RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum01.09.2022 Geschäftszahl2022-0.616.013 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2022-0.616.013 vo

Art. 15DSGVO per E-Mail an die Beschwerdegegnerin gerichtet zu haben.

Auf diesen habe er jedoch lediglich die Mitteilung erhalten, dass sein Account gelöscht worden sei, weil sich im Laufe des Verarbeitungsprozesses seiner Anfrage herausgestellt habe, dass er noch nicht volljährig sei. Seine Daten seien gelöscht worden, obwohl er lediglich eine Auskunft beantragt habe. Er habe keine falschen Angaben zu seinen Geburtsdaten gemacht. Dass er einen Antrag auf Auskunft gestellt habe, sei gegen ihn verwendet worden, was sicherlich nicht zweckgemäß sei. Der Beschwerdeführer hat beantragt, eine Verletzung seines Auskunftsrechts festzustellen.In seiner vom 1. August 2018 datierenden und am selben Tag per E-Mail bei der Datenschutzbehörde eingelangten Beschwerde hat der Beschwerdeführer vorgebracht, am 1. Juli 2018 einen Antrag auf Auskunft

Artikel 15, DSGVO per E-Mail an die Beschwerdegegnerin gerichtet zu haben.

Auf diesen habe er jedoch lediglich die Mitteilung erhalten, dass sein Account gelöscht worden sei, weil sich im Laufe des Verarbeitungsprozesses seiner Anfrage herausgestellt habe, dass er noch nicht volljährig sei. Seine Daten seien gelöscht worden, obwohl er lediglich eine Auskunft beantragt habe. Er habe keine falschen Angaben zu seinen Geburtsdaten gemacht. Dass er einen Antrag auf Auskunft gestellt habe, sei gegen ihn verwendet worden, was sicherlich nicht zweckgemäß sei. Der Beschwerdeführer hat beantragt, eine Verletzung seines Auskunftsrechts festzustellen. 2. Die Datenschutzbehörde hat, da die vollständige Antwort der Beschwerdegegnerin der Beschwerde nicht angeschlossen war, einen Mangelbehebungsauftrag erlassen (Verfahrensanordnung vom 13. August 2018, GZ: DSB-D123.284/0001-DSB/2018). Nachdem dieser nicht vollständig erfüllt worden war, ist die Beschwerde zunächst mit Bescheid vom 25. Oktober 2018, GZ: DSB-D123.284/0006-DSB/2018,

§ 13Abs.

3 AVG zurückgewiesen worden.Die Datenschutzbehörde hat, da die vollständige Antwort der Beschwerdegegnerin der Beschwerde nicht angeschlossen war, einen Mangelbehebungsauftrag erlassen (Verfahrensanordnung vom

1. August 2018, GZ: DSB-D123.284/0001-DSB/2018). Nachdem dieser nicht vollständig erfüllt worden war, ist die Beschwerde zunächst mit Bescheid vom
2. Oktober 2018, GZ: DSB-D123.284/0006-DSB/2018,

Paragraph 13, Absatz 3, AVG zurückgewiesen worden.

1. Dieser Bescheid ist mit Erkenntnis des Bundesverwaltungsgerichts vom
2. Mai 2022, GZ: W256 2228170-1/5E, als rechtswidrig aufgehoben worden, da der Mangelbehebungsauftrag nicht zu Handen der gesetzlichen Vertreter (Eltern) des Beschwerdeführers zugestellt worden und daher unwirksam war. Daher ist der Mangelbehebungsauftrag - der Beschwerdeführer ist inzwischen volljährig - wiederholt worden (Verfahrensanordnung vom
3. Juni 2022, GZ: 2022-0.407.513). Mit Schreiben vom
4. Juni 2022 hat der Beschwerdeführer die fehlenden Dokumente vorgelegt.
5. Daraufhin ist das Ermittlungsverfahren eingeleitet worden. Die Beschwerdegegnerin hat, rechtsfreundlich vertreten, nach entsprechender Aufforderung durch die Datenschutzbehörde (Verfahrensanordnung vom
6. Juni 2022, GZ: 2022-0.422.857) in ihrer Stellungnahme vom
7. Juli 2022 Folgendes vorgebracht: Die Beschwerdegegnerin habe den Beschwerdeführer nach Einlangen seines Antrags auf Auskunft zu einem Identitätsnachweis aufgefordert. An
8. August 2018 sei die verlangte datenschutzrechtliche Auskunft dann auch in vollem Umfang erteilt worden. Bei Prüfung des Anbringens sei aber erstmals aufgefallen, dass sich der Beschwerdeführer als Minderjähriger (mit 14 Jahren) für das Kundenbindungsprogramm „N***Card Programm“ registriert habe. Dies sei nach den Geschäftsbedingungen der Beschwerdegegnerin eigentlich nicht zulässig gewesen. Als Konsequenz habe man ihm die Mitgliedschaft aufgekündigt und ihn vom „N***Card Programm“ wieder abgemeldet. Dass dies als Reaktion auf den Antrag auf Auskunft geschehen sei, entspreche nicht den Tatsachen. Weder durch die Beendigung seiner Mitgliedschaft im „N***Card Programm“, noch durch die erfolgte Auskunftserteilung sei das Auskunftsrecht des Beschwerdeführers

Art. 15DSGVO verletzt worden.Daraufhin ist das Ermittlungsverfahren eingeleitet worden.

Die Beschwerdegegnerin hat, rechtsfreundlich vertreten, nach entsprechender Aufforderung durch die Datenschutzbehörde (Verfahrensanordnung vom

1. Juni 2022, GZ: 2022-0.422.857) in ihrer Stellungnahme vom
2. Juli 2022 Folgendes vorgebracht: Die Beschwerdegegnerin habe den Beschwerdeführer nach Einlangen seines Antrags auf Auskunft zu einem Identitätsnachweis aufgefordert. An
3. August 2018 sei die verlangte datenschutzrechtliche Auskunft dann auch in vollem Umfang erteilt worden. Bei Prüfung des Anbringens sei aber erstmals aufgefallen, dass sich der Beschwerdeführer als Minderjähriger (mit 14 Jahren) für das Kundenbindungsprogramm „N***Card Programm“ registriert habe. Dies sei nach den Geschäftsbedingungen der Beschwerdegegnerin eigentlich nicht zulässig gewesen. Als Konsequenz habe man ihm die Mitgliedschaft aufgekündigt und ihn vom „N***Card Programm“ wieder abgemeldet. Dass dies als Reaktion auf den Antrag auf Auskunft geschehen sei, entspreche nicht den Tatsachen. Weder durch die Beendigung seiner Mitgliedschaft im „N***Card Programm“, noch durch die erfolgte Auskunftserteilung sei das Auskunftsrecht des Beschwerdeführers

Artikel 15, DSGVO verletzt worden.

1. Der Beschwerdeführer, dem zu diesen Ergebnissen des Ermittlungsverfahrens Parteiengehör eingeräumt worden ist (Verfahrensanordnung vom
2. Juli 2022, GZ: 2022-0.485.835), hat keine weitere Stellungnahme abgegeben. B. Beschwerdegegenstand
3. Aufgrund des Vorbringens der Parteien ergibt sich, dass Verfahrensgegenstand die Frage ist, ob die Beschwerdegegnerin dem Beschwerdeführer auf dessen Antrag vom
4. Juli 2018 hin eine gesetzmäßige datenschutzrechtliche Auskunft erteilt hat, und ob durch eine eventuell erfolgte Löschung seiner Daten im Zusammenhang mit diesem Auskunftsantrag eine Verletzung im Auskunftsrecht eingetreten ist. C. Sachverhaltsfeststellungen
5. Der Beschwerdeführer ist am
6. März 2003 geboren worden und hat daher am
7. März 2018 sein fünfzehntes Lebensjahr vollendet.
8. Beweiswürdigung: Das Geburtsdatum des Beschwerdeführers ist bei der Datenschutzbehörde aus mehreren von ihm initiierten Beschwerdeverfahren amtsbekannt und aktenkundig.
9. Am
10. Februar 2018 hat sich der Beschwerdeführer für das Kundenbindungsprogramm der Beschwerdegegnerin mit der Bezeichnung „N***Card Programm“ als Mitglied registriert. Die Beschwerdegegnerin begann aus diesem Anlass und mit dem Zweck der Verwaltung seiner Mitgliedschaft mit der Verarbeitung personenbezogener Daten des Beschwerdeführers.
11. Beweiswürdigung: Diese Feststellungen stützen sich auf die glaubwürdigen (und nicht bestrittenen) Angaben der Beschwerdegegnerin (Stellungnahme vom
12. Juli 2022, einliegend als Eingangsstück in GZ: 2022-0.485.835).
13. Am
14. Juli 2018 richtete der Beschwerdeführer per E-Mail ein Schreiben mit folgendem Inhalt an die Beschwerdegegnerin: „Von: Bernhard A*** <bernhard.a***@h***com.at> An: service@n***.at Cc: Gesendet: 01.07.18 21:**:** Betreff: Antrag auf Auskunft

DSGVO Sehr geehrte Damen und Herren! Hiermit stelle ich

Art.15

Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, DSGVO) einen Antrag auf Auskunft über meine personenbezogenen Daten. Bitte informieren Sie mich über folgende Punkte:Hiermit stelle ich

Artikel 15

, Datenschutz-Grundverordnung (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, DSGVO) einen Antrag auf Auskunft über meine personenbezogenen Daten. Bitte informieren Sie mich über folgende Punkte: Art.15 DSGVO Auskunftsrecht der betroffenen PersonArtikel 15, DSGVO Auskunftsrecht der betroffenen Person

Artikel 22

Absätze 1 und 4 DSGVO und —zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Artikel 46DSGVO im Zusammenhang mit der Übermittlung unterrichtet zu werden.

Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Ich habe den Antrag elektronisch gestellt und wünsche auf elektronischem Weg zu unterrichtet zu werden. Sie sind verpflichtet, mich innerhalb eines Monats nach Eingang des Antrags zu informieren, welche Maßnahmen Sie getroffen haben. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Sie haben mich innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung, zu informieren. Wenn Sie der Meinung sind, dass Sie auf den Antrag nicht eingehen müssen, so haben Sie mich spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe dafür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen zu informieren. Mit freundlichen Grüßen Bernhard A***“ 12. Die Beschwerdegegnerin reagiert darauf am 2. Juli, ebenfalls per E-Mail, mit einem Schreiben mit folgendem Inhalt: „Von: service@n***.at <service@n***.at> Gesendet: Montag, 2. Juli 2018 08:** An: bernhard.a***@h***com.at Betreff: Antrag auf Auskunft

DSGVO Sehr geehrter Herr A***, vielen Dank für Ihre Mitteilung. Nach Prüfung Ihrer Daten teile ich Ihnen mit, dass ich Ihnen keinerlei Auskunft geben darf. Ihr Geburtsdatum besagt, dass Sie noch nicht volljährig sind und somit besteht unsererseits keine Informationspflicht. Sollten Sie volljährig sein, senden Sie uns bitte eine Kopie von Ihrem Ausweis zur Identifizierung. Vielen Dank für Ihre Mühe. Mit freundlichen Grüßen Franziska B*** N*** Kundenservice“ 13. Der Beschwerdeführer antwortete darauf am 2. Juli 2018 per E-Mail wie folgt: „Von: bernhard.a***@h***com.at An: service@n***.at Cc: Gesendet: 02.07.18 23:**:** Betreff: AW: Antrag auf Auskunft

DSGVO Sehr geehrte Damen und Herren! Ich beziehe mich auf Ihre Nachricht vom 2.Juli

1. Das österreichische Datenschutzgesetz (DSG) i.d.F. des Datenschutz-Anpassungsgesetzes 2018 und des Datenschutz-Deregulierungs-Gesetzes 2018 setzt die Altersgrenze für die Rechtmäßigkeit der Einwilligung eines Kindes bei einem Angebot von Diensten einer Informationsgesellschaft mit dem vollendeten
2. Lebensjahr fest.Das österreichische Datenschutzgesetz (DSG) in der Fassung des Datenschutz-Anpassungsgesetzes 2018 und des Datenschutz-Deregulierungs-Gesetzes 2018 setzt die Altersgrenze für die Rechtmäßigkeit der Einwilligung eines Kindes bei einem Angebot von Diensten einer Informationsgesellschaft mit dem vollendeten
3. Lebensjahr fest. Ich bin daher der Meinung, dass Sie mir die Auskunft erteilen dürfen und ersuche Sie Ihrer Informationspflicht

§ 44Datenschutzgesetz und Art.15 Datenschutz-Grundverordnung nachzukommen.

Dazu sende ich Ihnen im Anhang eine Kopie meines Reisepasses, um meine Identität nachzuweisen. Andersfalls sehe ich mich gezwungen Beschwerde

Art. 77

Datenschutz-Grundverordnung bei der zuständigen Behörde zu erheben.Ich bin daher der Meinung, dass Sie mir die Auskunft erteilen dürfen und ersuche Sie Ihrer Informationspflicht

Paragraph 44, Datenschutzgesetz und Artikel 15, Datenschutz-Grundverordnung nachzukommen. Dazu sende ich Ihnen im Anhang eine Kopie meines Reisepasses, um meine Identität nachzuweisen. Andersfalls sehe ich mich gezwungen Beschwerde

Artikel 77, Datenschutz-Grundverordnung bei der zuständigen Behörde zu erheben.

Mit freundlichen Grüßen Bernhard A***“

1. Die Beschwerdegegnerin antwortete darauf am
2. Juli 2018 per E-Mail wie folgt: „Von: SERVICE@N***.AT <SERVICE@N***.AT> Gesendet: Dienstag,
3. Juli 2018 08:** An: bernhard.a***@h***com.at Betreff: [Ticket# *6*4*23**1] AW: Antrag auf Auskunft

DSGVO Sehr geehrter Herr A***, bitte entschuldigen Sie, dass Ihre erste Anfrage nicht mit der notwendigen Aufmerksamkeit bearbeitet wurde. Damit ich Ihre Anfrage bearbeiten kann, senden Sie mir das angehängte Formular ausgefüllt und unterschrieben an die darauf angegebene Adresse zurück. Nachdem das ausgefüllte Schreiben eingegangen ist, werde ich die weitere Bearbeitung vornehmen. Ich bedanke mich für Ihre Unterstützung und bin bei weiteren Fragen gerne für Sie da. Mit freundlichen Grüßen Robert C*** N*** Kundenservice“

1. Nach Übermittlung der von der Beschwerdegegnerin verlangten Unterlagen erhielt der Beschwerdeführer am
2. August 2018 von der Beschwerdegegnerin per E-Mail ein Schreiben mit folgendem Inhalt (E-Mail-Text und Anhänge): „Von: SERVICE@N***.AT Gesendet: Mittwoch,
3. August 2018 10:** An: bernhard.a***@h***com.at Betreff: [Ticket# *6*4*23**1] AW: Antrag auf Auskunft

DSGVO Anlagen: Auskunft

EU DSGVO - Bernhard A***.pdf; Datenschutzabfrage_Daten_Bernhard A***.pdf; Retail Kundenstammdaten.pdf Hallo Herr A***, meine Kollegen und ich haben die Daten gesammelt und ich habe die Auskunft erstellt. Die Auskunft und die dazugehörigen Unterlagen befinden sich als PDF Dateien im Anhang. Da wir nun wissen, dass Sie noch keine 18 Jahre alt sind, habe ich Sie vom N***Card Programm abgemeldet und die Mitgliedschaft gekündigt.

unserer Teilnahmebedingungen wird die Volljährigkeit vorausgesetzt. Bitte haben Sie Verständnis dafür, dass Sie produktionsbedingt in den kommenden 6 Wochen noch Kataloge erhalten können. Bei weiteren Fragen bin ich gerne für Sie da. Mit freundlichen Grüßen Robert C*** N*** Kundenservice“ [Anmerkung Bearbeiter/in: Das an dieser Stelle als Faksimile (in Form mehrerer PDF-Dateien) wiedergegebene umfassende Auskunftsschreiben der Beschwerdegegnerin wäre nur mit großem Aufwand zu pseudonymisieren gewesen. Da es überdies inhaltlich vom Beschwerdeführer nicht beanstandet wurde, wurde es entfernt.]

1. Beweiswürdigung: Diese Feststellungen stützen sich auf die vom Beschwerdeführer vorgelegten Dokumente (Beilagen zur Beschwerde vom
2. August 2018, Eingangsstück in GZ: DSB-D123.284/0001-DSB/2018, und Beilagen zur Beschwerdeergänzung vom
3. Juni 2022, Eingangsstück in GZ: 2022-0.422.857).
4. Nach der erfolgten Auskunftsverteilung sind die für Zwecke des Kundenbindungsprogramms „N***Card Programm“ verarbeiteten Daten des Beschwerdeführers gelöscht worden.
5. Beweiswürdigung: wie oben, Rz
6. Dass eine Löschung erfolgt ist, entspricht dem Beschwerdevorbringen (siehe oben Rz 1). D. In rechtlicher Hinsicht folgt daraus: D.
7. Summe:
8. Die Beschwerde hat sich als nicht berechtigt erwiesen, da weder aus Art. 15 (Auskunftsrecht), noch aus Art. 17 (Recht auf Löschung) ein Recht auf Nicht-Löschung von Daten bzw. Speicherung von Daten abgeleitet werden kann, und der Verarbeitungszweck durch die Beendigung der Mitgliedschaft des Beschwerdeführers im Kundenbindungsprogramm „N***Card Programm“ weggefallen ist. Inhalt und Umfang der erteilten Auskunft entsprechen dem Gesetz und sind auch inhaltlich nicht beanstandet worden. Insofern unterscheidet sich der vorliegende Fall von jenem, der dem Bescheid vom
9. September 2021, GZ: 2021-0.664.183, zugrunde lag.Die Beschwerde hat sich als nicht berechtigt erwiesen, da weder aus Artikel 15, (Auskunftsrecht), noch aus Artikel 17, (Recht auf Löschung) ein Recht auf Nicht-Löschung von Daten bzw. Speicherung von Daten abgeleitet werden kann, und der Verarbeitungszweck durch die Beendigung der Mitgliedschaft des Beschwerdeführers im Kundenbindungsprogramm „N***Card Programm“ weggefallen ist. Inhalt und Umfang der erteilten Auskunft entsprechen dem Gesetz und sind auch inhaltlich nicht beanstandet worden. Insofern unterscheidet sich der vorliegende Fall von jenem, der dem Bescheid vom
10. September 2021, GZ: 2021-0.664.183, zugrunde lag. D.
11. anzuwendende Rechtsvorschriften - Auskunftsrecht: 20.

Art. 15Abs.

1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

Artikel 15

, Absatz eins, DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

1. a)die Verarbeitungszwecke;
2. b)die Kategorien personenbezogener Daten, die verarbeitet werden;
3. c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
4. d)falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
5. e)das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
6. f)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
7. g)wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
8. h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

1. Das Recht auf Auskunft ist schon nach dem Wortlaut von Art. 15 Abs. 1 („Auskunft über diese“ – d.h. die vom Verantwortlichen verarbeiteten – „personenbezogenen Daten“) im Kern auf jene Daten beschränkt, die im Zeitpunkt des Einlangens des Antrags auf Auskunft tatsächlich verarbeitet werden. Aus Art. 15 DSGVO oder anderen Bestimmungen der DSGVO kann kein Recht auf Verarbeitung personenbezogener Daten abgeleitet werden.Das Recht auf Auskunft ist schon nach dem Wortlaut von Artikel 15, Absatz eins, („Auskunft über diese“ – d.h. die vom Verantwortlichen verarbeiteten – „personenbezogenen Daten“) im Kern auf jene Daten beschränkt, die im Zeitpunkt des Einlangens des Antrags auf Auskunft tatsächlich verarbeitet werden. Aus Artikel 15, DSGVO oder anderen Bestimmungen der DSGVO kann kein Recht auf Verarbeitung personenbezogener Daten abgeleitet werden.
2. Die Datenschutzbehörde hat dazu zur früheren Rechtslage (§ 26 DSG 2000) festgehalten (Unterstreichung nicht im Original):Die Datenschutzbehörde hat dazu zur früheren Rechtslage (Paragraph 26, DSG 2000) festgehalten (Unterstreichung nicht im Original):
3. In Verbindung mit dem Recht auf Erhalt einer Auskunft über eigene Daten besteht kein Recht, durch eine solche Auskunft Informationen zu oder Beweismittel für bestimmte Tatsachen zu erhalten oder einen Auftraggeber zum Eingestehen solcher Tatsachen zu zwingen. Die Grundlage jeder datenschutzrechtlichen Auskunftserteilung ist der Istzustand an gespeicherten Personendaten und verfügbaren Informationen über deren Verwendung, nicht ein wie immer gearteter Sollzustand. Selbst wenn in einem hypothetischen Fall Daten etwa nachweislich entgegen § 26 Abs. 7 DSG 2000 gelöscht worden sein sollten, besteht dennoch im Beschwerdeverfahren wegen Verletzung des Auskunftsrechts kein Recht auf technische Rekonstruktion dieser Daten oder auf eine sonstige Beweisaufnahme zur nachträglichen Feststellung ihres Inhalts (DSB, Bescheid vom 17.12.2015, GZ: DSB-D122.259/0008-DSB/2015, RIS, RS 2).In Verbindung mit dem Recht auf Erhalt einer Auskunft über eigene Daten besteht kein Recht, durch eine solche Auskunft Informationen zu oder Beweismittel für bestimmte Tatsachen zu erhalten oder einen Auftraggeber zum Eingestehen solcher Tatsachen zu zwingen. Die Grundlage jeder datenschutzrechtlichen Auskunftserteilung ist der Istzustand an gespeicherten Personendaten und verfügbaren Informationen über deren Verwendung, nicht ein wie immer gearteter Sollzustand. Selbst wenn in einem hypothetischen Fall Daten etwa nachweislich entgegen Paragraph 26, Absatz 7, DSG 2000 gelöscht worden sein sollten, besteht dennoch im Beschwerdeverfahren wegen Verletzung des Auskunftsrechts kein Recht auf technische Rekonstruktion dieser Daten oder auf eine sonstige Beweisaufnahme zur nachträglichen Feststellung ihres Inhalts (DSB, Bescheid vom 17.12.2015, GZ: DSB-D122.259/0008-DSB/2015, RIS, RS 2).
4. Diese Auslegung kann auf die geltende Rechtslage übertragen werden.
5. Anders als der frühere § 26 Abs. 7 DSG 2000 kennt die DSGVO auch keine ausdrücklich angeordnete oder gar strafbewehrte „Löschungssperre“ während eines laufenden auskunftsrechtlichen Verfahrens. Eine Löschung von Daten nach Eingang eines Auskunftsantrags aber vor der Antwort auf den Auskunftsantrag entspricht jedoch nicht dem Grundsatz der Verarbeitung nach Treu und Glauben und stellt damit verbunden eine Verletzung des Rechts auf Auskunft der betroffenen Person dar (Art 15 iVm Art 5 Abs. 1 lit. a DSGVO) (DSB, Bescheid vom 27.6.2019, GZ: DSB-D124.071/0005-DSB/2019, RIS).Anders als der frühere Paragraph 26, Absatz 7, DSG 2000 kennt die DSGVO auch keine ausdrücklich angeordnete oder gar strafbewehrte „Löschungssperre“ während eines laufenden auskunftsrechtlichen Verfahrens. Eine Löschung von Daten nach Eingang eines Auskunftsantrags aber vor der Antwort auf den Auskunftsantrag entspricht jedoch nicht dem Grundsatz der Verarbeitung nach Treu und Glauben und stellt damit verbunden eine Verletzung des Rechts auf Auskunft der betroffenen Person dar (Artikel 15, in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO) (DSB, Bescheid vom 27.6.2019, GZ: DSB-D124.071/0005-DSB/2019, RIS). D.
6. Wegfall der Rechtsgrundlage der Verarbeitung
7. Im Beschwerdeverfahren ist festgestellt worden, dass die Beschwerdegegnerin die Daten des Beschwerdeführers nach Auskunftserteilung – also nicht entgegen Treu und Glauben – gelöscht hat, weil sie der Ansicht war, dass die Registrierung des Beschwerdeführers für ein Kundenbindungsprogramm wegen der Minderjährigkeit des Beschwerdeführers nicht wirksam erfolgt war, und damit ein rechtmäßiger Zweck der Datenverarbeitung nicht gegeben war. Dieser Ansicht kann angesichts von Art. 5 Abs. 1 lit. a und b und der in Erwägungsgrund 38 zum Ausdruck gebrachten Pflicht des Verantwortlichen zur besonderen Vorsicht und Zurückhaltung bei der Verarbeitung der Daten Minderjähriger nicht entgegengetreten werden.Im Beschwerdeverfahren ist festgestellt worden, dass die Beschwerdegegnerin die Daten des Beschwerdeführers nach Auskunftserteilung – also nicht entgegen Treu und Glauben – gelöscht hat, weil sie der Ansicht war, dass die Registrierung des Beschwerdeführers für ein Kundenbindungsprogramm wegen der Minderjährigkeit des Beschwerdeführers nicht wirksam erfolgt war, und damit ein rechtmäßiger Zweck der Datenverarbeitung nicht gegeben war. Dieser Ansicht kann angesichts von Artikel 5, Absatz eins, Litera a, und b und der in Erwägungsgrund 38 zum Ausdruck gebrachten Pflicht des Verantwortlichen zur besonderen Vorsicht und Zurückhaltung bei der Verarbeitung der Daten Minderjähriger nicht entgegengetreten werden.
8. Wenn der Beschwerdeführer dagegen vorbringt,

Art. 8Abs. 1 DSGVO i

Vm § 4 Abs. 4 DSG sei ihm mit Vollendung seines vierzehnten Lebensjahrs das Recht eingeräumt gewesen, in die Verarbeitung seiner Daten wirksam einzuwilligen, so ist ihm zu erwidern, dass dies nur für den Rechtsakt der Einwilligung in eine Datenverarbeitung

Art. 4Z 11 und Art.

7 DSGVO gilt, und diese Wirksamkeit überdies auf die Nutzung von „Diensten der Informationsgesellschaft“ beschränkt ist.

Art. 1Abs.

1 lit. b Richtlinie (EU) 2015/1535, auf den Art. 4 Z 25 DSGVO verweist, ist dies „jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“. Wenn der Beschwerdeführer dagegen vorbringt,

Artikel 8

, Absatz eins, DSGVO in Verbindung mit Paragraph 4, Absatz 4, DSG sei ihm mit Vollendung seines vierzehnten Lebensjahrs das Recht eingeräumt gewesen, in die Verarbeitung seiner Daten wirksam einzuwilligen, so ist ihm zu erwidern, dass dies nur für den Rechtsakt der Einwilligung in eine Datenverarbeitung

Artikel 4

, Ziffer 11 und Artikel 7, DSGVO gilt, und diese Wirksamkeit überdies auf die Nutzung von „Diensten der Informationsgesellschaft“ beschränkt ist.

Artikel eins, Absatz eins, Litera b, Richtlinie (EU) 2015/1535, auf den Artikel 4, Ziffer 25, DSGVO verweist, ist dies „jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“.

1. Art. 8 Abs. 3 DSGVO stellt überdies klar, dass die Frage der Gültigkeit der Einwilligung eines Minderjährigen keinen Einfluss auf die Frage der Gültigkeit eines vom Beschwerdeführer als Minderjähriger geschlossenen Vertrags hat.Artikel 8, Absatz 3, DSGVO stellt überdies klar, dass die Frage der Gültigkeit der Einwilligung eines Minderjährigen keinen Einfluss auf die Frage der Gültigkeit eines vom Beschwerdeführer als Minderjähriger geschlossenen Vertrags hat.
2. Die Beschwerdegegnerin hat weiters vorgebracht, dass sie in ihren Geschäftsbedingungen das Rechtsgeschäfts eines Beitritts zum Kundenbindungsprogramm „N***Card Programm“ volljährigen Personen vorbehält, und sie daher das entsprechende Vertragsverhältnis beendet habe (siehe oben Rz 15). Damit ist, unabhängig von der Frage, ob es sich bei dem Kundenbindungsprogramm „N***Card Programm“ um einen Dienst der Informationsgesellschaft handelt, jedenfalls die Grundlage der Datenverarbeitung im Sinne des rechtmäßigen Zwecks (Art. 5 Abs. 1 lit. a und b DSGVO) weggefallen, und die Beschwerdegegnerin war

Art. 17Abs.

1 lit. a DSGVO auch ohne ein entsprechendes Verlangen verpflichtet, die Daten des Beschwerdeführers zu löschen. Ein rechtmäßiger Zweck für die Verarbeitung muss stets gegeben sein, selbst wenn die Einwilligung, isoliert und losgelöst von ihrem Kontext betrachtet, wirksam sein sollte.Die Beschwerdegegnerin hat weiters vorgebracht, dass sie in ihren Geschäftsbedingungen das Rechtsgeschäfts eines Beitritts zum Kundenbindungsprogramm „N***Card Programm“ volljährigen Personen vorbehält, und sie daher das entsprechende Vertragsverhältnis beendet habe (siehe oben Rz 15). Damit ist, unabhängig von der Frage, ob es sich bei dem Kundenbindungsprogramm „N***Card Programm“ um einen Dienst der Informationsgesellschaft handelt, jedenfalls die Grundlage der Datenverarbeitung im Sinne des rechtmäßigen Zwecks (Artikel 5, Absatz eins, Litera a, und b DSGVO) weggefallen, und die Beschwerdegegnerin war

Artikel 17

, Absatz eins, Litera a, DSGVO auch ohne ein entsprechendes Verlangen verpflichtet, die Daten des Beschwerdeführers zu löschen. Ein rechtmäßiger Zweck für die Verarbeitung muss stets gegeben sein, selbst wenn die Einwilligung, isoliert und losgelöst von ihrem Kontext betrachtet, wirksam sein sollte.

1. Die Prüfung der Frage, ob die Beschwerdegegnerin berechtigt war, dieses Vertragsverhältnis zu beenden (und dem Beschwerdeführer eventuell auch damit verbundene materielle Vorteile wie besondere Kundenrabatte oder gesammelte Bonuspunkte zu entziehen), fällt nicht in die Zuständigkeit der Datenschutzbehörde. D.
2. Schlussfolgerungen:
3. Die Beschwerdegegnerin hat dem Beschwerdeführer gesetzmäßig über die zu seiner Person verarbeiteten Daten Auskunft erteilt. Die gleichzeitig erteilte Information, dass nun eine Löschung dieser Daten erfolgen werde, stellt keine Verletzung des Auskunftsrechts des Beschwerdeführers

Art. 15

DSGVO dar.Die Beschwerdegegnerin hat dem Beschwerdeführer gesetzmäßig über die zu seiner Person verarbeiteten Daten Auskunft erteilt. Die gleichzeitig erteilte Information, dass nun eine Löschung dieser Daten erfolgen werde, stellt keine Verletzung des Auskunftsrechts des Beschwerdeführers

Artikel 15, DSGVO dar.

32. Die Beschwerde war daher

§ 24Abs.

5 dritter Satz DSG als nicht berechtigt abzuweisen.Die Beschwerde war daher

Paragraph 24, Absatz 5, dritter Satz DSG als nicht berechtigt abzuweisen. European Case Law IdentifierECLI:AT:DSB:2022:2022.0.616.013