Entscheidungsdatum
29.04.2026Norm
AVG §73Spruch
,
W605 2291721-1/13E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Julia LUDWIG als Vorsitzende und die fachkundige Laienrichterin Dr. Barbara FELLNER-RESCH und den fachkundigen Laienrichter Mag. Florian SCHULTES, LL.M. über die Beschwerde von XXXX , vom 28.01.2024 wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die Datenschutzbeschwerde vom 25.07.2023 (mitbeteiligte Partei: XXXX ) zu Recht erkannt:Das Bundesverwaltungsgericht hat durch die Richterin Mag.a Julia LUDWIG als Vorsitzende und die fachkundige Laienrichterin Dr. Barbara FELLNER-RESCH und den fachkundigen Laienrichter Mag. Florian SCHULTES, LL.M. über die Beschwerde von römisch 40 , vom 28.01.2024 wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die Datenschutzbeschwerde vom 25.07.2023 (mitbeteiligte Partei: römisch 40 ) zu Recht erkannt:
A)
Die Datenschutzbeschwerde vom 25.07.2023 gegen das XXXX wird als unbegründet abgewiesen.Die Datenschutzbeschwerde vom 25.07.2023 gegen das römisch 40 wird als unbegründet abgewiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig. Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Entscheidungsgründe:
I. Verfahrensgang:römisch eins. Verfahrensgang:
1. Mit Eingaben vom 25.07.2023 und 05.08.2023, erhob XXXX (in der Folge: Beschwerdeführer) zwei Datenschutzbeschwerden gegen die „ XXXX (mit dem Leiter XXXX )“ wegen einer Verletzung im Recht auf Geheimhaltung und brachte dazu zusammengefasst vor, dass die XXXX (Beschwerdegegnerin im Administrativverfahren und mitbeteiligte Partei vor dem Bundesverwaltungsgericht, in der Folge: mitbeteiligte Partei) und deren Leiter, XXXX , der zugleich datenschutzrechtlich Verantwortlicher der mitbeteiligten Partei sei, in 21 Protokollen die private Wohnadresse und somit personenbezogene Daten des Beschwerdeführers ohne gesetzliche Grundlage und ohne Notwendigkeit im Personalinformationssystem des XXXX abgefragt und vor Dritten offengelegt hätten, obwohl dem Beschwerdeführer die Protokolle unmittelbar nach ihrer Erstellung persönlich ausgefolgt und nicht etwa per Post an seine Wohnadresse verschickt worden seien. Das der mitbeteiligten Partei vorgesetzte Kommando hingegen führe bei an den Beschwerdeführer adressierten Geschäftsstücken (gemeint offenbar: die im Dienstweg zugestellt werden) nicht dessen private Wohnadresse an. Die Verstöße hätten sich im Zeitraum Jänner 2023 bis Juli 2023 zugetragen, darin letztmalig mit 18.07.2023, sowie erneut am 01.08.2023, wovon der Beschwerdeführer jeweils am 18.07.2023 bzw. am 01.08.2023 erfahren habe.1. Mit Eingaben vom 25.07.2023 und 05.08.2023, erhob römisch 40 (in der Folge: Beschwerdeführer) zwei Datenschutzbeschwerden gegen die „ römisch 40 (mit dem Leiter römisch 40 )“ wegen einer Verletzung im Recht auf Geheimhaltung und brachte dazu zusammengefasst vor, dass die römisch 40 (Beschwerdegegnerin im Administrativverfahren und mitbeteiligte Partei vor dem Bundesverwaltungsgericht, in der Folge: mitbeteiligte Partei) und deren Leiter, römisch 40 , der zugleich datenschutzrechtlich Verantwortlicher der mitbeteiligten Partei sei, in 21 Protokollen die private Wohnadresse und somit personenbezogene Daten des Beschwerdeführers ohne gesetzliche Grundlage und ohne Notwendigkeit im Personalinformationssystem des römisch 40 abgefragt und vor Dritten offengelegt hätten, obwohl dem Beschwerdeführer die Protokolle unmittelbar nach ihrer Erstellung persönlich ausgefolgt und nicht etwa per Post an seine Wohnadresse verschickt worden seien. Das der mitbeteiligten Partei vorgesetzte Kommando hingegen führe bei an den Beschwerdeführer adressierten Geschäftsstücken (gemeint offenbar: die im Dienstweg zugestellt werden) nicht dessen private Wohnadresse an. Die Verstöße hätten sich im Zeitraum Jänner 2023 bis Juli 2023 zugetragen, darin letztmalig mit 18.07.2023, sowie erneut am 01.08.2023, wovon der Beschwerdeführer jeweils am 18.07.2023 bzw. am 01.08.2023 erfahren habe.
2. Mit Schreiben vom 28.01.2024 erhob der Beschwerdeführer Säumnisbeschwerde wegen der (behaupteten) Untätigkeit der belangten Behörde betreffend seine mit Mail vom 25.04.2023 eingebrachte Datenschutzbeschwerde.
3. Mit Schreiben der belangten Behörde vom 30.01.2024 wurde der Beschwerdeführer darüber in Kenntnis gesetzt, dass seine Beschwerden vom 25.07.2023 und vom 05.08.2023 gemeinsam zur Zahl D124.1838/23 behandelt werden und er erhielt einen Mängelbehebungsauftrag, die von ihm erwähnten Protokolle vorzulegen. Diesem Auftrag kam der Beschwerdeführer mit Eingabe vom 02.02.2024 nach.
4. Mit Schreiben der belangten Behörde vom 28.02.2024 wurde der mitbeteiligten Partei die Datenschutzbeschwerde des Beschwerdeführers zur Stellungnahme übermittelt.
5. Mit Schriftsatz vom 11.03.2024 nahm die mitbeteiligte Partei, vertreten durch das Büro des Datenschutzbeauftragten im Bundesministerium für XXXX , Stellung und brachte darin zusammengefasst vor, die Datenschutzbeschwerde sei abzuweisen, weil der Beschwerdeführer nicht in seinem Recht auf Geheimhaltung personenbezogener Daten verletzt worden sei. Der Beschwerdeführer sei im Zeitraum der Verwirklichung der beschwerdegegenständlichen Sachverhalte als Beschuldigter in einem damals auf der Grundlage und nach Maßgabe des Heeresdisziplinargesetzes 2014 gegen ihn anhängigen Disziplinarverfahren aufgrund der über ihn verhängten Dienstenthebung gemäß § 40 Abs. 5 HDG 2014 verpflichtet, sich zu bestimmten durch seinen Kommandanten festzulegenden Zeiten bei der XXXX (im Folgenden: XXXX ) zu melden. Diese Meldungen seien dokumentiert und jeweils im elektronischen Akt (ELAK) protokolliert worden. Die Protokolle seien ihm grundsätzlich beim jeweiligen Meldetermin ausgehändigt worden, gegebenenfalls beim darauffolgenden Termin, sofern noch Abklärungen oder Änderungen erforderlich gewesen seien. Die Übergabe sei stets im Beisein von zwei Offizieren erfolgt. Die Protokolle seien zunächst unter Anführung von Dienstgrad, Namen und Dienstadresse adressiert worden. Da sich der Beschwerdeführer infolge der Dienstenthebung nicht mehr an der Dienstadresse aufgehalten habe und er selbst mit Schreiben vom 27.09.2021 verlangt habe, dass Mitteilungen an seine Wohnadresse gerichtet würden, sei ab Herbst 2021 seine Wohnadresse verwendet worden. Mit Schreiben vom 24.07.2023 habe der Beschwerdeführer jedoch auch die Verwendung seiner Wohnadresse beanstandet, soweit ihm Schriftstücke persönlich ausgefolgt würden, da darin eine Verletzung des Datenschutzes liege. Diese Einwände habe er mit weiteren Schreiben vom 05.08.2023 sowie mit einem auf den 24.02.2023 datierten, tatsächlich am 24.08.2023 eingelangten Schreiben wiederholt. Zudem habe er mitgeteilt, am 05.08.2023 Beschwerde bei der Datenschutzbehörde eingebracht zu haben. Sämtliche vier Eingaben seien von der XXXX dem Datenschutzbüro vorgelegt worden. Am 18.08.2023 sei der Beschwerdeführer darüber informiert worden, dass die Verwendung seiner Wohnadresse vorläufig beibehalten werde. Das zuständige Datenschutzbüro habe die Vorwürfe geprüft und aus den im Amtsvortrag dargelegten Gründen keinen Verdacht einer Datenschutzverletzung festgestellt, weshalb von einer Meldung an die Datenschutzbehörde Abstand genommen worden sei. Der Beschwerdeführer sei darüber mit Schreiben vom 31.08.2023 verständigt worden.5. Mit Schriftsatz vom 11.03.2024 nahm die mitbeteiligte Partei, vertreten durch das Büro des Datenschutzbeauftragten im Bundesministerium für römisch 40 , Stellung und brachte darin zusammengefasst vor, die Datenschutzbeschwerde sei abzuweisen, weil der Beschwerdeführer nicht in seinem Recht auf Geheimhaltung personenbezogener Daten verletzt worden sei. Der Beschwerdeführer sei im Zeitraum der Verwirklichung der beschwerdegegenständlichen Sachverhalte als Beschuldigter in einem damals auf der Grundlage und nach Maßgabe des Heeresdisziplinargesetzes 2014 gegen ihn anhängigen Disziplinarverfahren aufgrund der über ihn verhängten Dienstenthebung gemäß Paragraph 40, Absatz 5, HDG 2014 verpflichtet, sich zu bestimmten durch seinen Kommandanten festzulegenden Zeiten bei der römisch 40 (im Folgenden: römisch 40 ) zu melden. Diese Meldungen seien dokumentiert und jeweils im elektronischen Akt (ELAK) protokolliert worden. Die Protokolle seien ihm grundsätzlich beim jeweiligen Meldetermin ausgehändigt worden, gegebenenfalls beim darauffolgenden Termin, sofern noch Abklärungen oder Änderungen erforderlich gewesen seien. Die Übergabe sei stets im Beisein von zwei Offizieren erfolgt. Die Protokolle seien zunächst unter Anführung von Dienstgrad, Namen und Dienstadresse adressiert worden. Da sich der Beschwerdeführer infolge der Dienstenthebung nicht mehr an der Dienstadresse aufgehalten habe und er selbst mit Schreiben vom 27.09.2021 verlangt habe, dass Mitteilungen an seine Wohnadresse gerichtet würden, sei ab Herbst 2021 seine Wohnadresse verwendet worden. Mit Schreiben vom 24.07.2023 habe der Beschwerdeführer jedoch auch die Verwendung seiner Wohnadresse beanstandet, soweit ihm Schriftstücke persönlich ausgefolgt würden, da darin eine Verletzung des Datenschutzes liege. Diese Einwände habe er mit weiteren Schreiben vom 05.08.2023 sowie mit einem auf den 24.02.2023 datierten, tatsächlich am 24.08.2023 eingelangten Schreiben wiederholt. Zudem habe er mitgeteilt, am 05.08.2023 Beschwerde bei der Datenschutzbehörde eingebracht zu haben. Sämtliche vier Eingaben seien von der römisch 40 dem Datenschutzbüro vorgelegt worden. Am 18.08.2023 sei der Beschwerdeführer darüber informiert worden, dass die Verwendung seiner Wohnadresse vorläufig beibehalten werde. Das zuständige Datenschutzbüro habe die Vorwürfe geprüft und aus den im Amtsvortrag dargelegten Gründen keinen Verdacht einer Datenschutzverletzung festgestellt, weshalb von einer Meldung an die Datenschutzbehörde Abstand genommen worden sei. Der Beschwerdeführer sei darüber mit Schreiben vom 31.08.2023 verständigt worden.
In rechtlicher Sicht wurde insbesondere ausgeführt, dass die fraglichen Verarbeitungen personenbezogener Daten im Rahmen und für die Zwecke von Disziplinarverfahren gemäß § 11 Abs. 2 HDG 2014 sowie für Zwecke der Personalverwaltung durch Stellen des XXXX gemäß §§ 280ff BDG 1979 und § 55a WG 2001 rechtmäßig erfolgt seien. Überdies hätten laut Büroordnung schriftliche Erledigungen im ELAK-System (u.a.) Name und Adresse des Empfängers der Erledigung zu enthalten. Auf dieser Grundlage ergingen im ELAK erstellte Erledigungen in „Papierform“ an „ XXXX -Personen“ entweder unter Ausweisung der Dienstadresse oder der Privatadresse des Empfängers. Darüber hinaus wurde insbesondere ausgeführt, dass eine Stellung als Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO bzw. des § 36 Abs. 2 Z 8 DSG der Leiter der mitbeteiligten Partei in Bezug auf im Rahmen der XXXX erfolgende Verarbeitungen personenbezogener Daten des Beschwerdeführers für Zwecke der Personalverwaltung nicht zukäme, da ihm weder die Entscheidung über die Zwecke noch die Entscheidung über die Mittel von auf den Bestimmungen der §§ 280 ff BDG 1979 und des § 55a WG 2001 gründenden Verarbeitungen personenbezogener Daten für Zwecke der Personalverwaltung in Vollziehung dienst- und wehrrechtlicher Bestimmungen zukäme, sowie, dass die verfahrensgegenständliche Datenschutzbeschwerde offenkundig unbegründet und exzessiv sei, da der Beschwerdeführer eine Mehrzahl datenschutzrechtlicher Verfahren gegen seine Vorgesetzten und andere Stellen des Ressorts initiiert habe, die auch oft sehr ähnlich seien. Beantragt wurden u.a. mehrere zeugenschaftliche Einvernahmen. Beigelegt waren weitere Unterlagen.In rechtlicher Sicht wurde insbesondere ausgeführt, dass die fraglichen Verarbeitungen personenbezogener Daten im Rahmen und für die Zwecke von Disziplinarverfahren gemäß Paragraph 11, Absatz 2, HDG 2014 sowie für Zwecke der Personalverwaltung durch Stellen des römisch 40 gemäß Paragraphen 280 f, f, BDG 1979 und Paragraph 55 a, WG 2001 rechtmäßig erfolgt seien. Überdies hätten laut Büroordnung schriftliche Erledigungen im ELAK-System (u.a.) Name und Adresse des Empfängers der Erledigung zu enthalten. Auf dieser Grundlage ergingen im ELAK erstellte Erledigungen in „Papierform“ an „ römisch 40 -Personen“ entweder unter Ausweisung der Dienstadresse oder der Privatadresse des Empfängers. Darüber hinaus wurde insbesondere ausgeführt, dass eine Stellung als Verantwortlicher im Sinne des Artikel 4, Ziffer 7, DSGVO bzw. des Paragraph 36, Absatz 2, Ziffer 8, DSG der Leiter der mitbeteiligten Partei in Bezug auf im Rahmen der römisch 40 erfolgende Verarbeitungen personenbezogener Daten des Beschwerdeführers für Zwecke der Personalverwaltung nicht zukäme, da ihm weder die Entscheidung über die Zwecke noch die Entscheidung über die Mittel von auf den Bestimmungen der Paragraphen 280, ff BDG 1979 und des Paragraph 55 a, WG 2001 gründenden Verarbeitungen personenbezogener Daten für Zwecke der Personalverwaltung in Vollziehung dienst- und wehrrechtlicher Bestimmungen zukäme, sowie, dass die verfahrensgegenständliche Datenschutzbeschwerde offenkundig unbegründet und exzessiv sei, da der Beschwerdeführer eine Mehrzahl datenschutzrechtlicher Verfahren gegen seine Vorgesetzten und andere Stellen des Ressorts initiiert habe, die auch oft sehr ähnlich seien. Beantragt wurden u.a. mehrere zeugenschaftliche Einvernahmen. Beigelegt waren weitere Unterlagen.
6. Mit Schreiben vom 16.04.2024 replizierte der Beschwerdeführer auf diese Stellungnahme, wobei er im Wesentlichen sein bisheriges Vorbringen wiederholte und ausführte, als Beschwerdegegnerin lediglich die mitbeteiligte Partei und nicht deren Leiter angeführt zu haben.
7. Mit Eingabe vom 13.05.2024 brachte der Beschwerdeführer seine auf den 28.01.2023 datierte [wohl gemeint 2024] infolge der nicht binnen sechs Monaten ergangenen Entscheidung betreffend sein verfahrenseinleitendes Anbringen vom 25.07.2023 Säumnisbeschwerde wegen des – behaupteten – Verstreichens der dreimonatigen Nachholfrist gemäß § 16 VwGVG nunmehr direkt beim Bundesverwaltungsgericht ein. Das Bundesverwaltungsgericht übermittelte die Säumnisbeschwerde mit Schreiben vom 15.05.2024 der belangten Behörde und ersuchte um Vorlage des Verwaltungsaktes.7. Mit Eingabe vom 13.05.2024 brachte der Beschwerdeführer seine auf den 28.01.2023 datierte [wohl gemeint 2024] infolge der nicht binnen sechs Monaten ergangenen Entscheidung betreffend sein verfahrenseinleitendes Anbringen vom 25.07.2023 Säumnisbeschwerde wegen des – behaupteten – Verstreichens der dreimonatigen Nachholfrist gemäß Paragraph 16, VwGVG nunmehr direkt beim Bundesverwaltungsgericht ein. Das Bundesverwaltungsgericht übermittelte die Säumnisbeschwerde mit Schreiben vom 15.05.2024 der belangten Behörde und ersuchte um Vorlage des Verwaltungsaktes.
8. Mit Schreiben vom 07.06.2024 legte die belangte Behörde dem Bundesverwaltungsgericht die Beschwerde unter Anschluss des Verwaltungsakts vor und erstattete eine Stellungnahme zur beschwerdegegenständlichen Säumnis.
II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
Der unter I. dargestellte Verfahrensgang wird den Feststellungen zugrunde gelegt, insbesondere wird festgestellt: Der unter römisch eins. dargestellte Verfahrensgang wird den Feststellungen zugrunde gelegt, insbesondere wird festgestellt:
1.1. Zum Administrativverfahren
1.1.1. Mittels Verwendung eines Online-Formulars der belangten Behörde, jeweils am 25.07.2023 und am 05.08.2023, erhob der Beschwerdeführer Datenschutzbeschwerde wegen einer Verletzung im Recht auf Geheimhaltung, da die mitbeteiligte Partei in 21 Protokollen zwischen 09.01.2023 und 18.07.2023 sowie einem weiteren vom 01.08.2023 die private Wohnadresse des Beschwerdeführers im Personalinformationssystem des XXXX abgefragt und vor Dritten offengelegt habe. Die Eingabe vom 25.07.2023 langte am selben Tag um 17:19:58 Uhr bei der belangten Behörde ein. Beide Eingaben wurden gemeinsam zur Zl. D124.1838/23 protokolliert.1.1.1. Mittels Verwendung eines Online-Formulars der belangten Behörde, jeweils am 25.07.2023 und am 05.08.2023, erhob der Beschwerdeführer Datenschutzbeschwerde wegen einer Verletzung im Recht auf Geheimhaltung, da die mitbeteiligte Partei in 21 Protokollen zwischen 09.01.2023 und 18.07.2023 sowie einem weiteren vom 01.08.2023 die private Wohnadresse des Beschwerdeführers im Personalinformationssystem des römisch 40 abgefragt und vor Dritten offengelegt habe. Die Eingabe vom 25.07.2023 langte am selben Tag um 17:19:58 Uhr bei der belangten Behörde ein. Beide Eingaben wurden gemeinsam zur Zl. D124.1838/23 protokolliert.
1.1.2. Mit auf den 28.01.2024 datiertem Schreiben erhob der Beschwerdeführer Säumnisbeschwerde wegen Verletzung der Entscheidungspflicht im Hinblick auf seine Datenschutzbeschwerde vom 25.07.2023.
Die Säumnisbeschwerde brachte er zunächst bei der belangten Behörde sowie mit Eingabe vom 13.05.2024 direkt beim Bundesverwaltungsgericht ein.
1.1.3. Die belangte Behörde hat über die hier verfahrensgegenständliche Datenschutzbeschwerde des Beschwerdeführers vom 25.07.2023 nicht in der gesetzlich vorgegebenen Frist entschieden.
1.2. Zur fraglichen Datenverarbeitung
1.2.1. Der Beschwerdeführer ist Berufsoffizier beim Bundesheer. Er wurde des Dienstes enthoben und wurde verpflichtet, sich im verfahrensgegenständlichen Zeitraum in wöchentlichen Abständen persönlich am Sitz der mitbeteiligten Partei in der XXXX in XXXX zu melden.1.2.1. Der Beschwerdeführer ist Berufsoffizier beim Bundesheer. Er wurde des Dienstes enthoben und wurde verpflichtet, sich im verfahrensgegenständlichen Zeitraum in wöchentlichen Abständen persönlich am Sitz der mitbeteiligten Partei in der römisch 40 in römisch 40 zu melden.
1.2.2. Der Beschwerdeführer richtete am 15.09.2021 per E-Mail ein Ansuchen an die mitbeteiligte Partei, wonach Mitteilungen an ihn nicht an seine Dienstadresse, sondern an seine (private) Wohnadresse zu richten seien.
Infolgedessen nahm die mitbeteiligte Partei ab Herbst 2021 die Adressierung von Mitteilungen an den Beschwerdeführer unter Verwendung seiner (privaten) Wohnadresse anstelle seiner Dienstadresse vor.
1.2.3. Im Zuge der (unter Pkt. 1.2.1. festgestellten) Anordnung meldete sich der Beschwerdeführer im verfahrensgegenständlichen Zeitraum von Jänner 2023 bis August 2023 in der XXXX . 1.2.3. Im Zuge der (unter Pkt. 1.2.1. festgestellten) Anordnung meldete sich der Beschwerdeführer im verfahrensgegenständlichen Zeitraum von Jänner 2023 bis August 2023 in der römisch 40 .
Neben dem Beschwerdeführer waren nachfolgende Personen als Vertreter der mitbeteiligten Partei in unterschiedlichen Zusammensetzungen jeweils zu zweit anwesend:
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
Jedenfalls zu den nachfolgend genannten Terminen wurden hierüber unter Verwendung des elektronischen Aktenverwaltungssystems der Bundesverwaltung „Elektronischer Akt“ (nachfolgend: ELAK) jeweils Protokolle in Form einer an den Beschwerdeführer gerichteten ELAK-Erledigung erstellt:
09.01.2023, 16.01.2023, 23.01.2023, 31.01.2023, 06.02.2023, 13.02.2023, 20.02.2023, 27.02.2023, 06.03.2023, 13.03.2023, 20.03.2023, 03.04.2023, 11.04.2023, 17.04.2023, 24.04.2023, 09.05.2023, 23.05.2023, 20.06.2023, 07.06.2023, 04.07.2023, 18.07.2023
Hierin festgehalten waren Zeit und Ort des Erscheinens des Beschwerdeführers, Auflistung und Fertigung der übrigen anwesenden Personen, eine – teilweise in Stichworten – zusammengefasste Darstellung des Verlaufs der Meldung sowie der nächstfolgende Termin für die verpflichtete Meldung des Beschwerdeführers.
Im Kopf enthielten die Protokolle bzw. die diesbezüglichen ELAK-Erledigungen jeweils Name, Dienstgrad, Geburtstag und (die ressortspezifische) Identifikationsnummer des Beschwerdeführers, Angaben zum jeweiligen Sachbearbeiter (als Protokollführer) sowie in Form einer Anrede des Schreibens den Namen sowie die private Wohnadresse des Beschwerdeführers.
1.2.4. Eine Ausfertigung der Protokolle wurde dem Beschwerdeführer händisch entweder unmittelbar am Ende des jeweiligen oder während des nächstfolgenden Termins vor Ort persönlich ausgefolgt.
Es fand kein Versand bzw. keine Zustellung per Post an den Beschwerdeführer oder andere Organe des XXXX bzw. sonstige Personen statt.Es fand kein Versand bzw. keine Zustellung per Post an den Beschwerdeführer oder andere Organe des römisch 40 bzw. sonstige Personen statt.
1.2.5. Die protokollierten Inhalte wurden – neben dem Beschwerdeführer – den bei den jeweiligen Meldungsterminen übrigen – als Vertreter der mitbeteiligten Partei in unterschiedlichen Zusammensetzungen jeweils zu zweit – Anwesenden gegenüber bekannt so auch den oben und auch nachfolgend Genannten, bei welchen es sich allesamt um Bedienstete der XXXX handelt: 1.2.5. Die protokollierten Inhalte wurden – neben dem Beschwerdeführer – den bei den jeweiligen Meldungsterminen übrigen – als Vertreter der mitbeteiligten Partei in unterschiedlichen Zusammensetzungen jeweils zu zweit – Anwesenden gegenüber bekannt so auch den oben und auch nachfolgend Genannten, bei welchen es sich allesamt um Bedienstete der römisch 40 handelt:
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
- XXXX - römisch 40
1.2.6. Mit Schreiben vom 24.07.2023 gerichtet an die mitbeteiligte Partei beanstandete der Beschwerdeführer (erstmalig) aus Datenschutzgründen die Verwendung seiner (privaten) Wohnadresse zur Adressierung von Mitteilungen an ihn, soweit diese ihm persönlich ausgefolgt würden.
2. Beweiswürdigung:
Die Feststellungen, insbesondere zum Verfahrensgang und der Erhebung einer Säumnisbeschwerde (Pkt. 1.1.) ergeben sich aus dem vorgelegten Verwaltungsakt, im Übrigen wurde beweiswürdigend hierzu Folgendes erwogen:
2.1. Angaben zur Person des Beschwerdeführers und dazu, dass er sich ob eines Dienstenthebungsverfahrens zu bestimmten Zeitpunkten an einem genannten Ort zu melden hatte, stehen aufgrund der von den Verfahrensparteien diesbezüglichen gleichlautenden und somit gänzlich unstrittigen Angaben im Verfahren fest (Eingaben des Beschwerdeführers vom 25.07.2023, 01.08.2023, und 02.02.2024 sowie die Stellungnahme der mitbeteiligten Partei vom 11.03.2023, samt jeweiliger Anhänge, beides vor der belangten Behörde eingebracht und von dieser jeweils im Rahmen des Parteiengehörs zustellt).
2.2. Dass der Beschwerdeführer selbst mit E-Mail vom 15.09.2021 begehrte, es würden Mitteilungen an ihn nicht an seine Dienstadresse, sondern an seine (private) Wohnadresse gerichtet werden, ergibt sich aus der durch die mitbeteiligte Partei ins Verfahren als Beweismittel eingebrachten Protokollrüge des Beschwerdeführers vom 27.09.2021 (Beilage ./1 zur Stellungnahme vom 11.03.2024), worin dieser wörtlich moniert, dass er mitgeteilt hätte, „dass Dienstpost/Dokumente/Informationen ausschließlich an seine Wohnadresse zu schicken“ seien.)
2.3. Feststellungen zu den erfolgten Meldungen und zur Erstellung von Protokollen hierüber im ELAK in Form einer an den Beschwerdeführer gerichteten ELAK-Erledigung sowie deren Inhalt und Ausgestaltung stützen sich auf den – jeweils durch den Beschwerdeführer im Rahmen seiner Eingabe vom 02.02.2024 und ergänzend durch die mitbeteiligte Partei mit Schriftsatz vom 10.03.2024 – als Beweismittel vorgelegten Protokollen zu den an den og. Tagen erfolgten Meldungen.
Dass die Protokolle im Form von ELAK Erledigungen erstellt wurden, war aufgrund der diesbezüglich gleichlautenden Angaben der Verfahrensparteien völlig unstrittig (Eingaben des Beschwerdeführers vom 25.07.2023, 01.08.2023, und 02.02.2024 und die Stellungnahme der mitbeteiligten Partei vom 11.03.2023). Insbesondere führt hierin die mitbeteiligte Partei explizit aus, dass „über jede Meldung im Wege des elektronischen Aktes (ELAK) des XXXX bei der XXXX ein Protokoll erstellt“ wurde (sS 2). Dass die Protokolle im Form von ELAK Erledigungen erstellt wurden, war aufgrund der diesbezüglich gleichlautenden Angaben der Verfahrensparteien völlig unstrittig (Eingaben des Beschwerdeführers vom 25.07.2023, 01.08.2023, und 02.02.2024 und die Stellungnahme der mitbeteiligten Partei vom 11.03.2023). Insbesondere führt hierin die mitbeteiligte Partei explizit aus, dass „über jede Meldung im Wege des elektronischen Aktes (ELAK) des römisch 40 bei der römisch 40 ein Protokoll erstellt“ wurde (sS 2).
Die jeweils anwesenden Personen ergeben sich ebenfalls unstrittig aus den vorliegenden und verfahrensgegenständlichen Protokollen, vorgelegt durch den Beschwerdeführer iR seiner Eingabe vom 02.02.2024 und der mitbeteiligten Partei iR der Stellungnahme vom 11.03.2024.
2.4. Auch dass eine Ausfertigung der Protokolle dem Beschwerdeführer jeweils händisch vor Ort ausgefolgt wurde, ist völlig unstrittig und gründet der Beschwerdeführer auch seine behauptete Rechtsverletzung im Wesentlichen auf diesen Umstand (Eingaben des Beschwerdeführers vom 25.07.2023, 01.08.2023, und 02.02.2024, Beilage /.3 zur Stellungnahme der mitbeteiligten Partei vom 11.03.2023).
Es fand kein Versand bzw. keine Zustellung per Post an den Beschwerdeführer oder andere Organe des XXXX bzw. sonstige Personen statt.Es fand kein Versand bzw. keine Zustellung per Post an den Beschwerdeführer oder andere Organe des römisch 40 bzw. sonstige Personen statt.
2.5. Dass den neben dem Beschwerdeführer Anwesenden der Inhalt der Protokolle bekannt wurde, ergibt sich aus der Tatsache, dass die Protokolle durch diese gefertigt wurden, wie aus einer Einsicht in die als Beweismittel eingebrachten und gegenständlichen Protokolle klar ersichtlich wird (Eingabe des Beschwerdeführers vom 02.02.2024 und Stellungnahme der mitbeteiligten Partei vom 11.03.2024).
2.6. Feststellungen zum Inhalt des Schreibens des Beschwerdeführers vom Schreiben vom 24.07.2023 gründen aus der Einsicht in eben dieses (eingebracht als Beweismittel ins Verfahren durch die mitbeteiligte Partei im Rahmen ihrer Stellungnahme vom 11.03.2024, Beilage ./3).
3. Rechtliche Beurteilung:
Zu A.)
3.1. Zur Zulässigkeit der Säumnisbeschwerde
3.1.1. Gemäß § 8 Abs. 1 VwGVG kann Beschwerde wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG (Säumnisbeschwerde) erhoben werden, wenn die Behörde die Sache (ausgenommen kürzere oder längere gesetzlicher Entscheidungsfristen) nicht innerhalb von sechs Monaten entschieden hat. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.3.1.1. Gemäß Paragraph 8, Absatz eins, VwGVG kann Beschwerde wegen Verletzung der Entscheidungspflicht gemäß Artikel 130, Absatz eins, Ziffer 3, B-VG (Säumnisbeschwerde) erhoben werden, wenn die Behörde die Sache (ausgenommen kürzere oder längere gesetzlicher Entscheidungsfristen) nicht innerhalb von sechs Monaten entschieden hat. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.
Der Verwaltungsgerichtshof hat in den Fällen der Verletzung der Entscheidungspflicht zur Frage des „überwiegenden Verschuldens der Behörde“ in ständiger Rechtsprechung ausgesprochen, dass der Begriff des Verschuldens der Behörde nach § 73 Abs. 2 AVG bzw. nach § 8 Abs. 1 VwGVG nicht im Sinne eines Verschuldens von Organwaltern der Behörde, sondern insofern „objektiv“ zu verstehen ist, als ein solches „Verschulden“ dann anzunehmen ist, wenn die zur Entscheidung berufene Behörde nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war. Der Verwaltungsgerichtshof hat ein überwiegendes Verschulden der Behörde darin angenommen, dass diese die für die zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet. Entscheidend ist, ob die notwendigen Ermittlungen im Verfahren innerhalb des Entscheidungszeitraumes vorgenommen werden konnten (vgl. VwGH 24.02.2022, Ra 2020/06/0069; 25.10.2017, Ra 2017/07/0073).Der Verwaltungsgerichtshof hat in den Fällen der Verletzung der Entscheidungspflicht zur Frage des „überwiegenden Verschuldens der Behörde“ in ständiger Rechtsprechung ausgesprochen, dass der Begriff des Verschuldens der Behörde nach Paragraph 73, Absatz 2, AVG bzw. nach Paragraph 8, Absatz eins, VwGVG nicht im Sinne eines Verschuldens von Organwaltern der Behörde, sondern insofern „objektiv“ zu verstehen ist, als ein solches „Verschulden“ dann anzunehmen ist, wenn die zur Entscheidung berufene Behörde nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war. Der Verwaltungsgerichtshof hat ein überwiegendes Verschulden der Behörde darin angenommen, dass diese die für die zügige Verfahrensführung notwendigen Schritte unterlässt oder mit diesen grundlos zuwartet. Entscheidend ist, ob die notwendigen Ermittlungen im Verfahren innerhalb des Entscheidungszeitraumes vorgenommen werden konnten vergleiche VwGH 24.02.2022, Ra 2020/06/0069; 25.10.2017, Ra 2017/07/0073).
Ein überwiegendes Verschulden der Behörde iSd § 73 Abs 2 AVG ist auch dann anzunehmen, wenn die Behörde erst nach Verstreichen von etwa mehr als zwei Drittel des gesetzlich vorgesehenen Entscheidungszeitraumes erstmals zielführende Verfahrensschritte setzt (vgl. VwGH 19.06.2018, Ra 2018/03/0021; 06.07.2010, 2009/05/0306). Weiters hat der Verwaltungsgerichtshof ausgesprochen, dass der allgemeine Hinweis auf die Überlastung der Behörde die Geltendmachung der Entscheidungspflicht nicht vereiteln kann (vgl. VwGH 19.06.2018, Ra 2018/03/0021, mwN). Grundsätzlich haben Behörden dafür Sorge zu tragen, dass durch organisatorische Vorkehrungen eine rasche Entscheidung möglich ist (vgl. VwGH 25.04.2019, Ra 2019/07/0035; 26.01.2012, 2008/07/0036).Ein überwiegendes Verschulden der Behörde iSd Paragraph 73, Absatz 2, AVG ist auch dann anzunehmen, wenn die Behörde erst nach Verstreichen von etwa mehr als zwei Drittel des gesetzlich vorgesehenen Entscheidungszeitraumes erstmals zielführende Verfahrensschritte setzt vergleiche VwGH 19.06.2018, Ra 2018/03/0021; 06.07.2010, 2009/05/0306). Weiters hat der Verwaltungsgerichtshof ausgesprochen, dass der allgemeine Hinweis auf die Überlastung der Behörde die Geltendmachung der Entscheidungspflicht nicht vereiteln kann vergleiche VwGH 19.06.2018, Ra 2018/03/0021, mwN). Grundsätzlich haben Behörden dafür Sorge zu tragen, dass durch organisatorische Vorkehrungen eine rasche Entscheidung möglich ist vergleiche VwGH 25.04.2019, Ra 2019/07/0035; 26.01.2012, 2008/07/0036).
3.1.2. Nach § 16 Abs. 1 VwGVG kann die Behörde im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht gemäß Art. 130 Abs. 1 Z 3 B-VG innerhalb einer Frist von bis zu drei Monaten den Bescheid erlassen. Wird der Bescheid erlassen oder wurde er vor Einleitung des Verfahrens erlassen, ist das Verfahren einzustellen.3.1.2. Nach Paragraph 16, Absatz eins, VwGVG kann die Behörde im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht gemäß Artikel 130, Absatz eins, Ziffer 3, B-VG innerhalb einer Frist von bis zu drei Monaten den Bescheid erlassen. Wird der Bescheid erlassen oder wurde er vor Einleitung des Verfahrens erlassen, ist das Verfahren einzustellen.
Die Zuständigkeit, über die anhängige Verwaltungsangelegenheit zu entscheiden, geht infolge einer gemäß § 8 VwGVG erhobenen zulässigen und berechtigten Beschwerde wegen Verletzung der Entscheidungspflicht spätestens nach ungenutztem Ablauf der Nachfrist des § 16 Abs. 1 VwGVG auf das Verwaltungsgericht über. Gleichzeitig erlischt die Zuständigkeit der säumigen belangten Behörde (vgl. VwGH 10.12.2018, Ro 2018/12/0017; Hengstschläger/Leeb, AVG § 16 VwGVG [Stand 01.03.2022, rdb.at] Rz 31). Nach Vorlage der Beschwerde hat das Verwaltungsgericht zu prüfen, ob die Behörde tatsächlich säumig ist. Ist die Behörde zwar objektiv gesehen säumig, ist dies aber nicht auf ihr überwiegendes Verschulden zurückzuführen, hat das Verwaltungsgericht die Beschwerde abzuweisen (vgl. VwGH 20.06.2017, Ra 2017/01/0052).Die Zuständigkeit, über die anhängige Verwaltungsangelegenheit zu entscheiden, geht infolge einer gemäß Paragraph 8, VwGVG erhobenen zulässigen und berechtigten Beschwerde wegen Verletzung der Entscheidungspflicht spätestens nach ungenutztem Ablauf der Nachfrist des Paragraph 16, Absatz eins, VwGVG auf das Verwaltungsgericht über. Gleichzeitig erlischt die Zuständigkeit der säumigen belangten Behörde vergleiche VwGH 10.12.2018, Ro 2018/12/0017; Hengstschläger/Leeb, AVG Paragraph 16, VwGVG [Stand 01.03.2022, rdb.at] Rz 31). Nach Vorlage der Beschwerde hat das Verwaltungsgericht zu prüfen, ob die Behörde tatsächlich säumig ist. Ist die Behörde zwar objektiv gesehen säumig, ist dies aber nicht auf ihr überwiegendes Verschulden zurückzuführen, hat das Verwaltungsgericht die Beschwerde abzuweisen vergleiche VwGH 20.06.2017, Ra 2017/01/0052).
3.1.3. Im gegenständlichen Fall langte der verfahrenseinleitende Antrag auf Sachentscheidung am 25.07.2023 bei der belangten Behörde ein, sodass die Entscheidungsfrist der Behörde mit Ablauf des 25.01.2024 endete. Der Beschwerdeführer erhob die Säumnisbeschwerde am 28.01.2024, woraufhin die belangte Behörde jedoch auch innerhalb der dreimonatigen Nachholfrist keinen Bescheid erließ.
In diesem Zusammenhang ist festzuhalten, dass sich aus dem Akteninhalt in keiner Weise ergibt, dass die Verfahrensverzögerung durch ein schuldhaftes Verhalten des Beschwerdeführers oder durch unüberwindliche Hindernisse auf Seiten der Behörde verursacht waren. Die Behörde hat im konkreten Fall die für eine zügige Verfahrensführung notwendigen Schritte unterlassen, beziehungsweise allenfalls zu spät gesetzt, um eine rechtzeitige Entscheidung in der Sache zu bewerkstelligen. So wurden während der gesamten, sechsmonatigen Entscheidungsfrist keinerlei Ermittlungsschritte gesetzt. Erst nach Erhebung der Säumnisbeschwerde am 28.01.2024 wurde während der dreimonatigen Nachfrist insbesondere durch Einräumung von Parteiengehör an die Beschwerdegegnerin zur Stellungnahme betreffend die Datenschutzbeschwerde des Beschwerdeführers und Einholung weiterer Stellungnahmen der Verfahrensparteien ein Ermittlungsverfahren geführt, dieses war jedoch mit Einlangen der (weiteren) Stellungnahme des Beschwerdeführers vom 16.04.2024 (faktisch) abgeschlossen und die Sache zu diesem Zeitpunkt – und somit vor Ablauf der Nachfrist am 28.04.2024 – zur Entscheidung reif. Die belangte Behörde hat jedoch auch die Nachfrist fruchtlos verstreichen lassen, ohne in der Sache einen Bescheid zu erlassen. Das Bundesverwaltungsgericht geht daher von einer durch die belangte Behörde zu verantwortenden Untätigkeit aus, die die Kriterien eines „überwiegenden Verschuldens“ erfüllt.
Daraus folgt, dass die Säumnisbeschwerde zulässig ist und die Zuständigkeit hinsichtlich der Datenschutzbeschwerde – aufgrund der Aktenvorlage an das Bundesverwaltungsgericht am 07.06.2024 – auf das Bundesverwaltungsgericht übergegangen ist.
In der Folge entscheidet das Bundesverwaltungsgericht auf Grund der Säumnisbeschwerde nicht als Beschwerdeinstanz, sondern anstelle der untätigen Behörde. Ist auf diese Weise die Zuständigkeit auf das Bundesverwaltungsgericht übergegangen und ist die Säumnisbeschwerde nicht abzuweisen, so hat das Bundesverwaltungsgericht in der Sache selbst zu entscheiden (siehe dazu VwGH 19.09.2017, Ro 2017/20/0001; 25.11.2015, Ra 2015/08/0102). Es hat diesfalls allein in der Verwaltungssache zu entscheiden, ohne dass ein ausdrücklicher Abspruch über die Stattgebung der Säumnisbeschwerde vorzunehmen ist. Es ist hinreichend, aber mit Blick auf die Pflicht zur Begründung von nicht bloß verfahrensleitenden Entscheidungen gemäß § 29 Abs. 1 VwGVG 2014 auch geboten, jene Gründe, die dazu geführt haben, dass das Bundesverwaltungsgericht seine Zuständigkeit bejaht, in der Begründung jener Entscheidung, mit der über die Verwaltungsangelegenheit abgesprochen wird, offenzulegen (vgl. VwGH 12.10.2022, Ra 2022/06/0085; 27.05.2015, Ra 2015/19/0075).In der Folge entscheidet das Bundesverwaltungsgericht auf Grund der Säumnisbeschwerde nicht als Beschwerdeinstanz, sondern anstelle der untätigen Behörde. Ist auf diese Weise die Zuständigkeit auf das Bundesverwaltungsgericht übergegangen und ist die Säumnisbeschwerde nicht abzuweisen, so hat das Bundesverwaltungsgericht in der Sache selbst zu entscheiden (siehe dazu VwGH 19.09.2017, Ro 2017/20/0001; 25.11.2015, Ra 2015/08/0102). Es hat diesfalls allein in der Verwaltungssache zu entscheiden, ohne dass ein ausdrücklicher Abspruch über die Stattgebung der Säumnisbeschwerde vorzunehmen ist. Es ist hinreichend, aber mit Blick auf die Pflicht zur Begründung von nicht bloß verfahrensleitenden Entscheidungen gemäß Paragraph 29, Absatz eins, VwGVG 2014 auch geboten, jene Gründe, die dazu geführt haben, dass das Bundesverwaltungsgericht seine Zuständigkeit bejaht, in der Begründung jener Entscheidung, mit der über die Verwaltungsangelegenheit abgesprochen wird, offenzulegen vergleiche VwGH 12.10.2022, Ra 2022/06/0085; 27.05.2015, Ra 2015/19/0075).
3.2. Zur Abweisung der Datenschutzbeschwerde (Spruchpunkt A I.)3.2. Zur Abweisung der Datenschutzbeschwerde (Spruchpunkt A römisch eins.)
3.2.1. Zu den maßgeblichen Rechtsvorschriften:
Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idgF, lauten auszugsweise wie folgt:
„Grundrecht auf Datenschutz
§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. (2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind.
[…]“
„Beschwerde an die Datenschutzbehörde
§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt. Dies gilt nicht, soweit ein Recht auf Beschwerde beim Parlamentarischen Datenschutzkomitee gemäß § 35f Abs. 1 besteht.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt. Dies gilt nicht, soweit ein Recht auf Beschwerde beim Parlamentarischen Datenschutzkomitee gemäß Paragraph 35 f, Absatz eins, besteht.
(2) Die Beschwerde hat zu enthalten:
1. die Bezeichnung des als verletzt erachteten Rechts,
2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
5. das Begehren, die behauptete Rechtsverletzung festzustellen und
6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.
[…]
(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.
[…]“
Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutzgrund-Verordnung – DSGVO), lauten auszugsweise wie folgt:
„Artikel 4
Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
[…]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]“
„Artikel 5
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
[…]“
„Artikel 6
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
[…]
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“
Die fallbezogen maßgeblichen Erwägungsgründe zur DSGVO lauten auszugsweise:
Zu Art. 6:Zu Artikel 6 :
„(32) Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. […] Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen.“
„(41) Wenn in dieser Verordnung auf eine Rechtsgrundlage oder eine Gesetzgebungsmaßnahme Bezug genommen wird, erfordert dies nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt; davon unberührt bleiben Anforderungen gemäß der Verfassungsordnung des betreffenden Mitgliedstaats. Die entsprechende Rechtsgrundlage oder Gesetzgebungsmaßnahme sollte jedoch klar und präzise sein und ihre Anwendung sollte für die Rechtsunterworfenen gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden »Gerichtshof«) und des Europäischen Gerichtshofs für Menschenrechte vorhersehbar sein.“
„(45) [zu Abs 1 lit c und e, Abs 3] Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbeitung rechtmäßig und nach Treu und Glauben erfolgt. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, ob es sich bei dem Verantwortlichen, der eine Aufgabe wahrnimmt, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person oder, sofern dies durch das öffentliche Interesse einschließlich gesundheitlicher Zwecke, wie die öffentliche Gesundheit oder die soziale Sicherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, gerechtfertigt ist, eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsvereinigung, handeln sollte.“„(45) [zu Absatz eins, Litera c und e, Absatz 3 ], Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbeitung rechtmäßig und nach Treu und Glauben erfolgt. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, ob es sich bei dem Verantwortlichen, der eine Aufgabe wahrnimmt, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person oder, sofern dies durch das öffentliche Interesse einschließlich gesundheitlicher Zwecke, wie die öffentliche Gesundheit oder die soziale Sicherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, gerechtfertigt ist, eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsvereinigung, handeln sollte.“
§ 280 des Bundesgesetzes vom 27. Juni 1979 über das Dienstrecht der Beamten (Beamten-Dienstrechtsgesetz 1979 – BDG 1979) lautet wie folgt:Paragraph 280, des Bundesgesetzes vom 27. Juni 1979 über das Dienstrecht der Beamten (Beamten-Dienstrechtsgesetz 1979 – BDG 1979) lautet wie folgt:
„Datenverarbeitung
§ 280. (1) Die Leiterinnen und Leiter der Zentralstellen sind als jeweils Verantwortlicher gemäß Art. 4 Z 7 DSGVO für den Wirkungsbereich des jeweiligen Ressorts ermächtigt, die dienstrechtlichen, arbeits- und sozialrechtlichen, haushaltsrechtlichen, besoldungsrechtlichen, pensionsrechtlichen, organisationsbezogenen, ausbildungsbezogenen und sonstigen mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehenden personenbezogenen Daten von Personen, dieParagraph 280, (1) Die Leiterinnen und Leiter der Zentralstellen sind als jeweils Verantwortlicher gemäß Artikel 4, Ziffer 7, DSGVO für den Wirkungsbereich des jeweiligen Ressorts ermächtigt, die dienstrechtlichen, arbeits- und sozialrechtlichen, haushaltsrechtlichen, besoldungsrechtlichen, pensionsrechtlichen, organisationsbezogenen, ausbildungsbezogenen und sonstigen mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehenden personenbezogenen Daten von Personen, die
1. in einem Dienstverhältnis zum Bund […] stehen, gestanden sind oder die Aufnahme in ein solches Rechtsverhältnis anstreben, im Sinne des Art. 4 Z 2 DSGVO zu verarbeiten, einander zu übermitteln (Übermittlung) und zu einem anderen in Abs. 2 genannten Zweck, als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, zu verarbeiten (Weiterverarbeitung). Diese Ermächtigung bezieht sich, soweit zumindest einer der in Art. 9 Abs. 2 DSGVO angeführten Fälle vorliegt, auch auf besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO. Werden personenbezogene Daten und besondere Kategorien personenbezogener Daten durch einen der genannten Verantwortlichen an Dritte übermittelt, die nicht Verantwortliche im Sinne dieses Gesetzes sind (Übermittlung an Dritte), so ist diese Übermittlung an Dritte anhand ihrer jeweiligen Rechtsgrundlage zu beurteilen und zu dokumentieren.1. in einem Dienstverhältnis zum Bund […] stehen, gestanden sind oder die Aufnahme in ein solches Rechtsverhältnis anstreben, im Sinne des Artikel 4, Ziffer 2, DSGVO zu verarbeiten, einander zu übermitteln (Übermittlung) und zu einem anderen in Absatz 2, genannten Zweck, als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, zu verarbeiten (Weiterverarbeitung). Diese Ermächtigung bezieht sich, soweit zumindest einer der in Artikel 9, Absatz 2, DSGVO angeführten Fälle vorliegt, auch auf besondere Kategorien personenbezogener Daten gemäß Artikel 9, Absatz eins, DSGVO. Werden personenbezogene Daten und besondere Kategorien personenbezogener Daten durch einen der genannten Verantwortlichen an Dritte übermittelt, die nicht Verantwortliche im Sinne dieses Gesetzes sind (Übermittlung an Dritte), so ist diese Übermittlung an Dritte anhand ihrer jeweiligen Rechtsgrundlage zu beurteilen und zu dokumentieren.
(2) Eine Verarbeitung, Übermittlung oder Weiterverarbeitung gemäß Abs. 1 muss(2) Eine Verarbeitung, Übermittlung oder Weiterverarbeitung gemäß Absatz eins, muss
1. zum Zwecke der Aufrechterhaltung oder des Funktionierens der Administration des öffentlichen Dienstes,
2. zum Zwecke der Erfüllung der rechtlichen Verpflichtungen oder der Geltendmachung der Rechte, die sich aus den dienstrechtlichen, arbeits- und sozialrechtlichen, haushaltsrechtlichen, besoldungsrechtlichen, pensionsrechtlichen, organisationsbezogenen, ausbildungsbezogenen oder sonstigen mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehenden Vorschriften ergeben, oder
3. zum Zwecke der Ausübung der in den Vorschriften gemäß Z 2 übertragenen öffentlichen Gewalt erforderlich sein.3. zum Zwecke der Ausübung der in den Vorschriften gemäß Ziffer 2, übertragenen öffentlichen Gewalt erforderlich sein.
[…]“
Die maßgeblichen Bestimmungen des Heeresdisziplinargesetzes 2014 – HDG 2014 lautet wie folgt:
„Disziplinarbehörden
§ 11. (1) Disziplinarbehörden sindParagraph 11, (1) Disziplinarbehörden sind
1. die Disziplinarkommandanten
a) als Einheitskommandanten und
b) als Disziplinarvorgesetzte
und
2. die Bundesdisziplinarbehörde.
(2) Der Bundesminister für Landesverteidigung und die sonstigen mit der Vollziehung dieses Bundesgesetzes betrauten Behörden dürfen zur Wahrnehmung der ihnen jeweils nach diesem Bundesgesetz übertragenen Aufgaben neben personenbezogenen Daten nach § 55a Abs. 1 WG 2001 auch personenbezogene Daten über Verwaltungsstrafverfahren und Strafverfahren nach der Strafprozessordnung 1975 von Personen nach § 1 sowie von sonstigen Personen, deren Daten im Rahmen eines Disziplinarverfahrens nach diesem Bundesgesetz benötigt werden, verarbeiten, sofern die jeweiligen Daten zur Aufgabenerfüllung erforderlich sind.(2) Der Bundesminister für Landesverteidigung und die sonstigen mit der Vollziehung dieses Bundesgesetzes betrauten Behörden dürfen zur Wahrnehmung der ihnen jeweils nach diesem Bundesgesetz übertragenen Aufgaben neben personenbezogenen Daten nach Paragraph 55 a, Absatz eins, WG 2001 auch personenbezogene Daten über Verwaltungsstrafverfahren und Strafverfahren nach der Strafprozessordnung 1975 von Personen nach Paragraph eins, sowie von sonstigen Personen, deren Daten im Rahmen eines Disziplinarverfahrens nach diesem Bundesgesetz benötigt werden, verarbeiten, sofern die jeweiligen Daten zur Aufgabenerfüllung erforderlich sind.
[…]
4. Hauptstück
Sicherungsmaßnahmen
1. Abschnitt
Dienstenthebung
Voraussetzungen, Zuständigkeit und Dauer
§ 40 […]Paragraph 40, […]
(5)Vom Dienst, wenn auch nur vorläufig, enthobene Soldaten sind verpflichtet, sich auf Anordnung ihres Disziplinarvorgesetzten zu bestimmten Zeiten bei der von diesem Organ bezeichneten militärischen Dienststelle zu melden.
[…]“
§ 55a Abs. 1 Wehrgesetz 2001 – WG 2001 lautet wie folgt:Paragraph 55 a, Absatz eins, Wehrgesetz 2001 – WG 2001 lautet wie folgt:
„Verarbeitung personenbezogener Daten
§ 55a. (1) Der Bundesminister für Landesverteidigung und die sonstigen mit der Vollziehung dieses Bundesgesetzes betrauten Behörden dürfen zur Wahrnehmung der ihnen jeweils nach diesem Bundesgesetz übertragenen Aufgaben personenbezogene Daten von Wehrpflichtigen und anderen Personen, die für eine Wehrdienstleistung in Betracht kommen, sowie von sonstigen Personen, deren Daten im Rahmen eines Verwaltungsverfahrens nach diesem Bundesgesetz benötigt werden, verarbeiten. Dabei kommen folgende Daten in Betracht, sofern diese zur jeweiligen Aufgabenerfüllung erforderlich sind:Paragraph 55 a, (1) Der Bundesminister für Landesverteidigung und die sonstigen mit der Vollziehung dieses Bundesgesetzes betrauten Behörden dürfen zur Wahrnehmung der ihnen jeweils nach diesem Bundesgesetz übertragenen Aufgaben personenbezogene Daten von Wehrpflichtigen und anderen Personen, die für eine Wehrdienstleistung in Betracht kommen, sowie von sonstigen Personen, deren Daten im Rahmen eines Verwaltungsverfahrens nach diesem Bundesgesetz benötigt werden, verarbeiten. Dabei kommen folgende Daten in Betracht, sofern diese zur jeweiligen Aufgabenerfüllung erforderlich sind:
1. Grunddaten (Vor- und Familienname, Titel und akademische Grade, Familienstand, Geburtsdatum, Lichtbild, Geschlecht, Hauptwohnsitz, bereichsspezifische Personenkennzeichen – bPK, Kontaktdaten, Bankverbindungsdaten, Staatsbürgerschaften, Namen und Adresse der gesetzlichen Vertreter sowie nach ausdrücklicher Einwilligung der betroffenen Person das Religionsbekenntnis).
2. Gesundheitsdaten zur Feststellung der Eignung zum Wehrdienst oder der Dienstfähigkeit während der Leistung eines Wehrdienstes.
3. Daten über Ausbildung, Beruf und Fachkenntnisse, insbesondere Schul- und Berufsbildung, ausgeübter Beruf sowie zivile Kenntnisse und Fähigkeiten.
4. Daten über Einkommen, Unterhaltsverpflichtungen und Wohnsituation, insbesondere Name und Adresse des Arbeitgebers, Art des Dienstverhältnisses bzw. der selbständigen Erwerbstätigkeit, Brutto- und Nettoeinkommen, Wohnkosten, Unterkunftgeber, Unterhaltsberechtigte und mitversicherte Angehörige.
5. Militärspezifische Daten, insbesondere Grundbuchnummer, Dienstgrad, militärische Berechtigungen und Befähigungen, Einteilung in der Einsatzorganisation, In- und ausländische Militärdienstzeiten, Beförderungen und Degradierungen, Daten über die Verlässlichkeit sowie verliehene Orden und Ehrenzeichen.“
„Kanzleiordnung
§ 12. Die formale Behandlung der von den Bundesministerien zu besorgenden Geschäfte ist von der Bundesregierung in einer für alle Bundesministerien einheitlichen Kanzleiordnung (Büroordnung) festzulegen. Desgleichen sind die notwendigen Maßnahmen zum Schutz personenbezogener Daten anzuordnen.“Paragraph 12, Die formale Behandlung der von den Bundesministerien zu besorgenden Geschäfte ist von der Bundesregierung in einer für alle Bundesministerien einheitlichen Kanzleiordnung (Büroordnung) festzulegen. Desgleichen sind die notwendigen Maßnahmen zum Schutz personenbezogener Daten anzuordnen.“
Die Büroordnung 2004 (Büroordnung) lautet auszugsweise wie folgt:
„Arten der Erledigung
§ 16. (1) Erledigungen sind abschließende Bearbeitungen von Geschäftsfällen. Paragraph 16, (1) Erledigungen sind abschließende Bearbeitungen von Geschäftsfällen.
(2) Erledigungen erfolgen dadurch, dass
[…]
3. schriftliche Äußerungen an Personen oder Organisationen innerhalb des Bundesministeriums abgegeben
[…]“
„Schriftliche Standarderledigungen
§ 18. (1) Schriftliche Standarderledigungen im ELAK-System haben, soweit nicht in den §§ 19 bis 23 anderes bestimmt ist, zu enthalten: Paragraph 18, (1) Schriftliche Standarderledigungen im ELAK-System haben, soweit nicht in den Paragraphen 19 bis 23 anderes bestimmt ist, zu enthalten:
[…]
4. Name und Adresse (allenfalls e-mail-Adresse) des/der Empfängers/Empfängerin der Erledigung”
3.2.2. Im vorliegenden Fall ist zu prüfen, ob die mitbeteiligte Partei den Beschwerdeführer dadurch im Recht auf Geheimhaltung verletzt hat, indem sie (bzw. ihr zuzurechnende Organe) bei den im Zuge von wöchentlichen Meldungen des Beschwerdeführers zu den unter Pkt. 1.2.3. genannten Terminen Protokolle über den Inhalt bzw. die Durchführung der Meldungen im elektronischen Aktenverwaltungssystem ELAK angefertigt hat, welche dessen private Wohnadresse im Schriftsatzkopf enthielten.
3.2.3. Zum sachlichen Anwendungsbereich der DSGVO:
Art. 2 DSGVO normiert den sachlichen Anwendungsbereich der DSGVO, gemäß Art. 2 Abs. 1 leg.cit. gilt die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die private Wohnadresse des Beschwerdeführers ist zweifelsohne ein solches, auf die Person des Beschwerdeführers bezogenes Datum iSd Art. 4 Z 1. Die Anfertigung und Speicherung der in Feststellung 1.2.2. genannten Protokolle durch Organe der mitbeteiligten Partei im ELAK stellt zudem eine teilweise automatisierte Verarbeitung und Speicherung personenbezogener Daten in einem Dateisystem dar. Das Vorliegen einer Ausnahme vom Anwendungsbereich der DSGVO gemäß Abs. 2. leg.cit. hat sich nicht ergeben und wurde auch im Administrativverfahren nicht vorgebracht. Der Anwendungsbereich der DSGVO ist somit eröffnet.Artikel 2, DSGVO normiert den sachlichen Anwendungsbereich der DSGVO, gemäß Artikel 2, Absatz eins, leg.cit. gilt die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die private Wohnadresse des Beschwerdeführers ist zweifelsohne ein solches, auf die Person des Beschwerdeführers bezogenes Datum iSd Artikel 4, Ziffer eins, Die Anfertigung und Speicherung der in Feststellung 1.2.2. genannten Protokolle durch Organe der mitbeteiligten Partei im ELAK stellt zudem eine teilweise automatisierte Verarbeitung und Speicherung personenbezogener Daten in einem Dateisystem dar. Das Vorliegen einer Ausnahme vom Anwendungsbereich der DSGVO gemäß Absatz 2, leg.cit. hat sich nicht ergeben und wurde auch im Administrativverfahren nicht vorgebracht. Der Anwendungsbereich der DSGVO ist somit eröffnet.
3.2.4. Zur Verantwortlicheneigenschaft:
3.2.4.1. Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.3.2.4.1. Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Artikel 4, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.
§ 280 Abs. 1 BDG ermächtigt die Leiterinnen und Leiter der Zentralstellen als jeweils Verantwortliche iSd Art. 4 Z 7 DSGVO für den Wirkungsbereich des jeweiligen Ressorts u.a. sonstige mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehende personenbezogene Daten von Personen, die in einem Dienstverhältnis zum Bund stehen unter näher genannten Voraussetzungen zu verarbeiten. Paragraph 280, Absatz eins, BDG ermächtigt die Leiterinnen und Leiter der Zentralstellen als jeweils Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO für den Wirkungsbereich des jeweiligen Ressorts u.a. sonstige mit dem Rechtsverhältnis in unmittelbarem Zusammenhang stehende personenbezogene Daten von Personen, die in einem Dienstverhältnis zum Bund stehen unter näher genannten Voraussetzungen zu verarbeiten.
Nach den Gesetzesmaterialien stehen personenbezogene Daten oder besondere Kategorien personenbezogener Daten von Personen gemäß § 280 Abs. 1 BDG dann mit einem Rechtsverhältnis in unmittelbarem Zusammenhang, wenn diese Daten bei Außerachtlassung des Rechtsverhältnisses objektiv betrachtet nicht oder nicht in einer solchen Weise verarbeitet, übermittelt oder weiterverarbeitet werden würden, wie sie es bei Berücksichtigung des Rechtsverhältnisses werden würden (ErläutRV 65 BlgNR 26. GP 14). Nach den Gesetzesmaterialien stehen personenbezogene Daten oder besondere Kategorien personenbezogener Daten von Personen gemäß Paragraph 280, Absatz eins, BDG dann mit einem Rechtsverhältnis in unmittelbarem Zusammenhang, wenn diese Daten bei Außerachtlassung des Rechtsverhältnisses objektiv betrachtet nicht oder nicht in einer solchen Weise verarbeitet, übermittelt oder weiterverarbeitet werden würden, wie sie es bei Berücksichtigung des Rechtsverhältnisses werden würden (ErläutRV 65 BlgNR 26. Gesetzgebungsperiode 14).
3.2.4.2. Fallgegenständlich hat die belangte Behörde die Rolle der datenschutzrechtlich Verantwortlichen gemäß Art. 4 Z 7 DSGVO – entsprechend der Bezeichnung des Beschwerdegegners (§ 24 Abs. 2 Z 2 DSG) durch den Beschwerdeführer in dessen Datenschutzbeschwerde – der XXXX zugewiesen.3.2.4.2. Fallgegenständlich hat die belangte Behörde die Rolle der datenschutzrechtlich Verantwortlichen gemäß Artikel 4, Ziffer 7, DSGVO – entsprechend der Bezeichnung des Beschwerdegegners (Paragraph 24, Absatz 2, Ziffer 2, DSG) durch den Beschwerdeführer in dessen Datenschutzbeschwerde – der römisch 40 zugewiesen.
3.2.5.3. Der Gerichtshof der Europäischen Union (EuGH) hat zur Einstufung als Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO festgehalten, dass ein Verantwortlicher auch eine Behörde oder eine „andere Stelle“ sein kann, die nach nationalem Recht nicht zwangsläufig Rechtspersönlichkeit besitzen muss. Der Verantwortliche muss in der Lage sein, die in der DSGVO vorgesehenen Verpflichtungen in tatsächlicher und rechtlicher Hinsicht zu erfüllen, ohne dass es insoweit darauf ankommt, ob die betreffende Stelle Rechtspersönlichkeit oder eine eigene Rechtsfähigkeit hat (siehe zu allem etwa EuGH 27.2.2025, C 638/23, Amt der Tiroler Landesregierung, Rn. 30, 34, mwN).3.2.5.3. Der Gerichtshof der Europäischen Union (EuGH) hat zur Einstufung als Verantwortlicher im Sinn des Artikel 4, Ziffer 7, DSGVO festgehalten, dass ein Verantwortlicher auch eine Behörde oder eine „andere Stelle“ sein kann, die nach nationalem Recht nicht zwangsläufig Rechtspersönlichkeit besitzen muss. Der Verantwortliche muss in der Lage sein, die in der DSGVO vorgesehenen Verpflichtungen in tatsächlicher und rechtlicher Hinsicht zu erfüllen, ohne dass es insoweit darauf ankommt, ob die betreffende Stelle Rechtspersönlichkeit oder eine eigene Rechtsfähigkeit hat (siehe zu allem etwa EuGH 27.2.2025, C 638/23, Amt der Tiroler Landesregierung, Rn. 30, 34, mwN).
3.2.5.4. Fallbezogen folgt hieraus:
Bei der mitbeteiligten Partei handelt es sich um eine Organisationseinheit des Bundesministeriums für XXXX , dem Begriffsverständnis des Art. 4 Z 7 DSGVO folgend somit um „eine Behörde“ oder eine „andere Stelle“, der nach nationalem Recht keine Rechtspersönlichkeit zukommt. Dies schadet im vorliegenden Zusammenhang jedoch nicht, da die mitbeteiligte Partei zweifellos in der Lage ist, die in der DSGVO vorgesehenen Verpflichtungen in tatsächlicher und rechtlicher Hinsicht zu erfüllen. Dies vor dem Hintergrund, dass die Verantwortliche – sowohl im Verfahren vor der belangten Behörde als auch vor dem Bundesverwaltungsgericht – durch Organwalter vertreten wird, die zweifellos der zuständigen Bundesministerin für XXXX als Rechtsträgerin zurechenbar sind. Hinsichtlich der Vertretungslegitimation genügt dabei der Hinweis auf die in Kraft stehende Geschäftseinteilung des XXXX (§ 7 BMG), wonach die Zuständigkeit zur Wahrnehmung der „Angelegenheit des Datenschutzes" im XXXX der Organisationseinheit der Zentralstelle „Datenschutzbüro" zukommt, wobei diese unter anderem gemäß § 10 Abs. 1 und 2 BMG die Vertretung des XXXX in Datenschutzangelegenheiten vor der belangten Behörde und vor dem Bundesverwaltungsgericht umfasst. Diese Vertretungsbefugnis besteht demnach sowohl hinsichtlich Verfahren, in welchen der Bundesministerin für XXXX die Rechtsstellung als Verantwortliche im Sinne des Art. 4 Z 7 DSGVO bzw. des § 36 Abs. 2 Z 8 DSG zukommt, als auch bei Verfahren (wie dem vorliegenden), in welchen diese Rechtsstellung ausnahmsweise anderen Stellen des XXXX zufällt. Bei der mitbeteiligten Partei handelt es sich um eine Organisationseinheit des Bundesministeriums für römisch 40 , dem Begriffsverständnis des Artikel 4, Ziffer 7, DSGVO folgend somit um „eine Behörde“ oder eine „andere Stelle“, der nach nationalem Recht keine Rechtspersönlichkeit zukommt. Dies schadet im vorliegenden Zusammenhang jedoch nicht, da die mitbeteiligte Partei zweifellos in der Lage ist, die in der DSGVO vorgesehenen Verpflichtungen in tatsächlicher und rechtlicher Hinsicht zu erfüllen. Dies vor dem Hintergrund, dass die Verantwortliche – sowohl im Verfahren vor der belangten Behörde als auch vor dem Bundesverwaltungsgericht – durch Organwalter vertreten wird, die zweifellos der zuständigen Bundesministerin für römisch 40 als Rechtsträgerin zurechenbar sind. Hinsichtlich der Vertretungslegitimation genügt dabei der Hinweis auf die in Kraft stehende Geschäftseinteilung des römisch 40 (Paragraph 7, BMG), wonach die Zuständigkeit zur Wahrnehmung der „Angelegenheit des Datenschutzes" im römisch 40 der Organisationseinheit der Zentralstelle „Datenschutzbüro" zukommt, wobei diese unter anderem gemäß Paragraph 10, Absatz eins und 2 BMG die Vertretung des römisch 40 in Datenschutzangelegenheiten vor der belangten Behörde und vor dem Bundesverwaltungsgericht umfasst. Diese Vertretungsbefugnis besteht demnach sowohl hinsichtlich Verfahren, in welchen der Bundesministerin für römisch 40 die Rechtsstellung als Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO bzw. des Paragraph 36, Absatz 2, Ziffer 8, DSG zukommt, als auch bei Verfahren (wie dem vorliegenden), in welchen diese Rechtsstellung ausnahmsweise anderen Stellen des römisch 40 zufällt.
Vor dem Hintergrund der unionsrechtlichen Konzeption der Rolle des datenschutzrechtlich Verantwortlichen ist es darüber hinaus geradezu zwingend erforderlich, dass ein Verantwortlicher, der wie im vorliegenden Fall als Organisationseinheit eines Bundesministeriums über keine eigene Rechtspersönlichkeit verfügt, durch Organwalter der zuständigen Bundesministerin als Rechtsträgerin gegenüber Behörden und Gerichten – sowie der sonst bei der Erfüllung einem Verantwortlichen aus der DSGVO zukommenden Verpflichtungen – vertreten wird (vgl. zum Ganzen jüngst BVwG 03.02.2026, W292 2289550-1/19E).Vor dem Hintergrund der unionsrechtlichen Konzeption der Rolle des datenschutzrechtlich Verantwortlichen ist es darüber hinaus geradezu zwingend erforderlich, dass ein Verantwortlicher, der wie im vorliegenden Fall als Organisationseinheit eines Bundesministeriums über keine eigene Rechtspersönlichkeit verfügt, durch Organwalter der zuständigen Bundesministerin als Rechtsträgerin gegenüber Behörden und Gerichten – sowie der sonst bei der Erfüllung einem Verantwortlichen aus der DSGVO zukommenden Verpflichtungen – vertreten wird vergleiche zum Ganzen jüngst BVwG 03.02.2026, W292 2289550-1/19E).
Nach dem Gesagten hat die mitbeteiligte Partei als datenschutzrechtlich Verantwortliche gemäß Art. 4 Z 7 DSGVO zu gelten.Nach dem Gesagten hat die mitbeteiligte Partei als datenschutzrechtlich Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO zu gelten.
3.2.4. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die DSGVO und insbesondere auch die dort (in Art. 5 DSGVO) verankerten Grundsätze sowie den Grundsatz der Verhältnismäßigkeit zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]² § 1, Rz 39 [Stand 1.2.2022, rdb.at]).3.2.4. Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die DSGVO und insbesondere auch die dort (in Artikel 5, DSGVO) verankerten Grundsätze sowie den Grundsatz der Verhältnismäßigkeit zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]² Paragraph eins,, Rz 39 [Stand 1.2.2022, rdb.at]).
Wenn die mitbeteiligte Partei vermeint, der private Wohnsitz einer natürlichen Person sei auf der Grundlage und nach Maßgabe der ausdrücklichen gesetzlichen Bestimmung des § 18 Abs. 1 MeldeG grundsätzlich für jedermann verfügbar und daher als solche einem Geheimhaltungsanspruch gemäß § 1 Abs. 1 DSG nicht zugänglich, ist ihr die Rechtsprechung beider Gerichtshöfe des öffentliches Rechts entgegenzuhalten, die ein schutzwürdiges Interesse des Betroffenen an der Geheimhaltung seines Wohnortes – zumal im Verein mit der Nennung weiterer personenbezogener Daten wie seines Namens oder Geburtsdatums – annehmen (vgl. VwGH 08.09.1999, 96/01/0438; VfGH 30.09.1989, B 1740/88, VfSlg. 12.166, mwN; vgl. ferner Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 1 Rz 247 (Stand 01.02.2022, rdb.at).Wenn die mitbeteiligte Partei vermeint, der private Wohnsitz einer natürlichen Person sei auf der Grundlage und nach Maßgabe der ausdrücklichen gesetzlichen Bestimmung des Paragraph 18, Absatz eins, MeldeG grundsätzlich für jedermann verfügbar und daher als solche einem Geheimhaltungsanspruch gemäß Paragraph eins, Absatz eins, DSG nicht zugänglich, ist ihr die Rechtsprechung beider Gerichtshöfe des öffentliches Rechts entgegenzuhalten, die ein schutzwürdiges Interesse des Betroffenen an der Geheimhaltung seines Wohnortes – zumal im Verein mit der Nennung weiterer personenbezogener Daten wie seines Namens oder Geburtsdatums – annehmen vergleiche VwGH 08.09.1999, 96/01/0438; VfGH 30.09.1989, B 1740/88, VfSlg. 12.166, mwN; vergleiche ferner Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph eins, Rz 247 (Stand 01.02.2022, rdb.at).
Entsprechend der Rechtsprechung des Europäischen Gerichtshofs (EuGH) muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Art. 7 oder Art 8 EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (EuGH 06.10.2015, C-362/14 (Schrems I), Rn 91, mwH). Diese Garantien sind umso wichtiger, wenn Daten automatisationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (EuGH 06.10.2020, in den verbundenen Rechtssachen C?511/18, C?512/18 und C?520/18, Rn 132, mwH).Entsprechend der Rechtsprechung des Europäischen Gerichtshofs (EuGH) muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Artikel 5, DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Artikel 6, DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Artikel 6, DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Artikel 7, oder Artikel 8, EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (EuGH 06.10.2015, C-362/14 (Schrems römisch eins), Rn 91, mwH). Diese Garantien sind umso wichtiger, wenn Daten automatisationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (EuGH 06.10.2020, in den verbundenen Rechtssachen C?511/18, C?512/18 und C?520/18, Rn 132, mwH).
3.2.6. Zur Rechtmäßigkeit der Datenverarbeitungen:
3.2.6.1. Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz [Art. 5 Abs. 1 lit. a], Grundsatz der Zweckbindung [Art. 5 Abs. 1 lit. b], Grundsatz der Datenminimierung [Art. 5 Abs. 1 lit. c], Grundsatz der Richtigkeit [Art. 5 Abs. 1 lit. d], Grundsatz der Speicherbegrenzung [Art. 5 Abs. 1 lit. e], Grundsatz der Integrität und Vertraulichkeit [Art. 5 Abs. 1 lit. f], Grundsatz der Rechenschaftspflicht [Art. 5 Abs. 2], vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO [Stand 01.12.2020, rdb.at]).3.2.6.1. Artikel 5, DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz ["Art". 5 Absatz eins, lit. a], Grundsatz der Zweckbindung ["Art". 5 Absatz eins, lit. b], Grundsatz der Datenminimierung ["Art". 5 Absatz eins, lit. c], Grundsatz der Richtigkeit ["Art". 5 Absatz eins, lit. d], Grundsatz der Speicherbegrenzung ["Art". 5 Absatz eins, lit. e], Grundsatz der Integrität und Vertraulichkeit ["Art". 5 Absatz eins, lit. f], Grundsatz der Rechenschaftspflicht ["Art". 5 Absatz 2 ],, vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO [Stand 01.12.2020, rdb.at]).
Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art. 5 Rz 8f; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein, Rz 76).Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Artikel 5, Rz 8f; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein, Rz 76).
3.2.6.2. Zum Vorliegen eines Erlaubnistatbestandes nach Art. 6 DSGVO 3.2.6.2. Zum Vorliegen eines Erlaubnistatbestandes nach Artikel 6, DSGVO
Im Bezug auf die Verarbeitung der privaten Wohnadresse des Beschwerdeführers im Rahmen der Protokolle über seine wöchentlichen Meldungen am Sitz der mitbeteiligten Partei wurde – neben den von ihr genannten Bestimmungen [§ 280 BDG 1979, § 55a WG 2001, § 11 Abs. 2 HDG 2014] – wie folgt erwogen: Im Bezug auf die Verarbeitung der privaten Wohnadresse des Beschwerdeführers im Rahmen der Protokolle über seine wöchentlichen Meldungen am Sitz der mitbeteiligten Partei wurde – neben den von ihr genannten Bestimmungen [§ 280 BDG 1979, Paragraph 55 a, WG 2001, Paragraph 11, Absatz 2, HDG 2014] – wie folgt erwogen:
Wie festgestellt, hat der Beschwerdeführer selbst am 27.09.2021 ein schriftliches Ansuchen an die mitbeteiligte Partei gerichtet, wonach Mitteilungen an ihn nicht an seine Dienstadresse, sondern an seine (private) Wohnadresse zu richten seien. Erst infolgedessen nahm die mitbeteiligte Partei ab Herbst 2021 die Adressierung von Mitteilungen an den Beschwerdeführer unter Verwendung seiner (privaten) Wohnadresse anstelle seiner Dienstadresse vor.
In diesem ausdrücklichen Verlangen des Beschwerdeführers ist eine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO zur Verarbeitung seiner (privaten) Wohnadresse in diesem Zusammenhang zu erblicken: In diesem ausdrücklichen Verlangen des Beschwerdeführers ist eine Einwilligung im Sinne von Artikel 6, Absatz eins, Litera a, DSGVO zur Verarbeitung seiner (privaten) Wohnadresse in diesem Zusammenhang zu erblicken:
Art. 4 Z 11 DSGVO definiert die „Einwilligung“ der betroffenen Person nunmehr als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Freiwilligkeit impliziert, dass die betroffene Person eine echte Wahl und die Kontrolle hat. Im Allgemeinen ist eine Einwilligung nicht gültig, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt (Seite 8, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679 Version 1.1 angenommen am 4. Mai 2022, [Europäischer Datenschutzausschuss – EDSA]).Artikel 4, Ziffer 11, DSGVO definiert die „Einwilligung“ der betroffenen Person nunmehr als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Freiwilligkeit impliziert, dass die betroffene Person eine echte Wahl und die Kontrolle hat. Im Allgemeinen ist eine Einwilligung nicht gültig, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt (Seite 8, Leitlinien 05 aus 2020, zur Einwilligung gemäß Verordnung 2016/679 Version 1.1 angenommen am 4. Mai 2022, [Europäischer Datenschutzausschuss – EDSA]).
Dem Erwägungsgrund 32 kann entnommen werden, dass die Einwilligung sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen sollte. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden.
Im vorliegenden Fall ist kein iSd EDSA-Leitlinien 05/2020 die Freiwilligkeit ausschließender Umstand zu Tage getreten und war das im Schreiben des Beschwerdeführers vom 27.09.2021 an die mitbeteiligte Partei gerichtete Ansuchen auch hinreichend bestimmt und unmissverständlich. Auch hat der Beschwerdeführer seine Erklärung in informierter Weise abgegeben, da ihm durch die von ihm ja gerade kritisierte Anführung seiner dienstlichen Anschrift in früheren Protokollen klar gewesen ist, wie und auf welche Weise die mitbeteiligte Partei zur Benennung des Empfängers ihrer Erledigungen Anschriften verwendet und hat er – in diesem Wissen – auf die Verwendung seiner (privaten) Wohnadresse in künftigen Protokollen expressis verbis bestanden.Im vorliegenden Fall ist kein iSd EDSA-Leitlinien 05 aus 2020, die Freiwilligkeit ausschließender Umstand zu Tage getreten und war das im Schreiben des Beschwerdeführers vom 27.09.2021 an die mitbeteiligte Partei gerichtete Ansuchen auch hinreichend bestimmt und unmissverständlich. Auch hat der Beschwerdeführer seine Erklärung in informierter Weise abgegeben, da ihm durch die von ihm ja gerade kritisierte Anführung seiner dienstlichen Anschrift in früheren Protokollen klar gewesen ist, wie und auf welche Weise die mitbeteiligte Partei zur Benennung des Empfängers ihrer Erledigungen Anschriften verwendet und hat er – in diesem Wissen – auf die Verwendung seiner (privaten) Wohnadresse in künftigen Protokollen expressis verbis bestanden.
Insoweit diese – in Anbetracht der vorliegenden Einwilligung – (private) Wohnadresse zur Adressierung von an den Beschwerdeführer gerichteten Protokollen abgefragt und verwendet wurde, war zu erwägen, dass der Beschwerdeführer im Rahmen des gegen ihn eingeleiteten Dienstenthebungsverfahrens zu den fraglichen Meldungen vor Ort gemäß § 40 Abs. 5 HDG verpflichtet wurde. Insoweit diese – in Anbetracht der vorliegenden Einwilligung – (private) Wohnadresse zur Adressierung von an den Beschwerdeführer gerichteten Protokollen abgefragt und verwendet wurde, war zu erwägen, dass der Beschwerdeführer im Rahmen des gegen ihn eingeleiteten Dienstenthebungsverfahrens zu den fraglichen Meldungen vor Ort gemäß Paragraph 40, Absatz 5, HDG verpflichtet wurde.
Gemäß Art. 6 Abs. 1 lit. c DSGVO ist eine Verarbeitung dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Nach Art. 6 Abs. 3 DSGVO bedarf es hierzu immer einer zusätzlichen rechtlichen Regelung im Unionsrecht bzw. Recht des Mitgliedsstaats, der eine rechtliche Verpflichtung zur Verarbeitung vorsieht. Die rechtliche Verpflichtung muss sich unmittelbar auf die Datenverarbeitung beziehen (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 39).Gemäß Artikel 6, Absatz eins, Litera c, DSGVO ist eine Verarbeitung dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Nach Artikel 6, Absatz 3, DSGVO bedarf es hierzu immer einer zusätzlichen rechtlichen Regelung im Unionsrecht bzw. Recht des Mitgliedsstaats, der eine rechtliche Verpflichtung zur Verarbeitung vorsieht. Die rechtliche Verpflichtung muss sich unmittelbar auf die Datenverarbeitung beziehen vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO Rz 39).
Über eine Amtshandlung iSd § 40 Abs. 5 HDG ist gemäß § 18 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG), BGBl. Nr. 51/1991 (WV), eine Niederschrift anzufertigen. Der notwendige gesetzliche Inhalt einer Niederschrift ergibt sich aus § 14 Abs. 2 AVG, wonach diese jedenfalls Ort, Zeit und Gegenstand der Amtshandlung und erforderlichenfalls eine kurze Darstellung des Standes der Sache (Z1) sowie die Bezeichnung der Behörde und die Namen des Leiters der Amtshandlung und der sonst mitwirkenden amtlichen Organe, der anwesenden Beteiligten und ihrer Vertreter sowie der etwa vernommenen Zeugen und Sachverständigen (Z 2) zu enthalten hat. Gemäß § 14 Abs. 6 AVG ist den beigezogenen Personen auf Verlangen eine Ausfertigung der Niederschrift auszufolgen oder zuzustellen. Über eine Amtshandlung iSd Paragraph 40, Absatz 5, HDG ist gemäß Paragraph 18, Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG), Bundesgesetzblatt Nr. 51 aus 1991, (WV), eine Niederschrift anzufertigen. Der notwendige gesetzliche Inhalt einer Niederschrift ergibt sich aus Paragraph 14, Absatz 2, AVG, wonach diese jedenfalls Ort, Zeit und Gegenstand der Amtshandlung und erforderlichenfalls eine kurze Darstellung des Standes der Sache (Z1) sowie die Bezeichnung der Behörde und die Namen des Leiters der Amtshandlung und der sonst mitwirkenden amtlichen Organe, der anwesenden Beteiligten und ihrer Vertreter sowie der etwa vernommenen Zeugen und Sachverständigen (Ziffer 2,) zu enthalten hat. Gemäß Paragraph 14, Absatz 6, AVG ist den beigezogenen Personen auf Verlangen eine Ausfertigung der Niederschrift auszufolgen oder zuzustellen.
Vor dem Hintergrund der §§ 14 und 18 AVG waren die gegenständlichen Protokolle gerichtet an den Beschwerdeführer insbesondere auch zur notwendigen Individualisierung seiner Person als Adressat der Ausfertigung unter Angabe seiner Adresse zu erstellen. Vor dem Hintergrund der Paragraphen 14 und 18 AVG waren die gegenständlichen Protokolle gerichtet an den Beschwerdeführer insbesondere auch zur notwendigen Individualisierung seiner Person als Adressat der Ausfertigung unter Angabe seiner Adresse zu erstellen.
Sohin kann die Verarbeitung der (privaten) Wohnadresse des Beschwerdeführers auf Art. 6 Abs. 1 lit. a und c DSGVO gestützt werden. Sohin kann die Verarbeitung der (privaten) Wohnadresse des Beschwerdeführers auf Artikel 6, Absatz eins, Litera a und c DSGVO gestützt werden.
Soweit der Beschwerdeführer im Zusammenhang mit der Adressierung der gegenständlichen Protokolle moniert, seine private Wohnadresse sei Dritten gegenüber offengelegt worden, ist anzumerken, dass es sich bei den bei den jeweiligen Amtshandlungen sowie Übergabe der fraglichen Protokolle anwesenden Personen jeweils um Bedienstete der XXXX und somit nicht um Dritte handelte (siehe hierzu Feststellungen unter Pkt. 1.2.5.).Soweit der Beschwerdeführer im Zusammenhang mit der Adressierung der gegenständlichen Protokolle moniert, seine private Wohnadresse sei Dritten gegenüber offengelegt worden, ist anzumerken, dass es sich bei den bei den jeweiligen Amtshandlungen sowie Übergabe der fraglichen Protokolle anwesenden Personen jeweils um Bedienstete der römisch 40 und somit nicht um Dritte handelte (siehe hierzu Feststellungen unter Pkt. 1.2.5.).
Nur der Vollständigkeit halber wird hierzu ergänzend auf die Büroordnung 2004 verwiesen, welche gemäß § 12 BMG die formale Behandlung der von den Bundesministerien zu besorgenden Geschäfte festlegt, und in deren § 18 Abs. 1 Z 4 bestimmt ist, dass schriftliche Erledigungen im ELAK (u.a.) Name und Adresse des Empfängers der Erledigung zu enthalten haben, wodurch sichergestellt wird, dass diese richtig zugeordnet werden können bzw. dem Empfänger zugehen. Nur der Vollständigkeit halber wird hierzu ergänzend auf die Büroordnung 2004 verwiesen, welche gemäß Paragraph 12, BMG die formale Behandlung der von den Bundesministerien zu besorgenden Geschäfte festlegt, und in deren Paragraph 18, Absatz eins, Ziffer 4, bestimmt ist, dass schriftliche Erledigungen im ELAK (u.a.) Name und Adresse des Empfängers der Erledigung zu enthalten haben, wodurch sichergestellt wird, dass diese richtig zugeordnet werden können bzw. dem Empfänger zugehen.
3.2.7. Zur Einhaltung der allgemeinen Verarbeitungsgrundsätze nach Art. 5 DSGVO:3.2.7. Zur Einhaltung der allgemeinen Verarbeitungsgrundsätze nach Artikel 5, DSGVO:
Der Beschwerdeführer bringt vor, die Datenverarbeitung sei auch deswegen rechtswidrig, weil die mitbeteiligte Partei das „Need to know“-Prinzip des Art. 5 Abs. 1 DSGVO nicht eingehalten habe. Der Beschwerdeführer bringt vor, die Datenverarbeitung sei auch deswegen rechtswidrig, weil die mitbeteiligte Partei das „Need to know“-Prinzip des Artikel 5, Absatz eins, DSGVO nicht eingehalten habe.
Der EuGH führte mehrfach aus, dass eine Verarbeitung nur jene Daten enthalten darf, die auch erforderlich sind, und sich grundsätzlich auf das absolut Notwendige beschränken muss (EuGH 09.11.2010, C-92/09 und C-93/09 (Schecke) Rz 86; 07.11.2013, C-473/12 (IPI) Rz 39; 11.12.2014, C-212/13 (Ryneš) Rz 28). Dabei sind auch Alternativen zu erwägen und bei gleichem Effekt einer Datenverarbeitung mit anderen analogen Maßnahmen, eine solche zu wählen.
Vor dem Hintergrund des bereits zu den Erlaubnistatbestanden nach Art. 6 Abs. 1 lit. a und c DSGVO Ausgeführten kann entgegen der Ansicht des Beschwerdeführers jedoch nicht angenommen werden, dass die mitbeteiligte Partei durch Verarbeitung seiner Wohnadresse die allgemeinen Verarbeitungsgrundsätze nach Art. 5 DSGVO – insbesondere den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO, wonach eine Verarbeitung dem Zweck angemessen und zu diesem erforderlich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss – verletzt hat:Vor dem Hintergrund des bereits zu den Erlaubnistatbestanden nach Artikel 6, Absatz eins, Litera a und c DSGVO Ausgeführten kann entgegen der Ansicht des Beschwerdeführers jedoch nicht angenommen werden, dass die mitbeteiligte Partei durch Verarbeitung seiner Wohnadresse die allgemeinen Verarbeitungsgrundsätze nach Artikel 5, DSGVO – insbesondere den Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera c, DSGVO, wonach eine Verarbeitung dem Zweck angemessen und zu diesem erforderlich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss – verletzt hat:
Zwar ist eine Erforderlichkeit der Verarbeitung der personenbezogenen Daten nicht gegeben, wenn das berechtigte Interesse an der Verarbeitung der Daten in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen. Die Voraussetzung der Erforderlichkeit der Datenverarbeitung ist gemeinsam mit dem Grundsatz der „Datenminimierung“ zu prüfen, der in Art 5 Abs 1 lit c DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind (EuGH 04.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, Rz 42 f).Zwar ist eine Erforderlichkeit der Verarbeitung der personenbezogenen Daten nicht gegeben, wenn das berechtigte Interesse an der Verarbeitung der Daten in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Artikel 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen. Die Voraussetzung der Erforderlichkeit der Datenverarbeitung ist gemeinsam mit dem Grundsatz der „Datenminimierung“ zu prüfen, der in Artikel 5, Absatz eins, Litera c, DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind (EuGH 04.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, Rz 42 f).
§ 1 Abs. 2 DSG letzter Satz ordnet diesem Grundsatz entsprechend an, dass jeder Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 [Stand 12.6.2018], rdb.at). Die Verarbeitung personenbezogener Daten soll auf das Unvermeidbare reduziert werden. Dadurch wird sichergestellt, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird (vgl. OGH 22.12.2021, 6 Ob 214/21w, unter Hinweis auf Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO Rz 21 und 34). Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind. Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art. 5 DSGVO Rz 34ff. [Stand 7.5.2020], rdb.at).Paragraph eins, Absatz 2, DSG letzter Satz ordnet diesem Grundsatz entsprechend an, dass jeder Eingriff in das Grundrecht auf Datenschutz jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden darf (Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG Paragraph eins, [Stand 12.6.2018], rdb.at). Die Verarbeitung personenbezogener Daten soll auf das Unvermeidbare reduziert werden. Dadurch wird sichergestellt, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird vergleiche OGH 22.12.2021, 6 Ob 214/21w, unter Hinweis auf Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO Rz 21 und 34). Daten sind erheblich, wenn sie für die Zweckerreichung förderlich, also im Sinne der grundrechtlichen Verhältnismäßigkeitsdogmatik geeignet sind. Kann man sich hingegen die Verarbeitung bestimmter Daten wegdenken, ohne dass die Zweckerreichung erschwert wird, dann sind diese nicht erheblich (Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO Rz 34ff. [Stand 7.5.2020], rdb.at).
Wie bereits dargelegt, erfolgte die Anführung der Wohnadresse des Beschwerdeführers auf den Protokollen in Anbetracht der Bestimmungen §§ 14 und 18 AVG und vor dem Hintergrund, dass gemäß § 18 Abs. 1 Z 4 der Büroordnung schriftliche Erledigungen im ELAK (u.a.) Name und Adresse des Empfängers der Erledigung zu enthalten haben. Auf dieser Grundlage führt die mitbeteiligte Partei auf Erledigungen entweder die Dienstadresse oder die Privatadresse des Empfängers an, wobei der Beschwerdeführer die Anführung letzterer ja – wie ausgeführt – ausdrücklich verlangt hat. Den somit legitimen Zweck der Datenverarbeitung konnte die mitbeteiligte Partei nicht in zumutbarer Weise durch andere Mittel erreichen. Bereits daraus ergibt sich aber deren Vereinbarkeit auch mit dem Grundsatz der Datenminimierung gemäß Art 5 Abs. 1 lit. c DSGVO (siehe dazu Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Art. 5 Rn. 29). Wie bereits dargelegt, erfolgte die Anführung der Wohnadresse des Beschwerdeführers auf den Protokollen in Anbetracht der Bestimmungen Paragraphen 14 und 18 AVG und vor dem Hintergrund, dass gemäß Paragraph 18, Absatz eins, Ziffer 4, der Büroordnung schriftliche Erledigungen im ELAK (u.a.) Name und Adresse des Empfängers der Erledigung zu enthalten haben. Auf dieser Grundlage führt die mitbeteiligte Partei auf Erledigungen entweder die Dienstadresse oder die Privatadresse des Empfängers an, wobei der Beschwerdeführer die Anführung letzterer ja – wie ausgeführt – ausdrücklich verlangt hat. Den somit legitimen Zweck der Datenverarbeitung konnte die mitbeteiligte Partei nicht in zumutbarer Weise durch andere Mittel erreichen. Bereits daraus ergibt sich aber deren Vereinbarkeit auch mit dem Grundsatz der Datenminimierung gemäß Artikel 5, Absatz eins, Litera c, DSGVO (siehe dazu Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Artikel 5, Rn. 29).
Dass die übrigen in Art. 5 Abs. 1 lit. a bis f DSGVO angeführten Grundsätze der Datenverarbeitung nicht ebenso erfüllt werden, hat der Beschwerdeführer mit seinem pauschalen Vorbringen, es würde das „Need-to-Know-Prinzip“ nicht eingehalten, da die Verarbeitung seiner Privatadresse nicht „notwendig“ sei, nicht hinreichend substantiiert vorgebracht und haben sich dafür im gesamten Verfahren auch sonst keine Anhaltspunkte ergeben.Dass die übrigen in Artikel 5, Absatz eins, Litera a bis f DSGVO angeführten Grundsätze der Datenverarbeitung nicht ebenso erfüllt werden, hat der Beschwerdeführer mit seinem pauschalen Vorbringen, es würde das „Need-to-Know-Prinzip“ nicht eingehalten, da die Verarbeitung seiner Privatadresse nicht „notwendig“ sei, nicht hinreichend substantiiert vorgebracht und haben sich dafür im gesamten Verfahren auch sonst keine Anhaltspunkte ergeben.
Die fragliche Datenverarbeitung erweist sich in einer Zusammenschau daher insgesamt als rechtmäßig. Für eine Verletzung des Rechts auf Geheimhaltung gemäß § 1 DSG verbleibt bei diesem Ergebnis kein Raum.Die fragliche Datenverarbeitung erweist sich in einer Zusammenschau daher insgesamt als rechtmäßig. Für eine Verletzung des Rechts auf Geheimhaltung gemäß Paragraph eins, DSG verbleibt bei diesem Ergebnis kein Raum.
Bei diesem Ergebnis ist auch nicht von Belang, ob und wie viele Mitarbeiter im Bereich der mitbeteiligten Partei die auf den Protokollen angeführte (private) Wohnadresse des Beschwerdeführers hierdurch einsehen konnten, wobei ohnehin keine Anhaltspunkte im Verfahren hervorkamen, dass sie (hierdurch) unberechtigten Dritten offengelegt worden ist oder allenfalls berechtigte Mitarbeiter der mitbeteiligten Partei auf diese ohne dienstliche Veranlassung zugegriffen hätten. Derartiges hat der Beschwerdeführer auch nicht behauptet.
Vor diesem Hintergrund war die Datenschutzbeschwerde des Beschwerdeführers vom 25.07.2023 abzuweisen und daher spruchgemäß zu entscheiden.
3.2.8. Abschließend bleibt anzumerken, dass von der gegenständlichen Beschwerde des Beschwerdeführers vom 28.01.2024 wegen Verletzung der Entscheidungspflicht ausdrücklich nur seine Datenschutzbeschwerde vom 25.07.2023 umfasst war, nicht aber auch jene vom 05.08.2023. Im Hinblick auf den Verfahrensgegenstand des gegenständlichen verwaltungsgerichtlichen Verfahrens, der sich in einem antragsgebundenen Verfahren, wie vorliegend der Fall, aus dem verfahrenseinleitenden Antrag ergibt, gilt dies ungeachtet der Tatsache, dass die beiden Eingaben vom 25.07.2023 und vom 05.08.2023 schon aufgrund ihres sachlichen und persönlichen Zusammenhanges von der belangten Behörde gemeinsam zur Zl. D124.1838/23 protokolliert wurden. Sofern zwischenzeitlich kein Bescheid in der Sache ergangen ist, ist die Datenschutzbeschwerde vom 05.08.2023 daher weiterhin als unerledigt anzusehen.
3.3. Zum Entfall der Verhandlung:
Auf die Durchführung einer Verhandlung kann gemäß § 24 Abs. 4 VwGVG verzichtet werden, soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist, und ungeachtet eines Parteiantrags, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen. Auf die Durchführung einer Verhandlung kann gemäß Paragraph 24, Absatz 4, VwGVG verzichtet werden, soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist, und ungeachtet eines Parteiantrags, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Artikel 47, der Charta der Grundrechte der Europäischen Union entgegenstehen.
Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden und hat das Verwaltungsgericht die Entscheidung nicht auf Umstände stützt, die nicht Gegenstand des Verwaltungsverfahrens (VwGH 16.03.2016, Ra 2014/05/0038) waren. Auch waren ergänzende Ermittlungen nicht notwendig (VwGH 01.03.2018, Ra 2017/19/0410).
In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Art 6 Abs. 1 EMRK und Art 47 der Charta der Grundrechte der Europäischen Union nicht entgegen.In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Artikel 6, Absatz eins, EMRK und Artikel 47, der Charta der Grundrechte der Europäischen Union nicht entgegen.
Da es sich bei der hier gegenständlichen Frage, ob betreffend die in Beschwerdegezogene Datenverarbeitung eine gesetzliche Grundlage vorliege, ausschließlich um eine reine Rechtsfrage handelte, bestehen auch unter dem Gesichtspunkt des Art. 6 MRK keine Bedenken, wenn das diese Frage ohne Durchführung einer Verhandlung beurteilt wird (vgl. VwGH vom 15.10.2025, Ra 2025/03/0093; VwGH 22.06.2017, Ra 2017/11/0077, mit Verweis auf die hg. Vorjudikatur und insbesondere auf das Urteil des EGMR vom 18.07.2013, Nr. 56422/09, Schädler-Eberle gegen Liechtenstein).Da es sich bei der hier gegenständlichen Frage, ob betreffend die in Beschwerdegezogene Datenverarbeitung eine gesetzliche Grundlage vorliege, ausschließlich um eine reine Rechtsfrage handelte, bestehen auch unter dem Gesichtspunkt des Artikel 6, MRK keine Bedenken, wenn das diese Frage ohne Durchführung einer Verhandlung beurteilt wird vergleiche VwGH vom 15.10.2025, Ra 2025/03/0093; VwGH 22.06.2017, Ra 2017/11/0077, mit Verweis auf die hg. Vorjudikatur und insbesondere auf das Urteil des EGMR vom 18.07.2013, Nr. 56422/09, Schädler-Eberle gegen Liechtenstein).
3.5. Zu B) Unzulässigkeit der Revision:
Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen.
Eine im Einzelfall vorgenommene rechtliche Beurteilung kann - worauf das Verwaltungsgericht bereits zutreffend verwiesen hat - nur dann die Zulässigkeit einer Revision begründen, wenn dies wegen einer krassen Fehlbeurteilung der einzelfallbezogenen Umstände durch das Verwaltungsgericht aus Gründen der Rechtssicherheit geboten ist (vgl. etwa VwGH 25.6.2024, Ra 2021/04/0098, Rn. 14, oder VwGH 24.5.2022, Ra 2020/04/0008, Rn. 22).Eine im Einzelfall vorgenommene rechtliche Beurteilung kann - worauf das Verwaltungsgericht bereits zutreffend verwiesen hat - nur dann die Zulässigkeit einer Revision begründen, wenn dies wegen einer krassen Fehlbeurteilung der einzelfallbezogenen Umstände durch das Verwaltungsgericht aus Gründen der Rechtssicherheit geboten ist vergleiche etwa VwGH 25.6.2024, Ra 2021/04/0098, Rn. 14, oder VwGH 24.5.2022, Ra 2020/04/0008, Rn. 22).
Schlagworte
Bundesheer Datenabfragen Datenminimierung Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Dienstenthebung Einwilligung Entscheidungsfrist Erforderlichkeit Geheimhaltung Interessenabwägung personenbezogene Daten rechtliche Verpflichtung Säumnisbeschwerde Verantwortlicher Verletzung der Entscheidungspflicht WohnortEuropean Case Law Identifier (ECLI)
ECLI:AT:BVWG:2026:W605.2291721.1.00Im RIS seit
23.06.2026Zuletzt aktualisiert am
23.06.2026
