Der Verwaltungsgerichtshof hat durch die Vorsitzende Senatspräsidentin Dr. Pollak, den Hofrat Dr. Mayr, die Hofrätin Mag. Hainz Sator sowie die Hofräte Dr. Pürgy und Mag. Brandl als Richter, unter Mitwirkung des Schriftführers Mag. Vonier, über die Revision des F W, vertreten durch die Stögerer Preisinger Rechtsanwälte OG in 1070 Wien, Mariahilfer Straße 76/2/23, gegen das Erkenntnis des Bundesverwaltungsgerichtes vom 22. Juli 2022, Zl. W258 2239561 1/10E, betreffend eine datenschutzrechtliche Angelegenheit (belangte Behörde vor dem Verwaltungsgericht: Datenschutzbehörde; weitere Partei: Bundesministerin für Justiz; mitbeteiligte Partei: R B, vertreten durch Dr. Heinrich Oppitz, Rechtsanwalt in 4600 Wels, Karl Loy Straße 17), zu Recht erkannt:
Die Revision wird als unbegründet abgewiesen.
Der Revisionswerber hat dem Bund Aufwendungen in der Höhe von € 553,20 und der mitbeteiligten Partei Aufwendungen in der Höhe von € 1.106, jeweils binnen zwei Wochen bei sonstiger Exekution zu ersetzen.
I.
1 1. Mit Bescheid vom 4. Jänner 2021 wies die Datenschutzbehörde (belangte Behörde) die gegen den Mitbeteiligten gerichtete Datenschutzbeschwerde des Revisionswerbers vom 22. Oktober 2020, in der eine Verletzung im Recht auf Geheimhaltung sowie ein Verstoß gegen Art. 5 und Art. 6 Datenschutz Grundverordnung (DSGVO) geltend gemacht wurde, als unbegründet ab, weil die Veröffentlichung der personenbezogenen Daten des Revisionswerbers auf Art. 6 Abs. 1 lit. e DSGVO gestützt werden könne.
2 2. Mit dem angefochtenen Erkenntnis vom 22. Juli 2022 wies das Bundesverwaltungsgericht (BVwG) die dagegen erhobene Beschwerde des Revisionswerbers ab. Die Revision wurde gemäß Art. 133 Abs. 4 B VG für zulässig erklärt.
3 Das BVwG stellte fest, der Revisionswerber sei Lehrer an der Berufsschule A, der Mitbeteiligte sei Direktor dieser Schule. Die Berufsschule A betreibe mit Wissen und Willen des Mitbeteiligten eine öffentlich abrufbare Website, auf der die Schule präsentiert werde und allgemeine sowie aktuelle Informationen bereitgestellt würden. Unter anderem seien die Lehrkräfte der Schule (und somit auch der Revisionswerber) mit Vor und Nachnamen, akademischem Grad und dienstlicher E Mail Adresse aufgelistet. Die Auflistung des Lehrkörpers habe den Zweck, es Schülern und Erziehungsberechtigten zu ermöglichen, einzelne Lehrpersonen zu dienstlichen Zwecken einfach und direkt zu kontaktieren. Potentiellen Schülern (und ihren Erziehungsberechtigten) werde es dadurch zudem ermöglicht, sich einen Überblick über den Lehrkörper der Schule zu verschaffen.
4 In seiner rechtlichen Beurteilung legte das BVwG zunächst mit näherer Begründung dar, der Mitbeteiligte sei als Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO zu qualifizieren. Anschließend hielt es fest, die Verarbeitung der personenbezogenen Daten sei gemäß Art. 6 Abs. 1 lit. e DSGVO zulässig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich sei, die im öffentlichen Interesse liege. Die Anwendung dieses Erlaubnistatbestandes setze voraus, dass dem Verantwortlichen im nationalen Recht (oder im Unionsrecht) eine Aufgabe zugewiesen werde, die im öffentlichen Interesse liege, und dass der Zweck der Datenverarbeitung zur Erfüllung der gesetzlich übertragenen Aufgabe erforderlich sei. Die Rechtsgrundlage müsse nach Art. 6 Abs. 3 DSGVO ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zum verfolgten legitimen Zweck stehen.
5 Im vorliegenden Fall stelle § 56 Schulunterrichtsgesetz (SchUG) eine solche Rechtsgrundlage dar. Die Bestimmung diene einem öffentlichen Interesse, nämlich der Sicherstellung eines geordneten Schulwesens, um die Jugend mit dem für das Leben und den künftigen Beruf erforderlichen Wissen und Können auszustatten und zum selbsttätigen Bildungserwerb zu erziehen. Es sei angemessen, zur Erreichung dieses öffentlichen Interesses, dem Schulleiter die Kompetenzen einzuräumen, die Verbindung zwischen der Schule, den Schülern, den Erziehungsberechtigten und den Lehrberechtigten zu pflegen sowie die Außenbeziehungen und Öffnung der Schule zu gestalten. Die Veröffentlichung der Namen und der dienstlichen E Mail Adressen des Lehrkörpers auf der Website der Schule ermögliche es Schülern und ihren Erziehungsberechtigten, im Anlassfall rasch und unkompliziert mit dem Lehrer zu kommunizieren. Sie sei damit geeignet, dem Schulleiter die Erfüllung seiner Aufgaben gemäß § 56 SchUG zu ermöglichen. Zudem werde damit auch der Verwaltungsaufwand der Schule verringert, weil das Schulsekretariat mit weniger Kontaktanfragen konfrontiert sei. Die Datenverarbeitung sei somit auch erforderlich. Abschließend hielt das BVwG mit näherer Begründung fest, dass an dieser Beurteilung auch der Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO nichts zu ändern vermöge, weil keine dem Mitbeteiligten zumutbare Möglichkeit erkennbar sei, den Eingriff in das Recht auf Geheimhaltung der personenbezogenen Daten des Revisionswerbers zu reduzieren.
6 Hinsichtlich der Zulassung der Revision führte das BVwG aus, die Frage, ob bestimmte Maßnahmen zur Datenminimierung zumutbar seien, sei zwar als einzelfallbezogene Entscheidung nicht revisibel. Jedoch fehle es an Rechtsprechung des Verwaltungsgerichtshofes dazu, ob bei der Prüfung des Grundsatzes der Datenminimierung zu prüfen sei, ob eine mögliche Datenminimierung für den Verantwortlichen zumutbar sei, und welchen Anforderungen eine solche Zumutbarkeitsprüfung genügen müsse. Zudem gebe es keine Rechtsprechung des Verwaltungsgerichtshofes zur Frage, ob § 56 SchUG eine Rechtsgrundlage im Sinn des Art. 6 Abs. 1 lit. e bzw. Abs. 3 lit. b DSGVO darstelle.
7 3. Gegen dieses Erkenntnis richtet sich die vorliegende ordentliche Revision.
8 Die belangte Behörde und der Mitbeteiligte erstatteten jeweils eine Revisionsbeantwortung, in der sie die kostenpflichtige Abweisung (der Mitbeteiligte auch die Zurückweisung) der Revision beantragen.
II.
Der Verwaltungsgerichtshof hat erwogen:
9 1. Die Revision erweist sich im Hinblick auf die vom BVwG aufgeworfenen Rechtsfragen, die auch vom Revisionswerber als grundsätzlich erachtet werden, als zulässig, aus nachstehenden Erwägungen aber nicht als berechtigt.
10 2.1. Die maßgeblichen Erwägungsgründe und Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung [DSGVO]) lauten auszugsweise:
„[Erwägungsgründe]
(39) [...] Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. [...] Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. [...]
[...]
(41) [...] Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden ‚Gerichtshof‘) und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein.
[...]
(45) Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbeitung rechtmäßig und nach Treu und Glauben erfolgt. [...]
[...]
Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
[...]
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (,Datenminimierung‘);
[...]
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (,Rechenschaftspflicht‘).
Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
[...]
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
[...]
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
[...]“
11 2.2. Die maßgeblichen Bestimmungen des Bundesgesetzes über die Ordnung von Unterricht und Erziehung in den im Schulorganisationsgesetz geregelten Schulen (Schulunterrichtsgesetz SchUG), BGBl. Nr. 472/1986 in der Fassung BGBl. I Nr. 73/2011 (§ 62) bzw. BGBl. I Nr. 101/2018 (§ 56), lauten auszugsweise:
„ Schulleitung, Schulcluster Leitung
§ 56. (1) Der Schulleiter ist zur Besorgung aller Angelegenheiten nach diesem Bundesgesetz zuständig, sofern dieses nicht die Zuständigkeit anderer schulischer Organe oder der Schulbehörden festlegt.
(2) Der Schulleiter ist der unmittelbare Vorgesetzte aller an der Schule tätigen Lehrer und sonstigen Bediensteten. Ihm obliegt die Leitung der Schule und die Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten, bei Berufsschulen auch den Lehrberechtigten. Seine Aufgaben umfassen insbesondere Schulleitung und management, Qualitätsmanagement, Schul und Unterrichtsentwicklung, Führung und Personalentwicklung sowie Außenbeziehungen und Öffnung der Schule. [...]
[...]
Beratung zwischen Lehrern und Erziehungsberechtigten
§ 62. (1) Lehrer und Erziehungsberechtigte haben eine möglichst enge Zusammenarbeit in allen Fragen der Erziehung und des Unterrichtes der Schüler zu pflegen. [...]
[...]“
12 3. Vorauszuschicken ist Folgendes: Unstrittig ist im vorliegenden Fall, dass es sich bei den verfahrensgegenständlichen Daten (Name mit akademischem Grad, dienstliche E Mail Adresse) um personenbezogene Daten des Revisionswerbers im Sinn des Art. 4 Z 1 DSGVO handelt (zum Begriff der personenbezogenen Daten vgl. etwa VwGH 14.12.2021, Ro 2021/04/0007, Rn. 26 f) und die Veröffentlichung dieser Daten auf der Website der Berufsschule A eine Verarbeitung im Sinn des Art. 4 Z 2 DSGVO darstellt (vgl. auch VwGH 14.12.2021, EU 2021/0009, Rn. 19; sowie zur „Offenlegung“ durch Veröffentlichung auf einer Website auch Jahnel , Kommentar zur DSGVO [2021] Art. 4 Z 2 Rz. 14). In der Revision werden auch nicht die Ausführungen des BVwG bestritten, dass der Mitbeteiligte als Leiter der Berufsschule über den Zweck und die Mittel der Datenverarbeitung bestimmt habe und damit als Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO anzusehen sei.
13 Es ist daher im Revisionsfall (einzig) zu prüfen, ob das BVwG zutreffend davon ausgegangen ist, dass sich die verfahrensgegenständliche Verarbeitung der personenbezogenen Daten des Revisionswerbers aufgrund des vorliegend herangezogenen Rechtfertigungsgrundes des Art. 6 Abs. 1 lit. e DSGVO unter Bedachtnahme auf den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO als rechtmäßig erweist.
4. Aufgabe im öffentlichen Interesse und Vorliegen einer Rechtsgrundlage
14 4.1. Nach Art. 6 Abs. 1 lit. e DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Die Rechtsgrundlage für eine solche Verarbeitung wird gemäß Abs. 3 des Art. 6 DSGVO entweder durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt.
15 4.2. Nach Ansicht des BVwG stellt § 56 SchUG eine Rechtsgrundlage im Sinn des Art. 6 Abs. 1 lit. e DSGVO dar, weil diese Bestimmung einem öffentlichen Interesse, nämlich der Sicherstellung eines geordneten Schulwesens dient. Diesbezüglich verweist das BVwG auch unter Bezugnahme ua. auf die §§ 61 f SchUG auf den „Grundsatz einer Lehr und Erziehungsgemeinschaft zwischen Lehrern, Schülern und Erziehungsberechtigten“.
16 Der Revisionswerber wendet dagegen im Wesentlichen ein, die allgemeine und weltweite Veröffentlichung von Namen und E Mail Adressen der an der Berufsschule A tätigen Lehrer lasse sich nicht unter die in § 56 SchUG normierten Aufgaben subsumieren. Das BVwG hätte aussprechen müssen, dass § 56 SchUG keine Rechtsgrundlage im Sinn des Art. 6 Abs. 1 lit. e DSGVO darstelle.
17 Die belangte Behörde und der Mitbeteiligte schließen sich demgegenüber der Auffassung des BVwG an.
18 4.3. Der Verwaltungsgerichtshof hat bereits ausgesprochen, dass Art. 6 Abs. 1 lit. e DSGVO in einem engen Zusammenhang mit den Abs. 2 und 3 des Art. 6 DSGVO steht, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Die Rechtsgrundlage für die Verarbeitungen gemäß Art. 6 Abs. 1 lit. e DSGVO darf gemäß Art. 6 Abs. 3 DSGVO durch Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden. Der Zweck der Verarbeitung muss dabei anders als bei der Verarbeitung gemäß Art. 6 Abs. 1 lit. c DSGVO nicht zwingend in einer Rechtsgrundlage ausdrücklich vorgesehen sein. Nach Art. 6 Abs. 3 zweiter Satz DSGVO genügt es, wenn der Zweck der Verarbeitung erforderlich ist, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in Ausübung einer öffentlichen Gewalt erfolgt (vgl. VwGH 21.12.2023, Ro 2021/04/0010, Rn. 56).
19 Vor dem Hintergrund des Wortlauts dieser maßgeblichen Bestimmungen ist nicht davon auszugehen, dass der nationale Gesetzgeber zur Erfüllung des Rechtfertigungstatbestandes des Art. 6 Abs. 1 lit. e DSGVO hinsichtlich einer bestimmten Datenverarbeitung jedenfalls gehalten ist, die Datenverarbeitung selbst im Gesetz zu determinieren. Vielmehr ist der Rechtfertigungstatbestand erfüllt, wenn die wahrzunehmende Aufgabe in der Rechtsgrundlage ausreichend beschrieben wird und die betreffende Datenverarbeitung dem Zweck der Erfüllung dieser Aufgabe dient. Das setzt allerdings voraus, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird. Die betreffende Rechtsgrundlage kann zwar spezifischere Regelungen enthalten, zwingend vorgesehen ist dies jedoch nicht (arg.: „ kann “ in Art. 6 Abs. 3 dritter Satz DSGVO). Letztlich sieht Art. 6 Abs. 3 vierter Satz DSGVO auch für die Verarbeitung nach Art. 6 Abs. 1 lit. e DSGVO vor, dass die Rechtsvorschriften ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen müssen (vgl. erneut VwGH 21.12.2023, Ro 2021/04/0010, Rn. 58, mwN).
20 4.4. Ausgehend davon ist es für den vorliegenden Fall unerheblich, dass in § 56 SchUG keine konkrete Datenverarbeitung normiert ist (vgl. in diesem Sinn auch Schörghofer/Warter , Die gesetzliche Grundlage einer Datenverarbeitung, in FS Pfeil [2022] 721 [732], denen zufolge weder die Datenverarbeitungsschritte und zwecke, noch Speicherdauern oder Datenkategorien ausdrücklich in der Rechtsgrundlage normiert sein müssen). Vielmehr kommt es nach dem Gesagten (in einem ersten Schritt) darauf an, ob in der vom BVwG herangezogenen Bestimmung des § 56 SchUG im öffentlichen Interesse liegende Aufgaben (im Sinn des Art. 6 Abs. 1 lit. e DSGVO) ausreichend beschrieben werden und ob die gegenständliche Datenverarbeitung (dem Grunde nach) einer dieser Aufgaben dient.
21 Nach § 56 Abs. 2 SchUG obliegt dem Schulleiter die Leitung der Schule und die Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten, bei Berufsschulen auch den Lehrberechtigten. Seine Aufgaben umfassen insbesondere Schulleitung und management, Qualitätsmanagement, Schul und Unterrichtsentwicklung, Führung und Personalentwicklung sowie Außenbeziehungen und Öffnung der Schule.
22 Die in dieser Bestimmung vorgesehenen Aufgaben des Schulleiters wurden mit dem Bundesgesetz BGBl. I Nr. 29/2011 eingeführt. In den Erläuterungen (RV 1112 BlgNR 24. GP 2 f) wird zunächst darauf verwiesen, dass oberstes Ziel einer schulischen Qualitätsentwicklung der Nutzen für die österreichischen Schülerinnen und Schüler im Sinne ihres größtmöglichen Kompetenzerwerbs sei. Dafür seien die bestmöglichen Voraussetzungen zu schaffen, die durch ein koordiniertes und gut gesteuertes Zusammenwirken der Akteurinnen und Akteure an der Schule entstünden. Des Weiteren heißt es auszugsweise, die Neufassung des § 56 SchUG sei das Kernstück der gegenständlichen Änderung und solle (auf nicht abschließende Art und Weise) verdeutlichen, welche Aufgaben die Schulleitung in Hinblick auf eine schulische Qualitätsentwicklung systematisch wahrzunehmen habe. „Leitung und Schulmanagement“ umfasse (ua.) die Verantwortung für die Wahrnehmung schul und unterrichtsorganisatorischer sowie administrativer und verwaltungstechnischer Aufgaben; „Außenbeziehung und Öffnung von Schule“ umfasse insbesondere die aktive Pflege der Kontakte zu den Erziehungsberechtigten.
23 Mit der Festlegung der Aufgaben der Schulleitung in § 56 Abs. 2 SchUG wird daher auf die schulische Qualitätsentwicklung abgezielt, deren oberstes Ziel der Nutzen für die österreichischen Schülerinnen und Schüler im Sinn ihres größtmöglichen Kompetenzerwerbs ist. Ausgehend davon ist es für den Verwaltungsgerichtshof nicht zweifelhaft, dass die in dieser Bestimmung beschriebenen Aufgaben, die letztlich (auch) auf den einwandfreien Betrieb einer Schule abzielen, im öffentlichen Interesse liegen (vgl. dazu auch Heberlein in Ehmann/Selmayr [Hrsg.], DS GVO3 [2024] Art. 6 Rz. 35, der mit Verweis auf die Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG als Beispiele für die Wahrnehmung einer Aufgabe im öffentlichen Interesse [ua.] den Betrieb einer Schule anführt; ebenso Kastelitz/Hötzendorfer/Tschohl in Knyrim [Hrsg.], DatKomm [2020] Art. 6 Rz. 46). Im Hinblick auf den Verweis auf die „Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten“ sowie auf die „Außenbeziehungen und Öffnung der Schule“ ist die Aufgabe bezogen auf die hier gegenständliche Datenverarbeitung auch als ausreichend bestimmt anzusehen. Schließlich ist es nach Ansicht des Verwaltungsgerichtshofes nicht als zweifelhaft anzusehen, dass die Verarbeitung von Daten zum Zweck der Ermöglichung einer direkten Kommunikation zwischen Schülern, Erziehungsberechtigten und Lehrkräften der Erfüllung dieser im öffentlichen Interesse liegenden Aufgabe dient.
5. Bedingung der Erforderlichkeit und Grundsatz der Datenminimierung
24 5.1. Nach Art. 6 Abs. 1 lit. e DSGVO ist eine Datenverarbeitung nur dann rechtmäßig, wenn sie zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe auch erforderlich ist. Zudem müssen personenbezogene Daten gemäß Art. 5 Abs. 1 lit. c DSGVO dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).
25 5.2. Das BVwG erachtete die Datenverarbeitung als erforderlich, um dem Schulleiter die Erfüllung seiner Aufgaben, nämlich die Herstellung einer Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigen, zu ermöglichen. Der Vorschlag des Revisionswerbers, Nachrichten an die Schule zu senden, würde keine einfache und unmittelbare Kommunikation ermöglichen. Eine dem Verantwortlichen zumutbare Möglichkeit zur Reduzierung des Eingriffs in das Recht auf Geheimhaltung sei nicht erkennbar.
26 Der Revisionswerber bringt dazu vor, die zum Schulbetrieb notwendige Kommunikation zwischen dem Lehrpersonal und den Schülern bzw. ihren Erziehungsberechtigten könne auch durch andere nicht mit mehr Verwaltungsaufwand verbundene Maßnahmen (zB über „Microsoft Teams“, in einem passwortgeschützten Bereich oder anhand einer „analogen“ Liste mit Kontaktdaten des Lehrers, die zu Schulbeginn an die Schüler ausgeteilt werde) sichergestellt werden. Darüber hinaus habe das BVwG den Grundsatz der Datenminimierung verkannt. Es sei zwar richtig, dass die Veröffentlichung der verfahrensgegenständlichen Daten lediglich die berufliche Sphäre des Revisionswerbers betreffe, jedoch rechtfertige dies keine „weltweite und allgemeine Veröffentlichung“. Es sei dem Mitbeteiligten auch zumutbar, die Kommunikation zwischen Lehrpersonal und den Schülern bzw. ihren Erziehungsberechtigten auf andere Weise sicherzustellen.
27 Die belangte Behörde hält dem entgegen, mit der Veröffentlichung einer schulischen E Mail Adresse würde nicht derselbe Zweck verfolgt werden wie mit der (eine unmittelbare Kontaktaufnahme ermöglichenden) Veröffentlichung der dienstlichen E Mail Adressen der Lehrkräfte. Auch der Mitbeteiligte sieht die Veröffentlichung der dienstlichen E Mail Adresse als am besten geeignet an, den dienstlichen Interessen nachzukommen.
28 5.3. Die Bedingung der Erforderlichkeit im Sinn des Art. 6 Abs. 1 lit. e DSGVO verlangt entsprechend dem Schutzzweck des Art. 1 Abs. 2 DSGVO, die Verarbeitung personenbezogener Daten auf das absolut Notwendige zu beschränken. Der Gerichtshof der Europäischen Union hat in seinem (noch zur „Vorgängerregelung“ des Art. 7 lit. e der RL 95/46/EG ergangenen) Urteil EuGH 16.12.2008, C 524/06, Huber , Rn. 62, zum Ausdruck gebracht, dass eine Datenverarbeitung erforderlich (im Sinn dieser Bestimmung) sein kann, wenn sie zu einer effizienteren Anwendung von (dort aufenthaltsrechtlichen) Vorschriften führt (vgl. in diesem Sinn auch Buchner/Petri in Kühling/Buchner [Hrsg.], DS GVO3 [2020] Art. 6 Rz. 119). Dies lässt sich angesichts der Vergleichbarkeit der Regelungen auf die aktuelle (und hier maßgebliche) Bestimmung des Art. 6 Abs. 1 lit. e DSGVO übertragen. Die Verarbeitung muss erforderlich sein, damit der Verantwortliche die ihm übertragene Aufgabe effizient erfüllen kann (vgl. dazu Heberlein in Ehmann/Selmayr [Hrsg.], DS GVO3 [2024] Art. 6 Rz. 37).
29 Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann (vgl. Jahnel , Kommentar zur DSGVO [2021] Art. 5 Rz. 32, 34). Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen (vgl. Heberlein in Ehmann/Selmayr [Hrsg.], DS GVO3 [2024] Art. 5, Rz. 30). Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, verarbeitung oder nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt (vgl. Roßnagel in Simitis/Hornung/Spiecker gen. Döhmann [Hrsg.], Datenschutzrecht [2019] Art. 5 Rz. 121).
30 Der EuGH hat (wenn auch im Zusammenhang mit Art. 6 Abs. 1 lit. f DSGVO) festgehalten, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (vgl. EuGH 7.12.2023, C 26/22 und C 64/22, SCHUFA Holding [Restschuldbefreiung] , Rn. 78; EuGH 4.7.2023, C 252/21, Meta Platforms ua., Rn. 109). Diese Rechtsprechung kann nach Auffassung des Verwaltungsgerichtshofes auch auf das in Art. 6 Abs. 1 lit. e DSGVO zu prüfende Kriterium der Erforderlichkeit der Datenverarbeitung übertragen werden (vgl. dazu auch die Ausführungen im Urteil EuGH 22.6.2021, C 439/19, Latvijas Republikas Saeima [Strafpunkte] , Rn. 104; darin hält der EuGH im Zusammenhang mit der Einhaltung des Grundsatzes der Datenminimierung fest, dass damit kein allgemeines und absolutes Verbot eingeführt werden soll und dass diese Bestimmung insbesondere der Übermittlung personenbezogener Daten an die Öffentlichkeit nicht entgegensteht, wenn diese Übermittlung im Sinn von Art. 6 Abs. 1 lit. e DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt). Die Bedingung der Erforderlichkeit in Art. 6 Abs. 1 lit. b bis f DSGVO (und somit auch nach der hier einschlägigen lit. e leg. cit.) ist daher gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen (vgl. abermals Heberlein in Ehmann/Selmayr [Hrsg.], DS GVO3 [2024] Art. 5 Rz. 30; siehe dazu auch Jahnel , Kommentar zur DSGVO [2021] Art. 6 Rz. 14, der davon ausgeht, dass das Kriterium der Erforderlichkeit in den Art. 6 Abs. 1 lit. b bis f DSGVO mit dem Grundsatz der Datenminimierung „eng verbunden“ ist).
31 Schließlich ist noch auf die Rechtsprechung des EuGH zu verweisen, der zufolge die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden müssen. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 GRC gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Um festzustellen, ob eine Verarbeitung personenbezogener Daten im Sinn von Art. 6 Abs. 1 lit. e DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichem Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, ist somit insbesondere zu prüfen, ob sie angesichts der Schwere des durch sie bewirkten Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten im Hinblick auf die Verwirklichung der verfolgten Ziele gerechtfertigt und insbesondere verhältnismäßig ist (vgl. zu all dem dort im Zusammenhang mit der Frage der Zulässigkeit einer nationalen Regelung, die den Zugang der Öffentlichkeit zu personenbezogenen Daten über Strafpunkte für Verkehrsverstöße vorsieht EuGH 22.6.2021, C 439/19, Latvijas Republikas Saeima [Strafpunkte] , Rn. 105 f).
32 5.4. Ausgehend davon ist für den vorliegenden Fall zunächst Folgendes vorauszuschicken: Ob eine Verarbeitung personenbezogener Daten nach dem Gesagten erforderlich ist oder der verfolgte Zweck auch mit einem geringeren Maß an Datenerhebung, Datenverarbeitung oder Datennutzung genauso gut verwirklicht werden kann bzw. ob sich der dadurch bewirkte Eingriff als gerechtfertigt und verhältnismäßig erweist, stellt grundsätzlich eine einzelfallbezogene Beurteilung des Verwaltungsgerichts dar.
33 Das BVwG hat seinem Erkenntnis (zusammengefasst) zugrunde gelegt, dass durch die Bereitstellung der Namen und dienstlichen E Mail Adressen der Lehrer auf der Website der Berufsschule der Verwaltungsaufwand der Schule verringert und den Schülern bzw. Erziehungsberechtigten die Möglichkeit eingeräumt werde, unkompliziert, rasch und unmittelbar mit dem jeweiligen Lehrer zu kommunizieren.
34 Soweit der Revisionswerber geltend macht, für die Kontaktaufnahme mit dem Lehrpersonal sei es möglich, sich an das Schulsekretariat zu wenden, welches das jeweilige Anliegen an den betroffenen Lehrer weiterleiten könne, ist dem entgegenzuhalten, dass damit keine unmittelbare Kommunikationsmöglichkeit zwischen Erziehungsberechtigten und Schülern einerseits und Lehrern andererseits gewährleistet wäre und damit der mit der Verwendung der E Mail Adressen im vorliegenden Fall verfolgte Zweck gerade nicht in gleicher Weise erreicht würde.
35 In der Revision wird weiters vorgebracht, eine Kommunikation zwischen Lehrern und Erziehungsberechtigten könne auch durch andere zumutbare Maßnahmen (zB über „Microsoft Teams“, in einem passwortgeschützten Bereich oder anhand einer „analogen“ Liste mit Kontaktdaten des Lehrers, die zu Schulbeginn an die Schüler ausgeteilt werde) sichergestellt werden. Dem Revisionswerber ist zuzugestehen, dass nach der Rechtsprechung des EuGH hinsichtlich der Erforderlichkeit der Verarbeitung personenbezogener Daten zu prüfen ist, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann (vgl. EuGH 7.12.2023, C 26/22 und C 64/22, SCHUFA Holding [Restschuldbefreiung] , Rn. 77; vgl. zum Grundsatz der Datenminimierung auch erneut Roßnagel in Simitis/Hornung/Spiecker gen. Döhmann [Hrsg.], Datenschutzrecht [2019] Art. 5 Rz. 121, dem zufolge eine Verarbeitung personenbezogener Daten nicht auf das notwendige Maß beschränkt ist, wenn der verfolgte legitime Zweck mit einem geringeren Maß an Datenverarbeitung genauso gut verwirklicht werden kann).
36 Dazu ist zunächst allerdings festzuhalten, dass die Frage der Zumutbarkeit voraussetzt, dass derselbe legitime Zweck „genauso gut“ mit einem geringeren Maß an Datenverarbeitung oder in den Worten des EuGH zu Art. 6 Abs. 1 lit. f DSGVO „ebenso wirksam mit anderen Mitteln“ verwirklicht werden kann. Dies hat das BVwG im Ergebnis jedoch schon deshalb verneint, weil nach dem Gesagten der mit den vom Revisionswerber angeführten Alternativen verbundene zusätzliche Aufwand der Zielsetzung einer raschen und unkomplizierten Kommunikation zwischen Lehrern und Erziehungsberechtigten widerspreche. Diese Auffassung ist nicht zu beanstanden, zumal sich eine Datenverarbeitung unter Berücksichtigung der Umstände des Einzelfalls auch dann als erforderlich erweisen kann, wenn damit die im öffentlichen Interesse stehenden Aufgaben des Verantwortlichen effizient(er) erfüllt werden können (vgl. dazu oben die Ausführungen in Rn. 28).
37 Soweit sich der Revisionswerber mit seinem Vorbringen schließlich auch gegen die „weltweite Veröffentlichung“ seiner dienstlichen E Mail Adresse wendet, ist auf die an die Rechtsprechung des Obersten Gerichtshofes anknüpfenden Ausführungen des Verwaltungsgerichtshofes zu verweisen, dass im Zuge der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO danach zu differenzieren ist, ob die verarbeiteten Daten den (so genannten) Kernbereich der geschützten Privatsphäre betreffen oder die (so genannte) Sozialsphäre, zu der auch die berufliche Sphäre zu zählen ist (vgl. VwGH 17.5.2024, Ro 2022/04/0026, 0027, Rn. 32 f, mit Verweis auf OGH 2.2.2022, 6 Ob 129/21w).
38 Zwar ist im vorliegenden Fall anders als im eben genannten Erkenntnis Ro 2022/04/0026, 0027 nicht eine Datenverarbeitung nach lit. f des Art. 6 Abs. 1 DSGVO, sondern eine solche nach lit. e leg. cit. zu beurteilen. Vor dem Hintergrund der oben zitierten (zu Art. 6 Abs. 1 lit. e DSGVO ergangenen) Rechtsprechung des EuGH in der Rs C 439/19, der zufolge die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern auch im Hinblick auf ihre gesellschaftliche Funktion gesehen werden müssen, ist für den Verwaltungsgerichtshof jedoch nicht zweifelhaft, dass auch bei der Beurteilung der Rechtmäßigkeit der verfahrensgegenständlichen Datenverarbeitung darauf Bedacht genommen werden kann, dass die dienstliche E Mail Adresse des Revisionswerbers nicht den Kernbereich der geschützten Privatsphäre, sondern die (so genannte) Sozialsphäre betrifft, die sich etwa durch die Interaktion mit Außenstehenden (vorliegend zwischen den Lehrkräften und den Schülern bzw. Erziehungsberechtigten) auszeichnet. Der EuGH hat in dem soeben zitierten Urteil C 439/19 (Rn. 113) auch zum Ausdruck gebracht, dass bei einer Beurteilung der Erforderlichkeit einer Datenverarbeitung (wie hier) nach Art. 6 Abs. 1 lit. e DSGVO auch die Sensibilität der fraglichen Daten und die Schwere des Eingriffs zu berücksichtigen ist. Ausgehend davon ist es nicht zu beanstanden, dass das BVwG die verfahrensgegenständliche Datenverarbeitung vor diesem Hintergrund als einen geringeren Eingriff in den Schutz der personenbezogenen Daten angesehen hat.
6. Ergebnis
39 Da die Revision aus den dargestellten Erwägungen somit keine Rechtswidrigkeit des angefochtenen Erkenntnisses aufzeigt, war sie gemäß § 42 Abs. 1 VwGG als unbegründet abzuweisen.
40 Der Ausspruch über den Aufwandersatz stützt sich im Umfang des zahlenmäßig bestimmten Begehrens auf die §§ 47 ff VwGG in Verbindung mit der VwGH Aufwandersatzverordnung 2014.
Wien, am 3. September 2024
Rückverweise
RIS