Postadresse:
Erdbergstraße 192 – 196
1030 Wien
Tel: +43 1 601 49 – 0
Fax+43 1 711 23-889 15 41
E-Mail: [email protected]
www.bvwg.gv.at
DVR: 0939579
E N T S C H E I D U N G S D AT U M
0 7 . 1 2 . 2 0 2 1
G E S C H Ä F T S Z A H L
W 1 0 1 2 2 0 8 2 3 8 - 1 / 5 E
I M N A M E N D E R R E P U B L I K !
Das Bundesverwaltungsgericht hat durch die Richterin Dr. Christine AMANN als Vorsitzende
und die fachkundigen Laienrichter MMag. Dr. Winfried PÖCHERSTORFER sowie Mag. Thomas
GSCHAAR als Beisitzer über die Beschwerde des Bürgermeisters der Marktgemeinde XXXX ,
vertreten durch: Winkler & Riedl RAe OG, gegen den Bescheid der Datenschutzbehörde vom
07.08.2018, GZ. DSB-D122.840/0005-DSB/2018, zu Recht erkannt:
A)
Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als
unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
Mit Schreiben vom 03.01.2018, verbessert mit Schriftsätzen vom 28.01.2018 sowie vom
02.02.2018, brachten der mj. XXXX , gesetzlich vertreten durch Frau XXXX , und die mj. XXXX ,
-2-
gesetzlich vertreten durch Frau XXXX (= mitbeteiligte Parteien vor dem
Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde), eine
Datenschutzbeschwerde gegen den Bürgermeister der Marktgemeinde XXXX (=
Beschwerdeführer vor dem Bundesverwaltungsgericht und Beschwerdegegner vor der
Datenschutzbehörde) ein, weil sie in ihrem Recht auf Geheimhaltung verletzt worden seien.
Sie begründeten ihre Datenschutzbeschwerde im Wesentlichen folgendermaßen:
Der Beschwerdeführer habe im Rahmen eines Briefes betreffend die Kostenübernahme der
Kinderbetreuung in einem Privatkindergarten personenbezogene Daten der mitbeteiligten
Parteien an andere Erziehungsberechtigte weitergegeben. Konkret sei diesem Brief eine Liste
aller Kinder, die den Privatkindergarten im Zeitraum vom September 2016 bis August 2017
besucht hätten, mit Angabe des Namens, des Geburtsdatums, der Adresse und des Eintritts-
sowie Austrittsdatums in den Kindergarten zu entnehmen gewesen.
Mit Stellungnahme vom 21.02.2018 führte der Beschwerdeführer zur
Datenschutzbeschwerde der mitbeteiligten Parteien im Wesentlichen Folgendes aus:
Da die Kinder des „ XXXX “-Kindergartens, u.a. die mitbeteiligten Parteien, zum
überwiegenden Teil ihren ordentlichen Wohnsitz nicht im Gemeindegebiet der Sitzgemeinde,
der Marktgemeinde XXXX , hätten, sei diese aus finanziellen Gründen gezwungen, die
aliquoten Kosten auf die Hauptwohnsitzgemeinden der Besucher bzw. deren
Eltern/Erziehungsberechtigte aufzuteilen. Für die gerechte Aufteilung des Förderungsanteils
sei der Marktgemeinde XXXX eine Liste mit den Daten der Kinder bzw. deren
Erziehungsberechtigten von der Betriebsleitung des Kindergartens übergeben worden. Mit
einem Schreiben der Marktgemeinde XXXX an die Erziehungsberechtigten sei u.a. auf die
außerordentliche finanzielle Belastung der Marktgemeinde XXXX hingewiesen und die Bitte
geäußert worden, mit dem Schreiben die Wohnsitzgemeinden aufzusuchen und um
Unterstützung ihrer Kinder zu bitten. Da die Liste mit allen Daten (Vorname, Nachname,
Geburtsdatum, Eintrittsdatum, allfälliges Austrittsdatum sowie Adressen) von der
Betriebsleitung des Kindergartens übergeben worden sei, sei diese Liste (ergänzt um den
anteiligen Kostenbeitrag) dem Schreiben an die Eltern beigelegt worden. Die von der
Betriebsleitung des Kindergartens übergebene Liste (Kinderliste) sei ebenfalls dem Schreiben
beigelegt worden. Die Marktgemeinde XXXX sei davon ausgegangen, dass die Eltern die
Zustimmung zur Übergabe der Listen gegeben hätten, zumal die Listen bereits von der
Betriebsleitung des Kindergartens übergeben worden seien.
Mit Stellungnahme vom 14.03.2018 gaben die mitbeteiligten Parteien im Wesentlichen
Folgendes an:
-3-
Sie würden verstehen, dass der Kindergarten die Daten der Kinder an die Gemeinde XXXX
weitergeben habe müssen, denn ohne diese Daten könnte schließlich die Gemeinde keine
Kooperationsvereinbarung mit den betroffenen Wohnsitzgemeinden treffen. Allerdings sei
der Rückschluss, dass dadurch die Zustimmung der mitbeteiligten Parteien zur generellen
Verwendung dieser Daten vorliege, nicht korrekt.
Mit Bescheid vom 07.08.2018, GZ. DSB-D122.840/0005-DSB/2018, gab die
Datenschutzbehörde der Datenschutzbeschwerde vom 03.01.2018 statt und stellte fest, dass
der Beschwerdeführer die mitbeteiligten Parteien dadurch in ihrem Recht auf Geheimhaltung
verletzt habe, indem der Beschwerdeführer personenbezogene Daten der mitbeteiligten
Parteien, wie Name, Geburtsdatum, Adresse, Eintrittsdatum, Minustage, Gesamttage und den
entsprechenden Kostenanteil, an Erziehungsberechtigte anderer den gleichen Kindergarten
wie die mitbeteiligten Parteien im Zeitraum von September 2016 bis August 2017
besuchenden Kinder übermittelt habe.
In diesem Bescheid traf die Datenschutzbeschwerde folgende Sachverhaltsfeststellungen:
Der Beschwerdeführer habe einen an alle Erziehungsberechtigte der einen näher
bezeichneten Kindergarten im Zeitraum vom September 2016 und August 2017 besuchenden
Kinder gerichteten undatierten Brief verfasst, in welchem die Erziehungsberechtigten zur
Kostenübernahme der Kinderbetreuung aufgefordert worden seien.
In einer diesem Brief beigelegten Liste „Kinderliste […] September 2016 - August 2017“ seien
folgende Daten der mitbeteiligten Parteien angeführt: Name, Geburtsdatum, Adresse und
Eintrittsdatum.
Zudem sei dem gegenständlichen Brief eine weitere Liste „Kostenaufteilung 1. September
2016 - 31. August 2017“ angeschlossen, der folgende Daten der mitbeteiligten Parteien zu
entnehmen seien: Name, Geburtsdatum, Eintrittsdatum, Minustage, Gesamttage und
Kostenanteil.
Der Brief samt den erwähnten Listen sei den Erziehungsberechtigten der in der Liste
genannten Kinder übermittelt worden.
Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in
rechtlicher Hinsicht Folgendes:
Über diese Datenschutzbeschwerde sei verfahrensrechtlich nach neuer Rechtslage (DSG idF
BGBl. I Nr. 24/2018) gemäß § 24 Abs. 5 DSG zu entscheiden. Materiellrechtlich sei die
Rechtssache jedoch nach dem Zeitpunkt der behaupteten Verletzung des Rechtes auf
Geheimhaltung, geltenden Bestimmungen der §§ 1 bis 9 DSG 2000, BGBl. I Nr. 165/1999 idF
BGBl. I Nr. 83/2013 zu beurteilen.
-4-
Gemäß § 1 Abs. 2 DSG 2000 bedürfe die gegenständlich erfolgte Übermittlung
personenbezogener Daten der Beschwerdeführer an Erziehungsberechtigte anderer den
gleichen Kindergarten wie die mitbeteiligten Parteien besuchende Kinder einer
Rechtsgrundlage.
Ein solcher sei aber weder im vom Beschwerdeführer in seiner Stellungnahme vor der
Datenschutzbehörde erwähnten XXXX noch im Rechtfertigungstatbestand des § 8 DSG 2000
zu erkennen und werde vom Beschwerdeführer auch nicht behauptet.
Daran vermöge auch das Vorbringen des Beschwerdeführers, er sei davon ausgegangen, die
Eltern hätten ihre Zustimmung zur Übergabe der Listen gegeben, nichts ändern, da sich für die
Zustimmung der mitbeteiligten Parteien zur gegenständlichen Übermittlung im Sinne des § 4
Z 14 iVm § 8 Abs. 1 Z 2 DSG 2000 im Verfahren keinerlei Anhaltspunkte ergeben hätten.
Sofern der Beschwerdeführer in diesem Zusammenhang weiters geltend mache, dass die
Daten nur unter Eltern, die sich gut kennen und täglich sehen würden, übergeben worden
seien, sei diesem Vorbringen ebenfalls nichts abzugewinnen, da davon ausgegangen werden
könne, dass nicht allen Erziehungsberechtigten sämtliche übermittelten Daten bekannt seien.
Ungeachtet dessen könne eine datenschutzrechtliche Verletzung selbst dann nicht geheilt
werden, wenn die betreffenden personenbezogenen Daten der Kinder durch Gespräche
zwischen den Erziehungsberechtigten bekannt seien.
Der Beschwerde sei daher spruchgemäß stattzugeben gewesen.
In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte der
Beschwerdeführer im Wesentlichen vor:
Der Beschwerdeführer habe davon ausgehen müssen, dass bereits von Seiten der
Betriebsleitung des Privatkindergartens die entsprechenden Abklärungen erfolgt wären. Es sei
davon auszugehen, dass vor Übermittlung der Daten an den Beschwerdeführer die
Betriebsleitung die Daten mit den Erziehungsberechtigten der Kinder abgestimmt habe und
die Erziehungsberechtigten ihre Zustimmung für die Weitergabe und Verwendung ihrer Daten
erteilt hätten. Zudem sei von Seiten der Betriebsleitung des Privatkindergartens nicht
mitgeteilt worden, dass die Daten bzw. dass die Gemeinde sich nicht an die Eltern wenden
und die Informationen übermitteln dürfe.
Zudem hätten alle Betroffenen (Eltern und Kinder) ein gemeinsames Interesse am
Weiterbestand des Kindergartens und die Datenweitergabe sei ausschließlich im Interesse der
Eltern und im öffentlichen Interesse erfolgt, damit die Finanzierbarkeit des
Privatkindergartens gesichert werde. Die von der Gemeinde vorgenommene Mitteilung sei
erforderlich gewesen, damit der Kindergarten weiterhin betrieben werden könne und die
-5-
Finanzierbarkeit gesichert sei und sei im Sinne des § 1 Abs. 2 DSG 2000 ein überwiegendes
Interesse des Beschwerdeführers gegeben, dass die Daten weitergegeben worden seien.
Im Übrigen seien auch die Rechtfertigungsgründe gemäß § 8 DSG 2000 erfüllt, weil
grundsätzlich die Wohnsitzgemeinde für die Finanzierbarkeit von Kindergärten verantwortlich
sei, im gegenständlichen Fall aber Kinder aus anderen Gemeinden den Kindergarten
frequentiert hätten und die Datenermittlung/Übermittlung iSd § 8 Abs. 1 Z 1 DSG 2000
erforderlich gewesen sei.
Auch sei davon auszugehen, dass die Eltern ihre Zustimmung erteilt hätten und sei aus diesem
Grund auch der Ausnahmetatbestand gemäß § 8 Abs. 1 Z 2 DSG 2000 erfüllt.
Des Weiteren sei die Weitergabe im ausschließlichen Interesse der Betroffenen gewesen und
wäre der Ausnahmetatbestand gemäß § 8 Abs. 1 Z 3 DSG 2000 heranzuziehen.
Schließlich habe der Beschwerdeführer ein überwiegendes Interesse iSd § 8 Abs. 1 Z 4 DSG
2000, weil eine Gemeinde auch nur für die Kindergartenbetreuung von Kindern finanziell
verantwortlich gemacht werden könne, die auch den Wohnsitz in der Gemeinde hätten und
der Beschwerdeführer nicht die Kosten für andere Gemeinden übernehmen könne. Dies sei
im Interesse der „eigenen“ Gemeindebürger, weshalb iSd § 8 Abs. 3 Z 1, Z 3 bis 5 DSG 2000
die Übermittlung der Daten nicht schutzwürdige Geheimhaltungsinteressen verletzt habe und
von Seiten der belangten Behörde eine Interessenabwägung vorzunehmen gewesen wäre,
was nicht erfolgt sei.
Der Beschwerdeführer stellte sohin die Anträge, das Bundesverwaltungsgericht möge
1. in der Sache selbst entscheiden und den angefochtenen Bescheid ersatzlos beheben;
2. in eventu den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit
zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverweisen
und
3. eine mündliche Verhandlung durchführen.
Mit Schreiben der Datenschutzbehörde vom 18.10.2018 war die Beschwerde samt
Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Die mitbeteiligten Parteien haben in ihrer Datenschutzbeschwerde vom 03.01.2018,
verbessert mit Schriftsätzen vom 28.01.2018 sowie vom 02.02.2018, geltend gemacht, sie
-6-
seien in ihrem Recht auf Geheimhaltung verletzt worden, weil der Beschwerdeführer im
Rahmen eines Briefes betreffend die Kostenübernahme der Kinderbetreuung in einem
Privatkindergarten personenbezogene Daten der mitbeteiligten Parteien an
Erziehungsberechtigte anderer den gleichen Kindergarten wie die mitbeteiligten Parteien im
Zeitraum von September 2016 bis August 2017 besuchenden Kinder weitergegeben habe.
Konkret sei diesem Brief eine Liste aller Kinder, die den Privatkindergarten im Zeitraum vom
September 2016 bis August 2017 besucht hätten, mit Angabe des Namens, des
Geburtsdatums, der Adresse und des Eintritts- sowie Austrittsdatums in den Kindergarten zu
entnehmen gewesen.
Der Beschwerdeführer hat einen Brief an alle Erziehungsberechtigte der Kinder, die den „
XXXX “-Kindergarten im Zeitraum zwischen September 2016 und August 2017 besucht haben,
verfasst. Diesem Brief waren folgende Liste angeschlossen:
- „Kinderliste XXXX September 2016 - August 2017“ mit Name, Geburtsdatum, Adresse
und Eintrittsdatum der mitbeteiligten Parteien;
- „Kostenaufteilung 1. September 2016 - 31. August 2017“ mit Name, Geburtsdatum,
Eintrittsdatum, Minustage, Gesamttage und Kostenanteile der mitbeteiligten Parteien.
Fest steht, dass der Beschwerdeführer weder schriftlich noch konkludent eine Einwilligung der
Eltern der mitbeteiligten Parteien zur Verarbeitung der personenbezogenen Daten eingeholt
hat.
Als maßgeblich ist folglich festzustellen, dass der Beschwerdeführer die mitbeteiligten
Parteien durch die Verarbeitung (hier: die Offenlegung durch Übermittlung) der beiden oben
genannten Listen mit personenbezogenen Daten in ihrem Recht auf Geheimhaltung verletzt
hat.
2. Beweiswürdigung:
Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der
Beschwerde und dem Gerichtsakt.
Für den zuständigen Senat ist unstrittig, dass die gegenständlichen Listen mit
personenbezogenen Daten der mitbeteiligten Parteien ohne Einwilligung ihrer Eltern an
andere Erziehungsberechtigte der den Kindergarten besuchenden Kinder vom
Beschwerdeführer durch Übermittlung eines Briefes verarbeitet wurden.
-7-
Aus dieser Erwägung wurden obige Feststellungen getroffen.
3. Rechtliche Beurteilung:
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden
gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern
nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über
Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs.
7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster
Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter
aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Gegenständlich liegt somit Senatszuständigkeit vor.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch
das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2
VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens
dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das
Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit
Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung
– BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und
des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene
verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß
anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht
vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch
Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu
erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache
selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des
-8-
maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit
gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
3.3. Zu A)
3.3.1. Anzuwendende Rechtslage
Die verfahrenseinleitende Datenschutzbeschwerde vom 03.01.2018 war zum Zeitpunkt des
Inkrafttretens der DSGVO am 25.05.2018 bei der Datenschutzbehörde anhängig.
Die Datenschutzbehörde hatte in einem solchen Fall nach dem DSG 2000 das anhängige
Verfahren gemäß § 69 Abs. 4 DSG idgF „nach den Bestimmungen dieses Bundesgesetzes und
der DSGVO“ fortzuführen.
Nach leg. cit. hat die Datenschutzbehörde im gegenständlichen Fall bereits die neue
Rechtslage (DSG und DSGVO) anzuwenden gehabt. In der Folge ist auch vom
Bundesverwaltungsgericht die neue Rechtslage anzuwenden.
3.3.1.1. Die maßgeblichen Bestimmungen der DSGVO
Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder
identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als
identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt,
insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer
Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder
mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der
physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen
oder sozialen Identität dieser natürlichen Person sind;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten
Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen
Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung,
die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die
Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der
Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen
oder die Vernichtung;
3.-6. (…)
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel
dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten
vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten
-9-
Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der
Mitgliedstaaten vorgesehen werden;
8. (…)
9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon,
ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines
bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der
Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch
nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden
erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken
der Verarbeitung;
10. „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere
Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter
und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen
oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu
verarbeiten;
11. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in
informierter Weise und unmissverständlich abgegebene Willensbekundung in Form
einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die
betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie
betreffenden personenbezogenen Daten einverstanden ist;
12.- 26. (…)
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person
nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und
Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer
mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine
Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für
wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß
Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung
notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle
angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf
die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden
(„Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so
lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist;
personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen
Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer
Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der
betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende
- 10 -
Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für
statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der
personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder
unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung
oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische
Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen
Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden
Bedingungen erfüllt ist:
a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden
personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die
betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die
auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der
der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen
Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im
öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem
Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen
oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und
Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern,
überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind
handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben
vorgenommene Verarbeitung.
(2) Die Mitgliedstatten können spezifischere Bestimmungen zur Anpassung der
Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung
von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische
Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine
rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten,
einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitung gemäß Absatz 1 Buchstaben c und e wird
festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder
hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe
erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt
erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische
- 11 -
Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten,
unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung
der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von
Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für
welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche
Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche
Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich
Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden
Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX.
Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse
liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen
Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die
personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen
Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer
demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz
der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche –
um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die
personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten
erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden,
insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem
Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien
personenbezogen Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene
Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet
werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen
Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder
Pseudonymisierung gehören kann.
3.3.1.2. Die maßgeblichen Bestimmungen des DSG
Artikel 1
(Verfassungsbestimmung)
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und
Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen
Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen
Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder
wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem
Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse
des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf
Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen
- 12 -
zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die
aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und
Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige
Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind,
nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig
angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen
festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils
nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(…)
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde,
wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen
Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die
behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig
eingebracht ist.
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige
Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer
Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht
binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat,
längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden
hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine
Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem
aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung,
Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist,
um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht
berechtigt erweist, ist sie abzuweisen.
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der
Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den
Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die
Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören.
Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren
formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum
er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht
beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache
ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der
ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde
auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen
- 13 -
und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu
berücksichtigen.
(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab
Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.
(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die
Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht
innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in
Kenntnis gesetzt hat.
(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren
beiziehen.
(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:
1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage
ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.
3.3.2. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch
im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der
ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges
Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten
sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare
Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen,
sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen.
Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten
als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht,
geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.
Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG
überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist
eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen
Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.
Die mitbeteiligten Parteien haben in der gegenständlichen Datenschutzbeschwerde geltend
gemacht, sie seien in ihrem Recht auf Geheimhaltung personenbezogener Daten verletzt
worden, weil der Beschwerdeführer im Rahmen eines Briefes betreffend die
Kostenübernahme der Kinderbetreuung in einem Privatkindergarten personenbezogene
Daten der mitbeteiligten Parteien an Erziehungsberechtigte anderer den gleichen
Kindergarten wie die mitbeteiligten Parteien im Zeitraum von September 2016 bis August
2017 besuchenden Kinder weitergegeben habe. Konkret sei diesem Brief eine Liste aller
Kinder, die den Privatkindergarten im Zeitraum vom September 2016 bis August 2017 besucht
- 14 -
hätten, mit Angabe des Namens, des Geburtsdatums, der Adresse und des Eintritts- sowie
Austrittsdatums in den Kindergarten zu entnehmen gewesen.
Gemäß Art. 6 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten dann rechtmäßig,
wenn u.a. die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden
personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat oder die
Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der
Verantwortliche unterliegt.
Zunächst ist festzuhalten, dass die Übermittlung der personenbezogenen Daten der
mitbeteiligten Parteien vom Beschwerdeführer vorgelegten XXXX rechtlich nicht gedeckt ist,
was vom Beschwerdeführer auch nicht ins Treffen geführt wurde.
Der Beschwerdeführer hat als Verantwortlicher von den betroffenen Eltern der mitbeteiligten
Parteien vor der Versendung des Briefes mit den beigelegten gegenständlichen Listen nicht
deren (schriftliche oder konkludente) Einwilligung zur Verarbeitung ihrer personenbezogenen
Daten eingeholt. Dem konkreten Inhalt dieses Briefes kommt somit keine Relevanz zu.
Wenn der Beschwerdeführer behauptet, er sei davon ausgegangen, dass die Eltern der
mitbeteiligten Parteien damit einverstanden wären, deren personenbezogenen Daten an
andere Erziehungsberechtigte der den Kindergarten besuchenden Kinder zu schicken, weil die
Leiterin des Privatkindergartens ihm die beiden Listen übermittelt habe, ist dem Folgendes
entgegenzuhalten: Als die Leiterin des Privatkindergartens (mit Einwilligung der Betroffenen)
dem Beschwerdeführer die beiden Listen zur Verfügung gestellt hat, hat sie nicht vorher sehen
können, dass der Beschwerdeführer zu einem späteren Zeitpunkt die gegenständlichen Listen
an andere Erziehungsberechtigte durch Übermittlung eines Briefes verarbeiten würde. Die
Leiterin des Privatkindergartens ist in der gegebenen Fallkonstellation eine „Dritte“ iSd der
Begriffsbestimmung des Art. 4 Z 10 DSGVO.
Der zuständige Senat gelangt daher zu dem Ergebnis, dass der Beschwerdeführer als
Verantwortlicher die personenbezogenen Daten der mitbeteiligten Parteien durch den
Versand des Briefes samt den beiden gegenständlichen Listen an andere
Erziehungsberechtigte der den Kindergarten besuchenden Kinder unzulässiger Weise
verarbeitet hat (hier: Offenlegung durch Übermittlung) und dadurch die mitbeteiligten
Parteien in ihrem Recht auf Geheimhaltung verletzt hat.
- 15 -
Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs.
1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG
iVm § 24 Abs. 1 und 5 DSG idgF abzuweisen.
3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für
erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Der Beschwerdeführer hat zwar gegenständlich einen Antrag auf Durchführung einer
öffentlichen Verhandlung gestellt, jedoch kann im gegenständlichen Fall das Unterlassen einer
mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage
geklärt war. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu
erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach
der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung
unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen
Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B
155/12).
Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 und Abs.
4 VwGVG abzusehen.
3.5. Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder
Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der
Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der
Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die
gegenständliche Entscheidung von der bisherigen Rechtsprechung des
Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die
vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu
beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu
lösenden Rechtsfrage vor.