TE Bvwg Erkenntnis 2019/12/9 W214 2221970-1

W214 2221970-1/15E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX gegen Spruchpunkt 3. und 4. des Bescheides der Datenschutzbehörde vom 13.05.2019, Zl. DSB-D123.688/0003-DSB/2018, zu Recht erkannt:

A)

1. Der Beschwerde wird gemäß § 28 Abs. 1 und 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG), insofern stattgegeben, als

-

der Spruchpunkt 1 des angefochtenen Bescheides zu lauten hat:

"1. Der Beschwerde wird Folge gegeben und wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Auskunft verletzt hat, indem die Auskunft vom 6. August 2018 sowie die weitere Auskunft vom 20. November 2018 unvollständig ist."

-

im Spruchpunkt 2 des angefochtenen Bescheides folgende lit. g angefügt wird:

"g) Der Beschwerdegegnerin wird aufgetragen, binnen vier Wochen bei sonstiger Exekution dem Beschwerdeführer Auskunft über den Inhalt der von ihr an die XXXX und die XXXX übermittelten Daten zu erteilen."

-

Spruchpunkt 3 des angefochtenen Bescheids entfällt und die Spruchpunkte 4 und 5 in die Spruchpunkte 3 und 4 umbenannt werden.

2. Im Übrigen wird die Beschwerde als unbegründet abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

ENTSCHEIDUNGSGRÜNDE:

I. Verfahrensgang:

1. Mit Eingabe vom 26.10.2018 behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft. Zusammengefasst habe er mit Antrag vom 19.07.2018 eine Auskunft gemäß Art 15 DSGVO von der XXXX (mitbeteiligte Partei vor dem Bundesverwaltungsgericht) begehrt. Zwar habe er mit Schreiben vom 06.08.2018 eine entsprechende Auskunft von der mitbeteiligten Partei erhalten, diese sei jedoch unvollständig und entspreche nicht den datenschutzrechtlichen Vorgaben. Die Auskunft sei zunächst im Hinblick auf die verarbeiteten Daten unvollständig. So betreibe die mitbeteiligte Partei nach eigenen Angaben eine Identitäts- und Bonitätsdatenbank. Hinsichtlich sonstiger von der mitbeteiligten Partei verarbeiteten Datenkategorien, wie etwa Zahlungsfähigkeit-und -willigkeit, welche in der Auskunft konkret erwähnt seien, würden sich in der Auskunft aber keinerlei Angaben finden.

Darüber hinaus sei die Auskunft über die Zwecke der Verarbeitung unvollständig. Es sei nicht ersichtlich, inwiefern für die genannten Zwecke die Verarbeitung von Daten über frühere Funktionen und Adressen des Beschwerdeführers erforderlich sein solle. So könne etwa aus seiner Wohnadresse, an welcher der Beschwerdeführer seit beinahe 15 Jahren nicht mehr wohne, kaum eine Aussage zur Bonität abgeleitet werden. Hinsichtlich der Rechtsgrundlagen der Verarbeitung sei ebenso keine konkrete Angabe vorhanden und werde lediglich auf die GewO 1994 verwiesen.

Zur Herkunft der Daten verweise die mitbeteiligte Partei auf öffentliche Register sowie sonstige öffentliche Quellen und Adressverlage. Nicht alle von der mitbeteiligten Partei verarbeiteten Daten seien in öffentlichen Registern verfügbar, weshalb offenbar auch Daten aus anderen Quellen verarbeitet werden würden. Diesbezüglich seien in der Auskunft jedoch nur sehr allgemeine Angaben enthalten. So werde etwa auf Unternehmenskunden und 60 Inkasso-Partner verwiesen, konkrete Angaben zu diesen Partnern, die der mitbeteiligten Partei offenbar personenbezogene Daten übermitteln würden, seien in der Auskunft allerdings nicht enthalten.

Ferner verweise die mitbeteiligte Partei auch auf zwei konkrete Übermittlungen von personenbezogenen Daten des Beschwerdeführers. Es seien allerdings keinerlei Angaben vorhanden, welche Daten des Beschwerdeführers an die angeführten Verantwortlichen konkret übermittelt worden seien. Zudem sei auch die Auskunft über die Speicherdauer unvollständig. Die Auskunft im Hinblick auf die automatisierte Entscheidungsfindung sei sehr allgemein gehalten, und zum konkreten Ablauf der automatisierten Entscheidungsfindung mache die mitbeteiligte Partei überhaupt keine Angaben. Auch zu allfälligen Folgen und der Tragweite der automatisierten Entscheidungsfindung seien keine Angaben enthalten.

2. Mit Stellungnahme vom 20.11.2018 brachte die mitbeteiligte Partei zusammengefasst vor, dass über den Beschwerdeführer weder negative Zahlungserfahrungsdaten noch Informationen über die Zahlungswilligkeit oder Zahlungsunfähigkeit gespeichert seien. Vielmehr werde auf Basis der gespeicherten und der beauskunfteten Daten eine Zahlungsausfallswahrscheinlichkeit berechnet, auch wenn im vorliegenden Fall gar keine negativen Zahlungserfahrungsdaten gespeichert seien.

Statistische Erhebungen und Erfahrungswerte hätten ergeben, dass ein direkter Zusammenhang zwischen einem häufigen Wechsel von Wohn- bzw. Zustelladressen innerhalb eines geringen Zeitraums und der Erhöhung der Zahlungsausfallswahrscheinlichkeit vorhanden sei, sodass auch dieser Umstand ein Bonitätskriterium darstelle und zur Berechnung herangezogen werde. Darüber hinaus sei zu der Rechtsgrundlage bereits Bezug genommen worden. So sei darauf verwiesen worden, dass Daten zum Zweck der Ausübung der Gewerbe nach den §§ 151, 152 und 153 GewO 1994 zur Weitergabe an den Empfängerkreis der kreditgebenden Wirtschaft gespeichert seien, darüber hinaus sei auf einen weiterführenden Link

(https://www.crif/konsumenten/informationen-zur-dsgvo) verwiesen worden. Dem Link folgend seien sodann weitere Informationen ersichtlich.

Die Unterrichtung über die Herkunft der Daten sei nach ErwGr 61 DSGVO allgemein zu halten, wenn verschiedene Quellen vorhanden seien, was so auch von der mitbeteiligten Partei geschehe. Zu den bisher beauskunfteten allgemeinen Quellen seien weiters zu nennen:

XXXX sowie öffentliche Daten, welche auf der Seite der WKO einsehbar seien. Ein vom Beschwerdeführer offenbar erhobenes "Recht auf vollständige Auskunft über Übermittlungen" könne keiner Rechtsgrundlage zugeordnet werden. Sollte dabei das Recht nach Art. 15 Abs. 1 lit. c DSGVO gemeint sein, so seien einerseits in der Auskunft bzw. auf der verlinkten Website (in der Auskunft) alle Kategorien von Empfängern allgemein beauskunftet worden sowie auch im speziellen Fall die beiden konkreten Empfänger unter der jeweiligen Nennung des Übermittlungsdatums.

Zur Auskunft über die Speicherdauer sei festzuhalten, dass die mitbeteiligte Partei personenbezogene Daten nur so lange speichere, solange ein legitimer Zweck für Ihre Verarbeitung bestehe - wie es die DSGVO auch vorschreibe. Solange die Daten daher für die Beurteilung der Identität oder Bonität von Belang seien, bestehe der Verarbeitungszweck fort. Bei Wegfall des Zwecks der Verarbeitung würden auch die bezugnehmenden Daten gelöscht werden. Zur automatisierten Entscheidungsfindung sei bereits informiert worden, dass die Entscheidung über das Zustandekommen eines Rechtsgeschäfts bzw. in welcher Form das Rechtsgeschäft zustande komme, ausschließlich das bei der mitbeteiligten Partei abfragende Unternehmen treffe. Da die an die abfragenden Unternehmen übermittelten Informationen lediglich einen Teil des beim Unternehmen stattfindenden Entscheidungsprozesses seien, handle es sich um keine automatisierte Entscheidung im Einzelfall. Sollte die Behörde zu dem Schluss kommen, dass unter der "Logik" das Prinzip zu verstehen sei, auf dem die Berechnung basiere, so sei darauf zu verweisen, dass es sich hierbei um ein Geschäftsgeheimnis handle. Die mitbeteiligte Partei habe aber im Zuge der Auskunft die Logik bereits derart umschrieben, dass der Beschwerdeführer über die in die Bewertung eingehenden Parameter informiert worden sei und erkennen habe können, welche Aspekte für die Berechnungen in Verwendung seien.

3. Der Beschwerdeführer replizierte darauf - nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens - in seiner Stellungnahme vom 17.12.2018 zusammengefasst, dass zur Kenntnis genommen werde, dass keine ihn betreffenden negativen Zahlungserfahrungsdaten gespeichert seien. Allerdings habe die mitbeteiligte Partei überhaupt keine Angaben über die von ihr vorgenommenen Einstufungen der Kreditwürdigkeit des Beschwerdeführers gemacht. Insbesondere sei auch die in der Stellungnahme berechnete Zahlungsausfallswahrscheinlichkeit nicht bekannt gegeben worden. Aus einer parallel eingeholten Auskunft der XXXX (Beilage. /4) ergebe sich, dass die mitbeteiligte Partei gegenüber dieser Gesellschaft einen Scoring-Wert von 473 bekannt gegeben habe. Dieser Wert könne vom Beschwerdeführer nicht interpretiert werden, allerdings lasse sich aus dieser Auskunft ableiten, dass die mitbeteiligte Partei im Hinblick auf den Beschwerdeführer einen Scoring-Wert berechnet habe.

Im Hinblick auf § 152 GewO 1994 sei festzuhalten, dass dieser keine Regelungen zu Zwecken von Datenverarbeitungen vorsehe, sondern einerseits ein Verbot zur Auskunft über private Verhältnisse, die nicht mit der Kreditwürdigkeit in Zusammenhang stünden, und andererseits eine gesetzliche Aufbewahrungspflicht für bestimmte Unterlagen. Hinsichtlich der Rechtsgrundlagen der Verarbeitung werde weiterhin bloß auf die Gewerbeordnung verwiesen, eine konkrete Rechtsgrundlage im Sinne des Art. 6 DSGVO sei nicht abzuleiten. Die Auskunft über die Herkunft der Daten sei weiterhin unvollständig. So habe die XXXX gegenüber dem Beschwerdeführer angegeben, dass keine personenbezogenen Daten über ihn gespeichert seien (Beilage. /5).

Die XXXX habe gegenüber dem Beschwerdeführer eine Auskunft erteilt (Beilage. /6), welche sich aber mit den von der mitbeteiligten Partei verarbeiteten Daten nur teilweise decke.

Aus dem Transparenzgebot sei abzuleiten, dass gerade im Bereich der Bonitätsinformationen auch eine Auskunft über den Inhalt von Übermittlungen erforderlich sein müsse, weil die jeweilig betroffene Person nur so in die Lage versetzt werde, die betreffenden Daten nachzuverfolgen und unter Umständen ihre Rechte auch gegenüber Übermittlungsempfängern geltend zu machen. Bezüglich der automatisierten Entscheidungsfindung sei die mitbeteiligte Partei als Verantwortliche anzusehen und sei eine Auskunft über die involvierte Logik sowie die Tragweite der angestrebten Auswirkungen einer solchen Verarbeitung zu erteilen.

Aufgrund des Verordnungscharakters der DSGVO seien europarechtliche Bedenken im Hinblick auf eine durch den fehlenden Kostenersatzanspruch hervorgerufene Einschränkung der Effektivität des Unionsrechts vorhanden. Diesbezüglich habe die Behörde § 74 Abs. 1 AVG unangewendet zu lassen und sei die mitbeteiligte Partei zum Ersatz der Kosten des gegenständlichen Verfahrens zu verpflichten. Aufgrund der unvollständigen Auskunft der mitbeteiligten Partei werde ein Kostenersatz in der Höhe von EUR 1.821,16 beantragt.

4. Mit dem angefochtenen Bescheid der belangten Behörde vom 13.05.2019 wurde der Beschwerde teilweise Folge gegeben und festgestellt, dass die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Auskunft verletzt habe, indem die Auskunft vom 06.08.2018 sowie die weitere Auskunft vom 20.11.2018 unvollständig sei (Spruchpunkt 1).

Weiters wurde der mitbeteiligten Partei aufgetragen, dem Beschwerdeführer innerhalb einer Frist von vier Wochen bei sonstiger Exekution a) zu beauskunften, ob personenbezogene Daten zum Beschwerdeführer im Hinblick auf dessen Zahlungsausfallwahrscheinlichkeit - wie etwa ein "Auskunftei Ergebnis" mit Wert 473 ("Scoring"-Wert) - gespeichert würden und bejahendenfalls dem Beschwerdeführer darüber eine vollständige Auskunft zu erteilen; b) eine hinreichend klare Auskunft im Hinblick auf die Verarbeitungszwecke zu erteilen, wobei insbesondere darzulegen sei, welche konkreten Daten des Beschwerdeführers zwecks Ausübung welchen Gewerbes verarbeitet würden; c) eine hinreichend klare Auskunft im Hinblick auf die Rechtsgrundlage der Verarbeitung zu erteilen, wobei insbesondere zwischen den einzelnen Gewerben zu differenzieren sei; d) zu überprüfen, ob weitere Informationen im Hinblick auf die Herkunft der Daten des Beschwerdeführers vorhanden seien und bejahendenfalls eine entsprechende Auskunft zu erteilen;

e) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert würden, oder falls dies nicht möglich sei, hinreichend genaue Kriterien für die Festlegung dieser Dauer bekannt zu geben, wobei im Hinblick auf diese Kriterien zwischen den einzelnen Gewerben zu differenzieren sei und f) aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der den Beschwerdeführer betreffenden Bonitätsbewertung zu geben (Spruchpunkt 2).

Weiters wurde die Beschwerde im Hinblick auf eine unvollständige Auskunft über die Empfänger oder Kategorien von Empfängern und über damit im Zusammenhang stehende Übermittlungen abgewiesen (Spruchpunkt 3).

Der Antrag des Beschwerdeführers auf Kostenersatz wurde zurückgewiesen (Spruchpunkt 4).

Schließlich wurde der Antrag des Beschwerdeführers auf Verhängung einer Geldbuße gegen die mitbeteiligte Partei zurückgewiesen (Spruchpunkt 5).

Zu den nunmehr vom Beschwerdeführer im Verfahren vor dem Bundesverwaltungsgericht angefochtenen Spruchpunkten 3 und 4 wurde von der belangten Behörde im Wesentlichen Folgendes begründend ausgeführt:

Nach Art. 15 Abs. 1 lit. c DSGVO habe eine betroffene Person einen Auskunftsanspruch im Hinblick auf die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt würden.

Der EuGH habe bereits festgehalten, dass das Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger als Instrument diene, um die nötigen Nachprüfungen durchzuführen und insbesondere um überprüfen zu können, ob die Empfänger zur Verarbeitung befugt seien (vgl. das Urteil des EuGH vom 7.5.2009, Rijkeboer Rn 49).

Die mitbeteiligte Partei habe im Rahmen ihrer Auskunft vom 06.08.2018 zwei konkrete Empfänger der Auskunft, die Abfragen zur Identität und Bonität des Beschwerdeführers getätigt hätten, genannt ( XXXX und XXXX ). Die Richtigkeit und Vollständigkeit dieser Auskunft werde durch den Umstand indiziert, dass die XXXX - wie vom Beschwerdeführer selbst vorgebracht - personenbezogene Daten des Beschwerdeführers ("Score-Wert") von der mitbeteiligten Partei abgefragt habe. Ausgehend von der genannten Überlegung des EuGH sei es dem Beschwerdeführer somit möglich, seine weiteren Betroffenenrechte zielgerichtet gegenüber diesen konkret genannten Empfängern auszuüben.

Neben dem Auskunftsanspruch über die konkreten Empfänger, den die mitbeteiligte Partei erfüllt habe, sei diese Auskunft zu den weiteren Empfängerkategorien nach Ansicht der belangten Behörde ausreichend (vgl. Bergauer/Jahnel, Teilkommentar Art. 13 Rz 19, wonach Empfängerkategorien abstrakt zu beschreiben sind). Dies insbesondere deshalb, da die mitbeteiligte Partei nicht wissen könne, welche Stellen zukünftig die Identität oder Bonität des Beschwerdeführers betreffende Abfragen tätigen würden, die konkreten Empfänger also noch nicht feststünden.

Zum Antrag auf Kostenersatz wurde angemerkt, dass eine Vorschrift, die zu Kostenersatz im Verfahren vor der belangten Behörde berechtige, im DSG idgF nicht vorgesehen sei. Es gebe daher die allgemeine Kostentragungslast des § 74 Abs. 1 AVG, wonach im Verwaltungsverfahren, unabhängig vom Verfahrensausgang, jeder Beteiligte seine Kosten selbst zu bestreiten habe. Der Zuspruch von Kosten sei daher von Gesetzes wegen ausgeschlossen. Der erhobene Anspruch Kostenersatz sei daher, unabhängig von Grund oder Höhe, spruchgemäß zurückzuweisen gewesen.

5. Gegen die Spruchpunkte 3. und 4. des angefochtenen Bescheides erhob der Beschwerdeführer mit Schriftsatz vom 11.06.2019 eine Beschwerde an das Bundesverwaltungsgericht.

Darin wurde ausgeführt, dass der Beschwerdeführer zwar hinsichtlich der Auskunftserteilung zu Empfängern bzw. Kategorien von Empfängern von Offenlegungen der personenbezogenen Daten des Beschwerdeführers die Einschätzung der belangten Behörde teile, dass zwei konkrete Empfänger beauskunftet worden seien und hinsichtlich zukünftiger Übermittlungen die Angabe konkreter Empfänger nicht möglich sei; soweit die belangte Behörde jedoch ausführe, dass ein Auskunftsanspruch über den konkreten Inhalt von Übermittlungen aus Art. 15 Abs. 1 lit. c. DSGVO nicht ableitbar sei, übersehe sie die anderslautenden Meinungen in der Literatur und vor allem die einschlägige Rechtsprechung des EuGH.

Unstrittig sei, dass die Auskunft der mitbeteiligten Partei auch nach den Ergänzungen in der Stellungnahme vom 20.11.2018 keinerlei Informationen dazu enthalte, welche Daten bzw. Datenkategorien jeweils an die bekannt gegebenen Empfänger übermittelt worden seien. Eine solche Auskunft über die tatsächlich an die Empfänger von Übermittlungen offen gelegten Daten sei aber bereits vor dem Inkrafttreten der DSGVO gemäß Art. 12 lit. a der Datenschutz-Richtlinie (RL 95/46/EG) verpflichtend vorgesehen gewesen (Verweis auf Ehmann/Helfrich, EG Datenschutzrichtlinie Art. 12 Rz 34).

Auch der EuGH habe in der Entscheidung "Rijkeboer", die auch von der belangten Behörde im angefochtenen Bescheid zitiert worden sei, mehrfach ausdrücklich festgehalten, dass neben den Empfängern bzw. Empfängerkategorien auch der Inhalt der übermittelten Daten zu beauskunften sei und das diesbezügliche Auskunftsrecht nicht nur für die Gegenwart, sondern auch für die Vergangenheit gelte (EuGH. 7.5.2009, C-553/17. Rijkeboer).

Im Hinblick auf den diesbezüglich inhaltlich vollständig vergleichbaren Wortlaut der Bestimmung des Art. 12 lit. a Datenschutz-Richtlinie und die Bestimmung des Art. 15 Abs. 1 lit. c DSGVO seien die Überlegungen des EuGH in der genannten Entscheidung auch auf die Bestimmung des Art. 15 Abs. 1 lit. c DSGVO übertragbar. Es sei auch nicht davon auszugehen, dass in Art. 15 DSGVO eine Einschränkung des Umfangs des Auskunftsrechts im Vergleich zum Art. 12 Datenschutz-Richtlinie vorgesehen werden hätte sollen.

Auch in der Literatur werde - soweit eine vertiefte Auseinandersetzung mit dem Umfang der Auskunftsverpflichtung gemäß Art. 15 Abs. 1 lit. c DSGVO überhaupt erfolge - einheitlich vertreten, dass sich die Auskunftsverpflichtung nach dieser Bestimmung (auch) auf den Inhalt der Daten, die an konkrete Empfänger übermittelt wurden, beziehe. In diesem Zusammenhang zitierte der Beschwerdeführer verschiedene Kommentare zur DSGVO.

Zum Kostenersatz führte der Beschwerdeführer zusammengefasst aus, dass die Heranziehung des § 74 AVG für das Beschwerdeverfahren wegen Datenschutzverletzungen nicht, wie vom Gesetzgeber beabsichtigt, den leichteren Zugang zum Recht bewirke, sondern vielmehr dazu führe, dass es die betroffenen Personen nicht wagen würden, gegen die in der Regel finanziell stärkeren und unternehmerisch tätigen Verantwortlichen vorzugehen. Dies führe zu einer Schwächung der Effektivität der Durchsetzung sowohl nationalen Rechts (DSG) als auch insbesondere des Unionsrechts (DSGVO). Vor dem Hintergrund des sich bereits aus Art. 4 EUV ergebenden Effektivitätsgrundsatzes, der auch vom EuGH in ständiger Rechtsprechung vertreten werde, habe in solchen Fällen nationales Recht, welches der Durchsetzung des Unionsrechts im Wege stehe, gegebenenfalls unangewendet zu bleiben, die genannten Konsequenzen des Ausschlusses des Kostenersatzes würden zudem für den Fall, dass die gelegentlich vertretene Ansicht zuträfe, dass Beschwerden im Hinblick auf das Auskunftsrecht gemäß Art. 15 DSGVO unter Beachtung der Bestimmung des § 24 DSGVO nur bei der belangten Behörde und nicht bei den zuständigen Zivilgerichten geltend gemacht werden könnten, sogar noch verschärft. Auch seien die vorstehenden Ausführungen mit der Bestimmung des Art. 57 Abs. 3 DSGVO vereinbar, wonach die Erfüllung der Aufgaben jeder Aufsichtsbehörde für die betroffene Person unentgeltlich sei. Der Beschwerdeführer beantragte, 1. das Bundesverwaltungsgericht möge in der Sache selbst entscheiden und feststellen dass die "Beschwerdegegnerin" (gemeint: die mitbeteiligte Partei) den Beschwerdeführer durch Nichterteilung der Auskunft über den Inhalt von Übermittlungen in seinem Recht auf Auskunft verletzt habe und der "Beschwerdegegnerin" (gemeint: der mitbeteiligten Partei) auftragen, eine vollständige und den gesetzlichen Vorgaben entsprechende Auskunft zu erteilen; 2. das Bundesverwaltungsgericht möge in der Sache selbst entscheiden und die Beschwerdegegnerin (gemeint: die mitbeteiligte Partei) zur Leistung des vom Beschwerdeführer beantragten Kostenersatzes innerhalb von 14 Tagen zu Handen der Vertreterin des Beschwerdeführers verpflichten; 3. in eventu möge das Bundesverwaltungsgericht den angefochtenen Bescheid gemäß § 28 Abs. 3 VwGVG hinsichtlich des Spruchpunktes 3. und 4. mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverweisen.

Weiters wurde die Einholung einer Vorabentscheidung des EuGH in den beiden genannten Rechtsfragen angeregt.

6. Mit Schreiben vom 16.07.2019 wurde von der belangten Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht vorgelegt und eine Stellungnahme abgegeben. Darin wurde ausgeführt, dass ein inhaltlicher Auskunftsanspruch über die konkret verarbeiteten Daten nicht aus Art. 15 Abs. 1 lit. c DSGVO abgeleitet werden könne. Nach Art. 11 Abs. 1 DSGVO sei ein Verantwortlicher nicht gehalten, personenbezogene Daten bloß deshalb zu speichern, um ein möglicherweise in der Zukunft gestelltes Auskunftsbegehren beantworten zu können. Die mitbeteiligte Partei habe zwei konkrete Empfänger sowie den Zweck und Kontext der Übermittlungen genannt, es sei dem Beschwerdeführer daher möglich, seine weiteren Betroffenenrechte gegenüber den beiden Empfängern als Verantwortliche wahrzunehmen, womit der Zweck des Auskunftsrechts erfüllt sei. Auch nach der bisherigen Judikatur zum Auskunftsrecht nach § 26 DSG 2000 seien Übermittlungen jeweils bloß so konkret zu beauskunften, dass der Betroffene seine Berichtigungs- und Löschungsrechte sowohl gegenüber der Quelle der Daten als auch gegenüber Übermittlungsempfängern durchsetzen könne. In diesem Zusammenhang sei zu beachten, dass der mitbeteiligten Partei aufgetragen worden sei, etwaig verarbeitete personenbezogene Daten im Zusammenhang mit der Zahlungsausfallwahrscheinlichkeit zu beauskunften. Im Ergebnis sei daher keine Beschwer gegeben. Bezüglich des Kostenersatzes bestehe keine Rechtsgrundlage, die mitbeteiligte Partei zum Kostenersatz zu verpflichten, zumal die Beschwerdeerhebung kostenfrei sei und in der DSGVO ausdrücklich kein Kostenersatz für die Kosten durch Heranziehung berufsmäßiger Parteienvertreter geregelt sei.

7. Die Stellungnahme der belangten Behörde wurde der mitbeteiligten Partei und dem Beschwerdeführer zur allfälligen Stellungnahme binnen 14 Tagen übermittelt.

Die mitbeteiligte Partei schloss sich in ihrer Stellungnahme den Ausführungen der belangten Behörde vollinhaltlich an und führte ergänzend aus, dass ein Wahlrecht zwischen der Nennung von Empfängerkategorien und den konkreten Empfängern bestehe, in Ermangelung einer Pflicht konkrete Empfänger zu nennen bzw. überhaupt zu speichern, sei ein Verantwortlicher folglich auch nicht verpflichtet, den Inhalt der konkreten Datenübermittlungen an Empfänger gemäß Art. 15 Abs. 1 lit. c DSGVO auszuweisen. Im gegenständlichen Fall habe die mitbeteiligte Partei dem Beschwerdeführer die beiden Empfänger genannt, sodass es dem Beschwerdeführer möglich sei, seine Betroffenenrechte gegenüber diesen Verantwortlichen geltend zu machen, der Transparenzgrundsatz sei damit gewahrt. Selbst wenn sich aus Art. 15 Abs. 1 lit. c DSGVO eine Pflicht ableiten ließe, auch den konkreten Inhalt der Übermittlungen an Empfänger zu beauskunften, würde diese Verpflichtung nur so weit bestehen, als der Verantwortliche die betreffenden Daten auch tatsächlich noch gespeichert habe. Ein Verantwortlicher sei jedoch nicht verpflichtet, personenbezogene Daten bloß deshalb zu speichern, um ein möglicherweise in der Zukunft gestelltes Auskunftsbegehren beantworten zu können. Auch betreffend den Kostenersatz schließe sich die mitbeteiligte Partei den Ausführungen der belangten Behörde an, es bestehe auch kein Normkonflikt mit Unionsrecht.

Der Beschwerdeführer führte in seiner Stellungnahme aus, dass sich aus der EuGH Entscheidung "Rijkeboer" ergebe, dass auf Basis des Art. 12 DSRL auch ein Recht der betroffenen Person bestehe, Auskunft über den Inhalt von Datenübermittlungen zu erhalten. Diese Rechtsprechung sei auch auf Art. 15 DSGVO übertragbar, da die Regelungen inhaltlich vollständig vergleichbar seien. Die Frage, ob die mitbeteiligte Partei zur Speicherung der Daten über die Inhalte von Übermittlungen verpflichtet sei, sei nicht direkt für die gegenständliche Beschwerde relevant. Insofern die belangte Behörde davon ausgehe, dass es auf Basis der bereits erteilten Auskünfte möglich sei, die weiteren Betroffenenrechte wahrzunehmen, sei dem entgegenzuhalten, dass die von der belangten Behörde angesprochenen Berichtigungs- und Löschungsrechte ohne Kenntnis des Inhalts der Datenübermittlung gerade nicht wahrgenommen werden könnten. Der grundsätzliche Ausschluss eines Kostenersatzes im Beschwerdeverfahren vor der belangten Behörde beeinträchtige die Effektivität des Rechtsschutzes und erschwere die Durchsetzung der Betroffenenrechte. Der beantragte Kostenersatz könnte direkt auf Basis europarechtlicher Vorgaben oder durch einen Analogieschluss zu § 78 AußStrG zugesprochen werden, eine Geltendmachung im Zivilrechtsweg sei nach der Rechtsprechung des OGH dem Beschwerdeführer nicht möglich und im Übrigen auch nicht zumutbar.

8. Auf Aufforderung des Bundesverwaltungsgerichtes wurde seitens der mitbeteiligten Partei mit einem Schreiben, das am 27.11.2019 einlangte, bestätigt, dass die an die beiden genannten Empfänger übermittelten Daten noch gespeichert werden. Dazu gab der Beschwerdeführer mit Schreiben vom 03.12.2019 eine Stellungnahme mit rechtlichen Ausführungen ab.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

Der Beschwerdeführer stellte am 19.07.2018 ein Auskunftsbegehren an die mitbeteiligte Partei. Diese erteilte mit Schreiben vom 06.08.2018 und in einer Stellungnahme vom 20.11.2018 Auskünfte an den Beschwerdeführer, die jedoch unvollständig waren.

Die mitbeteiligte Partei hat dem Beschwerdeführer keine Auskunft über die an die beiden beaufkunfteten Empfänger ( XXXX und XXXX ) übermittelten Daten erteilt. Die gegenständlichen übermittelten Daten sind nach wie vor bei der mitbeteiligten Partei gespeichert und werden getrennt von der Identitäts- und Bonitätsdatenbank gesondert zu den jeweiligen Empfängern in einem Kundenarchiv in derselben Form, in der die Daten den Empfängern als Wirtschaftsauskunft elektronisch übermittelt wurden, gespeichert.

Die belangte Behörde hat im angefochtenen Bescheid die Beschwerde bezüglich der nichterfolgten Beauskunftung der konkret übermittelten Daten an die zwei genannten Empfänger abgewiesen und den Antrag des Beschwerdeführers auf Kostenersatz zurückgewiesen.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt und sind unstrittig.

3. Rechtliche Beurteilung:

3.1.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

3.1.2. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung - BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes - AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 - DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.1.3. Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder

(2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Rechtslage:

Art. 4 Z 1 und 2 DSGVO lauten:

"Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1."personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2."Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;"

Art. 5 DSGVO lautet:

"Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a)- auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");

B )-für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken ("Zweckbindung");

c)- dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung");

d)- sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden ("Richtigkeit");

e)- in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden ("Speicherbegrenzung");

f) -in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen ("Integrität und Vertraulichkeit");

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht")."

Art. 15 DSGVO lautet:

"Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen."

Art. 12 DSRL 95/46/EG lautete:

"Artikel 12

Auskunftsrecht

Die Mitgliedstaaten garantieren jeder betroffenen Person das Recht, vom für die Verarbeitung

Verantwortlichen folgendes zu erhalten:

a) frei und ungehindert in angemessenen Abständen ohne unzumutbare Verzögerung oder übermäßige Kosten

- die Bestätigung, dass es Verarbeitungen sie betreffender Daten gibt oder nicht gibt, sowie zumindest Informationen über die Zweckbestimmungen dieser Verarbeitungen, die Kategorien der Daten, die Gegenstand der Verarbeitung sind, und die Empfänger oder Kategorien der Empfänger, an die die Daten übermittelt werden;

[...]"

3.2.2. Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

3.2.2.1. Zur Beauskunftung der übermittelten Daten:

Die belangte Behörde führt zusammengefasst aus, dass die mitbeteiligte Partei dem Auskunftsanspruch nach Art. 15 Abs. 1 lit. c DSGVO gerecht geworden sei, da sie konkrete Empfänger sowie den Zweck und Kontext der Übermittlungen offengelegt habe, sodass es dem Beschwerdeführer nunmehr möglich sei, seine Betroffenenrechte direkt gegenüber den beiden Empfängern als Verantwortliche wahrzunehmen. Ein inhaltlicher Auskunftsanspruch über die konkret verarbeiteten Daten könne nicht aus Art. 15 Abs. 1 lit. c DSGVO abgeleitet werden.

Dieser Ansicht der belangten Behörde ist jedoch aus folgenden Gründen nicht zuzustimmen:

Dazu ist zunächst auszuführen, dass sich aus Art. 15 Abs. 1 DSGVO ergibt, dass die betroffene Person ein Recht auf Auskunft über die verarbeiteten personenbezogenen Daten hat. Weiters hat die betroffene Person (u. a) gemäß lit. c ein Recht auf Information über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Die Ansicht der belangten Behörde, dass diese Bestimmungen gesondert zu lesen sind und dementsprechend die betroffene Person zwar ein Recht auf Auskunft über die verarbeiteten personenbezogenen Daten und die Empfänger bzw. Empfängerkategorien hat, nicht aber auf Auskunft, welche personenbezogenen Daten an die Empfänger übermittelt wurden, wird vom Bundesverwaltungsgericht nicht geteilt. Dies ergibt sich schon aus dem Wortlaut der Bestimmung und der Gesetzessystematik, wonach die betroffene Person "Auskunft über diese (= die übermittelten) personenbezogenen Daten hat und auf folgende Informationen "c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die (= jene des Abs. 1) personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Lit. c ist aufgrund der Unterordnung unter Abs. 1 gemeinsam mit diesem zu lesen und verweist lit. c zudem, wenn von Empfängern die Rede ist, denen die personenbezogenen Daten offengelegt worden sind, auf die personenbezogenen Daten des Abs. 1. Die Bestimmungen des Art. 15 Abs 1 und des Art. 15 Abs. 1 lit. c DSGVO sind daher - entgegen der Ansicht der belangten Behörde - zusammen zu lesen, sodass sich ergibt, dass auch ein Recht auf Auskunft über die konkret an die Empfänger übermittelten Daten besteht.

Wie der Beschwerdeführer zutreffend darlegte, entspricht der Wortlaut des Art. 15 Abs. 1 DSGVO in den hier relevanten Punkten auch dem Wortlaut der früheren Richtlinie 95/46/EG.

Weiters hat - wie ebenfalls vom Beschwerdeführer ausgeführt wurde - der EuGH In der Rechtssache Rijkeboer (EUGH C-553/07 vom 07.05.2009) ausdrücklich festgehalten, dass nach der (damals noch in Geltung stehenden) Richtlinie über den "Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Richtlinie 95/46/EG" ein Recht auf Auskunft über die Empfänger oder Kategorien der Empfänger der Basisdaten sowie auch über den Inhalt der übermittelten Daten besteht (vgl. Rz 50, 53 und 70 der zitierten Entscheidung).

Auch in der Literatur (vgl. Ehmann/Helfrich, EG Datenschutzrichtlinie Art. 12 Rz 34) wird die Ansicht vertreten, dass bei Übermittlung von Daten an Dritte, die Empfänger mit den jeweils an sie übermittelten Daten oder Datenkategorien zu nennen sind. Der Verantwortliche muss vollständig darüber informieren, an wen er welche Daten bereits offengelegt hat oder noch offenzulegen plant (Kühling/Buchner, Art. 15 DS-GVO, Rz 15).

Weshalb die zitierten Literaturmeinungen (sofern sie die Bestimmung des Art 12 lit. a DSRL betreffen) und die zitierte Rechtsprechung des EuGH nicht auf die nunmehr in Geltung stehende Bestimmung des Art. 15 DSGVO übertragbar sein sollten, vermag die belangte Behörde nicht konkret darzulegen (vgl. zur Übertragbarkeit der Rechtsprechung "Rijkeboer" siehe auch Simitis/Hornung/Spiecker, Art 15 Rz 20 Fußnote 46; Gola, DS-GVO Art. 15 Rz 9). Auch ist dem Beschwerdeführer dahingehend zu folgen, dass davon auszugehen ist, dass die DSGVO (die eine Verbesserung der Betroffenenrechte bezweckte) die Rechte der betroffenen Personen gegenüber der früheren Rechtslage nicht einschränken wollte (Souhrada-Kirchmayer in Jahnel, Jahrbuch Datenschutzrecht 2017, 74 (83), Franck in Gola, DS-GVO Art. 15 Rn 9).

Zudem übersieht die belangte Behörde, dass es dem Beschwerdeführer im vorliegenden Fall bei einem Empfänger, nämlich der XXXX , auch nicht möglich war, zu eruieren, welche Daten an diesen übermittelt wurden, da die Daten bei der XXXX nicht mehr vorhanden sind. Somit bleibt dem Beschwerdeführer nur die Möglichkeit, bei der mitbeteiligten Partei Auskunft darüber zu begehren, welche Daten an die XXXX übermittelt wurden. Auch wenn die Daten bei der XXXX nun nicht mehr gespeichert sind, hat der Beschwerdeführer das Recht auf Auskunftserteilung, welche Daten in der Vergangenheit übermittelt wurden, zumal dies nach der Rechtsprechung des EuGH in der zitierten Rechtssache Rijkeboer für die praktische Wirksamkeit der der betroffenen Person eingeräumten Rechte (zB. Geltendmachung von Schadenersatz) erforderlich ist (vgl. Rz 52 und 54 der zitierten Entscheidung).

Wie aus dem Akteninhalt hervorgeht, wurden die gegenständlich relevanten Daten im Jahr 2018 übermittelt, schon deshalb war daher davon auszugehen, dass die mitbeteiligte Partei die Daten noch gespeichert hat. Dies wurde auch von der mitbeteiligten Partei ausdrücklich bestätigt, wobei diese auch auf § 152 Abs. 2 GewO 1994 verwies, wonach Betreiber von Kreditauskunfteien verpflichtet sind, ihre geschäftlichen Schriftwechsel und die Geschäftsbücher durch sieben Jahre aufzubewahren.

Die Frage einer allfälligen (nicht bestehenden) Pflicht zur Speicherung der übermittelten Daten einzig zum Zweck der Auskunftserteilung und auch die Frage, wie lange personenbezogene Daten überhaupt aufzubewahren sind, ist daher im vorliegenden Fall nicht relevant. Ebenso ist die Frage, ob Empfängerkategorien oder Empfänger zu beauskunften sind, im gegenständlichen Fall nicht relevant, da die mitbeteiligte Partei die beiden konkreten Übermittlungsempfänger (zu Recht) beauskunftet hat und sich in diesem Zusammenhang (ausschließlich) die Frage stellt, ob die konkret übermittelten Daten zu beauskunften waren und sind.

Der Vollständigkeit halber wird angemerkt, dass die auf den Beschwerdeführer bezogenen Daten, auch wenn sie gesondert von der Bonitäts- und Identitätsdatenbank gespeichert werden, immer noch personenbezogen sind und - da sie unter den Korrespondenzen mit den jeweiligen Kunden gespeichert sind - im gegebenen Fall auch leicht auffindbar sind. Eine mangelnde Auffindbarkeit der Daten wurde von der mitbeteiligten Partei auch nicht geltend gemacht und wäre ein derartiger Einwand auch nicht erfolgreich (zum Recht auf eine umfassende und inhaltlich rechtmäßige Auskunft, das sich auf alle personenbezogenen verarbeiteten Daten erstreckt, siehe auch VwGH vom 27.05.2009, 2007/05/0052; dafür, dass die DSGVO eine Einschränkung des Auskunftsrechts vornehmen wollte, besteht keinerlei Anhaltspunkt, siehe dazu die Ausführungen oben).

Die mitbeteiligte Partei ist daher zu verpflichten, Auskunft über den Inhalt der von ihr an die im Spruch namentlich genannten Empfänger übermittelten Daten zu erteilen.

3.2.2.3. Zum Kostenersatz:

Gegenständlich handelt es sich um ein Verfahren über die Beschwerde gegen einen Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit im Sinne des Art. 130 Abs. 1 Z 1 B-VG.

Nachdem das VwGVG für Bescheidbeschwerden keinen Kostenersatz vorsieht, sind gemäß § 17 VwGVG subsidiär die entsprechenden Regelungen des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG) anzuwenden.

Gemäß § 74 Abs. 1 AVG hat jeder Beteiligte die ihm im Verwaltungsverfahren erwachsenden Kosten selbst zu bestreiten. Dieser Grundsatz gilt für sämtliche Parteienkosten, also etwa Anwaltskosten, Kosten für Privatgutachten etc. (VwSlg. 16.636 A/2005 mwN). Nach Abs. 2 leg. cit. bestimmen die Verwaltungsvorschriften, inwieweit einem Beteiligten ein Kostenersatzanspruch gegen einen anderen Beteiligten zusteht.

Ein wie vom Beschwerdeführer beantragter Kostenersatz käme daher nur in Betracht, wenn hierfür eine Rechtsgrundlage bestünde und die sachliche Zuständigkeit des erkennenden Gerichts darüber vorliegen würde, über einen solchen Antrag abzusprechen (Art. 18 Abs. 1 B-VG).

Gegenständlich besteht weder im VwGVG, noch im subsidiär anzuwendenden AVG eine Rechtsgrundlage für einen Kostenersatz im Verfahren über eine Bescheidbeschwerde, da § 35 VwGVG einen Kostenersatzanspruch lediglich über Beschwerden wegen Ausübung unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt iSd. Art. 130 Abs. 1 Z 2 B-VG vorsieht.

Mangels materienspezifischer Sonderregelung im DSG oder in der DSGVO ergibt sich auch aus § 74 Abs. 2 AVG kein Kostenersatzanspruch.

Es liegen auch keinerlei Anhaltspunkte für keine planwidrige Lücke im Gesetz vor, die es erlauben würde, diese im Wege der Analogie zu schließen. Im Gegenteil hat sich der Gesetzgeber ausdrücklich für eine grundsätzliche Selbstbestreitung der Kosten im Verwaltungsverfahren entschieden und ist auch nicht davon auszugehen, dass er im DSG einen Kostenersatzanspruch regeln wollte und dies bloß "vergessen" hat.

Weiters ist festzuhalten, dass weder im Verfahren vor der belangten Behörde, noch im Verfahren vor dem Bundesverwaltungsgericht Anwaltspflicht herrscht (§ 17 VwGVG iVm § 10 AVG) und es gerade intendiert war, den Beschwerdeführern ohne (außer den bei Einbringung der Beschwerde erforderlichen Gebühren) weitere Kosten niederschwellig eine Anrufung des Bundesverwaltungsgerichtes möglich zu machen. Eine Heranziehung eines Rechtsanwaltes ist auch deshalb nicht notwendig, da die Beschwerde vor der belangten Behörde oder dem Bundesverwaltungsgericht bei eventuell auftretenden Mängeln in der Ausführung der Beschwerde nicht sofort zurückzuweisen ist, sondern vielmehr ein Verbesserungs- bzw. Mängelbehebungsauftrag zu ergehen hat (§ 17 VwGVG iVm § 13 Abs. 3 AVG), sodass es auch anwaltlich nicht vertretenen Parteien mithilfe der Anleitung durch die Behörde bzw. das Gericht jedenfalls möglich ist, ein solches Verfahren ordnungsgemäß zu führen.

Schließlich ist der mitbeteiligten Partei beizupflichten, dass dem Beschwerdeführer gemäß Art. 79 DSGVO eine Geltendmachung von Datenschutzverletzungen vor einem ordentlichen Gericht möglich (gewesen) wäre (OGH 20.12.2018 Ob 131/18k, 23.05.2019 6 Ob 91/19d). In derartigen streitigen Zivilverfahren besteht zwar ein Kostenanspruch im Falle des Obsiegens, aber gemäß § 27 ZPO auch eine absolute Anwaltsplicht. Dem Kläger erwachsen demnach bei derartigen Verfahren grundsätzlich immer Anwaltskosten, die ihm nur im Fall des Obsiegens zugesprochen werden.

Eine Gleichheitswidrigkeit, sie sie vom Beschwerdeführer geltend gemacht wurde, ist daher nicht ersichtlich.

Die Beschwerde war daher bezüglich des beantragten Kostenersatzes abzuweisen.

Sofern der Beschwerdeführerin überdies eine Vorlage gemäß Art. 267 AEUV beantragte, ist Folgendes festzuhalten: Ein nicht letztinstanzliches Gericht - wie das Bundesverwaltungsgericht (vgl. VfGH 26.02.2018, E 4325/2017) - ist nur zur Vorlage verpflichtet, wenn es die Gültigkeit von Unionsrecht anzweifelt (Kolonovits/Muzak/Stöger, Verwaltungsverfahrensrecht11, Rz 313/1). Solche Zweifel liegen im gegenständlichen Fall jedoch nicht vor.

3.2.3. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall konnte das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Die Heranziehung weiterer Beweismittel waren zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

3.3. Zu Spruchteil B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil die Entscheidung von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Frage, ob nach Art. 15 DSGVO auch Auskunft über den Inhalt der an die Empfänger übermittelten Daten zu erteilen ist, ist keine Rechtsprechung des Verwaltungsgerichtshofes vorzufinden.

3.4. Es war daher spruchgemäß zu entscheiden.