BVwG W108 2281423-1

Spruch:

W108 2280859-1/8E

W108 2280913-1/8E

W108 2281423-1/8E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Mag. CHARKOW und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerden von 1. XXXX , 2. XXXX , beide vertreten durch E+H Eisenberger + Herzog Rechtsanwalts GmbH, (hg. 2280859-1), 3. XXXX , vertreten durch Baker & McKenzie Rechtsanwälte LLP & Co KG, (hg. 2280913-1) und 4. XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, (hg. 2281423-1), gegen den Bescheid der Datenschutzbehörde vom 06.10.2023, Zl. D124.5537 2023-0.273.912, betreffend eine Datenschutzbeschwerde zu Recht erkannt:

A)

Die Beschwerden werden gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG jeweils nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang und Sachverhalt:

1. Der Erstbeschwerdeführer ist Arzt und Alleingeschäftsführer der XXXX , FN XXXX , welche Alleingesellschafterin der Zweitbeschwerdeführerin ist. Die Zweitbeschwerdeführerin ist ein als Gesellschaft mit beschränkter Haftung eingetragenes Unternehmen mit Sitz in XXXX . Ihre Geschäftstätigkeit bezieht sich auf den Betrieb von Analysestationen und Durchführung von diagnostischen Testverfahren, insbesondere im Zusammenhang mit PCR-Tests.

Die Drittbeschwerdeführerin und der Viertbeschwerdeführer sind österreichische Medienhäuser und besorgen die inhaltliche Gestaltung, Herstellung und Verbreitung verschiedener Medien.

2.1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) bzw. § 24 Datenschutzgesetz (DSG, in der Folge: auch Datenschutzbeschwerde) vom 26.11.2021 machten der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin eine Verletzung im Recht auf Auskunft sowie die Zweitbeschwerdeführerin weiters eine Verletzung im Recht auf Löschung sowie im Recht auf Geheimhaltung geltend.

Dazu wurde zusammengefasst vorgebracht, dass die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer (ehemalige Beschwerdegegner:innen vor der belangten Behörde), am 01.09.2021 in ihren Online-Ausgaben über ein Datenleck im Zusammenhang mit der Kompromittierung eines der Zweitbeschwerdeführerin zuzurechnenden E-Mail-Postfachs, welches in der Verfügungsmacht des Erstbeschwerdeführers stehe, berichtet hätten. Der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin hätten daraufhin an die Drittbeschwerdeführerin und den Viertbeschwerdeführer Auskunftsbegehren nach Art. 15 DSGVO übermittelt. Die Zweitbeschwerdeführerin habe auch jeweils ein Löschungsbegehren gestellt. Diesen Begehren sei jedoch unvollständig bzw. unter Berufung auf das Medienprivileg gar nicht nachgekommen worden. Zudem würden die Drittbeschwerdeführerin und der Viertbeschwerdeführer seit Juni 2021 eine „Recherchegemeinschaft“ gegen den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin betreiben und habe die Drittbeschwerdeführerin gegenüber dem Viertbeschwerdeführer rechtswidrig offengelegt, dass die Zweitbeschwerdeführerin ihr Recht auf Löschung geltend gemacht habe sowie den Inhalt der Antwort an die Zweitbeschwerdeführerin, weshalb die Zweitbeschwerdeführerin in ihrem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG verletzt sei.

2.2. Mit Bescheid der Datenschutzbehörde vom 10.12.2021, Zl. D124.5337 2021-0.835.273, wurde die Datenschutzbeschwerde des Erstbeschwerdeführers und der Zweitbeschwerdeführerin zurückgewiesen.

Rechtlich führte die belangte Behörde aus, dass die Geltendmachung der verfahrensgegenständlichen Rechte jeweils auf Datenverarbeitungen zu journalistischen Zwecken abziele. Gemäß § 9 Abs. 1 DSG würden auf die Verarbeitung von personenbezogenen Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des MedienG zu journalistischen Zwecken des Medienunternehmens oder Mediendienstes die Bestimmungen des DSG sowie von der DSGVO die Kapitel II (Grundsätze), III (Rechte der betroffenen Person), IV (Verantwortlicher und Auftragsverarbeiter), V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), VI (Unabhängige Aufsichtsbehörden), VII (Zusammenarbeit und Kohärenz) und IX (Vorschriften für besondere Verarbeitungssituationen) keine Anwendung finden.

Die Drittbeschwerdeführerin und der Viertbeschwerdeführer seien Unternehmen, welche grundsätzlich auf diversen Plattformen Darbietungen mit gedanklichem Inhalt an größere Personenkreise im Wege der Massenverbreitung verbreiten und somit unzweifelhaft Medienunternehmen im Sinne des MedienG. Die Veröffentlichung der Berichte auf den Webseiten der Drittbeschwerdeführerin und des Viertbeschwerdeführers sei jedenfalls als journalistischer Zweck zu kategorisieren. Es liege im Rahmen der journalistischen Tätigkeit bzw. des als „Recherchegemeinschaft“ bezeichneten Zusammenschlusses der genannten Medienunternehmen, solcherart Informationen miteinander zu teilen. Da diese Information selbst in einem engen Zusammenhang mit dem publizierten Beitrag stehe, diene diese wiederum selbst einem „journalistischen Zweck“.

Der belangten Behörde komme folglich keine Zuständigkeit zur Behandlung der verfahrensgegenständlichen Beschwerde zu, sodass diese spruchgemäß zurückzuweisen gewesen sei.

2.3. Gegen diesen Bescheid erhoben der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin mit Schriftsatz vom 07.01.2022 fristgerecht Beschwerde an das Bundesverwaltungsgericht und regten einen Antrag auf Normenkontrolle gemäß Art. 140 Abs. 1 Z 1 lit. a B-VG beim Verfassungsgerichtshof sowie die Einholung einer Vorabentscheidung des Europäischen Gerichtshofes gemäß Art. 267 AEUV an.

2.4. Das Bundesverwaltungsgericht stellte mit Beschluss vom 03.11.2022, Zl. W214 2250949-1/10Z, gemäß Art. 140 Abs. 1 Z 1 lit. a iVm Art. 135 Abs. 4 iVm Art. 89 Abs. 2 B-VG an den Verfassungsgerichtshof den Antrag, er wolle Art. 2 § 9 Abs. 1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I Nr. 165/1999, in der Fassung der Novelle BGBl. I Nr. 24/2018 (Datenschutz-Deregulierungsgesetz 2018) als verfassungswidrig aufheben.

2.5. Mit Erkenntnis des Verfassungsgerichtshofes vom 14.12.2022, Zl. G 288/2022-14, wurde § 9 Abs. 1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I Nr. 165/1999, idF BGBl. I Nr. 24/2018 als verfassungswidrig aufgehoben (Spruchpunkt I.), ausgesprochen, dass die Aufhebung mit Ablauf des 30. Juni 2024 in Kraft tritt (Spruchpunkt II.) und frühere gesetzliche Bestimmungen nicht wieder in Kraft treten (Spruchpunkt III.) sowie, dass der Bundeskanzler zur unverzüglichen Kundmachung dieser Aussprüche im Bundesgesetzblatt I verpflichtet ist (Spruchpunkt IV.).

2.6. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 17.01.2023, Zl. W214 2250949-1/22E, wurde der Beschwerde Folge gegeben, der angefochtene Bescheid ersatzlos behoben und der Datenschutzbehörde die Fortsetzung des Verfahrens unter Abstandnahme vom gebrauchten Zurückweisungsgrund aufgetragen.

3.1. Über Aufforderung der belangten Behörde erstattete der Viertbeschwerdeführer am 03.03.2023 eine Stellungnahme, in welcher er (soweit verfahrensgegenständlich relevant) ausführte, dass keine Verletzung des Rechts auf Auskunft des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin vorliege. Das Beschwerdevorbringen sei nicht klar, scheine aber darauf abzuzielen, dass die Nichtauskunft über die berichtsgegenständlichen Corona-Testdaten und die getesteten Personen moniert werde. Es handle sich hierbei jedoch nicht um personenbezogene Daten des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin, sondern um jene der getesteten Personen. Potentiell auskunftsfähig verblieben nur die Verkehrsdaten der E-Mail-Nachricht selbst, wobei aufgrund des Vorbringens, dass die Zweitbeschwerdeführerin ihr E-Mail-Postfach in die Verfügungsmacht des Erstbeschwerdeführers übertragen habe, sofern dies überhaupt rechtlich zulässig sei, erst nachvollzogen werden müsste, wem die Verkehrsdaten allenfalls zuerkannt werden könnten. Aus dem Beschwerdevorbringen ergebe sich ungeachtet dessen jedoch ohnedies, dass es eher um die Beauskunftung der Datenherkunft als um die Beauskunftung der Daten selbst gehe. § 31 MedienG schütze das Redaktionsgeheimnis und berechtige zur Auskunftsverweigerung, Art. 15 Abs. 4 DSGVO bestimme, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten Dritter nicht beeinträchtigen dürfe. Im vorliegenden Fall sei das Interesse des Viertbeschwerdeführers sowie das Interesse der Öffentlichkeit an der Wahrung der Freiheit der Meinungsäußerung gemäß Art. 10 EMRK bzw. Art. 11 GRC gegenüber dem Auskunftsinteresse des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin abzuwägen. Diese Interessenabwägung zeichne ein klares Bild, der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin hätten es zu verantworten, dass die berichtsgegenständliche E-Mail ihrer Verfügungsmacht entglitten sei und liege es an ihnen, diese Verletzung des Art. 32 DSGVO zu bereinigen. Dies zu tun, indem durch ein Auskunftsbegehren versucht werde, die Informationsquelle offenzulegen, stelle ein unzulässiges Vorgehen dar. Die Auskunft sei daher nicht zu erteilen. Im Übrigen komme nach der Rechtsprechung der belangten Behörde einer juristischen Person das Auskunftsrecht gemäß Art. 15 DSGVO nicht zu.

3.2. Die Drittbeschwerdeführerin erstattete über Aufforderung der belangten Behörde am 06.03.2023 eine Stellungnahme und brachte vor, dass die verfahrensgegenständliche E-Mail, welche der Erstbeschwerdeführer am 10.08.2021 an einen IT-Dienstleister der Zweitbeschwerdeführerin versandt habe und welche als Attachment eine unverschlüsselte Excel-Datei mit 24.000 positiven PCR Testergebnissen einschließlich Namen, Geburtsdaten, Wohnorte und Angaben zur Virusmutation enthalten habe, der Drittbeschwerdeführerin in ihrer Eigenschaft als Medienunternehmen von einer Person bewusst zugänglich gemacht worden sei. Mit der gegenständlichen Beschwerde würden der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin nunmehr versuchen, dem Redaktionsgeheimnis unterliegende Informationen zu erlangen bzw. deren Löschung zu erwirken. Soweit die Drittbeschwerdeführerin dazu verpflichtet gewesen sei, habe sie dem Erstbeschwerdeführer mit Schreiben vom 15.04.2022 Auskunft nach Art. 15 DSGVO erteilt. Im Übrigen sei das Recht auf Auskunft des Erstbeschwerdeführers durch das Redaktionsgeheimnis des § 31 Abs. 1 MedienG ausgeschlossen und widerspreche das Recht auf Auskunft im vorliegenden Fall auch ohne Anwendung des § 9 Abs. 1 DSG dem Grundrecht auf Meinungs- und Kommunikationsfreiheit, weshalb dieses gemäß Art. 15 Abs. 4 DSGVO iVm Art. 11 GRC ausgeschlossen sei. Der Erstbeschwerdeführer habe nicht einmal konkrete Interessen, die der journalistischen Berichterstattung entgegenstehen würden, behauptet.

Die von der Zweitbeschwerdeführerin geltend gemachten Ansprüche würden allesamt nicht zustehen, weil das Grundrecht auf Datenschutz nach § 1 DSG nicht zwischen Privaten gelte, die belangte Behörde für Beschwerden juristischer Personen sowohl nach dem Wortlaut des DSG als auch unter Berücksichtigung grundrechtlicher Erwägungen nicht zuständig sei, keine durchsetzbaren Rechte auf Auskunft oder Löschung für juristische Personen bestünden, weil § 1 Abs. 3 DSG unter einem Ausführungsvorbehalt stehe, jedenfalls Auskunftsverweigerungsrechte zur Wahrung des grundrechtlich geschützten Redaktionsgeheimnisses vorlägen und jedenfalls kein Löschungsrecht zustehe, weil die Datenverarbeitung zulässig sei und das Recht auf Geheimhaltung gewahrt worden sei, zumal die erfolgte Abstimmung im Rahmen der Recherchegemeinschaft mit dem Viertbeschwerdeführer rechtmäßig gewesen sei. Die verfahrensgegenständliche E-Mail enthalte auch keine personenbezogenen Daten der Zweitbeschwerdeführerin, sie sei vom Erstbeschwerdeführer versendet worden, der zu diesem Zeitpunkt keine Funktion bei der Zweitbeschwerdeführerin gehabt habe.

3.3. Der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin replizierten darauf – nachdem diesen durch die belangte Behörde Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens eingeräumt worden war – in ihrer Stellungnahme vom 06.04.2023 (soweit verfahrensgegenständlich relevant) zusammengefasst dahin, dass eine Auslegung des § 24 DSG dahingehend, dass nur natürlichen Personen die Möglichkeit einer Beschwerde an die Datenschutzbehörde eingeräumt werde, gleichheits- und damit verfassungswidrig wäre. Die Drittbeschwerdeführerin und der Viertbeschwerdeführer würden sich in ihrer Berichterstattung zudem auf die Zweitbeschwerdeführerin beziehen und diese namentlich nennen, womit alle der Berichterstattung zugrundeliegenden Informationen der Zweitbeschwerdeführerin zuzurechnen seien. Ohne das datenschutzrechtliche Medienprivileg würden die Drittbeschwerdeführerin und der Viertbeschwerdeführer der allgemeinen Rechenschaftspflicht gemäß Art. 5 Abs 2 DSGVO unterliegen und müssten dementsprechend die Einhaltung der Bestimmungen der DSGVO und des DSG nachweisen. Das Auskunftsverlangen des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin sei inhaltlich unbeschränkt und umfasse dementsprechend alle Informationen, die Art. 15 Abs. 1, 3 DSGVO bzw. § 1 Abs 3 Z 1 DSG einräumen. Das Redaktionsgeheimnis wirke nicht gegen den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin, da es keine unmittelbare Drittwirkung diesen gegenüber entfalte. Der Wortlaut der Bestimmung gewähre dem privilegierten Personenkreis bloß ein Entschlagungsrecht, wenn sie von einem Gericht oder vor einer Behörde als Zeugen einvernommen werden. Der Beschuldigte und die Partei in einem Zivilverfahren könnten sich nach der Rechtsprechung des OGH nicht auf das Redaktionsgeheimnis berufen, dementsprechend könne es auch keinen Auskunftsverweigerungsgrund bilden. Der Auskunftsanspruch sei damit verbunden, dass ein Verantwortlicher eine Kopie von Daten bereitstelle, die Meinungs- und Informationsfreiheit der Drittbeschwerdeführerin und des Viertbeschwerdeführers werde dadurch nicht verunmöglicht. Es sei an der Drittbeschwerdeführerin und dem Viertbeschwerdeführer, die Gründe einer zulässigen Beschränkung des Auskunftsrechts vorzubringen und im Einzelnen darzulegen, warum und in welchem Umfang das Auskunftsrecht des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin hinter dem Recht auf freie Meinungsäußerung und Information der Drittbeschwerdeführerin und des Viertbeschwerdeführers zurückzubleiben habe.

3.4. Mit dem nunmehr angefochtenen Bescheid der belangten Behörde entschied diese über die Datenschutzbeschwerde des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin wie folgt (Formatierung nicht 1:1 wiedergegeben):

„I. Die Beschwerde der Zweitbeschwerdeführerin gegen die Beschwerdegegner [Drittbeschwerdeführerin und Viertbeschwerdeführer] wegen einer Verletzung im Recht auf Löschung wird abgewiesen.

II. Der Beschwerde des Erstbeschwerdeführers gegen die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] wegen einer Verletzung im Recht auf Auskunft wird teilweise stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] den Erstbeschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem sie keine Auskünfte über folgende Information der verarbeiteten personenbezogenen Daten des Erstbeschwerdeführers erteilt hat:

a. konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO);

b. über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO);

c. über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO);

d. Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO);

e. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

III. Der Erstbeschwerdegegnerin [Drittbeschwerdeführerin] wird aufgetragen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution dem Erstbeschwerdeführer folgende Informationen zu beauskunften:

a. konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO);

b. über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO);

c. über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO);

d. Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO);

e. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

IV. Der Beschwerde der Zweitbeschwerdeführerin gegen die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] wegen einer Verletzung im Recht auf Auskunft wird stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] die Zweitbeschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie auf deren diesbezüglichen Antrag nicht reagiert hat.

V. Der Erstbeschwerdegegnerin [Drittbeschwerdeführerin] wird aufgetragen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution ihrer Reaktionsverpflichtung gegenüber der Zweitbeschwerdeführerin gemäß Art. 12 Abs. 3, Art. 15 Abs. 1 DSGVO iVm § 1 Abs. 3 Z 1 DSG nachzukommen.

VI. Der Beschwerde des Erstbeschwerdeführers gegen den Zweitbeschwerdegegner [Viertbeschwerdeführer] wegen einer Verletzung im Recht auf Auskunft wird teilweise stattgegeben und es wird festgestellt, dass der Zweitbeschwerdegegner [Viertbeschwerdeführer] den Erstbeschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem er keine Auskünfte über folgende Information der verarbeiteten personenbezogenen Daten des Erstbeschwerdeführers erteilt hat:

a. konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO);

b. über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO);

c. über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO);

d. Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO);

e. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

VII. Dem Zweitbeschwerdegegner [Viertbeschwerdeführer] wird aufgetragen, innerhalb einer Frist von vier Wochen dem Erstbeschwerdeführer folgende Informationen zu beauskunften:

a. konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO);

b. über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO);

c. über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO);

d. Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO);

e. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

VIII. Der Beschwerde der Zweitbeschwerdeführerin gegen den Zweitbeschwerdegegner [Viertbeschwerdeführer] wegen einer Verletzung im Recht auf Auskunft wird teilweise stattgegeben und es wird festgestellt, dass der Zweitbeschwerdegegner [Viertbeschwerdeführer] die Zweitbeschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt hat, indem er keine Auskünfte über folgende Information der verarbeiteten personenbezogenen Daten der Zweitbeschwerdeführers erteilt hat:

a. Auskunft über die konkret verarbeiteten (Stamm-)Daten (§1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 DSGVO)

b. Auskunft über die Zwecke der Datenverarbeitung (§1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. a DSGVO)

c. Empfänger oder Kategorien von Empfängern (§1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. c DSGVO).

IX. Dem Zweitbeschwerdegegner [Viertbeschwerdeführer] wird aufgetragen, innerhalb einer Frist von vier Wochen der Zweitbeschwerdeführerin folgende Informationen zu beauskunften:

d. Auskunft über die konkret verarbeiteten (Stamm-)Daten (§1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 DSGVO)

e. Auskunft über die Zwecke der Datenverarbeitung (§1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. a DSGVO)

f. Empfänger oder Kategorien von Empfängern (§1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. c DSGVO).

X. Die Beschwerde der Zweitbeschwerdeführerin gegen die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] wegen einer behaupteten Verletzung im Recht auf Geheimhaltung wird als unbegründet abgewiesen.“

Die belangte Behörde traf aufgrund des übereinstimmenden Vorbringens der Verfahrensparteien auszugsweise folgende Sachverhaltsfeststellungen (Formatierung nicht 1:1 wiedergegeben, Anonymisierung durch das Bundesverwaltungsgericht):

„9. Mit Schreiben vom 9. September 2021 forderte die Zweitbeschwerdeführerin die Beschwerdegegner [die Drittbeschwerdeführerin und den Viertbeschwerdeführer] jeweils auszugsweise wie folgt auf (Formatierung nicht 1:1 übernommen, Hervorhebungen durch die Datenschutzbehörde):

„wir beziehen uns auf das Schreiben vom 02.09.2021, in welchem Sie von der XXXX aufgefordert wurden, sämtliche Ihnen vorliegenden Nachrichten aus dem kompromittierten E-Mail-Postfach, von dem Sie berichtet haben zu löschen.

Da Sie dieser Bitte leider nicht nachgekommen sind, fordere ich von Ihnen namens der XXXX nun Auskunft darüber, welche Daten und Geschäftsgeheimnisse der XXXX Sie zu welchem Zweck verarbeiten und an wen diese übermittelt wurden oder werden (vgl. § 1 Abs 3 Z 1 DSG).“

Mit Schreiben vom 9. September 2021 antwortete der Zweitbeschwerdegegner [Viertbeschwerdeführer] auszugsweise wie folgt (Formatierung nicht 1:1 übernommen):

„Nach Rücksprache mit der Situation stellt sich der Sachverhalt folgendermaßen dar:

Ob das E-Mailpostfach tatsächlich kompromittiert war/wurde oder nicht, entzieht sich unserer Kenntnis.

Gemäß § 9 Abs. 1 DSG, der auf Art 85 DSGVO beruht, sind auf die Verarbeitung personenbezogener Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des Mediengesetzes zu journalistischen Zwecken des Medienunternehmens oder Mediendienstes die Bestimmungen des DSG sowie der DSGVO mit Ausnahme der Kapitel I (Allgemeine Bestimmungen) und VIII (Rechtsbehelfe, Haftungen und Sanktionen) nicht anzuwenden.

Damit hat der österreichische Gesetzgeber eine Abwägung zwischen dem Recht auf Schutz personenbezogener Daten einerseits und dem Recht auf Freiheit der Meinungsäußerung und der Informationsfreiheit vorgenommen.

Dass es sich beim XXXX um ein Medienunternehmen im Sinne des MedienG handelt, ist wohl unbestritten.

Die Datenverarbeitung zu journalistischen Zwecken ist ganzheitlich zu verstehen und geht damit von der „Erstinformation“ bis hin zur Erstveröffentlichung und darüber hinaus. Der EuGH versteht unter „journalistischen Zwecken“ Tätigkeiten, die zum Zweck haben, „Informationen, Meinungen oder Ideen (...) in der Öffentlichkeit zu verbreiten.“ (vgl. EuGH, Urteil vom 16.12.2008, C-73/07, Satamedia, a. a. O., Rn. 61) Die Generalanwältin in diesem Verfahren hatte „zur weiteren Ausfüllung des Begriffs der journalistischen Zwecke“ die Rolle einer freien Presse als eines „öffentlichen Wachhundes“ betont und daraus die Pflicht abgeleitet, „Informationen und Ideen über alle Fragen öffentlichen Interesses zu vermitteln“. Auf eine redaktionelle Bearbeitung komme es dabei nicht an; auch die Bereitstellung von Rohdaten könne einen Beitrag zur öffentlichen Diskussion leisten. Dieser Auffassung schloss sich der EuGH letztendlich an.

Die Verarbeitung der Daten erfolgte zu journalistischen Zwecken, dienten sie doch dazu, Informationen in der Öffentlichkeit zu verbreiten.

Aus dem Dargelegten ergibt sich, dass das DSG bzw. die DSGVO auf den gegenständlichen Sachverhalt im oben erwähnten Umfang nicht anwendbar sind, weshalb auch kein Rechtsanspruch auf Datenlöschung insbesondere gemäß Art 17 DSGVO besteht.

Für Rückfragen stehe ich gerne zur Verfügung.“

Die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] beantwortete den Auskunftsantrag der Zweitbeschwerdeführerin vom 9. September 2021 bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nicht.

10. Der Erstbeschwerdeführer übermittelte den Beschwerdegegnern [der Drittbeschwerdeführerin und dem Viertbeschwerdeführer] am 10. September 2021 jeweils auszugsweise nachstehendes Begehren (Formatierung nicht 1:1 übernommen):

„Sehr geehrte Damen und Herren,

Hiermit fordere ich Sie auf, unter Berufung auf Art. 15 DSGVO, sämtlich Ihnen zu meiner Person zur Verfügung stehenden Daten zu übermitteln.“

Im Anhang übermittelte der Erstbeschwerdeführer jeweils eine Kopie seines Lichtbildausweises sowie [mit ausgefüllten Formularen der belangten Behörde] folgende Anträge […] an die Erstbeschwerdegegnerin und an den Zweitbeschwerdegegner [an die Drittbeschwerdeführerin und an den Viertbeschwerdeführer]:

[…]

[…]

11. Der Zweitbeschwerdegegner [Viertbeschwerdeführer] beantwortete dieses Schreiben am 11. Oktober 2021 wie folgt (Formatierung nicht 1:1 übernommen, Schwärzungen erfolgten durch den Zweitbeschwerdegegner [Viertbeschwerdeführer]):

12. Die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] antwortete dem Erstbeschwerdeführer am 15. April 2022 auszugsweise wie folgt (Formatierung nicht 1:1 übernommen):

13. Die Erstbeschwerdegegnerin [Drittbeschwerdeführerin] beantwortete das Begehren der Zweitbeschwerdeführerin vom 9. September 2021 bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nicht.“

Rechtlich führte die belangte Behörde (soweit verfahrensgegenständlich relevant) wie folgt aus:

Beschwerdegegenständlich sei unter Außerachtlassung des § 9 Abs. 1 DSG aufgrund der Anlassfallwirkung zu prüfen, ob die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer die Zweitbeschwerdeführerin in ihrem Recht auf Löschung verletzt hätten, ob die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin in ihrem Recht auf Auskunft verletzt hätten und ob die Drittbeschwerdeführerin die Zweitbeschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt habe.

Um den 10.08.2021 sei eine ungesicherte Excel-Datei mit PCR-Testergebnissen mehrerer tausend namentlich angeführter Personen, welche vom personalisierten E-Mail-Account des Erstbeschwerdeführers versendet worden sei, in den Besitz der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers gelangt. Die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer hätten über diesen Vorfall am 01.09.2021 in den Online-Ausgaben ihrer Medien berichtet.

Zur Beschwerdelegitimation der Zweitbeschwerdeführerin sei festzuhalten, dass juristische Personen – im Umfang der ihnen durch § 1 DSG eingeräumten Rechte – entgegen der Ansicht der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers beschwerdelegitimiert seien. Demnach komme der Zweitbeschwerdeführerin gegenständlich auch ein Beschwerderecht im Zusammenhang mit einer behaupteten Verletzung im Recht auf Löschung gemäß § 1 Abs. 3 Z 2 DSG iVm Art. 17 DSGVO, mit einer behaupteten Verletzung im Recht auf Auskunft gemäß § 1 Abs. 3 Z 1 DSG iVm Art. 15 DSGVO und mit einer behaupteten Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG zu.

Zu den Spruchpunkten II. bis IX. sei auszuführen, dass jeweils eine unvollständige bzw. unterbliebe Auskunft im Zusammenhang mit der Medienberichterstattung am 01.09.2021 nach Art. 15 Abs. 1 und Art. 15 Abs. 3 DSGVO bzw. § 1 Abs. 3 Z 1 DSG vom Erstbeschwerdeführer sowie der Zweitbeschwerdeführerin moniert werde. Die Verweigerung der Zurverfügungstellung der in Art. 15 DSGVO enthaltenen Informationen wäre dann gerechtfertigt, wenn die Geheimhaltungsinteressen der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers bzw. Dritter gegenüber dem Auskunftsinteresse des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin überwiegen. Die Interessenabwägung habe hierbei jedoch für jede nach Art. 15 Abs. 1 lit. a bis h DSGVO geforderte Datenart gesondert zu erfolgen, um eine nachprüfende Kontrolle durch die Datenschutzbehörde oder ein Gericht zu ermöglichen. Ein pauschaler Ausschluss der gesamten Auskunft – im Sinne der von der Drittbeschwerdeführerin sowie dem Viertbeschwerdeführer indizierten Ansicht – sei hierbei nicht vorgesehen.

Inwiefern bei der Auskunft über die konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 DSGVO), Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO), Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO), Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO) oder geplante Speicherdauer (Art. 15 Abs. 1 lit. d DSGVO) im Zusammenhang mit der Medienberichterstattung vom 01.09.2021 an den Erstbeschwerdeführer gegenteilige Interessen der Drittbeschwerdeführerin oder des Viertbeschwerdeführers bestünden, sei nicht ersichtlich und auch nicht vorgebracht worden, weshalb diesbezüglich keine rechtfertigende Auskunftsverweigerungsausnahme vorliege.

Über die Betroffenenrechte und das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Art. 15 Abs. 1 lit. e und f DSGVO) hätten die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer den Erstbeschwerdeführer informiert, weshalb in diesem Punkt keine Mangelhaftigkeit der Auskunft erblickt werden könne. Auch bestünden im vorliegenden Verfahren keine Anhaltspunkte, dass eine automatisierte Entscheidungsfindung vorgenommen werde, weshalb es diesbezüglich nichts zu beauskunften gegeben habe.

Die Informationen über die Herkunft der personenbezogenen Daten (Art. 15 Abs. 1 lit. g DSGVO) sowie die Herausgabe einer Kopie nach Art. 15 Abs. 3 DSGVO würde(n) den in § 31 MedienG normierten Schutz des Redaktionsgeheimnisses umgehen, womit die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer die Auskunft in diesem Punkt zu Recht verweigert hätten.

Im Hinblick auf die Zweitbeschwerdeführerin sei die Drittbeschwerdeführerin trotz erfolgreicher Zustellung des Auskunftsantrags schlicht untätig geblieben, weshalb sie gegen ihre Verpflichtung nach Art. 12 Abs. 3 und Abs. 4 DSGVO verstoßen und die Zweitbeschwerdeführerin dadurch im Recht auf Auskunft gemäß § 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 DSGVO verletzt habe.

Vom Viertbeschwerdeführer habe die Zweitbeschwerdeführerin ausschließlich Auskunft im Sinne des § 1 Abs. 3 Z 1 DSG dahingehend verlangt, „welche Daten und Geschäftsgeheimnisse zu welchem Zweck verarbeitetet werden und an wen diese übermittelt wurden oder werden“ und dadurch den Prüfungsmaßstab des Beschwerdeverfahrens abgesteckt, weshalb der Viertbeschwerdeführer Auskunft über die konkret verarbeiteten (Stamm-)Daten (§ 1 Abs. 3 iVm Art. 15 Abs. 1 DSGVO), Zwecke der Datenverarbeitung (§ 1 Abs. 3 iVm Art. 15 Abs. 1 lit. a DSGVO) sowie Empfänger oder Kategorien von Empfängern (§ 1 Abs. 3 iVm Art. 15 Abs. 1 lit. c DSGVO) zu erteilen gehabt hätte.

3.5. Gegen diesen Bescheid erhoben die beschwerdeführenden Parteien jeweils fristgerecht Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG (Parteibeschwerden) an das Bundesverwaltungsgericht in folgendem Umfang:

3.5.1. Der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin führten in ihrer gemeinsamen Beschwerde (hg. protokolliert zu 2280859-1) aus, den abgewiesenen Spruchteil der Spruchpunkte II., VI. und VIII. des Bescheides wegen Rechtwidrigkeit des Inhalts, in eventu Rechtswidrigkeit infolge Verletzung von Verfahrensvorschriften anzufechten.

Die belangte Behörde habe völlig außer Acht gelassen, dass in Folge der Aufhebung des § 9 Abs. 1 DSG auch der Verweis auf das Redaktionsgeheimnis des MedienG gemäß § 9 Abs. 1 letzter Satz DSG nicht länger dem Rechtsbestand angehöre. Als einfachgesetzliche lex specialis stehe das Redaktionsgeheimnis daher in einem Spannungsverhältnis mit den höherrangigen datenschutzrechtlichen Bestimmungen der DSGVO, insbesondere mit den Grundprinzipien gemäß Art. 5 DSGVO. Dadurch habe keine rechtskonforme Abwägung der entgegenstehenden Interessen stattfinden können und das Auskunftsersuchen schon allein aus diesem Grund nicht mit Verweis auf das Redaktionsgeheimnis verweigert werden können. Die belangte Behörde habe keine gesetzlich gebotene Interessenabwägung vorgenommen. Eine solche Abwägung falle jedenfalls zu Lasten der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers aus. Die Auskunftsinteressen des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin seien insbesondere höher zu bewerten, da es offenbar durch einen widerrechtlichen Zugriff zu einer Kompromittierung des E-Mail-Postfaches des Erstbeschwerdeführers gekommen sei. Es sei daher für die Aufklärung des Sachverhaltes und um technische Sicherheitsvorkehrungen treffen zu können notwendig, die Informationen über die Herkunft der (personenbezogenen) Daten zu erteilen. Es handle sich um einen strafrechtlich relevanten Sachverhalt, weshalb schon allein aus general- bzw. spezialpräventiven Gründen iSd Schutzes der Allgemeinheit eine Aufklärung erforderlich sei. Darüber hinaus seien zivilrechtliche Klagen gegen die Zweitbeschwerdeführerin anhängig, welche durch Auskunft der Informationen über die Herkunft der Daten einfach abgewehrt werden könnten. Die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer hätten daher alle notwendigen Informationen über die Herkunft der Daten gemäß Art. 15 Abs. 1 lit. g DSGVO sowie eine Kopie der Daten gemäß Art. 15 Abs. 3 DSGVO bereitzustellen.

Es werde zudem angeregt, dem EuGH gemäß Art. 267 AEUV die Frage zur Vorabentscheidung vorzulegen, ob und inwieweit das österreichische Redaktionsgeheimnis gemäß § 31 MedienG im Anwendungsbereich des DSG bzw. der DSGVO zur Anwendung komme.

3.5.2. Die Drittbeschwerdeführerin brachte in ihrer Beschwerde (hg. protokolliert zu 2280913-1) vor, den Bescheid in seinen Spruchpunkten II., III., IV. und V. wegen unrichtiger rechtlicher Beurteilung anzufechten. Der angefochtene Bescheid der belangten Behörde sei in seinen Spruchpunkten II. und III. aufzuheben und die ursprüngliche Beschwerde des Erstbeschwerdeführers abzuweisen, weil das Redaktionsgeheimnis einer Auskunft entgegenstehe. Entgegen der Ansicht der belangten Behörde schulde die Drittbeschwerdeführerin keine Auskunft über die konkret verarbeiteten Daten des Erstbeschwerdeführers gemäß Art. 15 DSGVO, da ansonsten der Inhalt, der dem Medienprivileg unterliegenden verfahrensgegenständlichen E-Mail offengelegt würde. Daran ändere auch der Umstand nichts, dass diese Informationen möglicherweise zum Teil bereits öffentlich zugänglich seien – für den grundrechtlich gebotenen Schutz des Redaktionsgeheimnisses komme es nicht auf die Vertraulichkeit oder Öffentlichkeit der Informationen an. Das Redaktionsgeheimnis umfasse nach Ansicht des OGH „ausnahmslos alles, was Medieninhabern, Herausgebern, Medienmitarbeitern und Arbeitnehmern eines Medienunternehmens oder Mediendienstes im Hinblick auf ihre Tätigkeit mitgeteilt wurde“ (OGH 16.12.2010, 13 Os 130/10g). Selbst wenn man davon ausgehen würde, dass § 31 Abs. 2 MedienG einer Auskunftspflicht auch in Bezug auf andere Informationen, als die Herkunft der personenbezogenen Daten sowie einer Datenkopie nicht entgegenstünde, so sei diese jedenfalls aufgrund der Beeinträchtigung der Rechte und Freiheiten anderer Personen zu verneinen (Art. 15 Abs. 4 DSGVO). Würde man beispielsweise im konkreten Fall eine Pflicht zur Offenlegung der Empfänger nach Art. 15 Abs 1 lit. c DSGVO für die Drittbeschwerdeführerin erblicken, wären – über das Verlangen der betroffenen Person – nach der Judikatur des EuGH jedenfalls alle konkreten Empfänger zu nennen. So würden etwa bei Rückfragen im Rahmen der journalistischen Recherche auch die journalistischen Quellen unter den Begriff der „Empfänger“ fallen. Journalistische Quellen müssten daher um die Offenlegung ihrer Identität fürchten, was die Aufdeckung von Missständen und Berichte darüber durch Medienhäuser praktisch verunmöglichen würde. Ebenso wäre – so wie der Spruchpunkt III. des Bescheids und seine Begründung formuliert seien – eben nicht nur bereits öffentliche (Stamm-)Daten gegenüber dem Erstbeschwerdeführer zu beauskunften, sondern eben all jene Informationen, die sich auf diesen beziehen. Das sei potenziell das gesamte journalistische Recherchematerial der Drittbeschwerdeführerin. Auch dies wäre ein unverhältnismäßiger Eingriff in das Grundrecht auf Meinungs- und Kommunikationsfreiheit nach Art. 13 StGG, Art. 10 EMRK sowie Art. 11 GRC der Drittbeschwerdeführerin. Richtigerweise schränke das Grundrecht auf Meinungs- und Kommunikationsfreiheit die datenschutzrechtliche Auskunftspflicht gegenüber dem Erstbeschwerdeführer auf jene Informationen ein, die die Drittbeschwerdeführerin zu nicht-journalistischen Zwecken verarbeite. Diese Informationen habe die Drittbeschwerdeführerin jedoch bereits erteilt, weshalb der Bescheid in den angefochtenen Spruchpunkten aufzuheben, die ursprüngliche Beschwerde abzuweisen und das Verfahren nach § 24 Abs. 6 DSG einzustellen sei.

Darüber hinaus sei der Bescheid der belangten Behörde in seinen Punkten IV. und V. aufzuheben und die ursprüngliche Beschwerde der Zweitbeschwerdeführerin zurück- bzw. abzuweisen, weil die belangte Behörde nach der Rechtsprechung des BVwG, dem eindeutigen Wortlaut des Gesetzes sowie aufgrund einer grundrechtskonformen Interpretation des § 24 DSG für Beschwerden juristischer Personen nicht zuständig sei, das Grundrecht auf Datenschutz nach § 1 DSG nicht zwischen Privaten gelte, juristischen Personen kein Recht auf Auskunft zukomme, da der Gesetzgeber dem in § 1 Abs. 3 DSG normierten Auftrag nicht nachgekommen sei, und jedenfalls Auskunftsverweigerungsrechte zur Wahrung des grundrechtlich geschützten Redaktionsgeheimnisses vorliegen würden.

3.5.3. Der Viertbeschwerdeführer focht in seiner Beschwerde (hg. protokolliert zu 2281423-1) den Bescheid in seinen Spruchpunkten VI., VII., VIII. und IX. an und brachte vor, dass der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin versuchen würden, über das datenschutzrechtliche Auskunftsrecht an Inhalte und Informationen zu gelangen, die (mit gutem Grund) den Schutz des Redaktionsgeheimnisses genießen würden. Es würde den Schutz des Redaktionsgeheimnisses und das in § 31 Abs 2 MedienG statuierte Umgehungsverbot konterkarieren, wenn sich das Redaktionsgeheimnis in eine Feinprüfung filetieren könnte, die - je nach Betrachtungsperspektive – notwendiger Weise zu unterschiedlichen Ergebnissen führe. Denn der (gemäß der belangten Behörde zu beauskunftende) Datenempfänger des einen sei zugleich die (gemäß der belangten Behörde nicht zu beauskunftende) Datenquelle des anderen. Der in den Spruchpunkten VI. bis IX. ausgesprochene Auftrag, die (Stamm)Daten zu beauskunften, lasse offen, ob nun Stammdaten, oder auch sonstige Daten zu beauskunften seien. Zugleich verbleibe unklar, welche Daten im Lichte des Redaktionsgeheimnisses als Stammdaten, und welche Daten als sonstige Daten zu gelten hätten. Gleiches gelte für die gemäß den genannten Spruchpunkten zu beauskunftende Speicherdauer und den Verarbeitungszweck. Denn die Beauskunftung eines (wie unter der DSGVO geschuldeten) nicht formelhaften, sondern aussagekräftigen Verarbeitungszwecks, gekoppelt mit der Beauskunftung der Speicherdauer, bedeute nichts anderes als die Beauskunftung des journalistischen Vorgehens und des journalistischen Rechercheplans. Dem Redaktionsgeheimnis sei nur dann im erforderlichen Ausmaß entsprochen, wenn auch die Auskunftsbegehren im Umfang der Spruchpunkte VI. bis IX. abgewiesen würden. Die versandte E-Mail habe zudem die PCR Testergebnisse von Drittpersonen, nicht jedoch des Erstbeschwerdeführers oder der Zweitbeschwerdeführerin beinhaltet. Dem Erstbeschwerdeführer sowie der Zweitbeschwerdeführerin komme daher kein Interesse am Erhalt einer Auskunft über die Verarbeitung der Gesundheitsdaten jener 24.000 Personen zu, die den Anhang der versandten E-Mail gebildet hätten. In rechtsrichtiger Betrachtung wären daher die Auskunftsbegehren wegen der entgegenstehenden Geheimhaltungsinteressen der betroffenen Personen abzuweisen gewesen.

Bei der Zweitbeschwerdeführerin komme hinzu, dass nach der Rechtsprechung des Bundesverwaltungsgerichtes keine Zuständigkeit der belangten Behörde, aber auch keine Aktivlegitimation der Zweitbeschwerdeführerin im vorliegenden Verfahren gegeben sei, da es sich bei ihr um eine juristische Person handle. Zudem komme einer juristischen Person das Auskunftsrecht des Art 15 DSGVO nicht zu, für die in § 1 Abs 3 DSG definierten Begleitrechte auf Auskunft, Richtigstellung und Löschung gelte ein Ausführungsvorbehalt, dem der Gesetzgeber jedoch nicht nachgekommen sei, weshalb juristischen Personen kein Recht auf Auskunft zukomme.

3.6. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerden samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie den angefochtenen Bescheid verteidigte.

3.7. Das Bundesverwaltungsgericht übermittelte die jeweiligen Beschwerden den Parteien im Wege der Beschwerdemitteilung gemäß § 10 VwGVG zur Kenntnis- und Stellungnahme.

3.8. Die Drittbeschwerdeführerin erstattete am 30.11.2023 eine Stellungnahme zur Parteibeschwerde des Erstbeschwerdeführers und der Zweitbeschwerdeführerin, in welcher sie im Wesentlichen ihr bisheriges Vorbringen wiederholte und ergänzend ausführte, dass die Parteibeschwerde des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin zur Gänze zurück- bzw. abzuweisen sei, weil die angefochtenen Spruchpunkte II., VI., und VIII. den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin nicht beschweren würden, weil die belangte Behörde in diesen Spruchpunkten ihrer Beschwerde stattgegeben habe. Ein Anspruch auf Herausgabe einer Kopie der verfahrensgegenständlichen E-Mail scheitere auch daran, dass es ja um eine E-Mail gehe, die der Erstbeschwerdeführer selbst versendet habe und von der er sich jederzeit eine Kopie erstellen könne. Eine weitere Kopie, die ihm von der Drittbeschwerdeführerin ausgehändigt werde, würde ihm daher nicht bei der Ausübung seiner in der DSGVO verbrieften Rechte helfen und wäre deshalb sinnlos.

3.9. Der Viertbeschwerdeführer nahm mit Schriftsatz vom 30.11.2023 zur Parteibeschwerde des Erstbeschwerdeführers und der Zweitbeschwerdeführerin Stellung und führte aus, dass der aus der Anlassfallwirkung gezogene Schluss, dass wegen Wegfalls des letzten Satzes des § 9 Abs. 1 DSG der Schutz des Redaktionsgeheimnisses nicht mehr greife, nicht haltbar sei. Mit diesem Vorbringen werde ignoriert, dass das Redaktionsgeheimnis durch Art. 10 EMRK abgesichert sei. Es sei eine grundrechtliche Abwägung losgelöst vom letzten Satz des § 9 Abs. 1 DSG vorzunehmen, eine gegenteilige Auslegung stehe in diametralem Widerspruch zur gefestigten höchstgerichtlichen Judikatur. Die in der Beschwerde zitierte Rechtsprechung des OGH sei für das gegenständliche Verfahren nicht relevant, es sei in dieser Entscheidung nicht um den Schutz journalistischer Quellen oder das Redaktionsgeheimnis gegangen. Der Umstand, dass der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin gegen die DSGVO verstoßen haben könnten, weil sie über kein zugriffssicheres E-Mail-System verfügen würden, begründe kein rechtliches Interesse daran, dass Medienunternehmen unter Zurückstellung des Redaktionsgeheimnisses an der Beseitigung dieses Verstoßes mitzuwirken hätten. Auch der in diesem Zusammenhang getätigte Verweis auf spezial- und generalpräventive Erwägungen sei nicht nachvollziehbar, diese würden bei der Bestimmung des zu verhängenden Strafmaßes, nicht aber bei der Erörterung der Grenzen des Redaktionsgeheimnisses greifen. Das Argument, dass Medienhäuser unter Außerachtlassung des Redaktionsgeheimnisses an der Aufklärung von Straftaten mitzuwirken hätten, lasse jegliches Grundverständnis der Pressefreiheit und zu Art. 10 EMRK vermissen. Ebenso unvertretbar sei das Argument, dass das Redaktionsgeheimnis zu brechen wäre, weil der Erstbeschwerdeführer und die Zweitbeschwerdeführerin dann einfach gegen sie gerichtete Klagsansprüche abwehren könnten.

3.10. Der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin erstatteten mit Schriftsatz vom 13.12.2023 zur Bescheidbeschwerde der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers eine Stellungnahme, in welcher sie im Wesentlichen ihre Ausführungen aus dem behördlichen Verfahren und ihrer Parteibeschwerde wiederholten.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Es wird von den Ausführungen oben unter Punkt I. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt, insbesondere von den Feststellungen der belangten Behörde im angefochtenen Bescheid, ausgegangen.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten sowie dem gegenständlichen Gerichtsakt, insbesondere aus dem angefochtenen Bescheid. Die für die Entscheidung wesentlichen Umstände im Tatsachenbereich sind geklärt und die relevanten Ermittlungsergebnisse und Urkunden liegen in den vorgelegten Verwaltungsakten ein. Die belangte Behörde hat ein mängelfreies, ordnungsgemäßes Ermittlungsverfahren durchgeführt und in der Begründung des angefochtenen Bescheides den maßgeblichen Sachverhalt in Übereinstimmung mit der Aktenlage richtig festgestellt. Diesem Sachverhalt und der Beweiswürdigung traten die beschwerdeführenden Parteien in ihren Parteibeschwerden nicht bzw. mit bloß unsubstantiiertem Vorbringen entgegen. Damit steht der entscheidungswesentliche Sachverhalt aber fest. Einer weiteren Klärung des Sachverhaltes unter Aufnahme weiterer Beweise und Durchführung einer mündlichen Verhandlung bedarf es daher nicht. Es sind vorliegend nur rechtliche Fragen zu klären.

3. Rechtliche Beurteilung:

Zu A)

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerden wurden jeweils fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. Insbesondere ist festzuhalten, dass es – entgegen den Ausführungen der Drittbeschwerdeführerin – nicht an einer Beschwer des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin im Hinblick auf die angefochtenen Spruchpunkte II., VI. und VIII. mangelt, zumal die belangte Behörde deren Datenschutzbeschwerde nur teilweise (in Bezug auf die Informationen gemäß Art. 15 Abs. 1 zweiter Satz sowie lit. a bis d bzw. a und c DSGVO) stattgegeben hat, im Übrigen jedoch die Datenschutzbeschwerde (wenn auch implizit) abgewiesen hat und der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin in ihrer Parteibeschwerde auch (nur) die jeweils abgewiesenen Spruchteile anfechten.

3.3. In der Sache:

3.3.1. Rechtsgrundlagen:

Für die gegenständlichen Beschwerdeverfahren relevante Bestimmungen des Datenschutzgesetzes, DSG, des Mediengesetzes, MedienG, des Urheberrechtsgesetzes, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), DSGVO, der Europäischen Menschenrechtskonvention, EMRK sowie des Vertrags über die Arbeitsweise der Europäischen Union, AEUV, lauten (auszugsweise, samt Überschrift):

 § 1, § 4 Abs. 1 sowie § 24 Abs. 1 DSG:

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Anwendungsbereich und Durchführungsbestimmung

§ 4 (1) Die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1, (im Folgenden: DSGVO) und dieses Bundesgesetzes gelten für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, soweit nicht die spezifischeren Bestimmungen des 3. Hauptstücks dieses Bundesgesetzes vorgehen.

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

 § 31 Abs. 1 und 2 MedienG

Schutz des Redaktionsgeheimnisses

§ 31 (1) Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes haben das Recht, in einem Strafverfahren oder sonst in einem Verfahren vor Gericht oder einer Verwaltungsbehörde als Zeugen die Beantwortung von Fragen zu verweigern, die die Person des Verfassers, Einsenders oder Gewährsmannes von Beiträgen und Unterlagen oder die ihnen im Hinblick auf ihre Tätigkeit gemachten Mitteilungen betreffen.

(2) Das im Abs. 1 angeführte Recht darf nicht umgangen werden, insbesondere dadurch, daß dem Berechtigten die Herausgabe von Schriftstücken, Druckwerken, Bild- oder Tonträgern oder Datenträgern, Abbildungen und anderen Darstellungen mit solchem Inhalt aufgetragen wird oder diese beschlagnahmt werden.

 § 87b Abs. 2 Urheberrechtsgesetz

(2) Wer in einem auf dieses Gesetz gegründeten Ausschließungsrecht verletzt worden ist, kann Auskunft über den Ursprung und die Vertriebswege der rechtsverletzenden Waren und Dienstleistungen verlangen, sofern dies nicht unverhältnismäßig im Vergleich zur Schwere der Verletzung wäre und nicht gegen gesetzliche Verschwiegenheitspflichten verstoßen würde; zur Erteilung der Auskunft sind der Verletzer und die Personen verpflichtet, die gewerbsmäßig

1. rechtsverletzende Waren in ihrem Besitz gehabt,

2. rechtsverletzende Dienstleistungen in Anspruch genommen oder

3. für Rechtsverletzungen genutzte Dienstleistungen erbracht haben.

 Art 4 Z 1,2, und 7, Art. 12 Abs 1 - 4 und Art. 15 DSGVO

Begriffsbestimmungen

Art. 4. Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

Art. 12 (1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

Auskunftsrecht der betroffenen Person

Art. 15 (1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

 Art. 10 EMRK

Artikel 10 – Freiheit der Meinungsäußerung

(1) Jedermann hat Anspruch auf freie Meinungsäußerung. Dieses Recht schließt die Freiheit der Meinung und die Freiheit zum Empfang und zur Mitteilung von Nachrichten oder Ideen ohne Eingriffe öffentlicher Behörden und ohne Rücksicht auf Landesgrenzen ein. Dieser Artikel schließt nicht aus, daß die Staaten Rundfunk-, Lichtspiel- oder Fernsehunternehmen einem Genehmigungsverfahren unterwerfen.

(2) Da die Ausübung dieser Freiheiten Pflichten und Verantwortung mit sich bringt, kann sie bestimmten, vom Gesetz vorgesehenen Formvorschriften, Bedingungen, Einschränkungen oder Strafdrohungen unterworfen werden, wie sie in einer demokratischen Gesellschaft im Interesse der nationalen Sicherheit, der territorialen Unversehrtheit oder der öffentlichen Sicherheit, der Aufrechterhaltung der Ordnung und der Verbrechensverhütung, des Schutzes der Gesundheit und der Moral, des Schutzes des guten Rufes oder der Rechte anderer unentbehrlich sind, um die Verbreitung von vertraulichen Nachrichten zu verhindern oder das Ansehen und die Unparteilichkeit der Rechtsprechung zu gewährleisten.

 Art. 16 AEUV

Art. 16 (1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2) Das Europäische Parlament und der Rat erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht.

Die auf der Grundlage dieses Artikels erlassenen Vorschriften lassen die spezifischen Bestimmungen des Artikels 39 des Vertrags über die Europäische Union unberührt.

3.3.2. Umgelegt auf den vorliegenden Fall ergibt sich daraus Folgendes:

3.3.2.1. Zum Vorliegen von personenbezogenen Daten:

Entgegen dem Vorbringen der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers liegen im vorliegenden Fall im Zusammenhang mit den gegenständlichen Auskunftsbegehren personenbezogene Daten des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin vor.

Aus der Definition des Art. 4 Z 1 DSGVO ergibt sich, dass mit „personenbezogenen Daten“ ohne Einschränkung „alle Informationen“, die sich auf eine Person beziehen, umfasst sind, womit sich zeigt, dass der Begriff weit zu verstehen ist. Sohin sind persönliche Informationen wie Identifikationsmerkmale (Name, Anschrift und Geburtsdatum), äußere Merkmale (Geschlecht, Augenfarbe, Größe, Gewicht) oder innere Zustände (Meinungen, Motive, Wünsche, Überzeugungen, Werturteile) genauso gemeint wie sachliche Informationen, also Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie sonstige Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt (Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 19).

Der Begriff der „personenbezogenen Daten“ beinhaltet somit alle Arten von Informationen sowohl objektiver als auch subjektiver Natur, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten oder bestimmbaren Person verknüpft ist (EuGH 20.12.2017, C-434/16 [Novak] Rz 34 f).

Dazu ist im vorliegenden Fall festzuhalten, dass sich die verfahrensgegenständliche Medienberichterstattung vom 01.09.2021 zweifelsohne auf den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin bezieht und daher mit diesem/r verknüpft ist.

So berichtet die Drittbeschwerdeführerin - nach den unbestritten gebliebenen Feststellungen der belangten Behörde - in ihrer Online-Ausgabe vom 01.09.2021, dass „Tausende XXXX PCR-Test-Ergebnisse mit Namen und Daten geleakt“ wurden und der Erstbeschwerdeführer als ehemaliger Geschäftsführer „der in die Kritik geratenen Firma XXXX “, diese Daten am 10.08.2021 „mutmaßlich unverschlüsselt per E-Mail in Form von Excel-Sheets verschickt hat“ und der Erstbeschwerdeführer auf Anfrage bestätigt habe, dass er dies getan habe. Der Viertbeschwerdeführer berichtet ebenfalls in seiner Online-Ausgabe vom 01.09.2021, dass dem XXXX und der Drittbeschwerdeführerin Daten von mehr als 24.000 positiven Coronavirus-Tests aus XXXX mitsamt den dazugehörigen Personendaten zugespielt worden seien und diese in Umlauf gekommen waren, weil der Erstbeschwerdeführer, der ehemalige Geschäftsführer der Zweitbeschwerdeführerin, sie in einer Mail verschickt hatte.

Auch wenn das der E-Mail angehängte Excel-Sheet lediglich personenbezogene Daten Dritter umfasst, betrifft die Medienberichterstattung, auf die sich die gegenständlichen Auskunftsbegehren beziehen, den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin, womit aufgrund des soeben Ausgeführten jedenfalls auch personenbezogene Daten des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin vorliegen. Die Argumentation der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers verfängt daher nicht.

Dass diese personenbezogenen Daten im Zusammenhang mit der Medienberichterstattung vom 01.09.2021 im Sinne des Art. 4 Z 2 DSGVO „verarbeitet“ wurden und die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer hierfür jeweils als Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren sind, wurde von diesen nicht in Abrede gestellt.

3.3.2.2. Zur Beschwerde des Erstbeschwerdeführers und der Zweitbeschwerdeführerin:

3.3.2.2.1. Zur Aktivlegitimation der Zweitbeschwerdeführerin:

Die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer bringen in ihren jeweiligen Parteibeschwerden – unter Bezugnahme auf das hg. Erkenntnis vom 19.09.2023, W298 2261568-1/16E, – vor, dass keine Aktivlegitimation der Zweitbeschwerdeführerin und keine Zuständigkeit der belangten Behörde gegeben sei, da es sich bei der Zweitbeschwerdeführerin um eine juristische Person handle.

Hierzu ist festzuhalten, dass der Verfassungsgerichtshof die gegen dieses Erkenntnis erhobene Beschwerde zwar mit Erkenntnis vom 12.03.2024, E 3436/2023, abgewiesen, jedoch in Punkt III.3. festgehalten hat, dass die Grundrechtsbestimmungen in § 1 DSG nicht nur natürliche Personen, sondern auch juristische Personen als Grundrechtsträger erfassen.

Ob eine juristische Person eine Beschwerde bei der Datenschutzbehörde wegen Verletzung ihres Rechtes auf Geheimhaltung personenbezogener Daten gemäß § 1 Abs. 1 DSG erheben und ferner ob und unter welchen Voraussetzungen eine juristische Person eine Verletzung ihres Rechtes auf Auskunft, Richtigstellung oder Löschung personenbezogener Daten gemäß § 1 Abs. 3 DSG – bei Fehlen entsprechender Ausführungsregelungen im Datenschutzgesetz – bei der Datenschutzbehörde geltend machen kann, hat der Verfassungsgerichtshof im zitierten Erkenntnis ausdrücklich offengelassen (vgl. Punkt III.4. des Erkenntnisses).

Es ist der belangten Behörde jedoch beizupflichten, dass eine Auslegung der einfachgesetzlichen Bestimmungen – insbesondere der §§ 4 und 24 DSG – dahingehend, nur natürlichen Personen die Möglichkeit einer Beschwerdeerhebung vor der Datenschutzbehörde einzuräumen, juristischen Personen (trotz Grundrechtsschutz) hingegen nicht, den Bestimmungen vor dem Hintergrund des § 1 DSG einen gleichheits- und damit verfassungswidrigen Inhalt unterstellen würde, zumal äquivalente alternative Rechtsdurchsetzungsmechanismen fehlen. Es ist jedenfalls verfassungsrechtlich geboten, sämtlichen Grundrechtsberechtigten die effektive Durchsetzung ihrer Grundrechtsansprüche zu ermöglichen (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 Rz 7; vgl. BVwG 22.04.2024, W214 2253376-1/23E, W214 2253225-1/23E, mit Verweis auf Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)² § 24 Rz 4 [Stand 1.2.2022, rdb.at]).

Die Beschwerde ist daher zulässig.

Sie ist jedoch nicht berechtigt:

3.3.2.2.2. Vorweg ist festzuhalten, dass der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin in ihrer Bescheidbeschwerde ausdrücklich nur den jeweils abgewiesenen Spruchteil der Spruchpunkte II., VI. und VIII. des Bescheides anfechten.

Daraus folgt, dass die Spruchpunkte I. und X., mit welchen die belangte Behörde die Beschwerde der Zweitbeschwerdeführerin wegen einer behaupteten Verletzung im Recht auf Löschung sowie einer behaupteten Verletzung im Recht auf Geheimhaltung abgewiesen hat, nicht von der Anfechtung umfasst, rechtskräftig und damit nicht beschwerdegegenständlich sind.

Der Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin bringen zusammengefasst vor, dass das Auskunftsersuchen in Bezug auf die Medienberichterstattung am 01.09.2021 nicht mit Verweis auf das Redaktionsgeheimnis gemäß § 31 MedienG verweigert werden könne, da in Folge der Aufhebung des § 9 Abs. 1 DSG auch der Verweis auf das Redaktionsgeheimnis des MedienG gemäß § 9 Abs. 1 letzter Satz DSG nicht länger dem Rechtsbestand angehöre, sowie, dass die gesetzlich gebotene Interessenabwägung jedenfalls zu Lasten der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers ausfalle, da die Auskunftsinteressen des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin höher zu bewerten seien.

Dem ist jedoch Folgendes entgegenzuhalten:

Festzuhalten ist zunächst, dass die belangte Behörde der Datenschutzbeschwerde des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin teilweise stattgeben und der Drittbeschwerdeführerin sowie dem Viertbeschwerdeführer die in Spruchpunkt III., V., VII. und IX. genannten Leistungsaufträge erteilt hat. Die belangte Behörde hat die Datenschutzbeschwerde des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin sohin nicht gänzlich abgewiesen, sondern im Rahmen einer Interessenabwägung gesondert nach jeder Datenart des Art. 15 Abs. 1 lit. a – h DSGVO beurteilt, ob die Geheimhaltungsinteressen der Drittbeschwerdeführerin und des Viertbeschwerdeführers bzw. Dritter das Auskunftsinteresse des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin überwiegen.

Das Bundesverwaltungsgericht kann nicht finden, dass die von der belangten Behörde vorgenommene Interessenabwägung unzutreffend wäre.

Es ist der belangten Behörde beizupflichten, wenn sie ausführt, dass die Informationen über die Herkunft der personenbezogenen Daten (Art. 15 Abs. 1 lit. g DSGVO) sowie die Herausgabe einer Kopie nach Art. 15 Abs. 3 DSGVO den in § 31 MedienG normierten Schutz des Redaktionsgeheimnisses umgehen würden.

Auch wenn § 9 Abs. 1 DSG vom Verfassungsgerichtshof mit Erkenntnis vom 14.12.2022 als verfassungswidrig aufgehoben wurde und damit auf den vorliegenden Anlassfall nicht mehr anzuwenden ist, kann daraus – wie die Drittbeschwerdeführerin und der Viertbeschwerdeführer im Ergebnis zurecht vorbringen – nicht der Schluss gezogen werden, dass das Redaktionsgeheimnis in Bezug auf eine geforderte Auskunftserteilung keinerlei Beachtung mehr findet. Dies ergibt sich unter anderem aus der Rechtsprechung des OGH, wonach eine Berufung auf das Redaktionsgeheimnis auch außerhalb des eigentlichen Anwendungsbereichs des § 31 Abs. 1 MedienG möglich ist, was auch mit dem Umgehungsverbot des § 31 Abs. 2 MedienG korrespondiert (OGH 23.02.2022, 4 Ob 141/21w). Hier ist insbesondere festzuhalten, dass der OGH eine solche Möglichkeit auch für Ansprüche nach § 18 Abs. 4 ECG sowie § 87b Abs. 2 UrhG anerkannt hat, obwohl (wie im vorliegenden Fall) die Bestimmung des § 31 Abs. 1 MedienG dort nicht ausdrücklich erwähnt wird. Der OGH führt zudem aus, dass – entgegen den Ausführungen des Erstbeschwerdeführers und der Zweitbeschwerdeführerin im behördlichen Verfahren – die beweisrechtliche Problematik, inwieweit ein Zeuge oder auch eine Partei in einem gerichtlichen Verfahren berechtigt ist, die Aussage unter Berufung auf § 31 MedienG zu verweigern, davon zu unterscheiden ist, ob das Redaktionsgeheimnis nach § 31 MedienG dem hier geltend gemachten materiell-rechtlichen Anspruch auf Auskunft entgegensteht. Die diesbezügliche Argumentation des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin verfängt daher nicht.

Vielmehr sind – wie der OGH im zitierten Erkenntnis ebenfalls ausführt – die Interessen des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin und die auf Art. 10 EMRK fußenden, öffentlichen Interessen der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers gegeneinander abzuwägen. Der Vollständigkeit halber ist festzuhalten, dass die Auslegung oder Überprüfung der Gültigkeit von nationalem Recht nicht in die Zuständigkeit des EuGH fällt und die vom Erstbeschwerdeführer sowie der Zweitbeschwerdeführerin in ihrer Bescheidbeschwerde formulierte Vorlagefrage daher nicht Gegenstand einer Vorabentscheidung gemäß Art. 267 AEUV sein kann, weshalb der Anregung zur Vorlage an den EuGH auch nicht nachzukommen war (vgl. Rs C-100/63 - Van der Veen / Sociale Verzekeringsbank).

Aus der Rechtsprechung des EGMR zu Art. 10 EMRK ergibt sich, dass der Schutz journalistischer Quellen eine der Grundvoraussetzungen der Pressefreiheit ist. Ohne einen solchen Schutz könnten Informanten davor zurückschrecken, die Presse dabei zu unterstützen, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die wesentliche Funktion der Presse als „public watchdog“ könnte untergraben und ihre Fähigkeit, genaue und verlässliche Informationen zu liefern, beeinträchtigt werden. Angesichts der Bedeutung des Schutzes journalistischer Quellen für die Pressefreiheit und die potenziell abschreckende Wirkung (chilling effect), die eine Anordnung der Offenlegung einer Quelle für die Ausübung dieser Freiheit hat, kann eine solche Maßnahme nur mit Art. 10 EMRK vereinbar sein, wenn sie durch ein dringendes Erfordernis des öffentlichen Interesses gerechtfertigt ist (vgl. OGH RS0126501, RS0125986, RS0123667). Zudem führt auch der Verfassungsgerichtshof in seinem bereits zitierten Erkenntnis vom 14.12.2022 aus, dass die uneingeschränkte Anwendbarkeit sämtlicher datenschutzrechtlicher Bestimmungen auf Datenverarbeitungen zu journalistischen Zwecken durch Medienunternehmen und Mediendienste geeignet wäre, journalistische Tätigkeit in unverhältnismäßiger Weise zu behindern oder sogar zu verunmöglichen.

Vor diesem Hintergrund kann jedoch im vorliegenden Fall nicht davon ausgegangen werden, dass die Interessenabwägung im Hinblick auf die Erteilung der Informationen über die Herkunft der personenbezogenen Daten (Art. 15 Abs. 1 lit. g DSGVO) sowie die Herausgabe einer Kopie nach Art. 15 Abs. 3 DSGVO zugunsten des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin ausfällt:

Es ist zwar zuzugestehen, dass die Bekanntgabe der Auskunftsperson es dem Erstbeschwerdeführer sowie der Zweitbeschwerdeführerin (aufgrund des vermeintlichen widerrechtlichen Zugriffs auf ihr E-Mail-Postfach) ermöglichen würde, gegen diese zustehende (sowohl straf- als auch zivilgerichtliche) Ansprüche zu verfolgen bzw. Ansprüche Betroffener abzuwehren, was ohne die begehrte Auskunft offenkundig ungleich schwieriger wäre, jedoch steht diesem Interesse die grundsätzliche Bedeutung des journalistischen Quellenschutzes gegenüber. Die Drittbeschwerdeführerin sowie der Viertbeschwerdeführer haben in ihrer Eigenschaft als Medienunternehmen journalistisch, in nicht reißerischer Art und Weise über ein Datenleck bei der Zweitbeschwerdeführerin berichtet, wonach Gesundheitsdaten, sohin eine besondere Kategorie von Daten iSd Art. 9 Abs. 1 DSGVO, von 24.000 Personen, unverschlüsselt per E-Mail versandt wurden. Medien kommt in ihrer Rolle als „public watchdog“ eine wichtige Kontroll- und Aufklärungsfunktion zu. Ihre Fähigkeit, genaue und zuverlässige Informationen zu liefern, bedingt als Voraussetzung, ihren Informanten wirksam Vertraulichkeit zusichern zu können und kann eine Durchbrechung dieses Schutzes – wie oben ausgeführt – nur durch ein dringendes Erfordernis des öffentlichen Interesses, welches im Einzelfall das Interesse an einem journalistischen Quellenschutz überwiegt, gerechtfertigt sein. Ein solches ist jedoch im vorliegenden Fall nicht gegeben, zumal auch nicht vorgebracht wurde, dass die Berichterstattung durch die Drittbeschwerdeführerin bzw. den Viertbeschwerdeführer in rechtswidriger Art und Weise vorgenommen wurde. Die vom Erstbeschwerdeführer sowie der Zweitbeschwerdeführerin zitierte Entscheidung des OGH vom 29.08.2019, 6 Ob 152/19z, ist - wie der Viertbeschwerdeführer zutreffend vorbringt – für den vorliegenden Fall nicht einschlägig, zumal die Entscheidung des OGH einen Sachverhalt zur Frage des Bildnisschutzes im Zusammenhang mit § 78 UrhG betraf, welcher mit der hier vorzunehmenden Interessenabwägung zwischen dem Schutz journalistischer Quellen und dem Auskunftsinteresse des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin in keinerlei Zusammenhang steht.

Das soeben Ausgeführte trifft ebenso auf die vom Erstbeschwerdeführer sowie der Zweitbeschwerdeführerin geforderte Herausgabe einer Kopie der personenbezogenen Daten iSd Art. 15 Abs. 3 DSGVO zu. Der Begriff „Kopie“ bezeichnet nach der Rechtsprechung des EuGH die „originalgetreue Reproduktion oder Abschrift […], so dass eine rein allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten nicht dieser Definition entspräche“ (EuGH 04.05.2023, Zl. C-487/21, Rz 21). Für den vorliegenden Fall ergibt sich daraus, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers (unzumutbar) beeinträchtigen würde, zumal von einer originalgetreuen Reproduktion oder Abschrift auch die Herausgabe (von Teilen) des Recherchematerials der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers umfasst wäre, was jedoch einerseits gemäß Art. 15 Abs. 4 DSGVO auszuschließen ist, andererseits dadurch auch das Redaktionsgeheimnis gemäß § 31 Abs. 1 MedienG bzw. das in § 31 Abs. 2 leg. cit. normierte Umgehungsverbot konterkariert würde.

Zu einer Rechtswidrigkeit der Nichtfeststellung einer Verletzung im Recht auf Auskunft gemäß Art. 15 Abs. 1 lit. e und f DSGVO enthält die Parteibeschwerde des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin keine Angaben und ist auch sonst nicht hervorgekommen, dass die rechtliche Beurteilung der belangten Behörde diesbezüglich unzutreffend wäre, sodass in Bezug auf diese Punkte ebenfalls zurecht kein Leistungsauftrag erteilt wurde.

Die Beschwerde des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin kann daher nicht erfolgreich sein.

3.3.2.3. Zu den Beschwerden der Drittbeschwerdeführerin und des Viertbeschwerdeführers:

Die Drittbeschwerdeführerin bekämpft in ihrer Parteibeschwerde den Bescheid in seinen Spruchpunkten II., III., IV. und V. und bringt dazu zusammengefasst vor, der angefochtene Bescheid sei in seinen Spruchpunkten II. und III. aufzuheben und die ursprüngliche Beschwerde des Erstbeschwerdeführers abzuweisen, weil das Redaktionsgeheimnis einer Auskunft entgegenstehe. Selbst wenn man davon ausgehen würde, dass § 31 Abs. 2 MedienG einer Auskunftspflicht auch in Bezug auf andere Informationen, als die Herkunft der personenbezogenen Daten sowie einer Datenkopie nicht entgegenstünde, so sei diese jedenfalls aufgrund der Beeinträchtigung der Rechte und Freiheiten anderer Personen zu verneinen (Art. 15 Abs. 4 DSGVO). Würde man beispielsweise im konkreten Fall eine Pflicht zur Offenlegung der Empfänger nach Art. 15 Abs 1 lit. c DSGVO für die Drittbeschwerdeführerin erblicken, wären – über das Verlangen der betroffenen Person – nach der Judikatur des EuGH jedenfalls alle konkreten Empfänger zu nennen. So würden etwa bei Rückfragen im Rahmen der journalistischen Recherche auch die journalistischen Quellen unter den Begriff der „Empfänger“ fallen. Ebenso wäre – so wie der Spruchpunkt III. des Bescheids und seine Begründung formuliert seien – eben nicht nur bereits öffentliche (Stamm-)Daten gegenüber dem Erstbeschwerdeführer zu beauskunften, sondern eben all jene Informationen, die sich auf diesen beziehen. Das sei potenziell das gesamte journalistische Recherchematerial der Drittbeschwerdeführerin.

Der Viertbeschwerdeführer führt in seiner Parteibeschwerde aus, den Bescheid in seinen Spruchpunkten VI., VII., VIII. und IX. anzufechten, und begründet dies zusammengefasst dahin, dass es den Schutz des Redaktionsgeheimnisses und das in § 31 Abs 2 MedienG statuierte Umgehungsverbot konterkarieren würde, wenn sich das Redaktionsgeheimnis in eine Feinprüfung filetieren könnte, die – je nach Betrachtungsperspektive – notwendiger Weise zu unterschiedlichen Ergebnissen führe. Denn der (gemäß der belangten Behörde zu beauskunftende) Datenempfänger des einen sei zugleich die (gemäß der belangten Behörde nicht zu beauskunftende) Datenquelle des anderen. Der in den Spruchpunkten VI. bis IX. ausgesprochene Auftrag, die (Stamm)Daten zu beauskunften, lasse offen, ob nun Stammdaten, oder auch sonstige Daten zu beauskunften seien. Zugleich verbleibe unklar, welche Daten im Lichte des Redaktionsgeheimnisses als Stammdaten, und welche Daten als sonstige Daten zu gelten hätten. Gleiches gelte für die gemäß den genannten Spruchpunkten zu beauskunftende Speicherdauer und den Verarbeitungszweck.

3.3.2.3.1. Zu den Spruchpunkten II. und III. sowie VI. und VII. (betreffend den Erstbeschwerdeführer):

Hierbei ist zunächst auf die oben bereits zitierten Entscheidungen des VfGH sowie des OGH zu verweisen, wonach die in § 9 Abs. 1 DSG angeordnete, kategorische Privilegierung eines Grundrechtes, nämlich des Rechtes auf freie Meinungsäußerung und Informationsfreiheit gegenüber dem Grundrecht auf Datenschutz nicht den verfassungsrechtlichen Vorgaben des § 1 DSG und der dazu ergangenen Rechtsprechung des Verfassungsgerichtshofes entspricht und die Interessen des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin gegen die auf Art. 10 EMRK fußenden, öffentlichen Interessen der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers abzuwägen sind. Eine gänzliche Verweigerung der Auskunft gemäß Art. 15 DSGVO, weil das Redaktionsgeheimnis einer Auskunft entgegenstehe, kommt daher grundsätzlich nicht in Betracht.

Das Bundesverwaltungsgericht kann auch nicht finden, dass diese Interessenabwägung von der belangten Behörde unrichtig vorgenommen wurde:

Weder die Drittbeschwerdeführerin noch der Viertbeschwerdeführer haben im vorliegenden Fall im behördlichen Verfahren oder im Verfahren vor dem Bundesverwaltungsgericht konkret vorgebracht und ist auch sonst nicht ersichtlich geworden, dass bzw. inwiefern bei der Auskunft über die konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 DSGVO), die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO), die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO), die Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO) sowie die geplante Speicherdauer (Art. 15 Abs. 1 lit. d DSGVO) im Zusammenhang mit der Medienberichterstattung vom 01.09.2021 ein Konflikt mit Art. 10 EMRK bzw. Interessen der Drittbeschwerdeführerin bzw. des Viertbeschwerdeführers besteht/bestehen, die die Verweigerung der Auskunft in Bezug auf diese Punkte erforderlich machen.

Das Bundesverwaltungsgericht verkennt nicht, dass in manchen Fallkonstellationen (insbesondere im Zusammenhang mit Investigativjournalismus) bereits die Bestätigung des Verantwortlichen, dass personenbezogene Daten verarbeitet werden, dazu führen kann, dass laufende Recherchen gefährdet bzw. vereitelt werden. Dass gegenständlich ein solcher Fall vorliegt, wurde jedoch nicht vorgebracht und ist auch sonst nicht ersichtlich geworden.

Im Hinblick auf die von der Drittbeschwerdeführerin sowie dem Viertbeschwerdeführer aufgezeigte Möglichkeit, dass bei einer Pflicht zur Offenlegung der Empfänger nach Art. 15 Abs 1 lit. c DSGVO bei Rückfragen im Rahmen der journalistischen Recherche auch die journalistischen Quellen unter den Begriff der „Empfänger“ fallen und damit offenzulegen wären, ist festzuhalten, dass die belangte Behörde im angefochtenen Bescheid eine Einzelfallentscheidung in Bezug auf den konkret vorliegenden Fall getroffen hat, in dem nicht vorgebracht wurde bzw. ersichtlich geworden ist, dass sich unter den Empfängern der personenbezogenen Daten des Erstbeschwerdeführers sowie der Zweitbeschwerdeführerin auch die journalistische Quelle findet, welche aber ohnehin aufgrund der unter Punkt 3.3.2.2.2. dargestellten Interessenabwägung gemäß § 31 MedienG nicht zu beauskunften wäre.

Entgegen den Ausführungen der Drittbeschwerdeführerin sowie des Viertbeschwerdeführers ist auch der Inhalt der Leistungsaufträge der belangten Behörde nicht unklar. Zunächst hat die betroffene Person nach Art. 15 Abs. 1 DSGVO ein Recht auf Bestätigung, ob Daten über sie verarbeitet werden. Diesem Bestätigungsrecht folgt das Recht auf Auskunft über die sie betreffenden personenbezogenen Daten, wenn solche verarbeitet werden. Damit besteht der Auskunftsanspruch nach Art. 15 aus den folgenden drei Teilen:

▻ einem Bestätigungsanspruch,

▻ dem Kernbereich des Auskunftsrechts, einem Anspruch auf Auskunft über den Inhalt der Daten (einschließlich einer Kopie nach Abs. 3) und

▻ einem Anspruch auf weitere Informationen (Zusatzinformationen nach lit. a – h, teilweise auch als Metadaten bezeichnet; vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 16, Stand 1.12.2020, rdb.at).

Die belangte Behörde hat mit dem in lit. a der Spruchpunkte II., III., VI., VII., VIII. und IX. verwendeten Begriff „konkret verarbeiteten (Stamm-)Daten“ lediglich klargestellt, dass – aufgrund der von ihr durchgeführten Interessenabwägung - nicht sämtliche personenbezogenen Daten betreffend den Erstbeschwerdeführer sowie die Zweitbeschwerdeführerin iSd Art. 15 Abs. 1 DSGVO zu beauskunften sind, sondern eben nur die „Stammdaten“, worunter nach allgemeinem Sprachgebrauch persönliche Angaben wie Name, Adresse, Geburtsdatum, Sozialversicherungsnummer und Kontaktdaten zu verstehen sind. Der Ausdruck „Stammdaten“ war dabei korrekterweise in einer Klammer zu setzen, zumal die DSGVO diesen Begriff nicht kennt. Keinesfalls muss in Bezug auf die zu erteilende Auskunft nach Art. 15 Abs. 1 DSGVO jedoch – wie die Drittbeschwerdeführerin meint - das gesamte journalistische Recherchematerial der Drittbeschwerdeführerin (bzw. des Viertbeschwerdeführers) beauskunftet werden.

Vor diesem Hintergrund können die von der belangten Behörde in Spruchpunkt III. sowie Spruchpunkt VII. ausgesprochenen Leistungsaufträge nicht als rechtswidrig erkannt werden.

3.3.2.3.2. Zu den Spruchpunkten IV. und V. sowie VIII. und IX. (betreffend die Zweitbeschwerdeführerin):

Die Drittbeschwerdeführerin bringt weiters vor, der Bescheid der belangten Behörde sei in seinen Spruchpunkten IV. und V. aufzuheben und die ursprüngliche Beschwerde der Zweitbeschwerdeführerin zurück- bzw. abzuweisen, da das Grundrecht auf Datenschutz nach § 1 DSG nicht zwischen Privaten gelte und juristischen Personen kein Recht auf Auskunft zukomme, zumal der Gesetzgeber dem in § 1 Abs. 3 DSG normierten Auftrag nicht nachgekommen sei.

Auch der Viertbeschwerdeführer bringt vor, dass einer juristischen Person das Auskunftsrecht des Art. 15 DSGVO nicht zukomme und für die in § 1 Abs. 3 DSG definierten Begleitrechte auf Auskunft, Richtigstellung und Löschung ein Ausführungsvorbehalt gelte, dem der Gesetzgeber jedoch nicht nachgekommen sei, weshalb juristischen Personen kein Recht auf Auskunft zukomme.

Der Drittbeschwerdeführerin sowie dem Viertbeschwerdeführer kann diesbezüglich jedoch nicht gefolgt werden:

Dem Grundrecht auf Datenschutz nach § 1 DSG kommt – entgegen den Ausführungen der Drittbeschwerdeführerin – mangels einer inhaltlichen Änderung durch das Datenschutzanpassungsgesetz 2018 (siehe ErlAB 1761 BlgNR 25. GP 3) und das Datenschutz-Deregulierungs-Gesetz 2018 – weiterhin eine unmittelbare Horizontal- bzw. Drittwirkung zu. Das Grundrecht verpflichtet also neben dem Staat auch Private (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 Rz 6 mit Verweis auf Eberhard in Korinek/Holoubek/Bezemek/Fuchs/Martin/Zellenberg, Österreichisches Bundesverfassungsrecht § 1 DSG insb. Rz 17, 21, 23, 40 sowie Wiederin in Merten/Papier/Kucsko-Stadlmayer, Handbuch der Grundrechte in Deutschland und Europa VII/1: Grundrechte in Österreich² Rz 21 ff).

Zur Argumentation der Drittbeschwerdeführerin und des Viertbeschwerdeführers, einer juristischen Person komme kein Recht auf Auskunft zu, da der Gesetzgeber dem in § 1 Abs. 3 DSG normierten Auftrag nicht nachgekommen sei, ist festzuhalten, dass bis zum Wirksamwerden der DSGVO die in § 1 Abs. 3 genannten Rechte durch die einfachgesetzlichen Ausführungsbestimmungen des DSG 2000 konkretisiert wurden. Die Teilrechte der Auskunft, Richtigstellung und Löschung stehen nach wie vor unter einem Konkretisierungsvorbehalt (vgl. Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl § 1 Rz 17). Den Gesetzgeber, der das Grundrecht auch für juristische Personen belassen hat, trifft damit ein Ausgestaltungsauftrag, die Art und Weise der Ausübung der grundrechtlichen Begleitrechte auszugestalten. Für natürliche Personen stellt sich letztlich kein Rechtsdurchsetzungsdefizit, da sie auf die unmittelbar anwendbaren Betroffenenrechte der Art. 12 ff DSGVO zurückgreifen können (vgl. Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl § 1 Rz 18). Erhebliche Rechtsschutzdefizite bestehen hingegen für juristische Personen als Träger des Datenschutzgrundrechts. Für sie scheidet eine unmittelbare Anwendung der DSGVO aus, jedoch ist zu prüfen, ob eine analoge Anwendung der Betroffenenrechte gemäß Art. 12ff. DSGVO in Betracht kommt. Voraussetzung für eine analoge Anwendung von Bestimmungen ist nach der Rechtsprechung des Verwaltungsgerichtshofes das Bestehen einer echten (d.h. planwidrigen) Rechtslücke. Sie ist dort anzunehmen, wo das Gesetz, gemessen an seiner eigenen Absicht und immanenten Teleologie, unvollständig, also ergänzungsbedürftig, ist, und wo seine Ergänzung nicht etwa einer vom Gesetz gewollten Beschränkung widerspricht. Da das öffentliche Recht, im Besonderen das Verwaltungsrecht, schon von der Zielsetzung her nur einzelne Rechtsbeziehungen unter dem Gesichtspunkt des öffentlichen Interesses zu regeln bestimmt ist, muss eine auftretende Rechtslücke in diesem Rechtsbereich im Zweifel als beabsichtigt angesehen werden. Eine durch Analogie zu schließende Lücke kommt nur dann in Betracht, wenn das Gesetz anders nicht vollziehbar ist oder wenn das Gesetz in eine Regelung einen Sachverhalt nicht einbezieht, auf welchen - unter dem Gesichtspunkt des Gleichheitssatzes und gemessen an den mit der Regelung verfolgten Absichten des Gesetzgebers - ebendieselben Wertungsgesichtspunkte zutreffen wie auf die im Gesetz geregelten Fälle und auf den daher – schon zur Vermeidung einer verfassungsrechtlich bedenklichen Ungleichbehandlung – auch dieselben Rechtsfolgen angewendet werden müssen (VwGH 17.10.2012, 2012/08/0050 mwN). Es ist in diesem Fall nachvollziehbar, dass für die betroffene juristische Person Datenschutzinteressen berührt oder verletzt werden, aus denen sich grundrechtliche Beeinträchtigungen ergeben können und eine Auskunft in analogiam zu den entsprechenden Vorschriften dazu geeignet wäre, einer datenschutzrechtlichen Verantwortlichkeit besser nachzukommen, selbst wenn dem Auskunftsbegehren inhaltlich in Folge einer konkreten Abwägung der angefragten Informationen mit medienrechtlichem Quellenschutz letztlich nicht in vollem Umfang entsprochen werden muss. Für den vorliegenden Fall ergibt sich daraus, dass eine analoge Heranziehung der Betroffenenrechte gemäß Art. 12ff. DSGVO im Lichte von Art. 16 Abs. 1 AEUV unionsrechtlich geboten ist, zumal die Untätigkeit des Gesetzgebers im vorliegenden Fall evident ist (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]² § 1 Rz 199 [Stand 1.2.2022, rdb.at]).

Die Zweitbeschwerdeführerin kommt daher ein Recht auf Auskunft gemäß § 1 Abs. 3 Z 1 DSG iVm Art. 15 DSGVO zu.

Nach den unbestritten gebliebenen Feststellungen der belangten Behörde im angefochtenen Bescheid hat die Drittbeschwerdeführerin nicht auf den Auskunftsantrag der Zweitbeschwerdeführerin reagiert, obwohl ihr dieser zugegangen ist, wodurch jedenfalls eine Rechtsverletzung gemäß Art. 12 Abs. 3 DSGVO iVm Art. 15 Abs. 1 DSGVO iVm § 1 Abs. 3 Z 1 DSG vorliegt.

Der Leistungsauftrag der belangten Behörde in Spruchpunkt V. des angefochtenen Bescheides an die Drittbeschwerdeführerin, innerhalb einer Frist von vier Wochen bei sonstiger Exekution ihrer Reaktionsverpflichtung gegenüber der Zweitbeschwerdeführerin gemäß Art. 12 Abs. 3, Art. 15 Abs. 1 DSGVO iVm § 1 Abs. 3 Z 1 DSG nachzukommen, kann daher ebenso wenig als rechtswidrig erkannt werden wie der Leistungsauftrag der belangten Behörde an den Viertbeschwerdeführer in Spruchpunkt IX. des angefochtenen Bescheides, der Zweitbeschwerdeführerin Auskunft über die konkret verarbeiteten (Stamm-)Daten iSd § 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 DSGVO, die Zwecke der Datenverarbeitung (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. a DSGVO sowie die Empfänger oder Kategorien von Empfängern § 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. c DSGVO zu erteilen.

3.3.2.5. Die behauptete Rechtswidrigkeit des Bescheides liegt daher nicht vor. Das Verfahren hat auch nicht ergeben, dass der Bescheid aus anderen, nicht geltend gemachten Gründen rechtswidrig wäre. Da dem angefochtenen Bescheid eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG somit nicht anhaftet, waren die Beschwerden abzuweisen.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Ein solcher Fall liegt hier vor: Im vorliegenden Fall ist der entscheidungsrelevante Sachverhalt anhand der Aktenlage feststehend und geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung daher nicht entgegen. Aus diesen Gründen war nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen.

Zu B)

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die vorliegenden Entscheidungen hängen nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weichen die gegenständlichen Entscheidungen von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. Es ist auch nicht ersichtlich, dass sich in den konkreten Fällen eine Rechtsfrage stellt, die über den (hier vorliegenden konkreten) Einzelfall hinaus Bedeutung entfaltet. Ausgehend davon kann eine Rechtsfrage von grundsätzlicher Bedeutung auch insofern nicht bejaht werden. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG jeweils nicht zulässig ist.