GZ: 2025-0.470.791 vom 19. September 2025 (Verfahrenszahl: DSB-D124.0165/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.
Bei dem als V***vid pseudonymisierten Dienst handelt es sich um eine sehr große Online-Plattform (very large online platform - VLOP) gemäß Art. 33 der Verordnung (EU) 2022/2065 (Digital Services Act - DSA).]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Janine A*** (Beschwerdeführerin) vom 22. Jänner 2025 gegen Harald N*** (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt:
Der Beschwerde wird stattgegeben und es wird festgestellt , dass der Beschwerdegegner die Beschwerdeführerin im Recht auf Geheimhaltung verletzt hat, indem er zumindest am 18. Jänner 2025 und am 19. Jänner 2025 in einem Livestream auf seinem öffentlich zugänglichen V***vid-Profil „too-cool_****“ den Vornamen und den Nutzernamen der Beschwerdeführerin unrechtmäßig offengelegt hat.
Rechtsgrundlagen : Art. 4, Art. 5, Art. 6, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
A.1. Mit verfahrenseinleitender Eingabe vom 22. Jänner 2025 brachte die Beschwerdeführerin , zusammengefasst vor, der Beschwerdegegner habe wiederholt auf V***vid unter „Too-cool_****“ in Livestreams personenbezogene Daten über sie veröffentlicht, insbesondere ihren Vor- und Nachnamen, ua indem er täglich seit Mitte Dezember ihre V***vid-Kennung „***ola*5“ erwähne. Er übe bei V***vid die Funktion eines ***stream Directors aus.
A.2. Mit Eingaben vom 4. Februar 2025 und 5. März 2025 legte die Beschwerdeführerin eine Reihe von Videodateien und Screenshots zum Beweis ihres Vorbringens vor.
A.3. Mit Schreiben vom 13. März 2025 sowie mit Eingabe vom 9. April 2025 brachte der Beschwerdegegner im Wesentlichen vor, dass er seit Jänner die Beschwerdeführerin nicht mehr erwähne, es sich aber um seine Videos handle. Die Beschwerdeführerin verbreite Unwahrheiten über ihn und habe ihn beim Finanzamt angezeigt.
Dem Schreiben vom 9. April 2025 angeschlossen waren Screenshots und ein Schreiben des Finanzamtes Österreich an den Beschwerdegegner.
A.4. Zum gewährten Parteiengehör brachte die Beschwerdeführerin mit Eingaben vom 18. April 2025 und 23. April 2025 zusammengefasst vor, dass sie keine Anzeigen eingebracht habe. Der Beschwerdegegner erwähne sie auf V***vid meist mit der Bezeichnung „***ola“, unter diesem Namen würden sie aber viele Personen kennen.
Dem Schreiben vom 18. April 2025 angeschlossen war ein Screenshot.
A.5. Am 28. Mai 2025 fand eine Online Einvernahme der Beschwerdeführerin statt. Sie brachte zusammengefasst vor, dass sie seit etwa drei Jahren auf V***vid aktiv sei und unter dem Namen „***ola*5“ auftrete. Sie kenne den Beschwerdegegner von V***vid und habe fallweise gemeinsame Live Streams mit ihm gemacht. Er habe in den verfahrensgegenständlichen Livestreams zumeist „***ola“ gesagt, fallweise jedoch auch ihren Vornamen „Janine“.
A.6. Am 28. Mai 2025 fand weiters eine Online Einvernahme des Beschwerdegegners statt. Dieser brachte im Wesentlichen ergänzend vor, dass er seit rund 7 Jahren auf V***vid aktiv sei und unter der Bezeichnung „too-cool_****“ aufscheine, dabei handle es sich um eine Gruppe von 30 Personen, welche sich jeden Abend treffen würden um miteinander zu reden. Die Beschwerdeführerin sei früher ebenfalls in seinem „Team“ auf V***vid gewesen, aufgrund von Differenzen habe er sie jedoch entfernt. Es sei richtig, dass er die Beschwerdeführerin namentlich auf V***vid erwähnt habe. Einmal habe er sie in einem Live-Stream mit „Janine“ angesprochen, um ihr Gespräch zu stoppen, den Namen „***ola“ habe er mehrmals erwähnt. Zuletzt habe er am 14. April 2025 die Anzeige der Beschwerdeführerin im Live-Stream hergezeigt und ihren Namen „Janine“ erwähnt. Zwei oder drei Personen aus seinem Team würden die Beschwerdeführerin kennen. Er sei „***stream Director“ bei V***vid, diese Tätigkeit übe er ehrenamtlich aus.
A.7. Mit Schreiben vom 3. Juni 2025 und 11. Juni 2025 legte die Beschwerdeführerin ergänzende Unterlagen vor, und zwar ein Schreiben des Beschwerdegegners an eine Freundin der Beschwerdeführerin und ein polizeiliches Vernehmungsprotokoll sowie diverse Screenshots.
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage ist, ob der Beschwerdegegner die Beschwerdeführerin in ihrem Recht auf Geheimhaltung verletzt hat, indem er auf seinem öffentlich zugänglichen V***vid-Profil „too-cool_****“ personenbezogene Daten, und zwar konkret ihren Vornamen und ihren V***vid Benutzernamen in V***vid-Livestreams erwähnt und sohin ohne Rechtsgrundlage veröffentlicht hat.
C. Sachverhaltsfeststellungen
C.1. Der Beschwerdegegner betreibt unter dem Namen „too-cool_****“ ein öffentlich zugängliches Profil auf dem Videoportal V***vid. Die Beschwerdeführerin tritt mit dem Nutzernamen „***ola*5“ bei V***vid auf. Die Beschwerdeführerin und der Beschwerdegegner waren Teil einer Gruppe, die Beschwerdeführerin wurde aufgrund von persönlichen und finanziellen Differenzen vom Beschwerdegegner aus dieser Gruppe entfernt.
Beweiswürdigung : Die obigen Feststellungen ergeben sich aus der verfahrenseinleitenden Eingabe der Beschwerdeführerin vom 22. Jänner 2025, dieses Vorbringen wurde vom Beschwerdegegner nicht bestritten; sowie aus der amtswegigen Einsichtnahme auf der Webseite www.v***vid.org/users/***/too-cool_****, zuletzt abgefragt am 15. September 2025.
C.2. Im Zeitraum Dezember 2024 bis Jänner 2025 hat der Beschwerdegegner den Vornamen und den Benutzernamen der Beschwerdeführerin auf seinem V***vid Profil wiederholt offengelegt. Zumindest jedoch am 19. Jänner 2025 hat er dem Nutzernamen „***ola“ in einem öffentlich zugänglichen V***vid-Livestream erwähnt.
Beweiswürdigung : Die Feststellung, dass der Nutzername offengelegt wurde, ergibt sich aus der Eingabe der Beschwerdeführerin vom 4. Februar 2025 und der darin vorgelegten mp4 Datei. Die Feststellung, dass der Vorname offengelegt wurde, ergibt sich aus dem Schreiben des Beschwerdegegners vom 13. März 2025 sowie der Einvernahme der Beschwerdeführerin vom 28. Mai 2025. Die namentliche Erwähnung in einem Livestream wurde vom Beschwerdegegner in seiner Einvernahme vom 28. Mai 2025 ausdrücklich bestätigt.
C.3. Am 18. Jänner 2025 zeigte der Beschwerdegegner in einem Livestream unter Nennung des Namens „***ola“, ein Schreiben der Datenschutzbehörde auf seinem Bildschirm betreffend das Parallelverfahren D124.0061/25, unter teilweiser händischer Abdeckung von Teilen des Schreibens.
Beweiswürdigung : Obige Feststellungen gründen auf die von der Beschwerdeführerin mit Schreiben vom 4. Februar 2025 vorgelegten Videoaufnahmen, dieses Vorbringen wurde vom Beschwerdegegner nicht bestritten und in seiner Einvernahme am 28. Mai 2025 ausdrücklich bestätigt.
C.4. Zu GZ D124.0061/25, eingebracht am 11. Jänner 2025, ist eine Datenschutzbeschwerde wegen einer Verletzung im Recht auf Löschung anhängig, in welcher der gegenständliche Beschwerdegegner als Beschwerdeführer auftritt, und die gegenständliche Beschwerdeführerin sowie eine weitere Person als Beschwerdegegner geführt werden, welche ebenfalls V***vid Videos und die gegenständlichen Differenzen der Parteien zum Inhalt hat. Das Verfahren ist noch nicht beendet.
Beweiswürdigung : Die obigen Feststellungen gründen auf die amtswegige Einsichtnahme in den h.a. Akt D124.0061/25, letztmalig abgefragt am 15. September 2025.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Zur Anwendbarkeit der DSGVO und des DSG
Zunächst ist zu überprüfen, ob der vorliegende Sachverhalt vom sachlichen Anwendungsbereich der DSGVO (und in Folge des DSG) erfasst ist:
Obwohl gegenständlich eine Verletzung von § 1 Abs. 1 DSG geltend gemacht wird, ist eingangs darauf hinzuweisen, dass die Datenschutzbehörde in ihrer stRsp. judiziert, dass die Bestimmungen der DSGVO und insbesondere auch die darin verankerten Grundsätze zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen sind (vgl. etwa den Bescheid vom 4. Juli 2019, GZ: DSB- D123.652/0001-DSB/2019).
Gemäß Art. 2 Abs. 2 lit. c findet die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (umgangssprachlich auch als „ Haushaltsausnahme “ bezeichnet).
Der OGH hat bereits ausgesprochen, dass die Voraussetzungen des Art. 2 Abs. 2 lit. c DSGVO erfüllt sind, wenn es sich um ein privates Facebook-Profil handelt und dieses nicht zu beruflichen oder wirtschaftlichen Zwecken verwendet wird (vgl. das Urteil des OGH vom 23. Juni 2021, 6 Ob 56/21k).
Nach herrschender Auffassung ist die „Haushaltsausnahme“ restriktiv auszulegen (vgl. zur weitestgehend inhaltsgleichen Bestimmung des Art. 3 Abs. 2 zweiter Spiegelstrich der Richtlinie 95/46/EG das Urteil des EuGH vom 6. November 2003, C-101/01 [Lindqvist]), wobei als Abgrenzungskriterium das Fehlen jeglichen Bezugs zu einer beruflichen oder wirtschaftlichen Tätigkeit gilt. Das zentrale Kriterium für die Anwendbarkeit der „Haushaltsausnahme“ - und damit für die Nichtanwendbarkeit der DSGVO - ist daher die Zurechenbarkeit der Datenverarbeitung zum privaten Bereich (vgl. Heißl in Knyrim [Hrsg.], DatKomm Art. 2 DSGVO, Rz. 70).
Die DSGVO selbst nennt diesbezüglich etwa das Führen eines Schriftverkehrs oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen einer persönlichen oder familiären Tätigkeit (vgl. ErwGr. 18 DSGVO). Dies gilt allerdings nur insoweit, als Daten in geschlossenen Gruppen ausgetauscht werden, die keinen Bezug zu beruflichen oder wirtschaftlichen Tätigkeiten der Nutzer haben (vgl. Ennöckl in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Art. 2, Rz. 13; vgl. auch das zuvor zitierte Urteil des EuGH vom 10. Juli 2018, C-25/17, Rz. 42 mwN., wonach eine Tätigkeit dann „ nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden [kann], wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet“).
Gegenständlich haben die Offenlegung des Vornamens und des Benutzernamens der Beschwerdeführer in V***vid-Livestreams wie festgestellt, den Zweck, über persönliche Differenzen mit der Beschwerdeführerin zu berichten. Auch wenn die Livestreams allenfalls nur von wenigen Personen gesehen wurden, handelt es sich unzweifelhaft um eine öffentliche Zugänglichmachung personenbezogener Daten der beschwerdeführenden Partei an eine potentiell unbegrenzte Anzahl fremder Personen, sodass die gegenständlichen Datenverarbeitungen jedenfalls nicht von der Haushaltsausnahme erfasst sind.
Der Anwendungsbereich der DSGVO (und des DSG) ist daher eröffnet.
D.2. Zum Recht auf Geheimhaltung
Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn die Daten infolge ihrer allgemeinen Verfügbarkeit oder mangelnden Rückführbarkeit auf die betroffene Person einem Geheimhaltungsanspruch nicht zugänglich sind.
Die Datenschutz-Grundverordnung (DSGVO) und die darin verankerten Grundsätze sind bei der Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. Bescheid der Datenschutzbehörde vom 31. Oktober 2018, GZ: DSB-D123.076/0003-DSB/2018).
Nach der Judikatur des VwGH und des BVwG kommt der Datenschutzbehörde in Beschwerdeverfahren im Hinblick auf Verletzungen des Rechts auf Geheimhaltung eine Feststellungskompetenz auch für in der Vergangenheit liegende Geheimhaltungsrechtsverletzungen zu (vgl. das Erkenntnis des BVwG vom 20. Mai 2021, GZ: W214 222 6349-1/12E; vgl. implizit das Erkenntnis des VwGH vom 23. Februar 2021, Ra 2019/04/0054).
Gemäß Art. 4 Z 1 DSGVO bezeichnet der Ausdruck „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt , insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann , die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Eindeutig identifiziert ist eine Person idR dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht, bspw. wenn eine Person direkt namentlich bekannt ist (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 11).
Laut ErwG 26 DSGVO sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden um festzustellen, ob eine natürliche Person identifizierbar ist, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.
Der EuGH hat zum Begriff der „Identifizierbarkeit“ mehrfach festgehalten, dass es idZ gerade nicht erforderlich sei, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden , da der Erwägungsgrund [Anmerkung der DSB: 26] auf die Mittel Bezug nehme, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem „Dritten“ eingesetzt werden könnten. Zu prüfen sei jedoch, ob das verfügbare Identifizierungsmittel vernünftigerweise zur Bestimmung der betreffenden Person eingesetzt werden könne. Dies wäre etwa nicht der Fall, wenn die Identifizierung der betreffenden Person gesetzlich verboten oder praktisch nicht durchführbar wäre, z. B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordern würde, sodass das Risiko einer Identifizierung de facto vernachlässigbar erscheine (vgl. Urteil EuGH vom 19. Oktober 2016, Breyer, C‑582/14, Rn. 42-26).
Wie den Feststellungen zu entnehmen ist, war zumindest für einen Teil der an den Livestreams teilnehmenden Personen die Beschwerdeführerin durch Nennung des Vornamens bzw. des Benutzernamens bestimmbar und unter Verwendung der Gesetzen der Logik leicht zu identifizieren . Dies wurde auch vom Beschwerdegegner ausdrücklich bestätigt.
Art. 4 Z 1 DSGVO entspricht beinahe wortgleich Art. 2 lit. a der Richtlinie 95/46/EG (Datenschutz-Richtlinie), weshalb alle Überlegungen, die sich auf die Datenschutz-Richtlinie beziehen, auch auf die Rechtslage nach der DSGVO umgelegt werden können.
Dazu hat der EuGH bereits in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt. Sohin sind persönliche Informationen wie Identifikationsmerkmale (Name, Anschrift und Geburtsdatum), äußere Merkmale (Geschlecht, Augenfarbe, Größe, Gewicht) oder innere Zustände (Meinungen, Motive, Wünsche, Überzeugungen, Werturteile) genauso gemeint wie sachliche Informationen, also Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie sonstige Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt (vgl. Urteil des EuGH vom 20. Dezember 2017, C-434/16, Nowak).
Gemäß Art. 4 Z 2 DSGVO fällt unter den Begriff der Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Nach Art. 4 Z 7 DSGVO ist jene natürliche oder juristische Person , Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dabei ist das wesentliche Kriterium die Entscheidungskomponente.
Die unter C.2. und C.3. festgestellten Informationen über die beschwerdeführende Partei stellen unzweifelhaft deren personenbezogenen Daten dar, welche durch ihre Veröffentlichung auf der Social-Media-Plattform „V***vid“ ebenso unzweifelhaft durch Offenlegung verarbeitet worden sind und ist der Beschwerdegegner auch Verantwortlicher dieser Verarbeitungen iSd DSGVO, da er alleine über Mittel und Zwecke der so erfolgten Verarbeitungen entschieden hat.
Der Beschwerdegegner hat keine Rechtsgrundlage für die Veröffentlichung der Daten der Beschwerdeführerin dargelegt. Insbesondere wurde keine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO behauptet oder nachgewiesen. Auch wurde kein überwiegendes berechtigtes Interesse des Beschwerdegegners gemäß Art. 6 Abs. 1 lit. f DSGVO an der Veröffentlichung vorgebracht und war ein solches auch sonst nicht ersichtlich.
Im Ergebnis liegt eine unrechtmäßige Verarbeitung personenbezogener Daten der Beschwerdeführerin durch den Beschwerdegegner vor.
Es war daher spruchgemäß zu entscheiden .
Rückverweise
