{'item': '2025-0.757.155'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum01.10.2025 Geschäftszahl2025-0.757.155 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.757.155 vom

1. Oktober 2025 (Verfahrenszahl: DSB-D124.1665/25) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Christian A*** (Beschwerdeführer) vom
2. Juni 2025, gegen den Verein N*** (Erstbeschwerdegegner) und gegen die M*** Österreich GmbH (Zweitbeschwerdegegnerin), vertreten durch die B*** Rechtsanwälte GmbH wegen Verletzung im Recht auf Geheimhaltung wie folgt: - Der Beschwerde wird stattgegeben und festgestellt, dass der Erstbeschwerdegegner und die Zweitbeschwerdegegnerin den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt haben, indem der Erstbeschwerdegegner den Datensatz "Bürobedarf – ergonomischer Arbeitsplatz" sowohl mit Auftraggeber als auch mit dem Vor- und Nachnamen des Beschwerdeführers auf dessen Plattform "vergabe***.at" veröffentlicht hat und die Zweitbeschwerdegegnerin ebenfalls denselben Datensatz auf ihrer Plattform "https://www.***ausschreibungen.co.at" veröffentlicht hat. Rechtsgrundlagen: Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. f, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 5, Absatz eins, Litera c,, Artikel 6, Absatz eins, Litera f,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Sachverhaltsfeststellungen Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
3. Der Beschwerdeführer ist Mitarbeiter des Bundesamts für Ä***. Im Jahr 2024 beschaffte das Bundesamt für Ä*** für ihn einen ergonomischen, höhenverstellbaren Schreibtisch. Beweiswürdigung: Diese Feststellungen beruhen auf dem unstrittigen Vorbringen des Beschwerdeführers in seiner verfahrenseinleitenden Eingabe vom
4. Juni
6. Am
7. November 2024 wurde der vergebene Auftrag „Bürobedarf - ergonomischer Arbeitsplatz“ mit Vor- und Nachnamen des Beschwerdeführers vom Bundesamt für Ä*** im Unternehmensserviceportal (https://www.usp.gv.at/) veröffentlicht. Der verfahrensgegenständliche Datensatz stellt sich wie folgt dar (Formatierung nicht 1:1 wiedergegeben): [Anmerkung Bearbeiter/in: Die an dieser Stelle im Original als Faksimile (grafische Datei) wiedergegebenen Daten mit dem Namen und der genauen Dienststelle des Beschwerdeführers können mit zumutbarem Aufwand nicht pseudonymisiert werden und wurden daher entfernt.] Beweiswürdigung: Diese Feststellung beruht auf einer amtswegigen Abfrage der Website https://ausschreibungen.usp.gv.at/ durch die Datenschutzbehörde (zuletzt abgefragt am
8. September 2025).
9. Der Erstbeschwerdegegner betreibt seit 2019 die Plattform „vergabe***.at“ als zivilgesellschaftliches Projekt, das mehr Transparenz rund um staatliche Auftragsvergaben schaffen soll. Auf „vergabe***.at“ werden offene Daten der Verwaltung zu Ausschreibungen, Auftragsvergaben und direkten Beschaffungen dargestellt. Die auf der Plattform dargestellten Daten stammen aus staatlichen Quellen. Die Aufbereitung der Daten erfolgt täglich automatisch, ohne manuelle Kontrolle oder Intervention. Der verfahrensgegenständliche Datensatz wurde auf der Plattform „vergabe***.at” veröffentlicht. Die Plattform „vergabe***.at” hat den verfahrensgegenständlichen Datensatz während des laufenden Verfahrens vor der Datenschutzbehörde offline genommen. Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus der Stellungnahme des Erstbeschwerdegegners vom
10. September 2025 sowie aus einer amtswegigen Abfrage der Website https://www. vergabe***.at/ durch die Datenschutzbehörde (zuletzt abgerufen am
11. September 2025).
12. Die Zweitbeschwerdegegnerin betreibt die unter http://www.***ausschreibungen.co.at/ abrufbare Plattform, auf der sie Informationen über Ausschreibungen aus den Bereichen Bauwirtschaft, Gebäudeverwaltung und -ausstattung sammelt und unverändert zur Verfügung stellt. Diese Informationen werden von den dazu verpflichteten öffentlichen Auftraggebern und Sektorenauftraggebern auf https://www.data.gv.at/ veröffentlicht (sogenannte „Open Government Data“) und von der Plattform übernommen. Der verfahrensgegenständliche Datensatz wurde am
13. November 2024 von der Zweitbeschwerdegegnerin auf ihrer Plattform veröffentlicht. Die Zweitbeschwerdegegnerin hat den Namen des Beschwerdeführers aus allen Übersichtslisten entfernt, indem sie den gesamten Ausschreibungstitel gelöscht hat. Zudem hat die Zweitbeschwerdegegnerin alle sonstigen relevanten Einträge und URLs, die einen Bezug zum Namen des Beschwerdeführers haben, von der Plattform entfernt. Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus der Stellungnahme der Zweitbeschwerdegegnerin vom
14. August 2025 sowie aus einer amtswegigen Abfrage der Website https://www.***ausschreibungen.co.at/ durch die Datenschutzbehörde (zuletzt abgerufen am
15. September 2025). B. Beschwerdegegenstand Beschwerdegegenstand ist die Frage, ob der Erstbeschwerdegegner und die Zweitbeschwerdegegnerin den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt haben, indem der Erstbeschwerdegegner den Datensatz "Bürobedarf - ergonomischer Arbeitsplatz" sowohl mit Auftraggeber als auch mit dem Vor- und Nachnamen des Beschwerdeführers auf seiner Plattform „vergabe***.at” veröffentlicht hat und die Zweitbeschwerdegegnerin denselben Datensatz auf ihrer Plattform „https://www.***ausschreibungen.co.at/” veröffentlicht hat. C. In rechtlicher Hinsicht folgt daraus: Gemäß § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, sofern daran ein schutzwürdiges Interesse besteht.Gemäß Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, sofern daran ein schutzwürdiges Interesse besteht. Beschränkungen des Recht auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG zur Wahrung lebenswichtiger Interessen des Betroffenen, mit dessen Zustimmung oder zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund einer gesetzlichen Grundlage.Beschränkungen des Recht auf Geheimhaltung sind gemäß Paragraph eins, Absatz 2, DSG zur Wahrung lebenswichtiger Interessen des Betroffenen, mit dessen Zustimmung oder zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur aufgrund einer gesetzlichen Grundlage. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. dazu den Bescheid vom
16. Februar 2025, 2025-0.045.624, RIS).Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen vergleiche dazu den Bescheid vom
17. Februar 2025, 2025-0.045.624, RIS). C.
18. In der Sache Das Bundesamt für Ä*** als eine dem Bundesministerium für O*** unmittelbar nachgeordnete Behörde unterliegt dem Bundesvergabegesetz
19. In der Regel müssen Bund, Länder, Gemeinden oder andere öffentliche Auftraggeber sowie Sektorenauftraggeber ihre Aufträge über ein Vergabeverfahren vergeben. Öffentliche Auftraggeber sind gemäß dem Bundesvergabegesetz 2018 dazu verpflichtet, Aufträge sowohl im Unterschwellen- als auch im Oberschwellenbereich öffentlich bekannt zu machen. Der Erstbeschwerdegegner und die Zweitbeschwerdegegnerin unterliegen nicht dem Bundesvergabegesetz
20. Das Bundesamt für Ä*** hat den verfahrensgegenständlichen Datensatz „Bürobedarf - ergonomischer Arbeitsplatz" mit Vor- und Nachnamen des Beschwerdeführers im Unternehmensserviceportal veröffentlicht. Auch wenn das Unternehmensserviceportal öffentlich ist, sind die Daten aus diesem grundsätzlich einem Geheimhaltungsanspruch zugänglich. Eine generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten wäre nicht mit den europarechtlichen Vorgaben vereinbar (vgl. das Urteil des EuGH vom
21. Dezember 2008, C-73/07, Satakunnan Markkinapörssi und Satamedia, sowie das Erkenntnis des BVwG vom
22. Juli 2020, GZ W211 2221963-1, und vom
23. Februar 2021, GZ W274 2236016-1, und den Bescheid der Datenschutzbehörde vom
24. April 2019, GZ DSB-D123.626/0006-DSB/2018), weshalb die Zulässigkeit der Verarbeitung nach den Bestimmungen des DSG und der DSGVO zu prüfen ist (vgl. zur Rechtslage nach dem DSG 2000 Kotschy in Jahnel [Hrsg.], Datenschutzrecht und E-Government-Jahrbuch 2012, S. 27 [47], das Erkenntnis des BVwG vom
25. Februar 2021, GZ W274 2238717-1, sowie den Bescheid der Datenschutzbehörde vom
26. Januar 2019, GZ DSB-D123.527/0004-DSB/2018).Auch wenn das Unternehmensserviceportal öffentlich ist, sind die Daten aus diesem grundsätzlich einem Geheimhaltungsanspruch zugänglich. Eine generelle Annahme des Nichtvorliegens einer Verletzung schutzwürdiger Geheimhaltungsinteressen für zulässigerweise veröffentlichte Daten wäre nicht mit den europarechtlichen Vorgaben vereinbar vergleiche das Urteil des EuGH vom
27. Dezember 2008, C-73/07, Satakunnan Markkinapörssi und Satamedia, sowie das Erkenntnis des BVwG vom
28. Juli 2020, GZ W211 2221963-1, und vom
29. Februar 2021, GZ W274 2236016-1, und den Bescheid der Datenschutzbehörde vom
30. April 2019, GZ DSB-D123.626/0006-DSB/2018), weshalb die Zulässigkeit der Verarbeitung nach den Bestimmungen des DSG und der DSGVO zu prüfen ist vergleiche zur Rechtslage nach dem DSG 2000 Kotschy in Jahnel [Hrsg.], Datenschutzrecht und E-Government-Jahrbuch 2012, S. 27 [47], das Erkenntnis des BVwG vom
31. Februar 2021, GZ W274 2238717-1, sowie den Bescheid der Datenschutzbehörde vom
32. Januar 2019, GZ DSB-D123.527/0004-DSB/2018). Es ist daher festzuhalten, dass ein schutzwürdiges Geheimhaltungsinteresse des Beschwerdeführers an dem verfahrensgegenständlichen Datensatz besteht. Da im vorliegenden Fall die Offenlegung der personenbezogenen Daten des Beschwerdeführers weder durch eine Zustimmung (Einwilligung) des Beschwerdeführers gedeckt war, noch zur Wahrung seiner lebenswichtigen Interessen erfolgte und auch nicht durch eine gesetzliche Grundlage gedeckt war, bleibt zu prüfen, ob die Offenlegung im überwiegenden berechtigten Interesse eines anderen - hier: des Erstbeschwerdegegners bzw. der Zweitbeschwerdegegnerin - notwendig und erforderlich war. Nach der gefestigten Rechtsprechung des EuGH zu Art. 6 Abs. 1 lit. f DSGVO, welche zur Auslegung des berechtigten Interesses iSd § 1 Abs. 2 DSG herangezogen werden kann, müssen folgende Kriterien erfüllt sein:Nach der gefestigten Rechtsprechung des EuGH zu Artikel 6, Absatz eins, Litera f, DSGVO, welche zur Auslegung des berechtigten Interesses iSd Paragraph eins, Absatz 2, DSG herangezogen werden kann, müssen folgende Kriterien erfüllt sein: Erstens muss vom Verantwortlichen oder Dritten ein berechtigtes Interesse wahrgenommen werden; zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein; drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen. Im vorliegenden Fall scheint das im Rahmen der Stellungnahme im Beschwerdeverfahren erstattete Vorbringen des Erstbeschwerdegegners, der sich als "Social Watchdog" für Transparenz in Politik und Verwaltung sowie für ein Grundrecht auf Zugang zu Informationen von staatlichen Stellen engagiert, ein berechtigtes Interesse an der verfahrensgegenständlichen Verarbeitung (die Veröffentlichung des Datensatzes auf dessen Plattform) zu begründen. Die Zweitbeschwerdegegnerin führte zudem aus, dass sie ein Interesse an der Veröffentlichung des verfahrensgegenständlichen Datensatzes im Hinblick auf die Vernetzung von Auftraggebern und Auftragnehmern habe. Zum Begriff der Erforderlichkeit der Datenverarbeitung hat der VwGH in seiner Entscheidung Ro 2022/04/0031 ausgeführt, dass die Verarbeitung personenbezogener Daten schon aufgrund des Schutzzweckes der DSGVO auf das absolut Notwendige zu beschränken sei. Folglich sei die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist (Rz. 30).Zum Begriff der Erforderlichkeit der Datenverarbeitung hat der VwGH in seiner Entscheidung Ro 2022/04/0031 ausgeführt, dass die Verarbeitung personenbezogener Daten schon aufgrund des Schutzzweckes der DSGVO auf das absolut Notwendige zu beschränken sei. Folglich sei die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Artikel 5, Absatz eins, Litera c, DSGVO verankert ist (Rz. 30). Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann. Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen. Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, -verarbeitung oder -nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt (Rz. 30).Der Grundsatz der Datenminimierung nach Artikel 5, Absatz eins, Litera c, DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann. Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen. Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, -verarbeitung oder -nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt (Rz. 30). Im vorliegenden Fall gibt es keine Anhaltspunkte dafür, dass die Veröffentlichung des Vor- und Nachnamens im Zusammenhang mit der Bekanntgabe eines vergebenen Auftrags eines öffentlichen Auftraggebers zur Zweckerfüllung notwendig war. Demzufolge ist davon auszugehen, dass die Erforderlichkeit der Datenverarbeitung nicht erfüllt ist. Die Datenschutzbehörde kommt vor diesem Hintergrund zu dem Ergebnis, dass sich die verfahrensgegenständlich monierte Datenverarbeitung durch die überschießende Verarbeitung des Vor- und Nachnamens des Beschwerdeführers als rechtswidrig erwiesen hat. Aufgrund der inzwischen erfolgten Entfernung des kompletten Datensatzes von den betreffenden Plattformen kann ein amtswegiger Leistungsauftrag de facto nicht mehr erteilt werden. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.757.155