Das Oberlandesgericht Innsbruck als Berufungsgericht hat durch die Senatspräsidentin des Oberlandesgerichts Dr. Prantl als Vorsitzende sowie die Richter des Oberlandesgerichts Mag. Schallhart und Mag. Eppacher als weitere Mitglieder des Senats in der Rechtssache der klagenden Partei A* , vertreten durch Thurnher Wittwer Pfefferkorn Partner Rechtsanwälte GmbH in 6850 Dornbirn, wider die beklagte Partei B* C* Limited , vertreten durch Baker McKenzie Rechtsanwälte LLP Co KG in 1010 Wien, wegen Auskunft gemäß Art 15 DSGVO, über die Berufung der beklagten Partei gegen das Urteil des Landesgerichts Feldkirch vom 2.6.2025, **-36, in nicht öffentlicher Sitzung zu Recht erkannt:
A) Der Berufung wird teilweise Folge gegeben. Das angefochtene Urteil wird unter Einschluss der unbekämpft in Rechtskraft erwachsenen und bestätigten Teile dahin abgeändert , dass es insgesamt zu lauten hat:
„II.1 Die beklagte Partei ist schuldig, der klagenden Partei binnen 14 Tagen zu Handen der Klagsvertreterin
(i) kostenlos eine vollständige Auskunft über die von der beklagten Partei verarbeiteten personenbezogenen Daten in Bezug auf die klagende Partei zu erteilen, wobei die verarbeiteten Daten vollständig und originalgetreu wiedergegeben werden müssen und in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln sind;
und
(ii) die Informationen gemäß Art 15 Abs 1 lit a, c, d und g DSGVO , nämlich
- die Verarbeitungszwecke (Art 15 Abs 1 lit a DSGVO)
- die konkreten Empfänger von Offenlegungen der personenbezogenen Daten der klagenden Partei (Art 15 Abs 1 lit c DSGVO
- sowie den Inhalt der an diese Empfänger erfolgten Offenlegungen (Art 15 Abs 1 lit c DSGVO),
- die konkreten Empfängerkategorien zukünftiger Offenlegungen der personenbezogenen Daten der klagenden Partei (Art 15 Abs 1 lit c DSGVO),
- die Speicherdauer in Bezug auf die personenbezogenen Daten der klagenden Partei oder - falls dies nicht möglich ist - die konkreten Kriterien für die Festlegung der Speicherdauer (Art 15 Abs 1 lit d DSGVO),
- die verfügbaren Informationen zur Herkunft der personenbezogenen Daten der klagenden Partei (Art 15 Abs 1 lit g DSGVO),
sowie die Information nach Art 15 Abs 2 DSGVO
zur Verfügung zu stellen.
2. Das Mehrbegehren, die beklagte Partei sei weiters schuldig, der klagenden Partei binnen 14 Tagen zu Handen der Klagsvertreterin die zusätzlichen Informationen gemäß Art 15 Abs 1 lit b, e, f und h DSGVO sowie die Informationen zu den jeweiligen Zeitpunkten der Verarbeitung von personenbezogenen Daten der klagenden Parteien zur Verfügung zu stellen, wird abgewiesen .
3. Die beklagte Partei ist schuldig, der klagenden Partei binnen 14 Tagen zu Handen der Klagsvertreterin die mit EUR 2.420,83 (darin EUR 364,39 an USt und EUR 234,50 an umsatzsteuerfreien Barauslagen) bestimmten Kosten des Verfahrens erster Instanz zu ersetzen.“
B) Die beklagte Partei ist schuldig, der klagenden Partei binnen 14 Tagen zu Handen der Klagsvertreterin die mit EUR 400,76 saldierten Kosten des Berufungsverfahrens zu ersetzen.
C) Die ordentliche Revision ist nicht zulässig.
Entscheidungsgründe:
Gegenstand des Verfahrens ist ein vom Kläger im März 2024 an die Beklagte gerichtetes Auskunftsbegehren nach Art 15 DSGVO.
Die Beklagte ist eine nach irischem Recht gegründete und registrierte Gesellschaft. Sie betreibt im europäischen Raum zahlreiche B*-Dienste, die ausschließlich Online erbracht werden und genutzt werden können. Der Kläger besitzt bei der Beklagten ein auf seinen [Vornamen.Nachnamen]@** lautendes Online-Konto.
Um Nutzern die Ausübung ihrer Betroffenenrechte nach der DSGVO zu ermöglichen, stellte die Beklagte im März 2024 Informationen und Videos mit Erklärungen zur Verfügung.
In der im Internet abrufbaren „ Datenschutz-Hilfe “ war unter anderem folgender Text zu lesen:
„Sie können Ihre Datenschutzeinstellungen für B*-Dienste auf mehrere Arten verwalten. Wählen Sie eine der Optionen unten aus, um Antworten auf häufig gestellte Fragen zum Datenschutz und Ihren Daten in B*-Produkten und Diensten zu erhalten, oder rufen Sie unsere Datenschutzerklärung auf.
[...]
Einstellungen in Ihrem Konto
Meine Daten aus B*-Produkten und Diensten herunterladen
Hier erhalten Sie weitere Informationen zum Herunterladen Ihrer Daten. Sie können Ihre Daten aus B*-Produkten und -Diensten auch mit dem Tool „Datenexport“ herunterladen. Darüber hinaus können Sie unsere Tools verwenden, um auf Ihre Daten zuzugreifen und sie zu prüfen oder Ihre Daten zu löschen.
Datenzugriffsanfrage einreichen
Wenn die gesuchten Informationen nicht über die oben genannten Tools verfügbar sind, können Sie eine Datenzugriffsanfrage einreichen. Geben Sie dabei Folgendes an:
Sie müssen sich in Ihrem B*-Konto anmelden, um das Formular auszufüllen.
[...]
Direkter Zugriff über das Tool zum Herunterladen von Daten
[...]
Anfrage an das Datenschutzteam senden
B* hat ein spezielles Anfrageformular für den Datenzugriff entwickelt, das Sie in der Datenschutz-Hilfe finden. Es ist auch in der Datenschutzerklärung von B* verlinkt. Über dieses Formular eingereichte Anfragen werden an das B*-Datenschutzteam weitergeleitet und einzeln manuell geprüft, weitergeleitet und bearbeitet. Aus diesem Grund dauert die Bearbeitung länger als bei Tools, die Nutzern automatisch die gewünschte Auskunft erteilen. [...] Bitte beachten Sie, dass wir einige Daten im Rahmen einer Anfrage nicht liefern können.
[...]“
Auf das im jeweiligen Kundenkonto implementierte Datenexport-Tool wurde in der unter ** abrufbaren Datenschutzerklärung hingewiesen. Dort fanden sich mehrere Beispiele, zahlreiche Erklärvideos, Leitfäden und Definitionserklärungen für Schlüsselbegriffe, um Betroffenen die Ausübung ihrer Rechte über das Datenexport-Tool weitestgehend zu erleichtern und verständlich zu erklären. Unter anderem stellte die Beklagte eine schrittweise Anleitung zur Verfügung, wie Betroffene eine Datenkopie über ihr Kundenkonto erhalten können.
Auf dieses Datenexport-Tool konnten die Nutzer in ihrem Konto im Bereich „ Daten und Datenschutz “ (**) unter der Überschrift „ Meine Daten herunterladen oder löschen “ auf die Funktion „ Daten herunterladen - Eine Sicherungskopie Ihrer Daten erstellen “ klicken und eine Kopie der über sie verarbeiteten personenbezogenen Daten erhalten. In der eigentlichen Exportfunktion - also dort, wo Betroffene die Daten auswählen können, zu welchen sie Auskunft erhalten möchten - fanden sich zu jeder einzelnen Datei Informationen darüber, welche Informationen und insbesondere welche Datenkategorien in den jeweiligen Dateien enthalten sind.
Unter der Rubrik „ Anforderungen in Europa “ fand sich in der Datenschutzerklärung unter anderem folgende Passage:
„So können Sie Ihre Rechte ausüben und B* kontaktieren
Wenn das Datenschutzrecht der Europäischen Union (EU) oder des Vereinigten Königreichs (UK) auf die Verarbeitung Ihrer Daten Anwendung findet, stellen wir Ihnen die in dieser Datenschutzerklärung beschriebenen Steuerungsmöglichkeiten zur Verfügung, damit Sie Ihre Rechte ausüben können, Auskunft über Ihre Daten zu erhalten, sie zu aktualisieren, zu löschen und deren Verarbeitung einzuschränken. Darüber hinaus haben Sie das Recht, der Verarbeitung Ihrer Daten zu widersprechen oder Ihre Daten in einen anderen Dienst zu exportieren.
Bei weiteren Fragen oder Anliegen hinsichtlich Ihrer Rechte können Sie sich an B* und an unsere Datenschutzabteilung wenden. Falls Sie Bedenken bezüglich Ihrer Rechte gemäß lokalem geltenden Recht haben, können Sie sich außerdem an Ihre lokale Datenschutzaufsichtsbehörde wenden.
Datenverantwortlicher
Der für die Verarbeitung Ihrer Informationen zuständige Datenverantwortliche hängt von Ihrem gewöhnlichen Aufenthaltsort ab, sofern dies in den Datenschutzhinweisen eines bestimmten Dienstes nicht anders angegeben ist:
B* LLC ist unabhängig von Ihrem Wohnort der zuständige Datenverantwortliche für die Verarbeitung von Informationen, die in Diensten wie der B* ** und B* ** indexiert und angezeigt werden. B* C* Limited ist der zuständige Datenverantwortliche für die Verarbeitung von Informationen, mit denen B* AI-Modelle trainiert werden, um sie in Diensten einzusetzen, die B* C* Limited im Europäischen Wirtschaftsraum oder in der Schweiz bereitstellt.
Rechtsgrundlage der Verarbeitung:
Wir verarbeiten Ihre Daten zu den in dieser Datenschutzerklärung beschriebenen Zwecken auf der Basis der folgenden rechtlichen Grundlagen:
Ihre Datenschutzeinstellungen sowie die Art, wie Sie B*-Dienste verwenden, bestimmen, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und was die Rechtsgrundlagen dafür sind. In der folgenden Tabelle werden diese Verarbeitungszwecke, die Arten der verarbeiteten Daten sowie die rechtlichen Grundlagen für die Verarbeitung ausführlicher erläutert. [...]“
Darüber hinaus waren in der Datenschutzerklärung Informationen
Der Kläger, **, übermittelte bereits vor März 2024 mehrere postalische Auskunftsbegehren an andere Unternehmen. Diese adressierte er jeweils an die in der Datenschutzerklärung bzw. im Impressum dieser Unternehmen angeführte Adresse. Wenn er auf diese postalischen Begehren keine oder nur unzureichende Rückmeldung erhielt, beschritt er wiederholt den Rechtsweg. Teilweise endeten diese Verfahren mit einer vergleichsweisen Regelung. Nicht für alle Verfahren hatte der Kläger eine Deckungsanfrage an seine Rechtsschutzversicherung gestellt.
Im März 2024 begehrte der Kläger unter Beischluss einer Ausweiskopie mit einem abermals per Post versendeten Einschreiben von der Beklagten Auskunft nach Art 15 DSGVO. Dieses am 25.3.2024 bei ihr unter der Adresse ihres Firmensitzes eingelangte Schreiben, das im Wesentlichen dem verfahrensgegenständlichen Auskunftsbegehren entsprach, blieb von der Beklagten unbeantwortet. Sie kommt postalisch gestellten Auskunftsbegehren nie nach, weil nach ihrer Ansicht die Vorlage einer Ausweiskopie nicht geeignet ist, um die Identität des Inhabers eines Online-Kontos festzustellen.
Nach Klagseinbringung, nämlich am 12.12.2024, nutzte der Kläger das Datenexport-Tool. Dabei konnte er auswählen, in welchem Umfang bzw für welche Dienste er Informationen erhalten möchte. Ca. eine Stunde später erhielt er den Hinweis, dass auf Basis seiner Auswahl die Kopie der Daten erstellt wurde und diese nunmehr heruntergeladen werden kann.
Das dem Kläger über das Datenexport-Tool bereit gestellte Download-Paket umfasste 201 einzelne Dateien, die als ZIP-Archiv in einer verschachtelten Ordnerstruktur bereitgestellt wurden. Die im Download-Paket enthaltenen Dateien lagen in verschiedenen Datenformaten vor (ohne Typ, bin, csv, dox, html, ics, jpg, json, mbox, pdf, png, txt, vcf und xlsx). Teilweise waren die im Download-Paket enthaltenen Informationen in deutscher und in englischer Sprache gehalten. Zusätzliche Erläuterungen, wie etwa die Richtlinie „Datenschutz-Hilfe“ sowie die Datenschutzerklärung der Beklagten, enthielt das Download-Paket nicht.
Für den Kläger waren einzelne Informationen aus dem Download-Paket nicht verständlich. Er recherchierte aber nicht, was die von ihm nicht zuordenbaren Daten bedeuten oder beinhalten. Die von der Beklagten zur Verfügung gestellten Informations-Videos sah er sich nicht an. Dateien, die in den Formaten „mbox“ und „json“ exportiert worden waren, konnte er mit der auf seinem Computer vorhandenen Software nicht öffnen. Er ging davon aus, dass ein Öffnen mit einem anderen Programm möglich gewesen wäre. Eine weitere Prüfung nahm er allerdings nicht vor.
Zum Teil waren im Download-Paket Daten enthalten, die sich auf die Geräte bezogen, über die der Kläger die Online-Dienste der Beklagten in Anspruch genommen hatte. Der Informationsgehalt dieser Daten ist für einen User nur schwer bzw. nicht verständlich. Es kann nicht festgestellt werden, was diese Daten bedeuten bzw. was genau Inhalt dieser Daten ist. Diese Daten wurden von der Beklagten in das Download-Paket aufgenommen, weil es sich um personenbezogene Daten des Klägers handelte. Es kann nicht festgestellt werden, ob sich in der Datenschutzerklärung der Beklagten verständliche Erläuterungen zu den Datenstrukturen fanden.
Die im März 2024 geltende Fassung der Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu den Rechten von betroffenen Personen wiesen auszugsweise nachstehenden Inhalt auf, der teilweise durch das Berufungsgericht aus Beilage 2 ergänzt wurde (RS0121557):
„Allgemeine Ausführungen zur Prüfung des Antrags der betroffenen Person
Bei der Analyse des Inhalts des Antrags hat der Verantwortliche zu prüfen, ob der Antrag personenbezogene Daten der antragstellenden Person betrifft, ob der Antrag in den Anwendungsbereich von Artikel 15 fällt und ob es andere, spezifischere Bestimmungen gibt, die die Auskunft in einem bestimmten Bereich regeln. Auch muss er prüfen, ob der Antrag auf Auskunft sämtliche verarbeitete Informationen über die betroffene Person betrifft oder ob er nur auf Teile dieser Informationen beschränkt ist.
Es gibt keine besonderen Anforderungen an das Format eines Antrags. Der Verantwortliche sollte geeignete und benutzerfreundliche Kommunikationskanäle bereitstellen, die von der betroffenen Person leicht genutzt werden können. Die betroffene Person ist nicht verpflichtet, diese speziellen Kanäle zu nutzen, sondern kann ihren Antrag auch an eine offizielle Anlaufstelle des Verantwortlichen richten. Der Verantwortliche ist nicht verpflichtet, Anträge zu bearbeiten, die an völlig willkürliche oder offensichtlich falsche Adressen gesendet werden.
Ist der Verantwortliche nicht in der Lage, Daten, die sich auf die betroffene Person beziehen, zu identifizieren, so teilt er dies der betroffenen Person mit und kann die Auskunft verweigern, sofern die betroffene Person nicht zusätzliche Informationen liefert, die eine Identifizierung ermöglichen. Wenn der Verantwortliche Zweifel daran hat, dass die betroffene Person diejenige ist, die sie vorgibt zu sein, kann er zusätzliche Informationen verlangen, um die Identität der betroffenen Person zu bestätigen. Das Ersuchen um zusätzliche Informationen muss in einem angemessenen Verhältnis zu der Art der verarbeiteten Daten, dem möglichen Schaden usw. stehen, um eine übermäßige Datenerhebung zu vermeiden. [...]
Rz 52: Wie bereits erwähnt, stellt die DSGVO keine Anforderungen an die betroffenen Personen hinsichtlich der Form des Antrags auf Auskunft über personenbezogene Daten. Daher bestehen im Rahmen der DSGVO im Prinzip keine Anforderungen, die die betroffene Person bei der Wahl des Kommunikationsweges für den Kontakt mit dem Verantwortlichen beachten muss.
Rz 53: Der EDSA fordert die Verantwortlichen auf, die geeignetsten und benutzerfreundlichsten Kommunikationswege im Einklang mit Artikel 12 Absatz 2 und Artikel 25 DSGVO zur Verfügung zu stellen, damit die betroffene Person einen wirksamen Antrag stellen kann. Stellt eine betroffene Person jedoch einen Antrag über einen von dem Verantwortlichen bereitgestellten Kommunikationsweg, der sich von dem als bevorzugt angegebenen unterscheidet, so ist dieser Antrag im Allgemeinen als wirksam zu betrachten, und der Verantwortliche sollte einen solchen Antrag entsprechend behandeln (siehe die nachstehenden Beispiele). Die Verantwortlichen sollten alle angemessenen Anstrengungen unternehmen, um sicherzustellen, dass die Ausübung der Rechte der betroffenen Person erleichtert wird […]
Rz 54: Es sei darauf hingewiesen, dass der Verantwortliche nicht verpflichtet ist, einem Antrag nachzukommen, der an eine zufällige oder falsche E-Mail-Adresse (oder Postanschrift) gesendet wird, die nicht direkt von dem Verantwortlichen angegeben wurde, oder an einen Kontakt, der eindeutig nicht für die Entgegennahme von Anträgen zu den Rechten der betroffenen Person bestimmt ist, wenn der Verantwortliche einen geeigneten Kommunikationsweg vorgesehen hat, der von der betroffenen Person genutzt werden kann. [...]
Beispiel 8: Der Verantwortliche X stellt sowohl auf seiner Website als auch im Datenschutzhinweis zwei E-Mail-Adressen zur Verfügung: die allgemeine E-Mail-Adresse des Verantwortlichen CONTACT@X*.COM* und die E-Mail-Adresse der Datenschutzkontaktstelle des Verantwortlichen QUERIE@X.COM. Darüber hinaus weist der Verantwortliche E* auf seiner Website darauf hin, dass Personen, die Anfragen oder Anträge im Zusammenhang mit der Verarbeitung personenbezogener Daten stellen möchten, sich über die angegebene E-Mail-Adresse an die Datenschutzkontaktstelle wenden sollen. Die betroffene Person sendet jedoch einen Antrag an die allgemeine E-Mail-Adresse des Verantwortlichen CONTACT@X.COM. In einem solchen Fall sollte der Verantwortliche alle angemessenen Anstrengungen unternehmen, um seine Dienststellen auf den über die allgemeine E-Mail-Adresse gestellten Antrag aufmerksam zu machen, damit dieser an die Datenschutzkontaktstelle weitergeleitet und innerhalb der in der DSGVO vorgesehenen Fristen beantwortet werden kann.
Rz 72: Im Online-Kontext kann das Authentifizierungsverfahren etwa die gleichen Berechtigungsnachweise einschließen, wie sie die betroffene Person verwendet, um sich bei dem von dem Verantwortlichen bereitgestellten Online-Dienst anzumelden (Erwägungsgrund 57 der DSGVO). [...]
Rz 74: An dieser Stelle wird betont, dass die Verwendung einer Kopie eines Identitätsdokuments als Teil des Authentifizierungsprozesses ein Risiko für die Sicherheit personenbezogener Daten darstellt und zu einer unbefugten oder unrechtmäßigen Verarbeitung führen kann und daher als unangemessen betrachtet werden sollte, es sei denn, sie ist notwendig, geeignet und steht im Einklang mit dem nationalen Recht. In solchen Fällen sollten die Verantwortlichen über Systeme verfügen, die ein angemessenes Sicherheitsniveau gewährleisten, um die mit dem Erhalt der Daten einhergehenden höheren Risiken für die Rechte und Freiheiten der betroffenen Personen zu mindern. Wichtig ist auch der Hinweis, dass die Authentifizierung mittels Personalausweises im Online-Kontext (z. B. bei der Verwendung von Pseudonymen) nicht unbedingt weiterhilft, wenn die betreffende Person keine weiteren Nachweise, z. B. weitere zum Benutzerkonto passende Merkmale, beisteuern kann.
Rz 75: Obwohl viele Organisationen (wie Hotels, Banken, Autovermietungen) Kopien des Personalausweises ihrer Kunden verlangen, sollte dies im Allgemeinen nicht als geeignetes Mittel zur Authentifizierung angesehen werden. Alternativ kann der Verantwortliche eine schnelle und wirksame Sicherheitsmaßnahme anwenden, um eine betroffene Person auf der Grundlage der zuvor durchgeführten Authentifizierung zu identifizieren, z. B. durch eine E-Mail oder Textnachricht mit Bestätigungslinks, Sicherheitsfragen oder Bestätigungscodes. [...]
Rz 113: Zur Einhaltung von Artikel 15 Absatz 1 Buchstaben a bis h und Artikel 15 Absatz 2 können die Verantwortlichen Textbausteine ihrer Datenschutzhinweise verwenden, solange sie sorgfältig sicherstellen, dass diese im Hinblick auf den Antrag der betroffenen Person aktuell und präzise sind. Vor oder zu Beginn der Datenverarbeitung können manche Informationen, wie z.B. zu bestimmten Empfängern oder zur spezifischen Dauer der Datenverarbeitung, oft noch nicht bereitgestellt werden. Einige Informationen, wie beispielsweise über das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde (Artikel 15 Absatz 1 Buchstabe f), gelten gleichermaßen für alle Personen, die einen Antrag auf Auskunft stellen, und können daher in allgemeiner Form mitgeteilt werden, wie es auch im Datenschutzhinweis geschieht. Andere Arten von Informationen, wie z.B. Angaben zu den Empfängern, zu den Kategorien und zur Herkunft der Daten, können je nachdem, wer den Antrag stellt und welchen Umfang der Antrag hat, unterschiedlich sein. Im Zusammenhang mit einem Antrag auf Auskunft gemäß Artikel 15 müssen daher alle Informationen über die Verarbeitung, die dem Verantwortlichen zur Verfügung stehen, aktualisiert und auf die tatsächlich durchgeführten Verarbeitungsvorgänge in Bezug auf die antragstellende betroffene Person zugeschnitten werden. Ein Verweis des Verantwortlichen auf den Wortlaut seines Datenschutzhinweises würde daher nicht ausreichen, um die in Artikel 15 Absatz 1 Buchstaben a bis h und Absatz 2 geforderten Informationen zu erteilen, es sei denn, die „maßgeschneiderten und aktualisierten“ Informationen sind dieselben wie die zu Beginn der Verarbeitung bereitgestellten Informationen. Bei der Erläuterung, welche Informationen sich auf die antragstellende Person beziehen, könnte der Verantwortliche gegebenenfalls auf bestimmte Tätigkeiten verweisen (z.B. „wenn Sie diese Dienstleistung in Anspruch genommen haben …“, „wenn Sie per Rechnung bezahlt haben …“), solange es für die betroffenen Personen offensichtlich ist, dass sie betroffen sind. Im Folgenden wird der erforderliche Spezifizierungsgrad in Bezug auf die einzelnen Informationsarten erläutert. [...]
Rz 130: Es muss vermieden werden, dass die betroffene Person als Reaktion auf einen Antrag auf Datenauskunft an verschiedene Quellen verwiesen wird. In den Leitlinien für Transparenz der Artikel-29-Datenschutzgruppe wurde (im Zusammenhang mit dem Begriff „mitzuteilen“ in Artikel 13 und 14 DSGVO) bereits darauf hingewiesen, dass „mitteilen“ auch bedeutet, dass „[d]er betroffenen Person die Bürde abgenommen werden [muss], unter sonstigen Informationen wie den Nutzungsbedingungen für eine Website oder App aktiv nach den Informationen suchen zu müssen, welche von den genannten Artikeln abgedeckt werden“. Aus diesem Grund und im Hinblick auf den Transparenzgrundsatz müssen die betroffenen Personen die gemäß Artikel 15 Absätze 1, 2 und 3 angeforderten Informationen und personenbezogenen Daten vom Verantwortlichen in einer Weise erhalten, die einen vollständigen Zugang zu den gewünschten Informationen ermöglicht. [...]
Rz 138: Die Nutzung von Selbstbedienungstools sollte den Umfang der erhaltenen personenbezogenen Daten auf keinen Fall einschränken. Wenn es nicht möglich ist, alle Informationen gemäß Artikel 15 über das Selbstbedienungstool zu erteilen, müssen die übrigen Informationen auf eine andere Weise erteilt werden. Der Verantwortliche kann die betroffene Person zwar bitten, ein Selbstbedienungstool zu nutzen, das er für die Bearbeitung von Auskunftsanträgen eingerichtet hat. Es ist jedoch zu beachten, dass der Verantwortliche auch Auskunftsanträge bearbeiten muss, die nicht über den festgelegten Kommunikationskanal übermittelt werden. [...]
Rz 140: Die Anforderung, der betroffenen Person Auskunft in präziser und transparenter Form zu übermitteln, bedeutet, dass der Verantwortliche die Informationen effizient und knapp darstellen sollte, damit sie von der betroffenen Person leicht verstanden werden können, insbesondere wenn es sich um ein Kind handelt. Der Verantwortliche muss bei der Wahl der Mittel für die Erteilung der Auskunft gemäß Artikel 15 die Menge und die Komplexität der Daten berücksichtigen.
Beispiel 26: Ein Social-Media-Anbieter verarbeitet eine große Menge an Informationen über eine betroffene Person. Ein großer Teil dieser personenbezogenen Daten sind Informationen, die in Hunderten von Seiten von Protokolldateien enthalten sind, in denen die Aktivitäten der betroffenen Person auf der Website aufgezeichnet werden. Wenn eine betroffene Person Auskunft über ihre personenbezogenen Daten verlangt, fallen die personenbezogenen Daten in diesen Protokolldateien tatsächlich unter das Auskunftsrecht. Zur förmlichen Erfüllung des Auskunftsanspruchs der betroffenen Person könnten ihr daher diese Hunderte von Seiten an Protokolldateien zur Verfügung gestellt werden. Ohne Maßnahmen zur Erleichterung des Verständnisses der Informationen in den Protokolldateien würde jedoch dem eigentlichen Auskunftsrecht der betroffenen Person in diesem Fall nicht entsprochen, da aus den Protokolldateien nicht ohne Weiteres Erkenntnisse gewonnen werden können und somit die Anforderung in Artikel 12 Absatz 1 DSGVO nicht erfüllt ist. Der Verantwortliche muss daher bei der Wahl der Art und Weise, in der die Informationen und personenbezogenen Daten der betroffenen Person dargestellt werden, sorgfältig und gründlich vorgehen. [...]
Rz 143: Unabhängig von der Form der Auskunftserteilung kann der Umfang der Informationen, die der Verantwortliche den betroffenen Personen zur Verfügung stellen muss, im Widerspruch zu der Anforderung stehen, dass diese Informationen präzise sein müssen. Eine Möglichkeit, beidem gerecht zu werden, und eine denkbare geeignete Maßnahme für bestimmte Verantwortliche, wenn eine große Menge an Daten zur Verfügung gestellt werden soll, ist die Verwendung eines mehrstufigen Ansatzes. Dieser Ansatz kann es für die betroffene Person einfacher machen, die Daten zu verstehen. Es ist jedoch zu betonen, dass dieser Ansatz nur unter bestimmten Umständen anwendbar ist und dass - wie im Folgenden erklärt wird - darauf geachtet werden muss, dass durch die Anwendung dieses Ansatzes das Auskunftsrecht nicht eingeschränkt wird. Außerdem sollte die Anwendung eines mehrstufigen Ansatzes keine zusätzliche Belastung für die betroffene Person darstellen. Daher wäre es am besten, wenn die Auskunftserteilung in einem Online-Kontext erfolgt. Ein mehrstufiger Ansatz ist lediglich eine Möglichkeit, die Informationen gemäß Artikel 15 in einer Weise darzustellen, die auch den Anforderungen von Artikel 12 Absatz 1 DSGVO entspricht, und sollte nicht mit der in Erwägungsgrund 63 der DSGVO angeführten Möglichkeit des Verantwortlichen verwechselt werden, von der betroffenen Person zu verlangen, dass sie präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsantrag bezieht.“
Von diesem unstrittigen Sachverhalt ist im Berufungsverfahren auszugehen (§ 498 ZPO).
Gestützt auf Art 12 und 15 DSGVO und die Behauptung, die Beklagte sei ihrer Auskunftsverpflichtung (auch durch das Datenexport-Tool) nicht nachgekommen, begehrt der Kläger letztendlich die Beklagte schuldig zu erkennen, binnen 14 Tagen
(i) kostenlos eine vollständige Auskunft über die von der Beklagten verarbeiteten personenbezogenen Daten in Bezug auf den Kläger zu erteilen, wobei die verarbeiteten Daten vollständig und originalgetreu wiedergegeben werden müssen und in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln sind;
(ii) die zusätzlichen Informationen gemäß Art 15 Abs 1 DSGVO zur Verfügung zu stellen, insbesondere
Dazu brachte der Kläger im Wesentlichen vor: Die Möglichkeit, Daten über das Datenexport-Tool zu erlangen, stelle keine Erfüllung des Auskunftsbegehrens dar. Unabhängig davon sei die Beklagte verpflichtet gewesen, auf das postalische Auskunftsbegehren zu reagieren. Im Übrigen habe der Kläger die Datenschutzerklärung der Beklagten nicht vollständig gelesen und insofern davon keine positive Kenntnis gehabt. Jedenfalls in Bezug auf den verfahrensgegenständlichen Auskunftsantrag habe die Beklagte den Kläger damit vor Klagseinbringung nicht auf das Datenexport-Tool verwiesen. Im Datenexport-Tool sei die letztendlich zur Verfügung gestellte Datenkopie zunächst nicht vorhanden gewesen. Diese habe erst generiert werden müssen. Die Auskunft über die verarbeiteten Daten sei zudem nur teilweise verständlich gewesen. Zusätzliche Erläuterungen zu den bereitgestellten Informationen habe die Datenkopie nicht enthalten. Die in der Datenschutzerklärung und sonstigen Richtlinien enthaltenen Informationen, die in vielen Fällen ausdrücklich als beispielhaft bezeichnet seien, seien zu allgemein gehalten. Jedenfalls stellten sie keine auf den Kläger zugeschnittene Auskunft dar.
Die Beklagte hielt dem Klagebegehren im Wesentlichen nachstehende - stark zusammengefasste - Einwendungen entgegen:
Der Kläger sei mehrfach auf das Datenexport-Tool verwiesen worden, über das dem Kläger schon vor der Klagseinbringung alle von der Beklagten verarbeiteten personenbezogenen Daten in präziser, transparenter und verständlicher Weise zur Verfügung gestanden seien und nach wie vor stünden. Dieser Verweis habe den Vorgaben des Art 15 DSGVO entsprochen. Auch seien mehrere Hilfestellungen (Informationen, Videos) zur Verfügung gestanden. Unter anderem habe die Beklagte darauf hingewiesen, dass sich Betroffene, wenn sie darüber hinausgehende Informationen begehrten, mit einer Datenzugriffsanfrage über ihr Kundenkonto an die Beklagte wenden könnten. In dem vom Kläger abgerufenen Download-Paket sowie in der Datenschutzerklärung der Beklagten seien alle nach Art 15 Abs 1 und 2 DSGVO geschuldeten Informationen enthalten (gewesen). Aus dem Download-Paket ergäben sich zudem Informationen zu den jeweiligen Zeitpunkten der Verarbeitung von personenbezogenen Daten des Klägers.
Da die Beklagte einen geeigneten Kommunikationsweg vorgesehen habe, sei sie nicht verpflichtet gewesen, dem per Post übermittelten Auskunftsbegehren nachzukommen. Aus der Datenschutzerklärung sei nicht ableitbar, dass Auskunftsbegehren per Post an die allgemeine Adresse der Beklagten gerichtet werden sollten. Die Tatsache, dass der Kläger - wie in der Vergangenheit - wider besseren Wissens nicht die angebotenen Online-Kommunikationswege genutzt habe, deute darauf hin, dass er Auskunftsbegehren gegenüber Verantwortlichen auf eine Weise geltend mache, die nicht mit dem Zweck des Art 15 DSGVO in Einklang stünden, und daher rechtsmissbräuchlich handle. Die Aussage des Klägers lege überdies nahe, dass er das Auskunftsbegehren gegenüber der Beklagten nur deshalb gestellt habe, um anschließend eine Klage erheben und dadurch Umsätze generieren zu können.
Das Erstgericht wies die Klage mit dem angefochtenen Urteil in Bezug auf das Begehren zu (ii) lit g (Profiling gemäß Art 15 Abs 1 lit h DSGVO) ab. Im Übrigen gab es dem Klagebegehren statt. Bei der Gliederung des Spruchs orientierte sich das Erstgericht am ursprünglichen, die Punkte (i), (ii) und (iii) umfassenden Klagebegehren und nummerierte die klagsstattgebenden Spruchpunkte mit (ii) und (iii). Zur leichteren Lesbarkeit wird diese Gliederung im Folgenden an das oben wiedergegebene (eingeschränkte) Klagebegehren angepasst.
Der angefochtenen Entscheidung legte das Erstgericht die auf US 10 bis 35 getroffenen - zu Beginn der Entscheidung auszugsweise wiedergegebenen - Feststellungen zugrunde, auf die gemäß § 500a ZPO verwiesen wird.
In rechtlicher Hinsicht gelangte das Erstgericht zum Ergebnis, es habe keine Verpflichtung zur Nutzung des Datenexport-Tools bestanden, weil in der Datenschutzerklärung auch die Möglichkeit enthalten (gewesen) sei, sich bei Fragen an die Datenschutzabteilung zu wenden. Die Beklagte hätte daher auf das postalische Auskunftsbegehren reagieren müssen, weil dieses nicht völlig willkürlich an eine offensichtlich falsche Adresse versendet worden sei. Dass der Kläger nach Ablauf der Frist des Art 12 Abs 3 DSGVO eine Klage eingebracht habe, könne nicht als rechtsmissbräuchlich bezeichnet werden. Die im Download-Paket („Datenkopie“) enthaltenen Informationen seien teilweise in unverständlicher Form bereit gestellt worden. Die allgemeinen Angaben der Beklagten und insbesondere die Verweise auf die Datenschutzerklärung stellten keine nach Art 15 DSGVO vorgesehene (konkrete) Auskunft dar. Lediglich hinsichtlich Punkt (ii) lit g sei das Klagebegehren aufgrund erteilter Auskunft durch die Beklagte bereits erfüllt.
Der abweisende Teil dieser Entscheidung erwuchs unbekämpft in Rechtskraft. Gegen den stattgebenden Teil richtet sich die aus den Rechtsmittelgründen der unrichtigen rechtlichen Beurteilung sowie der unrichtigen Tatsachenfeststellung aufgrund unrichtiger Beweiswürdigung erhobene Berufung der Beklagten mit dem Antrag auf Abänderung im Sinne einer gänzlichen Klagsabweisung. Hilfsweise wird ein Aufhebungsantrag gestellt.
Der Kläger beantragt, dem gegnerischen Rechtsmittel den Erfolg zu versagen.
Die Berufung, über die gemäß § 480 Abs 1 ZPO in nicht öffentlicher Sitzung entschieden werden kann, ist teilweise berechtigt.
Zur Beweisrüge
1. Das Erstgericht stellte unter anderem fest:
„Als der Kläger sich entschieden hat, das gegenständliche Auskunftsbegehren zu stellen, suchte er auf der Homepage der beklagten Partei nach Kontaktdaten. Dort stieß er in der Datenschutzerklärung der beklagten Partei auf die gegenständliche Adresse, wonach die beklagte Partei für Datenschutzauskünfte für Personen aus der EU zuständig ist.
Der Kläger hat vor Klagseinbringung die Datenschutzerklärung der beklagten Partei ansonsten nicht vollständig gelesen und hatte davon keine positive Kenntnis. Er informierte sich nicht darüber, ob es bei der beklagten Partei ein Online Tool für derartige Auskunftsbegehren gibt.“
1.1 Diese Feststellungen will die Beklagte wie folgt ersetzt wissen:
„Als der Kläger sich entschieden hat, das gegenständliche Auskunftsbegehren zu stellen, suchte er auf der Homepage der beklagten Partei nach Kontaktdaten. Dort stieß er in der Datenschutzerklärung der beklagten Partei auf die Information, dass die beklagte Partei Verantwortliche iSd Art 4 Nr 7 DSGVO ist.
Der Kläger hat vor Klagseinbringung die Datenschutzerklärung der beklagten Partei ansonsten nicht vollständig gelesen, hatte aber vom Datenexport-Tool der Beklagten positive Kenntnis. Der Kläger handelte entgegen dem Wissen über das Datenexport-Tool und wählte nicht das von der Beklagten für Betroffenenanfragen vorgesehene Datenexport-Tool. “
1.2Die Geltendmachung des Berufungsgrunds der unrichtigen Tatsachenfeststellung aufgrund unrichtiger Beweiswürdigung erfordert die bestimmte Angabe welche konkrete Feststellung bekämpft wird, infolge welcher unrichtigen Beweiswürdigung sie getroffen wurde, welche Feststellung stattdessen begehrt wird und aufgrund welcher Beweisergebnisse die begehrte Feststellung zu treffen gewesen wäre. Folglich müssen bekämpfte und gewünschte Feststellungen in einem Austauschverhältnis zueinander stehen. Ein solches liegt nur dann vor, wenn sich die bekämpfte und die gewünschte Feststellung in einem Alternativverhältnis zeigen. Zwischen der bekämpften und der begehrten Feststellung muss ein derartiger inhaltlicher Widerspruch (Gegensatz) bestehen, dass sie nicht nebeneinander bestehen können. Die eine Feststellung muss die andere ausschließen (RI0100145).
1.2.1In Bezug auf den von der Ersatzfeststellung angestrebten Umstand, dass der Kläger entgegen seiner Kenntnis nicht das von der Beklagten für Betroffenenanfragen vorgesehene Datenexport-Tool verwendete, fehlt es am erforderlichen Austauschverhältnis. Zum Kenntnisstand des Klägers beinhaltet die angefochtene Feststellung keine Aussage. Die behauptete Kenntnis des Klägers wird von der Beklagten aber ohnedies als Feststellungsmangel im Sinn des § 496 Abs 1 Z 3 ZPO releviert, der später zu behandeln sein wird.
1.2.2 Warum der Teil der Feststellung unrichtig sein soll, wonach die Beklagte für Datenschutzauskünfte für Personen aus der EU zuständig (und nicht verantwortlich) ist, vermag die Beweisrüge nicht nachvollziehbar aufzuzeigen. In der von ihr selbst vorgelegten Beilage 4 ist auf Seite 14 angeführt, für welche Bereiche die Beklagte die zuständige Daten verantwortliche ist.
1.2.3 Im Übrigen kann auf Grund des aus Beilage F, Seite 355 ableitbaren Umstands, dass über das Konto des Klägers bereits am 9.10.2021 ein Datenexport über das Datenexport-Tool vorgenommen wurde, nicht mit der im Zivilprozess erforderlichen hohen Wahrscheinlichkeit davon ausgegangen werden, dass der Kläger auch noch im März 2024 tatsächlich Kenntnis vom Bestehen dieses Datenexport-Tools hatte.
1.2.4Aber selbst wenn der Kläger Kenntnis vom Datenexport-Tool gehabt hätte, könnte der Beweisrüge keine Relevanz zukommen. Wie noch darzustellen sein wird, stand es dem Kläger frei, sein Auskunftsersuchen per Post an die Beklagte zu richten. Zu einer initialen Verwendung des Datenexport-Tools war der Kläger nach den Bestimmungen der DSGVO nämlich nicht verpflichtet. Werden aber Feststellungen des Erstgerichts angefochten, die bei richtiger rechtlicher Beurteilung der Sache ohne Bedeutung sind, ist das Berufungsgericht nicht verpflichtet, dazu Stellung zu nehmen (RS0043190).
1.3 Den rechtlichen Überlegungen sind daher die vom Erstgericht getroffenen Feststellungen zu Grunde zu legen.
Zur Rechtsrüge
2. Einleitend wird darauf hingewiesen, dass der Anwendungsbereich der DSGVO sowie der Umstand, dass der Kläger Betroffener und die Beklagte Verantwortliche jeweils im Sinn von Art 4 DSGVO ist, zu Recht nicht strittig sind. Eine nähere Untersuchung dieser Themen ist damit entbehrlich.
Die Rechtsrüge bekämpft die Rechtsansicht des Erstgerichts aus unterschiedlichen Blickwinkeln, zu denen wie folgt Stellung zu nehmen ist. Aus Gründen der Übersichtlichkeit wird von einer zusammenfassenden Gesamtdarstellung des Vorbringens abgesehen.
3. Zur (Un-)Bestimmtheit des Urteils
3.1 Nach der Ansicht der Beklagten bleibe aufgrund der im Spruch verwendeten Formulierung „ insbesondere “ unklar, ob die Beklagte nur jene Informationen nach Art 15 Abs 1 lit a bis h und Abs 2 DSGVO, die in weiterer Folge ausdrücklich genannt seien, oder alle Informationen nach Art 15 Abs 1 und 2 DSGVO schulde. Diese Unklarheit werde vor allem dadurch verstärkt, dass der Kläger Punkt (ii) lit h des Klagebegehrens (Information nach Art 15 Abs 1 lit h DSGVO/Profiling) eingeschränkt habe.
3.2 Diesen Ausführungen ist zunächst entgegenzuhalten, dass der Kläger das die Information nach Art 15 Abs 1 lit h DSGVO betreffende Klagebegehren nicht einschränkte. Das Erstgericht sprach daher zu Recht über dieses Begehren ab (Spruchpunkt II.2). Die in der Berufung zitierte Passage in der Beweiswürdigung (US 36) stellt im Übrigen keine Feststellung dar.
3.3Auch sonst kann der Argumentation der Beklagten nicht gefolgt werden. Zwar ist richtig, dass die Bestimmtheit des Begehrens von Amts wegen zu beachten ist (RS0115575). Eine jeden Zweifel und jede objektive Ungewissheit ausschließende Präzisierung des Klagebegehrens ist aber nur bei Geldleistungen zu verlangen. Bei anderen Klagen ist dem Erfordernis des § 226 ZPO hinsichtlich der Bestimmtheit des Klagebegehrens jedenfalls dann Genüge getan, wenn man unter Berücksichtigung des Sprachgebrauchs und Ortsgebrauchs und nach den Regeln des Verkehrs daraus entnehmen kann, was begehrt ist. Gleiches gilt für die Bestimmtheit des Spruchs einer Entscheidung (1 Ob 54/18z mwN).
3.4 Der Spruch der Entscheidung ist ausreichend klar formuliert. Dadurch wird zum Ausdruck gebracht, dass die Beklagte dem Kläger alle Informationennach Art 15 Abs 1 und 2 DSGVO zu erteilen hat. Das Wort „insbesondere“ und die Spruchpunkte (ii) lit a bis f, h und i sind ausgehend vom Klagsvorbringen (nur) als exemplarische Aufzählung zu verstehen, an welchen Informationen der Kläger besonderes Interesse und worüber die Beklagte demgemäß insbesondere Auskunft zu erteilen hat. Dies ergibt sich auch aus dem Vorbringen des Klägers, das bei der Auslegung des Klagebegehrens mitzuberücksichtigen ist (vgl RS0037440 [T4]; RS0041078; RS0041165; RS0041254). Bereits in der Klage verwies der Kläger nämlich darauf, dass es sich beim Anspruch auf Auskunftserteilung gemäß Art 15 DSGVO um einen einheitlichen Anspruch handle. Die zusätzlich zu übermittelnden Informationen würden im weiteren Klagsvorbringen nur kurz zur Klarstellung beschrieben.
3.5 Der Umstand, dass in Punkt (iii) des Spruchs des Erstgerichts einleitend auf „ die zusätzlichen Informationen nach Art 15 Abs 1 DSGVO “ verwiesen wird, ohne die Information nach Art 15 Abs 1 lit h DSGVO (Profiling) auszuklammern, macht die Entscheidung ebenfalls nicht unbestimmbar. Durch den abweisenden Teil der erstinstanzlichen Entscheidung unter Spruchpunkt 2. wird unmissverständlich klargestellt, dass der im ersten Halbsatz von Spruchpunkt (iii) des Ersturteils enthaltene Verweis die Information nach Art 15 Abs 1 lit h DSGVO nicht umfasst.
4. Zur behaupteten Erfüllung des Auskunftsbegehrens durch das Online-Tool und zur Frage, ob das postalische Auskunftsbegehren eine Reaktionspflicht der Beklagten auslöste
4.1 Weiters kritisiert das Rechtsmittel die Ansicht des Erstgerichts, dass ein postalisch gestelltes Auskunftsbegehren trotz Bereitstellung des Datenexport-Tools zulässig gewesen sei. Die „Kanalisierung” von Betroffenenanfragen sei nach Ansicht des EDSA im Online-Kontext ausdrücklich akzeptiert. Nach Ansicht des EDSA seien Verantwortliche nicht dazu verpflichtet, auf Betroffenenanfragen zu reagieren, die an einen Kontakt geschickt würden, der eindeutig nicht für die Entgegennahme derartiger Anträge bestimmt sei. Aus dem Umstand, dass sich in der Datenschutzerklärung der Beklagten die Anschrift der Beklagten auf derselben Seite - jedoch unter einer anderen Überschrift - wie die Ausführungen zum Punkt „ So können Sie Ihre Rechte ausüben und B* kontaktieren “ befände, könne nicht geschlossen werden, dass die Beklagte keine Kanalisierung auf das Datenexport-Tool vorgenommen habe. Durch das Datenexport-Tool sei der Auskunftsanspruch des Klägers bereits vor Klagseinbringung erfüllt worden.
Dieser Rechtsmeinung wird aus nachstehenden Erwägungen nicht beigepflichtet.
4.2 Die DSGVO beinhaltet keine Aussage darüber, in welcher Form ein Auskunftsbegehren gestellt werden kann bzw. muss.
4.3 Die Beklagte beruft sich mehrfach auf die EDSA-Leitlinie. Diese spricht aber für den Standpunkt des Klägers. Darin wird festgehalten, dass der Verantwortliche die betroffene Person zwar bitten kann, ein Selbstbedienungstool zu nutzen, das er für die Bearbeitung von Auskunftsanträgen eingerichtet hat. Dabei ist aber zu beachten, dass der Verantwortliche nach der Leitlinie auch Auskunftsanträge bearbeiten muss, die nicht über den festgelegten Kommunikationskanal übermittelt werden (Rz 138 der Leitlinie). In den einleitenden allgemeinen Ausführungen verweist die Leitlinie abermals darauf, dass die betroffene Person nicht verpflichtet ist, spezielle vom Verantwortlichen zur Verfügung gestellte Kommunikationskanäle zu nutzen. Vielmehr ist es nach der Leitlinie auch im Fall des Bestehens eines besonderen Kommunikationskanals zulässig, dass eine Person ihren Antrag an eine offizielle Anlaufstelle des Verantwortlichen richtet.
4.4 Die Ansicht der Beklagten könnte somit allenfalls auf Rz 54 der Leitlinie gestützt werden. Demnach ist der Verantwortliche nicht verpflichtet, Anträge zu bearbeiten, die an völlig willkürliche oder offensichtlich falsche Adressen gesendet werden, die nicht direkt von dem Verantwortlichen angegeben wurde, oder an einen Kontakt, der eindeutig nicht für die Entgegennahme von Anträgen zu den Rechten der betroffenen Person bestimmt ist, wenn der Verantwortliche einen geeigneten Kommunikationsweg vorgesehen hat, der von der betroffenen Person genutzt werden kann.
Vom Vorliegen dieser Voraussetzungen kann aber keine Rede sein. Der Firmensitz der Beklagten, an den das Ersuchen adressiert war, stellt weder eine willkürliche, noch eine offensichtlich falsche Anschrift dar. Auf den Umstand, dass die Beklagte in der Datenschutzerklärung als Datenverantwortliche genannt war, kommt es somit gar nicht entscheidend an.
4.5 Auch Erwägungsgrund 63 zur DSGVO stützt die Rechtsmeinung der Beklagten nicht. Demnach sollte der Verantwortliche nach Möglichkeit den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglicht. Selbst nach dem genannten Erwägungsgrund darf ein solcher Fernzugang aber nicht dazu führen, dass der betroffenen Person schlicht nicht geantwortet wird.
4.6 Als Zwischenergebnis ist daher festzuhalten, dass das vom Kläger postalisch versendete Papieransuchen ungeachtet des von der Beklagten angebotenen Datenexport-Tools zulässig war und auch nicht an eine willkürliche Adresse geschickt wurde.
4.7 Der Eingang des Auskunftsersuchens löste daher gemäß Art 12 Abs 3 DSGVO eine (unverzügliche) Reaktionspflicht der Beklagten aus.
4.7.1 Daran vermag auch Rz 74 der Leitlinie nichts zu ändern, auf die sich die Beklagte ebenfalls bezieht. Es ist zwar richtig, dass im Onlinebereich eine Ausweiskopie im Regelfall nicht ausreichen wird, um die Identität einer betroffenen Person ausreichend festzustellen. Da das Ersuchen zulässig war, hätte die Beklagte, wenn sie Zweifel daran gehabt haben sollte, dass das auf dessen Namen lautende Online-Konto tatsächlich dem durch die Ausweiskopie legitimierten Kläger zuzurechnen sein sollte, gemäß Art 12 Abs 6 DSGVO zusätzliche Informationen anfordern müssen.
4.7.2Aus der von der Beklagten zitierten Entscheidung des BVwG vom 11.9.2020, W101 2132183-1, sind ebenfalls keine gegenteiligen Schlüsse abzuleiten. Die dortige Verantwortliche verwies den Auskunftswerber als Reaktion auf ein postalisch gestelltes Auskunftsersuchen auf ein bestehendes Online-Tool. Damit ist dieser Sachverhalt mit dem gegenständlichen Fall gerade nicht vergleichbar. Auch in dem vom OLG Frankfurt zu 6 U 41/24 entschiedenen Fall, in dem unter anderem über die Frage abzusprechen war, ob der Auskunftsanspruch nach § 15 Abs 2 DSGVO durch die Bereitstellung eines Self-Service-Tools erfüllt werden kann, blieb das Auskunftsersuchen nicht unbeantwortet. Vielmehr richtete die dort beklagte Verantwortliche ein Schreiben an den Kläger, in dem dieser allgemein über die Datenverarbeitung und -speicherung informiert und schließlich wegen seiner konkreten Daten auf den Link des „Self-Service-Tools“ der Beklagten verwiesen wurde.
4.7.3 Gegen den Standpunkt der Beklagten spricht vor allem, dass selbst Zweifel an der Identität eines Auskunftswerbers die Beklagte nicht dazu berechtigen, ein Auskunftsverlangen zur Gänze unbeantwortet zu lassen. Gemäß Art 12 Abs 4 DSGVO ist die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe, weshalb der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig wird, und über die Möglichkeit, bei der Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen, zu informieren (BeckOK DatenschutzR/ Quaas Art 12 DSGVO Rn 40-42; Haidinger in Knyrim , Art 15 DSGVO Rz 26).
4.8 Da die Beklagte auf das zulässige Auskunftsbegehren entgegen der sie treffenden Verpflichtung nicht reagierte, kann selbstredend nicht davon ausgegangen werden, dass die Beklagte den Auskunftsanspruch des Klägers bereits vor der Klagseinbringung erfüllt hätte.
Die Frage, ob es der Beklagten überhaupt frei gestanden wäre, den Kläger nach Eingang des postalischen Ersuchens auf ein Online-Tool zu verweisen, das den Anforderungen des Art 15 DSGVO gerecht wird, muss im konkreten Verfahren nicht näher untersucht werden, weil der Kläger das Datenexport-Tool nach Zustellung der Klagebeantwortung ohnedies nutzte.
5. Zur behaupteten rechtsmissbräuchlichen Vorgangsweise des Klägers
5.1 Die Berufung wiederholt den Einwand der Rechtsmissbräuchlichkeit. Diese sei darin zu erblicken, dass der Kläger internationalen Technologie-Konzernen, deren Dienste ausschließlich online erbracht werden, wider besseren Wissens und mit dem Ziel, anschließend eine Klage zu erheben, pro forma Briefe ohne Anführung seiner Berufsbezeichnung (Rechtsanwalt) und an eine nicht für Betroffenenanfragen vorgesehene allgemeine Anschrift versende, obwohl diese Unternehmen geeignete Kommunikationswege für Betroffenenanfragen vorsehen. Dies werde dadurch erhärtet, dass der Kläger die zur Verfügung gestellten Informationen und Erläuterungen nicht gelesen habe. Dass die Beklagte nicht auf das postalische Auskunftsbegehren reagiert habe, habe den Rechtsmissbrauch des Klägers nicht saniert.
5.1.1Soweit die Rechtsrüge dem Kläger vorwirft, er habe wider besseren Wissens gehandelt, um anschließend eine Klage einbringen zu können, entfernt sie sich vom festgestellten Sachverhalt und ist damit nicht gesetzmäßig ausgeführt (RS0043312). Im Übrigen kann auf Grund der unter Punkt 4. dargestellten Erwägungen gar nicht davon ausgegangen werden, dass der Kläger das Ansuchen an eine nicht für Betroffenenanfragen zuständige Anschrift verschickte.
5.1.2Bei offenkundig unbegründeten oder - insbesondere im Fall von häufiger Wiederholung - exzessiven Anträgen einer betroffenen Person kann der Verantwortliche nach Art 15 DSGVO sich unter anderem weigern, aufgrund des Antrags tätig zu werden. Die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter des Antrags hat der Verantwortliche zu erbringen (Art 12 Abs 5 DSGVO; vgl zum Rechtsmissbrauch: RS0026265).
5.1.3 Dieser Beweis ist der Beklagten nach den Feststellungen nicht gelungen.
Das Auskunftsrecht stellt ein fundamentales Recht im System der DSGVO dar, weshalb jede Ausnahme von diesem Grundsatz eng auszulegen ist (EuGH C-246/24 Rn 27; C-416/23 Rn 33 und 48). Das Auskunftsrecht ist nämlich erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art 16, 17 bzw. 18 DSGVO zustehen, sowie ihr in Art 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder ihre in den Art 79 und 82 DSGVO vorgesehenen Rechte auf Einlegung eines gerichtlichen Rechtsbehelfs bzw. auf Schadenersatz auszuüben (EuGH C-203/22).
Der Umstand, dass der Kläger in der Vergangenheit bereits mehrfach Auskunftsbegehren an andere Unternehmen per Post versandte und anschließend eine Klage erhob, erlaubt die Annahme einer rechtsmissbräuchlichen Vorgangsweise nicht. Einerseits erhob der Kläger diese Klagen nach den Feststellungen nur, wenn seine Auskunftsbegehren nicht oder nicht ausreichend beantwortet wurden. Andererseits waren diese Anfragen gar nicht an die Beklagte gerichtet. Zudem steht nicht fest, dass der Kläger seine Auskunftsbegehren mit einem Schadenersatzbegehren nach Art 82 DSGVO verband. Schon deshalb ist die Annahme nicht gerechtfertigt, dass die vom Kläger gestellten Auskunftsbegehren alleine darauf gerichtet waren, von den kontaktierten Datenverantwortlichen Schadenersatz zu erhalten oder den Datenverantwortlichen durch das Auskunftsbegehren einen Aufwand zu bereiten (vgl etwa BeckOK DatenschutzR/ Quaas Art 12 DSGVO Rn 43-48; vgl auch Illibauer in Knyrim , Art 12 DSGVO Rz 68/3).
5.1.4 Der Annahme, dass der Kläger das hier zu beurteilende Auskunftsersuchen nur in rechtsmissbräuchlicher Absicht verfolgt hätte, indem er pro Forma einen Brief an die Beklagte geschrieben habe, steht die unbekämpft gebliebene Feststellung entgegen, dass der Kläger das Auskunftsbegehren postalisch stellte, um einen Zustellnachweis vorweisen zu können, der ihm die Überprüfung der Einhaltung der in Art 12 DSGVO normierten Fristen ermöglichte (US 26).
5.2 In diesem Zusammenhang releviert die Beklagte einen sekundären Feststellungsmangel. Nach ihrer Ansicht hätte das Erstgericht folgende Feststellung treffen müssen: „ Der Kläger hatte im Zeitpunkt der Stellung seines postalischen Auskunftsbegehrens an die Beklagte Kenntnis davon, dass die Beklagte ein Datenexport-Tool für die Ausübung von datenschutzrechtlichen Betroffenenrechten bereitstellt. Am 9.10.2021 hat er dieses Tool zur Erlangung einer Datenkopie genutzt. “
5.2.1Der behauptete Mangel liegt nicht vor. Zwar kann es als unstrittige Tatsache im Sinn des § 267 ZPO angesehen werden, dass der Kläger das von der Beklagten angebotene Datenexport-Tool am 9.10.2021 nutzte. Dieser Umstand kann in rechtlicher Hinsicht auch auf Grund der Beilage F, Seite 355, unterstellt werden, deren Echtheit von den Parteien nicht bestritten wurde (RS0121557). Wie bereits erwähnt, wäre das postalisch gestellte Auskunftsersuchen des Klägers auch dann nicht unzulässig gewesen, wenn der Kläger im März 2024 Kenntnis vom Datenexport-Tool gehabt haben sollte.
5.2.2 Dass der Beklagte das Konto bei der Beklagten nur eröffnete, um in weiterer Folge Auskunftsbegehren und daraus abgeleitete Schadenersatzforderungen zu stellen, was in den Schlussanträgen des Generalanwalts in der Rechtssache EuGH C-526/24 als Voraussetzung für die Annahme einer Missbräuchlichkeit eines erstmalig gestellten Auskunftsersuchens genannt wurde, wurde von der Beklagten ebenfalls nicht behauptet. Derartige Anhaltspunkte sind bereits auf Grund des Umfangs der vom Kläger über das Datenexport-Tool heruntergeladenen „Datenkopie“, die eindeutig für eine laufende Inanspruchnahme der Online-Angebote der Beklagten spricht, ohnedies nicht gegeben.
5.2.3Da die von der Beklagten vermisste Feststellung einen Umstand betrifft, dem aus rechtlicher Sicht keine Relevanz zukommt, liegt der relevierte Feststellungsmangel nicht vor (RS0053317).
6. Zur Vollständigkeit und Verständlichkeit der Datenkopie
6.1 Zunächst ist darauf hinzuweisen, dass die Rechtsmittelschriften die Frage der Vollständigkeit nicht thematisieren, sodass sich ein Eingehen darauf erübrigt.
6.2 Die Berufung macht geltend, die zur Verfügung gestellte „Datenkopie“ sei vollständig und in Zusammenschau mit den von der Beklagten auf ihrer Homepage angebotenen Erklärungen und Informationen verständlich gewesen. Die Beklagte ist somit der Ansicht, dass sie den Anforderungen des Art 15 Abs 1, 2 und 3 DSGVO entsprach.
6.3 Richtig ist, dass die Übermittlung der Datenkopie den Auskunftsanspruch nach Art 15 DSGVO vollständig erfüllen kann, wenn sich die Daten aus der Kopie nach Maßgabe des Transparenzgebots für die betroffene Person erschließen. Dies ist nach der Lehre etwa dann nicht der Fall, wenn die bloße Kopie eines umfangreichen Datenbestands die betroffene Person überfordern würde. Hier kann der Verantwortliche dadurch für Transparenz sorgen, indem er eine strukturierte Zusammenstellung erstellt oder zusätzliche Metadaten wie Erläuterungen oder ein Inhaltsverzeichnis anschließt ( Haidinger in Knyrim , Art 15 DSGVO Rz 35/6).
6.4 Art und Umfang des Auskunftsrechts waren in der jüngeren Vergangenheit wiederholt Gegenstand von Entscheidungen des EuGH. Im Urteil vom 4.5.2023, C-487/21 ( Österreichische Datenschutzbehörde und CRIF ) gelangte er unter anderem zu folgenden Ergebnissen, die auch für den hier zu beurteilenden Sachverhalt von Relevanz sind:
6.5Wie bereits das Erstgericht zutreffend darstellte (§ 500a ZPO) umfasst das Auskunftsrecht nach der DSGVO somit drei Komponenten, nämlich 1.) die Bestätigung, ob personenbezogene Daten verarbeitet werden oder nicht, 2.) die Auskunft über diese Daten und 3.) die Informationen über die Verarbeitung, die unter Art 15 Abs 1 und 2 DSGVO fallen.
Die Komponente 1 ist nicht mehr verfahrensgegenständlich. Über das Datenexport-Tool wurde dem Kläger von der Beklagten eine „Datenkopie“ (Komponente 2) zur Verfügung gestellt. Im Rechtsmittelverfahren bestehen letztlich nur mehr divergierende Ansichten darüber, ob diese „Datenkopie“ dem Transparenzgebot des Art 12 DSGVO entsprach, das nach Erwägungsgrund (39) voraussetzt, dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind. Unter Transparenz ist nach der Legaldefinition des Art 5 Abs 1 lit a DSGVO zu verstehen, dass die Information „ in einer für die betroffene Person nachvollziehbaren Weise “ erfolgen muss.
6.6 Aus nachstehenden Erwägungen ist dem Kläger beizupflichten, dass die „Datenkopie“ nicht in transparenter und verständlicher Form zur Verfügung gestellt wurde.
6.6.1 Art 15 Abs 3 Satz 3 DSGVO sieht vor, dass der betroffenen Person „die Informationen“ in einem gängigen elektronischen Format zur Verfügung zu stellen sind, wenn die Antragstellung elektronisch erfolgte, sofern sie nichts anderes angibt. Diese Bestimmung ist auf alle der Auskunftspflicht unterliegenden Informationen anzuwenden, was der EuGH in der Rechtssache CRIF mit Verweis auf Art 12 Abs 3 DSGVO bestätigte (EuGH C-487/21 Rn 93). Was als „gängiges elektronisches Format“ anzusehen ist, ist in der DSGVO nicht geregelt. Bereits aus dem Transparenzgebot folgt, dass darunter Dateitypen zu verstehen sein werden, die mit durchschnittlich ausgestatteten Endgeräten gelesen werden können. Keine Transparenz liegt demnach vor, wenn ein Auskunftswerber, der über ein durchschnittlich ausgestattetes Gerät verfügt, gezwungen ist, sich zusätzliche Software anzuschaffen, um die ihm vom Verantwortlichen zur Verfügung gestellten Dateitypen lesen zu können ( Haidinger in Knyrim , Art 15 DSGVO Rz 21). Dabei genügt es, wenn der Verantwortliche ein objektiv in den gängigen Verkehrskreisen übliches Datenformat wählt. Es ist daher nicht erforderlich, dass der Betroffene die zur Verfügung gestellte Auskunftsdatei bzw. Datenkopie auf seinem Rechner subjektiv öffnen kann (BeckOK DatenschutzR/ Schmidt-Wudy Art 15 DSGVO Rn 83.1).
6.6.2 Nach den Feststellungen konnte der Kläger Dateien, die in den Formaten „mbox“ und „json“ exportiert worden waren, mit der auf seinem Computer vorhandenen Software nicht öffnen. Dass diese Dateien mit „standardmäßiger Software“ geöffnet werden hätten können, steht nicht fest.
6.6.3 Auf die Frage, ob die soeben erwähnten Dateitypen als gängige elektronische Formate zu werten sind und ob die Feststellung dahin zu verstehen ist, dass die Dateitypen unabhängig der subjektiven Kenntnisse des Klägers nicht geöffnet werden hätten können, kommt es letztlich aber nicht an. Es steht nämlich fest, dass die „Datenkopie“ keine Zusatzinformationen enthielt. Aus der gut 3.000-seitigen „Datenkopie“ ergibt sich zwar, welche personenbezogenen Daten des Klägers die Beklagte verarbeitete. Eine in knapper, verständlicher Form verfasste Erläuterung war in der „Datenkopie“ allerdings nicht enthalten.
6.6.4 Bereits die vom Erstgericht in die Entscheidung übernommenen Screenshots belegen, dass die von der Beklagten in ihrer Datenschutz-Hilfe, in der Datenschutzerklärung und im Kunden-Konto zur Verfügung gestellten Erklärungen und Informationen sehr umfangreich waren. Das Erstgericht stellte weiters ausdrücklich fest, dass sich im Datenexport-Tool zahlreiche Informationen zum Datenexport und den im Export enthaltenen Daten und Formaten befanden. Diese Informationen waren entgegen Rz 113 der EDSA-Leitlinien aber nicht auf das konkrete Auskunftsersuchen des Klägers zugeschnitten. Beim Auskunftsrecht hat der Verantwortliche aber - im Unterschied zu den Informationspflichten nach Art 13 und 14 DSGVO - so konkret wie nur irgend möglich auf die Datenverarbeitung in Bezug auf den konkreten Auskunftswerber einzugehen ( Haidinger in Knyrim, Art 15 DSGVO Rz 3/1). Außerdem stand das von der Beklagten unterbreitete Informationsangebot nicht in Einklang mit Rz 130 der EDSA-Leitlinien, weil sie eine aktive Suche des Klägers auf den diversen Informationsseiten der Beklagten erfordert hätten. Dass ein derartiges Informationsangebot dem datenschutzrechtlichen Transparenzgebot widerspricht, wurde auch bereits vom OGH entschieden (6 Ob 56/21k - „Ostereier-Suche“).
6.7 Das Erstgericht ist daher zutreffend davon ausgegangen, dass dem Kläger keine transparente Auskunft über die ihn betreffenden personenbezogenen Daten erteilt wurde.
7. Zu den Informationen nach Art 15 Abs 1 und 2 DSGVO
7.1 Das Erstgericht kam zum Schluss, dass die (lediglich) in der Datenschutzerklärung enthaltenen Informationen nicht ausreichend konkret und damit nicht transparent waren.
Dieser Rechtsansicht tritt die Berufung entgegen. Auf Basis der Feststellungen sei davon auszugehen, dass die Beklagte dem Kläger alle Informationen über Empfänger von personenbezogenen Daten des Klägers gemäß Art 15 Abs 1 lit a bis g DSGVO zur Verfügung gestellt habe. Dies gelte insbesondere für die Informationen zur Herkunft und zu den konkreten Empfängerkategorien der personenbezogenen Daten des Klägers. Für die erstinstanzlichen Spruchpunkte (iii) lit h (Art 15 Abs 2 DSGVO) und (iii) lit i (Verarbeitungszeitpunkte) bestünde keine Rechtsgrundlage.
7.2 Zur Transparenz der von der Beklagten angebotenen Informationen im Allgemeinen
7.2.1 Den klagsstattgebenden Spruchpunkt (iii) des Ersturteils begründete das Erstgericht im Wesentlichen damit, dass die von der Beklagten angebotenen Informationen keinen Bezug zum konkreten Auskunftsersuchen des Klägers aufweisen. Mit diesem tragenden Begründungselement setzt sich die Berufung letztlich nicht auseinander; sie ist in diesem Punkt somit nicht gesetzmäßig ausgeführt.
7.2.2 Nur der Vollständigkeit halber ist darauf hinzuweisen, dass die Berufung Rz 113 der EDSA-Leitlinie nicht vollständig zitiert. Dort ist nämlich auch festgehalten, dass im Zusammenhang mit einem Antrag auf Auskunft gemäß Art 15 DSGVO alle Informationen über die Verarbeitung, die dem Verantwortlichen zur Verfügung stehen, aktualisiert und auf die tatsächlich durchgeführten Verarbeitungsvorgänge in Bezug auf die antragstellende betroffene Person zugeschnitten werden müssen. Die Datenschutzerklärung und die sonstigen Erläuterungen der Beklagten, die gar nicht in der „Datenkopie“ enthalten waren, nahmen aber unstrittigerweise nicht auf das Auskunftsersuchen Bezug. Da sie auf einen möglichst großen Kreis von betroffenen Personen zugeschnitten waren, beinhalteten diese Informationen zum Teil allgemeine Formulierungen, aufgrund derer auch bei einer Gesamtbetrachtung der im Internet angebotenen Erläuterungen sowie der dem Kläger zur Verfügung gestellten „Datenkopie“ keine dem Transparenzgebot entsprechende Information vorliegt.
7.3 Zu den von der Berufung nicht gesondert thematisierten Informationen
Zu einzelnen, im Folgenden näher genannten Informationen nach Art 15 Abs 1 DSGVO nimmt die Berufung nicht gesondert Stellung. Es reicht daher der Hinweis, dass sich die mangelnde Transparenz und Verständlichkeit in nachstehenden Formulierungen (in der Datenschutzerklärung) manifestiert, die einerseits unbekämpft festgestellt wurden und andererseits der rechtlichen Beurteilung aufgrund der Beilage 3 zu Grunde gelegt werden können:
7.3.1 Zur Information nach Art 15 Abs 1 lit a DSGVO (Verarbeitungszwecke)
7.3.2 Zur Information nach Art 15 Abs 1 lit c DSGVO (Empfänger von offengelegten Daten sowie Inhalt dieser Offenlegungen)
7.3.3 Zur Information nach Art 15 Abs 1 lit d DSGVO (Speicherdauer)
7.4 Zu den Informationen nach Art 15 Abs 1 lit b DSGVO (Datenkategorien), Art 15 Abs 1 lit e DSGVO (Recht auf Berichtigung oder Löschung) sowie Art 15 Abs 1 lit f DSGVO (Beschwerderecht bei einer Aufsichtsbehörde)
Diese Informationen waren in der exemplarischen Aufzählung in Punkt (ii) des modifizierten Klagebegehrens (ON 23) nicht gesondert angeführt. Das Vorbringen der Beklagten, dass sie dem Kläger hinsichtlich aller in Art 15 Abs 1 DSGVO genannter Informationen, sohin auch hinsichtlich der Informationen nach Art 15 lit b, e und f DSGVO, Auskunft erteilt hätte, wurde vom Kläger nicht substantiiert bestritten. Wie dargelegt, sind sowohl das Klagebegehren als auch der erstinstanzliche Spruch dahin zu verstehen, dass der Kläger Auskunft über sämtliche Information nach Art 15 Abs 1 DSGVO begehrte. Da im Hinblick auf das diesbezüglich unbestritten gebliebenen Vorbringen der Beklagten (§ 267 ZPO) von der Erfüllung dieser Auskunftsansprüche auszugehen ist, erweist sich die Berufung in diesem Umfang als berechtigt.
7.5 Zur Information nach Art 15 Abs 1 lit c DSGVO (Empfängerkategorien zukünftiger Offenlegungen)
7.5.1 In diesem Zusammenhang moniert die Berufung einen Widerspruch zwischen der rechtlichen Beurteilung des Erstgerichts und der dazu von ihm getroffenen Feststellung, wonach „ sich „ Unter dem Punkt „Datenweitergabe durch B*“ der Datenschutzerklärung Informationen dazu finden, wann und an wen die beklagte Partei Daten des Klägers weitergibt .“
7.5.2 Zur Vermeidung von Wiederholungen wird zunächst auf Punkt 7.2.2 verwiesen. Zwar ist richtig, dass die Datenschutzerklärung allgemeine Ausführungen beinhaltet. Inwieweit diese konkret auf die personenbezogenen Daten des Klägers zugeschnitten sein sollen, zeigt aber auch die Berufung nicht auf.
7.6 Zur Information nach Art 15 Abs 1 lit g DSGVO (Herkunft der personenbezogenen Daten)
7.6.1 Das Erstgericht stellte in diesem Zusammenfang fest, dass „ sich unter der Rubrik „Von B* erhobene Daten“ alle verfügbare Informationen zur Herkunft der personenbezogenen Daten des Klägers finden “.
7.6.2 Nach der Ansicht der Berufung vermag diese Feststellung die rechtliche Beurteilung des Erstgerichts nicht zu tragen, dass die Information jedenfalls keine auf den Kläger zugeschnittene Auskunft darstelle.
7.6.3 Diesem Standpunkt kann nicht beigetreten werden. Das Erstgericht stellte weitere Auszüge aus der Rubrik „Von B* bezogene Daten“ fest. Dazu gehören insbesondere die Feststellungen zu den „ Ihre Aktivitäten “ sowie „ Ihre Standortdaten “ (US 17f). Bereits die Formulierung „ Je nachdem, welche Produkte Sie nutzen und welche Einstellungen Sie auswählen, kann B* verschiedene Arten von Standortinformationen verwenden, um bestimmte Dienste und Produkte hilfreicher zu gestalten. Dazu gehören unter anderem:“ belegt, dass auch diese Informationen nicht auf das konkrete Auskunftsersuchen und somit auf die konkreten personenbezogenen Daten des Klägers Bezug nehmen.
7.6.4 Dem Erstgericht ist damit beizupflichten, dass die Beklagte die hier in Rede stehende Information nicht DSGVO-konform beauskunftete.
7.7 Zur Information nach Art 15 Abs 2 DSGVO
7.7.1 Art 15 Abs 2 DSGVO legt fest, dass die betroffene Person bei Datenübermittlungen an Drittstaaten oder an internationale Organisationen das Recht hat, im Zusammenhang mit der Übermittlung über geeignete Garantien gemäß Art 46 DSGVO informiert zu werden.
7.7.2 In diesem Zusammenhang traf das Erstgericht folgende Feststellungen:
RECHTLICHE RAHMENBEDINGUNGEN FÜR DATENÜBERMITTLUNGEN [...]
Wir betreiben Server auf der ganzen Welt. Deshalb können Ihre Daten auf Servern verarbeitet werden, die außerhalb des Landes liegen, in dem Sie leben. Datenschutzgesetze sind von Land zu Land verschieden und einige bieten mehr Schutz als andere. Unabhängig davon, wo Ihre Daten verarbeitet werden, wenden wir dieselben, in der Datenschutzerklärung beschriebenen Schutzmaßnahmen an. Ferner halten wir bestimmte rechtliche Rahmenbedingungen zu Datenübermittlungen ein, beispielsweise die nachfolgend beschriebenen Rahmenbedingungen.
Angemessenheitsbeschlüsse
Die Europäische Kommission hat festgestellt, dass bestimmte Länder außerhalb des Europäischen Wirtschaftsraums (EWR) personenbezogene Daten angemessen schützen. Aus diesem Grund können Daten aus der Europäischen Union (EU) sowie Norwegen, Liechtenstein und Island in diese Länder übermittelt werden. Im Vereinigten Königreich und in der Schweiz gibt es ähnliche Mechanismen zum angemessenen Schutz von Daten. Wir stützen uns auf die folgenden Angemessenheitsmechanismen:
Standardvertragsklauseln
Standardvertragsklauseln sind schriftliche Zusicherungen zwischen Parteien, die als Grundlage für die Datenübermittlung aus dem EWR in Drittländer dienen können, indem sie geeignete Garantien zum Datenschutz zur Verfügung stellen. Standardvertragsklauseln sind von der Europäischen Kommission genehmigt worden und können von den Parteien, von denen sie genutzt werden, nicht geändert werden. Die von der Europäischen Kommission erlassenen Standardvertragsklauseln finden Sie [hier], [hier] und [hier]. Solche Klauseln wurden auch für die Übermittlung von Daten in andere Länder als das Vereinigte Königreich und die Schweiz zugelassen. Wir stützen uns bei der Datenübermittlung im Bedarfsfall und in Fällen, in denen sie nicht durch einen Angemessenheitsbeschluss abgedeckt ist, auf Standardvertragsklauseln. Wenn Sie eine Kopie der Standardvertragsklauseln benötigen, wenden Sie sich bitte an uns. [...]
7.7.3 Die Berufung argumentiert, es gebe keine Feststellung, dass personenbezogene Daten des Klägers in ein Drittland übermittelt worden seien. Aus den Feststellungen ergebe sich zudem, dass sich die Beklagte primär auf Angemessenheitsbeschlüsse für internationale Datenübermittlung stütze, die von Art 15 Abs 2 DSGVO aber nicht umfasst seien. Schließlich habe die Beklagte darauf hingewiesen, dass sie sich im Bedarfsfall und in Fällen, in denen eine Datenübermittlung nicht durch einen Angemessenheitsbeschluss abgedeckt sei, auf Standardvertragsklauseln gemäß Art 46 Abs 2 lit c DSGVO stütze, wodurch der Kläger ohnedies „ über die geeigneten Garantien gemäß Art 46 DSGVO “ im Zusammenhang mit allfälligen Übermittlungen unterrichtet worden sei.
7.7.4 Richtig ist, dass nicht feststeht, dass die Beklagte personenbezogene Daten in ein Drittland übermittelte. Dies wurde von der Beklagten im erstinstanzlichen Verfahren aber gar nicht behauptet. Vielmehr beschränkte sich ihr Vorbringen darauf, dass der Auskunftsanspruch des Klägers durch den in der Datenschutzerklärung enthaltenen Punkt „ Datenübermittlung “ bereits erfüllt sei (Schriftsatz vom 13.1.2025 = ON 24, Rz 57).
7.7.5 Auf diesen Umstand kommt es aber gar nicht an. Da der Kläger von der Beklagten ausdrücklich die Auskunft begehrte, ob ein Datentransfer in Drittstaaten erfolgt, war die Beklagte selbst dann zur Auskunft verpflichtet, wenn es keinen Drittstaatentransfer gegeben haben sollte (vgl BeckOK DatenschutzR/ Schmidt-Wudy Art 15 DSGVO Rn 81, 82). Diese Auskunft erteilte die Beklagte unstrittigerweise nicht. Auch aufgrund der vom Erstgericht festgestellten Auszüge aus der Datenschutzerklärung kann ein allfälliger Drittstaatstransfer, dem ein Standardvertragswerk zugrunde liegen würde, nicht ausgeschlossen werden. Welches Standardvertragswerk für einen allfälligen Drittstaatstransfer von personenbezogenen Daten des Klägers maßgeblich sein sollte, lässt sich weder den Feststellungen noch den Behauptungen der Beklagten entnehmen. Damit kann aber auch nicht davon ausgegangen werden, dass die ausdrücklich gestellte Frage des Klägers in transparenter und verständlicher, auf sein Begehren abgestimmter Form beantwortet wurde. Selbst unter Miteinbeziehung der in der Datenschutzerklärung enthaltenen allgemeinen Hinweise weist die dem Kläger zur Verfügung gestellte „Datenkopie“ somit nicht alle Merkmale auf, die es dem Kläger ermöglichen, seine Rechte gemäß der DSGVO wirksam auszuüben (EuGH C-579/21 Rn 65).
7.7.6Im Übrigen indiziert bereits die unzureichende Information (vgl Punkt 7.3.2) betreffend die Empfänger von personenbezogenen Daten auch eine mangelhafte Information über die geeigneten Garantien für Drittlandsübermittlungen. Wenn eine betroffene Person nicht einmal weiß, wohin ihre Daten übermittelt werden, kann nämlich auch ein unbestimmter Verweis auf die Einhaltung bestimmter rechtlicher Rahmenbedingungen nicht als rechtmäßige Information im Sinn des Art 15 Abs 2 DSGVO betrachtet werden (vgl DSB 7.8.2025, 2025-0.626.844).
7.8 Zu den jeweiligen Verarbeitungszeitpunkten der personenbezogenen Daten des Klägers
7.8.1 Die Berufung argumentiert, aus Art 15 Abs 1 DSGVO sei keine Information zu den jeweiligen Verarbeitungszeitpunkten ableitbar. Abgesehen davon stehe unbekämpft fest, dass die Beklagte dem Kläger die begehrte Information ohnedies erteilt habe.
7.8.2 Zunächst ist der Berufungsbeantwortung beizupflichten, dass das Auskunftsrecht auch das Recht auf Information über die Datenverarbeitungszeitpunkte umfassen kann (EuGH C-579/21).
7.8.3 Die Frage, ob diese EuGH-Judikatur auch auf das vorliegende Auskunftsbegehren übertragen werden kann, braucht aber nicht geprüft zu werden. Nachdem der Kläger das Datenexport-Tool in Anspruch genommen hatte, erstattete die Beklagte folgendes Vorbringen (Schriftsatz vom 13.1.2025 = ON 13.1, Rz 58).
„Soweit der Kläger in Punkt 1(ii) (i) Informationen zu den jeweiligen Zeitpunkten der Verarbeitung von personenbezogenen Daten des Klägers begehrt, verweist die Beklagte ihn zum einen auf die bereits erteilte Auskunft (siehe Beilage F). Der Kläger wurde bereits umfassend in der Auskunft über die Zeitpunkte der über den Kläger von der Beklagten verarbeiteten personenbezogenen Daten informiert, unter anderem auf S. 313 („B* ACCOUNT CHANGE HISTORY “), auf S. 315 („B* SUBSCRIBER INFORMATION“) oder aber auch betreffend den von ihm genutzten Dienst „**“ auf S. 356. Weiters wurden dem Kläger die Zugriffsprotokollaktivitäten aus S. 2836 ff. zur Verfügung gestellt. Soweit die Beklagte diese Information verarbeitet, hat sie dem Kläger über Datum und Uhrzeit von einzelnen Verarbeitungsvorgängen bereits Auskunft erteilt. Sohin wurde das Klagebegehren - unabhängig von der Frage, ob der Kläger überhaupt einen Anspruch nach Art. 15 DSGVO auf diese Information hat - in Hinblick auf Punkt 1(ii) (i) ebenso bereits erfüllt.“
7.8.4Prozessvorbringen des Klägers dahingehend, dass bzw warum diese Auskunft unverständlich sein soll, ist nicht aktenkundig. Daraus folgt, dass auch in diesem Zusammenhang auf Basis der Prozessbehauptungen davon auszugehen ist, dass die Beklagte ihrer Auskunftsverpflichtung in ausreichendem Maß nachkam (vgl zur Behauptungslast BVwG W256 2246709-1; Haidinger in Knyrim , Art 15 DSGVO Rz 28/1).
Zusammenfassung und Ergebnis
8. Ein Datenverantwortlicher kann sich bei der Erfüllung seiner Auskunftsverpflichtung zwar eines Online-Tools bedienen. Das vom Kläger an den Firmensitz der Beklagten postalisch gerichtete Auskunftsersuchen war allerdings ungeachtet der Existenz dieses Datenexport-Tools zulässig und wirksam, aber nicht rechtsmissbräuchlich. Die Beklagte war daher gemäß Art 12 DSGVO zu einer Reaktion verpflichtet. Dem Erstgericht ist beizupflichten, dass der Auskunftsanspruch des Klägers auch durch die vom Kläger über das Datenexport-Tool bezogene „Datenkopie“ sowie die im Internet angebotenen Erklärungen und Informationen weitgehend nicht erfüllt wurde. Im Umfang von Spruchpunkt A.II.1 der Berufungsentscheidung waren die Informationen zu allgemein und wiesen keinen ausreichend konkreten Bezug zum Auskunftsbegehren des Klägers auf.
Berechtigt ist die Berufung allerdings hinsichtlich der Informationen nach Art 15 Abs 1 lit b, e und f DSGVO sowie der Information zu den einzelnen Verarbeitungszeitpunkten (Punkte 7.4 und 7.8 der Berufungsentscheidung). Nach den Verfahrensergebnissen ist nämlich davon auszugehen, dass die Beklagte diesbezüglich ihrer Auskunftspflicht nachkam. Das Art 15 Abs 1 lit h DSGVO betreffende Begehren (Profiling) wurde bereits mit dem erstgerichtlichen Urteil rechtskräftig abgewiesen.
Dieser Berufungserfolg führt zu einer teilweisen Abänderung der angefochtenen Entscheidung, wobei dem Spruch zur Vermeidung von Unklarheiten vom Berufungsgericht von Amts wegen eine klarere Fassung gegeben wurde, indem das in Punkt (ii) des Klagebegehrens enthaltene Wort „ insbesondere “ weggelassen wurde. Auch auf die Bezeichnung mit Kleinbuchstaben wurde verzichtet, um keine Verwechslung mit der in Artikel 15 DSGVO vorhandenen Gliederung zu provozieren.
Verfahrensrechtliches
9.Die abändernde Entscheidung erfordert die Neufassung der erstinstanzlichen Kostenentscheidung. Dem Auskunftsanspruch liegt kein Vermögenswert zu Grunde, weswegen er vom Kläger zutreffend auch nicht nach den Bestimmungen der JN bewertet wurde.
Das Verhältnis der erfolgreichen sowie abgewiesenen Teile des Klagebegehrens lässt sich rechnerisch somit nicht bestimmen. Die Obsiegensquoten sind zu schätzen, wobei sich diese Schätzung auch am jeweiligen Aufwand orientiert, der mit den jeweiligen Teilbegehren verbunden war ( Obermaier , Kostenhandbuch 4 Rz 1.133).
9.1 Dabei ist nach Ansicht des Berufungsgerichts eine Obsiegensteilung von 70:30 zu Gunsten des Klägers gerechtfertigt. Demzufolge stehen dem Kläger 70 % der Barauslagen sowie 40 % der von ihm verzeichneten Vertretungskosten zu.
9.2Zu den von der Beklagten gegen das Kostenverzeichnis erhobenen Einwendungen nahm bereits das Erstgericht Stellung. Auf diese - zutreffenden - Ausführungen wird gemäß § 500a ZPO verwiesen. Damit steht für die Äußerung vom 5.11.2024 (ON 18) nur eine Entlohnung nach TP 2, für den Schriftsatz vom 23.1.2025 (ON 25) hingegen keine Honorierung zu.
9.3 Davon ausgehend errechnet sich eine Kostenersatzgesamtverpflichtung der Beklagten von EUR 2.420,83 (Vertretungskosten: berichtigt EUR 4.554,86 * 40 % = EUR 1.821,94 + 20 % USt = EUR 2.186,33; Barauslagen: EUR 335,00 * 70 % = EUR 234,50).
10.Im Berufungsverfahren stützt sich die Kostenentscheidung auf §§ 50, 43 Abs 1 ZPO. Da im Rechtsmittelverfahren weitgehend dieselben Fragen wie im erstinstanzlichen Verfahren thematisiert wurden und die Beklagte nur in Punkten durchdrang, die keinen nennenswerten Verfahrensaufwand hervorriefen, ist auch hier eine Obsiegensquote von 70:30 zu Gunsten des Klägers angemessen.
10.1 Der Beklagten stehen damit 30 % der Barauslagen (EUR 609,00 * 30 % = EUR 182,70), dem Kläger 40 % der tarifmäßig verzeichneten Berufungsbeantwortung (EUR 1.215,56 * 40 % = EUR 486,22 + 20 % USt = EUR 583,46) zu.
10.2 Dies führt zu einem saldierten Anspruch des Klägers von EUR 400,76 .
11.Eine Bewertung nach § 500 Abs 2 ZPO ist nicht vorzunehmen. Nach der Rechtsprechung des zuständigen höchstgerichtlichen Fachsenats handelt es sich beim Auskunftsanspruch nach der DSGVO nämlich um einen Anspruch, der keiner Geldbewertung zugänglich ist (vgl RS0042418 [T9, T12; T17]; zuletzt 6 Ob 121/25z).
12.Die Zulässigkeit der Revision hängt daher nur vom Vorliegen der Voraussetzungen des § 502 Abs 1 ZPO ab. Fragen im Sinne dieser Gesetzesstelle waren aber nicht zu lösen.
Ob das Auskunftsbegehren des Klägers transparent und verständlich beantwortet wurde, hat keine über den Einzelfall hinausgehende Bedeutung. Hinsichtlich der Frage, ob die Beklagte zur Reaktion auf das postalisch gestellte Auskunftsbegehren verpflichtet war, konnte sich das Berufungsgericht (unter anderem) auf den klaren Wortlaut von Art 12 Abs 3 und 4 DSGVO beziehen, der keiner höchstgerichtlichen Auslegung bedarf.
Rückverweise
Keine Verweise gefunden
