Verwaltungsgerichtshof (VwGH)

Der in Art. 4 Z 7 DSGVO definierte "Verantwortliche" ist Adressat der Pflichten der DSGVO und der Ansprüche der betroffenen Person. Verantwortlicher nach Art. 4 Z 7 DSGVO kann eine "natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle" sein, und zwar unabhängig davon, ob die juristische Person, Behörde, Einrichtung oder sonstige Stelle öffentlich-rechtlich oder privatrechtlich organisiert ist (vgl. OGH 18.2.2025, 6 Ob 102/24d, Rn. 13).Der in Artikel 4, Ziffer 7, DSGVO definierte "Verantwortliche" ist Adressat der Pflichten der DSGVO und der Ansprüche der betroffenen Person. Verantwortlicher nach Artikel 4, Ziffer 7, DSGVO kann eine "natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle" sein, und zwar unabhängig davon, ob die juristische Person, Behörde, Einrichtung oder sonstige Stelle öffentlich-rechtlich oder privatrechtlich organisiert ist vergleiche OGH 18.2.2025, 6 Ob 102/24d, Rn. 13).

Zur Beurteilung der Stellung des Verantwortlichen im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 führte der EuGH in seinem Urteil vom 29. Juli 2019, C-40/17, Fashion ID, aus, dass unbeschadet einer etwaigen insoweit im nationalen Recht vorgesehenen zivilrechtlichen Haftung, eine natürliche oder juristische Person für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegt, nicht als im Sinne dieser Vorschrift verantwortlich angesehen werden kann (Rn. 74). In der Entscheidung vom 7. März 2024, C-604/22, IAB Europe/Gegevensbeschermingsautoriteit, hat der EuGH dem Handeln aus Eigeninteresse (Rn. 57 und 61) hohen Stellenwert für die Qualifikation einer Branchenorganisation als Verantwortlicher nach Art. 4 Z 7 DSGVO eingeräumt.Zur Beurteilung der Stellung des Verantwortlichen im Sinne von Artikel 2, Buchst. d der Richtlinie 95/46 führte der EuGH in seinem Urteil vom 29. Juli 2019, C-40/17, Fashion ID, aus, dass unbeschadet einer etwaigen insoweit im nationalen Recht vorgesehenen zivilrechtlichen Haftung, eine natürliche oder juristische Person für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegt, nicht als im Sinne dieser Vorschrift verantwortlich angesehen werden kann (Rn. 74). In der Entscheidung vom 7. März 2024, C-604/22, IAB Europe/Gegevensbeschermingsautoriteit, hat der EuGH dem Handeln aus Eigeninteresse (Rn. 57 und 61) hohen Stellenwert für die Qualifikation einer Branchenorganisation als Verantwortlicher nach Artikel 4, Ziffer 7, DSGVO eingeräumt.

Nach Art. 26 Abs. 1 DSGVO handelt es sich um "gemeinsam Verantwortliche", wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Insoweit muss zwar jeder gemeinsam Verantwortliche für sich genommen die Definition des "Verantwortlichen" in Art. 4 Z 7 DSGVO erfüllen, doch hat das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure für dieselbe Verarbeitung personenbezogener Daten zur Folge. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein, so dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist. Im Übrigen setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach dieser Bestimmung nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (vgl. EuGH 7.3.2024, C-604/22, IAB Europe/Gegevensbeschermingsautoriteit, Rn. 58, mwN).Nach Artikel 26, Absatz eins, DSGVO handelt es sich um "gemeinsam Verantwortliche", wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Insoweit muss zwar jeder gemeinsam Verantwortliche für sich genommen die Definition des "Verantwortlichen" in Artikel 4, Ziffer 7, DSGVO erfüllen, doch hat das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure für dieselbe Verarbeitung personenbezogener Daten zur Folge. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein, so dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist. Im Übrigen setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach dieser Bestimmung nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat vergleiche EuGH 7.3.2024, C-604/22, IAB Europe/Gegevensbeschermingsautoriteit, Rn. 58, mwN).

Sofern natürliche Personen Daten für ihre eigenen Zwecke außerhalb des Tätigkeitsbereichs und der möglichen Kontrolle ihrer Organisation verarbeiten, können sie selbst Verantwortlicher werden. Gegebenenfalls kommt hier aber die Mitverantwortung einer fahrlässig handelnden Organisation, die grundsätzlich Missbrauch zu verhindern hat, in Betracht.

Dass im Zusammenhang mit von Bediensteten der Stadtgemeinde in deren privatem Interesse vorgenommenen ZMR-Abfragen die bei der Stadtgemeinde eingerichtete technische Abfragemöglichkeit benutzt wurde, bedeutet, dass die Datenverarbeitung unter Nutzung von der Stadtgemeinde zur Verfügung stehenden Mitteln durchgeführt wurde. Die für die Verantwortlichenstellung im Sinne des Art. 4 Z 7 DSGVO ausschlaggebende Entscheidung darüber, dass diese Mittel für die Abfragen eingesetzt wurden und zu welchem Zweck dieser Einsatz erfolgte, wurde hingegen von den Personen - den Bediensteten der Stadtgemeinde - getroffen, die die Abfragen für ihre eigenen privaten Zwecke tätigten. Vor diesem Hintergrund scheidet auch eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 Abs. 1 DSGVO aus, weil die Stadtgemeinde in keiner Weise in die Entscheidung über die Zwecke und Mittel betreffend die konkrete, für rein private Zwecke der Bediensteten erfolgte Datenverarbeitung miteinbezogen war.Dass im Zusammenhang mit von Bediensteten der Stadtgemeinde in deren privatem Interesse vorgenommenen ZMR-Abfragen die bei der Stadtgemeinde eingerichtete technische Abfragemöglichkeit benutzt wurde, bedeutet, dass die Datenverarbeitung unter Nutzung von der Stadtgemeinde zur Verfügung stehenden Mitteln durchgeführt wurde. Die für die Verantwortlichenstellung im Sinne des Artikel 4, Ziffer 7, DSGVO ausschlaggebende Entscheidung darüber, dass diese Mittel für die Abfragen eingesetzt wurden und zu welchem Zweck dieser Einsatz erfolgte, wurde hingegen von den Personen - den Bediensteten der Stadtgemeinde - getroffen, die die Abfragen für ihre eigenen privaten Zwecke tätigten. Vor diesem Hintergrund scheidet auch eine gemeinsame Verantwortlichkeit im Sinne des Artikel 26, Absatz eins, DSGVO aus, weil die Stadtgemeinde in keiner Weise in die Entscheidung über die Zwecke und Mittel betreffend die konkrete, für rein private Zwecke der Bediensteten erfolgte Datenverarbeitung miteinbezogen war.

Eine bei der Stadtgemeinde beschäftigte Person, die kraft ihrer Stellung Zugang zur ZMR-Abfragemöglichkeit hatte - oder sich diese verschaffte - und die ZMR-Abfragemöglichkeit zu anderen als zu dienstlichen Zwecken, die der Stadtgemeinde zuordenbar wären, durchführte, ist im Zusammenhang mit der vorgenommenen Verarbeitung gegenüber der Stadtgemeinde als Dritter zu betrachten, wobei diese(r) Dritte in Bezug auf die relevante Verarbeitung allenfalls selbst als Verantwortlicher zu betrachten ist (vgl. dazu auch die Rechtsprechung des OGH, dass die nur für dienstliche Belange bestehende rechtliche Möglichkeit, das Grundrecht auf Datenschutz [§ 1 DSG] zu durchbrechen, vom Beamten dann missbräuchlich in Anspruch genommen wird, wenn die Datenabfrage ohne eine solche dienstliche Rechtfertigung erfolgt und bei Schädigungsvorsatz zur Haftung nach § 302 Abs. 1 StGB führt, etwa OGH 26.3.2009, 12 Os 2/09z).Eine bei der Stadtgemeinde beschäftigte Person, die kraft ihrer Stellung Zugang zur ZMR-Abfragemöglichkeit hatte - oder sich diese verschaffte - und die ZMR-Abfragemöglichkeit zu anderen als zu dienstlichen Zwecken, die der Stadtgemeinde zuordenbar wären, durchführte, ist im Zusammenhang mit der vorgenommenen Verarbeitung gegenüber der Stadtgemeinde als Dritter zu betrachten, wobei diese(r) Dritte in Bezug auf die relevante Verarbeitung allenfalls selbst als Verantwortlicher zu betrachten ist vergleiche dazu auch die Rechtsprechung des OGH, dass die nur für dienstliche Belange bestehende rechtliche Möglichkeit, das Grundrecht auf Datenschutz [§ 1 DSG] zu durchbrechen, vom Beamten dann missbräuchlich in Anspruch genommen wird, wenn die Datenabfrage ohne eine solche dienstliche Rechtfertigung erfolgt und bei Schädigungsvorsatz zur Haftung nach Paragraph 302, Absatz eins, StGB führt, etwa OGH 26.3.2009, 12 Os 2/09z).

In Fällen, in denen Beschäftigte eines Verantwortlichen Daten, die vom Verantwortlichen selbst gespeichert werden und auf die die Beschäftigten nur für dienstliche Zwecke zugreifen dürfen, für rein private Zwecke verwenden, überschreiten die Beschäftigten aus privaten Motiven ihre dienstlichen Befugnisse; jedoch liegt in der Speicherung der abgefragten Daten bereits eine Verarbeitung im Sinne des Art. 4 Z 2 DSGVO, die - auf einer anderen Ebene als der eigentlichen (Neugier)Abfrage als tatbestandsbegründendes Sachverhaltselement - eine Verantwortlichenstellung mit allen Rechten und Pflichten begründen kann.In Fällen, in denen Beschäftigte eines Verantwortlichen Daten, die vom Verantwortlichen selbst gespeichert werden und auf die die Beschäftigten nur für dienstliche Zwecke zugreifen dürfen, für rein private Zwecke verwenden, überschreiten die Beschäftigten aus privaten Motiven ihre dienstlichen Befugnisse; jedoch liegt in der Speicherung der abgefragten Daten bereits eine Verarbeitung im Sinne des Artikel 4, Ziffer 2, DSGVO, die - auf einer anderen Ebene als der eigentlichen (Neugier)Abfrage als tatbestandsbegründendes Sachverhaltselement - eine Verantwortlichenstellung mit allen Rechten und Pflichten begründen kann.

Das bloße Offenstehen einer Möglichkeit zur Abfrage im Zentralen Melderegister erfüllt nicht den Tatbestand einer Verarbeitung im Sinne des Art. 4 Z 2 DSGVO, weshalb dieser Umstand alleine den sachlichen Anwendungsbereich der DSGVO gemäß Art. 2 Abs. 1 leg. cit. nicht eröffnet.Das bloße Offenstehen einer Möglichkeit zur Abfrage im Zentralen Melderegister erfüllt nicht den Tatbestand einer Verarbeitung im Sinne des Artikel 4, Ziffer 2, DSGVO, weshalb dieser Umstand alleine den sachlichen Anwendungsbereich der DSGVO gemäß Artikel 2, Absatz eins, leg. cit. nicht eröffnet.

Ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren kommt nicht in Betracht (vgl. VwGH 27.6.2023, Ro 2023/04/0013).Ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren kommt nicht in Betracht vergleiche VwGH 27.6.2023, Ro 2023/04/0013).