Bundesverwaltungsgericht W256 2235329-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 15.11.2022
• ECLI: ECLI:AT:BVWG:2022:W256.2235329.1.00

Spruch

W256 2235329-1/13E

Im Namen der republik

Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende und den fachkundigen Laienrichterinnen Dr. Claudia Rosenmayr-Klemenz und Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Schönherr Rechtsanwälte GmbH in 1010 Wien, gegen den Bescheid der Datenschutzbehörde vom 9. Juli 2020, Zl. DSB-D205.225/2020-0.033.062 zu Recht erkannt:

A) Der Beschwerde wird Folge gegeben, und der angefochtene Bescheid dahingehend abgeändert, dass der Spruch zu lauten hat wie folgt:

„Die Beschwerde wird als unbegründet abgewiesen.“

B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

In seiner Beschwerde vom 11. Juni 2019 behauptete Dr. XXXX (im Folgenden: Mitbeteiligter) eine Verletzung im Recht auf Auskunft durch die Beschwerdeführerin. Er habe am 9. Jänner 2019 einen Antrag auf Auskunft an die Beschwerdeführerin gerichtet. Die Beschwerdeführerin habe in einer automatisiert versandten E-Mail die Vorlage einer Ausweiskopie bzw. seines Geburtsdatums zur Identitätsfeststellung verlangt. Auf die Mitteilung des Mitbeteiligten, dass eine Ausweiskopie einerseits keinen zuverlässigen Identitätsnachweis darstelle und dies andererseits dem Prinzip der Datenminimierung widerspreche, habe er keine Antwort der Beschwerdeführerin erhalten. Der Mitbeteiligte habe angeboten, die Auskunft durch eine postalische Übermittlung mittels „eigenhändig“ entgegenzunehmen und den Identitätsnachweis „mit Übernahmeschein“ zu erbringen. Durch Vorzeigen seines Ausweises würde er sich so eindeutig gegenüber einem Postbediensteten ausweisen. Auch dieser Vorschlag sei unbeantwortet geblieben. Der Identitätsnachweis sei laut DSGVO an keine bestimmte Form gebunden, außerdem müsse die Beschwerdeführerin die Zweifel an der Identität begründen. Unter einem wurde die in Rede stehende E-Mail-Korrespondenz zwischen den Verfahrensparteien in Kopie beigefügt.

Dazu führte die Beschwerdeführerin in ihrer Stellungnahme vom 4. November 2019 im Wesentlichen aus, der an sie gerichtete Antrag des Mitbeteiligten habe weder Geburtsdatum, noch Ausweiskopie enthalten, womit eine zureichende Identifizierung nicht möglich gewesen sei. Die Beschwerdeführerin verwalte mehrere Millionen Adress- und Personendaten. Aufgrund dieser Datenmenge sei eine Person erst dann eindeutig identifizierbar, wenn der Beschwerdeführerin der vollständige Name, die Adresse sowie das Geburtsdatum des Antragstellers zur Verfügung stehen würden. Erst wenn alle drei Kriterien erfüllt seien, sei eine eindeutige Identifikation einer Person – somit auch des Mitbeteiligten – möglich. Aus diesen Gründen sei eine eindeutige Identifizierbarkeit einer um Datenauskunft ersuchenden Person nur anhand eines Personalausweises oder zumindest unter gesonderter Angabe des Geburtsdatums möglich. Zu denken sei etwa an Fälle, in denen Vater und Sohn mit demselben Vor- und Nachnamen im selben Haushalt wohnen. Erst die Bekanntgabe des jeweiligen Geburtsdatums ermögliche in Folge die Identifikation der Person. Der Mitbeteiligte sei der Aufforderung zur Übermittlung der entsprechenden Information nicht nachgekommen.

Der Mitbeteiligte brachte im Rahmen des Parteiengehörs dazu in seiner Eingabe vom 18. Dezember 2019 vor, die Beschwerdeführerin unterscheide unzureichend zwischen „Identifizierung der personenbezogenen Daten“ und dem „Identitätsnachweis“. Die Beschwerdeführerin argumentiere, sie brauche das Geburtsdatum zur Identifikation der personenbezogenen Daten. Die Frage des Identitätsnachweises sei im Zusammenhang mit der Zustellung der Auskunft einfach und eindeutig zu klären und rechtfertige keine Ablehnung. Die DSGVO kenne keine verpflichtende Angabe des Geburtsdatums als zwingende Voraussetzung zur Durchführung einer Identifizierung personenbezogener Daten. Zudem habe er mit E-Mail vom 8. Oktober 2019 seine Mitwirkung in Form der Bekanntgabe seines Geburtsdatums unter der Voraussetzung angeboten, dass die Beschwerdeführerin die berechtigten Zweifel gemäß Art. 12 Abs. 6 DSGVO begründe, was jedoch unbeantwortet geblieben sei. Die Beschwerdeführerin habe zu keinem Zeitpunkt glaubhaft machen können, dass es ihr ohne Angabe des Geburtsdatums nicht möglich sei, personenbezogene Daten des Mitbeteiligten zu identifizieren. Außerdem habe sie entgegen den Vorgaben der DSGVO keine nachweisbaren Aktivitäten zur Identifizierung des Mitbeteiligten unternommen. Wie aus der Chronologie des Auskunftsersuchens ersichtlich sei, verschicke die Beschwerdeführerin als Antwort auf das Auskunftsersuchen automatisierte, maschinenverfasste, nicht personalisierte Texte, die zeigen würden, dass es seitens der Beschwerdeführerin keine Bemühungen gegeben habe, den Mitbeteiligten zu identifizieren. Der Mitbeteiligte habe die Beschwerdeführerin in seinem Schreiben vom 8. Oktober 2019 überdies darauf hingewiesen, dass in ganz Österreich keine weitere Person mit Namen XXXX unter der bekanntgegebenen Adresse namhaft gemacht werden könne.

Mit dem angefochtenen Bescheid wurde der Beschwerde stattgegeben und es wurde festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt habe, indem sie seinem diesbezüglichen Antrag vom 9. Jänner 2019 nicht entsprochen habe (Spruchpunkt 1). Insofern wurde der Beschwerdeführerin in Spruchpunkt 2 aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution dem Antrag des Mitbeteiligten auf Auskunft gemäß Art. 15 DSGVO zu entsprechen. Begründend führte die belangte Behörde aus, hinsichtlich der ausreichenden Identifizierung einer natürlichen Person sei grundsätzlich zwischen zwei Fällen zu unterscheiden. Gemäß Art. 12 Abs. 2 DSGVO in Verbindung mit Art. 11 Abs. 2 DSGVO dürfe sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihres Rechts gemäß des Art. 15 leg. cit. tätig zu werden, wenn er glaubhaft mache, dass er nicht in der Lage sei, die betroffene Person zu identifizieren. Aufgrund des Verweises auf Art. 11 DSGVO handle es sich hierbei um Verarbeitungsvorgänge, für die eine Identifizierung der betroffenen Person nicht erforderlich sei. Damit soll im Sinne des Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung“) die Aufbewahrung bzw. Verarbeitung zusätzlicher Informationen einer betroffenen Person zur bloßen Einhaltung der Verpflichtungen der DSGVO verhindert werden. Die mangelnde Identifizierungsmöglichkeit sei dabei vom Verantwortlichen nachzuweisen („Fall 1“). Unabhängig davon könne der Verantwortliche bei begründeten Zweifeln an der Identität der natürlichen Person, die den Antrag gemäß Art. 15 stellt, gemäß Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich seien. Es handle sich hierbei also um Fälle, in der die antragsstellende Person nicht ausreichend identifiziert werden könne („Fall 2“). Eine konkrete Form der Identifizierung sei durch Art. 12 DSGVO nicht vorgesehen, der Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer auskunftssuchenden betroffenen Person zu überprüfen (ErwG. 64 DSGVO). Die belangte Behörde habe bereits ausgesprochen, dass kein übertriebener Maßstab an den Nachweis der Identität angelegt werden dürfe, sondern dass ein Verantwortlicher alle ihm zur Verfügung stehenden Mittel nutzen sollte, um einen Auskunftswerber zu identifizieren. Gleichzeitig sei festzuhalten, dass das Vorbringen des Mitbeteiligten, wonach seine Identität durch eine Eigenhandzustellung seitens der Beschwerdeführerin zweifelsfrei nachgewiesen werden könne, keine Deckung in der Rechtsprechung finde: Durch eine eigenhändige Zustellung der begehrten Daten könne die Erfüllung des Erfordernisses des Identitätsnachweises bei der Stellung des Auskunftsersuchens nämlich nicht ersetzt werden. Die Beschwerdeführerin habe im Rahmen der Verweigerung der Auskunftserteilung an den Mitbeteiligten zu keinem Zeitpunkt dargelegt, ob und aus welchen Gründen Zweifel an der Identität des Mitbeteiligten bestehen würden. Auch die Versendung offenbar standardisiert vorformulierter E-Mails würden eine systematische Identitätsüberprüfung ohne Rücksicht auf den individuellen Einzelfall des Mitbeteiligten nahelegen. Ebenso wenig habe die Beschwerdeführerin im laufenden Verfahren vor der belangten Behörde das Vorliegen begründeter Zweifel an der Identität des Mitbeteiligten begründet. Vielmehr habe sich die Beschwerdeführerin auch hier auf allgemeine Ausführungen beschränkt, aus denen keine konkreten, auf den individuellen Fall des Mitbeteiligten bezogene Zweifel an dessen Identität ersichtlich waren. Die durch die Beschwerdeführerin vorgebrachte Möglichkeit einer Namensgleichheit sei eine rein theoretische, die jedoch in keinem Zusammenhang mit dem Mitbeteiligten stehe, zumal der Mitbeteiligte – unwidersprochen – vorgebracht habe, dass es im Bundesgebiet keine andere Person mit seinem Namen gebe. Der Beschwerdeführerin sei zwar grundsätzlich zuzustimmen, wenn sie ausführe, dass sie gewisse Sorgfaltspflichten im Zusammenhang mit der Beauskunftung personenbezogener Daten treffen würden. Eine „routinemäßige Identitätsüberprüfung“ sei jedoch auch dieser Bestimmung nicht zu entnehmen, vielmehr müssten die begründeten Zweifel einzelfallbezogen dargelegt werden. Im Ergebnis sei somit die Weigerung, dem Auskunftsersuchen zu entsprechen, nicht gerechtfertigt gewesen, weshalb spruchgemäß zu entscheiden gewesen sei.

Dagegen richtet sich die vorliegende Beschwerde. Das Geburtsdatum sei ein maßgebendes Kriterium für die Identifikation. Die Beschwerdeführerin verwalte mehrere Millionen Adress- und Personendaten. Aufgrund dieser Datenmenge sei eine Person erst dann eindeutig identifizierbar, wenn der Beschwerdeführerin a) der vollständige Name, b) die Adresse und c) das Geburtsdatum des Auskunftswerbers zur Verfügung stünden. Erst wenn alle drei Kriterien erfüllt seien, sei eine eindeutige Identifikation einer Person möglich. Aufgrund der unternehmensgegenständlichen Datenmengen der Beschwerdeführerin, mit darin lagernden Datenzwillingen und Namensgleichheiten, sei die eindeutige Identifikation des Anspruchswerbers zur Wahrung der Interessen und Grundrechte Dritter erforderlich. Nach der Rechtsprechung des Verwaltungsgerichtshofes sei die Bekanntgabe des Geburtsdatums ein maßgebendes Kriterium zur notwendigen Wahrung der Interessen Dritter. Denn sonst würde der Verantwortliche Gefahr laufen, dem Auskunftswerber nicht nur seine Daten, sondern auch jene von namensgleichen Personen mitzuteilen. Aus diesem Grund könne eine um Datenauskunft ersuchende Person nur anhand eines (das Geburtsdatum ausweisenden) Identitätsnachweises oder zumindest unter gesonderter Angabe des Geburtsdatums identifiziert werden. Daher habe sie dem Mitbeteiligten wiederholt die Notwendigkeit der Übermittlung einer Ausweiskopie oder zumindest der Bekanntgabe seines Geburtsdatums erklärt. Entgegen dem Vorbringen des Mitbeteiligten habe sie mehrmals und schlüssig begründet, warum sie das Geburtsdatum benötige, nämlich "um sicherzustellen, dass im Fall von Namensgleichheiten, nur die berechtigte Person die Auskunft erhalte.

Nach der Rechtsprechung des Verwaltungsgerichtshofes sei nicht nur die Identität des Antragstellers, sondern auch "die Identität des Antragstellers mit dem Betroffenen" zu prüfen. Gewahrt werden sollen die Interessen Dritter. Der Verantwortliche sei auch nach der neuen Rechtslage verpflichtet, das Geheimhaltungsinteresse allfälliger Dritter zu wahren. Die Beschwerdeführerin müsse die Identität des Mitbeteiligten als Antragsteller mit jener Person sicherstellen, deren Daten die Beschwerdeführerin zur Auskunftsbeantwortung übermittle. Wie eine Recherche der Beschwerdeführerin belegt, sei das Geburtsdatum hierfür unverzichtbar. Eine Auswertung der Datenbanken der Beschwerdeführerin habe ergeben, dass der Verzicht auf das Geburtsdatum zu einem hohen Risiko für Dritte führen würde. Untersucht sei unter Verwendung verschiedener Suchparameter die Zahl sogenannter Dubletten-Datensätze worden. Das Ergebnis der Auswertung zeige, dass allein in den Datenbanken der Beschwerdeführerin das Risiko von knapp 90. 000 Fehlauskünften bestehe, wenn auf die Bekanntgabe des Geburtsdatums verzichtet werde. Nicht eingerechnet seien dabei mögliche Adressidentitäten mit Personen, deren Daten von der Beschwerdeführerin nicht gespeichert werden. Die Beschwerdeführerin kenne den Mitbeteiligten nicht. Obwohl die Beschwerdeführerin dem Mitbeteiligten vier Mal um Übermittlung der entsprechenden Informationen gebeten habe, habe dieser keine ergänzenden Daten übermittelt. In dieser Angelegenheit sei aufgrund der mangelnden Identifizierbarkeit des Mitbeteiligten sohin keine Datenbeauskunftung möglich (gewesen). Dem Mitbeteiligten seien zwar standardisierte, aber unterschiedliche, erledigungsbezogene Nachrichten übermittelt worden. Demnach sei auf seinen Geschäftsfall einzelfallbezogen eingegangen und, je nach Fortschritt seines Falles, die gebotene, wenngleich auch standardisierte Nachricht verschickt worden. Zutreffend sei, dass Auskünfte nur dann erteilt werden, wenn ein Auskunftswerber a) Name, b) Adresse und c) Geburtsdatum bekannt gebe. Dabei handle es sich aber nicht nur um eine Maßnahme der Identitätsprüfung, sondern auch der Datensicherheit. Der Beschwerdeführerin vorzuschreiben, Auskünfte ohne Bekanntgabe eines Identitätsnachweises oder des Geburtsdatums zu erteilen, würde bedeuten, ihr zu gebieten, Verletzungen des Schutzes personenbezogener Daten Dritter in Kauf zu nehmen. Dies dürfe der DSGVO nicht unterstellt werden. Es werde daher der Antrag gestellt, das Bundesverwaltungsgericht möge gemäß § 24 VwGVG eine mündliche Verhandlung durchführen und der Beschwerde stattgeben, in der Sache selbst erkennen, und den Bescheid aufheben.

Die belangte Behörde legte die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht vor.

Aufgrund der Beschwerdemitteilung führte der Mitbeteiligte in seiner Stellungnahme vom 2. August 2022 aus, Art 12 Abs. 6 DSGVO sehe vor, dass nur bei begründeten Zweifeln zusätzliche Informationen anzufordern seien. Jede Nachfrage nach einer Begründung des Zweifels zur generalisierenden Behauptung, man verarbeite Millionen von Daten und wolle die Daten Dritter schützen, sei unbeantwortet geblieben. Die Darstellung der Beschwerdeführerin, es könne ohne Bekanntgabe des Geburtsdatums zu etlichen Fehlauskünften kommen, sei absurd und tatsachenwidrig. Im bezeichneten Haus würden 3 Personen, davon 2 ständig, nämlich er und seine Frau leben. Es sei offensichtlich, dass diese Behauptung der Beschwerdeführerin keinesfalls als tatsachenbezogene Begründung für einen konkreten nachweisbaren Zweifel gelten könne.

In ihrer Stellungnahme vom 21. Oktober 2022 brachte die Beschwerdeführerin vor, ihre Auskunftserteilung erfolge in 2 Schritten. Zunächst werde die Identität des Auskunftswerbers verifiziert. Dabei gehe es um die Frage, ob der Auskunftswerber die Person sei, für die sie sich ausgebe. Beim 2. Schritt gehe es darum, die in den Datenbanken gespeicherten Daten dem Auskunftswerber zuzuordnen. Auskunftsersuchen würden zunächst zentral in der Rechtsabteilung der Beschwerdeführerin erfasst und dann an alle Fachbereich verteilt, die personenbezogene Daten verarbeiten und in sämtlichen Fachbereichen würden personenbezogene Daten nach derselben Suchlogik abgefragt. Zum Datenabgleich würden stets 3 Kriterien, vollständiger Name, Adresse und Geburtsdatum herangezogen, weil sich herauskristallisiert habe, dass eine eindeutige Zuordnung von Auskunftswerbern zu ihren Datensätzen nur so möglich sei. Der Mitbeteiligte habe sein Auskunftsbegehren in Zusammenhang mit einer medialen Berichterstattung über die Adressverlagstätigkeit der Beschwerdeführerin gestellt. Es sei daher anzunehmen gewesen, dass der Mitbeteiligte Auskunft insbesondere über Daten in der Marketingdatei der Beschwerdeführerin erhalten wolle. In dieser Datenbank würden Datensätze mit Vor- und Nachname, Adresse und Geburtsdatum der betroffenen Person verarbeitet. Diese Kriterien könnten daher zum Datenabgleich herangezogen werden. Bei der bereits erwähnten Datenauswertung sei festgestellt worden, dass ohne Abgleich des Geburtsdatums ein hohes Risiko an Fehlauskünften bestehe. Die in der Marketingdatei verarbeiteten Daten werden von der Beschwerdeführerin bei der betroffenen Person selbst erhoben oder sie würden von anderen Adressverlagen zugekauft. Sofern die Beschwerdeführerin weder selbst Daten einer bestimmten Person erhoben, noch von einem anderen Adressverlag erhalten habe, seien über diese Person keine Daten in der Marketingdatei der Beschwerdeführerin verarbeitet. Ohne Bekanntgabe des Geburtsdatums könne daher nicht ausgeschlossen werden, dass an derselben Adresse eine zweite Person mit demselben Namen wohnhaft sei. Eine Person, die nie eine Dienstleistung der Beschwerdeführerin bezogen habe und über die auch keine Daten von Dritten, z.B. Adressverlagen zugekauft worden seien, scheine in den Datenbanken der Beschwerdeführerin nicht auf. Aufgrund der bereits genannten Auswertung sei die Beschwerdeführerin zu dem Ergebnis gelangt, dass zur Gewährleistung der Datensicherheit das Geburtsdatum verlangt werden müsse. Alternativ akzeptiere die Beschwerdeführerin auch gleichwertige Identitätsnachweise wie etwa einen Verweis auf einen bei der Beschwerdeführerin eingerichteten Online-Account, wenn sich der Auskunftswerber beim Einrichten dieses Accounts hinreichend identifiziert habe und im Account die vom Auskunftsbegehren bekanntgegebene E-Mail-Adresse hinterlegt sei. Sofern keine Ausweiskopie übermittelt worden sei, werde die Auskunft postalisch eingeschrieben und eigenhändig erteilt. Die Beschwerdeführerin sei der größte Postdienste Anbieter und Post-Universaldienstbetreiber in Österreich. Ein „Dritter“ könne davon ausgehen, dass die Beschwerdeführerin über Daten seines „Opfers“ verfüge. Hätte die Beschwerdeführerin noch niedrigere Standards festgelegt, könnten Dritte schon mit geringem Wissen über ihre „Opfer“ deren personenbezogenen Daten erlangen.

Dazu wurden den sonstigen Parteien des Verfahren Parteiengehör gewährt.

In seiner dazu ergangenen Stellungnahme vom 28. Oktober 2022 wiederholte der Mitbeteiligte im Wesentlichen sein bisheriges Vorbringen. Die belangte Behörde verwies in ihrer Stellungnahme vom 28. Oktober 2022 ergänzend darauf, dass der Mitbeteiligte seinen Antrag auf Auskunft mittels seiner beruflichen E-Mail-Adresse versendet habe, welche anhand seiner Website leicht zu verifizieren gewesen sei. Die Beschwerdeführerin hätte daher konkret darzulegen, warum sie beim Betroffenen konkrete Zweifel an dessen Identität habe.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Sachverhalt

Die Beschwerdeführerin ist ein Postdienste Anbieter und Post-Universaldienstbetreiber in Österreich und verarbeitet als solcher eine große Vielzahl an personenbezogenen Daten, welche sie entweder vom Betroffenen selbst oder von anderen Unternehmen erhält bzw. zukauft. Sofern die Beschwerdeführerin weder selbst Daten bei der betroffenen Person erhebt oder von einem anderen Unternehmen erhält, werden von dieser Person keine Daten von der Beschwerdeführerin verarbeitet.

Liegt eine Verarbeitung vor, so werden in den Datenbanken der Beschwerdeführerin, Datensätze mit (zumindest) Vor- und Nachname sowie Anschrift und Geburtsdatum der betroffenen Person verarbeitet.

Im Falle einer Auskunftsanfrage nach der DSGVO wird in einem ersten Schritt die Identität des Antragsstellers überprüft. In einem zweiten Schritt wird geprüft, ob diese Person auch die in ihrem Datenbestand enthaltene Person ist.

Der Mitbeteiligte richtete mit von der E-Mail Adresse: XXXX versendeten E-Mail vom 9. Jänner 2019 erstmals ein Anfrage an die Beschwerdeführerin, in der er Auskunft von der Beschwerdeführerin nach Art 15 DSGVO begehrte.

Dazu wurde dem Mitbeteiligten mit E-Mail vom 5. März 2019 Folgendes von der Beschwerdeführerin mitgeteilt:

„Sie haben sich bei der … [Beschwerdeführerin] mit einem Anliegen (Betroffenenrecht nach der Datenschutz-Grundverordnung (DSGVO) gemeldet. Auf Grundlage der von Ihnen zu ihrer Person mitgeteilten Informationen sind wir nicht in der Lage, Sie zweifelsfrei zu identifizieren. Da wir unserer Pflicht zur Wahrung der Betroffenenrechte (z.B. Auskunft, Löschung, Widerspruch) nur gegenüber eindeutig identifizierten Personen nachkommen dürfen, können wir Ihr Anliegen erst nach Übermittlung ihrer vollständigen Daten (Adresse und Ausweiskopie) bearbeiten.“

Mit E-Mail vom 5. März 2019 informierte der Mitbeteiligte die Beschwerdeführerin darüber, dass er die Übermittlung einer Ausweiskopie verweigere und begründete dies wie folgt:

„Eine Übermittlung einer Ausweiskopie via E-Mail ist, das werden sie sicher verstehen, nicht sicher und schafft zusätzliche Datenschutzprobleme.

Schicken Sie mir bitte Ihren öffentlichen Schlüssel für die Übermittlung der verschlüsselten Inhalte (via PGP) oder geben sie mir eine Adresse zum verschlüsselten Upload der Datei. Oder Sie geben mir eine postalische Adresse mit klarer Kennung, damit Sie und ich sicher sein können, dass die Unterlage nirgends landet. Sie müssen jeden falls sicherstellen, dass die Auskunft nach Art 15 DSGVO fristgerecht gegeben wird.

Damit die .. [Beschwerdeführerin] nicht noch mehr Daten von mir speichert, würde ich es allerdings vorziehen, wenn Sie mir die gewünschten Unterlagen postalisch zukommen lassen, mit „eigenhändig“ und „Übernahmeschein“. Ich müsste mich dann beim Zusteller ausweisen, womit der Identitätsnachweis im Sinne der DSGVO ausreichend erbracht würde.“

Am 4. April 2019 richtete die Beschwerdeführerin folgendes E-Mail an den Mitbeteiligten:

„[..] Damit wir Ihre Identität überprüfen können, legen Sie bitte eine Kopie oder einen Scan Ihres amtlichen Lichtbildausweises (Reisepass, Personalausweis oder Führerschein) vor, damit wir Ihre Identität zweifelsfrei feststellen können. Senden Sie bitte einen Scan des Ausweises an datenschutz@ XXXX .at oder eine Kopie an [….]

Die [Beschwerdeführerin] ist verpflichtet, Ihre Daten zu schützen. Es ist uns daher wichtig, dass wir nur berechtigten Personen Zugriff auf Ihre Daten geben. Um das Sicherheitsrisiko zu minimieren und ein angemessenes Schutzniveau beim Schutz Ihrer Daten zu gewährleisten, müssen wir einen amtlichen Lichtbildausweis als Identitätsnachweis von unseren Kunden anfordern.

Sollten Sie uns keinen Ausweis übermitteln, geben Sie uns bitte Ihr Geburtsdatum bekannt. Nachdem die [Beschwerdeführerin] die Abfrage anhand von Name, Anschrift und Geburtsdatum durchführt, müssen wir zumindest diese Informationen kennen, um sicherzustellen, dass im Fall von Namens Gleichheiten, nur die berechtigte Person die Auskunft erhält. Wir würden Ihnen in diesem Fall die Auskunft postalisch (eingeschrieben und eigenhändig) zur Verfügung stellen.

Wenn Sie keine Kopie oder Scan eines Ausweises bzw. uns nicht Ihr Geburtsdatum bekannt geben, wird Ihr Anliegen nicht bearbeitet.“

Daraufhin teilte der Mitbeteiligte der Beschwerdeführerin in seinem E-Mail vom 4. April 2019 mit, dass seiner Ansicht nach die von der Beschwerdeführerin verlangte Identitätsfeststellung durch die DSGVO nicht vorgeschrieben sei. Eine Identitätsfeststellung könne auch durch postalische Übermittlung mittels "eigenhändig" und "mit Übernahmeschein" erwirkt werden. Bei dieser Übermittlungsmethode müsse er sich mit Ausweis ausweisen, um die Unterlagen in Empfang nehmen zu können, ohne eine Kopie des Ausweises auszuhändigen. Sofern die Beschwerdeführerin damit ein Problem habe und ihm die Auskunft gem. Art. 15 DSGVO wegen des Bestehens auf einer unsicheren Form des Identitätsnachweises verweigere, werde er sich mich mit einer Beschwerde an die belangte Behörde wenden. Sofern die Auskunft nicht fristgerecht bis zum Ablauf der drei Monate (9.4.2019) erteilt werde, werde er ebenfalls Beschwerde bei der belangten Behörde erheben.

In ihrer E-Mail vom 9. April 2019 wiederholte die Beschwerdeführerin ihre Ausführung wie in ihrem E-Mail vom 4. April 2019.

Daraufhin führte der Mitbeteiligte in seinem E-Mail vom 9. April 2019 u.a. aus, er bedauere, dass die Beschwerdeführerin nicht willens sei, der Auskunftsverpflichtung nach Art. 15 DSGVO nachzukommen und dies mit dem Beharren auf eine im Gesetz nicht zwingend und ausschließlich vorgegebene Form des Identitätsnachweises zu rechtfertigen suche. Darin liege ein klarer Verstoß gegen die DSGVO vor. Er werde daher Beschwerde bei der belangten Behörde gegen die Beschwerdeführerin einlegen. Die Weigerung der Beschwerdeführerin, andere Formen des Identitätsnachweises zu akzeptieren, werde durch die belangte Behörde zu klären sein, bzw. ggf. in Folge durch Gerichte ausjudiziert werden.

2. Beweiswürdigung:

Der oben wiedergegebene Verfahrensgang und Sachverhalt ergibt sich aus dem vorgelegten Verwaltungsakt und ist unstrittig.

3. Rechtliche Beurteilung:

zu Spruchpunkt A)

Die hier wesentlichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lauten auszugsweise wie folgt:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

[…]

Artikel 11

Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist

(1) Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, zur bloßen Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren.

(2) Kann der Verantwortliche in Fällen gemäß Absatz 1 des vorliegenden Artikels nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich. In diesen Fällen finden die Artikel 15 bis 20 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen.

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen."

Art 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

[…]“

Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten zu erhalten sowie Anspruch auf die Information gemäß lit. a bis h leg. cit.

Die Entstehung eines solchen datenschutzrechtlichen Auskunftsanspruches setzt gemäß Art. 12 DSGVO, wie von der belangten Behörde zutreffend ausgeführt wurde, unter anderem voraus, dass die Identität des Auskunftswerbers feststeht.

Art 12 regelt hier zwei unterschiedliche Fallkonstellationen:

Ab 2 S. 2 regelt in engem Zusammenhang zu Art 11 den Fall, dass ein bestimmter Antragsteller, dessen Identität bekannt ist, im Datenbestand des Verantwortlichen nicht identifiziert bzw. von diesem nicht oder nicht mit eigenen Mitteln aufgefunden werden kann. Nach Art 11 Abs. 1 muss der Verantwortliche Identifikationsdaten einer betroffenen Person, die er für eigene Zwecke nicht (mehr) benötigt, nicht allein deshalb erheben oder behalten, um diese Person identifizieren zu können. Allerdings hat er die betroffene Person über diesen Umstand zu unterrichten und sollte er sich nach EG 57 nicht weigern, zusätzliche Informationen entgegenzunehmen, die von der betroffenen Person beigebracht werden, um ihre Rechte geltend zu machen.

Abs. 6 regelt demgegenüber den Fall, dass Zweifel an der Identität des Antragsstellers eines Betroffenenrechts bestehen. In dieser Fallkonstellation lassen sich zwar bestimmte Daten im Bestand des Verantwortlichen einer bestimmten betroffenen Person finden und zuordnen, es ist aber unklar, ob der Antragsteller diese betroffene Person ist (vgl. Bäcker in Kühling/Buchner, DS-GVO BDSG, 2. Auflage, Art. 12 Rz 30; Klabunde in Ehmann/Selmayr, Datenschutzgrundverordnung², Art. 11, Rz 5). Der Verantwortliche darf in einem solchen Fall vom Antragsteller geeignete Informationen zur Identifizierung verlangen.

Die in Art 12 DSGVO geregelte Identitätsprüfung dient einerseits dem Interesse des Betroffenen. Nur so kann sichergestellt werden, dass Unberechtigte weder Auskünfte über personenbezogene Daten erhalten, noch, dass personenbezogene Daten des Betroffenen von anderen Personen gelöscht werden können. Andererseits besteht auch ein Interesse des Verantwortlichen, Sanktionen wegen eines datenschutzwidrigen Verhaltens zu vermeiden (Heckmann/Paschke in Ehmann/Selmayr, Datenschutzgrundverordnung², Art. 12, Rz 50).

Im vorliegenden Fall bringt die Beschwerdeführerin vor, sie kenne den Mitbeteiligten nicht und könne diesen ohne Kenntnis seines Geburtsdatums einem Betroffenen in ihrem Datenbestand nicht zweifelsfrei zuordnen. Eine allgemeine interne Recherche habe ergeben, dass es in ihrem Datenbestand zahlreiche Namens- und Adressgleichheiten gebe, wobei mögliche Adressidentitäten mit Personen, deren Daten von der Beschwerdeführerin gar nicht gespeichert werden, hier gar nicht eingerechnet seien.

Anders als im Fall des Abs. 2 S. 2 DSGVO sind damit aber nach dem Vorbringen der Beschwerdeführerin sehr wohl bestimmte dem Mitbeteiligten zuordenbare Daten in ihrem Datenbestand für sie auffindbar, es ist aber ihrer Ansicht nach nicht klar, ob der Mitbeteiligte diese betroffene Person auch tatsächlich ist.

§ 12 Abs. 6 DSGVO setzt begründete Zweifel an der Identität des Antragstellers voraus. In diesem Fall kann der Verantwortliche zusätzliche Informationen, die zur Bestätigung der Identität mit der im Datenbestand enthaltenen betroffenen Person erforderlich sind, vom Antragssteller anfordern.

Nach EG 64 sollte der Verantwortliche zur diesbezüglichen Aufklärung aber „alle vertretbaren Mittel“ nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen. Dabei soll und darf er aber nicht mehr an Daten fordern, als zur Authentifizierung notwendig ist. Im Ergebnis muss der Auskunftsprozess selbst als Teil der Verarbeitung beim Verantwortlichen die Anforderungen der DSGVO, insbesondere der Datensicherheit und der Datenminimierung erfüllen (vgl. Hansen in Simitis|Hornung|Spiecker [Hrsg.], Datenschutzrecht, DSGVO mit BDSG, Art. 11 Rz 35).

Standarisierte Identitätsfeststellungsverfahren ohne Beachtung des Einzelfalles sind damit aber für den Verantwortlichen nach dieser Gesetzesbestimmung ausgeschlossen (siehe zu Abs. 6 schon das Erkenntnis des BvwG vom 27.05.2020, W214 2228346-1). Vielmehr ist der Verantwortliche insbesondere nach Art 12 Abs. 6 DSGVO gehalten, einzelfallbezogen festzustellen, ob überhaupt begründete Zweifel an der Identität des Antragstellers mit der betroffenen Person vorliegen und wenn ja, auf welche Weise und mit welchen Mitteln diesen Zweifeln geeignet begegnet werden kann.

Die von der Beschwerdeführerin dargelegte bloß abstrakte Möglichkeit einer Namens- und Adressgleichheit mehrerer in ihrem Datenbestand erfasster Personen vermag daher keine ausreichende Grundlage für eine Vorgangsweise nach Art 12 Abs. 6 DSGVO begründen.

Allerdings führte die Beschwerdeführerin zusätzlich aus, sie könne auch nicht ausschließen, dass z.B. ein in ihrem Datenbestand nicht erfasster Auskunftswerber den gleichen Namen und die gleiche Adresse wie eine in ihrem Datenbestand erfasste Person aufweise und es insofern möglicher Weise zu einer allfälligen Zustellung an einen Unberechtigten kommen könne.

Diesen Bedenken kann von Seiten des Gerichts nicht entgegengetreten werden.

Zwar sind der Beschwerdeführerin im vorliegenden Fall der Name, die Adresse und auch die (Unternehmens) E-Mail-Adresse des Mitbeteiligten aufgrund von dessen Anfrage bekannt und könnte sich diese damit zusätzlich z.B. über die Website des Unternehmens Kenntnis über die Person des Mitbeteiligten als Antragssteller verschaffen.

Ob es sich dabei jedoch letztlich auch tatsächlich um die in ihrem Datenbestand erfasste Person handelt, kann damit von der Beschwerdeführerin jedoch nicht zweifelsfrei festgestellt werden. Nach den eigenen unbestrittenen und auch bereits dargelegten Angaben der Beschwerdeführerin kennt diese den Mitbeteiligten – außerhalb der hier gegenständlichen Anfrage – nicht und ist auch nicht gesichert, dass diese überhaupt über dessen Daten verfügt.

Es kann daher von der Beschwerdeführerin anhand der in der Anfrage bekanntgegebenen Daten nicht ohne weiteres davon ausgegangen werden, dass eine in ihrem Datenbestand zum Namen und der Adresse des Mitbeteiligten erfasste Person auch tatsächlich der Mitbeteiligte und nicht eine mit diesem bloß namens- und adressgleiche Person ist. Ohne Kenntnis eines weiteren identitätsstiftenden Merkmales, wie z.B. des von ihr ebenfalls erfassten Geburtsdatums wäre eine zweifelsfreie Feststellung der Identität für die Beschwerdeführerin daher im konkreten Fall nicht möglich.

Die vom Mitbeteiligten demgegenüber alternativ angebotene eigenhändige Zustellung der Auskunft an seine Person kann hingegen nicht als geeignetes Mittel zur diesbezüglichen Identifikation im Sinne des Art 12 Abs. 6 DSGVO angesehen werden, weil dadurch eben nicht hinreichend festgestellt werden kann, ob es sich beim Antragsteller auch um die im Datenbestand erfasste Person handelt.

Ebenso wenig kann die bloße Angabe des (der Beschwerdeführerin unbekannten) Mitbeteiligten, an seiner Adresse wohne keine namensgleiche Person, als ausreichend vertrauenswürdiges und damit geeignetes Mittel zur Identifikation nach Art. 12 Abs. 6 DSGVO angesehen werden. Zu Recht verweist die Beschwerdeführerin in diesem Zusammenhang auf die bestehende Möglichkeit eines Datenmissbrauches und die ihr in den Art 24 und Art 32 DSGVO als Verantwortliche auferlegte Verpflichtung, geeignete Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung zu ergreifen, um eben jede unrechtmäßige Datenverarbeitung zu verhindern.

Im vorliegenden Fall handelt es sich auch nicht um die bloße Bekanntgabe von allgemeinen Informationen über z.B. den Zweck der Datenverarbeitung oder die Kategorien von Daten nach Art 15 Abs. 1 lit a und b DSGVO, sondern hat der Mitbeteiligte eine umfassende Auskunft nach Art 15 DSGVO von der Beschwerdeführerin begehrt. Das Erfordernis der Erhebung zusätzlicher Identifizierungsmerkmale kann daher auch aus diesem Grund nicht abgeschwächt werden (vgl. Dix in Simitis|Hornung|Spiecker [Hrsg.], Datenschutzrecht, DSGVO mit BDSG, Art. 12 Rz 37).

Es kann der Beschwerdeführerin daher im vorliegenden Fall nicht entgegengetreten werden, wenn sie im konkreten Fall Zweifel an der Identität des ihr ansonsten unbekannten Mitbeteiligten gehabt und diese gegenüber dem Mitbeteiligten auch geäußert hat. Die Beschwerdeführerin hat sowohl gegenüber dem Mitbeteiligten, als auch im Verfahren vor der belangten Behörde wiederholt auf die Möglichkeit von Fehlzustellungen aufgrund von allfälligen Namensgleichheiten oder sonstigen Datenmissbrauch hingewiesen. Dass sie sich dabei allenfalls vorgefertigter Schreiben bedient hat, ändert nichts daran, dass die anhand dieser Schreiben geäußerten Bedenken, wie dargelegt, im konkreten Fall zu Recht bestanden haben.

Ob dies in anderen Fällen, in denen der Antragsteller der Beschwerdeführerin z.B. bereits aufgrund einer Vorkommunikation hinreichend bekannt ist, ebenfalls zutrifft, ist an dieser Stelle und in diesem Verfahren nicht zu klären.

Die Beschwerdeführerin hat daher im vorliegenden Fall die Auskunft an den Mitbeteiligten zu Recht verweigert, weshalb spruchgemäß zu entscheiden war.

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Eine - wie hier - im Rahmen der vom Verwaltungsgerichtshof aufgestellten Grundsätze durchgeführte einzelfallbezogene Beurteilung ist nicht reversibel. In Hinblick auf die heranangezogenen Bestimmungen der DSGVO ist die Rechtslage eindeutig.

Sonstige Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage liegen nicht vor.