← Österreich

{'item': 'W211 2263717-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum22.01.2024 GeschäftszahlW211 2263717-1 Spruch, W211 2263717-1/7E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch die Ri

Art. 133Abs.

4 B-VG nicht zulässig.

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

  1. Am XXXX .2021 richtete der anwaltlich vertretene Beschwerdeführer (idF BF) eine Beschwerde an die Datenschutzbehörde (idF DSB) und brachte eine Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG sowie wegen Verletzung der Art. 32 und 34 DSGVO vor. Der BF habe mit seiner Frau die nunmehr mitbeteiligte Partei (idF mP), eine Web Agentur, mit der Erstellung eines Internetauftritts ihres Hotels beauftragt. Dabei habe der BF feststellen müssen, dass personenbezogene Daten des BF und seiner Frau auf einem FTP-Server der mP auch für andere Kund:innen der mP zugänglich gemacht worden seien. Es sei daher zu Verstößen gegen Datensicherungsmaßnahmen, im Recht auf Benachrichtigung bei Datenschutzverletzungen und im Recht auf Geheimhaltung gekommen.
  2. Am römisch 40 .2021 richtete der anwaltlich vertretene Beschwerdeführer in der Fassung BF) eine Beschwerde an die Datenschutzbehörde in der Fassung DSB) und brachte eine Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, DSG sowie wegen Verletzung der Artikel 32 und 34 DSGVO vor. Der BF habe mit seiner Frau die nunmehr mitbeteiligte Partei in der Fassung mP), eine Web Agentur, mit der Erstellung eines Internetauftritts ihres Hotels beauftragt. Dabei habe der BF feststellen müssen, dass personenbezogene Daten des BF und seiner Frau auf einem FTP-Server der mP auch für andere Kund:innen der mP zugänglich gemacht worden seien. Es sei daher zu Verstößen gegen Datensicherungsmaßnahmen, im Recht auf Benachrichtigung bei Datenschutzverletzungen und im Recht auf Geheimhaltung gekommen.
  3. In ihrer Stellungnahme zur Beschwerde des BF führte die mP zusammengefasst und soweit wesentlich aus, dass es sich bei den Ordnern und Daten auf dem Server um keine personenbezogenen Daten handeln würde. Es seien dort technische Daten zu finden, die ua das Layout, Schriftarten, das Aussehen und teilweise die Funktionalität der Website steuern würden. Der BF könne auch selbst nicht angeben, welche personenbezogenen Daten die mP auf den FTP-Server gestellt haben soll. Sämtliche in den Ordnern befindliche Daten seien der mP lediglich für den Zweck übermittelt worden, damit sie wissentlich und willentlich auf der Website der jeweiligen Kund:innen veröffentlicht werden könnten.
  4. In seiner Replik vom XXXX .2022 führte der BF zusammengefasst und soweit wesentlich aus, dass die Ehefrau des BF bereits eine Beschwerde anhängig gemacht habe, über die die DSB entschieden habe und zu der eine Beschwerde beim BVwG anhängig sei; aus Gründen der Verfahrensökonomie solle daher das gegenständliche Verfahren bis zur rechtskräftigen Entscheidung über das Beschwerdeverfahren in Bezug auf die Ehefrau des BF ausgesetzt werden.
  5. In seiner Replik vom römisch 40 .2022 führte der BF zusammengefasst und soweit wesentlich aus, dass die Ehefrau des BF bereits eine Beschwerde anhängig gemacht habe, über die die DSB entschieden habe und zu der eine Beschwerde beim BVwG anhängig sei; aus Gründen der Verfahrensökonomie solle daher das gegenständliche Verfahren bis zur rechtskräftigen Entscheidung über das Beschwerdeverfahren in Bezug auf die Ehefrau des BF ausgesetzt werden. In der Sache werde darauf hingewiesen, dass es auf dem Server der mP alphabetisch organisierte Kund:innenordner gebe. Im Ordner „ XXXX “ würden eine Vielzahl von Informationen zur Websiteerstellung verarbeitet werden. Dort würden sich (technische) Daten des BF befinden, die ua das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website steuern würden. Diese Daten seien jedenfalls als personenbezogene Daten gemäß Art. 4 Z 1 DSGVO zu qualifizieren. Diese Daten würden zwar nicht konkret den Namen der juristischen Person „ XXXX “, also nicht den Nachnamen des BF enthalten, es handle sich aber dabei um Informationen, die sich zweifellos indirekt auf den BF beziehen würden und auf das gemeinsam mit seiner Ehefrau geführte Hotel. Im Ordner „ XXXX “ befänden sich technische Daten, die ua das Layout, die Schriftarten, das Aussehen und teilweise die Funktionalität der Website des BF steuern würden, sodass ein Personenbezug zum BF durch Verknüpfung mit dem Ordner „ XXXX “ hergestellt sei. Es bestünde eine mittelbare Beziehung zwischen den technischen Informationen und dem BF. In der Sache werde darauf hingewiesen, dass es auf dem Server der mP alphabetisch organisierte Kund:innenordner gebe. Im Ordner „ römisch 40 “ würden eine Vielzahl von Informationen zur Websiteerstellung verarbeitet werden. Dort würden sich (technische) Daten des BF befinden, die ua das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website steuern würden. Diese Daten seien jedenfalls als personenbezogene Daten gemäß Artikel 4, Ziffer eins, DSGVO zu qualifizieren. Diese Daten würden zwar nicht konkret den Namen der juristischen Person „ römisch 40 “, also nicht den Nachnamen des BF enthalten, es handle sich aber dabei um Informationen, die sich zweifellos indirekt auf den BF beziehen würden und auf das gemeinsam mit seiner Ehefrau geführte Hotel. Im Ordner „ römisch 40 “ befänden sich technische Daten, die ua das Layout, die Schriftarten, das Aussehen und teilweise die Funktionalität der Website des BF steuern würden, sodass ein Personenbezug zum BF durch Verknüpfung mit dem Ordner „ römisch 40 “ hergestellt sei. Es bestünde eine mittelbare Beziehung zwischen den technischen Informationen und dem BF.
  6. Mit dem angefochtenen Bescheid wies die DSB den Antrag des BF, das Verfahren bis zum Vorliegen einer rechtskräftigen Entscheidung des BVwG im Verfahren in Bezug auf die Beschwerde der Ehefrau des BF auszusetzen, zurück (Spruchpunkt 1) und die Beschwerde des BF als unbegründet ab (Spruchpunkt 2). Dabei stellte sie soweit wesentlich fest, dass die mP Datensätze zur Website des Hotels des BF auf einem CSS-Server, auf den auch andere Geschäftskund:innen Zugriff hätten, verarbeitet habe. Gegenständlich seien technische Daten zur Websitegestaltung verarbeitet worden. In Hinblick auf das Datum „ XXXX “ läge grundsätzlich ein Personenbezug vor, auch wenn nur der Nachname des BF darin enthalten sei. Gegenständlich würden aber nicht konkret der Name der juristischen Person „ XXXX “, sondern technische Daten in Bezug auf die Website XXXX („www XXXX “) verarbeitet werden. Der Begriff der personenbezogenen Daten könne nicht derart weit interpretiert werden, dass jede technische Datei einer juristischen Person den verfügungsbefugten natürlichen Personen zuzurechnen sei. Die verarbeiteten und offengelegten Daten bezögen sich ausschließlich auf die Website des Hotels des BF. Eine Zuordnung der technischen Daten zum BF als natürliche Person durch die mP sei dem Vorbringen nicht zu entnehmen gewesen. Daher sei durch die gegenständlich verarbeiteten Daten kein Personenbezug gegeben und damit auch kein Anwendungsbereich des DSG oder der DSGVO eröffnet. Dabei stellte sie soweit wesentlich fest, dass die mP Datensätze zur Website des Hotels des BF auf einem CSS-Server, auf den auch andere Geschäftskund:innen Zugriff hätten, verarbeitet habe. Gegenständlich seien technische Daten zur Websitegestaltung verarbeitet worden. In Hinblick auf das Datum „ römisch 40 “ läge grundsätzlich ein Personenbezug vor, auch wenn nur der Nachname des BF darin enthalten sei. Gegenständlich würden aber nicht konkret der Name der juristischen Person „ römisch 40 “, sondern technische Daten in Bezug auf die Website römisch 40 („www römisch 40 “) verarbeitet werden. Der Begriff der personenbezogenen Daten könne nicht derart weit interpretiert werden, dass jede technische Datei einer juristischen Person den verfügungsbefugten natürlichen Personen zuzurechnen sei. Die verarbeiteten und offengelegten Daten bezögen sich ausschließlich auf die Website des Hotels des BF. Eine Zuordnung der technischen Daten zum BF als natürliche Person durch die mP sei dem Vorbringen nicht zu entnehmen gewesen. Daher sei durch die gegenständlich verarbeiteten Daten kein Personenbezug gegeben und damit auch kein Anwendungsbereich des DSG oder der DSGVO eröffnet.
  7. In seiner Beschwerde gegen den Bescheid führt der BF zusammengefasst und soweit nicht bereits vorgebracht aus, dass im gegenständlichen Fall auch einer juristischen Person der volle Schutzumfang von § 1 DSG zustehe. Der Begriff „personenbezogene Daten“ sei im Sinne der Rechtsprechung des EuGH weit auszulegen und der Zweck der DSGVO darin miteinzubeziehen. Gegenständlich sei eine Identifizierbarkeit bzw. Bestimmbarkeit gegeben.
  8. In seiner Beschwerde gegen den Bescheid führt der BF zusammengefasst und soweit nicht bereits vorgebracht aus, dass im gegenständlichen Fall auch einer juristischen Person der volle Schutzumfang von Paragraph eins, DSG zustehe. Der Begriff „personenbezogene Daten“ sei im Sinne der Rechtsprechung des EuGH weit auszulegen und der Zweck der DSGVO darin miteinzubeziehen. Gegenständlich sei eine Identifizierbarkeit bzw. Bestimmbarkeit gegeben. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
  9. Feststellungen: Das XXXX wird von der XXXX betrieben. Gesellschafterin und Geschäftsführerin der XXXX ist die Ehefrau des BF. Das römisch 40 wird von der römisch 40 betrieben. Gesellschafterin und Geschäftsführerin der römisch 40 ist die Ehefrau des BF. Die mP wurde mit der Erstellung des Internetauftritts des Hotelbetriebs XXXX unter der Site XXXX beauftragt. Im Rahmen dieses Auftrags legte die mP auf einem CSS Server mit FTP Zugang einen Ordner mit dem Namen „ XXXX “ an. In diesem Ordner finden sich eine Vielzahl an Informationen, die zur Websiteerstellung verarbeitet werden, nämlich technische Daten, die ua das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website steuern. Der Ordner „ XXXX “ enthielt die folgenden Dateien: Die mP wurde mit der Erstellung des Internetauftritts des Hotelbetriebs römisch 40 unter der Site römisch 40 beauftragt. Im Rahmen dieses Auftrags legte die mP auf einem CSS Server mit FTP Zugang einen Ordner mit dem Namen „ römisch 40 “ an. In diesem Ordner finden sich eine Vielzahl an Informationen, die zur Websiteerstellung verarbeitet werden, nämlich technische Daten, die ua das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website steuern. Der Ordner „ römisch 40 “ enthielt die folgenden Dateien: Der BF fertigte eine Kopie des Ordners und der Datensätze auf dem FTP-Server als Beweis auf einem USB Stick an.
  10. Beweiswürdigung: Die Feststellungen ergeben sich unzweifelhaft aus dem Verwaltungs- und dem Gerichtsakt. Wenn der BF in seiner Beschwerde an das BVwG rügt, dass die DSB nicht weiter ermittelt habe, dass die mP auf ihrem Server veröffentlichte Dateien, Website Folder, Personenfotos, Firmendaten und Betriebsdaten verarbeite, durch die der BF (und seine hier nicht gegenständlichen Familienmitglieder, sowie die XXXX ) identifiziert oder identifizierbar gewesen sei, ist er daran zu erinnern, dass er nach seinen eigenen Angaben Zugang zu den Daten auf dem CSS Server hatte und dazu auch eine Speicherung auf einem USB Stick („zur Beweissicherung“) vorgenommen hat (vgl. Beschwerdeerhebung vom XXXX .2021). Es war dem BF daher möglich, im Beschwerdeverfahren auf alle relevanten personenbezogenen Daten, die von der Offenlegung betroffen waren, konkret hinzuweisen. Das wurde aber nicht weiter getan, sondern der BF führte in seiner Stellungnahme vom XXXX .2022 vielmehr in Reaktion auf das diesbezügliche Vorbringen der mP aus, dass sich im „Ordner „ XXXX “ technische Daten (befinden), die ua das Layout, die Schriftarten, das Aussehen sowie teilweise die Funktionalität der Website (…) steuern, sodass der Personenbezug zum Beschwerdeführer durch Verknüpfung mit dem Ordner „ XXXX “ hergestellt ist“. Weiter heißt es, dass „die im Ordner „ XXXX “ befindlichen technischen Daten Informationen (sind), ua auch Programmiercodes, die zur Websiteerstellung des vom Beschwerdeführer (gemeinsam mit seiner Ehegattin) geführten Familienbetriebs herangezogen werden. Durch die Verknüpfung mit der Bezeichnung des familiengeführten Familienbetriebs „ XXXX “ oder auch nur bekannt unter „ XXXX “ mit der Domain „ XXXX “ wird eine mittelbare Beziehung zwischen den technischen Informationen und dem Beschwerdeführer hergestellt. Die von der Beschwerdegegnerin gespeicherten Informationen in den alphabetisch angeordneten Firmenkundenordnern unter Angabe einer Firmen– bzw im gegenständlichen Fall Hotelbezeichnung beziehen sich, wenn zwar nicht unmittelbar (direkt), jedoch mittelbar (indirekt) auf den BF.“ Damit führt aber der BF selbst, der Kenntnis und Zugriff auf die monierten Daten hatte, aus, dass es sich bei den relevanten Daten auf dem FTP-Server der mP – nur - um technische Daten mit einem allenfalls mittelbaren Bezug zum BF handeln würde. Da aber damit der BF selbst die Art und den Umfang der Daten auf dem Server und die Art der Beziehung dieser Daten zu seiner Person klargestellt hat, kann der DSB kein Vorwurf gemacht werden, dass sie auf weitere Ermittlungen dazu verzichtete. Wenn der BF in seiner Beschwerde an das BVwG rügt, dass die DSB nicht weiter ermittelt habe, dass die mP auf ihrem Server veröffentlichte Dateien, Website Folder, Personenfotos, Firmendaten und Betriebsdaten verarbeite, durch die der BF (und seine hier nicht gegenständlichen Familienmitglieder, sowie die römisch 40 ) identifiziert oder identifizierbar gewesen sei, ist er daran zu erinnern, dass er nach seinen eigenen Angaben Zugang zu den Daten auf dem CSS Server hatte und dazu auch eine Speicherung auf einem USB Stick („zur Beweissicherung“) vorgenommen hat vergleiche Beschwerdeerhebung vom römisch 40 .2021). Es war dem BF daher möglich, im Beschwerdeverfahren auf alle relevanten personenbezogenen Daten, die von der Offenlegung betroffen waren, konkret hinzuweisen. Das wurde aber nicht weiter getan, sondern der BF führte in seiner Stellungnahme vom römisch 40 .2022 vielmehr in Reaktion auf das diesbezügliche Vorbringen der mP aus, dass sich im „Ordner „ römisch 40 “ technische Daten (befinden), die ua das Layout, die Schriftarten, das Aussehen sowie teilweise die Funktionalität der Website (…) steuern, sodass der Personenbezug zum Beschwerdeführer durch Verknüpfung mit dem Ordner „ römisch 40 “ hergestellt ist“. Weiter heißt es, dass „die im Ordner „ römisch 40 “ befindlichen technischen Daten Informationen (sind), ua auch Programmiercodes, die zur Websiteerstellung des vom Beschwerdeführer (gemeinsam mit seiner Ehegattin) geführten Familienbetriebs herangezogen werden. Durch die Verknüpfung mit der Bezeichnung des familiengeführten Familienbetriebs „ römisch 40 “ oder auch nur bekannt unter „ römisch 40 “ mit der Domain „ römisch 40 “ wird eine mittelbare Beziehung zwischen den technischen Informationen und dem Beschwerdeführer hergestellt. Die von der Beschwerdegegnerin gespeicherten Informationen in den alphabetisch angeordneten Firmenkundenordnern unter Angabe einer Firmen– bzw im gegenständlichen Fall Hotelbezeichnung beziehen sich, wenn zwar nicht unmittelbar (direkt), jedoch mittelbar (indirekt) auf den BF.“ Damit führt aber der BF selbst, der Kenntnis und Zugriff auf die monierten Daten hatte, aus, dass es sich bei den relevanten Daten auf dem FTP-Server der mP – nur - um technische Daten mit einem allenfalls mittelbaren Bezug zum BF handeln würde. Da aber damit der BF selbst die Art und den Umfang der Daten auf dem Server und die Art der Beziehung dieser Daten zu seiner Person klargestellt hat, kann der DSB kein Vorwurf gemacht werden, dass sie auf weitere Ermittlungen dazu verzichtete. Wenn nun der BF im verwaltungsgerichtlichen Beschwerdeverfahren weitere Ermittlungen dazu einfordert und mögliche Beweismittel dazu anbietet, muss er erneut darauf hingewiesen werden, dass er bisher und auch in der Beschwerde an das BVwG eine konkrete Information zu über die festgestellten offengelegten Daten hinausgehende angeblich von der mP derart verarbeitete Daten schuldig geblieben ist: unter Punkt 8 in der Beschwerde führt der BF dazu aus: „
  11. Der von der mitbeteiligten Partei offengelegte Ordner „ XXXX “ des Be-schwerdeführers beinhaltet(e), wie die mitbeteiligte Partei bereits in ihrer Stellungnahme vom XXXX 2021 festgehalten und durch Zeugen- und Parteienbeweis untermauert hat, eine Vielzahl von Daten. [Auf] diesem (vom Beschwerdeführer beweisgesicherten) FTP-Server befindet sich der Ordner „ XXXX “, der zwar technische Daten und Metainformationen, die unter anderem das Layout, die Schriftarten, das Aussehen sowie die Funktionalität der Website vom Beschwerdeführer steuern, beinhaltet, sodass der Personenbezug zum von dem Beschwerdeführer und seiner Familie geführten Hotel und damit zur ihm bereits durch Verknüpfung mit dem Ordner „ XXXX “ hergestellt ist. Eine automatisierte Verarbeitung personenbezogener Daten liegt demnach zweifelsfrei vor, da die Dateien von der mitbeteiligten Partei in strukturierter Weise abgespeichert wurden.“„
  12. Der von der mitbeteiligten Partei offengelegte Ordner „ römisch 40 “ des Be-schwerdeführers beinhaltet(e), wie die mitbeteiligte Partei bereits in ihrer Stellungnahme vom römisch 40 2021 festgehalten und durch Zeugen- und Parteienbeweis untermauert hat, eine Vielzahl von Daten. [Auf] diesem (vom Beschwerdeführer beweisgesicherten) FTP-Server befindet sich der Ordner „ römisch 40 “, der zwar technische Daten und Metainformationen, die unter anderem das Layout, die Schriftarten, das Aussehen sowie die Funktionalität der Website vom Beschwerdeführer steuern, beinhaltet, sodass der Personenbezug zum von dem Beschwerdeführer und seiner Familie geführten Hotel und damit zur ihm bereits durch Verknüpfung mit dem Ordner „ römisch 40 “ hergestellt ist. Eine automatisierte Verarbeitung personenbezogener Daten liegt demnach zweifelsfrei vor, da die Dateien von der mitbeteiligten Partei in strukturierter Weise abgespeichert wurden.“ Da es sich auch hierbei um Angaben des BF selbst handelt, der, wie er ausführt, über eine Kopie der Daten verfügt und daher jede Gelegenheit dazu hatte, allfällige weitere derart verarbeitete Daten durch eine konkrete Eingabe ins Verfahren einzuführen, sieht der erkennende Senat keinen Grund für weitere Ermittlungsschritte. Dem diesbezüglichen Antrag des BF in der Bescheidbeschwerde wird demnach nicht näher getreten.
  13. Rechtliche Beurteilung: Zu A) 3.
  14. Rechtsgrundlagen in Auszügen: § 1 DSG lautet soweit wesentlich:Paragraph eins, DSG lautet soweit wesentlich: § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,
(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Art. 4 Z 1 DSGVO lautet:Artikel 4, Ziffer eins, DSGVO lautet: Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
  1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; 3.
  2. In der Sache: 3.2.
  3. In Bezug auf das Beschwerdevorbringen, dass § 1 DSG im nationalen Kontext auch auf juristische Personen anzuwenden sei, übersieht der BF, dass er die gegenständliche Beschwerde in seinem Namen und nicht für die „ XXXX “, deren Geschäftsführerin im Übrigen (nur) die Ehefrau des BF ist, eingebracht hat: allfällige datenschutzrechtliche Rügen kann der BF daher für die „ XXXX “ im hier zu prüfenden Verfahren weder einbringen noch vertreten. 3.2.
  4. In Bezug auf das Beschwerdevorbringen, dass Paragraph eins, DSG im nationalen Kontext auch auf juristische Personen anzuwenden sei, übersieht der BF, dass er die gegenständliche Beschwerde in seinem Namen und nicht für die „ römisch 40 “, deren Geschäftsführerin im Übrigen (nur) die Ehefrau des BF ist, eingebracht hat: allfällige datenschutzrechtliche Rügen kann der BF daher für die „ römisch 40 “ im hier zu prüfenden Verfahren weder einbringen noch vertreten. 3.2.
  5. Es ist unstrittig, dass die mP auf dem FTP-Server Daten im Zusammenhang mit der Websiteerstellung für das Hotel verarbeitete, indem sie dort offengelegt wurden. Zum Begriff „personenbezogene Daten“ führt Hödl in Knyrim auszugsweise aus: Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Person wird in Art. 4 Z 1 als betroffene Person bezeichnet.Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Person wird in Artikel 4, Ziffer eins, als betroffene Person bezeichnet. Nach Art. 4 Z 1 schützt die DSGVO nur natürliche Personen gegen die unerlaubte Verarbeitung ihrer personenbezogenen Daten. Das DSG sieht in § 1 weiterhin ein Grundrecht auf Datenschutz für „jedermann“ vor. Nach Artikel 4, Ziffer eins, schützt die DSGVO nur natürliche Personen gegen die unerlaubte Verarbeitung ihrer personenbezogenen Daten. Das DSG sieht in Paragraph eins, weiterhin ein Grundrecht auf Datenschutz für „jedermann“ vor. Der in der Definition enthaltene Begriff der Informationen umfasst ohne Einschränkung „alle Informationen“, die sich auf eine Person beziehen, womit sich zeigt, dass der Begriff weit zu verstehen ist. Sohin sind persönliche Informationen wie Identifikationsmerkmale (Name, Anschrift und Geburtsdatum), äußere Merkmale (Geschlecht, Augenfarbe, Größe, Gewicht) oder innere Zustände (Meinungen, Motive, Wünsche, Überzeugungen, Werturteile) genauso gemeint wie sachliche Informationen, also Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen sowie sonstige Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt. Auch statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, weisen einen Personenbezug auf, etwa eine Bonitätsbewertung oder Scoring-Prozesse. Eine umfassende Beschreibung personenbezogener Daten ist nicht möglich, aber folgende Beispiele bieten einen Überblick: Angaben zur Identifizierung von betroffenen Personen sind zB Name, Geburtsdatum, Adresse, Sozialversicherungsnummer, KFZ-Kennzeichen, körperliche Merkmale der betroffenen Person, Verhaltensweisen, Freizeitverhalten, Werturteile, Charaktereigenschaften, medizinische Diagnosen, personenbezogene Planungen, Cookies, Gaszählerdaten. Eindeutig identifiziert ist eine Person idR dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht. Wenn also eine Person direkt namentlich bekannt ist, bzw jene Fälle, in denen weitere Merkmale vorliegen, wie das Geburtsdatum, die eindeutig auf eine bestimmte Person hinweisen. Es handelt sich um sogenannte primäre Identifikationsmerkmale. Identifizierbar ist eine Person dann, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Wenn es möglich ist, mit Hilfe der vorhandenen Angaben und anderen Mitteln, etwa öffentlich zugänglichen Quellen (wie Telefonbücher, öffentliche Register udgl) die Person zu identifizieren. So sollen alle objektiven Faktoren, wie die Kosten der Identifizierung und der erforderliche Zeitaufwand berücksichtigt werden. Insbesondere sind die zum Zeitpunkt der Verarbeitung verfügbaren Technologien als auch die technologischen Entwicklungen zu berücksichtigen. In der Begriffsdefinition des Art. 4 Z 1 wird ausdrücklich darauf hingewiesen, dass eine Person insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität identifizierbar wird (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.at)). Identifizierbar ist eine Person dann, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Wenn es möglich ist, mit Hilfe der vorhandenen Angaben und anderen Mitteln, etwa öffentlich zugänglichen Quellen (wie Telefonbücher, öffentliche Register udgl) die Person zu identifizieren. So sollen alle objektiven Faktoren, wie die Kosten der Identifizierung und der erforderliche Zeitaufwand berücksichtigt werden. Insbesondere sind die zum Zeitpunkt der Verarbeitung verfügbaren Technologien als auch die technologischen Entwicklungen zu berücksichtigen. In der Begriffsdefinition des Artikel 4, Ziffer eins, wird ausdrücklich darauf hingewiesen, dass eine Person insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität identifizierbar wird vergleiche Hödl in Knyrim, DatKomm Artikel 4, DSGVO (Stand 1.12.2018, rdb.at)). Die in Rede stehenden Daten sind technische Daten, die für das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website verarbeitet werden. Ein direkter Bezug des BF zu den in dem Ordner verarbeiteten Daten besteht bereits nicht: sein Name („ XXXX “) als Teil des Firmennamens kommt weder in der Ordner- noch in einer Dateienbezeichnung vor, genauswenig wie andere derartig direkt identifizierende Daten. Der BF geht in seinen Vorbringen selbst von einer allenfalls mittelbaren Bezugnahme der verarbeiteten Daten mit ihm selbst aus. Ein direkter Bezug des BF zu den in dem Ordner verarbeiteten Daten besteht bereits nicht: sein Name („ römisch 40 “) als Teil des Firmennamens kommt weder in der Ordner- noch in einer Dateienbezeichnung vor, genauswenig wie andere derartig direkt identifizierende Daten. Der BF geht in seinen Vorbringen selbst von einer allenfalls mittelbaren Bezugnahme der verarbeiteten Daten mit ihm selbst aus. Eine solche mittelbare Beziehung kann aber auch vom erkennenden Senat, genauso wie bereits von der DSB, nicht angenommen werden: Die in Rede stehenden Daten betreffen in erster Linie das XXXX ; dieser Name wird in der Ordner- und Dateienbezeichnung verwendet. Das XXXX wird von der XXXX betrieben. Die in Rede stehenden Daten betreffen in erster Linie das römisch 40 ; dieser Name wird in der Ordner- und Dateienbezeichnung verwendet. Das römisch 40 wird von der römisch 40 betrieben. Im Lichte der oben dargestellten Kommentierung stellen die in Rede stehenden Daten nicht nur keine Identifikationsmerkmale im eigentlichen Sinn dar, sondern auch keine in irgendeiner Form relevanten sachlichen Informationen über den BF: so trifft beispielsweise eine Schriftart und ein Programmiercode für die Website des XXXX über die Person des BF keine relevanten – und auch schützenswerten – Aussagen. Der erkennende Senat sieht auch bei einem Datum wie einer Vektorgrafik für die Website, wie einer Schriftart oder wie einem Programmiercode für eine Hotelwebsite keine Information, die eine „Identifizierbarkeit“, wie sie oben beispielhaft dargestellt wird, ermöglichen kann: ob die Website des Hotels eine bestimmte Schriftart verwendet oder eine andere, spielt für eine datenschutzrechtlich relevante Identifizierbarkeit des BF keine Rolle.Im Lichte der oben dargestellten Kommentierung stellen die in Rede stehenden Daten nicht nur keine Identifikationsmerkmale im eigentlichen Sinn dar, sondern auch keine in irgendeiner Form relevanten sachlichen Informationen über den BF: so trifft beispielsweise eine Schriftart und ein Programmiercode für die Website des römisch 40 über die Person des BF keine relevanten – und auch schützenswerten – Aussagen. Der erkennende Senat sieht auch bei einem Datum wie einer Vektorgrafik für die Website, wie einer Schriftart oder wie einem Programmiercode für eine Hotelwebsite keine Information, die eine „Identifizierbarkeit“, wie sie oben beispielhaft dargestellt wird, ermöglichen kann: ob die Website des Hotels eine bestimmte Schriftart verwendet oder eine andere, spielt für eine datenschutzrechtlich relevante Identifizierbarkeit des BF keine Rolle. Die vom BF angenommene „weite Auslegung“ des Begriffs der personenbezogenen Daten kann, wie von der DSB richtig angemerkt, nicht derart ausgedehnt werden, um solche, wie sie gegenständlich in Bezug auf den BF in Rede stehen, auch noch zu umfassen. Dieser Einschätzung steht auch das vom BF rezipierte Erkenntnis des EuGH vom 01.08.2022, C-184/20, nicht entgegen: bei seinem Verweis darauf übersieht der BF, dass es sich bei dem dort zugrundeliegenden Sachverhalt um Fragen zur Veröffentlichung von privaten Interessen eines Leiters einer Behörde auf der Website einer Ethikkommission handelte, wobei diese Informationen sich auf natürliche Personen bezogen haben, die durch den Vor- und Nachnamen identifiziert waren. Die Sachverhalte sind daher bereits nicht vergleichbar. Wenn der BF weiter insbesondere auf die Aussagen des EuGH zu Art. 9 Abs. 1 DSGVO („sensible Daten“) verweist, ist zu erinnern, dass es im gegenständlichen Verfahren nicht einmal behaupteterweise um sensible Daten des BF geht, die in den Anwendungsbereich des Art. 9 DSGVO fallen könnten. Wenn der BF weiter insbesondere auf die Aussagen des EuGH zu Artikel 9, Absatz eins, DSGVO („sensible Daten“) verweist, ist zu erinnern, dass es im gegenständlichen Verfahren nicht einmal behaupteterweise um sensible Daten des BF geht, die in den Anwendungsbereich des Artikel 9, DSGVO fallen könnten. Aber auch abstrakt gesehen geben die Ausführungen des BF keine Hinweise darauf, inwieweit der in RZ 125 des Urteils formulierte Schutzzweck der DSGVO (der „darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung sie betreffender personenbezogener Daten zu gewährleisten“) im gegenständlichen Fall überhaupt berührt sein könnte. An dieser Stelle wird daran erinnert, dass es sich bei den monierten Daten um technische für eine Website des XXXX handelt: Auswirkungen der Offenlegung auf das Privat- und Familienleben und die wirtschaftliche Tätigkeit des BF haben sich im Verfahren nicht ergeben. Aber auch abstrakt gesehen geben die Ausführungen des BF keine Hinweise darauf, inwieweit der in RZ 125 des Urteils formulierte Schutzzweck der DSGVO (der „darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung sie betreffender personenbezogener Daten zu gewährleisten“) im gegenständlichen Fall überhaupt berührt sein könnte. An dieser Stelle wird daran erinnert, dass es sich bei den monierten Daten um technische für eine Website des römisch 40 handelt: Auswirkungen der Offenlegung auf das Privat- und Familienleben und die wirtschaftliche Tätigkeit des BF haben sich im Verfahren nicht ergeben. Im Ergebnis ist der DSB dahingehend Recht zu geben, dass ein Personenbezug der gerügten Daten, nämlich der technischen Daten, die ua das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website des XXXX unter XXXX steuern, zum BF nicht gegeben und damit ein Anwendungsbereich des DSG bzw. der DSGVO nicht eröffnet ist. Im Ergebnis ist der DSB dahingehend Recht zu geben, dass ein Personenbezug der gerügten Daten, nämlich der technischen Daten, die ua das Layout, die Schriftarten, das Aussehen und die Funktionalität der Website des römisch 40 unter römisch 40 steuern, zum BF nicht gegeben und damit ein Anwendungsbereich des DSG bzw. der DSGVO nicht eröffnet ist. 3.
  6. Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.3.
  7. Gemäß Paragraph 24, Absatz 4, VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen. Im gegenständlichen Fall kann das Unterbleiben einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt ist (siehe dazu genauer oben in der Beweiswürdigung). Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über Rechtsfragen zu erkennen (vgl. EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.6.2012, B 155/12). Im gegenständlichen Fall kann das Unterbleiben einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt ist (siehe dazu genauer oben in der Beweiswürdigung). Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über Rechtsfragen zu erkennen vergleiche EGMR 05.09.2002, Appl. Nr. 42057/98, Speil/Österreich). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.6.2012, B 155/12). Zu B) Unzulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Im Übrigen war eine Entscheidung im Einzelfall zu treffen. European Case Law IdentifierECLI:AT:BVWG:2024:W211.2263717.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.