Bundesverwaltungsgericht W298 2301228-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 29.04.2026
• ECLI: ECLI:AT:BVWG:2026:W298.2301228.1.00

Spruch

W298 2301228-1/9E

Im namen der republik!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzenden und die fachkundige Laienrichterin Mag. Gerda Ferch-Fischer und den fachkundigen Laienrichter Mag. Florian Schultes als Beisitzerin und Beisitzer über die Beschwerde der XXXX , vertreten durch HOSP, HEGEN PARTNER Rechtsanwälte, Hellbrunner Straße 9a, 5020 Salzburg, gegen den Bescheid der Datenschutzbehörde vom 04.09.2024, GZ: XXXX (mitbeteiligte Partei: XXXX ), wegen Verletzung im Recht auf Geheimhaltung zu Recht erkannt:

A) Der Beschwerde der XXXX wird Folge gegeben und der Spruch des angefochtenen Bescheids dahingehend abgeändert, dass er insgesamt zu lauten hat:

„Die Datenschutzbeschwerde wird als unbegründet abgewiesen.“

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Die mitbeteiligte Partei (im Verfahren vor der Datenschutzbehörde „Beschwerdeführer“) erhob mit Eingabe vom 29.11.2023 eine Datenschutzbeschwerde gegen die XXXX (im Verfahren vor der Datenschutzbehörde „Beschwerdegegnerin“, im hg. Verfahren „Beschwerdeführerin“). Demnach habe sie bei der Beschwerdeführerin ein Konto sowie ein Schließfach, welche aus nicht genannten Gründen gekündigt worden seien. Die Kündigung sei an den Arbeitgeber der mitbeteiligten Partei ohne Zustimmung weitergeleitet worden, obwohl es sich dabei um rein private Informationen handle. Die mitbeteiligte Partei sei als Leiterin einer Einrichtung des XXXX bei einem Konto zeichnungsberechtigt, welches ebenfalls bei der Beschwerdeführerin laufe. Darin sehe die mitbeteiligte Partei den Zusammenhang des Schreibens an den Arbeitgeber.

2. Mit Eingabe vom 01.12.2023 verbesserte die mitbeteiligte Partei ihre Datenschutzbeschwerde infolge eines Mängelbehebungsauftrags durch die belangte Behörde und brachte vor, im September sei die Beschwerdeführerin mit der Aufforderung an sie herangetreten Nachweise für die Geldflüsse in Form von Gehaltsnachweisen zu erbringen, welcher sie auch nachgekommen sei. „Aus unbekannten und nicht genannten Gründen“ seien am XXXX sowohl das Konto als auch das Schließfach mit Anfang XXXX 2024 gekündigt worden. Dabei sei das Kündigungsschreiben an den Arbeitgeber der mitbeteiligten Partei verschickt worden. Das Kündigungsschreiben sei schließlich vom Arbeitgeber durch die höchste Vorgesetzte an die mitbeteiligte Partei weitergeleitet worden. Als Erklärung sei nur denkbar, dass die Beschwerdeführerin privat und geschäftlich verwechselt habe, da die mitbeteiligte Partei bei einem Konto ihrer Arbeitgeberin zeichnungsberechtigt sei.

3. Mit Stellungnahme vom 22.12.2023 führte die Beschwerdeführerin aus, es sei richtig, dass der gegenständliche Brief nicht an die private Wohnadresse der mitbeteiligten Partei übermittelt worden wäre, sondern mit dem Zusatz c/o an die Anschrift ihres Dienstgebers. Die Beschwerdeführerin bestätige, dass die Anschrift des Arbeitsgebers nicht mehr für Zustellungen, die die private Geschäftsverbindung der mitbeteiligten Partei betreffen würden, herangezogen werde. Die Vorwürfe der mitbeteiligten Partei hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung würden jedoch nicht zutreffen, da das Schreiben nämlich nicht an die Arbeitgeberin gerichtet gewesen sei, sondern namentlich an den Betroffenen.

4. Die mitbeteiligte Partei replizierte mit Stellungnahme vom 02.01.2024, dass ihr die Umstände bekannt seien. Die Kündigung sei an den Arbeitgeber versandt worden, wie dieser mit Briefverkehr umgehe, sei vermutlich nicht Angelegenheit einer Bank. Richtig wäre gewesen, die Kündigung an die private Adresse der mitbeteiligten Partei zu verschicken, es liege also ein Datenschutzverstoß vor.

5. Mit Bescheid vom 04.09.2024 gab die belangte Behörde der Beschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem sie ein ausschließlich das private Vertragsverhältnis mit der mitbeteiligten Partei betreffendes Kündigungsschreiben, datiert mit XXXX , an die Adresse des Arbeitsplatzes der mitbeteiligten Partei versendet habe.

Begründend führte sie im Wesentlichen aus, die Erforderlichkeit der Übermittlung an die Arbeitsadresse der Beschwerdeführerin zur Erfüllung dieses Interesses sei nicht gegeben gewesen. Die Beschwerdeführerin habe zu keinem Zeitpunkt näher dargelegt, aus welchen Gründen eine Zustellung an die Adresse des Arbeitsplatzes der mitbeteiligten Partei erfolgt sei, obwohl sie Kenntnis der privaten Wohnadresse habe. Damit sei die Beschwerdeführerin ihrer Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO nicht ausreichend nachgekommen. Die Übermittlung eines gänzlich privaten Schriftstückes (samt darin enthaltener personenbezogener Daten) an eine Stelle, bei welcher die potenzielle Kenntnisnahme durch Dritte (insb auch Vorgesetzte) entscheidend erhöht sei - nicht zuletzt auch, weil der Arbeitgeber selbst Kunde der Beschwerdeführerin sei bzw. im verfahrensrelevanten Zeitpunkt gewesen sei - stelle nach Ansicht der belangten Behörde auch nicht das gelindeste, zur Ziel führende Mittel dar (§ 1 Abs. 2 letzter Satz DSG) und überschreite damit überdies das notwendige Maß (Art. 5 Abs. 1 lit. c DSGVO).

6. Die Beschwerdeführerin erhob gegen den Bescheid der belangten Behörde Beschwerde und brachte darin vor, ein Mitarbeiter des Arbeitgebers der mitbeteiligten Partei habe den an die mitbeteiligte Partei adressierten, verschlossenen Brief eigenmächtig geöffnet, ohne vorher die Zustimmung der mitbeteiligten Partei einzuholen und diesen anschließend am XXXX an die mitbeteiligte Partei übermittelt. Die mitbeteiligte Partei sei auf ihren Wunsch hin als Zeichnungsberechtigte auf einem Girokonto ihres Arbeitgebers registriert worden, wobei für ihre Person als „Zeichnungsberechtigter“ mit ihrem Wissen und ihrer Zustimmung als Adresse XXXX erfasst worden wäre. Später habe die mitbeteiligte Partei am XXXX ein privates Girokonto bei der Beschwerdeführerin eröffnet unter Angabe der Zustelladresse XXXX . Dementsprechend habe die mitbeteiligte Partei für sich als Person zwei Zustelladressen betreffend ihre Person bekannt gegeben. Es seien fortan zwei Adressen gespeichert gewesen, und zwar die private Wohnanschrift und die Anschrift des Arbeitgebers. In zumindest zwei Fällen seien auch schon vor dem verfahrensgegenständlichen Vorfall, Schreiben - die das Privatkonto der mitbeteiligten Partei betroffen hätten - an ihre Arbeitsadresse XXXX adressiert und geschickt worden, was von der mitbeteiligten Partei jeweils akzeptiert worden wäre. Die mitbeteiligte Partei habe in keiner Form die Übermittlung der Schreiben an diese Adresse moniert. Die mitbeteiligte Partei habe auch im Hinblick auf das gegenständliche private Girokonto die Adresse XXXX als ihre Zustelladresse aktiv bestätigt. Die mitbeteiligte Partei habe zweimal hinsichtlich eines Antrages, der ausschließlich ihr Privatkonto betroffen habe, die Adresse des Arbeitgebers als Zustelladresse bestätigt. Insofern habe sie die Zustimmung, diese Adresse auch für Korrespondenz betreffend ihr Privatkonto zu verwenden erteilt beziehungsweise habe die Beschwerdeführerin zumindest davon ausgehen dürfen.

7. Mit Schreiben vom 11.10.2024 legte die belangte Behörde dem Bundesverwaltungsgericht die Bescheidbeschwerde samt dem gegenständlichen Verwaltungsakt zur Entscheidung vor.

8. Mit Parteiengehör vom 23.10.2024 übermittelte das Bundesverwaltungsgericht der mitbeteiligten Partei die Bescheidbeschwerde zur allfälligen Stellungnahme.

9. Das Bundesverwaltungsgericht forderte mit Schreiben vom 14.02.2025 die mitbeteiligte Partei auf, Kopien des Kontovertrags und des Vertrags über die Mietung des Safes, mit denen die im Schreiben vom XXXX angeführten Bankleistungen (Konto + Safe) abgeschlossen wurden, binnen einer Frist vom 14 Tagen vorzulegen.

10. Aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 03.03.2026 wurde am 11.03.2026 die gegenständliche Rechtssache der Geschäftsabteilung W291 abgenommen und der Geschäftsabteilung W298 neu zugewiesen.

11. Die mitbeteiligte Partei legte mit Schreiben vom 25.03.2025 die geforderten Unterlagen vor und führte in ihrer Stellungnahme aus, ihr Vorgesetzter habe das Schreiben nicht geöffnet, noch sei dieser für die Post verantwortlich. Das Schreiben sei ihm von seinem Vorgesetzten lediglich weitergeleitet worden. Es sei keinesfalls im Interesse eines Arbeitnehmers, dass die Arbeitgeberin beziehungsweise die dort vorgesetzten Personen von einer Angelegenheit wie einer Kontokündigung mit angeschlossener Safekündigung erfahren würde.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die Beschwerdeführerin führt ein Kreditinstitut mit Sitz in XXXX .

1.2. Die mitbeteiligte Partei war Kundin der Beschwerdeführerin und verfügte über ein privates Bankkonto und ein privates Schließflach. Am XXXX eröffnete die mitbeteiligte Partei ein Konto bei der Beschwerdeführerin, lautend auf folgende IBAN: XXXX . Bei der Kontoeröffnung wurde als Anschrift die private Adresse der mitbeteiligten Partei XXXX angegeben. Mit Vertag vom XXXX mietete die mitbeteiligte Partei ebenso einen Safe bei der Beschwerdeführerin lautend auf die Nummer XXXX . Eine Anschrift der mitbeteiligten Partei wurde im Safevertrag nicht angegeben.

1.3. Die Arbeitsstelle der mitbeteiligten Partei verfügt ebenso über ein Konto bei der Beschwerdeführerin, auf welchem die mitbeteiligte Partei zeichnungsberechtigt ist. Für ihre Funktion als Zeichnungsberechtigte des Kontos ihres Arbeitgebers gab sie als Zustelladresse nicht ihre private Wohnadresse an, sondern es wurde die Adresse des Arbeitgebers XXXX erfasst. Somit waren auf den Namen der mitbeteiligten Partei sowohl die Anschrift ihres Arbeitgebers als auch ihre private Anschrift im System der Beschwerdeführerin hinterlegt.

1.4. Die mitbeteiligte Partei beantragte bei der Beschwerdeführerin am XXXX die Aktivierung des XXXX . Dabei handelt es sich um ein ein „Cashback-Programm“.

Die Produktbeschreibung zur Aktivierung des XXXX und Entbindung vom Bankgeheimnis“ enthielt auszugweise folgende Produktbeschreibung:

„Das XXXX im Internetbanking XXXX bietet ein Cashback Programm an. Nach der Aktivierung des Plug-ins kann ich einzelne Cashback Angebote, für am Programm teilnehmende Händlerinnen aktivieren und erhalte am Beginn des Folgemonats für getätigte Zahlungen mit meiner Debitkarte / Kreditkarte einen entsprechenden Betrag rückerstattet.

Cashback Auszahlungen basierend auf den getätigten Zahlungen mit meiner Debitkarte / Kreditkarte werden monatlich gesammelt und spätestens am 15. Tag des folgenden Kalendermonats auf das mit der Debitkarte verbundene Zahlungskonto rückerstattet oder auf meiner Kreditkartenrechnung gutgeschrieben und der verfügbare Betrag auf der Kreditkarte erhöht. Die Auszahlung der Cashback Beträge erfolgt durch die XXXX . Wird das der Debitkarte zugeordnete Zahlungskonto oder die Kreditkarte geschlossen, bevor die Auszahlung erfolgen kann, erlischt das Recht auf Auszahlung der ausstehenden Cashback Zahlungen.

…

Bei der Aktivierung des Plug-ins werden pseudonymisierte Transaktionsdaten, die ich mit meiner Debitkarte oder Kreditkarte (inkl. Bargeldbehebungen mit der jeweiligen Karte) in den letzten 12 Monaten getätigt habe, an den Kooperationspartner und Auftragsverarbeiter der XXXX und XXXX (s. r.o., XXXX ) übermittelt. Die übermittelten Daten lassen keinen Rückschluss auf die jeweilige Person durch XXXX zu. Darüber hinaus werden laufend neu getätigte Transaktionen mit meiner Debitkarte oder Kreditkarte (inkk Bargeldbehebungen mit der jeweiligen Karte) XXXX in pseudonymisierter Form übermittelt (Details unter Punkt 5 in dieser Plug-in Vereinbarung).

…

Das Cashback Plug-in gilt für alle Debitkarten der XXXX (Maestro BankCards sind ausgeschlossen), die mit einem Konto verbunden sind, das von einer Verbraucherin geführt wird, sowie alle von der XXXX herausgegebenen s Kreditkarten (inklusive Zusatzkarten). Business -Kreditkarten sowie Prepaid Karten sind von diesem Cashback Plug-in ausgenommen.“

Im Antrag zum „Cashback Plug-in“ war die Anschrift des Arbeitgebers XXXX angeführt. Die mitbeteiligte Partei gab ihre Zustimmung dazu ab, indem sie eine elektronische Signierung über XXXX vornahm.

1.5. Die mitbeteiligte Partei erhielt im XXXX 2023 ein Informationsschreiben betreffend ihre private Kreditkarte mit dem Titel „Wir passen die Entgelte für Ihre Kreditkarte an den Verbraucherpreisindex an“. Dieses Schreiben datiert mit „ XXXX 2023“ war an die Adresse des Arbeitgebers der mitbeteiligten Partei gerichtet. Der Kopf des Schreibens enthielt folgende Angaben:

XXXX

1.6. Die Beschwerdeführerin als Kreditinstitut kann alle auf unbestimmte Zeit abgeschlossenen Verträge unter Einhaltung einer Kündigungsfrist von zwei Monaten kündigen.

Die Beschwerdeführerin teilte der mitbeteiligten Partei am XXXX die Kündigung ihres privaten Kontos per XXXX mittels eingeschriebenen Briefs mit. Das Kündigungsschreiben ging an die Adresse des Arbeitgebers der mitbeteiligten Partei XXXX . Die mitbeteiligte Partei erhielt am XXXX von ihrer Arbeitsstelle ein E-Mail mit folgendem Inhalt:

„Lieber XXXX , anbei ein Bankschreiben, welches in meinem Postfach war.

Mit der Bitte um Bearbeitung und LG XXXX .“

Der Anhang dieser E-Mail enthielt das mit XXXX datierte Einschreiben der Beschwerdeführerin mit dem Betreff „Auflösung der Geschäftsverbindung“ und wies folgenden Inhalt auf:

„Sehr geehrter Herr XXXX ,

leider müssen wir die Geschäftsverbindung mit lhnen per XXXX kündigen (gem. unserer Allgemeinen Geschäftsbedingungen).

Davon sind folgende Konten betroffen: XXXX

Bitte teilen Sie uns bis zum oben genannten Termin mit, auf welches Konto wir lhr Guthaben überweisen sollen. Bitte antworten Sie rechtzeitig, so ersparen Sie sich - und uns – viele Unannehmlichkeiten.

Des Weiteren müssen wir den von lhnen gemietet Safe mit der Nummer 136 kündigen.

Wir bitten Sie freundlich, diesen ordnungsgemäß bis zu der oben genannten Frist bei uns in der Filiale (inkl. der Schlüssel) aufzulösen. Falls Sie die Schlüssel für den gemieteten Safe nicht vorbeibringen, würde eine Gebühr von € 120,- für das Aufbrechen des Safes anfallen.

Freundliche Grüße

XXXX “

Der Briefkopf dieses Schreibens sah wie folgt aus:

XXXX

Bei dem angeführten Konto sowie der Safe-Nummer handelt es sich um das Privatkonto und das private Schließfach der mitbeteiligten Partei.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt, insbesondere der Datenschutzbeschwerde der mitbeteiligten Partei vom 29.11.2023 (verbessert mit Eingabe vom 01.12.2023), dem Bescheid vom 04.09.2024 sowie der dagegen erhobenen Beschwerde vom 02.10.2024.

Die Informationen zum Konto der mitbeteiligten Partei bei der Beschwerdeführerin waren dem Vertag zur Kontoeröffnung vom XXXX zu entnehmen. Die Informationen zum von der mitbeteiligten Partei angemieteten Safe bei der Beschwerdeführerin waren dem Safevertrag vom XXXX zu entnehmen. Beide Verträge wurden von der mitbeteiligten Partei dem Bundesverwaltungsgericht vorgelegt.

Die Feststellungen zur Aktivierung des XXXX durch die mitbeteiligte Partei und die Angabe der Anschrift ihres Arbeitgebers beziehungsweise die Bestätigung der Anschrift bei der Aktivierung dieses Programms, war dem Auszug vom XXXX zu entnehmen, auf welchem die Informationen zu diesem „Cashback-Programm“ enthalten sind sowie die Bestätigung der elektronischen Signierung durch die mitbeteiligte Partei über XXXX .

Dass die mitbeteiligte Partei bereits im XXXX 2023 ein Informationsschreiben von der Beschwerdeführerin erhielt, welches an die Anschrift ihres Arbeitgebers adressiert war, war dem betreffenden Schreiben vom XXXX 2023 zu entnehmen.

Die Möglichkeit der Kündigung abgeschlossener Verträge durch die Beschwerdeführerin, ergibt sich aus der Z 23 ihrer Allgemeinen Geschäftsbedingungen.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 DSG liegt gegenständlich Senatszuständigkeit vor.

Zu A) Stattgabe der Beschwerde:

3.2. Anzuwendendes Recht:

Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idgF lauten auszugsweise samt Überschrift wie folgt:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

[…]“

Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) vom 04.05.2016, im Folgenden: DSGVO, lauten auszugsweise samt Überschrift:

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

…

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

…

Das Bundesgesetz über das Bankwesen (Bankwesengesetz – BWG) lautet auszugweise wie folgt:

I. Allgemeine Bestimmungen

Kredit- und Finanzinstitute

§ 1. (1) Ein Kreditinstitut ist, wer auf Grund der §§ 4 oder 103 Z 5 dieses Bundesgesetzes oder besonderer bundesgesetzlicher Regelungen berechtigt ist, Bankgeschäfte zu betreiben. Bankgeschäfte sind die folgenden Tätigkeiten, soweit sie gewerblich durchgeführt werden:

1. Die Entgegennahme fremder Gelder zur Verwaltung oder als Einlage (Einlagengeschäft);

2. die Durchführung des bargeldlosen Zahlungsverkehrs und des Abrechnungsverkehrs in laufender Rechnung für andere (Girogeschäft);

3. der Abschluß von Geldkreditverträgen und die Gewährung von Gelddarlehen (Kreditgeschäft);

4. der Kauf von Schecks und Wechseln, insbesondere die Diskontierung von Wechseln (Diskontgeschäft);

5. die Verwahrung und Verwaltung von Wertpapieren für andere (Depotgeschäft);

6. die Ausgabe und Verwaltung von Zahlungsmitteln wie Kreditkarten, Bankschecks und Reiseschecks, wobei die Laufzeit der Kreditierung bei Kreditkarten nicht beschränkt ist;

…

3.3. In der Sache

Die belangte Behörde ging im angefochtenen Bescheid davon aus, dass es zu einer unbefugten Offenlegung der personenbezogenen Daten der mitbeteiligten Partei gekommen wäre, indem die Beschwerdeführerin ein ausschließlich das private Vertragsverhältnis mit der mitbeteiligten Partei betreffendes Kündigungsschreiben an die Adresse des Arbeitsplatzes der mitbeteiligten Partei versendet habe, ohne dazu berechtigt zu sein.

Fallbezogen war somit, vor dem Hintergrund des Verarbeitungsgrundsatzes des Art. 5 Abs. 1 lit. f DSGVO („Integrität und Vertraulichkeit“), zu beurteilen, ob die Beschwerdeführerin die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat, indem sie das Kündigungsschreiben vom XXXX an die Adresse des Arbeitgebers der mitbeteiligten Partei übermittelte und bei der Verfügung der Zustellung ausreichend dafür Sorge getragen hat, dass es zu keiner unbeabsichtigten Offenlegung durch Übernahme des Schriftstückes durch unbefugte Dritte kommen konnte. Fraglich ist, ob die Beschwerdeführerin zur Wahrung der Geheimhaltungsinteressen der mitbeteiligten Partei, ihre private Anschrift, welche auch bei der Kontoeröffnung angegeben wurde, verwenden hätte müssen und nicht das Schreiben an die Adresse des Arbeitgebers adressieren hätte dürfen.

3.3.1. Zur Rechtmäßigkeit der Verarbeitung:

3.3.1.1. Verantwortlicher für eine Datenverarbeitung ist gemäß Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3.3.1.2. Die Beschwerdeführerin ist ein Kreditinstitut. Ihr obliegt es auf Grundlage des § 1 Abs. 1 BWG Bankgeschäfte zu betreiben. Dabei schließt sie mit ihren Kund:innen Verträge über wiederholte oder andauernde Leistungen mit bestimmter oder unbestimmter Laufzeit ab, wie insbesondere Rahmenverträge für Zahlungsdienste (z. B. Girokontovertrag oder Kreditkartenvertrag) und Wertpapierdienstleistungen, Depotverträge, Kreditverträge, Safe- und Sparbuchschließfachmietverträge. Es ist im vorliegenden Fall unstrittig, dass die Beschwerdeführerin Verantwortliche für die Verarbeitung personenbezogener Daten der mitbeteiligten Partei zum Zweck der Erfüllung eines Vertrags ist, dessen Vertragspartei die mitbeteiligte Partei zum verfahrensgegenständlichen Zeitraum war.

3.3.1.3. Die seitens der Beschwerdeführerin verarbeiteten Informationen (Name, Adresse, Kontodaten) beziehen sich auf die Person der mitbeteiligten Partei, sodass es sich zweifellos um personenbezogene Daten im Sinne von Art. 4 Z 1 DSGVO handelt (zum Begriff der personenbezogenen Daten vgl. etwa VwGH 14.12.2021, Ro 2021/04/0007, Rn. 26 f).

3.3.1.4. Nach Art. 6 Abs. 1 lit. b DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung erforderlich ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist.

Im gegenständlichen Fall war die mitbeteiligte Partei Kundin der Beschwerdeführerin. Am XXXX schloss sie sowohl einen Vertrag zur Kontoeröffnung mit der Beschwerdeführerin ab, als auch einen Safevertrag. Die Beschwerdeführerin verarbeitete somit Daten der mitbeteiligten Partei zur Erfüllung eines Vertrages nach Art. 6 Abs. 1 lit. b DSGVO.

Zur Einhaltung der Verarbeitungsgrundsätze:

3.3.1.5. Im angefochtenen Bescheid bejahte die belangte Behörde eine (wohl gemeint unbeabsichtigte) Missachtung von Datenverarbeitungsgrundsätzen, weil die Beschwerdeführerin ihrer Rechenschaftspflicht gemäß Art 5 Abs. 2 DSGVO nicht nachgekommen sei. Die Übermittlung eines gänzlich privaten Schriftstückes (samt darin enthaltener personenbezogener Daten) an eine Stelle, bei welcher die potenzielle Kenntnisnahme durch Dritte (insb auch Vorgesetzte) entscheidend erhöht sei - nicht zuletzt auch, weil der Arbeitgeber selbst Kunde der Beschwerdeführerin sei bzw. im verfahrensrelevanten Zeitpunkt gewesen sei - stelle nach Ansicht der belangten Behörde auch nicht das gelindeste, zur Ziel führende Mittel dar (§ 1 Abs. 2 letzter Satz DSG) und überschreite damit überdies das notwendige Maß (Art. 5 Abs. 1 lit. c DSGVO). Schließlich müsse die mitbeteiligte Partei auch nicht mit dieser Art der Datenverarbeitung rechnen. Die belangte Behörde bejahte schließlich einen Verstoß gegen Art 5 Abs. 1 lit. a und lit. c sowie Abs. 2 DSGVO.

3.3.1.6. Vorwegzuschicken ist, dass – vorbehaltlich der in Art. 23 der Verordnung vorgesehenen Ausnahmen – jede Verarbeitung personenbezogener Daten insbesondere zum einen im Einklang mit den in Art. 5 der Verordnung aufgestellten Grundsätzen zur Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 der Verordnung genannten Rechtmäßigkeitsvoraussetzungen erfüllen sowie zum anderen die in den Art. 12 bis 22 DSGVO genannten Rechte der betroffenen Person beachten muss (vgl. EuGH, 11.07.2024, Rn. 49 und die dort angeführte Rechtsprechung). Gemäß dem Grundsatz der Integrität und Vertraulichkeit personenbezogener Daten, der in Art. 5 Abs. 1 Buchst. f DSGVO festgelegt ist, muss der Verantwortliche sicherstellen, dass solche Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen, und er muss nachweisen können, dass dieser Grundsatz beachtet wird.

Die Bestimmungen von Art. 5 Abs. 1 lit f, Art. 24 und Art. 32 DSGVO sind darauf gerichtet, dem Verantwortlichen vorzuschreiben, technische und organisatorische Maßnahmen zu treffen, die jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich verhindern. Die Geeignetheit solcher Maßnahmen ist konkret zu bewerten, indem geprüft wird, ob der Verantwortliche diese Maßnahmen unter Berücksichtigung der verschiedenen in den genannten Artikeln angeführten Kriterien und der Datenschutzbedürfnisse getroffen hat, die speziell mit der betreffenden Verarbeitung sowie den davon ausgehenden Risiken verbunden sind (vgl. EuGH, 14.12.2023, C-340/21, Rn. 31 ff).

Die inredestehende Datenverarbeitung betrifft die Zustellung einer verschlossenen, durch das Briefgeheimnis geschützten eingeschriebenen Postsendung mit einem Kündigungsschreiben an die Arbeitsadresse der mitbeteiligten Partei.

Die belangte Behörde geht davon aus, dass die Beschwerdeführerin durch die Zustellung der Postsendung an die Arbeitsadresse unberechtigter Weise eine Datenverarbeitung mit höherer Missbrauchswahrscheinlichkeit gewählt habe.

Das Bundesverwaltungsgericht kann in Ermanglung einer näheren Begründung und ohne diesbezüglicher Feststellungen oder Ermittlungen nicht nachvollziehen, wie die belangte Behörde zu dieser Würdigung kommt, jedoch ist anhand der Umstände zu erkennen, dass sich das relative Schutzniveau von eingeschriebenen Briefsendungen (somit mit Überprüfung der Identität des Übernehmers) bei der Zusendung an vertrauenswürdige und richtige Adressen gleicht. Insbesondere vor dem Hintergrund, dass eine strafgerichtliche Bewährung Verletzung des Briefgeheimnisses gemäß § 118 StGB in beiden Fällen (Verwendung von Arbeitsanschrift oder Wohnanschrift) besteht.

Die Beschwerdeführerin adressierte das verfahrensgegenständliche Kündigungsschreiben an die mitbeteiligte Partei und führte diesbezüglich den richtigen Vor- und Nachnamen sowie die Adresse der Arbeitsstelle der mitbeteiligten Partei an. Diesbezüglich ist hervorzuheben, dass die mitbeteiligte Partei nachweislich am XXXX die Adresse ihres Arbeitgebers als letzte Adresse im System der Beschwerdeführerin hinterlegte, indem sie bei der Aktivierung des das Privatkonto betreffenden „Cashback-Programm(s)“ die Anschrift ihres Arbeitgebers bei der elektronischen Authentifizierung XXXX des Vorgangs verwendete und diese auch Anschrift bestätigte. Die Beschwerdeführerin ging in der Folge berechtigter Weise davon aus, dass die dabei verwendete Adresse (beim Arbeitgeber der mitbeteiligten Partei) für die Zustellung von vertragsrelevanten Informationen auch verwendet werden kann. Außerdem wurde der mitbeteiligten Partei bereits zuvor an diese Adresse ein Schreiben zugestellt, welches ebenso das private Konto der mitbeteiligten Partei betraf. Es ist in diesem Zusammenhang zudem hervorzuheben, dass das Schreiben den Vor- und Nachnamen der mitbeteiligten Partei erhielt und dieses an sie adressiert war.

Der Beschwerdeführerin war bewusst, dass die mitbeteiligte Partei an der für die Zustellung verwendeten Adresse nicht wohnhaft war, weshalb sie vor ihrem Namen „c/o“ anführte. Der Verwaltungsgerichtshof sprach aus, dass der Vermerk des Absenders „c/o“ bzw „per Adresse“ bedeutet, dass dieser an der Adresse einer anderen bestimmt bezeichneten Person zur Zeit erreichbar ist. Eine Bevollmächtigung dieser Personen zum Empfang von (an den Absender gerichteten) Schriftstücken vermag aus dieser in der wiedergegebenen Form bezeichneten Anschrift nicht entnommen zu werden (VwGH 12.11.1976, 2131/75). Eine andere Person als die mitbeteiligte Partei wäre somit nicht zur Öffnung des Briefes bevollmächtigt gewesen.

3.3.1.7. Der Regelungsinhalt von Art 5 Abs 1 lit a ist als Verbot der rechtswidrigen, treuwidrigen (unfairen) oder intransparenten Verarbeitung zu verstehen. Diese drei Grundsätze Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz bestehen unabhängig voneinander, wenngleich sie Zusammenhänge aufweisen. Sie werden daher im Folgenden getrennt behandelt (Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art 5 DSGVO Rz 10 (Stand 1.10.2025, rdb.at)).

Personenbezogene Daten müssen nach Art 5 Abs 1 lit a auf rechtmäßige Weise verarbeitet werden, wobei die notwendigen Voraussetzungen einer rechtmäßigen Verarbeitung in Art 6 Abs 1 lit a bis f DSGVO explizit festgehalten sind (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 9 (Stand 1.12.2020, rdb.at)). Wie bereits ausgeführt, verarbeitete die Beschwerdeführerin die Daten der mitbeteiligten Partei gemäß Art 6 Abs. 1 lit b DSGVO, weil die Verarbeitung für die Erfüllung eines Vertrags erforderlich war, dessen Vertragspartei die betroffene Person war. Bei der Beurteilung der Verarbeitung nach dem Grundsatz „Treu und Glauben“ sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO Rz 12 (Stand 1.12.2020, rdb.at)). ErwGr 38 der DS-RL enthielt zu „Treu und Glauben“ Folgendes: „Datenverarbeitung nach Treu und Glauben setzt voraus, daß die betroffenen Personen in der Lage sind, das Vorhandensein einer Verarbeitung zu erfahren und ordnungsgemäß und umfassend über die Bedingungen der Erhebung informiert zu werden, wenn Daten bei ihnen erhoben werden. Es ist im konkreten Fall nicht ersichtlich, inwieweit dieser Grundsatz verletzt wurde. Die mitbeteiligte Partei hätte damit rechnen müssen, wenn sie im System XXXX der Beschwerdeführerin die Adresse ihres Arbeitgebers bestätigt, in Zukunft Post an diese Adresse zugestellt bekommen kann. Betreffend den Grundsatz der Transparenz, muss für die Betroffenen erkennbar sein, dass personenbezogene Daten verarbeitet werden, welche Daten verarbeitet werden, für welche Zwecke sie verarbeitet werden und durch wen sie verarbeitet werden (Identität des Verantwortlichen) und an wen sie ggf übermittelt werden. Darüber hinaus sollten die Betroffenen über Risiken, Vorschriften, Garantien und Rechte iZm der Verarbeitung informiert werden sowie über die Geltendmachung dieser Rechte. Diese Informationen müssen präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein (Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art 5 DSGVO Rz 18 (Stand 1.10.2025, rdb.at)). Wie bereits erwähnt, unterzeichnete die mitbeteiligte Partei ihren Antrag auf Aktivierung des XXXX am XXXX mittels elektronischer Authentifizierung durch XXXX . Dieser Antrag wurde für private Zwecke gestellt und betraf ausschließlich das private Konto der mitbeteiligten Partei. Solche in weiterer Folge potenziellen Cashback Auszahlungen basieren auf den getätigten Zahlungen der Debitkarte / Kreditkarte der mitbeteiligten Partei und werden laut Produktbeschreibung monatlich gesammelt und spätestens am 15. Tag des folgenden Kalendermonats auf das mit der Debitkarte verbundene Zahlungskonto rückerstattet oder auf der Kreditkartenrechnung gutgeschrieben und der verfügbare Betrag auf der Kreditkarte erhöht. Die mitbeteiligte Partei bestätigte somit bei einem Antrag, welcher in Zusammenhang mit ihrem privaten Girokonto stand, die Adresse des Arbeitgebers XXXX . Für die mitbeteiligte Partei war somit erkennbar, welche Daten in Bezug auf ihre privaten Konto verarbeitet werden. Ein Verstoß gegen die Grundsätze Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz durch die Beschwerdeführerin liegt somit nicht vor, weshalb keine Verletzung des Art 5 Abs. 1 lit a DSGVO vorliegt.

3.3.1.8. Der Grundsatz der Datenminimierung ist Ausdruck der Verhältnismäßigkeit und verlangt, die Verarbeitung personenbezogener Daten auf das Unvermeidbare zu reduzieren. Erst der Grundsatz der Datenminimierung bewirkt einen wesentlichen Aspekt der Zweckbindung: Er stellt sicher, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird (Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art 5 DSGVO Rz 34 (Stand 1.10.2025, rdb.at)). Die von der Beschwerdeführerin verarbeiteten Daten waren angemessen und erheblich. Ein Verstoß gegen Art 5 lit c DSGVO liegt somit nicht vor.

3.3.1.9. Nach Ansicht des erkennenden Senates hat die Beschwerdeführerin bei der Verfügung der Zustellung des in Rede stehenden Dokuments nicht gegen den Grundsatz des Art. 5 Abs. 1 lit. f DSGVO, bzw. gegen die weiteren Vorgaben des Art. 32 DSGVO hierzu, verstoßen, weil eine überscheißende Datenverarbeitung nicht im Ansatz zu erkennen ist: das inredestehende Schreiben wies außen neben Namen und Zustelladresse keine weiteren Identifikationsmerkmale auf. Das Schreiben selbst war wie festgestellt an die mitbeteiligte Partei adressiert, und ist tatsächlich der mitbeteiligten Partei als Empfängerin auch zugegangen. Die Bestimmung des Art. 5 Abs. 1 lit. f DSGVO verlangt im Übrigen nicht, dass jedes nur erdenkliche Risiko einer unbeabsichtigten Offenlegung vom Verantwortlichen durch Ergreifen technischer und organisatorischer Maßnahmen gänzlich ausgeschlossen wird. Vielmehr verlangt Art. 5 Abs. 1 lit. f DSGVO Das Ergreifen von Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten (vgl. EuGH, 14.12.2023, C-340/21, Rn. 31 ff).

Laut EuGH verpflichten Art 5 Abs 2 und Art 24 die Verantwortlichen insbesondere „zur Wahrung des Rechts auf Datenschutz geeignete Maßnahmen zu ergreifen, um etwaigen Verstößen gegen die Vorschriften der DSGVO vorzubeugen (EuGH 27. 10. 2022, C-129/21, Proximus, Rn 81). Ein Verstoß gegen die Vorschriften der DSGVO durch die Beschwerdeführerin konnte nicht festgestellt werden.

Die Verfügung der Zustellung des Dokumentes an die Adresse des Arbeitgebers der mitbeteiligten Partei verstößt nicht gegen den Verarbeitungsgrundsatz des Art. 5 Abs. 1 lit a, c oder f DSGVO („Integrität und Vertraulichkeit“) bzw. des Art.5 Abs. 2 DSGVO. Der Beschwerde war daher spruchgemäß stattzugeben.

Zum Entfall der mündlichen Verhandlung:

Von der Durchführung einer – im Übrigen von keiner der Parteien beantragten – mündlichen Verhandlung konnte gemäß § 24 Abs. 4 VwGVG Abstand genommen werden, da der entscheidungserhebliche Sachverhalt aus der Aktenlage in Verbindung mit der Beschwerde geklärt erscheint und eine mündliche Erörterung die weitere Klärung der Rechtssache nicht erwarten lässt. Daran ändert auch der Umstand nichts, dass die belangte Behörde fälschlich von einer Zustellung mit Zustellnachweis ausgegangen ist. Dem Entfall der Verhandlung stehen auch weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten, BGBl. Nr. 210/1958 noch Art. 47 der Charta der Grundrechte der Europäischen Union, ABl. Nr. C 83 vom 30.03.2010, S 389 entgegen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Eine Rechtsfrage grundsätzlicher Bedeutung liegt nicht vor, da die Beurteilung der Frage, ob ein datenschutzrechtlich Verantwortlicher ein dem jeweiligen Risiko angemessenes Schutzniveau bei der Verarbeitung sichergestellt hat, anhand der Umstände des Einzelfalles zu beurteilen ist. Der Rechtsprechung des Verwaltungsgerichtshofs war zu entnehmen, dass eine andere Person als die mitbeteiligte Partei nicht zur Öffnung des Briefes bevollmächtigt gewesen wäre. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen.