Obsah (7)

Art. 13§ 1§ 8§ 6Art. 12Art. 6§ 24

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum21.02.2019 GeschäftszahlDSB-D123.311/0003-DSB/2019 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: DSB-D

Art. 13Abs.

2 lit. a DSGVO. Es sei daher nach wie vor unklar, ob die im Rahmen der Akkreditierung verarbeiteten Daten vom Beschwerdegegner oder einem Empfänger dieser Daten weiterhin verarbeitet würden. Darüber hinaus mangle es der Datenverarbeitung auch an einer tauglichen Rechtsgrundlage. Einerseits vertrete der Beschwerdegegner die Ansicht, dass eine wirksame Einwilligung des Beschwerdeführers bestanden habe, andererseits verweise er auf die Bestimmungen des § 55a SPG. Die verfahrensgegenständliche Veranstaltung sei jedoch keine „Veranstaltung auf politischer Ebene“ gewesen. Selbst wenn jedoch Sicherheitsvorkehrungen zugunsten einer oder mehrerer der in § 55a Abs. 1 Z 2 SPG genannten Personen im Rahmen der Veranstaltung notwendig gewesen wären, so sei dieser Eingriff in das Grundrecht auf Datenschutz unverhältnismäßig gewesen. Der Verweis des Beschwerdegegners auf einen Ministerratsbeschluss sei darüber hinaus unerheblich, da dieser keine taugliche Rechtsgrundlage darstelle. Darüber hinaus mangle es an einer wirksamen Einwilligung, weil diese zwingende Voraussetzung für die Teilnahme an der verfahrensgegenständlichen Konferenz gewesen wäre und sei eine solche auch mangels Transparenz der Datenschutzinformation nicht wirksam. 5. Mit Stellungnahme vom 15. Februar 2019 führte der Beschwerdeführer im Rahmen des Parteiengehörs aus, der Beschwerdegegner habe es unterlassen, transparent zu machen, welche Datenverarbeitungen mit dem Akkreditierungsprozess verbunden gewesen seien. Nicht nur während des Anmeldeprozesses, sondern auch jetzt sei der Beschwerdegegner nicht bereit, die durchgeführten Datenverarbeitungen offen zu legen. Insbesondere bleibe unbeantwortet, ob personenbezogene Daten an Dritte, insbesondere an Sicherheitsbehörden oder an „conference organisers“ übermittelt worden seien. Er verabsäume es außerdem darzulegen, ob personenbezogene Daten des Beschwerdeführers an das Bundesministerium für Inneres übermittelt worden sind und enthalten die Information des Beschwerdegegners auch keine Angaben über die Dauer der Verarbeitung

Artikel 13, Absatz 2, Litera a, DSGVO.

Es sei daher nach wie vor unklar, ob die im Rahmen der Akkreditierung verarbeiteten Daten vom Beschwerdegegner oder einem Empfänger dieser Daten weiterhin verarbeitet würden. Darüber hinaus mangle es der Datenverarbeitung auch an einer tauglichen Rechtsgrundlage. Einerseits vertrete der Beschwerdegegner die Ansicht, dass eine wirksame Einwilligung des Beschwerdeführers bestanden habe, andererseits verweise er auf die Bestimmungen des Paragraph 55 a, SPG. Die verfahrensgegenständliche Veranstaltung sei jedoch keine „Veranstaltung auf politischer Ebene“ gewesen. Selbst wenn jedoch Sicherheitsvorkehrungen zugunsten einer oder mehrerer der in Paragraph 55 a, Absatz eins, Ziffer 2, SPG genannten Personen im Rahmen der Veranstaltung notwendig gewesen wären, so sei dieser Eingriff in das Grundrecht auf Datenschutz unverhältnismäßig gewesen. Der Verweis des Beschwerdegegners auf einen Ministerratsbeschluss sei darüber hinaus unerheblich, da dieser keine taugliche Rechtsgrundlage darstelle. Darüber hinaus mangle es an einer wirksamen Einwilligung, weil diese zwingende Voraussetzung für die Teilnahme an der verfahrensgegenständlichen Konferenz gewesen wäre und sei eine solche auch mangels Transparenz der Datenschutzinformation nicht wirksam. B. Beschwerdegegenstand Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner den Beschwerdeführer dadurch in seinem Recht

Art. 13

DSGVO verletzt hat, indem er seiner Informationspflicht bei Erhebung der personenbezogenen Daten bei dem Beschwerdeführer nicht ausreichend nachgekommen ist und diesen Mangel auch während des Verfahrens vor der Datenschutzbehörde nicht beseitigt hat. Beschwerdegegenstand ist die Frage, ob der Beschwerdegegner den Beschwerdeführer dadurch in seinem Recht

Artikel 13

, DSGVO verletzt hat, indem er seiner Informationspflicht bei Erhebung der personenbezogenen Daten bei dem Beschwerdeführer nicht ausreichend nachgekommen ist und diesen Mangel auch während des Verfahrens vor der Datenschutzbehörde nicht beseitigt hat. Darüber hinaus ist beschwerdegegenständlich die Frage zu klären, ob der Beschwerdegegner bei Verarbeitung der personenbezogenen Daten des Beschwerdeführers diesen in seinem Recht

§ 1

DSG verletzt hat, da keine Einwilligung des Beschwerdeführers zur Datenverarbeitung sowie auch keine Rechtsgrundlage zu dieser besteht. Darüber hinaus ist beschwerdegegenständlich die Frage zu klären, ob der Beschwerdegegner bei Verarbeitung der personenbezogenen Daten des Beschwerdeführers diesen in seinem Recht

Paragraph eins, DSG verletzt hat, da keine Einwilligung des Beschwerdeführers zur Datenverarbeitung sowie auch keine Rechtsgrundlage zu dieser besteht. C. Sachverhaltsfeststellungen

1. Der Beschwerdeführer meldete sich für die Teilnahme an einer vom Bundesministerium für Nachhaltigkeit und Tourismus im Rahmen der Initiative „Wachstum und Wandel“ veranstalteten Konferenz für die Veranstaltung „Europe’s Transformation: Where People Matter“ auf einer näher bezeichneten Webseite an. Im Zuge des Registrierungsprozesses gab er auf dieser Webseite seinen Vor- und Nachnamen sowie seine E-Mail-Adresse an, um einen „Registrierungslink“ zu erhalten.
2. Daraufhin wurde ihm an die angegebene E-Mail-Adresse eine in englischer Sprache verfasste Nachricht mit – auszugsweise – folgendem Inhalt übermittelt: „After filling in your name and email address you will receive an email with a registration link. Please click on that link to create an account and use your personal e-mail address and a password of your choice. After confirming your e-mail address, you will be able to enter your information (or that of a third person) into the accreditation system. You will be asked to provide a photo and a scan of your passport (…) Please note that the venue is only accessible to accredited individuals. (…) Since this event is part of the Austrian Presidency of the Council of the European Union Security checks are very high. All personal information provided during the registration will be processed in accordance with the Austrian Data Protection Act and General Data Protection Regulation.“ (Übersetzung durch die Datenschutzbehörde: „Nach Eingabe Ihres Namens und Ihrer E-Mail-Adresse erhalten Sie eine E-Mail mit einem Registrierungslink. Bitte klicken Sie auf diesen Link, um ein Konto zu erstellen und verwenden Sie Ihre persönliche E-Mail-Adresse und ein beliebiges Passwort. Nach der Bestätigung Ihrer E-Mail-Adresse können Sie Ihre Daten (oder die einer dritten Person) in das Akkreditierungssystem eingeben. Sie werden gebeten, ein Foto und einen Scan Ihres Reisepasses vorzulegen (...). Bitte beachten Sie, dass der Veranstaltungsort nur für akkreditierte Personen zugänglich ist. (...) Da diese Veranstaltung im Rahmen der österreichischen Präsidentschaft des Rates der Europäischen Union durchgeführt wird, sind die Sicherheitskontrollen sehr hoch. Alle bei der Registrierung angegebenen personenbezogenen Daten werden in Übereinstimmung mit dem österreichischen Datenschutzgesetz und der Datenschutz-Grundverordnung verarbeitet. (…)“)
3. Über den Registrierungslink ist ein Konto zu erstellen, indem Vor- und Nachname sowie eine E-Mail-Adresse verpflichtend anzugeben sind. Nach Erstellung des „Accounts“ sind nochmals der Vor- und Nachname, das Geschlecht, die Nationalität, die E-Mail-Adresse sowie eine Berufsbezeichnung (Delegation/Organisation) zu benennen. Darüber hinaus ist unter „ID card“ ein Lichtbild zur Identifizierung (bspw. Pass, Führerschein) sowie unter „Photo“ ein Lichtbild vom Gesicht des Registrierenden hochzuladen.
4. Den Abschluss des Registrierungsprozesses bildet das Klicken auf ein Kästchen „with submitting these changes I agree that I have read and accepted the privacy policy“ und dem Klicken des Buttons „Save“.
5. Den Abschluss des Registrierungsprozesses bildet das Klicken auf ein Kästchen „with submitting these changes römisch eins agree that römisch eins have read and accepted the privacy policy“ und dem Klicken des Buttons „Save“. Die „privacy policy“ (Datenschutzerklärung) enthält in englischer Sprache u.a. folgende Information: „- My data will be used so that I may be accredited to attend events organised by the Austrian Precidency of the Coucil of the EU in the second half of
6. The „controller“ as defined in the DSG 2000 and the GDPR is entiteled to use my data for this purpose. The „controller“ is also entitled to pass my data to the competent austrian security authorities for scrutiny. „- My data will be used so that römisch eins may be accredited to attend events organised by the Austrian Precidency of the Coucil of the EU in the second half of
7. The „controller“ as defined in the DSG 2000 and the GDPR is entiteled to use my data for this purpose. The „controller“ is also entitled to pass my data to the competent austrian security authorities for scrutiny. - I agree to my data being forwarded to the federal ministries responsible for individual events, as well as to conference organisers hired by the ministries to organise the events. The federal ministries and conference organisers are obliged to treat my data with the same dilligence as the „controller“ defined in the DSG 2000 and the GDPR.- römisch eins agree to my data being forwarded to the federal ministries responsible for individual events, as well as to conference organisers hired by the ministries to organise the events. The federal ministries and conference organisers are obliged to treat my data with the same dilligence as the „controller“ defined in the DSG 2000 and the GDPR. - By providing and transmitting my data, I give my consent in accordance with § 8 para. 1 subpara 2 DSG 2000 and in accordance with Article 6 para 1 (a) GDPR and § 1 para 2 of the Data Protection Amendment Act 2018, that my data may be used and transferred as described above. I am entitled to withdraw my consent at any time and without giving a reason. To do so, I need to inform the Federal Chancellery of Austria of my intention to withdraw my consent. - By providing and transmitting my data, römisch eins give my consent in accordance with Paragraph 8, para. 1 subpara 2 DSG 2000 and in accordance with Article 6 para 1 (a) GDPR and Paragraph eins, para 2 of the Data Protection Amendment Act 2018, that my data may be used and transferred as described above. römisch eins am entitled to withdraw my consent at any time and without giving a reason. To do so, römisch eins need to inform the Federal Chancellery of Austria of my intention to withdraw my consent. - I acknowledge that my personal data that are processed for the purpose described above will be deleted immediately following the end of the Austrian Presidency of the Council of the EU. (…)“- römisch eins acknowledge that my personal data that are processed for the purpose described above will be deleted immediately following the end of the Austrian Presidency of the Council of the EU. (…)“ (Übersetzung durch die Datenschutzbehörde: „- Meine Daten werden verwendet, um mich für Veranstaltungen der österreichischen EU-Ratspräsidentschaft in der zweiten Jahreshälfte 2018 zu akkreditieren. Der "Verantwortliche" im Sinne des DSG 2000 und des DSGVO ist berechtigt, meine Daten für diesen Zweck zu verwenden. Der "Verantwortliche" ist auch berechtigt, meine Daten zur Kontrolle an die zuständigen österreichischen Sicherheitsbehörden weiterzugeben. - Ich bin damit einverstanden, dass meine Daten an die für einzelne Veranstaltungen zuständigen Bundesministerien sowie an die von den Ministerien mit der Organisation der Veranstaltungen beauftragten Konferenzveranstalter weitergegeben werden. Die Bundesministerien und Konferenzveranstalter sind verpflichtet, meine Daten mit der gleichen Sorgfalt zu behandeln wie der im DSG 2000 und DSGVO definierte "Verantwortliche". - Mit der Bereitstellung und Übermittlung meiner Daten erteile ich meine Einwilligung

§ 8Abs.

1 Z 2 DSG 2000 und

§ 6Abs.

1 lit. a DSGVO und § 1 Abs. 2 DSG 2018, dass meine Daten wie oben beschrieben verwendet und weitergegeben werden dürfen. Ich bin berechtigt, meine Einwilligung jederzeit und ohne Angabe von Gründen zu widerrufen. Dazu muss ich das Österreichische Bundeskanzleramt über meine Absicht informieren, meine Zustimmung zu widerrufen. - Mit der Bereitstellung und Übermittlung meiner Daten erteile ich meine Einwilligung

Paragraph 8, Absatz eins, Ziffer 2, DSG 2000 und

Paragraph 6, Absatz eins, Litera a, DSGVO und Paragraph eins, Absatz 2, DSG 2018, dass meine Daten wie oben beschrieben verwendet und weitergegeben werden dürfen. Ich bin berechtigt, meine Einwilligung jederzeit und ohne Angabe von Gründen zu widerrufen. Dazu muss ich das Österreichische Bundeskanzleramt über meine Absicht informieren, meine Zustimmung zu widerrufen. - Ich erkenne an, dass meine personenbezogenen Daten, die für den oben beschriebenen Zweck verarbeitet werden, unmittelbar nach Ablauf der österreichischen EU-Ratspräsidentschaft gelöscht werden.“) Darüber hinaus wird in der Datenschutzerklärung noch auf die Rechte betroffener Personen hingewiesen sowie auf das Beschwerderecht bei der Datenschutzbehörde. Die Anschrift der Verantwortlichen sowie des Datenschutzbeauftragten sind ebenfalls angeführt.

1. Die Erteilung der Information über die Datenverarbeitung erfolgte erst am Ende des Registrierungsprozesses, nachdem der Beschwerdeführer zu diesem Zeitpunkt bereits zwei Mal personenbezogenen Daten angeben musste.
2. Der Beschwerdeführer hat sich erfolgreich für die verfahrensgegenständliche Konferenz akkreditiert und ein Bestätigungsmail erhalten.
3. Ohne die Bereitstellung der Daten ist keine Registrierung im Akkreditierungssystem möglich. Eine andere Form der „Akkreditierung“ zur verfahrensgegenständlichen Konferenz war nicht möglich.
4. Die im Akkreditierungssystem zwingend abzufragenden Daten bei Personen, die einer Sicherheitsüberprüfung zu unterziehen sind, umfassen die Daten der Kategorie: Vor- und Nachnamen, Geburtsdatum, Geschlecht, Nationalität, Delegations- bzw. Organisationsnamen, E-Mail-Adresse, Foto für den Badge sowie ein gültiges Ausweisdokument. Bei Personen, die keiner Sicherheitsüberprüfung zu unterziehen sind, reichen die Daten der Kategorie: Vor- und Nachname, E-Mail-Adresse, Foto sowie Scan eines gültigen Ausweisdokuments.
5. Bei der gegenständlichen Konferenz handelte es sich um eine Veranstaltung, bei der keine Sicherheitsüberprüfung der Teilnehmer durchzuführen war.
6. Im Akkreditierungssystem wurden in Bezug auf die verfahrensgegenständliche Konferenz die Daten der Kategorie Vor- und Nachnamen, Geburtsdatum, Geschlecht, Nationalität, Delegations- bzw. Organisationsnamen, E-Mail-Adresse, Foto für den Badge sowie ein gültiges Ausweisdokument abgefragt. Beweiswürdigung: Die Feststellungen beruhen auf dem übereinstimmenden Vorbringen des Beschwerdeführers und des Beschwerdegegners in ihren Schreiben an die Datenschutzbehörde und den beigelegten Unterlagen. Die Feststellung, wann die Information über die Datenverarbeitung erteilt wurde beruht auf dem unbestritten gebliebenen Vorbringen des Beschwerdeführers. Darüber hinaus wurden diesem vor Bekanntgabe der Datenschutzerklärung bereits eine E-Mail betreffend die Registrierung zugesendet. Die Feststellung hinsichtlich der Form der Anmeldung zur Konferenz ergibt sich aus dem vom Beschwerdeführer beigelegten E-Mail-Verkehr mit dem Verantwortlichen sowie aus der Stellungnahme des Beschwerdegegners vom
7. November
8. Die Feststellungen dazu, welche Kategorien von Daten im Zuge der verfahrensgegenständlichen Konferenz abgefragt wurden, ergeben sich aus der Stellungnahme des Beschwerdegegners vom
9. Dezember
10. D. In rechtlicher Hinsicht folgt daraus: Zur Informationspflicht nach Art. 13 DSGVOZur Informationspflicht nach Artikel 13, DSGVO

Art. 12Abs.

1 DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle Informationen

den Art. 13 und 14 und alle Mitteilungen

den Art. 15 bis 22 und Art. 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermittelt. Zwar lässt diese Regelung grundsätzlich offen, ob und inwieweit Informationen in der jeweiligen Landessprache übersetzt werden müssen. Im Hinblick auf das Erfordernis der Verständlichkeit für die betroffene Person, das zusätzlich auch im Erwägungsgrund 58 hervorgehoben wird, sowie des Marktortprinzips des Art. 3 Abs. 1 DSGVO ist jedoch davon auszugehen, dass die Information grundsätzlich in der jeweiligen Landessprache zu erfolgen hat (vgl. u.a. Ehmann/Selmayr, DS-GVO, Kommentar, Art 12, Rz. 19 sowie Paal/Pauly, Datenschutz-Grundverordnung, Art. 12, Rz. 35).

Artikel 12

, Absatz eins, DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um der betroffenen Person alle Informationen

den Artikel 13, und 14 und alle Mitteilungen

den Artikel 15, bis 22 und Artikel 34,, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermittelt. Zwar lässt diese Regelung grundsätzlich offen, ob und inwieweit Informationen in der jeweiligen Landessprache übersetzt werden müssen. Im Hinblick auf das Erfordernis der Verständlichkeit für die betroffene Person, das zusätzlich auch im Erwägungsgrund 58 hervorgehoben wird, sowie des Marktortprinzips des Artikel 3, Absatz eins, DSGVO ist jedoch davon auszugehen, dass die Information grundsätzlich in der jeweiligen Landessprache zu erfolgen hat vergleiche u.a. Ehmann/Selmayr, DS-GVO, Kommentar, Artikel 12,, Rz. 19 sowie Paal/Pauly, Datenschutz-Grundverordnung, Artikel 12,, Rz. 35). Im gegenständlichen Fall war auf den Umstand, dass die Information an den Beschwerdeführer nur in englischer – und nicht auch in deutscher – Sprache erfolgte aber nicht weiter einzugehen, weil sich die verfahrensgegenständliche Veranstaltung an ein englischsprachiges Publikum richtete und der Beschwerdeführer nicht vorgebracht hat, der englischen Sprache nicht mächtig zu sein. Art. 13 DSGVO ist als Basis für die Betroffenenrechte nach Kapitel III (Rechte der betroffenen Person) DSGVO zu verstehen, da die betroffene Person zunächst überhaupt erfährt, dass Daten von einem bestimmten Verantwortlichen über diese verarbeitet werden. Auch der Erwägungsgrund 60 weist auf den Grundsatz einer fairen und transparenten Verarbeitung hin, die es der betroffenen Person ermöglicht, über die Existenz sowie die Zwecke des Verarbeitungsprozesses unterrichtet zu werden. Artikel 13, DSGVO ist als Basis für die Betroffenenrechte nach Kapitel römisch drei (Rechte der betroffenen Person) DSGVO zu verstehen, da die betroffene Person zunächst überhaupt erfährt, dass Daten von einem bestimmten Verantwortlichen über diese verarbeitet werden. Auch der Erwägungsgrund 60 weist auf den Grundsatz einer fairen und transparenten Verarbeitung hin, die es der betroffenen Person ermöglicht, über die Existenz sowie die Zwecke des Verarbeitungsprozesses unterrichtet zu werden. Die Wichtigkeit einer Information wird auch vom EuGH in seiner Rechtsprechung betont (vgl. noch zur Rechtslage nach der Richtlinie 95/46/EG das Urteil vom

1. Oktober 2015, C-201/14).Die Wichtigkeit einer Information wird auch vom EuGH in seiner Rechtsprechung betont vergleiche noch zur Rechtslage nach der Richtlinie 95/46/EG das Urteil vom
2. Oktober 2015, C-201/14). Als Zeitpunkt der Informationserteilung wird in Art. 13 Abs. 1 DSGVO die Erhebung der Daten festgesetzt. Zeitpunkt der Erhebung kann etwa auch sein, wenn der Betroffene selbst wissentlich Daten an den Verantwortlichen gibt, etwa durch Ausfüllen eines Online-Formulars (vgl. Ehmann/Selmayr, aaO, Art. 13, Rz. 11). Als Zeitpunkt der Informationserteilung wird in Artikel 13, Absatz eins, DSGVO die Erhebung der Daten festgesetzt. Zeitpunkt der Erhebung kann etwa auch sein, wenn der Betroffene selbst wissentlich Daten an den Verantwortlichen gibt, etwa durch Ausfüllen eines Online-Formulars vergleiche Ehmann/Selmayr, aaO, Artikel 13,, Rz. 11). Zum Inhalt der Information sehen Abs. 1 und 2 der betreffenden Bestimmung jeweils sechs Kategorien von Informationen vor. Auch die Informationen aus Abs. 2 beinhalten für den Verantwortlichen kein Wahlrecht und sind der betroffenen Person somit immer zur Verfügung zu stellen (vgl. Art. 29-Datenschutzgruppe, Guidelines on transparency under Regulation 2016/679, letzter Stand
3. April 2018; siehe darüber hinaus Ehmann/Selmayr, aaO, Art. 13, Rz. 29ff). Zum Inhalt der Information sehen Absatz eins, und 2 der betreffenden Bestimmung jeweils sechs Kategorien von Informationen vor. Auch die Informationen aus Absatz 2, beinhalten für den Verantwortlichen kein Wahlrecht und sind der betroffenen Person somit immer zur Verfügung zu stellen vergleiche Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Guidelines on transparency under Regulation 2016/679, letzter Stand
4. April 2018; siehe darüber hinaus Ehmann/Selmayr, aaO, Artikel 13,, Rz. 29ff). In der Sache wurden die personenbezogenen Daten des Beschwerdeführers beim Beschwerdegegner beim Ausfüllen des Online-Akkreditierungsverfahrens erhoben. Zu diesem Zeitpunkt hätten dem Beschwerdeführer alle in Art. 13 Abs. 1 und Abs. 2 DSGVO genannten Informationen bereitgestellt werden müssen. Der Beschwerdegegner kam der Informationspflicht insofern verspätet nach, als die Erteilung der Information über die Datenverarbeitung erst am Ende des Registrierungsprozesses erfolgte und der Beschwerdeführer zu diesem Zeitpunkt bereits zwei Mal personenbezogenen Daten angeben musste. In der Sache wurden die personenbezogenen Daten des Beschwerdeführers beim Beschwerdegegner beim Ausfüllen des Online-Akkreditierungsverfahrens erhoben. Zu diesem Zeitpunkt hätten dem Beschwerdeführer alle in Artikel 13, Absatz eins und Absatz 2, DSGVO genannten Informationen bereitgestellt werden müssen. Der Beschwerdegegner kam der Informationspflicht insofern verspätet nach, als die Erteilung der Information über die Datenverarbeitung erst am Ende des Registrierungsprozesses erfolgte und der Beschwerdeführer zu diesem Zeitpunkt bereits zwei Mal personenbezogenen Daten angeben musste. Die Datenschutzerklärung des Beschwerdegegners umfasste, wie den Feststellungen zu entnehmen ist: - die Informationen über den Namen und die Kontaktdaten des Verantwortlichen (Art. 13 Abs. 1 lit. a)die Informationen über den Namen und die Kontaktdaten des Verantwortlichen (Artikel 13, Absatz eins, Litera a,) - die Kontaktdaten des Datenschutzbeauftragten (Abs. 1 lit. b),die Kontaktdaten des Datenschutzbeauftragten (Absatz eins, Litera b,), - die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung (Abs. 1 lit. c: Akkreditierung und Teilnahme an der verfahrensgegenständlichen Konferenz sowie Einwilligung

Art. 6Abs.

1 lit. a), die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung (Absatz eins, lit. c: Akkreditierung und Teilnahme an der verfahrensgegenständlichen Konferenz sowie Einwilligung

Artikel 6

, Absatz eins, Litera a,), - die Empfänger oder Kategorien von Empfänger der personenbezogenen Daten (Abs. 1 lit. e: Österreichische Sicherheitsbehörden, Bundesministerien, Konferenzorganisatoren). die Empfänger oder Kategorien von Empfänger der personenbezogenen Daten (Absatz eins, lit. e: Österreichische Sicherheitsbehörden, Bundesministerien, Konferenzorganisatoren). Da die Datenverarbeitung

den Angaben in der Datenschutzerklärung sich nicht auf Art. 6 Abs. 1 lit. f DSGVO stützt und ein internationaler Datentransfer, weder behauptet noch im Verfahren hervorgekommen ist, konnten die Informationen

Art. 13Abs.

1 lit. d und f DSGVO zulässigerweise entfallen. Da die Datenverarbeitung

den Angaben in der Datenschutzerklärung sich nicht auf Artikel 6, Absatz eins, Litera f, DSGVO stützt und ein internationaler Datentransfer, weder behauptet noch im Verfahren hervorgekommen ist, konnten die Informationen

Artikel 13

, Absatz eins, Litera d, und f DSGVO zulässigerweise entfallen.

Art. 13Abs.

2 leg. cit. wurden in der Datenschutzerklärung folgende Informationen über die Datenverarbeitung bereitgestellt:

Artikel 13, Absatz 2, leg.

cit. wurden in der Datenschutzerklärung folgende Informationen über die Datenverarbeitung bereitgestellt: - die Dauer, für die die personenbezogenen Daten gespeichert werden (lit. a: Ende Vorsitz im Rat der Europäischen Union). - Information über die Betroffenenrechte (lit. b: am Ende der Datenschutzerklärung unter „your rights“), - Information über das Widerrufsrecht (lit. c), Information über das Widerrufsrecht (Litera c,), - Beschwerderecht bei der Datenschutzbehörde (lit. d: am Ende der Datenschutzerklärung unter „your rights“), Nachdem im Verfahren vor der Datenschutzbehörde weder behauptet, noch hervorgekommen ist, dass eine automatisierte Entscheidungsfindung bzw. Profiling im Rahmen der Datenverarbeitung durchgeführt wird, konnte diesbezügliche Angaben in der Datenschutzerklärung (Abs. 2 lit. f) unterbleiben. Nachdem im Verfahren vor der Datenschutzbehörde weder behauptet, noch hervorgekommen ist, dass eine automatisierte Entscheidungsfindung bzw. Profiling im Rahmen der Datenverarbeitung durchgeführt wird, konnte diesbezügliche Angaben in der Datenschutzerklärung (Absatz 2, Litera f,) unterbleiben. Insofern kam der Beschwerdegegner in seiner Datenschutzerklärung der Informationspflicht

Art. 13Abs.

2 lit. e DSGVO nicht nach: Dabei handelt es sich jedoch um Informationen, die sich auf die Rechtmäßigkeit der Verarbeitung in Art. 6 Abs. 1 beziehen. Über die Rechtsgrundlage muss aber bereits nach Art. 13 Abs. 1 lit. c aufgeklärt werden, sodass die Aufzählung in Abs. 2 lit. e leg. cit. als zusätzliche Information lediglich die möglichen Folgen der Nichtbereitstellung der personenbezogenen Daten enthält (vgl. etwa Ehmann/Selmayr, aaO, Art. 13, Rz. 62). Insofern kam der Beschwerdegegner in seiner Datenschutzerklärung der Informationspflicht

Artikel 13

, Absatz 2, Litera e, DSGVO nicht nach: Dabei handelt es sich jedoch um Informationen, die sich auf die Rechtmäßigkeit der Verarbeitung in Artikel 6, Absatz eins, beziehen. Über die Rechtsgrundlage muss aber bereits nach Artikel 13, Absatz eins, Litera c, aufgeklärt werden, sodass die Aufzählung in Absatz 2, Litera e, leg. cit. als zusätzliche Information lediglich die möglichen Folgen der Nichtbereitstellung der personenbezogenen Daten enthält vergleiche etwa Ehmann/Selmayr, aaO, Artikel 13,, Rz. 62). Diese Information wurde vom Beschwerdegegner mit Stellungnahme vom

1. November 2018 zur Verfügung gestellt, in welcher diese ausführt, „dass ohne die Bereitstellung der Daten keine Registrierung im Akkreditierungssystem möglich ist, was wiederum die Voraussetzung für die Teilnahme an einer Veranstaltung ist.“ Der österreichische Gesetzgeber hat für Verantwortliche in § 24 Abs. 6 DSG die Möglichkeit geschaffen, behauptete Rechtsverletzungen bis zum Abschluss des Verfahrens vor der Datenschutzbehörde zu beseitigen. Der österreichische Gesetzgeber hat für Verantwortliche in Paragraph 24, Absatz 6, DSG die Möglichkeit geschaffen, behauptete Rechtsverletzungen bis zum Abschluss des Verfahrens vor der Datenschutzbehörde zu beseitigen. Im Ergebnis ist damit der Beschwerdegegner seiner aus Art. 13 DSGVO erwachsenen Informationspflicht daher nachgekommen. Ziel des auf Art. 13 leg. cit. gestützten Beschwerdeverfahrens ist es, der betroffenen Person die Verfolgung ihrer Rechte nach der DSGVO sowie dem DSG zu ermöglichen. Aus Art. 77 DSGVO (iVm § 24 DSG) ist lediglich das Recht ableitbar, Beschwerde an die Aufsichtsbehörde zu erheben. Ein Recht auf Feststellung, dass die Information zu spät erteilt worden ist, kann dieser Bestimmung jedoch nicht entnommen werden (vgl. dazu zur insoweit vergleichbaren Rechtslage nach dem DSG 2000 das Erkenntnis des Verwaltungsgerichtshofes vom
2. September 2007, Zl. 2006/06/0330, mwN).Im Ergebnis ist damit der Beschwerdegegner seiner aus Artikel 13, DSGVO erwachsenen Informationspflicht daher nachgekommen. Ziel des auf Artikel 13, leg. cit. gestützten Beschwerdeverfahrens ist es, der betroffenen Person die Verfolgung ihrer Rechte nach der DSGVO sowie dem DSG zu ermöglichen. Aus Artikel 77, DSGVO in Verbindung mit Paragraph 24, DSG) ist lediglich das Recht ableitbar, Beschwerde an die Aufsichtsbehörde zu erheben. Ein Recht auf Feststellung, dass die Information zu spät erteilt worden ist, kann dieser Bestimmung jedoch nicht entnommen werden vergleiche dazu zur insoweit vergleichbaren Rechtslage nach dem DSG 2000 das Erkenntnis des Verwaltungsgerichtshofes vom
3. September 2007, Zl. 2006/06/0330, mwN). Vor diesem Hintergrund war die Beschwerde in Bezug auf Art. 13 DSGVO nicht berechtigt, weshalb sie

§ 24Abs.

5 DSG abzuweisen war. Vor diesem Hintergrund war die Beschwerde in Bezug auf Artikel 13, DSGVO nicht berechtigt, weshalb sie

Paragraph 24, Absatz 5, DSG abzuweisen war. Zur Verletzung im Recht auf Geheimhaltung

§ 1

DSGZur Verletzung im Recht auf Geheimhaltung

Paragraph eins, DSG Eine betroffene Person kann sich auf jede Bestimmung der DSGVO auch abseits der Betroffenenrechte nach Kapitel III stützen, sofern dies im Ergebnis zu einer denkmöglichen Verletzung des Rechts auf Geheimhaltung nach § 1 Abs. 1 DSG führen kann (vgl. DSB vom

1. Dezember 2018, DSB-D123.073/0007-DSB/2018). Im vorliegenden Fall bringt der Beschwerdeführer im Wesentlichen vor, die Datenverarbeitung widerspreche Art. 6 und 7 DSGVO, da keine freiwillige Einwilligung zur Datenverarbeitung vorliege und diese auch auf keiner wirksamen Rechtsgrundlage begründet sei. Eine betroffene Person kann sich auf jede Bestimmung der DSGVO auch abseits der Betroffenenrechte nach Kapitel römisch drei stützen, sofern dies im Ergebnis zu einer denkmöglichen Verletzung des Rechts auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG führen kann vergleiche DSB vom
2. Dezember 2018, DSB-D123.073/0007-DSB/2018). Im vorliegenden Fall bringt der Beschwerdeführer im Wesentlichen vor, die Datenverarbeitung widerspreche Artikel 6, und 7 DSGVO, da keine freiwillige Einwilligung zur Datenverarbeitung vorliege und diese auch auf keiner wirksamen Rechtsgrundlage begründet sei. Wie der Datenschutzerklärung des Beschwerdegegners zu entnehmen ist, bildet die Einwilligung der betroffenen Person die Rechtsgrundlage für die verfahrensgegenständliche Datenverarbeitung (vgl. Art. 6 Abs. 1 lit. a DSGVO).

§ 1Abs.

2 DSG ist die Freiwilligkeit bei der Abgabe der Zustimmungserklärung eine Grundvoraussetzung für den rechtsgültigen Eingriff in das Grundrecht auf Datenschutz. Die Vorgaben des Art. 7 DSGVO sind dabei bei allen einwilligungsbasierten Datenverarbeitungen zu berücksichtigen. Wie der Datenschutzerklärung des Beschwerdegegners zu entnehmen ist, bildet die Einwilligung der betroffenen Person die Rechtsgrundlage für die verfahrensgegenständliche Datenverarbeitung vergleiche Artikel 6, Absatz eins, Litera a, DSGVO).

Paragraph eins, Absatz 2, DSG ist die Freiwilligkeit bei der Abgabe der Zustimmungserklärung eine Grundvoraussetzung für den rechtsgültigen Eingriff in das Grundrecht auf Datenschutz. Die Vorgaben des Artikel 7, DSGVO sind dabei bei allen einwilligungsbasierten Datenverarbeitungen zu berücksichtigen. Die rechtliche Wirksamkeit einer datenschutzrechtlichen Einwilligung hängt u.a. davon ab, dass diese vor Beginn der Verarbeitung der personenbezogenen Daten, für die die Einwilligung benötigt wird, durch den Verantwortlichen eingeholt wird (vgl. u.a. Knyrim, DatKomm, Art. 7, Rz 16, mwN). Damit der Betroffene die Konsequenzen seines Handelns absehen kann, muss die Einwilligung informiert erfolgen (vgl. Art. 4 Z 11 leg. cit.). Daraus folgt, dass der Verantwortliche den Einwilligenden vor der Einwilligung umfassend über diese und dessen Auswirkungen aufzuklären hat. Der Inhalt der Information muss sich am Einzelfall orientieren und dem Nutzer alle für ihn diesbezüglich relevanten Informationen offenbaren. Inhaltlich kann sich der Verantwortliche allgemein an den in Art. 12 ff. genannten Vorgaben der Informationspflichten orientieren. Insbesondere die Informationsvorgaben aus Art. 13, 14 DSGVO sind für eine hinreichend transparente Informierung für den Betroffenen bereitzuhalten (vgl. Ehmann/Selmayr, aaO, Art. 7, Rz. 40). Die rechtliche Wirksamkeit einer datenschutzrechtlichen Einwilligung hängt u.a. davon ab, dass diese vor Beginn der Verarbeitung der personenbezogenen Daten, für die die Einwilligung benötigt wird, durch den Verantwortlichen eingeholt wird vergleiche u.a. Knyrim, DatKomm, Artikel 7,, Rz 16, mwN). Damit der Betroffene die Konsequenzen seines Handelns absehen kann, muss die Einwilligung informiert erfolgen vergleiche Artikel 4, Ziffer 11, leg. cit.). Daraus folgt, dass der Verantwortliche den Einwilligenden vor der Einwilligung umfassend über diese und dessen Auswirkungen aufzuklären hat. Der Inhalt der Information muss sich am Einzelfall orientieren und dem Nutzer alle für ihn diesbezüglich relevanten Informationen offenbaren. Inhaltlich kann sich der Verantwortliche allgemein an den in Artikel 12, ff. genannten Vorgaben der Informationspflichten orientieren. Insbesondere die Informationsvorgaben aus Artikel 13, 14, DSGVO sind für eine hinreichend transparente Informierung für den Betroffenen bereitzuhalten vergleiche Ehmann/Selmayr, aaO, Artikel 7,, Rz. 40). Die DSGVO selbst enthält in Bezug auf die Einwilligung keine Legaldefinition zum Terminus der Freiwilligkeit. In den Erwägungsgründen 42 und 43 der DSGVO sowie Art. 7 Abs. 4 leg. cit. finden sich diesbezüglich nur negative Abgrenzungsmerkmale. Die DSGVO selbst enthält in Bezug auf die Einwilligung keine Legaldefinition zum Terminus der Freiwilligkeit. In den Erwägungsgründen 42 und 43 der DSGVO sowie Artikel 7, Absatz 4, leg. cit. finden sich diesbezüglich nur negative Abgrenzungsmerkmale. So wird etwa ein klares Machtungleichgewicht vermutet, wenn es sich bei dem Verantwortlichen um eine Behörde handelt. Darüber hinaus ist das Bestehen einer Wahlfreiheit zu prüfen, wobei diese dann zu verneinen ist, wenn in Anbetracht aller Umstände des Einzelfalls nicht anzunehmen ist, dass die Einwilligung freiwillig gegeben wurde. Besaß der Betroffene keine echte Wahl, da er anderenfalls Nachteile zu befürchten hatte, stellt die Einwilligung keine gültige Grundlage für die Datenverarbeitung dar. Eine Wahlfreiheit ist beispielsweise nicht anzunehmen, wenn zu verschiedenen Verarbeitungsvorgängen nur die Möglichkeit einer pauschalen Einwilligungserteilung und nicht die Möglichkeit gesonderter Einwilligungen besteht, obwohl dies im Einzelfall angebracht wäre. In der Sache kannte der Beschwerdeführer unbestritten nicht alle Umstände im Kontext seiner Einwilligung. Bereits vor ausdrücklicher Einwilligung im Rahmen des Anklickens der Datenschutzerklärung wurden – wie oben im Rahmen der Informationspflicht näher ausgeführt – personenbezogene Daten des Beschwerdeführers verarbeitet. Auch vor Erteilung der Einwilligung war der Beschwerdeführer darüber hinaus nicht vollständig

Art. 13DSGVO über die Datenverarbeitung informiert.

Insbesondere bei der Ersteingabe der personenbezogenen Daten, die zur Zusendung des Registrierungslinks geführt haben, konnte dem Beschwerdeführer zu diesem Zeitpunkt der Umfang und die Tragweite seiner (allenfalls konkludenten) Einwilligung nicht bewusst sein. In der Sache kannte der Beschwerdeführer unbestritten nicht alle Umstände im Kontext seiner Einwilligung. Bereits vor ausdrücklicher Einwilligung im Rahmen des Anklickens der Datenschutzerklärung wurden – wie oben im Rahmen der Informationspflicht näher ausgeführt – personenbezogene Daten des Beschwerdeführers verarbeitet. Auch vor Erteilung der Einwilligung war der Beschwerdeführer darüber hinaus nicht vollständig

Artikel 13, DSGVO über die Datenverarbeitung informiert.

Insbesondere bei der Ersteingabe der personenbezogenen Daten, die zur Zusendung des Registrierungslinks geführt haben, konnte dem Beschwerdeführer zu diesem Zeitpunkt der Umfang und die Tragweite seiner (allenfalls konkludenten) Einwilligung nicht bewusst sein. Der Beschwerdeführer war auch deshalb nicht in Kenntnis aller für die Datenverarbeitung erforderlichen Umstände, da erst im laufenden Verfahren in der Stellungnahme des Beschwerdegegners vom 27. Dezember 2018 hervorgekommen ist, dass es sich bei der verfahrensgegenständlichen Konferenz um eine Veranstaltung handelt, bei der die Teilnehmer keiner Sicherheitsüberprüfung zu unterziehen sind. Damit einhergehend wurde dem Beschwerdeführer keine Wahlfreiheit gelassen, nur jene Daten bereit zu stellen, die für die Teilnahme an dieser Veranstaltung unbedingt erforderlich sind, sondern musste dieser alle Daten übermitteln, die auch Personen bereitstellen mussten, die sich einer Sicherheitsüberprüfung zu unterziehen hatten. Darüber hinaus kann die Freiwilligkeit der Einwilligung im vorliegenden Fall auch deshalb angezweifelt werden, weil zwischen dem Einwilligenden und dem Beschwerdegegner ein klares Ungleichgewicht besteht, da es sich beim Beschwerdegegner um das Bundeskanzleramt (und somit um den Hilfsapparat einer Behörde) handelt. In einer Gesamtschau liegt damit im Einzelfall keine gültige Einwilligung des Beschwerdeführers vor, weshalb der Beschwerdegegner die personenbezogenen Daten des Beschwerdeführers nicht rechtmäßig

Art. 6Abs.

1 lit. a DSGVO verarbeitet hat. In einer Gesamtschau liegt damit im Einzelfall keine gültige Einwilligung des Beschwerdeführers vor, weshalb der Beschwerdegegner die personenbezogenen Daten des Beschwerdeführers nicht rechtmäßig

Artikel 6, Absatz eins, Litera a, DSGVO verarbeitet hat.

Hilfsweise bringt der Beschwerdegegner in den Stellungnahmen vom

1. November sowie vom
2. Dezember 2018 darüber hinaus vor, dass die Verarbeitung der personenbezogenen Daten der Konferenzteilnehmer aus organisatorischen, insbesondere sicherheitspolizeilichen Gründen zwingend erforderlich gewesen sei. Als Rechtsgrundlage der Datenübermittlung führte er darüber hinaus einen Ministerratsbeschluss sowie § 55a Abs. 1 Z 2 SPG an. Hilfsweise bringt der Beschwerdegegner in den Stellungnahmen vom
3. November sowie vom
4. Dezember 2018 darüber hinaus vor, dass die Verarbeitung der personenbezogenen Daten der Konferenzteilnehmer aus organisatorischen, insbesondere sicherheitspolizeilichen Gründen zwingend erforderlich gewesen sei. Als Rechtsgrundlage der Datenübermittlung führte er darüber hinaus einen Ministerratsbeschluss sowie Paragraph 55 a, Absatz eins, Ziffer 2, SPG an. Wenn sich der Beschwerdegegner damit darauf beruft, die Verarbeitung sei rechtmäßig, weil sie für die Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich sei (siehe: Sicherheitspolizei; Art. 6 Abs. 1 lit. c DSGVO), so ergibt sich bereits aus den Bedingungen der Erforderlichkeit, dass der Beschwerdegegner sich auf das von ihm durch die rechtliche Verpflichtung geforderte notwendige Maß beschränken muss und die Daten nicht über den geforderten Zweck und Umfang hinaus verarbeiten darf (vgl. Ehmann/Selmayr, aaO, Art. 6, Rz. 17). Im gegenständlichen Fall hat der Beschwerdegegner mehr personenbezogene Daten verarbeitet, als für die verfahrensgegenständliche Konferenz notwendig gewesen wären. Im Akkreditierungssystem wurde kein Unterschied gemacht, ob es sich um Veranstaltungen mit oder ohne Sicherheitsüberprüfung handelt. Unabhängig davon, dass der Beschwerdegegner die Rechtmäßigkeit der Datenverarbeitung daher primär auf die Einwilligung des Beschwerdeführers gestützt hat, konnte auch aus einer allfällig gesetzlichen Ermächtigungsgrundlage die Rechtmäßigkeit der Datenverarbeitung nicht abgeleitet werden. Wenn sich der Beschwerdegegner damit darauf beruft, die Verarbeitung sei rechtmäßig, weil sie für die Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich sei (siehe: Sicherheitspolizei; Artikel 6, Absatz eins, Litera c, DSGVO), so ergibt sich bereits aus den Bedingungen der Erforderlichkeit, dass der Beschwerdegegner sich auf das von ihm durch die rechtliche Verpflichtung geforderte notwendige Maß beschränken muss und die Daten nicht über den geforderten Zweck und Umfang hinaus verarbeiten darf vergleiche Ehmann/Selmayr, aaO, Artikel 6,, Rz. 17). Im gegenständlichen Fall hat der Beschwerdegegner mehr personenbezogene Daten verarbeitet, als für die verfahrensgegenständliche Konferenz notwendig gewesen wären. Im Akkreditierungssystem wurde kein Unterschied gemacht, ob es sich um Veranstaltungen mit oder ohne Sicherheitsüberprüfung handelt. Unabhängig davon, dass der Beschwerdegegner die Rechtmäßigkeit der Datenverarbeitung daher primär auf die Einwilligung des Beschwerdeführers gestützt hat, konnte auch aus einer allfällig gesetzlichen Ermächtigungsgrundlage die Rechtmäßigkeit der Datenverarbeitung nicht abgeleitet werden. Im Ergebnis wurde der Beschwerdeführer aufgrund der unrechtmäßigen Verarbeitung seiner personenbezogenen Daten in seinem Recht auf Geheimhaltung

§ 1Abs.

2 DSG verletzt, weshalb spruchgemäß zu entscheiden war. Im Ergebnis wurde der Beschwerdeführer aufgrund der unrechtmäßigen Verarbeitung seiner personenbezogenen Daten in seinem Recht auf Geheimhaltung

Paragraph eins, Absatz 2, DSG verletzt, weshalb spruchgemäß zu entscheiden war. European Case Law IdentifierECLI:AT:DSB:2019:DSB.D123.311.0003.DSB.2019