In einem aktuellen Beschwerdefall vertritt die Österreichische Datenschutzbehörde den Standpunkt, dass im Rahmen eines Beschwerdeverfahrens ein Unternehmen seine DSGVO-Informationspflichten nachholen kann (Bescheid v. 22.08.2019 - Az.: DSB-D130.206/0006-DSB/2019).
Im vorliegenden Fall hatte sich ein Rechtsanwalt bei der Österreichische Datenschutzbehörde über den Betreiber einer Webseite beschwert, weil dieser seinen Informationspflichten aus Art. 13 DSGVO nicht nachgekommen war.
Das Amt gab der Beschwerde nur teilweise statt. Hinsichtlich der fehlenden Aufklärung über die Betroffenheitsrechte (Art. 13 Abs.2 b) DSGVO) und über das Beschwerderecht bei einer Aufsichtsbehörde (Art. 13 Abs.2 d) DSGVO) wies es das Rechtsmittel als unbegründet zurück. Denn der Rechtsanwalt sei ausreichend qualifiziert gewesen, diese Rechte bereits aufgrund seiner beruflichen Tätigkeit zu kennen:
"Wie festgestellt handelt es sich beim Beschwerdeführer um einen eingetragenen Rechtsanwalt. Vor diesem Hintergrund ist davon auszugehen, dass der Beschwerdeführer als rechtskundige Person über das Bestehen seiner datenschutzrechtlichen Betroffenenrechte (Art. 13 Abs. 2 lit. b DSGVO) und des Beschwerderechts bei einer Aufsichtsbehörde (lit. d leg. cit.) bereits im Zeitpunkt der Erhebung (bzw. ganz allgemein) verfügt.
Die Datenschutzbehörde verkennt nicht, dass die Informationen nach Art. 13 DSGVO einem generellen Adressatenkreis zur Verfügung zu stellen sind und dass es sich bei mangelhafter Informationserteilung um einen objektiven Verstoß gegen die Verordnung handelt; dieser ist jedoch in einem amtswegigen Prüfverfahren („Datenschutzüberprüfung“) gemäß Art. 58 Abs. 1 lit. b DSGVO aufzugreifen.
Der Erfolg einer Beschwerde nach Art. 77 Abs. 1 iVm § 24 Abs. 1 DSG ist jedenfalls an die Voraussetzung geknüpft, dass auch eine konkrete Beschwer vorliegt, die im Hinblick auf Art. 13 Abs. 2 lit. b und lit. d DSGVO gegenständlich nicht erkennbar ist (...). Im Hinblick auf das Vorbringen des Beschwerdeführers, wonach die Beschwerdegegnerin die Rechte der betroffenen Person (gemeint offenbar: die Ausübung dieser Rechte) auf schriftliche Anträge und Anträge per Email („ausschließlich“) einschränke, eine Einschränkung auf „bestimmte Kanäle“ aber nicht zulässig und insofern ein Verstoß gegen Art. 12 Abs. 2 DSGVO gegeben sei, gelten die eben getroffenen Überlegungen sinngemäß.
Wenngleich dem Beschwerdeführer inhaltlich Recht zugeben ist, ist in Bezug auf das konkrete Beschwerdeverfahren festzuhalten, dass eine Beschwer dennoch nicht erkennbar ist, da der Beschwerdeführer zu keinem Zeitpunkt behauptet hat, dass er etwa postalisch einen Antrag nach Art. 12 Abs. 3 DSGVO an die Beschwerdegegnerin gestellt hätte, welcher in Folge unbeantwortet geblieben wäre."
Im Weiteren äußert die Behörde auch die Rechtsansicht, dass fehlende Informationen im Rahmen des konkreten Beschwerdeverfahrens nachgeholt werden können:
"Zur Vollständigkeit ist darauf hinzuweisen, dass dies in Bezug auf § 24 Abs. 6 DSG bedeutet, dass die Informationen nach Art. 13 und Art. 14 DSGVO auch nachträglich bis zum Abschluss des Verfahrens zur Verfügung gestellt werden können (wobei § 24 Abs. 6 DSG im Ergebnis gegenständlich nicht einschlägig ist):
Diese Überlegung findet nämlich in Art. 57 Abs. 1 lit. f DSGVO Deckung, wonach die Datenschutzbehörde Beschwerden „in angemessenem Umfang“ zu untersuchen hat.
Weitere Deckung findet diese Überlegung in ErwGr 131 erster Satz DSGVO, wonach die Verordnung eine solche „gütliche Einigung“ zwischen Verantwortlichem und betroffener Person sowie der Aufsichtsbehörde als Vermittler der DSGVO durchaus kennt. Mit anderen Worten: Sofern die Beschwer einer betroffenen Person beseitigt ist, ist das Rechtsschutzziel der Bestimmung nach Art. 77 Abs. 1 DSGVO (die daran anknüpft, dass eine Verarbeitung gegen die Verordnung „verstößt“ und nicht: „verstößt oder verstoßen hat“) erreicht."
Anmerkung von RA Dr. Bahr:
Ob sich die Rechtsansicht der Österreichische Datenschutzbehörde auch in Deutschland durchsetzen wird, bleibt abzuwarten.
Wichtig dabei zu verstehen ist, dass die Nachholung der Informationspflicht nur das konkrete Beschwerdeverfahren des Users berührt. Es bedeutet nicht, dass die Behörde nicht zugleich auch die fehlende Umsetzung der DSGVO-Pflichten mit entsprechenden Maßnahmen (wie z.B. einem Bußgeld) belegen kann.