W211 2266989-1/12E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M., als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom XXXX , nach Durchführung einer mündlichen Verhandlung zu Recht:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.
Begründung:
I. Verfahrensgang:
1. Der Beschwerdeführer (idF BF) im gegenständlichen verwaltungsgerichtlichen Verfahren ist Justizwachebeamter. Er wurde, gemeinsam mit anderen, bei einem Vorfall im Rahmen einer Überstellung des Insassen XXXX durch diesen verletzt und befand sich dann im Krankenstand. Seine Dienstgeberin, die „Republik Österreich“, vertreten durch das Bundesministerium für Justiz (BMJ), leistete während des Krankenstandes eine Entgeltfortzahlung. In weiterer Folge beauftragte die Dienstgeberin die Finanzprokuratur, diese Entgeltfortzahlung als Privatbeteiligtenanspruch im Strafverfahren gegen XXXX als Schaden geltend zu machen. Im Zuge dieses Privatbeteiligtenanschlusses legte die Finanzprokuratur (nun die mitbeteiligte Partei, idF mP) der Staatsanwaltschaft das Lohnkonto des BF, die Unfallmeldung der BVAEB sowie zwei Krankenstandsbestätigungen vor. Später fanden sich diese Unterlagen, die personenbezogene Daten des BF beinhalteten, im Haftraum des XXXX wieder.
2. Am XXXX 2022 erhob der BF eine Beschwerde gegen die Finanzprokuratur bei der Datenschutzbehörde (idF DSB) und brachte vor, durch diese in seinem Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG sowie gemäß Art. 5, 6 und 9 DSGVO verletzt worden zu sein. Die Finanzprokuratur (mP) führte dazu zusammengefasst aus, dass die vorgelegten Unterlagen zur Begründung des erlittenen Schadens erforderlich gewesen, und für das Privatbeteiligtenverfahren in Bezug auf die Regelungen zur Urkundenvorlage die Bestimmungen der ZPO, insbesondere § 298 ZPO, heranzuziehen gewesen seien. Mit Stellungnahme vom XXXX 2022 gab der BF dazu eine Replik ab.
Mit dem angefochtenen Bescheid vom XXXX 2022 wies die DSB die Datenschutzbeschwerde des BF als unbegründet ab. Der BF erhob gegen diesen Bescheid rechtzeitig eine Beschwerde, auf die die Stellungnahme der mP vom XXXX 2023 Bezug nahm.
Am XXXX 2023 fand am Bundesverwaltungsgericht eine öffentliche mündliche Verhandlung statt, an der der BF krankheitsbedingt nicht teilnehmen konnte, aber rechtsanwaltlich vertreten war.
Am XXXX 2023 langten erbetene Aktenteile zu den Privatbeteiligtenanschlüssen aus dem Strafakt des Landesgerichts XXXX ein.
Mit ergänzender Stellungnahme vom XXXX 2023, eingelangt am XXXX 2023, wiederholte der BF, dass die erfolgte Datenverarbeitung überschießend, und daher weder notwendig noch verhältnismäßig gewesen sei. Das Adhäsionsverfahren des Privatbeteiligtenverfahrens habe den Grundsätzen und Bestimmungen der StPO zu entsprechen, und demnach auch dem Grundsatz der Verhältnismäßigkeit nach § 5 StPO und den Datenverarbeitungsgrundsätzen gemäß § 74 Abs. 2 StPO. Darüber hinaus gäbe es auch in § 305 ZPO die analoge Möglichkeit, dem Gericht die Vorlage eines gesamten Dokuments zu verweigern.
Mit Stellungnahme vom XXXX 2023, eingelangt beim BVwG am XXXX 2023, führte außerdem die mP ergänzend aus, dass sich der Name, das Geburtsdatum, die Sozialversicherungsnummer, die Privatadresse und die Telefonnummer des BF bereits vor dem Privatbeteiligtenanschluss der mP im Akt der Staatsanwaltschaft befunden hätten, da diese Daten Teil der ursprünglichen Verletzungsanzeige gewesen seien. Die Vorlage der fraglichen Unterlagen sei zur Begründung des geltend gemachten Anspruchs sowie zur Berechnung des Lohnfortzahlungsschadens erforderlich gewesen.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der BF ist Justizwachebeamter. Im Rahmen einer Überstellung des Insassen XXXX kam es am XXXX 2021 zu einem Einschreiten des BF sowie weiterer Justizwachebeamten, wobei der BF verletzt wurde und vom XXXX 2021 bis XXXX 2021 im Krankenstand war. In dieser Zeit wurde ihm sein Gehalt durch seine Dienstgeberin, die „Republik Österreich“ (Bundesministerium für Justiz, idF BMJ), fortbezahlt.
Das BMJ beauftragte die Finanzprokuratur (die mP) mit der Geltendmachung des Schadens, den das BMJ aus der Entgeltfortzahlung für den BF während seines Krankenstandes erlitten hatte. Dementsprechend schloss sich die mP für die „Republik Österreich“ (BMJ) mit Schriftsatz vom XXXX 2021 dem Strafverfahren gegen XXXX zur (staatsanwaltschaftlichen) GZ XXXX als Privatbeteiligte an und legte zur Begründung des Anspruchs das Lohnkonto des BF, die Unfallmeldung der BVAEB sowie zwei Krankenstandsbestätigungen betreffend den BF bei.
Aus diesen Unterlagen ergeben sich die folgenden personenbezogenen Daten des BF, die mit dem Privatbeteiligtenanschluss der Staatsanwaltschaft übermittelt wurden:
Name, Geburtsdatum, Privatadresse, Handynummer und Familienstand des BF, verletzungsbedingte Krankenstandstage, Aufzählung der Verletzungen, Behandlungsangaben, Personalnummer, Dienstgrad, Eintrittsdatum in die Justiz, Sozialversicherungsnummer, Bezüge und Zulagen.
Diese Beilagen zum Privatbeteiligtenanschluss wurden von der Staatsanwaltschaft mit dem Ermittlungsakt an den zuständigen Haft- und Rechtsschutzrichter am XXXX 2021 für die Festnahmeanordnung und Verhängung der Untersuchungshaft über XXXX übermittelt. Am XXXX 2021 wurden im Haftraum des XXXX in der Justizanstalt XXXX die genannten Beilagen zum Privatbeteiligtenanschluss gefunden.
Am XXXX 2021 brachte die Staatsanwaltschaft Strafantrag in Bezug auf XXXX beim Straflandesgericht ein.
Am XXXX 2021 übermittelte die Justizanstalt XXXX an die Staatsanwaltschaft XXXX eine Strafanzeige wegen des Vorfalles mit XXXX und legte dieser die Verletzungsanzeige der KABEG betreffend den BF vom XXXX 2021 bei. Dieser Verletzungsanzeige sind der Name des BF, seine Privatadresse, sein Geburtsdatum, die Sozialversicherungsnummer, die Handynummer sowie Daten zur Anamnese und Diagnose zu entnehmen.
Der BF brachte selbst am XXXX 2021 einen Privatbeteiligtenanschluss zur XXXX ein, den er mit Schriftsatz vom XXXX 2021 präzisierte. Zur Begründung des beantragten Schmerzensgeldes legte der BF dabei die Bestätigung der Justizanstalt XXXX vom XXXX 2021 (zum Verdienstentgang), die Verletzungsanzeige des behandelnden Arztes vom XXXX 2021 sowie die Ambulanzprotokolle der KABEG vom XXXX und XXXX 2021 vor. Aus den vom BF vorgelegten Unterlagen gehen die folgenden Daten hervor: der Name und die Privatadresse des BF, eine Aufzählung der Verletzungen sowie Behandlungsangaben. In der Verletzungsanzeige vom XXXX 2023 wurden durch den BF das Geburtsdatum, die Adresse und die Versicherungsnummer des BF geschwärzt; in den Ambulanzprotokollen vom XXXX 2021 und vom XXXX 2023 wurden ebenfalls kleine Teile geschwärzt, wobei nicht ersichtlich ist, um welche Daten es sich dabei gehandelt hat. Die Adresse des BF ist auf diesen Dokumenten kenntlich.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Verwaltungsakt, aus der mündlichen Verhandlung am XXXX 2023 und aus den beigeschafften Aktenteilen des Landesgerichts XXXX zur GZ XXXX , und sind nicht weiter strittig.
3. Rechtliche Beurteilung:
Zu A) I.
3.1. Der BF bringt zusammengefasst vor, durch die Übermittlung seiner personenbezogenen Daten durch die mP an die Staatsanwaltschaft im Rahmen des Privatbeteiligtenanschlusses des BMJ in seinem Grundrecht auf Geheimhaltung nach § 1 DSG sowie in seinen Rechten nach Art. 5, 6 und 9 DSGVO verletzt worden zu sein.
Die mP, die Finanzprokuratur, vertritt die Ansicht, dass sie zur Begründung ihres Anspruchs als Privatbeteiligte im Strafverfahren gegen XXXX insbesondere aufgrund zivilprozessrechtlicher Regelungen verpflichtet gewesen sei, die monierten Unterlagen, nämlich das Lohnkonto des BF, die Unfallmeldung der BVAEB sowie die Krankenstandsbestätigungen, gänzlich, ohne Schwärzungen, beizulegen. Außerdem hätten sich einige Daten des BF bereits im Akt der Staatsanwaltschaft befunden, bevor der Privatbeteiligtenanschluss durch die mP erfolgt sei.
Die Datenschutzbehörde wies die Beschwerde des BF insbesondere unter Heranziehung ihrer Rechtsprechung zu ihrer – beschränkten - Zuständigkeit zur Beurteilung der Zulässigkeit der Datenverarbeitung im Verwaltungsverfahren ab.
3.2. Der Beschwerde des BF gegen den Bescheid der DSB vom XXXX 2022 kann aus den folgenden Gründen nicht stattgegeben werden:
3.2.1. Rechtsgrundlagen:
§ 1 Abs. 1 und 2 Datenschutzgesetz (DSG):
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Art. 5, 6 und 9 Datenschutzgrundverordnung (DSGVO) - tlw Auszüge:
Artikel 5 - Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6 - Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: […]
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. […]
Artikel 9 - Verarbeitung besonderer Kategorien personenbezogener Daten
(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen: […]
f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich, […]
3.2.2. Demzufolge muss die Verarbeitung personenbezogener Daten die Grundsätze des Art. 5 DSGVO sowie einen Rechtsmäßigkeitstatbestand des Art. 6 DSGVO erfüllen. Die Verarbeitung besonderer Kategorien von Daten, zu denen ausdrücklich auch Gesundheitsdaten gehören, ist grundsätzlich untersagt; sie darf nur in den von der Verordnung in Absatz 2 des Art. 9 DSGVO vorgesehenen Ausnahmefällen erfolgen, zu denen auch die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, soweit dafür erforderlich, gehört (siehe Art 9 Abs. 2 lit. f DSGVO).
3.2.3. Auf den gegenständlichen Sachverhalt bezogen bedeutet dies:
Personenbezogene Daten, Verarbeitung:
Bei den Daten des BF, nämlich Name, Geburtsdatum, Privatanschrift, Handynummer und Familienstand des BF, verletzungsbedingte Krankenstandstage, Aufzählung der Verletzungen, Behandlungsangaben, Personalnummer, Dienstgrad, Eintrittsdatum in die Justiz, Sozialversicherungsnummer sowie Bezüge und Zulagen, handelt es sich zweifellos um personenbezogene Daten des BF iSd Art 4 Z 1 DSGVO. Die oben unterstrichenen Daten sind Gesundheitsdaten und gehören demnach zur besonderen Kategorie von personenbezogenen Daten iSd Art. 9 DSGVO. Durch die Übermittlung der Unterlagen (und zwar: das Lohnkonto des BF, die Unfallmeldung der BVAEB sowie die beiden Krankenstandsbestätigungen), die die oben genannten Daten beinhalteten, an die Staatsanwaltschaft im Zuge des Privatbeteiligtenanschlusses nahm die mP auch eine Verarbeitung iSd Art. 4 Z 2 DSGVO vor.
Erlaubnistatbestände:
Als Gründe für eine Rechtmäßigkeit der erfolgten Verarbeitung durch die mP können einerseits die Bestimmung des Art. 6 Abs. 1 Buchst. f DSGVO – wenn die Verarbeitung zur Wahrung der berechtigten Interessen des:der Verantwortlichen oder eines:einer Dritten erforderlich ist (worunter auch die Durchsetzung von Rechtsansprüchen fallen kann, vgl. Heberlein in Ehmann/Selmayr, DS-GVO2, K 26 zu Art. 6), soferne die Interessen und Grundrechte der betroffenen Person nicht überwiegen – , und andererseits die Bestimmung des Art. 9 Abs. 2 lit. f DSGVO – wenn die Verarbeitung zur Geltendmachung von Rechtsansprüchen erforderlich ist – sofern es sich um die Gesundheitsdaten handelt, herangezogen werden.
Zu Art. 9 Abs. 2 lit. f DSGVO lässt sich der Literatur entnehmen, dass dieser Erlaubnistatbestand für sensible Daten einen Sonderfall des allgemeinen Erlaubnistatbestands des berechtigten Interesses darstellt (Art. 6 Abs. 1 lit. f DSGVO); Art. 9 Abs. 2 lit. f DSGVO kann daher auch für nicht-sensible Daten herangezogen werden. Dadurch wird dem Recht des:der Einzelnen auf die effektive Rechtsdurchsetzung Vorrang vor den Interessen der betroffenen Personen am Schutz ihrer Daten eingeräumt (Schiff in Ehmann/Selmayr, DS-GVO2, K 47f zu Art. 9). Durch diese Regelung soll vermieden werden, dass ein Rechtsanspruch vor Gerichten nicht geltend gemacht werden kann und damit letztlich nicht durchsetzbar ist, weil dies ohne die Verarbeitung (insbesondere die Offenlegung im Verfahren) sensibler Daten einer anderen Person nicht möglich ist (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO, RZ 45). Lit. f sieht keine Abwägung mit den Betroffeneninteressen vor. Umso mehr ist deshalb ein besonderes Augenmerk darauf zu richten, dass in Bezug auf die konkreten Ansprüche bzw. Rechte eine Erforderlichkeit besteht. Da bei streitigen Ansprüchen die Erforderlichkeit bestimmter Informationen unklar sein kann, sind insofern keine überzogenen Ansprüche zu stellen (Weichert in Kühling/Buchner, DS-GVO/BDSG3 RZ 86 zu Art. 9). Schiff führt zur Erforderlichkeit weiter aus, dass nicht jeder Tatsachenvortrag, der sensible Daten einer betroffenen Person beinhaltet, alleine deshalb gegen Art. 9 verstößt, weil dieser Vortrag vom Gericht als unerheblich bewertet wird. Erst bei einer willkürlichen, bewussten Offenlegung von sensiblen Daten, die mit dem Streitstoff in keinerlei Verbindung mehr stehen, ist der Tatbestand der Ausnahmeklausel nicht mehr gegeben (Schiff in Ehmann/Selmayr, DS-GVO2, K 49 zu Art. 9; so auch Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO, RZ 45, mit Verweis auf OGH, 14.07.2019, 6 Ob 45/19i). Zu weit würde es allerdings gehen, präventiv sensible Daten zur Abwehr möglicherweise in Zukunft geltend gemachter Ansprüche zu speichern (siehe Schiff in Ehmann/Selmayr, DS-GVO2, K 49 zu Art. 9) oder in einem gerichtlichen Verfahren um ein Arztentgelt Gesundheitsdaten einzuführen, obwohl der Anspruchsgrund unstreitig ist und es nur um die Verjährung geht (Weichert in Kühling/Buchner, DS-GVO/BDSG3 RZ 86 zu Art. 9).
Auch aus dem aktuellen Urteil des EuGH vom 02.03.2023, Norra Stockholm Bygg AB, C-268/21, ECLI:EU:C:2023:145, ergibt sich dazu keine andere Sicht: in diesem Urteil, bei dem es um die Frage der datenschutzrechtlichen Einordnung eines Antrags auf Vorlage eines Personalverzeichnisses im Rahmen eines Zivilrechtsverfahrens geht, betont der Gerichtshof den hohen Rang, den das Recht auf ein faires Verfahren in einer demokratischen Gesellschaft einnimmt, sowie die Möglichkeit der Rechtssuchenden, ihre Anliegen vor Gericht zu verteidigen, und das Prinzip von „Waffengleichheit“ unter den Parteien (siehe RZ 52). In weiterer Folge wird den Gerichten die Pflicht auferlegt, die Interessen der betroffenen Person, deren Daten durch die Vorlage verarbeitet werden, mit den Erfordernissen eines fairen gerichtlichen Verfahrens unter Berücksichtigung der Grundsätze der Verhältnismäßigkeit und Datenminimierung abzuwägen.
Zur „Erforderlichkeit“ im gegenständlichen Fall:
Wenn nun demnach an die „Erforderlichkeit“ einer Datenverarbeitung im Kontext einer Geltendmachung eines Rechtsanspruches keine zu strengen Anforderungen gestellt werden dürfen, um die Durchsetzung von Rechtsansprüchen nicht zu verunmöglichen, kann die Vorlage der gegenständlichen Unterlagen, nämlich des Lohnkontos des BF, der Unfallmeldung und der beiden Krankenstandsbestätigungen, in einer ex ante-Betrachtung aus Sicht der mP als erforderlich angesehen werden, um einerseits den Krankenstand des BF sowie die Entgeltfortzahlung durch das BMJ zu dokumentieren und andererseits einen Bezug des Krankenstandes und des Schadens aus der Entgeltfortzahlung zu XXXX herzustellen. Die Erforderlichkeit ist somit iSd Art. 9 Abs. 2 lit. f DSGVO für die besondere Kategorie von Daten gegeben und damit aber auch, im Größenschluss, für jene Daten, die nicht in diese Kategorie und damit unter den Erlaubnistatbestand des Art. 6 Abs.1 lit. f DSGVO fallen.
Die Unfallmeldung und die Krankenstandsbestätigungen dienen dem Nachweis des Krankenstandes, der Dauer des Krankenstandes, des Sachverhalts rund um den Unfall sowie des Grundes für den Krankenstand (die erlittenen Verletzungen). Das Lohnkonto ermöglicht die Feststellung der Dienstnehmereigenschaft sowie den Nachweis über den tatsächlich erlittenen Schaden (Zusammensetzung der Entgeltfortzahlung; Entgelt, Zulagen, Sonderzahlungen (ggf aliquot)).
Demzufolge stellt sich die Vorlage der genannten Unterlagen mit dem Privatbeteiligtenanschluss als rechtmäßig iSd Art. 6 Abs. 1 lit. f und Art. 9 Abs. 2 lit. f DSGVO dar, und zwar jedenfalls konkret betreffend die folgenden Daten: Name des BF, verletzungsbedingte Krankenstandstage, Aufzählung der Verletzungen, Behandlungsangaben, Informationen zum Bezug und Zulagen. Diese soeben genannten Daten sind geeignet, das Vorbringen eines Krankenstandes sowie die geleisteten Entgeltfortzahlungen in Bezug auf den BF zu belegen.
Insbesondere zu den gerade genannten Gesundheitsdaten (Verletzungsaufzählung, Behandlungsangaben) wird außerdem darauf verwiesen, dass der BF in seinem eigenen Privatbeteiligtenanschluss diese mit der Verletzungsanzeige vom XXXX 2021 und mit den Ambulanzprotokollen vom XXXX und XXXX 2021 selbst ins Strafverfahren gegen XXXX einbrachte, weshalb davon ausgegangen werden muss, dass er die Übermittlung dieser Daten auch als erforderlich für die Geltendmachung von Ersatzansprüchen im Strafverfahren erachtete.
Die weiteren monierten Daten, wie Geburtsdatum, Privatanschrift, Handynummer, Familienstand, Personalnummer und Dienstgrad, Eintrittsdatum in die Justiz sowie die Sozialversicherungsnummer, sind solche, die auf den vorgelegten Unterlagen, wie Lohnkonto, Unfallmeldung und Krankenstandsbestätigungen, bereits vorhanden waren, also nicht extra oder separat vorgelegt wurden, sondern Teil der zur Begründung des Anspruchs herangezogenen Dokumente waren.
Nach Ansicht des erkennenden Senats sind auch diese personenbezogenen Daten des BF vom Konzept der Erforderlichkeit der Erlaubnistatbestände umfasst, das, wie bereits dargestellt, aus einer ex ante-Sicht und weit auszulegen ist.
Die Privatanschrift des BF befand sich auch auf den Unterlagen (Ambulanzprotokolle vom XXXX und XXXX 2021), die der BF selbst im Zuge seines Privatbeteiligtenanschlusses im Strafverfahren vorlegte, wie auch auf der Verletzungsanzeige, die durch die JA XXXX mit der Strafanzeige vorgelegt wurde.
Diese Verletzungsanzeige beinhaltete darüber hinaus auch die Handynummer, das Geburtsdatum und die Sozialversicherungsnummer des BF, die demnach bereits durch die Vorlage durch die Justizanstalt selbst im Akt der Staatsanwaltschaft vorhanden waren.
In Bezug auf das Lohnkonto, aus dem sich wieder der Name, die Adresse, das Geburtsdatum, die Sozialversicherungsnummer und darüber hinaus die Personalnummer, der Dienstgrad, das Eintrittsdatum in die Justiz sowie Informationen zu Bezügen und Zulagen herauslesen lassen, kann der erkennende Senat nachvollziehen, dass dessen Vorlage aus Sicht der mP zur Vertretung der Interessen ihrer Mandantin und aus prozessualer Vorsicht erforderlich gewesen ist.
In diesem Zusammenhang ist das Argument der mP, das diese im Rahmen der mündlichen Verhandlung und in ihrer schriftlichen Stellungnahme vom XXXX 2023 vorbrachte, dass die detaillierten Angaben zum Entgelt, inklusive Zulagen, Zuschüsse und Sonderzahlungen, für die Berechnung des Schadens aus der Lohnfortzahlung und zum Nachweis der Höhe notwendig waren, schlüssig und nachvollziehbar.
Die mP brachte außerdem weiter vor, nach der ZPO, die aufgrund des Fehlens eigener zivilprozessrechtlicher Regelungen im Adhäsionsverfahren zur Privatbeteiligung im Strafprozess heranzuziehen sei, zur Vorlage von unveränderten und vollständigen Urkunden gemäß § 298 ZPO verpflichtet zu sein. Selbst wenn eine solche Verpflichtung aus § 298 ZPO für das gegenständliche Verfahren nicht abzuleiten sein sollte, kann der erkennende Senat nachvollziehen, dass sich eine Parteienvertretung ex ante auch aus Gründen der advokatorischen Vorsicht und aus der Verantwortung ihrer Mandantschaft gegenüber für die Vorlage von Dokumenten in unveränderter Art und Weise entscheidet. Im Lichte der Beweiswürdigungsregelung des § 296 ZPO, wonach das Gericht nach § 272 ZPO (Grundsatz der freien Beweiswürdigung) zu beurteilen hat, ob und in welchem Maße Durchstreichungen, Radierungen und andere Auslöschungen, Einschaltungen oder sonstige äußere Mängel einer (öffentlichen oder privaten) Urkunde deren Beweiskraft mindern oder dieselbe ganz aufheben, kann es aus Sicht einer Partei oder ihrer Vertretung jedenfalls zur bestmöglichen Vertretung ihrer Interessen und ihrer Ansprüche erforderlich sein, einem Gericht unveränderte, ungeschwärzte Unterlagen zur Untermauerung ihrer Ansprüche vorzulegen, um die Beweiswürdigung im bestmöglichen Sinn für ihre Angelegenheit zu ermöglichen.
Demnach wird nicht nur die Vorlage des Lohnkontos in Bezug auf den BF, der Unfallmeldung und der Krankenstandsbestätigungen zur Begründung des Anspruchs als Privatbeteiligte im Strafverfahren gegen XXXX als erforderlich angesehen, sondern auch der Verzicht, Daten wie das Geburtsdatum, die Privatanschrift, die Handynummer, den Familienstand, die Personalnummer und den Dienstgrad, das Eintrittsdatum in die Justiz sowie die Sozialversicherungsnummer, die teilweise außerdem selbst durch den BF oder im Rahmen der Strafanzeige Eingang in den Akt der Staatsanwaltschaft gefunden haben, in den genannten Unterlagen zu schwärzen. In Lichte des vorher Gesagten kann eben nicht davon ausgegangen werden, dass die mP willkürlich und bewusst personenbezogene Daten des BF offengelegt haben soll, die gar nichts mit dem Streitgegenstand zu tun gehabt hätten.
Es wird gegenständlich nicht übersehen, dass die letztendlichen Geschehnisse, nämlich das Auftauchen der Unterlagen mit all den bereits genannten personenbezogenen Daten des BF im Haftraum eines Insassen, der den BF nicht nur verletzte, sondern mit dem dieser außerdem zu arbeiten hat, sehr unangenehme Folgen für den BF hat. Diese Geschehnisse sind allerdings auf eine Akteneinsicht der Vertretung des XXXX bei Gericht zurückzuführen. In Bezug auf eine diesbezügliche Datenschutzverletzung durch die Gerichtsbarkeit steht dem BF in weiterer Folge der Rechtschutz nach §§ 85a Abs. 2 und 85 GOG offen.
Die gegenständliche Datenverarbeitung durch die mP, nämlich die Vorlage des ungeschwärzten Lohnkontos des BF, der ungeschwärzten Unfallmeldung und der beiden ungeschwärzten Krankenstandsbestätigungen, erweist sich im Ergebnis als gerechtfertigt, weil sie für die Rechtsverfolgung iSd Art. 9 Abs. 2 lit. f DSVO, und damit auch iSd des Art 6 Abs. 1 lit. f DSGVO, erforderlich war.
Zu B) Zulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es zur Frage der Auslegung des Begriffs der „Erforderlichkeit“ in Art. 9 Abs. 2 lit. f DSGVO und zum Zusammenspiel dieser Bestimmung mit Art. 6 Abs.1 lit. f DSGVO und § 1 Abs. 1 DSG noch keine Rechtsprechung des Verwaltungsgerichtshofs gibt.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
