Im namen der republik!
Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA LL.M. als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch Rechtsanwältin XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , Zl. XXXX , in nichtöffentlicher Sitzung zu Recht:
A)
Der Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. Die nunmehr mitbeteiligte Partei brachte am XXXX .2019 gegen die nunmehrige Beschwerdeführerin – eine Hausverwaltung - eine Datenschutzbeschwerde bei der Datenschutzbehörde ein, worin moniert wurde, dass die Beschwerdeführerin ein Email der mitbeteiligten Partei beantwortet und gleichzeitig 37 weitere Empfänger_innen in cc gesetzt habe. Dadurch habe die Beschwerdeführerin Daten der Datenarten Name und Telefonnummer der mitbeteiligten Partei unberechtigter Weise offengelegt
2. Nach Aufforderung zur Stellungnahme führte die Beschwerdeführerin mit Schreiben vom XXXX .2019 aus, dass sich die mitbeteiligte Partei per Email vom XXXX .2019 zum Thema der Reparatur bzw. des Austausches eines defekten Garagentores geäußert habe. Da die Kommunikation und Korrespondenz nicht nur die mitbeteiligte Partei betroffen habe, sondern die gesamte Wohnungseigentümergemeinschaft, habe man in die Kommunikation eine Vielzahl an Empfängern und Empfängerinnen eingebunden. Da das Thema der Benutzbarkeit der Garageneinfahrt auch für die anderen Empfänger_innen von unmittelbarem Interesse gewesen sei, habe eine Mitarbeiterin der Beschwerdeführerin alle in der Sache betroffenen Personen unter Einem informiert. Die gerügten Daten seien ohnehin allen Empfängern und Empfängerinnen bekannt gewesen. Es sei lediglich die Telefonnummer indirekt anderen Email-Empfängern und Empfängerinnen zu Kenntnis gebracht worden. Die Mitarbeiterin habe sich aufgrund der Formulierung im Email, nach der anzunehmen gewesen sei, dass die mitbeteiligte Partei im Namen von Miteigentümern und -eigentümerinnen spreche, dazu entschlossen, den vorliegenden Adressatenkreis zu wählen. Diese Vorgehensweise bei der (verpflichtenden) Abstimmung innerhalb der Wohnungseigentümergemeinschaft hätten alle, auch die mitbeteiligte Partei, zumindest konkludent akzeptiert. Betreffend die gerügte Verletzung von Geheimhaltungspflichten werde bestritten, dass die gerügten Daten einerseits dem Empfängerkreis nicht bekannt gewesen seien und anderseits, dass die Daten unberechtigt offengelegt worden seien. Die Weiterleitung der Telefonnummer sei auf ein minderes Versehen zurückzuführen und beruhe auf einem entschuldbaren Irrtum.
3. Die mitbeteiligte Partei führte daraufhin in einer Stellungnahme vom XXXX .2019 aus, dass auch Personen, die mit der Wohnungseigentümergemeinschaft nichts zu tun hätten, Name und Telefonnummer der mitbeteiligten Partei offengelegt worden seien. Es bleibe dabei, dass die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt worden sei, dass Name, Telefonnummer und die E-Mail vom XXXX .2019 unberechtigt weitergeleitet worden seien.
4. Mit dem angefochtenen Bescheid der Datenschutzbehörde wurde der Beschwerde der mitbeteiligten Partei stattgegeben und festgestellt, dass die nunmehrige Beschwerdeführerin die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt habe, indem sie in der Antwort auf das Email vom XXXX .2019 37 weitere Empfänger_innen gesetzt und damit Name und Telefonnummer der mitbeteiligten Partei offengelegt habe.
Begründend wurde ausgeführt, dass dem Vorbringen der Beschwerdeführerin, wonach verfahrensgegenständlich keine Verletzung des Rechts auf Geheimhaltung vorliege, da die Empfänger_innen des Emails der mitbeteiligten Partei dem geschlossenen Kreis der Wohnungseigentümer_innen angehören würden, und die Kommunikation innerhalb dieses geschlossenen Kreises datenschutzrechtlich völlig unbedenklich sei, keine Berechtigung zukomme. Der Umstand, Teil einer Wohnungseigentümergemeinschaft zu sein, sei für das Bestehen des Grundrechts auf Datenschutz unerheblich. Auf ein Verschulden der mitbeteiligten Partei komme es dabei ebenfalls nicht an. Ebenso unerheblich sei daher, ob die Empfänger_innen Teile der Daten zumindest kennen konnten. Auch das Vorbringen betreffend eine nicht näher benannte vertragliche Grundlage vermöge die Offenlegung von personenbezogenen Daten an Dritte nicht zu rechtfertigen. In Ermangelung eines tragenden Eingriffstatbestandes im Sinne des § 1 Abs. 2 Datenschutzgesetz (DSG) sowie Art. 6 Datenschutz-Grundverordnung (DSGVO) habe kein rechtlich zulässiger Eingriff in das Geheimhaltungsrecht der mitbeteiligten Partei durch die Beschwerdeführerin vorgelegen. Die Beschwerdeführerin habe durch die Übermittlung des Emails der mitbeteiligten Partei daher in unzulässiger Weise in ihr Geheimhaltungsrecht eingegriffen, weswegen der Beschwerde stattzugeben gewesen sei.
5. In ihrer Beschwerde vom XXXX .2020 führte die Beschwerdeführerin aus, dass die Datenschutzbehörde zu Unrecht von einer Verletzung der Geheimhaltungsverpflichtungen ausgehe. Die mitbeteiligte Partei sei als Wohnungseigentümer einer von der Beschwerdeführerin betreuten Wohnungsanlage Mitglied der Wohnungs-eigentümergemeinschaft. Sie sei in diesem Zusammenhang betreffend eine Reparatur bzw. den Austausch eines defekten Garageneinfahrtstores in den Verteiler der Email-Korrespondenz aufgenommen worden. Es habe sich um eine laufende Angelegenheit der Wohnungseigentümergemeinschaft dieser Anlage gehandelt, wozu im Vorfeld bereits eine umfangreiche Vorkorrespondenz mit den betroffenen Wohnungseigentümern und -eigentümerinnen und auch Mieterinnen und Mietern geführt worden sei. Die Beschwerdeführerin habe sich dabei auf ihre Ermächtigung als Hausverwalterin zur gesetzlichen Vertretung der Wohnungseigentümergemeinschaft zwecks möglichst effizienten Informationsaustauschs zu dem erwähnten konkreten Reparaturvorhaben gestützt. Innerhalb dieses Personenkreises finde einvernehmlich ein regelmäßiger Informationsaustausch statt, wobei es üblich sei, dass die Adressaten im Rahmen der von ihnen abgegebenen Kommentare ihren Kontakt, nämlich Namen, Adresse und Telefonnummer, selbst anfügen würden. Auch verwende die mitbeteiligte Partei die verfahrensgegenständlichen personenbezogenen Daten in ihrer Korrespondenz in der „Email-Signatur“. Im Email vom XXXX .2019 habe die mitbeteiligte Partei Formulierungen in der Pluralform, wie: „dass Sie uns“, „Somit wissen wir“ und „dass wir“, verwendet, weshalb eine Mitarbeiterin der Beschwerdeführerin davon ausgehen habe dürfen, dass das Antwortmail an alle bisher stets parallel in die Korrespondenz eingebundenen Teilnehmer_innen erfolgen solle. Nur auf diese Weise könne und solle einerseits dem Anspruch der Wohnungseigentümer_innen und Mieter_innen auf möglichst zeitnahe Informationsweitergabe zu einem aktuellen Reparaturvorhaben Rechnung getragen werden, und andererseits gleichzeitig dem Aufwand der Weitergabe von Informationen für die Hausverwaltung in Anbetracht der ansonsten anfallenden Email- und Papierflut entsprechend genüge getan werden, zumal es sich bei den Adressaten der Informationen zur Garagenreparatur um einen geschlossenen Personenkreis handle, an dem sich selbige durch Antworten und Kommentare beteiligen dürften und auch sollten. Die verfahrensgegenständliche Email-Korrespondenz habe daher keine „geheimen Daten“ preisgegeben, sondern es habe sich um eine einvernehmliche Maßnahme im Rahmen der organisatorischen Aspekte der Hausverwaltung gehandelt, die keiner gesonderten Geheimhaltungsverpflichtung innerhalb des Empfängerkreises der Wohnungs-eigentümer_innen unterliege. Die Wohnungseigentümer_innen würden mit der Aufnahme bzw. Teilnahme in der Wohnungsgemeinschaft dazu ihr Einverständnis geben, da der Informationsfluss zwischen Hausverwaltung und Wohnungseigentumsgemeinschaft eines der Hauptanliegen der Beteiligten sei. Auch sei zu berücksichtigen, welcher administrative Aufwand ansonsten damit verbunden wäre, bei Antwortmails alle von den Adressaten preisgegebenen „Signaturen“ einzeln löschen zu müssen. Insofern sei der Anspruch auf Geheimhaltung der mitbeteiligten Partei in dem die Möglichkeiten und Abarbeitung von Maßnahmen der Hausverwaltung im Interesse der Wohnungseigentümer_innen und Mieter_innen bestimmenden Rahmen zu beurteilen. Abzuwägen sei folglich das Interesse der mitbeteiligten Partei an Geheimhaltung und ihr selbst bekundetes Interesse an Informationen und Mitsprache im Vorfeld von Maßnahmen der Hausverwaltung.
6. Mit Schreiben vom XXXX .2020 legte die Datenschutzbehörde dem Bundesverwaltungsgericht die Beschwerde und den Verwaltungsakt vor.
7. Mit Schreiben vom XXXX .2021 wurde die Beschwerdeführerin aufgefordert, das Email vom XXXX .2019 sowie ihre Antwort vom selben Tag vorzulegen und bekannt zu geben, wie viele von den Adressaten der Antwort der Beschwerdeführerin Miteigentümer_innen der mitbeteiligten Partei gewesen seien, wie viele Mieter_innen und wie viele andere Personen.
8. Mit Stellungnahme, eingelangt beim Bundesverwaltungsgericht am XXXX .2021, gab die Beschwerdeführerin bekannt, dass die Empfänger_innen der Antwortemail der Beschwerdeführerin 18 Eigentümer_innen der XXXX , 17 Eigentümer_innen der XXXX , ein Hausverwalter der XXXX sowie eine weitere Adresse sei, die entweder Eigentümer_in der XXXX oder XXXX oder ein_e Mieter_in gewesen seien. Die mitbeteiligte Partei sei wie gewünscht nach seinem Email vom XXXX .2019 aus dem Verteiler genommen worden.
9. Die mitbeteiligte Partei replizierte auf diese Stellungnahme, dass die Beschwerdeführerin nicht ihre Daten an fremde Personen aus anderen Häusern weiterleiten könne. Außerdem könne sie eine Adresse gar nicht richtig zuordnen.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die Beschwerdeführerin betreibt eine Hausverwaltung, die mit der Verwaltung der Liegenschaft XXXX , Wohnungseigentumsgemeinschaft (WEG) XXXX , beauftragt wurde.
Die mitbeteiligte Partei ist Miteigentümerin dieser Liegenschaft (Wohnanlage) und wohnt außerdem an dieser Adresse.
1.2. Die mitbeteiligte Partei wandte sich mit Email vom XXXX .2019 an die Beschwerdeführerin betreffend die Reparatur bzw. Montage eines neuen Garagentores. Im Wortlaut äußerte sich die mitbeteiligte Parte wie folgt:
In der Signatur des Emails der mitbeteiligten Partei war die Wohnadresse, der Vor- und Nachname und die private Telefonnummer der mitbeteiligten Partei angeführt.
Zumindest die Telefonnummer der mitbeteiligten Partei wurde mit ihrer Nachricht vom XXXX .2019 erstmalig angeführt.
Die Beschwerdeführerin antwortete der mitbeteiligten Partei am selben Tag per Email, wobei das zuvor genannte Email der mitbeteiligten Partei angeschlossen war, und versandte dieses Email auch an 37 weitere Personen in cc, nämlich an 18 Miteigentümer_innen der XXXX 17 Miteigentümer_innen der ebenfalls von der Beschwerdeführerin mitbetreuten benachbarten Wohnanlage – XXXX , an den Hausverwalter der XXXX sowie an eine Person, die entweder Miteigentümer_in oder Mieter_in ist.
Die Antwortnachricht der Beschwerdeführerin lautete wie folgt:
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Akt in Verbindung mit dem Vorbringen der Parteien und sind nicht weiter strittig.
3. Rechtliche Beurteilung:
Zu A)
1. Datenschutzrechtliche Rechtsgrundlagen:
§ 1 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) lautet (in Auszügen):
(Verfassungsbestimmung)
Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
[…]
Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO), lauten:
Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6 Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) - e) […]
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) - (4) […]
2. Anwendung der Rechtsgrundlagen auf die gegenständliche Beschwerde:
2.1. Es wird nicht bezweifelt, dass die monierten Daten der mitbeteiligten Partei (Name, Adresse, Telefonnummer und Emailadresse) personenbezogene Daten iSd Art. 4 Z 1 DSGVO darstellen und iSd Art. 4 Z 2 DSGVO verarbeitet wurden, nämlich jedenfalls verwendet, durch Übermittlung offengelegt und verbreitet.
Diese personenbezogenen Daten wurden durch die Beschwerdeführerin mit Weiterleitung des Emails vom XXXX .2019 an 37 weitere Empfänger_innen verbreitet.
2.2. Verletzung im Recht auf Geheimhaltung:
Im angefochtenen Bescheid stützt sich die Datenschutzbehörde auf eine Verletzung im Recht auf Geheimhaltung iSd § 1 DSG wegen der Offenlegung des Namens und der Telefonnummer der mitbeteiligten Partei an 37 weitere Empfänger_innen.
Die Beschwerdeführerin gibt selbst in ihrer Stellungnahme vom XXXX .2019 bekannt, dass – wenn es auch bereits zuvor Emailkorrespondenz zwischen mehreren oder allen Beteiligten gegeben haben mag und daher der Name und die Emailadresse der mitbeteiligten Partei bereits bekannt sein sollte – die Telefonnummer der mitbeteiligten Partei erstmalig mit Antwort auf das Email vom XXXX .2019 an die restlichen Empfänger_innen offengelegt wurde. Daher ist der mitbeteiligten Partei zumindest an der Geheimhaltung ihrer Telefonnummer in Bezug auf Miteigentümer_innen und Mieter_innen ein schutzwürdiges Interesse iSd § 1 Abs. 1 1. Satz DSG nicht abzusprechen. Dass die Telefonnummer allgemein verfügbar gewesen wäre, wurde nicht behauptet bzw. von der mitbeteiligten Partei verneint.
Eine Zustimmung der mitbeteiligten Partei zur entsprechenden Weiterleitung ihrer Telefonnummer im gegenständlichen Emailverkehr wurde ebenfalls nicht substantiiert behauptet.
§ 1 Abs. 2 DSG sieht nun vor, dass Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender Interessen eines anderen zulässig sind: solche lassen sich aber gegenständlich für die Beschwerdeführerin nicht ausmachen:
Zum ersten ist der Datenschutzbehörde recht zu geben, dass es sich bei einer Wohnungseigentumsgemeinschaft nicht um einen „internen“, quasi „privaten“ Kreis handelt. Auf die Geheimhaltungsinteressen der Wohnungseigentümer_innen ist daher auch innerhalb dieser Gemeinschaft Rücksicht zu nehmen.
Es wird nicht übersehen, dass gemäß § 20 Abs. 1 WEG der/die Verwalter_in verpflichtet ist, die gemeinschaftsbezogenen Interessen aller Wohnungseigentümer_innen zu wahren und Weisungen der Mehrheit der Wohnungseigentümer_innen zu befolgen, soweit diese nicht gesetzwidrig sind. Dem/der Verwalter_in steht die Verwaltung der Liegenschaft und dabei insbesondere auch die nach außen unbeschränkbare Vertretung der Eigentümergemeinschaft zu; im Rahmen dieser Vertretung ist er/sie auch zur Bestellung eines berufsmäßigen Parteienvertreters/einer berufsmäßigen Parteienvertreterin befugt.
Es trifft zu, dass es zB zu einer der aus § 20 Abs. 1 WEG erfließenden Verpflichtungen der Beschwerdeführerin gehört, auf Verlangen Wohnungseigentümerinnen und –eigentümern die ihr bekannt gegeben Zustellanschriften zu übermitteln, wobei diese Verpflichtung dort ihre Grenze findet, wo eine Hausverwaltung durch entgegengesetzte Weisungen von Miteigentümer_innen in einen Interessenskonflikt gerät. Begründet wird diese Verpflichtung der Hausverwaltung damit, dass diese Miteigentümer_innen bei der Ausübung ihrer Individualrechte auf Einberufung einer Versammlung oder Einleitung eines sonst erforderlichen Willensbildungsverfahrens innerhalb der Eigentümer_innengemeinschaft zu unterstützen hat (vgl. OGH, 26.08.2008, 5 Ob 175/08h).
Nun lässt sich der fraglichen Korrespondenz nicht entnehmen, dass die Kontaktdaten der mitbeteiligten Partei von anderen Miteigentümern und Miteigentümerinnen für eine relevante Willensbildung angefragt worden sind. Auch lässt sich der fraglichen Korrespondenz nicht entnehmen, dass durch die Beschwerdeführerin überhaupt eine über eine reine Information hinausgehende Verwaltungsaufgabe zu erfüllen gewesen wäre: Während nachvollziehbar ist, dass die Beschwerdeführerin als zuständige Hausverwaltung die in cc gesetzten interessierten Personen (und auch die mitbeteiligte Partei) über die Zugänglichkeit des Garagentores und den zeitlichen Ablauf der Reparatur informieren wollte, kann der mit der Antwort weitergeleiteten ursprünglichen Nachricht der mitbeteiligten Partei kein informationeller Mehrwert für die anderen Miteigentümer_innen bzw. Mieter_innen entnommen werden.
Es hätte demnach jedenfalls für die Wahrnehmung einer Informationsverpflichtung oder einer entsprechenden Aufgabe über die Zugänglichkeit der Garage gereicht, der mitbeteiligten Partei und den in cc geführten Personen nur die Antwort der Beschwerdeführerin, ohne das Email der mitbeteiligten Partei, zu schicken. Darüber hinaus würde es sich in einem entsprechenden Fall außerdem anbieten, das Email an einen Empfängerkreis in bcc, also für die anderen Empfänger_innen gar nicht erkennbar, oder an einen Verteiler zu senden, wobei die Empfänger_innen nur den Verteilernamen als ganzen, und nicht die einzelnen darin enthaltenen Emailadressen, erkennen können – wobei diese beiden Optionen ebenfalls nur für die Versendung des Antwortmails und nicht des ursprünglichen Emails der mitbeteiligten Partei in Frage kommen.
Ein entsprechendes Vorgehen – nämlich das Löschen der Anfrage der mitbeteiligten Partei bei Antwort darauf an insgesamt 38 Personen – sowie sonstige Maßnahmen betreffend die Kenntlichkeit der Emailadressen der Empfänger_innen stellt im gegenständlichen Fall keinen besonderen Aufwand dar, der für die Beschwerdeführerin als Hausverwaltung unzumutbar sein könnte.
Die Offenlegung des Emails der mitbeteiligten Partei an 37 weitere Empfänger_innen mit den darin enthaltenen personenbezogenen Daten und insbesondere der Telefonnummer war in Bezug auf den informationellen Inhalt, den die Beschwerdeführerin transportieren wollte, nicht erforderlich und zog keinerlei Mehrwert nach sich. Dementsprechend kann von einem überwiegenden berechtigten Interesse der Beschwerdeführerin an der Beschränkung des Anspruchs der mitbeteiligten Partei auf Geheimhaltung jedenfalls in Bezug auf ihre Telefonnummer nicht ausgegangen werden.
2.3. Prüfung nach der DSGVO:
Die DSGVO kennt den Begriff des „schutzwürdigen Interesses“ am Schutz der personenbezogenen Daten nicht. Eine Verarbeitung solch personenbezogener Daten – hier der Name, die Adresse, die Emailadresse und die Telefonnummer der mitbeteiligten Partei – muss sich an die Grundsätze des Art. 5 DSGVO halten sowie zumindest einen Rechtsfertigungsgrund des Art. 6 Abs. 1 DSGVO erfüllen.
Gegenständlich kommt nur der Rechtfertigungstatbestand des Art. 6 Abs. 1 lit f DSGVO in Frage, wonach eine Verarbeitung zur Wahrung der berechtigten Interessen eines/einer Verantwortlichen oder eines/einer Dritten erforderlich zu sein hat, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.
Wie oben unter 2.2. dargestellt, kann von berechtigten Interessen der Beschwerdeführerin an der Weiterleitung der personenbezogenen Daten der mitbeteiligten Partei nicht ausgegangen werden: Die Information durch die Beschwerdeführerin hätte ohne jeden inhaltlichen Erklärungsverlust ohne die Weiterleitung des Emails der mitbeteiligten Partei vermittelt werden können; die Weiterleitung des Emails der mitbeteiligten Partei war für die Information über die Funktionstüchtigkeit und den Reparaturablauf des Garagentors nicht erforderlich und brachte keinerlei Mehrwert. Miteigentümer_innen verlangten offenbar die Kontaktdaten der mitbeteiligten Partei zur Willensbildung der Wohnunsgeigentümergemeinschaft nicht, noch betraf die Angelegenheit der Antwortnachricht der Beschwerdeführerin vom XXXX .2019 eine solche, die eine Willensbildung der Wohnungseigentumsgemeinschaft erforderte; es handelte sich um eine schlichte Information.
Wie oben dargestellt, standen der Beschwerdeführerin außerdem nicht bedeutend aufwendigere alternative Methoden zur Verfügung, wie das Versenden der Nachricht ohne Anschluss des ursprünglichen Emails der mitbeteiligten Partei.
Ein Rechtfertigungstatbestand des Art. 6 der DSGVO kommt daher auf den gegenständlichen Sachverhalt nicht zur Anwendung.
Schließlich sieht im Anwendungsbereich der DSGVO deren Art. 5 Abs. 1 lit c den Verarbeitungsgrundsatz der Datenminimierung vor, wonach personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für den Zweck der Verarbeitung notwendige Maß beschränkt sein müssen. Nach diesem Grundsatz dürfen personenbezogene Daten nur verarbeitet werden, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann (vgl. Heberlein in Ehmann/Selmayr, DS-GVO2, K22 zu Art 5).
Wie in den vorigen Absätzen ausgeführt, ist demnach die Weiterleitung der personenbezogenen Daten der mitbeteiligten Partei durch das Antwortemail der Beschwerdeführerin nicht mit den Grundsätzen der Datenminimierung in Einklang zu bringen
2.4. Ergebnis:
Die belangte Behörde stellte daher zu Recht eine Verletzung des Rechts auf Geheimhaltung der mitbeteiligten Partei fest, weshalb die Beschwerde abzuweisen ist.
3. Da im Verfahren ausschließlich Rechtsfragen zu klären waren, konnte gemäß § 24 Abs. 4 VwGVG auf die Durchführung einer – ausdrücklich nicht beantragten – mündlichen Verhandlung verzichtet werden (VwGH, 19.09.2017, Ra 2017/01/0276).
Zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist zulässig, weil Rechtsfragen zu lösen waren, denen grundsätzliche Bedeutung im Sinne des Art. 133 Abs. 4 B-VG zukommen und für die es noch keine höchstgerichtliche Rechtsprechung gibt, so gegenständlich zum Grundsatz der Datenminimierung nach der DSGVO.
Es war daher spruchgemäß zu entscheiden.
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
RIS