Index
E000 EU- Recht allgemeinNorm
AVG §56Betreff
Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger, Hofrat Dr. Mayr, Hofrätin Mag. Hainz-Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision der Ö AG in W, vertreten durch Schönherr Rechtsanwälte GmbH in 1010 Wien, Schottenring 19, gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 15. Oktober 2021, Zl. W211 2233706-1/5E, betreffend Datenschutzbeschwerde wegen Verletzung im Recht auf Geheimhaltung (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde, Barichgasse 40-42, 1030 Wien; mitbeteiligte Partei: E Z in W), zu Recht erkannt:
Spruch
Die Revision wird als unbegründet abgewiesen.
Die Revisionswerberin hat dem Bund Aufwendungen in der Höhe von € 553,20 binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
Begründung
1 1. Die mitbeteiligte Partei erhob am 4. Dezember 2019 eine gegen die Revisionswerberin als Beschwerdegegnerin gerichtete Datenschutzbeschwerde wegen Verletzung im Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 Datenschutzgesetz (DSG).1. Die mitbeteiligte Partei erhob am 4. Dezember 2019 eine gegen die Revisionswerberin als Beschwerdegegnerin gerichtete Datenschutzbeschwerde wegen Verletzung im Grundrecht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, Datenschutzgesetz (DSG).
2 2. Mit Bescheid vom 3. Juni 2020 gab die Datenschutzbehörde (belangte Behörde) dieser Datenschutzbeschwerde teilweise statt und stellte fest, die Revisionswerberin habe die Mitbeteiligte in ihrem Recht auf Geheimhaltung verletzt, indem sie zumindest bis zum 14. Februar 2019 Daten betreffend die Parteiaffinität der Mitbeteiligten verarbeitet habe. Im Übrigen wurde die Datenschutzbeschwerde als unbegründet abgewiesen.
3 Die belangte Behörde gab zunächst den Inhalt der Antwort der Revisionswerberin auf das Auskunftsersuchen der Mitbeteiligten wieder und stellte sodann fest, dass die verarbeiteten Daten betreffend „mögliche Zielgruppe für Wahlwerbung“ gelöscht worden seien.
4 In ihrer rechtlichen Beurteilung ging die belangte Behörde mit näherer Begründung davon aus, dass es sich bei den statistisch hochgerechneten und der Mitbeteiligten zugeordneten Daten hinsichtlich einer vermeintlichen Parteiaffinität um besondere Kategorien von personenbezogenen Daten im Sinn des Art. 9 Abs. 1 Datenschutz-Grundverordnung (DSGVO) handle. Da kein Erlaubnistatbestand vorliege, seien die Daten unrechtmäßig verarbeitet worden. Soweit sich die Mitbeteiligte darüber hinaus anhand „diverser statistischer Berechnungen“ in ihrem Recht auf Geheimhaltung verletzt erachte, habe sie es unterlassen, den anspruchsbegründenden Sachverhalt bzw. die davon betroffenen Daten auszuführen. Insoweit sei die Datenschutzbeschwerde daher als unbegründet abzuweisen gewesen.In ihrer rechtlichen Beurteilung ging die belangte Behörde mit näherer Begründung davon aus, dass es sich bei den statistisch hochgerechneten und der Mitbeteiligten zugeordneten Daten hinsichtlich einer vermeintlichen Parteiaffinität um besondere Kategorien von personenbezogenen Daten im Sinn des Artikel 9, Absatz eins, Datenschutz-Grundverordnung (DSGVO) handle. Da kein Erlaubnistatbestand vorliege, seien die Daten unrechtmäßig verarbeitet worden. Soweit sich die Mitbeteiligte darüber hinaus anhand „diverser statistischer Berechnungen“ in ihrem Recht auf Geheimhaltung verletzt erachte, habe sie es unterlassen, den anspruchsbegründenden Sachverhalt bzw. die davon betroffenen Daten auszuführen. Insoweit sei die Datenschutzbeschwerde daher als unbegründet abzuweisen gewesen.
5 3. Die dagegen erhobene Beschwerde der Revisionswerberin wies das Bundesverwaltungsgericht (BVwG) mit dem angefochtenen Erkenntnis vom 15. Oktober 2021 als unbegründet ab. Die Revision wurde gemäß Art. 133 Abs. 4 B-VG für zulässig erklärt.3. Die dagegen erhobene Beschwerde der Revisionswerberin wies das Bundesverwaltungsgericht (BVwG) mit dem angefochtenen Erkenntnis vom 15. Oktober 2021 als unbegründet ab. Die Revision wurde gemäß Artikel 133, Absatz 4, B-VG für zulässig erklärt.
6 Das BVwG legte seiner Entscheidung im Wesentlichen folgenden Sachverhalt zugrunde: Die Revisionswerberin übe auf Grund einer entsprechenden gewerblichen Befugnis Adressverlags- und Marketingaktivitäten auf der Grundlage des § 151 Gewerbeordnung 1994 (GewO 1994) aus. Zumindest bis zum 14. Februar 2019 habe sie näher dargestellte (ua. ein statistisch hochgerechnetes Interesse für die Wahlwerbung einzelner politischer Parteien beinhaltende) Daten der Mitbeteiligten verarbeitet und ihren Geschäftskunden für Marketingzwecke angeboten.Das BVwG legte seiner Entscheidung im Wesentlichen folgenden Sachverhalt zugrunde: Die Revisionswerberin übe auf Grund einer entsprechenden gewerblichen Befugnis Adressverlags- und Marketingaktivitäten auf der Grundlage des Paragraph 151, Gewerbeordnung 1994 (GewO 1994) aus. Zumindest bis zum 14. Februar 2019 habe sie näher dargestellte (ua. ein statistisch hochgerechnetes Interesse für die Wahlwerbung einzelner politischer Parteien beinhaltende) Daten der Mitbeteiligten verarbeitet und ihren Geschäftskunden für Marketingzwecke angeboten.
7 In seiner rechtlichen Beurteilung bejahte das BVwG - unter Verweis insbesondere auf das Urteil des Obersten Gerichtshofes (OGH) vom 18. Februar 2021, 6 Ob 127/20z, sowie auf ein näher bezeichnetes Erkenntnis des BVwG vom 20. August 2020 -, dass es sich bei den gegenständlich verarbeiteten Daten zur Parteiaffinität um personenbezogene Daten, und zwar um eine besondere Kategorie derartiger Daten im Sinn des Art. 9 Abs. 1 DSGVO, handle. Ein Erlaubnistatbestand für die Verarbeitung derartiger Daten liege nicht vor, insbesondere stelle § 151 Abs. 6 GewO 1994 keinen Rechtsakt dar, der im Sinn des Art. 9 Abs. 2 lit. g DSGVO aus Gründen eines erheblichen öffentlichen Interesses erforderlich sei.In seiner rechtlichen Beurteilung bejahte das BVwG - unter Verweis insbesondere auf das Urteil des Obersten Gerichtshofes (OGH) vom 18. Februar 2021, 6 Ob 127/20z, sowie auf ein näher bezeichnetes Erkenntnis des BVwG vom 20. August 2020 -, dass es sich bei den gegenständlich verarbeiteten Daten zur Parteiaffinität um personenbezogene Daten, und zwar um eine besondere Kategorie derartiger Daten im Sinn des Artikel 9, Absatz eins, DSGVO, handle. Ein Erlaubnistatbestand für die Verarbeitung derartiger Daten liege nicht vor, insbesondere stelle Paragraph 151, Absatz 6, GewO 1994 keinen Rechtsakt dar, der im Sinn des Artikel 9, Absatz 2, Litera g, DSGVO aus Gründen eines erheblichen öffentlichen Interesses erforderlich sei.
8 Dem Vorbringen der Revisionswerberin, es bestehe kein Anspruch auf Feststellung mehr, weil die Daten betreffend die Parteiaffinität gelöscht worden seien, hielt das BVwG (unter Verweis auf das hg. Erkenntnis VwGH 23.2.2021, Ra 2019/04/0054) entgegen, dass ein Eingriff in das Recht auf Geheimhaltung nicht durch die nachträgliche Löschung der Daten geheilt werden könne. Im Fall einer behaupteten Verletzung im Recht auf Geheimhaltung bestehe - im Gegensatz zu den Leistungsrechten (auf Auskunft und Löschung) - auch für die Vergangenheit ein Feststellungsanspruch. Die unrechtmäßig verarbeiteten Daten seien im Rahmen der Tätigkeit der Revisionswerberin weiterverarbeitet worden, weshalb von einem Fehlen der Beschwer auch nach der Löschung der Daten nicht die Rede sein könne. Wenn hinsichtlich der Verletzung im Recht auf Geheimhaltung eine Heilung durch eine nachträgliche Löschung nicht eintreten könne, mache es auch keinen Unterschied, ob die Löschung der Daten bereits vor der Beschwerdeeinbringung erfolgt sei.
9 Das BVwG erachtete die Revision als zulässig, weil es (zusammengefasst) an Rechtsprechung des Verwaltungsgerichtshofes zur Frage fehle, ob aus Durchschnittswerten ermittelte Einschätzungen des (politischen) Interesses natürlicher Personen besondere Kategorien personenbezogener Daten im Sinn des Art. 9 DSGVO seien.Das BVwG erachtete die Revision als zulässig, weil es (zusammengefasst) an Rechtsprechung des Verwaltungsgerichtshofes zur Frage fehle, ob aus Durchschnittswerten ermittelte Einschätzungen des (politischen) Interesses natürlicher Personen besondere Kategorien personenbezogener Daten im Sinn des Artikel 9, DSGVO seien.
10 4. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Revision. In der Zulässigkeitsbegründung verweist die Revisionswerberin zum einen auf die vom BVwG aufgeworfene Rechtsfrage und bringt zum anderen vor, aus dem vom BVwG herangezogenen Erkenntnis VwGH 23.2.2021, Ra 2019/04/0054, lasse sich kein subjektives Recht auf Feststellung einer in der Vergangenheit liegenden Verletzung im Recht auf Geheimhaltung ableiten. Vielmehr ergebe sich aus mehreren näher zitierten Entscheidungen des Verwaltungsgerichtshofes, dass kein Recht auf Feststellung einer in der Vergangenheit erfolgten Rechtsverletzung bestehe.
11 Die belangte Behörde erstattete eine Revisionsbeantwortung, in der sie die kostenpflichtige Zurückweisung, in eventu Abweisung der Revision beantragt.
12 Die Mitbeteiligte nahm von der Erstattung einer Revisionsbeantwortung Abstand.
Der Verwaltungsgerichtshof hat erwogen:
13 5. Die Revision erweist sich als zulässig, aus nachstehenden Erwägungen jedoch nicht als berechtigt.
Die maßgeblichen Bestimmungen des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, in der Fassung BGBl. I Nr. 51/2012 (§ 1) bzw. BGBl. I Nr. 120/2017 (§ 24), lauten auszugsweise:Die maßgeblichen Bestimmungen des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,, in der Fassung Bundesgesetzblatt Teil eins, Nr. 51 aus 2012, (Paragraph eins,) bzw. Bundesgesetzblatt Teil eins, Nr. 120 aus 2017, (Paragraph 24,), lauten auszugsweise:
„Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
[...]
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
[...]
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. [...]“
14 6. Soweit die Revisionswerberin vorbringt, Parteiaffinitäten seien keine personenbezogenen Daten bzw. - selbst wenn dies der Fall wäre - keine besondere Kategorie personenbezogener Daten im Sinn des Art. 9 DSGVO, kann gemäß § 43 Abs. 2 zweiter Satz VwGG auf die Ausführungen im hg. Erkenntnis VwGH 14.12.2021, Ro 2021/04/0007, Rn. 25 bis 53, verwiesen werden. Der Verwaltungsgerichtshof hat darin ausgesprochen, dass die auch hier gegenständlichen Daten unter den Begriff der besonderen Kategorie personenbezogener Daten des Art. 9 Abs. 1 DSGVO zu subsumieren seien. Im Hinblick darauf kann es auf die von der Revisionswerberin ins Treffen geführte fehlende Rechtsprechung des Verwaltungsgerichtshofes zur Abgrenzung der DSGVO von der „VO über nicht-personenbezogene Daten“ nicht ankommen, weshalb darauf nicht weiter einzugehen ist.6. Soweit die Revisionswerberin vorbringt, Parteiaffinitäten seien keine personenbezogenen Daten bzw. - selbst wenn dies der Fall wäre - keine besondere Kategorie personenbezogener Daten im Sinn des Artikel 9, DSGVO, kann gemäß Paragraph 43, Absatz 2, zweiter Satz VwGG auf die Ausführungen im hg. Erkenntnis VwGH 14.12.2021, Ro 2021/04/0007, Rn. 25 bis 53, verwiesen werden. Der Verwaltungsgerichtshof hat darin ausgesprochen, dass die auch hier gegenständlichen Daten unter den Begriff der besonderen Kategorie personenbezogener Daten des Artikel 9, Absatz eins, DSGVO zu subsumieren seien. Im Hinblick darauf kann es auf die von der Revisionswerberin ins Treffen geführte fehlende Rechtsprechung des Verwaltungsgerichtshofes zur Abgrenzung der DSGVO von der „VO über nicht-personenbezogene Daten“ nicht ankommen, weshalb darauf nicht weiter einzugehen ist.
15 Aus dem (gegenüber der Revision, die dem Verfahren zu hg. Ro 2021/04/0007 zugrunde lag, zusätzlich erstatteten) Vorbringen der Revisionswerberin zur rezenten Rechtsprechung des Obersten Gerichtshofes (Verweis auf OGH 18.2.2021, 6 Ob 127/20z; 15.4.2021, 6 Ob 35/21x) ergibt sich nichts Anderes, zumal sich der Verwaltungsgerichtshof im bereits zitierten Erkenntnis Ro 2021/04/0007 mit den Ausführungen des OGH auseinandergesetzt bzw. sich diesen angeschlossen hat.
16 7.1. Die Revisionswerberin bringt weiters vor, es bestehe kein Anspruch auf Feststellung einer Verletzung im Recht auf Geheimhaltung, nachdem die inkriminierten Daten gelöscht worden seien.
17 Diesbezüglich verweist die Revisionswerberin zum einen auf die historische Entwicklung der Zuständigkeit der Datenschutzbehörde zur Erlassung von Feststellungsbescheiden. Das Datenschutzgesetz 2000 (DSG 2000) habe zwar eine Feststellungskompetenz der Datenschutzbehörde bei Verletzungen des DSG 2000 vorgesehen. Allerdings habe der Verwaltungsgerichtshof (in näher zitierten Entscheidungen) festgehalten, dass das Beschwerderecht nur auf aktuelle Verletzungen abziele; eine Zuständigkeit zur Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber nicht mehr aktuelle Verletzungen sei hingegen verneint worden, zumal nachträgliche Feststellungen nicht mehr der Durchsetzung einer gesetzlich vorgesehenen Leistung durch die Verwaltungsorgane dienten. Demgegenüber fehle im (nunmehr geltenden) DSG eine Feststellungskompetenz der Datenschutzbehörde. Da im Anwendungsbereich der DSGVO (anders als früher) der Datenschutzbehörde selbst der umfängliche Vollzug obliege, sei das bisherige Konzept des Feststellungsbescheides obsolet geworden und daher nicht mehr fortgeführt worden.
18 Die Zulässigkeit eines Feststellungsbescheides bemesse sich daher nach der allgemein dazu entwickelten „Judikaturformel“. Ausgehend davon sei die Feststellung einer vergangenen, zwischenzeitig beseitigten Datenschutzverletzung aber unzulässig. Ein rechtliches Interesse am gegenständlichen Feststellungsbescheid sei weder von der Mitbeteiligten dargetan worden, noch erschließe es sich aus dem Verfahren. Der Feststellungsbescheid bilde keine Notwendigkeit zur Rechtsverfolgung und ihm stehe die Subsidiarität gegenüber den Leistungsansprüchen entgegen. Durch die sanierende Wirkung der Datenlöschung bestehe kein Bedarf mehr an der Feststellung einer möglicherweise vorangegangenen rechtswidrigen Verwendung dieser Daten. Soweit das BVwG zum Ausdruck bringe, eine Beschwer sei weiterhin aufrecht, weil die Daten der Mitbeteiligten möglicherweise weitergegeben worden seien, sei dies reine Spekulation; eine Datenweitergabe sei von der Datenschutzbehörde nicht festgestellt worden. Selbst wenn es zu einer (im vorliegenden Fall nicht festgestellten) Datenweitergabe gekommen wäre, stünden der Mitbeteiligten das Auskunftsrecht gegenüber der Revisionswerberin und das Löschungsrecht gegenüber dem Datenempfänger zur Verfügung. Die Beschwer der Mitbeteiligten sei somit spätestens mit der Löschung der Parteiaffinitäten weggefallen.
19 7.2. Die Datenschutzbehörde verweist in ihrer Revisionsbeantwortung auf den Wortlaut des § 24 Abs. 2 Z 5 sowie Abs. 5 DSG, wonach zu begehren sei, die behauptete Rechtsverletzung festzustellen, und die festgestellte Rechtsverletzung zu beseitigen sei. Verletzungen im Recht auf Geheimhaltung seien typischerweise punktuelle, meist abgeschlossene Rechtsverstöße und damit einer nachträglichen Beseitigung nicht zugänglich. Eine Ausnahme vergangener Rechtsverstöße von der Feststellungskompetenz hätte zudem eine wesentlich eingeschränkte Prüfkompetenz der Datenschutzbehörde zur Folge, was aufgrund der unionsrechtlichen Vorgaben nicht möglich wäre.7.2. Die Datenschutzbehörde verweist in ihrer Revisionsbeantwortung auf den Wortlaut des Paragraph 24, Absatz 2, Ziffer 5, sowie Absatz 5, DSG, wonach zu begehren sei, die behauptete Rechtsverletzung festzustellen, und die festgestellte Rechtsverletzung zu beseitigen sei. Verletzungen im Recht auf Geheimhaltung seien typischerweise punktuelle, meist abgeschlossene Rechtsverstöße und damit einer nachträglichen Beseitigung nicht zugänglich. Eine Ausnahme vergangener Rechtsverstöße von der Feststellungskompetenz hätte zudem eine wesentlich eingeschränkte Prüfkompetenz der Datenschutzbehörde zur Folge, was aufgrund der unionsrechtlichen Vorgaben nicht möglich wäre.
20 7.3. Zu dem vom BVwG und von der belangten Behörde bejahten, von der Revisionswerberin hingegen verneinten Feststellungsanspruch der Mitbeteiligten ist Folgendes festzuhalten:
21 7.3.1. Gemäß § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten (ua.) gegen § 1 DSG, der auch das Recht auf Geheimhaltung schützt, verstößt. Gemäß § 24 Abs. 2 Z 5 DSG hat die Beschwerde das Begehren zu enthalten, die behauptete Rechtsverletzung festzustellen. Soweit sich eine Beschwerde als berechtigt erweist, ist ihr nach § 24 Abs. 5 erster Satz DSG Folge zu geben. Das Gesetz sieht demnach als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß § 24 Abs. 5 DSG Folge zu geben ist, sofern sie sich als berechtigt erweist. Der Verwaltungsgerichtshof hat daher keine Zweifel daran, dass der Datenschutzbehörde die Zuständigkeit zukommt, auf Grund einer - sich als berechtigt erweisenden - Beschwerde die Verletzung eines Beschwerdeführers in seinem Recht auf Geheimhaltung der ihn betreffenden personenbezogenen Daten festzustellen.7.3.1. Gemäß Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten (ua.) gegen Paragraph eins, DSG, der auch das Recht auf Geheimhaltung schützt, verstößt. Gemäß Paragraph 24, Absatz 2, Ziffer 5, DSG hat die Beschwerde das Begehren zu enthalten, die behauptete Rechtsverletzung festzustellen. Soweit sich eine Beschwerde als berechtigt erweist, ist ihr nach Paragraph 24, Absatz 5, erster Satz DSG Folge zu geben. Das Gesetz sieht demnach als Rechtsbehelf im Fall einer datenschutzrechtlichen Rechtsverletzung explizit einen Feststellungsantrag im Rahmen der Beschwerde vor, der gemäß Paragraph 24, Absatz 5, DSG Folge zu geben ist, sofern sie sich als berechtigt erweist. Der Verwaltungsgerichtshof hat daher keine Zweifel daran, dass der Datenschutzbehörde die Zuständigkeit zukommt, auf Grund einer - sich als berechtigt erweisenden - Beschwerde die Verletzung eines Beschwerdeführers in seinem Recht auf Geheimhaltung der ihn betreffenden personenbezogenen Daten festzustellen.
22 Zudem hat der Verwaltungsgerichtshof bereits im Erkenntnis VwGH 14.12.2021, Ro 2020/04/0032, Rn. 38 (zu der von ihm in der Folge verneinten Frage, ob der Datenschutzbehörde im Rahmen der Inanspruchnahme der ihr gemäß Art. 58 Abs. 2 DSGVO eingeräumten Abhilfebefugnisse die Kompetenz zukommt, von Amts wegen einen rechtskraftfähigen Feststellungsausspruch betreffend die Rechtswidrigkeit des untersuchten Verarbeitungsvorgangs zu treffen), im Zusammenhang mit der Abgrenzung des amtswegig geführten Verfahrens nach Art. 58 Abs. 2 DSGVO von der Individualbeschwerde nach § 24 DSG begründend festgehalten, dass § 24 DSG der in ihrem persönlichen Recht verletzten Person die Möglichkeit einräumt, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen (vgl. weiters das hg. Erkenntnis VwGH 23.6.2022, Ro 2022/04/0008, Rn. 41 bis 45, in dem der Verwaltungsgerichtshof die Feststellung der Verletzung des dort Mitbeteiligten in seinem Grundrecht auf Datenschutz nach § 1 DSG unbeanstandet gelassen hat).Zudem hat der Verwaltungsgerichtshof bereits im Erkenntnis VwGH 14.12.2021, Ro 2020/04/0032, Rn. 38 (zu der von ihm in der Folge verneinten Frage, ob der Datenschutzbehörde im Rahmen der Inanspruchnahme der ihr gemäß Artikel 58, Absatz 2, DSGVO eingeräumten Abhilfebefugnisse die Kompetenz zukommt, von Amts wegen einen rechtskraftfähigen Feststellungsausspruch betreffend die Rechtswidrigkeit des untersuchten Verarbeitungsvorgangs zu treffen), im Zusammenhang mit der Abgrenzung des amtswegig geführten Verfahrens nach Artikel 58, Absatz 2, DSGVO von der Individualbeschwerde nach Paragraph 24, DSG begründend festgehalten, dass Paragraph 24, DSG der in ihrem persönlichen Recht verletzten Person die Möglichkeit einräumt, die ihr gegenüber geschehene Rechtsverletzung feststellen zu lassen vergleiche , weiters das hg. Erkenntnis VwGH 23.6.2022, Ro 2022/04/0008, Rn. 41 bis 45, in dem der Verwaltungsgerichtshof die Feststellung der Verletzung des dort Mitbeteiligten in seinem Grundrecht auf Datenschutz nach Paragraph eins, DSG unbeanstandet gelassen hat).
23 Somit erübrigt sich ein Eingehen auf das Vorbringen der Revisionswerberin, dass die allgemeinen Voraussetzungen für die Erlassung eines Feststellungsbescheides ohne gesetzliche Grundlage nicht vorlägen. Im Hinblick auf die oben (in Rn. 22) dargestellte hg. Rechtsprechung ist es auch unerheblich, ob sich (wie vom BVwG bejaht und von der Revisionswerberin verneint) aus dem hg. Erkenntnis VwGH 23.2.2021, Ra 2019/04/0054, für die hier gegenständliche Konstellation etwas ableiten lässt.
24 7.3.2. Zu prüfen ist allerdings, ob - wie die Revisionswerberin behauptet - die Löschung der entsprechenden Daten einer Feststellung der Verletzung im Recht auf Geheimhaltung durch die in der Vergangenheit erfolgte Verarbeitung entgegensteht. Die Revisionswerberin verweist diesbezüglich auf näher zitierte Rechtsprechung des Verwaltungsgerichtshofes, der zufolge kein Recht auf Feststellung einer in der Vergangenheit erfolgten Rechtsverletzung bestehe. Dass diesen Entscheidungen das Recht auf Auskunft, Löschung und Richtigstellung zugrunde gelegen sei, sei nach Ansicht der Revisionswerberin irrelevant, weil es nicht darauf ankommen könne, welches Betroffenenrecht geltend gemacht werde.
25 Dem ist allerdings entgegenzuhalten, dass bereits nach der Regelung des § 24 Abs. 5 DSG zwischen dem Recht auf Geheimhaltung einerseits und den Rechten auf Auskunft, Berichtigung und Löschung andererseits zu unterscheiden ist. Nach § 24 Abs. 5 zweiter Satz DSG ist einem Verantwortlichen des privaten Bereichs aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Eine Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen wird im Zusammenhang mit dem Recht auf Geheimhaltung hingegen nicht angesprochen.Dem ist allerdings entgegenzuhalten, dass bereits nach der Regelung des Paragraph 24, Absatz 5, DSG zwischen dem Recht auf Geheimhaltung einerseits und den Rechten auf Auskunft, Berichtigung und Löschung andererseits zu unterscheiden ist. Nach Paragraph 24, Absatz 5, zweiter Satz DSG ist einem Verantwortlichen des privaten Bereichs aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Eine Beseitigung der Rechtsverletzung bzw. ein darauf gerichteter Auftrag an den Verantwortlichen wird im Zusammenhang mit dem Recht auf Geheimhaltung hingegen nicht angesprochen.
26 Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen - anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG - jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen - anders als das Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG - jeweils einen Anspruch auf eine bestimmte Leistung vergleiche , hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. Paragraph 24, Absatz 6, DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.
27 Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. § 1 Abs. 1 DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen (siehe RV 1613 BlgNR 20. GP 34 zur - unverändert gebliebenen - Bestimmung des § 1 DSG 2000). Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. Paragraph eins, Absatz eins, DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen (siehe Regierungsvorlage 1613, BlgNR 20. Gesetzgebungsperiode 34 zur - unverändert gebliebenen - Bestimmung des Paragraph eins, DSG 2000). Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann.
28 Daran vermag die von der Revisionswerberin ins Treffen geführte Rechtsprechung nichts zu ändern:
Der Verfassungsgerichtshof hat in seinem Erkenntnis VfGH 26.6.1991, B 811/89, festgehalten, die wegen behaupteter Verletzung der Rechte auf Richtigstellung oder auf Löschung erhobene Datenschutzbeschwerde habe ausschließlich zum Ziel, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der (damals noch) Datenschutzkommission und ihre „Vollstreckung“ zur Durchsetzung des Rechts auf Richtigstellung oder auf Löschung zu verhelfen. Sei die Richtigstellung oder Löschung durchgeführt (bzw. veranlasst) worden, sei die Möglichkeit der Verletzung der durch § 1 Abs. 4 DSG 2000 eingeräumten subjektiven Rechte nicht mehr gegeben. Eine meritorische Entscheidung wegen Verletzung dieser Rechte komme nur dann und solange in Betracht, als die angestrebte Richtigstellung oder Löschung noch nicht durchgeführt (bzw. veranlasst) worden sei.Der Verfassungsgerichtshof hat in seinem Erkenntnis VfGH 26.6.1991, B 811/89, festgehalten, die wegen behaupteter Verletzung der Rechte auf Richtigstellung oder auf Löschung erhobene Datenschutzbeschwerde habe ausschließlich zum Ziel, dem Beschwerdeführer erforderlichenfalls durch eine Entscheidung der (damals noch) Datenschutzkommission und ihre „Vollstreckung“ zur Durchsetzung des Rechts auf Richtigstellung oder auf Löschung zu verhelfen. Sei die Richtigstellung oder Löschung durchgeführt (bzw. veranlasst) worden, sei die Möglichkeit der Verletzung der durch Paragraph eins, Absatz 4, DSG 2000 eingeräumten subjektiven Rechte nicht mehr gegeben. Eine meritorische Entscheidung wegen Verletzung dieser Rechte komme nur dann und solange in Betracht, als die angestrebte Richtigstellung oder Löschung noch nicht durchgeführt (bzw. veranlasst) worden sei.
29 Unter Bezugnahme auf dieses Erkenntnis hat der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 28.3.2006, 2004/06/0125, die Zulässigkeit der Erlassung von Feststellungsbescheiden über in der Vergangenheit erfolgte, aber (infolge der - wenn auch verspätet ergangenen - Mitteilung) nicht mehr aktuelle Verletzungen des dort relevanten Rechts auf Mitteilung über die beantragte Löschung verneint. Der Verwaltungsgerichtshof hat darin betont, dass die Mitteilung über die Löschung auf die Erbringung einer Leistung gegenüber dem Rechtsunterworfenen ausgerichtet ist. Es entspricht - so der Verwaltungsgerichtshof weiter - einem effektiven Rechtsschutz, wenn im Fall der Gewährleistung eines bestimmten Verwaltungshandelns (wie die Löschung oder die Mitteilung darüber) entsprechende Rechtsmittel zur Erreichung dieses Verwaltungshandelns bestehen. Auch die weiteren von der Revisionswerberin insoweit ins Treffen geführten hg. Entscheidungen befassen sich mit dem Recht auf Löschung und auf Mitteilung darüber (VwGH 25.4.2006, 2004/06/0167; 24.10.2006, 2006/06/0050) bzw. mit dem Recht auf Auskunft (VwGH 27.9.2007, 2006/06/0330). Keine dieser Entscheidungen lässt hingegen Rückschlüsse auf das Nichtbestehen eines Feststellungsanspruchs hinsichtlich der behaupteten Verletzung des Rechts auf Geheimhaltung zu.
30 Demgegenüber hatte sich der Verwaltungsgerichtshof im hg. Erkenntnis VwGH 9.9.2008, 2005/06/0125, mit einer - von der Datenschutzkommission zur Gänze abgewiesenen - Datenschutzbeschwerde betreffend einerseits die Verletzung des Rechts auf Geheimhaltung und andererseits die in der Vergangenheit bestandene Verletzung des Rechts auf Löschung zu befassen. Im Hinblick auf die zum Entscheidungszeitpunkt der dort belangten Behörde bereits angeordnete Löschung der gegenständlichen Daten verneinte der Verwaltungsgerichtshof eine Verletzung des Beschwerdeführers im Recht auf Löschung. Die Abweisung der Datenschutzbeschwerde hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung erachtete der Verwaltungsgerichtshof hingegen als rechtswidrig und hob den angefochtenen Bescheid in diesem Umfang auf. Einen auf Grund der erfolgten Löschung der Daten eingetretenen Wegfall der Beschwer des dortigen Beschwerdeführers hinsichtlich der geltend gemachten Verletzung im Recht auf Geheimhaltung nahm der Verwaltungsgerichtshof hingegen nicht an.
31 Der Verwaltungsgerichtshof hat daher bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Art. 4 Z 7 DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden. Dies ist für die geltende Rechtslage aber nicht anders zu beurteilen.Der Verwaltungsgerichtshof hat daher bereits im Anwendungsbereich des DSG 2000 zwischen den auf eine Leistung des Auftraggebers (nunmehr: des Verantwortlichen im Sinn des Artikel 4, Ziffer 7, DSGVO) gerichteten Ansprüchen (auf Auskunft, Löschung oder Richtigstellung) und dem Recht auf Geheimhaltung unterschieden
