BVwG, 25.03.2026, W256 2256190-1/29E
DSB,11.05.2022, GZ D124.5584, 2022-0.343.643

Rechtssatz

Eine Verletzung der Informationspflicht nach Art. 14 DSGVO kann durch eine nachträgliche Information nicht rückwirkend saniert werden. Dennoch ist eine Datenschutzbeschwerde zurückzuweisen, wenn sie nicht innerhalb der Fristen des § 24 Abs. 4 DSG eingebracht wird.

Sachverhalt

Ein Betroffener machte geltend, ein Inkassobüro habe personenbezogene Daten nicht bei ihm selbst, sondern von Auftraggebern im Zusammenhang mit Forderungseintreibungen erhalten. Die Datenübermittlung soll bereits im Zeitraum November bis Dezember 2016 erfolgt sein. Der Betroffene brachte vor, nicht rechtzeitig nach Art. 14 DSGVO informiert worden zu sein.

Die Datenschutzbeschwerde wegen Verletzung der Informationspflicht wurde jedoch erst im Juli 2021 eingebracht. Das Inkassobüro hatte im Verfahren vor der Datenschutzbehörde später ergänzende Informationen erteilt. Zunächst wurde die Beschwerde deshalb abgewiesen. Nach einer Aufhebung durch den Verwaltungsgerichtshof musste das Bundesverwaltungsgericht erneut entscheiden.

Rechtliche Begründung

Das Bundesverwaltungsgericht stellte klar, dass der Beschwerdegegenstand durch die ursprüngliche Datenschutzbeschwerde bestimmt wird. Maßgeblich war daher die behauptete Datenerhebung im Zeitraum November bis Dezember 2016, nicht eine später behauptete Datenabfrage im Jahr 2018.

Inhaltlich verwies das Gericht auf die Rechtsprechung des Verwaltungsgerichtshofes: Eine Verletzung der Informationspflicht nach Art. 14 DSGVO liegt in der unterlassenen antragslosen Mitteilung. Diese Pflichtverletzung kann nicht dadurch rückwirkend beseitigt werden, dass die Information erst später – etwa im Beschwerdeverfahren – nachgeholt wird.

Entscheidend war aber die Frist des § 24 Abs. 4 DSG. Danach erlischt der Anspruch auf Behandlung einer Datenschutzbeschwerde, wenn sie nicht binnen eines Jahres ab Kenntnis des beschwerenden Ereignisses, längstens aber binnen drei Jahren ab dem behaupteten Ereignis eingebracht wird.

Da die behauptete Verletzung spätestens Ende Jänner 2017 abgeschlossen war und der Betroffene jedenfalls bereits 2018 bzw. spätestens 2019 Kenntnis von der relevanten Verarbeitung hatte, war die im Juli 2021 eingebrachte Beschwerde verspätet. Das Bundesverwaltungsgericht bestätigte daher den Bescheid mit der Maßgabe, dass die Datenschutzbeschwerde gemäß § 24 Abs. 4 DSG zurückzuweisen war.

Fazit

Die Entscheidung zeigt zwei wichtige Punkte: Erstens kann eine verspätete Information nach Art. 14 DSGVO eine bereits eingetretene Rechtsverletzung nicht rückwirkend heilen. Zweitens müssen Betroffene ihre Datenschutzbeschwerde fristgerecht einbringen. Auch eine tatsächlich erfolgte Pflichtverletzung kann nicht mehr behandelt werden, wenn die Fristen des § 24 Abs. 4 DSG abgelaufen sind.

Schlussfolgerung für Verantwortliche

Verantwortliche, insbesondere Inkassobüros und andere Unternehmen, die personenbezogene Daten nicht direkt bei der betroffenen Person erheben, müssen die Informationspflichten nach Art. 14 DSGVO zeitgerecht erfüllen. Die Information hat grundsätzlich binnen angemessener Frist, spätestens innerhalb eines Monats, zu erfolgen; bei Kommunikation mit der betroffenen Person spätestens zum Zeitpunkt der ersten Mitteilung.

Eine spätere Nachholung kann zwar praktisch sinnvoll sein, beseitigt die ursprüngliche Rechtsverletzung aber nicht rückwirkend. Verantwortliche sollten daher dokumentieren, wann Daten aus Drittquellen erlangt wurden, wann die Information erteilt wurde und welche Inhalte übermittelt wurden.