← Österreich

{'item': '2025-0.968.031'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum03.12.2025 Geschäftszahl2025-0.968.031 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2025-0.968.031 vom

  1. Dezember 2025 (Verfahrenszahl: DSB-D124.3813/25) [Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.] BESCHEID SPRUCH Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Huberta A*** (Beschwerdeführerin) vom
  2. Oktober 2025 gegen Franz N*** (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt: - Die Beschwerde wird als unbegründet abgewiesen. Rechtsgrundlagen: Art. 4, Art. 9 Abs. 1 und Abs. 2 lit. e, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 9, Absatz eins und Absatz 2, Litera e,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF. BEGRÜNDUNG A. Sachverhaltsfeststellungen Aufgrund des durchgeführten Ermittlungsverfahrens, in dem den Verfahrensparteien die Möglichkeit zur Stellungnahme gewährt wurde, wird der nachfolgende Sachverhalt festgestellt.
  3. Am
  4. Oktober 2025 brachte die Beschwerdeführerin eine Beschwerde bei der Datenschutzbehörde ein. Darin führte sie aus, dass sie durch die Weiterleitung ihres anonymen Profils auf der Website von „D***Zeitung“ durch den Beschwerdegegner in einer WhatsApp-Nachricht an eine dritte Person eindeutig mit ihrer realen Identität in Verbindung gebracht worden sei. Dadurch seien ihre Gesundheitsdaten einer dritten Person offengelegt worden. Beweiswürdigung: Diese Feststellung beruht auf der Ersteingabe der Beschwerdeführerin vom
  5. Oktober
  7. Die Beschwerdeführerin hat auf der Website von „D***Zeitung” ein Forum mit dem Titel „[Anmerkung Bearbeiter/in: genaue Bezeichnung aus Gründen der Pseudonymisierung entfernt, enthält die Erkrankung ADHS] ” eröffnet. Da der Beschwerdegegner und die Beschwerdeführerin früher im persönlichen Kontakt standen und er ihr Follower ist, war ihm bewusst, dass das Pseudonym „HUBERTA***” der Beschwerdeführerin gehört. Da er ihr Follower ist, wurde ihm der Forumseintrag mit ihrem Pseudonym angezeigt. Beweiswürdigung: Die Feststellungen beruhen einerseits auf den unstrittigen Eingaben der Verfahrensparteien, einer amtswegigen Recherche auf der Website „d***zeitung.at” sowie dem übermittelten Screenshot des Forumseintrags der Beschwerdeführerin in der Stellungnahme des Beschwerdegegners vom
  8. November
  10. Am
  11. Oktober 2025 versendete der Beschwerdegegner eine WhatsApp-Nachricht mit folgendem Inhalt an eine gemeinsame Bekannte: „Die Huberta hat eine ADHS Diagnose bekommen? xD“, zusammen mit dem Link zum verfahrensgegenständlichen Forumseintrag. Beweiswürdigung: Diese Feststellung beruht auf dem Screenshot der WhatsApp-Nachricht vom
  12. Oktober 2025, der der Ersteingabe der Beschwerdeführerin beigefügt war. Der Beschwerdegegner hat dies nicht bestritten. B. Beschwerdegegenstand Ausgehend vom Beschwerdevorbringen ist Beschwerdegegenstand die Frage, ob die Beschwerdeführerin durch die Weiterleitung ihres Profils auf der Website „D***Zeitung“ und zusammenhängend damit die Nachricht „Die Huberta hat eine ADHS-Diagnose bekommen? xD“ durch den Beschwerdegegner an eine dritte Person in ihrem Recht auf Geheimhaltung verletzt wurde. C. In rechtlicher Hinsicht folgt daraus: C.
  13. Zur Qualifikation des Forumseintrags als personenbezogene Daten „Personenbezogene Daten“ gemäß Art. 4 Z 1 DSGVO sind jedenfalls alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.„Personenbezogene Daten“ gemäß Artikel 4, Ziffer eins, DSGVO sind jedenfalls alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Der Begriff der „Information“ nach Art. 4 Z 1 DSGVO ist grundsätzlich weit zu verstehen und fallen darunter „sowohl im Kontext verwendete persönliche Informationen wie Identifikationsmerkmale (zB Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (zB Meinungen, Motive, Wünsche, Überzeugungen und Werturteile), als auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt“ (Klar/Kühling in Kühling/Buchner, DS-GVO Kommentar

(2017), Rz 8 ff. zu Art. 4). Auch Wirtschaftsdaten sind personenbezogene Daten (VfSlg 12.228/1989, 12.880/1991, 16.369/2001).Der Begriff der „Information“ nach Artikel 4, Ziffer eins, DSGVO ist grundsätzlich weit zu verstehen und fallen darunter „sowohl im Kontext verwendete persönliche Informationen wie Identifikationsmerkmale (zB Name, Anschrift und Geburtsdatum), äußere Merkmale (wie Geschlecht, Augenfarbe, Größe und Gewicht) oder innere Zustände (zB Meinungen, Motive, Wünsche, Überzeugungen und Werturteile), als auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt“ (Klar/Kühling in Kühling/Buchner, DS-GVO Kommentar
(2017), Rz 8 ff. zu Artikel 4,). Auch Wirtschaftsdaten sind personenbezogene Daten (VfSlg 12.228 aus 1989,, 12.880 aus 1991,, 16.369 aus 2001,). Der EuGH hat in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt (vgl. das Urteil des EuGH vom
  1. Dezember 2017, Rs Nowak, C-434/16). Entsprechend der Judikatur des EuGH ist der Begriff der personenbezogenen Daten somit weit auszulegen.Der EuGH hat in Bezug auf Artikel 2, Litera a, der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt vergleiche das Urteil des EuGH vom
  2. Dezember 2017, Rs Nowak, C-434/16). Entsprechend der Judikatur des EuGH ist der Begriff der personenbezogenen Daten somit weit auszulegen. Fraglich ist jedoch, für wen die Person identifizierbar sein muss, damit ein Datum als personenbezogen gilt. Dazu führt Erwägungsgrund 26 der DSGVO aus, dass es für die Qualifikation eines Datenbestandes als personenbezogene Daten nicht notwendig ist, dass der Verantwortliche selbst die Identifizierung durchführen kann, sondern es genügt, dass irgendein Dritter nach allgemeinem Ermessen diese wahrscheinlich durchführen kann, wobei Kosten und zeitlicher Aufwand ebenso zu berücksichtigen sind wie die jeweils verfügbare Technologie und die technologische Entwicklung (vgl. auch Klabunde in Ehmann/Selmayr, DS-GVO, Kommentar2 [2018], Art. 4 Rn 17; vgl. dazu ebenfalls das Urteil des EuGH vom
  3. Oktober 2016, C-582/14).Fraglich ist jedoch, für wen die Person identifizierbar sein muss, damit ein Datum als personenbezogen gilt. Dazu führt Erwägungsgrund 26 der DSGVO aus, dass es für die Qualifikation eines Datenbestandes als personenbezogene Daten nicht notwendig ist, dass der Verantwortliche selbst die Identifizierung durchführen kann, sondern es genügt, dass irgendein Dritter nach allgemeinem Ermessen diese wahrscheinlich durchführen kann, wobei Kosten und zeitlicher Aufwand ebenso zu berücksichtigen sind wie die jeweils verfügbare Technologie und die technologische Entwicklung vergleiche , auch Klabunde in Ehmann/Selmayr, DS-GVO, Kommentar2 [2018], Artikel 4, Rn 17; vergleiche dazu ebenfalls das Urteil des EuGH vom
  4. Oktober 2016, C-582/14). Vor diesem Hintergrund ist im vorliegenden Fall davon auszugehen, dass die Beschwerdeführerin durch die Veröffentlichung des Forumseintrags unter dem Profilnamen „HUBERTA***“ mit Angabe von Geschlecht, Alter und Diagnose für den Beschwerdegegner jedenfalls identifizierbar war. Somit handelt es sich bei dem veröffentlichten Forumseintrag um personenbezogene Daten der Beschwerdeführerin im Sinne des Art. 4 Z 1 DSGVO.Vor diesem Hintergrund ist im vorliegenden Fall davon auszugehen, dass die Beschwerdeführerin durch die Veröffentlichung des Forumseintrags unter dem Profilnamen „HUBERTA***“ mit Angabe von Geschlecht, Alter und Diagnose für den Beschwerdegegner jedenfalls identifizierbar war. Somit handelt es sich bei dem veröffentlichten Forumseintrag um personenbezogene Daten der Beschwerdeführerin im Sinne des Artikel 4, Ziffer eins, DSGVO. C.
  5. Zu Art. 9 Abs. 2 lit. e DSGVOC.
  6. Zu Artikel 9, Absatz 2, Litera e, DSGVO Gemäß Art. 9 Abs. 2 lit. e DSGVO gilt Abs. 1 leg. cit. (welcher die Verarbeitung von sensiblen bzw. „besonderen Kategorien“ von Daten untersagt), dann nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat.Gemäß Artikel 9, Absatz 2, Litera e, DSGVO gilt Absatz eins, leg. cit. (welcher die Verarbeitung von sensiblen bzw. „besonderen Kategorien“ von Daten untersagt), dann nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. Unter „Öffentlichkeit“ ist dabei nach Kastelitz/Hötzendorfer/Tschohl die Allgemeinheit (ein individuell nicht bestimmbarer Personenkreis) zu verstehen, wie bei frei im Internet oder über die Medien verbreiteten Daten. Die betroffene Person muss die Daten offensichtlich, dh durch eigenen (bewussten) Willensakt, öffentlich gemacht haben, was zB bei Pressemitteilungen und Interviews des Betroffenen mit Medien der Fall ist und nach allen Umständen des Einzelfalls zu beurteilen ist (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 9 DSGVO Rn 41 [Stand 7.5.2020, rdb.at], mwN auf Kampert in Sydow, Europäische Datenschutzgrundverordnung2 [2017], Art 9 Rz 32).Unter „Öffentlichkeit“ ist dabei nach Kastelitz/Hötzendorfer/Tschohl die Allgemeinheit (ein individuell nicht bestimmbarer Personenkreis) zu verstehen, wie bei frei im Internet oder über die Medien verbreiteten Daten. Die betroffene Person muss die Daten offensichtlich, dh durch eigenen (bewussten) Willensakt, öffentlich gemacht haben, was zB bei Pressemitteilungen und Interviews des Betroffenen mit Medien der Fall ist und nach allen Umständen des Einzelfalls zu beurteilen ist vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 9, DSGVO Rn 41 [Stand 7.5.2020, rdb.at], mwN auf Kampert in Sydow, Europäische Datenschutzgrundverordnung2 [2017], Artikel 9, Rz 32). Auch nach Schiff setzt die Annahme, dass die betroffene Person die sensiblen Daten „offensichtlich“ öffentlich gemacht hat, einen unzweideutigen, bewussten Willensakt voraus, der final auf die Entäußerung des Datums in die Öffentlichkeit gerichtet ist. Für die Beurteilung der Frage, ob die Anforderungen der lit. e vorliegen, soll es dabei auf die Sicht eines objektiven Dritten ankommen. Dies wird dem hohen Schutzniveau des Artikel 9 jedoch nur dann gerecht, wenn Zweifel zu Lasten des Verantwortlichen oder Auftragsverarbeiters gehen (vgl. dazu Schiff in Ehmann/Selmayr, DS-GVO, Kommentar2 [2018], Art. 9 Rn 45, mwN).Auch nach Schiff setzt die Annahme, dass die betroffene Person die sensiblen Daten „offensichtlich“ öffentlich gemacht hat, einen unzweideutigen, bewussten Willensakt voraus, der final auf die Entäußerung des Datums in die Öffentlichkeit gerichtet ist. Für die Beurteilung der Frage, ob die Anforderungen der Litera e, vorliegen, soll es dabei auf die Sicht eines objektiven Dritten ankommen. Dies wird dem hohen Schutzniveau des Artikel 9 jedoch nur dann gerecht, wenn Zweifel zu Lasten des Verantwortlichen oder Auftragsverarbeiters gehen vergleiche dazu Schiff in Ehmann/Selmayr, DS-GVO, Kommentar2 [2018], Artikel 9, Rn 45, mwN). Im vorliegenden Fall hat die Beschwerdeführerin, wie festgestellt, einen Eintrag im Forum der öffentlichen Website „D***Zeitung” unter ihrem Pseudonym „HUBERTA***” erstellt und darin von ihrer ADHS-Diagnose erzählt. Aus Sicht eines verständigen, objektiven Dritten ist es in einer solchen Situation - also nachdem man einen Eintrag in einem öffentlich zugänglichen Forum gepostet hat - keinesfalls auszuschließen, dass der entsprechende Eintrag veröffentlicht und damit einem größeren Personenkreis bzw. der Allgemeinheit zugänglich gemacht wird. Vielmehr ist damit zu rechnen, dass dies passieren wird bzw. passieren kann. Das aktive Posten des Eintrags, in dem die ADHS-Diagnose preisgegeben wird, ist somit als unzweideutiger, bewusster Willensakt der Beschwerdeführerin zu deuten. Folglich gilt bzw. galt auch das Verbot des Art. 9 Abs. 1 DSGVO im vorliegenden Fall nicht. Die Verarbeitung bezieht sich vielmehr gemäß Abs. 2 lit. e leg. cit. auf personenbezogene Daten, die die Beschwerdeführerin offensichtlich (willentlich) öffentlich gemacht hat.Folglich gilt bzw. galt auch das Verbot des Artikel 9, Absatz eins, DSGVO im vorliegenden Fall nicht. Die Verarbeitung bezieht sich vielmehr gemäß Absatz 2, Litera e, leg. cit. auf personenbezogene Daten, die die Beschwerdeführerin offensichtlich (willentlich) öffentlich gemacht hat. Die Beschwerde war daher als unbegründet abzuweisen. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.968.031

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.