Retention of deletion records for documentation purposes in mooted erasure proceedings under DSG

Die Revision wird zurückgewiesen.

11. Der Revisionswerber stellte am 6. April 2020 an die belangte Behörde den Antrag soweit für das Revisionsverfahren von Relevanz auf Feststellung der Verletzung seines Rechts auf Löschung personenbezogener Daten.

2Er habe sich im Jahr 2013 bei der Mitbeteiligten unter Vorlage bestimmter Dokumente beworben. Die Mitbeteiligte habe seine Daten jahrelang aufbewahrt, obwohl an seiner Bewerbung kein Interesse bestanden habe. Nach Aufforderung, die Daten zu löschen, sei nach wie vor ein Datensatz mit seinem Namen, Geburtsdatum, Herkunft der Daten, seine EmailAdresse sowie ein Vermerk betreffend das Datum der Löschung der übrigen Daten gespeichert worden. Eine Löschung erfordere jedoch die unwiderrufliche Entfernung sämtlicher Rückschlussmöglichkeiten auf die betroffene Person und erlaube nicht die Aufbewahrung der Daten zu Dokumentationszwecken betreffend den Löschungsvorgang.

3Mit Bescheid vom 25. August 2021 stellte die belangte Behörde fest, dass die Mitbeteiligte den Revisionswerber in seinem Recht auf Löschung verletzt habe, weil diese die oben genannten Daten nach der Aufforderung zur Löschung weiterhin verarbeitet habe und trug unter einem der Mitbeteiligten die Löschung dieser Daten auf.

4Gegen diesen Bescheid erhob die Mitbeteiligte Beschwerde.

52. Mit dem angefochtenen Erkenntnis gab das Verwaltungsgericht der Beschwerde der Mitbeteiligten Folge, behob den angefochtenen Bescheid ersatzlos und verfügte die Einstellung des Verfahrens gemäß § 24 Abs. 6 DSG.

6Das Verwaltungsgericht traf die Feststellung, mit EMail vom 21. Jänner 2020 habe die Mitbeteiligte dem Revisionswerber folgende Auskunft erteilt:

„Vielen Dank für Ihre nachstehende EMail. Gerne teilen wir Ihnen mit, dass wir sämtliche Daten, Anhänge etc. im Zusammenhang mit Ihrer Bewerbung gelöscht haben. Gleichzeitig informieren wir Sie darüber, dass wir, um unseren eigenen Dokumentationsverpflichtungen zur Datenlöschung nachzukommen, folgenden Datensatz im ITSystem der XXX Österreich speichern: [Name], geboren am X.X.1979, mailto XXX, Bewerbung 2013, Daten gelöscht am 20.01.2020“. (Anonymisierung durch den VwGH)

7Nach Erhebung der datenschutzrechtlichen Beschwerde durch den Revisionswerber habe die Mitbeteiligte in einer ihr von der belangten Behörde aufgetragenen Stellungnahme vom 26. Mai 2020 u.a. folgenden Inhalt eines Schreibens an den Revisionswerber vom selben Tag mitgeteilt:

„Wir weisen die von Ihnen behaupteten Rechtsverletzungen hinsichtlich des Datenschutzgesetzes zurück. Nach unserem bisherigen Rechtsverständnis haben wir sämtliche Löschungen vorgenommen, die datenschutzrechtlich geboten sind und zwar spätestens zum 20.01.2020. Lediglich zu internen Dokumentationszwecken, um uns eben gerade bei behaupteten Datenschutzverletzungen durch interne Dokumentation angemessen rechtfertigen zu können, haben wir die Datenlöschung im ITSystem eingeschränkt dokumentiert, nämlich dem Löschungsdatensatz Ihren Namen, Ihr Geburtsdatum, Ihre EMailAdresse, die Herkunft der Daten (Bewerbung 2013) vorangestellt. Wir haben die Löschung der Daten vorgenommen, obwohl uns im Jahr 2013 wohl ganz generell wahrscheinlich eine Datenschutzerklärung vorgelegen sein wird. Dies in Ihren konkreten Fall nunmehr darzulegen, ist uns allerdings gerade wegen der erfolgten Löschung nicht mehr möglich.

Um ein zeitaufwendiges Verfahren zu vermeiden, haben wir dennoch am 26.05.2020 den von Ihnen beanstandeten Datensatz gelöscht und übermitteln Ihnen das diesbezügliche Löschprotokoll zur Information.

Aufgrund der bereits erfolgten Löschung der ursprünglichen Daten (nach Ihren Angaben in der vorliegenden Beschwerde an die Datenschutzbehörde z.B. Kopien von Zeugnissen) stehen uns diese nicht mehr zur Verfügung und können Ihnen von uns daher auch nicht übermittelt werden.

Schließlich teilen wir Ihnen mit, dass wir Ihre Daten nicht an Dritte weitergegeben haben“.

8Im Zusammenhang mit der Vornahme der Löschung des ursprünglich gespeicherten Datensatzes habe die Mitbeteiligte einen eigenen „Löschungsdatensatz“ angelegt, in dem sie den Namen, das Geburtsdatum, die EMailAdresse sowie die Herkunft der Daten (Bewerbung 2013) in Bezug auf den Revisionswerber gespeichert habe. Nach Einlangen der Datenschutzbeschwerde und vor dem 26. Mai 2020 habe die Mitbeteiligte auch diesen Datensatz vollständig aus ihrem EDVSystem gelöscht.

9In rechtlicher Hinsicht folgerte das Verwaltungsgericht, Gegenstand des bekämpften Bescheides sei die Frage, ob die Mitbeteiligte den Revisionswerber dadurch im Recht auf Löschung verletzt habe, dass sie anlässlich des Antrags auf Löschung vom 17. Jänner 2020 Daten des Revisionswerbers verarbeitet und nicht gelöscht habe. Gemäß § 24 Abs. 6 DSG könne ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspreche. Erscheine der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so habe sie den Beschwerdeführer dazu zu hören. Gleichzeitig sei er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen werde, wenn er nicht innerhalb einer angemessenen Frist begründe, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachte. Werde durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so sei von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls sei das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Dabei komme es nicht allein auf die (subjektive) Begründung des Beschwerdeführers an, sondern es werde darauf ankommen, ob der Beschwerdeführer der Behauptung des Verantwortlichen Stichhaltiges entgegenhalte. Fallbezogen sei am 26. Mai 2020 eine gänzliche Löschung der von der Mitbeteiligten verarbeiteten Daten erfolgt. Da die Mitbeteiligte die Daten des Revisionswerber bis zum Abschluss des Verfahrens vor der belangten Behörde zur Gänze gelöscht habe, sei die behauptete Rechtsverletzung im Sinne des § 24 Abs. 6 DSG nachträglich beseitigt worden. Aufgrund dessen habe die belangte Behörde der Beschwerde betreffend die behauptete Verletzung im Recht auf Löschung zu Unrecht stattgegeben, weshalb der Beschwerde Folge zu geben, der Bescheid gemäß § 28 Abs. 5 VwGVG ersatzlos zu beheben und das Verfahren einzustellen sei. Die Möglichkeit, im Falle der (nachträglichen) Beseitigung der Rechtsverletzung das Verfahren einzustellen, bestehe auch im Falle von Löschungsbegehren, wenn die Folgen der Rechtsverletzung noch während des Verfahrens beseitigt würden.

103. Gegen dieses Erkenntnis richtet sich die außerordentliche Revision.

114. Nach Art. 133 Abs. 4 BVG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.

12Nach § 34 Abs. 1 VwGG sind Revisionen, die sich wegen Nichtvorliegens der Voraussetzungen des Art. 133 Abs. 4 BVG nicht zur Behandlung eignen, ohne weiteres Verfahren mit Beschluss zurückzuweisen.

13Nach § 34 Abs. 1a VwGG ist der Verwaltungsgerichtshof bei der Beurteilung der Zulässigkeit der Revision gemäß Art. 133 Abs. 4 BVG an den Ausspruch des Verwaltungsgerichtes gemäß § 25a Abs. 1 VwGG nicht gebunden. Die Zulässigkeit einer außerordentlichen Revision gemäß Art. 133 Abs. 4 BVG hat der Verwaltungsgerichtshof im Rahmen der dafür in der Revision vorgebrachten Gründe (§ 28 Abs. 3 VwGG) zu überprüfen.

144.1.1. Die Revision bringt zur Begründung der Zulässigkeit vor, die angefochtenen Entscheidung hänge von der Rechtsfrage ab, ob bzw. in welchem Umfang personenbezogene Daten während eines Löschvorganges in die Protokolldatei übernommen und dort weiterverarbeitet werden dürften, um einerseits der Protokollierungsverpflichtung gemäß § 50 DSG zu entsprechen und anderseits den übergeordneten Art. 5, 6 und 17 DSGVO nicht zu widersprechen. Zudem führt die Revision wörtlich aus: „Ferner, wie die Umgehung der Löschverpflichtung gem Art. 17 DSGVO durch die Übernahme personenbezogener Daten in die Protokolldatei verhindert werden kann.“

15Ferner sei die Rechtsfrage zu klären, ob die Übernahme personenbezogener Daten in die Protokolldatei während eines Löschvorganges für einen neuen Verarbeitungszweck gegen Art. 5 und Art. 6 DSGVO verstoße. Diese Rechtsfrage sei auch im gegenständlichen Fall von grundlegender Bedeutung, weil das Verfahren dann nicht einzustellen gewesen wäre, das Erkenntnis dieser Rechtsfrage jedoch überhaupt keine Beachtung schenke.

164.1.2. Die Zulässigkeit der Revision setzt neben einer grundsätzlichen Rechtsfrage im Sinn des Art. 133 Abs. 4 BVG voraus, dass die Revision von der Lösung dieser geltend gemachten Rechtsfrage abhängt (vgl. etwa VwGH 5.6.2020, Ro 2018/04/0023).

17Vorauszuschicken ist, dass Gegenstand dieses Revisionsverfahrens ausschließlich die vom Revisionswerber begehrte Löschung des von der Mitbeteiligten zur Dokumentation der erfolgten Löschung verarbeiteten Datensatzes beinhaltend den Namen, das Geburtsdatum, die Herkunft der gelöschten Daten, den Kontakt und das Datum der Löschung der Bewerbungsdaten des Revisionswerbers durch die Mitbeteiligte ist. Vor dem Hintergrund der Feststellung, dass auch diese Daten noch vor Erlassung des bekämpften Bescheids von der Mitbeteiligten gelöscht worden waren, kommt es für das verfahrensgegenständliche Löschungsbegehren nicht darauf an, welche Daten von einem Verpflichteten zum Zweck der Dokumentation einer Löschung gegebenenfalls weiterverarbeitet werden dürfen, ohne das Recht der betroffenen Person zu verletzen.

184.2. Insofern die Revision ergänzend vorbringt, es sei „ferner die Rechtsfrage [zu beantworten], ob Verstöße gegen die Grundsätze der DSGVO, für die keine Anträge des Beschwerdeführers vorgesehen sind, überhaupt iSd des DSG nachträglich beseitigt werden können“ und „des Weiteren die Rechtsfrage iSd § 502 Abs 1 ZPO aufgrund mehrfacher Rechtswidrigkeit des Inhaltes und Verletzung von Verfahrensvorschriften aufgrund von Aktenwidrigkeit und Ergänzungsbedürftigkeit des Sachverhaltes. Ferner wurden wesentliche Argumente des Revisionswerbers in seiner Beschwerde an die Datenschutzbehörde und auch in seiner Stellungnahme vom 27.10.2020 im Erkenntnis überhaupt nicht berücksichtigt“, lässt eine ausreichende Konkretisierung in Hinblick auf den Verfahrensgegenstand vermissen. Insbesondere ist nicht ersichtlich, warum es sich bei der verfahrensgegenständlichen Verletzung im Recht auf Löschung um einen Verstoß handeln sollte, der nicht von einem Antrag der betroffenen Person abhängig ist.

19In der Revision werden keine Rechtsfragen aufgeworfen, denen im Sinne des Art. 133 Abs. 4 BVG grundsätzliche Bedeutung zukäme. Die Revision war daher zurückzuweisen.

Wien, am 16. Oktober 2024