BVwG W258 2205602-1

Spruch:

W258 2205602-1/8E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundigen Laienrichter Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als Beisitzer über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH, 1010 Wien, Schottenring 19, gegen den Bescheid der Datenschutzbehörde vom XXXX , GZ XXXX , mitbeteiligte Partei vor dem Bundesverwaltungsgericht, XXXX , in nichtöffentlicher Sitzung zu Recht in einer datenschutzrechtlichen Angelegenheit erkannt:

A) Die Beschwerde wird abgewiesen und der Bescheid mit der Maßgabe

bestätigt, dass es in Spruchpunkt 1. zu lauten hat: "Es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem sie ihm, über seine Anfrage vom 28.11.2017, ihm Auskunft über seine Daten, nämlich Überweisungen an die Hausverwaltung " XXXX " sowie die Hausverwaltung " XXXX " der vergangenen 5 Jahre zu gewähren, keine Auskunft erteilt hat. "

B) Die Revision ist gemäß Art 133 Abs 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE:

Verfahrensgegenständlich ist die Frage, ob die Beschwerdeführerin (in Folge kurz "BF") ein datenschutzrechtliches Auskunftsbegehren der mitbeteiligten Partei, das auf bestimmte Buchungszeilen eines Girokontos eingeschränkt war und gestellt wurde, um Kosten für die Übermittlung von Duplikaten von Kontoauszügen zu vermeiden, zu Recht unter Verweis auf die Möglichkeit, Duplikate von Kontoauszügen kostenpflichtig zu erhalten, nicht erfüllt hat.

I. Verfahrensgang:

1. Mit Eingabe vom 22.01.2018 behauptet die mitbeteiligte Partei eine Verletzung in ihrem Recht auf Auskunft nach § 26 DSG 2000. Begründend führte sie im Wesentlichen aus, aufgrund eines Rechtsstreits benötige sie von der BF "eine Auskunft über [ihre] Überweisungen der letzten 5 Jahre an die Hausverwaltung [ihrer] Mietwohnung". Da sie online lediglich die Überweisungsnachweise für ein Jahr einsehen könne, habe sie die BF um Übermittlung der Nachweise für die übrigen Jahre ersucht. Daraufhin habe die BF der mitbeteiligten Partei mitgeteilt, dass hierfür EUR 120,00 verrechnet werden würde. Damit sei die mitbeteiligte Partei nicht einverstanden gewesen, weshalb sie am 28.11.2017 ein Auskunftsersuchen an die BF gestellt habe, dem sie nicht nachgekommen sei.

2. Über Aufforderung der belangten Behörde führte die BF mit E-Mail vom 16.02.2018 zur Eingabe der mitbeteiligten Partei zusammengefasst aus, eine Mitarbeiterin habe der mitbeteiligten Partei bereits am 17.11.2017 mitgeteilt, dass die BF bereit wäre, Duplikatsauszüge für nicht mehr mittels ELBA abfragbaren Daten zur Verfügung zu stellen, wobei sie laut Schalteraushang pro Jahr EUR 30,00 in Rechnung stellen würde.

3. Die belangte Behörde brachte der mitbeteiligten Partei die obigen Ergebnisse des Ermittlungsverfahrens zur Kenntnis und forderte sie auf, binnen einer Frist von zwei Wochen zu begründen, warum sie die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachte. Darauf reagierte die mitbeteiligte Partei mit Eingabe vom 14.03.2018 wie folgt: Der Betrag in Höhe von EUR 120,00 sei für sie nicht nachvollziehbar. In Bezug auf die verwiesene Entscheidung in der Stellungnahme der BF, GZ: K121.394/0006-DSK/2009, sei festzuhalten, dass die Daten auf Mikrofilm archiviert worden seien, weshalb sich für die mitbeteiligte Partei im aktuellen Fall die Frage stelle, ob die BF ihre Daten aktuell noch immer auf Mikrofilm abspeichere oder ob die Archivierung modernisiert bzw digitalisiert worden sei. Der verbundene Arbeitsaufwand sei in der zitierten Entscheidung deutlich höher als im Fall der mitbeteiligten Partei. Der Versuch, Gewinne aus dem Recht auf Auskunft zu generieren, wäre klar gesetzwidrig. Die mitbeteiligte Partei ersuchte abschließend um Feststellung, in welcher Form die Daten bei der BF gespeichert worden seien und dass die Gebühr in Höhe von EUR 120,00 selbst bei einer Mikroverfilmung jedenfalls überhöht sei, als auch, der mitbeteiligten Partei die schnellstmögliche Befolgung des Auskunftsersuchens aufzutragen.

4. Daraufhin forderte die belangte Behörde die BF auf, darzulegen, inwiefern die betreffenden Daten aktuell seien, bzw wenn nicht, wie die Daten archiviert worden seien und wie sich die Kosten dafür zusammensetzen. Mit Eingabe vom 30.04.2018 führte die BF dazu im Wesentlichen aus, dass sie zu den hier gegenständlichen Transaktionsdaten zu Zahlungsverkehrskonten bereits eine kosten- und lückenlose Auskunft im Rahmen von Spezialgesetzen zum Zweck des Verbraucherschutzes (wie ua nach dem Zahlungsdienste-Gesetz; in Folge kurz "ZaDiG 2018") erteilt habe. Auch diese Spezialgesetze würden keine weitere kostenlose Auskunft vorsehen. Die Datenschutzkommission habe selbst in K121.394/0006-DSK/2009 eine Schikane insoweit bejaht, als Umsatzdaten in Electronic Banking noch abrufbar seien. Dies treffe auch hier - zumindest teilweise - zu, weil das Abrufen im Zeitpunkt der Antragstellung zumindest auch noch für den Zeitraum von 28.11.2016 bis 31.12.2016 via ELBA durch die mitbeteiligte Partei selbst möglich gewesen wäre. Das ZaDiG 2018 sehe in Umsetzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25.11.2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG , 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (in Folge kurz "Zahlungsdiensterichtlinie") vor, für die wiederholte Erteilung von Informationen zu Zahlungskonten ein angemessenes kostenbasierendes Entgelt zu vereinbaren. Diese Bestimmung wäre sinnlos, wenn die Informationen nach der DSGVO ohnehin unentgeltlich zu geben wären. Die Angemessenheit von EUR 30,00 für Nachdruck, Erstellung eines Begleitschreibens, Kuvertierung und Postaufgabe bezüglich der Kontoauszüge für ein gesamtes Kalenderjahr sei jedenfalls zu bejahen. Hinzu komme, dass im vorliegenden Fall für das Jahr 2013 vom beauftragten Dienstleister EUR 9,92 in Rechnung gestellt werden würden. Das Begehren der mitbeteiligten Partei, eine weitere Auskunft zu bereits kostenlos erhaltenen Transaktionsdaten im beschwerdegegenständlichen Umfang unter Berufung auf § 26 DSG 2000 zu erzwingen, sei rechtsmissbräuchlich.

5. Mit Bescheid vom 21.06.2018 wurde der Beschwerde stattgegeben, festgestellt, dass die BF die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie ihr keine Auskunft erteilt hat (Spruchpunkt 1.) und der BF aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution Auskunft gemäß Art 15 DSGVO zu erteilen (Spruchpunkt 2). Begründend führte die belangte Behörde zusammengefasst aus, das ZaDiG 2018 enthalte kein spezielles Auskunftsrecht, dass der DSGVO vorgehen könnte. Die BF habe der mitbeteiligten Partei betreffende personenbezogene Daten dem Auskunftsbegehren folgend unter Berücksichtigung der Einschränkung des Art 15 Abs 4 DSGVO offenzulegen. Da die mitbeteiligte Partei das Auskunftsrecht zum ersten Mal gegenüber der BF ausübe, habe sie kein Verhalten gesetzt, das es der BF unzumutbar machen würde, ohne Vorschreibung von Kosten tätig zu werden, oder sich zu weigern die Auskunft zu erteilen.

6. Gegen diesen Bescheid richtet sich die gegenständliche Beschwerde der BF, in der sie inhaltliche Rechtswidrigkeit und Rechtswidrigkeit infolge der Verletzung von Verfahrensvorschriften behauptet. So läge - sinngemäß und auf das Wesentlichste zusammengefasst - ersten kein datenschutzrechtliches Auskunftsbegehren, sondern ein Begehren auf Herausgabe von Dokumenten nach dem ZaDiG 2018 vor, wofür die belangte Behörde unzuständig sei. Zweitens sei der Spruch nicht ausreichend bestimmt, die Begründung mehrdeutig und der Bescheid damit rechtswidrig. Drittens hätte die Rechtslage vor der DSGVO angewendet werden müssen. Viertens läge der Sinn des Auskunftsrechts nach DSGVO darin, sich einer Datenverwendung bewusst zu werden und ihre Rechtmäßigkeit zu überprüfen; die mitbeteiligte Partei benötige die Daten aber für andere Zwecke. Fünftens wolle die mitbeteiligte Partei mit ihrem Auskunftsbegehren lediglich Kostenfolgen für die Herausgabe von Duplikaten von Kontoauszügen vermeiden, weshalb ihr Begehren offenbar unbegründet im Sinne des Art 15 Abs 5 DSGVO sei und der BF für die Gewährung der Auskunft ein angemessenes Entgelt zustehe. Letztens habe die belangte Behörde gegen das Überraschungsverbot verstoßen.

7. Mit Schriftsatz vom 06.09.2018 legte die belangte Behörde die Beschwerde unter Anschluss des Verwaltungsaktes dem erkennenden Gericht vor und nahm zum Beschwerdevorbringen Stellung. Mit hg eingeräumter Stellungnahme vom 15.10.2018 replizierte die BF.

Beweise wurden erhoben durch Einsichtnahme in den Verwaltungsakt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

Die BF ist ein Kreditinstitut, das Zahlungsdienste anbietet. Die mitbeteiligte Partei ist Kundin der BF und hat bei ihr ein Girokonto.

Die mitbeteiligte Partei richtete am 28.11.2017 ein Schreiben folgenden Inhalts an die BF:

"Betreff: Ersuchen um Auskunft nach & 26 DSG

Mein Wunsch:

Ich wünsche Informationen zum angeführten Thema

Meine Nachricht:

Liebe [...]!

Im Anhang findest du mein offizielles Auskunftsersuchen (Achtung: Beginn des Fristenlaufs) mit der Bitte um Übermittlung der gewünschten persönlichen Daten.

Mit besten Grüßen,

[...]"

Bei dem übermittelten Anhang handelt es sich um ein Formular für ein Ersuchen um Auskunft gemäß § 26 DSG 2000 folgenden Inhalts:

"[...]

Ich ersuche um Auskunft über meine Daten aus einer bestimmten Datenanwendung, nämlich Überweisungen an: a) Hausverwaltung " XXXX " sowie b) Hausverwaltung " XXXX " über die vergangenen 5 Jahre.

[...]"

Die mitbeteiligte Partei hat die Informationen benötigt, um sie in einem Rechtsstreit zu verwenden. Sie hat das Auskunftsbegehren gestellt, weil ihr die BF für die Ausfolgung von Duplikaten von Kontoauszügen pro Jahr EUR 30,00 in Rechnung gestellt hätte.

Die BF verweigerte eine Auskunft und wies darauf hin, dass sie Kontoauszüge laufend übermittelt habe und eine neuerliche Übermittlung pro Jahr mit EUR 30,00 vergebührt werden würde.

Die mitbeteiligte Partei brachte daraufhin am 22.01.2018 eine Beschwerde bei der belangten Behörde ein, in der sie die Verletzung in ihrem Recht auf Auskunft nach § 26 DSG 2000 behauptet hat. Die belangte Behörde hat am 21.06.2018 der Beschwerde der mitbeteiligten Partei stattgegeben, festgestellt, dass die BF die mitbeteiligte Partei in ihrem Recht auf Auskunft verletzt hat, indem sie keine Auskunft erteilt hat (Spruchpunkt 1.) und der BF aufgetragen, die Auskunft innerhalb einer Frist von zwei Wochen bei sonstiger Exekution gemäß Art 15 DSGVO zu erteilen.

Im bekämpften Bescheid wird ausgeführt wie folgt (Auszug):

"C. Sachverhaltsfeststellungen

Der Beschwerdeführer richtete ein Auskunftsbegehren am 28. November 2017 an die Beschwerdegegnerin und begehrte Auskunft über eigene Daten, speziell über Überweisungen der Jahre zurück bis 2013. Die Beschwerdegegnerin hat keine datenschutzrechtliche Auskunft erteilt und knüpft eine Auskunft an Kosten von EUR 30,-- pro Jahr. [...]

D. In rechtlicher Hinsicht folgt daraus: [...]

2. Zur Berechtigung der Beschwerde:

Die Beschwerde ist schon deshalb berechtigt, weil die Beschwerdegegnerin unbestritten auf das datenschutzrechtliche Auskunftsbegehren nicht in der nach dem DSG bzw. der DSGVO vorgesehen Weise reagiert hat. Bereits die Nichtreaktion auf ein Auskunftsbegehren stellt eine Verletzung im Recht auf Auskunft dar (vgl. dazu den Bescheid der Datenschutzkommission vom 10. April 2013, GZ K121.924/0006-DSK/2013), weshalb der Beschwerde stattzugeben war. [...]

2.2. Zum Umfang der datenschutzrechtlichen Auskunft: [...]

Dem Beschwerdeführer steht es zu, eine kostenlose Kopie der zu überprüfenden personenbezogenen Daten zu erhalten, wobei das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf (Art. 15 Abs. 3 und 4 DSGVO). [...]

Die Beschwerdegegnerin hat daher den Beschwerdeführer betreffende personenbezogene Daten dem Auskunftsbegehren folgend, unter Berücksichtigung der Einschränkung des Art. 15 Abs. 4 DSGVO, offenzulegen. [...]"

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

Die Feststellungen gründen auf dem unbedenklichen Verwaltungsakt. Die Gründe, warum die mitbeteiligte Partei ein Auskunftsbegehren gestellt hat und wofür die angefragten Daten verwendet werden hätten sollen, gründen in der datenschutzrechtlichen Beschwerde der mitbeteiligten Partei.

3. Rechtlich folgt daraus:

Die zulässige Beschwerde ist nicht berechtigt.

3.1. Die maßgeblichen rechtlichen Bestimmungen lauten:

§ 24 DSG idF BGBl I Nr 14/2019 (in Folge kurz "DSG") lautet:

"§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. [...]

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen. [...]"

§ 69 Abs 4 und 5 DSG lauten:

"(4) Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.

(5) Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren."

Art 12 Abs 5 VO (EU) 679/2016 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (in Folge kurz "DSGVO") lautet:

"(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen."

Art 15 DSGVO lautet:

"Artikel 15 Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten [...]

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. [...]

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen."

Der 54. Erwägungsgrund der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG , 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (in Folge kurz "Zahlungsdiensterichtlinie") lautet: "In dieser Richtlinie sollten die Informationspflichten der Zahlungsdienstleister gegenüber den Zahlungsdienstnutzern festgelegt werden, damit Letztere ein gleich hohes Maß an verständlichen Informationen über Zahlungsdienste erhalten und so in voller Kenntnis der Sachlage entscheiden und innerhalb der Union eine freie Wahl treffen können. Im Interesse der Transparenz legt diese Richtlinie die harmonisierten Anforderungen fest, die erforderlich sind, um sicherzustellen, dass der Zahlungsdienstnutzer sowohl zu dem mit dem Zahlungsdienstleister geschlossenen Vertrag als auch zu den Zahlungsvorgängen alle notwendigen, ausreichenden und verständlichen Informationen erhält."

In Erwägungsgrund 61 der Zahlungsdiensterichtlinie wird weiters festgehalten, "dass der Verbraucher [...] für die elementaren Informationen über ausgeführte Zahlungsvorgänge kein zusätzliches Entgelt zu entrichten haben [sollte]. Bei Einzelzahlungen sollte der Zahlungsdienstleister diese Informationen nicht getrennt in Rechnung stellen. Ebenso sollte die Information über die Zahlungsvorgänge im Rahmen eines Rahmenvertrags monatlich und kostenlos erfolgen. Da die Preisbildung jedoch transparent sein muss und die Kunden unterschiedliche Bedürfnisse haben, sollten die Parteien vereinbaren können, dass für die häufigere Übermittlung von Informationen oder die Übermittlung zusätzlicher Informationen Entgelte erhoben werden. Um den unterschiedlichen nationalen Gepflogenheiten Rechnung zu tragen, sollten die Mitgliedstaaten vorschreiben können, dass monatliche Kontoauszüge in Papierform stets kostenlos erhältlich sein müssen."

Die im 3. Hauptstück, das mit "Transparenz der Vertragsbedingungen und Informationspflichten für Zahlungsdienste" betitelt ist, befindlichen §§ 53 f ZaDiG lauten:

"Informationen an den Zahler bei einzelnen Zahlungsvorgängen

§ 53. (1) Nach Belastung des Kontos des Zahlers mit dem Betrag eines einzelnen Zahlungsvorgangs oder, falls der Zahler kein Zahlungskonto verwendet, nach Eingang des Zahlungsauftrags hat der Zahlungsdienstleister des Zahlers diesem unverzüglich die nachstehenden Angaben in der in § 47 Abs. 1 vorgesehenen Weise mitzuteilen:

[...]

(2) Der Rahmenvertrag hat eine Klausel zu enthalten, der zufolge der Zahler verlangen kann, dass die Informationen gemäß Abs. 1 mindestens einmal monatlich kostenlos und nach einem vereinbarten Verfahren so mitgeteilt oder zugänglich gemacht werden, dass der Zahler die Informationen unverändert aufbewahren und reproduzieren kann.

(3) Der Zahlungsdienstnutzer kann jedoch vom Zahlungsdienstleister verlangen, dass die Informationen gemäß Abs. 1 einmal monatlich gegen angemessenen Kostenersatz übermittelt werden.

[...]

Informationen an den Zahlungsempfänger bei einzelnen Zahlungsvorgängen

§ 54. (1) Nach Ausführung eines einzelnen Zahlungsvorgangs hat der Zahlungsdienstleister des Zahlungsempfängers diesem unverzüglich die nachstehenden Angaben in der in § 47 Abs. 1 vorgesehenen Weise mitzuteilen:

[...]

(2) Der Rahmenvertrag kann vorsehen, dass die Informationen gemäß Abs. 1 mindestens einmal monatlich und nach einem vereinbarten Verfahren so mitgeteilt oder zugänglich gemacht werden, dass der Zahlungsempfänger die Informationen unverändert aufbewahren und reproduzieren kann.

(3) Der Zahlungsdienstnutzer kann vom Zahlungsdienstleister verlangen, dass die Informationen gemäß Abs. 1 einmal monatlich gegen angemessenen Kostenersatz übermittelt werden."

3.2. Zur anwendbaren Rechtslage:

3.2.1. Seit dem Auskunftsersuchen der mitbeteiligten Partei am 28.11.2017 hat sich die Rechtslage durch die DSGVO und das DSG geändert.

3.2.2. Übergangsbestimmungen finden sich ua in § 69 Abs 4 DSG, wonach zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde angängige Verfahren nach den Bestimmungen dieses Bundesgesetztes und der DSGVO fortzuführen sind; dies gilt ebenso für ein etwaig anschließendes verwaltungsgerichtliches Beschwerdeverfahren. Die Judikatur des VwGH, wonach die Rechtslage zum Zeitpunkt des Stichtages anzuwenden ist, wenn darüber abzusprechen ist, was zu einem bestimmten Stichtag rechtens war, steht dem nicht entgegen, weil - wie in diesem Fall - der Gesetzgeber anderes regeln kann (siehe zB VwGH 24.03.2015, Ro 2014/09/0066).

3.2.3. Die Datenschutzbehörde hat über die Beschwerde der mitbeteiligten Partei entschieden, nachdem die DSGVO in Geltung getreten ist. Sie hatte daher gemäß § 69 Abs 4 DSG die neue Rechtslage anzuwenden, weshalb auch das erkennende Gericht die neue Rechtslage anzuwenden hat.

3.2.4. Wenn die BF in der Beschwerde vermeint, es handle sich im gegenständlichen Fall um eine "potentielle Verwaltungsstrafsache", weshalb nicht die DSGVO sondern jene Regelung anzuwenden wäre, die für die BF günstiger wäre, ist ihr entgegen zu halten, dass das in § 69 Abs 5 letzter Satz DSG normierte Günstigkeitsprinzip nur bei (Verwaltungs‑)Strafsachen anzuwenden ist. Es soll nämlich der Verpflichtung entsprechen, die sich aus dem vom EGMR aus Art 7 Abs 1 EMRK abgeleiteten Gebot der rückwirkenden Anwendung günstigerer Strafbestimmungen ergibt (IA 189/A BlgNR 26. GP 8) und setzt somit ein Verfahren voraus, dass mit der Verhängung einer Strafe abschließen könnte. Da im gegenständlichen Beschwerdeverfahren wegen einer behaupteten Verletzung im Recht auf Auskunft nach § 24 DSG über die Rechtswidrigkeit einer Tat und allenfalls über die Herstellung des rechtskonformen Zustands, nicht aber über eine Strafe entschieden wird, kommt das Günstigkeitsprinzip nicht zur Anwendung.

3.3. Zur Zuständigkeit der belangten Behörde:

3.3.1. Die BF bringt sinngemäß vor, die belangte Behörde wäre für die Erlassung des bekämpften Bescheids nicht zuständig gewesen, weil die mitbeteiligte Partei tatsächlich kein datenschutzrechtliches Auskunftsbegehren, sondern ein Begehren nach (nunmehr) Zahlungsdienstleistungsgesetz 2018 (ZaDiG 2018) auf Herausgabe kostenpflichtiger Dokumente gestellt hätte, die sie - entgegen der Bestimmungen des ZaDiG 2018 - unentgeltlich erhalten möchte. Für Anträge nach ZaDiG 2018 sei die belangte Behörde aber nicht zuständig, weshalb sie den Antrag der mitbeteiligten Partei zurückweisen hätte müssen. Dem ist nicht zu folgen:

3.3.2. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten ua gegen die DSGVO verstößt.

3.3.3. Die mitbeteiligte Partei hat an die BF ausdrücklich einen Antrag nach § 26 DSG 2000 (nunmehr Art 15 DSGVO) auf Auskunft der durch die BF über sie verarbeiteten personenbezogenen Daten gestellt und ihn auf bestimmte Kontobewegungen eingeschränkt. Da die BF der mitbeteiligten Partei in Folge nicht die gewünschte Auskunft erteilt, sondern auf die kostenpflichtige Ausfolgung von Duplikaten von Kontoauszügen verwiesen hat, brachte die mitbeteiligte Partei am 22.01.2018 eine Beschwerde bei der DSB ein, in der sie unter Verweis auf das Begehren an die BF sinngemäß ausführte, durch den Verweis auf kostenpflichtige Kontoauszüge in ihrem Recht auf Auskunft verletzt worden zu sein. Für die Behandlung derartiger Anbringen, dh behauptete Verstöße gegen Art 15 DSGVO, ist die belangte Behörde gemäß § 24 Abs 1 DSG zuständig.

3.3.4. Für eine Annahme, der wahre Wille der mitbeteiligten Partei wäre tatsächlich auf ein Begehren auf Herausgabe von Dokumenten gerichtet, deren Herausgabe dem ZaDiG 2018 unterliegen würde, bleibt angesichts des Vorbringens der mitbeteiligten Partei, das nicht einmal auf die Herausgabe von Dokumenten, sondern auf Kopien bestimmter Buchungszeilen zielt, kein Raum.

3.3.5. Auch die tatsächlichen Beweggründe der der mitbeteiligte Partei, dh ob sie - wie die BF vorbringt - das Auskunftsbegehren nur gestellt hat, weil ihr für die neuerliche Übermittlung von "Kontoauszügen" eine Gebühr verrechnet worden wäre, können nichts daran ändern, dass die mitbeteiligte Partei tatsächlich ein Auskunftsbegehren gestellt hat.

3.3.6. Letztens ist (erst) auf materieller Ebene zu prüfen, ob dem datenschutzrechtlichen Auskunftsbegehren allenfalls speziellere Bestimmungen des ZaDiG 2018 entgegenstehen.

3.3.7. Die belangte Behörde war daher für die Behandlung der Beschwerde der mitbeteiligten Partei zuständig.

3.4. Inhaltlich ergibt sich unter Berücksichtigung der zitierten Rechtslage Folgendes:

3.4.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten ua gegen die DSGVO verstößt. Gemäß Art 15 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie uA ein Recht auf Auskunft über diese personenbezogenen Daten und auf eine Kopie der personenbezogenen Daten.

3.4.2. Die mitbeteiligte Partei hat als Betroffene mit Schreiben vom 28.11.2017 an die BF als für die Verarbeitung Verantwortliche ein datenschutzrechtliches Auskunftsbegehren über bestimmte, sie betreffende, Kontobewegungen gestellt, das die BF mit Verweis auf die Möglichkeit, kostenpflichtig (weitere) Kopien von Kontoauszügen zu erhalten, beantwortet hat. Die angefragte Information hat sie nicht mitgeteilt. Die BF hat der grundsätzlich nicht in der in Art 15 DSGVO vorgesehenen Weise reagiert.

3.4.3. Die BF verweist diesbezüglich auf Bestimmungen des ZaDiG 2018 und stellt damit die Anwendbarkeit des Auskunftsrechts nach Art 15 DSGVO grundsätzlich in Frage. Es ist daher zu prüfen, in welchem Verhältnis das Auskunftsrecht nach Art 15 DSGVO zu den Rechten nach dem ZaDiG 2018 steht:

3.4.3.1. Einerseits sieht das ZaDiG 2018, mit dem die Zahlungsdiensterichtlinie umgesetzt wurde, vor, dass der Zahlungsdienstleister dem Zahler bzw Zahlungsempfänger bestimmte durch das Gesetz näher definierte Informationen mitzuteilen hat (vgl 3. Hauptstück des ZaDiG 2018), andererseits werden betroffenen Personen nach der DSGVO Informationsrechte nach Art 13 und 14 DSVGO und das Auskunftsrecht nach Art 15 DSGVO eingeräumt.

3.4.3.2. Besondere Bestimmungen gehen nach dem Grundsatz lex specialis derogat legi generali in den Situationen, die sie spezifisch regeln sollen, allgemeinen Bestimmungen vor (vgl EuGH 22.04.2016, T-60/06 RENV II und T-62/06 RENV II, Rz 81, mwN). Im Falle des Vorliegens von spezialgesetzlichen Auskunfts- und Einsichtsrechten kann das Auskunftsrecht nach Art 15 DSGVO somit nur subsidiär ausgeübt werden (vgl Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 5, welche als Beispiel ua das Auskunftsrecht nach § 10 Abs 1 Strafregistergesetz 1968 idgF anführt, welches der betroffenen Person ein Recht auf eine Strafregisterbescheinigung einräumt).

3.4.3.3. Es ist bei der Prüfung einer etwaigen Kollision von Rechten aber zwischen Informationspflichten/-rechten einerseits und Auskunftsrechten andererseits zu unterscheiden. Im Unterschied zu den Informationspflichten, beispielsweise nach Art 13 und 14 DSGVO, muss der Verantwortliche nämlich nur dann Auskunft erteilen, wenn die betroffene Person von ihrem Auskunftsrecht Gebrauch macht. Sie muss sich die gewünschten Informationen abholen, wohingegen der Datenverarbeiter in Hinblick auf seine Informationspflichten von sich aus "aktiv Transparenz" herstellen muss. (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 15 Rz 2 f).

3.4.3.4. Diesbezüglich hält der EuGH in der Rechtssache Rijkeboe, C-553/07, zur Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr (in Folge kurz "Datenschutzrichtlinie") fest, dass die Mitgliedstaaten Maßnahmen ergreifen müssen, mit denen zum einen die Bestimmungen der Art 10 und 11 der Richtlinie (nunmehr: Art 13 und Art 14 DSGVO) über die Informationspflicht und zum anderen die des Art 12 lit a der Richtlinie (nunmehr: Art 15 DSGVO) über das Auskunftsrecht umgesetzt werden, ohne dass die zuerst genannten Bestimmungen die Pflichten abschwächen können, die sich aus Letzteren ergeben (EuGH 07.05.2009, C-553/07, Rz 69).

3.4.3.5. Aus dieser - auf die DSGVO übertragbare Rechtsprechung (so hat sich an der Trennung zwischen Informationsrechten und Auskunftsrecht nichts geändert) - folgt, dass begrifflich zwischen Informationspflichten und Auskunftsrechten zu unterscheiden ist, die einander nicht einschränken dürfen (so auch (Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 15 Rz 2 f in Bezug auf das Verhältnis von Informations- und Auskunftsrechten nach

DSGVO).

3.4.3.6. Tatsächlich räumt - wie die belangte Behörde in der Begründung des bekämpften Bescheids zutreffend ausführt - das ZaDiG 2018 keine Auskunfts- und Einsichtsrechte sondern ausschließlich Informationsrechte ein, die, unter Berücksichtigung des zuvor Ausgeführten, mit dem Auskunftsrecht nach Art 15 DSGVO nicht kollidieren:

So wird in den Erwägungsgründen zur Zahlungsdiensterichtlinie, in der das ZaDiG 2018 gründet, im Allgemeinen von Informationspflichten gesprochen, die Zahlungsdienstleister gegenüber den Zahlungsdienstenutzern haben sollen und im Besonderen die Auskunft über Zahlungsvorgänge die im Rahmen eines Rahmenvertrags erfolgen als Informationen bezeichnet. Das maßgebliche 3. Hauptstück des ZaDiG 2018 ist mit "Transparenz der Vertragsbedingungen und Informationspflichten für Zahlungsdienste" betitelt und es werden in den Bestimmungen dieses Haupstücks Zahlungsdienstleistern Informationspflichten, insbesondere in Bezug auf Zahlungsein- und ausgänge im Rahmen eines Rahmenvertrags (§§ 53 f ZaDiG 2018) auferlegt, den Zahlungsdienstenutzern aber keine Auskunfts- oder Einsichtsrechte gewährt. Zwar setzt die Übermittlung von bestimmten Informationen zu einzelnen Zahlungsvorgängen in Form von "Kontoauszügen" nach § 53 Abs 2 und 3 sowie § 54 Abs 2 und 3 ZaDiG 2018 ein Verlangen, und somit ein "aktives Tun" des Zahlungsdienstenutzers voraus. Dennoch wird dadurch kein Auskunftsrecht eingeräumt. Dem Zahlungsdienstenutzer wird damit nämlich lediglich ermöglicht, die Form, in der die Informationspflichten nach §§ 53 Abs 1 und 54 Abs 1 ZaDiG 2018 erfüllt werden, zu bestimmen.

3.4.3.7. Da die etwaige Erfüllung von Informationspflichten - hier nach ZaDiG 2018 - nicht zum Verlust des Auskunftsrechts der betroffenen Personen nach Art 15 DSGVO führen kann, bestehen die Rechte nebeneinander. Die mitbeteiligte Partei konnte das Recht auf Auskunft nach Art 15 DSGVO somit unabhängig davon ausüben, ob die BF ihren Pflichten nach ZaDiG 2018 nachgekommen ist oder nicht.

3.4.4. Die BF vermeint sinngemäß und zusammengefasst weiters, das Auskunftsbegehren der mitbeteiligten Partei sei offenbar unbegründet, weil sie es nur gestellt habe, um in anderen Rechtsvorschriften vorgesehene Entgeltregelungen zu umgehen. Es sei daher unberechtigt bzw die BF habe einen Kostenersatz für die Erteilung der Auskunft verlangen dürfen. Dem ist nicht zu Folgen:

3.4.4.1. Gemäß Art 12 Abs 5 zweiter Satz DSGVO kann bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person der Verantwortliche entweder a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder b) sich weigern, aufgrund des Antrags tätig zu werden.

3.4.4.2. Offensichtlich unbegründet ist ein Antrag nur dann, wenn er auch für den verständigen Laien den Rahmen der garantierten Betroffenenrechte evident überschreitet bzw der Tatbestand des Art 15 DSGVO offensichtlich nicht erfüllt ist. Bei Erstanträgen darf dies jedenfalls nur in den seltensten Fällen angenommen werden (zum Ganzen siehe Heckmann in Ehmann/Selmayr Datenschutz-Grundverordnung² (2018) Art 12 Rz 43; Gola DS-GVO² (2018) Art 12 Rz 34; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 12 Rz 32; Greve in Sydow, Europäische Datenschutzgrundverordnung Art 12 Rz 29). Die Beweislast liegt beim Verantwortlichen (Art 15 Abs 5 3. Satz DSGVO).

3.4.4.3. Ein Auskunftsbegehren nach Art 15 DSGVO ist aber - wie schon ein Auskunftsbegehren nach Art 12 der Datenschutzrichtlinie - nicht zu begründen (vgl Souhrada-Kirchmayer, Das Auskunftsrecht nach der Datenschutzgrundverordnung in Jahnel, Datenschutzrecht, Jahrbuch 2017, S 81).

3.4.4.4. Wendet man diese Grundsätze auf den Sachverhalt an, ist das Verlangen der mitbeteiligten Partei nicht offensichtlich unbegründet. Weder gibt es Hinweise darauf, dass die mitbeteiligte Partei offensichtlich den Tatbestand des Art 15 DSGVO nicht erfüllt hätte, noch, dass ihr Auskunftsbegehren auch für den verständigen Laien den Rahmen der garantierten Betroffenenrechte evident überschreitet. Dass sie Kosten für die Ausfolgung von Duplikaten von "Kontoauszügen" dadurch vermeiden will, dass sie von ihrem Recht auf datenschutzrechtliche Auskunft Gebrauch macht, ist auch unter Berücksichtigung, dass das Auskunftsrecht grundsätzlich dazu dienen soll, um sich der Verarbeitung personenbezogener Daten bewusst zu sein und ihre Rechtmäßigkeit überprüfen zu können (ErwGr 63 DSGVO), in Anbetracht dessen, dass das Recht auf Auskunft nach § 15 DSGVO nicht zu begründen ist und ein eigenständiges Recht neben den Informationsrechten nach dem ZaDiG 2018 bildet, nicht als evidente Überschreitung ihrer Betroffenenrechte zu sehen.

3.4.4.5. Auf den von der BF vorgebrachten Missbrauchsschutz nach § 1295 Abs 2 ABGB, war auf Grund des Anwendungsvorrangs des sekundären EU-Rechts, nämlich des in Art 12 DSGVO normierten Missbrauchsschutzes, nicht weiter einzugehen.

3.4.5. Die BF macht weiters geltend, die belangte Behörde habe gegen das Überraschungsverbot verstoßen, weil die BF entgegen der Bescheidbegründung auf das Auskunftsbegehren reagiert haben, nämlich mit Verweis auf die Möglichkeit, Kontoauszüge kostenpflichtig erhalten zu können. Dass die belanget Behörde dies nicht als Reaktion gewertet habe, sei der BF nie vorgehalten worden. Dem ist zu entgegnen, dass es im Verwaltungsverfahren genau um die Frage ging, ob ein Auskunftsbegehren vorlag und ob die BF darauf reagiert bzw richtig reagiert hat. Die belangte Behörde ist - wie sich aus der Bescheidbegründung ergibt - letztlich davon ausgegangen, dass die BF mit dem Verweis auf die kostenpflichtige Möglichkeit Kontoauszüge zu bekommen, das Auskunftsbegehren nicht korrekt erfüllt hat. Wenn sich die belangte Behörde in der strittigen Rechtsfrage gegen die Ansicht der BF entscheidet, kann darin keine Überraschung zu erkennt werden.

3.4.6. Die BF bringt letztens vor, der Spruch des bekämpften Bescheids sei unbestimmt und somit rechtswidrig. Dem ist entgegen zu halten, dass die Unbestimmtheit des Spruches dann nicht schadet, wenn sich aus der Begründung der normative Inhalt des Spruchs eindeutig erhellt (siehe bspw VwGH 10.07.2017, Ra 2018/05/0167 Rz 7). Das ist hier - entgegen der Meinung der BF - der Fall:

So folgt aus der Begründung eindeutig, dass die belangte Behörde über die Beschwerde der mitbeteiligten Partei vom 22.01.2018 abgesprochen hat, in der die mitbeteiligte Partei geltend gemacht hat, die BF habe sie in ihrem Recht auf Auskunft dadurch verletzt, dass sie ihr über Anfrage vom 28.11.2017 nicht Auskünfte über eigene Daten, nämlich Kontobewegungen der letzten fünf Jahre dh bis inklusive 2013, beauskunftet sondern die Auskunft an Kosten gebunden hat (Punkt C. des Bescheids). Die BF habe daher nicht in der nach dem DSG bzw der DSGVO vorgesehenen Weise reagiert, weshalb der Beschwerde stattzugeben war (Punkt D.2. des Bescheids) und der BF der mitbeteiligten Partei die begehrten Informationen kostenlos offenzulegen hat, sofern davon die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden (Punkt D.2.2. des Bescheids).

Obwohl der Bescheid nicht unter Rechtswidrigkeit leidet, weil der Spruch interpretativ eindeutig ermittelt werden konnte, war er entsprechend zu ergänzen.

3.5. Da die BF der mitbeteiligten Partei somit ohne zulässige Rechtfertigung die begehrte Auskunft nicht erteilt hat, war spruchgemäß zu entscheiden.

3.6. Da im Verfahren lediglich Rechtsfragen zu klären waren, konnte - trotz Antrag der BF - gemäß § 24 Abs 4 VwGVG auf die Durchführung einer mündlichen Verhandlung verzichtet werden (VwGH 19.09.2017, Ra 2017/01/0276).

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist zulässig, weil Rechtsfragen zu lösen waren, der grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommen. So fehlt es an Rechtsprechung des VwGH zu den im gegenständlichen Fall zu beurteilenden Fragen, in welchem Verhältnis das Auskunftsrecht nach Art 15 DSGVO zu den Informationsrechten des 3. Hauptstück des ZaDiG 2018 steht und inwiefern ein Auskunftsbegehren nach Art 15 DSGVO unbegründet im Sinne des Art 12 Abs 5 zweiter Satz DSVO ist, wenn der Auskunftswerber die Auskunft nicht begehrt, um sich der Verarbeitung ihn betreffender personenbezogener Daten bewusst zu sein und ihre Rechtmäßigkeit überprüfen zu können (ErwGr 63 DSGVO), sondern um andernfalls vom Verantwortlichen vorgeschriebene Kosten zu vermeiden. Hinsichtlich der Interpretation der Übergangsbestimmungen des § 69 Abs 4 und Abs 5 letzter Satz DSG, dh ob die DSGVO oder die Rechtslage vor der DSGVO anzuwenden ist, ist die Revision nicht zulässig. So besteht zu dieser Frage zwar ebenfalls keine Rechtsprechung des VwGH, sie ist auf Grund der klaren Anordnungen der zitierten Bestimmungen aber eindeutig.