Norm
DSG §1 Abs1Text
GZ: 2025-0.960.016 vom 20. März 2026 (Verfahrenszahl: DSB-D124.2107/25)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dipl. Ing. Michael A*** (beschwerdeführende Partei) vom 1. August 2025 gegen die N*** Österreich AG (beschwerdegegnerische Partei), vertreten durch RA Dr. Udo B***, wegen Verletzung im Recht auf Geheimhaltung wie folgt:
Rechtsgrundlagen: Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 1, 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF; §§ 36 Abs. 1 Z 3 und 96 Abs. 1 Arbeitsverfassungsgesetz (ArbVG), BGBl. Nr. 22/1974 idgF.Rechtsgrundlagen: Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen eins, 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF; Paragraphen 36, Absatz eins, Ziffer 3, und 96 Absatz eins, Arbeitsverfassungsgesetz (ArbVG), Bundesgesetzblatt Nr. 22 aus 1974, idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung (vgl. Hengstschläger/Leeb, AVG § 60 Rz 22). Die Datenschutzbehörde beschränkt sich daher auf eine überblicksmäßige Darstellung der für das Verfahren wesentlichen Elemente in den jeweiligen Vorbringen der Parteien.Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung vergleiche Hengstschläger/Leeb, AVG Paragraph 60, Rz 22). Die Datenschutzbehörde beschränkt sich daher auf eine überblicksmäßige Darstellung der für das Verfahren wesentlichen Elemente in den jeweiligen Vorbringen der Parteien.
1. Die beschwerdeführende Partei (im Folgenden: BF) erhob am 1. August 2025, verbessert mit Schreiben vom 2. September 2025, Beschwerde gegen die beschwerdegegnerische Partei (im Folgenden: BG) wegen einer behaupteten Verletzung im Recht auf Geheimhaltung. Die BG habe im Zuge eines Programms zur Steigerung der Personaleffizienz im Rahmen eines 360 Grad Feedbacks personenbezogene Daten der BF erhoben und deren Führungskraft zugänglich gemacht. Diese Maßnahme erfordere laut Ansicht der BF aber zwingend eine Betriebsvereinbarung, welche aber nicht vorliege, weswegen die Verarbeitung rechtswidrig sei.
2. Die BG gab dazu mit Schreiben vom 3. November 2025 eine Stellungnahme ab, in der zusammengefasst soweit verfahrensrelevant wie folgt ausgeführt wurde: die Argumentation der BF, wonach eine fehlende Betriebsvereinbarung die Unrechtmäßigkeit der Datenverarbeitung indiziere, sei falsch, da mittels einer Betriebsvereinbarung (im Folgenden: BV) die berechtigten Interessen einer Verantwortlichen lediglich konkretisiert würden und keinesfalls eine neue Rechtsgrundlage durch die BV geschaffen werden solle. Das Fehlen einer erforderlichen BV führe demzufolge auch nicht dazu, dass die Datenverarbeitung nicht mehr auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden könne. Die BG stütze die Verarbeitung der Daten der BF im konkreten Fall neben den bereits erwähnten berechtigten Interessen auch auf lit. b. leg. cit. (Vertragserfüllung). Man halte fest, dass die Frage, ob für das verfahrensgegenständliche 360 Grad Feedback eine BV notwendig gewesen wäre, eine arbeitsrechtliche Frage sei, die aber nicht im Verfahren vor der Datenschutzbehörde geklärt werden könne.2. Die BG gab dazu mit Schreiben vom 3. November 2025 eine Stellungnahme ab, in der zusammengefasst soweit verfahrensrelevant wie folgt ausgeführt wurde: die Argumentation der BF, wonach eine fehlende Betriebsvereinbarung die Unrechtmäßigkeit der Datenverarbeitung indiziere, sei falsch, da mittels einer Betriebsvereinbarung (im Folgenden: BV) die berechtigten Interessen einer Verantwortlichen lediglich konkretisiert würden und keinesfalls eine neue Rechtsgrundlage durch die BV geschaffen werden solle. Das Fehlen einer erforderlichen BV führe demzufolge auch nicht dazu, dass die Datenverarbeitung nicht mehr auf Artikel 6, Absatz eins, Litera f, DSGVO gestützt werden könne. Die BG stütze die Verarbeitung der Daten der BF im konkreten Fall neben den bereits erwähnten berechtigten Interessen auch auf Litera b, leg. cit. (Vertragserfüllung). Man halte fest, dass die Frage, ob für das verfahrensgegenständliche 360 Grad Feedback eine BV notwendig gewesen wäre, eine arbeitsrechtliche Frage sei, die aber nicht im Verfahren vor der Datenschutzbehörde geklärt werden könne.
3. Die BF äußerte sich dazu mit Stellungnahme vom 20. November 2025 und bekräftigte darin nochmals seine Rechtsansicht, dass für die verfahrensgegenständliche Datenverarbeitung zwingend eine Betriebsvereinbarung erforderlich gewesen wäre, welche aber nicht vorläge. Auch läge klar auf der Hand, dass eine Verarbeitung von personenbezogenen Daten in einem 360 Grad Feedback dem Zweck der Beurteilung von Mitarbeiter:innen dienen könne und somit eine Maßnahme im Sinne des § 96 ArbVG darstelle. Die BF hielt fest, dass sie sich nach wie vor im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG verletzt sehe.3. Die BF äußerte sich dazu mit Stellungnahme vom 20. November 2025 und bekräftigte darin nochmals seine Rechtsansicht, dass für die verfahrensgegenständliche Datenverarbeitung zwingend eine Betriebsvereinbarung erforderlich gewesen wäre, welche aber nicht vorläge. Auch läge klar auf der Hand, dass eine Verarbeitung von personenbezogenen Daten in einem 360 Grad Feedback dem Zweck der Beurteilung von Mitarbeiter:innen dienen könne und somit eine Maßnahme im Sinne des Paragraph 96, ArbVG darstelle. Die BF hielt fest, dass sie sich nach wie vor im Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG verletzt sehe.
B. Beschwerdegegenstand
Der Beschwerdegegenstand besteht daher in der Frage, ob die BG die BF durch die Verarbeitung von die BF betreffende personenbezogenen Daten im Rahmen eines 360 Grad Feedbacks im Recht auf Geheimhaltung verletzt hat.
C. Sachverhaltsfeststellungen
1. Die BF war von August 2018 bis Juni 2025 bei der BG als Angestellte tätig. Sie fungierte dort als Führungskraft im Finanzbereich und war für bis zu 5 Personen fachlich und disziplinär verantwortlich.
2. Die BG ist eine österreichische Aktiengesellschaft mit Sitz in S***. Im Unternehmen besteht neben einem Zentralbetriebsrat auch ein Angestelltenbetriebsrat, welcher für die BF zuständig war. Die BG beschäftigt in Österreich 2600 Mitarbeiter:innen.
3. Die BG hat mit dem Zentralbetriebsrat eine Rahmenbetriebsvereinbarung über die Verarbeitung von personenbezogenen Beschäftigtendaten abgeschlossen. Ebenso wurde eine Zusatzvereinbarung über die Verarbeitung personenbezogener Beschäftigtendaten in der Datenanwendung „Log***HR“ abgeschlossen. „Log***HR“ ist eine konzernweite Human Ressources (HR) Lösung zur Unterstützung betrieblicher Prozesse. Punkt 4.2. der Zusatzvereinbarung besagt, dass die im System verarbeiteten Daten in Anhang 2 beschrieben würden.
4. Die in Anhang 2 bestimmten Datenkategorien, welche in der Datenanwendung „Log***HR“ verarbeitet werden sollen, stellen sich wie folgt dar:
Abb. Anhang 2 der Zusatzvereinbarung zur Verarbeitung personenbezogener Daten der Bediensteten in der Datenanwendung „Log***HR“.
5. Im Rahmen des 360 Grad Feedback wurden bei der BF selbst sowie bei insgesamt 17 weiteren Personen (darunter die Vorgesetzte der BF, drei seiner Mitarbeiter, sowie weitere Bedienstete der BG) personenbezogene Daten zur Person der BF erhoben und weiterverarbeitet. Die personenbezogenen Daten bestanden aus der Bewertung der BF durch die oben genannten Personen in insgesamt 27 Kategorien wie beispielsweise: „berät sich mit anderen bei wichtigen Entscheidungen“ (engl: consults with others when making key decisions) oder „lenkt die Aktivitäten des Teams auf Bereiche mit hoher Priorität und vermeidet Ablenkungen“ (engl. focuses the team’s efforts on key priorities, avoids distractions). Alle Kategorien, in denen Daten erhoben wurden, beziehen sich auf eine Bewertung des (Führungs)verhaltens des BF in betrieblichen Situationen. Neben dem BF selbst hatte auch dessen Vorgesetzte Zugriff auf die Daten aus dem 360 Grad Feedback.
Abb: Auszug aus dem vom BF vorgelegten Bewertungsbogen. Insgesamt sind die Bewertungen der Feedbackgeber in neun verschiedenen Kategorien zu sehen.
6. Im Konzern der BG existiert keine spezielle Betriebsvereinbarung (als Zusatz zur Rahmenvereinbarung) für die Datenverarbeitung im Rahmen des 360 Grad Feedbacks.
7. Neben der BF wurden bzw. werden derzeit noch bei weiteren Führungskräften der BG personenbezogene Daten im Rahmen eines 360-Grad-Feedbacks erhoben und weiterverarbeitet.
Beweiswürdigung: Die Feststellungen ergeben sich aus den übereinstimmenden bzw. nicht bestrittenen Angaben der Verfahrensparteien und der somit unstrittigen Aktenlage. Die Rahmenbetriebsvereinbarung sowie die Zusatzvereinbarung zur Datenanwendung „Log***HR“ liegen dem Akt bei und werden gemeinsam mit den übrigen vorgelegten Dokumenten der Entscheidungsfindung der DSB zu Grunde gelegt. Die Feststellung zu Punkt 6 ergibt sich aus der Zusammenschau der jeweiligen Vorbringen der Verfahrensparteien, sowie aus der Tatsache, dass die BG bis zum Abschluss des gegenständlichen Verfahrens trotz gebotener Möglichkeit keine entsprechende BV vorgelegt hat. Vielmehr stützt sich die BG wie unter Punkt A dargelegt auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO oder auf die Vertragserfüllung nach lit. b. leg. cit. und somit ausdrücklich nicht auf eine entsprechende Betriebsvereinbarung. Die Feststellung zur Anzahl der Mitarbeiter:innen der BG ergibt sich aus einer amtswegigen Internetrecherche der DSB auf der Webseite der BG (https://www.n***.at/unternehmen [****], abgerufen am 29. Jänner 2026, 08:15). Die Feststellung zu C.7. ergibt sich aus der Zusammenschau der jeweiligen Vorbringen der Verfahrensparteien. So existierte zum Beispiel eine eigene Projektgruppe zur Gestaltung des 360-Grad-Feedbacks. Als Ziele wurden unter anderem die Stärkung der Unternehmenskultur durch Förderung einer Feedback Kultur innerhalb des Konzerns der BG sowie eine noch bessere Verankerung der Werte der BG innerhalb der Belegschaft angegeben. In der von der BG vorgelegten Projektbeschreibung ist außerdem ersichtlich, dass für die Abwicklung des Feedback-Prozesses ein eigenes Online-Tool geschaffen wurde, welches zwischen verschiedenen Kategorien von Bediensteten (zB. mit und ohne Personalverantwortung) unterscheiden kann. All das lässt nur den Schluss zu, dass die gegenständliche Verarbeitung bei allen Führungskräften des Unternehmens der BG (und nicht etwa nur beim BF) durchgeführt wurde. Eine Feststellung der genauen Anzahl der betroffenen Personen kann an dieser Stelle unterbleiben, da diese durch Zu- und Abgänge ständigen Änderungen unterworfen ist und darüber hinaus keinerlei Relevanz für die rechtliche Schlussfolgerung hat.Beweiswürdigung: Die Feststellungen ergeben sich aus den übereinstimmenden bzw. nicht bestrittenen Angaben der Verfahrensparteien und der somit unstrittigen Aktenlage. Die Rahmenbetriebsvereinbarung sowie die Zusatzvereinbarung zur Datenanwendung „Log***HR“ liegen dem Akt bei und werden gemeinsam mit den übrigen vorgelegten Dokumenten der Entscheidungsfindung der DSB zu Grunde gelegt. Die Feststellung zu Punkt 6 ergibt sich aus der Zusammenschau der jeweiligen Vorbringen der Verfahrensparteien, sowie aus der Tatsache, dass die BG bis zum Abschluss des gegenständlichen Verfahrens trotz gebotener Möglichkeit keine entsprechende BV vorgelegt hat. Vielmehr stützt sich die BG wie unter Punkt A dargelegt auf berechtigte Interessen nach Artikel 6, Absatz eins, Litera f, DSGVO oder auf die Vertragserfüllung nach Litera b, leg. cit. und somit ausdrücklich nicht auf eine entsprechende Betriebsvereinbarung. Die Feststellung zur Anzahl der Mitarbeiter:innen der BG ergibt sich aus einer amtswegigen Internetrecherche der DSB auf der Webseite der BG (https://www.n***.at/unternehmen [****], abgerufen am 29. Jänner 2026, 08:15). Die Feststellung zu C.7. ergibt sich aus der Zusammenschau der jeweiligen Vorbringen der Verfahrensparteien. So existierte zum Beispiel eine eigene Projektgruppe zur Gestaltung des 360-Grad-Feedbacks. Als Ziele wurden unter anderem die Stärkung der Unternehmenskultur durch Förderung einer Feedback Kultur innerhalb des Konzerns der BG sowie eine noch bessere Verankerung der Werte der BG innerhalb der Belegschaft angegeben. In der von der BG vorgelegten Projektbeschreibung ist außerdem ersichtlich, dass für die Abwicklung des Feedback-Prozesses ein eigenes Online-Tool geschaffen wurde, welches zwischen verschiedenen Kategorien von Bediensteten (zB. mit und ohne Personalverantwortung) unterscheiden kann. All das lässt nur den Schluss zu, dass die gegenständliche Verarbeitung bei allen Führungskräften des Unternehmens der BG (und nicht etwa nur beim BF) durchgeführt wurde. Eine Feststellung der genauen Anzahl der betroffenen Personen kann an dieser Stelle unterbleiben, da diese durch Zu- und Abgänge ständigen Änderungen unterworfen ist und darüber hinaus keinerlei Relevanz für die rechtliche Schlussfolgerung hat.
Die gesamte Dokumentation liegt dem Akt bei und wird von der DSB der Entscheidungsfindung zu Grunde gelegt.
D. In rechtlicher Hinsicht folgt daraus:
1. Zu Spruchpunkt 1
1.1. Allgemeine Vorbemerkung
Die Kernfrage des gegenständlichen Falls besteht in der Beurteilung, ob für die verfahrensgegenständliche Verarbeitung von personenbezogenen Daten der BF eine taugliche Rechtsgrundlage besteht. Das Vorliegen einer solchen Verarbeitung sowie deren Umfang und die Kategorien der personenbezogenen Daten sind im vorliegenden Fall ebenso unstrittig wie die Tatsache, dass keine Betriebsvereinbarung besteht, die explizit die Verarbeitung (hier konkret: die Erhebung und Übermittlung an die Führungskraft) von personenbezogenen Daten im Rahmen eines 360 Grad Feedbacks regelt.
1.2 Zum Recht auf Geheimhaltung von personenbezogenen Daten
Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Nach Paragraph eins, Absatz eins, DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen (vgl. den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind zur Auslegung des Rechts auf Geheimhaltung heranzuziehen vergleiche den Bescheid der DSB vom 31. Oktober 2018, GZ DSB-D123.076/0003-DSB/2018).
Gemäß Art. 4 Z 1 DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online -Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.Gemäß Artikel 4, Ziffer eins, DSGVO sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online -Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
Der EuGH hat in Bezug auf Art. 2 lit. a der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.“ (vgl. das Urteil des EuGH vom 20. Dezember 2017, Rs Nowak, C-434/16).Der EuGH hat in Bezug auf Artikel 2, Litera a, der Richtlinie 95/46/EG bereits festgehalten, dass dem Begriff „personenbezogene Daten“ ein weites Verständnis zugrunde liegt. Demnach ist der Begriff nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.“ vergleiche das Urteil des EuGH vom 20. Dezember 2017, Rs Nowak, C-434/16).
Die Bewertungen einer natürlichen Person hinsichtlich ihres Führungsverhaltens oder anderer Parameter im Kontext eines Arbeitsverhältnisses im Rahmen eines 360 Grad Feedbacks können problemlos unter den Begriff der personenbezogenen Daten subsumiert werden, da das Ziel eines derartigen Vorgangs ja genau darin besteht, einer bestimmten Person Feedback hinsichtlich ihres Verhaltens zu geben. Ein 360 Grad Feedback für eine nicht bekannte bzw. anonymisierte Person wäre hingegen sinnbefreit und muss somit nicht weiter in Betracht gezogen werden.
1.3 Zur Verarbeitung von personenbezogenen Daten im arbeitsrechtlichen Kontext
Art. 88 ist die zentrale Norm in der DSGVO zur Frage des Beschäftigtendatenschutzes. Dieser enthält allerdings lediglich eine Öffnungsklausel mit formellen und materiellen Vorgaben, aber keine Regelung zur Zulässigkeit der Datenverarbeitung im Beschäftigungskontext an sich (Goricnik in Knyrim, DatKomm Art 88 DSGVO, Rz 1).Artikel 88, ist die zentrale Norm in der DSGVO zur Frage des Beschäftigtendatenschutzes. Dieser enthält allerdings lediglich eine Öffnungsklausel mit formellen und materiellen Vorgaben, aber keine Regelung zur Zulässigkeit der Datenverarbeitung im Beschäftigungskontext an sich (Goricnik in Knyrim, DatKomm Artikel 88, DSGVO, Rz 1).
Die oben zitierte Norm ermöglicht es den Mitgliedsstaaten, durch Rechtsvorschriften oder Kollektivvereinbarungen spezifischere Vorschriften zum Schutz der Rechte und Freiheiten von natürlichen Personen hinsichtlich der Verarbeitung von personenbezogenen Daten im Beschäftigungskontext vorzusehen. Gemäß Abs. 2 leg. cit. haben diese Vorschriften geeignete Maßnahmen u.a. zur Wahrung der menschlichen Würde sowie der berechtigten Interessen und der Grundrechte der betroffenen Personen zu umfassen.Die oben zitierte Norm ermöglicht es den Mitgliedsstaaten, durch Rechtsvorschriften oder Kollektivvereinbarungen spezifischere Vorschriften zum Schutz der Rechte und Freiheiten von natürlichen Personen hinsichtlich der Verarbeitung von personenbezogenen Daten im Beschäftigungskontext vorzusehen. Gemäß Absatz 2, leg. cit. haben diese Vorschriften geeignete Maßnahmen u.a. zur Wahrung der menschlichen Würde sowie der berechtigten Interessen und der Grundrechte der betroffenen Personen zu umfassen.
Erwägungsgrund 155 der DSGVO nennt in diesem Zusammenhang auch ausdrücklich Betriebsvereinbarungen als Instrument für die Umsetzung von spezifischeren Vorschriften im Sinne des Art. 88 DSGVO.Erwägungsgrund 155 der DSGVO nennt in diesem Zusammenhang auch ausdrücklich Betriebsvereinbarungen als Instrument für die Umsetzung von spezifischeren Vorschriften im Sinne des Artikel 88, DSGVO.
Der österreichische Gesetzgeber ging in den Erläuterungen zum Datenschutz-Anpassungsgesetz 2018 davon aus, dass sich Regelungen zum Beschäftigtendatenschutz in arbeitsrechtlichen Vorschriften wie etwa dem Arbeitsverfassungsgesetz (ArbVG) finden sollten und nicht etwa im Datenschutzgesetz (DSG) zu treffen seien (a.a.O, Rz 5).
Im Rahmen dieser Herangehensweise wurde von der Öffnungsklausel des Art. 88 DSGVO Gebrauch gemacht und unter anderem in § 96 ArbVG im Sinne der Tradition des kollektiven Aushandelns im österreichischen Arbeitsrecht eine solche spezifischere Vorschrift zur Gewährleistung des Schutzes der personenbezogenen Daten von Beschäftigten geschaffen.Im Rahmen dieser Herangehensweise wurde von der Öffnungsklausel des Artikel 88, DSGVO Gebrauch gemacht und unter anderem in Paragraph 96, ArbVG im Sinne der Tradition des kollektiven Aushandelns im österreichischen Arbeitsrecht eine solche spezifischere Vorschrift zur Gewährleistung des Schutzes der personenbezogenen Daten von Beschäftigten geschaffen.
§ 96 ArbVG erfasst mit der betrieblichen Disziplinarordnung, den qualifizierten Personalfragebögen, den die Menschenwürde berührenden Kontrollmaßnahmen und -systemen, sowie den leistungsbezogenen Entgelten vier taxativ aufgezählte „zustimmungspflichtige Maßnahmen“, die in besonderer Weise geeignet sind, Persönlichkeitsrechte der Arbeitnehmer zu gefährden, und daher ganz grundsätzlich und zwingend nicht ohne gleichberechtigte Mitentscheidung der Arbeitnehmerschaft einseitig vom BI gesetzt werden können sollen. Das Gesetz verlangt eine Zustimmung des Betriebsrats (BR) bzw. des sonst zuständigen Belegschaftsorgans in Form einer Betriebsvereinbarung (BV) und sieht für den Fall, dass der BR die Zustimmung verweigert, weder eine Rechtskontrolle noch eine Erzwingbarkeit einer solchen BV vor (Jabornegg in Strasser/Jabornegg/Resch, ArbVG § 96, Rz 1.Paragraph 96, ArbVG erfasst mit der betrieblichen Disziplinarordnung, den qualifizierten Personalfragebögen, den die Menschenwürde berührenden Kontrollmaßnahmen und -systemen, sowie den leistungsbezogenen Entgelten vier taxativ aufgezählte „zustimmungspflichtige Maßnahmen“, die in besonderer Weise geeignet sind, Persönlichkeitsrechte der Arbeitnehmer zu gefährden, und daher ganz grundsätzlich und zwingend nicht ohne gleichberechtigte Mitentscheidung der Arbeitnehmerschaft einseitig vom BI gesetzt werden können sollen. Das Gesetz verlangt eine Zustimmung des Betriebsrats (BR) bzw. des sonst zuständigen Belegschaftsorgans in Form einer Betriebsvereinbarung (BV) und sieht für den Fall, dass der BR die Zustimmung verweigert, weder eine Rechtskontrolle noch eine Erzwingbarkeit einer solchen BV vor (Jabornegg in Strasser/Jabornegg/Resch, ArbVG Paragraph 96,, Rz 1.
D.1.4. In der Sache
Zur Arbeitnehmereigenschaft des BF
Die BF hatte im Konzern der BG zwar Führungsaufgaben, kann aber dennoch als Arbeitnehmer im Sinne des ArbVG betrachtet werden. Die Ausnahme des § 36 Abs. 2 Z 3 ArbVG kommt betreffend die BF nicht in Betracht, da er als Führungskraft eines kleinen Teams von max. 5 Personen keinen maßgeblichen Einfluss auf die Führung des Betriebs in einem Konzern mit 2600 Mitarbeiterinnen und Mitarbeitern hatte und somit nicht als leitender Angestellter iSd. ArbVG gelten kann. Als leitender Angestellter iS des Abs 2 Z 3 ist vor allem ein Arbeitnehmer anzusehen, der durch seine Position an der Seite des Arbeitgebers und durch die Ausübung von Arbeitgeberfunktionen in einen Interessengegensatz zu den anderen Arbeitnehmern gelangen kann (Mayr, Arbeitsrecht § 36 ArbVG (Stand 1.8.2024, rdb.at).Die BF hatte im Konzern der BG zwar Führungsaufgaben, kann aber dennoch als Arbeitnehmer im Sinne des ArbVG betrachtet werden. Die Ausnahme des Paragraph 36, Absatz 2, Ziffer 3, ArbVG kommt betreffend die BF nicht in Betracht, da er als Führungskraft eines kleinen Teams von max. 5 Personen keinen maßgeblichen Einfluss auf die Führung des Betriebs in einem Konzern mit 2600 Mitarbeiterinnen und Mitarbeitern hatte und somit nicht als leitender Angestellter iSd. ArbVG gelten kann. Als leitender Angestellter iS des Absatz 2, Ziffer 3, ist vor allem ein Arbeitnehmer anzusehen, der durch seine Position an der Seite des Arbeitgebers und durch die Ausübung von Arbeitgeberfunktionen in einen Interessengegensatz zu den anderen Arbeitnehmern gelangen kann (Mayr, Arbeitsrecht Paragraph 36, ArbVG (Stand 1.8.2024, rdb.at).
Nach der gefestigten Rechtsprechung des OGH steht bei der Beurteilung, ob ein Dienstnehmer ein leitender Angestellter im Sinne des ArbVG ist, der Einfluss auf die Eingehung und die Auflösung von Arbeitsverhältnissen im Vordergrund. Diese Kriterien sind dann erfüllt, wenn der Dienstnehmer die erforderlichen Arbeitskräfte selbständig aufnimmt und berechtigt ist, deren Dienstverhältnisse ebenso selbständig auch wieder zu beenden. Die Ausnahme vom Arbeitnehmerbegriff gem. § 36 Abs. 2 Z 3 ArbVG kann zudem nicht auf jede Führungskraft, die kraft ihrer Stellung die Arbeit bzw. die Arbeitszeit einteilt, Überstunden anordnet oder gar Einfluss auf Gehaltsfragen nimmt, angewendet werden (OGH vom 21. Oktober 1998, 9 ObA 109/98i bzw. 9 ObA 8/24b vom 14. Februar 2024 oder auch 9 ObA 69/21v vom 26. Juni 2021).Nach der gefestigten Rechtsprechung des OGH steht bei der Beurteilung, ob ein Dienstnehmer ein leitender Angestellter im Sinne des ArbVG ist, der Einfluss auf die Eingehung und die Auflösung von Arbeitsverhältnissen im Vordergrund. Diese Kriterien sind dann erfüllt, wenn der Dienstnehmer die erforderlichen Arbeitskräfte selbständig aufnimmt und berechtigt ist, deren Dienstverhältnisse ebenso selbständig auch wieder zu beenden. Die Ausnahme vom Arbeitnehmerbegriff gem. Paragraph 36, Absatz 2, Ziffer 3, ArbVG kann zudem nicht auf jede Führungskraft, die kraft ihrer Stellung die Arbeit bzw. die Arbeitszeit einteilt, Überstunden anordnet oder gar Einfluss auf Gehaltsfragen nimmt, angewendet werden (OGH vom 21. Oktober 1998, 9 ObA 109/98i bzw. 9 ObA 8/24b vom 14. Februar 2024 oder auch 9 ObA 69/21v vom 26. Juni 2021).
Ebenso hat der OGH ausgesprochen, dass noch nicht einmal die Befugnis eines Dienstnehmers, eine Kündigung auszusprechen, zur Qualifikation als leitender Angestellter ausreicht, wenn sich dessen sonstige Aufgaben und Kompetenzen klar vom Bild eines leitenden Angestellten unterscheiden (OGH vom 17. Mai 2000, 9 ObA 73/00a).
Aus der oben zitierten Judikatur und dem generellen Schutzcharakter, der dem Arbeitsrecht auf Grund der wirtschaftlichen Unterlegenheit und dem damit einhergehenden Verhandlungsungleichgewicht zwischen Arbeitgeber und Arbeitnehmer immanent ist, (vgl. Kietaibl, Arbeitsrecht I, 2015 9. Auflage S.4) ergibt sich zwingend, dass Ausnahmen vom Schutzbereich des Arbeitsrechts restriktiv auszulegen sind.Aus der oben zitierten Judikatur und dem generellen Schutzcharakter, der dem Arbeitsrecht auf Grund der wirtschaftlichen Unterlegenheit und dem damit einhergehenden Verhandlungsungleichgewicht zwischen Arbeitgeber und Arbeitnehmer immanent ist, vergleiche Kietaibl, Arbeitsrecht römisch eins, 2015 9. Auflage S.4) ergibt sich zwingend, dass Ausnahmen vom Schutzbereich des Arbeitsrechts restriktiv auszulegen sind.
Da im laufenden Verfahren keinerlei Hinweise zu Tage getreten sind, die eine Funktion der BF als leitender Angestellter iSd. § 36 Abs. 2 Z 3 ArbVG nahelegen bzw. dies auch von der BG nicht behauptet wurde, kommt die DSB daher an dieser Stelle beweiswürdigend zur Schlussfolgerung, dass die BF kein leitender Angestellter iSd. der oben zitierten Norm ist und somit dem Schutzbereich des ArbVG unterliegt.Da im laufenden Verfahren keinerlei Hinweise zu Tage getreten sind, die eine Funktion der BF als leitender Angestellter iSd. Paragraph 36, Absatz 2, Ziffer 3, ArbVG nahelegen bzw. dies auch von der BG nicht behauptet wurde, kommt die DSB daher an dieser Stelle beweiswürdigend zur Schlussfolgerung, dass die BF kein leitender Angestellter iSd. der oben zitierten Norm ist und somit dem Schutzbereich des ArbVG unterliegt.
Die gegenteilige Annahme wäre zudem lebensfremd, da sich daraus zwingend ergäbe, dass ein Unternehmen wie jenes der BG mit ca. 2600 Bediensteten mehrere Hundert leitende Angestellte iSd. § 36 Abs. 2 Z 3 ArbVG mit arbeitgeberähnlichen Befugnissen aufweisen müsste, wenn ein Bediensteter wie die BF, der ein kleines Team von max. 5 Bediensteten zu führen hatte, bereits als ein solcher leitender Angestellter betrachtet würde.Die gegenteilige Annahme wäre zudem lebensfremd, da sich daraus zwingend ergäbe, dass ein Unternehmen wie jenes der BG mit ca. 2600 Bediensteten mehrere Hundert leitende Angestellte iSd. Paragraph 36, Absatz 2, Ziffer 3, ArbVG mit arbeitgeberähnlichen Befugnissen aufweisen müsste, wenn ein Bediensteter wie die BF, der ein kleines Team von max. 5 Bediensteten zu führen hatte, bereits als ein solcher leitender Angestellter betrachtet würde.
Als Zwischenergebnis kann somit festgehalten werden, dass die BF kein leitender Angestellter im Sinne des § 36 Abs. 2 Z 3 ArbVG war.Als Zwischenergebnis kann somit festgehalten werden, dass die BF kein leitender Angestellter im Sinne des Paragraph 36, Absatz 2, Ziffer 3, ArbVG war.
Zur Verarbeitung der personenbezogenen Daten des BF im Rahmen des 360 Grad Feedbacks
Wie unter Punkt C. 5 festgestellt hat die BG personenbezogene Daten der BF im Rahmen eines 360 Grad Feedbacks verarbeitet. Dabei handelt es sich wie ebenfalls dargelegt um eine systematische und standardisierte Erhebung von personenbezogenen Daten von Führungskräften betreffend deren Führungsverhalten und dessen Übereinstimmen mit den Werten im Konzern der BG. Es kann an dieser Stelle daher davon ausgegangen werden, dass eine derartige Datenverarbeitung unter die Definition des § 96 Abs. 1 Z 2 ArbVG („Personalfragebögen, sofern in diesen nicht bloß die allgemeinen Angaben zur Person und Angaben über die fachlichen Voraussetzungen für die beabsichtigte Verwendung des Arbeitsnehmers enthalten sind“) fällt (vgl. dazu Knyrim in DaKo 3/2025 S. 53) und somit im Sinne der zitierten Norm einer zwingenden Zustimmung des Betriebsrats bedarf.Wie unter Punkt C. 5 festgestellt hat die BG personenbezogene Daten der BF im Rahmen eines 360 Grad Feedbacks verarbeitet. Dabei handelt es sich wie ebenfalls dargelegt um eine systematische und standardisierte Erhebung von personenbezogenen Daten von Führungskräften betreffend deren Führungsverhalten und dessen Übereinstimmen mit den Werten im Konzern der BG. Es kann an dieser Stelle daher davon ausgegangen werden, dass eine derartige Datenverarbeitung unter die Definition des Paragraph 96, Absatz eins, Ziffer 2, ArbVG („Personalfragebögen, sofern in diesen nicht bloß die allgemeinen Angaben zur Person und Angaben über die fachlichen Voraussetzungen für die beabsichtigte Verwendung des Arbeitsnehmers enthalten sind“) fällt vergleiche dazu Knyrim in DaKo 3 aus 2025, S. 53) und somit im Sinne der zitierten Norm einer zwingenden Zustimmung des Betriebsrats bedarf.
Denkbar ist aber auch eine Subsumption unter Z 3 leg. cit., wonach „Kontrollmaßnahmen […] sofern diese die Menschenwürde berühren“, ebenfalls der Zustimmung des Betriebsrats bedürfen. Wie die Berliner Beauftragte für den Datenschutz und die Informationsfreiheit festgestellt hat, kann die Durchführung von 360-Grad-Feedbacks in einem Unternehmen einen permanenten Überwachungsdruck und Stress auslösen, da eine betroffene Person auch bei Begegnungen mit anderen Bediensteten jederzeit damit rechnen muss, dass ihr Verhalten Auswirkungen auf die nächste Bewertung hat. (vgl. Jahresbericht der Berliner Beauftragten für Datenschutz und Informationsfreiheit zum 31. Dezember 2020, S. 123 f). Der OGH hielt in seiner Entscheidung vom 27. November 2019 (6 Ob 150/19f) fest, dass der Überwachungsdruck, den eine Person empfindet, wenn sie den Eindruck hat, dass sie jederzeit überwacht werden kann, einen schwerwiegenden Eingriff in die Privatsphäre sowie das Persönlichkeitsrecht nach § 16 ABGB darstellt. In diesem Zusammenhang ist auch zu erwähnen, dass die Berliner Beauftragte für Datenschutz im Anlassfall konkrete Maßnahmen vorgeschlagen hat, um die Rechte und Freiheiten betroffener Personen besser zu schützen. So wurde beispielsweise die Anzahl der Feedbackgeber auf 3 Personen reduziert und den betroffenen Personen auch ein Vorschlags- bzw. ein Vetorecht betreffend die Feedbackgeber eingeräumt. Die BG hat im gegenständlichen Fall allerdings keine vergleichbaren Maßnahmen ergriffen.Denkbar ist aber auch eine Subsumption unter Ziffer 3, leg. cit., wonach „Kontrollmaßnahmen […] sofern diese die Menschenwürde berühren“, ebenfalls der Zustimmung des Betriebsrats bedürfen. Wie die Berliner Beauftragte für den Datenschutz und die Informationsfreiheit festgestellt hat, kann die Durchführung von 360-Grad-Feedbacks in einem Unternehmen einen permanenten Überwachungsdruck und Stress auslösen, da eine betroffene Person auch bei Begegnungen mit anderen Bediensteten jederzeit damit rechnen muss, dass ihr Verhalten Auswirkungen auf die nächste Bewertung hat. vergleiche Jahresbericht der Berliner Beauftragten für Datenschutz und Informationsfreiheit zum 31. Dezember 2020, S. 123 f). Der OGH hielt in seiner Entscheidung vom 27. November 2019 (6 Ob 150/19f) fest, dass der Überwachungsdruck, den eine Person empfindet, wenn sie den Eindruck hat, dass sie jederzeit überwacht werden kann, einen schwerwiegenden Eingriff in die Privatsphäre sowie das Persönlichkeitsrecht nach Paragraph 16, ABGB darstellt. In diesem Zusammenhang ist auch zu erwähnen, dass die Berliner Beauftragte für Datenschutz im Anlassfall konkrete Maßnahmen vorgeschlagen hat, um die Rechte und Freiheiten betroffener Personen besser zu schützen. So wurde beispielsweise die Anzahl der Feedbackgeber auf 3 Personen reduziert und den betroffenen Personen auch ein Vorschlags- bzw. ein Vetorecht betreffend die Feedbackgeber eingeräumt. Die BG hat im gegenständlichen Fall allerdings keine vergleichbaren Maßnahmen ergriffen.
Im Lichte der oben dargelegten Erwägungen ist daher an dieser Stelle festzuhalten, dass die verfahrensgegenständliche Datenverarbeitung im Rahmen eines 360-Grad-Feedbacks unter § 96 Abs 1 Z 2 und Z 3 ArbVG fällt.Im Lichte der oben dargelegten Erwägungen ist daher an dieser Stelle festzuhalten, dass die verfahrensgegenständliche Datenverarbeitung im Rahmen eines 360-Grad-Feedbacks unter Paragraph 96, Absatz eins, Ziffer 2 und Ziffer 3, ArbVG fällt.
Wie unter Punkt C.4 festgestellt enthält die Betriebsvereinbarung der BG für die Datenanwendung „Log***HR“ in welcher die Datenverarbeitungen im Bereich Human Resources durchgeführt werden, keinerlei Hinweise auf ein 360 Grad Feedback oder auf die Datenkategorien, die in einem solchen typischerweise erhoben werden bzw. im konkreten Fall von der BG auch tatsächlich erhoben wurden. Auch eine Zusammenschau mit den Ergebnissen aus der Auswertung des 360 Grad Feedbacks der BF lässt keinerlei Übereinstimmung mit den in der Betriebsvereinbarung vereinbarten Datenkategorien erkennen.
Als Zwischenergebnis kann also festgehalten werden, dass die verfahrensgegenständliche Datenverarbeitung nicht auf eine Betriebsvereinbarung iSd. Art. 88 Abs. 1 DSGVO iVm § 96 ArbVG gestützt werden kann, da eine solche nicht existiert.Als Zwischenergebnis kann also festgehalten werden, dass die verfahrensgegenständliche Datenverarbeitung nicht auf eine Betriebsvereinbarung iSd. Artikel 88, Absatz eins, DSGVO in Verbindung mit Paragraph 96, ArbVG gestützt werden kann, da eine solche nicht existiert.
In diesem Kontext ist der Argumentation der BG, dass das Fehlen einer Betriebsvereinbarung nicht zwangsläufig die Rechtswidrigkeit der Datenverarbeitung indiziere und man die Datenverarbeitung diesfalls noch auf die berechtigten Interessen einer Verantwortlichen gem. Art. 6 Abs. 1 lit. f DSGVO stützen könne, wie folgt entgegen zu halten: Dies mag in Konstellationen, wo der Abschluss einer Betriebsvereinbarung keine zwingende rechtliche Voraussetzung darstellt, so sein, ist aber für den vorliegenden Fall unbeachtlich, da hier nämlich gerade gem. § 96 Abs. 1 Z 2 und Z 3 ArbVG zwingend die Zustimmung des Betriebsrats für die Rechtswirksamkeit der Maßnahme einzuholen ist. Wie wichtig dem nationalen Gesetzgeber die Mitbestimmung der Arbeitnehmerschaft im Rahmen einer solchen Datenverarbeitung ist, lässt sich an der Tatsache ermessen, dass die Zustimmung zu den in § 96 ArbVG aufgezählten Maßnahmen nicht einmal gerichtlich erzwungen werden kann (maW: ohne Zustimmung des Betriebsrats in Form einer gültigen Betriebsvereinbarung ist eine Maßnahme gem. Abs. 1 Z 2 oder Z 3 leg. cit. nicht rechtskonform durchführbar).In diesem Kontext ist der Argumentation der BG, dass das Fehlen einer Betriebsvereinbarung nicht zwangsläufig die Rechtswidrigkeit der Datenverarbeitung indiziere und man die Datenverarbeitung diesfalls noch auf die berechtigten Interessen einer Verantwortlichen gem. Artikel 6, Absatz eins, Litera f, DSGVO stützen könne, wie folgt entgegen zu halten: Dies mag in Konstellationen, wo der Abschluss einer Betriebsvereinbarung keine zwingende rechtliche Voraussetzung darstellt, so sein, ist aber für den vorliegenden Fall unbeachtlich, da hier nämlich gerade gem. Paragraph 96, Absatz eins, Ziffer 2 und Ziffer 3, ArbVG zwingend die Zustimmung des Betriebsrats für die Rechtswirksamkeit der Maßnahme einzuholen ist. Wie wichtig dem nationalen Gesetzgeber die Mitbestimmung der Arbeitnehmerschaft im Rahmen einer solchen Datenverarbeitung ist, lässt sich an der Tatsache ermessen, dass die Zustimmung zu den in Paragraph 96, ArbVG aufgezählten Maßnahmen nicht einmal gerichtlich erzwungen werden kann (maW: ohne Zustimmung des Betriebsrats in Form einer gültigen Betriebsvereinbarung ist eine Maßnahme gem. Absatz eins, Ziffer 2, oder Ziffer 3, leg. cit. nicht rechtskonform durchführbar).
Für die oben dargelegte Rechtsansicht spricht auch ein Urteil des deutschen Bundesarbeitsgerichts, in dem festgestellt wurde, dass ein Verantwortlicher gegen die DSGVO verstoßen hat, indem er von einer BV nicht erfasste personenbezogene Daten dennoch verarbeitet hat (vgl. dazu das Urteil des Bundesarbeitsgerichts vom 8. Mai 2025, 8 AZR 209/21). Somit muss nach einem Größenschluss umso mehr ein Verstoß gegen die DSGVO vorliegen, wenn statt einer nicht ausreichenden BV gar keine BV vorhanden ist.Für die oben dargelegte Rechtsansicht spricht auch ein Urteil des deutschen Bundesarbeitsgerichts, in dem festgestellt wurde, dass ein Verantwortlicher gegen die DSGVO verstoßen hat, indem er von einer BV nicht erfasste personenbezogene Daten dennoch verarbeitet hat vergleiche dazu das Urteil des Bundesarbeitsgerichts vom 8. Mai 2025, 8 AZR 209/21). Somit muss nach einem Größenschluss umso mehr ein Verstoß gegen die DSGVO vorliegen, wenn statt einer nicht ausreichenden BV gar keine BV vorhanden ist.
Insoweit die BG die gegenständliche Datenverarbeitung auf ihre berechtigten Interessen gem. Art. 6 Abs. 1 lit. f DSGVO zu stützen versucht, ist außerdem wie folgt festzuhalten: nach der Judikatur des EuGH ist die Verarbeitung auf der Rechtsgrundlage „berechtigte Interessen“ unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. in Bezug auf die Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).Insoweit die BG die gegenständliche Datenverarbeitung auf ihre berechtigten Interessen gem. Artikel 6, Absatz eins, Litera f, DSGVO zu stützen versucht, ist außerdem wie folgt festzuhalten: nach der Judikatur des EuGH ist die Verarbeitung auf der Rechtsgrundlage „berechtigte Interessen“ unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche in Bezug auf die Richtlinie 95/46/EG das Urteil des EuGH vom 11. Dezember 2019, C-708/18 [TK] Rz 40 mwN).
Im vorliegenden Fall scheitert der Verweis der BG auf Art. 6 Abs. 1 lit. f DSGVO allerdings bereits am ersten Kriterium, nämlich der Wahrung eines berechtigten Interesses.Im vorliegenden Fall scheitert der Verweis der BG auf Artikel 6, Absatz eins, Litera f, DSGVO allerdings bereits am ersten Kriterium, nämlich der Wahrung eines berechtigten Interesses.
Wiewohl die Themen Personalsteuerung und Verbesserung der Leistung der Bediensteten eines Unternehmens auf einer allgemeinen Ebene als legitimes Interesse betrachtet werden können, ist dies in der konkreten Ausprägung des gegenständlichen Falles jedoch zu verneinen, da laut den Richtlinien des Europäischen Datenschutzausschusses zu den berechtigten Interessen ausdrücklich festgehalten wird, dass die Interessen „rechtmäßig, d.h. nicht in Widerspruch zum Unionsrecht oder dem Recht der Mitgliedsstaaten“ sein müssen (im englischen Original: „the interest is lawful, i.e. not contrary to EU or Member State law, vgl. EDBP Guidelines Nr. 1/2024, Rz 17). Somit kann eine Verarbeitung, welche gegen geltendes Recht verstößt, niemals ein berechtigtes Interesse iSd. Art. 6 Abs. 1 lit. f DSGVO darstellen. Wie oben festgehalten, hätte die verfahrensgegenständliche Datenverarbeitung zwingend der Zustimmung des Betriebsrats bedurft, welche allerdings zu keiner Zeit vorgelegen ist. Nur der Vollständigkeit halber wird an dieser Stelle angemerkt, dass auch die Prüfung des zweiten Kriteriums - nämlich der Erforderlichkeit der Datenverarbeitung - an der Hürde der Gesetzmäßigkeit gescheitert wäre, da eine Datenverarbeitung, die gegen geltendes Recht verstößt, denkunmöglich als „erforderlich“ bezeichnet werden kann. Eine Abwägung der legitimen Interessen der BG mit den Grundrechten der BF war daher an dieser Stelle nicht mehr vorzunehmen, hätte aber ebenfalls zu keinem anderen Ergebnis geführt, da das Grundrecht auf Datenschutz gem. § 1 Abs. 1 DSG jederzeit höher zu gewichten gewesen wäre, als eine Verarbeitung, die nicht den geltenden nationalen Gesetzen entspricht.Wiewohl die Themen Personalsteuerung und Verbesserung der Leistung der Bediensteten eines Unternehmens auf einer allgemeinen Ebene als legitimes Interesse betrachtet werden können, ist dies in der konkreten Ausprägung des gegenständlichen Falles jedoch zu verneinen, da laut den Richtlinien des Europäischen Datenschutzausschusses zu den berechtigten Interessen ausdrücklich festgehalten wird, dass die Interessen „rechtmäßig, d.h. nicht in Widerspruch zum Unionsrecht oder dem Recht der Mitgliedsstaaten“ sein müssen (im englischen Original: „the interest is lawful, i.e. not contrary to EU or Member State law, vergleiche EDBP Guidelines Nr. 1 aus 2024,, Rz 17). Somit kann eine Verarbeitung, welche gegen geltendes Recht verstößt, niemals ein berechtigtes Interesse iSd. Artikel 6, Absatz eins, Litera f, DSGVO darstellen. Wie oben festgehalten, hätte die verfahrensgegenständliche Datenverarbeitung zwingend der Zustimmung des Betriebsrats bedurft, welche allerdings zu keiner Zeit vorgelegen ist. Nur der Vollständigkeit halber wird an dieser Stelle angemerkt, dass auch die Prüfung des zweiten Kriteriums - nämlich der Erforderlichkeit der Datenverarbeitung - an der Hürde der Gesetzmäßigkeit gescheitert wäre, da eine Datenverarbeitung, die gegen geltendes Recht verstößt, denkunmöglich als „erforderlich“ bezeichnet werden kann. Eine Abwägung der legitimen Interessen der BG mit den Grundrechten der BF war daher an dieser Stelle nicht mehr vorzunehmen, hätte aber ebenfalls zu keinem anderen Ergebnis geführt, da das Grundrecht auf Datenschutz gem. Paragraph eins, Absatz eins, DSG jederzeit höher zu gewichten gewesen wäre, als eine Verarbeitung, die nicht den geltenden nationalen Gesetzen entspricht.
Aus den oben angeführten Gründen bzw. den Ausführungen zur nicht gegebenen Erforderlichkeit kann die Verarbeitung auch nicht durch die Vertragserfüllung gem. Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt werden. Abgesehen von der bereits erwähnten Tatsache, dass eine Maßnahme, die gegen geltendes nationales Recht verstößt, nicht als „erforderlich“ betrachtet werden kann, ist auch nicht ersichtlich, inwiefern der Arbeitsvertrag zwischen den Verfahrensparteien nicht ohne die Durchführung eines 360 Grad Feedbacks erfüllt werden könnte. Dies ist allein schon daran ersichtlich, dass eine solche Maßnahme nicht bei allen Angestellten der BG durchgeführt wird und somit als optional aber keineswegs als notwendig zu betrachten ist. Aus den oben angeführten Gründen bzw. den Ausführungen zur nicht gegebenen Erforderlichkeit kann die Verarbeitung auch nicht durch die Vertragserfüllung gem. Artikel 6, Absatz eins, Litera b, DSGVO gerechtfertigt werden. Abgesehen von der bereits erwähnten Tatsache, dass eine Maßnahme, die gegen geltendes nationales Recht verstößt, nicht als „erforderlich“ betrachtet werden kann, ist auch nicht ersichtlich, inwiefern der Arbeitsvertrag zwischen den Verfahrensparteien nicht ohne die Durchführung eines 360 Grad Feedbacks erfüllt werden könnte. Dies ist allein schon daran ersichtlich, dass eine solche Maßnahme nicht bei allen Angestellten der BG durchgeführt wird und somit als optional aber keineswegs als notwendig zu betrachten ist.
Zusammenfassend ist daher an dieser Stelle festzuhalten, dass die verfahrensgegenständliche Datenverarbeitung weder auf eine gültige Betriebsvereinbarung im Sinne des § 96 ArbVG noch auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO gestützt werden kann und sich somit als unrechtmäßig erweist.Zusammenfassend ist daher an dieser Stelle festzuhalten, dass die verfahrensgegenständliche Datenverarbeitung weder auf eine gültige Betriebsvereinbarung im Sinne des Paragraph 96, ArbVG noch auf Artikel 6, Absatz eins, Litera b, oder Litera f, DSGVO gestützt werden kann und sich somit als unrechtmäßig erweist.
Der Beschwerde war daher in diesem Punkt spruchgemäß stattzugeben.
D.2. Zu Spruchpunkt 2
Der Leistungsauftrag stützt sich auf Art. 58 Abs. 2 lit. f DSGVO, wonach eine Aufsichtsbehörde die Befugnis hat, eine vorübergehende oder endgültige Beschränkung einer Verarbeitung, einschließlich eines Verbots zu verhängen.Der Leistungsauftrag stützt sich auf Artikel 58, Absatz 2, Litera f, DSGVO, wonach eine Aufsichtsbehörde die Befugnis hat, eine vorübergehende oder endgültige Beschränkung einer Verarbeitung, einschließlich eines Verbots zu verhängen.
Der EuGH hat in seinem Urteil vom 14. März 2024 festgehalten, dass es Sache der Aufsichtsbehörde ist, das geeignete Mittel zu wählen, um mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen und in Situationen, in denen gegen die DSGVO verstoßen wird, die Verarbeitung durch ihr Eingreifen wieder mit dem Unionsrecht in Einklang zu bringen (EuGH vom 14. März 2024, C-46/23 Rz 34 und 40).
Nachdem sich die Verarbeitung der personenbezogenen Daten der BF sowie anderer Bediensteter, die nicht als leitende Angestellte iSd. § 36 Abs. 1 Z 3 ArbVG [Anmerkung Bearbeiter/in: gemeint ist wohl § 36 Abs. 2 Z 3 ArbVG.] gelten (da sie keinen maßgebenden Einfluss auf die Führung des Unternehmens haben) wie oben dargelegt als unionsrechtswidrig erwiesen hat, war die Beschränkung der Verarbeitung bis zum Abschluss einer gültigen Betriebsvereinbarung anzuordnen.Nachdem sich die Verarbeitung der personenbezogenen Daten der BF sowie anderer Bediensteter, die nicht als leitende Angestellte iSd. Paragraph 36, Absatz eins, Ziffer 3, ArbVG [Anmerkung Bearbeiter/in: gemeint ist wohl Paragraph 36, Absatz 2, Ziffer 3, ArbVG.] gelten (da sie keinen maßgebenden Einfluss auf die Führung des Unternehmens haben) wie oben dargelegt als unionsrechtswidrig erwiesen hat, war die Beschränkung der Verarbeitung bis zum Abschluss einer gültigen Betriebsvereinbarung anzuordnen.
Vom Leistungsauftrag auszunehmen waren jedoch jene oben erwähnten Bediensteten, die gem. § 36 Abs. 1 Z 3 ArbVG [Anmerkung Bearbeiter/in: gemeint ist wohl § 36 Abs. 2 Z 3 ArbVG.] als leitende Angestellte mit maßgeblichem Einfluss auf die Führung des Betriebs zu betrachten sind, da diese vom Begriff des „Arbeitnehmers“ im ArbVG nicht umfasst sind.Vom Leistungsauftrag auszunehmen waren jedoch jene oben erwähnten Bediensteten, die gem. Paragraph 36, Absatz eins, Ziffer 3, ArbVG [Anmerkung Bearbeiter/in: gemeint ist wohl Paragraph 36, Absatz 2, Ziffer 3, ArbVG.] als leitende Angestellte mit maßgeblichem Einfluss auf die Führung des Betriebs zu betrachten sind, da diese vom Begriff des „Arbeitnehmers“ im ArbVG nicht umfasst sind.
Die Maßnahme erweist sich diesbezüglich auch als verhältnismäßig, da es in der Macht der BG steht, jederzeit die Verhandlungen darüber mit den zuständigen Organen der Arbeitnehmer:innen aufzunehmen und zu einem für beide Seiten akzeptablen Abschluss zu bringen oder in Hinkunft auf die verfahrensgegenständliche Datenverarbeitung zu verzichten.
D.3. Fazit
Insgesamt war daher spruchgemäß zu entscheiden.
Schlagworte
Geheimhaltung, Rechtmäßigkeit der Verarbeitung, Anweisung an Verantwortlichen, Untersagung der Verarbeitung, Beschränkung der Verarbeitung, Verbot der Verarbeitung, Human Resources, HR, Personaldaten, Personalfragebögen, Kontrollmaßnahmen, Führungskraft, Bewertung, 360 Grad Feedback, Arbeitnehmerdaten, Arbeitsverfassungsrecht, kollektive Rechtsgestaltung, Betriebsvereinbarung, Arbeitnehmereigenschaft, leitender AngestellterEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2026:2025.0.960.016Zuletzt aktualisiert am
05.08.2026
