BVwG W214 2224106-1

Spruch:

W214 2224106-1/13E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der STADTGEMEINDE XXXX , vertreten durch XXXX Rechtsanwälte, gegen den Bescheid der Datenschutzbehörde vom 08.08.2019, Zl. DSB-D124.1123/0001-DSB/2019, zu Recht erkannt:

A)

I. In Erledigung der Beschwerde wird gemäß § 28 Abs. 1 und 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) der angefochtene Bescheid dahingehend abgeändert, als

- der Spruchpunkt 1 des angefochtenen Bescheides zu lauten hat:

"1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin die Erstbeschwerdeführerin und den Zweitbeschwerdeführer dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie diesen keine vollständige Auskunft über die Verarbeitungszwecke und über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, erteilt und weiters keine Kopie ihrer personenbezogenen Eingaben, die Gegenstand der Verarbeitung sind, zur Verfügung gestellt hat."

- der Spruchpunkt 2 des angefochtenen Bescheides zu lauten hat:

"2. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von acht Wochen der Erstbeschwerdeführerin und dem Zweitbeschwerdeführer jeweils

a. eine vollständige Auskunft über die Verarbeitungszwecke sowie über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, zu erteilen und

b. eine Kopie der personenbezogenen Eingaben der Beschwerdeführer, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen."

II. Der Antrag, ein Vorabentscheidungsersuchen an den EuGH zu stellen, wird abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten gemeinsamen Beschwerde vom 26.11.2018 machten die (anwaltlich vertretenen) mitbeteiligten Parteien (ursprüngliche Beschwerdeführer vor der belangten Behörde) XXXX (mP1) und XXXX (mP2) eine Verletzung im Recht auf Auskunft geltend. Dazu wurde zusammengefasst vorgebracht, dass die mP jeweils am 25.10.2018 an die nunmehrige Beschwerdeführerin einen Antrag gemäß Art. 15 DSGVO gestellt hätten. Die Beschwerdeführerin habe den für die mP einschreitenden Rechtsanwalt daraufhin um eine ausdrückliche, schriftliche, per Einschreiben übermittelte und mit einem Kanzleistempel versehene Bestätigung unter Anschluss einer Kopie eines amtlichen Lichtbildausweises, sowie um eine Übermittlung einer vollständigen Auflistung sämtlicher Eingaben unter Angabe der Kommunikationswege und Empfänger ersucht. Nach Ansicht der mP sei diese Antwort mangelhaft und verletzte sie in ihren Rechten, da Art. 12 Abs. 6 DSGVO keine routinemäßige Identitätsprüfung ermögliche und der Beschwerdeführerin die Kontaktdaten und E-Mail-Adressen des Rechtsvertreters der mP bekannt seien, sodass keine Zweifel hinsichtlich der Identität des Rechtsvertreters bestünden.

2. Mit Antwortschreiben vom 10.01.2019, welches auch der belangten Behörde übermittelt wurde, teilte die Beschwerdeführerin den mP mit, dass folgende Daten über sie verarbeitet würden:

Nachname, Vorname

Geburtsdatum, Staatsbürgerschaft

Adresse

Beruf

Rechtsvertretung (Name, Adresse, Kontaktdaten)

Dem Antwortschreiben angeschlossen wurden zwei Beiblätter, auf denen diesbezüglich die konkret verarbeiteten Daten der mP ersichtlich sind.

Weiters teilte die Beschwerdeführerin mit, dass die Verarbeitung der genannten Daten zum Zwecke der Erfüllung behördlicher Aufgaben diene, und zwar zur Durchführung von (näher angeführten) Verwaltungsverfahren und Amtshaftungsverfahren, hinsichtlich derer die mP Verfahrensparteien seien.

Die oben genannten Daten würden EDV-Dienstleistern, anderen Behörden (Bezirkshauptmannschaft, Gerichte) sowie der Rechtsvertretung weitergegeben. Bezüglich der Herkunft der Daten sei auszuführen, dass diese von den mP selbst oder deren Rechtsvertretung stammen würden, die Daten würden bis längstens fünf Jahre ab dem Zeitpunkt der rechtskräftigen Beendigung des jeweiligen Verwaltungsverfahrens gespeichert.

Hinsichtlich des weiteren Ersuchens, gemäß Art. 15 DSGVO sämtliche den mP zugeordneten Eingaben aufzulisten und eine kostenlose Kopie der Eingaben zur Verfügung zu stellen, sei festzuhalten, dass es sich dabei nicht um personenbezogene Daten, welche dem Auskunftsrecht gemäß Art. 15 DSGVO unterlägen, handle. Dasselbe treffe auf die alternativ begehrte grundsätzliche Übersicht darüber zu, wie viele und in welcher Art Eingaben den mP zugerechnet worden seien. Durch die begehrte Auskunft würde das Recht auf Akteneinsicht gemäß § 17 AVG ausgehöhlt werden, was jedoch nicht Intention des Auskunftsrechts gemäß Art. 15 DSGVO sei.

3. Die mP erstatteten am 24.05.2019 eine Stellungnahme und brachten zusammengefasst vor, dass Art. 15 DSGVO einen unbedingten Anwendungsbereich habe und keine dem (am 24.05.2018 außer Kraft getretenen) § 26 Abs. 8 DSG 2000 vergleichbare Beschränkung kenne. Der geltende § 44 Abs. 5 DSG befinde sich im 3. Hauptstück des DSG und sei daher gemäß § 36 DSG nicht anwendbar. Eine zulässige Beschränkung nach Art. 23 DSGVO liege nicht vor. Es werde daher der Antrag gestellt, die Rechtswidrigkeit der in Beschwerde gezogenen, von der Beschwerdeführerin zu vertretenden Rechtsverletzungen festzustellen und die Beschwerdeführerin anzuweisen, den mP die begehrte Auskunft vollständig zu erteilen oder alternativ den mP die begehrte Datenkopie zur Verfügung zu stellen.

4. Am 22.07.2019 brachten die mP eine ergänzende Stellungnahme ein, in welcher sie ausführten, dass über das bereits Vorgebrachte hinaus die Auskunft der Beschwerdeführerin vor allem hinsichtlich der Empfänger personenbezogener Daten der mP unvollständig sei. So habe die Beschwerdeführerin den mP keine Auskunft darüber erteilt, dass deren personenbezogene Daten zum Zweck der Veröffentlichung (etwa im Internet in den Sitzungsprotokollen der Stadtgemeinde XXXX oder durch Übermittlung an Medien) verarbeitet würden und auf welcher Rechtsgrundlage dies erfolge.

Teilweise würden zudem Daten der mP zusammen mit Daten anderer Gemeindebürger und mit solchen anderer Mandanten der Rechtsvertreter der mP verarbeitet werden, sowie die Daten an Mitglieder des Gemeinderates und Gemeindebedienstete übermittelt werden. Auch hierüber sei keine Auskunft erteilt worden.

5. Die Beschwerdeführerin übermittelte der belangten Behörde am 26.07.2019 ein Schreiben, in welchem sie (nach Wiederholung des Sachverhaltes) erneut vorbrachte, dass das von den mP gestellte Auskunftsbegehren samt Antrag, eine Auflistung sämtlicher ihnen zugeordneten Eingaben zu übermitteln und kostenlose Kopien der jeweiligen Eingaben zur Verfügung zu stellen, von Art. 15 DSGVO nicht vorgesehen werde. Die bei der Beschwerdeführerin anhängigen behördlichen Verfahren seien keine Datenanwendungen, aus denen Auskünfte gemäß Art. 15 DSGVO zu erteilen seien. Durch die begehrte Auskunft würde das Recht auf Akteneinsicht gemäß § 17 AVG ausgehöhlt werden, was nicht die Intention des Auskunftsrechts gemäß Art. 15 DSGVO sei. Auskunftsbegehren dieser Art würden zudem die Verwaltungsressourcen in einem unverhältnismäßigen Ausmaß beanspruchen.

6. Mit dem angefochtenen Bescheid gab die belangte Behörde der Beschwerde der mP teilweise statt und stellte fest, dass die Beschwerdeführerin die mP dadurch in ihrem Recht auf Auskunft verletzt habe, indem sie diesen keine vollständige Auskunft über die konkret verarbeiteten Stammdaten, über die Verwendungszwecke und über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt würden, erteilt und weiters keine Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung gestellt habe (Spruchpunkt 1.). Weiters wurde der Beschwerdeführerin aufgetragen, innerhalb einer Frist von vier Wochen den mP jeweils eine vollständige Auskunft über die konkret verarbeiteten Stammdaten, über die Verarbeitungszwecke, sowie über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt werden, zu erteilen und eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung zu stellen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).

Begründend wurde (nach Wiederholung des Sachverhaltes) ausgeführt, dass Beschwerdegegenstand die Frage sei, ob die Beschwerdeführerin die mP dadurch im Recht auf Auskunft verletzt habe, indem sie den Anträgen auf Auskunft vom 25.10.2018 bis zum Abschluss des Verfahrens vor der belangten Behörde nicht vollständig entsprochen habe.

Auf Grundlage einer amtswegigen Recherche der öffentlich zugänglichen Webpage der Stadtgemeinde XXXX (https://www XXXX /Politik/Sitzungsprotokolle) sei festgestellt worden, dass die Beschwerdeführerin öffentlich zugängliche Sitzungsprotokolle des Gemeinderates, welche teilweise personenbezogene Daten der mP enthalten würden, speichere. Weiters sei anhand eines in Kopie vorgelegten Emails vom 08.12.2017, geschrieben von der damaligen Rechtsvertreterin der Beschwerdeführerin, festgestellt worden, dass die Beschwerdeführerin die mP in einer E-Mail an die XXXX genannt habe.

Rechtlich folge daraus, dass hinsichtlich der konkret verarbeiteten Stammdaten gemäß Art. 12 Abs. 1 erster Satz DSGVO iVm Art. 15 DSGVO eine derart präzise Auskunft zu erteilen sei, dass eine betroffene Person ihre weiteren Betroffenenrechte ausüben könne. Die Beschwerdeführerin sei daher angehalten, die konkret gespeicherten Stammdaten der mP vollständig zu beauskunften, die Nennung lediglich von Datenkategorien entspreche nicht dem Maßstab einer präzisen Auskunft, da ansonsten etwa ein Begehren auf Richtigstellung denkunmöglich geltend gemacht werden könne.

Zu den Metadaten gemäß Art. 15 Abs. 1 lit. a und lit. c DSGVO sei auszuführen, dass die Beschwerdeführerin eine unvollständige Auskunft erteilt habe, da sich im Verfahren herausgestellt habe, dass die personenbezogenen Daten der mP auch auf der Webpage der Beschwerdeführerin gespeichert seien und von der Beschwerdeführerin auch an Medienunternehmen übermittelt worden seien.

Zum Recht auf Datenkopie (Art. 15 Abs. 3 DSGVO) führte die belangte Behörde aus, dass zutreffend sei, dass das Recht zur Akteneinsicht gemäß § 17 AVG nicht durch das datenschutzrechtliche Auskunftsrecht ersetzt werden könne, zu berücksichtigen sei jedoch, dass die mP kein der vollständigen Akteneinsicht gleichkommendes Begehren gestellt, sondern ihr Auskunftsbegehren präzisiert hätten. Zudem sei den mP in ihrem Vorbringen, dass die DSGVO keine Bestimmung iSd § 28 Abs. 8 DSG 2008 enthalte, in welcher eine Subsidiarität des Auskunftsrechts gegenüber anderen Einsichtsrechten festgelegt sei, zu folgen.

Sofern die Beschwerdeführerin vorbringe, dass es sich bei den Eingaben der mP nicht um personenbezogene Daten handle, sei ihr die Rechtsprechung des EuGH entgegenzuhalten, dass der Begriff personenbezogene Daten weit auszulegen sei und, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handle, potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen erfasse. Dies berücksichtigend seien auch Schriftstücke einer betroffenen Person an eine Behörde als personenbezogene Daten zu qualifizieren, wenn aus diesen hervorgehe, mit welchem Begehren sich welche Person an welche Behörde wende.

Hinsichtlich des Rechtes auf Datenkopie sei von der Beschwerdeführerin zu keinem Zeitpunkt eine Beschränkung iSd Art. 15 Abs. 4 DSGVO oder Art. 23 Abs. 1 iVm § 4 Abs. 5 DSG geltend gemacht worden.

Sofern die Beschwerdeführerin vorbringe, dass Auskunftsbegehren wie das gegenständliche umgelegt auf die Ämter der Landesregierungen oder eine Bundesverwaltung die Verwaltungsressourcen unverhältnismäßig beanspruchen würden, sei ihr einerseits entgegenzuhalten, dass sie gemäß Art. 12 Abs. 5 letzter Satz DSGVO den Nachweis für den exzessiven Charakter eines Antrages zu erbringen habe, wobei der Hinweis auf ein hypothetisches Auskunftsbegehren gegen einen anderen Verantwortlichen nicht ausreichend sei und andererseits, dass sie sich fristgerecht iSd Art 12 Abs. 4 DSGVO auf die Missbrauchsklausel des Art. 12 Abs. 5 DSGVO hätte stützen müssen .

Davon ausgehend sei die Beschwerdeführerin angehalten, den mP - unter Beachtung von Art. 15 Abs. 4 DSGVO - eine Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung zu stellen. Der Leistungsumfang stütze sich auf Art. 58 Abs. 2 lit. c DSGVO iVm § 24 Abs. 5 DSG, wobei die in Abs. 5 leg. cit. normierte Einschränkung auf Verantwortliche des privaten Bereiches aufgrund des unmittelbaren Vorranges des Unionsrechts unangewendet zu bleiben habe.

Im Hinblick auf das Begehren der mP, die den mP zugeordneten Eingaben mit Datum des Einlangens und Bezeichnung der Verwaltungssache aufzulisten oder subsidiär eine "Auflistung der Eingaben" zu erhalten, sei festzuhalten, dass aus dem Auskunftsrecht gemäß Art. 15 DSGVO kein Recht erwachse, dass die Auskunft in spezifischer Form aufbereitet oder die beauskunfteten Informationen in gewisser Weise angeordnet würden. In welcher Weise die Beschwerdeführerin daher die zu erteilenden Informationen zur Verfügung stelle bzw. aufbereite bleibe grundsätzlich ihr überlassen, solange der von Art. 12 Abs. 1 DSGVO geforderte Maßstab nicht unterschritten und auch die Vorgabe gemäß Art. 15 Abs. 3 dritter Satz DSGVO eingehalten werde.

7. Gegen die Spruchpunkte 1. und 2. des angefochtenen Bescheides erhob die Beschwerdeführerin mit Schriftsatz vom 24.09.2019 eine Beschwerde an das Bundesverwaltungsgericht.

Darin wurde zunächst ausgeführt, dass die belangte Behörde übersehe, dass die Beschwerdeführerin mit ihrem Auskunftsschreiben vom 10.01.2019 anhand zweier Beiblätter die über die mP konkret verarbeiteten Daten an die Rechtsvertreter der mP übermittelt habe. Insofern sei Spruchpunkt 1. des angefochtenen Bescheides mit Rechtswidrigkeit behaftet.

Hinsichtlich des Umstandes, dass die Beschwerdeführerin die personenbezogenen Daten der mP auch auf ihrer Webpage speichere, sei festzuhalten, dass auch diese Verarbeitung von den genannten Zwecken "der Erfüllung behördlicher Aufgaben" und zwar der angeführten Verwaltungsverfahren gedeckt sei. Die Beschwerdeführerin habe ihre Rechtsvertreter damit beauftragt, die Amtshaftungsansprüche der mP zurückzuweisen, weshalb es hierzu einer Behandlung im Gemeinderat bedurft habe. Zudem sei die Beschwerdeführerin verpflichtet, die Gemeinderatssitzungsprotokolle im Internet zum Download zur Verfügung zu stellen.

Ungeachtet dessen sei festzuhalten, dass die belangte Behörde mit ihrer amtswegigen Recherche der öffentlich zugänglichen Webpage der Beschwerdeführerin ihre Befugnisse bzw. den Entscheidungsgegenstand überschritten habe, zumal dies nicht Gegenstand der Beschwerde der mP gewesen sei. Der angefochtene Bescheid sei insofern mangelhaft bzw. mit Rechtswidrigkeit belastet. Dasselbe treffe auf die Weitergabe der Namen der mP an die XXXX zu, diesbezüglich habe es die belangte Behörde zudem unterlassen, der Beschwerdeführerin Gelegenheit zu geben, sich zum E-Mail vom 08.09.2017 zu äußern und die Beschwerdeführerin dadurch in ihrem Recht auf ein faires Verfahren verletzt.

Zum Recht auf Datenkopie sei festzuhalten, dass das Auskunftsbegehren der mP einer vollständigen Akteneinsicht gleichkomme, da der Akt zum überwiegenden Großteil aus Eingaben der mP bestehe. Das Recht auf Akteneinsicht werde somit ausgehöhlt, was jedoch nicht im Sinne des Gesetzgebers sein könne, weshalb die Beschwerdeführerin beantrage, diesbezüglich ein Vorabenscheidungsersuchen an den EuGH zu richten.

Der Antrag der mP sei zudem offenkundig unbegründet und handle es sich hierbei auch um eine mutwillige Rechtsausübung, zumal die mP seit Juni 2015 mehr als 100 unterschiedliche Eingaben bei der Beschwerdeführerin eingebracht hätten und jede behördliche Entscheidung der Beschwerdeführerin mit Rechtsmitteln bekämpft und/oder die mP strafrechtliche Ermittlungen gegen Organe der Beschwerdeführerin in die Wege geleitet hätten.

Wenn die Beschwerdeführerin tatsächlich dazu verpflichtet sein sollte, den mP Kopien sämtlicher ihrer Eingaben zur Verfügung zu stellen, sei sie jedenfalls dazu berechtigt, ein angemessenes Entgelt für den damit verbundenen enormen Aufwand zu verlangen.

8. Mit Schreiben vom 27.09.2019 wurde von der belangten Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht vorgelegt und eine Stellungnahme abgegeben. Darin wurde zunächst ausgeführt, dass richtig sei, dass die Auskunftserteilung im Hinblick auf die konkret verarbeiteten Stammdaten obsolet sei, da diese von der Beschwerdeführerin bereits beauskunftet worden seien.

Dies ändere allerdings nichts am Bestand von Spruchpunkt 1. und 2. des angefochtenen Bescheides, nämlich, dass bis Abschluss des Verfahrens keine vollständige Auskunft (über die Verarbeitungszwecke und über die Empfänger oder Kategorien von Empfängern) erteilt sowie keine Kopie der Daten zur Verfügung gestellt worden sei und die Beschwerdeführerin anzuweisen gewesen sei, dem Auskunftsrecht zu entsprechen.

Zu den Metadaten sei festzuhalten, dass die Auskunft der Beschwerdeführerin auf den Verarbeitungszweck "Erfüllung behördlicher Aufgaben" um im Hinblick auf zum Download verfügbare Sitzungsprotokolle zu informieren, nicht ausreichend präzise und bestimmt sei, um es einer betroffenen Person zu ermöglichen, sich der Verarbeitung bewusst zu werden und deren Rechtsmäßigkeit zu kontrollieren, was Sinn und Zweck des Auskunftsrechts sei. Inwiefern die Veröffentlichung von Sitzungsprotokollen auf der Webpage, insbesondere aber die Weitergabe von personenbezogenen Daten an Medienunternehmen, der "Erfüllung behördlicher Aufgaben" diene, habe die Beschwerdeführerin im Übrigen nicht dargelegt.

Entgegen den Ausführungen der Beschwerdeführerin habe die belangte Behörde ihre Befugnisse bzw. den Entscheidungsgegenstand nicht überschritten, der Antrag der mP habe "Auskunftsbegehren gemäß Art. 15 Abs. 1 DSGVO" gelautet, dass auf die Auskunft hinsichtlich Metadaten verzichtet worden sei, sei nicht ersichtlich. Es seien daher entsprechende Ermittlungsschritte zu setzen gewesen. Inwiefern es für das gegenständliche Verfahren von Relevanz sei, dass die Beschwerdeführerin nicht mehr zu den Sitzungsprotokollen und zur Weitergabe an die XXXX befragt worden sei, habe diese nicht dargelegt und seien diese neuen Sachverhaltselemente durch entsprechende Beweismittel belegt und auch in der Beschwerde nicht bestritten worden.

Zum Recht auf Datenkopie sei festzuhalten, dass dieses das in § 17 AVG normierte Recht auf Akteneinsicht nicht aushöhle, da das datenschutzrechtliche Auskunftsrecht auf den Erhalt einer Auskunft im Hinblick auf die personenbezogenen Daten des Auskunftswerbers beschränkt sei und anderen Beschränkungen unterliege als das Recht auf Akteneinsicht, weshalb es bereits per definitionem nicht geeignet sei, sich einen vollständigen Überblick über die Ergebnisse des Ermittlungsverfahrens zu bilden. Abgesehen davon verarbeite die Beschwerdeführerin offenbar auch personenbezogene Daten der mP, die sich nicht im Akt befänden (bspw. elektronisches Verwaltungssystem, Führung einer Aktenliste) und die ausschließlich im Wege des datenschutzrechtlichen Auskunftsrechts in Erfahrung gebracht werden könnten.

Wenngleich dem Bundesverwaltungsgericht freilich freistehe, ein Vorabentscheidungsersuchen beim EuGH einzuholen, dürfe bemerkt werden, dass der EuGH ohnedies bereits festgestellt habe, dass das datenschutzrechtliche Auskunftsrecht nicht dazu diene, sich Zugang zu Verwaltungsdokumenten zu verschaffen. Dies sei gegenständlich aber ohnedies nicht der Fall, das Auskunftsbegehren ziele auf Erhalt der Kopie des jeweiligen Eingabeblattes ab und habe der EuGH ausdrücklich bejaht, dass ein Anspruch auf Erhalt einer solchen Kopie bestehe.

Sofern die Beschwerdeführerin nunmehr erstmalig vorbringe, dass das Auskunftsbegehren der mP offenkundig unbegründet oder exzessiv sei, sei ihr entgegenzuhalten, dass sie sich erst anlässlich der negativen Entscheidung der belangten Behörde auf die Missbrauchsklausel des Art. 12 Abs. 5 DSGVO gestützt habe, eine Auskunftsverweigerung jedoch nach bereits inhaltlich erteilter Auskunft nicht in Betracht komme. Die Frist von einem Monat sei zudem ausdrücklich in Art. 12 Abs. 4 DSGVO normiert. Die Beschwerdeführerin habe im Übrigen nicht dargelegt, inwiefern das Auskunftsbegehren der mP unbegründet oder exzessiv sei. Dass die Erfüllung mit einem gewissen Aufwand verbunden sei, führe noch nicht zur Tatbestandsmäßigkeit des Art. 12 Abs. 5 DSGVO, zumal ein Verantwortlicher gemäß Art. 5 Abs. 2 iVm Art. 24 Abs. 1 DSGVO verpflichtet sei, geeignete Maßnahmen zu treffen, um die Einhaltung der Verordnung zu gewährleisten und die Beschwerdeführerin auch eine mit entsprechenden Mitteln ausgestattete Gemeinde sei.

9. Die Stellungnahme der belangten Behörde wurde den mP und der Beschwerdeführerin zur allfälligen Stellungnahme binnen 14 Tagen übermittelt.

Die mP schlossen sich in ihrer Stellungnahme vom 03.02.2020 den Ausführungen der belangten Behörde vollinhaltlich an.

Die Beschwerdeführerin führte in ihrer Stellungnahme vom 12.02.2020 (abermals) aus, dass hinsichtlich des Umstandes, dass die Beschwerdeführerin die personenbezogenen Daten der mP auch auf ihrer Webpage speichere, festzuhalten sei, dass der genannte Zweck "Erfüllung behördlicher Aufgaben" ausreichend bestimmt sei. Eine nähere Konkretisierung, wann, wo und in welchem System die konkretisierten Daten konkret verarbeitet würden, sei weder notwendig noch zumutbar. Nochmals werde festgehalten, dass die belangte Behörde mit ihrer amtswegigen Recherche ihre Befugnisse bzw. den Entscheidungsgegenstand überschritten habe, zumal es - entgegen der Ansicht der belangten Behörde - einem rechtsfreundlich vertretenen Auskunftswerber durchaus zumutbar sei, sein Auskunftsbegehren auch konkret zu formulieren. Abermals werde eine Vorabentscheidung beim EuGH beantragt, zumal das Recht auf Akteneinsicht nicht durch das datenschutzrechtliche Auskunftsrecht ersetzt werden könne, der Verwaltungsakt aber überwiegend aus Eingaben der mP bestehe. Zur Erfüllung des Auskunftsrechtes sei es nicht nötig, den mP Kopien von sämtlichen seiner Eingaben zur Verfügung zu stellen, zumal sich diese selbst darüber bewusst sein müssten, dass die gemachten Eingaben von der Behörde verarbeitet würden. Die belangte Behörde verkenne den enormen Zeitaufwand, welcher für die Zusammenstellung von Kopien der mehr als 100 verschiedenen Eingaben der mP verursachen würde, da die Beschwerdeführerin selbst nur über begrenzte Ressourcen verfüge. Zusammenfassend sei festzuhalten, dass die mP nicht berechtigt seien, Kopien sämtlicher ihrer Eingaben zu erhalten, selbst wenn ein solches Recht bestehen würde, wären die mP hierfür zum Kostenersatz zu verpflichten. Zudem seien die mP der gebotenen Aufforderung zur Identitätsfeststellung nicht nachgekommen, so dass der angefochtene Bescheid auch aus diesem Grund mit Rechtswidrigkeit behaftet und aufzuheben sei.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Die mP stellten am 25.10.2018 jeweils ein Auskunftsbegehren an die Beschwerdeführerin. Darin wurde ausgeführt, dass die Beschwerdeführerin in einer Berufungsbeantwortung in einer anderen Rechtssache sowie in einem weiteren Schriftsatz in einem Amtshaftungsverfahren vorgebracht habe, dass die mP seit Juni 2015 mehrere hundert Eingaben bei ihr eingebracht habe. Da sich diese Vielzahl nicht aus den den mP vorliegenden Akten ableiten lasse, hätten die mP den berechtigten Grund zur Sorge, dass unbefugte Dritte missbräuchlich mehrere hunderte bzw. hunderte Eingaben erstattet hätten, die den mP zugeordnet würden. Die mP ersuchten daher um Auskunft, ihnen gemäß Art. 15 DSGVO sämtliche zu den mP zugeordneten Eingaben mit Datum des Einlangens und Bezeichnung der Verwaltungssache, welcher diese jeweils zugeordnet worden seien, im Verantwortungsbereich der Beschwerdeführerin aufzulisten und ihnen gemäß Art. 15 Abs. 3 DSGVO eine kostenlose Kopie zur Verfügung zu stellen.

Die Beschwerdeführerin ersuchte daraufhin den für die mP einschreitenden Rechtsanwalt um eine ausdrückliche, schriftliche, per Einschreiben übermittelte und mit einem Kanzleistempel versehene Bestätigung unter Anschluss einer Kopie eines amtlichen Lichtbildausweises, sowie um eine Übermittlung einer vollständigen Auflistung sämtlicher Eingaben unter Angabe der Kommunikationswege und Empfänger. Diesem Ersuchen kamen die mP nicht nach.

Die Beschwerdeführerin erteilte mit Schreiben vom 10.01.2019 Auskünfte an die mP, die jedoch hinsichtlich der Verarbeitungszwecke und der Empfänger bzw. Kategorien von Empfängern unvollständig waren.

Die Beschwerdeführerin erteilte den mP weder Auskunft darüber, dass ihre personenbezogenen Daten auf der Webpage der Beschwerdeführerin unter XXXX in Sitzungsprotokollen vom 14.09.2017, 22.03.2018 und 18.10.2018 veröffentlicht wurden und nach wie vor gespeichert sind, noch, dass ihre personenbezogenen Daten an den Empfänger " XXXX " übermittelt wurden und für welche Zwecke dies der Fall war.

Die Beschwerdeführerin hat den mP keine Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung gestellt und gegenüber den mP auch nicht begründet, warum sie die Kopien nicht zur Verfügung stellte.

Die belangte Behörde hat im angefochtenen Bescheid der Beschwerde teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin die mP dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie diesen keine vollständige Auskunft über die konkret verarbeiteten Stammdaten, über die Verwendungszwecke und über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, erteilt hat und weiters keine Kopie ihrer personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung gestellt hat (Spruchpunkt 1.). Weiters wurde der Beschwerdeführerin aufgetragen, innerhalb einer Frist von vier Wochen den mP jeweils eine vollständige Auskunft über die konkret verarbeiteten Stammdaten, über die Verarbeitungszwecke, sowie über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, zu erteilen und eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung zu stellen (Spruchpunkt 2.). Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt und sind unstrittig.

3. Rechtliche Beurteilung:

3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Rechtslage:

Art. 4 Z 1 und 2 DSGVO lauten:

"Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Art. 5 Abs. 1 lit. a DSGVO lautet:

"Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a)- auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz")"

Art. 12 DSGVO lautet:

"Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen."

Art. 15 DSGVO lautet:

"Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen."

Art. 57 Abs. 1 lit f. DSGVO lautet:

"Artikel 57 Aufgaben

(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet

f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;"

Art. 58 Abs. 2 lit c. DSGVO lautet:

"Artikel 58 Befugnisse

2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,"

3.2.2. Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

3.2.2.1. Zu den konkret verarbeiteten Stammdaten (Art. 15 Abs. 1 DSGVO)

Wie von der Beschwerdeführerin in ihrer Beschwerde vorgebracht und aus dem Akt ersichtlich, hat die Beschwerdeführerin bereits mit ihrem Antwortschreiben vom 10.01.2019 an den Rechtsvertreter der mP anhand der beiden beigelegten Beiblätter die über die mP konkret verarbeiteten Stammdaten beauskunftet. Dies wird auch von der belangten Behörde in ihrer Stellungnahme vom 27.09.2019 eingeräumt. Insoweit ist die Beschwerdeführerin dem Auskunftsbegehren der mP bereits vor Bescheiderlassung nachgekommen und sind

die Spruchpunkte 1. und 2. des angefochtenen Bescheides daher spruchgemäß abzuändern.

3.2.2.2. Zu den Metadaten (Art. 15 Abs. 1 lit. a und lit. c DSGVO)

Zunächst ist festzuhalten, dass es sich bei den Eingaben der mP - entgegen dem Vorbringen der Beschwerdeführerin im Verwaltungsverfahren - sehr wohl um "personenbezogene Daten" iSd Art. 4 Z 1 DSGVO handelt. Wie die belangte Behörde korrekt ausgeführt hat, ist der Begriff "personenbezogene Daten" nach der Rechtsprechung des EuGH weit auszulegen und umfasst dieser Begriff, unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende Person handelt, potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen (vgl. EuGH 20.12.2017 C 434/16, Nowak Rn. 34).

Bei den von den mP getätigten Eingaben an die Beschwerdeführerin (diverse Anträge, Urkundenvorlagen, Stellungnahmen, Klagen etc. im Zusammenhang mit Verwaltungs- und Amtshaftungsverfahren) handelt es sich zweifelsohne um Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (und daher um personenbezogene Daten iSd Art. 4 Z 1 DSGVO). Die Beschwerdeführerin hat ihr diesbezügliches Vorbringen in der Beschwerde auch nicht mehr explizit aufrechterhalten.

Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

[...]

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

[...]

Wie festgestellt, wurden personenbezogene Daten (Namen) der mP auf der Webpage der Beschwerdeführerin in Sitzungsprotokollen vom 14.09.2017, 22.03.2018 und 18.10.2018 veröffentlicht und gespeichert und vom Rechtsvertreter der Beschwerdeführerin personenbezogenen Daten an den Empfänger " XXXX " übermittelt.

Diese Feststellungen wurden von der Beschwerdeführerin nicht bestritten, sie bringt jedoch vor, dass die Verarbeitung der personenbezogenen Daten in Sitzungsprotokollen auf der Webpage vom beauskunfteten Zweck der "Erfüllung behördlicher Aufgaben", und zwar der angeführten Verwaltungsverfahren, hinsichtlich derer die mP Verfahrensparteien seien, gedeckt sei.

Wie die belangte Behörde jedoch zutreffend ausgeführt hat, ist diese Zwecknennung im Hinblick auf eine Verarbeitung der personenbezogenen Daten in Sitzungsprotokollen auf der Webpage der Beschwerdeführerin nicht ausreichend präzise und bestimmt.

Die Zwecke müssen gemäß Art. 5 Abs. 1 lit b DSGVO eindeutig sein, woraus abgeleitet wird, dass sie hinreichend bestimmt sein müssen und inhaltlich eine gewisse Begrenzungsfunktion erfüllen müssen. Dieses Verständnis im Sinne von "konkret" wird auch durch einen Blick auf die englische und die französische Sprachfassung gestützt ("explicit" bzw. "explicites"). Ohne hinreichende Bestimmtheit der Zweckfestlegung würde der Grundsatz der Zweckbindung ins Leere laufen, und damit auch die Grundsätze der Datenminimierung und der Speicherbegrenzung. Eine zu vage oder zu weite Umschreibung der Zwecke würde auch dem Transparenzgebot des Art. 5 Abs. 1 lit a DSGVO widersprechen. Zweckangaben wie "Verbesserung der Benutzerfreundlichkeit", "Marketingzwecke", "Zwecke der IT-Sicherheit", "künftige Forschung" sind zu allgemein und erfüllen nicht das Kriterium der hinreichenden Bestimmtheit (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO Rz 25f (Stand 1.10.2018, rdb.at)).

Der belangten Behörde ist beizupflichten, dass nach der allgemeinen Lebenserfahrung davon auszugehen ist, dass ein durchschnittlicher Auskunftswerber ausgehend vom genannten Verarbeitungszweck "Erfüllung behördlicher Aufgaben" nicht darauf schließen kann, dass personenbezogene Daten auch zum öffentlichen Download auf einer Webpage bereitgestellt werden.

Darüber hinaus hat die belangte Behörde im angefochtenen Bescheid auch aufgezeigt, wie im Rahmen der Möglichkeiten der Beschwerdeführerin ein niedrigeres Abstraktionslevel bei der Nennung von Verarbeitungszwecken erreicht werden kann.

Wenn die Beschwerdeführerin vorbringt, sie sei "verpflichtet, die Gemeinderatssitzungsprotokolle im Internet zum Download zur Verfügung zu stellen", so enthebt sie dies nicht von der Pflicht, dem Auskunftsbegehren der mP nachzukommen.

Die belangte Behörde hat mit der amtswegigen Recherche der öffentlich zugänglichen Webpage der Beschwerdeführerin auch nicht ihre Befugnisse bzw. den Entscheidungsgegenstand überschritten. Gemäß § 39 Abs. 1 iVm Abs. 2 AVG hat die Behörde bei der Durchführung des Ermittlungsverfahrens von Amts wegen vorzugehen und unter Beachtung der Vorschriften des AVG den Gang des Ermittlungsverfahrens zu bestimmen. Aus diesem normierten Grundsatz der Amtswegigkeit ergibt sich in Zusammenhalt mit § 37 AVG auch der Grundsatz der materiellen Wahrheit des festzustellenden Sachverhalts. Im Ermittlungsverfahren sollen also die zuständigen Organe Kenntnis erhalten, ob bzw. wie sich bestimmte Sachverhalte ereignet haben bzw. ob bestimmte Tatsachen vorliegen (Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11, Rz 273f u. 315).

Vor diesem Hintergrund war die belangte Behörde verpflichtet, der Behauptung der mP in deren ergänzender Stellungnahme vom 22.07.2019, wonach die Beschwerdeführerin auf ihrer Webpage personenbezogene Daten der mP verarbeite, nachzugehen und durch amtswegige Recherche auf besagter Webpage den Sachverhalt festzustellen. Eine Überschreitung der Befugnisse der belangten Behörde ist daher ebenso wenig ersichtlich, wie eine Überschreitung des Entscheidungsgegenstandes, welcher sich aus dem Inhalt der Anträge der mP ("Auskunftsbegehren nach Art. 15 Abs. 1 DSGVO" und "Ersuchen um Übersendung einer Datenkopie gem. Art. 15 Abs. 3 DSGVO") vom 25.10.2018 ergibt. In diesem Zusammenhang ist anzumerken, dass die mP ihren Antrag hinreichend präzisiert auf Art. 15 Abs. 1 und 3 DSGVO gestützt haben, wobei eine Auszählung nach einzelnen "lit." nicht notwendig war, da diesbezüglich offenbar keine Einschränkung erfolgte.

Hinsichtlich der Geltendmachung der Verletzung des Parteiengehörs ist auszuführen, dass nach der gefestigten Rechtsprechung des Verwaltungsgerichtshofes das sogenannte Überraschungsverbot auch im Verwaltungsverfahren anzuwenden ist. Unter dem Überraschungsverbot ist das Verbot zu verstehen, dass die Behörde in ihre rechtliche Würdigung Sachverhaltselemente einbezieht, die der Partei nicht bekannt waren. Ferner hat der Verwaltungsgerichtshof wiederholt festgehalten, dass sich das zum Überraschungsverbot in Beziehung gesetzte Parteiengehör nur auf die Feststellung des maßgeblichen Sachverhalts, nicht aber auf die von der Behörde vorzunehmende rechtliche Beurteilung erstreckt. Ein Verstoß gegen das Überraschungsverbot führt nur dann zu einer Aufhebung der beim Verwaltungsgerichtshof (bzw. beim Bundesverwaltungsgericht) angefochtenen Erledigung, wenn diesem Verfahrensmangel Relevanz zukommt, was im Verfahren vor dem Verwaltungsgerichtshof (bzw. dem Bundesverwaltungsgericht) darzulegen ist (vgl. VwGH 19.06.2019, Ra 2019/02/0098).

Wie die belangte Behörde jedoch zutreffend ausführt, hat die Beschwerdeführerin die Relevanz der "Nichtbefragung" zur Weitergabe der personenbezogenen Daten an die XXXX weder im Verfahren vor der belangten Behörde noch in der Beschwerde konkret aufgezeigt.

Selbst wenn eine relevante Verletzung des Parteiengehörs stattgefunden hätte, wäre dieser Verfahrensmangel nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes im Rechtsmittelverfahren saniert worden, da die belangte Behörde im angefochtenen Bescheid die Ergebnisse des Ermittlungsverfahrens dargelegt hat und die Beschwerdeführerin in ihrer Beschwerde Gelegenheit zur Stellungnahme gehabt hat (Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11, Rz 269; VwGH 30.09.1958, 338/56; 20.09.1990, 86/07/0091; 07.07.2009, 2009/18/0198 (dort auch mit ausdrücklichem Hinweis, dass keine Sanierung erfolgt, wenn der Begründung des Bescheids das Ergebnis des Beweisverfahrens nicht zu entnehmen ist); 18.10.2ßß1, 2000/07/0003; 28.10.2009, 2008/15/0302; 24.10.2017, Ra 2016/06/0104).

3.2.2.3. Zum Recht auf Datenkopie (Art. 15 Abs. 3 DSGVO)

Die Beschwerdeführerin bringt in ihrer Beschwerde vor, dass im vorliegenden Fall das Auskunftsbegehren der mP einer vollständigen Akteneinsicht gleichkomme, da der Akt zum überwiegenden Großteil aus Eingaben der mP bestehe. Das Recht auf Akteneinsicht werde somit ausgehöhlt, was jedoch nicht im Sinne des Gesetzgebers sein könne. Aufgrund des exzessiven Umfanges des Auskunftsbegehrens wäre die Beschwerdeführerin zudem jedenfalls dazu berechtigt ein angemessenes Entgelt für den enormen Aufwand zu verlangen.

Dazu ist Folgendes auszuführen:

Gemäß Art. 15 Abs. 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.

Schon aus dem Wortlaut des Art. 15 Abs. 3 DSGVO folgt daher, dass eine Kopie der Daten kostenlos an den Auskunftswerber zu übersenden ist. Erst wenn die betroffene Person mehr als eine Kopie wünscht, darf der Verantwortliche für diese zusätzlichen Kopien ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verrechnen (vgl. auch Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 36 (Stand 1.10.2018, rdb.at)).

Dass die Übermittlung einer Kopie die Rechte und Freiheiten anderer Personen beeinträchtigen, hat die Beschwerdeführerin nicht vorgebracht (vgl. Art. 15 Abs. 4 DSGVO).

Auch der Einwand der Beschwerdeführerin, das gegenständliche Auskunftsbegehren würde das Recht auf Akteneinsicht aushöhlen, geht ins Leere:

Gemäß § 17 Abs. 1 AVG können die Parteien, soweit in den Verwaltungsvorschriften nicht anderes bestimmt ist, bei der Behörde in die ihre Sache betreffenden Akten Einsicht nehmen und sich von Akten oder Aktenteilen an Ort und Stelle Abschriften selbst anfertigen oder auf ihre Kosten Kopien oder Ausdrucke erstellen lassen. Soweit die Behörde die die Sache betreffenden Akten elektronisch führt, kann der Partei auf Verlangen die Akteneinsicht in jeder technisch möglichen Form gewährt werden.

Das Recht auf Akteneinsicht soll es sohin den Verfahrensparteien ermöglichen, sich durch unmittelbaren Einblick in die Ergebnisse des Ermittlungsverfahrens selbst eine Meinung zu bilden und dadurch genaue Kenntnis vom Gang des Verfahrens und von den Entscheidungsgrundlagen der Behörde zu erlangen (vgl. VwGH 30.01.2014, Zl. 2012/05/011 RS 1).

Wie die belangte Behörde jedoch zutreffend ausführt, verfolgt das Recht auf Auskunft gemäß Art. 15 Abs. 3 DSGVO dem Erwägungsgrund 63 erster Satz DSGVO zufolge, den Zweck, einer betroffenen Person zu ermöglichen, sich der Verarbeitung bewusst zu werden und deren Rechtmäßigkeit kontrollieren zu können. Das datenschutzrechtliche Auskunftsrecht ist auf die personenbezogenen Daten des Auskunftswerbers beschränkt und ermöglicht keine vollständige Einsicht in die Ergebnisse des Ermittlungsverfahrens, den Gang des Verfahrens und die Entscheidungsgrundlagen der Behörde. Umgekehrt hat die belangte Behörde hervorgehoben, dass die Beschwerdeführerin auch personenbezogene Daten der mP außerhalb von Akten speichert, welche mit dem Recht auf Akteneinsicht nicht eingesehen werden könnten. Aus dem Gesagten ergibt sich, dass zur zweckentsprechenden Rechtsverfolgung das Bestehen beider Rechte (auf Akteneinsicht und auf Auskunft gemäß Art. 15 DSGVO) erforderlich ist.

Da der Antrag auf Auskunft, wie auch die belangte Behörde zutreffend ausführt, von den mP iSv ErwGr 63 letzter Satz DSGVO präzisiert und sie lediglich eine Kopie ihrer Eingaben bei der Beschwerdeführerin beantragten (dies erhellt auch aus der Begründung des Auskunftsbegehrens, dass dieses dazu dienen solle, festzustellen, welche Eingaben an die Beschwerdeführerin unter dem Namen der mP getätigt wurden), war der Spruch der belangten Behörde dahingehend abzuändern, dass (lediglich) die (personenbezogenen) Eingaben der mP zu beauskunften sind.

Das Bundesverwaltungsgericht verkennt nicht, dass gemäß Art. 23 DSGVO in bestimmten Fällen - wie etwa aus wirtschaftlichen Gründen - Einschränkungen der Betroffenenrechte vorgesehen werden können. In diesem Zusammenhang ist festzuhalten, dass der Gesetzgeber in den Materien-Datenschutz-Anpassungsgesetzen 2018 eine Reihe von Beschränkungen vorgesehen hat. So ist in § 84 GOG vorgesehen, dass sich etwa im Bereich der Zivilgerichtsbarkeit die sich aus dem Recht auf Auskunft, Richtigstellung und Löschung nach § 1 DSG ergebenden Rechte und Pflichten sowie deren Durchsetzung nach den Verfahrensgesetzen und den darauf beruhenden Verordnungen sowie den Vorschriften dieses Bundesgesetzes richten. Die ZPO normiert für die Parteien des Verfahrens ein Akteneinsichtsrecht und unter bestimmten Voraussetzungen auch ein Einsichtsrecht Dritter. § 84 GOG gilt auch für das Bundesverwaltungsgericht sinngemäß. Weiters sind etwa in der BAO Beschränkungen des Auskunftsrechts ausdrücklich vorgesehen. Der Gesetzgeber hat jedoch derartige Einschränkungen etwa im AVG oder im EGVG nicht vorgesehen. Auch in organisationsrechtlichen Regelungen wie der XXXX Gemeindeordnung, die freilich nur regional zur Anwendung käme, sind derartige Regelungen nicht enthalten.

In diesem Zusammenhang ist auch die Frage zu beleuchten, inwieweit eine analoge Anwendung von Regelungen zur Einschränkung der Betroffenenrechte auf AVG-Verfahren möglich wäre.

Die Rechtsprechung des Verwaltungsgerichtshofes hat die grundsätzliche Zulässigkeit der Analogie auch im öffentlichen Recht wiederholt anerkannt. Voraussetzung hiefür ist das Bestehen einer echten (d.h. planwidrigen) Rechtslücke. Sie ist dort anzunehmen, wo das Gesetz, gemessen an seiner eigenen Absicht und immanenten Teleologie, unvollständig, also ergänzungsbedürftig, ist, und wo seine Ergänzung nicht etwa einer vom Gesetz gewollten Beschränkung widerspricht. Da das öffentliche Recht, im Besonderen das Verwaltungsrecht, schon von der Zielsetzung her nur einzelne Rechtsbeziehungen unter dem Gesichtspunkt des öffentlichen Interesses zu regeln bestimmt ist, muss eine auftretende Rechtslücke in diesem Rechtsbereich im Zweifel als beabsichtigt angesehen werden (Unterstreichung durch das BVwG, Anm.). Eine durch Analogie zu schließende Lücke kommt nur dann in Betracht, wenn das Gesetz anders nicht vollziehbar ist oder wenn das Gesetz in eine Regelung einen Sachverhalt nicht einbezieht, auf welchen - unter dem Gesichtspunkt des Gleichheitssatzes und gemessen an den mit der Regelung verfolgten Absichten des Gesetzgebers - ebendieselben Wertungsgesichtspunkte zutreffen wie auf die im Gesetz geregelten Fälle und auf den daher - schon zur Vermeidung einer verfassungsrechtlich bedenklichen Ungleichbehandlung - auch dieselben Rechtsfolgen angewendet werden müssen (Hinweis: E 8. September 1998, 96/08/0207) (VwGH 17.10.2012, 2012/08/0050).

Im gegenständlichen Fall ist nicht klar, dass eine Anpassung des AVG "vergessen" wurde, Vielmehr waren in der Vorbereitung des (ersten) Materien-Datenschutz-Anpassungsgesetzes 2018, BGBl. I 32/2018, mehrere Ressorts, insbesondere auch das zum damaligen Zeitpunkt für die Verwaltungsverfahrensgesetze zuständige Bundesministerium für Verfassung, Reformen, Deregulierung und Justiz miteingebunden, welches auch entsprechende Gesetzesnovellierungen vorgeschlagen hat, sodass nicht ohne Weiters davon auszugehen ist, dass eine planwidrige Lücke vorliegt. Auch aus den Gesetzesmaterialien ist nicht erschließbar, warum keine derartige Anpassung stattgefunden hat. Da aber gemäß der Rechtsprechung des Verwaltungsgerichtshofes im Zweifelsfall nicht davon auszugehen ist, dass eine planwidrige Lücke vorliegt, geht das Bundesverwaltungsgericht im gegenständlichen Fall davon aus, dass eine analoge Anwendung eines anderen Gesetzes im konkreten Fall nicht möglich ist. Davon abgesehen sehen die verschiedenen Verfahrensgesetze, wie etwa ZPO und BAO, voneinander abweichende Regelungen vor, sodass offenbliebe, welches Gesetz hier überhaupt analog angewendet werden sollte.

Aufgrund dieser Erwägungen kann das Bundesverwaltungsgericht der Ansicht der belangten Behörde nicht entgegentreten, dass hinsichtlich der AVG-geführten Verfahren bei der Beschwerdeführerin jedenfalls das Recht auf Auskunft gemäß Art. 15 DSGVO neben dem Recht auf Akteneinsicht besteht.

Zum Vorbringen der offenkundigen Unbegründetheit bzw. Exzessivität des Auskunftsbegehrens auszuführen, dass auch gemäß Art. 12 Abs. 5 DSGVO Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 grundsätzlich unentgeltlich zur Verfügung zu stellen sind. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

Die Grenzlinie zur Exzessivität bildet demnach schikanöses Verhalten bzw. eine schikanöse Rechtsausübung. Letztere liegt beispielsweise vor, wenn Anträge sehr häufig, wiederholt durch eine betroffene Person gestellt werden. Auch andere Formen können als "exzessiv" eingeordnet werden, sofern eine Intensität erreicht wird um von Unzumutbarkeit für den Verantwortlichen ausgehen zu können (Illibauer in Knyrim, DatKomm Art 12 DSGVO Rz 68 (Stand 1.10.2018, rdb.at)).

Von einer schikanösen Rechtsausübung ist allerdings im vorliegenden Fall nicht auszugehen, da es sich der Aktenlage nach um das erste derartige Auskunftsbegehren der mP handelt und diese das Auskunftsbegehren auch präzisiert haben (Kopie der jeweiligen Eingabe bzw. des jeweiligen Eingabeblattes eines Akts). Der Umstand, dass die Erfüllung des Auskunftsbegehrens mit einem gewissen Aufwand verbunden ist, führt nach dem Wortlaut der Bestimmung noch nicht zur Tatbestandsmäßigkeit des Art. 12 Abs. 5 DSGVO, wie die belangte Behörde zutreffend ausgeführt hat.

Weiters ist ein Antrag nur dann offensichtlich unbegründet, wenn er auch für den verständigen Laien den Rahmen der garantierten Betroffenenrechte evident überschreitet bzw. der Tatbestand des Art 15 DSGVO offensichtlich nicht erfüllt ist. Bei Erstanträgen darf dies jedenfalls nur in den seltensten Fällen angenommen werden (zum Ganzen siehe Heckmann in Ehmann/Selmayr Datenschutz-Grundverordnung² (2018) Art 12 Rz 43; Gola DS-GVO² (2018) Art 12 Rz 34; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 12 Rz 32; Greve in Sydow, Europäische Datenschutzgrundverordnung Art 12 Rz 29). Die Beweislast liegt beim Verantwortlichen (Art 15 Abs 5 3. Satz DSGVO).

Ein Auskunftsbegehren nach Art 15 DSGVO ist aber - wie schon ein Auskunftsbegehren nach Art 12 der Datenschutzrichtlinie - nicht zu begründen (vgl. Souhrada-Kirchmayer, Das Auskunftsrecht nach der Datenschutzgrundverordnung in Jahnel, Datenschutzrecht, Jahrbuch 2017, S 81).

Wendet man diese Grundsätze auf den Sachverhalt an, ist das Verlangen der mitbeteiligten Partei nicht offensichtlich unbegründet. Weder gibt es Hinweise darauf, dass die mitbeteiligte Partei offensichtlich den Tatbestand des Art 15 DSGVO nicht erfüllt hätte, noch, dass ihr Auskunftsbegehren auch für den verständigen Laien den Rahmen der garantierten Betroffenenrechte evident überschreitet (siehe dazu auch BVwG Zl. W258 2205602-1/8E vom 24.05.2019). Darüber hinaus ist anzumerken, dass das Auskunftsbegehren im vorliegenden Fall auch plausibel begründet wurde, indem es zur Nachprüfung diene, wie viele Eingaben der mP (oder Eingaben, die diesen zugerechnet würden) tatsächlich bei der Beschwerdeführerin gespeichert seien, nachdem diese von "mehreren hundert" Eingaben gesprochen hatte.

Das Bundesverwaltungsgericht verkennt nicht, dass die Zurverfügungstellung von um die 100 Eingaben einen gewissen Arbeitsaufwand mit sich bringt. Dabei ist aber - wie auch die belangte Behörde zutreffend ausführt - zu bedenken, dass Datenverarbeitungen von den Verantwortlichen so organisiert werden müssen, dass auch entsprechend einfach dem Auskunftsrecht der betroffenen Personen nachgekommen werden kann. Das Bundesverwaltungsgericht geht daher im gegebenen Einzelfall davon aus, dass der Aufwand der Zuverfügungsstellung von um die 100 Eingaben - noch dazu in Beantwortung eines erstmaligen Auskunftsbegehrens, das plausibel begründet wurde - nicht als "exzessiver Antrag" zu qualifizieren ist. Überdies hat das Bundesverwaltungsgericht den Bescheid der belangten Behörde dahingehend abgeändert, dass die Frist zur Beauskunftung nunmehr acht Wochen, also das Doppelte der ursprünglich vorgesehenen Frist, beträgt. In dieser Frist müsste eine derartige Beauskunftung möglich sein.

Es ist somit nicht von der Unzumutbarkeit der Erfüllung des Auskunftsbegehrens durch die Beschwerdeführerin auszugehen, welche sie berechtigten würde, ein Entgelt zu verlangen oder ein Tätigwerden zu verweigern.

Die Beschwerdeführerin ist daher zu verpflichten, den mP jeweils eine vollständige Auskunft über die Verarbeitungszwecke sowie über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, zu erteilen und jeweils eine Kopie der (auf sie personenbezogenen) Eingaben der mP, die Gegenstand der Verarbeitung sind, den mP zur Verfügung zu stellen. Der Vollständigkeit halber wird angemerkt, dass eine Einschränkung der Auskunft gemäß Art. 15 Abs. 4 DSGVO bei Eingaben, die eindeutig von den mP stammen, grundsätzlich nicht notwendig scheint und daher grundsätzlich davon auszugehen ist, dass ein allfälliger "Schwärzungsaufwand" entfällt.

Sofern die Beschwerdeführerin in ihrer Stellungnahme vom 12.02.2020 vorbringt, dass die Auskunftswerber der Aufforderung zur Identitätsfeststellung nicht nachgekommen seien und der angefochtene Bescheid daher mit Rechtswidrigkeit behaftet sei, ist dem Folgendes entgegenzuhalten:

Die Beschwerdeführerin hat von den mP einen Identitätsnachweis gefordert; nachdem diese der Aufforderung nicht nachkamen, hat die Beschwerdeführerin den mP aber Auskunft erteilt (wobei diese - wie oben ausgeführt - unvollständig war). Insofern ist die Beschwerdeführerin offensichtlich zum Schluss gekommen, dass keine Zweifel an der Identität der mP bestanden, andererseits hätte sie die Auskunft gar nicht erteilen dürfen, da sonst die Gefahr der Verletzung des Grundrechts auf Datenschutz der mP bestanden hätte. Im gegenständlichen Fall war die Einholung eines Identitätsnachweises aber auch gar nicht notwendig: Gemäß Art. 12 Abs. 6 DSGVO kann der Verantwortliche weitere Informationen zur Bestätigung der Identität der betroffenen Person einholen, wenn er begründete Zweifel an der Identität der natürlichen Person hat, die den Antrag nach den Art. 15 bis 21 stellt. Derartige Zweifel waren schon deshalb nicht gegeben, da die mP und deren Rechtsanwalt der Beschwerdeführerin aus zahlreichen Korrespondenzen bekannt waren und sich der Rechtsanwalt auch gemäß § 8 Abs. 1 RAO gegenüber der Beschwerdeführerin auf die erteilte Vollmacht berufen konnte (siehe dazu auch die Ausführungen in VwGH Ra 2016/04/0014-10 vom 04.07.2016, das noch zur alten Rechtslage erging, die bezüglich des Identitätsnachweises strenger war als die nunmehrige Regelung).

Sofern der Beschwerdeführerin überdies eine Vorlage gemäß Art. 267 AEUV beantragte, ist Folgendes festzuhalten: Ein nicht letztinstanzliches Gericht - wie das Bundesverwaltungsgericht (vgl. VfGH 26.02.2018, E 4325/2017) - ist nur zur Vorlage verpflichtet, wenn es die Gültigkeit von Unionsrecht anzweifelt (Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11, Rz 313/1). Solche Zweifel liegen im gegenständlichen Fall jedoch nicht vor. Daher war der Antrag abzuweisen.

3.2.3. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall konnte das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Die Heranziehung weiterer Beweismittel waren zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

3.3. Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Soweit ersichtlich existiert noch keine höchstgerichtliche Rechtsprechung zur Frage, wo die Grenze zur "Exzessivität" von Anträgen im Sinne des Art. 12 Abs. 5 DSGVO liegt. Weiters liegt keine höchtstgerichtliche Judikaturzur Frage der Parallelität der Rechte auf datenschutzrechtliche Auskunft nach der DSGVO und auf Akteneinsicht im allgemeinen Verwaltungsverfahren vor.

3.4. Es war daher spruchgemäß zu entscheiden.