W258 2240071-1 – Bundesverwaltungsgericht Entscheidung

W258 2240071-1/19E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Gerold PAWELKA-SCHMIDT als Vorsitzenden und die fachkundigen Laienrichter Dr. Gerd TRÖTZMÜLLER und Gerhard RAUB als Beisitzer über die Beschwerde des XXXX , vertreten durch Paulitsch Rechtsanwalts GmbH, 1010 Wien, (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX , vertreten durch Themmer, Thoth Partner Rechtsanwälte GmbH, 1010 Wien) gegen den Bescheid der Datenschutzbehörde vom 22.01.2021, GZ D124.2707 2020-0.701.031, in einer datenschutzrechtlichen Angelegenheit

A) zu Recht erkannt:

I. Der Beschwerde wird teilweise Folge gegeben und der angefochtene Bescheid abgeändert, dass es in Spruchpunkt 1. zu lauten hat:

„Es wird festgestellt, dass der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem er den Namen und die Privatadresse des Beschwerdeführers am 22.06.2018 an die Wirtschafts- und Korruptionsstaatsanwaltschaft übermittelt hat.“

II. Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

B) und den Beschluss gefasst:

I. Im Übrigen wird das Verfahren eingestellt.

II. Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Eingabe vom 22.06.2020 erhob der Beschwerdeführer (in Folge auch kurz „BF“) eine Datenschutzbeschwerde an die belangte Behörde. Die mitbeteiligte Partei (in Folge auch kurz „mP“) habe Namen und Adresse des Beschwerdeführers an die Wirtschafts- und Korruptionsstaatsanwaltschaft (in Folge: WKStA) ohne Rechtfertigungsgrund weitergegeben, wodurch der Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt sei. Er habe daraufhin am 14.05.2020 ein Auskunftsbegehren nach Art 15 DSGVO an die mitbeteiligte Partei gerichtet, welches jedoch unbeantwortet geblieben sei. Er sei daher auch in seinem Recht auf Auskunft verletzt.

2. Mit Schreiben vom 16.07.2020 forderte die belangte Behörde die mitbeteiligte Partei auf, sich zum Vorbringen des Beschwerdeführers zu äußern.

3. Am 09.10.2020 nahm die mitbeteiligte Partei zum Vorbringen des Beschwerdeführers Stellung. Er habe die Daten des Beschwerdeführers aus alten Geschäftsunterlagen und diese im Rahmen seiner Mitwirkungspflicht in einem Strafprozess an das Bundesamt für Korruptionsbekämpfung weitergegeben. Zum einen habe der Beschwerdeführer in die Datenverarbeitung eingewilligt, zum anderen basiere diese auf einem überwiegenden berechtigten Interesse. Weitere Daten zum Beschwerdeführer habe er nicht verarbeitet. Im Anschluss an die Übermittlung habe er die Daten gelöscht.

4. In seiner Stellungnahme vom 27.10.2020 zog der Beschwerdeführer die Ausführungen der mitbeteiligten Partei in Zweifel und bestritt die Richtigkeit der Angaben über die Verarbeitungszwecke, die Empfänger, die Löschung und die Herkunft der Daten.

5. Mit Bescheid vom 22.01.2021 wies die belangte Behörde die Beschwerde sowohl hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung (Spruchpunkt 1.), als auch im Recht auf Auskunft (Spruchpunkt 2.) ab. Das Recht auf Geheimhaltung des Beschwerdeführers sei nicht verletzt, weil die Übermittlung der Daten an die WKStA zur Strafrechtspflege erfolgt sowie durch berechtigte Interessen der mitbeteiligten Partei – als Privatbeteiligte in diesem Verfahren – gerechtfertigt sei. Des Weiteren müsse die mitbeteiligte Partei keine Auskunft erteilen, weil das öffentliche Interesse an der Strafverfolgung bzw die Interessen der mitbeteiligten Partei als Privatbeteiligte in einem Strafverfahren höher wiege, als das Interesse des Beschwerdeführers auf Auskunft.

6. Gegen diesen Bescheid richtet sich die gegenständliche Beschwerde vom 22.02.2021 wegen materieller Rechtswidrigkeit. Die Datenverarbeitung durch die mitbeteiligte Partei könne nicht auf ein berechtigtes Interesse an der Strafrechtspflege gestützt werden, weil die vorangehende Erhebung und Speicherung der Daten – unabhängig vom Verfahren vor der WKStA – ohne Rechtfertigungsgrund erfolgt sei. Die belangte Behörde berücksichtige beim Recht auf Auskunft unzulässigerweise sowohl öffentliche, als auch private Interessen, obwohl es dafür keine Rechtsgrundlage gebe. Das Recht auf Auskunft bestehe unabhängig von der Rechtmäßigkeit der vorangehenden Datenverarbeitung. Die Nicht-Erteilung der Auskunft verstoße jedenfalls gegen das Recht auf Auskunft, so wäre allenfalls zumindest eine Negativ-Auskunft zu erteilen gewesen.

7. Die Datenschutzbehörde legte dem erkennenden Gericht die Bescheidbeschwerde unter Anschluss des Verwaltungsaktes mit Schriftsatz vom 25.02.2021, hg eingelangt am 03.03.2021, vor und beantragte die Beschwerde – unter Verweis auf die Begründung des Bescheids – abzuweisen.

8. Über Parteiengehör vom 03.02.2022 replizierte die mitbeteiligte Partei mit Schreiben vom 17.02.2022 auf die Bescheidbeschwerde und schloss sich im Wesentlichen den Ausführungen der belangten Behörde an, die öffentlichen als auch seine privaten Interessen würden höher wiegen, als jene des Beschwerdeführers. Der Beschwerdeführer habe erstmalig in seiner Bescheidbeschwerde eine jahrelange unrechtmäßige Speicherung der Daten durch die mitbeteiligte Partei behauptet und es gebe hierzu weder Beweise noch Feststellungen der Behörde. Eine Rechtswidrigkeit hinsichtlich des Rechts auf Auskunft liege ebenfalls nicht vor, weil zum einen die einzige Ausfertigung der Daten übermittelt worden sei und die privaten Interessen des Beschwerdeführers, als auch das öffentliche Interesse an der Strafrechtspflege beim Recht auf Auskunft im Rahmen des Art 52 Abs 1 Satz 2 GRC zu berücksichtigen seien. Darüber hinaus habe die belangte Behörde den Umstand, dass Daten, auf welche Art sie gespeichert wurden und dass dies im Verfahren ausreichend an den Beschwerdeführer bekannt gegeben wurde, festgestellt. Die Beschwerde sei daher abzuweisen.

9. Am 28.06.2022 wurde eine mündliche Verhandlung durchgeführt. Im Zuge der Verhandlung zog der Beschwerdeführer die Beschwerde gegen Spruchpunkt 2, somit hinsichtlich des Ausspruchs über die Verletzung im Recht auf Auskunft, zurück.

Beweis wurden erhoben durch Einsichtnahme in den Verwaltungsakt und die Einvernahme der Verfahrensparteien.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Der folgende Sachverhalt steht fest:

1.1. Zur Beschwerde gegen die Übermittlung von Daten an die WKStA:

Der Beschwerdeführer und die mitbeteiligte Partei sind beide Staatsangehörige der Russischen Föderation. Der mitbeteiligten Partei und der Beschwerdeführer kennen einander seit etwa 30 Jahren ausschließlich beruflich aus Tätigkeiten für die russischen Firmen „ XXXX “ und „ XXXX “.

Die mitbeteiligte Partei hat einen Wohnsitz in der Russischen Föderation. Seit 2012 hat sie überdies einen Wohnsitz in Österreich, wo auch ihre Familie lebt. Sie hat beide Wohnsitze (auch) für berufliche Zwecke genutzt.

Die mitbeteiligte Partei hat über ihren österreichischen Rechtsanwalt der österreichischen Wirtschafts- und Korruptionsstaatsanwaltschaft (WKStA) mit per elektronischem Rechtsverkehr eingebrachten Schriftsatz vom 22.06.2018 den Namen und die private Wohnadresse des Beschwerdeführers bekannt gegeben, um ein strafgerichtliches Ermittlungsverfahren zu unterstützen, dem sie sich als Privatbeteiligter angeschlossen hat. Gegenstand des Strafverfahrens war der Verdacht, dass einige öffentliche Bedienstete in Hinblick auf die Tätigkeit der mitbeteiligten Partei für die Gesellschaft XXXX über Auftrag Dritter amtsmissbräuchlich Daten über die mitbeteiligte Partei abgefragt haben.

Vor der Weitergabe des Namens und der Privatadresse des Beschwerdeführers an die WKStA hat die mitbeteiligte Partei die Daten aus geschäftlichen Gründen erhoben und in ihrem Computer gespeichert.

Es kann nicht festgestellt werden, wie und zu welchem Zweck die mitbeteiligte Partei die Privatadresse des Beschwerdeführers erhalten und zu welchem Zweck sie diese weiterverarbeitet hat.

1.2. Zur Beschwerde wegen Verletzung im Recht auf Auskunft:

Der Beschwerdeführer zog seine Beschwerde gegen Spruchpunkt 2. des bekämpften Bescheids, mit dem die Beschwerde wegen einer Verletzung im Recht auf Auskunft abgewiesen wurde, in der mündlichen Verhandlung am 28.06.2022 zurück.

2. Die Feststellungen ergeben sich aus der folgenden Beweiswürdigung:

Die Feststellung zur gemeinsamen beruflichen Tätigkeit des BF und der mP gründen in ihren übereinstimmenden hg Aussagen (VH Protokoll vom 28.06.2022, OZ 15, S 4 f und 11 f). Dass ihre Beziehung ausschließlich beruflich war, gründet in den schlüssigen Angaben des BF in seiner Einvernahme am 28.06.2022 („Normalerweise laden einander Mitarbeiter die ein enges Arbeitsverhältnis haben zu Geburtstagen ein. Das gab es kein einziges Mal. Zumindest erinnere ich mich nicht daran, dass Herr XXXX irgendwann einmal bei mir zum Geburtstag eingeladen war oder ich bei ihm. Ich denke, dass es auch ein gutes Beispiel dafür ist, dass es keine näheren Kontakte gegeben hat.“ (VH Protokoll vom 28.06.2022, OZ 15, S 15) und den damit nicht im Widerspruch stehenden Angaben der mitbeteiligten Partei. Sie sprach zwar davon, dass der BF „ein naher Partner war“, blieb aber in ihren Angaben zur gemeinsamen Beziehung auch immer in einem beruflichen Kontext (VH Protokoll vom 28.06.2022, OZ 15, S 4 f, 6).

Dass die mP seit 2012 einen Wohnsitz in Österreich hat, gründet in der Zeugeneinvernahme der mitbeteiligten Partei vom 06.04.2017 zur GZ XXXX (OZ 1 S 132). Dass sie sowohl ihren russischen als auch ihren österreichischen Wohnsitz für geschäftliche Zwecke benutzt ergibt sich ebenfalls aus ihrer Zeugeneinvernahme vom 06.04.2017 zur GZ XXXX , wonach sie sowohl für österreichische als auch für russische Firmen tätig sei und zwischen Österreich und Russland pendle (OZ 1 S 131).

Die Feststellungen zum strafrechtlichen Ermittlungsverfahren der WKStA Wien, GZ XXXX , gründen in der Zeugeneinvernahme der mitbeteiligten Partei vom 06.04.2017 zur GZ XXXX (OZ 1 S 126). Dass es einen Bezug zur Tätigkeit der mitbeteiligten Partei für XXXX gab gründet einerseits darauf, dass die Tätigkeit der mitbeteiligten Partei für XXXX ein zentrales Thema ihrer Einvernahme bei der WKStA war. Andererseits auf die in der Einvernahme zitierte E-Mail, mit der der Auftrag zur Beschaffung der Daten über die mitbeteiligte Partei ergangen sein soll. In ihr wird nämlich auf die Tätigkeit der mitbeteiligten Partei als „ex Chairman von XXXX OAO“ hingewiesen (OZ 1 S 126 ff, 130).

Zur Art der Verarbeitung des Namens und der Privatadresse des BF durch die mP:

Dass die mP den Namen und die Privatadresse des BF auf ihrem Computer gespeichert hatte, ergibt sich daraus, dass die mP die Adresse nicht auswendig kennt (VH Protokoll vom 28.06.2022, OZ 15, S 11) in Zusammenschau mit den Angaben der mP, wonach sie zwar nicht mehr angeben könne, woher sie diese Daten konkret hatte, sie aber auf ihrem Computer viele „Files“ habe, „wo das drinnen steht“ (Verhandlungsschrift vom 28.06.2022, OZ 15, S 6); weiters, dass sie angab, die Daten, und zwar auch die Datenquellen, die als Grundlage für ihre Weitergabe an die Staatsanwaltschaft gedient haben (so meinte sie über Frage nach dem Grund der Löschung „weil schon sehr viel Zeit vergangen ist, es hat keinen Sinn mehr gehabt, sie weiter aufzubewahren.“ (Verhandlungsschrift vom 28.06.2022, OZ 15, S 8), was sich nur auf die Datenquellen beziehen kann) nach ihrer Übergabe an die österreichische Staatsanwaltschaft gelöscht zu haben. Eine „Löschung“ von Daten setzt aber ihre elektronische Verarbeitung voraus. Wären Sie in Papierform vorhanden gewesen, hätte sie nicht von einer Löschung sondern etwa von einer Vernichtung, von Wegwerfen oder von Shreddern gesprochen (Verhandlungsschrift vom 28.06.2022, OZ 15, S 8). Dass sie auch den Namen des BF in einer dieser Dateien auf ihrem Computer gespeichert haben muss, ergibt sich daraus, dass die mP die Privatadresse des BF nicht auswendig kennt (VH Protokoll vom 28.06.2022, OZ 15, S 11) und daher die Adresse gemeinsam mit dem Namen speichern musste; andernfalls wäre es ihr nicht möglich gewesen, die Privatadresse dem BF zuzuordnen.

Dass die mitbeteiligte Partei die Daten über den BF nur aus geschäftlichen Gründen erhoben und verarbeitet hat, gründet darin, dass zwischen BF und mP ausschließlich eine berufliche Beziehung bestanden hat.

Zum Zweck der Ermittlung und Verarbeitung von Name und Privatadresse des BF durch die mP:

Die mitbeteiligte Partei konnte in ihrer hg EV nicht angeben, wie sie die Privatadresse des BF erhalten und zu welchem Zweck sie diese ermittelt und verarbeitet hat. Sie antwortete nur sehr allgemein und wich konkreten Fragen aus (Über Frage der Herkunft der Daten: „Die Wohnadresse ist ja ein Teil der Personalien der persönlichen Teile, die ich immer hatte. Ich hatte viel Kontakt mit ihm und ich kannte diese Daten.“; Über Fragen nach dem Zweck der Datenverarbeitung: „Ich habe sie einfach gewusst, weil er ein naher Partner war. Ich habe sie nicht Erfahrung gebracht, weil ich sie für irgendetwas brauchte.“ (Verhandlungsschrift vom 28.06.2022, OZ 15, S 6)). Dass die mP die Privatadresse des BF „einfach kannte“, ist entgegen den Angaben der mP allerdings auszuschließen, weil die mP die Privatadresse in der Verhandlung nicht auswendig wusste und nicht einmal den aktuellen oder einen historischen Wohnbezirk des BF nennen konnte („Ich möchte mich gar nicht mehr an diese Informationen erinnern müssen, denn wir hatten seit 2014 keinen engeren Kontakt mehr miteinander.“ (Verhandlungsschrift vom 28.06.2022, OZ 15, S 11)).

Auch der Beschwerdeführer kann nur Vermutungen aufstellen, woher die mP die Privatadresse erhalten haben könnte: Während im Vorbringen noch ein Hackerangriff vermutet wird, vermutet er in seiner hg Einvernahme, dass die mP seine Privatadresse im Rahmen ihrer damaligen Tätigkeit als Vorsitzende des Direktoriums erhalten haben könnten. Dies, weil der BF einen Antrag auf Aufnahme in das Direktorium der XXXX gestellt hat, in dem seine Privatadresse angeführt war. Der Antrag hätte der mP zukommen können, weil sie zum Zeitpunkt der Antragstellung Vorsitzende des Direktoriums war.

Zu den inneren Beweggründen der mP, warum sie die Daten erhoben und verarbeitet hat, kann der BF naturgemäß keine Angaben machen.

Zwar ist es durchaus wahrscheinlich, dass die mP die Privatadresse der mP verwendet hat, um Rechtsansprüche, die im Rahmen des Konflikts zwischen ihr und dem BF entstehen könnten, durchzusetzen oder zu verteidigen. So gründet das Ausscheiden der mP aus XXXX in einem Konflikt zwischen ihr und dem BF, weshalb die mP mit etwaigen rechtlichen Auseinandersetzungen rechnen konnte und als Direktor der XXXX auch (noch) die Gelegenheit hatte, sich die Privatadresse des BF einfach zu organisieren.

Es ist aber auch denkbar, dass die mP die Privatadresse des BF über eine Anzeige erhalten hat, welche der BF unter Angabe seiner Privatadresse wegen fehlender Dokumente erstattet haben soll. In diesem Verfahren soll die mP einvernommen worden sein, weshalb sie – sollte sie Beschuldigte gewesen sein – im Rahmen einer etwaigen Akteneinsicht davon Kenntnis erlangt haben könnte. Als Beschuldigte wie als Zeuge wäre es denkbar, dass sie die Privatadresse ebenfalls zur Verteidigung in einem Straf- und allenfalls nachfolgenden Zivilverfahren verwendet hat.

Denkbar ist aber auch, dass sich die mP nach einem allfälligen Ausscheiden des BF aus XXXX eine Kontaktmöglichkeit mit dem BF erhalten wollte, oder sie erhoben hat, um grundsätzlich Informationen über ihre Geschäftspartner zu haben, falls man sie später – wofür auch immer – benötigt.

Weitere Beweismittel, die zur Erhellung des Sachverhalts beitragen könnten, wurden weder beantragt noch sind sie erkennbar, weshalb eine Negativfeststellung zu treffen war.

1.2. Die Feststellung über die teilweise Zurückziehung der Beschwerde gründet im Verhandlungsprotokoll vom 28.06.2022, OZ 15, S 3.

3. Rechtlich folgt daraus:

Zu Spruchpunkt A) I.

Die zulässige Beschwerde ist berechtigt.

3.1. Zu den maßgeblichen rechtlichen Bestimmungen:

Die relevanten Bestimmungen der DSGVO lauteten auszugsweise:

„Artikel 2

Sachlicher Anwendungsbereich

(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,

b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen,

c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten,

d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

(3) Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst.

[…]

Artikel 3

Räumlicher Anwendungsbereich

(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.

[…]“

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

[…]

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

[…]

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) […]

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

[…]

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Die maßgeblichen Erwägungsgründe der DSGVO lauten:

„(22) Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß dieser Verordnung erfolgen, gleich, ob die Verarbeitung in oder außerhalb der Union stattfindet. Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus. Die Rechtsform einer solchen Einrichtung, gleich, ob es sich um eine Zweigstelle oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit handelt, ist dabei nicht ausschlaggebend.“

3.2. Angewendet auf den Sachverhalt bedeutet das:

Der Beschwerdeführer bringt vor, die Weitergabe seines Namens und seiner Privatadresse durch die mitbeteiligte Partei an die WKStA sei rechtswidrig, weil die Daten rechtswidrig erhoben und weiterverarbeitet worden seien. Mit diesem Vorbringen ist der Beschwerdeführer im Recht:

Allgemeines:

Der sachliche Anwendungsbereich der DSGVO gemäß Art 2 Abs 1 DSGVO ist ua eröffnet, wenn personenbezogene Daten ganz oder teilweise automatisiert verarbeitet werden und keine Ausnahmen der Abs 2 und 3 vorliegen. Die mitbeteiligte Partei hat Namen und Privatadresse des Beschwerdeführers an die WKStA elektronisch, sohin automatisiert, übermittelt, um ein strafrechtliches Ermittlungsverfahren zu unterstützen, dass in den geschäftlichen Gebarungen der mitbeteiligten Partei gründet. Die einzig in Frage kommende Ausnahme des Art 2 Abs 2 lit c DSGVO („Haushaltsausnahme“) liegt nicht vor, weil die mitbeteiligte Partei mit der Übermittlung von Daten an die WKStA zur Unterstützung eines strafrechtlichen Ermittlungsverfahrens in einem beruflichen Konnex die Grenze der Verarbeitung zu rein privaten oder familiären Zwecken überschritten hat. Die DSGVO ist daher sachlich anwendbar.

Der räumliche Anwendungsbereich der DSGVO ist gemäß Art 3 Abs 1 DSGVO eröffnet, weil die mitbeteiligte Partei zum Zeitpunkt der Weitergabe des Namens und der Privatadresse des Beschwerdeführers ihren Wohnsitz in Wien hatte. Die Weitergabe der Daten erfolgte damit im Rahmen einer „Niederlassung“ eines Verantwortlichen in der Union. Auch wenn der Begriff der „Niederlassung“ in der DSVO nicht definiert wird, ergibt sich nämlich aus der Legaldefinition des Art 4 Z 7 DSGVO, wonach Verantwortlich auch natürliche Personen sein können, dass vom Begriff der „Niederlassung“ auch der Wohnsitz einer natürlichen Person umfasst sein muss.

Die mitbeteiligte Partei übermittelte Informationen an die WKStA, die sich auf den Beschwerdeführer, eine natürliche Person, beziehen, nämlich Name und Privatadresse, sohin personenbezogene Daten iSd Art 4 Z 1 DSGVO. Sie hat dabei den Zweck und die Mittel der Verarbeitung bestimmt – Unterstützung eines strafrechtlichen Ermittlungsverfahrens durch Übermittlung von Name und Privatadresse einer allenfalls relevanten Person – und ist daher Verantwortlicher iSd Art 4 Z 7 DSGVO.

Zur Zulässigkeit der Datenverarbeitung:

Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie – unter Einhaltung der in Art 5 Abs 1 DSGVO genannten Verarbeitungsgrundsätze – auf Grund einer der in Art 6 DSGVO genannten Erlaubnistatbestände erfolgt. Eine Verarbeitung personenbezogener Daten ist demnach ua nur dann zulässig, wenn die personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden (Art 5 Abs 1 lit b DS GVO; siehe die zur im Wesentlichen gleichlautenden Vorgängerbestimmung ergangene Entscheidung: EuGH 16.12.2008, C-524/06, Huber Rz 48; sowie zum Ganzen: Jahnel, Kommentar zur Datenschutz-Grundverordnung Art 5 DSGVO Rz 2).

Eine datenschutzrechtlich zulässige Weitergabe personenbezogener Daten bedingt darüber hinaus, dass sie rechtmäßig ermittelt und weiterverarbeitet worden sind (VwGH 26.06.2018, Ra 2017/04/0032, RS2; zuletzt VwGH 23.02.2021, Ra 2019/04/0054).

Der für die Datenverarbeitung Verantwortliche muss die Einhaltung der allgemeinen Verarbeitungsgrundsätze des Art 5 Abs 1 DSGVO nachweisen können. Den Verantwortlichen trifft somit Beweislast für die Einhaltung der Verarbeitungsgrundsätze der DSGVO (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO Rz 58; vgl auch Pötters in Gola, DS-GVO2 Art 5 Rz 34; zur Abgrenzung zur zivilrechtlichen Beweislast siehe auch Wybitul/Celik, Die Nachweispflicht nach Art. 5 Abs. 2 und Art. 24 Abs. 1 DS-GVO ist keine Beweislast, ZD 2019, 529).

Zur Weitergabe des Namens und der Privatadresse des Beschwerdeführers:

Unabhängig davon, ob die Weitergabe des Namens und der Privatadresse des Beschwerdeführers durch die mitbeteiligte Partei an die WKStA am 22.06.2018 als solche rechtmäßig war, setzt ihre Rechtmäßigkeit somit voraus, dass diese Daten zuvor rechtmäßig erhoben und verarbeitet worden sind.

Zur Rechtmäßigkeit der Verarbeitung der Daten bevor die mP sie an die WKStA übermittelt hat:

Der sachliche Anwendungsbereich der DSGVO gemäß Art 2 Abs 1 DSGVO ist ua eröffnet, wenn personenbezogene Daten ganz oder teilweise automatisiert verarbeitet werden und keine Ausnahmen der Abs 2 und 3 vorliegen. Die mitbeteiligte Partei hat die Daten des Beschwerdeführers in ihrem Computer, sohin automatisiert, verarbeitet. Da die Verarbeitung (auch) einen geschäftlichen Bezug aufweist, scheidet die Haushaltsausnahme des Art 2 Abs 2 lit c DSGVO aus. Die DSGVO ist daher sachlich anwendbar.

Der räumliche Anwendungsbereich der DSGVO ist gemäß Art 3 Abs 1 DSGVO ua dann eröffnet, wenn die Datenverarbeitung im Rahmen der Tätigkeit einer Niederlassung des Verantwortlichen in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet. Dies liegt hier vor.

Zwar kann nicht festgestellt werden, für welchen konkreten Zweck die Daten verarbeitet worden sind. Auch kann die Datenverarbeitung nur in Verbindung mit zwei Gesellschaften mit Sitz in der Russischen Föderation oder mit dem Beschwerdeführer, einem Staatsbürger der Russischen Föderation, erfolgt sein. Dies schein darauf hinzuweisen, dass die Verarbeitung für die Tätigkeit des Wohnsitzes der mitbeteiligten Partei in der Russischen Föderation erfolgt ist.

Zur berücksichtigen ist aber, dass die mitbeteiligte Partei seit 2012 auch über einen Wohnsitz innerhalb der Europäischen Union, nämlich in Österreich, verfügt, an dem er und seine Familie zu privaten aber auch beruflichen Zwecken leben. Eine scharfe Trennung zwischen Privat- und Geschäftsleben in Österreich einerseits und geschäftlichem Leben in der Russischen Föderation ist dabei nicht möglich. So wirken sich geschäftliche Handlungen der mitbeteiligten Partei in der Russischen Föderation auch auf sein Leben in Österreich aus, was im konkreten Fall besonders deutlich wird: Die mitbeteiligte Partei muss sich auf Grund ihrer geschäftlichen Tätigkeit in der Russischen Föderation mit Straf- und Verwaltungsverfahren in Österreich auseinandersetzen und Daten – die aus dem Umfeld ihrer Tätigkeit in der Russischen Föderation stammen – in Österreich verwenden, um ihre Privatsphäre (Verhinderung ungerechtfertigter Abfragen seiner personenbezogenen Daten, wie Steuerdaten) zu schützen.

Damit besteht spätestens mit Begründung des Wohnsitzes in Österreich hinsichtlich der Verarbeitung der gegenständlichen Daten der räumliche Anwendungsbereich der DSGVO. Dies gilt auch für Daten die vor diesem Zeitpunkt erhoben, aber über den Zeitpunkt hinaus weiterverarbeitet worden sind.

Die Rechtmäßigkeit der Verarbeitung des Namens und der Privatadresse des Beschwerdeführers durch die mitbeteiligte Partei setzt daher voraus, dass die Daten für festgelegte, eindeutige und legitime Zwecke erhoben und weiterverwendet worden sind. Den Nachweis hierfür hat die mitbeteiligte Partei zu führen (Art 5 Abs 2 DSGVO). Da der Zweck der Datenverwendung nicht festgestellt werden konnte, ist ihr dieser Nachweis nicht gelungen. Der bloße Hinweis auf einen geschäftlichen Zusammenhang reicht nicht. Die Verwendung der Daten vor ihrer Übergabe an die WKStA und damit auch die Übergabe der Daten an die WKStA, erweisen sich somit als rechtswidrig.

3.3. Ergebnis

Die mitbeteiligte Partei hat im Ergebnis den Beschwerdeführer durch die Übermittlung seines Namens und seiner Privatadresse an die WKStA in seinem Recht auf Geheimhaltung verletzt. Der Beschwerde gegen Spruchpunkt 1. war daher stattzugeben und die Rechtsverletzung festzustellen.

3.4. Es war daher spruchgemäß zu entscheiden.

Zu Spruchpunkt B) I. Einstellung des Verfahrens in Bezug auf Spruchpunkt 2.:

Gemäß § 13 Abs 7 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren anzuwenden ist, können Anbringen in jeder Lage des Verfahrens zurückgezogen werden. Eine Zurückziehung eines Anbringens ist grundsätzlich bis zur Entscheidung der Behörde (VwGH 07.11.1997, 96/19/3024) und auch noch bis zur Entscheidung des Verwaltungsgerichts im Beschwerdeverfahren möglich (vgl bspw VwGH 06.07.2016, Ra 2016/08/0041).

Die Zurückziehung eines Anbringens führt aus Sicht der Behörde zum Erlöschen der Entscheidungspflicht (zB VwGH 10.10.1997, 96/02/0144) und damit aus der Sicht des Beschwerdeführers zum Verlust des Erledigungsanspruchs. Geht der Erledigungsanspruch verloren, ist das Verfahren mit Beschluss einzustellen (Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren (2013) § 28 VwGVG Anm 5; VwGH 29.04.2015, Fr 2014/20/0047).

Der Beschwerdeführer hat seine Beschwerde gegen Spruchpunkt 2. des angefochtenen Bescheids in der mündlichen Verhandlung am 28.06.2022 zurückgezogen. Zu diesem Zeitpunkt hatte das Bundesverwaltungsgericht noch nicht über die Beschwerde entschieden. Damit erlosch der Erledigungsanspruch des Beschwerdeführers, weshalb das Verfahren diesbezüglich mit Beschluss einzustellen war.

Es war daher spruchgemäß zu entscheiden.

Zu Spruchpunkt A) II. und B) II. (Un-)Zulässigkeit der Revision:

Gemäß § 25a Abs 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art 133 Abs 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Zu A) II.:

Die Revision ist zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs zu Art 5 Abs 2 DSGVO fehlt, insbesondere zur Frage, ob Art 5 Abs 2 2. Fall DSGVO dazu führt, dass eine Datenverwendung bereits dann rechtswidrig ist, wenn es dem Verantwortlichen nicht gelingt, vor der Datenschutzbehörde die Einhaltung der allgemeinen Verarbeitungsgrundsätze des Art 5 Abs 1 DSGVO nachzuweisen.

Zu B) II:

Die Revision ist nicht zulässig, weil es an einer Rechtsfrage grundsätzlicher Bedeutung fehlt. Das erkennende Gericht konnte sich zur Frage der Bedeutung einer Beschwerdezurückziehung auf die jeweils zitierte Rechtsprechung des Verwaltungsgerichtshofs stützen.