Norm
DSG §1 Abs1Text
GZ: 2026-0.005.610 vom 4. Februar 2026 (Verfahrenszahl: DSB-D062.3419)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHWERDEVORENTSCHEIDUNG
SPRUCH
Die Datenschutzbehörde entscheidet in der Datenschutzbeschwerdesache von Michael A*** (Beschwerdeführer), vom 20. Oktober 2024 gegen Staatsanwaltschaft P***dorf (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung in Folge der Beschwerde von Staatsanwaltschaft P***dorf vom 5. Dezember 2025 an das Bundesverwaltungsgericht in Abänderung des am 5. November 2025 ergangenen Bescheids mit der Geschäftszahl D124.2311/24; 2024-0.869.675 wie folgt:
Rechtsgrundlagen: Art. 2 Abs. 2 lit d; Art. 6 Abs. 1 lit. e, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 sowie 31, 36, 37 und 38 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 2, Absatz 2, Litera d,; Artikel 6, Absatz eins, Litera e,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, sowie 31, 36, 37 und 38 des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
Die Beschwerdeführerin (Beschwerdegegnerin im Ausgangsverfahren idF Beschwerdegegnerin) erhob mit Schreiben vom 5. Dezember 2025 gegen den Bescheid der Datenschutzbehörde vom 5. November 2025 Beschwerde an das Bundesverwaltungsgericht und brachte darin zusammengefasst vor, dass der Bescheid über nicht beantragte Rechte abspreche, der Leistungsauftrag zu unkonkret sei und die rechtliche Beurteilung in wesentlichen Punkten falsch sei.Die Beschwerdeführerin (Beschwerdegegnerin im Ausgangsverfahren in der Fassung Beschwerdegegnerin) erhob mit Schreiben vom 5. Dezember 2025 gegen den Bescheid der Datenschutzbehörde vom 5. November 2025 Beschwerde an das Bundesverwaltungsgericht und brachte darin zusammengefasst vor, dass der Bescheid über nicht beantragte Rechte abspreche, der Leistungsauftrag zu unkonkret sei und die rechtliche Beurteilung in wesentlichen Punkten falsch sei.
B. Beschwerdegegenstand
Ausgehend von der verfahrenseinleitenden Eingabe des Beschwerdeführers im Ausgangsverfahren ( idF Beschwerdeführer) ist beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem diese eine diversionelle Erledigung des Beschwerdeführers im Rahmen einer Sicherheitsüberprüfung des Beschwerdeführers an die Direktion für Staatsschutz und Nachrichtendienst offengelegt bzw. übermittelt hat.Ausgehend von der verfahrenseinleitenden Eingabe des Beschwerdeführers im Ausgangsverfahren ( in der Fassung Beschwerdeführer) ist beschwerdegegenstand die Frage, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem diese eine diversionelle Erledigung des Beschwerdeführers im Rahmen einer Sicherheitsüberprüfung des Beschwerdeführers an die Direktion für Staatsschutz und Nachrichtendienst offengelegt bzw. übermittelt hat.
C. Sachverhaltsfeststellungen
C.1. Gegen den Beschwerdeführer ist ein Ermittlungsverfahren wegen § 27 Abs. 1 SMG geführt worden. Mit der Benachrichtigung vom 14. Juni 2016 der Staatsanwaltschaft P***dorf ist diese gemäß § 25 Abs. 8 SMG vorläufig von der Verfolgung zurückgetreten. Mit Schrieben von 19. Juni 2017 wurden dem Beschwerdeführer der endgültige Rücktritt von der Verfolgung mitgeteilt.C.1. Gegen den Beschwerdeführer ist ein Ermittlungsverfahren wegen Paragraph 27, Absatz eins, SMG geführt worden. Mit der Benachrichtigung vom 14. Juni 2016 der Staatsanwaltschaft P***dorf ist diese gemäß Paragraph 25, Absatz 8, SMG vorläufig von der Verfolgung zurückgetreten. Mit Schrieben von 19. Juni 2017 wurden dem Beschwerdeführer der endgültige Rücktritt von der Verfolgung mitgeteilt.
Beweiswürdigung: Die zu Punkt C.1. getroffenen Feststellungen ergeben sich insbesondere aus der Stellungnahme der Beschwerdegegnerin vom 13. November 2024 und sind unstrittig.
C.2. Die Beschwerdegegnerin verarbeitet die Daten des Beschwerdeführers zum Verfahren mit der AZ *2 BAZ *76/16g in einem in Papierform geführten Ermittlungsakt. Dieser Akt enthält Name, Geschlecht, Geburtsdatum und -ort, Staatsangehörigkeit, Vornamen der Eltern, Familienstand, Wohnort, Telefonnummer, Legitimation (Reisepassnummer), Beruf, Schulbildung, Angaben zu Vermögen, Einkommen, gesetzlichem Vertreter und (nicht vorliegenden) Vorstrafen des Beschwerdeführers. Das korrelierend werden betreffend das Verfahren mit der AZ *2 BAZ *76/16g Name, Wohnort, Telefonnummer, Geburtsdatum und -ort, Staatsangehörigkeit, Familienstand, Geschlecht des Beschwerdeführers in der Verfahrensautomation-Justiz gespeichert.
Beweiswürdigung: Die getroffenen Feststellungen zu Punkt C.2. ergeben sich aus der Stellungnahme der Beschwerdegegnerin vom 13. November 2024 sowie der ergänzenden Stellungnahme der Beschwerdegegnerin vom 02. Jänner 2026.
C.3. Mit Schreiben vom 27. Dezember 2023 hat das Bundesministerium für Inneres, Direktion Staatsschutz und Nachrichtendienst, im Rahmen einer Sicherheitsüberprüfung gemäß § 55 SPG des Beschwerdeführers um Übermittlung von Erkenntnissen hinsichtlich allfälliger Verfahren im Bereich der Beschwerdegegnerin ersucht. Dazu ist mitgeteilt worden, dass eine schriftliche Zustimmung des Beschwerdeführers zur Überprüfung der Angaben in der Sicherheitserklärung vorliegt.C.3. Mit Schreiben vom 27. Dezember 2023 hat das Bundesministerium für Inneres, Direktion Staatsschutz und Nachrichtendienst, im Rahmen einer Sicherheitsüberprüfung gemäß Paragraph 55, SPG des Beschwerdeführers um Übermittlung von Erkenntnissen hinsichtlich allfälliger Verfahren im Bereich der Beschwerdegegnerin ersucht. Dazu ist mitgeteilt worden, dass eine schriftliche Zustimmung des Beschwerdeführers zur Überprüfung der Angaben in der Sicherheitserklärung vorliegt.
Beweiswürdigung: Die zu Punkt C.3. getroffenen Feststellungen ergeben sich aus dem übereinstimmenden Parteienvorbringen beider Verfahrensparteien. Insbesondere wurde vom Beschwerdeführer nicht bestritten die Einwilligung erteilt zu haben.
C.4. Der Beschwerdeführer brachte am 20. Oktober 2024 eine Beschwerde bei der Datenschutzbehörde ein, worin dieser als Beschwerdegegenstand eine Verletzung im Recht auf Geheimhaltung behauptet hat.
Beweiswürdigung: Diese Feststellung stützt sich auf die verfahrenseinleitende Eingabe des Beschwerdeführers vom 20. Oktober 2024.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Zuständigkeit der Datenschutzbehörde und anwendbare Rechtslage:
Zur Anwendbarkeit der DSGVO:
Bereits aus Art. 2 Abs. 2 lit. d DSGVO ergibt sich, dass die DSGVO keine Anwendung findet auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.Bereits aus Artikel 2, Absatz 2, Litera d, DSGVO ergibt sich, dass die DSGVO keine Anwendung findet auf die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.
Die gegenständlich durch die Beschwerdegegnerin erfolgte Datenverarbeitung erfolgte ursprünglich - wie festgestellt - im Rahmen eines Ermittlungsverfahrens wegen § 27 Abs. 1 SMG. Nunmehr stützt die Beschwerdegegnerin die Verarbeitung auf §§ 75 Abs. 2 und 3 StPO.Die gegenständlich durch die Beschwerdegegnerin erfolgte Datenverarbeitung erfolgte ursprünglich - wie festgestellt - im Rahmen eines Ermittlungsverfahrens wegen Paragraph 27, Absatz eins, SMG. Nunmehr stützt die Beschwerdegegnerin die Verarbeitung auf Paragraphen 75, Absatz 2, und 3 StPO.
Als (Zwischen)Ergebnis kann daher festgehalten werden, dass die DSGVO auf die gegenständlich monierten Datenverarbeitungen nicht anwendbar ist. Sofern die vom Beschwerdeführer vorgebrachten behaupteten Verletzungen einzig den Schutzbereich der DSGVO erfassen und im DSG keine Deckung finden, so erübrigen sich Ausführungen diesbezüglich.
Zur Anwendbarkeit des Datenschutzgesetzes (DSG):
Gemäß § 31 Abs. 1 DSG ist die Datenschutzbehörde als nationale Aufsichtsbehörde für den in § 36 Abs. 1 genannten Anwendungsbereich eingerichtet. § 31 Abs. 1 Satz 1 DSG verweist auf § 36 Abs. 1 DSG, also auf den Anwendungsbereich des 3. Hauptstückes. Dieser erfordert eine Datenverarbeitung im Sinne des § 36 Abs. 2 Z 2 DSG durch eine Behördentätigkeit zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung. Dabei handelt es sich um eine Tätigkeit des Staates im strafrechtlichen Bereich (vgl. VwGH 24. April 2023, 2011/17/0293).Gemäß Paragraph 31, Absatz eins, DSG ist die Datenschutzbehörde als nationale Aufsichtsbehörde für den in Paragraph 36, Absatz eins, genannten Anwendungsbereich eingerichtet. Paragraph 31, Absatz eins, Satz 1 DSG verweist auf Paragraph 36, Absatz eins, DSG, also auf den Anwendungsbereich des 3. Hauptstückes. Dieser erfordert eine Datenverarbeitung im Sinne des Paragraph 36, Absatz 2, Ziffer 2, DSG durch eine Behördentätigkeit zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung. Dabei handelt es sich um eine Tätigkeit des Staates im strafrechtlichen Bereich vergleiche , VwGH 24. April 2023, 2011/17/0293).
Es muss daher kumulativ sowohl das personale Element als auch das sachliche Element verwirklicht sein, um den Anwendungsbereich des 3. Hauptstückes nach § 31 DSG zu eröffnen sowie die Zuständigkeit der Datenschutzbehörde gegeben sein (vgl. Thiele & Wagner, Praxiskommentar zum DSG, § 31 DSG Rz 10). Er erfasst von vornherein nur Datenverarbeitungen durch zuständige Behörden, also durch Behörden, die (allgemein oder punktuell) mit Aufgaben iZm den in § 36 Abs. 1 DSG genannten Zwecken betraut sind. Von den durch die zuständigen Behörden durchgeführten Datenverarbeitungen fallen in der Folge nur jene in den Anwendungsbereich des 3. Hauptstücks, die den in § 36 Abs. 1 genannten Zwecken dienen (vgl. Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 36 Rz. 1)Es muss daher kumulativ sowohl das personale Element als auch das sachliche Element verwirklicht sein, um den Anwendungsbereich des 3. Hauptstückes nach Paragraph 31, DSG zu eröffnen sowie die Zuständigkeit der Datenschutzbehörde gegeben sein vergleiche Thiele & Wagner, Praxiskommentar zum DSG, Paragraph 31, DSG Rz 10). Er erfasst von vornherein nur Datenverarbeitungen durch zuständige Behörden, also durch Behörden, die (allgemein oder punktuell) mit Aufgaben iZm den in Paragraph 36, Absatz eins, DSG genannten Zwecken betraut sind. Von den durch die zuständigen Behörden durchgeführten Datenverarbeitungen fallen in der Folge nur jene in den Anwendungsbereich des 3. Hauptstücks, die den in Paragraph 36, Absatz eins, genannten Zwecken dienen vergleiche Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph 36, Rz. 1)
Die gegenständliche Beschwerde richtet sich gegen die vom Beschwerdeführer als Beschwerdegegnerin bezeichnete < Staatsanwaltschaft P***dorf>, welche als „zuständige Behörde“, d.h. eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafverfolgung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, die nationale Sicherheit, den Nachrichtendienst oder die militärische Eigensicherung zuständig ist, handelt (vgl. § 36 Abs. 2 Z 7 lit. a DSG).Die gegenständliche Beschwerde richtet sich gegen die vom Beschwerdeführer als Beschwerdegegnerin bezeichnete < Staatsanwaltschaft P***dorf>, welche als „zuständige Behörde“, d.h. eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafverfolgung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, die nationale Sicherheit, den Nachrichtendienst oder die militärische Eigensicherung zuständig ist, handelt vergleiche Paragraph 36, Absatz 2, Ziffer 7, Litera a, DSG).
Strafverfahren unterliegen grundsätzlich den Bestimmungen des 3. Hauptstücks, soweit nicht materiengesetzlich besondere Regelungen vorgesehen sind. Insbesondere derogieren die einschlägigen Regelungen der StPO weitgehend mit den im 2. Abschnitt (§§ 42 bis 45 DSG) geregelten Betroffenenrechten (vgl. Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 36 Rz. 3).Strafverfahren unterliegen grundsätzlich den Bestimmungen des 3. Hauptstücks, soweit nicht materiengesetzlich besondere Regelungen vorgesehen sind. Insbesondere derogieren die einschlägigen Regelungen der StPO weitgehend mit den im 2. Abschnitt (Paragraphen 42 bis 45 DSG) geregelten Betroffenenrechten vergleiche Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph 36, Rz. 3).
Das Bundesverwaltungsgericht hat mit Erkenntnis vom 3. Juli 2019, GZ W256 2210459-1, die Zuständigkeit der Datenschutzbehörde für Datenverarbeitungen durch eine Staatsanwaltschaft mit ausführlicher Begründung bestätigt, da eine österreichische Staatsanwaltschaft keine unabhängige Justizbehörde ist.
Die gegenständliche Datenverarbeitung findet unstrittig im Rahmen eines strafrechtlichen Verfahrens, in welchem der Beschwerdeführer als Beschuldigter geführt worden ist, statt. Die Datenverarbeitung in Form der Speicherung bezieht sich jedenfalls auf die Protokollierung strafrechtlicher Handlungen, welche dem Zweck der Dokumentation der Strafverfolgung dient. Die gegenständliche Datenverarbeitung erfolgt daher für die in § 36 DSG normierten Zwecke. Für die Beurteilung des Sachverhaltes ist daher das 3. Hauptstück des DSG (§§ 36 ff) heranzuziehen, durch welches die Vorgaben der DSRL-PJ umgesetzt werden.Die gegenständliche Datenverarbeitung findet unstrittig im Rahmen eines strafrechtlichen Verfahrens, in welchem der Beschwerdeführer als Beschuldigter geführt worden ist, statt. Die Datenverarbeitung in Form der Speicherung bezieht sich jedenfalls auf die Protokollierung strafrechtlicher Handlungen, welche dem Zweck der Dokumentation der Strafverfolgung dient. Die gegenständliche Datenverarbeitung erfolgt daher für die in Paragraph 36, DSG normierten Zwecke. Für die Beurteilung des Sachverhaltes ist daher das 3. Hauptstück des DSG (Paragraphen 36, ff) heranzuziehen, durch welches die Vorgaben der DSRL-PJ umgesetzt werden.
D.2. Zum Recht auf Geheimhaltung
Beschwerdegegenständlich wurde vom Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung vorgebracht. Wie bereits festgestellt ist verfahrensgegenständliche das 3. Hauptstück des DSG (§§ 36 ff) anwendbar.Beschwerdegegenständlich wurde vom Beschwerdeführer eine Verletzung im Recht auf Geheimhaltung vorgebracht. Wie bereits festgestellt ist verfahrensgegenständliche das 3. Hauptstück des DSG (Paragraphen 36, ff) anwendbar.
Der OGH hat bereits ausgesprochen, dass die Bestimmungen der StPO, die spezifische Datenverarbeitungen betreffen, als lex specialis den allgemeinen Regelungen des 3. Hauptstücks des DSG vorgehen (Beschluss vom 10. Dezember 2019, 11 Os 76/19i).
Für die Verfassungsbestimmung des § 1 DSG gilt dies jedoch nicht. Daher sind auch die einfachgesetzlichen Bestimmungen der StPO im Lichte dieser Verfassungsbestimmung auszulegen.Für die Verfassungsbestimmung des Paragraph eins, DSG gilt dies jedoch nicht. Daher sind auch die einfachgesetzlichen Bestimmungen der StPO im Lichte dieser Verfassungsbestimmung auszulegen.
Nach der Definition des § 36 Abs. 2 Z 1 DSG sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte (oder identifizierbare) natürliche Person beziehen. Verfahrensgegenständlich handelt es sich unstrittig um personenbezogene Daten des Beschwerdeführers.Nach der Definition des Paragraph 36, Absatz 2, Ziffer eins, DSG sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte (oder identifizierbare) natürliche Person beziehen. Verfahrensgegenständlich handelt es sich unstrittig um personenbezogene Daten des Beschwerdeführers.
Gemäß § 38 leg. cit. ist die Verarbeitung personenbezogener Daten, soweit sie nicht zur Wahrung lebenswichtiger Interessen einer Person erforderlich ist, gemäß § 38 leg. cit. nur dann rechtmäßig, wenn sie gesetzlich vorgesehen, zur Erfüllung einer Aufgabe erforderlich und verhältnismäßig ist (Grundsatz der Rechtmäßigkeit).Gemäß Paragraph 38, leg. cit. ist die Verarbeitung personenbezogener Daten, soweit sie nicht zur Wahrung lebenswichtiger Interessen einer Person erforderlich ist, gemäß Paragraph 38, leg. cit. nur dann rechtmäßig, wenn sie gesetzlich vorgesehen, zur Erfüllung einer Aufgabe erforderlich und verhältnismäßig ist (Grundsatz der Rechtmäßigkeit).
Darüber hinaus müssen aber auch alle Voraussetzungen des § 37 DSG erfüllt sein.Darüber hinaus müssen aber auch alle Voraussetzungen des Paragraph 37, DSG erfüllt sein.
Es genügt daher nicht, wenn eine Datenverarbeitung an sich rechtmäßig im Sinne des § 38 DSG ist, gleichzeitig aber nicht alle Voraussetzungen des § 37 leg. cit. eingehalten werden (vgl. für den Anwendungsbereich der bisherigen Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18, Rz 36 und 37 mwN, wobei diese Rechtsprechung auf die Richtlinie (EU) 2016/680 anzuwenden ist).Es genügt daher nicht, wenn eine Datenverarbeitung an sich rechtmäßig im Sinne des Paragraph 38, DSG ist, gleichzeitig aber nicht alle Voraussetzungen des Paragraph 37, leg. cit. eingehalten werden vergleiche für den Anwendungsbereich der bisherigen Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18, Rz 36 und 37 mwN, wobei diese Rechtsprechung auf die Richtlinie (EU) 2016/680 anzuwenden ist).
Festgehalten werden kann, dass die verfahrensgegenständliche Datenverarbeitung jedenfalls nicht zur Wahrung lebenswichtiger Interessen des Beschwerdeführers erforderlich ist.
Damit war das Vorliegen einer gesetzlichen Grundlage näher zu prüfen:
Verfahrensgegenständlich wird vom Beschwerdeführer vorgebracht, dass die Weitergabe seine Daten durch die Beschwerdegegnerin unrechtmäßig gewesen sei, weil die Daten bereits gelöscht hätten werden müssen.
Zur Offenlegung der diversionellen Erledigung im Rahmen der Sicherheitsüberprüfung grundsätzlich
Grundsätzlich bietet insbesondere § 55 Abs. 4 SPG eine gesetzliche Grundlage zur Übermittlung personenbezogener Daten im Rahmen einer Sicherheitsüberprüfung, wenn die betroffene Person eine Funktion anstrebt, mit der ein Zugang zu geheimer Information oder zur u Information verbunden ist, die durch Überwachungsmaßnahmen nach § 136 Abs. 1 Z 3 StPO gewonnen worden ist (erweiterte Ermittlungsermächtigung). Die grundsätzliche Rechtswidrigkeit der Sicherheitsüberprüfung wird vom Beschwerdeführer jedoch auch nicht behauptet.Grundsätzlich bietet insbesondere Paragraph 55, Absatz 4, SPG eine gesetzliche Grundlage zur Übermittlung personenbezogener Daten im Rahmen einer Sicherheitsüberprüfung, wenn die betroffene Person eine Funktion anstrebt, mit der ein Zugang zu geheimer Information oder zur u Information verbunden ist, die durch Überwachungsmaßnahmen nach Paragraph 136, Absatz eins, Ziffer 3, StPO gewonnen worden ist (erweiterte Ermittlungsermächtigung). Die grundsätzliche Rechtswidrigkeit der Sicherheitsüberprüfung wird vom Beschwerdeführer jedoch auch nicht behauptet.
Vielmehr bringt der Beschwerdeführer vor, dass die verfahrensgegenständlich monierten Daten nicht hätten beauskunftet werden dürfen, weil diese nicht mehr gespeichert hätten werden dürfen. Daher ist im nächsten Schritt zu prüfen, ob die Speicherung der diversionellen Erledigung rechtmäßig ist:
Zur andauernden Speicherung der diversionellen Erledigung
Es stellt sich verfahrensgegenständlich nun weiter die Frage, ob die Weitergabe unrechtmäßig war, weil darin enthaltene Daten bereits gelöscht hätten werden müssen bzw. nicht mehr übermittelt hätten werden dürfen.
Eine Datenverarbeitung ist gemäß Art. 6 Abs. 1 lit. e DSGVO dann zulässig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Art. 6 Abs. 3 DSGVO legt fest, dass eine entsprechende Rechtsgrundlage durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden kann. Diese Rechtsgrundlage muss den Zweck der Verarbeitung festlegen, der für die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist.Eine Datenverarbeitung ist gemäß Artikel 6, Absatz eins, Litera e, DSGVO dann zulässig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Artikel 6, Absatz 3, DSGVO legt fest, dass eine entsprechende Rechtsgrundlage durch das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, festgelegt werden kann. Diese Rechtsgrundlage muss den Zweck der Verarbeitung festlegen, der für die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist.
Sowohl Art. 8 der DSRL-PJ als auch § 38 DSG legen in allgemeiner Weise fest, dass eine Verarbeitung u.a. dann rechtmäßig ist, wenn sie gesetzlich vorgesehen ist. Demzufolge können auch materienspezifische gesetzliche Bestimmungen die Rechtmäßigkeit einer Verarbeitung tragen (siehe zum Verhältnis StPO und DSG den Beschluss des OGH vom 10. Dezember 2019, 11 Os 76/19i), sofern diese die Verarbeitung für Zwecke der DSRL-PJ bzw. des 3. Hauptstückes des DSG präzisieren und mit Art. 8 der DSRL-PJ im Einklang stehen. Sowohl Artikel 8, der DSRL-PJ als auch Paragraph 38, DSG legen in allgemeiner Weise fest, dass eine Verarbeitung u.a. dann rechtmäßig ist, wenn sie gesetzlich vorgesehen ist. Demzufolge können auch materienspezifische gesetzliche Bestimmungen die Rechtmäßigkeit einer Verarbeitung tragen (siehe zum Verhältnis StPO und DSG den Beschluss des OGH vom 10. Dezember 2019, 11 Os 76/19i), sofern diese die Verarbeitung für Zwecke der DSRL-PJ bzw. des 3. Hauptstückes des DSG präzisieren und mit Artikel 8, der DSRL-PJ im Einklang stehen.
Im verfahrensgegenständlichen Fall kommen die Bestimmungen der StPO in Betracht, zumal es sich bei der Beschwerdegegnerin um eine Staatsanwaltschaft handelt.
§ 74 Abs. 1 StPO ermächtigt Staatsanwaltschaften zur Verarbeitung personenbezogener Daten im Rahmen ihrer Aufgaben. Abs. 2 legt für die Verarbeitung nähere Rahmenbedingungen und Grundsätze fest (Kristoferitsch/Bugelnig in Fuchs/Ratz, WK StPO § 74 Rz 3 (Stand 11.5.2020, rdb.at)). Somit müssen für den sachlichen Anwendungsbereich die beiden Merkmale Verarbeiten von Daten und im Rahmen der übertragenen Aufgaben vorliegen (Kristoferitsch/Bugelnig in Fuchs/Ratz, WK StPO § 74 Rz 9 (Stand 11.5.2020, rdb.at)). Dass Daten verarbeitet werden und dass dies im Rahmen der Aufgaben der Beschwerdegegnerin erfolgt, ist unstrittig.Paragraph 74, Absatz eins, StPO ermächtigt Staatsanwaltschaften zur Verarbeitung personenbezogener Daten im Rahmen ihrer Aufgaben. Absatz 2, legt für die Verarbeitung nähere Rahmenbedingungen und Grundsätze fest (Kristoferitsch/Bugelnig in Fuchs/Ratz, WK StPO Paragraph 74, Rz 3 (Stand 11.5.2020, rdb.at)). Somit müssen für den sachlichen Anwendungsbereich die beiden Merkmale Verarbeiten von Daten und im Rahmen der übertragenen Aufgaben vorliegen (Kristoferitsch/Bugelnig in Fuchs/Ratz, WK StPO Paragraph 74, Rz 9 (Stand 11.5.2020, rdb.at)). Dass Daten verarbeitet werden und dass dies im Rahmen der Aufgaben der Beschwerdegegnerin erfolgt, ist unstrittig.
Dass personenbezogene Daten des Beschwerdeführers durch die Beschwerdegegnerin grundsätzlich verarbeitet werden dürfen, ergibt sich also aus § 74 Abs. 1 StPO.Dass personenbezogene Daten des Beschwerdeführers durch die Beschwerdegegnerin grundsätzlich verarbeitet werden dürfen, ergibt sich also aus Paragraph 74, Absatz eins, StPO.
Über die Notwendigkeit der weiteren Datenverarbeitung (§ 45 Abs. 2 Z 1 DSG):Über die Notwendigkeit der weiteren Datenverarbeitung (Paragraph 45, Absatz 2, Ziffer eins, DSG):
Die Bestimmungen des § 75 Abs. 1 StPO konzipieren in weiterer Folge ein Recht auf Löschung von unrichtigen, unvollständigen oder entgegen den Bestimmungen des Gesetzes ermittelte personenbezogene Daten. Gegenständlich wurden weder unrichtige, unvollständige noch entgegen den Bestimmungen des Gesetzes ermittelte personenbezogene Daten verarbeitet. Auch lässt sich aus dem Vorbringen des Beschwerdeführers keine derartige Verarbeitung erkennen und wurden die diesbezügliche Ausführung der Beschwerdegegnerin im gegenständlichen Verfahren vom Beschwerdeführer auch nicht bestritten.Die Bestimmungen des Paragraph 75, Absatz eins, StPO konzipieren in weiterer Folge ein Recht auf Löschung von unrichtigen, unvollständigen oder entgegen den Bestimmungen des Gesetzes ermittelte personenbezogene Daten. Gegenständlich wurden weder unrichtige, unvollständige noch entgegen den Bestimmungen des Gesetzes ermittelte personenbezogene Daten verarbeitet. Auch lässt sich aus dem Vorbringen des Beschwerdeführers keine derartige Verarbeitung erkennen und wurden die diesbezügliche Ausführung der Beschwerdegegnerin im gegenständlichen Verfahren vom Beschwerdeführer auch nicht bestritten.
Weiteres bestimmt § 75 Abs. 2 StPO, dass der Zugriff auf Namensverzeichnissen zu unterbinden sind, wenn im Falle eines Freispruchs, einer Einstellung des Verfahrens oder eines endgültigen Rücktritts von der Verfolgung zehn Jahre ab der Entscheidung abgelaufen sind. Dabei handelt es sich um eine Höchstfrist. Das bedeutet, dass eine Sperre im Hinblick auf den Verhältnismäßigkeitsgrundsatz auch schon vor Ablauf der Frist durchzuführen sein kann (siehe dazu VfGH 29.06.2012, G 7/12). Anzumerken ist, dass Abs. 2 nur die Verminderung der technischen Zugänglichkeit von personenbezogenen Daten, nicht aber deren Löschung, bewirkt.Weiteres bestimmt Paragraph 75, Absatz 2, StPO, dass der Zugriff auf Namensverzeichnissen zu unterbinden sind, wenn im Falle eines Freispruchs, einer Einstellung des Verfahrens oder eines endgültigen Rücktritts von der Verfolgung zehn Jahre ab der Entscheidung abgelaufen sind. Dabei handelt es sich um eine Höchstfrist. Das bedeutet, dass eine Sperre im Hinblick auf den Verhältnismäßigkeitsgrundsatz auch schon vor Ablauf der Frist durchzuführen sein kann (siehe dazu VfGH 29.06.2012, G 7/12). Anzumerken ist, dass Absatz 2, nur die Verminderung der technischen Zugänglichkeit von personenbezogenen Daten, nicht aber deren Löschung, bewirkt.
Darüber hinaus sind nach Ablauf von sechzig Jahren nach einer allfälligen Unterbindung des Zugriffs auf Namensverzeichnisse alle personenbezogenen Daten im direkten Zugriff zu löschen. Auch bei der Frist in § 75 Abs. 3 StPO handelt es sich um eine Maximalfrist (siehe dazu VfGH 29.06.2012, G 7/12).Darüber hinaus sind nach Ablauf von sechzig Jahren nach einer allfälligen Unterbindung des Zugriffs auf Namensverzeichnisse alle personenbezogenen Daten im direkten Zugriff zu löschen. Auch bei der Frist in Paragraph 75, Absatz 3, StPO handelt es sich um eine Maximalfrist (siehe dazu VfGH 29.06.2012, G 7/12).
Gegenständlich wurde das damalige Verfahren des Beschwerdeführers mittels Diversion beendet. Die Staatsanwaltschaft ist mit Schreiben vom 19. Juni 2017 nach § 38 Abs. 3 SMG endgültig von der Verfolgung zurückgetreten.Gegenständlich wurde das damalige Verfahren des Beschwerdeführers mittels Diversion beendet. Die Staatsanwaltschaft ist mit Schreiben vom 19. Juni 2017 nach Paragraph 38, Absatz 3, SMG endgültig von der Verfolgung zurückgetreten.
Sowohl die zehn Jahres als auch die 60-jährige Frist sind verfahrensgegenständlich grundsätzlich noch nicht abgelaufen. Da es sich bei den Fristen jedoch um Höchst- bzw. Maximalfristen handelt, ist eine Interessenabwägung vorzunehmen. Dabei sind die Interessen des Betroffenen an der Löschung, die öffentlichen Interessen an der Weiterspeicherung gegeneinander abzuwiegen. So kann auch eine Löschung vor Ablauf der Fristen im Einzelfall geboten sein, wenn die Interessen des Betroffenen an der Löschung überwiegen.
Als öffentliche Interessen können die Auffindbarkeit der Daten und die Möglichkeit der Wiedereröffnung des Strafverfahrens - durch Fortführung, Wiederaufnahme oder Wiedereinsetzung - ins Treffen geführt werden.
Dem ist entgegenzuhalten, dass eine nachträgliche Fortsetzung des Strafverfahrens verfahrensgegenständlich jedenfalls nicht in Betracht kommt, da die Staatsanwaltschaft mit Schreiben vom 19. Juni 2017 endgültig von der Verfolgung zurückgetreten ist. Dieser endgültige Rücktritt entfaltet Bindungswirkung. Eine Fortführung des Verfahrens ist wäre dementsprechend noch unter den Voraussetzungen einer Wiederaufnahme - bei einer diversionellen Erledigung - nach § 205 Abs. 1 erster Satz StPO möglich (Matzka/Zeder/Rüdisser, SMG3 § 38 Rz 12 (Stand 1.11.2017, rdb.at))Dem ist entgegenzuhalten, dass eine nachträgliche Fortsetzung des Strafverfahrens verfahrensgegenständlich jedenfalls nicht in Betracht kommt, da die Staatsanwaltschaft mit Schreiben vom 19. Juni 2017 endgültig von der Verfolgung zurückgetreten ist. Dieser endgültige Rücktritt entfaltet Bindungswirkung. Eine Fortführung des Verfahrens ist wäre dementsprechend noch unter den Voraussetzungen einer Wiederaufnahme - bei einer diversionellen Erledigung - nach Paragraph 205, Absatz eins, erster Satz StPO möglich (Matzka/Zeder/Rüdisser, SMG3 Paragraph 38, Rz 12 (Stand 1.11.2017, rdb.at))
Daher ist weiters zu prüfen, ob die Voraussetzungen der ordentlichen Wiederaufnahme verfahrensgegenständlich erfüllt sind. § 352 StPO bestimmt als erste Voraussetzung, dass die Strafbarkeit der Tat noch nicht durch Verjährung erloschen sein darf. Die dem Beschwerdeführer vorgeworfenen Tat nach § 27 Abs. 1 SMG ist mit einer Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bis zu 360 Tagessätzen zu bestrafen. Daher beträgt die Verjährungsfrist drei Jahre (siehe dazu § 57 Abs. 3 StGB). Somit kommt verfahrensgegenständlich eine Wiederaufnahme nicht in Betracht.Daher ist weiters zu prüfen, ob die Voraussetzungen der ordentlichen Wiederaufnahme verfahrensgegenständlich erfüllt sind. Paragraph 352, StPO bestimmt als erste Voraussetzung, dass die Strafbarkeit der Tat noch nicht durch Verjährung erloschen sein darf. Die dem Beschwerdeführer vorgeworfenen Tat nach Paragraph 27, Absatz eins, SMG ist mit einer Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bis zu 360 Tagessätzen zu bestrafen. Daher beträgt die Verjährungsfrist drei Jahre (siehe dazu Paragraph 57, Absatz 3, StGB). Somit kommt verfahrensgegenständlich eine Wiederaufnahme nicht in Betracht.
Auch ein Antrag des Beschuldigten auf nachträgliche Fortsetzung des Verfahrens § 205 Abs. 1 zweiter Satz StPO ist verfahrensgegenständlich nicht mehr möglich, da dies nur bis zum endgültigen Rücktritt von der Verfolgung beantragbar ist (Schroll/Kert in Fuchs/Ratz, WK StPO § 205 Rz 7 (Stand 15.3.2025, rdb.at)). Verfahrensgegenständlich wurde aber bereits endgültig von der Verfolgung zurückgetreten.Auch ein Antrag des Beschuldigten auf nachträgliche Fortsetzung des Verfahrens Paragraph 205, Absatz eins, zweiter Satz StPO ist verfahrensgegenständlich nicht mehr möglich, da dies nur bis zum endgültigen Rücktritt von der Verfolgung beantragbar ist (Schroll/Kert in Fuchs/Ratz, WK StPO Paragraph 205, Rz 7 (Stand 15.3.2025, rdb.at)). Verfahrensgegenständlich wurde aber bereits endgültig von der Verfolgung zurückgetreten.
Verfahrensgegenständlich kommt auch eine Widereinsetzung nicht in Betracht. Dies wurde von der Beschwerdegegnerin auch nicht behauptet.
Auch eine Speicherung im Interesse des Betroffenen wäre grundsätzlich denkbar (vgl. VfSlg. 18.963/2009). Verfahrensgegenständlich gibt es jedoch keine Anhaltspunkte hierfür. Auch eine Speicherung im Interesse des Betroffenen wäre grundsätzlich denkbar vergleiche , VfSlg. 18.963 aus 2009,). Verfahrensgegenständlich gibt es jedoch keine Anhaltspunkte hierfür.
Überdies dient die weitere Aufbewahrung grundsätzlich auch dem Zweck der Dokumentation des behördlichen Handelns (vgl. VwGH vom 17. Februar 2010, GZ 2009/17/0064 und VwGH 7. Oktober 2013, GZ 2011/17/0035).Überdies dient die weitere Aufbewahrung grundsätzlich auch dem Zweck der Dokumentation des behördlichen Handelns vergleiche VwGH vom 17. Februar 2010, GZ 2009/17/0064 und VwGH 7. Oktober 2013, GZ 2011/17/0035).
Im Hinblick auf die Nachvollziehbarkeit des behördlichen Handelns ist als ergänzender Faktor festzuhalten, dass seitdem endgültige Rücktritt von der Verfolgung vom 19. Juni 2017 bereits ein beträchtlicher Zeitraum vergangen ist. Verfahrensgegenständlich wird von der Beschwerdegegnerin jedenfalls nicht vorgebracht, dass die weitere Speicherung für die Strafrechtspflege und Gefahrenabwehr erforderlich wären und gibt es hierfür gegenständlich auch keine Anhaltspunkte.
Als Interesse für die Löschung seiner Daten führt der Beschwerdeführer aus, dass er wegen der Übermittlung der noch gespeicherten Daten als Bewerber bei der Polizei abgelehnt worden sei. Ohne Löschung würde ihm daher der Zugang zu einem Beruf verwehrt werden.
Weiters ist das Interesse des Beschwerdeführers an der Geheimhaltung als durchaus gegeben anzusehen, zumal diese strafrechtliche Vorwürfe gegen ihn enthielt und daher von einer erhöhten Schutzwürdigkeit auszugehen war (vgl. zur Schutzwürdigkeit von „Strafdaten“ VwSlg. 18.498 A/2012 noch zum DSG 2000).Weiters ist das Interesse des Beschwerdeführers an der Geheimhaltung als durchaus gegeben anzusehen, zumal diese strafrechtliche Vorwürfe gegen ihn enthielt und daher von einer erhöhten Schutzwürdigkeit auszugehen war vergleiche zur Schutzwürdigkeit von „Strafdaten“ VwSlg. 18.498 A/2012 noch zum DSG 2000).
Für eine Löschung der Daten spricht auch die Schwere des Delikts nach § 27 SMG.Für eine Löschung der Daten spricht auch die Schwere des Delikts nach Paragraph 27, SMG.
Weiters ist anzumerken, dass bei eine Verurteilung nach § 27 Abs. 1 SMG die Tilgungsfrist von fünf Jahren nach § 3 TilgG bereits abgelaufen wäre. Das Strafmaß von § 27 Abs. 1 SMG beträgt nämlich 360 Tagessätzen oder eine Freiheitsstrafe von einem Jahr. Damit würde der Beschwerdeführer im Fall einer Verurteilung bessergestellt werden als im Fall der Diversion.Weiters ist anzumerken, dass bei eine Verurteilung nach Paragraph 27, Absatz eins, SMG die Tilgungsfrist von fünf Jahren nach Paragraph 3, TilgG bereits abgelaufen wäre. Das Strafmaß von Paragraph 27, Absatz eins, SMG beträgt nämlich 360 Tagessätzen oder eine Freiheitsstrafe von einem Jahr. Damit würde der Beschwerdeführer im Fall einer Verurteilung bessergestellt werden als im Fall der Diversion.
Die Beschwerdegegnerin selbst hat in Ihrer Stellungnahme verfahrensgegenständlich jedenfalls auch keine Interessenabwägung vorgenommen.
Im vorliegenden Fall liegen nach Ansicht der Datenschutzbehörde aufgrund der oben durchgeführten Interessenabwägung und Überlegungen zum Ergebnis, dass die Interessen des Beschwerdeführers an der Löschung seiner Daten gegenüber den Interessen der Beschwerdegegnerin überwiegen.
Da die Fristen für die Löschung in §§ 75 Abs. 2 und 3 StPO als Maximalfristen angesehen werden und die weitere Speicherung der durchgeführten Interessenabwägung nicht standhalten konnte, mangelt es der Verarbeitung an einer gesetzlichen Grundlage. Daher ist die weiter Speicherung der diversionellen Erledigung des Beschwerdeführers unrechtmäßig.Da die Fristen für die Löschung in Paragraphen 75, Absatz 2, und 3 StPO als Maximalfristen angesehen werden und die weitere Speicherung der durchgeführten Interessenabwägung nicht standhalten konnte, mangelt es der Verarbeitung an einer gesetzlichen Grundlage. Daher ist die weiter Speicherung der diversionellen Erledigung des Beschwerdeführers unrechtmäßig.
Die hat zu Folge, dass die vom Beschwerdeführer monierte Offenlegung im Rahmen der Sicherheitsüberprüfung rechtswidrig ist, da bereits die zugrundeliegende Verarbeitung (die Speicherung) rechtswidrig ist.
D.3. Zu Spruchpunkt 2
Die Datenschutzbehörde verfügt gemäß Art. 58 Abs. 2 lit. d DSGVO über Abhilfebefugnisse, die es ihr gestatten, u.a. einen Verantwortlichen anzuweisen, Verarbeitungsvorgänge auf eine bestimmte Weise und innerhalb eines bestimmten Zeitraumes zu ändern bzw. durchzuführen.Die Datenschutzbehörde verfügt gemäß Artikel 58, Absatz 2, Litera d, DSGVO über Abhilfebefugnisse, die es ihr gestatten, u.a. einen Verantwortlichen anzuweisen, Verarbeitungsvorgänge auf eine bestimmte Weise und innerhalb eines bestimmten Zeitraumes zu ändern bzw. durchzuführen.
Nach Judikatur des BVwG ist es zulässig, dass die Datenschutzbehörde auch im Beschwerdeverfahren von ihren in Art. 58 Abs. 2 DSGVO normierten Befugnissen amtswegig Gebrauch macht (vgl. das dg. Erkenntnis vom 16. November 2022, Zl. W274 2237056-1/8E; zuletzt bestätigt mit Erkenntnis vom 31. Juli 2024, GZ: W108 2284491-1/15E).Nach Judikatur des BVwG ist es zulässig, dass die Datenschutzbehörde auch im Beschwerdeverfahren von ihren in Artikel 58, Absatz 2, DSGVO normierten Befugnissen amtswegig Gebrauch macht vergleiche das dg. Erkenntnis vom 16. November 2022, Zl. W274 2237056-1/8E; zuletzt bestätigt mit Erkenntnis vom 31. Juli 2024, GZ: W108 2284491-1/15E).
Die Überlegungen des BVwG stehen auch in Einklang mit der Judikatur die EuGH, wonach eine Aufsichtsbehörde verpflichtet ist, im Falle von festgestellten Unzulänglichkeiten von ihren Abhilfebefugnissen Gebrauch zu machen (vgl. das Urteil des EuGH vom 16. Juli 2020 C-311/18 Rz 111).Die Überlegungen des BVwG stehen auch in Einklang mit der Judikatur die EuGH, wonach eine Aufsichtsbehörde verpflichtet ist, im Falle von festgestellten Unzulänglichkeiten von ihren Abhilfebefugnissen Gebrauch zu machen vergleiche das Urteil des EuGH vom 16. Juli 2020 C-311/18 Rz 111).
Verfahrensgegenständlich war der Beschwerdegegnerin daher die Löschung aufzutragen und spruchgemäß zu entscheiden.
Schlagworte
Beschwerdevorentscheidung, Geheimhaltung, Datenverarbeitung für Zwecke von Polizei und Justiz, Rechtmäßigkeit der Verarbeitung, Zuständigkeit der Datenschutzbehörde, Anweisung an Verantwortlichen, Löschungsauftrag, Staatsanwaltschaft, Strafverfahren, Strafrechtspflege, Gefahrenabwehr, Sicherheitsüberprüfung, Bewerbungsverfahren, Verfahrensautomation Justiz, VJ, Namensverzeichnis, Namensabfrage, Datenübermittlung, Direktion Staatsschutz und Nachrichtendienst, DSN, Suchtmitteldelikt, Rücktritt von der Verfolgung, Diversion, endgültiger Rücktritt, Maximalfrist, Interessenabwägung, Tilgungsfrist, GünstigkeitsvergleichAnmerkung
Der Inhalt des ursprünglich ergangenen Bescheids GZ: 2024-0.869.675 vom 5. November 2025 (Verfahrenszahl: DSB-D124.2311/24) wurde aus dem RIS gelöscht.European Case Law Identifier (ECLI)
ECLI:AT:DSB:2026:2026.0.005.610Zuletzt aktualisiert am
21.08.2026
