← Österreich

{'item': 'DSB-D130.206/0006-DSB/2019'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum22.08.2019 GeschäftszahlDSB-D130.206/0006-DSB/2019 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: DSB-D

Art. 13

DSGVO bei Erhebung proaktiv per E-Mail an eine betroffene Person zu übermitteln sind, ist daher (jedenfalls im Online-Kontext) nicht gefordert, sofern die Voraussetzung der „leichten Zugänglichkeit“ erfüllt ist (vgl. vgl. Art. 29-Datenschutzgruppe, Leitlinien für Transparenz gemäß der Verordnung 2016/679, WP 260 rev.01, 17/DE, S 22, wonach die Informationspflicht auch dadurch erfüllt werden kann, indem eine betroffene Person „aktiv zu der Stelle geleitet wird, wo die Angaben zur Verfügung stehen“, etwa über einen direkten Link).Eine Reaktion in der Form,

Artikel 13

, DSGVO bei Erhebung proaktiv per E-Mail an eine betroffene Person zu übermitteln sind, ist daher (jedenfalls im Online-Kontext) nicht gefordert, sofern die Voraussetzung der „leichten Zugänglichkeit“ erfüllt ist vergleiche vergleiche Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Leitlinien für Transparenz gemäß der Verordnung 2016/679, WP 260 rev.01, 17/DE, S 22, wonach die Informationspflicht auch dadurch erfüllt werden kann, indem eine betroffene Person „aktiv zu der Stelle geleitet wird, wo die Angaben zur Verfügung stehen“, etwa über einen direkten Link). Im vorliegenden Fall hat die Beschwerdegegnerin allerdings zu keinem Zeitpunkt ins Treffen geführt,

Art. 13DSGVO i

Sd Überlegungen auf einer öffentlich zugänglichen Website für den Beschwerdeführer „leicht zugänglich“ waren. Auch im E-Mail der Beschwerdegegnerin vom 23. Jänner 2019 sind keine Anhaltspunkte ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nachkommt (etwa ein sinngemäßer Hinweis: „Informationen zu unserem Umgang mit Ihren personenbezogenen Daten finden Sie unter [Link]).Im vorliegenden Fall hat die Beschwerdegegnerin allerdings zu keinem Zeitpunkt ins Treffen geführt,

Artikel 13, DSGVO i

Sd Überlegungen auf einer öffentlich zugänglichen Website für den Beschwerdeführer „leicht zugänglich“ waren. Auch im E-Mail der Beschwerdegegnerin vom 23. Jänner 2019 sind keine Anhaltspunkte ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nachkommt (etwa ein sinngemäßer Hinweis: „Informationen zu unserem Umgang mit Ihren personenbezogenen Daten finden Sie unter [Link]). In diesem Zusammenhang ist darauf hinzuweisen, dass es gemäß Art. 5 Abs. 2 iVm Art. 24 Abs. 1 DSGVO dem Verantwortlichen obliegt, den Nachweis dafür zu erbringen, dass die Verarbeitung (gegenständlich: die Bereitstellung der Informationen gemäß Art. 13 zum Zeitpunkt der Erhebung) in Einklang mit der DSGVO erfolgt In diesem Zusammenhang ist darauf hinzuweisen, dass es gemäß Artikel 5, Absatz 2, in Verbindung mit Artikel 24, Absatz eins, DSGVO dem Verantwortlichen obliegt, den Nachweis dafür zu erbringen, dass die Verarbeitung (gegenständlich: die Bereitstellung der Informationen gemäß Artikel 13, zum Zeitpunkt der Erhebung) in Einklang mit der DSGVO erfolgt Vor diesem Hintergrund ist davon auszugehen, dass die Beschwerdegegnerin ihre Informationspflicht im Zeitpunkt der Erhebung der personenbezogenen Daten des Beschwerdeführers nicht erfüllt hat. Zu klären ist in Folge, ob sie ihre Informationspflicht bis zum Abschluss des Verfahrens vor der Datenschutzbehörde erfüllt hat: 4. Zu Spruchpunkt 2.

  1. a)Zu Spruchpunkt 2.
  2. a)Die Beschwerdegegnerin hat iZm mit ihrer Informationspflicht nach Art. 13 Abs. 1 lit. a DSGVO einen „Datenschutzverantwortlichen“ samt Kontaktdaten genannt.Die Beschwerdegegnerin hat iZm mit ihrer Informationspflicht nach Artikel 13, Absatz eins, Litera a, DSGVO einen „Datenschutzverantwortlichen“ samt Kontaktdaten genannt. Dazu ist festzuhalten, dass der DSGVO der Begriff „Datenschutzverantwortlicher“ fremd ist bzw. damit allenfalls der „Verantwortliche“ (vgl. Art. 4 Z 7 DSGVO) gemeint sein kann. Dazu ist festzuhalten, dass der DSGVO der Begriff „Datenschutzverantwortlicher“ fremd ist bzw. damit allenfalls der „Verantwortliche“ vergleiche Artikel 4, Ziffer 7, DSGVO) gemeint sein kann. Davon ausgehend ist unklar, ob es sich bei dem seitens der Beschwerdegegnerin ins Treffen geführten „Datenschutzverantwortlichen“ um eine Art interne Ansprechstelle bei der Beschwerdegegnerin handelt, oder um einen Datenschutzbeauftragten iSd Art. 37 ff DSGVO. Aus Sicht des Beschwerdeführers (der zu diesem Zeitpunkt keine Kenntnis darüber hatte) hätte es sich auch um den Vertreter gemäß Art. 27 DSGVO handeln können.Davon ausgehend ist unklar, ob es sich bei dem seitens der Beschwerdegegnerin ins Treffen geführten „Datenschutzverantwortlichen“ um eine Art interne Ansprechstelle bei der Beschwerdegegnerin handelt, oder um einen Datenschutzbeauftragten iSd Artikel 37, ff DSGVO. Aus Sicht des Beschwerdeführers (der zu diesem Zeitpunkt keine Kenntnis darüber hatte) hätte es sich auch um den Vertreter gemäß Artikel 27, DSGVO handeln können. Unter Berücksichtigung des in Art. 12 Abs. 1 verankerten Präzisions- und Verständlichkeitsgebots ist die Beschwerdegegnerin daher angehalten, hinreichend verständliche und präzise Informationen im Hinblick auf den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters mitzuteilen, wobei insbesondere zu erläutern ist, was unter dem Begriff „Datenschutzverantwortliche“ zu verstehen ist.Unter Berücksichtigung des in Artikel 12, Absatz eins, verankerten Präzisions- und Verständlichkeitsgebots ist die Beschwerdegegnerin daher angehalten, hinreichend verständliche und präzise Informationen im Hinblick auf den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters mitzuteilen, wobei insbesondere zu erläutern ist, was unter dem Begriff „Datenschutzverantwortliche“ zu verstehen ist.
  3. b)Zu Spruchpunkt 2.
  4. b)Die Beschwerdegegnerin hat sich iZm mit ihrer Informationspflicht nach Art. 13 Abs. 1 lit. e DSGVO allgemein darauf beschränkt, Kategorien von Empfängern der personenbezogenen Daten zu nennen.Die Beschwerdegegnerin hat sich iZm mit ihrer Informationspflicht nach Artikel 13, Absatz eins, Litera e, DSGVO allgemein darauf beschränkt, Kategorien von Empfängern der personenbezogenen Daten zu nennen. Die Datenschutzbehörde geht, wenngleich die DSGVO die Formulierung „oder“ verwendet, vor dem Hintergrund des ausdrücklich in Art. 5 Abs. 1 lit. a DSGVO verankerten Transparenzgrundsatzes davon aus, dass die Nennung von konkreten Empfängern zumindest der Vorrang einzuräumen ist. Die Datenschutzbehörde geht, wenngleich die DSGVO die Formulierung „oder“ verwendet, vor dem Hintergrund des ausdrücklich in Artikel 5, Absatz eins, Litera a, DSGVO verankerten Transparenzgrundsatzes davon aus, dass die Nennung von konkreten Empfängern zumindest der Vorrang einzuräumen ist. Wenn es einen unverhältnismäßig hohen Aufwand verursachen würde oder die konkreten Empfänger noch nicht bekannt sind, kann sich der Verantwortliche auf die Nennung von Kategorien von Empfängern beschränken (vgl. zur Rechtslage nach der Richtlinie 95/46/EG das Erkenntnis des VfGH vom 2. Oktober 2007, B 227/05, wonach zur Frage, ob beim Auskunftsrecht [in der damaligen Terminologie] Empfänger oder Empfängerkreise zu nennen sind, eine Abwägung im Einzelfall durchzuführen ist).Wenn es einen unverhältnismäßig hohen Aufwand verursachen würde oder die konkreten Empfänger noch nicht bekannt sind, kann sich der Verantwortliche auf die Nennung von Kategorien von Empfängern beschränken vergleiche zur Rechtslage nach der Richtlinie 95/46/EG das Erkenntnis des VfGH vom 2. Oktober 2007, B 227/05, wonach zur Frage, ob beim Auskunftsrecht [in der damaligen Terminologie] Empfänger oder Empfängerkreise zu nennen sind, eine Abwägung im Einzelfall durchzuführen ist). Im Hinblick auf die Nennung von „Geschäftspartner“ und „Kreditauskunfteien“ ist mangels näherer Angaben seitens der Beschwerdegegnerin jedenfalls nicht nachvollziehbar, weshalb nicht die konkreten „Geschäftspartner“ und „Kreditauskunfteien“ genannt werden. Jedenfalls aber ist die Empfängerkategorie „Geschäftspartner“ zu allgemein gehalten und ist diesbezüglich näher zu differenzieren. Die Beschwerdegegnerin ist daher angehalten, die konkreten Empfänger der personenbezogenen Daten, und falls dies nicht möglich ist oder einen unverhältnismäßig hohen Aufwand darstellt, die entsprechenden Gründe dafür, jedenfalls aber präzisere Informationen im Hinblick auf die Empfängerkategorie „Geschäftspartner“ mitzuteilen.
  5. c)Zu Spruchpunkt 2.
  6. c)Die Beschwerdegegnerin hat iZm mit ihrer Informationspflicht nach Art. 13 Abs. 2 lit. a DSGVO ausgeführt, dass Daten, die für Abrechnungs- und buchhalterische Zwecke oder zur Erfüllung rechtlicher Verpflichtungen benötigt werden, von einem Löschungsverlangen unberührt bleiben würden.Die Beschwerdegegnerin hat iZm mit ihrer Informationspflicht nach Artikel 13, Absatz 2, Litera a, DSGVO ausgeführt, dass Daten, die für Abrechnungs- und buchhalterische Zwecke oder zur Erfüllung rechtlicher Verpflichtungen benötigt werden, von einem Löschungsverlangen unberührt bleiben würden. Festzuhalten ist, dass die Informationspflicht nach Art. 12 Abs. 2 DSGVO nach dem ausdrücklichen Verordnungstext nur dann besteht, wenn dies notwendig ist, um eine um eine faire und transparente Verarbeitung zu gewährleisten. Die Beschwerdegegnerin sieht diese Voraussetzung von Art. 12 Abs. 2 DSGVO offenbar als erfüllt an, indem sie, ohne auf diese Voraussetzung einzugehen, die Informationen nach Abs. 2 leg. cit. zumindest teilweise zur Verfügung stellt.Festzuhalten ist, dass die Informationspflicht nach Artikel 12, Absatz 2, DSGVO nach dem ausdrücklichen Verordnungstext nur dann besteht, wenn dies notwendig ist, um eine um eine faire und transparente Verarbeitung zu gewährleisten. Die Beschwerdegegnerin sieht diese Voraussetzung von Artikel 12, Absatz 2, DSGVO offenbar als erfüllt an, indem sie, ohne auf diese Voraussetzung einzugehen, die Informationen nach Absatz 2, leg. cit. zumindest teilweise zur Verfügung stellt. Im Hinblick auf die Angaben zur Speicherdauer ist festzuhalten, dass der allgemeine Hinweis auf „Abrechnungs- und buchhalterische Zwecke“ oder die „Erfüllung rechtlicher Verpflichtungen“ nicht ausreichend ist: Einerseits handelt es sich dabei im Wesentlichen um eine Wiederholung des in Art. 5 Abs. 1 lit. e DSGVO verankerten Grundsatzes der Speicherbegrenzung, der ebenso allgemein daran anknüpft, dass personenbezogene Daten nur solange gespeichert werden dürfen, wie es für die Zwecke erforderlich ist. Andererseits entspricht diese Information nicht dem in Art. 12 Abs. 1 DSGVO verankerten Präzisions- und Verständlichkeitsgebots, da es nicht einer betroffenen Person aufgebürdet werden kann, Fristen (etwa im Hinblick auf Buchhaltung oder im Hinblick auf anderweitige Verpflichtungen eines Unternehmers in der Schweiz) recherchieren zu müssen.Einerseits handelt es sich dabei im Wesentlichen um eine Wiederholung des in Artikel 5, Absatz eins, Litera e, DSGVO verankerten Grundsatzes der Speicherbegrenzung, der ebenso allgemein daran anknüpft, dass personenbezogene Daten nur solange gespeichert werden dürfen, wie es für die Zwecke erforderlich ist. Andererseits entspricht diese Information nicht dem in Artikel 12, Absatz eins, DSGVO verankerten Präzisions- und Verständlichkeitsgebots, da es nicht einer betroffenen Person aufgebürdet werden kann, Fristen (etwa im Hinblick auf Buchhaltung oder im Hinblick auf anderweitige Verpflichtungen eines Unternehmers in der Schweiz) recherchieren zu müssen. Die Beschwerdegegnerin ist daher angehalten, hinreichend verständliche und präzise Informationen im Hinblick auf die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer mitzuteilen.
  7. d)Zu Spruchpunkt 2.
  8. d)Ausgehend von den nachträglich am 23. Jänner 2019 erteilten Informationen ist ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nach Art. 15 Abs. 2 lit. e DSGVO bis zum Abschluss des Verfahrens vor der Datenschutzbehörde offensichtlich nicht nachgekommen ist.Ausgehend von den nachträglich am 23. Jänner 2019 erteilten Informationen ist ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nach Artikel 15, Absatz 2, Litera e, DSGVO bis zum Abschluss des Verfahrens vor der Datenschutzbehörde offensichtlich nicht nachgekommen ist. Die Beschwerdegegnerin ist daher angehalten, mitzuteilen, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte.
  9. e)Zu Spruchpunkt 2.
  10. e)Ausgehend von den nachträglich am 23. Jänner 2019 erteilten Informationen ist ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nach Art. 15 Abs. 2 lit. f DSGVO bis zum Abschluss des Verfahrens vor der Datenschutzbehörde offensichtlich nicht nachgekommen ist.Ausgehend von den nachträglich am 23. Jänner 2019 erteilten Informationen ist ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nach Artikel 15, Absatz 2, Litera f, DSGVO bis zum Abschluss des Verfahrens vor der Datenschutzbehörde offensichtlich nicht nachgekommen ist. Die Beschwerdegegnerin ist daher angehalten, Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (den Beschwerdeführer) mitzuteilen.Die Beschwerdegegnerin ist daher angehalten, Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22, Absatz eins, und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (den Beschwerdeführer) mitzuteilen.
  11. f)Zu Spruchpunkt 2.
  12. f)Die Beschwerdegegnerin hat die personenbezogenen Daten des Beschwerdeführers – neben dem ursprünglichen Zweck, nämlich der Beantwortung einer Kundenanfrage – wie festgestellt dazu verwendet, diesen per E-Mail zu kontaktieren, um dem Beschwerdeführer ein Angebot zur Teilnahme an einem Newsletter mit aktuellen Reiseangeboten zu unterbreiten. Ungeachtet der Zulässigkeit dieser Anfrage, die nicht Verfahrensgegenstand ist, ist festzuhalten, dass dadurch eine Informationspflicht nach Art. 13 Abs. 3 DSGVO entstanden ist.Ungeachtet der Zulässigkeit dieser Anfrage, die nicht Verfahrensgegenstand ist, ist festzuhalten, dass dadurch eine Informationspflicht nach Artikel 13, Absatz 3, DSGVO entstanden ist. Ausgehend von den nachträglich am 23. Jänner 2019 erteilten Informationen ist ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nach Art. 15 Abs. 3 DSGVO bis zum Abschluss des Verfahrens vor der Datenschutzbehörde offensichtlich nicht nachgekommen ist.Ausgehend von den nachträglich am 23. Jänner 2019 erteilten Informationen ist ersichtlich, dass die Beschwerdegegnerin ihrer Informationspflicht nach Artikel 15, Absatz 3, DSGVO bis zum Abschluss des Verfahrens vor der Datenschutzbehörde offensichtlich nicht nachgekommen ist. Die Beschwerdegegnerin ist daher angehalten, mitzuteilen, ob beabsichtigt wird, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden und bejahendenfalls ebenso Informationen über diesen anderen Zweck mitzuzeilen.
  13. g)Zum Leistungsauftrag Festzuhalten ist, dass bei einer erfolgreichen Beschwerde gemäß § 24 Abs. 5 DSG nur dann ein Leistungsauftrag zu erteilen ist, wenn eine Beschwerde iZm dem Recht auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung geltend gemacht wird.Festzuhalten ist, dass bei einer erfolgreichen Beschwerde gemäß Paragraph 24, Absatz 5, DSG nur dann ein Leistungsauftrag zu erteilen ist, wenn eine Beschwerde iZm dem Recht auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung geltend gemacht wird. Nach stRsp des VwGH ist eine Analogie auch im öffentlichen Recht zulässig, Voraussetzung ist jedoch das Bestehen einer echten Rechtslücke (vgl. VwGH 10.10.2018, Ra 2018/08/0189 Rs 4 mwN).Nach stRsp des VwGH ist eine Analogie auch im öffentlichen Recht zulässig, Voraussetzung ist jedoch das Bestehen einer echten Rechtslücke vergleiche VwGH 10.10.2018, Ra 2018/08/0189 Rs 4 mwN). Es ist darauf hinzuweisen, dass der österreichische Gesetzgeber im Zuge der Anpassung des DSG an die DSGVO in § 24 Abs. 5 und Abs. 6 DSG offenbar nicht davon ausgegangen ist, dass die Informationspflichten nach Art. 13 und Art. 24 DSGVO aus Sicht einer betroffenen Person umgekehrt auch als antragsunabhängige Informationsrechte geltend gemacht werden können.Es ist darauf hinzuweisen, dass der österreichische Gesetzgeber im Zuge der Anpassung des DSG an die DSGVO in Paragraph 24, Absatz 5 und Absatz 6, DSG offenbar nicht davon ausgegangen ist, dass die Informationspflichten nach Artikel 13 und Artikel 24, DSGVO aus Sicht einer betroffenen Person umgekehrt auch als antragsunabhängige Informationsrechte geltend gemacht werden können. Davon ausgehend ist festzuhalten, dass § 24 Abs. 5 und Abs. 6 DSG auch auf Beschwerden iZm dem Informationsrecht nach Art. 13 und Art. 14 DSGVO analog Anwendung finden.Davon ausgehend ist festzuhalten, dass Paragraph 24, Absatz 5 und Absatz 6, DSG auch auf Beschwerden iZm dem Informationsrecht nach Artikel 13 und Artikel 14, DSGVO analog Anwendung finden. Darüber hinaus ist darauf hinzuweisen, dass die unmittelbar in der DSGVO normierte Befugnis der Datenschutzbehörde zur Erteilung eines Leistungsauftrags nach Art. 58 Abs. 2 lit. c DSGVO ebenso Anwendung findet:Darüber hinaus ist darauf hinzuweisen, dass die unmittelbar in der DSGVO normierte Befugnis der Datenschutzbehörde zur Erteilung eines Leistungsauftrags nach Artikel 58, Absatz 2, Litera c, DSGVO ebenso Anwendung findet: Wenngleich leg. cit. nämlich davon ausgeht, dass eine Aufsichtsbehörde einen Verantwortlichen anweisen kann, „den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen“, muss sich leg. cit. im Sinne einer an den Rechtsschutzinteressen orientierten Interpretation umgekehrt umso mehr auch auf die antragsunabhängigen Informationsrechte nach Art. 13 und Art. 14 DSGVO beziehen.Wenngleich leg. cit. nämlich davon ausgeht, dass eine Aufsichtsbehörde einen Verantwortlichen anweisen kann, „den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen“, muss sich leg. cit. im Sinne einer an den Rechtsschutzinteressen orientierten Interpretation umgekehrt umso mehr auch auf die antragsunabhängigen Informationsrechte nach Artikel 13 und Artikel 14, DSGVO beziehen. Eine Frist von vier Wochen ist angemessen, um die entsprechenden Informationen mitzuteilen. Zur Vollständigkeit ist darauf hinzuweisen, dass dies in Bezug auf § 24 Abs. 6 DSG bedeutet,

Art. 13und Art.

14 DSGVO auch nachträglich bis zum Abschluss des Verfahrens zur Verfügung gestellt werden können (wobei § 24 Abs. 6 DSG im Ergebnis gegenständlich nicht einschlägig ist):Zur Vollständigkeit ist darauf hinzuweisen, dass dies in Bezug auf Paragraph 24, Absatz 6, DSG bedeutet,

Artikel 13

und Artikel 14, DSGVO auch nachträglich bis zum Abschluss des Verfahrens zur Verfügung gestellt werden können (wobei Paragraph 24, Absatz 6, DSG im Ergebnis gegenständlich nicht einschlägig ist): Diese Überlegung findet nämlich in Art. 57 Abs. 1 lit. f DSGVO Deckung, wonach die Datenschutzbehörde Beschwerden „in angemessenem Umfang“ zu untersuchen hat. Diese Überlegung findet nämlich in Artikel 57, Absatz eins, Litera f, DSGVO Deckung, wonach die Datenschutzbehörde Beschwerden „in angemessenem Umfang“ zu untersuchen hat. Weitere Deckung findet diese Überlegung in ErwGr 131 erster Satz DSGVO, wonach die Verordnung eine solche „gütliche Einigung“ zwischen Verantwortlichem und betroffener Person sowie der Aufsichtsbehörde als Vermittler der DSGVO durchaus kennt. Mit anderen Worten: Sofern die Beschwer einer betroffenen Person beseitigt ist, ist das Rechtsschutzziel der Bestimmung nach Art. 77 Abs. 1 DSGVO (die daran anknüpft, dass eine Verarbeitung gegen die Verordnung „verstößt“ und nicht: „verstößt oder verstoßen hat“) erreicht. Weitere Deckung findet diese Überlegung in ErwGr 131 erster Satz DSGVO, wonach die Verordnung eine solche „gütliche Einigung“ zwischen Verantwortlichem und betroffener Person sowie der Aufsichtsbehörde als Vermittler der DSGVO durchaus kennt. Mit anderen Worten: Sofern die Beschwer einer betroffenen Person beseitigt ist, ist das Rechtsschutzziel der Bestimmung nach Artikel 77, Absatz eins, DSGVO (die daran anknüpft, dass eine Verarbeitung gegen die Verordnung „verstößt“ und nicht: „verstößt oder verstoßen hat“) erreicht.

  1. Zu Spruchpunkt
  2. Nach Art. 13 Abs. 4 finden Abs. 1, Abs. 2 und Abs. 3 leg. cit. keine Anwendung – und sind die Informationen somit auch nicht an die betroffene Person mitzuteilen –, soweit die betroffene Person bereits über die Informationen verfügt.Nach Artikel 13, Absatz 4, finden Absatz eins,, Absatz 2 und Absatz 3, leg. cit. keine Anwendung – und sind die Informationen somit auch nicht an die betroffene Person mitzuteilen –, soweit die betroffene Person bereits über die Informationen verfügt. Wie festgestellt handelt es sich beim Beschwerdeführer um einen eingetragenen Rechtsanwalt. Vor diesem Hintergrund ist davon auszugehen, dass der Beschwerdeführer als rechtskundige Person über das Bestehen seiner datenschutzrechtlichen Betroffenenrechte (Art. 13 Abs. 2 lit. b DSGVO) und des Beschwerderechts bei einer Aufsichtsbehörde (lit. d leg. cit.) bereits im Zeitpunkt der Erhebung (bzw. ganz allgemein) verfügt.Wie festgestellt handelt es sich beim Beschwerdeführer um einen eingetragenen Rechtsanwalt. Vor diesem Hintergrund ist davon auszugehen, dass der Beschwerdeführer als rechtskundige Person über das Bestehen seiner datenschutzrechtlichen Betroffenenrechte (Artikel 13, Absatz 2, Litera b, DSGVO) und des Beschwerderechts bei einer Aufsichtsbehörde (Litera d, leg. cit.) bereits im Zeitpunkt der Erhebung (bzw. ganz allgemein) verfügt. Die Datenschutzbehörde verkennt nicht,

Art. 13

DSGVO einem generellen Adressatenkreis zur Verfügung zu stellen sind und dass es sich bei mangelhafter Informationserteilung um einen objektiven Verstoß gegen die Verordnung handelt; dieser ist jedoch in einem amtswegigen Prüfverfahren („Datenschutzüberprüfung“) gemäß Art. 58 Abs. 1 lit. b DSGVO aufzugreifen.Die Datenschutzbehörde verkennt nicht,

Artikel 13

, DSGVO einem generellen Adressatenkreis zur Verfügung zu stellen sind und dass es sich bei mangelhafter Informationserteilung um einen objektiven Verstoß gegen die Verordnung handelt; dieser ist jedoch in einem amtswegigen Prüfverfahren („Datenschutzüberprüfung“) gemäß Artikel 58, Absatz eins, Litera b, DSGVO aufzugreifen. Der Erfolg einer Beschwerde nach Art. 77 Abs. 1 iVm § 24 Abs. 1 DSG ist jedenfalls an die Voraussetzung geknüpft, dass auch eine konkrete Beschwer vorliegt, die im Hinblick auf Art. 13 Abs. 2 lit. b und lit. d DSGVO gegenständlich nicht erkennbar ist (vgl. zum Mangel einer subjektiven Rechtsverletzung etwa VwSlg 11.568 A/1984 mwN).Der Erfolg einer Beschwerde nach Artikel 77, Absatz eins, in Verbindung mit Paragraph 24, Absatz eins, DSG ist jedenfalls an die Voraussetzung geknüpft, dass auch eine konkrete Beschwer vorliegt, die im Hinblick auf Artikel 13, Absatz 2, Litera b und Litera d, DSGVO gegenständlich nicht erkennbar ist vergleiche zum Mangel einer subjektiven Rechtsverletzung etwa VwSlg 11.568 A/1984 mwN). Im Hinblick auf das Vorbringen des Beschwerdeführers, wonach die Beschwerdegegnerin die Rechte der betroffenen Person (gemeint offenbar: die Ausübung dieser Rechte) auf schriftliche Anträge und Anträge per Email („ausschließlich“) einschränke, eine Einschränkung auf „bestimmte Kanäle“ aber nicht zulässig und insofern ein Verstoß gegen Art. 12 Abs. 2 DSGVO gegeben sei, gelten die eben getroffenen Überlegungen sinngemäß.Im Hinblick auf das Vorbringen des Beschwerdeführers, wonach die Beschwerdegegnerin die Rechte der betroffenen Person (gemeint offenbar: die Ausübung dieser Rechte) auf schriftliche Anträge und Anträge per Email („ausschließlich“) einschränke, eine Einschränkung auf „bestimmte Kanäle“ aber nicht zulässig und insofern ein Verstoß gegen Artikel 12, Absatz 2, DSGVO gegeben sei, gelten die eben getroffenen Überlegungen sinngemäß. Wenngleich dem Beschwerdeführer inhaltlich Recht zugeben ist, ist in Bezug auf das konkrete Beschwerdeverfahren festzuhalten, dass eine Beschwer dennoch nicht erkennbar ist, da der Beschwerdeführer zu keinem Zeitpunkt behauptet hat, dass er etwa postalisch einen Antrag nach Art. 12 Abs. 3 DSGVO an die Beschwerdegegnerin gestellt hätte, welcher in Folge unbeantwortet geblieben wäre.Wenngleich dem Beschwerdeführer inhaltlich Recht zugeben ist, ist in Bezug auf das konkrete Beschwerdeverfahren festzuhalten, dass eine Beschwer dennoch nicht erkennbar ist, da der Beschwerdeführer zu keinem Zeitpunkt behauptet hat, dass er etwa postalisch einen Antrag nach Artikel 12, Absatz 3, DSGVO an die Beschwerdegegnerin gestellt hätte, welcher in Folge unbeantwortet geblieben wäre. 6. Zu Spruchpunkt 4. Da es sich nach Art. 13 DSGVO (aus Sicht des Verantwortlichen) um eine Informationspflicht handelt, und die Informationen nicht bloß dem Beschwerdeführer, sondern einem allgemeinen Adressatenkreis zur Verfügung zu stellen sind, macht die Datenschutzbehörde im gegenständlichen Fall amtswegig von ihrer Befugnis nach Art. 58 Abs. 2 lit. d DSGVO Gebrauch.Da es sich nach Artikel 13, DSGVO (aus Sicht des Verantwortlichen) um eine Informationspflicht handelt, und die Informationen nicht bloß dem Beschwerdeführer, sondern einem allgemeinen Adressatenkreis zur Verfügung zu stellen sind, macht die Datenschutzbehörde im gegenständlichen Fall amtswegig von ihrer Befugnis nach Artikel 58, Absatz 2, Litera d, DSGVO Gebrauch. Die Beschwerdegegnerin ist daher angehalten, ihre Informationen (ihre „Datenschutzerklärung“), welche sie mit der Datenschutzbehörde mit Stellungnahme vom 24. Jänner 2019 geteilt hat, gemäß den unter Spruchpunkt 2 lit. a bis lit. f genannten Voraussetzungen - unter Berücksichtigung der Vorgaben von Art. 12 Abs. 1 und Abs. 2 DSGVO - zu ergänzen.Die Beschwerdegegnerin ist daher angehalten, ihre Informationen (ihre „Datenschutzerklärung“), welche sie mit der Datenschutzbehörde mit Stellungnahme vom 24. Jänner 2019 geteilt hat, gemäß den unter Spruchpunkt 2 Litera a, bis Litera f, genannten Voraussetzungen - unter Berücksichtigung der Vorgaben von Artikel 12, Absatz eins und Absatz 2, DSGVO - zu ergänzen. Eine Frist von vier Wochen ist angemessen, um die Anweisung entsprechend umzusetzen. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2019:DSB.D130.206.0006.DSB.2019

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.