← Österreich

{'item': '2024-0.835.856'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum24.11.2025 Geschäftszahl2024-0.835.856 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist NICHT rechtskräftig. Der Beschwerdeführe

Art 13DSGVO [Stand 1.7.2024, rdb.at], Rz.

60).Artikel 13, Absatz 3, DSGVO verpflichtet lediglich zur Information schlichtweg „vor“ der Weiterverarbeitung und eine Verpflichtung zur Abwägung, welcher Zeitraum zwischen der Information und der Weiterverarbeitung (Millisekunden, Sekunden, Stunden, Tage) liegen sollte, muss laut dem Wortlaut nicht vorgenommen werden vergleiche Illibauer in Knyrim,

Artikel 13, DSGVO [Stand 1.7.2024, rdb.at], Rz.

60). Das Schreiben wurde am

  1. Jänner 2024, sohin am Tag an dem der Verstoß laut dem Beschwerdeführer begonnen habe, per E-Mail versendet (vgl. C.2.). Seitdem werden die Daten gemäß Art. 6 Abs. 1 lit. f DSGVO zur Abwehr von Ansprüchen des Beschwerdeführers und damit zu einem anderen Zweck verarbeitet. Der fließende Übergang bzw. die „juristischen Sekunden“ zwischen dem ursprünglichen Verarbeitungszweck, der Versendung des Schreibens, der Beendigung der Verarbeitung zum ursprünglichen Zweck, der Information und dem Beginn der Verarbeitung zum neuen Zweck, vermag eine Verletzung des Rechts auf Information nach Art. 13 Abs. 3 DSGVO nicht zu begründen.Das Schreiben wurde am
  2. Jänner 2024, sohin am Tag an dem der Verstoß laut dem Beschwerdeführer begonnen habe, per E-Mail versendet vergleiche C.2.). Seitdem werden die Daten gemäß Artikel 6, Absatz eins, Litera f, DSGVO zur Abwehr von Ansprüchen des Beschwerdeführers und damit zu einem anderen Zweck verarbeitet. Der fließende Übergang bzw. die „juristischen Sekunden“ zwischen dem ursprünglichen Verarbeitungszweck, der Versendung des Schreibens, der Beendigung der Verarbeitung zum ursprünglichen Zweck, der Information und dem Beginn der Verarbeitung zum neuen Zweck, vermag eine Verletzung des Rechts auf Information nach Artikel 13, Absatz 3, DSGVO nicht zu begründen. Hier ist nämlich insbesondere zwischen Fällen zu unterscheiden, bei denen die Rechtmäßigkeit der Weiterverarbeitung vom Willen der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO) abhängt, was gegenständlich nicht der Fall ist, da die ursprüngliche Datenverarbeitung nicht auf einer Einwilligung des Beschwerdeführers beruht (sondern auf Art. 6 Abs. 1 lit. b DSGVO, siehe tieferstehend) oder, wie im gegenständlichen Fall, die Rechtmäßigkeit der Weiterverarbeitung zu einem anderen Zweck sich direkt aus Art. 6 Abs. 4 DSGVO ergibt. Eine Auslegung, wonach die Verarbeitung im letzteren Fall nicht rechtmäßig sein kann, wenn nicht zeitgerecht oder ausreichend informiert wurde, ginge zu weit (vgl. Illibauer in Knyrim,

Art 13DSGVO [Stand 1.7.2024, rdb.at], Rz.

58).Hier ist nämlich insbesondere zwischen Fällen zu unterscheiden, bei denen die Rechtmäßigkeit der Weiterverarbeitung vom Willen der betroffenen Person (Artikel 6, Absatz eins, Litera a, DSGVO) abhängt, was gegenständlich nicht der Fall ist, da die ursprüngliche Datenverarbeitung nicht auf einer Einwilligung des Beschwerdeführers beruht (sondern auf Artikel 6, Absatz eins, Litera b, DSGVO, siehe tieferstehend) oder, wie im gegenständlichen Fall, die Rechtmäßigkeit der Weiterverarbeitung zu einem anderen Zweck sich direkt aus Artikel 6, Absatz 4, DSGVO ergibt. Eine Auslegung, wonach die Verarbeitung im letzteren Fall nicht rechtmäßig sein kann, wenn nicht zeitgerecht oder ausreichend informiert wurde, ginge zu weit vergleiche Illibauer in Knyrim,

Artikel 13, DSGVO [Stand 1.7.2024, rdb.at], Rz. 58). Diesen Unterschied hat auch der Vw

GH in dem vom Beschwerdeführer Erkenntnis vom

  1. Mai 2023, Ro 2020/04/0037, erwähnt und hat der VwGH im genannten (tw. veralteten) Erkenntnis auch ausgeführt, dass die teilweise Verletzung der Informationspflicht nach Art. 13 DSGVO nicht automatisch eine „unrechtmäßige Verarbeitung“ iSd Art. 17 Abs. 1 lit. d iVm Art. 5 Abs. 1 lit. a DSGVO zur Folge hat.Diesen Unterschied hat auch der VwGH in dem vom Beschwerdeführer Erkenntnis vom
  2. Mai 2023, Ro 2020/04/0037, erwähnt und hat der VwGH im genannten (tw. veralteten) Erkenntnis auch ausgeführt, dass die teilweise Verletzung der Informationspflicht nach Artikel 13, DSGVO nicht automatisch eine „unrechtmäßige Verarbeitung“ iSd Artikel 17, Absatz eins, Litera d, in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO zur Folge hat. Die Erstbeschwerdegegnerin hat den Beschwerdeführer zur erstmöglichen Gelegenheit über die Weiterverarbeitung und ihren Zweck informiert und damit den Grundsatz der Transparenz der Datenverarbeitung nach Art. 5 Abs. 1 lit. a DSGVO eingehalten. Da die Erstbeschwerdegegnerin den Beschwerdeführer nicht nur über den Umstand der Weiterverarbeitung, sondern auch über den Zweck der Weiterverarbeitung informiert hat, ergibt sich auch iZm dem EuGH Urteil vom
  3. Jänner 2025, Mousse, C-394/23, keine Rechtswidrigkeit der Datenverarbeitung iZm mit dem Recht auf Information, wenn sich die Erstbeschwerdegegnerin auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO stützt.Die Erstbeschwerdegegnerin hat den Beschwerdeführer zur erstmöglichen Gelegenheit über die Weiterverarbeitung und ihren Zweck informiert und damit den Grundsatz der Transparenz der Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, DSGVO eingehalten. Da die Erstbeschwerdegegnerin den Beschwerdeführer nicht nur über den Umstand der Weiterverarbeitung, sondern auch über den Zweck der Weiterverarbeitung informiert hat, ergibt sich auch iZm dem EuGH Urteil vom
  4. Jänner 2025, Mousse, C-394/23, keine Rechtswidrigkeit der Datenverarbeitung iZm mit dem Recht auf Information, wenn sich die Erstbeschwerdegegnerin auf berechtigte Interessen nach Artikel 6, Absatz eins, Litera f, DSGVO stützt. Da somit der Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO eingehalten wurde und da der Beschwerdegegenstand eine Verletzung im Recht auf Löschung ist und nicht im Recht auf Information gemäß Art. 13 DSGVO, kann eine tiefergehende Analyse iZm dem Recht auf Information unterbleiben.Da somit der Grundsatz der Transparenz nach Artikel 5, Absatz eins, Litera a, DSGVO eingehalten wurde und da der Beschwerdegegenstand eine Verletzung im Recht auf Löschung ist und nicht im Recht auf Information gemäß Artikel 13, DSGVO, kann eine tiefergehende Analyse iZm dem Recht auf Information unterbleiben. Nach Art. 5 Abs. 1 lit. b DSGVO („Grundsatz der Zweckbindung“) müssen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Dass die Verarbeitung der Bewerbungsunterlagen zum Zwecke der Bearbeitung der Bewerbung festgelegt, eindeutig und legitim ist, ist evident. Ob (bzw. dass [siehe tieferstehend]) die Weiterverarbeitung vereinbar/kompatibel ist mit dem ursprünglichen Zweck ergibt sich aus Art. 6 Abs. 4 DSGVO (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO [Stand 1.12.2020, rdb.at] Rz. 29).Nach Artikel 5, Absatz eins, Litera b, DSGVO („Grundsatz der Zweckbindung“) müssen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Dass die Verarbeitung der Bewerbungsunterlagen zum Zwecke der Bearbeitung der Bewerbung festgelegt, eindeutig und legitim ist, ist evident. Ob (bzw. dass [siehe tieferstehend]) die Weiterverarbeitung vereinbar/kompatibel ist mit dem ursprünglichen Zweck ergibt sich aus Artikel 6, Absatz 4, DSGVO vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO [Stand 1.12.2020, rdb.at] Rz. 29). Nach Art. 5 Abs. 1 lit. c DSGVO („Grundsatz der Datenminimierung“) muss eine Verarbeitung weiters dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Bei seinem Vorbringen iZm mit dem Bewerbungsprozess durch die Erstbeschwerdegegnerin übersieht der Beschwerdeführer, dass dieser selbst seine personenbezogenen Daten zur Verfügung gestellt hat und damit entschieden hat, welche und wieviele seiner Daten von der Erstbeschwerdegegnerin verarbeitet werden. Auch ergibt sich aus der Stellenanzeige (vgl. C.1.), dass diese lediglich ein Motivationsschreiben, einen Lebenslauf und Zeugnisse, sohin für eine Bewerbung übliche Unterlagen verlangte. Bzgl. der Ausgestaltung dieser verlangten Dokumente, insbesondere welche Daten diese enthalten sollen, wurden von der Erstbeschwerdegegnerin keine Vorgaben gemacht. Das Verlangen dieser drei Urkundentypen und die Verarbeitung der personenbezogenen Daten, mit denen Bewerber*innen diese füllen, ist grundsätzlich angemessen, erheblich und aufs notwendige Maß beschränkt. Anders zu beurteilen wäre das zum Beispiel grundsätzlich, wenn ein:e Verantwortliche:r die politische Zugehörigkeit von Stellenbewerber:innen verlangt und sodann verarbeitet (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim,

Art 5

DSGVO [Stand 7.5.2020, rdb.at] Rz 36).Nach Artikel 5, Absatz eins, Litera c, DSGVO („Grundsatz der Datenminimierung“) muss eine Verarbeitung weiters dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Bei seinem Vorbringen iZm mit dem Bewerbungsprozess durch die Erstbeschwerdegegnerin übersieht der Beschwerdeführer, dass dieser selbst seine personenbezogenen Daten zur Verfügung gestellt hat und damit entschieden hat, welche und wieviele seiner Daten von der Erstbeschwerdegegnerin verarbeitet werden. Auch ergibt sich aus der Stellenanzeige vergleiche , C.1.), dass diese lediglich ein Motivationsschreiben, einen Lebenslauf und Zeugnisse, sohin für eine Bewerbung übliche Unterlagen verlangte. Bzgl. der Ausgestaltung dieser verlangten Dokumente, insbesondere welche Daten diese enthalten sollen, wurden von der Erstbeschwerdegegnerin keine Vorgaben gemacht. Das Verlangen dieser drei Urkundentypen und die Verarbeitung der personenbezogenen Daten, mit denen Bewerber*innen diese füllen, ist grundsätzlich angemessen, erheblich und aufs notwendige Maß beschränkt. Anders zu beurteilen wäre das zum Beispiel grundsätzlich, wenn ein:e Verantwortliche:r die politische Zugehörigkeit von Stellenbewerber:innen verlangt und sodann verarbeitet vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim,

Artikel 5, DSGVO [Stand 7.5.2020, rdb.at] Rz 36).

Auch die Weiterverarbeitung entsprach dem Grundsatz der Datenminimierung. Schließlich werden die Daten nur so lange verarbeitet, wie sie von der Erstbeschwerdegegnerin für die Zwecke der Weiterverarbeitung (Abwehr von Rechtsansprüchen) notwendig sind. Das entspricht 7 Monaten beim Lebenslauf, da Ansprüche nach § 26 Abs. 1 und 5 GlBG iVm § 29 Abs. 1 GlBG nur binnen 6 Monaten gerichtlich geltend gemacht werden können. Der zusätzliche Monat ergibt sich aus dem Postlauf, etc. Bei der Korrespondenz mit dem Beschwerdeführer und den Anhängen (vgl. C.2.) ergibt sich die Dauer von 1 Jahr zum Zweck der Abwehr von Ansprüchen iZm Art. 17 DSGVO aus der sich aus § 24 Abs. 4 DSG ergebenden Präklusionsfrist und zum Zweck der Abwehr der anderen möglichen Ansprüche aus den jeweiligen Verjährungsfristen im Zivilrecht. Zeitlich kann die Datenverarbeitung daher nicht weiter minimiert werden. Dass die Erstbeschwerdegegnerin den Beschwerdeführer hierüber mit nur einem Schreiben vom 24. Jänner 2024 statt mit mehreren Schreiben informiert hat, ist ebenfalls im Sinne der Datenminimierung.Auch die Weiterverarbeitung entsprach dem Grundsatz der Datenminimierung. Schließlich werden die Daten nur so lange verarbeitet, wie sie von der Erstbeschwerdegegnerin für die Zwecke der Weiterverarbeitung (Abwehr von Rechtsansprüchen) notwendig sind. Das entspricht 7 Monaten beim Lebenslauf, da Ansprüche nach Paragraph 26, Absatz eins, und 5 GlBG in Verbindung mit Paragraph 29, Absatz eins, GlBG nur binnen 6 Monaten gerichtlich geltend gemacht werden können. Der zusätzliche Monat ergibt sich aus dem Postlauf, etc. Bei der Korrespondenz mit dem Beschwerdeführer und den Anhängen vergleiche , C.2.) ergibt sich die Dauer von 1 Jahr zum Zweck der Abwehr von Ansprüchen iZm Artikel 17, DSGVO aus der sich aus Paragraph 24, Absatz 4, DSG ergebenden Präklusionsfrist und zum Zweck der Abwehr der anderen möglichen Ansprüche aus den jeweiligen Verjährungsfristen im Zivilrecht. Zeitlich kann die Datenverarbeitung daher nicht weiter minimiert werden. Dass die Erstbeschwerdegegnerin den Beschwerdeführer hierüber mit nur einem Schreiben vom 24. Jänner 2024 statt mit mehreren Schreiben informiert hat, ist ebenfalls im Sinne der Datenminimierung. Im Zusammenhang mit der Rechtmäßigkeit der Verarbeitung ist auszuführen, dass diese iZm der Bewerbung auf Art. 6 Abs. 1 lit. b DSGVO beruht, wie die Erstbeschwerdegegnerin selbst angab. Ein Dienstverhältnis ist ein zwischen Dienstnehmer*in und Dienstgeber*in abgeschlossener Vertrag. Mit seiner Bewerbung befindet sich dieser mögliche zukünftige Dienstvertrag im Stadium der Vertragsanbahnung und damit in einem vorvertraglichen Schuldverhältnis. Eine Bewerbung erfolgt nach der allgemeinen Lebenserfahrung mit dem impliziten Ersuchen, die Bewerbungsunterlagen zu prüfen und den Bewerber im besten Fall einzustellen. Bei dieser Prüfung handelt es sich auf Seiten der Erstbeschwerdegegnerin um die Durchführung einer vorvertraglichen Maßnahme, die notwendig ist und auf Anfrage des Beschwerdeführers erfolgt ist. Im Zusammenhang mit der Rechtmäßigkeit der Verarbeitung ist auszuführen, dass diese iZm der Bewerbung auf Artikel 6, Absatz eins, Litera b, DSGVO beruht, wie die Erstbeschwerdegegnerin selbst angab. Ein Dienstverhältnis ist ein zwischen Dienstnehmer*in und Dienstgeber*in abgeschlossener Vertrag. Mit seiner Bewerbung befindet sich dieser mögliche zukünftige Dienstvertrag im Stadium der Vertragsanbahnung und damit in einem vorvertraglichen Schuldverhältnis. Eine Bewerbung erfolgt nach der allgemeinen Lebenserfahrung mit dem impliziten Ersuchen, die Bewerbungsunterlagen zu prüfen und den Bewerber im besten Fall einzustellen. Bei dieser Prüfung handelt es sich auf Seiten der Erstbeschwerdegegnerin um die Durchführung einer vorvertraglichen Maßnahme, die notwendig ist und auf Anfrage des Beschwerdeführers erfolgt ist. IZm der Weiterverarbeitung hat sodann eine Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO zu erfolgen. Da weder eine Einwilligung noch eine Rechtsvorschrift vorliegt, sind dabei in Art. 6 Abs. 4 DSGVO normierten Voraussetzungen zu überprüfen. Um dem Zweckbindungsgrundsatz nicht zu umgehen, ist Abs. 4 grundsätzlich restriktiv auszulegen (vgl. Buchner/Petri in Kühling/Buchner im Kommentar zur DS-GVO, Art. 6 DSGVO, Rz. 186 und 187). Die in Art. 6 Abs. 4 DSGVO aufgezählten Prüfkriterien stellen eine verbindliche Ergänzung des Zweckbindungsgrundsatzes aus Art. 5 Abs. 1 lit. b DSGVO dar (vgl. Herbst in Kühling/Buchner im Kommentar zur DS-GVO, Art. 5 Rz. 45).IZm der Weiterverarbeitung hat sodann eine Kompatibilitätsprüfung nach Artikel 6, Absatz 4, DSGVO zu erfolgen. Da weder eine Einwilligung noch eine Rechtsvorschrift vorliegt, sind dabei in Artikel 6, Absatz 4, DSGVO normierten Voraussetzungen zu überprüfen. Um dem Zweckbindungsgrundsatz nicht zu umgehen, ist Absatz 4, grundsätzlich restriktiv auszulegen vergleiche Buchner/Petri in Kühling/Buchner im Kommentar zur DS-GVO, Artikel 6, DSGVO, Rz. 186 und 187). Die in Artikel 6, Absatz 4, DSGVO aufgezählten Prüfkriterien stellen eine verbindliche Ergänzung des Zweckbindungsgrundsatzes aus Artikel 5, Absatz eins, Litera b, DSGVO dar vergleiche Herbst in Kühling/Buchner im Kommentar zur DS-GVO, Artikel 5, Rz. 45). In Art. 6 Abs. 4 DSGVO finden sich fünf Kriterien, welche bei rechtmäßiger Prüfung zur Vereinbarkeit und damit zur Einhaltung des Zweckbindungsgrundsatzes führen: In Artikel 6, Absatz 4, DSGVO finden sich fünf Kriterien, welche bei rechtmäßiger Prüfung zur Vereinbarkeit und damit zur Einhaltung des Zweckbindungsgrundsatzes führen:

  1. a)Jede Verbindung zwischen dem Erhebungszweck und den Zwecken der beabsichtigten Weiterverarbeitung,
  2. b)den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden,
  3. c)die Art der personenbezogenen Daten, insb. ob Daten gem. Art. 9 oder Art. 10 verarbeitet werden, die Art der personenbezogenen Daten, insb. ob Daten gem. Artikel 9, oder Artikel 10, verarbeitet werden,
  4. d)die möglichen Folgen der beabsichtigen Weiterverarbeitung für die betroffenen Personen und
  5. e)das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können. Je überraschender und unvorhersehbarer eine weitere Verarbeitung für den Betroffenen ist, desto eher spricht dies für eine Unvereinbarkeit der Zwecke (vgl. Buchner/Petri in Kühling/Buchner, Datenschutz-Grundverordnung, Art. 6 Rz. 188). Die vom Beschwerdeführer der Bewerbung beigefügten Anhänge, in denen dieser ankündigt, allenfalls diverse rechtliche Schritte gegen die Erstbeschwerdegegnerin einzuleiten (vgl. C.1.), sind gegenständlich ursächlich für die Reaktion der Erstbeschwerdegegnerin gewesen (vgl. C.2.). Es liegt im Rahmen der allgemeinen Lebenserfahrung, dass diese zur Verteidigung ihrer rechtlichen Interessen auf dessen im Rahmen des Vertragsverhältnisses erhobenen Daten zurückgreifen wird und war dementsprechend für diesen unter Einbeziehung der vernünftigen Erwartungen auch vorhersehbar. Dabei war auch zu berücksichtigen, dass keine personenbezogenen Daten besonderer Kategorie nach Art. 9 oder 10 DSGVO verarbeitet worden sind, was der Beschwerdeführer auch nicht vorgebracht hätte.Je überraschender und unvorhersehbarer eine weitere Verarbeitung für den Betroffenen ist, desto eher spricht dies für eine Unvereinbarkeit der Zwecke vergleiche Buchner/Petri in Kühling/Buchner, Datenschutz-Grundverordnung, Artikel 6, Rz. 188). Die vom Beschwerdeführer der Bewerbung beigefügten Anhänge, in denen dieser ankündigt, allenfalls diverse rechtliche Schritte gegen die Erstbeschwerdegegnerin einzuleiten vergleiche , C.1.), sind gegenständlich ursächlich für die Reaktion der Erstbeschwerdegegnerin gewesen vergleiche , C.2.). Es liegt im Rahmen der allgemeinen Lebenserfahrung, dass diese zur Verteidigung ihrer rechtlichen Interessen auf dessen im Rahmen des Vertragsverhältnisses erhobenen Daten zurückgreifen wird und war dementsprechend für diesen unter Einbeziehung der vernünftigen Erwartungen auch vorhersehbar. Dabei war auch zu berücksichtigen, dass keine personenbezogenen Daten besonderer Kategorie nach Artikel 9, oder 10 DSGVO verarbeitet worden sind, was der Beschwerdeführer auch nicht vorgebracht hätte. Vorstehende Erwägungen gelten auch für die Weiterleitung der personenbezogenen Daten an die Zweibeschwerdegegnerin als deren externer Datenschutzbeauftragte und Rechtsbeistand. Hierdurch sind die Daten weder an einen größeren Personenkreis weitergeleitet noch exzessiv verwendet worden, sondern lediglich zum Zweck einer zielgerichteten Beantwortung der Schreiben des Beschwerdeführers durch Expert:innen an diese übermittelt worden. Von der Erstbeschwerdegegnerin ist hierbei die am wenigsten eingriffsintensivste, und somit zweckadäquateste Methode zur Beantwortung der Schreiben des Beschwerdeführers gewählt worden. Auch ein Verstoß gegen das Prüfkriterium Art. 6 Abs. 4 lit. e DSGVO liegt nicht vor, weil Rechtsanwält:innen aufgrund der Rechtsanwaltsordnung der Verschwiegenheitspflicht unterliegen (vgl. § 9 Abs. 2 RAO) bzw. (externe) Datenschutzbeauftragte nach Art. 38 Abs 5 DSGVO bei der Erfüllung ihrer Aufgaben an die Wahrung der Geheimhaltung und Vertraulichkeit gebunden sind. Vorstehende Erwägungen gelten auch für die Weiterleitung der personenbezogenen Daten an die Zweibeschwerdegegnerin als deren externer Datenschutzbeauftragte und Rechtsbeistand. Hierdurch sind die Daten weder an einen größeren Personenkreis weitergeleitet noch exzessiv verwendet worden, sondern lediglich zum Zweck einer zielgerichteten Beantwortung der Schreiben des Beschwerdeführers durch Expert:innen an diese übermittelt worden. Von der Erstbeschwerdegegnerin ist hierbei die am wenigsten eingriffsintensivste, und somit zweckadäquateste Methode zur Beantwortung der Schreiben des Beschwerdeführers gewählt worden. Auch ein Verstoß gegen das Prüfkriterium Artikel 6, Absatz 4, Litera e, DSGVO liegt nicht vor, weil Rechtsanwält:innen aufgrund der Rechtsanwaltsordnung der Verschwiegenheitspflicht unterliegen vergleiche Paragraph 9, Absatz 2, RAO) bzw. (externe) Datenschutzbeauftragte nach Artikel 38, Absatz 5, DSGVO bei der Erfüllung ihrer Aufgaben an die Wahrung der Geheimhaltung und Vertraulichkeit gebunden sind. Als Zwischenergebnis hält die Datenschutzbehörde fest, dass der neue Zweck mit dem ursprünglichen Zweck vereinbar und die Abänderung zulässig ist und damit auch der Grundsatz der Zweckbindung in Art. 5 Abs. 1 lit. b DSGVO eingehalten worden ist. Im nächsten Schritt zu prüfen, ob sich die Erstbeschwerdegegnerin auf einen Erlaubnistatbestand gemäß Art. 6 Abs. 1 DSGVO für die geänderte Verarbeitung, hier konkret auf Art. 6 Abs. 1 lit. f DSGVO, berufen kann.Als Zwischenergebnis hält die Datenschutzbehörde fest, dass der neue Zweck mit dem ursprünglichen Zweck vereinbar und die Abänderung zulässig ist und damit auch der Grundsatz der Zweckbindung in Artikel 5, Absatz eins, Litera b, DSGVO eingehalten worden ist. Im nächsten Schritt zu prüfen, ob sich die Erstbeschwerdegegnerin auf einen Erlaubnistatbestand gemäß Artikel 6, Absatz eins, DSGVO für die geänderte Verarbeitung, hier konkret auf Artikel 6, Absatz eins, Litera f, DSGVO, berufen kann. Die Datenverarbeitung auf Grundlage von „berechtigten Interessen“ ist unter drei kumulativen Voraussetzungen zulässig:
  6. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden,
  7. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. das Urteil des EuGH vom 11. Dezember 2019, C-708/18 Rz 40 mwN).Die Datenverarbeitung auf Grundlage von „berechtigten Interessen“ ist unter drei kumulativen Voraussetzungen zulässig:
  8. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden,
  9. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche das Urteil des EuGH vom 11. Dezember 2019, C-708/18 Rz 40 mwN).
  10. i)Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden Die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen stellen ein berechtigtes Interesse dar (siehe dazu auch das Urteil des EuGH vom 17. Juni 2021, C-597/19 Rz 108 ff bzw. vgl. oben). Dies insbesondere auch im gegenständlichen Fall, da der Beschwerdeführer allfällige rechtliche Schritte ankündigt. Durch die Ankündigung des Beschwerdeführers wird die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen, welche grundsätzlich nicht ausreichen würde (vgl. den Bescheid der Datenschutzbehörde DSB-D123.085/0003-DSB/2018) zu einer greifbaren.Die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen stellen ein berechtigtes Interesse dar (siehe dazu auch das Urteil des EuGH vom 17. Juni 2021, C-597/19 Rz 108 ff bzw. vergleiche oben). Dies insbesondere auch im gegenständlichen Fall, da der Beschwerdeführer allfällige rechtliche Schritte ankündigt. Durch die Ankündigung des Beschwerdeführers wird die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen, welche grundsätzlich nicht ausreichen würde vergleiche den Bescheid der Datenschutzbehörde DSB-D123.085/0003-DSB/2018) zu einer greifbaren.
  11. ii)Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und Die Verarbeitung der gegenständlichen Daten (Lebenslauf, Korrespondenz mit Beschwerdeführer, Bewerbungsunterlagen) ist zur Abwehr der vom Beschwerdeführer allenfalls geltend gemachten Ansprüche erforderlich, da der Erstbeschwerdegegnerin sonst bei ihrer rechtlichen Verteidigung Beweismittel fehlen könnten. iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse Ein besonders schwerer Eingriff in die Rechte des Beschwerdeführers ist nicht erkennbar. Demgegenüber steht das Interesse der Erstbeschwerdegegnerin, geltend gemachte Ansprüche des Beschwerdeführers abzuwehren, welche dieser, an Konditionen geknüpft, bereits in seiner Bewerbung ankündigt (vgl. C.1.), weshalb dieser grundsätzlich nach den vernünftigen Lebenserwartungen auch damit rechnen musste, dass diese seine Daten zur Abwehr der angekündigten Ansprüche verarbeiten wird. Auch die datenminimierenden Maßnahmen (vgl. oben, insbesondere die Löschung der personenbezogenen Daten, sobald die jeweiligen Ansprüche nicht mehr geltend gemacht werden können) wirken sich zugunsten der Erstbeschwerdegegnerin aus. Demgegenüber steht das Interesse der Erstbeschwerdegegnerin, geltend gemachte Ansprüche des Beschwerdeführers abzuwehren, welche dieser, an Konditionen geknüpft, bereits in seiner Bewerbung ankündigt vergleiche , C.1.), weshalb dieser grundsätzlich nach den vernünftigen Lebenserwartungen auch damit rechnen musste, dass diese seine Daten zur Abwehr der angekündigten Ansprüche verarbeiten wird. Auch die datenminimierenden Maßnahmen vergleiche oben, insbesondere die Löschung der personenbezogenen Daten, sobald die jeweiligen Ansprüche nicht mehr geltend gemacht werden können) wirken sich zugunsten der Erstbeschwerdegegnerin aus. Damit überwiegen im gegenständlichen Fall die Interessen der Erstbeschwerdegegnerin gegenüber den Interessen des Beschwerdeführers. Somit waren die Datenverarbeitungen (Ursprüngliche Verarbeitung zur Bearbeitung der Bewerbung; Weiterverarbeitung zur Abwehr allfällig vom Beschwerdeführer geltend gemachter Ansprüche) rechtmäßig iSd Art. 6 Abs. 1 DSGVO iVm Art. 5 Abs. 1 lit. a DSGVO. Deshalb besteht auch keine Löschungsverpflichtung nach Art. 17 Abs. 1 lit. d DSGVO, wonach personenbezogene Daten bei unrechtmäßiger Verarbeitung zu löschen sind.Somit waren die Datenverarbeitungen (Ursprüngliche Verarbeitung zur Bearbeitung der Bewerbung; Weiterverarbeitung zur Abwehr allfällig vom Beschwerdeführer geltend gemachter Ansprüche) rechtmäßig iSd Artikel 6, Absatz eins, DSGVO in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO. Deshalb besteht auch keine Löschungsverpflichtung nach Artikel 17, Absatz eins, Litera d, DSGVO, wonach personenbezogene Daten bei unrechtmäßiger Verarbeitung zu löschen sind. Auch nach Art. 17 Abs. 1 lit. a DSGVO liegt kein Anspruch des Beschwerdeführers auf Löschung seiner personenbezogenen Daten vor bzw. wurden diese aus dieser Verpflichtung heraus teilweise bereits gelöscht (Lebenslauf). Dies deshalb, da die personenbezogenen Daten für die Zwecke, für die sie auf sonstiger Weise verarbeitet wurden, noch notwendig sind (vgl. oben die nicht abgelaufenen Verjährungsfristen) bzw. eben bereits aufgrund ihrer nicht mehr vorliegenden Notwendigkeit gelöscht worden sind (Lebenslauf). Die Löschungspflichten nach Art. 17 Abs. 1 lit. b, e und f DSGVO sind nicht einschlägig.Auch nach Artikel 17, Absatz eins, Litera a, DSGVO liegt kein Anspruch des Beschwerdeführers auf Löschung seiner personenbezogenen Daten vor bzw. wurden diese aus dieser Verpflichtung heraus teilweise bereits gelöscht (Lebenslauf). Dies deshalb, da die personenbezogenen Daten für die Zwecke, für die sie auf sonstiger Weise verarbeitet wurden, noch notwendig sind vergleiche oben die nicht abgelaufenen Verjährungsfristen) bzw. eben bereits aufgrund ihrer nicht mehr vorliegenden Notwendigkeit gelöscht worden sind (Lebenslauf). Die Löschungspflichten nach Artikel 17, Absatz eins, Litera b, e, und f DSGVO sind nicht einschlägig. Bzgl. dem „Widerspruch“ des Beschwerdeführers nach Art. 21 DSGVO hat eine betroffene Person u.a. das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen eine grundsätzlich rechtmäßige Verarbeitung ihrer personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Eine besondere beim Beschwerdeführer gelegene Situation ist gegenständlich nicht ersichtlich und nimmt Art. 21 Abs. 1 S. 2 DSGVO vom Recht auf Widerspruch Verarbeitungen, welche der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen [Anmerkung Bearbeiter/in: vermutliches Redaktionsversehen; zu ergänzen wohl: „dienen,“] aus. Könnte man beispielsweise der Verarbeitung von Beweismitteln widersprechen, wäre gerichtlichen und behördlichen Verfahren jede Grundlage entzogen. Daher trifft auch Art. 17 Abs. 1 lit. c DSGVO nicht zu. Bzgl. dem „Widerspruch“ des Beschwerdeführers nach Artikel 21, DSGVO hat eine betroffene Person u.a. das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen eine grundsätzlich rechtmäßige Verarbeitung ihrer personenbezogenen Daten, die aufgrund von Artikel 6, Absatz eins, Litera e, oder f DSGVO erfolgt, Widerspruch einzulegen. Eine besondere beim Beschwerdeführer gelegene Situation ist gegenständlich nicht ersichtlich und nimmt Artikel 21, Absatz eins, S. 2 DSGVO vom Recht auf Widerspruch Verarbeitungen, welche der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen [Anmerkung Bearbeiter/in: vermutliches Redaktionsversehen; zu ergänzen wohl: „dienen,“] aus. Könnte man beispielsweise der Verarbeitung von Beweismitteln widersprechen, wäre gerichtlichen und behördlichen Verfahren jede Grundlage entzogen. Daher trifft auch Artikel 17, Absatz eins, Litera c, DSGVO nicht zu. Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers von der Erstbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Art. 17 Abs. 1 lit. a bis f DSGVO besteht und im Übrigen Art. 17 Abs. 1 DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO), was gegenständlich der Fall ist.Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers von der Erstbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Artikel 17, Absatz eins, Litera a, bis f DSGVO besteht und im Übrigen Artikel 17, Absatz eins, DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Artikel 17, Absatz 3, Litera e, DSGVO), was gegenständlich der Fall ist. Im Ergebnis war die Beschwerde gegen die Erstbeschwerdegegnerin spruchgemäß abzuweisen. D.3. Zur Zweitbeschwerdegegnerin: Die Erwägungen und Ausführungen in D.2. im Verhältnis Beschwerdeführer – Erstbeschwerdegegnerin ab der Weiterverarbeitung lassen sich auch auf das Verhältnis Beschwerdeführer - Zweitbeschwerdegegnerin sinngemäß übertragen. Die Zweitbeschwerdegegnerin hat die personenbezogenen Daten des Beschwerdeführers dementsprechend rechtmäßig von der Erstbeschwerdegegnerin erhalten und verarbeitet diese ebenso rechtmäßig im Interesse der Erstbeschwerdegegnerin nach Art. 6 Abs. 1 lit. f DSGVO. Hinzu kommt bei der Zweitbeschwerdegegnerin das Interesse, ihren Vertrag mit der Erstbeschwerdegegnerin zu erfüllen.Die Zweitbeschwerdegegnerin hat die personenbezogenen Daten des Beschwerdeführers dementsprechend rechtmäßig von der Erstbeschwerdegegnerin erhalten und verarbeitet diese ebenso rechtmäßig im Interesse der Erstbeschwerdegegnerin nach Artikel 6, Absatz eins, Litera f, DSGVO. Hinzu kommt bei der Zweitbeschwerdegegnerin das Interesse, ihren Vertrag mit der Erstbeschwerdegegnerin zu erfüllen. Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers auch von der Zweitbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Art. 17 Abs. 1 lit. a bis f DSGVO besteht und im Übrigen Art. 17 Abs. 1 DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wie hier der Fall (Art. 17 Abs. 3 lit. e DSGVO).Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers auch von der Zweitbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Artikel 17, Absatz eins, Litera a, bis f DSGVO besteht und im Übrigen Artikel 17, Absatz eins, DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wie hier der Fall (Artikel 17, Absatz 3, Litera e, DSGVO). Im Ergebnis war die Beschwerde gegen die Zweitbeschwerdegegnerin spruchgemäß abzuweisen. Insgesamt war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2024.0.835.856

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.