VGH 2021/031
VGH 2021/029
Zurück Druckansicht Navigation anzeigen
03.09.2021
VGH
Urteil
Sprüche: tw. stattgegeben / ersatzlos aufgehoben / formell
VGH 2021/031
VGH 2021/029
Der Verwaltungsgerichtshof des Fürstentums Liechtenstein, Vaduz, hat durch die
Richterlic.iur. Andreas Batliner, Präsident
lic.iur. Marion Seeger
lic.iur. Adrian Rufener
Dr.iur. Esther Schneider
lic.iur. Daniel Tschikof
in der Beschwerdesache der
Beschwerdeführerin zu 1.:Datenschutzstelle Liechtenstein
Städtle 38
Postfach 684
9490 Vaduz
Beschwerdeführerin zu 2.:
A



vertreten durch:

***
wegenDatenschutz
gegenEntscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021, VBK 2019/58 ON 49
in der nicht-öffentlichen Sitzung vom 3. September 2021
entschieden:
1.Die Beschwerdeverfahren zu VGH 2021/29 und VGH 2021/31 werden zur gemeinsamen Verhandlung und Entscheidung verbunden. Führender Akt ist jener zu VGH 2021/31.
2.Der Beschwerde der Datenschutzstelle vom 23. April 2021 zu VGH 2021/31 wird insoweit stattgegeben, als die angefochtene Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021, VBK 2019/58 ON 49, aufgehoben und die Verwaltungssache zur neuerlichen Entscheidung an die Beschwerdekommission für Verwaltungsangelegenheiten zurückgeleitet wird.
3.Die Kosten des Verfahrens vor dem Verwaltungsgerichtshof zu VGH 2021/31 in Höhe von CHF 630.00 hat die Beschwerdeführerin zu 2. binnen 14 Tagen bei sonstigem Zwang an das Land Liechtenstein zu bezahlen (Zahlungsinformationen am Schluss dieses Urteils).
4.Parteikosten werden der Beschwerdeführerin zu 2. für das Beschwerdeverfahren zu VGH 2021/31 keine zugesprochen.
5.Die Beschwerde der Beschwerdeführerin zu 2. vom 21. April 2021 zu VGH 2021/29 gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021, VBK 2019/58 ON 49, wird, soweit sie die Spruchpunkte 1. bis 3. der angefochtenen Entscheidung betrifft, zurückgewiesen.
Soweit die Beschwerde der Beschwerdeführerin zu 2. vom 21. April 2021 den Spruchpunkt 4. der angefochtenen Entscheidung betrifft, ist auf die gegenständliche Entscheidung zu verweisen.
6.Die Kosten des Verfahrens vor dem Verwaltungsgerichtshof zu VGH 2021/29 hat die Beschwerdeführerin zu 2. zu tragen.
7.Parteikosten werden der Beschwerdeführerin zu 2. für das Beschwerdeverfahren zu VGH 2021/29 keine zugesprochen.
TATBESTAND
1.
Am 16. September 2018 hat die durch die Datenverarbeitung betroffene Person gegen die nunmehrige Beschwerdeführerin zu 2. (Verantwortliche) bei einer deutschen Aufsichtsbehörde eine Beschwerde nach Art. 77 DSGVO eingebracht.
Die betroffene Person bringt mit ihrer Beschwerde vor, sie habe personalisierte Werbung erhalten, zuletzt von der Firma C. Die betroffene Person habe daraufhin eine Beauskunftung von der Firma C verlangt. Mit Schreiben vom 26. Juni 2018 sei die Firma C diesem Gesuch nachgekommen und habe mitgeteilt, dass sie mit der Adressenbeschaffung die Firma D oder die Beschwerdeführerin zu 2. beauftragt habe. Aufgrund dieses Auskunftsschreibens der Firma C habe die betroffene Person auch ein Auskunftsschreiben an die Beschwerdeführerin zu 2. gerichtet. Mit Schreiben von Mitte Juli 2018 sei die Beschwerdeführerin zu 2. diesem Auskunftsersuchen nachgekommen. Die Beschwerdeführerin zu 2. habe ausgeführt, dass die personenbezogenen Daten der betroffenen Person aus einem Gewinnspiel herrührten, an dem die betroffene Person am 23. September 2016 teilgenommen habe. Die betroffene Person habe dabei ihr Einverständnis gegeben, dass die Beschwerdeführerin zu 2. und ihre Sponsoren sie postalisch oder per E-Mail über Angebote informieren dürften. Die Beschwerdeführerin zu 2. habe die Daten der betroffenen Person zu Marketingzwecken unter anderem an die Firma D weitergegeben. Nach Erhalt dieses Auskunftsschreibens der Beschwerdeführerin zu 2. habe sich die betroffene Person nochmals zweimal per E-Mail an die Beschwerdeführerin zu 2. gewandt. Beide E-Mails seien unbeantwortet geblieben.
Als grenzüberschreitende Beschwerde wurde sie am 8. März 2019 in das IMI System hochgeladen.
Am 8. März 2019 hat die Datenschutzstelle (Beschwerdeführerin zu 1.) im IMI System ihre Zuständigkeit als federführende Behörde akzeptiert.
Mit Schreiben vom 4. April 2019 brachte die Datenschutzstelle dem Rechtsvertreter der Beschwerdeführerin zu 2. die Beschwerde vom 16. September 2018 zur Kenntnis und räumte ihm die Möglichkeit zu Äusserung ein.
Mit Schriftsatz vom 17. April 2019 äusserte sich die Beschwerdeführerin zu 2. durch ihren Rechtsvertreter im Rahmen des vor der Datenschutzstelle geführten Beschwerdeverfahrens.
Im Rahmen des Beschwerdeverfahrens ersuchte die Datenschutzstelle im April 2019 die betroffene Person, bei der Firma C nachzufragen, ob diese die personenbezogenen Daten von der Beschwerdeführerin zu 2. oder der Firma D erhalten habe.
Mit E-Mail vom 5. Mai 2019 wandte sich die betroffene Person an die Firma C um zu klären, von wem diese die personenbezogenen Daten erhalten hat. Mit E-Mail vom 6. Mai 2019 teilte die Firma C mit, dass sie als erster Ansprechpartner die Firma D zur Beschaffung der Adressen für die Werbeaktion beauftragt habe.
Mit Schreiben vom 15. Mai 2019 und 20. Mai 2019 übermittelte die Datenschutzstelle dem Rechtsvertreter der Beschwerdeführerin zu 2. sowohl das Auskunftsschreiben der Firma C vom 26. Juni 2018, wie auch das E-Mail der Firma C vom 6. Mai 2019 und räumte ihm die Möglichkeit zur Äusserung ein. Ebenfalls ersuchte die Datenschutzstelle den Rechtsvertreter der Beschwerdeführerin zu 2., ihr den Vertrag zwischen der Beschwerdeführerin zu 2. und der Firma D vorzulegen.
Der Rechtsvertreter der Beschwerdeführerin zu 2. teilte mit Schreiben vom 31. Mai 2019 mit, dass er die Beantwortung der Anfrage der Datenschutzstelle von der Klärung bestimmter Vorfragen abhängig mache. Der Rechtsvertreter der Beschwerdeführerin zu 2. habe diese Vorfragen bereits in seiner Äusserung vom 17. April 2019 dargelegt.
Im Rahmen der Untersuchung kam die Datenschutzstelle zum Schluss, dass eine Datenverarbeitung vorliegt, die von der Beschwerdeführerin zu 2. standardmässig getätigt wird. Mittels Gewinnspiels werden Namen, Postadressen, E-Mail-Adressen und Geburtsdaten von Gewinnspielteilnehmern erhoben, um diese Daten in der Folge an weitere Unternehmen zu Marketingzwecken weiterzugeben.
Am 11. Juni 2019 hat die Datenschutzstelle der deutschen Aufsichtsbehörde den Verfügungsentwurf im gegenständlichen Beschwerdeverfahren zur Stellungnahme übermittelt. Am 1. Juli 2019 hat die beteiligte deutsche Behörde der Datenschutzstelle mitgeteilt, mit dem Entwurf einverstanden zu sein.
2.
Mit Verfügung vom 18. Juli 2019 entschied die Datenschutzstelle über die Beschwerde vom 16. September 2018 wie folgt:
1.
Der Beschwerde betreffend Verletzung von Art. 5 Abs. 1 lit. a iV.m. Art. 6 Abs. 1 DSGVO wird stattgegeben und festgestellt, dass nicht für alle Verarbeitungsvorgänge von personenbezogenen Daten des Beschwerdeführers eine Rechtsgrundlage gemäss Art. 6 Abs. 1 DSGVO vorliegt und damit die Verarbeitung der personenbezogenen Daten durch die Beschwerdegegnerin teilweise gegen Art. 5 Abs. 1 lit. a i.V.m. Art. 6 Abs. 1 DSGVO verstossen hat.
2.
Es wird amtswegig festgestellt, dass die Einwilligungserklärung im Rahmen des Gewinnspiels nicht die Bedingungen für eine rechtsgültige Einwilligung gemäss Art. 7 DSGVO erfüllt. Die Beschwerdegegnerin wird angewiesen, die Einwilligungserklärung für Gewinnspiele rechtskonform entsprechend der Legaldefinition von Art. 4 Ziff. 11 DSGVO Und gemäss Art. 7 DSGVO zwei Stellen ebenso wie die "Datenschutzbestimmungen" und " Teilnahmebedingungen" diesbezüglich zu überarbeiten und die überarbeitete Einwilligungserklärung und überarbeiteten Datenschutzbestimmungen und Teilnahmebedingungen der Datenschutzstelle binnen 3 Monaten ab Zustellung der Verfügung vorzulegen.
3.
Es wird amtswegig festgestellt, dass die Beauskunftung gemäss Art. 15 DSGVO durch das Auskunftsschreiben der Beschwerdegegnerin an den Beschwerdeführer datierend Mitte Juli 2018 in den Punkten 2., 4. und 5. des Auskunftsschreibens mangelhaft ist.
4.
Der Beschwerdegegnerin wird bezüglich Pkt. 7. des Auskunftsschreibens empfohlen zu spezifizieren, bei welcher Datenschutzaufsichtsbehörde der Beschwerdeführer seine Beschwerde einbringen kann.
5.
Es wird amtswegig festgestellt, dass eine Verletzung von Art. 5 Abs. 1 Bst. f iV.m. Art. 32 DSGVO durch die Beschwerdegegnerin vorliegt. Die Beschwerdegegnerin wird in Bezug auf Art. 32 DSGVO angewiesen, dafür zu sorgen,
a.
dass zusätzlich zum Double-Opt-In Verfahren weitere Massnahmen gemäss Art. 32 DSGVO implementiert werden, um das Double-Opt-In Verfahren gegen Manipulationen durch Unbefugte zu schützen;
b.
dass die unbefugte Eingabe von Daten zurückverfolgt werden kann und die Urheber bzw. die Quelle der Manipulation identifiziert werden können.
6.
Die Beschwerdegegnerin wird angewiesen, die gemäss Pkt. 5 zu implementierenden technischen und organisatorischen Massnahmen binnen 3 Monaten ab Zustellung der Verfügung der Datenschutzstelle anzuzeigen und diese detailliert darzulegen.
7.
Die in der Gegenäusserung des Rechtsvertreters der Beschwerdegegnerin vorgebrachten Stellungnahmen und Anträge betreffend
1.
Zustellgesetz,
2.
Fristenlauf,
3.
Rechtsmittelbelehrung,
4.
rechtliches Gehör sowie
5.
Antrag auf Kostenersatz
werden vollumfänglich abgewiesen.
3.
Mit Schriftsatz vom 19. September 2019 erhob die Beschwerdeführerin zu 2. gegen die Verfügung der Datenschutzstelle vom 18. Juli 2019 das Rechtsmittel der Beschwerde an die Beschwerdekommission für Verwaltungsangelegenheiten.
4.
Mit Beschluss vom 18. Dezember 2019 zu VBK 2019/58 ON 13 hat die Beschwerdekommission für Verwaltungsangelegenheiten das Beschwerdeverfahren unterbrochen und dem EFTA-Gerichtshof drei Fragen zur Gutachtenserstattung vorgelegt. Die Fragen betreffen zum einen das erstinstanzliche Beschwerdeverfahren nach Art. 77 DSGVO vor der Datenschutzstelle und zum anderen die daran anschliessenden allfälligen Rechtsmittelverfahren.
5.
Mit Urteil vom 10. Dezember 2020 zu E-11/19 und E-12/19 beantwortete der EFTA-Gerichtshof die ihm vorgelegten Fragen.
6.
Mit Entscheidung vom 24. März 2021 zu VBK 2019/58 ON 49 entschied die Beschwerdekommission für Verwaltungsangelegenheiten wie folgt:
1.
Der Beschwerde vom 19.09.2019 gegen die Verfügung der Datenschutzstelle vom 18.07.2019 (...) wird insoweit stattgegeben, als die angefochtene Verfügung der Datenschutzstelle vom 18.07.2019 (...) aufgehoben und die gegenständliche Verwaltungssache zu neuerlichen Durchführung des Verfahrens zu neuerlichen Entscheidung an die Datenschutzstelle zurückgeleitet wird.
2.
Die Wirkung der Aufhebung und der Auftrag an die Datenschutzstelle treten erst nach Rechtskraft dieser Entscheidung ein (Rechtskraftvorbehalt).
3.
Die Kosten des Verfahrens verbleiben beim Land Liechtenstein.
4.
Parteikosten werden keine zugesprochen.
7.
Mit Schriftsatz vom 21. April 2021 erhob die Beschwerdeführerin zu 2. durch ihren Rechtsvertreter das Rechtsmittel der Beschwerde gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 an den Verwaltungsgerichtshof.
Die Beschwerdeführerin zu 2. beantragte, der Verwaltungsgerichtshof wolle die angefochtene Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten aufheben. In eventu wolle der Verwaltungsgerichtshof der Beschwerdekommission für Verwaltungsangelegenheiten auftragen, über das EFTA-Gerichtshof-Gutachten eine Teilentscheidung zu erlassen und die Entscheidung zurückverweisen. Jedenfalls wolle der Verwaltungsgerichtshof das Land Liechtenstein verpflichten, der Beschwerdeführerin zu 2. die verzeichneten Parteikosten zu ersetzen.
8.
Mit Schriftsatz vom 23. April 2021 erhob auch die Datenschutzstelle das Rechtsmittel der Beschwerde gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 an den Verwaltungsgerichtshof.
Die Datenschutzstelle beantragte, der Verwaltungsgerichtshof wolle die angefochtene Entscheidung in ihrem Spruchpunkt 1. aufheben und dahingehend abändern, dass die Beschwerde vom 19. September 2019 gegen die Verfügung der Datenschutzstelle vom 18. Juli 2019 abgewiesen werde.
9.
Am 21. Mai 2021 äusserte sich die Beschwerdeführerin zu 2. zur Beschwerde der Datenschutzstelle. Die Beschwerdeführerin zu 2. beantragte, der Verwaltungsgerichtshof wolle die Beschwerde der Datenschutzstelle zurückweisen.
10.
Der Verwaltungsgerichtshof zog die Vorakten der Datenschutzstelle und der Beschwerdekommission für Verwaltungsangelegenheiten bei, erörterte in seiner nicht-öffentlichen Sitzung vom 3. September 2021 die Sach- und Rechtslage und entschied wie aus dem Spruch ersichtlich.
ENTSCHEIDUNGSGRÜNDE
1.
Das gegenständliche Verfahren wurde durch eine Beschwerde nach Art. 77 DSGVO eingeleitet. Im Rahmen des erstinstanzlichen Beschwerdeverfahrens vor der Datenschutzstelle kam der betroffenen Person die Rolle des Beschwerdeführers und der Verantwortlichen und nunmehrigen Beschwerdeführerin zu 2. die Rolle des Beschwerdegegners zu.
Das Beschwerdeverfahren wurde mit Verfügung der Datenschutzstelle vom 18. Juli 2019 erstinstanzlich abgeschlossen. Die Datenschutzstelle gab der Beschwerde nach Art. 77 DSGVO statt, stellte Datenschutzverletzungen fest und verfügte Abhilfemassnahmen gegen den Verantwortlichen.
Im anschliessenden Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten kam dem Verantwortlichen die Rolle des Beschwerdeführers zu. Beschwerdegegner war nach Art. 78 Abs. 3 DSGVO die Datenschutzstelle. Die betroffene Person konnte sich dem Rechtsmittelverfahren als interessierte Drittpartei anschliessen, was sie jedoch nicht getan hat.
Die Beschwerdekommission für Verwaltungsangelegenheiten hat mit Entscheidung vom 24. März 2021 der Beschwerde des Verantwortlichen insoweit stattgegeben, als die angefochtene Verfügung Datenschutzstelle aufgehoben und die Verwaltungssache an diese zurückverwiesen wurde.
Durch die Aufhebung der erstinstanzlichen Verfügung der Datenschutzstelle und der Zurückverweisung ist die Datenschutzstelle beschwert. Die Datenschutzstelle erhob mit Schriftsatz vom 23. April 2021 Beschwerde gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 an den Verwaltungsgerichtshof. Die Beschwerdelegitimation der Datenschutzstelle ist in Art. 20 Abs. 2 DSG verankert. Nach dieser Bestimmung hat die Datenschutzstelle das Recht, gegen Entscheidungen und Verfügungen der Beschwerdekommission für Verwaltungsangelegenheiten das Rechtsmittel der Beschwerde an den Verwaltungsgerichtshof zu erheben. Das Rechtsmittelverfahren vor dem Verwaltungsgerichtshof trägt das Aktenzeichen VGH 2021/31. 
Im Rechtsmittelverfahren vor dem Verwaltungsgerichtshof zu VGH 2021/31 kommt der Datenschutzstelle die Rolle des Beschwerdeführers zu. Da sich die betroffene Person dem Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten nicht als Partei angeschlossen hat, kann sie sich dem Rechtsmittelverfahren vor dem Verwaltungsgerichtshof auch nicht als interessierte Partei anschliessen. Dem Verantwortlichen kommt die Rolle des Beschwerdegegners zu. Er hat denn auch zur Beschwerde der Datenschutzstelle vom 23. April 2021 eine Gegenäusserung erstattet, mit welcher er die Zurückweisung der Beschwerde der Datenschutzstelle vom 23. April 2021 beantragt.

Da auch der Verantwortliche und nunmehrige Beschwerdeführerin zu 2. gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 Beschwerde an den Verwaltungsgerichtshof erhob (VGH 2021/29), hat der Verwaltungsgerichtshof die beiden Beschwerdeverfahren zu VGH 2021/29 und VGH 2021/31 zur gemeinsamen Verhandlung und Entscheidung verbunden. Führender Akt ist jener zu VGH 2021/31.
2.
Zu VGH 2021/31
Die Beschwerdekommission für Verwaltungsangelegenheiten begründet ihre Entscheidung vom 24. März 2021 damit, dass die Beschwerdeführerin zu 2. als Verantwortliche durch die Nichtoffenlegung der Identität der betroffenen Person in ihrer Fähigkeit, von ihren Verteidigungsrechten Gebrauch zu machen, eingeschränkt sei. Gemäss Urteil des EFTA-Gerichtshofs vom 10. Dezember 2020 sei bei der Beurteilung, ob es erforderlich sei, die Identität der betroffenen Person gegenüber dem Verantwortlichen offenzulegen, eine Abwägung der Interessen der betroffenen Person und jener des Verantwortlichen vorzunehmen, wobei auf ein Gleichgewicht zwischen den Interessen geachtet werden müsse. Aus den der Beschwerdekommission für Verwaltungsangelegenheiten vorliegenden Akten sei kein durch die Datenschutzstelle festgestelltes schutzwürdiges Interesse der betroffenen Person auf Zurückhalten ihrer Identität ersichtlich.
Die Datenschutzstelle begründet ihre Beschwerde vom 23. April 2021 damit, dass die gegenständlichen Beschwerdegründe nach Art. 77  DSGVO nicht in der Person einer betroffenen Person verankert seien. Im gegenständlichen Fall sei es um die Beurteilung der Einwilligungserklärung, des Auskunftsschreibens sowie der implementierten technischen und organisatorischen Massnahmen der Beschwerdeführerin zu 2. gegangen. Diese Beurteilung sei völlig losgelöst von einer konkreten betroffenen Person. Die Einwilligungserklärung, das Auskunftsschreiben sowie die implementierten technischen und organisatorischen Massnahmen der Beschwerdeführerin zu 2. beträffen eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen. Dies zeige sich auch dadurch, dass seit 25. Mai 2018 bei der Datenschutzstelle insgesamt zehn Beschwerden gegen die Beschwerdeführerin zu 2. eingegangen seien, welche allesamt eine identische Datenverarbeitung beträffen, nämlich die Erhebung von personenbezogenen Daten von natürlichen Personen mittels Gewinnspiels mit dem Zweck, diese Daten an Unternehmen zu verkaufen, welche die Daten wiederum für Marketingzwecke verwendeten.
Diesem Vorbringen der Datenschutzstelle kommt Berechtigung zu.
Zwar stellte die Datenschutzstelle in Spruchpunkt 1. der nunmehr angefochtenen Verfügung vom 18. Juli 2019 fest, dass nicht für alle Verarbeitungsvorgänge von personenbezogenen Daten eine Rechtsgrundlage gemäss Art. 6 Abs. 1 DSGVO vorliege und damit die Verarbeitung der personenbezogenen Daten durch die Beschwerdeführerin zu 2. teilweise gegen Art. 5 Abs. 1 Bst. a i.V.m. Art. 6 Abs. 1 DSGVO verstossen habe. Obwohl Spruchpunkt 1. sich konkret auf den Beschwerdeführer nach Art. 77 DSGVO bezieht, ist die festgestellte Datenschutzverletzung nicht in der Person einer konkret betroffenen Person begründet, sondern hat eine systemische Ursache. Dies ergibt sich ohne weiteres aus der in Spruchpunkt 2. der Verfügung vom 18. Juli 2019 getroffenen Feststellung, dass die Einwilligungserklärung im Rahmen des Gewinnspiels nicht die Bedingungen für eine rechtsgültige Einwilligung gemäss Art. 7 DSGVO erfülle.
Die Einwilligungserklärung lautete allgemein und unabhängig von einer konkreten betroffenen Person wie folgt: Ja, ich bin damit einverstanden, dass der Veranstalter, A und dessen Sponsoren mich postalisch oder per E-Mail über Angebote informieren können. Das Einverständnis kann ich jederzeit kostenlos widerrufen.
Gemäss Art. 5 Abs. 1 Bst. a DSGVO müssen personenbezogene Daten unter anderem auf rechtmässige Weise verarbeitet werden. Die Verarbeitung ist rechtmässig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat (Art. 6 Abs. 1 Bst. a DSGVO). Art. 7 DSGVO legt die Bedingungen für eine rechtsgültige Einwilligung fest.
Wenn nun die Datenschutzstelle feststellt, dass die Einwilligungserklärung die Bedingungen nach Art. 7 DSGVO nicht erfüllt, liegt für jede darauf basierende Datenverarbeitung keine rechtsgenügliche Einwilligung und somit keine Rechtfertigung nach Art. 6 Abs. 1 Bst. a DSGVO vor und erfolgt die Verarbeitung folglich nicht auf rechtmässige Weise im Sinne des Art. 5 Abs. 1 Bst. a DSGVO. Diese Feststellung gilt unabhängig von einer konkreten betroffenen Person und liegt in der nicht rechtsgültigen Einwilligungserklärung begründet. Die inhaltlich zusammenhängenden Spruchpunkte 1. und 2. der Verfügung der Datenschutzstelle vom 18. Juli 2019 betreffen somit eine Datenschutzverletzung, die unabhängig von einer konkreten betroffenen Person besteht und die generelle Einwilligungserklärung betrifft.
Wenn die Datenschutzstelle in den Spruchpunkten 3. und 4. die Mangelhaftigkeit des Auskunftsschreibens der Beschwerdeführerin zu 2. feststellt, erfolgt auch diese Feststellung losgelöst von einer konkreten betroffenen Person. Beim bemängelten Auskunftsschreiben der Beschwerdeführerin zu 2. handelt es sich um ein standardisiertes Schreiben, welches an sämtliche tatsächlichen und vermeintlichen Gewinnspielteilnehmer, die Auskunft verlangen, gesandt wird. 
In den Spruchpunkten 5. und 6. stellt die Datenschutzstelle fest, dass die von der Beschwerdeführerin zu 2. implementierten technischen und organisatorischen Massnahmen nicht den Anforderungen der Datenschutzgrundverordnung entsprechen. Auch diese Feststellung betrifft interne, die Datenverarbeitung betreffende Prozesse der Beschwerdeführerin zu 2., die keinen Zusammenhang zu einer konkreten von der Datenverarbeitung betroffenen Person haben.
Die Datenschutzstelle bemängelte somit die Einwilligungserklärung, das Auskunftsschreiben sowie die implementierten technischen und organisatorischen Massnahmen der Beschwerdeführer zu 2. und verfügte hierauf bezogene Abhilfemassnahmen. Die Beschwerdeführerin zu 2. wurde angewiesen, die Einwilligungserklärung für Gewinnspiele rechtskonform zu erstellen und die Datenschutzbestimmungen und Teilnahmebedingungen diesbezüglich zu überarbeiten. Hinsichtlich des Auskunftsschreibens sprach die Datenschutzstelle eine Empfehlung aus und hinsichtlich den technischen und organisatorischen Massnahmen wurde die Beschwerdeführerin zu 2. angewiesen, dafür zu sorgen, dass die Massnahmen den Vorgaben der Datenschutzgrundverordnung entsprechen. All diese Abhilfemassnahmen bestehen unabhängig von einer konkreten betroffenen Person.
Für den Verwaltungsgerichtshof ist nicht zu erkennen, inwiefern bei diesem Ergebnis die Identität der betroffenen Person und somit des Beschwerdeführers nach Art. 77 DSGVO für die Beschwerdeführerin zu 2. relevant sein soll. Vielmehr werden generelle Mängel aufgezeigt, die sich auf jede Datenverarbeitung auswirken.
Für eine Verteidigung gegen diese getroffenen Feststellungen und verfügten Abhilfemassnahmen muss der Beschwerdeführerin zu 2. die Identität des konkreten Beschwerdeführers nach Art. 77 DSGVO nicht bekannt sein. Es obliegt dem Beschwerdeführer zu 2., in einem Rechtsmittelverfahren darzutun, dass die Einwilligungserklärung, das Auskunftsschreiben und die implementierten technischen und organisatorischen Massnahmen den Anforderungen der Datenschutzgrundverordnung und der weiteren Datenschutzgesetzgebung entsprechen. Erfüllt insbesondere die Einwilligungserklärung die Bedingungen nach Art. 7 DSGVO, besteht für die darauf basierenden Verarbeitungsvorgänge eine Rechtsgrundlage und erweist sich die Datenverarbeitung nicht im Widerspruch zu Art. 5 Abs. 1 Bst. a DSGVO.
Für den Verwaltungsgerichtshof ist gegenständlich kein Grund ersichtlich, warum die Datenschutzstelle gegenüber der Beschwerdeführerin zu 2. als Verantwortlicher die Identität des Beschwerdeführers nach Art. 77 DSGVO (betroffene Person) offenlegen muss. Die von der Datenschutzstelle festgestellten Datenschutzverletzungen betreffen allgemeine Prozesse, Erklärungen und standardisierte Auskunftsschreiben der Beschwerdeführerin zu 2., die sich auf jede Datenverarbeitung, losgelöst von einer konkret betroffenen Person, auswirken. Entsprechend stehen die verfügten Abhilfemassnahmen auch nicht im Verhältnis zu einer konkreten betroffenen Person. 
Für eine wirksame Verteidigung gegen die Verfügung der Datenschutzstelle vom 18. Juli 2019 muss der Beschwerdeführerin zu 2. nur bekannt sein, dass es sich gegenständlich um das Gewinnspiel "***" handelt. Bei der diesem Gewinnspiel zugrunde liegenden Datenverarbeitung handelt es sich um eine standardisierte, stets gleichbleibende Datenverarbeitung und um standardisierte, implementierte Prozessabläufe, die für eine Vielzahl von Personen in identischer Weise erfolgten. Ist der Beschwerdeführerin zu 2. das in Frage stehende Gewinnspiel bekannt, kann sie die zugrunde liegende Datenverarbeitung auch ohne Kenntnis der Identität des Beschwerdeführers nach Art. 77 DSGVO prüfen und sich gegen die Verfügung der Datenschutzstelle wirksam verteidigen. Gegenteiliges bringt die Beschwerdeführerin zu 2. auch in ihrer Beschwerde vom 19. September 2019 an die Beschwerdekommission für Verwaltungsangelegenheiten, in ihrer Beschwerde vom 21. April 2021 an den Verwaltungsgerichtshof und in ihrer Äusserung vom 21. Mai 2021 nicht vor.
Auch liegen der Beschwerdeführerin zu 2. als Verantwortlicher alle Informationen vor, um beurteilen zu können, ob die DSGVO auf den gegenständlichen Sachverhalt in zeitlicher Hinsicht anwendbar ist. Es ist bekannt, dass der massgebliche Datenverarbeitungsvorgang am 23. September 2016 durch die Datengenerierung begonnen und im Juli 2018 durch die Löschung der Daten der betroffenen Person geendet hat. Dies ergibt sich aus dem im Akt der Datenschutzstelle liegenden geschwärzten Permission Nachweis. Ebenfalls ist bekannt, dass die Beschwerde nach Art. 77 DSGVO am 16. September 2018 erhoben wurde.
3.
Die Beschwerdekommission für Verwaltungsangelegenheiten begründet die Unzulässigkeit des Zurückhaltens der Identität der betroffenen Person damit, dass es der Beschwerdeführerin zu 2. nicht möglich sei, sich zur Behauptung, auf Nachfragen der betroffenen Person nicht reagiert zu haben, zu äussern.
Die Datenschutzstelle hat in der Verfügung vom 18. Juli 2019 bei der Darstellung des Verfahrensgangs ausgeführt, die Beschwerdeführerin zu 2. habe zwei E-Mails der betroffenen Person nicht beantwortet. Bei dieser Ausführung handelt es sich nicht um eine von der Datenschutzstelle getroffene Feststellung, die rechtlich zu würdigen ist. Die Datenschutzstelle traf Feststellungen zu Einwilligungserklärung, zum Auskunftschreiben sowie zu den implementierten technischen und organisatorischen Massnahmen der Beschwerdeführerin zu 2. und hat diese in der Folge rechtlich gewürdigt. Die von der Beschwerdekommission für Verwaltungsangelegenheiten angeführte Ausführung der Datenschutzstelle betrifft einzig die Darstellung des Verfahrensgangs und ist somit nicht entscheidwesentlich.
Die Beschwerdekommission für Verwaltungsangelegenheiten führt weiter aus, aufgrund der geschwärzten Stellen sei es für die Beschwerdeführerin zu 2. nicht möglich zu überprüfen, ob die Beschwerde nach Art. 77 DSGVO mit einer anderen Beschwerde übereinstimme.
Diese Argumentation ist nicht stichhaltig, führt die Beschwerdeführerin zu 2. in ihrer Gegenäusserung vom 21. Mai 2021 doch selbst aus, dass es sich bei den vorliegenden Verfahren um gleichgelagerte Fälle handle.
Eine weitere Begründung für die Unzulässigkeit der Nichtoffenlegung der Identität des Beschwerdeführers nach Art. 77 DSGVO liefert die Beschwerdekommission für Verwaltungsangelegenheiten nicht. Sie führt lediglich aus, gestützt auf die Ausführungen des EFTA-Gerichtshofs zur Auffassung gelangt zu sein, dass die Beschwerdeführerin zu 2. durch die Nichtoffenlegung in ihrer Fähigkeit, von den Verteidigungsrechten Gebrauch zu machen, eingeschränkt werde. Die Ausführungen der Datenschutzstelle in ihrer Stellungnahme vom 23. Dezember 2019 beinhalteten keine ausreichende Begründung für das Zurückhalten der Identität des Beschwerdeführers nach Art. 77 DSGVO. Mit diesen Ausführungen liefert die Beschwerdekommission für Verwaltungsangelegenheiten keine Begründung, warum die Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber der Beschwerdeführerin zu 2. offenzulegen ist.
Entgegen der Ansicht der Beschwerdekommission für Verwaltungsangelegenheiten ist durch die Nichtoffenlegung der Identität der betroffenen Person das Beschwerderecht der Beschwerdeführerin zu 2. nicht beeinträchtigt. Da es sich bei der dem Gewinnspiel zugrunde liegenden Datenverarbeitung um eine standardisierte, in jedem Fall gleich bleibende Datenverarbeitung handelt, muss der Beschwerdeführerin zu 2. die Identität des konkreten Beschwerdeführers nach Art. 77 DSGVO nicht bekannt sein, um sich gegen die die Datenverarbeitung betreffenden Feststellungen und Abhilfemassnahmen der Datenschutzstelle zu wehren. Zudem liegen der Beschwerdeführerin zu 2. alle nötigen Informationen vor, um Zuständigkeits- und Anwendungsbereichsfragen der DSGVO zu beurteilen.
4.
Auch der EFTA-Gerichtshof schliesst in seinem Gutachten vom 10. Dezember 2020 zu E-11/19 und E-12/19 das Zurückhalten der personenbezogenen Daten eines Beschwerdeführers nach Art. 77 DSGVO gegenüber dem Verantwortlichen und Datenverarbeiter nicht aus. Diese Frage sei mit Blick auf die Grundsätze für die Verarbeitung personenbezogener Daten gemäss Art. 5 und 6 DSGVO zu prüfen. Es obliege der zuständigen Stelle, im jeweiligen Einzelfall festzustellen, ob eine Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen erforderlich sei. Zur Beurteilung dieser Frage stellt der EFTA-Gerichtshof gewisse Leitlinien auf. Das Zurückhalten der Identität der betroffenen Person sollte nicht bewilligt werden, wenn dadurch entweder die Erfüllung der Verpflichtungen gemäss der DSGVO oder die Ausübung des Rechts auf wirksamen gerichtlichen Rechtsbehelf des Verantwortlichen behindert würden.
Die Identität der betroffenen Person muss einerseits offengelegt werden, wenn die Weigerung, personenbezogene Daten offenzulegen, die Fähigkeit des Verantwortlichen einschränken würde, von seinen Verteidigungsrechten Gebrauch zu machen. Andererseits ist eine Offenlegung der personenbezogenen Daten der betroffenen Person gegenüber dem Verantwortlichen erforderlich, wenn die angeordneten Abhilfemassnahmen gegenüber dem Verantwortlichen ein unmittelbares Verhältnis zur betroffenen Person aufweisen. Durch die Offenlegung der Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber dem Verantwortlichen wird dieser überhaupt erst in die Lage versetzt, den Anweisungen der Datenschutzbehörde nachzukommen.
Andererseits ist eine Offenlegung der Identität der betroffenen Person nicht nötig, wenn die Untersuchung oder Entscheidung eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen betrifft.
Wie aufgezeigt, stehen die gegenständlich durch die Datenschutzstelle verfügten Abhilfemassnahmen nicht in einem Verhältnis zu einer betroffenen Person, sondern beziehen sich auf allgemeine Datenverarbeitungsprozesse der Beschwerdeführerin zu 2. Diese kann den Abhilfemassnahmen nachkommen, ohne die Identität des Beschwerdeführers nach Art. 77 DSGVO zu kennen. Aus den verfügten Abhilfemassnahmen erfolgt somit keine Pflicht zur Offenlegung der Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber der Beschwerdeführerin zu 2. 
Ebenfalls kann sich die Beschwerdeführerin zu 2. in einem Rechtsmittelverfahren gegen die Feststellungen und verfügten Abhilfemassnahmen der Datenschutzstelle zur Wehr setzen, ohne dass ihr die Identität des Beschwerdeführers nach Art. 77 DSGVO bekannt ist. In einem Rechtsmittelverfahren kann sich die Beschwerdeführerin zu 2. gegen die die Einwilligungserklärung, das Auskunftsschreiben und die implementierten technischen und organisatorischen Massnahmen betreffenden Feststellungen der Datenschutzstelle wehren und muss hierfür nicht wissen, welche natürliche Person die Beschwerde nach Art. 77 DSGVO eingebracht hat. 
Es liegt somit kein Fall vor, in welchem die Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen nach den Anforderungen des EFTA-Gerichtshofs geboten ist. Vielmehr liegt ein Fall einer standardisierten und gleichartigen Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen vor. Dies anerkennt auch die Beschwerdeführerin zu 2. in ihrer Gegenäusserung vom 21. Mai 2021, wonach gleichgelagerte Fälle vorlägen.
Somit ergibt sich auch aus einer Anwendung der Anforderungen gemäss dem Urteil des EFTA-Gerichtshofs vom 10. Dezember 2020, dass im gegenständlichen Fall die Identität der betroffenen Person gegenüber der Beschwerdeführerin zu 2. nicht offenzulegen ist.
5.
Den Ausführungen der Beschwerdeführerin zu 2. in ihrer Gegenäusserung vom 21. Mai 2021 kann nicht gefolgt werden.
5.1.
Die Beschwerdeführerin zu 2. bringt vor, dass im gegenständlichen Beschwerdeverfahren vor dem Verwaltungsgerichtshof dem Verantwortlichen die Rolle des Beschwerdeführers und der betroffenen Person sowie der Datenschutzstelle die Rolle der Beschwerdegegner zukomme.
Aufgrund der Aufhebung der die Beschwerde nach Art. 77 DSGVO stattgebenden Verfügung der Datenschutzstelle vom 18. Juli 2019 ist die Datenschutzstelle durch die angefochtene Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten benachteiligt, weshalb ihr im Beschwerdeverfahren vor dem Verwaltungsgerichtshof nicht die Rolle des Beschwerdegegners, sondern diejenige des Beschwerdeführers zukommt. Da sich die betroffene Person dem Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten nicht angeschlossen hat, kann sie sich dem Rechtsmittelverfahren vor dem Verwaltungsgerichtshof nicht mehr anschliessen. Im Rechtsmittelverfahren vor dem Verwaltungsgerichtshof kommt der Datenschutzstelle die Rolle des Beschwerdeführers und dem Verantwortlichen die Rolle des Beschwerdegegners zu.
5.2.
Die Beschwerdeführerin zu 2. bringt vor, der Datenschutzstelle komme im Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten keine Parteistellung zu.
Beim Beschwerdeverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten handelt es sich um ein kontradiktorisches Verfahren. Der Beschwerdeführerin zu 2. kam vorliegend die Rolle der Beschwerdeführerin und der Datenschutzstelle die Rolle der Beschwerdegegnerin zu (Art. 78 Abs. 3 DSGVO). Entgegen der Auffassung der Beschwerdeführerin zu 2. ergibt sich aus Art. 20 Abs. 1 und 2 DSG nichts anderes. Der Umstand, dass die Beschwerdelegitimation der Datenschutzstelle nicht in Art. 20 Abs. 1 DSG erwähnt ist, ergibt sich daraus, dass die Datenschutzstelle nicht gegen ihre eigenen Entscheidungen und Verfügungen Beschwerde erheben kann. Mit einer Entscheidung oder Verfügung der Datenschutzstelle im Sinne von Art. 20 Abs. 1 DSG kann, soweit es gegenständlich interessiert, eine Beschwerde nach Art. 77 DSGVO abgewiesen oder dieser Beschwerde ganz oder teilweise stattgegeben werden. Im ersten Fall kommt in einem anschliessenden Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten der betroffenen Person die Rolle des Beschwerdeführers und der Datenschutzstelle die Rolle des Beschwerdegegners zu. Der Verantwortliche kann sich dem Rechtsmittelverfahren als interessierte Partei anschliessen. Im zweiten Fall kommt im Rechtsmittelverfahren dem Verantwortlichen die Rolle des Beschwerdeführers und der Datenschutzstelle die Rolle des Beschwerdegegners zu. Die betroffene Person kann sich dem Rechtsmittelverfahren als interessierte Partei anschliessen.
5.3.
Die Beschwerdeführerin zu 2. macht einen Formmangel bei der Beschwerde der Datenschutzstelle an den Verwaltungsgerichtshof geltend. Die Beschwerde sei nicht rechtsgenüglich unterschrieben, weshalb sie zurückzuweisen sei.
Die Beschwerde der Datenschutzstelle vom 23. April 2021 wurde nicht händisch unterschrieben, sondern mit einer Amtssignatur respektive einem Signaturvermerk versehen. Die Amtssignatur ist im Gesetz über den elektronischen Geschäftsverkehr mit Behörden (E-Government-Gesetz; E-GovG) und in der Verordnung über die Führung und Verwaltung der Akten in der Liechtensteinischen Landesverwaltung (LLV-Aktenverwaltungsverordnung; LLV-AVV) geregelt. Das E-Government-Gesetz regelt den elektronischen Geschäftsverkehr zwischen Behörden sowie zwischen Behörden und Personen (Art. 1 Abs. 1 E-GovG). Als Behörden gelten unter anderem Organe des Staates (Art. 3 Abs. 1 Bst. e E-GovG). Die LLV-Aktenverwaltungsverordnung gilt für die Führung und Verwaltung der Akten durch die Regierung und die Amtsstellen der Landesverwaltung (Art. 1 Abs. 1 LLV-AVV). Es stellt sich als erstes die Frage, ob das E-Government-Gesetz und die LLV-Aktenverwaltungsverordnung auf die Datenschutzstelle Anwendung finden.
Die Datenschutzstelle ist die nationale Aufsichtsbehörde nach Art. 51 der Verordnung (EU) 2016/679 und Art. 41 der Richtlinie (EU) 2016/680 (Art. 9 Abs. 1 DSG). Sie handelt bei der Erfüllung ihrer Aufgaben und bei der Ausübung ihrer Befugnisse hoheitlich und völlig unabhängig. Sie unterliegt weder direkter noch indirekter Beeinflussung von aussen und ersucht weder um Weisung noch nimmt sie Weisungen entgegen (Art. 11 Abs. 1 DSG).
Aus dem Bericht und Antrag (BuA) Nr. 36/2018 betreffend die Totalrevision des Datenschutzgesetzes ergibt sich folgendes: Vor dem Jahr 2008 sei der Datenschutzbeauftragte von der Regierung bestellt worden, wobei er bei der Erfüllung seiner Aufgaben unabhängig gewesen sei. Administrativ habe der Datenschutzbeauftragte einem Ressort der Regierung zugeordnet werden können. Aus Anlass des Beitritts Liechtensteins zu den Abkommen von Schengen und Dublin sei im Jahr 2008 der Datenschutzbeauftragte organisatorisch dem Landtag zugeordnet worden. Die in den letzten zehn Jahren gemachten Erfahrungen mit der organisatorischen Zuordnung der Datenschutzstelle zum Landtag hätten jedoch erkennen lassen, dass diese Zuordnung in der praktischen Anwendung immer wieder zu verschiedenen Problemen geführt habe. Deshalb erscheine es angebracht, die Datenschutzstelle organisatorisch neu wieder als Stelle im Bereich der Exekutive einzurichten. Abgesehen davon, dass es sich bei der Datenschutzstelle um ein das Gesetz vollziehendes Organ handle und daher eine Zuordnung der Datenschutzstelle zum Landtag bereits grundsätzlich dem Prinzip der Gewaltenteilung zu widersprechen scheine, lasse die DSGVO klar zu, dass die Datenschutzstelle im Bereich der Exekutive eingerichtet werde. Bei der Datenschutzstelle handle es sich formell um eine Amtsstelle der Landesverwaltung (BuA Nr. 36/2018, S. 125 ff.).
Bei der Datenschutzstelle handelt es sich somit formell um eine Amtsstelle im Sinne des Art. 25 Abs. 1 Bst. c des Gesetzes über die Regierungs- und Verwaltungsorganisation (RVOG). Jedes Amt wird unter Berücksichtigung des sachlichen Zusammenhangs der Geschäfte einem Ministerium zugeordnet (Art. 35 RVOG). Die Datenschutzstelle ist dem Ministerium für Infrastruktur und Justiz zugeordnet (Art. 6 iVm. Anhang 2 RVOV).
Die Datenschutzstelle hat als Amtsstelle ihre Akten in fachgerechter Weise elektronisch zu führen und zu verwalten (Art. 51a Abs. 1 RVOG). Die auf Art. 51a Abs. 4 RVOG basierende LLV-Aktenverwaltungsverordnung und das E-Government-Gesetz finden somit auf die Datenschutzstelle Anwendung.
Die Amtssignatur ist eine fortgeschrittene elektronische Signatur zur ausschliesslichen Nutzung durch Behörden (Art. 3 Abs. 1 Bst. k E-GovG). Die Behörde und somit die Datenschutzstelle hat Dokumente, insbesondere Erledigungen und Ausfertigungen, elektronisch zu erstellen und zu erfassen. Elektronisch erstellte Dokumente gelten als Original. Ausfertigungen in Form von elektronischen Dokumenten müssen mit einer Amtssignatur versehen sein (Art. 24 Abs. 1 und 2 E-GovG; Art. 23 Abs. 1 LLV-AVV). Die Amtssignatur dient der erleichterten Erkennbarkeit der Herkunft eines Dokuments einer Behörde. Die Nutzung der Amtssignatur ist mithilfe eines Signaturvermerks im Dokument darzustellen; der Signaturvermerk enthält insbesondere die Bezeichnung der Behörde und den Hinweis, dass das Dokument mit einer Amtssignatur signiert ist. Ein auf Papier ausgedrucktes elektronisches Dokument einer Behörde hat die Vermutung der Echtheit für sich, wenn das Dokument mit einer Amtssignatur signiert wurde und über einen Signaturvermerk verfügt (Art. 24a Abs. 1 bis 3 E-GovG). Ausgehende Aufzeichnungen können digital oder physisch versandt werden. Physische Ausdrucke von amtssignierten Aufzeichnungen dürfen nicht zusätzlich von Hand unterschrieben werden (Art. 23 Abs. 3 LLV-AVV).
Bei der auf Papier ausgedruckten Beschwerde der Datenschutzstelle vom 23. April 2021 handelt es sich somit nicht um das Original. Es gilt jedoch die Vermutung der Echtheit dieses Dokuments. An der Echtheit der Beschwerde der Datenschutzstelle bestehen für den Verwaltungsgerichtshof keine Zweifel und erstattet auch die Beschwerdeführerin zu 2. kein die Echtheit der Beschwerde in Frage stellendes Vorbringen. Die Datenschutzstelle war nach den spezialgesetzlichen Bestimmungen berechtigt, die Beschwerde physisch an den Verwaltungsgerichtshof zu senden und hat diese zu Recht nicht zusätzlich händisch unterschrieben. Wenn die Beschwerdeführerin zu. 2. vorbringt, die Beschwerde vom 23. April 2021 hätte neben dem Amtsvermerk zwingend händisch unterschrieben werden müssen, sind ihr die spezialgesetzlichen Bestimmungen über die Amtssignatur entgegenzuhalten, wonach die Datenschutzstelle die Beschwerde amtssignieren musste und diese physisch ohne händische Unterschrift an den Verwaltungsgerichtshof zustellten durfte. Soweit sich die Beschwerdeführerin zu 2. auf das LVG beruft, ist zu erwähnen, dass die allgemeinen Bestimmungen des LVG zur Unterschrift hinter die spezialgesetzlichen Bestimmungen zur Amtssignatur zurücktreten.
5.4.
Wenn die Beschwerdeführerin zu 2. sodann vorbringt, ein Zurückhalten der Identität des Beschwerdeführers nach Art. 77 DSGVO sei unzulässig, ist ihr das Gutachten des EFTA-Gerichtshofs vom 10. Dezember 2020 zu E-11/19 und E-12/19 vorzuhalten, wonach im Einzelfall unter Berücksichtigung der vom EFTA-Gerichtshof definierten Anforderungen zu entscheiden ist, ob eine Offenlegung der Identität der betroffenen Person gegenüber dem Verantwortlichen erforderlich ist.
5.5.
Im Übrigen anerkennt die Beschwerdeführerin zu 2. in ihrer Gegenäusserung selbst an, dass eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen vorliegt und die Beschwerdekommission für Verwaltungsangelegenheiten nicht begründet hat, warum dennoch ein Zurückhalten der Identität der betroffenen Person im gegenständlichen Fall unzulässig sei.
6.
Da gegenständlich eine standardisierte und gleichartige Datenverarbeitung für eine unbestimmte Anzahl von betroffenen Personen vorliegt und die von der Datenschutzstelle verfügten Abhilfemassnahmen sich entsprechend nicht auf eine konkrete betroffene Person beziehen, ist für den Verwaltungsgerichtshof kein Grund für eine Offenlegung der Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber der Beschwerdeführerin zu 2. zu erkennen. Somit war die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 zu beheben und die Verwaltungssache an die Beschwerdekommission zurückzuleiten. Diese hat sich im weiteren Verfahrensgang materiell mit der Beschwerde der Beschwerdeführerin zu 2. vom 19. September 2019 auseinanderzusetzen.
Dem Antrag der Datenschutzstelle, der auf eine materielle Enderledigung der gegenständlichen Rechtssache hinausläuft, konnte nicht entsprochen werden, da die Beschwerdekommission für Verwaltungsangelegenheiten sich noch nicht materiell mit dem Beschwerdevorbringen vom 19. September 2019 befasst hat und eine Enderledigung durch den Verwaltungsgerichtshof zu einer unzulässigen Verkürzung des Instanzenzuges führen würde.
7.
Somit ist die Datenschutzstelle mit ihrer Beschwerde vom 23. April 2021 gegen die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 im Ergebnis durchgedrungen und die Beschwerdeführerin zu 2. als Beschwerdegegnerin ist mit ihrem Antrag in der Gegenäusserung vom 21. Mai 2021 unterlegen. Somit trägt die Beschwerdeführerin zu 2. als Beschwerdegegnerin die Kosten des Beschwerdeverfahrens zu VGH 2021/31. Die in der Gegenäusserung verzeichneten Parteikosten in Höhe von CHF 1'970.39 können ihr nicht zugesprochen werden (Art. 10 Abs. 4 GGG iVm. Art. 41 Abs. 1 LVG iVm. Art. 36 Abs. 1 LVG).
8.
Zu VGH 2021/29
Die Beschwerdeführerin zu 2. erklärt, mit ihrer Beschwerde vom 21. April 2021 die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten vom 24. März 2021 vollumfänglich zu bekämpfen. In ihrer Beschwerde vom 19. September 2019 an die Beschwerdekommission für Verwaltungsangelegenheiten rügte die Beschwerdeführerin zu 2. unter anderem das anonyme Beschwerdeverfahren vor der Datenschutzstelle (Ziff. 6 der Beschwerde vom 19. September 2019). Die Beschwerdekommission für Verwaltungsangelegenheiten ist dieser Rüge gefolgt und hat die Verwaltungssache an die Datenschutzstelle zurückverwiesen. Diese habe das Verfahren neu durchzuführen und die Identität des Beschwerdeführers nach Art. 77 DSGVO gegenüber der Beschwerdeführerin zu 2. als Verfahrenspartei offenzulegen.
Die Beschwerdeführerin zu 2. bringt weder in ihrer Beschwerde an die Beschwerdekommission für Verwaltungsangelegenheiten noch in ihrer Beschwerde an den Verwaltungsgerichtshof vor, dass die Identität der betroffenen Person der Beschwerdeführerin zu 2. von der Beschwerdekommission für Verwaltungsangelegenheiten und nicht von der Datenschutzstelle offenzulegen sei. Somit ist die Beschwerdeführerin zu 2. durch die Aufhebung der Verfügung der Datenschutzstelle und der Zurückverweisung nicht benachteiligt, weshalb es ihr zur Bekämpfung der Spruchpunkte 1. und 2. der Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten an einer Beschwer und einem aktuellen Rechtsschutzinteresse mangelt. Gleiches gilt auch für den Spruchpunkt 3., wonach die Verfahrenskosten beim Land verbleiben.
In der Gegenäusserung vom 21. Mai 2021 führte die Beschwerdeführerin zu 2. sodann selbst aus, Spruchpunkt 1. der angefochtenen Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten hinsichtlich der Zurückverweisung an die Datenschutzstelle sei zuzustimmen. Somit ist die Beschwerde vom 21. April 2021, soweit sie die Spruchpunkte 1. bis 3. der angefochtenen Entscheidung betrifft, zurückzuweisen.
Der Vollständigkeit halber ist zu erwähnen, dass der Verwaltungsgerichtshof dem unter Ziff. 1 der Beschwerde vom 21. April 2021 erstatteten Vorbringen nicht folgt. Im Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten kommt der Datenschutzstelle die Rolle des Beschwerdegegners zu (Art. 78 Abs. 3 DSGVO), weshalb ihr die Beschwerde des jeweiligen Beschwerdeführers zur Äusserung zuzustellen ist.
Die Beschwerdeführerin zu 2. ist einzig hinsichtlich Spruchpunkt 4. bezüglich den Parteikosten benachteiligt (Ziff. 2 der Beschwerde vom 21. April 2021). Die Beschwerdekommission hat keine Parteikosten zugesprochen und in der Begründung lediglich auf das Urteil des EFTA-Gerichtshofs vom 10. Dezember 2020 verwiesen.
Wie bereits ausgeführt, handelt es sich beim Rechtsmittelverfahren vor der Beschwerdekommission für Verwaltungsangelegenheiten um ein kontradiktorisches Verfahren, in welchem dem Verantwortlichen die Rolle des Beschwerdeführers und der Datenschutzstelle die Rolle des Beschwerdegegners zukommt. Die betroffene Person kann sich an diesem Rechtsmittelverfahren als interessierte Drittpartei beteiligen. Obsiegt der Beschwerdeführer im Rechtsmittelverfahren, hat ihm das Land seine Parteikosten zu ersetzen. Spruchpunkt 4. der angefochtenen Entscheidung, wonach keine Parteikosten zugesprochen werden, ist somit nicht richtig. Entweder hätte die Beschwerdekommission der Beschwerdeführerin zu 2. Parteikosten zusprechen oder die Kostenentscheidung aufgrund der Zurückverweisungsentscheidung dem weiteren Verfahren vorbehalten müssen.
Da jedoch durch die Entscheidung zu VGH 2021/31 die Entscheidung der Beschwerdekommission für Verwaltungsangelegenheiten zur Gänze aufgehoben und an die Beschwerdekommission zurückverwiesen wird, ist die Beschwerdeführerin zu 2. hinsichtlich ihrer Kostenrüge auf diese Entscheidung zu verweisen. Die Beschwerdekommission wird sich im weiteren Verfahrensgang materiell mit der Beschwerde der Beschwerdeführerin zu 2. vom 19. September 2019 zu befassen haben. Dringt sie mit ihrer Beschwerde vom 19. September 2019 durch, sind ihr die Parteikosten zu ersetzen.
9.
Da die Beschwerdeführerin zu 2. mit ihrer Beschwerde vom 21. April 2021 zu VGH 2021/29 nicht durchgedrungen ist, hat sie die Verfahrenskosten zu bezahlen. Diese wurden von der Beschwerdeführerin zu 2. bereits entrichtet. Die verzeichneten Parteikosten können ihr nicht zugesprochen werden (Art. 41 Abs. 1 iVm. Art. 36 Abs. 1 LVG).