DSGVO, Rz 1 (Stand 1.7.2024, rdb.at).Gemäß Artikel 13, DSGVO treffen einen Verantwortlichen bei der Erhebung von personenbezogenen Daten umfangreiche Informationsverpflichtungen. Dies dient der Erfüllung des in der DSGVO stark verankerten Transparenzgrundsatzes, welcher voraussetzt, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und bereitgestellt wird vergleiche ErwGr. 58 der DSGVO). Transparenz ist als Teil des Grundsatzes in Artikel 5, Absatz eins, Litera a, (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz) normiert und bestimmt nicht nur die weitere Handhabe von Betroffenenrechten, sondern steht als Verpflichtung über der gesamten DSGVO, insb. in welcher Form mit betroffenen Personen kommuniziert und wie eine faire Verarbeitung ihrer personenbezogenen Daten und die Durchsetzung ihrer Rechte gewährleistet werden soll (Illibauer in Knyrim,
Art. 13 Abs. 1 lit. a DSGVO normiert die ausdrückliche Verpflichtung zur Bekanntgabe des Namens und der Kontaktdaten des Verantwortlichen. Im Rahmen einer betroffenenfreundlichen Auslegung dieser Passage muss man zwangsläufig zu dem Ergebnis kommen, dass diese Transparenzverpflichtung auch für das Vorliegen einer gemeinsamen Verantwortung besteht, da sich die betroffene Person bei Fehlen einer solch essenziellen Information kein wahrheitsgemäßes und umfassendes Bild der Verarbeitung machen kann.Artikel 13, Absatz eins, Litera a, DSGVO normiert die ausdrückliche Verpflichtung zur Bekanntgabe des Namens und der Kontaktdaten des Verantwortlichen. Im Rahmen einer betroffenenfreundlichen Auslegung dieser Passage muss man zwangsläufig zu dem Ergebnis kommen, dass diese Transparenzverpflichtung auch für das Vorliegen einer gemeinsamen Verantwortung besteht, da sich die betroffene Person bei Fehlen einer solch essenziellen Information kein wahrheitsgemäßes und umfassendes Bild der Verarbeitung machen kann. Gemäß Art. 26 Abs. 2 Satz 2 DSGVO haben gemeinsam Verantwortliche einer betroffenen Person auch das wesentliche der Vereinbarung, die sie untereinander zur Aufteilung der Pflichten getroffen haben, zur Verfügung zu stellen. Die Modalitäten dafür sind in der DSGVO nicht näher geregelt, allerdings wird davon auszugehen sein, dass die Art. 26 Vereinbarung zusammen mit der Bekanntgabe der gemeinsamen Verantwortung nach Art 13 und 14 DSGVO zur Verfügung zu stellen ist (Wyrobek in Knyrim,
DSGVO, Rz 38 (Stand 1.6.2021, rdb.at).Gemäß Artikel 26, Absatz 2, Satz 2 DSGVO haben gemeinsam Verantwortliche einer betroffenen Person auch das wesentliche der Vereinbarung, die sie untereinander zur Aufteilung der Pflichten getroffen haben, zur Verfügung zu stellen. Die Modalitäten dafür sind in der DSGVO nicht näher geregelt, allerdings wird davon auszugehen sein, dass die Artikel 26, Vereinbarung zusammen mit der Bekanntgabe der gemeinsamen Verantwortung nach Artikel 13, und 14 DSGVO zur Verfügung zu stellen ist (Wyrobek in Knyrim,
Im vorliegenden Fall wurden die BF überhaupt nicht über das Vorliegen einer gemeinsamen Verantwortung und demzufolge auch nicht über die Aufteilung der jeweiligen Pflichten informiert. Soweit die BG eingewendet haben, sie hätten dies im Laufe des Verfahrens auf der Webseite der T*** Sozialpartnerschaft inzwischen entsprechend klargestellt, ist anzumerken, dass diese am Tag des Abschlusses des gegenständlichen Verfahrens noch immer die Information aufweist, dass die drei BG getrennt voneinander Verantwortliche wären (https://t***sozialpartnerschaft.at/, abgerufen am 7. November 2025 um 11:39). Darüber hinaus ist nach der Judikatur des Verwaltungsgerichtshofs das Recht auf Information kein antragsbedürftiges Recht, welches im Nachhinein nach § 24 Abs. 6 DSGVO saniert werden könnte (vgl. dazu VwGH vom 6. März 2024, Ro 2021/04/0030, Rz 78).Darüber hinaus ist nach der Judikatur des Verwaltungsgerichtshofs das Recht auf Information kein antragsbedürftiges Recht, welches im Nachhinein nach Paragraph 24, Absatz 6, DSGVO saniert werden könnte vergleiche dazu VwGH vom 6. März 2024, Ro 2021/04/0030, Rz 78). D.1.3. In der Sache Zusammengefasst liegt somit für die verfahrensgegenständliche Datenverarbeitung durch die BG eine gemeinsame Verantwortung iSd. Art. 26 DSGVO vor. Da die BF darüber nicht entsprechend informiert wurden und auch eine nachträglich erteilte Information keine Beseitigung der Rechtsverletzung bewirkt hätte, liegt letztendlich ein Verstoß gegen Art. 13 DSGVO durch die BG vor.Zusammengefasst liegt somit für die verfahrensgegenständliche Datenverarbeitung durch die BG eine gemeinsame Verantwortung iSd. Artikel 26, DSGVO vor. Da die BF darüber nicht entsprechend informiert wurden und auch eine nachträglich erteilte Information keine Beseitigung der Rechtsverletzung bewirkt hätte, liegt letztendlich ein Verstoß gegen Artikel 13, DSGVO durch die BG vor. Der Beschwerde war daher in diesem Punkt stattzugeben. D.2. Zu Spruchpunkt 2 Gemäß Art. 17 Abs. 1 lit. a hat eine betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.Gemäß Artikel 17, Absatz eins, Litera a, hat eine betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Der Zweck der Übermittlung des Identitätsnachweises durch den BF 1 bestand darin, sich zu identifizieren und damit seine Berechtigung für das Stellen des Auskunftsantrags nachzuweisen. Der Zweck der Identitätsfeststellung ist als erfüllt anzusehen, sobald sich der Verantwortliche vergewissert hat, dass der Antrag tatsächlich von einer berechtigten Person kommt. Die BG 3 hätte also die Daten aus dem Identitätsnachweis des BF 1 nach Authentifizierung der Anfrage zu löschen gehabt. Der Beschwerde war daher in diesem Punkt stattzugeben. Die weiteren Daten des BF 1 sind von den oben getätigten Ausführungen nicht betroffen, da dieser nach wie vor Mitglied der BG 3 ist. Die damit einhergehenden Zwecke der Datenverarbeitung liegen daher zum Zeitpunkt des Abschlusses dieses Verfahrens noch vor, sodass eine Löschung dieser Daten zum gegenwärtigen Zeitpunkt nicht in Frage kommt. Insofern besteht auch kein Raum für eine Stattgabe im Zusammenhang mit den vom BF 1 monierten übermäßig langen Speicherfristen. Eine Beschwerde nach Art. 77 DSGVO zielt auf den individuellen Rechtsschutz einer betroffenen Person ab. Da die weitere Speicherung der Daten des BF 1 wie in diesem Absatz festgehalten weiterhin erforderlich ist, besteht zum gegenwärtigen Zeitpunkt auch kein Raum für eine Stattgabe der Beschwerde in diesem Punkt.Die weiteren Daten des BF 1 sind von den oben getätigten Ausführungen nicht betroffen, da dieser nach wie vor Mitglied der BG 3 ist. Die damit einhergehenden Zwecke der Datenverarbeitung liegen daher zum Zeitpunkt des Abschlusses dieses Verfahrens noch vor, sodass eine Löschung dieser Daten zum gegenwärtigen Zeitpunkt nicht in Frage kommt. Insofern besteht auch kein Raum für eine Stattgabe im Zusammenhang mit den vom BF 1 monierten übermäßig langen Speicherfristen. Eine Beschwerde nach Artikel 77, DSGVO zielt auf den individuellen Rechtsschutz einer betroffenen Person ab. Da die weitere Speicherung der Daten des BF 1 wie in diesem Absatz festgehalten weiterhin erforderlich ist, besteht zum gegenwärtigen Zeitpunkt auch kein Raum für eine Stattgabe der Beschwerde in diesem Punkt. Die BG 3 wird allerdings im Lichte ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO die von ihr gewählten Speicherfristen ohnehin in regelmäßigen Abständen zu prüfen und gegebenenfalls anzupassen haben.Die BG 3 wird allerdings im Lichte ihrer Rechenschaftspflicht nach Artikel 5, Absatz 2, DSGVO die von ihr gewählten Speicherfristen ohnehin in regelmäßigen Abständen zu prüfen und gegebenenfalls anzupassen haben. Die BG 1 und die BG 2 verarbeiten zum Zeitpunkt des Abschlusses dieses Verfahrens keine Daten des BF mehr, weswegen eine Verletzung im Recht auf Löschung ebenfalls nicht vorliegen kann. D.3. Zu Spruchpunkt 3 Der Leistungsauftrag stützt sich auf Art. 58 Abs. 2 lit. c und lit. d DSGVO. Eine Frist von 2 Wochen erscheint angemessen um dem Leistungsauftrag nachzukommen, da sich der dafür notwendige Aufwand in engen Grenzen hält.Der Leistungsauftrag stützt sich auf Artikel 58, Absatz 2, Litera c und Litera d, DSGVO. Eine Frist von 2 Wochen erscheint angemessen um dem Leistungsauftrag nachzukommen, da sich der dafür notwendige Aufwand in engen Grenzen hält. D.4 Zu Spruchpunkt 4 D.4.1. Zur behaupteten Verletzung im Recht auf Geheimhaltung Nach der Rechtsprechung des Verwaltungsgerichtshofs zählt die lückenlose Einhaltung der Informationspflichten nicht zu den in Art. 6 Abs. 1 DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung. Das bedeutet, dass nicht jede Verletzung der Informationspflichten zur Folge hat, dass die Verarbeitung personenbezogener Art. 5 bzw. Art. 6 DSGVO verletzt und somit unrechtmäßig ist. Dies wäre nur dann der Fall, wenn die Willensbildung einer betroffenen Person durch die fehlende Information beeinträchtigt wäre oder wenn die betroffene Person berechtigt wäre, sich faktisch der Datenerhebung zu entziehen, wie dies beispielsweise bei einer Videoüberwachung im öffentlichen Raum der Fall ist (VwGH vom 6. März 2024, Ro 2021/04/0030, Rz 78). Nach der Rechtsprechung des Verwaltungsgerichtshofs zählt die lückenlose Einhaltung der Informationspflichten nicht zu den in Artikel 6, Absatz eins, DSGVO genannten Gründen für die Rechtmäßigkeit der Verarbeitung. Das bedeutet, dass nicht jede Verletzung der Informationspflichten zur Folge hat, dass die Verarbeitung personenbezogener Artikel 5, bzw. Artikel 6, DSGVO verletzt und somit unrechtmäßig ist. Dies wäre nur dann der Fall, wenn die Willensbildung einer betroffenen Person durch die fehlende Information beeinträchtigt wäre oder wenn die betroffene Person berechtigt wäre, sich faktisch der Datenerhebung zu entziehen, wie dies beispielsweise bei einer Videoüberwachung im öffentlichen Raum der Fall ist (VwGH vom 6. März 2024, Ro 2021/04/0030, Rz 78). Im gegenständlichen Fall gelangt die DSB auf Grund der vorliegenden Umstände beweiswürdigend zum Ergebnis, dass die fehlende Information alleine noch keine Verletzung im Recht auf Geheimhaltung indiziert, da die Verarbeitung der personenbezogenen Daten der BF nicht auf deren Einwilligung beruhte und auch keine ex ante Möglichkeit des Entziehens wie zB bei einer Videoüberwachung im öffentlichen Raum gegeben war. Daher war also zu prüfen, ob die Verarbeitung auf einen der Tatbestände des Art. 6 Abs. 1 DSGVO gestützt werden kann.Daher war also zu prüfen, ob die Verarbeitung auf einen der Tatbestände des Artikel 6, Absatz eins, DSGVO gestützt werden kann. Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß § 1 Abs. 2 DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist.Beschränkungen des Anspruchs auf Geheimhaltung sind gemäß Paragraph eins, Absatz 2, DSG dann zulässig, wenn personenbezogene Daten im lebenswichtigen Interesse des Betroffenen verwendet werden, der Betroffene seine Zustimmung (bzw. in der Terminologie der DSGVO: Einwilligung) erteilt hat, wenn eine qualifizierte gesetzliche Grundlage für die Verwendung besteht, oder wenn die Verwendung durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt ist. Wie festgestellt, haben die BF keine Einwilligung zur gegenständlichen Datenverarbeitung erteilt und es liegt auch keine qualifizierte gesetzliche Grundlage vor. Es kommt allerdings der Erlaubnistatbestand „berechtigte Interessen Dritter“ in Betracht, weshalb in weiterer Folge eine Bewertung der berechtigten Interessen des Beschwerdeführers und Dritter (insbesondere der Zweitbeschwerdegegner) zu erfolgen hat und sind jene Interessen sowie möglichen Folgen für den Beschwerdeführer (als betroffene Personen) zu berücksichtigen, die sich durch die gegenständliche Verarbeitung ergeben. Demnach ist die Verarbeitung auf der Rechtsgrundlage „berechtigte Interessen“ unter drei kumulativen Voraussetzungen zulässig:
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.