GZ: 2025-0.757.155 vom 1. Oktober 2025 (Verfahrenszahl: DSB-D124.1665/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Christian A*** (Beschwerdeführer) vom 30. Juni 2025, gegen den Verein N*** (Erstbeschwerdegegner) und gegen die M*** Österreich GmbH (Zweitbeschwerdegegnerin), vertreten durch die B*** Rechtsanwälte GmbH wegen Verletzung im Recht auf Geheimhaltung wie folgt:
- Der Beschwerde wird stattgegeben und festgestellt , dass der Erstbeschwerdegegner und die Zweitbeschwerdegegnerin den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt haben, indem der Erstbeschwerdegegner den Datensatz "Bürobedarf – ergonomischer Arbeitsplatz" sowohl mit Auftraggeber als auch mit dem Vor- und Nachnamen des Beschwerdeführers auf dessen Plattform "vergabe***.at" veröffentlicht hat und die Zweitbeschwerdegegnerin ebenfalls denselben Datensatz auf ihrer Plattform "https://www.***ausschreibungen.co.at" veröffentlicht hat.
Rechtsgrundlagen: Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. f, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Sachverhaltsfeststellungen
Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
1. Der Beschwerdeführer ist Mitarbeiter des Bundesamts für Ä***. Im Jahr 2024 beschaffte das Bundesamt für Ä*** für ihn einen ergonomischen, höhenverstellbaren Schreibtisch.
Beweiswürdigung : Diese Feststellungen beruhen auf dem unstrittigen Vorbringen des Beschwerdeführers in seiner verfahrenseinleitenden Eingabe vom 30. Juni 2025.
2. Am 13. November 2024 wurde der vergebene Auftrag „Bürobedarf - ergonomischer Arbeitsplatz“ mit Vor- und Nachnamen des Beschwerdeführers vom Bundesamt für Ä*** im Unternehmensserviceportal (https://www.usp.gv.at/) veröffentlicht.
Der verfahrensgegenständliche Datensatz stellt sich wie folgt dar (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Die an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebenen Daten mit dem Namen und der genauen Dienststelle des Beschwerdeführers können mit zumutbarem Aufwand nicht pseudonymisiert werden und wurden daher entfernt.]
Beweiswürdigung : Diese Feststellung beruht auf einer amtswegigen Abfrage der Website https://ausschreibungen.usp.gv.at/ durch die Datenschutzbehörde (zuletzt abgefragt am 30. September 2025).
3. Der Erstbeschwerdegegner betreibt seit 2019 die Plattform „vergabe***.at“ als zivilgesellschaftliches Projekt, das mehr Transparenz rund um staatliche Auftragsvergaben schaffen soll.
Auf „vergabe***.at“ werden offene Daten der Verwaltung zu Ausschreibungen, Auftragsvergaben und direkten Beschaffungen dargestellt. Die auf der Plattform dargestellten Daten stammen aus staatlichen Quellen. Die Aufbereitung der Daten erfolgt täglich automatisch, ohne manuelle Kontrolle oder Intervention.
Der verfahrensgegenständliche Datensatz wurde auf der Plattform „vergabe***.at” veröffentlicht.
Die Plattform „vergabe***.at” hat den verfahrensgegenständlichen Datensatz während des laufenden Verfahrens vor der Datenschutzbehörde offline genommen.
Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus der Stellungnahme des Erstbeschwerdegegners vom 2. September 2025 sowie aus einer amtswegigen Abfrage der Website https://www. vergabe***.at/ durch die Datenschutzbehörde (zuletzt abgerufen am 30. September 2025).
4. Die Zweitbeschwerdegegnerin betreibt die unter http://www.***ausschreibungen.co.at/ abrufbare Plattform, auf der sie Informationen über Ausschreibungen aus den Bereichen Bauwirtschaft, Gebäudeverwaltung und -ausstattung sammelt und unverändert zur Verfügung stellt. Diese Informationen werden von den dazu verpflichteten öffentlichen Auftraggebern und Sektorenauftraggebern auf https://www.data.gv.at/ veröffentlicht (sogenannte „Open Government Data“) und von der Plattform übernommen.
Der verfahrensgegenständliche Datensatz wurde am 14. November 2024 von der Zweitbeschwerdegegnerin auf ihrer Plattform veröffentlicht.
Die Zweitbeschwerdegegnerin hat den Namen des Beschwerdeführers aus allen Übersichtslisten entfernt, indem sie den gesamten Ausschreibungstitel gelöscht hat. Zudem hat die Zweitbeschwerdegegnerin alle sonstigen relevanten Einträge und URLs, die einen Bezug zum Namen des Beschwerdeführers haben, von der Plattform entfernt.
Beweiswürdigung : Die getroffenen Feststellungen ergeben sich aus der Stellungnahme der Zweitbeschwerdegegnerin vom 19. August 2025 sowie aus einer amtswegigen Abfrage der Website https://www.***ausschreibungen.co.at/ durch die Datenschutzbehörde (zuletzt abgerufen am 30. September 2025).
B. Beschwerdegegenstand
Beschwerdegegenstand ist die Frage, ob der Erstbeschwerdegegner und die Zweitbeschwerdegegnerin den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt haben, indem der Erstbeschwerdegegner den Datensatz "Bürobedarf - ergonomischer Arbeitsplatz" sowohl mit Auftraggeber als auch mit dem Vor- und Nachnamen des Beschwerdeführers auf seiner Plattform „vergabe***.at” veröffentlicht hat und die Zweitbeschwerdegegnerin denselben Datensatz auf ihrer Plattform „https://www.***ausschreibungen.co.at/” veröffentlicht hat.
C. In rechtlicher Hinsicht folgt daraus:
Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, sofern daran ein schutzwürdiges Interesse besteht.
Beschränkungen des Recht auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG zur Wahrung lebenswichtiger Interessen des Betroffenen, mit dessen Zustimmung oder zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund einer gesetzlichen Grundlage.
Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. dazu den Bescheid vom 24. Februar 2025, 2025-0.045.624, RIS).
C.1. In der Sache
Das Bundesamt für Ä*** als eine dem Bundesministerium für O*** unmittelbar nachgeordnete Behörde unterliegt dem Bundesvergabegesetz 2018. In der Regel müssen Bund, Länder, Gemeinden oder andere öffentliche Auftraggeber sowie Sektorenauftraggeber ihre Aufträge über ein Vergabeverfahren vergeben. Öffentliche Auftraggeber sind gemäß dem Bundesvergabegesetz 2018 dazu verpflichtet, Aufträge sowohl im Unterschwellen- als auch im Oberschwellenbereich öffentlich bekannt zu machen.
Der Erstbeschwerdegegner und die Zweitbeschwerdegegnerin unterliegen nicht dem Bundesvergabegesetz 2018.
Das Bundesamt für Ä*** hat den verfahrensgegenständlichen Datensatz „Bürobedarf - ergonomischer Arbeitsplatz" mit Vor- und Nachnamen des Beschwerdeführers im Unternehmensserviceportal veröffentlicht.
Auch wenn das Unternehmensserviceportal öffentlich ist, sind die Daten aus diesem grundsätzlich einem Geheimhaltungsanspruch zugänglich. Eine generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten wäre nicht mit den europarechtlichen Vorgaben vereinbar (vgl. das Urteil des EuGH vom 16. Dezember 2008, C-73/07, Satakunnan Markkinapörssi und Satamedia, sowie das Erkenntnis des BVwG vom 29. Juli 2020, GZ W211 2221963-1, und vom 25. Februar 2021, GZ W274 2236016-1, und den Bescheid der Datenschutzbehörde vom 23. April 2019, GZ DSB-D123.626/0006-DSB/2018), weshalb die Zulässigkeit der Verarbeitung nach den Bestimmungen des DSG und der DSGVO zu prüfen ist (vgl. zur Rechtslage nach dem DSG 2000 Kotschy in Jahnel[Hrsg.], Datenschutzrecht und E-Government-Jahrbuch 2012, S. 27 [47], das Erkenntnis des BVwG vom 25. Februar 2021, GZ W274 2238717-1, sowie den Bescheid der Datenschutzbehörde vom 15. Januar 2019, GZ DSB-D123.527/0004-DSB/2018).
Es ist daher festzuhalten, dass ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers an dem verfahrensgegenständlichen Datensatz besteht.
Da im vorliegenden Fall die Offenlegung der personenbezogenen Daten des Beschwerdeführers weder durch eine Zustimmung (Einwilligung) des Beschwerdeführers gedeckt war, noch zur Wahrung seiner lebenswichtigen Interessen erfolgte und auch nicht durch eine gesetzliche Grundlage gedeckt war, bleibt zu prüfen, ob die Offenlegung im überwiegenden berechtigten Interesse eines anderen - hier: des Erstbeschwerdegegners bzw. der Zweitbeschwerdegegnerin - notwendig und erforderlich war.
Nach der gefestigten Rechtsprechung des EuGH zu Art. 6 Abs. 1 lit. f DSGVO, welche zur Auslegung des berechtigten Interesses iSd § 1 Abs. 2 DSG herangezogen werden kann, müssen folgende Kriterien erfüllt sein:
Erstens muss vom Verantwortlichen oder Dritten ein berechtigtes Interesse wahrgenommen werden; zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein; drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen.
Im vorliegenden Fall scheint das im Rahmen der Stellungnahme im Beschwerdeverfahren erstattete Vorbringen des Erstbeschwerdegegners, der sich als "Social Watchdog" für Transparenz in Politik und Verwaltung sowie für ein Grundrecht auf Zugang zu Informationen von staatlichen Stellen engagiert, ein berechtigtes Interesse an der verfahrensgegenständlichen Verarbeitung (die Veröffentlichung des Datensatzes auf dessen Plattform) zu begründen. Die Zweitbeschwerdegegnerin führte zudem aus, dass sie ein Interesse an der Veröffentlichung des verfahrensgegenständlichen Datensatzes im Hinblick auf die Vernetzung von Auftraggebern und Auftragnehmern habe.
Zum Begriff der Erforderlichkeitder Datenverarbeitung hat der VwGH in seiner Entscheidung Ro 2022/04/0031 ausgeführt, dass die Verarbeitung personenbezogener Daten schon aufgrund des Schutzzweckes der DSGVO auf das absolut Notwendige zu beschränken sei. Folglich sei die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist (Rz. 30).
Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann . Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen. Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, -verarbeitung oder -nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt (Rz. 30).
Im vorliegenden Fall gibt es keine Anhaltspunkte dafür, dass die Veröffentlichung des Vor- und Nachnamens im Zusammenhang mit der Bekanntgabe eines vergebenen Auftrags eines öffentlichen Auftraggebers zur Zweckerfüllung notwendig war. Demzufolge ist davon auszugehen, dass die Erforderlichkeit der Datenverarbeitung nicht erfüllt ist.
Die Datenschutzbehörde kommt vor diesem Hintergrund zu dem Ergebnis , dass sich die verfahrensgegenständlich monierte Datenverarbeitung durch die überschießende Verarbeitung des Vor- und Nachnamens des Beschwerdeführers als rechtswidrig erwiesen hat.
Aufgrund der inzwischen erfolgten Entfernung des kompletten Datensatzes von den betreffenden Plattformen kann ein amtswegiger Leistungsauftrag de facto nicht mehr erteilt werden.
Es war daher spruchgemäß zu entscheiden.
Rückverweise
