Obsah (10)

§ 9§ 98§ 4§ 99Art. 5Art. 6§ 5§ 3§ 19§ 1

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum11.05.2020 Geschäftszahl2020-0.288.477 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2020-0.288.477 vo

§ 9Abs.

2, 6 und 7 der anwendbaren Satzung für Berufungsverfahren für Universitätsprofessorinnen und Universitätsprofessoren

§ 98

UG 2002 der Universität [für Kunst] N*** müsse jeder Bewerber damit rechnen, dass seine Bewerbung öffentlich werde, da dort eine öffentliche Anhörung vorgesehen sei. Die Beschwerdegegnerin führe die Korrespondenz mit den Bewerbern grundsätzlich individuell und per E-Mail, und es sei richtig, dass versehentlich ein Schreiben betreffend Terminplan, wie vom Beschwerdeführer vorgebracht, mit dem sichtbaren Sammelverteiler ergangen sei. Dem Beschwerdeführer könne aber kein Nachteil daraus erwachsen, dass den 54 weiteren Bewerberinnen und Bewerbern um die Stelle auf diese Weise seine Bewerbung bekannt geworden sei. Die Beschwerdegegnerin hielt dem in ihrer Stellungnahme vom 21. August 2019 Folgendes entgegen: Die Beschwerdegegnerin habe eine Professorenstelle für Architektur ausgeschrieben. Jeder Bewerber, darunter auch der Beschwerdeführer, müsse sich den für das Verfahren zur Berufung auf diese Stelle geltenden Rechtsvorschriften unterwerfen.

Paragraph 9, Absatz 2, 6, und 7 der anwendbaren Satzung für Berufungsverfahren für Universitätsprofessorinnen und Universitätsprofessoren

Paragraph 98, UG 2002 der Universität [für Kunst] N*** müsse jeder Bewerber damit rechnen, dass seine Bewerbung öffentlich werde, da dort eine öffentliche Anhörung vorgesehen sei. Die Beschwerdegegnerin führe die Korrespondenz mit den Bewerbern grundsätzlich individuell und per E-Mail, und es sei richtig, dass versehentlich ein Schreiben betreffend Terminplan, wie vom Beschwerdeführer vorgebracht, mit dem sichtbaren Sammelverteiler ergangen sei. Dem Beschwerdeführer könne aber kein Nachteil daraus erwachsen, dass den 54 weiteren Bewerberinnen und Bewerbern um die Stelle auf diese Weise seine Bewerbung bekannt geworden sei.

1. Der Beschwerdeführer hat nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens (mit Verfahrensanordnung der Datenschutzbehörde vom
2. Februar 2020, GZ: 2020-0.075.880) keine weitere Stellungnahme abgegeben. B. Beschwerdegegenstand
3. Auf Grundlage des Beschwerdevorbringens ergibt sich, dass Verfahrensgegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, dass sie in einem laufenden Berufungsverfahren für eine Professorenstelle am
4. Jänner 2019 eine Mitteilung betreffend Terminplan per E-Mail in einer Weise versendet hat, die es den Mitbewerbern ermöglichte, vom Namen und damit von der Bewerbung des Beschwerdeführers um die Stelle Kenntnis zu erlangen. C. Sachverhaltsfeststellungen
5. Die Beschwerdegegnerin ist eine Universität (Name laut § 6 Abs. 1 Z ** UG 2002), damit

§ 4

UG 2002 eine Körperschaft öffentlichen Rechts.Die Beschwerdegegnerin ist eine Universität (Name laut Paragraph 6, Absatz eins, Z ** UG 2002), damit

Paragraph 4, UG 2002 eine Körperschaft öffentlichen Rechts. 6. Im November 2018 wurde vom Rektorat der Beschwerdegegnerin am Institut R*** eine Universitätsprofessur für Architektur

§ 99

Abs.1 UG 2002 im halben Beschäftigungsausmaß zur Ausschreibung gebracht.Im November 2018 wurde vom Rektorat der Beschwerdegegnerin am Institut R*** eine Universitätsprofessur für Architektur

Paragraph 99, Absatz eins, UG 2002 im halben Beschäftigungsausmaß zur Ausschreibung gebracht.

1. Der Beschwerdeführer, der von Beruf Architekt ist (Mitinhaber des Architektenbüros u*** & a*** in D-**** W***, www.architekt***.de), reichte (unter Bekanntgabe der E-Mail-Adresse a***@architekt***.de) eine Bewerbung um diese Stelle ein.
2. Am
3. Jänner 2019 versandte ein Mitarbeiter der Beschwerdegegnerin eine E-Mail beinhaltend den Zeitplan für das Verfahren zur Berufung auf die ausgeschriebene Professorenstelle mit folgendem Kopf und Verteiler (E-Mail-Adresse des Beschwerdeführers durch Unterstreichung und Fettdruck hervorgehoben): „Von: S***, Peter peter.s***@uni***.at Betreff: Zeitplan Professur Architektur Datum:
4. Januar 2019 09:28 An: S***, Peter peter.s***@uni***.at Kopie: office@rud***.com, otto.i***@uibk.ac.at, karl.g***@g***-t**.at, h***@o***.archi, theo****@gmail.com, for***@gmail.com, je****@p****.net, karin.s***@gmail.com, office@l****-architektur.at, m***@f-g***.at, architektur@****ecke.cc, office@hhh***.at, robert-v***@****buero.com, architektur@m***-q***.com, z***.arno@gmail.com, u***@trieb***.at, b***@***architekten.com, office@****londo**.at, Atelier L*** office@l***.at, contact@***ons.at, erich@erich-z***.at, d***.hanno@****platz.com, office@***bau.at, c***.janez@o***.at, t@t***.com, office@hoch***.at, U***@construct***.com, info@***brothers.com, y-x@ue***partners.com, office@bau***.space, architektin@****sisters.ch, silvie.e***@utanet.at, paul.o***@gmail.com, re@r****-architects.com, pjotr@trans***.org, office@***-architekten.de, josef.f***@f***-k***-architekten.com, w****@tu***.at, l.korko***@gmx.at, labor@experiment-***.cc, architecture@rosma***.hu, a***@architekt***.de, u***@gmail.com, design@futurelife***.com, wald***@s***.edu, tanja.w***@trans***.edu, office@build***.com, G*** Otto U*** o.u***@***architecture.sk, office@ii***.at, office@urban***.net, hanno.q***@z***.eu, mail@o***-j***.at, *r@g***.at, ***novic@gmail.com, office@daniel-verdi***.it, walter***@***pot.com“
5. Beweiswürdigung: Diese Feststellungen stützen sich zum einen auf rechtlich festgelegte, somit allgemein bekannte Tatsachen, zum anderen auf die auf der Website der Beschwerdegegnerin (URL: https://www.uni***.at/Jobs-Detail.*41**+M***k**c86e3c6.0.html, abgerufen am
6. Mai 2020) noch abrufbare Stellenausschreibung sowie eine Kopie der fraglichen E-Mail, vorgelegt vom Beschwerdeführer als Beilage zur verbesserten Beschwerde vom
7. März 2019 (PDF, Eingangsstück in GZ: DSB-D124.137/0002-DSB/2019). Die Feststellungen zur beruflichen Tätigkeit des Beschwerdeführers stützen sich auf dessen Eingaben sowie den Inhalt der Website www.architekt***.de (abgerufen am
8. Mai 2020). Die Tatsachen dieser Beschwerdesache sind zwischen den Parteien insgesamt nicht strittig. D. In rechtlicher Hinsicht folgt daraus: Summe:
9. Die Beschwerde hat sich als berechtigt erwiesen. anzuwendende Rechtsvorschriften: 11.

Art. 5Abs.

1 lit. a und c DSGVO (Überschrift: „Grundsätze für die Verarbeitung personenbezogener Daten“) müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) und dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).

Artikel 5

, Absatz eins, Litera a, und c DSGVO (Überschrift: „Grundsätze für die Verarbeitung personenbezogener Daten“) müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) und dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“). 12.

Art. 6Abs.

1 DSGVO (Überschrift: „Rechtmäßigkeit der Verarbeitung“) ist eine Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben (lit. a); die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen (lit. b); die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt (lit. c); die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (lit. d); die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (lit. e); die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt (lit. d). Lit. f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

Artikel 6

, Absatz eins, DSGVO (Überschrift: „Rechtmäßigkeit der Verarbeitung“) ist eine Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben (Litera a,); die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen (Litera b,); die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt (Litera c,); die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (Litera d,); die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Litera e,); die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt (Litera d,). Lit. f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. 13.

§ 5

UG 2002 hat die Beschwerdegegnerin ihre Aufgaben

§ 3

UG 2002 im Rahmen der Gesetze und Verordnungen weisungsfrei zu besorgen und ist berechtigt, sich ihre Satzung (das sind die

§ 19UG 2002 vorgesehenen Verordnungen) im Rahmen der Gesetze nach Maßgabe des Art.

81c Abs. 1 B-VG selbst zu geben. Den Organen der Beschwerdegegnerin sind auch behördliche Aufgaben übertragen (siehe insbesondere § 46 UG 2002).

Paragraph 5, UG 2002 hat die Beschwerdegegnerin ihre Aufgaben

Paragraph 3, UG 2002 im Rahmen der Gesetze und Verordnungen weisungsfrei zu besorgen und ist berechtigt, sich ihre Satzung (das sind die

Paragraph 19, UG 2002 vorgesehenen Verordnungen) im Rahmen der Gesetze nach Maßgabe des Artikel 81 c, Absatz eins, B-VG selbst zu geben. Den Organen der Beschwerdegegnerin sind auch behördliche Aufgaben übertragen (siehe insbesondere Paragraph 46, UG 2002). datenschutzrechtlicher Status der Beschwerdegegnerin:

1. Die Beschwerdegegnerin ist, wie festgestellt, eine durch Gesetz eingerichtete Körperschaft öffentlichen Rechts, der hoheitliche Aufgaben übertragen sind. Bei der Berufung auf die Stelle eines Universitätsprofessors handelt es sich um ein durch die §§ 98 f UG 2002 und die im Rahmen der universitären Selbstverwaltung beschlossene gesetzmäßige Satzung der Beschwerdegegnerin geregeltes Verfahren. Die Beschwerdegegnerin war daher im Sinne des Art. 6 Abs. 1 letzter Satz DSGVO hier als Behörde in Erfüllung ihrer Aufgaben tätig, dies unabhängig von der Frage, welche Organe im Einzelfall zu entscheiden hatten, und ob diese im Einzelfall durch Bescheid oder andere Akte wie Vertragsabschlüsse tätig wurden.Die Beschwerdegegnerin ist, wie festgestellt, eine durch Gesetz eingerichtete Körperschaft öffentlichen Rechts, der hoheitliche Aufgaben übertragen sind. Bei der Berufung auf die Stelle eines Universitätsprofessors handelt es sich um ein durch die Paragraphen 98, f UG 2002 und die im Rahmen der universitären Selbstverwaltung beschlossene gesetzmäßige Satzung der Beschwerdegegnerin geregeltes Verfahren. Die Beschwerdegegnerin war daher im Sinne des Artikel 6, Absatz eins, letzter Satz DSGVO hier als Behörde in Erfüllung ihrer Aufgaben tätig, dies unabhängig von der Frage, welche Organe im Einzelfall zu entscheiden hatten, und ob diese im Einzelfall durch Bescheid oder andere Akte wie Vertragsabschlüsse tätig wurden. Für diesen Beschwerdefall folgt daraus weiters:
2. Die Verwendung des als Datenverarbeitung im Sinne von Art. 4 DSGVO zu wertenden elektronischen Kommunikationssystems E-Mail durch die Beschwerdegegnerin ist angesichts des Stands der Technik und in einer Gesamtbetrachtung des rechtlichen Rahmens (vgl. insbesondere § 37 Abs. 1 ZustG) als zulässig anzusehen und kann datenschutzrechtlich auf Art. 6 Abs. 1 lit. e DSGVO gestützt werden, da hier zwar keine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) zur Verwendung dieses elektronischen Kommunikationssystems bestanden hat, die Verarbeitung jedoch für die Wahrnehmung einer Aufgabe (Durchführung des Berufungsverfahrens für die ausgeschriebene Professur mit Bewerberinnen und Bewerbern aus dem In- und Ausland) erforderlich war, die im öffentlichen Interesse lag und in Ausübung öffentlicher Gewalt erfolgte, die der Verantwortlichen übertragen wurde.Die Verwendung des als Datenverarbeitung im Sinne von Artikel 4, DSGVO zu wertenden elektronischen Kommunikationssystems E-Mail durch die Beschwerdegegnerin ist angesichts des Stands der Technik und in einer Gesamtbetrachtung des rechtlichen Rahmens vergleiche insbesondere Paragraph 37, Absatz eins, ZustG) als zulässig anzusehen und kann datenschutzrechtlich auf Artikel 6, Absatz eins, Litera e, DSGVO gestützt werden, da hier zwar keine rechtliche Verpflichtung (Artikel 6, Absatz eins, Litera c, DSGVO) zur Verwendung dieses elektronischen Kommunikationssystems bestanden hat, die Verarbeitung jedoch für die Wahrnehmung einer Aufgabe (Durchführung des Berufungsverfahrens für die ausgeschriebene Professur mit Bewerberinnen und Bewerbern aus dem In- und Ausland) erforderlich war, die im öffentlichen Interesse lag und in Ausübung öffentlicher Gewalt erfolgte, die der Verantwortlichen übertragen wurde.
3. Daraus folgt, dass keine ausdrückliche Einwilligung (Art. 4 Z 11 DSGVO) des Beschwerdeführers erforderlich war, um seine E-Mail-Adresse rechtmäßig für Zwecke der Kommunikation und Zustellung verarbeiten zu dürfen.Daraus folgt, dass keine ausdrückliche Einwilligung (Artikel 4, Ziffer 11, DSGVO) des Beschwerdeführers erforderlich war, um seine E-Mail-Adresse rechtmäßig für Zwecke der Kommunikation und Zustellung verarbeiten zu dürfen.
4. Die Beschwerdegegnerin hat als Verantwortliche bei der Verarbeitung jedoch gegen den Grundsatz der Datenminimierung

Art. 5Abs.

1 lit. c DSGVO verstoßen. Aus dem festgestellten Sachverhalt und dem Eingeständnis der Beschwerdegegnerin, der Versand sei nur „versehentlich“ in dieser Weise erfolgt, ergibt sich die Schlussfolgerung, dass der Mitarbeiter der Beschwerdegegnerin, der die Nachricht zum Versand gebracht hat, die Haupt-Adressierung – wie für solche Fälle eines Versands an einen Adressverteiler kunstgerecht richtig – zwar an die eigene Adresse vorgenommen hat, es aber aus einem nicht festgestellten und für das Ergebnis dieses Verfahrens auch nicht entscheidenden Grund unterlassen hat, die insgesamt 56 E-Mail-Adressen des Verteilers in das Feld „Blind Carbon Copy – BCC“ einzutragen, wodurch sie den einzelnen Empfängern nicht zur Kenntnis gelangt wären. Stattdessen erfolgt ein Versand durch Eintragung in das Feld „Carbon Copy – CC“, wodurch jedem Inhaber einer der 56 verwendeten E-Mail-Adressen die E-Mail-Adressen der 55 übrigen Empfänger zur Kenntnis gelangten.Die Beschwerdegegnerin hat als Verantwortliche bei der Verarbeitung jedoch gegen den Grundsatz der Datenminimierung

Artikel 5, Absatz eins, Litera c, DSGVO verstoßen.

Aus dem festgestellten Sachverhalt und dem Eingeständnis der Beschwerdegegnerin, der Versand sei nur „versehentlich“ in dieser Weise erfolgt, ergibt sich die Schlussfolgerung, dass der Mitarbeiter der Beschwerdegegnerin, der die Nachricht zum Versand gebracht hat, die Haupt-Adressierung – wie für solche Fälle eines Versands an einen Adressverteiler kunstgerecht richtig – zwar an die eigene Adresse vorgenommen hat, es aber aus einem nicht festgestellten und für das Ergebnis dieses Verfahrens auch nicht entscheidenden Grund unterlassen hat, die insgesamt 56 E-Mail-Adressen des Verteilers in das Feld „Blind Carbon Copy – BCC“ einzutragen, wodurch sie den einzelnen Empfängern nicht zur Kenntnis gelangt wären. Stattdessen erfolgt ein Versand durch Eintragung in das Feld „Carbon Copy – CC“, wodurch jedem Inhaber einer der 56 verwendeten E-Mail-Adressen die E-Mail-Adressen der 55 übrigen Empfänger zur Kenntnis gelangten.

1. Im Fall des Beschwerdeführers, der durch eine aus seinem (Familien-) Namen und der Internet-Domain seines Architektenbüros bestehende E-Mail-Adresse identifizierbar war, wurde durch die Zusammensetzung des Verteilers in Verbindung mit dem Inhalt der Nachricht auch offengelegt, dass er sich um die ausgeschriebene Stelle beworben hatte.
2. Für den hier verfolgten Zweck der Verarbeitung ist kein Grund erkennbar, warum nicht die BCC-Zustellung als datensparsamere Methode Verwendung hätte finden können. Die Datenschutzbehörde geht dabei davon aus, dass dies ein einmaliges Versehen war.
3. Anders als von der Beschwerdegegnerin vorgebracht, kommt es hier nicht auf eine Beurteilung der Schutzwürdigkeit des Beschwerdeführers an. Es ist durchaus möglich, dass die hier übermittelten Daten in einem anderen Stadium des Berufungsverfahrens offengelegt hätten werden müssen, etwa im Zusammenhang mit einer öffentlichen Anhörung der in die engere Wahl gelangten Bewerberinnen und Bewerber. Dies ändert aber nichts daran, dass der beurteilte Verarbeitungsvorgang so nicht hätte stattfinden dürfen. Für die Beurteilung der Rechtmäßigkeit des in Beschwerde gezogenen Verarbeitungsvorgangs kann die Frage der Schutzwürdigkeit überdies außer Betracht bleiben, da selbst eine reduzierte Schutzwürdigkeit im Sinne der rein nationalen Verfassungsbestimmung des § 1 Abs. 1 DSG keinesfalls einen klar festgestellten Verstoß gegen den Grundsatz der Datenminimierung des Unionsrechts aufzuwiegen vermag.Anders als von der Beschwerdegegnerin vorgebracht, kommt es hier nicht auf eine Beurteilung der Schutzwürdigkeit des Beschwerdeführers an. Es ist durchaus möglich, dass die hier übermittelten Daten in einem anderen Stadium des Berufungsverfahrens offengelegt hätten werden müssen, etwa im Zusammenhang mit einer öffentlichen Anhörung der in die engere Wahl gelangten Bewerberinnen und Bewerber. Dies ändert aber nichts daran, dass der beurteilte Verarbeitungsvorgang so nicht hätte stattfinden dürfen. Für die Beurteilung der Rechtmäßigkeit des in Beschwerde gezogenen Verarbeitungsvorgangs kann die Frage der Schutzwürdigkeit überdies außer Betracht bleiben, da selbst eine reduzierte Schutzwürdigkeit im Sinne der rein nationalen Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG keinesfalls einen klar festgestellten Verstoß gegen den Grundsatz der Datenminimierung des Unionsrechts aufzuwiegen vermag.
4. Die Beschwerdegegnerin hat den Beschwerdeführer daher in seinem Grundrecht auf Geheimhaltung

§ 1Abs.

1 DSG verletzt, und es waren daher die spruchgemäßen Feststellungen zu treffen (vgl. dazu auch den Bescheid vom 24. Juni 2019, GZ DSB-D124.421/0003-DSB/2019).Die Beschwerdegegnerin hat den Beschwerdeführer daher in seinem Grundrecht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG verletzt, und es waren daher die spruchgemäßen Feststellungen zu treffen vergleiche dazu auch den Bescheid vom

1. Juni 2019, GZ DSB-D124.421/0003-DSB/2019).
2. Abschließend ist anzumerken, da ein diesbezügliches Vorbringen des Beschwerdeführers (ohne ausdrückliche Antragstellung) zur Begründung seiner Beschwerde vorliegt, dass die Beurteilung der Frage, ob das von der Beschwerdegegnerin durchgeführte Berufungsverfahrens rechtmäßig war, nicht im Zuständigkeitsbereich der Datenschutzbehörde liegt. European Case Law IdentifierECLI:AT:DSB:2020:2020.0.288.477