Norm
EMRK Art8Text
GZ: 2025-1.050.333 vom 23. Jänner 2026 (Verfahrenszahl: DSB-D124.4545/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Dr. Max A***, MA (Beschwerdeführer) vom 18. Dezember 2025 gegen die Sanatorium N***GmbH (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Geheimhaltung, Rechtmäßigkeit der Verarbeitung, Information, Auskunft und Löschung wie folgt:
Rechtsgrundlagen: Art. 4, Art. 6, Art. 14, Art. 15, Art. 17, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 4,, Artikel 6,, Artikel 14,, Artikel 15,, Artikel 17,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF.
BEGRÜNDUNG
A. Vorbringen der Partei und Verfahrensgang
Mit Eingabe vom 18. Dezember 2025 brachte der Beschwerdeführer vor, dass er Sohn und Alleinerbe der am 23. April 2024 verstorbenen betroffenen Person, Frau Linda A***, sei. Die Betroffenenrechte wie auch das Beschwerderecht sei auf ihn als engsten Verwandten und Nachkommen übergegangen.
Am 17. November 2025 habe er einen Auskunftsantrag als Sohn der Betroffenen an die Beschwerdegegnerin gestellt. Diese habe in der Folge über ihren Anwalt ausrichten lassen, dass er nicht auskunftsberechtigt sei, weshalb gegenständlich eine Verletzung im Recht auf Auskunft nach Art. 15 DSGVO vorliege.Am 17. November 2025 habe er einen Auskunftsantrag als Sohn der Betroffenen an die Beschwerdegegnerin gestellt. Diese habe in der Folge über ihren Anwalt ausrichten lassen, dass er nicht auskunftsberechtigt sei, weshalb gegenständlich eine Verletzung im Recht auf Auskunft nach Artikel 15, DSGVO vorliege.
Die Beschwerdegegnerin verarbeite Frau Linda A*** betreffende Arztbriefe aus dem Jahr 2022 und bewahre diese personenbezogenen Daten der Betroffenen über den erforderlichen Zeitraum hinaus auf, weshalb hierin eine Verletzung im Recht auf Löschung nach Art. 17 DSGVO zu sehen sei.Die Beschwerdegegnerin verarbeite Frau Linda A*** betreffende Arztbriefe aus dem Jahr 2022 und bewahre diese personenbezogenen Daten der Betroffenen über den erforderlichen Zeitraum hinaus auf, weshalb hierin eine Verletzung im Recht auf Löschung nach Artikel 17, DSGVO zu sehen sei.
Darüber hinaus habe die Beschwerdegegnerin besonders sensible personenbezogene Daten der am 23. April 2024 verstorbenen Betroffenen aus einer unbekannten Quelle beschafft und vermutlich am 10. Oktober 2025 über E-Mail ohne rechtliche Grundlage an einen Dritten, konkret einen Gutachter, weitergeleitet. Dieser sei weder zur Einsicht noch zum Erhalt dieser Unterlagen berechtigt gewesen. Hierdurch sei eine Verletzung im Recht auf Geheimhaltung eingetreten bzw. liege ein Verhalten vor, welches gegen die Vorgaben zur Rechtmäßigkeit der Datenverarbeitung verstoße. Für die Verarbeitung habe keine Rechtsgrundlage, insbesondere keine vertragliche Grundlage bestanden.
Die vier Arztbriefe sowie sämtliche Befunde des Labors B***, welche ein Gutachter von der Beschwerdegegnerin angefordert habe, hätten sich zu keinem Zeitpunkt im Besitz der Beschwerdegegnerin befunden, sondern seien im Verantwortungsbereich der behandelnden, niedergelassenen Ärzte gelegen. Diese verfügten zwar über Belegbetten bei der Beschwerdegegnerin, stünden aber in keinem Dienstverhältnis zu ihr. Es sei davon auszugehen, dass die Beschwerdegegnerin zu keinem Zeitpunkt berechtigt gewesen sei, sich die aus dem Jahr 2022 stammenden Arztbriefe von Privatärzten anzueignen, diese abzuspeichern und an Dritte weiterzugeben. Hierin sei eine Verletzung der Informationspflicht nach Art. 14 DSGVO zu erblicken, da die betroffene Person bzw. der Beschwerdeführer als Rechtsnachfolger nicht über diese Erhebung informiert worden sei.Die vier Arztbriefe sowie sämtliche Befunde des Labors B***, welche ein Gutachter von der Beschwerdegegnerin angefordert habe, hätten sich zu keinem Zeitpunkt im Besitz der Beschwerdegegnerin befunden, sondern seien im Verantwortungsbereich der behandelnden, niedergelassenen Ärzte gelegen. Diese verfügten zwar über Belegbetten bei der Beschwerdegegnerin, stünden aber in keinem Dienstverhältnis zu ihr. Es sei davon auszugehen, dass die Beschwerdegegnerin zu keinem Zeitpunkt berechtigt gewesen sei, sich die aus dem Jahr 2022 stammenden Arztbriefe von Privatärzten anzueignen, diese abzuspeichern und an Dritte weiterzugeben. Hierin sei eine Verletzung der Informationspflicht nach Artikel 14, DSGVO zu erblicken, da die betroffene Person bzw. der Beschwerdeführer als Rechtsnachfolger nicht über diese Erhebung informiert worden sei.
B. Beschwerdegegenstand
Aus dem Vorbringen des Beschwerdeführers ergibt sich, dass Gegenstand der Beschwerde die Frage ist, ob die Beschwerdegegnerin
C. Sachverhaltsfeststellungen
Die Datenschutzbehörde legt den unter A. festgehaltenen, aktenmäßig dokumentierten Sachverhalt ihrer Entscheidung zu Grunde.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Allgemein
Gemäß Art. 77 Abs. 1 DSGVO bzw. § 24 Abs. 1 DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. gegen § 1 des ersten Hauptstücks des DSG verstößt.Gemäß Artikel 77, Absatz eins, DSGVO bzw. Paragraph 24, Absatz eins, DSG hat jede betroffene Person das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO bzw. gegen Paragraph eins, des ersten Hauptstücks des DSG verstößt.
Das Grundrecht auf Datenschutz bzw. die Betroffenenrechte nach der DSGVO sind höchstpersönliche Rechte (vgl. ganz allgemein das Recht auf Schutz personenbezogener Daten und des Privat- und Familienlebens § 1 DSG, DSGVO iVm Art. 8 EU-GRC bzw. Art. 8 EMRK sowie OGH vom 11. Oktober 2010, 6 Ob 112/10d in Bezug auf § 26 DSG 2000), die grundsätzlich nur von der betroffenen Person selbst ausgeübt werden können (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG), § 1 Rz 34; Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 15 DSGVO, Rz 5 f).Das Grundrecht auf Datenschutz bzw. die Betroffenenrechte nach der DSGVO sind höchstpersönliche Rechte vergleiche ganz allgemein das Recht auf Schutz personenbezogener Daten und des Privat- und Familienlebens Paragraph eins, DSG, DSGVO in Verbindung mit Artikel 8, EU-GRC bzw. Artikel 8, EMRK sowie OGH vom 11. Oktober 2010, 6 Ob 112/10d in Bezug auf Paragraph 26, DSG 2000), die grundsätzlich nur von der betroffenen Person selbst ausgeübt werden können (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG), Paragraph eins, Rz 34; Jahnel, Kommentar zur Datenschutz-Grundverordnung, Artikel 15, DSGVO, Rz 5 f).
Gemäß der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.Gemäß der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht.
Träger dieses Grundrechtes können nur lebende Personen sein und kommen diese Rechte sowie die Geltendmachung ihrer Verletzung daher ebenfalls ausschließlich der betroffenen Person zu ihren Lebzeiten zu (VwGH 23.11.2016, Ra 2016/04/0044). Was die Daten verstorbener Personen anbelangt, so genießen Verstorbene kein Recht auf Datenschutz (vgl. den Bescheid der Datenschutzkommission vom 12. September 2003, GZ K202.028/006-DSK/2003). Während sich eine lebende betroffene Person vertreten lassen kann, ist eine Rechtsnachfolge nicht möglich (vgl. DSK 27.8.2010, K121.628/0015-DSK/2010). Seiner höchstpersönlichen Natur entsprechend, erlischt es mit dem Tod der betroffenen Person und geht nicht auf Rechtsnachfolger über.Träger dieses Grundrechtes können nur lebende Personen sein und kommen diese Rechte sowie die Geltendmachung ihrer Verletzung daher ebenfalls ausschließlich der betroffenen Person zu ihren Lebzeiten zu (VwGH 23.11.2016, Ra 2016/04/0044). Was die Daten verstorbener Personen anbelangt, so genießen Verstorbene kein Recht auf Datenschutz vergleiche den Bescheid der Datenschutzkommission vom 12. September 2003, GZ K202.028/006-DSK/2003). Während sich eine lebende betroffene Person vertreten lassen kann, ist eine Rechtsnachfolge nicht möglich vergleiche DSK 27.8.2010, K121.628/0015-DSK/2010). Seiner höchstpersönlichen Natur entsprechend, erlischt es mit dem Tod der betroffenen Person und geht nicht auf Rechtsnachfolger über.
Die DSGVO gilt schon nach ihren Erwägungsgründen (s dazu ErwGr 27, 160) nicht für personenbezogene Daten Verstorbener, und es verbriefen die Bestimmungen über den Datenschutz höchstpersönliche (6 Ob 210/23 [Rz 34]; 6 Ob 112/10d; vgl dazu für das DSG schon JAB 2028 BlgNR 20. GP 3) und daher nicht weiter übertragbare Rechte (VwGH Ra 2016/04/0044; DSK K121.842/0008-DSK/2012).Die DSGVO gilt schon nach ihren Erwägungsgründen (s dazu ErwGr 27, 160) nicht für personenbezogene Daten Verstorbener, und es verbriefen die Bestimmungen über den Datenschutz höchstpersönliche (6 Ob 210/23 [Rz 34]; 6 Ob 112/10d; vergleiche dazu für das DSG schon JAB 2028 BlgNR 20. Gesetzgebungsperiode 3) und daher nicht weiter übertragbare Rechte (VwGH Ra 2016/04/0044; DSK K121.842/0008-DSK/2012).
D.2. Zur mangelnden Aktivlegitimation des Beschwerdeführers
Wie sich aus der verfahrenseinleitenden Eingabe des Beschwerdeführers erhellt, ist die Geltendmachung datenschutzrechtlicher Betroffenenrechte (Rechtmäßigkeit der Verarbeitung nach Art. 6 DSGVO, Recht auf Information nach Art. 14 DSGVO und das Recht auf Löschung nach Art. 17 DSGVO) sowie eine behauptete Verletzung im Recht auf Geheimhaltung nach § 1 DSG einer bereits am 23. April 2024 verstorbenen betroffenen Person, konkret der Mutter des Beschwerdeführers - Frau Linda A*** - Gegenstand der vorliegenden Beschwerde gemäß § 24 DSG.Wie sich aus der verfahrenseinleitenden Eingabe des Beschwerdeführers erhellt, ist die Geltendmachung datenschutzrechtlicher Betroffenenrechte (Rechtmäßigkeit der Verarbeitung nach Artikel 6, DSGVO, Recht auf Information nach Artikel 14, DSGVO und das Recht auf Löschung nach Artikel 17, DSGVO) sowie eine behauptete Verletzung im Recht auf Geheimhaltung nach Paragraph eins, DSG einer bereits am 23. April 2024 verstorbenen betroffenen Person, konkret der Mutter des Beschwerdeführers - Frau Linda A*** - Gegenstand der vorliegenden Beschwerde gemäß Paragraph 24, DSG.
Eine behauptete Verletzung hinsichtlich seiner eigenen personenbezogenen Daten macht der Beschwerdeführer nicht geltend und handelt es sich verfahrensgegenständlich um Daten, die sich auf die verstorbene Mutter und nicht auf den Beschwerdeführer beziehen. Es sind daher keine den Beschwerdeführer iSd Art. 4 Z 1 DSGVO betreffende Daten, der Beschwerdeführer ist unstrittig nicht betroffene Person.Eine behauptete Verletzung hinsichtlich seiner eigenen personenbezogenen Daten macht der Beschwerdeführer nicht geltend und handelt es sich verfahrensgegenständlich um Daten, die sich auf die verstorbene Mutter und nicht auf den Beschwerdeführer beziehen. Es sind daher keine den Beschwerdeführer iSd Artikel 4, Ziffer eins, DSGVO betreffende Daten, der Beschwerdeführer ist unstrittig nicht betroffene Person.
Da höchstpersönliche Rechte allerdings nicht vererbt werden können, ist eine Wahrnehmung durch den Sohn (als Rechtsnachfolger) nicht möglich (vgl. Werkusch-Christ in Klete?ka/Schauer, ABGB-ON1.08 § 531 Rz 3, vgl. auch Erkenntnis vom BVwG vom 26. Jänner 2023, GZ W252 2248013-1).Da höchstpersönliche Rechte allerdings nicht vererbt werden können, ist eine Wahrnehmung durch den Sohn (als Rechtsnachfolger) nicht möglich vergleiche Werkusch-Christ in Klete?ka/Schauer, ABGB-ON1.08 Paragraph 531, Rz 3, vergleiche auch Erkenntnis vom BVwG vom 26. Jänner 2023, GZ W252 2248013-1).
Auf Grund des subjektiven, höchstpersönlichen Charakters des Datenschutzrechts sind die geltend gemachten Rechte im gegenständlichen Fall mit dem Tod der Mutter erloschen, sodass diese auch nicht mehr geltend gemacht werden können. Der Beschwerdeführer kann auch mangels entsprechender Aktivlegitimation nicht im eigenen Namen eine Beschwerde betreffend die datenschutzrechtlich gewährleisteten Rechte seiner verstorbenen Mutter erheben.
Es stellt eine Zulässigkeitsvoraussetzung für eine Beschwerde nach § 24 DSG iVm Art. 77 DSGVO dar, dass der Untersuchungsgegenstand die Verarbeitung der Daten noch lebender Personen umfasst. Ist das - wie beim vorliegenden Sachverhalt - nicht der Fall, kann über die Beschwerde eine Sachentscheidung nicht ergehen.Es stellt eine Zulässigkeitsvoraussetzung für eine Beschwerde nach Paragraph 24, DSG in Verbindung mit Artikel 77, DSGVO dar, dass der Untersuchungsgegenstand die Verarbeitung der Daten noch lebender Personen umfasst. Ist das - wie beim vorliegenden Sachverhalt - nicht der Fall, kann über die Beschwerde eine Sachentscheidung nicht ergehen.
Da die DSGVO und das DSG auf die Verarbeitung von Daten verstorbener Personen keine Anwendung finden, war die Beschwerde bereits aus diesem Grunde zurückzuweisen.
Es war daher spruchgemäß zu entscheiden.
Schlagworte
Geheimhaltung, Auskunft, Rechtmäßigkeit der Verarbeitung, Information, Auskunft, Löschung, Zurückweisung einer Beschwerde, mangelnde Aktivlegitimation, betroffene Person verstorben, Grundrecht auf Datenschutz mit dem Tod erloschen, keine RechtsnachfolgeEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2026:2025.1.050.333Zuletzt aktualisiert am
20.08.2026
