To The Point: Datenschutzmonitor 33/2024

To the Point:

Rechtsprechung des VwGH

VwGH 24.07.2024, Ro 2023/04/0001; VwGH 24.07.2024, Ra 2023/04/0270

• Die DSB gab zwei Datenschutzbeschwerden statt, in welchen jeweils bei derselben Kreditauskunftei die Löschung von negativen Zahlungserfahrungen begehrt wurde. Das BVwG änderte beide Bescheide der DSB dahingehend ab, dass die Datenschutzbeschwerden abgewiesen werden. Die DSB erhob jeweils Amtsrevision an den VwGH.
  
  Die Kreditauskunftei teilte dem VwGH in beiden Verfahren mit, dass sie in der Zwischenzeit die negativen Erfahrungswerte gelöscht und die Betroffenen hierüber informiert hat. Der VwGH erklärte beide Verfahren für gegenstandslos und stellte die Verfahren mit Beschluss ein.
  
  Der VwGH hat erwogen: Gemäß § 33 Abs 1 erster Satz VwGG ist die Revision mit Beschluss als gegenstandslos geworden zu erklären und das Verfahren einzustellen, wenn in irgendeiner Lage des Verfahrens offenbar wird, dass der Revisionswerber klaglos gestellt wurde. Auch im Fall einer Amtsrevision ist bei Wegfall des rechtlichen Interesses an einer meritorischen Entscheidung das Verfahren wegen Gegenstandslosigkeit einzustellen.
  
  Dem mit der Datenschutzbeschwerde erhobenen Löschungsbegehren wurde von der Kreditauskunftei entsprochen. Der mit der Datenschutzbeschwerde begehrte Zustand wurde hergestellt, weshalb von einer Klaglosstellung des Betroffenen und einem Wegfall des rechtlichen Interesses an der Entscheidung über die Revision ausgegangen werden kann. Achtung: Die Klaglosstellung führt vor dem VwGH nur dann zur Einstellung des Verfahrens, wenn der Verantwortliche vor dem BVwG obsiegt hat. Bis zur Entscheidung des BVwG kann der Betroffene hinsichtlich Auskunfts-, Löschungs-, Berichtigungs-, Einschränkungs- und Portabilitätsbegehren jederzeit klaglos gestellt werden.
  
  Anm: Zwischen den Entscheidungen des BVwG und des VwGH hat der EuGH am 07.12.2023 in den verbundenen Rs C-26/22 und C-64/22, SCHUFA Holding (Libération de reliquat de dette), über die Speicherdauer von Daten, die von Kreditauskunfteien aufbewahrt werden, entschieden. Im Mai 2024 informierte die Kreditauskunftei den VwGH über die Löschung der negativen Erfahrungswerte.

Rechtsprechung des OGH

• Steht nicht fest, dass eine Information erteilt wurde (Negativfeststellung), fehlt die Kausalität für sämtliche Schadenersatzansprüche. Die Wahrnehmungen von Zeugen, die keine Angaben zur tatsächlichen Weitergabe personenbezogener Daten machen können, sind kein taugliches Beweisthema (OGH 24.07.2024, 1Ob87/24m).

Rechtsprechung des BVwG

BVwG 22.07.2024, W211 2271978-1

• Für eine Hausbetreuung benutzte eine Hausverwaltung die private E-Mailadresse und Telefonnummer eines Hausbesorgers. Der Hausbesorger widerrief gegenüber der Hausverwaltung – seinem Arbeitgeber – die Einwilligung, seine privaten Kontaktdaten an Dritte weiterzugeben. Der Hausbesorger ersuchte um ein Diensttelefon sowie einen dienstlichen E-Mailaccount. Dennoch versandte die Hausverwaltung weiterhin E-Mails bzw Auftragsbestätigungen, in denen die privaten Kontaktdaten des Hausbesorgers aufschienen. Erst nach mehreren Monaten stellte die Hausverwaltung dem Hausbesorger ein Diensttelefon und eine dienstliche E-Mailadresse zur Verfügung. Aufgrund eines Krankenstands versandte die Personalverrechnung der Hausverwaltung – nachdem eine Kontaktaufnahme über die dienstliche E-Mailadresse und das Diensttelefon scheiterte – eine Aufforderung zur Vorlage einer Krankenstandbestätigung an die private E-Mailadresse des Hausbesorgers. Die auf eine Verletzung im Recht auf Geheimhaltung gestützte Datenschutzbeschwerde wies die DSB als unbegründet ab. Hiergegen erhob der Hausbesorger Bescheidbeschwerde an das BVwG, das der Bescheidbeschwerde teilweise stattgab.
  
  Das BVwG hat erwogen: Sowohl bei privaten Telefonnummern als auch privaten E-Mailadressen handelt es sich um personenbezogene Daten. Seine Zustimmung für die Weitergabe dieser personenbezogenen Daten widerrief der Hausbesorger zwar, doch ist eine Datenverarbeitung auch dann ohne Zustimmung der betroffenen Person zulässig, wenn dies zur Wahrung überwiegender berechtigter Interessen von Dritten erforderlich ist. Im Hinblick auf die ordnungsgemäße Erfüllung der dienstlichen Aufgaben eines Hausbesorgers bestand zwar ein berechtigtes Interesse der Hausverwaltung daran, den Hausbesorger ausreichend einfach und für den Notfall rasch erreichen zu können. Das Verwenden der privaten Kontaktdaten war jedoch nicht erforderlich.
  
  Der Hausverwaltung wäre es freigestanden, ein dienstliches Telefon und eine dienstliche E-Mailadresse bereits sehr viel früher zur Verfügung zu stellen und damit den notwendigen Kommunikationsfluss auch abseits der privaten Kontaktdaten aufrecht zu erhalten.
  
  Auch wenn die Änderung der Kommunikationswege nach langjähriger Praxis eine gewisse Übergangszeit in Anspruch nehmen kann, wäre es der Hausverwaltung spätestens innerhalb eines Monats zumutbar gewesen, ein dienstliches Telefon mit einer Sim-Karte und einen dienstlichen E-Mailaccount zur Verfügung zu stellen. Insofern war die Angabe der privaten Kontaktdaten des Hausbesorgers in den E-Mails bzw Auftragsbestätigungen nicht erforderlich, weshalb die Hausverwaltung gegen das Geheimhaltungsrecht verstoßen hat.
  
  Die Kontaktaufnahme der Personalverrechnungsstelle der Hausverwaltung zur Übermittlung einer Krankenstandbestätigung durch den Hausbesorger war hingegen rechtmäßig. Die Personalverrechnung bediente sich aufgrund der Dringlichkeit und der möglichen Folgen einer Verspätung (auch) der privaten E-Mailadresse des Hausbesorgers. Die damit verbundene Datenverarbeitung lag nicht nur im überwiegenden berechtigten Interesse der Hausverwaltung an der Abwicklung ihrer rechtlichen Verpflichtungen, sondern auch im Interesse des Hausbesorgers an einer rechtzeitigen und richtigen Lohnabrechnung.

BVwG 08.07.2024, W252 2241322-1

• Ein ehemaliger Beschuldigter beantragte die Löschung seiner erkennungsdienstlichen Daten. Diese Daten (Identität, Beschreibung, Finger- und Handflächenabdrücke, Lichtbilder, DNA-Profil) wurden aufgrund eines Tatverdachts gegen ihn iZm absichtlich schwerer Körperverletzung erhoben und in der "Zentralen erkennungsdienstlichen Evidenz" iSd § 75 SPG gespeichert. Obwohl der ehemalige Beschuldigte von diesem Vorwurf später rechtskräftig freigesprochen wurde, lehnte die Landespolizeidirektion die Löschung der Daten ab. Sie begründete dies mit einer nicht ausreichend langen Wohlverhaltenszeit sowie einer negativen Gefährdungsprognose und einem öffentlichen Interesse an der weiteren Speicherung der Daten. Folglich erhob der ehemalige Beschuldigte eine Datenschutzbeschwerde bei der DSB. Die DSB wies diese jedoch ab, woraufhin er (erfolglos) Bescheidbeschwerde beim BVwG einlegte.
  
  Das BVwG hat erwogen: Bei den erkennungsdienstlichen Daten handelt es sich sowohl um personenbezogene Daten iSd Art 4 Z 1 DSGVO (Identität, Beschreibung, Lichtbilder) als auch um genetische Daten iSd Art 4 Z 13 DSGVO (DNA-Profil) und biometrische Daten iSd Art 4 Z 14 DSGVO (Finger- und Handflächenabdrücke). Aufgrund der Schwere des dem ehemaligen Beschuldigten vorgeworfenen Delikts sind die Voraussetzungen für die erkennungsdienstliche Erhebung der Daten iSd §§ 64, 65 und 67 SPG erfüllt. Gemäß § 73 Ab 1 Z 4 SPG hat eine Löschung der erkennungsdienstlichen Daten von Amts wegen zu erfolgen, es sei denn, es liegen konkrete Umstände vor, die befürchten lassen, dass der Beschuldigte erneut gefährliche Angriffe begeht.
  
  Der ehemalige Beschuldigte wurde zwar im Verfahren betreffend absichtlicher schwerer Körperverletzung freigesprochen, jedoch zeigt seine Vorgeschichte, dass weiterhin von einer Gefahr auszugehen ist. Er trat in regelmäßigen Abständen mehrfach polizeilich in Erscheinung, ua iZm Besitz verbotener Waffen, falscher Beweisaussage und Suchtgifthandel. Gerade bei Gewaltdelikten mit direktem Körperkontakt können aus DNA-Spuren wesentliche Schlüsse gezogen werden. Auch die spezialpräventive Wirkung des Wissens des ehemaligen Beschuldigten um die Verarbeitung seiner erkennungsdienstlichen Daten ist geeignet, künftige gefährliche Angriffe zu verhindern.

BVwG 18.07.2024, W137 2252081-1

• Eine Betroffene trat beim Sanierungsprojekt ihres Elternhauses als Ansprechperson für das Bauunternehmen auf. Für die Fertigstellung der Fassade beauftragte das Bauunternehmen eines seiner Subunternehmen. Auf Nachfrage der Betroffenen um den Stand der Dinge leitete das Bauunternehmen den Namen, die Adresse und die Telefonnummer der Betroffenen an das Subunternehmen, ein Fassadenunternehmen, weiter, um eine einfachere Korrespondenz bezüglich der Fassade zu ermöglichen. Die Betroffene brachte daraufhin eine Datenschutzbeschwerde bei der DSB ein und behauptete, durch die Weitergabe ihrer Daten durch das Bauunternehmen und dessen Geschäftsführer in ihrem Recht auf Geheimhaltung verletzt worden zu sein. Das Bauunternehmen und dessen Geschäftsführer brachten im Verfahren vor, dass die Betroffene am Telefon bestätigte, mit der Weitergabe ihrer Informationen einverstanden zu sein. Diese stritt dies jedoch ab. Die DSB gab der Datenschutzbeschwerde statt. Daraufhin erhoben das Bauunternehmen und dessen Geschäftsführer eine (erfolgreiche) Bescheidbeschwerde beim BVwG.
  
  Das BVwG hat erwogen: Die Betroffene hat bereits zuvor dem Bauunternehmen die Zustimmung erteilt, ihre Telefonnummer zwecks Terminvereinbarung und Kontaktaufnahme an diverse Subunternehmen weiterzugeben. Dies ergab sich aus dem vorgelegten E-Mail-Verkehr zwischen der Betroffenen und dem Bauunternehmen. Die Einwilligung bezog sich auf alle zu denselben Zwecken vorgenommenen Verarbeitungsvorgänge. Der Zweck der Weitergabe war die rasche und unkomplizierte Bearbeitung von Problemen sowie die Terminvereinbarung bei Mängeln und Reklamationen.
  
  Betreffend das Fassadenunternehmen erfolgte ausschließlich eine telefonische Kommunikation. Bei einer lebenspraktischen Betrachtung konnte auch das Fassadenunternehmen davon ausgehen, dass die Betroffene dem Bauunternehmen die Zustimmung zur Weitergabe der Telefonnummer gab.
  
  Der Zweck der Weitergabe, nämlich die Kontaktaufnahme, war zudem klar abgegrenzt. Eine funktionale Abgrenzung kann auch über eine längere Periode definiert sein. Nicht gefolgt wird der dem angefochtenen Bescheid offensichtlich zugrunde gelegten Ansicht, dass ein Bauunternehmen in jedem Einzelfall eine gesonderte Zustimmung einholen müsste. Dies wäre im Kontext eines Bauprojekts lebensfremd und würde auch von einem überschießenden Schutzgedanken getragen.
  
  Darüber hinaus durfte das Bauunternehmen die Daten auch in seinem berechtigten Interesse an das Fassadenunternehmen weitergeben. Das berechtigte Interesse des Bauunternehmens war die Weitergabe von Kontaktdaten an Subunternehmen zur raschen und unkomplizierten Bearbeitung von Problemen.

BVwG 22.07.2024, W211 2286882-1

• Ein Minderjähriger stellte, vertreten durch seine Eltern, ein Auskunftsersuchen an die DSB. Die DSB erteilte dem Minderjährigen mehrfach Auskünfte und übermittelte ihm Kopien von Unterlagen, die seine personenbezogenen Daten enthielten. Der Minderjährige erachtete die Auskunft und die Kopien für unvollständig und erhob daher Datenschutzbeschwerde bei der DSB. Die DSB wies die Datenschutzbeschwerde zunächst im Hinblick auf Art 15 Abs 1 und 2 DSGVO ab und setzte das Verfahren hinsichtlich Art 15 Abs 3 DSGVO aus. Das BVwG bestätigte diese Entscheidung rechtskräftig. Nachdem der EuGH in der Rechtssache C-487/21, Österreichische Datenschutzbehörde, klargestellt hatte, dass das Recht auf eine Kopie kein eigenständiges Recht, sondern eine Modalität der Auskunftserteilung ist, wies die DSB die Beschwerde des Minderjährigen hinsichtlich Art 15 Abs 3 DSGVO zurück. Dagegen erhob der Minderjährige (erfolglos) Bescheidbeschwerde beim BVwG.
  
  Das BVwG hat erwogen: Wird die Datenschutzbeschwerde von der DSB zurückgewiesen, ist "Sache" des Verfahrens vor dem BVwG nur die Frage der Rechtmäßigkeit der Zurückweisung. Eine inhaltliche Entscheidung ist dem BVwG verwehrt. Das BVwG entschied bereits mit rechtskräftigem Erkenntnis über das Auskunftsersuchen des Minderjährigen und hielt fest, dass die DSB die Auskunft iSd Art 15 Abs 1 bis 3 DSGVO vollständig erteilt hat und diese ausreichend verständlich und nachvollziehbar war. Da Art 15 Abs 3 DSGVO dem Betroffenen kein zusätzliches, eigenständiges Recht auf Kopien einräumt, bleibt kein Raum, über Art 15 Abs 3 DSGVO gesondert abzusprechen. Durch das rechtskräftige Erkenntnis des BVwG wurden alle Aspekte des Auskunftsrechts behandelt und einer Entscheidung zugeführt.

Aus der weiteren Rechtsprechung des BVwG:

• Wird das Verhängen einer Geldbuße nur angeregt – nicht aber beantragt –, darf die Datenschutzbehörde den "Antrag" auf Verhängen einer Geldbuße nicht zurückweisen. Der entsprechende Spruchpunkt ist vom BVwG ersatzlos zu beheben.
  
  Voraussetzung für die Zulässigkeit der Bescheidbeschwerde ist das Bestehen eines Rechtsschutzinteresses. Der Bescheid muss die Rechtssphäre des Beschwerdeführers zu dessen Nachteil berühren. Stellt die DSB eine Verletzung im Recht auf Geheimhaltung fest, ist der Beschwerdeführer durch die abschlägige Behandlung eines weiteren auf das gleiche Rechtsschutzziel abzielenden "Beschwerdevorbringens" nicht beschwert (BVwG 27.06.2024, W176 2251448-1). Anm: Der Beschwerdeführer wird auch durch die Zurückweisung eines nichtgestellten Antrags auf das Verhängen einer Geldbuße in seiner Rechtsphäre nicht berührt und ist somit nicht beschwert. Wurde kein Antrag gestellt, war die DSB jedoch unzuständig. Die Unzuständigkeit ist von Amts wegen aufzugreifen. Das BVwG behob daher den entsprechenden Spruchpunkt zu Recht.
• Bei Nichtfeststellbarkeit eines Umstandes ist davon auszugehen, dass dieser nicht vorliegt. Dies gilt auch für die Frage, ob personenbezogene Daten verarbeitet wurden. Ist auf einer Videoaufnahme die Erkennbarkeit der Personen ausgeschlossen, ist davon auszugehen, dass keine personenbezogenen Daten verarbeitet wurden (BVwG 27.06.2023, W298 2261979-1).
• Das LVwG Wien fragte den EuGH zu den inhaltlichen Anforderungen, die eine Auskunft iSd Art 15 Abs 1 lit h DSGVO (automatisierte Entscheidungsfindung) erfüllen muss (Rs C-203/22, Dun & Bradstreet Austria). Da im anhängigen Verfahren vor dem BVwG die gleichen Rechtsfragen zu beurteilen sind, die dem Vorlagebeschluss des LVwG Wien zugrunde liegen, ist das Verfahren iSv Art 81 DSGVO auszusetzen (BVwG 01.07.2024, W108 2230691-1). Anm: Das BVwG setzt regelmäßig Verfahren aus, um Urteile des EuGH abzuwarten. IdR wird die Aussetzung "nur" auf § 38 AVG gestützt. Das BVwG zog in diesem Fall zusätzlich Art 81 DSGVO im Lichte des ErwGr 144 DSGVO heran.
• Gemäß § 24 Abs 4 DSG erlischt der Anspruch auf Behandlung einer Datenschutzbeschwerde, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis vom beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen. Bei den in § 24 DSG genannten Fristen handelt es sich um Präklusivfristen, auf die von Amts wegen, also bei feststehendem Sachverhalt, ohne Einwendung Bedacht genommen werden muss. Bringt der Beschwerdeführer vor, dass er von einem Datenschutzverstoß, der länger als die einjährige Präklusivfrist zurückliegt, erst später Kenntnis erlangt hat, hat er dies nachzuweisen (BVwG 15.07.2024, W137 2273833-1).
• Die Zurückziehung der Bescheidbeschwerde ist so lange zulässig, bis die Bescheidbeschwerde unerledigt ist. Wird die Bescheidbeschwerde zurückgezogen, ist das Verfahren mit Beschluss einzustellen (BVwG 01.07.2024, W108 2247870-1).
• Bestimmt die DSB irrtümlich den falschen Beschwerdegegner als Verantwortlichen, ist der Bescheid ersatzlos zu beheben (BVwG 01.07.2024, W287 2261108-1; 10.07.2024, W252 2261086-1 und andere).

Vorschau EuGH-Rechtsprechung

• Am 05.09.2024 werden die Schlussanträge in der Rs C-416/23, Österreichische Datenschutzbehörde (Demandes excessives), veröffentlicht. Der VwGH fragte den EuGH, wann eine Datenschutzbeschwerde exzessiv ist.
• Am 12.09.2024 werden die Schlussanträge in der Rs C-203/22, Dun & Bradstreet Austria, veröffentlicht. Das LVwG Wien befragte den EuGH zur Reichweite der Auskunftspflicht nach Art 15 Abs 1 lit h DSGVO (automatisierte Entscheidung).
• Am 12.09.2024 werden die Schlussanträge in den verbundenen Rs C-18/22, Ökorenta Neue Energien Ökostabil IV und Rs C-17/22, HTB Neunte Immobilien Portfolio, veröffentlicht. In den Vorabentscheidungsersuchen geht es um datenschutzrechtliche Fragen zum Gesellschaftsrecht.
• Am 12.09.2024 werden die Schlussanträge in der Rs C-247/23, Deldits, veröffentlicht. Geklärt werden soll, ob die Geschlechtseintragung in ein öffentliches Register zu berichtigen ist, wenn das Geschlecht sich ändert.
• Am 12.09.2024 werden die Schlussanträge in der Rs C-383/23, ILVA (Amende pour violation du RGPD), veröffentlicht. Das vorlegende Gericht fragt nach der Auslegung des Begriffs "Unternehmen" iSd Art 83 Abs 5 DSGVO.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.