Entscheidende Behörde

Datenschutzbehörde

Entscheidungsdatum

27.08.2018

Geschäftszahl

DSB-D123.085/0003-DSB/2018

Anfechtung beim BVwG/VwGH/VfGH

Dieser Bescheid ist rechtskräftig.

Text

GZ: DSB-D123.085/0003-DSB/2018 vom 27.8.2018

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Richard A*** (Beschwerdeführer) vom 26. Juni 2018 gegen die N*** Personaldienstleistungen GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt:

-      Die Beschwerde wird abgewiesen.

Rechtsgrundlagen: Artikel 17, Absatz 3, Litera e,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1; Paragraph 24, des Datenschutzgesetzes – DSG, Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen 17, Absatz eins, Ziffer eins,, 26 Absatz eins und 29 Absatz eins, des Bundesgesetzes über die Gleichbehandlung (Gleichbehandlungsgesetz - GlBG), Bundesgesetzblatt Teil eins, Nr. 66 aus 2004, idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit Eingabe vom 26. Juni 2018 behauptete der Beschwerdeführer eine Verletzung im Recht auf Löschung und brachte vor, dass er am 31. Mai 2018 per E-Mail die Löschung seiner personenbezogenen Daten aus der Bewerberdatenbank der Beschwerdegegnerin beantragt habe. Die Beschwerdegegnerin habe mit Schreiben vom 19. Juni 2018 jedoch mitgeteilt, dass sie diesem Antrag auf Löschung nicht entsprechen werde. Zwar werde die gegenständliche Bewerbung des Beschwerdegegners nicht mehr für ausgeschriebene Stellen der Beschwerdegegnerin in Erwägung gezogen werden, doch ergebe sich eine gesetzliche Aufbewahrungspflicht nach dem Gleichbehandlungsgesetz von sechs Monaten zuzüglich einem Monat für den potentiellen Klageweg. Der Eingabe ist die dem Beschwerdeverfahren vor der Datenschutzbehörde vorangegangene Korrespondenz zwischen Beschwerdeführer und Beschwerdegegnerin beigefügt.

2. Die Beschwerdegegnerin brachte mit Stellungnahme vom 16. Juli 2018 zusammengefasst vor, dass sich der Beschwerdeführer am 17. Mai 2018 sowie am 11. Juni 2018 über die Bewerberdatenbank „hr-***“ beworben habe. Grund für die – bis auf Weiteres – zulässige Speicherung der Daten wäre das Gleichbehandlungsgesetz. Es sei erforderlich, die Bewerberunterlagen zumindest für die Dauer von sechs Monaten aufzubewahren, sodass sich die Beschwerdegegnerin bei einer etwaigen Inanspruchnahme unter Bezugnahme auf die bei der Bewerbung zur Verfügung gestellten Daten freibeweisen könne.

3. Der Beschwerdeführer hat im Rahmen des ihm eingeräumten Parteiengehörs durch Schreiben der Datenschutzbehörde vom 20. Juli 2018 keine Stellungnahme mehr abgegeben.

B. Beschwerdegegenstand

Aufgrund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Löschung verletzt hat, indem sie dem Antrag auf Löschung vom 31. Mai 2018 nicht entsprochen hat.

C. Sachverhaltsfeststellungen

1. Der Beschwerdeführer hat sich am 17. Mai 2018 sowie am 11. Juni 2018 bei der Beschwerdegegnerin beworben, weshalb die personenbezogenen Daten des Beschwerdeführers in der Bewerberdatenbank der Beschwerdegegnerin abgespeichert wurden.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem insofern unbestrittenen Vorbringen der Beschwerdegegnerin vom 16. Juli 2018.

2. Der Beschwerdeführer beantragte am 31. August 2018 die Löschung seiner Daten aus der Bewerberdatenbank der Beschwerdegegnerin. Mit Schreiben vom 19. Juni 2018 teilte die Beschwerdegegnerin mit, dass dem Antrag nicht entsprochen wird, die Bewerberdaten jedoch nicht mehr für ausgeschriebene Stellen herangezogen werden. Die Beschwerdegegnerin teilte dem Beschwerdeführer ferner mit, dass die Bewerberdaten sechs Monate zuzüglich eines Monats für den potentiellen Klageweg, insgesamt demnach sieben Monate nach Bewerbungseingang, gelöscht werden. Dem Beschwerdeführer wurde darüber hinaus mitgeteilt, dass die Bewerberdaten aufgrund eines potentiellen Verfahrens nach dem Gleichbehandlungsgesetz - zumindest vorerst - noch gespeichert werden müssen.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der Eingabe des Beschwerdeführers vom 26. Juni 2018 sowie der dem Beschwerdeverfahren vor der Datenschutzbehörde vorangegangenen Korrespondenz zwischen Beschwerdeführer und Beschwerdegegnerin, die der Eingabe beigefügt ist.

D. In rechtlicher Hinsicht folgt daraus:

D.1 Anzuwendende Rechtsvorschriften

Artikel 17, DSGVO lautet samt Überschrift:

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a)

Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)

Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c)

Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d)

Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e)

Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f)

Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2)   Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3)   Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a)

zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b)

zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c)

aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d)

für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e)

zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Paragraph 17, Absatz eins, Ziffer eins, GlBG lautet samt Überschrift:

Gleichbehandlungsgebot im Zusammenhang mit einem Arbeitsverhältnis

Paragraph 17, (1) Auf Grund der ethnischen Zugehörigkeit, der Religion oder Weltanschauung, des Alters oder der sexuellen Orientierung darf im Zusammenhang mit einem Arbeitsverhältnis niemand unmittelbar oder mittelbar diskriminiert werden, insbesondere nicht

 

 

 

 

 

 

 

 

 

 

 

1.

bei der Begründung des Arbeitsverhältnisses,

Paragraph 26, Absatz eins, GlBG lautet samt Überschrift auszugsweise:

Rechtsfolgen der Verletzung des Gleichbehandlungsgebotes

Paragraph 26, (1) Ist das Arbeitsverhältnis wegen Verletzung des Gleichbehandlungsgebotes des Paragraph 17, Absatz eins, Ziffer eins, nicht begründet worden, so ist der/die Arbeitgeber/in gegenüber dem/der Stellenwerber/in zum Ersatz des Vermögensschadens und zu einer Entschädigung für die erlittene persönliche Beeinträchtigung verpflichtet. […]

Paragraph 29, Absatz eins, GlBG lautet samt Überschrift:

Fristen für die Geltendmachung von Ansprüchen

Paragraph 29, (1) Ansprüche nach Paragraph 26, Absatz eins und 5 sind binnen sechs Monaten gerichtlich geltend zu machen. Die Frist zur Geltendmachung der Ansprüche nach Paragraph 26, Absatz eins und 5 beginnt mit der Ablehnung der Bewerbung oder Beförderung. Ansprüche nach Paragraph 26, Absatz 11, sind binnen eines Jahres gerichtlich geltend zu machen. Für Ansprüche nach Paragraph 26, Absatz 2,, 3, 4, 6, 8, 9 und 10 gilt die dreijährige Verjährungsfrist gemäß Paragraph 1486, des Allgemeinen Bürgerlichen Gesetzbuches.

D. 2 Ausnahmen vom Recht auf Löschung

Das Recht auf Löschung gemäß Artikel 17, Absatz eins und 2 DSGVO kommt dann nicht in Betracht, wenn eine Verarbeitung in den von Artikel 17, Absatz 3, Litera a bis e DSGVO taxativ aufgezählten Fällen erforderlich ist.

Im vorliegenden Fall kommt der Tatbestand nach Artikel 17, Absatz 3, Litera e, DSGVO in Betracht, also eine Verarbeitung, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein könnte.

Dazu ist festzuhalten, dass die „Verteidigung von Rechtsansprüchen“ - nicht widersprüchlich zum Wortlaut - auch „Verteidigung gegen Rechtsansprüche“ meint. Diese Regelung greift in zeitlicher Hinsicht jedenfalls dann, wenn die Geltendmachung, Ausübung oder Verteidigung von (bzw. gegen) Rechtsansprüchen schon stattfindet oder sicher bevorsteht. Die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen ist nicht ausreichend vergleiche Herbst in Kühling/Buchner, DSGVO Kommentar [2017] Artikel 17, Rz 83).

Der Verfassungsgerichtshof hat im Zusammenhang mit einem Löschbegehren gegen einen Verantwortlichen des öffentlichen Bereichs ebenfalls ausgesprochen, dass der bloß allgemeine Hinweis, es wären noch „entsprechende Verfahren anhängig“, nicht ausreichend ist. Vielmehr muss im Einzelfall konkret dargelegt werden, weshalb nach Abschluss eines Verfahrens eine „Notwendigkeit zur Aufbewahrung der Unterlagen betreffend das Privatleben“ des Betroffenen besteht. Ferner ist darzulegen, welche konkreten Verfahren noch anhängig sind, die in Verbindung mit den Unterlagen des bereits abgeschlossenen Verfahrens bestehen vergleiche das Erkenntnis des Verfassungsgerichtshofs vom 12. Dezember 2017, E 3249/2016-11; vergleiche auch den Bescheid der Datenschutzbehörde vom 25. April 2018, DSB-D122.776/0007-DSB/2018).

Umgelegt auf ein Löschbegehren gegen einen Verantwortlichen des privaten Bereichs (wie vorliegend) bedeuten diese Ausführungen, dass der allgemeine Hinweis auf potenziell zukünftige, noch nicht anhängige bzw. nicht sicher bevorstehenden (Gerichts-) Verfahren nicht ausreichend ist, um dem Löschbegehren nicht entsprechen zu müssen. Vielmehr muss der Verantwortliche darlegen, welche konkreten zukünftigen Verfahren auf welcher Grundlage anhängig gemacht werden könnten und inwiefern durch derartige Verfahren zum Zeitpunkt der Entscheidung der Datenschutzbehörde eine Notwendigkeit zur weiteren Speicherung der personenbezogenen Daten begründet wird.

D. 3 In der Sache

Im vorliegenden Fall verweigerte die Beschwerdegegnerin – zumindest vorerst – die sofortige Löschung der Bewerberdaten des Beschwerdeführers und führte eine mögliche Geltendmachung eines Ersatzanspruches nach Paragraph 26, Absatz eins, GlBG ins Treffen.

Dieser Ausführung der Beschwerdegegnerin ist im Ergebnis nicht entgegenzutreten:

Nach Paragraph 29, Absatz eins, GlBG kann ein Ersatzanspruch gemäß Paragraph 26, Absatz eins, GlBG innerhalb einer Frist von sechs Monaten geltend gemacht werden. Die Beschwerdegegnerin bezieht sich somit nicht allgemein auf ein potenziell zukünftiges Verfahren, sondern benennt einen konkreten Anspruch, der ihr gegenüber innerhalb eines konkreten Zeitraumes geltend gemacht werden könnte.

Bewerberdaten können naturgemäß als Grundlage für die Entscheidung dienen, ob ein Arbeitsverhältnis mit einem gewissen Bewerber begründet wird. Vor diesem Hintergrund ist iSv Artikel 17, Absatz 3, Litera e, DSGVO die weitere Speicherung von Bewerberdaten notwendig, um sich gegenüber einem Anspruch gemäß Paragraph 26, Absatz eins, GlBG zu verteidigen bzw. um im Rahmen eines Verfahrens nach dem GlBG begründen zu können, weshalb keine Diskriminierung iSv Paragraph 17, Absatz eins, Ziffer eins, GlBG vorliegen würde.

Ferner benannte die Beschwerdegegnerin einen konkreten Zeitpunkt, ab wann sie die Bewerberdaten löschen werde. Für den Beschwerdeführer ist somit klar erkennbar, ab welchem Zeitpunkt seine Bewerberdaten gelöscht werden. Darüber hinaus erklärte sich die Beschwerdegegnerin auch bereit, die Bewerberdaten des Beschwerdeführers zum ehest möglichen Zeitpunkt zu löschen, also nach Ablauf der Frist von Paragraph 29, Absatz eins, GlBG (gegenständlich sieben Monate nach Bewerbungseingang, somit berechnet ab dem 17. Mai 2018 bzw. 11. Juni 2018).

Der zusätzlich berechnete Monat zu der sechsmonatigen Frist nach Paragraph 29, Absatz eins, GlBG, um einen potenziellen Klageweg einzuberechnen, sohin sieben Monate ab Bewerbungseingang, ist angemessen und nicht unverhältnismäßig lange. Die Beschwerdegegnerin erklärte sich ebenfalls dazu bereit, die gegenständlichen Bewerberdaten zwecks Verteidigung gegen einen Ersatzanspruch nach dem GlBG aufzubewahren, und diese nicht mehr für die Besetzung etwaiger Stellen heranzuziehen.

D. 4 Ergebnis

Im vorliegenden Fall ist die sechsmonatige Frist von Paragraph 29, Absatz eins, GlBG (bzw. sieben Monate ab Bewerbungseingang) zum Zeitpunkt der Entscheidung der Datenschutzbehörde noch nicht abgelaufen.

Vor diesem Hintergrund liegen die Voraussetzungen von Artikel 17, Absatz 3, Litera e, DSGVO vor, weshalb im Ergebnis ein Löschungsanspruch zu verneinen ist.

Daher war spruchgemäß zu entscheiden.

Im Übrigen steht dem Beschwerdeführer mit dem Auskunftsrecht nach Artikel 15, DSGVO auch ein Instrument zur Verfügung, um zu überprüfen, ob die Beschwerdegegnerin nach Ablauf der Frist weiterhin personenbezogene Daten des Beschwerdeführers (konkret: Bewerberdaten) speichert.

European Case Law Identifier

ECLI:AT:DSB:2018:DSB.D123.085.0003.DSB.2018