projets
W292 2250467-1•Bundesverwaltungsgericht W292 2250467-1
W292 2250467-1Tribunal administratif fédéral27 juil. 2023
Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenübermittlung Einschränkung Informationspflicht Informationsrecht personenbezogene Daten Verbesserungsauftrag Verein Verfahrensgegenstand Zurückweisung
W292 2250467-1/4E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer über die Beschwerde von XXXX , gegen den Bescheid der Datenschutzbehörde vom 03.12.2021, Zl. D124.4402 / XXXX (mitbeteiligte Partei: XXXX ) zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I.Verfahrensgang:
1. Dem Ausgangsverfahren vor der Datenschutzbehörde (belangte Behörde) lag der verfahrenseinleitende Antrag (Datenschutzbeschwerde) des Beschwerdeführers vom 05.07.2021 gegen die mitbeteiligte Partei zugrunde. Darin brachte der Beschwerdeführer zusammengefasst vor, dass er sich im Recht auf Information als verletzt erachte. Hintergrund sei ein vom Vereinsgesetz vorgeschriebenes Schiedsverfahren, wobei der Beschwerdeführer einen Schiedsrichter für sich normieren müsse; demnach habe er in diesem Zusammenhang um Übermittlung der Vereinsmitgliederliste der E-Musikgruppe samt Kontaktdaten ersucht, was ihm aus Gründen des Datenschutzes seitens der mitbeteiligten Partei verwehrt worden sei. Diese Vorgehensweise verletze das Vereinsgesetz und seien die Vereinsmitglieder zu informieren (bzw. befragen), ob ihre Mailadressen an weitere Vereinsmitglieder weitergeleitet werden dürfen oder nicht.
2. Mit Verfügung vom 16.11.2021 forderte die belangte Behörde den Beschwerdeführer zur Ergänzung seines verfahrenseinleitenden Antrages in Bezug auf den Sachverhalt, der der behaupteten Rechtsverletzung zugrunde gelegen sei sowie in Bezug auf die Informationen im Sinne von Art. 13 und 14 DSGVO, die dem Beschwerdeführer seiner Ansicht nach von der mitbeteiligten Partei nicht erteilt worden seien, unter Setzung einer Frist von zwei Wochen auf.
3. Mit Schreiben vom 28.11.2021 wiederholte der Beschwerdeführer seine Ausführungen und führte aus, dass eine vermeintliche Ausübung der DSGVO gegenständlich zu einer Einschränkung der Rechte des Beschwerdeführers aus dem Vereinsgesetz führe und eine solche Rechtsverletzung nicht individuell sei, sondern die Allgemeinheit betreffe. Es bedürfe demnach einer internen Vereinskommunikation und seien die Daten zur Verfügung zu stellen.
4. Mit dem angefochtenen Bescheid wies die belangte Behörde den verfahrenseinleitenden Antrag unter Verweis auf § 24 Abs. 2 DSG in Verbindung mit § 13 Abs. 3 AVG zurück; zusammengefasst stellte die belangte Behörde in rechtlicher Hinsicht fest, der Beschwerdeführer habe trotz gebotener Gelegenheit zur Verbesserung seines mangelhaften Antrages an die Behörde die aufgezeigten Mängel nicht behoben, weshalb die Datenschutzbeschwerde zurückzuweisen gewesen sei.
5. Dagegen richtet sich die gegenständliche Bescheidbeschwerde vom 29.12.2021, im Rahmen derer der Beschwerdeführer zusammengefasst vorbringt, er sei den seitens der belangten Behörde erteilten Verbesserungsauftrag bestmöglich nachgekommen, habe jedoch keinerlei juristischen Kenntnisse, weshalb ihm eine weitergehende rechtliche Formulierung seines Begehrens nicht möglich gewesen sei; daher begehre er nunmehr die Aufhebung des zurückweisenden Bescheides der belangten Behörde und die inhaltliche Prüfung seines Antrages, da die Herausgabe der Kontaktdaten anderer Vereinsmitglieder ein berechtigtes Interesse seinerseits darstelle.
6. Die gegenständliche Rechtssache wurde der Gerichtsabteilung W 137 mit Verfügung des Geschäftsverteilungsausschusses vom 03.10.2022 abgenommen und der Gerichtsabteilung W292 mit 06.10.2022 zugewiesen.
II.Das Bundesverwaltungsgericht hat erwogen:
1.1. Der Beschwerdeführer brachte den verfahrenseinleitenden Antrag bei der belangten Behörde mit E-Mail vom 05.07.2021 ein und verwendete hierzu ein von der Datenschutzbehörde unter www.dsb.gv.at bereitgestelltes Formular. Das vom Beschwerdeführer ausgefüllte Formular und das darin enthaltene Beschwerdevorbringen stellt sich – soweit hier von Relevanz – wie folgt dar [Formatierung nicht wie im Original, Auslassungen und Hervorhebungen durch das Bundesverwaltungsgericht]:
„Beschwerde an die Datenschutzbehörde
Informationspflichten gemäß Art. 13 14 DSGVO / …
Stand: Juli 2019 / …
Beschwerdeführer / Complainant:
Name: XXXX
Anschrift: XXXX
E-Mail-Adresse / Email address (Mit Bekanntgabe einer E-Mail-Adresse erklärt der Beschwerdeführer sich bereit, behördliche Schriftstücken an diese E-Mail-Adresse zu erhalten: XXXX
Verantwortlicher (Beschwerdegegner) / Controller (respondent to the complaint):
XXXX
E-Mail-Adresse / Email address: XXXX
…
Hiermit erhebe ich Beschwerde gemäß Art. 77 Datenschutz-Grundverordnung (DSGVO) bzw. gemäß § 24 Datenschutzgesetz (DSG) gegen oben genannten Beschwerdegegner, wegen eines behaupteten Verstoßes gegen:
[ x ] Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO) / Information to be provided where personal data are collected from the data subject (Art. 13 GDPR)
[ nicht angekreuzte Auswahlmöglichkeit ] Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben werden (Art. 14 DSGVO) / Information to be provided where personal data have not been obtained from the data subject (Art. 14 GDPR)
2. Bitte eine oder mehrere Varianten auswählen / please select one or more variants:
[ nicht angekreuzte Auswahlmöglichkeit ] 2.1. Der Beschwerdegegner hat die Kontaktdaten des Verantwortlichen oder eines Vertreters nicht angegeben / the respondent to the complaint did not provide the identity and the contact details of the controller or of the controller’s representative;
[ x ] 2.2. Der Beschwerdegegner hat die Kontaktdaten eines Datenschutzbeauftragten nicht angegeben / the respondent to the complaint did not provide the contact details of the data protection officer;
[ x ] 2.3. Der Beschwerdegegner hat keine Angaben über die Zwecke der Verarbeitung der personenbezogenen Daten oder der Rechtsgrundlage angegeben / the respondent to the complaint did not provide the purposes of the processing for which the personal data are intended or did not provide the legal basis for the processing;
[ x ] 2.4. Wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht: Der Beschwerdegegner hat die berechtigten Interessen, die vom Verantwortlichen oder von einem Dritten verfolgt werden, nicht angeführt / where the processing is based on point (f) of Article 6 (1): the respondent to the complaint did not provide informations about the legitimate interests pursued by the controller or by a third party;
[ nicht angekreuzt ] 2.5. Der Beschwerdegegner hat die Empfänger oder die Empfängerkategorien nicht angegeben / the respondent to the complaint did not provide informations about the recipients or categories of recipients of the personal data, if any;
[ nicht angekreuzt ] 2.6. Der Beschwerdegegner beabsichtigt zu übermitteln/hat personenbezogene Daten an Drittland übermittelt und keine Informationen über den Angemessenheitsbeschluss/die angemessenen Garantien angegeben / the respondent to the complaint intends to transfer/did transfer personal data to a third country and did not provide informations about the existence or absence of an adequacy decision or suitable safeguards;
[ nicht angekreuzt] 2.7. Es fehlen Informationen über die Speicherdauer bzw. die Kriterien für die Festlegung der Aufbewahrungsdauer / the respondent to the complaint did not provide informations about the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;
[ nicht angekreuzt ] 2.8. Es wurde nicht oder unzureichend über das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Datenverarbeitung, auf Widerspruch oder auf Datenübertragbarkeit belehrt / the respondent to the complaint did not provide any informations or did provide inadequate informations about the existence of the right to request from the controller access to and rectification or erasure of personal data or restriction of processing concerning the data subject or to object to processing as well as the right to data portability;
[ nicht angekreuzt ] 2.9. Die Verarbeitung beruht auf einer Einwilligung und es wurde nicht oder unzureichend über die Möglichkeit des jederzeitigen Widerrufs, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird / where the processing is based on point (a) of Article 6 (1) or point (a) of Article 9 (2), the information about the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal was not provided at all or provided just in an inadequate way;
[ x ] 2.10. Der Beschwerdegegner hat nicht/unzureichend über das Recht auf Beschwerde bei einer Aufsichtsbehörde (DSB) belehrt / the respondent to the complaint did not provide any informations or did provide inadequate informations about the right to lodge a complaint with a supervisory authority;
[ x ] 2.11. Der Beschwerdegegner hat keine oder unzureichende Informationen darüber zur Verfügung gestellt, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist und ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte / the respondent to the complaint did not provide any informations or did provide inadequate informations whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as whether the data subject is obliged to provide the personal data and of the possible consequences of failure to provide such data;
[ nicht angekreuzt ] 2.12. Der Beschwerdegegner hat keine oder unzureichende Informationen betreffend die involvierte Logik und die Tragweite der angestrebten Auswirkung einer automatisierten Entscheidungsfindung oder Profilings gegeben / the respondent to the complaint did not provide any informations or did provide inadequateinformations about the existence of automated decision-making, including profiling, about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject;
[ x ] 2.13. Der Beschwerdegegner hat personenbezogene Daten zu einem anderen als dem ursprünglichen Zweck weiterverarbeitet und keine oder unzureichende Informationen dazu gegeben / the respondent to the complaint did not provide any informations or did provide inadequate informations where he further processed the personal data for a purpose other than that for which the personal data were collected;
[ nicht angekreuzt ] 2.14. Wurden personenbezogene Daten nicht bei der betroffenen Person erhoben: Der Beschwerdegegner hat nicht oder unzureichend darüber informiert aus welcher Quelle die personenbezogenen Daten stammen und ob sie aus öffentlich zugänglichen Quellen stammen / where personal data have not been obtained from the data subject: the respondent to the complaint did not provide any informations or did provide inadequate informations from which source the personal data originate and if applicable, whether it came from publicly accessible sources.
Zu dem behaupteten Verstoß teile ich folgenden Sachverhalt mit (Ort und Zeit der Erhebung, nähere Umstände) / The facts regarding the claimed infringement are as follows:
Bei einem Vereinsinternen streit wird das vom VerG vorgeschriebenes Schiedsgericht zusammengerufen. Als ein Streitteil werde ich vom Vereinsvorstand aufgefordert (27.04.21): „Wir bitten dich, bis spätestens 11. Mai 2021 (wie terminlich in den Statuten vorgesehen) einen neuen Schiedsrichter für dich zu nominieren und bekannt zu geben. Bitte versichere dich, dass die Person auch zustimmt, die Funktion zu übernehmen!“ Meine Anfrage (04.05.21): „ihr schreiben vom 27.04.21 wurde heute auch per post gebracht. in diesem zusammenhang bitte ich sie um die übermittlung einer liste der vereinsmitglieder der e-musikgruppe mit kontakt-e-mail-adressen oder tel. nummern.“ wurde (07.05.21) mit: „Ihrer Anfrage können wir leider nicht entsprechen, da es aus datenschutzrechtlichen Gründen nicht möglich ist Kontaktdaten der Vereinsmitglieder weiterzugeben.“ beantwortet.
Da ich auf Grund fehlender Kontakte keine Möglichkeiten hatte der Aufforderung des Vereinsvorstandes nachzugehen, wurde das ganze Schiedsgericht alleine von meinem Streitgegner zusammengestellt. Diese Tatsache verletzt die Bestimmung des § 8 (2) VerG „Die Statuten haben die Zusammensetzung und die Art der Bestellung der Mitglieder der Schlichtungseinrichtung unter Bedachtnahme auf deren Unbefangenheit zu regeln. Den Streitparteien ist beiderseitiges Gehör zu gewähren.“.
Laut dem § 1 (1) des VerG „Ein Verein im Sinne dieses Bundesgesetzes ist ein freiwilliger, auf Dauer angelegter, auf Grund von Statuten organisierter Zusammenschluss mindestens zweier Personen zur Verfolgung eines bestimmten, gemeinsamen, ideellen Zwecks.“. Um einen Zusammenschluss und gemeinsame Verfolgung von Zielen bzw. Statutenbefolgung gewährleisten zu können bedarf es einer Kommunikation innerhalb des Vereins. Die Weitergabe von Mailadressen innerhalb des Vereins stellt ein berechtigtes Interesse zur Verfolgung eines gemeinsamen Zwecks im Sinne des Art 6 (1) DSGVO dar.
Das Verhalten des Vereinsvorstands führt zur Verhinderung einer objektiven und unbefangener Behandlung der Sache und meiner Benachteiligung.
Die Vereinsmitglieder müssten darüber informiert werden, ob ihre Mailadressen an weitere Vereinsmitglieder im Sinne des VerG weitergeleitet oder nicht geleitet werden. Der ursprünglichere Zweck war die Verfolgung eines gemeinsamen Zwecks, die auf Basis einer ausreichenden Kommunikation innerhalb des Vereins möglich ist.
Zum Beweis schließe ich folgende Unterlagen in Beilage an (Website, Formulare, Geschäftskorrespondenz etc.) / attached pieces of evidence: website, documents, business correspondence or more:
Ich beantrage daher, dass die Datenschutzbehörde eine Verletzung meiner Rechte feststellt / I hereby request that the data protection authority finds that my rights have been infringedOrt und Datum / Place and date:Wien, 05.07.2021
…“
1.2. Mit Verfügung vom 16.11.2021 forderte die belangte Behörde den Beschwerdeführer wie folgt zur Verbesserung seines Antrages vom 05.07.2021 auf [Formatierung nicht wie im Original, Auslassungen und Hervorhebungen durch das Bundesverwaltungsgericht]:
„ …
Betrifft: Mangelbehebungsauftrag
Ihre am 5. Juli 2021 bei der Datenschutzbehörde eingelangte Beschwerde bzw. Ihr Antrag erweist sich als mangelhaft und bedarf der Verbesserung.
Es fehlen folgende Elemente zu einer gesetzmäßig gemäß § 24 Abs. 2 DSG ausgeführten Beschwerde:
1. der Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird (§ 24 Abs. 2 Z 3 DSG);
Bitte machen Sie nähere Angaben zum Sachverhalt, aus dem Sie die behauptete Rechtsverletzung ableiten. Der behauptete Sachverhalt betreffend die behauptete Verletzung im Recht auf Information ist Ihrem Vorbringen nicht zweifelsfrei zu entnehmen.
Dazu ist anzumerken, dass Sie vorbringen, Sie seien der Auffassung, Vereinsmitglieder müssten informiert werden, ob ihre Mailadressen an weitere Vereinsmitglieder im Sinne des VerG weitergeleitet werden oder nicht.
Dem ist jedoch nicht zu entnehmen, ob Ihre personenbezogenen Daten vom Verantwortlichen erhoben wurden und somit, geht aus Ihrem Vorbringen nicht zweifelsfrei hervor, ob Sie durch den gegenständlichen Sachverhalt individuell betroffen sind. Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Art. 2 1. Hauptstück verstößt. Insbesondere wäre daher auszuführen, ob und wann Ihre personenbezogenen Daten vom Beschwerdegegner erhoben wurden. Es ist überdies anzugeben, ob Ihre Daten vom Beschwerdegegner direkt bei Ihnen erhoben wurden (Art. 13 DSGVO) oder nicht bei Ihnen erhoben wurden (Art. 14 DSGVO).
Es ist konkret bekannt zu geben, welche Informationen iSd Art. 13 bzw. Art. 14 DSGVO Ihnen nicht erteilt wurden.
2. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt (§ 24 Abs. 2 Z 4 DSG);
Bitte machen Sie nähere Angaben zu den Gründen, aus denen Sie die Sie betreffende behauptete Rechtsverletzung ableiten.
Bitte beheben Sie diese Mängel, indem Sie die Beschwerde nochmals verbessert einbringen oder ergänzen.
Für die Erfüllung dieses Mangelbehebungsauftrags wird eine Frist von zwei Wochen ab Erhalt dieses Schreibens gesetzt. Sollte keine Verbesserung erfolgen, ist gemäß § 13 Abs. 3 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG) mit der Zurückweisung des Anbringens zu rechnen.
…“
Mit Stellungnahme vom 28.11.2021 replizierte der Beschwerdeführer auf den Verbesserungsauftrag der belangten Behörde wie folgt [Formatierung nicht wie im Original, Hervorhebungen und Auslassungen durch das Bundesverwaltungsgericht]:
„…
Sehr geehrte Damen und Herren,
ich bin kein Jurist und kann deswegen keine juristische Begründung abgeben.
Ich kann lediglich feststellen, dass eine vermeintliche Ausübung des DSGVO im vorliegenden Fall zur einer Einschränkung meiner Rechte im Zusammenhang mit dem Vereinsgesetz (§ 8 (2) VerG) darstellt.
Es ist in diesem Zusammenhang festzustellen, dass eine solche Rechtsverletzung nicht individuell ist, sondern die Allgemeinheit betrifft. Im Zusammenhang mit dem §24 DSG steht mir das Recht auf Beschwerde wegen der Verletzungen von Bestimmungen des DSGVO zu.
Wie ich bereits in meiner Beschwerde vom 05.07. mitteilte, handelt es sich um die Verletzung des Art 6 (1) „e“, „f“ DSGVO.
Zum Sachverhalt: Um die Bestimmungen des VerG einzuhalten, bedarf es einer internen Vereinskommunikation, die ein berechtigtes Interesse darstellt und das Weiterleiten von Mitgliederdaten (Mail-Adressen) innerhalb eines Vereins erlauben soll. Im vorliegenden Fall wurde eine per VerG vorgeschriebene Anrufung zur Klärung interner Streitigkeiten eines Schiedsgerichts mit der Begründung dadurch verhindert, dass es behauptet wurde, dieses gegen die Bestimmungen des DSGVO stößt. Mir wurde keine Mailadressen der Vereinsmitglieder bekanntgegeben, um eine Schiedsrichterernennung gewährleisten zu können. Die Erhebung von personenbezogenen Daten beim Beitritt zu einem Verein dient laut dem § 1 (1) des VerG einem auf Dauer angelegten Zusammenschluss zur Verfolgung
eines bestimmten, gemeinsamen, ideellen Zwecks. (Diese wird daher direkt bei der Person angehoben.) Daher sind eine Kommunikation bzw. die dafür notwendigen Kommunikationsdaten (wie z.B. Mailadressen) zur Verfügung zu stellen.
vielen Dank,
mit freundlichen Grüßen,
XXXX …“
Die getroffenen Feststellungen ergeben sich aus dem unbedenklichen Verwaltungsakt, insbesondere aus dem Inhalt und objektiven Erklärungswert des verfahrenseinleitenden Antrages vom 05.07.2021 sowie der ergänzenden Stellungnahme des Beschwerdeführers vom 28.11.2021.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor.
Zu A)
Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten in Auszügen samt Überschrift:
„Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4) …
(5) – (10) …“
Die fallbezogen maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung [im Folgenden: DSGVO]), ABl. L 119 vom 4.5.2016, S. 1, lauten auszugsweise wie folgt:
Artikel 13
Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
Artikel 14
Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
(1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:
a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten;
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) die Kategorien personenbezogener Daten, die verarbeitet werden;
e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.
(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten:
a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen;
g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(3) Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2
a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder,
c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
(4) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
(5) Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit
a) die betroffene Person bereits über die Informationen verfügt,
b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit,
c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder
d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.
Artikel 77
Recht auf Beschwerde bei einer Aufsichtsbehörde
(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.
(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.
§ 13 AVG samt Überschrift lautet auszugsweise:
„Anbringen
§ 13. (1) Soweit in den Verwaltungsvorschriften nicht anderes bestimmt ist, können Anträge, Gesuche, Anzeigen, Beschwerden und sonstige Mitteilungen bei der Behörde schriftlich, mündlich oder telefonisch eingebracht werden. Rechtsmittel und Anbringen, die an eine Frist gebunden sind oder durch die der Lauf einer Frist bestimmt wird, sind schriftlich einzubringen. Erscheint die telefonische Einbringung eines Anbringens der Natur der Sache nach nicht tunlich, so kann die Behörde dem Einschreiter auftragen, es innerhalb einer angemessenen Frist schriftlich oder mündlich einzubringen.
(2) Schriftliche Anbringen können der Behörde in jeder technisch möglichen Form übermittelt werden, mit E-Mail jedoch nur insoweit, als für den elektronischen Verkehr zwischen der Behörde und den Beteiligten nicht besondere Übermittlungsformen vorgesehen sind. Etwaige technische Voraussetzungen oder organisatorische Beschränkungen des elektronischen Verkehrs zwischen der Behörde und den Beteiligten sind im Internet bekanntzumachen.
(3) Mängel schriftlicher Anbringen ermächtigen die Behörde nicht zur Zurückweisung. Die Behörde hat vielmehr von Amts wegen unverzüglich deren Behebung zu veranlassen und kann dem Einschreiter die Behebung des Mangels innerhalb einer angemessenen Frist mit der Wirkung auftragen, dass das Anbringen nach fruchtlosem Ablauf dieser Frist zurückgewiesen wird. Wird der Mangel rechtzeitig behoben, so gilt das Anbringen als ursprünglich richtig eingebracht.
(4) Bei Zweifeln über die Identität des Einschreiters oder die Authentizität eines Anbringens gilt Abs. 3 mit der Maßgabe sinngemäß, dass das Anbringen nach fruchtlosem Ablauf der Frist als zurückgezogen gilt.
(5) Die Behörde ist nur während der Amtsstunden verpflichtet, schriftliche Anbringen entgegenzunehmen oder Empfangsgeräte empfangsbereit zu halten, und, außer bei Gefahr im Verzug, nur während der für den Parteienverkehr bestimmten Zeit verpflichtet, mündliche oder telefonische Anbringen entgegenzunehmen. Die Amtsstunden und die für den Parteienverkehr bestimmte Zeit sind im Internet und an der Amtstafel bekanntzumachen.
(6) Die Behörde ist nicht verpflichtet, Anbringen, die sich auf keine bestimmte Angelegenheit beziehen, in Behandlung zu nehmen.
(7) Anbringen können in jeder Lage des Verfahrens zurückgezogen werden.
(8) Der verfahrenseinleitende Antrag kann in jeder Lage des Verfahrens bis zu einer allfälligen Schließung des Ermittlungsverfahrens (§ 39 Abs. 3) geändert werden. Durch die Antragsänderung darf die Sache ihrem Wesen nach nicht geändert und die sachliche und örtliche Zuständigkeit nicht berührt werden.
(…)“
3.2. Zur Abweisung der Beschwerde
3.2.1. Der Verwaltungsgerichtshof hat bereits wiederholt ausgesprochen, dass, wenn die belangte Behörde einen Antrag zurückgewiesen hat, Sache des Beschwerdeverfahrens lediglich die Frage der Rechtmäßigkeit der Zurückweisung ist (vgl. VwGH 18.12.2014, Ra 2014/07/0002, 0003; 23.06.2015, Ra 2015/22/0040, sowie 16.09.2015, Ra 2015/22/0082 bis 0084, alle mwN). Eine inhaltliche Entscheidung über den verfahrensgegenständlichen Antrag war dem Bundesverwaltungsgericht somit verwehrt.
3.2.2. Hinsichtlich der Auslegung von verfahrenseinleitenden Anträgen ist zunächst festzuhalten, dass die Frage nach dem Inhalt eines Anbringens nach deren objektivem Erklärungswert in Zusammenschau mit dem äußeren Erscheinungsbild zu beantworten ist (VwGH 26. 6. 1995, 92/18/0199; 23. 4. 2007, 2005/10/0140). Zudem ist bei der Zurechnung (Auslegung) von Parteihandlungen zu beachten, dass durch Formvorschriften die Durchsetzung materieller Rechte nicht in größerem Ausmaß als unbedingt erforderlich eingeschränkt werden soll (VfSlg. 14.965/1997).
3.2.3. Fallbezogen war somit zu prüfen, ob im vorliegenden Verfahren, wie von der Datenschutzbehörde angenommen, die in § 24 Abs. 1 und Abs. 2 DSG enthaltenen inhaltlichen Anforderungen vom Beschwerdeführer im Rahmen dessen verfahrenseinleitenden Antrages vom 05.07.2021 sowie der dazu eingebrachten Verbesserung vom 28.11.2021 erfüllt wurden; dies unter Heranziehung des objektiven Erklärungswertes sowie des äußeren Erscheinungsbildes der in Rede stehenden Eingaben des Beschwerdeführers im Verfahren vor der belangten Behörde:
3.2.4. Hierzu ist zunächst festzuhalten, dass bereits aus dem klaren Wortlaut des § 24 Abs. 1 DSG hervorgeht, dass Betroffene ein subjektives Recht auf Erhebung einer Beschwerde an die Datenschutzbehörde haben, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. Daraus folgt, dass das Recht zur Erhebung einer Beschwerde an die Datenschutzbehörde die Behauptung des Betroffenen voraussetzt, dass die Verarbeitung von personenbezogenen Daten, die den Beschwerdeführer selbst betreffen, gegen das Grundrecht auf Geheimhaltung im Sinne von § 1 DSG oder Bestimmungen der DSGVO verstößt. Nicht Gegenstand einer Beschwerde im Sinne von § 24 Abs. 1 DSG sind daher Verarbeitungsvorgänge, die sich auf personenbezogene Daten beziehen, die andere – vom Betroffenen unterschiedliche natürliche Personen – betreffen.
3.2.5. Der verfahrenseinleitende Antrag des Beschwerdeführers an die Datenschutzbehörde vom 05.07.2021 ist zunächst mit den Worten „Beschwerde -Informationspflichten gemäß Art. 13 14 DSGVO“ überschrieben. Wie festgestellt, führt der Beschwerdeführer sodann hinsichtlich des Sachverhaltes, der zu der behaupteten Verletzung seiner Rechte geführt haben soll zusammengefasst aus, er habe von der Beschwerdegegnerin, einem Verein, dessen Mitglied auch er selbst zu sein behauptet, die Herausgabe von Kontaktdaten betreffend anderer Vereinsmitglieder zum Zweck der Wahl eines Schiedsrichters zur Klärung einer Streitigkeit zwischen ihm selbst und dem Verein bzw. anderen Vereinsmitgliedern begehrt, jedoch sei dieses Begehren seitens des Vereins mit dem Hinweis auf datenschutzrechtliche Vorgaben verweigert worden.
3.2.6. Fallbezogen war festzustellen, dass anhand des Inhaltes des verfahrenseinleitenden Antrages nicht ableitbar ist, inwiefern sich der Beschwerdeführer durch die Verarbeitung von ihn selbst betreffenden personenbezogenen Daten in seinen Rechten nach § 1 DSG bzw. der DSGVO verletzt erachtet. Vielmehr scheint der Beschwerdeführer von der Datenschutzbehörde eine Entscheidung dahingehend zu begehren, dass eine Herausgabe von Informationen (hier: Kontaktdaten) betreffend anderer Vereinsmitglieder durch den Verein an ihn nicht gegen datenschutzrechtliche Bestimmungen verstoße. Wie daher von der belangten Behörde im angefochtenen Bescheid zutreffend ausgeführt, fallen personenbezogene Daten anderer Vereinsmitglieder nicht unter die (subjektiven) Rechte auf Information und Auskunft, wie diese in den Art. 13 bis 15 DSGVO normiert sind.
3.2.7. Die belangte Behörde ist daher aus Sicht des erkennenden Senates zu Recht nach § 13 Abs. 3 AVG vorgegangen und hat den Beschwerdeführer unter Setzung einer Frist von zwei Wochen zur Verbesserung seines – mit Blick auf § 24 Abs. 2 DSG – mangelhaften Antrages aufgefordert, der an den Beschwerdeführer gerichtete Verbesserungsauftrag war dabei konkret und enthielt eine unmissverständliche Aufforderung dahingehend, welche Mängel zu beheben waren (vgl. VwgH vom 05.05.2023, Ra 2023/09/0022, mwN); so hat die belangte Behörde den Beschwerdeführer explizit mit Blick auf die inhaltlichen Erfordernisse einer Datenschutzbeschwerde im Sinne von § 24 Abs. 1 und Abs. 2 Z 3 und Z 4 DSG hingewiesen und angeleitet.
3.2.8. Auf den nach § 13 Abs. 3 AVG seitens der belangten Behörde erteilten Verbesserungsauftrag replizierte der Beschwerdeführer sodann mit seiner Eingabe vom 28.11.2021 zusammengefasst dahingehend, dass eine „vermeintliche Ausübung“ der DSGVO gegenständlich zu einer Einschränkung der Rechte des Beschwerdeführers aus dem Vereinsgesetz führe, eine solche Rechtsverletzung nicht individuell sei sondern die Allgemeinheit betreffe und es demnach einer internen Vereinskommunikation bedürfe und die Daten zur Verfügung zu stellen seien. Auch aus diesem Anbringen des Beschwerdeführers geht jedoch nicht hervor, inwiefern er sich durch eine bestimmte, ihn individuell betreffende Verarbeitung personenbezogener Daten in seinen Rechten nach § 1 DSG und/oder den Betroffenenrechten der DSGVO verletzt erachtet. Vielmehr legt das Vorbringen des Beschwerdeführers nahe, er erachte sich in seinen Rechten aus dem Vereinsgesetz bzw. aus seinem Rechtsverhältnis zum Verein verletzt. Im Ergebnis hat die belangte Behörde daher den gegenständlichen Antrag des Beschwerdeführers zu Recht – nach erfolglosem Verbesserungsverfahren im Sinne von § 13 Abs. 3 AVG – zurückgewiesen (vgl. VwGH vom 05.05.2023, Ra 2023/09/0022, mwN). Abschließend war zu bemerken, dass Streitigkeiten zwischen Vereinsmitgliedern und einem Verein, sofern nicht ein schiedsgerichtliches Verfahren statutarisch vorgesehen ist, auf den ordentlichen Rechtsweg verwiesen sind (vgl. Pondorfer in Schopper/Weilinger, VereinsG, § 8, Rz 2f, rdb.at).
3.3. Zum Entfall einer mündlichen Verhandlung:
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
Das Bundesverwaltungsgericht hatte vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.); diese bestand in der rechtlichen Beurteilung der verfahrensgegenständlichen Anbringen des Beschwerdeführers im Verfahren vor der belangten Behörde, dies anhand der Bestimmungen in § 24 Abs. 1 und Abs. 2 Z 3 und Z 4 DSG (in Zusammenschau mit § 13 Abs. 3 AVG). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).
Die Durchführung einer mündlichen Verhandlung war fallbezogen daher nicht erforderlich.
Zu B) (Un)Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes zu § 13 Abs. 3 AVG ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.
Connectez Omnilex pour rechercher dans le corpus juridique depuis votre assistant IA.