BVwG W137 2236019-1

Spruch:

W137 2236019-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichter MMag. Jakob KALINA sowie Mag. Philipp SCHEDIFKA als Beisitzer über die Beschwerde der XXXX , vertreten durch BAKER McKENZIE Rechtsanwälte LLP & Co KG, mitbeteiligte Partei vor dem Verwaltungsgericht, XXXX , gegen den Teilbescheid der Datenschutzbehörde vom 20.08.2020, GZ: D124.719 2020-0.427-545, nach Durchführung einer mündlichen Verhandlung, zu Recht erkannt:

A) Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Eingabe vom 31.07.2018 machte Herr XXXX (= Beschwerdeführer vor der Datenschutzbehörde und mitbeteiligte Partei vor dem Bundesverwaltungsgericht) ursprünglich eine Verletzung im Recht auf Löschung geltend. Die XXXX (= Beschwerdegegnerin vor der Datenschutzbehörde und Beschwerdeführerin vor dem Bundesverwaltungsgericht) entsprach mit Schreiben vom 15.11.2018 im laufenden Verfahren vor der Datenschutzbehörde (DSB) dem Antrag der mitbeteiligten Partei auf Löschung, wodurch die behauptete Rechtsverletzung der nicht vollständig erfolgten Löschung iSd § 24 Abs. 6 erster Satz DSG nachträglich beseitigt wurde. In der Folge wurde das Beschwerdeverfahren seitens der DSB gemäß § 24 Abs. 6 DSG formlos eingestellt.

2. Mit Eingabe vom 29.01.2019, ergänzt am 27.02.2019 und verbessert am 10.09.2019, machte die mitbeteiligte Partei u.a. eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG geltend. Diese brachte soweit verfahrensrelevant vor, sie sei im März 2017 sowie im September 2017 mit unberechtigten Betreibungen durch Dritte konfrontiert gewesen, aufgrund einer irrtümlichen automatischen Adresserhebung durch die Beschwerdeführerin. Die Betreibungen seien nach einer Richtigstellung des Sachverhalts eingestellt worden. Nach diesen Vorfällen habe die mitbeteiligte Partei bei der Beschwerdeführerin eine Auskunft über die von dieser über sie gespeicherten Daten eingeholt.

Die Beschwerdeführerin habe u.a. eine unrichtige Adresse betreffend die mitbeteiligte Partei gespeichert und diese am 14.06.2018 an Dritte übermittelt.

3. Mit Eingabe vom 18.11.2019 brachte die Beschwerdeführerin zusammengefasst vor, die datenschutzrechtliche Grundlage der Verarbeitung bonitätsrelevanter personenbezogener Daten in ihrer Datenbank seien berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Darüber hinaus sei der Anspruch auf Behandlung der Beschwerde gemäß § 24 Abs. 4 DSG erloschen, da die subjektive Frist zur Erhebung einer Datenschutzbeschwerde bereits abgelaufen sei.

Zu der von der mitbeteiligten Partei vorgebrachten Rechtswidrigkeit sei auszuführen, dass es sich bei der gegenständlichen Adresse nicht um eine falsche Adresse gehandelt habe. Ein Adressdatum sei nicht zwingend unrichtig, weil eine Person an einer solchen Adresse nicht gemeldet oder wohnhaft gewesen sei. Es habe keine gesetzliche Verpflichtung bestanden, die Adresse mit dem ZMR abzugleichen. Darüber hinaus sei zu keinem Zeitpunkt diese „unrichtige“ Adresse Dritten übermittelt worden. Die tatsächliche Übermittlung habe jeweils in der Spalte „Übermittelter Wert“ gestanden und habe einen Bonitätswert dargestellt. Das von der mitbeteiligten Partei genannte Unternehmen habe lediglich nach der „unrichtigen Adresse“ in der Datenbank der Beschwerdeführerin gesucht. Ein anderes Unternehmen habe in der Abfrage die „unrichtige Adresse“ gar nicht eingegeben.

4. Im Rahmen des erteilten Parteiengehörs brachte die mitbeteiligte Partei mit Stellungnahme vom 24.06.2020 soweit verfahrensrelevant vor, dass sie erst mit dem Auskunftsschreiben vom 15.11.2018 Kenntnis von der monierten Datenschutzverletzung erlangt habe. Die Datenschutzbeschwerde sei somit fristgerecht eingebracht worden.

Darüber hinaus sei die Beschwerdeführerin gemäß Art. 5 Abs. 1 lit. d DSGVO iVm Art. 17 DSGVO verpflichtet, personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand zu halten und alle Maßnahmen zu treffen, damit Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig seien, unverzüglich gelöscht oder berichtigt würden.

Die Beschwerdeführerin habe die negativen Zahlungserfahrungen eines Dritten mit dem Datensatz der mitbeteiligten Partei verknüpft. Diese Verknüpfung sei falsch gewesen und habe zu einer negativen Bonität der mitbeteiligten Partei geführt.

5. Mit dem im Spruch genannten Teilbescheid vom 20.08.2020, D124.719 2020-0.427-545, gab die Datenschutzbehörde der Beschwerde – hinsichtlich § 1 Abs. 1 DSG – statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Grundrecht auf Geheimhaltung verletzt habe, indem diese unrichtige personenbezogene Daten (unrichtige Anschrift, unrichtiger Forderungsbetrag) über die mitbeteiligte Partei gespeichert und im Rahmen einer Bonitätsauskunft an die XXXX übermittelt habe.

In diesem Bescheid traf die Datenschutzbehörde folgende – verkürzt dargestellte – wesentliche Sachverhaltsfeststellungen:

Die Beschwerdeführerin betreibe eine Identitäts- und Bonitätsdatenbank und habe einem Dritten am 14.06.2018 den Forderungsbetrag von EUR 143,90 sowie eine Adresse im Zusammenhang mit der mitbeteiligten Partei, im Zuge des Ergebnisses des „Court Checks“ übermittelt. Die mitbeteiligte Partei habe an der genannten Adresse weder gewohnt noch sei sie dort gemeldet gewesen. Die genannte Adresse sei, aufgrund eines Löschbegehrens der mitbeteiligten Partei, durch die Beschwerdeführerin am 15.11.2018 aus ihrer Datenbank gelöscht worden.

In rechtlicher Hinsicht führte die Datenschutzbehörde im Wesentlichen aus:

Die Beschwerdeführerin habe es unterlassen zu begründen, warum die gegenständliche Adresse mit dem Namen und Geburtsdatum der mitbeteiligten Partei verknüpft gewesen sei oder warum sie objektiv eine „richtige“ Adresse der mitbeteiligten Partei darstelle; das personenbezogene Datum sei unrichtig, da es nicht der Realität entspreche.

Soweit die Beschwerdeführerin behaupte, dass ein Dritter im System der Beschwerdeführerin nach der falschen Adresse gesucht habe, sei zu erwidern, dass die unrichtige Adresse bereits mit der mitbeteiligten Partei verknüpft gewesen sei. Aufgrund der falsch verknüpften Adresse sei zudem ein falscher Forderungsbetrag – nämlich „offen: 143,90 €“ – mit dem Namen und Geburtsdatum der mitbeteiligten Partei verknüpft und ebenso an einen Dritten ausgegeben, bzw. übermittelt worden.

Eine Verantwortliche habe jedenfalls geeignete mathematische oder statistische Verfahren zu verwenden und technische und organisatorische Maßnahmen zu treffen, mit denen in geeigneter Weise insbesondere sichergestellt werde, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen könnten, korrigiert würden und das Risiko von Fehlern minimiert werde. Dafür fehle ein entsprechender Nachweis durch die Beschwerdeführerin. Vielmehr habe die Beschwerdeführerin trotz des Vorliegens eines Antrags auf Löschung durch die mitbeteiligte Partei seit dem 27.02.2018 noch am 14.06.2018 unrichtige Daten an Dritte übermittelt.

6. In der gegen diesen Teilbescheid fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:

Die Datenschutzbehörde habe ihrem Bescheid die unrichtige rechtliche Beurteilung zugrunde gelegt, dass die von der Beschwerdeführerin übermittelte Adresse sowie der angezeigte Forderungsbetrag betreffend die mitbeteiligte Partei unrichtig gewesen seien. Es seien nur „alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig seien, unverzüglich gelöscht oder berichtigt würden“. Die Datenschutzbehörde habe darüber hinaus den Zweck der Datenverarbeitung außer Acht gelassen.

Die abgefragte Dienstleistung habe die Prüfung der Einbringlichkeitswahrscheinlichkeit einer Forderung betroffen. Daher habe ein Dritter die Anschrift und den Forderungsbetrag von EUR 143,90 – als Teil der Anfrage – an die Beschwerdeführerin übermittelt. Die Darstellung der übermittelten Informationen (Anschrift und Forderungsbetrag) würden ausschließlich dem Zweck dienen, einem abfragenden Dritten zu ermöglichen, die Antwort der Einbringlichkeitsanfrage korrekt zuzuordnen.

Aufgrund dieser Beweisergebnisse seien die Feststellungen zu treffen, dass aufgrund einer Anfrage eines Dritten bei der Beschwerdeführerin die Einbringlichkeit einer Forderung von EUR 143,90 gegen die mitbeteiligte Partei geprüft worden sei und die Beschwerdeführerin auf Grundlage der übermittelten Daten eine Einbringungswahrscheinlichkeit errechnete und diesen Wert zusammen mit den zur Verfügung gestellten Daten angezeigt habe.

7. Mit Schreiben der Datenschutzbehörde vom 12.10.2020 wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.

8. Am 09.09.2024 fand am Bundesverwaltungsgericht eine mündliche Beschwerdeverhandlung statt, in welcher die Parteien die Gelegenheit hatten die verfahrensgegenständlichen Rechtsfragen zu erörtern.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die Beschwerdeführerin betreibt eine Identitäts- und Bonitätsdatenbank für das gesamte Bundesgebiet. Die Daten bezieht sie aus öffentlich verfügbaren Quellen bzw. bekommt sie Daten von Adressverlagen und Informationen zu Zahlungserfahrungen von einer Vielzahl an Unternehmenskunden übermittelt und errechnet im Zuge einer konkreten Kundenabfrage einen Bonitätsscore zu einer abgefragten betroffenen Person, welcher an die abfragenden Unternehmen übermittelt wird. Dieser bewegt sich zwischen 250-700 sowie 0-100, wobei der niedrigste Wert die schlechteste wiedergebbare Bonität ausdrückt und der höchste Wert die bestmögliche Bonität.

1.2. Nach mehreren unberechtigten Forderungsbetreibungen gegen die mitbeteiligte Partei, welche eingestellt wurden, beantragte diese am 27.09.2017 Auskunft von der Beschwerdeführerin. Mit Schreiben vom 02.10.2017 und 28.02.2018 teilte diese der mitbeteiligten Partei mit, dass sie zur Person der mitbeteiligten Partei die Adresse – XXXX – verarbeitet.

1.3. Im Zuge eines vorausgegangenen Verwaltungsverfahren, aufgrund eines Löschbegehrens der mitbeteiligten Partei vom 27.02.2018, löschte die Beschwerdeführerin, mitgeteilt mit Schreiben vom 15.11.2018, die Adresse – XXXX – aus ihrer Datenbank, welche der mitbeteiligten Partei zugeordnet war.

1.4. Die mitbeteiligte Partei war zu keinem Zeitpunkt in der XXXX gemeldet oder wohnhaft.

1.5. Am 14.06.2018 suchte die XXXX – im Rahmen der durch die Beschwerdeführerin angebotenen Dienstleistung „Court Check“ – in deren Datenbank mittels dem Namen und Geburtsdatum der mitbeteiligten Partei sowie der Adresse XXXX nach einer Übereinstimmung. In der Folge wurde zu dem von der XXXX übermittelten Forderungsbetrag von EUR 143,90 die Einbringlichkeitswahrscheinlichkeit im Zusammenhang mit der mitbeteiligten Partei anstatt der angefragten Person XXXX beauskunftet. Es wurden zwei „Score-Werte“ von 450 und 100 Punkten errechnet.

Die Beschwerdeführerin speicherte vorübergehend den übermittelten Forderungsbetrag.

1.6. Es existiert ein „Datenzwilling“ der mitbeteiligten Partei (selber Name und selbes Geburtsdatum).

1.7. Die Beschwerdeführerin prüft die Richtigkeit ihres Datenbestands anhand der Namen, Geburtsdaten und den Wohnadressen von betroffenen Personen. Ihr ist das Bestehen von Datenzwillingen bekannt.

2. Beweiswürdigung:

Die getroffenen Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde, dem Gerichtsakt und der am 09.09.2024 durchgeführten mündlichen Verhandlung vor dem Bundesverwaltungsgericht.

Eine durch die Beschwerdeführerin behauptete Unrichtigkeit der – auf den festgestellten Screenshot gestützten (Seite 8 des Teilbescheides) - Schlussfolgerungen auf Seite 13 des bekämpften Teilbescheides sowie dem nun unter 1.5. festgestellten Sachverhalt ist nicht erkennbar, da zum Zweck der Prüfung der Einbringlichkeit eines – von einem Dritten – genannten Forderungsbetrags, hinsichtlich einer konkreten Person, diese unweigerlich mit dem Forderungsbetrag – im Rahmen der Berechnung der Einbringlichkeitswahrscheinlichkeit – verknüpft bzw. gespeichert werden muss (siehe Protokoll der Datenabfrage – Beilage 2 der Bescheidbeschwerde vom 05.10.2020 – und dem Ergebnis des Court Checks vom 14.06.2018). Auch die Höhe des Forderungsbetrags muss – bereits aufgrund der durch die Beschwerdeführerin gemachten Dienstleistungsbeschreibung – zwangsläufig einen Einfluss auf den durch die Beschwerdeführerin errechneten Einbringlichkeitswert haben. Wer den konkreten Forderungsbetrag zur Verfügung gestellt hat, ist für die gegenständliche Rechtsfrage der Datenverarbeitung nicht weiter relevant. Vergleiche dazu weiter die Ausführungen im Rahmen der rechtlichen Beurteilung.

Die Feststellung, dass ein „Datenzwilling“ der mitbeteiligten Partei existiert, ergibt sich aus den diesbezüglichen Angaben der Parteien im Laufe des Verfahrens sowie in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 09.09.2024.

Die Feststellung zu den durch die Beschwerdeführerin gesetzten Maßnahmen betreffend ihre Datenbankaktualität und zum Problembewusstsein betreffend Datenzwillinge ergibt sich aus der mündlichen Verhandlung vor dem Bundesverwaltungsgericht am 09.09.2024.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Zu A)

3.3. Die maßgeblichen Bestimmungen der DSGVO

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmale identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.-6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8.- 26. (…)

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) – c) (…)

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) - f) (…)

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Die maßgeblichen Bestimmungen des DSG

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

3.3. In ihrer Beschwerde monierte die Beschwerdeführerin, dass die Datenschutzbehörde eine unrichtige Feststellung, hinsichtlich der durch die XXXX übermittelten Adresse sowie des Forderungsbetrags, aufgrund einer fehlerhaften Beweiswürdigung, getroffen habe und es sich im Ergebnis bei der verarbeiteten Adresse sowie dem Forderungsbetrag um ein „richtiges“ personenbezogenes Datum gehandelt habe, da auf den zugrundeliegenden Verarbeitungszweck abzustellen sei.

Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Sohin sind persönliche Informationen wie Identifikationsmerkmale (Name, Anschrift und Geburtsdatum), äußere Merkmale (Geschlecht, Augenfarbe, Größe, Gewicht) oder innere Zustände (Meinungen, Motive, Wünsche, Überzeugungen, Werturteile) genauso gemeint wie sachliche Informationen, also Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie sonstige Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt. Auch statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf, etwa eine Bonitätsbewertung oder Scoring-Prozesse (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 6, 9 (Stand 1.12.2018, rdb.at)).

Bei den Grundsätzen für die Verarbeitung personenbezogener Daten handelt es sich sowohl um programmatische Grundsätze der europäischen Datenschutztradition, die größtenteils in anderen Bestimmungen der DSGVO präzisiert werden, als auch zugleich um unmittelbar geltende verbindliche Regeln. Aufgrund der Formulierung des Art. 5 Abs. 1 DSGVO, in der jeweils die personenbezogenen Daten das Subjekt bilden, stellt sich die Frage, wer der Verpflichtete ist, der die Grundsätze einzuhalten hat. Die Verpflichtung ist nicht ausdrücklich auf den Verantwortlichen beschränkt, der gemäß Art. 5 Abs. 2 DSGVO jedenfalls zur Einhaltung der Grundsätze verpflichtet ist (vgl. Hötzendorfer; Tschohl; Kastelitz in Knyrim, DatKomm Art 5 DSGVO Rz 1, 9 (Stand 7.5.2020, rdb.at)).

Der Grundsatz der Richtigkeit verpflichtet den Verantwortlichen, dafür Sorge zu tragen, dass die Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind. Beides sind objektive Kriterien. Ob es erforderlich ist, dass die Daten auf dem neuesten Stand sind, hängt vom Verarbeitungszweck ab. Sachlich richtig sind Daten dann, wenn die Daten – bzw. die in den Daten manifestierten Informationen – der Realität entsprechen. Maßstab für die Datenrichtigkeit ist der Zweck der Datenverarbeitung (vgl. Hötzendorfer; Tschohl; Kastelitz in Knyrim, DatKomm Art 5 DSGVO Rz 43 - 44 (Stand 7.5.2020, rdb.at); vgl. VwGH 17.07.2023, Ro 2021/04/0015 ).

Der Grundsatz der Richtigkeit wirkt sich in unterschiedlichen Phasen aus: Bereits bei der Erhebung muss der Verantwortliche dafür Sorge tragen, dass die Daten richtig sind. Ergibt sich später die Unrichtigkeit der Daten, muss er diese richtigstellen oder ansonsten löschen, und ergeben sich Hinweise auf die Unrichtigkeit, muss er diesen nachgehen. Aus dem Grundsatz der Richtigkeit ergibt sich – bereits nach dem Wortlaut – eine Pflicht, technische und organisatorische Maßnahmen zu treffen, die dazu führen, dass die Richtigkeit der verarbeiteten Daten überprüft wird und diese ggf richtiggestellt werden. Diese Maßnahmen müssen „angemessen“ sein. Wie ausgeprägt der Verantwortliche aktiv die Richtigkeit der verarbeiteten Daten überprüfen muss, ist somit nach dem allgemeinen Grundsatz der Verhältnismäßigkeit abzuwägen, wobei der damit verbundene Aufwand, der Verarbeitungszweck und das Risiko zu berücksichtigen sind, welches sich für den Betroffenen im Hinblick auf den Verarbeitungszweck aus der Verarbeitung unrichtiger Daten ergeben kann. In der Wortwahl „erforderlichenfalls“ liegt eine nicht unerhebliche Einschränkung des Grundsatzes der Richtigkeit, sodass sich aus diesem nicht die Regel ergebe, alle Daten in Echtzeit oder doch zeitnah zu berichtigen. Dies ist richtig und sachgerecht, denn schon allein aus Gründen der praktischen Durchführbarkeit muss die Geschwindigkeit, mit der die Daten aktuell zu halten sind, ebenso wie der Aufwand, den dies verursacht, auf ein zumutbares Maß beschränkt sein (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 Rz 46- 47DSGVO (Stand 7.5.2020, rdb.at))

Jede Verarbeitung personenbezogener Daten muss – vorbehaltlich der in Art. 13 der Richtlinie 95/46 zugelassenen Ausnahmen – den in Art. 6 der Richtlinie aufgestellten Grundsätzen in Bezug auf die Qualität der Daten und einem der in Art. 7 der Richtlinie aufgeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (EuGH 13.05.2014, C-131/12 (Google Spain) Rz 71).

In der Sache:

Wie oben gänzlich unbestritten festgestellt wurde, war die mitbeteiligte Partei an der Adresse XXXX zu keinem Zeitpunkt gemeldet oder wohnhaft. Dennoch war die genannte Adresse in der Datenbank der Beschwerdeführerin jedenfalls bis zum 15.11.2018 mit der mitbeteiligten Partei verknüpft und gespeichert.

Am 14.06.2018 übermittelte die Beschwerdeführerin aufgrund einer Abfrage der XXXX (Anfrage betreffend: XXXX ), im Zusammenhang mit der Einbringungswahrscheinlichkeit einer Forderung von EUR 143,90, Scoringwerte betreffend die mitbeteiligte Partei.

In der Folge wurde der – von der XXXX eingegebene – Forderungsbetrag von EUR 143,90 vorübergehend gespeichert und mit der mitbeteiligten Partei verknüpft. Zudem erfolgte eine Ausgabe im übermittelten Ergebnis der Einbringlichkeitsprüfung.

Sowohl beim Speichern, Verknüpfen als auch dem Übermitteln der festgestellten Adresse sowie dem genannten Forderungsbetrag gemeinsam mit der in der Datenbank der Beschwerdeführerin eindeutig identifizierten mitbeteiligten Partei, handelt es sich um Verarbeitungsvorgänge von personenbezogenen Daten gemäß Art. 4 Z 1 und 2 DSGVO, der sachliche Anwendungsbereich der DSGVO ist demnach eröffnet. An der Verantwortlicheneigenschaft der Beschwerdeführerin gemäß Art. 4 Z 7 DSGVO bestehen keine Zweifel, dies wurde auch zu keinem Zeitpunkt bestritten.

Personenbezogene Daten (betreffend Tatsachen) sind sachlich richtig, wenn die Daten – bzw. die in den Daten manifestierten Informationen – der Realität entsprechen. Maßstab für die Datenrichtigkeit ist der Zweck der Datenverarbeitung. Dies ist z.B. im Zusammenhang mit Datenverarbeitungen zu Dokumentationszwecken relevant, da die Datenrichtigkeit an einen in der Vergangenheit liegenden Zeitpunkt geknüpft ist.

Die Beschwerdeführerin behauptet diesbezüglich, dass der Zweck der Datenverarbeitung ausschließlich darin gelegen sei, der XXXX zu ermöglichen, die Antwort der Einbringlichkeitsanfrage korrekt zuzuordnen. Dem kann bereits deshalb nicht gefolgt werden, da sich die Datenverarbeitung der Beschwerdeführerin nicht alleine in dem von ihr genannten Zweck erschöpft haben kann, da sie ansonsten keine Auskunft zum „Score“ der mitbeteiligten Partei, im Zusammenhang mit der Einbringungswahrscheinlickeit einer konkret bezifferten Forderung, errechnen hätte können. Darüber hinaus ist der Datenschutzbehörde zuzustimmen, dass im Datenbestand der Beschwerdeführerin, zum festgestellten Abfragezeitpunkt, die in Frage stehende Adresse im Zusammenhang mit der mitbeteiligten Partei, gespeichert war, da ansonsten keine fehlerhafte Identifizierung erfolgen hätte können. Der Zweck der Datenverarbeitung lag im von der Beschwerdeführerin verfolgten Geschäftsmodell, nämlich der Erbringung einer durch Dritte entgeltlich erworbenen Dienstleistung, welche von der Beschwerdeführerin angeboten wird (Bonitäts- bzw. Scoringdienste zu konkreten Personen).

Vor diesem Hintergrund kann die Richtigkeit der in Frage stehenden personenbezogenen Daten nur am Zweck einer Bonitäts- bzw. Scoreauskunft gemessen werden. Da die mitbeteiligte Partei an der genannten Adresse nicht wohnte oder gemeldet war, dies somit im Hinblick auf den konkreten Zweck nicht der Realität entsprach, waren die verarbeiteten personenbezogenen Daten im Ergebnis falsch bzw. unrichtig.

Der EuGH hat – in C-131/12 (Google Spain) Rz 71 – zu den Bestimmungen Art. 6 und 7 der Richtlinie 95/46 , deren Rechtsprechung jedoch auf die Art. 5 und 6 DSGVO übertragbar ist, ausgesprochen, dass jede Datenverarbeitung in Bezug auf die Datenqualität allen Verarbeitungsgrundsätzen entsprechen muss (vgl. auch im Rahmen der DSGVO ErwGr 71 sechster Satz DSGVO).

Dies war – aufgrund der Unrichtigkeit der verarbeiteten Daten – nicht der Fall.

Die Verantwortliche hat gemäß Art. 5 Abs. 1 lit. d und Abs. 2 DSGVO zu gewährleisten und nachzuweisen, dass die von ihr verarbeiteten personenbezogenen Daten „sachlich richtig und erforderlichenfalls auf dem neuesten Stand“ sind; Hierfür sind „angemessene Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden“.

Dies bedeutet im Umkehrschluss, dass im Fall der Ergreifung aller angemessenen Maßnahmen durch eine Verantwortliche, der Verarbeitungsgrundsatz der Richtigkeit nicht verletzt ist und eine monierte Verletzung im Recht auf Geheimhaltung nicht vorliegt.

Um diesem Maßstab gerecht zu werden, hat die Verantwortliche bereits bei Erhebung der Daten dafür Sorge zu tragen, dass die Daten richtig sind und im Fall von Hinweisen auf Unrichtigkeiten, diesen nachzugehen. Die Beschwerdeführerin musste somit aufgrund des Löschbegehrens der mitbeteiligten Partei vom 27.02.2018 zumindest begründete Zweifel an der Richtigkeit der zur mitbeteiligten Partei verarbeiteten Adresse haben.

Es sind angemessene technische und organisatorische Maßnahmen umzusetzen, die dazu führen, dass die Richtigkeit der verarbeiteten Daten überprüft wird und diese ggf richtiggestellt werden. Es muss im Rahmen der Verhältnismäßigkeit eine Abwägung getroffen werden, wobei der damit verbundene Aufwand, der Verarbeitungszweck und das Risiko zu berücksichtigen sind, welches sich für den Betroffenen im Hinblick auf den Verarbeitungszweck aus der Verarbeitung unrichtiger Daten ergeben kann. Dies darf aber nicht dazu führen, dass eine Richtigkeit zu jedem beliebigen Zeitpunkt vorliegen muss, sondern kann es nur sachgerecht sein, die praktische Durchführbarkeit bzw. die Geschwindigkeit, mit der die Daten aktuell zu halten sind und ebenso den Aufwand, den dies verursacht, auf ein zumutbares Maß zu beschränken.

Für den vorliegenden Fall ergibt sich, dass die mitbeteiligte Partei ein sogenannter „Datenzwilling“ ist. Die Beschwerdeführerin geht der Tätigkeit einer Kreditauskunftei, welche auch den Zweck der Datenverarbeitungen darstellt, nach. Diese Datenverarbeitungen haben einen maßgeblichen Einfluss auf die betroffenen Personen, wie auch im Fall der mitbeteiligten Partei, gegen welche unberechtigte Forderungsbetreibungen geführt wurden. Auch das Risiko einer potenziellen Schädigung der betroffenen Person ist erheblich, da ein objektiv falsches Bild über die finanzielle Lage einer Person regelmäßig mit einer Beeinträchtigung des wirtschaftlichen Fortkommens verbunden ist. Zudem übermittelte die Beschwerdeführerin eine – irrtümlich – auf die mitbeteiligte Partei bezogene Antwort vom 14.06.2018 auf eine Dienstleistungsanfrage der XXXX , obwohl die mitbeteiligte Partei mit einem Löschbegehren vom 27.02.2018 auf die Unrichtigkeit der zu ihr verarbeiteten Adresse bereits eindeutig hingewiesen hat.

Der erkennende Senat geht in der Folge davon aus, dass aufgrund der vorliegenden Sachverhaltskonstellation eine – über den reinen Abgleich von Namen, Adressen und Anschriften hinausgehende – praktische Durchführbarkeit von angemessene technische und organisatorische Maßnahmen gegeben gewesen wäre, welche keinen, ein zumutbares Maß an Aufwand, überschießenden Arbeitsanfall verursacht hätte. Die Beschwerdeführerin hat das Erbringen von entsprechenden Belegen für solche geeigneten Maßnahmen unterlassen und auch deren Durchführung zu keinem Zeitpunkt behauptet.

Insbesondere aufgrund der Tatsache, dass die Beschwerdeführerin (theoretisch) Datensätze zu allen Einwohnern Österreichs verarbeitet und ihr die damit einhergehende Problematik von „Datenzwillingen“ bekannt ist, hätte hinsichtlich des hier offenbar oder zumindest potenziell vorliegenden Falles – spätestens nach der erfolgten Anzeige seitens der mitbeteiligten Partei eine erweiterte Überprüfung stattfinden müssen. Dies z.B. durch entsprechende Informationsschreiben an die betroffene Person.

Der Vollständigkeit halber ist festzuhalten, dass das Fehlen einer großen Anzahl an ähnlichen „Datenzwillings“-Beschwerden beispielsweise bei Telekom- oder Mobilfunkanbietern, Energieversorgern oder Tageszeitungen (via Abonnements) - die eine ähnliche Stammdatengrundlage und (theoretisch) ebenso große Zielgruppe haben – zeigt, dass andere Unternehmen erfolgreich Maßnahmen in ihren Geschäftsprozessen implementieren konnten, die solche Vorfälle zu verhindern im Stande sind. Dies regelmäßig durch einen zusätzlichen Parameter, wobei anzumerken ist, dass das Geschäftsmodell der Beschwerdeführerin im Vergleich zu den genannten Unternehmen der Handel mit beziehungsweise die Verarbeitung von Daten ist.

Im Fall der mitbeteiligten Partei hätte jedenfalls aufgrund des mehrere Monate zuvor eingebrachten Löschbegehrens und dem in der Folge dazu anhängigen Datenschutzverfahren, die Beschwerdeführerin eine solche Klärung veranlassen und zumindest zwischenzeitlich die Verknüpfung von Person und Adresse aussetzen müssen. Eine eventuelle vorübergehende geringfügige (einzelfallbezogene) Beeinträchtigung der eigenen Geschäftstätigkeit kann nicht als Argument gegen dieses Aussetzen herangezogen werden.

Zu B) Zulässigkeit der Revision:

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, da es – hinsichtlich der Pflicht eines Verantwortlichen, angemessene technische und organisatorische Maßnahmen zu treffen, die dazu führen, dass die Richtigkeit der verarbeiteten personenbezogenen Daten überprüft und diese gegebenenfalls richtiggestellt werden – an einer Rechtsprechung des Verwaltungsgerichtshofes fehlt.