Datenschutzbehörde

GZ: DSB-D123.032/0003-DSB/2018 vom 12.11.2018

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Mag. Franz A*** (Beschwerdeführer) vom 18. Juni 2018 gegen den Österreichischen N***sport-Verband (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt:

    Der Beschwerde wird stattgegeben und es wird festgestellt, dass der Beschwerdegegner den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem er Name, Telefonnummer und E-Mail-Adresse auf der Webseite www.n***sport.at im Zeitraum von 13. März 2018 bis zum 25. Juli 2018 im öffentlichen Bereich veröffentlichte.

Rechtsgrundlagen: §§ 24 Abs. 1 Datenschutzgesetz – DSG, BGBl. I Nr. 165/1999 idgF, Art. 6 Abs. 1 lit. c und f, 7 Abs. 4, Art. 25 Abs. 2, Art. 77 Datenschutz-Grundverordnung – DSGVO, ABl. Nr. L119 S. 1.: Paragraphen 24, Absatz eins, Datenschutzgesetz – DSG, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF, Artikel 6, Absatz eins, Litera c, und f, 7 Absatz 4,, Artikel 25, Absatz 2,, Artikel 77, Datenschutz-Grundverordnung – DSGVO, ABl. Nr. L119 S. 1.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Der Beschwerdeführer rügt mit seiner am 18. Juni 2018 eingelangten Beschwerde, der Beschwerdegegner verarbeite personenbezogene Daten unberechtigter Weise, indem er seine Kontaktdaten als Mannschaftsführer für Ansprechpartner von N***sportvereinen für N***sportmeisterschaften außerhalb eines separat bestehenden Mitgliederbereichs für alle Besucher der Webseite des Beschwerdegegners veröffentliche. Es bestehe bei der Eingabe der Daten eines Mannschaftsführers und eines Stellvertreters – welcher als Kontaktperson diene – keine Möglichkeit, Telefonnummer und E-Mail-Adresse nicht zu veröffentlichen. Andere Mitglieder verfügten jedoch über diese Möglichkeit.

2. Mit Erledigung vom 5. Juli 2018, GZ: DSB-D123.032/0001-DSB/2018, forderte die Datenschutzbehörde den Beschwerdegegner auf, zu den Vorwürfen Stellung zu nehmen und führte aus, dass eine Datenverarbeitung nur im für den verfolgten Zweck notwendigen Ausmaß zu erfolgen habe.

3. Mit Eingabe vom 25. Juli 2018, ho eingelangt am selben Tag, nahm der Beschwerdegegner Stellung und führte aus, dass der Beschwerdegegner für seine 9 Mitglieder, die Landesverbände des Beschwerdegegners, ein Datenverarbeitungssystem von C*** Systemautomation GmbH als Auftragsverarbeiter zur Mitgliederverwaltung verwende. Die Nennung von Mannschaftsführern sei aufgrund der Regeln zum Meisterschaftsbetrieb, zur unabdingbaren Kommunikation der Mannschaften untereinander verpflichtend, jedoch sei die Übernahme der Funktion eines Mannschaftsführers freiwillig. Für den Fall, dass eine Funktion übernommen werde, habe jedes Mitglied seit 25. Mai 2018 die Datenschutzerklärung zur Kenntnis zu nehmen. Darin werde auch ausgeführt, dass bei der Übernahme einer Funktion, wie z.B. eines Mannschaftsführers, die Veröffentlichung der Daten verpflichtend sei. Der für die Teilnahme an der Meisterschaft vorgesehene Teilnahmevertrag stelle nicht die Grundlage der Datenverarbeitung dar, verstoße aber auch nicht gegen das Kopplungsverbot. Die Veröffentlichung der Kontaktdaten sei deshalb im berechtigten Interesse des Beschwerdegegners, weil die reibungslose Kommunikation der Funktionsträger (Mannschaftsführer) nur durch die Veröffentlichung der Kontaktdaten besorgt werden könne. Jeder Mannschaftsführer, so auch der Beschwerdeführer, müsse vernünftiger Weise damit rechnen, dass die Kontaktdaten veröffentlicht werden würden. Auch gegen die Verpflichtung zur Datenminimierung sei nicht verstoßen worden – so würden nur aktuelle Mannschaftsführer angegeben und seien die Daten auf Namen, E-Mail-Adressen und Telefonnummern beschränkt. Nach Ende der Meisterschaftssaison würden die Daten wieder entfernt. Die Funktion des Mannschaftsführers sei aber unzertrennlich mit der Veröffentlichung der Daten verbunden und sei durch den Tatbestand des überwiegenden berechtigten Interesses gerechtfertigt. Die Beschränkung der Veröffentlichung in einem „geschützten Bereich“ sei eine hohe Hürde für die Aufrechterhaltung eines funktionierenden Systems und stünde aufgrund der notwendigen Authentifizierung nicht im Einklang mit der Notwendigkeit einer sofortigen Kontaktaufnahme. Im Übrigen sei der Beschwerdeführer nicht mehr beschwert, da seine Kontaktdaten gelöscht worden seien.

4. Mit Erledigung vom 31. Juli 2018, GZ: DSB-D123.032/0002-DSB/2018, räumte die Datenschutzbehörde dem Beschwerdeführer rechtliches Gehör ein.

5. Der Beschwerdeführer äußerte sich mit Eingabe vom 13. August 2018 und führte aus, dass eine Veröffentlichung für nicht registrierte Nutzer nicht einzusehen sei. So müsse man sich zur Einsicht weniger schützenswerter Daten einloggen, aber nicht um die Kontaktdaten der Mannschaftsführer zu ersehen. Es wäre einfach, den bereits existierenden Mitgliederbereich dazu zu verwenden. Eine Hürde für die Kommunikation im Meisterschaftsbetrieb bestünde dadurch nicht.

B. Beschwerdegegenstand

Daraus ergibt sich, dass Gegenstand des Verfahrens die Frage ist, ob die Veröffentlichung der Kontaktdaten der Mannschaftsführer gegen die Geheimhaltungspflicht verstoßen hat.

C. Sachverhaltsfeststellungen

Der Beschwerdegegner ist ein Verein mit 9 Mitgliedern – den Landesverbänden. Zur Kommunikation der einzelnen Mannschaften im Meisterschaftsbetrieb werden die aktuellen Kontaktdaten der für die jeweilige Saison benannten Mannschaftsführer, bestehend aus Telefonnummer und E-Mail-Adresse in Verbindung mit dem Namen des Funktionsträgers, auf der Webseite des Beschwerdegegners veröffentlicht. Die Daten sind für alle Besucher der Webseite ersichtlich. Die Daten des Beschwerdeführers waren daher für die laufende N***sportsaison auf der Webseite ersichtlich (Saisonbeginn 13. März 2018 bis zur Stellungnahme im laufenden Verfahren am 25. Juli 2018). Es existiert auf der Web-Seite ebenfalls ein geschützter Bereich, der Mitgliedern mit Login-Daten vorbehalten ist. Darin werden Spielresultate und ***-Einstufungen ersichtlich. Noch während des Verfahrens wurden die Daten des Beschwerdeführers vom Beschwerdegegner gelöscht und sind nicht weiter ersichtlich.

Beweiswürdigung: Beweise wurden aufgenommen durch die Eingaben der Parteien sowie durch eine amtswegige Recherche auf der Webseite des Beschwerdegegners.

D. In rechtlicher Hinsicht folgt daraus:

Beschwerdelegitimation

Der Beschwerdegegner führt aus, dass die Daten des Beschwerdeführers bereits während des laufenden Verfahrens gelöscht wurden und dass aus diesem Grund die bestehende Rechtsverletzung beseitigt worden sei.

Eine Beseitigung der durch einen Verstoß gegen Geheimhaltungspflichten im Sinne des § 1 Abs. 1 DSG verursachten Rechtsverletzung stellt sich bei Betrachtung des Wortlauts als unmöglich heraus, weil der Erfolg der Rechtsverletzung schon dadurch verwirklicht wird, dass im gegebenen Fall die personenbezogenen Daten des Beschwerdeführers für einen begrenzten Zeitraum der Öffentlichkeit zugänglich gemacht wurden, ohne dass – darauf ist weiter noch einzugehen – eine (ausreichende) Legitimation zur Datenverarbeitung gegeben war. Die schlichte Löschung der Daten vom öffentlichen Bereich der Webseite erweist sich daher nicht als Beseitigung der negativen Folgen im Sinne des § 24 Abs. 6 DSG – wie vom Beschwerdegegner mit „fehlende Beschwer“ impliziert (vgl. dazu bspw. auch den Bescheid der Datenschutzkommission vom 25. Oktober 2013, GZ K121.990/0016-DSK/2013). Eine Beseitigung der durch einen Verstoß gegen Geheimhaltungspflichten im Sinne des Paragraph eins, Absatz eins, DSG verursachten Rechtsverletzung stellt sich bei Betrachtung des Wortlauts als unmöglich heraus, weil der Erfolg der Rechtsverletzung schon dadurch verwirklicht wird, dass im gegebenen Fall die personenbezogenen Daten des Beschwerdeführers für einen begrenzten Zeitraum der Öffentlichkeit zugänglich gemacht wurden, ohne dass – darauf ist weiter noch einzugehen – eine (ausreichende) Legitimation zur Datenverarbeitung gegeben war. Die schlichte Löschung der Daten vom öffentlichen Bereich der Webseite erweist sich daher nicht als Beseitigung der negativen Folgen im Sinne des Paragraph 24, Absatz 6, DSG – wie vom Beschwerdegegner mit „fehlende Beschwer“ impliziert vergleiche dazu bspw. auch den Bescheid der Datenschutzkommission vom 25. Oktober 2013, GZ K121.990/0016-DSK/2013).

Berechtigtes Interesse

Der Beschwerdegegner beruft sich hinsichtlich der Veröffentlichung auf dem allgemein zugänglichen Teil der Website auf Art. 6 Abs. 1 lit. f DSGVO. Er führt aus, dass die Beschränkung der Veröffentlichung der Kontaktdaten des Beschwerdeführers als Mannschaftsführer eine wesentliche Hürde darstellen und den Meisterschaftsbetrieb wesentlich einschränken würde, wenn vor einer Kontaktaufnahme die Login-Daten eingegeben werden müssten. Der Beschwerdegegner beruft sich hinsichtlich der Veröffentlichung auf dem allgemein zugänglichen Teil der Website auf Artikel 6, Absatz eins, Litera f, DSGVO. Er führt aus, dass die Beschränkung der Veröffentlichung der Kontaktdaten des Beschwerdeführers als Mannschaftsführer eine wesentliche Hürde darstellen und den Meisterschaftsbetrieb wesentlich einschränken würde, wenn vor einer Kontaktaufnahme die Login-Daten eingegeben werden müssten.

Diesen Ausführungen kommt keine Berechtigung zu.

Vielmehr erweist sich die vom Beschwerdeführer vorgenommene Subsumtion unter das Grundrecht auf Datenschutz – Geheimhaltung als richtig. Die Geheimhaltungspflicht des unverändert bestehenden § 1 Abs. 1 DSG stellt nach in In-Kraft-Treten der DSGVO im Lichte des durch die höchstgerichtliche Judikatur determinierten Rechts auf Privat- und Familienleben gemäß Art. 8 EMRK und in Bezug auf Art. 6 Abs. 1 lit. f. DSGVO Vielmehr erweist sich die vom Beschwerdeführer vorgenommene Subsumtion unter das Grundrecht auf Datenschutz – Geheimhaltung als richtig. Die Geheimhaltungspflicht des unverändert bestehenden Paragraph eins, Absatz eins, DSG stellt nach in In-Kraft-Treten der DSGVO im Lichte des durch die höchstgerichtliche Judikatur determinierten Rechts auf Privat- und Familienleben gemäß Artikel 8, EMRK und in Bezug auf Artikel 6, Absatz eins, Litera f, DSGVO insgesamt auf die Zulässigkeit der Datenverarbeitung ab. Diese ist in Ermangelung einer speziellen Regelung anhand der allgemeinen Zulässigkeit der Datenverarbeitung, welche durch die DSGVO normiert wird, zu beurteilen – konkret anhand der Verpflichtung zur Legitimation der Datenverarbeitung im Umfang des notwendigen Ausmaßes des Verarbeitungsgrundes des berechtigen Interesses: das Interesse an der Verarbeitung muss das berechtigte Interesse an der Geheimhaltung überwiegen (siehe dazu Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung2, Art. 6 Rz. 25) Artikel 6, Rz. 25)

Die Tatsache, dass die Kommunikation untereinander dadurch erschwert werde, dass sich berechtigte Personen vorab einloggen und die Kontaktdaten aus dem internen Bereich der Website beziehen müssten, überwiegt nach Ansicht der Datenschutzbehörde nicht das Grundrecht des Beschwerdeführers auf Geheimhaltung seiner personenbezogenen Daten.

Es ist nicht ersichtlich, weshalb zur Sicherstellung einer schnellen und reibungslosen Kommunikation zwischen Mitgliedern eines Vereins personenbezogene Daten eines Mannschaftsführers öffentlich, und damit für jedermann (sohin auch für Nicht-Vereinsmitglieder) zugänglich, bereitgehalten werden müssen.

Die Verwendung des bereits existierenden Mitgliederbereichs der Webseite wäre für die Kommunikation der stets auch aus Mitgliedern bestehenden Mannschaftsführern untereinander jedenfalls geeignet, eine verlässliche Auskunftsquelle zu sein, ohne dass die Daten der Mannschaftsführer einer breiten Öffentlichkeit zugänglich sein müssen.

Die Verarbeitung im öffentlichen Bereich der Webseite ist, weil kein Mehrwert für den Beschwerdegegner an der allgemeinen Verfügbarkeit bestand, während es eine erhebliche Einschränkung der Grundrechte und -freiheiten des Beschwerdeführers darstellte, nicht von einem berechtigten Interesse getragen, welches das Interesse des Beschwerdeführers an der Geheimhaltung seiner Daten überwiegt.

Die Verarbeitung ist in dem vorgenommenen Ausmaß nicht erforderlich gewesen und war deshalb nicht gerechtfertigt.

Der Beschwerde war daher spruchgemäß stattzugeben.

Da sich bereits die herangezogene Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO als unzureichend erweist, war auf die Frage der allfälligen Zulässigkeit einer „Koppelung“ (Zweckänderung) iSd Art. 6 Abs. 4 DSGVO nicht weiter einzugehen, weil eine „Koppelung“ voraussetzt, dass die ursprüngliche Datenverarbeitung rechtmäßig iSd Art. 6 Abs. 1 DSGVO war. Da sich bereits die herangezogene Rechtsgrundlage nach Artikel 6, Absatz eins, Litera f, DSGVO als unzureichend erweist, war auf die Frage der allfälligen Zulässigkeit einer „Koppelung“ (Zweckänderung) iSd Artikel 6, Absatz 4, DSGVO nicht weiter einzugehen, weil eine „Koppelung“ voraussetzt, dass die ursprüngliche Datenverarbeitung rechtmäßig iSd Artikel 6, Absatz eins, DSGVO war.