70, Stand 1.12.2018, rdb.at) zuzurechnen ist. Dass die Information betreffend die medizinische Diagnose („Reizung eines Sehnenansatzes“) der Betroffenen ein Gesundheitsdatum iSd Art. 4 Z 15 DSGVO darstellt, steht für den erkennenden Senat gleichfalls außer Zweifel. Wenn der BF in seiner Bescheidbeschwerde ausführt, es sei ein medizinisches Gutachten aus dem Bereich der Orthopädie einzuholen, um abzuklären, ob es sich bei der in der Google-Rezension genannten Diagnose um ein Gesundheitsdatum handelt, ist dabei in Erinnerung zu rufen, dass es sich hierbei um eine Rechtsfrage handelt. Ein Sachverständigengutachten ist dementsprechend für die Klärung dieser Frage nicht erforderlich. Wie die DSB zutreffend in ihrem Vorlageschreiben ausführt, ist der BF auf die Judikatur des EuGH, 01.08.2022, C-184/20, zu verweisen, wonach es sich bereits dann um Daten iSd. Art. 9 Abs. 1 DSGVO handelt, wenn sich aus dem Zusammenhang zwischen personenbezogenen Daten mittelbar besondere Kategorien personenbezogener Daten ableiten lassen (siehe EuGH 01.08.2022, C-184/20 Rz 117 ff, insb. Rz 127).Der BF bestreitet nicht, dass er datenschutzrechtlicher Verantwortlicher und die DSGVO fallbezogen anwendbar sei. Der BF ist unzweifelhaft als Verantwortlicher iSd Artikel 4, Ziffer 7, DSGVO zu qualifizieren und ist die vorgenommene Veröffentlichung als Verarbeitung personenbezogener Daten der Betroffenen iSv Artikel 4, Ziffer 2, DSGVO zu werten. Der DSB ist nicht entgegenzutreten, wenn sie den BF als Verantwortlichen und den Anwendungsbereich der DSGVO als eröffnet sieht. Artikel 2, Absatz 2, Litera c, DSGVO (sog. „Haushaltsausnahme“) ist fallgegenständlich nicht anwendbar, da die in Rede stehende Datenverarbeitung nicht dem privaten Bereich vergleiche Heißl in Knyrim,
70, Stand 1.12.2018, rdb.at) zuzurechnen ist. Dass die Information betreffend die medizinische Diagnose („Reizung eines Sehnenansatzes“) der Betroffenen ein Gesundheitsdatum iSd Artikel 4, Ziffer 15, DSGVO darstellt, steht für den erkennenden Senat gleichfalls außer Zweifel. Wenn der BF in seiner Bescheidbeschwerde ausführt, es sei ein medizinisches Gutachten aus dem Bereich der Orthopädie einzuholen, um abzuklären, ob es sich bei der in der Google-Rezension genannten Diagnose um ein Gesundheitsdatum handelt, ist dabei in Erinnerung zu rufen, dass es sich hierbei um eine Rechtsfrage handelt. Ein Sachverständigengutachten ist dementsprechend für die Klärung dieser Frage nicht erforderlich. Wie die DSB zutreffend in ihrem Vorlageschreiben ausführt, ist der BF auf die Judikatur des EuGH, 01.08.2022, C-184/20, zu verweisen, wonach es sich bereits dann um Daten iSd. Artikel 9, Absatz eins, DSGVO handelt, wenn sich aus dem Zusammenhang zwischen personenbezogenen Daten mittelbar besondere Kategorien personenbezogener Daten ableiten lassen (siehe EuGH 01.08.2022, C-184/20 Rz 117 ff, insb. Rz 127). Objektiver Tatbestand: Der BF beruft sich in seiner Bescheidbeschwerde für die Zulässigkeit der Veröffentlichung der Diagnose auf die Ausnahmetatbestände nach Art. 9 Abs. 2 lit. e DSGVO, Art. 9 Abs. 2 lit. f DSGVO und Art. 6 Abs. 1 lit. b DSGVO.Der BF beruft sich in seiner Bescheidbeschwerde für die Zulässigkeit der Veröffentlichung der Diagnose auf die Ausnahmetatbestände nach Artikel 9, Absatz 2, Litera e, DSGVO, Artikel 9, Absatz 2, Litera f, DSGVO und Artikel 6, Absatz eins, Litera b, DSGVO. Der DSB ist nicht entgegenzutreten, wenn sie ausführt, dass die verfahrensgegenständliche Veröffentlichung der Diagnose der Betroffenen durch den BF gegen Art. 9 Abs. 1 DSGVO und Art. 5 Abs. 1 lit. a, b und c DSGVO verstößt.Der DSB ist nicht entgegenzutreten, wenn sie ausführt, dass die verfahrensgegenständliche Veröffentlichung der Diagnose der Betroffenen durch den BF gegen Artikel 9, Absatz eins, DSGVO und Artikel 5, Absatz eins, Litera a, b und c DSGVO verstößt. Der Ausnahmetatbestand nach Art. 9 Abs. 2 lit. e DSGVO ist dann erfüllt, wenn eine betroffene Person personenbezogene Daten, auf die sich die Verarbeitung bezieht, offensichtlich öffentlich gemacht hat. Unter Öffentlichkeit ist dabei die Allgemeinheit im Sinne eines nicht individuell bestimmten Personenkreises zu verstehen. Darunter fallen jedenfalls frei im Internet zugängliche Daten (siehe dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 9 DSGVO Rz 80, Stand 1.12.2020, rdb.at). Eine auf Google veröffentlichte Rezension stellt somit die in der leg. cit. geforderte Öffentlichkeit dar. Jedoch wurde im vorliegenden Fall die Diagnose der Betroffenen, jenes personenbezogene Gesundheitsdatum, das der BF durch Nennung in seiner Antwort auf die Rezension der Betroffenen verarbeitete und somit für jedermann im Internet zugänglich machte, durch die Betroffene selbst nicht veröffentlicht. Aus der in den Feststellungen zitierten Rezension der Betroffenen ergibt sich zumindest für medizinische Laien nicht – auch nicht indirekt – welche medizinische Diagnose die Betroffene aufgrund der von ihr in der Rezension geschilderten Probleme von ihrem behandelnden Arzt, dem BF, bekam. Der erkennende Senat teilt die Einschätzung der DSB, wonach der BF die von der Betroffenen selbst veröffentlichten Gesundheitsdaten um weitere ergänzt und dadurch einen informationellen Mehrwert generiert hat. Der Ausnahmetatbestand nach Art. 9 Abs. 2 lit. e DSGVO greift aber nur dann, wenn sich die Datenverarbeitung auf bereits offensichtlich auf von der betroffenen Person veröffentlichte Daten bezieht. Inwiefern sich die Nennung einer nicht von der Betroffenen in ihrer Rezension angesprochenen medizinischen Diagnose offensichtlich auf die von der Betroffenen selbst veröffentlichten, in ihrer Rezension geschilderten Probleme bezieht, ist nicht erkennbar. So hat die Betroffene in ihrer Rezension weder eine Sehne noch die Reizung einer Sehne erwähnt. Nach ständiger Rechtsprechung des EuGH sind bei der Auslegung einer unionsrechtlichen Vorschrift nicht nur deren Wortlaut, sondern auch ihr Kontext und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehört, verfolgt werden (siehe etwa EuGH 01.08.2022, C-184/20 Rz 121). Zudem sind nach ständiger Rechtsprechung des EuGH Ausnahmetatbestände nach Art. 9 Abs. 2 DSGVO eng auszulegen (EuGH 04.07.2023, C-252/21 Rz 76 mwN). Auch betonte der EuGH wiederholt, dass das Ziel der DSGVO insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (siehe etwa EuGH 11.07.2024, C-757/22 Rz 48). In Anbetracht der Rechtsprechung des EuGH muss davon ausgegangen werden, dass die absolute Schutzwürdigkeit von besonderen Kategorien personenbezogener Daten nur dann iSd Art. 9 Abs. 2 lit. e DSGVO aufgegeben werden kann, wenn die betroffene Person genau das in Rede stehende sensible Datum (offensichtlich) selbst veröffentlicht hat (siehe dazu auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 9 DSGVO Rz 79, Stand 1.12.2020, rdb.at). Da die Betroffene fallgegenständlich ihre Diagnose selbst nicht veröffentlichte, kann sich der BF nicht auf den Ausnahmetatbestand nach Art. 9 Abs. 2 lit. e DSGVO berufen. Der Ausnahmetatbestand nach Artikel 9, Absatz 2, Litera e, DSGVO ist dann erfüllt, wenn eine betroffene Person personenbezogene Daten, auf die sich die Verarbeitung bezieht, offensichtlich öffentlich gemacht hat. Unter Öffentlichkeit ist dabei die Allgemeinheit im Sinne eines nicht individuell bestimmten Personenkreises zu verstehen. Darunter fallen jedenfalls frei im Internet zugängliche Daten (siehe dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 9, DSGVO Rz 80, Stand 1.12.2020, rdb.at). Eine auf Google veröffentlichte Rezension stellt somit die in der leg. cit. geforderte Öffentlichkeit dar. Jedoch wurde im vorliegenden Fall die Diagnose der Betroffenen, jenes personenbezogene Gesundheitsdatum, das der BF durch Nennung in seiner Antwort auf die Rezension der Betroffenen verarbeitete und somit für jedermann im Internet zugänglich machte, durch die Betroffene selbst nicht veröffentlicht. Aus der in den Feststellungen zitierten Rezension der Betroffenen ergibt sich zumindest für medizinische Laien nicht – auch nicht indirekt – welche medizinische Diagnose die Betroffene aufgrund der von ihr in der Rezension geschilderten Probleme von ihrem behandelnden Arzt, dem BF, bekam. Der erkennende Senat teilt die Einschätzung der DSB, wonach der BF die von der Betroffenen selbst veröffentlichten Gesundheitsdaten um weitere ergänzt und dadurch einen informationellen Mehrwert generiert hat. Der Ausnahmetatbestand nach Artikel 9, Absatz 2, Litera e, DSGVO greift aber nur dann, wenn sich die Datenverarbeitung auf bereits offensichtlich auf von der betroffenen Person veröffentlichte Daten bezieht. Inwiefern sich die Nennung einer nicht von der Betroffenen in ihrer Rezension angesprochenen medizinischen Diagnose offensichtlich auf die von der Betroffenen selbst veröffentlichten, in ihrer Rezension geschilderten Probleme bezieht, ist nicht erkennbar. So hat die Betroffene in ihrer Rezension weder eine Sehne noch die Reizung einer Sehne erwähnt. Nach ständiger Rechtsprechung des EuGH sind bei der Auslegung einer unionsrechtlichen Vorschrift nicht nur deren Wortlaut, sondern auch ihr Kontext und die Ziele zu berücksichtigen, die mit der Regelung, zu der sie gehört, verfolgt werden (siehe etwa EuGH 01.08.2022, C-184/20 Rz 121). Zudem sind nach ständiger Rechtsprechung des EuGH Ausnahmetatbestände nach Artikel 9, Absatz 2, DSGVO eng auszulegen (EuGH 04.07.2023, C-252/21 Rz 76 mwN). Auch betonte der EuGH wiederholt, dass das Ziel der DSGVO insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (siehe etwa EuGH 11.07.2024, C-757/22 Rz 48). In Anbetracht der Rechtsprechung des EuGH muss davon ausgegangen werden, dass die absolute Schutzwürdigkeit von besonderen Kategorien personenbezogener Daten nur dann iSd Artikel 9, Absatz 2, Litera e, DSGVO aufgegeben werden kann, wenn die betroffene Person genau das in Rede stehende sensible Datum (offensichtlich) selbst veröffentlicht hat (siehe dazu auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 9, DSGVO Rz 79, Stand 1.12.2020, rdb.at). Da die Betroffene fallgegenständlich ihre Diagnose selbst nicht veröffentlichte, kann sich der BF nicht auf den Ausnahmetatbestand nach Artikel 9, Absatz 2, Litera e, DSGVO berufen. Der Ausnahmetatbestand nach Art. 9 Abs. 2 lit. f DSGVO ist dann erfüllt, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist. Der genannte Ausnahmetatbestand setzt voraus, dass ein rechtlicher Konflikt bereits besteht (siehe OGH 24.07.2019, 6 Ob 45/19i Punkt 4.2., mit weiteren Literaturhinweisen). Die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen ist aber nicht ausreichend (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 9 DSGVO Rz 87, Stand 1.12.2020, rdb.at). Dass ein rechtlicher Konflikt bereits besteht, hat der BF nicht vorgebracht und ist auch sonst dem erkennenden Senat nicht bekannt. Der BF kann sich somit auch auf Art. 9 Abs. 2 lit. f DSGVO nicht berufen. Im Übrigen kann nicht nachvollzogen werden, inwiefern eine Antwort auf eine Rezension, welche zusätzliche Gesundheitsdaten der Betroffenen offenlegt, der Verteidigung eines Rechtsanspruches dienen soll. Der Ausnahmetatbestand nach Artikel 9, Absatz 2, Litera f, DSGVO ist dann erfüllt, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich ist. Der genannte Ausnahmetatbestand setzt voraus, dass ein rechtlicher Konflikt bereits besteht (siehe OGH 24.07.2019, 6 Ob 45/19i Punkt 4.2., mit weiteren Literaturhinweisen). Die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen ist aber nicht ausreichend (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 9, DSGVO Rz 87, Stand 1.12.2020, rdb.at). Dass ein rechtlicher Konflikt bereits besteht, hat der BF nicht vorgebracht und ist auch sonst dem erkennenden Senat nicht bekannt. Der BF kann sich somit auch auf Artikel 9, Absatz 2, Litera f, DSGVO nicht berufen. Im Übrigen kann nicht nachvollzogen werden, inwiefern eine Antwort auf eine Rezension, welche zusätzliche Gesundheitsdaten der Betroffenen offenlegt, der Verteidigung eines Rechtsanspruches dienen soll. Auch sonst sind für den erkennenden Senat keine Ausnahmetatbestände nach Art. 9 Abs. 2 DSGVO ersichtlich, die die Veröffentlichung der medizinischen Diagnose der Betroffenen auf Google durch den BF rechtfertigen würde. Der BF hat daher gegen Art. 9 Abs. 1 DSGVO und auch gegen den Grundsatz der Rechtmäßigkeit nach Art. 5 Abs. 1 lit. a DSGVO verstoßen. Auch sonst sind für den erkennenden Senat keine Ausnahmetatbestände nach Artikel 9, Absatz 2, DSGVO ersichtlich, die die Veröffentlichung der medizinischen Diagnose der Betroffenen auf Google durch den BF rechtfertigen würde. Der BF hat daher gegen Artikel 9, Absatz eins, DSGVO und auch gegen den Grundsatz der Rechtmäßigkeit nach Artikel 5, Absatz eins, Litera a, DSGVO verstoßen. Wenn der BF sich weiters auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags) stützt, ist in Erinnerung zu rufen, dass eine Verarbeitung von besonderen Kategorien personenbezogener Daten, wie fallgegenständlich die Veröffentlichung der Diagnose der Betroffenen auf Google, nur dann zulässig und rechtmäßig ist, wenn zumindest einer der in Art. 9 Abs. 2 DSGVO taxativ angeführten Ausnahmetatbestände erfüllt ist. Andernfalls wird das generelle Verarbeitungsverbot nach Art. 9 Abs. 1 DSGVO schlagend. In Art. 9 Abs. 2 DSGVO findet sich kein Ausnahmetatbestand wie er in Art. 6 Abs. 1 lit. b DSGVO statuiert ist. Daher kann sich der BF darauf auch nicht berufen.Wenn der BF sich weiters auf Artikel 6, Absatz eins, Litera b, DSGVO (Erfüllung eines Vertrags) stützt, ist in Erinnerung zu rufen, dass eine Verarbeitung von besonderen Kategorien personenbezogener Daten, wie fallgegenständlich die Veröffentlichung der Diagnose der Betroffenen auf Google, nur dann zulässig und rechtmäßig ist, wenn zumindest einer der in Artikel 9, Absatz 2, DSGVO taxativ angeführten Ausnahmetatbestände erfüllt ist. Andernfalls wird das generelle Verarbeitungsverbot nach Artikel 9, Absatz eins, DSGVO schlagend. In Artikel 9, Absatz 2, DSGVO findet sich kein Ausnahmetatbestand wie er in Artikel 6, Absatz eins, Litera b, DSGVO statuiert ist. Daher kann sich der BF darauf auch nicht berufen. Nach Art. 5 Abs. 1 lit. b DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden (Grundsatz der Zweckbindung). Da der BF im Rahmen seiner ärztlichen Tätigkeit die Diagnose der Betroffenen erstellte und diese Daten zu diesem Zweck, nicht aber für Zwecke einer öffentlich einsehbaren Replik auf eine Rezension der Betroffen auf Google erhoben hat, hat der BF auch gegen den Grundsatz der Zweckbindung verstoßen. Wie die DSB zutreffend ausführt, lag weder eine konkrete, kohärente noch ausreichend enge Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten vor noch war es für die Betroffene in irgendeiner Weise vorhersehbar, dass der Beschuldigte Daten zu ihrer medizinischen Diagnose als Reaktion auf ihre Google-Rezension veröffentlicht.Nach Artikel 5, Absatz eins, Litera b, DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden (Grundsatz der Zweckbindung). Da der BF im Rahmen seiner ärztlichen Tätigkeit die Diagnose der Betroffenen erstellte und diese Daten zu diesem Zweck, nicht aber für Zwecke einer öffentlich einsehbaren Replik auf eine Rezension der Betroffen auf Google erhoben hat, hat der BF auch gegen den Grundsatz der Zweckbindung verstoßen. Wie die DSB zutreffend ausführt, lag weder eine konkrete, kohärente noch ausreichend enge Verbindung zwischen dem Zweck der Datenerhebung und der Weiterverarbeitung der Daten vor noch war es für die Betroffene in irgendeiner Weise vorhersehbar, dass der Beschuldigte Daten zu ihrer medizinischen Diagnose als Reaktion auf ihre Google-Rezension veröffentlicht. Gemäß Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Grundsatz der Datenminimierung). ErwGr 39 führt dazu zusätzlich aus, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Damit soll dieser Grundsatz sicherstellen, dass die Verarbeitung personenbezogener Daten auf ein unvermeidbares Minimum reduziert wird (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 32, Stand 1.12.2020, rdb.at). Fallgegenständlich hätte der vom BF ins Treffen geführte Zweck, in sachlicher Weise auf die seinem Empfinden nach kreditschädigenden Äußerungen in der Rezension der Betroffenen zu reagieren, auch durch andere Mittel als die Veröffentlichung der Diagnose der Betroffenen erfolgen können. Die Ausführungen in der Bescheidbeschwerde, dass die Veröffentlichung der Diagnose notwendig gewesen sei, um sein Persönlichkeitsrecht und den wirtschaftlichen Ruf seiner Ordination zu wahren, werden vom erkennenden Senat nicht geteilt. Gemäß Artikel 5, Absatz eins, Litera c, DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Grundsatz der Datenminimierung). ErwGr 39 führt dazu zusätzlich aus, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Damit soll dieser Grundsatz sicherstellen, dass die Verarbeitung personenbezogener Daten auf ein unvermeidbares Minimum reduziert wird (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO Rz 32, Stand 1.12.2020, rdb.at). Fallgegenständlich hätte der vom BF ins Treffen geführte Zweck, in sachlicher Weise auf die seinem Empfinden nach kreditschädigenden Äußerungen in der Rezension der Betroffenen zu reagieren, auch durch andere Mittel als die Veröffentlichung der Diagnose der Betroffenen erfolgen können. Die Ausführungen in der Bescheidbeschwerde, dass die Veröffentlichung der Diagnose notwendig gewesen sei, um sein Persönlichkeitsrecht und den wirtschaftlichen Ruf seiner Ordination zu wahren, werden vom erkennenden Senat nicht geteilt. Der BF hat somit den objektiven Tatbestand von Art. 83 Abs. 5 lit. a DSGVO erfüllt, indem er gegen und Art. 5 Abs. 1 lit. a, b, und c DSGVO und Art. 9 Abs. 1 DSGVO verstoßen hat. Der BF hat somit den objektiven Tatbestand von Artikel 83, Absatz 5, Litera a, DSGVO erfüllt, indem er gegen und Artikel 5, Absatz eins, Litera a, b,, und c DSGVO und Artikel 9, Absatz eins, DSGVO verstoßen hat. Subjektiver Tatbestand: Beim BF ist von Fahrlässigkeit auszugehen. Er hätte erkennen müssen, dass die von ihm vorgenommene Verarbeitung von Gesundheitsdaten iSd Art. 4 Z 15 DSGVO der Betroffenen nicht im Einklang mit der DSGVO stehen kann. Hinweise, die eine Fahrlässigkeit beim BF ausschließen würden, sind im Zuge des Verfahrens nicht hervorgekommen. Der BF, der als Facharzt im Rahmen seiner beruflichen Tätigkeit regelmäßig mit personenbezogenen Daten – wie hier Gesundheitsdaten iSd. Art. 4 Z 15 DSGVO – konfrontiert ist, hätte sich mit den grundlegenden Vorschriften der seit 25.05.2018 in Geltung stehenden DSGVO auseinandersetzen müssen und gibt es keine Anzeichen, dass ihm das subjektiv nicht möglich gewesen wäre. Wie festgestellt, hat der BF auch keine Erkundigungen eingeholt, ob die Veröffentlichung der Reizung des Sehnenansatzes (in datenschutzrechtlicher Hinsicht) problematisch sein könnte. Beim BF ist von Fahrlässigkeit auszugehen. Er hätte erkennen müssen, dass die von ihm vorgenommene Verarbeitung von Gesundheitsdaten iSd Artikel 4, Ziffer 15, DSGVO der Betroffenen nicht im Einklang mit der DSGVO stehen kann. Hinweise, die eine Fahrlässigkeit beim BF ausschließen würden, sind im Zuge des Verfahrens nicht hervorgekommen. Der BF, der als Facharzt im Rahmen seiner beruflichen Tätigkeit regelmäßig mit personenbezogenen Daten – wie hier Gesundheitsdaten iSd. Artikel 4, Ziffer 15, DSGVO – konfrontiert ist, hätte sich mit den grundlegenden Vorschriften der seit 25.05.2018 in Geltung stehenden DSGVO auseinandersetzen müssen und gibt es keine Anzeichen, dass ihm das subjektiv nicht möglich gewesen wäre. Wie festgestellt, hat der BF auch keine Erkundigungen eingeholt, ob die Veröffentlichung der Reizung des Sehnenansatzes (in datenschutzrechtlicher Hinsicht) problematisch sein könnte. Strafbemessung: Zunächst ist der DSB zuzustimmen, dass der Strafrahmen im konkreten Fall gemäß Art. 83 Abs. 5 lit. a DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000 reicht. Zunächst ist der DSB zuzustimmen, dass der Strafrahmen im konkreten Fall gemäß Artikel 83, Absatz 5, Litera a, DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000 reicht. Die Geldbußen nach Art. 83 DSGVO werden nach den Umständen des Einzelfalls verhängt und haben wirksam, abschreckend und verhältnismäßig zu sein. Hierbei spielt der Gedanke der Generalprävention und Spezialprävention eine Rolle. Eine Sanktion ist abschreckend und wirksam, wenn sie geeignet ist, generell Normunterworfene von derartigen Verfehlungen abzuhalten und das Vertrauen in die Rechtsordnung zu unterstützen. Spezialprävention bedeutet eine subjektive Eignung der Sanktion, den konkreten Normunterworfenen von weiteren Verstößen abzuhalten (Illibauer in Knyrim,
DSGVO Rz 66, Stand 1.12.2021, rdb.at).Die Geldbußen nach Artikel 83, DSGVO werden nach den Umständen des Einzelfalls verhängt und haben wirksam, abschreckend und verhältnismäßig zu sein. Hierbei spielt der Gedanke der Generalprävention und Spezialprävention eine Rolle. Eine Sanktion ist abschreckend und wirksam, wenn sie geeignet ist, generell Normunterworfene von derartigen Verfehlungen abzuhalten und das Vertrauen in die Rechtsordnung zu unterstützen. Spezialprävention bedeutet eine subjektive Eignung der Sanktion, den konkreten Normunterworfenen von weiteren Verstößen abzuhalten (Illibauer in Knyrim,
Die von der DSB angeführten, erschwerenden Umstände der Tat, nämlich die Art, Dauer und Schwere des Verstoßes sowie die Kategorien personenbezogener Daten, sieht der erkennende Senat grundsätzlich weiterhin als gegeben an. Auch teilt der erkennende Senat – wie bereits ausgeführt – die Ansicht, dass von Fahrlässigkeit auszugehen ist. Die von der DSB als mildernd gewerteten Gründe, wie das Fehlen von einschlägigen Vorstrafen bzw. Verstößen gegen die DSGVO und der Beitrag zur Wahrheitsfindung, liegen nach Ansicht des erkennenden Senats weiterhin vor. Soweit der BF ins Treffen führt, dass er die Antwort auf die Google-Rezension gelöscht habe, um einen größeren Schaden abzuwenden und es als Minderungsgrund zu werten sei, wenn der Täter ernstlich bemüht sei, den verursachten Schaden gutzumachen oder weitere nachteilige Folgen zu verhindern, so ist auf Folgendes hinzuweisen: Art. 83 Abs. 3 lit. k DSGVO stellt eine Auffangklausel dar, um auch weitergehende Umstände im Einzelfall berücksichtigen zu können. Als erschwerend wurden bspw Verstöße im Datenschutz im Hinblick auf Gesundheitsdaten einer potenziell großen Anzahl an betroffenen Personen angesehen. Mildernd hingegen wirken sich umfassende Bemühungen zur sofortigen Behebung der Datenschutzverstöße sowie die Zusammenarbeit mit der Aufsichtsbehörde aus (Illibauer in Knyrim,
Der BF wurde mit Schreiben vom 12.03.2024 aufgefordert, sich zu rechtfertigen. Der BF hat seine Antwort auf die Rezension spätestens am 25.03.2024 selbständig gelöscht und teilte dies mit seinem Schreiben im Zuge der Rechtfertigung mit. Dem BF kommt daher ein weiterer Milderungsgrund zu Gute. Soweit der BF ins Treffen führt, dass er die Antwort auf die Google-Rezension gelöscht habe, um einen größeren Schaden abzuwenden und es als Minderungsgrund zu werten sei, wenn der Täter ernstlich bemüht sei, den verursachten Schaden gutzumachen oder weitere nachteilige Folgen zu verhindern, so ist auf Folgendes hinzuweisen: Artikel 83, Absatz 3, Litera k, DSGVO stellt eine Auffangklausel dar, um auch weitergehende Umstände im Einzelfall berücksichtigen zu können. Als erschwerend wurden bspw Verstöße im Datenschutz im Hinblick auf Gesundheitsdaten einer potenziell großen Anzahl an betroffenen Personen angesehen. Mildernd hingegen wirken sich umfassende Bemühungen zur sofortigen Behebung der Datenschutzverstöße sowie die Zusammenarbeit mit der Aufsichtsbehörde aus (Illibauer in Knyrim,
Der BF wurde mit Schreiben vom 12.03.2024 aufgefordert, sich zu rechtfertigen. Der BF hat seine Antwort auf die Rezension spätestens am 25.03.2024 selbständig gelöscht und teilte dies mit seinem Schreiben im Zuge der Rechtfertigung mit. Dem BF kommt daher ein weiterer Milderungsgrund zu Gute. Hinsichtlich der Ausführungen des BF betreffend die Verhängung der Mindeststrafe ist festzuhalten, dass Art. 83 Abs. 5 DSGVO ohnehin keine Mindeststrafen vorsieht. Festgehalten wird, dass die aktuellen finanziellen Verhältnisse des BF sowie Sorgepflichten ermittelt wurden. Angemerkt wird auch, dass der BF insbesondere seine Sorgepflichten vor der DSB nicht angab, weshalb diese von der DSB nicht berücksichtigt werden konnten. Hinsichtlich der Ausführungen des BF betreffend die Verhängung der Mindeststrafe ist festzuhalten, dass Artikel 83, Absatz 5, DSGVO ohnehin keine Mindeststrafen vorsieht. Festgehalten wird, dass die aktuellen finanziellen Verhältnisse des BF sowie Sorgepflichten ermittelt wurden. Angemerkt wird auch, dass der BF insbesondere seine Sorgepflichten vor der DSB nicht angab, weshalb diese von der DSB nicht berücksichtigt werden konnten. Wie bereits ausgeführt, werden Geldbußen nach Art. 83 DSGVO nach den Umständen des Einzelfalls verhängt und haben wirksam, abschreckend und verhältnismäßig zu sein. Hierbei spielt der Gedanke der Generalprävention und Spezialprävention eine Rolle. Festgehalten wird, dass nicht übersehen wird, dass bei geringfügigeren Verstößen oder im Fall der unverhältnismäßigen Belastung durch die Sanktion gegenüber natürlichen Personen die Möglichkeit besteht, anstelle einer Geldbuße eine Verwarnung auszusprechen (ErwGr 148) (Illibauer in Knyrim,
Im vorliegenden Fall kann von einer unverhältnismäßigen Belastung für den BF angesichts seines – im Vergleich zum österreichischen Medianeinkommen – hohen Einkommens nicht ausgegangen werden. Die unrechtmäßige Veröffentlichung von Gesundheitsdaten der Betroffenen durch den BF, indem er ohne Not die Diagnose der Betroffenen offenlegte, kann bereits aufgrund des Umstands, dass ein großer potentieller Adressatenkreis (alle Internetnutzer) über mehrere Wochen hinweg die Diagnose der Betroffenen durch das inkriminierte Verhalten des BF in Erfahrung bringen konnte, darüber hinaus als kein geringfügiger Verstoß qualifiziert werden. Weiters ist anzuführen, dass es sich um besonderen Schutz genießende Daten iSd Art. 9 Abs. 1 DSGVO handelt. Diesbezüglich wird jedoch angemerkt, dass nicht übersehen wird, dass die Intention des BF war, erklärend auf die Kritik der Patientin zu reagieren, er keine böswillige Absicht hatte und es sich zwar um ein sensibles Datum handelt, der BF die Diagnose jedoch allgemein gehalten hat. Die DSB führte in der mündlichen Verhandlung spezialpräventive Gründe ins Treffen und erläuterte, dass aus der Beschwerde hervorgehe, dass der BF die Heranziehung der Diagnose in der Google-Rezension als notwendig betrachtete, um die Richtigkeit seiner Vorgangsweise als Arzt darlegen zu können. Da nach wie vor auf die Richtigkeit dieser Vorgangsweise beharrt werde, könne auch keine Einsicht und damit auch kein Ausschluss spezialpräventiver Erwägungen angenommen werden. Diesbezüglich wird angeführt, dass eine Sanktion abschreckend und wirksam ist, wenn sie geeignet ist, generell Normunterworfene von derartigen Verfehlungen abzuhalten und das Vertrauen in die Rechtsordnung zu unterstützen. Spezialprävention bedeutet eine subjektive Eignung der Sanktion, den konkreten Normunterworfenen von weiteren Verstößen abzuhalten. Der BF hat in seiner Beschwerde angeführt, dass er anmerken wolle, dass er seine Antwort auf die Google-Rezension der Patientin gelöscht habe. Er habe einen ordentlichen Lebenswandel vorzuweisen und werde sich nicht mehr dazu hinreißen lassen, negative Kommentare bezüglich seiner Ordination zu kommentieren. Der erkennende Senat sieht diese Angaben des BF, der keine einschlägigen Vorstrafen aufweist und einen Beitrag zur Wahrheitsfindung leistete, insbesondere vor dem Hintergrund der gesetzten Handlung des BF, nämlich dem Löschen, als schlüssig und überzeugend an und sieht dadurch die spezialpräventiven Gründe als weniger stark ausgeprägt an. Unter Würdigung des festgestellten Sachverhaltes, des Schutzzwecks der übertretenen Norm und unter Berücksichtigung der aktuellen persönlichen Verhältnisse des BF (Vermögens- und Einkommenssituation sowie Sorgepflichten), der Milderungs- und Erschwerungsgründe und spezial- und generalpräventiven Überlegungen war die festgesetzte Strafe iSd Art. 83 Abs. 2 DSGVO entsprechend herabzusetzen. Wie bereits ausgeführt, werden Geldbußen nach Artikel 83, DSGVO nach den Umständen des Einzelfalls verhängt und haben wirksam, abschreckend und verhältnismäßig zu sein. Hierbei spielt der Gedanke der Generalprävention und Spezialprävention eine Rolle. Festgehalten wird, dass nicht übersehen wird, dass bei geringfügigeren Verstößen oder im Fall der unverhältnismäßigen Belastung durch die Sanktion gegenüber natürlichen Personen die Möglichkeit besteht, anstelle einer Geldbuße eine Verwarnung auszusprechen (ErwGr 148) (Illibauer in Knyrim,
Im vorliegenden Fall kann von einer unverhältnismäßigen Belastung für den BF angesichts seines – im Vergleich zum österreichischen Medianeinkommen – hohen Einkommens nicht ausgegangen werden. Die unrechtmäßige Veröffentlichung von Gesundheitsdaten der Betroffenen durch den BF, indem er ohne Not die Diagnose der Betroffenen offenlegte, kann bereits aufgrund des Umstands, dass ein großer potentieller Adressatenkreis (alle Internetnutzer) über mehrere Wochen hinweg die Diagnose der Betroffenen durch das inkriminierte Verhalten des BF in Erfahrung bringen konnte, darüber hinaus als kein geringfügiger Verstoß qualifiziert werden. Weiters ist anzuführen, dass es sich um besonderen Schutz genießende Daten iSd Artikel 9, Absatz eins, DSGVO handelt. Diesbezüglich wird jedoch angemerkt, dass nicht übersehen wird, dass die Intention des BF war, erklärend auf die Kritik der Patientin zu reagieren, er keine böswillige Absicht hatte und es sich zwar um ein sensibles Datum handelt, der BF die Diagnose jedoch allgemein gehalten hat. Die DSB führte in der mündlichen Verhandlung spezialpräventive Gründe ins Treffen und erläuterte, dass aus der Beschwerde hervorgehe, dass der BF die Heranziehung der Diagnose in der Google-Rezension als notwendig betrachtete, um die Richtigkeit seiner Vorgangsweise als Arzt darlegen zu können. Da nach wie vor auf die Richtigkeit dieser Vorgangsweise beharrt werde, könne auch keine Einsicht und damit auch kein Ausschluss spezialpräventiver Erwägungen angenommen werden. Diesbezüglich wird angeführt, dass eine Sanktion abschreckend und wirksam ist, wenn sie geeignet ist, generell Normunterworfene von derartigen Verfehlungen abzuhalten und das Vertrauen in die Rechtsordnung zu unterstützen. Spezialprävention bedeutet eine subjektive Eignung der Sanktion, den konkreten Normunterworfenen von weiteren Verstößen abzuhalten. Der BF hat in seiner Beschwerde angeführt, dass er anmerken wolle, dass er seine Antwort auf die Google-Rezension der Patientin gelöscht habe. Er habe einen ordentlichen Lebenswandel vorzuweisen und werde sich nicht mehr dazu hinreißen lassen, negative Kommentare bezüglich seiner Ordination zu kommentieren. Der erkennende Senat sieht diese Angaben des BF, der keine einschlägigen Vorstrafen aufweist und einen Beitrag zur Wahrheitsfindung leistete, insbesondere vor dem Hintergrund der gesetzten Handlung des BF, nämlich dem Löschen, als schlüssig und überzeugend an und sieht dadurch die spezialpräventiven Gründe als weniger stark ausgeprägt an. Unter Würdigung des festgestellten Sachverhaltes, des Schutzzwecks der übertretenen Norm und unter Berücksichtigung der aktuellen persönlichen Verhältnisse des BF (Vermögens- und Einkommenssituation sowie Sorgepflichten), der Milderungs- und Erschwerungsgründe und spezial- und generalpräventiven Überlegungen war die festgesetzte Strafe iSd Artikel 83, Absatz 2, DSGVO entsprechend herabzusetzen. Festgehalten wird, dass auf eine Verkündung in der mündlichen Verhandlung ausdrücklich durch die Parteien verzichtet wurde (VP S. 9). Verfahrenskosten: Die Kosten des behördlichen Verfahrens belaufen sich gemäß § 64 Abs. 2 VStG auf EUR 300,00. Gemäß § 52 Abs. 8 VwGVG hat der BF keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen.Die Kosten des behördlichen Verfahrens belaufen sich gemäß Paragraph 64, Absatz 2, VStG auf EUR 300,00. Gemäß Paragraph 52, Absatz 8, VwGVG hat der BF keine Kosten des verwaltungsgerichtlichen Verfahrens zu tragen. Zu B) Unzulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Es war daher spruchgemäß zu entscheiden. Zahlungsinformation: Sie haben den Gesamtbetrag von 3.300 EUR (nunmehr festgesetzte Strafe, Kosten des behördlichen Verfahrens) binnen zwei Wochen auf das Konto des Bundesverwaltungsgerichtes (BVwG) mit dem IBAN AT840100000005010167 (BIC BUNDATWW) unter Angabe der Verfahrenszahl spesenfrei für den Empfänger einzuzahlen. European Case Law IdentifierECLI:AT:BVWG:2025:W291.2298821.1.00
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.