Bundesverwaltungsgericht W274 2246309-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 24.07.2023
• ECLI: ECLI:AT:BVWG:2023:W274.2246309.1.00

Spruch

W274 2246309-1/12E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch den Richter Mag. LUGHOFER als Vorsitzenden sowie die fachkundigen Laienrichter Prof. KommR. POLLIRER und Dr. GOGOLA als Beisitzer über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde, Barichgasse 40 - 42, 1030 Wien, vom 27.07.2021, GZ D124.1470, Mitbeteiligte XXXX , vertreten durch Wolf Theiss Rechtsanwälte GmbH Co KG, Schubertring 6, 1010 Wienwegen Verletzung im Recht auf Auskunft, in nicht-öffentlicher Sitzung zu Recht:

Der Beschwerde wird nicht Folge gegeben.

Die Revision ist gemäß Art. 103 30 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

XXXX (im Folgenden: Beschwerdeführer, BF) wandte sich mit E-Mail vom 28.06.2019 an die Datenschutzbehörde (im Folgenden: belangte Behörde) und führte aus, er beschwere sich gegen XXXX (im Folgenden: Mitbeteiligte, MB). Er habe mehrmals versucht, Beträge unter 5.000,-- € von Deutschland in die Türkei zu überweisen, sowohl über die Webseite als auch per App. Dies sei mehrmals abgelehnt worden. Die MB habe geantwortet, sie müsse die Bearbeitung dieser Transaktion ablehnen, weil sie einer Reihe von Wirtschaftssanktionen und -beschränkungen unterliege. Es scheine, dass die Transaktion aufgrund der vom BF gemachten Angaben einen Verstoß gegen derartige Sanktionsprogramme darstelle.

Mit Schreiben vom 14.06.2019 habe der BF Auskunft nach der DSGVO verlangt.

Er bitte, die MB aufzufordern, vollständig Auskunft über die zu seiner Person gespeicherten Daten zu geben und insbesondere zu erklären, gegen welches Sanktionsprogramm er verstoßen haben solle. Weiters bitte der BF um Verhängung eines Bußgeldes in angemessener Höhe.

Angeschlossen war ein Schreiben der MB vom 07.06.2019, worin diese ausführt:

„Wir bedauern Ihnen mitteilen zu müssen, dass ihre Transaktion nicht genehmigt wurde.

Hiermit möchten wir Ihnen mitteilen, dass XXXX aufgrund der von Ihnen bereitgestellten Informationen die Bearbeitung dieser Transaktion ablehnen müsste. XXXX unterliegt einer Reihe von Wirtschaftssanktionen und -beschränkungen, die von den Vereinigten Staaten und anderen Ländern verhängt wurden. Es scheint, dass die Transaktion aufgrund der von Ihnen gemachten Angaben einen Verstoß gegen eines oder mehrere dieser Sanktionsprogramme darstellt.“

Weiters ist ein E-Mail des BF an die MB vom 14.06.2019 angeschlossen, womit dieser Auskunft über zu seiner Person gespeicherte Daten nach der DSGVO beantragt und fordert, die MB möge ihm mitteilen, von welchem Sanktionsprogramm er erfasst werde.

Weiters ist eine englischsprachige E-Mail-Kommunikation zwischen dem BF und der MB angeschlossen.

Nach einem Mängelbehebungsauftrag führte der BF mit E-Mail vom 04.09.2019 aus, er habe am 14.06.2019 eine Auskunft nach der EU Datenschutzverordnung beantragt. Die MB habe ihm bis dato keine Auskunft erteilt. Er begehre die Feststellung, dass die Auskunft unrechtmäßig verweigert worden sei.

Über Aufforderung äußerte sich die MB zunächst mit Schreiben vom 22.11.2019 dahingehend, die Stellungnahme wolle nicht an den BF weitergegeben werden, da sie sensible Informationen über die internen Verfahren der MB zur Betrugserkennung enthalte.

Die MB habe den Antrag des BF unverzüglich geprüft. Sie habe zunächst am 14. Juni 2019 ein E-Mail des BF mit der Bitte um Information erhalten. Am 18.06.2019 sei dem BF ein E-Mail mit der Bitte um Einzelheiten zu der spezifischen Transaktion geschickt worden. Der BF habe daraufhin geantwortet, dass das Problem, auf das er gestoßen sei, nicht spezifisch für eine bestimmte Transaktion sei. Er sei nicht in der Lage, Geld mit der MB zu senden.

Die MB sei von ihrem Betrugsteam darüber informiert worden, dass im Rahmen der internen Verfahren festgestellt worden sei, dass der BF mehrere Betrugsindikatoren ausgelöst habe. Die MB könne aus Sicherheits- und damit zusammenhängenden Gründen solche Betrugsauslöser nicht extern mitteilen.

Am 21.06.2019 habe die MB eine Antwort an den BF geschickt, wonach das Profil des BF derzeit daran gehindert sei, Transfers zu senden oder zu empfangen, weil dies gegen die Richtlinien der MB oder ihre gesetzlichen Verpflichtungen zum Schutz der Verbraucher verstoße. Die MB könne keine konkreten Angaben darüber machen, warum das Konto des BF deaktiviert sei.

Die MB erkenne an, dass sie in Zukunft den Umfang des Zugriffsantrags der Person klären sollte, um sicherzustellen, den Umfang eines solchen Antrags zu verstehen. Die MB könne dem BF nicht die Informationen mitteilen, die er ursprünglich im Zusammenhang mit seinem Zugriffsantrag gesucht zu haben scheine. Sofern der BF aber in der Lage sei, seine Identität über die üblichen Verifizierungsverfahren der MB für individuelle Rechtsanfragen zu überprüfen und einen Antrag auf Vollzugriff stelle, sei die MB in der Lage, seinen Antrag in Übereinstimmung mit dem geltenden Recht zu erfüllen.

Mit E-Mail vom 15.01.2020 erkundigte sich der BF über den Verfahrensfortschritt und führte aus, die BF habe ihm Zugriff auf seine persönlichen Daten gewährt. Die Daten seien teilweise offensichtlich fehlerhaft. Die Frage betreffend Anmerkung bezüglich einer Sanktion sei nach wie vor nicht beantwortet.

Mit Schreiben der belangten Behörde vom 24.09.2020 wurde der MB unter Hinweis auf § 4 Abs. 6 DSG aufgetragen, genau darzulegen, weshalb die MB die Verweigerung der Auskunftserteilung als gerechtfertigt ansehe. Ein pauschaler Verweis auf „Sicherheits- und damit zusammenhängende Gründe“ genüge den Anforderungen für eine Beschränkung des Auskunftsrechts nicht. Die belangte Behörde habe in der Folge im Rahmen eines „Blackbox-Verfahrens“ gemäß § 25 Abs. 3 DSG unter vorläufiger Ausnahme des Vorbringens von der Akteneinsicht die Rechtmäßigkeit der geltend gemachten Beschränkung zu überprüfen. Weiters sei darzulegen, weshalb das Auskunftsersuchen des in Deutschland ansässigen BF, das in deutscher Sprache gestellt worden sei, in englischer Sprache beantwortet worden sei.

Mit zweiter Stellungnahme vom 16.10.2020 teilte die MB der belangten Behörde zusammengefasst und mit näherer Begründung (gesetzliche Verbote) mit, sie lege ihren Kunden gegenüber bei Betrugsverdacht grundsätzlich keine Einzelheiten offen, da sie solche Informationen als vertraulich betrachte. Sie stütze sich dabei unter anderem auf § 4 Abs. 6 DSG.

Im vorliegenden Fall dürfte es zu einem Versehen gekommen sein, indem dem BF die Möglichkeit der Eröffnung eines neuen Accounts nicht mitgeteilt worden sei. Dies sei in Abweichung der üblichen Kundenbetreuungsprozesse erfolgt. Die zuständigen Abteilungen seien dahingehend informiert worden, dem BF zu helfen, sollte er einen neuen Account einrichten wollen.

Grundsätzlich habe die MB dem BF in jener Sprache geantwortet, die zuletzt von ihm verwendet worden sei. Aufgrund eines Versehens sei jedoch die E-Mail-Nachricht vom 12.11.2019 auf Englisch geschickt worden.

Mit dem bekämpften Bescheid wies die belangte Behörde die Beschwerde ab und den Antrag auf Verhängung einer Geldbuße zurück.

Sie stellte folgenden Sachverhalt fest (die Parteienbezeichnungen wurden angepasst):

„Der BF ist Kunde der MB.

Der BF versuchte mehrmals Beträge unter € 5.000,-- von Deutschland in die Türkei zu überweisen und nutzte hierbei sowohl die Webseite als auch Applikation der MB. Die Transaktionen wurden mehrmals abgelehnt.

Der BF begehrte daraufhin mit Schreiben vom 14. Juni 2019 von der MB wie folgt Auskunft:

„Sehr geehrte Damen und Herren,

hiermit beantrage ich Auskunft über mich gespeicherten Daten nach EU DSGVO. Insbesondere schreiben Sie " XXXX unterliegt einer Reihe von Wirtschaftssanktionen und -beschränkungen, die von den Vereinigten Staaten und anderen Ländern verhängt wurden. Es scheint, dass die Transaktion aufgrund der von Ihnen gemachten Angaben einen Verstoß gegen eines oder mehrere dieser Sanktionsprogramme darstellt."

Ich fordere Sie auf mir mitzuteilen von welchem Sanktionsprogramm ich erfasst werde. Sollten Sie nicht bis zum 28.06.2019 antworten werde ich eine Beschwerde bei der Aufsichtsbehörde einreichen.

Mit freundlichen Grüßen XXXX “

Der BF erhielt von der MB am 12. November 2019 auszugsweise folgende Benachrichtigung per E-Mail:

“Dear XXXX ,

This communication is in relation to your complaint to the Austrian Data Protection Authority on June 28, 2019 of which we were recently informed by that authority.

We regret that you were not satisfied with our response to your request to our office, and we would be happy to provide you with a copy of your personal data, if you wish to proceed in making a request for the personal data that XXXX holds in relation to you. Please note that, for legal, security, and proprietary reasons, we will not provide specific details about why you are unable to conduct money transfer transactions with XXXX . […]”

Die MB erteilte dem BF im laufendem Verfahren Auskunft über seine personenbezogenen Daten. Dies teilte der BF am 15. Jänner 2020 der Datenschutzbehörde wie folgt mit:„Sehr geehrte Damen und Herren,

ich möchte anfragen wie das nun weiter geht. XXXX hat mir Zugriff auf meine persönlichen Daten gewährt. Die Daten sind teilweise offensichtlich fehlerhaft. Beispielsweise tauchen zwei verschiedene Orte als Geburtsort auf. Des Weiteren ist eine Anmerkung bezüglich einer Sanktion. Ich hatte angefragt, um was für eine Sanktion es sich handelt. (sie Anhang Tabellenblatt Customer Care Spalte J) Diesbezüglich wurde mir keine Auskunft erteilt. Warum kann ich nicht über die XXXX Geldtransfers vornehmen. Diese Frage wurde bis jetzt immer noch nicht beantwortet. Ich möchte Sie bitten meiner Beschwerde abzuhelfen und ein Bußgeld gegen XXXX aufzuerlegen, mit freundlichen Grüßen. XXXX “

Der BF bezieht sich in seinem Schreiben vom 15. Jänner 2020 auf folgenden, seinem Schreiben beigefügten, Auszug einer Excel-Tabelle:

“

Rechtlich folgerte die belangte Behörde, die MB habe in ihren Stellungnahmen gegenüber der belangten Behörde ausreichend und nachvollziehbar dargelegt, dass jene Informationen über die vermerkte Sanktion Geschäfts- und Betriebsgeheimnisse der MB beträfen. Insofern beziehe sich die MB zu Recht auf die Bestimmungen des § 4 Abs. 6 DSG.

Die gegenständlichen Stellungnahmen seien zudem gemäß § 17 Abs. 4 AVG von der etwaigen Akteneinsicht auszunehmen und dem BF auch nicht im Wege des Parteiengehörs übermittelt worden.

Weiters sei der BF, wenngleich im Rahmen des Beschwerdeverfahrens, gemäß Art. 12 Abs. 4 DSGVO von der MB auch per E-Mail vom 19.11.2019 ausreichend über die Gründe für die Verweigerung der Auskunftserteilung informiert worden.

Im Ergebnis bestehe daher kein Anspruch des BF auf eine Auskunft bzw. Informationen über die vermerkte Sanktion.

Sofern der BF vorbringe, dass die ihm erteilte Auskunft fehlerhaft sei, sei er darauf zu verweisen, dass eine Unrichtigkeit der Daten nicht vom Beschwerdegegenstand dieses Verfahrens umfasst sei. Das Auskunftsrecht diene primär dazu, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden und weitere Betroffenenrechte in Anspruch zu nehmen. Demensprechend habe die erteilte Auskunft ihren Zweck erfüllt. Der BF könne nunmehr gegenüber der MB eine Berichtigung gemäß Art. 16 DSGVO begehren.

Der Antrag auf Verhängung einer Geldbuße sei zurückzuweisen, zumal ein subjektives Recht auf Einleitung eines Strafverfahrens aus den entsprechenden Regeln der DSGVO sowie des DSG nicht ableitbar seien.

Gegen diesen Bescheid richtet sich die Beschwerde des BF mit dem Begehren, vollständige Auskunft von der MB zu erlangen sowie auf Verhängung eines Bußgeldes.

Mit Aktenvermerk vom 27.07.2021 legte die Behörde dar, weshalb die Stellungnahmen der MB vom 22.11.2019 und 16. Oktober 2020 vom Parteiengehör auszunehmen seien und ihrer Ansicht nach die MB sich zulässigerweise auf § 4 Abs. 6 DSG berufe, sodass die Stellungnahme und damit einhergehend auch die durch den BF begehrte Information nicht offenzulegen sei.

Die belangte Behörde legte die Beschwerde samt elektronischem Akt - einlangend am 13.09.2021 - dem Verwaltungsgericht vor, verwies auf die Ausnahme der Offenlegung der Stellungnahmen der MB an den BF unter Verweis auf den Aktenvermerk vom 27.07.2020 und ersuchte, dieses Schriftstück von der Akteneinsicht auszunehmen. Sofern der BF in seiner Bescheidbeschwerde vorbringe, er wolle auch Auskunft über die telefonisch durchgeführten Gespräche, sei dies nicht vom Beschwerdegegenstand umfasst und im Verfahren vor der Datenschutzbehörde nicht vorgebracht worden.

Mit Vorlageauftrag vom 11.05.2023 trug das Verwaltungsgericht der MB nähere Aufklärungen darüber auf, welche genauen dieses Verfahren betreffende Umstände Geschäfts- und Betriebsgeheimnisse (iSd § 4 Abs 6 DSG) der MB beeinträchtigten.

Diesbezüglich erfolgte eine ausführliche „vertrauliche Stellungnahme“ der MB vom 13.06.2023 sowie über telefonische Rückfrage des Gerichts die abschließende „vertrauliche Stellungnahme“ vom 11.07.2023 samt einem angeschlossenen E-Mail der MB an den BF vom 11.07.2023 mit ergänzender Auskunft (siehe unten in den Feststellungen).

Die Beschwerde ist im Ergebnis nicht berechtigt:

Folgender Sachverhalt steht fest:

Der BF war jedenfalls in der Vergangenheit Kunde der MB, die im Wesentlichen unter der Marke „ XXXX “ Auslandsüberweisungen durchführt. Jedenfalls in den Jahren 2018 und 2019 tätigte der BF mehrmals derartige Auslandsüberweisungen.

Als der BF im Jahr 2019 weitere Versuche tätigte, über die Website als auch über die App von XXXX Auslandsüberweisungen in die Türkei durchzuführen, gelang dies nicht.

Diesen Umstand teilte der BF zunächst der MB per E-Mail mit, dessen Inhalt nicht festgestellt werden konnte (dieses ist, soweit ersichtlich, nicht Aktenbestandteil).

Mit E-Mail vom 07.06.2019 bedankte sich XXXX für das E-Mail des BF und führte zusammengefasst aus, bedauert werde, dass die Transaktion nicht genehmigt worden sei. XXXX habe aufgrund der vom BF bereitgestellten Information die Bearbeitung dieser Transaktion ablehnen müssen. XXXX unterliege einer Reihe von Wirtschaftssanktionen und Beschränkungen, die von den Vereinigten Staaten und anderen Ländern verhängt worden seien. Es scheine, dass die Transaktion aufgrund der vom BF gemachten Angaben einen Verstoß gegen eines oder mehrerer dieser Sanktionsprogramme darstelle.

Aufgrund dessen beantragte der BF mit E-Mail vom 14.06.2019 an XXXX „Auskunft über die über ihn gespeicherten Daten nach der EU DSGVO.“ Weiters forderte der BF die MB auf mitzuteilen, von welchem Sanktionsprogramm er erfasst werde.

Am 18.06.2019 sandte der BF ein auf Englisch verfasstes E-Mail mit ähnlichem Inhalt an XXXX :

„I have problem to transfer money via app or website.

I get an error code. … What kind of sanction is connected with my name.“

Hierauf antwortete „ XXXX “ mit E-Mail vom vom 21.06.2019:

„We have received your profile and can confirm that it is currently blocked from sending or receiving any transfers because it may violate XXXX policy or our legal obligations to protect consumers and XXXX from unlawful activity. We appologize for the inconvenience; however, we cannot provide specific details about why your account is disabled for legal and propietary reasons. Please refer to XXXX Terms and Conditions XXXX for more information.“

Hierauf erhob der BF am 28.06.2019 die oben dargestellte Datenschutzbeschwerde gegen XXXX International Bank GmbH und verbesserte nach Mangelbehebungsauftrag der belangten Behörde vom 30.07.2019 diese mit dem oben dargestellten Schreiben vom 04.09.2019.

Am 14.11.2019 sandte der BF ein E-Mail von „ XXXX “ vom 12.11.2019 an die belangte Behörde.

Dieses enthält u.a. folgende Ausführungen:

„This communication is in relation to your complaint to the Austria Data Protection Authority on June 28, 2019 of which we were recently informed by that authority.

We regret that you were not satisfied with our response to your request to our office, and we would be happy to provide you with a copy of your personal data, if you wish to proceed in making a request for the personal data that XXXX holds in relation to you. Please note that, for legal, security, and proprietary reasons, we will not provide specific details about why you are unable to conduct money transfer transactions with XXXX . …“

Mit Stellungnahme vom 22.11.2019 führte die MB zunächst aus, sie bitte, dass diese Stellungnahme nicht an den BF weitergegeben werde, da sie sensible Informationen über die internen Verfahren zur Betrugserkennung enthalte. Dem BF werde separat geschrieben um zu klären, ob er mit der Beantragung eines vollständigen Zugangs fortfahren wolle, auch wenn ihm die gewünschte spezifische Information nicht zur Verfügung gestellt werden könne.

In weiterer Folge bezog sich die MB auf das E-Mail des BF vom 14.06.2019 „mit der Bitte um Information“, die Antwort vom 18.06.2019 sowie eine weitere Antwort vom 21.06.2019.

Im Wesentlichen teilte die MB mit, dass sie dem BF nicht jene Informationen mitteilen könne, die er ursprünglich im Zusammenhang mit seinem Zugriffsantrag gesucht zu haben scheine. Sofern der BF jedoch in der Lage sei, seine Identität über die üblichen Verifizierungsverfahren der MB für individuelle Rechtsfragen zu überprüfen und unter der Annahme, dass er beschließe, einen Antrag auf Vollzugriff zu stellen, sei die MB in der Lage, seinen Antrag in Übereinstimmung mit dem geltenden Recht zu erfüllen.

Nach Aufforderung durch die belangte Behörde darzulegen, weshalb die MB die Verweigerung der Auskunftserteilung als gerechtfertigt ansehe, „wobei ein pauschaler Hinweis auf Sicherheits- und damit zusammenhängende Gründe den Anforderungen für eine Beschränkung des Auskunftsrechts nicht genüge“, erfolgte eine weitere Stellungnahme vom 16.10.2020. In dieser bezog sich die MB auf § 4 Abs. 6 DSG, der eine Ausnahme vom Auskunftsrecht für Geschäfts- oder Betriebsgeheimnisse vorsehe. Die Voraussetzungen hiefür lägen im konkreten Fall vor. Die MB bezog sich dabei auf ihre Verpflichtungen aus Rechtsvorschriften betreffend Geldwäsche und traf sodann Ausführungen den Account des BF betreffend.

Bereits am 15.01.2020 hatte sich der BF neuerlich an die belangte Behörde gewandt und ausgeführt:

„Ich möchte anfragen wie das nun weiter geht. XXXX hat mir Zugriff auf meine persönlichen Daten gewährt. Die Daten sind teilweise offensichtlich fehlerhaft. Beispielsweise tauchen zwei verschiedene Orte als Geburtsort auf. Des Weiteren ist eine Anmerkung bezüglich einer Sanktion. Ich hatte angefragt, um was für eine Sanktion es sich handelt (siehe Anhang Tabellenblatt Customer Care Spalte J). Diesbezüglich wurde mir keine Auskunft erteilt. Warum kann ich nicht über die XXXX App Geldtransfers vornehmen?

Diese Frage wurde bis jetzt immer noch nicht beantwortet. Ich möchte Sie bitten meiner Beschwerde abzuhelfen und ein Bußgeld gegen XXXX aufzuerlegen.“

Weiters erliegt im Verwaltungsakt ein Konvolut, das offensichtlich eine Datenauskunft der MB gegenüber dem BF darstellt. Dieses ist zunächst gegliedert in die Bereiche Customer, Transaction, Marketing und Customer Care Contact. Darin enthalten sind - teilweise tabellarisch aufgelistet - offenbar den BF betreffende Daten, insbesondere auch über in der Vergangenheit liegende Transaktionen (Jahre 2018 und 2019). Die im elektronischen Akt der belangten Behörde enthaltene Version ist offenbar unvollständig eingescannt, sodass nicht der gesamte Text aufscheint (Text rechts abgeschnitten).

Zu Nummer XXXX scheint folgender Text auf :

„Issue transacting, inquiry regarding sanctions

2019-06-06

GERMAN“

Mit E-Mail vom 11.07.2023 teilte die MB dem BF mit:

„Wir beziehen uns auf die frühere Korrespondenz (betreffend Auskunftsersuchen), in der Sie um Informationen über die Sprerrung Ihres digitalen Kontos bei der XXXX im Jahr 2019 ersucht haben.

Wir möchten Ihnen bestätigen, dass Ihr digitales XXXX aufgrund eines Verdachts auf betrügerische Aktivitäten im Jahr 2019 gesperrt wurde.

Wir hoffen, dass mit den obigen Ausführungen Ihr Anliegen abschließend geklärt ist.

…“

Jene Gründe, die die MB dazu veranlassten, die letzten Transaktionen des BF abzulehnen, liegen nicht in einem möglichen Verstoß gegen eines oder mehrere Sanktionsprogramme der Vereinigten Staaten oder anderer Länder, denen die MB unterliegt.

Beweiswürdigung:

Die Darstellungen zum wechselseitigen E-Mail-Verkehr zwischen dem BF und der MB, zur Datenschutzbeschwerde des BF, zu den Stellungnahmen der MB sowie zu der durch die MB erteilten Auskunft beruhen auf dem Akteninhalt des Verwaltungsakts.

Die Feststellung, wonach die Transaktionsablehnung nicht auf einem oder mehreren Sanktionsprogrammen gründet, denen die MB unterlegen ist, folgt folgendem Umstand:

Zwar beantwortete die MB zunächst die Anfragen des BF zur Transaktionsablehnung mit vagen Ausführungen in Bezug auf Sanktionsprogramme. In den dargestellten Äußerungen gegenüber der Datenschutzbehörde nannte die MB allerdings einen anderen Grund für die Ablehnung der Transaktionen des BF und führte diesbezüglich Sanktionen nicht an. Bereits daraus ergibt sich, dass nicht allfällige Sanktionen, denen die MB unterworfen ist, sondern andere Gründe ausschlaggebend waren, die Transaktionen des BF abzulehnen.

Dies bestätigte die MB gegenüber dem BF letztlich ausdrücklich mit E-Mail vom 11.07.2023.

Rechtlich folgt:

Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von den Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gem. Art. 22 Abs. 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Gemäß Artikel 4 Z 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Onlinekennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Der in der Definition enthaltene Begriff der Information umfasst ohne Einschränkung alle Informationen, die sich auf eine Person beziehen, womit sich zeigt, dass der Begriff weit zu verstehen ist. Sohin sind persönliche Informationen, wie Identifikationsmerkmale, äußere Merkmale oder innere Zustände (Meinungen, Motive, Wünsche, Überzeugung, Werturteile) genauso gemeint wie sachliche Informationen, also Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie sonstige Beziehungen der betroffenen Person zu Dritten und um ihrer Umwelt. Auch statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf, etwa eine Bonitätsbewertung oder Scoring-Prozesse. Angaben zur Identifizierung von betroffenen Personen sind z.B. Verhaltensweisen, Freizeitverhalten, Werturteile, Charaktereigenschaften (Hödl in Knyrim, DatKomm Artikel 4 DSGVO, Rz 9, Stand 01.12.2018, rdb.at).

Gemäß § 4 Abs. 6 DSG besteht das Recht auf Auskunft gemäß Art. 15 DSGVO gegenüber einem Verantwortlichen unbeschadet anderer gesetzlicher Beschränkungen in der Regel dann nicht, wenn durch die Erteilung dieser Auskunft ein Geschäfts- oder Betriebsgeheimnis des Verantwortlichen bzw. Dritter gefährdet würde.

§ 4 Abs. 6 definiert den Begriff des Geschäfts- oder Betriebsgeheimnisses nicht, sondern setzt ihn voraus. In Übereinstimmung mit Art. 2 Z 1 der Geschäftsgeheimnis-RL (RL 2016/943/EU) konnte für die Zwecke der Auskunftsbeschränkung davon ausgegangen werden, dass darunter jede im Zusammenhang mit dem Geschäftsbetrieb stehende nicht offenkundige, sondern nur einem begrenzten Personenkreis bekannte (wirtschaftliche oder technische) Tatsache, an deren Geheimhaltung der Unternehmensinhaber berechtigtes wirtschaftliches Interesse hat und die nach seinem bekundeten oder doch erkennbaren Willen auch geheim bleiben soll, zu verstehen ist. Es kann sich dabei um ein Geschäfts-/Betriebsgeheimnis des verantwortlichen Auskunftsgebers oder eines Dritten handeln.

Aus der Wortfolge „in der Regel“ ist zu schließen, dass hier kein absolutes Ablehnungsrecht geschaffen wurde, sondern sorgfältig abzuwägen sein wird, inwieweit die Auskunftserteilung dieses Recht tatsächlich beeinträchtigt (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz, § 4 Rz 60 und 61, Stand 01.01.2020, rdb.at).

Gemäß § 25 Abs. 3 DSG hat die Datenschutzbehörde die Rechtmäßigkeit der Anwendung der Beschränkungen zu überprüfen, wenn sich ein Verantwortlicher gegenüber dieser auf eine Beschränkung im Sinne des Art. 23 DSGVO beruft. Kommt sie zur Auffassung, dass die Geheimhaltung von verarbeiteten personenbezogenen Daten gegenüber der betroffenen Person nicht gerechtfertigt war, ist die Offenlegung mit Bescheid aufzutragen.

Daraus folgt:

Die belangte Behörde grenzte den Beschwerdegegenstand als Frage darüber ab, ob die MB den BF dadurch in seinem Recht auf Auskunft verletzt hat, indem sie ihm „keine Auskunft über die vermerkte Sanktion erteilte“.

Sie gründete die Abweisung der Beschwerde darauf, dass die MB in ihren Stellungnahmen gegenüber der belangten Behörde ausreichend und nachvollziehbar dargelegt habe, dass „jene Informationen über die vermerkte Sanktion Geschäfts- und Betriebsgeheimnisse der Beschwerdegegnerin beträfen“. Insofern habe sich die MB zu Recht auf die Bestimmung des § 4 Abs. 6 DSG berufen, sodass auch die gegenständlichen Stellungnahmen gemäß § 17 Abs. 4 AVG von der etwaigen Akteneinsicht auszunehmen gewesen seien und dem BF auch nicht im Wege des Parteiengehörs hätten zugemittelt werden können. Der BF sei auch, wenngleich im Rahmen des Beschwerdeverfahrens, gemäß Art. 2 Abs. 4 DSGVO von der MB per E-Mail vom 19.11.2019 ausreichend über die Gründe für die Verweigerung der Auskunftserteilung informiert worden. Das Vorbringen, wonach die erteilte Auskunft fehlerhaft sei, beträfe die Richtigkeit der Daten und sei nicht vom Beschwerdegegenstand dieses Verfahrens umfasst.

In seiner Beschwerde führte der BF im Wesentlichen aus, dem von der Datenschutzbehörde angenommenen Umstand, dass die MB in ihren Stellungnahmen gegenüber der Datenschutzbehörde ausreichend und nachvollziehbar dargelegt habe, dass jene Informationen über die vermerkte Sanktion Geschäfts- und Betriebsgeheimnisse der MB beträfen, könne nicht gefolgt werden. Es könne nicht angehen, dass bestimmte Vermerke auftauchten, ohne dass der Betroffene überhaupt eine Einsicht- und Kenntnisnahmemöglichkeit habe. Der BF sei Opfer eines Datendiebstahls und habe diesbezüglich Probleme bekommen. Daher wolle er wissen, um welche Geschäfts- oder angebliche Betriebsgeheimnisse es sich handle.

Des Weiteren werde um vollständige Auskunft inklusive der telefonisch durchgeführten Gespräche gebeten, was bis heute nicht erfolgt sei. Die MB könne sich nicht darauf berufen, „dass Sanktionen, die ein Staat gegen den BF verhängt habe, kein Schutzbedürfnis darstellten“.

Dazu ist auszuführen:

Den oben dargestellten eng eingegrenzten Beschwerdegegenstand leitete die belangte Behörde offenbar davon ab, dass der BF mit seinem E-Mail vom 15.01.2020 zum Ausdruck gebracht hatte, dass er seinen allgemeinen Auskunftsantrag durch die Zurverfügungstellung der genannten Informationen als erledigt ansah („ XXXX hat mir Zugriff auf meine persönlichen Daten gewährt“), allerdings weiterhin an der Beantwortung der Frage festhielt, „um was für eine Sanktion es sich handle“. Diese Frage sei immer noch nicht beantwortet.

Wie festgestellt (und mittlerweile seitens der MB gegenüber dem BF auch beauskunftet), liegt der tatsächliche Grund der Ablehnung der Transaktionen aber nicht in allfälligen Sanktionen, sondern in anderen – vor dem Auskunftsschreiben gegenüber dem BF vom 11.07.2023 durch die MB nur gegenüber der Datenschutzbehörde dargestellten – Umständen, nämlich einer Sperre aufgrund eines Verdachts auf betrügerische Aktivitäten im Jahr 2019, deren Offenlegung die MB jedenfalls bis zur Stellungnahme gegenüber dem Verwaltungsgericht vom 11.07.2023 als Verletzung ihrer Geschäfts- oder Betriebsgeheimnisse ansah. Die Ausführung der belangten Behörde auf S 4 und 5 des Bescheides, „die Informationen über die vermerkte Sanktion beträfen Geschäfts- und Betriebsgeheimnisse der MB“, ist insofern unzutreffend, weil durch die MB – bereits im Rahmen des Verfahrens vor der belangten Behörde - ausdrücklich andere Gründe genannt wurden, deren Offenlegung Geschäfts- und Betriebsgeheimnisse beträfen, sodass zuvor im Schriftverkehr genannte Sanktionen erkennbar irrelevant für eine Ablehnung von Transaktionen waren.

Der Umstand, dass Fragen der inhaltlichen Richtigkeit der zu erteilenden Auskunft grundsätzlich nicht vom Beschwerdegegenstand eines Verfahrens auf Erteilung der Auskunft erfasst sind, kann aber nicht dazu führen, dass unter Berufung auf § 4 Abs 6 DSG gegenüber dem Auskunftswerber evident unrichtige Auskunftsinhalte anstatt Geschäfts- und Betriebsgeheimnissen unterliegende inhaltlich richtige Inhalte beauskunftet werden. Im konkreten Fall wurde dies durch die MB selbst noch im Laufe des Verfahrens (vor dem Verwaltungsgericht) so weit wie erforderlich aufgeklärt.

Der BF ist daher im Bezug auf die begehrte Auskunft jedenfalls im nunmehrigen Zeitpunkt nicht mehr beschwert.

Da, wie festgestellt, eine Unterworfenheit unter Sanktionen nicht den Grund für die Transaktionsablehnung mit dem BF bildet, kann auch in der diesbezüglich nicht näheren Beauskunftung durch die MB keine Verletzung des Auskunftsrechts des BF liegen.

Im Ergebnis hat die belangte Behörde daher in Bezug auf die Beauskunftung weiterer Informationen hinsichtlich Sanktionen die Datenschutzbeschwerde zu Recht abgewiesen.

Sofern sich der BF in seiner Beschwerde darüber hinaus auch auf eine Beschwer dahingehend beruft, er habe auch vollständige Auskunft „inklusive der telefonisch durchgeführten Gespräche“ gebeten, was bis heute nicht erfolgt sei, ist ihm zu entgegnen:

Wie die belangte Behörde in ihrer Aktenvorlage ausführt, ist diese Frage nicht vom Beschwerdegegenstand umfasst. Zwar war das ursprüngliche Auskunftsersuchen mangels Beschränkung allumfassend. Allerdings führte der BF gegenüber der belangten Behörde am 15.01.2020 aus, die MB habe ihm Zugriff auf seine personenbezogenen Daten gewährt. Wenn der BF des Weiteren ausführte, die Daten seien teilweise fehlerhaft, beispielsweise tauchten verschiedene Orte als Geburtsort auf, so wurde dieser Umstand in der Beschwerde nicht releviert. Einzig in Bezug auf nähere Auskünfte bestreffend Sanktionen bemängelte der BF in diesem E-Mail den Umfang der Auskunft. Der BF bezieht sich nun in der Beschwerde ganz allgemein auf „telefonisch durchgeführte Gespräche“, wobei keinerlei nähere Anhaltspunkte dafür bestehen, zwischen wem und in welchem Zeitraum diese Gespräche geführt worden sein sollen.

Die Ansicht der belangten Behörde ist zu teilen, dass eine allfällige Auskunftspflicht betreffend solche telefonischen Gespräche nicht vom hier zu Grunde liegenden Beschwerdegegenstand umfasst ist.

Im Ergebnis hat die belangte Behörde die Datenschutzbeschwerde daher zu Recht abgewiesen.

Soweit die MB nähere Umstände zu dem auf den Account des BF bezogenen Verdacht auf betrügerische Aktivitäten im Rahmen ihrer Schriftsätze vom 16.10.2020 und 13.06.2023 gegenüber der belangten Behörde bzw dem Verwaltungsgericht ausgeführt hat, ist eine diesbezügliche Gefährdung von schützenswerten Geschäfts- und Betriebsgeheimnissen nachvollziehbar, weshalb eine Ausnahme von der Weitergabe dieser Umstände auch für Zwecke des Verfahrens gerechtfertigt war. Der Beschränkung dieser Ausnahmen auf das absolut unumgängliche Maß diente auch der Vorlageauftrag vom 11.05.2023. Die wiedergegebenen Umstände aus dem Schriftsatz vom 22.11.2019 beurteilt das Verwaltungsgericht in diesem Zusammenhang als unbedenklich.

Die Durchführung einer mündlichen Verhandlung wurde nicht beantragt. Der maßgebliche Sachverhalt war soweit aufgrund des unbedenklichen Akteninhalts zu klären, dass auch eine von Amts wegen durchzuführende mündliche Verhandlung nicht erforderlich war. Die vom Verwaltungsgericht getroffenen Feststellungen beruhen im Wesentlichen auf dem Akteninhalt und wurden im Sinne der nunmehrigen rechtlichen Beurteilung durch das Verwaltungsgericht getroffen.

Der Ausspruch der Unzulässigkeit der Revision folgt dem Umstand, dass im wesentlichen Einzelfallumstände anhand der dargestellten Bestimmungen zu klären waren und diesbezüglich nicht von fehlender, widersprüchlicher oder uneinheitlicher Rechtsprechung des Verwaltungsgerichtshofs auszugehen ist.