiligten Partei innerhalb einer Frist von zwei Wochen bei sonstiger Exekution, eine Auskunft über die sie betreffenden personenbezogenen Daten im Umfang des Art. 15 DSGVO zu erteilen (Spruchpunkt 2.).
Mit hier angefochtenem Bescheid der belangten Behörde vom 08.02.2024 hat die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei vom 30.10.2021 stattgegeben und festgestellt, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Auskunft verletzt habe (Spruchpunkt 1.) und der Beschwerdeführerin aufgetragen, der mitbeteiligten Partei innerhalb einer Frist von zwei Wochen bei sonstiger Exekution, eine Auskunft über die sie betreffenden personenbezogenen Daten im Umfang des Artikel 15, DSGVO zu erteilen (Spruchpunkt 2.). Begründend stellt die belangte Behörde hierzu im Wesentlichen fest, die mitbeteiligte Partei habe trotz Auskunftsbegehren und mehrfacher Aufforderung durch die belangte Behörde mit Hinweis auf eine mögliche Personenverwechselung an die Beschwerdeführerin als datenschutzrechtlich Verantwortliche keine Beauskunftung der sie betreffenden personenbezogenen Daten erhalten. Als geeignete, erforderliche und verhältnismäßige Abhilfemaßnahme sei der Beschwerdeführerin der dementsprechende Leistungsauftrag zu erteilen gewesen.
Dagegen richtet sich die am 07.03.2024 eingebrachte Bescheidbeschwerde, mit der zusammengefasst vertreten wird, dass es der Beschwerdeführerin mangels Identifizierbarkeit der mitbeteiligten Partei nicht möglich sei, die Auskunft zu erteilen und die belangte Behörde deren Identität nicht ausreichend überprüft habe. Die Beschwerdeführerin habe die mitbeteiligte Partei aufgrund eines Schreibens vom 21.11.2020 zum Nachweis ihrer Identität aufgefordert, habe jedoch mit Schreiben der mitbeteiligten Partei vom 05.12.2020 lediglich eine in wesentlichen Punkten geschwärzte Kopie eines Personalausweises, ohne die zur tatsächlichen Zuordnung notwendigen Daten, erhalten. Unter dem Namen der mitbeteiligten Partei würden mehrere Personen in der Forderungsdatei der Beschwerdeführerin aufliegen, sodass keine Auskunft erteilt werden konnte. Die mitbeteiligte Partei sei mit Schreiben vom 07.03.2024 erneut zum Nachweis ihrer Identität aufgefordert worden. Zu den an die mitbeteiligte Partei per E-Mail versandten Auskünfte, dass der Akt betreffend die unbeteiligte Person geschlossen worden sei, brachte die Beschwerdeführerin vor, dass die unbeteiligte Person einen Vertrag mit einer Klientin der Beschwerdeführerin abgeschlossen und als Kontaktadresse die E-Mail-Adresse der mitbeteiligten Partei angegeben habe. Darüber hinaus werde beanstandet, dass Spruchpunkt
des angefochtenen Bescheides hinsichtlich dessen Unbestimmtheit nicht vollstreckbar sei. Zudem sei die belangte Behörde nicht zuständig und österreichisches Datenschutzrecht nicht anwendbar.
Die belangte Behörde hat die gegenständliche Beschwerde samt den Bezug habenden Verwaltungsakt dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage vom 05.04.2024 vorgelegt und stellungnehmend ausgeführt, dass es ausschließlich Pflicht des Verantwortlichen sei, die Identität eines Antragstellers zu überprüfen. Die Beschwerdeführerin wäre demnach verpflichtet gewesen, die mitbeteiligte Partei über die fehlende Identifikation zu informieren, habe jedoch erst nach Erlassung und Zustellung des angefochtenen Bescheides dementsprechende Schritte unternommen und den Identitätsmangel vorgebracht. Darüber hinaus ergebe sich aus der grenzüberschreitenden Datenverarbeitung die Zuständigkeit der belangten Behörde als federführende Aufsichtsbehörde. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: II.
Feststellungen:römisch zwei.
Feststellungen: Der oben dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt. II.1.
Zur Beschwerdeführerin: römisch zwei.1.
Zur Beschwerdeführerin: Die Beschwerdeführerin ist eine unter FN XXXX im Firmenbuch eingetragene Gesellschaft mit beschränkter Haftung mit Sitz in 5020 Salzburg und betreibt das Gewerbe der Inkassoinstitute. Für ihre unternehmerische Tätigkeit in Deutschland führt sie eine unselbstständige Zweigniederlassung mit Sitz in XXXX , Deutschland.Die Beschwerdeführerin ist eine unter FN römisch 40 im Firmenbuch eingetragene Gesellschaft mit beschränkter Haftung mit Sitz in 5020 Salzburg und betreibt das Gewerbe der Inkassoinstitute. Für ihre unternehmerische Tätigkeit in Deutschland führt sie eine unselbstständige Zweigniederlassung mit Sitz in römisch 40 , Deutschland. II.1.
Zum Antrag auf Auskunft der mitbeteiligten Partei gegenüber der Beschwerdeführerin: römisch zwei.1.
Zum Antrag auf Auskunft der mitbeteiligten Partei gegenüber der Beschwerdeführerin: Die mitbeteiligte Partei begehrte mit postalischem Schreiben vom 28.11.2020 von der Beschwerdeführerin Auskunft darüber, welche personenbezogenen Daten sie über ihre Person gespeichert hat. Mit weiterem Schreiben vom 05.12.2020 übermittelte die mitbeteiligte Partei der Beschwerdeführerin eine teilweise geschwärzte Kopie eines Personalausweises der Bundesrepublik Deutschland. Auf dieser sind Vor- und Nachname, Gültigkeitsdatum des Ausweises, eine nicht bezeichnete sechsstellige Zahl sowie eine Unterschrift ersichtlich, wobei weitere Angaben (insbesondere Geburtsdatum, Staatsangehörigkeit, Seriennummer, Geburtsort, Passbild) unkenntlich gemacht sind. II.1.
Zur Beantwortung des Auskunftsbegehrens der mitbeteiligten Partei durch die Beschwerdeführerin: römisch zwei.1.
Zur Beantwortung des Auskunftsbegehrens der mitbeteiligten Partei durch die Beschwerdeführerin: Die Beschwerdeführerin teilte der belangten Behörde mit E-Mail vom 16.01.2023 folgendes mit: „Sehr geehrte Damen und Herren, Wir bitten sie um positiv mitwirken zu können um noch genauere Infos zu XXXX [Anm. des BVwG: die mitbeteiligte Partei] wie zb: ein Aktenzeichen aus unserem Haus damit wir ihr Anliegen zuordnen können den ihr Mandant ist leider nicht der einzige mit diesem Namen. Wir verbleiben mit besten Grüßen XXXX “Wir bitten sie um positiv mitwirken zu können um noch genauere Infos zu römisch 40 [Anm. des BVwG: die mitbeteiligte Partei] wie zb: ein Aktenzeichen aus unserem Haus damit wir ihr Anliegen zuordnen können den ihr Mandant ist leider nicht der einzige mit diesem Namen. Wir verbleiben mit besten Grüßen römisch 40 “ Am 21.02.2023 übermittelte die belangte Behörde der Beschwerdeführerin ein von dieser an die E-Mail-Adresse der mitbeteiligten Partei versandtes E-Mail vom 19.11.2020 und macht sie weiters darauf aufmerksam, dass diese sich jedoch an die unbeteiligte Person richtet. In weiterer Folge teilte die Beschwerdeführerin sowohl der mitbeteiligten Partei, als auch der belangten Behörde mehrmals (zuletzt mit E-Mail vom 26.06.2023) mit, dass der Akt zur unbeteiligten Person geschlossen worden sei. Die Beschwerdeführerin kam dem Auskunftsbegehren der mitbeteiligten Partei nicht nach. II.
Beweiswürdigung:römisch zwei.
Beweiswürdigung: II.2.
Zu II.1.
(Zur Beschwerdeführerin): römisch zwei.2.
Zu römisch zwei.1.
(Zur Beschwerdeführerin): Die diesbezüglichen Feststellungen folgen aus dem unbedenklichen Akteninhalt, insbesondere dem beiliegenden Auszug aus dem Firmenbuch zur Beschwerdeführerin sowie dem unstrittigen Vorbringen der Beschwerdeführerin zu ihrer deutschen Zweigniederlassung im Schriftsatz vom 24.01.
II.2.
Zu II.1.
(Zum Auskunftsbegehren der mitbeteiligten Partei): römisch zwei.2.
Zu römisch zwei.1.
(Zum Auskunftsbegehren der mitbeteiligten Partei): Die diesbezüglichen Feststellungen folgen aus dem Verwaltungsakt, insbesondere den einliegenden Schreiben der mitbeteiligten Partei vom 28.
und 05.12.2020, und sind unstrittig. II.2.
Zu II.1.
(Zur Beantwortung des Auskunftsbegehrens durch die Beschwerdeführerin): römisch zwei.2.
Zu römisch zwei.1.
(Zur Beantwortung des Auskunftsbegehrens durch die Beschwerdeführerin): Die getroffenen Feststellungen ergeben sich aus dem vorgelegten und unbedenklichen Verwaltungsakt, insbesondere aus dem E-Mail der Beschwerdeführerin an die belangte Behörde vom 16.01.2023, dem Schriftsatz der belangten Behörde vom 21.02.2023, der E-Mail-Korrespondenz zwischen der belangten Behörde und der Beschwerdeführerin vom 27.02., 01.03., 25.04., 20.
und 26.06.2023 sowie der Bescheidbeschwerde vom 07.03.
II.
Rechtliche Beurteilung:römisch zwei.
Rechtliche Beurteilung: Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß Paragraph 27, DSG Senatszuständigkeit vor. II.3.
Anzuwendendes Rechtrömisch zwei.3.
Anzuwendendes Recht Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise samt Überschrift wie folgt:Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise samt Überschrift wie folgt: „Grundrecht auf Datenschutz § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. […]“ „Beschwerde an die Datenschutzbehörde § 24.

(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24,

(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

(2)Die Beschwerde hat zu enthalten:

die Bezeichnung des als verletzt erachteten Rechts,
soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
das Begehren, die behauptete Rechtsverletzung festzustellen und
die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3)Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten. […]“ Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) Amtsblatt L 119 vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift: Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(1)„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

(2)„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; …

(7)„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; …

(16)„Hauptniederlassung“ a) im Falle eines Verantwortlichen mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union, es sei denn, die Entscheidungen hinsichtlich der Zwecke und Mittel der Verarbeitung personenbezogener Daten werden in einer anderen Niederlassung des Verantwortlichen in der Union getroffen und diese Niederlassung ist befugt, diese Entscheidungen umsetzen zu lassen; in diesem Fall gilt die Niederlassung, die derartige Entscheidungen trifft, als Hauptniederlassung;“ Im 36. Erwägungsgrund zur DSGVO heißt es in Bezug auf die Festlegung der Hauptniederlassung des Art. 4 Z 1:Im 36. Erwägungsgrund zur DSGVO heißt es in Bezug auf die Festlegung der Hauptniederlassung des Artikel 4, Ziffer eins :

(36)Die Hauptniederlassung des Verantwortlichen in der Union sollte der Ort seiner Hauptverwaltung in der Union sein, es sei denn, dass Entscheidungen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten in einer anderen Niederlassung des Verantwortlichen in der Union getroffen werden; in diesem Fall sollte die letztgenannte als Hauptniederlassung gelten. Zur Bestimmung der Hauptniederlassung eines Verantwortlichen in der Union sollten objektive Kriterien herangezogen werden; ein Kriterium sollte dabei die effektive und tatsächliche Ausübung von Managementtätigkeiten durch eine feste Einrichtung sein, in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke und Mittel der Verarbeitung getroffen werden. Dabei sollte nicht ausschlaggebend sein, ob die Verarbeitung der personenbezogenen Daten tatsächlich an diesem Ort ausgeführt wird. Das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Verarbeitung personenbezogener Daten oder Verarbeitungstätigkeiten begründen an sich noch keine Hauptniederlassung und sind daher kein ausschlaggebender Faktor für das Bestehen einer Hauptniederlassung. Die Hauptniederlassung des Auftragsverarbeiters sollte der Ort sein, an dem der Auftragsverarbeiter seine Hauptverwaltung in der Union hat, oder – wenn er keine Hauptverwaltung in der Union hat – der Ort, an dem die wesentlichen Verarbeitungstätigkeiten in der Union stattfinden. Sind sowohl der Verantwortliche als auch der Auftragsverarbeiter betroffen, so sollte die Aufsichtsbehörde des Mitgliedstaats, in dem der Verantwortliche seine Hauptniederlassung hat, die zuständige federführende Aufsichtsbehörde bleiben, doch sollte die Aufsichtsbehörde des Auftragsverarbeiters als betroffene Aufsichtsbehörde betrachtet werden und diese Aufsichtsbehörde sollte sich an dem in dieser Verordnung vorgesehenen Verfahren der Zusammenarbeit beteiligen. Auf jeden Fall sollten die Aufsichtsbehörden des Mitgliedstaats oder der Mitgliedstaaten, in dem bzw. denen der Auftragsverarbeiter eine oder mehrere Niederlassungen hat, nicht als betroffene Aufsichtsbehörden betrachtet werden, wenn sich der Beschlussentwurf nur auf den Verantwortlichen bezieht. Wird die Verarbeitung durch eine Unternehmensgruppe vorgenommen, so sollte die Hauptniederlassung des herrschenden Unternehmens als Hauptniederlassung der Unternehmensgruppe gelten, es sei denn, die Zwecke und Mittel der Verarbeitung werden von einem anderen Unternehmen festgelegt.“ Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten

(1)Personenbezogene Daten müssen

a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f)in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2)Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“). Artikel 11 Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist

(1)Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, zur bloßen Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren.

(2)Kann der Verantwortliche in Fällen gemäß Absatz 1 des vorliegenden Artikels nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich. In diesen Fällen finden die Artikel 15 bis 20 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen. Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1)Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2)Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3)Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4)Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5)Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a)ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder
b)sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6)Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind. Artikel 15 Auskunftsrecht der betroffenen Person

(1)Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a)die Verarbeitungszwecke;
b)die Kategorien personenbezogener Daten, die verarbeitet werden;
c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d)falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e)das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g)wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2)Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3)Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4)Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Im

und
Erwägungsgrund zur DSGVO heißt es in Bezug auf das Auskunftsrecht der betroffenen Person nach Art. 15:Im
und
Erwägungsgrund zur DSGVO heißt es in Bezug auf das Auskunftsrecht der betroffenen Person nach Artikel 15 :

(63)Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.

(64)Der Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen, insbesondere im Rahmen von Online-Diensten und im Fall von Online-Kennungen. Ein Verantwortlicher sollte personenbezogene Daten nicht allein zu dem Zweck speichern, auf mögliche Auskunftsersuchen reagieren zu können.“ Artikel 56 Zuständigkeit der federführenden Aufsichtsbehörde

(1)Unbeschadet des Artikels 55 ist die Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters gemäß dem Verfahren nach Artikel 60 die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführte grenzüberschreitende Verarbeitung.

(2)Abweichend von Absatz 1 ist jede Aufsichtsbehörde dafür zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen diese Verordnung zu befassen, wenn der Gegenstand nur mit einer Niederlassung in ihrem Mitgliedstaat zusammenhängt oder betroffene Personen nur ihres Mitgliedstaats erheblich beeinträchtigt.

(3)In den in Absatz 2 des vorliegenden Artikels genannten Fällen unterrichtet die Aufsichtsbehörde unverzüglich die federführende Aufsichtsbehörde über diese Angelegenheit. Innerhalb einer Frist von drei Wochen nach der Unterrichtung entscheidet die federführende Aufsichtsbehörde, ob sie sich mit dem Fall gemäß dem Verfahren nach Artikel 60 befasst oder nicht, wobei sie berücksichtigt, ob der Verantwortliche oder der Auftragsverarbeiter in dem Mitgliedstaat, dessen Aufsichtsbehörde sie unterrichtet hat, eine Niederlassung hat oder nicht.

(4)Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall zu befassen, so findet das Verfahren nach Artikel 60 Anwendung. Die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, kann dieser einen Beschlussentwurf vorlegen. Die federführende Aufsichtsbehörde trägt diesem Entwurf bei der Ausarbeitung des Beschlussentwurfs nach Artikel 60 Absatz 3 weitestgehend Rechnung.

(5)Entscheidet die federführende Aufsichtsbehörde, sich mit dem Fall nicht selbst zu befassen, so befasst die Aufsichtsbehörde, die die federführende Aufsichtsbehörde unterrichtet hat, sich mit dem Fall gemäß den Artikeln 61 und 62.

(6)Die federführende Aufsichtsbehörde ist der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter für Fragen der von diesem Verantwortlichen oder diesem Auftragsverarbeiter durchgeführten grenzüberschreitenden Verarbeitung. Artikel 60 Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden

(1)Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden im Einklang mit diesem Artikel zusammen und bemüht sich dabei, einen Konsens zu erzielen. Die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden tauschen untereinander alle zweckdienlichen Informationen aus.

(2)Die federführende Aufsichtsbehörde kann jederzeit andere betroffene Aufsichtsbehörden um Amtshilfe gemäß Artikel 61 ersuchen und gemeinsame Maßnahmen gemäß Artikel 62 durchführen, insbesondere zur Durchführung von Untersuchungen oder zur Überwachung der Umsetzung einer Maßnahme in Bezug auf einen Verantwortlichen oder einen Auftragsverarbeiter, der in einem anderen Mitgliedstaat niedergelassen ist.

(3)Die federführende Aufsichtsbehörde übermittelt den anderen betroffenen Aufsichtsbehörden unverzüglich die zweckdienlichen Informationen zu der Angelegenheit. Sie legt den anderen betroffenen Aufsichtsbehörden unverzüglich einen Beschlussentwurf zur Stellungnahme vor und trägt deren Standpunkten gebührend Rechnung.

(4)Legt eine der anderen betroffenen Aufsichtsbehörden innerhalb von vier Wochen, nachdem sie gemäß Absatz 3 des vorliegenden Artikels konsultiert wurde, gegen diesen Beschlussentwurf einen maßgeblichen und begründeten Einspruch ein und schließt sich die federführende Aufsichtsbehörde dem maßgeblichen und begründeten Einspruch nicht an oder ist der Ansicht, dass der Einspruch nicht maßgeblich oder nicht begründet ist, so leitet die federführende Aufsichtsbehörde das Kohärenzverfahren gemäß Artikel 63 für die Angelegenheit ein.

(5)Beabsichtigt die federführende Aufsichtsbehörde, sich dem maßgeblichen und begründeten Einspruch anzuschließen, so legt sie den anderen betroffenen Aufsichtsbehörden einen überarbeiteten Beschlussentwurf zur Stellungnahme vor. Der überarbeitete Beschlussentwurf wird innerhalb von zwei Wochen dem Verfahren nach Absatz 4 unterzogen.

(6)Legt keine der anderen betroffenen Aufsichtsbehörden Einspruch gegen den Beschlussentwurf ein, der von der federführenden Aufsichtsbehörde innerhalb der in den Absätzen 4 und 5 festgelegten Frist vorgelegt wurde, so gelten die federführende Aufsichtsbehörde und die betroffenen Aufsichtsbehörden als mit dem Beschlussentwurf einverstanden und sind an ihn gebunden.

(7)Die federführende Aufsichtsbehörde erlässt den Beschluss und teilt ihn der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder gegebenenfalls des Auftragsverarbeiters mit und setzt die anderen betroffenen Aufsichtsbehörden und den Ausschuss von dem betreffenden Beschluss einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe in Kenntnis. Die Aufsichtsbehörde, bei der eine Beschwerde eingereicht worden ist, unterrichtet den Beschwerdeführer über den Beschluss.

(8)Wird eine Beschwerde abgelehnt oder abgewiesen, so erlässt die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, abweichend von Absatz 7 den Beschluss, teilt ihn dem Beschwerdeführer mit und setzt den Verantwortlichen in Kenntnis.

(9)Sind sich die federführende Aufsichtsbehörde und die betreffenden Aufsichtsbehörden darüber einig, Teile der Beschwerde abzulehnen oder abzuweisen und bezüglich anderer Teile dieser Beschwerde tätig zu werden, so wird in dieser Angelegenheit für jeden dieser Teile ein eigener Beschluss erlassen. Die federführende Aufsichtsbehörde erlässt den Beschluss für den Teil, der das Tätigwerden in Bezug auf den Verantwortlichen betrifft, teilt ihn der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder des Auftragsverarbeiters im Hoheitsgebiet ihres Mitgliedstaats mit und setzt den Beschwerdeführer hiervon in Kenntnis, während die für den Beschwerdeführer zuständige Aufsichtsbehörde den Beschluss für den Teil erlässt, der die Ablehnung oder Abweisung dieser Beschwerde betrifft, und ihn diesem Beschwerdeführer mitteilt und den Verantwortlichen oder den Auftragsverarbeiter hiervon in Kenntnis setzt.

(10)Nach der Unterrichtung über den Beschluss der federführenden Aufsichtsbehörde gemäß den Absätzen 7 und 9 ergreift der Verantwortliche oder der Auftragsverarbeiter die erforderlichen Maßnahmen, um die Verarbeitungstätigkeiten all seiner Niederlassungen in der Union mit dem Beschluss in Einklang zu bringen. Der Verantwortliche oder der Auftragsverarbeiter teilt der federführenden Aufsichtsbehörde die Maßnahmen mit, die zur Einhaltung des Beschlusses ergriffen wurden; diese wiederum unterrichtet die anderen betroffenen Aufsichtsbehörden.

(11)Hat — in Ausnahmefällen — eine betroffene Aufsichtsbehörde Grund zu der Annahme, dass zum Schutz der Interessen betroffener Personen dringender Handlungsbedarf besteht, so kommt das Dringlichkeitsverfahren nach Artikel 66 zur Anwendung.

(12)Die federführende Aufsichtsbehörde und die anderen betroffenen Aufsichtsbehörden übermitteln einander die nach diesem Artikel geforderten Informationen auf elektronischem Wege unter Verwendung eines standardisierten Formats. Artikel 61 Gegenseitige Amtshilfe

(1)Die Aufsichtsbehörden übermitteln einander maßgebliche Informationen und gewähren einander Amtshilfe, um diese Verordnung einheitlich durchzuführen und anzuwenden, und treffen Vorkehrungen für eine wirksame Zusammenarbeit. Die Amtshilfe bezieht sich insbesondere auf Auskunftsersuchen und aufsichtsbezogene Maßnahmen, beispielsweise Ersuchen um vorherige Genehmigungen und eine vorherige Konsultation, um Vornahme von Nachprüfungen und Untersuchungen.

(2)Jede Aufsichtsbehörde ergreift alle geeigneten Maßnahmen, um einem Ersuchen einer anderen Aufsichtsbehörde unverzüglich und spätestens innerhalb eines Monats nach Eingang des Ersuchens nachzukommen. Dazu kann insbesondere auch die Übermittlung maßgeblicher Informationen über die Durchführung einer Untersuchung gehören.

(3)Amtshilfeersuchen enthalten alle erforderlichen Informationen, einschließlich Zweck und Begründung des Ersuchens. Die übermittelten Informationen werden ausschließlich für den Zweck verwendet, für den sie angefordert wurden.

(4)Die ersuchte Aufsichtsbehörde lehnt das Ersuchen nur ab, wenn

a)sie für den Gegenstand des Ersuchens oder für die Maßnahmen, die sie durchführen soll, nicht zuständig ist oder
b)ein Eingehen auf das Ersuchen gegen diese Verordnung verstoßen würde oder gegen das Unionsrecht oder das Recht der Mitgliedstaaten, dem die Aufsichtsbehörde, bei der das Ersuchen eingeht, unterliegt.

(5)Die ersuchte Aufsichtsbehörde informiert die ersuchende Aufsichtsbehörde über die Ergebnisse oder gegebenenfalls über den Fortgang der Maßnahmen, die getroffen wurden, um dem Ersuchen nachzukommen. Die ersuchte Aufsichtsbehörde erläutert gemäß Absatz 4 die Gründe für die Ablehnung des Ersuchens.

(6)Die ersuchten Aufsichtsbehörden übermitteln die Informationen, um die von einer anderen Aufsichtsbehörde ersucht wurde, in der Regel auf elektronischem Wege unter Verwendung eines standardisierten Formats.

(7)Ersuchte Aufsichtsbehörden verlangen für Maßnahmen, die sie aufgrund eines Amtshilfeersuchens getroffen haben, keine Gebühren. Die Aufsichtsbehörden können untereinander Regeln vereinbaren, um einander in Ausnahmefällen besondere aufgrund der Amtshilfe entstandene Ausgaben zu erstatten.

(8)Erteilt eine ersuchte Aufsichtsbehörde nicht binnen eines Monats nach Eingang des Ersuchens einer anderen Aufsichtsbehörde die Informationen gemäß Absatz 5, so kann die ersuchende Aufsichtsbehörde eine einstweilige Maßnahme im Hoheitsgebiet ihres Mitgliedstaats gemäß Artikel 55 Absatz 1 ergreifen. In diesem Fall wird von einem dringenden Handlungsbedarf gemäß Artikel 66 Absatz 1 ausgegangen, der einen im Dringlichkeitsverfahren angenommenen verbindlichen Beschluss des Ausschuss gemäß Artikel 66 Absatz 2 erforderlich macht.

(9)Die Kommission kann im Wege von Durchführungsrechtsakten Form und Verfahren der Amtshilfe nach diesem Artikel und die Ausgestaltung des elektronischen Informationsaustauschs zwischen den Aufsichtsbehörden sowie zwischen den Aufsichtsbehörden und dem Ausschuss, insbesondere das in Absatz 6 des vorliegenden Artikels genannte standardisierte Format, festlegen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 93 Absatz 2 genannten Prüfverfahren erlassen. II.3.

Zur Zuständigkeit der belangten Behörde römisch zwei.3.
Zur Zuständigkeit der belangten Behörde 3.2.
Die Beschwerdeführerin brachte in der gegen den im Spruch genannten Bescheid erhobenen Beschwerde vor, dass es sich verfahrensgegenständlich um einen deutschen Inkassofall handle, der bei richtiger rechtlicher Beurteilung durch die deutschen Behörden zu entscheiden gewesen wäre. Nach Art. 56 Abs. 1 iVm Art. 60 Abs. 7 DSGVO, ist die Aufsichtsbehörde der Hauptniederlassung des Verantwortlichen die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen durchgeführte grenzüberschreitende Datenverarbeitung und erlässt als solche den Beschluss (hier: Bescheid) im Sinne von Art. 60 Abs. 7 DSGVO. Fallbezogen war unstrittig – und im Übrigen von der rechtsvertretenen Beschwerdeführerin mit Schriftsatz vom 24.01.2022 selbst vorgebracht -, dass es sich bei der in Deutschland ansässigen Zweigniederlassung der Beschwerdeführerin um eine unselbstständige Niederlassung handelt und die Beschwerdeführerin, eine im österreichischen Firmenbuch eingetragene Gesellschaft mit Sitz in 5020 Salzburg, eigenständig verantwortlich iSd Art. 4 Z 7 leg.cit. sei. Für den erkennenden Senat haben sich daher keine Zweifel an der Zuständigkeit der belangten Behörde als federführende Aufsichtsbehörde nach Art. 56 Abs. 1 iVm Art. 60 Abs. 1 DSGVO ergeben. In diesem Zusammenhang geht auch das nicht näher ausgeführte Beschwerdevorbringen, wonach gegenständlicher Datenschutzfall „nicht dem österreichischen Datenschutzrecht“ unterliege im Hinblick auf die unionsweite Anwendbarkeit der DSGVO ins Leere. 3.2.
Die Beschwerdeführerin brachte in der gegen den im Spruch genannten Bescheid erhobenen Beschwerde vor, dass es sich verfahrensgegenständlich um einen deutschen Inkassofall handle, der bei richtiger rechtlicher Beurteilung durch die deutschen Behörden zu entscheiden gewesen wäre. Nach Artikel 56, Absatz eins, in Verbindung mit Artikel 60, Absatz 7, DSGVO, ist die Aufsichtsbehörde der Hauptniederlassung des Verantwortlichen die zuständige federführende Aufsichtsbehörde für die von diesem Verantwortlichen durchgeführte grenzüberschreitende Datenverarbeitung und erlässt als solche den Beschluss (hier: Bescheid) im Sinne von Artikel 60, Absatz 7, DSGVO. Fallbezogen war unstrittig – und im Übrigen von der rechtsvertretenen Beschwerdeführerin mit Schriftsatz vom 24.01.2022 selbst vorgebracht -, dass es sich bei der in Deutschland ansässigen Zweigniederlassung der Beschwerdeführerin um eine unselbstständige Niederlassung handelt und die Beschwerdeführerin, eine im österreichischen Firmenbuch eingetragene Gesellschaft mit Sitz in 5020 Salzburg, eigenständig verantwortlich iSd Artikel 4, Ziffer 7, leg.cit. sei. Für den erkennenden Senat haben sich daher keine Zweifel an der Zuständigkeit der belangten Behörde als federführende Aufsichtsbehörde nach Artikel 56, Absatz eins, in Verbindung mit Artikel 60, Absatz eins, DSGVO ergeben. In diesem Zusammenhang geht auch das nicht näher ausgeführte Beschwerdevorbringen, wonach gegenständlicher Datenschutzfall „nicht dem österreichischen Datenschutzrecht“ unterliege im Hinblick auf die unionsweite Anwendbarkeit der DSGVO ins Leere. II.3.
Zu Spruchpunkt A) – Zurückverweisung gemäß § 28 Abs. 3 zweiter Satz VwGVGrömisch zwei.3.
Zu Spruchpunkt A) – Zurückverweisung gemäß Paragraph 28, Absatz 3, zweiter Satz VwGVG 3.3.
Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Beschwerde durch Erkenntnis zu erledigen, sofern sie nicht zurückzuweisen oder das Verfahren einzustellen ist. 3.3.
Gemäß Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Beschwerde durch Erkenntnis zu erledigen, sofern sie nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Abs. 2 hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z. 1 B-VG dann in der Sache selbst zu entscheiden, wenn Gemäß Absatz 2, hat das Verwaltungsgericht über Beschwerden gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn
der maßgebliche Sachverhalt feststeht oder
die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Das Verwaltungsgericht hat gemäß § 28 Abs. 3 erster Satz VwGVG in der Sache selbst zu entscheiden, wenn die Voraussetzungen des Abs. 2 nicht vorliegen und die Behörde dem nicht bei der Vorlage der Beschwerde unter Bedachtnahme auf die wesentliche Vereinfachung oder Beschleunigung des Verfahrens widerspricht. Hat die Behörde notwendige Ermittlungen des Sachverhalts unterlassen, so kann das Verwaltungsgericht den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Behörde zurückverweisen. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Beschluss ausgegangen ist. Das Verwaltungsgericht hat gemäß Paragraph 28, Absatz 3, erster Satz VwGVG in der Sache selbst zu entscheiden, wenn die Voraussetzungen des Absatz 2, nicht vorliegen und die Behörde dem nicht bei der Vorlage der Beschwerde unter Bedachtnahme auf die wesentliche Vereinfachung oder Beschleunigung des Verfahrens widerspricht. Hat die Behörde notwendige Ermittlungen des Sachverhalts unterlassen, so kann das Verwaltungsgericht den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Behörde zurückverweisen. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Beschluss ausgegangen ist. 3.3.
Eine Zurückverweisung zur Durchführung notwendiger Ermittlungen kommt dabei nur dann in Betracht, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat (vgl. VwGH vom 24.08.2023, Ra 2020/22/0177, mit Hinweisen auf die st. Rechtsprechung). 3.3.
Eine Zurückverweisung zur Durchführung notwendiger Ermittlungen kommt dabei nur dann in Betracht, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat vergleiche VwGH vom 24.08.2023, Ra 2020/22/0177, mit Hinweisen auf die st. Rechtsprechung). 3.3.
Zum Auskunftsbegehren der mitbeteiligten Partei nach Art. 15 DSGVO: 3.3.
Zum Auskunftsbegehren der mitbeteiligten Partei nach Artikel 15, DSGVO: 3.3.3.
Mit Spruchpunkt
des angefochtenen Bescheides stellte die belangte Behörde fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Auskunft verletz habe. Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Information gemäß lit. a bis h leg.cit. Die Entstehung eines solchen datenschutzrechtlichen Auskunftsanspruches setzt gemäß Art. 12 DSGVO unter anderem voraus, dass die Identität des Auskunftswerbers feststeht, wobei zwei unterschiedliche Fallkonstellationen bestehen. Einerseits regelt Art. 12 Abs. 2 zweiter Satz leg.cit. in Verbindung mit Art. 11 leg.cit. den Fall, dass ein bestimmter Antragsteller, dessen Identität bekannt ist, im Datenbestand des Verantwortlichen nicht identifiziert bzw. mit eigenen Mitteln aufgefunden werden kann (vgl. hierzu auch den
Erwägungsgrund zur DSGVO). Andererseits ist Art. 12 Abs. 6 leg.cit. einschlägig, soweit der Verantwortliche bei einem Antrag, mit dem ein Betroffenenrecht nach Art 15 bis 21 geltend gemacht wird, begründete Zweifel an der Identität des Antragstellers hat. Auffällig ist an dieser Stelle, dass hier der Verordnungsgeber richtigerweise von „der natürlichen Person“ und nicht von der betroffenen Person spricht, weil zu diesem Zeitpunkt noch offen ist, ob überhaupt Daten dieser Person verarbeitet werden. Was genau unter „begründete Zweifel“ zu verstehen ist, wird durch die Rsp einzelfallbezogen zu entscheiden sein. Mit ausreichender Gewissheit lässt sich aus Abs. 6 leg.cit. ableiten, dass der Verantwortliche bei der Geltendmachung von Betroffenenrechten keine routinemäßige Identitätsprüfung durchführen darf. Als geeignete Form des Identitätsnachweises wurde nach der Rsp zum DSG 2000 bei einem schriftlichen Auskunftsbegehren etwa die Beilage der Kopie eines amtlichen Lichtbildausweises wie va eines Reisepasses oder Personalausweises angesehen (Jahnel, Kommentar zur DSGVO Art. 12 DSGVO, Rz. 11, 13).3.3.3.
Mit Spruchpunkt
des angefochtenen Bescheides stellte die belangte Behörde fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Auskunft verletz habe. Gemäß Artikel 15, Absatz eins, DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Information gemäß Litera a bis h leg.cit. Die Entstehung eines solchen datenschutzrechtlichen Auskunftsanspruches setzt gemäß Artikel 12, DSGVO unter anderem voraus, dass die Identität des Auskunftswerbers feststeht, wobei zwei unterschiedliche Fallkonstellationen bestehen. Einerseits regelt Artikel 12, Absatz 2, zweiter Satz leg.cit. in Verbindung mit Artikel 11, leg.cit. den Fall, dass ein bestimmter Antragsteller, dessen Identität bekannt ist, im Datenbestand des Verantwortlichen nicht identifiziert bzw. mit eigenen Mitteln aufgefunden werden kann vergleiche hierzu auch den
Erwägungsgrund zur DSGVO). Andererseits ist Artikel 12, Absatz 6, leg.cit. einschlägig, soweit der Verantwortliche bei einem Antrag, mit dem ein Betroffenenrecht nach Artikel 15 bis 21 geltend gemacht wird, begründete Zweifel an der Identität des Antragstellers hat. Auffällig ist an dieser Stelle, dass hier der Verordnungsgeber richtigerweise von „der natürlichen Person“ und nicht von der betroffenen Person spricht, weil zu diesem Zeitpunkt noch offen ist, ob überhaupt Daten dieser Person verarbeitet werden. Was genau unter „begründete Zweifel“ zu verstehen ist, wird durch die Rsp einzelfallbezogen zu entscheiden sein. Mit ausreichender Gewissheit lässt sich aus Absatz 6, leg.cit. ableiten, dass der Verantwortliche bei der Geltendmachung von Betroffenenrechten keine routinemäßige Identitätsprüfung durchführen darf. Als geeignete Form des Identitätsnachweises wurde nach der Rsp zum DSG 2000 bei einem schriftlichen Auskunftsbegehren etwa die Beilage der Kopie eines amtlichen Lichtbildausweises wie va eines Reisepasses oder Personalausweises angesehen (Jahnel, Kommentar zur DSGVO Artikel 12, DSGVO, Rz. 11, 13). 3.3.3.
Fallbezogen teilte die Beschwerdeführerin – wie unter Pkt. II.1.
festgestellt – der belangten Behörde mit E-Mail vom 16.01.2023 mit, dass sie zur Mitwirkung und Zuordnung des Auskunftsantrages genauere Informationen zur Identität der mitbeteiligten Partei benötige, da diese „nicht der einzige mit diesem Namen“ wäre. Dennoch hat die belangte Behörde aus Sicht des erkennenden Senates keinerlei Ermittlungsschritte zur Feststellung des maßgeblichen Sachverhaltes zur Beurteilung der Rechtsfrage vorgenommen, ob die Beschwerdeführerin gemäß Art. 12 Abs. 6 DSGVO begründete Zweifel an der Identität derjenigen natürlichen Person haben durfte, die den Auskunftsantrag nach Art. 15 DSGVO gestellt hat. Der erkennende Senat kommt daher zum Ergebnis, dass die belangte Behörde insofern zum maßgeblichen Sachverhalt bestenfalls bloß ansatzweise – im Sinne der vom Verwaltungsgerichtshof zu § 28 Abs. 3 zweiter Satz VwGVG entwickelten Leitlinien –ermittelt hat (vgl. in diesem Sinn: VwGH vom 02.08.2023, Ra 2023/04/0091, Rn. 21).3.3.3.
Fallbezogen teilte die Beschwerdeführerin – wie unter Pkt. römisch zwei.1.
festgestellt – der belangten Behörde mit E-Mail vom 16.01.2023 mit, dass sie zur Mitwirkung und Zuordnung des Auskunftsantrages genauere Informationen zur Identität der mitbeteiligten Partei benötige, da diese „nicht der einzige mit diesem Namen“ wäre. Dennoch hat die belangte Behörde aus Sicht des erkennenden Senates keinerlei Ermittlungsschritte zur Feststellung des maßgeblichen Sachverhaltes zur Beurteilung der Rechtsfrage vorgenommen, ob die Beschwerdeführerin gemäß Artikel 12, Absatz 6, DSGVO begründete Zweifel an der Identität derjenigen natürlichen Person haben durfte, die den Auskunftsantrag nach Artikel 15, DSGVO gestellt hat. Der erkennende Senat kommt daher zum Ergebnis, dass die belangte Behörde insofern zum maßgeblichen Sachverhalt bestenfalls bloß ansatzweise – im Sinne der vom Verwaltungsgerichtshof zu Paragraph 28, Absatz 3, zweiter Satz VwGVG entwickelten Leitlinien –ermittelt hat vergleiche in diesem Sinn: VwGH vom 02.08.2023, Ra 2023/04/0091, Rn. 21). 3.3.3.
Hierbei verkennt der erkennende Senat nicht, dass die mitbeteiligte Partei im Zuge ihres Auskunftsantrages zwar ein Ausweisdokument vorlegte, dieses war jedoch größtenteils geschwärzt, so war lediglich der Vor- und Nachname aus dem Dokument erkennbar und findet dieser zudem im deutschsprachigen Raum weite Verbreitung. Die Beschwerdeführerin brachte daher auf für den erkennenden Senat nachvollziehbarer Weise vor, weitere Daten (wie z.B. ein Aktenzeichen ihres Verfahrens zur mitbeteiligten Partei) zur Bestätigung der Identität der mitbeteiligten Partei zu benötigen. Soweit die belangte Behörde in ihrer Stellungnahme vom 05.04.2024 zur Vorlage des Ausweisdokumentes vorbringt, im Regelfall würde die Anführung des vollen Namens, des Ausstellungs- oder Ablaufdatums und der ausstellenden Behörde als ausreichend erachtet werden, ist dem zu entgegnen, dass gegenständlich aufgrund der großen Häufigkeit des Vor- und Nachnamens der mitbeteiligten Partei gerade nicht von einem solchen Regelfall auszugehen war, weshalb die Beibringung weiterer Informationen zur Identität der betroffenen Person (wie z.B. des Geburtsdatums) jedenfalls notwendig sein wird. 3.3.3.
Dass es in weiterer Folge trotz reger Korrespondenz zwischen der belangten Behörde, der in Deutschland zuständigen Aufsichtsbehörde, der mitbeteiligten Partei und der Beschwerdeführerin nicht zum Austausch weiterer, für die Identifizierung der mitbeteiligten Partei durch die Beschwerdeführerin gegebenenfalls notwendiger weiterer Informationen gekommen ist, liegt – soweit für den erkennenden Senat aus dem vorgelegten Verwaltungsakt ersichtlich – an dem Umstand, dass in den der Beschwerdeführerin vorliegenden Datensätzen die von der mitbeteiligten Partei verwendeten E-Mail-Adresse mit der unbeteiligten Person verknüpft war und die Beschwerdeführerin in weiterer Folge angenommen hat, dass es sich bei der mitbeteiligten Partei um die unbeteiligte Person handeln musste. Auf diese Personenverwechslung wurde die Beschwerdeführerin zwar mehrmals von der belangten Behörde hingewiesen, jedoch wurden der Beschwerdeführerin keine weiteren Informationen zugänglich gemacht, die gegebenenfalls zur Bestätigung der Identität der betroffenen Person erforderlich wären. 3.3.3.
Die gegenständliche Fallkonstellation ist insbesondere vor dem Hintergrund der Regelungen der Art. 56 und 60 DSGVO (Kohärenzverfahren) zu sehen, wonach in Fällen grenzüberschreitender Sachverhalte der federführenden Aufsichtsbehörde, im hier zu beurteilenden Fall kommt diese Rolle aufgrund der Hauptniederlassung der Verantwortlichen in Österreich wie festgestellt der belangten Behörde zu, komplexe Aufgaben im Zuge des Kooperationsmechanismus nach Art. 56 und 60 DSGVO zukommen. 3.3.3.
Die gegenständliche Fallkonstellation ist insbesondere vor dem Hintergrund der Regelungen der Artikel 56 und 60 DSGVO (Kohärenzverfahren) zu sehen, wonach in Fällen grenzüberschreitender Sachverhalte der federführenden Aufsichtsbehörde, im hier zu beurteilenden Fall kommt diese Rolle aufgrund der Hauptniederlassung der Verantwortlichen in Österreich wie festgestellt der belangten Behörde zu, komplexe Aufgaben im Zuge des Kooperationsmechanismus nach Artikel 56 und 60 DSGVO zukommen. 3.3.3.
Eine Zurückverweisung zur ergänzenden Durchführung eines Ermittlungsverfahrens erscheint aus verfahrensökonomischen Gründen auf Ebene der belangten Behörde als federführende Aufsichtsbehörde fallbezogen geboten, dies insbesondere im Hinblick auf das in Art. 61 DSGVO normierte Verfahren zur gegenseitigen Amtshilfe zwischen den nationalen Aufsichtsbehörden, das dem Bundesverwaltungsgericht nicht zur Verfügung steht. Dabei wird die belangte Behörde das Ermittlungsverfahren im Hinblick auf die Klärung der eindeutigen Identität der mitbeteiligten Partei zu ergänzen und sodann den festgestellten Sachverhalt einer rechtlichen Beurteilung dahingehend zuzuführen haben, ob die Beschwerdeführerin dem Auskunftsbegehren der mitbeteiligten Partei zu Recht nicht nachgekommen ist. 3.3.3.
Eine Zurückverweisung zur ergänzenden Durchführung eines Ermittlungsverfahrens erscheint aus verfahrensökonomischen Gründen auf Ebene der belangten Behörde als federführende Aufsichtsbehörde fallbezogen geboten, dies insbesondere im Hinblick auf das in Artikel 61, DSGVO normierte Verfahren zur gegenseitigen Amtshilfe zwischen den nationalen Aufsichtsbehörden, das dem Bundesverwaltungsgericht nicht zur Verfügung steht. Dabei wird die belangte Behörde das Ermittlungsverfahren im Hinblick auf die Klärung der eindeutigen Identität der mitbeteiligten Partei zu ergänzen und sodann den festgestellten Sachverhalt einer rechtlichen Beurteilung dahingehend zuzuführen haben, ob die Beschwerdeführerin dem Auskunftsbegehren der mitbeteiligten Partei zu Recht nicht nachgekommen ist. 3.3.
Zum Leistungsauftrag an die Beschwerdeführerin in Spruchpunkt
des angefochtenen Bescheides: 3.3.4.
Der Beschwerdeführerin wurde darüber hinaus mit Spruchpunkt
des angefochtenen Bescheides aufgetragen, der mitbeteiligten Partei binnen zwei Wochen bei sonstiger Exekution eine Auskunft im Umfang des Art. 15 DSGVO zu erteilen. Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes muss der Spruch eines Bescheides, mit dem der Partei eine Verpflichtung auferlegt wird, zum einen so bestimmt gefasst sein, dass dem Bescheidadressaten die überprüfbare Möglichkeit gegeben wird, dem Leistungsauftrag zu entsprechen (VwGH 08.04.2014, 2012/05/0113; 24.11.2003, 2002/10/0049; 21.10.1999, 99/07/0080). Zum anderen bedeutet die von § 59 Abs. 1 AVG für Leistungsbefehle geforderte Deutlichkeit eine Bestimmtheit – und nicht bloß Bestimmbarkeit – in dem Sinn, dass ohne weiteres Ermittlungsverfahren und neuerliche Entscheidung eine Vollstreckungsverfügung nach dem VVG ergehen kann (VwGH 15.09.2009, 2007/06/0312; 14.09.2004, 2001/10/0178; 25.04.1998, 88/12/0048). Nach der Judikatur des VwGH dürfen aber selbst die Anforderungen an den Spruch von Leistungsbescheiden ieS nicht überspannt werden (VwGH 31.03.2009, 2007/10/0301; 22.02.2001, 2000/07/0254; 24.04.1995, 93/10/0035). Weist ein Bescheid nicht die gemäß § 59 Abs. 1 AVG erforderliche Bestimmtheit auf, so ist er nach der ständigen Rechtsprechung des VwGH mit Rechtswidrigkeit seines Inhalts belastet (VwGH 16.06.2004, 2001/08/0034; 23.01.2002, 2001/07/0139; 29.05.1984, 84/04/0020; vgl. auch Hengstschläger/Leeb, AVG § 59, Rz 90, 98).3.3.4.
Der Beschwerdeführerin wurde darüber hinaus mit Spruchpunkt
des angefochtenen Bescheides aufgetragen, der mitbeteiligten Partei binnen zwei Wochen bei sonstiger Exekution eine Auskunft im Umfang des Artikel 15, DSGVO zu erteilen. Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes muss der Spruch eines Bescheides, mit dem der Partei eine Verpflichtung auferlegt wird, zum einen so bestimmt gefasst sein, dass dem Bescheidadressaten die überprüfbare Möglichkeit gegeben wird, dem Leistungsauftrag zu entsprechen (VwGH 08.04.2014, 2012/05/0113; 24.11.2003, 2002/10/0049; 21.10.1999, 99/07/0080). Zum anderen bedeutet die von Paragraph 59, Absatz eins, AVG für Leistungsbefehle geforderte Deutlichkeit eine Bestimmtheit – und nicht bloß Bestimmbarkeit – in dem Sinn, dass ohne weiteres Ermittlungsverfahren und neuerliche Entscheidung eine Vollstreckungsverfügung nach dem VVG ergehen kann (VwGH 15.09.2009, 2007/06/0312; 14.09.2004, 2001/10/0178; 25.04.1998, 88/12/0048). Nach der Judikatur des VwGH dürfen aber selbst die Anforderungen an den Spruch von Leistungsbescheiden ieS nicht überspannt werden (VwGH 31.03.2009, 2007/10/0301; 22.02.2001, 2000/07/0254; 24.04.1995, 93/10/0035). Weist ein Bescheid nicht die gemäß Paragraph 59, Absatz eins, AVG erforderliche Bestimmtheit auf, so ist er nach der ständigen Rechtsprechung des VwGH mit Rechtswidrigkeit seines Inhalts belastet (VwGH 16.06.2004, 2001/08/0034; 23.01.2002, 2001/07/0139; 29.05.1984, 84/04/0020; vergleiche auch Hengstschläger/Leeb, AVG Paragraph 59,, Rz 90, 98). 3.3.4.
Im vorliegenden Fall war daher der von der belangten Behörde in Spruchpunkt
des angefochtenen Bescheides formulierte Leistungsauftrag auf seine Bestimmtheit bzw. Vollstreckbarkeit zu überprüfen. Dieser lautet: „Der Beschwerdegegnerin wird aufgetragen, dem Beschwerdeführer innerhalb einer Frist von zwei

(2)Wochen bei sonstiger Exekution eine Auskunft über die ihn betreffenden personenbezogenen Daten im Umfang des Art. 15 DSGVO zu erteilen“, wobei im hg. Verfahren die im Spruchpunkt genannte Beschwerdegegnerin als Beschwerdeführerin und der im Spruchpunkt genannte Beschwerdeführer als mitbeteiligte Partei bezeichnet werden. Die belangte Behörde führte diesbezüglich begründend aus, dass dieser Leistungsauftrag auf die der belangten Behörde zustehende Abhilfebefugnis des Art. 58 Abs. 2 lit c DSGVO gestützt werde, wonach der Verantwortliche angewiesen werden könne, den Anträgen der betroffenen Person auf Ausübung der ihr nach der DSGVO zustehenden Rechte zu entsprechen. 3.3.4.2. Im vorliegenden Fall war daher der von der belangten Behörde in Spruchpunkt 2. des angefochtenen Bescheides formulierte Leistungsauftrag auf seine Bestimmtheit bzw. Vollstreckbarkeit zu überprüfen. Dieser lautet: „Der Beschwerdegegnerin wird aufgetragen, dem Beschwerdeführer innerhalb einer Frist von zwei

(2)Wochen bei sonstiger Exekution eine Auskunft über die ihn betreffenden personenbezogenen Daten im Umfang des Artikel 15, DSGVO zu erteilen“, wobei im hg. Verfahren die im Spruchpunkt genannte Beschwerdegegnerin als Beschwerdeführerin und der im Spruchpunkt genannte Beschwerdeführer als mitbeteiligte Partei bezeichnet werden. Die belangte Behörde führte diesbezüglich begründend aus, dass dieser Leistungsauftrag auf die der belangten Behörde zustehende Abhilfebefugnis des Artikel 58, Absatz 2, Litera c, DSGVO gestützt werde, wonach der Verantwortliche angewiesen werden könne, den Anträgen der betroffenen Person auf Ausübung der ihr nach der DSGVO zustehenden Rechte zu entsprechen. 3.3.4.

Wie der erkennende Senat bereits unter Pkt. II.3.3.
ausführte, war die Angelegenheit des bekämpften Bescheides zur Ermittlung der eindeutigen Identität der mitbeteiligten Partei an die belangte Behörde zurückzuverweisen. Da der Leistungsauftrag des Spruchpunkt
auf die Feststellung in Spruchpunkt
Aufbaut, damit beide Spruchteile in untrennbarem Zusammenhang zueinander stehen, teilt dieser das rechtliche Schicksal des übrigen Spruchteils. Die Beschwerdeführerin als nach Art. 15 DSGVO zur Auskunft Verpflichtete kann in objektiver Hinsicht mangels der Bestimmtheit der Identität der mitbeteiligten Partei dem in Spruchpunkt
formulierten Leistungsauftrag nicht nachkommen und wäre dieser in weiterer Folge für die nach dem VVG zuständige Vollstreckungsbehörde auch keiner Exekution zugänglich, so wäre für eine (hypothetische) Vollstreckbarkeit im Widerspruch zu der oben wiedergegebenen Judikatur des VwGH ein erneutes Ermittlungsverfahren notwendig. Der Leistungsauftrag erfüllt daher die sich aus § 59 Abs. 1 AVG ergebenden Anforderungen an die Bestimmtheit und Vollstreckbarkeit des Spruchs nicht und war daher ebenso im Rahmen der Zurückverweisung zu beheben. 3.3.4.
Wie der erkennende Senat bereits unter Pkt. römisch zwei.3.3.
ausführte, war die Angelegenheit des bekämpften Bescheides zur Ermittlung der eindeutigen Identität der mitbeteiligten Partei an die belangte Behörde zurückzuverweisen. Da der Leistungsauftrag des Spruchpunkt
auf die Feststellung in Spruchpunkt
Aufbaut, damit beide Spruchteile in untrennbarem Zusammenhang zueinander stehen, teilt dieser das rechtliche Schicksal des übrigen Spruchteils. Die Beschwerdeführerin als nach Artikel 15, DSGVO zur Auskunft Verpflichtete kann in objektiver Hinsicht mangels der Bestimmtheit der Identität der mitbeteiligten Partei dem in Spruchpunkt
formulierten Leistungsauftrag nicht nachkommen und wäre dieser in weiterer Folge für die nach dem VVG zuständige Vollstreckungsbehörde auch keiner Exekution zugänglich, so wäre für eine (hypothetische) Vollstreckbarkeit im Widerspruch zu der oben wiedergegebenen Judikatur des VwGH ein erneutes Ermittlungsverfahren notwendig. Der Leistungsauftrag erfüllt daher die sich aus Paragraph 59, Absatz eins, AVG ergebenden Anforderungen an die Bestimmtheit und Vollstreckbarkeit des Spruchs nicht und war daher ebenso im Rahmen der Zurückverweisung zu beheben. II.3.
Zum Entfall einer mündlichen Verhandlungrömisch zwei.3.
Zum Entfall einer mündlichen Verhandlung Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Die Verhandlung kann gemäß § 24 Abs. 2 Z 1 entfallen, wenn – wie im vorliegenden Fall –bereits auf Grund der Aktenlage feststeht, dass der mit Beschwerde angefochtene Bescheid aufzuheben ist.Die Verhandlung kann gemäß Paragraph 24, Absatz 2, Ziffer eins, entfallen, wenn – wie im vorliegenden Fall –bereits auf Grund der Aktenlage feststeht, dass der mit Beschwerde angefochtene Bescheid aufzuheben ist. II.3.
Zu Spruchpunkt B) – Unzulässigkeit der Revisionrömisch zwei.3.
Zu Spruchpunkt B) – Unzulässigkeit der Revision Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Die einzelfallbezogene Anwendung des § 28 Abs. 3 zweiter Satz VwGVG berührt unter Berücksichtigung der vom Verwaltungsgerichtshof vorgegebenen Auslegung dieser Bestimmung dann keine grundsätzliche Rechtsfrage, wenn sich das vom Verwaltungsgericht solcherart erzielte Ergebnis – wie hier aus Sicht des erkennenden Senates mit Blick auf das vorliegen eines grenzüberschreitenden Sachverhaltes und dem hierfür vorgesehenen Verfahren nach den Art. 56 und 60 DSGVO – als vertretbar erweist (vgl. VwGH 8.8.2019, Ra 2018/04/0115, mwN).Die einzelfallbezogene Anwendung des Paragraph 28, Absatz 3, zweiter Satz VwGVG berührt unter Berücksichtigung der vom Verwaltungsgerichtshof vorgegebenen Auslegung dieser Bestimmung dann keine grundsätzliche Rechtsfrage, wenn sich das vom Verwaltungsgericht solcherart erzielte Ergebnis – wie hier aus Sicht des erkennenden Senates mit Blick auf das vorliegen eines grenzüberschreitenden Sachverhaltes und dem hierfür vorgesehenen Verfahren nach den Artikel 56 und 60 DSGVO – als vertretbar erweist vergleiche VwGH 8.8.2019, Ra 2018/04/0115, mwN). Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:BVWG:2025:W292.2289837.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.