{'item': '2025-0.587.686'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum24.07.2025 Geschäftszahl2025-0.587.686 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.587.686 vom 24. Juli 2025 (Verfahrenszahl: DSB-D124.0686/25) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Nuredin A*** (Beschwerdeführer) vom 19. März 2025 gegen die N*** Real GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:  Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie als Immobilienmaklerin personenbezogene Daten des Beschwerdeführers entgegen seinem ausdrücklichen Willen zur Kontaktaufnahme verwendet hat. Rechtsgrundlagen: Art. 4 Z 1, Z 2 und Z 7, Art. 5 Abs. 1, Art. 6 Abs. 1 lit. f, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1 Abs. 1 und Abs. 2, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 4, Ziffer eins,, Ziffer 2 und Ziffer 7,, Artikel 5, Absatz eins,, Artikel 6, Absatz eins, Litera f,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins, Absatz eins und Absatz 2, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang 1. Mit verfahrenseinleitender Eingabe vom 19. März 2025 behauptete der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung durch die Beschwerdegegnerin. Die Rechtsverletzung ergebe sich aus einer ungewünschten Kontaktaufnahme von Seiten der Beschwerdegegnerin. Er habe ein Inserat für ein Grundstück veröffentlicht. Direkt am Anfang des Inserats habe gestanden: „Bitte keine Makler!“. Dennoch habe ihn am 19. März 2025 die Beschwerdegegnerin als Maklerin angerufen und bedrängt. 2. Mit Eingaben vom 15. Mai 2025 und vom 3. Juli 2025 brachte die Beschwerdegegnerin wie folgt vor: Sie würde Vermerke, dass Makler unerwünscht sind, berücksichtigen. Das Inserat sei auf einem öffentlichen Portal mit der bitte um Kontaktaufnahme und der Telefonnummer geschaltet gewesen und ein entsprechender Vermerk habe gefehlt. 3. Mit Eingabe vom 13. Juni 2025 legte der Beschwerdeführer eine Abbildung des Inserats vor. B. Beschwerdegegenstand Beschwerdegegenstand ist die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie als Immobilienmaklerin personenbezogene Daten des Beschwerdeführers entgegen seinem ausdrücklichen Willen zur Kontaktaufnahme verwendet hat. C. Sachverhaltsfeststellungen 1. Bei der Beschwerdegegnerin handelt es sich um eine zur FN *4*2*9*o im österreichischen Firmenbuch eingetragene Gesellschaft mit Sitz in **** Wien. Unternehmensgegenstand ist die Immobilienvermittlung und der Immobilienankauf. 2. Der Beschwerdeführer hat im Februar 2025 auf einem öffentlichen virtuellen Marktplatz (www.web***markt.

1. at)ein Inserat für ein Grundstück bzw. eine Liegenschaft veröffentlicht. Das Inserat beinhaltete die Telefonnummer des Beschwerdeführers und die Bitte um Kontaktaufnahme. Direkt am Anfang des Inserates bei der Objektbeschreibung hat der Beschwerdeführer nachfolgenden Hinweis angegeben, welcher für das Inserat lesende Personen gut sichtbar war: „Makler sind nicht erwünscht!“. 3. Die Beschwerdegegnerin (bzw. deren Mitarbeiter:innen) hat (bzw. haben) die im Inserat ersichtlichen Daten des Beschwerdeführers, darunter insbesondere dessen Name und Telefonnummer dazu verwendet, um ihn am 19. März 2025 bezüglich des Inserats telefonisch zu kontaktieren. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf übereinstimmenden schriftlichen Parteienvorbringen sowie auf dem von dem Beschwerdeführer vorgelegten Screenshot, dessen Echtheit und Richtigkeit von der Beschwerdegegnerin zu keinem Zeitpunkt bestritten worden ist. Im Übrigen auf einer amtswegigen Abfrage des Firmenbuches zu FN *4*2*9*o, letztmalig abgefragt durch die Datenschutzbehörde am 23. Juli 2025. D. In rechtlicher Hinsicht folgt daraus: D1. Anwendbare Rechtsvorschriften Gemäß § 1 Abs. 1 DSG hat jede Person, insbesondere auch im Hinblick auf die Achtung seines oder ihres Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn oder sie betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Gemäß Paragraph eins, Absatz eins, DSG hat jede Person, insbesondere auch im Hinblick auf die Achtung seines oder ihres Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn oder sie betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des oder der Betroffenen oder mit seiner oder ihrer Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen oder einer anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werdenGemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des oder der Betroffenen oder mit seiner oder ihrer Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen oder einer anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB- D123.076/0003-DSB/2018).Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen vergleiche den Bescheid der DSB vom 31. Oktober 2018, GZ DSB- D123.076/0003-DSB/2018). „Personenbezogene Daten“ sind laut Art. 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.„Personenbezogene Daten“ sind laut Artikel 4, Ziffer eins, DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. „Verarbeitung“ ist laut Art. 4 Z 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.„Verarbeitung“ ist laut Artikel 4, Ziffer 2, DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Personenbezogene Daten müssen gemäß Art. 5 Abs. 1 lit. a DSGVO stets auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).Personenbezogene Daten müssen gemäß Artikel 5, Absatz eins, Litera a, DSGVO stets auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Datenverarbeitungen müssen gemäß Art. 5 Abs. 1 lit. c DSGVO dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).Datenverarbeitungen müssen gemäß Artikel 5, Absatz eins, Litera c, DSGVO dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“). Der Verantwortliche ist laut Art. 5 Abs. 2 DSGVO für die Einhaltung des Art. 5 Abs. 1 DSGVO verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).Der Verantwortliche ist laut Artikel 5, Absatz 2, DSGVO für die Einhaltung des Artikel 5, Absatz eins, DSGVO verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“). Die Verarbeitung ist nur dann rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 lit. a bis lit. f DSGVO genannten Bedingungen erfüllt ist. Etwa laut lit. f leg. cit., wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.Die Verarbeitung ist nur dann rechtmäßig, wenn mindestens eine der in Artikel 6, Absatz eins, Litera a bis Litera f, DSGVO genannten Bedingungen erfüllt ist. Etwa laut Litera f, leg. cit., wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. D2. Zur vorliegenden Beschwerde Wie den Feststellungen zu entnehmen ist, wurden im Rahmen des verfahrensgegenständlichen Online-Inserate der Vor- und Zuname und die Telefonnummer des Beschwerdeführers veröffentlicht. Diese Informationen wurden von der Beschwerdegegnerin dazu genutzt den Beschwerdeführer telefonisch zu kontaktieren. Bei all diesen Informationen handelt es sich unbestrittenermaßen um personenbezogene Daten des Beschwerdeführers. Da die Beschwerdegegnerin diese Daten erhoben und verwendet hat, sind personenbezogene Daten des Beschwerdeführers auch im Sinne der DSGVO verarbeitet worden (vgl. Art. 4 Z 1 und Z 2 DSGVO) und handelt es sich bei der Beschwerdegegnerin unbestrittenermaßen um die datenschutzrechtlich Verantwortliche (Art. 4 Z 7 DSGVO).Bei all diesen Informationen handelt es sich unbestrittenermaßen um personenbezogene Daten des Beschwerdeführers. Da die Beschwerdegegnerin diese Daten erhoben und verwendet hat, sind personenbezogene Daten des Beschwerdeführers auch im Sinne der DSGVO verarbeitet worden vergleiche Artikel 4, Ziffer eins und Ziffer 2, DSGVO) und handelt es sich bei der Beschwerdegegnerin unbestrittenermaßen um die datenschutzrechtlich Verantwortliche (Artikel 4, Ziffer 7, DSGVO). Als Rechtfertigungstatbestand für die verfahrensgegenständliche Veröffentlichung kommt mangels Einwilligung, lebenswichtiger Interessen (§ 1 Abs. 2 DSG) oder sonstiger in der DSGVO vorgesehener Rechtfertigungstatbestände ausschließlich Art. 6 Abs. 1 lit. f DSGVO („berechtigte Interessen“) in Frage.Als Rechtfertigungstatbestand für die verfahrensgegenständliche Veröffentlichung kommt mangels Einwilligung, lebenswichtiger Interessen (Paragraph eins, Absatz 2, DSG) oder sonstiger in der DSGVO vorgesehener Rechtfertigungstatbestände ausschließlich Artikel 6, Absatz eins, Litera f, DSGVO („berechtigte Interessen“) in Frage. Die Datenverarbeitung auf der Rechtsgrundlage von berechtigten Interessen ist dabei unter drei kumulativen Voraussetzungen zulässig:
2. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten
3. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).Die Datenverarbeitung auf der Rechtsgrundlage von berechtigten Interessen ist dabei unter drei kumulativen Voraussetzungen zulässig:
4. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten
5. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche in Bezug auf die insofern vergleichbare Rechtslage nach der Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN). i. Wahrnehmung eines berechtigten Interesses Hierzu hat der EuGH festgehalten, dass in Ermangelung einer Definition dieses Begriffs durch die DSGVO ein breites Spektrum von Interessen grundsätzlich als berechtigt gilt. Wie sich auch aus dem 47. Erwägungsgrund der DSGVO ergibt, hat der Unionsgesetzgeber nicht verlangt, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein muss, damit die von diesem Verantwortlichen vorgenommene Verarbeitung personenbezogener Daten rechtmäßig ist (vgl. Urteil des EuGH vom 4. Oktober 2024, Rs. C‑621/22, Rz. 38-39).Hierzu hat der EuGH festgehalten, dass in Ermangelung einer Definition dieses Begriffs durch die DSGVO ein breites Spektrum von Interessen grundsätzlich als berechtigt gilt. Wie sich auch aus dem 47. Erwägungsgrund der DSGVO ergibt, hat der Unionsgesetzgeber nicht verlangt, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein muss, damit die von diesem Verantwortlichen vorgenommene Verarbeitung personenbezogener Daten rechtmäßig ist vergleiche Urteil des EuGH vom 4. Oktober 2024, Rs. C‑621/22, Rz. 38-39). Die Beschwerdegegnerin ist ein Unternehmen, dessen Unternehmenszweck den Ankauf und Verkauf von Immobilien beinhaltet Die Kontaktaufnahme diente genau diesem Ziel. Folglich hat die Beschwerdegegnerin wirtschaftliche Interessen verfolgt, die nach Ansicht der Datenschutzbehörde als berechtigtes Interesse angesehen werden können. ii. Erforderlichkeit der Verarbeitung Laut EuGH ist die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten „Grundsatz der Datenminimierung“ (vgl. nach neuer Rechtslage: Art. 5 Abs. 1 lit. c DSGVO) zu prüfen (vgl. Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 48 mwN).Laut EuGH ist die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten „Grundsatz der Datenminimierung“ vergleiche nach neuer Rechtslage: Artikel 5, Absatz eins, Litera c, DSGVO) zu prüfen vergleiche Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 48 mwN). Grundsätzlich war die Verwendung der personenbezogenen Daten des Beschwerdeführers für die Erreichung des berechtigten Interesses der Beschwerdegegnerin - möglicher Ankauf einer Immobilie - geeignet und sind auch keine gelinderen, gleich wirksamen Mittel erkennbar. iii. kein Überwiegen der Grundrechte der betroffenen Person Laut EuGH gebietet diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, die wiederum grundsätzlich von den konkreten Umständen des Einzelfalls abhängt. Außerdem können, wie sich aus dem 47. Erwägungsgrund der DSGVO ergibt, die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet (vgl. Urteil des EuGH vom 4. Juli 2023, C‑252/21 Rz. 110-112).Außerdem können, wie sich aus dem 47. Erwägungsgrund der DSGVO ergibt, die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet vergleiche Urteil des EuGH vom 4. Juli 2023, C‑252/21 Rz. 110-112). Wie den Feststellungen zu entnehmen ist, hat der Beschwerdeführer im Rahmen des Inserats einen gut sichtbaren Hinweis angebracht, dass er keine Kontaktaufnahme durch Makler wünscht. Damit konnte der Beschwerdeführer auch vernünftigerweise nicht damit rechnen, dass seine personenbezogenen Daten entgegen diesem ausdrücklichen Wunsch verwendet werden. Damit überwogen die Interessen des Beschwerdeführers die Interessen der Beschwerdegegnerin. iv. Ergebnis Im Ergebnis hat die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt, indem sie dessen personenbezogenen Daten ohne tragenden Eingriffstatbestand verwendet hat. Der Beschwerde war daher gemäß § 24 Abs. 5 DSG stattzugeben und Rechtsverletzung festzustellen.Der Beschwerde war daher gemäß Paragraph 24, Absatz 5, DSG stattzugeben und Rechtsverletzung festzustellen. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.587.686