W137 2316923-1

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum25.02.2026 GeschäftszahlW137 2316923-1 Spruch, W137 2316923-1/6E IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichter:innen Mag. Ursula ILLIBAUER sowie MMag. Jakob KALINA als Beisitzerinnen über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom 07.05.2025, GZ. D124.0984/22, 2022-0.809.014, zu Recht erkannt: Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichter:innen Mag. Ursula ILLIBAUER sowie MMag. Jakob KALINA als Beisitzerinnen über die Beschwerde des römisch 40 gegen den Bescheid der Datenschutzbehörde vom 07.05.2025, GZ. D124.0984/22, 2022-0.809.014, zu Recht erkannt:

A) Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.Die Beschwerde wird gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.

TextEntscheidungsgründe:

I. Verfahrensgang:römisch eins. Verfahrensgang:

Die mitbeteiligte Partei habe die rechtswidrige Verarbeitung der personenbezogenen Daten des Beschwerdeführers nachvollziehbar dargestellt, wobei gegenständlich zwei unabhängige Rechtsgeschäfte vorliegen würden: Der Autokauf aus dem Jahr 2018 und der Erbrechtsfall betreffend das Leasingauto seines verstorbenen Vaters aus dem Jahr 2022. Im Zuge der Leasingrücknahme durch den Beschwerdeführer und Offenlegung seiner Identität habe die mitbeteiligte Partei seine Daten aus dem Kauf vom 2018 und aus dem Erbrechtsfall vom 2022 verarbeitet, indem sie auf die Daten aus 2018 zugegriffen, diese in den Rechtsvorgang 2022 implementiert und auch noch an Dritte weitergeleitet habe. Eine allenfalls abgegebene Zustimmungserklärung zur Datenverarbeitung könne sich rechtlich zweckmäßig niemals auf ein anderes, autonomes Rechtsgeschäft erstrecken und sei daher eindeutig rechtswidrig.

Konkret verarbeite die mitbeteiligte Partei einerseits rechtlich unzulässig das Geburtsdatum des Beschwerdeführers und andererseits alle Daten bezüglich des PKW und des Leasingvertrags seines verstorbenen Vaters und habe die Daten ohne Zustimmung an die XXXX weitergeleitet. Zudem habe die mitbeteiligte Partei unrechtmäßig die E-Mail-Kommunikation automatisch an nicht berechtigte Dritte versandt.Konkret verarbeite die mitbeteiligte Partei einerseits rechtlich unzulässig das Geburtsdatum des Beschwerdeführers und andererseits alle Daten bezüglich des PKW und des Leasingvertrags seines verstorbenen Vaters und habe die Daten ohne Zustimmung an die römisch 40 weitergeleitet. Zudem habe die mitbeteiligte Partei unrechtmäßig die E-Mail-Kommunikation automatisch an nicht berechtigte Dritte versandt.

Aufgrund des Kaufvertrags aus dem Jahr 2018 seien die personenbezogenen Daten des Beschwerdeführers weiterhin im Kundenverwaltungsprogramm gespeichert und diese Daten seien soweit erforderlich für die Abwicklung des Leasingvertrags herangezogen worden.2. Die mitbeteiligte Partei gab mit Stellungnahme vom 28.09.2022 im Wesentlichen und soweit verfahrensrelevant an, dass der Beschwerdeführer zum Zeitpunkt der Antragstellung Kunde des Autohauses der mitbeteiligten Partei gewesen sei. Zum einen habe er im Jahr 2018 ein Fahrzeug im Autohaus erworben und zum anderen habe er beabsichtigt, den Leasingvertrag seines verstorbenen Vaters bei der römisch 40 zu übernehmen und das Fahrzeug frühzeitig aus dem Leasingvertrag auszulösen.

Die hierfür erforderliche Datenverarbeitung und Kommunikation sei durch die mitbeteiligte Partei abgewickelt worden und im Zuge dieses Prozesses sei es zu unterschiedlichen Ansichten bezüglich der Ablösesumme für das Fahrzeug gekommen. Aufgrund des Kaufvertrags aus dem Jahr 2018 seien die personenbezogenen Daten des Beschwerdeführers weiterhin im Kundenverwaltungsprogramm gespeichert und diese Daten seien soweit erforderlich für die Abwicklung des Leasingvertrags herangezogen worden.

Es sei zwar zutreffend, dass die Daten des Beschwerdeführers an die XXXX weitergegeben worden seien, jedoch sei dies nicht rechtswidrig erfolgt, sondern sei zur Vertragserfüllung erforderlich gewesen. Insbesondere sei die Datenweitergabe zur Prüfung der Berechtigung des Beschwerdeführers, zur Berechnung der Ablösesumme sowie der in Bezug auf die Berechnung der Ablösesumme entstehenden Auseinandersetzung notwendig gewesen. Vergleichbar zum ursprünglichen Abschluss des Leasingvertrags übernehme die mitbeteiligte Partei auch die Koordination im Hinblick auf die Rückgabe des Leasingfahrzeuges, wenngleich das Vertragsverhältnis selbst zwischen der XXXX und den jeweiligen Leasingkunden bestehe. Die mitbeteiligte Partei informiere die Kunden über die stattfindenden Datenverarbeitungen in ihren ausführlichen Datenschutzerklärungen.

Zur Abwicklung des konkreten Leasingvertrags sei der Beschwerdeführer an die mitbeteiligte Partei herangetreten und habe die Sterbeurkunde seines Vaters am 07.06.2022 übersandt.Es sei zwar zutreffend, dass die Daten des Beschwerdeführers an die römisch 40 weitergegeben worden seien, jedoch sei dies nicht rechtswidrig erfolgt, sondern sei zur Vertragserfüllung erforderlich gewesen. Insbesondere sei die Datenweitergabe zur Prüfung der Berechtigung des Beschwerdeführers, zur Berechnung der Ablösesumme sowie der in Bezug auf die Berechnung der Ablösesumme entstehenden Auseinandersetzung notwendig gewesen. Vergleichbar zum ursprünglichen Abschluss des Leasingvertrags übernehme die mitbeteiligte Partei auch die Koordination im Hinblick auf die Rückgabe des Leasingfahrzeuges, wenngleich das Vertragsverhältnis selbst zwischen der römisch 40 und den jeweiligen Leasingkunden bestehe.

Die mitbeteiligte Partei informiere die Kunden über die stattfindenden Datenverarbeitungen in ihren ausführlichen Datenschutzerklärungen. Zur Abwicklung des konkreten Leasingvertrags sei der Beschwerdeführer an die mitbeteiligte Partei herangetreten und habe die Sterbeurkunde seines Vaters am 07.06.2022 übersandt.

Es seien E-Mails in Kopie weitergeleitet worden, da dies den Gepflogenheiten des Geschäftsverkehrs entspreche und alle Kommunikationsteilnehmer zur Kenntnis der Korrespondenz berechtigt seien.

Zum Vorwurf der Verweigerung der Löschung sei vorzubringen, dass die Löschung aufgrund der gesetzlichen Aufbewahrungsfristen nicht vollzogen worden sei. Die mitbeteiligte Partei verarbeite personenbezogene Daten überwiegend auf Basis der Erfüllung und der Abwicklung der Kauf- und Leasingverträge sowie aufgrund der Einhaltung gesetzlicher Aufbewahrungsfristen. Für die im Zusammenhang mit dem Beschwerdeführer durchgeführte Datenverarbeitung sei somit keine weitere Einwilligung erforderlich gewesen. Über die Datenverarbeitung hinsichtlich des neuen Leasingvertrages sei der Beschwerdeführer durch die öffentlichen Datenschutzinformationen erneut informiert worden. Eine Ausnahme zu den beschriebenen Verarbeitungsgrundsätzen liege in der Nutzung seiner Daten einschließlich seines Geburtsdatums, zu Zwecken der werblichen Kommunikation. Hierfür habe der Beschwerdeführer am 23.07.2018 seine Einwilligung erteilt.

Im August 2022 wäre der Leasingvertrag seines Vaters ausgelaufen, weshalb er im Juni 2022 das Leasingobjekt wegen Besichtigung der mitbeteiligten Partei übergeben habe. Dabei seien die verschiedenen Leasingoptionen (Übernahme, Rückgabe, Reparatur von Schäden erörtert) diskutiert worden. Im Zuge dessen hätten sich die vier präsumtiven Erben für den Erwerb des Leasingobjektes entschieden. Am 21.06.2022 habe die mitbeteiligte Partei dafür die Daten aus dem Datensatz des Beschwerdeführers aus dem Jahr 2018 verwendet, in dem sie diese in das Kaufanbot für das Leasingobjekt des Verstorbenen eingefügt habe.

Im Jahr 2018 habe der Beschwerdeführer eine datenschutzrechtliche Einwilligungserklärung unterzeichnet. Die Datenverarbeitung im Jahr 2022 hingegen könne auf das berechtigte Interesse sowie auf die Erforderlichkeit zur Vertragsanbahnung gestützt werden.

Das betriebliche Löschkonzept orientiere sich an den Zwecken der Datenverarbeitung. Personenbezogene Daten der Kunden würden bis zur Erreichung des jeweiligen Zweckes im Rahmen der Kundenbeziehung verarbeitet. Nach Erreichen des ursprünglichen Zweckes der Datenverarbeitung sei der wesentliche Baustein des Löschkonzeptes die Einhaltung der gesetzlichen Aufbewahrungsfristen, im Falle des Beschwerdeführers die steuer- und handelsrechtlichen sowie geldwäscherechtlichen Vorschriften. Nach Ablauf der gesetzlichen Aufbewahrungsfristen sowie einer Vorhaltefrist würden die Daten der Betroffenen datenschutzkonform gelöscht werden. Daneben beziehungsweise gegebenenfalls auch über diese Aufbewahrungsdauer hinaus würden, sofern im Einzelfall erforderlich, personenbezogene Daten auf Grund der datenschutzrechtlichen Rechenschaftspflichten, sowie zur Ermöglichung gegebenenfalls erforderlichen Nachweisführung gespeichert. Nach Wegfall dieser Zwecke würden die Daten datenschutzkonform gelöscht werden.

In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Die mitbeteiligte Partei betreibe das Handelsgewerbe, das Gewerbe der Versicherungsvermittlung in der Form eines Versicherungsagenten und des Kraftfahrzeugtechnikers wobei ihre Haupttätigkeit im KFZ-Handel liege. Die XXXX (seit 2023: XXXX ) sei die hauseigene Bank des Automobilkonzerns XXXX , zu dem auch die Automobilmarke XXXX gehöre und biete Finanzierungs-, Leasing- und Versicherungsdienstleistungen für Fahrzeuge der XXXX -Marken an.Die mitbeteiligte Partei betreibe das Handelsgewerbe, das Gewerbe der Versicherungsvermittlung in der Form eines Versicherungsagenten und des Kraftfahrzeugtechnikers wobei ihre Haupttätigkeit im KFZ-Handel liege. Die römisch 40 (seit 2023: römisch 40 ) sei die hauseigene Bank des Automobilkonzerns römisch 40 , zu dem auch die Automobilmarke römisch 40 gehöre und biete Finanzierungs-, Leasing- und Versicherungsdienstleistungen für Fahrzeuge der römisch 40 -Marken an.

Der Beschwerdeführer habe am 23.07.2018 bei der mitbeteiligten Partei ein Auto gekauft. Die mitbeteiligte Partei verarbeite seitdem in ihrem Kundenverwaltungsprogramm personenbezogene Daten des Beschwerdeführers (Name, Vorname, Titel, Adresse, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Kundennummer/Lagerortcode).

Im Zuge des Vertragsabschlusses habe der Beschwerdeführer eine Datenschutzerklärung, mit der er seine Zustimmung zur Verarbeitung seiner personenbezogenen Daten zu Zwecken der werblichen Kommunikation erklärt habe, unterzeichnet.

Im Falle des Leasings von Fahrzeugen der Marke XXXX komme der Leasingvertrag zwischen der XXXX und den jeweiligen Leasingnehmer zustande. Die mitbeteiligte Partei fungiere im Rahmen von Leasinggeschäften als Koordinatorin zur Herausgabe und Rücknahme der Fahrzeuge.Im Falle des Leasings von Fahrzeugen der Marke römisch 40 komme der Leasingvertrag zwischen der römisch 40 und den jeweiligen Leasingnehmer zustande. Die mitbeteiligte Partei fungiere im Rahmen von Leasinggeschäften als Koordinatorin zur Herausgabe und Rücknahme der Fahrzeuge.

Im Jahr 2022 habe der Beschwerdeführer das Leasingfahrzeug aus dem Leasingvertrag seines kurz zuvor verstorbenen Vaters, der bei der XXXX gelaufen sei, kaufen wollen. Zu diesem Zweck habe die mitbeteiligte Partei geplant, das Fahrzeug von der XXXX für eine bestimmte Summe abzulösen und in weiterer Folge das Fahrzeug um diese Summe an den Beschwerdeführer zu verkaufen. Zur Koordination dieser Rechtsgeschäfte hätten sich die mitbeteiligte Partei und die XXXX über E-Mail-Verkehr über die Einzelheiten, insbesondere die Ablösesumme ausgetauscht. In diesem Zuge habe die mitbeteiligte Partei die XXXX im E-Mail-Verkehr mit dem Beschwerdeführer in CC gesetzt.Im Jahr 2022 habe der Beschwerdeführer das Leasingfahrzeug aus dem Leasingvertrag seines kurz zuvor verstorbenen Vaters, der bei der römisch 40 gelaufen sei, kaufen wollen. Zu diesem Zweck habe die mitbeteiligte Partei geplant, das Fahrzeug von der römisch 40 für eine bestimmte Summe abzulösen und in weiterer Folge das Fahrzeug um diese Summe an den Beschwerdeführer zu verkaufen. Zur Koordination dieser Rechtsgeschäfte hätten sich die mitbeteiligte Partei und die römisch 40 über E-Mail-Verkehr über die Einzelheiten, insbesondere die Ablösesumme ausgetauscht. In diesem Zuge habe die mitbeteiligte Partei die römisch 40 im E-Mail-Verkehr mit dem Beschwerdeführer in CC gesetzt.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die belangte Behörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

Zum Recht auf Geheimhaltung:

Gegenständlich sei der Anwendungsbereich des § 1 Abs. 1 DSG eröffnet, da sich die Informationen, nämlich die personenbezogenen Daten, die der Beschwerdeführer zum Zwecke des Rechtsgeschäftes am 23.07.2018 offengelegt habe, auf den Beschwerdeführer beziehen würden und damit als personenbezogene Daten zu qualifizieren seien. Auch hinsichtlich der Offenlegung der E-Mail-Kommunikation (das in CC-Setzen der XXXX ) sei der Anwendungsbereich des § 1 Abs. 1 DSG eröffnet. Gegenständlich sei der Anwendungsbereich des Paragraph eins, Absatz eins, DSG eröffnet, da sich die Informationen, nämlich die personenbezogenen Daten, die der Beschwerdeführer zum Zwecke des Rechtsgeschäftes am 23.07.2018 offengelegt habe, auf den Beschwerdeführer beziehen würden und damit als personenbezogene Daten zu qualifizieren seien. Auch hinsichtlich der Offenlegung der E-Mail-Kommunikation (das in CC-Setzen der römisch 40 ) sei der Anwendungsbereich des Paragraph eins, Absatz eins, DSG eröffnet.

Zwar liege im vorliegenden Fall keine Einwilligung zur Verarbeitung der Daten aus dem Jahr 2018 für das Rechtsgeschäft im Jahr 2022 vor, jedoch komme der Erlaubnistatbestand „berechtigte Interessen“ in Betracht. Die Verarbeitung personenbezogener Daten sei gemäß Art. 6 Abs. 1 lit. b DSGVO dann rechtmäßig, wenn die Verarbeitung für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person sei, erforderlich sei. Neben der Vertragserfüllung sei die Datenverarbeitung auch für die Vorbereitung eines Vertragsschlusses zulässig. Zwar liege im vorliegenden Fall keine Einwilligung zur Verarbeitung der Daten aus dem Jahr 2018 für das Rechtsgeschäft im Jahr 2022 vor, jedoch komme der Erlaubnistatbestand „berechtigte Interessen“ in Betracht. Die Verarbeitung personenbezogener Daten sei gemäß Artikel 6, Absatz eins, Litera b, DSGVO dann rechtmäßig, wenn die Verarbeitung für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person sei, erforderlich sei. Neben der Vertragserfüllung sei die Datenverarbeitung auch für die Vorbereitung eines Vertragsschlusses zulässig.

Zur Verarbeitung der Daten aus dem Jahr 2018:

Ein berechtigtes Interesse liege demnach vor, da die mitbeteiligte Partei mit der Datenverarbeitung ihr Interesse an der Vorbereitung des Vertragsschlusses verfolgt habe. Im vorliegenden Fall sei das Rechtsgeschäft auch vonseiten des Beschwerdeführers angebahnt worden. Auch sei die Datenverarbeitung zur Verfolgung des berechtigten Interesses erforderlich gewesen. Gegenständlich sei das Einfügen der E-Mail-Adresse und des Geburtsdatums neben dem Namen des Beschwerdeführers in den von der mitbeteiligten Partei erstellten Kaufantrag zur Verwirklichung ihrer vorvertraglichen Verpflichtungen erforderlich gewesen. Die Abwägung der Interessen des Beschwerdeführers, nämlich die Nichtvornahme der Wiederverarbeitung seiner personenbezogenen Daten, und der Interessen der mitbeteiligten Partei, die Erfüllung ihrer (vor)vertraglichen Verpflichtungen, ergebe kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse. Das Recht auf Geheimhaltung sei daher durch diese Datenverarbeitung nicht verletzt worden.

Zur in CC-Setzung:

Da der Beschwerdeführer sich mit seinem Anliegen an die mitbeteiligte Partei gewandt habe, habe diese die XXXX kontaktieren müssen, denn der Leasingvertrag des Vaters des Beschwerdeführers sei zunächst mit dieser Bank abgeschlossen worden und demnach auch mit ihr aufzulösen gewesen. Auch habe der Kaufpreis an dem Betrag der Ablösesumme berechnet werden sollen, welche wiederum durch die Kommunikation mit der Bank, von der das Fahrzeug eigentlich hätte abgelöst werden sollen, eruiert werden habe müssen. Die Offenlegung der E-Mail-Kommunikation war sohin erforderlich zur Erreichung des angestrebten Zwecks. Es war notwendig, die E-Mails des Beschwerdeführers mit allen darin enthaltenen Informationen der XXXX bekanntzugeben, da die mitbeteiligte Partei ansonsten nicht ihre Aufgabe als Koordinatorin erfüllen und die vom Beschwerdeführer angebahnten Rechtsgeschäfte nicht vorbereiten hätte können.

Auch sei die Offenlegung der Daten des Beschwerdeführers durch die in CC-Setzung der XXXX notwendig gewesen, um die Abwicklung der Rechtsgeschäfte ganz im Sinne des Beschwerdeführers möglichst ökonomisch abzuwickeln.Da der Beschwerdeführer sich mit seinem Anliegen an die mitbeteiligte Partei gewandt habe, habe diese die römisch 40 kontaktieren müssen, denn der Leasingvertrag des Vaters des Beschwerdeführers sei zunächst mit dieser Bank abgeschlossen worden und demnach auch mit ihr aufzulösen gewesen. Auch habe der Kaufpreis an dem Betrag der Ablösesumme berechnet werden sollen, welche wiederum durch die Kommunikation mit der Bank, von der das Fahrzeug eigentlich hätte abgelöst werden sollen, eruiert werden habe müssen.

Die Offenlegung der E-Mail-Kommunikation war sohin erforderlich zur Erreichung des angestrebten Zwecks. Es war notwendig, die E-Mails des Beschwerdeführers mit allen darin enthaltenen Informationen der römisch 40 bekanntzugeben, da die mitbeteiligte Partei ansonsten nicht ihre Aufgabe als Koordinatorin erfüllen und die vom Beschwerdeführer angebahnten Rechtsgeschäfte nicht vorbereiten hätte können. Auch sei die Offenlegung der Daten des Beschwerdeführers durch die in CC-Setzung der römisch 40 notwendig gewesen, um die Abwicklung der Rechtsgeschäfte ganz im Sinne des Beschwerdeführers möglichst ökonomisch abzuwickeln.

Die Abwägung der Interessen des Beschwerdeführers, nämlich die Nichtvornahme einer Offenlegung seiner personenbezogenen Daten, und der Interessen der mitbeteiligten Partei, die Erfüllung ihrer (vor)vertraglichen Verpflichtungen, ergebe kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse.

Zum Recht auf Löschung:

Die mitbeteiligte Partei unterliege den gesetzlichen Aufbewahrungsfristen von § 132 BAO und § 212 UGB (sieben Jahre). Es sei daher geboten, dass sie die Löschung jener Daten ablehne, für die eine gesetzliche Aufbewahrungsfrist bestehe. Die Aufbewahrungsfrist von sieben Jahren für das Rechtsgeschäft vom 23.07.2018 laufe daher am per 23.07.2025 ab. Daher sei die fortgesetzte Verarbeitung der personenbezogenen Daten des Beschwerdeführers gerechtfertigt.Die mitbeteiligte Partei unterliege den gesetzlichen Aufbewahrungsfristen von Paragraph 132, BAO und Paragraph 212, UGB (sieben Jahre). Es sei daher geboten, dass sie die Löschung jener Daten ablehne, für die eine gesetzliche Aufbewahrungsfrist bestehe. Die Aufbewahrungsfrist von sieben Jahren für das Rechtsgeschäft vom 23.07.2018 laufe daher am per 23.07.2025 ab. Daher sei die fortgesetzte Verarbeitung der personenbezogenen Daten des Beschwerdeführers gerechtfertigt.

Darüber hinaus stelle der Art. 17 Abs. 3 lit. e DSGVO eine Ausnahmeregelung dar, welche die Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren erfasse. Die mitbeteiligte Partei befinde sich in einem laufenden Verfahren vor der Datenschutzbehörde und benötige die Dokumentation und die personenbezogenen Daten des Beschwerdeführers daher zur Verteidigung ihrer Rechtsansprüche. Dahingehend wäre die weitere Aufbewahrung der personenbezogenen Daten des Beschwerdeführers auch unabhängig von der ohnehin noch aufrechten gesetzlichen Aufbewahrungsfrist gerechtfertigt.Darüber hinaus stelle der Artikel 17, Absatz 3, Litera e, DSGVO eine Ausnahmeregelung dar, welche die Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren erfasse. Die mitbeteiligte Partei befinde sich in einem laufenden Verfahren vor der Datenschutzbehörde und benötige die Dokumentation und die personenbezogenen Daten des Beschwerdeführers daher zur Verteidigung ihrer Rechtsansprüche. Dahingehend wäre die weitere Aufbewahrung der personenbezogenen Daten des Beschwerdeführers auch unabhängig von der ohnehin noch aufrechten gesetzlichen Aufbewahrungsfrist gerechtfertigt.

Zum Recht auf Einschränkung der Verarbeitung:

Die Voraussetzung des Art. 18 Abs. 1 lit. b DSGVO sei im vorliegenden Fall nicht gegeben. Weder seien die Daten im vorliegenden Fall unrichtig gemäß Art. 18 Abs. 1 lit. a DSGVO noch liege der Antrag auf Einschränkung der Verarbeitung im Zusammenhang mit dem Recht auf Widerspruch gemäß Art. 18 Abs. 1 lit. d DSGVO vor. Der Beschwerdeführer habe zwar ursprünglich einen Antrag auf Widerspruch gestellt, jedoch später im Zuge des Verfahrens sein Begehren auf die Geltendmachung des Rechts auf Geheimhaltung, auf Löschung und auf Einschränkung der Verarbeitung eingeschränkt. Auch Art. 18 Abs. 1 lit. d DSGVO komme somit nicht in Betracht.Die Voraussetzung des Artikel 18, Absatz eins, Litera b, DSGVO sei im vorliegenden Fall nicht gegeben. Weder seien die Daten im vorliegenden Fall unrichtig gemäß Artikel 18, Absatz eins, Litera a, DSGVO noch liege der Antrag auf Einschränkung der Verarbeitung im Zusammenhang mit dem Recht auf Widerspruch gemäß Artikel 18, Absatz eins, Litera d, DSGVO vor. Der Beschwerdeführer habe zwar ursprünglich einen Antrag auf Widerspruch gestellt, jedoch später im Zuge des Verfahrens sein Begehren auf die Geltendmachung des Rechts auf Geheimhaltung, auf Löschung und auf Einschränkung der Verarbeitung eingeschränkt. Auch Artikel 18, Absatz eins, Litera d, DSGVO komme somit nicht in Betracht.

Die mitbeteiligte Partei habe den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt, indem sie seine personenbezogenen Daten, insbesondere sein Geburtsdatum aus dem Kaufvertrag vom 23.07.2018 im Zuge des Leasingübernahmekaufes aufgrund eines Erbanfalls 2022 zweckwidrig verwendet habe. Nach dem Tod seines Vaters im Mai 2022 sei dessen Auto als Leasingobjekt wegen Besichtigung gemäß des Leasingvertrages der mitbeteiligten Partei übergeben worden. Dabei seien die verschiedenen Leasingoptionen, die Übernahme, Rückgabe und die Reparatur von Schäden erörtert worden. Im Zuge dessen hätten sich die vier präsumtiven Erben für den Erwerb des Leasingobjektes entschieden. Zu diesem Zeitpunkt habe lediglich eine Erbengemeinschaft mit vier Rechtssubjekten bestanden, aber die mitbeteiligte Partei habe seine personenbezogenen Daten aus dem Datensatz 2018 verwendet, indem sie diese in das Kaufanbot für das Leasingobjekt eingefügt habe.

Zusammenfassend stehe daher fest, dass die Verarbeitung der im Jahr 2018 erhobenen personenbezogenen Daten des Beschwerdeführers für andere, mit dem ursprünglichen nicht vereinbarten Zwecke aus 2018 unzulässig sei. Die Einspielung seiner Daten aus 2018 und die Übermittlung dieser and die XXXX sei sohin rechtswidrig gewesen. Außerdem seien seine Daten zu löschen, weil sie für das gegenständliche Verfahren zur Verteidigung der Rechtsposition der mitbeteiligten Partei nicht erforderlich seien. Daraus würden seine Ansprüche auf Löschung und Beschränkung der Verarbeitung resultieren. Die mitbeteiligte Partei habe den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt, indem sie seine personenbezogenen Daten, insbesondere sein Geburtsdatum aus dem Kaufvertrag vom 23.07.2018 im Zuge des Leasingübernahmekaufes aufgrund eines Erbanfalls 2022 zweckwidrig verwendet habe.

Nach dem Tod seines Vaters im Mai 2022 sei dessen Auto als Leasingobjekt wegen Besichtigung gemäß des Leasingvertrages der mitbeteiligten Partei übergeben worden. Dabei seien die verschiedenen Leasingoptionen, die Übernahme, Rückgabe und die Reparatur von Schäden erörtert worden. Im Zuge dessen hätten sich die vier präsumtiven Erben für den Erwerb des Leasingobjektes entschieden. Zu diesem Zeitpunkt habe lediglich eine Erbengemeinschaft mit vier Rechtssubjekten bestanden, aber die mitbeteiligte Partei habe seine personenbezogenen Daten aus dem Datensatz 2018 verwendet, indem sie diese in das Kaufanbot für das Leasingobjekt eingefügt habe. Zusammenfassend stehe daher fest, dass die Verarbeitung der im Jahr 2018 erhobenen personenbezogenen Daten des Beschwerdeführers für andere, mit dem ursprünglichen nicht vereinbarten Zwecke aus 2018 unzulässig sei.

Die Einspielung seiner Daten aus 2018 und die Übermittlung dieser and die römisch 40 sei sohin rechtswidrig gewesen. Außerdem seien seine Daten zu löschen, weil sie für das gegenständliche Verfahren zur Verteidigung der Rechtsposition der mitbeteiligten Partei nicht erforderlich seien. Daraus würden seine Ansprüche auf Löschung und Beschränkung der Verarbeitung resultieren.

II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:

1.1. Die mitbeteiligte Partei betreibt das Gewerbe der Versicherungsvermittlung in der Form eines Versicherungsagenten und des Kraftfahrzeugtechnikers, wobei ihre Haupttätigkeit im KFZ-Handel liegt.

Die XXXX (ehemals XXXX ) ist die hauseigene Bank des Automobilkonzerns XXXX , zu dem auch die Automobilmarke XXXX gehört. Diese bietet Finanzierungs-, Leasing- und Versicherungsdienstleistungen für Fahrzeuge der Marke XXXX an. Die römisch 40 (ehemals römisch 40 ) ist die hauseigene Bank des Automobilkonzerns römisch 40 , zu dem auch die Automobilmarke römisch 40 gehört. Diese bietet Finanzierungs-, Leasing- und Versicherungsdienstleistungen für Fahrzeuge der Marke römisch 40 an.

1.2. Der Beschwerdeführer hat am 23.07.2018 bei der mitbeteiligten Partei ein KFZ erworben und dabei einen Kaufvertrag unterzeichnet.

1.3. Seit diesem Zeitpunkt verarbeitet die mitbeteiligte Partei in ihrem Kundenverwaltungsprogramm personenbezogene Daten des Beschwerdeführers (Name, Vorname, Titel/Qualifikation, Adresse, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Kundennummer/Lagerortcode).

1.4. Bei Vertragsabschluss unterzeichnete der Beschwerdeführer eine Datenschutzerklärung, mit der er seine Zustimmung zur Verarbeitung seiner personenbezogenen Daten zu Zwecken der werblichen Kommunikation erteilt hat.

1.5. Die mitbeteiligte Partei übt im Rahmen von Leasinggeschäften bei Fahrzeugen der Marke XXXX die Rolle als Koordinatorin zur Herausgabe und Rücknahme der Fahrzeuge aus, wobei der Leasingvertrag zwischen der XXXX und dem jeweiligen Leasingnehmer zustande kommt. 1.5. Die mitbeteiligte Partei übt im Rahmen von Leasinggeschäften bei Fahrzeugen der Marke römisch 40 die Rolle als Koordinatorin zur Herausgabe und Rücknahme der Fahrzeuge aus, wobei der Leasingvertrag zwischen der römisch 40 und dem jeweiligen Leasingnehmer zustande kommt.

1.6. Kurz nach dem Tod seines Vaters im Mai 2022 wollte der Beschwerdeführer das Leasingfahrzeug seines Vaters aus dem Leasingvertrag erwerben. Aus diesem Grunde plante die mitbeteiligte Partei das Fahrzeug von der XXXX für einen bestimmten Betrag abzulösen und in weiterer Folge an den Beschwerdeführer zu verkaufen. Zur Koordination dieser Rechtsgeschäfte tauschten sich die mitbeteiligte Partei und die XXXX zur Klärung von Einzelheiten, insbesondere zur Vereinbarung über die Ablösesumme, diverse E-Mails aus. Im Zuge dessen setzte die mitbeteiligte Partei die XXXX im E-Mail-Verkehr mit dem Beschwerdeführer in CC (Kopie). 1.6. Kurz nach dem Tod seines Vaters im Mai 2022 wollte der Beschwerdeführer das Leasingfahrzeug seines Vaters aus dem Leasingvertrag erwerben. Aus diesem Grunde plante die mitbeteiligte Partei das Fahrzeug von der römisch 40 für einen bestimmten Betrag abzulösen und in weiterer Folge an den Beschwerdeführer zu verkaufen. Zur Koordination dieser Rechtsgeschäfte tauschten sich die mitbeteiligte Partei und die römisch 40 zur Klärung von Einzelheiten, insbesondere zur Vereinbarung über die Ablösesumme, diverse E-Mails aus. Im Zuge dessen setzte die mitbeteiligte Partei die römisch 40 im E-Mail-Verkehr mit dem Beschwerdeführer in CC (Kopie).

1.7. Zur Vorbereitung des Kaufvertrages verwendete die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers, die seit 2018 in ihrem Kundenverwaltungsprogramm gespeichert waren. Der Beschwerdeführer unterzeichnete in der Folge den Kaufantrag, wobei er sein Geburtsdatum und seine E-Mail-Adresse entfernt hat. Da die XXXX im Anschluss die Ablösesumme für das Fahrzeug erhöhte, wurde das aktualisierte Kaufangebot durch den Beschwerdeführer nicht angenommen. 1.7. Zur Vorbereitung des Kaufvertrages verwendete die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers, die seit 2018 in ihrem Kundenverwaltungsprogramm gespeichert waren. Der Beschwerdeführer unterzeichnete in der Folge den Kaufantrag, wobei er sein Geburtsdatum und seine E-Mail-Adresse entfernt hat. Da die römisch 40 im Anschluss die Ablösesumme für das Fahrzeug erhöhte, wurde das aktualisierte Kaufangebot durch den Beschwerdeführer nicht angenommen.

1.8. Im Zuge der Vertragsanbahnung im Jahr 2022 hinsichtlich des Leasingfahrzeuges hat der Beschwerdeführer keine Datenschutzerklärung unterschrieben.

1.9. Mit Schriftsatz vom 28.06.2022 stellte der Beschwerdeführer einen Antrag auf Auskunft hinsichtlich aller über ihn verarbeiteten personenbezogenen Daten bei der mitbeteiligten Partei. Ferner begehrte er bei dieser die Einschränkung der Verarbeitung seiner personenbezogenen Daten und die Löschung seiner personenbezogenen Daten.

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt.

2.1. Die Feststellungen zu den Tätigkeiten der mitbeteiligten Partei und zur XXXX (ehemals XXXX ) gründen sich auf den unbestrittenen Eingaben der mitbeteiligten Partei sowie der Einsichtnahme in das Gewerberegister. 2.1. Die Feststellungen zu den Tätigkeiten der mitbeteiligten Partei und zur römisch 40 (ehemals römisch 40 ) gründen sich auf den unbestrittenen Eingaben der mitbeteiligten Partei sowie der Einsichtnahme in das Gewerberegister.

2.2. Dass der Beschwerdeführer am 23.07.2018 bei der mitbeteiligten Partei ein KFZ erworben hat, ergibt sich aus den übereinstimmenden Angaben des Beschwerdeführers und der mitbeteiligten Partei und ist ebenfalls unstrittig.

2.3. Dass die mitbeteiligte Partei seit diesem Zeitpunkt in ihrem Kundenverwaltungsprogramm personenbezogene Daten des Beschwerdeführers verarbeitet, folgt insbesondere aus der Stellungnahme der mitbeteiligten Partei vom 16.04.2025 und ist unstrittig.

2.4. Die Feststellung, dass der Beschwerdeführer im Juli 2018 bei der mitbeteiligten Partei eine Datenschutzerklärung unterzeichnet hat, ergibt sich aus den übereinstimmenden Angaben des Beschwerdeführers und der mitbeteiligten Partei, insbesondere aus der von der mitbeteiligten Partei der Datenschutzbehörde vorgelegten Datenschutzerklärung.

2.5. Die Rollen der mitbeteiligten Partei im Rahmen von Leasinggeschäften bei Fahrzeugen der Marke XXXX sowie jene der XXXX folgen aus den Stellungnahmen der mitbeteiligten Partei im Verwaltungsverfahren und wurden vom Beschwerdeführer in keiner Phase des Verfahrens angezweifelt. 2.5. Die Rollen der mitbeteiligten Partei im Rahmen von Leasinggeschäften bei Fahrzeugen der Marke römisch 40 sowie jene der römisch 40 folgen aus den Stellungnahmen der mitbeteiligten Partei im Verwaltungsverfahren und wurden vom Beschwerdeführer in keiner Phase des Verfahrens angezweifelt.

2.6. Die Feststellungen zur Vertragsanbahnung hinsichtlich des Leasingfahrzeuges zwischen dem Beschwerdeführer und der mitbeteiligten Partei im Mai 2022 ergeben sich unstrittig aus dem Verwaltungsakt, insbesondere aus der Datenschutzbeschwerde des Beschwerdeführers, den hierzu übereinstimmenden Angaben der mitbeteiligten Partei sowie den von der mitbeteiligten Partei vorgelegten E-Mails. Das Vorbringen des Beschwerdeführers, dass der E-Mail-Verkehr zwischen ihm und der mitbeteiligten Partei auch der XXXX in Kopie übermittelt wurde, wurde von der mitbeteiligten Partei bestätigt. 2.6. Die Feststellungen zur Vertragsanbahnung hinsichtlich des Leasingfahrzeuges zwischen dem Beschwerdeführer und der mitbeteiligten Partei im Mai 2022 ergeben sich unstrittig aus dem Verwaltungsakt, insbesondere aus der Datenschutzbeschwerde des Beschwerdeführers, den hierzu übereinstimmenden Angaben der mitbeteiligten Partei sowie den von der mitbeteiligten Partei vorgelegten E-Mails. Das Vorbringen des Beschwerdeführers, dass der E-Mail-Verkehr zwischen ihm und der mitbeteiligten Partei auch der römisch 40 in Kopie übermittelt wurde, wurde von der mitbeteiligten Partei bestätigt.

2.7. Das Vorbringen des Beschwerdeführers, dass die mitbeteiligte Partei zur Vorbereitung des Kaufvertrages personenbezogenen Daten des Beschwerdeführers, die seit 2018 in ihrem Kundenverwaltungsprogramm gespeichert waren, zurückgegriffen hat, wurde von der mitbeteiligten Partei ebenfalls bestätigt, weshalb auch diesbezüglich Unstrittigkeit des entscheidungsrelevanten Sachverhalts vorliegt. Gleiches gilt für die Feststellung, dass der Beschwerdeführer im Zuge der Vertragsanbahnung im Jahr 2022 keine Datenschutzerklärung unterschrieben hat.

2.8. Die Feststellungen zu den Anträgen des Beschwerdeführers auf Auskunft, Einschränkung und Löschung seiner personenbezogenen Daten gründen sich auf den im Verwaltungsakt einliegenden Schriftsatz vom 28.06.2022 und erweisen sich damit erneut als unstrittig.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt gemäß § 27 DSG Senatszuständigkeit vor.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt gemäß Paragraph 27, DSG Senatszuständigkeit vor.

3.1. Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.3.1. Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist. 3.2. Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Zu A) 3.3. Die maßgeblichen Bestimmungen der DSGVO Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:

3.-6. (…) 7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

12.-26. (…) Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten

Artikel 6 Rechtmäßigkeit der Verarbeitung

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

3.4. Die maßgeblichen Bestimmungen des DSG Artikel 1 (Verfassungsbestimmung) Grundrecht auf Datenschutz § 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. (2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen.

Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. (…) Beschwerde an die Datenschutzbehörde § 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet.

Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (Paragraph 13, Absatz 8, AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

3.5. Zum Recht auf Geheimhaltung:

Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt als auch manuell verarbeitete Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt als auch manuell verarbeitete Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig.

Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere den datenschutzrechtlichen Grundsatz der Rechtmäßigkeit zu berücksichtigen.Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere den datenschutzrechtlichen Grundsatz der Rechtmäßigkeit zu berücksichtigen.

Nach § 1 Abs. 1 DSG ist das Bestehen eines schutzwürdigen Geheimhaltungsinteresses ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf Betroffene einem Geheimhaltungsanspruch nicht zugänglich sind.Nach Paragraph eins, Absatz eins, DSG ist das Bestehen eines schutzwürdigen Geheimhaltungsinteresses ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf Betroffene einem Geheimhaltungsanspruch nicht zugänglich sind.

Das Grundrecht auf Datenschutz gilt auch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind. Dabei können sich Beschränkungen dieses Anspruchs aus Abs. 2 leg.cit., aber nicht (unmittelbar) aus Art. 6 Abs. 1 DSGVO ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls heranzuziehen. Es bedarf für die Verarbeitung auch dieser Daten einer entsprechenden Rechtfertigung iSd § 1 Abs. 2 DSG bzw.

Art. 6 Abs. 1 DSGVO (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 1 Rz 39, 236 [Stand 1.2.2022, rdb.at]).Das Grundrecht auf Datenschutz gilt auch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind. Dabei können sich Beschränkungen dieses Anspruchs aus Absatz 2, leg.cit., aber nicht (unmittelbar) aus Artikel 6, Absatz eins, DSGVO ergeben. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls heranzuziehen. Es bedarf für die Verarbeitung auch dieser Daten einer entsprechenden Rechtfertigung iSd Paragraph eins, Absatz 2, DSG bzw.

Artikel 6, Absatz eins, DSGVO vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph eins, Rz 39, 236 [Stand 1.2.2022, rdb.at]).

Festzuhalten ist, dass der Beschwerdeführer in seiner Datenschutzbeschwerde vom 12.07.2022 u.a. eine Verletzung im Recht auf Geheimhaltung bei der belangten Behörde eingebracht hat. Dabei stützte er sich auf die Bestimmung des § 1 Abs. 1 DSG und brachte vor, dass die mitbeteiligte Partei im Zuge der Vertragsanbahnung hinsichtlich des Leasingfahrzeuges seines verstorbenen Vaters im Jahr 2022 ohne Einwilligung seine personenbezogenen Daten (insbesondere Geburtsdatum und E-Mail-Adresse) aus dem Jahr 2018, die im Zuge eines Autokaufes von der mitbeteiligten Partei gespeichert worden seien, verarbeitet habe. Darüber hinaus verstoße die in Kopie übermittelte E-Mail-Kommunikation zwischen dem Beschwerdeführer und der mitbeteiligten Partei an die XXXX gegen das Recht auf Geheimhaltung.

Festzuhalten ist, dass der Beschwerdeführer in seiner Datenschutzbeschwerde vom 12.07.2022 u.a. eine Verletzung im Recht auf Geheimhaltung bei der belangten Behörde eingebracht hat. Dabei stützte er sich auf die Bestimmung des Paragraph eins, Absatz eins, DSG und brachte vor, dass die mitbeteiligte Partei im Zuge der Vertragsanbahnung hinsichtlich des Leasingfahrzeuges seines verstorbenen Vaters im Jahr 2022 ohne Einwilligung seine personenbezogenen Daten (insbesondere Geburtsdatum und E-Mail-Adresse) aus dem Jahr 2018, die im Zuge eines Autokaufes von der mitbeteiligten Partei gespeichert worden seien, verarbeitet habe. Darüber hinaus verstoße die in Kopie übermittelte E-Mail-Kommunikation zwischen dem Beschwerdeführer und der mitbeteiligten Partei an die römisch 40 gegen das Recht auf Geheimhaltung.

Die mitbeteiligte Partei stützte die Verarbeitung der personenbezogenen Daten des Beschwerdeführers auf überwiegende Interessen, welche das Geheimhaltungsinteresse des Beschwerdeführers überwiegen würden. Sie brachte vor, dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers zum Zwecke der Vertragserstellung für das Leasingobjekt sowie die Weitergabe dieser an die XXXX rechtmäßig erfolgt sei. Insbesondere sei die Datenweitergabe zur Prüfung der Berechtigung des Beschwerdeführers, zur Berechnung der Ablösesumme sowie der in Bezug auf die Berechnung der Ablösesumme entstehenden Auseinandersetzung notwendig gewesen. Zur Abwicklung des konkreten Leasingvertrags sei der Beschwerdeführer an die mitbeteiligte Partei herangetreten und habe die Sterbeurkunde seines Vaters am 07.06.2022 übersandt.

Die mitbeteiligte Partei stützte die Verarbeitung der personenbezogenen Daten des Beschwerdeführers auf überwiegende Interessen, welche das Geheimhaltungsinteresse des Beschwerdeführers überwiegen würden. Sie brachte vor, dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers zum Zwecke der Vertragserstellung für das Leasingobjekt sowie die Weitergabe dieser an die römisch 40 rechtmäßig erfolgt sei. Insbesondere sei die Datenweitergabe zur Prüfung der Berechtigung des Beschwerdeführers, zur Berechnung der Ablösesumme sowie der in Bezug auf die Berechnung der Ablösesumme entstehenden Auseinandersetzung notwendig gewesen. Zur Abwicklung des konkreten Leasingvertrags sei der Beschwerdeführer an die mitbeteiligte Partei herangetreten und habe die Sterbeurkunde seines Vaters am 07.06.2022 übersandt.

Der belangten Behörde ist zu folgen, wenn sie im angefochtenen Bescheid zusammengefasst ausführt, dass aufgrund von vorvertraglichen Pflichten gemäß Art. 6 Abs. 1 lit. b DSGVO zum einen das Einfügen der E-Mail-Adresse sowie des Geburtsdatums neben dem Namen des Beschwerdeführers in den von der mitbeteiligten Partei erstellten Kaufantrag und zum anderen die Offenlegung der Daten des Beschwerdeführers durch die in CC-Setzung der XXXX zur Verwirklichung ihrer vorvertraglichen Verpflichtungen erforderlich gewesen sei.Der belangten Behörde ist zu folgen, wenn sie im angefochtenen Bescheid zusammengefasst ausführt, dass aufgrund von vorvertraglichen Pflichten gemäß Artikel 6, Absatz eins, Litera b, DSGVO zum einen das Einfügen der E-Mail-Adresse sowie des Geburtsdatums neben dem Namen des Beschwerdeführers in den von der mitbeteiligten Partei erstellten Kaufantrag und zum anderen die Offenlegung der Daten des Beschwerdeführers durch die in CC-Setzung der römisch 40 zur Verwirklichung ihrer vorvertraglichen Verpflichtungen erforderlich gewesen sei.

Zunächst steht fest, dass es sich bei Name, Geburtsdatum, E-Mail-Adresse und dem Inhalt der E-Mail-Korrespondenz zweifelsfrei um personenbezogene Daten iSd Art. 4 Z 1 DSGVO handelt. Der Begriff der personenbezogenen Daten beschränkt sich entsprechend der Judikatur des EuGH nicht lediglich auf sensible oder private Informationen, sondern sind potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur umfasst. Als Voraussetzung für eine derart extensive Interpretation der personenbezogenen Daten hält der EuGH fest, dass es sich um Informationen über die in Rede stehende Person handeln muss. Diese Voraussetzung ist dann erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH vom 20.12.2017, C-434/16, Peter Nowak gegen Data Protection Commissioner, Rn 34 f), was vorliegend der Fall ist, sodass hinsichtlich dieser personenbezogenen Daten daher auch grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers gemäß § 1 Abs. 1 DSG besteht (vgl.

Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) § 1 [Stand 01.01.2020], Rn 16).Zunächst steht fest, dass es sich bei Name, Geburtsdatum, E-Mail-Adresse und dem Inhalt der E-Mail-Korrespondenz zweifelsfrei um personenbezogene Daten iSd Artikel 4, Ziffer eins, DSGVO handelt. Der Begriff der personenbezogenen Daten beschränkt sich entsprechend der Judikatur des EuGH nicht lediglich auf sensible oder private Informationen, sondern sind potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur umfasst. Als Voraussetzung für eine derart extensive Interpretation der personenbezogenen Daten hält der EuGH fest, dass es sich um Informationen über die in Rede stehende Person handeln muss.

Diese Voraussetzung ist dann erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH vom 20.12.2017, C-434/16, Peter Nowak gegen Data Protection Commissioner, Rn 34 f), was vorliegend der Fall ist, sodass hinsichtlich dieser personenbezogenen Daten daher auch grundsätzlich ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers gemäß Paragraph eins, Absatz eins, DSG besteht vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) Paragraph eins, [Stand 01.01.2020], Rn 16).

Dass die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers iSd Art. 4 Z 2 DSGVO verarbeitet hat, indem sie bei der Erstellung des Kaufantrages für das Leasingfahrzeug das Geburtsdatum sowie die E-Mail-Adresse des Beschwerdeführers verwendet und den E-Mail-Verkehr zwischen dem Beschwerdeführer und der mitbeteiligten Partei an die XXXX in Kopie übermittelt hat und dafür als Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren ist, ist ebenso unstrittig. Dass die mitbeteiligte Partei die personenbezogenen Daten des Beschwerdeführers iSd Artikel 4, Ziffer 2, DSGVO verarbeitet hat, indem sie bei der Erstellung des Kaufantrages für das Leasingfahrzeug das Geburtsdatum sowie die E-Mail-Adresse des Beschwerdeführers verwendet und den E-Mail-Verkehr zwischen dem Beschwerdeführer und der mitbeteiligten Partei an die römisch 40 in Kopie übermittelt hat und dafür als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO zu qualifizieren ist, ist ebenso unstrittig.

Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48).Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Artikel 5, DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Artikel 6, DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Artikel 6, DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48).

Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (zur Vorgängerbestimmung Art. 7 DS-RL: EuGH 24.11.2011, verb Rs C-468/10 und C-469/10, ASNEF, Rn 30 ff; 19.10.2016, C-582/14, Breyer, Rn 57).Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Artikel 6, Absatz eins, DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (zur Vorgängerbestimmung Artikel 7, DS-RL: EuGH 24.11.2011, verb Rs C-468/10 und C-469/10, ASNEF, Rn 30 ff; 19.10.2016, C-582/14, Breyer, Rn 57).

Gemäß Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Prinzip der Datenminimierung). § 1 Abs. 2 DSG letzter Satz ordnet diesem Grundsatz entsprechend an, dass jeder Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 [Stand 12.06.2018], rdb.at). Die Verarbeitung personenbezogener Daten soll auf das Unvermeidbare reduziert werden. Dadurch wird sichergestellt, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird (vgl.

OGH 22.12.2021, 6 Ob214/21w, unter Hinweis auf Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO Rz 21 und 34). Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind. Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO Rz 34ff. [Stand 07.05.2020], rdb.at).Gemäß Artikel 5, Absatz eins, Litera c, DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Prinzip der Datenminimierung).

Paragraph eins, Absatz 2, DSG letzter Satz ordnet diesem Grundsatz entsprechend an, dass jeder Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph eins, [Stand 12.06.2018], rdb.at). Die Verarbeitung personenbezogener Daten soll auf das Unvermeidbare reduziert werden. Dadurch wird sichergestellt, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird vergleiche OGH 22.12.2021, 6 Ob214/21w, unter Hinweis auf Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO Rz 21 und 34). Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind.

Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO Rz 34ff. [Stand 07.05.2020], rdb.at).

Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar3, 2024, Art. 5 Rz 11).Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar3, 2024, Artikel 5, Rz 11).

Im vorliegenden Fall liegt die Verwendung der personenbezogenen Daten des Beschwerdeführers nicht im lebenswichtigen Interesse des Beschwerdegegners. Auch eine Zustimmung des Beschwerdeführers zur Verwendung seiner Daten zur Erstellung des Kaufantrages für das Leasingfahrzeuges oder zur entsprechenden Weiterleitung seiner E-Mail-Adresse lag, wie festgestellt, nicht vor. Gegenständlich ist daher der Erlaubnistatbestand des Art. 6 Abs. 1 lit. b DSGVO zu prüfen. Im vorliegenden Fall liegt die Verwendung der personenbezogenen Daten des Beschwerdeführers nicht im lebenswichtigen Interesse des Beschwerdegegners. Auch eine Zustimmung des Beschwerdeführers zur Verwendung seiner Daten zur Erstellung des Kaufantrages für das Leasingfahrzeuges oder zur entsprechenden Weiterleitung seiner E-Mail-Adresse lag, wie festgestellt, nicht vor. Gegenständlich ist daher der Erlaubnistatbestand des Artikel 6, Absatz eins, Litera b, DSGVO zu prüfen.

Eine solche Verarbeitung ist u.a. gemäß Art. 6 Abs. 1 lit. b zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Damit übernimmt die DSGVO den identischen Art. 7 lit. b DS-RL und erlaubt die Verarbeitung personenbezogener Daten im Rahmen einer Vertragserfüllung iwS (somit auch von Nebenpflichten), sofern diese für die Vertragszwecke erforderlich sind (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO [Stand 07.05.2020, rdb.at] Rz 33). Eine solche Verarbeitung ist u.a. gemäß Artikel 6, Absatz eins, Litera b, zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Damit übernimmt die DSGVO den identischen Artikel 7, Litera b, DS-RL und erlaubt die Verarbeitung personenbezogener Daten im Rahmen einer Vertragserfüllung iwS (somit auch von Nebenpflichten), sofern diese für die Vertragszwecke erforderlich sind vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO [Stand 07.05.2020, rdb.at] Rz 33).

Unter einem Vertrag versteht man grundsätzlich ein zwei- oder mehrseitiges Rechtsgeschäft, zu dessen Zustandekommen es zweier (oder mehrerer) übereinstimmender Willenserklärungen bedarf, wobei der Begriff „Vertrag“ aber nicht rechtstechnisch iSd nationalen Rechts gesehen werden soll. Die bloße Abgabe einer Einwilligung zur Verarbeitung personenbezogener Daten schafft dabei noch kein Vertragsverhältnis. Nach dem Wortlaut muss das Vertragsverhältnis nicht zwischen dem Verantwortlichen und der betroffenen Partei bestehen. Demnach muss „nur“ die betroffene Person Vertragspartei sein, dh es kann durch Art. 6 Abs. 1 lit. b auch die Datenverarbeitung eines Dritten (z.B. eines Spediteurs; eines Rechtsanwalts zur Durchsetzung einer Forderung), der die Daten zur Vertragserfüllung verarbeitet, gerechtfertigt sein.

In der Praxis wird eine Verarbeitung gemäß Art. 6 Abs. 1 lit. b überall dort in Betracht kommen, wo der Dritte gerade nicht als Auftragsverarbeiter agiert (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO [Stand 07.05.2020, rdb.at] Rz 34).Unter einem Vertrag versteht man grundsätzlich ein zwei- oder mehrseitiges Rechtsgeschäft, zu dessen Zustandekommen es zweier (oder mehrerer) übereinstimmender Willenserklärungen bedarf, wobei der Begriff „Vertrag“ aber nicht rechtstechnisch iSd nationalen Rechts gesehen werden soll. Die bloße Abgabe einer Einwilligung zur Verarbeitung personenbezogener Daten schafft dabei noch kein Vertragsverhältnis. Nach dem Wortlaut muss das Vertragsverhältnis nicht zwischen dem Verantwortlichen und der betroffenen Partei bestehen.

Demnach muss „nur“ die betroffene Person Vertragspartei sein, dh es kann durch Artikel 6, Absatz eins, Litera b, auch die Datenverarbeitung eines Dritten (z.B. eines Spediteurs; eines Rechtsanwalts zur Durchsetzung einer Forderung), der die Daten zur Vertragserfüllung verarbeitet, gerechtfertigt sein. In der Praxis wird eine Verarbeitung gemäß Artikel 6, Absatz eins, Litera b, überall dort in Betracht kommen, wo der Dritte gerade nicht als Auftragsverarbeiter agiert vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO [Stand 07.05.2020, rdb.at] Rz 34).

Neben der Vertragserfüllung ist die Datenverarbeitung auch für die Vorbereitung eines Vertragsschlusses, dazu zählt der gesamte Prozess des „Customer Onboarding“ zulässig. Zu beachten ist, dass die vorvertraglichen Maßnahmen „auf Anfrage der betroffenen Person“ erfolgen müssen, dh die Initiative darf nicht vom Verantwortlichen (oder einem Dritten) ausgehen. Angesprochen sind damit z.B. Anfragen auf Erstellung eines Angebots oder Kostenvoranschlags, Informationsaustausch; eingehende Hintergrundüberprüfungen, wie die Einholung von Kreditauskünften, erfolgen nicht auf Anfrage der betroffenen Person, sondern auf Initiative z.B. einer Bank und sollen nach der Artikel-29-Datenschutzgruppe „eher“ unter Art. 6 Abs. 1 lit. f bzw. lit. c fallen (vgl.

Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO [Stand 07.05.2020, rdb.at] Rz 35).Neben der Vertragserfüllung ist die Datenverarbeitung auch für die Vorbereitung eines Vertragsschlusses, dazu zählt der gesamte Prozess des „Customer Onboarding“ zulässig. Zu beachten ist, dass die vorvertraglichen Maßnahmen „auf Anfrage der betroffenen Person“ erfolgen müssen, dh die Initiative darf nicht vom Verantwortlichen (oder einem Dritten) ausgehen. Angesprochen sind damit z.B. Anfragen auf Erstellung eines Angebots oder Kostenvoranschlags, Informationsaustausch; eingehende Hintergrundüberprüfungen, wie die Einholung von Kreditauskünften, erfolgen nicht auf Anfrage der betroffenen Person, sondern auf Initiative z.B. einer Bank und sollen nach der Artikel-29-Datenschutzgruppe „eher“ unter Artikel 6, Absatz eins, Litera f, bzw.

Litera c, fallen vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO [Stand 07.05.2020, rdb.at] Rz 35).

Nach Erwägungsgrund 44 sollte die Verarbeitung von Daten als rechtmäßig gelten, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist.

Wie der oben zitierten Literatur, unter Bezugnahme auf Erwägungsgrund 44 zur DSGVO zu entnehmen ist, ist die Verarbeitung gemäß Art. 6 Abs. 1 lit. b DSGVO u.a. zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Wie der oben zitierten Literatur, unter Bezugnahme auf Erwägungsgrund 44 zur DSGVO zu entnehmen ist, ist die Verarbeitung gemäß Artikel 6, Absatz eins, Litera b, DSGVO u.a. zulässig, wenn die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.

Wie festgestellt wurde zwar letztendlich kein Vertrag zwischen dem Beschwerdeführer und der mitbeteiligten Partei abgeschlossen, jedoch wurde der (potenzielle) Vertragsabschluss hinsichtlich des Leasingfahrzeuges nicht von der mitbeteiligten Partei, sondern vom Beschwerdeführer selbst angebahnt. In welchem Umfang eine Verarbeitung als erforderlich anzusehen ist, ergibt sich anhand einer Einzelfallbeurteilung aus dem Vertragsinhalt hervorgehenden Vertragszweck und dem was zur Erfüllung der Vertragspflichten oder der Wahrnehmung von Rechten bzw. für die Durchführung vorvertraglicher Maßnahmen geboten ist (vgl. Schulz in Gola, DS-GVO2 Art. 6 Rz 37 f). Wie festgestellt wurde zwar letztendlich kein Vertrag zwischen dem Beschwerdeführer und der mitbeteiligten Partei abgeschlossen, jedoch wurde der (potenzielle) Vertragsabschluss hinsichtlich des Leasingfahrzeuges nicht von der mitbeteiligten Partei, sondern vom Beschwerdeführer selbst angebahnt. In welchem Umfang eine Verarbeitung als erforderlich anzusehen ist, ergibt sich anhand einer Einzelfallbeurteilung aus dem Vertragsinhalt hervorgehenden Vertragszweck und dem was zur Erfüllung der Vertragspflichten oder der Wahrnehmung von Rechten bzw. für die Durchführung vorvertraglicher Maßnahmen geboten ist vergleiche Schulz in Gola, DS-GVO2 Artikel 6, Rz 37 f).

Zur Erforderlichkeit der Datenverarbeitung hat der EuGH ausgesprochen, dass für die Beurteilung der Erforderlichkeit zu prüfen ist, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (vgl. EuGH 04.07.2023, C-252/21, Meta Platforms u.a., Rn. 108). Der EuGH hat in diesem Zusammenhang etwa davon gesprochen, dass die Verarbeitung innerhalb der Grenzen dessen zu erfolgen hat, was zur Verwirklichung des berechtigten Interesses "unbedingt notwendig" ist (vgl.

EuGH 04.07.2023, C-252/21, Rn. 126), bzw. dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das "absolut Notwendige" beschränken müssen (vgl. EuGH 17.06.2021, C-597/19, M.I.C.M., Rn. 110).Zur Erforderlichkeit der Datenverarbeitung hat der EuGH ausgesprochen, dass für die Beurteilung der Erforderlichkeit zu prüfen ist, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Artikel 7 und 8 GRC garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen vergleiche EuGH 04.07.2023, C-252/21, Meta Platforms u.a., Rn. 108).

Der EuGH hat in diesem Zusammenhang etwa davon gesprochen, dass die Verarbeitung innerhalb der Grenzen dessen zu erfolgen hat, was zur Verwirklichung des berechtigten Interesses "unbedingt notwendig" ist vergleiche EuGH 04.07.2023, C-252/21, Rn. 126), bzw. dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das "absolut Notwendige" beschränken müssen vergleiche EuGH 17.06.2021, C-597/19, M.I.C.M., Rn. 110).

Gegenständlich war die Verarbeitung des Geburtsdatums und der E-Mail-Adresse des Beschwerdeführers zur Erstellung des Kaufantrages als erforderlich beurteilen, weil es einerseits im redlichen Geschäftsverkehr üblich ist, dass das Geburtsdatum in einem Kaufantrag angeführt wird, was u.a. auch zur Identitätsfeststellung dient und andererseits – wie die belangte Behörde im o.a. Bescheid bereits ausgeführt – weil die mitbeteiligte Partei sicherstellen muss, dass Fahrzeuge nur von geschäftsfähigen volljährigen Personen erworben wird. Die E-Mail-Adresse des Beschwerdeführers wurde zur Kommunikation zwischen dem Beschwerdeführer und der mitbeteiligten Partei genutzt. Die Erforderlichkeit der Verarbeitung zur Verwirklichung/Erfüllung der vorvertraglichen Pflichten im gegenständlichen Fall ist offensichtlich gegeben.

Zur Übermittlung des E-Mail-Verkehrs an die XXXX durch die mitbeteiligte Partei hat die belangte ebenfalls zu Recht ausgeführt, dass der Erlaubnistatbestand nach Art. 6 Abs. 1 lit. b DSGVO als erfüllt anzusehen ist, da sich der Beschwerdeführer selbst zunächst zum Zweck des Erwerbes des Leasingfahrzeuges seines verstorbenen Vaters an die mitbeteiligte Partei gewandt hat. Dementsprechend musste diese die XXXX kontaktieren. Wie festgestellt, wurde der ursprüngliche Leasingvertrag des Fahrzeuges zwischen dem Vater des Beschwerdeführers und der XXXX abgeschlossen und im Falle eines Erwerbes durch den Beschwerdeführer wäre der Leasingvertrag mit der XXXX aufzulösen gewesen. Auch sollte der Kaufpreis am Betrag der Ablösesumme berechnet werden, was wiederum mit der XXXX eruiert werden musste.

Aus diesen Gründen war die Übermittlung des E-Mail-Verkehrs durch die mitbeteiligte Partei in der Rolle als Koordinatorin an die XXXX zur Erfüllung ihrer vorvertraglichen Pflichten als zweckmäßig und notwendig anzusehen. Zur Übermittlung des E-Mail-Verkehrs an die römisch 40 durch die mitbeteiligte Partei hat die belangte ebenfalls zu Recht ausgeführt, dass der Erlaubnistatbestand nach Artikel 6, Absatz eins, Litera b, DSGVO als erfüllt anzusehen ist, da sich der Beschwerdeführer selbst zunächst zum Zweck des Erwerbes des Leasingfahrzeuges seines verstorbenen Vaters an die mitbeteiligte Partei gewandt hat. Dementsprechend musste diese die römisch 40 kontaktieren. Wie festgestellt, wurde der ursprüngliche Leasingvertrag des Fahrzeuges zwischen dem Vater des Beschwerdeführers und der römisch 40 abgeschlossen und im Falle eines Erwerbes durch den Beschwerdeführer wäre der Leasingvertrag mit der römisch 40 aufzulösen gewesen.

Auch sollte der Kaufpreis am Betrag der Ablösesumme berechnet werden, was wiederum mit der römisch 40 eruiert werden musste. Aus diesen Gründen war die Übermittlung des E-Mail-Verkehrs durch die mitbeteiligte Partei in der Rolle als Koordinatorin an die römisch 40 zur Erfüllung ihrer vorvertraglichen Pflichten als zweckmäßig und notwendig anzusehen.

Somit hat die mitbeteiligte Partei sowohl durch die Verarbeitung der personenbezogenen Daten des Beschwerdeführers im Zuge der Vertragserstellung als auch durch die Übermittlung dieser Daten an die XXXX den Beschwerdeführer nicht in seinem Recht auf Geheimhaltung verletzt. Somit hat die mitbeteiligte Partei sowohl durch die Verarbeitung der personenbezogenen Daten des Beschwerdeführers im Zuge der Vertragserstellung als auch durch die Übermittlung dieser Daten an die römisch 40 den Beschwerdeführer nicht in seinem Recht auf Geheimhaltung verletzt.

3.6. Zum Recht auf Löschung:

Art. 17 DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung.Artikel 17, DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung.

Ein Löschungsanspruch steht der betroffenen Person iW dann zu, wenn der Verantwortliche bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze des Art. 5 verstößt oder sich auf keine Rechtgrundlage iSd Art. 6 – allenfalls iVm Art. 9 – (mehr) stützen kann. Verarbeitet der Verantwortliche keine Daten, scheitert der Löschungsanspruch. Ausschlaggebender Zeitpunkt für die Beurteilung der Voraussetzungen ist jener der Antragsstellung (vgl. Haidinger in Knyrim, DatKomm Art. 17 DSGVO [Stand 01.07.2024, rdb.at] Rz 47).Ein Löschungsanspruch steht der betroffenen Person iW dann zu, wenn der Verantwortliche bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze des Artikel 5, verstößt oder sich auf keine Rechtgrundlage iSd Artikel 6, – allenfalls in Verbindung mit Artikel 9, – (mehr) stützen kann. Verarbeitet der Verantwortliche keine Daten, scheitert der Löschungsanspruch. Ausschlaggebender Zeitpunkt für die Beurteilung der Voraussetzungen ist jener der Antragsstellung vergleiche Haidinger in Knyrim, DatKomm Artikel 17, DSGVO [Stand 01.07.2024, rdb.at] Rz 47).

Ist die Verarbeitung erforderlich, damit der Verantwortliche einer rechtlichen Verpflichtung nach dem Recht des MS oder der Union nachkommen kann, besteht kein Löschungsanspruch der betroffenen Person, wie z.B. bei Krankenstandstagen eines Mitarbeiters (…). Der an ein Inkassobüro übermittelter Auftrags-Datensatz unterliegt als Geschäftsbrief der Aufbewahrungspflicht nach § 132 Abs. 1 BAO bzw. § 212 UGB. Es handelt sich hier daher um eine Öffnungsklausel, die im Besonderen auf handels- und steuerrechtliche Aufbewahrungspflichten abzielt. Darunter können aber auch gesundheitsrechtliche, haushaltsrechtliche oder archivrechtliche Aufbewahrungspflichten fallen. Aus dem Data Act ergeben sich keine besonderen Pflichten zur Speicherung oder Löschung von Daten (vgl.

Haidinger in Knyrim, DatKomm Art. 17 DSGVO [Stand 01.07.2024, rdb.at] Rz 70).Ist die Verarbeitung erforderlich, damit der Verantwortliche einer rechtlichen Verpflichtung nach dem Recht des MS oder der Union nachkommen kann, besteht kein Löschungsanspruch der betroffenen Person, wie z.B. bei Krankenstandstagen eines Mitarbeiters (…). Der an ein Inkassobüro übermittelter Auftrags-Datensatz unterliegt als Geschäftsbrief der Aufbewahrungspflicht nach Paragraph 132, Absatz eins, BAO bzw. Paragraph 212, UGB. Es handelt sich hier daher um eine Öffnungsklausel, die im Besonderen auf handels- und steuerrechtliche Aufbewahrungspflichten abzielt. Darunter können aber auch gesundheitsrechtliche, haushaltsrechtliche oder archivrechtliche Aufbewahrungspflichten fallen.

Aus dem Data Act ergeben sich keine besonderen Pflichten zur Speicherung oder Löschung von Daten vergleiche Haidinger in Knyrim, DatKomm Artikel 17, DSGVO [Stand 01.07.2024, rdb.at] Rz 70).

Zudem stellt Art. 17 Abs. 3 lit. e DSGVO insofern für alle Arten von Daten klar, dass bei Erfüllung des Tatbestandes »Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen« für den Verantwortlichen keine Pflicht zur Löschung besteht. Zudem stellt Artikel 17, Absatz 3, Litera e, DSGVO insofern für alle Arten von Daten klar, dass bei Erfüllung des Tatbestandes »Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen« für den Verantwortlichen keine Pflicht zur Löschung besteht.

Im vorliegenden Fall ist zunächst festzuhalten, dass die mitbeteiligte Partei personenbezogene Daten des Beschwerdeführers iSd Art. 4 Z 1 DSGVO verarbeitet. Im vorliegenden Fall ist zunächst festzuhalten, dass die mitbeteiligte Partei personenbezogene Daten des Beschwerdeführers iSd Artikel 4, Ziffer eins, DSGVO verarbeitet.

Da die gesetzliche Aufbewahrungsfrist nach § 132 BAO und § 212 UGB von sieben Jahren für die Aufbewahrung der personenbezogenen Daten des Beschwerdeführers mittlerweile verstrichen ist, kommt nunmehr lediglich die Ausnahmeregelung nach Art. 17 Abs. 3 lit. e DSGVO in Frage. Diese Regelung wiederholt den ersten Tatbestand der in Art. 9 Abs. 2 lit. f DSGVO normierten Ausnahmen vom Verarbeitungsverbot für besondere Kategorien von Daten, welche die Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst. Unstrittig befindet sich die mitbeteiligte Partei mit dem Beschwerdeführer derzeit in einem datenschutzrechtlichen Verfahren vor dem Bundesverwaltungsgericht.

Daher ist auch der Argumentation der belangten Behörde im o.a. Bescheid zu folgen, wenn sie ausführt, dass für die mitbeteiligte Partei die Dokumentation und die Aufzeichnung über alle Kontakte und Rechtsgeschäfte zwischen ihr und dem Beschwerdeführer zur Verteidigung ihrer Rechtsansprüche notwendig ist. Da die gesetzliche Aufbewahrungsfrist nach Paragraph 132, BAO und Paragraph 212, UGB von sieben Jahren für die Aufbewahrung der personenbezogenen Daten des Beschwerdeführers mittlerweile verstrichen ist, kommt nunmehr lediglich die Ausnahmeregelung nach Artikel 17, Absatz 3, Litera e, DSGVO in Frage. Diese Regelung wiederholt den ersten Tatbestand der in Artikel 9, Absatz 2, Litera f, DSGVO normierten Ausnahmen vom Verarbeitungsverbot für besondere Kategorien von Daten, welche die Verteidigung von Rechtsansprüchen in einem Gerichtsverfahren, einem Verwaltungsverfahren oder einem anderen außergerichtlichen Verfahren sowohl gegenüber der betroffenen Person als auch gegenüber Dritten erfasst.

Unstrittig befindet sich die mitbeteiligte Partei mit dem Beschwerdeführer derzeit in einem datenschutzrechtlichen Verfahren vor dem Bundesverwaltungsgericht. Daher ist auch der Argumentation der belangten Behörde im o.a. Bescheid zu folgen, wenn sie ausführt, dass für die mitbeteiligte Partei die Dokumentation und die Aufzeichnung über alle Kontakte und Rechtsgeschäfte zwischen ihr und dem Beschwerdeführer zur Verteidigung ihrer Rechtsansprüche notwendig ist.

Da gegenständlich der Rechtfertigungsgrund nach Art. 17 Abs. 3 lit. e DSGVO erfüllt ist, hat die belangte Behörde hat daher zutreffend das Vorliegen der behaupteten Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO zu Recht verneint.Da gegenständlich der Rechtfertigungsgrund nach Artikel 17, Absatz 3, Litera e, DSGVO erfüllt ist, hat die belangte Behörde hat daher zutreffend das Vorliegen der behaupteten Verletzung im Recht auf Löschung gemäß Artikel 17, DSGVO zu Recht verneint.

3.6. Zum Recht auf Einschränkung der Verarbeitung:

Gemäß Art. 18 Abs. 1 DSGVO kann eine betroffene Person unter näher bezeichneten Umständen iSd lit. a bis d vom Verantwortlichen die Einschränkung der Verarbeitung verlangen. Aus systematischer Sicht, handelt es sich bei diesem Betroffenenrecht um einen temporären Begleitanspruch, der darauf abzielt, dass die in Rede stehenden Daten nur mehr gespeichert werden dürfen (vgl. Haidinger in Knyrim, DatKomm Art. 18 DSGVO Rz 1 [Stand 01.12.2021, rdb.at]).Gemäß Artikel 18, Absatz eins, DSGVO kann eine betroffene Person unter näher bezeichneten Umständen iSd Litera a bis d vom Verantwortlichen die Einschränkung der Verarbeitung verlangen. Aus systematischer Sicht, handelt es sich bei diesem Betroffenenrecht um einen temporären Begleitanspruch, der darauf abzielt, dass die in Rede stehenden Daten nur mehr gespeichert werden dürfen vergleiche Haidinger in Knyrim, DatKomm Artikel 18, DSGVO Rz 1 [Stand 01.12.2021, rdb.at]).

Art. 18 Abs. 1 regelt in lit. a bis lit. d vier Fallkonstellationen, in denen die betroffene Person das Recht hat, vom Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen. Artikel 18, Absatz eins, regelt in Litera a bis Litera d, vier Fallkonstellationen, in denen die betroffene Person das Recht hat, vom Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen.

Bei allen Betroffenenrechten, die auf Antrag geltend zu machen sind, kann ein Verstoß gegen die DSGVO durch die Verarbeitung, auf die sich das jeweilige Recht bezieht, erst vorliegen, wenn ein entsprechender Antrag der betroffenen Person beim Verantwortlichen nach Ansicht der betroffenen Person nicht der DSGVO entsprechend behandelt wurde, also z.B. keine Auskunft erteilt oder die Verarbeitung nicht eingeschränkt wurde. Dies betrifft das Recht auf Auskunft (Art. 15), das Recht auf Berichtigung, das Recht auf Einschränkung der Datenverarbeitung (Art. 18), die Mitteilungspflicht (Art. 19), das Recht auf Übertragung von Daten (Art. 20) und das Widerrufsrecht (Art. 21).Bei allen Betroffenenrechten, die auf Antrag geltend zu machen sind, kann ein Verstoß gegen die DSGVO durch die Verarbeitung, auf die sich das jeweilige Recht bezieht, erst vorliegen, wenn ein entsprechender Antrag der betroffenen Person beim Verantwortlichen nach Ansicht der betroffenen Person nicht der DSGVO entsprechend behandelt wurde, also z.B. keine Auskunft erteilt oder die Verarbeitung nicht eingeschränkt wurde. Dies betrifft das Recht auf Auskunft (Artikel 15,), das Recht auf Berichtigung, das Recht auf Einschränkung der Datenverarbeitung (Artikel 18,), die Mitteilungspflicht (Artikel 19,), das Recht auf Übertragung von Daten (Artikel 20,) und das Widerrufsrecht (Artikel 21,).

Gegenständlich begehrt der Beschwerdeführer eine Einschränkung der Verarbeitung nach Art. 18 Abs. 1 lit. b DSGVO, weil er die Verarbeitung seiner personenbezogenen Daten durch die mitbeteiligte Partei als rechtswidrig erachtet. Gegenständlich begehrt der Beschwerdeführer eine Einschränkung der Verarbeitung nach Artikel 18, Absatz eins, Litera b, DSGVO, weil er die Verarbeitung seiner personenbezogenen Daten durch die mitbeteiligte Partei als rechtswidrig erachtet.

Gestützt auf lit. b leg.cit. kann die betroffene Person bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen (vgl. Haidinger in Knyrim, DatKomm Art. 18 DSGVO Rz 18 [Stand 1.7.2024, rdb.at]). Eine Unrechtmäßigkeit der Verarbeitung liegt vor, wenn einer der Löschungstatbestände von Art. 17 Abs. 1 lit. a bis d bzw. lit. f DSGVO vorliegt. ISd Art. 17 Abs. 1 lit. d liegt Unrechtmäßigkeit insbesondere bei Verstößen gegen die Art. 5, 6 und 9 vor […]. (vgl. Haidinger in Knyrim, DatKomm Art. 17 DSGVO Rz 56 [Stand 1.7.2024, rdb.at]).Gestützt auf Litera b, leg.cit. kann die betroffene Person bei unrechtmäßig verarbeiteten Daten die Löschung ablehnen und stattdessen die Einschränkung der Nutzung verlangen; ihr steht damit ohne das Vorliegen besonderer Interessen das Recht zu, ein „milderes Mittel zur Löschung“ auszuwählen vergleiche Haidinger in Knyrim, DatKomm Artikel 18, DSGVO Rz 18 [Stand 1.7.2024, rdb.at]). Eine Unrechtmäßigkeit der Verarbeitung liegt vor, wenn einer der Löschungstatbestände von Artikel 17, Absatz eins, Litera a bis d bzw. Litera f, DSGVO vorliegt. ISd Artikel 17, Absatz eins, Litera d, liegt Unrechtmäßigkeit insbesondere bei Verstößen gegen die Artikel 5, 6 und 9 vor […]. vergleiche Haidinger in Knyrim, DatKomm Artikel 17, DSGVO Rz 56 [Stand 1.7.2024, rdb.at]).

Hierzu hat die belangte Behörde zutreffend ausgeführt, dass der Beschwerdeführer nicht – wie vom Art. 18 Abs. 1 lit. b DSGVO gefordert – die Löschung seiner personenbezogenen Daten abgelehnt hat. Im Gegenteil hat er zunächst die Löschung seiner Daten gefordert und nur im Falle der Ablehnung seines Löschbegehrens die Einschränkung der Verarbeitung seiner personenbezogenen Daten beantragt. Vor diesem Hintergrund geht die Behauptung, dass der Beschwerdeführer durch die mitbeteiligte Partei in seinem Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO verletzt wurde, ins Leere. Hierzu hat die belangte Behörde zutreffend ausgeführt, dass der Beschwerdeführer nicht – wie vom Artikel 18, Absatz eins, Litera b, DSGVO gefordert – die Löschung seiner personenbezogenen Daten abgelehnt hat. Im Gegenteil hat er zunächst die Löschung seiner Daten gefordert und nur im Falle der Ablehnung seines Löschbegehrens die Einschränkung der Verarbeitung seiner personenbezogenen Daten beantragt. Vor diesem Hintergrund geht die Behauptung, dass der Beschwerdeführer durch die mitbeteiligte Partei in seinem Recht auf Einschränkung der Verarbeitung gemäß Artikel 18, DSGVO verletzt wurde, ins Leere.

3.7. Der zuständige Senat gelangt daher zu dem Ergebnis, dass die mitbeteiligte Partei den Beschwerdeführer im gegenständlichen Fall nicht in seinen Rechten auf Geheimhaltung gemäß § 1 Abs. 1 DSG, auf Löschung gemäß Art. 17 DSGVO und auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO verletzt hat. 3.7. Der zuständige Senat gelangt daher zu dem Ergebnis, dass die mitbeteiligte Partei den Beschwerdeführer im gegenständlichen Fall nicht in seinen Rechten auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG, auf Löschung gemäß Artikel 17, DSGVO und auf Einschränkung der Verarbeitung gemäß Artikel 18, DSGVO verletzt hat.

Auch sonstige Rechtsverletzungen, etwa im Verlauf des Ermittlungsverfahrens, wurden zwar behauptet aber nicht nachvollziehbar dargelegt oder konkretisiert. Allfällige Beweismittel hätten auch im Rahmen der Beschwerde vorgelegt werden können, was jedoch nicht erfolgte. Vielmehr zeigen die Ausführungen in der Beschwerde (insbesondere „3. Fazit“, Seite 12), dass der Beschwerdeführer von Rechtsfolgen der Entscheidung ausgeht („auf den ersten Datensatz durch jeden Mitarbeiter zugreifen zu lassen“), die keinen Bezug zum tatsächlichen Inhalt des angefochtenen Bescheides aufweisen.

Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG abzuweisen.Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG abzuweisen.

3.8. Durchführung einer mündlichen Verhandlung Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Artikel 47, der Charta der Grundrechte der Europäischen Union entgegenstehen.

Der Beschwerdeführer hat gegenständlich zwar einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Wie oben – Punkt II.2. – erweist sich der gesamte entscheidungsrelevante Sachverhalt als unstrittig und aus der Aktenlage geklärt. Der Beschwerdeführer hat gegenständlich zwar einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Wie oben – Punkt römisch zwei.2. – erweist sich der gesamte entscheidungsrelevante Sachverhalt als unstrittig und aus der Aktenlage geklärt.

Der Beschwerdeführer weist zwar auch in der Beschwerde und in dem nachgereichten Hinweis („eindringlich instruktiv“) auf den Wunsch nach Durchführung einer Verhandlung hin. Dieser Hinweis ist freilich – wie schon die Beschwerde – nicht derart gestaltet, dass sich daraus Unklarheiten oder Widersprüche hinsichtlich des entscheidungsrelevanten Sachverhalts aufzeigen würde.

Auch hat die Datenschutzbehörde die hier relevanten Rechtsfragen klar und übersichtlich aufgezeigt und gewürdigt. Diese sind jedenfalls nicht komplex und erfordern dementsprechend auch keine zusätzliche Erörterung im Rahmen einer mündlichen Verhandlung. Dass der Beschwerdeführer diese rechtliche Einordnung offenkundig nicht akzeptiert und als „krass rechtswidrig“, sogar „obskur“ oder „erratisch“ bezeichnet, macht sie in einer objektivierten Betrachtung in keiner Form „komplex“. Vielmehr reduziert sich die Rechtsfrage des gegenständlichen Verfahrens im Kern auf die Frage der Anwendung eines Tatbestandes von Art. 6 Abs. 1 DSGVO sowie sich daraus ergebender weiterer Rechtsfolgen, etwa im Zusammenhang mit dem Recht auf Löschung und der weiteren Verarbeitung.

Auch hat die Datenschutzbehörde die hier relevanten Rechtsfragen klar und übersichtlich aufgezeigt und gewürdigt. Diese sind jedenfalls nicht komplex und erfordern dementsprechend auch keine zusätzliche Erörterung im Rahmen einer mündlichen Verhandlung. Dass der Beschwerdeführer diese rechtliche Einordnung offenkundig nicht akzeptiert und als „krass rechtswidrig“, sogar „obskur“ oder „erratisch“ bezeichnet, macht sie in einer objektivierten Betrachtung in keiner Form „komplex“. Vielmehr reduziert sich die Rechtsfrage des gegenständlichen Verfahrens im Kern auf die Frage der Anwendung eines Tatbestandes von Artikel 6, Absatz eins, DSGVO sowie sich daraus ergebender weiterer Rechtsfolgen, etwa im Zusammenhang mit dem Recht auf Löschung und der weiteren Verarbeitung.

Von der Durchführung einer mündlichen Verhandlung konnte folglich gemäß § 24 Abs. 1 VwGVG abgesehen werden.Von der Durchführung einer mündlichen Verhandlung konnte folglich gemäß Paragraph 24, Absatz eins, VwGVG abgesehen werden.

Zu B) (Un)Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Vielmehr beruft sich die Datenschutzbehörde in ihrer schlüssigen und gut argumentierten Entscheidung auf bestehende Judikatur (auch von Höchstgerichten) sowie ausführlich zitierte Literatur. Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Vielmehr beruft sich die Datenschutzbehörde in ihrer schlüssigen und gut argumentierten Entscheidung auf bestehende Judikatur (auch von Höchstgerichten) sowie ausführlich zitierte Literatur.

European Case Law IdentifierECLI:AT:BVWG:2026:W137.2316923.1.00