Gericht

BVwG

Entscheidungsdatum

27.09.2018

Geschäftszahl

W214 2127449-1

Spruch

W214 2127449-1/12E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der XXXX gegen den Bescheid der Datenschutzbehörde vom 15.03.2016, Zl. DSB-D122.424/0002-DSB/2016, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG), als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Text

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. XXXX (mitbeteiligte Partei vor dem Bundesverwaltungsgericht, im Folgenden: mP) behauptete in seiner vom 29.10.2015 datierenden und am 03.11.2015 bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) eingelangten Beschwerde eine Verletzung im Recht auf Auskunft dadurch, dass die XXXX (Beschwerdeführerin vor dem Bundesverwaltungsgericht) und XXXX im Folgenden: K.), Rechtsanwältin, sich im Schreiben vom 02.09.2015 unter bloßer Berufung auf die berufliche Verschwiegenheitspflicht gemäß § 9 Abs. 2 RAO geweigert hätten, sein Auskunftsverlangen vom selben Tage inhaltlich zu beantworten. Diese pauschale Weigerung sei rechtlich verfehlt.

2. Die Beschwerdeführerin und K. (letztere vertreten durch die Beschwerdeführerin), brachten, von der belangten Behörde zur Stellungnahme aufgefordert, in ihrem Schreiben vom 23.11.2015 vor, dass die Beschwerdeführerin den Arbeitgeber der mP in einer arbeitsrechtlichen Angelegenheit gegenüber der mP vertrete. K. sei dabei substitutionsweise ebenfalls mit der rechtsanwaltlichen Vertretung betraut. Das Auskunftsverlangen der mP habe sich dabei ausdrücklich ("insbesondere") auf im Rahmen dieses rechtsanwaltlichen Mandatsverhältnisses verwendete Daten bezogen. Die Beschwerdeführerin und K. hätten daher die Auskunft erteilt, außerhalb dieses Mandatsverhältnisses (vom Auskunftsverlangen selbst und dessen Beantwortung abgesehen) keine Daten der mP zu verarbeiten. Hinsichtlich des Mandatsverhältnisses selbst hätten die Beschwerdeführerin und K. eine Auskunftserteilung unter Hinweis auf die Verschwiegenheitspflicht nach § 9 Abs. 2 RAO abgelehnt. Die Beschwerdeführerin und K. bestritten außerdem ihre datenschutzrechtliche Auftraggebereigenschaft. In jedem Fall finde das datenschutzrechtliche Auskunftsrecht gemäß § 26 Abs. 2 DSG 2000 iVm § 9 Abs. 1 RAO aber seine Grenze an gesetzlichen beruflichen Verschwiegenheitspflichten wie denen der Rechtsanwälte. Insbesondere wäre es mit der Funktion der rechtsanwaltlichen Verschwiegenheitspflicht unvereinbar, wenn ein Rechtsanwalt gemäß § 26 Abs. 1 DSG 2000 zur Auskunftserteilung über Inhalte eines Mandatsverhältnisses an einen Gegner seines Mandanten gezwungen wäre oder begründen müsste, warum über solche Daten keine Auskunft zu erteilen sei. Die Beschwerdeführerin und K. beantragten daher, die Beschwerde abzuweisen.

3. Die mP hielt diesem Vorbringen in ihrer Stellungnahme vom 06.12.2015 entgegen, dass dies widersprüchlich sei, da die Verneinung des Bestehens einer Auskunftspflicht unter Berufung auf § 26 Abs. 2 DSG 2000 und § 9 Abs. 2 RAO eine Bejahung der Auftraggebereigenschaft voraussetze. Die datenschutzrechtliche Auftraggebereigenschaft der Rechtsanwälte ergebe sich auch aus der Rechtsprechung der früheren Datenschutzkommission (DSK, mit mehreren Zitaten). Inhaltlich würden die Beschwerdeführerin und K. verkennen, dass § 26 Abs. 2 DSG 2000 stets auf überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten (im vorliegenden Fall des Mandanten der Beschwerdeführerin und der K.) abstelle. Es sei zutreffend, dass die mP Angestellte der Mandantschaft der Beschwerdeführerin und der K. sei. Daher seien die Beschwerdeführerin und K. auch zur Auskunftsverweigerung berechtigt, wenn die volle Auskunftserteilung die eigene Prozesssituation schwächen und dadurch den Interessen ihrer Mandantschaft schaden würde. Eine solche gesetzliche Einschränkung des verfassungsmäßigen subjektiven Rechts auf Auskunft sei jedoch stets restriktiv auszulegen. Das Auskunftsverlangen der mP würde sich nur auf ihre Daten als Betroffene, nicht jedoch auf die Daten Dritter beziehen. Die Beschwerdeführerin und K. seien daher verpflichtet, nachvollziehbar zu begründen, aus welchen überwiegenden Gründen eine Auskunftserteilung verweigert werde, ein pauschaler Verweis auf die anwaltliche Verschwiegenheitspflicht sei hierfür nicht ausreichend (Hinweis auf die Bescheide der DSB vom 27.10.2014, DSB-D122.215/0004-DSB/2014 und vom 09.03.2015, DSB-D 122.299/0003-DSB/2015, RIS).

4. Die Beschwerdeführerin und K. brachten in ihrer Äußerung vom 12.01.2016 ergänzend vor, dass die mP ihr Auskunftsverlangen vom 02.09.2016 lediglich per E-Mail (von einer temporären E-Mail-Adresse aus) gestellt habe. Dieses Auskunftsverlangen habe daher nicht der gesetzlich gebotenen Schriftform entsprochen.

5. Die mP hielt dem in ihrer Stellungnahme vom 26.01.16 entgegen, das Auskunftsverlangen sei nicht per E-Mail gestellt, sondern als Attachment in Form eines eingescannten, eigenhändig unterschriebenen Dokuments übermittelt worden. Es liege der Beschwerdeführerin und K. daher sehr wohl ein schriftliches Auskunftsverlangen vor.

6. Mit dem angefochtenen Bescheid vom 15.03.2016 wurde von der belangten Behörde der Beschwerde hinsichtlich eines Verstoßes gegen das Recht auf Auskunft durch die (nunmehrige) Beschwerdeführerin Folge gegeben und festgestellt, dass die Beschwerdeführerin dadurch, dass sie sich im Schreiben vom 02.09.2015 ohne nähere Begründung geweigert habe, der mP über die innerhalb des Mandatsverhältnisses zum XXXX verarbeiteten, sie betreffenden Daten Auskunft zu erteilen, die mP in Ihrem Recht auf Erhalt einer datenschutzrechtlichen Auskunft verletzt habe. Weiters trug die belangte Behörde der (nunmehrigen) Beschwerdeführerin auf, der mP binnen einer Frist von zwei Wochen bei sonstiger Exekution schriftlich a) über die innerhalb des Mandatsverhältnisses zum XXXX verarbeiteten, sie betreffenden Daten Auskunft zu erteilen, oder b) näher zu begründen, warum diese Auskunft nicht oder nicht vollständig erteilt werde. Hinsichtlich einer Verletzung des Rechtes auf Auskunft durch K. wurde die Beschwerde abgewiesen.

Begründend führte die belangte Behörde aus, dass die Beschwerdeführerin als Personengesellschaft im Datenverarbeitungsregister als datenschutzrechtlich Verantwortliche (Auftraggeberin) aufscheine und die datenschutzrechtliche Verantwortlichkeit (Auftraggebereigenschaft) jeweils der Beschwerdeführerin zuzurechnen gewesen sei. Die in § 26 Abs. 2 DSG 2000 normierten Ausnahmen vom Auskunftsrechtsrecht seien restriktiv auszulegen. Daher werde es im Zusammenhang mit Berufsgeheimnissen - wie etwa § 9 Abs. 2 RAO - ganz besonderer Umstände bedürfen, um ein überwiegendes Interesse des Auftraggebers oder des Dritten an der Nichterteilung der Auskunft über die eigenen Daten des Betroffenen zu begründen. Im Falle der Auskunftsverweigerung habe - wie sich aus § 26 Abs. 4 DSG 2000 ergebe - eine schriftliche begründete Ablehnung zu erfolgen. Die belangte Behörde vermöge anhand der vorgebrachten Begründung für die Auskunftsverweigerung nicht zu erkennen, welche konkreten überwiegenden berechtigten Interessen der Beschwerdeführerin oder ihres Mandanten einer (vollständigen) Auskunftserteilung entgegenstünden. Das Auskunftsverlangen der mP habe vor allem auf die gespeicherten Kontaktdaten, namentlich die E-Mail-Adresse und deren Herkunft, Bezug genommen. Ein pauschaler Verweis auf die anwaltliche Verschwiegenheitspflicht nach § 9 Abs. 2 RAO könne jedenfalls ein Absehen von der Auskunftserteilung nicht rechtfertigen, zumal es sich bei dieser Verschwiegenheitspflicht um keine absolute handle.

Was die Behauptung anlange, dass die mP kein wirksames Auskunftsbegehren gestellt habe, weil sie dies per E-Mail getan habe, so würden Beschwerdegegnerin und K. damit ihrer eigenen Vorgehensweise widersprechen; eine inhaltliche Auskunftsverweigerung könne damit nachträglich nicht begründet werden.

7. Dagegen erhob die Beschwerdeführerin mit Schriftsatz vom 15.04.2016, eingelangt bei der belangten Behörde am 18.04.2016, eine Beschwerde an das Bundesverwaltungsgericht. Darin wurde ausgeführt, dass K. von der mP, die zunächst ebenfalls anwaltlich vertreten gewesen sei, - parallel zu der mit ihrem Anwalt geführten Korrespondenz - mit zahlreichen selbst verfassten E-Mails "bombardiert" worden sei. Im Zuge dieser E-Mail-Flut sei auch das gegenständliche Auskunftsverlangen nach § 26 DSG 2000 ergangen, dessen Sinn von der mP nie erläutert worden sei. Da die Kanzlei außerhalb des Mandatsverhältnisses zum Arbeitgeber der mP zu dessen Person selbstverständlich keine Daten erlangt habe, habe diesbezüglich nur eine Negativauskunft erteilt werden können.

Entgegen dem Spruchpunkt 1 des angefochtenen Bescheides sei die Verweigerung der Auskunft sehr wohl begründet worden. Außerdem enthalte der Spruch des Bescheides die Feststellung, die Beschwerdeführerin hätte im Rahmen des Mandatsverhältnisses die mP betreffenden Daten "verarbeitet", was keine Deckung in den Entscheidungsgründen finde. Der Verarbeitungsbegriff beziehe sich nur auf automationsunterstützten Datenanwendungen.

Weiters fehle es der Beschwerdeführerin an der Auftraggebereigenschaft, weil sie nur im Auftrag des Mandanten tätig werde. Es bestehe auch im gegebenen Fall gemäß § 26 DSG 2000 keine Offenlegungspflicht, da hier manuelle Akten geführt würden. Daran ändere richtigerweise auch der Umstand nichts, dass die Akten in Rechtsanwaltskanzleien - wie auch bei Gerichten und sonstigen Behörden - heute üblicherweise nicht ausschließlich in Papierform, sondern zum Teil noch elektronisch geführt würden. Der elektronische Akt sei nicht wesentlich anders strukturiert als der Papierakt. Der bloße Umstand, dass Daten in einem Schriftstück enthalten seien, das elektronisch abgespeichert werde, führe nicht dazu, dass diese Daten deshalb "zur automationsunterstützten Verarbeitung bestimmt" seien.

Durch den Bescheid werde die anwaltliche Verschwiegenheitspflicht gemäß § 9 Abs. 2 RAO ausgehöhlt. Die Argumentation der belangten Behörde, das Auskunftsverlangen habe sich in erster Linie "bloß auf die gespeicherten Kontaktdaten, namentlich die E-Mail-Adresse und deren Herkunft" bezogen, könne man in der Sache - selbst bei größter Zurückhaltung - überhaupt nur als lächerlich bezeichnen. Das Auskunftsverlangen sei so umfassend formuliert, wie es nach dem Wortlaut des § 26 Abs. 1 DSG 2000 nur irgend möglich sei. Es erstrecke sich wohl in erster Linie darauf, welche Daten der Beschwerdeführerin von ihrem Mandanten bekannt gegeben worden seien und verlange noch dazu die Offenlegung dieser Herkunft. Die Ansicht der belangten Behörde widerspreche auch Art. 6 EMRK. Methodisch laufe der Standpunkt der belangten Behörde darauf hinaus, das Auskunftsrecht des Rechtsanwaltes gegenüber (von seinem Mandanten verschiedenen) Dritten gemäß § 26 Abs. 1 DSG 2000 als ausschließlich durch § 26 Abs. 2 DSG 2000 und nicht auch durch § 9 Abs. 2 RAO begrenzt anzusehen. Weiters wurde auf Entscheidungen deutscher Gerichte verwiesen. Die Beschwerdeführerin verwies überdies auf die erforderliche Schriftlichkeit des Auskunftsverlangens und behauptete, dass das von der mP unterschriebene und gescannte Auskunftsersuchen keine Auskunftspflicht auslösen habe können. Schließlich wurde auf das Schikaneverbot verwiesen und behauptet, dass die mP das Versenden zahlreicher Auskunftsverlangen an alle möglichen beteiligten und unbeteiligten Personen im gegenständlichen Fall offensichtlich rein zum Zweck der Belästigung dieser Personen eingesetzt habe. Ein tatsächliches Auskunftsinteresse der mP sei dabei nie erkennbar gewesen. Die belangte Behörde hätte daher die Beschwerde der mP abweisen müssen.

Die Beschwerdeführerin stelle daher den Antrag, das Bundesverwaltungsgericht möge a) den angefochtenen Bescheid dahingehend abändern, dass die Beschwerde der mP zur Gänze abgewiesen werde; b) in eventu den angefochtenen Bescheid aufheben und die Angelegenheit zur neuerlichen Entscheidung an die belangte Behörde zurückverweisen.

8. Die belangte Behörde brachte die Beschwerde aufgrund der von der Beschwerdeführerin vorgebrachten Neuerungen der mP zur Kenntnis, wozu diese mit Schreiben vom 03.05.2016 eine Stellungnahme abgab. Die Beschwerdeführerin habe keine Beweise für das nunmehr neue Vorbringen eines schikanösen Auskunftsbegehrens vorgelegt. Es handle sich um offenkundige Vorbringenssteigerungen der Beschwerdeführerin. Auch sei keinerlei Begründungspflicht für ein Auskunftsbegehren notwendig (obwohl die mP ihr Auskunftsbegehren sehr wohl sachlich begründet habe). Das Auskunftsbegehren der mP habe auch dem Zweck gedient, zu verifizieren, ob die Beschwerdeführerin unrichtige Daten von ihr verarbeitet und ob sie ihrem Löschungsbegehren entsprochen habe, da sie auf ihr Löschungsbegehren nie eine Antwort bekommen habe. Ein anderer Grund sei gewesen, dass in einem längst beigelegten Rechtsstreit nach Auskunft von K. der Arbeitgeber der mP private Unterlagen, die mit ihrem Arbeitsverhältnis bzw. mit dessen Besteuerung überhaupt nichts zu tun hätten, an eine Steuerberatungskanzlei herausgegeben habe. Aus all diesem folge, dass die mP mit ihrem Auskunftsbegehren an die Beschwerdeführerin ausschließlich sachliche Interessen verfolge.

Zur Auftraggebereigenschaft verwies die mP auf die ständige Rechtsprechung der belangten Behörde bzw. ihre Vorgängerbehörde, der DSK. Bei der Behauptung der Beschwerdeführerin, ausschließlich Akten geführt zu haben, handle es sich offenkundig um eine unglaubwürdige Vorbringenssteigerung. Wenn die Beschwerdeführerin tatsächlich keine Daten verarbeitet hätte, hätte die Berufung auf die anwaltliche Verschwiegenheit keinen Sinn gemacht. Zur anwaltlichen Verschwiegenheitspflicht gemäß § 9 Abs. 2 RAO führte die mP aus, dass ihr Auskunftsbegehren sich nicht auf Geheimnisse bzw. Informationen beziehe, deren Geheimhaltung im Interesse der Mandantschaft der Beschwerdeführerin stehe. Was die behauptete Formungültigkeit ihres Auskunftsbegehrens betreffe, so habe sie ihr Auskunftsbegehren eigenhändig unterschrieben, das Dokument eingescannt und per Mail an die nunmehrige Beschwerdeführerin übermittelt. Es handle sich damit sehr wohl um ein schriftliches Auskunftsbegehren gemäß § 26 DSG 2000.

Die mP stelle daher den Antrag a) auf Abweisung der Beschwerde und Bestätigung der erstinstanzlichen Entscheidung bereits aufgrund der Aktenlage, b) in eventu auf Aufnahme der (von ihr) beantragten Beweise in einer öffentlichen mündlichen Verhandlung und auf Abweisung der Beschwerde und Bestätigung der erstinstanzlichen Entscheidung.

9. Mit Schriftsatz vom 03.06.2016 legte die belangte Behörde dem Bundesverwaltungsgericht die Beschwerde samt Stellungnahme der mP sowie den Verwaltungsakt vor und gab eine Stellungnahme zur Beschwerde ab.

Darin wurde ausführlich begründet, warum eine "schikanöse Rechtsausübung" nach Ansicht der belangten Behörde nicht gegeben sei. Weiters wurde zur Frage der Auskunftsverweigerung gemäß § 9 Abs. 2 RAO, zur Frage der datenschutzrechtlichen Verantwortung sowie zu den behaupteten Mängeln des Auskunftsverlangens Stellung genommen. Schließlich wurden an das Bundesverwaltungsgericht die Anträge gestellt a) gemäß § 28 Abs. 2 VwGVG in der Sache selbst zu entscheiden, da der maßgebliche Sachverhalt feststehe, und b) die Beschwerde abzuweisen.

10. Mit Verfügung des Geschäftsverteilungsausschusses vom 27.06.2018 wurde der hg. Beschwerdeakt der bisher zuständigen Gerichtsabteilung abgenommen und der Gerichtsabteilung W214 neu zugewiesen.

11. Mit Schreiben vom 13.09.2018 übermittelte das Bundesverwaltungsgericht der Beschwerdeführerin die Stellungnahme der belangten Behörde und ersuchte bezüglich des Vorwurfs schikanöser Vorgangsweise der mP um Vorlage allfälliger E-Mails und um Mitteilung, ob von ihr automationsunterstützt Daten verarbeitet werden und ob ein arbeitsrechtlicher Rechtsstreit bestehe bzw. dieser bereits beigelegt sei.

12. Mit Stellungnahme vom 24.09.2018 nahm die Beschwerdeführerin dazu Stellung und führte aus, dass das von der mP gestellte Auskunftsbegehren das erste an sie gestellte war, es aber vorher ein Löschungsbegehren der mP gegeben habe. Die mP habe an mehrere Personen Auskunftsbegehren gestellt. Der arbeitsrechtliche Rechtsstreit sei bereits abgeschlossen, wobei die Verschwiegenheitspflicht gemäß § 9 Abs. 2 RAO freilich über das Ende des Mandatsverhältnisses hinausreiche. Die Beschwerdeführerin räumte weiters ein, eine (namentlich genannte) handelsübliche Rechtsanwaltssoftware zu verwenden. Weiters wurde eingewendet, dass § 9 Abs. 3a RAO in der Fassung des Materien-Datenschutz-Anpassungsgesetz 2018 ausdrücklich klarstelle, dass sich die betroffene Person gegen das Recht des Rechtsanwaltes auf Verschwiegenheit nicht auf das datenschutzrechtliche Auskunftsrecht - und die übrigen Rechte gemäß Art. 12 bis 22 und Art. 34 DSGVO sowie § 1 DSG - berufen könne. Diese Geheimhaltung erstrecke sich auch auf Kontaktdaten. In der Anlage wurden einige E-Mails vorgelegt, aus denen hervorgeht, dass die mP ihr Mandatsverhältnis mit einem anderen Rechtsanwalt beendet und zwei Löschungsbegehren (eines davon zeitlich vor dem Auskunftsbegehren) gestellt hat.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die Beschwerdeführerin (eine offene Gesellschaft zur Ausübung des freien Berufes der Rechtsanwaltschaft gemäß § 19 Abs. 1 Z 4 UGB) vertrat aufgrund von Auftrag und Vollmacht den XXXX (Aufsichtsbehörde mit eigener Rechtspersönlichkeit gemäß § 18c Abs. 1 Z 1 und § 19 Abs. 5a A-QSG) in einer arbeitsrechtlichen Angelegenheit gegenüber der mP. Das Verfahren ist inzwischen abgeschlossen.

Die Beschwerdeführerin wurde im Datenverarbeitungsregister am 01.03.1999 unter der DVR-Nummer XXXX u. a. als Auftraggeberin der Datenanwendung "Klienten- und Gegnerdatei" registriert und ist Verantwortliche für diese Verarbeitung.

Am 02.09.2015 richtete die mP ein Schreiben folgenden Inhalts (Personennamen und Postadresse anonymisiert, Anm.) mit ihrer eigenhändigen Unterschrift und einer angeschlossenen Kopie eines Lichtbildausweises (Führerschein), angeschlossen als Scan (JPG-Bilddateien) einer E-Mail von der Adresse XXXX an die E-Mail-Adresse der Beschwerdeführerin XXXX .

"Betrifft: Auskunftsbegehren gemäß § 26 DSG 2000

Sehr geehrte Frau Dr. K.!

Hiermit begehre ich von der X- Rechtsanwalts-Partnerschaft sowie von Ihnen schriftlich Auskunft gemäß § 26 Abs. 1 DSG 2000 an meine Wohnadresse YYY. Meine Identität weise ich durch beiliegende Kopie meines Führerscheines nach.

Ein Auskunftsbegehren bezieht sich auf sämtliche verarbeitete Daten, die Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Anführung der Rechtsgrundlagen hierfür in allgemein verständlicher Form.

Ich begehre auch die Angabe von Namen und Adresse von mit der Verarbeitung meiner Daten beauftragten Dienstleistern.

Mein Auskunftsbegehren bezieht sich insbesondere auf die im Rahmen ihres Mandates für den XXXX verwendeten Daten. Damit in Verbindung habe ich Ihnen bereits am 26.11.2014 ein Löschungsbegehren gemäß § 27 DSG 2000 übermittelt, dieses blieb jedoch unbeantwortet. Mein Auskunftsbegehren bezieht sich daher insbesondere auf die Rechtsgrundlage der Speicherung meiner E-Mail-Adresse XXXX

Im Übrigen stehe ich für jede zumutbare Mitwirkung zur Verfügung. Dieses Auskunftsbegehren bezieht sich ausdrücklich ausschließlich auf den aktuellen Datenbestand und ist man erstes. im Kalenderjahr 2015. Es richtet sich an die X-Rechtsanwalts-Partnerschaft sowie an Sie in eigenem Namen.

In dieser Angelegenheit bin nicht derzeit anwaltlich noch nicht vertreten.

Hochachtungsvoll

R."

Dieses Schreiben kam der Beschwerdeführerin am 02.09.2015 zu und wurde noch am selben Tage inhaltlich wie folgt beantwortet:

"Betrifft: Auskunftsbegehren gemäß § 26 DSG 2000

Sehr geehrter Herr Mag. R.!

Ich beziehe mich auf Ihr Schreiben vom 02.09.2015. Wie Sie wissen vertreten wir den XXXX Ihnen gegenüber in einer arbeitsrechtlichen Angelegenheit. Gemäß § 9 Abs. 2 RAO sind wir als Rechtsanwaltskanzlei zur Verschwiegenheit über die uns anvertrauten Angelegenheiten verpflichtet. Soweit das soeben genannte Mandatsverhältnis betroffen ist, können wir Ihnen daher keinerlei Auskünfte erteilen. Außerhalb dieses Mandatsverhältnisses wurden und werden von uns keine Daten zu ihrer Person verarbeitet, abgesehen davon, dass wir Ihr nunmehriges Schreiben natürlich bei unseren Unterlagen abspeichern und nach Maßgabe der Interessen unseres Mandanten allenfalls davon Gebrauch machen werden.

Mit freundlichen Grüßen

K."

Dieses Auskunftsschreiben wurde auch in weiterer Folge (während des laufenden Verfahrens der belangten Behörde) nicht ergänzt.

Die mP stellte im Vorfeld des Auskunftsbegehrens ein Löschungsbegehren an die Beschwerdeführerin.

2. Beweiswürdigung:

Die Feststellungen ergeben sich zweifelsfrei aus dem Verwaltungs- und aus dem Gerichtsakt. Dass die Beschwerdeführerin seinerzeit selbst Meldung an das DVR erstattet hat und dort als Auftraggeberin registriert wurde, ist auch aus dem - inzwischen als Archiv geführten - DVR-Online ersichtlich.

3. Rechtliche Beurteilung:

3.1.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder

(2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A) Abweisung:

3.2.1. Rechtslage:

§ 69 DSG enthält keine Übergangsbestimmungen bezüglich des Verfahrens in Datenschutzangelegenheiten vor dem Bundesverwaltungsgericht. Damit ist die zum Zeitpunkt der Beschlussfassung geltende Rechtslage anzuwenden (VwGH Ra 2015/07/0074 vom 19.02.2018, Ra 2017/22/0125 vom 22.02.2018 uva).

Die relevanten Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ABl. L 119 vom 04.05.2016, im Folgenden: DSGVO, und des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG), BGBl. I Nr. 165/1999 idgF, lauten:

DSGVO

"Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Z 3 bis 5 (...)

6. "Dateisystem" jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

7. "Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

Z 8 bis 26 (...)

KAPITEL III

Rechte der betroffenen Person

Abschnitt 1

Transparenz und Modalitäten

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) bis (8) [...]

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Artikel 23

Beschränkungen

(1) Durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche oder der Auftragsverarbeiter unterliegt, können die Pflichten und Rechte gemäß den Artikeln 12 bis 22 und Artikel 34 sowie Artikel 5, insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die Folgendes sicherstellt:

a) die nationale Sicherheit;

b) die Landesverteidigung;

c) die öffentliche Sicherheit;

d) die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit;

e) den Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere eines wichtigen wirtschaftlichen oder finanziellen Interesses der Union oder eines Mitgliedstaats, etwa im Währungs-, Haushalts- und Steuerbereich sowie im Bereich der öffentlichen Gesundheit und der sozialen Sicherheit;

f) den Schutz der Unabhängigkeit der Justiz und den Schutz von Gerichtsverfahren;

g) die Verhütung, Aufdeckung, Ermittlung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe;

h) Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a bis e und g genannten Zwecke verbunden sind;

i) den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen;

j) die Durchsetzung zivilrechtlicher Ansprüche.

(2) [...]

Artikel 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78."

DSG:

"(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) bis (10) [...]

§ 9 Abs. 2 bis Abs 3a der Rechtsanwaltsordnung (RAO), RGBl. Nr. 96/1868 idgF lauten:

"(2) Der Rechtsanwalt ist zur Verschwiegenheit über die ihm anvertrauten Angelegenheiten und die ihm sonst in seiner beruflichen Eigenschaft bekanntgewordenen Tatsachen, deren Geheimhaltung im Interesse seiner Partei gelegen ist, verpflichtet. Er hat in gerichtlichen und sonstigen behördlichen Verfahren nach Maßgabe der verfahrensrechtlichen Vorschriften das Recht auf diese Verschwiegenheit. Gleiches gilt für die Gesellschafter sowie die Mitglieder der durch Gesetz oder Gesellschaftsvertrag vorgesehenen Aufsichtsorgane einer Rechtsanwalts-Gesellschaft.

(3) Das Recht des Rechtsanwaltes auf Verschwiegenheit nach Abs. 2 zweiter Satz darf durch gerichtliche oder sonstige behördliche Maßnahmen, insbesondere durch Vernehmung von Hilfskräften des Rechtsanwaltes oder dadurch, daß die Herausgabe von Schriftstücken, Bild-, Ton- oder Datenträgern aufgetragen wird oder diese beschlagnahmt werden, nicht umgangen werden; besondere Regelungen zur Abgrenzung dieses Verbotes bleiben unberührt.

(3a) Soweit dies das Recht des Rechtsanwalts auf Verschwiegenheit zur Sicherstellung des Schutzes der Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche erfordert, kann sich die betroffene Person nicht auf die Rechte der Art. 12 bis 22 und Art. 34 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1 (im Folgenden: DSGVO), sowie des § 1 DSG berufen."

3.2.2. Die Beschwerde wurde fristgerecht eingebracht und ist zulässig.

Unter Berücksichtigung dieser Rechtslage ergibt sich für den vorliegenden Fall Folgendes:

Zur Verantwortlicheneigenschaft der Beschwerdeführerin:

"Verantwortlicher" ist gemäß Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Hinsichtlich der Ausführungen der Beschwerdeführerin, die versucht, ihre datenschutzrechtliche Verantwortung (damals noch: Auftraggeberschaft) zu bestreiten (Beschwerde, Seite 5 f, Rz 2.3), ist der belangten Behörde dahingehend zu folgen, dass es einzelne Fälle von Beauftragungsverhältnissen gibt, in welchen traditionellerweise der Beauftragte selbständig ("eigenverantwortlich") über die Verwendung der ihm übergebenen Informationen entscheidet und hiezu auch nach den für ihn geltenden Standesregeln verpflichtet und hiefür verantwortlich ist - dies gilt etwa für bestimmte freie Berufe, wie Rechtsanwälte, Wirtschaftstreuhänder und Ziviltechniker (siehe dazu etwa auch BVwG 27.06.2017, W101 2127704-1/7E, in dem von der Auftraggeberschaft eines Rechtsanwaltes ausgegangen wird). Diese nach "alter" Rechtslage in § 4 Z 4 letzter Halbsatz DSG 2000 bzw. den Gesetzesmaterialien (EB zur RV des DSG 2000, 1613 BlgNR XX. GP, 38) entnehmbare Interpretation ist auch durch die Definition des "Verantwortlichen" in der DSGVO nicht obsolet geworden (siehe dazu die Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV), BGBl. II Nr. 108/2018, in der unter "DSFA-A13 Rechts- und Beratungsberufe" die Datenverarbeitung von rechtsberatenden und unternehmensberatenden Berufen, wie einzelne Rechtsanwälte, Notare, Patentanwälte, Wirtschaftstreuhänder, Steuerberater und Unternehmensberater im Rahmen ihrer Berufsausübung von der Datenschutz-Folgenabschätzung [einer in Art. 35 DSGVO normierten Verpflichtung des Verantwortlichen] ausgenommen sind).

Wenn die Beschwerdeführerin in der Beschwerde vorbringt (Beschwerde, Seite 5, Rz 2.2), sich "nicht bewusst zu sein", die mP betreffende Daten zu verarbeiten, so widerspricht sie damit sowohl der von ihr erteilten datenschutzrechtlichen Auskunft vom 02.09.2005, die nur den Schluss zulässt, dass vom Berufsgeheimnis geschützte Daten verarbeitet werden (da sie ausdrücklich nur für "außerhalb dieses Mandatsverhältnisses" angab, dass keine Daten der mP verarbeitet würden), als auch ihrem Vorbringen in der Beschwerde, das u.a. ausdrücklich auf eine (elektronische, damit automationsunterstützt verarbeitete) E-Mail-Korrespondenz mit der mitbeteiligten Partei verweist.

Im Übrigen wäre die Beschwerdeführerin, folgte man ihrer Auslegung des Gesetzes, verpflichtet gewesen, die mP an den ihrer Meinung nach für die Datenverarbeitung verantwortlichen Mandanten zu verweisen, der aber - so er nicht selbst Rechtsanwalt sein sollte - als datenschutzrechtlicher Verantwortlicher der mP nicht das anwaltliche Berufsgeheimnis, sondern nur § 26 Abs. 2 DSG 2000 ((nunmehr:

[andere] Gründe, die auf Art. 23 DSGVO iVm diesem entsprechenden Gesetzgebungsmaßnahmen beruhen) entgegenhalten hätte können.

Die Beschwerdeführerin hat selbst in ihrer Beschwerde vom 15.04.2016 eingeräumt, dass Anwaltskanzleien die Korrespondenzen mit ihren Mandanten und den gegnerischen Parteien auch automationsunterstützt verarbeiten und hat diese Datenanwendung (nunmehr: Verarbeitung) auch seinerzeit beim Datenverarbeitungsregister der belangten Behörde gemeldet. Schließlich hat die Beschwerdeführerin in ihrer Stellungnahme vom 24.09.2018 angegeben, eine handelsübliche Rechtsanwaltssoftware zu verwenden und mithilfe dieser elektronische Akten zu führen und Kontaktdaten von Mandanten, Gegnern und sonstigen Beteiligten zu speichern.

Es steht daher außer Zweifel, dass die Beschwerdeführerin ihre Unterlagen nicht nur in manueller "Aktenform", sondern auch automationsunterstützt verarbeitet.

Zur Frage der behaupteten schikanösen Rechtsausübung:

Das Vorbringen der Beschwerdeführerin (Beschwerde, Seite 2 f, Rz 1.1 bis 2.2), die datenschutzrechtliche Beschwerde der mP sei "rein querulatorischen Charakters" und sowohl Auskunftsverlangen als auch Beschwerde seien in schikanöser Absicht ("rein zum Zweck der Belästigung", Beschwerde, Seite 15, Rz 2.7) eingebracht worden, ist eine Neuerung. Ein entsprechender Einwand ist im Verwaltungsverfahren nicht erhoben worden.

Wie die belangte Behörde zu Recht ausführte, lag daher weder ein in eventu unter Beweis zu stellendes prozessuales Tatsachenvorbringen vor, noch war aus Sicht der belangten Behörde im Ermittlungsverfahren ein Hinweis auf ein tatsächlich schikanöses Verhalten der mitbeteiligten Partei hervorgekommen.

Die belangte Behörde wies zu Recht darauf hin, dass für sie nur ein Verhalten der mP im Konnex des in dieser Verwaltungssache zu beurteilenden Sachverhalts Indizien auf den Tatbestand der Schikane liefern hätte können. Ein solches Verhalten lag nicht vor. Daher mussten gemäß § 39 Abs. 2 AVG auch keine diesbezüglichen amtswegigen Ermittlungen durchgeführt werden.

Die belangte Behörde führte dazu aus:

"Schikane ist ein aus der Zivilrechtsvorschrift des § 1295 Abs. 2 ABGB abgeleiteter allgemeiner Rechtsbegriff, der der gesamten Rechtsordnung innewohnt (vgl. OGH 23.2.1993, SZ 66/45) und der im hier relevanten Zusammenhang besagt, dass ein gesetzlich ausdrücklich eingeräumtes Recht vom Berechtigten ausschließlich zu dem Zweck ausgeübt wird, dem Verpflichteten Schaden zuzufügen. Schikane in diesem Sinne ist eine Erscheinungsform des Rechtsmissbrauchs und als solcher verboten. Dass eine Rechtsausübung für den Verpflichteten Belastungen mit sich bringt, was bei einer datenschutzrechtlichen Auskunftserteilung sicher der Fall ist, ist vom Gesetzgeber jedoch regelmäßig so gewollt. Auch das datenschutzrechtliche Auskunftsrecht unterliegt nach älterer Rechtsprechung (noch zum bereits am 1.1.2000 außer Kraft getretenen (ersten) Datenschutzgesetz, BGBl. Nr. 565/1978) dem allgemeinen Schikaneverbot (OGH 10.07.1986, SZ 59/123 = RdW 1986, 306 = JBl 1986, 643).

Um von Schikane sprechen zu können, muss jedoch das verpönte Motiv im einzelnen Fall nachgewiesen sein. Nur dieses Motiv, nach dem der Zweck der Rechtsausübung einzig und ausschließlich darin besteht, dem Verpflichteten Schaden zuzufügen und ihm Probleme zu bereiten, macht ein sonst rechtmäßiges Handeln zur rechtswidrigen Schikane.

Das Schikaneverbot beschränkt die Ausübung des Eigentums nur so weit, als die Schädigung des anderen der einzige Zweck der Rechtsausübungshandlung ist (Klang 2 II 167) (OGH 30.08.1974, 3 Ob 45/74, EvBl 1975/31 S 67 = JBl 1975, 203, RIS-RS0010568).

Die Zahl der von der mitbeteiligten Partei bei der belangten Behörde anhängig gemachten Verfahren oder behauptete telefonische Äußerungen eines Behördenmitarbeiters sind für den Gegenstand dieser Sache ebenso ohne Bedeutung wie die Frage, ob die mitbeteiligte Partei die Zweitbeschwerdegegnerin vor der belangten Behörde, die Rechtsanwältin XXXX , durch häufige Kontaktaufnahme per E-Mail gestört und deren Arbeit beeinträchtigt hat (sie "mit zahlreichen selbstverfassten E-Mails "bombardiert" hat", Beschwerde, Seite 2, Rz 1.2). All dies ist nicht geeignet, den Tatbestand der Schikane zu erfüllen oder zu beweisen und damit das subjektiv-öffentliche Recht der mitbeteiligten Partei auf Auskunftserhalt zum Erlöschen zu bringen."

Die Beschwerdeführerin legte auf Aufforderung des Bundesverwaltungsgerichts (lediglich) E-Mails vor, aus denen hervorgeht, dass die mP ihr Mandatsverhältnis zu einem anderen Rechtsanwalt beendete und dies der Beschwerdeführerin mitteilte und dass sie im Vorfeld zum gegenständlichen Auskunftsbegehren ein Löschungsbegehren an die Beschwerdeführerin gestellt hat. Dies kann jedoch - ebensowenig wie die Behauptung, dass die mP auch an andere Personen Auskunftsbegehren gestellt habe - belegen, dass die mP ihre Rechts "schikanös" geltend machte. Das Bundesverwaltungsgericht schließt sich daher der Rechtsansicht der belangten Behörde an und sieht den Tatbestand der Schikane nicht als erfüllt an.

Gemäß Art. 12 Abs. 5 zweiter Satz DSGVO kann bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person der Verantwortliche entweder a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder b) sich weigern, aufgrund des Antrags tätig zu werden.

Im gegebenen Fall gibt es aber keine Anhaltspunkte für ein derartiges exzessives Verhalten, zumal die mP selbst - was auch von der Beschwerdeführerin bestätigt wurde - ausführte, dass sie ihr erstes Auskunftsersuchen in diesem Jahr stellte. Auch weitere Beweise für das Vorliegen diesbezüglicher exzessiver Anträge der mP wurden nicht vorgelegt,

Zur Begründungspflicht des Auskunftsbegehrens:

Zunächst ist darauf zu verweisen, dass nach herrschender Rechtsprechung bei der Auslegung des Auskunftsrechts stets davon auszugehen ist, dass der Gesetzgeber dem von Datenverarbeitungen Betroffenen ein nicht weiter begründungsbedürftiges Interesse an der Auskunft darüber in dem in dieser Bestimmung vorgesehenen Ausmaß zuerkennt, siehe etwa VwGH E 19.12.2006, VwSlg 17090 A/2006. Es ist auch nicht davon auszugehen und auch nicht aus Art. 15 DSGVO ersichtlich, dass der europäische Gesetzgeber entgegen der mehrmals erklärten Absicht, die Betroffenenrechte zu stärken, nunmehr ein spezielles "Auskunftsinteresse" vorgesehen hat.

Selbst wenn man die Meinung verträte, dass die Formulierung in Art. 12 Abs. 5 DSGVO "offenkundig unbegründet" sich auch auf Auskunftsersuchen bezieht, wäre das Auskunftsersuchen der mP aus folgenden Gründen nicht als "offenkundig unbegründet" zu qualifizieren:

Wie die mP in ihrer Stellungnahme vom 03.05.2016 ausführte, hatte sie bereits am 26.11.2014 ein Löschungsbegehren an die Beschwerdeführerin geschickt, das jedoch nicht beantwortet worden sei. Insofern habe ihr Auskunftsbegehren auch dem Zweck gedient, zu verifizieren, ob die Beschwerdeführerin unrichtige Daten der mP verarbeite und ob sie ihrem Löschungsbegehren entsprochen habe. Wie die mP ausführte, gäbe es aber auch noch weitere Gründe, warum sie ein Auskunftsbegehren an die Beschwerdeführerin gerichtet habe:

Während der Anhängigkeit des arbeitsrechtlichen Streites - der längst durch einen Vergleich beigelegt sei - habe K. dem damaligen Rechtsvertreter der mP mitgeteilt, dass ihr Arbeitgeber private Unterlagen der mP an eine Steuerberatungskanzlei herausgegeben habe - und zwar Unterlagen, die mit dem Arbeitsverhältnis bzw. mit dessen Besteuerung überhaupt nichts zu tun gehabt hätten. Die mP habe mit dem Auskunftsbegehren verifizieren wollen, welche Daten ihr Arbeitgeber auf welcher Rechtsgrundlage und zu welchem Zweck an die Beschwerdeführerin übermittelt habe, da sie seit dem Vergleich aus verständlichen Gründen keine Konfrontation mit ihrem Arbeitgeber wolle.

Das Auskunftsbegehren der mP ist daher weder als unbegründet noch als exzessiv zu qualifizieren.

Zur anwaltlichen Verschwiegenheitspflicht als Grundlage einer Auskunftsverweigerung

Die belangte Behörde legte § 26 Abs. 1 und 4 (und damit implizit auch die Verfassungsbestimmung § 1 Abs. 3 Z 1 DSG 2000 und das Unionsgrundrecht gemäß Art 8 Abs. 2 2. Satz GRC, da es sich bei § 26 DSG 2000 um die Umsetzung von Art 12 lit a) erster und zweiter Spiegelstrich der DS-Richtlinie 95/46/EG handelte) so aus, dass "ein pauschaler Verweis auf die anwaltliche Verschwiegenheitspflicht nach § 9 Abs. 2 RAO (oder eine andere gesetzliche Verschwiegenheitspflicht) [...] jedenfalls ein Absehen von der Auskunftserteilung nicht rechtfertigen" könne (DSB vom 27.10.2014, DSB-D122.215/0004-DSB/2014, RIS).

Die Beschwerdeführerin hat das Auskunftsverlangen der mP, wie im angefochtenen Bescheid festgestellt (Seite 5), nach Verweis auf die Vertretung eines Verfahrensgegners - was der mP bereits bekannt war - mit folgender Begründung abgelehnt: "Gemäß § 9 Abs. 2 RAO sind wir als Rechtsanwaltskanzlei zur Verschwiegenheit über uns anvertraute Angelegenheiten verpflichtet. Soweit das soeben genannte Mandatsverhältnis betroffen ist, können wir ihnen daher keinerlei Auskünfte erteilen." Im Übrigen verwies die Beschwerdeführerin darauf, außerhalb dieses Mandatsverhältnisses keine die mP betreffenden Daten zu verarbeiten.

Die Rechtsprechung zu § 9 Abs. 2 RAO (insbesondere des OGH als Rechtsmittelgericht in Disziplinarsachen der Rechtsanwälte gemäß § 46 DSt) betont, dass die berufliche Verschwiegenheitspflicht Geheimnisse schützt, die irgendjemand einem Rechtsanwalt im Hinblick auf dessen berufliche Sphäre anvertraut oder mitteilt. "Wer sich einem Rechtsanwalt in der Absicht, von diesem vertreten zu werden, anvertraut oder ihm Unterlagen übergibt, hat einen Anspruch darauf, dass seine dem Rechtsanwalt gemachten Mitteilungen und überhaupt alles, was diesem - sei es auch durch Übergabe von Unterlagen - in welcher Weise immer in seiner beruflichen Eigenschaft bekannt wurde, durch das Berufsgeheimnis gedeckt ist; und zwar in jedem Fall, deshalb auch dann, wenn der Rechtsanwalt die Übernahme der ihm zugedachten Angelegenheit ablehnen sollte. Maßgebend ist nur, ob es eine dem Rechtsanwalt anvertraute, d. h. im Vertrauen auf dessen Berufsstellung übertragene Angelegenheit ist" (OGH 25.10.2004, 4 Bkd 3/04, RIS).

Dass die berufliche Verschwiegenheitspflicht der Rechtsanwälte nicht absolut ist, ergibt sich schon aus dem Wortlaut des Gesetzes. § 9 Abs. 2 RAO verpflichtet den Rechtsanwalt nämlich nur zur "Verschwiegenheit über die ihm anvertrauten Angelegenheiten und die ihm sonst in seiner beruflichen Eigenschaft bekanntgewordenen Tatsachen, deren Geheimhaltung im Interesse seiner Partei gelegen ist". Die Verschwiegenheitspflicht der Beschwerdeführerin besteht also nur in Relation zum Geheimhaltungsinteresse des Mandanten.

Diese Rechtsprechung ist auch in Verbindung mit der neuen Rechtslage nach der DSGVO heranzuziehen.

Gemäß Art. 23 DSGVO könnten die Rechtsvorschriften der Union und den Mitgliedstaaten, denen der Verantwortliche unterliegt, die Pflichten und Rechte gemäß den Artikeln 12 bis 22 [...] insofern dessen Bestimmungen den in den Artikeln 12 bis 22 vorgesehenen Rechten und Pflichten entsprechen, im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt die eine der in den lit. a) bis j) genannten Zwecke sichergestellt.

Unter derartige Ausnahmen können auch Berufsgeheimnisse, wie etwa § 9 Abs. 2 RAO (vgl. dazu noch zu § 26 DSG 2000 Jahnel, Datenschutzrecht 2010] Rz 7/57 mwN), fallen. So könnte etwa dann eine Auskunft verweigert werden, wenn der Auftraggeber bei voller Auskunftserteilung in einem anhängigen Rechtsstreit mit dem Auskunftswerber seine eigene Prozesssituation schwächen würde (vgl. dazu Dohr/Pollirer/Weiss/Knyrim, DSG2 noch zum "alten" § 26 DSG 2000 Anm 21).

Als Einschränkungen eines (verfassungsgesetzlichen) subjektiven Rechts sind diese Ausnahmen jedoch restriktiv auszulegen. Im Falle der Auskunftsverweigerung hat - wie sich aus Art. 12 Abs. 4 DSGVO ergibt - eine schriftliche begründete Ablehnung zu erfolgen. Aus der Begründung der Ablehnung muss für die betroffene Person selbst, jedoch auch für die Datenschutzbehörde, welche nach § 24 DSG angerufen werden kann, und für die nachprüfenden Gerichte nachvollziehbar hervorgehen, aus welchen eine Auskunftserteilung einschränkenden Gründen (nach einem dem Art. 23 DSGVO entsprechenden Gesetz) keine Auskunft erteilt wird.

Der Verantwortliche hat gemäß Art. 12 Abs. 1 DSGVO die Mitteilungen gemäß Art. 15 DSGVO, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Dem Auskunftswerber sind die in Art. 15 Abs. 1 lit. a bis h) DSGVO aufgezählten Informationen zu erteilen. Der betroffenen Person ist in diesem Zusammenhang mitzuteilen, wie die tatsächlichen Eintragungen z. B. bei den Kategorien personenbezogener Daten, die verarbeitet werden, lauten.

Der belangten Behörde und der mP ist zunächst insofern zu folgen, als das Auskunftsverlangen der mP vor allem auf die gespeicherten Kontaktdaten, namentlich die E-Mail-Adresse und deren Herkunft, Bezug nahm. Es ist insbesondere hinsichtlich der gerade erwähnten Daten nicht erkennbar, inwieweit hier eine gemäß Art. 15 DSGVO erfolgende Auskunftserteilung über Herkunft, Inhalt und Rechtsgrundlagen einer Verarbeitung solcher Daten das durch § 9 Abs. 2 2. Satz RAO gewährleistete Recht eines Rechtsanwalts oder einer Rechtsanwalts-Partnerschaft auf "Geheimhaltung im Interesse seiner Partei" bzw. die Geheimhaltungsinteressen eines Dritten, nämlich der von der Partnerschaft vertretenen Partei, verletzen könnte. Wenn die Beschwerdeführerin in ihrer Stellungnahme vom 24.09.2018 (erstmals) vorbringt, dass die Kontaktdaten für Zustellungen und Exekutionen von Bedeutung sind und deshalb nicht der mP mitgeteilt werden dürften, so ist dem entgegenzuhalten, dass davon auszugehen ist, dass der mP als Verfahrensbeteiligter ihre eigenen Kontaktdaten bekannt sind und sie insbesondere überprüfen wollte, ob deren Löschung aufgrund eines Löschungsbegehrens, das von der Beschwerdeführerin nicht beantwortet wurde, erfolgt ist. Davon abgesehen, dass der gegenständliche Rechtsstreit bereits beendet ist, sodass es in dieser Sache zu keinen Exekutionen dgl. kommen wird, ist davon auszugehen, dass gerade rechtlich relevante Zustellungen und insbesondere Exekutionen wohl im Regelfall nicht per E-Mail-Adresse erfolgen, wenn eine Postadresse bekannt ist (was im gegenständlichen Fall gegeben war). Es ist nicht ersichtlich, wieso durch die Bekanntgabe dieser Daten die Prozesssituation des Mandanten der Beschwerdeführerin geschwächt wird. Daraus folgt, dass die Kontaktdaten (Name, Adresse, E-Mail-Adresse u.dgl.) der mP auf deren Verlangen an sie zu beauskunften sind, da hier kein erkennbares Geheimhaltungsinteresse des Mandanten besteht.

Umgekehrt ist (eingehend auf die Beschwerde, Seite 7, Rz 2.4) nicht zu bezweifeln, dass ein Rechtsanwalt mit Hilfe des datenschutzrechtlichen Auskunftsrechts keinesfalls verpflichtet werden kann, Auskunft über den Inhalt von Urkunden, die sein Mandant übergeben hat, oder über den Inhalt einer E-Mail-Korrespondenz mit dem Mandanten zu geben, die dem Berufsgeheimnis unterfallen, auch wenn solche Dokumente automationsunterstützt verarbeitete Daten eines Auskunftswerbers enthalten sollten (dazu zählen auch, anders als von der Beschwerdeführerin vorgebracht, etwa eingescannte und damit inhaltlich automationsunterstützt erschließbare Urkunden und Inhalte elektronischer Akten).

Um es der belangten Behörde und den überprüfenden Gerichten zu ermöglichen, zwischen diesen widerstreitenden Rechten und Interessen abzuwägen, ohne vorher den Dateninhalt im Zuge des Ermittlungsverfahrens einzusehen und zu prüfen - was erkennbar nicht im Interesse der Beschwerdeführerin wäre -, muss ein Rechtsanwalt als datenschutzrechtlich Verantwortlicher im Zuge einer begründeten Auskunftsablehnung gemäß Art. 12 Abs: 4 DSGVO gegenüber dem Auskunftswerber zu begründen, warum eine Auskunftserteilung gegen die berufliche Verschwiegenheitspflicht verstoßen würde. Das hat die Beschwerdeführerin nicht hinreichend getan. Vielmehr hat sie bloß undifferenziert bezüglich sämtlicher im Rahmen des Mandatsverhältnisses verarbeiteten Daten pauschal auf Art. 9 Abs. 2 RAO verwiesen.

Auch übersieht die Beschwerdeführerin, dass der Leistungsauftrag des angefochtenen Bescheids (Spruchpunkt 2. lit a) und b) es ihr alternativ freistellt, inhaltlich Auskunft zu erteilen oder die Begründung für die Auskunftsverweigerung im oben ausgeführten Sinne nachzuschärfen. Hier wurde auch die eventuell gebotene Wahrung des anwaltlichen Berufsgeheimnisses ausreichend berücksichtigt und die Beschwerdeführerin keinesfalls in eine Lage versetzt, die ihr nur die Wahl gelassen hätte, entweder die Anordnung der belangten Behörde zu missachten oder gegen Standespflichten zu handeln. Damit wurde auch dem Grundsatz der verfassungskonformen Interpretation (im Hinblick auf die Grundrechte, deren Schutz die anwaltliche Verschwiegenheitspflicht im weiteren Sinne dient, vgl. Beschwerde, Seite 10 ff, Rz 2.5) entsprochen.

Die Beschwerdeführerin wird also bezüglich der über die mP verarbeiteten Daten zu prüfen haben, inwieweit hier eine Abwägung nach § 9 Abs. 2 RAO tatsächlich zu einer berechtigen Geheimhaltung dieser Daten gegenüber dem mP besteht und wäre dies zumindest so zu begründen, dass dies die mP und die belangte Behörde bzw. überprüfende Gerichte nachvollziehen können.

In diesem Zusammenhang verweist das Bundesverwaltungsgericht darauf, dass auch ihm von der Beschwerdeführerin die bei der Beschwerdeführerin gespeicherten Daten, insbesondere die Korrespondenzen mit der mP, die im Rahmen des Mandatsverhältnisses verarbeitet wurden, unter Verweis auf die anwaltliche Verschwiegenheit nicht zugänglich gemacht wurden. Würde ein pauschaler Verweis auf § 9 Abs. 2 und 3a RAO reichen, so würde diesbezüglich eine Rechtsschutzlücke entstehen, da weder die belangte Behörde noch die nachprüfenden Gerichte die Möglichkeit hätten, die Plausibilität einer Auskunftsverweigerung zu überprüfen. Weiters hat die Beschwerdeführerin selbst eingeräumt, dass der neue § 9 Abs. 3a RAO lediglich eine Klarstellung der bisher geltenden Rechtslage bedeutet und somit keine neue Rechtslage schafft. Auch § 9 Abs. 3a RAO normiert - wie auch § 9 Abs. 2 RAO - keine absolute Verschwiegenheitspflicht, sondern diese besteht nur, "soweit dies das Recht des Rechtsanwalts auf Verschwiegenheit zur Sicherstellung des Schutzes der Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche erfordert". Die Erläuterungen zu § 9 Abs. 3a RAO idF des Materien-Datenschutz-Anpassungsgesetzes 2018 führen dazu aus: "Die Beschränkung der Betroffenenrechte geht (nur) so weit, wie dies das Recht des Rechtsanwalts auf Verschwiegenheit zur Sicherstellung des Schutzes der Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche erfordert, ist also lediglich punktuell und erfolgt unter klar definierten Voraussetzungen. Allfällige Kontrollbefugnisse der Datenschutzbehörde als Aufsichtsbehörde bleiben unberührt." Eine verfassungskonforme Interpretation der genannten Bestimmungen führt daher zum Schluss, dass eine "Erforderlichkeit" im Sinne dieser Bestimmung vom Verantwortlichen geprüft werden muss. Auch muss eine Überprüfung der Verweigerung einer Auskunftserteilung zumindest hinsichtlich der Plausibilität dieser Verweigerung möglich sein (§ 25 Abs. 3 DSG {neu] war für die belangte Behörde zum Zeitpunkt der Bescheiderlassung noch nicht anwendbar). In diesem Zusammenhang ist darauf hinzuweisen, dass die Beschwerdeführerin nunmehr im gerichtlichen Verfahren einen E-Mail-Verkehr übermittelt hat, "der kaum das Mandatsverhältnis betreffende Informationen enthält" (diese wurden geschwärzt), die offenbar nicht so geheim sind, dass sie nicht der mP im Rahmen eines allfälligen Parteiengehörs (oder schon vorher im Rahmen der Beantwortung des Auskunftsbegehrens) vorgelegt werden könnten (hätten werden können).

Behauptete Mängel des Auskunftsverlangens

Die Beschwerdeführerin bringt dazu vor (Beschwerde, Seite 15, Rz 2.6), das Auskunftsverlangen der mP sei per E-Mail, daher nicht schriftlich gestellt worden. Außerdem sei damit die Identität der mitbeteiligten Partei sinngemäß nicht gesetzmäßig nachgewiesen worden. Abgesehen davon, dass die belangte Behörde (angefochtener Bescheid, Seite 4 f) festgestellt hat, dass die mitbeteiligte Partei ihr Auskunftsverlangen zwar nicht als eigenhändig unterschriebene Erklärung, aber als elektronische Kopie einer solchen Erklärung in Schriftform unter Anschluss eines im Sinne der Rechtsprechung (VwGH E 9.9.2008,VwSlg 17515 A/2008) tauglichen Identitätsnachweises der Beschwerdeführerin per E-Mail übermittelt hat, hätte die Beschwerdeführerin solche Einwände gemäß § 26 Abs. 3 DSG 2000 schon im Vorverfahren geltend machen und die mP auffordern müssen, ihr Auskunftsverlangen entsprechend zu verbessern. Dies hat sie nicht getan, stattdessen das Auskunftsverlangen beantwortet und auch im weiteren Verlauf des Verwaltungsverfahrens keine Zweifel an der Identität der mP und der Echtheit ihrer Willenserklärung geäußert. Die belangte Behörde hat daher schon im angefochtenen Bescheid diesen Einwand zu Recht verworfen (angefochtener Bescheid, Seite 8, Rz 11 der Begründung).

Auch die neue Rechtslage sieht keine strengeren Regelungen zur Identitätsfeststellung vor: Gemäß Art. 12 Abs. 6 DSGVO kann der Verantwortliche, wenn er begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, hat, unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind. Derartige Zweifel hat die Beschwerdeführerin, der die mP offenbar schon aus einem arbeitsrechtlichen Streit und diversen Schriftwechseln bekannt war, jedoch nicht gehegt (siehe dazu auch VwGH 04.07.2016, Ra 2016/04/0014). Eine inhaltliche Auskunftsverweigerung kann damit nachträglich nicht begründet werden.

3.2.3. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall konnte das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde, der Stellungnahme der mP und der belangten Behörde zur Beschwerde und der Stellungnahme der Beschwerdeführerin im Gerichtsverfahren geklärt war. Die Heranziehung weiterer Beweismittel waren zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Auch hat die (rechtskundige) Beschwerdeführerin keine mündliche Verhandlung beantragt. Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

3.3. Zu Spruchteil B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

3.4. Es war daher spruchgemäß zu entscheiden.

European Case Law Identifier

ECLI:AT:BVWG:2018:W214.2127449.1.00