Bundesverwaltungsgericht W137 2292450-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 16.12.2024
• ECLI: ECLI:AT:BVWG:2024:W137.2292450.1.00

Spruch

W137 2292450-1/4E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie MMag. Jakob KALINA als Beisitzer:innen über die Beschwerde der XXXX , vertreten durch die Altenweisl Wallnöfer Watschinger Zimmermann RAe GmbH, gegen den Bescheid der Datenschutzbehörde vom 10.04.2024, GZ. D124.1941/23, 2024-0.085.514, zu Recht erkannt:

A)

Der Beschwerde wird Folge gegeben und der angefochtene Bescheid ersatzlos behoben.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit verfahrensleitender Eingabe vom 21.08.2023, verbessert mit Schriftsatz vom 31.08.2023, erhob XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde explizit gegen die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde; in Folge auch: XXXX ) wegen Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, die XXXX habe gegen die Beschwerdeführerin eine Klage eingebracht mit dem Vorwurf, die Mitgliedsbeiträge seien ohne Zustimmung ihrer Kunden erhöht worden. Im Zuge des Gerichtsverfahrens sei dann als Beweismittel eine E-Mail-Korrespondenz zwischen der mitbeteiligten Partei und der Beschwerdeführerin vorgelegt worden. Dies habe der mitbeteiligten Partei der Anwalt der XXXX mitgeteilt.

Sohin habe die Beschwerdeführerin die Daten der mitbeteiligten Partei (Name und E-Mail-Adresse) sowie den Umstand, dass sie Kunde bei ihr sei, ohne deren Zustimmung offengelegt. Zudem sei die mitbeteiligte Partei in diesem Zusammenhang vom Landesgericht XXXX (im Folgenden: LG) als Zeugin geladen worden.

2. Mit Stellungnahme vom 20.09.2023 führte die Beschwerdeführerin zur Datenschutzbeschwerde im Wesentlichen folgendes aus:

Sie betreibe mehrere Fitnesscenter, u.a. jenes in XXXX , wo die mitbeteiligte Partei Mitglied sei. Die Beschwerdeführerin habe lediglich die E-Mail-Korrespondenz mit der mitbeteiligten Partei an ihren Rechtsanwalt weitergeleitet, da diese für den Rechtsstreit mit der XXXX relevant gewesen sei. Weitere personenbezogene Daten seien hingegen nicht weitergegeben worden.

3. Mit Schreiben vom 29.09.2023 gab die Beschwerdeführerin ergänzend folgendes an:

Die Datenverarbeitung sei zur Erfüllung des Vertragsverhältnisses notwendig gewesen und die Verwendung der gegenständlichen Daten im Gerichtsverfahren diene ihren berechtigten Interessen. Die Vorlage der E-Mail-Korrespondenz habe lediglich zur allgemeinen Veranschaulichung der Abwicklung von Vertragsverhältnissen zwischen der Beschwerdeführerin und ihren Kunden gedient, ohne dabei näher auf das individuelle Vertragsverhältnis mit der mitbeteiligten Partei einzugehen. Der Schriftverkehr mit der mitbeteiligten Partei sei deswegen ausgewählt worden, da sich darin der für das Gerichtsverfahren bedeutende Standpunkt der Beschwerdeführerin besonders gut abbilde.

4. Mit Bescheid vom 10.04.2024, GZ. D124.1941/23, 2024-0.085.514, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 21.08.2023 statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt habe, indem sie eine E-Mail-Korrespondenz zwischen der Beschwerdeführerin und der mitbeteiligten Partei am XXXX unrechtmäßig über das erforderliche Ausmaß übermittelt habe.

In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Die Beschwerdeführerin betreibe mehrere Fitnesscenter, u.a. auch ein Fitnesscenter in XXXX , wo die mitbeteiligte Partei seit XXXX Mitglied sei.

Im Rahmen ihrer Mitgliedsvereinbarung habe die mitbeteiligte Partei einer etwaigen Weitergabe ihrer personenbezogenen Daten nicht zugestimmt.

Die Beschwerdeführerin befinde sich in einem Rechtsstreit mit der XXXX beim LG. Inhalt dieses Verfahrens sei die Erhöhung von Gebühren durch die Beschwerdeführerin ohne Zustimmung ihrer Kunden.

Die Beschwerdeführerin habe als Beweismittel zur allgemeinen Veranschaulichung der Abwicklung von Vertragsverhältnissen zwischen ihr und ihren Kunden eine E-Mail-Korrespondenz mit der mitbeteiligten Partei am XXXX vorgelegt.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

Die Beschwerdeführerin führe als Rechtsgrundlage für die Datenverarbeitung Art. 6 Abs. 1 lit. b und lit. f DSGVO ins Treffen.

Der Beschwerdeführerin sei zwar zuzustimmen, dass eine grundsätzliche Datenverarbeitung zur Erfüllung des Vertragsverhältnisses notwendig sei, doch sei eine Datenverarbeitung zur Erfüllung des Vertrages auch gar nicht beschwerdegegenständlich. Vielmehr sei die Datenverarbeitung außerhalb des Vertragskontext in einem zivilgerichtlichen Verfahren mit einem Dritten zu prüfen. Art. 6 Abs. 1 lit. b DSGVO sei daher auf den gegenständlichen Sachverhalt nicht anwendbar.

Zu prüfen sei somit folglich, ob berechtigte Interessen der Beschwerdeführerin iSd Art. 6 Abs. 1 lit. f DSGVO bzw. § 1 Abs. 2 DSG den Eingriff rechtfertige.

Nach der ständigen Rechtsprechung des EuGH seien für eine Berufung auf Art. 6 Abs. 1 lit. f DSGVO drei Voraussetzungen erforderlich:

a) vom Verantwortlichen oder Dritten müsse ein berechtigtes Interesse wahrgenommen werden;

b) die Verarbeitung der personenbezogenen Daten müsse zur Verwirklichung des berechtigten Interesses erforderlich sein und

c) die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollten dürften nicht überwiegen.

Die Übermittlung einer E-Mail-Korrespondenz mit einem Kunden sei grundsätzlich ein geeignetes Mittel, um das Vorbringen der Beschwerdeführerin im Verfahren zu beweisen, allerdings wäre dies auch ohne namentliche Nennung des konkreten Kunden möglich gewesen.

Die Übermittlung der E-Mail-Korrespondenz ohne Schwärzung der personenbezogenen Daten der mitbeteiligten Partei sei daher nicht zum Zwecke der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich gewesen und sei im vorliegenden Fall vor diesem Hintergrund von einem überwiegenden Interesse der mitbeteiligten Partei auf Geheimhaltung ihrer Daten auszugehen.

5. In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor:

Beschränkungen des Anspruchs auf Geheimhaltung seien gemäß § 1 Abs. 2 DSG u.a. dann zulässig, wenn die Verwendung der personenbezogenen Daten durch überwiegende berechtigte Interessen eines Dritten gerechtfertigt sei. Die Vorlage als Beweismittel im Gerichtsverfahren stelle nach der Rechtsprechung des EuGH eine zweckändernde Weiterverarbeitung dar. Diese müsse auf einer nationalen Verarbeitungsgrundlage – wie einer Bestimmung des Zivilverfahrensrechtes (vgl. § 83 Abs. 1 GOG) – basieren. Weiters müsse die Weiterverarbeitung eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme iSd Art. 6 Abs. 4 DSGVO sein und eines der Ziele des Art. 23 Abs. 1 DSGVO verfolgen. All diese Voraussetzungen würden gegenständlich auch vorliegen.

Die belangte Behörde sei im vorliegenden Fall fälschlicherweise davon ausgegangen, dass die Datenverarbeitung in diesem Ausmaß nicht zur Zweckerreichung erforderlich gewesen sei, denn als Beweis in einem Zivilverfahren wäre es jedoch nicht ausreichend gewesen, geschwärzte Dokumente als Beweis vorzulegen. Die Beschwerdeführerin habe im Gerichtsverfahren gegen die XXXX Nachrichten als Beweismittel vorlegen müssen, um nachzuweisen, dass tatsächlich individuelle Absprachen mit Kunden stattgefunden hätten. Daher sei es maßgeblich und erforderlich gewesen, dass die Beweismittel, konkret die E-Mail-Korrespondenz mit der mitbeteiligten Partei ungeschwärzt vorgelegt worden seien.

Die Datenverarbeitung in der gewählten Form sei daher geeignet, das angestrebte Ziel zu erreichen, dem Zweck angemessen und erforderlich. Zudem habe der Zweck nicht durch gelindere Mittel erreicht werden können. Wäre die E-Mail-Korrespondenz geschwärzt worden, wäre der Beschwerdeführerin nicht der Beweis gelungen, dass es sich um eine Unterhaltung mit einem Kunden der Beschwerdeführerin gehandelt habe. Somit sei die Datenverarbeitung auf das notwendigste Maß beschränkt gewesen.

Auch bei einer Interessenabwägung würden im gegenständlichen Fall die Interessen der Beschwerdeführerin überwiegen, da sie sich in einem Gerichtsverfahren verteidigen habe müssen. Bei den im Gerichtsverfahren vorgelegten E-Mails handle es sich um ein Beweismittel, welches zweifelsfrei Anschuldigungen der XXXX widerlegt habe.

Beantragt werde, das Bundesverwaltungsgericht möge den angefochtenen Bescheid dahingehend abändern, dass die Datenschutzbeschwerde abgewiesen werde; in eventu den angefochtenen Bescheid beheben und zur neuerlichen Entscheidung an die belangte Behörde zurückverweisen.

6. Mit Schreiben der Datenschutzbehörde vom 04.06.2024, eingelangt am 05.06.2024, wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Die Beschwerdeführerin ist Betreiberin eines Fitnesscenters in XXXX .

Die mitbeteiligte Partei, die seit XXXX Mitglied der Beschwerdeführerin bzw. dieses Fitnesscenters ist, hat der Beschwerdeführerin keine Einwilligung zur Weitergabe seiner personenbezogenen Daten zu Marketingzwecken beziehungsweise zur „Verbesserung des Leistungsangebots“ erteilt.

Beim LG ist ein Gerichtsverfahren zwischen der Beschwerdeführerin und der XXXX anhängig, in dem der Beschwerdeführerin vorgeworfen wird, die Mitgliedsbeiträge ohne Zustimmung ihrer Kunden erhöht zu haben.

Im Rahmen dieses Gerichtsverfahrens hat der Rechtsanwalt der Beschwerdeführerin, nicht diese selbst, am XXXX dem LG als Beweismittel zur allgemeinen Veranschaulichung der Abwicklung von Vertragsverhältnissen zwischen der Beschwerdeführerin und ihren Kunden, insbesondere in Bezug auf die Erhöhung der Mitgliedsbeiträge und die vorliegende Zustimmung ihrer Kunden, eine E-Mail-Korrespondenz mit der mitbeteiligten Partei vom XXXX vorgelegt. Darin sind der Name sowie die E-Mail-Adresse der mitbeteiligten Partei ersichtlich. Diese wurde in weiterer Folge am XXXX auch als Zeuge geladen.

Zuvor hatte der Rechtsanwalt der XXXX das angesprochene Beweismittel als Verfahrenspartei erhalten und die mitbeteiligte Partei am XXXX direkt angeschrieben, wobei er die gerichtliche Beilage „./4“ samt dem gestempelten Vermerk „vorgelegt durch XXXX Rechtsanwälte GmbH“ seinem Schreiben beischloss. Bei diesem Anschreiben führte er wörtlich aus: „In diesem Verfahren hat die XXXX das angeschlossene E-Mail von Ihnen vorgelegt“. Die mitbeteiligte Partei brachte am 21.08.2023 die verfahrensauslösende Beschwerde bei der DSB ein, wobei explizit „ XXXX “ als Beschwerdegegner definiert wurde.

Im angefochtenen Bescheid (Punkt C.3.) wird seitens der DSB festgestellt „Die Beschwerdegegnerin hat als Beweismittel (…) eine E-Mail-Korrespondenz mit dem Beschwerdeführer am XXXX vorgelegt“. Diese Feststellung erweist sich als prozessrechtlich richtig, hinsichtlich des unmittelbaren Übermittlungsvorganges jedoch als tatsachenwidrig.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt.

Die verweigerte Weitergabe persönlicher Daten bezieht sich auf Punkt 8 der Mitgliedsvereinbarung (Werbung/Datenschutz) und betrifft nach dem Wortlaut die Weiterleitung personenbezogener Daten an „die XXXX zu Marketingzwecken“.

Unstrittig ist, dass die verfahrensgegenständliche Weitergabe der E-Mailkorrespondenz am XXXX (unmittelbar) seitens eines Rechtsanwalts an das Gericht erfolgte. Die XXXX erlangte von dieser Kenntnis als Verfahrenspartei, ihr Rechtsanwalt als Vertreter im Verfahren. Der Inhalt des Anschreibens des Rechtsanwalts der XXXX vom XXXX ergibt sich aus dem Verwaltungsakt.

Die Feststellungen zum erstinstanzlichen Bescheid ergeben sich aus diesem. Dass der Übermittlungsvorgang unmittelbar durch den Rechtsanwalt erfolgte, ist aus der Aktenlage ersichtlich. Davon zu trennen ist die prozessuale Zuordnung/Zurechnung des Handelns des Anwalts zu seinem Klienten.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Zu A)

3.3. Die maßgeblichen Bestimmungen des DSG

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

Die maßgeblichen Bestimmungen der DSGVO:

Art. 4 – Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

(…)

3.4. Die Datenschutzbehörde hat zur Weitergabe von Gesundheitsdaten durch einen Rechtsanwalt in ihrem Bescheid vom 06.12.2021 Folgendes festgehalten:

Zunächst ist festzuhalten, dass Rechtsanwälte, wenn sie Daten für den Zweck der Vertretung ihrer Mandanten verarbeiten, regelmäßig als für die Verarbeitung Verantwortliche tätig werden. Sie handeln dabei zwar unter Vollmacht und sind damit nach außen berechtigt, für ihre Mandanten rechtlich bindende Erklärungen abzugeben, die Entscheidung, welche Daten dritter Personen für die Erfüllung des Mandats zu verarbeiten sind, wird dabei aber, vorbehaltlich eines Beweises für das Gegenteil, vom Rechtsanwalt ohne Weisung des Mandanten getroffen. Jedes andere Verständnis der in Frage kommenden Rollen des Verantwortlichen (Art. 4 Z 7 DSGVO) oder Auftragsverarbeiters (Art. 4 Z 8 DSGVO) wäre mit der Selbständigkeit eines Rechtsanwalts in Fragen der Berufsausübung unvereinbar (vgl. dazu die Erwägungen der Datenschutzbehörde im Bescheid vom 9.3.2015, GZ. DSB-D122.299/0003-DSB/2015, RIS, sowie die Erwägungen des Bundesverwaltungsgerichts zur Verantwortlichenrolle und Selbständigkeit der Berufsausübung bei Berufsdetektiven, Erkenntnis vom 25. Juni 2019, Zl. W258 2188466-1, RIS, und Gerichtssachverständigen, Erkenntnisse vom 27. September 2018, Zl. W214 2196366-2, RIS, sowie vom 23. Jänner 2020, Zl. W214 2196366-3, RIS).

(…)

Die Rechte der betroffenen Person (im Verständnis des Art 4 Z 1 DSGVO) sollen nur dann und lediglich insoweit zur Anwendung kommen, als dem nicht das Recht des Rechtsanwalts auf Verschwiegenheit zum Schutz der Partei oder der Rechte und Freiheiten anderer Personen oder der Durchsetzung zivilrechtlicher Ansprüche entgegensteht. „Dies ist deshalb notwendig, weil andernfalls die Gefahr bestünde, dass etwa der (Prozess-)Gegner einer zivilrechtlichen Streitigkeit im Weg des Informations- und Auskunftsrechts nach der DSGVO Auskünfte aus den Unterlagen und Akten des gegnerischen Rechtsanwalts erhalten könnte, was den Interessen der von diesem vertretenen Partei diametral entgegenstehen würde. Angesichts der Mannigfaltigkeit der hier möglichen Konstellationen ist gleichzeitig auch klar, dass eine generelle Beurteilung (und Anordnung) im Vorhinein, ob und inwieweit diese Beschränkung zum Tragen kommt, nicht möglich ist; dies ist gegebenenfalls vielmehr jeweils anhand der konkreten Umstände des Einzelfalls zu prüfen und zu bewerten.“ (ErlRV 65 BlgNR 26. GP 160). Abs 3a trat mit 25. Mai 2018 in Kraft (§ 60 Abs 10) (Lehner in Engelhart/Hoffmann/Lehner/Rohregger/Vitek, RAO10 § 9 (Stand 15.9.2018, rdb.at), Rz 60). Durch Art. 1 Z. 7 BGBl. I Nr. 61/2019 hat der bisherige Abs. 3a die Absatzbezeichnung „(4)“ erhalten.

Im Ergebnis wurde festgehalten, dass ein Rechtsanwalt berechtigt war, Gesundheitsdaten eines Dritten ohne dessen Zustimmung in einem arbeitsrechtlichen Prozess zu verarbeiten.

Die Datenschutzbehörde hat auch bereits zu einer früheren Rechtslage in einem Bescheid vom 22.01.2018 (DSB-D122.767/0001-DSB/2018) zur Auftraggebereigenschaft bestimmter beauftragter Berufsgruppen ausgeführt:

Gemäß § 4 Z 4 DSG 2000 gilt als Auftraggeber jede natürliche oder juristische Person, Personengemeinschaft oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten zu verwenden (Z 8), unabhängig davon, ob sie die Daten selbst verwenden (Z 8) oder damit einen Dienstleister (Z 5) beauftragen. Sie gelten auch dann als Auftraggeber, wenn der mit der Herstellung eines Werkes beauftragte Dienstleister (Z 5) die Entscheidung trifft, zu diesem Zweck Daten zu verwenden (Z 8), es sei denn, dies wurde ihm ausdrücklich untersagt oder der Beauftragte hat auf Grund von Rechtsvorschriften oder Verhaltensregeln über die Verwendung eigenverantwortlich zu entscheiden.

Das bedeutet, dass die Übernahme eines Auftrages – der auch die Verarbeitung personenbezogener Daten miteinschließt – einen Beauftragten bzw. Auftragnehmer dann nicht zum Dienstleister im Sinne des § 4 Z 5 DSG 2000 macht, wenn dieser eine berufliche Rechtsstellung hat, die die eigenverantwortliche Auftragserfüllung vorsieht (vgl. Kotschy in Jahrbuch Öffentliches Recht 2011, NWV, Seite 136 f). Im Zusammenhang mit der Neufassung des § 4 Z 4 DSG 2000 durch die DSG-Novelle 2010 wird in den Erläuterungen zur Regierungsvorlage, 472 der Beilagen XXIV. GP, hierzu festgehalten:

Unverändert bleibt auch die Auftraggebereigenschaft jener beauftragten Berufsgruppen, die aufgrund von Rechtsvorschriften eigenverantwortlich über die Verwendung von Daten entscheiden (vgl. die beispielhafte Aufzählung der Rechtsanwälte, Wirtschaftstreuhänder und Ziviltechniker in den Erläuterungen zur Regierungsvorlage 1613 der Beilagen XX. GP, 37, zur Stammfassung).

Wirtschaftstreuhänder sind gemäß § 71 WTBG verpflichtet, ihren Beruf gewissenhaft, sorgfältig, eigenverantwortlich und unabhängig sowie unter Beachtung der im vierten Hauptstück des WTBG und der in den Richtlinien gemäß § 72 WTBG enthaltenen Bestimmungen auszuüben. Soweit die Beschwerdegegnerin in ihrer Stellungnahme darauf verweist, dass der Begriff der „Erforderlichkeit“ gemäß § 71 WTBG dahingehend zu interpretieren sei, dass ein Klient einem Berufsberechtigten keine Weisung fachlicher Natur geben dürfe, übersieht die Beschwerdegegnerin, dass gerade darin die

eigenverantwortliche Auftragserfüllung der Beschwerdegegnerin im Sinne des § 4 Z 4 letzter Halbsatz DSG 2000 liegt.

Analog hat die Datenschutzbehörde – wie auch die ehemalige Datenschutzkommission – bezüglich der Auftraggebereigenschaft von Rechtsanwälten bereits mehrfach ausgesprochen, dass bei Rechtsanwälten auf Grund ihrer beruflichen Selbständigkeit im Regelfall davon auszugehen ist, dass diese bei der Besorgung von Geschäften für ihre Mandanten gemäß § 4 Z 4 letzter Halbsatz DSG 2000 „eigenverantwortlich“ vorgehen dürfen und damit hinsichtlich der zwecks Bearbeitung einer Causa verarbeiteten personenbezogenen Daten Auftraggeber sind (vgl. Bescheide der ehemaligen Datenschutzkommission vom 13.07.2012, GZ: K121.810/0013-DSK/2012, bzw. der Datenschutzbehörde vom 27.10.2014, GZ: DSB-D122.215/0004-DSB/2014, oder vom 09.03.2015, GZ: DSB-D122.299/0003-DSB/2015).

3.5. Gegenstand des Verfahrens ist ausschließlich die Übermittlung der E-Mailkorrespondenz (als Beweismittel) am XXXX an das LG – einen anderen Verarbeitungsvorgang hat die DSB im angefochtenen Bescheid nicht aufgegriffen. Dieser erfolgte seitens des Rechtsanwalts der Beschwerdeführerin.

3.6. In diesem Übermittlungsvorgang agierte der Rechtsanwalt der XXXX gemäß oben wiedergegebener Rechtslage und Judikatur als eigenständiger Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO und nicht als Auftragsverarbeiter.

Das erstinstanzliche Beschwerdeverfahren hätte somit gegen den Rechtsanwalt der XXXX und nicht gegen diese selbst geführt werden müssen. Dementsprechend hat die mitbeteiligte Partei in ihrer verfahrensauslösenden Beschwerde den falschen Beschwerdegegner bezeichnet.

3.7. Gemäß § 24 (2) Z 2 DSG hat die Beschwerde den Beschwerdegegner zu bezeichnen, sofern dies zumutbar ist. Die Information über die Datenweitergabe erlangte der Beschwerdeführer durch ein Schreiben des Anwalts der XXXX , wobei aus der mit diesem Schreiben übermittelten Beilage grundsätzlich ersichtlich ist, dass die (unmittelbare) Vorlage an das LG durch eine Rechtsanwaltskanzlei erfolgte (Stempel und Beilagenbezeichnung).

Gleichzeitig hat allerdings der die mitbeteiligte Partei informierende Rechtsanwalt dieser (dabei offensichtlich nur auf prozessuale Fragen abstellend) mitgeteilt, dass „die XXXX “ die Korrespondenz im Verfahren vorgelegt habe. Vom Beschwerdeführer als einer nicht rechtskundigen Privatperson kann allerdings nicht verlangt werden, dass er die obige Judikatur zur eigenständigen Verantwortlichkeit von Anwälten im Datenschutzbereich kennt. Ebenso wenig ist ihm vorzuwerfen, dass er dem Anwaltsstempel auf der Korrespondenz – zumal nach dem Wortlaut des anwaltlichen Schreibens vom XXXX – keine rechtsrelevante Bedeutung beigemessen hat.

Daraus ergibt sich, dass für die mitbeteiligte Partei nicht in zumutbarer Weise ersichtlich war, wer die unter Punkt 3.5. vorgenommene Übermittlung durchgeführt hat und dementsprechend von ihr als Beschwerdegegner zu benennen gewesen wäre.

Warum dieser Umstand – trotz einschlägiger Entscheidungspraxis – auch der Behörde nicht aufgefallen ist, sie vielmehr sogar eine tatsachenwidrige Sachverhaltsfeststellung (im verfahrensrelevanten Kontext der Datenschutzverantwortlichkeit) getroffen hat, kann dahingestellt bleiben.

3.8. Aus Sicht des Bundesverwaltungsgerichts ist der Rechtsanwalt der Beschwerdeführerin und nicht die Beschwerdeführerin selbst als Verantwortlicher für die Datenverarbeitung zu sehen.

Das Verwaltungsgericht darf das Beschwerdeverfahren nicht gegen den Rechtsanwalt anstelle des Beschwerdeführers führen, weshalb in so einem Fall der gegenständlich bekämpfte Bescheid der Datenschutzbehörde („ersatzlos“) zu beheben ist.

Das Verfahren ist damit erneut zur inhaltlichen Entscheidung bei der Datenschutzbehörde anhängig.

Der Vollständigkeit halber hält das Bundesverwaltungsgericht fest, dass der Beschwerdeführer in der Mitgliedsvereinbarung (Punkt 8) einer „etwaigen Weitergabe seiner personenbezogenen Daten“ lediglich „an die XXXX Marketingzwecken“ nicht zugestimmt hat. Das ergibt sich aus dem klaren Wortlaut der Passage. Dass dieser Passus eine Weitergabe von Daten (etwa an ein Gericht) trotz berechtigten Interesses des Beschwerdeführers schon grundsätzlich entgegenstehen würde, kann daraus keinesfalls abgeleitet werden.

3.9. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Die durch einen Rechtsanwalt vertretene Beschwerdeführerin hat keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt.

Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung zusätzlich darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Von der Durchführung einer mündlichen Verhandlung war folglich gemäß § 24 Abs. 1 VwGVG abzusehen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.