Das Bundesverwaltungsgericht hat sich am 18.01.2021 (W211 2226125-1) mit der Frage beschäftigt, ob bei einer Beschwerde wegen nicht oder nicht vollständig erteilter Auskunft, die ereilte Auskunft vorzulegen ist. 

Die Beschwerde bei der DSB.

Die Beschwerdeführerin brachte bei der DSB eine Beschwerde wegen Verletzung des Auskunftsrechts iSd Art 15 DSGVO ein.

Die Beschwerdeführerin legte die Antwort auf das Auskunftsersuchen der Beschwerde nicht bei. § 24 Abs 3 DSG legt jedoch fest, das sowohl der „Antrag“ und eine „allfällige Antwort“ der Beschwerde beizulegen sind.

Die DSB hat daher einen Mängelbebungsauftrag (per E-Mail), wobei die Beschwerdeführerin behauptete, diese nicht (rechtzeitig) erhalten zu haben (da sie keinen permanenten Zugriff auf den E-Mail-Account hat). Die Beschwerdeführerin ist dem Mängelbehebungsauftrag nicht nachgekommen.

Die DSB hat die Beschwerde daher zurückgewiesen.

Die Entscheidung des BVwG.

In der Entscheidung des BVwG wurden zwei Themen behandelt, und zwar einerseits die Frage, ob der Mängelbehebungsauftrag von der DSB der Beschwerdeführerin zugestellt wurde, oder wer zu beweisen hat, dass eine Zustellung nicht erfolgte, und andererseits um die formalen Kriterien des § 24 Abs 3 DSG, der „Hürden“ für die Betroffenen aufstellt, die bei der Beschwerdeerhebung zu erfüllen sind. Werden die formalen Voraussetzungen der § 24 Abs 2 (inhaltlich) und 3 (Beilagen) DSG von einem Beschwerdeführer nicht erfüllt, erlässt die DSB einen Mängelbehebungsauftrag, und weist nach Verstreichen der dafür gesetzten Frist, die Beschwerde zurück.

Das BVwG hat nun entschieden, dass Art 77 DSGVO keine derartigen formellen Voraussetzungen für die Beschwerde an eine Aufsichtsbehörde enthält, und daher direkt anwendbar ist, und die „Hürden“ des § 24 Abs 3 DSG nicht zu berücksichtigen sind.

Das BVwG hat unter Bezugnahme auf Schweiger in Knyrim, DatKomm Art 77 DSGVO Rz 8 und 11 festgehalten, dass aus Art 77 DSGVO geschlossen werden kann, dass die betroffene Person ausreichende Angaben zur Nachvollziehbarkeit eines allfälligen Verstoßes gegen die Bestimmungen der DSGVO zu machen hat. „Wenn nun […] eine Beschwerdeführerin […]anführt, eine bereits erteilte Auskunft [...] habe nicht im gesetzlich geforderten Maße stattgefunden, so kann die Vorlage der erteilten Auskunft an die Datenschutzbehörde als entscheidend zum Nachvollzug der angegebenen Datenschutzverletzung – einer nicht vollständig erteilten Auskunft gemäß Art. 15 DSGVO angesehen werden.“

Wenn daher die DSB nur dann nachvollziehen kann, ob die behauptete Rechtsverletzung vorliegt, wenn auch entsprechende Unterlagen, so zB die (behauptetermaßen) mangelhafte Auskunft vorgelegt werden, dann kann die DSB nach einem erfolglosen Verbesserungsverfahren die Beschwerde zurückweisen.

Hier die relevanten Aussagen aus der Entscheidung des BVwG:

Art. 77 DSGVO, der das Recht auf Beschwerde bei einer Aufsichtsbehörde enthält, bedarf nun keiner Umsetzung in das nationale Recht und ermöglicht es, dass sich eine betroffene Person unmittelbar darauf gestützt an die Datenschutzbehörde wendet, wenn sie der Ansicht ist, dass durch die Verarbeitung der sie betreffenden personenbezogenen Daten die Bestimmungen der DSGVO verletzt werden. Er normiert ein eigenständiges Recht auf Beschwerde, das nicht an formelle oder inhaltliche Vorgaben (wie dies § 24 Abs. 2 bis 6 DSG vorsieht) geknüpft ist. Die notwendigen Voraussetzungen für die Geltendmachung des Rechts auf Beschwerde sind, dass die beschwerdeführende Person selbst durch die Verarbeitung betroffen ist, und die Verarbeitung gegen die Bestimmungen der DSGVO verstößt, sowie die angerufene Behörde zum Kreis der zuständigen Behörden gehört. Art. 77 DSGVO legt nicht fest, welche Darlegungsverpflichtung die beschwerdeführende Person hat, wobei sämtliche Verletzungen der Bestimmungen der DSGVO für eine Beschwerde infrage kommen, sohin etwa auch Verletzungen von individuellen Betroffenenrechten auf Auskunft (Art. 15 DSGVO) (siehe Schweiger in Knyrim, DatKomm Art 77 DSGVO Rz 8 und 11 (Stand 1.12.2018, rdb.at).

Inhaltliche Vorgaben für die Beschwerde macht Art. 77 DSGVO nicht, jedoch wird es notwendig sein, dass ein_e Beschwerdeführer_in ausreichende Angaben macht, die es der Datenschutzbehörde ermöglichen, die Art und Weise der Verarbeitung der personenbezogenen Daten sowie den Verstoß gegen die Bestimmungen der DSGVO zumindest nachzuvollziehen, um tätig zu werden. Ein bestimmtes Begehren muss die Beschwerde nicht enthalten. Die Vorgaben des § 24 Abs. 2 (Inhalt) und Abs. 3 DSG (Beilage von Unterlagen) sind für ein Beschwerdeverfahren gemäß Art. 77 DSGVO nicht einschlägig und würden das Recht auf Beschwerde unzulässigerweise einschränken, auch wenn man davon ausgeht, dass bei fehlenden Angaben einer Beschwerde ein Verbesserungsverfahren möglich ist und die Datenschutzbehörde eine Manuduktionspflicht iSd § 13 Abs. 3 AVG trifft (siehe Schweiger in Knyrim, DatKomm Art 77 DSGVO Rz 11/1 (Stand 1.12.2018, rdb.at)).

Während daher die Literatur in den Formerfordernissen des § 24 Abs. 2 und 3 DSG grundsätzlich eine zu große Einschränkung des Beschwerderechts sieht, so kann dennoch aus Art. 77 DSGVO zumindest die Anforderung an ausreichende Angaben zum Nachvollzug eines allfälligen Verstoßes gegen die Bestimmungen der DSGVO gelesen werden. Wenn nun, wie gegenständlich, eine Beschwerdeführerin gegenüber der Datenschutzbehörde anführt, eine bereits erteilte Auskunft – hier des AMS NÖ – habe nicht im gesetzlich geforderten Maße stattgefunden, so kann die Vorlage der erteilten Auskunft an die Datenschutzbehörde als entscheidend zum Nachvollzug der angegebenen Datenschutzverletzung – einer nicht vollständig erteilten Auskunft gemäß Art. 15 DSGVO – angesehen werden.

13.05.2021, Autor:

Michael Schweiger, zert DSBA