W254 2314468-1•Bundesverwaltungsgericht W254 2314468-1
W254 2314468-1Tribunal Administrativo Federal8 de jul. de 2026
Auftragsverarbeiter Auskunftsbegehren Auskunftsrecht Datenschutz Datenschutzbeschwerde Datenschutzverfahren Negativauskunft personenbezogene Daten Sache des Verfahrens
W254 2314468-1/15E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende sowie die fachkundige Laienrichterin Mag. Viktoria HAIDIGER und den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer:in über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 16.04.2025, Zl. D124.1162/23, 2025-0.250.396, (mitbeteiligte Partei: XXXX , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG) betreffend eine datenschutzrechtliche Angelegenheit in nichtöffentlicher Sitzung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. In der gegenständlichen Datenschutzbeschwerde vom 26.02.2023 machte der Beschwerdeführer eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO durch die nunmehrige mitbeteiligte Partei, ein Energieversorgungsunternehmen, geltend.
Der Beschwerdeführer ersuchte zudem um Einleitung eines amtswegigen Prüfverfahrens sowie eines Verwaltungsstrafverfahrens gegen die mitbeteiligte Partei und stellte den Antrag auf Anschluss als Privatbeteiligter mit einer Pauschalsumme von EUR 15.000,00.
2. Mit Bescheid der belangten Behörde vom 14.12.2023 wurde die Datenschutzbeschwerde des Beschwerdeführers als unbegründet abgewiesen (Spruchpunkt 1.) und die Anträge des Beschwerdeführers, ein amtswegiges Prüfverfahren sowie ein Verwaltungsstrafverfahren gegen die mitbeteiligte Partei einzuleiten und über eine Abgeltung seines erlittenen Schadens abzusprechen und ihm Schadenersatz zuzusprechen, zurückgewiesen (Spruchpunkte 2. - 4.).
3. Gegen diesen Bescheid erhob der Beschwerdeführer Bescheidbeschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG an das Bundesverwaltungsgericht, in welcher ausgeführt wurde, dass die von der mitbeteiligten Partei durchgeführten Verarbeitungstätigkeiten (Beauftragung eines Inkassobüros sowie eines Rechtsanwaltes zur Einbringung einer Zivilklage, Führung eines Verfahrens vor dem Zivilgericht) von der belangten Behörde nicht gewürdigt und dazu auch keine Feststellungen getroffen worden seien.
4. Mit Erkenntnis vom 07.01.2025, GZ W108 2286042-1/10E, hob das Bundesverwaltungsgericht den angefochtenen Bescheid hinsichtlich Spruchpunkt 1 auf und verwies die Angelegenheit zur Erlassung eines neuen Bescheides an die belangte Behörde zurück. Die Beschwerde gegen die Spruchpunkte 2 bis 4 wurde als unbegründet abgewiesen.
Begründend führte das Bundesverwaltungsgericht im Wesentlichen aus, dass die belangte Behörde jegliche geeignete Ermittlungstätigkeit zu den vom Beschwerdeführer behaupteten Verarbeitungstätigkeiten der mitbeteiligten Partei durch Beauftragung eines Inkassobüros sowie eines Rechtsanwaltes zur Einbringung einer Zivilklage gegen den Beschwerdeführer und Führung eines Verfahrens vor dem Zivilgericht unterlassen habe. Es seien keine Ermittlungsschritte dazu gesetzt worden, insoweit die vom Beschwerdeführer aufgezeigten Datenverarbeitungen im Rahmen des Auftragsverarbeitungsvertrages zwischen der mitbeteiligten Partei und der N-GmbH erfolgt wären bzw. davon gedeckt seien.
5. Mit dem gegenständlich angefochtenen Bescheid vom 16.04.2025 wies die belangte Behörde die Datenschutzbeschwerde des Beschwerdeführers (neuerlich) als unbegründet ab.
Die belangte Behörde stellte fest, dass die mitbeteiligte Partei und die N-GmbH zur selben Unternehmensgruppe gehören würden. Der Beschwerdeführer habe mit Schreiben vom 20.02.2022 ein – zitiertes – Auskunftsersuchen an die mitbeteiligte Partei gestellt und diese habe die mit – zitiertem – Schreiben vom 10.03.2022 geantwortet, dass sie als Verantwortliche keine Daten zum Beschwerdeführer gespeichert habe sowie weiters darüber informiere, dass sie als Dienstleisterin im Namen der N-GmbH handle und hierbei als Auftragsverarbeiterin agiere. Dem Beschwerdeführer seien in den Jahren 2020 und 2021 Zahlungsaufforderungen eines Inkassobüros zugesandt worden, auf denen die mitbeteiligte Partei als Auftraggeberin aufscheine. Weiters seien dem Beschwerdeführer in den Jahren 2020 sowie 2024 Mahnschreiben einer Rechtsanwaltskanzlei im Namen der mitbeteiligten Partei als Mandantschaft zugeschickt worden. Eine Zivilklage der mitbeteiligten Partei, vertreten durch eine weitere Rechtsanwaltskanzlei, gegen den Beschwerdeführer auf Zahlung eines ausgewiesenen Geldbetrages sei mangels Klagslegitimation gerichtlich zurückgewiesen worden, da zwischen dem Beschwerdeführer und der mitbeteiligten Partei kein Vertragsverhältnis bestehe. Die mitbeteiligte Partei habe mit der N-GmbH einen – auszugsweise zitierten – Auftragsverarbeitungsvertrag geschlossen, dem ein – ebenso auszugsweise zitierter – Rahmen-Dienstleistungsvertrag zugrunde liege. Es bestehe kein Vertragsverhältnis zwischen dem Beschwerdeführer und der mitbeteiligten Partei und dieser sei auch kein Kunde und habe keine Leistungen der mitbeteiligten Partei in Anspruch genommen.
In rechtlicher Hinsicht führte die belangte Behörde im Wesentlichen aus, dass die mitbeteiligte Partei aufgrund des Auftragsverarbeitungsvertrages mit der N-GmbH unter anderem mit der Verarbeitung personenbezogener Daten im Rahmen des Zahlungs- und Mahnwesens beauftragt sei. Dabei sei es durchaus üblich, Inkassobüros mit der Erfüllung der vereinbarten Leistung zu beauftragen, weshalb es nicht unschlüssig sei, dass die mitbeteiligte Partei insoweit als Auftragsverarbeiterin der N-GmbH als Auftraggeberin auftrete. Zwischen der mitbeteiligten Partei und dem Beschwerdeführer bestehe kein Vertragsverhältnis und dieser habe auch nicht die Inanspruchnahme anderer Dienstleistungen der mitbeteiligten Partei behauptet. Folglich sei die mitbeteiligte Partei nicht als Verantwortliche im Sinne der DSGVO zu qualifizieren und keine – über die Erteilung einer Negativauskunft hinausgehende – Auskunftsverpflichtung anzunehmen. Die Beschwerde sei daher abzuweisen.
6. Mit der am 20.05.2025 erhobenen 38 seitige Beschwerde bringt der Beschwerdeführer im Wesentlichen vor, dass die mitbeteiligte Partei in ihrem eigenen Namen und damit als Verantwortliche und nicht als Auftragsverarbeiterin gehandelt hat.
Mit Stellungnahme vom 21.07.2025 führte die mitbeteiligte Partei aus, dass sie als Dienstleisterin im Zahlungsverkehr der N- GmbH lediglich deren Auftragsverarbeiter sei. Mangels Verarbeitung personenbezogener Daten des Beschwerdeführers durch die mitbeteiligte Partei als Verantwortlicher liege durch die Negativauskunft vom 10.3.2022 kein Verstoß gegen Art. 15 DSGVO vor. Dass die XXXX Rechtsanwaltskanzlei GmbH unrichtigerweise im Namen der mitbeteiligten Partei eine Klage gegen den Beschwerdeführer erhoben habe, ändere nichts daran, dass die mitbeteiligte Partei lediglich Auftragsverarbeiter und eben nicht Verantwortlicher in Bezug auf die gegenständlichen personenbezogenen Daten des Beschwerdeführers war.
II. Das Bundesverwaltungsgericht hat erwogen:
1.1. Zur Rechtzeitigkeit der Beschwerde: Der BF wurde am 18.04.2025 schriftlich von der Hinterlegung des Bescheides verständigt. Der Beginn der Abholfrist wurde mit 22.04.2025 angegeben. Die Beschwerde wurde am 20.05.2025 erhoben.
Der Beschwerdeführer richtete einen Antrag auf Auskunft an die Beschwerdegegnerin [mitbeteiligte Partei], den diese mit Schreiben vom 10. März 2022 wie folgt beantwortete (Formatierung nicht 1:1 wiedergegeben, auszugsweise soweit verfahrensrelevant):
Die mitbeteiligte Partei kann grundsätzlich als eigenständige Verantwortliche tätig werden. Sie ist Auftragsverarbeiterin der N-GmbH (Formatierung nicht 1:1 wiedergegeben, auszugsweise soweit verfahrensrelevant):
Gegenstand dieses Auftrages ist die Durchführung der Aufgaben, die sich aus der Dienstleistungsvereinbarung ergeben.
/Dokumente/Bvwg/BVWGT_20260708_W254_2314468_1_00/hauptdokument.img1is.png
Im Rahmen dieser zugeteilten Aufgaben wurden Zahlungsaufforderungen eines Inkasso-Unternehmen im Jahr 2020 und 2021 versandt. Als Auftraggeberin ist die mitbeteiligte Partei angeführt. Eine Mahnung vor Klagseinreichung wurde von einer Rechtsanwälte GmbH im Namen der Mandantschaft der mitbeteiligten Partei zugeschickt. Eine Klage der mitbeteiligten Partei gegen die beschwerdeführende Partei wurde vom BG Neusiedl am See mangels Aktivlegitimation und der Begründung, dass kein Vertragsverhältnis bestehe, abgewiesen.
Diese Tätigkeiten erfolgen aufgrund der zwischen der mitbeteiligten Partei und N-GmbH abgeschlossenen Dienstleistungsvereinbarung sowie Auftragsverarbeitervereinbarung.
Der Beschwerdeführer ist kein Kunde der mitbeteiligten Partei. Beschwerdeführer und mitbeteiligte Partei stehen in keinem Vertragsverhältnis.
Die mitbeteiligte Partei entscheidet nicht über Zweck und Mittel der Datenverarbeitungen, sondern wird lediglich im Auftrag und nach Vorgabe der N-GmbH tätig.
2.1. Die Feststellungen zur Rechtzeitigkeit der Beschwerde ergeben sich aus dem von der DSB übermittelten Zustellnachweis (OZ 8) und der im Akt einliegenden Beschwerde mit Datum 20.05.2025.
Die übrigens Feststellungen ergeben sich aus dem Verwaltungs- bzw. dem Gerichtsakt. Dass die mitbeteiligte Partei lediglich im Auftrag tätig wird, ergibt sich aus der vorgelegten Dienstleistungsvereinbarung und Auftragsverarbeitervereinbarung. Außerdem ergibt sich auch aus dem Urteil des Bezirksgericht Neusiedl, dass keine Vertragsbeziehung zwischen mitbeteiligte Partei und Beschwerdeführer besteht. Die Feststellungen sind im Wesentlichen unstrittig.
Strittig ist letztlich, ob die Zahlungsaufforderung und Mahnung im Namen der mitbeteiligten Partei dazu führt, dass die mitbeteiligte Partei zur Verantwortlichen wird (siehe dazu aber weiter unten zur rechtlichen Beurteilung). Es ist aber der mitbeteiligten Partei in ihrer Stellungnahme zu folgen, dass diese Schreiben fälschlicherweise im eigenen Namen erfolgt sind, da die mitbeteiligte Partei davon ausgeht, dass sie als Auftragsverarbeiter tätig wird.
Zu A) 3.1. Zur Rechtzeitigkeit der Beschwerde:
Hinterlegte Dokumente gelten mit dem ersten Tag der Abholfrist gemäß § 17 Abs 3 Zustellgesetz als zugestellt. Die Abholfrist für das hinterlegte Dokument begann am 22.04.2025. Die vier wöchige Frist zur Erhebung einer Beschwerde endete daher am 20.05.2025. Da die Beschwerde am 20.05.2025 erhoben wurde, erweist sie sich als rechtzeitig.
Art. 4 – DSGVO – Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
[…]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
Art. 28 – DSGVO – Auftragsverarbeiter
(1) Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.
(2) Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
(3) Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
a) die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation — verarbeitet, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;
b) gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
c) alle gemäß Artikel 32 erforderlichen Maßnahmen ergreift;
d) die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;
e) angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;
f) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstützt;
g) nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;
h) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.
Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.
(4) Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter gemäß Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.
(5) Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.
(6) Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer dem Verantwortlichen oder dem Auftragsverarbeiter gemäß den Artikeln 42 und 43 erteilten Zertifizierung sind.
(7) Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 87 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.
(8) Eine Aufsichtsbehörde kann im Einklang mit dem Kohärenzverfahren gemäß Artikel 63 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.
(9) Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.
(10) Unbeschadet der Artikel 82, 83 und 84 gilt ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher.
Art. 29 – DSGVO – Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters
Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.
3.3. Zur Rollenverteilung zwischen Verantwortlicher und Auftragsverarbeiter
Die Begriffe „Verantwortlicher“, und „Auftragsverarbeiter“ spielen bei der Anwendung der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) eine entscheidende Rolle, da sie bestimmen, wer für die Einhaltung der verschiedenen Datenschutzvorschriften verantwortlich ist, und im vorliegenden Fall zur Auskunft verpflichtet ist.
Aus Art. 28 Abs 3 DSGVO ergibt sich, dass Verantwortliche Auftragsverarbeiter beiziehen können. Die Entscheidung, ob ein Auftragsverarbeiter herangezogen wird, obliegt alleine der Verantwortlichen, die auch die Pflicht zur sorgfältigen Auswahl und zum Abschluss eines Vertrages mit bestimmtem Inhalt mit dem Auftragsverarbeiter trifft.
Als Auftragsverarbeiter tätig wird man nur, wenn eine Verarbeitung personenbezogener Daten für einen Verantwortlichen erfolgt und der Dienstleister dabei nicht selbst über Zwecke und wesentliche Mittel der Verarbeitung entscheidet. Maßgeblich ist also die Rollenverteilung: Der Auftragsverarbeiter handelt fremdnützig und auf Veranlassung des Verantwortlichen. Dazu braucht es nach Art. 28 Abs 3 DSGVO eine vertragliche oder sonstige rechtliche Bindung mit dem Verantwortlichen
Unter den Begriff „Weisung“ iSd. Art. 28 Abs. 3 lit a DSGVO und Art. 29 DSGVO fällt „jede an den Normadressaten gerichtete Anordnung, die sich auf den Gegenstand und die Art des Umgangs mit personenbezogenen Daten […] bezieht“. Ob die Weisung daher im Einzelfall erfolgt ist oder durch eine generelle Anordnung, z.B. durch ein Pflichtenprogramm, ist unerheblich, denn „Weisungen können sich […] insbes. auch in Prozessbeschreibungen, Ablaufplänen, Betriebsvereinbarungen, allgemeinen Dienstanweisungen, betrieblichen Dokumentationen sowie Handbüchern manifestieren“ (Martini in Paal/Pauly, Datenschutz-Grundverordnung, Art. 29, Rz. 18 mwN, siehe dazu auch Bertermann in Ehmann/Selmayr, DS-GVO, Art. 29, Rz. 4).
Für die Qualifikation als Verantwortlicher entscheidend ist, wer selbständig und eigenverantwortlich über wesentliche Aspekte der Mittel der Verarbeitung entscheidet; daraus folgt spiegelbildlich, dass ein Auftragsverarbeiter eben gerade nicht über diese wesentlichen Elemente frei entscheiden darf.
3.4. Vor dem Hintergrund ergibt sich für den vorliegenden Sachverhalt Folgendes:
3.4.1. Zunächst ist festzuhalten, dass nach der ständigen Rechtsprechung des Verwaltungsgerichtshofes die „Sache“ des bekämpften Bescheides den äußersten Rahmen für die Prüfbefugnis des Verwaltungsgerichts bildet (vgl. VwGH 09.09.2015, Ra 2015/04/0012). „Sache“ des Beschwerdeverfahrens vor dem Verwaltungsgericht ist somit - ungeachtet des durch § 27 VwGVG vorgegebenen Prüfumfangs - nur jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat (vgl dazu etwa VwGH 17.12.2014, Ra 2014/03/0049; VwGH 22.01.2015, Ra 2014/06/0055; VwGH 26.03.2015, Ra 2014/07/0077). Das Verwaltungsgericht hat also (nur) die Angelegenheit zu entscheiden, die von der Verwaltungsbehörde entschieden wurde.
Im vorliegenden Fall hat die belangte Behörde mit dem angefochtenen Bescheid (lediglich) über die vom Zweitbeschwerdeführer geltend gemachte Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO abgesprochen (vgl. Bescheid S.7). Somit ist es fallbezogen dem Bundesverwaltungsgericht, aufgrund seiner auf die „Sache“ des Beschwerdeverfahrens eingeschränkten Prüfungsbefugnis, verwehrt, über vom Beschwerdeführer darüber hinaus gehend geltend gemachte Verletzungen der Art. 5 und 6 DSGVO abzusprechen, belastet es ansonsten seine Entscheidung mit Rechtswidrigkeit infolge Unzuständigkeit (siehe zuletzt VwGH 25.06.2024, Ra 2022/04/0167).
Bleibt eine Verwaltungsbehörde in ihrer bescheidförmigen Erledigung eines Antrages hinter diesem zurück, ist es in der Regel nicht die Aufgabe des Verwaltungsgerichts im Bescheidbeschwerdeverfahren, das dadurch möglicherweise begründete rechtswidrige Behördenverhalten durch eine vollumfängliche Erledigung des Antrags zu beseitigen. Vielmehr steht für solche Konstellationen das Säumnisbeschwerdeverfahren gemäß Art. 130 Abs. 1 Z 3 B-VG zur Verfügung (vgl. erneut VwGH 25.06.2024, Ra 2022/04/0167).
3.4.2. Im vorliegenden Verfahren ist die Frage zu klären, ob die mitbeteiligte Partei in Bezug auf den Beschwerdeführer als Auftragsverarbeiter oder als Verantwortliche tätig geworden ist. Wurde sie lediglich als Auftragsverarbeiter tätig, ist die erteilte Auskunft, dass keine Daten vorliegen, richtig.
Wie sich aus den Unterlagen der mitbeteiligten Partei ergibt, die den Feststellungen zu Grunde gelegt wurden, ist die mitbeteiligte Partei dazu beauftragt worden, den Zahlungsverkehr für die N-GmbH zu erledigen. Im Rahmen des Zahlungsverkehrs ist die mitbeteiligten Partei unter anderem im Zahlungs- und Mahnwesen, als auch in der Rechtsfallbearbeitung von der N-GmbH eingebunden. Die Zahlungsaufforderung und Mahnung ist daher in Übertragung dieser Aufgaben erfolgt und von der Auftragsverarbeitungsvereinbarung gedeckt. Eine Überschreitung der Befugnisse ist im Verfahren nicht hervorgekommen. Aufgrund der primär faktischen Beurteilung einer Rolle macht eine unrichtige Bezeichnung, wie sie irrtümlicherweise vorgekommen ist, einen Auftragsverarbeiter nicht zum Verantwortlichen.
Eine bloß unrichtige Bezeichnung – wie sie von der mitbeteiligten Partei auch eingeräumt wird - ändert nämlich nichts daran, dass die mitbeteiligte Partei lediglich Auftragsverarbeiter und eben nicht Verantwortlicher in Bezug auf die gegenständlichen personenbezogenen Daten des Beschwerdeführers ist.
Das Urteil des BG Neusiedl ist auch ein Indiz dafür, dass die mitbeteiligte Partei nur im Auftrag tätig geworden ist, auch wenn zivilrechtliche Ergebnisse nicht zwingend auf die Rollenverteilung im Datenschutz umgelegt werden können. Es ist im Verfahren jedoch hervorgekommen, dass die mitbeteiligte Partei nur im Auftrag und nicht für eigene Forderungen tätig geworden ist. Daher ist die N-GmbH als Verantwortliche die zuständige Stelle, die zur Auskunft verpflichtet ist, nicht aber der Auftragsverarbeiter, weshalb die Beschwerde als unbegründet abzuweisen ist.
3.5. Zum Entfall einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Art. 6 Abs. 1 EMRK und Art. 47 der Charta der Grundrechte der Europäischen Union nicht entgegen.
Zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Conecte o Omnilex para pesquisar o corpus jurídico pelo seu assistente de IA.