3-VG zulässig. Die Revision ist
Entscheidungsgründe: Mit (unvertreten erhobener) Datenschutzbeschwerde über die elektronische Eingabemaske der Datenschutzbehörde (in Folge: belangte Behörde) beantragte XXXX (im folgenden Beschwerdeführer, BF) Feststellung der Verletzung in Recht auf Auskunft durch XXXX , „Rechtsanwaltskanzlei“ (im Folgenden: Mitbeteiligte, MB) und brachte vor, er habe die MB am 03.07.2025 um Auskunft „
1a, b, c, d und g“ ersucht. Am 14.07.2025 habe er von der MB eine Antwort erhalten, wonach die MB den BF als Gegner angelegt habe und dementsprechend dieser mit Namen, Geburtsdatum und Adresse in ihrem Rechtsanwaltsprogramm aufscheine. Am 15.07.2025 habe sie die MB um fehlende Informationen hinsichtlich der Empfänger, denen gegenüber seine personenbezogenen Daten offengelegt worden seien (§ 15 Abs. 1c DSGVO), die geplante Speicherdauer (leg cit lit.
Am 14.07.2025 habe er von der MB eine Antwort erhalten, wonach die MB den BF als Gegner angelegt habe und dementsprechend dieser mit Namen, Geburtsdatum und Adresse in ihrem Rechtsanwaltsprogramm aufscheine. Am 15.07.2025 habe sie die MB um fehlende Informationen hinsichtlich der Empfänger, denen gegenüber seine personenbezogenen Daten offengelegt worden seien (Paragraph 15, Absatz eins c, DSGVO), die geplante Speicherdauer (leg cit Litera b,) und die Herkunft seiner Daten (Litera g,) ersucht, wobei bis zur Erhebung der Datenschutzbeschwerde keine Informationen erhalten habe. Über Aufforderung teilte die MB gegenüber der belangten Behörde als auch dem BF nachstehende Informationen über die Verarbeitung ihrer personenbezogenen Daten mit: „
RAO nach fünf Jahren, gerechnet von dem Zeitpunkt, an dem das Auftragsverhältnis mit der Partei beendet wurde. Sämtliche in diesem Zusammenhang verarbeiteten personenbezogenen Daten werden längstens nach Ablauf von zehn Jahren gelöscht.
1 DSG verletzt. Die Exfrau des BF verfüge über ein eigenes E-Mail-Postfach. Bedenklich sei, dass die genannte dritte Person Kenntnis über die Informationen des BF (Gehalt, Entwurf der Scheidungsfolgenvereinbarung, vom Vater erhaltene Geldbeträge und Verkehrswert der Immobilie) habe. Der BF habe kein Einverständnis erklärt, seine Daten an den Dritten zu übermitteln. Es stelle sich daher die Frage, ob dieser seine Daten an andere weitergeleitet habe. Somit sei der BF in seinem Grundrecht auf Geheimhaltung
Paragraph eins, Absatz eins, DSG verletzt. Mit Mitteilung vom 06.10.2025 führte die belangte Behörde zusammengefasst aus, der BF habe im Rahmen des Parteiengehörs nunmehr vorgebracht, dass er die Auskunft nach wie vor als mangelhaft erachte. Gleichzeitig habe er eine Verletzung im Recht auf Geheimhaltung behauptet, wodurch sich die Sache ihrem Wesen nach geändert habe.
6 DSG sei von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen, wenn durch eine Äußerung des BF die Sache ihrem Wesen nach geändert werde. Diesfalls sei das ursprüngliche Beschwerdeverfahren formlos einzustellen.
Paragraph 24, Absatz 6, DSG sei von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen, wenn durch eine Äußerung des BF die Sache ihrem Wesen nach geändert werde. Diesfalls sei das ursprüngliche Beschwerdeverfahren formlos einzustellen. Die Eingabe des BF vom 02.10.2025 wegen behaupteter Verletzung im Recht auf Geheimhaltung werde es als neue Beschwerde unter Beibehaltung der gleichen Geschäftszahl behandelt. Nach Aufforderung durch die belangte Behörde vom gleichen Tag nahm die MB mit Schreiben vom 20.10.2025 neuerlich Stellung, führte zusammengefasst aus, sie sei von der BF mit deren rechtsanwaltlichen Vertretung in dem vor dem BG XXXX geführten Ehescheidungsverfahren gegen den BF beauftragt worden. Im Zuge dieses Mandats habe ihr ihre Mandantin mitgeteilt, dass sie befürchte, dass ihr damaliger Noch-Ehemann Zugriff auf ihr persönliches E-Mail-Postfach habe und die Korrespondenz lese. Sie habe daher anlässlich der Erstbesprechung am 30.01.2025 die MB ersucht, sämtliche elektronische Korrespondenz über die E-Mail-Adresse ihres Onkels XXXX , XXXX , zu führen, um sicherzustellen, dass die vertrauliche Anwaltskorrespondenz nicht vom BF eingesehen werden könne. Die MB habe diesem ausdrücklichen Wunsch ihrer Mandantin entsprochen und ausschließlich zu diesem Zweck E-Mails an seine Mandantin an die genannte Adresse übermittelt und als Adressatin „Frau XXXX “ angeführt. Aus dem vom BF vorgelegten Lichtbild ergebe sich, dass sich dieser offenbar widerrechtlich Zugang zu ihm nicht zugestellter E-Mail-Korrespondenz verschafft habe und somit die Befürchtung der Mandantin der MB berechtigt gewesen sei. Die Verarbeitung durch die MB sei daher im Rahmen ihrer anwaltlichen Tätigkeit auf Grundlage von Art 6 Abs. 1 lit. b DSG (Erfüllung eines „Vertrags – Mandatsverhältnis“) sowie ergänzend Art 6 Abs. 1 lit f DSGVO (berechtigtes Interesse an einer sicheren, vertraulichen Mandatskommunikation) erfolgt. Die Weitergabe von Daten an unbefugte Dritte habe nicht stattgefunden. Es liege aufgrund des ausdrücklichen Wunsches ihrer Mandantin eine Einwilligung
1 lit. a DSGVO zusätzlich vor. Nach Aufforderung durch die belangte Behörde vom gleichen Tag nahm die MB mit Schreiben vom 20.10.2025 neuerlich Stellung, führte zusammengefasst aus, sie sei von der BF mit deren rechtsanwaltlichen Vertretung in dem vor dem BG römisch 40 geführten Ehescheidungsverfahren gegen den BF beauftragt worden. Im Zuge dieses Mandats habe ihr ihre Mandantin mitgeteilt, dass sie befürchte, dass ihr damaliger Noch-Ehemann Zugriff auf ihr persönliches E-Mail-Postfach habe und die Korrespondenz lese. Sie habe daher anlässlich der Erstbesprechung am 30.01.2025 die MB ersucht, sämtliche elektronische Korrespondenz über die E-Mail-Adresse ihres Onkels römisch 40 , römisch 40 , zu führen, um sicherzustellen, dass die vertrauliche Anwaltskorrespondenz nicht vom BF eingesehen werden könne. Die MB habe diesem ausdrücklichen Wunsch ihrer Mandantin entsprochen und ausschließlich zu diesem Zweck E-Mails an seine Mandantin an die genannte Adresse übermittelt und als Adressatin „Frau römisch 40 “ angeführt. Aus dem vom BF vorgelegten Lichtbild ergebe sich, dass sich dieser offenbar widerrechtlich Zugang zu ihm nicht zugestellter E-Mail-Korrespondenz verschafft habe und somit die Befürchtung der Mandantin der MB berechtigt gewesen sei. Die Verarbeitung durch die MB sei daher im Rahmen ihrer anwaltlichen Tätigkeit auf Grundlage von Artikel 6, Absatz eins, Litera b, DSG (Erfüllung eines „Vertrags – Mandatsverhältnis“) sowie ergänzend Artikel 6, Absatz eins, Litera f, DSGVO (berechtigtes Interesse an einer sicheren, vertraulichen Mandatskommunikation) erfolgt. Die Weitergabe von Daten an unbefugte Dritte habe nicht stattgefunden. Es liege aufgrund des ausdrücklichen Wunsches ihrer Mandantin eine Einwilligung
Das in § 1 DSG verankerte Recht auf Geheimhaltung schütze personenbezogene Daten nur insoweit, als ein schutzwürdiges Interesse daran bestehe. Ein solches Interesse des BF bestehe hier nicht, da dieser nicht Betroffener der fraglichen Kommunikation sei und kein Recht auf Einsicht in die anwaltliche Korrespondenz zwischen der MB und ihrer ehemaligen Mandantin habe. Die gewählte Kommunikationsform habe gerade dem Schutz der Vertraulichkeit gegenüber dem BF und somit der Wahrung der anwaltlichen Verschwiegenheitspflicht nach § 9 RAO gedient. Die Kommunikation über die genannte E-Mail-Adresse habe der Übermittlung von Schriftsätzen, Entwürfen und Unterlagen an ihre Mandantin gedient. Es sei keine Offenlegung von personenbezogenen Daten an XXXX oder sonstige Dritte über das zur technischen Übermittlung hinausgehende Maß hinaus erfolgt. Es liege keine Verletzung des Rechts auf Geheimhaltung vor. Das in Paragraph eins, DSG verankerte Recht auf Geheimhaltung schütze personenbezogene Daten nur insoweit, als ein schutzwürdiges Interesse daran bestehe. Ein solches Interesse des BF bestehe hier nicht, da dieser nicht Betroffener der fraglichen Kommunikation sei und kein Recht auf Einsicht in die anwaltliche Korrespondenz zwischen der MB und ihrer ehemaligen Mandantin habe. Die gewählte Kommunikationsform habe gerade dem Schutz der Vertraulichkeit gegenüber dem BF und somit der Wahrung der anwaltlichen Verschwiegenheitspflicht nach Paragraph 9, RAO gedient. Die Kommunikation über die genannte E-Mail-Adresse habe der Übermittlung von Schriftsätzen, Entwürfen und Unterlagen an ihre Mandantin gedient. Es sei keine Offenlegung von personenbezogenen Daten an römisch 40 oder sonstige Dritte über das zur technischen Übermittlung hinausgehende Maß hinaus erfolgt. Es liege keine Verletzung des Rechts auf Geheimhaltung vor. Der BF führte mit E-Mail vom 07.11.2025 zusammengefasst ergänzend aus, er habe nie Zugriff auf die E-Mail-Adresse seiner Exfrau gehabt. Selbst wenn seine Exfrau eine diesbezügliche Angst gehabt haben sollte, wäre es einfach gewesen für die digitale sichere und vertrauliche Kommunikation mit ihrer Rechtsvertretung das Passwort des bestehenden Postfaches zu ändern oder eine neue E-Mail-Adresse zu erstellen. Auch eine Kommunikation über den Postweg wäre möglich gewesen. Jedenfalls wäre es nicht notwendig gewesen, über die E-Mail-Adresse eines Dritten zu kommunizieren. Der Adressat der E-Mail sei XXXX und die Anrede im Text beziehe sich auf Frau XXXX . Der BF weise das Vorbringen der MB hinsichtlich der Entstehung des Lichtbildes zurück. Die genannten Unterlagen hätten dem BF gefehlt. Er habe sie sodann in einer nicht versperrten Schublade im Elternschlafzimmer gefunden. Dabei sei er auch auf besagte ausgedruckte E-Mail mit den genannten Beilagen gestoßen und habe diese zwecks Beweissicherung fotografisch dokumentiert. Er hat sich keinen widerrechtlichen Zugang zu ihm nicht zugestellter E-Mail-Korrespondenz verschafft. Der BF führte mit E-Mail vom 07.11.2025 zusammengefasst ergänzend aus, er habe nie Zugriff auf die E-Mail-Adresse seiner Exfrau gehabt. Selbst wenn seine Exfrau eine diesbezügliche Angst gehabt haben sollte, wäre es einfach gewesen für die digitale sichere und vertrauliche Kommunikation mit ihrer Rechtsvertretung das Passwort des bestehenden Postfaches zu ändern oder eine neue E-Mail-Adresse zu erstellen. Auch eine Kommunikation über den Postweg wäre möglich gewesen. Jedenfalls wäre es nicht notwendig gewesen, über die E-Mail-Adresse eines Dritten zu kommunizieren. Der Adressat der E-Mail sei römisch 40 und die Anrede im Text beziehe sich auf Frau römisch 40 . Der BF weise das Vorbringen der MB hinsichtlich der Entstehung des Lichtbildes zurück. Die genannten Unterlagen hätten dem BF gefehlt. Er habe sie sodann in einer nicht versperrten Schublade im Elternschlafzimmer gefunden. Dabei sei er auch auf besagte ausgedruckte E-Mail mit den genannten Beilagen gestoßen und habe diese zwecks Beweissicherung fotografisch dokumentiert. Er hat sich keinen widerrechtlichen Zugang zu ihm nicht zugestellter E-Mail-Korrespondenz verschafft. Seltsam finde der BF die Aussage, dass eine Weitergabe von Daten und Fotos nicht stattgefunden habe. Er denke nicht, dass die Einwilligung seiner Exfrau nach Art 6 Abs. 1 lit. a DSGVO ihre Rechtsvertretung ermächtige, personenbezogene Daten des BF an einen Dritten weiterzugeben. Der BF habe ein schutzwürdiges Interesse, dass bestimmte Daten von ihm geschützt werden. Er sei sehr wohl Betroffener der fraglichen Kommunikation, da in dieser seine personenbezogenen Daten elektronisch übermittelt worden seien und sich die Daten auf seine Person bezogen. „ XXXX “ sei im Scheidungsverfahren eine unbeteiligte Person. Die dem Dritten übermittelten Daten seien keineswegs allgemein verfügbar, somit bestehe ein schutzwürdiges Interesse des BF. Betreffend Gehalt inklusive der detaillierten Aufstellung aller Gehaltsbestandteile, seiner Kontonummer, seiner Sozialversicherungsnummer und seiner Zugehörigkeit zur Gewerkschaft handle es sich um ein sensibles Datum. Auch die Scheidungsfolgenvereinbarung samt Kontaktrecht zur Tochter, vermögungsrelevanten Bestimmungen und von seinem Vater erhaltene Geldbeträge ließen eine Rückführbarkeit auf seine Person zu. Seltsam finde der BF die Aussage, dass eine Weitergabe von Daten und Fotos nicht stattgefunden habe. Er denke nicht, dass die Einwilligung seiner Exfrau nach Artikel 6, Absatz eins, Litera a, DSGVO ihre Rechtsvertretung ermächtige, personenbezogene Daten des BF an einen Dritten weiterzugeben. Der BF habe ein schutzwürdiges Interesse, dass bestimmte Daten von ihm geschützt werden. Er sei sehr wohl Betroffener der fraglichen Kommunikation, da in dieser seine personenbezogenen Daten elektronisch übermittelt worden seien und sich die Daten auf seine Person bezogen. „ römisch 40 “ sei im Scheidungsverfahren eine unbeteiligte Person. Die dem Dritten übermittelten Daten seien keineswegs allgemein verfügbar, somit bestehe ein schutzwürdiges Interesse des BF. Betreffend Gehalt inklusive der detaillierten Aufstellung aller Gehaltsbestandteile, seiner Kontonummer, seiner Sozialversicherungsnummer und seiner Zugehörigkeit zur Gewerkschaft handle es sich um ein sensibles Datum. Auch die Scheidungsfolgenvereinbarung samt Kontaktrecht zur Tochter, vermögungsrelevanten Bestimmungen und von seinem Vater erhaltene Geldbeträge ließen eine Rückführbarkeit auf seine Person zu. Daher sei einerseits eine Verletzung des Rechts auf Geheimhaltung festzustellen, andererseits die Auskunft durch die MB, wem gegenüber sie seine personenbezogenen Daten offengelegt habe, als nicht vollständig zu beurteilen, weil die genannte E-Mail-Adresse XXXX in der Beantwortung seiner Anfrage nicht erwähnt sei.Daher sei einerseits eine Verletzung des Rechts auf Geheimhaltung festzustellen, andererseits die Auskunft durch die MB, wem gegenüber sie seine personenbezogenen Daten offengelegt habe, als nicht vollständig zu beurteilen, weil die genannte E-Mail-Adresse römisch 40 in der Beantwortung seiner Anfrage nicht erwähnt sei. Mit dem bekämpften Bescheid wies die belangte Behörde die Beschwerde als unbegründet ab und traf folgende Sachverhaltsfeststellungen: „1. Die Datenschutzbehörde legt das Vorbringen unter Punkt A ihren Sachverhaltsfeststellungen zugrunde (relevantes Vorbringen, Anmerkung). 2. Zwischen dem Beschwerdeführer und seiner Exgattin ist bzw. war zum verfahrensrelevanten Zeitpunkt ein Ehescheidungsverfahren beim BG XXXX (gemeint: BG XXXX , Anmerkung) zur GZ: 1 „FAM XXXX “ anhängig. Bei der MB handelt es sich um eine in XXXX tätige Rechtsanwältin, welche die Rechtsvertretung für die Exgattin des BF im genannten Verfahren übernommen hat. In dem Zusammenhang hat sie die für das Ehescheidungsverfahren erforderlichen Daten des BF verarbeitet und gespeichert. 2. Zwischen dem Beschwerdeführer und seiner Exgattin ist bzw. war zum verfahrensrelevanten Zeitpunkt ein Ehescheidungsverfahren beim BG römisch 40 (gemeint: BG römisch 40 , Anmerkung) zur GZ: 1 „FAM römisch 40 “ anhängig. Bei der MB handelt es sich um eine in römisch 40 tätige Rechtsanwältin, welche die Rechtsvertretung für die Exgattin des BF im genannten Verfahren übernommen hat. In dem Zusammenhang hat sie die für das Ehescheidungsverfahren erforderlichen Daten des BF verarbeitet und gespeichert. 3. Mit E-Mail vom 03.07.2025 richtete der BF nachfolgende Nachricht per E-Mail an die MB (auszugsweise soweit verfahrensrelevant): DSGVO, Auskunftsbegehren nach Art. 15DSGVO, Auskunftsbegehren nach Artikel 15 Sehr geehrte Frau [MB]! In Entsprechung des Artikels 15 DSGVO ersuche ich sie um Auskunft, welche personenbezogenen Daten sie von mir verarbeiten und mir die Informationen
a, b, c, d und g zur Verfügung zu stellen. In Entsprechung des Artikels 15 DSGVO ersuche ich sie um Auskunft, welche personenbezogenen Daten sie von mir verarbeiten und mir die Informationen
Mit freundlichen Grüßen [BF]
zu führen und Klientenaufträge nur insoweit zu befolgen, als sie dem Gesetz nicht widerstreiten. Die MB als Rechtsanwältin sei in diesem Zusammenhang Sachverständige nach § 1299 ABGB iVm § 9 RAO. Die Forderung eines juristischen Laien auf anwaltliche Offenlegung von vor Dritten gesetzlich geschützten Akteninhalten, personenbezogene Daten des BF beinhaltend mit dem Potenzial der Verletzung der Privatsphäre an eine dritte Person durch die MB als Rechtsanwältin, sei – trotz Aufforderung der Mandantin – als gesetzwidrig abzulehnen. Die gesetzwidrige Aufforderung der Exgattin im Zuge der Mandatsabwicklung entbinde die MB nicht von ihrer datenschutzrechtlichen Verantwortung. Als Rechtsanwältin hätte die MB für das laufende Verfahren alternative, datenschutzkonforme Kommunikationswege wählen müssen, wie z. B. die Bereitstellung eines sicheren Downloadbereichs oder über einen passwortgeschützten Link. Dem hält der BF in der Beschwerde zusammengefasst entgegen, die MB sei über die damalige Ehegattin des BF als Rechtsanwältin in einer gerichtsanhängigen Scheidungsangelegenheit in einem Verfahren nach dem AußStrG eingeschritten. Sie habe in diesem Zusammenhang die festgestellten personenbezogenen Daten des BF an ein privates E-Mail-Postfach eines nicht am Verfahren beteiligten Dritten übermittelt. RechtsanwältInnen hätten die Vertretung nach Paragraph 9, RAO dem Gesetz
zu führen und Klientenaufträge nur insoweit zu befolgen, als sie dem Gesetz nicht widerstreiten. Die MB als Rechtsanwältin sei in diesem Zusammenhang Sachverständige nach Paragraph 1299, ABGB in Verbindung mit Paragraph 9, RAO. Die Forderung eines juristischen Laien auf anwaltliche Offenlegung von vor Dritten gesetzlich geschützten Akteninhalten, personenbezogene Daten des BF beinhaltend mit dem Potenzial der Verletzung der Privatsphäre an eine dritte Person durch die MB als Rechtsanwältin, sei – trotz Aufforderung der Mandantin – als gesetzwidrig abzulehnen. Die gesetzwidrige Aufforderung der Exgattin im Zuge der Mandatsabwicklung entbinde die MB nicht von ihrer datenschutzrechtlichen Verantwortung. Als Rechtsanwältin hätte die MB für das laufende Verfahren alternative, datenschutzkonforme Kommunikationswege wählen müssen, wie z. B. die Bereitstellung eines sicheren Downloadbereichs oder über einen passwortgeschützten Link. Durch die diesbezügliche unrichtige Rechtsansicht der belangten Behörde zur Rolle der Verantwortlichen sei es nicht mehr zur Prüfung der Rechtmäßigkeit bzw. einer Interessenabwägung gekommen. Überwiegende Interessen der MB oder des Dritten (des nicht verfahrensbeteiligten Onkels) seien nicht im Ansatz gegeben, hingegen überwägen die Interessen und Grundrechte des BF in Bezug auf seine personenbezogenen Daten. Der Eingriff in das Recht auf Datenschutz sei nicht verhältnismäßig und es wäre jedenfalls ein gelinderes Mittel möglich gewesen. Die MB hält dem in ihrer Stellungnahme entgegen, die Ex-Gattin des BF habe die MB anlässlich der Erstbesprechung am 30.01.2025 damit beauftragt, sämtliche elektronische Korrespondenz über die E-Mail-Adresse ihres Onkels, XXXX , zu führen, um sicherzustellen, dass die zwischen ihr und der MB geführte vertrauliche Korrespondenz nicht vom BF eingesehen werden könne. Zu keinem Zeitpunkt sei es seitens der MB zu einer „Offenlegung“ an einen Dritten gekommen. Die MB habe dem ausdrücklichen Auftrag Ihrer Mandantin entsprochen. Die MB hält dem in ihrer Stellungnahme entgegen, die Ex-Gattin des BF habe die MB anlässlich der Erstbesprechung am 30.01.2025 damit beauftragt, sämtliche elektronische Korrespondenz über die E-Mail-Adresse ihres Onkels, römisch 40 , zu führen, um sicherzustellen, dass die zwischen ihr und der MB geführte vertrauliche Korrespondenz nicht vom BF eingesehen werden könne. Zu keinem Zeitpunkt sei es seitens der MB zu einer „Offenlegung“ an einen Dritten gekommen. Die MB habe dem ausdrücklichen Auftrag Ihrer Mandantin entsprochen. Der BF habe sich offenbar widerrechtlich Zugang zu ihm nicht zugestellter E-Mail-Korrespondenz verschafft. Es sei davon auszugehen, dass der BF die Ehewohnung nach dieser Korrespondenz durchsucht habe. Rechtsanwälte würden, wenn sie Daten für den Zweck der Vertretung ihrer Mandanten verarbeiten, regelmäßig als für die Verarbeitung Verantwortliche tätig. Die belangte Behörde habe aber rechts- und folgerichtig erkannt, dass dies nur dann der Fall sei, wenn diese im Regelfall selbständig und ohne Weisung des Mandanten darüber entscheiden. Insofern sei die MB nicht Verantwortliche, soweit die Datenverarbeitung den Kommunikationsweg betreffe. Die Entscheidung, welche E-Mail-Adresse für die Mandatskommunikation verwendete werden solle, sei ausschließlich von der Mandantin der MB getroffen worden. Diese habe der MB nachdrücklich mitgeteilt, dass sie aus nachvollziehbaren Gründen befürchte, dass der BF Zugriff auf ihr persönliches E-Mail-Postfach habe, weshalb sie wünsche, dass die Korrespondenz an jenes des Onkels übermittelt werde. Die MB habe diese Entscheidung nicht initiiert, nicht vorgegeben und nicht eigenständig getroffen, sondern lediglich den klar geäußerten Willen ihrer Mandantin umgesetzt. Damit fehle es an einer eigenständigen Entscheidungsmacht über den Zweck und die Mittel der Datenverarbeitung. Mit dem Onkel der Mandantin habe weder Kommunikation stattgefunden, noch sei diesem die Einsichts- und Abschriftnahme ermöglicht worden. Der BF habe lediglich eine „Übermittlung“, nicht aber eine „Offenlegung“ von personenbezogenen Daten an XXXX nachweisen können. Rechtsanwälte würden, wenn sie Daten für den Zweck der Vertretung ihrer Mandanten verarbeiten, regelmäßig als für die Verarbeitung Verantwortliche tätig. Die belangte Behörde habe aber rechts- und folgerichtig erkannt, dass dies nur dann der Fall sei, wenn diese im Regelfall selbständig und ohne Weisung des Mandanten darüber entscheiden. Insofern sei die MB nicht Verantwortliche, soweit die Datenverarbeitung den Kommunikationsweg betreffe. Die Entscheidung, welche E-Mail-Adresse für die Mandatskommunikation verwendete werden solle, sei ausschließlich von der Mandantin der MB getroffen worden. Diese habe der MB nachdrücklich mitgeteilt, dass sie aus nachvollziehbaren Gründen befürchte, dass der BF Zugriff auf ihr persönliches E-Mail-Postfach habe, weshalb sie wünsche, dass die Korrespondenz an jenes des Onkels übermittelt werde. Die MB habe diese Entscheidung nicht initiiert, nicht vorgegeben und nicht eigenständig getroffen, sondern lediglich den klar geäußerten Willen ihrer Mandantin umgesetzt. Damit fehle es an einer eigenständigen Entscheidungsmacht über den Zweck und die Mittel der Datenverarbeitung. Mit dem Onkel der Mandantin habe weder Kommunikation stattgefunden, noch sei diesem die Einsichts- und Abschriftnahme ermöglicht worden. Der BF habe lediglich eine „Übermittlung“, nicht aber eine „Offenlegung“ von personenbezogenen Daten an römisch 40 nachweisen können. Folgende Rechtsvorschriften sind fallbezogen relevant:
Z 2 DSGVO bezeichnet der Ausdruck „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsweise im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung …
, Ziffer 2, DSGVO bezeichnet der Ausdruck „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsweise im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung … Offenlegung durch Übermittlung … ist ein Begriff, der alle Vorgänge beschreibt, durch die der Verantwortliche personenbezogene Daten anderen Stellen in einer Weise zugänglich macht, die es diesen erlauben, vom Informationsgehalt Kenntnis zu haben. Offenlegung (disclosure) meint damit den Vorgang, Dritten Kenntnis oder die Möglichkeit zur Kenntnisnahme zu verschaffen. Hierdurch verdoppelt oder vervielfacht sich die Zahl der Stellen, die Kenntnis im Zusammenhang mit den personenbezogenen Daten haben können, wodurch sich die spezifische Gefahr der Offenlegung zeigt. … Ob Daten mündlich weitergegeben werden, ob ein Brief oder E-Mail verschickt wird, bei der neue Kopien entstehen, oder ob Daten auf einer Website oder in einem Internet-Forum anderen zur Kenntnis gebracht wurden, unterfällt gleichermaßen dem Begriff der Offenlegung (Hödl in Knyrim, Datkomm Art. 4 DSGVO (Stand 01.12.2018) rdb.at, Rz 35). Offenlegung durch Übermittlung … ist ein Begriff, der alle Vorgänge beschreibt, durch die der Verantwortliche personenbezogene Daten anderen Stellen in einer Weise zugänglich macht, die es diesen erlauben, vom Informationsgehalt Kenntnis zu haben. Offenlegung (disclosure) meint damit den Vorgang, Dritten Kenntnis oder die Möglichkeit zur Kenntnisnahme zu verschaffen. Hierdurch verdoppelt oder vervielfacht sich die Zahl der Stellen, die Kenntnis im Zusammenhang mit den personenbezogenen Daten haben können, wodurch sich die spezifische Gefahr der Offenlegung zeigt. … Ob Daten mündlich weitergegeben werden, ob ein Brief oder E-Mail verschickt wird, bei der neue Kopien entstehen, oder ob Daten auf einer Website oder in einem Internet-Forum anderen zur Kenntnis gebracht wurden, unterfällt gleichermaßen dem Begriff der Offenlegung (Hödl in Knyrim, Datkomm Artikel 4, DSGVO (Stand 01.12.2018) rdb.at, Rz 35). Übermittlung (transmission) iSd DSGVO ist eine Unterform der Offenlegung und ist die Mitteilung an individuell bestimmte Adressaten, sei es mündlich, schriftlich, elektronisch oder auf andere Weise. … Der EuGH versteht das Übermitteln in diesem Kontext daher als einen Vorgang, durch den Informationen an Personen gesendet werden, die zum Empfang nicht bestimmte Seiten bewusst aufsuchen müssen (wie oben, Rz 36).
Z 7 bezeichnet der Ausdruck „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet …
, Ziffer 7, bezeichnet der Ausdruck „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet … Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten (wie oben, Rz 77). Die Rolle des für die Verarbeitung Verantwortlichen definiert sich durch drei Merkmale:
1 ist der Rechtsanwalt verpflichtet, die übernommenen Vertretungen dem Gesetz
zu führen und die Rechte seiner Partei gegen jedermann mit Eifer, Treue und Gewissenhaftigkeit zu vertreten. Er ist befugt, alles, was er nach dem Gesetz zur Vertretung seiner Partei für dienlich erachtet, unumwunden vorzubringen, ihre Angriffs- und Verteidigungsmittel in jeder Weise zu gebrauchen, welche seinem Auftrag, seinem Gewissen und den Gesetzen nicht widerstreiten.
Paragraph 9, RAO Absatz eins, ist der Rechtsanwalt verpflichtet, die übernommenen Vertretungen dem Gesetz
zu führen und die Rechte seiner Partei gegen jedermann mit Eifer, Treue und Gewissenhaftigkeit zu vertreten. Er ist befugt, alles, was er nach dem Gesetz zur Vertretung seiner Partei für dienlich erachtet, unumwunden vorzubringen, ihre Angriffs- und Verteidigungsmittel in jeder Weise zu gebrauchen, welche seinem Auftrag, seinem Gewissen und den Gesetzen nicht widerstreiten.
Abs. 2 ist der Rechtsanwalt zur Verschwiegenheit über die ihm anvertrauten Angelegenheiten und ihm sonst in seiner beruflichen Eigenschaft bekannt gewordenen Tatsachen, deren Geheimhaltung im Interesse seiner Partei gelegen ist, verpflichtet. Er hat in gerichtlichen und sonstigen behördlichen Verfahren nach Maßgabe der verfahrensrechtlichen Vorschriften das Recht auf diese Verschwiegenheit.
Absatz 2, ist der Rechtsanwalt zur Verschwiegenheit über die ihm anvertrauten Angelegenheiten und ihm sonst in seiner beruflichen Eigenschaft bekannt gewordenen Tatsachen, deren Geheimhaltung im Interesse seiner Partei gelegen ist, verpflichtet. Er hat in gerichtlichen und sonstigen behördlichen Verfahren nach Maßgabe der verfahrensrechtlichen Vorschriften das Recht auf diese Verschwiegenheit.
Abs. 4 kann sich, soweit dies das Recht des Rechtsanwalts auf Verschwiegenheit zur Sicherstellung des Schutzes Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche erfordert, die betroffene Person nicht auf die Rechte der Art. 12 bis 22 und Art. 34 DSGVO sowie des § 1 DSG berufen.
Absatz 4, kann sich, soweit dies das Recht des Rechtsanwalts auf Verschwiegenheit zur Sicherstellung des Schutzes Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche erfordert, die betroffene Person nicht auf die Rechte der Artikel 12 bis 22 und Artikel 34, DSGVO sowie des Paragraph eins, DSG berufen. Die anwaltliche Tätigkeit ist dem Gesetz
zu führen. Sowohl das Interesse des Klienten als auch dessen Auftrag haben diesem Grundsatz zu weichen. Ein Rechtsanwalt genießt im Hinblick auf sein rechtliches Fachwissen, verbunden mit der Verpflichtung, die Gesetze unverbrüchlich zu beobachten und übernommene Vertretungen dem Gesetz
zu führen, eine besondere, nach dazu gefestigte Standesauffassung angestrebte Vertrauensstellung in der Öffentlichkeit (Lehner in Engelhart/Hoffmann/Lehner/Rohregger/Vitek, RAO11 § 9, Stand 01.11.2022, rdb.at, Rz 6). Die anwaltliche Tätigkeit ist dem Gesetz
zu führen. Sowohl das Interesse des Klienten als auch dessen Auftrag haben diesem Grundsatz zu weichen. Ein Rechtsanwalt genießt im Hinblick auf sein rechtliches Fachwissen, verbunden mit der Verpflichtung, die Gesetze unverbrüchlich zu beobachten und übernommene Vertretungen dem Gesetz
zu führen, eine besondere, nach dazu gefestigte Standesauffassung angestrebte Vertrauensstellung in der Öffentlichkeit (Lehner in Engelhart/Hoffmann/Lehner/Rohregger/Vitek, RAO11 Paragraph 9,, Stand 01.11.2022, rdb.at, Rz 6). Der Rechtsanwalt ist verpflichtet, sein Verhalten bei der Vertretung eines Klienten, demnach auch sein Vorbringen, dahin zu überprüfen und zu gestalten, dass es seinem Auftrag, seinem Gewissen und den Gesetzen nicht widerstreitet. Wenn der Klient ein Vorbringen wünscht, welches dieser Überprüfung nicht standhält, hat es der Rechtsanwalt zu unterlassen, selbst wenn es dadurch seitens des Klienten oder seinerseits zu einer Lösung des Vollmachtverhältnisses kommen kann (wie oben, Rz 7). Aus der Treuepflicht wird der Vorrang des Mandats abgeleitet. Vornehmste Berufspflicht des Rechtsanwalts ist die Treue zu seiner Partei. Interessen des Rechtsanwalts und Rücksichten auf Kollegen haben im Widerstreit zurückzutreten (wie oben, Rz 10). Der Rechtsanwalt hat keinen Anspruch auf Honorar, wenn der Mandant beweist, dass und aus welchen Gründen die Leistung wertlos ist. Weist der Mandant nach, dass der Rechtsanwalt eine für den Prozessausgang wesentliche Weisung nicht befolgt hat, so ist bereits damit die einer Nichterfüllung des Anwaltsvertrages gleichkommende Schlechterfüllung bewiesen, weil es zu den Hauptpflichten des Rechtsanwalts gehört, (gesetzmäßige) Weisungen seines Mandanten zu befolgen RIS Justiz RS0116278). Aus alldem folgt fallbezogen: Die belangte Behörde verneinte den Beschwerdepunkt einer Geheimhaltungspflichtverletzung seitens der MB bereits deshalb, weil sie die MB aufgrund ausdrücklicher Weisung ihrer Mandantin, über welches E-Mail-Postfach die Anwaltskorrespondenz zu führen sei, in diesem Umfang nicht als Verantwortliche ansah. Aufgrund - soweit überblickbar - einhelliger Rechtsprechung sind Rechtsanwälte, wenn sie Daten für den Zweck der Vertretung ihrer Mandanten verarbeiten, regelmäßig als selbständige Verantwortliche tätig. Dieser Grundsatz steht auch rechtlich in diesem Verfahren nicht in Diskussion. Der BF verweist allerdings zutreffend auf die Bestimmung des § 9 RAO, dem zufolge Rechtsanwälte Vertretungen dem Gesetz
zu führen haben. Daraus folgt logisch, dass Klientenaufträge nur insoweit zu befolgen sind, als sie dem Gesetz nicht widerstreiten. Der BF verweist allerdings zutreffend auf die Bestimmung des Paragraph 9, RAO, dem zufolge Rechtsanwälte Vertretungen dem Gesetz
zu führen haben. Daraus folgt logisch, dass Klientenaufträge nur insoweit zu befolgen sind, als sie dem Gesetz nicht widerstreiten. Die Datenschutzbehörde beschäftigte sich mit dieser Frage, inwieweit die Bindung des Rechtsanwalts an das Gesetz der Weisungsautonomie des Mandanten Grenzen setzt, nicht. Es ist zwar nach den Sachverhaltsfeststellungen richtig, dass die MB nicht aus eigenem, sondern über Weisung ihrer Mandantin die Anwaltskorrespondenz über ein von dieser mitgeteiltes E-Mail-Postfach, lautend auf eine dritte Person, abwickelte. Die MB beschränkt sich auch in ihrer Stellungnahme zur Beschwerde darauf, dass sie diese Weisung offenbar ohne weitere Erörterung im Hinblick auf die – wenn auch nachvollziehbare – Befürchtung ihrer Mandantin, dass der BF Zugriff auf ihr E-Mail-Postfach habe, befolgt habe. Wie dargestellt, unterliegt der Rechtsanwalt bei der Ausübung seines Mandates zwar der anwaltlichen Treuepflicht im Hinblick auf die Interessen seiner Partei. Diese findet aber ihre Grenze bei Weisungen, deren Befolgung Gesetzen widerstreitet. Auch die Datenschutzvorschriften sind Teil der gesetzlichen Bindung des Rechtsanwaltes. Entgegen den Ausführungen der MB liegt in der Übermittlung von Anwaltskorrespondenz an ein E-Mail-Postfach (eines Dritten) eine „Übermittlung“
Es handelt sich dabei um eine Mitteilung an einen individuell bestimmten Adressaten, in diesem Fall auf elektronischem Weg. Hierbei entsteht jedenfalls für den Dritten (den Onkel der Mandantin der MB) die Möglichkeit, sich Kenntnis vom Inhalt zu verschaffen. Für die Frage, ob eine Offenlegung in diesem Sinne stattgefunden hat, ist dabei nicht erforderlich, dass sich der Dritte tatsächlich Kenntnis von den Inhalten verschafft hat. Die Ausführung der MB, dass mit dem Onkel „weder Kommunikation stattgefunden“ habe, noch diesem „die Einsicht und Abschrift ermöglicht“ worden sei, ist in diesem Zusammenhang nicht nachvollziehbar. Entgegen den Ausführungen der MB liegt in der Übermittlung von Anwaltskorrespondenz an ein E-Mail-Postfach (eines Dritten) eine „Übermittlung“
Es handelt sich dabei um eine Mitteilung an einen individuell bestimmten Adressaten, in diesem Fall auf elektronischem Weg. Hierbei entsteht jedenfalls für den Dritten (den Onkel der Mandantin der MB) die Möglichkeit, sich Kenntnis vom Inhalt zu verschaffen. Für die Frage, ob eine Offenlegung in diesem Sinne stattgefunden hat, ist dabei nicht erforderlich, dass sich der Dritte tatsächlich Kenntnis von den Inhalten verschafft hat. Die Ausführung der MB, dass mit dem Onkel „weder Kommunikation stattgefunden“ habe, noch diesem „die Einsicht und Abschrift ermöglicht“ worden sei, ist in diesem Zusammenhang nicht nachvollziehbar. Wenn die MB weiters meint, es habe lediglich eine Übermittlung, nicht jedoch eine Offenlegung an XXXX nachgewiesen werden können, so liegt darin datenschutzrechtlich insoferne kein relevanter Unterschied, als beide Tatbestandsmerkmale „Verarbeitungen“ darstellen. Wenn die MB weiters meint, es habe lediglich eine Übermittlung, nicht jedoch eine Offenlegung an römisch 40 nachgewiesen werden können, so liegt darin datenschutzrechtlich insoferne kein relevanter Unterschied, als beide Tatbestandsmerkmale „Verarbeitungen“ darstellen. Eine „Verarbeitung“ im Sinne des Art. 4 Z 2 DSGVO bedarf jedenfalls eines Rechtfertigungsgrundes nach Art. 6 DSGVO. Die MB hat sich zwar diesbezüglich pauschal auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags - Mandatsverhältnis) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, vertraulichen Mandatskommunikation) berufen, hierfür aber keine näheren Argumente eingebracht, zumal sie davon ausging, dass gar keine „Offenlegung“ stattgefunden habe. Eine „Verarbeitung“ im Sinne des Artikel 4, Ziffer 2, DSGVO bedarf jedenfalls eines Rechtfertigungsgrundes nach Artikel 6, DSGVO. Die MB hat sich zwar diesbezüglich pauschal auf Artikel 6, Absatz eins, Litera b, DSGVO (Erfüllung eines Vertrags - Mandatsverhältnis) sowie Artikel 6, Absatz eins, Litera f, DSGVO (berechtigtes Interesse an einer sicheren, vertraulichen Mandatskommunikation) berufen, hierfür aber keine näheren Argumente eingebracht, zumal sie davon ausging, dass gar keine „Offenlegung“ stattgefunden habe. Soweit sich die MB hier auf eine „vertrauliche Mandatskommunikation“ (gemeint mit ihrer Mandantin) beruft, war die gewählte Kommunikationsart gleichzeitig mit der Gefährdung datenschutzrechtlicher Positionen des BF verbunden, weil – wie festgestellt - Unterlagen mit diesen betreffenden personenbezogenen Daten an einen im Scheidungsverfahren nicht beteiligten Dritten übermittelt wurden. Die Rechtsgrundlage des Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrages) kann in dieser Allgemeinheit die gewählte Kommunikationsart nicht rechtfertigen, weil das Mandantenverhältnis – neuerlich auf das Weisungsverhältnis zurückzukommend – einen Rechtsanwalt nicht dazu verpflichtet oder berechtigt, im Ergebnis gesetzwidrige Weisungen zu befolgen. Insofern bilden datenschutzwidrige Weisungen daher keinen datenschutzrechtlichen Rechtfertigungsgrund zur Erfüllung eines Bevollmächtigungsvertrages mit einem Rechtsanwalt. Soweit sich die MB hier auf eine „vertrauliche Mandatskommunikation“ (gemeint mit ihrer Mandantin) beruft, war die gewählte Kommunikationsart gleichzeitig mit der Gefährdung datenschutzrechtlicher Positionen des BF verbunden, weil – wie festgestellt - Unterlagen mit diesen betreffenden personenbezogenen Daten an einen im Scheidungsverfahren nicht beteiligten Dritten übermittelt wurden. Die Rechtsgrundlage des Artikel 6, Absatz eins, Litera b, DSGVO (Erfüllung eines Vertrages) kann in dieser Allgemeinheit die gewählte Kommunikationsart nicht rechtfertigen, weil das Mandantenverhältnis – neuerlich auf das Weisungsverhältnis zurückzukommend – einen Rechtsanwalt nicht dazu verpflichtet oder berechtigt, im Ergebnis gesetzwidrige Weisungen zu befolgen. Insofern bilden datenschutzwidrige Weisungen daher keinen datenschutzrechtlichen Rechtfertigungsgrund zur Erfüllung eines Bevollmächtigungsvertrages mit einem Rechtsanwalt. Betreffend die Generalklausel des Art. 6 Abs. 1 lit. f DSGVO hat die MB gar keine expliziten Gründe genannt, weshalb ihre Interessen bzw. jene ihrer Mandantin jene des BF überwiegen. Betreffend die Generalklausel des Artikel 6, Absatz eins, Litera f, DSGVO hat die MB gar keine expliziten Gründe genannt, weshalb ihre Interessen bzw. jene ihrer Mandantin jene des BF überwiegen. Wie festgestellt, wurden umfangreiche Daten des BF, die dessen höchstpersönliche Sphäre betreffen (insbesondere E-Mail-Korrespondenz, Unterlagen betreffend Einkommens- und Vermögenssituation, Immobilienbewertung) an einen unbeteiligten Dritten offengelegt. Es handelt sich dabei offenbar auch um Daten, die die Mandantin der MB erst im Zuge des Scheidungsverfahrens erlangt hat. Es besteht zwar zweifellos ein berechtigtes Interesse der (Ex-)Ehefrau des BF, auf vertrauenswürdige Art und Weise die aus dem Mandantenverhältnis entspringende Korrespondenz mit der MB übermittelt zu erhalten. Es stehen aber jedenfalls abseits der bisherigen Nutzung ihrer - als gefährdet erachteten - E-Mail-Adresse weitere Möglichkeiten zur Verfügung, wie die Anlegung einer neuen E-Mail-Adresse, eine Passwortänderung, die Möglichkeit über einen Downloadbereich oder letztlich auch eine postalische Übermittlung. Unter diesen Möglichkeiten finden sich nach Ansicht des Gerichts durchaus auch für die Mandantin der MB zumutbare Möglichkeiten. Eigene Interessen der MB, die Übermittlung wie festgestellt vorzunehmen, sind nicht naheliegend, zumal für die MB nur der Umstand wesentlich sein kann, eine taugliche Kommunikation mit ihrer Mandantin zu führen und die oben dargestellten Varianten zumindest abstrakt zur Verfügung standen. Es sind daher keine Umstände hervorgekommen, die eine Interessenabwägung diesbezüglich zugunsten der MB oder ihrer Mandantin erscheinen lassen. Da keine Rechtfertigungsgründe für die MB hervorkamen, dass die Korrespondenz mit ihrer Mandantin in Bezug auf personenbezogene Daten des BF an ein E-Mail-Postfach eines Dritten zulässig wäre, war die diesbezügliche Weisung der Mandantin der MB gegenüber nicht gesetzeskonform. Die Befolgung einer solchen Weisung kann nach Ansicht des Verwaltungsgerichts die MB aber nicht von ihrer datenschutzrechtlichen Verantwortlichenstellung entbinden, weil sie aus ihren dargestellten anwaltlichen Verpflichtungen heraus verpflichtet gewesen wäre, auf eine gesetzeskonforme Kommunikationsweise der MB gegenüber hinzuwirken und - im hier unwahrscheinlichen Fall der Nichtfindung einer gesetzeskonformen Variante - auch allenfalls das Mandat niederzulegen. Zwar besteht für einen Rechtsanwalt wohl keine Erkundigungs- oder Erforschungsobliegenheit, ob Kommunikationsadressen datenschutzrechtlich unbedenklich sind. Bei Offenkundigkeit eines solchen Umstandes ist ihm im Sinne seiner Bindung an die Gesetze aber eine Klärung und ein Hinwirken auf eine datenschutzrechtlich taugliche Kommunikation abzuverlangen. Aufgrund des Auseinanderfallens des Namens mit jenem der Mandantin bezüglich der hier angegebenen E-Mailadresse im Zusammenhalt mit dem ausdrücklichen Hinweis, es handle sich um jene des Onkels, ist eine solche Offenkundigkeit wohl gegeben. Selbst für den Auftragsverarbeiter wird, wenn er der Ansicht ist, eine gesetzwidrige Weisung erhalten zu haben, vertreten, dass er angehalten ist, den Verantwortlichen unverzüglich auf den möglichen Rechtsverstoß aufmerksam zu machen (Hödl in Knyrim, Datkomm Art. 4 DSGVO (Stand 01.12.2018) rdb.at, Rz 100). Ausgehend vom Grundsatz, dass der Rechtsanwalt selbst Verantwortlicher ist, führt aber im konkreten Fall eine Weisung, deren Befolgung offensichtlich einen Verstoß gegen Datenschutzbestimmungen darstellt, zu dessen Verpflichtung, auf eine datenschutzkonforme Vorgangsweise hinzuwirken und gegebenenfalls das Mandat zu beenden. Insoferne entscheidet der Rechtsanwalt auch in solchen Weisungskonstellationen zumindest über die Zwecke (das „ob“) und Mittel (das „wie“) der beabsichtigten Datenverarbeitung mit.Selbst für den Auftragsverarbeiter wird, wenn er der Ansicht ist, eine gesetzwidrige Weisung erhalten zu haben, vertreten, dass er angehalten ist, den Verantwortlichen unverzüglich auf den möglichen Rechtsverstoß aufmerksam zu machen (Hödl in Knyrim, Datkomm Artikel 4, DSGVO (Stand 01.12.2018) rdb.at, Rz 100). Ausgehend vom Grundsatz, dass der Rechtsanwalt selbst Verantwortlicher ist, führt aber im konkreten Fall eine Weisung, deren Befolgung offensichtlich einen Verstoß gegen Datenschutzbestimmungen darstellt, zu dessen Verpflichtung, auf eine datenschutzkonforme Vorgangsweise hinzuwirken und gegebenenfalls das Mandat zu beenden. Insoferne entscheidet der Rechtsanwalt auch in solchen Weisungskonstellationen zumindest über die Zwecke (das „ob“) und Mittel (das „wie“) der beabsichtigten Datenverarbeitung mit. Wie dargestellt, waren die datenschutzrechtliche Verantwortlichkeit einerseits und ein Verstoß gegen die Geheimhaltungspflicht andererseits nicht getrennt voneinander zu prüfen, weil gegenständlich bereits die Beurteilung der (Mit-)Verantwortlichenstellung der MB eine Klärung voraussetzt, ob die Weisung in Konflikt mit Datenschutzbestimmungen steht. Im Ergebnis war die MB daher auch im Bezug auf Wahl der Mandantenkommunikation mit der (Ex-) Ehefrau des BF als datenschutzrechtliche Verantwortliche zu qualifizieren. Als solche ist es ihr nicht gelungen, sich betreffend die gewählte Kommunikationsart zutreffend auf Rechtfertigungsgründe zu stützen. Aufgrund dessen kommt der Beschwerde des BF Berechtigung zu. Eine mündliche Verhandlung konnte entfallen, weil eine solche von keiner Seite beantragt war und der festgestellte Sachverhalt durch keine der Parteien bestritten war. Der Ausspruch der Zulässigkeit der Revision folgt dem Umstand, dass bislang höchstgerichtliche Rechtsprechung zur Frage der Verantwortlicheneigenschaft eines Rechtsanwalts im Falle einer Mandantenweisung, die im Ergebnis datenschutzwidrige Vorgangsweisen des Rechtsanwalts zur Konsequenz hätte, nicht ersichtlich ist. European Case Law IdentifierECLI:AT:BVWG:2026:W274.2331886.1.00
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.