Sitz Wien:
Erdbergstraße 192 – 196, 1030 Wien
Tel: +43 1 601 49 – 0
Fax: +43 1 711 23-889 15 41
www.bvwg.gv.at
Entscheidungsdatum
16.12.2024
Geschäftszahl
W137 2292450-1/4E
I M N A M E N D E R R E P U B L I K !
Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender
und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie MMag. Jakob KALINA
als Beisitzer:innen über die Beschwerde der XXXX , vertreten durch die Altenweisl Wallnöfer
Watschinger Zimmermann RAe GmbH, gegen den Bescheid der Datenschutzbehörde vom
10.04.2024, GZ. D124.1941/23, 2024-0.085.514, zu Recht erkannt:
A)
Der Beschwerde wird Folge gegeben und der angefochtene Bescheid ersatzlos behoben.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe :
I. Verfahrensgang:
1. Mit verfahrensleitender Eingabe vom 21.08.2023, verbessert mit Schriftsatz vom
31.08.2023, erhob XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und
Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde explizit gegen die
XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin
-2-
vor der Datenschutzbehörde; in Folge auch: XXXX ) wegen Verletzung im Recht auf
Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, die XXXX habe gegen die
Beschwerdeführerin eine Klage eingebracht mit dem Vorwurf, die Mitgliedsbeiträge seien
ohne Zustimmung ihrer Kunden erhöht worden. Im Zuge des Gerichtsverfahrens sei dann als
Beweismittel eine E-Mail-Korrespondenz zwischen der mitbeteiligten Partei und der
Beschwerdeführerin vorgelegt worden. Dies habe der mitbeteiligten Partei der Anwalt der
XXXX mitgeteilt.
Sohin habe die Beschwerdeführerin die Daten der mitbeteiligten Partei (Name und E-Mail-
Adresse) sowie den Umstand, dass sie Kunde bei ihr sei, ohne deren Zustimmung offengelegt.
Zudem sei die mitbeteiligte Partei in diesem Zusammenhang vom Landesgericht XXXX (im
Folgenden: LG) als Zeugin geladen worden.
2. Mit Stellungnahme vom 20.09.2023 führte die Beschwerdeführerin zur
Datenschutzbeschwerde im Wesentlichen folgendes aus:
Sie betreibe mehrere Fitnesscenter, u.a. jenes in XXXX , wo die mitbeteiligte Partei Mitglied
sei. Die Beschwerdeführerin habe lediglich die E-Mail-Korrespondenz mit der mitbeteiligten
Partei an ihren Rechtsanwalt weitergeleitet, da diese für den Rechtsstreit mit der XXXX
relevant gewesen sei. Weitere personenbezogene Daten seien hingegen nicht weitergegeben
worden.
3. Mit Schreiben vom 29.09.2023 gab die Beschwerdeführerin ergänzend folgendes an:
Die Datenverarbeitung sei zur Erfüllung des Vertragsverhältnisses notwendig gewesen und die
Verwendung der gegenständlichen Daten im Gerichtsverfahren diene ihren berechtigten
Interessen. Die Vorlage der E-Mail-Korrespondenz habe lediglich zur allgemeinen
Veranschaulichung der Abwicklung von Vertragsverhältnissen zwischen der
Beschwerdeführerin und ihren Kunden gedient, ohne dabei näher auf das individuelle
Vertragsverhältnis mit der mitbeteiligten Partei einzugehen. Der Schriftverkehr mit der
mitbeteiligten Partei sei deswegen ausgewählt worden, da sich darin der für das
Gerichtsverfahren bedeutende Standpunkt der Beschwerdeführerin besonders gut abbilde.
4. Mit Bescheid vom 10.04.2024, GZ. D124.1941/23, 2024-0.085.514, gab die
Datenschutzbehörde der Datenschutzbeschwerde vom 21.08.2023 statt und stellte fest, dass
die Beschwerdeführerin die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt
habe, indem sie eine E-Mail-Korrespondenz zwischen der Beschwerdeführerin und der
mitbeteiligten Partei am XXXX unrechtmäßig über das erforderliche Ausmaß übermittelt
habe.
-3-
In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende
Sachverhaltsfeststellungen:
Die Beschwerdeführerin betreibe mehrere Fitnesscenter, u.a. auch ein Fitnesscenter in XXXX
, wo die mitbeteiligte Partei seit XXXX Mitglied sei.
Im Rahmen ihrer Mitgliedsvereinbarung habe die mitbeteiligte Partei einer etwaigen
Weitergabe ihrer personenbezogenen Daten nicht zugestimmt.
Die Beschwerdeführerin befinde sich in einem Rechtsstreit mit der XXXX beim LG. Inhalt
dieses Verfahrens sei die Erhöhung von Gebühren durch die Beschwerdeführerin ohne
Zustimmung ihrer Kunden.
Die Beschwerdeführerin habe als Beweismittel zur allgemeinen Veranschaulichung der
Abwicklung von Vertragsverhältnissen zwischen ihr und ihren Kunden eine E-Mail-
Korrespondenz mit der mitbeteiligten Partei am XXXX vorgelegt.
Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in
rechtlicher Hinsicht im Wesentlichen Folgendes:
Die Beschwerdeführerin führe als Rechtsgrundlage für die Datenverarbeitung Art. 6 Abs. 1 lit.
b und lit. f DSGVO ins Treffen.
Der Beschwerdeführerin sei zwar zuzustimmen, dass eine grundsätzliche Datenverarbeitung
zur Erfüllung des Vertragsverhältnisses notwendig sei, doch sei eine Datenverarbeitung zur
Erfüllung des Vertrages auch gar nicht beschwerdegegenständlich. Vielmehr sei die
Datenverarbeitung außerhalb des Vertragskontext in einem zivilgerichtlichen Verfahren mit
einem Dritten zu prüfen. Art. 6 Abs. 1 lit. b DSGVO sei daher auf den gegenständlichen
Sachverhalt nicht anwendbar.
Zu prüfen sei somit folglich, ob berechtigte Interessen der Beschwerdeführerin iSd Art. 6 Abs.
1 lit. f DSGVO bzw. § 1 Abs. 2 DSG den Eingriff rechtfertige.
Nach der ständigen Rechtsprechung des EuGH seien für eine Berufung auf Art. 6 Abs. 1 lit. f
DSGVO drei Voraussetzungen erforderlich:
a) vom Verantwortlichen oder Dritten müsse ein berechtigtes Interesse wahrgenommen
werden;
b) die Verarbeitung der personenbezogenen Daten müsse zur Verwirklichung des
berechtigten Interesses erforderlich sein und
c) die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt
werden sollten dürften nicht überwiegen.
Die Übermittlung einer E-Mail-Korrespondenz mit einem Kunden sei grundsätzlich ein
geeignetes Mittel, um das Vorbringen der Beschwerdeführerin im Verfahren zu beweisen,
-4-
allerdings wäre dies auch ohne namentliche Nennung des konkreten Kunden möglich
gewesen.
Die Übermittlung der E-Mail-Korrespondenz ohne Schwärzung der personenbezogenen Daten
der mitbeteiligten Partei sei daher nicht zum Zwecke der Geltendmachung, Ausübung oder
Verteidigung von Rechtsansprüchen erforderlich gewesen und sei im vorliegenden Fall vor
diesem Hintergrund von einem überwiegenden Interesse der mitbeteiligten Partei auf
Geheimhaltung ihrer Daten auszugehen.
5. In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte die
Beschwerdeführerin im Wesentlichen vor:
Beschränkungen des Anspruchs auf Geheimhaltung seien gemäß § 1 Abs. 2 DSG u.a. dann
zulässig, wenn die Verwendung der personenbezogenen Daten durch überwiegende
berechtigte Interessen eines Dritten gerechtfertigt sei. Die Vorlage als Beweismittel im
Gerichtsverfahren stelle nach der Rechtsprechung des EuGH eine zweckändernde
Weiterverarbeitung dar. Diese müsse auf einer nationalen Verarbeitungsgrundlage – wie einer
Bestimmung des Zivilverfahrensrechtes (vgl. § 83 Abs. 1 GOG) – basieren. Weiters müsse die
Weiterverarbeitung eine in einer demokratischen Gesellschaft notwendige und
verhältnismäßige Maßnahme iSd Art. 6 Abs. 4 DSGVO sein und eines der Ziele des Art. 23 Abs.
1 DSGVO verfolgen. All diese Voraussetzungen würden gegenständlich auch vorliegen.
Die belangte Behörde sei im vorliegenden Fall fälschlicherweise davon ausgegangen, dass die
Datenverarbeitung in diesem Ausmaß nicht zur Zweckerreichung erforderlich gewesen sei,
denn als Beweis in einem Zivilverfahren wäre es jedoch nicht ausreichend gewesen,
geschwärzte Dokumente als Beweis vorzulegen. Die Beschwerdeführerin habe im
Gerichtsverfahren gegen die XXXX Nachrichten als Beweismittel vorlegen müssen, um
nachzuweisen, dass tatsächlich individuelle Absprachen mit Kunden stattgefunden hätten.
Daher sei es maßgeblich und erforderlich gewesen, dass die Beweismittel, konkret die E-Mail-
Korrespondenz mit der mitbeteiligten Partei ungeschwärzt vorgelegt worden seien.
Die Datenverarbeitung in der gewählten Form sei daher geeignet, das angestrebte Ziel zu
erreichen, dem Zweck angemessen und erforderlich. Zudem habe der Zweck nicht durch
gelindere Mittel erreicht werden können. Wäre die E-Mail-Korrespondenz geschwärzt
worden, wäre der Beschwerdeführerin nicht der Beweis gelungen, dass es sich um eine
Unterhaltung mit einem Kunden der Beschwerdeführerin gehandelt habe. Somit sei die
Datenverarbeitung auf das notwendigste Maß beschränkt gewesen.
Auch bei einer Interessenabwägung würden im gegenständlichen Fall die Interessen der
Beschwerdeführerin überwiegen, da sie sich in einem Gerichtsverfahren verteidigen habe
-5-
müssen. Bei den im Gerichtsverfahren vorgelegten E-Mails handle es sich um ein
Beweismittel, welches zweifelsfrei Anschuldigungen der XXXX widerlegt habe.
Beantragt werde, das Bundesverwaltungsgericht möge den angefochtenen Bescheid
dahingehend abändern, dass die Datenschutzbeschwerde abgewiesen werde; in eventu den
angefochtenen Bescheid beheben und zur neuerlichen Entscheidung an die belangte Behörde
zurückverweisen.
6. Mit Schreiben der Datenschutzbehörde vom 04.06.2024, eingelangt am 05.06.2024, wurde
die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin
wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Die Beschwerdeführerin ist Betreiberin eines Fitnesscenters in XXXX .
Die mitbeteiligte Partei, die seit XXXX Mitglied der Beschwerdeführerin bzw. dieses
Fitnesscenters ist, hat der Beschwerdeführerin keine Einwilligung zur Weitergabe seiner
personenbezogenen Daten zu Marketingzwecken beziehungsweise zur „Verbesserung des
Leistungsangebots“ erteilt.
Beim LG ist ein Gerichtsverfahren zwischen der Beschwerdeführerin und der XXXX anhängig,
in dem der Beschwerdeführerin vorgeworfen wird, die Mitgliedsbeiträge ohne Zustimmung
ihrer Kunden erhöht zu haben.
Im Rahmen dieses Gerichtsverfahrens hat der Rechtsanwalt der Beschwerdeführerin, nicht
diese selbst, am XXXX dem LG als Beweismittel zur allgemeinen Veranschaulichung der
Abwicklung von Vertragsverhältnissen zwischen der Beschwerdeführerin und ihren Kunden,
insbesondere in Bezug auf die Erhöhung der Mitgliedsbeiträge und die vorliegende
Zustimmung ihrer Kunden, eine E-Mail-Korrespondenz mit der mitbeteiligten Partei vom XXXX
vorgelegt. Darin sind der Name sowie die E-Mail-Adresse der mitbeteiligten Partei ersichtlich.
Diese wurde in weiterer Folge am XXXX auch als Zeuge geladen.
Zuvor hatte der Rechtsanwalt der XXXX das angesprochene Beweismittel als Verfahrenspartei
erhalten und die mitbeteiligte Partei am XXXX direkt angeschrieben, wobei er die gerichtliche
Beilage „./4“ samt dem gestempelten Vermerk „vorgelegt durch XXXX Rechtsanwälte GmbH“
seinem Schreiben beischloss. Bei diesem Anschreiben führte er wörtlich aus: „In diesem
-6-
Verfahren hat die XXXX das angeschlossene E-Mail von Ihnen vorgelegt“. Die mitbeteiligte
Partei brachte am 21.08.2023 die verfahrensauslösende Beschwerde bei der DSB ein, wobei
explizit „ XXXX “ als Beschwerdegegner definiert wurde.
Im angefochtenen Bescheid (Punkt C.3.) wird seitens der DSB festgestellt „Die
Beschwerdegegnerin hat als Beweismittel (…) eine E-Mail-Korrespondenz mit dem
Beschwerdeführer am XXXX vorgelegt“. Diese Feststellung erweist sich als prozessrechtlich
richtig, hinsichtlich des unmittelbaren Übermittlungsvorganges jedoch als tatsachenwidrig.
2. Beweiswürdigung:
Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der
Beschwerde sowie dem Gerichtsakt.
Die verweigerte Weitergabe persönlicher Daten bezieht sich auf Punkt 8 der
Mitgliedsvereinbarung (Werbung/Datenschutz) und betrifft nach dem Wortlaut die
Weiterleitung personenbezogener Daten an „die XXXX zu Marketingzwecken“.
Unstrittig ist, dass die verfahrensgegenständliche Weitergabe der E-Mailkorrespondenz am
XXXX (unmittelbar) seitens eines Rechtsanwalts an das Gericht erfolgte. Die XXXX erlangte
von dieser Kenntnis als Verfahrenspartei, ihr Rechtsanwalt als Vertreter im Verfahren. Der
Inhalt des Anschreibens des Rechtsanwalts der XXXX vom XXXX ergibt sich aus dem
Verwaltungsakt.
Die Feststellungen zum erstinstanzlichen Bescheid ergeben sich aus diesem. Dass der
Übermittlungsvorgang unmittelbar durch den Rechtsanwalt erfolgte, ist aus der Aktenlage
ersichtlich. Davon zu trennen ist die prozessuale Zuordnung/Zurechnung des Handelns des
Anwalts zu seinem Klienten.
3. Rechtliche Beurteilung:
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden
gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern
nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.
Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über
Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß
§ 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2
-7-
erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen
Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Gegenständlich liegt somit Senatszuständigkeit vor.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch
das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2
VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens
dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das
Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit
Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung
– BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und
des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene
verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß
anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht
vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch
Beschluss, soweit nicht ein Erkenntnis zu fällen ist.
Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu
erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache
selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des
maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit
gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
Zu A)
3.3. Die maßgeblichen Bestimmungen des DSG
Artikel 1
(Verfassungsbestimmung)
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und
Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen
Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen
-8-
Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder
wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem
Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse
des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf
Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen
zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die
aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und
Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige
Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind,
nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig
angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen
festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils
nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur
automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne
Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher
Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten
stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt
werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung
unzulässigerweise verarbeiteter Daten.
(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten
Voraussetzungen zulässig.
Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde,
wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen
Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die
behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig
eingebracht ist.
-9-
(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige
Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer
Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.
(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht
binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat,
längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden
hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.
(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine
Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem
aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung,
Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist,
um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht
berechtigt erweist, ist sie abzuweisen.
(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der
Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den
Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die
Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören.
Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren
formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum
er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht
beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache
ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der
ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde
auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen
und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu
berücksichtigen.
(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab
Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.
(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die
Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht
innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in
Kenntnis gesetzt hat.
(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren
beiziehen.
(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:
1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage
ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.
Die maßgeblichen Bestimmungen der DSGVO:
- 10 -
Art. 4 – Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
(…)
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der
Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser
Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann
der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung
nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder
andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
(…)
3.4. Die Datenschutzbehörde hat zur Weitergabe von Gesundheitsdaten durch einen
Rechtsanwalt in ihrem Bescheid vom 06.12.2021 Folgendes festgehalten:
Zunächst ist festzuhalten, dass Rechtsanwälte, wenn sie Daten für den Zweck der Vertretung
ihrer Mandanten verarbeiten, regelmäßig als für die Verarbeitung Verantwortliche tätig
werden. Sie handeln dabei zwar unter Vollmacht und sind damit nach außen berechtigt, für
ihre Mandanten rechtlich bindende Erklärungen abzugeben, die Entscheidung, welche Daten
dritter Personen für die Erfüllung des Mandats zu verarbeiten sind, wird dabei aber,
vorbehaltlich eines Beweises für das Gegenteil, vom Rechtsanwalt ohne Weisung des
Mandanten getroffen. Jedes andere Verständnis der in Frage kommenden Rollen des
Verantwortlichen (Art. 4 Z 7 DSGVO) oder Auftragsverarbeiters (Art. 4 Z 8 DSGVO) wäre mit
der Selbständigkeit eines Rechtsanwalts in Fragen der Berufsausübung unvereinbar (vgl.
dazu die Erwägungen der Datenschutzbehörde im Bescheid vom 9.3.2015, GZ. DSB-
D122.299/0003-DSB/2015, RIS, sowie die Erwägungen des Bundesverwaltungsgerichts zur
Verantwortlichenrolle und Selbständigkeit der Berufsausübung bei Berufsdetektiven,
Erkenntnis vom 25. Juni 2019, Zl. W258 2188466-1, RIS, und Gerichtssachverständigen,
Erkenntnisse vom 27. September 2018, Zl. W214 2196366-2, RIS, sowie vom 23. Jänner 2020,
Zl. W214 2196366-3, RIS).
(…)
Die Rechte der betroffenen Person (im Verständnis des Art 4 Z 1 DSGVO) sollen nur dann und
lediglich insoweit zur Anwendung kommen, als dem nicht das Recht des Rechtsanwalts auf
Verschwiegenheit zum Schutz der Partei oder der Rechte und Freiheiten anderer Personen oder
der Durchsetzung zivilrechtlicher Ansprüche entgegensteht. „Dies ist deshalb notwendig, weil
andernfalls die Gefahr bestünde, dass etwa der (Prozess-)Gegner einer zivilrechtlichen
Streitigkeit im Weg des Informations- und Auskunftsrechts nach der DSGVO Auskünfte aus den
- 11 -
Unterlagen und Akten des gegnerischen Rechtsanwalts erhalten könnte, was den Interessen
der von diesem vertretenen Partei diametral entgegenstehen würde. Angesichts der
Mannigfaltigkeit der hier möglichen Konstellationen ist gleichzeitig auch klar, dass eine
generelle Beurteilung (und Anordnung) im Vorhinein, ob und inwieweit diese Beschränkung
zum Tragen kommt, nicht möglich ist; dies ist gegebenenfalls vielmehr jeweils anhand der
konkreten Umstände des Einzelfalls zu prüfen und zu bewerten.“ (ErlRV 65 BlgNR 26. GP 160).
Abs 3a trat mit 25. Mai 2018 in Kraft (§ 60 Abs 10) (Lehner in
Engelhart/Hoffmann/Lehner/Rohregger/Vitek, RAO10 § 9 (Stand 15.9.2018, rdb.at), Rz 60).
Durch Art. 1 Z. 7 BGBl. I Nr. 61/2019 hat der bisherige Abs. 3a die Absatzbezeichnung „(4)“
erhalten.
Im Ergebnis wurde festgehalten, dass ein Rechtsanwalt berechtigt war, Gesundheitsdaten
eines Dritten ohne dessen Zustimmung in einem arbeitsrechtlichen Prozess zu verarbeiten.
Die Datenschutzbehörde hat auch bereits zu einer früheren Rechtslage in einem Bescheid vom
22.01.2018 (DSB-D122.767/0001-DSB/2018) zur Auftraggebereigenschaft bestimmter
beauftragter Berufsgruppen ausgeführt:
Gemäß § 4 Z 4 DSG 2000 gilt als Auftraggeber jede natürliche oder juristische Person,
Personengemeinschaft oder Organe einer Gebietskörperschaft beziehungsweise die
Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die
Entscheidung getroffen haben, Daten zu verwenden (Z 8), unabhängig davon, ob sie die Daten
selbst verwenden (Z 8) oder damit einen Dienstleister (Z 5) beauftragen. Sie gelten auch dann
als Auftraggeber, wenn der mit der Herstellung eines Werkes beauftragte Dienstleister (Z 5)
die Entscheidung trifft, zu diesem Zweck Daten zu verwenden (Z 8), es sei denn, dies wurde ihm
ausdrücklich untersagt oder der Beauftragte hat auf Grund von Rechtsvorschriften oder
Verhaltensregeln über die Verwendung eigenverantwortlich zu entscheiden.
Das bedeutet, dass die Übernahme eines Auftrages – der auch die Verarbeitung
personenbezogener Daten miteinschließt – einen Beauftragten bzw. Auftragnehmer dann
nicht zum Dienstleister im Sinne des § 4 Z 5 DSG 2000 macht, wenn dieser eine berufliche
Rechtsstellung hat, die die eigenverantwortliche Auftragserfüllung vorsieht (vgl. Kotschy in
Jahrbuch Öffentliches Recht 2011, NWV, Seite 136 f). Im Zusammenhang mit der Neufassung
des § 4 Z 4 DSG 2000 durch die DSG-Novelle 2010 wird in den Erläuterungen zur
Regierungsvorlage, 472 der Beilagen XXIV. GP, hierzu festgehalten:
Unverändert bleibt auch die Auftraggebereigenschaft jener beauftragten Berufsgruppen, die
aufgrund von Rechtsvorschriften eigenverantwortlich über die Verwendung von Daten
entscheiden (vgl. die beispielhafte Aufzählung der Rechtsanwälte, Wirtschaftstreuhänder und
- 12 -
Ziviltechniker in den Erläuterungen zur Regierungsvorlage 1613 der Beilagen XX. GP, 37, zur
Stammfassung).
Wirtschaftstreuhänder sind gemäß § 71 WTBG verpflichtet, ihren Beruf gewissenhaft,
sorgfältig, eigenverantwortlich und unabhängig sowie unter Beachtung der im vierten
Hauptstück des WTBG und der in den Richtlinien gemäß § 72 WTBG enthaltenen
Bestimmungen auszuüben. Soweit die Beschwerdegegnerin in ihrer Stellungnahme darauf
verweist, dass der Begriff der „Erforderlichkeit“ gemäß § 71 WTBG dahingehend zu
interpretieren sei, dass ein Klient einem Berufsberechtigten keine Weisung fachlicher Natur
geben dürfe, übersieht die Beschwerdegegnerin, dass gerade darin die
eigenverantwortliche Auftragserfüllung der Beschwerdegegnerin im Sinne des § 4 Z 4 letzter
Halbsatz DSG 2000 liegt.
Analog hat die Datenschutzbehörde – wie auch die ehemalige Datenschutzkommission –
bezüglich der Auftraggebereigenschaft von Rechtsanwälten bereits mehrfach
ausgesprochen, dass bei Rechtsanwälten auf Grund ihrer beruflichen Selbständigkeit im
Regelfall davon auszugehen ist, dass diese bei der Besorgung von Geschäften für ihre
Mandanten gemäß § 4 Z 4 letzter Halbsatz DSG 2000 „eigenverantwortlich“ vorgehen dürfen
und damit hinsichtlich der zwecks Bearbeitung einer Causa verarbeiteten
personenbezogenen Daten Auftraggeber sind (vgl. Bescheide der ehemaligen
Datenschutzkommission vom 13.07.2012, GZ: K121.810/0013-DSK/2012, bzw. der
Datenschutzbehörde vom 27.10.2014, GZ: DSB-D122.215/0004-DSB/2014, oder vom
09.03.2015, GZ: DSB-D122.299/0003-DSB/2015).
3.5. Gegenstand des Verfahrens ist ausschließlich die Übermittlung der E-Mailkorrespondenz
(als Beweismittel) am XXXX an das LG – einen anderen Verarbeitungsvorgang hat die DSB im
angefochtenen Bescheid nicht aufgegriffen. Dieser erfolgte seitens des Rechtsanwalts der
Beschwerdeführerin.
3.6. In diesem Übermittlungsvorgang agierte der Rechtsanwalt der XXXX gemäß oben
wiedergegebener Rechtslage und Judikatur als eigenständiger Verantwortlicher im Sinne von
Art. 4 Z 7 DSGVO und nicht als Auftragsverarbeiter.
Das erstinstanzliche Beschwerdeverfahren hätte somit gegen den Rechtsanwalt der XXXX und
nicht gegen diese selbst geführt werden müssen. Dementsprechend hat die mitbeteiligte
Partei in ihrer verfahrensauslösenden Beschwerde den falschen Beschwerdegegner
bezeichnet.
- 13 -
3.7. Gemäß § 24 (2) Z 2 DSG hat die Beschwerde den Beschwerdegegner zu bezeichnen, sofern
dies zumutbar ist. Die Information über die Datenweitergabe erlangte der Beschwerdeführer
durch ein Schreiben des Anwalts der XXXX , wobei aus der mit diesem Schreiben übermittelten
Beilage grundsätzlich ersichtlich ist, dass die (unmittelbare) Vorlage an das LG durch eine
Rechtsanwaltskanzlei erfolgte (Stempel und Beilagenbezeichnung).
Gleichzeitig hat allerdings der die mitbeteiligte Partei informierende Rechtsanwalt dieser
(dabei offensichtlich nur auf prozessuale Fragen abstellend) mitgeteilt, dass „die XXXX “ die
Korrespondenz im Verfahren vorgelegt habe. Vom Beschwerdeführer als einer nicht
rechtskundigen Privatperson kann allerdings nicht verlangt werden, dass er die obige
Judikatur zur eigenständigen Verantwortlichkeit von Anwälten im Datenschutzbereich kennt.
Ebenso wenig ist ihm vorzuwerfen, dass er dem Anwaltsstempel auf der Korrespondenz –
zumal nach dem Wortlaut des anwaltlichen Schreibens vom XXXX – keine rechtsrelevante
Bedeutung beigemessen hat.
Daraus ergibt sich, dass für die mitbeteiligte Partei nicht in zumutbarer Weise ersichtlich war,
wer die unter Punkt 3.5. vorgenommene Übermittlung durchgeführt hat und
dementsprechend von ihr als Beschwerdegegner zu benennen gewesen wäre.
Warum dieser Umstand – trotz einschlägiger Entscheidungspraxis – auch der Behörde nicht
aufgefallen ist, sie vielmehr sogar eine tatsachenwidrige Sachverhaltsfeststellung (im
verfahrensrelevanten Kontext der Datenschutzverantwortlichkeit) getroffen hat, kann
dahingestellt bleiben.
3.8. Aus Sicht des Bundesverwaltungsgerichts ist der Rechtsanwalt der Beschwerdeführerin
und nicht die Beschwerdeführerin selbst als Verantwortlicher für die Datenverarbeitung zu
sehen.
Das Verwaltungsgericht darf das Beschwerdeverfahren nicht gegen den Rechtsanwalt anstelle
des Beschwerdeführers führen, weshalb in so einem Fall der gegenständlich bekämpfte
Bescheid der Datenschutzbehörde („ersatzlos“) zu beheben ist.
Das Verfahren ist damit erneut zur inhaltlichen Entscheidung bei der Datenschutzbehörde
anhängig.
Der Vollständigkeit halber hält das Bundesverwaltungsgericht fest, dass der
Beschwerdeführer in der Mitgliedsvereinbarung (Punkt 8) einer „etwaigen Weitergabe seiner
personenbezogenen Daten“ lediglich „an die XXXX Marketingzwecken“ nicht zugestimmt hat.
Das ergibt sich aus dem klaren Wortlaut der Passage. Dass dieser Passus eine Weitergabe von
- 14 -
Daten (etwa an ein Gericht) trotz berechtigten Interesses des Beschwerdeführers schon
grundsätzlich entgegenstehen würde, kann daraus keinesfalls abgeleitet werden.
3.9. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für
erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Die durch einen Rechtsanwalt vertretene Beschwerdeführerin hat keinen Antrag auf
Durchführung einer öffentlichen Verhandlung gestellt.
Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung zusätzlich
darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das
Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR
20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung
des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der
Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg.
17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).
Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG
abzusehen.
Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder
Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der
Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der
Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die
gegenständliche Entscheidung von der bisherigen Rechtsprechung des
Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die
vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu
beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu
lösenden Rechtsfrage vor.