W254 2314129-1/14E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Dr.in Tatjana CARDONA als Vorsitzende sowie die fachkundigen Laienrichter Mag.a Viktoria HAIDINGER und Mag. Thomas GSCHAAR als Beisitzer über die Beschwerde der XXXX XXXX , vertreten durch WIDTER MAYRHAUSER WOLF Rechtsanwälte, gegen Spruchpunkt 1. des Bescheides der Datenschutzbehörde vom 29.04.2025, Zl. D124.1313/23, 2025-0.326.017, (mitbeteiligte Partei: XXXX ) betreffend eine datenschutzrechtliche Angelegenheit, nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:
A)
Die Beschwerde wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
1. In der gegenständlichen Datenschutzbeschwerde vom 19.06.2023, verbessert am 01.07.2023, machte die nunmehr mitbeteiligte Partei (der damalige Beschwerdeführer der Datenschutzbeschwerde) eine Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG durch die nunmehr beschwerdeführende Partei (die damalige Beschwerdegegnerin) geltend und führte dazu im Wesentlichen aus, dass letztere ihre personenbezogenen Daten über das Mandat hinaus gespeichert und mit einem anderen Akt verbunden habe sowie ihre Telefonnummer an einen Dritten, nämlich dem Finanzstadtrat der Stadtgemeinde XXXX weitergegeben habe. Sie habe auch nie die Erlaubnis erteilt, ihre Telefonnummer über das damalige Mandat hinaus zu speichern.
2. Mit Bescheid vom 29.04.2025 gab die belangte Behörde der Datenschutzbeschwerde teilweise statt und stellte fest, dass die beschwerdeführende Partei die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie ihre personenbezogenen Daten, welche sie anlässlich einer Mandatserteilung im Jahr 2021 erhalten habe, rechtsgrundlos anlässlich eines grundverkehrsbehördlichen Genehmigungsverfahrens der Stadtgemeinde XXXX verwendet habe (Spruchpunkt 1.). Im Übrigen werde die Datenschutzbeschwerde abgewiesen (Spruchpunkt 2.).
3. Gegen Spruchpunkt 1. dieses Bescheides richtet sich die von der beschwerdeführenden Partei mit Schreiben vom 26.05.2025 fristgerecht erhobene Bescheidbeschwerde, in welcher sie vorbringt, dass die Rechtsansicht der belangten Behörde, dass der Datenverarbeitung kein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO zugrunde liege, verfehlt sei. Die belangte Behörde übersehe dabei, dass die beschwerdeführende Partei im Rahmen der Kaufvertragsabwicklung im Jahr 2023 in ihrer Eigenschaft als Vertreterin der Kaufvertragsparteien im grundverkehrsbehördlichen Verfahren dazu verpflichtet gewesen sei, diese von der Interessenanmeldung der mitbeteiligten Partei in Kenntnis zu setzen. Da die mitbeteiligte Partei durch die Interessenanmeldung in rechtlicher Sicht zum Verfahrensgegner der Kaufvertragsparteien worden sei, habe keine Verpflichtung bestanden, sie von der Datenverarbeitung zu verständigen. Die kanzleiinterne Verbindung der bereits rechtmäßig gespeicherten Daten der mitbeteiligten Partei mit jenem Akt stelle keine rechtsgrundlose Datenverwendung dar. Der gegenständliche Sachverhalt sei daher insoweit nicht mit dem der Rechtssache C-394/23 zugrundeliegenden gleichzusetzen.
4. Das Bundesverwaltungsgericht führte am 06.05.2026 eine öffentliche, mündliche Verhandlung durch, in welcher die Parteien und der beantragte Zeuge befragt wurden und die Möglichkeit eingeräumt wurde, Fragen zu stellen und Anträge einzubringen.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1.1. Die mitbeteiligte Partei beauftragte die beschwerdeführende Partei, eine Notariatspartnerschaft, im Anfang 2021 mit der Abwicklung zweier Kaufverträge über landwirtschaftliche Grundstücke, welche im Februar und April 2021 unterfertigt wurden.
Die mitbeteiligte Partei erhob im Rahmen und zum Zweck dieses Mandats bei der beschwerdeführenden Partei ihren Namen, ihre Wohnadresse, ihr Geburtsdatum, ihre Telefonnummer sowie ihre E-Mail-Adresse. Sie speicherte diese Daten auch nach Abschluss des Mandats weiter elektronisch.
1.2. Im Jahr 2023 beauftragte die Stadtgemeinde XXXX die beschwerdeführende Partei mit der Abwicklung eines Kaufvertrags über ein landwirtschaftliches Grundstück. Im Rahmen des diesbezüglichen grundverkehrsbehördlichen Genehmigungsverfahrens reichte die mitbeteiligte Partei eine Interessenanmeldung bei der Grundverkehrsbehörde ein, welche wiederum die beschwerdeführende Partei als Vertreterin der Kaufvertragsparteien darüber informierte. Die Interessenanmeldung enthielt den Namen, den Wohnort und die E-Mail-Adresse der mitbeteiligten Partei.
Die beschwerdeführende Partei verband in diesem Zusammenhang die elektronisch gespeicherten Daten der mitbeteiligten Partei aus dem Jahr 2021 mit dem elektronischen Akt dieses grundverkehrsbehördlichen Verfahrens.
Zu diesem Zeitpunkt bestand keine Vertragsbeziehung zwischen der beschwerdeführenden und der mitbeteiligten Partei und informierte Erstere auch nicht Letztere über diese Datenverwendung oder die damit verfolgten Zwecke.
2. Beweiswürdigung:
Die Feststellungen beruhen auf dem unstrittigen Parteienvorbringen, wie es auch von der belangten Behörde ihrem Bescheid zugrunde gelegt wurde und welches in der gegenständlichen Bescheidbeschwerde auch nicht infrage gestellt wurde. Die beschwerdeführende Partei gab auch in der mündlichen Beschwerdeverhandlung an, dass die Daten der beiden Geschäftsfälle automatisch durch die Kanzleisoftware verknüpft wurden (vgl. Verhandlungsprotokoll S. 14).
3. Rechtliche Beurteilung:
Zu A)
3.1. Rechtsgrundlagen:
§ 1 DSG – Grundrecht auf Datenschutz
(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen
1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;
2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.
(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.
Art. 4 DSGVO Begriffsbestimmungen
[…]
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
Art. 5 – DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.
3.2. In der Sache:
Jede Verarbeitung personenbezogener Daten muss mit den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen in Einklang stehen, welche unter anderem den Grundsatz der Zweckbindung und Grundsatz der Datenminimierung vorsieht (vgl. EuGH 21.12.2023, C-667/21, Rn. 76).
Wie bereits die Datenschutzbehörde ausgeführt hat, war die ursprüngliche Datenerhebung anlässlich der Abwicklung zweier Kaufverträge im Jahr 2021 sowie auch die Datenerhebung für das grundverkehrsbehördliche Genehmigungsverfahren im Jahr 2023 für sich alleine genommen unproblematisch.
Die belangten Behörde hat aber zu Recht eine Verletzung im Recht auf Geheimhaltung festgestellt, da die beschwerdeführende Partei personenbezogene Daten der mitbeteiligten Partei, welche sie anlässlich einer Mandatserteilung im Jahr 2021 erhoben hat, rechtsgrundlos anlässlich eines grundverkehrsbehördlichen Genehmigungsverfahrens im Jahr 2023 verarbeitet hat, indem sie die beiden Verfahren verknüpft hat. Die Verknüpfung der Daten dieser beiden Rechtsgeschäfte ist unstrittig.
Wie bereits die Datenschutzbehörde richtigerweise ausgeführt hat, wäre der in Art. 6 Abs. 1 lit f DSGVO normierte Rechtmäßigkeitstatbestand „berechtigtes Interesse“ – nämlich die kanzleiinterne Verknüpfung zur Vermeidung von Doppelanlegungen - davon abhängig, dass die Verknüpfung der Daten der mitbeteiligten Partei mitgeteilt worden wäre. Da dies unstrittig nicht der Fall war, scheidet dieser Rechtfertigungsgrund aus (vgl. EuGH vom 09.01.2025, C-394/23).
Zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Das Bundesverwaltungsgericht konnte sich bei der Entscheidung auf eine eindeutige Rechtslage und höchstgerichtliche Rechtsprechung stützen.
Rückverweise
RIS