BVwG W108 2289035-1

Spruch:

W108 2288748-1/11E

W108 2289035-1/7E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerden von 1. XXXX (hg. 2288748-1), vertreten durch Baker & McKenzie Rechtsanwälte LLP & Co KG, und 2. XXXX (hg. 2289035-1) gegen den Bescheid der Datenschutzbehörde vom 15.02.2024, Zl. D124.1337/23 2023-0.683.741, betreffend eine datenschutzrechtliche Angelegenheit

A)

I. beschlossen:

Der Beschwerde des Zweitbeschwerdeführers wird teilweise stattgegeben, Spruchpunkt 6. des angefochtenen Bescheides, soweit er die Abweisung der Datenschutzbeschwerde betreffend die geltend gemachte Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO betrifft, gemäß § 28 Abs. 3 zweiter Satz VwGVG aufgehoben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwiesen.

II. zu Recht erkannt:

1. Der Beschwerde der Erstbeschwerdeführerin wird teilweise stattgegeben und der angefochtene Bescheid dahingehend abgeändert, dass in Spruchpunkt 1. und 2. jeweils die Wortfolge „und d“ entfällt.

2. Im Übrigen werden die Beschwerden der Erstbeschwerdeführerin und des Zweitbeschwerdeführers gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG jeweils nicht zulässig.

Entscheidungsgründe/Begründung:

I. Verfahrensgang und Sachverhalt:

1. In der verfahrensgegenständlichen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß § 24 Datenschutzgesetz (DSG) sowie Art. 77 Datenschutzgrundverordnung (DSGVO) vom 27.02.2023 machte der Zweitbeschwerdeführer eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO sowie im Recht auf Löschung gemäß Art. 17 DSGVO durch die Erstbeschwerdeführerin, ein Energieversorgungsunternehmen (ehemalige Beschwerdegegnerin im Verfahren vor der belangten Behörde) geltend.

Dazu brachte der Zweitbeschwerdeführer vor, dass er mit Schreiben vom 28.02.2022 ein „Begehren auf Auskunft und Information“ an die Erstbeschwerdeführerin gerichtet habe. Mit Schreiben vom 28.03.2022 habe die Erstbeschwerdeführerin mit einem Antwortschreiben reagiert, welches eine „Falsch-Auskunft“ beinhaltet habe bzw. dem Grunde nach einer Auskunftsverweigerung gleichstehe. Im Auskunftsschreiben seien zum großen Teil lediglich allgemeine Angaben wie in einer Datenschutzerklärung üblich angegeben, die tatsächlichen Ausprägungen würden aber verschwiegen. Bei den Empfängern der Daten gemäß Art. 15 Abs. 1 lit. c DSGVO sowie der Datenherkunft gemäß Art. 15 Abs. 1 lit. g DSGVO seien nur theoretische Beispiele und Rechtfertigungsgründe angegeben, es werde aber verschwiegen, wer die tatsächlichen Energielieferanten bzw. Dienstleister zur Forderungseintreibung seien und welche Daten an diese weitergegeben worden seien. Die Erstbeschwerdeführerin verschweige zudem, dass sie die XXXX (in der Folge: B-AG) als Auftragsverarbeiter beauftragt habe. Des Weiteren habe er mit seinem Auskunftsbegehren zahlreiche Fragen an die Erstbeschwerdeführerin gestellt bzw. sie zur Stellungnahme aufgefordert, worauf jedoch überwiegend gar nicht eingegangen worden sei. Zur Verletzung im Recht auf Löschung sei festzuhalten, dass er bei der Erstbeschwerdeführerin die Löschung seiner E-Mail-Adresse beauftragt habe, was von dieser im Antwortschreiben vom 28.03.2022 auch bestätigt worden sei. Im gleichen Antwortschreiben gebe die Erstbeschwerdeführerin unter dem Punkt „Stamm- und Vertragsdaten“ jedoch diese E-Mail-Adresse an. In weiterer Folge habe sich auch bestätigt, dass die E-Mail-Adresse tatsächlich nicht gelöscht worden sei.

Der Zweitbeschwerdeführer ersuchte zudem um Einleitung eines amtswegigen Prüfverfahrens sowie eines Verwaltungsstrafverfahrens gegen die Erstbeschwerdeführerin und stellte den Antrag auf Anschluss als Privatbeteiligter mit einer Pauschalsumme von EUR 15.000,00.

Der Datenschutzbeschwerde angeschlossen wurde der Antrag auf Auskunft gemäß Art. 15 DSGVO vom 28.02.2022 sowie das Antwortschreiben der Erstbeschwerdeführerin vom 28.03.2022.

2. Über Aufforderung der belangten Behörde erstattete die Erstbeschwerdeführerin am 28.07.2023 eine Stellungnahme zur Datenschutzbeschwerde des Zweitbeschwerdeführers, in welcher zusammengefasst ausgeführt wurde, dass die Datenschutzbeschwerde abzuweisen sei, da keine Verletzung des Auskunftsrechts sowie des Recht auf Löschung des Zweitbeschwerdeführers stattgefunden habe. Der Zweitbeschwerdeführer sei wunschgemäß über die Kategorien der Empfänger seiner personenbezogenen Daten informiert worden, er habe keine Auskunft über konkrete Empfänger begehrt, sondern es der Erstbeschwerdeführerin überlassen, ob sie ihm die konkreten Empfänger oder Kategorien von Empfängern mitteile. Zur Auskunft über die Datenherkunft sei festzuhalten, dass die Erstbeschwerdeführerin keine weiteren als die bereits beauskunfteten Informationen über die Herkunft der personenbezogenen Daten des Zweitbeschwerdeführers vorlegen könne. Eine „Weitergabe“ von personenbezogenen Daten des Beschwerdeführers an die B-AG als Verantwortliche habe nicht stattgefunden. Nach der Rechtsansicht der Erstbeschwerdeführerin sei unter „Weitergabe“ nur die Datenübermittlung an andere Verantwortliche, nicht aber die Datenübermittlung an Auftragsverarbeiter zu verstehen. Insofern sei die Auskunft auch richtig und vollständig gewesen. Der Zweitbeschwerdeführer sei in voller Kenntnis des Umstands, dass die B-AG bloßer Auftragsverarbeiter der Erstbeschwerdeführerin sei. Die diversen weiteren Themen, darunter zu einer fehlenden Netzkostenrechnung, dem Zeitpunkt von Zählerablesungen und einer Zahlungserinnerung, zu denen der Zweitbeschwerdeführer zur „Stellungnahme“ aufgefordert habe, seien nicht vom Recht auf Auskunft nach Art. 15 DSGVO umfasst und das Auskunftsbegehren exzessiv iSd Art. 12 Abs. 5 DSGVO. Der Umfang und die Anzahl der Beschwerden mit den darin vorgeworfenen (aber bestrittenen) Datenschutzverletzungen stehe in keinem Verhältnis, sodass naheliege, dass (auch) die gegenständliche Beschwerdeführung als rechtsmissbräuchlich iSd Art. 57 Abs. 4 DSGVO einzustufen sei. Die Erstbeschwerdeführerin habe zudem die E-Mail-Adresse des Zweitbeschwerdeführers seinem Begehren entsprechend gelöscht. Im Rahmen einer Auskunft nach Art. 15 DSGVO seien auch Daten anzuführen, die auf ein mit dem Auskunftsbegehren unter einem erhobenen Löschbegehren hin gelöscht würden. Eine Löschung vor Beantwortung des darauf bezogenen Auskunftsbegehrens hätte schließlich gegen das datenschutzrechtliche Prinzip der Verarbeitung nach Treu und Glauben verstoßen.

3. Der Zweitbeschwerdeführer replizierte darauf – nachdem diesem durch die belangte Behörde Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens eingeräumt worden war – in seiner Stellungnahme vom 21.09.2023 zusammengefasst dahin, dass die Stellungnahme mangelhaft, fast zur Gänze unrichtig und damit völlig haltlos sei. Das behauptete Wahlrecht bezüglich der Nennung von Empfängern sei weder dem Wesen der DSGVO nach existent noch sei ein solches von ihm eingeräumt worden, da er exakte und konkrete Informationen angefordert habe. Die unsubstaniierte Behauptung der Erstbeschwerdeführerin, es würde keine Pflicht zur konkreten Auskunft über die Datenherkunft geben, sei ebenfalls haltlos, dies gehe bereits aus Art. 14 DSGVO hervor. Weiters sei die Behauptung, eine Weitergabe von Daten an einen Auftragsverarbeiter sei keine Weitergabe, völliges Wunschdenken der Erstbeschwerdeführerin. Zudem habe die Erstbeschwerdeführerin im Antwortschreiben angegeben, dass eine Weitergabe seiner personenbezogenen Daten an die B-AG nicht stattfinde, in der Stellungnahme vom 28.07.2023 werde eine solche Weitergabe aber nunmehr eingestanden. Umfang und Anzahl seiner Beschwerden würden von der Erstbeschwerdeführerin bestimmt, seine Beschwerden seien korrekt ausgeführt und die Rechtsverletzungen auch begründet. Im Rahmen eines Auskunftsbegehrens seien selbstverständlich auch Vertragsdaten, Verbrauchsdaten und Rechnungsdaten zu beauskunften, da sich all diese Daten auf seine Person beziehen würden. Zur behaupteten Löschung seiner E-Mail-Adresse würden Details fehlen, etwa wann die E-Mail-Adresse gelöscht worden sei, wer die Löschung durchgeführt habe oder in welchen Systemen diese überall gelöscht worden sei. Es gebe auch keine Angabe von Löschprotokollen, die eine tatsächliche Löschung nachweisen würden. Aus der zur Beantwortung seines Auskunftsbegehrens durchgeführten Datenbankabfrage zu den Stamm- und Vertragsdaten sei zudem klar zu erkennen, dass keine Löschung seiner E-Mail-Adresse stattgefunden habe und es sich hierbei um eine reine Schutzbehauptung der Erstbeschwerdeführerin handle. Art. 17 DSGVO normiere zudem eine Pflicht zur unverzüglichen Löschung, er habe seinen Antrag am 28.02.2022 gestellt, weshalb die Löschung zwingend Anfang März 2022 hätte erfolgen müssen. Seine E-Mail-Adresse sei zudem am 17.05.2022 wiederum zum Versand eines E-Mails der B-AG verwendet worden.

4. Mit dem nunmehr angefochtenen Bescheid der belangten Behörde wurde der Datenschutzbeschwerde des Zweitbeschwerdeführers teilweise stattgegeben, festgestellt, dass die Erstbeschwerdeführerin den Zweitbeschwerdeführer in seinem Recht auf Auskunft verletzt habe, indem sie ihm hinsichtlich Art. 15 Abs. 1 lit. c und d DSGVO keine vollständige Auskunft erteilt habe (Spruchpunkt 1.) und der Erstbeschwerdeführerin aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution dem Zweitbeschwerdeführer Auskunft gemäß Art. 15 Abs. 1 lit. c und d DSGVO zu erteilen (Spruchpunkt 2.). Die Anträge des Zweitbeschwerdeführers, ein amtswegiges Prüfverfahren sowie ein Verwaltungsstrafverfahren gegen die Erstbeschwerdeführerin einzuleiten, und über eine Abgeltung seines erlittenen Schadens abzusprechen und ihm Schadenersatz zuzusprechen, wurden zurückgewiesen (Spruchpunkte 3., 4. und 5.), im Übrigen wurde die Datenschutzbeschwerde des Zweitbeschwerdeführers abgewiesen (Spruchpunkt 6.).

Die belangte Behörde traf folgende Sachverhaltsfeststellungen (Formatierung nicht wie im Original):

„1. Der Beschwerdeführer [Zweitbeschwerdeführer] richtete mit Schreiben vom 28. Februar 2023 [gemeint: 2022] das folgende Auskunftsbegehren an die Beschwerdegegnerin [Erstbeschwerdeführerin]:

Mit Schreiben vom 28. März 2023 [gemeint: 2022] erteilte die Beschwerdegegnerin [Erstbeschwerdeführerin] dem Beschwerdeführer [Zweitbeschwerdeführer] die folgende Auskunft:

Die Beschwerdegegnerin [Erstbeschwerdeführerin] hat die E-Mail-Adressen des Beschwerdeführers [Zweitbeschwerdeführers] auf seinen Antrag vom 28. Februar 2023 [gemeint: 2022] hin gelöscht und diese Löschung in der Beantwortung seines Auskunftsbegehrens am 28. März 2023 [gemeint: 2022] bestätigt.“

Rechtlich hielt die belangte Behörde zum Recht auf Auskunft fest, dass der Argumentation der Erstbeschwerdeführerin, der Zweitbeschwerdeführer habe keine Auskunft über die konkreten Empfänger begehrt und es der Erstbeschwerdeführerin überlassen, ob sie ihm die Empfänger oder Kategorien von Empfängern mitteile, nicht gefolgt werden könne. Der Zweitbeschwerdeführer habe auf Seite 2 seines Auskunftsbegehrens Auskunft über die Empfänger seiner Daten beantragt. Darüber hinaus stelle bereits die Tatsache, dass das Auskunftsbegehren des Zweitbeschwerdeführers 17 Seiten umfasse, ein klares Indiz dar, dass es diesem wichtig sei, eine möglichst detaillierte Auskunft zu erhalten. Aus einer Zusammenschau der Bestimmungen der Art. 4 Z 8, Z 9 und Z 10 DSGVO ergebe sich, dass ein Auftragsverarbeiter nicht als Dritter anzusehen, davon unabhängig jedoch als Empfänger iSd Art. 4 Z 9 DSGVO zu werten sei, da im Zuge der Auftragsverarbeitung dem Auftragsverarbeiter durch den Verantwortlichen personenbezogene Daten offengelegt bzw. zur Verfügung gestellt würden. Die Qualifikation des Auftragsverarbeiters als Empfänger führe in weiterer Folge dazu, dass der Verantwortliche diesen gemäß Art. 15 Abs. 1 lit. c DSGVO der betroffenen Person beauskunften müsse. Das Bundesverwaltungsgericht habe auch bereits festgehalten, dass eine betroffene Person ein Recht auf Auskunft über die konkret an die Empfänger übermittelten Daten habe.

In Bezug auf die Auskunft betreffend die Speicherdauer sei festzuhalten, dass die Erstbeschwerdeführerin nur mitgeteilt habe, die Daten bis zur Beendigung der Geschäftsbeziehung, jedenfalls aber solange gesetzliche Aufbewahrungspflichten bestehen oder etwaige rechtliche Ansprüche noch nicht verjährt seien, für deren Geltendmachung oder deren Abwehr die Daten benötigt würden, zu speichern. Ein genereller Verweis ohne Anführung von konkreten Rechtsgrundlagen sei jedoch nicht ausreichend, einer betroffenen Person die Informationen gemäß Art. 15 Abs. 1 lit. d leg. cit. bereitzustellen. Einer betroffenen Person sollten in einem solchen Fall zumindest die konkrete Rechtsgrundlage oder die sich aus dieser ergebende Speicherdauer bzw. die sich ergebenden Kriterien für die Festlegung dieser Dauer beauskunftet werden.

Die Erstbeschwerdeführerin sei somit ihrer Verpflichtung nach Art. 15 Abs. 1 lit. c und d DSGVO nicht nachgekommen und habe die Auskunft entsprechend zu ergänzen. Die Erstbeschwerdeführerin habe dabei die Modalitäten der Auskunftserteilung derart zu gestalten, dass für den Zweibeschwerdeführer die Kontextualisierung der verarbeiteten personenbezogenen Daten bzw. die Verständlichkeit der Information in transparenter und nachvollziehbarer Art und Weise erfolge. Sollte es für die vollständige Auskunftserteilung durch die Erstbeschwerdeführerin nach Art. 15 Abs. 1 und 2 DSGVO erforderlich sein, so sei dem Zweitbeschwerdeführer eine originalgetreue und verständliche Reproduktion seiner personenbezogenen Daten auszufolgen.

Zur Herkunft der Daten sei festzuhalten, dass die Erstbeschwerdeführerin in ihrer Stellungnahme vom 28.07.2023 ausgeführt habe, dass ihr keine anderen Informationen über solche Datenquellen vorliegen würden, als die ausgeführten. Im Lichte der Rechtsprechung des Bundesverwaltungsgerichtes sei im Rahmen eines Verfahrens wegen behaupteter Verletzung im Recht auf Auskunft auch nicht zu prüfen, ob die Erstbeschwerdeführerin gegen allfällige, aus anderen Gesetzes- oder Verordnungsbestimmungen resultierende, Dokumentationspflichten verstoßen habe, da sie im Rahmen einer Auskunft nach Art. 15 DSGVO eben nur die ihr verfügbaren Informationen zur Herkunft der Daten zu beauskunften habe. Weitere Informationen zur Herkunft der anderen Daten des Zweitbeschwerdeführers habe die Erstbeschwerdeführerin jedoch nicht gespeichert, daher könne sie diese im Rahmen der Auskunft nach Art. 15 DSGVO auch nicht erteilen und sei sie ihrer Verpflichtung nachgekommen.

Zu den gezielten und speziellen Fragen des Beschwerdeführers im Auskunftsbegehren sei festzuhalten, dass der Verantwortliche im Rahmen eines Auskunftsbegehrens gemäß Art. 15 DSGVO nicht die Beantwortung eines Fragenkatalogs schulde, sondern ausschließlich die in Art. 15 DSGVO aufgezählten Informationen zur Verarbeitung der personenbezogenen Daten des Betroffenen, soweit der Verantwortliche personenbezogene Daten des Auskunftswerbers verarbeite. Ein allgemeines Frage-/Antwortrecht könne aus den zitierten Bestimmungen der DSGVO bzw. des DSG hingegen nicht abgeleitet werden.

Zur behaupteten Verletzung im Recht auf Löschung sei auszuführen, dass die belangte Behörde in der Beauskunftung und erst darauffolgenden Löschung der E-Mail-Adresse des Zweitbeschwerdeführers keinen Verstoß gegen das Recht auf Löschung nach Art. 17 DSGVO feststellen könne. Ebenfalls sei nicht erkennbar, dass dem Antrag auf Löschung zu spät nachgekommen worden wäre, gemäß Art. 12 Abs. 3 DSGVO stelle der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Art. 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrages zur Verfügung. Der Antrag des Zweitbeschwerdeführers sei mit 28.02.2023 [gemeint: 2022] datiert, die Mitteilung der Erstbeschwerdeführerin über die erfolgte Löschung mit 28.03.2023 [gemeint: 2022]. Es liege somit keine Verletzung der Frist nach Art. 12 Abs. 3 DSGVO vor.

Bezüglich der Zurückweisung der Anträge des Beschwerdeführers (Spruchpunkte 3. bis 5. des Bescheides) führte die belangte Behörde im Wesentlichen folgende Begründung ins Treffen: Es bestehe kein subjektiver Anspruch einer einzelnen Person auf die Einleitung eines amstwegigen Prüfverfahrens oder eines Verwaltungsstrafverfahrens, weshalb die diesbezüglichen Anträge des Zweitbeschwerdeführers zurückzuweisen gewesen seien. Zum Antrag auf Schadenersatz sei festzuhalten, dass gemäß § 29 Abs. 2 DSG für Klagen auf Schadenersatz in erster Instanz das mit der Ausübung der Gerichtsbarkeit in bürgerlichen Rechtsachen betraute Landesgericht zuständig sei, weshalb auch der diesbezügliche Antrag zurückzuweisen gewesen sei.

5. Gegen diesen Bescheid erhoben sowohl die Erstbeschwerdeführerin (Spruchpunkt 1. und 2.) als auch der Zweitbeschwerdeführer (Spruchpunkt 3. – 6.) fristgerecht Bescheidbeschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG an das Bundesverwaltungsgericht.

Die Erstbeschwerdeführerin führte aus, den Bescheid wegen unrichtiger rechtlicher Beurteilung in seinen Spruchpunkten 1. und 2. anzufechten. Der Bescheid sei rechtswidrig, weil die Erstbeschwerdeführerin das Auskunftsbegehren des Zweitbeschwerdeführers nur so verstehen habe können, dass auch eine Auskunft über die Kategorien der Empfänger dieses vollständig erfüllen würde. Im konkreten Fall habe der Zweitbeschwerdeführer nicht explizit die Beauskunftung der konkreten Empfänger begehrt, sondern der Erstbeschwerdeführerin die Möglichkeit eingeräumt, ihrer Auskunftspflicht auch durch Nennung der Kategorien der Empfänger nachzukommen. Gerade in Hinblick auf die Ausführlichkeit des Auskunftsbegehrens habe davon ausgegangen werden können, hätte der Zweitbeschwerdeführer doch ansonsten das explizite Begehren auf Information über die konkreten Empfänger gestellt. Im Übrigen sei die Auslegung des Inhalts des Rechts nach Art. 15 Abs. 1 lit c DSGVO durch die belangte Behörde unrichtig, der EuGH habe in einer rezenten Entscheidung ausgeführt, dass Personen, die unter der Aufsicht und im Einklang mit Weisungen eines Verantwortlichen Daten verarbeiten, grundsätzlich nicht als Empfänger nach Art. 15 Abs. 1 lit c DSGVO offengelegt werden müssten (EuGH 22.07.2023, C-579/21, Rn. 83). Auftragsverarbeiter würden per definitionem Daten im Auftrag und damit auf Weisung des Verantwortlichen (Art. 4 Z 8 DSGVO) verarbeiten, weshalb diese nicht als Empfänger im Rahmen des Art. 15 Abs. 1 lit. c DSGVO zu beauskunften seien. Es liege auch keine Verletzung im Recht auf Bekanntgabe der Kriterien zur Festlegung der Speicherdauer iSd Art. 15 Abs. 1 lit. d DSGVO vor. Aus der erteilten Auskunft ergebe sich eindeutig, dass die Daten jedenfalls so lange gespeichert würden, solange eine Geschäftsbeziehung bestehe. Aus diesem Kriterium könne der Zweitbeschwerdeführer exakt schließen, wie lange seine personenbezogenen Daten grundsätzlich aufbewahrt würden. Des Weiteren ergebe sich aus der Information, dass es Fälle gebe, in denen personenbezogene Daten auch über eine bestehende Geschäftsbeziehung hinaus aufbewahrt würden – etwa aufgrund gesetzlicher Aufbewahrungspflichten (z.B. aus steuerrechtlichen Gründen nach § 132 Abs 1 BAO) oder zur Geltendmachung oder Abwehr von noch nicht verjährten Rechtsansprüchen (z.B. für offene Forderungen aus der bereits beendeten Geschäftsbeziehung; § 1486 ABGB). Die erfolgte Beauskunftung stehe mit dem Wortlaut von Art. 15 Abs. 1 lit. d DSGVO und der Rechtsprechung des EuGH vollkommen im Einklang. Dem Gesetzeswortlaut könne – offenbar entgegen der Ansicht der belangten Behörde – keine Pflicht zur Aufzählung der einzelnen Rechtsgrundlagen entnommen werden. Der Bescheid sei daher in seinen Spruchpunkten 1. und 2. aufzuheben und die Datenschutzbeschwerde abzuweisen.

Der Zweitbeschwerdeführer wiederholte seine Ausführungen aus dem behördlichen Verfahren und brachte zusammengefasst vor, dass die belangte Behörde in Bezug auf die Verletzung im Recht auf Auskunft zu den fehlenden Dokumenten in Form einer Kopie (etwa die Netzkostenabrechnung, Information zu Zählerablesungen, Rechnungen, Mahnungen) nicht stringent vorgehe, im Spruch des Bescheides hätte die belangte Behörde die Erteilung dieser Auskünfte aufzutragen gehabt. Darüber hinaus habe die belangte Behörde nicht über die von ihm geltend gemachten Verletzungen der Art. 5, 6, 12, 13, 14 und 19 DSGVO abgesprochen. Die Sachverhaltsfeststellung, dass die Erstbeschwerdeführerin die E-Mail-Adresse gelöscht habe, sei mangelhaft, es handle sich hierbei – wie bereits vorgebracht – um eine reine Schutzbehauptung, der Erstbeschwerdeführerin mangle es an jeglicher Glaubwürdigkeit. Der Verdacht einer niemals durchgeführten Löschung habe sich nunmehr endgültig bestätigt, weil die Erstbeschwerdeführerin am 26.01.2024 neuerlich eine E-Mail an diese E-Mail-Adresse zugesandt habe.

6. Die belangte Behörde machte von der Möglichkeit der Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerden samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor und gab jeweils eine Stellungnahme ab, in welcher sie den angefochtenen Bescheid verteidigte.

7. Das Bundesverwaltungsgericht übermittelte die Beschwerden den Parteien im Wege der Beschwerdemitteilung gemäß § 10 VwGVG zur Kenntnis- und Stellungnahme.

8. Der Zweitbeschwerdeführer erstattete am 08.04.2022 eine Stellungnahme zur Bescheidbeschwerde der Erstbeschwerdeführerin und führte aus, dass aus seinem Auskunftsbegehren (insbesondere Punkt 1. und 2.) eindeutig abzuleiten sei, dass er konkrete Auskünfte über die Empfänger seiner Daten (auch über Auftragsverarbeiter) von Anbeginn der Verarbeitung sowie die Speicherdauer gefordert habe. Aus den allgemeinen Angaben der Erstbeschwerdeführerin könne niemand schließen, wie lange die Erstbeschwerdeführerin personenbezogene Daten aufbewahre. Auch die Angaben diverser Gesetzesstellen würden keine Information über die Speicherdauer ersetzen.

9. Die Erstbeschwerdeführerin erstattete am 11.04.2024 eine Stellungnahme, in welcher vorgebracht wurde, dass der Zweitbeschwerdeführer in der Annahme, dass die mitbeteiligte Partei zu allen möglichen Themen wie z.B. zu einer Netzkostenrechnung, dem Zeitpunkt von Zählerablesungen und einer Zahlungserinnerung „Stellung zu nehmen“ hätte, irre. Wie die belangte Behörde richtigerweise erkenne, sei die Erstbeschwerdeführerin nicht dazu verpflichtet, einen vom Beschwerdeführer verfassten Fragenkatalog zu beantworten. Wie die belangte Behörde weiter richtig ausführe, verletzte die Erstbeschwerdeführerin den Zweitbeschwerdeführer auch nicht dadurch in seinem Recht auf Auskunft, indem sie ihm keine „Rechnungen, Mahnungen, etc.“ übermittelt habe. Art. 15 Abs. 3 DSGVO sei nach der Rechtsprechung des EuGH kein eigenständiges Recht, sondern eine Modalität der Erfüllung eines Auskunftsbegehrens. Im gegenständlichen Fall sei es für die Auskunftserteilung jedoch nicht erforderlich, dem Zweitbeschwerdeführer auf diese Weise Auskunft zu erteilen. Gegenteiliges habe er auch nie behauptet. Zur behaupteten Verletzung im Recht auf Löschung sei festzuhalten, dass nach der DSGVO eine Löschung und Mitteilung über die Löschung an den Betroffenen innerhalb eines Monats „unverzüglich“ sei – daran würden auch die unnötig skandalisierenden und weitwendigen Ausführungen des Beschwerdeführers nichts ändern. Festzuhalten sei, dass die mitbeteiligte Partei die E-Mail-Adresse des Beschwerdeführers tatsächlich wie bestätigt zum damaligen Zeitpunkt – wie von der belangten Behörde richtig festgestellt – in ihren Systemen gelöscht habe. Aktuell würden alle möglichen Maßnahmen getroffen, um eine Wiederholung einer Kontaktaufnahme zum Zweitbeschwerdeführer via E-Mail zu vermeiden.

10. Der Zweitbeschwerdeführer erstattete am 05.12.2024 und am 19.12.2014 weitere Stellungnahmen, in welchen er sein bisheriges Vorbringen wiederholte und (soweit verfahrensgegenständlich relevant) vorbrachte, dass die Auskunft vom 28.03.2022 auf Seite 2, Punkt 1.2. falsch sei, weil es niemals eine Beendigung des Nutzungsvertrages für den angeführten Stromzählpunkt gegeben habe und damit auch kein Vertragsende mit 14.05.2021. Zudem seien keine Energielieferanten zu den angeführten Stromzählpunkten angegeben und sei die Auskunft weiters hinsichtlich der Verweigerung der Beauskunftung von Verbrauchs- und Rechnungsdaten sowie Korrespondenzen und Dokumenten bezüglich diverser Verfahren mangelhaft. Überdies seien der belangten Behörde, in Bezug auf die Frage der Löschung der E-Mail, wesentliche Ermittlungsmängel anzulasten.

11. Die Erstbeschwerdeführerin äußerte sich mit Schriftsatz vom 02.01.2025 im Wesentlichen dahin, dass – entgegen der Ansicht des Zweitbeschwerdeführers – keine Datenschutzverletzungen vorlägen.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Es wird von den Ausführungen oben unter Punkt I. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt ausgegangen.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten sowie dem gegenständlichen Gerichtsakt.

3. Rechtliche Beurteilung:

Zu A)

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Liegen die Voraussetzungen des Abs. 2 nicht vor, hat das Verwaltungsgericht gemäß § 28 Abs. 3 erster Satz VwGVG im Verfahren über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG in der Sache selbst zu entscheiden, wenn die Behörde dem nicht bei der Vorlage der Beschwerde unter Bedachtnahme auf die wesentliche Vereinfachung oder Beschleunigung des Verfahrens widerspricht. Hat die Behörde notwendige Ermittlungen des Sachverhalts unterlassen, so kann das Verwaltungsgericht gemäß § 28 Abs. 3 zweiter Satz VwGVG den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Behörde zurückverweisen. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Beschluss ausgegangen ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerden wurden fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. In der Sache:

3.3.1. Rechtsgrundlagen:

3.3.1.1. Art. 4 DSGVO lautet auszugsweise:

„Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

3.3.1.2. Art. 5 DSGVO lautet:

„Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

3.3.1.3. Art. 6 DSGVO lautet auszugsweise:

„Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.“

3.3.1.4. Art. 15 DSGVO lautet:

„Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

3.3.2. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:

3.3.2.1. Beschwerde der Erstbeschwerdeführerin:

Die Erstbeschwerdeführerin bringt zusammengefasst vor, dass der Bescheid (Spruchpunkt 1. und 2.) rechtswidrig sei, weil die Erstbeschwerdeführerin das Auskunftsbegehren des Zweitbeschwerdeführers nur so habe verstehen können, dass auch eine Auskunft über die Kategorien der Empfänger dieses vollständig erfüllen würde und sich aus der erteilten Auskunft eindeutig ergebe, dass die Daten jedenfalls so lange gespeichert würden, solange eine Geschäftsbeziehung bestehe, wobei der Zweitbeschwerdeführer aus diesem Kriterium exakt schließen könne, wie lange seine personenbezogenen Daten grundsätzlich aufbewahrt würden. Die Daten würden auch über eine bestehende Geschäftsbeziehung hinaus etwa aufgrund gesetzlicher Aufbewahrungspflichten (z.B. aus steuerrechtlichen Gründen nach § 132 Abs 1 BAO) oder zur Geltendmachung oder Abwehr von noch nicht verjährten Rechtsansprüchen (z.B. für offene Forderungen aus der bereits beendeten Geschäftsbeziehung; § 1486 ABGB) aufbewahrt.

Dazu ist Folgendes auszuführen:

3.3.2.1.1. Zum Recht auf Auskunft gemäß Art. 15 Abs. 1 lit. c DSGVO:

Gemäß Art. 15 Abs. 1 lit c. DSGVO hat die betroffene Person das Recht auf Information über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen.

Wie festgestellt, begehrte der Zweitbeschwerdeführer mit Schreiben vom 28.02.2023 Auskunft über die bei der Erstbeschwerdeführerin ihn betreffenden verarbeiteten personenbezogenen Daten, wobei er auf der zweiten Seite seines Auskunftsbegehrens ua. ausdrücklich Informationen über die Empfänger seiner personenbezogenen Daten „von Anbeginn der Verarbeitung“ sowie auf dritten Seite seines Auskunftsbegehrens „anhand der oben definierten Kriterien“ Informationen über die konkreten Empfänger oder Kategorien von Empfängern, die seine Daten bereits erhalten hätten oder aufgrund von Geschäftsbeziehungen künftig noch erhalten könnten, begehrte.

Vor diesem Hintergrund ist der belangten Behörde beizupflichten, wenn sie ausführt, dass der Argumentation der Erstbeschwerdeführerin, der Zweitbeschwerdeführer habe keine Auskunft über die konkreten Empfänger begehrt und es der Erstbeschwerdeführerin überlassen, ob sie ihm die Empfänger oder Kategorien von Empfängern mitteile, nicht gefolgt werden kann. Es wurde bereits unter Hinweis auf die Feststellungen dargelegt, dass der Zweitbeschwerdeführer in seinem Auskunftsbegehren konkret Auskunft über die Empfänger seiner Daten beantragt hat, die vom Zweitbeschwerdeführer verwendete Wortfolge „Informationen über die konkreten Empfänger oder Kategorien von Empfängern“ entspricht dem Wortlaut des Art. 15 Abs. 1 lit. c DSGVO, wobei der Zweitbeschwerdeführer jedoch darauf hinwies, dass die Auskunft anhand der „oben definierten Kriterien“ erfolgen solle, weshalb (auch aufgrund des hohen Detaillierungsgrades des Auskunftsbegehrens) jedenfalls nicht darauf geschlossen werden kann, dass er der Erstbeschwerdeführerin ein Wahlrecht bezüglich der Nennung von (konkreten) Empfängern oder (bloßen) Kategorien von Empfängern einräumen wollte.

Der EuGH hat in seinem Urteil vom 12.01.2023, C-154/21, zu Recht erkannt, dass das in Art. 15 Abs. 1 lit. c DSGVO vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 der Verordnung 2016/679 sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen.

Der Verantwortliche hat sohin kein Wahlrecht, wie spezifisch er die Informationen hält, soweit er die Empfänger der Daten noch oder schon kennt, muss er sich auf Verlangen benennen (Bäcker in Kühling/Buchner DS-GVO, BDSG, 4. Auflage, Art. 15 DSGVO Rz 16). Im vorliegenden Fall hat die Erstbeschwerdeführerin zudem diesbezüglich nicht vorgebracht und ist auch sonst nicht ersichtlich geworden, dass es für die Erstbeschwerdeführerin nicht möglich ist, die Empfänger zu identifizieren oder, dass die Anträge auf Auskunft der betroffenen Person (des Zweitbeschwerdeführers) offenkundig unbegründet oder exzessiv im Sinne von Art. 12 Abs. 5 DSGVO sind. Die von der Erstbeschwerdeführerin erteilte Auskunft, welche lediglich Kategorien von Empfängern beinhaltete, erweist sich daher als nicht Art. 15 Abs. 1 lit. c DSGVO entsprechend.

Die behauptete Rechtswidrigkeit des Spruchpunkt 1. des Bescheides liegt, wie dargelegt, insoweit nicht vor. Der von der belangten Behörde ausgesprochene Leistungsauftrag (Spruchpunkt 2. des Bescheides) erging daher insoweit zu Recht, weshalb die Beschwerde der Erstbeschwerdeführerin diesbezüglich nicht erfolgreich sein kann.

Der Vollständigkeit halber ist festzuhalten, dass der Begriff des Empfängers in Art. 4 Z 9 DSGVO als jede Stelle, der personenbezogene Daten offengelegt werden, definiert wird. Der Empfänger muss kein Dritter iSd Art. 4 Z 10 DSGVO sein. Für die Einstufung als Empfänger muss keine Übermittlung im Sinne eines Datentransfers an einen anderen Verantwortlichen vorliegen, vielmehr ist bereits jede Offenlegung ausreichend. Daher gilt auch ein Auftragsverarbeiter als Empfänger, nicht aber Beschäftigte oder sonstige Stellen, welche dem Verantwortlichen bzw. Auftragsverarbeiter unmittelbar rechtlich unterworfen sind und in die Organisation des Verantwortlichen eingegliedert sind (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 25 [Stand 1.12.2020, rdb.at]; vgl. auch Illibauer in Knyrim, DatKomm Art. 13 DSGVO Rz 32 [Stand 1.7.2024, rdb.at] mit Verweis auf Bäcker in Kühling/Buchner, DS-GVO4 Art 13 Rz 28; Feiler/Forgó, EU-DSGVO und DSG2 Art. 13 Rz 16).

Entgegen den Ausführungen der Erstbeschwerdeführerin ergibt sich aus dem Urteil des EuGH vom 22.07.2023, C-579/21, nichts Gegenteiliges: Der EuGH hält in dieser Entscheidung (lediglich) fest, dass Art. 15 Abs. 1 DSGVO ein Recht in Bezug auf Informationen über die Identität der Arbeitnehmer des Verantwortlichen, die diese Vorgänge unter seiner Aufsicht und im Einklang mit seinen Weisungen ausgeführt haben, nicht vorsieht, außer wenn diese Informationen unerlässlich sind, um der betroffenen Person es zu ermöglichen, die ihr durch diese Verordnung verliehenen Rechte wirksam wahrzunehmen, und vorausgesetzt, dass die Rechte und Freiheiten dieser Arbeitnehmer berücksichtigt werden. Zwar nimmt auch ein Auftragsverarbeiter Datenverarbeitungen auf Weisung des Verantwortlichen vor, jedoch führt der Auftragsverarbeiter die Datenverarbeitung in der Regel nicht unter unmittelbarer Kontrolle des Verantwortlichen durch, zumal es sich oftmals – wie auch vorliegend – um eigenständige Unternehmen handelt, die nicht unmittelbar in die Organisationsstruktur des Verantwortlichen eingebunden sind und denen daher im Vergleich zu einem (bloßen) Arbeitnehmer ein deutlich höheres Maß an Selbstständigkeit zukommt (vgl. Arning/Rothkegel in Taeger/Gabel DSGVO BDSG TTDSG, Art. 4 DSGVO Rz 272).

3.3.2.1.2. Zum Recht auf Auskunft gemäß Art. 15 Abs. 1 lit. d DSGVO:

Gemäß Art. 15 Abs. 1 lit d DSGVO hat die betroffene Person das Recht auf Information über die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, falls möglich, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Die Erstbeschwerdeführerin teilte dem Zweitbeschwerdeführer diesbezüglich im Antwortschreiben vom 28.07.2023 mit, dass die personenbezogenen Daten bis zur Beendigung der Geschäftsbeziehung, jedenfalls aber solange gesetzliche Aufbewahrungspflichten bestehen oder etwaige rechtliche Ansprüche noch nicht verjährt seien, für deren Geltendmachung oder deren Abwehr die Daten benötigt würden, gespeichert würden.

Es ist der belangten Behörde grundsätzlich zuzustimmen, wenn sie im angefochtenen Bescheid diesbezüglich ausführt, dass ein genereller Verweis auf gesetzliche Aufbewahrungspflichten oder der Geltendmachung/Abwehr von rechtlichen Ansprüchen ohne Anführung von konkreten Rechtsgrundlagen nicht ausreichend ist, einer betroffenen Person die Informationen gemäß Art. 15 Abs. 1 lit. d leg. cit. bereitzustellen. Es sollte der betroffenen Person nämlich möglich sein, die Speicherdauer anhand dieser Informationen selbst zu bestimmen. Ein lapidarer Hinweis auf „gesetzliche Aufbewahrungsfristen“ im Allgemeinen verschafft Betroffenen jedoch keinen Mehrwert (Illibauer in Knyrim, DatKomm Art. 13 DSGVO Rz 46 [Stand 1.7.2024, rdb.at] mit Verweis auf Wagner/Pallanitz, Dako 2017/62, 101; Differenziertere Ansicht s EDSA, Guidelines 01/2022 on data subject rights – Right of Access Version 2.0 Adopted on 28 March 2023 Rz 118.).

In ihrer Bescheidbeschwerde hat die Erstbeschwerdeführerin jedoch nunmehr mit § 132 BAO und § 1486 ABGB konkrete Rechtsgrundlagen angeführt, aus denen sich (über die bestehende Geschäftsbeziehung hinaus) die Dauer der Speicherung der personenbezogenen Daten des Zweitbeschwerdeführers bzw. die Kriterien für die Festlegung dieser Dauer ergibt/ergeben, sodass eine solche Auskunft als ausreichend iSd Art. 15 Abs. 1 lit. d DSGVO zu qualifizieren ist (vgl. abermals Illibauer in Knyrim, DatKomm Art. 13 DSGVO Rz 46 [Stand 1.7.2024, rdb.at] mit Verweis auf Wagner/Pallanitz, Dako 2017/62, 101).

Vor diesem Hintergrund ist somit festzuhalten, dass die Erstbeschwerdeführerin dem ihr unter Spruchpunkt 2. des angefochtenen Bescheides erteilten Leistungsauftrag teilweise entsprochen hat. Damit verbleibt nach der Rechtsprechung des Verwaltungsgerichtshofes auch für die Feststellung einer Verletzung nach Art. 15 Abs. 1 lit. d DSGVO kein Raum mehr (vgl. VwGH 19.10.2022, Ro 2022/04/0001, und VwGH 06.03.2024, Ro 2021/04/0030 bis 0031).

Der Beschwerde war daher teilweise stattzugeben und der Spruch des angefochtenen Bescheides spruchgemäß abzuändern.

3.3.2.2. Beschwerde des Zweitbeschwerdeführers

3.3.2.2.1. Zum Gegenstand des Verfahrens:

Der Zweitbeschwerdeführer bringt in seiner Bescheidbeschwerde u.a. vor, die belangte Behörde habe sich nicht mit seinem Antrag auf Feststellung der Verletzung der Rechte der Art. 5, 6, 12, 13, 14 und 19 DSGVO auseinandergesetzt, weshalb der Bescheid rechtswidrig sei.

Dazu ist festzuhalten, dass nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes die „Sache“ des bekämpften Bescheides den äußersten Rahmen für die Prüfbefugnis des Verwaltungsgerichts bildet (vgl. VwGH 09.09.2015, Ra 2015/04/0012). „Sache“ des Beschwerdeverfahrens vor dem Verwaltungsgericht ist somit - ungeachtet des durch § 27 VwGVG vorgegebenen Prüfumfangs - nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat (vgl dazu etwa VwGH 17.12.2014, Ra 2014/03/0049; VwGH 22.01.2015, Ra 2014/06/0055; VwGH 26.03.2015, Ra 2014/07/0077). Das Verwaltungsgericht hat also (nur) die Angelegenheit zu entscheiden, die von der Verwaltungsbehörde entschieden wurde.

Im vorliegenden Fall hat die belangte Behörde mit dem angefochtenen Bescheid (lediglich) über die vom Zweitbeschwerdeführer geltend gemachten Verletzungen im Recht auf Auskunft gemäß Art. 15 DSGVO sowie im Recht auf Löschung gemäß Art. 17 DSGVO abgesprochen. Somit ist es fallbezogen dem Bundesverwaltungsgericht, aufgrund seiner auf die „Sache“ des Beschwerdeverfahrens eingeschränkten Prüfungsbefugnis, verwehrt, über vom Beschwerdeführer darüber hinaus gehend geltend gemachte Rechtsverletzungen abzusprechen, belastet es ansonsten seine Entscheidung mit Rechtswidrigkeit infolge Unzuständigkeit (siehe zuletzt VwGH 25.06.2024, Ra 2022/04/0167).

Bleibt eine Verwaltungsbehörde in ihrer bescheidförmigen Erledigung eines Antrages hinter diesem zurück, ist es in der Regel nicht die Aufgabe des Verwaltungsgerichts im Bescheidbeschwerdeverfahren, das dadurch möglicherweise begründete rechtswidrige Behördenverhalten durch eine vollumfängliche Erledigung des Antrags zu beseitigen. Vielmehr steht für solche Konstellationen das Säumnisbeschwerdeverfahren gemäß Art. 130 Abs. 1 Z 3 B-VG zur Verfügung (vgl. erneut VwGH 25.06.2024, Ra 2022/04/0167).

Wenn der Zweitbeschwerdeführer zudem vorbringt, dass die erteilte Auskunft vom 28.03.2022 auf Seite 2, Punkt 1.2. falsch sei, weil es niemals eine Beendigung des Nutzungsvertrages für den angeführten Stromzählpunkt gegeben habe und damit auch kein Vertragsende mit 14.05.2021, ist dazu festzuhalten, dass das Recht auf Auskunft gemäß Art. 15 DSGVO (lediglich) dazu dient, vom Verantwortlichen eine Bestätigung darüber zu erlangen, ob personenbezogene Daten verarbeitet werden und bejahendenfalls Auskunft über die personenbezogenen Daten sowie über weitere in Art. 15 Abs. 1 lit. a bis h DSGVO definierte Informationen zu erlangen. Wenn – wie der Zweitbeschwerdeführer vermeint – die beauskunfteten Information (teilweise) unrichtig sind, steht es ihm frei, einen entsprechenden Antrag auf Berichtigung gemäß Art. 16 DSGVO bzw. Löschung gemäß Art. 17 DSGVO an die Erstbeschwerdeführerin zu stellen, ein solcher ist jedoch (ebenfalls) vorliegend nicht verfahrensgegenständlich.

3.3.2.2.2. Zur behaupteten Unvollständigkeit des Spruchs:

Der Zweitbeschwerdeführer bringt zudem vor, die belangte Behörde habe zu Unrecht nicht im Spruch des angefochtenen Bescheides die Beauskunftung der fehlenden Dokumente in Form einer Kopie (etwa die Netzkostenabrechnung, Information zu Zählerablesungen, Rechnungen, Mahnungen) angeordnet.

Mit Urteil vom 04.05.2023, Zl. C‑487/21, hat der EuGH klargestellt, dass mit der Verpflichtung nach Art. 15 Abs. 3, erster Satz DSGVO, nämlich Kopien personenbezogener Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen, kein anderes Recht gewährt wird, als das nach Art. 15 Abs. 1 DSGVO vorgesehene. Art. 15 Abs. 3 DSGVO lege lediglich die praktischen Modalitäten für die Erfüllung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung nach Art. 15 Abs. 1 DSGVO fest (EuGH C‑487/21, CRIF, Rn 30 ff).

Da Art. 15 Abs. 3 DSGVO betroffenen Personen somit kein eigenständiges subjektives öffentliches Recht einräumt, ist ein Verstoß gegen Art. 15 Abs. 3 DSGVO keinem gesonderten Abspruch zugänglich, sondern führt zu einer Verletzung des Rechts auf Auskunft nach Art. 15 Abs. 1 DSGVO.

Vor diesem Hintergrund ist das Vorgehen der belangten Behörde, lediglich in der rechtlichen Beurteilung festzuhalten, dass die Erstbeschwerdeführerin die Modalitäten der Auskunftserteilung derart zu gestalten hat, dass für den Zweitbeschwerdeführer die Kontextualisierung der verarbeiteten personenbezogenen Daten bzw. die Verständlichkeit der Information in transparenter und nachvollziehbarer Art und Weise erfolgt und nur für den Fall, dass es für die vollständige Auskunftserteilung Art. 15 Abs. 1 und 2 DSGVO erforderlich sein sollte, dem Zweitbeschwerdeführer eine originalgetreue und verständliche Reproduktion seiner personenbezogenen Daten auszufolgen ist, nicht zu beanstanden.

Im Übrigen ist festzuhalten, dass nach der Rechtsprechung des EuGH Art. 15 Abs. 3 DSGVO der betroffenen Personen (nur dann) das Recht einräumt, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen, wobei insoweit die Rechte und Freiheiten anderer zu berücksichtigen sind (EuGH 4.5.2023, C-487/21, CRIF).

Im vorliegenden Fall erscheint es jedoch jedenfalls nicht von vornherein unumgänglich, dem Zweitbeschwerdeführer Informationen zu den Empfängern iSd Art. 15 Abs.1 lit. c DGSVO in Form einer Kopie zukommen zu lassen, um ihm die wirksame Ausübung der ihm durch die DSGVO verliehenen Rechte zu ermöglichen, zumal er durch die Bekanntgabe von konkreten Empfängern samt den übermittelten Informationen voraussichtlich in die Lage versetzt wird, darüber hinausgehende Informationen von den beauskunfteten Empfängern zu erhalten.

Sollte es für die vollständige Auskunftserteilung durch die Erstbeschwerdeführerin dennoch erforderlich sein, hat die belangte Behörde – wie oben ausgeführt – bereits festgehalten, dass dem Zweitbeschwerdeführer eine originalgetreue und verständliche Reproduktion seiner personenbezogenen Daten auszufolgen ist.

Hinsichtlich der vom Zweitbeschwerdeführer geforderten Kopien der „Korrespondenzen und Dokumente bezüglich diverser Verfahren“ ist festzuhalten, dass auch hier die Erforderlichkeit der Zurverfügungstellung einer Kopie nicht erblickt werden kann, zumal der Zweitbeschwerdeführer (soweit es sich um Korrespondenzen zwischen ihm und der Erstbeschwerdeführerin sowie um Urkunden, die etwa im Verfahren XXXX des Bezirksgerichts XXXX vorgelegt wurden, handelt) über diese Unterlagen bereits verfügt oder es sich um Dokumente handelt, die (wie die Erstbeschwerdeführerin bereits in ihrem Antwortschreiben vom 28.03.2022 angeführt hat) im Sinne des Art. 15 Abs. 4 DSGVO im Hinblick auf die Rechte und Freiheiten der Erstbeschwerdeführerin (Verteidigung von Rechtsansprüchen) nicht vorgelegt werden können, ohne die Rechtsposition der Erstbeschwerdeführerin in diesen Verfahren zu schwächen.

Wenn der Zweitbeschwerdeführer darüber hinaus in seiner Stellungnahme vom 05.12.2024 moniert, dass zu den angeführten Strom-Zählpunkten keine Energielieferanten angegeben seien, ist darauf hinzuweisen, dass die belangte Behörde bereits im angefochtenen Bescheid festgehalten hat, dass die Erstbeschwerdeführerin zur Herkunft der Daten keine anderen Informationen als die bereits beauskunfteten gespeichert hat und im Lichte der Rechtsprechung des Bundesverwaltungsgerichtes (vgl. etwa W214 2253843-1/24E vom 20.02.2023) im Rahmen eines Verfahrens wegen behaupteter Verletzung im Recht auf Auskunft auch nicht zu prüfen ist, ob die Erstbeschwerdeführerin gegen allfällige, aus anderen Gesetzes- oder Verordnungsbestimmungen resultierende, Dokumentationspflichten verstoßen hat, da sie im Rahmen einer Auskunft nach Art. 15 DSGVO nur die ihr verfügbaren Informationen zur Herkunft der Daten zu beauskunften hat.

3.3.2.2.4. Zur behaupteten Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO:

Hierzu ist zunächst festzuhalten, dass die belangte Behörde mit dem angefochtenen Bescheid – entgegen den Ausführungen des Zweitbeschwerdeführers in seiner Bescheidbeschwerde – auch über die vom Zweitbeschwerdeführer behauptete Verletzung im Recht auf Löschung (implizit) abgesprochen und die Datenschutzbeschwerde diesbezüglich abgewiesen hat (Spruchpunkt 6.).

Die belangte Behörde führt im angefochtenen Bescheid diesbezüglich aus, dass in der Beauskunftung und erst darauffolgenden Löschung der E-Mail-Adresse des Zweitbeschwerdeführers kein Verstoß gegen das Recht auf Löschung nach Art. 17 DSGVO erblickt werden könne. Ebenfalls sei nicht erkennbar, dass dem Antrag auf Löschung zu spät nachgekommen worden wäre.

Der Zweitbeschwerdeführer hält dem bereits in seiner Datenschutzbeschwerde vom 27.02.2023 (sowie abermals in der Stellungnahme vom 21.09.2023 und in seiner Bescheidbeschwerde) entgegen, dass die Erstbeschwerdeführerin seine E-Mail-Adresse niemals gelöscht habe, dies ergebe sich aus nachfolgenden Kontaktaufnahmen über eben diese E-Mail-Adresse durch die Erstbeschwerdeführerin bzw. die B-AG.

Dennoch nahm die belangte Behörde von weiteren Ermittlungen Abstand und erließ ausgehend von der von ihr als nachvollziehbar erachteten Stellungnahme der Erstbeschwerdeführerin den angefochtenen Bescheid, in welchem sie die Feststellung traf, dass die Erstbeschwerdeführerin auf den Antrag des Zweitbeschwerdeführers vom 28.02.2023 [gemeint: 2022] hin die E-Mail-Adresse gelöscht habe.

Damit ist aber festzuhalten, dass im vorliegenden Verfahren die tatsächlich stattgefundene Löschung der E-Mail-Adresse des Zweitbeschwerdeführers grundsätzlich strittig ist und die belangte Behörde trotz einander widersprechender Behauptungen der Parteien zu einer der zentralen, im Verfahren über die Datenschutzbeschwerde des Beschwerdeführers zu klärenden Tatfrage ihr Ermittlungsverfahren auf die Einholung von schriftlichen Stellungnahmen der Parteien beschränkt hat.

Eine derartige Beschränkung, wiewohl der belangten Behörde die Möglichkeit der Befragung der Parteien als Beweismittel im Sinne des § 51 AVG offensteht (vgl. VwGH 10.03.2023, Ra 2020/04/0085), widerspricht jedoch der Rechtsprechung des Verwaltungsgerichtshofes zur Unzulänglichkeit bloßer schriftlicher Stellungnahmen zu strittigen Tatfragen (vgl. etwa VwGH 09.05.2017, Ro 2014/08/0065; 10.11.2022, Ra 2021/08/0095, Rn. 13, jeweils mwN).

Dies insbesondere vor dem Hintergrund, dass der Zweitbeschwerdeführer bereits im behördlichen Verfahren vorgebracht (und diesbezüglich bei Erhebung der Bescheidbeschwerde auch Beweismittel vorgelegt) hat, dass er nach dem 28.03.2022 (konkret am 17.05.2022 und 26.01.2024) abermals von der Erstbeschwerdeführerin bzw. von der B-AG über die betreffende E-Mail-Adresse kontaktiert wurde, was eine in der Vergangenheit stattgefundene Löschung zumindest zweifelhaft erscheinen lässt, weshalb eine nähere Auseinandersetzung mit diesem Vorbringen durch die belangte Behörde keinesfalls unterbleiben konnte. Dazu kommt der Umstand, dass die belangte Behörde im Verfahren D124.1338/23 mit Bescheid vom 19.02.2024, Zl. D124.1338/23 2023-0.683.761, der Beschwerde des Zweitbeschwerdeführers wegen Verletzung im Recht auf Geheimhaltung stattgegeben und festgestellt hat, dass die Erstbeschwerdeführerin den Zweitbeschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie nach behaupteter Löschung der E-Mail-Adresse des Beschwerdeführers am 28.03.2022, diese zumindest am 17.05.2022 wieder verwendet hat und damit gegen die Grundsätze für die Verarbeitung personenbezogener Daten nach der DSGVO verstoßen hat.

Es wäre daher seitens der belangten Behörde im Interesse der Erforschung der materiellen Wahrheit zumindest erforderlich gewesen, die Parteien förmlich niederschriftlich einzuvernehmen, auch da im vorliegenden Fall der Glaubwürdigkeit der Parteien für die Beweiswürdigung besondere Bedeutung zukommt (vgl. VwGH 14.03.2013, 2010/08/0241). Es handelt sich dabei auch um einen rechtserheblichen Verfahrensmangel, da nicht auszuschließen ist, dass die belangte Behörde bei dessen Vermeidung zu einem anderen Bescheid hätte kommen können (vgl. VwGH 03.10.2013, 2013/22/0114).

Die Behörde ist verpflichtet, von Amts wegen ein Beweisverfahren gemäß §§ 45ff AVG durchzuführen, um den vollständigen, rechtlich relevanten (maßgeblichen) und wahren Sachverhalt festzustellen (Hengstschläger/Leeb, AVG § 45, Rz. 1 mwN). Dies ist der Ausfluss der Offizialmaxime sowie des Grundsatzes der materiellen Wahrheit.

Ausgehend von diesen Erwägungen kann aufgrund einer mangelnden Sachverhaltsgrundlage nicht beurteilt werden, ob fallgegenständlich eine Löschung der E-Mail-Adresse des Zweitbeschwerdeführers auf seinen Antrag vom 28.02.2022 hin stattgefunden hat.

Eine Zurückverweisung der Sache an die Verwaltungsbehörde zur Durchführung notwendiger Ermittlungen gemäß § 28 Abs. 3 zweiter Satz VwGVG kommt bei krassen bzw. besonders gravierenden Ermittlungslücken in Betracht, insbesondere dann, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, wenn sie zur Ermittlung des maßgebenden Sachverhalts lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat. Gleiches gilt, wenn konkrete Anhaltspunkte annehmen lassen, dass die Verwaltungsbehörde (etwa schwierige) Ermittlungen unterließ, damit diese dann durch das Verwaltungsgericht vorgenommen werden (VwGH 26.06.2014, Ro 2014/03/0063).

Wie sich aus den obigen Ausführungen ergibt, hat die belangte Behörde im vorliegenden Fall die notwendigen Ermittlungen zu den hier bedeutsamen Fragen im Tatsachenbereich unterlassen. Sie hat ihr Ermittlungsverfahren auf die Einholung von schriftlichen Stellungnahmen der Parteien beschränkt und hat zum Teil jegliche Ermittlungstätigkeit unterlassen, damit hat sie den Sachverhalt bestenfalls bloß ansatzweise ermittelt.

Der für eine Entscheidung des Bundesverwaltungsgerichtes in der Sache erforderliche Sachverhalt steht daher nicht fest.

Für den vorliegenden Fall bedeutet dies, dass das Bundesverwaltungsgericht berechtigt ist, von der Zurückverweisungsmöglichkeit nach § 28 Abs. 3 VwGVG Gebrauch zu machen (zur Zulässigkeit der Anwendung des § 28 Abs. 3 zweiter Satz VwGVG bei Unterlassen jedweder Ermittlungstätigkeit durch die Verwaltungsbehörde vgl. VwGH 29.05.2018, Ra 2017/03/0083, sowie bei einem bloß ansatzweisen Ermitteln des Sachverhaltes vgl. VwGH 02.08.2023, Ra 2023/04/0091, und VwGH 10.03.2023, Ra 2020/04/0085). Im konkreten Fall kann der normativen Zielsetzung der Verfahrensbeschleunigung am besten dadurch Rechnung getragen werden, dass die dem Verwaltungsgericht bei der gegebenen Sachlage offenstehende Möglichkeit der Zurückverweisung an die Verwaltungsbehörde wahrgenommen wird (vgl. dazu VwGH 30.08.2023, Ra 2023/04/0076). Eine Nachholung des durchzuführenden Ermittlungsverfahrens und eine erstmalige Ermittlung und Beurteilung des maßgeblichen Sachverhaltes durch das Bundesverwaltungsgericht kann nicht im Sinne des Gesetzes liegen, zumal eine unmittelbare weitere Beweisaufnahme durch das Bundesverwaltungsgericht nicht „im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden“ wäre, dies vor allem auch angesichts des mit dem bundesverwaltungsgerichtlichen Beschwerdeverfahren als Mehrparteienverfahren verbundenen Mehraufwands und auch im Hinblick auf die durch die erforderliche Gerichtsbesetzung des Verwaltungsgerichts schwierigere Terminfindung zur Durchführung solcher Beweisaufnahmen im Vergleich zur belangten Behörde. Die Nachholung der genannten Ermittlungsschritte liegt daher auch im Interesse der Raschheit iSd § 28 Abs. 2 Z. 2 VwGVG begründet (vgl. dazu abermals VwGH 10.03.2023, Ra 2020/04/0085).

Vor dem Hintergrund verwaltungsökonomischer Überlegungen und der Effizienzkriterien des § 39 Abs. 2 AVG war daher im Umfang des Spruchpunktes 6. des angefochtenen Bescheides, soweit er die Abweisung der Datenschutzbeschwerde betreffend die geltend gemachte Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO betrifft, eine kassatorische Entscheidung zu treffen. Der Vollständigkeit halber ist darauf hinzuweisen, dass im Fall einer gemäß § 28 Abs. 3 VwGVG vorgenommenen Aufhebung und Zurückverweisung das Verfahren in die Lage zurücktritt, in der es sich vor Erlassung des aufgehobenen Bescheides befunden hat (VwGH 23.04.2021, Ra 2019/06/0161), sodass die belangte Behörde im fortgesetzten Verfahren das im Rahmen des Beschwerdeverfahrens erstattete weitere Parteivorbringen zu berücksichtigen und gegebenenfalls darauf hinzuwirken haben wird, dass dieses ergänzt bzw. konkretisiert wird.

3.3.2.2.4. Zur Beschwerde gegen die Spruchpunkte 3. bis 5. des angefochtenen Bescheides:

Hinsichtlich dieser Spruchpunkte enthält die Bescheidbeschwerde kein konkretes Vorbringen, aus welchen Gründen diese als rechtswidrig anzusehen seien und kann auch das Bundesverwaltungsgericht nicht finden, dass die diesbezüglichen rechtlichen Ausführungen der belangten Behörde im angefochtenen Bescheid unzutreffend wären.

Da dem angefochtenen Bescheid eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG bezüglich dieser Aussprüche nicht anhaftet, war die Bescheidbeschwerde insoweit abzuweisen.

3.4. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 4 VwGVG entfallen. Im vorliegenden Fall lässt die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten. Die Notwendigkeit der Durchführung einer Verhandlung ist auch im Hinblick auf Art. 6 Abs. 1 EMRK und Art. 47 GRC nicht ersichtlich. Der entscheidungsrelevante Sachverhalt ist hier geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen.

Betreffend Spruchpunkt 6. des angefochtenen Bescheides, soweit er die Abweisung der Datenschutzbeschwerde betreffend die geltend gemachte Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO betrifft, konnte eine mündliche Verhandlung gemäß § 24 Abs. 2 Z 1 VwGVG entfallen, da bereits auf Grund der Aktenlage feststeht, dass der angefochtene Bescheid in diesem Umfang aufzuheben ist.

Zu B)

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die vorliegenden Entscheidungen hängen nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weichen die gegenständlichen Entscheidungen von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. Es ist auch nicht ersichtlich, dass sich in den konkreten Fällen eine Rechtsfrage stellt, die über den (hier vorliegenden konkreten) Einzelfall hinaus Bedeutung entfaltet. Ausgehend davon kann eine Rechtsfrage von grundsätzlicher Bedeutung auch insofern nicht bejaht werden. Es war daher auszusprechen, dass die Revision gemäß Art. 133 Abs. 4 B-VG jeweils nicht zulässig ist.