W214 2008456-1•BVwG W214 2008456-1
W214 2008456-1Bundesverwaltungsgericht10.09.2014
Begründungsmangel, Datenspeicherung, Datenverwendung,<br/>Ermittlungspflicht, Geheimhaltung, Hausdurchsuchung, Parteiengehör,<br/>personenbezogene Daten, Sachverhaltsfeststellungen,<br/>Sachverständigengutachten, Verfahrensmangel, Zeugenbeweis
W214 2008456-1/6E
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende, den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzer sowie die fachkundige Laienrichterin Mag. Claudia KRAL-BAST als Beisitzerin über die Beschwerde der XXXX (Erstbeschwerdeführerin) und über die Beschwerde des XXXX (Zweitbeschwerdeführer), beide vertreten durch XXXX, gegen den Bescheid der Datenschutzbehörde vom 05.03.2014, Zl. XXXX, beschlossen:
A)
In Erledigung beider Beschwerden wird der bekämpfte Bescheid gemäß § 28 Abs. 3 2. Satz VwGVG behoben und die Angelegenheit an die Datenschutzbehörde zurückverwiesen.
B)
Die Revision ist gemäß Art 133 Abs. 4 B-VG nicht zulässig.
BEGRÜNDUNG:
Verfahrensgang
1. Mit Beschluss vom XXXX, GZ XXXX, ordnete das Oberlandesgericht Wien als Kartellgericht über Antrag der Bundeswettbewerbsbehörde (im Folgenden: "mitbeteiligte Partei") wegen des begründeten Verdachts an der Teilnahme an vertikalen Preisabstimmungen der Erstbeschwerdeführerin mit Unternehmen der XXXX sowie horizontalen Preisabstimmungen des Einzelhandels über Unternehmen der XXXX gemäß § 12 Abs. 1 WettbG eine Hausdurchsuchung in den Geschäftsräumlichkeiten und Fahrzeugen der Erstbeschwerdeführerin am Standort XXXX und die Sicherstellung von physischen und elektronischen Kopien an. Mit der Durchführung der Hausdurchsuchung wurde vom Kartellgericht die mitbeteiligte Partei beauftragt.
Am 19.08.2013 betraten Mitarbeiter der mitbeteiligten Partei gemeinsam mit Mitarbeitern des Bundeskriminalamtes (im Folgenden: BK) die Geschäftsräumlichkeiten der Erstbeschwerdeführerin in XXXX, übergaben den Hausdurchsuchungsbefehl und setzten diesen in Vollzug. In weiterer Folge wurde seitens der mitbeteiligten Partei an den Laptop des Zweitbeschwerdeführers ein USB-Stick des BK angeschlossen und darauf befindliche Softwareprogramme wurden aufgerufen. Weiters wurden mit dem Programm "XXXX", welches Bestandteil der Windowsinstallation des PC des Zweitbeschwerdeführers ist, zwei Screenshots erstellt und auf einem USB-Stick des BK gespeichert.
2. Mit an die mitbeteiligte Partei gerichtetem Schreiben vom 21.08.2013 begehrte die Erstbeschwerdeführerin im Wesentlichen Informationen darüber, welche Programme sich auf dem eingesetzten USB-Stick befunden hätten, welche Programme hievon ausgeführt worden seien, welche Informationen von diesen Programmen aufgezeichnet und welche sensiblen Benutzerdaten erfasst worden seien, sowie eine Dokumentation der Software in Form eines Benutzerhandbuches.
3. Mit an die mitbeteiligte Partei gerichtetem und von dieser an die Erstbeschwerdeführerin weitergeleiteten E-Mail des BK vom selben Tag teilte diese mit, dass die Programme "XXXX" und "XXXX" eingesetzt worden seien. Es handle sich hiebei um forensische Hilfsmittel und nicht wie behauptet um Schadsoftware. "XXXX" sei es auf Grund fehlender administrativer Rechte nicht möglich gewesen, eine XXXX vorzunehmen. Die Ausführung von "XXXX" sei durch den installierten Virenschutz verhindert worden und es sei das Programm vor Abschluss des Scanvorganges beendet worden, weshalb keine Log Files und dergleichen gespeichert worden seien. Zusätzlich seien mit dem in Windows 7 integrierten Programm "XXXX" zwei Screenshots erstellt und an dem angesteckten USB-Stick gespeichert worden.
4. Mit einem weiteren E-Mail der mitbeteiligten Partei vom 21.08.2013 wurden der Erstbeschwerdeführerin über deren Anfrage die beiden erstellten Screenshots übermittelt.
5. In einem weiteren an die mitbeteiligte Partei gerichteten Scheiben der Erstbeschwerdeführerin vom 27.08.2013 führte diese aus, dass das Schreiben vom 21.08.2013 als Auskunftsverlangen im Sinne des § 26 DSG 2000 zu verstehen gewesen sei. Die Erstbeschwerdeführerin erwarte daher die vollständige Beantwortung der im Schreiben vom 21.08.2013 gestellten Fragen, die Übermittlung der forensischen Auswertung der Daten und Programme auf dem verwendeten USB-Stick sowie die förmliche Auskunft darüber, auf Grund welcher Gesetzesbestimmung die gegenständliche Datenanwendung erfolgt sei.
6. Mit E-Mail vom 28.08.2013 teilte die mitbeteiligte Partei erneut mit, dass ihrerseits sowie seitens des BK keine elektronischen Daten mitgenommen worden seien. Auf Grund fehlender administrativer Rechte sei es nicht möglich gewesen, Inhalte auszulesen und die beiden Programme seien daher gestoppt worden. Daher sei nach Auskunft des BK hundertprozentig auszuschließen, dass ein XXXX gecrackt worden sei. Es befänden sich keine Daten der Erstbeschwerdeführerin auf dem Stick. Betreffend die forensische Auswertung des Sticks habe das BK die Beschwerdegegnerin darauf hingewiesen, dass aus Gründen der Amtsverschwiegenheit die Ausfolgung nicht möglich sei.
7. In ihrer Beschwerde vom 03.09.2013, bei der Datenschutzkommission (im Folgenden: DSK), eingelangt am 05.09.2013, behauptete die Erstbeschwerdeführerin eine Verletzung im Recht auf Geheimhaltung sowie im Recht auf Auskunft durch die mitbeteiligte Partei.
Diese habe mit Unterstützung von Mitarbeitern des BK am 19.08.2013 in den Geschäftsräumlichkeiten der Erstbeschwerdeführerin am Standort XXXX, eine kartellgerichtlich angeordnete Hausdurchsuchung durchgeführt. Der Hausdurchsuchungsbefehl vom XXXX habe die Sicherstellung physischer und elektronischer Kopien angeordnet. Der Untersuchungsgegenstand sei auf Produkte der XXXX eingegrenzt gewesen.
Im Zuge der Hausdurchsuchung sei an den Laptop des Zweitbeschwerdeführers ein USB-Stick des BK angeschlossen worden. In weiterer Folge habe die Antiviren-Software der Erstbeschwerdeführerin eine Attacke auf den Rechner des Zweitbeschwerdeführers registriert und auf dieses Ereignis reagiert.
Die Erstbeschwerdeführerin habe, um das exakte Bedrohungspotential der eingesetzten Schadsoftware abklären zu können, den IT-Sachverständigen DI XXXX beigezogen und ihm den Laptop des Zweitbeschwerdeführers übergeben. Der Sachverständige habe festgestellt, dass zumindest zwei XXXXprogramme, "XXXX" und "XXXX", von dem gegenständlichen USB-Stick aus aufgerufen worden seien, wobei das aufrufende Programm "XXXX" gewesen sei. Weiters seien das Programm "XXXX", das den Zugriff auf XXXXermögliche, sowie das Programm "XXXX", das den Zugriff auf XXXX erlaube, eingesetzt worden.
Darüber hinaus seien von der Erstbeschwerdeführerin mit Schreiben vom 21.08.2013 Informationen darüber angefordert worden, welche Programme sich auf dem eingesetzten USB-Stick befunden hätten, welche Programme hievon ausgeführt worden seien, welche Informationen von diesen Programmen aufgezeichnet und welche sensiblen Benutzerdaten (z. B. XXXX, personenbezogene Daten - dies auch vor dem Hintergrund der Informationspflichten und Betroffenenrechte nach dem DSG 2000 etc.) erfasst worden seien. Verlangt worden sei auch eine Dokumentation der Schadsoftware in Form eines (elektronischen) Benutzerhandbuches.
Die mitbeteiligte Partei habe eine von ihr eingeholte diesbezügliche Auskunft des BK an die Erstbeschwerdeführerin weitergeleitet. In dieser sei mitgeteilt worden, dass die Programme "XXXX" und "XXXX" ausgeführt worden seien. Das BK habe behauptet, der installierte Virenscan habe die Ausführung der Programme verhindert. Weitere Informationen seien von der Beschwerdegegnerin verweigert worden. Insbesondere sei die geforderte Dokumentation nicht geliefert worden. Es sei jedoch ein einseitiger Auszug aus dem Benutzerhandbuch zum Programm "XXXX" übermittelt worden. XXXX.
Mit Schreiben vom 23. und 27.08.2013 seien die geforderten Informationen urgiert worden.
In den Schreiben vom 23. und 28.08.2013 habe die mitbeteiligte Partei behauptet, dass keine elektronischen Daten von Seiten der mitbeteiligten Partei oder ihrer Hilfsorgane mitgenommen worden seien und dass es sich bei der eingesetzten Software um ein forensisches Auswertungsprogramm handeln würde. Nach Auskunft des BK könne ausgeschlossen werden, dass ein XXXX gecrackt worden sei. Darüber hinausgehende Informationen könnten aus rechtlichen Gründen nicht bekannt gegeben werden.
Die Erstbeschwerdeführerin machte geltend, die Beschwerdegegnerin habe durch den Einsatz der Spionage-Software die Grenze des Untersuchungsgegenstandes, sohin den Zweck der Datenverwendung massiv überschritten und somit das Grundrecht auf Datenschutz verletzt. XXXX.
Weiters verweigere die mitbeteiligte Partei mit dem Hinweis auf die Amtsverschwiegenheit begründungslos die begehrte Auskunft. Es lägen keine überwiegenden Interessen der Beschwerdegegnerin an der Verweigerung der Auskunft vor, was bereits durch den Umstand belegt werde, dass der Einsatz der Spionage-Software unzulässig und die diesbezügliche Verwendung von Daten daher jedenfalls rechtswidrig gewesen sei.
8. Mit Urkundenvorlage vom 07.10.2013 legte die Erstbeschwerdeführerin ein Gutachten des IT-Sachverständigen DI XXXX vom 29.09.2013 sowie eine gutachterliche Stellungnahme des ao. Univ.-Prof. Dr. XXXX vom 06.10.2013 vor.
Aus dem Gutachten vom 29.09.2013 ergibt sich zusammengefasst, dass das Programm "XXXX" zwei Programme ("XXXX" und "XXXX") zur Offenlegung von, auf dem Notebook gespeicherten, Benutzerkonten und Kennwörtern aufgerufen habe, "XXXX" sei jedoch vom Virenschutz erkannt worden. Es sei davon auszugehen, dass der Einsatz fehlgeschlagen sei. Der Aufruf dieser beiden Programme spreche dafür, dass auch das Programm "XXXX" aufgerufen worden sei.
"XXXX" rufe eine Reihe von Programmen Dritter auf, werde von XXXX in Fällen von XXXX und anderen schweren Straftaten eingesetzt und stelle folgende Funktionen bereit:
XXXX Nach Rücksprache mit dem Autor der Software (XXXX) stehe fest, dass "XXXX" alle durchgeführten Vorgänge in einer Protokolldatei speichere und nicht abgebrochen werde, wenn der Virenschutz eine Teilkomponente löschen sollte. "XXXX" brauche für einen vollständigen Durchlauf XXXX.
Die nachweisbare Dauer von XXXX, während der der USB-Stick an dem System angeschlossen gewesen sei, sei bei weitem ausreichend gewesen, um zahlreiche Daten zu sammeln.
Auch das Programm "XXXX" sei aufgerufen worden. Dieses Programm erstelle eine Kopie der im Arbeitsspeicher enthaltenen Daten. Im vorliegenden Fall sei die Ausführung von "XXXX" womöglich wegen unzureichender Benutzerrechte abgebrochen worden. Darüber hinaus sei das Programm "XXXX" eingesetzt worden. XXXX.
9. Die mitbeteiligte Partei replizierte mit Schreiben vom 18.10.2013 Folgendes: Zutreffend sei zunächst, dass im Zuge der Hausdurchsuchung anfänglich elektronische Daten auf eine Festplatte der mitbeteiligten Partei kopiert worden seien. Diese Festplatte sei in weiterer Folge am 20.8.2013 - noch während der laufenden Hausdurchsuchung - an die Erstbeschwerdeführerin ausgehändigt worden, damit sämtliche auf der Festplatte befindlichen Daten gelöscht würden. Dies sei auch in der Niederschrift über die Hausdurchsuchung vermerkt.
Was den Vorwurf des Einsatzes von "Spionage-Software" betreffe, so handle es sich bei der eingesetzten Software um ein forensisches Auswertungsprogramm, welches von Behörden zum Zweck der Beweismittelsicherung international anerkannt sei. Da seitens der Erstbeschwerdeführerin die von der Beschwerdegegnerin verlangten Auskünfte zu bestimmten Unterlagen betreffend Bier verweigert worden seien, sei der Einsatz einer forensischen Software zwingend notwendig gewesen.
XXXX.
Die Programme seien zwar gestartet, aber nicht ausgeführt worden, da keine administrativen Rechte gegeben gewesen seien und die Sicherheitssoftware der Erstbeschwerdeführerin die Ausführung blockiert habe. Es seien daher keine elektronischen Daten im Zuge der Hausdurchsuchung sichergestellt und weitergegeben worden. Der Erstbeschwerdeführerin sei mehrmals mitgeteilt worden, dass die mitbeteiligte Partei über keine elektronischen Daten der Erstbeschwerdeführerin verfüge. Eine Verletzung des Rechts auf Auskunft liege damit nicht vor.
10. Dazu äußerte sich die Erstbeschwerdeführerin in der im Rahmen des Parteiengehörs abgegebenen Stellungnahme vom 06.11.2013 im Wesentlichen folgendermaßen:
Die nunmehrigen Aussagen der mitbeteiligten Partei, es seien sämtliche kopierte Daten gelöscht worden, seien insofern unglaubwürdig, als sie in diametralem Gegensatz zu öffentlich getätigten Aussagen von Vertretern der mitbeteiligten Partei stünden. Die Behauptung, es seien keinerlei Daten mitgenommen worden, stünden überdies aber auch nicht mit der Funktionsweise der von der mitbeteiligten Partei eingesetzten Software in Einklang und seien zudem durch Aussagen der Beschwerdegegnerin hinsichtlich Protokolldateien und der von der mitbeteiligten Partei vorgelegten Screenshots auch faktisch leicht widerlegbar. Schließlich unterliege die mitbeteiligte Partei dem Irrtum, das Grundrecht auf Datenschutz könne nur durch die "Sicherstellung" elektronischer Daten verletzt sein. Sie lasse dabei aber völlig außer Acht, dass der Einsatz der Software, selbst wenn keine Daten sichergestellt worden sein sollten, eine Datenanwendung iSd § 4 DSG 2000 darstelle, der nicht gerechtfertigt sei.
Soweit die mitbeteiligte Partei in ihrer Gegenschrift behauptet habe, es sei zu keiner Verletzung des Rechts auf Geheimhaltung gekommen, weil die auf Festplatten sichergestellten Dateien wieder gelöscht worden seien, vermenge sie unterschiedliche Sachverhalte und versuche, vom eigentlichen Thema der Beschwerde abzulenken:
Gegenstand der Beschwerde sei nicht die - im Zuge von Hausdurchsuchungen durchaus übliche - "Spiegelung" einzelner Festplatten ausgewählter Mitarbeiter, sondern vielmehr der in der Beschwerde und dem Sachverständigen-Gutachten ausführlich beschriebene heimliche Einsatz mehrerer Programme mittels USB-Stick.
"XXXX" laufe auch dann weiter, wenn der Virenschutz eine Teilkomponente lösche. Der Einsatz von "XXXX" sei nicht erforderlich gewesen, XXXX. Es sei für die Mitarbeiter der Beschwerdegegnerin als angemeldete User ohne weiteres möglich gewesen, die Daten zu durchsuchen und mit Windowsfunktionen zu kopieren. Der Einsatz von "XXXX" und "XXXX" sei daher bei weitem exzessiv gewesen.
Durch den Einsatz der Software zur XXXX habe die Beschwerdegegnerin losgelöst von jeglicher Form der Sicherstellung personenbezogene Daten der Erstbeschwerdeführerin in rechtswidriger und unverhältnismäßiger Weise verarbeitet. Jede Verwendung von Daten, nicht nur die Speicherung, stelle einen Eingriff in das Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG 2000 dar, der nur dann gerechtfertigt werden könne, wenn die dort genannten und die in §§ 6 und 7 DSG 2000 näher ausgestalteten Voraussetzungen erfüllt seien. Dass es zu einer Datenverarbeitung gekommen sei, zeige sich weiters anhand der durch die mitbeteiligte Partei am 21.10.2013 übermittelten Screenshots sowie an diversen, im Zuge der Hausdurchsuchung kopierten und später gelöschten Festplatten. Zudem verfüge die Beschwerdegegnerin nach eigenen Angaben in der Telefonkonferenz vom 21.10.2013 über eine von "XXXX" angefertigte Protokolldatei, die auch personenbezogene Daten der Erstbeschwerdeführerin enthalte.
Dieser Stellungnahme lag eine (rechts)gutachterliche Stellungnahme von Prof. Dr. XXXX vom 08.10.2013 bei.
11. Mit Schreiben vom 20.11.2013 übermittelte die DSK der mitbeteiligten Partei die von der Erstbeschwerdeführerin vorgelegten Gutachten sowie weitere Fragen mit der Aufforderung um Stellungnahme. Weiters wurde um Übermittlung des bei der Hausdurchsuchung eingesetzten USB-Stick zwecks allfälliger Auswertung durch einen Sachverständigen ersucht.
12. Die mitbeteiligte Partei nahm mit Schriftsatz vom 16.12.2013 dazu Stellung: Zunächst wurde darin angemerkt, dass sie die DSK für nicht zuständig erachte. Ein Großteil der gegen die mitbeteiligte Partei erhobenen Vorwürfe habe eine behauptete Unverhältnismäßigkeit betreffend die Vorgangsweise während der Hausdurchsuchung zum Gegenstand. Diese Vorwürfe seien jedoch zugleich Gegenstand von Maßnahmenbeschwerden. Zahlreiche Behauptungen betreffend den Einsatz der forensischen Programme würden bereits durch das von der Erstbeschwerdeführerin vorgelegte Privatgutachten selbst widerlegt. Zur Aufklärung der erhobenen Vorwürfe erkläre sich das BK im Zuge dieses Verfahrens bereit, die Einsicht in die hier verfahrensgegenständlichen Programme in den Räumlichkeiten des BK zu gestatten und entsprechend zu erläutern.
Des Weiteren wiederholte die mitbeteiligte Partei Ihre Aussage, dass eine Sicherstellung elektronischer Daten im Zuge der Hausdurchsuchung nicht erfolgt sei. Zur Frage, weshalb für die Durchsuchung des Laptops des Zweitbeschwerdeführers der Einsatz der verfahrensgegenständlichen Software erforderlich gewesen sei und warum nicht wie bei anderen Mitarbeitern eine Spiegelung der Festplatte vorgenommen worden sei, führte die mitbeteiligte Partei aus, dass eine Spiegelung der Festplatte ein unverhältnismäßig schwerer Eingriff in das System sei, da das System dazu heruntergefahren und alle, insbesondere auch nicht fallbezogene Daten, auf einen Datenträger kopiert würden. Das gelindeste, nicht invasive Mittel zur selektiven Auffindung von elektronischen Beweismitteln sei die werkzeuggestützte Nachschau (Einsichtnahme) auf dem laufenden System, wie sie hier vorgenommen worden sei. Die Erstbeschwerdeführerin habe die Erteilung der Administratorenrechte verweigert. XXXX.
Das Programm "XXXX" habe nur unter den eingeschränkten Benutzerrechten des zum Zeitpunkt der Hausdurchsuchung am gegenständlichen PC angemeldeten Zweitbeschwerdeführers ausgeführt werden können. XXXX. Das Programm sei daher beendet worden, ohne Daten aufzuzeichnen. Die zu einer erfolgreichen Ausführung des Programms notwendigen Administratorrechte seien der Beschwerdegegnerin seitens der Erstbeschwerdeführerin nicht zur Verfügung gestellt worden.
"XXXX" sei ein Bestandteil von "XXXX" und werde von diesem automatisiert aufgerufen. Da "XXXX" ebenfalls nur mit den eingeschränkten Benutzerrechten des Zweitbeschwerdeführers ausgeführt habe werden können und außerdem vom Sicherheitssystem der XXXX-IT an der Ausführung der eigentlich operativen "Kindprozesse" XXXX gehindert worden sei, seien weder durch "XXXX" noch durch "XXXX" Daten erfasst und aufgezeichnet worden.
XXXX.
Die Behauptung des Sachverständigen zum Programmverhalten von "XXXX" (Seite 53) seien auf die gegenständliche Causa nicht anwendbar, da sie von anderen Sachverhalten im Ausführungskontext von "XXXX" ausgingen. Konkret habe "XXXX" aufgrund einer Antivirenlösung der Erstbeschwerdeführerin nicht erfolgreich ausgeführt werden können. Die Kombination von unzureichenden Benutzerrechten sowie dem Einschreiten der Antivirenlösung habe zu einem Programm "deadlock" geführt. XXXX. Dadurch seien auch keine Protokolldateien von "XXXX" aufgezeichnet worden.
Die Screenshots, die die mitbeteiligte Partei der Erstbeschwerdeführerin übermittelt habe, seien mit dem Programm "XXXX" erstellt worden, welches Bestandteil der lokalen Windowsinstallation des Laptops des Zweitbeschwerdeführers sei. Diese Screenshots seien auf einem Datenträger des BK (USB-Stick) gespeichert worden.
13. Darauf reagierte die Erstbeschwerdeführerin in ihrem Schreiben vom 17.01.2014 im Wesentlichen folgendermaßen:
Der Einsatz der Programme "XXXX" und "XXXX" sei - anders als die mitbeteiligte Partei zu behaupten versuche - für die zielgerichtete und im Einklang mit den Grundsätzen des Datenschutzrechts erfolgende Durchsuchung großer Datenmengen im Zuge von Hausdurchsuchungen keinesfalls geeignet, gebräuchlich oder gar "best practice".
XXXX. Nach den im Gutachten vom 29.09.2013 zitierten Aussagen des Entwicklers von "XXXX" laufe dieses weiter, wenn der Virenschutz eine Teilkomponente löschen sollte. Es stehe daher aus technischer Sicht fest, dass - selbst wenn ein einzelnes Unterprogramm tatsächlich abgebrochen worden sein sollte - die anderen Unterprogramme von "XXXX" vollständig ausgeführt würden.
Der Einsatz von "XXXX" sei nicht notwendig gewesen, da die mitbeteiligte Partei auf alle dem Zweitbeschwerdeführer zugänglichen Daten in unverschlüsselter Form zugreifen können habe.
Der Einsatz des Programmes "XXXX" sei ohne Untersuchung des eingesetzten USB-Sticks nicht mit absoluter Sicherheit nachweisbar, aber sehr wahrscheinlich. Die Aussagen des Entwicklers und auch das Handbuch von "XXXX" würden belegen, dass "XXXX" sämtliche Vorgänge protokolliere, selbst wenn der Virenschutz eine Teilkomponente unschädlich machen sollte. Dass "XXXX" im Zuge der Hausdurchsuchung keine Daten aufgezeichnet habe, sei demnach aus technischer Sicht undenkbar.
Weiters wurde in der Stellungnahme die Zuständigkeit der Datenschutzbehörde (im Folgenden: belangte Behörde) [die mit 01.01.2014 eingerichtet wurde und die Verfahren der aufgelösten DSK weiterführte, Anm.] behauptet. Zu einer weiteren Klärung des Sachverhalts sei die von der belangten Behörde beabsichtigte Auswertung der während der Hausdurchsuchung eingesetzten USB-Medien und Protokolldateien durch einen externen Sachverständigen unabdingbar. Eine bloße Vorführung von Programmen in den Räumlichkeiten des BK würde nicht genügen. Die Erstbeschwerdeführerin beantrage im Falle einer Vorführung der Software, dass diese auf "neutralem Boden" (etwa in den Räumlichkeiten der belangten Behörde) und in Anwesenheit der Erstbeschwerdeführerin und dessen Sachverständigen durchzuführen sei.
14. Mit Schreiben vom 17.02.2014 gab der Zweitbeschwerdeführer bekannt, die Erstbeschwerdeführerinvertreter mit seiner anwaltlichen Vertretung beauftragt zu haben. Der Zweitbeschwerdeführer erhob das gesamte bisherige Vorbringen der Erstbeschwerdeführerin, soweit sich dieses auf das Recht auf Geheimhaltung personenbezogener Daten nach § 1 Abs. 1 DSG 2000 beziehe, vollumfänglich zu seinem eigenen Vorbringen und beantragte, die belangte Behörde möge feststellen, dass die mitbeteiligte Partei ihn in seinem Recht auf Geheimhaltung verletzt habe.
Mit demselben Schreiben legten die Beschwerdeführer das Benutzerhandbuch zu "XXXX" vor.
15. Mit Bescheid vom 5.3.2014, GZ XXXX, wies die belangte Behörde die Beschwerde der Erstbeschwerdeführerin und des Zweitbeschwerdeführers wegen Verletzung im Recht auf Geheimhaltung personenbezogener Daten wegen Unzuständigkeit zurück. Die Beschwerde der Erstbeschwerdeführerin wegen Verletzung im Recht auf Auskunft wurde als unbegründet abgewiesen.
Begründend führte die belangte Behörde aus, dass der verfahrensgegenständliche Einsatz mehrerer Softwareprogramme mittels USB-Stick durch die mitbeteiligte Partei im Rahmen einer gemäß § 12 Abs. 1 WettbG kartellgerichtlich angeordneten Hausdurchsuchung stattgefunden habe. Eine Zuständigkeit der belangten Behörde zur Überprüfung sei gemäß § 31 Abs. 2 DSG 2000 nur insoweit gegeben, als es sich beim Einsatz der auf dem USB-Stick enthaltenen Programme nicht um einen Akt der mitbeteiligten Partei im Dienste der Gerichtsbarkeit gehandelt habe, was nur dann in Betracht käme, wenn das Handeln der mitbeteiligten Partei im Verhältnis zum erteilten Auftrag überschießend, d. h. zur Erfüllung des Auftrages offensichtlich nicht erforderlich gewesen sei. Im Hausdurchsuchungsbefehl habe das zuständige Gericht eine "Hausdurchsuchung in den Geschäftsräumlichkeiten und Fahrzeugen [der Erstbeschwerdeführerin] am Standort XXXX, und die Sicherstellung von physischen und elektronischen Kopien" angeordnet. Die Beschwerdeführer hätten zwar vorgebracht, dass der Einsatz der Software unverhältnismäßig und exzessiv gewesen sei, hätten aber nicht vorgebracht, dass das Handeln der mitbeteiligten Partei im Verhältnis zum erteilten Auftrag überschießend, d. h. zur Erfüllung des Auftrages offensichtlich nicht erforderlich gewesen sei. Die beiden von den Beschwerdeführern angeführten Screenshots seien mit dem Programm "XXXX", welches Teil der Windowsinstallation des PC des Zweitbeschwerdeführers sei, und somit nicht mit der beschwerdegegenständlichen Software, erstellt worden. Darüber hinaus hätten die Beschwerdeführer aber auch nicht vorgebracht, dass durch die Erstellung der Screenshots Daten ermittelt worden wären, die nicht vom Hausdurchsuchungsbefehl gedeckt gewesen wären. Auch die Spiegelung diverser Festplatten sei nicht durch die auf dem USB-Stick gespeicherten Programme erfolgt und daher ebenfalls nicht vom Beschwerdegegenstand umfasst. Dies habe die Erstbeschwerdeführerin (und dementsprechend auch der Zweitbeschwerdeführer) in der Stellungnahme vom 06.11.2013 explizit ausgeschlossen.
Selbst wenn man annehmen wolle, der Einsatz der verfahrensgegenständlichen Software sei vom richterlichen Hausdurchsuchungsbefehl nicht gedeckt gewesen, würde der Beschwerde kein Erfolg beschieden sein. Wie sich aus dem von der belangten Behörde erhobenen Sachverhalt ergebe, sei die Ermittlung (und dementsprechend auch eine Übermittlung) von personenbezogenen Daten der Beschwerdeführer durch die auf dem USB-Stick befindliche Software fehlgeschlagen. Die mitbeteiligte Partei habe durch den beschwerdegegenständlichen Softwareeinsatz zwar versucht, Daten zu erheben, diese versuchte Datenerhebung sei aber nicht erfolgreich abgeschlossen worden. Das Recht auf Geheimhaltung bewirke den Schutz vor Ermittlung personenbezogener Daten. Habe eine Datenermittlung - so wie hier - nicht stattgefunden und seien Daten daher nach wie vor als geheim zu qualifizieren, schließe dies logisch weitere datenschutzrechtlich relevante Verwendungsschritte nach §§ 4 Z 9 oder 12 DSG 2000 oder eine Verletzung im Recht auf Geheimhaltung aus. Die beiden von der Erstbeschwerdeführerin vorgelegten rechtsgutachterlichen Stellungnahmen würden von einer erfolgreichen Datenermittlung im vorliegenden Fall ausgehen; daher seien die dort gezogenen Schlüsse auf den hier festgestellten Sachverhalt nicht übertragbar.
Was die behauptete Verletzung des Rechts auf Auskunft betrifft, führte die belangte Behörde Folgendes aus: Mit Schreiben vom 21.08.2013 habe die Erstbeschwerdeführerin Informationen darüber begehrt, welche Programme sich auf dem eingesetzten USB-Stick befunden hätten, welche davon ausgeführt worden seien und welche Geräte davon betroffen gewesen seien, welche Informationen von diesen Programmen aufgezeichnet und welche sensiblen Benutzerdaten (z. B. XXXX, personenbezogene Daten - dies auch vor dem Hintergrund der Informationspflichten und Betroffenenrechte nach dem DSG 2000 etc.) erfasst worden seien, sowie eine Dokumentation der Software in Form eines Benutzerhandbuchs. Mit Schreiben vom 23. und 27.08.2013 habe die Erstbeschwerdeführerin darüber hinaus Informationen zur Seriennummer des USB-Sticks sowie der forensischen Auswertung der Daten und Programme auf dem verwendeten USB-Stick urgiert.
Die mitbeteiligte Partei habe der Erstbeschwerdeführerin seit dem 21.08.2013 in diversen E-Mails sowie mündlich in der Telefonkonferenz mitgeteilt, keine elektronischen Daten sichergestellt/mitgenommen/auf dem verwendeten USB-Stick gespeichert zu haben. Mit E-Mail vom 28.08.2013 habe die mitbeteiligte Partei der Erstbeschwerdeführerin darüber hinaus mitgeteilt, dass das BK die Beschwerdegegnerin darauf hingewiesen habe, dass die Ausfolgung der forensischen Auswertung des Sticks aus Gründen der Amtsverschwiegenheit nicht möglich sei. Die mitbeteiligte Partei habe der Erstbeschwerdeführerin mit ihrer Auskunft, keine elektronischen Daten der Erstbeschwerdeführerin erhoben zu haben, eine Negativauskunft im Sinne des § 26 Abs. 1 DSG 2000 erteilt. Diese Auskunft entspreche den Feststellungen der belangten Behörde, wonach die mitbeteiligte Partei durch den beschwerdegegenständlichen Softwareeinsatz im Zuge der Hausdurchsuchung keine Daten der Beschwerdeführer ermittelt habe. § 26 Abs. 1 DSG 2000 räume der Erstbeschwerdeführerin daher allein ein Recht auf Auskunft über die zu ihrer eigenen Person verarbeiteten personenbezogenen Daten ein. Ein Recht auf die Erteilung von Informationen über die bei der Hausdurchsuchung eingesetzten Programme, auf Übermittlung des Benutzerhandbuchs, auf die Bekanntgabe der Seriennummer des eingesetzten USB-Sticks oder Übermittlung einer vollständigen forensischen Auswertung des eingesetzten USB-Sticks (losgelöst von einem konkreten Personenbezug) könne im Sinne der Rechtsprechung aus § 26 DSG 2000 nicht abgeleitet werden. Die Screenshots und die Spiegelung von Festplatten personenbezogener Daten seien nicht Gegenstand des Auskunftsbegehrens gewesen. Darüber hinaus sei in diesem Zusammenhang festzuhalten, dass die beiden Screenshots der Erstbeschwerdeführerin bereits am 21.08.2013 übermittelt und damit beauskunftet worden seien. Zum Vorbringen der Erstbeschwerdeführerin, der mitbeteiligten Partei müssten nach deren eigenen Angaben anlässlich der Telefonkonferenz vom 21.08.2013 personenbezogene Daten in Form einer von "XXXX" erstellten Protokolldatei vorliegen, über die Auskunft erteilt hätte werden müssen, sei auszuführen, dass in dem von der Erstbeschwerdeführerin vorgelegten Protokoll der Telefonkonferenz kein Hinweis auf das Vorliegen einer Protokolldatei zu finden sei. Der Vertreter des BK habe lediglich angegeben, einen forensischen Auszug bzw. eventuell eine "nachträgliche Protokollierung", wie das Programm angewendet worden sei, erstellen zu können.
16. Mit per E-Mail an die belangte Behörde gerichteten Schreiben vom 04.04.2014, eingelangt am selben Tag, erhoben die Erstbeschwerdeführerin und der Zweitbeschwerdeführer Beschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG gegen den Bescheid der belangten Behörde vom 05.03.2014, Zl. XXXX, wegen inhaltlicher Rechtswidrigkeit und wegen Rechtswidrigkeit infolge von Verletzung von Verfahrensvorschriften an das Bundesverwaltungsgericht.
Die belangte Behörde habe die Beschwerdeführer in ihrem Recht auf eine Sachentscheidung durch die belangte Behörde gemäß § 31 Abs. 2 DSG und in ihrem Recht auf Geheimhaltung personenbezogener Daten nach § 1 Abs. 1 DSG verletzt. Ferner seien die Beschwerdeführer in ihren Rechten auf ein faires Verfahren, auf Durchführung eines gesetzeskonformen Ermittlungsverfahrens und auf Durchführung einer mündlichen Verhandlung verletzt worden. Zudem habe die belangte Behörde die Erstbeschwerdeführerin in ihrem Recht auf Auskunft über die zu ihr verarbeiteten Daten gemäß § 1 Abs. 3 Z 1 iVm § 26 Abs. 1 DSG verletzt. Es erscheine mehr als erstaunlich, dass die belangte Behörde überhaupt keine datenschutzrechtlichen Bedenken gegen den Einsatz von Spionagesoftware hege.
Ergänzend zum bereits bekannten Sachverhalt führten die Beschwerdeführer aus, dass - nachdem sich die mitbeteiligte Partei weiterhin geweigert habe - auch der belangten Behörde gegenüber ungeachtet deren Auftrag vom 20.11.2013 in dem der angefochtenen Entscheidung zu Grunde liegenden Verfahren - Informationen über die von ihr eingesetzte Software herauszugeben, die Erstbeschwerdeführerin DI XXXX beauftragt habe, die von der mitbeteiligten Partei eingesetzte Software auf einer forensischen Kopie des Laptops des Zweitbeschwerdeführers zu testen. Dieser "Echtversuch" habe insbesondere die folgenden, von der belangten Behörde, die trotz wiederholter Ankündigungen, dass seitens der Beschwerdeführer noch Informationen vorgelegt werden würden, die angefochtene Entscheidung erließ, noch nicht berücksichtigten Ergebnisse gebracht (dazu wurde auf ein in der Beilage befindliches Sachverständigengutachten verwiesen):
Anders als von der mitbeteiligten Partei behauptet, verhindere die Antivirensoftware der Erstbeschwerdeführerin die Ausführung von "XXXX" nicht (nur das Subprogramm "XXXX" werde blockiert).
"XXXX" lasse sich erfolgreich mit den Benutzerrechten des angemeldeten Zweitbeschwerdeführers ausführen.
Beim Einsatz von "XXXX" würden zahlreiche personenbezogene Daten verarbeitet; insbesondere seien im vom Sachverständigen durchgeführten Echtversuch etwa XXXX des Zweitbeschwerdeführers ermittelt worden.
Es würden Protokolldateien gespeichert, in denen sich personenbezogene Daten befänden. Damit sei klar ersichtlich, dass die von der belangten Behörde getroffenen Sachverhaltsannahmen völlig unzutreffend gewesen seien, hingegen die von den Beschwerdeführern vorgelegten Gutachten vom zutreffenden Sachverhalt ausgegangen seien.
Die Beschwerdeführer machten im Folgenden die Verletzung von Verfahrensvorschriften geltend: nach § 39 Abs. 2 AVG habe die Behörde von Amts wegen vorzugehen. Sie habe daher - in Anwendung des Untersuchungsgrundsatzes - von sich aus und ohne an das Parteienvorbringen gebunden zu sein - den entscheidungsrelevanten Sachverhalt durch Aufnahme aller nötigen Beweise festzustellen. Sie habe von Amts wegen zu bestimmen, welche Tatsachen zu beweisen seien und - sofern die Parteien keine entsprechenden Beweisanträge stellen würden - aus eigenem Antrieb die Erbringung der erforderlichen Beweise anzuordnen. Die belangte Behörde habe eine unzulässige Einschränkung des Beschwerdegegenstandes vorgenommen.
Die belangte Behörde habe diese fundamentalen Grundsätze missachtet und ein grob mangelhaftes "Ermittlungsverfahren" durchgeführt, oder, besser gesagt: Sie habe überhaupt nichts ermittelt, die von den Beschwerdeführern vorgelegten Beweismittel ignoriert und völlig ungeprüft die Sachverhaltsdarstellungen der mitbeteiligten Partei übernommen.
Die belangte Behörde habe zunächst in unzulässiger Weise den Beschwerdegegenstand eingeschränkt: Sie habe lediglich untersucht, ob die mitbeteiligte Partei durch den Einsatz der am USB Stick gespeicherten Programme - nicht aber durch andere Untersuchungshandlungen am Laptop des Zweitbeschwerdeführers, etwa durch das Programm XXXX oder die Spiegelung der Festplatte - die Beschwerdeführer in ihrem Recht auf Geheimhaltung verletzt habe. Sie habe behauptet, diese Einschränkung des Beschwerdegegenstandes erschließe sich aus dem Beschwerdevorbringen und sei von der Erstbeschwerdeführerin auch klargestellt worden. Die behauptete Klarstellung mit Schriftsatz vom 06.11.2013 habe ausdrücklich auf die Ausführungen der mitbeteiligten Partei Bezug genommen, die die beiden thematischen Bereiche "Einsatz von Spionagesoftware" und sonstige "Verarbeitung von Daten" vermengt habe.
Ganz im Gegenteil habe aber die Erstbeschwerdeführerin die Verwendung von XXXX und die Spiegelung der Festplatte in ihrem Vorbringen (in den Stellungnahmen vom 06.11.2013 und vom 17.01.2014) ausdrücklich releviert.
Die belangte Behörde hätte auch prüfen müssen, ob die mitbeteiligte Partei die Beschwerdeführer in ihrem Recht auf Geheimhaltung durch den Einsatz weiterer Durchsuchungsprogramme verletzt habe. Jedenfalls ergebe sich eindeutig, dass die Beschwerdeführer den Beschwerdegegenstand keinesfalls auf bestimmte Programme eingeschränkt hätten, sondern sich über die von der mitbeteiligten Partei im Zuge der Hausdurchsuchung vorgenommenen IT-Maßnahmen insgesamt beschwert hätten.
Die Sachverhaltsfeststellungen der belangten Behörde würden teilweise - in ganz zentralen Sachverhaltselementen - auf einem vollkommen mangelhaft durchgeführten Ermittlungsverfahren beruhen, indem die belangte Behörde keine eigenen Erhebungen geführt habe, sondern den Behauptungen der mitbeteiligten Partei - mit der Begründung der mangelnden Bestreitung durch die Beschwerdeführer (!) - ohne weitere Beweiserhebung gefolgt sei.
Die Feststellungen der belangten Behörde seien krass rechtswidrig:
die belangte Behörde wäre - aufgrund des Untersuchungsgrundsatzes - verpflichtet gewesen, von sich aus den wahren Sachverhalt zu ermitteln und zu erheben, ob die von der mitbeteiligten Partei eingesetzten Programme tatsächlich ausgeführt worden seien oder nicht. Es mute seltsam an, wenn die von Amts wegen zur Sachverhaltsermittlung verpflichtete belangte Behörde den Beschwerdeführern die Beweislast hinsichtlich von Programmen zuweise, über die die mitbeteiligte Partei allein verfüge. Gerade die unterlassene Herausgabe sei ein Teil der Beschwerde.
Die Ausführungen in der angefochtenen Entscheidung seien auch tatsachenwidrig: so ergebe sich schon aus der ersten Stellungnahme von DI XXXX, dass es bei einem Einsatz von "XXXX" keinen Deadlock gebe, das Programm also nicht gestoppt werden könne. Dieses Vorbringen lasse die belangte Behörde schlicht unter den Tisch fallen.
Wenn die belangte Behörde zur Ermittlung des Sachverhalts nicht selbst in der Lage sei, hätte sie einen Sachverständigen zu bestellen gehabt. Gerade im gegenständlichen Fall scheine es absolut notwendig zu sein, die von der mitbeteiligten Partei eingesetzte Software durch einen Sachverständigen untersuchen zu lassen, sofern die belangte Behörde die Ausführungen des Sachverständigen DI XXXX in Zweifel ziehen wolle. Dass die belangte Behörde ursprünglich selbst - wie rechtlich geboten - dem amtswegigen Grundsatz der Sachverhaltsermittlungen Rechnung tragend - zusätzliche Ermittlungsschritte in Erwägung gezogen habe, zeige sich daraus, dass sie mit Erledigung vom 20.11.2013 der mitbeteiligten Partei aufgetragen habe, den USB-Stick zur Prüfung durch einen Sachverständigen vorzulegen. Die mitbeteiligte Partei habe mit Schriftsatz vom 16.12.2013 die Vorlage des Sticks abgelehnt und eine Demonstration der Programme in den Räumlichkeiten des BK angeboten. Die Beschwerdeführer hätten beantragt, daran teilzunehmen. Es sei - im Sinne einer vollständigen Sachverhaltsermittlung - nicht nachvollziehbar, weshalb die belangte Behörde zunächst die Vorlage des Sticks auftrage und dann nicht einmal Interesse an der Demonstration der Programme habe. Auch dies belege klar, dass der Sachverhalt umfassender ermittelt werden hätte müssen.
Die Beschwerdeführer hätten schließlich wiederholt telefonisch die belangte Behörde darauf hingewiesen, dass sie versuchen würden, die gegenständliche Software zu erlangen und daher noch eine weitere Stellungnahme folgen würde. Es sei daher auch der belangten Behörde klar gewesen, dass der Sachverhalt noch nicht umfassend dargestellt gewesen sei, weshalb eine Bescheidausfertigung auch im Lichte dieser Informationen noch nicht erfolgen hätte dürfen. Tatsächlich sei es gelungen, an die Software zu kommen. Es sei daher das nunmehr vorgelegte Sachverständigengutachten vom DI XXXX angefertigt worden.
Schlussendlich hätte die belangte Behörde zur Ermittlung des Sachverhalts nur die von den Beschwerdeführern beantragten Beweismittel heranziehen und die ebenfalls beantragte Durchführung einer mündlichen Verhandlung anordnen müssen. Aus den Aussagen der beantragten Zeugen wäre jedenfalls auch klar ersichtlich gewesen, welche Auswirkungen der Softwareeinsatz gehabt habe.
Weiters behaupteten die Beschwerdeführer auch eine inhaltliche Rechtswidrigkeit des angefochtenen Bescheides. Die belangte Behörde habe die Beschwerde hinsichtlich des Rechts auf Geheimhaltung zurückgewiesen, weil die mitbeteiligte Partei im Rahmen der Gerichtsbarkeit tätig geworden und sie daher unzuständig sei. Dies sei rechtswidrig, weil die mitbeteiligte Partei im Rahmen der Hausdurchsuchung in den Geschäftsräumlichkeiten der Erstbeschwerdeführerin in XXXX den gerichtlich bewilligten Handlungsrahmen überschritten habe und dieses Handeln daher nicht der Gerichtsbarkeit zuzurechnen sei. Der Software-Einsatz sei schon deshalb überschießend gewesen, weil der Erstbeschwerdeführerin keine Gelegenheit gegeben worden sei, die gesuchten Informationen freiwillig herauszugeben. Weiters habe die mitbeteiligte Partei den Hausdurchsuchungsbefehl auch hinsichtlich des Untersuchungsgegenstands überschritten. Der Software-Einsatz sei unverhältnismäßig gewesen, was sich auch aus den vorgelegten Gutachten ergeben habe.
Die belangte Behörde habe zu Unrecht ausgeführt, dass die Beschwerde auch inhaltlich keinen Erfolg gehabt hätte. Die mitbeteiligte Partei habe zwar versucht, Daten zu erheben, diese Versuche seien aber letztlich gescheitert, so dass keine Daten verarbeitet worden seien. Diese rechtliche Begründung beruhe aber - wie oben gezeigt - auf einem mangelhaft ermittelten Sachverhalt. Der Sachverständige habe eindeutig nachgewiesen, dass es zu einer Datenverarbeitung gekommen sei.
Auch sei der Spruchpunkt I.2., worin die belangte Behörde die Beschwerde hinsichtlich des Rechts auf Auskunft abweise, inhaltlich rechtswidrig. Die mitbeteiligte Partei habe personenbezogene Daten verarbeitet, weshalb die Negativauskunft falsch gewesen und die Erstbeschwerdeführerin daher in ihrem Recht auf Auskunft verletzt worden sei. Darüber hinaus habe die belangte Behörde behauptet, der Auskunftsanspruch der Erstbeschwerdeführerin habe sich auf die durch den Einsatz des USB-Stick verarbeiteten Daten beschränkt und nicht auf die Feststellung von Screenshots und die Spiegelung der Festplatte bezogen. Dies sei unrichtig. Aus dem Auskunftsbegehren der Erstbeschwerdeführerin vom 21.08.2013 und den darauf folgenden Schreiben ergebe sich eindeutig, dass sich das Begehren nicht auf Datenverarbeitung durch die Programme auf dem USB-Stick beschränkt habe, sondern auf sämtliche von der mitbeteiligten Partei im Zuge der Hausdurchsuchung vom 19.08.2013 am Laptop des Zweitbeschwerdeführers verarbeiteten Daten gerichtet gewesen sei. Daher habe die mitbeteiligte Partei auch durch die Verweigerung der Auskunft hinsichtlich der von ihr von der Festplatte gespeicherten Daten die Erstbeschwerdeführerin in ihrem Recht auf Auskunft gemäß § 26 Abs. 1 DSG verletzt.
Die Beschwerdeführer stellten aus den genannten Gründen die Anträge, das Bundesverwaltungsgericht möge
gemäß § 24 VwGVG eine mündliche Verhandlung durchführen und
den angefochtenen Bescheid zur Gänze aufheben und gemäß Art. 130 Abs. 4 B-VG und § 28 Abs. 2 VwGVG in der Sache selbst entscheiden oder
in eventu
den angefochtenen Bescheid gemäß § 28 Abs. 3 VwGVG mit Beschluss seinem gesamten Umfang nach aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die belangte Behörde zurückverweisen.
17. Mit Schreiben der belangten Behörde vom 11.04.2014 wurde der mitbeteiligten Partei die Beschwerde der Beschwerdeführer zur Stellungnahme übermittelt. In ihrer Stellungnahme vom 25.04.2014 führte die mitbeteiligte Partei aus, dass die gegenständliche Vorgangsweise vom Hausdurchsuchungsbefehl gedeckt gewesen sei. Die Voraussetzung zur Erstellung von elektronischen Kopien erfordere die Sicherung des Zugangs zu elektronischen Unterlagen sowie die Identifikation von unbekannten Datenträgern und verschlüsselten Datencontainern, die ansonsten der Durchsuchung entzogen werden könnten. Daher sei der Einsatz von forensischen Programmen für die Erreichung des Zwecks der Hausdurchsuchung notwendig.
Zur Negativauskunft führte die mitbeteiligte Partei aus, dass bis auf je zwei Screenshots von zwei Notebooks zur forensischen Dokumentation keine Daten gespeichert worden seien. Des Weiteren habe der Einsatzleiter die Löschung aller elektronischen Daten, die nicht der reinen forensischen Dokumentation gedient hätten, angeordnet. Weder die mitbeteiligte Partei noch das BK würden über elektronische Daten der Erstbeschwerdeführerin verfügen. Daher habe das vorliegende Gutachten des DI XXXX keine Relevanz.
Zu diesem, als neues Beweismittel vorgelegten Gutachten des DI XXXX vom 06.03.2014 wurde weiters ausgeführt, dass bei einer forensischen Reproduktion technischer Vorgänge das zu untersuchende System im exakt gleichen Ausführungskontext wie das Originalsystem zu betrachten sei, um gültige Schlussfolgerungen aus der Reproduktion ziehen zu dürfen. Dasselbe gelte für zum Einsatz kommende Werkzeuge wie im gegenständlichen Fall für das Programm "XXXX". Im vorliegenden Fall sei das Zielgerät nicht in dieselbe IT-Infrastruktur wie das XXXX-Netzwerk eingebunden gewesen. Weiters habe der Gutachter versäumt, zu dokumentieren, welche Version von "XXXX" zur Anwendung gekommen sei. Da auf Rückfrage der mitbeteiligten Partei beim Hersteller der Software von diesem bestätigt worden sei, dass dem Gutachter eine angeforderte Lizenz von "XXXX" verweigert worden sei und es sich daher mit höchster Wahrscheinlichkeit nicht um die exakt gleiche Version der Software handle, seien jegliche Analysen wissenschaftlich bedeutungslos. Auch sei die Beweiskette zwischen der Hausdurchsuchung durch die mitbeteiligte Partei und der forensischen Sicherung des Notebooks durch den Gutachter der Erstbeschwerdeführerin nicht lückenlos, allfällige Manipulationen durch Mitarbeiter der Erstbeschwerdeführerin oder den Sachverständigen könnten nicht ausgeschlossen werden. Das Gutachten weise zahlreiche Ungereimtheiten auf, die auf eine Manipulation oder eine schlampige Ausführung der Untersuchung hinweisen würden.
Der Stellungnahme waren zahlreiche Beilagen, unter anderem auch Äußerungen der mitbeteiligten Partei in der Gegenschrift zu einer Maßnahmenbeschwerde gemäß § 67a Z 2 AVG, diverse Gutachten des DI XXXX, ein als "Gutachten" bezeichneter Bericht zur Arbeitsweise von "XXXX" des BK bezüglich eines Assistenzersuchens des LKA XXXX und eine E-Mail-Korrespondenz mit XXXX angeschlossen. Die in der Stellungnahme genannte "Beilage B", aus der die Anordnung der Löschung aller elektronischen Daten, die nicht der rein forensischen Dokumentation dienten, durch den Einsatzleiter ersichtlich sein soll, war der Stellungnahme nicht angeschlossen. Als Beilagen A und B bezeichnete Schriftsätze befinden sich allerdings als Anlage bei der Stellungnahme der mitbeteiligten Partei vom 18.10.2013. In der dort befindlichen Beilage B befinden sich handschriftliche Ausführungen zur Hausdurchsuchung. In der gedruckten Fassung der Niederschrift, die von der mitbeteiligten Partei mit Schreiben vom 16.12.2013 der DSK vorgelegt worden war, ist von der Löschung einer Festplatte die Rede.
18. Mit Schreiben vom 30.05.2014 legte die belangte Behörde die gegenständliche Beschwerde samt Akten dem Bundesverwaltungsgericht vor und gab dazu eine Stellungnahme ab:
Darin verwies sie im Wesentlichen auf die Ausführungen der mitbeteiligten Partei in ihrer Stellungnahme vom 25.04.2014. Auch die belangte Behörde hege Bedenken gegen die Beweiskraft des nachträglich durchgeführten Echtversuches, weshalb das Beschwerdevorbringen bestritten werde.
Zur "zulässigen Einschränkung des Beschwerdegegenstandes" führte die belangte Behörde aus, dass es sich beim Verfahren nach § 31 DSG 2000 um ein antragsbedürftiges Verfahren handle. Durch den Antrag werde der Beschwerdegegenstand abgesteckt, so dass die Datenschutzbehörde nicht zu prüfen habe, ob irgendein (verfassungsrechtlich gewährleistetes) Recht verletzt wurde, sondern nur, ob jenes (verfassungsrechtlich gewährleistete) Recht verletzt wurde, in welchen sich ein Beschwerdeführer im beantragten Umfang verletzt erachte. Die Beschwerde vom 05.09.2013 enthalte keinerlei Ausführungen zu den erstellten Screenshots sowie zur Spiegelung diverser Festplatten, sondern wende sich einzig gegen den Software Einsatz mittels USB-Stick. Dies erschließe sich auch aus der Stellungnahme der Beschwerdeführer vom 06.11.2013.
Bezüglich des "grob mangelhaften Ermittlungsverfahrens" führte die belangte Behörde aus, dass sie aufgrund der im Ermittlungsverfahren eingeholten Stellungnahmen zu ihren Sachverhaltsfeststellungen gekommen sei. Sie habe keine Veranlassung für die Durchführung einer mündlichen Verhandlung samt der Beiziehung eines Sachverständigen gesehen. Die Durchführung einer mündlichen Verhandlung sei - entgegen den Behauptungen der Beschwerdeführer - auch nicht beantragt worden.
Zur "Zuständigkeit der belangten Behörde" führte diese aus, dass vor dem Hintergrund, dass die Beschwerdeführer nicht vorgebracht hätten, dass der Softwareeinsatz zur Erfüllung des (gerichtlichen) Auftrages offensichtlich nicht erforderlich gewesen sei, davon auszugehen gewesen sei, dass das Handeln der Beschwerdegegnerin vom Hausdurchsuchungsbefehl gedeckt gewesen sei.
Zur "rechtswidrigen Datenverarbeitung" und zur "Verletzung des Rechts auf Auskunft" verwies die belangte Behörde auf den von ihr festgestellten Sachverhalt. Auch das Auskunftsbegehren habe sich lediglich auf die durch den Einsatz des USB-Stick verarbeiteten Daten beschränkt und sich nicht auf die Erstellung von Screenshots oder die Spiegelung der Festplatte bezogen.
Die belangte Behörde stellte aus den genannten Gründen an das Bundesverwaltungsgericht die Anträge,
gemäß § 28 Abs. 2 VwGVG in der Sache selbst zu entscheiden, da der maßgebliche Sachverhalt feststeht und
die Beschwerde abzuweisen.
19. Am 02.09.2014 nahm ein Vertreter der Erstbeschwerdeführerin Akteneinsicht in den gegenständlichen Akt beim Bundesverwaltungsgericht. Dabei wurde ihm die Stellungnahme der belangten Behörde vom 30.05.2014 samt den Beilagen (Stellungnahme der mitbeteiligten Partei vom 25.04.2014) in Kopie ausgefolgt.
20. Mit Schreiben vom 08.09.2014 nahmen die Beschwerdeführer zu den unter Punkt 19. genannten Stellungnahmen Stellung. Darin wird erwähnt dass die mitbeteiligte Partei in ihrem Schriftsatz vom 25.04.2014 erstmals ausgeführt habe, dass der Inhalt des verfahrensrelevanten USB-Sticks gelöscht worden sei. Nach der Spruchpraxis der DSK müsse ein Auskunftsbegehren auch im Fall einer Löschung beantwortet werden. Sofern die Löschung nach Einleitung des Auskunftsverfahrens erfolgt sein sollte, wäre sie als Verstoß gegen § 26 Abs. 7 DSG klar rechtswidrig erfolgt, was zudem einen Verstoß gegen die Art. 8 Abs. 1 EMRK sowie Art. 7 und 8 Abs. 2 Satz 2 GRC begründen würde.
Weiters werde daran erinnert, dass seitens der Erstbeschwerdeführerin eine mündliche Verhandlung beantragt worden sei. Diese sei aus grundrechtlicher Perspektive notwendig. Mit der gegenständlichen Beschwerde sei der entscheidungserhebliche Sachverhalt in Frage gestellt worden. In diesem Zusammenhang hätten die Beschwerdeführer die Mangelhaftigkeit des Ermittlungsverfahrens gerügt. Weiters wurde in dem Schreiben der Antrag zur Einvernahme zahlreicher Zeugen wiederholt, der seinerzeit schon an die DSK gestellt worden sei. Weiters wurde die Einholung eines Sachverständigengutachtens beantragt. Aus den genannten Gründen werde die Durchführung einer mündlichen Verhandlung gefordert, sofern der Beschwerde der Erstbeschwerdeführerin nicht vollinhaltlich stattgegeben werde. Dem Schriftsatz wurde eine Stellungnahme des von der Erstbeschwerdeführerin beauftragten Sachverständigen beigelegt, in der dieser sich zur Stellungnahme der mitbeteiligten Partei äußert und zum Schluss kommt, dass deren Behauptungen irreführend und grob unzutreffend seien.
II. Das Bundesverwaltungsgericht hat erwogen:
Im behördlichen Verfahren wurden von der belangten Behörde grundlegend notwendige Ermittlungen des Sachverhalts unterlassen. So wurde es insbesondere unterlassen, technisches Expertenwissen, etwa in Form eines technischen Sachverständigengutachtens, heranzuziehen, das den von den Beschwerdeführern behaupteten und durch Gutachten untermauerten Sachverhalt nachvollziehbar zu widerlegen vermocht oder die sich aus den Gutachten ergebenden Resultate bestätigt hätte. Weiters wurde es auch unterlassen, (insbesondere die von den Verfahrensparteien genannten) Zeugen einzuvernehmen.
2.1. Die Feststellungen ergeben sich aus den von der belangten Behörde vorgelegten Akten. Die belangte Behörde gelangt im beschwerdegegenständlichen Bescheid zum Schluss, dass eine Ermittlung von Daten der Erstbeschwerdeführerin und des Zweitbeschwerdeführers durch den Einsatz der auf dem USB-Stick befindlichen Programme im Zuge der Hausdurchsuchung nicht stattgefunden habe. Beweiswürdigend führt die belangte Behörde in diesem Zusammenhang aus:
"Beweiswürdigung: Die Datenschutzbehörde folgt hier den Stellungnahmen der Beschwerdegegnerin. Zwar geht aus den von der Erstbeschwerdeführerin vorgelegten Gutachten hervor, über welche Fähigkeiten "XXXX" grundsätzlich verfügt. Ausschlaggebend für die vorliegende Beurteilung ist jedoch die - von den Beschwerdeführerinnen nicht bestrittene - Stellungnahme der Beschwerdegegnerin vom 16. Dezember 2013, wonach eine Datenerfassung und -aufzeichnung deshalb nicht möglich war und abgebrochen werden musste, weil die Ausführung der Programme einerseits mit den eingeschränkten Benutzerrechten des Zweitbeschwerdeführers nicht möglich war und andererseits die Antiviren-Software der Erstbeschwerdeführerin angeschlagen habe. Eine substantiierte Auseinandersetzung des im konkreten Fall stattgefundenen Zusammentreffens von Antivirensoftware und fehlenden Benutzerrechten lassen die Gutachten nämlich vermissen.
Darüber hinaus räumt auch der von der Erstbeschwerdeführerin beigezogene Sachverständige auf Seite 27 seines Gutachtens vom 29. September 2013 ein, dass die Ausführung von "XXXX" wegen unzureichender Benutzerrechte womöglich abgebrochen worden sei. In der Stellungnahme vom 17. Jänner 2014 (Ergänzungsgutachten vom 16. Jänner 2014) wird zudem auf Seite 22 ausgeführt, dass "XXXX" wegen unzureichender Benutzerrechte kein Speicherabbild erstellen konnte.
Untermauert wird diese Feststellung auch durch den Umstand, dass nicht bekannt ist, dass im Rahmen der Hausdurchsuchung allenfalls durch die verfahrensgegenständliche Software ermittelte Daten in irgendeiner Weise weiter verwendet worden wären, es ist vielmehr davon auszugehen, dass - hätte die Beschwerdegegnerin kartellrechtlich relevante Daten erfolgreich erhoben - sie diese für Zwecke eines Kartellverfahrens verwenden und eine zukünftige Verwendung nicht durch die von ihr eingeschlagene Argumentationslinie verhindern würde. Dies insbesondere vor dem Hintergrund, als die Beschwerdegegnerin sich nicht allein auf den Standpunkt stellt, keine Daten ermittelt zu haben, sondern auch den Einsatz der in Rede stehenden Software an sich als verhältnismäßig verteidigt.
Schließlich lassen auch die Erstellung von zwei Screenshots des Laptops des Zweitbeschwerdeführers sowie die Spiegelung diverser Festplatten im Zuge der Hausdurchsuchung nicht darauf schließen, dass mittels der auf dem USB-Stick enthaltenen Softwareprogramme personenbezogene Daten der Beschwerdeführer ermittelt wurden; erfolgte die Erstellung der Screenshots und die Spiegelung der Festplatten doch nicht mit der allein verfahrensgegenständlichen auf dem USB-Stick enthaltenen Software."
Den Beschwerdeführern ist dahingehend zu folgen, dass die belangte Behörde zur amtswegigen Sachverhaltsermittlung verpflichtet war und den Beschwerdeführern jedenfalls nicht die Beweislast hinsichtlich von Programmen auferlegen durfte, über die lediglich die mitbeteiligte Partei verfügte. Auch wurde auf Seite 37 des von der Erstbeschwerdeführerin vorgelegten Gutachtens vom 29.09.2013 ausgeführt, dass sich kein Hinweis finde, dass die Ausführung von "XXXX" abgebrochen worden sei. Die Beschwerdeführer wiesen im Verfahren bei der belangten Behörde sehr wohl darauf hin, dass es beim Einsatz von "XXXX" keinen Deadlock gebe, das Programm also nicht gestoppt werden könne. Gemäß den Ausführungen des von der Erstbeschwerdeführerin beauftragten Sachverständigen sei dies auch vom Autor der Software gegenüber dem Sachverständigen bestätigt worden.
Auch kann aus der Tatsache, dass die mitbeteiligte Partei offenbar keine elektronisch verarbeiteten Daten im gegenständlichen Verfahren (gegen die Erstbeschwerdeführerin) verwendet hat, nicht automatisch geschlossen werden, dass von ihr aufgrund des beschwerdegegenständlichen Software-Einsatzes überhaupt keine automationsunterstützte Datenverarbeitung vorgenommen wurde.
Insbesondere ist unklar, inwieweit der mitbeteiligten Partei Protokolldaten über die im Rahmen des Einsatzes der auf dem USB-Stick gespeicherten Software vorliegen. In dem von der Erstbeschwerdeführerin vorgelegten Sachverständigen-Gutachten vom 29.08.2013 heißt es: "XXXX" protokolliert alle Vorgänge, ungeachtet ob der Virenschutz eine Komponente löscht. Wäre dies nicht so, so wäre die Software nur bedingt geeignet." Im Sachverständigen-Gutachten vom 29.09.2013 führt derselbe Sachverständige auf Seite 53 aus: "Nach Rücksprache des SV mit dem Autor der Software (XXXX) steht fest, dass XXXX alle durchgeführten Vorgänge in einer Protokolldatei speichert" und hält fest, dass dies im Gegensatz zur Stellungnahme der mitbeteiligten Partei steht. Ergänzend wurde vom selben Gutachter in einer weiteren Stellungnahme vom 16.01.2014 behauptet, dass die Ausführungen der mitbeteiligten Partei "evident falsch" seien. Das Programm "XXXX" erhebe eine Fülle von Daten und speichere diese in Protokolldateien ab. Dies lasse sich nicht nur durch das Benutzerhandbuch und ein vom Sachverständigen mit dem Entwickler der Software geführtes Gespräch belegen, sondern auch durch die Aussagen der mitbeteiligten Partei und des BK im Zuge der Telefonkonferenz vom 21.08.2013.
Dazu führte die belangte Behörde im beschwerdegegenständlichen Bescheid aus, dass in der Telefonkonferenz vom 21.08.2013 seitens des BK (lediglich) davon die Rede war, einen forensischen Auszug bzw. eventuell eine "nachträgliche Protokollierung", wie das Programm angewendet worden sei, erstellen zu können. Auf die anderen Argumente (Handbuch, Aussage des Autors der Software) geht die belangte Behörde nicht ein. Weiter gehende Ermittlungen zur Frage des Vorhandenseins von Protokolldaten wurden somit seitens der belangten Behörde unterlassen.
Es stand daher im gegenständlichen Beschwerdeverfahren die Aussage der Beschwerdeführer in diametralem Gegensatz zur Aussage der mitbeteiligten Partei. Um diese gegensätzlichen Behauptungen aufzuklären, hätten noch grundlegende weitere Ermittlungsschritte getätigt werden müssen.
Aus dem - im Rahmen einer Stellungnahme zur Beschwerde der Beschwerdeführer an das Bundesverwaltungsgericht von der mitbeteiligten Partei vorgelegten - Mail des Autors der Software geht hervor, dass "XXXX" Logfiles anlege, wenn eine Suche durchgeführt werde. Wenn es durch frühzeitigen Abbruch des Programms hingegen gar nicht zu einer Suche komme, würden auch keine Logfiles angelegt. Wenn allerdings die Ausführung eines Dienstprogrammes verhindert werde laufe "XXXX" wie üblich, aber die Information, die diese Programme sammeln, sei nicht verfügbar. Das Logging der Programme würde aber wie üblich für alle weiteren Aktionen, die "XXXX" ausgeführt habe, fortgesetzt werden.
Der Vollständigkeit halber wird festgehalten dass auch aus diesen - im Verfahren bei der belangten Behörde noch gar nicht vorliegenden - Erläuterungen nach Ansicht des Bundesverwaltungsgerichts nicht geschlossen werden kann, ob "XXXX" gar nicht zur Ausführung kam oder
2.2. In ihrem Schreiben vom 20.11.2013 trug die DSK der mitbeteiligten Partei unter anderem auf, zu bestimmten Fragen Stellung zu nehmen und den USB-Stick der DSK zwecks allfälliger Auswertung vorzulegen.
Mit Schriftsatz vom 16.12.2014 nahm die mitbeteiligte Partei zum Schreiben der belangten Behörde Stellung:
Die Frage, warum für die Durchsuchung des Laptops des Zweitbeschwerdeführers der Einsatz der verfahrensgegenständlichen Software erforderlich gewesen sei und nicht wie bei anderen Mitarbeitern eine Spiegelung der Festplatte vorgenommen worden sei, wurde von der mitbeteiligten Partei dahingehend beantwortet, dass eine Spiegelung der Festplatte ein verhältnismäßig schwerer Eingriff in das System sei und dass das gelindeste, nicht invasive Mittel zur selektiven Auffindung von elektronischen Beweismitteln die werkzeuggestützte Nachschau auf dem laufenden System sei, wie sie hier vorgenommen wurde. Dies wurde von der Erstbeschwerdeführerin vehement bestritten. Die gegenständliche Software sei keinesfalls geeignet, gebräuchlich oder "best practice". Es sei vielmehr üblich, dass - nach einer auf Basis des jeweiligen Hausdurchsuchungsbefehls zu treffenden genauen zeitlichen, räumlichen und sachlichen Abgrenzung des zu durchsuchenden Datenmaterials - Daten von den Ermittlern kopiert und anschließend in den Räumlichkeiten der ermittelnden Behörde zur gezielten (granularen) Suche mit geeigneter Software durchsucht werden.
Weiters wurde in dem Schreiben der mitbeteiligten Partei von dieser der DSK mitgeteilt, dass sich das BK zur Aufklärung der Vorwürfe der Beschwerdeführer bereit erkläre, die Einsicht in die hier verfahrensgegenständlichen Programme in den Räumlichkeiten des BK zu gestatten. Aus dem Schreiben geht im Übrigen nicht hervor, warum der angeforderte USB-Stick zwecks Auswertung nicht vorgelegt wurde.
Dass der USB-Stick nicht vorgelegt wurde, kann aus den Akten nur indirekt - aus dem offenbar "stellvertretenden" Angebot einer Präsentation der Software durch das BK - und aus Repliken bzw. der an das Bundesverwaltungsgericht gerichteten Beschwerde der Beschwerdeführer geschlossen werden. Es ist nicht ersichtlich, warum seitens der belangten Behörde (auch im Lichte des § 30 Abs. 4 DSG 2000) die Nichtausfolgung der Software akzeptiert wurde. Von den Beschwerdeführern wird darauf hingewiesen, dass die belangte Behörde nicht das Angebot in Anspruch genommen hat, an einer Präsentation der Software teilzunehmen. Eine Begründung hiefür ist nicht aus dem Akt ersichtlich.
2.3. Im Zuge des Verfahrens wurden sowohl von der Erstbeschwerdeführerin als auch von der mitbeteiligten Partei mehrere Zeugen namhaft gemacht, die durch ihre Aussagen zumindest zur Ermittlung des Sachverhaltes beitragen hätten können. Von dieser Möglichkeit wurde von der belangten Behörde nicht Gebrauch gemacht.
2.4. Es wären jedenfalls grundsätzliche weitere Ermittlungen notwendig gewesen, um feststellen zu können, ob überhaupt und gegebenenfalls welche Art der Datenverwendung und in welchem Umfang diese stattgefunden hat und ob diese durch den Hausdurchsuchungsbefehl gedeckt war. Weiters wären diese Ermittlungen notwendig gewesen, um festzustellen, ob in diesem Zusammenhang personenbezogene Daten von der mitbeteiligten Partei gespeichert wurden, die zu beauskunften gewesen wären oder nicht.
3.1.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 39 Abs. 1 Datenschutzgesetz 2000 (DSG 2000) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide sowie wegen Verletzung der Entscheidungspflicht in den Angelegenheiten dieses Bundesgesetzes durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
3.2.1. Gemäß § 28 Abs. 2 VwGVG hat über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG das Verwaltungsgericht dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Liegen die Voraussetzungen des Abs. 2 nicht vor, hat das Verwaltungsgericht gemäß § 28 Abs. 3 VwGVG im Verfahren über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG in der Sache selbst zu entscheiden, wenn die Behörde dem nicht bei der Vorlage der Beschwerde unter Bedachtnahme auf die wesentliche Vereinfachung oder Beschleunigung des Verfahrens widerspricht. Hat die Behörde notwendige Ermittlungen des Sachverhalts unterlassen, so kann das Verwaltungsgericht den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Behörde zurückverweisen. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Beschluss ausgegangen ist.
§ 28 Abs. 3 2. Satz VwGVG bildet damit die Rechtsgrundlage für eine kassatorische Entscheidung des Verwaltungsgerichtes, wenn "die Behörde notwendige Ermittlungen des Sachverhalts unterlassen" hat. Zu berücksichtigen sind in diesem Fall verwaltungsökonomische Aspekte und es ist eine Gesamtbetrachtung hinsichtlich der Kostenersparnis vorzunehmen (Eder/Martschin/Schmid, Das Verfahrensrecht der Verwaltungsgerichte, § 28 K 10).
Das Modell der Aufhebung des Bescheides und Zurückverweisung der Angelegenheit an die Behörde folgt konzeptionell jenem des § 66 Abs. 2 AVG, allerdings mit dem Unterschied, dass die Notwendigkeit der Durchführung einer mündlichen Verhandlung nach § 28 Abs. 3 VwGVG nicht erforderlich ist (Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren 2013, § 28 VwGVG, Anm. 11). In diesem Zusammenhang ist auch festzuhalten, dass mangels Anwendbarkeit des IV. Teils des AVG in verwaltungsgerichtlichen Verfahren (vgl. § 17 VwGVG) den Verwaltungsgerichten nicht die Möglichkeit offen steht, Sachverhaltsermittlungen durch im Instanzenzug untergeordnete Behörden gem. § 66 Abs. 1 AVG durchführen zu lassen.
Aus der Judikatur des Verwaltungsgerichtshofes zu der vergleichbaren Bestimmung des § 66 Abs. 2 AVG ergibt sich, dass nur Mängel der Sachverhaltsfeststellung d.h. im Tatsachenbereich zur Behebung des Bescheides und Zurückverweisung der Angelegenheit berechtigen (vgl. VwGH 19.01.2009, 2008/07/0168; VwGH 23.5.1985, 84/08/0085).
Aus dem Judikat des Verwaltungsgerichthofes zu § 28 Abs. 2 und 3 VwGVG, Zl. Ro 2014/03/0063, vom 26.06.2014 , geht hervor, dass § 28 VwGVG für die überwiegende Anzahl der Fälle die Zuständigkeit der Verwaltungsgerichte normiert, in der Sache selbst zu entscheiden. Vor dem Hintergrund dieser Zielsetzung sind die nach § 28 VwGVG verbleibenden Ausnahmen von der (meritorischen) Entscheidung in der Sache selbst strikt auf den ihnen gesetzlich zugewiesenen Raum zu beschränken. Demnach verlangt das in § 28 VwGVG insgesamt normierte System, dass von der Möglichkeit der Zurückverweisung nur bei krassen bzw. besonders gravierenden Ermittlungslücken Gebrauch gemacht wird. Eine Zurückverweisung der Sache an die Verwaltungsbehörde wird daher insbesondere dann in Betracht kommen, wenn die Verwaltungsbehörde jegliche erforderliche Ermittlungstätigkeit unterlassen hat, wenn sie zur Ermittlung des maßgeblichen Sachverhalts lediglich völlig ungeeignete Ermittlungsschritte gesetzt oder bloß ansatzweise ermittelt hat. Gleiches gilt, wenn konkrete Anhaltspunkte annehmen liassen, dass die Verwaltungsbehörde (etwa schwierige) Ermittlungstätigkeit unterlassen hat, damit diese dann durch das Verwaltungsgericht vorgenommen wird.
3.2.2. Gemäß § 1 Abs. 1 DSG 2000 hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Gemäß § 1 Abs. 2 DSG 2000 sind, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt sind, Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Gemäß § 1 Abs. 3 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitungen in manuell, d.h. ohne automationsunterstützten geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen 1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden [...]. Gemäß § 1 Abs. 4 DSG 2000 sind Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig. § 26 DSG 2000 spezifiziert näher das Recht des Betroffenen, über die zu seiner Person verarbeiteten Daten Auskunft zu erhalten.
Gemäß § 5 Abs. 4 DSG 2000 ist gegen Rechtsträger, die in Formen des Privatrechts eingerichtet sind, soweit sie nicht in Vollziehung der Gesetze tätig werden, das Grundrecht auf Datenschutz mit Ausnahme des Rechtes auf Auskunft auf dem Zivilrechtsweg geltend zu machen. In allen übrigen Fällen ist die Datenschutzbehörde zur Entscheidung zuständig, es sei denn, dass Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit betroffen sind.
Aus § 31 DSG 2000 ergibt sich, dass die Datenschutzbehörde über Beschwerden von Personen oder Personengemeinschaften erkennt, die behaupten, in ihrem Recht auf Auskunft nach § 26 sowie im Recht auf Geheimhaltung verletzt zu sein.
Gemäß § 30 Abs. 4 DSG 2000, der auch für Verfahren nach § 31 DSG 2000 gilt, ist die Datenschutzbehörde zum Zweck der Einschau nach Verständigung des Inhabers der Räumlichkeiten und des Auftraggebers (Dienstleisters) berechtigt, Räume, in welchen Datenanwendungen vorgenommen werden, zu betreten, Datenverarbeitungsanlagen in Betrieb zu setzen, die zu überprüfenden Verarbeitungen durchzuführen sowie Kopien von Datenträgern in dem für die Ausübung der Kontrollbefugnisse unbedingt erforderlichen Ausmaß herzustellen. Der Auftraggeber (Dienstleister) hat die für die Einschau notwendige Unterstützung zu leisten. Die Kontrolltätigkeit ist unter möglichster Schonung der Rechte des Auftraggebers (Dienstleisters) und dritter auszuüben.
Gemäß § 11 Abs. 1 WettbG kann die Bundeswettbewerbsbehörde nach Maßgabe dieses Bundesgesetzes alle Ermittlungen führen, die ihr zur Wahrnehmung ihrer Aufgaben gemäß diesem Bundesgesetz zukommen. Die im Rahmen von Ermittlungen erlangten Kenntnisse dürfen - sofern nicht eine Berechtigung zur Zusammenarbeit nach § 10 Abs. 1 besteht - nur zu dem mit der Ermittlungshandlung verfolgten Zweck verwertet werden. Gemäß § 11 Abs. 2 WettbG erster Satz ist die Bundeswettbewerbsbehörde befugt, sich unter sinngemäßer Anwendung des AVG, BGBl. Nr. 51/1991, Sachverständiger zu bedienen sowie Zeugen und Beteiligte heranzuziehen.
Gemäß § 12 WettbG hat das Kartellgericht, wenn dies zur Erlangung von Informationen aus geschäftlichen Unterlagen erforderlich ist, auf Antrag der Bundeswettbewerbsbehörde unter bestimmten Voraussetzungen eine Hausdurchsuchung anzuordnen. Auch die näheren Modalitäten der Hausdurchsuchung sind in § 12 WettbG geregelt.
Gemäß § 14 Abs. 1 WettbG haben die Organe des öffentlichen Sicherheitsdienstes der Bundeswettbewerbsbehörde über deren Ersuchen zur Sicherung der Ermittlungen und Hausdurchsuchungen [...] Im Rahmen ihres gesetzmäßigen Wirkungsbereiches Hilfe zu leisten. Gemäß § 14 Abs. 2 WettbG sind im Rahmen einer Hausdurchsuchung der Bundeswettbewerbsbehörde die gemäß Abs. 1 Hilfe leistenden Organe des öffentlichen Sicherheitsdienstes auch ermächtigt, die Bundeswettbewerbsbehörde durch die Sicherung von Unterlagen in elektronischer Form zu unterstützen.
3.2.3. Vor dem Hintergrund der getroffenen Feststellungen sowie den angeführten Rechtsgrundlagen und der entsprechenden Judikatur gelangt das Bundesverwaltungsgericht zu dem Ergebnis, dass die belangte Behörde die für die Entscheidung über eine behauptete Verletzung des in § 1 Abs. 1 DSG 2000 normierten Rechts auf Geheimhaltung personenbezogener Daten bzw. des in § 1 Abs. 3 iVm § 26 DSG 2000 normierten Rechts auf Auskunft erforderlichen Ermittlungen betreffend die Frage, ob die mitbeteiligte Partei personenbezogene Daten der Beschwerdeführer verarbeitet hat und gegebenenfalls um welche Daten es sich handelte und ob sie gespeichert wurden, unterlassen hat.
Völlig anders als im Falle des durch Erkenntnis des Verwaltungsgerichtshofes Zl. Ro 2014/03/0063 vom 26.06.2014 (siehe oben Punkt 3.2.1.) aufgehobenen Beschlusses, bei dem der Sachverhalt prinzipiell bereits geklärt war, wurde im gegenständlichen Fall die grundsätzliche Frage, ob und gegebenenfalls welche personenbezogene Daten automationsunterstützt ("elektronisch") verarbeitet wurden, von der belangten Behörde nicht geklärt. Vielmehr hat - wie aus dem Schreiben der belangten Behörde vom 20.11.2013 ersichtlich - zunächst die Absicht bestanden, eine technische Auswertung des gegenständlichen USB-Sticks durchzuführen, was etwa mittels eines fundierten Sachverständigengutachtens möglich gewesen wäre. Aus einem Aktenvermerk der belangten Behörde vom 04.12.2014 geht hervor, dass über telefonisches Ersuchen eines Mitarbeiters der mitbeteiligten Partei die Frist zur Abgabe der geforderten Stellungnahme (zwecks Einholung des USB-Sticks vom BK) bis 13.12.2013 erstreckt wurde. Auch daraus ist ersichtlich, dass die belangte Behörde die Auswertung des USB-Sticks beabsichtigte und an dieser Absicht - zunächst - festhielt.
Als der USB-Stick nicht übermittelt wurde, nahm die belangte Behörde offensichtlich von weiteren - sich komplizierter gestaltenden -- Klärungen des Sachverhaltes Abstand. Weder ist eine Urgenz des USB-Sticks aktenkundig noch machte die belangte Behörde von dem Angebot des BK einer Präsentation der Software Gebrauch. Auch wurde nicht begründet, warum die belangte Behörde diese Beweismittel nunmehr als entbehrlich ansah. Es entsteht der Eindruck, dass die belangte Behörde sich nicht mit - zweifelsohne aufwändiger -Ermittlungstätigkeit belasten und dass sie ein allfälliges Nachholen dieser Ermittlungstätigkeit dem Bundesverwaltungsgericht überlassen wollte.
3.2.4. In einem fortgesetzten Verfahren werden daher die unerlässlichen Sachverhaltsermittlungen durchzuführen sein und zunächst auch die von der mitbeteiligten Partei zur Beschwerde der Beschwerdeführer an das Bundesverwaltungsgericht vorgelegten Unterlagen im Rahmen des Parteiengehörs zu übermitteln sein. Weiters werden - unter Heranziehung von Expertenwissen bzw. fachkundiger Personen, wie etwa unter Heranziehung eines Sachverständigen, dem die entsprechende Software zur Verfügung steht - weitere Ermittlungen zu tätigen sein. Es wird insbesondere - nachvollziehbar - zu klären sein, inwieweit die beschwerdegegenständlichen Programme tatsächlich an der Ausführung gehindert wurden oder nicht und ob und gegebenenfalls welche personenbezogene Daten verarbeitet wurden. Insbesondere wird auch zu prüfen sein, inwiefern Protokolldaten verarbeitet wurden, die Aufschluss über die technischen Vorgänge geben können. Gegebenenfalls wird zu prüfen sein, ob (personenbezogene) Daten noch vorhanden sind bzw. ob und wann diese gelöscht wurden. Zum Ergebnis dieser Ermittlungen wird entsprechendes Parteiengehör zu gewähren sein. In diesem Zusammenhang könnte sich auch - gerade im Hinblick auf die divergierenden Äußerungen der Beschwerdeführer und der mitbeteiligten Partei und der notwendigen Befragung von Zeugen und Sachverständigen - eine mündliche Verhandlung als zweckmäßig erweisen.
Die genannten Ermittlungen sind nach Ansicht des Bundesverwaltungsgerichts für eine Beurteilung der Frage, ob eine Verletzung des Grundrechts auf Geheimhaltung personenbezogener Daten sowie des datenschutzrechtlichen Auskunftsrechts vorliegt, notwendig. Da zu den offenen Fragestellungen umfassende Sachverhaltsermittlungen erforderlich sind, kommt § 28 Abs. 3 2. Satz VwGVG zur Anwendung. Der angefochtene Bescheid ist daher gemäß § 28 Abs. 3 2. Satz VwGVG zu beheben und die Angelegenheit an die belangte Behörde zurückzuverweisen.
3.2.5. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 2 Z 1 VwGVG entfallen, zumal aufgrund der Aktenlage feststeht, dass der mit der Beschwerde angefochtene Bescheid aufzuheben ist.
3.3.1. Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
3.3.2. In der rechtlichen Begründung (Punkt 3.2.) wurde ausführlich unter Bezugnahme auf die Judikatur des Verwaltungsgerichtshofes ausgeführt, dass im erstinstanzlichen Verfahren notwendige Ermittlungen unterlassen wurden. Betreffend die Anwendbarkeit des § 28 Abs. 3 2. Satz VwGVG im gegenständlichen Fall liegt keine grundsätzliche Rechtsfrage vor, weil einerseits Judikatur zu § 28 Abs. 2 und 3 VwGVG vorliegt, andererseits § 28 Abs. 3 2. Satz inhaltlich § 66 Abs. 2 AVG (mit Ausnahme des Wegfalls des Erfordernisses der Durchführung einer mündlichen Verhandlung) entspricht und auch diesbezügliche Judikatur des Verwaltungsgerichtshofs betreffend die Zurückverweisung wegen mangelhafter Sachverhaltsermittlungen heranzuziehen ist. Im Übrigen trifft § 28 Abs. 3 2. Satz VwGVG eine klare iS einer eindeutigen Regelung, weshalb keine Rechtsfrage grundsätzlicher Bedeutung vorliegt.
Verbinden Sie Omnilex, um den Rechtskorpus über Ihren KI-Assistenten zu durchsuchen.