DSGVO Rz 49).Artikel 6, Absatz eins, Litera f, DSGVO ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen erforderlich ist. Diese berechtigten Interessen stellen jedoch dann keine ausreichende Begründung für die Rechtmäßigkeit der Verarbeitung dar, wenn die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt). Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, mit zu berücksichtigen. Das Konzept der vernünftigen Erwartungen der betroffenen Person ist nicht empirisch, sondern normativ zu verstehen, ansonsten würde man unzulässiger Weise vom Sein auf das Sollen schließen; es kommt daher darauf an, ob die betroffene Person die subjektive Erwartung hat, geschützt sein zu sollen, und diese Erwartung objektiv legitim ist (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Nach der Rechtsprechung sind dabei zu prüfen:
DSGVO Rz 51).Im Kern ist eine Abwägung der berührten Interessen (Interessenabwägung) im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen, nicht zu berücksichtigen sind also individuelle Befindlichkeiten. Fällt diese Interessenabwägung zugunsten des Verantwortlichen oder eines Dritten aus, ist die Verarbeitung grundsätzlich zulässig (unter Beachtung der weiteren, vorgenannten Voraussetzungen, sowie insb des Artikel 5,) (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Berechtigte Interessen sind weit zu verstehen, es kann grundsätzlich jedes von der Rechtsordnung gebilligte Interesse sein. Auch Art 9 Abs 2 DSGVO enthält in einigen Tatbeständen berechtigte Interessen, die als Zulässigkeitstatbestand für die Verarbeitung sensibler Daten infrage kommen. Im Sinne eines Größenschlusses folgt daraus, dass diese Interessen die Verarbeitung „normaler“ Daten erst recht rechtfertigen können. Anzuführen ist hier insb Art 9 Abs 2 lit e DSGVO (die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat) und lit f leg cit (die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich) (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
DSGVO Rz 54).Berechtigte Interessen sind weit zu verstehen, es kann grundsätzlich jedes von der Rechtsordnung gebilligte Interesse sein. Auch Artikel 9, Absatz 2, DSGVO enthält in einigen Tatbeständen berechtigte Interessen, die als Zulässigkeitstatbestand für die Verarbeitung sensibler Daten infrage kommen. Im Sinne eines Größenschlusses folgt daraus, dass diese Interessen die Verarbeitung „normaler“ Daten erst recht rechtfertigen können. Anzuführen ist hier insb Artikel 9, Absatz 2, Litera e, DSGVO (die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat) und Litera f, leg cit (die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich) (Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Wie festgestellt hat die erste mitbeteiligte Partei den Namen, die Adresse und die KFZ-Haftpflichtversicherung sowie Führerschein-, Zulassungs- und KFZ-Daten der Beschwerdeführerin aus dem Verkehrsunfallbericht der LPD XXXX vom XXXX erhalten und diese Daten im Rahmen einer zivilgerichtlichen Klage gegen die Beschwerdeführerin infolge eines Verkehrsunfalles verwendet. Diese Datenverarbeitung diente dem berechtigten Interesse der Durchsetzung eines Rechtsanspruches und war zur Erreichung dieses Zwecks sowohl geeignet als auch erforderlich. Auch ist kein Grund ersichtlich, aus dem das Geheimhaltungsinteresse der Beschwerdeführerin das berechtigte Interesse der ersten mitbeteiligten Partei an der Durchsetzung ihres Rechtsanspruchs überwiegen sollte.Wie festgestellt hat die erste mitbeteiligte Partei den Namen, die Adresse und die KFZ-Haftpflichtversicherung sowie Führerschein-, Zulassungs- und KFZ-Daten der Beschwerdeführerin aus dem Verkehrsunfallbericht der LPD römisch 40 vom römisch 40 erhalten und diese Daten im Rahmen einer zivilgerichtlichen Klage gegen die Beschwerdeführerin infolge eines Verkehrsunfalles verwendet. Diese Datenverarbeitung diente dem berechtigten Interesse der Durchsetzung eines Rechtsanspruches und war zur Erreichung dieses Zwecks sowohl geeignet als auch erforderlich. Auch ist kein Grund ersichtlich, aus dem das Geheimhaltungsinteresse der Beschwerdeführerin das berechtigte Interesse der ersten mitbeteiligten Partei an der Durchsetzung ihres Rechtsanspruchs überwiegen sollte. Die Datenverarbeitung erfolgte somit vor dem Hintergrund der obigen Ausführungen rechtmäßig, sodass die Beschwerde diesbezüglich abzuweisen war. Ergänzend ist festzuhalten, dass es sich bei dem Vorbringen der Beschwerdeführerin, die erste mitbeteiligte Partei habe im Zuge ihrer beruflichen Tätigkeit weitere Daten der Beschwerdeführerin „abgegriffen“, um nicht substantiierte Spekulation handelt. Weder hat die Beschwerdeführerin dargelegt, um welche personenbezogenen Daten es sich dabei gehandelt habe, noch inwiefern diese von der ersten mitbeteiligten Partei verarbeitet wurden. Von einem solchen „Abgreifen“ der Daten kann daher nicht ausgegangen werden, weshalb auf das diesbezügliche Vorbringen der Beschwerdeführerin nicht näher einzugehen ist. Zur Datenverarbeitung durch die zweite mitbeteiligte Partei (Versicherungsmitarbeiter): In Bezug auf die zweite mitbeteiligte Partei hat die belangte Behörde die Beschwerde wie bereits ausgeführt im Wesentlichen mit der Begründung abgewiesen, dass nicht die zweite mitbeteiligte Partei, sondern die XXXX Verantwortliche iSd Art. 4 Z 7 DSGVO sei und dass eine Umdeutung des Beschwerdegegners aufgrund der ausdrücklichen Bezeichnung unzulässig sei.In Bezug auf die zweite mitbeteiligte Partei hat die belangte Behörde die Beschwerde wie bereits ausgeführt im Wesentlichen mit der Begründung abgewiesen, dass nicht die zweite mitbeteiligte Partei, sondern die römisch 40 Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO sei und dass eine Umdeutung des Beschwerdegegners aufgrund der ausdrücklichen Bezeichnung unzulässig sei. Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde (Hödl in Knyrim,
DSGVO Rz 77).Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde (Hödl in Knyrim,
Der Begriff des Verantwortlichen nach Art 4 Z 7 DSGVO setzt sich aus drei Elementen zusammen:Der Begriff des Verantwortlichen nach Artikel 4, Ziffer 7, DSGVO setzt sich aus drei Elementen zusammen:
DSGVO Rz 86).Sofern natürliche Personen Daten für ihre eigenen Zwecke außerhalb des Tätigkeitsbereichs und der möglichen Kontrolle ihrer Organisation verarbeiten, können sie selbst Verantwortlicher werden. Es kann aber zur Mitverantwortung einer fährlässig handelnden Organisation kommen, die einen Datenmissbrauch grundsätzlich zu verhindern hat. (Hödl in Knyrim,
Soweit sich eine Datenschutzbeschwerde gegen ein Organ richtet, das die Entscheidung zur Datenverarbeitung nicht getroffen bzw. nicht zu verantworten hat, (und dies auch nicht im Wege einer vertretbaren Auslegung bereinigt werden kann,) ist diese Beschwerde abzuweisen (VwGH 18.03.2022, Ro 2020/04/0027). In seinem Erkenntnis vom 27.06.2023, Ro 20213/04/0013, hat der VwGH Folgendes zur Bezeichnung des Beschwerdegegners ausgeführt: „Der Verwaltungsgerichtshof hat sich bereits in verschiedenen Konstellationen mit der Frage befasst, wie mit einer Datenschutzbeschwerde umzugehen ist, die sich gegen eine Person bzw. Stelle richtet, die für die zugrundeliegende Datenverarbeitung nicht verantwortlich (nunmehr iSd des Art. 4 Z 7 DSGVO) ist.„Der Verwaltungsgerichtshof hat sich bereits in verschiedenen Konstellationen mit der Frage befasst, wie mit einer Datenschutzbeschwerde umzugehen ist, die sich gegen eine Person bzw. Stelle richtet, die für die zugrundeliegende Datenverarbeitung nicht verantwortlich (nunmehr iSd des Artikel 4, Ziffer 7, DSGVO) ist. Dabei hat es der Verwaltungsgerichtshof nicht beanstandet, dass eine Datenschutzbeschwerde gegen mehrere Personen als Verantwortliche gerichtet war (vgl. VwGH 18.3.2022, Ro 2020/04/0027, Rn. 36 ff); dies steht auch in Einklang mit der Definition des Verantwortlichen (‚allein oder gemeinsam mit anderen‘) sowie der dazu ergangenen Rechtsprechung des EuGH […].Dabei hat es der Verwaltungsgerichtshof nicht beanstandet, dass eine Datenschutzbeschwerde gegen mehrere Personen als Verantwortliche gerichtet war vergleiche VwGH 18.3.2022, Ro 2020/04/0027, Rn. 36 ff); dies steht auch in Einklang mit der Definition des Verantwortlichen (‚allein oder gemeinsam mit anderen‘) sowie der dazu ergangenen Rechtsprechung des EuGH […]. Weiters hat der Verwaltungsgerichtshof dem Grunde nach anerkannt, dass die Berichtigung einer Bezeichnung des Beschwerdegegners im Rahmen einer vertretbaren Auslegung der Parteierklärung durch die DSB zulässig sein kann (vgl. erneut VwGH 18.3.2022, Ro 2020/04/0027, Rn. 41 f, wo die DSB eine gegen einen namentlich genannten Polizeibeamten gerichtete Datenschutzbeschwerde als gegen die Landespolizeidirektion gerichtet ansah). Dies ist auch vor dem Hintergrund zu sehen, dass die Datenschutzbeschwerde die Bezeichnung des Beschwerdegegners gemäß § 24 Abs. 2 Z 2 DSG nur zu enthalten hat, soweit dies zumutbar ist. Wenn es nach dem DSG Fälle geben kann, in denen es für die von der Datenverarbeitung betroffene Person unzumutbar sein kann, den Verantwortlichen selbst zu eruieren und dementsprechend in der Datenschutzbeschwerde zu benennen, dann sind wohl auch Konstellationen anzuerkennen, in denen die betroffene Person den Verantwortlichen ungenau bzw. allenfalls auch unrichtig bezeichnet, ohne dass dies (siehe näher dazu im Anschluss) zwingend zu einer Abweisung der Datenschutzbeschwerde führen muss.Weiters hat der Verwaltungsgerichtshof dem Grunde nach anerkannt, dass die Berichtigung einer Bezeichnung des Beschwerdegegners im Rahmen einer vertretbaren Auslegung der Parteierklärung durch die DSB zulässig sein kann vergleiche erneut VwGH 18.3.2022, Ro 2020/04/0027, Rn. 41 f, wo die DSB eine gegen einen namentlich genannten Polizeibeamten gerichtete Datenschutzbeschwerde als gegen die Landespolizeidirektion gerichtet ansah). Dies ist auch vor dem Hintergrund zu sehen, dass die Datenschutzbeschwerde die Bezeichnung des Beschwerdegegners gemäß Paragraph 24, Absatz 2, Ziffer 2, DSG nur zu enthalten hat, soweit dies zumutbar ist. Wenn es nach dem DSG Fälle geben kann, in denen es für die von der Datenverarbeitung betroffene Person unzumutbar sein kann, den Verantwortlichen selbst zu eruieren und dementsprechend in der Datenschutzbeschwerde zu benennen, dann sind wohl auch Konstellationen anzuerkennen, in denen die betroffene Person den Verantwortlichen ungenau bzw. allenfalls auch unrichtig bezeichnet, ohne dass dies (siehe näher dazu im Anschluss) zwingend zu einer Abweisung der Datenschutzbeschwerde führen muss. Richtet sich die Datenschutzbeschwerde jedoch (unzweifelhaft) gegen eine bestimmte Person (oder Stelle), die allerdings nicht Verantwortlicher für die betreffende Datenverarbeitung ist, dann ist diese Datenschutzbeschwerde abzuweisen (vgl. wiederum VwGH 18.3.2022, Ro 2020/04/0027, Rn. 42, dort iZm mit einer gegen zwei voneinander zu unterscheidende Beschwerdegegner gerichteten Datenschutzbeschwerde, wobei nur einer der beiden Genannten als Verantwortlicher in Betracht kam; vgl. weiters VwGH 26.9.2022, Ro 2020/04/0034, Rn. 29, dort iZm einer geltend gemachten Verletzung im Recht auf Auskunft, wobei auch das Auskunftsbegehren an den in der Datenschutzbeschwerde genannten Rechtsträger gerichtet war).“Richtet sich die Datenschutzbeschwerde jedoch (unzweifelhaft) gegen eine bestimmte Person (oder Stelle), die allerdings nicht Verantwortlicher für die betreffende Datenverarbeitung ist, dann ist diese Datenschutzbeschwerde abzuweisen vergleiche wiederum VwGH 18.3.2022, Ro 2020/04/0027, Rn. 42, dort iZm mit einer gegen zwei voneinander zu unterscheidende Beschwerdegegner gerichteten Datenschutzbeschwerde, wobei nur einer der beiden Genannten als Verantwortlicher in Betracht kam; vergleiche weiters VwGH 26.9.2022, Ro 2020/04/0034, Rn. 29, dort iZm einer geltend gemachten Verletzung im Recht auf Auskunft, wobei auch das Auskunftsbegehren an den in der Datenschutzbeschwerde genannten Rechtsträger gerichtet war).“ Im gegenständlichen Verfahren hat die Beschwerdeführerin die zweite mitbeteiligte Partei in ihrer E-Mail vom 17.12.2022 und in ihrer Beschwerde vom 27.02.2023 explizit als Beschwerdegegner bezeichnet. Zwar hat sie insbesondere in ihrer bei der belangten Behörde eingebrachten Beschwerde vom 15.12.2022 auch ausgeführt, dass die zweite mitbeteiligte Partei Sachbearbeiter bei ihrer Versicherung sei, aus ihrem weiteren Vorbringen ergab sich jedoch eindeutig, dass ihre Beschwerde sich gegen die Person der zweiten mitbeteiligten Partei, nicht aber gegen die Versicherung richtete. Darüber hinaus nannte die Beschwerdeführerin auch in Folge eines Verbesserungsauftrags der belangten Behörde, mit dem sie aufgefordert wurde, bekannt zu geben, wer der Verantwortliche für die gegenständliche Datenverarbeitung ist und ob dieser eventuell im Auftrag/Weisung der Versicherung und nicht selbstständig gehandelt haben, die zweite mitbeteiligte Partei explizit namentlich als Beschwerdegegner. Wie bereits ausgeführt sind im Zuge des Verfahrens keine Hinweise darauf hervorgekommen, dass die zweite mitbeteiligte Partei eine Verarbeitung der personenbezogenen Daten der Beschwerdeführerin für ihre eigenen Zwecke außerhalb des Tätigkeitsbereichs und der Kontrolle der Versicherung vorgenommen hat. Ihr Handeln war demnach jedenfalls der XXXX zuzurechnen, sodass die zweite mitbeteiligte Partei nicht Verantwortliche iSd Art. 4 Z 7 DSGVO war.Wie bereits ausgeführt sind im Zuge des Verfahrens keine Hinweise darauf hervorgekommen, dass die zweite mitbeteiligte Partei eine Verarbeitung der personenbezogenen Daten der Beschwerdeführerin für ihre eigenen Zwecke außerhalb des Tätigkeitsbereichs und der Kontrolle der Versicherung vorgenommen hat. Ihr Handeln war demnach jedenfalls der römisch 40 zuzurechnen, sodass die zweite mitbeteiligte Partei nicht Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO war. Aus den obigen Ausführungen folgt, dass die belangte Behörde zu Recht entschieden hat, dass die Beschwerde gegen die zweite mitbeteiligte Partei abzuweisen war, da diese nicht Verantwortliche iSd Art. 4 Z 7 DSGVO war und eine Umdeutung der Beschwerdegegnerin aufgrund des eindeutig auf die zweite mitbeteiligte Partei abzielenden Vorbringens der Beschwerdeführerin nicht in Betracht kam.Aus den obigen Ausführungen folgt, dass die belangte Behörde zu Recht entschieden hat, dass die Beschwerde gegen die zweite mitbeteiligte Partei abzuweisen war, da diese nicht Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO war und eine Umdeutung der Beschwerdegegnerin aufgrund des eindeutig auf die zweite mitbeteiligte Partei abzielenden Vorbringens der Beschwerdeführerin nicht in Betracht kam. Es war folglich spruchgemäß zu entscheiden. Zum Unterbleiben einer mündlichen Verhandlung: Gemäß § 24 Abs. 4 VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrages von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann - soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist - das Verwaltungsgericht ungeachtet eines Parteiantrages von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen. Im vorliegenden Beschwerdefall ergibt sich, dass aus dem Akteninhalt des Verwaltungsaktes in Verbindung mit der Beschwerde der maßgebliche Sachverhalt als geklärt anzusehen ist. Zu B) Unzulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Die unter A) zitierte Rechtsprechung ist auf den vorliegenden Fall übertragbar.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Die unter A) zitierte Rechtsprechung ist auf den vorliegenden Fall übertragbar. European Case Law IdentifierECLI:AT:BVWG:2024:W221.2268420.1.00
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.