Bundesverwaltungsgericht W101 2259199-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 04.12.2025
• ECLI: ECLI:AT:BVWG:2025:W101.2259199.1.00

Spruch

W101 2259199-1/12E

W101 2259199-3/7E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerden der XXXX , vertreten durch BS Böhmdorfer Schender Völk Rechtsanwälte GmbH, gegen die Spruchteile 1. und 2. des Teilbescheides (I.) der Datenschutzbehörde vom 29.07.2022, Zl. D124.0440/22 2022-0287.388, und gegen die Spruchteile 2. und 3. des Teilbescheides (II.) der Datenschutzbehörde vom 31.07.2025, Zl. D124.0440/22 2025-0.614.374, betreffend eine Verletzung im Recht auf Auskunft zu Recht erkannt:

A)

Die Beschwerden werden gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

Am 15.03.2022 brachte XXXX (= Antragstellerin vor der Datenschutzbehörde und mitbeteiligte Partei vor dem Bundesverwaltungsgericht) eine Datenschutzbeschwerde gegen die XXXX (= Beschwerdegegnerin vor der Datenschutzbehörde und Beschwerdeführerin vor dem Bundesverwaltungsgericht) bei der Datenschutzbehörde ein, weil sie in ihrem Recht auf Auskunft verletzt worden sei. Sie begründete ihre Datenschutzbeschwerde im Wesentlichen folgendermaßen:

Die Beschwerdeführerin sei dem Auskunftsbegehren der mitbeteiligten Partei nur unzureichend nachgekommen, weil ihre Fragen unvollständig bzw. überhaupt nicht beantwortet worden seien. Der Eingabe war das Auskunftsersuchen der mitbeteiligten Partei vom 06.07.2021 und ein Antwortschreiben der Beschwerdeführerin 05.08.2021 als Beilagen angeschlossen.

Mit Eingabe vom 31.03.2022 führte die Beschwerdeführerin zur Datenschutzbeschwerde der mitbeteiligten Partei im Wesentlichen folgendes aus:

Die erhobene Datenschutzbeschwerde sei zur Gänze unberechtigt und habe die Beschwerdeführerin ihre Auskunftspflicht gegenüber der mitbeteiligten Partei ordnungsgemäß erfüllt. Über die Daten, welche aus öffentlichen Registern stammen würden, von der mitbeteiligten Partei selbst publiziert worden seien oder mit ihr geführte Korrespondenz beinhalten würden, habe die Beschwerdeführerin keine Auskunft erteilen müssen, da im erstgenannten Fall die Speicherung oder Offenlegung gesetzlich geregelt sei und im zweitgenannten Fall die mitbeteiligte Partei davon ohnehin Kenntnis habe. Die Beschwerdeführerin verweise auf den ErwGr. 62 DSGVO. Die Beweiszwecke und die deshalb auf unbestimmte Dauer erfolgende Datenspeicherung ergebe sich daraus, dass die mitbeteiligte Partei in der Vergangenheit immer wieder feindselig gegenüber der Beschwerdeführerin und andere Personen agiert habe. Die mitbeteiligte Partei versuche auch an Informationen zu gelangen, an denen die Beschwerdeführerin ein berechtigtes Geheimhaltungsinteresse habe. Die Beschwerdeführerin müsse sich daher auf eine allenfalls erforderliche Geltendmachung von Rechtsansprüchen gegen die mitbeteiligte Partei vorbereiten, insbesondere solche nach §§ 111, 115, 152 StGB und §§ 16, 1330 ABGB. Der Eingabe waren Screenshots der Webseite der mitbeteiligten Partei und eine Korrespondenz vom 09.07.2021 sowie 07.07.2021 angeschlossen.

Mit Replik vom 18.04.2022 führte die mitbeteiligte Partei ergänzend aus, dass es weiterhin an den folgenden Auskünften durch die Beschwerdeführerin mangle:

den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters; gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

die Empfänger der personenbezogenen Daten;

die Dauer, für die die personenbezogenen Daten gespeichert werden bzw. die heranzuziehenden Kriterien;

alle anderen maßgeblichen Informationen gemäß Art. 15 Abs. 2 DSGVO.

Darüber hinaus liege ein schwerwiegender Datenmissbrauch durch die Beschwerdeführerin vor, da diese über Daten aus einem Dienstverhältnis der mitbeteiligten Partei verfüge. Diese sei bis Ende 1996 eine Angestellte bei einer Gesellschaft gewesen, wobei es sich bei dieser Gesellschaft nicht um die Beschwerdeführerin gehandelt habe.

Mit dem hier nicht verfahrensgegenständlichen Teilbescheid vom 29.07.2022, GZ. D124.0440/22 2022-0.551.246, setzte die Datenschutzbehörde das verwaltungsbehördliche Verfahren hinsichtlich der Frage, ob eine Verletzung von Art. 15 Abs. 1 lit. c DSGVO vorliege, gemäß § 38 AVG bis zur rechtskräftigen Entscheidung durch den Gerichtshof der Europäischen Union in den Rechtssachen C-154/21 aus. Das Beschwerdeverfahren betreffend diesen Teilbescheid, GZ. D124.0440/22/2022-0.551.246, wurde mit Beschluss des Bundesverwaltungsgerichtes vom 16.06.2025, Zl. W101 2259199-2/7E, als gegenstandlos eingestellt.

Mit den Spruchteilen 1. und 2. des Teilbescheides (I.) vom 29.07.2022, GZ. D124.0440/22 2022-0.287.388, gab die Datenschutzbehörde der Datenschutzbeschwerde (ohne über Art. 15 Abs. 1 lit. c DSGVO abzusprechen) teilweise statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt habe, indem sie keine vollständige Auskunft hinsichtlich Art. 15 Abs. 1 zweiter Satz, lit. b, lit. d, lit. e, lit. f, lit. h und Abs. 2 DSGVO erteilt bzw. unzureichend begründet habe, weshalb keine vollständige Auskunft erteilt worden sei (Spruchteil 1.). Der Beschwerdeführerin wurde aufgetragen die in Spruchteil 1. genannten Informationen binnen 2 Wochen bei sonstiger Exekution zu beauskunften (Spruchteil 2.).

In diesem Teilbescheid (I.) traf die Datenschutzbehörde hinsichtlich der Spruchteile 1. und 2. im Wesentlichen folgende Sachverhaltsfeststellungen:

Die mitbeteiligte Partei habe am 06.07.2021 ein Auskunftsersuchen an die Beschwerdeführerin gestellt. Der Inhalt dieses Auskunftsersuchens wurde festgestellt.

Die Beschwerdeführerin habe auf das Auskunftsersuchen der mitbeteiligten Partei am 05.08.2021 geantwortet. Der Inhalt dieses Antwortschreibens wurde festgestellt.

Die mitbeteiligte Partei habe am 15.03.2022 Beschwerde erhoben.

Im Rahmen des Verfahrens vor der Datenschutzbehörde habe die Beschwerdeführerin am 31.03.2022 eine Stellungnahme abgegeben. Der Inhalt dieser Stellungnahme wurde festgestellt.

Der Stellungnahme vom 31.03.2022 seien Screenshots von der Webseite der mitbeteiligten Partei „ XXXX “ angeschlossen gewesen sowie eine Korrespondenz des Rechtsvertreters der Beschwerdeführerin mit der mitbeteiligten Partei vom 07.07.2021 und 09.07.2021. Der Inhalt der Korrespondenzen vom 07.07.2021 und 09.07.2021 wurde festgestellt.

Auf Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen:

Eine betroffene Person habe gemäß Art. 15 DSGVO das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet würden. Sofern dies der Fall sei, habe die betroffene Person auch das Recht auf Auskunft über diese personenbezogenen Daten und über die in Art. 15 Abs. 1 lit. a bis h DSGVO angeführten Informationen, ferner gegebenenfalls zusätzlich über die Informationen gemäß Abs. 2 der Bestimmung. Eine Auskunft gemäß Art. 15 DSGVO müsse demnach jedenfalls die über die betroffene Person konkret verarbeiteten personenbezogenen Daten („Stammdaten“) sowie die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO („Metadaten“) enthalten. Alle Mitteilungen gemäß Art. 15 DSGVO, die sich auf die Verarbeitung beziehen würden, seien der betroffenen Person vom Verantwortlichen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln (Art. 12 Abs. 1 DSGVO).

Es könne weder der Auskunft vom 05.08.2021 noch der Eingabe vom 31.03.2022 die Mitteilung der „Stammdaten“ durch die Beschwerdeführerin an die mitbeteiligte Partei entnommen werden. Zudem könne der Auskunft auch die Kategorien personenbezogener Daten, die verarbeitet würden (Art. 15 Abs. 1 lit. b DSGVO), um der betroffenen Person eine Grundorientierung zu bieten, nicht entnommen werden. Darüber hinaus erweise sich die erteilte Auskunft über die geplante Speicherdauer der personenbezogenen Daten der mitbeteiligten Partei (Art. 15 Abs. 1 lit. d DSGVO) als unvollständig bzw. rechtswidrig, mangle es an der notwendigen Information über das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch (Art. 15 Abs. 1 lit. e DSGVO) sowie das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Art. 15 Abs. 1 lit. f DSGVO). Abschließend gehe aus den erteilten Auskünften keine Aussage zum Bestehen oder Nichtbestehen einer automatisierten Entscheidungsfindung einschließlich Profiling hervor (Art. 15 Abs. 1 lit. h DSGVO) oder ob eine Übermittlung von Daten an ein Drittland stattfinde bzw. stattgefunden habe (Art. 15 Abs. 2 DSGVO). Zum Vorbringen der Beschwerdeführerin, dass sie die Daten nicht beauskunften müsse, da diese (zum Teil) allgemein verfügbar seien, stehe fest, dass Gegenstand des Anspruchs gemäß Art. 15 DSGVO die auf die betroffene Person bezogenen Daten seien, über welche der Verantwortlichen zum Zeitpunkt der Auskunftserteilung verfüge. Eine allgemeine Verfügbarkeit von Daten der mitbeteiligten Partei habe folglich keinen Einfluss auf die gemäß Art. 15 DSGVO zu erteilende Auskunft über die bei der Beschwerdeführerin vorhandenen Daten der mitbeteiligten Partei. Soweit die Beschwerdeführerin behaupte, dass die Auskunftserteilung ihrem Geheimhaltungsinteresse (zur Durchsetzung von zivilen Ansprüchen) widerspreche, habe das Bundesverwaltungsgericht in einer anderen Sache bereits ausgesprochen, dass kein absolutes Ablehnungsrecht, sondern eine Interessensabwägung im Einzelfall vorgenommen werden müsse. Die Beschwerdeführerin habe jedoch weder ausgeführt, inwiefern die Beauskunftung der genannten Daten ihre Prozessposition schwächen würde, noch habe sie dargelegt, warum ihr Geheimhaltungsinteresse überwiege.

Gemäß § 24 Abs. 5 DSG iVm Art. 58 Abs. 2 lit c DSGVO war der Beschwerdeführerin daher im Ergebnis aufzutragen, der mitbeteiligten Partei eine vollständige Auskunft zu erteilen.

Mit rechtzeitiger Beschwerde vom 03.08.2022 brachte die Beschwerdeführerin u.a. gegen die im Spruch genannten Spruchteile des Teilbescheides (I.) der Datenschutzbehörde vom 29.07.2022 zusammengefasst vor:

Die betroffenen Daten und Datenkategorien würden sich zweifelsfrei aus deren Herkunft, worüber der mitbeteiligten Partei konkret Auskunft erteilt worden sei, ergeben. Gesonderte Angaben, insbesondere soweit die betreffenden Daten von der Beschwerdeführerin selbst veröffentlicht worden seien, müssten nicht erteilt werden. Die durch Art. 15 DSGVO der betroffenen Person eingeräumte Möglichkeit der Überprüfung ihrer personenbezogenen Daten sei der mitbeteiligten Partei ohne weiteres möglich, weil diese ohne weiteres in den von der Beschwerdeführerin angeführten öffentlichen Registern zugänglich, oder von der Beschwerdeführerin selbst veröffentlicht worden seien.

Die durch die Beschwerdeführerin erteilte Auskunft sei im angefochtenen Bescheid nur unvollständig wiedergegeben. Die Datenverarbeitung erstrecke sich ausschließlich auf eine Erfassung und Speicherung zur internen Information und Dokumentation und sei damit auch klargestellt, dass keine Weitergabe von Daten erfolge oder erfolgt sei. Entgegen der Ansicht der Datenschutzbehörde sei die Speicherung der Daten „auf unbestimmte Dauer“ zu Beweiszwecken ausreichend genau und eine Speicherung über die Dauer der Verjährungsfristen erforderlich. Da das Auskunftsbegehren der mitbeteiligten Partei erkennen lasse, dass diese bereits umfassend über ihre Rechte nach DSGVO und des DSG informiert gewesen sei, habe die Beschwerdeführerin keine Pflicht getroffen, die mitbeteiligte Partei über ihre Rechte nach der DSGVO bzw. dem Beschwerderecht bei der Aufsichtsbehörde zu informieren.

Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge eine mündliche Verhandlung durchführen, die angefochtenen Spruchteile 1. und 2. des Teilbescheides (I.) ersatzlos aufheben, in eventu diese aufheben und zur Verfahrensergänzung sowie neuerlichen Entscheidung an die Datenschutzbehörde zurückverweisen.

Mit Stellungnahme vom 05.08.2022 brachte die Beschwerdeführerin – auf Nachfrage der Datenschutzbehörde – ergänzend vor, dass sich aus der Mitteilung, dass die Datenverarbeitung auf das Erfassen und das Speichern der Daten beschränkt sei, ergebe, dass keine Weitergabe bzw. Übermittlung der personenbezogenen Daten der mitbeteiligten Partei erfolgen würde. In Zukunft könne eine Übermittlung zu Beweiszwecken an einen Parteienvertreter, ein Gericht oder eine Behörde stattfinden.

Mit Stellungnahme vom 10.08.2022 erwiderte die mitbeteiligte Partei soweit wesentlich, dass sich auch nach der Mitteilung der Beschwerdeführerin vom 05.08.2022, die erteilte Auskunft als nach wie vor unvollständig erweise und die Behauptung der Beschwerdeführerin, dass sie Daten der mitbeteiligten Partei nicht veröffentlichen oder weitergeben würde, nachweislich unwahr sei. Da ein weiteres Unternehmen, nämlich die XXXX , laut E-Mail der Beschwerdeführerin vom 05.08.2021 durch deren Rechtsvertreter ebenfalls über die Stellungnahme „des Steuerberaters“ verfüge, seien ihre Daten nachweislich an Dritte kommuniziert und zu Recherche-Zwecken verbreitet worden. Solche Inhalte würden nicht nur jeder Grundlage entbehren, sie seien auch nicht öffentlich zugänglich. Die genannten Informationen seinen am 13.04.2022 auf der Plattform XXXX veröffentlicht worden und führe eine einfache Google-Anfrage mit den veröffentlichten Begriffen zur Webseite der mitbeteiligten Partei.

Mit Stellungnahme vom 29.08.2022 legte die Datenschutzbehörde den Verwaltungsakt dem Bundesverwaltungsgericht vor, bestritt das Vorbringen der Beschwerdeführerin und verwies vollinhaltlich auf den im Spruch genannten Teilbescheid (I.).

Mit Verfügung des Geschäftsverteilungsausschusses des Bundesverwaltungsgerichtes vom 20.10.2023 (Wirksamkeit 07.11.2023) wurde das gegenständliche Beschwerdeverfahren der bisherigen Gerichtsabteilung W245 abgenommen und der Gerichtabteilung W101 neu zugewiesen.

Mit Stellungnahme vom 14.12.2023 führte die mitbeteiligte Partei – aufgrund der Beschwerdemitteilung des Bundesverwaltungsgerichtes – zur Bescheidbeschwerde der Beschwerdeführerin betreffend Teilbescheid (I.) zusammengefasst aus, dass diese ihre Daten am 13.04.2022 in einem Internet-Portal „ XXXX “ veröffentlicht habe und die Beschwerdeführerin in Schädigungsabsicht handle. Die Beschwerdeführerin sei auch in Kenntnis ihrer Pflichten gemäß der DSGVO, da es in der Vergangenheit ähnliche Offenlegungen gegeben habe, welche bereits Gegenstand eines Verfahrens am Bundesverwaltungsgericht gewesen seien.

Als Beweismittel legte die mitbeteiligte Partei eine Korrespondenz vom 05.08.2021, eine Onlineartikel aus dem Internetportal „ XXXX “ sowie die Stellungnahme der Beschwerdeführerin vom 31.03.2022 vor.

Mit den Spruchteilen 2. und 3. des Teilbescheides (II.) vom 31.07.2025, GZ. D124.0440/22 2025-0.614.374, gab die Datenschutzbehörde der Datenschutzbeschwerde hinsichtlich Art. 15 Abs. 1 lit. c DSGVO teilweise statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch in ihrem Recht auf Auskunft verletzt habe, indem sie über die Informationen hinsichtlich der konkreten Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt würden, insbesondere bei Empfängerin in Drittländern oder bei internationalen Organisationen (Art. 15 Abs. 1 lit. c DSGVO), keine Auskunft erteilt habe.

In diesem Teilbescheid (II.) traf die Datenschutzbehörde hinsichtlich der Spruchteile 2. und 3. im Wesentlichen die gleichen Sachverhaltsfeststellungen wie im Teilbescheid (I.) vom 29.07.2022 und stellte ergänzend fest:

Die Beschwerdeführerin habe auf den Antrag der mitbeteiligten Partei bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nicht vollständig geantwortet, bzw. die konkreten Empfänger nicht beauskunftet.

Es habe zumindest einen Austausch von personenbezogenen Daten der mitbeteiligten Partei zwischen der Beschwerdeführerin mit einem Steuerberater, da in einem Artikel der Beschwerdeführerin auf die mitbeteiligte Partei im Zusammenhang mit einem Steuerberater Bezug genommen worden sei, gegeben.

Auf Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen:

Gemäß Art. 15 Abs. 1 lit. c DSGVO habe der Verantwortliche einer betroffenen Person die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt würden, mitzuteilen. Der EuGH habe sich in seinem Urteil vom 12.01.2023 damit auseinandergesetzt, ob ein Verantwortlicher, wenn dieser Daten gegenüber Empfängern offengelegt habe oder noch offenlegen werde, verpflichtet sei, der betroffenen Person die Identität der Empfänger (auf deren Verlangen) mitzuteilen. Eine Beschränkung des Auskunftsrechtes auf Information über die Kategorien von Empfängern sei nach dem EuGH nur dann vorgesehen, wenn es für den Verantwortlichen nicht möglich sei, den oder die Empfänger zu identifizieren oder ein Fall von offenkundiger Unbegründetheit oder exzessiver Antragstellung im Sinne des Art. 12 Abs. 5 DSGVO vorliege. Die Beschwerdeführerin habe der mitbeteiligten Partei nicht die konkreten Empfänger beauskunftet und es habe zumindest einen Austausch mit einem Steuerberater und Rechtsvertreter stattgefunden. Eine Unmöglichkeit oder exzessive Antragstellung sei weder vorgebracht worden, noch ersichtlich. Entgegen der Rechtsauffassung der Beschwerdeführerin, dass sie die konkreten Empfänger nicht beauskunften müsse, da sie die Daten für Beweiszwecke verarbeite, habe das Bundesverwaltungsgericht bereits gegenteiliges judiziert. Soweit sich die Beschwerdeführerin auf Art. 6 Abs. 1 lit. f., Art. 9 Abs. 2 lit. f. und Art. 17 Abs. 3 lit.e. DSGVO stütze, werde darauf hingewiesen, dass Gegenstand des Verfahrens ausschließlich Art. 15 DSGVO sei. Die betroffene Person habe folglich das Recht, von dem Verantwortlichen Informationen über die konkreten Empfänger zu verlangen, gegenüber denen ihre personenbezogenen Daten offengelegt worden seien oder noch offengelegt werden würden. Gemäß Art. 58 Abs. 2 lit c DSGVO war der Beschwerdeführerin daher im Ergebnis aufzutragen, der mitbeteiligten Partei eine vollständige Auskunft zu erteilen.

Mit rechtzeitiger Beschwerde vom 28.08.2025 brachte die Beschwerdeführerin gegen die im Spruch genannten Spruchteile des Teilbescheides (II.) der Datenschutzbehörde vom 31.07.2025 zusammengefasst vor:

Bei richtiger rechtlicher Würdigung des festgestellten Sachverhaltes liege keine Verletzung im Recht auf Auskunft vor und sei folglich auch kein Leistungsauftrag zu erteilen. Die Datenschutzbehörde habe nicht berücksichtigt, dass die Beschwerdeführerin eine Medieninhaberin gemäß § 1 Abs. 1 Z 8 MedienG sei, welche zwei Webseiten, u.a. die „ XXXX “ betreibe. Folglich finde das Medienprivileg im vorliegenden Fall Anwendung und überwiege der Schutz des Redaktionsgeheimnisses bzw. der Schutz von anwaltlichen Korrespondenzen das Auskunftsinteresse der mitbeteiligten Partei. Die Entscheidung des EuGH sei auf den gegenständlichen Sachverhalt nicht übertragbar, da diesem ein gänzlich anderer Sachverhalt – ohne Medieninhaber und Rechtsanwälte – zugrunde liege. Die Pressefreiheit stelle einen fundamentalen Grundsatz der Europäischen Union dar und gehe die Datenschutzbehörde zu Unrecht davon aus, dass zumindest ein Austausch von personenbezogenen Daten der mitbeteiligten Partei stattgefunden habe. Zudem unterliege die Kommunikation mit der eigenen Rechtsvertretung sowie die Identität der gewählten Rechtsvertretung der anwaltlichen Verschwiegenheitspflicht, welche nicht durch datenschutzrechtliche Bestimmungen umgangen werden dürfe. Auch der EuGH sehe Ausnahmen von der Nennung der konkreten Empfänger von Daten vor, wozu auch der Geheimnisschutz zu zählen sei. In Hinblick auf die Speicherung der Daten für Beweiszwecke, seien keine konkreten Empfänger zu beauskunften, da keine konkrete Nennung für zukünftige Rechtsstreitigkeiten möglich sei. Die Weiterleitung der Daten der mitbeteiligten Partei an die Rechtsvertretung der Beschwerdeführerin sei jedenfalls ersichtlich, dessen Identität der mitbeteiligten Partei auch bekannt und erweise sich die Nennung der Kategorien von Empfängern somit als rechtmäßig. Das Auskunftsersuchen der mitbeteiligten Partei müsse zudem als exzessiv und rechtsmissbräuchlich eingestuft werden. Darüber hinaus würden Verfahrensmängel vorliegen, da sich die Datenschutzbehörde auf den Austausch von Schriftsätzen beschränkt habe und keine Feststellungen zu einem Datenaustausch an einen Steuerberater oder die Position der Beschwerdeführerin als Medieninhaberin getroffen habe. Dies führe zu einer unterlassenen Interessensabwägung, welche zu Gunsten der Beschwerdeführerin ausgehe.

Die Beschwerdeführerin stellte sohin die Anträge, das Bundesverwaltungsgericht möge eine mündliche Verhandlung durchführen, die angefochtenen Spruchteile 2. und 3. des Teilbescheides (II.) dahingehend abändern, dass die Datenschutzbeschwerde und Antrag der mitbeteiligten Partei abgewiesen, in eventu zurückgewiesen und festgestellt werde, dass diese nicht in ihrem Recht auf Auskunft verletzt worden sei, in eventu die angefochtenen Spruchteile 2. und 3. des Teilbescheides (II.) aufzuheben und zur Erlassung eines neunen Bescheides an die Datenschutzbehörde zurückverweisen und jedenfalls die mitbeteiligte Partei schuldig zu erkennen, der Beschwerdeführerin die entstanden Verfahrenskosten des verwaltungsgerichtlichen Verfahrens gemäß § 19a RAO binnen 2 Wochen zu ersetzen.

Mit Stellungnahme vom 10.10.2025 legte die Datenschutzbehörde den Verwaltungsakt dem Bundesverwaltungsgericht vor, bestritt das Vorbringen der Beschwerdeführerin und verwies vollinhaltlich auf den im Spruch genannten Teilbescheid (II.).

Mit Eingabe vom 26.11.2025 gab die nunmehrige Rechtsvertretung der Beschwerdeführerin einen Vollmachtswechsel bekannt und begehrte Akteneinsicht.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Zur Beschwerdeführerin:

Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung ( XXXX ), deren Tätigkeit die Konzeption, der Betrieb und die Beratung von Online Medien ist. Sie betreibt u.a. die Webseite „ XXXX “.

1.2. Auskunftsbegehren:

Die mitbeteiligte Partei begehrte am 06.07.2021 ein Auskunft gemäß Art. 15 DSGVO von der Beschwerdeführerin. Das Auskunftsersuchen gestaltete sich auszugsweise wie folgt:

„Gegenstand: Auskunft gemäß DSGVO (Art 4, 11, 12, 15, 20, 26, 28, 44-46) und DSG (§§ 12, 13)

Sehr geehrte Damen und Herren!

Sie führen personenbezogene Datenverarbeitung(en) und Datenanwendungen. Ich ersuche Sie unter Hinweis auf Art 12, 15, 26 DSGVO, sowie allen weiteren anwendbaren datenschutzrechtlichen Bestimmungen, um die wahrheitsgemäße Beantwortung der folgenden Fragen:

• Welcher Art sind die Daten, die Sie über mich speichern?

• Welchen Inhalt haben diese Daten, woher stammen sie, wozu werden sie verwendet, an wen wurden sie übermittelt bzw. werden sie noch übermittelt?

• Zu welchem Zweck werden die Datenanwendungen betrieben?

• Wie lange speichern Sie meine personenbezogenen Daten? Falls keine Zeitangaben vorgesehen sind, welche Kriterien haben Sie für die Dauer festgelegt?

• Aufgrund welcher Vertrags- bzw. Rechtsgrundlage werden die Daten verwendet?

• Welche Daten werden im Rahmen des internationalen Datenverkehrs auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission verarbeitet?

• Welche Daten werden im Zuge der automatisierten Entscheidungsfindung einschließlich Profiling verarbeitet?

• Über welchen Zeitraum hinweg wurde meine Observation betrieben?

• Auf welche Art und Weise wurde meine Privat- und berufliche Sphäre ausgekundschaftet?

• Über welche Personen aus meinem privaten bzw. persönlichen Umfeld wurde im Zuge der getätigten Überwachung ebenfalls Informationen gesammelt?

• Welcher Art sind die durch Eindringen in meine persönlichen Lebensverhältnisse ausspionierten Informationen?

• Welche technischen und elektronischen Hilfsmittel bzw. welche zur Aufzeichnung geeigneten Geräte sowie Instrumente zur Überwachung der elektronischen Datenübermittlung wurden für die Beschaffung von Daten über mich und über auch evtl. nur mit vermeintlich mit mir in Verbindung stehende Personen in Anwendung gebracht?

• An welche Stellen und welche Personen wurden die erzielten Informationen oder Teile davon weitergegeben?

• Aufgrund welcher Rechtsgrundlage wurden die Daten gesammelt?

• Welche Dienstleister haben Sie außerdem und insgesamt zum Zwecke der Beschaffung von Informationen über mich beauftragt?

Sie werden ersucht, auch alle anfallenden Daten zu beauskunften, die sich in anderen Dateien befinden, jedoch über Schlüssel-, Such- und Referenzbegriffe mit meinen personenbezogenen Daten direkt oder indirekt verknüpft werden können(Art 4 DSGVO).

Werden die Daten gemäß Art 28 DSGVO verarbeitet, ersuche ich um die zusätzliche Angabe von Name und Anschrift Ihres Auftragsverarbeiters.

Betreiben Sie Verarbeitungen mit pseudonymisierten Daten oder sonstigen Datenverarbeitungen ohne Personenidentifizierung (Art 11 DSGVO)? Wenn ja, welche?

Sofern Verarbeitungen gemäß Art 11 DSGVO erfolgen, ersuche ich Sie um Auskunft.

Wenn Sie Daten im internationalen Datenverkehr verarbeiten, ersuche ich Sie unter Hinweis auf Art 44 - 46 DSGVO, die Geschäftszahl der Genehmigung durch die Datenschutzbehörde anzugeben.

(…)

Gemäß Art 12 DSGVO hat die Auskunft schriftlich, kostenlos und in verständlicher Form zu erfolgen.

Sie werden ersucht, Ihre Antwort an meine Postanschrift im Briefkopf zu senden.

Sie sind verpflichtet, mich innerhalb eines Monats nach Eingang des Antrags zu informieren, welche Maßnahmen Sie getroffen haben.

Sie haben mich innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung, zu informieren.

Wenn Sie der Meinung sind, dass Sie auf den Antrag nicht eingehen müssen, so haben Sie mich spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe dafür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen zu informieren. (…)“

Die Beschwerdeführerin erteilte – durch ihre ehemalige Rechtsvertretung – der mitbeteiligten Partei mit E-Mail vom 05.08.2021 eine Auskunft darüber, dass ihre personenbezogenen Daten zu Beweiszwecken verarbeitet werden und aus dem ZMR, von Gewerbereport und dem Firmenbuch oder betreffen Gastbeiträge auf „ XXXX “ und „ XXXX “ stammen. Von der mitbeteiligten Partei zugänglich gemachte Daten stammen von Facebook und der von ihr unter der Domain „ XXXX “ betriebenen Webseite.

Am 15.03.2022 brachte die mitbeteiligte Partei die gegenständliche Datenschutzbeschwerde ein, weil sie wegen unvollständiger Auskunftserteilung durch die Beschwerdeführerin in ihrem Recht auf Auskunft verletzt worden sei.

Mit Stellungnahme vom 31.03.2025 – im verwaltungsbehördlichen Verfahren vor der Datenschutzbehörde – führte die Beschwerdeführerin ergänzend aus, dass eine unbestimmte Speicherdauer der Daten der mitbeteiligten Partei vorgesehen ist und konkretisierte, dass die gespeicherten Daten der Geltendmachung von Ansprüchen gegen die mitbeteiligte Partei dienen, insbesondere solche nach §§ 111, 115, 152 StGB und §§ 16, 1330 ABGB. Der Stellungnahme waren Screenshots von der Webseite der Beschwerdeführerin „ XXXX “ angeschlossen, sowie Korrespondenz der ehemaligen Rechtsvertretung der Beschwerdeführerin mit der mitbeteiligten Partei vom 07.07.2021 und 09.07.2021 betreffend eine Recherche zur Finanzierung der Beschwerdeführerin.

Es fand zumindest eine Offenlegung von personenbezogenen Daten der mitbeteiligten Partei durch die Beschwerdeführerin gegenüber einem Steuerberater statt.

Maßgebend ist, dass das Auskunftsersuchen der mitbeteiligten Partei vom 06.07.2021 durch die Beschwerdeführerin hinsichtlich der begehrten Stammdaten, der Kategorie personenbezogener Daten, der konkreten Empfänger von personenbezogenen Daten, der geplanten Speicherdauer, des Bestehens eines Rechts auf Berichtigung, Löschung, Einschränkung oder Widerspruchs, des Bestehens eines Beschwerderechts bei der Aufsichtsbehörde sowie des Bestehens bzw. Nichtbestehens einer automatisierten Entscheidungsfindung einschließlich Profiling nicht vollständig beantwortet wurde.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus den Verwaltungs- sowie Gerichtsakten.

Ad 1.1. Die Feststellungen zur Beschwerdeführerin, deren Unternehmensgegenstand und der von ihr betriebenen Webseite ergeben sich insbesondere aus einer amtswegigen Recherche des erkennenden Senats unter „ XXXX “.

Ad 1.2. Die Feststellung betreffend den Inhalt des Auskunftsbegehrens der mitbeteiligten Partei vom 06.07.2021 ergibt sich aus dem der Datenschutzbeschwerde angeschlossenen Auskunftsbegehren gemäß Art. 15 DSGVO.

Die Feststellung zum Inhalt der am 05.08.2021 erteilten Auskunft ergibt sich aus dem E-Mail der ehemaligen Rechtsvertretung der Beschwerdeführerin vom 05.08.2021, welches – als Antwort auf das Auskunftsersuchen der mitbeteiligte Partei – an diese übermittelt wurde.

Die im Rahmen vor der Datenschutzbehörde ergänzend erteilte Auskunft der Beschwerdeführerin mit Stellungnahme vom 31.03.2025, welche der mitbeteiligten Partei mit Parteiengehör vom 11.04.2022 zur Kenntnis gebracht wurde, ergibt sich aus der genannten Stellungnahme sowie dem im Verwaltungsakt aufliegenden Parteiengehör vom 11.04.2022.

Die Feststellung, dass es zumindest einen Datenaustausch zwischen der Beschwerdeführerin und einem Steuerberater gegeben hat, ergibt sich insbesondere aus den Eingaben der Beschwerdeführerin vom 31.03.2022, Seite 3 zweiter Absatz sowie dem E-Mail vom 05.08.2021, letzter Satz. Den genannten Passagen ist als Kernaussage zu entnehmen, dass „zu Beweiszwecken eine Stellungnahme eines Steuerberaters über Sie dokumentiert ist, der XXXX empfohlen hat, Sie wegen mangelnder fachlicher Kompetenz nicht weiter als Buchhalterin zu beschäftigen“. Dass von der Beschwerdeführerin bloß unsubstantiiert bestrittene Bestehen einer solchen Datenübermittlung bzw. Offenlegung erhärtet sich zudem durch den öffentlichen Artikel auf der eigenen Webseite der Beschwerdeführerin „ XXXX (zuletzt abgerufen am 02.12.2025 durch die vorsitzende Richterin) sowie dem dazu erstatteten Vorbringen der mitbeteiligten Partei in ihren Stellungnahmen im verwaltungsbehördlichen und gerichtlichen Verfahren. Der Beschwerdeführerin ist es somit – ohne Nennung von konkrete Anhaltspunkten – nicht gelungen das Nichtbestehen einer solchen Datenübermittlung zu belegen, da insbesondere aus dem genannten Beitrag hervorgeht, dass der Steuerberater das von dieser „Buchhalterin“ angerichtete Fiasko zu Gesicht bekam und dieser nach den eigenen Angeben der Beschwerdeführerinnen eine Stellungnahme bzw. ein Gutachten über die mitbeteiligte Partei an die Beschwerdeführerin übermittelte.

Die Feststellung, dass die Beschwerdeführerin das Auskunftsbegehren der mitbeteiligten Partei in den festgestellten Punkten nicht bzw. nicht vollständig beantwortet hat, ergibt sich aus der Zusammenschau aller Eingaben der Beschwerdeführerin im verwaltungsbehördlichen und gerichtlichen Verfahren.

Damit steht der entscheidungsrelevante Sachverhalt aufgrund des Akteninhalts fest und war folglich die Durchführung einer mündlichen Verhandlungen zur weiteren Klärung des Sachverhalts nicht mehr erforderlich.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gegenständlich liegt somit Senatszuständigkeit vor.

3.2. Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.3. Zu A)

3.3.1. Anzuwendende Rechtslage:

3.3.1.1. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. (…)

4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

5. (…)

6. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. (…)

9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;

10. - 26. (…)

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) - (5) (…)

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) (…).

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

3.3.1.2. Die maßgeblichen Bestimmungen des DSG:

§ 1. DSG (Verfassungsbestimmung) – Grundrecht auf Datenschutz

(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) - (4) (…)

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.3.2. Zum Recht auf Auskunft:

Die Beschwerdeführerin stützt ihre Beschwerden an das Bundesverwaltungsgericht im Grunde darauf, dass sie eine vollständige Auskunft gemäß Art. 15 DSGVO erteilt habe, da die der mitbeteiligten Partei übermittelten Auskunftsschreiben alle notwendigen Informationen enthalten hätten und allgemein verfügbare Daten bzw. der mitbeteiligten Partei bereits bekannte Informationen nicht zu beauskunfteten seien. Zudem sei die Position der Beschwerdeführerin als Medieninhaberin, die Pressefreiheit sowie der Schutz des Redaktionsgeheimnisses zu berücksichtigen. Darüber hinaus stehe einer Auskunft die anwaltliche Verschwiegenheitspflicht entgegen und habe die belangte Behörde wesentliche Sachverhaltselement nicht festgestellt.

Den Ausführungen der Beschwerdeführerin ist aufgrund nachstehender Erwägungen nicht zu folgen:

Vorweg ist grundlegend festzuhalten, dass Gegenstand des Beschwerdeverfahrens ausschließlich die durch die mitbeteiligte Partei begehrten Informationen im Rahmen ihres Auskunftsersuchen vom 06.07.2021 sind, welche keinen Bezug zu § 9 DSG aufweisen und daher entgegen den Ausführungen der Beschwerdeführerin für die Anwendung des Medienprivilegs kein Raum bleibt. Folglich erweist sich sowohl das durch die Datenschutzbehörde geführte Ermittlungsverfahren als auch die getroffenen Feststellungen als hinreichen und werden etwaige unterlaufener Verfahrensfehler durch ein ordnungsgemäß vor dem Verwaltungsgericht geführtes Beschwerdeverfahren saniert (vgl. etwa VwGH 29.01.2015, Ra 2014/07/0102; 10.09.2015, Ra 2015/09/0056; 25.04.2017, Ra 2016/18/0234).

3.3.2.1. Das Auskunftsrecht des Art. 15 DSGVO bezieht sich auf personenbezogene Daten der betroffenen Person, welche der Verantwortliche im Anwendungsbereich der DSGVO verarbeitet. Unmittelbare Rechtsfolge eines Auskunftsantrags ist die Pflicht des Verantwortlichen, Auskunft zu erteilen (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 26 und 30 (Stand 1.7.2024, rdb.at).

Personenbezogene Daten sind das Schutzziel der DSGVO, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der in der Definition enthaltene Begriff der Informationen umfasst ohne Einschränkung „alle Informationen“, die sich auf eine Person beziehen, womit sich zeigt, dass der Begriff weit zu verstehen ist (vgl. Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 6 und 9 (Stand 1.12.2018, rdb.at).

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf Informationen nach lit. a) bis h).

Das Recht auf Auskunft nach Art. 15 DSGVO ermöglicht der betroffenen Person Grundlegendes über die Verarbeitung ihrer Daten zu erfahren, insbesondere ob und welche Daten der Verantwortliche über sie verarbeitet, und ob dies rechtmäßig geschieht (siehe Erwägungsgrund 63 zu dieser Bestimmung).

Lehnt der Verantwortliche die positive Erledigung des Antrags ab, so trägt er in diesem Fall die Behauptungs- und Beweispflicht (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 47/2 (Stand 1.7.2024, rdb.at)).

Der Umfang der Auskunftserteilung wird durch den Zeitpunkt der Antragstellung bestimmt (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 27 (Stand 1.7.2024, rdb.at)).

3.3.2.2. Auskunft über die Stammdaten der mitbeteiligten Partei gemäß Art. 15 Abs. 1 zweiter Satz DSGVO (= Teilbescheid I. Spruchteil 1.a.):

Der VwGH bestätigte, dass der Betroffene gemäß Art. 15 DSGVO ein Recht hat zu erfahren, welche Daten konkret übermittelt worden sind, da nur so eine Rechtmäßigkeitsprüfung der Verarbeitung durch den Verantwortlichen möglich ist (vgl. VwGH 03.08.2023, Ro 2020/04/0015).

Auch nach den Leitlinien 01/2022 zu den Rechten der betroffenen Person zum Auskunftsrecht des EDPB ist gemäß Art. 15 Abs. 1 zweiter Satz DSGVO die Auskunft über personenbezogene Daten die zweite Komponente des Auskunftsrechts nach Artikel 15 Absatz 1 und bildet den Kern dieses Rechts. Sie bezieht sich auf den Begriff der personenbezogenen Daten gemäß der Definition in Art. 4 Z 1 DSGVO. Abgesehen von grundlegenden personenbezogenen Daten wie Name und Adresse kann eine unbegrenzte Vielfalt von Daten unter diese Definition fallen, sofern sie in den sachlichen Anwendungsbereich der DSGVO fallen, insbesondere im Hinblick auf die Art und Weise ihrer Verarbeitung (Art. 2 DSGVO). Unter Auskunft über personenbezogene Daten ist die Auskunft über die tatsächlichen personenbezogenen Daten selbst zu verstehen, nicht nur eine allgemeine Beschreibung der Daten oder ein bloßer Verweis auf die Kategorien personenbezogener Daten, die von dem Verantwortlichen verarbeitet werden. Wenn keine Beschränkungen gelten, hat die betroffene Person das Recht auf Auskunft über alle oder Teile der verarbeiteten Daten, die sie betreffen, je nach Umfang des Antrags. Die Verpflichtung zur Auskunftserteilung besteht unabhängig von der Art oder der Quelle der Daten. So ist auch über Daten, die die antragstellende Person ursprünglich selbst dem Verantwortlichen zur Verfügung gestellt hatte, vollumfänglich Auskunft zu erteilen, um die betroffene Person über die tatsächliche Verarbeitung dieser Daten durch den Verantwortlichen zu informieren (vgl. Leitlinien 01/2022 zu den Rechten der betroffenen Person zum Auskunftsrecht des EDPB, Version 2, angenommen am 28.03.2023, Seite 15).

Eine Auskunft über die konkret verarbeiteten Daten der mitbeteiligten Partei, wie z.B. der tatsächlich verarbeitete Vorname, Nachname, das Geburtsdatum oder arbeitsrechtliche Daten betreffend ein nicht mehr bestehendes Dienstverhältnis hat die Beschwerdeführerin zu keinem Zeitpunkt gegenüber der mitbeteiligten Partei erteilt. Wie sich jedoch unmissverständlich aus dem Wortlaut des Art. 15 Abs. 1 DSGVO ergibt, ist eine Auskunft über die konkreten Daten zu erteilen. Zusätzlich dazu sind die Informationen gemäß Art. 15 Abs. 1 lit. a bis h bzw. Abs. 2 DSGVO zu erteilen. Gegenständlich vermeint die Beschwerdeführerin, der mitbeteiligten Partei keine dieser ohnehin bekannte Daten, von dieser selbst übermittelte oder veröffentlichte Daten bzw. allgemeine verfügbare Daten über ihre Person gemäß Art. 15 Abs. 1 zweiter Satz DSGVO beauskunften zu müssen, selbst wenn diese im Zeitpunkt des Auskunftsersuchens durch die Beschwerdeführerin verarbeitet wurden. Bereits aufgrund der oben dargelegten Ausführungen des EDPB sowie dem klaren und unmissverständlichen Wortlaut des Art. 15 DSGVO, steht eine solche einschränkende Interpretation des Auskunftsrechts im offenkundigen Widerspruch zu den Bestrebungen des Unionsgesetzgeber, der betroffenen Person die Möglichkeit einzuräumen, Grundlegendes über die Verarbeitung ihrer eigenen Daten zu erfahren und in der Folge weitere Betroffenenrechte wirksam und effektiv wahrnehmen zu können. Folglich ist den Ausführungen der Datenschutzbehörde nicht entgegenzutreten, da die Beschwerdeführerin die durch die mitbeteiligte Partei begehrten und tatsächlich verarbeiteten Daten (beispielsweise: Max, Mustermann, 01.01.1000 oder Entlassung am 01.01.1000) nicht beauskunftet hat.

3.3.2.3. Auskunft über die Kategorien der personenbezogenen Daten der mitbeteiligten Partei gemäß Art. 15 Abs. 1 lit. b DSGVO (= Teilbescheid I. Spruchteil 1.b.):

Weiters hat der Verantwortliche die Kategorien der Daten, die verarbeitet werden, anzugeben. Dies soll nach der Meinung mancher Stimmen in der Literatur der betroffenen Person helfen, sich rasch einen Überblick zu verschaffen, was insbesondere bei umfangreichen Auskünften zweckmäßig sein mag (vgl. Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 38 (Stand 1.7.2024, rdb.at)).

Es sollten möglichst beschreibende allgemeine Angaben verwendet werden, die so ausgestaltet sind, dass eine Risikoeinschätzung nach den Art 35 ff möglich ist (vgl. Illibauer in Knyrim, DatKomm Art 14 DSGVO Rz 18 (Stand 1.7.2024, rdb.at)).

Eine solche allgemeine Aufstellung bzw. Grundorientierung kann den Auskünften der Beschwerdeführerin nicht entnommen werden, obwohl aus der unvollständig erteilten Auskunft gerade hervorgeht, dass diverse berufliche und allgemeine Daten der mitbeteiligten Partei verarbeitet werden, welche wie unter 3.3.2.2. ausgeführt, ebenfalls nicht beauskunftet worden sind. Folglich ist auch in diesem Punkt den Ausführungen der Datenschutzbehörde nicht entgegenzutreten.

3.3.2.4. Auskunft über die Empfänger der personenbezogenen Daten der mitbeteiligten Partei gemäß Art. 15 Abs. 1 lit. c DSGVO (= Teilbescheid II. Spruchteil 2.a.):

Gemäß Art. 15 Abs. 1 lit. c DSGVO hat der Verantwortliche einer betroffenen Person die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, mitzuteilen.

Da das Auskunftsrecht insbesondere erforderlich ist, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“), ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art. 16, 17 bzw. 18 DSGVO zukommen (vgl. EuGH 17.07.2014, YS u. a., C‑141/12 und C‑372/12, Rn. 44, sowie 20.12.2017, Nowak, C‑434/16, Rn. 57), sowie ihr in Art. 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten auszuüben oder im Schadensfall den in den Art. 79 und 82 DSGVO vorgesehenen gerichtlichen Rechtsbehelf einzulegen (vgl. EuGH 07.05.2009, Rijkeboer, C‑553/07, Rn. 52), muss die betroffene Person somit insbesondere über das Recht verfügen, dass ihr die Identität der konkreten Empfänger mitgeteilt wird, wenn ihre personenbezogenen Daten bereits offengelegt wurden. Dies wird durch die Auslegung von Art. 19 DSGVO bestätigt, der in Satz 1 vorsieht, dass der Verantwortliche grundsätzlich allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung oder Löschung der personenbezogenen Daten oder eine Einschränkung der Verarbeitung mitteilt. Art. 19 Satz 2 DSGVO sieht vor, dass der Verantwortliche die betroffene Person über diese Empfänger unterrichtet, wenn die betroffene Person dies verlangt. Somit hat die betroffene Person gemäß Art. 19 Satz 2 DSGVO ausdrücklich das Recht, von dem Verantwortlichen im Rahmen seiner Verpflichtung, alle Empfänger über die Ausübung der Rechte zu informieren, über die diese Person nach Art. 16, Art. 17 Abs. 1 und Art. 18 DSGVO verfügt, über die konkreten Empfänger der sie betreffenden Daten unterrichtet zu werden. Insbesondere umfasst dieses Auskunftsrecht die Möglichkeit für die betroffene Person, von dem Verantwortlichen Informationen über bestimmte Empfänger zu erhalten, gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, oder alternativ zu entscheiden, nur Informationen über die Kategorien von Empfängern anzufordern (vgl. EuGH 12.03.2023, Österreichische Post, C-154/21).

Die Beschwerdeführerin hält dem entgegen, dass der EuGH in der genannten Entscheidung auch ausgeführt habe, dass das Recht auf Schutz der personenbezogenen Daten – wie aus dem vierten Erwägungsgrund der DSGVO hervorgeht – kein uneingeschränktes Recht ist.

Es ist zutreffend, dass es unter bestimmten Umständen nicht möglich ist, Informationen über konkrete Empfänger zu erteilen. In diesem Fall kann das Auskunftsrecht auf Informationen über die Kategorien von Empfängern beschränkt werden, wenn es nicht möglich ist, die Identität der konkreten Empfänger mitzuteilen, insbesondere wenn diese noch nicht bekannt sind. Außerdem wies der EuGH darauf hin, dass sich der Verantwortliche gemäß Art. 12 Abs. 5 lit. b DSGVO im Einklang mit dem in Art. 5 Abs. 2 DSGVO sowie im 74. Erwägungsgrund niedergelegten Grundsatz der Rechenschaftspflicht weigern kann, aufgrund von Anträgen der betroffenen Person tätig zu werden, wenn es sich um offenkundig unbegründete oder exzessive Anträge handelt; hierbei hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter der Anträge zu erbringen.

Wie oben festgestellt, hat die Beschwerdeführerin der mitbeteiligten Partei keine konkreten Empfänger ihrer Daten beauskunftet, obwohl zumindest eine Offenlegung von personenbezogenen Daten der mitbeteiligten Partei an Dritte stattgefunden hat. In ihrer Beschwerde behauptet die Beschwerdeführerin sowohl ein exzessives Handeln der betroffenen Person, dem Fall der Unmöglichkeit gleichzusetzende Gründe sowie das Vorliegen eines nicht vergleichbaren Sachverhalts.

Dem ist zu widersprechen, da die Beschwerdeführerin, welche die Behauptungs- und Beweislast trägt, der Nachweis der genannten Gründe nicht gelungen ist und die bloße Behauptung einer Exzessivität oder Unmöglichkeit ihr nicht zum Vorteil gereichen kann. Ein ins Treffen geführter – insbesondere in rechtlicher Hinsicht – wesentlicher Sachverhaltsunterschied ist für den erkennenden Senat nicht ersichtlich. Ebenso entbehrt die Rechtsansicht der Beschwerdeführerin, dass es weitere dem Fall der Unmöglichkeit gleichzusetzende Gründe gäbe, welche der EuGH in seinem Urteil nicht explizit genannt habe, jeglicher Grundlage.

Sofern die Datenschutzbehörde auf eine Entscheidung des Bundesverwaltungsgerichts verweist (BVwG vom 25.06.2019, Zl. W258 2187426-1), der zu Folge Beschränkungen des Auskunftsrechts nach Art. 23 Abs. 1 lit. j DSGVO unter den Voraussetzungen des Abs. 2 leg. cit. durch Rechtsvorschriften der Union oder der Mitgliedstaaten zur Sicherstellung der Durchsetzung zivilrechtlicher Ansprüche zulässig sind, und sich eine – wie in der Bundesrepublik Deutschland normierte – Ausnahme für den Fall, dass durch die Beauskunftung rechtliche Ansprüche gefährdet werden würden, in der österreichischen Rechtsordnung nicht finde, so ist dem Folgendes zu entgegnen: Das Bundesverwaltungsgericht anerkennt in seiner neueren Judikatur die Gefährdung rechtlicher Ansprüche als Ablehnungsgrund im Sinne des Art. 15 Abs. 4 DSGVO (BVwG 09.11.2021, Zl. W176 2244155-1; BVwG 21.09.2023, Zl. W176 2252944-1; vgl. dazu Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 50 (Stand 1.7.2024, rdb.at)). Unabhängig davon hat die Beschwerdeführerin in dieser Hinsicht kein substanzielles Vorbringen erstattet und ist daher von einer näheren Prüfung Abstand zu nehmen.

Die Rechtmäßigkeit der zu Beweiszwecken vorgenommenen Datenverarbeitungen durch die Beschwerdeführerin sind – wie von der Datenschutzbehörde richtig erkannte – nicht Gegenstand dieses Verfahrens betreffend die Vollständigkeit einer Auskunft nach Art. 15 DSGVO.

Im Ergebnis fehlt es der an die mitbeteiligte Partei erteilten Auskunft an der geforderten Nennung von konkreten Empfänger, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (vgl. Urteil des EuGH vom 12.01.2023, C-154/21, Rz. 46).

3.3.2.5. Auskunft über die Speicherdauer der personenbezogenen Daten der mitbeteiligten Partei gemäß Art. 15 Abs. 1 lit. d DSGVO (= Teilbescheid I. Spruchteil 1.c.):

Wenn möglich, ist Auskunft über die geplante Speicherfrist für die Daten zu geben, oder, falls dies nicht möglich ist, sohin subsidiär, über die Kriterien für die Festlegung dieser Dauer. Falls für die Rechtmäßigkeitskontrolle notwendig, sind die Speicherfristen pro Kategorie oder pro Datenart aufzuschlüsseln. Der Verweis auf eine rechtliche Bestimmung kann bei entsprechender Bestimmtheit für die Angabe der Speicherdauer ausreichend sein (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 42 (Stand 1.7.2024, rdb.at)).

Die vom Verantwortlichen erteilten Informationen müssen so genau sein, dass die betroffene Person weiß, wie lange die sie betreffenden Daten noch gespeichert werden. Kann der Zeitpunkt der Löschung nicht angegeben werden, so sind die Dauer der Aufbewahrungsfrist und der Beginn dieser Frist oder das auslösende Ereignis (z.B. Vertragsbeendigung, Ablauf einer Garantie usw.) anzugeben. Der bloße Hinweis z. B. auf die „Löschung nach Ablauf der gesetzlichen Aufbewahrungsfristen“ ist nicht ausreichend. Die Angaben zu den Speicherfristen müssen sich auf die spezifischen Daten der betroffenen Person beziehen (vgl. Leitlinien 01/2022 zu den Rechten der betroffenen Person zum Auskunftsrecht des EDPB, Version 2, angenommen am 28.03.2023, Seite 46).

Die Beschwerdeführerin teilte in ihrer Stellungnahme vom 31.03.2022 mit, dass die Daten der mitbeteiligten Partei für Beweiszwecke auf unbestimmte Dauer gespeichert werden, da es immer wieder zu feindseligen Handlungen gegen die Beschwerdeführerin und andere Personen komme. Die Beschwerdeführerin versucht somit im Ergebnis, sich vor zukünftigen und ungewissen Rechtsstreitigkeiten im Zusammenhang mit der mitbeteiligten Partei zu schützen.

Dies bedeutet im Umkehrschluss jedoch, dass die Beschwerdeführerin die personenbezogenen Daten der mitbeteiligten Partei verarbeiten möchte, solange diese existiert.

Das Bundesverwaltungsgericht hat in einem vergleichbaren Fall (die Erteilung einer Auskunft zur Speicherdauer von personenbezogenen Daten mit der Kernaussage, dass diese solange gespeichert werden, wie dies für den Zweck des Gläubigerschutzes und der Risikominimierung erforderlich ist) bereits festgehalten, dass auf Grund einer solchen Informationen die mitbeteiligte Partei nicht abschätzen kann, wie lange ihre Daten gespeichert werden (vgl. Erkenntnis des BVwG vom 22.12.2020, Zl. W258 2227717-1/7E). Sie kann weder beurteilen, wann es – nach Ansicht der Beschwerdeführerin – nicht mehr notwendig ist, ihre Daten zum Zwecke der Ausübung und Verteidigung von Rechtsansprüchen bzw. zu Beweiszwecken zu verarbeiten, noch unter welchen Voraussetzungen welcher der Löschungstatbestände des Art. 17 DSGVO, der in Art. 17 Abs. 1 DSGVO insgesamt sechs Löschtatbestände und in Abs. 3 fünf Ausnahmetatbestände enthält, vorliegen könnte.

Eine solche Angabe der Speicherdauer verstößt entgegen dem Vorbringen der Beschwerdeführerin gegen das Transparenzgebot des Art. 12 DSGVO und hat die Beschwerdeführerin – im Falle einer tatsächlich gewollten Speicherung der personenbezogenen Daten der mitbeteiligten Partei auf Lebenszeit – dies zumindest mit einer adäquaten Zeitangabe (z.B. in Jahren) auszuführen oder dies mit klaren und transparenten Kriterien darzulegen, um der mitbeteiligten Partei die Überprüfung der Rechtmäßigkeit ihres Handelns zu erleichtern.

Diesen Umstand mit der von der Beschwerdeführerin gewählten Art zu umschreiben ist weder präzise oder verständlich noch in klarer Sprache und widerspricht somit dem Transparenzgebot des Art. 12 Abs. 1 DSGVO. Daher erweist sich auch die in diesem Punkt geforderte Auskunft als unvollständig und die durch die Datenschutzbehörde vorgenommen rechtliche Beurteilung als zutreffend.

3.3.2.6. Auskunft über die Rechte zur Berichtigung und Löschung der personenbezogenen Daten der mitbeteiligten Partei oder über ein Widerspruchsrecht zu deren Verarbeitung gemäß Art. 15 Abs. 1 lit. e DSGVO (= Teilbescheid I. Spruchteil 1.d.) sowie Auskunft über das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde gemäß Art. 15 Abs. 1 lit. f DSGVO (= Teilbescheid I. Spruchteil 1.e.):

Im Erledigungsschreiben an die betroffene Person hat der Verantwortliche eine Rechtsbehelfsbelehrung mit einzuschließen. Diese umfasst das Bestehen weiterer Betroffenenrechte (Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung nach Art. 18 DSGVO, Widerspruch nach Art. 21 DSGVO) und des Beschwerderechts bei der Aufsichtsbehörde. Die Rechtsbehelfsbelehrung erschöpft sich in einem abstrakten Hinweis auf diese Rechte, allerdings sind nur jene Rechte anzugeben, die im Hinblick auf die herangezogenen Rechtmäßigkeitsgrundlagen des Art. 6 DSGVO geltend gemacht werden können, was insbesondere beim Widerspruch nach Art. 21 DSGVO relevant sein kann (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 47 (Stand 1.7.2024, rdb.at).

In diesem Zusammenhang ist festzuhalten, dass – wie soeben dargestellt – eine Belehrung über die Rechte und die Beschwerdemöglichkeit an die Aufsichtsbehörde der mitbeteiligten Partei gemäß Art. 15 Abs. 1 lit. e und f DSGVO zu beauskunften ist. Dass die mitbeteiligte Partei aufgrund ihrer gegenständlichen Beschwerde an die Aufsichtsbehörde sowie vorangegangener Verfahren vor der Datenschutzbehörde über die entsprechende Kenntnis der genannten Betroffenenrechte sowie der Möglichkeit einer Aufsichtsbeschwerde verfügt, ändert daran nichts, da die Einwendung der Beschwerdeführerin im klaren Wortlaut des Art. 15 Abs. 1 lit. e und f DSGVO keine Deckung findet.

Im vorliegenden Fall ist eine solche – zumindest abstrakte – Belehrung der an die mitbeteiligte Partei erteilten Auskunft nicht zu entnehmen, weshalb auch in diesem Punkt das Bundesverwaltungsgericht die rechtliche Beurteilung der Datenschutzbehörde teilt.

3.3.2.7. Auskunft über das Bestehen oder Nichtbestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 15 Abs. 1 lit. h DSGVO (= Teilbescheid I. Spruchteil 1.f.):

Im Fall von automatisierten Entscheidungen im Einzelfall nach Art. 22 Abs. 1 und 4 DSGVO ist die betroffene Person davon zu informieren, welche Auswertungsergebnisse erzielt und welche Entscheidungen getroffen wurden, sowie Angaben zu der verwendeten Logik sowie zur Tragweite und zu den angestrebten Auswirkungen einer derartigen Verarbeitung zu machen (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 44 (Stand 1.7.2024, rdb.at)).

Wenn eine automatisierte Entscheidungsfindung im Einzelfall nach Art. 22 Abs. 1 und 4 DSGVO vorliegt, also die Ausnahmebestimmung von Art. 22 Abs. 2 DSGVO nicht zur Anwendung kommt, ist die betroffene Person auch davon im Rahmen der Auskunftserteilung zu informieren (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO Rz 32 (Stand 1.12.2020, rdb.at)).

In der einschlägigen Literatur zum Datenschutz wird – wie dargelegt – die Meinung vertreten, dass grundsätzlich nur im Falle des Bestehens einer automatisierten Entscheidungsfindung eine entsprechende Auskunft gemäß Art. 15 Abs. 1 lit. h DSGVO zu erteilen ist. Der erkennende Senat geht jedoch konträr zu der oben zitierten Literatur davon aus, dass der Wortlaut des angefochtenen Spruchs über das „Bestehen oder Nichtbestehens“ einer automatisierten Entscheidungsfindung einschließlich Profiling keiner Abänderung durch das Bundesverwaltungsgericht bedarf.

In diesem Zusammenhang ist auf die bereits oben erwähnten Ausführung des EuGH zu rekurrieren und hervorzuheben, dass das Recht auf Auskunft nach Art. 15 DSGVO zentraler Bestandteil des Selbstdatenschutzes ist und der betroffenen Person ermöglicht, Grundlegendes über die Verarbeitung ihrer Daten zu erfahren, insbesondere ob und welche Daten der Verantwortliche über sie verarbeitet, und ob dies rechtmäßig geschieht (ErwGr 63 S 1). Das Auskunftsrecht trägt sohin dem Transparenzprinzip Rechnung. Wie der VwGH ausführt, hat der EuGH in der Rs CRIF betont, dass die Ausübung des in Art. 15 DSGVO vorgesehenen Auskunftsrechts der betroffenen Person nicht nur ermöglichen muss, zu überprüfen, ob sie betreffende Daten richtig sind, sondern auch, ob diese in zulässiger Weise verarbeitet werden. Es beinhaltet sohin auch ein Kontrollziel. Das Auskunftsrecht hat damit einen Selbstzweck, und ist nicht nur reines Instrument für die weiteren Betroffenenrechte (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 1 (Stand 1.7.2024, rdb.at); EuGH 04.05.2023, C-487/21, CRIF; VwGH 03.08.2023, Ro 2020/04/0015).

Ein solches Kontrollziel wäre jedoch gefährdet, müsste eine betroffene Person aus dem Schweigen eines Verantwortlichen selbst erforschen, ob tatsächlich keine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling stattfindet oder der Verantwortliche schlichtweg seiner Auskunftspflicht nicht ordnungsmäßig nachgekommen ist.

In der Folge erweisen sich die weiteren Ausführungen der Beschwerdeführerin, wonach aus den gegenüber der mitbeteiligten Partei beauskunfteten Informationen ein Nichtbestehen einer automatisierten Entscheidungsfindung im Einzelfall erkennbar sei, als irrelevant und war die Entscheidung der Datenschutzbehörde auch in diesem Punkt zu bestätigen.

3.3.2.8. Auskunft über die Übermittlung der personenbezogenen Daten der mitbeteiligten Partei gemäß Art. 15 Abs. 2 DSGVO (= Teilbescheid I. Spruchteil 1.g.):

In Ergänzung zu den Ausführungen zu Art. 15 Abs. 1 lit. c DSGVO (vgl. 3.3.2.4.) besteht nach Art. 15 Abs. 2 DSGVO das zusätzliche Recht der betroffenen Person bei Datenübermittlungen in Drittländer, über die Grundlagen der geeigneten Garantien iSd Art. 46 DSGVO unterrichtet zu werden, z.B. Standardvertragsklauseln. Über den bloßen Wortlaut hinaus ist in Parallelität zu den Art. 13 und 14 DSGVO davon auszugehen, dass der Verantwortliche über jegliches Instrumentarium für den Internationalen Datenverkehr Auskunft zu erteilen hat, also auch wenn er seine Datenübermittlung auf einen Angemessenheitsbeschluss (Art. 46) oder eine Einzelfallausnahme (Art. 49) stützt (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 41 (Stand 1.7.2024, rdb.at)).

Aus den Auskünften der Beschwerdeführerin geht jedoch – wie von der mitbeteiligten Partei begehrt – nicht hervor, ob eine Übermittlung von Daten in ein Drittland stattgefunden hat bzw. stattfindet. Aufgrund des Fehlens der Beauskunftung von konkreten Empfängern ist ein solcher Datentransfer in einen Drittstaat nicht auszuschließen und erweist sich die erteilte Auskunft auch in dieser Hinsicht als unvollständig. Folglich war dem Standpunkt der Datenschutzbehörde nicht entgegenzutreten.

3.3.2.9. Abschließend ist die Beschwerdeführerin darauf hinzuweisen, dass das Recht auf Auskunft unter keinen Voraussetzungen steht. Es muss insbesondere nicht mit einem Rechtsschutz- oder Auskunftsinteresse begründet werden (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 25 (Stand 1.7.2024, rdb.at)). Im Ergebnis ist somit ein von der Beschwerdeführerin vermutetes Motiv der mitbeteiligten Partei für die Einbringung des verfahrensgegenständlichen Auskunftsersuchens ohne Belangen.

Soweit die Beschwerdeführerin unsubstantiiert ein berechtigtes Geheimhaltungsinteresse, das Redaktionsgeheimnis sowie die anwaltliche Verschwiegenheitspflicht vorbringt, so ist darauf zu verweisen, dass auch Berufsgeheimnisträger zu keiner pauschalen Ablehnung berechtigt sind (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 55/1 mwN (Stand 1.7.2024, rdb.at), ua Verweis auf VfGH 22.09.2022, E 2078/2022 zum Umfang der Begründungspflicht). Zudem hat die mitbeteiligte Partei gegenständlich auch keine Herausgabe von ganzen Dokumenten oder die Beantwortung der Fragen verlangt, welche über das Auskunftsrecht hinausgehen (z.B. zur Erlangung von Informationen, welche durch Geheimhaltungsinteressen oder anwaltliche Verschwiegenheitspflichten geschützt sind).

3.3.2.10. Zu den bekämpften Leistungsaufträgen:

Gemäß Art. 58 Abs. 2 lit. c DSGVO verfügt jede Aufsichtsbehörde über sämtliche Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.

Wie festgestellt hat die Beschwerdeführerin eine unvollständige Auskunft im Sinne des Art. 15 DSGVO erteilt. Im Verfahren kamen auch sonst keine Hinweise darauf hervor, dass zwischenzeitlich eine vollständige Auskunft an die mitbeteiligte Partei erteilt worden wäre.

Die Leistungsaufträge sind daher auch im Lichte der Situation zum Entscheidungszeitpunkt zu bestätigen.

3.3.3. Da den angefochtenen Teilbescheiden aus den dargelegten Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, waren die dagegen erhobenen Beschwerden gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 5 DSG idgF als unbegründet abzuweisen.

3.4. Zum beantragten Kostenersatz gemäß § 19a RAO:

Für das Verwaltungsverfahren ist gemäß § 74 Abs. 1 AVG der Grundsatz der Kostenselbsttragung maßgebend, wonach die Beteiligten die Kosten, die ihnen im Verfahren erwachsen, selbst zu tragen haben, unabhängig davon, ob das Verfahren auf Antrag oder von Amtswegen eingeleitet wurde (vgl. VwGH 17.12.2014, Ra 2014/03/0048). Dies gilt gemäß §§ 17 VwGVG iVm 74 Abs. 1 AVG auch im Verfahren vor den Verwaltungsgerichten, wobei vereinzelt Kostenersatzansprüche vorgesehen sind, wie z.B. § 35 AVG bzw. §§ 53 VwGVG iVm § 35 AVG. Ist eine Verfahrenspartei außerstande die Kosten der Führung des Verfahrens ohne Beeinträchtigung des notwendigen Unterhalts zu bestreiten, ist ihr auf Antrag und bei Vorliegen der Voraussetzungen gemäß § 8a VwGVG Verfahrenshilfe zu bewilligen.

Gegenständlich hat die Beschwerdeführerin weder einen Antrag auf Verfahrenshilfe gestellt, noch liegt ein Ausnahmetatbestand vom Grundsatz der Kostenselbsttragung vor. Dem Antrag der Beschwerdeführerin, der mitbeteiligten Partei den Ersatz der Kosten des Verwaltungsverfahrens aufzutragen, war daher nicht zu folgen.

3.5. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht, soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist, ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen.

Die Beschwerdeführerin hat gegenständlich in ihren Beschwerden jeweils einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt.

Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen daher der Abstandnahme von einer mündlichen Verhandlung nicht entgegen. Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (z.B. VfGH 18.06.2012, B 155/12). Ebenso kann nach der Rechtsprechung des Verwaltungsgerichtshofs eine mündliche Verhandlung unterbleiben, wenn die Voraussetzungen hinsichtlich der Klärung des Sachverhalts gegeben sind und auch keine Rechtsfragen aufgeworfen werden, für die eine Erörterung in einer mündlichen Verhandlung erforderlich wäre (vgl. RS VwGH 19.10.2022, Ro 2022/04/0001).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 und Abs. 4 VwGVG abzusehen.

3.6. Zu B) Unzulässigkeit der Revision:

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt.

Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab (siehe oben unter 3.3.2. zit. Judikatur), noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.