To The Point: Datenschutzmonitor 34/2024

To the Point:

Rechtsprechung des VwGH

VwGH 24.07.2024, Ra 2024/04/0376

• Die Lebensgefährtin eines Angestellten fühlte sich von der Überwachung durch einen Detektiv in ihrem Recht auf Geheimhaltung verletzt. Die Arbeitgeberin ließ den Angestellten wegen einer arbeitsrechtlichen Auseinandersetzung observieren. Obwohl die Lebensgefährtin nicht Gegenstand des Observationsauftrags war, enthielt der Observationsbericht Fotos der Lebensgefährtin, auf denen sie allein zu sehen war, ihren vollen Namen und bezeichnete sie als "Zielperson 2". Die DSB gab der Datenschutzbeschwerde der Lebensgefährtin teilweise statt.
  
  Gegen das Erkenntnis erhob der observierende Detektiv Bescheidbeschwerde an das BVwG, welches die Beschwerde abwies. Das BVwG sah die Verarbeitung der Daten der Lebensgefährtin nicht vom berechtigten Interesse des Detektivs gedeckt. Gegen das Erkenntnis erhob der Detektiv eine außerordentliche Revision an den VwGH. Der VwGH wies die Revision zurück.
  
  Der VwGH hat erwogen: Bei der Beurteilung der Rechtmäßigkeit einer Datenverarbeitung gemäß Art 6 Abs 1 lit f DSGVO ist eine einzelfallbezogene Interessenabwägung durchzuführen. Eine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs 4 B-VG liegt bei Einzelfallbeurteilungen nur dann vor, wenn die Beurteilung krass fehlerhaft ist.
  
  Die Ermittlung von Zeugen kann im berechtigten Interesse eines Detektivs liegen, muss aber vom Auftragsumfang gedeckt sein. Das Anfertigen von Fotos, auf denen die Lebensgefährtin allein zu sehen ist, fällt nicht unter die Beschaffung von Beweismitteln für ein gerichtliches oder behördliches Verfahren. Inwieweit die Fotos für einen eventuellen arbeitsrechtlichen Streit mit dem Angestellten von Nutzen sein könnten, ist nicht ersichtlich. Eine krasse Fehlbeurteilung, die aus Gründen der Rechtssicherheit einer Korrektur bedürfte, wurde in der Revision ebenso wenig aufgezeigt wie eine konkrete Rechtsfrage.

Rechtsprechung des BVwG

BVwG 08.07.2024, W177 2287425-1

• Ein Verlassenschaftskurator stellte für die Verlassenschaft beim Bundesminister für Finanzen (BMF) ein Auskunftsbegehren betreffend den Verstorbenen bzw seiner Verlassenschaft, einschließlich seiner Kontodaten im Kontenregister. Der BMF wies den Antrag mit Bescheid ab. Gegen diesen Bescheid erhob die Verlassenschaft (erfolglose) Bescheidbeschwerde an das BVwG.
  
  Das BVwG hat erwogen: Die Verlassenschaft hat kein Auskunftsrecht aus dem Kontenregister nach § 4 Abs 1 KontRegG, weil die Ermittlung und Feststellung von Nachlassvermögen keiner der in dieser Bestimmung taxativ genannten Zwecke ist.
  
  Gemäß § 4 Abs 4 KontRegG haben betroffene Personen und Unternehmer das Recht auf Auskunft, welche sie betreffende Daten in das Kontenregister aufgenommen sind. Der Verlassenschaft steht dieses Auskunftsrecht nicht zu, weil es personenbezogene Daten des Verstorbenen sind. Das Auskunftsrecht nach dieser Bestimmung ist ein höchstpersönliches Recht, das mit dem Tod des Berechtigten erlischt. In höchstpersönliche Rechte des Verstorbenen findet eine Rechtsnachfolge durch die Verlassenschaft nicht statt. Dies gilt auch für das Auskunftsrecht nach dem DSG oder der DSGVO, an die die Bestimmung des § 4 Abs 4 KontRegG angelehnt ist.
  
  Die Verlassenschaft steht zudem in keinem schuldrechtlichen Verhältnis zur Behörde, von der die Auskunft begehrt wird, sodass ein Eintritt im Wege der Gesamtrechtsnachfolge iSd Eigenschaft eines Kunden oder einer Kundin eines Kreditinstituts zur Begründung des Auskunftsrechts nicht in Betracht kommt. Die Verlassenschaft hat jedoch die Möglichkeit, direkt vom Kreditinstitut, mit dem der Verstorbene ein Vertragsverhältnis begründet hatte, Auskunft zu begehren.

BVwG 24.07.2024, W274 2287428-1

• Ein Versicherter ersuchte die Gebietskrankenkasse um Löschung des Krankengeldbezugs über einen näher bezeichneten Zeitraum aus seinem Sozialversicherungsdatenauszug, weil der Krankengeldbezug für diesen Zeitraum seines Erachtens zu Unrecht als "Krankengeldbezug Sonderfall" ausgewiesen war. Der Versicherte befürchtete, dass die Daten ihm bei der Arbeitssuche schaden würden. Die Gebietskrankenkasse verweigerte die Löschung.
  
  Der Versicherte erhob eine Datenschutzbeschwerde. Die DSB hat allerdings bereits zuvor eine Datenschutzbeschwerde des Versicherten, in dem die Löschung des Krankengeldbezugs zum Teil über denselben Zeitraum verlangt wurde, abgewiesen. Obwohl die DSB diese zeitliche Überlappung erkannte, wies sie die Datenschutzbeschwerde zur Gänze ab. Das BVwG wies die dagegen gerichtete Bescheidbeschwerde des Versicherten teilweise wegen entschiedener Sache (res iudicata) zurück und teilweise ab.
  
• Das BVwG hat erwogen: Über einen Teil des Zeitraums betreffend den Krankengeldbezug hat die DSB bereits mit einem früheren Bescheid abgesprochen. Die DSB erkannte zwar die Identität der Sache über einen Großteil des Zeitraums, dennoch wies sie die Datenschutzbeschwerde ab. Wurde von der DSB ein neuerlicher Antrag trotz Identität der Sach- und Rechtslage nicht wegen res iudicata zurückgewiesen, sondern aus materiellen Gründen (wieder) abgewiesen, ist die Partei ungeachtet der Rechtswidrigkeit des Bescheids in keinem Recht verletzt. Wird gegen eine solche rechtswidrige meritorische Erledigung jedoch Bescheidbeschwerde an das BVwG erhoben, hat das BVwG den Antrag – ungeachtet der Sachentscheidung der DSB – wegen res iudicata zurückzuweisen.
  
  Hinsichtlich des darüber hinausgehenden Zeitraums war die Bescheidbeschwerde abzuweisen. Die gesetzliche Pensionsversicherung knüpft am Krankengeld an. Die Grundlage der entsprechenden Information für die Pensionsversicherung ist der Versicherungsdatenauszug. Die Verarbeitung des Versicherungsdatenauszugs ist zur Erfüllung der gesetzlichen Pflicht der Gebietskrankenkasse erforderlich.
  
  Die Qualifikation "Krankenfeldbezug Sonderfall" wird verwendet, wenn aufgrund des Bezugs von Arbeitslosengeld, Karenzurlaubsgeld oder Notstandshilfe oder auf Grund einer durch eine Beschäftigung bei einer internationalen Organisation (zB IAEO, UNIDO) oder verschiedenen Gemeinde- und Landesbediensteten begründeten Krankenversicherung nach dem ASVG-Krankengeld bezogen wurde, wobei der Grund, warum es zu diesem Krankengeldbezug gekommen ist, für die Speicherung der Qualifikation unerheblich ist.
  
  Der Versicherte meint, sein Krankengeldbezug wäre im genannten Zeitraum aufgrund einer unzulässigen Zwangsmaßnahme nach dem UbG erfolgt, woran die Qualifikation "Krankengeldbezug Sonderfalle" anknüpfe, weshalb die Aufnahme dieser Qualifikation des Krankengeldbezugs in den Versicherungsdatenauszug unrechtmäßig war. Für die Speicherung der Qualifikation ist der Grund, weshalb es zum Krankengeldbezug gekommen ist, jedoch unerheblich. Relevant ist nur der festgestellte und nicht bestrittene Zusammenhang mit dem Notstandshilfebezug des Versicherten.

BVwG 27.06.2024, W176 2248629-1

• Eine Patientin absolvierte nach einer Hüftoperation ein Anschlussheilverfahren gemäß § 65a B-KUVG in einem Rehabilitationszentrum. Zu diesem Zeitpunkt war sie dement und kognitiv signifikant eingeschränkt. Die Ärzte des Rehabilitationszentrums forderten einen neurologischen MRT-Befund von einer medizinischen Einrichtung an, um den Gesundheitszustand der Patientin und den weiteren Behandlungsverlauf besser einschätzen zu können. Durch die Weitergabe ihrer Daten ohne ausdrückliche Zustimmung erachtete sich die Patientin in ihrem Recht auf Geheimhaltung verletzt. Sie legte deshalb eine Datenschutzbeschwerde bei der DSB ein. Die Datenschutzbeschwerde wurde von der DSB abgewiesen, ihre anschließende Bescheidbeschwerde beim BVwG blieb ebenso erfolglos.
  
  Das BVwG hat erwogen: Bei der Verarbeitung besonderer Kategorien von Daten iSd Art 9 Abs 1 DSGVO, wozu ua Gesundheitsdaten gehören, muss ein Erlaubnistatbestand des Art 9 Abs 2 DSGVO erfüllt sein. Die Patientin war aufgrund ihrer kognitiven Einschränkungen nicht in der Lage, eine ausdrückliche Einwilligung zur Datenverarbeitung zu erteilen. Folglich kann sich die medizinische Einrichtung nicht auf die ausdrückliche Einwilligung der Patientin zur Datenverarbeitung gemäß Art 9 Abs 2 lit a DSGVO berufen.
  
  Das physiotherapeutische Anschlussheilverfahren war keine medizinische Notsituation. Die durchgeführte Datenverarbeitung kann daher nicht auf ein lebenswichtiges Interesse der Patientin gestützt werden. Die Datenverarbeitung war weder zum Schutz lebenswichtiger Interessen der Patientin erforderlich noch war eine konkrete Gefahrensituation abzuwenden.
  
  Die Übermittlung des MRT-Befundes war jedoch erforderlich, um den Gesundheitszustand und den weiteren Behandlungsverlauf im Anschlussheilverfahren zu beurteilen. Diese Verarbeitung von Gesundheitsdaten ist gemäß Art 9 Abs 2 lit h DSGVO zulässig, weil sie der medizinischen Diagnostik, Versorgung oder Behandlung der Patientin dient. Die medizinische Einrichtung war Teil eines gehobenen medizinisch-technischen Dienstes (§ 1 Z 3 iVm § 2 Abs 3 MTD-G) und unterliegt der Verschwiegenheitspflicht gemäß § 11c Abs 1 MTD-G. Allerdings ist sie verpflichtet, relevante medizinische Informationen an andere Angehörige der Gesundheitsberufe weiterzugeben, sofern diese für die Behandlung oder Pflege erforderlich sind (§ 11b Abs 2 MTD-G).

BVwG 08.07.2024, W137 2265905-1

• Ein Ehemann installierte eine Kamera in der Tiefgarage eines Mehrparteienhauses, weil der PKW seiner Ehefrau in der Vergangenheit des Öfteren beschädigt wurde. Nach der Darstellung des Ehemanns zeichnete die Kamera nur dann auf, wenn sie Bewegungen in unmittelbarer Nähe des PKWs erkannte, zudem war der Aufnahmebereich auf seinen eigenen Garagenplatz begrenzt. Auch das Mikrofon der Kamera würde nur durch Stimmen in unmittelbarer Umgebung aktiviert werden. Ein Nachbar fühlte sich durch die Kamera gestört und belegte mit Screenshots, dass größere Flächen der Garage aufgenommen wurden.
  
  Die DSB gab der Datenschutzbeschwerde des Nachbarn statt und stellte fest, dass der Ehemann den Nachbarn durch die Verarbeitung von Bild- und Tonaufnahmen in seinem Recht auf Geheimhaltung verletzt hat. Die dagegen erhobene Bescheidbeschwerde des Ehemannes blieb erfolglos.
  
  Das BVwG hat erwogen: Eine Videoüberwachung durch eine Privatperson kann grundsätzlich rechtmäßig sein, wenn die Privatperson an der Datenverarbeitung ein berechtigtes Interesse iSd Art 6 Abs 1 lit f DSGVO hat sowie die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Das berechtigte Interesse des Ehemanns lag im Schutz seines Eigentums. Die von ihm durchgeführte Datenverarbeitung war jedoch überschießend und ging über den Zweck hinaus, weil die Kamera auch andere Garagenplätze sowie den Durchgang der Tiefgarage erfasste. Die Datenverarbeitung war somit nicht auf das notwendige Maß beschränkt.
  
  Eine Tonaufnahme kann im berechtigte Interesse zulässig sein. Die entsprechenden Tonaufnahmen waren zur Überwachung des PKWs jedoch nicht erforderlich, weil eine auf den Garagenplatz eingeschränkte Videoüberwachung jedenfalls ausgereicht hätte, um im Falle der Beschädigung des PKWs als Beweismittel zu dienen.

Aus der weiteren Rechtsprechung des BVwG:

• Die DSGVO selbst schützt nur natürliche Personen, jedoch ist in verfassungskonformer Interpretation davon auszugehen, dass die in § 1 DSG normierten Rechte auch juristischen Personen zukommen und diese sich folglich darauf berufen können. Geschäftliche Daten, die Schlüsse auf die wirtschaftliche Gebarung der juristischen Person zulassen, sind schutzwürdige unternehmensbezogene Wirtschaftsdaten. Betreffend die Anforderungen für eine Zustimmung iSd § 1 Abs 2 DSG ist auf das Konzept der Einwilligung iSd Art 4 Z 11 DSGVO zurückzugreifen. Eine rechtswirksame Zustimmung zur Datenverarbeitung durch eine Behörde ist möglich (BVwG 30.07.2024, W287 2254678-1).
  
• In einer Datenschutzbeschwerde ist das als verletzt erachtete Recht zu bezeichnen. Wird dieses Recht – auch nach einem Mangelbehebungsauftrag – nicht bezeichnet, ist die Datenschutzbeschwerde von der DSB zurückzuweisen (BVwG 24.07.2023, W274 2291735-1).
  
• Wird dem einzigen Beschwerdepunkt durch die DSB mit Beschwerdevorentscheidung vollinhaltlich entsprochen, ist die Beschwerdevorentscheidung zu bestätigen, auch wenn der Bescheidbeschwerde Berechtigung zukam (BVwG 24.07.2024, W274 2292105-1).
  
• Auf Verfahren zur Bestimmung der federführenden Aufsichtsbehörde ist § 38 Satz 2 AVG (Aussetzung eines Verfahrens bis zur Lösung einer Vorfrage) nicht anzuwenden. Eine Verfahrensaussetzung ist auch nach § 24 Abs 10 Z 2 DSG nicht möglich, weil diese Bestimmung keine rechtliche Grundlage für eine Verfahrensaussetzung enthält, sondern nur eine Hemmung des Fristenlaufes normiert. Die Zeit während eines Kohärenzverfahrens nach Art 56, 60 und 63 DSGVO ist in die sechsmonatige Entscheidungsfrist nicht einzurechnen (BVwG 08.07.2024, W137 2280182-1).
  
• Gemäß § 13 Abs 7 AVG können Anbringen in jeder Lage des Verfahrens zurückgezogen werden. Solange die Bescheidbeschwerde beim BVwG anhängig ist, kann sie zurückgezogen werden. Das Verfahren ist mit Beschluss einzustellen (BVwG 17.07.2024, W108 2276381-2).
  

Rechtsprechung der DSB

DSB 07.07.2024, 2023-0.358.049

• Ein Fahrgast erhielt vom Verkehrsunternehmen eine Mehrgebühr wegen der Nutzung öffentlicher Verkehrsmittel ohne Fahrschein, obwohl er zu diesem Zeitraum nicht in der Stadt war und ein Klimaticket besaß. Nachdem er einen Scan seines Klimatickets an das Verkehrsunternehmen übermittelte, wurde der Fall geschlossen. Der Betroffene verlangte die Löschung seiner Daten.
  
  Das Verkehrsunternehmen verweigerte die Löschung und verwies auf die buchhalterischen Aufbewahrungspflichten nach § 132 Abs 1 BAO, den §§ 190, 212 UGB und § 18 UStG. Der Fahrgast erachtete sich in seinem Recht auf Löschung verletzt, weil die Datenverarbeitung auf einer Fahrlässigkeit des Verkehrsunternehmens beruht habe. Hätte das Verkehrsunternehmen die Identität der tatsächlich kontrollierten Person ordnungsgemäß überprüft, wäre die Buchung nicht erfolgt. Die DSB wies die Datenschutzbeschwerde des Fahrgasts ab.
  
  Die DSB hat erwogen: Das Verkehrsunternehmen verarbeitete die personenbezogenen Daten des Fahrgasts als Verantwortliche iSd Art 4 Z 7 DSGVO. Nach Art 17 Abs 1 DSGVO steht dem Fahrgast grundsätzlich das Recht zu, die Löschung seiner personenbezogenen Daten zu begehren. Die Löschung kann jedoch nach Abs 3 lit b leg cit verweigert werden, soweit die Verarbeitung der Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Gemäß § 212 Abs 1 UGB und § 132 BAO trifft den Unternehmer eine siebenjährige Aufbewahrungspflicht hinsichtlich seiner Bücher, Belege und Buchungen. Dies dient der Erfüllung der Rechnungslegungspflicht gemäß §§ 189 ff UGB, um den zuständigen Behörden steuerrechtliche Feststellungen und mögliche Nachprüfungen zu ermöglichen. Die Speicherung der personenbezogenen Daten des Fahrgasts ist für die Erfüllung dieser gesetzlichen Aufgabe erforderlich, um den Grundsätzen ordnungsgemäßer Buchführung gerecht zu werden. Dabei ist es unerheblich, dass die Daten des Fahrgasts ohne sein Zutun von dem Verkehrsunternehmen erhoben wurden, weil die kontrollierte Person in betrügerischer Absicht seine Daten angab. Das Verkehrsunternehmen entsprach daher dem Löschungsersuchen des Fahrgasts zu Recht nicht. Es liegen auch keine Anhaltspunkte vor, dass die Daten des Fahrgasts vom Verkehrsunternehmen zweckwidrig verwendet wurden, weshalb Art 17 Abs 1 lit d DSGVO nicht einschlägig ist.
  

Rechtsakte

• Am 19.08.2024 hat das Bundesland Tirol, LGBl 2024/56, die Etablierung einer gebietskörperschaftenübergreifenden Transparenzdatenbank (Transparenzportal) verlautbart.
  
• Am 23.08.2024 hat das Bundesland Steiermark, LGBl 2024/87, die Etablierung einer gebietskörperschaftenübergreifenden Transparenzdatenbank (Transparenzportal) verlautbart.

Vorschau EuGH-Rechtsprechung

• Am 05.09.2024 werden die Schlussanträge in der Rs C-416/23, Österreichische Datenschutzbehörde (Demandes excessives), veröffentlicht. Der VwGH fragte den EuGH, wann eine Datenschutzbeschwerde exzessiv ist.
  
• Am 12.09.2024 werden die Schlussanträge in der Rs C-203/22, Dun & Bradstreet Austria, veröffentlicht. Das LVwG Wien befragte den EuGH zur Reichweite der Auskunftspflicht nach Art 15 Abs 1 lit h DSGVO (automatisierte Entscheidung).
  
• Am 12.09.2024 werden die Schlussanträge in den verbundenen Rs C-18/22, Ökorenta Neue Energien Ökostabil IV und Rs C-17/22, HTB Neunte Immobilien Portfolio, veröffentlicht. In den Vorabentscheidungsersuchen geht es um datenschutzrechtliche Fragen zum Gesellschaftsrecht.
  
• Am 12.09.2024 werden die Schlussanträge in der Rs C-247/23, Deldits, veröffentlicht. Geklärt werden soll, ob die Geschlechtseintragung in ein öffentliches Register zu berichtigen ist, wenn das Geschlecht sich ändert.
  
• Am 12.09.2024 werden die Schlussanträge in der Rs C-383/23, ILVA (Amende pour violation du RGPD), veröffentlicht. Das vorlegende Gericht fragt nach der Auslegung des Begriffs "Unternehmen" iSd Art 83 Abs 5 DSGVO.
  
• Am 26.09.2024 wird das Urteil in der Rs C-768/21, Land Hessen (Obligation d'agir de l'autorité de protection des données), veröffentlicht. Der EuGH wird entscheiden, ob eine Aufsichtsbehörde, wenn sie eine Datenschutzverletzung feststellt, ihre Aufsichtsbefugnisse auszuüben hat. Anm: Die Zusammenfassung der Schlussanträge in dieser Rechtssache kann in der 15. Ausgabe des Schönherr Datenschutzmonitors nachgelesen werden.
  
  

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.