GZ: 2025-0.742.062 vom 22. September 2025 (Verfahrenszahl: DSB-D124.0830/23)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. med. Manfred A*** (Beschwerdeführer) aus Dresden, Deutschland, vom 21. April 2023 gegen die N*** Gesellschaft m.b.H. (Beschwerdegegnerin) aus **** Wien, vertreten durch die B***-K*** Rechtsanwälte GmbH aus **** Wien, wegen Verletzung im Recht auf Geheimhaltung wie folgt:
- Die Beschwerde wird abgewiesen .
Rechtsgrundlagen: Art. 5 Abs. 1, Art. 6 Abs. 1 lit. b, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
1. Mit Beschwerde vom 21. April 2023 (elektronisches Formular der Datenschutzbehörde, Mangelbehebung mit Schreiben vom 5. September 2023) brachte der Beschwerdeführer , der ausdrücklich angab, kein zwischenstaatliches Verfahren gemäß Art. 60 DSGVO (sogenanntes „One-Stop-Shop“-Verfahren) einleiten, sondern seine Rechte am Ort der Hauptniederlassung der Beschwerdegegnerin geltend machen zu wollen, vor, die Beschwerdegegnerin habe seine Kontaktdaten im Zuge einer geschäftlichen Anfrage unrechtmäßig an ein anderes Unternehmen weitergeleitet und dadurch sein Recht auf Geheimhaltung verletzt.
2. Die Beschwerdegegnerin brachte durch ihre rechtsfreundlichen Vertreter in der Stellungnahme vom 19. Dezember 2023 vor, die Datenübermittlung sei rechtmäßig erfolgt, da sie sich auf den Eingriffstatbestand gemäß Art. 6 Abs. 1 lit. b DSGVO, im speziellen auf vorvertragliche Maßnahmen stützen könne. Die Beschwerdegegnerin sei, weil vertraglich gebunden, nicht zur Ausführung der vom Beschwerdeführer angefragten Warenbestellung berechtigt gewesen. Daher habe man seine Kontaktdaten an ein anderes Unternehmen übermittelt, das über die entsprechenden Vertriebsrechte verfüge.
3. Der Beschwerdeführer gab dazu nach Parteiengehör am 9. Jänner 2024 eine Stellungnahme ab, in der er die Rechtmäßigkeit des Vorgehens der Beschwerdegegnerin bestritt und betonte, dass er keine Einwilligung zu einer Übermittlung erteilt habe.
B. Beschwerdegegenstand
4. Ausgehend vom Beschwerdevorbringen ist Gegenstand der Beschwerde die Frage, ob die Beschwerdegegnerin berechtigt war, die Kontaktdaten des Beschwerdeführers (insbesondere Name und E-Mail-Adresse), die er ihr im Zuge einer Anfrage nach einer Bestellmöglichkeit bekanntgegeben hatte, durch Weiterleitung einer E-Mail an einen Dritten zu übermitteln.
C. Sachverhaltsfeststellungen
5. Die Beschwerdegegnerin ist ein in der Rechtsform einer Gesellschaft mit beschränkter Haftung nach österreichischem Recht organisiertes Unternehmen (im Firmenbuch protokolliert zu FN 2*5*7**v durch das Handelsgericht Wien). Ihr Hauptgeschäftsfeld ist der Handel mit Medizinprodukten.
6. Beweiswürdigung : Diese Feststellungen stützen sich auf das Vorbringen der Beschwerdegegnerin (Stellungnahme vom 19. Dezember 2023, einliegend als Eingangsstück in GZ: 2023-0.913.484 der Akten dieses Beschwerdeverfahrens) sowie auf den Inhalt, insbesondere das Impressum ihrer Website www.n***.at.
7. Der Beschwerdeführer ist Arzt, Facharzt für Plastische und Ästhetische Chirurgie, und betreibt unter der Bezeichnung „ A*** BEAUTY“ in Dresden, Deutschland, in seinem Fachgebiet eine ärztliche Praxis.
8. Beweiswürdigung : Diese Feststellungen stützen sich auf das Vorbringen des Beschwerdeführers (Beschwerde vom 21. April 2023 samt Mangelbehebung vom 5. September 2023, einliegend als Eingangsstücke in den GZlen: 2023-0.307.262 und 2023-0.641.188 der Akten dieses Beschwerdeverfahrens) sowie auf den Inhalt, insbesondere das Impressum seiner Website www.a***-beauty.de.
9. Am 27. März 2023 sendete der Beschwerdeführer von der E-Mail-Adresse info@a***-beauty.de an die Mail-Adresse order@n***.at eine Nachricht mit folgendem Inhalt:
„Sehr geehrte Damen und Herren,
ich möchte gern Lichtretraktoren bestellen.
Die Artikelnummer lautet T***4-3*21
Liefern Sie nach Deutschland?
Mit freundlichen Grüßen
Manfred A***“.
10. Diese E-Mail (wie auch die unten unter Rz 11 wiedergegebene) enthielt weiters folgende Daten des Beschwerdeführers bzw. seiner Praxis:
Anschrift:
G***platz *6/*2
01*** Dresden
Kontakt:
Tel.: 0351 *5*2*11
Fax.: 0351 *5*2*12
WhatsApp: 0*4* *55*1*7*
E-Mail: info@a***-beauty.de
www.a***-beauty.de
11. Der Beschwerdeführer urgierte per E-Mail mit folgendem Inhalt am 11. April 2023 eine Antwort:
„Sehr geehrte Damen und Herren,
ich habe bisher keine Rückmeldung erhalten und bitte dies nachzuholen.
Mit freundlichen Grüßen
Manfred A***“.
12. Da die Beschwerdegegnerin aufgrund vertraglicher Bindungen das angefragte Produkt nur in Österreich, nicht aber in Deutschland, vertreiben darf, leitete sie in weiterer Folge beide E-Mails an das für den Vertrieb in Deutschland zuständige Unternehmen weiter. Dieses Unternehmen (Vertriebspartner) kannte die Kontaktdaten des Beschwerdeführers, da er bereits sein Kunde war.
13. Beweiswürdigung : Diese Feststellungen stützen sich auf die Darstellung der Tatsachen durch die Beschwerdegegnerin in ihrer Stellungnahme vom 19. Dezember 2023 und die darin vorgelegten Dokumente (Faksimile-Wiedergaben der beiden zitierten E-Mails). Das entsprechende Vorbringen ist glaubwürdig. Ein diese Tatsachen bestreitendes Vorbringen des Beschwerdeführers liegt nicht vor. Zwar wurde von keinem der Streitteile die Identität des Datenempfängers offengelegt, doch ist dies zur Beurteilung der Rechtsfrage nicht entscheidend, insbesondere da keine Übermittlung an ein Unternehmen mit Niederlassung in einem Staat außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) behauptet worden ist.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Summe :
14. Die Beschwerde hat sich als nicht berechtigt erwiesen, da die Beschwerdegegnerin ihre Datenverarbeitung auf den Rechtfertigungsgrund gemäß Art. 6 Abs. 1 lit. b DSGVO stützen konnte.
D.2. anzuwendende Rechtsvorschriften :
15. Nach § 1 Abs. 1 DSG hat Jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
16.Die Legaldefinitionen und Grundsätze der DSGVO sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. § 4 Abs. 1 DSG sowie den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).
17. Art. 5 Abs. 1 lit. a, b und c DSGVO lautet samt Überschrift:
„ Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);“ […]
18. Art. 6 Abs. 1 lit. a und b DSGVO lautet samt Überschrift (Unterstreichung durch die Datenschutzbehörde):
„ Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;“ […]
D.3. Anwendung auf den Beschwerdefall :
19. Die Beschwerdegegnerin hat ihm Rahmen der sie treffenden Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) dargelegt, dass der Beschwerdeführer durch die Anfrage, ob die Beschwerdegegnerin ein bestimmtes Medizinprodukt an ihn nach Deutschland liefern könne, in eine vorvertragliche Beziehung zur Beschwerdegegnerin getreten sei. Um diese Anfrage, auf deren Beantwortung der Beschwerdeführer gedrängt habe, trotz der Tatsache, dass man vertraglich daran gehindert sei, nach Deutschland zu liefern, erledigen zu können, habe man die Anfrage mit den Daten des Beschwerdeführers an ein Unternehmen weitergeleitet, das das entsprechende Produkt hätte liefern können.
20. Der Gerichtshof der Europäischen Union (EuGH) hat in seinem Urteil vom 12. September 2024, verbundene Rechtssachen C 17/22 und C 18/22, festgehalten, dass eine Verarbeitung, die sich auf Art. 6 Abs. 1 lit. b DSGVO stützt, als für die Erfüllung des Vertrags erforderlich angesehen werden kann, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte (Urteilstenor Punkt 1., sinngemäß zusammengefasst und gekürzt).
21.Dieses Erforderlichkeitskriterium ist eng auszulegen. Verarbeitungen personenbezogener Daten, die nicht wirklich notwendig sind, können nicht auf diese Grundlage gestützt werden. Sie ist nur zulässig, wenn sie zur Erfüllung der Rechte und Pflichten aus dem Vertrag oder für die Durchführung vorvertraglicher Maßnahmen geboten ist. Die Erforderlichkeit ist jedenfalls erfüllt, wenn der Vertrag ohne die Datenverarbeitung nicht vollständig erfüllt werden kann. Ein Verantwortlicher muss daher den genauen Inhalt und die Intentionen eruieren, warum ein Vertrag abgeschlossen wurde. Für diese so festgestellten Zwecke kann die Verarbeitung der personenbezogenen Daten auf die Rechtsgrundlage der Vertragserfüllung gestützt werden. Die zu berücksichtigende Grenze wird dabei durch die Grundsätze der Datenverarbeitung, insbesondere Art. 5 Abs. 1 lit. b und lit. c DSGVO und Art. 6 Abs. 4 DSGVO bestimmt (BVwG E 04.12.2020, W274 2233705-1, RIS, betreffend Übermittlung von Daten eines Mieters an einen Dritten im Rahmen der Instandhaltungspflichten des Vermieters).
22. Rechtsprechung zur Erforderlichkeit der Datenverarbeitung bei vorvertraglichen Maßnahmen liegt, soweit absehbar, nicht vor.
23. Der Maßstab der Erforderlichkeit soll im Privatrechtsverkehr aber nicht iS einer strikten Verhältnismäßigkeitsprüfung zu verstehen sein ( Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO (Stand 7.5.2020, rdb.at) Rz 36 unter Berufung auf Frenzel in Paal/Pauly, DS-GVO/BDSG 2 Art 6 Rz 14).
24. Hier ist in diesem Sinne davon auszugehen, dass zwischen Beschwerdeführer und Beschwerdegegnerin ein vorvertragliches Verhältnis gemäß Art. 6 Abs. 1 lit. b 2. Fall DSGVO bestanden hat. Dieses wurde durch die Anfrage des Beschwerdeführers vom 27. März 2023 begründet und inhaltlich bestimmt. Diese Anfrage war darauf gerichtet, eine bestimmte Ware geliefert zu erhalten (arg „ich möchte gern Lichtretraktoren bestellen“, siehe Sachverhaltsfeststellungen oben, Rz 9).
25. Einem Eintritt in ein vertragliches Schuldverhältnis bzw. einer Vertiefung des vorvertraglichen Verhältnisses durch Übermittlung eines verbindlichen oder unverbindlichen Angebots an den Beschwerdeführer stand eine vertragliche Bindung der Beschwerdegegnerin entgegen. Jedoch war bei diesem Stand der Dinge die Annahme der Beschwerdegegnerin logisch nachvollziehbar, dass der Anfrage, auf deren Beantwortung der Beschwerdeführer (siehe Sachverhaltsfeststellungen oben, Rz 11) gedrängt hatte, im geschäftlichen Verkehr zwischen Unternehmen am besten dadurch entsprochen werde, einen direkten Kontakt zwischen dem Beschwerdeführer und einem lieferberechtigten Vertriebsunternehmen herzustellen.
26. Betreffend das „Erforderlichkeitskriterium“ (siehe oben Rz 20, BVwG aaO) ist im Lichte der zitierten Lehrmeinung im Rahmen eines vorvertraglichen Verhältnisses , das durch das Fehlen einer vertraglichen Festlegung und damit durch eine gewisse Unbestimmtheit und das Bestehen von Handlungsoptionen gekennzeichnet ist, davon auszugehen, dass ihm hier im Verkehr zwischen Unternehmen entsprochen wird, wenn unter Beachtung der Grundsätze des Art. 5 DSGVO eine Handlungsoption gewählt wird, die bei objektiver Betrachtung für keinen der am vorvertraglichen Verhältnis Beteiligten unüblich und überraschend sein musste. Dass der Beschwerdeführer rückblickend mit dieser Vorgehensweise nicht einverstanden war, war hingegen nicht entscheidend.
27. Der vom Beschwerdeführer selbst in seiner Anfrage festgelegte Zweck des vorvertraglichen Verhältnisses war die Erwirkung der Lieferung eines Medizinprodukts. Durch die Weiterleitung dieser Anfrage, die im Lichte des oben Gesagten weder unüblich noch überraschend war, wurde weder der Grundsatz der Rechtmäßigkeit (Art. 5 Abs. 1 lit. a DSGVO), noch jener der Zweckbindung oder der Datenminimierung (Art. 5 Abs. 1 lit. b und c leg. cit.) verletzt.
28. Bei Erfüllung des Tatbestands gemäß Art. 6 Abs. 1 lit. b DSGVO wird, anders als vom Beschwerdeführer vorgebracht, auch keine Einwilligung der betroffenen Person benötigt, um eine rechtmäßige Datenverarbeitung vornehmen zu können.
D.4. Schlussfolgerung :
29. Die Beschwerdegegnerin konnte ihre Datenverarbeitung auf den Eingriffstatbestand gemäß Art. 6 Abs. 1 lit. b DSGVO stützen und hat somit rechtmäßig in das Geheimhaltungsrecht des Beschwerdeführers gemäß § 1 Abs. 1 DSG eingegriffen.
30.Die Beschwerde hat sich damit als nicht berechtigt erwiesen und war gemäß § 24 Abs. 5 Satz 3 DSG abzuweisen.
Rückverweise
RIS