GZ: 2024-0.739.846 vom 3. September 2025 (Verfahrenszahl: DSB-D124.0949/24)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Peter A*** (Beschwerdeführer) vom 5. April 2025 gegen den Magistrat der Stadt N*** (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt:
- Der Beschwerde wird stattgegeben und es wird festgestellt , dass der Beschwerdegegner den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem der Beschwerdegegner die Online-Terminvereinbarung für die Vornahme eines Amtsgeschäftes unrechtmäßig mit der Einwilligung, dass personenbezogene Daten Dritten offengelegt werden, gekoppelt hat, wodurch am 22. Juli 2024 der Vor- und Nachname des Beschwerdeführers dritten Personen gegenüber offengelegt wurde.
Rechtsgrundlagen: Art. 4, Art. 5, Art. 6, Art. 7, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
A.1. Mit verfahrenseinleitender Eingabe vom 5. April 2024, verbessert mit Eingaben vom 19. Juli 2024 und vom 13. August 2024, brachte der Beschwerdeführer zusammengefasst vor, dass der Beschwerdegegner eine Terminvereinbarung an seine Einwilligung gekoppelt habe.
A.2. Der Beschwerdegegner gab mit Schreiben vom 6. September 2024 und 24. September 2024 Stellungnahmen ab.
A.3. Mit Erledigungen vom 6. September 2024 und 25. September 2024 wurde dem Beschwerdeführer Parteiengehör gewährt.
A.4. Mit Eingaben vom 6. September 2024 und 10. Oktober 2024 gab der Beschwerdeführer im Rahmen des Parteiengehörs Stellungnahmen ab.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat, indem der Beschwerdegegner die Online-Terminvereinbarung für die Vornahme eines Amtsgeschäftes mit der Einwilligung verbunden hat personenbezogenen Daten des Beschwerdeführers dritten Personen offenzulegen und es zu ebendieser Offenlegung kam.
C. Sachverhaltsfeststellungen
1. Der Beschwerdeführer hat eine Online-Terminreservierung beim Beschwerdegegner durchgeführt.
Beweiswürdigung: Die getroffene Feststellung ergibt sich aus dem verfahrensgegenständlichen Akt und ist unstrittig.
2. Zum Zeitpunkt, als der Beschwerdeführer die Online-Terminreservierung durchgeführt hat, hat der Beschwerdegegner die Einverständniserklärung vom Beschwerdeführer verlangt, dass sein Name am Bildschirm im Wartebereich bei Aufrufen angezeigt wird. Ohne erteilte Einwilligung war zum damaligen Zeitpunkt eine Online-Terminreservierung nicht möglich.
3. Der Name des Beschwerdeführers wurde beim Beschwerdegegner am 22. Juli 2024 am Bildschirm im Wartebereich angezeigt.
4. Der Beschwerdegegner hat in der Zwischenzeit sein Online-Terminvergabesystem aktualisiert, sodass eine derartige Einwilligung nicht mehr abgegeben werden muss. Ebenso hat der Beschwerdegegner klargestellt, dass die Online-Terminreservierung auf freiwilliger Basis beruht und ein zusätzlicher Service neben der Terminvergabe vor Ort ist.
Beweiswürdigung: Diese Feststellungen ergeben sich aus der Stellungnahme des Beschwerdegegners vom 6. September 2024 und vom 24. September 2025 sowie aus der Eingabe des Beschwerdeführers vom 13. August 2024. Ebenso aus einer amtswegigen Recherche der Datenschutzbehörde auf der Homepage des Beschwerdegegners (zuletzt besucht am 2. September 2025).
D. In rechtlicher Hinsicht folgt daraus:
D.1. Allgemeines
Einleitend ist darauf hinzuweisen, dass das in § 1 DSG verankerte Grundrecht auf Datenschutz, nach dessen ersten Absatz jedermann einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz des Betroffenen vor der Ermittlung seiner Daten und der Weitergabe der über ihn ermittelten Daten.
Das Grundrecht auf Datenschutz gilt jedoch nicht absolut, sondern darf gem. § 1 Abs. 2 DSG durch bestimmte, zulässige Eingriffe beschränkt werden. Nach § 1 Abs. 2 DSG sind Beschränkungen des Geheimhaltungsanspruchs nur zulässig, wenn die Verwendung personenbezogener Daten im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erfolgt, bei überwiegenden berechtigten Interessen eines anderen oder bei Vorhandensein einer qualifizierten gesetzlichen Grundlage.
Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung - kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art 5 Rz 8f).
Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest und bestimmt in dessen Abs. 1 lit. a und c, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) sowie dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen („Datenminimierung“).
Nach Art 6 Abs. 1 lit. a DSGVO ist die Verarbeitung u.a. rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat.
In Art. 4 Z 11 DSGVO wird die Einwilligung definiert als „ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist “.
Gemäß Art. 7 Abs. 4 DSGVO sowie unter Berücksichtigung von Art. 4 Z 11 und ErwG 43 DSGVO muss eine Einwilligung freiwillig erfolgen und darf nicht an die Erfüllung eines Vertrages gekoppelt sein, obwohl diese Einwilligung zur Erfüllung dieses Vertrags nicht erforderlich ist .
D.2. In der Sache
Beim Vor- und Nachnamen des Beschwerdeführers handelt es sich um personenbezogene Daten, somit ist der Anwendungsbereich des § 1 DSG eröffnet.
Im vorliegenden Fall ist keine qualifizierte gesetzliche Grundlage ersichtlich und wird eine solche vom Beschwerdegegner auch nicht vorgebracht, noch liegen lebenswichtige Interessen vor.
Der Beschwerdegegner stützt sich bezüglich der Verarbeitung von personenbezogenen Daten des Beschwerdeführers auf eine Einwilligung iSd. Art 6 Abs. 1 lit a DSGVO und das Vorliegen einer solchen ist in Folge zu prüfen:
Aus dem Vorbringen des Beschwerdeführers geht hervor, dass er gerade nicht einverstanden mit der Verarbeitung im Sinne von der Erteilung der Zustimmung zur Anzeige seines Namens auf der Bildschirmanzeige in den Räumlichkeiten des Beschwerdegegners ist.
Es handelt sich daher keinesfalls um eine Einwilligung im Sinne der DSGVO, da den Anforderungen des Art. 7 DSGVO im Hinblick auf die „Freiwilligkeit“ nicht genüge getan wurde.
Beim Beschwerdegegner handelt es sich zudem um eine Einrichtung im öffentlichen Interesse und infolgedessen kann die Einwilligung der betroffenen Personen in die Datenverarbeitung nicht als Voraussetzung für die Inanspruchnahme einer staatlichen Leistung verlangt werden, da dies einen Verstoß gegen das Kopplungsverbot gemäß Art. 7 Abs. 4 DSGVO darstellt.
Ebenso geht die die Offenlegung des Namens über das erforderliche Maß hinaus, da das Aufrufsystem auch in einer anonymisierten Form, etwa durch die Verwendung eines „Nummernsystems“, das anstelle des Namens Ziffern anzeigt, realisiert werden hätte können und wie den Feststellungen zu entnehmen ist, in der Zwischenzeit bereits implementiert wurde. Dies widerspricht dem Grundsatz der Datenminimierung im Sinne des Art. 5 Abs. 1 lit. c DSGVO, da der Zweck auch durch gelindere Mittel erreicht werden hätte können.
Zusammengefasst beruht die behauptete Verarbeitung nicht auf einer Einwilligung der betroffenen Person und die Rechtfertigung nach Art. 6 Abs. 1 lit. a DSGVO scheidet daher aus.
Es war damit spruchgemäß zu entscheiden.
Rückverweise
