DSB-D123.224/0004-DSB/2018 – Datenschutzbehörde Entscheidung

GZ: DSB-D123.224/0004-DSB/2018 vom 14.1.2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde der Sieglinde A*** (Beschwerdeführerin) vom 18. Juli 2018 gegen die N*** Gesellschaft für Abgabenforschung Steuerrecht mbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Auskunft wie folgt:

1. Der Beschwerde wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie ihr mitgeteilt hat, dass keine sie betreffenden personenbezogenen Daten durch die Beschwerdegegnerin verarbeitet werden und der Beschwerdeführerin die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO nicht erteilt hat.

2. Der Beschwerdegegnerin wird aufgetragen , innerhalb einer Frist von zwei Wochen bei sonstiger Exekution, eine Auskunft über personenbezogene Daten der Beschwerdeführerin zu den in Art. 15 Abs. 1 lit. a bis h DSGVO aufgezählten Informationen zu erteilen.

Rechtsgrundlagen : § 24 Abs. 1 und 5 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999 idgF; Art. 4 Z 1, Z 5 und Z 7, Art. 15 Abs. 1 lit. a bis h und Abs. 3, Art. 58 Abs. 2 lit. c und Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit Beschwerde vom 18. Juli 2018 führte die Beschwerdeführerin zusammengefasst aus, sie habe die Beschwerdegegnerin mit Schreiben vom 18. April 2018 um Auskunftserteilung gemäß §§ 1, 23, 26 und 50 DSG 2000 hinsichtlich der die Beschwerdeführerin betreffenden personenbezogenen Daten ersucht. Mit Schreiben vom 8. Juni 2018 haben die Verantwortliche mitgeteilt, dass bei ihr keine die Beschwerdeführerin betreffenden personenbezogenen Daten verarbeitet würden. Von der Beschwerdegegnerin würden im Allgemeinen nur anonymisierte Sachverhaltsdarstellungen und lediglich in Ausnahmefällen weitere Dokumente (unter Unkenntlichmachung aller personenbezogener Daten Dritter) entgegengenommen werden. Auch die Identität der Beschwerdeführerin sei erst durch das Auskunftsbegehren bekannt geworden. Diese Aussagen seien jedoch für die Beschwerdeführerin nicht nachvollziehbar: Aus der Stellungnahme der Beschwerdegegnerin in Bezug auf die Doppelansässigkeit in Österreich und der Schweiz vom 5. Februar 2018 sei eine Identifizierung der Beschwerdeführerin, auch wenn diese nicht namentlich genannt wird, zweifelsfrei möglich. In dieser Stellungnahme seien u.a. die Anschrift der Beschwerdeführerin in der Schweiz angeführt, sie gebe Auskunft über Standortdaten sowie über die kulturelle und soziale Identität der Beschwerdeführerin. Es sei davon auszugehen, dass die Beschwerdegegnerin im Rahmen der Erstellung der Stellungnahme weitere personenbezogene Daten (wie z.B. Daten über Reisen und Aufenthalte in Österreich und der Schweiz) verarbeitet habe. Anders sei es nicht vorstellbar, wie die Beschwerdegegnerin prozentgenau ermitteln hätte können, wo sich die Beschwerdeführerin und ihr Ehegatte zu bestimmten Zeiträumen aufgehalten hätten. Die von der Beschwerdegegnerin erteilte Auskunft sei daher unrichtig und unvollständig.

2. Mit Stellungnahme vom 4. September 2018 führte die Beschwerdegegnerin zur Art ihrer Tätigkeit und Herkunft der Informationen zusammengefasst aus, sie würde wissenschaftliche Arbeiten sowie Gutachten nach wissenschaftlichen Methoden in den Bereichen der Steuer- und Wirtschaftsforschung und der zugehörigen Rechtsgebiete erstellen. Dazu würden in der Regel keine eigenen Sachverhaltserhebungen durchgeführt werden; den Referenzrahmen der Stellungnahmen bildeten daher ausschließlich Informationen in dem Umfang, wie sie von den jeweiligen Auftraggebern übermittelt würden, wobei soweit als möglich auf Anonymisierung bestanden werde. Auch direkt auf der ersten Seite der verfahrensgegenständlichen Stellungnahme zur Doppelansässigkeit werde darauf hingewiesen, dass ein der Beschwerdegegnerin übermittelter Sachverhalt den Gegenstand der Ausführungen bilde. Es lägen daher keine umfassenden Daten über Reisen und Aufenthalte der Beschwerdeführerin vor. Die zu beurteilenden Fakten seien in dem Umfang, wie sie auch in der Stellungnahme einleitend als Sachverhalt geschildert worden seien, von der steuerliche Vertretung des verstobenen Ehegatten der Beschwerdeführerin übermittelt worden.

Darüber hinaus läge keine „automatisierte“ Verarbeitung vor: Im Unternehmen der Beschwerdeführerin bestehe keinerlei IT-System, welches Daten selbstständig nach bestimmten Verfahren handhaben könne. Es gelange lediglich Standardsoftware des Office-Bereichs (z.B. Textverarbeitung) mit eigenen Eingaben zur Anwendung. Digitale Dokumente würden nur auf Basis von individuellen Anwenderbefehl manipuliert, z.B. geöffnet, geändert etc. Der Inhalt derselben diene keiner maschinell strukturierten Auslegungen oder Archivierung, sondern als Anschauungsobjekt und Erkenntnisgrundlage für anschließende – wiederum menschlich erzeugte – Textausarbeitungen. Ihre Tätigkeit könne daher allenfalls im Bereich einer nichtautomatisierten Verarbeitung von Daten angesiedelt sein.

Es liege jedenfalls keine „Verarbeitung“ vor, da keine datenerschließende Struktur oder Dateisystem vorliege. Sofern überhaupt personenbezogene Informationen in den Unterlagen vorhanden seien, würden diese höchstens einen Teil der der Beschwerdegegnerin übermittelten Dokumente bilden, welche aber nicht nach derartigen Merkmalen sortiert oder strukturiert würden. Ein zielgerichteter Zugang ohne wesentliche Vorkenntnisse über den Dateninhalt sei daher nicht einmal über eine elektronische „Textsuche“ möglich, sondern könne gerade nur durch vollständiges Erschließen des gesamten inhaltlichen Fließtextes erfolgen. Selbst wenn die vorliegenden und in der Stellungnahme wiedergegeben Informationen als „personenbezogene Daten“ der Beschwerdeführerin eingestuft würden, fehle es an einer inhaltlich strukturierten Verarbeitung derselben, wie sie den Begrifflichkeiten der DSGVO elementar und explizit zu Grund liege. Da der Beschwerdegegnerin keine geordnete, strukturierte oder systematische Information über die Beschwerdeführerin vorgelegen sei, habe dieser nur mitgeteilt werden können, dass keine sie betreffenden personenbezogenen Daten bei der Beschwerdegegnerin verarbeitet würden.

Schließlich sei die Beschwerdegegnerin nur Auftragsverarbeiter nach Art. 4 Z 8 DSGVO, wohingegen G*** P***Österreich als Verantwortlicher nach Art. 4 Z 7 DSGVO zu betrachten wäre. Das Auskunftsrecht nach Art. 15 DSGVO könne aber ausdrücklich nur gegenüber dem Verantwortlichen geltend gemacht werden.

3. Die Beschwerdeführerin führte im Rahmen des von der Datenschutzbehörde zu den Ergebnissen des Ermittlungsverfahrens gewährten Parteiengehörs aus, eine eigene Sachverhaltsermittlung sei nach der Definition des Begriffs „Verarbeitung“ im Sinne des Art. 4 Z 2 DSGVO nicht Voraussetzung für die Anwendbarkeit der DSGVO. Es sei daher völlig unzweifelhaft, dass von der Beschwerdegegnerin personenbezogene Daten im Sinne der DSGVO verarbeitet würden. Bisher habe die Beschwerdegegnerin keine inhaltliche Auskunft über die verarbeiteten Daten erteilt, weshalb nicht nachvollzogen werden könne, welche Daten der Beschwerdegegnerin vorliegen würden. In Bezug auf das Vorliegen einer automatisierten Verarbeitung werde im Übrigen auf die Literatur und Rechtsprechung verwiesen, wonach eine automatisierte Verarbeitung jedenfalls vorliege, wenn IT-Systeme zur Verarbeitung der Daten herangezogen würden. Für diese Abgrenzung sei es unbeachtlich, ob einzelne automatisierte Datenverarbeitungsvorgänge automatisch (z.B. durch Algorithmen) oder aufgrund menschlicher Eingaben erfolgten. Eine entsprechende Differenzierung sei allenfalls für Art. 22 DSGVO relevant. Darüber hinaus würden die Ausführungen der Beschwerdegegnerin, wonach ein entsprechendes Dateisystem auch bei der automatisierten Datenverarbeitung vorausgesetzt sei, sowohl den Wortlaut des Art. 2 Abs. 1 DSGVO als auch den Meinungsstand in Rechtsprechung und Literatur widersprechen. Zur Behauptung der Beschwerdegegnerin, wonach sie Auftragsverarbeiter, aber nicht Verantwortlicher sei, stehe diese im Widerspruch zu den Ausführungen in der ursprünglichen Auskunft und in der Stellungnahme der Beschwerdegegnerin. Wäre die Beschwerdegegnerin tatsächlich nur als Auftragsverarbeiter tätig geworden, hätte eine Verpflichtung zum Abschluss einer Auftragsverarbeitervereinbarung gemäß Art. 28 Abs. 3 DSGVO sowie zur Führung eines Verarbeitungsverzeichnisses gemäß Art. 30 Abs. 2 DSGVO bestanden und hätte die Beschwerdegegnerin bereits in ihrer Reaktion auf den ursprünglichen Antrag der Beschwerdeführerin darauf hinweisen können.

B. Beschwerdegegenstand

Im gegenständlichen Verfahren stellt sich die Frage, ob die Beschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt ist, weil die Beschwerdegegnerin ihr eine Negativauskunft erteilt hat.

C. Sachverhaltsfeststellungen

Die Beschwerdegegnerin erstellt im Rahmen ihrer Tätigkeit wissenschaftliche Arbeiten und Gutachten nach wissenschaftlichen Methoden in den Bereichen der Steuer- und Wirtschaftsforschung und der zugehörigen Rechtsgebiete.

Die Beschwerdegegnerin wurde von „G*** P***Österreich“ beauftragt eine steuerrechtliche Stellungnahme bezüglich „Fragen der Doppelansässigkeit in Österreich und der Schweiz“ auszuarbeiten. In dieser elektronisch verfassten Stellungnahme finden sich Ausführungen u.a. zum Wohnort und zur wirtschaftlichen, kulturellen und sozialen Identität eines Steuerpflichtigen sowie zu dessen Ehefrau. Bei dieser handelt sich um die Beschwerdeführerin. Weder der Steuerpflichtige, noch die Beschwerdeführerin werden namentlich erwähnt.

Aufgrund der zahlreichen unterschiedlichen Daten (Standort, familiäre, wirtschaftliche und soziale Identität der Beschwerdeführerin) ist eine Identifizierung der Beschwerdeführerin für Dritte möglich.

Mit Schreiben vom 8. Juni 2018 teilte die Beschwerdegegnerin in Bezug auf das Auskunftsbegehren der Beschwerdeführerin mit, dass sie keine die Beschwerdeführerin betreffenden personenbezogenen Daten verarbeitet.

Beweiswürdigung : Die Feststellungen beruhen auf dem übereinstimmenden Vorbringen der Beschwerdeführerin und der Beschwerdegegnerin in ihren Schreiben an die Datenschutzbehörde sowie den beigelegten Unterlagen. Die Feststellung im Hinblick auf die Identifizierbarkeit der Beschwerdeführerin in der Stellungnahme der Beschwerdegegnerin ergibt sich aus den zahlreichen Informationen in der gegenständlichen Stellungnahme, aus denen sich nach allgemeiner Lebenserfahrung ergibt, dass durch Eingrenzung potenziell Betroffener nur noch die Beschwerdeführerin übrigbleibt.

D. In rechtlicher Hinsicht folgt daraus:

Zur Rechtslage

Die Beschwerdeführerin hat am 18. April 2018 einen Antrag auf Auskunft an die Beschwerdegegnerin übermittelt.

Maßgeblich ist die Rechtslage zum Zeitpunkt der Entscheidung der Datenschutzbehörde, außer es handelt sich um die Beurteilung eines Verhaltens zu einem bestimmten Zeitpunkt.

Soweit es das Recht auf Auskunft betrifft, kann dieses Recht – bei Vorliegen der erforderlichen Voraussetzungen – bis zum Ende des Verfahrens vor der Datenschutzbehörde nachgeholt werden (§ 24 Abs. 6 DSG), weshalb verfahrensgegenständlich die seit 25. Mai 2018 geltende Rechtslage heranzuziehen ist.

Sachlicher Anwendungsbereich der DSGVO

Art. 2 regelt den sachlichen Anwendungsbereich der DSGVO, der sich aus der Form der Datenverarbeitung sowie dem Zweck, der mit dieser verfolgt wird, ergibt. In Bezug auf die Form der Datenverarbeitung ist der Anwendungsbereich der DSGVO eröffnet, wenn personenbezogene Daten entweder ganz oder teilweise automatisiert verarbeitet werden oder nicht automatisiert verarbeitet werden, aber in einer Datei gespeichert werden bzw. werden sollen. Maßgeblich ist somit, dass entweder ein mit Hilfe automatisierter Verfahren ausgeführter Vorgang bzw. eine Vorgangsreihe im Zusammenhang mit personenbezogenen Daten vorliegt oder die Daten Teil einer nach bestimmten Kriterien strukturierten Sammlung sind, sodass ein erleichterter Zugriff auf die Daten möglich ist.

Beim gegenwärtigen Stand der Technik ist davon auszugehen, dass jede Form der für automatisierte Verarbeitung geeigneten Speicherung die Bedingungen erfüllt, um als Dateisystem angesehen zu werden. Mit modernen Datenanalysetechniken können auch wenig oder nicht strukturierte Datenbestände leicht so aufbereitet werden, dass Informationen nach verschiedensten Kriterien durchsucht werden können. Grundsätzlich sollen die Regeln des Datenschutzes technologieneutral sein. Lediglich nicht elektronisch erfasste Akten, Aktensammlungen und ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollen aus dem Anwendungsbereich herausfallen (Ehmann/Selmayr , DS-GVO, Kommentar, Art. 4 Z 35).

Da die Stellungnahme der Beschwerdegegnerin elektronisch erfasst worden ist und ein mit Hilfe automatisierter Verfahren ausgeführter Vorgang (elektronisch verfasste Stellungnahme) im Zusammenhang mit personenbezogenen Daten vorliegt, ist die gegenständliche Datenverarbeitung vom Anwendungsbereich der DSGVO umfasst. Auf die rechtliche Qualifikation eines „Dateisystems“ (Art. 2 Abs. 1 leg.cit) kommt es, da keine nichtautomatisierte Verarbeitung vorliegt, nicht mehr an.

Personenbezug

Im vorliegenden Fall sind aus der verfahrensgegenständlichen Stellungnahme der Beschwerdegegnerin zur Doppelansässigkeit bspw. Aussagen über den Wohnort, die familiäre und wirtschaftliche Situation, soziale Kontakte der Beschwerdeführerin sowie Interessen, Hobbies, die Zugehörigkeit zu Clubs oder einer Stammrunde zum einen direkt, zum anderen indirekt über den Bezug zum Ehemann der Beschwerdeführerin ableitbar. Diese Daten sind grundsätzlich geeignet, einen Personenbezug zur Beschwerdeführerin (vgl. Art. 4 Z 1 DSGVO) herzustellen.

Fraglich ist jedoch, für wen die Person identifizierbar sei muss, damit ein Datum als personenbezogen gilt. Dazu führt Erwägungsgrund 26 aus, dass es für die Qualifikation eines Datenbestandes als personenbezogene Daten nicht notwendig ist, dass der Verantwortliche selbst die Identifizierung durchführen kann, sondern es genügt, dass irgendein Dritter nach allgemeinem Ermessen diese wahrscheinlich durchführen kann, wobei Kosten und zeitlicher Aufwand ebenso zu berücksichtigen sind wie die jeweils verfügbare Technologie und die technologische Entwicklung (vgl. auch Ehmann/Selmayr , DS-GVO, Kommentar, Art. 4, Rn 17; vgl. dazu ebenfalls das Urteil des EuGH vom 19. Oktober 2016, C 582/14).

Im vorliegenden Fall muss davon ausgegangen werden, dass durch die Kombination mehrerer Eigenschaften der Kreis der potenziell Betroffenen soweit eingeengt werden kann, dass nur noch die Beschwerdeführerin übrigbleibt und damit eindeutig identifizierbar wird. Aufgrund der zahlreichen unterschiedlichen Daten (Standort, familiäre, wirtschaftliche und soziale Identität der Beschwerdeführerin) wird eine Identifizierung der Beschwerdeführerin, ohne erhebliche Kosten sowie übermäßigen Zeitaufwand zu bejahen sein (vgl. zum Fall einer möglichen Identifizierung aufgrund eines eingeengten Personenkreises auch die Empfehlung der Datenschutzkommission vom 22. Mai 2013, GZ K213.180/0021-DSK/2013).

Selbst wenn es zutreffen sollte, dass der Beschwerdegegnerin die Daten betreffend den Steuerpflichtigen bzw. der Beschwerdeführerin hauptsächlich „anonym“ zur Verfügung gestellt worden seien, so kann dem darüber hinaus nicht gefolgt werden: Anonymisierte Daten sind nämlich solche, die sich nicht (mehr) auf eine bestimmte oder bestimmbare natürliche Person beziehen. Davon kann im vorliegenden Fall, nach dem eben Gesagten, jedoch nicht ausgegangen werden. Demgegenüber hat eine Pseudonymisierung (Art. 4 Z 5 DSGVO) keine Wirkung auf den Personenbezug der Daten, da es sich letztendlich lediglich um eine andere Form der Speicherung handelt, dem Verantwortlichen aber weiterhin der vollständige Informationsgehalt der Daten zur Verfügung steht und der individuelle Bezug jedes Informationselements ohne großen Aufwand hergestellt werden kann. Dies wird auch im ErwGr 26 nochmals verdeutlicht.

Verantwortlicher

Verantwortliche gemäß Art. 4 Z 7 DSGVO unterliegen der Rechenschaftspflicht nach Art. 5 Abs. 2 leg.cit und müssen damit in der Lage sein, die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten nachzuweisen. Aus dieser Verpflichtung lässt sich erkennen, welches Ausmaß an Entscheidungsgewalt der Verantwortliche oder die gemeinsam Verantwortlichen über Zweck und Mittel der Datenverarbeitung haben müssen. Es kann keinesfalls immer davon ausgegangen werden, dass diejenige Organisation, die direkten Kontakt mit den betroffenen Personen hat und etwa die Erfassung oder Erhebung der Daten durchführt, als Verantwortlicher betrachtet werden kann ( Ehmann/Selmayr , DS-GVO, Kommentar, Art. 4 Z 38)

Sofern die mit der Durchführung Beauftragten die überlassenen Daten über den Auftrag hinaus für eigene Zwecke verwenden können oder den Zweck selbst modifizieren können, oder wenn sie erhebliche Gestaltungs- oder Wahlmöglichkeiten bezüglich der Mittel der Verarbeitung haben, sind sie gemeinsam mit dem Auftraggeber als Verantwortliche zu betrachten und haben entsprechend weitergehende Verpflichtungen ( Ehmann/Selmayr , DS-GVO, Kommentar, Art. 4 Z 41).

Wenn die Beschwerdegegnerin vermeint, nicht Verantwortliche zu sein, da sie selbst keinerlei Fakten ermittelt, sondern sich in ihrer jeweiligen Beurteilung ausschließlich auf Informationen stützen, welche ihr von den jeweiligen Auftraggebern erteilt worden seien, kann dieser Rechtsansicht aus folgenden Gründen nicht zugestimmt werden:

Verfahrensgegenständlich traf die Beschwerdegegnerin die Entscheidung, die von Dritten übermittelten Daten zu verwenden. Für die Eigenständigkeit der datenverarbeitenden Stelle (Beschwerdegegnerin) sprechen darüber hinaus ein Eigeninteresse an der Datenverarbeitung sowie über die technische Durchführung der Verarbeitung hinausgehende vertragliche Leistungen in Form der selbstständigen und weisungsfreien Erstellung einer steuerrechtlichen Stellungnahme. Die Weisungsunabhängigkeit von einem Auftraggeber ergibt sich bereits aus dem Wesensmerkmal der Tätigkeit der Beschwerdegegnerin als Verfasserin von „wissenschaftlichen Arbeiten sowie Gutachten nach wissenschaftlichen Methoden in den Bereichen der Steuer- und Wirtschaftsforschung“. Die Beschwerdegegnerin hat damit Leistungen mit eigenem Entscheidungsspielraum erbracht, eine umfassende Weisungsmöglichkeit durch den Auftraggeber „G*** P***“ bzw. eine Kontrolle der Rechtmäßigkeit der Datenverarbeitung durch diese ist im Verfahren vor der Datenschutzbehörde nicht hervorgekommen. Insbesondere ist nicht erkennbar, inwiefern die Beschwerdegegnerin nicht selbst entscheiden konnte, wie lange etwa Daten aufbewahrt werden oder wer Zugang zu den verarbeiteten Daten hat.

Zu bedenken ist schließlich, dass dies freilich nicht ausschließt, dass beim Zusammenwirken eines Projekts und der Zusammenschau der Art. 4 Z 2 und Z 7 DSGVO bei der Auslegung des Verantwortlichkeitsbereichs eines einzelnen Verantwortlichen verschiedene Ebenen der Datenverarbeitung (wie die Erhebung, die Speicherung etc.) zu unterscheiden sein können. Je nach organisatorischer Gestaltung eines Projekts kann zwischen einzelnen, von einer konkreten Stelle gesteuerten oder ausgeführten Tätigkeiten bzw. verschiedenen Tätigkeits- und Verantwortungsbereichen zu unterscheiden sein (vgl. etwa Sydow , Europäische Datenschutzgrundverordnung, Handkommentar, Art. 4, Rn 126; vgl. dazu auch die Schlussanträge des Generalanwalts Bobek in der Rs C-40/17).

Auskunft

Das Auskunftsrecht der betroffenen Person sieht gemäß Art. 15 DSGVO vor, dass diese das Recht hat, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Wenn dies der Fall ist, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten sowie auf die in Art. 15 Abs. 1 lit. a bis h leg. cit. aufgezählten Informationen.

Im gegenständlichen Fall wäre es daher an der Beschwerdegegnerin gelegen, diese Informationen an die Beschwerdeführerin bereit zu stellen. Eine Auskunft dahingehend, dass keine personenbezogenen Daten der Beschwerdeführerin verarbeitet werden (sog. Negativauskunft) ist, da dies wie ausgeführt nicht zutrifft, nicht ausreichend. Dass eine Identifizierung der Beschwerdeführerin (s. Art. 11 DSGVO) nicht möglich gewesen wäre, hat die Beschwerdegegnerin darüber hinaus nicht behauptet.

Ergebnis

Die Beschwerdegegnerin hat es verabsäumt, bis zum Ende des gegenständlichen Verfahrens eine ordnungsgemäße Auskunft zu erteilen, weshalb eine Verletzung im Recht auf Auskunft festzustellen und der Beschwerdegegnerin die Erteilung einer vollständigen Auskunft aufzutragen war.

Es war daher spruchgemäß zu entscheiden.