← Österreich

{'item': '2026-0.357.384'}

Obsah (9)Art. 5Art. 77Art. 55Art. 8Artikel 89Art. 15Art. 6§ 167§ 24

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum30.04.2026 Geschäftszahl2026-0.357.384 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2026-0.357.384 vo

Art. 5Abs.

1 lit. e DSGVO verstoßen. Es werde eine unverhältnismäßig kurze Aufbewahrungsfrist (90 Tage) für kundenrelevante Servicekommunikation angewendet, die für die Ausübung vertraglicher Rechte wesentlich sei.Die beschwerdeführende Partei erhob am

  1. März 2026 (Ergänzung und Mängelbehebung vom
  2. April 2026) Beschwerde gegen die beschwerdegegnerische Partei wegen einer behaupteten Verletzung im Recht auf Rechtmäßigkeit der Verarbeitung entsprechend den Grundsätzen des Artikel 5, Absatz eins, DSGVO. Die beschwerdegegnerische Partei habe durch die vorzeitige Löschung sie betreffender Daten insbesondere gegen das Prinzip der Speicherbegrenzung

Artikel 5, Absatz eins, Litera e, DSGVO verstoßen.

Es werde eine unverhältnismäßig kurze Aufbewahrungsfrist (90 Tage) für kundenrelevante Servicekommunikation angewendet, die für die Ausübung vertraglicher Rechte wesentlich sei.

  1. Die beschwerdegegnerische Partei gab dazu mit Schreiben vom
  2. April 2026 eine Stellungnahme ab, in der sie die rechtlichen Schlussfolgerungen der beschwerdeführenden Partei bestritt. Man habe den Grundsatz der Speicherbegrenzung

Art. 5Abs.

1 lit. e DSGVO beachtet, der den Verantwortlichen verpflichte, personenbezogene Daten nur solange aufzubewahren, wie dies zur Erreichung des festgelegten Zwecks erforderlich ist. Dieser Zweck sei im gegenständlichen Fall die rasche und effiziente Bearbeitung allgemeiner sowie buchungsspezifischer Hilfe‑ und Supportanfragen von Kunden sowie die Verbesserung der Qualität und Funktionsfähigkeit des Chat-Assistenten gewesen.Die beschwerdegegnerische Partei gab dazu mit Schreiben vom 22. April 2026 eine Stellungnahme ab, in der sie die rechtlichen Schlussfolgerungen der beschwerdeführenden Partei bestritt. Man habe den Grundsatz der Speicherbegrenzung

Artikel 5

, Absatz eins, Litera e, DSGVO beachtet, der den Verantwortlichen verpflichte, personenbezogene Daten nur solange aufzubewahren, wie dies zur Erreichung des festgelegten Zwecks erforderlich ist. Dieser Zweck sei im gegenständlichen Fall die rasche und effiziente Bearbeitung allgemeiner sowie buchungsspezifischer Hilfe‑ und Supportanfragen von Kunden sowie die Verbesserung der Qualität und Funktionsfähigkeit des Chat-Assistenten gewesen.

  1. Die beschwerdeführende Partei äußerte sich dazu mit Stellungnahmen (zweifach) vom
  2. April 2026 dahingehend, der „N***-Air Chat Assistant“ sei hier für eindeutig vertragsrelevante Vorgänge (u.a. Neuberechnung des Flugpreises und Rebooking) genutzt worden. Daher sei die Speicherfrist zu kurz gewesen; die Beschwerde werde daher aufrechterhalten. B. Beschwerdegegenstand
  3. Ausgehend vom Beschwerdevorbringen ist Gegenstand der Sache die Frage, ob die beschwerdegegnerische Partei die beschwerdeführende Partei in ihrem Recht auf Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten verletzt hat, indem sie im Jahr 2025 Chat-Protokolle nach einer Speicherfrist von 90 Tagen gelöscht hat. C. Sachverhaltsfeststellungen
  4. Ende Dezember 2025 kam es zwischen der beschwerdeführenden Partei und der beschwerdegegnerischen Partei, einem in der Rechtsform einer Aktiengesellschaft nach österreichischem Recht organisierten und durch das ****gericht I***stadt zu FN *4*3*21t im Firmenbuch eingetragenen Luftverkehrsunternehmen mit Sitz in I***stadt, zu einem Streit um die Höhe des nachverrechneten Preises für die Nutzung eines Flugtickets für die Strecke Wien (VIE) - P***ville (P**), das zum ursprünglich gebuchten Zeitpunkt für den gebuchten Flug (N*8*1 am
  5. Dezember 2024) nicht verwendet worden war, bzw. die Neuausstellung eines Tickets für diese Strecke. Die preisgünstigere Umbuchung war nach den Angaben der beschwerdeführenden Partei zwischen dem
  6. und
  7. Jänner 2025 im Zuge von Online-Chats über das System https://www.n***-air.com/****/digitalassistant/support/webchat.html (im Folgenden auch kurz: N***-Air Chat-Assistant) vereinbart worden.
  8. Am
  9. Februar 2026 verlangte die beschwerdeführende Partei unter Berufung auf Art. 15 DSGVO Auskunft über die streitgegenständlichen Buchungsdaten (Buchungsnummer/PNR: K*4*TC) und alle damit im Zusammenhang stehenden Änderungen.Am
  10. Februar 2026 verlangte die beschwerdeführende Partei unter Berufung auf Artikel 15, DSGVO Auskunft über die streitgegenständlichen Buchungsdaten (Buchungsnummer/PNR: K*4*TC) und alle damit im Zusammenhang stehenden Änderungen.
  11. Nach Erhalt einer entsprechenden Auskunft richtete die beschwerdeführende Partei am
  12. März 2026 (in englischer Sprache) einen weiteren, detaillierteren Auskunftsantrag an die beschwerdegegnerische Partei. Darin verlangte sie insbesondere (nicht amtliche Übersetzung, Original auf Englisch unten): - „Die vollen Chat-Transkripte (vom
  13. bis zum
  14. Jänner 2025). Ich verlange alle Transkripte von Chat-Interaktionen, die zwischen dem
  15. und
  16. Jänner 2025 erfolgten. Meine Unterlagen zeigen, dass es am
  17. Jänner mehrere Sitzungen gab, die wegen technischer Fehler auf ihrer Seite unterbrochen wurden, gefolgt von einer abschließenden Interaktion am
  18. Jänner (verknüpft mit einem Agenten L*NK um etwa 12:12Z). Ich benötige alle Logs dieser Sitzungen, ohne Rücksicht darauf, ob sie abgeschlossen oder unterbrochen wurden.“ (Im englischen Original: “Full Chat Transcripts (Jan 9th to Jan 11th, 2025): I request all transcripts of chat interactions occurring from January 9th to January 11th,
  19. My records indicate multiple sessions on Jan 9th that were interrupted by technical failures on your side, followed by a final interaction on Jan 11th (linked to agent L*NK around 12:12Z). I require the logs of all these sessions, regardless of whether they were completed or interrupted.”)„Die vollen Chat-Transkripte (vom
  20. bis zum
  21. Jänner 2025). Ich verlange alle Transkripte von Chat-Interaktionen, die zwischen dem
  22. und
  23. Jänner 2025 erfolgten. Meine Unterlagen zeigen, dass es am
  24. Jänner mehrere Sitzungen gab, die wegen technischer Fehler auf ihrer Seite unterbrochen wurden, gefolgt von einer abschließenden Interaktion am
  25. Jänner (verknüpft mit einem Agenten L*NK um etwa 12:12Z). Ich benötige alle Logs dieser Sitzungen, ohne Rücksicht darauf, ob sie abgeschlossen oder unterbrochen wurden.“ (Im englischen Original: “Full Chat Transcripts (Jan 9th to Jan 11th, 2025): römisch eins request all transcripts of chat interactions occurring from January 9th to January 11th,
  26. My records indicate multiple sessions on Jan 9th that were interrupted by technical failures on your side, followed by a final interaction on Jan 11th (linked to agent L*NK around 12:12Z). römisch eins require the logs of all these sessions, regardless of whether they were completed or interrupted.”)
  27. Am
  28. März 2026 teilte die beschwerdegegnerische Partei der beschwerdeführenden Partei per E-Mail mit, dass die zuletzt speziell verlangten Daten (Chat-Protokolle) nach Ablauf der vorgesehenen Frist von längstens 90 Tagen bereits gelöscht wurden.
  29. Beweiswürdigung: Der Sachverhalt, insbesondere der Kernpunkt der bereits vor dem
  30. Februar 2026 erfolgten Löschung der Chat-Protokolle, ist zwischen den Parteien nicht strittig. Die Datenschutzbehörde stützt sich hier auf folgende Dokumente: die Beschwerde vom
  31. März und
  32. April 2026 samt Beilagen (darunter die Auskunftsanträge der beschwerdeführenden Partei und die abschließende Antwort der beschwerdegegnerischen Partei), einliegend als Eingangsstücke in den Verwaltungsakten zu den ELAK-Geschäftszahlen 2026-0.271.852 und 2026-0.294.498, die Stellungnahme der beschwerdegegnerischen Partei vom
  33. April 2026 samt Beilagen (darunter der beschwerdeführenden Partei im Zuge der Beantwortung ihres zweiten Auskunftsantrags übermittelte Chat-Protokolle aus dem Dezember 2025, die nachweisen, dass entsprechende Daten vor Ablauf der 90-Tages-Frist noch abrufbar waren). Die Feststellungen zum Unternehmensstatus der beschwerdegegnerischen Partei stützen sich auf einen am
  34. April 2026 amtswegig abgerufenen Firmenbuchauszug, einliegend als Beilage zur Geschäftszahl dieses Bescheids. D. In rechtlicher Hinsicht folgt daraus: D.
  35. Summe:
  36. Die Beschwerde hat sich als nicht berechtigt erwiesen, da aus dem der DSGVO zu Grunde liegenden Grundrecht auf Datenschutz (Art. 8 GRC) hier nur ein Abwehrrecht der betroffenen Person gegen von Anfang an unrechtmäßige oder der Zeitdauer nach übermäßige Datenverarbeitung folgt. Ein „Recht auf Datenverarbeitung“ kann daraus auch im Zusammenhang mit Art. 5 Abs. 1 DSGVO nicht abgeleitet werden.Die Beschwerde hat sich als nicht berechtigt erwiesen, da aus dem der DSGVO zu Grunde liegenden Grundrecht auf Datenschutz (Artikel 8, GRC) hier nur ein Abwehrrecht der betroffenen Person gegen von Anfang an unrechtmäßige oder der Zeitdauer nach übermäßige Datenverarbeitung folgt. Ein „Recht auf Datenverarbeitung“ kann daraus auch im Zusammenhang mit Artikel 5, Absatz eins, DSGVO nicht abgeleitet werden. D.
  37. zum Verfahrensort und zur Alleinzuständigkeit der österreichischen Datenschutzbehörde:
  38. Die beschwerdeführende Partei hat ihren Aufenthaltsort in der Slowakei.

Art. 77Abs.

1 erster Fall DSGVO wäre sie daher berechtigt gewesen, die Beschwerde bei der slowakischen Aufsichtsbehörde für Datenschutz einzubringen und damit ein Verfahren

den Art. 56 und 60 ff DSGVO in Gang zu setzen. Die Datenschutzbehörde hat der beschwerdeführenden Partei mit der Verfahrensanordnung Mängelbehebungsauftrag vom 31. März 2026, GZ: 2026-0.271.852, aufgetragen, die ursprünglich in englischer Sprache erhobene Beschwerde in deutscher Amtssprache einzubringen. Darin wurde sie auch über die Möglichkeit informiert, sich wie oben dargestellt ohne die Notwendigkeit des Gebrauchs der deutschen Sprache an die für ihren Aufenthaltsort zuständige Aufsichtsbehörde zu wenden. Diese Verfahrensanordnung, der eine nicht-amtliche Übersetzung ins Englische angeschlossen war, enthielt auch die Kontaktdaten der Slowakischen Datenschutzbehörde.Die beschwerdeführende Partei hat ihren Aufenthaltsort in der Slowakei.

Artikel 77

, Absatz eins, erster Fall DSGVO wäre sie daher berechtigt gewesen, die Beschwerde bei der slowakischen Aufsichtsbehörde für Datenschutz einzubringen und damit ein Verfahren

den Artikel 56 und 60 ff DSGVO in Gang zu setzen. Die Datenschutzbehörde hat der beschwerdeführenden Partei mit der Verfahrensanordnung Mängelbehebungsauftrag vom

  1. März 2026, GZ: 2026-0.271.852, aufgetragen, die ursprünglich in englischer Sprache erhobene Beschwerde in deutscher Amtssprache einzubringen. Darin wurde sie auch über die Möglichkeit informiert, sich wie oben dargestellt ohne die Notwendigkeit des Gebrauchs der deutschen Sprache an die für ihren Aufenthaltsort zuständige Aufsichtsbehörde zu wenden. Diese Verfahrensanordnung, der eine nicht-amtliche Übersetzung ins Englische angeschlossen war, enthielt auch die Kontaktdaten der Slowakischen Datenschutzbehörde.
  2. Die beschwerdeführende Partei hat mit Schreiben vom
  3. April 2026 den Mängelbehebungsauftrag erfüllt, ihre Beschwerde nochmals in deutscher Sprache eingebracht und damit für die Möglichkeit optiert, das Verfahren ohne zwischenstaatliche Zusammenarbeit der Aufsichtsbehörden allein vor der

Art. 55Abs.

1 und Art. 77 Abs. 1 dritter Fall DSGVO (Ort des mutmaßlichen Verstoßes, Hauptniederlassung der beschwerdegegnerischen Partei in Österreich) zuständigen österreichischen Datenschutzbehörde zu führen.Die beschwerdeführende Partei hat mit Schreiben vom 2. April 2026 den Mängelbehebungsauftrag erfüllt, ihre Beschwerde nochmals in deutscher Sprache eingebracht und damit für die Möglichkeit optiert, das Verfahren ohne zwischenstaatliche Zusammenarbeit der Aufsichtsbehörden allein vor der

Artikel 55

, Absatz eins und Artikel 77, Absatz eins, dritter Fall DSGVO (Ort des mutmaßlichen Verstoßes, Hauptniederlassung der beschwerdegegnerischen Partei in Österreich) zuständigen österreichischen Datenschutzbehörde zu führen. D.

  1. Rechtmäßigkeit der Verarbeitung als subjektives Recht:
  2. Ausgehend von der bisherigen Spruchpraxis der Datenschutzbehörde und der Gerichte ist festzuhalten, dass sowohl die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 lit. a iVm Art. 6 ff DSGVO als auch die in Kapitel III der Verordnung postulierten datenschutzrechtlichen Betroffenenrechte als subjektive Rechte im Rahmen einer Beschwerde nach Art. 77 Abs. 1 DSGVO geltend gemacht werden können (DSB 10.11.2025, 2025-0.914.457, RIS).Ausgehend von der bisherigen Spruchpraxis der Datenschutzbehörde und der Gerichte ist festzuhalten, dass sowohl die Rechtmäßigkeit der Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 6, ff DSGVO als auch die in Kapitel römisch drei der Verordnung postulierten datenschutzrechtlichen Betroffenenrechte als subjektive Rechte im Rahmen einer Beschwerde nach Artikel 77, Absatz eins, DSGVO geltend gemacht werden können (DSB 10.11.2025, 2025-0.914.457, RIS).
  3. Entscheidend ist, ob eine betroffene Person durch eine behauptete Rechtsverletzung in einer individuellen Rechtsposition beeinträchtigt wird. Die behauptete Rechtsverletzung muss sich daher negativ auf die betroffene Person auswirken und sie beeinträchtigen. Schließlich ist auch nach innerstaatlicher Judikatur des VwGH im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen (vgl. etwa VwSlg. 9151 A/1976, 10.129 A/1980, 13.411 A/1991, 13.985 A/1994) (DSB, aaO).Entscheidend ist, ob eine betroffene Person durch eine behauptete Rechtsverletzung in einer individuellen Rechtsposition beeinträchtigt wird. Die behauptete Rechtsverletzung muss sich daher negativ auf die betroffene Person auswirken und sie beeinträchtigen. Schließlich ist auch nach innerstaatlicher Judikatur des VwGH im Zweifel davon auszugehen, dass Normen, die ein behördliches Vorgehen auch und gerade im Interesse des Betroffenen vorschreiben, diesem ein subjektives, also im Beschwerdeweg durchsetzbares Recht einräumen vergleiche etwa VwSlg. 9151 A/1976, 10.129 A/1980, 13.411 A/1991, 13.985 A/1994) (DSB, aaO).
  4. Die beschwerdeführende Partei behauptet hier ein entsprechendes subjektives Recht und legt schlüssig dar, durch die behauptete Rechtsverletzung in einer individuellen Rechtsposition beeinträchtigt zu sein (Verlust des Zugangs zu sie betreffenden Daten, die sie als Beweismittel in einem Rechtsstreit zu benötigen glaubt). Damit ist die Beschwerde jedenfalls zulässig. D.
  5. Rechtsgrundlagen: 16.

Art. 8Abs.

1 GRC hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

Abs. 2 leg. cit. dürfen diese Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.

Artikel 8

, Absatz eins, GRC hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

Absatz 2, leg. cit. dürfen diese Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. 17.

Art. 5

(Überschrift: „Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“, Abs. 1 lit. a leg. cit). Sie müssen weiters in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89Absatz 1 verarbeitet werden („Speicherbegrenzung“, Abs.

1 lit. e leg. cit).

Artikel 5

, (Überschrift: „Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“, Absatz eins, Litera a, leg. cit). Sie müssen weiters in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89Absatz 1 verarbeitet werden („Speicherbegrenzung“, Absatz eins, Litera e, leg.

cit). D.

  1. Im Beschwerdefall folgt daraus:
  2. Logisch-systematischer Kern der Regelungen der DSGVO ist das Abwehrrecht der betroffenen Person gegen eine Verarbeitung ihrer Daten. Die DSGVO kennt ein „Recht auf Vergessenwerden“ (alternative Bezeichnung des Rechts auf Löschung, siehe Überschrift vor Art. 17 DSGVO) aber kein „Recht auf Verarbeitung“.Logisch-systematischer Kern der Regelungen der DSGVO ist das Abwehrrecht der betroffenen Person gegen eine Verarbeitung ihrer Daten. Die DSGVO kennt ein „Recht auf Vergessenwerden“ (alternative Bezeichnung des Rechts auf Löschung, siehe Überschrift vor Artikel 17, DSGVO) aber kein „Recht auf Verarbeitung“.
  3. Zunächst ist [im Rechtmäßigkeitsgrundsatz] eine Formulierung des sog Verbotsprinzips zu erblicken, welches besagt, dass betreffend die Verarbeitung personenbezogener Daten ein Verbot mit Erlaubnisvorbehalt gilt (Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art 5 DSGVO Rz 11 mwN). Damit entspricht das Nicht-Verarbeiten von personenbezogenen Daten gleichsam dem von der Gesetzgebung vorausgesetzten rechtmäßigen Grundzustand.Zunächst ist [im Rechtmäßigkeitsgrundsatz] eine Formulierung des sog Verbotsprinzips zu erblicken, welches besagt, dass betreffend die Verarbeitung personenbezogener Daten ein Verbot mit Erlaubnisvorbehalt gilt (Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Artikel 5, DSGVO Rz 11 mwN). Damit entspricht das Nicht-Verarbeiten von personenbezogenen Daten gleichsam dem von der Gesetzgebung vorausgesetzten rechtmäßigen Grundzustand.
  4. Wenn in den Art. 5 ff DSGVO die Grenzen der Rechtmäßigkeit einer Datenverarbeitung gezogen werden, so bezieht sich dies auf beschränkte, ausnahmsweise zulässige Eingriffe in das Recht auf Geheimhaltung von personenbezogenen Daten bzw. auf deren Nicht-Verarbeitung. Nicht umfasst ist ein Anspruch auf Beginn der Verarbeitung oder auf Ausdehnung der Grenzen der Verarbeitung. Bezeichnenderweise bleiben denkmögliche spezielle Interessen der betroffenen Person an der Verarbeitung ihrer Daten in Art. 6 Abs. 1 DSGVO, wo Gründe für die Rechtmäßigkeit der Verarbeitung aufgezählt werden, völlig außer Betracht.Wenn in den Artikel 5, ff DSGVO die Grenzen der Rechtmäßigkeit einer Datenverarbeitung gezogen werden, so bezieht sich dies auf beschränkte, ausnahmsweise zulässige Eingriffe in das Recht auf Geheimhaltung von personenbezogenen Daten bzw. auf deren Nicht-Verarbeitung. Nicht umfasst ist ein Anspruch auf Beginn der Verarbeitung oder auf Ausdehnung der Grenzen der Verarbeitung. Bezeichnenderweise bleiben denkmögliche spezielle Interessen der betroffenen Person an der Verarbeitung ihrer Daten in Artikel 6, Absatz eins, DSGVO, wo Gründe für die Rechtmäßigkeit der Verarbeitung aufgezählt werden, völlig außer Betracht.
  5. Aus Art. 15 DSGVO oder anderen Bestimmungen der DSGVO kann kein Recht auf Verarbeitung personenbezogener Daten abgeleitet werden (DSB 01.09.2022, 2022-0.616.013 Rz 21, RIS, Unterstreichung im Original).Aus Artikel 15, DSGVO oder anderen Bestimmungen der DSGVO kann kein Recht auf Verarbeitung personenbezogener Daten abgeleitet werden (DSB 01.09.2022, 2022-0.616.013 Rz 21, RIS, Unterstreichung im Original).
  6. Zwar vertritt die Datenschutzbehörde auch die Ansicht, dass das Grundrecht auf Schutz personenbezogener Daten

Art. 8Abs.

1 GRC, welches in der DSGVO konkretisiert wird, nicht bloß als Abwehrrecht verstanden werden kann (DSB 23.07.2019, DSB-D123.822/0005-DSB/2019 mwN, RIS). Diese Auslegung bezieht sich jedoch auf das Recht der betroffenen Person, über ihre Daten, die von einem Verantwortlichen verarbeitet werden, im Sinne einer informationellen Selbstbestimmung Verfügungen zu treffen.Zwar vertritt die Datenschutzbehörde auch die Ansicht, dass das Grundrecht auf Schutz personenbezogener Daten

Artikel 8

, Absatz eins, GRC, welches in der DSGVO konkretisiert wird, nicht bloß als Abwehrrecht verstanden werden kann (DSB 23.07.2019, DSB-D123.822/0005-DSB/2019 mwN, RIS). Diese Auslegung bezieht sich jedoch auf das Recht der betroffenen Person, über ihre Daten, die von einem Verantwortlichen verarbeitet werden, im Sinne einer informationellen Selbstbestimmung Verfügungen zu treffen. 23. Die beschwerdeführende Partei beruft sich zur Begründung ihrer Gesetzesauslegung auf Art. 5 Abs. 1 DSGVO, insbesondere auf den Grundsatz der Speicherbegrenzung

Art. 5Abs.

1 lit. e DSGVO. Schon der Wortlaut dieser Bestimmung lässt aber, ebenso wie die Bezeichnung des Grundsatzes (arg „Speicherbegrenzung“, „nur so lange“, „wie…erforderlich“), nur den Schluss zu, dass die Gesetzgeber der Union hier nicht den Zweck verfolgt haben, der betroffenen Person die zeitmäßig großzügig zu bemessende Speicherung ihrer Daten für über den Verarbeitungszweck hinausreichende, später auftauchende Zwecke, etwa als Beweismittel für den Zweck eines Rechtsstreits, zu garantieren.Die beschwerdeführende Partei beruft sich zur Begründung ihrer Gesetzesauslegung auf Artikel 5, Absatz eins, DSGVO, insbesondere auf den Grundsatz der Speicherbegrenzung

Artikel 5, Absatz eins, Litera e, DSGVO.

Schon der Wortlaut dieser Bestimmung lässt aber, ebenso wie die Bezeichnung des Grundsatzes (arg „Speicherbegrenzung“, „nur so lange“, „wie…erforderlich“), nur den Schluss zu, dass die Gesetzgeber der Union hier nicht den Zweck verfolgt haben, der betroffenen Person die zeitmäßig großzügig zu bemessende Speicherung ihrer Daten für über den Verarbeitungszweck hinausreichende, später auftauchende Zwecke, etwa als Beweismittel für den Zweck eines Rechtsstreits, zu garantieren. 24. Eine solche Auslegung würde die Bestimmung überdies in einen Gegensatz zum gleichrangigen Grundsatz der Datenminimierung

Art. 5Abs.

1 lit. c DSGVO setzen.Eine solche Auslegung würde die Bestimmung überdies in einen Gegensatz zum gleichrangigen Grundsatz der Datenminimierung

Artikel 5, Absatz eins, Litera c, DSGVO setzen.

25. Auch aus dem Rechtmäßigkeitsgrundsatz

Art. 5Abs.

1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) selbst ist für den Standpunkt der beschwerdeführenden Partei hier nichts zu gewinnen. Aus dieser Bestimmung folgt lediglich, dass eine Löschung von Daten nach Eingang eines Antrags auf Auskunft

Art. 15Abs.

1 DSGVO gegen das Prinzip einer Verarbeitung nach Treu und Glauben verstößt und damit das Recht auf Auskunft verletzt (vgl. DSB 27.06.2019, DSB-D124.071/0005-DSB/2019, RIS).Auch aus dem Rechtmäßigkeitsgrundsatz

Artikel 5

, Absatz eins, Litera a, DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) selbst ist für den Standpunkt der beschwerdeführenden Partei hier nichts zu gewinnen. Aus dieser Bestimmung folgt lediglich, dass eine Löschung von Daten nach Eingang eines Antrags auf Auskunft

Artikel 15

, Absatz eins, DSGVO gegen das Prinzip einer Verarbeitung nach Treu und Glauben verstößt und damit das Recht auf Auskunft verletzt vergleiche DSB 27.06.2019, DSB-D124.071/0005-DSB/2019, RIS).

  1. Gegenständlich hat eine Speicherdauer von 90 Tagen, gerechnet ab dem
  2. Jänner 2025, dazu geführt, dass die Chat-Protokolle aus den Tagen davor spätestens am
  3. April 2025 gelöscht wurden. Dies war lange vor dem ersten festgestellten Auskunftsantrag der beschwerdeführenden Partei am
  4. Februar
  6. Die Frist bzw. die Kriterien, nach denen sich der Zeitpunkt der Löschung bestimmt, müssen auf das für die Verarbeitungszwecke unbedingt erforderliche Mindestmaß beschränkt sein. Die Festlegung der Fristen bzw. Kriterien bedarf daher meist einer fallbezogenen Betrachtung (ausgenommen etwa eine in Erfüllung einer rechtlichen Verpflichtung

Art. 6Abs.

1 lit. c DSGVO erfolgte Datenverarbeitung, hinsichtlich der sich die Aufbewahrungsfristen bzw. Löschpflichten unmittelbar aus dem Gesetz ergeben), in der die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt wird (VwGH E 09.05.2023, Ro 2020/04/0037, Rz 64, unter Hinweis auf OGH 23.6.2021, 6 Ob 87/21v, Rn. 18, mwN).Die Frist bzw. die Kriterien, nach denen sich der Zeitpunkt der Löschung bestimmt, müssen auf das für die Verarbeitungszwecke unbedingt erforderliche Mindestmaß beschränkt sein. Die Festlegung der Fristen bzw. Kriterien bedarf daher meist einer fallbezogenen Betrachtung (ausgenommen etwa eine in Erfüllung einer rechtlichen Verpflichtung

Artikel 6

, Absatz eins, Litera c, DSGVO erfolgte Datenverarbeitung, hinsichtlich der sich die Aufbewahrungsfristen bzw. Löschpflichten unmittelbar aus dem Gesetz ergeben), in der die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt wird (VwGH E 09.05.2023, Ro 2020/04/0037, Rz 64, unter Hinweis auf OGH 23.6.2021, 6 Ob 87/21v, Rn. 18, mwN).

  1. Die beschwerdegegnerische Partei weist nun begründet darauf hin, dass der Zweck des teilweise vollautomatischen, ohne Mitwirkung eines Menschen betriebenen N***-Air Chat Assistant in der Kommunikation, insbesondere der Beantwortung von Kundenanfragen liegt. Ob tatsächlich in einem solchen Chat zumindest der Eindruck erweckt wurde, dass die beschwerdegegnerische gegenüber der beschwerdeführenden Partei eine rechtlich bindende Zusage abgegeben habe, kann hier nicht mehr festgestellt werden. Insgesamt lag jedoch hier eine Form der Kommunikation vor, die mehr einer telefonischen Kundenbetreuung als einem Austausch schriftlicher Erklärungen zwischen Vertragsparteien entspricht.
  2. Vergleichbar ist die Speicherfrist von 90 Tagen daher etwa mit der gesetzlichen Frist von drei Monaten (ab Durchführung des Bezahlvorgangs) für Löschung von Verkehrsdaten der Besorgung eines Kommunikationsdienstes, deren Verrechnung unbeeinsprucht geblieben ist,

§ 167Abs.

2 TKG 2021. Auch hier ist es nach deren Löschung nicht mehr möglich, in einem später entstehenden Bedarfsfall diese Daten als Beweismittel (etwa für das Führen eines Telefongesprächs zu einem bestimmten Zeitpunkt) heranzuziehen.Vergleichbar ist die Speicherfrist von 90 Tagen daher etwa mit der gesetzlichen Frist von drei Monaten (ab Durchführung des Bezahlvorgangs) für Löschung von Verkehrsdaten der Besorgung eines Kommunikationsdienstes, deren Verrechnung unbeeinsprucht geblieben ist,

Paragraph 167, Absatz 2, TKG

  1. Auch hier ist es nach deren Löschung nicht mehr möglich, in einem später entstehenden Bedarfsfall diese Daten als Beweismittel (etwa für das Führen eines Telefongesprächs zu einem bestimmten Zeitpunkt) heranzuziehen.
  2. Wie bei telefonischer Kundenbetreuung ist daher auch hier davon auszugehen, dass im Rahmen vernünftiger Erwartungen (vgl. DSGVO ErwGr 47) die Nutzerinnen und Nutzer des N***-Air Chat Assistant nicht damit rechnen konnten oder mussten, dass Online-Chats über länger Zeit oder gar auf Dauer gespeichert werden. Der Zweck einer zeitlich begrenzten Speicherung wird vielmehr darin bestehen, Reklamationen und Beschwerden (z.B. wegen Richtigkeit der erteilten Auskünfte oder mangelnder Höflichkeit menschlicher oder automatischer Chat-Agenten) zeitnah nachgehen und das Funktionieren des Systems überprüfen und verbessern zu können. Dass nach Ablauf der intern festgesetzten, als angemessen anzusehenden Frist bei der betroffenen Person ein Bedarf nach einer länger dauernden Speicherung entstehen würde, war ein Zufall, der vom eigentlichen Verarbeitungszweck nicht erfasst war.Wie bei telefonischer Kundenbetreuung ist daher auch hier davon auszugehen, dass im Rahmen vernünftiger Erwartungen vergleiche DSGVO ErwGr 47) die Nutzerinnen und Nutzer des N***-Air Chat Assistant nicht damit rechnen konnten oder mussten, dass Online-Chats über länger Zeit oder gar auf Dauer gespeichert werden. Der Zweck einer zeitlich begrenzten Speicherung wird vielmehr darin bestehen, Reklamationen und Beschwerden (z.B. wegen Richtigkeit der erteilten Auskünfte oder mangelnder Höflichkeit menschlicher oder automatischer Chat-Agenten) zeitnah nachgehen und das Funktionieren des Systems überprüfen und verbessern zu können. Dass nach Ablauf der intern festgesetzten, als angemessen anzusehenden Frist bei der betroffenen Person ein Bedarf nach einer länger dauernden Speicherung entstehen würde, war ein Zufall, der vom eigentlichen Verarbeitungszweck nicht erfasst war. D.
  3. Schlussfolgerungen:
  4. Die beschwerdegegnerische Partei hat die Daten der beschwerdeführenden Partei begründet gelöscht und nicht gegen die Grundsätze für die Verarbeitung personenbezogener Daten

Art. 5Abs.

1 DSGVO verstoßen.Die beschwerdegegnerische Partei hat die Daten der beschwerdeführenden Partei begründet gelöscht und nicht gegen die Grundsätze für die Verarbeitung personenbezogener Daten

Artikel 5, Absatz eins, DSGVO verstoßen.

32. Die Beschwerde war daher

§ 24Abs.

5 3. Satz DSG als unbegründet abzuweisen.Die Beschwerde war daher

Paragraph 24, Absatz 5, 3. Satz DSG als unbegründet abzuweisen. European Case Law IdentifierECLI:AT:DSB:2026:2026.0.357.384

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.