Bundesverwaltungsgericht W298 2259697-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 10.11.2022
• ECLI: ECLI:AT:BVWG:2022:W298.2259697.1.00

Spruch

W298 22596971-1/4E

IM NAMEN DER REPUBLIK

Das Bundesverwaltungsgericht hat durch den Richter Mag. Mathias VEIGL als Vorsitzender und die fachkundigen Laienrichter Dr. Rosemarie Schön und Dr. Wolfgang Goricnik als Beisitzer über die Beschwerde des XXXX , vertreten durch Rechtsanwalt Mag. Dr. Johannes Winkler, gegen den Bescheid der Datenschutzbehörde vom 03.08.2022, GZ: D124.0706/22, 2022-0.472.501, zu Recht erkannt:

A) Der Beschwerde wird stattgegeben und der Spruch dahingehend abgeändert als, dass er zu lauten hat:

1. Der Datenschutzbeschwerde des XXXX wird stattgegeben und festgestellt, dass XXXX durch die Übermittlung von Lichtbildern der Eintrittskarte „ XXXX “ per „WhatsApp“ an XXXX und XXXX , XXXX am 21.04.2021 und am 24.04.2021 im Recht Geheimhaltung verletzt hat.

2. XXXX wird aufgetragen binnen 4 Wochen alle Lichtbilder der Eintrittskarte „ XXXX “ sowie Chatprotokolle betreffend die Offenlegung des Interesses an der Teilnahme des XXXX aus den ihr zu Verfügung stehenden Datenträgern sowie Backupspeichern, zu löschen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Begründung

Entscheidungsgründe:

I. Verfahrensgang:

1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 11.05.2022 und verbessert mit Schreiben vom 27.05.2022 behauptete der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG dadurch, dass die ehemalige Lebensgefährtin des Beschwerdeführers ( XXXX , die mitbeteiligte Partei vor dem Bundesverwaltungsgericht) Lichtbilder der Eintrittskarte „ XXXX “ per „WhatsApp“ an XXXX (Lebensgefährtin des Beschwerdeführers) und XXXX (Mutter des Beschwerdeführers) geschickt habe. Die mitbeteiligte Partei habe dadurch erzwingen wollen, dass der Beschwerdeführer die Hälftekosten für die Zahnspange der gemeinsamen Tochter übernehme. Die mitbeteiligte Partei habe sich die Lichtbilder unrechtmäßig beschafft indem sie auf die, für die alleinige Nutzung des Beschwerdeführers gedachte Mail-Adresse zugriffen habe. Der Beschwerdeführer habe sich auf der Plattform XXXX für die Teilnahme an einer Veranstaltung mit erotischem Inhalt interessiert und deswegen eine Eintrittskarte mit dem, im Falle einer Teilnahme, zu zahlenden Betrag von EUR 180,-- auf seine Mail-Adresse XXXX zugeschickt bekommen. Die mitbeteiligte Partei habe offensichtlich Zugriff auf diese Mail-Adresse gehabt, ohne dass der Beschwerdeführer davon gewusst habe. Der Beschwerdeführer habe die Mail-Adresse aber schon während aufrechter Lebensgemeinschaft mit der mitbeteiligten Partei verwendet und damals in seinen persönlichen Unterlagen handschriftliche Notizen über die Zugangsdaten gehabt. Die Domain wäre aber der ausschließlichen Benutzung des Beschwerdeführers vorbehalten. Es sei deshalb nicht klar, wie die mitbeteiligte Partei die Daten des Beschwerdeführers insbesondere die Lichtbilder der Eintrittskarte „ XXXX “ erlangen konnte. Es habe sich aber herausgestellt, dass die mitbeteiligte Partei die Daten unberechtigter Weise erlangt und in erpresserischer Absicht verarbeitet habe indem sie die Lichtbilder der Eintrittskarte „ XXXX “ an die Mutter des Beschwerdeführers und seine Lebensgefährtin geschickt habe, um den Beschwerdeführer bloßzustellen, nachdem dieser eine Kostenbeteiligung für die Zahnspange der gemeinsamen Tochter des Beschwerdeführers und der mitbeteiligten Partei verweigert habe.

2. Die belangte Behörde forderte die mitbeteiligte Partei am 30.05.2022 zur Stellungnahme auf und urgierte nach verstrichener Frist diese mit Schreiben vom 17.06.2022

3. Die mitbeteiligte Partei nahm dazu am 20.06.2022 Stellung und führte aus, dass sie nie Zugang zur Mail-Adresse mit der Domain XXXX ehabt habe.

4. Nach Einräumen des Parteiengehörs seitens der belangten Behörde, langte keine weitere Stellungnahme ein und wies die belangte Behörde die Datenschutzbeschwerde mit Bescheid vom 03.08.2022 ab. Die belangte Behörde begründete dies im Wesentlichen damit, dass es sich bei der mitbeteiligten Partei um eine Familienangehörige im Sinne des Art. 2 Abs. 2 lit. c) DSGVO handle. Zwar liege im vorliegenden Fall eine ganz automatisierte Datenverarbeitung im Anfertigen von Lichtbildern der Eintrittskarte „ XXXX “ und deren Übermittlung per WhatsApp an die Mutter des Beschwerdeführers und dessen Lebensgefährtin vor, aber greife hier die (weit auszulegende) „Familienausnahme“, weil es sich um eine Datenverarbeitung im Kontext (ausschließlich) familiärer Tätigkeiten handle. Es gelte nämlich auch, dass die beschränkte Weitergabe von Daten innerhalb des Familienkreises, der auch hier vorliege, vom Anwendungsbereich der DSGVO ausgeschlossen sei. Auch gehe der Schutz des § 1 Abs. 1 DSG nicht über jenen des Art. 8 EU-GRC hinaus und habe der Gesetzgeber nicht einen anderen Anwendungsbereich, im Wegfallen von der einfachgesetzlichen Umsetzung der Haushaltsausnahme gegenüber der Umsetzung der RL 46/95 im DSG 2000 normieren wollen.

5. Der Beschwerdeführer erhob dagegen (rechtzeitig) am 22.08.2022 Beschwerde an das Bundesverwaltungsgericht und führte begründend aus, dass die belangte Behörde schon darüber irre, dass die Haushaltsausnahme auf § 1 DSG übertragbar sei. Vielmehr gelte nach einigen Literaturmeinungen, dass § 1 DSG keine Haushaltsausnahme zulasse. Darüber hinaus habe die belangte Behörde Art. 2 Abs. 2 lit. c) DSGVO falsch interpretiert, wenn sie annehme, dass die derzeitige Lebensgefährtin des Beschwerdeführers als „Familienmitglied im Sinne leg. cit. anzusehen sei, weil ihrerseits kein familiäres Band zur mitbeteiligten Partei bestünde. Außerdem bestehe ein wirtschaftlicher Hintergrund, wenn die mitbeteiligte Partei durch die Datenverarbeitung die Beteiligung an der Zahnspange der gemeinsamen Tochter erpressen wolle. Darüber hinaus handle es sich um sensible Daten, weil Rückschlüsse auf die sexuelle Orientierung des Beschwerdeführers möglich gewesen seien. Auch gehe eine Interessenabwägung zugunsten des Beschwerdeführers aus.

6. Mit Schreiben vom 05.09.2022 legte die belangte Behörde die Beschwerde sowie den dazugehörigen Verwaltungsakt dem Bundesverwaltungsgericht zu Entscheidung vor. Es wurde eine Stellungnahme dahingehend abgegeben, dass das Beschwerdevorbringen zur Gänze bestritten und auf den angefochtenen Bescheid verwiesen werde.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1. Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.

2. Der Beschwerdeführer und die mitbeteiligte Partei haben eine gemeinsame Tochter. Diese benötigt eine Zahnspange, deren Selbstbehalt-Kostenanteil nach Krankenversicherung EUR 2000,-- beträgt. Die mitbeteiligte Partei forderte, mit unten dargestellten Nachrichten, am 14.10.2021 sowie am 11.04.2022, dass sich der Beschwerdeführer zur Hälfte daran beteilige, anderenfalls würde die mitbeteiligte Partei „weitere Schritte“ einleiten.

Dazu die Chatprotokolle von der mitbeteiligten Partei an den Beschwerdeführer:

Der Beschwerdeführer antwortete nicht auf diese Nachrichten.

3. In weiterer Folge nämlich am 21.04.2022 und am 23.04.2022 schickte die mitbeteiligte Partei nachstehende Bilddateien als PDF-Anhang mit dem Datenübermittlungsdienst „WhatsApp“ zuerst an die Mobiltelefonnummer der Mutter des Beschwerdeführers XXXX und dann an die Mobiltelefonnummer der Freundin des Beschwerdeführers XXXX :

Dazu die Chatprotokolle von der mitbeteiligten Partei an die Mutter des Beschwerdeführers:

Dazu die Chatprotokolle von der mitbeteiligten Partei an die Freundin des Beschwerdeführers:

4. Der Beschwerdeführer erhob am 11.05.2022 (verbessert mit Schreiben vom 27.05.2022) eine Datenschutzbeschwerde an die belangte Behörde wegen einer Verletzung im Recht auf Geheimhaltung und schloss Chatprotokolle sowie Bilddateien der Beschwerde an die belangte Behörde an.

5. Die mitbeteiligte Partei hat sich zu einem nicht feststellbaren Zeitpunkt Zugang zu den Daten des Beschwerdeführers, der sich über die Homepage XXXX für die Teilnahme an der Veranstaltung „ XXXX “ informierte verschafft. Die Eintrittskarte und die Veranstaltungsinformationen wurden an die E-Mail Adresse XXXX geschickt, deren alleiniger Nutzungsberechtigter der Beschwerdeführer ist. In der Folge der Offenlegung der Daten an die Mutter und die Freundin des Beschwerdeführers löschte er die E-Mail mit den Teilnahmedaten.

6. Die belangte Behörde erlies den nunmehr angefochtenen Bescheid, gegen den sich die (rechtzeitige) Beschwerde richtet.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem hier gegenständlichen Gerichtsakt. In diesem Zusammenhang werden die Ausführungen des Beschwerdeführers als grundsätzlich glaubwürdig erachtet und wird auf die in der rechtlichen Begründung zu den einzelnen Beschwerdepunkten enthaltenen detaillierten Ausführungen verwiesen.

Die mitbeteiligte Partei trat dem Tatsachenvorbringen des Beschwerdeführers grundsätzlich nicht entgegen und brachte lediglich vor, keinen Zugang zur E-Mail Domain gehabt zu haben.

Ob die mitbeteiligte Partei nun – wie vom Beschwerdeführer vermutet – sich die Zugangsdaten zur Mailadresse des Beschwerdeführers verschafft hat, oder auf andere Weise an die Bilddaten gelangte, die sie an die Mutter und Freundin des Beschwerdeführers übermittelt, konnte nicht zweifelsfrei geklärt werden, ist aber für die Beurteilung der Berechtigung der Beschwerde unerheblich.

3. Rechtliche Beurteilung:

Zu A)

3.1. Zuständigkeit des Bundesverwaltungsgerichts:

Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Die zulässige Beschwerde ist berechtigt.

3.2. Rechtslage:

§ 1 DSG lautet:

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

2. das Recht auf Richtigstellung unrichtiger Daten und das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

(4) Beschränkungen der Rechte nach Abs. 3 sind nur unter den in Abs. 2 genannten Voraussetzungen zulässig.

§ 24 DSG lautet:

„Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.“

Artikel 16 AEUV lautet:

„Artikel 16

(ex-Artikel 286 EGV)

(1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

(2) Das Europäische Parlament und der Rat erlassen gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Die Einhaltung dieser Vorschriften wird von unabhängigen Behörden überwacht.

Die auf der Grundlage dieses Artikels erlassenen Vorschriften lassen die spezifischen Bestimmungen des Artikels 39 des Vertrags über die Europäische Union unberührt.“

Artikel 8 EU-GRC lautet:

„Artikel 8

Schutz personenbezogener Daten (1) Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. (3) Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.“

Artikel 2 DSGVO lautet:

„Artikel 2 DSGVO

Sachlicher Anwendungsbereich

(1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

a) im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt,

b) durch die Mitgliedstaaten im Rahmen von Tätigkeiten, die in den Anwendungsbereich von Titel V Kapitel 2 EUV fallen,

c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten,

d) durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

(3) Für die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union gilt die Verordnung (EG) Nr. 45/2001. Die Verordnung (EG) Nr. 45/2001 und sonstige Rechtsakte der Union, die diese Verarbeitung personenbezogener Daten regeln, werden im Einklang mit Artikel 98 an die Grundsätze und Vorschriften der vorliegenden Verordnung angepasst.

[…]“

Artikel 4 DSGVO lautet:„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;“

Art. 5 DSGVO lautet:

„Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a)

auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b)

für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c)

dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d)

sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e)

in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f)

in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“

Art. 58 lautet:

(1) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,

a) den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind,

b) Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,

c)eine Überprüfung der nach Artikel 42 Absatz 7 erteilten Zertifizierungen durchzuführen,

d)den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,

e) von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind, zu erhalten,

f) gemäß dem Verfahrensrecht der Union oder dem Verfahrensrecht des Mitgliedstaats Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, des Verantwortlichen und des Auftragsverarbeiters zu erhalten.

(2) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

a) einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,

b) einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,

c) den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,

d)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,

e) den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen,

f) eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,

g) die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung gemäß den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten gemäß Artikel 17 Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen,

h) eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine gemäß den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden,

i) eine Geldbuße gemäß Artikel 83 zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls,

j) die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen.

(3) Jede Aufsichtsbehörde verfügt über sämtliche folgenden Genehmigungsbefugnisse und beratenden Befugnisse, die es ihr gestatten,

a) gemäß dem Verfahren der vorherigen Konsultation nach Artikel 36 den Verantwortlichen zu beraten,

b) zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an das nationale Parlament, die Regierung des Mitgliedstaats oder im Einklang mit dem Recht des Mitgliedstaats an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten,

c)die Verarbeitung gemäß Artikel 36 Absatz 5 zu genehmigen, falls im Recht des Mitgliedstaats eine derartige vorherige Genehmigung verlangt wird,

d)eine Stellungnahme abzugeben und Entwürfe von Verhaltensregeln gemäß Artikel 40 Absatz 5 zu billigen,

e) Zertifizierungsstellen gemäß Artikel 43 zu akkreditieren,

f) im Einklang mit Artikel 42 Absatz 5 Zertifizierungen zu erteilen und Kriterien für die Zertifizierung zu billigen,

g) Standarddatenschutzklauseln nach Artikel 28 Absatz 8 und Artikel 46 Absatz 2 Buchstabe d festzulegen,

h) Vertragsklauseln gemäß Artikel 46 Absatz 3 Buchstabe a zu genehmigen,

i) Verwaltungsvereinbarungen gemäß Artikel 46 Absatz 3 Buchstabe b zu genehmigen

j) verbindliche interne Vorschriften gemäß Artikel 47 zu genehmigen.

(4) Die Ausübung der der Aufsichtsbehörde gemäß diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren gemäß dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta.

(5) Jeder Mitgliedstaat sieht durch Rechtsvorschriften vor, dass seine Aufsichtsbehörde befugt ist, Verstöße gegen diese Verordnung den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben oder sich sonst daran zu beteiligen, um die Bestimmungen dieser Verordnung durchzusetzen.

(6) Jeder Mitgliedstaat kann durch Rechtsvorschriften vorsehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels VII beeinträchtigen.

Art. 77 DSGVO lautet: „Artikel 77

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

3.3. Zur Anwendbarkeit von Art. 2 Abs. 2 lit. c) DSGVO auf § 1 Abs. 1 DSG:

Zunächst ist festzuhalten, dass sich der Beschwerdeführer in seiner an die belangten Behörde gerichteten Datenschutzbeschwerde nicht auf unmittelbar anwendbares Unions-Primärrecht etwa auf Art. 16 Abs. 1 AEUV oder Art. 8 Abs. 1 EU-GRC beruft, sondern expressis verbis auf § 1 Abs. 1 DSG. Die belangte Behörde erblickte in der ursprünglichen Beschwerde einen behebbaren Mangel im Sinne des § 13 Abs. 1 AVG, indem nicht den Formvorschriften von § 24 Abs. 2 Z 1 DSG „Bezeichnung des als verletzt erachteten Rechts“ entsprochen gewesen wäre. Da der Beschwerdeführer die Datenschutzbeschwerde dahingehend verbesserte, als dass er § 1 Abs. 1 DSG als verletztes Recht benannte, hatte die belangte Behörde daher im vorliegenden Fall auch konkret eine Rechtsverletzung in der Sphäre des Beschwerdeführers am Maßstab des in § 1 Abs. 1 DSG statuierten Grundrechteschutzes zu prüfen gehabt.

Zur Frage, ob die „Haushaltsausnahme“ gemäß Art. 2 Abs. 2 lit. c) DSGVO auf § 1 Abs. 1 DSG anwendbar ist gibt es in der Literatur widerstreitende Meinungen.

Heißl in Knyrim, DatKomm zu Art 2 DSGVO Rz 8 meint, die „Haushaltsausnahme“ sei nicht auf das DSG anwendbar, weil dies dem Wortlaut der Durchführungsbestimmung des Art. II DSG, § 4 Abs. 1 nicht zu entnehmen sei.

Kunnert in Bresich/Dopplinger/Dornhöfer/Kunnert/Riedl, Datenschutzgesetz zu § 4 DSG meint, dass dem inhärenten Ansatz der Normierung eines Minimum an Durchführungsbestimmungen dazu geführt habe, dass der Gesetzgeber (richtiger Weise) nicht die Ausnahmetatbestände aus dem Sekundärrecht wiederholt. Der Norminhalt erschließe sich daher aus einer Zusammenschau aus Art. 2 DSGVO und § 4 DSG.

Pollirer/Weiss/Knyrim/Haidinger, DSG4 § 4 (Stand 1.4.2019, rdb.at) sagt schlicht, dass der einfachgesetzliche Teil des DSG keine Anwendung auf durch Art. 2 Abs. lit. c) DSGVO privilegierte Datenverarbeitungen finde.

Wenn nun die belangte Behörde vermeint, der Grundrechtsschutz des § 1 Abs. 1 DSG gleiche im Wesentlichen Art. 8 Abs. 1 EU-GRC und sei die Haushaltsausnahme deswegen mit Verweis auf den Beschluss des deutschen Bundesverfassungsgerichts 1 BvR 16/13 vom 6.11.2019 auch auf § 1 Abs. 1 DSG anwendbar, verkennt sie, dass das deutsche Bundesverfassungsgericht aussprach, dass die EU-GRC keinen umfassenden Grundrechtsschutz für die Europäische Union errichtet, sondern auch dem Grundsatz der begrenzten Anwendung im Sinne der föderativen Vielfalt folgt. Demnach bleibt ein nationaler Grundrechtsschutz auch dann bestehen, wenn Unionsgrundrechte bestehen und nationale Grundrechte – zwar zur Durchführung des Unions(primär)rechts heranzuziehen sind – aber Gestaltungsspielraum in einem gehaltvollen Rahmen gesetzt werden. In diesem Fall treten die europäischen Grundrechtsbestimmungen den nationalen hinzu. In diesem Sinne argumentierte der VfGH auch in seiner Entscheidung vom 14.3.2012 U466/11 VfSlg. 19632 indem er aussprach, dass nach dem Äquivalenzprinzip einfachgesetzliche Bestimmungen am Maßstab von direkt anwendbaren Primärrecht, etwa der EU-GRC zu prüfen sind. Gleichzeitig besteht demnach (was auch hier relevant ist) keine Vorlagepflicht, wenn der Grundrechteschutz dem der EU-GRC gleicht. Es bleibt zu konstatieren, dass aus der zitierten Judikatur für den gegenständlichen Fall jedenfalls nicht abgeleitet werden kann, dass aus primärrechtlichen Erwägungen, insbesondere im Hinblick auf das Primat der grundrechtlichen Vielfalt, das nur dann einzuschränken ist, wenn konkrete Hinweise dafür vorliegen, § 1 Abs. 1 DSG als separates nationales Grundrecht im Verfassungsrang dahingehend auszulegen ist, dass es keinen über Art. 16 Abs. 1 AEUV und Art. 8 Abs. 1 EU-GRC hinausgehenden Anwendungsbereich haben kann. Durch die DSGVO wurde von der gemäß Art. 16 Abs. 2 AEUV normierten Kompetenz zur Erlassung von Datenschutzvorschriften auf sekundärrechtlicher Ebene Gebrauch gemacht und wird in der DSGVO auch explizit der Schutz anderer (verschiedener) Grundrechte und Grundfreiheiten berücksichtigt (und wird auch bspw. darauf verwiesen. (vgl. Erwägungsgrund 4 DSGVO, s. auch Lachmayer in Knyrim, DatKomm Art 1 DSGVO Rz38 sowie Ernst in Paal/Pauly Datenschutz-Grundverordnung zu Art. 1 Rz 1)). Demnach ist ein erhöhtes Grundrechteschutzniveau wie nach § 1 Abs. 1 DSG, infolge eines weiteren sachlichen Anwendungsbereichs, wenn die „Haushaltsausnahme“ nicht darauf anzuwenden wäre, auch dann zulässig, wenn es den Prinzipien der Grundfreiheiten oder dem Gedanken des einheitlichen Schutzniveaus nicht entgegensteht (vgl auch EwG 19 DSGVO). Da die Ausnahme vom Anwendungsbereich der DSGVO gemäß Art. 2 Abs. 2 lit c) DSGVO einerseits hauptsächlich der Prävention der administrativen Überlastung von Aufsichtsbehörden, andererseits einer Privilegierung zur Erleichterung des Auslebens des Familienlebens – selbst unter Einbindung allgegenwärtiger technischer Hilfsmittel, wie Fotokameras, Social Media etc – dient, wäre auch im Hinblick auf die Zielsetzung der DSGVO kein Widerspruch in einem erweiterten Rechtsschutz aus primärrechtlichen Gründen zu erblicken. Anders zu sehen, wäre die Konstellation, wenn das primärrechtliche Grundrechteschutzniveau dadurch unterschritten werden sollte.

Beachtlich für die Interpretation der Reichweite des Schutzes des in § 1 Abs. 1 DSG statuierten subjektiv öffentlichen Rechts ist darüber hinaus der Art. II des DSG und insbesondere die Durchführungsbestimmung des § 4 Abs. 1 DSG:

Der österreichische Gesetzgeber hat in den Erläuternden Bemerkungen zu § 4 DSG wie folgt festgehalten:

„§ 4 Abs. 1 legt den sachlichen Anwendungsbereich fest. Keine Anwendung findet dieses Bundesgesetz – wie bisher – auf Akte der Gesetzgebung und Akte der Gerichte im Rahmen ihrer justiziellen Tätigkeit. Aufgrund von Art. 2 Abs. 2 lit. c DSGVO („Haushaltsausnahme“) vom Anwendungsbereich der DSGVO ausgenommene Verarbeitungen sollen auch vom DSG nicht erfasst werden. Der räumliche Anwendungsbereich wird unmittelbar in der DSGVO festgelegt.“ (ErlAB zu § 4 idF des Datenschutz-Anpassungsgesetzes 2018 (1761 BlgNR 25. GP 4))

„Das Grundrecht auf Datenschutz wurde bisher im Sinne der Begriffsbestimmungen des § 4 DSG 2000 ausgelegt (vgl zB. Eberhard, zu § 1 DSG 2000, in Korinek/Holoubek ua, Kommentar zum österreichischen Bundesverfassungsrecht). Nunmehr muss es im Sinne der Begriffsbestimmungen der DSGVO ausgelegt werden, dh „Betroffene“ bzw „betroffene Personen“ sind gem Art 4 Z 1 DSGVO nur natürliche Personen.“ (AÄA zu § 4 Abs 1 idF des Datenschutz-Deregulierungs-Gesetzes 2018 (AA-10 26. GP 4))

Wie schon Pollirer/Weiss/Knyrim/Haidinger richtig meinen, ist zumindest für den einfachgesetzlichen Teil des DSG in Art. II damit eine Ausnahme vom Anwendungsbereich der Durchführungsbestimmungen gegeben. Auch Kunnert ist zuzustimmen, wenn er schreibt, dass eine bloße Wiederholung des Wortlautes des Verordnungstextes nicht statthaft ist.

Weiter ergibt sich daraus, dass Art. 77 DSGVO aus dem sich (direkt) das Beschwerderecht einer betroffenen Person bei Rechtsverletzungen ableitet, ebenso wenig anwendbar ist, wie der formelle, das europäische Recht spezifizierende § 24 DSG. Demnach ist, insoweit eine Datenverarbeitung gemäß Art. 2 Abs. 2 lit c) DSGVO vorliegt, die Geltendmachung des subjektiven Rechts im Wege des verwaltungsbehördlichen Administrativverfahrens nicht vorgesehen.

Daraus wiederum lässt der Gesetzgeber erkennen, dass er den Grundrechteschutz durch das Fortbestehen des § 1 Abs. 1 DSG status quo ante nicht erweitern wollte. Der belangten Behörde ist zuzustimmen, dass der Wegfall der früheren Bestimmung des § 45 DSG 2000 (vgl. Stammfassung BGBl. I Nr. 165/1999) als einfachgesetzliche Grundlage der Umsetzung von Art. 3 Abs. 2 RL 95/46/EG nicht gleichbedeutend mit einer Erweiterung des Grundrechts gemäß § 1 Abs. 1 DSG ist. Vielmehr sind die gesetzlichen Bestimmungen so auszulegen, dass sie nicht ihres Sinns beraubt werden, indem einem subjektiv öffentlichen Recht ein weiterer Anwendungsbereich zugestanden wird, als ihm auch im administrativen Verwaltungsverfahren zukommt. (in diesem Sinne auch Kunnert in Bresich/Dopplinger/Dornhöfer/Kunnert/Riedl, Datenschutzgesetz zu § 4 DSG)

Das Gericht übersieht dabei auch nicht, dass im Sinne des Art. 8 Abs. 2 EMRK materiell rechtliche Einschränkungen zum Grundrecht gemäß § 1 Abs. 1 DSG (auf einfachgesetzlicher Ebene) nur zu festgelegten Zwecken gemacht werden können. Dazu ist aber zu sagen, dass sich insbesondere die aus Art. 8 Abs. 2 EMRK erfließenden Ausnahmen mit Art. 52 Abs. 1 EU-GRC und der Einschränkung von Art. 8 Abs. 2 EU-GRC decken und, dass vom EuGH bei der Anwendung der „Haushaltsausnahme“ kein Zweifel an deren Rechtskonformität hervorgekommen ist (vgl. EuGH vom 10.7.2018, Zeugen Jehovas C-25/17). Darüber hinaus (siehe dazu auch unter 3.4 und 3.5) ist zu festzuhalten, dass die „Haushaltsausnahme“ auch nicht auf eine Weise angewendet werden kann, dass sie das (für diesen Sachverhalt gleiche) primärrechtliche Grundrechteschutzniveau unterschreiten darf. Es ergibt sich daher auch, dass eine Anwendung der „Haushaltsausnahme“ nicht mit einer materiellen Einschränkung des Grundrechteschutzes im Sinne des § 1 Abs. 1 DSG gleichzusetzen ist, sondern vielmehr einer Erleichterung der Ausübung des in Art. 8 EMRK genannten Grundrechts auf Familienleben dient.

Der belangten Behörde ist daher insgesamt zuzustimmen, dass die „Haushaltsausnahme“ Art. 2 Abs. lit. c) DSGVO auch auf § 1 Abs. 1 DSG anzuwenden ist.

3.4. Zum Prüfumfang der Haushaltsausnahme

Die belangte Behörde kommt zu dem Schluss, dass in der vorliegenden Sachverhaltskonstellation die Haushaltsausnahme anzuwenden ist und hat daher die Datenschutzbeschwerde abgewiesen.

Die mitbeteiligte Partei sei als Mutter der gemeinsamen Tochter für die sie eine anteilige Kostenübernahme für eine Zahnspange forderte eine Familienangehörige des Beschwerdeführers und habe personenbezogene Daten des Beschwerdeführers an weitere Familienangehörige, nämlich die Mutter und die aktuelle Lebensgefährtin des Beschwerdeführers per „WhatsApp“ übermittelt, um diesen bloßzustellen nachdem er die geforderten Kosten nicht übernommen hatte. Die somit im Familienverbund begrenzte Veröffentlichung sei von der Haushaltsausnahme gedeckt.

Dazu ist zu sagen, dass der belangten Behörde nicht entgegenzutreten ist, wenn sie ausführt, dass durch das Anfertigen von Lichtbildern und das Offenlegen an Dritte über den Datenübermittlungsdienst „WhatsApp“ eine Datenverarbeitung im Sinne des § 1 Abs. 1 DSG iVm Art. 4 Ziffer 2 DSGVO gegeben ist. Unstrittig ist ebenso die Qualifikation als personenbezogene Daten. Dennoch: selbst wenn man der Argumentation der belangten Behörde inhaltlich weiter folgen wollte, wäre die Datenschutzbeschwerde zurück- und nicht abzuweisen gewesen. Aber die belangte Behörde legt den Sachverhalt insoweit falsch aus, als dass im vorliegenden Fall keine ausschließlich familiäre Tätigkeit vorliegt. Die im gegenständlichen Fall an den beschränkten Kreis offengelegten personenbezogenen Daten sind nicht von der Haushaltsausnahme gedeckt:

Richtiger Weise geht die belangte Behörde davon aus, dass der Personenkreis der potentiell auf die inrede stehenden Daten zugreifen hätte können, von Vornherein absehbar war und die Empfänger als „Familienangehörige“ zumindest im weiteren Sinne anzusehen sind, somit das erste Tatbestandsmerkmal als erfüllt zu erachten ist (vgl. OGH vom 23.6.2021, 6 Ob 56/21k und Kühling/Raab in Kühling/Buchner, DS-GVO BDSG Art 2 DSGVO Rz 25 maN).

Darüber hinaus hätte die belangte Behörde aber weiter prüfen müssen welchen Bezug der Verarbeitende zu den Offenlegungsempfängern hat (s. auch Zukic, die Reichweite der Haushaltsausnahme der DSGVO am Beispiel sozialer Online-Netzwerke und Bildaufnahmen in Jahnel, Datenschutzrecht, Jahrbuch 2019). Für die Beantwortung der Frage, ob familiäre Zwecke vorliegen, ist nämlich die Verkehrsanschauung relevant. In der englischsprachigen Fassung der DSGVO ist von „household activity“ die Rede. Während Datenverarbeitungen zu privaten Zwecken wie zur Freizeitgestaltung oder für die Urlaubsgestaltung den Tatbestand der „household activity“ also der familiären Tätigkeit erfüllen, ist ein anderer Zweck zum Beispiel rein monetärer oder wirtschaftlicher (geschäftlicher) Natur nicht gedeckt (vgl. Ernst in Paal/Pauly Datenschutz-Grundverordnung zu Art. 2). Ginge man nämlich allein vom objektiven Vorliegen der Eigenschaft als Familienangehöriger im Sinne des Art. 2 Abs. 2 lit. c) DSGVO als singuläres Tatbestandsmerkmal als Voraussetzung für die Ausnahme vom sachlichen Anwendungsbereich der DSGVO aus, stieße man auch an primärrechtliche Schranken. Obwohl das Verhältnis von Art. 16 Abs. 1 AEUV und Art. 8 EU-GRC, insbesondere betreffend die Frage, ob Art. 52 Abs. 2 EU-GRC anzuwenden ist, in der Literatur unterschiedlich gesehen wird, bildet jedenfalls Art. 8 Abs. 2 EU-GRC die Schranken des Prüfmaßstabes (Sobotta in Pechstein/Nowak/Häde Art 16 AEUV Rz 11 und Knafl-Berglez in Jaeger/Stöger EUV/AEUV zu Art. 16 AEUV Rz 17). Demzufolge dürfen Daten nur nach Treu und Glauben verarbeitet werden. Folgte man aber der Ansicht der belangten Behörde könnte diese primärrechtliche Schranke, die sich eben aus Art. 16 Abs. 1 AEUV ergibt, unzulässiger Weise allein dadurch unterlaufen werden, indem die Verarbeitung durch ein Familienmitglied erfolgt. Im Übrigen hat die belangte Behörde richtiger Weise in ihrer Judikatur dem selbst auch schon Rechnung getragen, indem sie die „Haushaltsausnahme“ nicht für einen heimlichen Tonbandmitschnitt einer Unterhaltung zur Verwendung im Scheidungsverfahren anwendete, vgl. Bescheid vom 10.8.2020, 2020-0.204.456 (DSB-D124.339).

Die Frage, ob eine familiäre Tätigkeit vorliegt kann nicht bloß am Merkmal der Familienangehörigkeit festgemacht werden, sondern ist auch zu prüfen, zu welchem Zweck die Datenverarbeitung erfolgt. Der EuGH hat bereits ausgesprochen, dass für die Annahme der „Haushaltsausnahme“ die Datenverarbeitung ausschließlich zum privaten Zwecke erfolgen müsse und, dass schon eine privat gemischt wirtschaftliche Tätigkeit zur Vollanwendung der Datenschutzbestimmungen führt (EuGH vom 10.7.2018, Zeugen Jehovas C-25/17).

Weiter ist die Ansicht von Ennöckl in Sydow, Europäische Datenschutzgrundverordnung Art 2 Rz 10, dass die Haushaltsausnahme grundsätzlich restriktiv auszulegen ist, vom OGH (vgl. Urteil vom 23.06.2021, 6 Ob 56/21k , Rn 124) bereits aufgegriffen worden und ist auch nach diesem Gesichtspunkt die inrede stehende Datenverarbeitung nicht unter die Haushaltsausnahme zu subsumieren.

Die Datenverarbeitung im vorliegenden Fall dient daher keinem in der Rechtsordnung anerkannten familiären Zweck und ist aus diesem Grunde auch nicht unter die Ausnahme von Art. 2 Abs. 2 lit. c) DSGVO in Verbindung mit § 4 Abs. 1 DSG zu subsumieren, sondern sind die datenschutzrechtlichen Bestimmungen der DSGVO (insbesondere des Kapitel II) anzuwenden.

3.5. Rechtmäßigkeit der Datenverarbeitung:

In seiner Rechtsprechung vertritt der EuGH den Standpunkt, dass zu jeder Zeit einer Datenverarbeitung alle Grundsätze der Datenverarbeitung eingehalten werden müssen. (Urteil vom 24. November 2011, C‑468/10 und C‑469/10, EU:C:2011:777, sowie wiederholt im Urteil vom 11.Dezember 2019 C-708/17 ECLI:EU:C:2019:1064)

Demnach müssen Daten stets kumulativ nach den Grundsätzen von Art. 5 und Art. 6 DSGVO bzw. Art 9 DSGVO auf rechtmäßige Weise nach Treu und Glauben verarbeitet werden:

Die mitbeteiligte Partei hat sich, ohne vom Beschwerdeführer direkt dazu berechtigt worden zu sein, Zugang zu mutmaßlich kompromittierenden Informationen über den Beschwerdeführer verschafft (auf welche Weise kann dahingestellt bleiben) und schließlich Lichtbilder von der Eintrittskarte zur Veranstaltung „ XXXX “ angefertigt und über den Nachrichtendienst „WhatsApp“ an die Mutter und die aktuelle Lebensgefährtin offengelegt. Die mitbeteiligte Partei legte diese Daten offen, nachdem sie vergeblich versucht hatte eine Kostenbeteiligung an der Zahnspange der gemeinsamen Tochter zu erwirken. „[14.04.22, 11:08:31] XXXX : Wie bereits erwähnt, gebe ich dir noch bis morgen Zeit. Ansonsten leite ich weitere Schritte ein. [15.04.22, 11:28:14] XXXX : ?“

Danach, im unmittelbaren zeitlichen Naheverhältnis dazu, nämlich am 21.04.2022 und 23.04.2022 legte die mitbeteiligte Partei die festgestellten Bilddateien zuerst an die Mutter des Beschwerdeführers und danach auch noch an seine Freundin offen. Schon aus der Aktenlage kann daher auf eine von der Rechtsordnung nicht gedeckte Motivlage seitens der mitbeteiligten Partei geschlossen werden. Die mitbeteiligte Partei ging nämlich davon aus, dass sie eine mutmaßlich geheime sexuelle Orientierung des Beschwerdeführers – die offensichtlich nach Anschauung der mitbeteiligten Partei abzulehnen sei – in seinem engeren Kreis offenlegt und ihn dadurch bloßstellen würde. Ob die mitbeteiligte Partei in Schädigungsabsicht handelte oder eine einfache Bloßstellung erreichen wollte, kann dahingestellt bleiben.

Eine Datenverarbeitung muss dem Grundsatz von Treu und Glauben gemäß Art. 5 Abs. 1 lit a) DSGVO bzw. Art. 8 Abs. 2 EU-GRC entsprechen. Wesensgehalt ist, dass eine Datenverarbeitung im Verhältnis von Verantwortlichen (mitbeteiligte Partei) und betroffener Person (Beschwerdeführer) nicht unzulässig oder auf eine von der Rechtsordnung verpönte Form zu Ungunsten der betroffenen Person – nach dem englischen Wortlaut – „fair“ vorgenommen wird (vgl. Ehmann/Selmayr in Datenschutzgrundverordnung zu Art. 5 sowie Reimer in Sydow Datenschutzgrundverordnung zu Art. 5).

Da es der inrede stehenden Datenverarbeitung schon auf dieser Ebene an der gesetzlich geforderten Legitimität fehlt, kann die Prüfung, ob die anderen obligatorischen Tatbestandserfordernisse (insbesondere der eines Rechtfertigungsgrundes gemäß Art. 6 DSGVO) kumulativ vorliegen im Sinne der zitierten Judikatur des EuGH unterbleiben.

Der Beschwerde war daher stattzugeben und spruchgemäß A) zu entscheiden.

3.6. Leistungsauftrag:

Der Leistungsauftrag gründet sich auf Art. 58 DSGVO in Verbindung mit § 11 VwGVG.

3.7. Durchführung einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall liegt kein Parteiantrag auf Durchführung einer mündlichen Verhandlung vor und konnte das Unterlassen einer mündlichen Verhandlung auch darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt war. Die Heranziehung weiterer Beweismittel waren zur Klärung des Sachverhaltes nicht notwendig.

Die Durchführung einer mündlichen Verhandlung war daher nicht erforderlich.

Zu B)

3.8. Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs zur Frage fehlt, ob § 1 Abs. 1 DSG vom Anwendungsbereich des Art. 2. Abs. 2 lit. c) DSGVO erfasst ist und wie dies Falls Art. 2. Abs. 2 lit. c) DSGVO auszulegen ist.