TE Bvwg Erkenntnis 2019/9/3 W214 2217915-1

W214 2217327-1/15E

W214 2217915-1/9E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerden (1.) des XXXX (Erstbeschwerdeführer), vertreten durch RA XXXX , und (2.) des XXXX) (Zweitbeschwerdeführer), vertreten durch XXXX gegen den Bescheid der Datenschutzbehörde vom 15.01.2019, Zl. DSB-D123.008/0008-DSB/2018, zu Recht erkannt:

A)

In Erledigung der Beschwerden wird der angefochtene Bescheid ersatzlos behoben.

Der Antrag des Erstbeschwerdeführers auf Bestätigung eines Verstoßes gegen den Datenschutz wegen der Verletzung in seinem Recht auf Löschung wird mangels Vorliegens eines darüber absprechenden Bescheides zurückgewiesen.

Der Antrag des Erstbeschwerdeführers, dem Zweitbeschwerdeführer aufzutragen, die Generalien des Erstbeschwerdeführers wiederherzustellen, wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. In seiner an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 06.06.2018 brachte der anwaltlich vertretene XXXX ( Erstbeschwerdeführer, im Folgenden: BF1) vor, er habe mit beiliegendem Schreiben vom 17.05.2018 einer weiteren Datenverwendung durch den XXXX (Beschwerdegegner im Verfahren vor der belangten Behörde, nunmehriger Zweitbeschwerdeführer, im Folgenden: BF2) gemäß §§ 27 und 28 DSG widersprochen und eine Löschung seiner Daten beantragt. Davon ausdrücklich ausgenommen seien jedoch der - anhand einer ZMR-Abfrage vom BF2 aktuell zu haltende - Name und die Wohnadresse des BF1 gewesen. Auskünfte über die Bonität des BF1 seien insofern möglich, als sie ausschließlich auf Anfrage über eine (namentlich genannte) andere Kreditauskunftei erfolgten könnten. Der BF2 habe noch am selben Tag "lapidar und geradezu absurd" geantwortet, dass eine Löschung der Daten aufgrund der siebenjährigen Aufbewahrungspflicht gegenüber dem Finanzamt nicht möglich sei. Der BF1 habe am 18.05.2018 sein Begehr bekräftigt - eine Antwort des BF2 oder gar eine Löschungsbestätigung sei bis zum "heutigen Stichtag" nicht erfolgt. Die Auskunft des BF2 sei zweifach unrichtig: zum einen, weil das Begehren gemäß §§ 27 und 28 DSG 2000 kein Wahlrecht einräume, sondern eine Verpflichtung des Auftraggebers mit sich bringe (dazu verwies der BF1 auf Judikatur des OGH); zum anderen, weil sich eine Löschungssperre aus § 132 BAO gar nicht ergeben könne, weil diese Aufbewahrungspflicht im Verhältnis "Finanzamt zu Steuerpflichtigen" bestehe und nicht im Verhältnis des BF2 zum Beschwerdeführer.

Der BF1 stellte folgenden Antrag (um Rechtsschreibfehler bereinigt hier wörtlich wiedergegeben):

"Die Datenschutzbehörde möge mit Bescheid

* diese Rechtsverletzung feststellen

* und dem Beschwerdegegner, den umseits näher bezeichneten XXXX auf Antrag zusätzlich die Reaktion auf das Auskunftsbegehren in jenem Umfang auftragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen."

Der Beschwerde war das Schreiben vom 17.05.2018 angeschlossen, in dem der BF1 gemäß den §§ 27 und 28 DSG 2000 ausdrücklich einer weiteren Verwendung seiner Daten widersprochen hatte. Wie in diesem Schreiben ausgeführt wurde, umfasse dieser Widerspruch insbesondere Auskünfte über Zusammenhänge mit Gläubigerinteressen und seiner Bonität und Auskünfte über die grundsätzliche wirtschaftliche Situation im Rahmen der Kleinkreditevidenz sowie Warnlisten in Bezug auf österreichische Kreditinstitute. Er fordere den BF2 daher nicht nur auf, den gegenständlichen Widerspruch und das Löschungsbegehren zeitnah, maximal aber binnen acht Wochen, schriftlich zu bestätigen, sondern darüber hinaus auch im gleichen Zeitrahmen die tatsächliche Löschung seiner Daten vorzunehmen sowie eine Unterlassungserklärung abzugeben, dass die Daten nicht mehr für die zuvor genannten Auskunftszwecke vollinhaltlich verwendet würden. Außerdem behalte er sich allenfalls entstehende Schadenersatzforderungen gemäß § 33 DSG 2000 vor.

Auch die Antwort des BF2 und die neuerliche Urgenz des BF1 waren der Beschwerde angeschlossen. In der Urgenz des BF1 wird in Abrede gestellt, dass der BF2 eine Rechtsgrundlage habe, die Daten des BF1 führen zu dürfen und eine Aufbewahrungspflicht "gegenüber dem Finanzamt" bestehe.

2. Mit Schreiben vom 07.06.2018 teilte der BF2 dem BF1 mit, dass er der Löschungsaufforderung des BF1 nicht nachkommen könne. Hinsichtlich der Löschung nach § 27 DSG erlaube der BF2 sich, diese als Löschungsbegehren nach Art. 17 DSGVO umzudeuten, er müsse jedoch auch hier auf die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen seiner Mandanten nach Art. 17 Abs. 3 lit. b DSGVO hinweisen.

Der BF2 erkläre sich jedoch bereit, die in der Datenbank des BF2 zur Person des BF1 gespeicherten personenbezogenen Daten zukünftig nicht mehr für Zwecke der Auskunftei zu verwenden und Dritten zum Zwecke der Auskunftei diese Daten nicht mehr zu übermitteln.

3. Mit Mängelbehebungsauftrag vom 26.06.2018 forderte die belangte Behörde den BF1 auf, die Bezeichnung des als verletzt erachteten Rechts und die Gründe, auf das sich die Behauptung der Rechtswidrigkeit stützt, näher auszuführen.

4. Mit Schriftsatz vom 29.06.2018 machte der BF1 - nach Darstellung des bisherigen Verfahrensverlaufes - nunmehr folgende Verletzungen geltend (um Rechtschreibfehler bereinigt hier wörtlich wiedergegeben):

"4.1. Der Beschwerdeführer ist durch die Weigerung der Beschwerdegegnerin in ihrem" [wohl gemeint: seinem, Anm.] "Grundrecht auf Datenschutz gemäß § 1 (3) Nr. 2 DSG verletzt, wonach jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Daten bestimmt ist, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten hat.

4.2. Darüber hinaus macht der Beschwerdeführer eine Verletzung nach Art. 5 (1) lit. d DSGVO geltend, wonach personenbezogene Daten "richtig" sein müssen, d.h. sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden."

Die über den BF1 gespeicherten Daten seien aufgrund ihrer Unvollständigkeit keine ausreichenden und aktuellen Informationen zur Beurteilung der persönlichen Kreditwürdigkeit im Sinne des § 152 GewO mehr - sie seien hoffnungslos veraltet. So etwa würden noch Daten über das Schuldenregulierungsverfahren aufscheinen, das am 03.11.2016 durch die Auszahlung sämtlicher Quoten aus dem rechtskräftig bestätigten Zahlungsplan beendet worden sei. Auch habe der BF1 inzwischen eine Löschung aus der Ediktsdatei erwirkt.

Die Daten seien lediglich dafür geeignet, den BF1 in seinem berechtigten wirtschaftlichen Fortkommen zu behindern und finanziellen Schaden zu verursachen. Die "völlig haltlose" Behauptung des BF2, es ergebe sich eine Aufbewahrungspflicht aus § 132 BAO, stelle lediglich eine Schutzbehauptung dar. Der BF1 wiederholte den in der Beschwerde an die belangte Behörde gestellten Antrag (siehe oben Punkt 1 des Verfahrensganges).

5. Mit einem neuerlichen Mängelbehebungsauftrag von 22.08.2018 forderte die belangte Behörde abermals den BF1 zu einer Präzisierung seiner Beschwerde auf. Diese Präzisierung betraf abermals die Bezeichnung des als verletzt erachteten Rechts, den Sachverhalt, aus dem die Rechtsverletzung abgeleitet werde, und die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stütze.

6. Mit Schreiben vom 06.09.2018 führte der BF1 unter anderem aus, dass er eine Verletzung der Rechte aus Art. 16 sowie 17 DSGVO geltend mache. Weiters wiederholte er sinngemäß seine bisherigen Ausführungen zur Begründung der Geltendmachung dieser Rechte. Schließlich wiederholte er sinngemäß (unter Verweis auf die Artikel 16 und 17 DSGVO und unter versehentlicher Anführung eines falschen Beschwerdegegners) seinen bereits gestellten Antrag.

7. Mit einem neuerlichen Mängelbehebungsauftrag der belangten Behörde von 19.09.2018 wurde der BF1 erneut zur Bezeichnung des als verletzt erachteten Rechts aufgefordert, da eine Berichtigung und Löschung derselben Daten nicht gleichzeitig geltend gemacht werden könnten.

8. Mit Schreiben vom 08.10.2018 nahm der BF1 eine "Berichtigung/Klarstellung" vor und führte aus, dass er eine partielle Löschung seiner unrichtigen Daten gemäß Art. 17 DSGVO begehre - und zwar in dem Ausmaß, dass seine Daten in Form seiner Generalien, und zwar Namen, Geschlecht, Titel, akademischer Grad, Anschrift, Geburtsdatum, Berufs-, Branchen- oder Geschäftsbezeichnungen, sowie Zugehörigkeit der betroffenen Person zu diesem Kunden- und Interessendateisystem erhalten bleiben.

In diesem Zusammenhang verwies der BF1 auf Rechtsprechung des OGH zu § 28 Abs. 2 DSG 2000, wonach auch eine bloße partielle Löschung möglich sei.

9. Mit einem Schreiben, das mit "9.11.2017"datiert ist (gemeint wohl: 2018) gab der BF2 eine Stellungnahme ab und brachte vor, es sei das Schuldenregulierungsverfahren mit Beginn- und Enddatum samt Beendigungsart gespeichert. Diese Informationen seien auch vom BF1 im Rahmen der Selbstauskunft übermittelt worden. Darüber hinausgehende Informationen seien nicht einer Auskunft unterworfen, da dies die Rechte der Klienten des BF2 nach Art. 15 Abs. 4 DSGVO durch Offenbarung von Geschäftsgeheimnissen beeinträchtigen würden.

Die personenbezogenen Daten des BF1 betreffend das Schuldenregulierungsverfahren seien ebenfalls in einem öffentlichen Register (Ediktsdatei) veröffentlicht worden. Diese Daten seien daher einer Geheimhaltung gar nicht zugänglich.

Der BF2 habe in diesem Verfahren mehrere Gläubiger vertreten. Im Rahmen des Insolvenzverfahrens sei von der Gläubigermehrheit ein Zahlungsplan angenommen worden und die Gläubiger seien mit der Zahlung einer Einmal-Quote befriedigt worden. Der von der Restschuldbefreiung erfasste, restliche Teil der im Insolvenzverfahren angemeldeten Insolvenzforderungen stelle nach der aktuellen Judikatur und nach herrschender Lehrmeinung eine Naturalobligation dar, welche auch entsprechend von den Gläubigern verteidigt werden könne. Die Ausübung der aus einer Naturalobligation abgeleiteten gesetzlich gewährten Rechte sei den Klienten des BF2 ohne die personenbezogenen Daten des BF1 gar nicht möglich. Diese Daten aus dem vorhergehenden Schuldenregulierungsverfahren des BF1 seien für die Klienten des BF2 zur Abwehr von Rückforderungsansprüchen unbedingt erforderlich. Die weitere Verwendung der personenbezogenen Daten zu der Person des BF1 sei folglich zur Ausübung und Verteidigung von Rechtsansprüchen, wie in Art. 17 Abs. 3 lit. e DSGVO gefordert, bezüglich der restlichen Insolvenzforderungen nach § 156 IO iVm § 193 Abs. 1 IO iVm OGH 6 Ob 179/14p und OGH ObS 128/17x bzw. analog nach § 214 Abs. 3 IO erforderlich.

Als weitere gesetzliche Grundlage für die Datenverarbeitung führte der BF2 aus, dass im Rahmen der Vertretung der Gläubiger im genannten Schuldenregulierungsverfahren umsatzsteuerpflichtige Leistungen erbracht und verrechnet worden seien. Im Zuge einer ordentlichen Buchführung sei der BF2 daher seinen Auftraggebern gegenüber verpflichtet, die verrechnenden (gemeint offenbar: verrechneten, Anm.) Leistungen im Detail darlegen zu können. Darüber hinaus sei es gegenüber den Finanzbehörden notwendig, die steuerpflichtigen Leistungen so zu verarbeiten, dass jede Einzelleistung glaubhaft abgebildet werden könne. Die weitere Verarbeitung der personenbezogenen Daten zur Person des BF1 sei zur Erfüllung einer rechtlichen Verpflichtung nach Art. 17 Abs. 3 lit. b DSGVO iVm § 132 BAO für den Zeitraum von mindestens sieben Jahren weiterhin erforderlich.

Was die Verwendung der personenbezogenen Daten des BF1 im Rahmen des Auskunfteigewerbes nach § 152 GewO betreffe, sei es noch nie zu einer Weitergabe der personenbezogenen Daten an Dritte gekommen. Der BF2 habe dem BF1 auch bereits mitgeteilt, dass er seine personenbezogenen Daten nicht mehr für Zwecke der Auskunftei verwende und auch nicht an Dritte übermitteln würde. Diese freiwillige Einschränkung beziehe sich auf alle personenbezogenen Daten des BF1 und nicht nur auf die zur Löschung gewünschten Daten. Dazu wurde auf die bereits von BF1 zitierte Entscheidung des OGH (6 Ob 195/08g) verwiesen, in deren letztem Satz (den der BF 1 nicht zitiert habe) ausgeführt werde, dass den Beklagten keine Pflicht treffe, die um den vom Löschungsbegehren betroffenen Datensatz reduzierte Eintragung in seiner Datei zu belassen.

Für die weitere Verarbeitung der Daten sei es unerheblich, ob die Löschung des Schuldenregulierungsverfahrens aus der Ediktsdatei problemlos bewilligt worden sei. Aus der verwehrten Einsicht der Öffentlichkeit in die Ediktsdatei nach § 256 Abs. 3 IO lasse sich keine Löschungsverpflichtung für Parteien des Insolvenzverfahrens ableiten. Generell werde darauf verwiesen, dass der BF2 ein bevorrechteter Gläubigerschutzverband sei und aufgrund seiner besonderen gesetzlich gewährten Position Insolvenzgläubiger mit den gleichen Rechten und Pflichten wie Rechtsanwälte im Insolvenzverfahren vertrete. Die Daten aus dem Schuldenregulierungsverfahren würden in Anlehnung an § 9 RAO vertraulich behandelt werden. Bei analoger Anwendung des § 9 Abs. 3a RAO hätte der BF1 generell nicht die Möglichkeit, sich auf die Art. 12 bis 22 und 34 DSGVO hinsichtlich der Daten aus einem Insolvenzverfahren zu berufen.

Überdies handle sich nicht um "hoffnungslos veraltete" Daten. Dies treffe insbesondere auf jene Verfahren zu, die mit einer Gesamtquote von unter 20 % beendet worden seien. Diese Informationen hätten nach so kurzer Zeit sehr relevante statistische Aussagen über eine zukünftige Ausfallwahrscheinlichkeit von neuen Kreditverhältnissen und seien somit für den Zweck der Datenverwendung im Rahmen der Auskunftei sehr wohl notwendig. In diesem Zusammenhang wurde den Registrierungsbescheid der früheren Datenschutzkommission zur Konsumentenkreditevidenz verwiesen, wodurch in ähnlich gelagerten Fällen die Löschung erst sieben Jahre nach dem schuldenbefreienden Ereignis gefordert worden sei.

10. Dazu gab der BF1 mit Schreiben vom 12.12.2018 eine Stellungnahme ab. Darin bestritt er sämtliche Behauptungen der BF2. Sämtliche Behauptungen seien "In-Sich-Schlüsse" und würden lediglich zur Rechtfertigung des eigenen gesetzestreuen Finanzgebarens dem Finanzamt gegenüber dienen - was für den BF1, der sich gegen die missbräuchliche Verwendung seiner höchstpersönlichen Daten wehre, jedoch niemals von Bedeutung sein könne; das Verhalten des BF2 gehe zu seinen Lasten. Die grundsätzlichen Verpflichtungen des BF2 in Bezug auf die Datennutzung (einer Verwendung der ihm anvertrauten Daten nach "Treu und Glauben") würden somit ad absurdum geführt.

Der BF1 führte nochmals aus, dass er mit seinem Schreiben lediglich die partielle Löschung seiner veralteten und unrichtigen Daten in der Datenbank der BF2 begehre. Die Ausführungen zum Schuldenregulierungsverfahren seien für den datenschutzrechtlichen Anspruch des BF1 auf Löschung veralteter Daten irrelevant. Außerdem sei das Insolvenzverfahren bereits abgeschlossen und jegliche, nicht bis zur Aufhebung der Insolvenz angemeldete Forderung falle letztlich "unter den Tisch".

Der BF2 vermische das Rechtsverhältnis "Beschwerdeführer-Beschwerdegegnerin" mit dem Verhältnis "Beschwerdegegnerin-Finanzamt" und "picke sich die Rosinen heraus", um die Daten des BF1 nicht löschen zu müssen. Der Schutz einer wirtschaftlich profitablen Idee könne und dürfe niemals zu Lasten (gespeicherter) Personen gehen. Das Aufrechterhalten einer Wirtschaftsidee auf Profitgründen gehe dem Datenschutz auf keinen Fall vor, so dass eine "analoge" Anwendung des § 132 BAO schlicht nicht denkbar und völlig abwegig sei.

Der BF2 verstoße gegen den Grundsatz einer verantwortungsvollen Verwendung von Daten nach "Treu und Glauben", wenn er - aus rein für diesem zum Vorteil gereichenden profitablen Gründen - dem Begehren des BF1 nicht im gewünschten Umfang nachkomme.

Es sei auch die Behauptung des BF2, er habe hinsichtlich der Verarbeitung personenbezogener Daten des BF1 Dritten niemals Auskunft erteilt, in keiner Weise nachvollziehbar. Auch habe der BF1 in seinem bisherigen Vorbringen niemals behauptet, dass sich das Löschungsbegehren aus § 256 Abs. 3 IO ableiten lasse. Die Intention des § 256 Abs. 3 IO sei eindeutig: der BF1 solle nach einem erfolgreich abgeschlossenen Insolvenzverfahren in seiner weiteren wirtschaftlichen Entwicklung keinen Schaden nehmen - was aber unweigerlich der Fall wäre, würde der Eintrag in der Ediktsdatei langfristig bestehen bleiben, weil eine (wenngleich erfolgreich abgeschlossene) Insolvenz im Rechtsverkehr (bedauerlicherweise) immer noch als wirtschaftlicher "Makel" betrachtet werde. Dies müsse aber ebenso für den Datenschutz gelten, sodass die zuvor beschriebene, wirtschaftspolitisch motivierte Gesetzgebung nicht umgangen werde, weil sie sonst wirkungslos würde. Auch wenn die Daten erst zwei Jahre alt wären, würden diese mit der Realität nicht mehr im Einklang stehen.

11. Mit dem angefochtenen Bescheid wurde der Beschwerde stattgegeben und es wurde festgestellt, dass der BF2 den BF1 sowohl im Recht auf Geheimhaltung als auch im Recht auf Löschung verletzt habe, indem er dem partiellen Löschungsantrag des BF1 überschießend entsprochen und alle Daten gelöscht habe.

Die belangte Behörde führte zum Beschwerdegegenstand aus, dass das Beschwerdevorbringen auf die Verarbeitungstätigkeit der personenbezogenen Daten des BF1 "im Hinblick auf die Datenbank der BF2, sohin im Rahmen der Auskunftei", abstelle. Eine rechtswidrige Verarbeitung bzw. Speicherung von personenbezogenen Daten des BF1 "außerhalb der Datenbank" des BF2, sohin für rein interne oder steuerliche Zwecke des BF2, sei seitens des BF1 zu keinem Zeitpunkt behauptet worden und sei daher auch nicht Gegenstand des Verfahrens gewesen.

Dabei legte die belangte Behörde ihrer Entscheidung hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung und auf Löschung die Rechtslage "vom 7.6.2018" zugrunde. Begründend führte die belangte Behörde dazu aus, dass die Rechtslage im Zeitpunkt ihrer Entscheidung maßgeblich sei, außer es handle sich um die Beurteilung eines Verhaltens zu einem bestimmten Zeitpunkt.

Beschwerdegegenständlich werde in Bezug auf die behauptete Verletzung im Recht auf Löschung und auf Geheimhaltung auf einen bestimmten Stichtag, nämlich die erfolgte Löschung, abgestellt, weshalb hier die am Tag der Mitteilung der Löschung geltende Rechtslage heranzuziehen sei.

Zum Verfahrensgegenstand wurde von der belangten Behörde Folgendes ausgeführt:

Das Beschwerdevorbringen ziele auf die Verarbeitungstätigkeit der personenbezogenen Daten des BF1 im Hinblick auf die Datenbank des Beschwerdeführers, sohin im Rahmen der Auskunftei, ab. Es stelle sich daher die Frage, ob der Beschwerdeführer dadurch in seinen Rechten auf Geheimhaltung bzw. Löschung verletzt sei, weil der BF2 alle personenbezogenen Daten des BF1 aus seiner "Datenbank betreffend Kreditauskunftei" gelöscht habe.

Eine rechtswidrige Verarbeitung bzw. Speicherung von personenbezogenen Daten des Beschwerdeführers "außerhalb der Datenbank" des BF2, sohin für "rein interne oder steuerliche Zwecke" des BF2 sei vom BF1 zu keinem Zeitpunkt behauptet worden und sei daher auch nicht Gegenstand des Verfahrens.

Es sei festzuhalten, dass die Verarbeitung bonitätsrelevanter Daten durch eine Kreditauskunftei im Sinne des § 152 Gewerbeordnung Deckung in eben dieser Bestimmung finde und die Rechtmäßigkeit der Verarbeitung dieser Daten folglich nicht von der vorherigen Einwilligung eines Betroffenen abhänge. Auch sei davon auszugehen, dass durch die gesetzliche Verankerung dieser Tätigkeit der Gesetzgeber von der grundsätzlichen Zulässigkeit dieser gewerblichen Tätigkeit ausgehe, so dass es zur Verarbeitung dieser Daten eine rechtliche Befugnis geben könne. Da die Ausübung dieser gewerblichen Tätigkeit ohne Sammlung, Aufbewahrung und Weitergabe von entsprechenden Daten nicht sinnvoll vorstellbar sei, müsse auch angenommen werden, dass der Gesetzgeber in bestimmten Fallkategorien ein die betroffenen Interessen überwiegendes berechtigtes Interesse dieser Gewerbetreibenden an einer Verwendung von Daten über "Kreditverhältnisse" als gegeben erachtet habe.

Die rechtliche Verankerung dieses Gewerbes führe jedoch nicht zu einer Schmälerung von Betroffenenrechten.

Gemäß § 1 Abs. 3 Z 2 DSG habe jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten. Gemäß Art. 17 DSGVO habe eine betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass die sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, und der Verantwortliche sei verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der in Art. 17 Abs. 1 DSGVO angeführten Gründe vorliege. Dies sei gemäß Art. 17 Abs. 1 lit. b DSGVO etwa dann der Fall, wenn die personenbezogenen Daten unrechtmäßig verarbeitet würden.

Wie die belangte Behörde in einem anderen Verfahren bereits ausgesprochen habe, stehe es einem Betroffenen bei einem antragsbezogenen Recht auch nach der am 25.05.2018 geltenden Rechtslage frei, als "Minus" auch die Löschung bloß eines Teiles der Daten zu begehren (partielles Löschungsrecht).

In der verfahrensgegenständlichen Sache habe der BF2 dem Löschungsantrag des BF1 insofern zum Teil entsprochen, als diese keine personenbezogenen Daten des BF1 mehr im Rahmen der Auskunftei verwende. Diese Einschränkung der Verarbeitung im Sinne einer Unzugänglichmachung von Daten komme im Ergebnis einer Löschung gleich. Darüber hinaus seien jedoch weitere personenbezogene Daten, die ausdrücklich nicht vom Löschungsbegehren umfasst gewesen seien, gelöscht worden. Eine Begründung, weshalb dem partiellen Löschungsantrag nicht entsprochen worden sei, sei nicht erfolgt.

Auch das Löschen stelle eine Verarbeitung dar. Gemäß Art. 5 Abs. 1 lit. a DSGVO müssten personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbarer Weise verarbeitet werden. Eine Verwendung von Daten "nach Treu und Glauben" liege nur dann vor, wenn der Betroffene über die Umstände des Datengebrauchs und das Bestehen und die Durchsetzbarkeit seiner Rechte nicht irregeführt oder im Unklaren gelassen werde. Art. 5 DSGVO könne als Auffangtatbestand verstanden werden, der vor allem solche Situationen erfasse, in denen die betroffene Person durch eine Verarbeitung ihrer personenbezogenen Daten einen Nachteil erfahre, der dem durch die DSGVO etablierten Gesamtbild des Kräftegewichts zwischen der betroffenen Person und dem Verantwortlichen widerspreche, ohne zwingend gegen ein konkretes gesetzliches Verbot zu verstoßen.

Die Vorgangsweise des BF2, alle Daten zu löschen und damit dem Löschungsantrag überschießend zu entsprechen, entspreche nicht der Verwendung von Daten nach Treu und Glauben im Sinne der DSGVO. Aus dem Amtswissen der belangten Behörde gehe hervor, dass die Löschung des gesamten Datensatzes in der Datenbank von Kreditauskunfteien regelmäßig den Eindruck erweckte, dass die betroffene Person nicht kreditwürdig sei und damit ein falsches Bild vermittelt werden könne. Durch die verfahrensgegenständliche Löschung des gesamten Datensatzes sei die Integrität des Datensatzes nachhaltig beeinträchtigt worden, was eine Verletzung im Recht auf Geheimhaltung nach § 1 DSG nach sich ziehe. Durch die überschießende Löschung sei der Beschwerdeführer daher seinem Recht auf Löschung nach § 1 Abs. 3 Z 2 DSG verletzt worden.

12. Gegen den gegenständlichen Bescheid erhoben sowohl der BF1 als auch der BF2 Beschwerden an das Bundesverwaltungsgericht.

Der BF1 führte in seiner Beschwerde von 12.02.2019 insbesondere aus, dass die belangte Behörde zur unrichtigen Schlussfolgerung gelangt sei, dass die Einschränkung der Verarbeitung im Sinne einer Unzugänglichmachung von Daten im Ergebnis einer Löschung gleichkomme. Der Spruch und die Ausführungen im Bescheid seien schlichtweg falsch, weil der BF2 eine Löschung der Daten des BF1 gar nicht vorgenommen habe. Der BF2 begründe sein rechtswidriges Verhalten mit einer (nicht bestehenden) "Analogie", die auf der einen Seite das "Recht auf Löschung" mit einer "Unzulänglichmachung" von Daten" (gemeint offenbar: Unzugänglichmachung von Daten, Anm.) gleichsetze, um die veralteten Daten über den BF1 prinzipiell nicht löschen zu müssen - und die die belangte Behörde aufgrund der unrichtigen Beurteilung des Sachverhaltes darüber hinaus auch noch zu allem Überfluss rechtsdogmatisch übernehme.

Der BF1 beantragte, das Bundesverwaltungsgericht möge der Beschwerde Folge gegeben und den angefochtenen Bescheid - allenfalls nach Durchführung einer mündlichen Verhandlung - aufheben und dahingehend abändern, "als dass ein Verstoß gegen den Datenschutz bestätigt und dem Beschwerdegegner ergänzend aufgetragen wird, die Generalien des Beschwerdeführers wiederherzustellen, so dass die Rechtsverletzung beseitigt wird."

Der (inzwischen ebenfalls anwaltlich vertretene) BF2 führte in seiner Beschwerde von 13.02.2019 im Wesentlichen aus, dass die belangte Behörde eine unrichtige rechtliche Beurteilung vorgenommen habe. Der Bescheid, auf den die belangte Behörde verwiesen habe, sei noch nicht rechtskräftig; eine höchstgerichtliche Judikatur zu dieser wesentlichen Frage liege bislang nicht vor.

Der Betroffene habe mehrfach und wiederholt seine Zweifel an der rechtmäßigen Datenverarbeitung durch den BF2 geäußert, woraus sich ergebe, dass er kein Vertrauen in die beim BF2 vorgenommene Verarbeitung seiner Daten habe. Es erscheine daher vielmehr im Sinne des Art. 5 DSGVO zu liegen, die Daten des Betroffenen nicht nur partiell, sondern zur Gänze zu löschen.

Das Argument der belangten Behörde, dass sich aus dem Amtswissen ergebe, dass die Löschung des gesamten Datensatzes in der Datenbank des BF2 den Eindruck erwecke, dass die betroffene Person nicht kreditwürdig sei, könne jedenfalls den angefochtenen Bescheid nicht stützen: Zum einen sei der BF2 nicht die einzige Auskunftei, so dass betroffene Verkehrskreise Auskünfte auch bei anderen Auskunfteien erhalten könnten; zum anderen entspreche es gerade dem Grundsatz von Treu und Glauben zwischen dem Betroffenen und dem BF2, dass dann, wenn der Betroffene keinerlei Glauben und kein Vertrauen in eine "getreue" Datenverarbeitung durch den BF2 mehr habe - der BF2 wegen dieses tiefgreifenden Misstrauens des Betroffenen keinerlei Daten des Betroffenen mehr verarbeite. Es sei damit der "Rechtsfrieden" zwischen den Betroffenen und den BF2 dauerhaft gesichert.

Schließlich sei auch keine "verpflichtende Rechtsgrundlage" dafür ersichtlich, dass der BF2 verpflichtet wäre, Daten des Betroffenen, und sei es auch nur dessen Namen und sich aus dem öffentlichen Melderegister ergebende Meldeadressen, zu speichern.

Daher sei der BF1 in keinen gesetzlich geschützten Datenschutzrechten verletzt. Es werde daher beantragt, den angefochtenen Bescheid der belangten Behörde dahingehend abzuändern, dass die Datenschutzbeschwerde des BF1 vom 06.06.2018 zur Gänze abgewiesen werde.

13. Mit Schreiben vom 05.04.2019 legte die belangte Behörde die Beschwerden sowie den Verwaltungsakt dem Bundesverwaltungsgericht vor und gab eine Stellungnahme ab.

In diese Stellungnahme wurde - neben Wiederholungen der bereits im Bescheid enthaltenen Argumente - ausgeführt, dass der BF1 in dem gegenständlichen Verfahren keinen Antrag auf Wiederherstellung des partiellen Datensatzes gestellt habe. Eine Wiederherstellung sei gar nicht möglich, da der BF2 bereits diese Daten gelöscht habe. Die belangte Behörde beantragte, das Bundesverwaltungsgericht möge gemäß § 28 Abs. 2 VwGVG in der Sache selbst entscheiden, da der maßgebliche Sachverhalt feststehe, und die Beschwerden abweisen.

14. Die Beschwerden und die Stellungnahme der belangten Behörde wurden den jeweils anderen Parteien zur Kenntnis gebracht. Dazu gab der BF2 eine Stellungnahme ab, in der er nochmals unter der Anführung von Judikaturzitaten ausführte, warum ihn keine Pflicht zur Speicherung von Name und Adresse des BF1 treffe. Ebenso gebe es auch keine Verpflichtung, Auskunft an Dritte nur über ganz bestimmte Daten des BF1 zu erteilen. Es werde daher beantragt, die Beschwerde des BF1 zur Gänze abzuweisen. Mit Schreiben vom 15.07.2019, eingelangt am 23.08.2019, gab der BF1 eine Stellungnahme zur Beschwerde des BF2 ab.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Der BF2 ist ein Gläubigerschutzverband der Insolvenzgläubiger im Insolvenzverfahren vertritt. Daneben betreibt dieser auch eine Wirtschaftsauskunftei im Sinne des § 152 GewO.

Der BF2 hat personenbezogene Daten des BF1 gespeichert. Neben den Generalien des BF1 sind auch Daten betreffend ein Schuldenregulierungsverfahren des BF1 gespeichert, das am 02.03.2016 beim BG XXXX zur XXXX eröffnet wurde. Das Schuldenregulierungsverfahren wurde mit Beginn- und Enddatum samt der Beendigungsart gespeichert.

In diesem Schuldenregulierungsverfahren hat der BF2 Insolvenzgläubiger vertreten. Am 19.09.2016 wurde der Zahlungsplan des BF1 durch das BG XXXX rechtskräftig bestätigt, das Schuldenregulierungsverfahren aufgehoben und das Ende der Zahlungsfrist mit 10.10.2016 festgelegt. Die Quoten aus dem Zahlungsplan sind den Gläubigern ausgezahlt und das Schuldenregulierungsverfahren am 03.11.2016 beendet worden. Auf Antrag des BF1 wurde das Schuldenregulierungsverfahren mit Beschluss des BG XXXX vom 13.02.2017 aus der Ediktsdatei gelöscht.

2. Am 17.05.2018 übermittelte der anwaltlich vertretene BF1 dem BF2 ein Schreiben mit folgendem Inhalt (um Druckfehler bereinigt hier auszugsweise wörtlich wiedergegeben):

"[...]

Bedauerlicherweise musste mein Mandant feststellen, dass Ihr geschätztes Unternehmen sensible Daten seiner Person verwendet. Diese Daten werden offenkundig in Listen geführt, die von Ihrer Gesellschaft einem unbestimmten Personenkreis sowohl entgeltlich als auch unentgeltlich angeboten werden.

Letztlich sind Ihre gespeicherten Daten als Auskunfteien über Kreditverhältnisse lediglich dafür geeignet, meinem Mandanten in seinem berechtigten wirtschaftlichen Fortkommen zu behindern und finanziellen Schaden zu verursachen.

Das Speichern derartiger Daten und das Führen solcher Listen ist gesetzlich nicht vorgeschrieben.

Mein Mandant widerspricht daher gemäß §§ 27 und 28 ff. DSG 2000 ausdrücklich einer weiteren Verwendung seiner Daten.

Der nunmehr erhobene Widerspruch umfasst insbesondere

* Auskünfte über Zusammenhänge mit Gläubigerinteressen und der Bonität meines Mandanten,

* und Auskünfte über die grundsätzliche wirtschaftliche Situation im Rahmen der Kleinkredit Evidenz

Gleiches gilt für Warnlisten in Bezug auf österreichische Kreditinstitute.

Ausdrücklich ausgenommen von diesem Widerspruch sind für Ihre Gesellschaft nur diejenigen Daten, die den Namen und die Wohnadresse meines Mandanten betreffen - und auch nur dann, sofern von diesen Daten sichergestellt ist, dass durch die Abfrage beim Zentralen Melderegister auch nur tatsächlich die dort gemeldete aktuelle Wohnadresse verwendet und an die kreditgebende Wirtschaft weitergegeben wird.

Auskünfte über die Bonität meines Mandanten sind insofern möglich, als dass sie ausschließlich auf Anfrage über die Kreditreform Wirtschaftsauskunftei XXXX , erfolgen.

Ich fordere Sie daher nicht nur auf, meiner Kanzlei den gegenständlichen Widerspruch und das Löschungsbegehren zeitnah, maximal aber binnen acht Wochen, schriftlich zu bestätigen - sondern darüber hinaus auch auf, im gleichen Zeitrahmen die tatsächliche Löschung seiner Daten vorzunehmen, sowie eine Unterlassungserklärung abzugeben, sodass die Daten nicht mehr für die zuvor benannten Auskunftszwecke vollinhaltlich verwendet werden.

[...]"

Mit Schreiben vom 06.06.2018 brachte der anwaltlich vertretene BF1 eine Beschwerde bei der belangten Behörde ein. Nach mehreren Mängelbehebungsaufträgen präzisierte der BF1 die Beschwerde dahingehend, dass er sich in seinem Recht auf Löschung verletzt erachte.

Mit Schreiben vom 07.06.2018 teilte der BF2 dem BF1 Folgendes mit:

"[...]

Die personenbezogenen Daten zur Person Ihres Mandanten wurden im Zusammenhang mit einer Inkassoforderung und einem Insolvenzverfahren erhoben, in welchem der XXXX die Gläubiger bei der Erfüllung eines Vertrages nach Art. 6 Abs. 1 lit. b DSGVO vertritt. Ebenso wurden uns keine Anhaltspunkte für die besondere Situation ihres Mandanten nach Art. 21 Abs. 1 DSGVO dargelegt.

Wir ersuchen daher um Ihr Verständnis, dass wir ihre Löschungsaufforderung hinsichtlich eines Widerspruches nicht nachkommen können.

Hinsichtlich einer Löschung nach § 27 DSG erlauben wir uns diese als Löschungsbegehren nach Art. 17 DSGVO umzudeuten, müssen jedoch auch hier auf die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen unserer Mandanten nach Art. 17 Abs. 3 lit. e DSGVO hinweisen.

Wir ersuchen daher auch hier um Verständnis, dass wir einer Löschungsaufforderung nach Art. 17 DSGVO nicht nachkommen können.

Dennoch, wie bereits Ihrem Mandanten und Ihnen gegenüber geäußert, erklären wir uns ohne Präjudiz für die Sach- und Rechtslage bereit, die zur Person Ihres Mandanten, in der Datenbank des XXXX gespeicherten personenbezogenen Daten zukünftig nicht mehr zum Zwecke der Auskunftei zu verwenden und Dritten zum Zwecke der Auskunftei diese Daten nicht mehr zu übermitteln.

[...]"

In seiner Stellungnahme vom 09.11.2018 stellte der BF2 diesbezüglich wie folgt klar:

"[...] Dem Beschwerdeführervertreter gegenüber erklärten wir uns bereits im Schreiben vom 7.6.2018 auch bereit ohne Präjudiz die personenbezogenen Daten des Beschwerdeführers nicht mehr zum Zwecke der Auskunftei zu verwenden und auch nicht an Dritte zu übermitteln, was freiwillig zu einer sinngemäßen Einschränkung der Verarbeitung analog zu Art. 18 DSGVO führt. Diese Einschränkung bezieht sich jedoch auf alle personenbezogenen Daten des Beschwerdeführers und nicht nur auf die zur Löschung gewünschten Daten. [...]"

3. Die unter Punkt 1 genannten personenbezogenen Daten des Beschwerdeführers sind nach wie vor beim BF2 gespeichert, werden aber nicht für die Zwecke der Kreditauskunftei verwendet und daher nicht für derartige Zwecke an Dritte übermittelt.

4. Die belangte Behörde hat den Verfahrensgegenstand auf die Verwendung der personenbezogenen Daten für Zwecke der Kreditauskunftei beschränkt.

2. Beweiswürdigung:

Diese Feststellungen ergeben sich aus dem Verwaltungsakt und dem Gerichtsakt (den im Verfahren erstatteten Eingaben und den darin vorgelegten Schreiben). Es bestehen von Seiten des Bundesverwaltungsgerichts keine Bedenken an der grundsätzlichen Richtigkeit dieser Schreiben und ihres Inhaltes.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder

(2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Hebt das Verwaltungsgericht den angefochtenen Bescheid auf, sind gemäß Art. 28 Abs. 5 VwGVG die Behörden verpflichtet, in der betreffenden Rechtssache mit den ihnen zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung des Verwaltungsgerichtes entsprechenden Rechtszustand herzustellen.

3.2. Zur anwendbaren Rechtslage:

Zunächst ist vorauszuschicken, dass die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 2016/119, 1 (im Folgenden: DSGVO) und in weiterer Folge das novellierte Datenschutzgesetz BGBl I 1999/165 idF BGBl I 24/2018 (im Folgenden: DSG) am 25. Mai 2018 anwendbar wurde bzw. in Kraft getreten sind.

Gemäß § 69 Abs. 5 DSG sind Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen.

Der Ansicht der belangten Behörde, wonach zu beurteilende Sachverhalte nach der Rechtslage zu einem bestimmten Stichtag (Datum der angeblichen "faktischen Löschung" aus der Datenbank des BF2) zu beurteilen wäre, kann angesichts dieser eindeutigen Übergangsregelung nicht gefolgt werden (siehe dazu auch § 69 Abs. 4 DSG, wonach selbst zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren nach den Bestimmungen dieses Bundesgesetzes und der DSGVO, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt, fortzuführen sind).

Dies ist im gegenständlichen Fall allerdings insofern irrelevant, als an dem von der belangten Behörde angenommenen "Stichtag" (07.06.2018) bereits die neue Rechtslage nach der DSGVO anwendbar war.

Art. 4 Z 2 DSGVO lautet:

"'Verarbeitung' jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;"

Art. 17 DSGVO lautet:

Artikel 17

Recht auf Löschung ("Recht auf Vergessenwerden")

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a)-Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)-Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c)-Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d)-Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e)-Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f)-Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a)-zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b)-zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c)-aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d)-für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e)-zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

§ 152 GewO lautet:

Auskunfteien über Kreditverhältnisse

§ 152. (1) Gewerbetreibende, die zur Ausübung des Gewerbes der Auskunfteien über Kreditverhältnisse berechtigt sind, sind nicht zur Erteilung von Auskünften über private Verhältnisse, die mit der Kreditwürdigkeit in keinem Zusammenhang stehen, berechtigt.

(2) Die im Abs. 1 genannten Gewerbetreibenden sind verpflichtet, ihren geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren. Die Frist von sieben Jahren läuft vom Schluss des Kalenderjahres, in dem der Schriftwechsel erfolgte oder die letzte Eintragung in das Geschäftsbuch vorgenommen wurde. Im Falle der Endigung der Gewerbeberechtigung sind der Schriftwechsel und die Geschäftsbücher zu vernichten, auch wenn der Zeitraum von sieben Jahren noch nicht verstrichen ist.

3.3. In der Sache selbst ist Folgendes auszuführen:

3.3.1. Wie aus den diversen Schriftwechseln (Beschwerde, Mängelbehebungsaufträgen und Verbesserungen) zwischen dem anwaltlich vertretenen BF1 und der belangten Behörde hervorgeht, präzisierte der BF1 seine Beschwerde dahingehend, dass er sich in seinem Recht auf Löschung verletzt erachte.

Die belangte Behörde stellte daraufhin im Spruch des angefochtenen Bescheids eine Verletzung im Recht auf Löschung (und auch im Recht auf Geheimhaltung) mit der Begründung fest, dass die (als Verarbeitung zu qualifizierende) Löschung des gesamten Datensatzes des Beschwerdeführers durch den BF2 wider Treu und Glauben und damit in datenschutzrechtlicher Hinsicht rechtswidrig erfolgt sei.

Das in § 1 Abs. 1 DSG gesetzlich verankerte Grundrecht auf Datenschutz bewirkt einen Anspruch auf Geheimhaltung personenbezogener Daten und damit einen Schutz von Personen bei der Verarbeitung sie betreffender Daten (siehe dazu auch Art 1 DSGVO sowie die ErlRV zur StF des § 1 DSG 2000 (1613 BlgNR 20. GP 34f)).

Demgegenüber sind die in § 1 Abs 3 DSG gesetzlich normierten (Begleit-)Grundrechte auf Auskunft, Richtigstellung und Löschung (allein) auf die effektive Durchsetzung dieses grundrechtlichen Geheimhaltungsanspruchs gerichtet (siehe dazu Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG (2018) Rn 17 zu § 1 sowie auch die Erwägungsgründe 63 und 65 zur DSGVO).

Während das Recht auf Auskunft nach Art. 15 DSGVO (vormals: § 26 DSG 2000) dem Betroffenen vorab ein Instrument zur Überprüfung der Rechtmäßigkeit der Verarbeitung seiner Daten einräumt, wird der Betroffene durch das Recht auf Löschung nach Art 17 DSGVO und Richtigstellung nach Art 16 DSGVO (vormals in beiden Fällen: § 27 DSG 2000) in die Lage versetzt, eine ihn betreffende unrechtmäßige Datenverarbeitung vom Verantwortlichen beseitigen bzw. richtigstellen oder vervollständigen zu lassen. Die Geltendmachung dieser Begleitgrundrechte setzt - wie aus Art. 15 und 16 DSGVO hervorgeht - in jedem Fall zwingend voraus, dass sich die betroffene Person vor Geltendmachung einer behaupteten Rechtsverletzung bereits an den Verantwortlichen diesbezüglich gewendet hat ("Die betroffene Person hat das Recht, von dem Verantwortlichen ..").

Im vorliegenden Fall hat der BF1 der Verwendung seiner seine Kreditwürdigkeit beurteilenden Daten durch die (auch) eine Kreditauskunftei gemäß § 152 GewO betreibende BF2 gemäß § 28 DSG 2000 (nunmehr: Art 21 Abs. 1 DSGVO) widersprochen und dementsprechend (auch unter Berufung auf § 27 DSG) die Löschung dieser Daten vom BF2 gemäß dieser Bestimmung (nunmehr: Art 17 Abs. 1 lit. c DSGVO) begehrt. Gegenüber der belangten Behörde hat er ausschließlich sein Recht auf Löschung geltend gemacht.

Wie aus den diversen Stellungnahmen des BF2 hervorgeht, hat eine Löschung der personenbezogenen Daten des BF1 gar nicht stattgefunden. Vielmehr erklärte sich der BF2 in seinem Schreiben vom 07.06.2018 bereit, die zur Person des BF1 in seiner Datenbank gespeicherten Daten nicht mehr für Zwecke der Kreditauskunftei zu verwenden.

Die Tatsache, dass die personenbezogenen Daten des BF1 nicht für Zwecke der Kreditauskunftei an Dritte übermittelt werden, ist nicht - wie die belangte Behörde fälschlich annimmt - einer Löschung von Daten gleichzusetzen, sondern stellt (wie dies der BF2 auch zutreffend ausführte) de facto eine Einschränkung der Verarbeitung der Daten dar. Es ergibt sich bereits aus der Aufzählung der verschiedenen Verarbeitungsschritte in der Definition des Art. 4 Z 2 DSGVO, dass nicht nur eine Übermittlung eine andere Art der Datenverarbeitung darstellt als eine Löschung, sondern dass auch das Absehen von einer Datenübermittlung bzw. -verwendung nicht einer Löschung gleichgesetzt werden kann.

Aus den Eingaben des BF1 ist überdies ersichtlich, dass er eine Löschung sämtlicher beim BF2 verarbeiteten Daten über sein Schuldenregulierungsverfahren anstrebt.

Der BF2 hat nie auf eine gesonderte "Auskunftei-Datenbank" Bezug genommen, sondern etwa im Schreiben vom 07.06.2018 ausgeführt, dass er sich bereit erkläre, die in der Datenbank des BF2 zur Person des BF1 gespeicherten personenbezogenen Daten zukünftig nicht mehr für zum Zwecke der Auskunftei zu verwenden und Dritten zum Zwecke der Auskunftei diese Daten nicht mehr zu übermitteln.

Die belangte Behörde hat - indem sie eine gesonderte "Kreditauskunftei-Datenbank" konstruierte und versuchte, diese künstlich von den für sonstige Zwecke gespeicherten Daten des BF1 zu trennen und somit fälschlich davon ausgeht, dass eine "faktische" Löschung der Daten stattgefunden hat - bereits den Sachverhalt verkannt und überdies eine unzutreffende rechtliche Würdigung durchgeführt.

Wie auch in der wissenschaftlichen Literatur ausgeführt wird, können die Daten nur dann als vernichtet, gelöscht oder de-identifiziert betrachtet werden, wenn der Verantwortliche sichergestellt hat, dass auch keine Datenverarbeitungen oder andere Kopien der betreffenden Datenbestände in seinem Verantwortungsbereich mehr existieren (Ehmann/Selmayr, Datenschutz-Grundverordnung (2018), Kommentar zu Art. 4, Rz 24 letzter Satz)

Soweit im gegenständlichen Fall die (nicht gelöschten) Daten des BF1 vom BF2 nicht (mehr) für Zwecke der Kreditauskunftei verwendet werden, kann daher nicht davon ausgegangen werden, dass im gegenständlichen Fall das Recht auf Löschung verletzt wurde, indem diese Löschung überschießend erfolgte.

Der durch einen Rechtsanwalt vertretene BF1 hat in seiner Beschwerde an die belangte Behörde nach drei Mängelbehebungsaufträgen, die sich jeweils (auch) auf die Bezeichnung des als verletzt erachteten Rechts bezogen, letztendlich (nur) eine Verletzung des Rechtes auf Löschung geltend gemacht.

Der Vollständigkeit halber wird darauf hingewiesen, dass aus dem sowohl vom BF1 als auch vom BF2 zitierten Urteil des OGH Zl. 6 Ob 195/08g, (das sich zwar noch auf den mittlerweile vom VfGH aufgehobenen § 28 Abs. 2 DSG 2000 bezog, aber dessen Ausführungen bezüglich einer möglichen partiellen Löschung, aber auch bezüglich einer fehlenden Verpflichtung einer Kreditauskunftei zur Speicherung von Daten auf den gegenständlichen Fall übertragbar scheinen) hervorgeht, dass zwar eine partielle Löschung geltend gemacht werden kann; dass andererseits eine Kreditauskunftei aber nicht verpflichtet ist, überhaupt personenbezogene Daten über andere zu speichern. Daher kann sie auch nicht verpflichtet sein, Daten, die sie noch für andere Zwecke benötigt, für Auskunfteizwecke zu verwenden.

Diese Überlegungen kommen im gegenständlichen Fall jedoch gar nicht zum Tragen, da die belangte Behörde inhaltlich nicht über die vom BF1 behauptete Verletzung des Rechts auf Löschung, sondern (ohne dass diese Rechtsverletzung in der Beschwerde releviert wurde) über eine Verwendungseinschränkung abgesprochen hat.

Überdies wurde - entgegen dem Spruch des angefochtenen Bescheides - auch eine Verletzung des Rechtes auf Geheimhaltung (§ 1 Abs. 1 DSG) vom BF1 nicht geltend gemacht.

Der angefochtene Bescheid war aus den genannten Gründen daher ersatzlos zu beheben.

3.3.2. Wie bereits erwähnt, hat der BF1 die Löschung der beim BF2 gespeicherten Daten verlangt. Die belangte Behörde hat jedoch unzulässigerweise die Frage der Löschung der Daten, die (wenn auch nicht für Auskunfteizwecke, sondern für andere Zwecke) gespeichert werden, komplett von ihrem Verfahrensgegenstand ausgenommen und hat diesen lediglich auf die Verwendung der Daten für Kreditauskunfteizwecke beschränkt. Bezüglich eines Abspruchs über das Recht auf Löschung des BF1 ist das Verfahren daher noch offen. Die belangte Behörde hat es bisher unterlassen, über den Antrag des BF1 auf Löschung seiner personenbezogenen Daten bescheidmäßig abzusprechen und wird diesen Bescheid daher nachzuholen haben.

Daher war der Antrag des BF1 auf Feststellung eines Verstoßes gegen den Datenschutz wegen Verletzung seines Rechts auf Löschung mangels Vorliegens eines diesbezüglichen Bescheides zurückzuweisen.

Soweit der BF1 in seiner Beschwerde an das Bundesverwaltungsgericht beantragte, dem BF2 die Wiederherstellung seiner Generalien aufzutragen, so war dieser Antrag schon deshalb abzuweisen, weil die personenbezogenen Daten des BF1 beim BF2 gar nicht gelöscht wurden und einem Auftrag auf "Wiederherstellung" faktisch nicht Rechnung getragen werden könnte. Ein derartiger Antrag war an den BF2 und auch im Verfahren vor der belangten Behörde auch gar nicht gestellt worden. Davon abgesehen könnte aus dem Recht auf Löschung eine Verpflichtung zur "Wiederherstellung von Daten" gar nicht hergeleitet werden.

3.4. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffent