OLG Wien 11R202/24t

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 26.02.2025
• ECLI: ECLI:AT:OLG0009:2025:01100R00202.24T.0226.000

Kopf

Das Oberlandesgericht Wien hat als Rekursgericht durch die Senatspräsidentin des Oberlandesgerichts Dr. Primus als Vorsitzende, den Senatspräsidenten des Oberlandesgerichts MMMag. Frank und die Richterin des Oberlandesgerichts Mag. Fidler in der Rechtssache der klagenden Partei Dr. M*, geboren am **, Rechtsanwalt, **, vertreten durch die Brand Neuhauser Donner-Reichstädter Rechtsanwälte GmbH in Wien, gegen die beklagte Partei ORF-Beitrags Service GmbH, FN174754t, 1040 Wien, Operngasse 20B, vertreten durch die Schönherr Rechtsanwälte GmbH in Wien, wegen Unterlassung (Streitwert EUR 5.000) über den Rekurs der klagenden Partei gegen den Beschluss des Landesgerichts für Zivilrechtssachen Wien vom 6. November 2024, GZ: **-21, in nichtöffentlicher Sitzung den

Beschluss

gefasst:

Spruch

Dem Rekurs wird nicht Folge gegeben.

Die klagende Partei ist schuldig, der beklagten Partei binnen 14 Tagen die mit EUR 502,70 bestimmten Kosten des Rekursverfahrens (darin EUR 83,78 USt) zu ersetzen.

Der Wert des Entscheidungsgegenstandes übersteigt EUR 5.000.

Der ordentliche Revisionsrekurs ist zulässig.

Begründung

Begründung

Der Beklagten oblag bis 31.12.2023 als „GIS-Gebühren Info Service GmbH“ ("GIS") unter anderem die Einbringung der Rundfunkgebühren und sonstiger damit verbundener Abgaben und Entgelte einschließlich der Entscheidung über Befreiungsanträge (§ 4 Abs 1 Rundfunkgebührengesetz). Nach § 4 Abs 3 Rundfunkgebührengesetz hatte die Gesellschaft alle Rundfunkteilnehmer zu erfassen. Zu diesem Zweck hatten die Meldebehörden auf Verlangen der Gesellschaft dieser Namen (Vor- und Familiennamen), Geschlecht, Geburtsdatum und Unterkünfte der in ihrem Wirkungsbereich gemeldeten Personen in der dem jeweiligen Stand der Technik entsprechenden Form zu übermitteln. Die Gesellschaft durfte die übermittelten Daten ausschließlich zum Zweck der Vollziehung des Rundfunkgebührengesetzes verwenden und hatte dafür Sorge zu tragen, dass die Daten nur im zulässigen Umfang verwendet werden, sowie Vorkehrungen gegen Missbrauch zu treffen. Von den Meldebehörden übermittelte Daten waren grundsätzlich längstens mit Ablauf des dem Einlangen folgenden Kalenderjahrs zu löschen.

§ 6 Abs 1 Rundfunkgebührengesetz nimmt unter dem Titel "Verfahren" auf die "behördlichen Aufgaben nach § 4 Abs 1" Bezug und ordnet an, dass gegen die von der Gesellschaft erlassenen Bescheide die Beschwerde an das Bundesverwaltungsgericht zulässig und dass das AVG anzuwenden ist. Gemäß § 6 Abs 3 Rundfunkgebührengesetz sind rückständige Gebühren im Verwaltungsweg hereinzubringen. Gemäß § 6 Abs 4 Rundfunkgebührengesetz war die GIS befugt, Rückstandausweise oder Gebührenbescheide zur gerichtlichen Eintreibung von Geldleistungen zu erlassen. Die Tätigkeit der GIS unterlag der Aufsicht des Bundesministers für Finanzen (§ 5 Abs 6 RGG).

Seit 1.1.2024 ist die Beklagte unter der neuen Firma „ORF-Beitrags Service GmbH“ in gleicher Weise unter anderem mit der Erhebung des ORF-Beitrags und der Ermittlung aller Beitragsschuldner betraut (§§ 10 bis 17 ORF-Beitrags-Gesetz 2024). Sie ist nach § 13 Abs 5 ORF-Beitrags-Gesetz 2024 "Verantwortlicher" nach Art 4 Z 7 DSGVO für die nach § 13 Abs 1 bis 4 ORF-Beitrags-Gesetz 2024 verarbeiteten Daten (so die nunmehr vom Bundesminister für Inneres auf Verlangen monatlich zu übermittelnden Meldedaten volljähriger Personen: Namen, Geburtsdatum, akademischer Grad, Hauptwohnsitz, Adresscode).

Der Kläger begehrt von der Beklagten, es zu unterlassen, seine personenbezogenen Daten, jedenfalls dessen Vor- und Nachnamen, sein Geburtsdatum und die postalische Anschrift, dritten Personen unrechtmäßig zugänglich zu machen, es sei denn, die Beklagte habe als Verantwortliche geeignete technische und organisatorische Maßnahmen gemäß Art 32 DSGVO („Sicherheit der Verarbeitung“) bei der Verarbeitung seiner personenbezogen Daten gesetzt; sie habe es insbesondere zu unterlassen, ohne seine Zustimmung seinen Vor- und Nachnamen, sein Geburtsdatum und die postalische Anschrift, unbefugten dritten Personen, insbesondere "Hackern", dadurch zugänglich zu machen, dass sie und/oder auch ihre Auftragsverarbeiter - insbesondere die V* GmbH - den Zugangs-Port zum Server, auf dem sich seine personenbezogen Daten befänden, öffne und ungeschützt - insbesondere ohne zusätzliche Zugangsbeschränkung durch Authentifizierung mittels Nutzernamen und Passwort - offen lasse. Der Beklagten seien die Meldedaten von lokalen Meldebehörden in unterschiedlichen Dateiformaten zur Verfügung gestellt worden. Sie habe zur automatisierten Vereinheitlichung (Normierung) der unterschiedlichen Datenstrukturen einen IT-Dienstleister, die V* GmbH ("V*"), beauftragt. Im Rahmen des Projektauftrags habe die V* die von der Beklagten zur Verfügung gestellten Daten, Meldedaten von Millionen von Österreichern, auf eine Testumgebung geladen. Im Mai 2020 sei es zu einem Datensicherheitsvorfall gekommen. Ein Zugangs-Port zum Server der Testumgebung sei geöffnet und offen gelassen worden. Vorkehrungen, um einen unautorisierten Zugriff zu verhindern, seien nicht ergriffen worden. Dadurch sei es einem Hacker gelungen, den von der Beklagten zur Verfügung gestellten Meldedatensatz zu exfiltrieren. Der Hacker habe in der Folge den Datensatz im Internet zum Verkauf angeboten. Nachdem der Datensatz von einer öffentlichen Stelle in Österreich angekauft worden sei, sei er offline genommen worden. Auch Meldedaten des Klägers, insbesondere Name, Geburtsdatum und Wohnadresse, seien betroffen gewesen. Dem Kläger sei im Rahmen des Auskunftsverfahrens seitens der Datenschutzbehörde Ende 2022 mitgeteilt worden, das seine Meldedaten ebenfalls im betreffenden Datensatz enthalten gewesen seien. Die Beklagte habe es pflichtwidrig unterlassen, die notwendigen technischen und organisatorischen Maßnahmen zur Einhaltung des erforderlichen Schutzniveaus im Sinn des Art 32 DSGVO zu setzen, und habe damit das Recht des Klägers auf Geheimhaltung seiner personenbezogenen Daten verletzt. Soweit sich der Datensicherheitsvorfall beim Auftragsverarbeiter ereignet habe, sei die Beklagte als Verantwortliche gleichwohl für die Einhaltung der technischen und organisatorischen Maßnahmen haftbar, weil ihr das Verhalten des Auftragsverarbeiters zuzurechnen sei. Dem Kläger stehe ein Unterlassungsanspruch gemäß Art 79 Abs 1 DSGVO zu. Die Beklagte habe sich geweigert, eine verbindliche Unterlassungserklärung zu unterfertigen, woraus sich eine Wiederholungsgefahr ergebe.

Die Beklagte bestritt das Klagebegehren und beantragte dessen Abweisung. Infolge Aufhebung des Rundfunkgebührengesetzes und Schaffung des neuen ORF-Beitrags-Gesetzes habe die „GIS-Gebühren Info Service GmbH“ als Behörde zu existieren aufgehört, die gesetzliche Grundlage der Beklagten und ihr Auftrag als Behörde hätten sich grundlegend geändert. Die ORF-Beitrags Service GmbH habe für die Verantwortlichkeit der GIS nicht einzustehen. Im Übrigen habe sich der Datensicherheitsvorfall nicht bei der GIS, sondern bei der von ihr beauftragten externen Dienstleisterin ereignet, an die die GIS die Daten rechtmäßig zur Normierung weitergegeben habe. Der Hackerangriff sei eine strafrechtswidrige Absaugung von Daten und keine Zugänglichmachung gewesen. Es stehe auch nicht fest, dass der vom Hacker zum Verkauf angebotene Datenbestand tatsächlich von der GIS oder der V* stamme und wie der Hacker allenfalls an diese Daten gelangt sei. Eine Vernachlässigung technischer und organisatorischer Maßnahmen durch die V* könne der GIS nicht zugerechnet werden. Die GIS habe den Dienstleister nur diligent auszuwählen, nicht jedoch die einzelnen Handlungen der Mitarbeiter des Dienstleisters zu überwachen gehabt. Eine allfällig unzureichende Umsetzung der Verpflichtungen des Art 32 DSGVO durch den Auftragsverarbeiter sei allein diesem zuzurechnen. Eine Wiederholungsgefahr bestehe nicht, weil die Beklagte nach dem ORF-Beitrags-Gesetz die benötigten Daten nunmehr einzig aus dem zentralen Melderegister beziehe, sodass externe IT-Dienstleister für die Normierung der Daten nicht mehr herangezogen werden müssten. Vorfälle wie jener im Jahr 2020 seien faktisch nicht mehr möglich. Die Beklagte wandte auch Verjährung ein, weil die analog anzuwendenden Präklusivfristen des § 24 Abs 4 DSG spätestens im Mai 2024 abgelaufen gewesen seien.

Mit dem angefochtenen Beschluss wies das Erstgericht die Unterlassungsklage nach Verhandlungsschluss wegen Unzulässigkeit des Rechtswegs zurück, ohne dass eine Einrede in diesem Sinn erhoben worden wäre. Rechtlich kam es zum Ergebnis, dass die Verarbeitung der Meldedaten des Klägers durch die Beklagte der Hoheitsverwaltung zuzurechnen sei. Die Beklagte habe die Meldedaten letztlich zur Einbringung der Gebühren im Verwaltungsweg erhalten und benötigt. Die Datenverarbeitung zur Vereinheitlichung (Normierung) dieser Daten unter Heranziehung eines IT-Dienstleisters (Auftragsverarbeiters) habe der Erfüllung dieser Aufgabe gedient. Auch nach geltender Rechtslage komme der Beklagten die Befugnis zur Verarbeitung der ihr vom Bundesminister für Inneres zur übermittelnden Meldedaten aufgrund ihrer Beleihung mit hoheitlichen Aufgaben zu. Die Unterlassungsklage ziele auf hoheitliches Handeln der Beklagten ab, ihr stehe der verfassungsrechtliche Grundsatz der Trennung von Justiz und Verwaltung entgegen. Der Kläger könne wegen eines Verstoßes gegen die Bestimmungen über die Geheimhaltung seiner persönlichen Meldedaten eine Beschwerde gegen die Beklagte bei der Datenschutzbehörde einbringen, die ihr, wie von der DSGVO gefordert, einen wirksamen gerichtlichen Rechtsschutz eröffne, weil gegen Bescheide der Datenschutzbehörde oder deren Säumnis Beschwerde beim Bundesverwaltungsgericht erhoben werden könne und dieses Gericht den mit den richterlichen Garantien der Bundesverfassung ausgestattet sei.

Gegen diesen Beschluss richtet sich der Rekurs des Klägers wegen unrichtiger rechtlicher Beurteilung mit dem Abänderungsantrag, den angefochtenen Beschluss ersatzlos aufzuheben.

Die Beklagte beantragte, dem Rekurs nicht Folge zu geben.

Der Rekurs ist nicht berechtigt.

Bei der Beklagten trat mit der Aufhebung des Rundfunkgebührengesetzes gemäß § 21 Abs des am 1.1.2024 in Kraft getretenen ORF-Beitrags-Gesetzes 2024 (BGBl I 2023/112) nur eine Namensänderung ("Änderung der Firma") ein; als mit der Einhebung der Gebühren (neu: Beiträge) betraute Rechtsträgerin blieb die Gesellschaft hingegen bestehen und führt ihre Tätigkeit nunmehr auf neuer Rechtsgrundlage fort (RV 2082 BlgNR GP 27. 34). Nach der Übergangsregelung des § 21 Abs 6 ORF-Beitrags-Gesetz 2024 dürfen bei Inkrafttreten dieses Gesetzes bei der Gesellschaft gespeicherte Daten, die sich auf Rundfunkteilnehmer im Sinn des Rundfunkgebührengesetzes beziehen, von der Gesellschaft als Verantwortlicher (Art 4 Z 7 DSGVO), zum Zweck der Erhebung des ORF-Beitrags, der Entscheidung über Befreiungsanträge und der Erfassung aller Beitragsschuldner nach den Bestimmungen dieses Gesetztes verarbeitet werden (RV 2082 BlgNR GP 27. 34 f). Die Beklagte ist nun gesetzlich ausdrücklich als "mit hoheitlichen Aufgaben beliehenes Unternehmen", insbesondere in Bezug auf die Erhebung des ORF-Beitrags sowie die Ermittlung der Beitragsschuldner, bezeichnet (§ 10 Abs 1 ORF-Beitrags-Gesetz 2024). Auch nach der alten Rechtslage wurde sie aber als mit Aufgaben der Hoheitsverwaltung beliehen angesehen (Kogler/Traimer/Truppe, Österreichische Rundfunkgesetze4 953, unter Hinweis auf VfSlg 14.473/1996, VfSlg 16.400/2001).

Der Oberste Gerichtshof hat kürzlich in einer ähnlich gelagerten Sache, in der die Herausgabe einer (elektronischen) Kopie personenbezogener Daten, die Gegenstand der Verarbeitung durch die Datenschutzbehörde gewesen seien, begehrt war, die Zulässigkeit des Rechtswegs verneint, und zwar zusammengefasst mit folgender Begründung:

Für Ansprüche, die auf die DSGVO gestützt sind, besteht zwar nach ständiger Rechtsprechung grundsätzlich (gemäß Art 77, 79 DSGVO und ErwGr 141 zur DGSVO) doppelgleisiger (verwaltungsbehördlicher und gerichtlicher) Rechtsschutz. Ob allerdings nach nationalem Recht der ordentliche Rechtsweg beschritten werden kann, hängt davon ab, ob ein bürgerlich-rechtlicher Anspruch im Sinn des § 1 JN geltend gemacht wird. Das ist ein Anspruch zwischen (rechtlich) gleichgeordneten Rechtssubjekte, der vom Gesetz nicht ausdrücklich vor eine andere Behörde verwiesen ist. Die Datenschutzbehörde ist als unabhängige, hoheitlich tätige Verwaltungsbehörde eingerichtet, die mit Bescheid entscheidet. Der nationale Gesetzgeber hat sämtlichen Rechtsschutz im Zusammenhang mit der Datenschutzbehörde der Verwaltungsgerichtsbarkeit zugeordnet, was nach der Rechtsprechung des EuGH deswegen im Einklang mit dem Unionsrecht steht, weil auch das Bundesverwaltungsgericht mit den in der Bundesverfassung normierten richterlichen Garantien (Unabhängigkeit, Unabsetzbarkeit und Unversetzbarkeit) ausgestattet ist (6 Ob 143/223g).

Diese Begründung beansprucht auch im vorliegenden Fall Geltung.

Die Beklagte führte und führt ihre "behördlichen" Aufgaben (früher: Einbringung der Gebühren, sonstige Abgaben und Entgelte, Entscheidung über Befreiungsanträge [§ 4 Abs 1 Rundfunkgebührengesetz]; nunmehr: Erhebung des ORF-Beitrags und sonstiger Abgaben, Ermittlung der Beitragsschuldner, Entscheidung über Befreiung von Beitragspflicht [§ 10 Abs 1 ORF-Beitrags-Gesetz 2024]) wie dargestellt als mit hoheitlichen Befugnissen beliehenes Unternehmen aus. Sie hat in Wahrnehmung dieser Aufgaben (letztlich) Bescheide zu erlassen, gegen die Beschwerde an das Bundesverwaltungsgericht erhoben werden kann, und etwa auch Rückstandsausweise auszustellen (nunmehr: §§ 12 Abs 2 ORF-Beitrags-Gesetz 2024).

Auch die der Erfüllung dieser behördlichen Aufgaben dienende Verarbeitung personenbezogener Daten im Sinn der DSGVO (elektronischer Art) oder des DSG (auch analoger Natur) ist daher, wie schon der Erstrichter zutreffend erkannt hat, der Hoheitsverwaltung zuzuordnen. Nach geltender Rechtslage gilt dies insbesondere auch, soweit diese Verarbeitung zur (bloßen) Ermittlung der Beitragsschuldner geschieht, weil auch diese Aufgabe gemäß § 10 Abs 1 ORF-Beitrags-Gesetz 2024 als eine behördliche angeführt ist, mit der die Beklagte beliehen ist.

Ein künftiger Eingriff in das Grundrecht des Klägers auf Datenschutz (§ 1 DSG), wie er mit der Unterlassungsklage abgewehrt werden soll, könnte daher in diesem Zusammenhang auch nur in Vollziehung der Gesetze erfolgen. Die Unterlassungsklage zielt damit, so schon richtig der Erstrichter, unzulässigerweise auf eine Untersagung (wenn auch rechtswidrigen) hoheitlichen Handelns.

Rechtswidriges und schuldhaftes hoheitliches Handeln kann gemäß § 1 Abs 1 AHG einen Amtshaftungsanspruch begründen, von dem strittig ist, ob er zivilrechtlicher Natur ist (Mader in Schwimann/Kodek XI5, vor § 1 AHG Rz 3 mwN). Andere Ansprüche als Schadenersatz auf Zahlung oder Feststellung der Ersatzpflicht können nicht auf das AHG gestützt werden. Insbesondere sind nach der Rechtsprechung Wiederherstellungs- oder (vorbeugende) Unterlassungsbegehren nicht möglich (Mader in Schwimann/Kodek XI5, vor § 1 AHG Rz 6 am Ende; § 1 AHG Rz 87 mwN).

In Ermangelung einer Anspruchsgrundlage nach bürgerlichem Recht (§ 1 JN) war die Zurückweisung der Unterlassungsklage zu bestätigen.

Die Kostenentscheidung gründet sich auf die §§ 41 und 50 Abs 1 ZPO.

Der Bewertungsausspruch orientiert sich an der Interessenangabe der Klägerin.

Der ordentliche Revisionsrekurs ist zulässig, weil der Frage der Rechtswegzulässigkeit in der hier gegebenen Konstellation über den Einzelfall hinausgehende Bedeutung zukommt (§ 502 Abs 1 ZPO).