Text

GZ: 2021-0.285.169 vom 3. Mai 2021 (Verfahrenszahl: DSB-D124.3448)

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Markus A*** (Beschwerdeführer) vom 29. Dezember 2020, ha. eingelangt am 7. Jänner 2021, gegen Claudia N*** (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:

-      Die Beschwerde wird als unbegründet abgewiesen.

Rechtsgrundlagen: Art. 2 Abs. 2 lit. c, Art. 4 Z 1, Z 2 und Z 15, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; § 1 Abs. 1, § 4 Abs. 1, § 18 Abs. 1 sowie § 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; Art. 8 und Art. 52 Abs. 1 der Charta der Grundrechte der Europäischen Union (EU-GRC), ABl. Nr. C 202 vom 7.6.2016, S. 389.Rechtsgrundlagen: Artikel 2, Absatz 2, Litera c,, Artikel 4, Ziffer eins,, Ziffer 2 und Ziffer 15,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 Sitzung 1; Paragraph eins, Absatz eins,, Paragraph 4, Absatz eins,, Paragraph 18, Absatz eins, sowie Paragraph 24, Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Artikel 8 und Artikel 52, Absatz eins, der Charta der Grundrechte der Europäischen Union (EU-GRC), ABl. Nr. C 202 vom 7.6.2016, Sitzung 389.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1.           Mit verfahrenseinleitender Eingabe behauptete der Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung durch die Beschwerdegegnerin und brachte zusammengefasst vor, dass die Beschwerdegegnerin am 16. Dezember 2020 einen Gerichtsbeschluss mit den Beschwerdeführer betreffenden sensiblen Gesundheitsdaten mittels WhatsApp an eine dritte Person, nämlich Erika A***, weitergegeben habe.

2.           Die Beschwerdegegnerin replizierte in ihrer Eingabe vom 26. Jänner 2021, dass sie und der Beschwerdeführer seit Dezember 2015 geschieden seien. Sie sei alleine obsorgeberechtigt für den gemeinsamen Sohn Andreas. Bei Erika A*** handle es sich um die leibliche Mutter des Beschwerdeführers und um die ehemalige Schwiegermutter der Beschwerdegegnerin.

Seit der streitigen Scheidung im Jahr 2015 habe die Beschwerdegegnerin zeitweise telefonischen Kontakt zu ihrer ehemaligen Schwiegermutter. Diese würden sich häufig an den eigentlich ihrem Ex-Mann (dem Beschwerdeführer) zugesprochenen Besuchswochenenden um Andreas kümmern, der ganze Wochenenden und auch die Winter- bzw. Sommerwoche bei seinen Großeltern verbringe. Nach Kenntnisstand der Beschwerdegegnerin pflege der Beschwerdeführer einen guten und regelmäßigen Kontakt zu seinen Eltern, weshalb die Beschwerdegegnerin davon ausgehe, dass diese über seinen gesundheitlichen Zustand im Bilde seien.

Die Übermittlung der gegenständlichen Nachricht an Erika A*** verbunden mit der Anfrage hinsichtlich der Belastbarkeit des Beschwerdeführers entspringe allein der Sorge um den gemeinsamen Sohn Andreas, da sich die Beschwerdegegnerin nicht sicher sei, ob die für sie als Laie dramatisch klingende Gesundheitssituation des Beschwerdeführers eine verlässliche Betreuung von Andreas, welche aufgrund dessen besonderer Bedürfnisse (bspw. Hyperaktivität, Medikation, usw.) notwendig sei, ermögliche. Nachdem zwischen der Beschwerdegegnerin und dem Beschwerdeführer eine solide Gesprächsbasis so gut wie nicht vorhanden sei, läge es der Beschwerdegegnerin fern, den Beschwerdeführer mit der im Gerichtsbeschluss festgehaltenen Diagnose zu konfrontieren. Zum Schutze der Gesundheit sowie der körperlichen und geistigen Unversehrtheit von Andreas habe die Beschwerdegegnerin mittels Nachfrage bei ihrer ehemaligen Schwiegermutter Gewissheit erlangen wollen, ob der Beschwerdeführer weiterhin in der Lage ist, den gemeinsamen Sohn zu betreuen.

Die Beschwerdegegnerin weise zudem darauf hin, dass auf dem vom Beschwerdeführer vorgelegten Screenshot der übermittelten Nachricht lediglich vom „Kindesvater“ die Rede sei und sich dort weder der Name noch sonstige personenbezogenen Daten des Beschwerdeführers wiederfänden.

3.           Der Beschwerdeführer erstattete im Rahmen des Parteiengehörs kein weiteres Vorbringen.

B. Beschwerdegegenstand

Ausgehend vom Vorbringen des Beschwerdeführers ergibt sich als Beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat, indem sie einen Gerichtsbeschluss mit Gesundheitsdaten des Beschwerdeführers mittels WhatsApp an eine dritte Person, nämlich Erika A***, übermittelt hat.

C. Sachverhaltsfeststellungen

Die Verfahrensparteien sind seit Dezember 2015 geschieden. Die Beschwerdegegnerin hat die alleinige Obsorge für den gemeinsamen Sohn Andreas. Erika A*** ist die leibliche Mutter des Beschwerdeführers, Großmutter von Andreas sowie die ehemalige Schwiegermutter der Beschwerdegegnerin und kümmert sich häufig um den gemeinsamen Sohn der Verfahrensparteien.

Beweiswürdigung: Die Feststellungen zu den familiären Beziehungen sowie der Betreuungssituation bezüglich des gemeinsamen Sohnes der Verfahrensparteien ergeben sich aus den insofern unstrittigen Angaben der Beschwerdegegnerin.

Die Beschwerdegegnerin hat im Dezember 2020 folgende Nachricht mittels WhatsApp an Erika A*** übermittelt (Formatierung nicht 1:1 wiedergegeben):

[Anmerkung Bearbeiter: die an dieser Stelle in Form grafischer Dateien (Screenshots) eingefügten Dokumente können mit vertretbarem Aufwand nicht pseudonymisiert werden. Sie werden hier als Textdokument unter annähender Wiedergabe der Formatierung wiedergegeben.]

[Screenshot aus Gerichtsbeschluss]

Der Vater ist derzeit aufgrund des Beschlusses des Bezirksgerichtes *** vom 04.07.2018 13 PU**** zu einer monatlichen Unterhaltsleistung von EUR 3**,00 für den mj. Andreas verpflichtet.

Der Minderjährige befindet sich in Pflege und Erziehung der Mutter und ist laut Aktenlage einkommens- und vermögenslos.

Der Kindesvater erlitt am 02.07.2013 einen Freizeitunfall. Bis zum Jahr 2014 war er als **** tätig. Das Dienstverhältnis wurde während des Krankenstandes (Dauer 1 Jahr) gelöst.

Der Kindesvater steht in Bezug von Notstandshilfe in Höhe von EUR 4*,67 täglich und ist weiters mit einem Einkommen von EUR *34,00 inkl. Sonderzahlungen bei der Einrichtung **** geringfügig beschäftigt. Das Einkommen des Kindesvaters beträgt somit rund EUR 1***,00 monatlich.

Zuletzt wurden mit 05.06.2019 nachstehende Krankheitsbilder diagnostiziert:

●      chronifizierte depressive Störung

●      narzistische bzw. ängstliche vermeidende Persönlichkeitsstruktur

[Screenshot WhatsApp-Nachricht]

Liebe Erika, ich hatte ja keine Ahnung wie schlimm es um Mark steht!! Das erklärt einiges... wirft allerdings leider auch die Frage auf wie sehr sich Andreas auf ihn verlassen bzw. Mark aufpassen kann? 12:56

[Screenshot aus Gerichtsbeschluss]

●      Hypercholesterinämie

●      Rasche geistige Erschöpfbarkeit/Überforderung, sodass der Vater auf eine

speziell geschaffene Tagesstruktur mit vielen Pausen angewiesen ist.

Er ist zudem zu 60% behindert und ist ihm eine Tätigkeit als **** nicht mehr zumutbar. Laut Gehaltskompass beträgt das Einkommen als **** zwischen EUR 1.***,00 und EUR 2.***,00 brutto.

Der Kindesvater befindet sich laufend in psychiatrischer Behandlung.

Der Kindesvater ist weiters gesetzlich sorgepflichtig für Andreas N***, geb. 1*.0*.1995, welcher nunmehr an der FH in ****** studiert.

Beweiswürdigung:

Das Einkommen des Kindesvaters ergibt sich aus den vorgelegten Gehaltsunterlagen.

Die Krankheitsbilder des Kindesvaters konnten dem Patientenbrief vom 13.05.2019 entnommen werden. Dem im Akt erliegenden nervenfachärztlichen Gutachten vom 06.03.2015 konnte entnommen werden, dass von einem chronischen Verlauf ausgegangen werden muss und mit keiner Gesundheitsbesserung gerechnet werden kann. Ebenso geht aus diesem Gutachten hervor, dass er den damaligen Beruf als ****nicht mehr ausüben kann. So erachtet es das Gericht auch als glaubwürdig und nachvollziehbar wenn der Kindesvater in seiner Einvernahme angibt, zu keiner Vollzeitbeschäftigung in der Lage zu sein und lediglich einer geringfügigen Beschäftigung nachgehen kann (rasche geistige Erschöpfbarkeit/Übermüdung). Durch den vorgelegten Ausweis konnte die 60% Behinderung des Vaters nachgewiesen werden. Dass sich der Vater in psychiatrischer Behandlung befindet konnte vom Vater glaubhaft dargelegt werden und wurde seitens der Bezirkshauptmannschaft *** auch nicht bestritten. Der durchschnittliche Verdienst eines **** konnte dem AMS-Gehaltskompass entnommen werden. Dass der Kindesvater nunmehr wieder für seinen Sohn Andreas gesetzlich sorgepflichtig ist, konnte mittels Inskriptionsbestätigung nachgewiesen werden.

Beweiswürdigung: Die Feststellungen zum Inhalt sowie zum Versand der verfahrensgegenständlichen WhatsApp-Nachricht ergeben sich aus dem insofern unstrittigen Vorbringen des Beschwerdeführers in seiner verfahrenseinleitenden Eingabe.

D. In rechtlicher Hinsicht folgt daraus:

D.1. Zum Personenbezug und der Verarbeitung von Daten

Der Beschwerdeführer moniert in seiner verfahrenseinleitenden Eingabe eine Offenlegung seiner Gesundheitsdaten durch die Beschwerdegegnerin an eine dritte Person. Die Beschwerdegegnerin bringt in diesem Zusammenhang vor, dass auf dem vom Beschwerdeführer vorgelegten Screenshot lediglich vom „Kindesvater“ gesprochen werde und weder der Name noch sonstige personenbezogenen Daten des Beschwerdeführers ersichtlich seien. Eingangs ist daher die Frage zu klären, ob überhaupt eine Verarbeitung personenbezogener Daten des Beschwerdeführers durch die Beschwerdegegnerin vorliegt.

Gemäß Art. 4 Z 1 DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.Gemäß Artikel 4, Ziffer eins, DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Der Europäische Gerichtshof (EuGH) hat in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.“ (vgl. das Urteil des EuGH vom 20. Dezember 2017, C-434/16 [Nowak]).Der Europäische Gerichtshof (EuGH) hat in Bezug auf Artikel 2, Litera a, der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.“ vergleiche das Urteil des EuGH vom 20. Dezember 2017, C-434/16 [Nowak]).

Diese Überlegungen können auf die nunmehrige Rechtslage nach der DSGVO umgelegt werden, da die Begriffsdefinition von „personenbezogenen Daten“ gemäß Art. 2 lit. a der Richtlinie 95/46/EG sinngemäß in Art. 4 Z 1 DSGVO übernommen wurde.Diese Überlegungen können auf die nunmehrige Rechtslage nach der DSGVO umgelegt werden, da die Begriffsdefinition von „personenbezogenen Daten“ gemäß Artikel 2, Litera a, der Richtlinie 95/46/EG sinngemäß in Artikel 4, Ziffer eins, DSGVO übernommen wurde.

Eindeutig identifiziert ist eine Person dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht (vgl. diesbezüglich das Urteil des EuGH vom 19. Oktober 2016, C-582/14 [Breyer], Rz. 38). Dagegen ist eine Person identifizierbar, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Mit anderen Worten: wird die betroffene Person bspw. nicht namentlich genannt, kann aber gleichwohl mithilfe von Referenzdaten ermittelt werden, ist von personenbezogenen Daten zu sprechen (vgl. Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Art. 4, Rz. 8). Um festzustellen, ob eine natürliche Person identifizierbar ist, sind überdies alle Mittel zu berücksichtigen, die vom Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (vgl. ErwG 26 DSGVO).Eindeutig identifiziert ist eine Person dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht vergleiche diesbezüglich das Urteil des EuGH vom 19. Oktober 2016, C-582/14 [Breyer], Rz. 38). Dagegen ist eine Person identifizierbar, wenn die Information zwar für sich genommen nicht ausreicht, um sie einer Person zuzuordnen, dies aber gelingt, sobald die Information mit weiteren Informationen verknüpft wird. Mit anderen Worten: wird die betroffene Person bspw. nicht namentlich genannt, kann aber gleichwohl mithilfe von Referenzdaten ermittelt werden, ist von personenbezogenen Daten zu sprechen vergleiche Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Artikel 4,, Rz. 8). Um festzustellen, ob eine natürliche Person identifizierbar ist, sind überdies alle Mittel zu berücksichtigen, die vom Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren vergleiche ErwG 26 DSGVO).

Umgelegt auf den vorliegenden Fall liegen daher jedenfalls personenbezogene Daten des Beschwerdeführers vor, da zwar im der gegenständlichen WhatsApp-Nachricht angehängten Dokument für sich genommen nur vom „Vater“ bzw. „Kindesvater“ gesprochen wird, die mitübermittelte Textnachricht im Weiteren jedoch ausdrücklich Bezug auf „Mark“ – gemeint ist somit der Beschwerdeführer Markus A*** – nimmt. In diesem Zusammenhang gibt die Beschwerdegegnerin selbst an, dass sie sich mittels der verfahrensgegenständlichen Nachricht bei ihrer ehemaligen Schwiegermutter Erika A*** erkundigen wollte, ob deren Sohn (der Beschwerdeführer) aufgrund des ihm attestierten Gesundheitszustandes seinen Betreuungspflichten im Hinblick auf Andreas (den gemeinsamen Sohn der Verfahrensparteien) nachkommen kann. Folglich stand sowohl für die Beschwerdegegnerin, als auch für die Empfängerin der WhatsApp-Nachricht, Erika A***, außer Frage, auf wen sich die im angehängten Dokument enthaltenen Informationen bzw. Diagnosen beziehen und war der Beschwerdeführer für sie im Ergebnis eindeutig identifizierbar.

Nachdem aus der verfahrensgegenständlichen WhatsApp-Nachricht zweifelsfrei auch Informationen ersichtlich sind, die sich auf die körperliche bzw. geistige Gesundheit des Beschwerdeführers beziehen und aus denen Informationen über den Gesundheitszustand des Beschwerdeführers hervorgehen, liegen zudem Gesundheitsdaten iSd. Art. 4 Z 15 DSGVO vor.Nachdem aus der verfahrensgegenständlichen WhatsApp-Nachricht zweifelsfrei auch Informationen ersichtlich sind, die sich auf die körperliche bzw. geistige Gesundheit des Beschwerdeführers beziehen und aus denen Informationen über den Gesundheitszustand des Beschwerdeführers hervorgehen, liegen zudem Gesundheitsdaten iSd. Artikel 4, Ziffer 15, DSGVO vor.

Die Übermittlung der gegenständlichen WhatsApp-Nachricht, d.h. die Mitteilung an individuell bestimmte Adressaten (vgl. Reimer in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Art. 4, Rz. 69) stellt auch eindeutig eine Verarbeitung iSd. Art. 4 Z 2 DSGVO dar. Die Übermittlung der gegenständlichen WhatsApp-Nachricht, d.h. die Mitteilung an individuell bestimmte Adressaten vergleiche Reimer in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Artikel 4,, Rz. 69) stellt auch eindeutig eine Verarbeitung iSd. Artikel 4, Ziffer 2, DSGVO dar.

D.2. Allgemeines zum Grundrecht auf Geheimhaltung

Das in § 1 DSG verankerte Grundrecht auf Geheimhaltung, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz der betroffenen Person vor der Ermittlung ihrer Daten und der Weitergabe der über sie ermittelten Daten. Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden.Das in Paragraph eins, DSG verankerte Grundrecht auf Geheimhaltung, nach dessen ersten Absatz jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, einen Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit daran ein schutzwürdiges Interesse besteht, beinhaltet den Schutz der betroffenen Person vor der Ermittlung ihrer Daten und der Weitergabe der über sie ermittelten Daten. Das Grundrecht auf Geheimhaltung gilt jedoch nicht absolut, sondern darf durch bestimmte, zulässige Eingriffe beschränkt werden.

Festzuhalten ist, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG zu prüfen ist und sich Beschränkungen dieses Anspruchs aus Abs. 2 leg. cit., allerdings nicht aus Art. 6 Abs. 1 (bzw. Art. 9 Abs. 2) DSGVO ergeben. Festzuhalten ist, dass im gegenständlichen Fall eine Verletzung im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG zu prüfen ist und sich Beschränkungen dieses Anspruchs aus Absatz 2, leg. cit., allerdings nicht aus Artikel 6, Absatz eins, (bzw. Artikel 9, Absatz 2,) DSGVO ergeben.

Gemäß § 1 Abs. 2 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind.Gemäß Paragraph eins, Absatz 2, DSG sind Beschränkungen des Anspruchs auf Geheimhaltung, soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, wobei bei Eingriffen einer staatlichen Behörde diese nur auf Grund von Gesetzen erfolgen dürfen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind.

Die DSGVO und insbesondere auch die darin verankerten Grundsäte sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. dazu den Bescheid vom 4. Juli 2019, GZ DSB-D123.652/0001-DSB/2019).Die DSGVO und insbesondere auch die darin verankerten Grundsäte sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen vergleiche dazu den Bescheid vom 4. Juli 2019, GZ DSB-D123.652/0001-DSB/2019).

Als Vorstufe ist daher zunächst zu prüfen, ob der vorliegende Sachverhalt überhaupt vom sachlichen Anwendungsbereich der DSGVO (und in weiterer Folge des DSG) erfasst ist.

D.3. Zur (Nicht-)Anwendbarkeit der DSGVO und zur sog. „Haushaltsausnahme“

Gemäß Art. 2 Abs. 2 lit. c findet die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (umgangssprachlich auch als „Haushaltsausnahme“ bezeichnet). Gemäß Artikel 2, Absatz 2, Litera c, findet die DSGVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (umgangssprachlich auch als „Haushaltsausnahme“ bezeichnet).

Die Normierung der „Haushaltsausnahme“ stellt eine Abwägungsentscheidung des Unionsgesetzgebers in Bezug auf das in Art. 8 EU-GRC primärrechtlich festgelegte Recht auf Schutz personenbezogener Daten dar. Gemäß Art. 52 Abs. 1 EU-GRC müssen Einschränkungen der durch sie gewährleisteten Rechte und Freiheiten müssen daher entsprechend gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten.Die Normierung der „Haushaltsausnahme“ stellt eine Abwägungsentscheidung des Unionsgesetzgebers in Bezug auf das in Artikel 8, EU-GRC primärrechtlich festgelegte Recht auf Schutz personenbezogener Daten dar. Gemäß Artikel 52, Absatz eins, EU-GRC müssen Einschränkungen der durch sie gewährleisteten Rechte und Freiheiten müssen daher entsprechend gesetzlich vorgesehen sein und den Wesensgehalt dieser Rechte und Freiheiten achten.

Nach herrschender Auffassung ist diese Ausnahme folglich restriktiv auszulegen (vgl. zur weitestgehend inhaltsgleichen Bestimmung des Art. 3 Abs. 2 zweiter Spiegelstrich der Richtlinie 95/46/EG das Urteil des EuGH vom 6. November 2003, C-101/01 [Lindqvist]). Nach herrschender Auffassung ist diese Ausnahme folglich restriktiv auszulegen vergleiche zur weitestgehend inhaltsgleichen Bestimmung des Artikel 3, Absatz 2, zweiter Spiegelstrich der Richtlinie 95/46/EG das Urteil des EuGH vom 6. November 2003, C-101/01 [Lindqvist]).

Als Abgrenzungskriterium gilt das Fehlen jeglichen Bezugs zu einer beruflichen oder wirtschaftlichen Tätigkeit. D.h. das zentrale Kriterium für die Anwendbarkeit der „Haushaltsausnahme“ – und damit für die Nichtanwendbarkeit der DSGVO – ist die Zurechenbarkeit der Datenverarbeitung zum privaten Bereich (vgl. Heißl in Knyrim [Hrsg.], DatKomm Art. 2 DSGVO, Rz. 70).Als Abgrenzungskriterium gilt das Fehlen jeglichen Bezugs zu einer beruflichen oder wirtschaftlichen Tätigkeit. D.h. das zentrale Kriterium für die Anwendbarkeit der „Haushaltsausnahme“ – und damit für die Nichtanwendbarkeit der DSGVO – ist die Zurechenbarkeit der Datenverarbeitung zum privaten Bereich vergleiche Heißl in Knyrim [Hrsg.], DatKomm Artikel 2, DSGVO, Rz. 70).

Hierbei gilt es zu beachten, dass sich die Ausdrücke „persönlich“ und „familiär“ auf die Tätigkeit der Person, die personenbezogene Daten verarbeitet, und nicht auf die Person, deren Daten verarbeitet werden, beziehen. (vgl. das Urteil des EuGH vom 10. Juli 2018, C-25/17 [Jehovan todistajat], Rz. 41 mwN.). Hierbei gilt es zu beachten, dass sich die Ausdrücke „persönlich“ und „familiär“ auf die Tätigkeit der Person, die personenbezogene Daten verarbeitet, und nicht auf die Person, deren Daten verarbeitet werden, beziehen. vergleiche das Urteil des EuGH vom 10. Juli 2018, C-25/17 [Jehovan todistajat], Rz. 41 mwN.).

Die DSGVO selbst nennt diesbezüglich etwa das Führen eines Schriftverkehrs oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen einer persönlichen oder familiären Tätigkeit (vgl. ErwGr. 18 DSGVO). Dies gilt allerdings nur insoweit, als Daten in geschlossenen Gruppen ausgetauscht werden, die keinen Bezug zu beruflichen oder wirtschaftlichen Tätigkeiten der Nutzer haben (vgl. Ennöckl in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Art. 2, Rz. 13; vgl. auch das zuvor zitierte Urteil des EuGH vom 10. Juli 2018, C-25/17, Rz. 42 mwN., wonach eine Tätigkeit dann „nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden [kann], wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet“). Die ausschließlich private Nutzung von Diensten wie WhatsApp wird, sofern damit keine uneingeschränkte Veröffentlichung personenbezogener Daten im Internet einhergeht, vom Anwendungsbereich der „Haushaltsausnahme“ erfasst (vgl. Bergauer in Jahnel [Hrsg.], DSGVO. Kommentar, Art. 2, Rz. 27).Die DSGVO selbst nennt diesbezüglich etwa das Führen eines Schriftverkehrs oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen einer persönlichen oder familiären Tätigkeit vergleiche ErwGr. 18 DSGVO). Dies gilt allerdings nur insoweit, als Daten in geschlossenen Gruppen ausgetauscht werden, die keinen Bezug zu beruflichen oder wirtschaftlichen Tätigkeiten der Nutzer haben vergleiche Ennöckl in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar, Artikel 2,, Rz. 13; vergleiche auch das zuvor zitierte Urteil des EuGH vom 10. Juli 2018, C-25/17, Rz. 42 mwN., wonach eine Tätigkeit dann „nicht als ausschließlich persönlich oder familiär im Sinne dieser Vorschrift angesehen werden [kann], wenn sie zum Gegenstand hat, personenbezogene Daten einer unbegrenzten Zahl von Personen zugänglich zu machen, oder wenn sie sich auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich außerhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten verarbeitet“). Die ausschließlich private Nutzung von Diensten wie WhatsApp wird, sofern damit keine uneingeschränkte Veröffentlichung personenbezogener Daten im Internet einhergeht, vom Anwendungsbereich der „Haushaltsausnahme“ erfasst vergleiche Bergauer in Jahnel [Hrsg.], DSGVO. Kommentar, Artikel 2,, Rz. 27).

Der Begriff der „Familie“ ist dabei nicht streng familienrechtlich auszulegen, sondern umfasst unabhängig von Ehe und Kindschaft auch weitere, von der Verkehrsanschauung als „familiär“ bezeichnete Beziehungen. Insofern ist es unerheblich, ob eine förmliche Bindung besteht oder ob persönliche Beziehungen auf rein informellerer Basis bestehen (vgl. Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Art. 2, Rz. 18).Der Begriff der „Familie“ ist dabei nicht streng familienrechtlich auszulegen, sondern umfasst unabhängig von Ehe und Kindschaft auch weitere, von der Verkehrsanschauung als „familiär“ bezeichnete Beziehungen. Insofern ist es unerheblich, ob eine förmliche Bindung besteht oder ob persönliche Beziehungen auf rein informellerer Basis bestehen vergleiche Ernst in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung. Kommentar, Artikel 2,, Rz. 18).

Unter Zugrundelegung dieser Überlegungen ist in einem Zwischenschritt daher festzuhalten, dass im vorliegenden Fall die Ausnahmebestimmung des Art. 2 Abs. 2 lit c DSGVO anwendbar ist, da die Übermittlung der gegenständlichen WhatsApp-Nachricht an eine individuell bestimmte Empfängerin (und nicht an einen unbestimmten bzw. unbegrenzt öffentlichen Adressatenkreis) anlässlich eines im persönlichen und zumindest mittelbar familiären Rahmen geführten Schriftverkehrs zwischen der Beschwerdegegnerin und ihrer ehemaligen Schwiegermutter, welche häufig den in der alleinigen Obsorge der Beschwerdegegnerin stehenden Sohn betreut, erfolgt ist. Unter Zugrundelegung dieser Überlegungen ist in einem Zwischenschritt daher festzuhalten, dass im vorliegenden Fall die Ausnahmebestimmung des Artikel 2, Absatz 2, Litera c, DSGVO anwendbar ist, da die Übermittlung der gegenständlichen WhatsApp-Nachricht an eine individuell bestimmte Empfängerin (und nicht an einen unbestimmten bzw. unbegrenzt öffentlichen Adressatenkreis) anlässlich eines im persönlichen und zumindest mittelbar familiären Rahmen geführten Schriftverkehrs zwischen der Beschwerdegegnerin und ihrer ehemaligen Schwiegermutter, welche häufig den in der alleinigen Obsorge der Beschwerdegegnerin stehenden Sohn betreut, erfolgt ist.

Im nächsten Schritt ist sodann auf das Verhältnis zwischen der DSGVO und dem DSG in Bezug auf die in Art. 2 Abs. 2 DSGVO genannten Ausnahmetatbestände einzugehen.Im nächsten Schritt ist sodann auf das Verhältnis zwischen der DSGVO und dem DSG in Bezug auf die in Artikel 2, Absatz 2, DSGVO genannten Ausnahmetatbestände einzugehen.

Nach Art. 16 Abs. 2 AEUV besteht eine Unionskompetenz zur Erlassung von Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen.Nach Artikel 16, Absatz 2, AEUV besteht eine Unionskompetenz zur Erlassung von Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen.

Soweit daher ein Sachverhalt in den Anwendungsbereich von Art. 8 EU-GRC fällt, haben allfällige verfassungsgesetzliche Bestimmungen, die dieselbe Garantie bieten, im Umfang dieser Übereinstimmung „ruhend in Kraft“ zu bleiben und richtet sich die Beurteilung ausschließlich nach der unionsrechtlichen Bestimmung (vgl. dazu jüngst den Beschluss des deutschen Bundesverfassungsgerichts vom 6. November 2019, GZ 1 BvR 276/17, Rz 47 ff; vgl. dazu weiters VfSlg. 19.632/2012, wo der Verfassungsgerichtshof bereits ausgesprochen hat, dass er im Falle der Übereinstimmung von verfassungsgesetzlich gewährleisteten Rechten mit der EU-GRC letztere als Kontrollmaßstab heranzieht).Soweit daher ein Sachverhalt in den Anwendungsbereich von Artikel 8, EU-GRC fällt, haben allfällige verfassungsgesetzliche Bestimmungen, die dieselbe Garantie bieten, im Umfang dieser Übereinstimmung „ruhend in Kraft“ zu bleiben und richtet sich die Beurteilung ausschließlich nach der unionsrechtlichen Bestimmung vergleiche dazu jüngst den Beschluss des deutschen Bundesverfassungsgerichts vom 6. November 2019, GZ 1 BvR 276/17, Rz 47 ff; vergleiche dazu weiters VfSlg. 19.632/2012, wo der Verfassungsgerichtshof bereits ausgesprochen hat, dass er im Falle der Übereinstimmung von verfassungsgesetzlich gewährleisteten Rechten mit der EU-GRC letztere als Kontrollmaßstab heranzieht).

Im vorliegenden Fall kann nicht gesagt werden, dass der Schutzbereich von § 1 DSG über jenen von Art. 8 EU-GRC hinausgeht, sodass § 1 DSG gar nicht zur Anwendung gelangt.Im vorliegenden Fall kann nicht gesagt werden, dass der Schutzbereich von Paragraph eins, DSG über jenen von Artikel 8, EU-GRC hinausgeht, sodass Paragraph eins, DSG gar nicht zur Anwendung gelangt.

Aber selbst, wenn man einen Anwendungsfall des § 1 DSG erblicken würde, wäre der Beschwerde kein Erfolg beschieden:Aber selbst, wenn man einen Anwendungsfall des Paragraph eins, DSG erblicken würde, wäre der Beschwerde kein Erfolg beschieden:

Die (einfachgesetzliche) Bestimmung des § 4 Abs. 1 DSG erklärt neben dem DSG die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden, für anwendbar, ohne konkret auf die Ausnahmetatbestände in Art. 2 Abs. 2 DSGVO Bezug zu nehmen.Die (einfachgesetzliche) Bestimmung des Paragraph 4, Absatz eins, DSG erklärt neben dem DSG die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden, für anwendbar, ohne konkret auf die Ausnahmetatbestände in Artikel 2, Absatz 2, DSGVO Bezug zu nehmen.

Diesbezüglich wird jedoch den Bestimmungen der DSGVO auf nationaler Ebene ein grundsätzlich unbeschränkter sachlicher Anwendungsbereich eröffnet (vgl. Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 4, Anm. 3), sodass aufgrund von Art. 2 Abs. 2 lit. c DSGVO vom Anwendungsbereich der DSGVO ausgenommene Verarbeitungsvorgänge auch vom DSG nicht erfasst werden (vgl. ErlAB, 1761 BlgNR. XXV GP, S. 4).Diesbezüglich wird jedoch den Bestimmungen der DSGVO auf nationaler Ebene ein grundsätzlich unbeschränkter sachlicher Anwendungsbereich eröffnet vergleiche Kunnert in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph 4,, Anmerkung 3), sodass aufgrund von Artikel 2, Absatz 2, Litera c, DSGVO vom Anwendungsbereich der DSGVO ausgenommene Verarbeitungsvorgänge auch vom DSG nicht erfasst werden vergleiche ErlAB, 1761 BlgNR. römisch 25 GP, Sitzung 4).

Die Datenschutzbehörde übersieht nicht, dass die in Art. 2 Abs. 2 lit. c DSGVO normierte „Haushaltsausnahme“ im Wesentlichen inhaltsgleich der Vorgängerbestimmung des Art. 3 Abs. 2 zweiter Spiegelstrich der Richtlinie 95/46/EG (DS-RL) entspricht und nach der diesbezüglichen Rsp. des EuGH die Mitgliedstaaten dadurch nicht gehindert waren, den Geltungsbereich innerstaatlichen Rechtsvorschriften, welche in Umsetzung der DS-RL erlassen wurden, auf vom Anwendungsbereich der DS-RL nicht erfasste Bereiche auszudehnen, soweit dem keine andere Bestimmung des Gemeinschaftsrechts entgegenstand (vgl. das bereits zitierte Urteil des EuGH vom 6. November 2003, C-101/01, Rz. 98). Der österreichische Gesetzgeber hatte von dieser – unter der DS-RL geschaffenen – Möglichkeit Gebrauch gemacht und legte spezifische datenschutzrechtliche Regelungen für Verarbeitungstätigkeiten zu privaten bzw. familiären Zwecken in der früheren Bestimmung des § 45 DSG 2000 (vgl. Stammfassung BGBl. I Nr. 165/1999) fest. Die soeben zitierte Bestimmung sah keine generelle Ausnahme vom Grundrecht auf Datenschutz vor, was aufgrund ihres einfachgesetzlichen Charakters auch gar nicht möglich gewesen wäre (vgl. Jahnel, Handbuch Datenschutzrecht, S. 433 ff). Die Datenschutzbehörde übersieht nicht, dass die in Artikel 2, Absatz 2, Litera c, DSGVO normierte „Haushaltsausnahme“ im Wesentlichen inhaltsgleich der Vorgängerbestimmung des Artikel 3, Absatz 2, zweiter Spiegelstrich der Richtlinie 95/46/EG (DS-RL) entspricht und nach der diesbezüglichen Rsp. des EuGH die Mitgliedstaaten dadurch nicht gehindert waren, den Geltungsbereich innerstaatlichen Rechtsvorschriften, welche in Umsetzung der DS-RL erlassen wurden, auf vom Anwendungsbereich der DS-RL nicht erfasste Bereiche auszudehnen, soweit dem keine andere Bestimmung des Gemeinschaftsrechts entgegenstand vergleiche das bereits zitierte Urteil des EuGH vom 6. November 2003, C-101/01, Rz. 98). Der österreichische Gesetzgeber hatte von dieser – unter der DS-RL geschaffenen – Möglichkeit Gebrauch gemacht und legte spezifische datenschutzrechtliche Regelungen für Verarbeitungstätigkeiten zu privaten bzw. familiären Zwecken in der früheren Bestimmung des Paragraph 45, DSG 2000 vergleiche Stammfassung Bundesgesetzblatt Teil eins, Nr. 165 aus 1999,) fest. Die soeben zitierte Bestimmung sah keine generelle Ausnahme vom Grundrecht auf Datenschutz vor, was aufgrund ihres einfachgesetzlichen Charakters auch gar nicht möglich gewesen wäre vergleiche Jahnel, Handbuch Datenschutzrecht, Sitzung 433 ff).

Mit Blick auf die geltende Rechtslage ist hervorzuheben, dass die DSGVO selbst – aufgrund der im Wesentlichen wortgleich übernommenen Bestimmung der „Haushaltsausnahme“ – nicht hinter den Schutzumfang der DS-RL zurückfällt, eine zu § 45 DSG 2000 ähnliche Bestimmung vom österreichischen Gesetzgeber im DSG jedoch im Weiteren nicht (mehr) vorgesehen wurde. Mit Blick auf die geltende Rechtslage ist hervorzuheben, dass die DSGVO selbst – aufgrund der im Wesentlichen wortgleich übernommenen Bestimmung der „Haushaltsausnahme“ – nicht hinter den Schutzumfang der DS-RL zurückfällt, eine zu Paragraph 45, DSG 2000 ähnliche Bestimmung vom österreichischen Gesetzgeber im DSG jedoch im Weiteren nicht (mehr) vorgesehen wurde.

Daraus lässt sich schließen, dass der österreichische Gesetzgeber den Schutzumfang des DSG nicht auf Sachverhalt ausdehnen wollte, die den ausschließlich persönlichen oder familiären Bereich betreffen.

D.4. Ergebnis

Unter Zugrundelegung der obigen Überlegungen ist im Ergebnis die Bestimmung des Art. 2 Abs. 2 lit. c DSGVO auch im Zusammenhang mit einer behaupteten Verletzung von § 1 Abs. 1 DSG anzuwenden und ist folglich der Anwendungsbereich der DSGVO bzw. des DSG nicht eröffnet. Folglich steht auch das Beschwerderecht gemäß § 24 Abs. 1 DSG für die gegenständlich erfolgte Kommunikation mittels WhatsApp im Rahmen einer persönlichen und familiären Tätigkeit nicht zu.Unter Zugrundelegung der obigen Überlegungen ist im Ergebnis die Bestimmung des Artikel 2, Absatz 2, Litera c, DSGVO auch im Zusammenhang mit einer behaupteten Verletzung von Paragraph eins, Absatz eins, DSG anzuwenden und ist folglich der Anwendungsbereich der DSGVO bzw. des DSG nicht eröffnet. Folglich steht auch das Beschwerderecht gemäß Paragraph 24, Absatz eins, DSG für die gegenständlich erfolgte Kommunikation mittels WhatsApp im Rahmen einer persönlichen und familiären Tätigkeit nicht zu.

Es war daher spruchgemäß zu entscheiden.

European Case Law Identifier

ECLI:AT:DSB:2021:2021.0.285.169