BVwG W176 2286887-1

Spruch:

W176 2286887-1/16E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. NEWALD als Vorsitzenden und die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB als Beisitzer über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 05.02.2024, Zl. D124.0174/24, 2024-0.092.195 (mitbeteiligte Partei: XXXX ), wegen Verletzung im Recht auf Auskunft zu Recht:

A) Die Beschwerde wird mit der Maßgabe als unbegründet abgewiesen, dass Spruchpunkt 2. des angefochtenen Bescheides wie folgt zu lauten hat:

„ XXXX wird aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution dem Antrag von XXXX auf Auskunft über ihre in Art. 15 Abs. 1 lit. c), d), e), und g) DSGVO genannten Rechte bzw. Informationen gemäß Art. 12 Abs. 3 i.V.m Art. 15 Abs. 1 DSGVO zu entsprechen.“

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Schreiben vom 12.01.2024 erhob XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdeführerin vor der Datenschutzbehörde, im Folgenden: MP) eine Datenschutzbeschwerde bei der Datenschutzbehörde (auch: belangte Behörde) gegen XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Beschwerdegegner vor der belangten Behörde, im Folgenden: BF), in der die MP eine Verletzung in ihrem Recht auf Auskunft geltend machte, weil der BF sich geweigert habe, dem Antrag der MP auf Auskunft vom 09.01.2024 zu entsprechen. Der BF habe der MP auf den Antrag mitgeteilt, dass sie tun könne, was sie wolle; er werde die Informationen nicht preisgeben.

Hintergrund des Auskunftsantrages sei eine gegen die MP gerichtete Stufenklage, in welcher der BF unberechtigte Namensabfragen der MP im Grundbuch durchgeführt habe. Diese Details seien historisch, doppelt bzw. keiner dritten greifbaren Person bekannt. Der BF habe dem Anwalt der MP mitgeteilt, dass er seinen Informanten sicherlich nicht preisgeben werde.

Der Beschwerde beigelegt war ein mit „Antrag gemäß § 44 DSG auf Auskunft“ betiteltes, ausgefülltes, unterschriebenes und mit 09.01.2024 datiertes Formular, das die MP als Antragstellerin und den BF als Verantwortlichen benennt, und dem in der Wiedergabe von § 44 Abs. 1 der Text der Ziffern 3., 4., 6.und 7. farbig lasiert ist.

2. Mit Schriftsatz vom 25.01.2024 nahm der BF zum Vorbringen der MP Stellung. Zusammengefasst führte er aus, dass die an ihn ergangene Sendung der MP lediglich ein Formular lautend auf „Antrag gemäß § 44 DSG“ enthalten habe, dessen Überschrift und einige (weitere) Punkte orange angefärbt gewesen seien. Da der BF wisse, dass die MP von RA XXXX vertreten sei, habe er diesem geantwortet, dass er seiner Mandantin ausrichten könne, dass sie tun könne, was sie wolle. Nach seiner festen Überzeugung habe er keine Rechtsverletzung begangen, und zwar im allfälligen Auskunftsrecht, weil er keine entsprechende Anfrage erhalten habe.

3. Mit Schreiben vom 01.02.2024 replizierte die MP, dass , sofern es ein Problem sein sollte, dass sie den Antrag gemäß § 44 DSG und nicht das Formular gemäß Art. 15 DSGVO verwendet habe, es möglich sei, dieses nachzureichen. Der BF habe ihre Daten im Akt XXXX unter der Aktenzahl XXXX greifbar.

4. Mit dem im Spruch genannten Bescheid vom 05.02.2024 gab die belangte Behörde der Beschwerde der MP statt und stellte fest, dass der BF die MP dadurch im Recht auf Auskunft verletzt habe, indem er deren Auskunftsbegehren nicht entsprochen habe (Spruchpunkt 1). Dem BF wurde aufgetragen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution dem Antrag der MP auf Auskunft gemäß Art. 12 Abs. 3 iVm Art. 15 Abs. 1 DSGVO zu entsprechen (Spruchpunkt 2).

Begründend führte die belangte Behörde im Wesentlichen Folgendes aus:

Es stelle sich beschwerdegegenständlich die Frage, ob der BF die MP in ihrem Recht auf Auskunft verletzt habe, indem er ihrem Auskunftsantrag vom 09.01.2024 nicht entsprochen habe. Bei der Beurteilung, ob ein für den Verantwortlichen als auf ein bestimmtes Recht nach der DSGVO erkennbares Begehren vorliege, sei dieses auf seinen Inhalt zu prüfen, wobei jener Maßstab anzulegen sei, der auch für einseitige privatrechtliche Willenserklärungen gelte.

Demnach sei der Wortlaut und das Verständnis der Erklärung aus objektiver Sicht, nämlich so wie sie der Empfänger nach ihrem Wortlaut und ihrem Zweck bei objektiver Betrachtung verstehen konnte, zu betrachten (unter Verweis auf BVwG 03.05.2018, W256 2190554-1, zum Auskunftsbegehren nach § 26 DSG 2000).

Der BF habe im gegenständlichen Fall als Rechtsanwalt eine Klage gegen die MP eingebracht und sohin konsequenterweise auch personenbezogene Daten der MP verarbeitet. Auf ihr Auskunftsbegehren über die Verarbeitung ihrer personenbezogenen Daten hin habe der BF der MP weder Auskunft erteilt noch sich auf Auskunftsverweigerungsgründe gestützt. Zwar habe er darauf hingewiesen, dass das von der MP gestellte Begehren als „Antrag gemäß § 44 DSG“ bezeichnet war, jedoch sei es nach den zuvor dargestellten Maßstäben klar gewesen, dass diese Auskunft über die sie betreffenden verarbeiteten personenbezogenen Daten haben wollte. Ein Vergreifen in der Rechtsnorm könne der MP diesbezüglich nicht zur Last gelegt werden.

Nach Art. 58 Abs. 2 lit. c DSGVO sei dem BF als Beschwerdegegner daher im Ergebnis aufzutragen gewesen, dem Antrag der MP auf Auskunft ihrer personenbezogenen Daten zu entsprechen bzw. bekannt zu geben, weshalb eine Auskunftserteilung in einzelnen Punkten gegebenenfalls (z.B. aufgrund bestehender Ausnahmen) nicht möglich sei, und scheine eine Frist von vier Wochen angemessen, um dem Leistungsauftrag zu entsprechen.

5. Gegen diesen Bescheid erhob der BF fristgerecht das Rechtsmittel der Beschwerde und führte darin zusammengefasst aus, dass der Antrag der MP sich auf § 44 DSG stütze, der sich im 3. Hauptstück des Datenschutzgesetzes befinde und sich mit „der Verarbeitung personenbezogener Daten zum Zwecke der Sicherheitspolizei, einschließlich des Verfassungsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzuges“ beschäftige. Die MP habe nicht erläutert, was sie vom BF wissen wolle, sodass er annehmen müsse, es gehe ihr wirklich um eine Auskunft nach § 44 DSG, die er ihr nicht geben könne. Wenn der BF wisse, dass die MP anwaltlich vertreten sei, dann könne es nicht seine Aufgabe sein, sie über ihre Anträge zu belehren. Wenn die MP Auskunft vom BF haben wolle, welche Daten er über sie gespeichert habe, könne sie diese Frage genauso stellen, freilich ohne einen Rechtsgrund zu nennen. Selbstverständlich hätte sie dann von ihm vollständig Auskunft erhalten.

Jetzt lese der BF unter Punkt A. 3. des Bescheides, dass die MP ein Formular nach Art. 15 DSGVO nachreichen würde, wenn das verwendete Formular ein Problem darstellen würde.

Hätte die belangte Behörde dem BF dieses Schreiben der MP zur Verfügung gestellt – wozu sie im Rahmen des zu gewährenden Parteiengehöres verpflichtet gewesen wäre –, hätte der BF der MP freilich eine Auskunft erteilt, nämlich so wie er es jetzt unter den Punkten 3. und 5. der Beschwerde mache.

Unter Punkt 3. wurde ausgeführt, der BF führe im Auftrag und mit Vollmacht von XXXX dem Bruder der MP, eine Pflichtteilsergänzungsklage gegen diese. In diesem Verfahren sei der BF als Parteienvertreter verpflichtet, Eingaben mit dem Web-ERV zu machen. Es seien daher alle seine Schriftsätze und in diesem Verfahren vorgelegten schriftlichen Beweismittel bei ihm gespeichert. Da das Verfahren noch im Laufen sei, müsse die Speicherung noch aufrecht bleiben bis zum Ende der Frist der Aufbewahrungspflicht des BF.

Unter Punkt 5. der Bescheidbeschwerde wurde ausgeführt, es sei sehr klar, welche Daten der BF über die MP gespeichert habe, nämlich alle seine Schriftsätze und alle vorgelegten Beweismittel im Verfahren des LG XXXX Zl XXXX weiters die Disziplinaranzeige der MP vom 04.04.2023, das Schreiben der MP vom 29.08.2023 an den Untersuchungskommissär samt beiliegendem Schreiben des Bundesministeriums für Justiz (im Folgenden: BMJ) vom 28.03.2023. Alle hier erwähnten Schriftstücke kenne die MP auf Punkt und Beistrich, darüber hinaus habe er keine Speicherungen vorgenommen. Der Zweck der Speicherung sei natürlich das Führen der Verfahren, die beide noch offen seien.

6. Mit Schreiben vom 13.02.2024 legte die belangte Behörde dem Bundesverwaltungsgericht die Bescheidbeschwerde samt Verwaltungsakt zur Entscheidung vor. In der dabei abgegebenen Stellungnahme beschränkte sich die belangte Behörde darauf, das Beschwerdevorbringen zur Gänze zu bestreiten und vollinhaltlich auf den angefochtenen Bescheid zu verweisen.

7. Mit Schriftsatz vom 26.02.2024 brachte der BF vor, dass seine Mitteilung an den Rechtsvertreter der MP im Zivilverfahren, dieser auszurichten, dass sie tun könne, was immer sie wolle, von der belangten Behörde offenbar missverstanden worden sei; er habe damit nicht gemeint, er werde die Auskunft nicht erteilen, sondern dass er keine Angst vor den – von der MP für den Fall, dass die Auskunft nicht in der gesetzlichen Frist erteilt werde – angedrohten Konsequenzen einer „Anzeige bei der DSB“ habe bzw. zu haben brauche.

8. Mit Schriftsatz vom 28.02.2024 replizierte die MP darauf und brachte im Wesentlichen vor, aus dem Einstellungsbeschluss (des Disziplinarrats) der XXXX Rechtsanwaltskammer vom 18.01.2024 ergebe sich, dass sich der BF in dem (über ihre Anzeige hin) eingeleiteten Verfahren dahingehend gerechtfertigt habe, dass er die Informationen, die er über das Liegenschaftsvermögen der MP gehabt habe, von einer anderen Person erhalten habe, die er aufgrund der Schweigepflicht nicht nennen werde. Überdies lege die MP „[f]ür alle Fälle […] das auch [vom BF] geforderte ‚korrekte Formular‘“ vor, wobei sie ein ausgefülltes (von der belangten Behörde bereitgestelltes) Formular „Antrag auf AUSKUNFT gemäß Art. 15 DSGVO“ übermittelte, in dem sie im Freitext im Wesentlichen auf die Frage Bezug nahm, vorher der BF Kenntnis über ihre aktuellen und historischen Grundbuchsauszüge habe.

9. Mit Schreiben vom 21.05.2024 teilte die MP mit, dass das zur Zl. 51 BAZ 56/24b von der Staatsanwaltschaft XXXX auf Strafzeige des BF wegen § 297 Abs. 1 1. Fall StGB gegen sie geführte Verfahren eingestellt worden sei und das Verfahren betreffend die Stufenklage durch einen Vergleich beendet worden sei. Ihr Auskunftsbegehren gegen den BF halte sie jedoch aufrecht.

10. Mit Schriftsatz vom 23.09.2024 erhob der BF einen Fristsetzungsantrag gemäß Art. 133 Abs. 1 Z 2 B-VG an den Verwaltungsgerichtshof. Darin brachte er in der Sache ergänzend vor, dass er zu dem – ausschließlich auf § 44 DSG gestützten – Formularantrag auf Auskunft nichts zu sagen habe, da er keine Behörde sei.; auch sei ein Umdeuten des Antrages der MP deswegen nicht möglich, weil diese ja nur einen Rechtsgrund genannt und diesen auch sehr genau und exakt bezeichnet habe. Es sei dem BF daher nicht erlaubt, ihren Antrag umzudeuten (Verweis auf den OGH-Rechtssatz RS0037610).

11. Mit verfahrensleitender Anordnung vom 15.10.2024, Zl. Fr 2024/04/0010-2, trug der Verwaltungsgerichtshof in Verfahren über den Fristsetzungsantrag des BF dem Bundesverwaltungsgericht auf, binnen acht Wochen die Entscheidung zu erlassen und eine Ausfertigung, Abschrift oder Kopie derselben sowie eine Kopie des Nachweises über die Zustellung der Entscheidung an die antragstellende Partei dem Verwaltungsgerichtshof vorzulegen oder anzugeben, warum eine Verletzung der Entscheidungspflicht nicht vorliege.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Der BF ist Rechtsanwalt in XXXX und brachte im Auftrag von XXXX , dem Bruder der MP, eine Pflichtteilsergänzungsklage in Form einer Stufenklage ein. Das betreffende, beim Landesgericht XXXX zu Zl. XXXX geführte Verfahren (in weiterer Folge: „Zivilverfahren“) wurde zwischenzeitlich durch einen Vergleich beendet.

2. Die MP wandte sich mit E-Mail vom 04.04.2023 wegen des Verdachts, dass der BF im Zusammenhang mit dem Zivilverfahren beim Bezirksgericht XXXX unberechtigt eine Namensabfrage nach §§ 5 und 6a Grundbuchsumstellungsgesetz (GUG) die MP betreffend durchgeführt habe, an die für den BF zuständige XXXX Rechtsanwaltskammer; denn er habe der Klage Grundbuchauszüge betreffend die MP beigelegt. Dieses Verfahren wurde mit Beschluss des Disziplinarrats der Rechtsanwaltskammer vom 18.01.2024 eingestellt. Begründet wurde die Einstellung damit, dass aufgrund der Auskunft des Bundesministeriums für Justiz (BMJ) mit Schreiben vom 28.03.2023 sowie aufgrund der Rechtfertigung des BF, wonach er die Informationen über das Liegenschaftsvermögen der BF von einer anderen Person erhalten habe, die er aufgrund der Schweigepflicht jedoch nicht bekanntgeben werde, anzunehmen sei, dass der BF keine Abfrage aus dem Personenverzeichnis der Grundstücksdatenbank vorgenommen habe.

3. Die MP stellte am 09.01.2024 einen „Antrag gemäß § 44 DSG auf Auskunft“ an den BF unter Verwendung eines Formularmusters der belangten Behörde. Darin wird der gesamte Wortlaut des § 44 DSG („Auskunftsrecht der betroffenen Person“) wiedergegeben, wobei die MP mehrere Absätze und Ziffern des § 44 DSG zusätzlich farblich markierte. Die MP ersuchte darin um Antwort an ihre Postanschrift. Der Antrag enthielt kein, über die Befüllung der Formularfelder (zu Antragssteller und dessen Identität [Hinweis, dass die MP dem BF aus der „Verlassenschaftssache XXXX “ bekannt sei], Verantwortlichem und Art der Kommunikation [die MP wolle nicht auf elektronischen Weg unterrichtet werden, da sie einen „Beweis für weitere Maßnahmen“ anstrebe]) hinausgehendes, eigenes (frei formuliertes) Vorbringen. Es wurde auch keine andere Rechtsnorm als § 44 DSG als Rechtsgrundlage angeführt, insbesondere nicht § 1 Abs. 3 DSG oder eine Bestimmung der DSGVO.

4. Die MP war im Zivilverfahren rechtsanwaltlich vertreten. Dem BF als Rechtsvertreter des Klägers in dieser Sache war bekannt, dass und von wem die MP in diesem Verfahren vertreten wurde.

5. Der BF wandte sich mit E-Mail vom 12.01.2024 an den Rechtsvertreter der MP im Zivilverfahren und führte darin aus, er gehe davon, ihr aus standesrechtlichen Gründen nicht direkt antworten zu können, und ersuche daher den Rechtsvertreter der MP, dieser auszurichten, dass sie tun könne, was immer sie wolle.

6. Der BF hat der MP bis zum Abschluss des Verfahrens vor der belangten Behörde keine Auskunft über die von ihm verarbeiteten personenbezogenen Daten der MP erteilt.

7. In seiner Bescheidbeschwerde vom 09.02.2024 gab der BF bekannt, dass er folgende Daten betreffend die MP speichere:

 alle seine Schriftsätze und alle vorgelegten Beweismittel im Verfahren des Landesgerichts XXXX zu Zl. XXXX in dem er im Auftrag und mit Vollmacht von XXXX eine Pflichtteilsergänzungsklage gegen die MP führe;

 die gegen ihn gerichtete Disziplinaranzeige der MP vom 04.04.2023;

 das Schreiben der MP vom 29.08.2023 an den Untersuchungskommissär des Disziplinarverfahrens samt beiliegendem Schreiben des BMJ vom 28.03.2023.

Überdies führte er im Verfahren betreffend die Pflichtteilsergänzungsklage gegen die MP an, er sei als Parteienvertreter verpflichtet, Eingaben mit mittels Web-ERV zu machen. Es seien daher alle seine Schriftsätze und in diesem Verfahren vorgelegten schriftlichen Beweismittel bei ihm gespeichert. Da das Verfahren noch im Laufen sei, müsse die Speicherung noch aufrecht bleiben, bis zum Ende der Frist der Aufbewahrungspflicht des BF. Alle hier erwähnten Schriftstücke kenne die MP auf Punkt und Beistrich, darüber hinaus habe er keine Speicherungen vorgenommen. Der Zweck der Speicherung sei das Führen der Verfahren, die beide noch offen seien.

2. Beweiswürdigung:

Die getroffenen Feststellungen ergeben sich aus dem vorgelegten Verwaltungsakt und dem gegenständlichen Gerichtsakt.

Dass der BF bis zum Abschluss des Verfahrens vor der belangten Behörde der MP keine Auskunft über die von ihm verarbeiteten personenbezogenen Daten der MP erteilt hat, wurde bereits von der belangten Behörde zutreffend festgestellt. Dem ist der BF in der Beschwerde auch nicht entgegengetreten; vielmehr führt er aus, die MP habe in ihrem Antrag auf Auskunft den Rechtsgrund des § 44 DSG genannt und habe er ihr eine solche Auskunft nicht geben können.

3. Rechtliche Beurteilung:

Zu Spruchpunkt A) Abweisung der Beschwerde:

3.1.1. Die maßgeblichen Regelungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO), ABl. L 119 vom 4. Mai 2016, S. 1, lauten auszugsweise:

„Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(...)

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.“

Erwägungsgrund 63 zur DSGVO lautet:

„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dies schließt das Recht betroffene Personen auf Auskunft über ihre eigenen gesundheitsbezogenen Daten ein, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.“

Die maßgeblichen Bestimmungen des Datenschutzgesetzes, BGBl. Nr. 165/1999 idF BGBl. I Nr. 70/2024, lauten auszugsweise:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

(...)

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. Dies gilt nicht, soweit ein Recht auf Beschwerde beim Parlamentarischen Datenschutzkomitee gemäß § 35f Abs. 1 besteht.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(...)

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(...)

3. Hauptstück

Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei einschließlich des Verfassungsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs

(...)

§ 36. (1) Die Bestimmungen dieses Hauptstücks gelten für die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung.

(...)

Auskunftsrecht der betroffenen Person

§ 44. (1) Jede betroffene Person hat das Recht, vom Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie das Recht, Auskunft über personenbezogene Daten und zu folgenden Informationen zu erhalten:

1. die Zwecke der Verarbeitung und deren Rechtsgrundlage,

2. die Kategorien personenbezogener Daten, die verarbeitet werden,

3. die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen,

4. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,

5. das Bestehen eines Rechts auf Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung personenbezogener Daten der betroffenen Person durch den Verantwortlichen,

6. das Bestehen eines Beschwerderechts bei der Datenschutzbehörde sowie deren Kontaktdaten und

7. Mitteilung zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.

(2) Einschränkungen des Auskunftsrechts sind nur unter den in § 43 Abs. 4 angeführten Voraussetzungen zulässig.

(3) Im Falle einer Nichterteilung der Auskunft gemäß Abs. 2 hat der Verantwortliche die betroffene Person unverzüglich schriftlich über die Verweigerung oder die Einschränkung der Auskunft und die Gründe hierfür zu unterrichten. Dies gilt nicht, wenn die Erteilung dieser Informationen einem der in § 43 Abs. 4 genannten Zwecke zuwiderliefe. Der Verantwortliche hat die betroffene Person über die Möglichkeit zu unterrichten, Beschwerde bei der Datenschutzbehörde einzulegen.

(4) Der Verantwortliche hat die Gründe für die Entscheidung über die Nichterteilung der Auskunft gemäß Abs. 2 zu dokumentieren. Diese Angaben sind der Datenschutzbehörde zur Verfügung zu stellen.

(5) In dem Umfang, in dem eine Datenverarbeitung für eine betroffene Person hinsichtlich der zu ihr verarbeiteten Daten von Gesetzes wegen einsehbar ist, hat diese das Recht auf Auskunft nach Maßgabe der das Einsichtsrecht vorsehenden Bestimmungen. Für das Verfahren der Einsichtnahme (einschließlich deren Verweigerung) gelten die näheren Regelungen des Gesetzes, das das Einsichtsrecht vorsieht. In Abs. 1 genannte Bestandteile einer Auskunft, die vom Einsichtsrecht nicht umfasst sind, können dennoch nach diesem Bundesgesetz geltend gemacht werden.“

§ 24 DSG soll betroffenen Personen ein Recht einräumen, etwaige Verletzungen von Rechten, die ihm aus dem DSG oder der DSGVO erwachsen, durchzusetzen (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG [2018] § 24 Rz 7).

Der Verwaltungsgerichtshof sprach mit Verweis auf seine Grundsatzentscheidung vom 28.03.2006, zu Zl. 2004/06/0125, in der er die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneinte, bereits zum Datenschutzgesetz 2000 (DSG 2000) BGBl I Nr. 1999/1965, in der Fassung BGBl I Nr. 13/2005, aus, dass ein Recht auf Feststellung über in der Vergangenheit erfolgte Verletzungen des Rechtes auf Auskunft aus § 31 Abs. 1 DSG 2000 nicht ableitbar ist (VwGH 27.09.2007 2006/06/0330). Wenngleich diese Entscheidung auf Grund des geänderten Gesetzeswortlauts nicht unmittelbar auf die neue Rechtslage übertragbar ist, können die tragenden Überlegungen des Verwaltungsgerichtshofs – die im Wesentlichen den zuvor ausgeführten Überlegungen entsprechen – auf die neue Rechtslage übertragen werden (so im Ergebnis wohl auch VwGH 19.10.2022, Ro 2022/04/0001, Rz 31, der unter Bezugnahme auf seine Rechtsprechung zum DSG 2000 ein Recht auf Feststellung vergangener Rechtsverletzungen in Bezug auf Verletzungen im Recht auf Geheimhaltung bejaht, diese Fälle aber – ebenfalls unter Bezugnahme auf seine Rechtsprechung zum DSG 2000 – ausdrücklich von vergangenen Verletzungen im Recht auf Auskunft unterscheidet; vgl. ferner VfGH 26.06.1991, VfSgl. Nr. 12.768).

Ebenso spricht die DSGVO, in deren Anwendungsbereich betroffene Personen Beschwerden gemäß § 24 DSG erheben können, nicht gegen diese Interpretation. Auch Art. 77 DSGVO führt an, dass betroffene Personen das Recht auf Beschwerde bei einer Aufsichtsbehörde haben, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung „verstößt“. In diesem Sinn ist auch § 24 Abs. 1 DSG formuliert.

Dies bedingt jedoch, dass eine in der Vergangenheit stattgefundene Rechtsverletzung nicht vollständig beseitigt wurde, oder beseitigt werden konnte, sondern in irgendeiner Form noch fortwirkt. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht (vgl. VwGH 06.03.2024, Ro 2021/04/0027).

Der Gegenstand eines antragsbedürftigen Verfahrens wird grundsätzlich durch den Antrag festgelegt (vgl. VwGH 24.05.2022, Ro 2022/04/0011). Was Gegenstand des Verfahrens ist, bestimmt somit in erster Linie der Antragsteller (vgl. VwGH 23.10.2017, Ra 2017/04/0082, Rn. 18, mwN).

3.2. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:

3.2.1. Die MP hat ihr Auskunftsbegehren vom 09.01.2024 an den BF durch Verwendung des betreffenden Musterformulars der belangten Behörde auf § 44 DSG gestützt. Dieser regelt – als Teil des 3. Hauptstücks des DSG – das Auskunftsrecht der betroffenen Person lediglich im Zusammenhang mit der Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung (vgl. § 36 Abs. 1 DSG) und stellte daher keine taugliche Rechtsgrundlage für ein Auskunftsbegehren der MP an den BF dar.

Wenn der – nicht nur rechtskundige, sondern sogar als Rechtsanwalt tätige – BF jedoch in seiner Beschwerde vermeint, die MP habe in ihrem Auskunftsbegehren nicht erläutert, was sie vom BF wissen wolle, sodass er annehmen habe müssen, es gehe ihr wirklich um eine Auskunft nach § 44 DSG, die der BF ihr nicht geben könne, ist dem Folgendes entgegenzuhalten:

Zunächst ergibt sich aus dem Auskunftsbegehren der MP, dass sie darin den kompletten Wortlaut des § 44 DSG, samt dessen Überschrift „Auskunftsrecht der betroffenen Person“ wiedergegeben und dabei einzelne Bestimmungen, wie jene, wonach der Verantwortliche der betroffenen Person „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind (…)“ (Abs. 1 Z 3), „… die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer“ (Abs. 1 Z 4), „Mitteilung zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten (Abs. 1 Z 7), sowie, dass „Einschränkungen des Auskunftsrechts sind nur unter den … angeführten Voraussetzungen zulässig [sind]“, farblich markiert hat.

Wenngleich die MP sich offensichtlich in der Rechtsgrundlage geirrt hat, ist durch Anführung und – infolge der farblichen Markierung – bekräftigende Bezugnahme auf diese Bestimmungen zum „Auskunftsrecht der betroffenen Person“ unmissverständlich, dass die MP gegenüber dem BF ihr Recht auf Auskunft darüber, welche Daten dieser über sie verarbeite, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden, geltend machen wollte, wie es ihr gemäß § 1 Abs. 3 DSG und Art. 15 DSGVO zusteht. Überdies ist aus dem verwendeten Formularmuster der belangten Behörde (einschließlich des darauf abgedruckten Wortlauts des § 44 DSG) selbst auch nicht ersichtlich, dass § 44 DSG lediglich das Auskunftsrecht im Bereich der Sicherheitsverwaltung regelt.

Es kann daher der belangten Behörde nicht entgegengetreten werden, wenn sie dazu in ihrem Bescheid ausführt, dass bei „der Beurteilung, ob ein für den Verantwortlichen als auf ein bestimmtes Recht nach der DSGVO erkennbares Begehren vorliegt“, insbesondere „der Wortlaut und das Verständnis der Erklärung aus objektiver Sicht, nämlich so wie sie der Empfänger nach ihrem Wortlaut und ihrem Zweck bei objektiver Betrachtung verstehen konnte, zu betrachten“ seien und dies im konkreten Fall dahingehend beurteilt hat, dass ausgehend vom Antrag der MP klar gewesen sei, dass diese Auskunft über die sie verarbeiteten personenbezogenen Daten haben wollte und ihr ein Vergreifen in der Rechtsnorm diesbezüglich nicht zur Last gelegt werden könne.

Soweit der BF dazu in seinem Fristsetzungsantrag unter Verweis auf die Rechtsprechung des Obersten Gerichtshofes (RS0037610) ergänzend vorbringt, er habe den auf § 44 DSG bezugnehmenden Antrag nicht umdeuten können, weil die MP ja nur (diesen) einen Rechtsgrund genannt und auch sehr genau und exakt bezeichnet habe, ist dem entgegenzuhalten, dass dies insofern an der Sache vorbeigeht, als sich die betreffende Rechtsprechung auf die Bindung des Gerichts nach der ZPO an einen bestimmten in der Klage angeführten Rechtsgrund bezieht und daher für die Auslegung des gegenständlich interessierenden Auskunftsbegehrens nicht von Relevanz ist.

Die MP, die dem BF bereits als Beklagte des Zivilverfahrens bekannt war, hat bereits durch ihr Schreiben an die für den BF zuständige Rechtsanwaltskammer vom 04.04.2023 sowie ihr (nicht im Akt enthaltenes aber von beiden Parteien erwähntes) Schreiben an das BMJ hinsichtlich einer Namensabfrage nach dem GUG, – für den BF klar erkennbar – aufgezeigt hat, dass sie von einer unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten durch diesen ausgeht. Es muss daher angenommen werden, dass der BF das Auskunftsbegehren der (rechtsunkundigen) MP nur so verstehen konnte, dass sie von ihm Auskunft iSd § 1 Abs. 3 DSG bzw. Art. 15 DSGVO begehrt.

Der BF die Erteilung jeglicher Auskunft lediglich wegen Vergreifens in der Rechtsgrundlage zu verwehren, steht überdies in diametralem Widerspruch zu Erwägungsgrund 63 der DSGVO, wonach eine betroffene Person ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, „problemlos […] wahrnehmen können“ solle, „um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können“. Dies ist gerade auch vor dem Hintergrund von Bedeutung, dass die BF die Rechtmäßigkeit der Verarbeitung ihrer (Grundbuch-)Daten durch den BF schon zuvor angezweifelt hat, wobei es am BF gelegen wäre, diesfalls – im Rahmen einer Auskunftserteilung – etwaige gesetzliche Verschwiegenheitspflichten geltend zu machen. Jedoch darf selbst in einem solchen Fall „der betroffenen Person [nicht] jegliche Auskunft verweigert“ werden (vgl. ErwGr 63, sechster Satz).

Da der bis zum Abschluss des Verwaltungsverfahrens der MP keinerlei Auskunft erteilt hat, hat die belangte Behörde der Datenschutzbeschwerde der MP daher (für den Zeitpunkt der Erlassung des angefochtenen Bescheides) zu Recht in diesem Punkt stattgegeben und festgestellt, dass der BF die MP dadurch im Recht auf Auskunft verletzt hat, indem er dem Auskunftsbegehren der MP nicht entsprochen hat.

Daraus folgt (wiederum für den Zeitpunkt der Erlassung des angefochtenen Bescheides ) auch die Rechtmäßigkeit des Leistungsauftrages auf Erteilung der geforderten Auskunft bzw. Bekanntgabe, weshalb eine solche in einzelnen Punkten gegebenenfalls nicht möglich ist. Auch die erteilte Leistungsfrist von vier Wochen erscheint dem erkennenden Senat für die Erfüllung dieser Verpflichtung angemessen gewählt worden zu sein.

3.2.2. In seiner Bescheidbeschwerde vom 09.02.2024 hat der BF jedoch in den oben unter Punkt 1.7. angeführten Punkten Auskunft erteilt.

3.2.2.1. Damit gab der BF – erstmals – bekannt, dass er personenbezogene Daten der MP verarbeitet (Art. 15 Abs. 1 1. Satz DSGVO), zu welchen Zwecken (Führen der Verfahren, Art. 15 Abs. 1 lit. a DSGVO), um welche Kategorien von Daten (Art. 15 Abs. 1 lit. b DSGVO) es sich dabei handelt und wer Empfänger der Daten gewesen sind (Gericht und Parteien des Zivilverfahrens, Art. 15 Abs. 1 lit. c DSGVO).

Dass die Auskunft nicht direkt gegenüber der MP erteilt wurde, sondern in der Bescheidbeschwerde und somit einem Schriftsatz an die belangte Behörde im Beschwerdevorverfahren, welcher erst in weiterer Folge der MP als Partei des Verwaltungsverfahrens zugestellt wurde, ist – auch im Hinblick auf § 24 Abs. 6 DSG – unbedenklich (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) § 24 Rz 258 f; BVwG 13.12.2022, W252 2240044-1). Ausschlaggebend ist daher, dass die mitbeteiligte Partei die Auskunft des BF – im (unvollständigen) Rahmen der Erteilung – erhalten hat, was sie auch mit ihrer diesbezüglichen Stellungnahme bestätigte.

Daher geht der erkennende Senat davon aus, dass der BF seinen aus Art. 15 Abs. 1 DSGVO erwachsenen Verpflichtungen in diesen Punkten nachgekommen ist.

3.2.2.2. Hingegen hat er die MP auch weiterhin keine Auskunft über ihre Betroffenenrechte gemäß Art. 15 Abs. 1 lit. e DSGVO (Berichtigung, Löschung, Einschränkung der Verarbeitung bzw. das Widerspruchsrecht) keine Auskunft erteilt.

3.2.2.3. Gleiches gilt für die Empfänger bzw. Empfängerkategorien, gegenüber denen die Daten der MP offengelegt wurden (Art. 15 Abs. 1 lit. c DSGVO). Festzuhalten ist dabei freilich, dass keine Hinweise darauf ergeben, dass der BF hier interessierende Daten an ein Drittland und/oder eine internationale Organisation übermittelt hätte oder Prozesse zur automatisierten Entscheidungsfindung vornehmen würde.

3.2.2.4. Weiters kann in Hinblick auf die sich aus dem unter Punkt 1. angeführten Einstellungsbeschluss ergebende Verantwortung des BF, er habe die Informationen über das Liegenschaftsvermögen der MP von einer anderen Person erhalten, die er aufgrund der Schweigepflicht jedoch nicht bekanntgeben werde, nicht angenommen werden, dass er die Herkunft der von ihm verarbeiteten personenbezogenen Daten der MP hinreichend beauskunftet hätte (Art. 15 Abs. 1 lit. g DSGVO). Der erkennende Senat verkennt nicht, dass Verschwiegenheitspflichten eines Rechtsanwalts der Beauskunftung entgegenstehen können, diese sind jedoch - wie oben ausgeführt - im Rahmen der Auskunftserteilung geltend zu machen. Der BF ist jedoch in seinem Vorbringen im gegenständlichen Verfahren mit keinem Wort auf diese Problematik eingegangen.

3.2.2.5. Zur Speicherdauer der Daten bzw. zu den Kriterien für die Festlegung dieser Dauer verweist der BF auf das „Ende der Frist der Aufbewahrungspflicht“.

Dazu ist auszuführen, dass nach Art. 15 Abs.1 lit. d falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer zu beauskunften sind.

Die Aufbewahrungsfrist kann und wird durch externe Faktoren wie gesetzliche Anforderungen oder Branchenrichtlinien vorgegeben sein, die Informationen darüber sollten jedoch so formuliert sein, dass die betroffene Person auf der Grundlage ihrer eigenen Situation die Dauer der Speicherung beurteilen kann. Falls eine Information über die konkrete Speicherdauer nicht möglich ist, sind die Kriterien für die Festlegung der Speicherdauer auszuweisen. Hierzu führt die Artikel-29-Datenschutzgruppe aus, es sei nicht ausreichend, dass der Verarbeiter nur pauschal beschreibe, dass die personenbezogenen Daten so lange gespeichert werden, als dies für die konkreten Verarbeitungszwecke erforderlich ist. Demgegenüber und angesichts der tatsächlichen Notwendigkeit in Einzelfällen müsste es allerdings möglich sein, auf gesetzliche Aufbewahrungspflichten in einer gewissen Generalisierung zu verweisen. Es sollte der betroffenen Person möglich sein, die Speicherdauer anhand dieser Informationen selbst zu bestimmen (Illibauer in Knyrim, DatKomm Art 13 DSGVO Rz 44ff. (Stand 1.10.2018, rdb.at)). Ein ganz allgemein gehaltener Verweis auf gesetzliche Aufbewahrungsfristen (zB »entsprechend der gesetzlichen Vorgaben«) ist als Angabe zu den Löschfristen jedoch nicht ausreichend. (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 30 DSGVO Rz 30 (Stand 1.12.2020, rdb.at)).

Der BF war und ist daher auch verpflichtet, zumindest die Kriterien für die Festlegung der Speicherdauer anzugeben (etwa Abschluss des zivilgerichtlichen Verfahrens im Zusammenhang mit der MP oder – im Hinblick auf die Abwehr von Haftungsansprüchen – eine Speicherdauer im Sinne der absoluten Verjährungsfrist im ABGB von 30 Jahren). Dadurch, dass der BF dies unterlassen hat, ist die Auskunft auch in Hinsicht auf Art. 15 Abs. 1 lit. d DSGVO als (noch) nicht vollständig erteilt zu betrachten.

3.2.2.6. Die in der Vergangenheit erfolgte Rechtsverletzung wurde daher in Summe – auch bis zum Abschluss des Verfahrens vor dem Bundesverwaltungsgericht – nicht vollständig beseitigt, sondern wirkt fort. Die Beschwerde gegen Spruchpunkt 1 des angefochtenen Bescheides war daher als unbegründet abzuweisen.

3.2.3.1. Aus der Rechtsprechung des Europäischen Gerichtshofes (EuGH) lässt sich ableiten, dass es des Auskunftsrechts insbesondere deswegen bedarf, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihre Rechte auf Berichtigung, auf Löschung („Recht auf Vergessenwerden“) und auf Einschränkung der Verarbeitung, die ihr nach den Art. 16 bis 18 DSGVO zukommen, sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art. 79 und 82 DSGVO vorgesehenes Recht auf Einlegung eines Rechtsbehelfs auszuüben (Urteil vom 04.05.2023, Österreichische Datenschutzbehörde und CRIF, C-487/21, EU:C:2023:369, Rn. 35 und die dort angeführte Rechtsprechung). Folglich handelt es sich bei Art. 15 Abs. 1 DSGVO um eine derjenigen Bestimmungen, die die Transparenz der Art und Weise der Verarbeitung personenbezogener Daten gegenüber der betroffenen Person gewährleisten sollen (Urteil vom 12.01.2023, Österreichische Post [Informationen über die Empfänger personenbezogener Daten], C-154/21, EU:C:2023:3, Rn. 42): Ohne diese Transparenz wäre die betroffene Person nicht in der Lage, die Rechtmäßigkeit der Verarbeitung ihrer Daten zu beurteilen und die namentlich in den Art. 16 bis 18, 21, 79 und 82 dieser Verordnung vorgesehenen Befugnisse wahrzunehmen (vgl. Rz 58f).

In Hinblick auf die gerade im vorigen Absatz vom EuGH zusammengefasste Zielsetzung des gegenständlichen Betroffenenrechts lässt sich für den gegenständlichen Fall Folgendes sagen: Aus den in der Beschwerde erteilten Auskünften weiß die MP, dass der BF Daten von ihr verarbeitet und um welche es sich dabei handelt. Schon mangels Information über die Herkunft der Daten wird die MP damit aber nicht in die Lage versetzt, die Rechtmäßigkeit der Verarbeitung überprüfen und Betroffenenrechte auszuüben zu können, wobei auf das oben zur Obliegenheit des BF zur Geltendmachung allfälliger gesetzlicher Verschwiegenheitspflichten Ausgeführte zu verweisen ist.

3.2.3.2. Die belangte Behörde hat dem BF im Spruchpunkt 2 des bekämpften Bescheides einen Leistungsauftrag auf Erteilung der geforderten Auskunft bzw. (wie in der Bescheidbegründung festgehalten) Bekanntgabe, weshalb eine solche in einzelnen Punkten gegebenenfalls (z.B. aufgrund bestehender Ausnahmen) nicht möglich ist, binnen vier Wochen Leistungsfrist, gemäß Art. 58 Abs. 2 lit. c DSGVO zu Recht erteilt. Vor dem Hintergrund der in der Beschwerde erteilten – wenn auch unvollständigen – Auskunft ist dieser Leistungsauftrag nicht zur Gänze aufrechtzuerhalten.

Die für das Bundesverwaltungsgericht maßgebliche Sach- und Rechtslage bestimmt sich nämlich – mangels anderer gesetzlicher Regelung – nach dem Zeitpunkt der verwaltungsgerichtlichen Entscheidung (vgl. VwGH 19.09.2023, Ro 2022/07/0015; 09.12.2021, Ra 2020/08/0155), allenfalls bestimmt sich die Sachlage nach dem Zeitpunkt des Schlusses des Ermittlungsverfahrens (§ 17 VwGVG iVm § 39 Abs. 3 AVG; vgl. Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11 Rz 835/1).

Noch nicht (hinreichend) beauskunftet hat der BF die Speicherdauer (Art. 15 Abs. 1 lit. d DSGVO), die Betroffenenrechte (Art. 15 Abs. 1 lit. e DSGVO) und die Herkunft der die MP betreffenden personenbezogenen Daten, die er verarbeitet (Art. 15 Abs. 1 lit. g DSGVO) und wirkt diese Rechtsverletzung fort.

Der Leistungsauftrag war daher zu präzisieren und damit auch einem etwaigen Vollzug zugänglich zu machen (vgl. VwGH 14.04.2016, Ro 2014/06/0013; 16.06.2004, 2001/08/0034).

Im Hinblick darauf, dass das der Datenverarbeitung des BF zugrundeliegende Zivilverfahren bereits abgeschlossen ist, ist darauf hinzuweisen, dass der Umfang der Auskunftserteilung grundsätzlich durch den Zeitpunkt der Antragstellung – hier also den 09.01.2024 – bestimmt wird (Haidinger in Knyrim, DatKomm Art 15 DSGVO (Stand 1.12.2021, rdb.at) Art 15 Rz 27; Bäcker in Kühling/Buchner, DS-GVO/BDSG3 Art 15 Rz 8a; Jahnel in Jahnel, DSGVO Art 15 Rz 19).

Da dem BF bereits seit Erhalt des Auskunftsbegehrens der MP vom 09.01.2024 bekannt ist, dass und welche Auskünfte die MP von ihm verlangt und er sowohl im verwaltungsbehördlichen als auch im verwaltungsgerichtlichen Verfahren – in Kenntnis dessen und auch seiner Verpflichtung zur Auskunft – somit über einen Zeitraum von etwa zehn Monaten die Möglichkeit hatte, vollständig Auskunft zu erteilen, und dieser ohne einen triftigen Grund nicht nachgekommen ist, erscheint eine Frist von zwei Wochen dem erkennenden Senat gegenständlich angemessen, um dem Leistungsauftrag zu entsprechen.

3.2.4. Es war daher spruchgemäß zu entscheiden.

3.3. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nichts anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Eine mündliche Verhandlung wurde weder vom BF noch von der MP oder der belangten Behörde beantragt. Der BF ist Rechtsanwalt und vertritt sich – wie die Verwendung des Briefpapiers seiner Anwaltskanzlei im Administrativverfahren nahelegt, in dieser Sache selbst. Der Verwaltungsgerichtshof hielt zu § 24 VwGVG bereits fest, dass ein wirksamer Verzicht auf die Durchführung einer auf Grund des Art. 47 Abs. 2 GRC oder des Art. 6 EMRK gebotenen mündlichen Verhandlung etwa dann anzunehmen ist, wenn ein rechtskundig vertretener Beschwerdeführer keinen Verhandlungsantrag im Sinne des § 24 Abs. 3 VwGVG gestellt hat (vgl. VwGH 27.06.2017, Ra 2017/12/0042, Rn. 36, mwN; 19.09.2023, Ra 2022/12/0103).

Der entscheidungsrelevante Sachverhalt, so insbesondere zur Auskunftserteilung, ergibt sich aus dem Verwaltungsakt und stellt sich für das Bundesverwaltungsgericht nicht weiter strittig dar. Für die Ermittlung des Sachverhalts kann daher eine mündliche Verhandlung keinen Mehrwert mehr erzeugen. Die zu lösende Rechtsfrage ist nicht von einer solchen Komplexität, als dass eine mündliche Erörterung geboten wäre.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzlichen Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung (siehe dazu oben unter 3.); weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Konkrete Rechtsfragen grundsätzlicher Bedeutung sind weder in der gegenständlichen Beschwerde vorgebracht worden, noch im Verfahren vor dem BVwG hervorgekommen.