2021-0.450.072 – Datenschutzbehörde Entscheidung

GZ: 2021-0.450.072 vom 13. Jänner 2022 (Verfahrenszahl: DSB-D124.3952)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Johann A*** (Beschwerdeführer) vom 15. April 2021 gegen die N*** Transport GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung, im Recht auf Information, im Recht auf Auskunft, im Recht auf Datenübertragbarkeit, im Recht auf Löschung und im Recht auf Einschränkung der Verarbeitung wie folgt:

- Die Beschwerde wird als unbegründet abgewiesen.

Rechtsgrundlagen: Art. 13, Art. 14, Art. 15, Art. 17, Art. 18, Art. 20, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit verfahrenseinleitender Eingabe vom 15. April 2021 machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung, im Recht auf Information, im Recht auf Auskunft, im Recht auf Datenübertragbarkeit, im Recht auf Löschung und im Recht auf Einschränkung der Verarbeitung geltend und brachte zusammengefasst wie folgt vor:

Die Beschwerdegegnerin habe über dessen Ausscheiden aus dem Unternehmen hinaus, die private E-Mail-Korrespondenz des Beschwerdeführers von seiner beruflichen E-Mail Adresse j.a***@n***-transport.at verarbeitet, sowie E-Mails des Beschwerdeführers weitergeleitet. Es bestehe kein Rechtfertigungsgrund für die Verarbeitung der privaten E-Mail-Korrespondenz des Beschwerdeführers, welche nach der Beendigung des Arbeitsverhältnisses auf die personalisierten E-Mail-Adresse des Beschwerdeführers eingelangt sei oder die weiterhin uneingeschränkte Nutzung dieser E-Mail-Adresse. Der Beschwerdeführer legte zwei E-Mail-Korrespondenzen vom 30. Januar 2021 und 5. Februar 2021 zum Beweis vor.

Der Beschwerdeführer habe die Beschwerdegegnerin aufgefordert, die personenbezogenen Daten des Beschwerdeführers, insbesondere seine Korrespondenz (privat und beruflich), welche auf dem vorerwähnten E-Mail- Account gespeichert sind, zu übermitteln sowie nach der Datenübertragung sämtliche von ihr gespeicherten oder sonst verarbeiteten personenbezogenen Daten des Beschwerdeführers zu löschen oder ansonsten die Datenverarbeitung einzuschränken. Die Beschwerdegegnerin sei dem Antrag nicht nachgekommen.

Darüber hinaus sei die Beschwerdegegnerin weder ihrer Informationspflicht während des aufrechten Arbeitsverhältnisses, noch danach, nachgekommen.

Die Beschwerdegegnerin habe auch nicht innerhalb eines Monats auf den Auskunftsantrag des Beschwerdegegners reagiert.

Die Beschwerdegegnerin habe kein auto-reply bei der personalisierten E-Mail-Adresse des Beschwerdegegners eingerichtet.

2. Mit Eingabe vom 10. Mai 2021, ergänzt am 12. Mai 2021, replizierte die Beschwerdegegnerin zusammengefasst, dass die – ausschließlich zu beruflichen Zwecken eingerichtete und nur zur beruflichen Nutzung frei gegebene – E-Mail-Adresse j.a***@n***-transport.at vom Beschwerdeführer entgegen der bestehenden dienstlichen Anweisungen auch für private Zwecke verwendet worden sei, sei der Beschwerdegegnerin nicht bekannt gewesen. Private E-Mails, welche unter der Adresse j.a***@n***-transport.ateingelangt sein sollen, seien der Beschwerdegegnerin ebenfalls nicht bekannt. Dieser sei vielmehr bekannt, dass der Beschwerdeführer über eine private E-Mail-Adresse verfügt / verfügt habe, über die er private Korrespondenz abwickelt habe. Aus diesem Grund seien auch noch nach Beendigung des Beschäftigungsverhältnisses des Beschwerdeführers zur Beschwerdegegnerin per 31. Jänner 2021 berufliche E-Mails, welche von Kunden der Beschwerdegegnerin aufgrund der langjährigen Zusammenarbeit mit dem Beschwerdeführer mit diesem kommuniziert haben, auf dessen beruflichen E-Mail-Account zur weiteren Bearbeitung eingelangt. Es handle sich bei den vorgelegten E-Mails um Rechnungen. Der Beschwerdeführer habe in der Vergangenheit Kunden der Beschwerdegegnerin abgeworben, daher könnten die beruflichen E-Mails nicht an den Beschwerdeführer übermittelt werden. Es seien keine E-Mails unter der E-Mail-Adresse des Beschwerdeführers versendet worden. Darüber hinaus sei der E-Mail-Account des Beschwerdeführers bereits im April vollständig deaktiviert worden. Auto-Reply-Einrichtungen seien aufgrund der anmeldedatenbezogenen Veränderung nur vom jeweiligen Nutzer einzugeben. In diesem Fall sei dies der Beschwerdeführer. Die Beschwerdegegnerin habe der Eingabe ein Auskunftsschreiben, sowie ein Informationsschreiben beigelegt, darüber hinaus habe der Beschwerdeführer bereits über die Informationen verfügt. Die Beschwerdegegnerin habe die personenbezogenen Daten des Beschwerdeführers, jedenfalls so lange die gesetzlichen Aufbewahrungspflichten bestehen oder Verjährungsfristen potentieller Rechtsansprüche noch nicht abgelaufen sind, zu speichern. Der E-Mail-Verkehr sei gemäß § 212 Abs. 1 UGB grundsätzlich sieben Jahre aufzubewahren. Eine Weitergabe der Daten / Korrespondenz (privat und beruflich), welche auf dem E-Mail-Account j.a***@n***-transport.at gespeichert sei, sei deshalb nicht möglich, da nach Mitteilung des verantwortlichen Systemadministrators ein solcher nachträgliche Zugriff auf den E-Mail-Account nur mit einem Zurücksetzen des vom ursprünglichen Benutzer eingegebenen Kennwortes durch ein temporäres Kennwort möglich sei, dies jedoch beim ersten Anmelden durch den Benutzer selbst zu geschehen habe. Dies sei gegenständlich nicht umgesetzt worden, die E-Mail-Adresse des Beschwerdeführers sei Mitte April daher auf „disabled“ gesetzt worden, damit sich niemand mehr bei dieser Adresse anmelden könne. Einen Monat nach der Eingabe der „disabling“ Funktion eines Benutzers wäre das E-Mail-Konto automatisch und vollständig gelöscht worden. Damit gebe es weder die Möglichkeit auf das Konto zuzugreifen, noch Weiterleitungen hieraus vorzunehmen.

3. Mit Eingabe vom 23. Juni 2021 brachte der Beschwerdeführer vor, dass die Beschwerdegegnerin keine dienstliche Anweisung, welche die private Nutzung untersagt habe, erteilt habe und gab dazu eine eidesstattliche Erklärung ab. Darüber hinaus seien an die E-Mail-Adresse des Beschwerdeführers j.a***@n***-transport.at am 19. Januar 2021 (Betreff: Privat) und 1. März 2021 private E-Mails übermittelt worden. Die Behauptungen seien unzutreffend, dass es der Beschwerdegegnerin nicht möglich gewesen sein soll, eine Auto-Reply-Einrichtung für den E-Mail-Account des Beschwerdeführers einzurichten. Darüber hinaus sei die Auskunft unvollständig hinsichtlich der Empfänger. Dem Vertreter des Beschwerdeführers sei zur Kenntnis gelangt, dass die Beschwerdegegnerin die personenbezogenen Daten des Beschwerdeführers für Werbezwecke nutze. Die Beschwerdegegnerin habe in der Auskunftserteilung sowie in ihrer Stellungnahme den Werbezweck nicht angeführt. Wie aus folgendem Link aber hervorgehe, verarbeite die Beschwerdegegnerin die personenbezogenen Daten des Beschwerdeführers für Werbezwecke: (https://n***-transport.at/de/sites/n***-transport.at/files/files/***.pdf). Darüber hinaus sei die Beschwerdegegnerin ihrer Informationspflicht nicht ausreichend nachgekommen, da der Beschwerdeführer weder über die Informationen verfüge, ob seine personenbezogenen Daten auch außerhalb der EU/EWR verarbeitet worden seien, noch Informationen über die Speicherdauer erhalten und auch die Informationen gemäß Art. 13 Abs. 2 lit a, lit b und lit f DSGVO fehlen würden. Hinsichtlich dem Recht auf Löschung habe der Beschwerdeführer die Löschung von sämtlichen Daten begehrt.

4. Die Datenschutzbehörde führt ein neues Verfahren wegen mangelhafter Auskunft unter der GZ: D124.5359.

B. Beschwerdegegenstand

Beschwerdegegenständlich stellt sich die Frage,

1. ob die Beschwerdegegnerin den Beschwerdeführer durch Einsicht in den E-Mail-Account j.a***@n***-transport.at sowie durch Weiterleitung von an diesen Account adressierten E-Mails in dessen Recht auf Geheimhaltung verletzt hat,

2. ob die Beschwerdegegnerin den Beschwerdeführe im Recht auf Information verletzt hat, indem sie ihm keine Information über die Verarbeitung seiner Daten erteilt hat,

3. ob die Beschwerdegegnerin den Beschwerdeführer im Recht auf Auskunft verletzt hat, indem sie ihm keine Auskunft erteilt hat,

4. ob die Beschwerdegegnerin den Beschwerdeführer im Recht auf Datenübertragbarkeit, im Recht auf Löschung und im Recht auf Einschränkung der Verarbeitung verletzt hat, in dem sie auf den Antrag des Beschwerdeführers nicht reagiert hat.

C. Sachverhaltsfeststellungen

1. Die Beschwerdegegnerin ist ein Unternehmen, dessen Unternehmensgegenstand der Transport von [Anmerkung Bearbeiter/in: nähere Umschreibung aus Pseudonymisierungsgründen entfernt] Lebensmitteln ist.

2. Der Beschwerdeführer war vom 1. September 2007 bis zum 31. Januar 2021 Mitarbeiter der Beschwerdegegnerin.

3. Der Beschwerdeführer arbeitet nun für die O***transport GmbH, dessen Unternehmensgegenstand ebenfalls der Transport von [Anmerkung Bearbeiter/in: nähere Umschreibung aus Pseudonymisierungsgründen entfernt] Lebensmitteln ist. Der Vater des Beschwerdeführers, welcher ebenfalls ehemaliger Mitarbeiter der Beschwerdegegnerin ist, ist bei der O***transport GmbH Geschäftsführer. Zwischen der Beschwerdegegnerin und dem neuen Arbeitgeber des Beschwerdeführers O***transport GmbH sind deshalb eine Reihe von Rechtsstreitigkeiten beim Landesgericht C*** anhängig und eine weitere Klagsführung steht unmittelbar vor der gerichtlichen Einbringung.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf den Eingaben der Parteien sowie auf der amtswegigen Recherche der Datenschutzbehörde https://www.o***transport.at/team/ (abgerufen am 01.12.2021).

4. Dem Beschwerdeführer wurde für die Zeit seiner Beschäftigung durch die Beschwerdegegnerin zum Zwecke des Arbeitsverhältnisses die E-Mail-Adresse j.a***@n***-transport.at zur Verfügung gestellt.

5. Nach dem Ausscheiden des Beschwerdeführers kam es am 1. Februar 2021 zu folgendem E-Mail-Verlauf:

[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original als grafische Datei) wiedergegebene E-Mail betreffend Überprüfung der Richtigkeit einer zwischen verschiedenen Transportunternehmen im EWR übermittelten Rechnung, enthaltend u.a. den Namen und die E-Mail-Adresse des Beschwerdeführers, kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.]

6. Nach dem Ausscheiden des Beschwerdeführers kam es am 5. Februar 2021 zur folgendem E-Mail-Verlauf:

[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original als grafische Datei) wiedergegebene E-Mail betreffend Überprüfung der Richtigkeit einer zwischen verschiedenen Transportunternehmen im EWR übermittelten Rechnung, enthaltend u.a. den Namen und die E-Mail-Adresse des Beschwerdeführers, kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.]

7. Beide E-Mails wurden nach Austritt des Beschwerdeführers aus dem Dienstverhältnis mit der Beschwerdegegnerin an die berufliche E-Mail-Adresse des Beschwerdeführers gerichtet. Hierbei handelt es sich um Rechnungen/ Rechnungskontrollen, welche die Beschwerdegegnerin mit ihren Geschäftskontakten betreffen und daher um keine privaten E-Mails. Die Weiterleitung fand jedenfalls am 1. Februar 2021 und am 4./5. Februar 2021 statt. Es wurden nur in die gegenständlichen beruflichen E-Mails Einsicht genommen und diese weitergeleitet.

Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus den Vorbringen der Parteien. Die Feststellungen zu Punkt C.5., C.6. und C.7. beruhen einerseits auf dem Vorbringen der Beschwerdegegnerin, sowie auf den vom Beschwerdeführer in Kopie vorgelegten E-Mail-Verlauf vom 30. Januar 2021 und 5. Februar 2021. Von der Feststellung, dass in weiteren E-Mails des Beschwerdeführers eingesehen wurde, wurde abgesehen, da es sich hierbei um eine Mutmaßung des Beschwerdeführers handelt und diesbezüglich auch keine Beweismittel vorlagen. Darüber hinaus hat sich im laufenden Verfahren der Vorwurf des Beschwerdeführers für die Datenschutzbehörde insbesondere aufgrund des Vorbringens der Beschwerdegegnerin auch nicht manifestiert. Folglich war ausschließlich die Einsichtnahme und Weiterleitung in die genannten E-Mails festzustellen.

8. Die E-Mail-Adresse wurde dem Beschwerdeführer mit der dienstlichen Anweisung, diese ausschließlich für berufliche Zwecke zu verwenden, von der Beschwerdegegnerin zur Verfügung gestellt.

9. An die E-Mail-Adresse des Beschwerdeführers j.a***t@n***-transport.at wurde zumindest am 19. Januar 2021 ein privates E-Mail mit dem Betreff: Privat versendet, welches der Beschwerdegegnerin unbekannt war und in welches sie daher keine Einsicht genommen hat.

Beweiswürdigung: Hinsichtlich der Feststellungen zu Punkt C.8. und Punkt C.9. folgt die Datenschutzbehörde dem glaubhaften Vorbringen der Beschwerdegegnerin, wonach ihr keine privaten E-Mails auf dem E-Mail-Account des Beschwerdeführers bekannt seien und eine dienstliche Anweisung bestanden habe, den beruflichen E-Mail-Account nur für berufliche Zwecke zu verwenden. Hinsichtlich dem privaten E-Mail vom 19. Januar 2021 (Betreff: Privat) folgt die Datenschutzbehörde dem Vorbringen des Beschwerdeführers vom 23. Juni 2021. Die Bestreitung des Beschwerdeführers, er hätte nicht von der dienstlichen Anweisung, dass der berufliche E-Mail-Account nur für berufliche Zwecke verwendet werde dürfe, gewusst, ist hingegen unglaubwürdig. Es erscheint glaubhafter, dass der Beschwerdeführer im gegenständlichen Beschwerdeverfahren versucht, neben seinen privaten E-Mails auch Zugriff auf die beruflichen E-Mails für seine Tätigkeit bei seinem neuen Arbeitgeber zu bekommen (Punkt C.3.) und daher in seiner eidesstattlichen Erklärung behauptet, er habe nichts von der dienstlichen Anweisung gewusst. Im Rahmen des durchgeführten Ermittlungsverfahrens sind auch keine das Vorbringen des Beschwerdeführers stützende Beweise hervorgekommen, noch vermochte der Beschwerdeführer einen Beweis für die Richtigkeit seiner Behauptungen darzubringen. Aufgrund der Ergebnisse des Ermittlungsverfahrens besteht ein klares Bild über die maßgebenden Sachverhaltselemente und es konnte von der Erhebung weiterer Beweise daher abgesehen werden (vgl. VwSlg 3046 A/1953; VwGH 21.3.1991, 90/09/0097; 19.3.1992, 91/09/0187; 16.10.1997, 96/06/0004; 13.9. 2002, 99/12/0139).

10. Der E-Mail-Account des Beschwerdeführers j.a***@n***-transport.at wurde Mitte April 2021 auf „disabled“ gesetzt und einen Monat später automatisch und vollständig gelöscht, daher ist ein E-Mail-Empfang unter dieser Adresse nicht mehr möglich:

[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original als grafische Datei wiedergegebene automatische E-Mail eines Mailservers betreffend Unzustellbarkeit einer an j.a***@n***-transport.at versendeten Nachricht kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.]

Beweiswürdigung: Hinsichtlich der Feststellungen zu Punkt C.10. folgt die Datenschutzbehörde dem glaubhaften Vorbringen der Beschwerdegegnerin sowie der amtswegigen Recherche der Datenschutzbehörde durch Zusendung eines E-Mails vom 3. Dezember 2021, welches unzustellbar war.

11. Mit Schreiben vom 1. März 2021 stellte der Beschwerdeführer einen Antrag auf Auskunft, Datenübertragung, Einschränkung der Verarbeitung und Löschung. Die Beschwerdegegnerin verarbeitet die beiden beruflichen E-Mails aufgrund gesetzlicher Vorgaben.

Beweiswürdigung: Die gegenständliche Feststellung ergibt sich aus dem Akt.

12. Die Beschwerdegegnerin hat dem Beschwerdeführer am 12. Mai 2021 Auskunft erteilt und zusätzlich mit Eingabe vom 10. Mai 2021 Informationen über die Verarbeitung der personenbezogenen Daten des Beschwerdeführers mitgeteilt. Darin informiert die Beschwerdegegnerin u.a. über Speicherdauer und Kategorien von Empfängern.

Beweiswürdigung: Die Feststellungen zu Punkt C.11. beruhen auf der Eingabe der Beschwerdegegnerin vom 10. Mai 2021 sowie aus dem vorgelegten Auskunftsschreiben vom 12. Mai 2021.

13. Auf der Webseite der Beschwerdegegnerin befindet sich ihre Datenschutzerklärung, welche über die Verarbeitung personenbezogener Daten informiert.

Beweiswürdigung: Die Feststellungen zu Punkt C.12. beruhen auf den amtswegigen Recherchen der Datenschutzbehörde (https://n***-transport.at/de/datenschutzerklarung, abgerufen am 03.12.2021).

14. Der Link: https://n***-transport.at/de/sites/n***-transport.at/files/files/***.pdf ist nicht mehr abrufbar. Im Übrigen handelte es sich um einen Newsletter aus dem Jahr 2013.

Beweiswürdigung: Die Feststellungen zu Punkt C.13. beruhen auf den amtswegigen Recherchen der Datenschutzbehörde (abgerufen am 03.12.2021)

D. In rechtlicher Hinsicht folgt daraus:

D.1. Zum Recht auf Geheimhaltung

§ 1 Abs. 1 DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit ein schutzwürdiges Interesse daran besteht.

Die DSGVO und insbesondere die darin verankerten Datenschutzgrundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

Im gegenständlichen Fall ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da es sich unstrittig um personenbezogene Daten iSd Art. 4 Z 1 DSGVO des Beschwerdeführers handelt und dieser daran auch ein schutzwürdiges Interesse hat. Folglich ist daher zu prüfen, ob der Eingriff iSd § 1 Abs. 2 DSG gerechtfertigt war.

Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig.

D.1.2. Zur Zulässigkeit der Verarbeitung

Verfahrensgegenständlich stützt die Beschwerdegegnerin die Verarbeitung der personenbezogenen Daten des Beschwerdeführers auf Art. 6 Abs. 1 lit. f DSGVO.

Art. 6 Abs. 1 lit. f DSGVO besagt, dass die Verarbeitung rechtmäßig ist, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogenen Daten erfordert, überwiegen.

Folglich hat eine Bewertung der berechtigten Interessen des Beschwerdeführers zu erfolgen und sind diese den berechtigten Interessen der Beschwerdegegnerin sowie Dritter gegenüberzustellen .

Im Rahmen dieser Interessenabwägung ist zu berücksichtigen, dass Art. 6 Abs. 1 lit. f DSGVO zwei kumulative Voraussetzungen kennt, damit sich die Beschwerdegegnerin auf diesen Erlaubnistatbestand stützen kann: Zum einen muss die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, zum anderen dürfen Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen (vgl. zu Art. 7 lit. f der Richtlinie 95/46/EG das Urteil des EuGH vom 24. November 2011, C-468/10 und C-469/10 [ASNEF und FECEMD] Rz. 38). Im Rahmen der Interessensabwägung ist überdies zu berücksichtigen, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftiger Weise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten (vgl. Kastelitz/Hötzendorfer/Tschohl, aaO Rz 51). Von besonderer Relevanz für die Interessenabwägung sind darüber hinaus Aufgaben und Zweck, die mit einer Datenverarbeitung verfolgt werden (vgl. Buchner/Petri in Art. 6 DSGVO, Rz 152).

D.1.2.1. Weiterleitung und Einsichtnahme

Der Beschwerdeführer führt ins Treffen, dass er ein Interesse daran habe, dass seine Daten und die ihm übermittelten Daten nicht von Dritten eingesehen werden und er daher ein Interesse auf Wahrung seiner Rechte habe. Demgegenüber steht das Interesse der Beschwerdegegnerin, in die verfahrensgegenständlichen E-Mails Einsicht zu nehmen, um auch nach Ausscheiden des Beschwerdeführers aus dem Unternehmen die Aufrechterhaltung des ungestörten Geschäftsablaufes sicherzustellen und die beruflichen E-Mails, welche z.B. Rechnungsdaten enthielten, weiterzuleiten.

Wie den Feststellungen entnommen werden kann, handelt es sich bei den gegenständlichen E-Mail-Weiterleitungen vom 1. Februar 2021 und vom 5. Februar 2021 um berufliche E-Mails, da diese Rechnungen in Zusammenhang mit der Tätigkeit des Beschwerdeführers für die Beschwerdegegnerin stehen. Wie den Feststellungen aber auch entnommen werden kann, wurde nicht in jedes E-Mail des gegenständlichen Accounts Einsicht genommen bzw. dieses weitergeleitet.

Darüber hinaus wurde festgestellt, dass es eine dienstliche Anweisung gab, dass der berufliche E-Mail Account nicht für private E-Mails genutzt werden darf. Daher konnte die Beschwerdegegnerin davon ausgehen, dass nach Beendigung des Dienstverhältnisses und des Ausscheidens des Beschwerdeführers, es sich bei neu eingehenden E-Mails um E-Mails von Geschäftspartnern oder potenziellen Kunden handeln würde. Die Beschwerdegegnerin hatte auch, wie festgestellt, keine Kenntnis von privaten E-Mails auf dem beruflichen E-Mail-Account des Beschwerdeführers.

Doch selbst wenn man davon ausgeht, dass der Beschwerdeführer keine Kenntnis von der dienstlichen Anweisung hatte, so musste doch der Beschwerdeführer damit rechnen, dass nach seinem Ausscheiden aus der Gesellschaft die Gefahr bestünde, dass private E-Mails an seine berufliche E-Mail-Adresse versendet würden. Dies ist ihm zurechnen und hätte von ihm selbst verhindert werden können.

Darüber hinaus ist selbst bei Unkenntnis des Beschwerdeführers über die ausschließliche berufliche Nutzung des gegenständlichen E-Mail-Accounts ein berechtigtes Interesse der Beschwerdegegnerin an der Weiterführung des reibungslosen Ablaufs des Unternehmens gegeben. Dazu gehört, dass die Beschwerdegegnerin z.B. in Rechnungsdaten und berufliche Emails zwecks Geschäftsabwicklungen und Kontrolle Einsicht nimmt und diese aus diesem Grund weiterleitet.

In diesem Zusammenhang ist auf das Urteil des EGMR (Vierte Kammer) vom 12. Jänner 2016, Barbulescu gegen Rumänien, Nr. 61496/08, hinzuweisen. Darin beschäftigte sich der EGMR mit der Frage, ob eine Verletzung des Art. 8 EMRK (hier: des Rechts auf Achtung des Privatlebens und des Briefverkehrs) in einem Fall vorliegt, in dem ein Arbeitgeber dienstliche E -Mails seines Arbeitnehmers überwachte und in einem arbeitsrechtlichen Prozess zum Beweis einer Dienstpflichtverletzung vorlegte. Dabei führt der EGMR in Randziffer 59 des zitierten Urteils aus, dass er es nicht als unverhältnismäßig erachtet, dass ein Arbeitgeber Gewissheit darüber haben möchte, ob und inwieweit die Beschäftigten ihre beruflichen Aufgaben in der Arbeitszeit erledigen. In Randziffer 57 seines Urteils führt der EGMR weiters aus, dass der Arbeitgeber auf den Account des klagenden Arbeitnehmers in dem guten Glauben zugriff, dass sich darauf nur kundenbezogene Kommunikation befände.Der Arbeitgeber hat - so der EGMR weiter - seine disziplinären Zuständigkeiten nicht überschritten, weil er auf den E-Mail-Account des Arbeitnehmers in der Annahme zugegriffen hat, dass sich darin nur solche Nachrichten befinden würden, die mit den dienstlichen Tätigkeiten des Arbeitnehmers in Zusammenhang stehen, weshalb der Zugriff auf den Account zulässig war. Im Ergebnis verneinte der EGMR eine Verletzung Art. 8 EMRK mit der Begründung, dass die rumänischen Gerichte eine angemessene Interessenabwägung zwischen den Rechten des Klägers auf Achtung seines Rechts auf Privatleben und Briefverkehr gemäß Art. 8 EMRK und den Interessen des Arbeitgebers vorgenommen hatten.

Auch wenn sich das zitierte Urteil des EGMR auf Art. 8 EMRK stützt, dessen Anwendungsbereich weiter als jener von § 1 DSG ist, können die darin getätigten Aussagen für das vorliegende Verfahren insofern herangezogen werden, als es sich hier unstrittig um einen behaupteten Eingriff in das Grundrecht auf Schutz personenbezogener Daten (konkret: Recht auf Geheimhaltung) handelt und es insofern klare Überschneidungsbereiche gibt (vgl. zur Zuständigkeit der Datenschutzbehörde in Bezug auf behauptete Verletzungen von Art. 8 EMRK den Bescheid vom 6. September 2013, GZ K121.979/0014-DSK/2013, sowie VfSlg. 18.092/2007).

Zusammenfassend lässt sich daher sagen, dass den berechtigten Interessen der Beschwerdegegnerin betreffend die erfolgte Weiterleitung und Einsichtnahme ein höherer Stellenwert einzuräumen war, als den dargelegten berechtigten Interessen des Beschwerdeführers und der Eingriff in das Recht auf Geheimhaltung folglich gerechtfertigt war(vgl. zur Einsichtnahme in E-Mails nach Ausscheiden aus einem Dienstverhältnis auch den Bescheid vom 7. März 2019, GZ DSB-D123.154/0004-DSB/2019).

Daher war spruchgemäß zu entscheiden.

D.2. Zum Recht auf Auskunft

Der Beschwerdeführer rügt in seiner den Verfahrensgegenstand konstituierenden Beschwerde die Nichterteilung einer Auskunft. Jedoch erteilte die Beschwerdegegnerin während des laufenden Verfahrens die gewünschte Auskunft und erbrachte der Beschwerdeführer ein weiteres Vorbringen, nämlich, dass die Auskunft nicht vollständig, bzw. nicht dem Gesetz entsprechend sei.

Gemäß § 24 Abs. 6 DSG kann ein Beschwerdegegner bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

Im vorliegenden Fall ist die zweite Eingabe des Beschwerdeführers vom 23. Juni 2021 betreffend die behauptetermaßen mangelhafte Auskunft als neue Eingabe in einem separat zu erledigendem Datenschutzverfahren – das hier nicht zu erledigen ist – zu werten gewesen, da sich die Sache dem Wesen nach geändert hat. Eine Beschwerde wegen einer nicht erteilten Auskunft ist von einer Beschwerde wegen einer mangelhaften Auskunft grundlegend zu unterscheiden.

Äußert sich der Beschwerdeführer - wie gegenständlich - dahingehend, dass eine Verletzung (die Nicht-Erteilung der Auskunft) bestanden hat (die aber durch die Erteilung einer – wenngleich behauptetermaßen mangelhaften – Auskunft beseitigt wurde), dann ist in Anlehnung an die Rechtsprechung zur verspäteten Erteilung der Auskunft das Begehren abzuweisen (DSB-D122.321/0006-DSB-2015; in diesem Sinne auch Suda in Gantschacher † , Jelinek, Schmidl, Spannberger (Hrsg.), Kommentar zum Datenschutzgesetz, § 24 Abs. 6 Rz 17 (2018).).

Es war daher spruchgemäß abzuweisen.

D.3. Zum Recht auf Datenübertragbarkeit

Der Beschwerdeführer beantragte, dass die Beschwerdegegnerin seine personenbezogenen Daten, insbesondere seine E-Mail-Korrespondenz (privat und beruflich), welche auf dem beruflichen E-Mail-Account gespeichert sind, in einem strukturierten, gängigen und maschinenlesbaren Format, an ihn übermitteln solle.

Gemäß Art. 20 Abs. 1 DSGVO hat die betroffene Person das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln, sofern die Verarbeitung auf einer Einwilligung oder auf einem Vertrag beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt.

Der Anspruch auf Datenübertragbarkeit bezieht sich nur auf solche Daten, die dem Verantwortlichen von der betroffenen Person bereitgestellt wurden . Dazu zählen nicht solche Daten, die von anderen Nutzern eines Dienstes, etwa eines sozialen Netzwerks, bereitgestellt wurden. Daher dürfte etwa ein vollständiges Chat-Protokoll, das neben Äußerungen der betroffenen Person auch Äußerungen anderer Personen enthält, nicht Gegenstand des Anspruchs auf Datenübertragbarkeit sein. Aus diesem Grund fallen Chat-Verläufe und empfangene E-Mails tatsächlich nicht unter den Anspruch aus Art. 20 (vgl. Herbst in Kühling/Buchner (Hrsg.), Kommentar zur Datenschutz-Grundverordnung, Art. 20 DSGVO).

Schon aus diesen Überlegungen ist das Recht auf Datenübertragbarkeit im gegenständlichen Fall nicht anwendbar.

Darüber hinaus dürfen, gemäß Art. 20 Abs. 4 DSGVO bei der Ausübung des Rechts auf Datenübertragbarkeit, die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden.

Art. 20 Abs. 4 enthält eine Kollisionsregel, die besagt, dass das Recht auf Datenübertragbarkeit die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. Diese Rechte, insbesondere und vor allem das Datenschutzgrundrecht nach Art. 8 GRC als Kern der in der DSGVO stipulierten Betroffenenrechte, gehen daher dem Recht auf Datenübertragbarkeit im Zweifel vor (arg „darf…nicht beeinträchtigen“). Dies wird insbesondere dort Bedeutung erlangen, wo ein automationsunterstützt verarbeiteter Datenbestand zwar einer Person (zB dem Inhaber einer Mailbox oder eines Accounts bei einem Kurznachrichtendienst oder in einem sozialen Netzwerk) zugeordnet werden kann, und zu einem Großteil auch von dieser Person bereitgestellt worden ist, aber inhaltlich (zB weil die Mailbox im Posteingang auch Nachrichten enthält, die andere verfasst haben und die sich demnach auf den Sender oder Dritte beziehen) auch personenbezogene Daten anderer Betroffener enthält (vgl. Suda in Gantschacher/Jelinek/Schmidl/Spanberger, Kommentar zur Datenschutz-Grundverordnung, 2017, Rz. 8).

Wie festgestellt, arbeitet der Beschwerdeführer nun für ein Unternehmen, welches eine Konkurrenz zur Beschwerdegegnerin darstellt und im gegenständlichen E-Mail-Account befinden sich berufliche E-Mails mit diversen Geschäftskontakten sowie Rechnungsdaten.

Umgelegt auf den gegenständlichen Fall bedeutet dies, dass die Übermittlung der gegenständlichen beruflichen E-Mails das Recht der Beschwerdegegnerin schwer beeinträchtigen würde.

Zusammenfassend lässt sich dazu sagen, dass die Rechte und Freiheiten der Beschwerdegegnerin wie auch ihrer Geschäftskunden durch eine Datenübertragung an den Beschwerdeführer in unzulässiger Weise beeinträchtigt würden.

Auch hinsichtlich der privaten E-Mails würde die Datenübertragung jedenfalls Rechte und Freiheiten anderer Personen beeinträchtigen, da der Inhalt sich möglicherweise auf Dritte beziehen könnte bzw. könnten die Interessen der Absender der privaten E-Mails beeinträchtigt werden.

Es war daher spruchgemäß abzuweisen

D.4. Zum Recht auf Information

In seiner verfahrenseinleitenden Beschwerde behauptete der Beschwerdeführer eine Verletzung der Informationspflichten durch die Beschwerdegegnerin. Die Beschwerdegegnerin brachte vor, dass der Beschwerdeführer über die Verarbeitung seiner Daten bereits informiert gewesen sei, trotzdem käme sie der Beschwerde des Beschwerdeführers nach und informiere ihn mit ihrer Eingabe vom 21. September 2021 über die Verarbeitung seiner personenbezogenen Daten. Daraufhin monierte der Beschwerdeführer die Information sei nicht vollständig. Der Beschwerdeführer verfüge nicht über die Informationen gemäß Art. 13 Abs. 2 lit a DSGVO (Speicherdauer) und Art. 13 Abs. 2 lit b DSGVO (Betroffenenrechte). Darüber hinaus macht er dezidiert die Datenübermittlung außerhalb des EU/EWR-Raumes auf Grundlage von Art. 13 Abs. 1 lit. f DSGVO geltend.

Die Datenschutzbehörde hat sich bereits mit der Frage, ob die „Informationspflichten“ gemäß Art. 13 und Art. 14 DSGVO umgekehrt auch als subjektive Betroffenenrechte geltend gemacht werden können, auseinandergesetzt und geht nach stRsp davon aus, dass sich eine betroffene Person antragsunabhängig auf Art. 13 und Art. 14 DSGVO stützen kann (vgl. den Bescheid der Datenschutzbehörde vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

Wie jedoch den Feststellungen zu entnehmen ist, erteilte die Beschwerdegegnerin dem Beschwerdeführer bereits vor Erhebung der gegenständlichen Beschwerde eine datenschutzrechtliche Auskunft, womit sämtliche Metainformationen, die nach Art. 13 und Art. 14 DSGVO zur Verfügung zu stellen sind, bereits im Rahmen der Erfüllung des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO übermittelt wurden.

Diese Ausführungen finden auch im Wortlaut von Art. 13 Abs. 4 bzw. Art. 14 Abs. 5 lit. a DSGVO Deckung, wonach dann keine Informationspflicht besteht, wenn die betroffene Person über die entsprechenden Informationen verfügt.

Der Erfolg einer Beschwerde nach Art. 77 Abs. 1 DSGVO iVm § 24 Abs. 1 DSG ist jedenfalls an die Voraussetzung geknüpft, dass zum Zeitpunkt der behördlichen Entscheidung auch eine konkrete Beschwer vorliegt, die gegenständlich nicht mehr erkennbar ist (vgl. zum Mangel einer subjektiven Rechtsverletzung etwa VwSlg 11.568 A/1984 mwN).

Wie festgestellt, informierte die Beschwerdegegnerin auf ihrer Webseite über die Verarbeitung von personenbezogenen Daten und erteilte dem Beschwerdeführer Auskunft u.a. über Speicherdauer, Kategorien von Empfängern.

Der Beschwerdeführer hat seine Betroffenenrechte bei der Beschwerdegegnerin bereits vor Beschwerdeeinbringung geltend gemacht und daher war ihm deren Bestehen gem. Art. 13 Abs. 2 lit. b DSGVO somit jedenfalls bekannt.

Gemäß Art. 13 Abs. 1 lit. f DSGVO hat der Verantwortliche eine entsprechende Absicht, die personenbezogene Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Art. 46 oder Art. 49 Abs. 1 DSGVO einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind, der betroffenen Person mitzuteilen. Hat der Verantwortliche die Absicht, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, ist der betroffenen Person diese Absicht gemäß Art. 13 Abs. 1 lit. f DSGVO mitzuteilen ( Paal in Paal/Pauly , Datenschutz-Grundverordnung, Art. 13 DSGVO, Rz 19). Folglich knüpft die Pflicht zur Erteilung dieser Information am Bestehen der Absicht zur Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation an. E contrario besteht keine Verpflichtung zur Information, wenn eine solche Absicht nicht besteht.

Der Beschwerdeführer hat es verabsäumt, einen Beweis und einen konkreten Hinweis für seine Mutmaßungen zu erbringen, dass seine Daten von der Beschwerdegegnerin außerhalb des EU/EWR-Raumes übermittelt wurden. Ein allgemeines Vorbringen, das aus Mutmaßungen besteht, läuft auf einen unzulässigen, Erkundungsbeweis hinaus, zu dessen Aufnahme die Datenschutzbehörde nicht verpflichtet ist (vgl. Entscheidung des VwGH vom 30. September 1999, zur GZ: 98/02/0114 sowie vom 30. März 2001, GZ: 2000/02/0255 sowie vom 20. April 2004, GZ: 2003/02/0243 sowie vom 27. Februar 2007, GZ: 2007/02/0018 und vom 15. Oktober 2013, GZ: 2009/02/0377).

Hinsichtlich dem Vorbringen des Beschwerdeführers, dem Vertreter des Beschwerdeführers sei zwischenzeitlich zur Kenntnis gelangt, dass die Beschwerdegegnerin die personenbezogenen Daten des Beschwerdeführers für Werbezwecke nutze und auf den Link (Punkt. C.12.) verwies, ist nicht zu entnehmen, dass der Beschwerdeführer nicht davon wusste, dass seine Daten im Jahr 2013 zum Zweck der Werbung verwendet wurden. Daher mangelte es an einer konkreten Beschwer.

Es war daher spruchgemäß zu entscheiden.

D.5. Zum Recht auf Löschung

Gemäß Art. 17 Abs. 1 DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen die unverzügliche Löschung seiner personenbezogenen Daten zu verlangen (erster Fall), und ist darüber hinaus der Verantwortliche selbst verpflichtet, personenbezogene Daten unverzüglich zu löschen (zweiter Fall), wenn einer der in Art. 17 Abs. 1 lit. a – lit. f DSGVO genannten Gründe vorliegt. Das Recht auf Löschung ist gemäß Art. 17 Abs. 3 lit. b DSGVO allerdings – wie von der Beschwerdegegnerin richtig vorgebracht – ausgeschlossen, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, welcher der Verantwortliche unterliegt.

Der Beschwerdeführer beantragte, nach der Datenübertragung sämtliche von ihr gespeicherten oder sonst verarbeiteten personenbezogenen Daten des Beschwerdeführers zu löschen, insbesondere den gesamten E-Mail-Verkehr des Beschwerdeführers. Die Beschwerdegegnerin brachte vor, dass der E-Mail-Account gelöscht worden sei und dass die - vor der Löschung des E-Mail-Accounts von der Beschwerdegegnerin weitergeleiteten - personenbezogenen Daten des Beschwerdeführers in den beruflichen E-Mails jedenfalls so lange gespeichert werden, solange gesetzliche Aufbewahrungspflichten bestehen oder Verjährungsfristen potentieller Rechtsansprüche noch nicht abgelaufen seien. Der (berufliche) E-Mail-Verkehr sei gemäß § 212 Abs. 1 UGB grundsätzlich sieben Jahre aufzubewahren. Darüber hinaus seien mehrere Verfahren beim Landesgericht C*** zwischen der Beschwerdegegnerin und dem neuen Arbeitgeber des Beschwerdeführers (Punkt C.3.) anhängig. Eine weitere Klagsführung der Beschwerdegegnerin gegen den Beschwerdeführer direkt stehe unmittelbar vor der gerichtlichen Einbringung.

Sofern der Beschwerdeführer begehrte, dass alle personenbezogenen Daten des Beschwerdeführers von der Beschwerdegegnerin gelöscht werden sollen, verkennt er, dass die Beschwerdegegnerin der Verpflichtung des § 132 BAO unterliegt, nach welcher Bücher und Aufzeichnungen sowie die zu den Büchern und Aufzeichnungen gehörigen Belege sieben Jahre aufzubewahren sind. Für die Berechnung der Lohnsteuer und die Beweispflicht der Beschwerdegegnerin, inwiefern sie Steuerschuldnerin hinsichtlich der lohnsteuerrechtlichen Abgaben ist, sind dafür notwendige Arbeitnehmerdaten des Beschwerdeführers sowie die gegenständlichen Rechnungsdaten in den beruflichen E-Mails jedenfalls entsprechend § 132 Abs. 1 BAO für sieben Jahre aufzubewahren (vgl. dazu den Bescheid der Datenschutzbehörde vom 15. November 2018, GZ: DSB-D122.944/0007-DSB/2018).

In diesem Zusammenhang steht auch § 42 Abs. 1 ASVG, der dem Beschwerdegegner als Dienstgeber die Verpflichtung auferlegt, Einsicht in die für das Versicherungsverhältnis bedeutsamen Unterlagen zu gewähren. Die Dauer der Aufbewahrung orientiert sich hierbei an unternehmens- und steuerrechtlichen Pflichten, wie etwa § 132 Abs. 1 BAO und beträgt daher ebenso sieben Jahre (vgl. VwGH 2005/73 vom 11.09.1975).

Es liegt somit eine rechtliche Verpflichtung der Beschwerdegegnerin gemäß Art. 17 Abs. 3 lit. b DSGVO vor. Die Speicherung der beruflichen E-Mails des Beschwerdeführers, sowie die für Lohnsteuer und Versicherungszwecke relevanten Arbeitnehmerdaten ist, wie ausgeführt, zur Erfüllung dieser erforderlich (vgl. dazu auch den Bescheid der Datenschutzbehörde vom 28. Mai 2018, GZ DSB-D216.471/0001-DSB/2018).

Die Beschwerdegegnerin ist daher befugt, Stammdaten sowie die beruflichen E-Mails gemäß § 132 Abs. 1 BAO für die Dauer von sieben Jahren aufzubewahren. Im Übrigen ist dem Beschwerdegegner nicht entgegenzutreten, wenn er sich für die Aufbewahrungspflichten auch auf § 212 Abs. 1 UGB stützt.

Darüber hinaus statuiert Art. 17 Abs. 3 lit e DSGVO, dass eine Löschung dann nicht in Betracht kommt, wenn die Verarbeitung von personenbezogenen Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Art. 17 Abs. 3 lit. e DSGVO stellt eine Ausnahmeregelung dar, welcher die Verfolgung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren (Erwägungsgründe 52 und 111) sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst.

Auch der Verfassungsgerichtshof geht in seiner Rechtsprechung davon aus, dass die weitere Aufbewahrung von Daten durch ein sich konkret abzeichnendes Verfahren gerechtfertigt sein muss (siehe dazu das Erkenntnis vom 12. Dezember 2017, GZ E3249/2016).

Wie festgestellt, sind zwischen der Beschwerdegegnerin und dem neuen Arbeitgeber des Beschwerdeführers, welches ein Konkurrenzunternehmen darstellt, eine Reihe von Rechtsstreitigkeiten beim Landesgericht C*** anhängig und eine weitere Klagsführung gegen den Beschwerdeführer steht unmittelbar vor der gerichtlichen Einbringung. Eine Löschung der beruflichen E-Mails konnte daher auch wegen der Ausnahmebestimmung des Art. 17 Abs. 3 lit e DSGVO unterbleiben.

Bezüglich der Löschung der privaten E-Mails ist die Beschwerdegegnerin dem Antrag des Beschwerdeführers wie festgestellt nachgekommen, indem sie den gesamten E-Mail-Account inklusive der privaten E-Mails gelöscht hat.

Es war daher spruchgemäß zu entscheiden.

D.6. Zum Recht auf Einschränkung der Datenverarbeitung

Nach Art. 18 Abs. 1 DSGVO steht grundsätzlich jeder betroffenen Person das Recht zu, vom Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der Voraussetzungen des Art. 18 Abs. 1 lit. a bis d leg. cit. vorliegt.

Gegenständlich beruft sich der Beschwerdeführer auf Art. 18 Abs. 1 lit. b DSGVO, demzufolge eine betroffene Person die Einschränkung der Verarbeitung seiner personenbezogenen Daten verlangen kann, wenn die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt.

Das Recht auf Einschränkung zielt darauf ab einer betroffenen Person vorläufigen Rechtsschutz zu gewähren, wenn diese die Löschung der Daten ablehnt und deren Verarbeitung als rechtswidrig erachtet (vgl. Kamann/Braun in Ehmann/Selmayr (Hrsg.), DS-GVO 2 , Art 18 Rz 2). Es genügt jedoch nicht, dass die betroffene Person die Unrechtmäßigkeit bloß behauptet, sondern trifft diese die Darlegungs- und Substantiierungslast. Die Verarbeitung muss mithin objektiv rechtswidrig sein (vgl. Kamann/Braun in Ehmann/Selmayr (Hrsg.), DS-GVO 2 , Art 18 Rz 14).

Wie unter D.1. ausgeführt wurde, war die Verarbeitung der Daten rechtmäßig und das Recht auf Löschung ist gemäß Art. 17 Abs. 3 lit. b und e DSGVO ausgeschlossen, da die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung und zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, der die Verantwortliche unterliegt (D.5.).

Es war daher spruchgemäß zu entscheiden.

Dieser Bescheid ist rechtskräftig. Das nach einer Bescheidbeschwerde eingeleitete verwaltungsgerichtliche Verfahren wurde mit Beschluss des BVwG vom 13.02.2024, GZ: , wegen Zurückziehung der Bescheidbeschwerde eingestellt.