Jurisdictional incompetence of data protection authority under EU Directive 95/46/EC regarding credit data deletion and access rights.

Spruchpunkt 2. des angefochtenen Bescheides wird wegen Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde aufgehoben.

Der Bund hat dem Beschwerdeführer Aufwendungen in der Höhe von EUR 1.326,40 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.

1.1. Am 17. April 2009 richtete die mitbeteiligte Partei eine Beschwerde an die belangte Behörde, in der eine Verletzung im Recht auf Auskunft durch die D GmbH als Erstbeschwerdegegner und den Beschwerdeführer als Inhaber des unter der Firma K betriebenen Unternehmens als Zweitbeschwerdegegner geltend gemacht wurde.

1.2. Mit dem angefochtenen Bescheid wies die belangte Behörde unter Spruchpunkt 1. die Beschwerde des Mitbeteiligten gegen die D GmbH ab und gab der Beschwerde des Mitbeteiligten gegen den Beschwerdeführer statt und stellte unter Berufung auf § 1 Abs. 3, § 6 Abs. 1 Z 1 und §§ 26 und 31 Abs. 1 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999, die Verletzung des Mitbeteiligten in seinem Recht auf Auskunft fest.

Da dem Mitbeteiligten im November 2008 der Abschluss eines Servicevertrags mit einem Telekommunikationsunternehmen verweigert worden sei, habe er mit Schreiben vom 24. November 2008 Information über den Grund dieser Ablehnung begehrt. Das Telekommunikationsunternehmen habe ihm mit Schreiben vom 27. November 2008 mitgeteilt, dass es Daten zu seiner Bonität von der D GmbH erhalten habe, sodass er sich an diese mit einer Selbstauskunft wenden könne. Am 10. Dezember 2008 habe der Mitbeteiligte die D GmbH nach Hinweis auf die Vorkorrespondenz um Bekanntgabe einer Reihe von Informationen ersucht.

Im Februar 2009 wandte sich der Mitbeteiligte sodann an den Beschwerdeführer mit einem Auskunftsersuchen, auf welches ihm geantwortet wurde, dass "über Daten, die bereits gelöscht wurden keine Auskunft mehr gegeben werden" könne.

Nach Wiedergabe weiterer Details des Sachverhalts, der Überlegungen zur Beweiswürdigung und der einschlägigen Bestimmungen des DSG 2000 führte die belangte Behörde begründend aus, die D GmbH verwende, wie der belangten Behörde aus mehreren früheren Verfahren amtsbekannt sei, für Bonitätsauskünfte nicht nur Daten, die sie aus eigenem ermittelt habe, sondern ermögliche über ihr Internet-Portal auch den Zugang zu Daten des Beschwerdeführers. Diese Tätigkeit sei datenschutzrechtlich als Erbringung einer Dienstleistung durch die D GmbH für den Beschwerdeführer zu qualifizieren (Hinweis auf den Bescheid der belangten Behörde vom 14.

September 2007, Zl. K 121.292/0011- DSK/2007). Dem stünden auch nicht die vom Mitbeteiligten zitierten Ausführungen in den allgemeinen Geschäftsbedingungen der D GmbH entgegen, da sie auch eine Auftraggeberrolle ausübe, allerdings nur im Hinblick auf die von ihr selbst ermittelten Daten. In Bezug auf diese zuletzt bezeichneten Daten habe die D GmbH mit Schreiben vom 8. Jänner 2009 Auskunft erteilt. Gegen die Richtigkeit und Vollständigkeit dieser Auskunft seien keine relevanten Hinweise vorgebracht worden. Soweit die D GmbH Auftraggeber für Daten des Mitbeteiligten sei, habe sie somit ihre Auskunftsverpflichtung nach § 26 Abs. 1 DSG 2000 erfüllt.

§ 26 Abs. 1 DSG 2000 enthalte tatsächlich keine Verpflichtung, den Inhalt von "Mitteilungen an Dritte über gespeicherte Daten" zu beauskunften - Gegenstand der Auskunftsverpflichtung seien vielmehr der Inhalt der über den Auskunftswerber gespeicherten Daten und die Offenlegung der Identität von allfälligen Übermittlungsempfängern dieser Daten. Die D GmbH habe zusätzlich zur Erteilung einer Auskunft über die von ihr als Auftraggeberin zu verantwortenden Daten jedoch einen weiteren Schritt in ihrer Rolle als Dienstleisterin des Beschwerdeführers gesetzt, indem sie diesem Mitteilung davon machte, dass der Mitbeteiligte bei ihr auch Auskunft über Daten verlangt habe, für die der Beschwerdeführer Auftraggeber sei.

Der Beschwerdeführer habe daraufhin die bei ihm über den Mitbeteiligten gespeicherten Daten umgehend gelöscht. Nun sei zwar einzuräumen, dass im Zeitpunkt der Löschung ein ausdrücklich an den Beschwerdeführer adressiertes Auskunftsbegehren noch nicht vorlag, doch müsse in der vorliegenden Löschung aus folgenden Gründen dennoch ein Verstoß gegen das Löschungsverbot des § 26 Abs. 7 DSG 2000 gesehen werden, welcher dazu führe, dass der Mitbeteiligte in seinem Recht auf Auskunft verletzt worden sei. Zum einen spreche § 26 Abs. 7 DSG 2000 lediglich von "der Kenntnis von einem Auskunftsverlangen".

Zwar werde der häufigste Fall der sein, dass ein Auskunftsverlangen beim Auftraggeber einlangt, aber auch Fälle wie der vorliegende, dass nämlich der Auftraggeber von einem bei seinem Dienstleister eingelangten Auskunftsverlangen verständigt wird, erfülle den Tatbestand der "Kenntnis eines Auskunftsverlangens". Andernfalls hätte der Gesetzgeber wohl (nur) angeordnet, dass ab Einlangen eines Auskunftsverlangens beim Auftraggeber dieser einem Löschungsverbot unterliege. Dies umso mehr, als aufgrund der Sachlage klar gewesen sei, dass nicht (nur) die von der D GmbH als Auftraggeber verarbeiteten allgemein verfügbaren Daten im Zentrum des Interesses des Mitbeteiligten stünden, sondern (auch) die vom Beschwerdeführer stammenden negativen Zahlungserfahrungsdaten.

Aus diesem Grunde sei auch die Verständigung des Beschwerdeführers durch die D GmbH erfolgt.

Der Beschwerdeführer habe dadurch, dass er das Löschungsverbot des § 26 Abs. 7 DSG 2000 missachtet habe, den Mitbeteiligten in seinem Recht auf Auskunft verletzt.

1.3. Der Beschwerdeführer bekämpft diesen Bescheid vor dem Verwaltungsgerichtshof, soweit damit über die Beschwerde des Mitbeteiligten gegen ihn entschieden wird (Spruchpunkt 2.), wegen Rechtswidrigkeit seines Inhaltes.

1.4. Die belangte Behörde hat die Verwaltungsakten vorgelegt und eine Gegenschrift erstattet, in der die kostenpflichtige Abweisung der Beschwerde als unbegründet beantragt wird.

2. Der Verwaltungsgerichtshof hat erwogen:

Spruchpunkt 2. des angefochtenen Bescheides stützt sich auf § 1 Abs. 3, § 6 Abs. 1 Z 1 und §§ 26 und 31 Abs. 1 Datenschutzgesetz 2000 (DSG 2000).

Der vorliegende Beschwerdefall gleicht daher hinsichtlich der unionsrechtlichen Problematik der organisatorischen Stellung der belangten Behörde jenem, der mit dem hg. Erkenntnis vom 24. April 2013, Zl. 2011/17/0156, zu entscheiden war. Auf die Entscheidungsgründe dieses Erkenntnisses kann gemäß § 43 Abs. 2 VwGG verwiesen werden. Eine Ausnahme vom Anwendungsbereich der Richtlinie 95/46/EG im Sinne des Art. 3 Abs. 2 der Richtlinie liegt nicht vor.

Sohin erweist sich auch der den Beschwerdeführer betreffende Spruchpunkt 2. des hier angefochtenen Bescheides als mit Rechtswidrigkeit infolge Unzuständigkeit der belangten Behörde belastet.

Der angefochtene Bescheid war daher insoweit gemäß § 42 Abs. 2 Z 2 VwGG aufzuheben.

Die Kostenentscheidung gründet sich auf die §§ 47 ff VwGG in Verbindung mit der VwGH-Aufwandersatzverordnung 2008, BGBl. II Nr. 455.

Wien, am 28. Mai 2013