Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak, den Hofrat Dr. Mayr, die Hofrätin Mag. Hainz Sator und die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Mag. a Prendinger, über die Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 5. Juli 2022, Zlen. 1. W252 2244540 1/6E und 2. W252 2246154 1/7E, betreffend eine datenschutzrechtliche Angelegenheit (mitbeteiligte Parteien: 1. B F und 2. S F, beide in V, der Zweitmitbeteiligte vertreten durch Mag. H R in W; weitere Partei: Bundesministerin für Justiz), zu Recht erkannt:
Der Revision wird Folge gegeben.
Das angefochtene Erkenntnis wird in seinem Spruchpunkt A.2. dahingehend abgeändert, dass es anstelle dieses Spruchpunktes zu lauten hat wie folgt:
„Die Beschwerde der Zweitbeschwerdeführerin und des Viertbeschwerdeführers wird im Umfang betreffend die Anfechtung des Teilbescheids vom 30. April 2021 abgewiesen und der angefochtene Bescheid mit der Maßgabe bestätigt, dass dieser zu lauten hat wie folgt:
‚Die Datenschutzbeschwerde der Zweitbeschwerdeführerin und des Viertbeschwerdeführers wird im Umfang der Antragsbegehren auf Feststellung, die Neue Mittelschule V habe die Zweitbeschwerdeführerin und den Viertbeschwerdeführer jeweils in deren Recht auf Auskunft gemäß Art. 15 DSGVO verletzt, indem sie deren Auskunftsbegehren vom 2. März 2020 nicht entsprochen habe, abgewiesen.‘“
1 1. Soweit für das gegenständliche Revisionsverfahren von Relevanz, das aufgrund des Anfechtungsantrags der Revisionswerberin (belangte Behörde im verwaltungsgerichtlichen Verfahren) ausschließlich die mit Spruchpunkt A.2 des angefochtenen Erkenntnisses erfolgte Stattgebung der datenschutzrechtlichen Beschwerde der im Revisionsverfahren erstmitbeteiligten Partei (Zweitbeschwerdeführerin im verwaltungsgerichtlichen Verfahren) und der im Revisionsverfahren zweitmitbeteiligten Partei (Viertbeschwerdeführer im verwaltungsgerichtlichen Verfahren) jeweils wegen Verletzung in ihrem Recht auf Auskunft durch die Neue Mittelschule V (im Folgenden: Beschwerdegegnerin) betrifft, stellt sich aufgrund des insofern unstrittigen Inhalts des angefochtenen Erkenntnisses der Verfahrensgang dar wie folgt:
2 1.1. H R richtete mit Schreiben vom 2. März 2020 unter anderem im Namen der volljährigen Erstmitbeteiligten (Mutter des Zweitmitbeteiligten) und des minderjährigen Zweitmitbeteiligten ein Begehren auf Auskunftserteilung im Sinne des Art. 15 DSGVO an die Beschwerdegegnerin. Diesem Schreiben lag weder eine Vollmacht betreffend die Erstmitbeteiligte noch ein Nachweis für die Obsorgeberechtigung betreffend den Zweitmitbeteiligten bei.
3 Mit Schreiben vom 1. April 2020 beantwortete die Beschwerdegegnerin diese beiden Auskunftsersuchen dahingehend, dass mangels Vorliegens einer Vollmacht seitens der Erstmitbeteiligten bzw. eines Nachweises der Obsorgeberechtigung betreffend den Zweitmitbeteiligten keine Auskunft erteilt werden könne.
4 1.2. Mit Eingabe vom 15. Juni 2020 erhob H R im Namen beider Mitbeteiligter eine Datenschutzbeschwerde, mit welcher unter anderem die Feststellung der Verletzung im Recht auf Auskunft im Sinne des Art. 15 DSGVO begehrt wurde. Mit Schreiben vom 23. Dezember 2020 wurde im Rahmen eines von der Revisionswerberin geführten Mängelbehebungsverfahrens im behördlichen Verfahren eine Vollmacht von der Erstmitbeteiligten und ein Obsorgenachweis betreffend den Zweitmitbeteiligten vorgelegt.
5 1.3. Mit (Teil)Bescheid vom 30. April 2021 wies die Revisionswerberin die Datenschutzbeschwerde der Mitbeteiligten im Umfang der beantragten Feststellung der Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO ab.
6 Gegen diesen Bescheid erhoben die Mitbeteiligten Beschwerde an das Verwaltungsgericht.
7 Erst mit Aufforderung zur Stellungnahme der Revisionswerberin vom 30. April 2021 zu weiteren nicht revisionsgegenständlichen Antragsbegehren und nach Erlassung des revisionsgegenständlichen Bescheids wurden die Vollmacht und der Obsorgenachweis von der Revisionswerberin an die Beschwerdegegnerin übermittelt.
8 2. Mit dem revisionsgegenständlichen Spruchpunkt A.2 des angefochtenen Erkenntnisses gab das Verwaltungsgericht der Beschwerde der Mitbeteiligten gegen den Teilbescheid vom 30. April 2021 Folge und sprach aus, dass der angefochtene Bescheid dahingehend abgeändert werde, dass hinsichtlich der Mitbeteiligten jeweils festgestellt werde, dass die Beschwerdegegnerin diese in ihrem Recht auf Auskunft verletzt habe.
9 In seiner Begründung führte das Verwaltungsgericht zusammengefasst aus, Träger des Auskunftsrechts gemäß Art. 15 Abs. 1 DSGVO sei dieser Bestimmung zufolge ausschließlich die betroffene Person, deren personenbezogene Daten verarbeitet würden. Nur diese sei berechtigt, auf Grund ihres Auskunftsbegehrens eine entsprechende Auskunft zu erhalten. Grundsätzlich könne die Geltendmachung des Rechts auch durch einen Bevollmächtigten erfolgen, wobei an den Nachweis des Vorliegens der Bevollmächtigung ein besonders strenger Maßstab anzulegen sei, zumal es sich beim Auskunftsrecht um ein höchstpersönliches Recht handle. Da dem Schreiben vom 2. März 2020 weder eine Vollmacht der Erstmitbeteiligten noch ein Obsorgenachweis hinsichtlich des Zweitmitbeteiligten angeschlossen gewesen sei, habe die Beschwerdegegnerin am 1. April 2020 zu Recht keine Auskunft erteilt. Die von H R im Laufe des behördlichen Verfahrens vorgelegte Vollmacht betreffend die Erstmitbeteiligte stamme vom 1. Dezember 2020 und sei somit erst nach Stellung des Auskunftsbegehrens erteilt worden. Aus der Vollmacht gehe auch nicht hervor, dass diese bereits vor dem 1. Dezember 2020 bestanden hätte.
10 Mangels Vollmacht zum Zeitpunkt der Stellung des Auskunftsbegehrens vom 2. März 2020 sei kein zulässiges Auskunftsbegehren vorgelegen. Der Beschwerdegegnerin sei die nachgereichte Vollmacht erst mit dem Schreiben vom 30. April 2021 übermittelt worden. Aus der von H R eingebrachten Mängelbehebung gehe eindeutig hervor, dass die Erstmitbeteiligte vertreten durch den zwischenzeitig bevollmächtigten H R eine Auskunft nach Art. 15 DSVGO wünsche. Eine solche sei bislang nicht übermittelt worden, weshalb die Erstmitbeteiligte in ihrem Recht auf Auskunft verletzt sei.
11 Den Obsorgenachweis hinsichtlich des Zweitmitbeteiligten habe die Beschwerdegegnerin ebenso erst im Rahmen des Schreibens der Revisionswerberin vom 30. April 2021 erhalten. Die Beschwerdegegnerin habe die aufrechte Obsorge zur Kenntnis genommen. Ursprünglich berechtigte Zweifel an der Obsorge seien dadurch beseitigt worden. Dennoch habe es die Beschwerdegegnerin unterlassen, dem Zweitmitbeteiligten eine Auskunft im Sinne des Art. 15 DSVGO zu erteilen, wodurch sie diesen in seinem Recht auf Auskunft verletzt habe.
12 Da es sich im gegenständlichen Fall um einen Verantwortlichen des öffentlichen Rechts handle, sei die Rechtsverletzung festzustellen. Die Verpflichtung zur Umsetzung bedürfe keiner gesonderten Anordnung.
13 Die Revision erklärte das Verwaltungsgericht für nicht zulässig.
14 3. Gegen das Erkenntnis im Umfang der Stattgebung der Beschwerde der Mitbeteiligten, jeweils betreffend die Verletzung im Recht auf Auskunft, erhob die belangte Behörde vor dem Verwaltungsgericht Revision.
15 Die mitbeteiligten Parteien erstatteten eine Revisionsbeantwortung.
4. Der Verwaltungsgerichtshof hat erwogen:
16 4.1. Die Revision bringt ein Abweichen des Erkenntnisses von der Rechtsprechung vor, weil das Verwaltungsgericht davon ausgehe, dass ein datenschutzrechtlich Verantwortlicher auch im Falle der verspäteten Vorlage einer Vollmacht zur Auskunft verpflichtet sei, obwohl der Auskunftserteilung zum Zeitpunkt des Auskunftsbegehrens begründete Zweifel gemäß Art. 12 Abs. 6 DSGVO entgegenstanden. Die Revision ist auf Grund dieses Vorbringens zulässig und im Ergebnis auch berechtigt.
17 4.2. Die Rechtsgrundlagen
18 4.2.1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung DSGVO), ABl. L 119 vom 4.5.2016, S. 1, lauten wie folgt:
„ Abschnitt 1
Transparenz und Modalitäten
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
Artikel 12
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder insbesondere im Fall von häufiger Wiederholung exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder b) sich weigern, aufgrund des Antrags tätig zu werden. Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.
(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.
(...)
Abschnitt 2
Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten (...)
Auskunftsrecht der betroffenen Person
Artikel 15
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und zumindest in diesen Fällen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
(...).“
19 4.2.2.Die maßgebliche Bestimmung des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG), BGBl. I Nr. 165/1999 in der Fassung BGBl. I Nr. 120/2017, lautet wie folgt:
„3. Abschnitt
Rechtsbehelfe, Haftung und Sanktionen
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(...)
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
(...)“
20 4.3.1. Die betroffene Person hat gemäß Art. 15 Abs. 1 DSGVO ein Recht auf Auskunft von einem Verantwortlichen über die sie betreffende Verarbeitung ihrer personenbezogenen Daten durch diesen.
21 Dieses Recht ist höchstpersönlich und kann nicht auf Dritte übertragen werden. Die Verpflichtung zur Erteilung einer Auskunft im Sinne des Art. 15 DSGVO erfordert demnach, dass dem Verantwortlichen ein der betroffenen Person in rechtlicher Hinsicht zurechenbarer Antrag vorliegt. Dennoch kann die Geltendmachung dieses Rechts durch einen Bevollmächtigten erfolgen, wobei an den Nachweis der Vollmacht ein strenger Maßstab anzulegen ist, zumal der Verantwortliche den Schutzund Geheimhaltungsverpflichtungen, die sich aus der DSGVO und dem DSG ergeben, gerecht werden muss (vgl. Jahnel, DSGVO, Art. 15, Rn. 6, mwN).
22 Auf der Hand liegt, dass im Falle eines Auskunftsbegehrens im Namen eines Minderjährigen ein Nachweis für die Vertretungsberechtigung der jeweils für den Minderjährigen einschreitenden Person vorliegen muss, um die Verpflichtung zur Auskunft durch einen Verantwortlichen zu begründen.
23 4.3.2. Das Verfahren der Auskunftserteilung richtet sich nach Art. 12 Abs. 2 bis 6 DSGVO. Gemäß Art. 12 Abs. 3 DSGVO hat der Verantwortliche dem Antrag einer betroffenen Person unverzüglich, in jedem Fall aber innerhalb eines Monats zu entsprechen. Der Verantwortliche darf sich jedoch weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. In einem solchen Fall hat der Verantwortliche die betroffene Person gemäß Art. 12 Abs. 4 DSGVO davon zu unterrichten, dass er dem Auskunftsersuchen nicht nachkommen werde, und hat diese über die Gründe hierfür zu unterrichten.
24 4.3.3.Das Recht auf Auskunft ist von einem Antrag der betroffenen Person abhängig (vgl. VwGH 6.3.2024, Ro 2021/04/0030, Rn. 31). Eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO setzt demnach einen der (potenziell) betroffenen Person in rechtlicher Hinsicht zurechenbaren Antrag an den jeweiligen datenschutzrechtlich Verantwortlichen voraus, der die Verpflichtung zur Auskunftserteilung wirksam begründet. Daraus folgt, dass erst die Nichterfüllung oder auch unvollständige Erfüllung einer durch einen bestimmten rechtswirksamen Antrag begründeten Auskunftsverpflichtung zum Gegenstand eines datenschutzrechtlichen Beschwerdeverfahrens gemacht werden kann. Der datenschutzrechtliche Beschwerdegegenstand wegen einer Verletzung im Recht auf Auskunft hat sich demzufolge jeweils auf die durch einen bestimmten Antrag begründete Auskunftsverpflichtung und deren Nichterfüllung oder unvollständige Erfüllung zu beziehen. Eine Nachholung des den Beschwerdegegenstand bildenden Auskunftsbegehrens erst im datenschutzrechtlichen Verfahren ist demzufolge nicht möglich, weil es sich bei der Stellung eines rechtswirksamen Auskunftsbegehrens um die tatbestandsmäßige Voraussetzung dafür handelt, dass die (potenziell) betroffene Person überhaupt in ihrem Recht verletzt werden konnte.
25 Durch diese Sichtweise entsteht kein Rechtsschutznachteil, weil jede (potenziell) betroffene Person grundsätzlich jederzeit ein neues Auskunftsersuchen an den Verantwortlichen richten kann.
26 4.4. Fallbezogen ist zunächst festzuhalten, dass ausgehend von den Feststellungen des Verwaltungsgerichts der Beschwerdegegnerin mit dem Schreiben vom 2. März 2020 kein den Mitbeteiligten rechtlich zurechenbares Auskunftsbegehren vorlag, das die Verpflichtung zur Auskunftserteilung begründen konnte. Im Fall der Erstmitbeteiligten fehlte zum Zeitpunkt dieses Schreibens an die Beschwerdegegnerin die Vorlage einer Vollmacht, im Fall des Zweitmitbeteiligten lag kein Nachweis für die Obsorgeberechtigung der für ihn einschreitenden Person vor.
27 Insofern das Verwaltungsgericht ohne nähere Begründung davon ausging, dass die Nachreichung der Vollmacht bzw. der Obsorgeberechtigung des Einschreiters während des Verfahrens vor der Datenschutzbehörde die Auskunftsverpflichtung (im Nachhinein?) begründete, verkennt es, dass nach dem oben Gesagten nicht die „Verletzung der Auskunftspflicht schlechthin“ Gegenstand des datenschutzrechtlichen Verfahrens ist. Vielmehr bildet die Beurteilung der Frage, ob die Beschwerdegegnerin als datenschutzrechtlich Verantwortliche ihre Verpflichtung zur Auskunftserteilung im Sinne des Art. 15 DSGVO aufgrund eines bestimmten Auskunftsbegehrens hier des an sie gerichteten Schreibens vom 2. März 2020 verletzt hat, den Gegenstand des datenschutzrechtlichen Beschwerdeverfahrens. Da dieses Schreiben nach dem oben Gesagten mangels Zurechenbarkeit zu den Mitbeteiligten keine Auskunftsverpflichtung begründete, hat die Beschwerdegegnerin das Recht auf Auskunft gemäß Art. 15 DSGVO auch nicht verletzt.
28Da das Verwaltungsgericht dies verkannt hat, hat es das angefochtene Erkenntnis im angefochtenen Umfang mit Rechtswidrigkeit des Inhalts belastet. Da der für die rechtliche Beurteilung maßgebliche Sachverhalt feststeht, konnte gemäß § 42 Abs. 4 VwGG in der Sache selbst entschieden und der Spruch des angefochtenen Erkenntnisses neu gefasst werden, wobei die Maßgabebestätigung der abweisenden behördlichen Entscheidung die wegen der Bestimmung des Rechtskraftumfangs notwendige Präzisierung der den Verfahrensgegenstand bildenden Rechtsverletzung enthält.
Wien, am 10. Dezember 2024
Rückverweise
