Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind. Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich (Hötzendorfer/Tschohl/Kastelitz in Knyrim,
[Stand 07.05.2020], rdb.at).Gemäß Artikel 5, Absatz eins, Litera c, DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Prinzip der Datenminimierung). Paragraph eins, Absatz 2, DSG letzter Satz ordnet diesem Grundsatz entsprechend an, dass jeder Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph eins, [Stand 12.06.2018], rdb.at). Die Verarbeitung personenbezogener Daten soll auf das Unvermeidbare reduziert werden. Dadurch wird sichergestellt, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird vergleiche OGH 22.12.2021, 6 Ob214/21w, unter Hinweis auf Hötzendorfer/Tschohl/Kastelitz in Knyrim,
Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind. Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich (Hötzendorfer/Tschohl/Kastelitz in Knyrim,
[Stand 07.05.2020], rdb.at). Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar3, 2024, Art. 5 Rz 11).Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar3, 2024, Artikel 5, Rz 11). Im vorliegenden Fall liegt die Verwendung der personenbezogenen Daten des Beschwerdeführers nicht im lebenswichtigen Interesse des Beschwerdegegners. Auch eine Zustimmung des Beschwerdeführers zur Verwendung seiner Daten zur Erstellung des Kaufantrages für das Leasingfahrzeuges oder zur entsprechenden Weiterleitung seiner E-Mail-Adresse lag, wie festgestellt, nicht vor. Gegenständlich ist daher der Erlaubnistatbestand des Art. 6 Abs. 1 lit. b DSGVO zu prüfen. Im vorliegenden Fall liegt die Verwendung der personenbezogenen Daten des Beschwerdeführers nicht im lebenswichtigen Interesse des Beschwerdegegners. Auch eine Zustimmung des Beschwerdeführers zur Verwendung seiner Daten zur Erstellung des Kaufantrages für das Leasingfahrzeuges oder zur entsprechenden Weiterleitung seiner E-Mail-Adresse lag, wie festgestellt, nicht vor. Gegenständlich ist daher der Erlaubnistatbestand des Artikel 6, Absatz eins, Litera b, DSGVO zu prüfen. Eine solche Verarbeitung ist u.a. gemäß Art. 6 Abs. 1 lit. b zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Damit übernimmt die DSGVO den identischen Art. 7 lit. b DS-RL und erlaubt die Verarbeitung personenbezogener Daten im Rahmen einer Vertragserfüllung iwS (somit auch von Nebenpflichten), sofern diese für die Vertragszwecke erforderlich sind (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Eine solche Verarbeitung ist u.a. gemäß Artikel 6, Absatz eins, Litera b, zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Damit übernimmt die DSGVO den identischen Artikel 7, Litera b, DS-RL und erlaubt die Verarbeitung personenbezogener Daten im Rahmen einer Vertragserfüllung iwS (somit auch von Nebenpflichten), sofern diese für die Vertragszwecke erforderlich sind vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Unter einem Vertrag versteht man grundsätzlich ein zwei- oder mehrseitiges Rechtsgeschäft, zu dessen Zustandekommen es zweier (oder mehrerer) übereinstimmender Willenserklärungen bedarf, wobei der Begriff „Vertrag“ aber nicht rechtstechnisch iSd nationalen Rechts gesehen werden soll. Die bloße Abgabe einer Einwilligung zur Verarbeitung personenbezogener Daten schafft dabei noch kein Vertragsverhältnis. Nach dem Wortlaut muss das Vertragsverhältnis nicht zwischen dem Verantwortlichen und der betroffenen Partei bestehen. Demnach muss „nur“ die betroffene Person Vertragspartei sein, dh es kann durch Art. 6 Abs. 1 lit. b auch die Datenverarbeitung eines Dritten (z.B. eines Spediteurs; eines Rechtsanwalts zur Durchsetzung einer Forderung), der die Daten zur Vertragserfüllung verarbeitet, gerechtfertigt sein. In der Praxis wird eine Verarbeitung gemäß Art. 6 Abs. 1 lit. b überall dort in Betracht kommen, wo der Dritte gerade nicht als Auftragsverarbeiter agiert (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim,
DSGVO [Stand 07.05.2020, rdb.at] Rz 34).Unter einem Vertrag versteht man grundsätzlich ein zwei- oder mehrseitiges Rechtsgeschäft, zu dessen Zustandekommen es zweier (oder mehrerer) übereinstimmender Willenserklärungen bedarf, wobei der Begriff „Vertrag“ aber nicht rechtstechnisch iSd nationalen Rechts gesehen werden soll. Die bloße Abgabe einer Einwilligung zur Verarbeitung personenbezogener Daten schafft dabei noch kein Vertragsverhältnis. Nach dem Wortlaut muss das Vertragsverhältnis nicht zwischen dem Verantwortlichen und der betroffenen Partei bestehen. Demnach muss „nur“ die betroffene Person Vertragspartei sein, dh es kann durch Artikel 6, Absatz eins, Litera b, auch die Datenverarbeitung eines Dritten (z.B. eines Spediteurs; eines Rechtsanwalts zur Durchsetzung einer Forderung), der die Daten zur Vertragserfüllung verarbeitet, gerechtfertigt sein. In der Praxis wird eine Verarbeitung gemäß Artikel 6, Absatz eins, Litera b, überall dort in Betracht kommen, wo der Dritte gerade nicht als Auftragsverarbeiter agiert vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Neben der Vertragserfüllung ist die Datenverarbeitung auch für die Vorbereitung eines Vertragsschlusses, dazu zählt der gesamte Prozess des „Customer Onboarding“ zulässig. Zu beachten ist, dass die vorvertraglichen Maßnahmen „auf Anfrage der betroffenen Person“ erfolgen müssen, dh die Initiative darf nicht vom Verantwortlichen (oder einem Dritten) ausgehen. Angesprochen sind damit z.B. Anfragen auf Erstellung eines Angebots oder Kostenvoranschlags, Informationsaustausch; eingehende Hintergrundüberprüfungen, wie die Einholung von Kreditauskünften, erfolgen nicht auf Anfrage der betroffenen Person, sondern auf Initiative z.B. einer Bank und sollen nach der Artikel-29-Datenschutzgruppe „eher“ unter Art. 6 Abs. 1 lit. f bzw. lit. c fallen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim,
DSGVO [Stand 07.05.2020, rdb.at] Rz 35).Neben der Vertragserfüllung ist die Datenverarbeitung auch für die Vorbereitung eines Vertragsschlusses, dazu zählt der gesamte Prozess des „Customer Onboarding“ zulässig. Zu beachten ist, dass die vorvertraglichen Maßnahmen „auf Anfrage der betroffenen Person“ erfolgen müssen, dh die Initiative darf nicht vom Verantwortlichen (oder einem Dritten) ausgehen. Angesprochen sind damit z.B. Anfragen auf Erstellung eines Angebots oder Kostenvoranschlags, Informationsaustausch; eingehende Hintergrundüberprüfungen, wie die Einholung von Kreditauskünften, erfolgen nicht auf Anfrage der betroffenen Person, sondern auf Initiative z.B. einer Bank und sollen nach der Artikel-29-Datenschutzgruppe „eher“ unter Artikel 6, Absatz eins, Litera f, bzw. Litera c, fallen vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim,
Nach Erwägungsgrund 44 sollte die Verarbeitung von Daten als rechtmäßig gelten, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist. Wie der oben zitierten Literatur, unter Bezugnahme auf Erwägungsgrund 44 zur DSGVO zu entnehmen ist, ist die Verarbeitung gemäß Art. 6 Abs. 1 lit. b DSGVO u.a. zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Wie der oben zitierten Literatur, unter Bezugnahme auf Erwägungsgrund 44 zur DSGVO zu entnehmen ist, ist die Verarbeitung gemäß Artikel 6, Absatz eins, Litera b, DSGVO u.a. zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Wie festgestellt wurde zwar letztendlich kein Vertrag zwischen dem Beschwerdeführer und der mitbeteiligten Partei abgeschlossen, jedoch wurde der (potenzielle) Vertragsabschluss hinsichtlich des Leasingfahrzeuges nicht von der mitbeteiligten Partei, sondern vom Beschwerdeführer selbst angebahnt. In welchem Umfang eine Verarbeitung als erforderlich anzusehen ist, ergibt sich anhand einer Einzelfallbeurteilung aus dem Vertragsinhalt hervorgehenden Vertragszweck und dem was zur Erfüllung der Vertragspflichten oder der Wahrnehmung von Rechten bzw. für die Durchführung vorvertraglicher Maßnahmen geboten ist (vgl. Schulz in Gola, DS-GVO2 Art. 6 Rz 37 f). Wie festgestellt wurde zwar letztendlich kein Vertrag zwischen dem Beschwerdeführer und der mitbeteiligten Partei abgeschlossen, jedoch wurde der (potenzielle) Vertragsabschluss hinsichtlich des Leasingfahrzeuges nicht von der mitbeteiligten Partei, sondern vom Beschwerdeführer selbst angebahnt. In welchem Umfang eine Verarbeitung als erforderlich anzusehen ist, ergibt sich anhand einer Einzelfallbeurteilung aus dem Vertragsinhalt hervorgehenden Vertragszweck und dem was zur Erfüllung der Vertragspflichten oder der Wahrnehmung von Rechten bzw. für die Durchführung vorvertraglicher Maßnahmen geboten ist vergleiche Schulz in Gola, DS-GVO2 Artikel 6, Rz 37 f). Zur Erforderlichkeit der Datenverarbeitung hat der EuGH ausgesprochen, dass für die Beurteilung der Erforderlichkeit zu prüfen ist, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (vgl. EuGH 04.07.2023, C-252/21, Meta Platforms u.a., Rn. 108). Der EuGH hat in diesem Zusammenhang etwa davon gesprochen, dass die Verarbeitung innerhalb der Grenzen dessen zu erfolgen hat, was zur Verwirklichung des berechtigten Interesses "unbedingt notwendig" ist (vgl. EuGH 04.07.2023, C-252/21, Rn. 126), bzw. dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das "absolut Notwendige" beschränken müssen (vgl. EuGH 17.06.2021, C-597/19, M.I.C.M., Rn. 110).Zur Erforderlichkeit der Datenverarbeitung hat der EuGH ausgesprochen, dass für die Beurteilung der Erforderlichkeit zu prüfen ist, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Artikel 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen vergleiche EuGH 04.07.2023, C-252/21, Meta Platforms u.a., Rn. 108). Der EuGH hat in diesem Zusammenhang etwa davon gesprochen, dass die Verarbeitung innerhalb der Grenzen dessen zu erfolgen hat, was zur Verwirklichung des berechtigten Interesses "unbedingt notwendig" ist vergleiche EuGH 04.07.2023, C-252/21, Rn. 126), bzw. dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das "absolut Notwendige" beschränken müssen vergleiche EuGH 17.06.2021, C-597/19, M.I.C.M., Rn. 110). Gegenständlich war die Verarbeitung des Geburtsdatums und der E-Mail-Adresse des Beschwerdeführers zur Erstellung des Kaufantrages als erforderlich beurteilen, weil es einerseits im redlichen Geschäftsverkehr üblich ist, dass das Geburtsdatum in einem Kaufantrag angeführt wird, was u.a. auch zur Identitätsfeststellung dient und andererseits – wie die belangte Behörde im o.a. Bescheid bereits ausgeführt – weil die mitbeteiligte Partei sicherstellen muss, dass Fahrzeuge nur von geschäftsfähigen volljährigen Personen erworben wird. Die E-Mail-Adresse des Beschwerdeführers wurde zur Kommunikation zwischen dem Beschwerdeführer und der mitbeteiligten Partei genutzt. Die Erforderlichkeit der Verarbeitung zur Verwirklichung/Erfüllung der vorvertraglichen Pflichten im gegenständlichen Fall ist offensichtlich gegeben. Zur Übermittlung des E-Mail-Verkehrs an die XXXX durch die mitbeteiligte Partei hat die belangte ebenfalls zu Recht ausgeführt, dass der Erlaubnistatbestand nach Art. 6 Abs. 1 lit. b DSGVO als erfüllt anzusehen ist, da sich der Beschwerdeführer selbst zunächst zum Zweck des Erwerbes des Leasingfahrzeuges seines verstorbenen Vaters an die mitbeteiligte Partei gewandt hat. Dementsprechend musste diese die XXXX kontaktieren. Wie festgestellt, wurde der ursprüngliche Leasingvertrag des Fahrzeuges zwischen dem Vater des Beschwerdeführers und der XXXX abgeschlossen und im Falle eines Erwerbes durch den Beschwerdeführer wäre der Leasingvertrag mit der XXXX aufzulösen gewesen. Auch sollte der Kaufpreis am Betrag der Ablösesumme berechnet werden, was wiederum mit der XXXX eruiert werden musste. Aus diesen Gründen war die Übermittlung des E-Mail-Verkehrs durch die mitbeteiligte Partei in der Rolle als Koordinatorin an die XXXX zur Erfüllung ihrer vorvertraglichen Pflichten als zweckmäßig und notwendig anzusehen. Zur Übermittlung des E-Mail-Verkehrs an die römisch 40 durch die mitbeteiligte Partei hat die belangte ebenfalls zu Recht ausgeführt, dass der Erlaubnistatbestand nach Artikel 6, Absatz eins, Litera b, DSGVO als erfüllt anzusehen ist, da sich der Beschwerdeführer selbst zunächst zum Zweck des Erwerbes des Leasingfahrzeuges seines verstorbenen Vaters an die mitbeteiligte Partei gewandt hat. Dementsprechend musste diese die römisch 40 kontaktieren. Wie festgestellt, wurde der ursprüngliche Leasingvertrag des Fahrzeuges zwischen dem Vater des Beschwerdeführers und der römisch 40 abgeschlossen und im Falle eines Erwerbes durch den Beschwerdeführer wäre der Leasingvertrag mit der römisch 40 aufzulösen gewesen. Auch sollte der Kaufpreis am Betrag der Ablösesumme berechnet werden, was wiederum mit der römisch 40 eruiert werden musste. Aus diesen Gründen war die Übermittlung des E-Mail-Verkehrs durch die mitbeteiligte Partei in der Rolle als Koordinatorin an die römisch 40 zur Erfüllung ihrer vorvertraglichen Pflichten als zweckmäßig und notwendig anzusehen. Somit hat die mitbeteiligte Partei sowohl durch die Verarbeitung der personenbezogenen Daten des Beschwerdeführers im Zuge der Vertragserstellung als auch durch die Übermittlung dieser Daten an die XXXX den Beschwerdeführer nicht in seinem Recht auf Geheimhaltung verletzt. Somit hat die mitbeteiligte Partei sowohl durch die Verarbeitung der personenbezogenen Daten des Beschwerdeführers im Zuge der Vertragserstellung als auch durch die Übermittlung dieser Daten an die römisch 40 den Beschwerdeführer nicht in seinem Recht auf Geheimhaltung verletzt. 3.6. Zum Recht auf Löschung: Art. 17 DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung.Artikel 17, DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung. Ein Löschungsanspruch steht der betroffenen Person iW dann zu, wenn der Verantwortliche bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze des Art. 5 verstößt oder sich auf keine Rechtgrundlage iSd Art. 6 – allenfalls iVm Art. 9 – (mehr) stützen kann. Verarbeitet der Verantwortliche keine Daten, scheitert der Löschungsanspruch. Ausschlaggebender Zeitpunkt für die Beurteilung der Voraussetzungen ist jener der Antragsstellung (vgl. Haidinger in Knyrim,
W dann zu, wenn der Verantwortliche bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze des Artikel 5, verstößt oder sich auf keine Rechtgrundlage iSd Artikel 6, – allenfalls in Verbindung mit Artikel 9, – (mehr) stützen kann. Verarbeitet der Verantwortliche keine Daten, scheitert der Löschungsanspruch. Ausschlaggebender Zeitpunkt für die Beurteilung der Voraussetzungen ist jener der Antragsstellung vergleiche Haidinger in Knyrim,
Ist die Verarbeitung erforderlich, damit der Verantwortliche einer rechtlichen Verpflichtung nach dem Recht des MS oder der Union nachkommen kann, besteht kein Löschungsanspruch der betroffenen Person, wie z.B. bei Krankenstandstagen eines Mitarbeiters (…). Der an ein Inkassobüro übermittelter Auftrags-Datensatz unterliegt als Geschäftsbrief der Aufbewahrungspflicht nach § 132 Abs. 1 BAO bzw. § 212 UGB. Es handelt sich hier daher um eine Öffnungsklausel, die im Besonderen auf handels- und steuerrechtliche Aufbewahrungspflichten abzielt. Darunter können aber auch gesundheitsrechtliche, haushaltsrechtliche oder archivrechtliche Aufbewahrungspflichten fallen. Aus dem Data Act ergeben sich keine besonderen Pflichten zur Speicherung oder Löschung von Daten (vgl. Haidinger in Knyrim,
DSGVO [Stand 01.07.2024, rdb.at] Rz 70).Ist die Verarbeitung erforderlich, damit der Verantwortliche einer rechtlichen Verpflichtung nach dem Recht des MS oder der Union nachkommen kann, besteht kein Löschungsanspruch der betroffenen Person, wie z.B. bei Krankenstandstagen eines Mitarbeiters (…). Der an ein Inkassobüro übermittelter Auftrags-Datensatz unterliegt als Geschäftsbrief der Aufbewahrungspflicht nach Paragraph 132, Absatz eins, BAO bzw. Paragraph 212, UGB. Es handelt sich hier daher um eine Öffnungsklausel, die im Besonderen auf handels- und steuerrechtliche Aufbewahrungspflichten abzielt. Darunter können aber auch gesundheitsrechtliche, haushaltsrechtliche oder archivrechtliche Aufbewahrungspflichten fallen. Aus dem Data Act ergeben sich keine besonderen Pflichten zur Speicherung oder Löschung von Daten vergleiche Haidinger in Knyrim,
Zudem stellt Art. 17 Abs. 3 lit. e DSGVO insofern für alle Arten von Daten klar, dass bei Erfüllung des Tatbestandes »Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen« für den Verantwortlichen keine Pflicht zur Löschung besteht. Zudem stellt Artikel 17, Absatz 3, Litera e, DSGVO insofern für alle Arten von Daten klar, dass bei Erfüllung des Tatbestandes »Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen« für den Verantwortlichen keine Pflicht zur Löschung besteht. Im vorliegenden Fall ist zunächst festzuhalten, dass die mitbeteiligte Partei personenbezogene Daten des Beschwerdeführers iSd Art. 4 Z 1 DSGVO verarbeitet. Im vorliegenden Fall ist zunächst festzuhalten, dass die mitbeteiligte Partei personenbezogene Daten des Beschwerdeführers iSd Artikel 4, Ziffer eins, DSGVO verarbeitet. Da die gesetzliche Aufbewahrungsfrist nach § 132 BAO und § 212 UGB von sieben Jahren für die Aufbewahrung der personenbezogenen Daten des Beschwerdeführers mittlerweile verstrichen ist, kommt nunmehr lediglich die Ausnahmeregelung nach Art. 17 Abs. 3 lit. e DSGVO in Frage. Diese Regelung wiederholt den ersten Tatbestand der in Art. 9 Abs. 2 lit. f DSGVO normierten Ausnahmen vom Verarbeitungsverbot für besondere Kategorien von Daten, welche die Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst. Unstrittig befindet sich die mitbeteiligte Partei mit dem Beschwerdeführer derzeit in einem datenschutzrechtlichen Verfahren vor dem Bundesverwaltungsgericht. Daher ist auch der Argumentation der belangten Behörde im o.a. Bescheid zu folgen, wenn sie ausführt, dass für die mitbeteiligte Partei die Dokumentation und die Aufzeichnung über alle Kontakte und Rechtsgeschäfte zwischen ihr und dem Beschwerdeführer zur Verteidigung ihrer Rechtsansprüche notwendig ist. Da die gesetzliche Aufbewahrungsfrist nach Paragraph 132, BAO und Paragraph 212, UGB von sieben Jahren für die Aufbewahrung der personenbezogenen Daten des Beschwerdeführers mittlerweile verstrichen ist, kommt nunmehr lediglich die Ausnahmeregelung nach Artikel 17, Absatz 3, Litera e, DSGVO in Frage. Diese Regelung wiederholt den ersten Tatbestand der in Artikel 9, Absatz 2, Litera f, DSGVO normierten Ausnahmen vom Verarbeitungsverbot für besondere Kategorien von Daten, welche die Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst. Unstrittig befindet sich die mitbeteiligte Partei mit dem Beschwerdeführer derzeit in einem datenschutzrechtlichen Verfahren vor dem Bundesverwaltungsgericht. Daher ist auch der Argumentation der belangten Behörde im o.a. Bescheid zu folgen, wenn sie ausführt, dass für die mitbeteiligte Partei die Dokumentation und die Aufzeichnung über alle Kontakte und Rechtsgeschäfte zwischen ihr und dem Beschwerdeführer zur Verteidigung ihrer Rechtsansprüche notwendig ist. Da gegenständlich der Rechtfertigungsgrund nach Art. 17 Abs. 3 lit. e DSGVO erfüllt ist, hat die belangte Behörde hat daher zutreffend das Vorliegen der behaupteten Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO zu Recht verneint.Da gegenständlich der Rechtfertigungsgrund nach Artikel 17, Absatz 3, Litera e, DSGVO erfüllt ist, hat die belangte Behörde hat daher zutreffend das Vorliegen der behaupteten Verletzung im Recht auf Löschung gemäß Artikel 17, DSGVO zu Recht verneint. 3.6. Zum Recht auf Einschränkung der Verarbeitung: Gemäß Art. 18 Abs. 1 DSGVO kann eine betroffene Person unter näher bezeichneten Umständen iSd lit. a bis d vom Verantwortlichen die Einschränkung der Verarbeitung verlangen. Aus systematischer Sicht, handelt es sich bei diesem Betroffenenrecht um einen temporären Begleitanspruch, der darauf abzielt, dass die in Rede stehenden Daten nur mehr gespeichert werden dürfen (vgl. Haidinger in Knyrim,
DSGVO Rz 1 [Stand 01.12.2021, rdb.at]).Gemäß Artikel 18, Absatz eins, DSGVO kann eine betroffene Person unter näher bezeichneten Umständen iSd Litera a bis d vom Verantwortlichen die Einschränkung der Verarbeitung verlangen. Aus systematischer Sicht, handelt es sich bei diesem Betroffenenrecht um einen temporären Begleitanspruch, der darauf abzielt, dass die in Rede stehenden Daten nur mehr gespeichert werden dürfen vergleiche Haidinger in Knyrim,
Art. 18 Abs. 1 regelt in lit. a bis lit. d vier Fallkonstellationen, in denen die betroffene Person das Recht hat, vom Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen. Artikel 18, Absatz eins, regelt in Litera a bis Litera d, vier Fallkonstellationen, in denen die betroffene Person das Recht hat, vom Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen. Bei allen Betroffenenrechten, die auf Antrag geltend zu machen sind, kann ein Verstoß gegen die DSGVO durch die Verarbeitung, auf die sich das jeweilige Recht bezieht, erst vorliegen, wenn ein entsprechender Antrag der betroffenen Person beim Verantwortlichen nach Ansicht der betroffenen Person nicht der DSGVO entsprechend behandelt wurde, also z.B. keine Auskunft erteilt oder die Verarbeitung nicht eingeschränkt wurde. Dies betrifft das Recht auf Auskunft (Art. 15), das Recht auf Berichtigung, das Recht auf Einschränkung der Datenverarbeitung (Art. 18), die Mitteilungspflicht (Art. 19), das Recht auf Übertragung von Daten (Art. 20) und das Widerrufsrecht (Art. 21).Bei allen Betroffenenrechten, die auf Antrag geltend zu machen sind, kann ein Verstoß gegen die DSGVO durch die Verarbeitung, auf die sich das jeweilige Recht bezieht, erst vorliegen, wenn ein entsprechender Antrag der betroffenen Person beim Verantwortlichen nach Ansicht der betroffenen Person nicht der DSGVO entsprechend behandelt wurde, also z.B. keine Auskunft erteilt oder die Verarbeitung nicht eingeschränkt wurde. Dies betrifft das Recht auf Auskunft (Artikel 15,), das Recht auf Berichtigung, das Recht auf Einschränkung der Datenverarbeitung (Artikel 18,), die Mitteilungspflicht (Artikel 19,), das Recht auf Übertragung von Daten (Artikel 20,) und das Widerrufsrecht (Artikel 21,). Gegenständlich begehrt der Beschwerdeführer eine Einschränkung der Verarbeitung nach Art. 18 Abs. 1 lit. b DSGVO, weil er die Verarbeitung seiner personenbezogenen Daten durch die mitbeteiligte Partei als rechtswidrig erachtet. Gegenständlich begehrt der Beschwerdeführer eine Einschränkung der Verarbeitung nach Artikel 18, Absatz eins, Litera b, DSGVO, weil er die Verarbeitung seiner personenbezogenen Daten durch die mitbeteiligte Partei als rechtswidrig erachtet. Gestützt auf lit. b leg.cit. kann die betroffene Person bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen (vgl. Haidinger in Knyrim,
Eine Unrechtmäßigkeit der Verarbeitung liegt vor, wenn einer der Löschungstatbestände von Art. 17 Abs. 1 lit. a bis d bzw. lit. f DSGVO vorliegt. ISd Art. 17 Abs. 1 lit. d liegt Unrechtmäßigkeit insbesondere bei Verstößen gegen die Art. 5, 6 und 9 vor […]. (vgl. Haidinger in Knyrim,
kann die betroffene Person bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen vergleiche Haidinger in Knyrim,
Eine Unrechtmäßigkeit der Verarbeitung liegt vor, wenn einer der Löschungstatbestände von Artikel 17, Absatz eins, Litera a bis d bzw. Litera f, DSGVO vorliegt. ISd Artikel 17, Absatz eins, Litera d, liegt Unrechtmäßigkeit insbesondere bei Verstößen gegen die Artikel 5, 6 und 9 vor […]. vergleiche Haidinger in Knyrim,
Hierzu hat die belangte Behörde zutreffend ausgeführt, dass der Beschwerdeführer nicht – wie vom Art. 18 Abs. 1 lit. b DSGVO gefordert – die Löschung seiner personenbezogenen Daten abgelehnt hat. Im Gegenteil hat er zunächst die Löschung seiner Daten gefordert und nur im Falle der Ablehnung seines Löschbegehrens die Einschränkung der Verarbeitung seiner personenbezogenen Daten beantragt. Vor diesem Hintergrund geht die Behauptung, dass der Beschwerdeführer durch die mitbeteiligte Partei in seinem Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO verletzt wurde, ins Leere. Hierzu hat die belangte Behörde zutreffend ausgeführt, dass der Beschwerdeführer nicht – wie vom Artikel 18, Absatz eins, Litera b, DSGVO gefordert – die Löschung seiner personenbezogenen Daten abgelehnt hat. Im Gegenteil hat er zunächst die Löschung seiner Daten gefordert und nur im Falle der Ablehnung seines Löschbegehrens die Einschränkung der Verarbeitung seiner personenbezogenen Daten beantragt. Vor diesem Hintergrund geht die Behauptung, dass der Beschwerdeführer durch die mitbeteiligte Partei in seinem Recht auf Einschränkung der Verarbeitung gemäß Artikel 18, DSGVO verletzt wurde, ins Leere. 3.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.