{'item': '2025-0.902.556'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum18.11.2025 Geschäftszahl2025-0.902.556 Anfechtung beim BVwG/VwGH/VfGHDieses Straferkenntnis ist rechtskräftig. TextGZ: 2025-0.902.556 vom 18. November 2025 (Verfahrenszahl: DSB-D550.1253) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert. Bei dem als N***Social.net pseudonymisierten Dienst handelt es sich um eine sehr große Online-Plattform (very large online platform - VLOP) gemäß Art. 33 der Verordnung (EU) 2022/2065 (Digital Services Act - DSA).]Bei dem als N***Social.net pseudonymisierten Dienst handelt es sich um eine sehr große Online-Plattform (very large online platform - VLOP) gemäß Artikel 33, der Verordnung (EU) 2022 aus 2065, (Digital Services Act - DSA).] Straferkenntnis Beschuldigter: Fritz D***, geb. am **.**.195* Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen:Sie haben als Verantwortlicher im Sinne des Artikel 4, Ziffer 7, der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), Amtsblatt Nummer L 119 vom 04.05.2016 Seite 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen: Sie haben am 16.01.2025 (in der Folge „Tatzeitpunkt I“) sowie am 18.03.2025 (in der Folge „Tatzeitpunkt II“) Teile der vom Bürgermeister der Gemeinde V*** Walter O*** (in der Folge „Betroffener“) gegen Sie erstatteten Privatanzeige auf der Online-Plattform „N***Social.net“ unter Ihrem für jedermann zugänglichen N***Social.net-Profil „Horst D***“ unrechtmäßig veröffentlicht und mit einem Kommentar versehen, um die Öffentlichkeit davon in Kenntnis zu setzen, wie der Bürgermeister einer Gemeinde und deren Initiatoren des Christkindlmarktes gegen Medienvertreter vorgehen, die wohlwollend über caritative Ereignisse berichterstatten. In Ihrem Beitrag waren neben dem Namen des Betroffenen, sein Geburtsdatum und seine Wohnadresse ersichtlich, ohne dass diese zur Zweckerreichung erforderlich waren. Die Veröffentlichung erfolgte entgegen dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. a DSGVO sowie ohne ausreichende Rechtsgrundlage und sohin entgegen Art. 5 Abs. 1 lit. a. iVm Art. 6 Abs. 1 DSGVO.Die Veröffentlichung erfolgte entgegen dem Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera a, DSGVO sowie ohne ausreichende Rechtsgrundlage und sohin entgegen Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, Absatz eins, DSGVO. Verwaltungsübertretung nach: Art. 5 Abs. 1 lit. c DSGVO, Art. 6 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF.Artikel 5, Absatz eins, Litera c, DSGVO, Artikel 6, Absatz eins, in Verbindung mit Artikel 83, Absatz eins, und 5 Litera a, DSGVO Amtsblatt L 2016/119, S. 1, idgF. Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt: Geldstrafe von Euro falls diese uneinbringlich ist, Ersatzfreiheitsstrafe von Gemäß € 80 6 Stunden Art 83 Abs. 5 lit. a DSGVO iVm § 16 Verwaltungsstrafgesetz 1991 – VStGArtikel 83, Absatz 5, Litera a, DSGVO in Verbindung mit Paragraph 16, Verwaltungsstrafgesetz 1991 – VStG Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen:Ferner haben Sie gemäß Paragraph 64, des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen: 10 Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro; Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daherEuro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro;, , Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher 90 Euro Zahlungsfrist: Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden. Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen. Begründung: 1. Folgender entscheidungsrelevanter Sachverhalt steht auf Grund des durchgeführten Beweisverfahrens fest: 1.1. Der Beschuldigte verfügt über das öffentlich zugängliche Profil „Horst D***“ auf der Social-Media-Plattform „N***Social.net“. Der Beschuldigte hat über dieses Profil 381 „Follower“ und veröffentlicht regelmäßig Beiträge unter „P***-Bezirksnachrichten“. Der Beschuldigte bezeichnet sich als Herausgeber und Journalist dieser Zeitung. 1.2. Der Beschuldigte hat am 14.12.2024 im Rahmen des Besuchs eines Weihnachtsmarktes in **** V*** mit seinem Kraftfahrzeug ein Fahrverbot missachtet. Dieser Vorfall wurde vom Bürgermeister der Gemeinde V*** (in der Folge „Betroffener“) den zuständigen Behörden zu Anzeige gebracht und wurde über den Beschuldigten aufgrund dessen eine Verwaltungsstrafe verhängt. 1.3. Der Beschuldigte hat am 16.01.2025 (in der Folge „Tatzeitpunkt I“) sowie am 18.03.2025 (in der Folge „Tatzeitpunkt II“) die gegen ihn erstattete Privatanzeige (darin enthalten das Geburtsdatum, Staatsbürgerschaft sowie Wohnanschrift des Betroffenen samt durch den Beschuldigten durchgeführten Hervorhebungen in Form von roten Rufzeichen und Pfeilen) auf der Social-Media-Plattform „N***Social.net“ unter seinem N***Social.net-Profil „Horst D***“ veröffentlicht und jeweils mit einem Kommentar versehen. Die Veröffentlichung zum Tatzeitpunkt I wurde mit folgendem Kommentar versehen (Formatierung nicht 1:1 übernommen):Die Veröffentlichung zum Tatzeitpunkt römisch eins wurde mit folgendem Kommentar versehen (Formatierung nicht 1:1 übernommen): „Liebe Mitgestalter/Veranstalter des V***er „Christkindlmarktes 2024“ Dieser Anzeige könnt Ihr entnehmen, wie mein persönlicher Einsatz und Zeitaufwand zum Wohl der Allgemeinheit und Öffentlichkeit belohnt, oder auch bestraft werden kann. Es stimmt mich fraglich, wenn ein Bgm. der Veranstaltungsgemeinde Anzeige gegen journalistisch tätige Personen erstattet et.Entweder [sic] ist es ein Beweis von Ohnmacht oder eine Art von Geltungsdran. Ich werde aufgrund des Verhaltens des V***er Bgm. solchen Einladungen in Zukunft eine Absage erteilen. Bitte um Verständnis, HORST D*** – Herausgeber u. Journalist P***-Bezirksnachrichten“ Die Veröffentlichung zum Tatzeitpunkt II wurde mit folgendem Kommentar versehen (Formatierung nicht 1:1 übernommen): Die Veröffentlichung zum Tatzeitpunkt römisch zwei wurde mit folgendem Kommentar versehen (Formatierung nicht 1:1 übernommen): „Zum Auftakt meines Rückblickes auf 3 Jahre GR Tätigkeit die „Heldentat“ von Bgm. O*** Zum Auftakt meines Rückblickes über die Tätigkeiten d. Bürgermeister in den vergangen drei Jahren, möchte ich eine wahre „Heldentat“ d. V***er Bgm. WALTER O*** aufzeigen. Wie ich bereits vor längerer Zeit berichtete, wurde ich für meine journalistische Tätigkeit anlässlich einer weihnachtlichen Veranstaltung im V***er H***park v. Bürgermeister dieser Gemeinde angezeigt u. von der Verwaltungsbehörde zu einer Geldstrafe verurteilt. (Ich verzichtete auf einen Einspruch, da die Behörde dem Gesetz entsprechend handelte). Mir wird jedoch die Vorgangsweise des V***er Bgm. WALTER O*** als „Unverschätmheitauf [sic] höchstem Niveau“ in Erinnerung bleiben. Genauso, wie das Verhalten seiner Gemeindebediensteten gegenüber mir als Journalist und Herausgeber. Auf eine medienbezogene Anfrage im Gemeindeamt erhielt ich die Auskunft „Das geht Dich doch gar nichts an!“ Diese Erlebnisse in V*** müsste eigentlich die Parteispitzen im Land nachdenklich stimmen. Ob WALTER O*** Erfolge für sich verbuchen kann, umd [sic] wenn ja, welche, ist mir nicht bekannt und interessiert mich nicht.“ Die Veröffentlichungen erfolgten seitens des Beschuldigten nach eigenen Angaben jeweils mit dem Ziel, die Öffentlichkeit davon in Kenntnis zu setzen, wie der Bürgermeister einer Gemeinde und deren Initiatoren des Christkindlmarktes gegen Medienvertreter vorgehen, die wohlwollend über caritative Ereignisse berichterstatten. 1.4. Der Beschuldigte hat die veröffentlichten Beiträge kurz nach der Veröffentlichung wieder entfernt. 1.5. Der Betroffene erhob am 15.04.2025 Beschwerde bei der Datenschutzbehörde. Das Verfahren wurde unter der GZ: D124.0963/25 geführt. Mit Bescheid der Datenschutzbehörde vom 20.10.2025, GZ: D124.0963/25; 2025-0.597.508 wurde festgestellt, dass der Beschuldigte den Betroffenen im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt hat, indem er personenbezogenen Daten des Betroffenen - konkret die private Wohnanschrift und das Geburtsdatum - auf der Social-Media-Plattform „N***Social.net“ veröffentlicht hat.1.5. Der Betroffene erhob am 15.04.2025 Beschwerde bei der Datenschutzbehörde. Das Verfahren wurde unter der GZ: D124.0963/25 geführt. Mit Bescheid der Datenschutzbehörde vom 20.10.2025, GZ: D124.0963/25; 2025-0.597.508 wurde festgestellt, dass der Beschuldigte den Betroffenen im Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG verletzt hat, indem er personenbezogenen Daten des Betroffenen - konkret die private Wohnanschrift und das Geburtsdatum - auf der Social-Media-Plattform „N***Social.net“ veröffentlicht hat. 1.6. Mit Aufforderung zur Rechtfertigung vom 29.10.2025; GZ: D550.1253; 2025-0.855.198 wurde das gegenständliche Verwaltungsstrafverfahren eingeleitet. Der Beschuldigte gab im Zuge seiner Rechtfertigung vom 04.11.2025 bekannt, ein Nettoeinkommen von ca. EUR 1.200 zu beziehen. 2. Die Feststellungen werden auf Grund folgender Beweiswürdigung getroffen: 2.1. Die Feststellungen zu Punkt 1.1. ergeben sich einerseits aus einer amtswegigen Abfrage des N***Social.net-Profils des Beschuldigten und aus dem Vorbringen des Betroffenen samt vorgelegter Dokumente im Verfahren zur GZ: D124.0963/25. Als Partei dieses Verfahrens ist dem Beschuldigten der Akteninhalt durchwegs bekannt. 2.2. Vorstehende Feststellungen zu Punkt 1.2. und 1.3. ergeben sich aus den vom Betroffenen im Rahmen des Administrativverfahrens zur GZ: D124.0963/25 vorgelegten Beilagen. Zudem zeigte sich der Beschuldigte im Rahmen seiner Rechtfertigung geständig. Die Feststellung bezüglich des Zwecks der Veröffentlichungen ergibt sich aus der im Rahmen des Administrativverfahrens zur GZ: D124.0963/25 abgegebenen Stellungnahme des Beschuldigten vom 10.07.2025. 2.3. Die Feststellungen zu Punkt 1.4. fußen auf dem Akteninhalt des bei der Datenschutzbehörde geführten Administrativverfahrens zur GZ: D124.0963/25 sowie einer amtswegigen Einsichtnahme in das N***Social.net-Profil des Beschuldigten. Dass die Beiträge gleich nach Veröffentlichung gelöscht wurden ergibt sich aus der Stellungnahme des Beschuldigten vom 10.07.2025 im Administrativverfahren („Was Sie jedoch mehr interessieren dürfte, ist die Tatsache, dass der Beitrag, also die Veröffentlichung der Anzeige in Wort und Bild aus den Kanälen der sozialen Medien längst entfernt wurden. Und zwar gleich nach Veröffentlichung.“). Im Übrigen konnte auch nicht festgestellt werden, dass die Beiträge zu einem späteren Zeitpunkt gelöscht worden wären. 2.4. Die Feststellungen zu Punkt 1.5. fußen auf dem Akteninhalt des bei der Datenschutzbehörde geführten Administrativverfahrens zur GZ: D124.0963/25. 2.5. Die getroffenen Feststellungen zu Punkt 1.5. ergeben sich aus dem gegenständlichen Verwaltungsstrafakt. 3. Rechtlich folgt daraus: 3.1. Zur objektiven Tatseite Gegenständlich hat der Beschuldigte als Verantwortlicher gemäß Art. 4 Z 7 DSGVO sowohl im Tatzeitpunkt I als auch im Tatzeitpunkt II die Privatanzeige des Betroffenen auf der Sozial-Media-Plattform N***Social.net samt Anmerkungen gepostet, um die Öffentlichkeit davon in Kenntnis zu setzen, wie der Bürgermeister einer Gemeinde und deren Initiatoren des Christkindlmarktes gegen Medienvertreter vorgehen, die wohlwollend über caritative Ereignisse berichterstatten.Gegenständlich hat der Beschuldigte als Verantwortlicher gemäß Artikel 4, Ziffer 7, DSGVO sowohl im Tatzeitpunkt römisch eins als auch im Tatzeitpunkt römisch zwei die Privatanzeige des Betroffenen auf der Sozial-Media-Plattform N***Social.net samt Anmerkungen gepostet, um die Öffentlichkeit davon in Kenntnis zu setzen, wie der Bürgermeister einer Gemeinde und deren Initiatoren des Christkindlmarktes gegen Medienvertreter vorgehen, die wohlwollend über caritative Ereignisse berichterstatten. Bei den in den Postings enthaltenen Daten (Name des Betroffenen, Geburtsdatum, Wohnadresse) handelt es sich zweifelsfrei um personenbezogene Daten eines identifizierbaren Betroffenen gemäß Art. 4 Z 1 DSGVO. Das „Posten“ der personenbezogenen Daten in der oben genannten Form erfüllt zudem jedenfalls den Verarbeitungsbegriff des Art. 4 Z 2 DSGVO.Bei den in den Postings enthaltenen Daten (Name des Betroffenen, Geburtsdatum, Wohnadresse) handelt es sich zweifelsfrei um personenbezogene Daten eines identifizierbaren Betroffenen gemäß Artikel 4, Ziffer eins, DSGVO. Das „Posten“ der personenbezogenen Daten in der oben genannten Form erfüllt zudem jedenfalls den Verarbeitungsbegriff des Artikel 4, Ziffer 2, DSGVO. Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig iSd DSGVO zu sein, allen in Art. 5 Abs. 1 DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57).Nach der gefestigten Rechtsprechung des EuGH muss eine Datenverarbeitung, um rechtmäßig iSd DSGVO zu sein, allen in Artikel 5, Absatz eins, DSGVO genannten Grundsätzen entsprechen und darüber hinaus zumindest auf einen Tatbestand bzw. eine Rechtsgrundlage nach Artikel 6, Absatz eins, DSGVO gestützt werden können (siehe bspw. EuGH vom 04.05.2023, C-60/22, Rz 56 und 57). Gemäß Art. 85 Abs. 1 DSGVO bringen die Mitgliedstaaten durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang. Die diesbezügliche Umsetzung ist in der österreichischen Rechtsordnung mit dem sog. „Medienprivileg“ in § 9 DSG erfolgt.Gemäß Artikel 85, Absatz eins, DSGVO bringen die Mitgliedstaaten durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang. Die diesbezügliche Umsetzung ist in der österreichischen Rechtsordnung mit dem sog. „Medienprivileg“ in Paragraph 9, DSG erfolgt. Gemäß § 9 Abs. 1a DSG sind Verantwortliche berechtigt, personenbezogene Daten - auch solche, aus denen politische Meinungen oder religiöse oder weltanschauliche Überzeugungen hervorgehen (vgl. Art. 9 Abs. 1 DSGVO) sowie solche über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (vgl. Art. 10 DSGVO) - zur Wahrung berechtigter Interessen iSd. Art. 6 Abs. 1 lit. f DSGVO zu verarbeiten.Gemäß Paragraph 9, Absatz eins a, DSG sind Verantwortliche berechtigt, personenbezogene Daten - auch solche, aus denen politische Meinungen oder religiöse oder weltanschauliche Überzeugungen hervorgehen vergleiche , Artikel 9, Absatz eins, DSGVO) sowie solche über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln vergleiche Artikel 10, DSGVO) - zur Wahrung berechtigter Interessen iSd. Artikel 6, Absatz eins, Litera f, DSGVO zu verarbeiten. Gegenständlich ist mangels Vorliegens anderer Rechtfertigungsgründe für die Verarbeitung ausschließlich der vom Beschuldigten implizit durch den Zweck der Verarbeitung ins Treffen gebrachte Tatbestand des „berechtigten Interesses“ zu prüfen. Art. 6 Abs. 1 lit. f DSGVO erlaubt die Verarbeitung „normaler“ personenbezogener Daten durch Private im Rahmen eines Gleichordnungsverhältnisses auf Grundlage berechtigter Interessen. Artikel 6, Absatz eins, Litera f, DSGVO erlaubt die Verarbeitung „normaler“ personenbezogener Daten durch Private im Rahmen eines Gleichordnungsverhältnisses auf Grundlage berechtigter Interessen. Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Art. 7 lit. f DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten aufgrund berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO unter drei kumulativen Voraussetzungen zulässig ist (vgl. EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN):Der EuGH hat zur inhaltlich weitgehend übereinstimmenden Vorgängerbestimmung (Artikel 7, Litera f, DS-RL) ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten aufgrund berechtigter Interessen nach Artikel 6, Absatz eins, Litera f, DSGVO unter drei kumulativen Voraussetzungen zulässig ist vergleiche EuGH vom 11.12.2019, Rs C-708/18, Rz 36 mwN): (

1. i)Wahrnehmung eines berechtigten Interesses; (
2. ii)Erforderlichkeit der Verarbeitung und (iii) kein Überwiegen der Rechte und Freiheiten anderer. In diesem Zusammenhang ist auch auf ein rezentes Urteil des EuGH vom 09.01.2025 in der Rs C-394/23 hinzuweisen.
3. i)Zur Wahrnehmung eines berechtigten Interesses Nachdem die Veröffentlichung der beschwerdegegenständlichen Beiträge dem Zweck dient, Informationen, Meinungen oder Ideen des Beschuldigten in der Öffentlichkeit zu äußern bzw. zu verbreiten kann dem Beschuldigten durchaus ein berechtigtes Interesse in Form der Freiheit der Meinungsäußerung gemäß Art. 10 EMRK bzw. Art. 11 EU-GRC zugestanden werden. Art. 11 EU-GRC legt zwei wechselbezügliche Schutzbereiche fest: Einerseits die (aktive) Meinungsäußerungsfreiheit des Sprechers und andererseits die (passive) Informationsfreiheit des Empfängers. Im Zusammenwirken dieser beiden Elemente wird ein Austausch von Information und Meinung im Sinn einer umfassenden Kommunikationsfreiheit gewährleistet.Nachdem die Veröffentlichung der beschwerdegegenständlichen Beiträge dem Zweck dient, Informationen, Meinungen oder Ideen des Beschuldigten in der Öffentlichkeit zu äußern bzw. zu verbreiten kann dem Beschuldigten durchaus ein berechtigtes Interesse in Form der Freiheit der Meinungsäußerung gemäß Artikel 10, EMRK bzw. Artikel 11, EU-GRC zugestanden werden. Artikel 11, EU-GRC legt zwei wechselbezügliche Schutzbereiche fest: Einerseits die (aktive) Meinungsäußerungsfreiheit des Sprechers und andererseits die (passive) Informationsfreiheit des Empfängers. Im Zusammenwirken dieser beiden Elemente wird ein Austausch von Information und Meinung im Sinn einer umfassenden Kommunikationsfreiheit gewährleistet. Dennoch scheitert die Prüfung, wie in der Folge ausgeführt, am Kriterium der Erforderlichkeit und dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO.Dennoch scheitert die Prüfung, wie in der Folge ausgeführt, am Kriterium der Erforderlichkeit und dem Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera c, DSGVO.
4. ii)Zur Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses Bei der Beurteilung, was „erforderlich“ ist, ist zu prüfen, ob die verfolgten berechtigten Interessen der Datenverarbeitung in der Praxis nicht mit anderen Mitteln, die die Grundrechte und Grundfreiheiten der betroffenen Person weniger einschränken, ebenso wirksam erreicht werden können. So hielt der EuGH in Bezug auf die Erforderlichkeit einer Verarbeitung bereits mehrfach fest, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen (vgl. das Urteil des EuGH vom 04.05.2017, C-13/16 sowie vom 09.11.2010, C-92/09 und C-93/09). Bei der Beurteilung, was „erforderlich“ ist, ist zu prüfen, ob die verfolgten berechtigten Interessen der Datenverarbeitung in der Praxis nicht mit anderen Mitteln, die die Grundrechte und Grundfreiheiten der betroffenen Person weniger einschränken, ebenso wirksam erreicht werden können. So hielt der EuGH in Bezug auf die Erforderlichkeit einer Verarbeitung bereits mehrfach fest, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen vergleiche das Urteil des EuGH vom 04.05.2017, C-13/16 sowie vom 09.11.2010, C-92/09 und C-93/09). Das Kriterium der Erforderlichkeit ist eng mit dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO verbunden (vgl. EuGH vom 11.12.2019, C-708/18, Rz 48). Das Kriterium der Erforderlichkeit ist eng mit dem Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera c, DSGVO verbunden vergleiche EuGH vom 11.12.2019, C-708/18, Rz 48). Im gegenständlichen Fall hat der Beschuldigte eine gegen ihn erstattete Anzeige veröffentlicht, welche neben dem Namen des Betroffenen auch dessen Geburtsdatum sowie dessen private Wohnanschrift enthält. Die Datenschutzbehörde verkennt nicht, dass es sich beim Betroffenen als Bürgermeister einer Gemeinde um eine Person des öffentlichen Lebens handelt, gegenüber der ein höheres Maß an (sachlicher) Kritik erlaubt ist. Doch ist die Veröffentlichung der privaten Wohnadresse des Betroffenen (gleiches gilt nach Ansicht der Datenschutzbehörde auch in Hinblick auf sein Geburtsdatum) objektiv nicht erforderlich, um die vom Beschuldigten verfolgten Zwecke zu erreichen. Mit anderen Worten wäre dem vom Beschuldigten in Anspruch genommenen öffentlichen Informationsinteresse auch ohne die Veröffentlichung der privaten Wohnanschrift und des Geburtsdatums des Betroffenen entsprochen worden, insbesondere da der Anzeige zu entnehmen ist, dass es sich um eine Privatanzeige handelt. Die Datenschutzbehörde hat hierbei auch mitberücksichtigt, dass die privaten Wohnanschrift und das Geburtsdatums des Betroffenen vom Beschuldigten in den von ihm veröffentlichten Beiträgen zusätzlich markiert wurden. Dadurch stand nicht mehr die - grundsätzlich zulässige - Kritik an der Person des Betroffenen in seiner Rolle als Bürgermeister im Vordergrund, sondern es wurden dadurch vielmehr private schutzwürdige Informationen über den Betroffenen besonders hervorgehoben und ins Zentrum gerückt. Da die vom Beschwerdegegner durchgeführte Verarbeitung des Geburtsdatums und der privaten Wohnanschrift des Beschwerdeführers in Form ihrer Veröffentlichung auf der Online-Plattform „N***Social.net“ nicht erforderlich war, um die vom Beschuldigten verfolgten Zwecke zu erreichen, erweist sie sich bereits aus diesem Grund als unverhältnismäßig und daher als unrechtmäßig. Die Durchführung des weiteren Prüfschritts (Interessenabwägung) konnte vor diesem Hintergrund unterbleiben. Im Ergebnis hat der Beschuldigte als Verantwortlicher die personenbezogenen Daten des Betroffenen unrechtmäßig verarbeitet. Es liegt keine Rechtsgrundlage für die konkrete Verarbeitung vor und der Beschuldigte missachtete die Grundsätze der Datenverarbeitung. Die objektive Tatseite ist damit erfüllt. 3.2. Zur subjektiven Tatseite Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, das heißt vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können (vgl. EuGH vom 05.12.2023, C-807/21, Rz 68).Der EuGH hat festgehalten, dass nur Verstöße gegen Bestimmungen der DSGVO, die der Verantwortliche schuldhaft, das heißt vorsätzlich oder fahrlässig begeht, zur Verhängung einer Geldbuße führen können vergleiche EuGH vom 05.12.2023, C-807/21, Rz 68). Der EuGH stellt klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt (vgl. EuGH C-807/21, Rz 76).Der EuGH stellt klar, dass ein solches Verschulden bereits vorliegt, wenn der Beschuldigte sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass er gegen die Vorschriften der DSGVO verstößt vergleiche EuGH C-807/21, Rz 76). Umgelegt auf den vorliegenden Fall bedeutet dies Folgendes: Der Beschuldigte hat angegeben, dass er der Annahme war, dass die Veröffentlichung rechtskonform gewesen sei. Im Lichte des erwiesenen Sachverhalts wird daher von der Datenschutzbehörde keine vorsätzliche Tathandlung durch die Beschuldigte angenommen, doch wird in diesem Zusammenhang auf das Erkenntnis des Bundesverwaltungsgerichts vom 08.04.2022 zur GZ: W214 2240128-1 verwiesen, wonach der dortigen Beschwerdeführerin ebenfalls bekannt sein musste, „dass es einschlägige Datenschutzvorschriften gibt, umso mehr, als über die DSGVO bei deren Wirksamwerden im Jahre 2018 breit in der Öffentlichkeit informiert und diskutiert wurde und eine große Anzahl von medialen Beiträgen zu diesem Thema erschienen ist.“ Im Lauf des Ermittlungsverfahrens ergaben sich jedenfalls keine Hinweise darauf, dass dem Beschuldigten an der Verletzung der gegenständlich anzuwendenden Verwaltungsvorschriften kein Verschulden trifft. So hätte bereits ein Aufruf der Website der Datenschutzbehörde genügt, um sich vorweg über die notwendigen Voraussetzungen der Verarbeitung von personenbezogenen Daten sowie die Pflichten als Verantwortliche zu erkundigen (siehe beispielsweise folgende Seiten: https://dsb.gv.at/faqs/besondere-datenkategorien, https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-verantwortlicher). Dadurch ist die subjektive Tatseite ebenfalls erfüllt und es liegt Verschulden in Form von Fahrlässigkeit vor. 4. Zur Strafzumessung ist Folgendes festzuhalten: Der Strafrahmen im konkreten Fall reicht gemäß Art. 83 Abs. 5 DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000.Der Strafrahmen im konkreten Fall reicht gemäß Artikel 83, Absatz 5, DSGVO bis zu einem Betrag in der Höhe von EUR 20.000.000. Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes erschwerend berücksichtigt: - Art, Dauer und Schwere des Verstoßes: Der Betroffene wurde durch den Eingriff durch den Beschuldigten in seinem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Art. 7 und 8 EU-GRC verletzt (Art. 83 Abs. 2 lit. a DSGVO).Art, Dauer und Schwere des Verstoßes: Der Betroffene wurde durch den Eingriff durch den Beschuldigten in seinem Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG sowie die Achtung des Privat- und Familienlebens und das Recht auf Schutz personenbezogener Daten nach Artikel 7, und 8 EU-GRC verletzt (Artikel 83, Absatz 2, Litera a, DSGVO). Bezogen auf den vorliegenden Sachverhalt wurde bei der Strafzumessung Folgendes mildernd berücksichtigt: - Gegen den Beschuldigten lagen bis dato bei der Datenschutzbehörde keine einschlägigen Vorstrafen aufgrund von Verstößen gegen die DSGVO oder des DSG vor. - Mitwirkung im Verwaltungsstrafverfahren: Der Beschuldigte hat im Rahmen des Ermittlungsverfahrens mitgewirkt. Der Beschuldigte räumte überdies die Verletzung ein (Geständnis) und zeigte sich reuig (Art. 83 Abs. 2 lit. k DSGVO).Mitwirkung im Verwaltungsstrafverfahren: Der Beschuldigte hat im Rahmen des Ermittlungsverfahrens mitgewirkt. Der Beschuldigte räumte überdies die Verletzung ein (Geständnis) und zeigte sich reuig (Artikel 83, Absatz 2, Litera k, DSGVO). Der Beschuldigte verfügt über ein monatliches Nettoeinkommen in der Höhe von EUR 1.200. Eines der wesentlichen Ziele der DSGVO ist gemäß Art. 1 Abs. 2 DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Art. 8 EU-GRC.Eines der wesentlichen Ziele der DSGVO ist gemäß Artikel eins, Absatz 2, DSGVO der Schutz von Grundrechten und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten nach Artikel 8, EU-GRC. Der Beschuldigte hat die Grundrechte des Betroffenen, wie oben ausgeführt, verletzt. Die Verhängung der konkreten Geldstrafe ist daher jedenfalls im generalpräventiven Sinne erforderlich, um Verantwortliche, im Hinblick auf Veröffentlichungen auf der Social-Media-Plattform „N***Social.net“ zu sensibilisieren. Die Datenschutzbehörde geht davon aus, dass der Beschuldigte es künftig unterlassen wird, derartige Veröffentlichungen vorzunehmen, insbesondere auch aufgrund der nachträglichen Erkenntnis, dass es sich hierbei um eine Verletzung des Datenschutzrechtes handelt. Daher liegen nach Ansicht der Datenschutzbehörde keine spezialpräventiven Gründe vor. Die konkret verhängte Geldstrafe in Höhe von EUR 80 erscheint daher im Lichte des verwirklichten Tatunwertes, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) in Verbindung mit dem Einkommen und Vermögen des Beschuldigten tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens.Die konkret verhängte Geldstrafe in Höhe von EUR 80 erscheint daher im Lichte des verwirklichten Tatunwertes, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) in Verbindung mit dem Einkommen und Vermögen des Beschuldigten tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens. Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß § 16 Abs. 1 VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Gegenständlich wurden aufgrund der Strafhöhe 6 Stunden festgesetzt.Wenn eine Geldstrafe gegen eine natürliche Person verhängt wird, ist gemäß Paragraph 16, Absatz eins, VStG zugleich für den Fall ihrer Uneinbringlichkeit eine Ersatzfreiheitsstrafe festzusetzen. Die Ersatzfreiheitsstrafe darf dabei das Höchstmaß der für die Verwaltungsübertretung angedrohten Freiheitsstrafe und, wenn keine Freiheitsstrafe angedroht und nicht anderes bestimmt ist, zwei Wochen nicht übersteigen. Gegenständlich wurden aufgrund der Strafhöhe 6 Stunden festgesetzt. Im Ergebnis ist die konkret verhängte Strafe für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Art. 83 Abs. 1 DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden.Im Ergebnis ist die konkret verhängte Strafe für den gegenständlichen Fall wirksam, verhältnismäßig und abschreckend im Sinne des Artikel 83, Absatz eins, DSGVO. Ein (noch) niedrigerer Betrag würde diesen Kriterien einer Geldbuße nicht (mehr) gerecht werden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.902.556