In seiner Entscheidung vom 5.10.2023 (Gz W292 2258172-1) hatte sich das österreichische Bundesverwaltungsgericht (BVwG) mit der Frage zu befassen, wie eine Vollmacht zur Ausübung von Betroffenenrechten konkret ausgestaltet sein muss und wann ein Verantwortlicher eine solche Anfrage zurückweisen darf.
Sachverhalt
Der Betroffene wandte sich gegen einen Bescheid der österreichischen Datenschutzbehörde, die seine Beschwerde gegen eine datenverarbeitende Stelle wegen Verletzung in den Rechten auf Auskunft und Löschung als unbegründet abwies.
Nach Ansicht der Aufsichtsbehörde erfüllte die damals gegenüber dem Verantwortlichen (einer öffentlichen Stelle) von einem Vertreter vorgelegte Vollmacht zur Ausübung der Rechte auf Auskunft und Löschung nicht die (besonderen) Anforderungen an eine Vollmacht, zumal eine pauschale Formulierung der Vollmacht keineswegs erkennen ließ, dass diese tatsächlich auch konkret ein datenschutzrechtliches Auskunfts- beziehungsweise Löschbegehren oder die Geltendmachung datenschutzrechtlich höchstpersönlicher Rechte im Generellen mitumfasse.
In der damals vorgelegten „Vollmacht / Auftragserteilung“ war festgehalten, dass der Vertreter ermächtigt werde, den Betroffenen gegenüber Behörden zu vertreten, in seinem Namen Erklärungen, Bekenntnisse, Anträge, Berufungen und Beschwerden zu übermitteln, Bescheidbegründungen zu verlangen, Akteneinsicht zu nehmen, Rechtsmittelverzichte zu erklären und in seinem Namen verbindlich zu unterschreiben.
Dieser Inhalt reichte dem Verantwortlichen und auch der Datenschutzbehörde nicht aus, um Betroffenenrechte für eine andere Person geltend machen zu können. Zudem sei ein datenschutzrechtliches Auskunftsersuchen nicht mit einer Akteneinsicht gleichzusetzen.
Konkret ging es hier um Betroffenenrechte nach der RL 2016/680, welche in Österreich im Datenschutzgesetz (DSG) umgesetzt sind, die jedoch inhaltlich den Betroffenenrechten der DSGVO zum Großteil entsprechen. Daher sind die Ausführungen des BVwG aus meiner Sicht durchaus auch für die Anwendung der DSGVO von Interesse, zumal das BVwG auch auf Vorschriften der DSGVO (wie etwa Art. 15 DSGVO) verweist.
Entscheidung
Das BVwG teilt die Einschätzung der Datenschutzbehörde, dass die damals gegenüber dem Verantwortlichen verwendete Vollmacht nicht ausreichend war.
Träger des Auskunftsrechts Art. 15 Abs. 1 DSGVO ist ausschließlich die betroffene Person, deren personenbezogene Daten verarbeitet werden. Nur diese ist grundsätzlich berechtigt, aufgrund ihres Auskunftsbegehrens eine entsprechende Auskunft zu erhalten.
Zwar geht das BVwG davon aus, dass ein solcher Antrag auch von einem Vertreter gestellt werden kann. Jedoch sei zu beachten, dass es sich beim Recht auf Auskunft und Recht auf Löschung um höchstpersönliche Betroffenenrechte, nämlich um subjektive, verfassungsrechtlich gewährleistete Rechte, handelt.
Das BVwG verweist in seiner Begründung auch auf ältere Rechtsprechung zum Charakter der Betroffenenrechte als höchstpersönliche Rechte. Dort wurde etwa festgestellt, dass das Recht auf Auskunft im Falle einer gewillkürten Vertretung vom Betroffenen selbst dem Vertreter übertragen werden muss, dies auch nicht durch Dritte erfolgen kann sowie an den Nachweis des Vorliegens der Bevollmächtigung ein besonders strenger Maßstab anzulegen ist, weil das Auskunftsrecht ein höchstpersönliches Recht darstellt.
Hieraus leitet das BVwG folgende Anforderungen an eine Vollmacht zur Geltendmachung von Betroffenenrechten ab:
„Daraus folgt nach Ansicht des erkennenden Senates auch für den Anwendungsbereich der Betroffenenrechte, dass an den Inhalt einer allenfalls zum Zweck der Geltendmachung von datenschutzrechtlichen Betroffenenrechten erteilten Vollmacht besondere Ansprüche zu stellen sind, wobei aus dem Gesamtzusammenhang erkennbar sein muss, dass die Stellung eines Auskunftsbegehrens auch von einer allgemein formulierten Vertretungsvollmacht tatsächlich und konkret mitumfasst sein soll.“
Vorliegend geht das BVwG davon aus, dass die damals verwendete Vollmacht nur pauschale Formulierung enthielt. Daraus war in keiner Weise erkennbar, dass diese tatsächlich auch konkret ein datenschutzrechtliches Auskunfts- beziehungsweise Löschbegehren bzw. die Geltendmachung höchstpersönlicher Datenschutzrechte mitumfasse“.
In einer solchen Situation darf der Verantwortliche Zweifel an der Zulässigkeit der Vertretung haben und den Antrag auf Auskunft und Löschung zurückweisen. Das BVwG begründet dies vor allem auch mit dem erhöhten Maßstab an den Inhalt der Vollmacht, da es sich hier um höchstpersönliche Rechte handelt.
Im Zeitpunkt der Antragstellung war
„kein Nachweis einer Vollmacht, die konkret die Geltendmachung des Rechts auf Auskunft und auf Löschung umfasste, vorhanden“.
Der Verweis auf die „Akteneinsicht“ in der Vollmacht, reicht dem BVwG ebenfalls nicht aus. Dieses Recht ist nicht mit dem Recht auf ein datenschutzrechtliches Auskunftsersuchen gleichzusetzen.
Fazit
Betroffenenrechte (hier im Bereich der RL 2016/680, meines Erachtens aber ebenso übertragbar auf jene der DSGVO) dürfen per Vollmacht durch Vertreter ausgeübt werden. Das BVwG gibt in seiner Entscheidung einige relevante Hinweise, was bei der textlichen Gestaltung derartiger Vollmachten zu beachten ist. Insbesondere scheint das BVwG eine explizite Bezugnahme auf Betroffenenrechte im Datenschutzrecht zu verlangen. Für Verantwortliche bietet die Entscheidung Argumente für eine Zurückweisung von Betroffenenanfragen (oder zumindest das Anfordern einer ausreichenden Vollmacht), wenn diese durch Vertreter gestellt werden und unklar ist, ob eine ausreichende Vollmacht besteht.