BVwG W214 2253843-1

Spruch:

W214 2253843-1/24E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundige Laienrichterin Mag. Huberta MAITZ-STRASSNIG als Beisitzerin und den fachkundigen Laienrichter Gerhard RAUB als Beisitzer über die Beschwerde des XXXX , vertreten durch noyb – Europäisches Zentrum für digitale Rechte, gegen den Bescheid der Datenschutzbehörde vom 18.02.2022, Zl. D124.3112 2021-0.494.399, nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 13.10.2020 machte der Beschwerdeführer eine Verletzung im Recht auf Information gemäß Art. 14 DSGVO sowie im Recht auf Auskunft gemäß Art. 15 DSGVO durch die XXXX (ehemalige Beschwerdegegnerin vor der belangten Behörde, nunmehr mitbeteiligte Partei vor dem Bundesverwaltungsgericht) geltend. Dazu wurde zusammengefasst vorgebracht, dass am 26.04.2020 ein Ersuchen um Auskunftserteilung gemäß Art. 15 DSGVO an die mitbeteiligte Partei gestellt worden sei, diese habe daraufhin am 20.05.2020 eine Auskunft erteilt, welche jedoch unvollständig sei, da weder Angaben zur Herkunft der Daten noch zu den konkreten Datenempfängern enthalten gewesen seien. Darüber hinaus gebe die mitbeteiligte Partei an, die personenbezogenen Daten des Beschwerdeführers laufend durch eigene Recherchen auf dem aktuellsten Stand zu halten. Da sämtliche Daten nicht beim Beschwerdeführer selbst, sondern bei Dritten erhoben worden seien, wäre die mitbeteiligte Partei verpflichtet gewesen, den Beschwerdeführer gemäß Art. 14 DSGVO zu informieren, was jedoch niemals erfolgt sei.

Der Datenschutzbeschwerde angeschlossen wurde der Antrag auf Auskunft gemäß Art. 15 DSGVO, das Antwortschreiben der mitbeteiligten Partei sowie die weitere Korrespondenz zwischen den Parteien.

2. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 07.12.2020 eine Stellungnahme und brachte vor, dass die behauptete Verletzung der Auskunftspflicht nicht vorliege. Die Datenschutzbehörde (als damalige Datenschutzkommission) habe bereits mehrfach entschieden, dass Adressverlage und Direktmarketingunternehmen aufgrund des Umfanges der Daten und des damit verbundenen übermäßigen Aufwandes keine gesonderten Aufzeichnungen über die Herkunft der Daten führen müssten bzw. die Beauskunftung der konkreten Herkunft der einzelnen Daten nicht erforderlich sei. Die beauskunftete Adresse des Beschwerdeführers ( XXXX ) stamme aus einem Umzug, diese Information sei vom Vertragspartner XXXX bezogen worden. Es seien alle verfügbaren Informationen über die Herkunft der Daten beauskunftet worden. Der Informationspflicht gemäß Art. 15 Abs. 1 lit. c DSGVO sei die mitbeteiligte Partei durch die Anführung von Kategorien von Empfängern, nämlich „Adressverlage und Direktmarketingunternehmen“ nachgekommen. Hinsichtlich der Informationspflichten entbinde Art. 14 Abs. 5 lit. b DSGVO von einer derartigen Verpflichtung, wenn die Erteilung dieser Information sich als unmöglich erweise oder einen unverhältnismäßigen Aufwand erfordere. Die mitbeteiligte Partei habe ausreichende technische organisatorische Maßnahmen zur Datensicherheit gesetzt und würde die Erteilung der Information aufgrund des Umfanges der personenbezogenen Daten als Adressverlag einen unverhältnismäßigen Aufwand bedeuten, weshalb die mitbeteiligte Partei die ihr verfügbaren Informationen erst bei entsprechenden Anfragen Betroffener erteile.

Der Stellungnahme wurde eine ergänzte Auskunftserteilung vom 07.12.2020 beigelegt.

3. Der Beschwerdeführer replizierte darauf – nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens – in seiner Stellungnahme vom 21.01.2021 zusammengefasst, dass eine rechtliche Pflicht der mitbeteiligten Partei bestehe, Informationen zur Datenherkunft zu speichern. Selbst für den Fall, dass in DSGVO-widriger Weise keine Aufzeichnungen zu konkreten Datenquellen geführt würden, müssten der mitbeteiligten Partei zumindest Informationen zu möglichen/typischen Datenquellen vorliegen. Es bestehe weiters die rechtliche Pflicht, konkrete Empfänger zu nennen, sofern die mitbeteiligte Partei tatsächlich nicht aufzeichne, an welche konkreten Empfänger welche konkrete Daten übermittelt worden seien, müsse sie dem Beschwerdeführer zumindest die potentiellen Datenempfänger bekanntgeben. Zudem sei die Auskunft, dass die personenbezogenen Daten des Beschwerdeführers nicht an Kreditauskunfteien übermittelt worden seien, nachweislich falsch, wie sich aus der beigefügten Auskunft der Kreditauskunftei XXXX GmbH vom 15.01.2021 ergebe. Die Information gemäß Art. 14 DSGVO sei jedenfalls möglich und der bloße Umfang der Datenverarbeitungen im Sinne einer „großen Zahl betroffener Personen“ stelle keinen unverhältnismäßigen Aufwand dar. Das Informationsinteresse betroffener Personen überwiege den Aufwand der mitbeteiligten Partei.

4. Mit Bescheid der belangten Behörde vom 18.02.2022, Zl. D124.3112 2021-0.494.399, wurde das Verfahren hinsichtlich der behaupteten Verletzung im Recht auf Auskunft infolge mangelhafter Auskunft, soweit damit eine Verletzung von Art. 15 Abs. 1 lit. c DSGVO (Auskunft betreffend die Empfänger der Daten) behauptet wurde, gemäß § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union in der Rechtssache C-154/21 ausgesetzt.

5. Mit dem nunmehr angefochtenen (Teil-)Bescheid der belangten Behörde wurde die Datenschutzbeschwerde des Beschwerdeführers wegen behaupteter Verletzung im Recht auf Auskunft infolge mangelhafter Auskunft, soweit damit eine Verletzung von Art. 15 Abs. 1 lit. g DSGVO (Auskunft betreffend die Herkunft der Daten) behauptet wurde, abgewiesen (Spruchpunkt 1.). Die Beschwerde wegen behaupteter Verletzung im Recht auf Information wurde ebenfalls abgewiesen (Spruchpunkt 2.).

Begründend führte die belangte Behörde aus, dass aus der von der mitbeteiligten Partei erteilten Auskunft hervorgehe, dass sie die von ihr verarbeiteten Daten persönlich recherchiere und statistisch hochrechne. Sie sei zudem seit dem Jahr 2001 Vertragspartner der XXXX und erhalte von dieser Informationen zu Adressänderungen (Umzügen). Aus der erteilten Auskunft gehe eindeutig hervor, welche Daten die mitbeteiligte Partei statistisch hochgerechnet habe (vgl. Fußnote 1 der Auskunft). Weitere Informationen zur Herkunft der Daten des Beschwerdeführers verarbeite die mitbeteiligte Partei nach ihren glaubwürdigen Angaben jedoch nicht und könne sie daher im Rahmen der Auskunft nach Art. 15 DSGVO auch nicht erteilen. Es sei im Rahmen eines Verfahrens wegen behaupteter Verletzung im Recht auf Auskunft auch nicht zu prüfen, ob die mitbeteiligte Partei gegen allfällige, aus anderen Gesetzes- oder Verordnungsbestimmungen resultierende, Dokumentationspflichten verstoßen habe, da sie im Rahmen einer Auskunft nach Art. 15 DSGVO eben nur die ihr verfügbaren Informationen zur Herkunft der Daten zu beauskunften habe. Eine Verletzung von Art. 15 Abs. 1 lit. g DSGVO liege daher nicht vor und sei die Beschwerde diesbezüglich abzuweisen gewesen. Zum Recht auf Information gemäß Art. 14 DSGVO sei festzuhalten, dass der Beschwerdeführer spätestens seit Erhalt der Auskunft nach Art. 15 DSGVO darüber in Kenntnis sei, dass die mitbeteiligte Partei Daten über ihn verarbeite. Der Beschwerdeführer verfüge demnach bereits – in sinngemäßer Anwendung des § 24 Abs. 6 DSG – über diese Information, sodass eine Verletzung im Recht auf Information nicht vorliege, weshalb die Beschwerde wegen behaupteter Verletzung im Recht auf Information ebenso abzuweisen gewesen sei.

6. Gegen diesen Bescheid erhob der Beschwerdeführer mit Schriftsatz vom 24.03.2022 fristgerecht eine Beschwerde an das Bundesverwaltungsgericht.

Darin wurde zusammengefasst ausgeführt, dass der Beschwerdeführer nach wie vor nicht wisse, wie die mitbeteiligte Partei an einen Teil seiner personenbezogenen Daten gelangt sei. Der Beschwerdeführer wisse nach wie vor nicht, woher die mitbeteiligte Partei seine alte Wohnanschrift ( XXXX ) habe. Die Feststellung der belangten Behörde im angefochtenen Bescheid, die mitbeteiligte Partei habe sowohl die ehemalige als auch die aktualisierte Anschrift von der XXXX erhalten, sei aktenwidrig, die mitbeteiligte Partei habe nur hinsichtlich der Anschrift in der XXXX die Information erteilt, dass diese von der XXXX erhoben worden sei. Die mitbeteiligte Partei habe dem Beschwerdeführer nachweislich mehrfach unwahre Informationen zukommen lassen und ihn trotz konkreter Fragen beharrlich angelogen. So sei die Herkunft zur Anschrift in der XXXX zweifach vorenthalten und erst nach Beschwerdeerhebung an die belangte Behörde beauskunftet worden und die Frage der Datenweitergabe an Kreditauskunfteien wahrheitswidrig verneint worden. Die belangte Behörde hätte die Angaben der mitbeteiligten Partei daher nicht ohne weiteres Ermittlungsverfahren ihren Feststellungen zu Grunde legen dürfen. Die belangte Behörde habe es auch unterlassen, sich mit dem Vorbringen des Beschwerdeführers auseinanderzusetzen. Wie bereits umfassend dargelegt, bestünden eine Vielzahl wirtschaftlicher und rechtlicher Gründe, warum davon auszugehen sei, dass die mitbeteiligte Partei über Informationen zur Datenherkunft verfüge. Solange ein Verantwortlicher, wie die mitbeteiligte Partei, ein bestimmtes personenbezogenes Datum verarbeite, müsse er auch wissen, woher dieses Datum komme. Genau dies sage auch die Artikel 29-Gruppe in WP 260 rev.01 Rz 60, was die belangte Behörde schlicht ignoriere. Selbst wenn sich im Laufe eines ordnungsgemäß geführten Ermittlungsverfahrens herausstellen sollte, dass die mitbeteiligte Partei tatsächlich keine Informationen zu konkreten Herkunft der Anschrift in der XXXX haben sollte, dürfte die belangte Behörde die Beschwerde nicht einfach abweisen, sondern müsste feststellen, welche Informationen verfügbar seien. So würden sicherlich zumindest allgemeine Informationen zur Datenherkunft vorliegen, da die mitbeteiligte Partei Anschriftsdaten bei einer endlichen Anzahl an Datenlieferanten erhebe und mit Sicherheit über entsprechend hinterlegte Verträge, Wissen der Mitarbeiter und sonstige Geschäftsunterlagen (wie etwa steuerrechtliche Belege zu Transaktionen mit Datenlieferanten) verfüge oder vermutlich entsprechende technische Schnittstellen und Protokolle habe.

Hinsichtlich der Verletzung des Rechts auf Information gemäß Art. 14 DSGVO liege eine unzulässige Beschwerdeabweisung gemäß § 24 Abs. 6 DSG durch die belangte Behörde vor, da sie den Beschwerdeführer vor Abweisung nicht gehört habe, § 24 Abs. 6 DSG keine Abweisung, sondern eine Verfahrenseinstellung als Rechtsfolge vorsehe und eine vollständige Sanierung der Verletzung von Artikel 14 DSGVO gegenständlich jedenfalls nicht erfolgt sei. Entgegen den Ausführungen im angefochtenen Bescheid verlange Art. 14 DSGVO weit mehr als eine Information an die betroffene Person, dass ein Verantwortlicher personenbezogene Daten verarbeite. Artikel 14 Abs. 1 und 2 DSGVO würden insgesamt 13 Informationsbestandteile, über die ein Verantwortlicher die betroffene Person informieren müsse (Artikel 14 Abs. 1 lit. a bis f DSGVO und Artikel 14 Abs. 2 lit a bis g DSGVO), nennen. Die mitbeteiligte Partei habe mehrere der zu erteilenden Informationsbestandteile nach wie vor nicht erteilt, besonders offensichtlich sei dies hinsichtlich der nach Artikel 14 Abs. 1 lit. e DSGVO zu erteilenden Informationen zu Empfänger und Empfängerkategorien. Eine korrespondierende Auskunftsverpflichtung hierzu finde sich in Art. 15 Abs. 1 lit. c DSGVO, dessen Verletzung ebenfalls Gegenstand der Beschwerde vor der belangten Behörde sei. Die belangte Behörde habe das Verfahren betreffend die Verletzung von Art. 15 Abs. 1 lit. c DSGVO bis zur Vorabentscheidung des EuGH ausgesetzt und daher noch überhaupt keine Feststellungen getroffen, ob die mitbeteiligte Partei ordnungsgemäß Auskunft über Empfänger/Empfängerkategorien erteilt habe, oder nicht. Gleichzeitig gehe die belangte Behörde aber davon aus, dass die Verletzung von Artikel 14 Abs. 1 lit. e DSGVO saniert sei. Das sei denkunlogisch. Die Verletzung von Artikel 14 Abs. 1 lit. e DSGVO wäre bestenfalls dann saniert, wenn der Beschwerdeführer eine dem Art. 15 Abs. 1 lit. c DSGVO entsprechende Auskunft erhalten hätte. Noch absurder werde die Annahme einer Beseitigung der Rechtsverletzung in Hinblick auf Artikel 14 Abs. 2 lit. f DSGVO, demzufolge ein Verantwortlicher die betroffene Person informieren müsse, aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen. Sollte die mitbeteiligte Partei gegenständlich tatsächlich keine Informationen zur Herkunft der Anschrift in der XXXX mehr haben, sei eine Beseitigung der Verletzung von Artikel 14 Abs. 2 lit. f DSGVO iSd § 24 Abs. 6 DSG nicht mehr möglich und ausgeschlossen, sondern liege eine Verletzung von Artikel 14 Abs. 2 lit. f DSGVO vor.

7. Mit Schreiben vom 06.04.2022 legte die belangte Behörde die Beschwerde samt dem bezughabenden Akt des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor.

8. Das Bundesverwaltungsgericht übermittelte die Beschwerde der mitbeteiligten Partei zur Kenntnis und gab ihr Gelegenheit zur Abgabe einer Stellungnahme.

9. Die mitbeteiligte Partei erstattete am 07.09.2022 eine Stellungnahme und führte aus, dass die Beschwerde unbegründet sei. Dem Beschwerdeführer sei eine Datenauskunft im Rahmen der möglichen bzw. vorhandenen Informationen fristgerecht und vollständig erteilt worden. Die mitbeteiligte Partei führte aufgrund der Vielzahl der vorhandenen Daten keine gesonderten Aufzeichnungen über die Datenherkunft, vor allem auch da diese zu einem Großteil von ihr selbst recherchiert und laufend aktualisiert würden. Die mitbeteiligte Partei sei bemüht, alle Datenauskünfte richtig und vollständig zu beantworten. Unrichtig sei ferner, dass die mitbeteiligte Partei wahrheitswidrige Angaben zur Frage der Datenweitergabe an Kreditauskunfteien gemacht habe. Die XXXX GmbH verfüge über eine Gewerbeberechtigung als Adressverlag und Direktmarketingunternehmen und seien aufgrund dieser Gewerbeberechtigung Daten von der mitbeteiligten Partei an die XXXX GmbH übermittelt worden. Ob auch Daten des Beschwerdeführers bei diesen Übermittlungen gewesen seien, könne mangels gesonderter Aufzeichnungen über diese konkreten Empfänger nicht beantwortet werden. Die belangte Behörde habe den Sachverhalt richtig festgestellt und auch richtig rechtlich beurteilt, weshalb die Beschwerde als unbegründet abzuweisen sei.

10. Mit Stellungnahme vom 09.12.2022 wiederholte der Beschwerdeführer im Wesentlichen seine Ausführungen aus dem behördlichen Verfahren bzw. der Bescheidbeschwerde.

11. Am 25.01.2023 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht in Beisein des Beschwerdeführers, der mitbeteiligten Partei, ihrer rechtlichen Vertretung und der belangten Behörde statt. Dabei wurde der Geschäftsführer der mitbeteiligten Partei als Zeuge einvernommen. Dieser bekräftigte, dass die mitbeteiligte Partei dem Beschwerdeführer alle Informationen, die sie habe, zur Verfügung gestellt habe. Die mitbeteiligte Partei habe zwar mit ihren Partnern Verträge und kenne diese daher, wisse aber nicht, welche Daten von welchen Personen sie im konkreten Fall von wem erhalten habe. Daher habe sie auch nicht mehr Herkunftsdaten zur Verfügung stellen können. Bezüglich der aktuellen Adresse des Beschwerdeführers sei angenommen worden, dass diese von der XXXX zur Verfügung gestellt worden seien, weil diese die mitbeteiligte Partei über Umzüge informiere. Es sei aber auch möglich, dass die Adressdaten durch Eigenrecherche ermittelt worden seien.

12. Mit Schreiben vom 01.02.2023 legte die mitbeteiligte Partei die vom Bundesverwaltungsgericht in der mündlichen Verhandlung zur Übermittlung aufgetragenen Unterlagen (Muster von Unbedenklichkeitserklärungen und Rechtsprechung der belangten Behörde) vor.

13. Dazu gab der Beschwerdeführer mit Schreiben vom 03.02.2023 eine Stellungnahme ab

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

2. Die mitbeteiligte Partei betreibt das Gewerbe der Adressverlage und Direktmarketingunternehmen gemäß § 151 GewO 1994 und verarbeitet Datensätze von etwa sieben Millionen Personen.

3. Der Beschwerdeführer und die mitbeteiligte Partei standen bzw. stehen in keinem Vertragsverhältnis zueinander. Der Beschwerdeführer hat der mitbeteiligten Partei nicht selbst seine Daten zur Verfügung gestellt.

4. Der Beschwerdeführer stellte am 26.04.2020 einen Antrag auf Auskunft gemäß Art. 15 DSGVO an die mitbeteiligte Partei. Insbesondere ersuchte er um Angaben zur Herkunft seiner Daten.

5. Die mitbeteiligte Partei erteilte dem Beschwerdeführer mit Schreiben vom 20.05.2020 die auf Seite 6 ff. des angefochtenen Bescheides ersichtliche Auskunft. Die Auskunft enthielt zu den Daten „Haushaltsvorstand“ und „5 und mehr Familienhaus“ die Angabe, dass diese Werte statistisch errechnet wurden. Weiters wurde mitgeteilt, dass die Geo-Milieus-Daten von der XXXX errechnet wurden. Die Auskunft enthielt keine weitere konkrete Information über die Herkunft der den Beschwerdeführer betreffenden Daten.

6. Mit Schreiben vom 07.12.2020 erteilte die mitbeteiligte Partei dem Beschwerdeführer abermals Auskunft und ergänzte diese durch einen Hinweis in einer Fußnote, aus der hervorging, dass die aktuelle Adresse aufgrund einer Mitteilung der XXXX (aufgrund eines Umzugs des Beschwerdeführers) ermittelt wurde.

7. Die mitbeteiligte Partei verfügt über Unbedenklichkeitserklärungen der Rechtsträger/Unternehmen, die ihr Daten zu Verfügung stellen. Weiters kennt sie die Empfänger ihrer Daten (Kunden).

8. Der mitbeteiligten Partei stehen jedoch über die gegebene Auskunft hinaus keine Informationen/Daten zur Verfügung, aus welchen konkreten Quellen ihr die Daten des Beschwerdeführers zugekommen sind. Selbst die erfolgte Auskunft zur Herkunft der aktuellen Adresse des Beschwerdeführers beruht lediglich auf einer Vermutung der mitbeteiligten Partei, da diese Daten allenfalls auch durch eigene Recherche gewonnen werden konnten. Ebenso verfügt die mitbeteiligte Partei über keine Informationen darüber, an welche konkreten Empfänger die Daten des Beschwerdeführers übermittelt worden sind.

8. Die mitbeteiligte Partei hat zum Zeitpunkt der erstmaligen Verarbeitung von Daten des Beschwerdeführers diesem keine Information im Sinne des Art. 14 Abs. 1 und 2 DSGVO über die über ihn verarbeiteten Daten, deren Herkunft und allfällige Empfänger oder Empfängerkreise erteilt. Eine allgemeine Information über Datenarten und Empfängerkategorien existiert nur auf der Website der XXXX die sich auf den Verantwortlichen XXXX , also in Deutschland, bezieht. Eine entsprechende Information wird nicht von der mitbeteiligten Partei in Österreich bereitgestellt.

9. Eine Information der betroffenen Personen iSd Art. 14 DSGVO würde bei der mitbeteiligten Person einen besonders großen Aufwand verursachen. Hingegen ist die mitbeteiligte Partei in der Lage, eine allgemeine Information über die verarbeiteten Datenarten und die Empfängerkreise öffentlich zur Verfügung zu stellen.

10. Dem Beschwerdeführer sind im Rahmen der erteilten Auskunft durch die mitbeteiligte Partei am 20.05.2020 und am 07.12.2020 jedenfalls die verfügbaren Daten zur Herkunft der Daten, die Datenarten und die Empfängerkategorien mitgeteilt worden.

11. Aus § 151 Abs. 3 GewO 1994 sind allgemeine Informationen zu den von Adressverlagen und Marketingunternehmen herangezogenen Datenlieferanten/Quellen ersichtlich.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem hier gegenständlichen Gerichtsakt, vor allem auch aus der Niederschrift der mündlichen Verhandlung vor dem Bundesverwaltungsgericht vom 25.01.2023. Insbesondere ist darauf hinzuweisen, dass der einvernommene Zeuge unter Wahrheitsverpflichtung glaubwürdig angab, dass die mitbeteiligte Partei weder über Informationen über die konkreten Quellen, von denen die Daten des Beschwerdeführers stammen, noch über die konkreten Empfänger seiner Daten verfügt. Dass von der mitbeteiligten Partei keine allgemeine Information auf ihrer Website zur Verfügung gestellt wird, ist dem Protokoll der mündlichen Verhandlung zu entnehmen und kann auch durch entsprechende Internetaufrufe nachvollzogen werden. Dass eine andere Art einer allgemeinen Information (außer der gesetzlichen Regelung) existieren würde, wurde von der mitbeteiligten Partei nicht vorgebracht.

3. Rechtliche Beurteilung:

Zu A)

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Rechtslage:

Art. 4 Z 1 und 2 DSGVO lauten:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;“

Art. 5 DSGVO lautet:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

​

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 14 DSGVO lautet:

„Art. 14 DSGVO

Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,

c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder

d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.“

Art. 15 DSGVO lautet:

„Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

Art. 77 DSGVO lautet:

„Artikel 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

§ 24 Abs. 1, 5 und 6 DSG lauten:

„Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

§ 151 Gewerbeordnung 1914 – GewO 1994, BGBl. Nr. 194/1994 idgF lautet:

„Adressverlage und Direktmarketingunternehmen

§ 151. (1) Auf die Verwendung von personenbezogenen Daten für Marketingzwecke Dritter durch die zur Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen berechtigten Gewerbetreibenden sind die Bestimmungen der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 199 vom 4.5.2016 S 1, (im Folgenden: DSGVO), sowie des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I. Nr. 165/1999, in der Fassung des Bundesgesetzes BGBl. I. Nr. 120/2017, anzuwenden, soweit im Folgenden nicht Besonderes angeordnet ist.

(2) Die Tätigkeit als Mittler zwischen Inhabern und Nutzern von Kunden- und Interessentendateisystemen (Listbroking) ist den in Abs. 1 genannten Gewerbetreibenden vorbehalten.

(3) Die in Abs. 1 genannten Gewerbetreibenden sind berechtigt, für ihre Tätigkeiten gemäß Abs. 1 und 2 personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessentendateisystemen Dritter oder aus Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln, soweit dies unter Beachtung des Grundsatzes der Verhältnismäßigkeit für1. die Vorbereitung und Durchführung von Marketingaktionen Dritter einschließlich der Gestaltung und des Versands für Werbemitteln oder2. das Listbroking

erforderlich und gemäß Abs. 4 und 5 zulässig ist.

(4) Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO betroffen sind, dürfen diese von den in Abs. 1 genannten Gewerbetreibenden verarbeitet werden, sofern ein ausdrückliches Einverständnis der betroffenen Person zur Verarbeitung dieser Daten für Marketingzwecke Dritter vorliegt. Die Ermittlung und Weiterverarbeitung besonderer Kategorien personenbezogener Daten aus Kunden- und Interessentendateisystemen Dritter auf Grund eines solchen Einverständnisses ist nur im Umfang des Abs. 5 und nur soweit zulässig, als der Inhaber des Dateisystems gegenüber dem Gewerbetreibenden nach Abs. 1 schriftlich unbedenklich erklärt hat, dass die betroffenen Personen mit der Verarbeitung ihrer Daten für Marketingzwecke Dritter ausdrücklich einverstanden waren. Strafrechtlich relevante Daten im Sinne des Art. 10 DSGVO dürfen von Gewerbetreibenden nach Abs. 1 für Marketingzwecke nur gemäß § 4 Abs. 3 DSG oder bei Vorliegen einer ausdrücklichen Einwilligung verarbeitet werden.

(5) Soweit keine Einwilligung der betroffenen Personen gemäß Art. 4 Z 11 DSGVO zur Übermittlung ihrer Daten für Marketingzwecke Dritter vorliegt, dürfen die in Abs. 1 genannten Gewerbetreibenden aus einem Kunden- und Interessentendateisystem eines Dritten nur die Daten1. Namen,2. Geschlecht,3. Titel,4. akademischer Grad,5. Anschrift,6. Geburtsdatum,7. Berufs-, Branchen- oder Geschäftsbezeichnung und8. Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessentendateisystem

ermitteln. Voraussetzung hiefür ist – soweit nicht die strengeren Bestimmungen des Abs. 4 Anwendung finden –, dass der Inhaber des Dateisystems dem Gewerbetreibenden nach Abs. 1 gegenüber schriftlich unbedenklich erklärt hat, dass die betroffenen Personen in geeigneter Weise über die Möglichkeit informiert wurden, die Übermittlung ihrer Daten für Marketingzwecke Dritter zu untersagen, und dass keine Untersagung erfolgt ist.

(6) Gewerbetreibende nach Abs. 1 dürfen für Marketingzwecke erhobene Marketinginformationen und -klassifikationen, die namentlich bestimmten Personen auf Grund von Marketinganalyseverfahren zugeschrieben werden, nur für Marketingzwecke verwenden und sie insbesondere an Dritte nur dann übermitteln, wenn diese unbedenklich erklären, dass sie diese Analyseergebnisse ausschließlich für Marketingzwecke verwenden werden.

(7) Gewerbetreibende nach Abs. 1 haben Aussendungen im Zuge von Marketingaktionen, die sie mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten personenbezogenen Daten durchführen, so zu gestalten, dass durch entsprechende Kennzeichnung des ausgesendeten Werbematerials die Identität der Verantwortlichen jener Dateisysteme, mit deren Daten die Werbeaussendung adressiert wurde (Ursprungsdateisysteme), nachvollziehbar ist; soweit Gewerbetreibende nach Abs. 1 an Werbeaussendungen nur durch Zurverfügungstellung oder Vermittlung von Daten mitwirken, haben sie durch entsprechenden Hinweis an die für die Werbeaussendung Verantwortlichen darauf hinzuwirken, dass die Identität der Verantwortlichen der benutzten Ursprungsdateisysteme nachvollziehbar ist. Für Gewerbetreibende nach Abs. 1 gilt, wenn sie die Aussendung mit von ihnen zur Verfügung gestellten oder von ihnen vermittelten Daten selbst durchgeführt haben, – unbeschadet ihrer allfälligen Auskunftsverpflichtungen als Verantwortliche –, Art. 15 DSGVO mit der Maßgabe, dass sie auf Grund eines innerhalb von drei Monaten nach der Werbeaussendung gestellten Auskunftsbegehrens anhand der von der betroffenen Person zur Verfügung gestellten Informationen über die Werbeaussendung zur Auskunftserteilung nur über die Verantwortlichen der Ursprungsdateisysteme verpflichtet sind; haben sie an der Aussendung nur durch Zurverfügungstellung oder Vermittlung von Daten mitgewirkt, so haben sie nach Möglichkeit zur Auffindung der Verantwortlichen der Ursprungsdateisysteme beizutragen. Bei nicht ordnungsgemäßer Erfüllung der Kennzeichnungspflicht durch Gewerbetreibende nach Abs. 1 genügt die Stellung eines fristgerechten Auskunftsbegehrens an den Werbenden zur Wahrung des Auskunftsrechts gegenüber dem Gewerbetreibenden nach Abs. 1.

(8) Stellt die betroffene Person an einen Gewerbetreibenden nach Abs. 1 ein Begehren auf Löschung von Daten, die dieser für Zwecke von Marketingaktionen über sie gespeichert hat, so hat dieser dem Begehren der betroffenen Person unverzüglich, in jedem Fall innerhalb von einem Monat kostenlos zu entsprechen (Art. 12 Abs. 3 DSGVO). Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Soweit die betroffene Person – nach entsprechender Information über die möglichen Folgen einer physischen Löschung ihrer Daten – auf der physischen Löschung ihrer Daten nicht besteht, hat die Löschung in Form einer Sperrung der Verwendung dieser Daten für Marketingaussendungen zu erfolgen.

(9) Der Fachverband Werbung und Marktkommunikation der Wirtschaftskammer Österreich hat eine Liste zu führen, in welcher Personen kostenlos einzutragen sind, die die Zustellung von Werbematerial für sich ausschließen wollen. Die Liste ist mindestens monatlich zu aktualisieren und den Gewerbetreibenden nach Abs. 1 zur Verfügung zu stellen. Gewerbetreibende nach Abs. 1 dürfen an die in dieser Liste eingetragenen Personen keine adressierten Werbemittel versenden oder verteilen und deren Daten auch nicht vermitteln. Die in der Liste enthaltenen Daten dürfen ausschließlich zum Zweck des Unterbindens der Zusendung von Werbemitteln verwendet werden.

(10) Inhaber von Kunden- und Interessentendateisystemen dürfen personenbezogene Daten aus diesen Dateisystemen an Gewerbetreibende nach Abs. 1 für Marketingzwecke Dritter nur übermitteln und insbesondere auch für Listbroking nur zur Verfügung stellen, wenn sie die betroffenen Personen in geeigneter Weise darüber informiert haben, dass sie die Verarbeitung dieser Daten für Marketingzwecke Dritter untersagen können, und wenn keine Untersagung erfolgt ist; besondere Kategorien personenbezogener Daten und strafrechtlich relevante Daten dürfen unter den in Abs. 4 genannten Voraussetzungen an Gewerbetreibende nach Abs. 1 übermittelt und für Listbroking zur Verfügung gestellt werden. Auf die Möglichkeit der Untersagung ist ausdrücklich und schriftlich hinzuweisen, wenn Daten schriftlich von der betroffenen Person ermittelt werden. Die Untersagung der Übermittlung hat auf ein Vertragsverhältnis zwischen der betroffenen Person und dem Inhaber des Kunden- und Interessentendateisystems keinen Einfluss.

(11) Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO kann gegenüber den in Abs. 1 genannten Gewerbetreibenden auch durch Eintragung in die im Abs. 9 bezeichnete Liste erfolgen.“

3.3. Zur Abweisung der Beschwerde (Spruchpunkt A)

3.3.1. Zur behaupteten Unvollständigkeit der erteilten Auskunft hinsichtlich der Herkunft verarbeiteten Daten:

In der wissenschaftlichen Literatur und in der Judikatur wird zur Beauskunftung der Herkunft der Daten Folgendes ausgeführt:

„Falls die Daten nicht bei der betroffenen Person selbst erhoben worden sind, hat der Verantwortliche Auskunft über alle verfügbaren Informationen über die Herkunft der Daten, einschließlich Gegenstand und Mittel der Datenerhebung, zu erteilen. Erfasst sind nur verfügbare Informationen, dh, es besteht keine Pflicht zur Dokumentation von Datenquellen allein für Zwecke der Beauskunftung (s dazu Art 14 Rz 29 ff).“ (Haidinger in Knyrim, DatKomm Art 15 DSGVO, Rz 43 (Stand 1.12.2021, rdb.at).

„Falls die Daten nicht bei der betroffenen Person selbst erhoben worden sind, hat der Verantwortliche Auskunft über alle verfügbaren Informationen über die Herkunft der Daten zu erteilen. Umfasst sind damit va die Fälle, in denen der Verantwortliche die Daten durch Übermittlung von einem anderen Verantwortlichen erhalten hat oder in denen die Daten aus öffentlich zugänglichen Quellen ermittelt wurden. Da der Wortlaut ausdrücklich von »verfügbaren« Informationen spricht, besteht nach dieser Gesetzesstelle keine Pflicht zur Dokumentation von Datenquellen. […] Die bisherige Rsp stellt diesbezüglich keinen allzu strengen Maßstab auf: Aufgrund des Abstellens auf die »verfügbaren Informationen« im Sinne der tatsächlich zum Zeitpunkt des Stellens des Auskunftsbegehrens beim Verantwortlichen vorhandenen Informationen kann keine nachträgliche Erhebungspflicht beim Verantwortlichen abgeleitet werden, die über die bei ihm verfügbaren Informationen hinausgehen (BVwG 27.09.2019, W101 2139434-1).“ (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO (Stand 1.12.2020, rdb.at)

„Anders als im Fall der Informationspflicht ist der Auskunftsanspruch aber nach dem Wortlaut auf die verfügbaren Informationen beschränkt. Auch über die Identität von Informanten und Hinweisgebern („Whistleblowern“) ist grundsätzlich Auskunft zu geben, es sei denn, deren Rechte und Freiheiten iSd Abs. 4 würden dadurch beeinträchtigt. Andererseits besteht auch die Informationspflicht nach Art. 15 Abs. 5 lit. b ausdrücklich nicht, wenn die Erteilung der Information dem Verantwortlichen unmöglich ist.“ (Dix in Simitis Hornung Spiecker [Hrsg] Datenschutzrecht DSGVO mit BDSG Art. 15 Rz 24)

„Für den Fall, dass die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, hat der Verantwortliche gem. Abs. 1 lit. f der betroffenen Person Auskunft zu erteilen über alle Informationen über die Herkunft der Daten, die dem Verantwortlichen zur Vfg. stehen.“ (Paal in Paal/Pauly, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 3. Auflage, Art. 15 Rz 30)

Im zitierten Erkenntnis des BVwG W101 2139434-1 hat sich das BVwG eingehend mit der gegenständlichen Rechtsfrage beschäftigt. Der Vollständigkeit halber werden die – bereits im angefochtenen Bescheid der belangten Behörde zitierten – Auszüge hier wiedergegeben:

„Die seit Geltung des Art. 15 DSGVO außer Kraft getretene Bestimmung des § 26 DSG 2000 idF BGBl. I 2015/132 basiert auf der gemeinschaftsrechtlichen Vorgabe des Art. 12 lit. a zweiter Gedankenstrich der Richtlinien 95/46/EG des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24.10.1995 (kurz: Datenschutz-RL), in der ebenfalls normiert wurde, dass der Verantwortliche lediglich die verfügbaren Informationen über die Herkunft der von ihm verarbeiteten personenbezogenen Daten zum Betroffenen beauskunften muss. Auch wenn mit der DSG-Novelle 2010, BGBl. I 2009/133, der Passus "verfügbare Informationen" bei der Beauskunftung der Datenherkunft in § 26 Abs. 1 DSG 2000 gestrichen wurde und der relevante Gesetzeswortlaut deshalb nur mehr allgemein "Informationen über ihre (Anm.: die verarbeiteten Daten) Herkunft" gelautet hat, weisen die ErläutRV darauf hin, dass laut Datenschutz-RL die Auskunft über die Herkunft der Daten insoweit zu erfolgen hat, als die verfügbar sind (vgl. ErläutRV 472 BlgNR 24.GP 11).

Insofern besteht inhaltlich kein Unterschied zur nunmehr bestehenden, seit 25.05.2018 geltenden Regelung des Art. 15 Abs. 1 lit. g DSGVO, indem - wie bereits oben ausgeführt - ebenfalls nur auf die verfügbaren Informationen über die Herkunft abgestellt wird.

Inhaltlich weist die Bestimmung des Art. 15 Abs. 1 lit. g DSGVO einen starken Bezug zu jener des Art. 14 Abs. 2 lit. f DSGVO auf. Die Bestimmung des Art. 14 DSGVO normiert nämlich Informationspflichten des Verantwortlichen, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden. Bei dieser indirekten Datenerhebung hat der Verantwortliche die Information zur Verfügung zu stellen, aus welcher Quelle die personenbezogenen Daten stammen (siehe Art. 14 Abs. 2 lit. f DSGVO). Die englische Version der Art. 14 Abs. 2 lit. f und Art. 15 Abs. 1 lit. g DSGVO verwendet in beiden Fällen den Begriff der Quelle ("source"), weshalb dem in der deutschen Version des Art. 15 Abs. 1 lit. g DSGVO verwendete abweichende Begriff der "Herkunft" der Daten keine andere Bedeutung zuzumessen ist, als dem in Art. 14 Abs. 2 lit. f DSGVO verwendeten Begriff der "Quelle" (vgl. Dix in Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht (2019) Art 15 Rz 24).

Aus ErwGr 61 ist ersichtlich, dass die Information über die Datenquelle nur allgemein gehalten werden muss, wenn der Verantwortliche nicht mitteilen kann, woher die personenbezogenen Daten stammen, weil verschiedene Quellen benutzt wurden. Dies deutet darauf hin, dass an die Verfügbarkeit der Informationen zur Quelle keine allzu hohen Anforderungen gestellt werden und zur Erfüllung der Informationspflichten bei indirekten Datenerhebungen auch keine nähere Dokumentationspflicht dazu besteht. Angesichts der inhaltsgleichen Bestimmung des Art. 15 Abs. 1 lit. g DSGVO kann auch nichts anderes bei der Erfüllung der Auskunftspflicht zur Datenherkunft angenommen werden, weshalb sich eine Verpflichtung zur Speicherung von Daten zur Herkunft der personenbezogenen Daten nur zum Zweck der Beauskunftung sich aus Art. 15 Abs. 1 lit. g DSGVO nicht ableiten lässt (vgl. Haidinger in Knyrim (Hrsg.), DatKomm Art 15 Rz 43 (Oktober 2018); vgl. auch Kamlah in Plath (Hrsg.), DSGVO/BDSG3 (2018), Art 15 Rz 13).

Aufgrund des Abstellens auf die "verfügbaren Informationen" im Sinne der tatsächlich zum Zeitpunkt des Stellens des Auskunftsbegehrens beim Verantwortlichen vorhandenen Informationen kann auch keine nachträgliche Erhebungspflicht beim Verantwortlichen abgeleitet werden, die über die bei ihm verfügbaren Informationen hinausgehen.

Dies steht auch nicht im Widerspruch zu dem in Art. 12 Abs. 2 erster Satz DSGVO normierten Erleichterungsgebot des Verantwortlichen. Dieses beinhaltet eine prozedurale Erleichterung der Ausübung des Auskunftsrechts (Bäcker in Kühling/Buchner (Hrsg.), DS-GVO (2018) Art 12 Rz 25), etwa, dass elektronische Anträge gestellt werden können (vgl. ErwGr 59; Feiler/Forgó, EU-DSGVO, Art 12 Rz 4).“

Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

Zunächst geht aus der von der mitbeteiligten Partei erteilten Auskunft hervor, dass bestimmte Daten auf statistischen Hochrechnungen basieren. Wie die belangte Behörde zutreffend ausführte, wurde von der mitbeteiligten Partei auch mitgeteilt, dass sie seit dem Jahr 2001 Vertragspartner der XXXX sei und von dieser Quelle Informationen zu Adressänderungen (Umzügen) erhalte. Aus der erteilten Auskunft geht eindeutig hervor, welche Daten die mitbeteiligte Partei statistisch hochgerechnet hat (vgl. Fußnote 1 der Auskunft). Weiters ist festzuhalten, dass die mitbeteiligte Partei mitgeteilt hat, dass die „Geo-Mileus-Daten“ von der XXXX errechnet worden seien.

Der Beschwerdeführer bemängelt insbesondere, dass ihm keine Auskunft zur Herkunft seiner früheren Adresse gegeben wurde.

Wie der unter Wahrheitspflicht als Zeuge vernommene Geschäftsführer der mitbeteiligten Partei bei der mündlichen Verhandlung des Bundesverwaltungsgerichts aber glaubwürdig ausführte, verfügt die mitbeteiligte Partei nicht über weitere Informationen, woher die konkreten Daten des Beschwerdeführers stammen. Daher konnten diese auch nicht beauskunftet werden. Art. 15 Abs. 1 lit. g DSGVO verpflichtet den Verantwortlichen lediglich zu Beauskunftung von verfügbaren Informationen über die Herkunft der Daten. Eine Aufzeichnungspflicht ist aus der genannten Bestimmung nicht ersichtlich. Sofern die mitbeteiligte Partei im Nachhinein die Herkunftsquelle „ XXXX “ für das die Übermittlung der Umzüge bzw. aktuellen Adresse des Beschwerdeführers nach seinem Umzug genannt hat, ist nicht einmal diese Herkunftsquelle zu 100 % sicher, da die Daten nach Angaben des Geschäftsführers der mitbeteiligten Partei auch aus einer Eigenrecherche stammen könnten.

Inwieweit sich eine Verpflichtung zur Aufzeichnung oder Aufbewahrung dieser Daten aus anderen rechtlichen Normen ergeben könnte, ist nicht Gegenstand des Verfahrens, zumal sich das Auskunftsrecht auf die Mitteilung der zum Zeitpunkt der Antragstellung beim Verantwortlichen verarbeiteten Daten beschränkt.

Soweit der Beschwerdeführer die Ansicht vertritt, dass der betroffenen Person bei Unklarheit, aus welcher Quelle die Daten stammen, sämtliche infrage kommenden Quellen zu nennen wären, wurde von der mitbeteiligten Partei in der mündlichen Verhandlung vorgebracht, dass sie durch die Bekanntgabe der konkreten Datenlieferanten ein Geschäfts- oder Betriebsgeheimnis bekanntgeben und ihre eigene Wettbewerbsfähigkeit schwächen würde. Selbst wenn man der Rechtsansicht des Beschwerdeführers folgen würde, wäre allenfalls § 4 Abs. 6 DSG (welcher offenbar auf Art. 23 DSGVO beruht) relevant, wonach das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DSGVO gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht besteht, wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde. Letztlich kann aber diese Frage dahingestellt bleiben, da die Ansicht, dass dem Beschwerdeführer sämtliche Quellen offenzulegen sind, aus denen seine Daten oder ein bestimmtes Datum stammen können, im Text der DSGVO keine Deckung findet.

Daher ist – soweit dies Gegenstand des angefochtenen Bescheides ist – das Recht auf Auskunft des Beschwerdeführers durch die mitbeteiligte Partei nicht verletzt worden.

3.3.2.2. Zur behaupteten Verletzung der Informationspflicht gemäß Art. 14 DSGVO:

Soweit die belangte Behörde ohne die Gewährung von Parteiengehör festgestellt hat, dass der Beschwerdeführer über die ihn betreffende Information verfügt, so ist dieser Mangel durch die Beschwerde an das Bundesverwaltungsgericht saniert worden (siehe etwa VwGH 08.08.2017, Ra 2017/19/0082, mwN).

Die mitbeteiligte Partei brachte generell als Rechtfertigungsgrund für die Nichterteilung einer Information die Ausnahmegründe des Art. 14 lit. b und c DSGVO vor.

Gemäß Art. 14 Abs. 5 lit. c DSGVO finden die Absätze 1 bis 4 keine Anwendung, „wenn und soweit die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist.“

§ 5 Abs. 4 der von der belangten Behörde genehmigten „Verhaltensregeln gem. Art. 40 DSGVO für die Ausübung des Gewerbes der Adressverlage und Direktmarketingunternehmen gem. § 151 Gewerbeordnung 1994“ verweist in diesem Zusammenhang auf die gesetzliche Regelung des § 151 GewO 1994:

„Werden personenbezogene Daten für Marketingzwecke Dritter von anderen als den betroffenen Personen beschafft, darf die Information der betroffenen Personen im Hinblick auf Art. 14 Abs. 5 lit. c DSGVO unterbleiben, sofern die Beschaffung und Verwendung in der Weise erfolgt, wie sie in § 151 GewO, insbesondere in den Absätzen 3 bis 5 und 7, ausdrücklich als zulässig geregelt ist. Die berechtigten Interessen der betroffenen Personen sind in § 151 Abs. 4 und 5 GewO insbesondere dadurch geschützt, dass die Datenbeschaffung bei einem Dritten (Inhaber einer Kundendatei) an die Voraussetzung geknüpft ist, dass dieser Dritte seinerseits die Betroffenen von der Möglichkeit der Weiterverwendung ihrer Daten für Marketingzwecke Dritter informiert hat und ihnen gleichzeitig die Möglichkeit des Widerspruchs gegeben bzw. in den Fällen des § 151 Abs. 4 GewO (Ermittlung sensibler oder strafrelevanter Daten) ihre Einwilligung eingeholt hat. Gemäß § 151 Abs. 7 ist es überdies erforderlich, dass auf jeder Aussendung von Werbematerial eine Kennung vorhanden ist, aus der die Identität der Verantwortlichen der Ursprungsdateien (§ 2 Abs. 2 Z 4 CoC) hervorgeht (vgl. § 10 Abs. 1 CoC).“

Es ist daher zu prüfen, ob § 151 GewO 1994 eine gesetzliche Regelung darstellt, die dem Ausnahmetatbestand des Art. 14 Abs. 5 lit. b DSGVO entspricht:

In der Literatur wird ua Folgendes ausgeführt:

„lit. c: Voraussetzung ist, dass der Informationsgehalt der Rechtsvorschrift mit der Informationspflicht des Verantwortlichen als gleichwertig zu betrachten ist und die betroffene Person in ausreichendem Maße die Reichweite und das Risiko der Datenerhebung und Weiterverarbeitung einschätzen kann. Sofern Vorschriften demgegenüber lediglich die Erlaubnis zur Datenverarbeitung enthalten, kann dies nicht als ausreichend erachtet werden. Eine Rechtsvorschrift muss daher außerdem die Art der erhobenen Daten, die Voraussetzungen deren Erhebung und den Zweck der Verarbeitung ausreichend spezifizieren und normenklar festlegen. Insbesondere wird verlangt, dass die Rechtsvorschrift geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen“ (Mester in Taeger/Gabel (Hrsg.) DSGVO BDSG TTDSG, 4. Auflage, Art. 14 Rz 26)

„Als ein hinreichendes Surrogat für die an sich vorgeschriebene Information durch den Verantwortlichen können allerdings nur solche Rechtsvorschriften dienen, die über eine generalklauselartige Erlaubnis der Datenverarbeitung (vgl. zB Art. 6 Abs. 1 lit. f) hinausgehen. Die Datenverarbeitung muss für die betroffene Person durch die Rechtsvorschrift so berechenbar werden, dass sie mit einer gewissen Wahrscheinlichkeit davon abzusehen bereit ist zu erfahren, welcher Verantwortliche konkret welche Informationen zu welchen Zwecken verarbeitet. Berechenbar für die betroffene Person ist nur eine Regelung, die eine Pflicht und nicht lediglich eine Befugnis zur Erlangung oder Offenlegung der Daten enthält. Denn im zuletzt genannten Fall liegt es im Ermessen des Verantwortlichen, ob er von der gesetzlichen Befugnis Gebrauch macht.“ (Dix in Simitis Hornung Spiecker [Hrsg] Datenschutzrecht DSGVO mit BDSG Art. 14 Rz 27)

In § 151 Abs. 3 GewO 1994 werden grundsätzlich die Quellen genannt, aus denen – unter Beachtung des Grundsatzes der Verhältnismäßigkeit – Adressverlage und Direktmarketingunternehmen personenbezogene Daten ermitteln dürfen. In Abs. 5 werden jene Datenarten aufgezählt, die die genannten Gewerbetreibenden ohne Einwilligung der betroffenen Personen ermitteln dürfen. Darunter findet sich die Anschrift, nicht jedoch frühere Anschriften der betroffenen Personen. Im konkreten Fall steht auch nicht fest, ob die frühere Anschrift von einem Inhaber einer Kunden- oder Interessentendatei ermittelt wurde oder aus anderen Quellen erhoben wurde, jedenfalls wird dieses Datum in § 151 GewO 1994 nicht ausdrücklich genannt. Überdies sind weitere – von der mitbeteiligten Partei errechnete – Daten wie „Haushaltsvorstand“ oder „5 Personen oder mehr Haus“ sowie die von anderer Stelle errechneten Geo-Milieu-Daten nicht von den in Art. 151 GewO genannten Datenarten umfasst. Insofern kann grundsätzlich die Informationspflicht bezüglich dieser Daten nicht aufgrund Art. 14 Abs. 5 lit. c DSGVO entfallen.

Allerdings beruft sich die mitbeteiligte Partei auch auf Art. 14 Abs. 5 lit. b DSGVO, wonach die Informationspflicht nach den Abs. 1 bis 4 entfällt, „wenn die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Dies gilt insbesondere für die […] oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit.“

In der Literatur wird dazu ua Folgendes ausgeführt:

„Auch ein unverhältnismäßig hoher Aufwand kann die Informationspflicht entfallen lassen. Anhaltspunkte für einen unverhältnismäßigen Aufwand sollen nach ErwGr 62 die Zahl der betroffenen Personen, das Alter der Daten oder etwaige geeignete Garantien liefern. Der Aufwand bestimmt sich dabei idR anhand der zu erbringenden Zeit und Kosten.“ (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 14 DSGVO (Stand 1.12.2020, rdb.at) Rz 8).

„Gem Art 14 Abs 2 lit f ist zu informieren, aus welcher Quelle die personenbezogenen Daten stammen. Kann der betroffenen Person nicht mitgeteilt werden, woher die personenbezogenen Daten stammen, weil verschiedene Quellen benutzt wurden, so sollte die Unterrichtung zumindest allgemein gehalten werden (vgl ErwGr 61). In diesem Fall sollten zumindest das Mittel der Datenerhebung, die genutzten Datenbestände oder Systeme genannt werden. Beachtet werden muss allerdings, dass ein bloß hoher Aufwand („hoher Zeitaufwand“, „mühevolle Kleinarbeit“) bei der Wiederherstellung der Quelle nicht ausreichend ist, um sich auf die Ausnahmebestimmung stützen zu können.“ (Illibauer in Knyrim, DatKomm Art 14 DSGVO (Stand 1.12.2021, rdb.at) Rz 29)

„Bei Art. 14 findet keine direkte Erhebung statt, weshalb konsequenterweise die Quelle der Daten offenzulegen ist, um dem Betroffenen die Möglichkeit zu geben, seine Betroffenenrechte allenfalls auch bei bzw. gegen diese Datenquelle geltend zu machen.

Laut Art. 29-Datenschutzgruppe sollten zu den Informationen über die Quelle der Daten gehören:

die Art der Quellen (öffentliche/private)

Arten der Organisation/Branche/Sektor

die spezifische Quelle der Daten, außer dies ist unmöglich.“

(Knyrim in Ehmann/Selmayr Datenschutz-Grundverordnung2, Art. 14 Rz 38f.)

„Zum Begriff der Quelle s. näher … Veil in GSSB DS-GVO Art. 13 und 14 Rn. 108, der zu Recht auf die Problematik hinweist, dass die Angabe von Quellen eine Offenlegung von personenbezogenen Daten Dritter sein kann; Eine allg. gehaltene Mitteilung kommt in Betracht, wenn – weil verschiedene Quellen benutzt wurden – der betroffenen Person der Ursprung der Daten nicht mehr mitgeteilt werden kann.“ (Paal/Hennemann in Paal/Pauly, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 3. Auflage, Art. 14 Rz 31)

„Ein unverhältnismäßiger Mitteilungsaufwand kann sich auch daraus ergeben, dass von einer Datenerhebung zahlreiche Personen betroffen sind, deren Interessen hierdurch jeweils nur in geringfügigem Ausmaß beeinträchtigt werden. So kann es insbesondere liegen, wenn der Verantwortliche die Daten aus allgemein zugänglichen Quellen entnommen hat, ohne sie mit risikoträchtigen Analysemethoden zu verarbeiten.“ (Bäcker in Kühling/Buchner, DS-GVO BDSG, Art. 14 Rz 55)

Angesichts der Ausführungen der mitbeteiligten Partei, dass sie die Datensätze von etwa sieben Millionen Personen verarbeitet, kann dieser gefolgt werden, dass angesichts dieser Vielzahl von Datensätzen eine Informationspflicht über die verarbeiteten Daten einen unverhältnismäßigen Aufwand erfordern würde.

Allerdings ist in diesem Zusammenhang anzuzweifeln, dass die von der mitbeteiligten Partei genannten Datensicherheitsmaßnahmen und die Durchführung einer Datenschutz-Folgenabschätzung genügen, um dem letzten Satz des Art. 14 Abs. 5 lit. b DSGVO Rechnung zu tragen, da dieser offenbar auf eine gewisse Transparenz gegenüber der Öffentlichkeit abstellt. Zwar scheint die in § 151 Abs. 7 GewO 1994 enthaltene Verpflichtung diesem Erfordernis insofern zu entsprechen, als Gewerbetreibende nach § 151 Abs. 1 GewO eine besondere Kennzeichnung von Aussendungen im Rahmen von Marketingaktionen, die sie mit von ihnen gestellten oder von ihnen vermittelten personenbezogenen Daten durchführen, vornehmen müssen, woraus die Identität des Verantwortlichen der Ursprungsdateisysteme nachvollziehbar ist, jedoch scheint darüber hinaus eine allgemein zugängliche Information zur von der mitbeteiligten Partei vorgenommenen Datenverarbeitung geboten (Nähere siehe dazu unten).

Im gegebenen Fall ist der belangten Behörde jedoch dahingehend beizupflichten, dass der Beschwerdeführer durch die Erteilung der Auskunft durch die mitbeteiligte Partei auch ihn betreffende in Art. 14 DSGVO genannte Informationen erhalten hat. Der Beschwerdeführer räumte auf Frage in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht ein, die wesentlichen Elemente der nach Art. 14 DSGVO zu gebenden Information mitgeteilt bekommen zu haben – mit Ausnahme der Empfänger bzw. Empfängerkategorien und der Herkunft der Daten. In seinen in seiner Beschwerde an das Bundesverwaltungsgericht gestellten Anträgen brachte der Beschwerdeführer insbesondere zum Ausdruck, dass es ihm um die Mitteilung der Herkunft seiner ehemaligen Wohnadresse in der XXXX geht.

Dazu ist festzuhalten, dass die Herkunft dieser Adresse nach der unter Wahrheitspflicht getätigten Aussage des Geschäftsführers der mitbeteiligten Partei dieser nicht bekannt ist. Insofern kann diese Information gar nicht zur Verfügung gestellt werden. Die mitbeteiligte Partei verfügt auch nicht über die Information, aus welchen Quellen sonstige Daten des Beschwerdeführers stammen und an wen sie übermittelt wurden. Somit ist eine Information darüber unmöglich und kann diese nicht erteilt werden.

Sofern der Beschwerdeführer eine Information sämtlicher potenziell in Frage kommenden Datenlieferanten und Empfängern einfordert, so wurde von der mitbeteiligten Partei in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht erklärt, dass eine Liste sämtlicher in Frage kommender Datenlieferanten und Kunden schon deshalb nicht beauskunftet bzw. Informationen darüber erteilt werden können, weil die mitbeteiligte Partei anderen Unternehmen gegenüber einen Wettbewerbsnachteil erleiden würde. Ob dieses Argument rechtlich relevant ist, kann schon insofern dahingestellt bleiben, als aus Art. 14 DSGVO nicht ersichtlich ist, dass im Falle der Unmöglichkeit der Mitteilung konkreter Quellen oder Kunden (Empfänger der Daten) sämtliche infrage kommenden Vertragspartner zu beauskunften sind. Vielmehr ist davon auszugehen, dass hier eine allgemeine Information, wie die Information über die Kategorien von Datenlieferanten oder Datenempfängern, ausreicht.

Zu den Datenquellen:

Soweit davon auszugehen ist, dass die betroffene Person zumindest eine allgemeine Umschreibung der Datenquellen erhalten sollte, so ist darauf hinzuweisen, dass eine derartige Information sich bereits aus § 151 Abs. 3 GewO 1994 ergibt und damit dem Beschwerdeführer vorliegt bzw. sich eine diesbezügliche Information erübrigt. Dass aus diesen Quellen Daten erhalten wurden, wurde auch in der mündlichen Verhandlung vor dem Bundesverwaltungsgericht bestätigt, indem mitgeteilt wurde, dass Daten nicht nur von der XXXX , sondern auch aufgrund von Eigenrecherchen aus öffentlichen Datenquellen (wie Telefonbuch, Grundbuch und Firmenbuch) sowie anderen Adressverlagen, mit deren Bestand auch Abgleiche erfolgen, bezogen wurden. Auch wurde mitgeteilt, dass die meisten Merkmale von der mitbeteiligten Partei statistisch hochgerechnet werden (S. 7, 8 und 14 der Niederschrift über die mündliche Verhandlung).

Somit ist davon auszugehen, dass im gegenständlichen Fall hinsichtlich der Information über Quellen keine Verletzung der Informationspflicht vorlag und vorliegt.

Zu den Empfängern oder Empfängerkreisen:

Was die gegenständliche Beschwerde betrifft, so ist zunächst festzuhalten, dass sich diese auf eine Feststellung einer Datenschutzverletzung wegen Verstoßes gegen Art. 15 Abs. 1 lit. g DSGVO und gegen Art. 14 Abs. 2 lit f DSGVO fokussiert. Lediglich in Antrag 1 lit. c der Beschwerde wird generell auf einen Verstoß gegen Art. 14 DSGVO Bezug genommen. In der mündlichen Verhandlung hat der Beschwerdeführer allerdings auch festgehalten, dass er keine Information über die Empfänger der Daten erhalten hat.

Soweit der Beschwerdeführer behauptet, dass die Entscheidung des EuGH C-154/21 (zu den Empfängern und Empfängerkreisen) auch auf Art. 14 DSGVO anwendbar wäre, ist zunächst festzuhalten, dass sich das Verfahren vor dem EuGH ausschließlich auf Art. 15 Abs. 1 lit. g DSGVO bezog. Überdies ist auch nach diesem Urteil eine Erteilung der Auskunft nicht geboten, wenn diese gar nicht möglich ist, weil dem Verantwortlichen diese Daten nicht vorliegen.

In § 151 GewO 1994 wird der Kreis der Datenempfänger insofern eingeschränkt, als es ausschließlich Entitäten sein dürfen, die Daten für Marketingzwecke verwenden und entsprechende Unbedenklichkeitserklärungen unterschreiben. Überdies ist dem Beschwerdeführer bereits in der erteilten Auskunft die Information zugekommen, dass die personenbezogenen Daten an Adressverlage und Direktmarketingunternehmen übermittelt werden.

Im Übrigen sind daher auch die verarbeiteten Datenarten, die nicht aus § 151 GewO ersichtlich sind, dem Beschwerdeführer bereits im Rahmen der von der mitbeteiligten erteilten Auskunft zugekommen. Somit ist der belangten Behörde zuzustimmen, dass die Information (welche nach Ansicht des Bundesverwaltungsgerichts den § 151 GewO 1994 zu ergänzen hatte) zwar verspätet erfolgte, aber bereits zum Zeitpunkt der Einbringung der Beschwerde bei der belangten Behörde kein Verstoß gegen die Informationsverpflichtung mehr vorlag, sodass diese zurecht die Beschwerde abgewiesen hat.

Zu einer „geheilten“ Verletzung der Informationsverpflichtung:

Das Bundesverwaltungsgericht übersieht nicht, dass es der mitbeteiligten Partei zumutbar gewesen und sie daher auch verpflichtet gewesen wäre, bereits bei Beginn ihrer Datenverarbeitungen diese transparent zu machen und zumindest auf öffentlich zugängliche Weise, wie etwa auf ihrer Website, allgemeine Informationen – ähnlich wie dies bezüglich des deutschen Verantwortlichen XXXX erfolgt ist – zur Verfügung zu stellen.

Wie die belangte Behörde zutreffend anmerkte, wäre es Sache eines amtswegigen Verfahrens vor der belangten Behörde, einen entsprechenden Auftrag an die mitbeteiligte Partei zu erteilen, einer allgemeinen Informationspflicht nachzukommen. Im gegenständlichen Individualbeschwerdeverfahren (in dem es im Übrigen auch nicht um ein allfälliges verwaltungsstrafrechtlich relevantes Verhalten geht) ist eine gesonderte Feststellung einer vergangenen Rechtsverletzung jedoch nicht vorzunehmen. Auch wenn die Information verspätetet erteilt wurde, kommt die spruchmäßige Feststellung eines vergangenen Verstoßes gegen die Informationsverpflichtung bzw. einer verspäteten Informationserteilung nicht in Betracht:

Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Gemäß § 24 Abs. 5 DSG ist im Fall einer berechtigten Beschwerde über eine Verletzung, die einem Verantwortlichen des privaten Bereichs zuzurechnen ist, diesem aufzutragen den Anträgen des Beschwerdeführers zu entsprechen, etwa die beantragte Auskunft zu erteilen. Abs. 6 leg cit legt fest, dass ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Diesfalls hat die belangte Behörde das Verfahren grundsätzlich formlos einzustellen. Dies kam im gegebenen Fall jedoch nicht in Betracht, weil dem Beschwerdeführer bereits bei Beschwerdeerhebung an die belangte Behörde die notwendigen Informationen vorlagen.

Der Verwaltungsgerichtshof hat zum Datenschutzgesetz 2000 (DSG 2000) BGBl I Nr. 165/1999, in der Fassung BGBl I Nr. 13/2005, ein derartiges Recht auf Feststellung im Zusammenhang mit einem anderen datenschutzrechtlichen Leistungsrecht, dem Löschungsrecht, verneint (VwGH 27.09.2007 2006/06/0330 mit Verweis auf die Grundsatzentscheidung VwGH 28.03.2006 2004/06/0125). Wenngleich diese Entscheidung auf Grund des geänderten Gesetzeswortlauts nicht unmittelbar auf die neue Rechtslage (§ 24 iVm Art. 15 und 77 DSGVO) übertragbar ist, können die tragenden Erwägungen des Verwaltungsgerichtshofs – die im Wesentlichen den zuvor ausgeführten Überlegungen entsprechen – auf die neue Rechtslage weiter angewendet werden.

Ebenso spricht die DSGVO, in deren Anwendungsbereich betroffene Personen Beschwerden gemäß § 24 DSG erheben können, nicht gegen diese Interpretation. Auch Art. 77 DSGVO, auf den die gegenständliche Beschwerde letztendlich gegründet ist, spricht davon, dass betroffene Personen das Recht auf Beschwerde bei einer Aufsichtsbehörde haben, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung „verstößt“. In diesem Sinn ist auch § 24 Abs. 1 DSG formuliert. Dies bedingt, dass eine in der Vergangenheit stattgefundene Rechtsverletzung nicht vollständig beseitigt wurde, oder beseitigt werden konnte, sondern in irgendeiner Form noch fortwirkt.

Überdies soll nach Erwägungsgrund 63 der DSGVO das Auskunftsrecht dazu dienen, betroffenen Personen zu ermöglichen, sich der Verarbeitung der sie betreffenden personenbezogenen Daten bewusst zu sein und ihre Rechtmäßigkeit zu überprüfen. Für die Erreichung dieses Ziels ist es für betroffene Personen nicht erforderlich, Rechtsverletzungen die zwischenzeitlich behoben worden sind, mit Bescheid feststellen zu lassen. Diese Argumentation kann auch auf das Recht, eine vollständige Information zu erhalten, umgelegt werden.

Schließlich hat auch der Verfassungsgerichtshof zur Rechtslage vor dem DSG 2000, nämlich zum Recht auf Auskunft gemäß Datenschutzgesetz idF BGBl Nr. 565/1978, in der § 14 Abs. 1 DSG sogar darauf abstellte, dass der Beschwerdeführer behauptete, wegen Verletzung von Bestimmungen dieses Bundesgesetzes oder der auf Grund dieses Bundesgesetzes erlassenen Durchführungsbestimmungen in seinen Rechten verletzt worden zu sein, ein Recht auf Feststellung vergangener und inzwischen behobener Rechtsverletzungen verneint (VfGH 26. Juni 1991, VfSgl. Nr. 12.768).

In einem rezenten Erkenntnis vom 10.10.2022, Ro 2022/04/0001-5, mit dem der VwGH die spruchmäßige Feststellung einer in der Vergangenheit liegenden Verletzung des Rechts auf Geheimhaltung für zulässig erklärte, wird ua Folgendes ausgeführt:

„26 Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen - anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG - jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.

27 Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. § 1 Abs. 1 DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen (siehe RV 1613 BlgNR 20. GP 34 zur - unverändert gebliebenen - Bestimmung des § 1 DSG 2000).

Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.

28 Daran vermag die von der Revisionswerberin ins Treffen geführte Rechtsprechung nichts zu ändern:

Der Verfassungsgerichtshof hat in seinem Erkenntnis VfGH 26.6.1991, B 811/89, festgehalten, die wegen behaupteter Verletzung der Rechte auf Richtigstellung oder auf Löschung erhobene Datenschutzbeschwerde habe ausschließlich zum Ziel, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der (damals noch) Datenschutzkommission und ihre „Vollstreckung“ zur Durchsetzung des Rechts auf Richtigstellung oder auf Löschung zu verhelfen. Sei die Richtigstellung oder Löschung durchgeführt (bzw. veranlasst) worden, sei die Möglichkeit der Verletzung der durch § 1 Abs. 4 DSG 2000 eingeräumten subjektiven Rechte nicht mehr gegeben. Eine meritorische Entscheidung wegen Verletzung dieser Rechte komme nur dann und solange in Betracht, als die angestrebte Richtigstellung oder Löschung noch nicht durchgeführt (bzw. veranlasst) worden sei.

29 Unter Bezugnahme auf dieses Erkenntnis hat der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 28.3.2006, 2004/06/0125, die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber (infolge der - wenn auch verspätet ergangenen - Mitteilung) nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint. Der Verwaltungsgerichtshof hat darin betont, dass die Mitteilung über die Löschung auf die Erbringung einer Leistung gegenüber dem Rechtsunterworfenen ausgerichtet ist. Es entspricht - so der Verwaltungsgerichtshof weiter - einem effektiven Rechtsschutz, wenn im Fall der Gewährleistung eines bestimmten Verwaltungshandelns (wie die Löschung oder die Mitteilung darüber) entsprechende Rechtsmittel zur Erreichung dieses Verwaltungshandelns bestehen. Auch die weiteren von der Revisionswerberin insoweit ins Treffen geführten hg. Entscheidungen befassen sich mit dem Recht auf Löschung und auf Mitteilung darüber (VwGH 25.4.2006, 2004/06/0167; 24.10.2006, 2006/06/0050) bzw. mit dem Recht auf Auskunft (VwGH 27.9.2007, 2006/06/0330). Keine dieser Entscheidungen lässt hingegen Rückschlüsse auf das Nichtbestehen eines Feststellungsanspruchs hinsichtlich der behaupteten Verletzung des Rechts auf Geheimhaltung zu.

30 Demgegenüber hatte sich der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 9.9.2008, 2005/06/0125, mit einer - von der Datenschutzkommission zur Gänze abgewiesenen - Datenschutzbeschwerde betreffend einerseits die Verletzung des Rechts auf Geheimhaltung und andererseits die in der Vergangenheit bestandene Verletzung des Rechts auf Löschung zu befassen. Im Hinblick auf die zum Entscheidungszeitpunkt der dort belangten Behörde bereits angeordnete Löschung der gegenständlichen Daten verneinte der Verwaltungsgerichtshof eine Verletzung des Beschwerdeführers im Recht auf Löschung. Die Abweisung der Datenschutzbeschwerde hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung erachtete der Verwaltungsgerichtshof hingegen als rechtswidrig und hob den angefochtenen Bescheid in diesem Umfang auf. Einen auf Grund der erfolgten Löschung der Daten eingetretenen Wegfall der Beschwer des dortigen Beschwerdeführers hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung nahm der Verwaltungsgerichtshof hingegen nicht an.

31 Der Verwaltungsgerichtshof hat daher bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Art. 4 Z 7 DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden. Dies ist für die geltende Rechtslage aber nicht anders zu beurteilen“

Die genannten Überlegungen sind auch auf das Recht auf Information übertragbar.

Schließlich wird festgehalten, dass die von der mitbeteiligten Partei vorgelegte Judikatur der belangten Behörde nichts an der rechtlichen Beurteilung des gegenständlichen Falles ändert.

Die behauptete Rechtswidrigkeit des angefochtenen Bescheides liegt sohin nicht vor. Somit war die Beschwerde abzuweisen.

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Es existiert keine Rechtsprechung des Verwaltungsgerichtshofes zum Umfang einer Informationspflicht von Adressverlagen und Marketingunternehmen.