RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum02.04.2025 Geschäftszahl2025-0.243.398 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.243.398 vo

Art. 4

Z 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.„Verarbeitung“

Artikel 4

, Ziffer 2, DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Bei der Verwendung der personenbezogenen Daten des Beschwerdeführers im Rahmen der digitalen Plattform „Com***hotel***“ handelt es sich weiters um eine (automatisierte) Verarbeitung iSv. Art. 4 Z 2 DSGVO (iVm. Art. 2 Abs. 1 DSGVO).Bei der Verwendung der personenbezogenen Daten des Beschwerdeführers im Rahmen der digitalen Plattform „Com***hotel***“ handelt es sich weiters um eine (automatisierte) Verarbeitung iSv. Artikel 4, Ziffer 2, DSGVO in Verbindung mit Artikel 2, Absatz eins, DSGVO). „Verantwortlicher“

Art. 4

Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.„Verantwortlicher“

Artikel 4

, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Direkt erkennbar ist im Übrigen auch, dass die Beschwerdegegnerin über die Zwecke und Mittel der vorliegenden Datenverarbeitung tatsächlich entschieden hat und somit als Verantwortliche iSv. Art. 4 Z 7 DSGVO agierte.Direkt erkennbar ist im Übrigen auch, dass die Beschwerdegegnerin über die Zwecke und Mittel der vorliegenden Datenverarbeitung tatsächlich entschieden hat und somit als Verantwortliche iSv. Artikel 4, Ziffer 7, DSGVO agierte. Für die Zuschreibung der Verantwortlichen-Eigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt (vgl. Erkenntnis des BVwG vom 3.9.2019, GZ: W214 2219944-1).Für die Zuschreibung der Verantwortlichen-Eigenschaft ist es nicht erforderlich, dass der Verantwortliche selbst Daten verarbeitet, sich im Besitz der verarbeiteten Daten befindet oder über die physische Herrschaft verfügt vergleiche Erkenntnis des BVwG vom 3.9.2019, GZ: W214 2219944-1). Demgegenüber handelt es sich bei der Com***hotel*** GmbH um die Auftragsverarbeiterin der Beschwerdegegnerin (vgl. Art. 4 Z 8 und Art. 28 DSGVO).Demgegenüber handelt es sich bei der Com***hotel*** GmbH um die Auftragsverarbeiterin der Beschwerdegegnerin vergleiche Artikel 4, Ziffer 8 und Artikel 28, DSGVO). An dieser Stelle ist darauf hinzuweisen, dass der in diesem Zusammenhang abgeschlossene Vertrag gemäß Art. 28 DSGVO von der Akteneinsicht bzw. dem Parteiengehör des Beschwerdeführers aufgrund überwiegender Interessen der Beschwerdegegnerin (Geschäfts- und Betriebsgeheimnisse) gemäß § 17 Abs. 3 AVG ausgenommen worden ist. Zur Zulässigkeit „geheimer Beweismittel“ siehe Erk. des VfGH vom 10. Oktober 2019, E 1025/2018).An dieser Stelle ist darauf hinzuweisen, dass der in diesem Zusammenhang abgeschlossene Vertrag gemäß Artikel 28, DSGVO von der Akteneinsicht bzw. dem Parteiengehör des Beschwerdeführers aufgrund überwiegender Interessen der Beschwerdegegnerin (Geschäfts- und Betriebsgeheimnisse) gemäß Paragraph 17, Absatz 3, AVG ausgenommen worden ist. Zur Zulässigkeit „geheimer Beweismittel“ siehe Erk. des VfGH vom 10. Oktober 2019, E 1025 aus 2018,). Als Zwischenergebnis kann daher festgehalten werden, dass der Anwendungsbereich des § 1 Abs. 1 DSG eröffnet ist.Als Zwischenergebnis kann daher festgehalten werden, dass der Anwendungsbereich des Paragraph eins, Absatz eins, DSG eröffnet ist. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des oder der Betroffenen oder mit seiner oder ihrer Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen oder einer anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des oder der Betroffenen oder mit seiner oder ihrer Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen oder einer anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. Auch nach der DSGVO ist die Verarbeitung nur dann rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 lit. a bis lit. f DSGVO genannten Bedingungen erfüllt ist. Etwa laut lit. f leg. cit., wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.Auch nach der DSGVO ist die Verarbeitung nur dann rechtmäßig, wenn mindestens eine der in Artikel 6, Absatz eins, Litera a, bis Litera f, DSGVO genannten Bedingungen erfüllt ist. Etwa laut Litera f, leg. cit., wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Nach der Rechtsprechung des EuGH muss somit jede Verarbeitung personenbezogener Daten zusätzlich mit den in Art. 5 Abs. 1 der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen (Urteil des EuGH vom 4. Mai 2023, Rs C‑60/22, Rz. 57).Nach der Rechtsprechung des EuGH muss somit jede Verarbeitung personenbezogener Daten zusätzlich mit den in Artikel 5, Absatz eins, der DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen (Urteil des EuGH vom 4. Mai 2023, Rs C‑60/22, Rz. 57). Dem Parteienvorbringen sowie den Sachverhaltsfeststellungen ist zu entnehmen, dass weder lebenswichtige Interessen des Beschwerdeführers noch seine Zustimmung (in der Terminologie der DSGVO: Einwilligung) vorlagen. Die Kenntnisnahme bzw. „Akzeptanz“ von Datenschutzinformationen (vgl. Punkt C.5.) stellt nämlich keine eindeutige bestätigende Handlung dar, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist (vgl. ErwG 32 sowie Art. 7 DSGVO).Dem Parteienvorbringen sowie den Sachverhaltsfeststellungen ist zu entnehmen, dass weder lebenswichtige Interessen des Beschwerdeführers noch seine Zustimmung (in der Terminologie der DSGVO: Einwilligung) vorlagen. Die Kenntnisnahme bzw. „Akzeptanz“ von Datenschutzinformationen vergleiche Punkt C.5.) stellt nämlich keine eindeutige bestätigende Handlung dar, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist vergleiche ErwG 32 sowie Artikel 7, DSGVO). Mangels Vorliegen anderer Rechtsfertigungstatbestände kommt im vorliegenden Fall ausschließlich der Rechtfertigungsgrund „berechtigte Interessen“ (Art. 6 Abs. 1 lit. f DSGVO und § 1 Abs. 2 DSG) in Betracht.Mangels Vorliegen anderer Rechtsfertigungstatbestände kommt im vorliegenden Fall ausschließlich der Rechtfertigungsgrund „berechtigte Interessen“ (Artikel 6, Absatz eins, Litera f, DSGVO und Paragraph eins, Absatz 2, DSG) in Betracht. Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist nach der Rsp des EuGH unter drei kumulativen Voraussetzungen zulässig:

1. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten
2. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).Die Datenverarbeitung auf der Rechtsgrundlage von „berechtigten Interessen“ ist nach der Rsp des EuGH unter drei kumulativen Voraussetzungen zulässig:
3. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten
4. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN). In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann laut EuGH ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Insbesondere ist dieser Begriff nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt. (vgl. EuGH-Urteil vom 4. Juli 2023, C‑252/21, Rn. 107).In Ermangelung einer Definition des Begriffs „berechtigtes Interesse“ durch die DSGVO kann laut EuGH ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Insbesondere ist dieser Begriff nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt. vergleiche EuGH-Urteil vom 4. Juli 2023, C‑252/21, Rn. 107). Insofern könnte das im Rahmen der Stellungnahme im Beschwerdeverfahren erstattete Vorbringen der Beschwerdegegnerin, wonach die verfahrensgegenständliche Verarbeitung von privater Telefonnummer und E-Mail-Adresse im System „Com***hotel***“ insofern erforderlich (gewesen) sei, da der Hotelbetrieb täglich zwischen 06:00 und 02:00 Uhr stattfinde und bspw. bei unentschuldigtem Fernbleiben von Mitarbeitenden eine möglichst schnelle Kontaktaufnahme von Kolleg*innen - zur reibungslosten Aufrechterhaltung des Hotelbetriebes und Betriebsablaufes - notwendig sei, grundsätzlich als berechtigtes Interesse gewertet werden. In diesem Zusammenhang ist allerdings das rezente Urteil des EuGH vom 9. Jänner 2025, Rs. C‑394/23, zu beachten, in welchem dieser in Rz. 52 sinngemäß ausführte, dass im Rahmen des „berechtigten Interesses“ zu prüfen sei, ob der Verantwortliche der betroffenen Person in der Phase der Erhebung der in Rede stehenden Daten gemäß Art. 13 Abs. 1 Buchst. d DSGVO ein berechtigtes Interesse mitgeteilt habe. Diese Bestimmung verlange, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt werden könne.In diesem Zusammenhang ist allerdings das rezente Urteil des EuGH vom 9. Jänner 2025, Rs. C‑394/23, zu beachten, in welchem dieser in Rz. 52 sinngemäß ausführte, dass im Rahmen des „berechtigten Interesses“ zu prüfen sei, ob der Verantwortliche der betroffenen Person in der Phase der Erhebung der in Rede stehenden Daten gemäß Artikel 13, Absatz eins, Buchst. d DSGVO ein berechtigtes Interesse mitgeteilt habe. Diese Bestimmung verlange, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf Grundlage von Artikel 6, Absatz eins, Litera f, DSGVO gerechtfertigt werden könne. Den Feststellungen ist zu entnehmen, dass der Beschwerdeführer vor erstmaliger Nutzung seines Profils - somit grundsätzlich vor Durchführung der monierten Datenverarbeitung - bestimmte Informationen erhalten hat (vgl. Punkt C.4.). Der dabei gewählte „Mehrebenen-Ansatz“ ist insofern auch zulässig, als dass er die Transparenz gewährleisten bzw. sogar erhöhen kann (siehe bereits Art-29-Datenschutzgruppe, Guidelines on transparency under Regulation 2016/679 (WP260) 35).Den Feststellungen ist zu entnehmen, dass der Beschwerdeführer vor erstmaliger Nutzung seines Profils - somit grundsätzlich vor Durchführung der monierten Datenverarbeitung - bestimmte Informationen erhalten hat vergleiche Punkt C.4.). Der dabei gewählte „Mehrebenen-Ansatz“ ist insofern auch zulässig, als dass er die Transparenz gewährleisten bzw. sogar erhöhen kann (siehe bereits Art-29-Datenschutzgruppe, Guidelines on transparency under Regulation 2016/679 (WP260) 35). Allerdings ist den Feststellungen auch zu entnehmen, dass es sich bei diesen Informationen lediglich um solche gehandelt hat bzw. handelt, welche offenbar von der Auftragsverarbeiterin der Beschwerdegegnerin zur Verfügung gestellt werden. Diese enthalten zwar durchaus eine Beschreibung der verarbeiteten Datenkategorien, der (allgemein gehaltenen) Zwecke, der Übermittlungen, der Speicherdauer uÄ. Auch wird (mehrmals und gleich zu Beginn) darauf hingewiesen, dass die „grundlegenden Daten“ sowie einige „freiwillige“ Profildaten eines Accounts für jene Nutzer*innen sichtbar sind, die in denselben Netzwerken wie dieser Account aktiv sind. Allerdings ist den dem Beschwerdeführer bereitgestellten Informationen an keiner Stelle die Darlegung des berechtigten Interesses der Beschwerdegegnerin iSd. rezenten EuGH-Judikatur zu entnehmen. Die sprachlich äußerst allgemein gehaltene Formulierung, dass die Datenverarbeitung (Hervorhebungen durch die DSB) „zum Zwecke der Durchführung des Vertragsverhältnisses mit Ihrem Arbeitgeber und in dessen Auftrag [erfolgt]“ und „die Plattform Tools zur Optimierung der unternehmensinternen Kommunikation, dem Wissensmanagement und der Verbesserung von operativen Abläufen [bietet]“, vermag die Anforderungen des Art. 13 Abs. 1 lit. d DSGVO nach Ansicht der Datenschutzbehörde jedenfalls nicht zu erfüllen.Die sprachlich äußerst allgemein gehaltene Formulierung, dass die Datenverarbeitung (Hervorhebungen durch die DSB) „zum Zwecke der Durchführung des Vertragsverhältnisses mit Ihrem Arbeitgeber und in dessen Auftrag [erfolgt]“ und „die Plattform Tools zur Optimierung der unternehmensinternen Kommunikation, dem Wissensmanagement und der Verbesserung von operativen Abläufen [bietet]“, vermag die Anforderungen des Artikel 13, Absatz eins, Litera d, DSGVO nach Ansicht der Datenschutzbehörde jedenfalls nicht zu erfüllen. Vielmehr wäre die Beschwerdegegnerin dazu angehalten gewesen, die von ihr verfolgten und (erst) im Rahmen ihrer Stellungnahme bei der Datenschutzbehörde detailliert bekannt gegebenen berechtigten Interessen in einer für den Beschwerdeführer nachvollziehbaren Weise zum Zeitpunkt der Datenerhebung bzw. erstmaligen Profilaktivierung darzulegen. Schon vor diesem Hintergrund scheiterte eine Rechtfertigung aufgrund von Art. 6 Abs. 1 lit. f DSGVO.Schon vor diesem Hintergrund scheiterte eine Rechtfertigung aufgrund von Artikel 6, Absatz eins, Litera f, DSGVO. Im Übrigen ist noch darauf hinzuweisen, dass im Rahmen der Interessensabwägung insbesondere auch die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen wären (vgl. EuGH-Urteil vom 4. Juli 2023, Rn. 116 u.a. unter Hinweis auf ErwG 47 der DSGVO).Im Übrigen ist noch darauf hinzuweisen, dass im Rahmen der Interessensabwägung insbesondere auch die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen wären vergleiche EuGH-Urteil vom 4. Juli 2023, Rn. 116 u.a. unter Hinweis auf ErwG 47 der DSGVO). Dem Beschwerdeführer ist in diesem Zusammenhang insoweit zuzustimmen, dass eine betroffene Person auf Grundlage der bereitgestellten Informationen vernünftigerweise nicht damit rechnen musste, dass ihre privaten Kontaktdaten im Rahmen von „Com***hotel***“ verwendet werden, da unter Punkt 1 der „Datenschutzinformationen für Endnutzer“ als verarbeitete Datenkategorien berufliche Kontaktdaten (Telefonnummer, E-Mail-Adresse) angeführt waren. Selbst bei Annahme des Vorliegens eines berechtigten Interesses der Beschwerdegegnerin würden daher die Interessen bzw. Grundrechte des Beschwerdeführers überwiegen. Insgesamt kommt die Datenschutzbehörde daher zum Ergebnis, dass die Beschwerdegegnerin die beschwerdegegenständlichen Daten des Beschwerdeführers ohne tragenden Eingriffstatbestand - und somit rechtwidrig - verarbeitet hat. Der Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung war daher gem. § 24 Abs. 5 DSG stattzugeben und die Rechtsverletzung festzustellen.Der Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung war daher gem. Paragraph 24, Absatz 5, DSG stattzugeben und die Rechtsverletzung festzustellen. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.243.398