RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum28.05.2025 GeschäftszahlW137 2259971-1 Spruch, W137 2259971-1/6E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richte

Art 15DSGVO Rz 39f (Stand 1.7.2024, rdb.at)).3.4.1.

Laut Artikel 15, Absatz eins, Litera c, DSGVO sind die Empfänger oder Kategorien von Empfängern zu beauskunften, welchen der Verantwortliche die Daten offengelegt hat oder noch offenlegen wird. Unter Empfängern iSd Artikel 4, Ziffer 9, DSGVO sind auch Auftragsverarbeiter zu verstehen vergleiche Haidinger in Knyrim,

Artikel 15, DSGVO Rz 39f (Stand 1.7.2024, rdb.at)).

Soweit der Beschwerdeführer mit seiner Stellungnahme vom 03.02.2023 an das Bundesverwaltungsgericht nunmehr ausführt, dass er – aufgrund aktueller Erkenntnis – Zweifel an den Auskünften (zu den Auftragsverarbeitern) der mitbeteiligten Partei gemäß Art. 15 Abs. 1 lit. c DSVO habe, ist auf diese Vermutung nicht weiter einzugehen, da die Datenschutzbehörde den Beschwerdegegenstand mit dem angefochtenen Bescheid in zutreffender Weise, auf die behauptete Unvollständigkeit zum monierten „Data Breach“ eingeschränkt hat. In diesem Zusammenhang führte der Beschwerdeführer auch – nach Anregung eines Vorgehens gemäß § 24 Abs. 6 DSG durch die Datenschutzbehörde – mit Schreiben vom 17.03.2022 aus, dass „dieser Teilaspekt der Auskunftserteilung damit erledigt ist“. Trotz des in diesem Schreiben ebenfalls enthaltenen Widerspruchs (unter einer eigenen Überschrift) zu einem Vorgehen gemäß § 24 Abs. 6 DSG, welchen der Beschwerdeführer dahingehend formulierte, dass die erteilte Auskunft „trotz der zusätzlichen Angaben in der ergänzenden Auskunft weiterhin unvollständig ist“, besteht die vom Beschwerdeführer aufgeworfene Rechtswidrigkeit nicht. Dieser Widerspruch kann – aufgrund des festgestellten Wortlauts – nur dahingehend verstanden werden, dass der Beschwerdeführer sich auf die – ebenfalls im Schreiben vom 17.03.2021 monierten und – weiterhin nicht erteilten Auskünfte zum „Data Breach“ bezogen hat. So sind nach der stRsp des VwGH Parteienerklärungen im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen (vgl. auch VwGH 06.11.2006, 2006/09/0094; 05.09.2008, 2005/12/0068; 03.10.2013, 2012/06/0185).Soweit der Beschwerdeführer mit seiner Stellungnahme vom 03.02.2023 an das Bundesverwaltungsgericht nunmehr ausführt, dass er – aufgrund aktueller Erkenntnis – Zweifel an den Auskünften (zu den Auftragsverarbeitern) der mitbeteiligten Partei gemäß Artikel 15, Absatz eins, Litera c, DSVO habe, ist auf diese Vermutung nicht weiter einzugehen, da die Datenschutzbehörde den Beschwerdegegenstand mit dem angefochtenen Bescheid in zutreffender Weise, auf die behauptete Unvollständigkeit zum monierten „Data Breach“ eingeschränkt hat. In diesem Zusammenhang führte der Beschwerdeführer auch – nach Anregung eines Vorgehens gemäß Paragraph 24, Absatz 6, DSG durch die Datenschutzbehörde – mit Schreiben vom 17.03.2022 aus, dass „dieser Teilaspekt der Auskunftserteilung damit erledigt ist“. Trotz des in diesem Schreiben ebenfalls enthaltenen Widerspruchs (unter einer eigenen Überschrift) zu einem Vorgehen gemäß Paragraph 24, Absatz 6, DSG, welchen der Beschwerdeführer dahingehend formulierte, dass die erteilte Auskunft „trotz der zusätzlichen Angaben in der ergänzenden Auskunft weiterhin unvollständig ist“, besteht die vom Beschwerdeführer aufgeworfene Rechtswidrigkeit nicht. Dieser Widerspruch kann – aufgrund des festgestellten Wortlauts – nur dahingehend verstanden werden, dass der Beschwerdeführer sich auf die – ebenfalls im Schreiben vom 17.03.2021 monierten und – weiterhin nicht erteilten Auskünfte zum „Data Breach“ bezogen hat. So sind nach der stRsp des VwGH Parteienerklärungen im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen vergleiche auch VwGH 06.11.2006, 2006/09/0094; 05.09.2008, 2005/12/0068; 03.10.2013, 2012/06/0185). "Sache" des Beschwerdeverfahrens vor dem Verwaltungsgericht ist somit – ungeachtet des durch § 27 VwGVG vorgegebenen Prüfumfangs – jedenfalls nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat (vgl. VwGH 22.01.2015, Ra 2014/06/0055; 28.04.2016, Ra 2015/07/0057; 30.06.2016, Ra 2016/11/0044; 31.05.2017, Ra 2016/22/0107)."Sache" des Beschwerdeverfahrens vor dem Verwaltungsgericht ist somit – ungeachtet des durch Paragraph 27, VwGVG vorgegebenen Prüfumfangs – jedenfalls nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat vergleiche VwGH 22.01.2015, Ra 2014/06/0055; 28.04.2016, Ra 2015/07/0057; 30.06.2016, Ra 2016/11/0044; 31.05.2017, Ra 2016/22/0107). 3.4.2. Unmittelbare Rechtsfolge eines Auskunftsantrags ist die Pflicht des Verantwortlichen, Auskunft zu erteilen. Verarbeitet der Verantwortliche keine Daten (mehr), ist er gemäß Art. 15 Abs. 1 HS 1 DSGVO zu einer Negativauskunft verpflichtet. Der Umfang der Auskunftserteilung wird durch den Zeitpunkt der Antragstellung bestimmt (vgl. Haidinger in Knyrim,

Art. 15DSGVO Rz 26, 27 (Stand 1.7.2024, rdb.at)).3.4.2.

Unmittelbare Rechtsfolge eines Auskunftsantrags ist die Pflicht des Verantwortlichen, Auskunft zu erteilen. Verarbeitet der Verantwortliche keine Daten (mehr), ist er gemäß Artikel 15, Absatz eins, HS 1 DSGVO zu einer Negativauskunft verpflichtet. Der Umfang der Auskunftserteilung wird durch den Zeitpunkt der Antragstellung bestimmt vergleiche Haidinger in Knyrim,

Artikel 15, DSGVO Rz 26, 27 (Stand 1.7.2024, rdb.at)).

Das Auskunftsrecht ist auf eigene Daten beschränkt, wenngleich es sich grds auf Daten erstrecken kann, die – gleichzeitig – auch andere betroffene Personen betreffen (vgl. Haidinger in Knyrim,

Art 15

DSGVO (Stand 1.7.2024, rdb.at)).Das Auskunftsrecht ist auf eigene Daten beschränkt, wenngleich es sich grds auf Daten erstrecken kann, die – gleichzeitig – auch andere betroffene Personen betreffen vergleiche Haidinger in Knyrim,

Artikel 15, DSGVO (Stand 1.7.2024, rdb.at)).

Das Auskunftsrecht ist jedoch auf den in Art 15 DSGVO vorgegebenen Inhalt beschränkt, der aufgrund eines Auskunftsbegehrens zur Verfügung zu stellen ist und kann nicht genutzt werden, um eine umfassende Benachrichtigung über einen Vorfall (etwa eine Beschreibung der Art sowie der wahrscheinlichen Folgen eines Data Breach) zu erhalten (vgl. Zavadil in Knyrim, Datenschutzrecht4 Kap 11, Rz 11.

1. (Stand 1.4.2020, rdb.at)).Das Auskunftsrecht ist jedoch auf den in Artikel 15, DSGVO vorgegebenen Inhalt beschränkt, der aufgrund eines Auskunftsbegehrens zur Verfügung zu stellen ist und kann nicht genutzt werden, um eine umfassende Benachrichtigung über einen Vorfall (etwa eine Beschreibung der Art sowie der wahrscheinlichen Folgen eines Data Breach) zu erhalten vergleiche Zavadil in Knyrim, Datenschutzrecht4 Kap 11, Rz 11.
2. (Stand 1.4.2020, rdb.at)). An dieser Stelle ist bereits auszuführen, dass eine Auskunft auf den jeweiligen Zeitpunkt des Auskunftsersuchens, die in Art. 15 DSGVO genannten Daten sowie die eigenen Daten beschränkt ist. Soweit der Beschwerdeführer in seiner Beschwerde und in seiner Ergänzung vom 03.02.2023 – zum „Data Breach“ – ausführt, dass nun nachträglich mehr Informationen zur Verfügung stünden, welche nicht beauskunftet worden seien, ist dem – aufgrund des maßgeblichen Zeitpunkts des 06.09.2021 – nicht zuzustimmen.An dieser Stelle ist bereits auszuführen, dass eine Auskunft auf den jeweiligen Zeitpunkt des Auskunftsersuchens, die in Artikel 15, DSGVO genannten Daten sowie die eigenen Daten beschränkt ist. Soweit der Beschwerdeführer in seiner Beschwerde und in seiner Ergänzung vom 03.02.2023 – zum „Data Breach“ – ausführt, dass nun nachträglich mehr Informationen zur Verfügung stünden, welche nicht beauskunftet worden seien, ist dem – aufgrund des maßgeblichen Zeitpunkts des 06.09.2021 – nicht zuzustimmen. 3.4.
3. Zum Begriff „personenbezogene Daten“ führt Hödl in Knyrim auszugsweise aus: Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Person wird in Art. 4 Z 1 als betroffene Person bezeichnet.Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Person wird in Artikel 4, Ziffer eins, als betroffene Person bezeichnet. Nach Art. 4 Z 1 schützt die DSGVO nur natürliche Personen gegen die unerlaubte Verarbeitung ihrer personenbezogenen Daten. Das DSG sieht in § 1 weiterhin ein Grundrecht auf Datenschutz für „jedermann“ vor. Nach Artikel 4, Ziffer eins, schützt die DSGVO nur natürliche Personen gegen die unerlaubte Verarbeitung ihrer personenbezogenen Daten. Das DSG sieht in Paragraph eins, weiterhin ein Grundrecht auf Datenschutz für „jedermann“ vor. Der in der Definition enthaltene Begriff der Informationen umfasst ohne Einschränkung „alle Informationen“, die sich auf eine Person beziehen, womit sich zeigt, dass der Begriff weit zu verstehen ist. Sohin sind persönliche Informationen wie Identifikationsmerkmale (Name, Anschrift und Geburtsdatum), äußere Merkmale (Geschlecht, Augenfarbe, Größe, Gewicht) oder innere Zustände (Meinungen, Motive, Wünsche, Überzeugungen, Werturteile) genauso gemeint wie sachliche Informationen, also Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie sonstige Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt. Auch statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf, etwa eine Bonitätsbewertung oder Scoring-Prozesse. Eine umfassende Beschreibung personenbezogener Daten ist nicht möglich. Eindeutig identifiziert ist eine Person idR dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht. Wenn also eine Person direkt namentlich bekannt ist, bzw. jene Fälle, in denen weitere Merkmale vorliegen, wie das Geburtsdatum, die eindeutig auf eine bestimmte Person hinweisen. Es handelt sich um sogenannte primäre Identifikationsmerkmale. Identifizierbar ist eine Person dann, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Wenn es möglich ist, mit Hilfe der vorhandenen Angaben und anderen Mitteln, etwa öffentlich zugänglichen Quellen (wie Telefonbücher, öffentliche Register udgl) die Person zu identifizieren. So sollen alle objektiven Faktoren, wie die Kosten der Identifizierung und der erforderliche Zeitaufwand berücksichtigt werden. Insbesondere sind die zum Zeitpunkt der Verarbeitung verfügbaren Technologien als auch die technologischen Entwicklungen zu berücksichtigen. In der Begriffsdefinition des Art. 4 Z 1 wird ausdrücklich darauf hingewiesen, dass eine Person insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität identifizierbar wird (vgl. Hödl in Knyrim,

Art 4

DSGVO (Stand 1.12.2018, rdb.at)).Identifizierbar ist eine Person dann, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Wenn es möglich ist, mit Hilfe der vorhandenen Angaben und anderen Mitteln, etwa öffentlich zugänglichen Quellen (wie Telefonbücher, öffentliche Register udgl) die Person zu identifizieren. So sollen alle objektiven Faktoren, wie die Kosten der Identifizierung und der erforderliche Zeitaufwand berücksichtigt werden. Insbesondere sind die zum Zeitpunkt der Verarbeitung verfügbaren Technologien als auch die technologischen Entwicklungen zu berücksichtigen. In der Begriffsdefinition des Artikel 4, Ziffer eins, wird ausdrücklich darauf hingewiesen, dass eine Person insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität identifizierbar wird vergleiche Hödl in Knyrim,

Artikel 4, DSGVO (Stand 1.12.2018, rdb.at)).

3.4.4. Aus dem oben dargelegten folgt, dass die in Rede stehenden Daten – Informationen betreffend einen Datenschutzvorfall bei der mitbeteiligten Partei, wie die Geschäftszahl eines Ermittlungsverfahrens der Staatsanwaltschaft, Auskünfte hinsichtlich der diesbezüglich vorliegenden Ermittlungsergebnisse sowie dieses Thema betreffende Presseaussendungen –nicht als indirekte personenbezogene Daten anzusehen sind. Dabei übersieht der erkennende Senat nicht, dass der VwGH in seinem Erkenntnis vom 14.12.2021, Ro 2021/04/0007 aussprach, dass der Begriff "personenbezogene Daten" grundsätzlich weit zu verstehen ist (vgl. VwGH 14.12.2021, Ro 2021/04/0007).Dabei übersieht der erkennende Senat nicht, dass der VwGH in seinem Erkenntnis vom 14.12.2021, Ro 2021/04/0007 aussprach, dass der Begriff "personenbezogene Daten" grundsätzlich weit zu verstehen ist vergleiche VwGH 14.12.2021, Ro 2021/04/0007). Die in Rede stehenden Daten sind als „relativ anonyme bzw. anonymisierte Daten“ zu werten. Das sind Informationen, die zwar prinzipiell auf eine Person bezogen werden könnten, es aber nach allgemeinem Ermessen unter Berücksichtigung aller Mittel unwahrscheinlich ist, dass ein Personenbezug tatsächlich hergestellt wird (vgl. ErwGr 26; Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 1 DSGVO Rz 25 (Stand 1.12.2020, rdb.at)).Die in Rede stehenden Daten sind als „relativ anonyme bzw. anonymisierte Daten“ zu werten. Das sind Informationen, die zwar prinzipiell auf eine Person bezogen werden könnten, es aber nach allgemeinem Ermessen unter Berücksichtigung aller Mittel unwahrscheinlich ist, dass ein Personenbezug tatsächlich hergestellt wird vergleiche ErwGr 26; Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer eins, DSGVO Rz 25 (Stand 1.12.2020, rdb.at)). Die Wendung nach allgemeinem Ermessen objektiviert die Beurteilung bezüglich der wahrscheinlichen Nutzung der entsprechenden Mittel. Die Mittel müssen darüber hinaus auch wahrscheinlich genutzt werden, weshalb die bloße theoretische Möglichkeit, einen Personenbezug herzustellen, alleine noch nicht ausreicht (vgl. Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 1 DSGVO Rz 28 (Stand 1.12.2020, rdb.at)).Die Wendung nach allgemeinem Ermessen objektiviert die Beurteilung bezüglich der wahrscheinlichen Nutzung der entsprechenden Mittel. Die Mittel müssen darüber hinaus auch wahrscheinlich genutzt werden, weshalb die bloße theoretische Möglichkeit, einen Personenbezug herzustellen, alleine noch nicht ausreicht vergleiche Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer eins, DSGVO Rz 28 (Stand 1.12.2020, rdb.at)). Im Ergebnis mangelt es der Geschäftszahl des Ermittlungsverfahrens bei der Staatsanwaltschaft, den diesbezüglich vorliegenden Ermittlungsergebnissen oder einer dieses Thema betreffenden Presseaussendung zumindest an der soeben dargestellten Identifizierbarkeitskomponente. Diese Informationen beziehen sich – ohne weiteres Unterscheidungskriterium – auf alle Beitragszahler (ehemals Rundfunkteilnehmer). Eine individuelle und mittelbare Identifizierung ist somit ausgeschlossen. Vergleiche dazu auch die Situation eines offenen WLANs, das von mehreren Nutzern genutzt wird und der Bezug zu einer natürlichen Person somit fraglich sein kann (vgl. Hödl in Knyrim,

Art 4

DSGVO Rz 15 (Stand 1.12.2018, rdb.at)).Im Ergebnis mangelt es der Geschäftszahl des Ermittlungsverfahrens bei der Staatsanwaltschaft, den diesbezüglich vorliegenden Ermittlungsergebnissen oder einer dieses Thema betreffenden Presseaussendung zumindest an der soeben dargestellten Identifizierbarkeitskomponente. Diese Informationen beziehen sich – ohne weiteres Unterscheidungskriterium – auf alle Beitragszahler (ehemals Rundfunkteilnehmer). Eine individuelle und mittelbare Identifizierung ist somit ausgeschlossen. Vergleiche dazu auch die Situation eines offenen WLANs, das von mehreren Nutzern genutzt wird und der Bezug zu einer natürlichen Person somit fraglich sein kann vergleiche Hödl in Knyrim,

Artikel 4, DSGVO Rz 15 (Stand 1.12.2018, rdb.at)).

Zudem kann das Auskunftsrecht nach Art. 15 DSGVO – wie bereits ausgeführt – nicht dazu genutzt werden, eine umfassende Kenntnis über einen Datenschutzvorfall und das diesbezügliche Agieren des (unmittelbar) Betroffenen zu erlangen, sondern ist auf die in Artikel 15 DSGVO genannten Daten beschränkt.Zudem kann das Auskunftsrecht nach Artikel 15, DSGVO – wie bereits ausgeführt – nicht dazu genutzt werden, eine umfassende Kenntnis über einen Datenschutzvorfall und das diesbezügliche Agieren des (unmittelbar) Betroffenen zu erlangen, sondern ist auf die in Artikel 15 DSGVO genannten Daten beschränkt. Auch eine – wie vom Beschwerdeführer angenommen – „weite Auslegung“ des Begriffs der „personenbezogenen Daten“ kann, wie von der Datenschutzbehörde richtig ihrer Entscheidung zugrunde gelegt, jedoch nicht derart ausgedehnt werden, dass sie auch jegliche Daten/Informationen eines Verarbeiters erfasst, die einen wie immer gearteten Berührungspunkt zu den von diesem verarbeiteten personenbezogenen Daten aufweisen. Damit übereinstimmend urteilte auch der OGH am 24.03.2023, OGH 6 Ob 242/22i, zu einer Datenpanne, dass für die effiziente Rechtsverfolgung (z.B. bei auf unbefugter Offenlegung basierender Schadenersatzansprüche nach Art. 82 DSGVO) die Kenntnis über eine tatsächliche Betroffenheit von einer Datenübermittlung von einem Verantwortlichen erlangt werden können muss. Eine Klägerin hat daher gemäß Art. 15 Abs. 1 lit. c DSGVO auch das Recht, dass ihr mitgeteilt wird, ob durch eine konkret genannte Datenübermittlung an einen Empfänger (Art. 4 Z 9 DSGVO), selbst wenn dieser nicht bekannt sein sollte, ihre personenbezogenen Daten offengelegt wurden.Damit übereinstimmend urteilte auch der OGH am 24.03.2023, OGH 6 Ob 242/22i, zu einer Datenpanne, dass für die effiziente Rechtsverfolgung (z.B. bei auf unbefugter Offenlegung basierender Schadenersatzansprüche nach Artikel 82, DSGVO) die Kenntnis über eine tatsächliche Betroffenheit von einer Datenübermittlung von einem Verantwortlichen erlangt werden können muss. Eine Klägerin hat daher gemäß Artikel 15, Absatz eins, Litera c, DSGVO auch das Recht, dass ihr mitgeteilt wird, ob durch eine konkret genannte Datenübermittlung an einen Empfänger (Artikel 4, Ziffer 9, DSGVO), selbst wenn dieser nicht bekannt sein sollte, ihre personenbezogenen Daten offengelegt wurden. Die mitbeteiligte Partei erteilte dem Beschwerdeführer mit Schreiben vom 28.09.2021 eine dahingehende Auskunft, dass die laufenden Ermittlungen noch andauern würden und aufgrund der bisherigen Ermittlungsergebnisse nicht ausgeschlossen werden kann, dass auch die personenbezogenen Daten des Beschwerdeführers kompromittiert worden seien. Vor dem Hintergrund, dass die hier verfahrensgegenständliche Auskunft nur auf das vorhandene Wissen zum Zeitpunkt des Auskunftsersuchens beschränkt ist, ist eine behauptete Unvollständigkeit für den erkennenden Senat nicht ersichtlich. Zudem ist das Recht auf Auskunft gemäß Art. 15 DSGVO an keine Voraussetzungen gebunden (vgl. Haidinger in Knyrim,

Art 15

DSGVO Rz 25 (Stand 1.7.2024, rdb.at)) und steht es dem Beschwerdeführer frei, ein weiteres Auskunftsersuchen gemäß Art. 15 DSGVO bei der mitbeteiligten Partei einzubringen, um die Betroffenheit seiner personenbezogenen Daten – nach Aufarbeitung des Vorfalls – abzuklären.Zudem ist das Recht auf Auskunft gemäß Artikel 15, DSGVO an keine Voraussetzungen gebunden vergleiche Haidinger in Knyrim,

Artikel 15

, DSGVO Rz 25 (Stand 1.7.2024, rdb.at)) und steht es dem Beschwerdeführer frei, ein weiteres Auskunftsersuchen gemäß Artikel 15, DSGVO bei der mitbeteiligten Partei einzubringen, um die Betroffenheit seiner personenbezogenen Daten – nach Aufarbeitung des Vorfalls – abzuklären. 3.

1. Zur Feststellung einer in der Vergangenheit erfolgten Rechtsverletzung gemäß Art. 15 DSGVO:3.
2. Zur Feststellung einer in der Vergangenheit erfolgten Rechtsverletzung gemäß Artikel 15, DSGVO: Wie oben bereits ausgeführt, hat die mitbeteiligte Partei dem Beschwerdeführer alle gemäß Art. 15 DSGVO zu erteilenden Auskünfte – im verwaltungsbehördlichen Verfahren vor der Datenschutzbehörde – beauskunftet. Der Beschwerdeführer vermeinte jedoch eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO, da die vollständige Auskunft erst nach viermaliger Ergänzung im Verfahren vor der Datenschutzbehörde erteilt worden sei. Wie oben bereits ausgeführt, hat die mitbeteiligte Partei dem Beschwerdeführer alle gemäß Artikel 15, DSGVO zu erteilenden Auskünfte – im verwaltungsbehördlichen Verfahren vor der Datenschutzbehörde – beauskunftet. Der Beschwerdeführer vermeinte jedoch eine Verletzung im Recht auf Auskunft gemäß Artikel 15, DSGVO, da die vollständige Auskunft erst nach viermaliger Ergänzung im Verfahren vor der Datenschutzbehörde erteilt worden sei. Dem ist aufgrund nachstehender Erwägungen nicht zu folgen: Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Art. 2
3. Hauptstück DSG verstößt. Gemäß Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2,
4. Hauptstück DSG verstößt. § 24 Abs. 6 DSG sieht vor, dass ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Diesfalls hat die Datenschutzbehörde – sofern dem nicht begründet widersprochen wird – das Verfahren grundsätzlich formlos einzustellen. Paragraph 24, Absatz 6, DSG sieht vor, dass ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Diesfalls hat die Datenschutzbehörde – sofern dem nicht begründet widersprochen wird – das Verfahren grundsätzlich formlos einzustellen. Der Verwaltungsgerichthof hat mit seinem rezenten Erkenntnis vom 06.03.2024, Ro 2021/04/0027, seine zum Recht auf Auskunft ergangen Rechtsprechung weiter verfestigt, wonach die Rechte auf Auskunft, Berichtigung oder Löschung – anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG – jeweils einen Anspruch auf eine bestimmte Leistung schaffen (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Das Recht auf Geheimhaltung verkörpert – im Gegensatz zum Recht auf Auskunft gemäß Art. 15 DSGVO – kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (hier: Erteilung der Auskunft) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.Der Verwaltungsgerichthof hat mit seinem rezenten Erkenntnis vom 06.03.2024, Ro 2021/04/0027, seine zum Recht auf Auskunft ergangen Rechtsprechung weiter verfestigt, wonach die Rechte auf Auskunft, Berichtigung oder Löschung – anders als das Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG – jeweils einen Anspruch auf eine bestimmte Leistung schaffen vergleiche hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. Paragraph 24, Absatz 6, DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Das Recht auf Geheimhaltung verkörpert – im Gegensatz zum Recht auf Auskunft gemäß Artikel 15, DSGVO – kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (hier: Erteilung der Auskunft) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann. Die höchstgerichtliche Auffassung, dass die Feststellung einer Verletzung in seinen Rechten zugunsten eines Beschwerdeführers, der das Feststellungsbegehren auf die Nichterfüllung einer datenschutzrechtlich gebotenen Verpflichtung zu einer bestimmten Leistung (hier: Auskunft) stützt, nicht mehr in Frage kommt, wenn der Beschwerdegegner dem Leistungsbegehren nachgekommen ist, korrespondiert mit der Rechtsprechung des OGH, wonach bei Erfüllung des Auskunftsbegehrens durch die Beklagte – während des laufenden Zivilverfahrens – nicht erkennbar sei, worin das rechtliche Interesse des Klägers an der klageweise begehrten Feststellung des Auskunftsrechts bestehe, weshalb das Klagebegehren auf Feststellung des Rechts auf Auskunftserteilung abzuweisen sei (vgl. OGH 18.02.2021, 6 Ob 127/20z).Die höchstgerichtliche Auffassung, dass die Feststellung einer Verletzung in seinen Rechten zugunsten eines Beschwerdeführers, der das Feststellungsbegehren auf die Nichterfüllung einer datenschutzrechtlich gebotenen Verpflichtung zu einer bestimmten Leistung (hier: Auskunft) stützt, nicht mehr in Frage kommt, wenn der Beschwerdegegner dem Leistungsbegehren nachgekommen ist, korrespondiert mit der Rechtsprechung des OGH, wonach bei Erfüllung des Auskunftsbegehrens durch die Beklagte – während des laufenden Zivilverfahrens – nicht erkennbar sei, worin das rechtliche Interesse des Klägers an der klageweise begehrten Feststellung des Auskunftsrechts bestehe, weshalb das Klagebegehren auf Feststellung des Rechts auf Auskunftserteilung abzuweisen sei vergleiche OGH 18.02.2021, 6 Ob 127/20z). Europarechtliche Überlegungen stehen dem nicht entgegen, weil die DSGVO einerseits den Aufsichtsbehörden kein Recht einräumt, Verletzungen der DSGVO in rechtlich verbindlicher Weise festzustellen (Art. 58 Abs. 1 bis 3 DSGVO), sie aber andererseits den Mitgliedsstaaten die Befugnis gewährt, ihren Aufsichtsbehörden ergänzende Abhilfebefugnisse einzuräumen (Art. 58 Abs. 6 DSGVO).Europarechtliche Überlegungen stehen dem nicht entgegen, weil die DSGVO einerseits den Aufsichtsbehörden kein Recht einräumt, Verletzungen der DSGVO in rechtlich verbindlicher Weise festzustellen (Artikel 58, Absatz eins bis 3 DSGVO), sie aber andererseits den Mitgliedsstaaten die Befugnis gewährt, ihren Aufsichtsbehörden ergänzende Abhilfebefugnisse einzuräumen (Artikel 58, Absatz 6, DSGVO). Somit besteht auch kein Grund für die Einleitung eines – vom Beschwerdeführer angeregten – Vorabentscheidungsverfahrens durch das Bundesverwaltungsgericht. Ebenso spricht die DSGVO, in deren Anwendungsbereich betroffene Personen Beschwerden gemäß § 24 DSG erheben können, nicht gegen diese Interpretation. Auch Art. 77 DSGVO führt an, dass betroffene Personen das Recht auf Beschwerde bei einer Aufsichtsbehörde haben, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung „verstößt“. In diesem Sinn ist auch § 24 Abs. 1 DSG formuliert. Dies bedingt allerdings, dass eine in der Vergangenheit stattgefundene Rechtsverletzung nicht vollständig beseitigt wurde oder beseitigt werden konnte, sondern in irgendeiner Form noch fortwirkt.Ebenso spricht die DSGVO, in deren Anwendungsbereich betroffene Personen Beschwerden gemäß Paragraph 24, DSG erheben können, nicht gegen diese Interpretation. Auch Artikel 77, DSGVO führt an, dass betroffene Personen das Recht auf Beschwerde bei einer Aufsichtsbehörde haben, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung „verstößt“. In diesem Sinn ist auch Paragraph 24, Absatz eins, DSG formuliert. Dies bedingt allerdings, dass eine in der Vergangenheit stattgefundene Rechtsverletzung nicht vollständig beseitigt wurde oder beseitigt werden konnte, sondern in irgendeiner Form noch fortwirkt. Es ist hingegen nicht ersichtlich, inwiefern es erforderlich wäre, dem Betroffenen für den Fall, dass seinem Auskunftsbegehren während des laufenden Verfahrens vor der Datenschutzbehörde zur Gänze nachgekommen wird, eine Feststellung betreffend die zwischenzeitig beseitigte Rechtsverletzung zuzugestehen. Ist das Rechtsschutzbegehren auf die Erlangung einer bestimmten Leistung (hier: einer Auskunft) gerichtet, die zum Entscheidungszeitpunkt als vom Verpflichteten erfüllt anzusehen ist, ist vielmehr davon auszugehen, dass der Betroffene sein Rechtsschutzziel erreicht hat. Einem allfälligen Schadenersatzanspruch wegen der verspäteten Erteilung der Auskunft steht dies nicht entgegen, weil die Frage der Verspätung in dem Verfahren über das Begehren auf Auskunftserteilung selbst nicht geklärt wird. Eine Feststellung der Aufsichtsbehörde betreffend die verspätete Auskunftserteilung ist auch nicht Voraussetzung für eine Schadenersatzklage vor den Zivilgerichten, sodass die betroffene Person an der Verfolgung ihrer Ansprüche nicht gehindert ist. Auch eine "entscheidende Erleichterung" bei der Geltendmachung weiterer Ansprüche vermag kein rechtliches Interesse an einem Feststellungsbescheid zu begründen. Im Ergebnis ist nach der ständigen Rechtsprechung des Verwaltungsgerichtshofs die Zulässigkeit der Erlassung von Feststellungsbescheiden über eine in der Vergangenheit erfolgte, aber (infolge der – verspätet ergangenen – Auskunft) nicht mehr aktuelle Verletzung im Recht auf Auskunft zu verneinen. Auf das weitere Vorbringen zu diesem Teil der verfahrensgegenständlichen Beschwerde ist daher nicht weiter einzugehen. 3.
5. Da dem angefochtenen Bescheid aus den genannten Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG abzuweisen.3.
6. Da dem angefochtenen Bescheid aus den genannten Gründen eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG abzuweisen. 3.
7. Zum Unterbleiben einer mündlichen Verhandlung: Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Artikel 47, der Charta der Grundrechte der Europäischen Union entgegenstehen. Der Beschwerdeführer hat gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann jedoch das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das Bundesverwaltungsgericht hatte damit ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Der Beschwerdeführer hat gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann jedoch das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das Bundesverwaltungsgericht hatte damit ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12). Im gegenständlichen Fall erweist sich der entscheidungsrelevante Sachverhalt nicht nur als aus der Aktenlage geklärt, sondern sogar als unstrittig. Strittig war im gegenständlichen Verfahren lediglich, ob Daten als „personenbezogene Daten“ des Beschwerdeführers zu werten sind und ob dem Beschwerdeführer das Recht zukommt, eine Feststellung einer allfälligen (zwischenzeitlich aber unstrittig beseitigten) Verletzung im Recht auf Auskunft seitens der Datenschutzbehörde nachträglich festgestellt zu bekommen. Im Übrigen hat der Beschwerdeführer auch keinerlei Andeutungen gemacht, welcher (entscheidungsrelevante) Sachverhalt im Rahmen einer mündlichen Beschwerdeverhandlung (noch) geklärt werden könnte oder müsste. Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 4 VwGVG abzusehen.Im gegenständlichen Fall erweist sich der entscheidungsrelevante Sachverhalt nicht nur als aus der Aktenlage geklärt, sondern sogar als unstrittig. Strittig war im gegenständlichen Verfahren lediglich, ob Daten als „personenbezogene Daten“ des Beschwerdeführers zu werten sind und ob dem Beschwerdeführer das Recht zukommt, eine Feststellung einer allfälligen (zwischenzeitlich aber unstrittig beseitigten) Verletzung im Recht auf Auskunft seitens der Datenschutzbehörde nachträglich festgestellt zu bekommen. Im Übrigen hat der Beschwerdeführer auch keinerlei Andeutungen gemacht, welcher (entscheidungsrelevante) Sachverhalt im Rahmen einer mündlichen Beschwerdeverhandlung (noch) geklärt werden könnte oder müsste. Von der Durchführung einer mündlichen Verhandlung war folglich gemäß Paragraph 24, Absatz 4, VwGVG abzusehen. Zu B) Unzulässigkeit der Revision: Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2025:W137.2259971.1.00