TE Bvwg Erkenntnis 2021/7/13 W214 2219238-1

W214 2219238-1/35E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnen Mag. Viktoria HAIDINGER, LLM., und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde des XXXX , vertreten durch RA Dr. XXXX , gegen den Bescheid der Datenschutzbehörde vom 05.04.2019, Zl. DSB-D123.142/0004-DSB/2019, nach Durchführung einer mündlichen Verhandlung

A)

A1) beschlossen:

Der Antrag auf Unterbrechung des Verfahrens bis zu jenem Zeitpunkt, an dem rechtskräftig das Urteil über den Verstoß gegen § 132 Abs. 1 BAO durch die mitbeteiligte Partei ergangen ist, wird zurückgewiesen.

A2) zu Recht erkannt:

Im Übrigen wird die Beschwerde abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Der Beschwerdeführer stellte am 25.05.2018 einen Antrag auf Auskunft gemäß Art. 15 DSGVO an die XXXX (mitbeteiligte Partei, Beschwerdegegnerin vor der belangten Behörde) und ersuchte um Auskunft seiner personenbezogenen Daten sowie um eine Kopie der gespeicherten personenbezogenen Daten.

2. Mit Antwortschreiben vom 14.06.2018 teilte die mitbeteiligte Partei dem Beschwerdeführer konkret über ihn verarbeitete Daten zum Personenstamm, Adressen, Telefonnummern und E-Mail und Zusatzdatum zur Person: XXXX mit.

Weiters wurden dem Beschwerdeführer die Verarbeitungszwecke, die geplante Speicherdauer und mögliche Empfängerkreise für die Datenanwendungen XXXX CRM, XXXX Verkauf, XXXX FIBU sowie für „E-Mail im Mailclient“ genannt und ihm mitgeteilt, dass die Daten nicht an Drittländer übermittelt würden.

Der Beschwerdeführer wurde darüber informiert, dass ihm grundsätzlich die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf und Widerspruch sowie ein Beschwerderecht bei der Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) zustünden

Eine automatisierte Entscheidungsfindung (Profiling) bestehe nicht.

3. Am 04.07.2018 brachte der Beschwerdeführer eine Beschwerde bei der belangten Behörde wegen behaupteter unvollständiger Auskunftserteilung ein. Darin führte er unter anderem aus, dass in der ihm erteilten Auskunft weder darauf hingewiesen worden sei, dass Daten an die XXXX übermittelt worden wären, noch habe die Auskunft sämtliche Dokumente enthalten, die bei der mitbeteiligten Partei zu seiner Person verarbeitet würden. Der Beschwerde angeschlossen wurden zwei E-Mails des Beschwerdeführers an seine rechtliche Vertretung, in welchen der Beschwerdeführer auf die behauptete Unvollständigkeit der Auskunftserteilung Bezug nimmt.

4. Mit Mängelbehebungsauftrag vom 30.07.2018 forderte die belangte Behörde den Beschwerdeführer binnen Frist von zwei Wochen auf, zu begehren, die behauptete Rechtsverletzung festzustellen sowie, den zugrundeliegenden Antrag gemäß Art. 15 DSGVO sowie eine allfällige Antwort der mitbeteiligten Partei vorzulegen.

5. Der Beschwerdeführer kam dem Verbesserungsauftrag der belangten Behörde mit E-Mail vom 02.08.2018 fristgerecht nach, woraufhin die belangte Behörde die Beschwerde der mitbeteiligten Partei übermittelte und sie zur Stellungnahme aufforderte. Weiters wies die belangte Behörde die mitbeteiligte Partei daraufhin, dass sie gemäß § 24 Abs. 6 DSG bis zum Abschluss des Verfahrens vor der belangten Behörde die behauptete Rechtsverletzung nachträglich beseitigen könne, indem sie den Anträgen des Beschwerdeführers gemäß Art. 15 DSGVO entspreche.

6. Mit Schreiben vom 23.08.2018 erteilte die mitbeteiligte Partei dem Beschwerdeführer durch ihre Rechtsvertretung eine ergänzende Auskunft, welche in Kopie auch an die belangte Behörde übermittelt wurde. Darin wurde dem Beschwerdeführer mitgeteilt, dass die Datenschutzerklärung auf der Website der mitbeteiligten Partei sich nur auf die Verwendung personenbezogener Daten, insoweit diese mit der Nutzung der Website überhaupt anfallen würden, beziehe. Die mitbeteiligte Partei betreibe keinen Webshop, eine Verarbeitung der Daten des Beschwerdeführers in einem Webshop sei nicht erfolgt. Weiters wurden dem Beschwerdeführer vier konkrete Empfänger (darunter auch die XXXX ) seiner personenbezogenen Daten (Stammdaten, Rechnungsbeträge) samt Datum und Grund der Weitergabe genannt. Eine Weitergabe von Gesundheitsdaten an Dritte sei nicht erfolgt. Eine Verarbeitung der personenbezogenen Daten zu Zwecken der Produktinformation erfolge ebenfalls nicht. Weiters wurden dem Beschwerdeführer Kopien von bei der mitbeteiligten Partei gespeicherten Dokumente, welche personenbezogene Daten von ihm enthalten würden, als ZIP-Datei übermittelt, wobei es sich nach Aussage der mitbeteiligten Partei um alles bei ihr verarbeiteten Dokumente handle, die personenbezogene Daten des Beschwerdeführers enthielten.

7. Die belangte Behörde teilte dem Beschwerdeführer mit Schreiben vom 06.02.2019 mit, dass durch die Reaktion der mitbeteiligten Partei die Beschwerde als gegenstandlos erachtet werde. Sollte der Beschwerdeführer nicht binnen Frist von zwei Wochen begründen, weshalb die behauptete Rechtsverletzung im Recht auf Auskunft zumindest teilweise als nach wie vor nicht beseitigt erachtet werde, werde die belangte Behörde das Verfahren formlos einstellen.

8. Mit E-Mail vom 11.02.2019 führte der Beschwerdeführer aus, dass (näher bezeichnete) Dokumente, die seine personenbezogenen Daten enthalten würden, unvollständig übermittelt worden seien, zudem sei ihm lediglich eine Kopie von 53 Dateien ohne weitere Erläuterungen zugesandt worden. Weiters seien Gesundheitsdaten ohne seine explizite Einwilligung gespeichert worden, diese seien zu löschen. Zudem fehle auch ein Datenschutzbeauftragter bei der mitbeteiligten Partei.

9. Über Aufforderung der belangten Behörde vom 14.02.2019 übermittelte die mitbeteiligte Partei durch ihre Rechtsvertretung am 04.03.2019 dem Beschwerdeführer abermals eine Stellungnahme, welche auch in Kopie an die belangte Behörde übermittelt wurde, und führte aus, dass keine der vom Beschwerdeführer angeführten Dateien oder Dokumente sich im Datenbestand der mitbeteiligten Partei befinden würden, sodass diesbezüglich eine Leermeldung erfolge. Im Zuge der Verschmelzung der XXXX und der XXXX seien nicht alle Dokumente in den neuen Datenbestand der mitbeteiligten Partei überführt worden. Die bereits übermittelten Daten seien in einem gängigen Dateiformat vollständig übermittelt worden, eine Ausführung zu den einzelnen Dateien im Hinblick auf deren Verwendungszweck sei nicht vorgesehen und decke sich dieser mit den bereits übermittelten Verarbeitungszwecken vollständig. Die gesundheitsbezogenen Daten seien nach alter Rechtslage erhoben und rechtskonform verarbeitet worden, über Wunsch des Beschwerdeführers seien die gesundheitsbezogenen Daten aber gelöscht worden und erfolge diesbezüglich keine Verarbeitungstätigkeit mehr.

Der Stellungnahme angeschlossen wurde (anwaltliche) Korrespondenz zwischen der Rechtsvertretung der mitbeteiligten Partei und jener des Beschwerdeführers bzw. dem Beschwerdeführer selbst, die eine Schadenersatzforderung des Beschwerdeführers in Bezug auf eine Braillezeile betrifft, zum Beweis der offenkundigen Unbegründetheit der Anträge des Beschwerdeführers.

10. Mit E-Mail vom 06.03.2019 erstattete der Beschwerdeführer ein Vorbringen dahingehend, dass die mitbeteiligte Partei am 23.11.2017 die XXXX mit dem Inkasso der offenen Rechnung vom 28.03.2017 beauftragt habe. Zu diesem Zeitpunkt sei die Verschmelzung bereits abgeschlossen gewesen. Weiters ersuchte der Beschwerdeführer die belangte Behörde ihm mitzuteilen, inwieweit eine weitere Stellungnahme erwünscht sei.

11. Die belangte Behörde teilte dem Beschwerdeführer mit Schreiben vom 12.03.2019 mit, dass durch die Reaktion der mitbeteiligten Partei die Beschwerde als gegenstandlos erachtet werde. Sollte der Beschwerdeführer nicht binnen Frist von zwei Wochen begründen, weshalb die behauptete Rechtsverletzung im Recht auf Auskunft zumindest teilweise als nach wie vor nicht beseitigt erachtet werde, werde die belangte Behörde das Verfahren formlos einstellen.

12. Mit E-Mail vom 22.03.2019 verwies der Beschwerdeführer auf seine Stellungnahme vom 06.03.2019 und fügte diese als Anhang bei.

13. Mit nunmehr angefochtenem Bescheid vom 05.04.2019 wurde die Beschwerde des Beschwerdeführers abgewiesen. Begründend führte die belangte Behörde (nach Wiederholung des Vorbringens der Parteien und des Verfahrensganges) aus, dass die mitbeteiligte Partei mit ihren Schreiben vom 14.06.2018 sowie vom 23.08.2018 dem Beschwerdeführer sämtliche bei ihr zur Person des Beschwerdeführers verarbeiteten Daten beauskunftet und dem Beschwerdeführer entsprechende Kopien übermittelt habe. Soweit der Beschwerdeführer darauf hinweise, dass die Auskunft hinsichtlich der XXXX nach wie vor unvollständig sei, sei ihm entgegenzuhalten, dass ihm seitens der mitbeteiligten Partei bereits im Schreiben vom 23.08.2018 hierzu Auskunft erteilt worden sei. Soweit der Beschwerdeführer überdies ausführe, dass bestimmte Dateien bzw. Dokumente von der mitbeteiligten Partei nach wie vor nicht beauskunftet seien, habe die mitbeteiligte Partei in ihrer Stellungnahme vom 04.03.2019 glaubwürdig vorgebacht, dass sich die angeführten Dateien bzw. Dokumente nicht in ihrem Datenbestand befinden würden. Gründe, die für eine nach wie vor unvollständige Auskunft sprechen würden, seien nicht ersichtlich bzw. seien vom Beschwerdeführer auch nicht vorgebracht worden. Die mitbeteiligte Partei sei damit ihren in Art. 15 DSGVO niedergelegten Verpflichtungen zur Auskunftserteilung vollumfänglich nachgekommen, weshalb die Beschwerde gemäß § 24 Abs. 5 DSG abzuweisen gewesen sei.

14. Gegen diesen Bescheid erhob der Beschwerdeführer durch seine Rechtsvertretung fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin wurde ausgeführt, dass das Verfahren mangelhaft geblieben sei, weil die belangte Behörde es unterlassen habe, den relevanten Sachverhalt amtswegig zu ermitteln. Die belangte Behörde hätte eine mündliche Verhandlung durchführen müssen, erst mit der Einvernahme der Parteien und Ermittlungen dahingehend, ob tatsächlich noch weitere Daten von der Beschwerdeführerin [gemeint: mitbeteiligten Partei] verarbeitet und nicht bekanntgegeben worden seien, hätte der Sachverhalt endgültig geklärt werden können. Darüber hinaus hätte die belangte Behörde feststellen können, dass die mitbeteiligte Partei der Aufbewahrungsverpflichtung nach § 132 Abs. 1 BAO nachkommen müsse, die Rechnung vom 28.03.2017 noch im Bestand der Beschwerdeführerin [gemeint: mitbeteiligten Partei] sei und dieser daher gegen die Auskunftspflicht iSd Art. 15 DSGVO verstoßen habe. Die mitbeteiligte Partei sammle und verarbeite eigenmächtig ohne Einwilligung Daten des Beschwerdeführers, der Beschwerdeführer habe zu keiner Zeit bekanntgegeben, dass er blind sei. Es liege daher nahe, dass die mitbeteiligte Partei weitere Daten verarbeite, die sie in der Auskunft dem Beschwerdeführer verschwiegen habe. Die Tatsache, dass die mitbeteiligte Partei vorbringe, dass eine Rechnung nicht mehr in ihrem Datenbestand sei, sie aber trotzdem Daten aus dieser Rechnung verwalte, lasse an deren Glaubwürdigkeit zweifeln. Es liege daher nahe, dass die Rechnung noch vorhanden sei.

15. Mit Schreiben vom 22.05.2019 wurde von der belangten Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vorgelegt.

16. Nach Zuweisung der gegenständlichen Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 am 17.07.2020 übermittelte das Bundesverwaltungsgericht am 18.08.2020 die Bescheidbeschwerde des Beschwerdeführers der mitbeteiligten Partei zur Kenntnis und gab ihr Gelegenheit zur Abgabe einer Stellungnahme.

17. Die mitbeteiligte Partei erstattete am 27.08.2020 eine Stellungnahme und führte aus, dass der Bescheid nicht rechtswidrig sei, das Verfahren sei von der belangten Behörde korrekt abgewickelt worden. Für die Behauptungen des Beschwerdeführers, dass es Daten bei der mitbeteiligten Partei geben müsse, die diesem nicht vorgelegt worden seien, gebe es keinerlei Anhaltspunkte, die mitbeteiligte Partei habe überhaupt keinen Grund, irgendwelche Daten den Beschwerdeführer betreffend zurückzuhalten. Die Verschmelzung sei zwar rechtskräftig per 13.10.2017 in das Firmenbuch eingetragen worden, die faktische Verschmelzung habe aber erst einige Monate danach organisatorisch und technisch vollzogen werden können. Im Zeitpunkt des Auskunftsbegehrens im Mai 2018 habe jener Datenbestand bei der mitbeteiligten Partei bestanden, der dem Beschwerdeführer in den Auskunftsbeantwortungen übermittelt worden sei. Hinsichtlich des Umstandes der Blindheit des Beschwerdeführers sei auszuführen, dass dieser einerseits aus seiner Blindheit keinen Hehl gemacht habe und andererseits bei der XXXX eine Braillezeile bestellt habe, welche ausschließlich für blinde Menschen bzw. solche Personen, die der Brailleschrift mächtig seien, eine Funktion aufweise. Im Übrigen sei ein Anspruch auf allfällige Geheimhaltung überhaupt nicht verfahrensgegenständlich. Die mitbeteiligte Partei habe das Auskunftsersuchen vollinhaltlich und gesetzmäßig erfüllt, weshalb die Beschwerde zurecht abgewiesen worden sei.

18. Die Stellungnahme der mitbeteiligten Partei wurde dem Beschwerdeführer mit Schreiben vom 01.09.2020 übermittelt und ihm ebenfalls Gelegenheit zur Abgabe einer Stellungnahme gegeben.

19. Der Beschwerdeführer erstattete am 14.09.2020 eine Stellungnahme und führte anhand einer Liste von Dokumenten aus, dass die mitbeteiligte Partei dem Beschwerdeführer nicht den gesamten gespeicherten Schriftverkehr beauskunftet habe. Die Auskunft vom 14.06.2018 sei daher unvollständig und mangelhaft gewesen, es seien gemäß Art. 4 DSGVO auch E-Mails und Briefe zu beauskunften. Zudem sei die Liste jener Unternehmen, an welche die mitbeteiligte Partei Daten weitergebe, unvollständig gewesen, die mitbeteiligte Partei habe die „ XXXX “ in Deutschland nicht angeführt, obwohl von der mitbeteiligten Partei am 25.06.2015 die Postanschrift des Beschwerdeführers an diese übermittelt worden sei. Eine gesellschaftliche Umstrukturierung stelle keinen Entschuldigungsgrund für eine unvollständige Auskunft dar, die mitbeteiligte Partei habe auch sehr wohl Zugriff auf Daten, die vor der Verschmelzung gespeichert und verarbeitet worden seien, hätte sie sonst die Rechnung vom 28.03.2017 nicht am 24.11.2017 durch ein Inkasso-Unternehmen eintreiben lassen können. Zudem habe er Beschwerdeführer nie eine ausdrückliche Einwilligung zur Speicherung und Verarbeitung seiner gesundheitsbezogenen Daten erteilt, weshalb ein datenschutzrechtlicher Verstoß vorliege.

20. Das Bundesverwaltungsgericht beraumte für den 26.11.2020 eine öffentliche mündliche Verhandlung an, woraufhin der Beschwerdeführer um Vertagung bis mindestens März 2021 ersuchte. Eine für 08.04.2021 anberaumte Verhandlung wurde abermals auf Ersuchen des Beschwerdeführers vertagt.

21. Am 03.05.2021 fand eine öffentliche mündliche Verhandlung am Bundesverwaltungsgericht statt, wobei der Beschwerdeführer auf eigenen Wunsch per Videoanlage vom Landesgericht XXXX zugeschaltet wurde.

Im Rahmen dieser Verhandlung wurde von der mitbeteiligten Partei mitgeteilt, dass die Auskunft an den Beschwerdeführer vollumfänglich erteilt worden sei. Die vom Beschwerdeführer angesprochenen Unterlagen hätten sich zum Zeitpunkt des Auskunftsbegehrens im Mai 2018 nicht im Datenbestand der mitbeteiligten Partei befunden. Die mitbeteiligte Partei entstamme einer Verschmelzung der XXXX mit der XXXX , welche firmenbuchmäßig im September 2017 und im Anschluss daran organisatorisch durchgeführt worden sei. Eine Datenweitergabe an das Inkassobüro sei organisatorisch noch durch die XXXX lediglich auf Basis der einzutreibenden Forderung erfolgt. Die angesprochenen Mahnungen hätten sich zum Zeitpunkt des Auskunftsbegehrens ebenfalls nicht in der konkreten Datenverarbeitung der mitbeteiligten Partei befunden. Der Beschwerdeführer entgegnete dazu, dass das Eintreiben der Forderung durch das Inkassobüro im Namen der mitbeteiligten Partei stattgefunden habe. Der als Zeuge vernommene Geschäftsführer der mitbeteiligten Partei führte aus, dass die Firma XXXX am 16.08.2017 vertraglich mit der XXXX zur mitbeteiligten Partei verschmolzen worden sei. Im Zuge der Verschmelzung seien die relevanten Daten zwischen dem 05.12.2017 und dem 11.12.2017 zusammengeführt worden. Es seien nur die relevanten Daten gespeichert und der Rest gelöscht worden. Es sei die IT-Infrastruktur der früheren XXXX weitergeführt worden; weiters seien nach Algorithmen Dokumente der Firma XXXX übernommen worden, und zwar nach vertriebsrelevanten Überlegungen. Die mitbeteiligte Partei habe die Firma „ XXXX “ mit der Erweiterung des DSGVO-Moduls beauftragt. Zur Zeit der Auskunftserteilung sei die technische Verschmelzung bereits völlig abgeschlossen gewesen. Auf Nachfrage teilte der Zeuge mit, dass Rechnungen nicht als PDF gespeichert worden, sondern nur Rohdaten übernommen worden seien. Das bedeute die Rechnungsnummer, den Betrag und den Artikel, aber kein Dokument. Daten des Beschwerdeführers seien an das Inkassobüro und an den Kostenträger sowie im Rahmen des Verfahrens an den Rechtsanwalt der mitbeteiligten Partei übermittelt worden. Wenn eine DSGVO-Anfrage an die mitbeteiligte Partei gestellt werde, dann laufe ein technischer Workflow an. Es werde automatisiert eine E-Mail generiert, die diese Auskunft an die gewünschte E-Mail-Adresse weiterleite. Dieser Prozess könnte durch den Nutzer nicht beeinflusst werden. Nachgefragt zu den Rechnungen führte der Zeuge aus, dass für die mitbeteiligte Partei betriebstechnisch nur die Rechnungsnummer, das Rechnungsdatum, der Nettobetrag, die Umsatzsteuer und das Artikelkennwort relevant sei. Es würden diesbezüglich keine Kundennamen oder Adressen verarbeitet werden, es handle sich lediglich um eine „Aktivität“; alles, was mit dem Beschwerdeführer verknüpft sei, sei mit dem Workflow exportiert worden. Als personenbezogene Daten würden Kundennamen, Adressdaten und Kommunikationsdaten verarbeitet. Bankdaten würden nur dann verarbeitet werden, wenn durch die mitbeteiligte Partei eine Rücküberweisung an einen Kunden notwendig sei oder der Kunde der mitbeteiligten Partei ein SEPA-Mandat erteile.

Als weiterer Zeuge wurde der Geschäftsführer der Firma „ XXXX “ einvernommen. Zur Rechnungsverwaltung befragt führte er aus, dass derzeit die Rechnungen als PDF vorlägen. Hingegen hätte seine Firma von der Firma XXXX zwei Excel-Dateien bekommen, eine mit der Kundennummer und die andere mit den Rechnungsdaten. Diese seien einander zugeordnet und in den Datenbestand der Firma XXXX übernommen worden. E-Mails befänden sich zuerst im „Exchange Outlook“ und der User könne sie dann in das „ XXXX System“ schieben. Die E-Mails könnten beauskunftet werden (wobei der Vertreter der mitbeteiligten Partei hinzufügte, dass dies auch geschehen sei).

Dem Beschwerdeführer wurde die Gelegenheit gegeben, binnen einer Woche eine allfällige Protokollberichtigung zur Niederschrift einzubringen.

22. Mit Schreiben 04.05.2021 wurde die mitbeteiligte Partei aufgefordert, die zur Kundennummer/ID des Beschwerdeführers verarbeiteten Rechnungsdatensätze dem Bundesverwaltungsgericht binnen einer Woche vorzulegen. Dazu teilte die mitbeteiligte Partei mit Schriftsatz vom 07.05.2021 mit, dass zur Kundennummer/ID des Beschwerdeführers keine Rechnungsdatensätze bei der mitbeteiligten Partei im XXXX FIBU Modul verarbeitet würden. Da die Rechnung vom 28.03.2017 – weil die Braillezeile des Beschwerdeführers auf Kulanz repariert worden sei -– nicht mehr relevant gewesen sei, sei eine sogenannte „Aktivität“ zur Seriennummer der Braillezeile angelegt worden. Die Aktivität sei nicht dem Beschwerdeführer zugeordnet und deshalb auch nicht beauskunftet worden.

23. Mit Stellungnahme vom 11.05.2021 gab der Beschwerdeführer eine (inhaltlich nicht relevante) Protokollberichtigung ab.

24. Mit Schreiben vom 11.05.2021 wurde der Schriftsatz der mitbeteiligten Partei vom 07.05.2021 dem Beschwerdeführer übermittelt und dieser insbesondere um Stellungnahme gebeten, inwiefern er sich im gegenständlichen Verfahren noch als beschwert erachte.

25. Daraufhin teilte der Beschwerdeführer mit Schriftsatz vom 21.05.2021 mit, dass er sich insbesondere in folgenden Punkten nach wie vor seinem Recht auf Auskunft verletzt fühle: Erstens, dass ihm der Schriftverkehr, welcher bei der mitbeteiligten Partei zweifellos noch verarbeitet werde, nicht vollständig beauskunftet worden sei (in diesem Zusammenhang wurde auf die Schreiben vom 11.02.2019 und 14.09.2020 verwiesen); zweitens, dass ihm die von der mitbeteiligten Partei verarbeiteten Datenkategorien nicht vollständig beauskunftet worden seien; drittens, dass Kriterien für die Festlegung der Speicherdauer und der Zweck für die Gesundheitsdaten des Beschwerdeführers nicht beauskunftet worden seien. Im Schriftsatz waren Ausführungen des Beschwerdeführers samt Beilagen (diverse E-Mails) angeschlossen.

Der Beschwerdeführer machte (erstmals) akustische Probleme bei der Videoübertragung geltend, weshalb er seine Aussage, dass sein Anwalt einen Fehler gemacht habe, zurückziehe. Es seien nicht alle Datenkategorien beauskunftet worden, da keine Bankdaten beauskunftet worden seien. Weiters sei Auftraggeber der Inkassoforderung die mitbeteiligte Partei gewesen und nicht die XXXX . Die beiden Schreiben der mitbeteiligten Partei vom 23.11.2017 und 30.11.2017 an die XXXX seien nicht beauskunftet worden. Die Stornierung der Inkassoforderung sei dem Beschwerdeführer erst am 23.08.2018 mitgeteilt worden. Der Beschwerdeführer stellte weiters in Zweifel, dass die Rechnung vom 28.03.2017 nicht unter der Kunden-ID übernommen worden sein sollte. Im Übrigen handle sich bei der Seriennummer seiner Braillezeile ebenfalls um ein personenbezogenes Datum. Weiters sei es realitätsfremd, dass alle eingehenden E-Mails händisch in die XXXX Datenbank hinübergeschoben bzw. hinüberkopiert würden. Bezüglich der Rechnung wies der Beschwerdeführer auf gesetzliche Aufbewahrungspflichten nach der BAO hin, die einzuhalten seien. Auch sei die DSGVO technologieneutral und es stelle sich die Frage, ob seine personenbezogenen Daten auf Papier in Dateisystemen vorhanden seien. Wenn diese nicht beauskunftet werden könnten, so liege ein Verstoß gegen die BAO vor. In diesem Zusammenhang beantragte der Beschwerdeführer eine Unterbrechung des Verfahrens am Bundesverwaltungsgericht bis zu jenem Zeitpunkt, an dem rechtskräftig das Urteil über den Verstoß gegen § 132 Abs. 1 BAO durch die mitbeteiligte Partei ergangen sei.

Weiters sei inzwischen der Zweck für die Verarbeitung alter Angebote weggefallen, ebenso für die E-Mails vom 29. und 30.10.2017. Weiters müssten noch Rechnung und Stornorechnung vorhanden sein. Weiters führte der Beschwerdeführer aus, dass ihm eine Daten-Weitergabe an die XXXX nicht beauskunftet worden sei. Im Übrigen enthielt das Schreiben Bemerkungen des Beschwerdeführers zur („angeblichen“) Reparatur seiner Braillezeile, zum Datum „blind“ und der Nichtbeauskunftung von dessen Herkunft sowie zur Domain der mitbeteiligten Partei. Der Stellungnahme war ein Konvolut von Korrespondenzen zwischen dem Beschwerdeführer und der mitbeteiligten Partei angeschlossen.

26. Mit Schreiben vom 31.05.2021 wurde die Stellungnahme des Beschwerdeführers der mitbeteiligten Partei übermittelt und ihr insbesondere eine Stellungnahme zu bestimmten Fragestellungen aufgetragen. Dazu teilte sie mit Schriftsatz vom 14.06.2021 mit, dass der Beschwerdeführer zwar die Seriennummer mitgeteilt habe, aber die mitbeteiligte Partei keinen Personenbezug herstelle. Es würden auch keine Bankdaten von der mitbeteiligten Partei verarbeitet. Es seien auch keine personenbezogenen Daten des Beschwerdeführers in analogen Dateien vorhanden. Die nunmehr beauskunfteten Rechnungen seien in unstrukturierter Form aufbewahrt worden und nunmehr für die Beauskunftung an den Beschwerdeführer gescannt worden, wobei diese Scans nach Übermittlung an den Rechtsanwalt wieder gelöscht worden seien. Weiters wurde auf andere Punkte der Stellungnahme des Beschwerdeführers repliziert und abermals betont, dass dem Beschwerdeführer alle zu seiner Person verarbeiteten Daten beauskunftet worden seien. In der Stellungnahme war ein Foto der Kiste mit den unstrukturiert gelagerten Dokumenten abgebildet. Der Stellungnahme waren an den Beschwerdeführer adressierte Rechnungen des Beschwerdeführers sowie ein die Eröffnung des Insolvenzverfahren über das Vermögen der Firma XXXX betreffender Beschluss angeschlossen.

27. Diese Stellungnahme samt Beilagen wurde dem Beschwerdeführer und der belangten Behörde zur Kenntnis gebracht.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

2. Der Beschwerdeführer stellte am 25.05.2018 einen Antrag auf Auskunft gemäß Art. 15 DSGVO an die mitbeteiligte Partei und ersuchte um Auskunft seiner personenbezogenen Daten sowie um eine Kopie der gespeicherten personenbezogenen Daten.

3. Mit Antwortschreiben vom 14.06.2018 teilte die mitbeteiligte Partei dem Beschwerdeführer mit, dass folgende Daten über ihn verarbeitet würden:

„Personenstamm

Name: XXXX

Bezugsquelle/Herkunft: XXXX

Adressen

XXXX

Telefonnummer – E-Mail

EMAIL: XXXX

MOBIL: XXXX

TEL: XXXX

Zusatzdaten zur Person:

Für Endkunden (nicht im B2B-Bereich) werden folgende Daten verwaltet:

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

XXXX

Bezeichnung Zusatzdaten - Inhalt

XXXX “

Weiters wurden dem Beschwerdeführer die Verarbeitungszwecke, die geplante Speicherdauer und mögliche Empfängerkreise für die Datenanwendungen XXXX CRM, XXXX Verkauf, XXXX FIBU sowie für E-Mail im Mailclient genannt und ihm mitgeteilt, dass die Daten nicht an Drittländer übermittelt würden.

Der Beschwerdeführer wurde darüber informiert, dass ihm grundsätzlich die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf und Widerspruch sowie ein Beschwerderecht bei der Datenschutzbehörde zustehe.

Dem Beschwerdeführer wurde mitgeteilt, dass eine automatisierte Entscheidungsfindung (Profiling) nicht bestehe.

4. Mit Schreiben vom 04.03.2019 übermittelte die mitbeteiligte Partei dem Beschwerdeführer abermals eine Stellungnahme, welche auch in Kopie an die belangte Behörde übermittelt wurde, und führte aus, dass keine der vom Beschwerdeführer angeführten Dateien oder Dokumente sich im Datenbestand der mitbeteiligten Partei befinden würden, sodass diesbezüglich eine Leermeldung erfolge. Im Zuge der Verschmelzung der XXXX und der XXXX seien nicht alle Dokumente in den neuen Datenbestand der mitbeteiligten Partei überführt worden. Die bereits übermittelten Daten seien in einem gängigen Dateiformat vollständig übermittelt worden, eine Ausführung zu den einzelnen Dateien im Hinblick auf deren Verwendungszweck sei nicht vorgesehen und decke sich dieser mit den bereits übermittelten Verarbeitungszwecken vollständig. Die gesundheitsbezogenen Daten seien über Wunsch des Beschwerdeführers gelöscht worden.

5. Mit Schreiben vom 23.08.2018 erteilte die mitbeteiligte Partei dem Beschwerdeführer durch ihre Rechtsvertretung eine ergänzende Auskunft, welche in Kopie auch an die belangte Behörde übermittelt wurde. Darin wurde dem Beschwerdeführer mitgeteilt, dass die Datenschutzerklärung auf der Website der mitbeteiligten Partei sich nur auf die Verwendung personenbezogener Daten, insoweit diese mit der Nutzung der Website überhaupt anfallen würden, beziehe. Die mitbeteiligte Partei betreibe keinen Webshop, eine Verarbeitung der Daten des Beschwerdeführers in einem Webshop sei nicht erfolgt. Weiters wurden dem Beschwerdeführer vier konkrete Empfänger ( XXXX , das Amt der XXXX Landesregierung, Pensionsversicherungsanstalt und Kanzlei des Rechtsvertreters der mitbeteiligten Partei) seiner personenbezogenen Daten (Stammdaten, Rechnungsbeträge) samt Datum und Grund der Weitergabe genannt. Eine Weitergabe von Gesundheitsdaten an Dritte sei nicht erfolgt. Eine Verarbeitung der personenbezogenen Daten zu Zwecken der Produktinformation erfolge ebenfalls nicht. Weiters wurde dem Beschwerdeführer Kopien von 53 bei der mitbeteiligten Partei gespeicherten Dokumenten als ZIP-Datei übermittelt. Dabei wurde darauf hingewiesen, dass es sich um alle bei der mitbeteiligten Partei gespeicherten Dokumente handle, welche personenbezogene Daten des Beschwerdeführers enthielten.

6. Die den Beschwerdeführer betreffenden Originalrechnungen werden ungeordnet in Kisten aufbewahrt; ein Scan der Rechnungen wurde als Beilage zur Stellungnahme vom 14.06.2021 dem Bundesverwaltungsgericht übermittelt und von diesem dem Beschwerdeführer zur Kenntnis gebracht. Die gescannten Rechnungen wurden nach Übermittlung an den Rechtsanwalt zwecks Auskunftserteilung bei der mitbeteiligten Partei wieder gelöscht.

7. Die Firma XXXX wurde am 16.08.2017 vertraglich mit der XXXX zur mitbeteiligten Partei verschmolzen. Im Zuge der Verschmelzung sind die aus Sicht der mitbeteiligten Partei relevanten Daten zwischen dem 05.12.2017 und dem 11.12.2017 zusammengeführt worden. Dabei wurde die IT-Infrastruktur der früheren XXXX weitergeführt und die Dokumente der Firma XXXX nach Algorithmen (nach vertriebsrelevanten Überlegungen) übernommen. Die mitbeteiligte Partei zog die Firma „ XXXX “ bei der Fusionierung heran und beauftragte diese auch mit der Erweiterung des „DSGVO-Moduls“. Zum Zeit der Auskunftserteilung war die technische Verschmelzung bereits völlig abgeschlossen.

8. Das Datum XXXX wurde inzwischen von der mitbeteiligten Partei gelöscht.

9. Die mitbeteiligte Partei verarbeitet keine Bankdaten des Beschwerdeführers. Weiters verarbeitet sie keine bei über die bereits beauskunfteten Daten hinausgehenden Daten über eine „Inkasso-Forderung“ des Beschwerdeführers.

10. Die mitbeteiligte Partei verarbeitet Daten zur Rechnung vom 28.03.2017 betreffend die Reparatur einer Braillezeile unter der Seriennummer der Braillezeile, die der Beschwerdeführer zur Reparatur übermittelt hatte. Die Rechnungsdaten sind dem Beschwerdeführer nicht über seinen Namen oder eine ID-Nummer zugeordnet. Der Beschwerdeführer hat von diesen konkreten Rechnungsdaten inzwischen Kenntnis.

11. Die mitbeteiligte Partei verarbeitet keine personenbezogenen Daten des Beschwerdeführers in analogen Dateien.

12. Dem Beschwerdeführer wurden alle über ihn vorhandenen personenbezogenen Daten, mit Ausnahme der Rechnungsdaten, die unter der Seriennummer verarbeitet wurden, bereits während des Verfahrens vor der belangten Behörde beauskunftet. Die Rechnungsdaten kamen dem Beschwerdeführer im Verfahren vor dem Bundesverwaltungsgericht zu.

13. Bei der mündlichen Verhandlung vor dem Bundesverwaltungsgericht bestanden keine akustischen Probleme und hat der Beschwerdeführer auch seinen Rechtsvertreter akustisch verstanden.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt. Insbesondere ergibt sich aus der Niederschrift über die mündliche Verhandlung vor dem Bundesverwaltungsgericht sowie bereits aus vorangegangenen Stellungnahmen der mitbeteiligen Partei, dass bei der Verschmelzung der Firma XXXX mit der XXXX zwischen dem 5.12.2017 und dem 11.12.2017 die Daten zusammengeführt wurden und von der Firma XXXX nur ein Teil der Dokumente übernommen wurde. Es scheint daher schlüssig, dass nicht sämtliche dem Beschwerdeführer vorliegenden Dokumente derzeit noch von der mitbeteiligten Partei verarbeitet werden und dass die zum Zeitpunkt der Auskunftserteilung verarbeiteten Daten an den Beschwerdeführer beauskunftet wurden. Auch ist keinerlei Interesse der mitbeteiligten Partei erkennbar, dem Beschwerdeführer über ihn verarbeitete Daten vorzuenthalten.

Dass das Datum XXXX inzwischen gelöscht wurde, ergibt sich aus der Stellungnahme der mitbeteiligten Partei vom 04.03.2019 und den Ausführungen in der mündlichen Verhandlung, wobei die Löschung des Datums vom Beschwerdeführer nicht in Zweifel gezogen wurde.

Dass die mitbeteiligte Partei inzwischen alle von ihr verarbeiteten personenbezogenen Daten des Beschwerdeführers beauskunftet hat, ergibt sich aus der Niederschrift über die mündliche Verhandlung vor dem Bundesverwaltungsgericht und den genannten Stellungnahmen der mitbeteiligten Partei: Wie aus dem Verwaltungsakt ersichtlich ist und sich auch in der mündlichen Verhandlung bestätigt hat, wurden Verwendungszwecke und Kategorien der personenbezogenen Daten, die verarbeitet werden, sowie die Speicherdauer bereits am 14.06.2018 beauskunftet. Mit Schreiben vom 23.08.2018 wurden dem Beschwerdeführer weiters die Empfängerkreise näher bezeichneter Datenkategorien (Stammdaten, Rechnungsbeträge) mitgeteilt und wurden ihm auch die personenbezogen verarbeiteten Unterlagen (diverse Korrespondenzen) übermittelt. Schließlich kam dem Beschwerdeführer auch die Information zu, welche konkreten Daten zur Rechnung vom 28.03.2017 verarbeitet werden und dass diese nicht zu seiner Person unter einem Namen oder einer ID-Nummer in der XXXX FIBU gespeichert sind, sondern lediglich unter der Seriennummer der Braillezeile, und wurden von der mitbeteiligten Partei auch die Originalrechnungen (die von der mitbeteiligten Partei lediglich ungeordnet aufbewahrt werden), darunter auch die vom Beschwerdeführer besonders genannte XXXX Rechnung vom 28.03.2017, dem Bundesverwaltungsgericht übermittelt und von diesem dem Beschwerdeführer zugemittelt.

Wie auch von der mitbeteiligten Partei in ihrer Stellungnahme vom 14.06.2021 glaubhaft mitgeteilt wurde, werden von ihr weder Bankdaten noch Daten zur „Inkasso-Forderung“ des Beschwerdeführers verarbeitet. Aus dieser Stellungnahme ergibt sich auch, dass die mitbeteiligte Partei keine personenbezogenen Daten des Beschwerdeführers in analogen Dateien verarbeitet und dass sie die den Beschwerdeführer betreffenden Rechnungen ungeordnet in Kisten aufbewahrt.

Auf eine Verarbeitung weiterer personenbezogener Daten des Beschwerdeführers, die nicht beauskunftet wurden, liegen keinerlei stichhaltigen Hinweise vor.

Soweit der Beschwerdeführer in seiner Stellungnahme vom 21.05.2021 geltend macht, dass es bei der Video-Übertragung bei der mündlichen Verhandlung zu akustischen Problemen gekommen sein und er seinen Anwalt nur schlecht verstanden habe, so ist dazu zunächst festzuhalten, dass der Beschwerdeführer in seiner „Protokollberichtigung“ vom 11.05.2021 dazu keinerlei Anmerkungen machte. Überdies befand sich bei der mündlichen Verhandlung der Rechtsvertreter des Beschwerdeführers näher beim Mikrofon als der Rechtsvertreter der mitbeteiligten Partei, die belangte Behörde oder die Zeugen. Darüber hinaus hat – wie auch in der Niederschrift festgehalten wurde – die vorsitzende Richterin jeden Satz nochmals diktiert, sodass es diesbezüglich nicht zu Missverständnissen oder zu Verständigungsproblemen kommen konnte. Davon abgesehen spielt die Frage, ob der Beschwerdeführer „Kategorien“ oder „Datenkategorien“ verstanden hat, schon deshalb keine Rolle, weil ohnehin von den Datenkategorien die Rede war, überdies von der mitbeteiligten Partei mit Schreiben vom 31.05.2021 mitgeteilt wurde, dass sie keine Bankdaten des Beschwerdeführers verarbeitet und im Übrigen die über den Beschwerdeführer konkret verarbeiteten Daten beauskunftet wurden.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu Spruchteil A):

3.2.1. Rechtslage:

Die belangte Behörde hat ihrem Bescheid folgende Rechtsgrundlagen zugrunde gelegt:

Art. 15 und 77 der Datenschutz-Grundverordnung (DSGVO), ABl. Nr. L 119 vom 04.05.2016 sowie § 24 Abs. 1 und 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF. Diese Bestimmungen sind auch im gegenständlichen Beschwerdeverfahren vor dem Bundesverwaltungsgericht heranzuziehen. Darüber hinaus sind auch die Art. 4 Z 1, 2 und 6 und 12 DSGVO sowie § 1 Abs. 1 und 2 DSG relevant.

Art. 4 Z 1, 2 und 6 DSGVO lauten:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

6 „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;“

Art. 12 DSGVO lautet:

„Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. Bei offenkundig unbegründeten oder — insbesondere im Fall von häufiger Wiederholung — exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder

a) ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder

b) sich weigern, aufgrund des Antrags tätig zu werden.

Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die Informationen, die den betroffenen Personen gemäß den Artikeln 13 und 14 bereitzustellen sind, können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Werden die Bildsymbole in elektronischer Form dargestellt, müssen sie maschinenlesbar sein.

(8) Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.“

Art. 15 DSGVO lautet:

„Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“

Art. 77 DSGVO lautet:

„Art. 77 DSGVO

Recht auf Beschwerde bei einer Aufsichtsbehörde

Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Artikel 78.“

§ 1 Abs. 1 und 2 DSG lauten:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“

§ 24 Abs. 1, 5 und 6 DSG lauten:

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

3.2.2. Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

Wie in den Feststellungen und der Beweiswürdigung ausgeführt wurde, sind dem Beschwerdeführer die von der mitbeteiligten Partei über ihn verarbeiteten personenbezogenen Daten – wenngleich auch teilweise verspätet – zugekommen. Damit ist die Rechtsverletzung einer unvollständigen Auskunftserteilung iSd § 24 Abs. 6 DSG nachträglich beseitigt worden.

Soweit der Beschwerdeführer in seiner Stellungnahme vom 21.05.2021 darauf hinweist, dass die mitbeteiligte Partei gegen § 132 Abs. 1 BAO verstoße, so ist dies für den gegenständlichen Fall irrelevant, da Gegenstand des Verfahrens vor dem Bundesverwaltungsgericht lediglich die Frage der vollständigen Parteiauskunft von personenbezogenen Daten durch die mitbeteiligte Partei ist. Insofern ist auch der Antrag auf Unterbrechung des Verfahrens zurückzuweisen (Spruchteil A1), weil ein allfälliger Verstoß gegen § 132 Abs. 1 BAO keine Vorfrage für die Entscheidung des Bundesverwaltungsgerichts darstellt und der Beschwerdeführer somit auch keinen Anspruch auf Unterbrechung des Verfahrens hat. Davon abgesehen hat sich im Verfahren herausgestellt, dass die Rechnungen der letzten Jahre von der mitbeteiligten Partei in ungeordneter Form in Kisten aufbewahrt werden und wurde überdies von der mitbeteiligten Partei mitgeteilt, dass die Rechnung vom 28.03.2017 buchhalterisch gegenstandslos ist.

Soweit vom Beschwerdeführer „fehlende Zwecke“ von Verarbeitungen geltend gemacht werden, weil die Verarbeitung dieser Daten für die angegebenen Zwecke nicht mehr notwendig sei, so ist darauf zu verweisen, dass die mitbeteiligte Partei die Zwecke der Datenverarbeitung beauskunftet hat. Ob die Verarbeitung tatsächlich noch immer durch die genannten Zwecke gerechtfertigt ist, ist eine Frage, die im gegenständlichen Verfahren, welches lediglich die Frage betrifft, ob der Beschwerdeführer in seinem Recht auf Auskunft (durch unvollständige Auskunftserteilung) verletzt ist, nicht von Relevanz ist. Überdies wurde vom Geschäftsführer der mitbeteiligten Partei in seiner Zeugeneinvernahme ausgesagt, dass manche der Produkte der mitbeteiligten Partei bis zu 15 Jahre lang im Einsatz sind. Auch war der Beschwerdeführer in den letzten Jahren Kunde bei der mitbeteiligten Partei und ihren Vorgängern, wobei jedenfalls in den letzten 7 Jahren noch eine Kundenbeziehung bestand, wie sich aus der von der mitbeteiligten Partei vorlegten Rechnung vom 28.03.2017 ergibt.

Soweit der Beschwerdeführer darauf hinweist, dass seine Daten 2015 an die XXXX weitergegeben worden seien, so ist zum diesbezüglichen Vorbringen der mitbeteiligten Partei einerseits anzumerken, dass es zwar im Verfahren vor dem Bundesverwaltungsgericht in Datenschutzangelegenheiten kein Neuerungsverbot gibt, allerdings dem Vorbringen insofern zu folgen ist, als die angesprochene Übermittlung an den genannten Empfänger in der Datenverarbeitung der mitbeteiligten Partei, in die eben nicht alle Daten der Vorgängerfirmen übernommen wurden, nicht mehr verarbeitet wird und daher auch nicht einer Auskunftsverpflichtung unterliegt. Soweit der Beschwerdeführer das Datum „blind“ anspricht, ist darauf hinzuweisen, dass sich das gegenständliche Verfahren lediglich auf das Auskunftsrecht des Beschwerdeführers bezieht. Die mitbeteiligte Partei hat das Datum beauskunftet und inzwischen – auf Antrag des Beschwerdeführers – gelöscht, weshalb auch keine weitere Auskunftserteilung mehr aufzutragen ist.

Was die Ausführungen des Beschwerdeführers zur Reparatur der Braillezeile und zur Domain XXXX betrifft, so sind diese für das gegenständliche Beschwerdeverfahren nicht von Relevanz.

Schließlich ist darauf hinzuweisen, dass selbst jene Rechnungsdaten, die lediglich unter der Seriennummer verarbeitet werden, im Verfahren vor dem Bundesverwaltungsgericht offengelegt wurden und dem Beschwerdeführer zukamen. Auch wenn man die Meinung vertritt, dass die im System als „Aktivität“ verarbeiteten Daten personenbezogene Daten des Beschwerdeführers darstellen, weil diese anhand seiner Korrespondenzen über die Seriennummer auf ihn zurückgeführt werden können, ist jedenfalls auch diesbezüglich keine Beschwer des Beschwerdeführers mehr gegeben.

Was die konkreten Rechnungen betrifft, so hat die mitbeteiligte Partei glaubhaft und mit einem Foto untermauert mitgeteilt, dass diese nur in unstrukturierter Form in einer Kiste abgelegt sind. Dazu ist festzuhalten, dass diese Rechnungen mangels Strukturierung nicht dem Begriff eines „Dateisystems“ iSd Art. 4 Z 6 DSGVO unterfallen und gar nicht beauskunftet hätten werden müssen. Die mitbeteiligte Partei hat jedoch sogar über diese Dokumente Auskunft erteilt.

Somit liegt dem Beschwerdeführer eine vollständige Auskunft über die ihn betreffenden bei der mitbeteiligten Partei verarbeiteten Daten vor.

Der Vollständigkeit halber wird darauf hingewiesen, dass nach der Rechtsprechung des Verwaltungsgerichtshofes, die auch auf die neue Rechtlage übertragbar ist, dem Beschwerdeführer kein Recht auf Feststellung über eine allfällige in der Vergangenheit erfolgte Verletzung des Auskunftsrechts zukommt:

Sache vor dem Verwaltungsgericht ist grundsätzlich die Angelegenheit, die von der Verwaltungsbehörde zu erledigen gewesen ist, allerdings stellt die Sache des bekämpften Bescheids den äußersten Rahmen für die Prüfungsbefugnis des Verwaltungsgerichts dar. Sache des Beschwerdeverfahrens ist jene Angelegenheit, die den Inhalt des Spruchs der vor dem Verwaltungsgericht belangten Verwaltungsbehörde gebildet hat (vgl. VwGH, 17.10.2019, Ro 2019/18/0005 mit Verweis auf VwGH, 09.09.2015, Ro 2015/03/0032 mwN). Demgemäß ist festzuhalten, dass der angefochtene Bescheid die Beschwerde des Beschwerdeführers wegen Erteilung einer unvollständigen Auskunft abgewiesen hat. Die Prüfbefugnis des Verwaltungsgerichts ist damit auf die Angelegenheit der monierten Verletzung des Rechts auf Auskunft durch Unvollständigkeit der Auskunft beschränkt.

Wie in den Feststellungen ausgeführt, erteilte die mitbeteiligte Partei dem Beschwerdeführer mit mehreren Schriftsätzen vollständig Auskunft über die bei ihr gespeicherten Daten betreffend den Beschwerdeführer. Soweit der Beschwerdeführer die Tatsache anspricht, dass die Auskunft verspätetet erteilt wurde, wird sinngemäß auf die Begründung eines hg. ergangenen Erkenntnisses vom 31.01.2020, Zl. W258 2226305-1/5E, und das in dieselbe Richtung gehende Erkenntnis W211 2223243-1/4E verwiesen, der sich der gegenständlich zuständige Senat anschließt:

Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Gemäß § 24 Abs. 5 DSG ist im Fall einer berechtigten Beschwerde über eine Verletzung, die einem Verantwortlichen des privaten Bereichs zuzurechnen ist, diesem aufzutragen den Anträgen des Beschwerdeführers zu entsprechen, etwa die beantragte Auskunft zu erteilen. Abs. 6 leg cit legt fest, dass ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde