RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum29.04.2026 GeschäftszahlW298 2301228-1 Spruch, W298 2301228-1/9E Im namen der republik! Das Bundesverwaltungsgericht hat durch den Richte

Art 5DSGVO Rz 10 (Stand 1.10.2025, rdb.at)).

3.3.1.7. Der Regelungsinhalt von Artikel 5, Absatz eins, Litera a, ist als Verbot der rechtswidrigen, treuwidrigen (unfairen) oder intransparenten Verarbeitung zu verstehen. Diese drei Grundsätze Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz bestehen unabhängig voneinander, wenngleich sie Zusammenhänge aufweisen. Sie werden daher im Folgenden getrennt behandelt (Hötzendorfer/Kastelitz/Tschohl in Knyrim,

Artikel 5, DSGVO Rz 10 (Stand 1.10.2025, rdb.at)).

Personenbezogene Daten müssen nach Art 5 Abs 1 lit a auf rechtmäßige Weise verarbeitet werden, wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in Art 6 Abs 1 lit a bis f DSGVO explizit festgehalten sind (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 9 (Stand 1.12.2020, rdb.at)). Wie bereits ausgeführt, verarbeitete die Beschwerdeführerin die Daten der mitbeteiligten Partei gemäß Art 6 Abs. 1 lit b DSGVO, weil die Verarbeitung für die Erfüllung eines Vertrags erforderlich war, dessen Vertragspartei die betroffene Person war. Bei der Beurteilung der Verarbeitung nach dem Grundsatz „Treu und Glauben“ sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 12 (Stand 1.12.2020, rdb.at)). ErwGr 38 der DS-RL enthielt zu „Treu und Glauben“ Folgendes: „Datenverarbeitung nach Treu und Glauben setzt voraus, daß die betroffenen Personen in der Lage sind, das Vorhandensein einer Verarbeitung zu erfahren und ordnungsgemäß und umfassend über die Bedingungen der Erhebung informiert zu werden, wenn Daten bei ihnen erhoben werden. Es ist im konkreten Fall nicht ersichtlich, inwieweit dieser Grundsatz verletzt wurde. Die mitbeteiligte Partei hätte damit rechnen müssen, wenn sie im System XXXX der Beschwerdeführerin die Adresse ihres Arbeitgebers bestätigt, in Zukunft Post an diese Adresse zugestellt bekommen kann. Betreffend den Grundsatz der Transparenz, muss für die Betroffenen erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte iZm der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (Hötzendorfer/Kastelitz/Tschohl in Knyrim,

Art 5DSGVO Rz 18 (Stand 1.10.2025, rdb.at)).

Wie bereits erwähnt, unterzeichnete die mitbeteiligte Partei ihren Antrag auf Aktivierung des XXXX am XXXX mittels elektronischer Authentifizierung durch XXXX . Dieser Antrag wurde für private Zwecke gestellt und betraf ausschließlich das private Konto der mitbeteiligten Partei. Solche in weiterer Folge potenziellen Cashback Auszahlungen basieren auf den getätigten Zahlungen der Debitkarte / Kreditkarte der mitbeteiligten Partei und werden laut Produktbeschreibung monatlich gesammelt und spätestens am 15. Tag des folgenden Kalendermonats auf das mit der Debitkarte verbundene Zahlungskonto rückerstattet oder auf der Kreditkartenrechnung gutgeschrieben und der verfügbare Betrag auf der Kreditkarte erhöht. Die mitbeteiligte Partei bestätigte somit bei einem Antrag, welcher in Zusammenhang mit ihrem privaten Girokonto stand, die Adresse des Arbeitgebers XXXX . Für die mitbeteiligte Partei war somit erkennbar, welche Daten in Bezug auf ihre privaten Konto verarbeitet werden. Ein Verstoß gegen die Grundsätze Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz durch die Beschwerdeführerin liegt somit nicht vor, weshalb keine Verletzung des Art 5 Abs. 1 lit a DSGVO vorliegt. Personenbezogene Daten müssen nach Artikel 5, Absatz eins, Litera a, auf rechtmäßige Weise verarbeitet werden, wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in Artikel 6, Absatz eins, Litera a bis f DSGVO explizit festgehalten sind (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO Rz 9 (Stand 1.12.2020, rdb.at)). Wie bereits ausgeführt, verarbeitete die Beschwerdeführerin die Daten der mitbeteiligten Partei gemäß Artikel 6, Absatz eins, Litera b, DSGVO, weil die Verarbeitung für die Erfüllung eines Vertrags erforderlich war, dessen Vertragspartei die betroffene Person war. Bei der Beurteilung der Verarbeitung nach dem Grundsatz „Treu und Glauben“ sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO Rz 12 (Stand 1.12.2020, rdb.at)). ErwGr 38 der DS-RL enthielt zu „Treu und Glauben“ Folgendes: „Datenverarbeitung nach Treu und Glauben setzt voraus, daß die betroffenen Personen in der Lage sind, das Vorhandensein einer Verarbeitung zu erfahren und ordnungsgemäß und umfassend über die Bedingungen der Erhebung informiert zu werden, wenn Daten bei ihnen erhoben werden. Es ist im konkreten Fall nicht ersichtlich, inwieweit dieser Grundsatz verletzt wurde. Die mitbeteiligte Partei hätte damit rechnen müssen, wenn sie im System römisch 40 der Beschwerdeführerin die Adresse ihres Arbeitgebers bestätigt, in Zukunft Post an diese Adresse zugestellt bekommen kann. Betreffend den Grundsatz der Transparenz, muss für die Betroffenen erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte iZm der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (Hötzendorfer/Kastelitz/Tschohl in Knyrim,

Artikel 5, DSGVO Rz 18 (Stand 1.10.2025, rdb.at)).

Wie bereits erwähnt, unterzeichnete die mitbeteiligte Partei ihren Antrag auf Aktivierung des römisch 40 am römisch 40 mittels elektronischer Authentifizierung durch römisch 40 . Dieser Antrag wurde für private Zwecke gestellt und betraf ausschließlich das private Konto der mitbeteiligten Partei. Solche in weiterer Folge potenziellen Cashback Auszahlungen basieren auf den getätigten Zahlungen der Debitkarte / Kreditkarte der mitbeteiligten Partei und werden laut Produktbeschreibung monatlich gesammelt und spätestens am

1. Tag des folgenden Kalendermonats auf das mit der Debitkarte verbundene Zahlungskonto rückerstattet oder auf der Kreditkartenrechnung gutgeschrieben und der verfügbare Betrag auf der Kreditkarte erhöht. Die mitbeteiligte Partei bestätigte somit bei einem Antrag, welcher in Zusammenhang mit ihrem privaten Girokonto stand, die Adresse des Arbeitgebers römisch 40 . Für die mitbeteiligte Partei war somit erkennbar, welche Daten in Bezug auf ihre privaten Konto verarbeitet werden. Ein Verstoß gegen die Grundsätze Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz durch die Beschwerdeführerin liegt somit nicht vor, weshalb keine Verletzung des Artikel 5, Absatz eins, Litera a, DSGVO vorliegt. 3.3.1.
2. Der Grundsatz der Datenminimierung ist Ausdruck der Verhältnismäßigkeit und verlangt, die Verarbeitung personenbezogener Daten auf das Unvermeidbare zu reduzieren. Erst der Grundsatz der Datenminimierung bewirkt einen wesentlichen Aspekt der Zweckbindung: Er stellt sicher, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird (Hötzendorfer/Kastelitz/Tschohl in Knyrim,

Art 5DSGVO Rz 34 (Stand 1.10.2025, rdb.at)).

Die von der Beschwerdeführerin verarbeiteten Daten waren angemessen und erheblich. Ein Verstoß gegen Art 5 lit c DSGVO liegt somit nicht vor. 3.3.1.8. Der Grundsatz der Datenminimierung ist Ausdruck der Verhältnismäßigkeit und verlangt, die Verarbeitung personenbezogener Daten auf das Unvermeidbare zu reduzieren. Erst der Grundsatz der Datenminimierung bewirkt einen wesentlichen Aspekt der Zweckbindung: Er stellt sicher, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird (Hötzendorfer/Kastelitz/Tschohl in Knyrim,

Artikel 5, DSGVO Rz 34 (Stand 1.10.2025, rdb.at)).

Die von der Beschwerdeführerin verarbeiteten Daten waren angemessen und erheblich. Ein Verstoß gegen Artikel 5, Litera c, DSGVO liegt somit nicht vor. 3.3.1.

1. Nach Ansicht des erkennenden Senates hat die Beschwerdeführerin bei der Verfügung der Zustellung des in Rede stehenden Dokuments nicht gegen den Grundsatz des Art. 5 Abs. 1 lit. f DSGVO, bzw. gegen die weiteren Vorgaben des Art. 32 DSGVO hierzu, verstoßen, weil eine überscheißende Datenverarbeitung nicht im Ansatz zu erkennen ist: das inredestehende Schreiben wies außen neben Namen und Zustelladresse keine weiteren Identifikationsmerkmale auf. Das Schreiben selbst war wie festgestellt an die mitbeteiligte Partei adressiert, und ist tatsächlich der mitbeteiligten Partei als Empfängerin auch zugegangen. Die Bestimmung des Art. 5 Abs. 1 lit. f DSGVO verlangt im Übrigen nicht, dass jedes nur erdenkliche Risiko einer unbeabsichtigten Offenlegung vom Verantwortlichen durch Ergreifen technischer und organisatorischer Maßnahmen gänzlich ausgeschlossen wird. Vielmehr verlangt Art. 5 Abs. 1 lit. f DSGVO Das Ergreifen von Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten (vgl. EuGH, 14.12.2023, C-340/21, Rn. 31 ff).3.3.1.
2. Nach Ansicht des erkennenden Senates hat die Beschwerdeführerin bei der Verfügung der Zustellung des in Rede stehenden Dokuments nicht gegen den Grundsatz des Artikel 5, Absatz eins, Litera f, DSGVO, bzw. gegen die weiteren Vorgaben des Artikel 32, DSGVO hierzu, verstoßen, weil eine überscheißende Datenverarbeitung nicht im Ansatz zu erkennen ist: das inredestehende Schreiben wies außen neben Namen und Zustelladresse keine weiteren Identifikationsmerkmale auf. Das Schreiben selbst war wie festgestellt an die mitbeteiligte Partei adressiert, und ist tatsächlich der mitbeteiligten Partei als Empfängerin auch zugegangen. Die Bestimmung des Artikel 5, Absatz eins, Litera f, DSGVO verlangt im Übrigen nicht, dass jedes nur erdenkliche Risiko einer unbeabsichtigten Offenlegung vom Verantwortlichen durch Ergreifen technischer und organisatorischer Maßnahmen gänzlich ausgeschlossen wird. Vielmehr verlangt Artikel 5, Absatz eins, Litera f, DSGVO Das Ergreifen von Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten vergleiche EuGH, 14.12.2023, C-340/21, Rn. 31 ff). Laut EuGH verpflichten Art 5 Abs 2 und Art 24 die Verantwortlichen insbesondere „zur Wahrung des Rechts auf Datenschutz geeignete Maßnahmen zu ergreifen, um etwaigen Verstößen gegen die Vorschriften der DSGVO vorzubeugen (EuGH
4. 2022, C-129/21, Proximus, Rn 81). Ein Verstoß gegen die Vorschriften der DSGVO durch die Beschwerdeführerin konnte nicht festgestellt werden.Laut EuGH verpflichten Artikel 5, Absatz 2 und Artikel 24, die Verantwortlichen insbesondere „zur Wahrung des Rechts auf Datenschutz geeignete Maßnahmen zu ergreifen, um etwaigen Verstößen gegen die Vorschriften der DSGVO vorzubeugen (EuGH
6. 2022, C-129/21, Proximus, Rn 81). Ein Verstoß gegen die Vorschriften der DSGVO durch die Beschwerdeführerin konnte nicht festgestellt werden. Die Verfügung der Zustellung des Dokumentes an die Adresse des Arbeitgebers der mitbeteiligten Partei verstößt nicht gegen den Verarbeitungsgrundsatz des Art. 5 Abs. 1 lit a, c oder f DSGVO („Integrität und Vertraulichkeit“) bzw. des Art.5 Abs. 2 DSGVO. Der Beschwerde war daher spruchgemäß stattzugeben. Die Verfügung der Zustellung des Dokumentes an die Adresse des Arbeitgebers der mitbeteiligten Partei verstößt nicht gegen den Verarbeitungsgrundsatz des Artikel 5, Absatz eins, Litera a, c, oder f DSGVO („Integrität und Vertraulichkeit“) bzw. des Artikel 5, Absatz 2, DSGVO. Der Beschwerde war daher spruchgemäß stattzugeben. Zum Entfall der mündlichen Verhandlung: Von der Durchführung einer – im Übrigen von keiner der Parteien beantragten – mündlichen Verhandlung konnte gemäß § 24 Abs. 4 VwGVG Abstand genommen werden, da der entscheidungserhebliche Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt erscheint und eine mündliche Erörterung die weitere Klärung der Rechtssache nicht erwarten lässt. Daran ändert auch der Umstand nichts, dass die belangte Behörde fälschlich von einer Zustellung mit Zustellnachweis ausgegangen ist. Dem Entfall der Verhandlung stehen auch weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten, BGBl. Nr. 210/1958 noch Art. 47 der Charta der Grundrechte der Europäischen Union, ABl. Nr. C 83 vom 30.03.2010, S 389 entgegen.Von der Durchführung einer – im Übrigen von keiner der Parteien beantragten – mündlichen Verhandlung konnte gemäß Paragraph 24, Absatz 4, VwGVG Abstand genommen werden, da der entscheidungserhebliche Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt erscheint und eine mündliche Erörterung die weitere Klärung der Rechtssache nicht erwarten lässt. Daran ändert auch der Umstand nichts, dass die belangte Behörde fälschlich von einer Zustellung mit Zustellnachweis ausgegangen ist. Dem Entfall der Verhandlung stehen auch weder Artikel 6, Absatz eins, der Konvention zum Schutze der Menschenrechte und Grundfreiheiten, Bundesgesetzblatt Nr. 210 aus 1958, noch Artikel 47, der Charta der Grundrechte der Europäischen Union, ABl. Nr. C 83 vom 30.03.2010, S 389 entgegen. Zu B) Unzulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Eine Rechtsfrage grundsätzlicher Bedeutung liegt nicht vor, da die Beurteilung der Frage, ob ein datenschutzrechtlich Verantwortlicher ein dem jeweiligen Risiko angemessenes Schutzniveau bei der Verarbeitung sichergestellt hat, anhand der Umstände des Einzelfalles zu beurteilen ist. Der Rechtsprechung des Verwaltungsgerichtshofs war zu entnehmen, dass eine andere Person als die mitbeteiligte Partei nicht zur Öffnung des Briefes bevollmächtigt gewesen wäre. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Eine Rechtsfrage grundsätzlicher Bedeutung liegt nicht vor, da die Beurteilung der Frage, ob ein datenschutzrechtlich Verantwortlicher ein dem jeweiligen Risiko angemessenes Schutzniveau bei der Verarbeitung sichergestellt hat, anhand der Umstände des Einzelfalles zu beurteilen ist. Der Rechtsprechung des Verwaltungsgerichtshofs war zu entnehmen, dass eine andere Person als die mitbeteiligte Partei nicht zur Öffnung des Briefes bevollmächtigt gewesen wäre. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. European Case Law IdentifierECLI:AT:BVWG:2026:W298.2301228.1.00