Die Beschwerde nach Artikel 77 DSGVO
Beschwerden zu Datenschutzverletzungen nach Artikel 77 DSGVO: In Österreich können Betroffene in Folge des Datenschutz-Anpassungsgesetzes 2018 bei Verletzung ihrer durch die DSGVO geschützten Rechte nur Beschwerde bei der Datenschutzbehörde einlegen – unabhängig davon, dass privatrechtliche Klagen auf Schadensersatz vor Gericht eingebracht werden können, sollte die Verletzung der Rechte Betroffener nachweisbaren Schaden verursacht haben.
In diesem Beitrag werden exemplarisch Beschwerden dokumentiert, die bei der Österreichischen Datenschutzbehörde eingebracht wurden.
Beschwerde gegen die CRIF GmbH Auskunftei (Art. 15 DSGVO)
Anlass der Beschwerde
Die CRIF GmbH gab in der Beantwortung der Auskunftsanfrage nach Artikel 15 DSGVO unzureichend Auskunft. Bis auf sogenannte Listendaten, die in öffentlichen Verzeichnissen ebenso einsehbar sind, blieb die CRIF GmbH allerdings die Auskunft schuldig, wie diese Daten verarbeitet werden, d.h. ob eine Bonitätsbewertung vorliegt, Angaben zur Zahlungsbereitschaft etc. pp. D.h. die CRIF GmbH blieb die tatsächlich zentralen Auskünfte zur Verarbeitung der personenbezogenen Daten, zur automatisierten Verarbeitung und Profilbildung schuldig. Nachdem die CRIF GmbH einen Hinweis darauf und die Nachforderung ausstehender Auskünfte ignorierte, wurde am 19.8.2019 Beschwerde bei der Datenschutzbehörde eingereicht.
Versäumnis der 6 Monate Frist nach §8 Abs 1 VwGVG
Die im VwGVG geregelte Frist, nach der eine Beschwerde mittels Bescheid binnen 6 Monaten zu entscheiden ist, wurde nicht eingehalten. Nachfragen blieben unbeantwortet. Der Verfahrensstand war nicht in Erfahrung zu bringen.
Säumnisbeschwerde
Obwohl die Entscheidungsfrist für die Beschwerde am 18.02.2020 abgelaufen ist, stand die Entscheidung am 22.05.2020 immer noch aus. Eine Säumnisbeschwerde wurde am 22.5.2020 bei der Datenschutzbehörde eingereicht.
Bescheid
Am 19.6.2020 erging der Bescheid der Datenschutzbehörde, in welchem festgestellt wurde, dass die CRIF GmbH das Recht auf Auskunft verletzt hat, in dem es unvollständige Auskünfte erteilte. Der CRIF GmbH wurde aufgetragen, innerhalb von vier Wochen
- eine hinreichend klare Auskunft im Hinblick auf die Verarbeitungszwecke zu erteilen, wobei insbesondere darzulegen ist, welche konkreten Daten des Beschwerdeführers zwecks Ausübung welchen Gewerbes verarbeitet werden,
- die geplante Speicherdauer für die an die Empfänger übermittelten Bonitätsscores („übermittelter Wert“) in der Datenbank der Beschwerdegegnerin samt den damit zusammenhängenden Informationen zu beauskunften sowie
- aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der den Beschwerdeführer betreffenden
Bonitätsbewertung zu geben.
CRIF GbmH legt Beschwerde gegen Entscheid zu Punkt 2c ein
Am letzten Tag der Beschwerdefrist legt die CRIF GmbH gegen diesen Bescheid zu Punkt 2c beim BVwG Beschwerde ein. Damit ist der Entscheid zur involvierten Logik, die Tragweite und die angestrebten Auswirkungen nicht rechtskräftig.
fokus.genba bemängelt unvollständige Auskunft in Bescheidentsprechung
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 18.8.2019 | fokus.genba | Beschwerde eingereicht per signierter E-Mail | |
| 2 | 14.9.2019 | fokus.genba Einschreiben | Einschreiben mit der Bitte um Auskunft zum Stand der Befassung mit der Beschwerde und zu möglichem Rechtsbehelf | Im selben Schreiben, in welchem auch um Auskunft zur Beschwerde gegen die POST AG gebeten wurde. |
| 3 | 23.9.2019 | fokus.genba Telefonische Nachfrage | Telefonische Auskunft: Der Beschwerde wurde eine GZ zugewiesen. Der Sachbearbeiter der Beschwerde teilt mit, dass die CRIF GmbH am 19.9.2019 aufgefordert wurde, binnen zweier Wochen zur Beschwerde eine Stellungnahme abzugeben. | |
| 4 | 7.10.2019 | CRIF GmbH an DSB, per EMail in CC | Übermittlung der Stellungnahme der CRIF GmbH zur Beschwerde. CRIF fordert DSB auf, die Beschwerde zurückzuweisen. | |
| 5 | 16.10.2019 | fokus.genba an DSB | Erwiderung zur Stellungnahme mit ausführlicher Begründung | in CC an CRIF GmbH Lesebestätigung durch DSB |
| 6 | 23.10.2019 | DSB per E-Mail | Ohne auf die Erwiderung zur Stellungnahme der CRIF GmbH einzugehen oder diese auch nur zu erwähnen, wird, wie es im Betreff heißt: "Ergebnisse des Ermittlungsverfahrens, Parteiengehör: Mitteil über den Verfahrensstand" mitgeteilt, dass die Beschwerdegegnerin die Beschwerde als gegenstandslos betrachtet. Der Beschwerdeführer wird aufgefordert, innert einer Frist von zwei Wochen zu begründen, warum die „behauptete Rechtsverletzung (Auskunft) zumindest teilweise nach wie vor als nicht beseitigt” erachtet wird. | |
| 7 | 24.10.2019 | fokus.genba an DSB per E-Mail & Einschreiben | Nachdem die Erwiderung zur Stellungnahme der CRIF GmbH offenbar in der DSB in Verstoß geraten, jedenfalls nicht zur Kenntnis genommen wurde, folgte erneute Übermittlung der Begründung vom 16.10.2019, warum die Beschwerde weiterhin aufrecht erhalten wird, nachdem die Auskunft der CRIF GmbH weiterhin mangelhaft und unvollständig ist. | Verunsichert, ob die E-Mail wiederum in Verstoß geraten könnte, wurde der Inhalt auch per Einschreiben an die DSB geschickt. So gibt es einem gerichtsfesten Beleg für die Zustellung. |
| 8 | 15.11.2019 | fokus.genba an DSB | Per E-Mail wird folgende Recherche mitgeteilt. Die CRIF GmbH hatte in ihrer Nachbesserung zur ersten Auskunft angeführt, dass sie zwei Mal eine Bonitätsauskunft an die UNIQA AG erteilte. Auf Nachfrage bei der UNIQA AG, ebenfalls basierend auf Art 15 DSGVO, gab das Unternehmen bekannt, dass es zu keinem Zeitpunkt Bonitätsauskünfte bei der CRIF GmbH anfragte. Dieses Auskunft wurde auf meine Bitte hin und unter Verweis auf ein laufendes Ermittlungsverfahren bei der DSB im Zuge einer Beschwerde nochmals geprüft, mit demselben Ergebnis. Dies wurde, samt E-Mail Korrespondenz im Anhang an die DSB übermittelt. |
Wenn die CRIF GmbH Bonitätsauskünfte anführt, die offenbar nicht angefragt waren, stellt sich die Frage, ob hier nicht ein Eintragsirrtum vorliegt. Durch die mangelhafte und unvollständige und wie sich nun zeigt offenbar auch fehlerhafte Auskunft, ist fokus.genba allerdings nicht in der Lage, konkret Berichtigungen oder Löschungen gem. DSGVO zu verlangen, da dazu die Informationen fehlen. Lesebestätigung 19.11.2019 |
| Obwohl die Entscheidungsfrist am 18.02.2020 abgelaufen ist, kam es bis 22. Mai 2020 noch immer zu keiner Entscheidung | ||||
| 9 | 22.5.2020 | fokus.genba an DSB | Säumnisbeschwerde | per E-Mail mit Anhang (Lesebestätigung erst am 28.5.2020 (!) erhalten) |
| 10 | 19.6.2020 | dbs |
Bescheid zur Beschwerde
|
Da gegen den Bescheid seitens der CRIF GmbH Beschwerde beim BVwG eingelegt werden kann, ist dieser noch nicht rechtskräftig. |
| 11 | 19.6.2020 | dsb.gv.at |
Bescheid der Datenschutzbehörde, dass das Säumnisbeschwerdeverfahren eingestellt wurde, ohne das BVwG befasst haben zu müssen („Eine Aktenvorlage an das Bundeverwaltungsgericht im Sinne des § 16 Abs. 2 VwGVG hatte daher nicht zu erfolgen.”) |
|
| 12 | 19.6.2020 | dsb.gv.at |
Die Datenschutzbehörde teilt mit, dass binnen einer Frist die Gerichtsgebühr in Höhe von EUR 30,— an das Finanzamt zu überweisen sei. |
|
| 13 | 19.6.2020 | fokus.genba, telefonisch |
Nachfrage bei der Behörde, warum die Gerichtsgebühr für die Befassung der BVwG im Zuge einer Säumnisbeschwerde anfällt, wenn per Bescheid mitgteilt wurde, dass dieses nicht befasst wurde. |
Schriftliche Auskunft zugesagt |
| 14 | 22.6.2020 | dsb.gv.at |
Die Datenschutzbehörde teilt „Information bezüglich Gebührenschuld bei Einbringung einer Säumnisbeschwerde” mit. Entsprechend ist die „Gebührenschuld auch dann zu begleichen […], wenn die durch eine Säumnisbeschwerde belangte Behörde den Bescheid (binnen der gesetzlichen Frist) nachgeholt hat.” |
|
| 15 | 23.6.2020 | fokus.genba |
Übermittlung des Zahlungsnachweises der Gerichtsgebühr im Anhang eines E-Mails. |
Automatische Lesebestätigung vom Tag durch Sachbearbeiter Automatische Lesebestätigung ausstehend (Automatische Lesebestätigungen sind nicht gerichtsfest) |
| 16 | 23.06.2020 | fokus.genba |
Einschreiben: Übermittlung des Zahlungsnachweise |
|
| 17 | 17.07.2020 |
Beschwerde der CRIF GbmH gegen den Entscheid der Datenschutzbehörde (DSB) zu Punkt 2c beim Bundesverwaltungsgericht (BVwG) |
Es ist zu klären, ob gegen einen Entscheid der DSB teilweise Beschwerde beim BVwG eingelegt werden kann, d.h. es ist zu klären, ob die Beschwerde der CRIF GmbH formalrichtlich zulässig ist. |
|
| 18 | 27.10.2020 | fokus.genba - MA6 Wien |
Antrag auf Vollstreckung zur Durchsetzung des Entscheids der Datenschutzbehörde |
Nachdem die CRIF GmbH in der Beantwortung des Entscheids, Punkte 2 a und b unvollständig und mangelhafte Auskünfte leistete und sich trotz Nachfragen nicht bereit erklärte, vollständige Auskünfte zu erteilen, war es angezeigt, vom Exekutionstitel des Bescheids der DSB Gebrauch zu machen. |
| 19 | 28.12.2021 | BVwG → fokus.genba |
Bescheid BVwG (W211 2234354-1/3E) - Verfahren wird bis zur Vorentscheidung durch den EuGH anhängig unter C-634/21) ausgesetzt. |
|
Beschwerde gegen die CRIF GmbH Auskunftei (Art. 13f, 17 DSGVO)
Anlass der Beschwerde
Die CRIF GmbH speichert nach eigenen Angaben die Bonitätsscores über einen Zeitraum von acht Jahren (Speicherbegrenzung). Dabei ist die Speicherung der algorithmisch errechneten, Zeitpunkt bezogenen Bonitätsscores unverhältnismäßig und verstößt gegen die Prinzipien der Zweckmäßigkeit, Datenminimierung und Speicherbegrenzung (Artikel 5 Abs. 1 lit. b, c, e), damit gegen die Löschpflicht gemäß Artikel 17 DSGVO. Ebenso verstößt die Weigerung, über Rechtsgrundlage der Speicherdauer zu informieren, gegen das Recht auf Information (Artikel 13f DSGVO) und das Prinzip der Nachvollziehbarkeit (5 Abs. 1 lit. a).
Datenschutzbehörde zur unabhängigen, selbständigen Löschpflicht und Betroffenenrecht
Die aus Artikel 17 Abs. 1 Satz 1b lit a DSGVO abzuleitende unabhängige, selbstständige Löschpflicht des Verantwortichen, sofern keine Einwilligung oder Rechtsgrundlage für die Verarbeitung gegeben ist, sieht die Datenschutzbehörde nicht. Vielmehr vertritt sie den Standpunkt, dass es sich beim Betroffenenrecht nach Artikel 17 DSGVO um ein „antragsbedürftiges Recht” handelt, ein Antrag auf Löschung beim Verantwortlichen eine Verfahrensvoraussetzung für die Beschwerde
darstellt. Die Abweisung der Beschwerde wurde angekündigt.
Abweisung der Beschwerde (Teilbescheid zur Löschpflicht)
Die Datenschutzbehörde begründet die Ablehnung der Beschwerde folgendermaßen:
[1]
Um ein Recht nach der DSGVO zu beanspruchen, bedarf es daher zunächst eines Antrages an den Verantwortlichen. Eine bestimmte Form oder Formulierung dieses Begehrens ist der DSGVO zwar nicht zu entnehmen, doch muss für den Verantwortlichen zumindest erkennbar sein, dass es sich um ein auf die DSGVO gestütztes Begehren handelt, löst doch das Einlangen des Antrages Verpflichtungen beim Verantwortlichen aus, und zwar insbesondere die in Art. 12 Abs. 3 DSGVO festgelegte Zurverfügungstellung der Informationen oder die Unterrichtung über eine Fristverlängerung innerhalb eines Monats nach Eingang des Antrages.
[2]
Wie bereits das DSG 2000 (siehe dort § 27 Abs. 1 Z 1 bzw. die diesem zugrundeliegende Richtlinie 95/46/EG) unterscheidet auch die DSGVO zwischen der objektiven Pflicht eines Verantwortlichen, Daten zu löschen, wenn keine Gründe zur (weiteren) Verarbeitung vorliegen (siehe insbesondere Art. 5 Abs. 1 lit. e iVm Art. 17 Abs. 1 DSGVO), und dem subjektiven Recht eines Betroffenen, die Löschung seiner personenbezogenen Daten zu verlangen (Art. 12 Abs. 3 iVm Art. 17 Abs. 1 DSGVO). Die Verpflichtung des Verantwortlichen, aus eigenem Daten zu löschen, begründet jedoch kein subjektives Recht des Betroffenen (vgl. noch zu § 27 DSG 2000 VwSlg. 17.215 A/2007). Daran hat sich auch durch das Ingeltungtreten der DSGVO nichts geändert (siehe dazu BVwG 15.04.2020, GZ W211 2215821-1, unter Hinweis auf VwSlg. 17.215 A/2007).
[3]
Daher kommt die Datenschutzbehörde zu forlgendem Schluß:
Das Fehlen eines Antrages auf – hier – Löschung an den Verantwortlichen stellt ein Fehlen einer wesentlichen Erfolgsvoraussetzung und damit einen nicht verbesserungsfähigen Mangel dar (siehe nochmals das Erkenntnis des BVwG vom 15.04.2020 im Hinblick auf das Recht auf Berichtigung)
Einstellung der Beschwerde (Speicherdauer)
Nachdem die CRIF GmbH die Rechtsgrundlage für die Speicherdauer von elektronischen, automatisch erstellten Bonitätsauskünften mitgeteilt hatte, war die Beschwerde gegenstandslos geworden. Die Beschwerde hatte sich darauf bezogen, dass die CRIF GmbH zunächst die Auskunft, bzw. Information zur Rechtsgrundlage für die Speicherdauer verweigerte.
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 21.10.2020 | fokus.genba → DSB | Beschwerde eingereicht per signierter E-Mail | Lesebestätigung DSB vom Tag. |
| 2 | 19.11.2020 | DSB → fokus.genba | Mangelbehebungsauftrag: Die DSB stellt einen Mangel bei der Beschwerde gem §24 Abs. 2 DSG fest und ersucht um Behebung des Mangels binnen zweier Wochen. | per e-Mail |
| 3 | 24.11.2020 | fokus.genba → DSB | Mängelbehebung - Aktualisierte Beschwerde mit ausdrücklicher Formulierung der verletzten Rechte: Recht auf Löschung und Recht auf Information Beschwerde gegen CRIF GmbH - Verletzung der Rechte auf Löschung und Information |
per e-Mail, in DU an datenschutz.fokus Autom. Lesebestätigung am 25.11.20 |
| 4 | 10.12.2020 | DSB → fokus.genba | Erneut Zusendung eine Mangelbehebungsauftrags. Nochmals Aufforderung die verletzten Rechte zu benennen. (Erstellt am 4.12. zugestellt am 10.12.) | In der Beantwortung des ersten Mängelbehebungsauftrag vom 19.11. wurden ausdrücklich und begründet die verletzten Rechte benannt: Recht auf Löschung (Art. 17) und Recht auf Information (Art. 13,14) - (siehe Beschwerde gegen CRIF GmbH - Verletzung der Rechte auf Löschung und Information) Darauf wurde im Schreiben der DSB jedoch nicht Bezug genommen. |
| 5 | 10.12.2020 | fokus.genba → DSB / Sachbearbeiter*in | Telefonat mit der*m Sachbearbeiter*in. Nachfrage und Erläuterung. | Bis zum Ablauf der Frist wird sich die DSB melden. Interne Abklärung erforderlich. |
| 6 | 11.12.2020 | DSB / Sachbearbeiter*in → fokus.genba | Mitteilung: Recht auf Löschung nach Art 17 DSGVO ein antragsbedürftiges Recht". Daraus folgert die DSB, dass ein Antrag auf Löschung beim Verantwortlichen "eine Verfahrensvoraussetzung für die Beschwerde" darstellt. | Eine unabhängige, selbständige Löschpflicht, wie sie aus Art. 17 Absatz 1 Satz 1b in Verbindung mit lit a abgeleitet werden kann, sieht die DSB offenbar nicht. |
| 7 | 14.12.2020 | fokus.genba → DSB / Sachbearbeiter*in |
Bitte um Mitteilung der Rechtsgrundlage für die Behautpung, dass es keine unabhängige selbständige Löschpflicht nach Artikel 17 Abs. 1 S1b DSGVO gibt und deshalb ein Antrag des Betroffenen auf Löschung beim Verantwortlichen eine Verfahrensvoraussetzung ist. |
Weiters bitte um bescheidmäßige Abweisung, damit Beschwerde beim BVwG möglich ist und eine Judikatur zur strittigen Auslegung von Art. 17 Abs. 1 S1b möglich wird. |
| 8 | 15.12.2020 | fokus.genba → DSB |
Ergänzung zur Beschwerde, gem. Mangelbehebungsauftrag |
automatische Lesebestätigung |
| 9 | 21.01.2021 | DSB → fokus.genba |
Teilbescheid: Die Beschwerde wird abgewiesen. |
Beschwerde beim BVwG ist binnen 4 Wochen zulässig. |
| 10 | 26.01.2021 | CRIF → fokus.genba |
Mitteilung der Rechtsgrundlage für die Speicherdauer |
Rückfrage vom 2.2.21 bei DSB, ob diese Mitteilung im Zuge des Verfahrens/ Parteiengehör zu verstehen ist, blieb unbeantwortet, trotz Erinnerung und Nachfrage. |
| 11 | 12.04.2021 | DSB → fokus.genba |
Übermittlung der Stellungnahme der CRIF GmbH im Zuge des Parteiengehörs. Hinweis, dass die Beschwerde zurückgelegt werden würde, wenn ich binnen 14 Tagen keine ausreichende Begründung für die Fortführung vorbringen kann. |
Die Zustellung des mit 8.4. datierten Schriftsatzes erfolgte per E-Mail am 12.4. Eine Entgegnung zur Stellungnahme wird erarbeitet, da die Argumentation der CRIF GmbH nicht zwingend ist und die Gründe gegenüber den Betroffenenrechten in Abwägung nicht begründet stärker gewichtet werden können. |
| 12 | 22.04.2021 | fokus.genba → DSB |
Mitteilung, dass die Beschwerde gegenstandslos geworden ist, nachdem die CRIF GmbH die Rechtsgrundlage für die Speicherdauer mitteilte. |
Die begründeten Zweifel, ob die angeführte Rechtsgrundlage tatsächlich rechtlich eine Speicherdauer von bis zu 8 Jahren rechtfertigt, müssen in einem separaten Verfahren geklärt werden. Das setzt einen Löschantrag an die CRIF voraus. |
Beschwerde gegen ING Diba Austria
Die ING Diba Austria hat auf ein Auskunftsersuchen nach Art. 15 DSGVO nicht innerhalb der gesetzlich festgesetzten Frist geantwortet. Daher wurde Beschwerde eingelegt.
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 15.09.2021 | fokus.genba → DSB | Beschwerde eingereicht per signierter E-Mail | Lesebestätigung DSB vom Tag |
Beschwerde gegen die österreichische POST AG (Art. 15 DSGVO)
Anlass der Beschwerde
Die POST AG ist einer Auskunftsanforderung nach Artikel 15 DSGVO selbst nach Inanspruchnahme einer zweimonatigen Verlängerung der Bearbeitungsfrist letztlich nicht nachgekommen. (Details dazu finden Sie im Beitrag Die DSGVO und die österreichische POST AG | Art. 15 DSGVO
) — Folgedessen wurde bei der Datenschutzbehörde wegen Verletzung des Betroffenenrechts von Artikel 15 DSGVO nach Artikel 77 DSGVO Beschwerde eingereicht.
Zwischenbericht
Obwohl es technisch einfach zu bewerkstelligen wäre, quittiert die Datenschutzbehörde weder per E-Mail noch postalisch den Eingang der Beschwerde. Wäre diese ohne angeforderte Lesebestätigung verschickt worden, so hätte der Absender keine Gewissheit, ob die Beschwerde die Datenschutzbehörde überhaupt erreicht hat. Daher meine Empfehlung: Beschwerden an die Datenschutzbehörde mit eingeschriebenem Brief schicken. Zustellung durch Sendungsverfolgungsprotokoll dokumentieren.
Versäumnis der 3 Monatsfrist nach Artikel 78 Abs. 2 DSGVO
Die Datenschutzbehörde (DSB) hat über drei Monate zu keiner Zeit Angaben über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde gemacht. Es ist nicht gesichert, ob sich die DSB innerhalb dieser Frist überhaupt mit der Beschwerde befasst hatte. Entsprechend erging nach Artikel 78 Absatz 2 eine erneute Aufforderung, bevor Rechtsbehelfe in Anspruch genommen werden.
Es zeigte sich im Zusammenhang mit einer telefonischen Nachfrage, dass die Beschwerde womöglich „in Verstoß geraten” sein könnte. Zumindest konnte die DSB keinerlei Auskunft über den Bearbeitungsstand geben, nur mitteilen, dass selbst nach dreieinhalb Monaten die POST AG noch nicht einmal zur Stellungnahme bezüglich der Beschwerde aufgefordert worden war (Parteiengehör). Durch Urgenz wurde die Bearbeitung vorangetrieben und die POST AG Ende September um Stellungnahme aufgefordert. Obwohl die gesetzliche Frist im Rahmen des Parteiengehörs von zwei Wochen Mitte Oktober ablief, wurde dem Beschwerdeführer die Stellungnahme der POST AG erst Mitte Dezember übermittelt.
Versäumnis der 6 Monate Frist nach §8 Abs 1 VwGVG
Die im VwGVG geregelte Frist, nach der eine Beschwerde mittels Bescheid binnen 6 Monaten zu entscheiden ist, wurde nicht eingehalten. Nachfragen blieben unbeantwortet. Der Verfahrensstand war nicht in Erfahrung zu bringen.
Säumnisbeschwerde
Obwohl die Entscheidungsfrist für die Beschwerde am 11.12.2019 abgelaufen war, stand die Entscheidung am 14.05.2020, 11 Monate nach Eingabe der Beschwerde immer noch aus. Eine Säumnisbeschwerde wurde daher am 14.5.2020 bei der Datenschutzbehörde eingereicht.
Bescheid
Am 10.7.2020 erging der Bescheid der Datenschutzbehörde, in welchem festgestellt wurde, dass die POST AG dem Antrag auf Auskunft nach Artikel 15 DSGVO binnen einer Frist von vier Wochen nachzukommen hat. Die POST AG hat das Recht auf Auskunft des Betroffenen verletzt, indem sie seinem diesbezüglichen Antrag vom 9. Jänner 2019 nicht entsprochen hat.
POST AG legt Beschwerde beim BVwG gegen Entscheid der DSB ein
Am letzten Tag der Beschwerdefrist legt die POST AG Beschwerde gegen den Bescheid der Datenschutzbehörde (DSB) beim Bundesverwaltungsgericht (BVwG) ein. Damit ist der Entscheid der Datenschutzbehörde nicht rechtskräftig. Seit 1 Jahr, 10 Monaten und 22 Tagen liegt die Beschwerde beim Bundesverwaltungsgericht (Stand 29.6.2022) und harrt dort auf Bearbeitung, obwohl die gesetzlich geregelte Entscheidungsfrist bei 6 Monaten läge. Die Praxis der Rechtsprechung ist ungenügend.
Am 29.6.2022 wurde bei der Volksanwaltschaft wegen Säumigkeit der Entscheidung seitens des BVwG eine Beschwerde eingebracht. Die Volksanwaltschaft brachte eine Säumnisbeschwerde ein. Erst daraufhin wurde dem Betroffenen mit einer Fristsetzung von zwei Wochen (mitten in der Urlaubszeit!) die Gelegenheit eingeräumt, sich zur Bescheidbeschwerde seitens der POST AG gemäß §10 Verwaltungsgerichtsverfahrensgesetz zu äußern.
BVwG folgt der Beschwerde der POST AG gegen Bescheid der DSB
In seiner Erkenntnis vom 15.11.2022 folgt das Bundesverwaltungsgericht der Beschwerde der POST AG gegen den Bescheid der Datenschutzbehörde. Spruch: Die Beschwerde [d.i. die des Betroffenen] wird als unbegründet abgewiesen.
Die Datenschutzbehörde wird aufgefordert ihren Bescheid entsprechend abzuändern.
DSB legt außerordentliche Revision gegen Erkenntnis des BVwG ein
Mit Schreiben vom 2.12.2022 teilt das Bundesverwaltungsgericht mit, dass die Datenschutzbehörde außerordentliche Revision gegen das Erkenntnis des BVwG vom 15.11.2022 einbrachte. Das Verfahren wird nunmehr vom Verwaltungsgerichtshof geführt.
Der Verwaltungsgerichtshof (VwGH) leitet Vorverfahren ein
Mit Schreiben vom 22.3.2024 teilt der Verwaltungsgerichtshof mit, dass über die außerordentliche Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichte vom 15. November 2022 gemäß § 36 VwGG das Vorverfahren eingeleitet wird.
Der Verwaltungsgerichtshof (VwGH) beschließt Einstellung des Verfahrens
Im Anhörungsverfahren hatte die POST AG erklärt, dass zwischenzeitlich (nach immerhin 5 Jahren) die geforderten Informationen nach Art. 15 DSGVO gegeben wurden und die Revision damit gegenstandslos geworden sei. Möglich war dies geworden, weil die POST AG bei der Abholung eines RSb Brief durch Scannen des Ausweises das Geburtsdatum ausgelesen hatte und - wiederum die DSGVO verletzend - die Daten zweckfremd verarbeitet hat. (Hier ist eine Beschwerde anhängig.)
Problematisch bleibt, dass damit der in der Sache mehr als zweifelhafte Entscheid des Bundesverwaltungsgerichts, den die Datenschutzbehörde in ihrer Begründung der außerordentlichen Revision des Entscheids des BVwG als eine verfehlte Auslegung von Unionsrecht contra legem
bezeichnete.
Der VwGH erklärt: Ein Einstellungsfall (wegen Gegenstandslosigkeit) liegt insbesondere auch dann vor, wenn der Revisionswerber (infolge Änderung maßgeblicher Umstände) kein rechtliches Interesse mehr an einer Sachentscheidung des Gerichtshofes hat. Das Rechtsschutzinteresse ist immer dann zu verneinen, wenn es (auf Grund der geänderten Umstände) für die Rechtsstellung des Revisionswerbers keinen Unterschied mehr macht, ob die angefochtene Entscheidung aufrecht bleibt oder aufgehoben wird bzw. wenn die Erreichung des Verfahrensziels für ihn keinen objektiven Nutzen hat, die in der Revision aufgeworfenen Rechtsfragen somit insoweit nur (mehr) theoretische Bedeutung haben.
Ende des Verfahrens
Wie auch immer, was am 9. Januar 2019 mit der Auskunftsanfrage nach Artikel 15 DSGVO bei der POST AG begann, brauchte sage und schreibe 5 Jahre, 7 Monate und 11 Tage bis die Angelegenheit entschieden war.
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 11.6.2019 | fokus.genba | Beschwerde eingereicht per signierter E-Mail | angeforderte Lesebestätigung 11.6.2019 |
| 2 | 12.9.2009 | fokus.genba | E-Mail mit Hinweis, dass die in Artikel 78 Absatz 2 vorgegebenen Frist von drei Monaten, innerhalb der sich die Aufsichtsbehörde mit einer Beschwerde zu befassen hat oder die betroffene Person über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde in Kenntnis zu setzen hat. Die Datenschutzbehörde wird um Stellungnahme und Auskunft zum Rechtsbehelf geben. |
|
| 3 | 14.9.2019 | fokus.genba | Einschreiben mit der Bitte um Auskunft zum Stand der Befassung mit der Beschwerde und zu möglichem Rechtsbehelf | Das Einschreiben war erforderlich geworden, nachdem auf die Zusendung des E-Mails eine angeforderte Lesebestätigung ausblieb |
| 4 | 23.9.2019 | fokus.genba Telefonische Nachfrage |
Es wurde zwar eine GZ vergeben und eine Sachbearbeiterin zugewiesen. Darüber hinaus konnte keine Auskunft zum Stand der Bearbeitung gegeben werden. Nach dreieinhalb Monaten seitdem die Beschwerde ergangen ist, ließ sich nur so viel in Erfahrung bringen, dass die POST AG offenbar noch nicht einmal zu Stellungnahme aufgefordert wurde. |
|
| 5 | 2.10.2019 | DSB, per EMail |
Mitteilung, verfasst am 30.9.2019, dass die Beschwerde vom 11. Juni 2019 der POST AG zur Stellungsnahme übermittelt wurde |
„ Mitteilung gemäß § 24 Abs. 7 DSG über den Stand des Verfahrens ” - deutlich später als durch die DSGVO (Artikel 78) vorgegeben. |
| 6 | 8.10.2019 | POST AG |
Bittet um Übermittlung des Geburtsdatum des Betroffenen zur Identifizierung |
|
| 7 | 8.10.2019 | fokus.genba an POST AG |
Hinweis, dass (1) anders als nach DSG2000 gem. DSGVO ein Identitätsnachweis im Zusammenhang mit dem Auskunftsersuchen nicht erforderlich ist. Eine Identitätsfeststellung muss bei berechtigten Zweifeln bei der Erteilung der Auskunft, d.h. Übergabe der Kopien der Daten erfolgen. Durch postalische Zustellung via eigenhändig zu Übernehmen und mit Übernahmeschein kann der Identitätsnachweis zweifelsfrei erfolgen. (2) ein Geburtsdatum keinen wirklichen Nachweis einer Identität erbringen kann. (3) Das Prinzip der Datensparsamkeit nach Artikel 5 Absatz 1 lit c steht gegen eine - unbegründete - Überlassung von weiteren Daten. |
|
| 8 | 18.10.2019 | fokus.genba an DSB |
E-Mail Nachfrage zum Verfahrensstand, da die Frist zur Stellungnahme für die Post abgelaufen sein dürfte und bislang keinerlei Nachrichten seitens der POST AG bzw. der DSB eingelangt sind. |
Zwischenbericht: Bis 21.11.2019 keinerlei Antwort oder Reaktion auf E-Mail erhalten |
| 9 | 09.12.2019 | DSB |
Übermittlung der Stellungnahme der POST AG vom 4.11.2019, mit Hinweis zur Möglichkeit der Stellungnahme binnen zweier Wochen. Die POST AG argumentiert im Wesentlichen, dass ohne die Angabe des Geburtsdatums die Identifizierung der personenbezogenen Daten nicht möglich sei. |
per E-Mail Fristenlauf ist nicht nachvollziehbar. Wenn die DSB der POST AG spätestens mit 30.9. die Aufforderung zur Stellungnahme zur Beschwerde übermittelte, die Frist für Parteiengehört zwei Wochen beträgt, wie kann dann die POST AG erst mit 4.11. ihre Stellungnahme verfassen? Üblicherweise verbindet sich mit Fristversäumnis die Anerkennung der Beschwerde. |
| 10 | 18.12.2019 | fokus.genba an DSB | Fristgerecht wird eine Stellungsnahme im Rahmen des Parteiengehörs als Erwiderung auf die Stellungnahme der POST AG abgegeben. Den Text der Stellungnahmen finden Sie hier: Erwiderung zur Stellungnahme der POST AG Bitte beachten Sie, dass der Text urheberrechtlich geschützt ist und ausschließlich zum persönlichen Gebrauch gedacht ist. |
per E-Mail, Eingeschrieben |
| 11 | 2.5.2020 | fokus.genba an DSB | Nachfrage zum Stand der Bearbeitung | per Telefon Wegen Überlastung verzögern sich die Entscheidungen. |
| Obwohl die Entscheidungsfrist am 11.12.2019 abgelaufen ist, kam es bis 14. Mai 2020 noch immer zu keiner Entscheidung | ||||
| 12 | 14.5.2020 | fokus.genba an DSB | Säumnisbeschwerde | via E-Mail im Anhang (Lesebestätigung erhalten) |
| 13 | 16.6.2020 | dsb.gv.at |
Mitteilung zur Säumnisbeschwerde gemäß Art. 130 Abs. 1 Z 3 B-VG über den Eingang der Säumnisbeschwerde und der GZ unter der diese geführt wird. Es wird zudem mitgeteilt, dass die DSB, so sie den ausstehenden Entscheid nicht binnen der gesetzlichen Frist von drei Monaten erledigt, diesen Vorgang samt Anlagen an das BVwG weiterleiten wird. Entsprechend wurde ein Zahlungsnachweis für die bei Beschwerden ams BVwG fällige Gebühr in Höhe von EUR 30,—per Fristsetzung von zwei Wochen gefordert. |
Erstmalige Mitteilung der GZ, die für die Überweisung der Gerichtsgebühr erforderlich ist. Dennoch wird der Umstand, dass dies nicht bereits geschehen ist, als „Mangel” der Säumnisbeschwerde qualifiziert. |
| 14 | 17.6.2020 | fokus.genba |
Übermittlung des Zahlungsnachweises der Gerichtsgebühr im Anhang eines E-Mails. |
Automatische Lesebestätigung vom Tag (die allerdings nicht gerichtsfest ist) Die angeforderte Bestätigung erfolgte nicht. |
| 15 | 23.6.2020 | fokus.genba |
Zusätzliche Übermittlung des Zahlungsnachweises per Einschreiben |
|
| 16 | 10.7.2020 | dsb.gv.at |
Bescheid zur Beschwerde. Der Beschwerde gegen die POST AG wird stattgegeben. Die POST AG wird aufgefordert binnen vier Wochen dem Antrag auf Auskunft nach Artikel 15 DSGVO zu entsprechen. |
per E-Mail, Pdf |
| 17 | 16.7.2020 | dsb.gv.at | Bescheid der Datenschutzbehörde, dass das Säumnisbeschwerdeverfahren eingestellt wurde, ohne das BVwG befasst haben zu müssen („Eine Aktenvorlage an das Bundeverwaltungsgericht im Sinne des § 16 Abs. 2 VwGVG hatte daher nicht zu erfolgen.”) |
per E-Mail, Pdf |
| 18 | 7.8.2020 | Beschwerde der POST AG gegen den Entscheid der Datenschutzbehörde (DSB) beim Bundesverwaltungsgericht (BVwG) |
In diesem Verfahren ist fokus.genba keine Partei und hat daher keine Einsicht in den Verlauf. |
|
| 19 | 23.9.20 | dsb.gv.at → BVwG | Stellungnahme der Datenschutzbehörde zur Beschwerde der POST AG gegen den Bescheid. |
Stellungnahme wurde erst am 29.7.22 zur Kenntnis gebracht. |
| 20 | 29.6.2022 | fokus → Volksanwaltschaft | Nachdem das BVwG die gesetzliche Entscheidungsfrist von einem halben Jahr um ein Mehrfaches überzogen hat, wurde eine Beschwerde bei der Volksanwaltschaft eingebracht. |
|
| 21 | 22.7.2022 | volksanwaltschaft → fokus | Die Volksanwaltschaft teilt mit, dass sie Säumnisbeschwerde beim BVwG eingebracht hat. Das BVwG teilte der Volksanwaltschaft mit, dass der Vorgang bis Jahresende abgeschlossen werden wird. |
|
| 22 | 27.7.2022 | BVwG → fokus | In einem RSA zugestellten Brief räumt das BVwG gem. §10 Verwaltungsgerichtsverfahrensgesetz die Gelegenheit ein, mich sowohl zum Entscheid der Datenschutzbehörde (der im Sinne des Betroffenen getroffen wurde) als auch zur Beschwerde seitens der POST AG mit Fristsetzung von 14 Tagen (mitten in der Urlaubszeit) zu äußern. |
|
| 23 | 02.08.2022 | fokus → BVwG | Stellungnahme abgegeben |
|
| 24 | 25.10.2022 | BVwG → fokus | In einem RSA zugestellten Brief räumt das BVwG gegen eine neuerliche Stellungnahme der Post AG zur Stellungnahme vom 2.8.2022 die Gelegenheit zur Äußerung ein |
Eine Rückfrage bei der Datenschutzbehörde ergab Befremdliches: Erst damit wurde die Behörde aufmerksam, dass das BVwG ihr eine Stellungnahme eingeräumt hatte. Die Sachbearbeiterin war auf Urlaub und wäre bis zum Ablauf der Frist noch nicht wieder zurück. Daher sei es offen, ob eine Stellungnahme abgegeben würde. |
| 25 | 28.10.2022 | fokus → BVwG | Stellungnahme abgegeben |
per E-Mail |
| 26 | 15.11.2022 | BVwG → fokus | Das BVwG folgt dem Beschwerdeführer gegen den Entscheid der Datenschutzbehörde. Erkenntnis des BVwG: Die Beschwerde des Betroffenen wird als unbegründet abgewiesen. |
per RSa |
| 27 | 2.12.2022 | BVwG → fokus | Das BVwG stellt die außerordentliche Revision gegen das Erkenntnis des BVwG mit. Das Verwaltungsgerichtshof ist dafür zuständig |
per RSa |
| 28 | 22.3.2024 | VwGH → fokus | Der VwGH teilt mit, dass über die außerordentliche Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 15. November 2022 das Vorverfahren eingeleitet wird (Verfahrensleitende Anordnung) |
per RSa |
| 29 | 15.4.2024 | fokus → VwGH | Mitteilung an den VwGH, dass sich fokus der außerordentlichen Revision der Datenschutzbehörde gegen das Erkenntnis des Bundesverwaltungsgerichts vom 15.11.2022 vollinhaltlich anschließt |
|
| 30 | 17.6.2024 | VwGH → fokus |
Der VwGH übersendet eine Stellungnahme der Post AG, in der diese mitteilt, dass sich die Angelegenheit mehr oder minder erledigt habe, weil im Zusammenhang mit einer weiteren Beschwerde (siehe folgende) das Geburtsdatum bekannt geworden war. Die Auskunft sei per E-Mail erteilt worden. |
per RSb |
| 31 | 21.6.2024 | fokus → VwGH |
Replik zur Stellungnahme der POST AG - Forderung: dass eine weitere Rechtsverletzung (zweckwidrige Weiterverarbeitung einer Ausweiskopie/ ausgelesener Daten eines Lichtbildausweises) nicht dazu geeignet ist, die erste Rechtsverletzung aufzuheben. |
Eingeschrieben |
| 32 | 20.8.2024 | VwGH → fokus |
Beschluss: „Die Revision wird als gegenstandslos geworden erklärt und das Verfahren eingestellt.” |
RSb |
Beschwerde gegen Post AG wegen Verletzung der Informationspflicht nach Art. 13 DSGVO
Wiederholt war ich gezwungen, bei der Abholung einer Postsendung (Einschreiber, RSb …) meinen Personalausweis scannen lassen zu müssen. Darüber hinaus musste ich digital unterschreiben, obwohl am Abholzettel dafür ein Feld vorgesehen ist, um den Empfang analog quittieren zu können. Die Aushändigung der Postsendung wurde davon zwingend abhängig gemacht.
Es wurde für die Erfordernis, den Reisepass scannen zu lassen weder eine Begründung (zB nach Artikel 12 Abs. 6 DSGVO) gegeben noch eine Rechtsgrundlage benannt, auch nicht dafür, die Unterschrift zwingend digital zu leisten.
Dazu fehlten jegliche datenschutzrechtlich erforderliche Informationen nach Artikel 13 DSGVO.
- zum Auskunftsrecht der Person, deren personenbezogene Daten verarbeitet werden (Artikel 15)
- zum Recht zur Berichtigung (Artikel 16) oder Löschung (Artikel 17) oder Einschränkung der Verarbeitung (Artikel 18)
- zum Widerspruchsrecht (Artikel 21) gegen die Verarbeitung und
- zum Recht auf Datenübertragbarkeit (Portabilität) (Artikel 20)
- sowie zur Information über das Beschwerderecht bei einer Aufsichtsbehörde
Es wurden weder Namen und Kontaktdaten des Verantwortlichen mitgeteilt bzw. des Datenschutzbeauftragten, noch der Zweck, weshalb diese Daten zwingend so verarbeitet (digital gescannt und gespeichert) werden müssen.
Auf Nachfrage wurde bei der Abholstation erklärt, man bekäme lächerliche 4 Cent für die Aushändigung des Briefes, was zu wenig sei, um auch noch mit Kunden zu reden. Außerdem, so wurde mir versichert, wüssten die Betreiber der Abholstation nichts über eine Informationspflicht und es würde sie auch nicht interessieren.
Ergänzung: Verstoß gegen das Prinzip der Datensparsamkeit /-minimierung (Artikel 5 Absatz 1 lit c ):
Die geforderte Identitätsfeststellung wäre zu leisten, in dem der Angestellte den gezeigten Personalausweis mit mir vergleicht und die Identität feststellt. Die analoge Unterschrift auf dem Abholforumlar - das dafür ein Unterschriftsfeld vorsieht - wäre völlig ausreichend, um die Übergabe nachweisbar zu quittieren.
Es gibt keinen sachlichen Grund, personenbezogene Daten digital zu erfassen, bzw. einen Scan des Personalausweises anzufertigen.
Beschwerde
Die Beschwerde wurde am 15.4.2024 online eingebracht.
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 04.04.2024 | Vorfall der zur Beschwerde führte | Linz, Post Abholstation | |
| 2 | 15.04.2024 | fokus.genba → DSB | Online Beschwerde wegen Verletzung der Informationspflicht | |
| 3 | 10.6.2024 | DSB → fokus | DSB schickt im Zuge des Parteiengehörs die Stellungnahme der Post AG | per E-Mail |
| 4. | 17.6.2024 | Post AG → VwGH | Die Post AG teilt im Rahmen eines anderen Verfahrend dem VwGH mit, dass sie im Zuge der Abholung eines RSb Briefes, wobei der Lichtbildausweis gescannt wurde, in den Besitz der Angabe des Geburtsdatums gekommen sei. Das wiederum stellt, nach Auffassung von fokus, einen Verstoß gegen das Art. 5 Abs. 1 lit. b DSGVO, das Prinzip der Zweckbindung dar. |
(Querverweis) |
Beschwerde gegen World4You GmbH und Prüfantrag
World4You ist ein Hostingprovider mit Sitz in Linz. Nachdem wiederholt Nachfragen zur Sicherheit der Verarbeitung von personenbezogenen Daten unbeantwortet blieben wurde eine Artikel 15 DSGVO Auskunftsanforderung gestellt. Da diese ebenfalls unbeantwortet blieb, wurde wegen Verletzung des Betroffenenrechts auf Auskunft eine Beschwerde bei der Datenschutzbehörde eingereicht.
Unabhängig von der Beschwerde wurde ein Prüfantrag eingebracht (Art 28 Abs 3 lit b), ob World4You das durch die DSGVO geforderte Sicherheitsniveau im Umgang mit personenbezogenen Daten garantieren kann - nachdem das Unternehmen keinen SFTP oder FTPS Zugang anbietet und Server Anwender Kommunikation (Download, Upload) über das unverschlüsselte und daher allgemein einsehbare FTP Protokoll erfolgt.
Beschwerde
Die Beschwerde wurde am 30.11.2020 eingereicht. Die in der DSGVO mit Vierteljahresfrist verlangte Auskunft zum Bearbeitungsstand ist zum 26.3.2021 nicht erfolgt. Telefonisch musste die GZ in Erfahrung gebracht werden, um zum aktuellen Stand der Bearbeitung Anfragen stellen zu können. Nach einer ersten, mangelhaften Stellungnahme von World4You zur Beschwerde, wurde das Unternehmen erneut aufgefordert. Diese Aufforderung hat World4You unbeantwortet gelassen. Das Unternehmen wird von der DSB nochmals aufgefordert und darauf hingewiesen, dass es eine Mitwirkungspflicht im Rahmen des Beschwerdeverfahrens gibt. (Stand 29.3.2021)
Eine erteilte Auskunft war unvollständig, was zur Folge hatte, dass das ursprüngliche Beschwerdeverfahren eingestellt wurde und wegen mangelhafter Auskunft ein neues Beschwerdeverfahren eröffnet werden musste.
Schließlich hat World4You die angeforderte Auskunft vollständig erteilt und so konnte auch dieses Verfahren eingestellt werden.
Prüfantrag
Zum Prüfantrag gab es bislang (26.3.2021) keinerlei schriftliche Reaktion seitens der Datenschutzbehörde. Eine telefonische Nachfrage ergab, dass der Prüfantrag eingelangt und in Bearbeitung sei. Wie lange es brauche, um zu einer Entscheidung darüber zu kommen konnte man nicht sagen.
Zusammenfassung
Im Fall der Beschwerde: Bei einem einigermaßen professionellem Datenschutzmanagement bei World4You wären die entstandenen Aufwände und Kosten von zwei Beschwerdeverfahren leichtens vermeidbar gewesen.
Der Prüfantrag ist Ende April noch in Bearbeitung. Einen aktuellen Kenntnisstand dazu gibt es nicht.
| # | Datum | Von | Betreff / Inhalt | Bemerkung |
|---|---|---|---|---|
| 1 | 30.11.2020 | fokus.genba → DSB | Beschwerde eingereicht per signierter E-Mail | Lesebestätigung DSB vom Tag |
| 2 | 03.12.2020 | fokus.genba → DSB | Prüfantrag eingereicht per signierter E-Mail | Lesebestätigung DSB vom Tag |
| 3 | 21.01.2021 | w4y → fokus.genba | Im Zuge der Aufforderung durch die DSB hat w4y per eMail die Auskunftsanfrage beantwortet - Allerdings nicht vollständig | Eine direkte Nachfrage bei w4y und bitte um vollständige Auskünfte blieb unbeantwortet. |
| 4 | 21.01.2021 | fokust → w4y | Mitteilung, dass es eine Auskunft gegeben habe, diese jedoch unvollständig ist. die Antwort auf die Auskunftsanfrage unvollständig ist. | |
| 5 | 17.03.2021 | fokus.genba → DSB | Telefonische Nachfrage zum Bearbeitungsstand, nachdem seitens der DSB keine Benachrichtigung zum Bearbeitungsstand gem. DSGVO erfolgte: GZ der Beschwerde und GZ zum Prüfantrag wurden mitgeteilt Beide Vorgänge befinden sich in Bearbeitung. |
|
| 6 | 29.03.2021 | DSB → fokus.genba | Telefonische Nachfrage, ob W4Y dem Beschwerdeführer gegenüber die noch offenen Auskünfte mittlerweile erteilt hätte. Der Beschwerdeführer hatte eine im Zuge des Verfahrens gegebene Auskunft als unvollständig bezeichnet und daher darauf bestanden, die Beschwerde fortzuführen. W4Y hat auf die neuerliche Aufforderung der DSB zum Beharren des Beschwerdeführers, dass die erteilte Auskunft unvollständig sei, Stellung zu nehmen, bislang nicht geantwortet. Die DSB wird W4Y auf die ausstehende Antwort erneut hinweisen und darauf, dass eine Mitwirkungspflicht besteht. |
|
| 7 | 07.04.2021 | DSB → fokus.genba |
Aus formalen Verfahrensgründen wird die Beschwerde wegen nicht erteilter Auskunft eingestellt, da eine Auskunft erteilt wurde. Dabei sei nicht ausschlaggebend, ob diese Auskunft vollständig oder mangelhaft sei. Da die erteilte Auskunft von w4y unvollständig war, wurde im Zuge der Einstellung des einen Verfahrens zugleich ein neues Beschwerdeverfahren eröffnet, das die unvollständige und mangelhafte Auskunft zum Gegenstand hat. |
|
| 8 | 23.04.2021 | w4y → fokus.genba |
Die ausstehenden Auskünfte wurden nach Aufforderung durch die DSB im neuen Beschwerdeverfahren per eMail übermittelt. |
Die Auskunftsanfrage vom 15.10.2020 brauchte über ein halbes Jahr und zwei Beschwerdeverfahren, damit w4y dieser nachgekommen ist. Das Verhalten des Unternehmens hat Aufwände und Kosten verursacht, die bei einem professionellem Datenschutzmanagement vermeidbar gewesen wären. |
| 9 | 23.04.2021 | fokust → DSB |
Mitteilung an die Datenschutzbehörde, dass die ausstehende Auskunft erteilt wurde und daher die Beschwerde gegenstandslos geworden ist. |
Empfehlungen an die Datenschutzbehörde
Aus den Erfahrungen lassen sich einige Empfehlungen ableiten, die der Datenschutzbehörde zur Umsetzung nahegelegt werden. Das wäre nicht nur der Bürgerorientierung geschuldet, sondern auch einer Verbesserung sogenannter User Experience im Verfahren.
Minimale Anforderungen
- Bestätigung einer eingegangenen Beschwerde samt Hinweis zur weiteren Bearbeitung und zu den erwartbaren Zeitläufen
- Mitteilung welcher Sachbearbeiter, beziehungsweise welche Sachbearbeiterin den Vorgang unter welcher GZ bearbeitet sowie
- Information über die weiteren Schritte im Zuge der Bearbeitung der Beschwerde, samt Rechtshinweise auch bzgl. Rechtsbehelfe
- Effektives und effizientes Dokumentenmanagement, um zu vermeiden, dass eingelangte Unterlagen verspätet Sachbearbeiter*innen zur Verfügung stehen und so bei behördlichen Schreiben nicht berücksichtigt werden.
- Berücksichtigung der gesetzlich vorgegebenen Frist von drei Monaten nach Artikel 78 Absatz 2 DSGVO bzgl. Auskunft über den Stand der Bearbeitung
- Berücksichtigung der gesetzlich vorgegebenen Frist von sechs Monaten bis zur Entscheidungsfindung nach § 34 VwGVG
- Auf der Webseite der Datenschutzbehörde sollte ein Hinweis auf die Möglichkeit einer Säumnisbeschwerde gegeben werden, dazu über die Voraussetzungen zu deren Einbringung.
- Auf der Webseite der Datenschutzbehörde sollten Hinweise zum Umgang mit einem Entscheid und Exektuionstitel dazu gegeben werden.
Veränderung des Mindsets
Das Mindset der Datenschutzbehörde in Österreich wirkt obrigkeitlich, bürgerfern bis bürgerfeindlich und technokratisch-bürokratisch. Es ist nicht auf der Höhe eines Behördenverständnisses wie es die DSGVO vor Augen hat und es ist weit entfernt von einer angemessenen Service- und Bürgerkultur. Ein grundlegender Kulturwandel wäre dringend erforderlich.
Hinweis:
Die Inhalte unserer Internetseiten werden mit größter Sorgfalt recherchiert. Dennoch kann der Anbieter keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität der bereit gestellten Informationen übernehmen. Auf dieser Website werden allgemeine Informationen angeboten die keine Rechtsberatung darstellen und auch keine ersetzen können. Wir übernehmen keine Haftung für unmittelbare oder mittelbare Schäden, gleich aus welchem Rechtsgrund, die im Zuge der Nutzung dieser Website entstehen könnten. Zur Lösung von konkreten Rechtsfällen konsultieren Sie bitte unbedingt einen Rechtsanwalt.