GZ: 2025-0.243.414 vom 9. September 2025 (Verfahrenszahl: DSB-D124.2470/24)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Bernhard A*** (Beschwerdeführer) vom 2. Jänner 2024 gegen die n***web GmbH (Beschwerdegegnerin), vertreten durch RA Dr. Ferdinand B***, wegen Verletzung im Recht auf Löschung wie folgt:
1. Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, indem diese dem Antrag des Beschwerdeführers auf Löschung seiner im Online-Auftritt (in Videos, Fotos und sonstigen Online-Beiträgen auf den Social-Media-Plattformen C***hub, E***video und G***pic) der Beschwerdegegnerin verarbeiteten personenbezogenen Daten nicht nachgekommen ist. Dabei handelt es sich um die personenbezogenen Daten des Beschwerdeführers in folgenden Online-Beiträgen der Beschwerdegegnerin:
o https://www.c***hub.com/photo.php?ch***id=69239149955**** set=pb.10006**73494169.-22075**000 type=3
o https://www.c***hub.com/photo.php?ch***id=63097189236**** set=pb.10006**73494169.-22075**000 type=3
o https://www.c***hub.com/photo.php?ch***id=60657822813**** set=pb.10006**73494169.-22075**000 type=3
o https://www.c***hub.com/photo.php?ch***id=60413373171**** set=pb.10006**73494169.-22075**000 type=3
o https://www.c***hub.com/photo.php?ch***id=52300925649**** set=pb.10006**73494169.-22075**000 type=3
o https://www.c***hub.com/photo.php?ch***id=48312020381**** set=pb.10006**73494169.-22075**000 type=3
o https://www.c***hub.com/photo.php?ch***id=48241483722**** set=pb.10006**73494169.-22075**000 type=3
o https://www.g***pic.com/p/C*4-BTY*9*n/
o https://www.e***video.com/@n***web.at/video/72392619610520****4
o https://www.e***video.com/@n***web.at/video/72240034553654****3
o https://www.e***video.com/@n***web.at/video/71891969226729****9
o https://www.e***video.com/@n***web.at/video/71891765440639****7
o https://www.e***video.com/@n***web.at/video/71547661000082****9
o https://www.e***video.com/@n***web.at/video/71542399225666****0
o https://www.e***video.com/@n***web.at/video/71350624926397****5
o https://www.e***video.com/@n***web.at/video/71202136898185****0
o https://www.e***video.com/@n***web.at/video/71120389836468****7
o https://www.e***video.com/@n***web.at/video/71090235013941****0
2. Der Beschwerdegegnerin wird aufgetragen , binnen einer Frist von vier Wochen , bei sonstiger Exekution, die im Online-Auftritt der Beschwerdegegnerin verarbeiteten personenbezogenen Daten des Beschwerdeführers (siehe Spruchpunkt 1) zu löschen.
Rechtsgrundlagen: Art. 4 Z 1 und Z 7, Art. 6 Abs. 1 lit. f, Art. 17, Art. 29, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Der Beschwerdeführer behauptete in seiner verfahrenseinleitenden Eingabe vom 7. November 2024 eine Verletzung im Recht auf Löschung und brachte, mit seinem Parteiengehör vom 30. März 2025 bestätigend, im Wesentlichen vor, dass die Beschwerdegegnerin trotz Aufforderung zur Löschung die im Online-Auftritt der Beschwerdegegnerin, der ehemaligen Arbeitgeberin des Beschwerdeführers, verarbeiteten personenbezogenen Daten des Beschwerdeführers nicht lösche.
2. Die Beschwerdegegnerin nahm zum Beschwerdevorbringen mit Schreiben vom 28. Februar 2025 Stellung und führte darin zusammengefasst aus, dass die Beschwerdegegnerin an den Lichtbilddaten des Beschwerdeführers als ehemaliger Projektmanager der Beschwerdegegnerin ein berechtigtes Interesse habe, zudem die Beschwerdegegnerin auf Onlinevertrieb und -marketing spezialisiert sei und seien die Online-Beiträge der Beschwerdegegnerin als zentrale Visitenkarte derselben anzusehen. Zudem seien Beiträge, auf denen der Beschwerdeführer als Einzelperson zu sehen sei, im Rahmen einer Interessenabwägung ohnedies gelöscht worden.
B. Beschwerdegegenstand
Aus dem Vorbringen des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Löschung verletzt hat, indem sie die in ihrem Online-Auftritt verarbeiteten personenbezogenen Daten des Beschwerdeführers nicht vollständig gelöscht hat und somit seinem Antrag auf Löschung nicht hinreichend nachgekommen ist.
C. Sachverhaltsfeststellungen
Die Beschwerdegegnerin ist ein unter der FN *9*1*5 u firmierendes in den Geschäftszweigen Websolutions, Marketing, Social Media, Webhosting, Grafik und Druck, Unternehmensberatung, Unternehmenskommunikation und PR tätiges Unternehmen.
Der Beschwerdeführer war vom 8. November 2021 bis zum 31. Juli 2023 als Projektmanager im Betrieb der Beschwerdegegnerin beschäftigt.
Während des Beschäftigungsverhältnisses entstanden u.a. folgende jeweils öffentlich einsehbare Beiträge (Fotos und Videos, teilweise mit Beschreibung) im Online-Auftritt der Beschwerdegegnerin (https://www.e***video.com/@n***web.at, https://www.c***hub.com/n***web.at, https://www.g***pic.com/n***web_at/), in denen der Beschwerdeführer erkennbar ist und für deren Erstellung der Beschwerdeführer auch mitgewirkt hat:
https://www.c***hub.com/photo.php?ch***id=69239149955**** set=pb.10006**73494169.-22075**000 type=3
https://www.c***hub.com/photo.php?ch***id=63097189236**** set=pb.10006**73494169.-22075**000 type=3
https://www.c***hub.com/photo.php?ch***id=60657822813**** set=pb.10006**73494169.-22075**000 type=3
https://www.c***hub.com/photo.php?ch***id=60413373171**** set=pb.10006**73494169.-22075**000 type=3
https://www.c***hub.com/photo.php?ch***id=52300925649**** set=pb.10006**73494169.-22075**000 type=3
https://www.c***hub.com/photo.php?ch***id=48312020381**** set=pb.10006**73494169.-22075**000 type=3
https://www.c***hub.com/photo.php?ch***id=48241483722**** set=pb.10006**73494169.-22075**000 type=3
https://www.g***pic.com/p/C*4-BTY*9*n/
https://www.e***video.com/@n***web.at/video/72392619610520****4
https://www.e***video.com/@n***web.at/video/72240034553654****3
https://www.e***video.com/@n***web.at/video/71891969226729****9
https://www.e***video.com/@n***web.at/video/71891765440639****7
https://www.e***video.com/@n***web.at/video/71547661000082****9
https://www.e***video.com/@n***web.at/video/71542399225666****0
https://www.e***video.com/@n***web.at/video/71350624926397****5
https://www.e***video.com/@n***web.at/video/71202136898185****0
https://www.e***video.com/@n***web.at/video/71120389836468****7
https://www.e***video.com/@n***web.at/video/71090235013941****0
Die Beschwerdegegnerin nutzt ihre Social-Media-Kanäle als auf Onlinemarketing und -vertrieb spezialisiertes Unternehmen, u.a. um für ihr marketingtechnisches Handwerk zu werben.
Der Beschwerdeführer hat in Folge der Beendigung seines Beschäftigungsverhältnisses bei der Beschwerdegegnerin beantragt, sämtliche seiner personenbezogenen Daten im Online-Auftritt der Beschwerdegegnerin zu löschen. Die Beschwerdegegnerin ist diesem Antrag nicht vollständig nachgekommen. Verblieben sind oben verlinkte Online-Beiträge, auf denen der Beschwerdeführer gemeinsam mit anderen Akteur:innen bzw. Mitarbeiter:innen der Beschwerdegegnerin zu sehen ist.
Beweiswürdigung : Die Feststellungen ergeben sich aus dem insofern übereinstimmenden Parteienvorbringen, dem Akteninhalt sowie einer amtswegig durchgeführten Firmenbuchabfrage.
D. In rechtlicher Hinsicht folgt daraus:
Gemäß Art. 17 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen die unverzügliche Löschung der sie betreffenden personenbezogenen Daten zu verlangen (erster Fall), und der Verantwortliche ist darüber hinaus – proaktiv - verpflichtet, die personenbezogenen Daten unverzüglich zu löschen (zweiter Fall), wenn einer der in Art. 17 Abs. 1 lit. a - lit. f DSGVO genannten Gründe vorliegt. Dies ist insbesondere dann der Fall, wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind (lit. a leg. cit.); wenn die betroffene Person ihre Einwilligung für eine Datenverarbeitung, welche sich auf Einwilligung stützt, widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt (lit. b leg. cit.), wenn eine betroffene Person gemäß Art. 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen (lit. c leg. cit.) oder wenn die personenbezogenen Daten unrechtmäßig verarbeitet wurden (lit. d leg. cit.).
Daher ist zunächst zu prüfen, ob die Verarbeitung der gegenständlichen Daten des Beschwerdeführers rechtmäßig erfolgt:
Wie festgestellt, hat der Beschwerdeführer bereits infolge der Beendigung seines Beschäftigungsverhältnisses mit der Beschwerdegegnerin mitgeteilt, dass er die Löschung seiner personenbezogenen Daten im Online-Auftritt der Beschwerdegegnerin verlangt. Demnach ist eine etwaige während des Beschäftigungsverhältnisses erteilte Einwilligung spätestens zu diesem Zeitpunkt als widerrufen anzusehen gewesen, da der Beschwerdeführer damit zu Ausdruck gebracht hat, dass eine dahingehende Verarbeitung seiner personenbezogenen Daten durch die Beschwerdegegnerin nicht mehr seinem Willen entspricht. Die Beschwerdegegnerin kann sich demnach nicht auf den Erlaubnistatbestand einer erteilten Einwilligung iSd. Art. 6 Abs. 1 lit. a DSGVO stützen.
Dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers in den festgestellten Online-Beiträgen zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses durch den Erlaubnistatbestand des Art. 6 Abs. 1 lit. b DSGVO getragen wird, wurde seitens der Beschwerdegegnerin nicht behauptet. Das dienstrechtliche Vertragsverhältnis zwischen den streitverfangenen Parteien ist zudem bereits seit Juli 2023 beendet .
Die Beschwerdegegnerin bringt jedoch vor, dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers in ihren Online-Beiträgen, auch wenn es sich bei diesem lediglich um einen ehemaligen Mitarbeiter handelt, dazu diene, das marketingtechnische handwerkliche Können der Beschwerdegegnerin zu bewerben, bzw. insbesondere Lichtbilddaten in Social-Media Beiträgen, die Menschen darstellen als zentrale Visitenkarte der Beschwerdegegnerin anzusehen seien und die Beschwerdegegnerin daher auch entgegen des ausdrücklichen Willens des Beschwerdeführers, ein überwiegendes berechtigtes Interesse iSd. Art. 6 Abs. 1 lit. f DSGVO an der Datenverarbeitung habe.
Gemäß Art. 6 Abs. 1 lit. f DSGVO kann die Zulässigkeit einer Datenverarbeitung auf die Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten gestützt werden, sofern nicht die Interessen oder Grundrechte einer betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Nach der Rechtsprechung des Europäischen Gerichtshofes ist die Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 lit. f DSGVO unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden; ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses; und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse ( vgl. noch in Bezug auf die Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C‑708/18 [TK], Rz. 40 mwN. ).
Der Begriff des berechtigten Interesses ist weit zu verstehen und kann grds jedes von der Rechtsordnung gebilligte Interesse sein. So können auch Werbeinteressen von Unternehmen, wie letztlich im gegenständlichen Fall, darunterfallen (vgl. ErwGr. der DSGO der unter anderem Zwecke der Direktwerbung als berechtigtes Interesse ansieht [Anmerkung Bearbeiter/in: offenkundiges Redaktionsversehen, gemeint ist ErwGr. 47 der DSGVO]).
Jedoch haben Datenverarbeitungen, mögen sie auch berechtigten Interessen dienen, dem Kriterium der Erforderlichkeit zu entsprechen. Diesbezüglich ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen , insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen ( vgl. in diesem Sinne Urteil des EuGH vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19 , Rz. 110 und die dort angeführte Rechtsprechung ).
Die Beschwerdegegnerin ist nach eigenen Angaben ein auf Onlinemarketing und -vertrieb spezialisiertes Unternehmen und somit notorisch in der Erstellung von Online-Inhalten geübt. Es ist für die Datenschutzbehörde daher nicht nachvollziehbar, warum es der Beschwerdegegnerin zur Erreichung des dargestellten berechtigten Interesses nicht möglich sein soll, jene Online-Inhalte, mit denen in das Recht auf Wahrung des Datenschutzes des Beschwerdeführers eingegriffen wird, mit Inhalten zu ersetzen, in denen keine personenbezogenen Daten des Beschwerdeführers vorkommen. Auch der Abschluss einer (entgeltlichen) Nutzungsvereinbarung mit dem Beschwerdeführer hätte angedacht werden können.
Schließlich ist für die Datenschutzbehörde auch das dritte Kriterium des dargestellten Prüfschemas nicht erfüllt und überwiegt das Interesse des Beschwerdeführers am Schutz seiner personenbezogenen Daten eindeutig das berechtigte Interesse der Beschwerdegegnerin:
Das Beschäftigungsverhältnis des Beschwerdeführers mit der Beschwerdegegnerin ist seit dem 31. Juli 2023 beendet. Es besteht zwischen dem Beschwerdeführer und der Beschwerdegegnerin demnach kein aufrechtes Rechtsverhältnis mehr . Der Beschwerdeführer konnte letztlich nach seiner gegenüber der Beschwerdegegnerin geäußerten Mitteilung, dass er die Löschung seiner in den Online-Auftritten der Beschwerdegegnerin verarbeiteten personenbezogenen Daten verlange, vernünftigerweise erwarten ( vgl. das Urteil des EuGH vom 4. Juli 2023 in der Rs C‑252/21, Rz 116 sowie ErwGr. 47 ), dass seine personenbezogenen Daten nicht mehr für den Online-Aufritt der Beschwerdegegnerin verwendet werden. Die wirtschaftlichen (Werbe bzw. Repräsentations)-Interessen der Beschwerdegegnerin sind im Weiteren nicht derart stark zu gewichten, dass sie das Interesse des Beschwerdeführers am Schutz seiner personenbezogenen Daten überwiegen, zumal die Datenverarbeitung entgegen des ausdrücklichen Willens des Beschwerdeführers erfolgt.
Erschwerend kommt hinzu, dass die gegenständlichen personenbezogenen Daten des Beschwerdeführers im Zuge des Online-Auftritts der Beschwerdegegnerin auf den Plattformen E***video, C***hub und G***pic öffentlich einsehbar und somit einer potentiell unbegrenzten Zahl von Personen zugänglich gemacht sind. Darüber hinaus wird für diese Personen die Beschwerdegegnerin mit dem Beschwerdeführer - zum Zweck der Darstellung des marketingtechnischen handwerklichen Könnens der Beschwerdegegnerin - in Beziehung gesetzt wird, obwohl der Beschwerdeführer gar nicht mehr bei der Beschwerdegegnerin tätig ist und dies nicht seinem Willen entspricht ( vgl. das Urteil des EuGH vom 22.11.2022, verb Rs C-37/20 und C-601/20 (WM und Sovim SA/Luxembourg Business Registers), Rz. 41 ff ).
Mangels Vorliegens eines Erlaubnistatbestandes und damit einhergehender Unrechtmäßigkeit der Datenverarbeitung hat die Beschwerdegegnerin den Beschwerdeführer in seinem Recht auf Löschung gem. Art. 17 Abs. 1 lit. d DSGVO verletzt.
Der Leistungsauftrag nach Spruchpunkt 2 gründet auf Art. 58 Abs. 2 lit. d iVm Art. 17 Abs. 1 lit. d DSGVO.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
RIS