Obsah (5)

Art. 4Art. 2§ 1Art. 52§ 24

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum03.05.2021 Geschäftszahl2021-0.285.169 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2021-0.285.169 vo

Art. 4

Z 1 DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Artikel 4

, Ziffer eins, DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Der Europäische Gerichtshof (EuGH) hat in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.“ (vgl. das Urteil des EuGH vom 20. Dezember 2017, C-434/16 [Nowak]).Der Europäische Gerichtshof (EuGH) hat in Bezug auf Artikel 2, Litera a, der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.“ vergleiche das Urteil des EuGH vom 20. Dezember 2017, C-434/16 [Nowak]). Diese Überlegungen können auf die nunmehrige Rechtslage nach der DSGVO umgelegt werden, da die Begriffsdefinition von „personenbezogenen Daten“

Art. 2lit.

a der Richtlinie 95/46/EG sinngemäß in Art. 4 Z 1 DSGVO übernommen wurde.Diese Überlegungen können auf die nunmehrige Rechtslage nach der DSGVO umgelegt werden, da die Begriffsdefinition von „personenbezogenen Daten“

Artikel 2

, Litera a, der Richtlinie 95/46/EG sinngemäß in Artikel 4, Ziffer eins, DSGVO übernommen wurde. Eindeutig identifiziert ist eine Person dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht (vgl. diesbezüglich das Urteil des EuGH vom

1. Oktober 2016, C-582/14 [Breyer], Rz. 38). Dagegen ist eine Person identifizierbar, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Mit anderen Worten: wird die betroffene Person bspw. nicht namentlich genannt, kann aber gleichwohl mithilfe von Referenzdaten ermittelt werden, ist von personenbezogenen Daten zu sprechen (vgl. Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Art. 4, Rz. 8). Um festzustellen, ob eine natürliche Person identifizierbar ist, sind überdies alle Mittel zu berücksichtigen, die vom Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (vgl. ErwG 26 DSGVO).Eindeutig identifiziert ist eine Person dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht vergleiche diesbezüglich das Urteil des EuGH vom
2. Oktober 2016, C-582/14 [Breyer], Rz. 38). Dagegen ist eine Person identifizierbar, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Mit anderen Worten: wird die betroffene Person bspw. nicht namentlich genannt, kann aber gleichwohl mithilfe von Referenzdaten ermittelt werden, ist von personenbezogenen Daten zu sprechen vergleiche Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Artikel 4,, Rz. 8). Um festzustellen, ob eine natürliche Person identifizierbar ist, sind überdies alle Mittel zu berücksichtigen, die vom Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren vergleiche ErwG 26 DSGVO). Umgelegt auf den vorliegenden Fall liegen daher jedenfalls personenbezogene Daten des Beschwerdeführers vor, da zwar im der gegenständlichen WhatsApp-Nachricht angehängten Dokument für sich genommen nur vom „Vater“ bzw. „Kindesvater“ gesprochen wird, die mitübermittelte Textnachricht im Weiteren jedoch ausdrücklich Bezug auf „Mark“ – gemeint ist somit der Beschwerdeführer Markus A*** – nimmt. In diesem Zusammenhang gibt die Beschwerdegegnerin selbst an, dass sie sich mittels der verfahrensgegenständlichen Nachricht bei ihrer ehemaligen Schwiegermutter Erika A*** erkundigen wollte, ob deren Sohn (der Beschwerdeführer) aufgrund des ihm attestierten Gesundheitszustandes seinen Betreuungspflichten im Hinblick auf Andreas (den gemeinsamen Sohn der Verfahrensparteien) nachkommen kann. Folglich stand sowohl für die Beschwerdegegnerin, als auch für die Empfängerin der WhatsApp-Nachricht, Erika A***, außer Frage, auf wen sich die im angehängten Dokument enthaltenen Informationen bzw. Diagnosen beziehen und war der Beschwerdeführer für sie im Ergebnis eindeutig identifizierbar. Nachdem aus der verfahrensgegenständlichen WhatsApp-Nachricht zweifelsfrei auch Informationen ersichtlich sind, die sich auf die körperliche bzw. geistige Gesundheit des Beschwerdeführers beziehen und aus denen Informationen über den Gesundheitszustand des Beschwerdeführers hervorgehen, liegen zudem Gesundheitsdaten iSd. Art. 4 Z 15 DSGVO vor.Nachdem aus der verfahrensgegenständlichen WhatsApp-Nachricht zweifelsfrei auch Informationen ersichtlich sind, die sich auf die körperliche bzw. geistige Gesundheit des Beschwerdeführers beziehen und aus denen Informationen über den Gesundheitszustand des Beschwerdeführers hervorgehen, liegen zudem Gesundheitsdaten iSd. Artikel 4, Ziffer 15, DSGVO vor. Die Übermittlung der gegenständlichen WhatsApp-Nachricht, d.h. die Mitteilung an individuell bestimmte Adressaten (vgl. Reimer in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Art. 4, Rz. 69) stellt auch eindeutig eine Verarbeitung iSd. Art. 4 Z 2 DSGVO dar. Die Übermittlung der gegenständlichen WhatsApp-Nachricht, d.h. die Mitteilung an individuell bestimmte Adressaten vergleiche Reimer in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Artikel 4,, Rz. 69) stellt auch eindeutig eine Verarbeitung iSd. Artikel 4, Ziffer 2, DSGVO dar. D.
3. Allgemeines zum Grundrecht auf Geheimhaltung Das in § 1 DSG verankerte Grundrecht auf Geheimhaltung, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz der betroffenen Person vor der Ermittlung ihrer Daten und der Weitergabe der über sie ermittelten Daten. Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden.Das in Paragraph eins, DSG verankerte Grundrecht auf Geheimhaltung, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz der betroffenen Person vor der Ermittlung ihrer Daten und der Weitergabe der über sie ermittelten Daten. Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden. Festzuhalten ist, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG zu prüfen ist und sich Beschränkungen dieses Anspruchs aus Abs. 2 leg. cit., allerdings nicht aus Art. 6 Abs. 1 (bzw. Art. 9 Abs. 2) DSGVO ergeben. Festzuhalten ist, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG zu prüfen ist und sich Beschränkungen dieses Anspruchs aus Absatz 2, leg. cit., allerdings nicht aus Artikel 6, Absatz eins, (bzw. Artikel 9, Absatz 2,) DSGVO ergeben.

§ 1Abs.

2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind.

Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind. Die DSGVO und insbesondere auch die darin verankerten Grundsäte sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. dazu den Bescheid vom

1. Juli 2019, GZ DSB-D123.652/0001-DSB/2019).Die DSGVO und insbesondere auch die darin verankerten Grundsäte sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen vergleiche dazu den Bescheid vom
2. Juli 2019, GZ DSB-D123.652/0001-DSB/2019). Als Vorstufe ist daher zunächst zu prüfen, ob der vorliegende Sachverhalt überhaupt vom sachlichen Anwendungsbereich der DSGVO (und in weiterer Folge des DSG) erfasst ist. D.
3. Zur (Nicht-)Anwendbarkeit der DSGVO und zur sog. „Haushaltsausnahme“

Art. 2Abs.

2 lit. c findet die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (umgangssprachlich auch als „Haushaltsausnahme“ bezeichnet).

Artikel 2

, Absatz 2, Litera c, findet die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (umgangssprachlich auch als „Haushaltsausnahme“ bezeichnet). Die Normierung der „Haushaltsausnahme“ stellt eine Abwägungsentscheidung des Unionsgesetzgebers in Bezug auf das in Art. 8 EU-GRC primärrechtlich festgelegte Recht auf Schutz personenbezogener Daten dar.

Art. 52Abs.

1 EU-GRC müssen Einschränkungen der durch sie gewährleisteten Rechte und Freiheiten müssen daher entsprechend gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten.Die Normierung der „Haushaltsausnahme“ stellt eine Abwägungsentscheidung des Unionsgesetzgebers in Bezug auf das in Artikel 8, EU-GRC primärrechtlich festgelegte Recht auf Schutz personenbezogener Daten dar.

Artikel 52

, Absatz eins, EU-GRC müssen Einschränkungen der durch sie gewährleisteten Rechte und Freiheiten müssen daher entsprechend gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten. Nach herrschender Auffassung ist diese Ausnahme folglich restriktiv auszulegen (vgl. zur weitestgehend inhaltsgleichen Bestimmung des Art. 3 Abs. 2 zweiter Spiegelstrich der Richtlinie 95/46/EG das Urteil des EuGH vom

1. November 2003, C-101/01 [Lindqvist]). Nach herrschender Auffassung ist diese Ausnahme folglich restriktiv auszulegen vergleiche zur weitestgehend inhaltsgleichen Bestimmung des Artikel 3, Absatz 2, zweiter Spiegelstrich der Richtlinie 95/46/EG das Urteil des EuGH vom
2. November 2003, C-101/01 [Lindqvist]). Als Abgrenzungskriterium gilt das Fehlen jeglichen Bezugs zu einer beruflichen oder wirtschaftlichen Tätigkeit. D.h. das zentrale Kriterium für die Anwendbarkeit der „Haushaltsausnahme“ – und damit für die Nichtanwendbarkeit der DSGVO – ist die Zurechenbarkeit der Datenverarbeitung zum privaten Bereich (vgl. Heißl in Knyrim [Hrsg.], DatKomm Art. 2 DSGVO, Rz. 70).Als Abgrenzungskriterium gilt das Fehlen jeglichen Bezugs zu einer beruflichen oder wirtschaftlichen Tätigkeit. D.h. das zentrale Kriterium für die Anwendbarkeit der „Haushaltsausnahme“ – und damit für die Nichtanwendbarkeit der DSGVO – ist die Zurechenbarkeit der Datenverarbeitung zum privaten Bereich vergleiche Heißl in Knyrim [Hrsg.], DatKomm Artikel 2, DSGVO, Rz. 70). Hierbei gilt es zu beachten, dass sich die Ausdrücke „persönlich“ und „familiär“ auf die Tätigkeit der Person, die personenbezogene Daten verarbeitet, und nicht auf die Person, deren Daten verarbeitet werden, beziehen. (vgl. das Urteil des EuGH vom
3. Juli 2018, C-25/17 [Jehovan todistajat], Rz. 41 mwN.). Hierbei gilt es zu beachten, dass sich die Ausdrücke „persönlich“ und „familiär“ auf die Tätigkeit der Person, die personenbezogene Daten verarbeitet, und nicht auf die Person, deren Daten verarbeitet werden, beziehen. vergleiche das Urteil des EuGH vom
4. Juli 2018, C-25/17 [Jehovan todistajat], Rz. 41 mwN.). Die DSGVO selbst nennt diesbezüglich etwa das Führen eines Schriftverkehrs oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen einer persönlichen oder familiären Tätigkeit (vgl. ErwGr. 18 DSGVO). Dies gilt allerdings nur insoweit, als Daten in geschlossenen Gruppen ausgetauscht werden, die keinen Bezug zu beruflichen oder wirtschaftlichen Tätigkeiten der Nutzer haben (vgl. Ennöckl in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Art. 2, Rz. 13; vgl. auch das zuvor zitierte Urteil des EuGH vom
5. Juli 2018, C-25/17, Rz. 42 mwN., wonach eine Tätigkeit dann „nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden [kann], wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet“). Die ausschließlich private Nutzung von Diensten wie WhatsApp wird, sofern damit keine uneingeschränkte Veröffentlichung personenbezogener Daten im Internet einhergeht, vom Anwendungsbereich der „Haushaltsausnahme“ erfasst (vgl. Bergauer in Jahnel [Hrsg.], DSGVO. Kommentar, Art. 2, Rz. 27).Die DSGVO selbst nennt diesbezüglich etwa das Führen eines Schriftverkehrs oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen einer persönlichen oder familiären Tätigkeit vergleiche ErwGr. 18 DSGVO). Dies gilt allerdings nur insoweit, als Daten in geschlossenen Gruppen ausgetauscht werden, die keinen Bezug zu beruflichen oder wirtschaftlichen Tätigkeiten der Nutzer haben vergleiche Ennöckl in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Artikel 2,, Rz. 13; vergleiche auch das zuvor zitierte Urteil des EuGH vom
6. Juli 2018, C-25/17, Rz. 42 mwN., wonach eine Tätigkeit dann „nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden [kann], wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet“). Die ausschließlich private Nutzung von Diensten wie WhatsApp wird, sofern damit keine uneingeschränkte Veröffentlichung personenbezogener Daten im Internet einhergeht, vom Anwendungsbereich der „Haushaltsausnahme“ erfasst vergleiche Bergauer in Jahnel [Hrsg.], DSGVO. Kommentar, Artikel 2,, Rz. 27). Der Begriff der „Familie“ ist dabei nicht streng familienrechtlich auszulegen, sondern umfasst unabhängig von Ehe und Kindschaft auch weitere, von der Verkehrsanschauung als „familiär“ bezeichnete Beziehungen. Insofern ist es unerheblich, ob eine förmliche Bindung besteht oder ob persönliche Beziehungen auf rein informellerer Basis bestehen (vgl. Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Art. 2, Rz. 18).Der Begriff der „Familie“ ist dabei nicht streng familienrechtlich auszulegen, sondern umfasst unabhängig von Ehe und Kindschaft auch weitere, von der Verkehrsanschauung als „familiär“ bezeichnete Beziehungen. Insofern ist es unerheblich, ob eine förmliche Bindung besteht oder ob persönliche Beziehungen auf rein informellerer Basis bestehen vergleiche Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Artikel 2,, Rz. 18). Unter Zugrundelegung dieser Überlegungen ist in einem Zwischenschritt daher festzuhalten, dass im vorliegenden Fall die Ausnahmebestimmung des Art. 2 Abs. 2 lit c DSGVO anwendbar ist, da die Übermittlung der gegenständlichen WhatsApp-Nachricht an eine individuell bestimmte Empfängerin (und nicht an einen unbestimmten bzw. unbegrenzt öffentlichen Adressatenkreis) anlässlich eines im persönlichen und zumindest mittelbar familiären Rahmen geführten Schriftverkehrs zwischen der Beschwerdegegnerin und ihrer ehemaligen Schwiegermutter, welche häufig den in der alleinigen Obsorge der Beschwerdegegnerin stehenden Sohn betreut, erfolgt ist. Unter Zugrundelegung dieser Überlegungen ist in einem Zwischenschritt daher festzuhalten, dass im vorliegenden Fall die Ausnahmebestimmung des Artikel 2, Absatz 2, Litera c, DSGVO anwendbar ist, da die Übermittlung der gegenständlichen WhatsApp-Nachricht an eine individuell bestimmte Empfängerin (und nicht an einen unbestimmten bzw. unbegrenzt öffentlichen Adressatenkreis) anlässlich eines im persönlichen und zumindest mittelbar familiären Rahmen geführten Schriftverkehrs zwischen der Beschwerdegegnerin und ihrer ehemaligen Schwiegermutter, welche häufig den in der alleinigen Obsorge der Beschwerdegegnerin stehenden Sohn betreut, erfolgt ist. Im nächsten Schritt ist sodann auf das Verhältnis zwischen der DSGVO und dem DSG in Bezug auf die in Art. 2 Abs. 2 DSGVO genannten Ausnahmetatbestände einzugehen.Im nächsten Schritt ist sodann auf das Verhältnis zwischen der DSGVO und dem DSG in Bezug auf die in Artikel 2, Absatz 2, DSGVO genannten Ausnahmetatbestände einzugehen. Nach Art. 16 Abs. 2 AEUV besteht eine Unionskompetenz zur Erlassung von Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen.Nach Artikel 16, Absatz 2, AEUV besteht eine Unionskompetenz zur Erlassung von Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen. Soweit daher ein Sachverhalt in den Anwendungsbereich von Art. 8 EU-GRC fällt, haben allfällige verfassungsgesetzliche Bestimmungen, die dieselbe Garantie bieten, im Umfang dieser Übereinstimmung „ruhend in Kraft“ zu bleiben und richtet sich die Beurteilung ausschließlich nach der unionsrechtlichen Bestimmung (vgl. dazu jüngst den Beschluss des deutschen Bundesverfassungsgerichts vom
7. November 2019, GZ 1 BvR 276/17, Rz 47 ff; vgl. dazu weiters VfSlg. 19.632/2012, wo der Verfassungsgerichtshof bereits ausgesprochen hat, dass er im Falle der Übereinstimmung von verfassungsgesetzlich gewährleisteten Rechten mit der EU-GRC letztere als Kontrollmaßstab heranzieht).Soweit daher ein Sachverhalt in den Anwendungsbereich von Artikel 8, EU-GRC fällt, haben allfällige verfassungsgesetzliche Bestimmungen, die dieselbe Garantie bieten, im Umfang dieser Übereinstimmung „ruhend in Kraft“ zu bleiben und richtet sich die Beurteilung ausschließlich nach der unionsrechtlichen Bestimmung vergleiche dazu jüngst den Beschluss des deutschen Bundesverfassungsgerichts vom
8. November 2019, GZ 1 BvR 276/17, Rz 47 ff; vergleiche dazu weiters VfSlg. 19.632 aus 2012,, wo der Verfassungsgerichtshof bereits ausgesprochen hat, dass er im Falle der Übereinstimmung von verfassungsgesetzlich gewährleisteten Rechten mit der EU-GRC letztere als Kontrollmaßstab heranzieht). Im vorliegenden Fall kann nicht gesagt werden, dass der Schutzbereich von § 1 DSG über jenen von Art. 8 EU-GRC hinausgeht, sodass § 1 DSG gar nicht zur Anwendung gelangt.Im vorliegenden Fall kann nicht gesagt werden, dass der Schutzbereich von Paragraph eins, DSG über jenen von Artikel 8, EU-GRC hinausgeht, sodass Paragraph eins, DSG gar nicht zur Anwendung gelangt. Aber selbst, wenn man einen Anwendungsfall des § 1 DSG erblicken würde, wäre der Beschwerde kein Erfolg beschieden:Aber selbst, wenn man einen Anwendungsfall des Paragraph eins, DSG erblicken würde, wäre der Beschwerde kein Erfolg beschieden: Die (einfachgesetzliche) Bestimmung des § 4 Abs. 1 DSG erklärt neben dem DSG die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden, für anwendbar, ohne konkret auf die Ausnahmetatbestände in Art. 2 Abs. 2 DSGVO Bezug zu nehmen.Die (einfachgesetzliche) Bestimmung des Paragraph 4, Absatz eins, DSG erklärt neben dem DSG die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden, für anwendbar, ohne konkret auf die Ausnahmetatbestände in Artikel 2, Absatz 2, DSGVO Bezug zu nehmen. Diesbezüglich wird jedoch den Bestimmungen der DSGVO auf nationaler Ebene ein grundsätzlich unbeschränkter sachlicher Anwendungsbereich eröffnet (vgl. Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 4, Anm. 3), sodass aufgrund von Art. 2 Abs. 2 lit. c DSGVO vom Anwendungsbereich der DSGVO ausgenommene Verarbeitungsvorgänge auch vom DSG nicht erfasst werden (vgl. ErlAB, 1761 BlgNR. XXV GP, S. 4).Diesbezüglich wird jedoch den Bestimmungen der DSGVO auf nationaler Ebene ein grundsätzlich unbeschränkter sachlicher Anwendungsbereich eröffnet vergleiche Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph 4,, Anmerkung 3, ), sodass aufgrund von Artikel 2, Absatz 2, Litera c, DSGVO vom Anwendungsbereich der DSGVO ausgenommene Verarbeitungsvorgänge auch vom DSG nicht erfasst werden vergleiche ErlAB, 1761 BlgNR. römisch 25 GP, S. 4). Die Datenschutzbehörde übersieht nicht, dass die in Art. 2 Abs. 2 lit. c DSGVO normierte „Haushaltsausnahme“ im Wesentlichen inhaltsgleich der Vorgängerbestimmung des Art. 3 Abs. 2 zweiter Spiegelstrich der Richtlinie 95/46/EG (DS-RL) entspricht und nach der diesbezüglichen Rsp. des EuGH die Mitgliedstaaten dadurch nicht gehindert waren, den Geltungsbereich innerstaatlichen Rechtsvorschriften, welche in Umsetzung der DS-RL erlassen wurden, auf vom Anwendungsbereich der DS-RL nicht erfasste Bereiche auszudehnen, soweit dem keine andere Bestimmung des Gemeinschaftsrechts entgegenstand (vgl. das bereits zitierte Urteil des EuGH vom
9. November 2003, C-101/01, Rz. 98). Der österreichische Gesetzgeber hatte von dieser – unter der DS-RL geschaffenen – Möglichkeit Gebrauch gemacht und legte spezifische datenschutzrechtliche Regelungen für Verarbeitungstätigkeiten zu privaten bzw. familiären Zwecken in der früheren Bestimmung des § 45 DSG 2000 (vgl. Stammfassung BGBl. I Nr. 165/1999) fest. Die soeben zitierte Bestimmung sah keine generelle Ausnahme vom Grundrecht auf Datenschutz vor, was aufgrund ihres einfachgesetzlichen Charakters auch gar nicht möglich gewesen wäre (vgl. Jahnel, Handbuch Datenschutzrecht, S. 433 ff). Die Datenschutzbehörde übersieht nicht, dass die in Artikel 2, Absatz 2, Litera c, DSGVO normierte „Haushaltsausnahme“ im Wesentlichen inhaltsgleich der Vorgängerbestimmung des Artikel 3, Absatz 2, zweiter Spiegelstrich der Richtlinie 95/46/EG (DS-RL) entspricht und nach der diesbezüglichen Rsp. des EuGH die Mitgliedstaaten dadurch nicht gehindert waren, den Geltungsbereich innerstaatlichen Rechtsvorschriften, welche in Umsetzung der DS-RL erlassen wurden, auf vom Anwendungsbereich der DS-RL nicht erfasste Bereiche auszudehnen, soweit dem keine andere Bestimmung des Gemeinschaftsrechts entgegenstand vergleiche das bereits zitierte Urteil des EuGH vom
10. November 2003, C-101/01, Rz. 98). Der österreichische Gesetzgeber hatte von dieser – unter der DS-RL geschaffenen – Möglichkeit Gebrauch gemacht und legte spezifische datenschutzrechtliche Regelungen für Verarbeitungstätigkeiten zu privaten bzw. familiären Zwecken in der früheren Bestimmung des Paragraph 45, DSG 2000 vergleiche Stammfassung Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,) fest. Die soeben zitierte Bestimmung sah keine generelle Ausnahme vom Grundrecht auf Datenschutz vor, was aufgrund ihres einfachgesetzlichen Charakters auch gar nicht möglich gewesen wäre vergleiche Jahnel, Handbuch Datenschutzrecht, S. 433 ff). Mit Blick auf die geltende Rechtslage ist hervorzuheben, dass die DSGVO selbst – aufgrund der im Wesentlichen wortgleich übernommenen Bestimmung der „Haushaltsausnahme“ – nicht hinter den Schutzumfang der DS-RL zurückfällt, eine zu § 45 DSG 2000 ähnliche Bestimmung vom österreichischen Gesetzgeber im DSG jedoch im Weiteren nicht (mehr) vorgesehen wurde. Mit Blick auf die geltende Rechtslage ist hervorzuheben, dass die DSGVO selbst – aufgrund der im Wesentlichen wortgleich übernommenen Bestimmung der „Haushaltsausnahme“ – nicht hinter den Schutzumfang der DS-RL zurückfällt, eine zu Paragraph 45, DSG 2000 ähnliche Bestimmung vom österreichischen Gesetzgeber im DSG jedoch im Weiteren nicht (mehr) vorgesehen wurde. Daraus lässt sich schließen, dass der österreichische Gesetzgeber den Schutzumfang des DSG nicht auf Sachverhalt ausdehnen wollte, die den ausschließlich persönlichen oder familiären Bereich betreffen. D.
11. Ergebnis Unter Zugrundelegung der obigen Überlegungen ist im Ergebnis die Bestimmung des Art. 2 Abs. 2 lit. c DSGVO auch im Zusammenhang mit einer behaupteten Verletzung von § 1 Abs. 1 DSG anzuwenden und ist folglich der Anwendungsbereich der DSGVO bzw. des DSG nicht eröffnet. Folglich steht auch das Beschwerderecht

§ 24Abs. 1 DSG für die gegenständlich erfolgte Kommunikation mittels Whats

App im Rahmen einer persönlichen und familiären Tätigkeit nicht zu.Unter Zugrundelegung der obigen Überlegungen ist im Ergebnis die Bestimmung des Artikel 2, Absatz 2, Litera c, DSGVO auch im Zusammenhang mit einer behaupteten Verletzung von Paragraph eins, Absatz eins, DSG anzuwenden und ist folglich der Anwendungsbereich der DSGVO bzw. des DSG nicht eröffnet. Folglich steht auch das Beschwerderecht

Paragraph 24, Absatz eins, DSG für die gegenständlich erfolgte Kommunikation mittels WhatsApp im Rahmen einer persönlichen und familiären Tätigkeit nicht zu. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2021:2021.0.285.169