Bundesverwaltungsgericht
22.08.2023
W137 2251172-1
,
W137 2251172-1/16E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde der römisch 40 , gegen den Bescheid der Datenschutzbehörde vom 21.12.2021, GZ. D124.2873 2021-0.847.063, zu Recht erkannt:
A)
römisch eins. Die Beschwerde wird hinsichtlich Spruchpunkt römisch eins. des angefochtenen Bescheides gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen.
römisch zwei. Die Beschwerde wird hinsichtlich Spruchpunkt römisch zwei. als unbegründet abgewiesen.
B)
Die Revision ist gemäß Artikel 133, Absatz 4, B-VG zulässig.,
, ,
, Entscheidungsgründe:
römisch eins. Verfahrensgang:
1. Mit verfahrenseinleitender Eingabe vom 07.08.2020 erhob Frau römisch 40 (= beschwerdeführende Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung der Informationspflichten gemäß Artikel 14, DSGVO. Sie begründete ihre Datenschutzbeschwerde folgendermaßen:
Sie habe im Juni 2020 festgestellt, dass ihre personenbezogenen Daten in der von der Beschwerdegegnerin angebotenen App verarbeitet würden. Die Beschwerdegegnerin habe ihr keine Informationen gemäß Artikel 14, DSGVO übermittelt. Es liege keine der in Artikel 14, Absatz 5, DSGVO genannten Ausnahmen vor.
2. Die Beschwerdegegnerin entgegnete in ihrer Stellungnahme vom 16.09.2020, sie habe nicht gegen die Verpflichtung gemäß Artikel 14, DSGVO verstoßen. Sie könne sich zulässigerweise auf den Ausnahmetatbestand gemäß Artikel 14, Absatz 5, Litera b, DSGVO berufen. Die unmittelbare Kontaktaufnahme mit sämtlichen Lehrern/Lehrerinnen zwecks Erfüllung der Informationspflicht würde nämlich einen unverhältnismäßigen Aufwand erfordern. Um die Transparenz iSd Artikel 5, Absatz eins, Litera a, DSGVO jedoch größtmöglich sicherzustellen, habe die Beschwerdegegnerin die Datenschutzerklärung hinsichtlich der Datenverarbeitung im Rahmen der App römisch 40 sowohl auf ihrer Website als auch innerhalb der App öffentlich zur Verfügung gestellt. Die individuellen Daten betreffend die Beschwerdeführerin würden von der Website des Bundesgymnasiums stammen, an dem sie beschäftigt ist.
Gemäß dem Ausnahmetatbestand des Artikel 14, Absatz 5, Litera a, DSGVO würden überdies die Absätze 1 bis 4 dieses Artikels keine Anwendung finden, wenn die betroffene Person bereits über die Information verfügt. Dies sei gegenständlich der Fall. Wie die Beschwerdeführerin in ihrer Beschwerde ausführe, habe sie im Juni 2020 selbst Einblick in die beschwerdegegenständliche App genommen. Sie konnte sich daher unzweifelhaft auch über die Datenverarbeitung informieren, da die Datenschutzerklärung wie erwähnt innerhalb der App abrufbar sei. Zudem finde sich in den App-Stores von Google und Apple im Rahmen der App-Download-Seite ein Link zu dieser Datenschutzerklärung.
3. Mit Schreiben vom 30.10.2020 führte die Antragstellerin unter anderem aus, dass der Ausnahmetatbestand gemäß Artikel 14, Absatz 5, Litera b, DSGVO nur erfüllt sei, wenn sie bereits in jenem Zeitpunkt, ab dem die Beschwerdegegnerin zur Informationserteilung verpflichtet gewesen wäre über alle in Artikel 14, DSGVO vorgesehenen Informationen verfügt hätte. Dass die Antragstellerin im Zuge der Vorbereitung der gegenständlichen Beschwerde bzw. im Rahmen des gegenständlichen Beschwerdeverfahrens Kenntnis von weiteren Details der Verarbeitung ihrer personenbezogenen Daten erlangt habe, könne weder die Anwendbarkeit des Ausnahmetatbestandes gemäß Artikel 14, Absatz 5, Litera a, DSGVO begründen noch die der Beschwerdegegnerin zuzurechnende Verletzung des Informationsrechts nachträglich sanieren. Diesbezüglich seien auch die Vorgaben des Artikel 14, Absatz 3, DSGVO hinsichtlich der Fristen für die Informationserteilung zu beachten. Der Antragstellerin sei nicht bekannt, wann die sie betreffenden personenbezogenen Daten von der Beschwerdegegnerin erstmals ermittelt und verarbeitet wurden und auch der Zeitpunkt der ersten Offenlegung sei ihr nicht bekannt.
Der Eingabe wurden unter anderem ein Screenshot aus der von der Beschwerdegegnerin betriebenen App, auf welchem die Bewertungen betreffend die Antragstellerin ersichtlich sind sowie ein Screenshot der in der App abrufbaren „Datenschutzerklärung nach Artikel 13 und 14 DSGVO“ beigelegt.
4. Die Beschwerdegegnerin führte mit weiterem Schreiben vom 17.12.2020 aus, dass die Antragstellerin zugestehe, dass sie die in der App abrufbare Datenschutzerklärung eingesehen habe. Dies sowohl in der App als auch auf der Website.
5. Mit weiterer Stellungnahme vom 12.01.2021 monierte die Antragstellerin erneut, dass die Rechtsverletzung durch eine nachträgliche Informationserteilung nicht mehr beseitigt werden könne, weshalb die Rechtsverletzung jedenfalls festzustellen sei. Die auf der Webseite der Beschwerdegegnerin abrufbare Datenschutzerklärung entspreche nicht den gesetzlichen Vorgaben: Es seien die Kontaktdaten des Datenschutzbeauftragten nicht angegeben. Die Angabe zur Rechtsgrundlage der Verarbeitung seien widersprüchlich, weil einerseits auf Artikel 6, Absatz eins, Litera b, DSGVO und andererseits auf das berechtigte Interesse der breiten Öffentlichkeit und der österreichischen Schüler verwiesen werden. Zur konkreten Herkunft der personenbezogenen Daten von Lehrern und Lehrerinnen würden sich in der Datenschutzerklärung keine Angaben, sondern lediglich ein Hinweis, dass diese öffentlich zugänglich seien, finden. Hinsichtlich der Empfänger würden lediglich völlig allgemeine Angaben gemacht. Die Angabe zu allfälligen Übermittlungen personenbezogener Daten in Drittländer sei ebenfalls so allgemein gehalten, dass die in Artikel 14, Absatz eins, Litera f, DSGVO genannten Informationen nicht ableitbar wären. Der in der Datenschutzerklärung enthaltene Hinweis auf das Widerspruchsrecht gemäß Artikel 21, DSGVO entspreche nicht den Vorgaben des Artikel 21, Absatz 4, DSGVO.
6. In ihrer Eingabe vom 03.02.2021 brachte die Beschwerdegegnerin zu den von der Beschwerdeführerin bemängelten Punkten Folgendes vor:
Es sei kein Datenschutzbeauftragter bestellt, daher gäbe es auch keine Kontaktinformationen. Bei der Nennung von Artikel 6, Absatz eins, Litera b, DSGVO in der (auf der Website abrufbaren) Datenschutzerklärung handle es sich um einen Tippfehler, richtigerweise stütze sich die Beschwerdegegnerin auf Artikel 6, Absatz eins, Litera f, DSGVO. Trotz des Tippfehlers in der nicht mehr aktuellen Version der Datenschutzerklärung sei aus dem Kontext klar und deutlich erkennbar, dass Rechtsgrundlage die berechtigten Interessen Dritter wären. Im Einklang mit Artikel 13, Absatz eins, Litera e,) DSGVO seien in der Datenschutzerklärung die Kategorien der Empfänger angeführt. In der aktuellen Datenschutzerklärung vom 21.10.2020 werde darüber hinaus jeder Empfänger konkret genannt. Es habe keine Übermittlung personenbezogener Daten der Beschwerdeführerin in Drittländer stattgefunden. In der auf der Website abrufbaren Datenschutzerklärung sei auf das Widerspruchsrecht unter Punkt 7. in einem eigenen Absatz, sohin in einer von anderen Inhalten getrennten Form, explizit hingewiesen worden.
7. Die Beschwerdeführerin brachte mit Eingaben vom 16.02.2021 und vom 01.12.2021 weitere Stellungnahmen bei der Datenschutzbehörde ein.
8. Mit Bescheid vom 21.12.2021, GZ. D124.2873 2021-0.847.063, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 07.08.2020 ab (Spruchpunkt römisch eins) und wies den Antrag auf Verhängung einer Geldbuße zurück (Spruchpunkt römisch zwei).
Die Datenschutzbehörde folgerte in rechtlicher Hinsicht im Wesentlichen:
Zur Abweisung der Datenschutzbeschwerde:
Im gegenständlichen Fall verfüge die betroffene Person über sämtliche Informationen des Artikel 14, Absatz eins und 2 DSGVO, weshalb der Ausnahmetatbestand des Artikel 14, Absatz 5, Litera a, DSGVO zur Anwendung komme. Die Absätze 1 bis 4 des Artikel 14, DSGVO fänden daher keine Anwendung. Alle von der Antragstellerin aufgezeigten Mängel seien durch die Beschwerdegegnerin nachträglich, im Verlauf des Beschwerdeverfahrens, behoben worden. Der Erfolg einer Beschwerde nach Artikel 77, Absatz eins, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG sei jedoch jedenfalls an die Voraussetzung geknüpft, dass die BF durch den Sachverhalt weiterhin beschwert werde. Die ständige Judikatur der Datenschutzbehörde zum Auskunftsrecht könne auf das Informationsrecht übertragen werden. Es bestehe in diesem Zusammenhang kein subjektives Recht auf Feststellung einer in der Vergangenheit liegenden Rechtsverletzung, wenn die Beschwerdegegnerin diese saniert habe. Die Datenschutzbehörde verkenne nicht, dass die Informationen nach Artikel 14, DSGVO einem generellen Adressatenkreis zur Verfügung gestellt worden seien. Ein solcher, objektiver Verstoß gegen die DSGVO sei jedoch in einem amtswegigen Prüfverfahren („Datenschutzüberprüfung“) gemäß Artikel 58, Absatz eins, Litera b, DSGVO aufzugreifen.
Zur Zurückweisung der beantragten Geldbuße:
Artikel 77, Absatz eins, DSGVO bzw. Paragraph 24, Absatz eins und 5 DSG enthalte kein subjektives Recht auf Einleitung eines Strafverfahrens gegen einen Verantwortlichen. Es gelte das Prinzip der Amtswegigkeit.
9. In der vom 13.01.2022 gegen beide Spruchpunkte des Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:
Die belangte Behörde habe unrichtige Sachverhaltsfestellungen getroffen, eine mangelhafte Beweiswürdigung sowie rechtliche Beurteilung durchgeführt. Insbesondere habe keine aktive Übermittlung von Informationen gemäß Artikel 14, DSGVO durch die mitbeteiligte Partei stattgefunden, die erteilten Informationen der mitbeteiligten Partei seien in mehreren Punkten widersprüchlich, der Ausnahmetatbestand des Artikel 14, Absatz 5, Litera a, DSGVO liege nicht vor und die Beschwer der BF sei keineswegs weggefallen. Insbesondere habe die mitbeteiligte Partei fälschlich behauptet, die Daten selbst erhoben zu haben, obwohl sie diese von ihrem Geschäftsführer übernommen habe. Die Abweisung der Datenschutzbeschwerde sei daher nicht gerechtfertigt.
Die Verhängung einer Geldbuße sei darüber hinaus nur angeregt und nicht beantragt worden, die Zurückweisung durch die belangte Behörde erfolgte daher ebenfalls zu Unrecht.
10. Mit Stellungnahme der Datenschutzbehörde vom 18.01.2022 war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden. Dabei beantragte die belangte Behörde die Abweisung der Beschwerde und verwies vollinhaltlich auf den angefochtenen Bescheid.
11. Das Bundesverwaltungsgericht beraumte eine mündliche Verhandlung für den 24.08.2022 an. Diese wurde nach einer Vertagungsbitte der Beschwerdeführerin abgesagt. Am 17.06.2023 beraumte das Bundesverwaltungsgericht eine mündliche Verhandlung am 03.08.2023 an. Nach einer weiteren Vertagungsbitte teilte die Beschwerdeführerin mit Eingabe vom 20.07.2023 mit, dass die ursprünglich beantragte mündliche Verhandlung aus ihrer Sicht nicht mehr erforderlich sei.
römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die mitbeteiligte Partei römisch 40 betreibt die Bewertungs-Applikation römisch 40 , bei der Schüler ihre Schule und ihre Lehrer bewerten können. Die Programmierung der App römisch 40 erfolgte zunächst durch die römisch 40 im Auftrag und nach den Vorgaben von Herrn römisch 40 . Die mitbeteiligte Partei ist als Betreiberin - im gegenständlichen Kontext - die datenschutzrechtliche Nachfolgerin von Herrn römisch 40 , der seine ursprüngliche Gesellschaft in die GmbH einbrachte und ihr Geschäftsführer ist.
1.2. Diese App verwendet öffentlich zugängliche Daten der Informationswebseite des Bundesministeriums für Bildung, Wissenschaft und Forschung (www.schulen-online.at) betreffend Lehrende, öffentlich zugängliche Informationen der Webseiten der einzelnen Bildungseinrichtungen und Bewertungen durch App-Nutzer. Die Verarbeitung betrifft den Namen der Lehrenden, akademischen Grad, Beruf und die ihnen zugeordnete Bildungseinrichtung, unabhängig davon, ob es sich um eine öffentliche oder Privatschule handelt. Volksschulen und Sonderschulen werden nicht erfasst.
Der OGH hat die Verarbeitung dieser personenbezogenen Daten (grundsätzlich) als zulässig aufgrund überwiegender berechtigter Interessen Dritter eingestuft.
1.3. Die BF ist Lehrerin an einer österreichischen Bildungseinrichtung (Gymnasium) und scheint in der App römisch 40 als Lehrperson auf.
1.4. Die BF nahm die Datenschutzinformationen der Beschwerdegegnerin in ihrer App sowie auf ihrer Webseite zur Kenntnis.
1.5. Mit Schreiben vom 18. Jänner 2021 beantwortete die mitbeteiligte Partei ein Auskunftsersuchen der Beschwerdeführerin.
1.6. Der Beschwerdeführerin wurden durch die in der Applikation und auf der Website abrufbaren aktualisierten Datenschutzinformationen, die erteilte Auskunft der mitbeteiligten Partei sowie durch deren Stellungnahmen im Rahmen des gegenständlichen Verfahrens alle in Artikel 14, Absatz eins und Absatz 2, gelisteten Informationen zur Kenntnis gebracht.
1.8. Das Begehren in der Datenschutzbeschwerde der Beschwerdeführerin - Punkt 4 (Beschwerdeanträge) - vom 07.08.2020 weist folgende Passage auf:
„4. Beschwerdeanträge: (…)
Anträge: (…)
1. (…)
2. (…)
3. soweit eine Verletzung der Beschwerdeführerin in ihren Rechten auf Information festgestellt wird, liegt ein Verstoß im Sinn des Artikel 83, Absatz 5, DSGVO vor und es wird daher angeregt, dass (…)“
2. Beweiswürdigung:
2.1. Die Feststellungen zur datenschutzrechtlichen Nachfolge der mitbeteiligten Partei, der Herkunft der Applikation, die Verwendung und Herkunft der personenbezogenen Daten, die grundsätzliche Rechtmäßigkeit der Verarbeitung und Funktionsweise der Applikation sowie der Person der Beschwerdeführerin gründet sich auf den vorgelegten Verwaltungsakt, insbesondere auf die Stellungnahmen der mitbeteiligten Partei, den Auszügen aus dem amtswegigen Prüfverfahren der belangten Behörde sowie der Rechtsprechung des OGH vom 02.02.2022 (6 Ob 129/21w).
2.2. Die Feststellung, dass die Beschwerdeführerin die online zugänglichen Datenschutzinformationen zur Kenntnis genommen hat, ergibt sich aus dem vorgelegten Verwaltungsakt sowie dem dazu erstatteten Vorbringen der mitbeteiligten Partei und der Beschwerdeführerin.
2.3. Dass die mitbeteiligte Partei der Beschwerdeführerin Auskunft gemäß Artikel 15, DSGVO erteilte, ergibt sich aus der vorgelegten Auskunftsbeantwortung.
2.4. Die Feststellungen, dass die BF im Zuge des behördlichen Verwaltungsverfahrens alle Informationen des Artikel 14, Absatz eins und 2 DSGVO erhielt und diese nicht widersprüchlich sind, ergibt sich aus dem vorgelegten Verwaltungsakt, insbesondere den Datenschutzerklärungen, der Auskunftsbeantwortung und den konkretisierenden Stellungnahmen der mitbeteiligten Partei.
2.5. Die Feststellung zum beschwerderelevanten weiteren Begehren der Beschwerdeführerin in Bezug auf die Verhängung einer Geldbuße ergibt sich aus der verfahrenseinleitenden Datenschutzbeschwerde.
3. Rechtliche Beurteilung:
3.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Gemäß Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß , Paragraph 24, Absatz 7, leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
3.2. Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß Paragraph 28, Absatz eins, VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.3. Zu A) römisch eins.
3.3.1. Die maßgeblichen Bestimmungen der DSGVO lauten auszugsweise:
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:,
a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(…)
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
, (…)
(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.
(…)
Artikel 14
Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) die Kategorien personenbezogener Daten, die verarbeitet werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;
g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2
a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,
c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
(4) (…)
(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit
a) die betroffene Person bereits über die Informationen verfügt,
b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,
(…)
3.3.2. Die maßgebliche Bestimmung des DSG lautet auszugsweise:
Paragraph 24
Beschwerde an die Datenschutzbehörde
(1 ) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(…)
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.
(…)
3.3.3. Betreffend den Spruchpunkt römisch eins. des angefochtenen Bescheides bedeutet dies, dass zu erörtern ist, ob aufgrund der (nachträglich) erteilten Informationen des Artikel 14, Absatz eins und 2 DSGVO die BF über diese verfügte, der Ausnahmetatbestand des Artikel 14, Absatz 5, Litera a, oder b DSGVO zur Anwendung kommt und die belangte Behörde zu Recht davon ausgehen konnte, dass bei der Antragstellerin kein Beschwer im Entscheidungszeitpunkt vorliegt. Gemäß Paragraph 24, Absatz 6, DSG kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen werden. Im Umkehrschluss erweisen sich die Ausführungen der Beschwerdeführerin nur dann als zutreffend, wenn ihr nicht alle Informationen erteilt wurden.
Zweck der Informationserteilung des Artikel 14, DSGVO ist die betroffene Person über die Tatsache in Kenntnis zu setzen, dass Daten über sie verarbeitet werden. Die sohin informierte betroffene Person wird dadurch in die Lage versetzt Betroffenenrechte auszuüben oder sich im Falle einer Verletzung ihrer Rechte zu beschweren. Die Informationen sind entsprechend der Voraussetzungen des Artikel 12, Absatz eins, DSGVO zur Verfügung zu stellen. (Illibauer in Knyrim, DatKomm Artikel 14, DSGVO Rz 1-2 (Stand 1.12.2021, rdb.at))
Vorauszusetzen ist, dass betroffene Personen nicht nach den ihnen gem. Artikel 13 und 14 zustehenden Informationen suchen müssen. Fraglich ist allerdings, wie der Zugang zu den Informationen gewährleistet werden muss. Dieses Kriterium wird im Falle der unmittelbaren Aushändigung (in Papierform) an den jeweiligen Betroffenen jedenfalls erfüllt. Allerdings ist nach der Einschätzung der Artikel-29-Datenschutzgruppe auch das Anbieten einer Verlinkung oder der Gebrauch von Pop-Ups auf der Website (welche direkt zur Datenschutzerklärung auf der Website führen) zulässig. Schwieriger (oder kreativer) wird sich die notwendige Informationserteilung auf räumlich und grafisch beschränktem Raum, wie bei mobilen Applikationen („Apps“), erweisen. Die Artikel-29-Datenschutzgruppe verlangt hier vor dem Download eine direkte Verlinkung und Anbieten der Datenschutzerklärung. Aber auch wenn die App installiert ist, sollten die Informationen rasch zugänglich sein. (Illibauer in Knyrim, DatKomm Artikel 12, DSGVO Rz 44-46 (Stand 1.12.2021, rdb.at)
Nach Ansicht der Artikel-29-Datenschutzgruppe ist die Ausnahme des Artikel 14, Absatz 5, Litera a, DSGVO (gleichlautend zu Artikel 13, Absatz 4, DSGVO) aufgrund des Rechenschaftsgrundsatzes strenger zu sehen. Der Grundsatz der Rechenschaftspflicht erfordert, dass der Verantwortliche nachweisen („und dokumentieren“) muss, welche Informationen die betroffene Person bereits hat, wie und wann sie diese erhalten hat und dass seitdem keine Änderungen an den Informationen vorgenommen wurden, die sie veraltet bzw. unrichtig machen würden. Die Meinung geht sogar so weit, dass alle Informationspunkte nach Artikel 13, bzw. Artikel 14, umfasst sein müssten. Fehlt einer der Informationspunkte nach Artikel 13, Absatz eins, oder 2, ist diese Information durch den Verantwortlichen nach wie vor entsprechend nachzureichen. (Illibauer in Knyrim, DatKomm Artikel 13, Rz 67 DSGVO (Stand 1.12.2021, rdb.at))
Wie bereits von der belangten Behörde festgestellt und der oben getroffenen Feststellung zu entnehmen ist, verfügte die BF im Zeitpunkt der Bescheiderlassung über alle gemäß Artikel 14, Absatz eins und 2 DSGVO verpflichtend zu übermittelnden Informationen. In einem ersten Schritt stellte die mitbeteiligte Partei der BF die Informationen im Rahmen ihrer (über die Website und App abrufbaren) Datenschutzerklärung zur Verfügung. Entgegen der Behauptungen der Beschwerdeführerin ist auch aus Sicht des Bundesverwaltungsgerichts eine Verlinkung der Datenschutzerklärung bei Download und Installation der App sowie dessen Bereitstellung innerhalb der Applikation ausreichend. Wie dem eigenen Vorbringen der BF zu entnehmen ist, erfolgte auch eine Einsicht in beide Datenschutzerklärungen und wurde dem Zweck der Bestimmung des Artikel 14, DSGVO genüge getan.
Die Beschwerdeführerin brachte zu diesem Zeitpunkt noch berechtigterweise vor, dass diese zumindest in Teilen widersprüchlich bzw. unvollständig seien (Stellungnahme vom 12.01.2021). Die mitbeteiligte Partei korrigierte dies durch Übermittlung einer Auskunftsbeantwortung und einer Stellungnahme vom 03.02.2021 an die belangte Behörde, welche im Rahmen eines Parteiengehörs der BF zur Kenntnis gebracht wurde. Alle durch die BF behaupteten Unrichtigkeiten oder Widersprüche entkräftete bzw. konkretisierte die mitbeteiligte Partei in dieser Stellungnahme und sind dieser in einem direkten Vergleich mit der Auskunftsbeantwortung auch keine Widersprüche zu entnehmen. In einer Zusammenschau mit den Datenschutzerklärungen (App und Webversion) ergeben sich ebenfalls keine Widersprüche, da die entsprechend neu und richtig beauskunfteten Informationen bzw. Negativauskünfte vermeintliche Lücken, Tippfehler und Widersprüche beseitigen. Die BF verfügte somit vor Bescheiderlassung über alle Informationen gemäß Artikel 14, DSGVO.
Dies bedeutet jedoch nicht, dass der Ausnahmetatbestand des Artikel 14, Absatz 5, Litera a, DSGVO im gegenständlichen Fall tatsächlich vorliegt. Es widerspricht nämlich dem Zweck der Artikel 13 und 14 DSGVO, wenn die notwendigen Informationen bruchstückhaft in mehreren Dokumenten zu unterschiedlichen Zeitpunkten – und gegebenenfalls auch nur indirekt/mittelbar - zur Verfügung gestellt werden. Der Zweck der vollumfänglichen Aufklärung über die Aufnahme einer Datenverarbeitung wird somit unterwandert, darüber hinaus ist der Ausnahmetatbestand des Absatz 5, Litera a, eng auszulegen. Die Verantwortliche hätte ihrer Rechenschaftspflicht nachkommen müssen und den Erhalt, Zeitpunkt des Erhalts und die laufende Aktualität der übermittelten Daten nachweisen müssen. Entsprechende Nachweise wurden nicht erbracht und steht die mehrfache Änderung der Datenschutzerklärungen im Widerspruch zu den soeben erörterten Vorgaben. Der Ausnahmetatbestand des Artikel 14, Absatz 5, Litera a, DSGVO ist daher auf den gegenständlichen Fall nicht anwendbar.
3.3.4. Die Ursache für eine unzureichende Auskunft kann aber auch in einer verspäteten – nach Ablauf der Monatsfrist des Artikel 12, Absatz 3, Satz 1 DSGVO – Beauskunftung durch den Verantwortlichen liegen. Dass die Frist von einem Monat nicht eingehalten wurde, führt jedoch durch die genutzte Möglichkeit der nachträglichen Beseitigung gemäß Paragraph 24, Absatz 6, während des Verfahrens vor der DSB dazu, dass die Beschwerde wegen nachgeholter Auskunft abzuweisen ist. (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz Rz 96 (DSG)2 Paragraph 24, (Stand 1.2.2022, rdb.at))
Zu beachten ist schließlich, dass der österreichische Gesetzgeber im Zuge der Anpassung des DSG an die DSGVO in Paragraph 24, Absatz 5 und Absatz 6, offenbar nicht davon ausgegangen ist, dass die Informationspflichten nach Artikel 13 und Artikel 24, DSGVO aus Sicht einer betroffenen Person umgekehrt auch als antragsunabhängige Informationsrechte geltend gemacht werden können. Es ist darauf hinzuweisen, dass ein Leistungsauftrag nach Artikel 58, Absatz 2, Litera c, DSGVO in Verbindung mit Absatz 5, DSG ebenso Anwendung findet (DSB 6.6.2018, DSB-D122.829/0003-DSB/2018 [Auskunftsverweigerung von Protokolldaten]; DSB-D130.206/0006-DSB/2019 [Hotelbuchungsplattform]). Wenngleich Artikel 58, Absatz 2, Litera c, DSGVO nämlich davon ausgeht, dass eine Aufsichtsbehörde einen Verantwortlichen anweisen kann, »den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen«, muss sich leg cit im Sinne einer an den Rechtsschutzinteressen orientierten Interpretation umgekehrt umso mehr auch auf die antragsunabhängigen Informationsrechte nach Artikel 13 und Artikel 14, DSGVO beziehen (DSB 22.8.2019, DSB-D130.206/0006-DSB/2019 [Hotelbuchungsplattform]). Für die Wiederherstellung des datenschutzkonformen Zustandes hat die Datenschutzbehörde gem Paragraph 58, Absatz 2, Litera d, DSGVO dem Verantwortlichen aufzutragen, unverzüglich, binnen einer von der Datenschutzbehörde gesetzten Frist, Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen. So ist zB eine Frist von vier Wochen angemessen, um die entsprechenden Informationen nach Artikel 13, DSGVO mitzuteilen. In Bezug auf Paragraph 24, Absatz 6, bedeutet dies, dass die Informationen nach Artikel 13 und Artikel 14, DSGVO auch nachträglich bis zum Abschluss des Verfahrens zur Verfügung gestellt werden können. (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz Rz 247-250 (DSG)2 Paragraph 24, (Stand 1.2.2022, rdb.at))
In ihrer Eingabe betreffend die verspätet nachgeholte Informationserteilung monierte die BF, dass diese aufgrund der in Artikel 12 und 14 DSGVO vorgesehenen Frist keine Wirkung habe und eine Beseitigung des Mangels aufgrund der Tatsache, dass Paragraph 24, Absatz 6, DSG einen „Antrag“ voraussetze nicht in Frage komme. Dem ist nach oben Gesagtem zu entgegnen, dass die Datenschutzbehörde zu Recht davon ausging, dass der Erfolg einer Beschwerde nach Artikel 77, Absatz eins, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG von einer konkreten Beschwer abhängig ist. Diese liegt durch die nachträgliche Behebung der fehlenden Informationen gemäß Artikel 14, Absatz eins und 2 DSGVO nicht mehr vor. vergleiche zum Mangel einer subjektiven Rechtsverletzung etwa VwSlg 11.568 A/1984 mwN).
Eine nachträgliche Beseitigung der Rechtsverletzung gemäß Paragraph 24, Absatz 6, DSG ist nach Ansicht des Bundesverwaltungsgerichts auch im Fall der Informationspflichten gemäß Artikel 13 und 14 DSGVO möglich. Es besteht darüber hinaus kein Recht auf die Feststellung, in der Vergangenheit im Recht auf Information verletzt worden zu sein, wenn zum Zeitpunkt der behördlichen Entscheidung dieser Mangel saniert wurde. Diese bereits zum Auskunftsrecht gefestigte Rechtsprechung der DSB kann – wie von der belangten Behörde im angefochtenen Bescheid geschehen – mangels gegenteiliger Anhaltspunkte auf das Informationsrecht übertragen werden. In beiden Fällen geht es – anders als bei einer effektiven Datenschutzverletzung (etwa im Recht auf Geheimhaltung) – zentral um das Informationsbedürfnis von Betroffenen. Und zwar unabhängig von der Rechtskonformität der dahinterstehenden Datenverarbeitung.
Soweit die BF in ihrer Beschwerde an das Bundesverwaltungsgericht vorbrachte, dass die Datenauskunft unrichtig sei, da die mitbeteiligte Partei behaupte, die in Frage stehenden Daten selbst auf den öffentlich zugänglichen Webseiten erhoben zu haben, während sie diese in Wahrheit vom ursprünglichen Verantwortlichen und jetzigen Geschäftsführer der mitbeteiligten Partei erhalten habe, ist dem zu entgegnen, dass dieser sein Einzelunternehmen in die GmbH, also die mitbeteiligte Partei, eingebracht hat. Im gegenständlichen Fall handelt es sich um den Fall einer Gesamtrechtsnachfolge. Aus datenschutzrechtlicher Sicht ist diese Art der Unternehmensnachfolge bzw. -übernahme unproblematisch, denn es findet keine Weitergabe personenbezogener Daten an Dritte statt. Das eigentliche Unternehmen bleibt rechtlich unverändert und damit auch die Rechtgrundlage für die bestehenden Verarbeitungsvorgänge. Es liegt demnach kein datenschutzrechtlich relevanter Vorgang vor. Der Rechtsnachfolger (hier der einzige Geschäftsführer und zugleich Inhaber des eingebrachten Einzelunternehmens) tritt in die unveränderte Rechtsposition des Rechtsvorgängers ohne inhaltliche Änderungen ein und im Vollzugszeitpunkt gehen alle Rechte uno actu ohne weitere Handlungen auf den Rechtsnachfolger über. In diesem Zusammenhang übernimmt der Rechtsnachfolger auch das Recht zur Datenverwendung in jenem Umfang, wie es bereits dem Rechtsvorgänger zustand; es liegt somit keine Datenübermittlung an Dritte vor. Die Erhebung der personenbezogenen Daten erfolgte aus rechtlicher Perspektive direkt bei der mitbeteiligten Partei.
3.3.5. Die Verhaltensregeln bzw Codes of Conduct nach Artikel 40, für die Bilanzbuchhaltungsberufe (Bilanzbuchhalter, Buchhalter, Personalverrechner) wurden mit Bescheid v 6.11.2020 durch die DSB genehmigt. In der Letztfassung ist eine Ausnahmebestimmung für jene Fälle enthalten, in denen diese personenbezogene Daten der Arbeitnehmer, Lieferanten, Geschäftspartner und ähnlicher Dritter für ihre Kunden verarbeiten (bspw werden im Rahmen der Lohnverrechnung eines KMU mit 50 Mitarbeitern vielfach personenbezogene Daten dieser 50 Mitarbeiter verarbeitet). IdZ wurde die Berufung auf die Ausnahmebestimmung des Artikel 14, Absatz 5, Litera b, für gerechtfertigt erachtet. (Illibauer in Knyrim, DatKomm Artikel 14, Rz 42/1 DSGVO (Stand 1.12.2021, rdb.at))
Demzufolge könnte, wie von der mitbeteiligten Partei mehrmals vorgebracht, auch der Ausnahmetatbestand des Artikel 14, Absatz 5, Litera b, DSGVO erfüllt sein, da es sich bei dem gesamten Lehrpersonal an österreichischen Schulen, um eine erhebliche Anzahl an Personen handelt. Bedenkt man die oben erwähnte Entscheidung der DSB, dass bereits ab einer Personenzahl von 50 ein unverhältnismäßiger Aufwand vorliegen soll, ist dieser Schluss umso naheliegender. Jedoch wäre dahingehend eine Einzelfallabwägung zwingend erforderlich, da der genannten Entscheidung eine andere Ausgangssituation zu Grunde liegt. So muss im Zuge der Unternehmensführung zwingend eine Lohnverrechnung durchgeführt und eine Vielzahl an personenbezogenen Daten erfasst werden, um insbesondere auch der Sozialversicherungs- und Steuerpflichten nachzukommen.
Im Fall der mitbeteiligten Partei müssen bezüglich jeder Lehrperson immer die gleichen rudimentären personenbezogenen Daten (Name, Titel, Bildungseinrichtung) verarbeitet werden und bedarf eine entsprechende Information keiner besonderen Individualität bzw. kann mittels Computerunterstützung eine entsprechende Information für sämtliche Personen automatisch generiert werden. Dies insbesondere mit Blick auf die Aussage der mitbeteiligten Partei, dass die entsprechenden Informationen bereits im Vorfeld der App von den öffentlich zugänglichen Webseiten zusammengetragen wurden. Die Informationszustellung hat auch nicht zwingend, wie in der Beschwerde der BF vorgebracht, per Post zu erfolgen, sondern könnten andere Mittel verwendet werden. So kann ein elektronischer Sendevorgang ebenfalls automatisiert durchgeführt und der entsprechende Aufwand erheblich reduziert werden. Die mitbeteiligte Partei verarbeitet jedoch keine Emailadressen der betroffenen Lehrpersonen, noch sind diese (durchgehend) öffentlich zugänglich. Eine solche Übermittlung gestaltet sich daher auf technischer Ebene beziehungsweise im Zusammenhang mit der Erhebung der Zustellmöglichkeiten – sofern nicht eine Übermittlung (bloß) an die Bildungseinrichtung als ausreichend angesehen wird – schwierig.
Da im gegenständlichen Fall aber ohnehin alle Informationen gemäß Artikel 14, Absatz eins und 2 DSGVO bis zum Zeitpunkt der Bescheiderlassung gemäß Paragraph 24, Absatz 6, DSG erteilt wurden, konnte eine detaillierte Prüfung des Ausnahmetatbestandes des Artikel 14, Absatz 5, Litera b, DSGVO entfallen.
Da dem angefochtenen Bescheid aus diesen Gründen im Ergebnis eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG hinsichtlich Spruchpunkt römisch eins. nicht anhaftet, war die dagegen erhobene Beschwerde gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG abzuweisen.
3.4. Zu A) römisch zwei.
3.4.1. Zu Spruchpunkt römisch zwei des angefochtenen Bescheides sind folgende Überlegungen anzustellen:
Zunächst bedarf jedes Anbringen schon insofern der Auslegung, als die Behörde festzustellen hat, ob damit eine Verpflichtung zum Tätigwerden geltend gemacht werden soll oder nicht, ob es sich also um einen Antrag oder um ein sonstiges Anbringen handelt. Die Feststellung des Inhalts eines Antrags ist darüber hinaus für die Sache des Verwaltungsverfahrens und damit für den Umfang der Entscheidungspflicht, bei antragsbedürftigen Bescheiden auch für den Umfang der Entscheidungskompetenz der Behörde von maßgebender Bedeutung. Nach stRsp des VwGH sind Parteienerklärungen (also auch Anbringen) im Verfahren ausschließlich nach ihrem objektiven Erklärungswert auszulegen. Entscheidend ist, wie die Erklärung vergleiche VwGH 28. 7. 2000, 94/09/0308; 28. 1. 2003, 2001/14/0229; 30. 6. 2004, 2004/04/0014) unter Berücksichtigung der konkreten gesetzlichen Regelung, des Verfahrenszwecks und der Aktenlage objektiv verstanden werden muss. Bei eindeutigem Inhalt eines Anbringens sind hingegen davon abweichende, nach außen nicht zum Ausdruck gebrachte Absichten und Beweggründe grundsätzlich ohne Belang. (Hengstschläger/Leeb, AVG Paragraph 13, Rz 38 (Stand 1.1.2014, rdb.at))
Weist ein Anbringen einen undeutlichen Inhalt auf, so hat die Behörde nach der Rsp des VwGH gem Paragraphen 37 und 39 Absatz 2, AVG durch Herbeiführung einer entsprechenden Erklärung (VwSlg 11.625 A/1984 verst Sen) den wahren Willen des Einschreiters festzustellen, diesen also zu einer Präzisierung aufzufordern (VwGH 26. 2. 1991, 90/04/0277; 19. 11. 1998, 98/19/0132; 3. 10. 2013, 2012/06/0185; VfSlg 14.965 aus 1997,) bzw zum Inhalt einzuvernehmen. Anders gewendet ist es der Behörde erst recht nicht gestattet, einem unklaren Antrag von vornherein einen für den Antragsteller ungünstigen Inhalt zu unterstellen. (Hengstschläger/Leeb, AVG Paragraph 13, Rz 39 (Stand 1.1.2014, rdb.at))
Im gegenständlichen Fall erfolgte die ursprüngliche Eingabe der Beschwerdeführerin bereits durch einen Rechtsanwalt (berufsmäßiger Parteienvertreter). Die Passage zum Strafverfahren findet sich unter Punkt „4. Beschwerdeanträge“, wobei sich darunter erneut das Wort „Anträge“ und drei Unterpunkte finden – wovon die beiden ersten zweifelsfrei und unstrittig auch tatsächliche Anträge sind.
Vor diesem Hintergrund war die Behörde berechtigt, auch Punkt 3 – trotz der Wortfolge „wird angeregt“ – ohne weitere Ermittlungsmaßnahmen als Antrag einzustufen und hat ihn dementsprechend auch zu Recht zurückgewiesen.
Es war daher spruchgemäß zu entscheiden.
3.5. Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Die Beschwerdeführerin stellte in ihrer Beschwerde ursprünglich einen Antrag auf Durchführung einer mündlichen Verhandlung, welchen sie jedoch mit Eingabe vom 20.07.2023 zurücknahm.
Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung unabhängig davon auch darauf gestützt werden, dass der Sachverhalt aus der Aktenlage unstrittig feststeht. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).
Von der Durchführung einer mündlichen Verhandlung war folglich gemäß Paragraph 24, Absatz 4, VwGVG abzusehen.
Zu B) Zulässigkeit der Revision:
Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Im gegenständlichen Fall ist die Revision jedenfalls im Zusammenhang mit der Frage zuzulassen, ob die Anwendung des Paragraph 24, Absatz 6, DSG auf Informationspflichten zulässig ist. Eine Judikatur des Verwaltungsgerichtshofes zu dieser Frage besteht nicht. Ebenso wenig besteht sie zur Frage, ob in diesem Konnex die Feststellung vergangener (bereits beseitigter) Rechtsverletzungen noch zulässig ist.
Es war daher durch Senat spruchgemäß zu entscheiden.
ECLI:AT:BVWG:2023:W137.2251172.1.00