TE Dsk BescheidBeschwerde 2026/1/9 2026-0.018.391

1. AVG § 45 heute
2. AVG § 45 gültig ab 01.02.1991

1. AVG § 46 heute
2. AVG § 46 gültig ab 01.02.1991

GZ: 2026-0.018.391 vom 9. Jänner 2026 (Verfahrenszahl: DSB-D124.2437/25)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Meinhard A*** (Beschwerdeführer) vom 13. August 2025, ergänzt am 18. August 2025, gegen den Verein N***-Therapie (Beschwerdegegner) wegen behaupteter Verletzung im Recht auf Auskunft wie folgt:

Rechtsgrundlagen: Art. 2, Art. 4 Z 1, Z 2 und Z 6, Art. 15 Abs. 1, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 2,, Artikel 4, Ziffer eins,, Ziffer 2 und Ziffer 6,, Artikel 15, Absatz eins,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f,, Artikel 58, Absatz 2, Litera c, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Im Rahmen seiner verfahrenseinleitenden Eingabe behauptete der Beschwerdeführer eine Verletzung im Recht auf Auskunft durch die Erteilung einer unvollständigen Auskunft.

2. Die Datenschutzbehörde forderte den Beschwerdegegner daraufhin am 25. August 2025 und am 2. Oktober 2025 zur Stellungnahme auf.

3. Der Beschwerdegegner erstattete bis zum Abschluss des Verfahrens keine Stellungnahme. Ein Rückschein, welcher die Entgegennahme durch den Beschwerdegegner bestätigt, liegt dem Akt bei.

B. Beschwerdegegenstand

Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner den Beschwerdeführer durch die Erteilung einer unvollständigen Auskunft im Recht auf Auskunft verletzt hat.

C. Sachverhaltsfeststellungen

1. Die Datenschutzbehörde legt das Vorbringen unter Punkt A ihren Sachverhaltsfeststellungen zugrunde.

2. Beim Beschwerdegegner handelt es sich um einen zu ZVR *1*66*22* im österreichischen Vereinsregister eingetragenen Verein, welcher in **** P***berg ein Therapiezentrum für psychosomatischen Erkrankungen betreibt.

3. Am 28. Juli 2025 übermittelte der Beschwerdeführer nachfolgende Nachricht per E-Mail an die E-Mail-Adresse des Beschwerdegegners (auszugsweise soweit verfahrensrelevant):

„Sehr geehrte Damen und Herren,

gemäß Art. 15 der Datenschutz-Grundverordnung (DSGVO) ersuche ich um vollständige Auskunft über alle personenbezogenen Daten, die derzeit oder in der Vergangenheit von Ihrem Verein N***-Therapie über mich verarbeitet wurden.gemäß Artikel 15, der Datenschutz-Grundverordnung (DSGVO) ersuche ich um vollständige Auskunft über alle personenbezogenen Daten, die derzeit oder in der Vergangenheit von Ihrem Verein N***-Therapie über mich verarbeitet wurden.

Ich bitte insbesondere um Informationen zu:

Darüber hinaus bitte ich um Auskunft darüber, welche personenbezogenen Daten von mir speziell durch Herrn Theodor M*** und Herrn Josef L*** verarbeitet wurden und ob personenbezogene Daten von mir durch Herrn Theodor M*** bzw. Herrn Josef L*** an Dritte übermittelt wurden und, falls dies der Fall ist, an welche Empfänger die Daten weitergegeben wurden.“

4. Der Obmann des Beschwerdegegners antwortete dem Beschwerdeführer mit E-Mail vom 12. August 2025 wie folgt:

„Sehr geehrter Herr A***,

anbei als PDF die Daten, die wir von Ihnen erhoben haben und die Medikamentenliste, welche verarbeitet wurde; die Daten stammen von Dr. C***. Es besteht keine geplante Speicherdauer.

Die von Herrn Josef L*** erhobenen Daten sind handschriftlich festgehalten und nicht elektronisch verarbeitet.

Wir können Sie gerne per Post oder Mail an Sie senden.

Wir weisen darauf hin, dass wir keine Verpflichtung haben, Ihre Daten weiter aufzubewahren. Auf Wunsch können wir Sie jederzeit löschen.

Wir hoffen es geht Ihnen gut und wünschen weiterhin alles Gute!

Für Fragen kontaktieren Sie mich gerne auch telefonisch.“

5. Bei Josef L*** handelt es sich um einen für den Beschwerdegegner tätigen Körpertherapeuten.

6. Bis zum Abschluss des vorliegenden Verfahrens erteilte der Beschwerdegegner dem Beschwerdeführer keine weiteren Auskünfte. Auch hat sich der Beschwerdegegner zu keinem Zeitpunkt gegenüber der Datenschutzbehörde geäußert.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem Vorbringen des Beschwerdeführers im Rahmen seiner verfahrenseinleitenden Eingabe sowie auf den durch diesen in Kopie vorgelegten Unterlagen. Im Übrigen beruhen die Feststellungen auf einer amtswegigen Abfrage des Zentralen Vereinsregisters sowie der Website „https://n***therapie.org/“, beides letztmalig abgefragt durch die Datenschutzbehörde am 9. Jänner 2026.

D. In rechtlicher Hinsicht folgt daraus:

D1. Zur mangelnden Mitwirkung

Wie dem Verfahrensgang sowie den Feststellungen zu entnehmen ist, hat der Beschwerdegegner trotz wiederholter Aufforderung durch die Datenschutzbehörde kein Vorbringen erstattet.

Gem. Art. 31 DSGVO ist ein Verantwortlicher verpflichtet, auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.Gem. Artikel 31, DSGVO ist ein Verantwortlicher verpflichtet, auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten.

Zwar hat die Behörde gemäß § 39 Abs. 2 AVG grundsätzlich von Amts wegen vorzugehen und den Gang des Ermittlungsverfahrens zu bestimmen.Zwar hat die Behörde gemäß Paragraph 39, Absatz 2, AVG grundsätzlich von Amts wegen vorzugehen und den Gang des Ermittlungsverfahrens zu bestimmen.

Unterlässt jedoch eine Partei die ihr obliegende Mitwirkung trotz entsprechender Aufforderungen, so wird es nicht als rechtswidrig angesehen, wenn die Behörde von Amts wegen keine weiteren Ermittlungen durchführt, sondern diese Unterlassung gemäß § 45 Abs. 2 und § 46 AVG im Rahmen der ihr zustehenden freien Beweiswürdigung in die Würdigung der vorliegenden Ermittlungsergebnisse einbezieht (vgl. Erk. des VwGH vom 28.8.2024, Ra 2023/08/0087).Unterlässt jedoch eine Partei die ihr obliegende Mitwirkung trotz entsprechender Aufforderungen, so wird es nicht als rechtswidrig angesehen, wenn die Behörde von Amts wegen keine weiteren Ermittlungen durchführt, sondern diese Unterlassung gemäß Paragraph 45, Absatz 2 und Paragraph 46, AVG im Rahmen der ihr zustehenden freien Beweiswürdigung in die Würdigung der vorliegenden Ermittlungsergebnisse einbezieht vergleiche Erk. des VwGH vom 28.8.2024, Ra 2023/08/0087).

Vor diesem Hintergrund hat die Datenschutzbehörde die mangelnde Mitwirkung des Beschwerdegegners im Rahmen der freien Beweiswürdigung dahingehend gewertet, dass die E-Mail-Nachricht des Beschwerdeführers vom 28. Juli 2025 bei dem Beschwerdegegner eingelangt und abseits der E-Mail-Nachricht vom 12. August 2025 keine weiteren Auskünfte erteilt worden sind.

D2. Zur Beschwerde (Spruchpunkt 1)

Eingangs ist darauf hinzuweisen, dass der VwGH in ständiger Rechtsprechung vertritt, dass in einem antragsbedürftigen Verwaltungsverfahren in erster Linie der Antragsteller bzw. die Antragstellerin bestimmt, was Gegenstand des Verfahrens ist. Von der Verwaltungsbehörde wie auch dem Verwaltungsgericht kann grundsätzlich nur darüber abgesprochen werden, was überhaupt beantragt wurde, insofern sind die Behörde und das Gericht an den Inhalt des Antrags des jeweiligen Antragstellers gebunden, diesen ist auch verwehrt, einseitig von diesem abzuweichen (vgl. Erkenntnis des VwGH vom 22.6.2016, Ra 2016/03/0027). Eingangs ist darauf hinzuweisen, dass der VwGH in ständiger Rechtsprechung vertritt, dass in einem antragsbedürftigen Verwaltungsverfahren in erster Linie der Antragsteller bzw. die Antragstellerin bestimmt, was Gegenstand des Verfahrens ist. Von der Verwaltungsbehörde wie auch dem Verwaltungsgericht kann grundsätzlich nur darüber abgesprochen werden, was überhaupt beantragt wurde, insofern sind die Behörde und das Gericht an den Inhalt des Antrags des jeweiligen Antragstellers gebunden, diesen ist auch verwehrt, einseitig von diesem abzuweichen vergleiche , Erkenntnis des VwGH vom 22.6.2016, Ra 2016/03/0027).

Sowohl die Datenschutzbehörde als auch das BVwG haben vor diesem Hintergrund wiederholt ausgesprochen, dass beim Beschwerdeverfahren gemäß Art. 77 DSGVO iVm. § 24 Abs. 1 DSG der Inhalt der Beschwerde den Beschwerdegegenstand konstituiert und begrenzt (vgl. etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).Sowohl die Datenschutzbehörde als auch das BVwG haben vor diesem Hintergrund wiederholt ausgesprochen, dass beim Beschwerdeverfahren gemäß Artikel 77, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG der Inhalt der Beschwerde den Beschwerdegegenstand konstituiert und begrenzt vergleiche , etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).

Der Beschwerdeführer begründete die behauptete Verletzung im Recht auf Auskunft damit, dass keine vollständigen Angaben zu den Zwecken der Verarbeitung, den Kategorien von personenbezogenen Daten, der Speicherdauer und den Empfänger*innen gemacht worden seien. Gleichzeitig seien handschriftlich verarbeitete Daten nicht beauskunftet worden.

Art. 2 DSGVO regelt den sachlichen Anwendungsbereich der DSGVO, der sich aus der Form der Datenverarbeitung sowie dem Zweck, der mit dieser verfolgt wird, ergibt. In Bezug auf die Form der Datenverarbeitung ist der Anwendungsbereich der DSGVO eröffnet, wenn personenbezogene Daten entweder ganz oder teilweise automatisiert verarbeitet werden oder nicht automatisiert verarbeitet werden, aber in einer Datei gespeichert werden bzw. werden sollen. Maßgeblich ist somit, dass entweder ein mit Hilfe automatisierter Verfahren ausgeführter Vorgang bzw. eine Vorgangsreihe im Zusammenhang mit personenbezogenen Daten vorliegt oder die Daten Teil einer nach bestimmten Kriterien strukturierten Sammlung sind, sodass ein erleichterter Zugriff auf die Daten möglich ist.Artikel 2, DSGVO regelt den sachlichen Anwendungsbereich der DSGVO, der sich aus der Form der Datenverarbeitung sowie dem Zweck, der mit dieser verfolgt wird, ergibt. In Bezug auf die Form der Datenverarbeitung ist der Anwendungsbereich der DSGVO eröffnet, wenn personenbezogene Daten entweder ganz oder teilweise automatisiert verarbeitet werden oder nicht automatisiert verarbeitet werden, aber in einer Datei gespeichert werden bzw. werden sollen. Maßgeblich ist somit, dass entweder ein mit Hilfe automatisierter Verfahren ausgeführter Vorgang bzw. eine Vorgangsreihe im Zusammenhang mit personenbezogenen Daten vorliegt oder die Daten Teil einer nach bestimmten Kriterien strukturierten Sammlung sind, sodass ein erleichterter Zugriff auf die Daten möglich ist.

Art. 4 Z 6 DSGVO definiert den Begriff „Dateisystem“ näher. Demnach ist ein „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird. Es muss also ein bestimmtes Kriterium geben, nach denen eine Sammlung zugänglich ist, wie etwa Name, Anschrift oder Geschlecht. Es muss sich um eine planmäßige Zusammenstellung einzelner Angaben handeln, die einen inneren Zusammenhang aufweisen (Hödl in Knyrim (Hrsg.), DatKomm Art. 4 DSGVO Rz 72, Stand 1.12.2018, rdb.at).Artikel 4, Ziffer 6, DSGVO definiert den Begriff „Dateisystem“ näher. Demnach ist ein „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird. Es muss also ein bestimmtes Kriterium geben, nach denen eine Sammlung zugänglich ist, wie etwa Name, Anschrift oder Geschlecht. Es muss sich um eine planmäßige Zusammenstellung einzelner Angaben handeln, die einen inneren Zusammenhang aufweisen (Hödl in Knyrim (Hrsg.), DatKomm Artikel 4, DSGVO Rz 72, Stand 1.12.2018, rdb.at).

Hierzu hat der EuGH bereits mehrfach festgehalten, dass der Begriff „Datei“ in dieser Bestimmung weit definiert wird, insbesondere dadurch, dass „jede“ strukturierte Sammlung personenbezogener Daten einbezogen wird. Darüber hinaus ist mit dem Erfordernis, dass die Sammlung personenbezogener Daten „nach bestimmten Kriterien strukturiert“ sein muss, nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sind (vgl. Urteil des EuGH vom 7. März 2024, Rs C-740/22, Rz. 37).Hierzu hat der EuGH bereits mehrfach festgehalten, dass der Begriff „Datei“ in dieser Bestimmung weit definiert wird, insbesondere dadurch, dass „jede“ strukturierte Sammlung personenbezogener Daten einbezogen wird. Darüber hinaus ist mit dem Erfordernis, dass die Sammlung personenbezogener Daten „nach bestimmten Kriterien strukturiert“ sein muss, nur gemeint, dass die Daten über eine bestimmte Person leicht wiederauffindbar sind vergleiche Urteil des EuGH vom 7. März 2024, Rs C-740/22, Rz. 37).

Ungeachtet der Tatsache, dass sich der Beschwerdegegner nicht dazu geäußert hat, in welcher konkreten Form die handschriftlichen Notizen des für sie tätigen Therapeuten geführt und aufbewahrt werden, ist dennoch davon auszugehen, dass es sich dabei um ein Dateisystem im Sinne des Art. 4 Z 6 DSGVO handelt.Ungeachtet der Tatsache, dass sich der Beschwerdegegner nicht dazu geäußert hat, in welcher konkreten Form die handschriftlichen Notizen des für sie tätigen Therapeuten geführt und aufbewahrt werden, ist dennoch davon auszugehen, dass es sich dabei um ein Dateisystem im Sinne des Artikel 4, Ziffer 6, DSGVO handelt.

Bei handschriftlichen Notizen eines Therapeuten über seine Patient*innen ist typischerweise davon auszugehen, dass diese zumindest nach bestimmten Kriterien - etwa nach Name oder Behandlungszeitraum - strukturiert geführt werden, um eine spätere Wiederauffindbarkeit zu gewährleisten. Eine solche Strukturierung ist bereits aufgrund der beruflichen Sorgfaltspflichten im therapeutischen Bereich naheliegend und erforderlich.

Vor diesem Hintergrund ist der sachliche Anwendungsbereich der DSGVO auch in Hinblick auf die personenbezogenen Daten des Beschwerdeführers, welche in handschriftlichen Notizen vorhanden sind, eröffnet.

Gemäß Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf bestimmte Informationen gemäß lit. a bis lit. h leg. cit.Gemäß Artikel 15, Absatz eins, DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf bestimmte Informationen gemäß Litera a bis Litera h, leg. cit.

Wie bereits unter Punkt a. festgehalten worden ist, handelt es sich bei den Informationen, welche in den handschriftlichen Notizen des Therapeuten vorhanden sind, um personenbezogene Daten des Beschwerdeführers. Folglich hätte der Beschwerdegegner diese im Rahmen der Auskunftserteilung beauskunften müssen.

Die Beschwerde erwies sich daher in diesem Punkt als berechtigt.

Abgesehen von der Beauskunftung der konkret verarbeiteten Daten, hat eine betroffene Person zusätzlich das Recht auf die Erteilung der in Art. 15 Abs 1 lit. a bis lit. h DSGVO genannten Information (sog. „Metainformationen“). Dies umfasst gemäß lit. a leg. cit. die Verarbeitungszwecke, laut lit. b leg. cit. die Datenkategorien, laut lit. c die Empfänger*innen (bzw. Empfängerkategorien) sowie laut lit. d zumindest die Kriterien für die Festlegung der Speicherdauer.Abgesehen von der Beauskunftung der konkret verarbeiteten Daten, hat eine betroffene Person zusätzlich das Recht auf die Erteilung der in Artikel 15, Absatz eins, Litera a bis Litera h, DSGVO genannten Information (sog. „Metainformationen“). Dies umfasst gemäß Litera a, leg. cit. die Verarbeitungszwecke, laut Litera b, leg. cit. die Datenkategorien, laut Litera c, die Empfänger*innen (bzw. Empfängerkategorien) sowie laut Litera d, zumindest die Kriterien für die Festlegung der Speicherdauer.

Wie den Feststellungen zu entnehmen ist, enthielt die Mitteilung des Beschwerdegegners vom 12. August 2025 keine dieser Informationen, womit sich die Beschwerde auch in diesem Punkt als berechtigt erwiesen hat.

Die Datenschutzbehörde kommt daher zum Ergebnis, dass der Beschwerdegegner den Beschwerdeführer durch die Erteilung einer unvollständigen Auskunft im Recht auf Auskunft verletzt hat, womit der Beschwerde gemäß § 24 Abs. 5 DSG stattzugegeben und die Rechtsverletzung festzustellen war.Die Datenschutzbehörde kommt daher zum Ergebnis, dass der Beschwerdegegner den Beschwerdeführer durch die Erteilung einer unvollständigen Auskunft im Recht auf Auskunft verletzt hat, womit der Beschwerde gemäß Paragraph 24, Absatz 5, DSG stattzugegeben und die Rechtsverletzung festzustellen war.

D3. Zum Leistungsauftrag (Spruchpunkt 2)

Ist eine Aufsichtsbehörde - wie verfahrensgegenständlich - am Ende ihrer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DSGVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen (vgl. Urteil des EuGH vom 14.3.2024, C-46/23, Rn. 42).Ist eine Aufsichtsbehörde - wie verfahrensgegenständlich - am Ende ihrer Untersuchung der Ansicht, dass die Verarbeitung nicht den Anforderungen der DSGVO entspricht, so muss sie nach dem Unionsrecht die geeigneten Maßnahmen erlassen, um den festgestellten Verstößen abzuhelfen vergleiche Urteil des EuGH vom 14.3.2024, C-46/23, Rn. 42).

Gemäß Art. 58 Abs. 2 lit. c DSGVO hat die Aufsichtsbehörde Verantwortliche anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.Gemäß Artikel 58, Absatz 2, Litera c, DSGVO hat die Aufsichtsbehörde Verantwortliche anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.

Folglich war dem Beschwerdegegner aufzutragen, dem Antrag des Beschwerdeführers auf Auskunft vollständig zu entsprechen.

Eine Frist von vier Wochen erscheint dem Umfang angemessen.

Es war daher spruchgemäß zu entscheiden.