W258 2187426-1/40E
W258 2188466-1/36E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundigen Laienrichter Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als Beisitzer über die Beschwerden von 1.) XXXX , vertreten durch PHH Prochaska Havranek Rechtsanwälte GmbH Co KG, 1010 Wien, Julius-Raab-Platz 4, und 2.) XXXX , vertreten durch Höhne, In der Maur Partner Rechtsanwälte GmbH Co KG, 1070 Wien, Mariahilfer Straße 20, jeweils gegen den Bescheid der Datenschutzbehörde vom XXXX , GZ XXXX , nach Durchführung einer mündlichen Verhandlung am 07.11.2018, 06.05.2019 und 04.06.2019, in einer datenschutzrechtlichen Angelegenheit in nichtöffentlicher Sitzung zu Recht erkannt:
Zu 1. und 2.)
A) Der Beschwerde der XXXX wird Folge und der Beschwerde des XXXX
wird teilweise Folge gegeben und der Bescheid abgeändert, dass es insgesamt zu lauten hat:
XXXX hat XXXX dadurch in seinem Recht auf Auskunft verletzt, indem sie ihm auf sein Auskunftsbegehren vom 10.05.2017 den Observationsbericht vom 31.05.2015 samt Fotodokumentation nicht beauskunftet hat.
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
ENTSCHEIDUNGSGRÜNDE:
I. Verfahrensgang:
1. Der Zweitbeschwerdeführer, damals mit der Erstbeschwerdeführerin verheiratet, stellte am 10.05.2017 ein Auskunftsbegehren gemäß § 26 DSG 2000 an die Erstbeschwerdeführerin. Darin begehrte er insbesondere Auskunft über von der Erstbeschwerdeführerin durch Öffnen von Briefen, wie einem Brief der " XXXX " an ihn vom 12.05.2015, und durch Ausbau der Festplatte seines Computers über den Zweitbeschwerdeführer erlangte Informationen sowie über etwaige, von ihr beigezogene Dienstleister.
2. Die Erstbeschwerdeführerin antwortete mit E-Mail vom 13.05.2017 und führte sinngemäß aus, sie sei kein datenschutzrechtlicher Auftraggeber und damit kein Ziel eines datenschutzrechtlichen Auskunftsbegehrens. Sie sei auch fachlich nicht in der Lage Daten zu speichern, am 12.05.2015 habe sie lediglich Dateien von einem USB-Datenstick ausgedruckt aber nicht gespeichert. Von der Festplatte habe sie gemeinsame Fotos, auf denen auch sie und die Kinder abgebildet wären, gesichert. Hinsichtlich des Namens des von ihr zur Prüfung der ehelichen Treue des Zweitbeschwerdeführers beauftragten Detektivs verwies sie auf "das Protokoll".
3. Mit Schriftsatz vom 20.07.2017 erhob der Zweitbeschwerdeführer Beschwerde an die Datenschutzbehörde (in Folge "belangte Behörde") und führte begründend sinngemäß aus, die Erstbeschwerdeführerin sei seinem Auskunftsbegehren nicht ausreichend nachgekommen, weil sie nicht alle Daten beauskunftet habe. So habe sie die Festplatte seines Computers ausbauen und kopieren lassen, auf der sich sowohl private als auch berufliche Daten von ihm bzw von Mandanten befinden würden. Weiters habe sie im Rahmen ihres Scheidungsverfahrens einen Bericht eines Detektivbüros offengelegt, wonach das KFZ des Zweitbeschwerdeführers mittels GPS-Trackers ein halbes Jahr fast durchgehend überwacht und eine Foto- und Videodokumentation über ihn angefertigt worden sei.
4. Mit Stellungnahme vom 05.09.2017 replizierte die Erstbeschwerdeführerin, sie hätte über eine Bekannte Fotos über das gemeinsame Familienleben bzw Familenangehörige vom gemeinsam genutzten Familiencomputer kopieren lassen, um daraus ein Fotobuch zu erstellen. Eine diesbezügliche Verletzung des Auskunftsrechts des Zweitbeschwerdeführers läge nicht vor, weil es sich bei der Verwendung von Daten für familiäre Tätigkeiten um eine nicht meldepflichtige Datenanwendung handle und die Erstbeschwerdeführerin bereits in der Tagsatzung vom 29.03.2017 im gerichtlichen Verfahren über die Ehescheidung detailliert Auskunft über die Verwendung der Fotodaten gegeben habe. Eine etwaige Erfassung der GPS Position des Personenkraftwagens der Erstbeschwerdeführers läge in der Ingerenz der beauftragten Detektei. Einzig der Erhebungsbericht der Detektei wäre ihr zuzurechnen; er sei dem Zweitbeschwerdeführer aber bereits vor dem Auskunftsbegehren, nämlich seit seiner Vorlage am 24.04.2017, bekannt gewesen, worauf die Erstbeschwerdeführerin in der Beantwortung des Auskunftsbegehrens auch hingewiesen hätte.
5. Mit Äußerung von 23.10.2017 bestritt der Zweitbeschwerdeführer und führte zusammengefasst aus, die Erstbeschwerdeführerin verschweige, dass der Zugang des Zweitbeschwerdeführers am Familiencomputer mit Kennwort geschützt gewesen sei und die Erstbeschwerdeführerin dessen Festplatte ausbauen habe lassen. Die einzelnen Überwachungsmaßnahmen der Detektei, so auch die GPS-Überwachung, seien mit Wissen und Willen der Erstbeschwerdeführerin erfolgt, weshalb sie als Auftraggeber anzusehen sei.
6. Mit ergänzender Stellungnahme vom 27.11.2017 brachte die Erstbeschwerdeführerin im Wesentlichen vor wie bisher.
7. Mit Bescheid vom XXXX gab die belangte Behörde der Beschwerde zum Teil statt und stellte fest, dass die Erstbeschwerdeführerin den Zweitbeschwerdeführer hinsichtlich der Familienfotos in seinem Rechts auf Auskunft verletzt habe (Spruchpunkt 1.). In Bezug auf die Daten von Mandanten und die Daten des Privatdetektivs wies die belangte Behörde die Beschwerde ab (Spruchpunkt 2.). Begründend führte die belangte Behörde im Wesentlichen aus, hinsichtlich der Familienfotos hätte die Erstbeschwerdeführerin keine Auskunft erteilt. Hinsichtlich der Daten von Mandanten bestehe kein Auskunftsrecht des Zweitbeschwerdeführers gegenüber der Erstbeschwerdeführerin. Ebenso wenig hinsichtlich der vom Privatdetektiv über Auftrag verarbeiteten Daten, weil er für berufliche Tätigkeiten im Rahmen der Gewerbeberechtigung (§ 129 f GewO 1994) nicht als Dienstleister, sondern als Auftraggeber anzusehen sei.
8. Gegen diesen Bescheid erhoben sowohl die Erst- als auch der Zweibeschwerdeführer am 21.02.2018 bzw am 26.02.2018 Beschwerde.
9. Die belangte Behörde legte die Beschwerden unter Anschluss des Verwaltungsakts mit Schriftsatz vom 26.02.2018, hg eingelangt am 27.02.2018, bzw mit Schriftsatz vom 01.03.2018, hg eingelangt am 02.03.2018, vor, und erstattete jeweils eine Stellungnahme.
10. Mit hg eingeräumter Stellungnahme vom 31.10.2018 replizierte die Erstbeschwerdeführerin auf die Beschwerde des Zweitbeschwerdeführers; der Zweitbeschwerdeführer erstattete keine Stellungnahme.
Beweise wurden erhoben durch Einsichtnahme in den Verwaltungsakt, Einvernahme der Erst- und Zweitbeschwerdeführer jeweils als Partei, Einvernahme von Dr. XXXX als Zeugin und XXXX als Zeugen und Einsicht in einen Auszug der Übertragung des Tonbandprotokolls der Verhandlung vor dem BG XXXX vom 29.03.2017 zu 1 C 9/15i, einen Auszug der Übertragung des Tonbandprotokolls der Verhandlung vor dem BG XXXX vom 09.06.2017 und vom 16.10.2018 zu 1 C 11/15h und in die Zeugenaussage des XXXX vom 09.05.2018 vor dem BG XXXX (OZ 14).
II. Das Bundesverwaltungsgericht hat erwogen:
1. Der folgende Sachverhalt steht fest:
1.1. Der Zweitbeschwerdeführer, damals mit der Erstbeschwerdeführerin verheiratet und inzwischen rechtskräftig geschieden, stellte am 10.05.2017 das folgende Auskunftsbegehren gemäß § 26 DSG 2000 an die Erstbeschwerdeführerin:
"[...] Hiermit ersuche ich um Auskunft sämtlicher zu meiner Person gespeicherten Daten gemäß § 26 DSG 2000. Es geht mir dabei insbesondere um die durch das Öffnen von Briefen, zB. Jenen der XXXX an mich vom 12. Mai 2015 und durch den deinerseits zugestandenen Ausbau der Festplatte meines Computers in der XXXX widerrechtlich erlangten personenbezogenen Daten. Durch diesen Zusatz wird das Auskunftsbegehren nicht eingeschränkt.
Bitte erteile mir auch Auskunft über deine allfälligen Dienstleister (EDV Experten, Detektive, Berater oder sonstige Personen), deren du dich zur Be- oder Verarbeitung der personenbezogenen Daten bedient hast.
Als Beweis meiner Identität lege ich eine Kopie eines amtlichen Lichtbildausweises bei. [...]"
1.2. Die Erstbeschwerdeführerin antwortete mit E-Mail vom 13.05.2017 wie folgt:
"[...] Zu Deinem eingeschrieben Brief vom 10.5 halte ich fest, wie folgt:
Widerrechtlich habe ich gar nichts gemacht, sondern war Dein Einverständnis gegeben einerseits, andererseits habe ich meine Rechte gewahrt.
Ich bin kein Auftraggeber im Sinne des 4 Z.4 DSG. Schon daran scheitert Dein Begehren.
[...] Ich habe am 12.5. Dateien vom Stick ausgedruckt, nirgends gespeichert. Von der Festplatte habe ich, Dein Einverständnis vorausgesetzt, gemeinsame Fotos gesichert. Ich allein mache ja die Foto Bücher in der Familie. Dabei handelt es sich um gemeinsame Fotos, wo auch ich und unsere Kinder abgebildet sind. Das Fotobuch habe ich Dir geschenkt.
Den Namen des Detektives, der Dich des Ehebruches überführt hat, entnimm bitte dem Protokoll. Während aufrechter Ehe habe ich wohl das Recht, die eheliche Treue meines Ehemannes überprüfen zu lassen.
[...]"
1.3. Die Erstbeschwerdeführerin verfügte im Zeitraum zwischen der Anfrage vom 10.5.2017 und ihrem Schreiben vom 13.05.2017 über die folgenden Informationen über den Zweitbeschwerdeführer:
1.3.1. Sie verfügte über Familienfotos, die ua den Zweitbeschwerdeführer und die gemeinsamen Kindern zeigen, die die Erstbeschwerdeführerin durch eine Bekannte vom Familiencomputer kopieren hat lassen, um sie in einem Fotobuch zu verarbeiten. Das Fotobuch verwendet sie privat bzw hat sie es dem Zweitbeschwerdeführer geschenkt. Darüber hinaus hat sie diese Daten nicht verwendet; insbesondere hat sie sie nicht in den familiengerichtlichen Verfahren, die sie gegen den Zweitbeschwerdeführer führt bzw geführt hat, vorgelegt. Über weitere den Zweitbeschwerdeführer betreffende Daten dieses Computers hat sie nicht verfügt.
1.3.2. Sie verfügte weiters über Ausdrucke diverser Dokument des Zweitbeschwerdeführers, die seine finanzielle Situation darstellen, die sie unter Verwendung von Trennblättern, aber sonst ungeordnet, in zwei Ordnern abgelegt hat.
1.3.3. Sie hat jeweils Akten zu diversen Verfahren gegen den Zweitbeschwerdeführer, wie Unterhaltsverfahren, Aufteilungsverfahren, Scheidungsverfahren oder Datenschutzverfahren geführt, die - abgesehen von der Verfahrensart - lediglich nach der Ordnungszahl bzw Ordnungsnummer sortiert waren.
1.3.4. Sie verfügte über einen physisch abgelegten Erhebungsbericht der Detektei XXXX (in Folge "Detektei"), vom 31.05.2015 hinsichtlich der Überwachung des Zweitbeschwerdeführers zur Überprüfung seiner ehelichen Treue im Zeitraum Dezember 2014 bis Mai 2015 und einen USB-Stick, auf dem eine Fotodokumentation über private Kontakte des Zweitbeschwerdeführers gespeichert war.
Ob der Erhebungsbericht vom 31.05.2015 ebenfalls auf dem USB-Stick gespeichert war, kann nicht festgestellt werden.
Dem Erhebungsbericht waren diverse Auszüge satellitengestützter Bewegungsprofile (GPS-Protokolle) vom 21.12.2014 bis 23.03.2015 beigefügt. Über weitere GPS-Protokolle verfügt sie nicht.
1.3.5. Die Detektei verfügte im genannten Zeitraum darüber hinaus - abgesehen von Buchhaltungsdaten, die mit dem Erstbeschwerdeführer in Verbindung gebracht werden hätten können - über die digitale Version des Erhebungsberichts vom 31.05.2015. Weitere Informationen über den Erstbeschwerdeführer, insbesondere weiteren GPS-Protokolle, hatte sie nicht.
1.3.6. Die Erstbeschwerdeführerin hat die Detektei mit der Überwachung des Zweitbeschwerdeführers zur Überprüfung seiner ehelichen Treue beauftragt, um uA die Ergebnisse der Überwachung in allfälligen familiengerichtlichen Verfahren zu verwenden. Die Detektei hat die Erstbeschwerdeführerin hinsichtlich der möglichen Überwachungsmaßnahmen beraten. Wenn die Erstbeschwerdeführerin vermutet hat, dass sich eine Überwachung lohnen könnte, hat sie die Detektei darüber informiert, und die Überwachung durch einen Detektiv beauftragt. Sie hat die Überwachung des Familien-PKW mittels GPS nach Beratung durch die Detektei beauftragt. Die Letztentscheidung über die Verwendung des GPS lag bei ihr, so hat sie die Überwachung mittels GPS auch gegen den Rat der Detektei verlängert.
2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:
2.1. Die Feststellungen zum Auskunftsbegehren des Zweitbeschwerdeführers und der Antwort der Erstbeschwerdeführerin gründen auf dem unbedenklichen Verwaltungsakt.
2.2. Die Feststellungen zu den Informationen, über die die Erstbeschwerdeführerin über den Zweitbeschwerdeführer im Zeitraum zwischen der Anfrage vom 10.5.2017 und ihrem Schreiben vom 13.05.2017 verfügt hat, gründen auf den folgenden Überlegungen:
2.2.1 Zu den Familienfotos und allenfalls weiteren Informationen aus dem Familiencomputer:
Dass die Erstbeschwerdeführerin die Familienfotos lediglich für die Erstellung eines Fotobuchs, nicht aber in etwaigen gerichtlichen Auseinandersetzungen mit dem Zweitbeschwerdeführer verwendet hat, ergibt sich aus der Aussage des Zweitbeschwerdeführers (Verhandlungsprotokoll vom 07.11.2018 S 8) und der damit im Einklang stehenden Aussage der Erstbeschwerdeführerin (Verhandlungsprotokoll vom 07.11.2018 S 8).
Hinsichtlich der Frage, ob die Erstbeschwerdeführerin weitere auf dem Familiencomputer abgelegte Daten des Zweitbeschwerdeführers verwendet hat, konnte der Zweitbeschwerdeführer grundsätzlich glaubwürdig und schlüssig darlegen, warum er davon ausgegangen ist, dass die Erstbeschwerdeführerin die Festplatte dieses Computers ausbauen hat lassen (SMS der Erstbeschwerdeführerin, "Ich bin auf dem Weg zum Forensiker", entsprechende Behauptungen der Erstbeschwerdeführerin ihm gegenüber). Auch das sonstige Verhalten der Erstbeschwerdeführerin spricht für die Vermutung des Zweitbeschwerdeführers: so hat die Erstbeschwerdeführerin nach dem Beweis für die eheliche Untreue des Zweitbeschwerdeführers - wie von ihr zugestanden - Unterlagen des Zweitbeschwerdeführers durchsucht und auch einen an ihn adressierten Brief geöffnet, um an ihn betreffende Finanzdaten zu gelangen. Es ist daher nachvollziehbar, wenn angenommen wird, dass sich die Suche nach für sie nützliche Informationen auch auf die IT-gestützt gespeicherten Unterlagen bezogen hat.
Zu berücksichtigen ist aber, dass die Erstbeschwerdeführerin technisch nicht in der Lage ist, eigenständig Daten, sei es durch Ausbau einer Festplatte oder auf andere Art, von einem - wie vom Zweitbeschwerdeführer hg ausgesagt - kennwortgeschützten Computer zu kopieren oder auszudrucken. Zwar kann sich der erkennende Senat nicht des Eindrucks erwehren, dass die Erstbeschwerdeführerin versucht hat, ihre technische Unkenntnis übertrieben darzustellen; dennoch setzt der Ausbau einer Festplatte oder die Umgehung eines Kennwortschutzes überdurchschnittliche IT-Kenntnisse voraus, die bei der Erstbeschwerdeführerin nicht angenommen werden können. So war die Erstbeschwerdeführerin bereits beim Ausdruck von Dokumenten eines USB-Sticks auf die Hilfe einer Bekannten angewiesen.
Der Verdacht des Zweitbeschwerdeführers, wonach sie Dritte mit dem Ausbau und der forensischen Analyse der Festplatte beauftragt haben könnte, hat sich nicht erwiesen. So haben dies weder die Zeugin XXXX , vor der die Erstbeschwerdeführerin über den Ausbau der Festplatte geprahlt haben soll, noch der informell befragte XXXX , der den Ausbau/die Analyse vorgenommen haben soll, bestätigt (siehe dazu auch seine Einvernahme vor dem BG XXXX vom 09.05.2018 (OZ 14)). Auch wurden keine Dokumente dieses Computers in den diversen Verfahren zwischen den Beschwerdeführern vorgelegt. Letztlich war die Erstbeschwerdeführerin bereits mit ihrer Suche in der Post des Zweitbeschwerdeführers (Ausdruck der Finanzunterlagen) erfolgreich, weshalb sie für eine derartige Vorgehensweise wohl auch keinen Bedarf gesehen hat.
In Anbetracht dieser Überlegungen und unter Berücksichtigung der emotionalen Ausnahmesituation in einem Scheidungsverfahren ist davon auszugehen, dass die Aussagen der Erstbeschwerdeführerin gegenüber dem Zweitbeschwerdeführer, wonach sie auf dem Computer Pornos gefunden hätte und sie mit den Daten beim Forensiker gewesen sei, lediglich das Ziel hatten, den Zweitbeschwerdeführer emotional zu provozieren oder zu täuschen, um sich in den Verfahren gegen den Zweitbeschwerdeführer einen Vorteil zu verschaffen. Hinsichtlich der vom Zweitbeschwerdeführer am Mobiltelefon der Erstbeschwerdeführerin entdeckten SMS an die Zeugin XXXX , wonach sie auf dem Weg zum Forensiker sei, überrascht in diesem Rahmen auch nicht, wenn die Erstbeschwerdeführerin - die wohl mit der Kontrolle ihres Mobiltelefons gerechnet hat - die SMS zwar entworfen und gespeichert, tatsächlich aber nie abgesendet hat.
Es war daher im Ergebnis der Aussage der Erstbeschwerdeführerin zu folgen, wonach sie - abgesehen von den Familienfotos - zum fraglichen Zeitpunkt über keine weiteren am Familiencomputer abgelegten und den Zweitbeschwerdeführer betreffende Daten verfügt hat.
2.2.2. Die Feststellungen zu den Ausdrucken diverser Unterlagen über die finanzielle Situation des Zweitbeschwerdeführers gründen in der hg Aussage der Erstbeschwerdeführerin. Es ist nachvollziehbar, dass die Unterlagen - abgesehen von Trennblättern - ungeordnet ablegt worden sind. Einerseits sollte der Zweitbeschwerdeführer von dem Ausdruck der Dokumente nichts erfahren, der im gemeinsamen Haus stattgefunden hat; es mangelte daher bereits an ausreichender Zeit, eine detaillierte Ordnungsstruktur einzuführen (so auch die Erstbeschwerdeführerin, Verhandlungsprotokoll vom 07.11.2018 S 11). Andererseits war eine solche auf Grund der von der Erstbeschwerdeführerin geschilderten Art der abgelegten Dokumente, wie Verträge, auch nicht unbedingt erforderlich.
2.2.3. Die Feststellungen zur Führung diverser Akten über Verfahren gegen den Zweitbeschwerdeführer gründen in der diesbezüglich nachvollziehbaren hg Aussage der Erstbeschwerdeführerin (VH Protokoll vom 07.11.2018 S 13). Dass die innere Sortierung der Akten auch nach Ordnungszahl bzw Ordnungsnummer erfolgt ist, hat sie zwar nicht ausgesagt; sie folgt aber aus XXXX .
2.2.4. Der genaue Übergabezeitpunkt des Erhebungsberichts vom 31.05.2015 und der Fotodokumentation konnte zwar von der Erstbeschwerdeführerin und dem Zeugen XXXX nicht angegeben werden. Da die Beauftragung der Detektei zur Prüfung der ehelichen Treue des Erstbeschwerdeführers aber dazu gedient hat, ein etwaiges Scheidungsverfahren und allfällige Folgeverfahren, wie ein Unterhaltsverfahren, vorzubereiten, ist davon auszugehen, dass die Erstbeschwerdeführerin im Zeitraum zwischen Auskunftsbegehren und Antwort, dh etwa zwei Jahre nach der Erstellung des Erhebungsberichts, bereits über die Ergebnisse der Erhebung verfügt hat. Es ist auch nicht davon auszugehen, dass sie bereits in diesem Zeitraum nicht mehr über den USB-Stick mit der Fotodokumentation der Observation des Zweitbeschwerdeführers verfügt hat: Es entspricht der allgemeinen Lebenserfahrung, dass auf Informationen, wie kompromittierende Fotos, die für ein Gerichtsverfahren wesentlich sind, vor Abschluss dieses Verfahrens besonders Acht gegeben wird. Dies aus Gründen der Vorsicht selbst dann, wenn das außereheliche Verhältnis zugestanden wird, die gerichtliche Entscheidung aber noch nicht rechtskräftig ist. Das Verfahren über die Ehescheidung war im Zeitraum zwischen Auskunftsbegehren und Antwort aber noch nicht rechtskräftig abgeschlossen (siehe dazu die diesbezüglich unwidersprochen gebliebene Datenschutzbeschwerde des Zweitbeschwerdeführers S 1, wonach das Verfahren jedenfalls am 20.07.2017 noch anhängig war). Dass die Erstbeschwerdeführerin über keine weitergehenden GPS-Protokolle verfügt hat, gründet sich auf ihrer Aussage (VH-Protokoll vom 07.11.2018 S 10) und der damit im Einklang stehenden Aussage des Zeugen XXXX . Es ist nachvollziehbar, wenn der Zeuge vermeint, dass die persönliche Observation und die, dem Erhebungsbericht beigefügten Tagesberichten über die Bewegungen des vom Zweitbeschwerdeführer benutzten KFZ, ausreichen, um die eheliche Treue einer Zielperson zu überprüfen und ein allfälliges folgendes gerichtliches Beweisverfahren zu führen, weshalb für seine Mandanten kein Interesse an detaillierten Bewegungsprofilen der Zielpersonen besteht. Damit übereinstimmend wird auch im Erhebungsbericht vom 31.05.2015 (Beilage ./A S 5) lediglich die Sicherung des Foto- und Bildmaterials, nicht aber etwaiger GPS-Protokolle genannt.
Ob der Erhebungsbericht vom 31.05.2015 auch digital am USB-Stick gespeichert worden ist, konnte auf Grund der Unsicherheiten des Zeugen XXXX und der Erstbeschwerdeführerin, beide gaben an, das nicht genau zu wissen, Zeuge XXXX meinte, manchmal hänge er den Bericht an (Verhandlungsprotokoll vom 04.06.2019 S 5), und da der USB-Stick nach dem Vorbringen der Erstbeschwerdeführerin nicht mehr verfügbar bzw bereits gelöscht worden ist (Stellungnahme der Erstbeschwerdeführerin vom 19.11.2018, OZ 23), nicht festgestellt werden. Dass er digital in der Detektei vorhanden sein muss, folgt aus der Aussage des Zeugen XXXX , wonach er manchmal den Bericht "anhänge", was nur möglich wäre, wenn er digital vorliegt, und er noch über diesen Bericht verfüge bzw ihn zur Buchhaltung gegeben habe (Verhandlungsprotokoll vom 04.06.2019 S 3, 5 und 7).
2.2.5. Dass auch die Detektei im fraglichen Zeitraum über keine weiteren GPS-Protokolle verfügt hat, folgt aus der Aussage des Zeugen XXXX . Zwar war seine Aussage von diversen Ungenauigkeiten und Unsicherheiten geprägt, so gab er zuerst an, keine Auszüge der GPS-Position erstellt zu haben, musste aber über Vorhalt der dem Erhebungsbericht vom 31.05.2015 beigefügten Tagesberichte zugestehen, offenbar doch mehrere Auszüge erstellt zu haben. Es ist aber durchaus nachvollziehbar, wenn Daten, die - wie hier - bestimmungsgemäß für die Erstellung eines Observationsberichts verwendet und von Mandanten niemals angefordert worden sind und daher nicht mehr benötigt werden, innerhalb eines relativ langen Zeitraums von zwei Jahren gelöscht werden; dies auch, weil der Zeuge auch die erstellten Fotodokumentationen üblicherweise drei Monate nach Abschluss des Observationsberichts löscht (VH-Protokoll vom 04.06.2019 S 5 und 7). Dass sie nach zwei Jahren noch auf den GPS-Trackern selbst gespeichert worden sind, ist auf Grund der üblicherweise begrenzten Speicherkapazität dieser Geräte ebenfalls nicht anzunehmen. Auch von einer Speicherung der Positionsdaten auf dem Webdienst " XXXX ", wie vom Vertreter des Zweitbeschwerdeführers in der Verhandlung vom 04.06.2019 angegeben, kann nicht ausgegangen werden, weil der Zeuge die verwendeten GPS-Tracker im fraglichen Zeitpunkt bereits vom Webdienst abgemeldet und damit auch die Daten gelöscht hatte (VH-Protokoll vom 04.06.2019 S 4 und 7, wonach der Zeuge über Frage, ob er die Observationsdaten zum fraglichen Zeitraum noch hatte, angab: "Nein, das ist schon lange vom System weg" bzw über Rückfrage des Zweitbeschwerdeführers ergänzte "Wenn ich das Gerät noch hätte [könnte ich diese Daten noch einmal herunterladen] [...] das Gerät [fehlt] mir und ich habe es bereits ausgeloggt, [wenn] es mir fehlt, dann nehme ich es vom Netz."). Da die Webdienste zur GPS-Überwachung regelmäßig laufende Gebühren für die Bereitstellung ihrer Dienste verrechnen, eine nachvollziehbare Vorgehensweise.
2.2.6. Die Umstände der Beauftragung der Detektei ergeben sich aus den diesbezüglich plausiblen Aussagen des Zeugen XXXX , die mit der Aussage der Erstbeschwerdeführerin nicht im Widerspruch stehen.
3. Rechtlich folgt daraus:
3.1. Die zulässigen Beschwerden sind hinsichtlich der Erstbeschwerdeführerin berechtigt und hinsichtlich der Zweitbeschwerdeführerin zum Teil berechtigt.
3.2. Die maßgeblichen rechtlichen Bestimmungen lauten:
§ 69 Abs 4 und 5 DSG idF BGBl I Nr 14/2019 (in Folge kurz "DSG") lauten:
"(4) Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.
(5) Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren."
§ 24 DSG lautet:
"§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. [...]
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen. [...]"
Der mit "Sachlicher Anwendungsbereich" betitelte Artikel 2 VO (EU) 679/2016 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (in Folge kurz "DSGVO") lautet (auszugsweise):
"(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten [...]
c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten [...]"
Der mit "Begriffsbestimmungen" betitelte Artikel 4 DSGVO lautet:
"Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; [...]
6. "Dateisystem" jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird; [...]
8. "Auftragsverarbeiter" eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;"
Der mit "Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person" betitelte Artikel 12 DSGVO lautet:
"(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
[...]"
Der mit "Auskunftsrecht der betroffenen Person" betitelte Artikel 15 DSGVO lautet:
"(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. [...]
(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. [...]
(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen."
3.3. Zur anwendbaren Rechtslage:
3.3.1. Seit dem Auskunftsbegehren des Zweitbeschwerdeführers vom 10.05.2017, der Antwort der Erstbeschwerdeführerin vom 13.05.2017 und der Erlassung des bekämpften Bescheids vom XXXX hat sich die Rechtslage durch die DSGVO und das DSG geändert.
3.3.2. Hinsichtlich des DSG finden sich Übergangsbestimmungen für anhängige Verfahren in den §§ 69 Abs 4 und 5 DSG, wonach "(4) zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren [...] nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen [sind], mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt." und "(5) Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, [...] nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen [sind]."
3.3.3. Nicht ausdrücklich geregelt ist demnach, welches Recht für Verfahren anzuwenden ist, die - wie in diesem Fall - zum Zeitpunkt der geänderten Rechtslage vor dem Bundesverwaltungsgericht anhängig waren.
3.3.4. Auch wenn die Gesetzesmaterialien diesbezüglich keine weiteren Interpretationshilfen enthalten, wollte der Gesetzgeber offenbar die neue Rechtslage - mit Ausnahme der Regelungen zur Zuständigkeit - auf sämtliche Sachverhalte, anwenden. So ist die neue Rechtslage sowohl auf anhängige Verfahren vor der Datenschutzbehörde und vor den ordentlichen Gerichten als auch auf Verfahren, die sich auf Verletzungen des Datenschutzgesetzes 2000 beziehen, die zum Zeitpunkt des Inkrafttretens des DSG 2000 noch nicht anhängig gemacht worden sind, anzuwenden. Es ist kein Grund ersichtlich, warum der Gesetzgeber mit den Übergangsbestimmungen lediglich das verwaltungsgerichtliche Verfahren nicht erfassen wollte, insbesondere, weil sie auch das anwendbare Recht im Instanzenzug innerhalb der ordentlichen Gerichtsbarkeit regeln.
3.3.5. Diese planwidrige Lücke ist somit dahingehend zu schließen, dass auch auf Verfahren, die zum Zeitpunkt der Änderung der Rechtslage beim Bundesverwaltungsgericht anhängig waren, - mit Ausnahme der Bestimmungen über die Zuständigkeit - die neue Rechtslage anzuwenden ist.
3.3.6. Das gilt auf Grund der eindeutigen Anordnung in § 69 Abs 5 DSG 2000 auch dann, wenn - wie im gegenständlichen Fall - darüber abzusprechen ist, was zu einem bestimmten Zeitpunkt rechtens war. Die Judikatur des VwGH, wonach die Rechtslage zum Zeitpunkt des Stichtages anzuwenden ist, wenn darüber abzusprechen ist, was zu einem bestimmten Stichtag rechtens war, steht dem nicht entgegen, weil - wie in diesem Fall - der Gesetzgeber anderes regeln kann (siehe zB VwGH 24.03.2015, Ro 2014/09/0066).
3.4. Für den gegenständlichen Fall ergibt sich unter Berücksichtigung der zitierten Rechtslage Folgendes:
3.4.1. Gemäß § 24 Abs 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten ua gegen die DSGVO verstößt. Gemäß Art 15 DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine - dem Transparenzgebot des Art 12 Abs 1 DSGVO entsprechende - Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie uA ein Recht auf Auskunft über diese personenbezogenen Daten und auf eine Kopie der personenbezogenen Daten.
3.4.2. Der Zweitbeschwerdeführer hat als Betroffener mit Schreiben vom 10.05.2017 an die Erstbeschwerdeführerin als für die Verarbeitung Verantwortliche (Art 4 Z 7 DSGVO) hinsichtlich etwaig von ihr über ihn verarbeitete personenbezogene Daten ein datenschutzrechtliches Auskunftsbegehren gestellt und sie auch aufgefordert, etwaige Dienstleister zu nennen. Die Erstbeschwerdeführerin hat dieses Begehren abgelehnt, weil sie nicht Auftraggeberin (nunmehr für die Verarbeitung Verantwortliche) sei. Darüber hinaus hat sie auf von einem USB-Speicherstick ausgedruckte Dokumente und von der Festplatte des Familiencomputers für die Erstellung eines Fotobuchs kopierte gemeinsame Fotos verwiesen. Hinsichtlich des Namen des Privatdetektivs, der mit der Prüfung der ehelichen Treue des Zweitbeschwerdeführers beauftragt war, verwies sie auf das "Protokoll".
3.4.2.1. Die belangte Behörde hat in Spruchpunkt 1. des bekämpften Bescheids sinngemäß festgestellt, dass die Erstbeschwerdeführerin den Zweitbeschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem sie ihm Familienfotos nicht beauskunftet hat. Dies ist unter Berücksichtigung der geänderten Rechtslage nicht aufrecht zu erhalten:
Die Verwendung von Daten durch natürliche Personen für persönliche und familiäre Tätigkeiten ist nämlich gemäß Art 2 Abs 2 lit c DSGVO von ihrem Geltungsbereich ausgenommen. Auch das in § 1 DSG normierte Grundrecht auf Auskunft ist nicht anwendbar, weil es "nach Maßgabe der gesetzlichen Bestimmungen" eingeräumt wird, damit unter Ausgestaltungsvorbehalt steht (vgl VfSlg 16.986/2003) und die Ausgestaltungsbestimmung (§ 26 DSG 2000) mit Geltung der DSGVO am 25.05.2018 aufgehoben worden sind.
Die Familienfotos, über die die Erstbeschwerdeführerin zwischen Auskunftsbegehren und Antwort verfügt hat, wurden von der Erstbeschwerdeführerin für die Erstellung eines Fotobuchs, das sie selbst privat verwendet bzw dem Zweitbeschwerdeführer geschenkt hat, und damit für persönliche und familiäre Tätigkeiten verwendet. Da dem Zweitbeschwerdeführer hinsichtlich dieser Daten somit kein Auskunftsrecht zukommt, war Spruchpunkt 1. des bekämpften Bescheids aufzuheben.
3.4.2.2. Auch hinsichtlich der durch die Erstbeschwerdeführerin in Ordnern abgelegten Finanzakten des Zweitbeschwerdeführers und der von ihr geführten Akten über Verfahren gegen den Zweitbeschwerdeführer ist die DSGVO nicht anwendbar:
Die DSGVO gilt für die nichtautomatisierte Verarbeitung personenbezogener Daten nur dann, wenn sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art 2 Abs 1 DSGVO). Die DSGVO soll für Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, nicht anwendbar sein (Erwägungsgrund 15 DSGVO). Für die Annahme eines Dateisystems muss dabei ein Ordnungsgrad erreicht werden, der eine gezielte Suche nach personenbezogenen Daten ermöglicht. Eine Sortierung (bloß) nach Ordnungsnummern oder Zeit ist hierfür nicht ausreichend (vgl dazu VwSlg 16.477 A/2004; VfSlg 17.716/2005; diese noch zur (Datenschutz )Richtlinie 95/46/EG ergangene Entscheidung kann, auf Grund des zu Art 2 Abs 1 iVm Art 4 Abs 6 DSGVO gleichen Wortlauts (vgl Art 3 Abs 1 iVm Art 2 lit c Datenschutzrichtlinie) auf die DSGVO übertragen werden).
Die Erstbeschwerdeführerin hat die Finanzunterlagen des Zweitbeschwerdeführers und die Akten der Verfahren gegen den Zweitbeschwerdeführer lediglich physisch durch Trennblätter getrennt bzw nach Ordnungsnummern sortiert in Ordnern abgelegt. Dadurch wird der für die Anwendung der DSGVO erforderliche Ordnungsgrad nicht erreicht. Auch hinsichtlich dieser Datenarten war somit von der Erstbeschwerdeführerin keine Auskunft zu erteilen.
3.4.2.3. Hinsichtlich des Erhebungsberichts vom 31.05.2015 kann nicht festgestellt werden, ob die Erstbeschwerdeführerin über ihn lediglich physisch oder auch elektronisch verfügt hat.
In diesem Fall hatte aber die Detektei zum fraglichen Zeitpunkt eine digitale Version des Erhebungsberichts, den sich die Erstbeschwerdeführerin - entgegen der Ansicht der belangten Behörde - als Auftragsverarbeiter (der dem Dienstleister der Datenschutzrichtlinie entspricht; siehe bspw Petri in Simitis/Hornung/Spiecker Datenschutzrecht Artikel 4 Nr. 8 Rz 1) zurechnen lassen muss:
Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art 4 Z 8 DSGVO). Ein Auftragsverarbeiterverhältnis liegt aber nur dann vor, wenn der Verantwortliche zumindest die wesentlichen Entscheidungen über Zweck und Mittel der Datenverarbeitung trifft (siehe zB Hartung in Kühling/Buchner DS-GVO, BDSG Art 4 Nr. 8 DS-GVO Rz 7; zu den einzelnen Abgrenzungskriterien siehe Artikel-29-Datenschutzgruppe, WP169 34 ff). Das ist hier der Fall. Die Erstbeschwerdeführerin hat den grundsätzlichen Auftrag zur Observation des Zweitbeschwerdeführers gegeben und die Mittel, zwar auf Vorschlag der Detektei aber letztverantwortlich, bestimmt. Die Erstbeschwerdeführerin hat festgelegt, wann sich eine Überwachung des Zweitbeschwerdeführers lohnen würde und dann eine Observation in Auftrag gegeben. Die GPS-Überwachung hat sie über Vorschlag freigegeben und gegen den Willen der Detektei verlängert. Die Rolle der Detektei war beratend und ausführend, eine maßgebliche eigenverantwortliche Entscheidungsgewalt der Detektei ist nicht hervorgekommen. Eine Vergleichbarkeit des gegenständlichen Falles mit der Beauftragung von Rechtsanwälten oder Steuerberatern, bei der die Rechtsprechung zur Rechtslage vor Geltung der DSGVO nicht von einem Dienstleister (nunmehr Auftragsverarbeiter) -verhältnis ausgeht, besteht auf Grund der konkreten Ausgestaltung des Auftragsverhältnisses zwischen der Erstbeschwerdeführerin und der Detektei nicht.
Die Erstbeschwerdeführerin hätte damit den digitalen Erhebungsbericht vom 31.05.2015 ebenso wie die digital bei ihr befindlichen Observationsfotos, dh jeweils automatisiert verarbeitete personenbezogene Daten über den Zweitbeschwerdeführer, ebenso wie die beigezogene Detektei (Art 15 Abs 1 lit c DSGVO), grundsätzlich beauskunften müssen.
Zu berücksichtigen ist allerdings, dass der Erhebungsbericht und die Fotodokumentation zur allfälligen Verwendung in familiengerichtlichen Verfahren gegen den Zweitbeschwerdeführer erstellt worden ist. Ihre Beauskunftung hätte den Erfolg dieser Verfahren beeinträchtigen können. Dies steht der erfolgreichen Geltendmachung des Auskunftsrechts aber nicht entgegen:
Beschränkungen des Auskunftsrechts sind nach Art 23 Abs 1 lit j unter den Voraussetzungen des Abs 2 DSGVO durch Rechtsvorschriften der Union oder der Mitgliedstaaten zwar zur Sicherstellung der Durchsetzung zivilrechtlicher Ansprüche zulässig. Eine - wie in der Bundesrepublik Deutschland normierte Ausnahme für den Fall, dass durch die Beauskunftung rechtliche Ansprüche gefährdet werden würden (siehe Gola Datenschutz-Grundverordnung Art 23 Rz 27), - findet sich in der österreichischen Rechtsordnung allerdings nicht.
Da die Erstbeschwerdeführerin somit in ihrer E-Mail vom 13.05.2017 entgegen Artikel 15 DSGVO und ohne taugliche Rechtfertigung weder den Bericht oder die Fotos genannt, noch an den Zweitbeschwerdeführer übermittelt hat, hat sie ihn in seinem Recht auf Auskunft verletzt. Der Pflicht zur Nennung des Auftragsverarbeiters ist die Erstbeschwerdeführerin durch den Verweis auf das, dem Zweitbeschwerdeführer bekannte und leicht zugängliche (siehe Art 12 Abs 1 DSGVO), Protokoll der gemeinsamen Scheidungsverhandlung, nachgekommen.
3.5. Es war somit spruchgemäß zu entscheiden.
Zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.
Die Revision ist nicht zulässig, weil keine Rechtsfragen zu lösen waren, der grundsätzliche Bedeutung im Sinne des Art 133 Abs 4 B-VG zukommen. Hinsichtlich der nicht automationsunterstützen Verarbeitung personenbezogener Daten konnte sich das erkennende Gericht auf die (zitierte und übertragbare) höchstgerichtliche Rechtsprechung stützen. Hinsichtlich der Frage, ob die DSGVO gemäß § 69 Abs 4 und 5 DSG auf Sachverhalte anwendbar sein soll, die die belangte Behörde vor Geltung der DSGVO entschieden hat, liegt eine Rechtsfrage grundsätzlicher Bedeutung auf Grund der geringen Anzahl der betroffenen Übergangsfälle nicht vor. Die Beurteilung des Verhältnisses zwischen der Erstbeschwerdeführerin und der Detektei und die Einordnung der Detektei als Auftragsverarbeiter ist als einzelfallbezogene Beurteilung nicht reversibel. Zur Anwendung der Ausnahmebestimmung des Art 2 Abs 2 lit c DSGVO fehlt es zwar an Rechtsprechung des Verwaltungsgerichtshofs, die Rechtslage ist aber diesbezüglich eindeutig.
Rückverweise
