BVwG W214 2225733-1

Spruch:

W214 2225733-1/17E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX , vertreten durch XXXX Rechtsanwälte GmbH, gegen den Bescheid der Datenschutzbehörde vom 19.08.2019, Zl. DSB-123.957/0003-DSB/2019,

A)

A1) beschlossen:

Der Antrag, „den Beschwerdegegner zum Ersatz der Kosten der Beschwerde binnen 14 Tagen bei sonstiger Exekution“ zu verpflichten, wird zurückgewiesen.

A2) zu Recht erkannt:

Im Übrigen wird die Beschwerde gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG), als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 21.12.2018 (verbessert mit Schriftsatz vom 05.02.2019) machte der Beschwerdeführer eine Verletzung des § 1 Abs. 1 DSG iZm Art. 6 DSGVO sowie eine Verletzung im Recht auf Information gemäß Art. 14 DSGVO geltend. Dazu wurde zusammengefasst vorgebracht, dass der Beschwerdeführer XXXX und XXXX „ XXXX sei. Die mitbeteiligte Partei (Beschwerdegegnerin im Verfahren vor der belangten Behörde), XXXX , führe unter der Domain XXXX ein Online-Verzeichnis von XXXX sowie XXXX in Ausbildung mit Sitz in Österreich. XXXX habe das Bundesministerium XXXX eine XXXX mit Vor- und Nachname, akademischem Grad, Berufsbezeichnung, Zusatzbezeichnung und Berufssitz (mit Postadresse, Telefonnummer und E-Mail-Adresse) zu führen und sei diese Liste für jeden unter XXXX frei zugänglich. Die mitbeteiligte Partei erstelle unter Rückgriff auf die XXXX des Ministeriums ein eigenes Verzeichnis von personenbezogenen Daten aller XXXX in Österreich. Die mitbeteiligte Partei hole sich dazu keine Zustimmung der XXXX ein, sondern konfrontiere diese lediglich nach bereits erfolgter Aufnahme in ihr Online-Verzeichnis darüber, indem sie einen standardisierten Werbebrief zusende, indem über die erfolgte Eintragung aufgeklärt werde und auf weitere kostenpflichtige Eintragungspakete zwecks Hervorhebungen, Vorreihungen oder weiterer Gestaltungsmöglichkeiten, hingewiesen werde. Auch die personenbezogenen Daten des Beschwerdeführers seien im Verzeichnis XXXX veröffentlicht worden und sei diesem der standardisierte Werbebrief zugeschickt worden. Der Beschwerdeführer habe der Veröffentlichung seiner personenbezogenen Daten auf der angeführten Website nie zugestimmt, er lehne diese sogar ausdrücklich ab. Die Datenverarbeitung der mitbeteiligten Partei sei mangels Rechtfertigungsgrundlage unzulässig, es liege kein berechtigtes Interesse der mitbeteiligten Partei oder eines Dritten im Sinne des Art. 6 Abs. 1 lit. f DSGVO vor, da es sich bei der Datenverarbeitung um eine rein kommerzielle Tätigkeit der mitbeteiligten Partei handle. Der Mehrwert des Online-Verzeichnisses der mitbeteiligten Partei reduziere sich um die Möglichkeit, kostenpflichtige Eintragungspakete zu erwerben. Das Online-Verzeichnis erleichtere weder die Kontaktaufnahme zwischen XXXX und privaten Nutzern, noch ergebe sich dadurch ein informationeller Mehrwert gegenüber der XXXX des Ministeriums. Ganz im Gegenteil entstehe eine Irreführung der Nutzer und eine Wettbewerbsverzerrung. Die Führung dieses Online-Verzeichnisses als zweite, parallele Liste zu jener des Ministeriums sei daher auch gar nicht erforderlich. Zudem überwiege das Interesse der mitbeteiligten Partei an der Datenverarbeitung nicht die Grundrechte und –freiheiten der betroffenen Personen, da keine vernünftige Erwartung naheliege, dass personenbezogene Daten aus einer staatlich geführten Liste zu dem Zweck verarbeitet würden, kommerzielle Interessen eines Privatunternehmens zu erreichen. Zudem stelle die Vorgehensweise der mitbeteiligten Partei auch einen Eingriff in die Erwerbsfreiheit gemäß Artikel 6 StGG dar, da der Beschwerdeführer einen Wettbewerbsnachteil erleiden würde, sollte er sich nicht dazu entscheiden, ein Zusatzpaket zu erwerben. Schließlich sei noch zu beachten, dass die mitbeteiligte Partei mit ihrem Online-Verzeichnis auch gegen lauterkeits- und standesrechtliche Bestimmungen verstoße. Das Recht des Beschwerdeführers auf informationelle Selbstbestimmtheit und Erwerbsfreiheit gehe jedenfalls den Interessen der mitbeteiligten Partei vor. Dass die personenbezogenen Daten aus einer öffentlich zugänglichen Quelle stammen würden, ändere daran nichts. Die generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten sei mit den Bestimmungen der DSGVO nicht vereinbar. Auch die nochmalige Veröffentlichung bereits veröffentlichter Daten sei nicht jedenfalls zulässig, sondern (ganz im Gegenteil) auch wenn die personenbezogenen Daten im Internet veröffentlicht worden seien, sei nicht davon auszugehen, dass sie zu allen möglichen Zwecken weiterverarbeitet werden dürften. Die sich daraus ergebende Unzulässigkeit der Verarbeitung personenbezogener Daten des Beschwerdeführers führe somit im Ergebnis zu einer Verletzung seines Rechts auf Geheimhaltung nach § 1 Abs. 1 DSG, da seine personenbezogenen Daten zweckwidrig verarbeitet worden seien.

Die mitbeteiligte Partei verstoße auch gegen die sie treffenden Informationspflichten nach Art. 14 DSGVO. Im vorliegenden Fall habe die mitbeteiligte Partei den Beschwerdeführer in Schriftform mittels Brief über die erfolgte Aufnahme in das Online-Verzeichnis informiert, der Brief selbst enthalte allerdings keine Information nach Art. 14 DSGVO, vielmehr verweise die mitbeteiligte Partei dazu in ihrem Brief auf die Datenschutzerklärung auf ihrer Website, was einen unzulässigen Medienbruch darstelle. Zudem sei die Informationserteilung mittels Brief samt Verweis auf die auf der Website befindliche Datenschutzerklärung verspätet im Sinne des Art. 14 DSGVO. Die Datenverarbeitung durch die mitbeteiligte Partei sei auch mangels erteilter Information (infolge Medienbruchs) nach Art. 14 DSGVO unzulässig. Unabhängig davon sei die auf der Website der mitbeteiligten Partei auffindbare Datenschutzerklärung auch inhaltlich nicht ausreichend, um den Informationspflichten nach Art. 14 DSGVO zu entsprechen, da diese viel zu allgemein gehalten, völlig unbestimmt und intransparent und teilweise unzutreffend sei. Es werde zudem die Verhängung einer wirksamen, verhältnismäßigen und abschreckenden Strafe, beantragt.

Der Datenschutzbeschwerde beigefügt wurde ein Vereinsregisterauszug zum Stichtag 21.12.2018 des Vereins „ XXXX (Beilage ./A), Auszüge aus der Website der mitbeteiligten Partei XXXX (Beilage ./B und ./H), Auszüge aus der Suchmaske bzw. XXXX der Website XXXX des Bundesministeriums XXXX (Beilage ./C), weitere Auszüge aus der Website der mitbeteiligten Partei XXXX sowie der Website XXXX .at des Bundesministeriums für XXXX (Beilage ./D), der standardisierte Werbebrief der mitbeteiligten Partei (Beilage ./E), ein Aufforderungsschreiben der Rechtsvertretung des Beschwerdeführers vom 02.11.2018 (Beilage ./F), ein Antwortschreiben der mitbeteiligten Partei vom 07.11.2018 sowie ein Antwortschreiben der Rechtsvertretung der mitbeteiligten Partei vom 12.11.2018 (Beilage ./G), eine eidesstattliche Erklärung eines studentischen Mitarbeiters bei der Rechtsvertretung des Beschwerdeführers (Beilage ./I), ein Ausdruck des Berufskodex für XXXX (Beilage ./J), ein Ausdruck der Richtlinie für XXXX über das Verhalten in der Öffentlichkeit (Werberichtlinie, Beilage ./K) sowie ein Ausdruck der Datenschutzerklärung der mitbeteiligten Partei von der Website XXXX (Der Datenschutzbeschwerde beigefügt wurde ein Vereinsregisterauszug zum Stichtag 21.12.2018 des Vereins „ XXXX (Beilage ./A), Auszüge aus der Website der mitbeteiligten XXXX (Beilage ./B und ./H), Auszüge aus der Suchmaske bzw. XXXX der Website XXXX des Bundesministeriums XXXX (Beilage ./C), weitere Auszüge aus der Website der mitbeteiligten Partei XXXX sowie der Website XXXX des Bundesministeriums XXXX (Beilage ./D), der standardisierte Werbebrief der mitbeteiligten Partei (Beilage ./E), ein Aufforderungsschreiben der Rechtsvertretung des Beschwerdeführers Beilage ./L),

2. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei durch ihre Rechtsvertretung am 10.04.2019 eine Stellungnahme und führte zunächst aus, dass der private Verein „ XXXX “, XXXX der Beschwerdeführer sei, beim Handelsgericht Wien eine Klage samt Antrag auf Erlassung einer einstweiligen Verfügung gegen die mitbeteiligte Partei und deren Geschäftsführer eingebracht habe. Mit Beschluss vom 13.02.2019, GZ XXXX , habe das Handelsgericht Wien das Sicherungsbegehren der klagenden Partei zur Gänze abgewiesen und in rechtlicher Hinsicht festgehalten, dass die Datenverarbeitung der mitbeteiligten Partei datenschutzrechtlich zulässig sei und kein Verstoß gegen das Standes- und Lauterkeitsrecht vorliege. Dem Verfahren seien dieselben Vorwürfe wie in der verfahrensgegenständlichen Beschwerde zugrundgelegen. Aufgrund des Konflikts mit dem XXXX sei der Beschwerdeführer jedoch bereits am 08.01.2019 aus der Plattform entfernt und seine personenbezogenen Daten gelöscht worden.

Der Geschäftsführer und Gesellschafter der mitbeteiligten Partei sei XXXX XXXX . Er sei aufgrund seines beruflichen Know-hows als digitaler Projektmanager und kritischer Kommentare von KollegInnen aus dem therapeutischen Umfeld zur Erkenntnis gekommen, dass die bestehenden XXXX nicht dem aktuellen technischen und konzeptiven Stand entsprächen und dass ein neues System einen deutlichen Mehrwert und Beitrag für einen einfachen Zugang zur PatientInneninformation leisten könnte. Das Projekt sei im September 2018 gelauncht worden, indem die mitbeteiligte Partei an alle XXXX , die in der vom XXXX geführten Liste eingetragen seien, das Schreiben Beilage ./E per Post gesandt habe. Die Aussendungen hätten eine überwiegend positive Resonanz gehabt, die mitbeteiligte Partei komme aber jedem Änderungs-und Löschungswunsch sofort nach. Die mitbeteiligte Partei stütze die verfahrensgegenständliche Verarbeitung auf berechtigte Interessen iSd Art. 6 Abs. 1 lit. f DSGVO. Die Interessen der mitbeteiligten Partei (und der Öffentlichkeit) seien berechtigt, die Plattform der mitbeteiligten Partei diene dazu, der Öffentlichkeit Informationen rund um XXXX bereitzustellen und den Kontakt zwischen den XXXX und den Nutzern der Plattform herzustellen. Die allgemein verfügbaren personenbezogenen Daten der XXXX würden verarbeitet, um diese Plattform im Rahmen des Unternehmensgegenstandes der mitbeteiligten Partei zu betreiben. Das Interesse am Betrieb und an der Vermarktung dieser Plattform sei berechtigt. Der Unternehmensgegenstand bzw. das Geschäftskonzept stehe im Einklang mit dem anwendbaren Recht, werde den XXXX mehrfach – je nach Informationsinteresse mit unterschiedlichem Detaillierungsgrad – dargelegt und bestehe ein Bedarf für eine solche Plattform. Entgegen den Ausführungen des Beschwerdeführers sei es völlig unerheblich, ob die verfolgten Interessen (auch) kommerzieller Natur seien oder ob die verfolgten Interessen auch von einem anderen Verantwortlichen verfolgt würden. Berechtigte Interessen würden alle gesetzlich gedeckten Interessen, inklusive Erwerbstätigkeit umfassen. Ungeachtet dessen seien die von der mitbeteiligten Partei verfolgten Interessen schon von Haus aus ohnehin nicht rein kommerzieller Natur, da sie darauf gerichtet seien, der Öffentlichkeit Informationen rund um die XXXX und praktizierende XXXX bereitzustellen. Solche mitschwingenden Interessen der Öffentlichkeit könnten ebenfalls berechtigte Interessen iSd Art. 6 Abs. 1 lit f DSGVO sein und den berechtigten Interessen sogar „mehr Gewicht“ verleihen. Neben der rechtlichen Unbeachtlichkeit sei es zudem auch unrichtig, dass – wie der Beschwerdeführer behaupte – die Ziele und Zwecke, die die mitbeteiligte Partei mit der Plattform verfolgt, bereits zur Gänze durch die Liste des BM XXXX erreicht werden, und sich der Mehrwert der Plattform auf die Möglichkeit, kostenpflichtige erweiterte Eintragungspakete zu erwerben, reduziere. Der Mehrwert der Plattform sei auch im Beschluss des Handelsgerichtes Wien vom 13.02.2019, GZ XXXX , erkannt worden. Die von der mitbeteiligten Partei verfolgten Interessen hätten zudem auch grundrechtliche Implikationen. Sie seien zum einen Ausfluss der Meinungsäußerungs- und Informationsfreiheit gem. Art. 11 GRC bzw. Art. 10 EMRK, die auch Tatsachenmitteilungen juristischer Personen mitumfasse – es sei völlig legitim, die (ohnehin öffentlichen) Daten der XXXX auf der Plattform bereitzustellen. Sie seien zum anderen Ausfluss der unternehmerischen Freiheit gem. Art. 16 GRC (bzw. auch der Erwerbsfreiheit gem. Art. 6 StGG), im Sinne einer wirtschaftlichen Betätigungsfreiheit. Da auf der Plattform auch kostenfreie Einträge relevant auffindbar gelistet würden, gehe der Vorwurf des Beschwerdeführers ins Leere, eine erfolgreiche Kontaktherstellung zu Interessierten an Therapieleistungen sei nur in Hinblick auf XXXX möglich, die ein kostenpflichtiges Zusatzpaket erworben haben. Eine Irreführung der Nutzer oder eine Wettbewerbsverzerrung liege nicht vor. Die Datenverarbeitung sei zum Erreichen der berechtigten Interessen erforderlich. Um die Ziele und Zwecke, die mit der Plattform angestrebt würden, zu erreichen, sei es erforderlich, die (ohnehin öffentlichen) personenbezogenen Daten der XXXX zu verarbeiten. Es würden keine gelinderen Mittel zur Erreichung der verfolgten Interessen vorliegen. Es liege auch kein Überwiegen der Interessen oder Grundrechte und Grundfreiheiten des Beschwerdeführers (bzw. sonstiger XXXX ) vor. Da die berechtigten Interessen der mitbeteiligten Partei zwangsläufig auch Interessen der Öffentlichkeit beinhalten würden und zudem auch Ausfluss bestimmter Grundrechte der mitbeteiligten Partei (Meinungsäußerungsfreiheit, unternehmerische Freiheit, etc.) seien, würden sie besonders ins Gewicht fallen, im Falle der Nichtverarbeitung würden wirtschaftliche Nachteile für die mitbeteiligte Partei entstehen und würde der Öffentlichkeit ein nützliches und wichtiges Informationstool entzogen werden, die personenbezogenen Daten würden aus der XXXX zwingend zu führenden XXXX stammen, sie seien daher „allgemein verfügbar“ iSd § 1 Abs. 1 DSG und als solche öffentlich, was bei der Interessenabwägung zugunsten des Verantwortlichen zu berücksichtigen sei, die Daten seien zudem rein berufsbezogen und auch nicht sensibel iSd Art. 9 DSGVO oder sonst missbrauchsanfällig, der Beschwerdeführer sei keine besonders schützenswerte Person, insbesondere im Hinblick auf die Daten, die gegenständlich verarbeitet würden (rein berufsbezogene öffentliche Daten), im Vergleich zu anderen gängigen Plattformen würden die Daten sehr zurückhaltend verarbeitet, die gegenständliche Plattform lasse zum Beispiel keine Bewertungen der XXXX durch die Nutzer zu, blende auf Profilen der XXXX keine Werbung anderer XXXX ein, usw. Der Beschwerdeführer verkenne, dass es sich bei den gegenständlichen Daten um öffentliche, allgemein verfügbare Daten handle und somit die begründeten Erwartungen im Hinblick auf eine weitere Veröffentlichung nur äußerst gering sein könnten. Bei Daten, die – wie hier – von Gesetzes wegen zu veröffentlichen sowie für die Dauer der Berufsausübung öffentlich zu halten sind, könnten betroffene Personen vernünftigerweise gerade nicht davon ausgehen, dass diese nicht erneut veröffentlicht würden. Ein Beziehen von persönlichen Daten aus öffentlichen Quellen werde in der DSGVO legitimiert. Dies müsse insbesondere dann gelten, wenn die Wiederveröffentlichung – wie hier – (auch) im Interesse der Öffentlichkeit und noch dazu auf sachliche Weise auf einer fachlich einschlägigen Website erfolge. Ein Widerspruch zum ursprünglichen Veröffentlichungszweck liege nicht vor, da auch auf der Plattform das Informationsinteresse der Öffentlichkeit im Vordergrund stehe. Zudem bestehe eine klare Anerkennung und Erwartung von Patienten, dass Betreiber von Suchplattformen die entsprechend notwendigen Daten verarbeiten könnten. Da es sich bei Suchplattformen um übliche, gesellschaftlich anerkannte Erscheinungsformen handle, führe auch dies dazu, dass XXXX , XXXX usw. nicht ernstlich erwarten würden, dass ihre berufsbezogenen Daten nicht auf solchen Plattformen verarbeitet werden. Es seien keine negativen Folgen für den Beschwerdeführer und die XXXX zu erwarten, vielmehr könnten sich positive Folgen ergeben (Patientenzustrom aufgrund erhöhter Internetpräsenz). Die mitbeteiligte Partei biete den betroffenen Personen ein Opt-Out „ohne Wenn und Aber“ an, ungeachtet der Beweggründe und unabhängig davon, ob im konkreten Fall eine gesetzliche Pflicht zur Einstellung der Datenverarbeitung/Löschung der Daten gem. Art. 21 bzw. 17 DSGVO bestanden habe, sei die mitbeteiligte Partei bisher jedem Löschungswunsch unverzüglich (idR bereits am Folgetag der Anfrage) nachgekommen. Zusammengefasst könne daher die gegenständliche Datenverarbeitung auf den Erlaubnistatbestand der berechtigten Interessen gem. Art. 6 Abs. 1 lit f DSGVO gestützt werden und habe keine rechtliche Notwendigkeit bestanden, gegenständlich eine Einwilligung des Beschwerdeführers (oder der sonstigen auf der Plattform vorkommenden XXXX ) einzuholen.

Die mitbeteiligte Partei habe auch nicht gegen die Informationspflichten der DSGVO verstoßen. Die Datenverarbeitung werde gegenständlich berechtigterweise auf Art. 6 Abs. 1 lit f DSGVO gestützt, eine Einwilligung der betroffenen XXXX sei nicht erforderlich, weswegen die Informationserteilung auch nicht im Zeitpunkt der Erhebung der Daten zu erfolgen habe. Gegenständlich liege, trotz Bereitstellung im Internet, kein Fall vor, in dem eine Informationserteilung spätestens zum Zeitpunkt der ersten Offenlegung zu erfolgen gehabt hätte, da die Daten bereits im selben Umfang und für dieselben potenziellen Empfänger im Internet offengelegt worden seien – nämlich in der im Internet abrufbaren XXXX des BM XXXX – und somit keine Offenlegung iSd Art. 14 Abs. 3 lit. c DSGVO vorliege. Zudem greife die Ausnahmebestimmung des Art. 14 Abs. 5 lit b DSGVO (unverhältnismäßiger Aufwand). In Anbetracht der großen Zahl an XXXX hätte es einen unverhältnismäßigen Aufwand erfordert, die Datenschutzerklärung physisch anzuschließen. Die wichtigsten Informationen nach Art. 14 DSGVO sowie ein Link zur Datenschutzerklärung seien bereits im Schreiben selbst zu finden gewesen, weshalb die Bereitstellung der Informationen auf der Website der Beschwerdegegnerin die Informationspflichten des Art. 14 DSGVO erfülle. Die Informationspflichten würden auch inhaltlich vollständig erfüllt, die Datenkategorien, Empfänger im EU-Ausland sowie die Speicherdauer würden ausreichend benannt. Selbst wenn man einen Verstoß gegen Informationspflichten gem. Art. 14 DSGVO annehmen würden, habe dies nach herrschender Lehre nicht die Rechtswidrigkeit/Unzulässigkeit der Datenverarbeitung zur Folge, da die Datenverarbeitung auf einem berechtigten Interesse gem. Art. 6 Abs. 1 lit f DSGVO und nicht auf der Einwilligung der betroffenen Person beruhe. Nichtsdestotrotz sei die mitbeteiligte Partei der Anregung der belangten Behörde nachgekommen und habe dem Beschwerdeführer ein ausführliches Informationsschreiben geschickt, in dem sie ihm mitgeteilt habe, dass seine personenbezogenen Daten gelöscht worden seien, nicht mehr auf der Plattform der mitbeteiligten Partei verarbeitet werden und ihn noch ausführlicher als bisher über die zuvor erfolgte Verarbeitung seiner Daten informiert habe. Darüber hinaus, und ebenfalls ohne hierdurch einen Verstoß gegen die Informationspflichten des Art. 14 DSGVO einzuräumen, habe die mitbeteiligte Partei die Datenschutzerklärung auf ihrer Website überarbeitet, um die Datenverarbeitung auf der Plattform durch noch ausführlichere Angaben noch transparenter zu machen.

Der Stellungnahme beigefügt wurden Auszüge aus der Website der mitbeteiligten Partei XXXX Beilage ./1 und ./8), ein Auszug aus der Website XXXX zur mobilen Nutzung des Internets (Beilage ./2), die FAQ für XXXX auf der Website der mitbeteiligten Partei (Beilage ./3), die AGB der Website der mitbeteiligten Partei (Beilage ./4), eine Presseerklärung der mitbeteiligten Partei vom 15.10.2018 (Beilage ./5), ein Informationsschreiben an den Beschwerdeführer vom 10.04.2019 (Beilage ./6), die aktualisierte Datenschutzerklärung der mitbeteiligten Partei (Beilage ./7) sowie der Beschluss des Handelsgerichtes Wien vom 13.02.2019, GZ XXXX (Beilage ./9).

3. Die belangte Behörde teilte dem Beschwerdeführer mit Schreiben vom 19.04.2019 den Stand des Verfahrens mit, übermittelte diesem die Stellungnahme der mitbeteiligten Partei vom 10.04.2019 und führte aus, dass sie betreffend die behauptete Verletzung im Recht auf Information gemäß Art. 14 DSGVO (nicht im Recht auf Geheimhaltung gemäß § 1 DSG) im Sinne des § 24 Abs. 6 DSG durch die Reaktion der Beschwerdegegnerin die Beschwerde als gegenstandslos betrachte. Sollte der Beschwerdeführer daher nicht binnen einer Frist von zwei Wochen ab Erhalt dieses Schreibens im Rahmen des Parteiengehörs gemäß § 45 Abs. 3 AVG begründen, warum die ursprünglich behauptete Rechtsverletzung (Information iSd Art. 14 DSGVO) zumindest teilweise nach wie vor als nicht beseitigt erachtet werde, werde die belangte Behörde das Verfahren diesbezüglich formlos einstellen.

4. Der Beschwerdeführer erstattete daraufhin am 09.05.2019 eine Stellungnahme und führte aus, dass entgegen der Rechtsansicht der mitbeteiligten Partei der EuGH die Ansicht vertrete, dass die vollständige und gesetzeskonforme Informationserteilung an den Betroffenen Voraussetzung für die Rechtmäßigkeit der Datenverarbeitung sei. Dies gelte umso mehr für jene Fälle, in denen eine Information bereits bei der Datenerhebung angezeigt sei, was insbesondere dann der Fall sei, wenn der datenschutzrechtlich Verantwortliche Daten erhebe, um einen Vertrag mit der betroffenen Person vorzubereiten oder durchzuführen und die betroffene Person die Datenerhebung durch eine Willensäußerung verhindern könne, oder wenn die Datenerhebung nur auf einer Einwilligung beruhen könne. Genau dies treffe auf den vorliegenden Fall zu, da die mitbeteiligte Partei die XXXX (und somit auch den Beschwerdeführer) ungefragt per Brief anschreibe und ihnen (ihm) die Buchung von kostenpflichtigen erweiterten Einträgen bzw. kostenpflichtigen Paketen anbiete. Selbst wenn die Ansicht vertreten werden sollte, die mitbeteiligte Partei hätte durch die Sendung eines Informationsschreibens die Verletzung der Informationspflicht gemäß Art. 14 DSGVO nachträglich beseitigt und den Beschwerdeführer dadurch klaglos gestellt, müsse die behauptete Verletzung im Recht auf Informationspflicht des Verantwortlichen dennoch im gegenständlichen Verfahren behandelt werden, da der Verstoß gegen die Informationspflicht für die Argumentation der Unzulässigkeit bzw. mangelnden Rechtmäßigkeit der Datenverarbeitung eine wesentliche Rolle spiele. Abschließend und ungeachtet der bisherigen Ausführungen sei die Information über die Datenverarbeitung bis zum 08.01.2019 aus mehreren Gründen auch weiterhin inhaltlich nicht ausreichend. Aus Punkt 3. der neuen Datenschutzerklärung ergebe sich nicht, in welchen Fällen welche konkreten der genannten Rechtsgrundlagen zur Anwendung kommen sollten und sei der pauschale Verweis auf die „einschlägigen rechtlichen Verpflichtungen“ unzureichend, vielmehr seien diese konkret zu benennen. Im Ergebnis könne die behauptete Verletzung im Recht auf Information gemäß Art. 14 DSGVO nicht als gegenstandslos betrachtet und diesbezüglich das Verfahren formlos eingestellt werden, der Beschwerdeführer halte seine Beschwerde aus den dargelegten Gründen daher auch hinsichtlich der Verletzung im Recht auf Informationserteilung der Beschwerdegegnerin gemäß Art. 14 DSGVO aufrecht.

5. Mit dem nunmehr angefochtenen Bescheid gab die belangte Behörde der Beschwerde hinsichtlich der geltend gemachten Verletzung im Recht auf Information iSd Art. 14 Abs. 1 lit. c (inhaltliche Mängel der nachgereichten Datenschutzerklärung) statt (Spruchpunkt 1.) und trug der mitbeteiligten Partei auf, innerhalb einer Frist von vier Wochen bei sonstiger Exekution dem Beschwerdeführer a) die Information nach Art. 14 Abs. 1 lit. c derart zu erteilen, dass ersichtlich sei, in welchen Fällen personenbezogene Daten des Beschwerdeführers aufgrund welcher konkreten rechtlichen Verpflichtung verarbeitet worden seien sowie b) die Information nach Art. 14 Abs. 1 lit. c derart zu erteilen, dass ersichtlich sei, in welchen Fällen personenbezogene Daten des Beschwerdeführers auf den Erlaubnistatbestand des Art. 6 Abs. 1 lit. f gestützt verarbeitet worden seien (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.) und der Antrag des Beschwerdeführers auf Einleitung eines Strafverfahrens gegen die mitbeteiligte Partei zurückgewiesen (Spruchpunkt 4.).

Die belangte Behörde führte zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die mitbeteiligte Partei den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem sie seine personenbezogenen Daten ohne dessen Einwilligung bzw. der Zustimmung des BM XXXX von der öffentlich unter der Domain XXXX zugänglichen Liste der in Österreich eingetragenen XXXX des BM XXXX in ihre, unter der Domain XXXX öffentlich zugängliche Plattform übernommen und in ihrem Online-Verzeichnis veröffentlicht habe sowie, ob durch eine etwaig verspätete bzw. nicht inhaltlich rechtskonform erteilte Information gemäß Art. 14 DSGVO die gegenständliche Datenverarbeitung unzulässig gewesen sei und der Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt worden sei.

Die belangte Behörde stellte unter anderem fest, dass der Beschwerdeführer als XXXX praktiziere und in der vom Bundesministerium für XXXX (BM XXXX ) unter der Domain XXXX veröffentlichten Liste von eingetragenen XXXX verzeichnet sei. Diese Liste werde in reiner Textform geführt, sei nicht responsiv (dementsprechend nicht für die Nutzung auf mobilen Geräten optimiert) und enthalte keine Informationen über Zusatzausbildungen, Arbeitsschwerpunkte, Krankenkassenabrechnung und freie Plätze. Die mitbeteiligte Partei betreibe unter der XXXX ein Service- und Infoportal betreffend XXXX , worin ein XXXX -Verzeichnis eingebettet sei (dieses sei für Website-Besucher kostenlos abrufbar), dessen Grunddaten über die eingetragenen XXXX , so auch vom Beschwerdeführer, von der Liste des BM XXXX (ohne vorherige Einwilligung der betroffenen Personen sowie des BM XXXX ) übernommen worden seien. Die Plattform der mitbeteiligten Partei sei für mobile Endgeräte optimiert (responsiv). Sie enthalte im Gegensatz zur Liste des BM XXXX eine Suchfunktion mit nur einem Formularfeld und eine Detailsuche mit weiteren Filtern. Im Verzeichnis der mitbeteiligten Partei würden bereits in der Gratisversion Zusatzinformationen zu den Therapeuten angezeigt (z.B. Arbeitsschwerpunkte, Berufsbezeichnungen, angewandte Methoden, Zusatzausbildungen, Krankenkassenabrechnungen und Fremdsprachen). Eine Bewertung und Kommentierung der einzelnen XXXX auf der Plattform der mitbeteiligten Partei sei nicht möglich. Um Vorteile in Bezug auf das Onlineverzeichnis zu erhalten, (insbesondere Vorreihung in den Suchergebnissen bzw. besondere Hervorhebung des eigenen Eintrages) verkaufe die mitbeteiligte Partei den eingetragenen XXXX zusätzliche (kostenpflichtige) Pakete. Im September 2018 habe die Beschwerdegegnerin postalisch hinsichtlich des Starts der Plattform an den Beschwerdeführer ein (standardisiertes) Schreiben versandt, dies sei der erste diesbezügliche Kontakt zwischen der mitbeteiligten Partei und dem Beschwerdeführer gewesen. Mit spätestens 09.04.2019 seien die (personenbezogenen) Daten des Beschwerdeführers nicht mehr im Online-Verzeichnis der mitbeteiligten Partei gewesen. Neben der Plattform der Beschwerdegegnerin bestünden noch weitere Möglichkeiten (Websites, Informationsstellen etc.), sich über in Österreich eingetragene XXXX zu informieren.

In der Sache hielt die belangte Behörde zunächst fest, dass § 1 Abs. 1 DSG im Lichte der unionsrechtlichen Vorgaben einschränkend zu interpretieren sei, sodass allgemein verfügbare Daten nicht ipso facto vom Geltungsbereich datenschutzrechtlicher Vorschriften ausgenommen seien. Vielmehr bedürfe es für die Verarbeitung auch dieser Daten eine Rechtfertigung im Sinne des Art. 6 Abs. 1 DSGVO. Im vorliegenden Fall habe die mitbeteiligte Partei die Grunddaten des Beschwerdeführers als in der Liste des BM XXXX eingetragenem XXXX in deren Online-Verzeichnis übernommen. Der Beschwerdeführer hatte keine der kostenpflichtigen Erweiterungen in Anspruch genommen, sohin habe es sich bei seinem Eintrag nur um eine bloße Reproduktion der Datensätze aus der Liste des BM XXXX gehandelt. Der Eintrag des Beschwerdeführers habe somit keinen „informationellen Mehrwert“ dargestellt. Die mitbeteiligte Partei habe die gegenständlichen Datenverarbeitungen auf berechtigte Interessen iSd Art. 6 Abs. 1 lit. f DSGVO gestützt. Das Ergebnis dieser Interessenabwägung sei auch für die Frage entscheidend, ob eine Verletzung im Recht auf Geheimhaltung vorliege oder die berechtigten Interessen eines anderen iSv § 1 Abs. 2 DSG gegenüber den Geheimhaltungsinteressen des Beschwerdeführers überwiegen würden. Der Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die mitbeteiligte Partei seien zwei verschiedene Arten von Interessen inhärent, erstens diene die Erhebung, Speicherung und Veröffentlichung der personenbezogenen Daten des Beschwerdeführers im Online-Verzeichnis der mitbeteiligten Partei einem geschäftlichen Interesse der mitbeteiligten Partei, zum Zweiten lasse sich nicht verkennen, dass durch die Datenverarbeitung der mitbeteiligten Partei auch ein Informationsinteresse Dritter, nämlich aller Personen, die sich über in Österreich eingetragene XXXX informieren möchten, bedient werde, zumal der Zugriff auf das Online-Verzeichnis für Webseitenbesucher kostenlos und die Website der Beschwerdegegnerin im Gegensatz zur Liste des BM XXXX innovativer sei. Diesem Interesse werde deswegen nicht weniger Rechnung getragen, weil diesbezüglich bereits eine Liste von einer anderen Stelle veröffentlicht worden sei. In diesen beiden Interessen könnten keine unberechtigten Interessen erblickt werden (dies auch nicht hinsichtlich etwaiger lauterkeitsrechtlicher Verstöße oder einer fehlenden Genehmigung seitens des BM XXXX ). Aufgrund der Liste des BM XXXX , in der Daten der eingetragenen XXXX , so auch jene des Beschwerdeführers, bereits veröffentlicht worden seien, sei den Interessen der mitbeteiligten Partei an der Datenverarbeitung zwar nicht erheblich mehr Ausgangsgewichtung zuzumessen als dies ohne das mitschwingende öffentliche Interesse der Fall wäre, jedoch sei aufgrund der innovativen Aufbereitung und der (auch in der kostenfreien Version) zusätzlichen Inhaltsmöglichkeiten dennoch von einer erhöhten Ausgangsgewichtung des Interesses der mitbeteiligten Partei durch die mitschwingenden Interessen der Öffentlichkeit auszugehen. Zudem habe der Beschwerdeführer aufgrund der gesetzlich angeordneten Veröffentlichung seiner Daten auch damit rechnen müssen, dass diese Daten weiterverwendet würden. Die in der Liste des BM XXXX verzeichneten und von der Beschwerdegegnerin für den „kostenlosen Eintrag“ übernommenen personenbezogenen Daten seien definitiv der „Berufssphäre“ des Beschwerdeführers zuzuordnen und zudem in der nach XXXX öffentlich zu führenden Liste des BM XXXX veröffentlicht gewesen („allgemein verfügbar“). Es handle sich dabei demnach um verhältnismäßig mindersensible personenbezogene Daten. Dementsprechend sei hinsichtlich dieser Daten von einer erheblich geminderten Ausgangsgewichtung des Geheimhaltungsinteresses des Beschwerdeführers auszugehen. Aus der Art und Weise der gegenständlichen Datenverarbeitung lasse sich zwar ableiten, dass der Beschwerdeführer (dieser habe den Feststellungen zu Folge kein kostenpflichtiges Erweiterungspaket erworben und sei im Online-Verzeichnis der Beschwerdegegnerin entgegen anderer Kunden der mitbeteiligten Partei, die solche Pakete erworben haben, nicht (besonders) hervorgehoben bzw. bei der Suchanzeige vorgereiht worden) bei Suchanfragen benachteiligt sein könnte, jedoch sei hier gleichzeitig zu erwähnen, dass neben dem Online-Verzeichnis der mitbeteiligten Partei weitere Informationsangebote, wie beispielsweise die Liste des BM XXXX oder etwa der Recherche über gängige Suchmaschinen oder auch von entsprechenden Informationsstellen, existieren würden, sodass dieser Nachteil im Rahmen der Interessenabwägung gering zu werten sei. Schließlich bestehe zwischen der mitbeteiligten Partei und dem Beschwerdeführer auch kein ungleichmäßiges Kräfteverhältnis und handle es sich bei dem Beschwerdeführer nicht um eine besonders schutzbedürftige Person. Resümierend lasse sich festhalten, dass die mitbeteiligte Partei den Beschwerdeführer nicht in seinem Recht auf Geheimhaltung verletzt habe.

Hinsichtlich der etwaigen Unzulässigkeit der Datenverarbeitung der mitbeteiligten Partei infolge einer Verletzung im Recht auf Information iSd Art. 14 DSGVO sei festzuhalten, dass diese von der Zulässigkeit der Datenverarbeitung losgelöst zu betrachten sei, da es sich dabei um eine eigens strafbewehrte Rechtsnorm handle und sich die Rechtmäßigkeit der Datenverarbeitung nach den Art. 5 ff DSGVO richte.

Zum erhobenen Antrag auf Verhängung einer Verwaltungsstrafe des Beschwerdeführers sei auszuführen, dass ein subjektives Recht auf Einleitung eines Strafverfahrens gegen einen gewissen Verantwortlichen nicht aus Art. 77 Abs. 1 DSGVO bzw. § 24 Abs. 1 und 5 DSG abzuleiten sei und darüber hinaus nach § 25 Abs. 1 VStG das Prinzip der Amtswegigkeit gelte. Ein Verwaltungsstrafverfahren könne daher von einer betroffenen Person nur angeregt werden, ein Anspruch auf Einleitung eines solchen besteht nicht, weshalb die Beschwerde diesbezüglich zurückzuweisen gewesen sei.

6. Mit Schreiben vom 27.09.2019 teilte die mitbeteiligte Partei mit, dass sie dem Auftrag der belangten Behörde bezüglich der Informationsverpflichtung nachgekommen sei.

7 . Gegen den unter Punkt 5. genannten Bescheid erhob der Beschwerdeführer fristgerecht Beschwerde an das Bundesverwaltungsgericht und führte zunächst aus, den Bescheid teilweise hinsichtlich der Spruchpunkte 3. und 4. anzufechten.

Der Beschwerdeführer brachte (nach Wiederholung des Sachverhaltes) vor, dass die belangte Behörde die Unzulässigkeit der Datenverarbeitung mangels Rechtfertigungsgrundlage bzw. ausreichender Informationserteilung zu Unrecht verneint habe. Die belangte Behörde stütze die Zulässigkeit der gegenständlichen Datenverarbeitung auf angeblich überwiegende berechtigte Interessen der mitbeteiligten Partei gemäß Art. 6 Abs. 1 lit f DSGVO, wobei sie die für die Beurteilung der Interessensabwägung maßgeblichen Kriterien teils gar nicht, teils unrichtig angewandt habe. Zunächst sei programmatisch zu beachten, dass Art. 6 Abs. 1 lit fDSGVO nicht als Auffangtatbestand zu verstehen sei. Vielmehr begründe diese gesetzliche Bestimmung einen Ausnahmetatbestand, für jene Fälle, in denen eine Datenverarbeitung nach Art. 6 Abs. 1 lit a bis e DSGVO gerade nicht möglich sei. Hinsichtlich der gegenständlichen Datenverarbeitung müsse sohin Art. 6 Abs. 1 lit f DSGVO als Rechtfertigungsgrundlage ausscheiden, da es der mitbeteiligten Partei im konkreten Fall eben ohne Probleme und ohne weiteren Aufwand möglich gewesen wäre, die gegenständliche Datenverarbeitung primär auf eine Einwilligung der betroffenen Personen zu stützen. Doch selbst wenn man Art. 6 Abs. 1 lit. f DSGVO als Rechtfertigungsgrundlage für die gegenständliche Datenverarbeitung heranziehen wollte, wären dessen Anwendungsvoraussetzungen entgegen der Rechtsansicht der belangten Behörde hier nicht erfüllt. Es fehle nämlich schon an der Voraussetzung der hinreichend klar formulierten berechtigten Interessen und sei dies auch von der belangten Behörde selbst (im Zusammenhang mit der Verletzung der Informationspflicht) festgehalten worden. Zudem sei das Interesse der mitbeteiligten Partei im vorliegenden Fall auch nicht zwingend, es gebe bereits die vom BM XXXX im Internet öffentlich zugängliche Liste mit Kontaktdaten der XXXX in Österreich, die von der belangten Behörde festgestellten zusätzlichen Eigenschaften der Website der mitbeteiligten Partei seien bereits durch andere Anbieter abgedeckt. Die Datenverarbeitung sei zudem zum Erreichen des verfolgten Interesses nicht erforderlich, da im konkreten Fall weniger einschneidende Vorgehensweisen zur Verfügung gestanden wären, nämlich vorab die Einwilligung der einzelnen XXXX einzuholen (Opt-In). Zudem habe im vorliegenden Fall keiner der XXXX davon ausgehen können bzw. müssen, dass die Daten aus der Datenbank des BM XXXX von Dritten zu deren eigenen (kommerziellen) Zwecken verwendet würden. Selbst bei vorab bereits öffentlich zugänglichen Daten bestehe keine Blankogenehmigung für deren Wieder- bzw. Weiterverwendung. Schließlich stelle die Vorgehensweise der mitbeteiligten Partei auch einen Eingriff in die Erwerbsfreiheit der XXXX gemäß Art. 6 StGG dar. Sollte sich der/die XXXX nicht dazu entscheiden, ein Zusatzpaket zu erwerben, würde sich dadurch ein Wettbewerbsnachteil gegenüber jenen XXXX ergeben, die in den Suchergebnissen vorgereiht bzw. hervorgehoben würden. Die Kontaktaufnahme mit Interessierten und Akquisition neuer Patienten würde sich für jene XXXX , die sich gegen eine zahlungspflichtige Variante entscheiden würden, erheblich erschweren. So werden XXXX dazu gedrängt, Zahlungen zu leisten, um eine ausgeglichene Wettbewerbssituation herzustellen, die im Übrigen unter ausschließlicher Betrachtung der einzigen - offiziellen und gesetzlich vorgesehenen - XXXX des Ministeriums schon bestehe. Das Interesse der betroffenen XXXX , ihren Beruf ohne Wettbewerbsnachteil ausüben zu können, bzw. ohne überflüssige Zahlungen leisten zu müssen, gehe jedenfalls dem (kommerziellen) Interesse der mitbeteiligten Partei vor.

Sofern im Rahmen der Interessensabwägung – fälschlicherweise – von einer Zulässigkeit der Datenverarbeitung für die gegenständliche Plattform, aufgrund von berechtigten wirtschaftlichen und öffentlichen Interessen, ausgegangen werde, könne diese Interessensabwägung nicht ohne weiteres auf die Verarbeitung von personenbezogen Daten zur Kontaktaufnahme mit XXXX und den damit verbundenen Werbezwecken übertragen oder mit diesen vermischt werden. Im vorliegenden Fall zeige sich, dass eine Verarbeitung für die Plattform stattfinde (Anzeige von XXXX ) und eine andere für die Kontaktaufnahme und Angebotsübermittlung (Werbezwecke). Betrachte man die Systematik der DSGVO im Hinblick auf Verarbeitung, Zweckbindung und Rechtmäßigkeit der Verarbeitung, so erscheine es systemwidrig durch eine gemeinsame Datenerhebung (Startpunkt) und unendlich viele Verarbeitungsmöglichkeiten lediglich von einer Datenverarbeitung auszugehen. Es sei deswegen eine Trennung der Verarbeitungen notwendig, eine solche notwendige Unterscheidung der beiden Verarbeitungstätigkeiten sei von der belangten Behörde jedoch nicht vorgenommen worden. Im Bescheid der belangten Behörde finde sich zudem keine direkte Bezugnahme oder Feststellung zu den Zwecken der Verarbeitungen, insofern erscheine es fragwürdig, wie die belangte Behörde ohne entsprechende Feststellungen zu den festgelegten, eindeutigen und legitimen Zwecken der beiden Verarbeitungen, die Rechtmäßigkeit der Verarbeitungen durch die mitbeteiligte Partei feststellen, rechtlich beurteilen und den Antrag des Beschwerdeführers abweisen habe können. Es sei aus Sicht der betroffenen Partei auch nicht nachvollziehbar, wie Interessen der breiteren Öffentlichkeit Relevanz für die Beurteilung der Rechtmäßigkeit einer Verarbeitung zur Kontaktaufnahme mit XXXX und damit verbundenen Werbezwecken erlangen könnten und durch diese einer erhöhte Ausgangsgewichtung des Interesses der mitbeteiligten Partei durch die mitschwingenden Interessen der Öffentlichkeit angenommen werden könne. Die belangte Behörde hätte daher die öffentlichen Interessen unberücksichtigt lassen müssen und die vernünftigen Erwartungen der betroffenen Person berücksichtigen müssen. Im gegenständlichen Fall sei es für den Beschwerdeführer unvorhersehbar gewesen, dass seine Eintragung in der XXXX des Ministeriums die Verarbeitung zu Werbezwecken zur Folge haben könnte. Die Interessenabwägung hätte daher zugunsten des Beschwerdeführers ausgehen müssen, da es sich bei der Kontaktaufnahme durch die mitbeteiligte Partei mit dem Beschwerdeführe um reine Eigenwerbung handle, die jedenfalls weniger schützenswert sei, als beispielsweise Spenderwerbung.

Neu sei auszuführen, dass die unaufgeforderte Übermittlung von vollständigen Zugangsdaten mithilfe eines einfachen Briefs ein hohes Risiko für die jeweilige betroffene Person darstelle. Die von der mitbeteiligten Partei gewählte postalische Kontaktaufnahme, trotz Kenntnis der E-Mail-Adressen, könne nur durch die Absicht erklärt werden, § 107 TKG und die damit verbundene erforderliche Einwilligung bei der elektronischen Kontaktaufnahme zu umgehen. Eine postalische Übermittlung – ohne Kenntnis der betroffenen Person – könne bei einer unbeabsichtigten Offenlegung nicht nur zu Identitätsdiebstählen, sondern auch zu beachtlichen finanzielle und wirtschaftlichen Verlusten (Rufschädigung) führen. Die mitbeteiligte Partei habe diese Risiken aus wirtschaftlichen Gründen billigend in Kauf genommen und daher gegen ihre Pflichten nach Art. 32 DSGVO verstoßen. Aufgrund der gewählten Form der Kontaktaufnahme, habe die mitbeteiligte Partei es verabsäumt eine angemessene Sicherheit der personenbezogenen Daten zu gewährleisten, wodurch sie gegen die Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO verstoßen habe.

8. Die belangte Behörde übermittelte die Beschwerde des Beschwerdeführers am 07.10.2019 der mitbeteiligten Partei zur Kenntnis und gab ihr gemäß § 10 VwGVG die Möglichkeit zur Äußerung binnen Frist von 2 Wochen.

9. Am 21.10.2019 erstattete die mitbeteiligte Partei eine Äußerung und führte zunächst aus, dass dem vom Beschwerdeführer gegen den Beschluss des Handelsgerichtes Wien vom 13.02.2019, GZ XXXX , erhobenen Rekurs mit Beschluss des Oberlandesgerichtes Wien vom 04.04.2019, Zl. XXXX nicht Folge gegeben und die Revision nicht zugelassen worden sei.

Inhaltlich führte die mitbeteiligte Partei aus, dass gänzlich unbeachtlich sei, ob die mitbeteiligte Partei eine Einwilligung des Beschwerdeführers hätte einholen können. Aufgrund der Erfüllung des Erlaubnistatbestands des Art. 6 Abs. 1 lit f DSGVO habe keine rechtliche Notwendigkeit bestanden, gegenständlich eine Einwilligung des Beschwerdeführers (oder der sonstigen auf der Plattform vorkommenden XXXX ) einzuholen. Diese Rechtsansicht sei auch den docfínder-Entscheidungen immanent, in denen der OGH und die belangte Behörde die Rechtmäßigkeit der Datenverarbeitung eines Ärztesuchportals bestätigt hätten, die auf berechtigte Interessen und nicht auf eine Einwilligung (oder einen sonstigen Erlaubnistatbestand) gestützt worden sei. Es seien alle Voraussetzungen für die Anwendbarkeit des Art. 6 Abs. 1 lit. f DSGVO erfüllt worden.

Zur behaupteten Unzulässigkeit der Kontaktaufnahme mit dem Beschwerdeführer sei auszuführen, dass sich die belangte Behörde auch mit dieser Kontaktaufnahme auseinandergesetzt habe und rechtlich nichts daran auszusetzen gehabt habe. Als Betreiberin der gegenständlichen Plattform habe die Beschwerdegegnerin ein berechtigtes Interesse, die in der Liste des BM XXXX enthaltenen und auf die eigene Plattform übernommenen XXXX - so auch den Beschwerdeführer - zu kontaktieren, um die eigene Plattform zu bewerben und so weiter auszubauen. Die lnteressenabwägung der belangten Behörde gelte auch für die Kontaktierung des Beschwerdeführers, die mitbeteiligte Partei habe bereits öffentliche (und von Gesetzes wegen öffentlich zu haltende) berufsbezogene Kontaktdaten des Beschwerdeführers einmalig verwendet, um ihm mitzuteilen, dass er in die Plattform der Beschwerdegegnerin aufgenommen worden sei, und ihm die Möglichkeit geboten, seine Daten zu ergänzen - dies entweder im Rahmen des kostenfreien Basiseintrags oder durch Zukauf von kostenpflichtigen Paketen. Auch hier habe der Beschwerdeführer aus den oben angeführten Gründen damit rechnen können und müssen, dass seine berufsbezogenen Daten nicht nur auf einer einschlägigen Plattform erneut veröffentlicht würden, sondern auch, dass er in diesem Zusammenhang kontaktiert werde. Entgegen den Ausführungen des Beschwerdeführers würden bei der Kontaktierung des Beschwerdeführers ebenfalls öffentliche Interessen mitschwingen, sodass die diesbezüglichen Ausführungen der belangten Behörde auch iZm der Kontaktierung des Beschwerdeführers gelten würden. lm Schreiben sei nämlich nicht nur die Plattform beworben (und mitgeteilt worden, unter welchem Link die Datenschutzerklärung der Beschwerdegegnerin abrufbar sei), sondern auch die Information erteilt worden, dass der Beschwerdeführer die Möglichkeit habe, seine auf der Plattform enthaltenen Daten zu aktualisieren oder zu ergänzen (entweder im Rahmen des Basispakets oder im Rahmen eines kostenpflichtigen Zusatzpakets). Eine allfällige Aktualisierung oder Erweiterung des lnformationspools zu den einzelnen XXXX sei offenkundig im Interesse der nach Informationen suchenden Patienten. Die mitbeteiligte Partei habe zudem die personenbezogenen Daten des Beschwerdeführers anstandslos gelöscht und dem Beschwerdeführer auch keine weiteren Schreiben dieser Art zugesandt. Der Beschwerdeführer habe keine schutzwürdigen Geheimhaltungsinteressen ins Treffen geführt.

Zum neuen Vorbringen des Beschwerdeführers sei auszuführen, dass kein Verstoß gegen Art. 32 DSGVO vorliege. Die Wahrscheinlichkeit (bzw. abstrakte Eignung), dass es gegenständlich zu einem ldentitätsdiebstahl, finanziellen Verlusten oder einer Rufschädigung kommen könne, gehe gegen Null und sei de facto auszuschließen. Der Freischaltcode führe nicht zu heiklen Daten, sondern zu bereits allgemein verfügbaren berufsbezogenen Daten, die auch in einer öffentlichen Quelle - der Liste des BM XXXX . - sowie in sonstigen Quellen (z.B. Plattformen anderer Anbieter) zu finden seien. ln Anbetracht der Natur der Daten - bzw. der Person der Beschwerdegegnerin – sei auch nicht vom Vorhandensein einer kriminellen Energie auszugehen, sich den Zugang zu diesen unzulässigerweise anzueignen, die Verschaffung des Zugangs zu diesen Daten und ihre allfällige Veränderung durch Unbefugte (womit nicht zu rechnen sei) sei nicht geeignet, einen Schaden bei den betroffenen XXXX zu erzeugen, ein XXXX auf der Plattform der mitbeteiligten Partei eigne sich schlicht nicht für einen ldentitätsdiebstahl, das Zufügen eines finanziellen Schadens oder eine Rufschädigung. Zudem habe sich die mitbeteiligte Partei eines zuverlässigen Zustellers – der Österreichischen Post- – bedient, um die Schreiben zuzustellen, die Adressdaten seien verifizierte Daten aus einer amtlichen Quelle (Liste des BM XXXX ), die Briefe seien von der Aufmachung her unauffällig gewesen, jeder XXXX habe einen individuellen Freischaltcode erhalten, der nach einer bestimmten Zeit oder bei Wunsch einer XXXX , von der Plattform gelöscht zu werden) verfalle/ungültig werde. Beim Beschwerdeführer habe sich kein Risiko realisiert und könne sich ein solches auch nicht mehr realisieren. Selbst wenn ein solcher Verstoß gegen Art. 32 DSGVO vorläge, hätte dieser keine Auswirkung auf die Rechtmäßigkeit der Datenverarbeitung. Eine allfällige Verletzung des Art. 32 DSGVO wäre losgelöst von der Zulässigkeit der Datenverarbeitung nach Art. 6 DSGVO zu beurteilen. Die Rechtmäßigkeit bestimme sich allein nach Art. 6 DSGVO; die Einhaltung oder Nichteinhaltung des angemessenen Schutzniveaus nach Art. 32 DSGVO würde, da ohnehin strafbewehrt (vgl. Art. 83 Abs. 4 lit a DSGVO), keinen Einfluss auf die grundsätzliche Rechtmäßigkeit Datenverarbeitung haben. lnsofern gelte dasselbe wie iZm einer allfälligen Verletzung der lnformationspflicht nach Art. 14 DSGVO, die diesbezügliche Rechtsansicht der belangten Behörde sei vom Beschwerdeführer in seiner Bescheidbeschwerde nicht bekämpft worden.

Der Äußerung angeschlossen wurde der Beschluss des Oberlandesgerichtes Wien vom 04.04.2019, Zl. XXXX .

11. Mit Schreiben vom 15.11.2019 (eingelangt beim Bundesverwaltungsgericht am 25.11.2019) legte die belangte Behörde die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab, in welcher sie ausführte, dass Art. 6 Abs. 1 lit. f DSGVO nicht, wie der Beschwerdeführer vermeine, als Ausnahmetatbestand für jene Fälle anzusehen, in denen eine Datenverarbeitung nach den Art. 6 Abs. 1 lit. a bis e DSGVO nicht möglich sei. Vielmehr seien die Erlaubnistatbestände als gleichwertig anzusehen und sei eine Verarbeitung personenbezogener Daten dann rechtmäßig, wenn die in ihnen niedergelegten Tatbestandsmerkmale erfüllt seien. Darüber hinaus sei anzumerken, dass sich der Beschwerdeführer in seinem Recht auf Geheimhaltung gemäß § 1 DSG als verletzt erachtet habe und dieser im Sinne des § 1 Abs. 2 DSG eine Interessenabwägung vorsehe, welche die belangte Behörde umfangreich vorgenommen habe. Entgegen der Ansicht des Beschwerdeführers sei die Zusendung des standardisierten Schreibens der mitbeteiligten Partei an diesen zulässig gewesen. Auch wenn die Datenverarbeitung ausgehend von der Erhebung der personenbezogenen Daten des Beschwerdeführers aus der Liste des BM XXXX und der weiteren Verarbeitung durch Zusendung des standardisierten Schreibens der mitbeteiligten Partei betreffend den Start der Plattform in der rechtlichen Beurteilung des Bescheides nicht im Detail abgehandelt werde, so seien die Überlegungen betreffend die Verwendung der personenbezogenen Daten des Beschwerdeführers für die Plattform der mitbeteiligten Partei und die damit einhergehende Veröffentlichung auch hier zutreffend und die Verarbeitung der personenbezogenen Daten des Beschwerdeführers betreffend das standardisierte Schreibens der Beschwerdegegnerin rechtmäßig.

12. Mit Schreiben vom 19.02.2020 (eingelangt beim Bundesverwaltungsgericht am 04.03.2020) erstattete die belangte Behörde eine ergänzende Mitteilung an das Bundesverwaltungsgericht und führte aus, dass der OGH mit Beschluss vom 26.11.2019, Zl. XXXX , dem außerordentlichen Revisionsrekurs gegen den Beschluss des Oberlandesgerichts Wien als Rekursgericht vom 4. April 2019, GZ XXXX , nicht Folge gegeben habe, womit der Beschluss des Handelsgerichts Wien vom 13. Februar 2019, GZ XXXX bestätigt worden sei. Der OGH führe in seiner rechtlichen Begründung zwar aus, dass es mangels Aktivlegitimation für die Geltendmachung von Datenschutzrechten Dritter seitens der klagenden Partei keiner inhaltlichen Auseinandersetzung mit den im Rechtsmittel weiterhin behaupteten Verstößen der Beklagten gegen das Datenschutzrecht brauche, jedoch ergebe sich aus dem Beschluss des OGH, dass dieser den standesrechtlichen und wettbewerbsrechtlichen Bedenken des Revisionsrekurswerbers nicht gefolgt sei und sei der Senat betreffend die standesrechtlichen Bedenken des Revisionsrekurswerbers der Meinung, dass die bekämpften Veröffentlichungen der Beklagten (Vorreihungen, Zusatzinformationen über „Zahlkunden“) keine standesrechtlichen Vorschriften verletzen würden. Dass die Plattform unsachliche Informationen XXXX ) enthielte, sei auch nicht erkennbar.

13. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 17.07.2020 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 24.07.2020 einlangte.

14. Am 14.10.2021 übermittelte das Bundesverwaltungsgericht die Äußerung der mitbeteiligten Partei vom 21.10.2019 dem Beschwerdeführer sowie die Stellungnahme der belangten Behörde vom 15.11.2019 der mitbeteiligten Partei und dem Beschwerdeführer zur Kenntnis und gab ihnen Gelegenheit zur Abgabe einer Stellungnahme.

15. Mit Stellungnahme vom 27.10.2021 führte der Beschwerdeführer aus, dass entgegen der Ansicht der belangten Behörde nicht eine bloß mangelhafte Datenschutzinformation der Beschwerdegegnerin gemäß Art. 14 DSGVO vorliege, sondern tatsächlich gar keine. Dies aus dem Grund, weil Art. 14 Abs. 3 lit b DSGVO einschlägig sei, wonach die Informationserteilung spätestens zum Zeitpunkt der ersten Mitteilung an die betroffene Person erfolgen müsse. Das postalische Werbeschreiben der mitbeteiligten Partei habe jedoch keine Dateninformation, sondern lediglich den Hinweis auf einen Link, unter dem diese Informationen zu finden seien, enthalten. Dass zum Zeitpunkt, da der Beschwerdeführer das Werbeschreiben der mitbeteiligten Partei erhalten habe, unter der so angeführten Website tatsächlich die Datenschutzinformation der mitbeteiligten Partei abrufbar gewesen sei, sei von der belangten Behörde gerade nicht festgestellt. Schon deshalb liege gar keine Erfüllung der Informationspflichten nach Art. 14 DSGVO durch die mitbeteiligte Partei vor. Wo jedoch ein Verstoß gegen Art. 14 DSGVO vorliege, könne die damit verbundene Datenverarbeitung nicht rechtmäßig sein. Denn die Erfüllung der Informationspflichten nach den Art. 13 und 14 DSGVO diene gemäß EG 60 der DSGVO der Gewährleistung einer fairen und transparenten Datenverarbeitung. Die Einhaltung dieser in Art. 5 DSGVO normierten Verarbeitungsgrundsätze sei jedoch Grundvoraussetzung für die Rechtmäßigkeit einer Datenverarbeitung. Folglich müsse die von der belangten Behörde selbst festgestellte mangelhafte Informationserteilung der mitbeteiligten Partei nach Art. 14 DSGVO die Unrechtmäßigkeit der damit verbundenen Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die mitbeteiligte Partei bedingen. Die belangte Behörde begründe die berechtigten Interessen der mitbeteiligten Partei an der gegenständlichen Datenverarbeitung insbesondere mit einem Informationsinteresse Dritter, nämlich aller Personen, die sich über in Österreich eingetragene XXXX informieren möchten. Die mitbeteiligte Partei greife dabei jedoch auf personenbezogene Daten (des Beschwerdeführers) aus einer gemäß XXXX „zur Wahrung des öffentlichen Interesses“ von öffentlicher Seite zu führenden Liste zurück und führe mit den so gewonnenen Daten eine im Wesentlichen idente Liste mit identer Zielsetzung. Eine auf Art. 6 Abs. 1 lit f) DSGVO gestützte Rechtfertigung zur Datenverarbeitung lasse jedoch gerade keine Berücksichtigung öffentlichen Interessen zu. Richtigerweise dürfe das hier artikulierte Informationsinteresse Dritter somit nicht als Teil einer Interessenabwägung nach Art. 6 Abs. 1 lit f DSGVO herangezogen werden. Mangels ausreichender Rechtfertigungsgrundlage sei die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die mitbeteiligte Partei auch aus diesem Grund unzulässig.

16. Mit Stellungnahme vom 28.10.2021 führte die mitbeteiligte Partei abermals aus, dass bereits von der belangten Behörde sowie von diversen Zivilgerichten bestätigt worden sei, dass die gegenständliche Datenverarbeitung zulässig sei, die klagende Partei sei in jeder Instanz unterlegen gewesen. Zudem gebe es höchstgerichtliche Rechtsprechung, die die Rechtmäßigkeit der Datenverarbeitung iZm einem vergleichbaren Geschäftsmodell bejahe (OGH 27.06.2016, 6 Ob 48/16a – docfinder) und die auch bereits unter der neuen Rechtslage von der belangten Behörde bestätigt worden sei (DSB 15.1.2019, DSB-D123.527/0004-DSB/2018 – docfinder). Zur behaupteten Unzulässigkeit der Erstellung eines Online-Verzeichnisses mangels Rechtsgrundlage sei auszuführen, dass Art. 6 Abs. 1 lit f DSGVO kein Ausnahmetatbestand sei, sondern – wie die belangte Behörde zutreffend ausführe – die Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO als gleichwertig anzusehen seien. Die belangte Behörde habe bestätigt, dass die berechtigten Interessen der mitbeteiligten Partei für die vorgenommene Datenverarbeitung tatsächlich vorliegen würden und die Interessenabwägung zugunsten der mitbeteiligten Partei ausfalle. Im Zusammenhang mit der Interessenabwägung sei noch zu berücksichtigen, dass die freiwillige Löschung der Daten des Beschwerdeführers von der Artikel-29-Datenschutzgruppe ausdrücklich als eine „zusätzliche Schutzmaßnahme“ hervorgehoben wurde, die sich zugunsten des Verantwortlichen auf die Interessenabwägung auswirke. Die Interessenabwägung falle daher eindeutig zugunsten der mitbeteiligten Partei aus. Auch die Kontaktaufnahme mit dem Beschwerdeführer mittels Schreiben sei datenschutzrechtlich zulässig gewesen. Die Interessenabwägung der belangten Behörde sei auch auf die Kontaktierung des Beschwerdeführers übertragbar. Selbst der Beschwerdeführer vermeine in seinen Ausführungen zur Einwilligung, dass er hätte kontaktiert werden können und müssen. Wieso dies für eine auf eine Einwilligung gestützte Datenverarbeitung gelten sollte, nicht jedoch für eine, die auf berechtigte Interessen gestützt werde, vermöge der Beschwerdeführer nicht zu begründen. Zudem sei eine allfällige Aktualisierung oder Erweiterung des Informationspools zu den einzelnen XXXX offenkundig auch im Interesse der nach Informationen suchenden Patienten. Der Beschwerdeführer habe keine schutzwürdigen Geheimhaltungsinteressen, die einer Kontaktierung entgegenstehen könnten, vorgebracht.

17. Das Bundesverwaltungsgericht übermittelte die Stellungnahmen am 03.11.2021 der jeweils anderen Partei sowie der belangten Behörde zur Kenntnis und gab ihnen abermals Gelegenheit zur Abgabe einer Stellungnahme.

18. Die mitbeteiligte Partei erstattete am 12.11.2021 eine Stellungnahme in welcher sie zunächst abermals vorbrachte, dass kein Rechtsschutzinteresse des Beschwerdeführers mehr vorliege, da die personenbezogenen Daten des Beschwerdeführers von der mitbeteiligten Partei bereits am 08.01.2019 aus der Plattform gelöscht worden seien und nicht mehr verarbeitet würden. Mit Schreiben vom 27.09.2019 habe die mitbeteiligte Partei die ergänzte Datenschutzerklärung dem Beschwerdeführer übermittelt, womit die Informationserteilung gemäß Art. 14 DSGVO in Befolgung der Spruchpunkte 1 und 2 nun jedenfalls als vollständig anzusehen sei (auch wenn sie es nach Ansicht der mitbeteiligten Partei auch bisher schon gewesen sei). Eine Entscheidung des Bundesverwaltungsgerichts könne gegenständlich die Rechtsstellung des Beschwerdeführers gar nicht mehr berühren bzw. seien die vorgelegten Rechtsfragen lediglich abstrakt-theoretischer Natur und denkmöglich nicht (mehr) von praktischer Relevanz für den Beschwerdeführer. Daraus folge, dass ein Rechtsschutzbedürfnis (Beschwer) des Beschwerdeführers gegenständlich zu verneinen sei und der Bescheidbeschwerde schon allein mangels Erfüllung dieser Prozessvoraussetzung nicht stattgegeben werden könne. Weiters wurde ausgeführt, dass wenn der Beschwerdeführer vermeine, dass die mitbeteiligte Partei die Informationspflicht gemäß Art. 14 DSGVO nicht bloß – wie bisher immer behauptet – „mangelhaft“, sondern vielmehr „gar nicht“ erfüllt habe, sei dem entgegenzuhalten, dass diese Frage nicht Gegenstand dieses Beschwerdeverfahrens sei. Der Beschwerdeführer habe die Spruchpunkte 1. und 2. des angefochtenen Bescheides, die sich auf die Datenschutzerklärung der mitbeteiligten Partei beziehen würden, explizit nicht bekämpft, weshalb eine allfällige Verletzung im Recht auf Information nach Art. 14 DSGVO im Sinne einer gänzlichen Nichterteilung von Informationen (und deren allfällige Folgen) gegenständlich der Prüfungsbefugnis des Bundesverwaltungsgerichts entzogen sei. Es stimme zudem nicht, dass festgestellt worden sei, dass das Schreiben der mitbeteiligten Partei keine Informationen nach Art. 14 DSGVO enthalte. Aus dem Inhalt des Schreibens ergebe sich, dass Informationen nach Art. 14 Abs. 1 lit a und lit d sowie Abs. 2 lit c und lit f DSGVO enthalten seien. Der Beschwerdeführer behaupte zu Unrecht, dass die im bekämpften Bescheid vertretene Rechtsansicht der belangten Behörde angeblich „in Widerspruch zur Rechtsansicht des EuGH“ stehe, der angeblich vertrete, dass die Erfüllung von Informationspflichten sehr wohl eine Voraussetzung für die Rechtmäßigkeit der Datenverarbeitung sei. Zur Stützung dieser Behauptung zitiere der Beschwerdeführer die noch unter der alten Rechtslage gefällte Entscheidung EuGH C-201/14. Diese Entscheidung stütze allerdings den Rechtsstandpunkt des Beschwerdeführers nicht; sie beschäftige sich gar nicht mit dieser Rechtsfrage. Es sei nicht um die Frage gegangen, ob eine Datenverarbeitung bei Verletzung von Informationspflichten unzulässig sei, sondern darum, ob den Informationspflichten durch nationale Vorschriften derogiert werden könne (was verneint worden sei). Der EuGH habe weder in dieser noch in anderen Entscheidungen ausgesprochen, dass die Nichterfüllung von Informationspflichten zur Unzulässigkeit einer (ansonsten rechtmäßigen) Datenverarbeitung führe – weder nach der alten, noch nach der neuen Rechtslage. Für eine solche Rechtsauslegung bestehe – insbesondere unter der DSGVO, die die Rechtmäßigkeit einer Datenverarbeitung ausdrücklich in Art. 6 und ohne Bezugnahme auf die Informationspflichten nach Art. 13 und 14 regle – auch keine Basis. Dies sei auch von der belangten Behörde bestätigt worden. Auch die Berufung auf Erwägungsgrund 60 vermöge den Standpunkt des Beschwerdeführers nicht zu stützen. Abgesehen davon, dass die Erwägungsgründe einer Verordnung keinen normativen Charakter hätten, sei die vom Beschwerdeführer daraus abgeleitete Rechtsfolge, dass die Informationspflichten nach Art. 13 und 14 DSGVO mit dem Grundsatz der Verarbeitung nach Treu und Glauben bzw. mit dem Grundsatz der Transparenz, die sich beide aus Art. 5 Abs. 1 lit. a DSGVO ergeben, gleichzusetzen seien, unrichtig. Zunächst sei zu betonen, dass die vorerwähnten Grundsätze vom Grundsatz der Rechtmäßigkeit (der sich ebenfalls aus Art. 5 Abs. 1 lit. a DSGVO ergebe) unterschieden werden müssten – diese drei Grundsätze würden unabhängig voneinander bestehen. Der Grundsatz der Rechtmäßigkeit sei nach herrschender Lehre so zu verstehen, dass er sich auf das Erfordernis des Vorliegens eines Erlaubnistatbestands zur Datenverarbeitung beziehe und nicht jeglicher davon losgelöster Verstoß gegen Datenschutzvorschriften – so auch nicht ein Verstoß gegen Informationspflichten nach Art. 14 DSGVO – einen Verstoß gegen den Grundsatz der Rechtmäßigkeit darstelle. Diese Wertung sei auch den Erwägungsgründen der DSGVO zu entnehmen; so heiße es in Erwägungsgrund 39, dass „jede Verarbeitung personenbezogener Daten rechtmäßig und nach Treu und Glauben erfolgen [sollte]“ – die Rechtmäßigkeit sei daher getrennt von der Verarbeitung nach Treu und Glauben zu betrachten. Zudem verkenne der Beschwerdeführer Folgendes: Die Grundsätze nach Art. 5 DSGVO hätten einen programmatischen Charakter und würden daher naturgemäß bis zu einem gewissen Grad Niederschlag in den „Ausführungsbestimmungen“ der DSGVO finden. Da Art. 5 DSGVO jedoch nicht nur programmatisch, sondern auch unmittelbar verbindlich und für sich strafbewehrt sei, müssten diese beiden Ausprägungen des Art. 5 DSGVO streng voneinander unterschieden werden. Daraus folge, dass zwar jeder Verstoß gegen einen Grundsatz nach Art. 5 DSGVO auch einen Verstoß gegen eine „Ausführungsbestimmung“ der DSGVO, in der der programmatische Charakter des Grundsatzes einen Niederschlag gefunden habe, beinhalte – umgekehrt aber nicht jeder Verstoß gegen eine „Ausführungsbestimmung“ auch einen Verstoß gegen den entsprechenden Grundsatz darstelle. Ein Verstoß gegen eine „Ausführungsbestimmung“ müsse entsprechend schwerwiegend sein, um sich zu einem Verstoß gegen einen Grundsatz nach Art. 5 DSGVO „verdichten“ zu können. Es bestünde sonst auch kein Grund, einen Verstoß gegen eine „Ausführungsbestimmung“ der DSGVO eigens unter Strafsanktion zu setzen, wenn dieser ohnehin immer ein sanktionsbewehrter Art. 5 DSGVO-Verstoß wäre. Ein Verstoß gegen den Grundsatz der Verarbeitung nach Treu und Glauben bzw. der Transparenz sei gegenständlich nicht gegeben. Dem Bescheid der belangten Behörde zufolge sei die Datenschutzerklärung der mitbeteiligten Partei in Ordnung; lediglich zwei Bulletpoints der mehrere Seiten umfassenden Datenschutzerklärung seien – nach Ansicht der Beschwerdegegnerin zu Unrecht – für „intransparent“ befunden worden. Ein sonstiger Verstoß gegen die Informationspflichten, insbesondere im Hinblick auf den sonstigen Inhalt, die Art und den Zeitpunkt der Informationserteilung – sei von der belangten Behörde verneint worden. Es wäre völlig unsachlich und rechtsirrig, in der – nach Ansicht der Beschwerdeführerin zu Unrecht – festgestellten „Minimalverletzung“, wegen der die belangte Behörde es nicht einmal für notwendig befunden habe, ein Verwaltungsstrafverfahren einzuleiten, einen Verstoß gegen Art. 5 DSGVO zu sehen. Zuletzt vermeine der Beschwerdeführer, dass die belangte Behörde bei der Interessenabwägung nach Art. 6 Abs. 1 lit f DSGVO von falschen Grundlagen ausgegangen sei. Jedoch schlage auch bei Ausklammerung von Allgemeininteressen die Interessenabwägung auf Grund des berechtigten geschäftlichen Interesses ganz klar zugunsten der mitbeteiligten Partei aus. Zudem sei die Behauptung des Beschwerdeführers, wonach die belangte Behörde die Informationsinteressen der Allgemeinheit nicht berücksichtigen hätte dürfen, rechtlich unrichtig. Schon Art. 6 Abs. 1 lit f DSGVO spreche ausdrücklich von „berechtigten Interessen des Verantwortlichen oder eines Dritten“. Selbst die vom Beschwerdeführer angeführte Quelle sage klar, dass bei der Verarbeitung auf Basis berechtigter Interessen nach Art. 6 Abs. 1 lit f DSGVO Allgemeininteressen berücksichtigt würden, es werde sogar ausdrücklich das Informationsinteresse einer breiteren Öffentlichkeit an Veröffentlichungen als Beispiel genannt. Auch die ehemalige Artikel-29-Datenschutzgruppe vertrete diese Ansicht.

19. Der Beschwerdeführer erstattete ebenfalls am 12.11.2021 eine Stellungnahme und führte (soweit verfahrensgegenständlich relevant) aus, dass die Ausführungen der mitbeteiligten Partei sowie der belangten Behörde unrichtig und unzutreffend seien. Soweit die mitbeteiligte Partei die docfinder.at II Entscheidung des OGH zitiere, sei zu beachten, dass jene Entscheidung noch zur Rechtslage vor Geltung der DSGVO erging. Abgesehen davon sei diese Entscheidung bei der gebotenen genauen Betrachtung inhaltlich mit dem vorliegenden Sachverhalt nicht vergleichbar, da der dortige Onlineverzeichnis-Betreiber (anders als die mitbeteiligte Partei) als neutraler Informationsmittler fungiere. Der deutsche BGH habe in einem vergleichbaren Fall dem dortigen Onlineverzeichnis-Betreiber die Datenverarbeitung untersagt und ausgesprochen, dass der Onlineverzeichnis-Betreiber seine auf das Grundrecht der Meinungs- und Medienfreiheit gestützte Rechtsposition gegenüber dem Recht der dort mit ihren Basisdaten ungefragt aufgenommenen Person auf Schutz ihrer informationellen Selbstbestimmung nicht geltend machen könne. Abermals sei festzuhalten, dass das Führen einer öffentlichen Datenbank mit XXXX im öffentlichen Interesse liege, wie sich XXXX ergebe, und die mitbeteiligte Partei als private Stelle eine Datenverarbeitung gerade nicht mit der Wahrnehmung öffentlicher Interessen rechtfertigen könne.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

1.1. Der Beschwerdeführer ist XXXX und XXXX „ XXXX “.

1.2. Das im gegenständlich relevanten Zeitraum (September 2018 bis 08.01.2019) zuständige Bundesministerium für XXXX (BM XXXX ) führte unter der Domain XXXX eine öffentliche und im Internet abrufbare Liste der im Inland eingetragenen XXXX (derzeit 10.735 Personen). Inzwischen wird diese Liste vom Bundesministerium für XXXX (BM XXXX ) geführt. In dieser Liste wurden und werden in reiner Textform Vor- und Familienname, akademischer Grad, Berufsbezeichnung, Zusatzbezeichnung, Berufssitz und/oder Dienstort (Postadresse, Telefonnummer, E-Mail-Adresse) der erfassten Personen angeführt. Die Darstellung war und ist nicht responsiv (d.h. nicht für die Nutzung auf mobilen Geräten optimiert) und enthielt bzw. enthält keine Informationen über Zusatzausbildungen, Arbeitsschwerpunkte, XXXX und XXXX . Der Beschwerdeführer ist nach wie vor mit seinen personenbezogenen Daten in dieser Liste verzeichnet. So waren am 21.12.2018 die auf S. 10 des beschwerdegegenständlichen Bescheides konkret dargestellten Daten über ihn abrufbar und sind diese im selben Umfang zum Entscheidungszeitpunkt noch immer abrufbar.

1.3. Die mitbeteiligte Partei führt seit XXXX unter der XXXX ein Online-Verzeichnis von XXXX und XXXX in XXXX mit Sitz in Österreich. Für dieses Online-Verzeichnis übernahm die mitbeteiligte Partei die Daten aus der Liste des BM XXXX ohne zuvor die Zustimmung der darin enthaltenen Personen einzuholen. Die Plattform der mitbeteiligten Partei ist für mobile Endgeräte optimiert (responsive Darstellung) und enthält eine Suchfunktion mit nur einem Formularfeld und eine Detailsuche mit weiteren Filtern. Betreffend die Gestaltung und den Inhalt der Einträge zu den einzelnen Therapeuten bietet die Plattform der mitbeteiligten Partei einerseits eine kostenfreie Variante (ensptechend der Liste des BM XXXX und einer alfälligen Angabe von Spezialisierungs- bzw. Filterkriterien), andererseits (im Fall einer entsprechenden Bestellung des Namensträgers) auch drei (in Umfang und Platzierung unterschiedliche) erweiterte und kostenpflichtige Pakete (Basis, Top, Premium) an. Die mit der kostenpflichtigen Buchung erweiterter Pakete angebotenen Zusatzleistungen umfassen u.a. die Vorreihung und Hervorhebung in den Suchergebnissen (ohne Kennzeichnung des kostenpflichtigen Eintrags), die Aufnahme eines unterschiedlich großen Profilbilds bis hin zu einer Galerie mit 15 Bildern/Videos und die Veröffentlichung von Zusatzinformationen (Publikationen, Verlinkung mit Homepage und Blogartikel).

Die Plattform dient einerseits dem kommerziellen Interesse der mitbeteiligten Partei, andererseits jedenfalls auch dem Interesse der interessierten Öffentlichkeit an einer nutzerfreundlichen Bereitstellung der Daten und der Zurverfügungstellung von Zusatzinformationen. Überdies dient die Plattform dem Interesse jener XXXX , die sich auf der Plattform mit zusätzlichen Informationen präsentieren wollen.

1.4. In diese Liste wurden personenbezogene Daten des Beschwerdeführers im Umfang der vom BM XXXX veröffentlichten Informationen aufgenommen und waren ab September 2018 abrufbar. Die personenbezogenen Daten des Beschwerdeführers werden seit 08.01.2019 nicht mehr im Online-Verzeichnis der mitbeteiligten Partei verarbeitet. Der Beschwerdeführer kann jedoch in seiner beruflichen Funktion über die Liste des BM XXXX , gängige Suchmaschinen sowie das Online-Verzeichnis „ XXXX nach wie vor von Dritten aufgefunden werden.

1.5. Die mitbeteiligte Partei kontaktierte den Beschwerdeführer im XXXX einmalig per Brief, um ihm mitzuteilen, dass mit September 2018 das neue österreichische XXXX starte und der Beschwerdeführer kostenfrei in das Online-Verzeichnis der mitbeteiligten Partei eingetragen worden sei. Im Schreiben wurden die Zwecke des Online-Verzeichnisses beschrieben (u.a. Suche nach einer geeigneten XXXX so einfach wie möglich und barrierefrei zu gestalten, Erzielung einer relevanten Reichweite an möglichen KlientInnen), weiters wurde dem Beschwerdeführer mit diesem Brief ein Benutzername sowie ein Freischaltcode übermittelt, mit welchem er seinen Eintrag verwalten könne. Schließlich wurde dem Beschwerdeführer der Erwerb von kostenpflichtigen Eintragspaketen angeboten, um eine größere Reichweite zu erzielen und interessierten KlientInnen zusätzliche Informationen zukommen zu lassen.

1.6. In seiner Beschwerde an die Datenschutzbehörde vom 21.12.2018 (verbessert mit Eingabe vom 05.02.2019) brachte der Beschwerdeführer zusammengefasst vor, dass die mitbeteiligte Partei gegen § 1 Abs. 1 DSG sowie die Vorgaben der Art. 6 und 14 DSGVO verstoße, indem sie den Beschwerdeführer in das von ihr geführte Online- Verzeichnis von XXXX eigenmächtig und ohne vorherige Einholung seiner Zustimmung aufgenommen habe sowie den Beschwerdeführer in diesem Zusammenhang kontaktiert habe und darüber hinaus auch nicht ihren Informationspflichten nachgekommen sei.

1.7. Am 10.04.2019 übermittelte die mitbeteiligte Partei dem Beschwerdeführer postalisch eine aktualisierte Version ihrer Datenschutzerklärung.

1.8. Mit Bescheid der belangten Behörde vom 19.08.2019 gab die belangte Behörde der Datenschutzbeschwerde des Beschwerdeführers hinsichtlich der geltend gemachten Verletzung im Recht auf Information iSd Art. 14 Abs. 1 lit. c (inhaltliche Mängel der nachgereichten Datenschutzerklärung) statt (Spruchpunkt 1.), trug der mitbeteiligten Partei auf, innerhalb einer Frist von vier Wochen bei sonstiger Exekution dem Beschwerdeführer a) die Information nach Art. 14 Abs. 1 lit. c derart zu erteilen, dass ersichtlich sei, in welchen Fällen personenbezogene Daten des Beschwerdeführers aufgrund welcher konkreten rechtlichen Verpflichtung verarbeitet worden seien sowie b) die Information nach Art. 14 Abs. 1 lit. c derart zu erteilen, dass ersichtlich sei, in welchen Fällen personenbezogene Daten des Beschwerdeführers auf den Erlaubnistatbestand des Art. 6 Abs. 1 lit. f gestützt verarbeitet worden seien (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 3.) und der Antrag des Beschwerdeführers auf Einleitung eines Strafverfahrens gegen die mitbeteiligte Partei zurückgewiesen (Spruchpunkt 4.).

1.9. Gegen die Spruchpunkte 3. und 4. dieses Bescheides erhob der Beschwerdeführer fristgerecht Bescheidbeschwerde an das Bundesverwaltungsgericht.

1.10. Am 27.09.2019 übermittelte die mitbeteiligte Partei in Reaktion auf den bescheidmäßigen Auftrag der belangten Behörde dem Beschwerdeführer eine ergänzte Information.

1.11. Mit Beschluss vom 26.11.2019, Zl. XXXX , gab der OGH dem außerordentlichen Revisionsrekurs gegen den Beschluss des Oberlandesgerichts Wien als Rekursgericht vom 04.04.2019, GZ XXXX , nicht Folge, womit der Beschluss des Handelsgerichts Wien vom 13.02.2019, GZ XXXX , bestätigt worden ist. Aus dem Beschluss des OGH ergibt sich, dass dieser den standesrechtlichen und wettbewerbsrechtlichen Bedenken des Revisionsrekurswerbers nicht gefolgt ist und dass die bekämpften Veröffentlichungen der Beklagten (Vorreihungen, Zusatzinformationen über „Zahlkunden“) keine standesrechtlichen Vorschriften verletzen.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie dem gegenständlichen Gerichtsakt und sind unstrittig.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.1.1. Die Beschwerde wurde fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

Hierbei ist vor allem darauf hinzuweisen, dass die personenbezogenen Daten des Beschwerdeführers nach den Feststellungen zum Entscheidungszeitpunkt nicht mehr im Online-Verzeichnis der mitbeteiligten Partei verarbeitet werden, die belangte Behörde bzw. im vorliegenden Fall das Bundesverwaltungsgericht jedoch nicht daran gehindert ist, eine allfällige Rechtsverletzung im Recht auf Geheimhaltung (in der Vergangenheit) festzustellen. So geht aus der aktuellen Rechtsprechung des Verwaltungsgerichtshofes hervor, dass im Allgemeinen das im Zeitpunkt der Erlassung des Erkenntnisses geltende Recht anzuwenden ist, eine andere Betrachtungsweise [aber] dann geboten ist, wenn der Gesetzgeber in einer Übergangsbestimmung zum Ausdruck bringt, dass auf anhängige Verfahren noch das bisher geltende Gesetz anzuwenden ist, oder wenn darüber abzusprechen ist, was an einem bestimmten Stichtag oder einem konkreten Zeitraum rechtens gewesen ist. Im dem Verwaltungsgerichtshof vorgelegten Fall ging es um eine (behauptete) Verletzung im Recht auf Geheimhaltung durch eine mehr als vier Jahre vor Inkrafttreten der DSGVO und des DSG erfolgte Übermittlung von Daten. Der Verwaltungsgerichtshof hielt fest, dass es daher um die Frage gehe, ob ein zu einem bestimmten Zeitpunkt erfolgter, bei Inkrafttreten der DSGVO abgeschlossener Vorgang rechtens gewesen ist. Daraus folgt aber zwingend, dass im Falle einer (behaupteten) Verletzung im Recht auf Geheimhaltung (auch für die Vergangenheit) ein Feststellungsanspruch besteht (siehe VwGH 23.02.2021, Ra 2019/04/0054-8 Rz 25f.).

3.2. Rechtslage:

Die belangte Behörde hat ihrem Bescheid (sofern für das gegenständliche Beschwerdeverfahren relevant) die folgenden Rechtsgrundlagen zugrunde gelegt: §§ 1 sowie 24 Abs. 1, 5 und 6 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF sowie Art. 6, 12. 14, 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), Abl. Nr. L 119 vom 04.05.2015, S. 1. Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen, darüber hinaus ist auch Art. 5 DSGVO relevant.

§ 1 DSG lautet:

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.“

§ 24 Abs. 1, 5 und 6 DSG lauten:

„§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

Art. 5 DSGVO lautet:

„Art. 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 6 DSGVO lautet:

„Art. 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. 4Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“

Art. 12 DSGVO lautet:

„Art. 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. 2Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. 3Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. 2In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. 2Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. 3Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. 2Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. 2Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.“

Art. 14 DSGVO lautet:

„Art. 14

Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,

c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder

d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.“

Art. 32 DSGVO lautet:

„Art. 32

Sicherheit der Verarbeitung

(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;

b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

(2) Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

(3) Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der in Absatz 1 des vorliegenden Artikels genannten Anforderungen nachzuweisen.

(4) Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.“

Art. 57 Abs. 1 lit. f DSGVO lautet:

„Art. 57

Aufgaben

(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet

f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;“

Art. 58 Abs. 2 lit. c DSGVO lautet:

„Art. 58

Befugnisse

(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,“

Art. 77 DSGVO Abs. 1 DSGVO lautet:

„Art. 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

Art. 83 DSGVO lautet:

„Art. 83

Allgemeine Bedingungen für die Verhängung von Geldbußen

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und j verhängt. 2Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen;

e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

b) die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;

c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;

b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;

c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;

d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;

e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz 1.

(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.

(8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.

(9) Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, kann dieser Artikel so angewandt werden, dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. 2In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. 3Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften.“

3.3. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes:

3.3.1. Zur Zurückweisung des Antrags auf Kostenersatz:

Gegenständlich handelt es sich um ein Verfahren über die Beschwerde gegen einen Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit im Sinne des Art. 130 Abs. 1 Z 1 B-VG. In diesem Zusammenhang ist festzuhalten, dass der Beschwerdeführer mit seinem Antrag, „den Beschwerdegegner“ zum Kostenersatz zu verpflichten, offenbar die mitbeteiligte Partei meint.

Nachdem das VwGVG für Bescheidbeschwerden keinen Kostenersatz vorsieht, sind gemäß § 17 VwGVG subsidiär die entsprechenden Regelungen des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG) anzuwenden.

Gemäß § 74 Abs. 1 AVG hat jeder Beteiligte die ihm im Verwaltungsverfahren erwachsenden Kosten selbst zu bestreiten. Dieser Grundsatz gilt für sämtliche Parteienkosten, also etwa Anwaltskosten, Kosten für Privatgutachten etc. (VwSlg. 16.636 A/2005 mwN). Nach Abs. 2 leg. cit. bestimmen die Verwaltungsvorschriften, inwieweit einem Beteiligten ein Kostenersatzanspruch gegen einen anderen Beteiligten zusteht.

Ein wie vom Beschwerdeführer beantragter Kostenersatz käme daher nur in Betracht, wenn hierfür eine Rechtsgrundlage bestünde und die sachliche Zuständigkeit des erkennenden Gerichts darüber vorliegen würde, über einen solchen Antrag abzusprechen (Art. 18 Abs. 1 B-VG).

Gegenständlich besteht weder im VwGVG, noch im subsidiär anzuwendenden AVG eine Rechtsgrundlage für einen Kostenersatz im Verfahren über eine Bescheidbeschwerde, da § 35 VwGVG einen Kostenersatzanspruch lediglich über Beschwerden wegen Ausübung unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt iSd. Art. 130 Abs. 1 Z 2 B-VG vorsieht.

Mangels materienspezifischer Sonderregelung im DSG oder in der DSGVO ergibt sich auch aus § 74 Abs. 2 AVG kein Kostenersatzanspruch.

Es liegen auch keinerlei Anhaltspunkte für eine planwidrige Lücke im Gesetz vor, die es erlauben würde, diese im Wege der Analogie zu schließen. Im Gegenteil hat sich der Gesetzgeber ausdrücklich für eine grundsätzliche Selbstbestreitung der Kosten im Verwaltungsverfahren entschieden und ist auch nicht davon auszugehen, dass er im DSG einen Kostenersatzanspruch regeln wollte und dies bloß „vergessen“ hat.

Weiters ist festzuhalten, dass weder im Verfahren vor der belangten Behörde, noch im Verfahren vor dem Bundesverwaltungsgericht Anwaltspflicht herrscht (§ 17 VwGVG iVm § 10 AVG) und es gerade intendiert war, den Beschwerdeführern ohne (außer den bei Einbringung der Beschwerde erforderlichen Gebühren) weitere Kosten niederschwellig eine Anrufung des Bundesverwaltungsgerichtes möglich zu machen. Eine Heranziehung eines Rechtsanwaltes ist auch deshalb nicht notwendig, da die Beschwerde vor der belangten Behörde oder dem Bundesverwaltungsgericht bei eventuell auftretenden Mängeln in der Ausführung der Beschwerde nicht sofort zurückzuweisen ist, sondern vielmehr ein Verbesserungs- bzw. Mängelbehebungsauftrag zu ergehen hat (§ 17 VwGVG iVm § 13 Abs. 3 AVG), sodass es auch anwaltlich nicht vertretenen Parteien mithilfe der Anleitung durch die Behörde bzw. das Gericht jedenfalls möglich ist, ein solches Verfahren ordnungsgemäß zu führen.

Der Verfassungsgerichtshof führt dazu in einem vergleichbaren Fall aus:

„Es liegt im rechtspolitischen Gestaltungsspielraum des Verwaltungsverfahrensgesetzgebers, ob und in welchen Fällen er eine Selbsttragung der Verfahrenskosten (iSd § 74 Abs. 1 AVG) oder einen Kostenersatzanspruch gegen einen anderen Beteiligten (vgl. § 74 Abs. 2 AVG iVm dem jeweiligen Materiengesetz) normiert. Dem Nachteil im (datenschutzrechtlichen) Verwaltungsverfahren, die eigenen Kosten selbst zu tragen, steht der Vorteil des fehlenden Risikos gegenüber, zur Übernahme von Kosten eines anderen Beteiligten verpflichtet zu werden.“ (E 315/2020-5 vom 26.02.2020).

Die Beschwerde war daher diesbezüglich zurückzuweisen.

3.3.2. Zur behaupteten Verletzung im Recht auf Geheimhaltung durch die mitbeteiligte Partei aufgrund der Verarbeitung der personenbezogenen Daten des Beschwerdeführers im Online-Verzeichnis:

Der Beschwerdeführer bringt hierzu in seiner Bescheidbeschwerde zusammengefasst vor, dass die belangte Behörde die Unzulässigkeit der Datenverarbeitung mangels Rechtfertigungsgrundlage bzw. ausreichender Informationserteilung zu Unrecht verneint habe. Die belangte Behörde habe die Beurteilung der für die Interessensabwägung maßgeblichen Kriterien teils gar nicht, teils unrichtig angewandt.

Der Beschwerdeführer ist mit seinen Ausführungen jedoch nicht im Recht:

Nach Art. 6 Abs. 1 lit. f DSGVO ist eine Verarbeitung gerechtfertigt, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Bei einer nach diesen Vorgaben durchzuführenden Interessenabwägung ist zu prüfen, welche Interessen der Verantwortliche an der Verarbeitung verfolgt und welche Auswirkungen diese Verarbeitung auf die betroffenen Personen hat, insbesondere unter Einbeziehung ihrer Grundrechte und Grundfreiheiten. Mit anderen Worten ist eine Abwägung vorzunehmen und festzustellen, welche Interessen schwerer wiegen. Schlägt die Abwägung zugunsten des Verantwortlichen aus, so kann die Verarbeitung auf diesen Rechtfertigungstatbestand gestützt werden, ebenso bei einem Gleichstand der Interessen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 66 ff. (Stand 1.12.2020, rdb.at)).

Es hat daher in weiterer Folge eine Bewertung der berechtigten Interessen des Verantwortlichen (der mitbeteiligten Partei als Betreiberin des Online-Verzeichnisses) sowie Dritter (Personen, die sich über die gelisteten XXXX informieren bzw. eine Behandlung in Anspruch nehmen möchten sowie der XXXX selbst, die Interesse haben, auf dieser Plattform aufzuscheinen) zu erfolgen und sind jene Interessen sowie möglichen Folgen für den Beschwerdeführer (als – bis zum 08.01.2019 im Verzeichnis gelisteter – XXXX ) zu berücksichtigen, die sich durch die gegenständliche Verarbeitung ergeben.

Zur konkreten Abwägung der Interessen hat der EuGH zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung des Art. 7 lit f DS-RL ein “Prüfschema“ entwickelt, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist (EuGH 11.12.2019, C-708/18 [Asociatia de Proprietari bloc M5A-ScaraA] Rz 40):

1. Vorliegen eines berechtigten Interesses, das vom Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird (angepasst an die etwas geänderte Formulierung von Art. 6 Abs. 1 lit f),

2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und

3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person.

Weiters ist festzuhalten, dass -– entgegen der Ansicht des Beschwerdeführers – Art. 6 Abs. 1 lit. f nicht als Ausnahmetatbestand zu verstehen ist, sondern – wie die belangte Behörde zutreffend ausgeführt hat - als gleichwertig mit den anderen Rechtsgründen für die Zulässigkeit der Verarbeitung anzusehen sind. Dies folgt schon aus dem Wortlaut der Bestimmung, wonach die Verarbeitung nur rechtmäßig ist, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 Rz 14 DSGVO). Auch § 1 DSG sieht vor, dass eine Verarbeitung personenbezogener Daten (unter anderem) auch dann rechtmäßig ist, wenn sie zur Wahrung überwiegender berechtigter Interessen eines anderen erforderlich ist (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 6). Dass es der mitbeteiligten Partei nach dem Vorbringen des Beschwerdeführers möglich gewesen wäre, eine Einwilligung der betroffenen Person einzuholen, ist demnach im vorliegenden Fall ohne Belang (siehe dazu näher Punkt 3.3.2.2.).

3.3.2.1. Zur ersten Voraussetzung: Vorliegen eines berechtigten Interesses:

Zu den berechtigten Interessen, die bei der Interessenabwägung ins Treffen geführt werden können, zählen – entgegen den Ausführungen des Beschwerdeführers – neben rechtlichen Interessen auch tatsächliche, wirtschaftliche oder ideelle Interessen. Aus dem Wortlaut der Bestimmung und der Rechtsprechung des EuGH ergibt sich, dass auch Interessen eines Dritten die Verarbeitung durch den Verantwortlichen rechtfertigen können (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 73 (Stand 1.12.2020, rdb.at).

Demnach ist dem Argument des Beschwerdeführers, die belangte Behörde hätte bei der Interessenabwägung nicht auf das Informationsinteresse Dritter abstellen dürfen, nicht zu folgen. Nur öffentliche Interessen, die keinen Bezug zu einzelnen Personen haben, werden in Abgrenzung zu Art. 6 Abs. 1 lit. e DSGVO nicht erfasst, sodass ausgeschlossen ist, dass private Stellen eine Verarbeitung der Wahrnehmung von Allgemeininteressen (z.B. Terrorismusabwehr, Volksgesundheit) rechtfertigen (siehe Schantz in Simitis|Hornung|Spiecker [Hrsg.] Datenschutzrecht, Art. 6 Abs. 1 Rz 98f.). Dies ist aber hier gerade nicht der Fall. Auch die Artikel 29 Datenschutzgruppe vertritt die Ansicht, dass im Hinblick auf die Beurteilung der Rechtmäßigkeit der Verarbeitung das Interesse der breiten Öffentlichkeit oder das Interesse Dritter eine Rolle spielen kann. Es kann auch sein, dass das private Geschäftsinteresse eines Unternehmens sich in gewissem Maße mit einem öffentlichen Interesse deckt (siehe Art. 29-Datenschutzgruppe, WP 217 a.a.O. S. 36 u. 45).

Zunächst ist festzuhalten, dass die mitbeteiligte Partei – wie von der belangten Behörde zurecht angenommen – jedenfalls ein wirtschaftliches Interesse an der Betreibung des Online-Verzeichnisses hat, da sie den im Verzeichnis vorhandenen XXXX erweiterte und kostenpflichtige Pakete anbietet, mit welchen diese ihren Eintrag gewissermaßen „aufwerten“ können, indem eine Vorreihung und Hervorhebung in den Suchergebnissen, die Aufnahme eines unterschiedlich großen Profilbilds bis hin zu einer Galerie mit 15 Bildern/Videos und die Veröffentlichung von Zusatzinformationen (Publikationen, Verlinkung mit Homepage und Blogartikel) ermöglicht wird. Ein solches wirtschaftliches Interesse im Sinn einer Gewinnerzielung kann jedenfalls ein berechtigtes Interesse im Sinne dieser Bestimmung darstellen (siehe abermals Art 29-Datenschutzgruppe in WP 217, 31 ff mit Verweis auf Art. 16 GRC).

Insofern ist auch ohne Belang, dass es bereits ähnliche Online-Verzeichnisse von XXXX in Österreich gibt, weil es auf das berechtigte Interesse des Verantwortlichen selbst ankommt (vgl. Schantz in Simitis|Hornung|Spiecker [Hrsg.] Datenschutzrecht, Art. 6 Abs. 1 Rz 99).

Weiters liegen im vorliegenden Fall Interessen Dritter, nämlich Personen, die sich über die gelisteten XXXX informieren bzw. eine Behandlung in Anspruch nehmen möchten, vor. Die Plattform der mitbeteiligten Partei bietet nach den Feststellungen auch insofern einen Mehrwert für Dritte im Vergleich zur öffentlichen Liste des (damals zuständigen) BM XXXX , indem sie für mobile Endgeräte optimiert (responsive Darstellung) ist und eine Suchfunktion sowie eine Detailsuchmöglichkeit mit weiteren Filtern enthält. Das Online-Verzeichnis bietet darüber hinaus – soweit eine der kostenpflichtigen Varianten vom betroffenen XXXX /der betroffenen XXXX genutzt wird, Informationen über Zusatzausbildungen, Arbeitsschwerpunkte, die XXXX und ob XXXX vorhanden sind. Ob dadurch eine Verletzung von lauterkeitsrechtlichen Bestimmungen gegeben ist, ist vom Bundesverwaltungsgericht nicht zu beurteilen, da dies in den Zuständigkeitsbereich der ordentlichen Gerichte fällt. Im Übrigen wurden die diesbezüglichen Bedenken des Beschwerdeführers in den bereits vor den Zivil- bzw. Handelsgerichten geführten Verfahren auch nicht geteilt.

Es liegen sohin nach dem soeben Ausgeführten sowohl berechtigte Interessen der mitbeteiligten Partei als auch Dritter vor.

3.3.2.2. Zur zweiten Voraussetzung: Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses:

Die verarbeiteten personenbezogenen Daten müssen für den Verwendungszweck objektiv angemessen, für den Zweck auch erheblich und auf das für den Zweck notwendige Maß beschränkt sein (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO Rz 76 (Stand 1.12.2020, rdb.at).

Im vorliegenden Fall ist es zur Verwirklichung des berechtigten Interesses (Betreibung des Online-Verzeichnisses) erforderlich, die personenbezogenen Daten der XXXX zu verarbeiten. Ein gelinderes Mittel ist insofern nicht ersichtlich. Selbst der Beschwerdeführer tritt diesem Umstand in seiner Bescheidbeschwerde nicht entgegen, wenngleich er das kommerzielle Interesse der mitbeteiligten Partei nicht als berechtigtes Interesse erkennt und vermeint, dass eine Zustimmung einzuholen gewesen wäre. Wie die mitbeteiligte Partei zudem zurecht ausführt, wird die Erforderlichkeit nicht schon generell dadurch beseitigt, dass es der mitbeteiligen Partei möglich gewesen wäre, vorab eine Einwilligung einzuholen, da sich diese nicht auf den Rechtfertigungstatbestand der Einwilligung, sondern auf jenen der berechtigten Interessen beruft. Auch die konkreten Umstände der Datenverarbeitung (vgl. Schantz in Simitis|Hornung|Spiecker [Hrsg.] Datenschutzrecht, Art. 6 Abs. 1 Rz 11) führen im vorliegenden Fall nicht dazu, dass eine vorherige Einwilligung des Beschwerdeführers in die Verarbeitung erforderlich gewesen wäre (siehe dazu unten Punkt 3.3.2.3). Den diesbezüglichen Ausführungen des Beschwerdeführers ist daher nicht zu folgen.

3.3.2.3. Zur dritten Voraussetzung: kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person:

Letztendlich ist im Rahmen der Interessenabwägung zu prüfen, in welchem Verhältnis sich die Interessen der jeweiligen Parteien gegenüberstehen. Als generelle Maxime gilt bei der Prüfung, dass ein geringes und nicht besonders zwingendes Interesse eines Verantwortlichen für gewöhnlich nur dann stärker als die Interessen und Rechte der betroffenen Person zu gewichten ist, wenn die Auswirkungen auf diese Interessen und Rechte der betroffenen Person gering sind. Je wichtiger und zwingender die berechtigten Interessen des Verantwortlichen sind, desto massivere Eingriffe in die Interessen und Rechte der betroffenen Person lassen sich dadurch rechtfertigen. Hier sind auch Schutzmaßnahmen zur Abmilderung von unangemessenen Folgen für betroffene Personen zu berücksichtigen, die eine besondere Rolle in der Abwägung spielen. Die Interessenabwägung hat zudem immer aus objektiver Sicht zu erfolgen. Eine wichtige und hilfreiche Auslegungshilfe bei dieser Abwägung ist ErwGr Art 47 Satz 1 zu entnehmen: “Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.“ In dieselbe Richtung geht auch Satz 4 desselben ErwGr: “Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.“ Bei der Überlegung, was die vernünftige Erwartungshaltung der betroffenen Person im jeweiligen Verarbeitungszusammenhang umfasst, kommt es darauf an, ob die betroffene Person im Zeitpunkt der Datenerhebung unter Berücksichtigung der Umstände vernünftigerweise damit rechnen konnte, dass eine Datenverarbeitung für einen bestimmten Zweck stattfinden wird.

Im vorliegenden Fall ist hervorzuheben, dass die (in der Vergangenheit) verarbeiteten Daten des Beschwerdeführers nicht unrichtig waren (siehe Buchner/Petri in Kühling/Buchner, Datenschutzgrundverordnung Bundesdatenschutzgesetz, 2.Auflage, Art. 6 DS-GVO Rz 151) und es sich bei den im Online-Verzeichnis verarbeiteten personenbezogenen Daten des Beschwerdeführers um bereits in der Liste des BM XXXX befindliche – und insofern öffentlich zugängliche – Daten handelt, weshalb die Geheimhaltungsinteressen des Beschwerdeführers an diesen Daten nicht als besonders ausgeprägt anzusehen sind (vgl. Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung Art. 6 Rz 28). Die personenbezogenen Daten des Beschwerdeführers wurden auch lediglich in dem Umfang verarbeitet, wie sie sich bereits in der Liste des BM XXXX befunden haben. Dazu kommt der Umstand, dass es sich bei den in Rede stehenden personenbezogenen Daten des Beschwerdeführers um keine „besondere Kategorie personenbezogener Daten“ iSd Art. 9 DSGVO, strafrechtlich relevante Daten oder Daten über die wirtschaftlichen und finanziellen Verhältnisse des Beschwerdeführers handelt (siehe dazu Schantz in Simitis|Hornung|Spiecker [Hrsg.] Datenschutzrecht, Art. 6 Abs. 1 Rz 105f), diese der Berufssphäre des Beschwerdeführers zuzuordnen sind (vgl. dazu Buchner/Petri in Kühling/Buchner, Datenschutzgrundverordnung Bundesdatenschutzgesetz, 2.Auflage, Art. 6 DS-GVO Rz 150; Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Auflage, Art. 6 Rz 28) und die Verarbeitung durch die mitbeteiligte Partei auch in einem fachlich einschlägigen Online-Verzeichnis erfolgte. Es besteht sohin nach dem oben Ausgeführten ein enger sachlicher und typischer Zusammenhang, weshalb davon ausgegangen werden kann, dass der Beschwerdeführer als betroffene Person vernünftigerweise (objektiv) mit der Verarbeitung rechnen musste. Die mitbeteiligte Partei hat in ihrer Stellungnahme vom 28.10.2021 auch nachvollziehbar ausgeführt, dass mit negativen Folgen einer Datenverarbeitung (wie etwa Identitätsdiebstahl, finanzieller Verlust oder Rufschädigung) im vorliegenden Fall nicht zu rechnen ist (und sich ein allfälliges Risiko im gegenständlichen Fall auch nicht verwirklicht hat), zumal es sich bei den verarbeiteten Daten des Beschwerdeführers – wie oben bereits ausgeführt – um keine „besondere Kategorie personenbezogener Daten“ iSd Art. 9 DSGVO, keine strafrechtlich relevante Daten oder Daten über die wirtschaftlichen und finanziellen Verhältnisse des Beschwerdeführers handelt, selbst die Verschaffung eines Zugangs zu diesen Daten oder eine Veränderung nicht geeignet ist, einen Schaden beim Betroffenen herbeizuführen und eine Befüllung des XXXX mit rufschädigenden Inhalt denkunmöglich ist (vgl. dazu Schantz in Simitis|Hornung|Spiecker [Hrsg.] Datenschutzrecht, Art. 6 Abs. 1 Rz 107) Diesem Vorbringen ist der Beschwerdeführer inhaltlich im Ergebnis auch nicht entgegengetreten. Auch die Berufung des Beschwerdeführers auf das Urteil des deutschen BGH vom 20.02.2018, Zl. VI ZR 30/17, vermag der Beschwerde nicht zum Erfolg zu verhelfen. So hat der BGH im zitierten Urteil nämlich festgehalten, sich dem Senatsurteil vom 23.09.2014, VI ZR 358/12, anzuschließen, wonach die Speicherung der personenbezogenen Daten von Ärzten in einem auf die Funktionen der Basisdaten von Ärzten verbunden mit Noten und Freitextkommentaren beschränktes Bewertungsportal zulässig ist. Weiters wurde festgehalten, dass das von der Beklagten betriebene Ärztebewertungsportal eine gebilligte und gesellschaftlich erwünschte Funktion erfüllt. Der vorliegenden Sachverhalt in mit jenem, der dem Urteil des BGH zugrunde lag, zudem insofern nicht vergleichbar, als gegenständlich die mitbeteiligte Partei zwar durch den Erwerb von Zusatzpaketen den betreffenden XXXX /die betreffende XXXX eine Vorreihung sowie eine optisch ansprechendere Gestaltung ihres Profils samt Anführung von Zusatzinformationen ermöglicht, jedoch nicht – wie im Urteil des BGH zugrundeliegenden Sachverhalt - aktiv eine Entscheidung von potentiellen Patienten beeinflusst, indem bei nicht zahlenden Ärzten ein werbender Hinweis auf die örtliche Konkurrenz dargestellt wird.

Zum behaupteten Eingriff in die Erwerbsfreiheit ist zunächst auszuführen, dass sich die Freiheit der Erwerbsbetätigung nach Art. 6 StGG auf jede selbständige oder unselbständige Tätigkeit bezieht, die auf die Erzielung von wirtschaftlichem Erfolg gerichtet ist (Grabenwarter/Frank, B-VG Art 6 StGG Rz 9 (Stand 20.6.2020, rdb.at)). Der Antritt einer Erwerbstätigkeit ist ebenso geschützt wie deren Ausübung (VfSlg 11.558/1987). Im vorliegenden Fall wird der Beschwerdeführer jedoch nicht an seiner ungestörten Berufsausübung gehindert, wenn er (noch dazu auf eigenen Wunsch hin) nicht im Online-Verzeichnis der mitbeteiligten Partei aufscheint (siehe dazu schon OGH 27.06.2016, 6 Ob48/16a), zumal der Beschwerdeführer weiterhin als XXXX in der Liste des BM XXXX geführt wird, sowie über gängige Suchmaschinen und andere einschlägige Portale aufgefunden werden kann.

Die Grundrechte und Grundfreiheiten des Beschwerdeführers überwiegen daher im vorliegenden Fall die Interessen der mitbeteiligten Partei sowie Dritter nicht. Die Beschwerde wurde daher von der belangten Behörde zurecht abgewiesen.

3.3.3. Zur behaupteten Verletzung im Recht auf Geheimhaltung durch die mitbeteiligte Partei aufgrund der Kontaktierung des Beschwerdeführers im Zusammenhang mit der Aufnahme in das Online-Verzeichnis:

Der Beschwerdeführer moniert diesbezüglich zusammengefasst, dass die Kontaktaufnahme der mitbeteiligten Partei mittels Brief unzulässig gewesen sei.

Im Zusammenhang mit den „berechtigten Interessen“ der mitbeteiligten Partei sowie Dritter kann diesbezüglich auf die Ausführungen unter Punkt 3.3.2. verwiesen werden. Die Kontaktaufnahme mit den betroffenen XXXX , u.a. mit dem Beschwerdeführer, diente naturgemäß auch dazu, das Online-Verzeichnis der mitbeteiligten Partei zu bewerben, was nach den obigen Ausführungen ebenfalls ein berechtigtes Interesse darstellen kann.

Die Kontaktaufnahme mit den Betroffenen war auch erforderlich, um die berechtigten Interessen der mitbeteiligten Partei (der Verkauf von erweiterten und kostenpflichtigen Paketen) zu verwirklichen. Auch hierbei ist ein gelinderes Mittel nicht ersichtlich. Überdies wurde durch das gegenständliche Schreiben den betroffenen Personen auch eine grundsätzliche Information zur Verarbeitung ihrer personenbezogenen Daten gegeben.

Es ist weiters abermals darauf hinzuweisen, dass es sich auch bei den für die Kontaktaufnahme von der mitbeteiligten Partei verwendeten personenbezogenen Daten des Beschwerdeführers um bereits in der Liste des BM XXXX befindliche – und insofern öffentlich zugängliche – Daten handelt, weshalb die Geheimhaltungsinteressen des Beschwerdeführers an diesen Daten nicht als besonders ausgeprägt anzusehen sind. Dazu kommt der Umstand, dass die Kontaktaufnahme mit dem Beschwerdeführer über Daten erfolgte, die der Berufssphäre des Beschwerdeführers zuzuordnen sind. Zudem handelte es sich um keine „besondere Kategorie personenbezogener Daten“ iSd Art. 9 DSGVO, strafrechtlich relevante Daten oder Daten über die wirtschaftlichen und finanziellen Verhältnisse des Beschwerdeführers. Mit negativen Folgen einer Datenverarbeitung war nicht zu rechnen (und hat sich ein allfälliges Risiko im gegenständlichen Fall auch nicht verwirklicht). Die mitbeteiligte Partei kontaktierte den Beschwerdeführer lediglich einmalig und verarbeitete die personenbezogenen Daten des Beschwerdeführers auch nur im oben angeführten Zusammenhang mit dem Online-Verzeichnis der mitbeteiligten Partei, welches ebenfalls in einem direkten Zusammenhang mit dem Beruf des Beschwerdeführers steht. Es ist daher auch in Bezug auf die Kontaktaufnahme der mitbeteiligten Partei mit dem Beschwerdeführer festzuhalten, dass die Grundrechte und Grundfreiheiten des Beschwerdeführers im vorliegenden Fall die Interessen der mitbeteiligten Partei nicht überwogen.

3.3.4. Zur behaupteten Nichterfüllung der Informationspflicht gemäß Art. 14 DSGVO:

Art. 14 DSGVO regelt die Informationspflicht in den Fällen, in denen die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (indirekte Erhebung). Konkret fallen darunter z.B. die Erlangung von Daten von einem anderen Verantwortlichen durch Übermittlung, von gewerblichen Adresshändlern oder – wie im vorliegenden Fall -– die eigene Erhebung von Daten aus öffentlichen Quellen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 14 DSGVO Rz 1 (Stand 1.12.2020, rdb.at)).

Vorab ist festzuhalten, dass das Bundesverwaltungsgericht sich – entgegen den Ausführungen der mitbeteiligten Partei – zur Prüfung des geltend gemachten Beschwerdegrundes der behaupteten Nicht- bzw. Schlechterfüllung der Informationspflicht gemäß Art. 14 DSGVO im Umfang der Abweisung der Datenschutzbeschwerde durch die belangte Behörde als befugt erachtet. Die belangte Behörde hat in Spruchpunkt 1. des angefochtenen Bescheides festgestellt, dass eine Verletzung im Recht auf Information iSd Art. 14 Abs. 1 lit. c (inhaltliche Mängel der nachgereichten Datenschutzerklärung) stattgefunden hat. Im Übrigen wurde jedoch die Datenschutzbeschwerde in Spruchpunkt 3. als unbegründet abgewiesen und bezieht sich diese Abweisung nicht nur auf die behauptete Verletzung im Recht auf Geheimhaltung, sondern auch auf die vorgebrachten Mängel bei der Informationserteilung gemäß Art. 14 DSGVO (vgl. dazu Seite 30 des angefochtenen Bescheides). Zumal Spruchpunkt 3. explizit vom Beschwerdeführer angefochten wurde, ist eine allfällige Verletzung im Recht auf Information nach Art. 14 DSGVO im Umfang der Abweisung der Datenschutzbeschwerde nicht der Prüfungsbefugnis des Bundesverwaltungsgerichts entzogen.

Es ist jedoch festzuhalten, dass die mitbeteiligte Partei – wie oben festgestellt - dem Beschwerdeführer am 10.04.2019 postalisch eine aktualisierte Version ihrer Datenschutzerklärung übermittelte. Der Beschwerdeführer bringt nicht konkret vor, inwieweit die bereits im Verfahren vor der belangten Behörde übermittelte Datenschutzerklärung immer noch mangelhaft ist, sondern stützt sich lediglich darauf, dass die Informationserteilung nicht zum „Zeitpunkt der ersten Mitteilung“ erfolgt ist.

Gemäß § 24 Abs. 6 erster Satz DSG kann der Beschwerdegegner (hier: die mitbeteiligte Partei) jedoch bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er (sie) den Anträgen des Beschwerdeführers entspricht.

Die belangte Behörde hat im angefochtenen Bescheid festgehalten, dass die mitbeteiligte Partei dem Beschwerdeführer im laufenden Verfahren postalisch die Datenschutzerklärung zwecks Erfüllung der Informationspflicht übermittelt hat und eine etwaige diesbezügliche Rechtsverletzung (bis auf die Unterpunkte 4. und 5. der Datenschutzerklärung) somit nachträglich beseitigt hat.

Überdies hat die mitbeteiligte Partei inzwischen dem Auftrag der belangten Behörde entsprochen.

Im Gegensatz zum Recht auf Geheimhaltung und den Ausführungen unter Punkt 3.1.1. ergibt sich in Bezug auf Art. 14 DSGVO kein Feststellunginteresse des Beschwerdeführers auf in der Vergangenheit liegende Rechtsverletzungen, weshalb insofern dahingestellt bleiben kann, ob die Informationserteilung gemäß Art. 14 DSGVO im Zeitpunkt der Kontaktierung des Beschwerdeführers (mangelhaft) erfolgt ist (vgl. VwGH 27.09.2007, 2006/06/0330, wonach ein Recht auf Feststellung über eine in der Vergangenheit erfolgte Verletzung des Rechtes auf Löschung von Daten aus § 31 Abs. 2 DSG 2000 nicht ableitbar ist und dies gleichermaßen hinsichtlich eines allenfalls geltend gemachten Rechtes auf Feststellung über in der Vergangenheit erfolgte Verletzungen des Rechtes auf Auskunft zu gelten hat; ein solches Recht ist aus § 31 Abs. 1 DSG 2000 nicht ableitbar). Diese Rechtsprechung des VwGH ist auch auf die aktuelle Rechtslage übertragbar, sodass im nunmehrigen Verfahren vor dem Bundesverwaltungsgericht im vorliegenden Fall nicht mehr über eine allfällige Verletzung des Rechts auf Informationserteilung gemäß Art. 14 DSGVO in der Vergangenheit abzusprechen ist.

Dies auch vor dem Hintergrund, dass dem Beschwerdeführer nicht beizupflichten ist, wenn er vorbringt, dass ein Verstoß gegen Art. 14 DSGVO jedenfalls die Unrechtmäßigkeit der Datenverarbeitung bedingt. Das Bundesverwaltungsgericht schließt sich hierbei der Meinung von Illibauer an, wonach die mangelnde Informationserteilung gemäß Art. 14 DSGVO die Rechtmäßigkeit der Datenverarbeitung nicht per se infrage stellen kann, da sich die Rechtmäßigkeit nach den Art. 5 ff DSGVO bestimmt und die Erteilung oder Nichterteilung der Informationen, da ohnehin strafbewehrt, keinen Einfluss auf die grundsätzliche Rechtmäßigkeit der Verarbeitung haben kann (siehe Illibauer in Knyrim, DatKomm Art. 14 DSGVO Rz 4 (Stand 1.10.2018, rdb.at); weitere Zitate). Auch Jahnel geht davon aus, dass die stärkeren Argumente für die grundsätzliche Einordnung der Informationspflicht als Ordnungsvorschrift sprechen, da zum einen die Informationspflicht in Kapitel III “Rechte der betroffenen Person“ und nicht in Kapitel II “Grundsätze“ eingereiht ist, und zum anderen Art. 83 Abs. 5 zwei getrennte Straftatbestände, für einen Verstoß gegen die Rechtmäßigkeitsvoraussetzungen in lit a einerseits und für Verstöße gegen die Betroffenenrechte gemäß den Art. 12 bis 22 in lit b andererseits, vorsieht. Etwas Anderes soll nur gelten, wenn der Verantwortliche seine Informationspflichten gänzlich vernachlässigt, da es in ErwGr 60 für die Grundsätze einer fairen und transparenten Verarbeitung geradezu als erforderlich angesehen wird, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Auch aus dem vom Beschwerdeführer angeführten Urteil des EuGH vom 01.10.2015, C-201/14, ergibt sich für den vorliegenden Fall nichts Anderes. Der EuGH hat festgehalten, dass „die Art. 10, 11 und 13 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr […] dahin auszulegen [sind], dass sie nationalen Maßnahmen wie den im Ausgangsverfahren streitigen entgegenstehen, die die Übermittlung personenbezogener Daten durch eine Verwaltungsbehörde eines Mitgliedstaats an eine andere Verwaltungsbehörde und ihre anschließende Verarbeitung erlauben, ohne dass die betroffenen Personen von der Übermittlung und der Verarbeitung unterrichtet wurden.“ Abgesehen davon, dass die Entscheidung des EuGH vor Inkrafttreten der DSGVO erging, ist sie auf den vorliegenden Fall schon deshalb nicht übertragbar, weil dem Sachverhalt im Urteil des EuGH eine Übermittlung von personenbezogenen Daten durch eine Verwaltungsbehörde an eine andere Verwaltungsbehörde zugrundelag, welche sich auf eine Maßnahme stützte, die die Informationspflichten aushebelte. Die Verwaltungsbehörde konnte sich (nach neuer Rechtslage) im Gegensatz zur mitbeteiligten Partei in Bezug auf die Rechtmäßigkeit der Verarbeitung schon ganz grundsätzlich nicht auf Art. 6 Abs. 1 lit. f DSGVO berufen. Zudem wurde der Beschwerdeführer von der mitbeteiligten Partei jedenfalls anlässlich der Einrichtung der Plattform über die Existenz des Verarbeitungsvorgangs und seine Zwecke (die Suche [für an Therapieleistungen Interessierten, Websitebesuchern [nach einer geeigneten XXXX so einfach wie möglich und barrierefrei zu gestalten sowie [für den jeweiligen XXXX /die jeweilige XXXX ] die Erzielung einer relevanten Reichweite an möglichen KlientInnen) unter Hinweis auf die Datenschutzerklärung (dass diese zum damaligen Zeitpunkt nicht abrufbar war, wurde vom Beschwerdeführer im Verfahren vor der belangten Behörde zu keinem Zeitpunkt behauptet) informiert, weshalb insofern davon auszugehen ist, dass im vorliegenden Fall selbst eine mangelhafte Informationserteilung gemäß Art. 14 DSGVO keine Unrechtmäßigkeit der Datenverarbeitung bedingt hat.

3.3.5. Zum behaupteten Verstoß gegen Art. 32 DSGVO:

Der Beschwerdeführer bringt diesbezüglich vor, dass die unaufgeforderte Übermittlung von vollständigen Zugangsdaten mithilfe eines einfachen Briefs, ein hohes Risiko für die jeweilige betroffene Person darstelle. Eine postalische Übermittlung – ohne Kenntnis der betroffenen Person – könne bei einer unbeabsichtigten Offenlegung nicht nur zu Identitätsdiebstählen, sondern auch zu beachtlichen finanzielle und wirtschaftlichen Verlusten (Rufschädigung) führen. Die mitbeteiligte Partei habe diese Risiken aus wirtschaftlichen Gründen billigend in Kauf genommen und daher gegen ihre Pflichten nach Art. 32 DSGVO verstoßen. Aufgrund der gewählten Form der Kontaktaufnahme, habe die mitbeteiligte Partei es verabsäumt eine angemessene Sicherheit der personenbezogenen Daten zu gewährleisten, wodurch sie gegen die Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO verstoßen habe.

Dazu ist zunächst festzuhalten, dass der Beschwerdeführer eine Verletzung des Art. 32 DSGVO erstmals in der Bescheidbeschwerde vorgebracht hat. Eine solche war damit nicht Gegenstand des behördlichen Verfahrens und hat somit auch nicht Niederschlag im angefochtenen Bescheid gefunden.

Nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes ist die Prüfungsbefugnis der Verwaltungsgerichte durch die „Verwaltungssache“ bzw. die Angelegenheit, die den Inhalt des Spruchs der belangten Behörde gebildet hat, beschränkt (vgl. etwa VwGH 24.2.2016, Ra 2015/090138; 19.2.2018, Ra 2015/12/0008).

Daraus folgt, dass eine allfällige Verletzung nach Art. 32 DSGVO gegenständlich der Prüfungsbefugnis des Bundesverwaltungsgerichts entzogen ist, zumal die betroffene Person kein subjektives Recht hat, einzelne konkrete Maßnahmen vom Verantwortlichen einzufordern (Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 32 DSGVO Rz 12 (Stand 1.12.2020, rdb.at)) und eine allfällige Verletzung des Art. 32 DSGVO – ähnlich wie eine Verletzung des Art. 14 DSGVO – im vorliegenden Fall keine Auswirkungen auf die Rechtmäßigkeit der Datenverarbeitung hat (vgl. auch Pilz in Gola, DS-GVO, Art. 32 Rz 2 mwN), da die mitbeteiligte Partei entsprechende Schutzvorkehrungen getroffen hat (siehe oben Punkt 3.3.2.3.).

3.3.6. Zur Zurückweisung des Antrages des Beschwerdeführers auf Einleitung eines Strafverfahrens gegen die mitbeteiligte Partei (Spruchpunkt 4. des angefochtenen Bescheides):

Die belangte Behörde führt im angefochtenen Bescheid zurecht aus, dass in Bezug auf das Verwaltungsstrafverfahren gemäß § 25 Abs. 1 VStG (mit Ausnahme von – hier nicht einschlägigen Privatanklagesachen) das Prinzip der Amtswegigkeit gilt, weshalb dem Beschwerdeführer kein diesbezügliches Antragsrecht zusteht (vgl. Fister in Lewisch/Fister/Weilguni, VStG2 mit Verweis auf VwGH 23. 5. 1990, 88/17/0141: Ein in der Form einer Anklage oder in der Form eines Antrags auf Bestrafung zu erhebender Tatvorwurf ist dem VStG – abgesehen von Privatanklagesachen – fremd). Auch gemäß Art. 83 iVm Art. 55ff DSGVO kommt der Aufsichtsbehörde die Zuständigkeit für die Verhängung von Geldbußen zu (siehe Ehmann/Selmayr Datenschutz-Grundverordnung, 2. Auflage, Rz 10), sodass die Ordnungswidrigkeit von Amts wegen verfolgt wird, weshalb es keines Antrags bedarf (Gola in Gola, DS-GVO, Art. 83 Rz 30).

Schließlich ist festzuhalten, dass der Beschwerdeführer in seiner Bescheidbeschwerde keine inhaltlichen Ausführungen dahingehend tätigt, weshalb die im angefochtenen Bescheid wiedergegebene Rechtsansicht der belangten Behörde unrichtig sein sollte. Die Zurückweisung des Antrages des Beschwerdeführers auf Einleitung eines Strafverfahrens gegen die mitbeteiligte Partei durch die belangte Behörde erfolgte daher zurecht, weshalb die Beschwerde diesbezüglich ebenfalls abzuweisen war.

3.4. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

3.5. Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die gegenständliche Rechtsprechung steht im Einklang mit der Rechtsprechung der Höchstgerichte und ist außerdem aus dem eindeutigen Wortlaut der DSGVO und des DSG erschließbar. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

3.6. Es war daher spruchgemäß zu entscheiden.