Obsah (13)

Art. 133 Art. 15 § 6 § 27 § 24 § 28 § 31 Art. 130 Art. 22 § 1 Art. 57 Art. 267 § 25a

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum30.01.2026 GeschäftszahlW176 2288586-1 Spruch, W176 2288586-1/4E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch den Ri

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: 1. Mit E-Mail vom 16.02.2023 ersuchte XXXX (Beschwerdeführer/BF) die XXXX (Mitbeteiligte/MB) als „Kunde, Onlinekontobesitzer und XXXX Kunde von XXXX “ um Auskunft

Art. 15

DSGVO hinsichtlich sämtlicher ihn betreffenden personenbezogener Daten, welche die MB speichere. Seine Anfrage schließe auch „sämtliche Partner- Dienstleister- und Sub-Verarbeiter ein“, für welche die MB gemeinsamer Verantwortlicher iSd Art. 26 DSGVO sei. Die Auskunft habe nach Art. 12 Abs. 3 DSGVO „unverzüglich, in jedem Fall aber innerhalb eines Monats“ zu erfolgen.1. Mit E-Mail vom 16.02.2023 ersuchte römisch 40 (Beschwerdeführer/BF) die römisch 40 (Mitbeteiligte/MB) als „Kunde, Onlinekontobesitzer und römisch 40 Kunde von römisch 40 “ um Auskunft

Artikel 15

, DSGVO hinsichtlich sämtlicher ihn betreffenden personenbezogener Daten, welche die MB speichere. Seine Anfrage schließe auch „sämtliche Partner- Dienstleister- und Sub-Verarbeiter ein“, für welche die MB gemeinsamer Verantwortlicher iSd Artikel 26, DSGVO sei. Die Auskunft habe nach Artikel 12, Absatz 3, DSGVO „unverzüglich, in jedem Fall aber innerhalb eines Monats“ zu erfolgen.

Mit E-Mail vom 02.03.2023 übermittelte die MB dem BF „in den angeschlossenen Datenblättern“ Angaben über „alle zu“ seiner „Person im jeweiligen Institut gespeicherten Daten sowie Transaktionsdaten.“
Mit E-Mail vom 10.03.2023 an die MB führte der BF aus, er solle, da das FM-GwG eine zehnjährige Aufbewahrung bestimmter Informationen vorsehe, ebenso lange auf diese Datensätze Zugriff haben. Der BF schlug weiters u.a. „zur Lösung dieses Problems“ vor, die MB möge ihm erklären, wie er die Datensätze auf seinen Server herunterladen könne. Außerdem seien die Informationen zu seinem wirtschaftlichen Umfeld falsch, da sein pfändbares Nettoeinkommen höher sein dürfte als von der MB angegeben.
Mit E-Mail vom 22.03.2023 übermittelte die MB dem BF eine detaillierte Anleitung, wie er Nachrichten aus dem XXXX - bzw. dem XXXX -Portal herunterladen könne, einschließlich des Hinweises darauf, dass er Zugriff auf die XXXX -Nachrichten habe, solange eine aufrechte Geschäftsbeziehung bestehe und auf die XXXX -Nachrichten auch noch 100 Tage nach Beendigung der Geschäftsbeziehung.
Mit E-Mail vom 22.03.2023 übermittelte die MB dem BF eine detaillierte Anleitung, wie er Nachrichten aus dem römisch 40 - bzw. dem römisch 40 -Portal herunterladen könne, einschließlich des Hinweises darauf, dass er Zugriff auf die römisch 40 -Nachrichten habe, solange eine aufrechte Geschäftsbeziehung bestehe und auf die römisch 40 -Nachrichten auch noch 100 Tage nach Beendigung der Geschäftsbeziehung.
Mit E-Mail vom 16.04.2023 an die MB führte der BF aus, er könne nicht beurteilen, ob eine „Datenübertragungsverarbeitung“ rechtskonform sei, wenn er nicht einmal wisse, zu welchem Zweck und welche Daten übertragen würden. Daher müsse er auf der Übermittlung der Zwecke und Datenkategorien der „Datenweitergabeverarbeitung“ bestehen. Der Verein XXXX , wo er Mitglied sei, stimme ihm in diesem Punkt zu.
Mit E-Mail vom 16.04.2023 an die MB führte der BF aus, er könne nicht beurteilen, ob eine „Datenübertragungsverarbeitung“ rechtskonform sei, wenn er nicht einmal wisse, zu welchem Zweck und welche Daten übertragen würden. Daher müsse er auf der Übermittlung der Zwecke und Datenkategorien der „Datenweitergabeverarbeitung“ bestehen. Der Verein römisch 40 , wo er Mitglied sei, stimme ihm in diesem Punkt zu.
Mit E-Mail vom 02.05.2023 teilte die MB dem BF mit, ihm seien die konkreten Empfänger seiner personenbezogenen Daten bekannt gegeben worden, weshalb die MB das Auskunftsersuchen als ausreichend beantwortet erachte.
Mit E-Mail vom 19.06.2023 an die Datenschutzbehörde (im Folgenden: DSB, belangte Behörde) erhob der BF eine Datenschutzbeschwerde gegen die MB und brachte zusammengefasst Folgendes vor: Er habe ein Auskunftsersuchen nach Art. 15 DSGVO an die MB gerichtet, dem diese insofern nicht nachgekommen sei, als sie erstens die von bzw. an seine Accounts bei der MB versendeten Nachrichten nicht wie von ihm gewünscht beauskunftet und an ihn übermittelt habe und zweitens weder die Kategorien seiner von der MB verarbeiteten personenbezogenen Daten noch den Zweck dieser Verarbeitungen offengelegt habe.Er habe ein Auskunftsersuchen nach Artikel 15, DSGVO an die MB gerichtet, dem diese insofern nicht nachgekommen sei, als sie erstens die von bzw. an seine Accounts bei der MB versendeten Nachrichten nicht wie von ihm gewünscht beauskunftet und an ihn übermittelt habe und zweitens weder die Kategorien seiner von der MB verarbeiteten personenbezogenen Daten noch den Zweck dieser Verarbeitungen offengelegt habe. Was zum einen die Nachrichten anbelange, habe die MB darauf verwiesen, dass der Inhalt von Dokumenten, die sie nicht verarbeite, nicht unter die Auskunftspflicht fiele, ihn aber auf die Möglichkeit hingewiesen, die Nachrichten über seine Accounts herunterzuladen, was aber sehr aufwändig sei. Tatsächlich handle es sich bei den Nachrichtensystem von XXXX und XXXX nicht um eigenständige IT-Systeme, sondern seien diese Bestandteile der Datenbank der MB.Was zum einen die Nachrichten anbelange, habe die MB darauf verwiesen, dass der Inhalt von Dokumenten, die sie nicht verarbeite, nicht unter die Auskunftspflicht fiele, ihn aber auf die Möglichkeit hingewiesen, die Nachrichten über seine Accounts herunterzuladen, was aber sehr aufwändig sei. Tatsächlich handle es sich bei den Nachrichtensystem von römisch 40 und römisch 40 nicht um eigenständige IT-Systeme, sondern seien diese Bestandteile der Datenbank der MB. Zum anderen sei der BF der Ansicht, dass er die Kategorien seiner von der MB verarbeiteten personenbezogenen Daten und den Zweck dieser Verarbeitungen kennen müsse, um seine Betroffenenrechte nach der DSGVO wirksam ausüben zu können. Dadurch sei der BF in seinen Rechten nach den Art. 5, 12 und 15 DSGVO verletzt worden.Dadurch sei der BF in seinen Rechten nach den Artikel 5, 12 und 15 DSGVO verletzt worden.
Die MB erteilte daraufhin dem BF mit E-Mail vom 04.07.2023 eine ergänzende Auskunft und übermittelte ihm eine Liste der Empfänger seiner Daten. Hinsichtlich der Nachrichten sei aus Sicht der MB ein Verweis auf die Downloadfunktion im eBanking-Portal hingegen ausreichend. Es werde dabei auf eine bestehende Infrastruktur zurückgegriffen, über die sich der BF als Kunde alle Daten herunterladen könne. Die Nutzung des eBanking-Systems sei in der Kreditwirtschaft zur Verfügungstellung von Informationen üblich. Es bestehe für Kunden und somit auch für den BF dadurch die Möglichkeit, die Daten im PDF-Format abzuspeichern. Beim PDF-Format handle es sich um eine übliche und daher zulässige Form der Auskunftserteilung gem. Art. 15 DSGVO.
Die MB erteilte daraufhin dem BF mit E-Mail vom 04.07.2023 eine ergänzende Auskunft und übermittelte ihm eine Liste der Empfänger seiner Daten. Hinsichtlich der Nachrichten sei aus Sicht der MB ein Verweis auf die Downloadfunktion im eBanking-Portal hingegen ausreichend. Es werde dabei auf eine bestehende Infrastruktur zurückgegriffen, über die sich der BF als Kunde alle Daten herunterladen könne. Die Nutzung des eBanking-Systems sei in der Kreditwirtschaft zur Verfügungstellung von Informationen üblich. Es bestehe für Kunden und somit auch für den BF dadurch die Möglichkeit, die Daten im PDF-Format abzuspeichern. Beim PDF-Format handle es sich um eine übliche und daher zulässige Form der Auskunftserteilung gem. Artikel 15, DSGVO.
Mit Stellungnahme vom 20.07.2023 führte der BF aus, er halte die von ihm vorgebrachten Rechtsverletzungen durch die Antwort der MB nicht für beseitigt. Er habe Verletzungen in den Art. 5, 12 und 15 DSGVO angeführt, die MB sei jedoch nur auf Art. 15 DSGVO eingegangen. Sollte die DSB entscheiden, dass Nachvollziehbarkeit und transparente Kommunikation in diesem Fall keine Rolle spielten, sehe er sich gezwungen, seine Beschwerde um eine Verletzung im Recht auf Geheimhaltung zu erweitern, da die MB nach deren eigener Aussage seine personenbezogenen Daten an zahlreiche Verarbeiter weitergebe, ohne dafür eine spezifische Einwilligung vorweisen zu können. Er wolle daher seine Beschwerde „konditional“ erweitern. Hinsichtlich der Möglichkeit, seine Nachrichten über seinen XXXX -Account herunterzuladen brachte er vor, dazu müsse er sich bei jedem Einstieg zwei- bis fünfmal anmelden, „weil der Einstieg wie eine gehackte Phishingwebsite“ erscheine. Außerdem sei das Herunterladen sehr aufwändig.
Mit Stellungnahme vom 20.07.2023 führte der BF aus, er halte die von ihm vorgebrachten Rechtsverletzungen durch die Antwort der MB nicht für beseitigt. Er habe Verletzungen in den Artikel 5, 12 und 15 DSGVO angeführt, die MB sei jedoch nur auf Artikel 15, DSGVO eingegangen. Sollte die DSB entscheiden, dass Nachvollziehbarkeit und transparente Kommunikation in diesem Fall keine Rolle spielten, sehe er sich gezwungen, seine Beschwerde um eine Verletzung im Recht auf Geheimhaltung zu erweitern, da die MB nach deren eigener Aussage seine personenbezogenen Daten an zahlreiche Verarbeiter weitergebe, ohne dafür eine spezifische Einwilligung vorweisen zu können. Er wolle daher seine Beschwerde „konditional“ erweitern. Hinsichtlich der Möglichkeit, seine Nachrichten über seinen römisch 40 -Account herunterzuladen brachte er vor, dazu müsse er sich bei jedem Einstieg zwei- bis fünfmal anmelden, „weil der Einstieg wie eine gehackte Phishingwebsite“ erscheine. Außerdem sei das Herunterladen sehr aufwändig.
Mit E-Mail vom 21.07.2023 ersuchte die belangte Behörde den BF bekanntzugeben, ob er seine Datenschutzbeschwerde um eine behauptete Verletzung im Recht auf Geheimhaltung erweitern wolle.
Mit Eingabe vom 24.07.2023 führte der BF aus, die DSB habe zu seinem „Ansinnen einer konditionalen Erweiterung keinerlei Rückmeldung geliefert“, weswegen er seine Beschwerde im obigen Sinne erweitere.
Mit Stellungnahme vom 17.08.2023 brachte die MB vor, sie habe dem BF eine Liste der Empfänger seiner personenbezogenen Daten übermittelt. Eine weitergehende Auskunftserteilung sei von Art. 15 DSGVO nicht erfasst. Für jede Datenverarbeitung liege eine Rechtsgrundlage vor. Der Zugang zu den personenbezogenen Daten in den XXXX - und XXXX -E-Mails sei transparent und das Herunterladen der E-Mails möglich. Die Zurverfügungstellung von Kopien sei im gegenständlichen Fall nicht notwendig.
Mit Stellungnahme vom 17.08.2023 brachte die MB vor, sie habe dem BF eine Liste der Empfänger seiner personenbezogenen Daten übermittelt. Eine weitergehende Auskunftserteilung sei von Artikel 15, DSGVO nicht erfasst. Für jede Datenverarbeitung liege eine Rechtsgrundlage vor. Der Zugang zu den personenbezogenen Daten in den römisch 40 - und römisch 40 -E-Mails sei transparent und das Herunterladen der E-Mails möglich. Die Zurverfügungstellung von Kopien sei im gegenständlichen Fall nicht notwendig.
Mit Stellungnahme vom 29.08.2023 führte der BF aus, dass er seine „Forderung nach Bekanntgabe der Kategorien und Verwendungszwecke“ seiner von der MB verarbeiteten personenbezogen Daten aufrecht halte. Eine Verletzung des Rechtes auf Geheimhaltung könne auf mehrere Arten erfolgen. Es sei legitim, die Datenweitergabe der MB an Dritte „unter dem Gesichtspunkt der Geheimhaltung auf den Prüfstand zu stellen und durch eine unabhängige Behörde wie der DSB [sic!] beurteilen zu lassen.“ Nach seiner Vorstellung müsse die MB „doch etwas konkreter werden.“ Um herauszufinden, ob er im Recht auf Geheimhaltung verletzt sei, müsse die MB „die übermittelten Datenkategorien und Vertrags- und Rechtsgrundlagen benennen“ und zwar für jede einzelne Datenübermittlung. Die Möglichkeit, die E-Mails von den Plattformen der MB herunterzuladen sei zu aufwändig, weshalb er auf einer maschinenlesbaren Kopie bestehen müsse. Außerdem habe er „zum Online-Tool der XXXX keinen Zugang mehr.“
Mit Stellungnahme vom 29.08.2023 führte der BF aus, dass er seine „Forderung nach Bekanntgabe der Kategorien und Verwendungszwecke“ seiner von der MB verarbeiteten personenbezogen Daten aufrecht halte. Eine Verletzung des Rechtes auf Geheimhaltung könne auf mehrere Arten erfolgen. Es sei legitim, die Datenweitergabe der MB an Dritte „unter dem Gesichtspunkt der Geheimhaltung auf den Prüfstand zu stellen und durch eine unabhängige Behörde wie der DSB [sic!] beurteilen zu lassen.“ Nach seiner Vorstellung müsse die MB „doch etwas konkreter werden.“ Um herauszufinden, ob er im Recht auf Geheimhaltung verletzt sei, müsse die MB „die übermittelten Datenkategorien und Vertrags- und Rechtsgrundlagen benennen“ und zwar für jede einzelne Datenübermittlung. Die Möglichkeit, die E-Mails von den Plattformen der MB herunterzuladen sei zu aufwändig, weshalb er auf einer maschinenlesbaren Kopie bestehen müsse. Außerdem habe er „zum Online-Tool der römisch 40 keinen Zugang mehr.“
Mit E-Mail vom 15.09.2023 übermittelte die MB dem BF eine Aufstellung, die Informationen dazu enthalte, „warum bzw. wofür die Empfänger die Daten erhalten“ hätten. Weiters wurde festgehalten, dass der BF nach wie vor Zugriff auf das XXXX -Portal habe.
Mit E-Mail vom 15.09.2023 übermittelte die MB dem BF eine Aufstellung, die Informationen dazu enthalte, „warum bzw. wofür die Empfänger die Daten erhalten“ hätten. Weiters wurde festgehalten, dass der BF nach wie vor Zugriff auf das römisch 40 -Portal habe.
Mit Eingabe vom 01.02.2024 erhob der BF eine Beschwerde wegen Verletzung der Entscheidungspflicht (Säumnisbeschwerde) durch die belangte Behörde. Er beantragte die „umgehende Erlassung eines Entscheids durch die säumige Behörde oder Entscheid durch das Bundesverwaltungsgericht.“ Die übermittelte Liste könne man „wohlwollend als Übersicht über die Zwecke und Kategorien der Datenweitergabe“ und somit als „Erfüllung der ursprünglichen Forderung“ interpretieren. Die MB solle die Rechtskonformität tatsächlich erfolgter Datenübertragung aufgrund von rechtmäßigen Vereinbarungen mit den Empfängern seiner Daten darlegen. Die MB versuche, ihm seine Kontrollrechte abzusprechen.
Mit dem angefochtenen Bescheid vom 15.02.2024 wies die belangte Behörde die Datenschutzbeschwerde als unbegründet ab. Begründend führte die belangte Behörde aus, die MB habe im Laufe des Verfahrens eine ergänzende Auskunft erteilt, weswegen die Beschwer weggefallen sei. Durch die Bereitstellung der E-Mails über die XXXX - bzw. XXXX -Plattform sei dem Transparenzgebot Genüge getan und sei es nicht erforderlich, dass der Verantwortliche aktiv Kopien iSd Art. 15 Abs. 4 DSGVO übermittle, solange der Betroffene selbst auf die betreffenden Informationen zugreifen könne. Was das Recht auf Geheimhaltung betreffe, habe der BF keine konkreten Rechtsverletzungen behauptet.Begründend führte die belangte Behörde aus, die MB habe im Laufe des Verfahrens eine ergänzende Auskunft erteilt, weswegen die Beschwer weggefallen sei. Durch die Bereitstellung der E-Mails über die römisch 40 - bzw. römisch 40 -Plattform sei dem Transparenzgebot Genüge getan und sei es nicht erforderlich, dass der Verantwortliche aktiv Kopien iSd Artikel 15, Absatz 4, DSGVO übermittle, solange der Betroffene selbst auf die betreffenden Informationen zugreifen könne. Was das Recht auf Geheimhaltung betreffe, habe der BF keine konkreten Rechtsverletzungen behauptet.
Gegen diesen Bescheid richtet sich die fristgerechte Beschwerde vom 10.03.2024, in der zusammengefasst Folgendes ausgeführt wird: Während die Kontrolle von Regierungen den Medien obliege, seien für die Kontrolle von Datenverarbeitern die Betroffenen selbst zuständig. Eine Möglichkeit für Verantwortliche, diese Kontrolle zu unterbinden, sei, auf Auskunftsbegehren möglichst umfangreich zu antworten. Dies verletze das Transparenzgebot. Dass die DSB der Ansicht sei, es könne von der MB nicht verlangt werden, die den BF betreffenden Daten aufzubereiten, erscheine „absurd“. Bei der von der MB gewählten Art der Bereitstellung der Auskunft handle es sich sogar um eine „negative“ Aufbereitung. Dadurch entstehe ein enormer Aufwand für den BF. Die Auskunftserteilung sei insofern unvollständig gewesen, weswegen ihm die Überprüfung der Rechtmäßigkeit und Richtigkeit der hinsichtlich seiner personenbezogenen Daten erfolgten Datenverarbeitungen nicht oder eben nur mit enormem Aufwand möglich sei. Überdies sei der BF im Recht auf Auskunft verletzt, da die MB ihm in Beantwortung seines Auskunftsersuchens nicht mitgeteilt habe, ob seine personenbezogenen Daten auch tatsächlich an die ihm von der MB genannten Empfänger weitergegeben worden seien und ob es sich bei diesen Empfängern um Auftragsverarbeiter oder sonstige Empfänger gehandelt habe. Weiters lege die Vorgehensweise der MB nahe, dass gegen das Recht auf Geheimhaltung verstoßen worden sei. Da die belangte Behörde diese Indizien ignoriere, unterliege die Datenweitergabe aus „Sicht eines achtlosen/böswilligen Datenverarbeiters“ de facto keinerlei Beschränkungen.“ Dass der BF eine konkrete diesbezügliche Verletzung nicht ausschließen oder geltend machen könne, liege an der intransparenten Auskunft der MB. Schließlich regte der BF an, das Bundesverwaltungsgericht möge drei Fragen hinsichtlich des Umfanges des Auskunftsrechtes nach Art. 15 DSGVO (vgl. unten S 20) dem Gerichtshof der Europäischen Union (EuGH) vorlegen und unter Berücksichtigung von dessen Antwort – und der Ausführungen des BF – „die Abweisung der 3 [in seiner] Beschwerde genannten Themen erneut beurteilen.“Schließlich regte der BF an, das Bundesverwaltungsgericht möge drei Fragen hinsichtlich des Umfanges des Auskunftsrechtes nach Artikel 15, DSGVO vergleiche unten S 20) dem Gerichtshof der Europäischen Union (EuGH) vorlegen und unter Berücksichtigung von dessen Antwort – und der Ausführungen des BF – „die Abweisung der 3 [in seiner] Beschwerde genannten Themen erneut beurteilen.“
In der Folge legte die belangte Behörde diese Beschwerde samt den diesbezüglichen Verwaltungsunterlagen dem Bundesverwaltungsgericht zur Entscheidung vor. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
Feststellungen: Die MB ist ein im österreichischen Firmenbuch zur XXXX eingetragenes Kreditinstitut, dessen Unternehmensgegenstand Bankgeschäfte und Finanzdienstleistungen umfasst.Die MB ist ein im österreichischen Firmenbuch zur römisch 40 eingetragenes Kreditinstitut, dessen Unternehmensgegenstand Bankgeschäfte und Finanzdienstleistungen umfasst. Die MB bietet über XXXX und XXXX Dienstleistungen wie die Bereitstellung von Kreditkarten oder die Abwicklung von Zahlungen an, wobei sie auf deren Webseiten als datenschutzrechtlich Verantwortliche genannt wird.Die MB bietet über römisch 40 und römisch 40 Dienstleistungen wie die Bereitstellung von Kreditkarten oder die Abwicklung von Zahlungen an, wobei sie auf deren Webseiten als datenschutzrechtlich Verantwortliche genannt wird. Sowohl hinsichtlich XXXX als auch XXXX war der BF Nutzer bzw. Teilnehmer des ,, XXXX eBankings" (in weiterer Folge: eBanking), welches die Abwicklung von Bankgeschäften mittels Internetverbindung mit bzw. bei der MB ermöglicht (lnternetbanking). lm eBanking besteht die Möglichkeit, Abfragen zu tätigen (z.B. hinsichtlich des Kontostandes), Aufträge zu erteilen (z.B. Zahlungsaufträge) sowie rechtsverbindliche und sonstige Erklärungen (z.B. Bekanntgabe geänderter Adressdaten) abzugeben. Dabei besteht auch eine sogenannte ,,Mailbox", in welcher Nutzer mittels Nachrichten mit der MB (bzw. deren Mitarbeitern) kommunizieren können (sogenannte ,,eBanking Kommunikation"). Die eBanking Kommunikation beinhaltet entweder allgemeine (nicht auf konkrete Nutzer individualisierte) Informationsschreiben der MB an Kunden, die Entgeltaufstellung

Zahlungsdienstegesetz für Girokonten sowie sonstige Nachrichten, welche Nutzer an die Beschwerdegegnerin unter Nutzung des eBankingportals übermittelt haben samt allfälliger Antworten derselben (nachfolgend: individuelle eBanking Kommunikation).Sowohl hinsichtlich römisch 40 als auch römisch 40 war der BF Nutzer bzw. Teilnehmer des ,, römisch 40 eBankings" (in weiterer Folge: eBanking), welches die Abwicklung von Bankgeschäften mittels Internetverbindung mit bzw. bei der MB ermöglicht (lnternetbanking). lm eBanking besteht die Möglichkeit, Abfragen zu tätigen (z.B. hinsichtlich des Kontostandes), Aufträge zu erteilen (z.B. Zahlungsaufträge) sowie rechtsverbindliche und sonstige Erklärungen (z.B. Bekanntgabe geänderter Adressdaten) abzugeben. Dabei besteht auch eine sogenannte ,,Mailbox", in welcher Nutzer mittels Nachrichten mit der MB (bzw. deren Mitarbeitern) kommunizieren können (sogenannte ,,eBanking Kommunikation"). Die eBanking Kommunikation beinhaltet entweder allgemeine (nicht auf konkrete Nutzer individualisierte) Informationsschreiben der MB an Kunden, die Entgeltaufstellung

Zahlungsdienstegesetz für Girokonten sowie sonstige Nachrichten, welche Nutzer an die Beschwerdegegnerin unter Nutzung des eBankingportals übermittelt haben samt allfälliger Antworten derselben (nachfolgend: individuelle eBanking Kommunikation). Am 16.02.2023 richtete der BF an die MB ein Auskunftsersuchen hinsichtlich sämtlicher bei ihr gespeicherten, ihn betreffenden personenbezogener Daten. Mit E-Mail vom 02.03.2023 teilte die MB – soweit verfahrensrelevant – dem BF Folgendes mit: ,,Sie haben um Auskunft nach der Datenschutzgrundverordnung ersucht. In den angeschlossenen Datenblättern finden Sie alle zu Ihrer Person im jeweiligen Institut gespeicherten Daten sowie Transaktionsdaten. Bitte beachten Sie, dass Sie die Daten in zwei verschiedenen Formaten erhalten. Die Daten zu den Kreditkarten werden in einem anderen IT-System als die restlichen Produkte verarbeitet. Daher hat die Auskunft zu den Kreditkarten ein anderes Format. Zu Punkt

Ihres Schreibens vom 16.2.2023 Die Datenschutzbehörde hat in ihrer Entscheidung DSB-D124.339 zur Herausgabe von E-Mails festgestellt, dass Art t5 DSGVO keine Grundlage für die Herausgabe von E-Mails darstellt. In diesem Zusammenhang weisen wir auch darauf hin, dass Sie im eBanking der XXXX unter ,,Service- Mailbox - Mail Eingang" alle Nachrichten finden, die wir Ihnen gesendet haben. Unter ,Service - Mailbox - Gesendete Mails" finden Sie alle Nachrichten, die Sie an uns gerichtet. Auch im XXXX account finden Sie in der ,,Nachrichtenübersicht" alle gesendeten und empfangenen Nachrichten. Diese können Sie mit der Anfrage-Nummer plus der letzten Ziffer auch thematisch zuordnen -Die Datenschutzbehörde hat in ihrer Entscheidung DSB-D124.339 zur Herausgabe von E-Mails festgestellt, dass Art t5 DSGVO keine Grundlage für die Herausgabe von E-Mails darstellt. In diesem Zusammenhang weisen wir auch darauf hin, dass Sie im eBanking der römisch 40 unter ,,Service- Mailbox - Mail Eingang" alle Nachrichten finden, die wir Ihnen gesendet haben. Unter ,Service - Mailbox - Gesendete Mails" finden Sie alle Nachrichten, die Sie an uns gerichtet. Auch im römisch 40 account finden Sie in der ,,Nachrichtenübersicht" alle gesendeten und empfangenen Nachrichten. Diese können Sie mit der Anfrage-Nummer plus der letzten Ziffer auch thematisch zuordnen - Zu den Punkten 2.,
und
Ihres Schreibens vom 16.2.2023 lm Informationsblatt zum Datenschutz finden Sie Hinweise über die Verarbeitung Ihrer personenbezogenen Daten, die Ihnen zustehenden datenschutzrechtlichen Ansprüche und Rechte, sowie Informationen über Speicherdauer und Datenweitergabe. Tatsächliche Verarbeitungszwecke: - Vertragserfüllung - Erfüllung rechtlicher Verpflichtungen (FM-GWG, Kontenregistermeldung, Einlagensicherung) - Berechtigtes Interesse (Videoüberwachung im Fall von Filialbesuchen bzw. Geldbehebungen beim Automaten, Maßnahmen zur Betrugsprävention und -bekämpfung und zur Bekämpfung von Geldwäsche) Gesetzliche Aufbewahrungsfristen: Die gesetzliche Aufbewahrungsfrist gem. UGB und BAO beträgt 7 Jahre. Die Daten werden aber nicht nach diesen 7 Jahren gelöscht, da es eine darüber hinausgehende gesetzliche Aufbewahrungsfrist von 10 Jahren gem. FM-GwG gibt. Für Zwecke des FM-GwG werden die Daten für diese 10 Jahre gespeichert und danach automatisch gelöscht. Videoüberwachung - Löschung 3 Monate nach Aufzeichnung Herkunft der Daten: - Umsatzdaten am Girokonto (von Transaktionsauftraggeber und -empfänger) - Umsatzdaten zu Ihren Transaktionen mit Kreditkarte (von Händlern) - Videoaufzeichnungen im Fall von Filialbesuchen bzw. Geldbehebungen beim Automaten - Informationen aus Ihrem elektronischen Verkehr gegenüber der Bank (z.B. Cookies, Geräte- und Browserdaten) […] Zu Punkt
Ihres Schreibens vom 16.2.2023 Die konkreten Empfänger (Empfängernamen und -adressen) Ihrer personenbezogenen Daten entnehmen Sie bitte dem beiliegenden Informationsblatt ,,Empfänger“. Zum Storno der von Ihnen angeführten Transaktion wurde bereits mit Nachricht vom
September 2022 Stellung genommen. Wie mitgeteilt, haben wir keinerlei Einfluss auf das Storno einer Transaktion, wenn diese vom Händler selbst bzw. dessen Acquirer kurz nach erfolgter Autorisierung gesetzt wird. Für nähere Auskünfte, warum die Autorisierung wieder storniert wurde, wenden Sie sich daher bitte direkt an den Händler bzw. dessen Acquirer. Wir erhalten keine Informationen darüber, warum ein Händler bzw. dessen Acquirer eine Transaktion storniert. […] Bitte beachten Sie, dass wir nur solche IT-Dienstleister außerhalb der EU heranziehen, - mit denen Standardvertragsklauseln abgeschlossen wurden, oder - die in einem Land tätig sind, das über ein angemessenes Datenschutzniveau verfügt (Diese Länder werden von der EU festgelegt.) Damit ist ein angemessenes Datenschutzniveau gewährleistet. Die von uns ergriffenen Datensicherheitsmaßnahmen sind: - Die Aufgabenverteilung zwischen den Organisationseinheiten und zwischen den Mitarbeitern, die Daten verwenden, ist ausdrücklich festgehalten. - Die Verwendung von Daten ist an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter gebunden. - Jeder Mitarbeiter wurde über seine nach der DSGVO, dem Datenschutz-Anpassungsgesetz 2018 und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten geschult. - Die Zutrittsberechtigung zu den Räumlichkeiten des Auftraggebers oder Dienstleisters, in denen Daten und Programme verwendet werden, wurden geregelt und Maßnahmen gegen den Zutritt Unbefugter wurden ergriffen. - Die Zugriffsberechtigung auf Daten und Programme und der Schutz der Datenträger vor Einsicht und Verwendung durch Unbefugte ist geregelt. - Die Berechtigung zum Betrieb der Datenverarbeitungsgeräte wurde festgelegt und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abgesichert. - Es wird Protokoll geführt, damit Verwendungen von Daten, wie insbesondere Änderungen, Abfragen und Übermittlungen von Daten, auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können. - Es wird eine Dokumentation über die getroffenen Maßnahmen geführt, um die Kontrolle und Beweissicherung zu erleichtern. […]“ Zwischen dem BF und der MB lag zum Zeitpunkt der Einbringung der Datenschutzbeschwerde am 16.02.2023 eine allgemeine sowie individuelle eBanking-Kommunikation vor. Die eBanking-Kommunikation wurde dem BF weder im Rahmen der Auskunft vom 02.03.2023 noch in weiterer Folge übermittelt. Vielmehr verwies die MB den BF auf die Möglichkeit, einzelne in der eBanking-Mailbox enthaltene und in zeitlicher Reihenfolge geordnete Nachrichten unter Nutzung des eBanking-Portals selbstständig einzusehen und durch die Nutzung der Download-Funktion im PDF-Format zu speichern (,,Self-service Tool"). Dabei übermittelte die MB dem BF im genannten E-Mail vom 22.03.2023 eine Schritt-für-Schritt-Anleitung für das Herunterladen seiner Nachrichten im XXXX - bzw. im XXXX -Portal. Zwischen dem BF und der MB lag zum Zeitpunkt der Einbringung der Datenschutzbeschwerde am 16.02.2023 eine allgemeine sowie individuelle eBanking-Kommunikation vor. Die eBanking-Kommunikation wurde dem BF weder im Rahmen der Auskunft vom 02.03.2023 noch in weiterer Folge übermittelt. Vielmehr verwies die MB den BF auf die Möglichkeit, einzelne in der eBanking-Mailbox enthaltene und in zeitlicher Reihenfolge geordnete Nachrichten unter Nutzung des eBanking-Portals selbstständig einzusehen und durch die Nutzung der Download-Funktion im PDF-Format zu speichern (,,Self-service Tool"). Dabei übermittelte die MB dem BF im genannten E-Mail vom 22.03.2023 eine Schritt-für-Schritt-Anleitung für das Herunterladen seiner Nachrichten im römisch 40 - bzw. im römisch 40 -Portal. Zum Zeitpunkt der Einbringung der Datenschutzbeschwerde und jedenfalls noch bis zum 24.07.2023 hatte der BF uneingeschränkt Zugang zur Mailbox betreffend XXXX und XXXX . Zum Zeitpunkt der Einbringung der Datenschutzbeschwerde und jedenfalls noch bis zum 24.07.2023 hatte der BF uneingeschränkt Zugang zur Mailbox betreffend römisch 40 und römisch 40 . Im Laufe des Verfahrens vor der belangten Behörde, spätestens aber am 15.09.2023, übermittelte die MB dem BF nachfolgende Liste der Empfänger seiner personenbezogenen Daten:
Beweiswürdigung: Die Feststellungen stützen sich auf den vom BF nicht bestrittenen Inhalt des Verwaltungsaktes sowie den Umstand, dass er den betreffenden Feststellungen der belangten Behörde nicht entgegengetreten ist. Dabei stützt sich die Feststellung, wonach der BF jedenfalls noch bis zum 24.07.2023 uneingeschränkt Zugang zur Mailbox betreffend XXXX und XXXX hatte, darauf, dass er das Vorbringen, er habe keinen Zugang zum XXXX -Portal mehr, nicht in dem an diesem Tag eingebrachten Schriftsatz, sondern erst in seiner Stellungnahme vom 29.08.2023 erstattete.Dabei stützt sich die Feststellung, wonach der BF jedenfalls noch bis zum 24.07.2023 uneingeschränkt Zugang zur Mailbox betreffend römisch 40 und römisch 40 hatte, darauf, dass er das Vorbringen, er habe keinen Zugang zum römisch 40 -Portal mehr, nicht in dem an diesem Tag eingebrachten Schriftsatz, sondern erst in seiner Stellungnahme vom 29.08.2023 erstattete.
Rechtliche Beurteilung:

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27

DSG entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide der Datenschutzbehörde, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 DSG und wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und dem Kreis der Arbeitnehmer.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, DSG entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide der Datenschutzbehörde, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7, DSG und wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und dem Kreis der Arbeitnehmer.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs.

1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn entweder der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn entweder der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Art. 15Abs.

1 DSGVO hat der Betroffene das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob ihn betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat er ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a)die Verarbeitungszwecke;
b)die Kategorien personenbezogener Daten, die verarbeitet werden;
c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden,
d)falls möglich, die geplante Dauer, für welche die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e)das Bestehen eines Rechtes auf Berichtigung oder Löschung der ihn betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechtes gegen diese Verarbeitung;
f)das Bestehen eines Beschwerderechtes bei eine Aufsichtsbehörde;
g)wenn die personenbezogenen Daten nicht beim Betroffenen erhoben werden, alle verfügbaren Informationen über die Herkunft dieser Daten;
h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Art. 22Abs.

1 und 4 DSGVO und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für den Betroffenen.

Artikel 15

, Absatz eins, DSGVO hat der Betroffene das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob ihn betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat er ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a)die Verarbeitungszwecke;
b)die Kategorien personenbezogener Daten, die verarbeitet werden;
c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden,
d)falls möglich, die geplante Dauer, für welche die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e)das Bestehen eines Rechtes auf Berichtigung oder Löschung der ihn betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechtes gegen diese Verarbeitung;
f)das Bestehen eines Beschwerderechtes bei eine Aufsichtsbehörde;
g)wenn die personenbezogenen Daten nicht beim Betroffenen erhoben werden, alle verfügbaren Informationen über die Herkunft dieser Daten;
h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

, Absatz eins und 4 DSGVO und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für den Betroffenen.

Art. 15Abs.

3 DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Für alle weiteren Kopien, die der Betroffene beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt der Betroffene den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern der Betroffene nichts anderes verlangt.

Artikel 15

, Absatz 3, DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Für alle weiteren Kopien, die der Betroffene beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt der Betroffene den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern der Betroffene nichts anderes verlangt.

Art. 15Abs.

4 DSGVO darf das Recht auf Erhalt einer Kopie

Abs. 3 leg. cit. die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Artikel 15

, Absatz 4, DSGVO darf das Recht auf Erhalt einer Kopie

Absatz 3, leg. cit. die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

§ 1Abs.

1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.

§ 24Abs.

6 DSG kann ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht.

Paragraph 24, Absatz 6, DSG kann ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht.

Art. 57Abs.

1 lit. f DSGVO hat die Datenschutzbehörde sich mit Datenschutzbeschwerden eines Betroffenen zu befassen und den Gegenstand der Datenschutzbeschwerden in angemessenem Umfang untersuchen.

Artikel 57

, Absatz eins, Litera f, DSGVO hat die Datenschutzbehörde sich mit Datenschutzbeschwerden eines Betroffenen zu befassen und den Gegenstand der Datenschutzbeschwerden in angemessenem Umfang untersuchen. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes: In der gegenständlichen Beschwerde wird vom BF zusammengefasst moniert, dass die MB ihm in Beantwortung seines Auskunftsersuchens nicht mitgeteilt habe, ob seine personenbezogenen Daten auch tatsächlich an die ihm von der MB genannten Empfänger weitergegeben worden seien und ob es sich bei diesen Empfängern um Auftragsverarbeiter oder sonstige Empfänger gehandelt habe. Weiters rügt er, dass die Bereitstellung der Auskunft in Form von durch den BF selbst herunterzuladenden Nachrichten gegen das Transparenzgebot verstoße sowie in Hinblick auf die von ihm behauptete Verletzung im Recht auf Geheimhaltung, dass der Umstand, dass er eine konkrete diesbezügliche Verletzung nicht ausschließen oder geltend machen könne, Folge der intransparenten Auskunft der MB sei. Dazu ist zunächst festzuhalten, dass die MB dem BF vor Erlassung des angefochtenen Bescheides eine – in den Feststellungen vollumfänglich abgebildete – Liste mit Empfängern seiner personenbezogenen Daten übermittelt hat. In dieser Liste sind jene Empfänger, die sich auf einer dem BF ebenfalls übermittelten Vorversion der Liste befunden hatten und an die keine personenbezogenen Daten des BF weitergegeben wurden, durchgestrichen. Somit ergibt sich im Umkehrschluss, dass an die nicht durchgestrichenen Empfänger tatsächlich Daten des BF weitergegeben wurden. Die MB hat daher – wie auch vom BF selbst zumindest hinsichtlich Teilen seines Auskunftsersuchens zugestanden – bis zum Abschluss des Verfahrens vor der belangten Behörde die vom BF behauptete Rechtsverletzung im Sinne des § 24 Abs. 6 DSG beseitigt.Dazu ist zunächst festzuhalten, dass die MB dem BF vor Erlassung des angefochtenen Bescheides eine – in den Feststellungen vollumfänglich abgebildete – Liste mit Empfängern seiner personenbezogenen Daten übermittelt hat. In dieser Liste sind jene Empfänger, die sich auf einer dem BF ebenfalls übermittelten Vorversion der Liste befunden hatten und an die keine personenbezogenen Daten des BF weitergegeben wurden, durchgestrichen. Somit ergibt sich im Umkehrschluss, dass an die nicht durchgestrichenen Empfänger tatsächlich Daten des BF weitergegeben wurden. Die MB hat daher – wie auch vom BF selbst zumindest hinsichtlich Teilen seines Auskunftsersuchens zugestanden – bis zum Abschluss des Verfahrens vor der belangten Behörde die vom BF behauptete Rechtsverletzung im Sinne des Paragraph 24, Absatz 6, DSG beseitigt. Was die vom BF monierte fehlende Information darüber, ob es sich bei den Empfängern um Auftragsverarbeiter der MB oder sonstige Empfänger handle, so ist dem entgegen zu halten, dass nach Art. 15 lit. c DSGVO der Verantwortliche den Betroffenen über die Empfänger oder Kategorien von Empfängern seiner personenbezogenen Daten zu informieren hat. Der EuGH lässt dabei dort eine Beauskunftung der Empfängerkategorien zu, wo eine Identifizierung der Empfänger nicht möglich ist (zB weil sie noch nicht bekannt sind), wenn die Anträge auf Auskunft offenkundig unbegründet oder exzessiv iSv Art. 12 Abs. 5 DSGVO sind (vgl. EuGH 12.01.2023, Rs C-154/21, sowie [dazu] Haidinger in Knyrim, DatKomm, Art. 15 DSGVO, Rn. 39f.). Eine Verpflichtung der MB, die von ihr dem BF konkret bekanntgegebenen Empfänger nun noch weiter in Auftragsverarbeiter und sonstige Empfänger zu untergliedern, kann daher aus Art. 15 lit. c DSGVO nicht abgeleitet werden. Auch ist in Hinblick auf die der Liste der Empfänger jeweils beifügte Spalte mit dem Titel „Beschreibung“ davon auszugehen, dass die dem BF von MB zur Verfügung gestellten Informationen bezüglich der Empfänger ausreichen, damit dieser in die Lage versetzt wird, seine Betroffenenrechte im Sinne der Rechtsprechung des EuGH (vgl. insb. Rz 37, 38 und 43 des zuvor genannten Urteils vom 12.01.2023, Rs C-154/21) auszuüben.Was die vom BF monierte fehlende Information darüber, ob es sich bei den Empfängern um Auftragsverarbeiter der MB oder sonstige Empfänger handle, so ist dem entgegen zu halten, dass nach Artikel 15, Litera c, DSGVO der Verantwortliche den Betroffenen über die Empfänger oder Kategorien von Empfängern seiner personenbezogenen Daten zu informieren hat. Der EuGH lässt dabei dort eine Beauskunftung der Empfängerkategorien zu, wo eine Identifizierung der Empfänger nicht möglich ist (zB weil sie noch nicht bekannt sind), wenn die Anträge auf Auskunft offenkundig unbegründet oder exzessiv iSv Artikel 12, Absatz 5, DSGVO sind vergleiche EuGH 12.01.2023, Rs C-154/21, sowie [dazu] Haidinger in Knyrim, DatKomm, Artikel 15, DSGVO, Rn. 39f.). Eine Verpflichtung der MB, die von ihr dem BF konkret bekanntgegebenen Empfänger nun noch weiter in Auftragsverarbeiter und sonstige Empfänger zu untergliedern, kann daher aus Artikel 15, Litera c, DSGVO nicht abgeleitet werden. Auch ist in Hinblick auf die der Liste der Empfänger jeweils beifügte Spalte mit dem Titel „Beschreibung“ davon auszugehen, dass die dem BF von MB zur Verfügung gestellten Informationen bezüglich der Empfänger ausreichen, damit dieser in die Lage versetzt wird, seine Betroffenenrechte im Sinne der Rechtsprechung des EuGH vergleiche insb. Rz 37, 38 und 43 des zuvor genannten Urteils vom 12.01.2023, Rs C-154/21) auszuüben. Wenn der BF meint, die MB habe ihm nicht mitgeteilt, welche Kategorien von Daten an welche Empfänger übermittelt worden seien, so ist dem entgegen zu halten, dass die dem BF übermittelte erwähnte Empfängerliste in der zuvor erwähnten Spalte mit dem Titel „Beschreibung“ entsprechende Informationen enthält. Weiters kann das Bundesverwaltungsgericht in der gegenständlichen Angelegenheit auch keinen Verstoß gegen das Recht auf Erhalt einer Datenkopie nach Art. 15 Abs. 3 DSGVO oder das Transparenzgebot des Art. 5 Abs. 1 lit. a DSGVO erkennen:Weiters kann das Bundesverwaltungsgericht in der gegenständlichen Angelegenheit auch keinen Verstoß gegen das Recht auf Erhalt einer Datenkopie nach Artikel 15, Absatz 3, DSGVO oder das Transparenzgebot des Artikel 5, Absatz eins, Litera a, DSGVO erkennen: Nach der Rechtsprechung des EuGH bezieht sich Art. 15 Abs. 3 DSGVO nämlich vorrangig auf eine Kopie der personenbezogenen Daten des Betroffenen (und nicht auf eine Kopie aller Unterlagen, in denen sich personenbezogene Daten des Betroffenen finden lassen) und besteht ein Anspruch auf Übermittlung von Kopien ganzer Dokumente nur ausnahmsweise, und zwar dann, wenn diese Übermittlung unerlässlich ist, um dem Betroffenen die Ausübung seiner Betroffenenrechte zu ermöglichen (EuGH 04.05.2023, C-487/21 [CRIF]). Eine derartige Konstellation hat der BF allerdings weder behauptet noch ist sie für das Bundesverwaltungsgericht sonst ersichtlich. Auch hat der BF nicht vorgebracht, keine Kopie seiner personenbezogenen Daten erhalten zu haben.Nach der Rechtsprechung des EuGH bezieht sich Artikel 15, Absatz 3, DSGVO nämlich vorrangig auf eine Kopie der personenbezogenen Daten des Betroffenen (und nicht auf eine Kopie aller Unterlagen, in denen sich personenbezogene Daten des Betroffenen finden lassen) und besteht ein Anspruch auf Übermittlung von Kopien ganzer Dokumente nur ausnahmsweise, und zwar dann, wenn diese Übermittlung unerlässlich ist, um dem Betroffenen die Ausübung seiner Betroffenenrechte zu ermöglichen (EuGH 04.05.2023, C-487/21 [CRIF]). Eine derartige Konstellation hat der BF allerdings weder behauptet noch ist sie für das Bundesverwaltungsgericht sonst ersichtlich. Auch hat der BF nicht vorgebracht, keine Kopie seiner personenbezogenen Daten erhalten zu haben. Im gegenständlichen Fall hatte der BF – wie den Feststellungen zu entnehmen ist – in jenem Zeitpunkt, in dem er das Auskunftsersuchen stellte und auch noch danach die Möglichkeit, auf die ihn betreffenden Nachrichten über das XXXX - bzw. XXXX -Portal zuzugreifen und diese herunterzuladen. Seitens der MB wurde dem BF auch detailliert erklärt, wie er beim Herunterladen vorzugehen habe. Auch in ErwG 63 der DSGVO wird die Möglichkeit des Verantwortlichen erwähnt, dem Betroffenen einen Fernzugang zu einem sicheren System bereitzustellen, der dem Betroffenen direkten Zugang zu seinen personenbezogenen Daten ermöglicht. In der Literatur wird die Möglichkeit der Datenabfrage durch den Betroffenen per Fernzugriff gar als „Idealvorstellung des Verordnungsgebers“ bezeichnet (Ehmann/Selmayr, DS-GVO, Art. 15, Rz. 31). Da die MB dem BF durch den Zugriff auf das XXXX - bzw. XXXX -Portal diese Möglichkeit eingeräumt hat, ist sie ihren Verpflichtungen nach Art. 15 DSGVO nachgekommen. Dass der Aufwand für den BF auf diese Weise erheblich größer sei als bei Übermittlung der relevanten Nachrichten durch die MB, vermag – wie der BF selbst zugesteht – kein datenschutzrechtliches Problem zu begründen, auch nicht im Sinne eines – vom BF insinuierten – Verstoßes gegen das Transparenzgebot.Im gegenständlichen Fall hatte der BF – wie den Feststellungen zu entnehmen ist – in jenem Zeitpunkt, in dem er das Auskunftsersuchen stellte und auch noch danach die Möglichkeit, auf die ihn betreffenden Nachrichten über das römisch 40 - bzw. römisch 40 -Portal zuzugreifen und diese herunterzuladen. Seitens der MB wurde dem BF auch detailliert erklärt, wie er beim Herunterladen vorzugehen habe. Auch in ErwG 63 der DSGVO wird die Möglichkeit des Verantwortlichen erwähnt, dem Betroffenen einen Fernzugang zu einem sicheren System bereitzustellen, der dem Betroffenen direkten Zugang zu seinen personenbezogenen Daten ermöglicht. In der Literatur wird die Möglichkeit der Datenabfrage durch den Betroffenen per Fernzugriff gar als „Idealvorstellung des Verordnungsgebers“ bezeichnet (Ehmann/Selmayr, DS-GVO, Artikel 15,, Rz. 31). Da die MB dem BF durch den Zugriff auf das römisch 40 - bzw. römisch 40 -Portal diese Möglichkeit eingeräumt hat, ist sie ihren Verpflichtungen nach Artikel 15, DSGVO nachgekommen. Dass der Aufwand für den BF auf diese Weise erheblich größer sei als bei Übermittlung der relevanten Nachrichten durch die MB, vermag – wie der BF selbst zugesteht – kein datenschutzrechtliches Problem zu begründen, auch nicht im Sinne eines – vom BF insinuierten – Verstoßes gegen das Transparenzgebot. Schließlich brachte der BF während des Verfahrens vor der belangten Behörde eine Verletzung seines Rechtes auf Geheimhaltung vor, da es ihm aufgrund der seiner Ansicht nach unvollständigen Auskunftserteilung nicht möglich gewesen sei, „die Rechtmäßigkeit der Datenweitergabe zu beurteilen.“ Wie die belangte Behörde im angefochtenen Bescheid zutreffend ausgeführt hat, hat sie den Gegenstand einer Datenschutzbeschwerde nicht in jede auch nur im Entferntesten mögliche Richtung hin zu untersuchen, sondern

Art. 57Abs.

1 lit. f DSGVO nur in angemessenem Umfang. Wie die belangte Behörde im angefochtenen Bescheid zutreffend ausgeführt hat, hat sie den Gegenstand einer Datenschutzbeschwerde nicht in jede auch nur im Entferntesten mögliche Richtung hin zu untersuchen, sondern

Artikel 57, Absatz eins, Litera f, DSGVO nur in angemessenem Umfang.

Da der BF – auch in seiner Beschwerde an das Bundesverwaltungsgericht – nur pauschal behauptet hat, dass aufgrund der seiner Ansicht nach unvollständigen Auskunftserteilung Verletzungen im Recht auf Geheimhaltung naheliegend seien, ohne diesbezüglich einen konkreten Sachverhalt darzulegen, war die belangte Behörde nicht verpflichtet, in diesem Punkt tiefergehende Ermittlungen durchzuführen und hat die Datenschutzbeschwerde daher auch in diesem Punkt zurecht als unbegründet abgewiesen. Daher war spruchgemäß zu entscheiden. Zur Nichtbefassung des EuGH: Der BF beantragte zudem in seiner Beschwerde die nachfolgend wiedergegebenen Fragen dem EuGH vorzulegen: „

i)Folgt aus dem Transparenzgebot […], dass neben den konkret benannten Empfängern auch darüber informiert werden muss, ob tatsächlich Daten (welche Kategorien und welche nicht?) an diese übermittelt wurden?
ii)Folgt aus dem Transparenzgebot […], dass Auftragsverarbeiter und eigenverantwortliche Verarbeiter als Datenempfänger getrennt genannt werden müssen, da die Kontrolle dieser beiden Gruppen unterschiedlichen Zwecken folgt (die Beschreibung der Zwecke, der betroffenen Datenkategorien und der Grundlagen der Auftragsverarbeitungen liegt in der Verantwortung der BG – während für eigenverantwortliche Verarbeiter eine gesonderte Anfrage nach Art. 15 DSGVO zu stellen ist)?
ii)Folgt aus dem Transparenzgebot […], dass Auftragsverarbeiter und eigenverantwortliche Verarbeiter als Datenempfänger getrennt genannt werden müssen, da die Kontrolle dieser beiden Gruppen unterschiedlichen Zwecken folgt (die Beschreibung der Zwecke, der betroffenen Datenkategorien und der Grundlagen der Auftragsverarbeitungen liegt in der Verantwortung der BG – während für eigenverantwortliche Verarbeiter eine gesonderte Anfrage nach Artikel 15, DSGVO zu stellen ist)? iii) Stellt die unnötige Erhöhung des Aufwandes für die Betroffenen […] ebenfalls einen Verstoß gegen das Transparenzgebot dar?“ Da die Entscheidungen des Bundesverwaltungsgerichtes mit ordentlicher bzw. außerordentlicher Revision beim Verwaltungsgerichtshof angefochten werden können, ist das Bundesverwaltungsgericht

Art. 267Abs. 3 AEUV nicht zur Vorlage an den Eu

GH verpflichtet (VfSlg 19.896).Da die Entscheidungen des Bundesverwaltungsgerichtes mit ordentlicher bzw. außerordentlicher Revision beim Verwaltungsgerichtshof angefochten werden können, ist das Bundesverwaltungsgericht

Artikel 267, Absatz 3, AEUV nicht zur Vorlage an den Eu

GH verpflichtet (VfSlg 19.896). Im Übrigen stellt sich die unionsrechtliche Rechtslage nach Ansicht des erkennenden Senates als eindeutig im Sinne der oben angeführten Bestimmungen der DSGVO bzw. der Rechtsprechung des EuGH dar. Daher war der EuGH mit diesen Fragen nicht zu befassen. Zum Entfall einer mündlichen Verhandlung: Der Sachverhalt stellt sich – wie auch in der Beweiswürdigung dargestellt – anhand der Aktenlage als geklärt dar, da das Bundesverwaltungsgericht die tragenden Erwägungen der Beweiswürdigung des angefochtenen Bescheides teilt und der BF den von der belangten Behörde festgestellten Sachverhalt in seiner Beschwerde nicht substantiiert bestritten hat. Die Heranziehung weiterer Beweismittel war daher nicht notwendig und war nicht davon auszugehen, dass eine mündliche Erörterung der Rechtssache vor dem erkennenden Senat eine weitere Klärung erwarten ließe, zumal der BF die Durchführung einer mündlichen Verhandlung nicht beantragt hat. Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen. Auch nach der Rechtsprechung des Europäischen Gerichtshofes für Menschenrechte (EGMR 20.6.2013, 24510/06 (Abdulgadirov), Rn. 34 ff.; EGMR 20.11.2023, 58647/00 (Faugel); EGMR 24.03.2005, 54645/00 (Oisinger)) und des Verfassungsgerichtshofes (VfSlg. 17.597/2005; VfSlg. 17.855/2006; VfGH 18.06.2012, B 155/12) kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die zu lösende Rechtsfrage von keiner besonderen Komplexität ist, wie es in der gegenständlichen Rechtssache der Fall ist.Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen. Auch nach der Rechtsprechung des Europäischen Gerichtshofes für Menschenrechte (EGMR 20.6.2013, 24510/06 (Abdulgadirov), Rn. 34 ff.; EGMR 20.11.2023, 58647/00 (Faugel); EGMR 24.03.2005, 54645/00 (Oisinger)) und des Verfassungsgerichtshofes (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; VfGH 18.06.2012, B 155/12) kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die zu lösende Rechtsfrage von keiner besonderen Komplexität ist, wie es in der gegenständlichen Rechtssache der Fall ist. Da einem Entfall der Verhandlung auch sonst weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen, konnte eine mündlichen Verhandlung in der gegenständlichen Rechtssache

§ 24Abs. 4 Vw

GVG unterbleiben.Da einem Entfall der Verhandlung auch sonst weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen, konnte eine mündlichen Verhandlung in der gegenständlichen Rechtssache

Paragraph 24, Absatz 4, VwGVG unterbleiben. Zur Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung sich auf die zitierte einheitliche Rechtsprechung bzw. die klare und eindeutige Rechtslage stützt (zur Unzulässigkeit der Revision bei klarer Rechtslage vgl. VwGH 15.05.2019, Ro 2019/01/0006; VwGH 03.03.2023, Ra 2022/10/0094). Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung sich auf die zitierte einheitliche Rechtsprechung bzw. die klare und eindeutige Rechtslage stützt (zur Unzulässigkeit der Revision bei klarer Rechtslage vergleiche VwGH 15.05.2019, Ro 2019/01/0006; VwGH 03.03.2023, Ra 2022/10/0094). European Case Law IdentifierECLI:AT:BVWG:2026:W176.2288586.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.

{'item': 'W176 2288586-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum30.01.2026 GeschäftszahlW176 2288586-1 Spruch, W176 2288586-1/4E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch den Ri

Art. 133Abs.

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Art. 15

Artikel 15

§ 6BVw

§ 27

§ 24Abs.

§ 28Abs. 1 Vw

§ 31Abs. 1 Vw

§ 28Abs. 2 Vw

Art. 130Abs.

Artikel 130

Art. 15Abs.

Art. 22Abs.

Artikel 15

Artikel 22

Art. 15Abs.

Artikel 15

Art. 15Abs.

Artikel 15

§ 1Abs.

§ 24Abs.

Art. 57Abs.

Artikel 57

Art. 57Abs.

Artikel 57, Absatz eins, Litera f, DSGVO nur in angemessenem Umfang.

Art. 267Abs. 3 AEUV nicht zur Vorlage an den Eu

Artikel 267, Absatz 3, AEUV nicht zur Vorlage an den Eu

§ 24Abs. 4 Vw

§ 25aAbs. 1 Vw

Art. 133Abs.

Artikel 133, Absatz 4, B-VG zulässig ist.

Art. 133Abs.

Artikel 133