2025-0.178.139 – Datenschutzbehörde Entscheidung

GZ: 2025-0.178.139 vom 4. September 2025 (Verfahrenszahl: DSB-D124.2199/24)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Gernot A*** (Beschwerdeführer), vertreten durch Dr. Viktor B***, vom 30. September 2024 gegen die N*** Luftverkehrsgesellschaft m.b.H. (Beschwerdegegnerin), vertreten durch die C*** D*** Rechtsanwälte OG, wegen Verletzung im Recht auf Geheimhaltung, Information und Löschung wie folgt:

 Die Beschwerde wird als unbegründet abgewiesen.

Rechtsgrundlagen: § 1153 ABGB; Art. 9, Art. 13, Art. 14, Art. 17, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.; § 105 Abs. 3 Z 2 des Arbeitsverfassungsgesetzes (ArbVG), BGBl. Nr. 22/1974 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

A.1. Mit verfahrenseinleitender Eingabe vom 30.09.2024 brachte der Beschwerdeführer, vertreten durch Dr. Viktor B***, eine Beschwerde bei der Datenschutzbehörde ein und brachte zusammengefasst vor, dass die Beschwerdegegnerin gegen das Recht auf Geheimhaltung, Information und Löschung verstoßen habe. Die Beschwerdegegnerin habe Einsicht in die am Dienst-PC des Beschwerdeführers abgespeicherten privaten Daten des Beschwerdeführers genommen. Die Beschwerdegegnerin habe zudem die verfahrensgegenständlichen Daten in einem arbeitsrechtlichen Verfahren im Zuge einer Kündigungsanfechtung gemäß § 105 Abs. 3 Z 2 ArbVG vor dem LG Salzburg elektronisch übermittelt und verwertet. Zudem würde die Beschwerdegegnerin die Daten weiterhin speichern. Die private Nutzung der betrieblichen IKT-Infrastruktur und der Firmenkreditkarte sei von der Beschwerdegegnerin geduldet worden. Der Beschwerdeführer habe private Daten in eigens dafür angelegte Ordner gespeichert. Diese seien auch als private Ordner ersichtlich gewesen.

Im Anhang übermittelte der Beschwerdeführer einen Urkundenspiegel, ein Konvolut privater Bewerbungsschreiben, ein Konvolut privater Lichtbilder, die Arbeitseinteilung, private Zahlungsbestätigungen, einen privaten Grundbuchauszug, eine private Stellungnahme, ein privates E Mail-Konvolut, Kreditkartenabrechnungen und den Entwurf einer Kündigung.

A.2. Mit Stellungnahme vom 16.12.2024 brachte die Beschwerdegegnerin , vertreten durch die C*** D*** Rechtsanwälte OG, zusammengefasst vor, dass es sich bei dem verfahrensgegenständlichen Computer um einen Dienst-PC für dienstliche Zwecke handle. Es könne nicht nachvollzogen werden, ob der Beschwerdeführer seine Daten oder Ordner als privat bezeichnet hat. Die Beschwerdegegnerin habe aufgrund berechtigter Interessen, im Zusammenhang mit möglichen Verstößen gegen Dienstverhältnispflichten, Einsicht in den verfahrensgegenständlichen Dienst-PC genommen. Die Einsichtnahme habe im wirtschaftlichen Interesse der Beschwerdegegnerin gelegen und sei erforderlich gewesen, um den Unternehmensbetrieb aufrechtzuerhalten. Eine bewusste Einsichtnahme in private Dateien sei dabei nicht erfolgt. Bei den verfahrensgegenständlichen Dateien habe es sich um Zufallsfunde gehandelt, die im arbeitsrechtlichen Gerichtsverfahren wichtige Beweise darstellen würden, die Beleg dafür seien, dass der Beschwerdeführer seinen vertraglichen Pflichten nicht nachgekommen sei und unter Umständen Entlassungsgründe verwirklicht habe.

Im Anhang übermittelte die Beschwerdegegnerin ein Konvolut an Dokumenten, Fotos und Screenshots.

A.3. Mit Stellungnahme vom 13.01.2025 brachte der Beschwerdeführer, vertreten durch Dr. Viktor B***, zusammengefasst vor, dass es im Betrieb der Beschwerdegegnerin keine ausdrückliche Regelung über die private Nutzung der betrieblichen IKT-Struktur gegeben habe. Die Beschwerdegegnerin habe die Privatnutzung geduldet. Die Einsichtnahme und Verarbeitung der höchstpersönlichen, nicht betrieblichen Daten in den behauptetermaßen als privat gekennzeichneten Ordnern, sei für die Aufrechterhaltung des Unternehmensbetriebs nicht erforderlich gewesen. Vielmehr sei davon auszugehen, dass die Beschwerdegegnerin die Daten bewusst sichergestellt und als Urkunde im Verfahren vor dem ASG vorgelegt habe. Die Einsicht und Verarbeitung seien für die Verteidigung der Rechtsansprüche der Beschwerdegegnerin nicht erforderlich gewesen. Zudem hätte die Beschwerdegegnerin bei Erkennbarkeit des privaten Charakters der Daten diese unverzüglich löschen müssen. Darüber hinaus hätte die Beschwerdegegnerin den Beschwerdeführer vor der beabsichtigten Datenverarbeitung über diese informieren müssen.

Im Anhang übermittelte der Beschwerdeführer Dokumente.

A.4. Mit Stellungnahme vom 13.02.2025 brachte die Beschwerdegegnerin , vertreten durch die C***D*** Rechtsanwälte OG, zusammengefasst vor, dass personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet und genutzt werden dürften, wenn diese für dessen Durchführung oder Beendigung erforderlich sind. Die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten müsse dabei geeignet, erforderlich und unter der Berücksichtigung der gewährleisteten Freiheitsrechte angemessen sein, um den erstrebten Zweck zu erreichen. Bei der verfahrensgegenständlichen Auswertung des Dienst-PCs sei der Eingriff in das Privatleben des Beschwerdeführers auf das Notwendigste beschränkt gewesen. Die erlangten Daten seien lediglich im Rahmen der Auflösung des Arbeitsverhältnisses und für das vom Beschwerdeführer angestrengte Verfahren vor dem ASG verwendet worden. Als Beklagte habe die Beschwerdegegnerin ein nachvollziehbares Interesse daran, die behaupteten vorsätzlichen Pflichtverletzungen des Beschwerdeführers aufzudecken und zu beweisen. Aufgrund von Hinweisen aus der Belegschaft habe es zudem einen begründeten Anfangsverdacht gegeben, der Beschwerdeführer verhalte sich nicht dienstkonform. Die Einsicht sei allein zum Zweck des Fortbetriebs notwendig und gerechtfertigt gewesen, um abzuklären, ob dienstliche Aufgaben unerledigt geblieben sind. Die Beschwerdegegnerin übermittelte zudem ihre Datenschutzerklärung.

A.5. Mit Stellungnahme vom 06.03.2025 brachte der Beschwerdeführer , vertreten durch Dr. Viktor B***, zusammengefasst vor, dass die private Nutzung der betrieblichen Infrastruktur und insbesondere die Speicherung der höchstpersönlichen Daten, zum Zeitpunkt der Kündigung des Beschwerdeführers nicht Teil der Kündigung gewesen seien. Die Privatnutzung und Speicherung höchstpersönlicher Privatdaten in eigens dafür gekennzeichneten Ordnern könne sohin keine vorsätzliche Pflichtvernachlässigung darstellen. Die Daten seien vermutlich erst nach der eingebrachten Anfechtungsklage erhoben worden. Der Beschwerdeführer habe nicht damit rechnen müssen, dass seine privaten Daten von der Beschwerdegegnerin nach der Dienstfreistellung für eigene Zwecke verarbeitet werden. Zeugeneinvernahmen im ASG-Verfahren hätten für die Beschwerdegegnerin ein gelinderes Mittel darstellen können. Die Beschwerdegegnerin habe zudem nicht die Auskunft, sondern die Informationspflicht unterlassen. Diese könne nicht nachgeholt und rückwirkend saniert werden.

B. Beschwerdegegenstand

Ausgehend vom Parteivorbringen ergibt sich als Beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dahingehend in seinem Recht auf Geheimhaltung, Information und Löschung verletzt hat, indem die Beschwerdegegnerin behauptetermaßen unrechtmäßig in die privaten Daten des Beschwerdeführers auf dessen Dienst-PC Einsicht genommen und diese an das LG Salzburg weitergegeben hat.

C. Sachverhaltsfeststellungen

C.1. Bei der Beschwerdegegnerin handelt es sich um eine juristische Person mit der Rechtsform der Gesellschaft mit beschränkter Haftung mit Sitz in Salzburg.

Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus einer amtswegigen Abfrage des Firmenbuchs mit der FN: **3*5*j (letzter Zugriff: 04.09.2025).

C.2. Der Beschwerdeführer war vom 13.12.2007 bis zum 30.06.2024 bei der Beschwerdegegnerin für die Administration CAMO angestellt. Die Abkürzung CAMO steht für die Organisationen zur Aufrechterhaltung der Lufttüchtigkeit von Luftfahrzeugen. Zurzeit ist beim LG Salzburg zur GZ: 15 Cga 21/24i eine Kündigungsanfechtung anhängig zwischen dem Beschwerdeführer als Kläger und der Beschwerdegegnerin als beklagter Partei.

Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus dem Parteivorbringen, dem vorgelegten Dienstvertrag, dem vorgelegten Kündigungsschreiben, sowie einer amtswegigen Recherche auf der Internetseite der Austro Control (https://www.austrocontrol.at/luftfahrtbehoerde/luftfahrtunternehmen/camo; letzter Zugriff: 04.09.2025).

C.3. Am 21.02.2024 erreichte die Geschäftsleitung der Beschwerdegegnerin ein Brief, in dem Mitarbeitende der Beschwerdegegnerin die Arbeit des Beschwerdeführers im Betrieb der Beschwerdegegnerin bemängelten. Die Mitarbeitenden berichteten von Unstimmigkeiten und Missständen. Der verfahrensgegenständliche Brief gestaltet sich wie folgt (Screenshot. Formatierung nicht 1:1):

Abbildung 1:

[Anmerkung Bearbeiter/in: Das an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebene Schreiben mit dem Namen des Beschwerdeführers und verschiedenen Vorwürfen, die Mängel in der Arbeit des Beschwerdeführers (u.a. Organisation, Führung, Sozialverhalten, Kundenkontakte und Fachlich-Technisches) betreffen, kann mit zumutbarem Aufwand nicht pseudonymisiert werden und wurde daher entfernt.]

Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus den vorgelegten Unterlagen in der Stellungnahme der Beschwerdegegnerin vom 16.12.2024. Die Echtheit der Unterlagen wurden vom Beschwerdeführer nicht bestritten und sind somit unstrittig.

C.4. Während des aufrechten Dienstverhältnisses zwischen dem Beschwerdeführer und der Beschwerdegegnerin wurde dem Beschwerdeführer ein Dienst-PC zur Verfügung gestellt. Der Beschwerdeführer speicherte auf seinem Dienst-PC private Daten. Unter diesen finden sich unter anderem Intimaufnahmen, ein Satirebild mit dem Konterfei von Alexander Van der Bellen und dem Schriftzug: „VDB? NEIN DANKE“, Freundes- und Familienfotos, private Reisefotos, Fotos zum Freizeitverhalten, eine Reisepasskopie, Überweisungsbestätigungen, Privatkorrespondenz, private E Mails, private Spam-E-Mails, Kreditkartenabrechnungen über Privateinkäufe, Bewerbungsschreiben und das Muster eines Kündigungsschreibens. Eine Dienstanweisung oder interne Richtlinie über die Privatnutzung des Dienst-PCs gab es nicht.

Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus dem Parteivorbringen und insbesondere aus den vorgelegten Dokumenten und Fotos der Beschwerdeparteien. Deren Echtheit wurde nicht bestritten. In der Frage der internen Richtlinie über die Privatnutzung des Dienst-PC ist dem nachvollziehbaren Vorbringen des Beschwerdeführers zu folgen, insbesondere dadurch, dass die Beschwerdegegnerin keine gegenteiligen Beweise vorgelegt hat.

C.5. Die Beschwerdegegnerin nahm aufgrund des begründeten Verdachts von Dienstpflichtverletzungen des Beschwerdeführers Einsicht in den verfahrensgegenständlichen Dienst-PC. Die dabei gefunden privaten Daten des Beschwerdeführers wurden im Zuge der anhängigen Kündigungsanfechtung beim zuständigen LG Salzburg zur GZ: 15 Cga 21/24i als Beweismittel vorgelegt.

Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus dem Parteivorbringen der Beschwerdegegnerin und insbesondere aus dem unter C.3. festgestellten Schreiben eines Teils der Belegschaft der Beschwerdegegnerin, welche die Arbeitsleistung des Beschwerdeführers bemängelt. Aufgrund dieses Schreibens erscheint es für die Datenschutzbehörde schlüssig, dass für die Beschwerdegegnerin der begründeter Verdacht bestand, dass Dienstpflichtverletzungen des Beschwerdeführers vorliegen.

C.6. Die privaten Daten des Beschwerdeführers waren nicht in eigens als privat gekennzeichneten Ordnern auf dem verfahrensgegenständlichen Dienst-PC des Beschwerdeführers gespeichert.

Beweiswürdigung : Die getroffene Negativfeststellung fußt auf der Nicht-Feststellbarkeit, ob der Beschwerdeführer die verfahrensgegenständlichen Daten in eigens als privat gekennzeichneten Ordner auf seinem Dienst-PC speicherte. Im Rahmen des durchgeführten Ermittlungsverfahrens sind keine, das Vorbringen des Beschwerdeführers stützende Beweise vorgebracht worden. Die Datenschutzbehörde konnte folglich nicht mit an Sicherheit grenzender Wahrscheinlichkeit klären, ob die Ordner als privat gekennzeichnet waren, wodurch es bei der Aussage des Beschwerdeführers bei einer bloßen Behauptung bleibt.

D. In rechtlicher Hinsicht folgt daraus:

D.1. Zum Recht auf Geheimhaltung

§ 1 Abs. 1 DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit ein schutzwürdiges Interesse daran besteht.

Die DSGVO und insbesondere die darin verankerten Datenschutzgrundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

Im gegenständlichen Fall ist der Anwendungsbereich von § 1 Abs. 1 DSG eröffnet, da es sich bei den verfahrensgegenständlichen privaten Daten des Beschwerdeführers unstrittig um personenbezogene Daten iSd Art. 4 Z 1 DSGVO des Beschwerdeführers handelt und dieser daran auch ein schutzwürdiges Interesse hat. Folglich ist daher zu prüfen, ob der Eingriff iSd § 1 Abs. 2 DSG gerechtfertigt war.

Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig.

D.1.2. Zur Zulässigkeit der Verarbeitung

Einleitend ist festzuhalten, dass es sich bei den verfahrensgegenständlichen Daten, wie soeben erwähnt, unstrittig um personenbezogene Daten iSd Art. 4 Z 1 DSGVO des Beschwerdeführers handelt. Innerhalb des Datensatzes finden sich, wie unter C.4. festgestellt, auch Intimaufnahmen des Beschwerdeführers. Diese sind als besondere Kategorien personenbezogener Daten iSd Art. 9 Abs. 1 DSGVO einzustufen. Zwar lässt sich aus den Aufnahmen nicht auf die sexuelle Orientierung des Beschwerdeführers schließen, jedoch lässt sich von den Aufnahmen auf ein aktives Sexualleben des Beschwerdeführers schließen. Des Weiteren findet sich im verfahrensgegenständlichen Datensatz ein Satirebild mit dem Konterfei von Alexander Van der Bellen und dem Schriftzug: „VDB? NEIN DANKE“. Dieses lässt auf die politische Meinung des Beschwerdeführers schließen und ist daher ebenfalls als besonderes Datum iSd Art. 9 Abs. 1 DSGVO zu werten.

Verfahrensgegenständlich stützt die Beschwerdegegnerin die Verarbeitung der personenbezogenen Daten des Beschwerdeführers auf Art. 6 Abs. 1 lit. f und auf Art. 9 Abs. 2 lit. f DSGVO.

Art. 6 Abs. 1 lit. f DSGVO besagt, dass die Verarbeitung rechtmäßig ist, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogenen Daten erfordert, überwiegen.

Art. 9 Abs. 2 lit. f DSGVO besagt, dass die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist.

Auch ergibt sich aus einer systematischen Betrachtung der DSGVO ganz grundsätzlich, dass eine Datenverarbeitung zum Zwecke der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ein berechtigtes Interesse darstellt (vgl. etwa Art 9 Abs. 2 lit. f, Art. 17 Abs. 3. lit. e, Art. 18 Abs. 2 oder Art. 21 Abs. 1 DSGVO). Auch nach der Rechtsprechung des EuGH kann die Datenverarbeitung zur Durchsetzung zivilrechtlicher Ansprüche auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden (siehe zuletzt das Urteil vom 17. Juni 2021, C-597/19, Rz 108 unter ausdrücklichem Hinweis auf Art. 9 Abs. 2 lit. f DSGVO).

Folglich hat eine Bewertung der berechtigten Interessen des Beschwerdeführers zu erfolgen und sind diese den berechtigten Interessen der Beschwerdegegnerin sowie Dritter gegenüberzustellen.

Im Rahmen dieser Interessenabwägung ist zu berücksichtigen, dass Art. 6 Abs. 1 lit. f DSGVO zwei kumulative Voraussetzungen kennt, damit sich die Beschwerdegegnerin auf diesen Erlaubnistatbestand stützen kann: Zum einen muss die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, zum anderen dürfen Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen (vgl. zu Art. 7 lit. f der Richtlinie 95/46/EG das Urteil des EuGH vom 24. November 2011, C-468/10 und C-469/10 [ASNEF und FECEMD] Rz. 38). Im Rahmen der Interessenabwägung ist überdies zu berücksichtigen, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten (vgl. Kastelitz/Hötzendorfer/Tschohl , aaO Rz 51). Von besonderer Relevanz für die Interessenabwägung sind darüber hinaus Aufgaben und Zweck, die mit einer Datenverarbeitung verfolgt werden (vgl. Buchner/Petri in [Anmerkung Bearbeiter/in: Werkangabe fehlt, offenkundiger Redaktionsirrtum, gemeint vermutlich: „ Kühling/Buchner , DS-GVO BDSG 2. Auflage 2018“] Art. 6 DSGVO, Rz 152).

Bei den Intimbildaufnahmen und dem Satirebild ist zu beurteilen, ob deren Verarbeitung gemäß Art. 9 Abs. 2 lit. f DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich war.

D.1.2.1 Zur Einsichtnahme

Der Beschwerdeführer führt ins Treffen, dass er ein Interesse daran habe, dass seine Daten nicht von Dritten eingesehen werden und er daher ein Interesse auf Wahrung seiner Rechte habe. Demgegenüber steht das Interesse der Beschwerdegegnerin, in den verfahrensgegenständlichen Dienst-PC des Beschwerdeführers Einsicht zu nehmen, um nach der Kündigung des Beschwerdeführers den Betriebsfortgang zu gewährleisten und etwaige Dienstpflichtverletzungen des Beschwerdeführers aufzudecken und diese im Verfahren wegen § 105 Abs. 3 Z 2 ArbVG zu beweisen.

In diesem Zusammenhang ist auf das Urteil des EGMR (Vierte Kammer) vom 12. Jänner 2016, Barbulescu gegen Rumänien, Nr. 61496/08, hinzuweisen. Darin beschäftigte sich der EGMR mit der Frage, ob eine Verletzung des Art. 8 EMRK (hier: des Rechts auf Achtung des Privatlebens und des Briefverkehrs) in einem Fall vorliegt, in dem ein Arbeitgeber dienstliche E-Mails seines Arbeitnehmers überwachte und in einem arbeitsrechtlichen Prozess zum Beweis einer Dienstpflichtverletzung vorlegte. Dabei führt der EGMR in Randziffer 59 des zitierten Urteils aus, dass er es nicht als unverhältnismäßig erachtet, dass ein Arbeitgeber Gewissheit darüber haben möchte, ob und inwieweit die Beschäftigten ihre beruflichen Aufgaben in der Arbeitszeit erledigen. In Randziffer 57 seines Urteils führt der EGMR weiters aus, dass der Arbeitgeber auf den Account des klagenden Arbeitnehmers in dem guten Glauben zugriff, dass sich darauf nur kundenbezogene Kommunikation befände. Der Arbeitgeber hat - so der EGMR weiter - seine disziplinären Zuständigkeiten nicht überschritten, weil er auf den E-Mail-Account des Arbeitnehmers in der Annahme zugegriffen hat, dass sich darin nur solche Nachrichten befinden würden, die mit den dienstlichen Tätigkeiten des Arbeitnehmers in Zusammenhang stehen, weshalb der Zugriff auf den Account zulässig war. Im Ergebnis verneinte der EGMR eine Verletzung des Art. 8 EMRK mit der Begründung, dass die rumänischen Gerichte eine angemessene Interessenabwägung zwischen den Rechten des Klägers auf Achtung seines Rechts auf Privatleben und Briefverkehr gemäß Art. 8 EMRK und den Interessen des Arbeitgebers vorgenommen hatten.

Auch wenn sich das zitierte Urteil des EGMR auf Art. 8 EMRK stützt, dessen Anwendungsbereich weiter als jener von § 1 DSG ist, können die darin getätigten Aussagen für das vorliegende Verfahren insofern herangezogen werden, als es sich hier unstrittig um einen behaupteten Eingriff in das Grundrecht auf Schutz personenbezogener Daten (konkret: Recht auf Geheimhaltung) handelt und es insofern klare Überschneidungsbereiche gibt (vgl. zur Zuständigkeit der Datenschutzbehörde in Bezug auf behauptete Verletzungen von Art. 8 EMRK den Bescheid vom 6. September 2013, GZ K121.979/0014-DSK/2013, sowie VfSlg. 18.092/2007).

Wie unter C.4. festgestellt, handelt es sich bei den verfahrensgegenständlichen Daten um private Daten des Beschwerdeführers, da diese in keinem Zusammenhang zu dem damaligen Anstellungsverhältnis zwischen dem Beschwerdeführer und der Beschwerdegegnerin stehen. Wie C.6. aber auch entnommen werden kann, war der Beschwerdegegnerin zum Zeitpunkt der Einsichtnahme mangels Kennzeichnung nicht bewusst, dass es sich bei den verfahrensgegenständlichen Daten um private Daten des Beschwerdeführers handelt, die teilweise auch gemäß Art. 9 Abs. 1 DSGVO besondere Kategorien personenbezogener Daten sind.

Festzuhalten ist zudem, dass selbst wenn die verfahrensgegenständlichen Daten in eigens als privat gekennzeichneten Ordnern gespeichert gewesen wären, die Einsichtnahme auf einem, wie unter C.3. festgestellt, begründeten Verdacht auf Dienstpflichtverletzungen des Beschwerdeführers fußte. Darüber hinaus, hat der Beschwerdeführer die verfahrensgegenständlichen Daten eigenständig auf dem Dienst-PC gespeichert. Im Falle eines arbeitsrechtlichen Verfahrens musste er vernünftigerweise damit rechnen, dass sein Dienst-PC ausgewertet wird. Dies ergibt sich schon allein aus der allgemeinen arbeitsrechtlichen Treuepflicht iSd § 1153 ABGB als vertragliche Nebenpflicht, wonach der Arbeitnehmer zur Wahrung bestimmter geschäftlicher Interessen des Arbeitgebers und zu korrektem Verhalten verpflichtet ist. Dies gilt insbesondere auch im Hinblick auf eine Vernachlässigung von Dienstpflichten betreffend die Aufrechterhaltung des Dienstbetriebes und die übermäßige Privatnutzung der IT des Arbeitgebers. Zudem ist zu beachten, dass die Treuepflicht umso intensiver sein wird, je höher die Position und Vertrauensstellung des Arbeitnehmers im Betrieb ist (vgl. Kietaibl/Rebhahn in Neumayr/Reissner, ZellKomm 3§ 1153 ABGB, Rz. 34ff), was bei dem gegenständlichen beruflichen Tätigkeitsfeld des Beschwerdeführers, nämlich der Aufrechterhaltung der Lufttüchtigkeit von Luftfahrzeugen, anzunehmen ist.

Aus Sicht der Datenschutzbehörde liegt im vorliegenden Fall auch kein gelinderes Mittel als die Einsichtnahme und Auswertung des Dienst-PCs des Beschwerdeführers vor, die den begründeten Verdacht der übermäßigen privaten Nutzung des Dienst-PCs durch den Beschwerdeführer belegt.

Die Einsichtnahme in die Nacktbilder und das Satirebild erfolgte gemäß Art. 9 Abs. 2 lit. f DSGVO aufgrund des vom Beschwerdeführer anhängig gemachten Verfahrens wegen § 105 Abs. 3 Z 2 ArbVG zweifelsfrei zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen.

Als Zwischenergebnis ist festzuhalten, dass die Einsichtnahme und Auswertung des verfahrensgegenständlichen Dienst-PC aufgrund berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f iVm Art. 9 Abs. 2 lit. f DSGVO rechtmäßig erfolgte.

D.1.2.2 Zur Übermittlung an das Arbeits- und Sozialgericht

Wie unter C.5. festgestellt, übermittelte die Beschwerdegegnerin die ausgewerteten Daten des Beschwerdeführers als Beweismittel im Verfahren wegen § 105 Abs. 3 Z 2 ArbVG an das zuständige LG Salzburg.

Die Beschwerdegegnerin kann sich bei der Übermittlung der Daten auf berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO stützen, zumal die Kündigungsanfechtung vom Beschwerdeführer eingebracht wurde und die Beschwerdegegnerin als Beklagte mit der Übermittlung der Daten die zuvor erfolgte Kündigung untermauern wollte.

Die Übermittlung der Intimaufnahmen und des Satirebilds an das LG Salzburg erfolgte iSd Art. 9 Abs. 2 lit. f DSGVO zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen im Verfahren wegen § 105 Abs. 3 Z 2 ArbVG und somit auch rechtmäßig.

Eine vom Beschwerdeführer angeführte Zeugeneinvernahme stellt aus Sicht der Datenschutzbehörde kein gelinderes Mittel als die Übermittlung der verfahrensgegenständlichen Daten dar, da davon auszugehen ist, dass etwaige Zeugen keine Kenntnis von den am Dienst-PC gespeicherten Daten des Beschwerdeführers hatten.

Es war daher spruchgemäß zu entscheiden.

D.2. Zum Recht auf Information

D.2.1. Allgemeines zum Informationsrecht

Art. 13 und 14 DSGVO sind als Basis für die Betroffenenrechte nach Kapitel III (Rechte der betroffenen Person) DSGVO zu verstehen, da die betroffene Person zunächst überhaupt erfährt, dass Daten von einem bestimmten Verantwortlichen über diese verarbeitet werden. Auch der Erwägungsgrund 60 weist auf den Grundsatz einer fairen und transparenten Verarbeitung hin, die es der betroffenen Person ermöglicht, über die Existenz sowie die Zwecke des Verarbeitungsprozesses unterrichtet zu werden. Die Wichtigkeit einer Information wird auch vom EuGH in seiner Rechtsprechung betont (vgl. noch zur Rechtslage nach der Richtlinie 95/46/EG das Urteil vom 1. Oktober 2015, C-201/14).

Als Zeitpunkt der Informationserteilung wird in Art. 13 Abs. 1 DSGVO die Erhebung der Daten festgesetzt. Zeitpunkt der Erhebung kann etwa auch sein, wenn der Betroffene selbst wissentlich Daten an den Verantwortlichen gibt, etwa durch Ausfüllen eines Online-Formulars (vgl. Knyrim in Ehmann/Selmayr (Hrsg) , Datenschutz-Grundverordnung, Art. 13, Rz. 11).

Zum Inhalt der Information sehen Art. 13 Abs. 1 und 2 der betreffenden Bestimmung jeweils sechs Kategorien von Informationen vor. Auch die Informationen aus Abs. 2 beinhalten für den Verantwortlichen kein Wahlrecht und sind der betroffenen Person somit immer zur Verfügung zu stellen (vgl. Art. 29-Datenschutzgruppe, Leitlinien für Transparenz gemäß der Verordnung 2016/679, letzter Stand 11. April 2018; siehe darüber hinaus Knyrim in Ehmann/Selmayr (Hrsg), Datenschutz Grundverordnung , Art. 13, Rz 29ff).

Während in Art. 13 DSGVO der Fall geregelt ist, dass die Daten direkt bei der betroffenen Person erhoben werden, regelt Art. 14 DSGVO Fälle, in denen die Daten nicht bei der betroffenen Person erhoben werden ( Knyrim in Ehmann/Selmayr (Hrsg), Datenschutz-Grundverordnung , Art. 14, Rz 2).

D.2.1.2. Art. 13 und 14 DSGVO als subjektive Betroffenenrechte

Die Datenschutzbehörde hat sich bereits mit der Frage, ob die „Informationspflichten“ gemäß Art. 13 und Art. 14 DSGVO umgekehrt auch als subjektive Betroffenenrechte geltend gemacht werden können, auseinandergesetzt und geht nach stRsp davon aus, dass sich eine betroffene Person antragsunabhängig auf Art. 13 und Art. 14 DSGVO stützen kann (vgl. den Bescheid der Datenschutzbehörde vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).

D.2.2. In der Sache

Art. 13 Abs. 4 sowie Art. 14 Abs. 5 lit. a DSGVO sehen vor, dass eine Information nach Art. 13 bzw. 14 DSGVO dann unterbleiben kann, wenn und soweit die betroffene Person bereits über die Information verfügt. Wie unter C.4. festgestellt, speicherte der Beschwerdeführer eigenständig die verfahrensgegenständlichen Daten auf seinem Dienst-PC. Folglich ist davon auszugehen, dass der Beschwerdeführer bereits zum Zeitpunkt des Speicherns und spätestens zum Zeitpunkt der vom Beschwerdeführer eingebrachten Kündigungsanfechtung gemäß § 105 Abs. 3 Z 2 ArbVG, vernünftigerweise davon ausgehen musste, dass im Fall einer Kündigung aufgrund von Dienstpflichtverletzungen, die Beschwerdegegnerin den verfahrensgegenständlichen Dienst-PC auswerten und damit die persönlichen Daten des Beschwerdeführers verarbeiten würde. Der Beschwerdeführer verfügte somit bereits vor der gegenständlichen Auswertung über die erforderlichen Informationen der Verarbeitung.

Es war daher spruchgemäß zu entscheiden.

D.3. Zum Recht auf Löschung

Gemäß Art. 17 Abs. 1 DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen die unverzügliche Löschung seiner personenbezogenen Daten zu verlangen (erster Fall), und ist darüber hinaus der Verantwortliche selbst verpflichtet, personenbezogene Daten unverzüglich zu löschen (zweiter Fall), wenn einer der in Art. 17 Abs. 1 lit. a - lit. f DSGVO genannten Gründe vorliegt. Das Recht auf Löschung ist jedoch gemäß Art. 17 Abs. 3 lit. e DSGVO ausgeschlossen, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Art. 17 Abs. 3 lit. e DSGVO stellt eine Ausnahmeregelung dar, welche die Verfolgung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren (Erwägungsgründe 52 und 111) sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst.

Der Beschwerdeführer stützt die Verpflichtung zur Löschung auf Art. 17 Abs. 1 lit. d DSGVO, wonach die Beschwerdegegnerin die verfahrensgegenständlichen Daten unrechtmäßig verarbeitet haben soll und diese folglich zu löschen seien. Hierbei verkennt der Beschwerdeführer, dass die Verarbeitung, wie bereits ausgeführt, aufgrund berechtigter Interessen und zur Verteidigung von Rechtsansprüchen rechtmäßig erfolgte.

Wie zudem festgestellt, ist beim LG Salzburg zwischen dem Beschwerdeführer und der Beschwerdegegnerin ein Verfahren wegen § 105 Abs. 3 Z 2 ArbVG anhängig. Eine Löschung der verfahrensgegenständlichen Daten konnte daher auch wegen der Ausnahmebestimmung des Art. 17 Abs. 3 lit. e DSGVO unterbleiben.

Es war daher spruchgemäß zu entscheiden.