GZ: 2025-0.758.101 vom 11. November 2025 (Verfahrenszahl: DSB-D124.1461/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Doris A*** (Beschwerdeführerin) vom 7. Juni 2025 gegen die N*** Österreich Gesellschaft m.b.H. (Beschwerdegegnerin), vertreten durch B*** C*** Rechtsanwaltspartnerschaft KG, wegen einer Verletzung im Recht auf Geheimhaltung und Löschung wie folgt:
1. Der Beschwerde wegen behaupteter Verletzung im Recht auf Löschung wird stattgegeben und es wird festgestellt , dass die Beschwerdegegnerin die Beschwerdeführerin dadurch im Recht auf Löschung verletzt hat, indem sie dem Antrag auf Löschung der Beschwerdeführerin vom 5. August 2024 nicht vollständig entsprochen hat.
2. Der Beschwerdegegnerin wird aufgetragen , dem Antrag der Beschwerdeführerin auf Löschung innerhalb einer Frist von 2 Wochen bei sonstiger Exekution zu entsprechen.
3. Die Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung wird abgewiesen .
Rechtsgrundlagen: Art. 6 Abs. 1 lit. f, Art. 10, Art. 17, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f, Art. 58 Abs. 2 lit. c sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, §§ 4 Abs. 3, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.
BEGRÜNDUNG
A. Sachverhaltsfeststellungen
Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
1. Die Beschwerdegegnerin ist eine beim Handelsgericht Wien eingetragene Gesellschaft mit beschränkter Haftung im Bereich Handelsgewerbe.
Beweiswürdigung : Die hierzu getroffene Feststellung beruht auf einem Firmenbuchauszug zur Firmenbuchnummer 6*4*2*r sowie auf einem GISA-Auszug, zur GISA Zahl *3*2*99*4 (beide zuletzt abgerufen am 7. November 2025).
2. Die Beschwerdeführerin befand sich im Juni 2024 im Bewerbungsprozess für die Stelle „Advanced Specialist, Customer Operations Support Specialist“ für das Produkt PP*** bei der Beschwerdegegnerin. Im Zuge dessen übermittelte sie einen Strafregisterauszug sowie ein Schreiben des Bundesministeriums für Justiz (BMJ), da sie selbst darüber informiert hatte, dass ein Eintrag im Strafregisterauszug besteht.
3. Dem Strafregisterauszug ist ein Eintrag aus August 2021 zu entnehmen, wonach die Beschwerdeführerin wegen schweren Betruges als Beitragstäterin unter Bestimmung einer Probezeit von drei Jahren zu einer bedingt nachgesehenen Freiheitsstrafe in der Dauer von 9 Monaten verurteilt wurde.
4. Am 1. August 2024 wurde die folgende E-Mail von einer HR-Spezialistin der Beschwerdegegnerin an vier Personen, die für die Beschwerdegegnerin tätig sind, übermittelt (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Faksimile im grafischen Format PNG dargestellte E-Mail wurde in ein Textdokument umgewandelt und wird hier (unter Weglassung unwesentlicher Elemente wie Grafiken, Unternehmenslogos etc.) pseudonymisiert und leicht gekürzt wiedergegeben.]
„From: D***, Erna
Sent: Donnerstag, 1. August 2024 11:08
To: E***, Oskar; F***, Karl
Cc: G***, John; I***, Luigi
Subject: Eintritt Doris A***
Hallo zusammen,
im Rahmen des Einstellungsverfahrens von Fr. Doris A*** (geplanter Start 01 09.2024 Customer Operations Support Specialist PP***) haben wir den Strafregisterauszug erhalten und festgestellt, dass ein Eintrag (08/2021) vorhanden ist.
Das Urteil lautet „Vergehens des schweren Betruges als Beitragstäterin unter Bestimmung einer Probezeit von drei Jahren zu einer bedingt nachgesehenen Freiheitsstrafe in der Dauer von 9 Monaten"
Frau A*** hat die Löschung des Eintrages beantragt, nachdem die dreijährige Probezeit aktuell noch offen ist, wurde diesem Antrag nicht stattgegeben. Laut Ansuchen wird die endgültige Strafnachsicht im Februar 2025 neu evaluiert.
Ich bitte euch daher um eine Entscheidung, ob wir den Eintritt von Frau A*** wie geplant fortsetzen sollen oder ob weitere Maßnahmen erforderlich sind.
Besten Dank und viele Grüße
Erna
Erna D***
HR Specialist
[Anmerkung Bearbeiter/in: Rest gekürzt]“
5. Am 2. August 2024 erhielt die Beschwerdeführerin von der Beschwerdegegnerin eine Absage hinsichtlich des zum 1. September 2024 anvisierten Anstellungsverhältnisses.
Beweiswürdigung : Die Feststellungen ergeben sich aus den unstrittigen Vorbringen der Verfahrensparteien sowie aus der von der Beschwerdegegnerin vorgelegten Kopie der E-Mail vom 1. August 2024.
6. In ihrer E-Mail vom 5. August 2024 forderte die Beschwerdeführerin die Beschwerdegegnerin auf, sämtliche ihrer personenbezogenen Daten zu löschen.
7. Die Beschwerdegegnerin bestätigte die Löschung der Daten der Beschwerdeführerin am 26. August 2025 per E-Mail wie folgt (Formatierung nicht 1:1 wiedergegeben):
[Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Faksimile im grafischen Format PNG dargestellte E-Mail wurde in ein Textdokument umgewandelt und wird hier (unter Weglassung unwesentlicher Elemente wie Grafiken, Unternehmenslogos etc.) pseudonymisiert und leicht gekürzt wiedergegeben.]
“From: F***, Karl karl.f***@n***.com
Sent: Dienstag, 26. August 2025 16:50
To: Doris A***
Subject: Bestätigung Ausführung Löschungsantrag
Sehr geehrte Frau A***,
Auf Basis Ihres Löschungsersuchens vom 5.8.2024 gem. Datenschutzgrundverordnung kann ich Ihnen gerne bestätigen, dass alle mit Ihrer Bewerbung in Verbindung stehenden, personenbezogenen Daten antragsgemäß gelöscht wurden.
Wir bedauern nicht früher auf Ihr Ersuchen geantwortet zu haben, und wollen uns für allfällig entstandene Unannehmlichkeiten entschuldigen.
Besten Dank und schöne Grüße
Karl F***
Karl F***
Head of HR
Mitglied der Geschäftsführung“
[Anmerkung Bearbeiter/in: Rest gekürzt]“
Beweiswürdigung : Die Feststellungen beruhen auf den übereinstimmenden Eingaben der Verfahrensparteien bezüglich des am 5. August 2024 gestellten Antrags auf Löschung sowie der in Kopie beigefügten E-Mail der Beschwerdegegnerin vom 26. August 2025.
B. Beschwerdegegenstand
Gegenstand der Beschwerde ist die Frage, ob die Beschwerdegegnerin die Beschwerdeführerin in ihrem Recht auf Geheimhaltung und Löschung verletzt hat, indem sie Informationen aus einem Strafregisterauszug an unberechtigte Personen weitergegeben und nach Eingang des Löschungsantrags am 5. August 2024 nicht alle personenbezogenen Daten gelöscht hat.
C. In rechtlicher Hinsicht folgt daraus:
C.1. Zum Recht auf Löschung (Spruchpunkt 1 und 2)
Gemäß Art. 17 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden. Gleichzeitig ist der Verantwortliche unter bestimmten Umständen verpflichtet, personenbezogene Daten unverzüglich und proaktiv zu löschen.
Gemäß § 24 Abs. 6 DSG besteht für Verantwortliche die Möglichkeit, die behauptete Verletzung im Recht auf Löschung bis zum Abschluss des Verfahrens vor der Datenschutzbehörde nachträglich zu beseitigen , indem sie den Anträgen auf Löschung entsprechen.
Nach ständiger Spruchpraxis der Datenschutzbehörde ist aus Art. 77 DSGVO (iVm § 24 DSG) lediglich das Recht ableitbar ist, Beschwerde an eine Aufsichtsbehörde zu erheben. Es besteht zwar ein subjektives Recht auf Löschung (innerhalb des rechtlichen Rahmens), ein subjektives Recht auf Feststellung , dass die Löschung zu spät erfolgt ist , kann dieser Bestimmung jedoch nicht entnommen werden (vgl. etwa Bescheid der DSB vom 21. Oktober 2020, GZ: 2020-0.600.064).
Im vorliegenden Fall ist daher darauf hinzuweisen, dass die verfahrensgegenständlichen Daten die im Zuge des Bewerbungsprozesses verarbeitet wurden (ausgenommen die E-Mail vom 1. August 2024 - siehe Spruchpunkt 1) vor Abschluss des Verfahrens bei der Datenschutzbehörde gelöscht wurden.
C.1.1 Zur nicht gelöschten E-Mail vom 1. August 2024
Das Recht auf Löschung gemäß Art. 17 Abs. 1 und 2 DSGVO kommt dann nicht in Betracht, wenn eine Verarbeitung nach den in Art. 17 Abs. 3 lit. a bis lit. e DSGVO normierten Fällen erforderlich ist. Art. 17 Abs. 3 DSGVO sieht Ausnahmetatbestände von der Pflicht zur Löschung vor. Art. 17 Abs. 3 lit. e DSGVO stellt eine Ausnahmeregelung dar, die die Verfolgung von Rechtsansprüchen in einem Gerichts-, Verwaltungs- oder anderen außergerichtlichen Verfahren sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst (Erwägungsgründe 52 und 111).
Aus einer systematischen Betrachtung der DSGVO ergibt sich ganz grundsätzlich, dass eine Datenverarbeitung zum Zwecke der zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ein berechtigtes Interesse darstellt (vgl. etwa Art 9 Abs. 2 lit. f, Art. 17 Abs. 3. lit. e, Art. 18 Abs. 2 oder Art. 21 Abs. 1 der Verordnung; siehe dazu auch das Urteil des EuGH vom 17. Juni 2021, C-597/19 Rz 108 ff).
Wenn die Beschwerdegegnerin meint, dass die „Verteidigung von Rechtsansprüchen“ den Tatbestand des Art. 17 Abs. 3 lit. e DSGVO erfülle, ist ihr in diesem Fall entgegenzuhalten, dass diese Regelung erst dann in zeitlicher Hinsicht greift, wenn die Geltendmachung, Ausübung oder Verteidigung von (bzw. gegen) Rechtsansprüchen schon stattfindet oder sicher bevorsteht. Die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen reicht nicht aus (vgl. Herbst in Kühling/Buchner , DSGVO-Kommentar [2017], Art. 17, Rz. 83).
Der Verfassungsgerichtshof hat im Zusammenhang mit einem Löschbegehren gegen einen Verantwortlichen des öffentlichen Bereichs bereits ausgesprochen, dass der bloß allgemeine Hinweis , es wären noch „entsprechende Verfahren anhängig“, nicht ausreichend ist. Vielmehr muss im Einzelfall konkret dargelegt werden, weshalb nach Abschluss eines Verfahrens eine „Notwendigkeit zur Aufbewahrung der Unterlagen betreffend das Privatleben“ des Betroffenen besteht. Ferner ist darzulegen, welche konkreten Verfahren noch anhängig sind, die in Verbindung mit den Unterlagen des bereits abgeschlossenen Verfahrens bestehen (vgl. das Erkenntnis des Verfassungsgerichtshofs vom 12. Dezember 2017, E 3249/2016-11; vgl. auch den Bescheid der Datenschutzbehörde vom 25. April 2018, DSB-D122.776/0007-DSB/2018).
Diese Ausführungen bedeuten im Hinblick auf ein Löschbegehren wie in dem vorliegenden Verfahren, dass der allgemeine Hinweis auf potenziell zukünftige, noch nicht anhängige bzw. nicht sicher bevorstehende (Gerichts-)Verfahren nicht ausreicht, um dem Löschbegehren nicht entsprechen zu müssen. Vielmehr muss der Verantwortliche darlegen, welche konkreten zukünftigen Verfahren auf welcher Grundlage anhängig gemacht werden könnten und inwiefern durch derartige Verfahren zum Zeitpunkt der Entscheidung der Datenschutzbehörde eine Notwendigkeit zur weiteren Speicherung der personenbezogenen Daten begründet wird .
Vor diesem Hintergrund liegen die Voraussetzungen von Art. 17 Abs. 3 lit e DSGVO nicht vor, weshalb im Ergebnis der Beschwerde in diesem Punkt gemäß § 24 Abs. 5 DSG stattzugeben und die Rechtsverletzung festzustellen (Spruchpunkt 1) war.
Des Weiteren war der Beschwerdegegnerin gemäß Art. 58 Abs. 2 lit. c DSGVO aufzutragen , dem Antrag der Beschwerdeführerin zu entsprechen (Spruchpunkt 2).
Eine Frist von zwei Wochen erscheint unter den gegebenen Umständen als angemessen.
C.2. Zum Recht auf Geheimhaltung – Spruchpunkt 3
Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, sofern daran ein schutzwürdiges Interesse besteht.
Beschränkungen des Recht auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG zur Wahrung lebenswichtiger Interessen des Betroffenen, mit dessen Zustimmung oder zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund einer gesetzlichen Grundlage.
C.2.1. Zur Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und zum Erlaubnistatbestand gemäß Art. 6 Abs. 1 lit. f DSGVO
Die Zulässigkeit der Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten sowie Sicherungsmaßregeln unterliegt Art. 6 Abs. 1 DSGVO. Grundsätzlich darf die Verarbeitung strafrechtsbezogener Daten gemäß Art. 10 S 1 DSGVO nur unter behördlicher Aufsicht erfolgen („Behördenvorbehalt“). Alternativ dazu ist die Verarbeitung strafrechtsbezogener Daten auch zulässig, wenn dies durch Unionsrecht oder das Recht der Mitgliedstaaten normiert wird und darin geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorgesehen sind (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art 10 DSGVO Rz 2 (Stand 7.5.2020, rdb.at))
Der österreichische Gesetzgeber hat von der Abweichungsbefugnis (Öffnungsklausel) in Art. 10 S 1 DSGVO Gebrauch gemacht und in § 4 Abs. 3 DSG die bisherige Regelung über die Verarbeitung von strafrechtlich relevanten Daten durch Private teilweise und in angepasster Form übernommen. § 4 Abs. 3 Z 2 DSG richtet sich an Verantwortliche des privaten Bereichs und erlaubt die Verarbeitung, wenn dies zur Wahrung der berechtigten Interessen des:der Verantwortlichen oder eines:einer Dritten gemäß Art. 6 Abs. 1 lit. f DSGVO erforderlich ist und die Art und Weise, in der die Datenverarbeitung vorgenommen wird, die Wahrung der Interessen der betroffenen Person nach der DSGVO und dem DSG gewährleistet (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim , DatKomm Art. 10 DSGVO Rz 24, 27 (Stand 7.5.2020, rdb.at)).
Aufgrund des Gebrauchmachens des österreichischen Gesetzgebers von der in Art. 10 DSGVO vorgesehenen Öffnungsklausel für personenbezogene Daten über strafrechtliche Verurteilungen ist verfahrensgegenständlich der Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO zu prüfen.
Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den bzw. die Verantwortliche*n oder den bzw. die Dritte*n ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).
i. Berechtigtes Interesse
Im vorliegenden Fall bestand das berechtigte Interesse der Beschwerdegegnerin gemäß Art. 6 Abs. 1 lit. f DSGVO darin, zu prüfen, ob die Verurteilung der Beschwerdeführerin wegen schweren Betrugs ein Hindernis für eine Einstellung bei der Beschwerdegegnerin darstellt, und die erforderlichen Informationen zu diesem Zweck an die für die Position zuständigen Manager (sowohl auf operativer als auch auf disziplinärer Ebene) weiterzuleiten.
ii. Erforderlichkeit
Laut EuGH ist die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten „Grundsatz der Datenminimierung“ (vgl. nach neuer Rechtslage: Art. 5 Abs. 1 lit. c DSGVO) zu sehen (vgl. Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 48 mwN).
Es ist daher zu prüfen, ob die Übermittlung der Information über die Verurteilung der Beschwerdeführerin wegen schweren Betrugs geeignet ist, das angestrebte Ziel zu erreichen, dem Zweck angemessen und erforderlich ist, sowie, dass der Zweck nicht durch gelindere Mittel erreicht werden kann, die weniger in die Grundrechte und Grundfreiheiten der betroffenen Person eingreifen.
Die verfahrensgegenständliche Datenverarbeitung lässt sich als erforderlich begründen, um zu prüfen, ob die infrage stehende Straftat ein Einstellungshindernis darstellt, und um diese Information mit Entscheidungsträgern zu diskutieren.
Folglich konnte auch das Vorliegen dieser Voraussetzung bejaht werden.
iii. Interessensabwägung
Laut EuGH muss im Zusammenhang mit der dritten Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Interessen anhand der konkreten Umstände des betreffenden Einzelfalls erfolgen.
Im Rahmen der Interessensabwägung ist zu berücksichtigen, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftiger Weise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten (vgl. Kastelitz/Hötzendorfer/Tschohl , aaO Rz 51).
In diesem Zusammenhang führte die Beschwerdeführerin aus, dass sie der Beschwerdegegnerin selbst mitgeteilt hat, dass ein Eintrag im Strafregisterauszug besteht. Daraufhin hat die Beschwerdegegnerin die Übermittlung des Strafregisterauszugs im Rahmen des Bewerbungsprozesses verlangt. Es war für die Beschwerdeführerin somit vorhersehbar, dass eine Verarbeitung zur Prüfung, ob der verfahrensgegenständliche Eintrag ein Einstellungshindernis darstellen würde, erforderlich ist und dies auch innerbetrieblich von verantwortlichen Personen entschieden werden muss.
Nach Ansicht der Datenschutzbehörde muss die finale Interessensabwägung somit zugunsten der Beschwerdegegnerin ausfallen.
Folglich war die Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung gemäß § 24 Abs. 5 DSG abzuweisen (Spruchpunkt 3).
Es war daher spruchgemäß zu entscheiden.
Rückverweise
