Bundesverwaltungsgericht (BVwG)

,

W101 2268654-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom 22.12.2022, GZ. D124.4981 2022-0.769.495, zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende und die fachkundige Laienrichterin Mag. Viktoria HAIDINGER als Beisitzerin sowie den fachkundigen Laienrichter Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde des römisch 40 gegen den Bescheid der Datenschutzbehörde vom 22.12.2022, GZ. D124.4981 2022-0.769.495, zu Recht erkannt:

A)

Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.Die Beschwerde wird gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:römisch eins. Verfahrensgang:

Am 05.09.2021 brachte Herr XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) ein, weil er in seinem Recht auf Auskunft verletzt worden sei. Er begründete seine Datenschutzbeschwerde im Wesentlichen folgendermaßen:Am 05.09.2021 brachte Herr römisch 40 (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) ein, weil er in seinem Recht auf Auskunft verletzt worden sei. Er begründete seine Datenschutzbeschwerde im Wesentlichen folgendermaßen:

Der Beschwerdeführer habe bei der mitbeteiligten Partei ein Auskunftsbegehren über sämtliche ihn betreffende personenbezogenen Daten (als ehemaliger Mitarbeiter sowie als Kunde) gestellt, jedoch sei ihm die Auskunft nicht vollständig erteilt worden.

Im übermittelten Auskunftsschreiben der mitbeteiligten Partei würden sich fast keine E-Mails, Termineinträge, Protokolle, Präsentationsunterlagen und Berechnungsunterlagen befinden, die personenbezogene Daten des Beschwerdeführers als ehemaliger Mitarbeiter enthalten würden. Zusätzlich würden Organigramme bzw. deren Änderungen fehlen.

Zum aufrechten Vertrag, den er als Kunde mit der mitbeteiligten Partei abgeschlossen habe, würden sich darüber hinaus keine Zählerstände, Verbrauchsdaten, Zahlungsvorgänge und Rechnungen finden.

Ferner enthalte die Auskunft nicht alle Empfänger, gegenüber denen die personenbezogenen Daten des Beschwerdeführers offengelegt bzw. übermittelt worden seien.

Die Auskunft enthalte auch nicht die geplante Dauer, für die die personenbezogenen Daten gespeichert werden würden.

Es gebe weiters keine Angaben zum Bestehen bzw. Nichtbestehen einer automatischen Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO. Es gebe weiters keine Angaben zum Bestehen bzw. Nichtbestehen einer automatischen Entscheidungsfindung einschließlich Profiling gemäß Artikel 22, Absatz eins und 4 DSGVO.

Abschließend sei die Auskunft nicht in verständlicher Form erteilt worden, denn es gebe mehrere nicht verständliche Beschriftungen.

Mit Stellungnahme vom 08.04.2022 führte die mitbeteiligte Partei zur Datenschutzbeschwerde des Beschwerdeführers im Wesentlichen Folgendes aus:

Die dem Beschwerdeführer erteilte umfassende Datenauskunft entspreche den Vorgaben der DSGVO und sei nach einem strukturierten Prozess über alle relevanten Unternehmensbereiche hinweg ermittelt worden. Die ursprüngliche Auskunft betreffend seine Daten als ehemaliger Mitarbeiter sei bereits überaus detailliert und umfangreich gewesen und umfasse 24 Seiten. Dem Auskunftsschreiben sei zudem eine mehr als 500 Seiten lange Datenkopie (Art. 15 Abs. 3 DSGVO) angeschlossen gewesen. Ein weiteres, ebenso detailliertes Auskunftsschreiben sei dem Beschwerdeführer in seiner Eigenschaft als Kunde (in Bezug auf die zu seiner Person verarbeiteten Kundendaten) übermittelt worden. Die dem Beschwerdeführer erteilte umfassende Datenauskunft entspreche den Vorgaben der DSGVO und sei nach einem strukturierten Prozess über alle relevanten Unternehmensbereiche hinweg ermittelt worden. Die ursprüngliche Auskunft betreffend seine Daten als ehemaliger Mitarbeiter sei bereits überaus detailliert und umfangreich gewesen und umfasse 24 Seiten. Dem Auskunftsschreiben sei zudem eine mehr als 500 Seiten lange Datenkopie (Artikel 15, Absatz 3, DSGVO) angeschlossen gewesen. Ein weiteres, ebenso detailliertes Auskunftsschreiben sei dem Beschwerdeführer in seiner Eigenschaft als Kunde (in Bezug auf die zu seiner Person verarbeiteten Kundendaten) übermittelt worden.

Der Umstand, dass die Datenauskunft nur wenige E-Mails und Kalendereinträge umfasse, resultiere daraus, dass der E-Mail-Account und der elektronische Kalender des Beschwerdeführers kurz nach dem Ausscheiden des Mitarbeiters aus dem Unternehmen gelöscht worden seien.

Betreffend die Protokolle, Präsentationsunterlagen, Organigrammen, Berechnungsunterlagen zu Projekten und Prozessen treffe es zu, dass der Name oder ein Kürzel des Beschwerdeführers in Besprechungsprotokollen, Projektunterlagen udgl. erwähnt werde. Dies sei dem Beschwerdeführer im Auskunftsschreiben vom 06.11.2020 auch beauskunftet worden. Gleiches gelte in Bezug auf die aus Unternehmens-Organigrammen zu entnehmende jeweilige Position des Beschwerdeführers im Unternehmen. Die in derartigen Dokumenten enthaltenen personenbezogenen Daten des Beschwerdeführers würden sich auf dessen Stammdaten im engsten Sinn, also auf Vor- und Nachnamen bzw. ein Kürzel, allenfalls unter Hinzufügung der Funktionsbezeichnung beschränken. Ein darüberhinausgehendes Recht auf Erhalt von Kopien von Projektunterlagen oder Berechnungen (wie z.B. eine Berechnung der Wirtschaftlichkeit eines bestimmten Investitionsvorhabens) käme dem Beschwerdeführer allerdings nicht zu, weil die entsprechenden Präsentationen oder Berechnungen keine personenbezogenen Daten des Beschwerdeführers enthalten würden. Die genannten Dokumente würden vielmehr Betriebs- und Geschäftsgeheimnisse beinhalten.

In seiner Eigenschaft als Kunde habe der Beschwerdeführer ebenfalls ein vollständiges Auskunftsschreiben erhalten. Unrichtig sei dessen Behauptung, die erteilte Auskunft hätte nicht alle Empfänger oder Empfängerkategorien enthalten.

Ebenso verfehlt sei die Beanstandung, es wären keine automatisierten Entscheidungsfindungen beauskunftet worden, denn die Auskunft enthalte nämlich keine diesbezüglichen Angaben, weil die mitbeteiligte Partei die Daten des Beschwerdeführers keiner automatischen Entscheidungsfindung zuführe.

Letztlich sei auch nicht nachvollziehbar, warum die dem Beschwerdeführer erteilte Auskunft nicht verständlich sein solle, denn die mitbeteiligte Partei habe großen Aufwand betrieben, um das Auskunftsbegehren besonders klar und verständlich zu strukturieren und zu formulieren. Die angeführten Beispiele des Beschwerdeführers würden hingegen nicht aus dem Auskunftsschreiben, sondern aus der übermittelten Datenkopie stammen.

Mit Stellungnahme vom 26.04.2022 gab die mitbeteiligte Partei bekannt, dass sie dem Beschwerdeführer noch ein die Auskunft vom 06.11.2020 ergänzendes Schreiben mit den vom Beschwerdeführer gewünschten Erläuterungen und Präzisierungen zukommen habe lassen. Somit seien damit sämtliche vom Beschwerdeführer in seinem Schreiben vom 05.09.2021 behaupteten Unvollständigkeiten oder Unverständlichkeiten beseitigt worden.

Mit Schreiben vom 24.05.2022 führte der Beschwerdeführer im Wesentlichen Folgendes aus:

Die ihm erteilte Auskunft seitens der mitbeteiligten Partei sei immer noch nicht vollständig.

-        Laut Beschreibung des Prozesses der Beauskunftung sei nach Name, Personalnummer und Netzkürzel gesucht worden. Die genannten Kriterien seien exemplarische, direkt mit seinen personenbezogenen Daten verknüpfte Daten. Nach weiteren direkt mit seinen personenbezogenen Daten verknüpften Daten sowie nach indirekt mit seinen personenbezogenen Daten verknüpften Daten wäre laut Beschreibung in diesem Prozess nicht gesucht worden.

-        Laut Beschreibung habe sich der Prozess der Beauskunftung dezentral und vorwiegend manuell gestaltet. Es sei anzunehmen, dass die Mehrheit der Mitarbeiter einen persönlichen Bereich für ihre digitalen und analogen Dokumente habe. Dezentral könnten diese realistisch nur manuell geprüft werden. Insbesondere diese „nicht in spezialisierter Software“ verarbeiteten personenbezogenen Daten, die zu seiner Person gespeichert seien (digital und analog), wolle er vollständig und korrekt beauskunftet haben, um die Rechtmäßigkeit der Verarbeitung überprüfen zu können. In diesem Sinne sei auch der angeführte Beweis sachlich nicht zielführend, da laut Beschreibung des Prozesses die Datenschutzbeauftragte nur die Vollständigkeit der Meldungen der Fachbereiche, aber nicht die Vollständigkeit der Auskunft über sämtliche personenbezogene Daten, die zu seiner Person gespeichert seien, sicherzustellen habe.

-        Zu E-Mails und Termineinträgen sei festzuhalten, dass die allermeisten davon mindestens einen anderen Empfänger gehabt hätten als ihn selbst, und somit im E-Mail-Account bzw. im elektronischen Kalender des Empfängers aufzufinden wären (zusätzlich sei anzunehmen, dass jeder Empfänger die Möglichkeit habe, E-Mails und Kalendereinträge auf einem Ordnersystem zu speichern). Diese Inhalte seien weiterhin nur unvollständig in der Beauskunftung vorliegend, wobei er explizit auf die Unkenntlichmachung („Schwärzen“) von heiklen Daten aufmerksam machen möchte, wie es auch schon in Teilen der bisher vorliegenden Inhalte durchgeführt worden wäre. Die Tatsache, dass im Abteilungskalender bzw. im Abteilungs-E-Mail-Postfach keine weiteren Einträge gefunden worden wären, sei nicht überraschend, da diese von ihm kaum genutzt worden wären. Genau deswegen sei eine systematische Suche über die Empfänger zur Vervollständigung der Beauskunftung so wichtig.

-        Zu Protokollen, Präsentationsunterlagen, Organigrammen, Berechnungsunterlagen zu Projekten und Prozessen sei festzuhalten, dass der genannte Abschnitt im Auskunftsschreiben vom 06.11.2020 offensichtlich weiterhin unvollständig sei. Ein Erhalt von heiklen Daten in Projektunterlagen oder Berechnungen sei für ihn nicht von Interesse. Da die Beauskunftung aber weiterhin unvollständig sei, möchte er – im Sinne einer Vervollständigung – explizit auf die Unkenntlichmachung („Schwärzen“) von heiklen Daten aufmerksam machen, wie es auch schon in Teilen der bisher vorliegenden Inhalte durchgeführt wurde.

-        Zu Empfängern wolle er – bezugnehmend auf Erwägungsgrund 63 der DSGVO – noch einmal darum bitten, alle Empfänger (Name und Anschrift), gegenüber denen seine personenbezogenen Daten offengelegt bzw. übermittelt worden seien, konkret zu nennen.

Mit (Teil)Bescheid vom 22.12.2022, GZ. D124.4981, 2022-0.769.495, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 05.09.2021 hinsichtlich Art. 15 Abs. 1 und 2 DSGVO ab. Mit (Teil)Bescheid vom 22.12.2022, GZ. D124.4981, 2022-0.769.495, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 05.09.2021 hinsichtlich Artikel 15, Absatz eins und 2 DSGVO ab.

In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Der Beschwerdeführer sei ein ehemaliger Arbeitnehmer sowie ein Kunde der mitbeteiligten Partei.

Der Beschwerdeführer habe am 21.08.2020 ein Auskunftsbegehren an die mitbeteiligte Partei gestellt. Diese habe in der Folge Auskünfte in Bezug auf die Mitarbeiterdaten des Beschwerdeführers sowie auf seine Kundendaten erteilt.

In der Auskunft hinsichtlich Mitarbeiterdaten seien die Kategorien Stammdaten, Gehaltsdaten, Zeitdaten, Kommunikations- und Nutzungsdaten, Aus- und Weiterbildungsdaten, Daten über die organisatorische Zuordnung bzw. Dienstverwendung, Berechtigungen, Zutrittsdaten und Mitgliedschaften und Funktionen umfasst. Hinsichtlich Kundendaten seien die Kategorien Stamm- und Vertragsdaten, aufrechte Verträge/ Dienstleistungsvereinbarungen für Anlagen und weitere Produkte und Dienstleistungen umfasst.

Mit Schreiben vom 13.12.2020 habe der Beschwerdeführer eine Datenschutzbeschwerde wegen Nichterteilung der begehrten Auskunft eingebracht. Diese Datenschutzbeschwerde sei zur GZ. D124.3375 protokolliert worden und stelle das Vorverfahren zum gegenständlichen Verfahren dar.

Aufgrund von Zustellproblemen sei die mit 06.11.2020 datierte Auskunft erneut am 03.08.2021 eingeschrieben an den Beschwerdeführer erfolgreich versendet worden.

Die mitbeteiligte Partei habe somit im laufenden Verfahren zur GZ. D124.3375 vor der Datenschutzbehörde Auskunft erteilt, die vom Beschwerdeführer als mangelhaft moniert worden sei. Es sei somit von der Zurückziehung der ursprünglichen Datenschutzbeschwerde und der gleichzeitigen Einbringung einer neuen Datenschutzbeschwerde auszugehen, da durch die Äußerung des Beschwerdeführers im Parteiengehör die Sache ihrem Wesen nach geändert worden sei.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

Der Kerninhalt des Auskunftsanspruches bestehe gemäß Art. 15 Abs. 1 Satz 1 DSGVO darin, dass der Verantwortliche der betroffenen Person eine Bestätigung darüber, ob sie betreffende personenbezogene Daten verarbeitet werden würden, zu geben und – wenn ja – den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen habe. Der Kerninhalt des Auskunftsanspruches bestehe gemäß Artikel 15, Absatz eins, Satz 1 DSGVO darin, dass der Verantwortliche der betroffenen Person eine Bestätigung darüber, ob sie betreffende personenbezogene Daten verarbeitet werden würden, zu geben und – wenn ja – den konkreten Inhalt aller über sie verarbeiteten Daten offenzulegen habe.

Wie festgestellt, habe die mitbeteiligte Partei dem Beschwerdeführer Auskunft über die von ihr über den Beschwerdeführer verarbeitete Stammdaten erteilt.

Zudem habe die mitbeteiligte Partei in der Auskunft vom 06.11.2020 die Verarbeitungszwecke, die Kategorien personenbezogener Daten, die Empfänger (in Drittländern), die Dauer, für die die personenbezogenen Daten gespeichert werden würden und die Herkunft der Daten ordnungsgemäß mitgeteilt. Auch sei der Beschwerdeführer über das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und über das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde informiert worden.

Daher sei die mitbeteiligte Partei ihren in Art. 15 Abs. 1 und Abs. 2 DSGVO enthaltenen Verpflichtungen zur Auskunftserteilung vollumfänglich nachgekommen.Daher sei die mitbeteiligte Partei ihren in Artikel 15, Absatz eins und Absatz 2, DSGVO enthaltenen Verpflichtungen zur Auskunftserteilung vollumfänglich nachgekommen.

In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte der Beschwerdeführer im Wesentlichen vor:

Die mitbeteiligte Partei habe seinem Auskunftsbegehren nicht vollständig entsprochen. Nach den schriftlichen Ausführungen der mitbeteiligten Partei vom 08.04.2022 zur Beschreibung des Prozesses der Beauskunftung seien nur nach dem Namen, der Personalnummer und nach Netzkürzeln gesucht worden. Allerdings seien nach weiteren Daten, die über Schlüssel-, Such- und Referenzbegriffe mit seinen personenbezogenen Daten direkt oder indirekt verknüpft werden könnten, nicht gesucht worden.

Darüber hinaus beinhalte der Prozess der Beauskunftung keine zentrale systematische IT-Suche über alle im internen Netzwerk verfügbaren Datenspeicher und Anwendungen, um zumindest die digital verfügbare ihn betreffende personenbezogene Daten mit hoher Sicherheit abzudecken. Er habe festgestellt, dass es nur unvollständige Informationen zu personenbezogenen Daten in E-Mails und Termineinträgen gebe. Zudem seien die Informationen hinsichtlich der personenbezogenen Daten in Protokollen, Präsentationsunterlagen, Organigrammen, Berechnungsunterlagen zu Projekten und Prozessen unvollständig.

Schließlich enthalte die ihm erteilte Auskunft nicht alle Empfänger, gegenüber denen seine personenbezogenen Daten offengelegt bzw. an sie übermittelt worden seien.

Der Beschwerdeführer stellte sohin die Anträge, das Bundesverwaltungsgericht möge

1.       feststellen, dass die mitbeteiligte Partei den Beschwerdeführer in seinem Recht auf Auskunft verletzt habe sowie

2.       die mitbeteiligte Partei zu einer vollumfänglichen Auskunftserteilung verpflichten.

Mit Schreiben der Datenschutzbehörde vom 20.01.2023 (hg eingelangt am 16.03.2023) war die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden.

Mit Stellungnahme vom 18.04.2023 führte die mitbeteiligte Partei im Wesentlichen Folgendes aus:

Wenn der Beschwerdeführer behaupte, dass die Methodik der Suche nach personenbezogenen Daten bzw. der Prozess der Beauskunftung der mitbeteiligten Partei nicht den datenschutzrechtlichen Vorgaben entsprochen habe, sei darauf hinzuweisen, dass der Prozess vollkommen datenschutzkonform gewesen sei und dass sich aus Art. 15 DSGVO kein Anspruch auf eine bestimmte Art der Durchsuchung von IT-Systemen im Rahmen einer Auskunftserteilung ergebe. Die mitbeteiligte Partei habe bereits den größtmöglichen Aufwand betrieben, um ihrer Auskunftsverpflichtung vollumfänglich nachzukommen. Wenn der Beschwerdeführer behaupte, dass die Methodik der Suche nach personenbezogenen Daten bzw. der Prozess der Beauskunftung der mitbeteiligten Partei nicht den datenschutzrechtlichen Vorgaben entsprochen habe, sei darauf hinzuweisen, dass der Prozess vollkommen datenschutzkonform gewesen sei und dass sich aus Artikel 15, DSGVO kein Anspruch auf eine bestimmte Art der Durchsuchung von IT-Systemen im Rahmen einer Auskunftserteilung ergebe. Die mitbeteiligte Partei habe bereits den größtmöglichen Aufwand betrieben, um ihrer Auskunftsverpflichtung vollumfänglich nachzukommen.

Zur Beauskunftung hinsichtlich der E-Mails und Termineinträgen sei zu erwähnen, dass die erteilte Auskunft nur wenige E-Mails und Kalendereinträge des Beschwerdeführers umfasse, weil der E-Mail-Account und der elektronische Kalender des Beschwerdeführers kurz nach dessen Ausscheiden aus dem Unternehmen gelöscht worden seien. Eine vom Beschwerdeführer geforderte Durchsuchung aller E-Mail-Accounts und Kalendereinträge der bei der mitbeteiligten Partei tätigen mehr als 2.000 Mitarbeitern wäre hingegen weder datenschutzrechtlich noch arbeitsrechtlich zulässig.

Zur angeblichen Unvollständigkeit der personenbezogenen Daten in Protokollen, Präsentationsunterlagen, Organigrammen, Berechnungsunterlagen zu Projekten und Prozessen sei zu betonen, dass es sich bei der gewünschten Beauskunftung in Bezug auf Projekte und Prozesse nicht um personenbezogene Daten handeln könne. Außerdem könnten diese Dokumente nicht an den Beschwerdeführer übermittelt werden, weil sei ganz eindeutig Betriebs- und Geschäftsgeheimnisse darstellen würden.

Schließlich seien dem Beschwerdeführer die Angaben über Empfänger bereits vollständig beauskunftet worden.

Somit sei die mitbeteiligte Partei insgesamt ihrer Verpflichtung nach Art. 15 DSGVO nachgekommen. Somit sei die mitbeteiligte Partei insgesamt ihrer Verpflichtung nach Artikel 15, DSGVO nachgekommen.

II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Auskunftsbegehren:

Der Beschwerdeführer ist ein ehemaliger Arbeitnehmer sowie ein Kunde der mitbeteiligten Partei und begehrte am 21.08.2020 ein Auskunft gemäß Art. 15 DSGVO von der mitbeteiligten Partei.Der Beschwerdeführer ist ein ehemaliger Arbeitnehmer sowie ein Kunde der mitbeteiligten Partei und begehrte am 21.08.2020 ein Auskunft gemäß Artikel 15, DSGVO von der mitbeteiligten Partei.

Die mitbeteiligte Partei erteilte dem Beschwerdeführer mit Schreiben vom 06.11.2020, welche diesem erst im Rahmen des Verfahrens vor der Datenschutzbehörde, GZ: D124.3375, zukamen, Auskünfte in Bezug auf seine Mitarbeiterdaten (24 Seiten) und Kundendaten (8 Seiten). Diesem Auskunftsschreiben war ein Konvolut an Unterlagen (im Umfang von 767 Seiten) angeschlossen.

In der Auskunft hinsichtlich der Mitarbeiterdaten waren die Kategorien Stammdaten, Gehaltsdaten, Zeitdaten, Kommunikations- und Nutzungsdaten, Aus- und Weiterbildungsdaten, Daten über die organisatorische Zuordnung bzw. Dienstverwendung, Berechtigungen, Zutrittsdaten und Mitgliedschaften und Funktionen umfasst. Hinsichtlich der Kundendaten waren die Kategorien Stamm- und Vertragsdaten, aufrechte Verträge/ Dienstleistungsvereinbarungen für Anlagen und weitere Produkte und Dienstleistungen umfasst.

Am 05.09.2021 brachte der Beschwerdeführer – als Antwortschreiben zu einem Parteiengehör im Verfahren GZ: D124.3375 – gegenständliche Datenschutzbeschwerde ein, weil er wegen unvollständiger Auskunftserteilung durch die mitbeteiligte Partei in seinem Recht auf Auskunft verletzt worden sei.

Mit einem weiteren Auskunftsschreiben vom 26.04.2022 (insgesamt 7 Seiten und 16 Beilagen) übermittelte die mitbeteiligte Partei dem Beschwerdeführer Ergänzungen zu ihrer Datenauskunft vom 06.11.2020.

Hinsichtlich der vom Beschwerdeführer in der Arbeit versendeten E-Mails und Kalendereintragungen, welche in den Postfächern anderer Mitarbeiter der mitbeteiligten Partei noch vorhanden sind, bleibt festzustellen, dass Mitarbeitern grundsätzlich eine private Nutzung des dienstlichen Mails erlaubt ist.

Das Auskunftsbegehren des Beschwerdeführers wurde durch die mitbeteiligte Partei zunächst mit Schreiben vom 06.11.2020 (samt dem Dokumentenkonvolut) und spätestens mit den Ergänzungen vom 26.04.2022 vollständig beantwortet.

1.2. Ausfolgung von Kopien der beauskunfteten Daten des Beschwerdeführers:

Die Datenschutzbehörde hat am 09.10.2023, Zl. D124.4981 2023-0.724.484, die Datenschutzbeschwerde des Beschwerdeführers vom 05.09.2021 wegen Verletzung im Recht auf Auskunft gemäß Art. 15 Abs. 3 DSGVO als unbegründet abgewiesen.Die Datenschutzbehörde hat am 09.10.2023, Zl. D124.4981 2023-0.724.484, die Datenschutzbeschwerde des Beschwerdeführers vom 05.09.2021 wegen Verletzung im Recht auf Auskunft gemäß Artikel 15, Absatz 3, DSGVO als unbegründet abgewiesen.

Mit Erkenntnis vom 28.11.2023, Zl. W256 2281063-1/6E, hat das Bundesverwaltungsgericht den Bescheid vom 09.10.2023, Zl. D124.4981 2023-0.724.484, ersatzlos behoben.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungs- sowie Gerichtsakt und beruhen aus folgenden Erwägungen:

ad 1.1. Die Feststellungen zur Person des Beschwerdeführers, dessen Auskunftsersuchen an die mitbeteiligte Partei und die erteilten Auskünften vom 06.11.2020 und 26.04.2022 sowie den angeschlossenen Unterlagen (samt Dokumentenkonvolut und Beilagen) sind unstrittig.

Die Feststellung, dass das Auskunftsbegehren des Beschwerdeführers durch die erteilten Auskünfte spätestens am 26.04.2022 im verwaltungsbehördlichen Verfahren vor der Datenschutzbehörde vollständig beantwortet wurde, ergibt sich in einem ersten Punkt aus den glaubwürdigen Ausführungen der mitbeteiligten Partei, wonach sie das Postfach mit den E-Mails und Kalendereinträgen des Beschwerdeführers unmittelbar nach dessen Ausscheiden als Mitarbeiter gelöscht hat. Diese Vorgangsweise wendet die mitbeteiligte Partei – wie andere Unternehmen – grundsätzlich beim Ausscheiden eines Mitarbeiters an. Der Beschwerdeführer konnte in diesem Zusammenhang nicht substantiiert darlegen bzw. auch nur Indizien dafür liefern, dass seine E-Mails und Kalendereinträge (in der Form seines Postfaches) im Zeitpunkt seines Auskunftsersuchens durch die mitbeteiligte Partei weiterhin verarbeitet worden seien.

Auf sein weiteres Vorbringen, dass die von seinem Postfach als Mitarbeiter versendeten E-Mails und Kalendereintragungen an andere Mitarbeiter, welche sich nun in deren Postfächern befinden, beauskunftet werden hätten sollen, wird im Rahmen der rechtlichen Beurteilung noch gesondert eingegangen.

In einem zweiten Punkt ist es dem Beschwerdeführer nicht gelungen – entgegen dem glaubhaften Vorbringen der mitbeteiligten Partei, welche insgesamt mehr als 800 A4-Seiten an personenbezogenen Daten des Beschwerdeführer beauskunftete (darunter insbesondere originalgetreue Reproduktionen aus den internen Datenbanken der mitbeteiligten Partei, Lichtbildaufnahmen des Beschwerdeführers sowie teilweise geschwärzte Betriebsunterlagen) – auch nur Anhaltspunkte dafür zu liefern, dass die mitbeteiligte Partei noch über weitere personenbezogenen Daten des Beschwerdeführers verfügen könnte. Die mitbeteiligte Partei suchte im Rahmen des Verwaltungsverfahrens mehrfach – insbesondere auf Nachfrage bzw. Anregung des Beschwerdeführers – nach dessen Datensätzen und hielt schlussendlich ausdrücklich fest, dass keine weiteren Daten in ihren Datenbanken vorhanden sind. Dadurch, dass die mitbeteiligte Partei ihren gesamten Suchprozess offenlegte und unter Beschreibung der verwendeten Suchmethoden und den personellen Ressourcen von ungefähr 50 Personentagen nach auskunftspflichtigen Datensätzen des Beschwerdeführers suchte, ist im Ergebnis davon auszugehen, dass die mitbeteiligte Partei über keine weiteren – noch nicht gemäß Art. 15 DSGVO – beauskunftete Daten des Beschwerdeführers verfügt. Dieser konnte dem erkennenden Senat auch nicht nachvollziehbar darlegen, welche konkret noch ausstehenden Daten die mitbeteiligte Partei verarbeiten würde. Bloß hypothetische Überlegungen betreffend die abstrakte Möglichkeit der Anwendung von gründlicheren Suchverfahren bzw. Suchprogrammen können folglich nicht überzeugen.In einem zweiten Punkt ist es dem Beschwerdeführer nicht gelungen – entgegen dem glaubhaften Vorbringen der mitbeteiligten Partei, welche insgesamt mehr als 800 A4-Seiten an personenbezogenen Daten des Beschwerdeführer beauskunftete (darunter insbesondere originalgetreue Reproduktionen aus den internen Datenbanken der mitbeteiligten Partei, Lichtbildaufnahmen des Beschwerdeführers sowie teilweise geschwärzte Betriebsunterlagen) – auch nur Anhaltspunkte dafür zu liefern, dass die mitbeteiligte Partei noch über weitere personenbezogenen Daten des Beschwerdeführers verfügen könnte. Die mitbeteiligte Partei suchte im Rahmen des Verwaltungsverfahrens mehrfach – insbesondere auf Nachfrage bzw. Anregung des Beschwerdeführers – nach dessen Datensätzen und hielt schlussendlich ausdrücklich fest, dass keine weiteren Daten in ihren Datenbanken vorhanden sind. Dadurch, dass die mitbeteiligte Partei ihren gesamten Suchprozess offenlegte und unter Beschreibung der verwendeten Suchmethoden und den personellen Ressourcen von ungefähr 50 Personentagen nach auskunftspflichtigen Datensätzen des Beschwerdeführers suchte, ist im Ergebnis davon auszugehen, dass die mitbeteiligte Partei über keine weiteren – noch nicht gemäß Artikel 15, DSGVO – beauskunftete Daten des Beschwerdeführers verfügt. Dieser konnte dem erkennenden Senat auch nicht nachvollziehbar darlegen, welche konkret noch ausstehenden Daten die mitbeteiligte Partei verarbeiten würde. Bloß hypothetische Überlegungen betreffend die abstrakte Möglichkeit der Anwendung von gründlicheren Suchverfahren bzw. Suchprogrammen können folglich nicht überzeugen.

In gleicher Weise ist das Vorbringen des Beschwerdeführers hinsichtlich einer unvollständigen Nennung der Empfängern seiner personenbezogen Daten abermals als unsubstantiiert bzw. bloße Mutmaßung zu qualifizieren. Er konnte weder in seiner Beschwerde noch im weiteren Verfahren vor dem Bundesverwaltungsgericht aufzeigen, dass konkrete Empfänger seiner personenbezogenen Daten „fehlen“ würden. Spiegelbildlich sind keine Anhaltspunkte erkennbar, wieso die mitbeteiligte Partei nicht alle ihr individuell bekannten Empfänger mit ihren Auskünften vom 06.11.2020 und 26.04.2022 (welche eine Auflistung aller konkreten Empfängern enthalten) genannt haben soll. Diese beauskunftete dem Beschwerdeführer eine abschließende Liste mit allen ihr bekannten Empfängern seiner personenbezogenen Daten und stellte dies vor dem Bundesverwaltungsgericht mit Eingabe vom 18.04.2023 erneut klar. Nach den eigenen Angaben des Beschwerdeführers möchte dieser eine (noch) genauere Aufschlüsslung der Empfänger (u.a. auch von Auskunfteien) erreichen, welche der mitbeteiligten Partei nach ihren eigenen Angaben jedoch nicht möglich ist. Dazu darf an dieser Stelle auf weitere Erwägungen des Senats im Rahmen der rechtlichen Beurteilung verwiesen werden.

Abschließend ist das behauptete Bestehen von Betriebsgeheimnissen der mitbeteiligten Partei an internen Projektunterlagen sowie Protokollen für den erkennenden Senat in einer Gesamtzusammenschau der Umstände überzeugend, da diese konkrete Beispiele (Darstellungen und Berechnungen einer geplanten Investition bzw. deren Profitabilität) für Inhalte der in Frage stehenden Projektunterlagen und Protokolle nannte, welche jedenfalls einen kommerziellen Inhalt aufweisen und in der Lage sind, einen wettbewerbsrelevanten Vorteil der mitbeteiligten Partei am Energiesektor glaubhaft zu machen. Diese brachte während des gesamten Verfahrens gleichbleiben vor, dass die Kopien von Projektunterlagen oder Berechnungen der Wirtschaftlichkeit eines bestimmten Investitionsvorhabens und korrespondierende Präsentationen (selbst in Fällen, in denen sie vom Beschwerdeführer erstellt worden sein mögen,) betriebliche „Interna” darstellen, welche ehemaligen Mitarbeiter auch im Fall ihres Austritts nicht mehr zugänglich sein dürfen. Unabhängig davon hat der Beschwerdeführer auch in diesem Kontext überhaupt nicht spezifiziert, an welchen konkreten Projekten er tätig gewesen sei und welche personenbezogenen Daten die korrespondierenden Projektunterlagen enthalten würden, die durch die mitbeteiligte Partei noch nicht beauskunftet worden sind.

ad 1.2. Die Feststellungen zum Verfahrensverlauf – betreffend eine „Datenkopie” gemäß Art. 15 Abs. 3 DSGVO – ergeben sich aus einer amtswegigen Recherche in der Elektronischen Verfahrensadministration des Bundesverwaltungsgerichts (EVA).ad 1.2. Die Feststellungen zum Verfahrensverlauf – betreffend eine „Datenkopie” gemäß Artikel 15, Absatz 3, DSGVO – ergeben sich aus einer amtswegigen Recherche in der Elektronischen Verfahrensadministration des Bundesverwaltungsgerichts (EVA).

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gemäß Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7, leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß Paragraph 27, Absatz 2, erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Gegenständlich liegt somit Senatszuständigkeit vor.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.2. Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Paragraph 28, Absatz eins, VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.3. Zu A)

3.3.1. Anzuwendende Rechtslage:

3.3.1.1. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. (…)

4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

5. (…)

6. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. (…)

9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;

10. - 26. (…)

Artikel 12

Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.

(3) - (5) (…)

(6) Hat der Verantwortliche begründete Zweifel an der Identität der natürlichen Person, die den Antrag gemäß den Artikeln 15 bis 21 stellt, so kann er unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) (…).

Artikel 15

Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

3.3.1.2. Die maßgeblichen Bestimmungen des DSG:

§ 1. DSG (Verfassungsbestimmung) – Grundrecht auf Datenschutz, Paragraph eins, DSG (Verfassungsbestimmung) – Grundrecht auf Datenschutz

(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. (2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) - (4) (…)

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:(10) In die Entscheidungsfrist gemäß Paragraph 73, AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.2. die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO.

3.3.2. Zum Recht auf Auskunft:

Der Beschwerdeführer stützt seine Beschwerde an das Bundesverwaltungsgericht ausschließlich auf eine unvollständige Auskunft gemäß Art. 15 DSGVO, da die mitbeteiligte Partei nicht mit speziellen Suchverfahren bzw. Suchprogrammen (nach seinen direkt oder indirekt personenbezogenen Daten) in ihrem Datenbestand gesucht habe, die E-Mails und Terminkalendereinträge des Beschwerdeführers nicht beauskunftet worden seien, ihn betreffende Projektunterlagen fehlen würden, nicht alle Empfänger seiner personenbezogenen Daten offengelegt worden seien und nicht nachvollzogen werden könne, welche personenbezogene Daten gewerblich konzessionierte Auskunfteien erhalten hätten. Der Beschwerdeführer stützt seine Beschwerde an das Bundesverwaltungsgericht ausschließlich auf eine unvollständige Auskunft gemäß Artikel 15, DSGVO, da die mitbeteiligte Partei nicht mit speziellen Suchverfahren bzw. Suchprogrammen (nach seinen direkt oder indirekt personenbezogenen Daten) in ihrem Datenbestand gesucht habe, die E-Mails und Terminkalendereinträge des Beschwerdeführers nicht beauskunftet worden seien, ihn betreffende Projektunterlagen fehlen würden, nicht alle Empfänger seiner personenbezogenen Daten offengelegt worden seien und nicht nachvollzogen werden könne, welche personenbezogene Daten gewerblich konzessionierte Auskunfteien erhalten hätten.

Den Ausführungen des Beschwerdeführers ist aufgrund nachstehender Erwägungen nicht zu folgen:

3.3.2.1. Das Auskunftsrecht des Art. 15 DSGVO bezieht sich auf personenbezogene Daten der betroffenen Person, welche der Verantwortliche im Anwendungsbereich der DSGVO verarbeitet. Unmittelbare Rechtsfolge eines Auskunftsantrags ist die Pflicht des Verantwortlichen, Auskunft zu erteilen (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 26 und 30 (Stand 1.7.2024, rdb.at). 3.3.2.1. Das Auskunftsrecht des Artikel 15, DSGVO bezieht sich auf personenbezogene Daten der betroffenen Person, welche der Verantwortliche im Anwendungsbereich der DSGVO verarbeitet. Unmittelbare Rechtsfolge eines Auskunftsantrags ist die Pflicht des Verantwortlichen, Auskunft zu erteilen vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 26 und 30 (Stand 1.7.2024, rdb.at).

Personenbezogene Daten sind das Schutzziel der DSGVO, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der in der Definition enthaltene Begriff der Informationen umfasst ohne Einschränkung „alle Informationen“, die sich auf eine Person beziehen, womit sich zeigt, dass der Begriff weit zu verstehen ist (vgl. Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 6 und 9 (Stand 1.12.2018, rdb.at).Personenbezogene Daten sind das Schutzziel der DSGVO, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der in der Definition enthaltene Begriff der Informationen umfasst ohne Einschränkung „alle Informationen“, die sich auf eine Person beziehen, womit sich zeigt, dass der Begriff weit zu verstehen ist vergleiche Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 6 und 9 (Stand 1.12.2018, rdb.at).

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf Informationen nach lit. a) bis h).Nach Artikel 15, Absatz eins, DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf Informationen nach Litera a,) bis h).

Das Recht auf Auskunft nach Art. 15 DSGVO ermöglicht der betroffenen Person Grundlegendes über die Verarbeitung ihrer Daten zu erfahren, insbesondere ob und welche Daten der Verantwortliche über sie verarbeitet, und ob dies rechtmäßig geschieht (siehe Erwägungsgrund 63 zu dieser Bestimmung). Das Recht auf Auskunft nach Artikel 15, DSGVO ermöglicht der betroffenen Person Grundlegendes über die Verarbeitung ihrer Daten zu erfahren, insbesondere ob und welche Daten der Verantwortliche über sie verarbeitet, und ob dies rechtmäßig geschieht (siehe Erwägungsgrund 63 zu dieser Bestimmung).

Lehnt der Verantwortliche die positive Erledigung des Antrags ab, so trägt er in diesem Fall die Behauptungs- und Beweispflicht (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 47/2 (Stand 1.7.2024, rdb.at)).Lehnt der Verantwortliche die positive Erledigung des Antrags ab, so trägt er in diesem Fall die Behauptungs- und Beweispflicht vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 47/2 (Stand 1.7.2024, rdb.at)).

Der Umfang der Auskunftserteilung wird durch den Zeitpunkt der Antragstellung bestimmt (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 27 (Stand 1.7.2024, rdb.at)).Der Umfang der Auskunftserteilung wird durch den Zeitpunkt der Antragstellung bestimmt vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 27 (Stand 1.7.2024, rdb.at)).

3.3.2.2. Zur Anwendung eines speziellen Suchverfahrens zum Eruieren der zu beauskunftenden Daten des Beschwerdeführers:

Eindeutig identifiziert ist eine Person idR dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht. Identifizierbar ist eine Person dann, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. So sollen alle objektiven Faktoren, wie die Kosten der Identifizierung und der erforderliche Zeitaufwand berücksichtigt werden. Insbesondere sind die zum Zeitpunkt der Verarbeitung verfügbaren Technologien als auch die technologischen Entwicklungen zu berücksichtigen (vgl. Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 11f (Stand 1.12.2018, rdb.at)).Eindeutig identifiziert ist eine Person idR dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht. Identifizierbar ist eine Person dann, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. So sollen alle objektiven Faktoren, wie die Kosten der Identifizierung und der erforderliche Zeitaufwand berücksichtigt werden. Insbesondere sind die zum Zeitpunkt der Verarbeitung verfügbaren Technologien als auch die technologischen Entwicklungen zu berücksichtigen vergleiche Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 11f (Stand 1.12.2018, rdb.at)).

Insofern ist dem Beschwerdeführer nicht entgegenzutreten, wenn er vorbringt, dass die mitbeteiligte Partei alle ihn direkt oder indirekt betreffenden personenbezogenen Daten im Rahmen eines Auskunftsersuchens gemäß Art. 15 DSGVO mitzuteilen hat, unabhängig davon, ob und wie diese mit dem Namen oder dem Kürzel des Beschwerdeführers verbunden sind. Insofern ist dem Beschwerdeführer nicht entgegenzutreten, wenn er vorbringt, dass die mitbeteiligte Partei alle ihn direkt oder indirekt betreffenden personenbezogenen Daten im Rahmen eines Auskunftsersuchens gemäß Artikel 15, DSGVO mitzuteilen hat, unabhängig davon, ob und wie diese mit dem Namen oder dem Kürzel des Beschwerdeführers verbunden sind.

Jedoch hat das Verwaltungsverfahren – wie beweiswürdigend dargelegt – nicht ergeben, dass über die erteilten Auskünfte hinausgehende Daten des Beschwerdeführers durch die mitbeteiligte Partei im Zeitpunkt des Auskunftsersuchens verarbeitet worden wären.

Die Beweislast, dass der Verantwortliche überhaupt Daten des Betroffenen verarbeitet, liegt beim Beschwerdeführer, welcher im Beschwerdeverfahren ebenso konkret vorzubringen hat, warum eine Auskunft unvollständig ist. Die bloße Vermutung oder hypothetische Argumentation des Beschwerdeführer, dass aufgrund eines (nicht) verwendeten Suchverfahrens bzw. -programms personenbezogene Daten des Beschwerdeführers noch nicht aufgefunden und daher auch nicht beauskunftet worden seien, erweist sich in der Folge als unzureichend. Auch besteht keine Pflicht der Datenschutzbehörde oder des Bundesverwaltungsgerichts „die begehrte Vollauskunft in jede Richtung, und zwar unabhängig vom Parteienvorbringen, zu überprüfen“ (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 28/1 (Stand 1.7.2024, rdb.at)).Die Beweislast, dass der Verantwortliche überhaupt Daten des Betroffenen verarbeitet, liegt beim Beschwerdeführer, welcher im Beschwerdeverfahren ebenso konkret vorzubringen hat, warum eine Auskunft unvollständig ist. Die bloße Vermutung oder hypothetische Argumentation des Beschwerdeführer, dass aufgrund eines (nicht) verwendeten Suchverfahrens bzw. -programms personenbezogene Daten des Beschwerdeführers noch nicht aufgefunden und daher auch nicht beauskunftet worden seien, erweist sich in der Folge als unzureichend. Auch besteht keine Pflicht der Datenschutzbehörde oder des Bundesverwaltungsgerichts „die begehrte Vollauskunft in jede Richtung, und zwar unabhängig vom Parteienvorbringen, zu überprüfen“ vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 28/1 (Stand 1.7.2024, rdb.at)).

Darüber hinaus gewährt Art. 15 DSGVO der betroffenen Person kein Recht auf ein bestimmtes Suchverfahren bzw. eine anzuwendende Methodik durch den Verantwortlichen, um auskunftspflichtige Daten aus dessen aktuellen Datenbestand bzw. -system herauszufiltern.Darüber hinaus gewährt Artikel 15, DSGVO der betroffenen Person kein Recht auf ein bestimmtes Suchverfahren bzw. eine anzuwendende Methodik durch den Verantwortlichen, um auskunftspflichtige Daten aus dessen aktuellen Datenbestand bzw. -system herauszufiltern.

3.3.2.3. Zu den E-Mails und Terminkalendereinträgen des Beschwerdeführers:

Aufgrund der Formulierung in Art. 15 Abs. 1 DSGVO („verarbeitet werden“) ist zu schließen, dass die inhaltliche Auskunftsverpflichtung ausgelöst wird, wenn der Verantwortliche aktuell Daten verarbeitet (also zumindest speichert) , aber nicht wenn er in der Vergangenheit Daten der betroffenen Person verarbeitet hat und diese mittlerweile gelöscht sind. Verarbeitet der Verantwortliche keine Daten (mehr), ist er gemäß Art. 15 Abs. 1 HS 1 DSGVO zu einer Negativauskunft verpflichtet (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 26f (Stand 1.7.2024, rdb.at)).Aufgrund der Formulierung in Artikel 15, Absatz eins, DSGVO („verarbeitet werden“) ist zu schließen, dass die inhaltliche Auskunftsverpflichtung ausgelöst wird, wenn der Verantwortliche aktuell Daten verarbeitet (also zumindest speichert) , aber nicht wenn er in der Vergangenheit Daten der betroffenen Person verarbeitet hat und diese mittlerweile gelöscht sind. Verarbeitet der Verantwortliche keine Daten (mehr), ist er gemäß Artikel 15, Absatz eins, HS 1 DSGVO zu einer Negativauskunft verpflichtet vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 26f (Stand 1.7.2024, rdb.at)).

Wie oben beweiswürdigend ausgeführt, hat der erkennende Senat keine Zweifel daran, dass die mitbeteiligte Partei unmittelbar nach dem Ausscheiden des Beschwerdeführers als Arbeitnehmer, dessen Postfach mit E-Mails und Terminkalendereinträgen gelöscht hat, bevor dieser das verfahrensgegenständliche Auskunftsersuchen an die mitbeteiligte Partei stellte. Daraus folgt, dass bereits gelöschte Daten, welche im Zeitpunkt des Einlangens des Auskunftsersuchens nicht mehr verarbeitet werden, auch nicht im Rahmen eines Auskunftsersuchens gemäß Art. 15 DSGVO zu beauskunften sind. Eine diesbezügliche Negativauskunft (bezogen auf das Postfach des Beschwerdeführers) erweist sich daher nach Meinung des erkennenden Senats als zulässig und vollständig.Wie oben beweiswürdigend ausgeführt, hat der erkennende Senat keine Zweifel daran, dass die mitbeteiligte Partei unmittelbar nach dem Ausscheiden des Beschwerdeführers als Arbeitnehmer, dessen Postfach mit E-Mails und Terminkalendereinträgen gelöscht hat, bevor dieser das verfahrensgegenständliche Auskunftsersuchen an die mitbeteiligte Partei stellte. Daraus folgt, dass bereits gelöschte Daten, welche im Zeitpunkt des Einlangens des Auskunftsersuchens nicht mehr verarbeitet werden, auch nicht im Rahmen eines Auskunftsersuchens gemäß Artikel 15, DSGVO zu beauskunften sind. Eine diesbezügliche Negativauskunft (bezogen auf das Postfach des Beschwerdeführers) erweist sich daher nach Meinung des erkennenden Senats als zulässig und vollständig.

Soweit der Beschwerdeführer vorbringt, dass die Auskunft deshalb unvollständig sei, da seine unternehmensintern versendeten E-Mails und Kalendereintragungen jedenfalls in den Postfächern anderer Mitarbeiter noch vorhanden sind, ist zu erwidern, dass gemäß Art. 15 Abs. 4 DSGVO insbesondere wenn die Auskunft die Interessen Dritter berührt – etwa durch Nennung der personenbezogenen Daten dieser Personen – eine Interessenabwägung durchgeführt werden muss, und darf eine Auskunft nur soweit erteilt werden, wie die Gründe für die Beauskunftung die Gründe für die Geheimhaltung überwiegen. Es erfolgt somit kein anderer Vorgang wie bei einer Prüfung nach Art. 6 Abs. 1 lit. f bzw. lit. g DSGVO (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 50/1 (Stand 1.7.2024, rdb.at)).Soweit der Beschwerdeführer vorbringt, dass die Auskunft deshalb unvollständig sei, da seine unternehmensintern versendeten E-Mails und Kalendereintragungen jedenfalls in den Postfächern anderer Mitarbeiter noch vorhanden sind, ist zu erwidern, dass gemäß Artikel 15, Absatz 4, DSGVO insbesondere wenn die Auskunft die Interessen Dritter berührt – etwa durch Nennung der personenbezogenen Daten dieser Personen – eine Interessenabwägung durchgeführt werden muss, und darf eine Auskunft nur soweit erteilt werden, wie die Gründe für die Beauskunftung die Gründe für die Geheimhaltung überwiegen. Es erfolgt somit kein anderer Vorgang wie bei einer Prüfung nach Artikel 6, Absatz eins, Litera f, bzw. Litera g, DSGVO vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 50/1 (Stand 1.7.2024, rdb.at)).

Da nach der Rechtsprechung des EuGH (Urteil vom 04.05.2023, C-487/21) kein eigenständiges Recht auf Kopie existiert, muss nach Meinung des erkennenden Senats Art. 15 Abs. 4 DSGVO auf das Recht auf Auskunft im Allgemeinen bezogen werden. Auch in Ehmann/Selmayr (Datenschutzgrundverordnung, 3. Auflage 2024, Art. 15 Rz 71) wird es als naheliegend bezeichnet, die Bestimmung des Art. 15 Abs. 4 DSGVO als allgemeines Prinzip anzusehen. In diesem Sinne darf der Verantwortliche dem Antrag des Betroffenen nur soweit entsprechen, als Rechte und Freiheiten anderer Personen nicht beeinträchtigt sind. Der EuGH hat z.B. in der Rechtssache Pankki die Identität von Empfängern bzw. Mitarbeitern als schützenswert angesehen (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 48/4,49 (Stand 1.7.2024, rdb.at)).Da nach der Rechtsprechung des EuGH (Urteil vom 04.05.2023, C-487/21) kein eigenständiges Recht auf Kopie existiert, muss nach Meinung des erkennenden Senats Artikel 15, Absatz 4, DSGVO auf das Recht auf Auskunft im Allgemeinen bezogen werden. Auch in Ehmann/Selmayr (Datenschutzgrundverordnung, 3. Auflage 2024, Artikel 15, Rz 71) wird es als naheliegend bezeichnet, die Bestimmung des Artikel 15, Absatz 4, DSGVO als allgemeines Prinzip anzusehen. In diesem Sinne darf der Verantwortliche dem Antrag des Betroffenen nur soweit entsprechen, als Rechte und Freiheiten anderer Personen nicht beeinträchtigt sind. Der EuGH hat z.B. in der Rechtssache Pankki die Identität von Empfängern bzw. Mitarbeitern als schützenswert angesehen vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 48/4,49 (Stand 1.7.2024, rdb.at)).

Vorauszuschicken ist, dass die vom Beschwerdeführer selbst verfassten E-Mails und erstellten Kalendereinträge nur noch als Teil fremder Postfächer vorhanden sind, wodurch eine vollständige und undifferenzierte Durchsuchung aller Postfächer der Mitarbeiter der mitbeteiligten Partei (welche diese auch zu privaten Zwecken verwenden dürfen) notwendig wäre, um die geforderten E-Mails und Kalendereinträge gemäß Art. 15 DSGVO zur Verfügung zu stellen. Dabei ist insbesondere auf die Interessen der Mitarbeiter sowie deren Recht auf Geheimhaltung und Privatsphäre Bedacht zu nehmen.Vorauszuschicken ist, dass die vom Beschwerdeführer selbst verfassten E-Mails und erstellten Kalendereinträge nur noch als Teil fremder Postfächer vorhanden sind, wodurch eine vollständige und undifferenzierte Durchsuchung aller Postfächer der Mitarbeiter der mitbeteiligten Partei (welche diese auch zu privaten Zwecken verwenden dürfen) notwendig wäre, um die geforderten E-Mails und Kalendereinträge gemäß Artikel 15, DSGVO zur Verfügung zu stellen. Dabei ist insbesondere auf die Interessen der Mitarbeiter sowie deren Recht auf Geheimhaltung und Privatsphäre Bedacht zu nehmen.

Da die Ausfolgung (einer Kopie) der E-Mails bzw. der Kalendereinträge jedenfalls die Persönlichkeitsrechte der Mitarbeiter der mitbeteiligten Partei beeinträchtigen würde, ist eine Abwägung zwischen den Interessen des Beschwerdeführers und jener Dritter durchzuführen (vgl. dazu auch BVwG 20.05.2021, Zl. W101 2179343-1/9E, bestätigt durch VwGH 06.03.2024, Ro 2021/04/0037, zur Ausfolgung einer Kopie einer Videoaufnahme in einem Bus).Da die Ausfolgung (einer Kopie) der E-Mails bzw. der Kalendereinträge jedenfalls die Persönlichkeitsrechte der Mitarbeiter der mitbeteiligten Partei beeinträchtigen würde, ist eine Abwägung zwischen den Interessen des Beschwerdeführers und jener Dritter durchzuführen vergleiche dazu auch BVwG 20.05.2021, Zl. W101 2179343-1/9E, bestätigt durch VwGH 06.03.2024, Ro 2021/04/0037, zur Ausfolgung einer Kopie einer Videoaufnahme in einem Bus).

Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse iSd § 1 Abs. 1 DSG besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse iSd Paragraph eins, Absatz eins, DSG besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.

Die Bestimmung des Art. 15 Abs. 4 DSGVO sieht nach dem oben bereits genannten allgemeinen Prinzip vor, dass die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden dürfen. Dies wird auch im Erwägungsgrund (63) u.a. ausdrücklich hervorgehoben und heißt es an dieser Stelle auch noch, dass die Nichtbeeinträchtigung von Rechten und Freiheiten anderer Personen nicht dazu führen dürfe, dass der betroffenen Person jegliche Auskunft verweigert wird. Letztlich geht es um eine praktische Konkordanz zwischen den Grundrechten der betroffenen Person (hier der mitbeteiligten Partei) und den Grundrechten von Dritten, deren Rechtspositionen berührt sind (hier der Mitarbeiter der mitbeteiligten Partei).Die Bestimmung des Artikel 15, Absatz 4, DSGVO sieht nach dem oben bereits genannten allgemeinen Prinzip vor, dass die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden dürfen. Dies wird auch im Erwägungsgrund (63) u.a. ausdrücklich hervorgehoben und heißt es an dieser Stelle auch noch, dass die Nichtbeeinträchtigung von Rechten und Freiheiten anderer Personen nicht dazu führen dürfe, dass der betroffenen Person jegliche Auskunft verweigert wird. Letztlich geht es um eine praktische Konkordanz zwischen den Grundrechten der betroffenen Person (hier der mitbeteiligten Partei) und den Grundrechten von Dritten, deren Rechtspositionen berührt sind (hier der Mitarbeiter der mitbeteiligten Partei).

Das Interesse des Beschwerdeführer am Erhalt (einer Kopie) seiner E-Mails und Kalendereinträge steht jedoch bereits mit dem Grundsatz der Erforderlichkeit in Konflikt, da die Bestimmung des Art. 5 Abs. 1 lit. c DSGVO den Verarbeitungsgrundsatz der Datenminimierung vorsieht, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für den Zweck der Verarbeitung notwendige Maß beschränkt sein müssen (vgl. EuGH 09.11.2010, C-92/09 und C-93/09 (Schecke) Rz 86; 07.11.2013, C-473/12 (IPI) Rz 39; 11.12.2014, C-212/13 (Ryneš) Rz 28)). Der Beschwerdeführer brachte jedoch zu keinem Zeitpunkt vor, inwieweit die Zurverfügungstellung der E-Mails, Kalendereinträge erforderlich bzw. unerlässlich wäre, um ihm den Zweck der wirksamen Ausübung der ihm durch die DSGVO verliehenen Rechte zu ermöglichen.Das Interesse des Beschwerdeführer am Erhalt (einer Kopie) seiner E-Mails und Kalendereinträge steht jedoch bereits mit dem Grundsatz der Erforderlichkeit in Konflikt, da die Bestimmung des Artikel 5, Absatz eins, Litera c, DSGVO den Verarbeitungsgrundsatz der Datenminimierung vorsieht, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für den Zweck der Verarbeitung notwendige Maß beschränkt sein müssen vergleiche EuGH 09.11.2010, C-92/09 und C-93/09 (Schecke) Rz 86; 07.11.2013, C-473/12 (IPI) Rz 39; 11.12.2014, C-212/13 (Ryneš) Rz 28)). Der Beschwerdeführer brachte jedoch zu keinem Zeitpunkt vor, inwieweit die Zurverfügungstellung der E-Mails, Kalendereinträge erforderlich bzw. unerlässlich wäre, um ihm den Zweck der wirksamen Ausübung der ihm durch die DSGVO verliehenen Rechte zu ermöglichen.

Nach der in einem nächsten Schritt gebotenen Interessenabwägung stellt die Extrahierung der begehrten Daten (durch vollständige Durchsuchung) der Postfächer aller Mitarbeiter der mitbeteiligten Partei, welche auch private Inhalte und Empfänger enthalten können, eine schwerwiegende Beeinträchtigung der Geheimhaltungsinteressen gemäß § 1 DSG sowie dem Recht auf Privatsphäre gemäß Art. 8 EMRK der Arbeitnehmer der mitbeteiligten Partei dar. Dabei ist der konkrete Umfang – unabhängig davon, dass der Beschwerdeführer im gesamten Verwaltungsverfahren keine Konkretisierung oder Gründe betreffend bestimmter E-Mails oder Kalendereinträge vornahm – nicht weiter relevant, da jedenfalls ein Durchsuchung und Offenlegung von Arbeitnehmerpostfächern notwendig wäre, welche in keinem Verhältnis zum vom Beschwerdefrüher bloß allgemein erkennbaren Ziel liegt. Auch das in diesem Zusammenhang vorgebrachte Instrument der Schwärzung von Fremddaten ändert daran nichts. Die Interessen der Mitarbeiter der mitbeteiligten Partei sind daher aus obigen Erwägungen als „schutzwürdiger“ als jene des Beschwerdeführers zu werten und ist die begehrte Auskunft im Ergebnis weder erforderlich noch besteht ein überwiegendes Interesse des Beschwerdeführers.Nach der in einem nächsten Schritt gebotenen Interessenabwägung stellt die Extrahierung der begehrten Daten (durch vollständige Durchsuchung) der Postfächer aller Mitarbeiter der mitbeteiligten Partei, welche auch private Inhalte und Empfänger enthalten können, eine schwerwiegende Beeinträchtigung der Geheimhaltungsinteressen gemäß Paragraph eins, DSG sowie dem Recht auf Privatsphäre gemäß Artikel 8, EMRK der Arbeitnehmer der mitbeteiligten Partei dar. Dabei ist der konkrete Umfang – unabhängig davon, dass der Beschwerdeführer im gesamten Verwaltungsverfahren keine Konkretisierung oder Gründe betreffend bestimmter E-Mails oder Kalendereinträge vornahm – nicht weiter relevant, da jedenfalls ein Durchsuchung und Offenlegung von Arbeitnehmerpostfächern notwendig wäre, welche in keinem Verhältnis zum vom Beschwerdefrüher bloß allgemein erkennbaren Ziel liegt. Auch das in diesem Zusammenhang vorgebrachte Instrument der Schwärzung von Fremddaten ändert daran nichts. Die Interessen der Mitarbeiter der mitbeteiligten Partei sind daher aus obigen Erwägungen als „schutzwürdiger“ als jene des Beschwerdeführers zu werten und ist die begehrte Auskunft im Ergebnis weder erforderlich noch besteht ein überwiegendes Interesse des Beschwerdeführers.

In der Folge musste auf mögliche Betriebs- oder Geschäftsgeheimnisse, welche nach den Angaben der mitbeteiligten Partei in den E-Mails und Kalendereinträgen enthalten sein könnten, nicht weiter eingegangen werden.

Die erteilte Auskunft erweist sich damit auch diesbezüglich – aufgrund der zulässigen Ablehnung der Auskunftserteilung durch die mitbeteiligte Partei gemäß Art. 15 Abs. 4 DSGVO – als vollständig.Die erteilte Auskunft erweist sich damit auch diesbezüglich – aufgrund der zulässigen Ablehnung der Auskunftserteilung durch die mitbeteiligte Partei gemäß Artikel 15, Absatz 4, DSGVO – als vollständig.

3.3.2.4. Zu den begehrten Projektunterlagen und Protokollen:

Eine Ablehnung der Auskunft gemäß Art. 15 Abs. 4 DSGVO ist nach dem oben bereits genannten allgemeinen Prinzip laut Erwägungsgrund 63 Satz 5 auch im Zusammenhang mit Geschäftsgeheimnissen, als Teil der Rechte und Freiheiten anderer Personen, möglich (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 48/4 (Stand 1.7.2024, rdb.at)).Eine Ablehnung der Auskunft gemäß Artikel 15, Absatz 4, DSGVO ist nach dem oben bereits genannten allgemeinen Prinzip laut Erwägungsgrund 63 Satz 5 auch im Zusammenhang mit Geschäftsgeheimnissen, als Teil der Rechte und Freiheiten anderer Personen, möglich vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 48/4 (Stand 1.7.2024, rdb.at)).

In diesem Zusammenhang ist es naheliegend, auf einen unionsrechtlich determinierten Begriff des Geschäftsgeheimnisses abzustellen. § 26b Abs. 1 UWG idF BGBl I 2018/109 setzt Art. 2 Z 1 RL 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, um, und lautet: In diesem Zusammenhang ist es naheliegend, auf einen unionsrechtlich determinierten Begriff des Geschäftsgeheimnisses abzustellen. Paragraph 26 b, Absatz eins, UWG in der Fassung BGBl römisch eins 2018/109 setzt Artikel 2, Ziffer eins, RL 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen (Geschäftsgeheimnisse) vor rechtswidrigem Erwerb sowie rechtswidriger Nutzung und Offenlegung, um, und lautet:

Ein Geschäftsgeheimnis ist eine Information, die

1. geheim ist, weil sie weder in ihrer Gesamtheit noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen zu tun haben, allgemein bekannt noch ohne weiteres zugänglich ist,

2. von kommerziellem Wert ist, weil sie geheim ist, und

3. Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen durch die Person ist, welche die rechtmäßige Verfügungsgewalt über diese Informationen ausübt.

(vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 51/1 (Stand 1.7.2024, rdb.at))vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 51/1 (Stand 1.7.2024, rdb.at))

Zu diesem Aspekt der behaupteten Unvollständigkeit der Auskunftserteilung durch die mitbeteiligte Partei ist vorweg festzuhalten, dass diese in ihrer Auskunft betreffend die Mitarbeiterdaten vom 06.11.2020 auf Seite 6 ausdrücklich ausgeführt hat, welche personenbezogenen Daten des Beschwerdeführers in den verarbeiteten Projektunterlagen enthalten sind. Darüber hinaus verweigerte die mitbeteiligten Partei die Herausgabe (einer Kopie) der Projektunterlagen an denen der Beschwerdeführer während seines Arbeitsverhältnisses bei der mitbeteiligten Partei mitgewirkt hat bzw. die internen Protokolle, welche dessen personenbezogene Daten enthalten.

Wie oben im Zusammenhang mit der Definition von personenbezogenen Daten gemäß Art. 4 Z 1 DSGVO ausgeführt, bestehen bereits Zweifel daran, dass es sich bei den begehrten Dokumenten überhaupt um personenbezogene Daten des Beschwerdeführers handeln soll.Wie oben im Zusammenhang mit der Definition von personenbezogenen Daten gemäß Artikel 4, Ziffer eins, DSGVO ausgeführt, bestehen bereits Zweifel daran, dass es sich bei den begehrten Dokumenten überhaupt um personenbezogene Daten des Beschwerdeführers handeln soll.

Die genannten Dokumente, welche u.a. eine Berechnung der Wirtschaftlichkeit eines bestimmten Investitionsvorhabens (einschließlich diesbezüglich erstellter Materialien wozu u.a. PowerPoint Präsentationen oder Protokolle zählen) stellen jedoch jedenfalls Betriebs- und Geschäftsgeheimnisse der mitbeteiligten Partei dar, da diese Informationen enthalten, welche geheim sind, weil sie nur einem eingeschränkten internen Personenkreis zugänglich bzw. nicht allgemein bekannt sind, einen kommerziellem Wert enthalten und Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen sind (interne Vorschriften für Mitarbeiter bei Ausscheiden aus dem Unternehmen).

Die erteilte Auskunft erweist sich damit auch diesbezüglich – aufgrund der zulässigen Ablehnung der Auskunftserteilung durch die mitbeteiligte Partei gemäß Art. 15 Abs. 4 DSGVO – als vollständig.Die erteilte Auskunft erweist sich damit auch diesbezüglich – aufgrund der zulässigen Ablehnung der Auskunftserteilung durch die mitbeteiligte Partei gemäß Artikel 15, Absatz 4, DSGVO – als vollständig.

3.3.2.5. Zu den Empfängern und Empfängerkategorien der personenbezogenen Daten:

Laut Art. 15 Abs. 1 lit. c DSGVO sind die Empfänger oder Kategorien von Empfängern zu beauskunften, welchen der Verantwortliche die Daten offengelegt hat oder noch offenlegen wird, speziell bei Empfängern in Drittländern oder bei internationalen Organisationen. Der EuGH stellte mit seinem Urteil in der Rechtssache Post klar, dass die konkreten Empfänger zu beauskunften sind. Schon der VwGH hatte zum DSG 2000 festgehalten, dass die Auskunft grundsätzlich so konkret zu erfolgen hat, dass der Betroffene seine Berichtigungs- und Löschrechte sowohl gegenüber der Quelle der Daten als auch gegenüber Übermittlungsempfängern durchsetzen kann. Der EuGH teilt diese Überzeugung (Urteil vom 12.01.2023, C-154/21, RW, Rn 43). Der EuGH lässt allerdings dort eine Beauskunftung der Empfängerkategorien zu, wo eine Identifizierung der Empfänger nicht möglich ist (z.B. weil sie noch nicht bekannt sind), oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv iSv Art. 12 Abs. 5 DSGVO sind (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 39, 39/1 (Stand 1.7.2024, rdb.at)).Laut Artikel 15, Absatz eins, Litera c, DSGVO sind die Empfänger oder Kategorien von Empfängern zu beauskunften, welchen der Verantwortliche die Daten offengelegt hat oder noch offenlegen wird, speziell bei Empfängern in Drittländern oder bei internationalen Organisationen. Der EuGH stellte mit seinem Urteil in der Rechtssache Post klar, dass die konkreten Empfänger zu beauskunften sind. Schon der VwGH hatte zum DSG 2000 festgehalten, dass die Auskunft grundsätzlich so konkret zu erfolgen hat, dass der Betroffene seine Berichtigungs- und Löschrechte sowohl gegenüber der Quelle der Daten als auch gegenüber Übermittlungsempfängern durchsetzen kann. Der EuGH teilt diese Überzeugung (Urteil vom 12.01.2023, C-154/21, RW, Rn 43). Der EuGH lässt allerdings dort eine Beauskunftung der Empfängerkategorien zu, wo eine Identifizierung der Empfänger nicht möglich ist (z.B. weil sie noch nicht bekannt sind), oder wenn der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv iSv Artikel 12, Absatz 5, DSGVO sind vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 39, 39/1 (Stand 1.7.2024, rdb.at)).

Soweit der Beschwerdeführer behauptet, dass aus den erteilten Auskünften nicht erkennbar sei, ob die Empfängerkategorien auch Empfänger in Drittstaaten enthalten würden, ist festzuhalten, dass sich dies den erteilten Auskunft entnehmen lässt und die mitbeteiligte Partei (wiederholend vor dem Bundesverwaltungsgericht in der Stellungnahme vom 18.04.2023) ausführte, dass sie die Daten des Beschwerdeführers zu keinem Zeitpunkt an Drittstaaten übermittelte.

Die mitbeteiligte Partei führte zudem – wie beweiswürdigend dargestellt – aus, dass an den vom Beschwerdeführer genannten Stellen (den Seiten 1-3 des Auskunftsschreibens vom 06.11.2020 betreffend die Mitarbeiterdaten) keine (noch) konkrete Nennung von Empfängern möglich war und deshalb nur die Kategorie der Empfänger beauskunftet wurde. Dies ist nach der Judikatur des EuGH auch zulässig, da der mitbeteiligten Partei eine weitere Identifizierung der Empfänger nicht möglich war.

Soweit der Beschwerdeführer abschließend moniert, die erteilte Auskunft, dass seine Daten an gewerblich konzessionierte Auskunfteien weitergegeben werden (Auskunft zu den Kundendaten vom 06.11.2020), erlaube es ihm nicht zu erkennen, welche Daten an welche konkrete Auskunftei weitergegeben worden seien, ist klarstellend festzuhalten, dass mit Schreiben vom 26.04.2022 die mitbeteiligte Partei alle ihr bekannten Empfänger der Kundendaten des Beschwerdeführers – durch konkrete Nennung – beauskunftet hat. Eine Auskunftei findet sich nicht unter den beauskunfteten Empfängern und fand folglich zum Zeitpunkt des Auskunftsersuchens keine Übermittlung von personenbezogenen Daten des Beschwerdeführers an eine konkrete Auskunftei statt.

Im Ergebnis erweist sich die erteilte Auskunft auch in dieser Hinsicht als vollständig iSd Art. 15 DSGVO.Im Ergebnis erweist sich die erteilte Auskunft auch in dieser Hinsicht als vollständig iSd Artikel 15, DSGVO.

3.3.3.    Zu Art. 15 Abs. 3 DSGVO (Recht auf Kopie):3.3.3. Zu Artikel 15, Absatz 3, DSGVO (Recht auf Kopie):

Der EuGH hat mit Urteil vom 04.05.2023, C-487/21, ausgesprochen, dass Art. 15 Abs. 3 DSGVO kein eigenständiges Recht auf Kopie der Daten enthält.Der EuGH hat mit Urteil vom 04.05.2023, C-487/21, ausgesprochen, dass Artikel 15, Absatz 3, DSGVO kein eigenständiges Recht auf Kopie der Daten enthält.

Im Fall einer in einem Bus erfolgten Videoaufnahme hatte der zuständige Senat im oben bereits angeführten Erkenntnis vom 20.05.2021 (siehe S. 19) ausgesprochen, dass dem Antragsteller der Datenschutzbeschwerde neben der gewährten Einsichtnahme in die Videoaufnahme kein eigenständiges Recht auf weitere Ausfolgung einer Kopie des Videos zukomme.

In Bezug auf die gegenständlich begehrte Auskunft über die von der mitbeteiligten Partei verarbeiteten Daten des Beschwerdeführers liegt im Sinne obiger Judikatur keine trennbare Verwaltungssache vor. Angemerkt wird, dass im Fall des Beschwerdeführers ein gegenteiliger Bescheid der Datenschutzbehörde (zu Art. 15 Abs. 3 DSGVO) – wie oben unter 1.2. festgestellt – bereits durch das Bundesverwaltungsgericht mit Erkenntnis vom 28.11.2023, Zl. W256 2281063-1/6E, ersatzlos behoben wurde. In diesem Sinne ist nicht nur über den (Teil)Bescheid vom 22.12.2022, sondern über die (mit der Datenschutzbeschwerde vom 05.09.2021 eingeleitete) Verwaltungssache als Ganzes bescheidmäßig abzusprechen.In Bezug auf die gegenständlich begehrte Auskunft über die von der mitbeteiligten Partei verarbeiteten Daten des Beschwerdeführers liegt im Sinne obiger Judikatur keine trennbare Verwaltungssache vor. Angemerkt wird, dass im Fall des Beschwerdeführers ein gegenteiliger Bescheid der Datenschutzbehörde (zu Artikel 15, Absatz 3, DSGVO) – wie oben unter 1.2. festgestellt – bereits durch das Bundesverwaltungsgericht mit Erkenntnis vom 28.11.2023, Zl. W256 2281063-1/6E, ersatzlos behoben wurde. In diesem Sinne ist nicht nur über den (Teil)Bescheid vom 22.12.2022, sondern über die (mit der Datenschutzbeschwerde vom 05.09.2021 eingeleitete) Verwaltungssache als Ganzes bescheidmäßig abzusprechen.

Art. 15 Abs. 3 DSGVO bestimmt, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, zu erlangen. Jedoch nur, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen. Das ist insbesondere der Fall, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten, so etwa, wenn personenbezogene Daten aus anderen Daten generiert werden. Als Unterfall nennt der EuGH freie Felder: Dann gehen aus fehlenden Angaben Informationen über die Person hervor, und der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, ist unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann. Gleichzeitig hat die Auskunft leicht verständlich iSd Art. 12 Abs. 1 DSGVO zu sein (vgl. Haidinger in Knyrim, DatKomm Art. 15 DSGVO Rz 35/2 (Stand 1.7.2024, rdb.at); EuGH 04.05.2023, C-487/21, CRIF).Artikel 15, Absatz 3, DSGVO bestimmt, dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller Daten ausgefolgt wird. Dieses Recht setzt das Recht voraus, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u.a. diese Daten enthalten, zu erlangen. Jedoch nur, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch diese Verordnung verliehenen Rechte zu ermöglichen. Das ist insbesondere der Fall, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten, so etwa, wenn personenbezogene Daten aus anderen Daten generiert werden. Als Unterfall nennt der EuGH freie Felder: Dann gehen aus fehlenden Angaben Informationen über die Person hervor, und der Kontext, in dem diese Daten Gegenstand der Verarbeitung sind, ist unerlässlich, damit die betroffene Person eine transparente Auskunft und eine verständliche Darstellung dieser Daten erhalten kann. Gleichzeitig hat die Auskunft leicht verständlich iSd Artikel 12, Absatz eins, DSGVO zu sein vergleiche Haidinger in Knyrim, DatKomm Artikel 15, DSGVO Rz 35/2 (Stand 1.7.2024, rdb.at); EuGH 04.05.2023, C-487/21, CRIF).

Folglich handelt es bei Art. 15 Abs. 3 DSGVO um den Modus bzw. die Art und Weise, wie eine Auskunft iSd Art. 15 Abs. 1 und 2 DSGVO zu erteilen ist. Aufgrund den dem Beschwerdeführer übermittelten Auskunftsschreiben, insbesondere dem Dokumentenkonvolut vom 06.11.2020 steht fest, dass die mitbeteiligte Partei eine umfassende, originalgetreue und verständliche Reproduktion der Datensätze des Beschwerdeführers (insbesondere im Zusammenhang mit freien Feldern, durch Kopien bzw. Auszüge aus internen Datenbanken und Dokumenten) übermittelt hat. Soweit dies betreffend den monierten E-Mails, Kalendereinträgen, Protokollen und Projektunterlagen nicht erfolgte, ist auf die oben dargelegten Erwägungen unter 3.3.2.3. und 3.3.2.4. zu verweisen und zu wiederholen, dass für den erkennende Senat keine unvollständige Auskunftserteilung durch die mitbeteiligte Partei zu erblicken ist. Der Beschwerdeführer erstattete auch diesbezüglich kein weiteres und konkretes Vorbingen, welches Rückschlüsse auf eine Unerlässlichkeit von (weiteren) originalgetreuen Reproduktionen zur wirksame Ausübung seiner durch die DSGVO verliehen Rechte zulassen würde. Folglich handelt es bei Artikel 15, Absatz 3, DSGVO um den Modus bzw. die Art und Weise, wie eine Auskunft iSd Artikel 15, Absatz eins und 2 DSGVO zu erteilen ist. Aufgrund den dem Beschwerdeführer übermittelten Auskunftsschreiben, insbesondere dem Dokumentenkonvolut vom 06.11.2020 steht fest, dass die mitbeteiligte Partei eine umfassende, originalgetreue und verständliche Reproduktion der Datensätze des Beschwerdeführers (insbesondere im Zusammenhang mit freien Feldern, durch Kopien bzw. Auszüge aus internen Datenbanken und Dokumenten) übermittelt hat. Soweit dies betreffend den monierten E-Mails, Kalendereinträgen, Protokollen und Projektunterlagen nicht erfolgte, ist auf die oben dargelegten Erwägungen unter 3.3.2.3. und 3.3.2.4. zu verweisen und zu wiederholen, dass für den erkennende Senat keine unvollständige Auskunftserteilung durch die mitbeteiligte Partei zu erblicken ist. Der Beschwerdeführer erstattete auch diesbezüglich kein weiteres und konkretes Vorbingen, welches Rückschlüsse auf eine Unerlässlichkeit von (weiteren) originalgetreuen Reproduktionen zur wirksame Ausübung seiner durch die DSGVO verliehen Rechte zulassen würde.

Demzufolge hat der Beschwerdeführer neben dem von der mitbeteiligten Partei erhaltenen Konvolut an Unterlagen im Umfang von 767 Seiten kein Recht gegenüber der mitbeteiligten Partei auf Ausfolgung von weiteren Kopien seiner personenbezogenen Daten.

3.3.4. Da dem angefochtenen Bescheid aus dargelegten Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und 5 DSG idgF als unbegründet abzuweisen.3.3.4. Da dem angefochtenen Bescheid aus dargelegten Gründen eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und 5 DSG idgF als unbegründet abzuweisen.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. 3.4. Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Der Beschwerdeführer hat keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt.

Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen daher der Abstandnahme von einer mündlichen Verhandlung nicht entgegen. Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (z.B. VfGH 18.06.2012, B 155/12). Ebenso kann nach der Rechtsprechung des Verwaltungsgerichtshofs eine mündliche Verhandlung unterbleiben, wenn die Voraussetzungen hinsichtlich der Klärung des Sachverhalts gegeben sind und auch keine Rechtsfragen aufgeworfen werden, für die eine Erörterung in einer mündlichen Verhandlung erforderlich wäre (vgl. RS VwGH 19.10.2022, Ro 2022/04/0001).Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen daher der Abstandnahme von einer mündlichen Verhandlung nicht entgegen. Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (z.B. VfGH 18.06.2012, B 155/12). Ebenso kann nach der Rechtsprechung des Verwaltungsgerichtshofs eine mündliche Verhandlung unterbleiben, wenn die Voraussetzungen hinsichtlich der Klärung des Sachverhalts gegeben sind und auch keine Rechtsfragen aufgeworfen werden, für die eine Erörterung in einer mündlichen Verhandlung erforderlich wäre vergleiche RS VwGH 19.10.2022, Ro 2022/04/0001).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war folglich gemäß Paragraph 24, Absatz eins, VwGVG abzusehen.

3.5. Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt.

Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.