DSB-D123.921/0005-DSB/2019 – Datenschutzbehörde Entscheidung

GZ: DSB-D123.921/0005-DSB/2019 vom 26. Juli 2019

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde der Jutta A*** (Beschwerdeführerin), vertreten durch die X*** Y*** Rechtsanwälte GmbH, vom 13. Dezember 2018 gegen die N*** Steuerberatungsgesellschaft mbH. (Beschwerdegegnerin), vertreten durch die Z*** Rechtsanwälte GmbH, wegen Verletzung im Recht auf Auskunft wie folgt:

1. Der Beschwerde wird teilweise stattgegeben gegeben und es wird festgestellt, dass die Beschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Auskunft verletzt hat, indem sie ihr keinerlei Auskunft über die konkreten Eintragungen der Kategorien personenbezogener Daten (wie Namen, steuerrelevante Angaben) erteilt hat.

2. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution, der Beschwerdeführerin eine Auskunft gemäß Art. 15 Abs. 1 lit. b DSGVO über die konkreten Eintragungen der Kategorien der verarbeiteten personenbezogenen Daten entsprechend Spruchpunkt 1 zu erteilen.

3. Im Übrigen wird die Beschwerde als unbegründet abgewiesen .

4. Der Antrag der Beschwerdeführerin auf Verhängung einer Geldbuße gegen die Beschwerdegegnerin wird zurückgewiesen .

Rechtsgrundlagen : Art. 1 Abs. 2, Art. 12 Abs. 3 und 4, Art. 15, Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutzgrundverordnung – DSGVO), ABl. Nr. L119 vom 4.5.2016; §§ 4 Abs. 6, 24 Abs. 1 und 5 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999 idgF; §§ 2, 3, 80 des Bundesgesetzes über die Wirtschaftstreuhandberufe (Wirtschaftstreuhandberufsgesetz 2017 – WTBG 2017) BGBl. I Nr. 137/2017 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Die anwaltlich vertretene Beschwerdeführerin brachte in ihrer Beschwerde vom 13. Dezember 2018 im Wesentlichen vor, dass sie die Information erhalten hätte, dass die „N*** Österreich“ ihre personenbezogenen Daten verarbeiten würde. Sie habe mit Schreiben vom 05. Oktober 2018 diesbezüglich eine allgemeine Auskunft verlangt. Es sei keine Reaktion erfolgt, weshalb sie mit Schreiben vom 23. Oktober 2018 eine entsprechende Auskunft urgiert habe. Beide Schreiben seien an die N*** Wirtschaftsprüfungsgesellschaft mbH adressiert gewesen. Der Beschwerdeführerin sei ursprünglich nicht bekannt gewesen, welche Gesellschaft ihre Daten verarbeitet hätte. „N*** Österreich“ sei diesbezüglich nicht eindeutig gewesen.

Mit Schreiben vom 29. Oktober 2018 habe die Beschwerdegegnerin die Erteilung einer Auskunft mit Hinweis auf die Bestimmung des Art. 15 Abs. 4 DSGVO sowie Geschäftsgeheimnisse, Urheberrechte und Berufsgeheimnisse verweigert. Aus diesem Schreiben ergebe sich, dass die Beschwerdeführerin als Verantwortliche hinsichtlich der Verarbeitung von personenbezogenen anzusehen sei.

Mit Schreiben vom 07. November 2018 habe die Beschwerdeführerin darauf hingewiesen, dass ein pauschaler Verweis auf Verschwiegenheitspflichten keinen Grund für eine vollständige Auskunftsverweigerung darstelle. Zudem habe sie noch einmal den Umfang der beantragten Auskunft beschrieben und eine Frist bis zum 15. November 2018 gesetzt. Mit Schreiben vom 15. November 2018 habe die Beschwerdegegnerin mitgeteilt, dass das Schreiben vom 05. Oktober 2018 noch keinen Antrag auf Auskunft gem. Art. 15 DSGVO darstelle und die Frist des Art. 12 Abs. 3 DSGVO erst am 23. November 2018 ende. Zudem habe die Beschwerdegegnerin eine Fristverlängerung nach Art. 12 Abs. 3 DSGVO in Anspruch genommen.

In inhaltlicher Hinsicht habe die Vertreterin der Beschwerdegegnerin nochmals darauf hingewiesen, dass Daten der Beschwerdeführerin vorlägen, diese jedoch auf Weisung der Mandantin der Beschwerdegegnerin nicht herausgegeben werden würden.

Mit Schreiben vom 19. November 2018 habe der Vertreter der Beschwerdeführerin darauf hingewiesen, dass im gegenständlichen Fall die Voraussetzungen für die Anwendung der Bestimmungen des Art. 12 Abs. 3 2. Satz DSGVO nicht vorliegen würden. Außerdem sei darauf hingewiesen worden, dass der Mandantin der Beschwerdegegnerin jedenfalls keine Dispositionsbefugnis über die Betroffenenrechte der Beschwerdeführerin zustehe und insofern eine entsprechende Weisung, die Auskunft zu verweigern, unbeachtlich sei.

Mit Schreiben vom 23. November 2018 habe die Beschwerdegegnerin eine sehr allgemeine Auskunft erteilt. Eine Auskunft über die konkret verarbeiteten Daten sowie eine Kopie dieser Daten sei ausdrücklich verweigert worden. Nach entsprechenden Hinweisen des Vertreters der Beschwerdeführerin habe sich die Beschwerdegegnerin in den Stellungnahmen vom 15. November 2018 und vom 23. November 2018 nur mehr auf das Vorliegen eines Berufsgeheimnisses bezogen und hilfsweise auf die Bestimmung des Art. 15 Abs. 4 DSGVO verwiesen. Hinsichtlich des Hinweises der Beschwerdegegnerin auf die Bestimmung des Art. 15 Abs. 4 DSGVO sei jedoch zu beachten, dass sich diese Bestimmung nach völlig übereinstimmender Ansicht auf das Recht, eine Kopie der verarbeiteten Daten zu erhalten gemäß Art. 15 Abs. 3 DSGVO beziehe. Außerdem habe die Beschwerdegegnerin auf eine nicht vorliegende Entbindung vom Berufsgeheimnis gem. § 80 WTBG verwiesen. Eine Einschränkung des der Beschwerdeführerin zustehenden Auskunftsrechts gemäß Art 15 DSGVO durch die berufsrechtliche Verschwiegenheitsverpflichtung nach dem WTBG wäre wegen der direkten Anwendbarkeit der Bestimmungen der DSGVO und deren Anwendungsvorrang nur zulässig, wenn eine den Voraussetzungen des Art. 23 DSGVO genügende konkrete Regelung entsprechende Einschränkungen vorsehen würde. Eine solche Bestimmung sei aber im WTBG, anders als beispielsweise in der RAO, nicht vorgesehen.

Die erteilte Auskunft sei unvollständig und entspreche nicht den Vorgaben des Art. 15 DSGVO.

Die Beschwerdeführerin führte dazu zusammengefasst wie folgt aus:

- Art. 15 Abs. 1 lit. a DSGVO

Eine Auskunft über die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten der Beschwerdeführerin sei von Seiten der Beschwerdegegnerin nicht erteilt worden. Eine solche Auskunft wäre aber für die Beurteilung der Rechtmäßigkeit der Datenverarbeitung durch die Beschwerdegegnerin jedenfalls erforderlich, auch wenn dies in Art. 15 Abs. 1 DSGVO nicht ausdrücklich erwähnt sei.

- Art. 15 Abs. 1 lit. b DSGVO

Die allgemeinen Angaben zu den von der Beschwerdegegnerin verarbeiteten Datenkategorien würden nicht den gesetzlichen Vorgaben entsprechen, sodass die Auskunft der Beschwerdegegnerin auch in diesem Punkt unvollständig bleibe.

- Art. 15 Abs. 1 lit. c DSGVO

Die allgemeinen Auskünfte der Beschwerdegegnerin zu allfälligen Übermittlungen der Daten der Beschwerdeführerin würden nicht den gesetzlichen Vorgaben entsprechen und die Auskunft bleibe auch in diesem Punkt unvollständig.

- Art. 15 Abs. 1 lit. d DSGVO

Hinsichtlich der Speicherdauer der die Beschwerdeführerin betreffenden Daten verweise die Beschwerdegegnerin allgemein auf die Aufbewahrungsfristen gemäß § 132 BAO, § 212 UGB bzw. § 98 WTBG.

Es sei unstrittig, dass die Beschwerdeführerin kein Vertragsverhältnis mit der Beschwerdegegnerin habe, die Beschwerdegegnerin nicht mit Aufgaben der Rechnungslegung oder Abgabenerklärung für die Beschwerdeführerin betraut sei und die Beschwerdeführerin auch nicht Auftraggeberin der Beschwerdegegnerin sei oder an einer Transaktion im Sinne von § 90 WTBG beteiligt gewesen sei.

Insofern die Angaben der Beschwerdegegnerin zur Speicherdauer daher ins Leere gehen würden, liege auch hinsichtlich dieses Punktes eine unvollständige Auskunft der Beschwerdegegnerin vor.

- Art. 15 Abs. 1 lit. g DSGVO

Insbesondere hinsichtlich der Herkunft der Daten verweise die Beschwerdegegnerin auf die Bestimmung des Art. 15 Abs. 4 DSGVO, wonach die Auskunft zu beschränken sei, wenn dem Rechte Dritter entgegenstehen würden.

Dieser Hinweis gehe allerdings insofern ins Leere, weil diese Bestimmung insbesondere auf das Recht der betroffenen Person, eine Kopie der verarbeiteten Daten zu erhalten gemäß Art. 15 Abs. 3 DSGVO, bezogen sei.

2. Die anwaltlich vertretene Beschwerdegegnerin brachte mit Stellungnahme vom 15. Jänner 2019 zusammengefasst vor, die Beschwerdeführerin sei die Ehegattin aus einer späteren Ehe des im Mai 2017 verstorbenen Josef A***. Es seien zumindest zwei Verlassenschaftsverfahren offen. Die Beschwerdeführerin sei Partei in diesen Verfahren. Eine zentrale Rechtsfrage sei, ob der Erblasser seinen letzten Wohnsitz und gewöhnlichen Aufenthalt in Österreich oder in der Schweiz gehabt hätte. Die Beschwerdegegnerin habe im Auftrag ihrer Mandantschaft Informationen an die B***steuer*forschungsgesellschaft weitergereicht, aus denen sich die steuerliche Ansässigkeit schließen ließe. Unter diesen Informationen seien auch Eckpunkte der familiären und gesellschaftlichen Situation des Verstorbenen, und daher auch vereinzelt Informationen zur Beschwerdeführerin als seine Ehegattin. Diese Informationen seien auch für die gerichtsanhängigen Rechtsfragen von Bedeutung.

Die Beschwerdeführerin habe am 23. Oktober 2018 erstmalig ein Auskunftsbegehren an die Beschwerdegegnerin gerichtet. Der Auftraggeber der Beschwerdegegnerin habe die Weitergabe aller Informationen kategorisch abgelehnt. Die Mandantschaft würde mit gutem Grund befürchten, dass der Beschwerdeführerin nicht am Datenschutz gelegen sei, sondern dass sie versuche, einen Vorteil im Zivilverfahren zu erlangen und Druck auszuüben. Die Beschwerdegegnerin habe der Beschwerdeführerin dies mit Schreiben vom 15. November 2018 erläutert. Die Beschwerdegegnerin habe von der Kammer der Steuerberater und Wirtschaftsprüfer die Auskunft erhalten, dass die Einhaltung der Verschwiegenheitspflicht erwartet werde.

Die Beschwerdegegnerin habe nach erfolgter teilweiser Entbindung von der Verschwiegenheitspflicht durch ihre Mandantin eine DSGVO-konforme Auskunft erstellt und der Beschwerdeführerin mit Schreiben vom 23. November 2018 Auskunft erteilt. Die Auskunft sei rechtzeitig erfolgt. Das Schreiben der Beschwerdeführerin vom 05. Oktober 2018 sei an die falsche Person gerichtet gewesen und enthalte keine Bezugnahme auf das Datenschutzrecht.

Art. 15 DSGVO schränke in Abs. 4 das Auskunftsrecht der betroffenen Person immer dann ein, wenn Rechte und Freiheiten anderer Personen betroffen seien. Dies gelte nicht nur für die Herausgabe von Kopien, sondern beschränke auch die Auskunftserteilung gem. Abs. 1.

Das Recht auf Verschwiegenheit in der RAO und im WTBG sei als gleichwertig anzusehen.

Die Beschwerdeführerin sei Partei diverser Verfahren und ihr seien andere Verfahren bekannt. Aus diesem Grund seien nach einer sorgfältigen Abwägung und nach Rücksprache mit dem Auftraggeber bestimmte Tatsachen beauskunftet worden, von der Beauskunftung anderer Tatsachen sei jedoch abgesehen worden.

Die Beschwerdegegnerin führte zusammengefasst wie folgt aus:

- Art. 15 Abs. 1 lit. a DSGVO

In der Auskunft der Beschwerdegegnerin werde Auskunft über den Zweck der Verarbeitung erteilt, so dass durch die betroffene Person eine Überprüfung der Zweckbindung durchgeführt werden könne. Es sei nicht notwendig, zu jeder Kategorie personenbezogener Daten zu beauskunften.

- Art. 15 Abs. 1 lit. b DSGVO

Die Datenkategorien seien so gewählt worden, dass sie rasch und verständlich einen Überblick liefern und gleichzeitig der Auftraggeber bzw. seine Informanten und Whistleblower geschützt und nicht identifizierbar bleiben würden. Eine genauere Darstellung könne die Rechte dritter Personen beschneiden und der Beschwerdeführerin einen unangemessenen Vorteil in den anhängigen Zivilprozessen verschaffen.

- Art. 15 Abs. 1 lit. c DSGVO

Die Angabe von Empfänger und Empfängerkategorien stehe alternativ nebeneinander. Man habe sich entschieden, über die Kategorien von tatsächlichen Empfängern personenbezogener Daten Auskunft zu erteilt.

- Art. 15 Abs. 1 lit. d DSGVO

Gemäß § 98 WTBG habe ein Steuerberater zumindest fünf Jahre lang nach dem letzten Geschäftsfall Unterlagen aufzubewahren, die der Erfüllung von Sorgfaltspflichten gegenüber Auftraggebern dienen. Richtig sei, dass die Beschwerdeführerin kein Vertragsverhältnis habe. Ihre Daten sein jedoch im Rahmen eines Mandatsverhältnisses relevant.

In Bezug auf die BAO verweise man auf die stRsp, wonach die aufzubewahrenden Daten auch Grundaufzeichnungen umfassen würden, die dabei helfen würden, den Geschäftsfall genau zu rekonstruieren (zB VwGH 3.6.1992, 87/13/0128).

- Art. 15 Abs. 1 lit. g DSGVO

Die Herkunft der Daten gehöre zu jenen kritischen Informationen, welche der Beschwerdeführerin einen unangemessenen Vorteil im Zivilverfahren verschaffen könne.

Die Beschränkung der Auskunft zur Herkunft der Daten sei angesichts entgegenstehender Rechte und Pflichten Dritter notwendig.

3. Die Beschwerdeführerin führte im Rahmen des von der Datenschutzbehörde zu den Ergebnissen des Ermittlungsverfahrens gewährten Parteiengehörs im Wesentlichen aus, die Behauptung, dass es der Beschwerdeführerin im gegenständlichen Verfahren nicht auf die Durchsetzung ihrer Rechte nach der DSGVO ankomme, sondern sie andere Ziele verfolge und durch die Beschwerde unzulässigen Druck auf den Auftraggeber oder andere ausübe, werde strikt zurückgewiesen.

Die beigelegte Stellungnahme der Kammer der Steuerberater und Wirtschaftstreuhänder sei für das gegenständliche Verfahren nicht bindend. Eine Einschränkung von Betroffenenrechten sei lediglich zulässig, wenn eine nach den Vorgaben des Art. 23 DSGVO entsprechende Regelung solche Einschränkungen vorsehen würden. Dem Auftraggeber der Beschwerdegegnerin komme keine Dispositionsbefugnis über die Rechte der Beschwerdeführerin zu.

Nochmals werde ausdrücklich festgestellt, dass die Voraussetzungen für eine Einschränkung der Auskunftsverpflichtung im Hinblick auf die Beschwerdegegnerin im gegenständlichen Verfahren nicht vorliegen würden. Erneut teilte die Beschwerdeführerin mit, die erteilte Auskunft sei unvollständig und entspreche nicht den gesetzlichen Vorgaben.

B. Beschwerdegegenstand

Ausgehend vom Vorbringen der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt hat, indem die Beschwerdegegnerin eine unvollständige Auskunft erteilt hat.

C. Sachverhaltsfeststellungen

Die Beschwerdeführerin ist die Ehegattin aus einer späteren Ehe des im Mai 2017 verstorbenen Josef A***. Die Beschwerdeführerin ist Partei in den Verlassenschaftsverfahren vor dem Bezirksgericht V*** zu GZ 3 A 1*8/*v sowie vor dem schweizerischen Teilungsamt der Stadt *** als Nachlassbehörde zur Erbschaft E.201*.2*3. Die Beschwerdegegnerin hat im Auftrag ihrer Mandantschaft Informationen an die B***steuer*forschungsgesellschaft übermittelt. Unter diesen Informationen sind auch Eckpunkte der familiären und gesellschaftlichen Situation des Verstorbenen und daher auch vereinzelt Informationen zur Beschwerdeführerin als seine Ehegattin.

Die Beschwerdeführerin brachte im Rahmen des ho. Verfahrens zu Zl. DSB-D123.224 in Erfahrung, dass die Beschwerdegegnerin ihre personenbezogenen Daten verarbeitet. Die Beschwerdegegnerin wurde in diesem Verfahren als „N*** Österreich“ bezeichnet. Die Beschwerdeführerin verlangte mit Schreiben vom 05. Oktober 2018 folgende Auskunft:

- Wer hat N*** Steuerberatungsgesellschaft mbH beauftragt, Informationen über Herrn Josef A*** (als Komplementär der Q. A*** KG) an B***steuer*forschungsgesellschaft herauszugeben?

- Welche Informationen wurden über Herrn Josef A*** und seine Familie an die B***steuer*forschungsgesellschaft hinausgegeben?

- Warum wurde die Genehmigung der Verlassenschaft nach Herrn Josef A*** zur Weitergabe von Informationen über den Erblasser nicht eingeholt?

Das Schreiben war an die N*** Wirtschaftsprüfungsgesellschaft mbH adressiert. Die Beschwerdeführerin wusste zum damaligen Zeitpunkt nicht, welche Gesellschaft ihre Daten verarbeitete. Mit Schreiben vom 23. Oktober 2018 urgierte die Beschwerdeführerin eine entsprechende Auskunft wie folgt:

Ich verweise auf das angeschlossene Schreiben unserer Kanzlei vom 5.10.2018, das ich zur Information nochmals anschließe. Da binnen der von uns gesetzten Frist keine Reaktion seitens der N*** Steuerberatungsgesellschaft mbH erfolgte, sende ich Ihnen dieses Schreiben nochmals mit der höflichen Bitte, sich dieser Sache anzunehmen.

Dies ist gleichzeitig eine Aufforderung im Sinne des Art 15 DSGVO.

Sollten wir bis Ende Oktober 2018 ohne Reaktion seitens der N*** Steuerberatungsgesellschaft mbH bleiben, sind wir von unseren Klienten beauftragt, die notwendigen rechtlichen Schritte in die Wege zu leiten.

Mit Schreiben vom 29. Oktober 2018 teilte die Beschwerdegegnerin mit, dass sie von ihrem Auftraggeber nicht von der Verschwiegenheitspflicht entbunden wurde und keine Auskunft zu Punkt 1. Und 2. geben kann. Zu Punkt 3. teilte die Beschwerdegegnerin mit, dass mangels Vertragsbeziehung kein Grund zur Einholung einer Genehmigung bestand.

Mit Schreiben vom 07. November 2018 beschrieb die Beschwerdeführerin noch einmal den Umfang der beantragten Auskunft wie folgt und setzte der Beschwerdegegnerin eine Frist bis zum 15. November 2018:

Zur Klarstellung weisen wir nochmals darauf hin, dass die gemäß Art 15 DSGVO zu erteilende Auskunft neben der Beauskunftung der konkret verarbeiteten personenbezogenen Daten auch die folgenden Informationen umfasst:

- Verarbeitungszwecke und Rechtsgrundlagen der Verarbeitung;

- Kategorien personenbezogener Daten, die verarbeitet werden;

- Empfänger, gegenüber denen die personenbezogenen Daten offengelegt wurden (einschließlich Auftragsverarbeiter gemäß Art 28 DSGVO und gemeinsame verantwortliche gemäß Art 26 DSGVO, sowie Empfänger in Drittstaaten);

- Kategorien von Empfängern, gegenüber denen die Daten gegebenenfalls noch offengelegt werden;

- geplante Dauer, für welche die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

- alle verfügbaren Informationen über die Herkunft der personenbezogenen Daten;

- das allfällige Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art 22 Abs 1 DSGVO und aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Mit Schreiben vom 15. November 2018 teilte die Beschwerdegegnerin mit, dass das Auskunftsbegehren der Beschwerdeführerin mit 23. Oktober 2018 einlangte und die Frist mit 23. November 2018 abläuft.

Mit Schreiben vom 19. November 2018 wurde letztmalig eine Frist bis zum 23. November 2018 gewährt.

Mit Schreiben vom 23. November 2018 teilte die Beschwerdegegnerin in Bezug auf das Auskunftsbegehren der Beschwerdeführerin auszugsweise wie folgt mit:

Ihre Ausführungen, dass unsere Mandantin den Willen Ihrer rechtsanwaltlich vertretenen Klientin in Bezug auf ein Auskunftsbegehren gemäß Art 15 DSGVO vorausahnen hätte können und sie entsprechend hätte anleiten sollen, nehmen wir - mit einiger Verwunderung - zur Kenntnis. Wir bestreiten jedenfalls, dass dieser Wille, sofern er überhaupt bestand, vor dem 23. Oktober 2018 erkennbar war.

Wir haben zwischenzeitlich mit der Kammer der Steuerberater und Wirtschaftsprüfer („KSW")

Rücksprache gehalten und vom Kammerdirektor-Stellvertreter erfahren, dass es die Rechtsansicht der Arbeitsgemeinschaft DSGVO der KSW sei, dass keinerlei Daten herausgegeben werden dürfen, und das insbesondere dann nicht, wenn der Steuerberater auf ein laufendes Verfahren hingewiesen worden sei.

Es ist natürlich so, dass die KSW keine rechtsverbindliche Auslegung der DSGVO vornehmen kann, aber unsere Mandantin muss sich der Realität stellen, dass sie bei einem Zuwiderhandeln mitunter schwerwiegende standesrechtliche Konsequenzen zu tragen haben.

Wir sind nicht der Ansicht, dass Art 15 DSGVO so ausgelegt werden kann: Ihre Klientin hat uE das Recht auf Auskunft über Informationen nach Art 15 Abs 1 DSGVO. Aus den genannten berufsrechtlichen und -faktischen Erwägungen hat unsere Mandantin von deren Klienten nun die Zustimmung erhalten, die folgenden Informationen offenzulegen:

- Verarbeitungszwecke : N*** Steuerberatungsgesellschaft mbH führt Datenverarbeitung in Bezug auf Frau Jutta A*** zum Zweck der Steuerberatung und Wirtschaftsprüfung im Auftrag ihrer Klienten durch. Die Tätigkeiten ergeben sich unmittelbar aus § 2 und § 3 Wirtschaftstreuhandberufsgesetz („WTBG“).

- Kategorien personenbezogener Daten, die verarbeitet werden : Namen, steuerrelevante Angaben zu Personen (z.B. gewöhnlicher Aufenthalt, Lebensumstände der Person) in Bezug auf Frau Jutta A***.

- Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden: N*** Steuerberatungsgesellschaft mbH arbeitet in Bezug auf Frau Jutta A*** mit einem externen Gutachter zusammen. Hierbei werden personenbezogene Daten aber nur in Ausnahmefällen geteilt. N*** Steuerberatungsgesellschaft mbH übermittelt Daten zur Speicherung an IT -Dienstleister. N*** Steuerberatungsgesellschaft mbH wird personenbezogene Daten nötigenfalls Gerichten, Behörden, Steuerberatern, Wirtschaftsprüfern, Anwälten oder Notaren gegenüber offenlegen, sofern dies für die Wahrnehmung ihrer Aufgaben erforderlich ist.

- N***Steuerberatungsgesellschaft mbH speichert personenbezogene Daten solange , wie dies berufsrechtliche, steuerrechtliche oder unternehmensrechtliche Vorschriften erfordern, mithin fünf Jahre nach § 98 Abs 1 WTBG bzw sieben Jahre nach § 132 Abs 1 Bundesabgabenordnung („BAO“) bzw § 212 Abs 1 Unternehmensgesetzbuch („UGB“).

- Es besteht keine automatisierte Entscheidungsfindung.

Weiters haben Sie folgende Rechte:

- Ihre Klientin kann sich bei der Österreichischen Datenschutzbehörde beschweren.

- Ihre Klientin hat ein Recht auf Löschung, Berichtigung, Einschränkung der Verarbeitung oder ein Widerspruchsrecht gegen die Verarbeitung personenbezogener Daten durch den Verantwortlichen.

Eine Beauskunftung betreffend konkret verarbeiteter personenbezogener Daten aus Akten von der N*** Steuerberatungsgesellschaft mbH (Art 15 Abs 1 DSGVO) sowie eine Kopie dieser Daten nach Art 15 Abs 3 DSGVO kann angesichts des laufenden Verfahrens nicht erfolgen. Ebenso kann über bestimmte Informationen nach Art 15 Abs 1 DSGVO, wie etwa die Herkunft der Daten, keine Auskunft erteilt werden. Gemäß Art 15 Abs 4 DSGVO und Erwägungsgrund 63 DSGVO ist die Auskunft dann zu beschränken, wenn Rechte Dritter entgegenstehen, was hier der Fall ist.

Vorliegend unterliegen konkrete Inhalte aus den Akten und Angaben zur Herkunft der Daten dem Berufsgeheimnis nach § 80 Abs 1 WTBG. Demnach sind Steuerberater und Wirtschaftsprüfer bei allen ihnen anvertrauten Angelegenheiten zur Verschwiegenheit verpflichtet. Die Verschwiegenheitspflicht würde nur dann entfallen, wenn der Auftraggeber unserer Mandantin diese von der Pflicht ausdrücklich entbindet (§ 80 Abs 4 Z 2 WTBG). Andere Gründe nach § 80 Abs 4 WTBG kämen in Ihrem Fall ohnehin nicht in Betracht.

N*** Steuerberatungsgesellschaft mbH verarbeitet keine Daten Ihrer Klientin, bei denen eine weitergehende Entbindung von der Verschwiegenheitspflicht vorliegt. Aus diesem Grund kann nur eine allgemeine Auskunft wie oben erteilt erfolgen.

Beweiswürdigung : Die Feststellungen gründen sich auf das unbestrittene Vorbringen der Parteien sowie auf die in den Schreiben an die Datenschutzbehörde übermittelten Unterlagen.

D. In rechtlicher Hinsicht folgt daraus:

1. Allgemeines zum Auskunftsrecht

Gemäß Art. 15 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und soweit dies der Fall ist, Auskunft über diese personenbezogenen Daten und über die in Art. 15 Abs. 1 lit. a bis h leg. cit. angeführten Informationen zu erhalten.

Der Verantwortliche hat dann gemäß Art. 12 Abs. 3 DSGVO innerhalb der Regelfrist von einem Monat ab Eingang eines Auskunftsbegehrens eine entsprechende Auskunft an den Antragsteller zu erteilen oder diesen gemäß Art. 12 Abs. 4 leg. cit. über die maßgeblichen Gründe für das Nicht-Tätigwerden zu unterrichten.

Im vorliegenden Fall hat die Beschwerdeführerin unstrittig ein Auskunftsbegehren spätestens mit 23. Oktober 2018 an die Beschwerdegegnerin gerichtet. Die Regelfrist von einem Monat berechnet sich daher ab dem 23. Oktober 2018. Die Beschwerdegegnerin hat mit Schreiben vom 23. November 2018 Auskunft erteilt. Eine verspätete Auskunft wird seitens der Beschwerdeführerin nicht beanstandet und liegt damit unstrittig nicht vor.

Das Auskunftsrecht ist für die betroffene Person unter mehreren Aspekten bedeutsam. Es soll zunächst sicherstellen, dass sie sich bewusst ist, ob überhaupt Daten, die sie betreffen, verarbeitet werden. Falls dies zu bejahen ist, soll sie erfahren können, um welche Daten es dabei geht. Diese Kenntnis der Verarbeitung bildet die Basis dafür, dass die betroffene Person die Rechtmäßigkeit der Verarbeitung überprüfen kann. Das Recht auf Auskunft ist außerdem erforderlich, damit die betroffene Person ihre Rechte auf Berichtigung, Löschung und Sperrung geltend machen kann, ferner das Recht auf Widerspruch gegen die Verarbeitung (vgl. Ehmann/Selmayr [Hrsg], Datenschutz-Grundverordnung, Art. 15, Rz. 1; vgl. dazu weiters das Urteil des EuGH vom 7. Mai 2009, C-553/07 Rz 49 bis 51).

Nach der Rechtsprechung des Verwaltungsgerichtshofes zu § 26 DSG 2000, welche auch auf die derzeit geltende Rechtslage übertragbar ist, hat der Gesetzgeber dem von Datenverarbeitungen Betroffenen ein nicht weiter begründungsbedürftiges Interesse an der Auskunft in dem in dieser Bestimmung vorgesehenen Ausmaß zuerkannt. Die Auskunft muss grundsätzlich so konkret erfolgen, dass der Betroffene seine Berichtigungs- und Löschungsrechte sowohl gegenüber der Quelle der Daten als auch gegenüber Übermittlungsempfängern durchsetzen kann (VwSlg. 17.706 A/2009 mwN).

2. Zur Beschränkung des Auskunftsrechts durch die berufsrechtliche Verschwiegenheitspflicht

Die Beschwerdegegnerin verweist in ihrer Auskunftsbeantwortung vom 23. November 2018 auf die Bestimmung des Art. 15 Abs. 4 DSGVO, auf Erwägungsgrund 63 zur DSGVO sowie auf die in § 80 WTBG normierte Verschwiegenheitspflicht.

Gemäß Art. 15 Abs. 4 DSGVO darf das Recht auf Erhalt einer Kopie gemäß Abs. 3 die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Die Aussage des Erwägungsgrund 63, 5. Satz, dass die Rechte und Freiheiten anderer Personen durch das Auskunftsrecht nicht beeinträchtigt werden sollen, kann nach dem Wortlaut des Art. 15 nur auf dessen Abs. 4, also auf das Recht auf Kopie, bezogen werden, nicht aber als allgemeine Ausnahme vom Auskunftsrecht verstanden werden ( Haidinger in Knyrim , DatKomm Art. 15 DSGVO Rz 50, Stand 1.10.2018, rdb.at).

Soweit sich die Beschwerdegegnerin hinsichtlich der Auskunft über die verarbeiteten personenbezogenen Daten auf Art. 15 Abs. 4 DSGVO iVm Erwägungsgrund 63 zur DSGVO beruft, ist ihr entgegenzuhalten, dass diese Bestimmung lediglich als Ausnahme vom Recht auf Kopie iSd Art. 15 Abs. 3 DSGVO verstanden werden kann.

Dies bedeutet jedoch nicht, dass eine Beschränkung des Rechts auf Auskunft nicht möglich wäre, wie noch dargelegt wird.

Ferner stützt sich die Beschwerdegegnerin auf die in § 80 WTBG normierte Verschwiegenheitspflicht. Dazu ist festzuhalten, dass schon die alte Rechtslage im Rahmen des DSG 2000 eine Berücksichtigung von Berufsgeheimnissen im Rahmen der Auskunftserteilung vorgesehen hat, jedoch eine pauschale Berufung auf Berufsgeheimnisse ohne nähere Begründung einem Auskunftsbegehren nicht wirksam entgegengehalten werden kann (vgl. zum Berufsgeheimnis der Rechtsanwälte auch das Erkenntnis des Bundesverwaltungsgerichts vom 27. September 2018, Zl. W214 2127449-1 mwN). Darüber hinaus kann die Erteilung einer Auskunft nicht davon abhängig gemacht werden, ob ein Verantwortlicher von einem Mandanten von der Verschwiegenheitspflicht entbunden wird.

Der europäische Gesetzgeber geht davon aus, dass die durch die DSGVO gewährten Rechte und Freiheiten nicht uneingeschränkt gelten und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden müssen (vgl. Art. 1 Abs. 2 sowie ErwGr 4 zweiter Satz DSGVO). Zur Erreichung dieses Ziels sind entsprechende Beschränkungen des Grundrechts auf Datenschutz und den damit verbundenen Betroffenenrechten vorgesehen und zwar entweder in der DSGVO selbst (vgl. etwa Art. 1 Abs. 2 selbst, Art. 12 Abs. 5 und, im Zusammenhang mit dem Recht auf Erhalt einer Datenkopie, Art. 15 Abs. 4 DSGVO) oder durch einen entsprechend eingeräumten Gestaltungsspielraum („Öffnungsklauseln“), der es dem nationalen Gesetzgeber ermöglicht, unter den in Art. 23 DSGVO genannten Voraussetzungen entsprechende Beschränkungen in nationalen Bestimmungen vorzusehen.

Festzuhalten ist, dass bei der entscheidenden Novelle des WTBG, anders als in der RAO, von Art. 23 DSGVO kein Gebrauch gemacht wurde (siehe dazu BGBl. I Nr. 32/2018). Eine Beschränkung des Rechts auf Auskunft ließe sich daher nur unter Berücksichtigung einer Interessenabwägung gemäß Art. 1 Abs. 2 DSGVO begründen.

Unter Berücksichtigung dieser Überlegungen ist festzuhalten, dass keine absolute Geltung des Rechts auf Auskunft besteht und in dem Zusammenhang auch Datenschutzrechte von Dritten zu schützen sind. Aufgrund der anhängigen Verlassenschaftsverfahren ist im Hinblick auf die Gewährung einer effektiven Prozessführung und zur Wahrung der Prozessinteressen der Mandantschaft der Beschwerdegegnerin davon auszugehen, dass das Interesse der Mandantschaft auf Verschwiegenheit sowie das Interesse der Beschwerdegegnerin einem vollständigen Auskunftsanspruch der Beschwerdeführerin zurecht entgegengehalten wurde.

Eine begründete Ablehnung liegt jedenfalls vor, wenn der Auftraggeber bei voller Auftragserteilung etwa in einem anhängigen Rechtsstreit mit dem Auskunftswerber seine eigene Prozesssituation schwächen würde; ferner in Bezug auf einen Dritten, falls seine Geschäftsverbindung offengelegt werden müsste (siehe zur Auskunftsverweigerung nach Art. 15 DSGVO auch das bereits zitierte Erkenntnis des Bundesverwaltungsgerichts vom 27. September 2018).

Die Verweigerung der vollständigen Auskunft seitens der Beschwerdegegnerin wird daher als zulässig erachtet. Der Beschwerdegegnerin kommt ein berechtigtes Geheimhaltungsinteresse zu, dass das Auskunftsinteresse der Beschwerdeführerin überwiegt.

Für das vorliegende Verfahren bedeutet dies Folgendes:

3. Auskunft über Verarbeitungszwecke (Art. 15 Abs. 1 lit. a DSGVO)

Gemäß Art. 15 Abs. 1 lit. a DSGVO hat der Verantwortliche der betroffenen Person Auskunft über seine Verarbeitungszwecke zu erteilen. Diese Auskunft ermöglicht eine Verifizierung der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO.

Die Beschwerdegegnerin nennt in ihrer Auskunft an die Beschwerdeführerin vom 23. November 2018 die Steuerberatung und Wirtschaftsprüfung im Auftrag ihrer Klienten als Zwecke der Verarbeitung und verweist auf die in §§ 2 und 3 WTBG angeführten Tätigkeiten.

Eine Mangelhaftigkeit der Auskunft die Verarbeitungszwecke betreffend kann nicht erkannt werden.

4. Auskunft über Datenkategorien (Art. 15 Abs. 1 lit. b DSGVO)

Nach Art. 15 Abs. 1 lit b DSGVO besteht ein Auskunftsanspruch über die Kategorien personenbezogener Daten, die verarbeitet werden.

Aus der Auskunftsbeantwortung der Beschwerdegegnerin vom 23. November 2018 geht hervor, dass die Beschwerdegegnerin die verarbeiteten Datenkategorien „Namen“ sowie „steuerrelevante Angaben zu Personen“ aufzählt. Hinsichtlich der genannte Kategorie „steuerrelevante Angaben zu Personen“ führt die Beschwerdegegnerin beispielsweise „gewöhnlichen Aufenthalt“ sowie „Lebensumstände der Person“ an.

Schon nach der alten Rechtlage waren im Rahmen einer Auskunft die „Kategorien der Daten“, die Gegenstand der Verarbeitung sind, bekanntzugeben (vgl. Art. 12 RL 95/46/EG).

Der EuGH hat dazu im bereits zitierten Urteil vom 7. Mai 2009 festgehalten, dass dieses Recht auf Schutz der Privatsphäre voraussetzt, dass sich die betroffene Person vergewissern kann, dass ihre personenbezogenen Daten fehlerfrei verarbeitet werden und die Verarbeitung zulässig ist, d. h. insbesondere, dass die sie betreffenden Basisdaten richtig sind und dass sie an Empfänger gerichtet sind, die zu ihrer Verarbeitung befugt sind. Dies ist insofern erforderlich, um der betroffenen Person u.a. die Wahrnehmung des Rechts auf Berichtigung zu ermöglichen (vgl. dazu Rz 49 und 51).

Soll aber die Wahrnehmung des Rechts auf Berichtigung ermöglicht werden, so setzt dies die Beauskunftung der genauen Eintragungen voraus. Würde sich eine Auskunft etwa darauf beschränken, dass abstrakte Datenkategorien wie „Name“, „Adresse“ udgl. verarbeitet werden, könnte ein Begehren auf Richtigstellung denkunmöglich geltend gemacht werden (vgl. in diesem Sinne aus der ständigen Rechtsprechung der Datenschutzbehörde den Bescheid vom 13. Februar 2018, GZ: DSB D122.754/0002-DSB/2018). Eine Ausnahme könnte nur dann erblickt werden, wenn dies unter dem Blickwinkel einer Güterabwägung zugunsten der Rechte Dritter erforderlich ist.

Der europäische Gesetzgeber übernahm in der Bestimmung des Art. 15 Abs. 1 lit. b DSGVO („Kategorien personenbezogener Daten“) fast wortgleich den bisherigen Wortlaut zum Auskunftsrecht („Kategorien der Daten“) in Art. 12 lit. a der RL 95/46/EG.

Sofern die Beschwerdegegnerin lediglich abstrakte Kategorien nennt und nicht, wie die konkreten Eintragungen lauteten, kann die Beschwerdeführerin nicht überprüfen, ob die sie betreffenden personenbezogenen Daten richtig sind.

Zudem hat die Beschwerdegegnerin kein substantiiertes Vorbringen erstattet, aus denen sich Gründe ergeben, die einer vollständigen Auskunft hinsichtlich der konkreten Eintragungen dieser Datenkategorien entgegenstehen. Einer Beauskunftung der konkreten Eintragungen kann nach Ansicht der Datenschutzbehörde auch die Anhängigkeit von Verfahren nicht entgegenhalten werden, zumal nicht ersichtlich ist, weshalb durch die Beauskunftung von „Basisdaten“ die eigene Prozesssituation geschwächt werden könnte.

Die Beschwerdegegnerin ist daher angehalten, eine hinreichend klare Auskunft im Hinblick auf die Datenkategorien zu erteilen und der Beschwerdeführerin mitzuteilen, wie die tatsächlichen Eintragungen (wie Namen, steuerrelevante Angaben) lauten.

5. Auskunft über Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO)

Nach Art. 15 Abs. 1 lit. c DSGVO besteht ein Auskunftsanspruch über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen.

Der EuGH hat bereits festgehalten, dass das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger als Instrument dient, um die nötigen Nachprüfungen durchführen und insbesondere um überprüfen zu können, ob die Empfänger zur Verarbeitung befugt sind (vgl. das Urteil des EuGH vom 7. Mai 2009, Rz 49).

Die Beschwerdegegnerin nennt in ihrer Beantwortung als Übermittlungsempfänger einen externen Gutachter sowie IT-Dienstleister. Zudem nennt die Beschwerdegegnerin Gerichte, Behörden, Steuerberater, Wirtschaftsprüfer, Anwälte und Notare als allfällige Empfänger.

Die Auskunft kann wahlweise über die Empfänger oder nur Kategorien von Empfängern erteilt werden, welchen der Verantwortliche die Daten offengelegt hat oder noch offenlegen wird (vgl. Haidinger in Knyrim , DatKomm Art. 15 DSGVO Rz 39, Stand 1.10.2018, rdb.at). Ob konkrete Empfänger oder lediglich Kategorien von Empfängern beauskunftet werden, ist im Rahmen einer Einzelfallentscheidung unter Berücksichtigung der Rechte Dritter und der Verhältnismäßigkeit des Aufwandes zu beurteilen (vgl. dazu die auch auf die neue Rechtslage anwendbare Rechtsprechung des Verfassungsgerichtshofes, VfSlg. 18.230/2007, sowie jene des Verwaltungsgerichtshofes, VwSlg. 17.680 A/2009).

Im vorliegenden Fall wurden lediglich Kategorien von Empfängern beauskunftet. Vor dem Hintergrund der anhängigen Verfahren, wo allfällige Empfänger bedeutsam sein können, begegnet dies nach Ansicht der Datenschutzbehörde keinen Bedenken.

Eine Mangelhaftigkeit der Auskunft kann daher nicht erblickt werden.

6. Auskunft über die Speicherdauer (Art. 15 Abs. 1 lit. d DSGVO)

Nach Art. 15 Abs. 1 lit. d DSGVO besteht ein Auskunftsanspruch über die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Aus der Auskunftsbeantwortung geht hervor, dass die Beschwerdegegnerin hinsichtlich der Speicherdauer auf einschlägige berufsrechtliche, steuerrechtliche sowie unternehmensrechtliche Vorschriften verweist und die jeweils konkrete gesetzlich vorgesehene Speicherdauer nennt.

Wenn möglich, ist Auskunft über die geplante Speicherfrist für die Daten zu geben, oder, falls dies nicht möglich ist, über die Kriterien für die Festlegung dieser Dauer (siehe Haidinger in Knyrim , DatKomm Art. 15 DSGVO Rz 42, Stand 1.10.2018, rdb.at).

Die Nennung der gesetzlich vorgegebenen Speicherdauer wird nach Ansicht der Datenschutzbehörde als ausreichend erachtet. Eine Mangelhaftigkeit der Auskunft die Speicherdauer betreffend kann nicht erkannt werden.

7. Auskunft über die Herkunft der Daten (Art. 15 Abs. 1 lit. g DSGVO)

Sofern die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, besteht nach Art. 15 Abs. 1 lit. g DSGVO ein Auskunftsanspruch betreffend alle verfügbaren Informationen über die Herkunft der Daten.

Die Beschwerdegegnerin teilt in ihrer Auskunftsbeantwortung mit, dass sie keine Auskunft über die Herkunft der Daten erteilen kann.

Nach Ansicht der Datenschutzbehörde erscheint klar, dass die Kenntnis der Beschwerdeführerin von der Herkunft der Daten in den anhängigen Verlassenschaftsverfahren die eigene Prozesssituation stärken kann. Die Beschwerdegegnerin konnte zu Recht die Auskunft verweigern.

Eine Mangelhaftigkeit der Auskunft die Herkunft der Daten betreffend kann nicht erkannt werden.

8. Antrag auf Verhängung einer Geldstrafe gegen die Beschwerdegegnerin

Zuletzt war über den ausdrücklichen Antrag der Beschwerdeführerin auf Verhängung einer Geldbuße gegen die Beschwerdegegnerin abzusprechen.

Dazu gilt es festzuhalten, dass ein subjektives Recht auf Einleitung eines Strafverfahrens gegen einen gewissen Verantwortlichen nicht aus Art. 77 Abs. 1 DSGVO bzw. § 24 Abs. 1 und 5 DSG abzuleiten ist und darüber hinaus nach § 25 Abs. 1 VStG das Prinzip der Amtswegigkeit gilt (vgl. Fister in Lewisch/Fister/Weilguni [Hrsg, VStG Kommentar 2 [2017] § 25 Rz 1).

Ein Verwaltungsstrafverfahren kann daher von einer betroffenen Person nur angeregt werden, ein Anspruch auf Einleitung eines solchen besteht nicht.

Insgesamt war daher spruchgemäß zu entscheiden.

Das BVwG hat mit Beschluss vom 11. Dezember 2020, GZlen W214 2224398-1/41E und W214 2223914-1/39E , das verwaltungsgerichtliche Verfahren über die von beiden Parteien erhobenen Bescheidbeschwerden nach Zurückziehung beider Beschwerden eingestellt.