{'item': '2025-0.320.021'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum25.11.2025 Geschäftszahl2025-0.320.021 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.320.021 vom

1. November 2025 (Verfahrenszahl: DSB-D124.0498/25) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von A*** GmbH (Beschwerdeführerin), rechtsfreundlich vertreten durch B*** & C*** Rechtsanwälte GmbH vom
2. Februar 2025 gegen die N*** GmbH (Erstbeschwerdegegnerin) und Fritz O*** (Zweitbeschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt: - Die Beschwerde wird als unbegründet abgewiesen. Rechtsgrundlagen: Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Sachverhaltsfeststellungen Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
3. Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung im Sinne des GmbHG mit Sitz in T***. An der Beschwerdeführerin ist die D*** - Versicherungsvermittlung GmbH beteiligt. Letztere Gesellschaft erwarb im Wege eines Bestbieterverfahrens das gesamte Unternehmen der insolventen E*** GmbH (Beschluss vom
4. Juli 2023 des Landesgerichtes T***; Insolvenzeröffnung) und veräußerte es an die Beschwerdeführerin weiter. Darunter auch die gesamten Kundendaten. Die Kundenkartei der Beschwerdeführerin umfasst etwa 500 000 E-Mail-Adressen. Beweiswürdigung: Die Feststellungen beruhen auf dem unstrittigen Vorbringen der Beschwerdeführerin vom
5. Februar 2025 und den in Kopie beigelegten Kaufverträgen vom
6. August 2023 und vom
7. September
9. Die Erstbeschwerdegegnerin ist eine Gesellschaft mit beschränkter Haftung im Sinne des GmbHG mit Sitz in L***. Der Zweitbeschwerdegegner ist ehemaliger Geschäftsführer der E*** GmbH und seit
10. August 2023 Geschäftsführer der Erstbeschwerdegegnerin. Beweiswürdigung: Diese Feststellung beruht auf dem Vorbringen der Beschwerdeführerin vom
11. Februar 2025 und wurde weder von der Erstbeschwerdegegnerin noch von dem Zweitbeschwerdegegner bestritten.
12. Die Erstbeschwerdegegnerin hat in Zusammenwirken mit dem Zweitbeschwerdegegner zumindest am
13. Jänner 2025,
14. Februar 2025,
15. Februar 2025 und
16. Februar 2025 E-Mails an die erworbenen Kundenemailadressen für ihre eigenen Zwecke gesendet. Beweiswürdigung: Diese Feststellung, dass die Erstbeschwerdegegnerin in Zusammenwirken mit dem Zweitbeschwerdegegner die E-Mails an den jeweiligen Tagen versendet hat, ergibt sich daraus, dass der Zweitbeschwerdegegner Geschäftsführer der Erstbeschwerdegegnerin ist. In seiner Eingabe vom
17. März 2025 legt er selbst dar, dass die verfahrensgegenständlichen Kundendaten (E-Mail-Adressen) auf seinem Computer als ehemaliger Geschäftsführer der E*** GmbH gespeichert waren und die Erstbeschwerdegegnerin diese Daten dann für die E-Mail-Zusendungen benutzt hat. B. Beschwerdegegenstand Beschwerdegegenstand ist die Frage, ob die Erstbeschwerdegegnerin und der Zweitbeschwerdegegner das Recht der Beschwerdeführerin auf Geheimhaltung verletzt haben, indem sie die Kundendaten (E-Mailadressen der zugekauften Kunden) der Beschwerdeführerin verwendeten, um E-Mails für ihre eigenen Zwecke zu versenden. C. In rechtlicher Hinsicht folgt daraus: C.
18. Zur Qualifikation der Beschwerdeführerin Wie festgestellt handelt es sich bei der Beschwerdeführerin um eine juristische Person. Gemäß § 4 Abs. 1 DSG gelten die Bestimmungen der DSGVO und des DSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Gemäß Paragraph 4, Absatz eins, DSG gelten die Bestimmungen der DSGVO und des DSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten natürlicher Personen sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten natürlicher Personen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Nach dem Willen des Gesetzgebers sind die einfachgesetzlichen Bestimmungen des DSG, darunter auch die Beschwerde nach § 24 DSG, daher auf den Schutz natürlicher Personen beschränkt.Nach dem Willen des Gesetzgebers sind die einfachgesetzlichen Bestimmungen des DSG, darunter auch die Beschwerde nach Paragraph 24, DSG, daher auf den Schutz natürlicher Personen beschränkt. Die Datenschutzbehörde hat jedoch bereits mehrfach ausgesprochen, dass § 1 DSG auch juristische Personen schützt. Eine Auslegung der einfachgesetzlichen Bestimmungen - insbesondere der §§ 4 und 24 DSG - dahingehend, nur natürlichen Personen die Möglichkeit einer Beschwerdeerhebung vor der Datenschutzbehörde einzuräumen, juristischen Personen hingegen nicht, würde diesen Bestimmungen vor dem Hintergrund des § 1 DSG einen gleichheits- und damit verfassungswidrigen Inhalt unterstellen. Es kann dem Gesetzgeber nämlich nicht unterstellt werden, dass dieser ohne nachvollziehbaren Grund juristische Personen im Rahmen der Verfolgung ihrer verfassungsgesetzlich gewährleisteten Rechte grob nachteilig anders behandeln wollte als natürliche Personen (siehe den Bescheid vom
19. Mai 2020, GZ 2020-0.191.240, mwN). Es erscheint verfassungsrechtlich geboten, sämtlichen Grundrechtsberechtigten die effektive Durchsetzung ihrer Grundrechtsansprüche zu ermöglichen (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 Rz 7; vgl. BVwG
20. April 2024, W214 2253376-1/23E, W214 2253225-1/23E, mit Verweis auf Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)² § 24 Rz 4 [Stand 1.2.2022, rdb.at]).Die Datenschutzbehörde hat jedoch bereits mehrfach ausgesprochen, dass Paragraph eins, DSG auch juristische Personen schützt. Eine Auslegung der einfachgesetzlichen Bestimmungen - insbesondere der Paragraphen 4 und 24 DSG - dahingehend, nur natürlichen Personen die Möglichkeit einer Beschwerdeerhebung vor der Datenschutzbehörde einzuräumen, juristischen Personen hingegen nicht, würde diesen Bestimmungen vor dem Hintergrund des Paragraph eins, DSG einen gleichheits- und damit verfassungswidrigen Inhalt unterstellen. Es kann dem Gesetzgeber nämlich nicht unterstellt werden, dass dieser ohne nachvollziehbaren Grund juristische Personen im Rahmen der Verfolgung ihrer verfassungsgesetzlich gewährleisteten Rechte grob nachteilig anders behandeln wollte als natürliche Personen (siehe den Bescheid vom
21. Mai 2020, GZ 2020-0.191.240, mwN). Es erscheint verfassungsrechtlich geboten, sämtlichen Grundrechtsberechtigten die effektive Durchsetzung ihrer Grundrechtsansprüche zu ermöglichen (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph eins, Rz 7; vergleiche BVwG
22. April 2024, W214 2253376-1/23E, W214 2253225-1/23E, mit Verweis auf Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)² Paragraph 24, Rz 4 [Stand 1.2.2022, rdb.at]). Auch der VfGH hat in seiner Entscheidung vom
23. März 2024, Zl. E 3436/2023-16 (Rz 26), zum Ausdruck gebracht, dass dieser die Rechtsmeinung der Datenschutzbehörde hierzu teilt und führte Folgendes aus: „Der Verfassungsgerichtshof hat keinen Zweifel, dass die Grundrechtsbestimmung in § 1 DSG nicht nur natürliche Personen, sondern auch juristische Personen als Grundrechtsträger erfassen (zB VfSlg. 19.673/2012). Daran hat die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
24. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. 2016 L 119, 1 (aber auch das im Gefolge erlassene Datenschutz-Anpassungsgesetz 2018, BGBl. I 120/2017) nichts geändert.“„Der Verfassungsgerichtshof hat keinen Zweifel, dass die Grundrechtsbestimmung in Paragraph eins, DSG nicht nur natürliche Personen, sondern auch juristische Personen als Grundrechtsträger erfassen (zB VfSlg. 19.673 aus 2012,). Daran hat die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
25. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), Amtsblatt 2016 L 119, 1 (aber auch das im Gefolge erlassene Datenschutz-Anpassungsgesetz 2018, Bundesgesetzblatt Teil eins, 120 aus 2017,) nichts geändert.“ Ebenso schließt sich das BVwG in seinem Erkenntnis zu GZ W214 2253376-1/23E bzw. W214 2253225-1/23E vom
26. April 2024 dieser rechtlichen Auffassung - trotz vorheriger davon divergierender Judikatur (vgl. Erkenntnis zu GZ W298 2261568-1/16E vom
27. September 2023) - an.Ebenso schließt sich das BVwG in seinem Erkenntnis zu GZ W214 2253376-1/23E bzw. W214 2253225-1/23E vom
28. April 2024 dieser rechtlichen Auffassung - trotz vorheriger davon divergierender Judikatur vergleiche Erkenntnis zu GZ W298 2261568-1/16E vom
29. September 2023) - an. Dass es dem nationalen Gesetzgeber möglich ist, ein rein nationales Konzept zum Schutze personenbezogener Daten juristischer Personen vorzusehen, wurde vom EuGH bejaht (Urteil vom
30. Dezember 2020, C-620/19, Rz 47), sodass die o.a. Rechtsprechung der Datenschutzbehörde damit nicht im Widerspruch steht. Juristischen Personen steht daher das Grundrecht auf Geheimhaltung ihrer Daten sowie grundsätzlich das Recht auf Auskunft, Richtigstellung und Löschung zu (vgl. § 1 DSG).Dass es dem nationalen Gesetzgeber möglich ist, ein rein nationales Konzept zum Schutze personenbezogener Daten juristischer Personen vorzusehen, wurde vom EuGH bejaht (Urteil vom
31. Dezember 2020, C-620/19, Rz 47), sodass die o.a. Rechtsprechung der Datenschutzbehörde damit nicht im Widerspruch steht. Juristischen Personen steht daher das Grundrecht auf Geheimhaltung ihrer Daten sowie grundsätzlich das Recht auf Auskunft, Richtigstellung und Löschung zu vergleiche Paragraph eins, DSG). Im Ergebnis ist daher festzuhalten, dass die Beschwerdeführerin als juristische Person in jenem Umfang, in welchem dies auch einer natürlichen Person möglich wäre - bei Vorliegen eines rein nationalen Kontextes - aktiv legitimiert ist, eine Beschwerde gemäß § 24 DSG vor der Datenschutzbehörde zu erheben, sofern sie eine Verletzung der durch § 1 DSG gewährleisteten Rechte behauptet. Dies ist im gegenständlichen Fall in Bezug auf die geltend gemachte Verletzung im Recht auf Geheimhaltung vorliegend.Im Ergebnis ist daher festzuhalten, dass die Beschwerdeführerin als juristische Person in jenem Umfang, in welchem dies auch einer natürlichen Person möglich wäre - bei Vorliegen eines rein nationalen Kontextes - aktiv legitimiert ist, eine Beschwerde gemäß Paragraph 24, DSG vor der Datenschutzbehörde zu erheben, sofern sie eine Verletzung der durch Paragraph eins, DSG gewährleisteten Rechte behauptet. Dies ist im gegenständlichen Fall in Bezug auf die geltend gemachte Verletzung im Recht auf Geheimhaltung vorliegend. C.
32. Zum Begriff „personenbezogene Daten“ „Personenbezogene Daten“ gemäß Art. 4 Z 1 DSGVO sind jedenfalls alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.„Personenbezogene Daten“ gemäß Artikel 4, Ziffer eins, DSGVO sind jedenfalls alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Der Begriff der „Information“ nach Art. 4 Z 1 DSGVO ist grundsätzlich weit zu verstehen und fallen darunter „sowohl im Kontext verwendete persönliche Informationen wie Identifikationsmerkmale (zB Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (zB Meinungen, Motive, Wünsche, Überzeugungen und Werturteile), als auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt“ (Klar/Kühling in Kühling/Buchner, DS-GVO Kommentar