BVwG W101 2256689-1

Spruch:

W101 2256689-1/5E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde von XXXX , vertreten durch die Höhne, In der Maur & Partner Rechtsanwälte GmbH & Co KG, gegen die Spruchteile 2. bis 4. des Bescheides der Datenschutzbehörde vom 19.05.2022, GZ. D124.719 2021-0.476.789, zu Recht erkannt:

A)

I. Der Beschwerde gegen Spruchteil 2. wegen einer Verletzung im Recht auf Information wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 5 DSG idgF stattgegeben und es wird festgestellt, dass die mitbeteiligte Partei als Verantwortliche bis 15.11.2018 gegenüber dem Beschwerdeführer ihre Informationspflicht gemäß Art. 14 DSGVO verletzt hat.

II. Die Beschwerde gegen Spruchteil 3. wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

III. Der Beschwerde gegen Spruchteil 4. wegen einer Verletzung im Recht auf Mitteilung einer Berichtigung bzw. Löschung wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 5 DSG idgF stattgegeben und es wird festgestellt, dass die mitbeteiligte Partei als Verantwortliche gegenüber dem Beschwerdeführer hinsichtlich der im November 2018 erfolgten Löschung einer unrichtigen Adresse ihre Mitteilungspflicht gemäß Art. 19 DSGVO im Fall der XXXX bis am 10.09.2020 und im Fall der XXXX bis frühestens am 10.11.2020 verletzt hat.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

Am 29.01.2019 brachte Herr XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) ein, weil er u.a. in seinen Rechten auf Information, auf Löschung und auf Mitteilung einer Berichtigung bzw. Löschung verletzt worden sei. Er begründete seine Datenschutzbeschwerde diesbezüglich im Wesentlichen folgendermaßen:

Er sei im März und im September 2017 mit unberechtigten Betreibungen seitens der XXXX sowie eines auf Forderungsbetreibungen spezialisierten Rechtsanwalts gegen ihn konfrontiert worden. Ursächlich dafür sei gewesen, dass die mitbeteiligte Partei eine unrichtige Adresse des Beschwerdeführers verarbeitet habe, dieser jedoch zu keinem Zeitpunkt in der XXXX , wohnhaft oder gemeldet gewesen sei. Erst in einem wegen der Verletzung des Rechts auf Löschung eingeleiteten Verfahrens, GZ: DSB-D123.420, habe die mitbeteiligte Partei mit Schreiben vom 19.11.2018 mitgeteilt, das unrichtige Adressdatum nachträglich gelöscht zu haben. Daher habe die mitbeteiligte Partei gegen ihre Pflichten aus Art. 5 Abs. 1 lit. d DSGVO iVm Art. 17 DSGVO verstoßen. Noch bevor diese Daten gelöscht worden seien, habe die mitbeteiligte Partei am 14.06.2018 der XXXX und am 10.07.2018 der XXXX diese unrichtigen Daten des Beschwerdeführers übermittelt. Unabhängig davon hätte die mitbeteiligte Partei nach dem Grundsatz von Treu und Glauben gemäß Art. 5 Abs. 1 lit. a DSGVO den Beschwerdeführer über den Eintrag der falschen Datensätze in die Datenbank gemäß Art. 14 DSGVO informieren müssen, um ihm die Möglichkeit zu geben, sich gegen die falschen Einträge, die seine Kreditwürdigkeit beeinträchtigen würden, zur Wehr zu setzen. Gemäß Art. 19 DSGVO sei die mitbeteiligte Partei auch verpflichtet, allen Empfängern, denen die gelöschten Daten offengelegt worden seien, die Löschung dieser Daten mitzuteilen. Soweit erkennbar, sei sie dieser Verpflichtung allerdings nicht nachgekommen.

Mit Stellungnahme vom 18.11.2019 führte die mitbeteiligte Partei zur Datenschutzbeschwerde des Beschwerdeführers im Wesentlichen Folgendes aus:

Es werde bestritten, dass die verarbeitete Adresse „falsch“ oder unrichtig“ gewesen sei. Die Adresse bestehe, sie sei jedoch dem Beschwerdeführer infolge einer „Falschverknüpfung“ zugeordnet worden. Es bestehe keine gesetzliche Verpflichtung, solche Zuordnungen zu überprüfen und würde dies auch die gewerblichen Sorgfaltspflichten der mitbeteiligten Partei übersteigen. Aufgrund der im Datenschutzbeschwerdeverfahren, Zl. DSB-D123.420, entstandenen Zweifel an deren Richtigkeit, seien die Daten aber im November 2018 gelöscht worden. Weiters sei darauf hinzuweisen, dass, um eine Datenbankabfrage bei der mitbeteiligten Partei zu tätigen, neben Namen und Geburtsdatum immer auch eine Adresse eingegeben werden müsse, um Verwechslungen von Personen mit gleichem Namen und Geburtsdatum zu vermeiden. Erst danach könne eine Identifikation oder eine Bonitätsbewertung durchgeführt werden. Übermittelt worden sei im gegenständlichen Fall jeweils ein Bonitätswert. Lediglich bei der XXXX sei eine „Identifizierung“ mit der strittigen Adresse erfolgt. Die mitbeteiligte Partei errechne im Zuge einer konkreten Kundenabfrage einen Bonitätsscore zu einer betroffenen Person. Diese Berechnung erfolge anhand von statistischen Wahrscheinlichkeiten, wobei die bei der mitbeteiligten Partei gespeicherten Parameter als Ausgangsbasis dienen. Der Wohnort sei bei der Berechnung grundsätzlich aber von vernachlässigbarer Bedeutung, lediglich, wenn innerhalb eines kurzen Zeitraums vermehrt neue Adressen in die Datenbank der mitbeteiligten Partei eingemeldet würden, wirke sich dies negativ aus. Dies sei aber beim Beschwerdeführer nicht der Fall gewesen.

Mit Stellungnahme vom 17.09.2020 führte die mitbeteiligte Partei im Wesentlichen aus, dass die Empfänger, denen die personenbezogenen Daten des Beschwerdeführers offengelegt worden seien, am 10.09.2020 von der Löschung der dem Beschwerdeführer zugeordneten Adresse XXXX , sowie aller dem Beschwerdeführer zugeordneten Zahlungserfahrungen informiert worden seien.

Im Zuge des Verwaltungsverfahrens holte die Datenschutzbehörde von beiden Parteien weitere schriftliche Stellungnahmen ein.

(Mit Teilbescheid vom 20.08.2020, GZ: D124.719 2020-0.427.545, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 29.01.2019 wegen einer Verletzung im Recht auf Geheimhaltung statt und stellte fest, dass die mitbeteiligte Partei den Beschwerdeführer im Recht auf Geheimhaltung verletzt habe, indem diese unrichtige personenbezogene Daten – unrichtige Anschrift und unrichtiger Forderungsbetrag – über den Beschwerdeführer gespeichert und im Rahmen einer Bonitätsauskunft übermittelt habe.)

Mit (End-)Bescheid vom 19.05.2022, GZ: D124.719 2021-0.476.789, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 29.01.2019 u.a. hinsichtlich einer Verletzung des Rechts auf Information (Spruchteil 2.), hinsichtlich einer Verletzung des Rechts auf Löschung (Spruchteil 3.) und hinsichtlich einer Verletzung des Rechts auf Mitteilung einer Berichtigung bzw. Löschung (Spruchteil 4.) ab.

In diesem Bescheid traf die Datenschutzbeschwerde hinsichtlich der Spruchteile 2. bis 4. im Wesentlichen folgende Sachverhaltsfeststellungen:

Die mitbeteiligte Partei betreibe eine Identitäts- und Bonitätsdatenbank. Die Daten beziehe sie aus öffentlich verfügbaren Quellen bzw. bekomme sie Daten von Adressverlagen und Informationen zu Zahlungserfahrungen von einer Vielzahl an Unternehmenskunden übermittelt und errechne im Zuge einer konkreten Kundenabfrage einen Bonitätsscore zu einer abgefragten betroffenen Person, welcher an die abfragenden Unternehmen übermittelt werde. Dieser bewege sich zwischen 250-700 sowie 0-100, wobei der niedrigste Wert die schlechteste Bonität und der höchste Wert die bestmögliche Bonität ausdrücke.

Der Beschwerdeführer sei zu keinem Zeitpunkt in der XXXX , gemeldet oder wohnhaft gewesen.

Am 14.06.2018 habe die XXXX in der Datenbank der mitbeteiligten Partei mittels der Adresse XXXX , nach dem Beschwerdeführer gesucht und ihr sei u.a. der Name und der Bonitätsscore mit einem Wert von 450 beauskunftet worden.

Am 10.07.2018 habe die XXXX in der Datenbank der mitbeteiligten Partei nach dem Beschwerdeführer gesucht und ihr sei u.a. der Bonitätsscore mit einem Wert von 464 beauskunftet worden.

Wäre zum Zeitpunkt 10.07.2018 die unrichtige Adresse XXXX , bereits gelöscht gewesen, wäre der von der mitbeteiligten Partei errechnete Bonitätsscore um 11 Punkte höher gelegen und hätte im Fall der Anfrage der XXXX 475 Punkte betragen.

Der Beschwerdeführer habe am 31.07.2018 eine Datenschutzbeschwerde an die Datenschutzbehörde wegen nicht vollständig erfolgter Löschung hinsichtlich der Adresse XXXX , erhoben.

Am 15.11.2018 sei die mitbeteiligte Partei dem Löschungsbegehren des Beschwerdeführers hinsichtlich der Adresse XXXX , nachgekommen.

Am „10.09.2018“ (richtig: 10.09.2020) habe die mitbeteiligte Partei die XXXX über die Richtigstellung der gespeicherten Daten des Beschwerdeführers hinsichtlich der Adresse sowie der ihm zugeordneten Zahlungserfahrungen mitgeteilt.

Nach dem 10.11.2020 habe die mitbeteiligte Partei die XXXX über das richtiggestellte Ergebnis der Berechnung des Bonitätsscores des Beschwerdeführers vom 10.07.2018 informiert.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde hinsichtlich der Spruchteile 2. bis 4. in rechtlicher Hinsicht im Wesentlichen Folgendes:

Zum Recht auf Information:

Ein Verstoß gegen Art. 14 DSGVO bedinge jedenfalls nicht die Unrechtmäßigkeit der Datenverarbeitung, da sich deren Rechtmäßigkeit nach den Art. 5 ff DSGVO bestimme und die Erteilung oder Nichterteilung der Informationen keinen Einfluss auf die grundsätzliche Rechtmäßigkeit der Verarbeitung haben könne.

Der Beschwerdeführer habe am Ende des Verfahrens weiterhin vorgebracht, dass die mitbeteiligte Partei durch die nicht bzw. nicht rechtzeitig erfolgte Information über die Verarbeitung seiner unrichtigen Adresse in XXXX , insbesondere wegen der dadurch ausgelösten Folgen, eine Rechtsverletzung begangen habe.

Dem sei jedoch entgegenzuhalten, dass ein Recht auf Feststellung einer in der Vergangenheit erfolgten Verletzung subjektiver Rechte, vom Geheimhaltungsrecht abgesehen, weder im DSG noch in der DSGVO vorgesehen sei.

Die Rechte der betroffenen Person gemäß Kapitel III DSGVO, so auch das aus Art. 14 DSGVO abzuleitende Informationsrecht, seien darauf gerichtet, Missstände in der Datenverarbeitung eines Verantwortlichen für die betroffene Person sichtbar zu machen bzw. letzterer konkretisierte Ansprüche auf Beseitigung der Folgen von Eingriffen in ihr Datenschutzgrundrecht (Art. 8 GRC) einzuräumen. Nicht umfasst sei ein allgemeines Recht, eine der Rechtskraft fähige Feststellung über jede Art von Verstoß gegen Bestimmungen der DSGVO zu erhalten.

Der Beschwerdeführer habe im Laufe dieses Verfahrens alle erforderlichen Informationen zur Ausübung seiner Rechte erhalten und sei daher hier gemäß Art. 24 Abs. 6 DSG durch Beseitigung der Beschwer klaglos gestellt worden, da auch eine Anweisung der Datenschutzbehörde gemäß Art. 58 Abs. 2 DSGVO keine weitere Abhilfe bieten würde.

Zum Recht auf Löschung:

In dem durch Einstellung gemäß § 24 Abs. 6 DSG beendete Datenschutzbeschwerdeverfahren, Zl. DSB-D123.420, sei die Löschung unrichtiger Adressdaten, die die mitbeteiligte Partei verarbeitet habe, bereits durchgesetzt worden. Soweit der Beschwerdeführer ein Recht auf Feststellung einer in der Vergangenheit erfolgten Verletzung des Rechts auf Löschung behaupte, sei er sinngemäß auf die Ausführungen zum Informationsrecht zu verweisen.

Zum Recht auf eine Berichtigungs- bzw. Löschungsmitteilung:

Gemäß Art. 19 DSGVO teile der Verantwortliche allen Empfängern, denen personenbezogene Daten offengelegt worden seien, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach Art. 16, 17 Abs.1 und 18 mit, es sei denn, dies erweise sich als unmöglich oder sei mit einem unverhältnismäßigen Aufwand verbunden. Der Verantwortliche unterrichte die betroffene Person über diese Empfänger, wenn die betroffene Person dies verlange.

In Bezug auf dieses hier begleitende Recht zum Berichtigungsrecht gemäß Art. 16 und zum Löschungsrecht gemäß Art. 17 DSGVO habe das Ermittlungsverfahren ergeben, dass sowohl die XXXX (hinsichtlich der Löschung der von dieser Gesellschaft abgefragten Adresse des Beschwerdeführers in XXXX ) als auch die XXXX (hinsichtlich des abgefragten Bonitätsscores des Beschwerdeführers) über die Löschung bzw. Ergebnisänderung, also die Berichtigung der übermittelten Daten des Beschwerdeführers, informiert worden seien.

Der Beschwerdeführer sei daher auch hier gemäß § 24 Abs. 6 DSG durch Beseitigung der Beschwer klaglos gestellt worden, da auch eine Anweisung der Datenschutzbehörde gemäß Art. 58 Abs. 2 DSGVO keine weitere Abhilfe bieten würde.

In der gegen die Spruchteile 2. bis 4. dieses Bescheides fristgerecht erhobenen Beschwerde brachte der Beschwerdeführer im Wesentlichen vor:

Zum Recht auf Information nach Art. 14 DSGVO:

Der Beschwerdeführer sei ab März 2017 mit unberechtigten Forderungen durch ein Inkassobüro konfrontiert gewesen, weswegen er ein Auskunftsbegehren an die mitbeteiligte Partei gestellt habe. Nach Beauskunftung durch die mitbeteiligte Partei im Oktober 2017 habe es sich herausgestellt, dass sie personenbezogene Daten des Beschwerdeführers verarbeitet habe, die sie nicht beim Beschwerdeführer selbst erhoben habe. Eine transparente und rechtzeitige Information nach Art. 14 DSGVO sei im Zeitpunkt der Erhebung der Daten nicht erteilt worden, denn auf sein Betreiben habe der Beschwerdeführer eine diesbezügliche Auskunft erst im Oktober 2017 erhalten. Außerdem seien die Auskünfte der mitbeteiligten Partei vom 02.10.2017 und vom 28.02.2018 unvollständig gewesen. Informationen zu den Kontaktdaten eines Datenschutzbeauftragten gemäß Art. 14 Abs. 1 lit. b DSGVO, Angaben zur Speicherdauer gemäß Art. 14 Abs. 2 lit. a DSGVO und über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 14 Abs. 2 lit. g DSGVO seien nicht enthalten gewesen. Auch sei die Information über die Rechte des Beschwerdeführers unvollständig gewesen, da die mitbeteiligte Partei nicht gemäß Art. 14 Abs. 2 lit. c DSGVO über die Einschränkung der Verarbeitung eines Widerspruchrechts gegen die Verarbeitung und des Rechts auf Datenübertragbarkeit und nicht gemäß Art. 14 Abs. 2 lit. e DSGVO über das Beschwerderecht belehrt habe. Erst mit der Auskunft vom 15.11.2018 seien die Informationen nach Art. 14 DSGVO erteilt worden. Daher beantrage der Beschwerdeführer die Feststellung, dass er im Recht auf Information gemäß Art. 14 DSGVO verletzt worden sei.

Zum Recht auf Löschung gemäß Art. 17 DSGVO:

Der Beschwerdeführer habe im Februar 2018 von der mitbeteiligten Partei die Löschung der unrichtigen personenbezogenen Daten begehrt. Erst im Rahmen des Datenschutzbeschwerdeverfahrens zur Zl. DSB-D123.420 habe die mitbeteiligte Partei mit Stellungnahme vom 19.11.2018 mitgeteilt, dass die unrichtigen Daten (falsche Adresse) gelöscht zu haben. Der Beschwerdeführer beantrage nun die Feststellung, dass er im Recht auf Löschung gemäß Art. 17 DSGVO verletzt worden sei, da die Löschung nicht innerhalb der einmonatigen Frist erfolgt sei.

Zum Recht auf Benachrichtigung aller Empfänger von unrichtigen Daten und auf Mitteilung, dass die Empfänger benachrichtigt wurden gemäß Art. 19 DSGVO:

Die mitbeteiligte Partei habe unrechtmäßig unrichtige Daten des Beschwerdeführers verarbeitet. Im Februar 2018 habe er die Löschung der unrichtigen Daten beantragt und die mitbeteiligte Partei aufgefordert, ihn über alle gesetzten Maßnahmen zu informieren. Über die Löschung der unrichtigen Daten habe die mitbeteiligte Partei die Datenschutzbehörde in ihrer Stellungnahme vom 19.11.2018 informiert. Erst mit E-Mail vom 10.09.2020 (unrichtigerweise im angefochtenen Bescheid mit 10.09.2018 festgestellt) habe die mitbeteiligte Partei der XXXX mitgeteilt, dass die unrichtigen Daten gelöscht worden seien. Die Benachrichtigung der XXXX sei erst nach der Stellungnahme der mitbeteiligten Partei vom 10.11.2020 erfolgt. Somit sei die mitbeteiligte Partei ihrer Mitteilungspflicht gegenüber den Empfängern gemäß Art. 19 DSGVO erst nach ca. zwei Jahren nachgekommen. Die mitbeteiligte Partei habe den Beschwerdeführer nicht wie von ihm verlangt über die erfolgte Mitteilung an die Empfänger informiert. Die Informationen habe er erst über die Datenschutzbehörde durch ihre Mitteilung vom 23.09.2020 und vom 19.05.2021 erhalten. Daher begehre der Beschwerdeführer die Feststellung, dass er im Recht auf Mitteilung nach Art. 19 DSGVO verletzt worden sei.

Zur unrichtigen rechtlichen Beurteilung des § 24 Abs. 6 DSG:

Schließlich stehe § 24 Abs. 6 DSG im Widerspruch zu Art. 77 DSGVO, weil die erstere Bestimmung vorsehe, dass der Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen könne. Im Falle der nachträglichen Entsprechung der Anträge könne die Datenschutzbehörde das Verfahren einstellen. Art. 77 DSGVO regle das Recht auf Beschwerde des Betroffenen jedoch abschließend und sehe keine nachträgliche Beseitigung von Rechtsverletzungen vor. Die Datenschutzbehörde übersehe, dass § 24 Abs. 6 DSG eine Regelung vorsehe, die dem Gemeinschaftsrecht widerspreche und daher unangewendet bleiben müsse.

Der Beschwerdeführer stellte sohin die Anträge, das Bundesverwaltungsgericht möge

1. der Beschwerde hinsichtlich der Spruchteile 2. bis 4. stattgeben und

2. in eventu die Spruchteile 2. bis 4. des bekämpften Bescheides aufheben und die Sache an die Behörde erster Instanz zurückweisen.

Mit Schreiben der Datenschutzbehörde vom 28.06.2022, eingelangt am 06.07.2022, war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die mitbeteiligte Partei betreibt eine Identitäts- und Bonitätsdatenbank. Ihre Daten bezieht sie aus öffentlich verfügbaren Quellen bzw. bekommt sie Daten von Adressverlagen sowie Informationen zu Zahlungserfahrungen von einer Vielzahl an Unternehmenskunden übermittelt und errechnet im Zuge einer konkreten Kundenabfrage einen Bonitätsscore zu einer abgefragten betroffenen Person, welcher an die abfragenden Unternehmen übermittelt wird.

Im März und September 2017 kam es zu unberechtigten Forderungsbetreibungen gegen den Beschwerdeführer durch ein Inkassobüro und einen Rechtsanwalt, welche nach Richtigstellung des Sachverhalts eingestellt wurden.

In der Folge beantragte der Beschwerdeführer am 27.09.2017 eine datenschutzrechtliche Auskunft von der mitbeteiligten Partei hinsichtlich der aktuell zu seiner Person verarbeiteten Daten. Am 02.10.2017 kam die mitbeteiligte Partei dem Auskunftsersuchen des Beschwerdeführers erstmalig nach und beauskunftete vier erfasste Zahlungserfahrungen (aus den Jahren 2016 und 2017), die Herkunft der personenbezogenen Daten, den Verarbeitungszweck sowie zwei gespeicherte Adressen zum Beschwerdeführer ( XXXX , und XXXX ,).

Der Beschwerdeführer war zu keinem Zeitpunkt in der XXXX , gemeldet oder wohnhaft. Auch eine andere namens- und geburtsdatumsgleiche Person war zu keinem Zeitpunkt an dieser Adresse gemeldet.

Am 28.02.2018 gab die mitbeteiligte Partei, aufgrund eines Löschungsbegehrens des Beschwerdeführers vom 27.02.2018 (!), zweitmalig Auskunft und beauskunftete die weitere Speicherung von zwei Adressen zum Beschwerdeführer ( XXXX , sowie XXXX ,).

Am 14.06.2018 suchte die XXXX in der Datenbank der mitbeteiligten Partei mittels der Adresse XXXX , nach dem Beschwerdeführer und erhielt eine mit dieser Adresse verknüpfte Bonitätsbewertung.

Am 10.07.2018 suchte die XXXX in der Datenbank der mitbeteiligten Partei nach dem Beschwerdeführer und erhielt eine Bonitätsbewertung, welche die Adresse XXXX , in die Berechnung des „Scores“ miteinbezog. Wäre zum Zeitpunkt 10.07.2018 die zweite Adresse XXXX , bereits gelöscht gewesen, wäre der von der mitbeteiligten Partei errechnete und übermittelte Bonitätscore des Beschwerdeführers um 11 Punkte höher gelegen.

Mit Auskunft vom 15.11.2018 informierte die mitbeteiligte Partei den Beschwerdeführer drittmalig über die Speicherung der Adresse XXXX , und die Empfänger (oben genannte Abfragen in der Datenbank vom 14.06. und 10.07.2018). Die Adresse XXXX , schien in dieser Auskunft nicht mehr auf.

Mit Schreiben vom 19.11.2018 teilte die mitbeteiligte Partei der Datenschutzbehörde mit, dem Auftrag des Beschwerdeführers auf Löschung der personenbezogenen Daten des Beschwerdeführers (hinsichtlich der Adresse XXXX ) nachträglich entsprochen zu haben. Daraufhin stellte die Datenschutzbehörde das Löschungsverfahren, GZ: DSB-D123.420, am 29.04.2019 (formlos) ein und teilte dies den Parteien mit.

Am 29.01.2019 brachte der Beschwerdeführer die verfahrensgegenständliche Datenschutzbeschwerde gegen die mitbeteiligte Partei ein. Der Beschwerdeführer machte darin auch geltend: Die unrichtige Adresse sei in der Identitäts- und Bonitätsdatenbank vor der Löschung von der mitbeteiligten Partei am 14.06.2018 der XXXX und am 10.07.2018 der XXXX übermittelt worden. Soweit erkennbar, sei die mitbeteiligte Partei ihren Verpflichtungen, diesen beiden Empfängern die Löschung der unrichtigen Daten mitzuteilen, allerdings bisher nicht nachgekommen.

Am 10.09.2020 richtete die mitbeteiligte Partei per E-Mail ein Schreiben an die XXXX und teilte dieser mit, dass zu den in den Jahren 2016-2018 getätigten Abfragen zum Beschwerdeführer die Adresse XXXX , sowie alle zugeordneten Zahlungserfahrungen nachträglich gelöscht wurden.

Frühestens am 10.11.2020 hat die mitbeteiligte Partei die XXXX über die nachträgliche Löschung der unrichtigen Adresse XXXX , und in diesem Zusammenhang über das berichtigte Ergebnis des berechneten Bonitätscores zum Beschwerdeführers vom 10.07.2018 informiert.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde und dem Gerichtsakt zur Zl. W101 2256689-1.

Einsicht genommen wurde auch im Gerichtsakt Zl. W137 2236019-1 zum Beschwerdeverfahren gegen den im Verfahrensgang genannten Teilbescheid der Datenschutzbehörde vom 20.08.2020.

Die obigen Feststellungen, dass weder der Beschwerdeführer noch eine andere namens- und geburtsdatumsgleiche Person zu keinem Zeitpunkt an der unrichtigen Adresse in XXXX gemeldet war, ergibt sich aus einer im Gerichtsakt aufliegenden historischen Abfrage aus dem Zentralen Melderegister (ZMR).

Es ist unstrittig, dass die mitbeteiligte Partei am 02.10.2017 dem Beschwerdeführer eine (aktiv beantragte) datenschutzrechtliche Auskunft zukommen hat lassen und dieser dadurch erstmalig von den über ihn verarbeiteten personenbezogenen Daten erfahren hat, nachdem seit März 2017 Forderungsbetreibungen gegen ihn stattgefunden hatten.

Unstrittig ist weiters, dass die mitbeteiligte Partei dem Löschungsbegehren des Beschwerdeführers vom 27.02.2018 hinsichtlich der Adresse XXXX , im November 2018 (spätestens am 15.11.2018) nachgekommen ist, welches am 29.04.2019 durch die Datenschutzbehörde formlos eingestellt wurde.

Darüber hinaus ist unstrittig, dass die mitbeteiligte Partei die XXXX am 10.09.2020 und die XXXX frühestens am 10.11.2020 von der erfolgten Löschung der personenbezogenen Daten des Beschwerdeführers bzw. der Berichtigung der errechneten Bonitätsbewertung informierte.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .).

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.3. Zu A)

3.3.1. Anzuwendende Rechtslage:

3.3.1.1. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4 – Begriffsbestimmungen:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.-6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. (…)

9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;

10. - 26. (…)

Artikel 5 – Grundsätze für die Verarbeitung personenbezogener Daten:

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 12 – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person:

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) - 7) (…).

Artikel 14 – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden:

(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) die Kategorien personenbezogener Daten, die verarbeitet werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;

g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2

a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,

b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,

c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit

a) die betroffene Person bereits über die Informationen verfügt,

b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,

c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder

d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.

Artikel 17 – Recht auf Löschung („Recht auf Vergessenwerden“):

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Artikel 19 – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung:

Der Verantwortliche teilt allen Empfängern, denen personenbezogenen Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung nach Artikel 16, Artikel 17 Absatz 1 und Artikel 18 mit, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Der Verantwortliche unterrichtet die betroffene Person über diese Empfänger, wenn die betroffene Person dies verlangt.

Artikel 77 – Recht auf Beschwerde bei einer Aufsichtsbehörde:

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.

3.3.1.2. Die maßgeblichen Bestimmungen des DSG:

Beschwerde an die Datenschutzbehörde:

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.3.2. Zu den Beschwerdegegenständen:

3.3.2.1. Der Beschwerdeführer macht gegenständlich eine Verletzung von Informationspflichten gemäß Art. 14 DSGVO, eine Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO und eine Verletzung der Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten gemäß Art. 19 DSGVO durch die mitbeteiligte Partei geltend.

Nach der Rechtsprechung des Verwaltungsgerichtshofes ist nur bei der Beurteilung der Rechtmäßigkeit eines – vor in Kraft treten der DSGVO am 25.05.2018 – abgeschlossenen Vorgangs einer möglichen Datenschutzverletzung die alte Rechtslage des DSG 2000 anzuwenden (vgl. VwGH 06.03.2024, Ro 2021/04/0037; 23.02.2021, Ra 2019/04/0054).

Im gegenständlichen Fall macht der Beschwerdeführer Verletzungen von in der DSGVO verankerten Rechten geltend. Da der Vorgang der zu beurteilenden Datenschutzverletzungen am 25.05.2018 und somit zum Zeitpunkt des Inkrafttretens der DSGVO noch nicht abgeschlossen war, ist auf den vorliegenden Sachverhalt die neue Rechtslage (DSGVO und DSG) anzuwenden.

Vorweg ist festzuhalten, dass es sich bei den von der mitbeteiligten Partei in ihrer Identitäts- und Bonitätsdatenbank verarbeiteten Daten iSd Art. 4 Z 2 DSGVO um personenbezogene Daten des Beschwerdeführers iSd Art. 4 Z 1 DSGVO handelt, da dieser eindeutig mit seinem Namen und Geburtsdatum identifiziert ist. Offenlegung ist ein Unterfall der Verarbeitung nach Art. 4 Z 2 DSGVO und erfasst nach dem Wortlaut die Übermittlung, Verbreitung inklusive der Veröffentlichung oder jede andere Form der Bereitstellung. Damit liegt eine Offenlegung vor, wenn ein beschränkter oder ein unbeschränkter Personenkreis Zugriff auf die Daten bekommen hat (vgl. Haidinger in Knyrim, DatKomm Art. 19 DSGVO Rz 13 (Stand 01.07.2024, rdb.at)). Gegenständlich hat die mitbeteiligte Partei am 14.06.2018 die XXXX und am 10.07.2018 die XXXX Abfragen in ihrer Identitäts- und Bonitätsdatenbank tätigen lassen und diesen dadurch die personenbezogenen Daten des Beschwerdeführers offengelegt.

Bei der mitbeteiligten Partei handelt es sich um eine Verantwortliche iSd Art. 4 Z 7 DSGVO, da diese über die Mittel und Zwecke der Verarbeitung von Daten in ihrer Identitäts- und Bonitätsdatenbank entscheidet.

Der sachliche Anwendungsbereich der DSGVO ist somit eröffnet (Art. 2 Abs. 1 DSGVO).

3.3.2.2. I. Zum Recht auf Information:

In seinem ersten Beschwerdepunkt moniert der Beschwerdeführer eine Verletzung von Informationspflichten gemäß Art. 14 DSGVO, da die mitbeteiligte Partei personenbezogene Daten über den Beschwerdeführer bei Dritten erhoben bzw. von diesen erhalten und gespeichert hat, ohne diesen darüber in Kenntnis zu setzen.

Die betroffene Person soll gemäß Art. 14 DSGVO grundlegend über die Tatsache in Kenntnis gesetzt werden, dass Daten über sie verarbeitet werden, wenn diese nicht bei der betroffenen Person direkt erhoben werden. Die sohin informierte betroffene Person wird dadurch in die Lage versetzt, erkennen zu können, dass Daten über sie verarbeitet werden, zu verstehen, was damit einhergeht und hat die Möglichkeit, Betroffenenrechte auszuüben oder sich im Falle einer Verletzung ihrer Rechte zu beschweren. Die Informationspflichten dienen somit auch der effektiven Rechtsdurchsetzung (vgl. Illibauer in Knyrim, DatKomm Art. 14 DSGVO Rz 1 (Stand 01.07.2024, rdb.at)).

Obwohl die gegenständlichen Daten nicht beim Beschwerdeführer erhoben wurden, hat dieser von der mitbeteiligten Partei zu den Zeitpunkten des Erhebens und Erfassens in der Identitäts- und Bonitätsdatenbank keine Information über die Verarbeitung seiner personenbezogenen Daten erhalten. Über sein Auskunftsersuchen hat der Beschwerdeführer am 02.10.2017 erstmals von der mitbeteiligten Partei beauskunftet bekommen, dass zu seiner Person in der Datenbank zwei Adressen gespeichert sind. Letztlich wurde der Beschwerdeführer mit der dritten Auskunft vom 15.11.2018 indirekt darüber informiert, dass die unrichtige Adresse XXXX , nun gelöscht wurde.

Die Datenschutzbehörde begründete die Abweisung der Datenschutzbeschwerde des Beschwerdeführers hinsichtlich der geltend gemachten Verletzung im Recht auf Information gemäß Art. 14 DSGVO damit, dass ein Recht auf Feststellung einer in der Vergangenheit erfolgten Verletzung subjektiver Rechte, vom Geheimhaltungsrecht abgesehen, weder im DSG noch in der DSGVO vorgesehen sei. Ein solches Recht könne auch weder aus Art. 77 DSGVO noch aus den Aufgaben und Befugnissen der Aufsichtsbehörde abgeleitet werden.

Die Datenschutzbehörde stützte sich mit dieser Argumentation auf Meinungen, die sowohl in der Literatur (z.B. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 13 DSGVO Rz 20 (Stand 1.12.2020, rdb.at)) als auch in der Judikatur vertreten wurden:

So hat der Verwaltungsgerichtshof im Zusammenhang mit den Betroffenenrechten auf Auskunft, Berichtigung oder Löschung einerseits und auf Geheimhaltung andererseits früher in seiner Judikatur ausgeführt: Der Verwaltungsgerichtshof hat bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Art. 4 Z 7 DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden. Dies ist für die geltende Rechtslage nicht anders zu beurteilen (RS VwGH 19.10.2022, Ro 2022/04/001). Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen – anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG – jeweils einen Anspruch auf eine bestimmte Leistung. Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht. Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. § 1 Abs. 1 DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen. Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (hier: Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann (RS VwGH 19.10.2022, Ro 2022/04/0001).

Auch die frühere Judikatur des Bundesverwaltungsgerichtes zu Art. 14 DSGVO hat sich bei der Informationspflicht darauf fokussiert, dass der betroffenen Person die ihr zustehenden Informationen erteilt wurden bzw. mittlerweile zugekommen sind (vgl. BVwG 09.08.2021, W211 2222613-2; BVwG 09.12.2021, W214 2225733-1; BVwG 20.02.2023, W214 2253843-1; BVwG 26.06.2023, W108 2249288-1).

In einer rezenten Entscheidung hat der Verwaltungsgerichtshof am 06.03.2024 seine Judikatur weiterentwickelt und nun zum Recht auf Information gemäß Art. 14 DSGVO ausgeführt, dass dieses zwar in Kapitel III der DSGVO („Rechte der betroffenen Person“) geregelt ist, allerdings sich diese Regelung von den in den Art. 15 ff DSGVO geregelten Rechten auf Auskunft, Berichtigung, Löschung (u.ä.) dadurch unterscheidet, dass das Recht auf Erhalt von Informationen nach Art. 14 DSGVO – anders als die Rechte nach den Art. 15 ff DSGVO – nicht von einem Antrag der betroffenen Person abhängig ist. Die Informationspflicht des Verantwortlichen nach Art. 14 DSGVO besteht unabhängig von einem vorherigen Antrag der betroffenen Person. Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen (im Sinn der oben dargestellten Rechtsprechung) zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann. Insofern ist diese Rechtsverletzung mit der in dieser Hinsicht mit der durch das Erkenntnis des Verwaltungsgerichtshofes Ro 2022/04/0001 klargestellten Rechtslage im Fall der Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG vergleichbar (vgl. VwGH 06.03.2024, Ro 2021/04/0030, insb. Rz 78f).

Daraus folgt für den vorliegenden Fall, dass – entgegen der rechtlichen Beurteilung der Datenschutzbehörde – die Feststellung einer bereits abgeschlossenen und in der Vergangenheit liegenden Rechtsverletzung des Art. 14 DSGVO möglich ist. Auch das Vorbringen, dass alle nach Art. 14 DSGVO mitzuteilenden Information in der Auskunft der Verantwortlichen vom 15.11.2018 enthalten gewesen seien, ändert daran nichts, da – wie soeben dargestellt – Art. 14 DSGVO keiner nachträglichen Beseitigung des rechtswidrigen Zustands durch eine Auskunft gemäß Art. 15 DSGVO zugänglich ist.

In diesem Zusammenhang ergibt sich aus dem Verwaltungsakt weiters, dass die durch die mitbeteiligte Partei aufgeworfene Ausnahme des Art. 14 Abs. 5 lit. a DSGVO, wonach die Art. 14 Abs. 1 - 4 DSGVO keine Anwendung finden würden, wenn die betroffene Person bereits über die Informationen verfüge, nicht einschlägig ist. Dies kann nur der Fall sein, wenn die von einem Verantwortlichen verarbeiteten Daten bereits im Zeitpunkt, in welchem die Informationspflicht zu erfüllen gewesen wäre, bei der betroffenen Person vorhanden sind (vgl. VwGH 06.03.2024, Ro 2021/04/0030). Der Verwaltungsgerichtshof führt in dieser rezenten Entscheidung zum Telos der Informationspflicht – mit Verweis auf die mit Art. 13 und 14 DSGVO dem Grunde nach vergleichbaren Vorgängerregelungen der Art. 10 und 11 der Richtlinie 95/46 sowie der dazu einschlägigen EuGH-Rechtsprechung – aus, dass das Erfordernis der Unterrichtung, der von der Verarbeitung ihrer personenbezogenen Daten betroffenen Personen, die Voraussetzung dafür schafft, dass diese ihr Auskunfts- und Berichtigungsrecht sowie ihr Recht, der Verarbeitung der Daten zu widersprechen, ausüben können (vgl. EuGH 01.10.2015, C-201/14, Smaranda Bara ua., Rn. 33 f; vgl. weiters EuGH 07.05.2009, C-553/07, Rijkeboer, Rn. 68). Zudem ergibt sich aus der Judikatur des EuGH, dass Ausnahmen nach (dort: Art. 2) der DSGVO eng auszulegen sind (vgl. EuGH 16.01.2024, C-33/22, Österreichische Datenschutzbehörde, Rn. 37).

Der Beschwerdeführer hat im gegenständlichen Fall – wie festgestellt – erst aufgrund mehrerer (aktiv) gestellter Auskunftsersuchen, als Folge von ungerechtfertigten Forderungsbetreibungen gegen seine Person, von den Datenverarbeitungen in der Identitäts- und Bonitätsdatenbank der mitbeteiligten Partei erfahren. Dies durch die Auskünfte der mitbeteiligten Partei vom 02.10.2017, 28.02.2018 und 15.11.2018. Das Vorliegen des Ausnahmetatbestands des Art. 14 Abs. 5 lit. a DSGVO ist hier somit ausgeschlossen.

Die Plicht zur Information gemäß Art. 14 DSGVO trifft den Verantwortlichen (Illibauer in Knyrim, DatKomm Art. 14 DSGVO Rz 2 (Stand 01.07.2024, rdb.at)). Soweit die mitbeteiligte Partei vor der Datenschutzbehörde ausführte, dass sie die Informationsverpflichtung dadurch sicherstelle, dass sie Dritte, von welchen sie personenbezogene Daten erhalte, vertraglich dazu verpflichte, die betroffenen Personen zu informieren, kann vor dem Hintergrund der eindeutigen Verantwortlicheneigenschaft der mitbeteiligten Partei, dieser nicht zum Durchbruch ihrer Argumente verhelfen.

Auch das vor der Datenschutzbehörde vorgebrachte Argument zur Sicherstellung der Informationspflicht gemäß Art. 14 DSGVO durch die im Internet leicht zugängliche Datenschutzerklärung der mitbeteiligten Partei läuft ins Leere. Der Verwaltungsgerichtshof führt auch dazu in seinem rezenten Erkenntnis aus, dass die Regelung zur Informationspflicht ein aktives Handeln des Verantwortlichen – ohne vorausgehenden Antrag der betroffenen Person – erfordert. Die Pflicht zur Mitteilung der Informationen ist Voraussetzung dafür, dass die betroffene Person ihre Betroffenenrechte ausüben kann. Um dieser Funktion gerecht zu werden, ist es aber wiederum erforderlich, dass diese Informationen für die betroffene Person leicht zugänglich sind. Dies kann – wie auf den gegenständlichen Sachverhalt zutreffend – im Fall, in dem die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden sind, die betroffene Person auch sonst in keiner Verbindung mit dem Verantwortlichen steht und daher keine Kenntnis von einer Verarbeitung ihrer personenbezogenen Daten durch einen Verantwortlichen haben muss, durch die bloße Möglichkeit der Abrufbarkeit einer Datenschutzerklärung auf einer Website nicht gewährleistet werden (vgl. VwGH 06.03.2024, Ro 2021/04/0030; in diesem Sinn auch Knyrim in Ehmann/Selmayr [Hrsg.], 3. Auflage, DS-GVO Art. 14 Rz 16; Greve in Sydow/Marsch [Hrsg.], 3. Auflage, DS-GVO/BDSG Art. 12 Rz 20; Bäcker in Kühling/Buchner [Hrsg.], 4. Auflage, DS-GVO, Art. 14 Rz 41).

Aus den dargelegten Gründen handelt es sich beim Recht auf Information gemäß Art. 14 DSGVO um ein Dauerdelikt, das mit dem Zeitpunkt der Erhebung bzw. dem Erfassen der Daten der/des Betroffenen beginnt und solange andauert bis dieser von der/dem Verantwortlichen über die Verarbeitung seiner Daten informiert wird. Wenn dem Betroffenen die ihm zustehenden Informationen mittlerweile zugekommen sind, was im gegenständlichen Fall aufgrund der Auskunftserteilung am 15.11.2018 zutrifft, bleibt die Feststellung zu treffen, dass die Verantwortliche gegenüber dem Beschwerdeführer in der Vergangenheit die Informationspflicht gemäß Art. 14 DSGVO verletzt hat.

Sogar der grundsätzliche Telos der DSGVO, allen von einer Datenschutzverletzung betroffene Personen eine Beschwerdemöglichkeit einzuräumen, spricht für eine derartige Interpretation. So wird in Art. 77 DSGVO bestimmt, dass betroffene Personen das Recht auf Beschwerde bei einer Aufsichtsbehörde haben, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung „verstößt“. In diesem Sinn ist auch § 24 Abs. 1 DSG formuliert. Dies bedingt, dass eine in der Vergangenheit stattgefundene Datenschutzverletzung nicht vollständig beseitigt wurde oder beseitigt werden konnte, sondern in irgendeiner Form noch fortwirkt.

Europarechtliche Überlegungen stehen einer derartigen Interpretation ebenso wenig entgegen, weil die DSGVO zwar einerseits den Aufsichtsbehörden kein Recht einräumt, Verletzungen der DSGVO in rechtlich verbindlicher Weise festzustellen (Art 58 Abs. 1 bis 3 DSGVO), sie aber andererseits den Mitgliedstaaten die Befugnis gewährt, ihren Aufsichtsbehörden ergänzende Abhilfebefugnisse einzuräumen (Art 58 Abs. 6 DSGVO).

Da dem Spruchpunkt 2. des o. a. Bescheides daher eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG anhaftet, war der dagegen erhobenen Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 2 DSG idgF spruchgemäß stattzugeben.

3.3.2.3. II. Zum Recht auf Löschung:

Der Beschwerdeführer begehrt in seinem zweiten Beschwerdepunkt die Feststellung, dass er in seinem Recht auf Löschung verletzt worden und die Löschung der unrichtigen Adresse verspätet erfolgt sei.

Diesem Beschwerdevorbringen kann aus nachstehenden Gründen nicht gefolgt werden:

Art. 17 DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung.

Wie die Datenschutzbehörde in ihrer rechtlichen Beurteilung hinsichtlich des Spruchteils 3. des o. a. Bescheides bereits ausgeführt hat, wurde die Löschung der unrichtigen Adresse, die die mitbeteiligte Partei bis November 2018 in ihrer Identitäts- und Bonitätsdatenbank verarbeitete, in einem (vorangegangenen) Verwaltungsverfahren vor der Datenschutzbehörde bearbeitet bzw. damit erledigt, dass dieses am 29.04.2019 gemäß § 24 Abs. 6 DSG (formlos) eingestellt wurde. Die mitbeteiligte Partei hatte in diesem Verwaltungsverfahren mit Schreiben vom 19.11.2018 der Datenschutzbehörde mitgeteilt, die vom Beschwerdeführer begehrte Löschung nachträglich durchgeführt zu haben.

Darüber hinaus ist das Rechtsschutzbegehren von Art. 17 DSGVO – konträr zum Recht auf Geheimhaltung und Information – auf die Erlangung einer bestimmten Leistung gerichtet, mit dessen Erfüllung davon auszugehen ist, dass der Betroffene sein Rechtsschutzziel erreicht hat.

Im konkreten Fall ist es unstrittig, dass die mitbeteiligte Partei die vom Beschwerdeführer als unrichtig monierte Adresse spätestens am 15.11.2018 aus ihrer Datenbank gelöscht hatte. Zum Entscheidungszeitpunkt der Datenschutzbehörde hat die mitbeteiligte Partei somit die in Frage stehende Adresse nicht mehr verarbeitet.

Die Datenschutzbehörde hat daher zu Recht gemäß § 24 Abs. 5 Satz 3 DSG die Beschwerde in diesem Punkt abgewiesen, da sich aus diesem Grund die Datenschutzbeschwerde hinsichtlich des Rechts auf Löschung als nicht (mehr) berechtigt erwiesen hat.

Da dem angefochtenen Spruchteil 3. des o. a. Bescheides aus den dargelegten Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 5 DSG idgF spruchgemäß abzuweisen.

3.3.2.4. III. Zur Mitteilungspflicht gemäß Art. 19 DSGVO:

Der Beschwerdeführer begehrt in seinem dritten Beschwerdepunkt die Feststellung, dass die mitbeteiligte Partei ihrer Pflicht zur Mitteilung der Löschung bzw. Berichtigung einer unrichtigen Adresse gegenüber zwei Empfängern erst verspätet nachgekommen sei.

Wie bereits festgestellt, hat die Löschung der unrichtigen Adresse in der Identitäts- und Bonitätsdatenbank spätestens am 15.11.2018 durch die mitbeteiligte Partei stattgefunden, jedoch sind erst am 10.09.2020 die XXXX und frühestens am 10.11.2020 die XXXX über die nachträglich erfolgte Löschung der unrichtige Adresse informiert worden.

Die Bestimmung des Art. 19 DSGVO enthält eine weitere Pflicht des Verantwortlichen, falls Daten auf Antrag einer betroffenen Person gelöscht (Art. 17 DSGVO) wurden, sohin einen Begleitanspruch der betroffenen Person. Der Verantwortliche hat jeden Empfänger, dem er die Daten offengelegt hat, zu informieren, es sei denn, dies wäre unmöglich oder mit einem unverhältnismäßig hohen Aufwand verbunden. Kommt der Verantwortliche dieser Pflicht nicht nach, kann die betroffene Person einen Antrag stellen (vgl. Haidinger in Knyrim, DatKomm Art. 19 DSGVO Rz 1, 19 (Stand 01.07.2024, rdb.at)).

Art. 19 DSGVO ist nach seinem Wortlaut nicht als Recht der betroffenen Person formuliert, sondern als Pflicht des Verantwortlichen. Diese wird daher bei Vorliegen der Voraussetzungen ohne weiteren Antrag der betroffenen Person ausgelöst. Kommt der Verantwortliche dieser Pflicht nicht nach, kann die betroffene Person einen Antrag stellen. Der Verantwortliche hat eine eigenständige Verpflichtung zur Mitteilung (vgl. Haidinger in Knyrim, DatKomm Art. 19 DSGVO Rz 9f (Stand 01.07.2024, rdb.at)).

Die Mitteilungspflicht gemäß Art. 19 DSGVO steht unter zwei Voraussetzungen. Ein erfolgreich durchgesetzter Antrag der betroffenen Person auf Löschung (Art. 17 Abs. 1 DSGVO) bzw. eine eigenständige Löschung des Verantwortlichen nach Art 17 Abs. 1 DSGVO. Der Verantwortliche muss daher die (beantragte) Maßnahme (hier Löschung) erfüllt haben. Zudem hat der Verantwortliche Daten der betroffenen Person Empfängern aktiv offengelegt (vgl. Haidinger in Knyrim, DatKomm Art. 19 DSGVO Rz 13 (Stand 01.07.2024, rdb.at)).

Wie bereits festgestellt, hat die mitbeteiligte Partei die unrichtige Adresse des Beschwerdeführers nachträglich im November 2018 gelöscht. Vor dieser Löschung hat die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers sowohl gegenüber der XXXX als auch der XXXX durch eine Abfragemöglichkeit in ihrer Datenbank offengelegt und dadurch Bonitätsauskünfte über den Beschwerdeführer an diese übermittelt (siehe zur Offenlegung oben 3.3.2.1.). Die Voraussetzungen zur aktiven und antragslosen Pflicht des Verantwortlichen, eine Mitteilung gemäß Art. 19 DSGVO an die Empfänger der gelöschten unrichtigen Adressen zu richten, sind somit erfüllt.

Die Datenschutzbehörde stützte die Abweisung dieses Vorbringens in der Datenschutzbeschwerde darauf, dass die mitbeteiligte Partei ihrer Mitteilungspflicht während des laufenden Verfahrens nachgekommen sei und daher auch hier der Beschwerdeführer durch Beseitigung der Beschwer gemäß § 24 Abs. 6 DSG klaglos gestellt worden sei.

Zur Frage der Feststellungen von Datenschutzverletzungen in der Vergangenheit, welche nicht mehr aktuell sind, ist auf die Ausführungen zum Recht auf Information gemäß Art. 14 DSGVO zu verweisen und bleibt darüber hinaus hervorzuheben:

Ähnlich der Bestimmung des Art. 14 DSGVO ist Bestimmung des Art. 19 DSGVO gerade nicht vom Antrag einer betroffenen Person abhängig und verbürgt eine Pflicht des Verantwortlichen zum eigenständigen Tätigwerden. Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen (im Sinn der bereits dargestellten Rechtsprechung) zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person rückwirkend wieder beseitigt werden kann.

Insofern ist diese Datenschutzverletzung des Art. 19 DSGVO mit der durch das Erkenntnis des Verwaltungsgerichtshofes Ro 2022/04/0001 klargestellten Rechtslage im Fall der Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG vergleichbar (vgl. oben 3.3.2.2.). Auch § 24 Abs. 5 zweiter Satz DSG sieht einen (an Verantwortliche des privaten Bereichs gerichteten) Auftrag nur bezüglich der Anträge des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung vor. Eine nachträgliche Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen im Zusammenhang mit dem Recht auf Mitteilung nach Art. 19 DSGVO wird hingegen nicht angesprochen.

Das Vorliegen eines Ausnahmetatbestands des Art. 19 DSGVO wurde von der mitbeteiligten Partei nicht behauptet und ist für den erkennenden Senat auch nicht ersichtlich.

Im Ergebnis ist die mitbeteiligte Partei ihrer Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten des Beschwerdeführers nicht nachgekommen.

Da dem angefochtenen Spruchteil 4. des o. a. Bescheides aus den dargelegten Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG anhaftet, war der dagegen erhobenen Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 2 DSG idgF spruchgemäß stattzugeben.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Der Beschwerdeführer hat keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt.

Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt bereits aus der Aktenlage geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12). Ebenso nach der Rechtsprechung des Verwaltungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn die Voraussetzungen hinsichtlich der Klärung des Sachverhalts gegeben sind und auch keine Rechtsfragen aufgeworfen werden, für die eine Erörterung in einer mündlichen Verhandlung erforderlich wäre (vgl. RS VwGH 19.10.2022, Ro 2022/04/0001).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.

3.5. Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (wie oben unter 3.3.2. ausgeführt), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.