Datenschutzbehörde

GZ: DSB-D122.259/0008-DSB/2015 vom 17.12.2015

[Anmerkung Bearbeiter: Text leicht gekürzt, Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die zur gemeinsamen Verhandlung und Entscheidung verbundenen Datenschutzbeschwerden des Mag. Walter V*** (Beschwerdeführer) aus **** J***, vertreten durch Mag. Richard N***, Rechtsanwalt in **** J***, vom 8. Oktober 2014 (hinsichtlich der Drittbeschwerdegegnerin, Beschwerdesache Zl. DSB-D122.246, Folgeverfahren zur gemäß § 31 Abs. 8 DSG 2000 eingestellten Beschwerdesache Zl. DSB-D122.152) bzw. 31. Oktober 2014 (hinsichtlich der Erst- und Zweitbeschwerdegegnerin, Beschwerdesache Zl. DSB-D122.259, Folgeverfahren zur gemäß § 31 Abs. 8 DSG 2000 eingestellten Beschwerdesache Zl. DSB-D122.183) gegen 1. die Evangelische Kirche A.B. (Erstbeschwerdegegnerin) und 2. die Evangelische Kirche A. und H.B. (Zweitbeschwerdegegnerin), Erst- und Zweitbeschwerdegegnerin vertreten durch Dr. Herbert O***, Rechtsanwalt in **** Ä***, sowie 3. Dr. Theresa I*** (Drittbeschwerdegegnerin) aus **** J***, die Drittbeschwerdegegnerin vertreten durch die U*** Rechtsanwälte Ges.m.b.H. in **** J***, wegen Verletzung im Recht auf datenschutzrechtliche Auskunft in Folge inhaltlich mangelhafter Beantwortung der Auskunftsverlangen vom 27. März 2014 (an die Drittbeschwerdegegnerin) bzw. 6. Mai 2014 (an die Erst- und Zweitbeschwerdegegnerin) durch die Beschwerdegegner wie folgt:Die Datenschutzbehörde entscheidet über die zur gemeinsamen Verhandlung und Entscheidung verbundenen Datenschutzbeschwerden des Mag. Walter V*** (Beschwerdeführer) aus **** J***, vertreten durch Mag. Richard N***, Rechtsanwalt in **** J***, vom 8. Oktober 2014 (hinsichtlich der Drittbeschwerdegegnerin, Beschwerdesache Zl. DSB-D122.246, Folgeverfahren zur gemäß Paragraph 31, Absatz 8, DSG 2000 eingestellten Beschwerdesache Zl. DSB-D122.152) bzw. 31. Oktober 2014 (hinsichtlich der Erst- und Zweitbeschwerdegegnerin, Beschwerdesache Zl. DSB-D122.259, Folgeverfahren zur gemäß Paragraph 31, Absatz 8, DSG 2000 eingestellten Beschwerdesache Zl. DSB-D122.183) gegen 1. die Evangelische Kirche A.B. (Erstbeschwerdegegnerin) und 2. die Evangelische Kirche A. und H.B. (Zweitbeschwerdegegnerin), Erst- und Zweitbeschwerdegegnerin vertreten durch Dr. Herbert O***, Rechtsanwalt in **** Ä***, sowie 3. Dr. Theresa I*** (Drittbeschwerdegegnerin) aus **** J***, die Drittbeschwerdegegnerin vertreten durch die U*** Rechtsanwälte Ges.m.b.H. in **** J***, wegen Verletzung im Recht auf datenschutzrechtliche Auskunft in Folge inhaltlich mangelhafter Beantwortung der Auskunftsverlangen vom 27. März 2014 (an die Drittbeschwerdegegnerin) bzw. 6. Mai 2014 (an die Erst- und Zweitbeschwerdegegnerin) durch die Beschwerdegegner wie folgt:

    Die Beschwerden werden abgewiesen.

Rechtsgrundlagen: § 1 Abs. 3 Z 1, § 4 Z 4, § 17 Abs. 1, § 26 Abs. 1, 2 und 4 und § 31 Abs. 1, 7 und 8 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF. : Paragraph eins, Absatz 3, Ziffer eins,, Paragraph 4, Ziffer 4,, Paragraph 17, Absatz eins,, Paragraph 26, Absatz eins,, 2 und 4 und Paragraph 31, Absatz eins,, 7 und 8 des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1.  Der Beschwerdeführer machte in chronologischer Ordnung zunächst am 23. Mai 2014 bei der Datenschutzbehörde (Eingangsdatum: 26. Mai 2014) eine Beschwerde gemäß § 31 Abs. 1 DSG 2000 gegen die Drittbeschwerdegegnerin anhängig. Darin behauptete er, die Drittbeschwerdegegnerin habe auf sein Auskunftsverlangen vom 27. März 2014 nicht geantwortet. Dieses Verfahren wurde zunächst unter der Grundzahl DSB-D122.152 geführt. machte in chronologischer Ordnung zunächst am 23. Mai 2014 bei der Datenschutzbehörde (Eingangsdatum: 26. Mai 2014) eine Beschwerde gemäß Paragraph 31, Absatz eins, DSG 2000 gegen die Drittbeschwerdegegnerin anhängig. Darin behauptete er, die Drittbeschwerdegegnerin habe auf sein Auskunftsverlangen vom 27. März 2014 nicht geantwortet. Dieses Verfahren wurde zunächst unter der Grundzahl DSB-D122.152 geführt.

2.  Die Drittbeschwerdegegnerin bestritt, nach Aufforderung durch die Datenschutzbehörde, in ihrer Stellungnahme vom 18. Juni 2014 zunächst die Zulässigkeit der Beschwerde, da sie keine datenschutzrechtliche Auftraggeberin sondern Angestellte der Evangelischen Kirche sei, tätig im Bereich der Krankenhaus- und Geriatrieseelsorge. Mit Schreiben vom 31. Juli und 4. August 2014 teilte die Drittbeschwerdegegnerin dem Beschwerdeführer bzw. der Datenschutzbehörde mit, keine Daten des Beschwerdeführers, insbesondere keine Telefonnummer und keine E-Mail-Adresse, mehr zu speichern. Sie habe im Jänner 2014 den Kontakt zum Beschwerdeführer beendet, da sie sich von seinen E-Mails und Anrufen belästigt gefühlt habe und sich nicht von ihm in der Auseinandersetzung mit der Pflegeeinrichtung [...] instrumentalisieren lassen wollte.

3.  Der Beschwerdeführer replizierte darauf in seiner Stellungnahme vom 1. September 2014 unter anderem seinerseits mit dem Vorwurf der Verleumdung gegen die Drittbeschwerdegegnerin (die Datenschutzbehörde sah keinen Anlass zu einer Weiterleitung dieser Vorwürfe an die Staatsanwaltschaft). Die Vorwürfe des „Stalkings“ gegen ihn seien unbegründet. Die Drittbeschwerdegegnerin weigere sich, ihm gegenüber offenzulegen, wen sie beim Wiener Krankenanstaltenverbund (im Folgenden auch kurz. KAV) darüber informiert habe, dass er am evangelischen Gottesdienst teilgenommen habe. Der Beschwerdeführer beantragte, das Verfahren bis zum Abschluss der einzuleitenden Ermittlungen der Staatsanwaltschaft zu unterbrechen bzw. auszusetzen. Am 2. September 2014, also nur einen Tag später, verfasste der Beschwerdeführer eine weitere Stellungnahme, in der er bestritt, dass die Drittbeschwerdegegnerin seine Daten gelöscht habe.

4.  Mit Schreiben vom 25. September 2014, GZ: DSB-D122.152/0008-DSB/2014, gewährte die Datenschutzbehörde dem Beschwerdeführer unter Bezugnahme auf die Schreiben der Drittbeschwerdegegnerin vom 31. Juli und 4. August 2014 dem Beschwerdeführer im Hinblick auf die erteilte Negativauskunft Parteiengehör gemäß § 31 Abs. 8 DSG 2000. Nachdem der dem Beschwerdeführer unter Bezugnahme auf die Schreiben der Drittbeschwerdegegnerin vom 31. Juli und 4. August 2014 dem Beschwerdeführer im Hinblick auf die erteilte Negativauskunft Parteiengehör gemäß Paragraph 31, Absatz 8, DSG 2000. Nachdem der Beschwerdeführer daraufhin in einer Stellungnahme vom 8. Oktober 2014 neuerlich die Löschung seiner Daten durch die Drittbeschwerdegegnerin bestritt, hat die Datenschutzbehörde mit Mitteilung vom 23. Oktober 2014, GZ: DSB-D122.152/0008-DSB/2014, das Verfahren Zl. DSB-D122.152 durch Einstellung wegen Änderung des Gegenstands der Sache beendet.

5.  Am 3. Juli 2014 machte der Beschwerdeführer bei der Datenschutzbehörde (Eingangsdatum: 7. Juli 2014) eine Beschwerde gemäß § 31 Abs. 1 DSG 2000 gegen die bei der Datenschutzbehörde (Eingangsdatum: 7. Juli 2014) eine Beschwerde gemäß Paragraph 31, Absatz eins, DSG 2000 gegen die „Evangelische Kirche A.B., Evangelische Superintendentur A.B. Wien“ anhängig. Darin behauptete er, die Erstbeschwerdegegnerin habe auf sein Auskunftsverlangen vom 6. Mai 2014 nicht geantwortet. Dieses Verfahren wurde zunächst unter der Grundzahl DSB-D122.183 geführt.

6.  Die Datenschutzbehörde hielt nach Einsichtnahme in das von ihr geführte Datenverarbeitungsregister (DVR) dem Beschwerdeführer zunächst vor, dass nur die Zweitbeschwerdegegnerin (Evangelische Kirche A. und H.B.) als datenschutzrechtliche Auftraggeberin (DVR: 0418056) im DVR eingetragen sei.

7.  Der Beschwerdeführer brachte daraufhin vor, er sei Mitglied der Erstbeschwerdegegnerin, die daher seine Daten verarbeite. Sein Auskunftsverlangen vom 6. Mai 2014 sei aber jedenfalls auch der Zweitbeschwerdegegnerin (per E-Mail an die Adresse office@evang.at) zugestellt worden. Er dehnte daher, unter ausdrücklicher Aufrechterhaltung des Standpunkts, dass die Erstbeschwerdegegnerin die verantwortliche und ihm zur Auskunft verpflichtete Auftraggeberin sei, die Beschwerde auch auf die Zweitbeschwerdegegnerin aus.

8.  Die Datenschutzbehörde forderte daraufhin am 28. Juli 2014 beide Beschwerdegegnerinnen zur Stellungnahme auf. Mit Schreiben vom 3. September 2014 teilte die Zweitbeschwerdegegnerin (als „Evangelische Kirche in Österreich, Oberkirchenrat A. und H.B.“) dem Beschwerdeführer mit, seine Daten würden durch die Evangelische Pfarrgemeinde A.B. N*** verarbeitet, die eine entsprechende Auskunft erteilen werde, die Zweitbeschwerdegegnerin sei über seine Daten nicht verfügungsberechtigt. Dieses Schreiben wurde in Kopie per E-Mail auch der Datenschutzbehörde übermittelt. Von der Erstbeschwerdegegnerin langte zunächst keine Äußerung ein.

9.  Die Datenschutzbehörde hielt daraufhin mit Schreiben vom 26. September 2014, GZ: DSB-D122.183/0006-DSB/2014, der Zweitbeschwerdegegnerin vor, die Eintragung von prima facie drei einschlägigen Datenanwendungen im DVR durch die Zweitbeschwerdegegnerin bei gleichzeitigem Fehlen von Meldungen der Erstbeschwerdegegnerin und der Evangelische Pfarrgemeinde A.B. N*** deute darauf hin, dass die Zweitbeschwerdegegnerin über entsprechende Daten als Auftraggeberin gemäß § 4 Z 4 DSG 2000 verfügungsberechtigt sei. Weiters ersuchte die Datenschutzbehörde um Weiterleitung der von der Evangelischen Pfarrgemeinde A.B. N*** erteilten Auskunft. hielt daraufhin mit Schreiben vom 26. September 2014, GZ: DSB-D122.183/0006-DSB/2014, der Zweitbeschwerdegegnerin vor, die Eintragung von prima facie drei einschlägigen Datenanwendungen im DVR durch die Zweitbeschwerdegegnerin bei gleichzeitigem Fehlen von Meldungen der Erstbeschwerdegegnerin und der Evangelische Pfarrgemeinde A.B. N*** deute darauf hin, dass die Zweitbeschwerdegegnerin über entsprechende Daten als Auftraggeberin gemäß Paragraph 4, Ziffer 4, DSG 2000 verfügungsberechtigt sei. Weiters ersuchte die Datenschutzbehörde um Weiterleitung der von der Evangelischen Pfarrgemeinde A.B. N*** erteilten Auskunft.

10. Die Zweitbeschwerdegegnerin legte daraufhin mit Stellungnahme vom 9. Oktober 2014 das Auskunftsschreiben der Evangelischen Pfarrgemeinde A.B. N*** an den Beschwerdeführer vom 4. September 2014 der Datenschutzbehörde in Kopie vor und brachte vor, die „komplexe Struktur der Evangelischen Kirche in Österreich“ mit zahlreichen selbständigen und als Körperschaften öffentlichen Rechts organisierten Einheiten (Erst- und Zweitbeschwerdegegnerin, die Evangelische Kirche H.B. sowie zahlreiche Gemeinden und Einrichtungen) bedürfe entsprechender kircheninterner Regelungen. Zwecks Schaffung eines zentralen Ansprechpartners, nicht zuletzt für Auskunftswerber, habe die Zweitbeschwerdegegnerin die Funktion des Auftraggebers im Sinne des § 4 Z 4 DSG 2000 im aus dem DVR ersichtlichen Umfang übernommen. Die Zweitbeschwerdegegnerin habe daher ihre mit zahlreichen selbständigen und als Körperschaften öffentlichen Rechts organisierten Einheiten (Erst- und Zweitbeschwerdegegnerin, die Evangelische Kirche H.B. sowie zahlreiche Gemeinden und Einrichtungen) bedürfe entsprechender kircheninterner Regelungen. Zwecks Schaffung eines zentralen Ansprechpartners, nicht zuletzt für Auskunftswerber, habe die Zweitbeschwerdegegnerin die Funktion des Auftraggebers im Sinne des Paragraph 4, Ziffer 4, DSG 2000 im aus dem DVR ersichtlichen Umfang übernommen. Die Zweitbeschwerdegegnerin habe daher ihre „bestehende Verfügungsgewalt“ über die Daten des Beschwerdeführers durch Weiterleitung des Auskunftsverlangens an die entsprechende Pfarrgemeinde, verbunden mit einem Ersuchen um direkte Beantwortung, ausgeübt.

11. Mit Schreiben vom 10. Oktober 2014, GZ: DSB-D122.183/0007-DSB/2014, gewährte die Datenschutzbehörde unter Bezugnahme auf das Auskunftsschreiben der Evangelischen Pfarrgemeinde A.B. N*** vom 4. September 2014 dem Beschwerdeführer im Hinblick auf die erteilte inhaltliche Auskunft Parteiengehör gemäß § 31 Abs. 8 DSG 2000. unter Bezugnahme auf das Auskunftsschreiben der Evangelischen Pfarrgemeinde A.B. N*** vom 4. September 2014 dem Beschwerdeführer im Hinblick auf die erteilte inhaltliche Auskunft Parteiengehör gemäß Paragraph 31, Absatz 8, DSG 2000.

12. Der Beschwerdeführer brachte darauf in einer Stellungnahme vom 31. Oktober 2014 vor, zum einen habe er von der Erstbeschwerdeführerin noch immer keine Auskunft erhalten, zum anderen sei die Auftraggeberschaft der Evangelischen Pfarrgemeinde A.B. N*** für seine Daten zweifelhaft. Die erteilte Auskunft umfasse auch keine Angaben betreffend die die durch die Drittbeschwerdeführerin verarbeiteten und übermittelten Daten zu seiner Person. Daher sei die erteilte Auskunft jedenfalls unvollständig und damit inhaltlich mangelhaft.

13. Daraufhin hat die Datenschutzbehörde mit Mitteilung vom 7. November 2014, GZ: DSB-D122.183/0009-DSB/2014, das Verfahren Zl. DSB-D122.183 durch Einstellung wegen Änderung des Gegenstands der Sache beendet.

14. Die Datenschutzbehörde eröffnete gemäß § 31 Abs. 8 4. Satz DSG 2000 sogenannte Folge- oder Fortsetzungsverfahren zu den Grundzahlen DSB-D122.246 (Drittbeschwerdegegnerin) und D122.259 (Erst- und Zweitbeschwerdegegnerin) jeweils wegen Verletzung im Recht auf Auskunft in Folge inhaltlich mangelhafter Auskunftserteilung. Mit Verfügung (Verfahrensanordnung) vom 6. Februar 2015, GZ: DSB-D122.246/0003-DSB/2014, ist das Verfahren gegen die Drittbeschwerdegegnerin gemäß § 39 Abs. 2 DSG 2000 zur gemeinsamen Verhandlung und Entscheidung mit dem Verfahren gegen die Erst- und die Zweitbeschwerdegegnerin unter der Grundzahl DSB-D122.259 verbunden worden. eröffnete gemäß Paragraph 31, Absatz 8, 4. Satz DSG 2000 sogenannte Folge- oder Fortsetzungsverfahren zu den Grundzahlen DSB-D122.246 (Drittbeschwerdegegnerin) und D122.259 (Erst- und Zweitbeschwerdegegnerin) jeweils wegen Verletzung im Recht auf Auskunft in Folge inhaltlich mangelhafter Auskunftserteilung. Mit Verfügung (Verfahrensanordnung) vom 6. Februar 2015, GZ: DSB-D122.246/0003-DSB/2014, ist das Verfahren gegen die Drittbeschwerdegegnerin gemäß Paragraph 39, Absatz 2, DSG 2000 zur gemeinsamen Verhandlung und Entscheidung mit dem Verfahren gegen die Erst- und die Zweitbeschwerdegegnerin unter der Grundzahl DSB-D122.259 verbunden worden.

15. In den Folgeverfahren brachte die Drittbeschwerdegegnerin, nunmehr rechtsfreundlich vertreten, in der Stellungnahme vom 18. November 2014 vor, Auskunftsverlangen und Beschwerde hätten sich nicht an oder gegen die Drittbeschwerdegegnerin persönlich sondern an sie als Arbeitnehmerin der Evangelischen Superintendentur Wien bzw. gegen die Evangelische Kirche gerichtet. Mangels Auftraggebereigenschaft fehle der Drittbeschwerdegegnerin die Passivlegitimation in diesem Verfahren. Die Schreiben der Drittbeschwerdegegnerin an den Beschwerdeführer könnten daher auch nicht als Negativauskunft gewertet werden sondern stellten ausschließlich klar, dass sie nicht als Auftraggeberin Daten des Beschwerdeführers verarbeite. Die Frage einer möglichen Datenverwendung durch die Drittbeschwerdegegnerin als Arbeitnehmerin der Evangelischen Kirche sei im Verfahren gegen die Erst- und Zweitbeschwerdegegnerin zu klären. Die sie betreffende Beschwerde sei jedenfalls abzuweisen.

16. Die Zweitbeschwerdegegnerin (hier zeichnend als „Evangelische Kirche in Österreich“) stellte in einer Stellungnahme vom 11. November 2014 zunächst einige Fragen der kircheninternen und staatskirchenrechtlichen Organisation klar.

17. Die Erstbeschwerdegegnerin (hier zeichnend als „Evangelische Superintendenz A.B. Wien“) gab am 2. Dezember 2014 folgende Stellungnahme ab: Sie verfüge über keine Daten betreffend den Beschwerdeführer. Es bestehe „im kirchlichen Bereich Zugriff lediglich auf die Daten im System EGON“ (ausgenommen die Einhebung des Kirchenbeitrags; diese erfolge im Auftrag der „Landeskirche“ durch die Evangelische Pfarrgemeinde A.B. N***). Datenschutzrechtlicher Auftraggeber sei ausschließlich die Landeskirche, diese sei identisch mit der Zweitbeschwerdegegnerin.

18.  Die Zweitbeschwerdegegnerin richtete am 2. Dezember 2014 folgende Stellungnahme an die Datenschutzbehörde: Auf Grund von Gesetzen und innerkirchlichen Organisationsvorschriften kämen den Gemeinden der Evangelischen Kirche in Österreich, die jeweils eine eigene Rechtspersönlichkeit besäßen, zahlreiche Aufgaben zu, bei denen die Letztverantwortung bei der Zweitbeschwerdegegnerin liege. Die Datenverarbeitung sei daher so organisiert, dass die Erstbeschwerdegegnerin (280 Gemeinden, insbesondere Pfarrgemeinden) 2007 durch Synodalbeschluss (kundgemacht im Amtsblatt für die Evangelische Kirche in Österreich, Abl. 2007/125) die Einführung des Programms „EGON – Evangelische Gemeindedaten Online“ beschlossen habe. Die Evangelische Kirche H.B. habe sich mit einzelnen Gemeinden daran beteiligt. Die Zweitbeschwerdegegnerin als Landeskirche trete durch Eintragung von derzeit 15 Datenanwendungen als alleinige Auftraggeberin auf, wodurch den Betroffenen die Suche nach der auskunftspflichtigen Stelle erheblich erleichtert werde. Es gebe eine innerkirchliche Datenschutzordnung, die insbesondere dem Oberkirchenrat als Leitungsorgan der Zweitbeschwerdegegnerin eine besondere Stellung zuweise. Andere als die durch die DVR-Eintragungen der Zweitbeschwerdegegnerin gedeckten Datenanwendungen würden praktisch nur von Organisationen (wie Diakonie, Lehrerverein oder Jugendverein) als Auftraggeber gemeldet, die andere Zwecke als typische Pfarrgemeinden verfolgten.

19. Der Beschwerdeführer antwortete hierauf nach Parteiengehör in seinen Stellungnahmen vom 19. und 26. Jänner 2015. Den Stellungnahmen der Erst- wie der Zweitbeschwerdegegnerin sei nicht zu entnehmen, wer als Auftraggeber für die zu seiner Person verarbeiteten Daten verantwortlich sei. Für die Zweitbeschwerdegegnerin scheide eine auftraggeberische Verantwortung schon allein deshalb aus, als diese angegeben habe, über seine Daten nicht verfügen zu dürfen. Diesbezüglich könnte seine Beschwerde mangels Passivlegitimation ab- oder zurückgewiesen werden. Umgekehrt müsste die Evangelische Pfarrgemeinde A.B. N*** eigentlich als Auftraggeber gelten. Eigentliches Ziel seines Auskunftsbegehrens seien die Datenverarbeitungen und –übermittlungen im Rahmen der Krankenhausseelsorge durch die Krankenhausseelsorgerin Frau Dr. Theresa I***. Die vorliegenden Auskünfte würden darüber nichts aussagen, weswegen er die Einvernahme der Drittbeschwerdeführerin als Zeugin beantragte. Aus ihrer Einvernahme könnte sich auch ergeben, dass die Stadt Wien Auftraggeberin für die im Rahmen der Krankenhausseelsorge verarbeiteten Daten sei. Wäre die Drittbeschwerdegegnerin als Angestellte der Erstbeschwerdegegnerin nicht auftraggeberisch verantwortlich, wäre die durch sei erfolgte Datenverwendung (bei ihrer Tätigkeit im Pflegewohnhaus G***) der Erstbeschwerdegegnerin zuzurechnen. Die Eintragung im DVR könne die Auftraggeberrolle eines Rechtsträgers nicht konstitutiv begründen. Er habe die Drittbeschwerdegegnerin im Jänner 2014 ersucht, seinen an schwerer Demenz leidenden Vater im städtischen Pflegewohnhaus G*** zu besuchen und seelsorgerisch zu betreuen. Aus diesem Anlass habe sie auch seinen Namen und seine Telefonnummer sowie den Inhalt ausgetauschter SMS gespeichert. Die Drittbeschwerdegegnerin habe sie seine und seines Vaters Daten an Ludwig Z***, den Leiter einer Pflegeeinrichtung der Diakonie, weitergeleitet und angeregt, seinen Vater, der im August 2014 verstorben sei, in das von Herrn Z*** geleitete Heim zu verlegen. Er führe diese Idee aus heutiger Sicht auf die private Nahebeziehung der Drittbeschwerdegegnerin zu Herrn Z*** und auf finanzielles Interesse zurück. Nach einem von ihm besuchten Gottesdienst im Gebetsraum des Pflegewohnhauses G*** am 18. Jänner 2014 habe die Drittbeschwerdegegnerin erneut auf eine Verlegung seines (zu diesem Zeitpunkt erkrankten) Vaters gedrängt. Am 19. Jänner 2014 habe er sich per E-Mail wegen der skandalösen Zustände im Pflegewohnhaus G*** bei der dortigen Direktion beschwert. Am 20. Jänner 2014 habe ihn die Drittbeschwerdegegnerin telefonisch kontaktiert und mitgeteilt, dass sie von Direktion des Pflegewohnhauses G*** telefonisch befragt worden sei, ob von der Familie des Beschwerdeführers „Gefahr“ (im Sinne von Beschwerden, Einschaltung der Medien) ausgehe. Daraus ergebe sich, dass zwischen der Drittbeschwerdegegnerin und dem KAV ihn betreffende Daten ausgetauscht wurden. Er beantragte zum Beweis dieses Vorbringens auch die Einvernahme des Ludwig Z*** und zweier namentlich genannter Zeugen aus der Leitung des Pflegewohnhauses G***.

20. Am 12. Februar 2015 gab der Beschwerdeführer zum Vorbringen der Drittbeschwerdegegnerin (siehe oben 15.) folgende weitere Stellungnahme ab: Diese lege dar, datenschutzrechtlich als Arbeitnehmerin der Erstbeschwerdegegnerin gehandelt zu haben. Allerdings habe er Auskunft über alle ihn betreffenden und von der Drittbeschwerdegegnerin verarbeiteten Daten verlangt, nicht nur über die für berufliche Zwecke verwendeten. Die Drittbeschwerdegegnerin habe, wie bereits ausgeführt, ihn und seinen Vater betreffende Daten dem Herrn Z*** und einer unbekannten Person in der Direktion des Pflegewohnhauses G*** mitgeteilt, darunter auch Angaben zu Religionszugehörigkeit (Gottesdienstbesuch) und Gesundheitszustand. Außerdem sei aufzuklären, ob die Drittbeschwerdegegnerin nicht etwa im Wege einer „Personalleihe“ auch für den KAV tätig sei, womit möglicherweise auch die Stadt Wien Auftraggeberin der von der Drittbeschwerdegegnerin verwendeten Daten sein könnte. Die Drittbeschwerdegegnerin sollte daher, ebenso wie Herr Z*** und ein schon benannter Vertreter des KAV, zeugenschaftlich einvernommen werden.

21. Am 3. März 2015 führte die Datenschutzbehörde in Anwesenheit der Parteien und ihrer Vertreter eine mündliche Verhandlung durch (Niederschrift samt Beilagen zu GZ: DSB-D122.259/0007-DSB/2015). Kontradiktorisch einvernommen wurden dabei der Beschwerdeführer und die Drittbeschwerdegegnerin.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob und in welchem Umfang die Beschwerdegegner auf Grund vom Beschwerdeführer gestellter Auskunftsverlangen zu datenschutzrechtlichen Auskünften verpflichtet waren, und ob sie ein entsprechend bestehendes Auskunftsrecht erfüllt haben.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

1.   Der Vater des Beschwerdeführers, Mag. Oskar V***, wurde Anfang 2014 im Pflegewohnhaus G*** (Betreiber: KAV) betreut [...].

2.   Der Beschwerdeführer war allgemein wegen Betreuung seines Vaters in Sorge und richtete am 19. Jänner 2014 eine E-Mail an die Direktion des Pflegewohnhauses G***, in der er sich über „skandalöse Zustände“ beschwerte.

3.   Zuvor wandte er sich mit dem Ersuchen, sich um das Wohl seines Vaters zu kümmern, an die Drittbeschwerdegegnerin. Diese ist als Geriatrie-Seelsorgerin bei der Evangelischen Superintendenz A.B. Wien beschäftigt und u.a. für die entsprechende Betreuung der Bewohner des Pflegewohnhauses G*** zuständig. Sie verfügt über ein von ihrem Arbeitgeber zu Verfügung gestelltes Mobiltelefon und einen vom KAV bereitgestellten Computerarbeitsplatz samt E-Mail-Account (theresa.i***@extern.wienkav.at). Die Drittbeschwerdegegnerin hatte keinen Zugang zum EDV-System EGON (Evangelische Gemeinden Online) der Zweitbeschwerdegegnerin.

4.   Der Beschwerdeführer gab der Drittbeschwerdegegnerin zur Kontaktaufnahme im Zusammenhang mit der Betreuung seines Vaters seinen Namen, seine Telefonnummer und seine E-Mail-Adresse bekannt. Diese Daten wurden von ihr auf ihrem Computerarbeitsplatz (Name und E-Mail-Adresse) und auf der SIM-Karte des dienstlichen Mobilfunkanschlusses (Name und Telefonnummer) gespeichert. Das Mobiltelefon wurde dabei wegen eines Defektes zu einem nicht näher bekannten späteren Zeitpunkt ausgetauscht. Diese Daten wurden nur für Kontakte (Telefongespräche, SMS und E-Mails) zwischen der Drittbeschwerdegegnerin und dem Beschwerdeführer verwendet und nicht übermittelt. Über die Inhalte ihrer Arbeit als Geriatrie-Seelsorgerin und insbesondere über den Inhalt von Gesprächen und Telefongesprächen, die sie mit oder betreffend den Beschwerdeführer geführt hat, hat die Drittbeschwerdegegnerin keine Daten verarbeitet.

5.   Am 20. Jänner 2014, einem Montag, wurde die Drittbeschwerdegegnerin von Kurt Ö***, Mitarbeiter des KAV, telefonisch kontaktiert und gefragt, „ob Herr V*** im Gottesdienst war“. Sie bejahte dies, und es stellte sich bei einem weiteren persönlichen Gespräch mit Herrn Ö*** in den folgenden Tagen heraus, dass sich die Frage auf den Vater des Beschwerdeführers bezogen hatte.

6.   Nachdem die Drittbeschwerdegegnerin den Beschwerdeführer noch am 20. Jänner 2014 durch einen Anruf über dieses Telefongespräch informiert hatte, kam es kurz danach, Ende Jänner 2014, zu einem Zerwürfnis zwischen der Drittbeschwerdegegnerin und dem Beschwerdeführer. Die Drittbeschwerdegegnerin brach daraufhin den Kontakt ab, beantwortete keine Anrufe und E-Mails mehr, löschte die Kontaktdaten des Beschwerdeführers (Telefonnummer) und seine SMS von ihrem Mobilfunkgerät und lies später sogar seine Rufnummer blockieren, da sie sich vom Beschwerdeführer inzwischen belästigt fühlte.

7.   Mit Schreiben vom 27. März 2014, gerichtet an „Frau Dr. Theresa I***, [...], zugestellt per Adresse der „Evang. Superintendentur A.B. Wien, [...]“ (vorab per E-Mail an theresa.i***@extern.wienkav.at und theresai***@yahoo.org) verlangte der Beschwerdeführer von der persönlich angesprochenen („Sehr geehrte Frau Dr. I***,...“) Drittbeschwerdegegnerin schriftlich Auskunft gemäß § 26 Abs. 1 DSG 2000.) Drittbeschwerdegegnerin schriftlich Auskunft gemäß Paragraph 26, Absatz eins, DSG 2000.

8.   Das Auskunftsverlangen weiter wörtlich (ohne Widergabe der eingefügten Absätze): „Mein Auskunftsbegehren bezieht sich auf sämtliche verarbeitete Daten, die Information über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Anführung Rechtsgrundlagen hiefür in allgemein verständlicher Form. Dabei begehre ich insbesondere auch Auskunft bezüglich der Weitergabe von persönlichen Daten an die Stadt Wien (einschließlich des KAV) und deren Bedienstete. Ich begehre auch die Angabe von Namen und Adresse von mit der Verarbeitung meiner Daten beauftragten Dienstleistern. In Erfüllung der mich gemäß § 26 Abs 3 DSG 2000 treffenden Mitwirkungspflicht halte ich fest, dass Sie mir in einem Telefonat vom 20.01.2014 um ca. 08:00 Uhr mitgeteilt haben, dass Sie am 20.01.2014 zw. 07:00 und 07:30 Uhr von der Direktion des Pflegewohnhauses G*** angerufen und dabei unter anderem gefragt wurden, ob ich als Sohn von Herrn Mag. Oskar V*** am 18.12.2014 am evangel. Gottesdienst im Pflegewohnhaus G*** teilgenommen habe, was Sie Ihrer eigenen Aussage nach (wahrheitsgemäß) bejaht haben. Meiner Ansicht nach liegt hier eine grobe Verletzung des DSG 2000 vor - und zwar in Bezug auf sensible Daten im Sinne des DSG 2000. Ich begehre daher hiermit insbesondere auch Auskunft, welche meine Person betreffenden Daten vom KAV an Sie und von Ihnen an den KAV übermittelt wurden und auf welcher Rechtsgrundlage dieser Datenaustausch erfolgte.“„Mein Auskunftsbegehren bezieht sich auf sämtliche verarbeitete Daten, die Information über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Anführung Rechtsgrundlagen hiefür in allgemein verständlicher Form. Dabei begehre ich insbesondere auch Auskunft bezüglich der Weitergabe von persönlichen Daten an die Stadt Wien (einschließlich des KAV) und deren Bedienstete. Ich begehre auch die Angabe von Namen und Adresse von mit der Verarbeitung meiner Daten beauftragten Dienstleistern. In Erfüllung der mich gemäß Paragraph 26, Absatz 3, DSG 2000 treffenden Mitwirkungspflicht halte ich fest, dass Sie mir in einem Telefonat vom 20.01.2014 um ca. 08:00 Uhr mitgeteilt haben, dass Sie am 20.01.2014 zw. 07:00 und 07:30 Uhr von der Direktion des Pflegewohnhauses G*** angerufen und dabei unter anderem gefragt wurden, ob ich als Sohn von Herrn Mag. Oskar V*** am 18.12.2014 am evangel. Gottesdienst im Pflegewohnhaus G*** teilgenommen habe, was Sie Ihrer eigenen Aussage nach (wahrheitsgemäß) bejaht haben. Meiner Ansicht nach liegt hier eine grobe Verletzung des DSG 2000 vor - und zwar in Bezug auf sensible Daten im Sinne des DSG 2000. Ich begehre daher hiermit insbesondere auch Auskunft, welche meine Person betreffenden Daten vom KAV an Sie und von Ihnen an den KAV übermittelt wurden und auf welcher Rechtsgrundlage dieser Datenaustausch erfolgte.“

9.   Die Drittbeschwerdegegnerin hat auf dieses Auskunftsverlangen zunächst nicht reagiert. Nach Einbringung einer Beschwerde gemäß § 31 Abs. 1 DSG 2000 durch den Beschwerdeführer bei der Datenschutzbehörde am 23. Mai 2014 (Beschwerdeverfahren Zl. DSB-D122.152) bestritt die Drittbeschwerdegegnerin zunächst ein ihr gegenüber bestehendes Auskunftsrecht des Beschwerdeführers mangels Auftraggeberschaft ihrerseits (Stellungnahme vom 15. Juni 2014). Mit Schreiben vom 31. Juli 2014, gerichtet sowohl an den Beschwerdeführer als auch an die Datenschutzbehörde, teilte die Drittbeschwerdegegnerin ergänzend mit, dass sie die betreffend den Beschwerdeführer auf Grund von seiner Seite erfolgter Kontaktaufnahme verarbeiteten Kontaktdaten, nämlich Telefonnummer und E-Mail-Adresse, gelöscht habe.Die Drittbeschwerdegegnerin hat auf dieses Auskunftsverlangen zunächst nicht reagiert. Nach Einbringung einer Beschwerde gemäß Paragraph 31, Absatz eins, DSG 2000 durch den Beschwerdeführer bei der Datenschutzbehörde am 23. Mai 2014 (Beschwerdeverfahren Zl. DSB-D122.152) bestritt die Drittbeschwerdegegnerin zunächst ein ihr gegenüber bestehendes Auskunftsrecht des Beschwerdeführers mangels Auftraggeberschaft ihrerseits (Stellungnahme vom 15. Juni 2014). Mit Schreiben vom 31. Juli 2014, gerichtet sowohl an den Beschwerdeführer als auch an die Datenschutzbehörde, teilte die Drittbeschwerdegegnerin ergänzend mit, dass sie die betreffend den Beschwerdeführer auf Grund von seiner Seite erfolgter Kontaktaufnahme verarbeiteten Kontaktdaten, nämlich Telefonnummer und E-Mail-Adresse, gelöscht habe.

Beweiswürdigung: Diese Feststellungen beruhen auf dem Akteninhalt. Hinsichtlich des Auskunftsverlangens des Beschwerdeführers an die Drittbeschwerdegegnerin vom 27. März 2014 stützt sich die Datenschutzbehörde auf die mit der Beschwerde vom 23. Mai 2014 vorgelegte Kopie dieses Schreibens (einliegend in GZ: DSB-D122.152/0001-DSB/2015). Die Drittbeschwerdegegnerin hat zwar (Begleitschreiben/E-Mail vom 18. Juni 2014 zur Stellungnahme vom 15. Juni 2014, GZ: DSB-D122.152/0002-DSB/2014) die unrichtige Schreibweise ihres Namens und die verwendete (private) Postadresse gerügt, den Erhalt des Schreibens aber nie bestritten. Die Feststellungen zu Art und Umfang der Datenverwendung durch die Drittbeschwerdegegnerin stützen sind auf deren kontradiktorische Einvernahme als Partei in der mündlichen Verhandlung am 3. März 2015 (Niederschrift in GZ: DSB-D122.259/0007-DSB/2015). Ergänzend wird auch auf vom Beschwerdeführer (die berufliche E-Mail-Adresse der Drittbeschwerdegegnerin findet sich etwa auch im Auskunftsverlangen vom 27. März 2014) vorgelegte Urkundenkopien zurückgegriffen. Die Drittbeschwerdegegnerin konnte insbesondere glaubwürdig verneinende Angaben zu der Frage machen, ob von ihr Inhaltsdaten zu von geführten Telefongesprächen mit Bezug zum Beschwerdeführer verarbeitet wurden, wiewohl sie das Führen eines solchen Telefongesprächs (mit Herrn Ö*** vom KAV) nicht in Abrede gestellt hat. Der Beschwerdeführer, der in derselben Verhandlung ebenfalls als Partei befragt worden ist, konnte betreffend eine weiter gehende Verwendung ihn betreffender Daten (insbesondere SMS oder E-Mails an Dritte) nur Vermutungen aussprechen aber über keine von ihm selbst wahrgenommenen Vorgänge berichten. Die Datenschutzbehörde folgt daher der Darstellung der Drittbeschwerdegegnerin, die sich mit allen weiteren Ermittlungsergebnissen (außer Teilen des Vorbringens des Beschwerdeführers) deckt.

10.  Unter Verantwortung der Zweitbeschwerdegegnerin (vollständiger Name: Evangelische Kirche Augsburgischen und Helvetischen Bekenntnisses in Österreich, gemäß Artikel 105 der Verfassung der evangelischen Kirche A. und H.B. in Österreich [kurz: KV], beschlossen von der Generalsynode am 16. Juni 2012, auch als Landeskirche bezeichnet) als datenschutzrechtlicher Auftraggeberin des öffentlichen Bereichs (gemäß der Verfassungsbestimmung § 1 Z. I des Bundesgesetzes vom 6. Juli 1961 über äußere Rechtsverhältnisse der Evangelischen Kirche [ProtG], BGBl. Nr. 182/1961 idgF; DVR: 0418056) werden personenbezogene Daten des Beschwerdeführers auf Grund seiner Eigenschaft als Kirchenangehöriger verarbeitet. Die in Frage kommenden Datenanwendungen waren 2014 im DVR offengelegt.Unter Verantwortung der Zweitbeschwerdegegnerin (vollständiger Name: Evangelische Kirche Augsburgischen und Helvetischen Bekenntnisses in Österreich, gemäß Artikel 105 der Verfassung der evangelischen Kirche A. und H.B. in Österreich [kurz: KV], beschlossen von der Generalsynode am 16. Juni 2012, auch als Landeskirche bezeichnet) als datenschutzrechtlicher Auftraggeberin des öffentlichen Bereichs (gemäß der Verfassungsbestimmung Paragraph eins, Z. römisch eins des Bundesgesetzes vom 6. Juli 1961 über äußere Rechtsverhältnisse der Evangelischen Kirche [ProtG], Bundesgesetzblatt Nr. 182 aus 1961, idgF; DVR: 0418056) werden personenbezogene Daten des Beschwerdeführers auf Grund seiner Eigenschaft als Kirchenangehöriger verarbeitet. Die in Frage kommenden Datenanwendungen waren 2014 im DVR offengelegt.

11.  Der Beschwerdeführer hat nie ein datenschutzrechtliches Auskunftsverlangen an die Zweitbeschwerdegegnerin gerichtet.

12.  Nachdem die Zweitbeschwerdegegnerin im Zuge des Ermittlungsverfahrens (Zl. DSB-D122.183) von einem an die Erstbeschwerdegegnerin gerichteten Auskunftsverlangen des Beschwerdeführers vom 6. Mai 2014 erfahren hatte, erteilte sie durch den Evangelischen Oberkirchenrat A. und HB. unter Betonung, „auch seitens der Evangelischen Kirche A.B.“ zu antworten, mit Schreiben vom 3. September 2014, Zl. LK *5; 2*4*/2014, dem Beschwerdeführer die Auskunft, dass über die ihn betreffenden Daten die Evangelische Pfarrgemeinde A.B. N*** verfüge, und in Kürze von dort die entsprechende Auskunftserteilung erfolgen werde.

13.  Am 4. September 2014 versendete die Evangelische Pfarrgemeinde A.B. N***, die nicht als datenschutzrechtliche Auftraggeberin im DVR aufscheint, an den Beschwerdeführer Ausdrucke von ihn betreffenden Daten (bezeichnet als Personendatenblatt, KB-Datenblatt und KB-Konto, wobei sich aus dem Zusammenhang klar ergibt, dass KB die Abkürzung für Kirchenbeitrag ist). Der Erhalt dieses Schreibens ist vom Beschwerdeführer (in seiner Stellungnahme vom 31. Oktober 2014, Eingangsstück in GZ: DSB-D122.183/0008-DSB/2014) bestätigt worden. Die inhaltliche Richtigkeit und Vollständigkeit dieser Auskunft ist vom Beschwerdeführer nicht in Zweifel gezogen worden.

Beweiswürdigung: Diese Feststellungen beruhen auf dem Akteninhalt und dem offenen DVR. Die zitierten Urkunden, insbesondere das Schreiben der Zweitbeschwerdegegnerin vom 3. September 2014, Zl. LK 16; 1534/2014 (Eingangsstück in GZ: DSB-D122.183/0006-DSB/2014), das Auskunftsschreiben vom 4. September 2014 (Beilage zum Eingangsstück in GZ: DSB-D122.183/0007-DSB/2014) und die Stellungnahme des Beschwerdeführers vom 31. Oktober 2014, gehören zum Akteninhalt. Der Beschwerdeführer hat sich in letzterem Schreiben auf eine seiner Ansicht nach fehlende Auskunftserteilung durch die Erstbeschwerdegegnerin, die Evangelische Kirche A.B., sowie die Frage der Auftraggeberschaft der Zweitbeschwerdegegnerin für die über ihn verarbeiteten Daten, die er in Frage stellt, konzentriert. Die Vollständigkeit und Richtigkeit der Auskunftserteilung hat er nicht in Zweifel gezogen.

14.  Die Erstbeschwerdegegnerin (gemäß Artikel 2 ff KV auch „Lutherische Kirche“) ist, ebenso wie ihre Untergliederungen (Pfarrgemeinden und Superintendenzen), nicht als datenschutzrechtlicher Auftraggeber im DVR eingetragen. Sie führte im beschwerderelevanten Zeitraum keine meldepflichtigen Datenanwendungen durch und verarbeitete keine Daten des Beschwerdeführers. Die Verwendung von Daten der Kirchenangehörigen Augsburgischen Bekenntnisses, einschließlich der Daten des Beschwerdeführers, insbesondere für Verwaltungszwecke wie die Einhebung des Kirchenbeitrags, erfolgte durch die Zweitbeschwerdegegnerin.

15.  Am 6. Mai 2014 richtete der Beschwerdeführer per Mail vorab und per Post ein Auskunftsverlangen an die Erstbeschwerdegegnerin (z.H. der Evangelischen Superintendenz Wien). Das Schreiben hat folgenden entscheidungsrelevanten Wortlaut:

„Mein Auskunftsbegehren bezieht sich auf sämtliche verarbeitete Daten, die Information über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Anführung Rechtsgrundlagen hiefür in allgemein verständlicher Form.

Dabei begehre ich insbesondere (aber nicht ausschließlich) auch Auskunft bezüglich der Weitergabe von persönlichen Daten an die Stadt Wien (einschließlich des KAV) und deren Bediensteten durch Ihre Mitarbeiter im Rahmen der Krankenanstalten-Seelsorge.

Ich begehre auch die Angabe von Namen und Adresse von mit der Verarbeitung meiner Daten beauftragten Dienstleistern.

In Erfüllung der mich gemäß § 26 Abs 3 DSG 2000 treffenden Mitwirkungspflicht halte ich fest, dass Ihre Mitarbeiterin Frau Dr. Theresa I*** in ihrer Funktion als Diakonin der evangel. Kirche AB. mir in einem Telefonat In Erfüllung der mich gemäß Paragraph 26, Absatz 3, DSG 2000 treffenden Mitwirkungspflicht halte ich fest, dass Ihre Mitarbeiterin Frau Dr. Theresa I*** in ihrer Funktion als Diakonin der evangel. Kirche AB. mir in einem Telefonat vom 20.01.2014 um ca. 08:00 Uhr mitgeteilt hat, dass sie am 20.01.2014 zw. 07:00 und 07:30 Uhr von der Direktion des Pflegewohnhauses G*** angerufen und dabei unter anderem gefragt wurde, ob ich als Sohn von Herrn Mag. Oskar V*** am 18.012.2014 am evangel. Gottesdienst im Pflegewohnhaus G*** teilgenommen habe, was sie ihrer eigenen Aussage nach (wahrheitsgemäß) bejaht hat. Weiters teile ich Ihnen mit, dass ich Mitglied der evangelischen Kirche AB. bin.

Meiner Ansicht nach liegt hier eine grobe Verletzung des DSG 2000 vor - und zwar in Bezug auf sensible Daten im Sinne des DSG 2000.

Ich begehre daher hiermit insbesondere (aber nicht ausschließlich) auch Auskunft, welche meine Person betreffenden Daten vom KAV an Frau Dr. I*** und von dieser in ihrer Funktion als I*** in ihrer Funktion als Diakonin der evangel. Kirche AB. an den KAV übermittelt wurden und auf welcher Rechtsgrundlage dieser Datenaustausch erfolgte.“

16.  Dieses Auskunftsverlangen wurde zunächst nicht und nach Einbringung einer datenschutzrechtlichen Beschwerde am 3. Juli 2014 (eingelangt am 7. Juli 2014, Beschwerdeverfahren Zl. DSB-D122.183 der Datenschutzbehörde) in der oben unter 12 f dargestellten Weise von der Zweitbeschwerdegegnerin beantwortet.

Beweiswürdigung: Diese Feststellungen beruhen auf dem Akteninhalt und dem offenen DVR. Das gegenteilige Vorbringen des Beschwerdeführers bezieht sich nach Ansicht der Datenschutzbehörde nicht auf Tatsachen sondern auf seine Vorstellung betreffend die Verantwortung für die Datenverwendung durch die Drittbeschwerdegegnerin. Im Übrigen wird auf die rechtlichen Erwägungen unten verwiesen.

D. In rechtlicher Hinsicht folgt daraus:

I. römisch eins. Auskunftserteilung durch die Drittbeschwerdegegnerin

1.   Das datenschutzrechtliche Auskunftsrecht ist auf Daten beschränkt, die Teil einer Datenanwendung (eines zumindest teilweise automationsunterstützen Verarbeitungsprozesses, § 4 Z 7 DSG 2000) oder einer manuellen Datei (§ 4 Z 6 DSG 2000) sind (vgl. dazu die Erwägungen des VwGH in den Erkenntnissen vom 21.10.2004, VwSlg 16477 A/2004, und vom 23.5.2005, 2003/06/0021, RIS). Das datenschutzrechtliche Auskunftsrecht ist auf Daten beschränkt, die Teil einer Datenanwendung (eines zumindest teilweise automationsunterstützen Verarbeitungsprozesses, Paragraph 4, Ziffer 7, DSG 2000) oder einer manuellen Datei (Paragraph 4, Ziffer 6, DSG 2000) sind vergleiche dazu die Erwägungen des VwGH in den Erkenntnissen vom 21.10.2004, VwSlg 16477 A/2004, und vom 23.5.2005, 2003/06/0021, RIS). Keine Auskunft geschuldet wird daher ganz allgemein über Informationsaustausch und Kommunikationsinhalte im menschlichen Sozialleben, hier etwa über den Inhalt von Gesprächen oder Telefongesprächen, der nicht als Teil einer Datenanwendung aufgezeichnet worden ist. Das anders lautende Vorbringen des Beschwerdeführers (siehe insbesondere die Niederschrift über die mündliche Verhandlung am 3. März 2015, Seite 2, aber sinngemäß auch bereits sein Auskunftsverlangen an die Drittbeschwerdegegnerin vom 27. März 2014) findet im Gesetz keine Deckung.

2.   In Verbindung mit dem Recht auf Erhalt einer Auskunft über eigene Daten besteht auch kein Recht, durch eine solche Auskunft Informationen zu oder Beweismittel für bestimmte Tatsachen zu erhalten oder einen Auftraggeber zum Eingestehen solcher Tatsachen zu zwingen. Die Grundlage jeder datenschutzrechtlichen Auskunftserteilung ist der Istzustand an gespeicherten Personendaten und verfügbaren Informationen über deren Verwendung, nicht ein wie immer gearteter Sollzustand. Selbst wenn in einem hypothetischen Fall Daten etwa nachweislich entgegen § 26 Abs. 7 DSG 2000 gelöscht worden sein sollten, besteht dennoch im Beschwerdeverfahren wegen Verletzung des Auskunftsrechts kein Recht auf technische Rekonstruktion dieser Daten oder auf eine sonstige Beweisaufnahme zur nachträglichen Feststellung ihres Inhalts. und verfügbaren Informationen über deren Verwendung, nicht ein wie immer gearteter Sollzustand. Selbst wenn in einem hypothetischen Fall Daten etwa nachweislich entgegen Paragraph 26, Absatz 7, DSG 2000 gelöscht worden sein sollten, besteht dennoch im Beschwerdeverfahren wegen Verletzung des Auskunftsrechts kein Recht auf technische Rekonstruktion dieser Daten oder auf eine sonstige Beweisaufnahme zur nachträglichen Feststellung ihres Inhalts.

3.   Die Daten (Namen, Rufnummern, E-Mailadressen) des automationsunterstützt verarbeiteten Nachrichtenaustausches zwischen Beschwerdeführer und Drittbeschwerdegegnerin sind, wie das Verfahren ergeben hat, von der Drittbeschwerdegegnerin gelöscht worden. Mit der Löschung der Daten ist auch das Recht auf Auskunft über diese Daten erloschen (vgl. dazu die Erwägungen der Datenschutzbehörde im jüngst vom Bundesverwaltungsgericht bestätigten Bescheid vom 1.10.2014, DSB-D122.020/0012-DSB/2014, RIS). Eine Auskunftserteilung war, unabhängig von der Frage, wem die Datenverwendung im Einzelfall auftraggeberisch zuzurechnen war, nicht mehr möglich. Eine Auskunftserteilung über den Inhalt von E-Mails und SMS, die zwischen der Drittbeschwerdegegnerin Die Daten (Namen, Rufnummern, E-Mailadressen) des automationsunterstützt verarbeiteten Nachrichtenaustausches zwischen Beschwerdeführer und Drittbeschwerdegegnerin sind, wie das Verfahren ergeben hat, von der Drittbeschwerdegegnerin gelöscht worden. Mit der Löschung der Daten ist auch das Recht auf Auskunft über diese Daten erloschen vergleiche dazu die Erwägungen der Datenschutzbehörde im jüngst vom Bundesverwaltungsgericht bestätigten Bescheid vom 1.10.2014, DSB-D122.020/0012-DSB/2014, RIS). Eine Auskunftserteilung war, unabhängig von der Frage, wem die Datenverwendung im Einzelfall auftraggeberisch zuzurechnen war, nicht mehr möglich. Eine Auskunftserteilung über den Inhalt von E-Mails und SMS, die zwischen der Drittbeschwerdegegnerin und dritten Personen ausgetauscht worden sind, wäre überdies auch im Fall, dass den Beschwerdeführer betreffende Daten Teil des Inhalts waren, gemäß § 26 Abs. 2 DSG 2000 nicht geboten gewesen. § 93 Abs. 3 TKG 2003 beschränkt unter der Überschrift ausgetauscht worden sind, wäre überdies auch im Fall, dass den Beschwerdeführer betreffende Daten Teil des Inhalts waren, gemäß Paragraph 26, Absatz 2, DSG 2000 nicht geboten gewesen. Paragraph 93, Absatz 3, TKG 2003 beschränkt unter der Überschrift „Kommunikationsgeheimnis“ die Weitergabe von Nachrichteninhalten elektronischer Kommunikation ohne Einwilligung der beteiligten Benutzer. Zwar bindet diese Bestimmung die Benutzer, hier also die Teilnehmer am E-Mail-Verkehr, selbst nicht unmittelbar (das heißt, diese handeln beispielsweise durch die Weiterleitung einer E-Mail an Dritte, anders als etwa Mitarbeiter eines Unternehmens, das Kommunikationsdienste erbringt, nicht rechtswidrig), aus dem Zusammenhang der Bestimmung ergibt sich jedoch, dass die Entscheidung über die Übermittlung solcher Daten im Kreis der an der Kommunikation beteiligten Benutzer zu treffen ist. Betreffend E-Mails, die zwischen der Drittbeschwerdegegnerin und dritten Personen ausgetauscht worden sind, gehörte der Beschwerdeführer nicht zu diesem Kreis. Woraus folgt, dass das Fehlen dieser Voraussetzung ein überwiegendes berechtigtes Interesse eines Dritten (des Kommunikationspartners der Drittbeschwerdegegnerin) gemäß § 26 Abs. 2 3. Fall DSG 2000 begründet und damit einen Grund für die Nichterteilung einer solchen Auskunft bildet. (des Kommunikationspartners der Drittbeschwerdegegnerin) gemäß Paragraph 26, Absatz 2, 3. Fall DSG 2000 begründet und damit einen Grund für die Nichterteilung einer solchen Auskunft bildet.

4.   Die zu Beginn der gegenständlichen Beschwerdeverfahren noch unvertretene Drittbeschwerdegegnerin war jedoch anfangs insoweit im Irrtum, als sie glaubte, eine für sie bestehende datenschutzrechtliche Auskunftspflicht ausschließen zu können (vgl. ihre erste Stellungnahme vom 18. Juni 2014, einliegend in GZ: DSB-D122.152/0002-DSB/2015). Es steht fest, dass sie Daten des Beschwerdeführers im Rahmen eines zumindest teilweise automationsunterstützt geführten Prozesses (im Rufnummernspeicher ihres dienstlichen Mobiltelefons bzw. auf dem ihr vom KAV zur Verfügung gestellten Computerarbeitsplatz), somit in einer Datenanwendung, verarbeitet hat. Ein vollständiger Vorab-Ausschluss ihrer Auftraggeberschaft (vgl. hierzu die Bescheide der früheren Datenschutzkommission vom 24.04.2001, K120.737/002-DSK/2001 [Auskunft über den Inhalt von Urkunden/Briefen] und vom 11.10.2005, K121.036/0014-DSK/2005 [Filmen von Hubschrauberlandungen mit von Hand geführte analoger Videokamera]), der ein Ausnahmefall bleiben muss, kam hier nicht in Frage. Daraus folgt, dass die Drittbeschwerdegegnerin verpflichtet war, das Die zu Beginn der gegenständlichen Beschwerdeverfahren noch unvertretene Drittbeschwerdegegnerin war jedoch anfangs insoweit im Irrtum, als sie glaubte, eine für sie bestehende datenschutzrechtliche Auskunftspflicht ausschließen zu können vergleiche ihre erste Stellungnahme vom 18. Juni 2014, einliegend in GZ: DSB-D122.152/0002-DSB/2015). Es steht fest, dass sie Daten des Beschwerdeführers im Rahmen eines zumindest teilweise automationsunterstützt geführten Prozesses (im Rufnummernspeicher ihres dienstlichen Mobiltelefons bzw. auf dem ihr vom KAV zur Verfügung gestellten Computerarbeitsplatz), somit in einer Datenanwendung, verarbeitet hat. Ein vollständiger Vorab-Ausschluss ihrer Auftraggeberschaft vergleiche hierzu die Bescheide der früheren Datenschutzkommission vom 24.04.2001, K120.737/002-DSK/2001 [Auskunft über den Inhalt von Urkunden/Briefen] und vom 11.10.2005, K121.036/0014-DSK/2005 [Filmen von Hubschrauberlandungen mit von Hand geführte analoger Videokamera]), der ein Ausnahmefall bleiben muss, kam hier nicht in Frage. Daraus folgt, dass die Drittbeschwerdegegnerin verpflichtet war, das an sie persönlich gerichtete Auskunftsverlangen vom 27. März 2014 zu beantworten.

5.   Dieser Fehler ist jedoch durch eine nachträgliche Auskunftserteilung mit Schreiben vom 31. Juli 2014 saniert worden. Damit ist das Recht auf Auskunft des Beschwerdeführers gesetzmäßig in Form einer Negativauskunft (einer begründeten Ablehnung des Auskunftsverlangens) gemäß § 26 Abs. 4 2. Fall DSG 2000 erfüllt worden. Dieser Fehler ist jedoch durch eine nachträgliche Auskunftserteilung mit Schreiben vom 31. Juli 2014 saniert worden. Damit ist das Recht auf Auskunft des Beschwerdeführers gesetzmäßig in Form einer Negativauskunft (einer begründeten Ablehnung des Auskunftsverlangens) gemäß Paragraph 26, Absatz 4, 2. Fall DSG 2000 erfüllt worden. „§ 26 Abs. 4 DSG 2000 trägt einem Auftraggeber die Verpflichtung zur Reaktion auf ein Auskunftsbegehren auf. Die Reaktion hat nicht notwendigerweise in einer inhaltlichen Auskunft zu bestehen, sondern kann etwa auch die Mitteilung enthalten, dass zur Person des Auskunftswerbers keine Daten vorhanden sind (sog. „Negativauskunft“) oder dass zusätzliche Informationen notwendig sind, um einem Auskunftsbegehren entsprechen zu können (§ 26 Abs. 3 DSG 2000)“ (Bescheid der früheren Datenschutzkommission vom 13.12.2013, K122.039/0008-DSK/2013, RIS).„§ 26 Absatz 4, DSG 2000 trägt einem Auftraggeber die Verpflichtung zur Reaktion auf ein Auskunftsbegehren auf. Die Reaktion hat nicht notwendigerweise in einer inhaltlichen Auskunft zu bestehen, sondern kann etwa auch die Mitteilung enthalten, dass zur Person des Auskunftswerbers keine Daten vorhanden sind (sog. „Negativauskunft“) oder dass zusätzliche Informationen notwendig sind, um einem Auskunftsbegehren entsprechen zu können (Paragraph 26, Absatz 3, DSG 2000)“ (Bescheid der früheren Datenschutzkommission vom 13.12.2013, K122.039/0008-DSK/2013, RIS).

6.   Daraus folgt, dass die Drittbeschwerdegegnerin den Beschwerdeführer nicht im Recht auf Erhalt einer datenschutzrechtlichen Auskunft verletzt hat.

II. römisch II. Auskunftserteilung durch die Zweitbeschwerdegegnerin

1.   Die Zweitbeschwerdegegnerin hat als Evangelische Landeskirche jedenfalls durch Publikation (vgl. die Abschnittsüberüberschrift vor § 16 DSG 2000) ihrer Eintragung als datenschutzrechtliche Auftraggeberin im DVR u.a. die Pflicht übernommen, aus den unter ihrer auftraggeberischen Verantwortung durchgeführten Datenanwendungen an Betroffene Auskunft zu erteilen. Insofern dient diese Entscheidung auch den datenschutzrechtlich Betroffenen, indem es ihnen eine zentrale Anlaufstelle zur Verfügung stellt. Deshalb wurde das Auskunftsverlangen des Beschwerdeführers vom 6. Mai 2014 auch von der Erstbeschwerdegegnerin an die Zweitbeschwerdegegnerin weitergeleitet. Die Frage, welches Kirchenorgan oder welche rechtsfähige Körperschaft im komplizierten Gefüge der Organisation der Evangelischen Landeskirche gemäß ProtG und autonomer Kirchenverfassung tatsächlich für bestimmte Verarbeitungsschritte zuständig war, muss daher an dieser Stelle nicht geprüft werden. Die Zweitbeschwerdegegnerin hat als Evangelische Landeskirche jedenfalls durch Publikation vergleiche die Abschnittsüberüberschrift vor Paragraph 16, DSG 2000) ihrer Eintragung als datenschutzrechtliche Auftraggeberin im DVR u.a. die Pflicht übernommen, aus den unter ihrer auftraggeberischen Verantwortung durchgeführten Datenanwendungen an Betroffene Auskunft zu erteilen. Insofern dient diese Entscheidung auch den datenschutzrechtlich Betroffenen, indem es ihnen eine zentrale Anlaufstelle zur Verfügung stellt. Deshalb wurde das Auskunftsverlangen des Beschwerdeführers vom 6. Mai 2014 auch von der Erstbeschwerdegegnerin an die Zweitbeschwerdegegnerin weitergeleitet. Die Frage, welches Kirchenorgan oder welche rechtsfähige Körperschaft im komplizierten Gefüge der Organisation der Evangelischen Landeskirche gemäß ProtG und autonomer Kirchenverfassung tatsächlich für bestimmte Verarbeitungsschritte zuständig war, muss daher an dieser Stelle nicht geprüft werden.

2.   Verfehlt war jedoch die von der Zweitbeschwerdegegnerin im Schreiben an den Beschwerdeführer vom 3. September 2014 geäußerte Ansicht, sie wäre nicht über seine Daten „verfügungsberechtigt“, da eine solche fehlende Rechtsmacht mit der Stellung eines datenschutzrechtlich verantwortlichen Auftraggebers gemäß § 4 Z 4 DSG 2000 nicht zu vereinbaren wäre. Die Zweitbeschwerdegegnerin hat aber ihre eigene Behauptung selbst dadurch widerlegt, dass sie in unmittelbarer zeitlicher Folge für eine Auskunftserteilung an den Beschwerdeführer gesorgt hat (siehe Sachverhaltsfeststellungen oben, Punkt C. 13.). , da eine solche fehlende Rechtsmacht mit der Stellung eines datenschutzrechtlich verantwortlichen Auftraggebers gemäß Paragraph 4, Ziffer 4, DSG 2000 nicht zu vereinbaren wäre. Die Zweitbeschwerdegegnerin hat aber ihre eigene Behauptung selbst dadurch widerlegt, dass sie in unmittelbarer zeitlicher Folge für eine Auskunftserteilung an den Beschwerdeführer gesorgt hat (siehe Sachverhaltsfeststellungen oben, Punkt C. 13.).

3.   Gegen den Inhalt dieser Auskunft ist nichts vorgebracht worden, sodass die Datenschutzbehörde zu dem Schluss gelangt, dass die Zweitbeschwerdegegnerin den Beschwerdeführer nicht in seinem Recht auf Erhalt einer datenschutzrechtlichen Auskunft verletzt hat.

III. römisch III. Auskunftserteilung durch die Erstbeschwerdegegnerin

1.   Wie oben unter C. 14. festgestellt, verarbeitet die Erstbeschwerdegegnerin keine den Beschwerdeführer betreffenden Daten.

2.   Ebenso wie die Drittbeschwerdegegnerin (siehe auch oben Punkt D.4.) konnte sich auch die Erstbeschwerdegegnerin jedoch nicht darauf berufen, dass eine für sie bestehende datenschutzrechtliche Auskunftspflicht von vornherein ausgeschlossen war. Die Erstbeschwerdegegnerin war daher verpflichtet, dem Beschwerdeführer zumindest eine Negativauskunft (eine begründete Ablehnung des Auskunftsverlangens) zukommen zu lassen.

3.   Dies ist in Form des Auskunftsschreibens der Zweitbeschwerdegegnerin an den Beschwerdeführer vom 3. September 2014 auch geschehen, da die Zweitbeschwerdegegnerin darin ausdrücklich auch „seitens der Evangelischen Kirche A.B.“ erklärt hat, über keine Daten des Beschwerdeführers zu verfügen.

4.   Daraus folgt, dass die Erstbeschwerdegegnerin den Beschwerdeführer nicht im Recht auf Erhalt einer datenschutzrechtlichen Auskunft verletzt hat.

Die Beschwerden der beiden verbundenen und noch offenen Beschwerdeverfahren waren daher betreffend alle Beschwerdegegner abzuweisen.