GZ: 2025-0.765.344 vom 1. Oktober 2025 (Verfahrenszahl: DSB-D124.1874/25 [führend])
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerden von
1. Lukas A1***, GZ: D124.1844/25
2. Mate A2***, GZ: D124.1843/25
3. Michaela A3***, GZ: D124.1842/25
4. Karl A4***, GZ: D124.1841/25
5. Marko A5***, GZ: D124.1840/25
6. Harald A6***, GZ: D124.1839/25
7. Daniel A7***, GZ: D124.1838/25
8. Rainer A8***, GZ: D124.1837/25
9. Herwig A9***, GZ: D124.1836/25
10. Adam A10***, GZ: D124.1835/25
11. Joachim A11***, GZ: D124.1834/25
12. Marion A12***, GZ: D124.1833/25
13. Nicole A13***, GZ: D124.1832/25
14. Sabrina N. A14***, GZ: D124.1831/25
15. Gabriela A15***, GZ: D124.1830/25
16. Wolfgang A16***, GZ: D124.1829/25
17. Desiree A17***, GZ: D124.1828/25/
18. Yeganeh A18***, GZ: D124.1827/25
19. Dorin A19***, GZ: D124.1826/25
20. Yul A20***, GZ: D124.1825/25
21. Reinhard A21***, GZ: D124.1824/25
22. Walter A22***, GZ: D124.1823/25
23. Christian A23***, GZ: D124.1822/25
24. Elisabeth A24***, GZ: D124.1821/25
25. Heinrich A25***, GZ: D124.1820/25
26. Daniel A26***, GZ: D124.1819/25
27. Kerstin A27***, GZ: D124.1818/25
28. Angela A28***, GZ: D124.1817/25
29. Christoph A29***, GZ: D124.1816/25
30. Mario A30***, GZ: D124.1815/25
31. Robert A31***, GZ: D124.1814/25
32. Andreas A32***, GZ: D124.1813/25
33. Lukas N. A33***, GZ: D124.1812/25
34. Oliver A34***, GZ: D124.1811/25
35. Ana N. A35***, GZ: D124.1810/25
36. Marija A36***, GZ: D124.1809/25
37. Gottfried A37***, GZ: D124.1808/25
38. Wilfred A38***, GZ: D124.1869/25
39. Dragan A39***, GZ: D124.1870/25
40. Alexander A40***, GZ: D124.1871/25
41. Stefan A41***, GZ: D124.1874/25
42. Michael A42***, GZ: D124.1873/25
43. Jürgen A43***, GZ: D124.1872/25
(beschwerdeführende Parteien), alle vertreten durch Dr. Matthias B***, Rechtsanwalt in **** C***berg, nach Verbindung der Verfahren gemäß § 39 Abs. 2 AVG zur gemeinsamen Behandlung unter der GZ: D124.1874/25 , gegen die N*** Mobilfunk GmbH (Beschwerdegegnerin), vertreten durch M*** J*** T*** Rechtsanwälte GmbH, wegen Verletzung im Recht auf Auskunft wie folgt:
1. Den Beschwerden der beschwerdeführenden Parteien, mit Ausnahme jener der 40. beschwerdeführenden Partei (GZ: D124.1871/25), wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin das Auskunftsrecht der beschwerdeführenden Parteien jeweils verletzt hat, indem sie keine Auskunft gemäß Art. 15 DSGVO erteilt bzw. nicht begründet hat, weshalb die Auskunft nicht oder nicht vollständig erteilt wird.
2. Die Beschwerde der 40. beschwerdeführenden Partei (GZ: D124.1871/25) wird als unbegründet abgewiesen .
3. Der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von zehn Wochen bei sonstiger Exekution gemäß Art. 15 DSGVO Auskunft über die personenbezogenen Daten zu jeder einzelnen der beschwerdeführenden Partei - mit Ausnahme der 40. beschwerdeführenden Partei (GZ: D124.1871/25) - zu erteilen, einschließlich Rechnungsdaten sowie Daten über eine entrichtete Servicepauschale. Ist eine beschwerdeführende Partei keine Kundin bzw. kein Kunde der Beschwerdegegnerin, ist begründet mitzuteilen, weshalb die Auskunft nicht oder nicht vollständig erteilt wird.
Rechtsgrundlagen : Art. 5 Abs. 1 lit. a, Art. 12, Art. 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; § 39 Abs. 2 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG), BGBl. Nr. 51/1991 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
A.1. Mit verfahrenseinleitenden Eingaben, die zu verschiedenen Zeitpunkten im Juli 2025 eingebracht wurden, behaupten die beschwerdeführenden Parteien , allesamt durch denselben Rechtsanwalt vertreten, eine Verletzung ihres Auskunftsrechts nach Art. 15 DSGVO. Die Beschwerden sind inhaltlich ident. Zusammengefasst wird vorgebracht, dass die Beschwerdegegnerin trotz entsprechender Anträge keine Auskunft erteilt habe.
A.2. Mit Stellungnahmen vom 12. August 2025 und 5. September 2025 bringt die Beschwerdegegnerin zusammengefasst vor, dass die 9. beschwerdeführende Partei (GZ 124.1836/25), die 12. beschwerdeführende Partei (GZ D124.1833/25), die 13. beschwerdeführende Partei (GZ D124.1832/25), die 14. beschwerdeführende Partei, (GZ D124.1831/25), die 23. beschwerdeführende Partei, (GZ D124.1822/25), die 24. beschwerdeführende Partei (GZ D124.1821/25), die 27. beschwerdeführende Partei (GZ D124.1818/25), die 31. beschwerdeführende Partei (GZ D124.1814/25), die 33. beschwerdeführende Partei (GZ D124.1812/25), die 38. beschwerdeführende Partei (GZ D124.1869/25) und die 42. beschwerdeführende Partei (GZ D124.1873/25) keine Kund:innen der Beschwerdegegnerin seien.
Die 40. beschwerdeführende Partei (GZ D124.1871/25) habe keinen Antrag auf Auskunft an die Beschwerdegegnerin gestellt, weshalb diese Beschwerde jedenfalls abzuweisen sei. Weiters fordere die Beschwerdegegnerin eine Vorlage der Vollmacht zur Klärung der Identität der Betroffenen an. Darüber hinaus handle es sich um eine missbräuchliche Ausübung des Auskunftsrechts.
A.3. Im Rahmen des gewährten Parteiengehörs bringt die berufsmäßige Vertretung der beschwerdeführenden Parteien mit Stellungnahme vom 23. September 2025 auf das Wesentliche zusammengefasst vor, dass die Berufung auf eine Vollmacht ausreichend sei, eine Auskunftsverpflichtung iSd Art 15 DSGVO auch wegen anderer als in ErwGr. 63 DSGVO genannter Zwecke bestehe und dass eine Verfahrensverbindung gemäß § 39 Abs. 2 AVG das Recht auf Datenschutz der beschwerdeführenden Parteien verletze.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin die beschwerdeführenden Parteien (siehe Spruch) jeweils im Recht auf Auskunft gemäß Art. 15 DSGVO verletzt hat, indem sie diesen bis zum Abschluss des Verfahrens vor der Datenschutzbehörde keine Auskunft erteilt bzw. nicht begründet mitgeteilt hat, weshalb die Auskunft nicht oder nicht vollständig erteilt wird.
C. Sachverhaltsfeststellungen
C.1. Die beschwerdeführenden Parteien, jeweils vertreten durch die im Spruch genannte berufsmäßige Parteienvertretung, haben - mit Ausnahme der 40. beschwerdeführenden Partei (GZ D124.1871/25) - im Frühjahr 2025 Anträge auf Auskunft an die Beschwerdegegnerin gestellt. Begehrt wurde eine Auskunft, ob - und falls ja, welche konkreten Daten (einschließlich Rechnungsdaten) - von der jeweiligen beschwerdeführenden Partei verarbeitet werden. Jedem Antrag war ein Lichtbildausweis beigefügt. Die Parteienvertretung berief sich zwar auf eine erteilte Vollmacht, legte diese jedoch nicht vor.
Die Beschwerdegegnerin erteilte den beschwerdeführenden Parteien keine Auskunft.
Beweiswürdigung C.1. : Die getroffenen Feststellungen ergeben sich aus den insoweit gleichlautenden Eingaben der beschwerdeführenden Parteien sowie den durch diese vorgelegten Unterlagen und aus den Stellungnahmen der Beschwerdegegnerin vom 12. August 2025 und vom 5. September 2025.
C.2. Der 40. beschwerdeführenden Partei (GZ D124.1871/25) ist keine Auskunft erteilt worden, weil diese keinen Antrag auf Auskunft an die Beschwerdegegnerin gestellt hat.
Beweiswürdigung C.2. : Die getroffenen Feststellungen ergeben sich aus der Stellungnahme der Beschwerdegegnerin vom 5. September 2025, welche in weiterer Folge von der beschwerdeführenden Partei nicht bestritten wurde .
C.3. Alle beschwerdeführenden Parteien, mit Ausnahme der 9. beschwerdeführenden Partei (GZ 124.1836/25), der 12. beschwerdeführenden Partei (D124.1833/25), der 13. beschwerdeführenden Partei (GZ D123.1832/25), der 14. beschwerdeführenden Partei (GZ D124.1831/25), der 23. beschwerdeführenden (GZ D124.1822/25), der 24. beschwerdeführenden Partei (GZ D124.1821/25), der 27. beschwerdeführenden Partei (GZ D124.1818/25), der 31. beschwerdeführenden Partei (GZ D124.1814/25), der 33. beschwerdeführenden Partei (GZ D124.1812/25), der 38. beschwerdeführenden Partei (GZ D124.1869/25) und der 42. beschwerdeführenden Partei (GZ D124.1873/25) sind Kund:innen der Beschwerdegegnerin.
B eweiswürdigung C.3. : Die getroffenen Feststellungen ergeben sich aus den Stellungnahmen der Beschwerdegegnerin vom 12. August 2025 und vom 5. September 2025. Trotzt konkreter Nachfrage der Datenschutzbehörde mittels Aufforderung zur Stellungnahme vom 9. September 2025 an die beschwerdeführenden Parteien, wurde dies weder bestritten, noch kommentiert.
C.4. Soweit die jeweilige beschwerdeführende Partei Kund:in der Beschwerdegegnerin ist (vgl. Sachverhaltsfeststellung C.3.), verarbeitet diese unter anderem auch Rechnungsdaten - einschließlich der jährlichen Servicepauschale - über die betroffene Person.
Beweiswürdigung C.4. : Die getroffenen Feststellungen gründen sich auf die gesetzliche Verpflichtung der Beschwerdegegnerin als Telekommunikationsunternehmen, Rechnungsdaten ihrer Kund:innen aufzubewahren. In ihrer Stellungnahme vom 12. August 2025 hat die Beschwerdegegnerin das Vorliegen einer Verarbeitung von Rechnungsdaten auch nicht in Abrede gestellt. Ihr Vorbringen - insbesondere der Hinweis auf eine mögliche spätere Verwendung dieser Daten in einem Zivilverfahren - bekräftigt vielmehr das Vorliegen einer derartigen Verarbeitung. Darüber hinaus bestehen keine Anhaltspunkte, die gegenteilige Sachverhaltsfeststellungen tragen könnten.
D. In rechtlicher Hinsicht folgt daraus:
Allgemeines
D.1. Zu Art. 12 Abs. 6 DSGVO (begründete Zweifel an der Identität)
Gemäß Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und, soweit dies der Fall ist, hat der Betroffene das Recht auf Auskunft über diese personenbezogenen Daten und einen Anspruch auf die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO.
Die Beschwerdegegnerin hält diesem Auskunftsanspruch zunächst Art. 12 Abs. 6 DSGVO entgegen, wonach begründete Zweifel an der Identität der beschwerdeführenden Parteien bestünden. Nach der zur Richtlinie 95/46/EG sowie zum DSG 2000 ergangenen Judikatur des VwGH habe eine anwaltliche Vertretung, die für eine betroffene Person gegenüber Verantwortlichen des privaten Bereichs einen Auskunftsantrag stelle, (stets) eine Vollmacht vorzulegen; dies sei im vorliegenden Fall nicht geschehen (vgl. VwGH 4.7.2016, Ra 2016/04/0014).
Diesbezüglich ist auf die Judikatur des BVwG zur DSGVO zu verweisen, wonach die Überlegungen des VwGH nicht auf die nunmehrige Rechtslage übertragbar sind (vgl. BVwG 10.2.2025, W176 2285593-1). Das BVwG führt zutreffend aus, dass - anders als nach der alten Rechtslage - ein Identitätsnachweis nach Art. 12 Abs. 6 DSGVO nur bei „begründeten Zweifel“ an der Identität der Antragsteller angefordert werden kann.
Solche begründeten Zweifel liegen nach Ansicht der Datenschutzbehörde nicht vor, zumal die anwaltliche Vertretung der beschwerdeführenden Parteien jedem Auskunftsantrag einen Lichtbildausweis der jeweils betroffenen Person beigefügt hat.
In einem vergleichbaren Fall ging das BVwG ebenso davon aus, dass die Vorlage einer Kopie eines Lichtbildausweises im Rahmen eines Auskunftsantrags den Willen der betroffenen Person indiziert, von ihren Rechten nach der DSGVO Gebrauch machen zu wollen (vgl. BVwG 19. August 2025, GZ: W292 2307870-1/6E).
Es kann daher davon ausgegangen werden, dass die Vertretung ordnungsgemäß mandatiert ist und die Identität der betroffenen Person zweifelsfrei feststeht. Bei anderer Betrachtung müsste man annehmen, die anwaltliche Vertretung habe sich in einer Vielzahl von Fällen eigenmächtig und standeswidrig Lichtbildausweise der betroffenen Personen beschafft und entgegen deren Interessen gehandelt. Dieser Annahme ist jedoch bereits vor dem Hintergrund der strengen Standesregeln für berufsmäßige Parteienvertreter nicht zu folgen.
Wenn die Beschwerdegegnerin im Übrigen vorbringt, dass einige der beschwerdeführenden Parteien keine Kund:innen der Beschwerdegegnerin seien, lässt sich daraus nicht schließen, dass die betroffenen Personen keinen Auskunftsantrag stellen wollten oder dass ihre Identität unklar wäre. Wie sich aus dem klaren Wortlaut von Art. 15 Abs. 1 erster Satz DSGVO ergibt, ist selbst für den Fall, dass keine personenbezogenen Daten verarbeitet werden, eine entsprechende Information („Negativauskunft“) zu erteilen.
Ausgehend von den gegenständlichen Anträgen liegen keine Anhaltspunkte vor, dass die jeweils betroffenen Personen keinen Antrag auf Auskunft stellen wollten.
Der Tatbestand des Art. 12 Abs. 6 DSGVO ist daher nicht erfüllt.
D.2. Zu Art. 12 Abs. 5 DSGVO (Missbrauch des Auskunftsrechts)
Darüber hinaus hält die Beschwerdegegnerin dem Auskunftsanspruch entgegen, dass die Auskunft nur deshalb begehrt werde, um sich in einem späteren Zivilverfahren über die Rückforderung der Servicepauschale eine bessere Ausgangsposition zu verschaffen; es handle sich daher um eine missbräuchliche Ausübung des Auskunftsrechts.
Diesbezüglich ist auf die eindeutige Judikatur des EuGH zu verweisen, wonach eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind (Art. 15 Abs. 3 DSGVO), auch dann zur Verfügung zu stellen ist, wenn mit dem Antrag auf Auskunft ein „datenschutzfremder Zweck“ verfolgt wird (vgl. EuGH 26.10.2023, Rz 43 ff [Anmerkung Bearbeiter/in; gemeint ist offenkundig das Urteil in der Rechtssache C‑307/22]). Dem Verfahren vor dem EuGH lag der Sachverhalt zugrunde, dass in Folge einer (behaupteten) zahnärztlichen Fehlbehandlung eine Kopie der Patientenakte begehrt wurde, um u.a. Haftungsansprüche – das heißt zivilrechtliche Ansprüche – geltend zu machen.
Davon ausgehend hat das OLG Wien in einem ähnlich gelagerten Fall ausgesprochen, dass kein Rechtsmissbrauch des Auskunftsrechts vorliegt, nur, weil im Anschluss (möglicherweise) ein Gerichtsverfahren angestrebt wird (vgl. OLG Wien 10.6.2024, 14 R 48/24t).
Es bestehen keine sachlichen Gründe, diese Überlegungen nicht auch auf den vorliegenden Fall zu übertragen.
Der Tatbestand des Art. 12 Abs. 5 DSGVO ist daher nicht erfüllt.
D.3. Zur Antragsbedürftigkeit des Auskunftsrechts
Bei den Rechten gemäß Art. 15 bis Art. 22 DSGVO handelt es sich um antragsbedürftige Rechte. Das bedeutet, dass die betroffene Person zur Geltendmachung dieser Rechte zunächst einen entsprechenden Antrag an den Verantwortlichen richten muss (vgl. hierzu insbesondere Art. 12 Abs. 2, Abs. 3 und Abs. 4 DSGVO).
In diesem Zusammenhang ist überdies zu berücksichtigen, dass das zur meritorischen Erledigung eines Antrages zu seiner Abweisung führende Fehlen einer Erfolgsvoraussetzung keinen „ Mangel eines schriftlichen Anbringens“ im Sinne des § 13 Abs. 3 AVG darstellt. Nicht verbesserungsfähig im Sinne des § 13 Abs. 3 AVG sind Mängel, die die Erfolgsaussichten eines Anbringens beeinträchtigen, die also einer inhaltlich positiven Erledigung eines Anbringens entgegenstehen (vgl. Verwaltungsgerichtshof vom 18. Dezember 2017, Ro 2016/15/0042 und vom 24. April 2017, Ra 2016/05/0040).
Das Fehlen des Antrages auf Auskunft nach Art. 15 DSGVO an die Beschwerdegegnerin stellt somit einen nicht verbesserungsfähigen Mangel dar, der zur Abweisung des Antrages führt.
Davon ausgehend ist für den gegenständlichen Fall wie folgt festzuhalten:
Zu Spruchpunkt 1
Da die Beschwerdegegnerin keine Auskunft erteilt hat und dem Auskunftsanspruch - wie oben ausgeführt - keine tragfähigen Gründe entgegenstehen bzw. von der Beschwerdegegnerin trotz ihrer Mitwirkungspflicht nach Art. 31 DSGVO nicht behauptet wurden, war die Rechtsverletzung spruchgemäß festzustellen.
Zu Spruchpunkt 2
Nachdem die 40. beschwerdeführende Partei (GZ: D124.1871/25) wie festgestellt zu keinem Zeitpunkt einen Antrag zur Geltendmachung ihres Rechts auf Auskunft nach Art. 15 DSGVO an die Beschwerdegegnerin gestellt hat, kann sie von der Beschwerdegegnerin auch nicht in ihrem diesbezüglichen Recht verletzt worden sein. Die Beschwerde war daher abzuweisen.
Zu Spruchpunkt 3
Der Auskunftsanspruch gemäß Art. 15 Abs. 1 erster Satz DSGVO besteht darin, dass der Verantwortliche der betroffenen Person zunächst bestätigt, ob sie betreffende personenbezogene Daten verarbeitet werden (erste Stufe), und - falls dies zutrifft - der betroffenen Person in weiterer Folge die in Abs. 1 lit. a bis h DSGVO genannten Zusatzinformationen erteilt (zweite Stufe), wobei die Auskunft in Form einer Kopie nach Art. 15 Abs. 3 DSGVO erteilt werden kann.
Die Beschwerdegegnerin ist daher verpflichtet, jeweils zu prüfen, ob - abgesehen von jenen Daten, die sie im Rahmen des gegenständlichen Verfahrens erhalten hat - personenbezogene Daten der 1. bis 43. beschwerdeführenden Partei, mit Ausnahme der 40. beschwerdeführenden Partei (GZ: D124.1871/25), verarbeitet werden.
In jenen Fällen, in welchen keine personenbezogenen Daten zu einer der beschwerdeführenden Parteien verarbeitet werden, etwa, weil diese keine Kund:in der Beschwerdegegnerin ist, wird die Beschwerdegegnerin begründet mitzuteilen haben, weshalb die Auskunft nicht oder nicht vollständig erteilt wird.
Liegt hingegen eine Datenverarbeitung vor, hat die Beschwerdegegnerin den beschwerdeführenden Parteien eine entsprechende Auskunft über die konkret verarbeiteten Daten zu erteilen. Soweit die beschwerdeführende Partei Kund:in der Beschwerdegegnerin ist, hat die Auskunft auch die konkret verarbeiteten Rechnungsdaten, einschließlich einer allfällig entrichteten Servicepauschale, zu umfassen.
Nach Art. 58 Abs. 2 lit. c DSGVO war der Beschwerdegegnerin daher im Ergebnis aufzutragen, den Anträgen der beschwerdeführenden Parteien - mit Ausnahme der 40. beschwerdeführenden Partei (GZ: D124.1871/25) - zu entsprechen oder begründet mitzuteilen, weshalb dem Auskunftsbegehren nicht oder nicht vollständig entsprochen wird.
Anzumerken ist, dass dem Auskunftsbegehren - aufgrund der obigen Überlegungen - Art. 12 Abs. 5 (Missbrauchsklausel) und Abs. 6 (Identitätszweifel) DSGVO nicht entgegenhalten werden kann.
Eine Frist von zehn Wochen ist nach Ansicht der Datenschutzbehörde angemessen, um dem Leistungsauftrag zu entsprechen. Bei der Bemessung der Frist wurde dem Umstand Rechnung getragen, dass die Auskunft für eine Vielzahl von Personen vorzubereiten ist.
Es war daher spruchgemäß zu entscheiden.
Zur Verfahrensverbindung
Die im Spruch angeführten Verfahren wurden gemäß § 39 Abs. 2 AVG unter der GZ: D124.1874/25 zur gemeinsamen Behandlung verbunden.
Grundlage aller Beschwerden ist derselbe Sachverhalt; zudem erfolgt die Vertretung der beschwerdeführenden Parteien durch dieselbe Parteienvertretung und alle Beschwerden richten sich gegen dieselbe Beschwerdegegnerin. Die Voraussetzungen des § 39 Abs. 2 AVG sind daher erfüllt.
Ergeht an:
[Anmerkung Bearbeiter/in: Zustellverteiler nicht wiedergegeben]
Rückverweise
