VGH 2021/032
VGH 2021/030
Zurück Druckansicht Navigation anzeigen
03.09.2021
VGH
Urteil
Sprüche: tw. stattgegeben / ersatzlos aufgehoben / formell
VGH 2021/032
VGH 2021/030
Der Verwaltungsgerichtshof des Fürstentums Liechtenstein, Vaduz, hat durch die
Richterlic.iur. Andreas Batliner, Präsident
lic.iur. Marion Seeger
lic.iur. Adrian Rufener
Dr.iur. Esther Schneider
lic.iur. Daniel Tschikof
in der Beschwerdesache der
Beschwerdeführerin zu 1.:
Datenschutzstelle Liechtenstein
Städtle 38
9490 Vaduz
Beschwerdeführerin zu 2.:
A


vertreten durch:

***
wegenDatenschutz
gegenEntscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021, VBK 2019/60 ON 48
in der nicht-öffentlichen Sitzung vom 3. September 2021
entschieden:
1.Die Beschwerdeverfahren zu VGH 2021/30 und VGH 2021/32 werden zur gemeinsamen Verhandlung und Entscheidung verbunden. Führender Akt ist jener zu VGH 2021/32.
2.Der Beschwerde der Datenschutzstelle vom 23. April 2021 zu VGH 2021/32 wird insoweit stattgegeben, als die angefochtene Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021, VBK 2019/60 ON 48, aufgehoben und die Verwaltungssache zur neuerlichen Entscheidung an die Beschwerdekommission für Verwaltungsangelegenheiten zurückgeleitet wird.
3.Die Kosten des Verfahrens vor dem Verwaltungsgerichtshof zu VGH 2021/32 in Höhe von CHF 630.00 hat die Beschwerdeführerin zu 2. binnen 14 Tagen bei sonstigem Zwang an das Land Liechtenstein zu bezahlen (Zahlungsinformationen am Schluss dieses Urteils).
4.Parteikosten werden der Beschwerdeführerin zu 2. für das Beschwerdeverfahren zu VGH 2021/32 keine zugesprochen.
5.Die Beschwerde der Beschwerdeführerin zu 2. vom 21. April 2021 zu VGH 2021/30 gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021, VBK 2019/60 ON 48, wird, soweit sie die Spruchpunkte 1. bis 3. der angefochtenen Entscheidung betrifft, zurückgewiesen.
Soweit die Beschwerde der Beschwerdeführerin zu 2. vom 21. April 2021 den Spruchpunkt 4. der angefochtenen Entscheidung betrifft, ist auf die gegenständliche Entscheidung zu verweisen.
6.Die Kosten des Verfahrens vor dem Verwaltungsgerichtshof zu VGH 2021/30 hat die Beschwerdeführerin zu 2. zu tragen.
7.Parteikosten werden der Beschwerdeführerin zu 2. für das Beschwerdeverfahren zu VGH 2021/30 keine zugesprochen.
TATBESTAND
1.
Am 18. November 2018 hat die durch die Datenverarbeitung betroffene Person gegen die nunmehrige Beschwerdeführerin zu 2. (Verantwortliche) bei einer deutschen Aufsichtsbehörde eine Beschwerde nach Art. 77 DSGVO eingebracht.
Die betroffene Person bringt mit ihrer Beschwerde vor, sie habe am 3. November 2018 eine vollständige Auskunft bei der Beschwerdeführerin zu 2. angefordert. Die erteilte Auskunft weise hinsichtlich des Verarbeitungszwecks, der Speicherdauer und des Beschwerderechts Mängel auf.
Die Datenschutzstelle hat am 6. März 2019 ihre Zuständigkeit als federführende Behörde für die Beschwerde vom 18. November 2018 akzeptiert.
Dem Rechtsvertreter der Beschwerdeführerin zu 2. wurde mit Schreiben der Datenschutzstelle vom 3. April 2019 die Möglichkeit zur Gegenäusserung eingeräumt.
Der Rechtsvertreter der Beschwerdeführerin zu 2. erstattete mit Schriftsatz vom 17. April 2019 eine Gegenäusserung zur Beschwerde vom 18. November 2018 zuhanden der Datenschutzstelle.
Im Rahmen der Untersuchung der Beschwerdekam die Datenschutzstelle zum Schluss, dass dem Auskunftsschreiben eine Datenverarbeitung zugrunde liegt, die von der Beschwerdeführerin zu 2. standardmässig getätigt wurde. Mittels Gewinnspiels wurden Namen, Postadressen, E-Mail-Adressen und Geburtsdaten von Gewinnspielteilnehmern erhoben, um diese Daten in der Folge an weitere Unternehmen zu Marketingzwecken weiterzugeben.
Am 25. April 2019 unterbreitete die Datenschutzstelle der betroffenen deutschen Aufsichtsbehörde den Verfügungsentwurf. Die deutsche Aufsichtsbehörde stimmte dem Entwurf der Datenschutzstelle vollumfänglich zu.
2.
Mit Verfügung vom 09. August 2019 entschied die Datenschutzstelle über die Beschwerde vom 18. November 2018 wie folgt:
1.
Der Beschwerde wird teilweise stattgegeben und festgestellt, dass die durch die Beschwerdegegnerin erfolgte Beauskunft gemäss Art. 15 DSGVO durch Auskunftsschreiben der Beschwerdegegnerin an den Beschwerdeführer von Anfang November 2018 in den Punkten 2., 4. und 5. des Auskunftsschreibens mangelhaft ist.
2.
Der Beschwerdegegnerin wird bezüglich Pkt. 7. des Auskunftsschreibens empfohlen zu spezifizieren, bei welcher Datenschutzaufsichtsbehörde der Beschwerdeführer seine Beschwerde einbringen kann.
3.
Die Anträge des Rechtsvertreters der Beschwerdegegnerin bezüglich
1.
Zustellgesetz und Internal Market Information System (IMI),
2.
Fristen,
3.
Rechtsmittelbelehrung,
4.
Rechtliches Gehör,
5.
Rechtsschutzinteresse,
6.
Kosten
werden abgewiesen.
3.
Mit Schriftsatz vom 19. September 2019 erhob die Beschwerdeführerin zu 2. gegen die Verfügung der Datenschutzstelle vom 09. August 2019 Beschwerde an die Beschwerdekommission für Verwaltungsangelegenheiten.
4.
Mit Beschluss vom 18. Dezember 2019 zu VBK 2019/60 ON 12 hat die Beschwerdekommission für Verwaltungsangelegenheiten das Beschwerdeverfahren unterbrochen und dem EFTA-Gerichtshof drei Fragen zur Gutachtenserstattung vorgelegt. Die Fragen betreffen zum einen das erstinstanzliche Beschwerdeverfahren nach Art. 77 DSGVO vor der Datenschutzstelle und zum anderen die daran anschliessenden allfälligen Rechtsmittelverfahren.
5.
Mit Urteil vom 10. Dezember 2020 zu E-11/19 und E-12/19 beantwortete der EFTA-Gerichtshof die ihm vorgelegten Fragen.
6.
Mit Entscheidung vom 24. März 2021 zu VBK 2019/60 ON 48 entschied die Beschwerdekommission für Verwaltungsangelegenheiten wie folgt:
1.
Der Beschwerde vom 19.09.2019 gegen die Verfügung der Datenschutzstelle vom 09.08.2019 (...) wird insoweit stattgegeben, als die angefochtene Verfügung der Datenschutzstelle vom 09.08.2019 (...) aufgehoben und die gegenständliche Verwaltungssache zu neuerlichen Durchführung des Verfahrens und zur neuerlichen Entscheidung an die Datenschutzstelle zurückgeleitet wird.
2.
Die Wirkung der Aufhebung und der Auftrag an die Datenschutzstelle treten erst nach Rechtskraft dieser Entscheidung ein (Rechtskraftvorbehalt).
3.
Die Kosten des Verfahrens verbleiben beim Land Liechtenstein.
4.
Parteikosten werden keine zugesprochen.
7.
Mit Schriftsatz vom 21. April 2021 erhob die Beschwerdeführerin zu 2. durch ihren Rechtsvertreter Beschwerde gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 an den Verwaltungsgerichtshof.
Die Beschwerdeführerin zu 2. beantragte, der Verwaltungsgerichtshof wolle die angefochtene Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten aufheben. In eventu wolle der Verwaltungsgerichtshof der Beschwerdekommission Verwaltungsangelegenheiten auftragen, über das EFTA-Gerichtshof-Gutachten eine Teilentscheidung zu erlassen und die Entscheidung zurückverweisen. Jedenfalls wolle der Verwaltungsgerichtshof das Land Liechtenstein verpflichten, der Beschwerdeführerin zu 2. die verzeichneten Parteikosten zu ersetzen.
8.
Mit Schriftsatz vom 23. April 2021 erhob auch die Datenschutzstelle Beschwerde gegen die Entscheidung der Beschwerdekommission Verwaltungsangelegenheiten vom 24. März 2021 an den Verwaltungsgerichtshof.
Die Datenschutzstelle beantragte, der Verwaltungsgerichtshof wolle die angefochtene Entscheidung in ihrem Spruchpunkt 1. aufheben und dahingehend abändern, dass die Beschwerde vom 19. September 2019 gegen die Verfügung der Datenschutzstelle vom 09. August 2019 abgewiesen werde.
9.
Am 21. Mai 2021 äusserte sich die Beschwerdeführerin zu 2. als Beschwerdegegnerin zur Beschwerde der Datenschutzstelle. Die Beschwerdeführerin zu 2. beantragte, der Verwaltungsgerichtshof wolle die Beschwerde der Datenschutzstelle zurückweisen.
10.
Der Verwaltungsgerichtshof zog die Vorakten der Datenschutzstelle und der Beschwerdekommission für Verwaltungsangelegenheiten bei, erörterte in seiner nicht-öffentlichen Sitzung vom 3. September 2021 die Sach- und Rechtslage und entschied wie aus dem Spruch ersichtlich.
ENTSCHEIDUNGSGRÜNDE
1.
Das gegenständliche Verfahren wurde durch eine Beschwerde nach Art. 77 DSGVO eingeleitet. Im Rahmen des erstinstanzlichen Beschwerdeverfahrens vor der Datenschutzstelle kam der betroffenen Person die Rolle des Beschwerdeführers und dem Verantwortlichen und nunmehriger Beschwerdeführerin zu 2. die Rolle des Beschwerdegegners zu.
Das Beschwerdeverfahren wurde mit Verfügung der Datenschutzstelle vom 09. August 2019 erstinstanzlich abgeschlossen. Die Datenschutzstelle gab der Beschwerde nach Art. 77 DSGVO teilweise statt und stellte fest, dass die Beauskunftung mangelhaft ist. Zudem sprach die Datenschutzstelle eine Empfehlung hinsichtlich des Auskunftsschreibens der Beschwerdeführerin zu 2. aus.
Im anschliessenden Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten kam dem Verantwortlichen die Rolle des Beschwerdeführers zu. Beschwerdegegner war nach Art. 78 Abs. 3 DSGVO die Datenschutzstelle. Die betroffene Person konnte sich dem Rechtsmittelverfahren als interessierte Drittpartei anschliessen, was sie jedoch nicht getan hat.
Die Beschwerdekommission für Verwaltungsangelegenheiten hat mit Entscheidung vom 24. März 2021 der Beschwerde des Verantwortlichen insoweit stattgegeben, als die angefochtene Verfügung der Datenschutzstelle aufgehoben und die Verwaltungssache an diese zurückverwiesen wurde.
Von der Aufhebung der erstinstanzlichen Verfügung der Datenschutzstelle und der Zurückverweisung ist die Datenschutzstelle benachteiligt. Die Datenschutzstelle erhob mit Schriftsatz vom 23. April 2021 Beschwerde gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 an den Verwaltungsgerichtshof. Die Beschwerdelegitimation der Datenschutzstelle ist in Art. 20 Abs. 2 DSG verankert. Nach dieser Bestimmung hat die Datenschutzstelle das Recht, gegen Entscheidungen und Verfügungen der Beschwerdekommission für Verwaltungsangelegenheiten das Rechtsmittel der Beschwerde an den Verwaltungsgerichtshof zu erheben. Das Rechtsmittelverfahren vor dem Verwaltungsgerichtshof trägt das Aktenzeichen VGH 2021/32.
Im Rechtsmittelverfahren vor dem Verwaltungsgerichtshof zu VGH 2021/32 kommt der Datenschutzstelle die Rolle des Beschwerdeführers zu. Da sich die betroffene Person dem Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten nicht als interessierte Partei angeschlossen hat, kann sie sich dem Rechtsmittelverfahren vor dem Verwaltungsgerichtshof auch nicht als interessierte Drittpartei anschliessen. Dem Verantwortlichen kommt die Rolle des Beschwerdegegners zu. Er hat denn auch zur Beschwerde der Datenschutzstelle vom 23. April 2021 eine Gegenäusserung erstattet, mit welcher er die Zurückweisung der Beschwerde vom 23. April 2021 beantragt.
Im vorliegenden Fall hat auch der Verantwortliche und nunmehrige Beschwerdeführerin zu 2. mit Schriftsatz vom 21. April 2021 Beschwerde an den Verwaltungsgerichtshof erhoben. Aus diesem Grund hat der Verwaltungsgerichtshof die beiden Beschwerdeverfahren zu VGH 2021/30 und VGH 2021/32 zur gemeinsamen Verhandlung und Entscheidung verbunden. Führender Akt ist jener zu VGH 2021/32.
2.
Zu VGH 2021/32
Die Beschwerdekommission für Verwaltungsangelegenheiten begründet ihre Entscheidung vom 24. März 2021 damit, dass die Beschwerdeführerin zu 2. als Verantwortliche durch die Nichtoffenlegung der Identität der betroffenen Person in ihrer Fähigkeit, von ihren Verteidigungsrechten Gebrauch zu machen, eingeschränkt sei. Gemäss Urteil des EFTA-Gerichtshofs vom 10. Dezember 2020 sei bei der Beurteilung, ob es erforderlich sei, die Identität der betroffenen Person gegenüber dem Verantwortlichen offenzulegen, eine Abwägung der Interessen der betroffenen Person und jener des Verantwortlichen vorzunehmen, wobei auf ein Gleichgewicht zwischen den Interessen geachtet werden müsse. Aus den der Beschwerdekommission für Verwaltungsangelegenheiten vorliegenden Akten sei kein durch die Datenschutzstelle festgestelltes schutzwürdiges Interesse der betroffenen Person auf Zurückhalten ihrer Identität ersichtlich.
Die Datenschutzstelle begründet ihre Beschwerde vom 23. April 2021 damit, dass die gegenständlichen Beschwerdegründe nach Art. 77 DSGVO nicht in der Person einer betroffenen Person verankert seien. Im gegenständlichen Fall sei es einzig um die Beurteilung des standardisierten Auskunftsschreibens der Beschwerdeführerin zu 2. gegangen. Diese Beurteilung sei völlig losgelöst von einer konkreten betroffenen Person. Das Auskunftsschreiben der Beschwerdeführerin zu 2. betreffe eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen. Dies zeige sich auch dadurch, dass seit 25. Mai 2018 bei der Datenschutzstelle insgesamt zehn Beschwerden gegen die Beschwerdeführerin zu 2. eingegangen seien, welche allesamt eine identische Datenverarbeitung betreffen, nämlich die Erhebung von personenbezogenen Daten von natürlichen Personen mittels Gewinnspiels mit dem Zweck, diese Daten an Unternehmen zu verkaufen, welche die Daten wiederum für Marketingszwecke verwenden.
Diesem Vorbringen der Datenschutzstelle kommt Berechtigung zu.
Zwar stellte die Datenschutzstelle in Spruchpunkt 1. der nunmehr angefochtenen Verfügung vom 09. August 2019 fest, dass das Auskunftsschreiben von Anfang November 2018 der Beschwerdeführerin zu 2. an die betroffene Person in den Punkten 2., 4. und 5. mangelhaft sei.
Wenn die Datenschutzstelle die Mangelhaftigkeit des Auskunftsschreibens der Beschwerdeführerin zu 2. feststellt, erfolgt diese Feststellung losgelöst von einer konkreten betroffenen Person. Beim bemängelten Auskunftsschreiben der Beschwerdeführerin zu 2. handelt es sich um ein standardisiertes Schreiben, welches an sämtliche tatsächliche und vermeintliche Gewinnspielteilnehmer, die Auskunft verlangen, gesandt wird.
Die Datenschutzstelle bemängelte somit das Auskunftsschreiben der Beschwerdeführerin zu 2. und sprach eine hierauf bezogene Empfehlung aus. Diese Feststellung und Empfehlung hinsichtlich des standardisierten Auskunftsschreibens bestehen unabhängig von einer konkreten betroffenen Person.
Für den Verwaltungsgerichtshof ist nicht zu erkennen, inwiefern bei diesem Ergebnis die Identität des Beschwerdeführers nach Art. 77 DSGVO für die Beschwerdeführerin zu 2. relevant sein soll. Vielmehr wird ein Mangel des standardisierten Auskunftsschreibens aufgezeigt, der sich auf jede Beauskunftung auswirkt.
Für eine Verteidigung gegen die getroffene Feststellung der Mangelhaftigkeit des Auskunftsschreibens muss der Beschwerdeführerin zu 2. die Identität des konkreten Beschwerdeführers nach Art. 77 DSGVO nicht bekannt sein. Es obliegt der Beschwerdeführerin zu 2., in einem Rechtsmittelverfahren dazutun, dass das Auskunftsschreiben den Anforderungen der Datenschutzgrundverordnung und der weiteren Datenschutzgesetzgebung entspricht. 
Für den Verwaltungsgerichtshof ist gegenständlich kein Grund ersichtlich, warum die Datenschutzstelle gegenüber der Beschwerdeführerin zu 2. als Verantwortliche die Identität des Beschwerdeführers nach Art. 77 DSGVO offenlegen muss. Die von der Datenschutzstelle festgestellte Datenschutzverletzung betrifft das standardisierte Auskunftsschreiben der Beschwerdeführerin zu 2., das bei allen Beauskunftungen bezüglich des Gewinnspiels und somit losgelöst von einer konkret betroffenen Person verwendet wird. Auch in der Beschwerde vom 19. September 2019 an die Beschwerdekommission für Verwaltungsangelegenheiten, der Beschwerde vom 21. April 2021 an den Verwaltungsgerichtshof und in der Gegenäusserung vom 21. Mai 2021 bringt die Beschwerdeführerin zu 2. keine Gründe für die Offenlegung der Identität der betroffenen Person vor. Entscheidend ist, dass durch die Beschwerde der betroffenen Person Mängel beim standardisierten Auskunftsschreiben festgestellt werden konnten. Zu deren Behebung muss die Identität des Beschwerdeführers nach Art. 77 DSGVO nicht offengelegt werden.
Ebenfalls liegen der Beschwerdeführerin zu 2. alle Informationen vor, um Fragen der Zuständigkeit und des Anwendungsbereichs der DSGVO prüfen zu können. Insbesondere ist aus dem geschwärzten Auskunftsschreiben der Beschwerdeführerin zu 2. ersichtlich, dass die massgebliche Datenverarbeitung bis November 2018 gedauert hat.
3.
Der Verwaltungsgerichtshof teilt auch die Auffassung der Datenschutzstelle, dass die Beschwerdekommission für Verwaltungsangelegenheiten nicht begründet, inwiefern der Verantwortliche durch die Nichtoffenlegung der Identität der betroffenen Person in der Ausübung seines Rechts auf wirksamen gerichtlichen Rechtsbehelf eingeschränkt ist.
Die Beschwerdekommission für Verwaltungsangelegenheiten führt in der angefochtenen Entscheidung lediglich aus, dass sie gestützt auf die Ausführungen des EFTA-Gerichtshofs zur Auffassung gelange, dass der Verantwortliche durch die Nichtoffenlegung der Identität der betroffenen Person in seiner Fähigkeit, von seinen Verteidigungsrechten Gebrauch zu machen, eingeschränkt werde. Aus dem Akt der Datenschutzstelle, insbesondere der angefochtenen Verfügung der Datenschutzstelle vom 09. August 2019 und ihrer Stellungnahme vom 23. Dezember 2019, sei kein durch die Datenschutzstelle festgestelltes schutzwürdiges Interesse der betroffenen Person auf Zurückhalten ihrer Identität ersichtlich. Insbesondere die Ausführung der Datenschutzstelle in ihrer Stellungnahme vom 23. Dezember 2019, die Datenverarbeitungen könnten losgelöst von individuellen Personen geprüft werden, beinhalte keine ausreichend rechtfertigende Begründung für das Zurückhalten der Identität der betroffenen Person.
Ein pauschaler Verweis auf das eingeholte Gutachten des EFTA-Gerichtshofs vermag die Begründungspflicht nicht zu erfüllen. Der EFTA-Gerichtshof leitet aus dem Beschwerderecht nach Art. 77 DSGVO und dem Anspruch auf einen wirksamen gerichtlichen Rechtsbehelf nach Art. 78 DSGVO allgemeine Leitlinien für die Beurteilung der Frage der Offenlegung oder Nichtoffenlegung der Identität der betroffenen Person ab. Anhand dieser Leitlinien ist im konkreten Fall zu beurteilen, ob sich das Zurückhalten der Identität der betroffenen Person rechtfertigt oder nicht. Die Beschwerdekommission für Verwaltungsangelegenheiten hat es durch die pauschale Verweisung auf das EFTA-Gutachten unterlassen, eigene Feststellungen zur Ausübung des Beschwerderechts des Verantwortlichen, zur Ausübung der Rechte nach der DSGVO sowie zum Vorliegen einer standardisierten und gleichgelagerten Datenverarbeitung für eine unbestimmte Anzahl betroffener Personen zu treffen. Dies anerkennt auch die Beschwerdeführerin zu 2. in ihrer Gegenäusserung vom 21. Mai 2021. Der Datenschutzstelle sei beizupflichten, wenn sie ausführe, dass die Beschwerdekommission für Verwaltungsangelegenheiten lediglich pauschal auf die Ausführungen des EFTA-Gerichtshofs abstelle und nicht darlege, wie sie zu einer konkreten rechtsverbindlichen Auffassung gelangt sei.
4.
Der EFTA-Gerichtshof schliesst in seinem Gutachten vom 10. Dezember 2020 zu E-11/19 und E-12/19 das Zurückhalten der personenbezogenen Daten eines Beschwerdeführers nach Art. 77 DSGVO gegenüber dem Verantwortlichen nicht aus. Diese Frage sei mit Blick auf die Grundsätze für die Verarbeitung personenbezogener Daten gemäss Art. 5 und 6 DSGVO zu prüfen. Es obliege der zuständigen Stelle im jeweiligen Einzelfall festzustellen, ob eine Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen erforderlich sei. Zur Beurteilung dieser Frage stellt der Gerichtshof gewisse Leitlinien auf. Das Zurückhalten der Identität der betroffenen Person sollte nicht bewilligt werden, wenn dadurch entweder die Erfüllung der Verpflichtungen gemäss der DSGVO oder die Ausübung des Rechts auf wirksamen gerichtlichen Rechtsbehelf des Verantwortlichen behindert würden.
Die Identität der betroffenen Person muss einerseits offengelegt werden, wenn die Weigerung, personenbezogene Daten offenzulegen, die Fähigkeit des Verantwortlichen einschränken würde, von seinen Verteidigungsrechten Gebrauch zu machen. Andererseits ist eine Offenlegung der personenbezogenen Daten der betroffenen Person gegenüber dem Verantwortlichen erforderlich, wenn die angeordneten Abhilfemassnahmen gegenüber dem Verantwortlichen ein unmittelbares Verhältnis zur betroffenen Person aufweisen. Durch die Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen wird dieser überhaupt erst in die Lage versetzt, den Anweisungen der Datenschutzbehörde nachzukommen.
Andererseits ist eine Offenlegung der Identität der betroffenen Person nicht nötig, wenn die Untersuchung oder Entscheidung eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen betrifft.
Gegenständlich hat die Datenschutzstelle mit der Verfügung vom 09. August 2019 keine Abhilfemassnahmen gegen die Beschwerdeführerin zu 2. angeordnet, weshalb in dieser Hinsicht kein Grund für eine Offenlegung der Identität des Beschwerdeführers nach Art. 77 DSGVO festgestellt werden kann. Auch die ausgesprochene Empfehlung betrifft das standardisierte Auskunftsschreiben der Beschwerdeführerin zu 2. und weist somit keinen Zusammenhang zu einer konkreten betroffenen Person auf.
Ebenfalls kann sich die Beschwerdeführerin zu 2. in einem Rechtsmittelverfahren gegen die Feststellung des mangelhaften Auskunftsschreibens zur Wehr setzen, ohne dass ihr die Identität des Beschwerdeführers nach Art. 77 DSGVO bekannt ist.
Es liegt somit kein Fall vor, in welchem die Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen nach den Anforderungen des EFTA-Gerichtshofs geboten ist. Vielmehr liegt ein Fall einer standardisierten und gleichartigen Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen vor. Dies anerkennt auch die Beschwerdeführerin zu 2. in ihrer Gegenäusserung vom 21. Mai 2021, indem auch sie von einer Häufung gleichgelagerter Fälle ausgeht. 
Somit ergibt sich auch aus einer Anwendung der Anforderungen gemäss dem Urteil des EFTA-Gerichtshofs vom 10. Dezember 2020, dass im gegenständlichen Fall die Identität der betroffenen Person gegenüber der Beschwerdeführerin zu 2. nicht offenzulegen ist.
5.
Den weiteren Ausführungen der Beschwerdeführerin zu 2. in ihrer Gegenäusserung vom 21. Mai 2021 kann nicht gefolgt werden.
5.1.
Die Beschwerdeführerin zu 2. bringt vor, dass im gegenständlichen Beschwerdeverfahren vor dem Verwaltungsgerichtshof dem Verantwortlichen die Rolle des Beschwerdeführers und der betroffenen Person sowie der Datenschutzstelle die Rolle der Beschwerdegegner zukomme.
Aufgrund der Aufhebung der der Beschwerde nach Art. 77 DSGVO zumindest teilweise stattgebenden Verfügung der Datenschutzstelle vom 09. August 2019 ist die Datenschutzstelle durch die angefochtene Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten benachteiligt, weshalb ihr im Beschwerdeverfahren vor dem Verwaltungsgerichtshof nicht die Rolle des Beschwerdegegners, sondern diejenige des Beschwerdeführers zukommt. Die betroffene Person hat sich dem Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten nicht angeschlossen, weshalb sie sich dem Rechtsmittelverfahren vor dem Verwaltungsgerichtshof auch nicht anschliessen kann.
5.2.
Die Beschwerdeführerin zu 2. bringt vor, der Datenschutzstelle käme im Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten keine Parteistellung zu.
Beim Beschwerdeverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten handelt es sich um ein kontradiktorisches Verfahren. Der Beschwerdeführerin zu 2. kam die Rolle der Beschwerdeführerin und der Datenschutzstelle die Rolle der Beschwerdegegnerin zu (Art. 78 Abs. 3 DSGVO). Entgegen der Auffassung der Beschwerdeführerin zu 2. ergibt sich aus Art. 20 Abs. 1 und 2 DSG nichts anderes. Der Umstand, dass die Beschwerdelegitimation der Datenschutzstelle nicht in Art. 20 Abs. 1 DSG erwähnt ist, ergibt sich daraus, dass die Datenschutzstelle nicht gegen ihre eigenen Entscheidungen und Verfügungen Beschwerde erheben kann. Mit einer Entscheidung oder Verfügung der Datenschutzstelle im Sinne von Art. 20 Abs. 1 DSG kann, soweit es gegenständlich interessiert, eine Beschwerde nach Art. 77 DSGVO abgewiesen oder dieser Beschwerde ganz oder teilweise stattgegeben werden. Im ersten Fall kommt in einem anschliessenden Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten der betroffenen Person die Rolle des Beschwerdeführers und der Datenschutzstelle die Rolle des Beschwerdegegners zu. Der Verantwortliche kann sich dem Rechtsmittelverfahren als interessierte Drittpartei anschliessen. Im zweiten Fall kommt im Rechtsmittelverfahren dem Verantwortlichen die Rolle des Beschwerdeführers und der Datenschutzstelle die Rolle des Beschwerdegegners zu. Die betroffene Person kann sich dem Rechtsmittelverfahren als interessierte Drittpartei anschliessen.
5.3.
Die Beschwerdeführerin zu 2. macht einen Formmangel bei der Beschwerde der Datenschutzstelle an den Verwaltungsgerichtshof geltend. Die Beschwerde sei nicht rechtsgenüglich unterschrieben, weshalb sie zurückzuweisen sei.
Die Beschwerde der Datenschutzstelle vom 23. April 2021 wurde nicht händisch unterschrieben, sondern mit einer Amtssignatur respektive einem Signaturvermerk versehen. Die Amtssignatur ist im Gesetz über den elektronischen Geschäftsverkehr mit Behörden (E-Government-Gesetz; E-GovG) und in der Verordnung über die Führung und Verwaltung der Akten in der Liechtensteinischen Landesverwaltung (LLV-Aktenverwaltungsverordnung; LLV-AVV) geregelt. Das E-Government-Gesetz regelt den elektronischen Geschäftsverkehr zwischen Behörden sowie zwischen Behörden und Personen (Art. 1 Abs. 1 E-GovG). Als Behörden gelten unter anderem Organe des Staates (Art. 3 Abs. 1 Bst. e E-GovG). Die LLV-Aktenverwaltungsverordnung gilt für die Führung und Verwaltung der Akten durch die Regierung und die Amtsstellen der Landesverwaltung (Art. 1 Abs. 1 LLV-AVV). Es stellt sich als erstes die Frage, ob das E-Government-Gesetz und die LLV-Aktenverwaltungsverordnung auf die Datenschutzstelle Anwendung finden.
Die Datenschutzstelle ist die nationale Aufsichtsbehörde nach Art. 51 der Verordnung (EU) 2016/679 und Art. 41 der Richtlinie (EU) 2016/680 (Art. 9 Abs. 1 DSG). Die Datenschutzstelle handelt bei der Erfüllung ihrer Aufgaben und bei der Ausübung ihrer Befugnisse völlig unabhängig. Sie unterliegt weder direkter noch indirekter Beeinflussung von aussen und ersucht weder um Weisung noch nimmt sie Weisungen entgegen (Art. 11 Abs. 1 DSG).
Aus dem Bericht und Antrag (BuA) Nr. 36/2018 betreffend die Totalrevision des Datenschutzgesetzes ergibt sich folgendes: Vor dem Jahr 2008 sei der Datenschutzbeauftragte von der Regierung bestellt worden, wobei er bei der Erfüllung seiner Aufgaben unabhängig gewesen sei. Administrativ habe der Datenschutzbeauftragte einem Ressort der Regierung zugeordnet werden können. Aus Anlass des Beitritts Liechtensteins zu den Abkommen von Schengen und Dublin sei im Jahr 2008 der Datenschutzbeauftragte organisatorisch dem Landtag zugeordnet worden. Die in den letzten zehn Jahren gemachten Erfahrungen mit der organisatorischen Zuordnung der Datenschutzstelle zum Landtag hätten jedoch erkennen lassen, dass diese Zuordnung in der praktischen Anwendung immer wieder zu verschiedenen Problemen geführt habe. Deshalb erscheine es angebracht, die Datenschutzstelle organisatorisch neu wieder als Stelle im Bereich der Exekutive einzurichten. Abgesehen davon, dass es sich bei der Datenschutzstelle um ein das Gesetz vollziehendes Organ handle und daher eine Zuordnung der Datenschutzstelle zum Landtag bereits grundsätzlich dem Prinzip der Gewaltenteilung zu widersprechen scheine, lasse die DSGVO klar zu, dass die Datenschutzstelle im Bereich der Exekutive eingerichtet werde. Bei der Datenschutzstelle handle es sich formell um eine Amtsstelle der Landesverwaltung (BuA Nr. 36/2018, S. 125 ff.).
Bei der Datenschutzstelle handelt es sich somit formell um eine Amtsstelle im Sinne des Art. 25 Abs. 1 Bst. c des Gesetzes über die Regierungs- und Verwaltungsorganisation (RVOG). Jedes Amt wird unter Berücksichtigung des sachlichen Zusammenhangs der Geschäfte einem Ministerium zugeordnet (Art. 35 RVOG).
Die Datenschutzstelle ist dem Ministerium für Infrastruktur und Justiz zugeordnet (Art. 6 iVm. Anhang 2 RVOV). Die Datenschutzstelle hat als Amtsstelle ihre Akten in fachgerechter Weise elektronisch zu führen und zu verwalten (Art. 51a Abs. 1 RVOG). Die auf Art. 51a Abs. 4 RVOG basierende LLV-Aktenverwaltungsverordnung und das E-Government-Gesetz finden somit auf die Datenschutzstelle Anwendung.
Die Amtssignatur ist eine fortgeschrittene elektronische Signatur zur ausschliesslichen Nutzung durch Behörden (Art. 3 Abs. 1 Bst. k E-GovG). Die Behörde und somit die Datenschutzstelle hat Dokumente, insbesondere Erledigungen und Ausfertigungen, elektronisch zu erstellen und zu erfassen. Elektronisch erstellte Dokumente gelten als Original. Ausfertigungen in Form von elektronischen Dokumenten müssen mit einer Amtssignatur versehen sein (Art. 24 Abs. 1 und 2 E-GovG; Art. 23 Abs. 1 LLV-AVV). Die Amtssignatur dient der erleichterten Erkennbarkeit der Herkunft eines Dokuments einer Behörde. Die Nutzung der Amtssignatur ist mithilfe eines Signaturvermerks im Dokument darzustellen; der Signaturvermerk enthält insbesondere die Bezeichnung der Behörde und den Hinweis, dass das Dokument mit einer Amtssignatur signiert ist. Ein auf Papier ausgedrucktes elektronisches Dokument einer Behörde hat die Vermutung der Echtheit für sich, wenn das Dokument mit einer Amtssignatur signiert wurde und über einen Signaturvermerk verfügt (Art. 24a Abs. 1 bis 3 E-GovG). Ausgehende Aufzeichnungen können digital oder physisch versandt werden. Physische Ausdrucke von amtssignierten Aufzeichnungen dürfen nicht zusätzlich von Hand unterschrieben werden (Art. 23 Abs. 3 LLV-AVV).
Bei der auf Papier ausgedruckten Beschwerde der Datenschutzstelle vom 23. April 2021 handelt es sich somit nicht um das Original. Es gilt jedoch die Vermutung der Echtheit dieses Dokuments. An der Echtheit der Beschwerde der Datenschutzstelle bestehen für den Verwaltungsgerichtshof keine Zweifel und erstattet auch die Beschwerdeführerin zu 2. kein die Echtheit der Beschwerde in Frage stellendes Vorbringen. Die Datenschutzstelle war nach den spezialgesetzlichen Bestimmungen berechtigt, die Beschwerde physisch an den Verwaltungsgerichtshof zu senden und hat diese zu Recht nicht zusätzlich händisch unterschrieben. Wenn die Beschwerdeführerin zu. 2. vorbringt, die Beschwerde vom 23. April 2021 hätte neben dem Amtsvermerk zwingend händisch unterschrieben werden müssen, sind ihr die spezialgesetzlichen Bestimmungen über die Amtssignatur entgegenzuhalten, wonach die Datenschutzstelle die Beschwerde amtssignieren musste und diese physisch ohne händische Unterschrift an den Verwaltungsgerichtshof zustellten durfte. Soweit sich die Beschwerdeführerin zu 2. auf das LVG beruft, ist zu erwähnen, dass die allgemeinen Bestimmungen des LVG zur Unterschrift hinter die spezialgesetzlichen Bestimmungen zur Amtssignatur zurücktreten.
5.4.
Wenn die Beschwerdeführerin zu 2. sodann vorbringt, ein Zurückhalten der Identität des Beschwerdeführers nach Art. 77 DSGVO sei unzulässig, ist ihr das Gutachten des EFTA-Gerichtshofs vom 10. Dezember 2020 zu E-11/19 und E-12/19 vorzuhalten, wonach im Einzelfall unter Berücksichtigung der vom EFTA-Gerichtshof definierten Anforderungen zu entscheiden ist, ob eine Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen erforderlich ist.
5.5.
Im Übrigen anerkennt die Beschwerdeführerin zu 2. in ihrer Gegenäusserung selbst an, dass eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen vorliegt und die Beschwerdekommission für Verwaltungsangelegenheiten nicht begründet hat, warum dennoch ein Zurückhalten der Identität der betroffenen Person im gegenständlichen Fall unzulässig sei.
6.
Da gegenständlich eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen vorliegt und die von der Datenschutzstelle ausgesprochene Empfehlung sich entsprechend nicht auf eine konkrete betroffene Person bezieht, ist für den Verwaltungsgerichtshof kein Grund für eine Offenlegung der Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber der Beschwerdeführerin zu 2. zu erkennen. Somit war die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 zu beheben und die Verwaltungssache an die Beschwerdekommission zurückzuleiten. Diese hat sich im weiteren Verfahrensgang materiell mit der Beschwerde der Beschwerdeführerin zu 2. vom 19. September 2019 auseinanderzusetzen.
Dem Antrag der Datenschutzstelle, der auf eine materielle Enderledigung der gegenständlichen Rechtssache hinausläuft, konnte nicht entsprochen werden, da die Beschwerdekommission für Verwaltungsangelegenheiten sich noch nicht materiell mit dem Beschwerdevorbringen vom 19. September 2019 befasst hat und eine Enderledigung durch den Verwaltungsgerichtshof  zu einer unzulässigen Verkürzung des Instanzenzuges führen würde.
7.
Somit ist die Datenschutzstelle mit ihrer Beschwerde vom 23. April 2021 gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 im Ergebnis durchgedrungen und die Beschwerdeführerin zu 2. ist mit ihrem Antrag in der Gegenäusserung vom 21. Mai 2021 unterlegen. Somit trägt die Beschwerdeführerin zu 2. die Kosten des Beschwerdeverfahrens zu VGH 2021/32. Die in der Gegenäusserung verzeichneten Parteikosten in Höhe von CHF 1'970.39 können ihr nicht zugesprochen werden (Art. 10 Abs. 4 GGG iVm. Art. 41 Abs. 1 LVG iVm. Art. 36 Abs. 1 LVG).
8.
Zu VGH 2021/30
Die Beschwerdeführerin zu 2. erklärt, mit ihrer Beschwerde vom 21. April 2021 die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 vollumfänglich zu bekämpfen. In ihrer Beschwerde vom 19. September 2019 an die Beschwerdekommission für Verwaltungsangelegenheiten rügte die Beschwerdeführerin zu 2. unter anderem das anonyme Beschwerdeverfahren vor der Datenschutzstelle (Ziff. 6 der Beschwerde vom 19. September 2019). Die Beschwerdekommission für Verwaltungsangelegenheiten ist dieser Rüge gefolgt und hat die Verwaltungssache an die Datenschutzstelle zurückverwiesen. Diese habe das Verfahren neu durchzuführen und die Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber der Beschwerdeführerin zu 2. als Verfahrenspartei offenzulegen.
Die Beschwerdeführerin zu 2. bringt weder in ihrer Beschwerde an die Beschwerdekommission für Verwaltungsangelegenheiten noch in ihrer Beschwerde an den Verwaltungsgerichtshof vor, dass die Identität der betroffenen Person der Beschwerdeführerin zu 2. von der Beschwerdekommission für Verwaltungsangelegenheiten und nicht von der Datenschutzstelle offenzulegen sei. Somit ist die Beschwerdeführerin zu 2. durch die Aufhebung der Verfügung der Datenschutzstelle und der Zurückverweisung nicht benachteiligt, weshalb es ihr zur Bekämpfung der Spruchpunkte 1. und 2. der Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten an einer Beschwer und einem aktuellen Rechtsschutzinteresse mangelt. Gleiches gilt auch für den Spruchpunkt 3., wonach die Verfahrenskosten beim Land verbleiben.
In der Gegenäusserung vom 21. Mai 2021 führt die Beschwerdeführerin zu 2. sodann selbst aus, Spruchpunkt 1. der angefochtenen Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten hinsichtlich der Zurückverweisung an die Datenschutzstelle sei zuzustimmen. Somit ist die Beschwerde vom 21. April 2021, soweit sie die Spruchpunkte 1. bis 3. der angefochtenen Entscheidung betrifft, zurückzuweisen.
Der Vollständigkeit halber ist zu erwähnen, dass der Verwaltungsgerichtshof dem unter Ziff. 1 der Beschwerde vom 21. April 2021 erstatteten Vorbringen nicht folgt. Im Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten kommt der Datenschutzstelle die Rolle des Beschwerdegegners zu (Art. 78 Abs. 3 DSGVO), weshalb ihr die Beschwerde des jeweiligen Beschwerdeführers zur Äusserung zuzustellen ist.
Die Beschwerdeführerin zu 2. ist einzig hinsichtlich Spruchpunkt 4. bezüglich den Parteikosten benachteiligt (Ziff. 2 der Beschwerde vom 21. April 2021). Die Beschwerdekommission hat keine Parteikosten zugesprochen und in der Begründung lediglich auf das Urteil des EFTA-Gerichtshofs vom 10. Dezember 2020 verwiesen.
Wie bereits ausgeführt, handelt es sich beim Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten um ein kontradiktorisches Verfahren, in welchem dem Verantwortlichen die Rolle des Beschwerdeführers und der Datenschutzstelle die Rolle des Beschwerdegegners zukommt. Die betroffene Person kann sich an diesem Rechtsmittelverfahren als interessierte Drittpartei beteiligen. Obsiegt der Beschwerdeführer im Rechtsmittelverfahren, hat ihm das Land seine Parteikosten zu ersetzen. Spruchpunkt 4. der angefochtenen Entscheidung, wonach keine Parteikosten zugesprochen werden, ist somit nicht richtig. Entweder hätte die Beschwerdekommission der Beschwerdeführerin zu 2. Parteikosten zusprechen oder die Kostenentscheidung aufgrund der Zurückverweisungsentscheidung dem weiteren Verfahren vorbehalten müssen.
Da jedoch durch die Entscheidung zu VGH 2021/32 die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten zur Gänze aufgehoben und an die Beschwerdekommission zurückverwiesen wird, ist die Beschwerdeführerin zu 2. hinsichtlich ihrer Kostenrüge auf diese Entscheidung zu verweisen. Die Beschwerdekommission wird sich im weiteren Verfahrensgang materiell mit der Beschwerde der Beschwerdeführerin zu 2. vom 19. September 2019 zu befassen haben. Dringt sie mit ihrer Beschwerde vom 19. September 2019 durch, sind ihr die Parteikosten zu ersetzen.
9.
Da die Beschwerdeführerin zu 2. mit ihrer Beschwerde vom 21. April 2021 zu VGH 2021/30 nicht durchgedrungen ist, hat sie die Verfahrenskosten zu bezahlen. Diese wurden von der Beschwerdeführerin zu 2. bereits entrichtet. Die verzeichneten Parteikosten können ihr nicht zugesprochen werden (Art. 41 Abs. 1 iVm. Art. 36 Abs. 1 LVG).