Bundesverwaltungsgericht W287 2248018-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 19.11.2024
• ECLI: ECLI:AT:BVWG:2024:W287.2248018.1.00

Spruch

W287 2248018-1/16E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin MMag.aDr.in Julia KUSZNIER als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX , XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , Zl. XXXX (mitbeteiligte Partei vor dem Verwaltungsgericht: XXXX (nunmehr XXXX , wegen Verletzung im Recht auf Geheimhaltung im Umlaufweg zu Recht erkannt:

A) Der Beschwerde wird stattgegeben und festgestellt, dass XXXX (bis 17.07.2022) bzw. XXXX (ab 18.07.2022) als Stammzahlenregisterbehörde den Beschwerdeführer von 03.10.2012 bis zum 27.07.2023 im Recht auf Geheimhaltung gemäß § 1 DSG verletzt haben, indem sie personenbezogene Daten des Beschwerdeführers im Ergänzungsregister für sonstige Betroffene (ERsB) verarbeitet haben.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

Verfahrensgegenstand:

Verfahrensgegenstand ist die Frage, ob die Verarbeitung und Veröffentlichung von personenbezogenen Daten des Beschwerdeführers im Ergänzungsregister für sonstige Betroffene (in der Folge auch „ERsB“) im Zeitraum von 03.10.2012 bis 27.07.2023 rechtmäßig erfolgt ist.

I. Verfahrensgang

1. In seiner an die Datenschutzbehörde (in weiterer Folge: „belangte Behörde“) gerichteten Beschwerde vom 18.07.2020 machte der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung geltend. Dazu brachte er zusammengefasst vor, das XXXX habe seinen Namen und seine Adresse im ERsB verarbeitet und diese Informationen für jedermann über das Internet zur Verfügung gestellt. Aus dem Gesetz und der Website der verantwortlichen Stelle ergebe sich, dass nur jene Personen, die nicht im Zentralen Melderegister (ZMR) und im Firmenbuch eingetragen seien, überhaupt in das Ergänzungsregister eingetragen werden dürften, um den Zugang zur elektronischen Verwaltung mittels Bürgerkarte zu ermöglichen. Der Beschwerdeführer sei in den letzten 10 Jahren stets im Zentralen Melderegister eingetragen gewesen, sodass der Verarbeitungszweck nicht auf ihn zutreffe. Eine Veröffentlichung seiner Adresse im Internet sei außerdem für den Verarbeitungszweck nicht notwendig und nicht proportional. Die Meldebehörde habe zudem aufgrund einer gegen ihn gerichteten Bedrohung eine Auskunftssperre auf fünf Jahre bewilligt.

2. Über Aufforderung der belangten Behörde erstattete der/die XXXX am 04.09.2020 eine Stellungnahme, in welcher zur behaupteten Verletzung im Recht auf Geheimhaltung ausgeführt wurde, dass das Ergänzungsregister Bestandteil des Identitätsmanagements im österreichischen E-Government sei und getrennt nach natürlichen Personen (ERnP) und sonstigen Betroffenen (ERsB) geführt werde. Im E-Government sei eine Differenzierung beim Begriff „Identität“ sowie beim Betroffenenbegriff von großer Bedeutung, da die eindeutige Unterscheidbarkeit der Betroffenen eine notwendige Voraussetzung für die inhaltliche Richtigkeit der E-Government-Anwendungen sei. Insofern bestehe ein berechtigtes Interesse, in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiere oder dabei unternehmerisch tätig sei. Natürliche Personen könnten im Identitätsmanagement des E-Government sowohl als natürliche Person, die nur im Zentralen Melderegister oder Ergänzungsregister für natürliche Personen zu erfassen sei, oder etwa als Einzelunternehmen, das ins Ergänzungsregister für sonstige Betroffene einzutragen sei, Betroffener im Sinne § 2 Z 7 E-GovG sein. Somit sei die Eintragung von Einzelunternehmen im Ergänzungsregister für sonstige Betroffene zulässigerweise erfolgt. Die Verarbeitung der Daten des Ergänzungsregisters für sonstige Betroffene beruhe auf der gesetzlichen Grundlage des § 6 Abs. 4 E-GovG, womit auch personenbezogene Daten zulässigerweise verarbeitet werden dürften. Darüber hinaus komme aufgrund des gesetzlich normierten Zwecks der eindeutigen Identifizierung von Betroffenen auch die Wahrnehmung von Aufgaben im öffentlichen Interesse als Erlaubnistatbestand gemäß Art. 6 Abs. 1 lit. e DSGVO als datenschutzrechtliche Grundlage für die Datenverarbeitung in Betracht.

3. Der Beschwerdeführer erstattete dazu am 14.09.2020 eine Stellungnahme und führte aus, dass es keiner der von der mitbeteiligten Partei vorgebrachten Zwecke, denen das Ergänzungsregister diene, erfordere, dieses Register öffentlich zu machen, sodass jeder ohne Angaben von Gründen die persönlichen Daten abrufen könne.

4. Mit dem angefochtenen Bescheid wies die belangte Behörde die Datenschutzbeschwerde des Beschwerdeführers als unbegründet ab und führte im Wesentlichen zusammengefasst aus, es handle sich beim Beschwerdeführer um einen Betroffenen, dem iSv § 2 Z 7 E-GovG eine eigene Identität – unabhängig von einer in diesem Zusammenhang unerheblichen (gesetzlich normierten) Rechtsfähigkeit – zukomme. Durch den Vermerk der Organisationsform im ERsB als „Einzelunternehmen“ liege überdies die laut Z 1 leg. cit. geforderte Unterscheidbarkeit vom Beschwerdeführer als Privatperson vor. Die vom Beschwerdeführer vorgebrachte Eintragung im Melderegister sei gerade nicht in seiner Eigenschaft als Einzelunternehmer erfolgt, sondern vielmehr als (natürliche) Privatperson. Eine darüberhinausgehende Eintragung im Firmenbuch sei hingegen – wie festgestellt - nicht gegeben und sei auch zu keinem Zeitpunkt behauptet worden. § 16 ERegV 2009, welcher mit Novelle vom 10. Juli 2020 (BGBl. II Nr. 317/2020) behoben worden sei, habe die Führung des ERsB als öffentliches Register ausdrücklich vorgesehen. Somit habe auch die bis zum 7. Mai 2020 erfolgte Veröffentlichung der Daten des Beschwerdeführers auf einer rechtlichen Grundlage beruht. Die Verarbeitung der personenbezogenen Daten des Beschwerdeführers im Rahmen des Ergänzungsregisters für sonstige Betroffene könne durch die gesetzlichen Grundlagen des § 6 Abs. 4 iVm § 2 Z 7 E-GovG sowie der ERegV 2009 gestützt werden, weshalb sich die Verarbeitung als rechtmäßig erweise und von keiner Verletzung im Recht auf Geheimhaltung gem § 1 Abs. 1 DSG auszugehen sei.

5. Gegen diesen Bescheid erhob der Beschwerdeführer mit Schriftsatz vom 27.09.2021 eine Beschwerde an das Bundesverwaltungsgericht, in welcher er im Wesentlichen sein bisheriges Vorbringen wiederholte. Es bestehe kein legitimes Interesse der allgemeinen Öffentlichkeit oder irgendwelcher Privatpersonen, die Namen, Adressen und Geburtsdaten der im ERsB eingetragenen Personen abrufen zu können. Wäre der Zugang zum ERsB auf Stellen der öffentlichen Verwaltung beschränkt gewesen, wäre der Zweck ebenso erfüllt gewesen. Wenn sich die belangte Behörde auf das E-GovG sowie die ERegV 2009 berufe, verkenne sie, dass die Regelungen der DSGVO dem nationalen Recht vorgehen und in Österreich direkt anzuwenden seien.

6. Mit Schreiben vom 03.11.2021 legte die belangte Behörde die Beschwerde samt Verwaltungsakt dem Bundesverwaltungsgericht vor und gab eine Stellungnahme ab. In dieser führte die belangte Behörde in Ergänzung zu ihren Ausführungen im angefochtenen Bescheid aus, dass eine Meldesperre nicht bewirke, dass personenbezogene Daten, die einer Meldesperre unterliegen, nicht auf Basis einer anderen Rechtsgrundlage verarbeitet beziehungsweise veröffentlicht werden dürften.

7. Aufgrund der Verfügung des Geschäftsverteilungsbeschlusses vom 25.01.2022 wurde die gegenständliche Rechtssache der Gerichtsabteilung W253 abgenommen und der Gerichtsabteilung W287 per 10.02.2022 neu zugewiesen.

8. Mit Stellungnahme vom 01.09.2023 führte der/die XXXX aus, dass keine personenbezogenen Daten des Beschwerdeführers mehr im ERsB verarbeitet würden, nahm inhaltlich darüber hinaus jedoch nicht zur Beschwerde Stellung. Der Beschwerdeführer teilte mit Schreiben vom 12.09.2023 mit, dass er sich freue, dass seine Daten nunmehr aus dem ERsB gelöscht seien. Er habe jedoch weiterhin ein rechtliches Interesse an der Feststellung, dass seine personenbezogenen Daten, einschließlich seiner Wohnadresse, jahrelang im ERsB geführt und dabei rechtswidrig veröffentlicht worden seien.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Das ERsB wurde bis zum 10.07.2020 als öffentliches Register, öffentlich abrufbar unter www.ersb.gv.at, geführt. Dieser Zugangspfad bzw der Zugang wurde am 07.05.2020 gesperrt bzw deaktiviert. Ab diesem Zeitpunkt hatten neben den Betroffenen selbst nur Einrichtungen des Bundes, der Länder, Gemeinden, Sozialversicherungsträger und der gesetzlichen Interessenvertretungen Zugriff. Seit dem 28.07.2023 ist das ERsB wieder öffentlich abrufbar.

Der Beschwerdeführer war von XXXX .1991 bis XXXX 2015 sowie ab XXXX 2016 als natürliche Person im Zentralen Melderegister unter der ZMR-Zahl „ XXXX “ eingetragen, es bestand eine Auskunftssperre vom XXXX .2017 bis XXXX .2022. Von XXXX 2015 bis XXXX 2016 war der Beschwerdeführer nicht im Zentralen Melderegister eingetragen.

Der Beschwerdeführer war von XXXX 2012 bis 27.07.2023 mit seinem Namen, akademischen Grad, Geburtsdatum, Sitz, Geschäftsadresse und Organisationsform Einzelunternehmen von der Eintragungsstelle Steuer unter der Ordnungsnummer XXXX in das ERsB eingetragen.

Der Beschwerdeführer hat keinen Antrag auf Eintragung in das ERsB gestellt.

Die Eintragung im ERsB war nach Ansicht der mitbeteiligten Partei erforderlich, um in einem elektronischen Verfahren unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiert oder unternehmerisch tätig ist. Sie stützte die Datenverarbeitung auf den Erlaubnistatbestand der Wahrnehmung von Aufgaben im öffentlichen Interesse gemäß Art. 6 Abs. 1 lit. e DSGVO iVm § 6 Abs. 4 E-GovG.

2. Beweiswürdigung:

2.1. Die Feststellungen über die Führung des ERsB, sowie die Offlinenahme sowie die weiteren Zugriffsberechtigungen ergeben sich zweifelsfrei aus den diesbezüglichen gesetzlichen Bestimmungen (§ 14 ERegV 2009; sowie die Novelle BGBl. II Nr. 331/2009) sowie einer diesbezüglichen Anfragebeantwortung der damaligen Bundesministerin für Digitalisierung und Wirtschaftsstandort (Anfragebeantwortung 2016/AB 27. GP vom 15.07.2020, GZ 2020-0.307.719).

2.2. Die Feststellungen hinsichtlich der Eintragung im ERsB ergeben sich eindeutig aus dem mit einer Amtssignatur versehenen Auszug aus dem ERsB zum Beschwerdeführer vom 26.05.2020, der dem Verwaltungsakt beiliegt (OZ 1, S 11 f). Dass der Beschwerdeführer nicht mehr im ERsB eingetragen ist, ergibt sich einerseits aus einer Nachschau im ERsB (OZ 11), andererseits aus den Materialien zu Novelle des E-GovG, wonach natürliche Personen, die unternehmerisch tätig sind, nicht mehr in das ERsB einzutragen sind (ErlRV 1443 BlGNr. XXVII. GP, S 2) sowie der Stellungnahme der mitbeteiligten Partei vom 01.09.2023 (OZ 8).

2.3. Die Feststellungen zur Eintragung des Beschwerdeführers im Zentralen Melderegister beruhen auf dem unbedenklichen Auszug aus dem Zentralen Melderegister vom 21.09.2021, der dem Verwaltungsakt beilag (OZ 1, S 82 f) sowie einem amtswegig eingeholten aktuellen Auszug (OZ 12).

2.3. Die Feststellung, dass der Beschwerdeführer keinen Antrag auf Eintragung ins ERsB gestellt hat, ergibt sich implizit aus dem Vorbringen des Beschwerdeführers in der Datenschutzbeschwerde (OZ 1, S 9). Die mitbeteiligte Partei behauptete nichts Gegenteiliges, weshalb die entsprechende Feststellung getroffen werden konnte.

2.4. Die Feststellungen zum Vorbringen der mitbeteiligten Partei hinsichtlich der Rechtfertigungsgründe stützen sich auf ihr diesbezügliches Vorbringen vom 04.09.2020 (OZ 1, S 42 ff).

3. Rechtliche Beurteilung:

Zu A)

Die zulässige Beschwerde ist berechtigt.

3.1. Zur Rechtzeitigkeit der Datenschutzbeschwerde:

Das Vorbringen der mitbeteiligten Partei, dass das Beschwerderecht aufgrund der Eintragung in das ERsB im Jahr 2012 bereits iSd § 24 Abs. 4 DSG präkludiert sei (vgl die Stellungnahme der MP vom 04.09.2020, S 3; OZ 1, S 44), ist unzutreffend. Bei einer – wie hier – fortdauernden Verarbeitung von personenbezogenen Daten beginnt die Frist zur Erhebung einer Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung nicht vor Beendigung dieses Dauerzustandes zu laufen (vgl. zur inhaltsgleichen Vorgängerbestimmung des § 34 Abs. 1 DSG 2000: RIS-Justiz, RS0131534). Da der Beschwerdeführer zum Zeitpunkt der Erhebung seiner Datenschutzbeschwerde weiterhin im ERsB eingetragen war, war die Datenschutzbeschwerde jedenfalls zulässig.

3.2. Zur Änderung der Rechtslage während des Beschwerdeverfahrens:

Grundsätzlich hat das Bundesverwaltungsgericht die Sach- und Rechtslage zum Entscheidungszeitpunkt anzuwenden (vgl. VwGH 25.06.2019, Ra 2019/10/0012). Allerdings wird eine Verletzung im Recht auf Geheimhaltung bereits dadurch verwirklicht, dass Daten für einen begrenzten Zeitraum (zB. bis zu deren Löschung bzw. einer Änderung der Rechtslage) unrechtmäßig verarbeitet werden. Durch eine Löschung bzw. eine Änderung der Rechtslage kann eine Rechtsverletzung zwar beendet werden, jedoch wirkt dies nicht auf den Zeitraum bis zur Löschung bzw. zur Änderung der Rechtslage zurück (vgl. in diesem Sinne VwGH 19.10.2022, Ro 2022/04/0001; sowie Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 24 Rz 310). Seitdem die Novelle des E-Goverment-Gesetztes (BGBl. I Nr. 119/2022) bzw. insbesondere § 6 Abs. 4 E-GovG in Kraft ist (ein Jahr nach Kundmachung, somit ab 28.07.2023), sind die Daten des Beschwerdeführers nicht mehr im ERsB gespeichert.

Im vorliegenden Fall ist weiterhin über die Verarbeitung bis zum 27.07.2023 zu entscheiden.

3.3. Zum Gegenstand des Beschwerdeverfahrens:

Der Beschwerdeführer wendet sich in seiner Beschwerde primär gegen die Veröffentlichung seiner im ERsB enthaltenen personenbezogenen Daten. Die Frage der Rechtmäßigkeit der Veröffentlichung der personenbezogenen Daten des Beschwerdeführers kann jedoch nicht losgelöst von der Frage der grundsätzlichen Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des Beschwerdeführers im ERsB beurteilt werden (vgl. VwGH 23.02.2021, Ra 2019/04/0054 zur Rechtswidrigkeit einer an eine rechtswidrige Ermittlung von Daten anschließende Übermittlung).

3.4. Vor diesem Hintergrund ergibt sich für die Beschwerdesache Folgendes:

Die datenschutzrechtliche Verantwortlicheneigenschaft der mitbeteiligten Partei ergibt sich aus § 7 Abs. 1 E-GovG iVm. § 1 ERegV 2009, wonach die Stammzahlenregisterbehörde das Ergänzungsregister zu führen hat (siehe dazu auch § 6b E-GovG, i.d.F. BGBl. Nr. I 119/2022).

Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01 (Österreichischer Rundfunk ua), Rn 65; 16.12.2008, C-524/06 (Huber), Rn 48).

Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 90).

In der Stellungnahme vom 10.08.2020 zieht die mitbeteiligte Partei den Erlaubnistatbestand gemäß Art. 6 Abs. 1 lit. e DSGVO in Betracht (OZ 1, S 43). Fest steht, dass eine Einwilligung des Beschwerdeführers zur Verarbeitung nicht vorlag (Art. 6 Abs. 1 lit. a DSGVO). Auch war die Verarbeitung für die Erfüllung eines Vertrages (Art. 6 Abs. 1 lit. b DSGVO) sowie aus lebenswichtigen Interessen des Beschwerdeführers (Art. 6 Abs. 1 lit. d DSGVO) nicht erforderlich. Art. 6 Abs. 1 lit. f DSGVO kann von Behörden als Rechtfertigung zur Verarbeitung von personenbezogenen Daten nicht herangezogen werden (Art. 6 Abs. 1, letzter Satz DSGVO).

Vor diesem Hintergrund kommen nur Art. 6 Abs. 1 lit. c und e DSGVO als Rechtfertigung der Verarbeitung der personenbezogenen Daten des Beschwerdeführers in Frage. Dabei ist zu beachten, dass die in Art. 6 Abs. 1 lit. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen sind, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 93, mwH).

3.4.1. Zur Rechtmäßigkeit der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO bis zum 27.07.2023:

Art. 6 Abs. 1 lit. c DSGVO setzt eine Verpflichtung kraft objektiven Rechts voraus. Die rechtliche Verpflichtung muss unmittelbaren Bezug zur Datenverarbeitung aufweisen und gerade die zu erfüllende Rechtspflicht begründen, also eine Verarbeitungspflicht anordnen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO (Stand 7.5.2020, rdb.at), Rn 39 f.; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO (Stand 1.12.2020, rdb.at), Rn 42).

§ 6 Abs. 4 E-GovG (idF BGBl. I Nr. 119/2022 bis zum 27.07.2023) sah vor, dass Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, auf ihren Antrag oder in den Fällen des § 10 Abs 2 auf Antrag des Verantwortlichen der Datenverarbeitung im Ergänzungsregister einzutragen sind. Das Ergänzungsregister wurde getrennt nach natürlichen Personen und sonstigen Betroffenen geführt. Dahingehend übereinstimmend führte § 1 ERegV 2009 aus, dass die Stammzahlenregisterbehörde das Ergänzungsregister für Betroffene führt, die weder im Zentralen Melderegister (ZMR) eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen. Betroffene natürliche Personen wurden im Ergänzungsregister für natürliche Personen (ERnP) geführt, alle anderen Betroffenen im Ergänzungsregister für sonstige Betroffene (ERsB).

Aufgrund des eindeutigen Wortlauts ist erkennbar, dass eine Verarbeitung in einem Ergänzungsregister erst dann möglich ist, wenn der Betroffene weder im Melderegister eingetragen ist bzw. noch im Firmenbuch oder im Vereinsregister eingetragen werden muss. Im gegenständlichen Fall war der Beschwerdeführer von XXXX 1991 bis XXXX 2015 im Zentralen Melderegister eingetragen bzw. ist der Beschwerdeführer seit XXXX 2016 im Zentralen Melderegister eingetragen. Schon vor diesem Hintergrund scheidet eine Eintragung in das ERsB im Zeitraum bis XXXX 2015 sowie von XXXX 2016 bis 27.07.2023 aus. Dies findet auch seine Deckung in den damaligen Materialen zum E-GovG: „Das Stammzahlenregister der natürlichen Personen ist nur ein virtuelles Register, dessen Einträge nur jeweils im Bedarfsfall kurz zum Zweck der Errechnung erzeugt und sodann sofort wieder gelöscht werden. Für andere Betroffene ist es hingegen auf Dauer eingerichtet, und zwar in Form des Firmenbuches, des Zentralen Vereinsregisters und des Ergänzungsregisters für nicht-natürliche Personen“ (ErlRV 252 BlgNr XXII. GP, 9). Besonders deutlich wird in ErlRV 290 BlgNr XXIII. GP, 4 hervorgehoben, wann eine Eintragung in ein Ergänzungsregister zulässig ist: „Daher soll bei Betroffenen, die natürliche Personen sind, auf das Faktum der Eintragung in das Zentrale Melderegister abgestellt werden. Bei anderen Betroffenen soll weiterhin darauf abgestellt werden, ob diese weder im Firmenbuch noch im Vereinsregister eingetragen sein müssen.“ Aus dem klaren Gesetzeswortlaut und den entsprechenden Ausführungen in den Materialien ergibt sich, dass eine Eintragung eines Betroffenen in das ERsB dann nicht mehr möglich ist, wenn eine Eintragung im Zentralen Melderegister vorliegt. In dem Zeitraum aber, in dem der Beschwerdeführer nicht im Zentralen Melderegister eingetragen war ( XXXX 2015 bis XXXX 2016) wäre der Beschwerdeführer als natürliche Person ebenfalls nicht in das ERsB einzutragen gewesen, sondern in das ERnP. Die Einzelfirma eines Einzelunternehmers stellt weder ein selbständiges Rechtssubjekt noch ein Rechtsobjekt neben und außer dem Unternehmer dar, sondern ist nur Kennzeichen eines Unternehmens, dessen Rechtsträger der Unternehmer als natürliche Person bildet; deshalb ist nicht die Firma Trägerin von Rechten und Pflichten, sondern der damit gekennzeichnete Inhaber eines bestimmten Unternehmens (vgl OGH 25.03.2012, 5 Ob 219/09f mwN; RIS-Justiz RS0039739; RS0061885; RS0061904; RS0035318).

Dem rollenbasierten Ansatz der mitbeteiligten Partei, der auf dem Betroffenenbegriff des § 2 Z 7 E-GovG basiert, wonach einem Menschen mehrere Identitäten zukommen können, je nachdem, ob jemand in seiner privaten oder wirtschaftlichen Eigenschaft auftritt, kann nicht gefolgt werden. So ergibt sich bereits aus der Präambel/Promulgationsklausel der Ergänzungsregisterverordnungen (BGBl. II. Nr. 331/2009 bzw. auch BGBl II. Nr. 241/2022), dass diese Verordnungen insbesondere aufgrund des § 6 Abs. 4 E-GovG erlassen worden sind. § 6 Abs. 4 E-GovG enthält im Vergleich zu § 2 Z 7 E-GovG nur einen auf weder im Melderegister, Firmenbuch, oder Vereinsregister Eingetragene abstellenden Betroffenenbegriff. In diesem Zusammenhang ist zu beachten, dass der äußerste mögliche Wortsinn die Grenze jeglicher Auslegung absteckt (VwGH 29.06.2022, Ra 2020/06/0041). Der von der mitbeteiligten Partei vertretene rollenbasierte Ansatz geht erst aus den umfassenden Änderungen des E-GovG (siehe dazu BGBl. I Nr. 199/2022, tritt ein Jahr nach dem Tag der Kundmachung [27.07.2022] in Kraft) sowie den dazugehörigen Erläuterungen (ErlRV 1443 BlGMr XXVII. GP, 1 ff) hervor. Die Materialien, können allerdings immer nur zu Auslegung des Gesetzes, dessen Vorarbeiten sie sind, herangezogen werden. Auf Absichten bei der Erlassung eines früheren Gesetzes kann daraus nicht geschlossen werden (vgl RIS-Justiz RS0008771).

Hinsichtlich des Zeitraumes bis XXXX 2015 sowie ab XXXX 2016 scheitert die Eintragung des Beschwerdeführers somit bereits an seiner Eintragung ins ZMR. Die Verarbeitung seiner personenbezogenen Daten im ERsB kann daher nicht auf Art. 6 Abs. 1 lit. c DSGVO gestützt werden.

Im Zeitraum von XXXX 2015 und XXXX 2016, in dem der Beschwerdeführer nicht im ZMR eingetragen war, wäre der Beschwerdeführer als natürliche Person dem Gesetzeswortlaut nach aber nicht in das öffentlich geführte ERsB, sondern ausschließlich in das nicht öffentlich geführte ERnP einzutragen gewesen, sodass die Verarbeitung der personenbezogenen Daten im ERsB ebenfalls nicht auf Art. 6 Abs. 1 lit. c DSGVO gestützt werden kann.

3.4.2. Zur Rechtmäßigkeit der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e DSGVO bis zum 27.07.2023:

Gemäß Art. 6 Abs. 1 lit. e DSGVO ist eine Verarbeitung rechtmäßig, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Art. 6 Abs. 1 lit. e DSGVO steht in einem engen Zusammenhang mit Art. 6 Abs. 2 und 3 DSGVO, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Art. 6 Abs. 3 stellt klar, dass die Verarbeitung auf dem Unionsrecht oder dem Recht der Mitgliedstaaten beruhen muss, dem der Verantwortliche unterliegt, und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 127 f sowie ErwGr 45).

Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Ferner können in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert werden (vgl. ErwGr 45 Satz 1 und 5). Insofern kann bzw. können die Aufgabe bzw. die Befugnisse des Verantwortlichen durch die Rechtsgrundlage begrenzt werden.

Wie bereits ausgeführt, werden in § 6 Abs. 4 E-GovG die Aufgaben und Befugnisse derart umschrieben, dass Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, auf ihren Antrag oder in den Fällen des § 10 Abs. 2 E-GovG auf Anregung einer anderen Stelle der Datenanwendung im Ergänzungsregister einzutragen sind. Aufgaben bzw. Befugnisse, die über den äußersten möglichen Wortsinn der Regelung hinausgehen (vgl VwGH 29.06.2022, Ra 2020/06/0041), kommen der mitbeteiligten Partei nicht zu. Wie bereits dargestellt, ist eine Verarbeitung von personenbezogenen Daten des Beschwerdeführers im ERsB somit nicht möglich, da er bereits im Zentralen Melderegister eingetragen war bzw. im Zeitraum von XXXX 2016 bis 27.07.2023 in das ERnP einzutragen gewesen wäre.

Die Verarbeitung der personenbezogenen Daten des Beschwerdeführers im ERsB kann daher auch nicht auf Art. 6 Abs. 1 lit. e DSGVO gestützt werden.

3.4.3. Zu den Grundsätzen der Verarbeitung:

Unabhängig von der fehlenden rechtmäßigen Verarbeitung gemäß Art. 6 DSGVO verstießen die Eintragungen der personenbezogenen Daten des Beschwerdeführers gegen das Zweckbindungsprinzip des Art. 5 Abs. 1 lit. b DSGVO, weil der Zweck des ERsB ausschließlich in der eindeutigen Identifikation von Betroffen, die weder im Zentralen Melderegister noch im Firmenbuch oder im Vereinsregister eingetragen sind, durch deren Stammzahl besteht. Weiters liegt ein Verstoß gegen die Verpflichtung der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO vor, weil die Eintragung von natürlichen Personen in das ERsB weder vom Zweck der Verarbeitung gedeckt noch auf das notwendige Maß beschränkt ist. Warum die in § 14 Abs. 1 ERegV 2009 (idF BGBl. II Nr. 331/2009) vorgesehene öffentliche Verfügbarkeit des ERsB für die Erreichung des Zwecks der Verarbeitung erforderlich sein sollte, wird weder begründet, noch ist dies auch nur im Ansatz erkennbar (Jahnel, Das Ergänzungsregister für sonstige Betroffene, jusIT 2020, 88). Vielmehr wurde der Zugangspfad zum öffentlich geführten ERsB am 07.05.2020 gesperrt, das ERsB wurde sodann ab 10.07.2020 als nicht-öffentliches Register geführt und ist erst nach Inkrafttreten der gesetzlichen Änderungen seit 28.07.2023 wieder öffentlich abrufbar.

3.4.4. Ergebnis:

Die (öffentliche) Verarbeitung der personenbezogenen Daten des Beschwerdeführers im ERsB durch die mitbeteiligte Partei kann auf keine gültige Rechtsgrundlage gestützt werden, womit die mitbeteiligte Partei den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat. Der Beschwerde war daher stattzugeben und der Spruch des angefochtenen Bescheides entsprechend abzuändern.

Soweit der Beschwerdeführer beantragte, das Bundesverwaltungsgericht möge der mitbeteiligten Partei auftragen, es in Hinkunft zu unterlassen, die personenbezogenen Daten des Beschwerdeführers zu veröffentlichen, ist festzuhalten, dass der Beschwerdeführer zwischenzeitig nicht mehr im ERsB eingetragen ist und eine drohende Veröffentlichung der Daten im ERsB daher nicht mehr zu befürchten ist.

Es war spruchgemäß zu entscheiden.

3.5. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art 47 GRC entgegenstehen.

Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In der Beschwerde wurde auch kein dem Ergebnis des behördlichen Ermittlungsverfahrens entgegenstehender bzw. darüberhinausgehender relevanter Sachverhalt behauptet (VwGH 24.02.2015, Ra 2014/19/0171).

Der entscheidungsrelevante Sachverhalt, insbesondere hinsichtlich der Eintragungen zum Beschwerdeführer im ERsB, ist im gegenständlichen Verfahren unbestritten.

Das Bundesverwaltungsgericht hat vorliegend daher ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.6.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff). Dem Entfall der Verhandlung stehen auch weder Art. 6 Abs. 1 EMRK noch Art. 47 der Charta der Grundrechte entgegen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Dieser Ausspruch ist kurz zu begründen.

Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Im Übrigen war eine Beurteilung des Einzelfalls vorzunehmen.

Es war daher spruchgemäß zu entscheiden.