Die DSB hat keine Feststellungskompetenz für in der Vergangenheit erfolgte Datenschutzverletzungen, wenn diese bereits iSd § 24 (6) DSG beseitigt wurde

Der VwGH (Ro 2022/04/0001-5 19. Oktober 2022) führt die frühere Rechtsprechung zum DSG 2000 auch unter der DSGVO und dem DSG zur Frage der Feststellung von vergangenen Datenschutzverletzungen fort.

Der VwGH hat zur Vorgängerbestimmung des § 24 DSG (§ 31 DSG 2000) bereits ausgesprochen, dass aus diesem kein Recht auf Feststellung über eine in der Vergangenheit erfolgte Verletzung des Rechtes auf Auskunft ableitbar ist (siehe VwGH 27.09.2007, 2006/06/0330). Diese Rechtsprechung hat der VwGH auf die geltende Rechtslage übertragen.

"Die Rechte auf Auskunft, Berichtigung oder Löschung schaffen - anders als das Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG - jeweils einen Anspruch auf eine bestimmte Leistung (vgl. hierzu bereits VfGH 26.6.1991, B 811/89). Bildet eine dieser Leistungen den Gegenstand des Antrags des Beschwerdeführers, so kann dem Begehren entsprochen und die betreffende Leistung durchgeführt oder veranlasst werden. § 24 Abs. 6 DSG sieht dementsprechend vor, dass ein Beschwerdegegner die behauptete Rechtsverletzung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich beseitigen kann, indem er den Anträgen des Beschwerdeführers entspricht.

Im Zusammenhang mit der Verletzung im Recht auf Geheimhaltung ist die Frage der Beseitigung der Rechtsverletzung jedoch anders zu beurteilen. § 1 Abs. 1 DSG gewährleistet jedermann die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit er daran ein schützenswertes Interesse hat. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und vor Weitergabe der über ihn ermittelten Daten zu verstehen (siehe RV 1613 BlgNR 20. GP 34 zur - unverändert gebliebenen - Bestimmung des § 1 DSG 2000).

Das Recht auf Geheimhaltung verkörpert aber kein Recht auf eine bestimmte Leistung und die Geltendmachung einer Verletzung im Recht auf Geheimhaltung ist nicht auf eine Handlung des Verantwortlichen ausgerichtet. Eine erfolgte Verletzung durch unzulässige Ermittlung kann auch nicht durch eine Handlung (im vorliegenden Fall die Löschung der betreffenden Daten) gleichsam rückwirkend wieder beseitigt werden und unterscheidet sich damit von den datenschutzrechtlich gewährleisteten Rechten, denen durch eine bestimmte Leistung entsprochen werden kann."