2025-0.910.735 – Datenschutzbehörde Entscheidung

GZ: 2025-0.910.735 vom 7. November 2025 (Verfahrenszahl: DSB-D124.1261/22)

[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerden von 1. Jean A*** und 2. Erik A*** (Beschwerdeführer), beide vertreten durch Dr. Ludwig E***, vom 23. September 2022 gegen 1. Mag. Siegmund N*** (Erstbeschwerdegegner) und gegen 2. den Bundesminister für **** (Zweitbeschwerdegegner) [nachfolgend auch: Beschwerdegegner] wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt:

1. Den Beschwerden gegen den Zweitbeschwerdegegner wird stattgegeben und es wird festgestellt , dass der Zweitbeschwerdegegner die Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem der Erstbeschwerdegegner als Dienstnehmer des Zweitbeschwerdegegners die Namen der Beschwerdeführer rechtsgrundlos in den Disziplinaranzeigen vom 13. Dezember 2019 und vom 17. Februar 2020 genannt hat.

2. Die Beschwerde gegen den Erstbeschwerdegegner wird abgewiesen .

Rechtsgrundlagen: Art. 4 Z 1 und Z 7, Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. e, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 93 Abs. 1, 109 Abs. 1 und 280 des Beamten-Dienstrechtsgesetzes 1979 (BDG), BGBl. Nr. 333/1979 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Die Beschwerdeführer führten zusammengefasst aus, dass ihr Vater und Vertreter im vorliegenden Verfahren im November 2019 gegen den Erstbeschwerdegegner eine Disziplinaranzeige beim Zweitbeschwerdegegner eingebracht habe. Zu dieser Zeit sei der Vater beim Zweitbeschwerdegegner beschäftigt gewesen, wobei der Erstbeschwerdegegner sein Vorgesetzter gewesen sei. Ganz offensichtlich als „Retourkutsche“ habe der Erstbeschwerdegegner daraufhin im Dezember 2019 eine Disziplinaranzeige gegen den Vater der Beschwerdeführer eingebracht und darin die Namen samt Alter der Beschwerdeführer ohne jeglichen Zusammenhang angeführt, womit der Eindruck einer „Sippenhaftung“ entstehe. In einer weiteren Disziplinaranzeige im Februar 2020 seien die Daten neuerlich angeführt worden.

2. Die Beschwerdegegner replizierten im Wesentlichen, dass §§ 93, 109 und 280 BDG eine Rechtsgrundlage im Sinne von Art. 6 Abs. 1 lit. c DSGVO für die monierte Datenverarbeitung darstellen würden.

3. Mit Bescheid vom 11. Jänner 2024, GZ: 2023-0.050.271 wies die Datenschutzbehörde die Beschwerden der Beschwerdeführer gemäß § 24 Abs. 4 DSG zurück.

4. Der oben genannte Bescheid wurde vom Bundesverwaltungsgericht mit Erkenntnis vom 2. Juni 2025, W176 2286423-1/7E, aufgehoben.

B. Beschwerdegegenstand

Beschwerdegegenstand ist die Frage, ob die Beschwerdegegner die Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt haben, indem sie deren Vor- und Nachname sowie deren Alter im Rahmen von zwei Disziplinaranzeigen gegen deren Vater angeführt haben.

C. Sachverhaltsfeststellungen

1. Die Datenschutzbehörde legt das Vorbringen sowie den Verfahrensgang unter Punkt A ihren Sachverhaltsfeststellungen zugrunde.

2. Der Vater der Beschwerdeführer, Dr. Ludwig E***, ist Bundesbediensteter und war vom 15. März 2019 bis zum 30. Juni 2020 beim Zweitbeschwerdegegner als Abteilungsleiter der Abteilung *** in der Sektion V tätig. Der Erstbeschwerdegegner ist bzw. war in diesem Zeitraum als Sektionschef der Sektion ** tätig und der Vorgesetzte von Dr. Ludwig E***. Er war auch zur Dienstaufsicht über ihn berufen.

Dr. Ludwig E*** brachte gegen den Erstbeschwerdegegner am 25. November 2019 eine Disziplinaranzeige wegen des Verdachts von Mobbing und weiteren Dienstpflichtverletzungen beim Zweitbeschwerdegegner ein.

Der Erstbeschwerdegegner brachte anschließend gegen Dr. Ludwig E*** zwei Disziplinaranzeigen am 13. Dezember 2019 und am 17. Februar 2020 wegen des Verdachts des Mobbings gegenüber seinen Mitarbeiter*innen ein.

In beiden Disziplinaranzeigen gegen Dr. Ludwig E*** wurden unter Punkt I. („Personaldaten“) lit. a („allgemeinbezogene Daten“) Vor- und Nachname sowie Alter der Beschwerdeführer genannt. Weder unter Punkt II. („Darstellung der schuldhaften Dienstpflichtverletzung“) noch an sonstiger Stelle wurde ein inhaltlicher Bezug zu den Beschwerdeführern hergestellt.

Die Beschwerdeführer erlangten von den Disziplinaranzeigen durch Mitteilung von Dr. Ludwig E*** am 1. September 2022 Kenntnis.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf übereinstimmendem Parteienvorbringen sowie auf dem Erkenntnis des BVwG vom 2. Juni 2025, W176 2286423-1/7E.

D. In rechtlicher Hinsicht folgt daraus:

D1. Anwendungsbereich des § 1 Abs. 1 DSG und Verantwortlichkeit

Gemäß § 1 Abs. 1 hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Bei Namen und Alter handelt es sich unbestrittenermaßen um personenbezogene Daten iSv. Art. 4 Z 1 DSGVO, weshalb der Anwendungsbereich des § 1 Abs. 1 DSG eröffnet ist.

In einem nächsten Schritt ist die datenschutzrechtliche Verantwortlichkeit der Beschwerdegegner näher zu beleuchten.

Verantwortlicher iSd. Art. 4 Z 7 DSGVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Nach herrschender Literatur (vgl. etwa Kühling/Buchnerin Datenschutz-Grundverordnung (2017), Art. 4 Rz. 9-10) und Rechtsprechung (vgl. etwa das Erkenntnis des BVwG vom 27. April 2022, GZ W214 2237072-1) sind Handlungen einer einzelnen natürlichen Person - sofern sie für eine Organisation oder andere Stelle tätig wird - dieser Organisation regelmäßig als verantwortliche Stelle (aus datenschutzrechtlicher Sicht) zuzurechnen.

Grundsätzlich kann davon ausgegangen werden, dass jede Verarbeitung personenbezogener Daten durch Mitarbeiter*innen im Tätigkeitsbereich einer Organisation unter der Kontrolle dieser Organisation erfolgt. Unter außergewöhnlichen Umständen kann es jedoch vorkommen, dass ein Beschäftigter beschließt, personenbezogene Daten für seine eigenen Zwecke zu verwenden, wodurch die ihm erteilte Befugnis unrechtmäßig überschritten wird (vgl. EDPB Guidelines 07/2020 on the concepts of controller and processor in the GDPR, angenommen am 7. Juli 2021, Rz. 19).

Da der Erstbeschwerdegegner in seiner Funktion als dienstlich Vorgesetzter zur Erstattung einer Disziplinaranzeige berechtigt war (vgl. § 109 Abs. 1 BDG) und da er die verfahrensgegenständliche Datenverarbeitung für den Zweitbeschwerdegegner – und nicht für eigene Zwecke – durchführte, war der Zweitbeschwerdegegner als (einziger) datenschutzrechtlich Verantwortlicher iSv. Art. 4 Z 7 DSGVO zu qualifizieren.

Folglich war die Beschwerde gegen den Erstbeschwerdegegner mangels Verantwortlichkeit abzuweisen (Spruchpunkt 2).

D2. Rechtmäßigkeit der Datenverarbeitung

In weiterer Folge war zu prüfen, ob die Verarbeitung der personenbezogenen Daten der Beschwerdeführer durch den Zweitbeschwerdegegner rechtmäßig erfolgt ist.

Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Nach Art. 6 Abs. 1 lit. e DSGVO kann eine Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erfolgen, wenn sie sich als erforderlich erweist.

Nach der Rechtsprechung des VwGH ist der Rechtfertigungstatbestand nach Art. 6 Abs. 1 lit. e DSGVO erfüllt, wenn die wahrzunehmende Aufgabe in der Rechtsgrundlage ausreichend beschrieben wird und die betreffende Datenverarbeitung dem Zweck der Erfüllung dieser Aufgabe dient. Das setzt allerdings voraus, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird. Die betreffende Rechtsgrundlage könne zwar spezifischere Regelungen enthalten, zwingend vorgesehen sei dies jedoch nicht (arg.: „kann“ in Art. 6 Abs. 3 dritter Satz DSGVO). Letztlich sieht Art. 6 Abs. 3 vierter Satz DSGVO auch für die Verarbeitung nach Art. 6 Abs. 1 lit. e leg. cit. vor, dass die Rechtsvorschriften ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen müssen (vgl. Erk. des VwGH vom 3.9.2024, Ro 2022/04/0031).

Im vorliegenden Fall berief sich der Zweitbeschwerdegegner auf §§ 109 und 280 BDG.

Gemäß § 109 Abs. 1 BDG 1975 hat der unmittelbar oder mittelbar zur Führung der Dienstaufsicht berufene Vorgesetzte (Dienstvorgesetzte) bei jedem begründeten Verdacht einer Dienstpflichtverletzung die zur vorläufigen Klarstellung des Sachverhaltes erforderlichen Erhebungen zu pflegen und sodann unverzüglich im Dienstwege der Dienstbehörde Disziplinaranzeige zu erstatten.

Laut der „Datenverarbeitungsbestimmung“ des § 280 Abs. 1 Z 1 BDG 1975 sind die Leiter*innen der Zentralstellen als jeweils Verantwortlicher gemäß Art. 4 Z 7 DSGVO für den Wirkungsbereich des jeweiligen Ressorts ermächtigt, die dienstrechtlichen, arbeits- und sozialrechtlichen, haushaltsrechtlichen, besoldungsrechtlichen, pensionsrechtlichen, organisationsbezogenen, ausbildungsbezogenen und sonstigen mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehenden personenbezogenen Daten von Personen, die in einem Dienstverhältnis zum Bund stehen, gestanden sind oder die Aufnahme in ein solches Rechtsverhältnis anstreben, im Sinne des Art. 4 Z 2 DSGVO zu verarbeiten, einander zu übermitteln (Übermittlung) und zu einem anderen in Abs. 2 genannten Zweck, als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, zu verarbeiten (Weiterverarbeitung).

Gemäß § 280 Abs. 2 muss eine Verarbeitung, Übermittlung oder Weiterverarbeitung gemäß Abs. 1 zum Zwecke der Aufrechterhaltung oder des Funktionierens der Administration des öffentlichen Dienstes, zum Zwecke der Erfüllung der rechtlichen Verpflichtungen oder der Geltendmachung der Rechte, die sich aus den dienstrechtlichen, arbeits- und sozialrechtlichen, haushaltsrechtlichen, besoldungsrechtlichen, pensionsrechtlichen, organisationsbezogenen, ausbildungsbezogenen oder sonstigen mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehenden Vorschriften ergeben, oder zum Zwecke der Ausübung der in den Vorschriften gemäß Z 2 übertragenen öffentlichen Gewalt erforderlich sein.

Den soeben genannten Bestimmungen ist unzweifelhaft zu entnehmen, dass Vorgesetzte im Bundesdienst bei begründetem Verdacht zu Erstattung von Disziplinaranzeigen und damit verbundenen Datenverarbeitungen befugt sind.

Zum Begriff der Erforderlichkeit der Datenverarbeitung hat der VwGH in seiner Entscheidung Ro 2022/04/0031 ausgeführt, dass die Verarbeitung personenbezogener Daten schon aufgrund des Schutzzweckes der DSGVO auf das absolut Notwendige zu beschränken sei. Auch sei die Rechtsprechung des EuGH zu Art. 6 Abs. 1 lit. f (EuGH 7.12.2023, C-26/22 und C-64/22, Rz. 78) auf Art. 6 Abs. 1 lit. e DSGVO sinngemäß anwendbar. Folglich sei die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist (Rz. 30).

Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann . Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen. Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, -verarbeitung oder -nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt (Rz. 30).

Der Zweitbeschwerdegegnerin berief sich in diesem Zusammenhang darauf, dass bei der Strafbemessung gemäß § 93 Abs. 1 BDG auf die persönlichen Verhältnisse und die wirtschaftliche Leistungsfähigkeit des Beamten Bedacht zu nehmen sei und dass hierzu auch allfällige Unterhaltspflichten für Kinder zu berücksichtigten seien. Dementsprechend sei die namentliche Nennung samt Angabe des Alters der Kinder zulässig gewesen.

Dieser Argumentation kann aus nachfolgenden Gründen nicht gefolgt werden :

Einerseits ist die zur Strafbemessung berufene Stellen einzig die jeweilige Dienstbehörde (Disziplinarkommission) bzw. die Bundesdisziplinarbehörden (§ 96 BDG). Demgegenüber ist der jeweilige Vorgesetzte ausschließlich dazu angehalten, Erhebungen, welche die Ermittlung des vorläufigen Sachverhalts ermöglichen, durchzuführen. Eine vorläufige „Ermittlungspflicht“ des Vorgesetzten in Bezug auf die persönlichen Verhältnisse und die wirtschaftliche Leistungsfähigkeit kann den Bestimmungen des BDG nicht entnommen werden.

Aber selbst unter der Annahme, der Vorgesetzte wäre im Zusammenhang mit den persönlichen Verhältnissen zur (vorläufigen) Sachverhaltsermittlung angehalten, erweist es sich für die Datenschutzbehörde als nicht nachvollziehbar, aus welchen Gründen hierfür die namentliche Nennung der Kinder tatsächlich erforderlich gewesen ist.

Als gelinderes Mittel wäre etwa die (nicht namentliche) Angabe der Anzahl der Kinder samt deren Alter in Frage gekommen, womit die verfahrensgegenständliche Datenverarbeitung entgegen Art. 5 Abs. 1 lit. c DSGVO und somit überschießend erfolgt ist.

Vor diesem Hintergrund ergibt sich im Ergebnis , dass der Zweitbeschwerdegegner die Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie vom Erstbeschwerdegegner rechtsgrundlos im Rahmen von zwei Disziplinaranzeigen namentlich genannt worden sind.

Der Beschwerde war daher gemäß § 24 Abs. 5 DSG stattzugeben.

Es war daher spruchgemäß zu entscheiden.