Norm
DSG §24 Abs4Text
GZ: 2024-0.835.856 vom 24. November 2025 (Verfahrenszahl: DSB-D124.0658/24)
[Anmerkung Bearbeiter/in: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), statistische Angaben etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
BESCHEID
SPRUCH
Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dietmar A*** (Beschwerdeführer) vom 29. Februar 2024 gegen die N*** Forschungsgesellschaft (Erstbeschwerdegegnerin), vertreten durch die O*** Rechtsanwälte GmbH, und die P*** & T*** Rechtsanwälte GmbH wegen Verletzung im Recht auf Löschung wie folgt:
Rechtsgrundlagen: Art. 5 Abs. 1 lit. a bis c, Art. 6 Abs. 1 lit. b und f sowie Abs. 4, Art. 17, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999 idgF.Rechtsgrundlagen: Artikel 5, Absatz eins, Litera a, bis c, Artikel 6, Absatz eins, Litera b, und f sowie Absatz 4,, Artikel 17,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera f, sowie Artikel 77, Absatz eins, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite 1; Paragraphen 18, Absatz eins, sowie 24 Absatz eins und Absatz 5, des Datenschutzgesetzes (DSG), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, idgF.
BEGRÜNDUNG
A. Vorbringen der Parteien und Verfahrensgang
Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung (vgl. Hengstschläger/Leeb, AVG § 60 Rz 22 [Stand 1.3.2023, rdb.at]).Anmerkung der Datenschutzbehörde zum Verfahrensgang: Der Verfahrensgang stellt kein rechtlich zwingendes Element dar, sondern ist fakultativ. Es bedarf daher im Allgemeinen keiner gesonderten Anführung des Parteivorbringens in der Bescheidbegründung vergleiche Hengstschläger/Leeb, AVG Paragraph 60, Rz 22 [Stand 1.3.2023, rdb.at]).
Das Verfahren wurde aufgrund einer Datenschutzbeschwerde des Dietmar A*** vom 29. Februar 2024, verbessert am 06. Juni 2024, gegen die N*** Forschungsgesellschaft und die P*** & T*** Rechtsanwälte GmbH eingeleitet.
Den Verfahrensparteien wurde im Zuge des Ermittlungsverfahrens die Möglichkeit eingeräumt, zum jeweils anderen Vorbringen Stellung zu nehmen. Dem Beschwerdeführer sind alle Stellungnahmen der Beschwerdegegnerinnen im Rahmen des eingeräumten Parteigehörs übermittelt worden.
B. Beschwerdegegenstand
B.1. Hinsichtlich der Erstbeschwerdegegnerin ergibt sich als Beschwerdegegenstand die Frage, ob die Erstbeschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, indem sie diesen nicht über eine Weiterverarbeitung seiner personenbezogenen Daten zu Zwecken der Rechtsverteidigung informierte, weshalb die Datenverarbeitung unrechtmäßig erfolgte und die personenbezogenen Daten des Beschwerdeführers daher zu löschen gewesen wären.
B.2. Hinsichtlich der Zweitbeschwerdegegnerin ergibt sich als Beschwerdegegenstand die Frage, ob die Zweitbeschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Löschung verletzt hat, indem sie dessen personenbezogenen Daten unrechtmäßig verarbeitete und die personenbezogenen Daten des Beschwerdeführers daher zu löschen gewesen wären.
C. Sachverhaltsfeststellungen
C.1. Der Beschwerdeführer hat sich am 13. Jänner 2024 bei der Erstbeschwerdegegnerin als IT-Systemadministrator über die Seite www.job***.org beworben. In der Stellenanzeige wurde um „aussagekräftige Bewerbungsunterlagen (Motivationsschreiben, CV, Zeugnisse)“ gebeten. Der Bewerbung des Beschwerdeführers waren neben dem Lebenslauf auch folgende Unterlagen beigelegt (Ausschnitt, Formatierung nicht 1:1 übernommen):
[Anmerkung Bearbeiter/in: Die im Original an dieser Stelle als Faksimiles im grafischen Format PNG in mehreren Teilen dargestellten Unterlagen des Beschwerdeführers wurden in Text umgewandelt und werden hier (unter Weglassung grafischer Elemente wie farbliche Hervorhebungen etc.) pseudonymisiert und unkorrigiert wiedergegeben.]
„WICHTIG - Bitte lesen!
Da es sich um meine persönlichen, privaten und sensiblen Daten handelt, stellt die Verwendung meiner Daten ohne meine Einwilligung eine vorsätzliche gesetzeswidrige Straftat dar. Die Verwendung meiner Daten ist damit gleichzeitig eine automatische Einwilligung zu den folgenden Bedingungen:
Meine Daten sind ausschließlich direkt aus den gesendeten Unterlagen und im Sinne der Bewerbung zu verwenden. Ich widerspreche in jedem Fall, ggf. auch im Widerspruch zu etwaigen Einwilligungen im Zuge der Bewerbung, einer Übernahme und Speicherung meiner Daten in andere Speichermedien (u.a., nicht ausschließlich Datenbanken, Accounts und Applikationen). Diese Zustimmung gebe ich auf gar keinen Fall (Ausnahme Tätigkeitsaufnahme) und entsprechende Verwendung stellt einen vorsätzlichen Missbrauch meiner Daten dar, da diese Art der Verwendung ein Komfort, für die Bearbeitung der Bewerbung jedoch nicht nötig ist!
Im Zuge der Bewerbung über ein Formular erhobene und automatisch gespeicherte Daten, sind so schnell wie möglich und spätestens innerhalb von 14 Tagen zu löschen.
Ich widerspreche außerdem, ggf. auch im Widerspruch zu etwaigen Zustimmungen im Zuge der Bewerbung, ausdrücklich der Verwendung und Verarbeitung meiner Daten abseits der Bewerbung, sowie der verlängerten Verwendung und Speicherung meiner persönlichen Daten über den Bewerbungsprozess hinaus.
Alle meine Daten sind mit Abschluss des Bewerbungsprozesses und somit spätestens nach Sendung einer Absage ausnahmslos und vollständig zu loschen! Alle vorliegenden Angaben gelten auch für Auszüge, also Teile der enthaltenen Daten! (Ausnahme: Tätigkeitsaufnahme).
Alle Angaben sind als intellectual property zu sehen und stehen unter Rechten wie Urheberrrecht und Copyright. Eine entspechende Angabe ist z.B. im Lebenslauf zu finden! Die Übernahme meiner Daten aus dem Lebenslauf in eine Applikation, eine Datenbank bzw. einen Account oder sonstige Kopien stellen somit eine VORSÄTZLICHE STRAFTAT DAR!
Natürlich dürfen die Unterlagen wie gesendet an jeweils zuständige und für den Bewerbungsprozess relevante Personen direkt weitergeleitet werden.
Die hier vorliegenden Angaben sind Teil jeder meiner Bewerbungen und als solche an ALLE involvierten Personen zusammen mit den Unterlagen zu übermitteln.
Copyright 2023 - Dietmar A*** - All Rights Reserved Worldwide - Fassung 31.12.2022”
„WICHTIG: NACHTRÄGLICHE (z.B. automatisierte) Datenschutz-/Speicherangaben sind nicht nur gesetzeswidrig und NICHT im Sinne der Datenschutzverordnung, sondern setzen die vorliegenden Angaben auch NICHT außer Kraft! Die vorliegenden Angaben bleiben auch ohne zusätzlichen Widerspruch gültig und aufrecht. Wer diese Angaben trotz eindringlicher Aufforderung nicht liest oder zu Gunsten Meinung ignoriert, macht sich strafbar! Einwilligung gebe ich soweit neuen Angaben hier und in Bewerbungen übereinstimmen und nicht darüber hinaus.
Der Hauptgrund für verlängerte Speicherung ist Schadenersatzansprüche. Der Sinn des Datenschutzes ist jedoch Schutz der Daten und Besitzer vor Missbrauch und Schaden. NICHT Sinn des Datenschutzes ist ist der Missbrauch von Daten und Erhöhung des Risikos für die Besitzer, um Unternehmen durch zusätzliche und verlängerte Speicherung vor Schaden zu schützen. Meine Daten sind in jedem Fall nach Abschluss des Bewerbungsprozesses (Ausnahme Tätigkeitsaufnahme) vollständig zu löschen. Werden die gemachten Angaben beachtet und zeitgerecht eingehalten, dann stimme ich nach zeitgerechter und vollständiger Löschung meiner Daten zu, auf etwaige Ansprüche aus dem Gleichbehandlungsgesetz zu verzichten und das Unternehmen hinsichtlich des Ergebnisses des Bewerbungsprozesses schad- und klaglos zu halten. Ausnahme: siehe COVID-Angaben. Mit dieser Angabe gibt es KEINEN gesetzeskonformen Grund für die verlängerte Speicherung meiner Daten über den Bewerbungsprozess hinaus!
Laut Datenschutzverordnung besteht nicht nur ein Recht auf Löschung der persönlichen und schutzbedürftigen Angaben, sondern genau das ist auch Sinn des Datenschutzes! Dass Daten zum SCHUTZ nach zweckmäßiger Verwendung umgehend gelöscht werden. Und jeder Verstoß und jede unnötige Verlängerung der Speicherdauer stellt ein unnötiges Risiko und wie bereits erwähnt eine vorsätzliche gesetzliche Straftat dar (da ohne Einwilligung des Besitzers der Daten, sprich ohne MEINE EINWILLIGUNG). Im Falle eines Verstoßes, Missbrauches oder von Folgeschäden sehe ich mich in jedem Fall dazu genötigt, rechtliche Schritte in Betracht zu ziehen und ggf. einzuleiten und zu ergreifen, um den Verstoß strafrechtlich zu verfolgen und Ersatzansprüche für verursachte Schäden geltend zu machen.
Kein Verzicht auf Ansprüche besteht (u.a. aber nicht ausschließlich) im Falle eines Verstoßes gegen die hier vorliegenden Angaben, Rechte und Pflichten für die Verwendung MEINER DATEN, im unten genannten COVID-Fall oder im Falle von etwaige und vermeidbaren Folgeschäden, die beispielsweise durch falsche oder fahrlässige Handhabung und/oder folgendem Diebstahl und/oder Missbrauch meiner Daten entstehen.
Ich weise darauf hin, dass persönliche Angaben in der ersten Runde der Bewerbung eigentlich GAR NICHT notwendig sind und für die Vorauswahl sachlich gesehen die Qualifikationen alleine ausreichen!
Der Datenschutz sieht vor, die tatsachlich notwendigen Angaben zum absolut notwendigen Zeitpunkt zu erheben und nur für die notwendige Dauer zu speichern. Zum SCHUTZ der Daten und deren Besitzer! Der DatenSCHUTZ sieht nicht vor, so früh wie möglich so viele Daten wie möglich zu erheben und diese so lange wie möglich bei größtmöglichem Risiko für den Besitzer zum Schutze und im Interesse des Unternehmens zu speichern. Das ist, entgegen diverser Einhaltungsbehauptungen, ein klarer VERSTOSS gegen die Datenschutzverordnung!“
„Erklärung
Bewerbungsunterlagen enthalten umfangreiche, überdurchschnittlich sensible und private Daten eines Bewerbers und einer natürlichen Person. Deren Missbrauch kann schwerwiegende Folgen und Schäden für die jeweilige Person verursachen.
Selbst die größten und bekanntesten Unternehmen mit den höchsten Sicherheitsvorkehrungen werden Opfer von Hackern, die gespeicherte Daten stehlen und missbrauchen. Beispielreferenz siehe haveibeenpwned.com. Da es in den Bereichen IT, EDV und Internet keine absolute Sicherheit gibt, stellt jede digitale Kopie dieser persönlichen und sensiblen Daten und jede Verlängerung der Speicherdauer ein besonders hohes Risiko für die jeweilige Person dar, welche diese Daten betreffen.
Ferner ist es realistisch gesehen für Bewerber unmöglich, bei jedem Personaldienstleister, auf jeder Jobplattform und bei jedem Arbeitgeber bei dem sie sich bewerben, Accounts zu verwalten und ständig alle Daten aktuell zu halten. Die Daten sind also meist selbst nach wenigen Monaten nicht mehr aktuell.
Der Zweck des DatenSCHUTZes ist es, Daten und Personen vor möglichen Risiken und Schaden zu bewahren. Der Datenschutz sieht deshalb vor, dass nur unbedingt nötige Daten erhoben werden, dass diese erst zum tatsächlich nötigen Zeitpunkt erhoben werden, dass die erhobenen Daten nur für den vorgesehenen Zweck verwendet und nur für die unbedingt nötige Dauer und bei bestmöglichem Schutz gespeichert werden. Der Besitzer der Daten hat nicht nur ein Recht auf Bestimmung der Rechte im Bezug auf die Daten. Das Recht auf Löschung auf Anfrage ist ein Recht auf ABBRUCH der Verwendung zu jedem Zeitpunkt, keine Pflicht nach Abschluss des Verwendungszwecks! Sinn des Datenschutzes ist es NICHT, dem Unternehmen eine Ausrede für die Erhebung und verlängerte Speicherung von Daten anderer Personen zu liefern. Datenschutzangaben und Einwilligungen stellen keine Erlaubnis für Unternehmen dar, fremde Daten ungeachtet Risiko für die Besitzer nach Willkür und nach eigenem Ermessen zum eigenen Vorteil zu sammeln, zu speichern oder zu verwenden. Der Sinn des Datenschutzes ist vor allem DER SCHUTZ DER DATEN UND DEREN BESITZER UND MINIMIERUNG DES RISIKOS FÜR DIESE!
Weiters weise ich darauf hin, dass man im Falle einer Ausschreibung beim AMS damit rechnen muss, dass Bewerber zur Einwilligung gezwungen werden, weil der Bewerber damit in den meisten Fällen verhindert, dass man das einzige Einkommen in einer Notsituation und somit die Lebensgrundlage verliert. Wenn man also Stellenangebote beim AMS ausschreibt, sollte man damit rechnen, dass etwaige Einwilligungserklärungen eben NICHT freiwillig, sondern möglicherweise unter drohendem Verlust der Lebensgrundlage (Nötigung) abgegeben wurden! Schutz der persönlichen Daten ist jedoch ein gesetzlich gegebenes Recht. Deshalb gibt es eine Datenschutzverordnung.“
„COVID-Angaben
Wir sehen uns aktuell ständig diesem Thema gegenüber. Einigkeit der Experten besteht in dem Punkt, dass es viele Meinungen und viel zu wenige klare Daten/Fakten gibt.
Ich versuche deshalb, mich hier an die sachlichen Fakten zu halten:
FAKT ist, dass es sich hier NICHT um eine medizinische Begutachtung, sondern um eine Bewerbung für einen Job handelt. In den meisten Fällen dürfte auch keine ausreichende Qualifikation für eine medizinische Begutachtung vorliegt.
Ein Impfstatus liefert (sachlich gesehen) keine eindeutige Angabe zum Gesundheitszustand oder Infektionsrisiko einer Person. FAKT ist aber vor allem, dass ein Impfstatus keine Qualifikation für die Durchführung eines Jobs, sprich eine relevante Erfahrung oder Kenntnis für die Durchführung der Tätigkeit ist.
Mein Interesse gilt vorrangig einer Tätigkeit im Bereich Software-Entwicklung. Alternativen wie beispielsweise IT-Support werden als Einstiegsoption in Betracht gezogen.
Genannte Tätigkeiten sind vollständig im Home Office durchführbar. COVID-Maßnahmen empfehlen und unterstützen (soweit möglich) die Verlagerung von Arbeitstätigkeiten ins Home Office. Die Vermeidung von persönlichem Kontakt und der Wegfall von öffentlichen Fahrten sind IMMER EIN WEIT BESSERER SCHUTZ vor Infektionen, als eine Impfung! Ich suche nach einer Tätigkeit im Home Office, weil diese für mich viele Vorteile hat.
Die Angaben sind nicht als einzige Gründe oder als vollständige Liste mit Begründungen, sondern als einzelne Beispiele zu sehen. Jedenfalls halte ich bzgl. COVID fest (wird mit Verarbeitung der Bewerbung und Daten automatisch akzeptiert!):
Die Ablehnung aufgrund Impfstatus stellt keine Arbeitsverweigerung meinerseits, sondern eine Ablehnung seitens des Unternehmens dar!
Es gibt viele tätigkeitsrelevante Gründe, eine Bewerbung abzulehnen. Die Ablehnung aufgrund Impfstatus (ungeachtet Impfstatus) und entsprechende Angaben betrachte ich zumindest und in jedem Fall als (nach diesem Hinweis VORSÄTZLICHE) Diskriminierung, Nötigung und Verstoß gegen das Gleichbehandlungsgesetz!
Bei Ablehnung aufgrund Impfstatus behalte ich mir in jedem Fall und (nicht nur, aber) vor allem im Falle von entstehenden, vermeidbaren und lebensbedrohlichen Nachteilen und Schäden (wie Verlust der Notstandshilfe als einziges Einkommen!) vor, rechtliche Schritte zu ergreifen und rechtlich gegen das Unternehmen und involvierte Personen vor zu gehen und Schadenersatzansprüche geltend zu machen.“
Beweiswürdigung: Vorstehende Feststellung ergibt sich aus dem insofern unstrittigen Vorbringen des Beschwerdeführers in der verfahrenseinleitenden Eingabe und aus den dabei vorgelegten Beilagen.
C.2. Die Erstbeschwerdegegnerin benachrichtigte den Beschwerdeführer am 24. Jänner 2024 per E-Mail darüber, dass die Stelle anderwärtig besetzt wurde und informierte ihn mit Schreiben in der Beilage u.a. wie folgt (Ausschnitt, Formatierung nicht 1:1):
[Anmerkung Bearbeiter/in: Das im Original an dieser Stelle in zwei Teilen als Faksimiles im grafischen Format PNG dargestellte Schreiben wurde in Text umgewandelt und wird hier (unter Weglassung einzelner grafischer Elemente) pseudonymisiert und unkorrigiert wiedergegeben.]
„1. Rechtsgrundlagen der Datenverarbeitung
Bis zum Zeitpunkt der Versendung dieser Antwort haben wir Ihre Daten ausschließlich zum Zwecke der Bearbeitung Ihrer Bewerbung verarbeitet. Diese Verarbeitung erfolgte auf vorvertraglicher Grundlage (Art 6 Abs 1 lit b DSGVO).Bis zum Zeitpunkt der Versendung dieser Antwort haben wir Ihre Daten ausschließlich zum Zwecke der Bearbeitung Ihrer Bewerbung verarbeitet. Diese Verarbeitung erfolgte auf vorvertraglicher Grundlage (Artikel 6, Absatz eins, Litera b, DSGVO).
Ihrem den Bewerbungen jeweils enthaltenen Begehren auf Löschung kommen wir nach Ablauf der von der Rechtsprechung für Bewerberdaten vorgesehenen Frist von sieben Monaten (berechnet ab dem heutigen Datum) hinsichtlich Ihres Lebenslaufs unverzüglich nach (Datenschutzbehörde, 27.08.2018, D123.085). Rechtsgrundlage der Verarbeitung bis zur Löschung ist unser berechtigtes Interesse an der Abwehr von Ansprüchen aus dem Gleichbehandlungsgesetz (Art 6 Abs 1 lit f DSGVO iVm § 17 Abs 1 Z 1 iVm § 26 Abs 1 und § 29 Abs 1 GIBG). Gemäß Art 17 Abs 3 lit e DSGVO ist daher die Verarbeitung Ihrer Daten (drei E-Mails mit Bewerbungen samt Anhängen und dieser Antwort) zum Zweck der Abwehr von Ansprüchen nach dem GIBG bis zum Ablauf von sieben Monaten ab heute weiterhin erforderlich und eine Löschung muss nicht erfolgen.Ihrem den Bewerbungen jeweils enthaltenen Begehren auf Löschung kommen wir nach Ablauf der von der Rechtsprechung für Bewerberdaten vorgesehenen Frist von sieben Monaten (berechnet ab dem heutigen Datum) hinsichtlich Ihres Lebenslaufs unverzüglich nach (Datenschutzbehörde, 27.08.2018, D123.085). Rechtsgrundlage der Verarbeitung bis zur Löschung ist unser berechtigtes Interesse an der Abwehr von Ansprüchen aus dem Gleichbehandlungsgesetz (Artikel 6, Absatz eins, Litera f, DSGVO in Verbindung mit Paragraph 17, Absatz eins, Ziffer eins, in Verbindung mit Paragraph 26, Absatz eins und Paragraph 29, Absatz eins, GIBG). Gemäß Artikel 17, Absatz 3, Litera e, DSGVO ist daher die Verarbeitung Ihrer Daten (drei E-Mails mit Bewerbungen samt Anhängen und dieser Antwort) zum Zweck der Abwehr von Ansprüchen nach dem GIBG bis zum Ablauf von sieben Monaten ab heute weiterhin erforderlich und eine Löschung muss nicht erfolgen.
Der jeweils mitgesendete Lebenslauf wird daher nach Ablauf der sieben Monate gelöscht. Ihre Bewerbungs-E-Mails und der jeweilige Anhang sowie „WICHTIG - Bitte lesen!“ werden jedoch darüber hinaus zu den folgenden Zwecken verarbeitet:
a. Datenverarbeitung zum Nachweis der Erfüllung der Pflichten aus Art 17 DSGVOa. Datenverarbeitung zum Nachweis der Erfüllung der Pflichten aus Artikel 17, DSGVO
Wir bewahren die folgenden Daten zum Zweck des Nachweises der Einhaltung unserer Pflichten aus Art 17 DSGVO für die Dauer von einem Jahr ab heute auf:Wir bewahren die folgenden Daten zum Zweck des Nachweises der Einhaltung unserer Pflichten aus Artikel 17, DSGVO für die Dauer von einem Jahr ab heute auf:
Diese Aufbewahrung erfolgt zur Wahrung unseres berechtigten Interesses an der Abwehr von Rechtsansprüchen und der Verteidigung in einem allfälligen Verfahren, insbesondere wegen behaupteter Datenschutzverstöße (Art 6 Abs 1 lit f DSGVO). Die gewählte Aufbewahrungsfrist liegt in der Frist für die Einbringung einer Beschwerde bei der Datenschutzbehörde von einem Jahr ab Kenntnis vom beschwerenden Ereignis, geregelt in § 24 Abs 4 DSG, begründet.Diese Aufbewahrung erfolgt zur Wahrung unseres berechtigten Interesses an der Abwehr von Rechtsansprüchen und der Verteidigung in einem allfälligen Verfahren, insbesondere wegen behaupteter Datenschutzverstöße (Artikel 6, Absatz eins, Litera f, DSGVO). Die gewählte Aufbewahrungsfrist liegt in der Frist für die Einbringung einer Beschwerde bei der Datenschutzbehörde von einem Jahr ab Kenntnis vom beschwerenden Ereignis, geregelt in Paragraph 24, Absatz 4, DSG, begründet.
b. Datenverarbeitung zur Abwehr von angedrohten Ansprüchen
Sie drohen in Ihrem Schreiben mit der Geltendmachung von (Schadenersatz-)Ansprüchen insbesondere im Bereich Urheberrecht, Datenschutzrecht und Strafrecht.
Aus diesem Grund verarbeiten wir Ihre unter Punkt a angeführten Daten aus Ihren Bewerbungen (inkl dem jeweiligen Anhang „WICHTIG-Bitte lesen!“) und aus unserer heutigen Antwort (inkl allfälliger künftiger diesbezüglicher Korrespondenz mit Ihnen) zur Wahrung unseres berechtigten Interesses an der Abwehr von bereits angedrohten Rechtsansprüchen und der Verteidigung in einem allfälligen Verfahren, insbesondere wegen behaupteter Datenschutz-, Urheberrechts-, Strafrechts- oder damit zusammenhängender Zivilrechtsverstöße (Art 6 Abs 1 lit f DSGVO). Diese Daten verarbeiten wir ausschließlich zum vorgenannten Zweck für drei Jahre ab dem heutigen Datum. Die genannte Aufbewahrungsfrist orientiert sich unter anderem an der Frist für die Geltendmachung von allgemeinem zivilrechtlichem Schadenersatz.“Aus diesem Grund verarbeiten wir Ihre unter Punkt a angeführten Daten aus Ihren Bewerbungen (inkl dem jeweiligen Anhang „WICHTIG-Bitte lesen!“) und aus unserer heutigen Antwort (inkl allfälliger künftiger diesbezüglicher Korrespondenz mit Ihnen) zur Wahrung unseres berechtigten Interesses an der Abwehr von bereits angedrohten Rechtsansprüchen und der Verteidigung in einem allfälligen Verfahren, insbesondere wegen behaupteter Datenschutz-, Urheberrechts-, Strafrechts- oder damit zusammenhängender Zivilrechtsverstöße (Artikel 6, Absatz eins, Litera f, DSGVO). Diese Daten verarbeiten wir ausschließlich zum vorgenannten Zweck für drei Jahre ab dem heutigen Datum. Die genannte Aufbewahrungsfrist orientiert sich unter anderem an der Frist für die Geltendmachung von allgemeinem zivilrechtlichem Schadenersatz.“
Beweiswürdigung: Vorstehende Feststellung ergibt sich aus dem insofern unstrittigen Vorbringen des Beschwerdeführers in der verfahrenseinleitenden Eingabe und aus den dabei vorgelegten Beilagen.
C.3. Nach einem Schreiben des Beschwerdeführers vom 24. Jänner 2024 als Antwort auf das Schreiben der Erstbeschwerdegegnerin vom selben Tag beauftragte diese die Zweitbeschwerdegegnerin mit der Beantwortung der Schreiben des Beschwerdeführers.
Beweiswürdigung: Vorstehende Feststellung ergibt sich aus dem insofern unstrittigen Vorbringen des Beschwerdeführers in der verfahrenseinleitenden Eingabe und aus den dabei vorgelegten Beilagen.
C.4. Bis zum Schreiben vom 24. Jänner 2024 hat die Erstbeschwerdegegnerin die Bewerbungsunterlagen des Beschwerdeführers verwendet, um die Bewerbung des Beschwerdeführers zu prüfen. Der Lebenslauf des Beschwerdeführers wurde von der Erstbeschwerdegegnerin für die Dauer von sieben Monaten ab der Absage der Bewerbung am 24. Jänner 2024 gespeichert und sodann gelöscht. Der Lebenslauf wurde von der Erstbeschwerdegegnerin und die sonstigen Unterlagen des Beschwerdeführers werden von beiden Beschwerdegegnerinnen aufbewahrt, um allenfalls vom Beschwerdeführer geltend gemachte Rechtsansprüche abzuwehren.
Beweiswürdigung: Der Grund für die Verwendung der Bewerbungsunterlagen des Beschwerdeführers, nämlich zur Beurteilung der Bewerbung, ist evident. Die Aufbewahrung durch die Beschwerdegegnerinnen zur Abwehr von allenfalls vom Beschwerdeführer geltend gemachten Rechtsansprüchen wird vom Beschwerdeführer als rechtlich unzulässig kritisiert, eine andere, wahrscheinlichere Motivation hat dieser allerdings nicht vorgebracht und ist die Speicherung auch nachvollziehbar im Hinblick auf die in C.1. festgestellten Beilagen des Beschwerdeführers und der in C.2. festgestellten Antwort der Erstbeschwerdegegnerin. Die von der Erstbeschwerdegegnerin vorgebrachte Löschung des Lebenslaufs des Beschwerdeführers nach sieben Monaten wurde vom Beschwerdeführer nicht bestritten.
D. In rechtlicher Hinsicht folgt daraus:
D.1. Allgemeines
Sowohl die Datenschutzbehörde als auch das BVwG vertreten in ständiger Judikatur die Ansicht, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren gemäß Art. 77 DSGVO iVm. § 24 Abs. 1 DSG - der Inhalt des Antrags (vorliegend: der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens (vorliegend: den Beschwerdegegenstand) konstituiert und begrenzt (vgl. etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).Sowohl die Datenschutzbehörde als auch das BVwG vertreten in ständiger Judikatur die Ansicht, dass bei antragsgebunden Fällen - wie insbesondere dem Beschwerdeverfahren gemäß Artikel 77, DSGVO in Verbindung mit Paragraph 24, Absatz eins, DSG - der Inhalt des Antrags (vorliegend: der Beschwerde) den Prozessgegenstand des Verwaltungsverfahrens (vorliegend: den Beschwerdegegenstand) konstituiert und begrenzt vergleiche etwa BVwG Erkenntnis vom 17. Mai 2022, W214 2233132-1).
Als Beschwerdegegenstand ergaben sich damit die in Punkt B. dargestellten Fragen.
In seiner verfahrenseinleitenden Eingabe moniert der Beschwerdeführer, dass der Verstoß am 24. Jänner 2024 begonnen habe, da die Erstbeschwerdegegnerin mit einer unvereinbarten Weiterverarbeitung begonnen habe. Der Beschwerdeführer habe der Erstbeschwerdegegnerin eine Frist von einem Monat gegeben, um die Daten zu löschen. Die Erstbeschwerdegegnerin habe dies verweigert und stattdessen trotz Widerspruch des Beschwerdeführers bei Erhebung der Daten die Daten an die Zweitbeschwerdegegnerin weitergegeben.
D.2. Zur Erstbeschwerdegegnerin:
Zunächst ist die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten zu prüfen. Nach Judikatur des EuGH muss jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Art. 6 der DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (vgl. das Urteil des EuGH vom 22. Juni 2021, C-439/19 Rz 96). Zunächst ist die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten zu prüfen. Nach Judikatur des EuGH muss jede Verarbeitung personenbezogener Daten zum einen mit den in Artikel 5, DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Artikel 6, der DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen vergleiche das Urteil des EuGH vom 22. Juni 2021, C-439/19 Rz 96).
Der Beschwerdeführer moniert das Nichteinhalten der Art. 5 Abs. 1 lit. a bis c DSGVO. Zur Rechtmäßigkeit der Verarbeitung siehe sogleich. IZm dem Grundsatz der Transparenz und dem Grundsatz der Verarbeitung nach Treu und Glauben moniert der Beschwerdeführer, dass die Informationspflichten nicht eingehalten worden seien nach Art. 13 DSGVO, konkret lit. d. Das ist für die Datenschutzbehörde nicht nachvollziehbar.Der Beschwerdeführer moniert das Nichteinhalten der Artikel 5, Absatz eins, Litera a, bis c DSGVO. Zur Rechtmäßigkeit der Verarbeitung siehe sogleich. IZm dem Grundsatz der Transparenz und dem Grundsatz der Verarbeitung nach Treu und Glauben moniert der Beschwerdeführer, dass die Informationspflichten nicht eingehalten worden seien nach Artikel 13, DSGVO, konkret Litera d, Das ist für die Datenschutzbehörde nicht nachvollziehbar.
Die personenbezogenen Daten des Beschwerdeführers wurden bis zur Versendung des Schreibens gemäß Art. 6 Abs. 1 lit. b DSGVO zur Verarbeitung der Bewerbung verarbeitet (siehe tieferstehend). Der Umstand, dass Bewerbungsunterlagen beim Abschicken einer Bewerbung zum Zwecke der Bearbeitung der Bewerbung verarbeitet werden, ergibt sich schon aus der allgemeinen Lebenserfahrung. Dass seine Bewerbungsdaten sohin zum Zweck der Bearbeitung der Bewerbung von der Erstbeschwerdegegnerin verarbeitet werden, musste dem Beschwerdeführer beim Absenden der Bewerbung bekannt gewesen sein und verfügte dieser damit bereits über diese in Art. 13 Abs. 1 lit. a und d DSGVO genannten Information, sodass Name und Kontaktdaten der Verantwortlichen sowie der Zweck der Verarbeitung nicht mehr von der Erstbeschwerdegegnerin zu beauskunften waren nach Art. 13 Abs. 4 DSGVO.Die personenbezogenen Daten des Beschwerdeführers wurden bis zur Versendung des Schreibens gemäß Artikel 6, Absatz eins, Litera b, DSGVO zur Verarbeitung der Bewerbung verarbeitet (siehe tieferstehend). Der Umstand, dass Bewerbungsunterlagen beim Abschicken einer Bewerbung zum Zwecke der Bearbeitung der Bewerbung verarbeitet werden, ergibt sich schon aus der allgemeinen Lebenserfahrung. Dass seine Bewerbungsdaten sohin zum Zweck der Bearbeitung der Bewerbung von der Erstbeschwerdegegnerin verarbeitet werden, musste dem Beschwerdeführer beim Absenden der Bewerbung bekannt gewesen sein und verfügte dieser damit bereits über diese in Artikel 13, Absatz eins, Litera a, und d DSGVO genannten Information, sodass Name und Kontaktdaten der Verantwortlichen sowie der Zweck der Verarbeitung nicht mehr von der Erstbeschwerdegegnerin zu beauskunften waren nach Artikel 13, Absatz 4, DSGVO.
Art. 13 Abs. 3 DSGVO verpflichtet lediglich zur Information schlichtweg „vor“ der Weiterverarbeitung und eine Verpflichtung zur Abwägung, welcher Zeitraum zwischen der Information und der Weiterverarbeitung (Millisekunden, Sekunden, Stunden, Tage) liegen sollte, muss laut dem Wortlaut nicht vorgenommen werden (vgl. Illibauer in Knyrim, DatKomm Art 13 DSGVO [Stand 1.7.2024, rdb.at], Rz. 60).Artikel 13, Absatz 3, DSGVO verpflichtet lediglich zur Information schlichtweg „vor“ der Weiterverarbeitung und eine Verpflichtung zur Abwägung, welcher Zeitraum zwischen der Information und der Weiterverarbeitung (Millisekunden, Sekunden, Stunden, Tage) liegen sollte, muss laut dem Wortlaut nicht vorgenommen werden vergleiche Illibauer in Knyrim, DatKomm Artikel 13, DSGVO [Stand 1.7.2024, rdb.at], Rz. 60).
Das Schreiben wurde am 24. Jänner 2024, sohin am Tag an dem der Verstoß laut dem Beschwerdeführer begonnen habe, per E-Mail versendet (vgl. C.2.). Seitdem werden die Daten gemäß Art. 6 Abs. 1 lit. f DSGVO zur Abwehr von Ansprüchen des Beschwerdeführers und damit zu einem anderen Zweck verarbeitet. Der fließende Übergang bzw. die „juristischen Sekunden“ zwischen dem ursprünglichen Verarbeitungszweck, der Versendung des Schreibens, der Beendigung der Verarbeitung zum ursprünglichen Zweck, der Information und dem Beginn der Verarbeitung zum neuen Zweck, vermag eine Verletzung des Rechts auf Information nach Art. 13 Abs. 3 DSGVO nicht zu begründen.Das Schreiben wurde am 24. Jänner 2024, sohin am Tag an dem der Verstoß laut dem Beschwerdeführer begonnen habe, per E-Mail versendet vergleiche C.2.). Seitdem werden die Daten gemäß Artikel 6, Absatz eins, Litera f, DSGVO zur Abwehr von Ansprüchen des Beschwerdeführers und damit zu einem anderen Zweck verarbeitet. Der fließende Übergang bzw. die „juristischen Sekunden“ zwischen dem ursprünglichen Verarbeitungszweck, der Versendung des Schreibens, der Beendigung der Verarbeitung zum ursprünglichen Zweck, der Information und dem Beginn der Verarbeitung zum neuen Zweck, vermag eine Verletzung des Rechts auf Information nach Artikel 13, Absatz 3, DSGVO nicht zu begründen.
Hier ist nämlich insbesondere zwischen Fällen zu unterscheiden, bei denen die Rechtmäßigkeit der Weiterverarbeitung vom Willen der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO) abhängt, was gegenständlich nicht der Fall ist, da die ursprüngliche Datenverarbeitung nicht auf einer Einwilligung des Beschwerdeführers beruht (sondern auf Art. 6 Abs. 1 lit. b DSGVO, siehe tieferstehend) oder, wie im gegenständlichen Fall, die Rechtmäßigkeit der Weiterverarbeitung zu einem anderen Zweck sich direkt aus Art. 6 Abs. 4 DSGVO ergibt. Eine Auslegung, wonach die Verarbeitung im letzteren Fall nicht rechtmäßig sein kann, wenn nicht zeitgerecht oder ausreichend informiert wurde, ginge zu weit (vgl. Illibauer in Knyrim, DatKomm Art 13 DSGVO [Stand 1.7.2024, rdb.at], Rz. 58).Hier ist nämlich insbesondere zwischen Fällen zu unterscheiden, bei denen die Rechtmäßigkeit der Weiterverarbeitung vom Willen der betroffenen Person (Artikel 6, Absatz eins, Litera a, DSGVO) abhängt, was gegenständlich nicht der Fall ist, da die ursprüngliche Datenverarbeitung nicht auf einer Einwilligung des Beschwerdeführers beruht (sondern auf Artikel 6, Absatz eins, Litera b, DSGVO, siehe tieferstehend) oder, wie im gegenständlichen Fall, die Rechtmäßigkeit der Weiterverarbeitung zu einem anderen Zweck sich direkt aus Artikel 6, Absatz 4, DSGVO ergibt. Eine Auslegung, wonach die Verarbeitung im letzteren Fall nicht rechtmäßig sein kann, wenn nicht zeitgerecht oder ausreichend informiert wurde, ginge zu weit vergleiche Illibauer in Knyrim, DatKomm Artikel 13, DSGVO [Stand 1.7.2024, rdb.at], Rz. 58).
Diesen Unterschied hat auch der VwGH in dem vom Beschwerdeführer Erkenntnis vom 09. Mai 2023, Ro 2020/04/0037, erwähnt und hat der VwGH im genannten (tw. veralteten) Erkenntnis auch ausgeführt, dass die teilweise Verletzung der Informationspflicht nach Art. 13 DSGVO nicht automatisch eine „unrechtmäßige Verarbeitung“ iSd Art. 17 Abs. 1 lit. d iVm Art. 5 Abs. 1 lit. a DSGVO zur Folge hat.Diesen Unterschied hat auch der VwGH in dem vom Beschwerdeführer Erkenntnis vom 09. Mai 2023, Ro 2020/04/0037, erwähnt und hat der VwGH im genannten (tw. veralteten) Erkenntnis auch ausgeführt, dass die teilweise Verletzung der Informationspflicht nach Artikel 13, DSGVO nicht automatisch eine „unrechtmäßige Verarbeitung“ iSd Artikel 17, Absatz eins, Litera d, in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO zur Folge hat.
Die Erstbeschwerdegegnerin hat den Beschwerdeführer zur erstmöglichen Gelegenheit über die Weiterverarbeitung und ihren Zweck informiert und damit den Grundsatz der Transparenz der Datenverarbeitung nach Art. 5 Abs. 1 lit. a DSGVO eingehalten. Da die Erstbeschwerdegegnerin den Beschwerdeführer nicht nur über den Umstand der Weiterverarbeitung, sondern auch über den Zweck der Weiterverarbeitung informiert hat, ergibt sich auch iZm dem EuGH Urteil vom 09. Jänner 2025, Mousse, C-394/23, keine Rechtswidrigkeit der Datenverarbeitung iZm mit dem Recht auf Information, wenn sich die Erstbeschwerdegegnerin auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO stützt.Die Erstbeschwerdegegnerin hat den Beschwerdeführer zur erstmöglichen Gelegenheit über die Weiterverarbeitung und ihren Zweck informiert und damit den Grundsatz der Transparenz der Datenverarbeitung nach Artikel 5, Absatz eins, Litera a, DSGVO eingehalten. Da die Erstbeschwerdegegnerin den Beschwerdeführer nicht nur über den Umstand der Weiterverarbeitung, sondern auch über den Zweck der Weiterverarbeitung informiert hat, ergibt sich auch iZm dem EuGH Urteil vom 09. Jänner 2025, Mousse, C-394/23, keine Rechtswidrigkeit der Datenverarbeitung iZm mit dem Recht auf Information, wenn sich die Erstbeschwerdegegnerin auf berechtigte Interessen nach Artikel 6, Absatz eins, Litera f, DSGVO stützt.
Da somit der Grundsatz der Transparenz nach Art. 5 Abs. 1 lit. a DSGVO eingehalten wurde und da der Beschwerdegegenstand eine Verletzung im Recht auf Löschung ist und nicht im Recht auf Information gemäß Art. 13 DSGVO, kann eine tiefergehende Analyse iZm dem Recht auf Information unterbleiben.Da somit der Grundsatz der Transparenz nach Artikel 5, Absatz eins, Litera a, DSGVO eingehalten wurde und da der Beschwerdegegenstand eine Verletzung im Recht auf Löschung ist und nicht im Recht auf Information gemäß Artikel 13, DSGVO, kann eine tiefergehende Analyse iZm dem Recht auf Information unterbleiben.
Nach Art. 5 Abs. 1 lit. b DSGVO („Grundsatz der Zweckbindung“) müssen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Dass die Verarbeitung der Bewerbungsunterlagen zum Zwecke der Bearbeitung der Bewerbung festgelegt, eindeutig und legitim ist, ist evident. Ob (bzw. dass [siehe tieferstehend]) die Weiterverarbeitung vereinbar/kompatibel ist mit dem ursprünglichen Zweck ergibt sich aus Art. 6 Abs. 4 DSGVO (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO [Stand 1.12.2020, rdb.at] Rz. 29).Nach Artikel 5, Absatz eins, Litera b, DSGVO („Grundsatz der Zweckbindung“) müssen Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Dass die Verarbeitung der Bewerbungsunterlagen zum Zwecke der Bearbeitung der Bewerbung festgelegt, eindeutig und legitim ist, ist evident. Ob (bzw. dass [siehe tieferstehend]) die Weiterverarbeitung vereinbar/kompatibel ist mit dem ursprünglichen Zweck ergibt sich aus Artikel 6, Absatz 4, DSGVO vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO [Stand 1.12.2020, rdb.at] Rz. 29).
Nach Art. 5 Abs. 1 lit. c DSGVO („Grundsatz der Datenminimierung“) muss eine Verarbeitung weiters dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Bei seinem Vorbringen iZm mit dem Bewerbungsprozess durch die Erstbeschwerdegegnerin übersieht der Beschwerdeführer, dass dieser selbst seine personenbezogenen Daten zur Verfügung gestellt hat und damit entschieden hat, welche und wieviele seiner Daten von der Erstbeschwerdegegnerin verarbeitet werden. Auch ergibt sich aus der Stellenanzeige (vgl. C.1.), dass diese lediglich ein Motivationsschreiben, einen Lebenslauf und Zeugnisse, sohin für eine Bewerbung übliche Unterlagen verlangte. Bzgl. der Ausgestaltung dieser verlangten Dokumente, insbesondere welche Daten diese enthalten sollen, wurden von der Erstbeschwerdegegnerin keine Vorgaben gemacht. Das Verlangen dieser drei Urkundentypen und die Verarbeitung der personenbezogenen Daten, mit denen Bewerber*innen diese füllen, ist grundsätzlich angemessen, erheblich und aufs notwendige Maß beschränkt. Anders zu beurteilen wäre das zum Beispiel grundsätzlich, wenn ein:e Verantwortliche:r die politische Zugehörigkeit von Stellenbewerber:innen verlangt und sodann verarbeitet (vgl. Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Art 5 DSGVO [Stand 7.5.2020, rdb.at] Rz 36).Nach Artikel 5, Absatz eins, Litera c, DSGVO („Grundsatz der Datenminimierung“) muss eine Verarbeitung weiters dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Bei seinem Vorbringen iZm mit dem Bewerbungsprozess durch die Erstbeschwerdegegnerin übersieht der Beschwerdeführer, dass dieser selbst seine personenbezogenen Daten zur Verfügung gestellt hat und damit entschieden hat, welche und wieviele seiner Daten von der Erstbeschwerdegegnerin verarbeitet werden. Auch ergibt sich aus der Stellenanzeige vergleiche , C.1.), dass diese lediglich ein Motivationsschreiben, einen Lebenslauf und Zeugnisse, sohin für eine Bewerbung übliche Unterlagen verlangte. Bzgl. der Ausgestaltung dieser verlangten Dokumente, insbesondere welche Daten diese enthalten sollen, wurden von der Erstbeschwerdegegnerin keine Vorgaben gemacht. Das Verlangen dieser drei Urkundentypen und die Verarbeitung der personenbezogenen Daten, mit denen Bewerber*innen diese füllen, ist grundsätzlich angemessen, erheblich und aufs notwendige Maß beschränkt. Anders zu beurteilen wäre das zum Beispiel grundsätzlich, wenn ein:e Verantwortliche:r die politische Zugehörigkeit von Stellenbewerber:innen verlangt und sodann verarbeitet vergleiche Hötzendorfer/Tschohl/Kastelitz in Knyrim, DatKomm Artikel 5, DSGVO [Stand 7.5.2020, rdb.at] Rz 36).
Auch die Weiterverarbeitung entsprach dem Grundsatz der Datenminimierung. Schließlich werden die Daten nur so lange verarbeitet, wie sie von der Erstbeschwerdegegnerin für die Zwecke der Weiterverarbeitung (Abwehr von Rechtsansprüchen) notwendig sind. Das entspricht 7 Monaten beim Lebenslauf, da Ansprüche nach § 26 Abs. 1 und 5 GlBG iVm § 29 Abs. 1 GlBG nur binnen 6 Monaten gerichtlich geltend gemacht werden können. Der zusätzliche Monat ergibt sich aus dem Postlauf, etc. Bei der Korrespondenz mit dem Beschwerdeführer und den Anhängen (vgl. C.2.) ergibt sich die Dauer von 1 Jahr zum Zweck der Abwehr von Ansprüchen iZm Art. 17 DSGVO aus der sich aus § 24 Abs. 4 DSG ergebenden Präklusionsfrist und zum Zweck der Abwehr der anderen möglichen Ansprüche aus den jeweiligen Verjährungsfristen im Zivilrecht. Zeitlich kann die Datenverarbeitung daher nicht weiter minimiert werden. Dass die Erstbeschwerdegegnerin den Beschwerdeführer hierüber mit nur einem Schreiben vom 24. Jänner 2024 statt mit mehreren Schreiben informiert hat, ist ebenfalls im Sinne der Datenminimierung.Auch die Weiterverarbeitung entsprach dem Grundsatz der Datenminimierung. Schließlich werden die Daten nur so lange verarbeitet, wie sie von der Erstbeschwerdegegnerin für die Zwecke der Weiterverarbeitung (Abwehr von Rechtsansprüchen) notwendig sind. Das entspricht 7 Monaten beim Lebenslauf, da Ansprüche nach Paragraph 26, Absatz eins, und 5 GlBG in Verbindung mit Paragraph 29, Absatz eins, GlBG nur binnen 6 Monaten gerichtlich geltend gemacht werden können. Der zusätzliche Monat ergibt sich aus dem Postlauf, etc. Bei der Korrespondenz mit dem Beschwerdeführer und den Anhängen vergleiche , C.2.) ergibt sich die Dauer von 1 Jahr zum Zweck der Abwehr von Ansprüchen iZm Artikel 17, DSGVO aus der sich aus Paragraph 24, Absatz 4, DSG ergebenden Präklusionsfrist und zum Zweck der Abwehr der anderen möglichen Ansprüche aus den jeweiligen Verjährungsfristen im Zivilrecht. Zeitlich kann die Datenverarbeitung daher nicht weiter minimiert werden. Dass die Erstbeschwerdegegnerin den Beschwerdeführer hierüber mit nur einem Schreiben vom 24. Jänner 2024 statt mit mehreren Schreiben informiert hat, ist ebenfalls im Sinne der Datenminimierung.
Im Zusammenhang mit der Rechtmäßigkeit der Verarbeitung ist auszuführen, dass diese iZm der Bewerbung auf Art. 6 Abs. 1 lit. b DSGVO beruht, wie die Erstbeschwerdegegnerin selbst angab. Ein Dienstverhältnis ist ein zwischen Dienstnehmer*in und Dienstgeber*in abgeschlossener Vertrag. Mit seiner Bewerbung befindet sich dieser mögliche zukünftige Dienstvertrag im Stadium der Vertragsanbahnung und damit in einem vorvertraglichen Schuldverhältnis. Eine Bewerbung erfolgt nach der allgemeinen Lebenserfahrung mit dem impliziten Ersuchen, die Bewerbungsunterlagen zu prüfen und den Bewerber im besten Fall einzustellen. Bei dieser Prüfung handelt es sich auf Seiten der Erstbeschwerdegegnerin um die Durchführung einer vorvertraglichen Maßnahme, die notwendig ist und auf Anfrage des Beschwerdeführers erfolgt ist. Im Zusammenhang mit der Rechtmäßigkeit der Verarbeitung ist auszuführen, dass diese iZm der Bewerbung auf Artikel 6, Absatz eins, Litera b, DSGVO beruht, wie die Erstbeschwerdegegnerin selbst angab. Ein Dienstverhältnis ist ein zwischen Dienstnehmer*in und Dienstgeber*in abgeschlossener Vertrag. Mit seiner Bewerbung befindet sich dieser mögliche zukünftige Dienstvertrag im Stadium der Vertragsanbahnung und damit in einem vorvertraglichen Schuldverhältnis. Eine Bewerbung erfolgt nach der allgemeinen Lebenserfahrung mit dem impliziten Ersuchen, die Bewerbungsunterlagen zu prüfen und den Bewerber im besten Fall einzustellen. Bei dieser Prüfung handelt es sich auf Seiten der Erstbeschwerdegegnerin um die Durchführung einer vorvertraglichen Maßnahme, die notwendig ist und auf Anfrage des Beschwerdeführers erfolgt ist.
IZm der Weiterverarbeitung hat sodann eine Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO zu erfolgen. Da weder eine Einwilligung noch eine Rechtsvorschrift vorliegt, sind dabei in Art. 6 Abs. 4 DSGVO normierten Voraussetzungen zu überprüfen. Um dem Zweckbindungsgrundsatz nicht zu umgehen, ist Abs. 4 grundsätzlich restriktiv auszulegen (vgl. Buchner/Petri in Kühling/Buchner im Kommentar zur DS-GVO, Art. 6 DSGVO, Rz. 186 und 187). Die in Art. 6 Abs. 4 DSGVO aufgezählten Prüfkriterien stellen eine verbindliche Ergänzung des Zweckbindungsgrundsatzes aus Art. 5 Abs. 1 lit. b DSGVO dar (vgl. Herbst in Kühling/Buchner im Kommentar zur DS-GVO, Art. 5 Rz. 45).IZm der Weiterverarbeitung hat sodann eine Kompatibilitätsprüfung nach Artikel 6, Absatz 4, DSGVO zu erfolgen. Da weder eine Einwilligung noch eine Rechtsvorschrift vorliegt, sind dabei in Artikel 6, Absatz 4, DSGVO normierten Voraussetzungen zu überprüfen. Um dem Zweckbindungsgrundsatz nicht zu umgehen, ist Absatz 4, grundsätzlich restriktiv auszulegen vergleiche Buchner/Petri in Kühling/Buchner im Kommentar zur DS-GVO, Artikel 6, DSGVO, Rz. 186 und 187). Die in Artikel 6, Absatz 4, DSGVO aufgezählten Prüfkriterien stellen eine verbindliche Ergänzung des Zweckbindungsgrundsatzes aus Artikel 5, Absatz eins, Litera b, DSGVO dar vergleiche Herbst in Kühling/Buchner im Kommentar zur DS-GVO, Artikel 5, Rz. 45).
In Art. 6 Abs. 4 DSGVO finden sich fünf Kriterien, welche bei rechtmäßiger Prüfung zur Vereinbarkeit und damit zur Einhaltung des Zweckbindungsgrundsatzes führen: In Artikel 6, Absatz 4, DSGVO finden sich fünf Kriterien, welche bei rechtmäßiger Prüfung zur Vereinbarkeit und damit zur Einhaltung des Zweckbindungsgrundsatzes führen:
Je überraschender und unvorhersehbarer eine weitere Verarbeitung für den Betroffenen ist, desto eher spricht dies für eine Unvereinbarkeit der Zwecke (vgl. Buchner/Petri in Kühling/Buchner, Datenschutz-Grundverordnung, Art. 6 Rz. 188). Die vom Beschwerdeführer der Bewerbung beigefügten Anhänge, in denen dieser ankündigt, allenfalls diverse rechtliche Schritte gegen die Erstbeschwerdegegnerin einzuleiten (vgl. C.1.), sind gegenständlich ursächlich für die Reaktion der Erstbeschwerdegegnerin gewesen (vgl. C.2.). Es liegt im Rahmen der allgemeinen Lebenserfahrung, dass diese zur Verteidigung ihrer rechtlichen Interessen auf dessen im Rahmen des Vertragsverhältnisses erhobenen Daten zurückgreifen wird und war dementsprechend für diesen unter Einbeziehung der vernünftigen Erwartungen auch vorhersehbar. Dabei war auch zu berücksichtigen, dass keine personenbezogenen Daten besonderer Kategorie nach Art. 9 oder 10 DSGVO verarbeitet worden sind, was der Beschwerdeführer auch nicht vorgebracht hätte.Je überraschender und unvorhersehbarer eine weitere Verarbeitung für den Betroffenen ist, desto eher spricht dies für eine Unvereinbarkeit der Zwecke vergleiche Buchner/Petri in Kühling/Buchner, Datenschutz-Grundverordnung, Artikel 6, Rz. 188). Die vom Beschwerdeführer der Bewerbung beigefügten Anhänge, in denen dieser ankündigt, allenfalls diverse rechtliche Schritte gegen die Erstbeschwerdegegnerin einzuleiten vergleiche , C.1.), sind gegenständlich ursächlich für die Reaktion der Erstbeschwerdegegnerin gewesen vergleiche , C.2.). Es liegt im Rahmen der allgemeinen Lebenserfahrung, dass diese zur Verteidigung ihrer rechtlichen Interessen auf dessen im Rahmen des Vertragsverhältnisses erhobenen Daten zurückgreifen wird und war dementsprechend für diesen unter Einbeziehung der vernünftigen Erwartungen auch vorhersehbar. Dabei war auch zu berücksichtigen, dass keine personenbezogenen Daten besonderer Kategorie nach Artikel 9, oder 10 DSGVO verarbeitet worden sind, was der Beschwerdeführer auch nicht vorgebracht hätte.
Vorstehende Erwägungen gelten auch für die Weiterleitung der personenbezogenen Daten an die Zweibeschwerdegegnerin als deren externer Datenschutzbeauftragte und Rechtsbeistand. Hierdurch sind die Daten weder an einen größeren Personenkreis weitergeleitet noch exzessiv verwendet worden, sondern lediglich zum Zweck einer zielgerichteten Beantwortung der Schreiben des Beschwerdeführers durch Expert:innen an diese übermittelt worden. Von der Erstbeschwerdegegnerin ist hierbei die am wenigsten eingriffsintensivste, und somit zweckadäquateste Methode zur Beantwortung der Schreiben des Beschwerdeführers gewählt worden. Auch ein Verstoß gegen das Prüfkriterium Art. 6 Abs. 4 lit. e DSGVO liegt nicht vor, weil Rechtsanwält:innen aufgrund der Rechtsanwaltsordnung der Verschwiegenheitspflicht unterliegen (vgl. § 9 Abs. 2 RAO) bzw. (externe) Datenschutzbeauftragte nach Art. 38 Abs 5 DSGVO bei der Erfüllung ihrer Aufgaben an die Wahrung der Geheimhaltung und Vertraulichkeit gebunden sind. Vorstehende Erwägungen gelten auch für die Weiterleitung der personenbezogenen Daten an die Zweibeschwerdegegnerin als deren externer Datenschutzbeauftragte und Rechtsbeistand. Hierdurch sind die Daten weder an einen größeren Personenkreis weitergeleitet noch exzessiv verwendet worden, sondern lediglich zum Zweck einer zielgerichteten Beantwortung der Schreiben des Beschwerdeführers durch Expert:innen an diese übermittelt worden. Von der Erstbeschwerdegegnerin ist hierbei die am wenigsten eingriffsintensivste, und somit zweckadäquateste Methode zur Beantwortung der Schreiben des Beschwerdeführers gewählt worden. Auch ein Verstoß gegen das Prüfkriterium Artikel 6, Absatz 4, Litera e, DSGVO liegt nicht vor, weil Rechtsanwält:innen aufgrund der Rechtsanwaltsordnung der Verschwiegenheitspflicht unterliegen vergleiche Paragraph 9, Absatz 2, RAO) bzw. (externe) Datenschutzbeauftragte nach Artikel 38, Absatz 5, DSGVO bei der Erfüllung ihrer Aufgaben an die Wahrung der Geheimhaltung und Vertraulichkeit gebunden sind.
Als Zwischenergebnis hält die Datenschutzbehörde fest, dass der neue Zweck mit dem ursprünglichen Zweck vereinbar und die Abänderung zulässig ist und damit auch der Grundsatz der Zweckbindung in Art. 5 Abs. 1 lit. b DSGVO eingehalten worden ist. Im nächsten Schritt zu prüfen, ob sich die Erstbeschwerdegegnerin auf einen Erlaubnistatbestand gemäß Art. 6 Abs. 1 DSGVO für die geänderte Verarbeitung, hier konkret auf Art. 6 Abs. 1 lit. f DSGVO, berufen kann.Als Zwischenergebnis hält die Datenschutzbehörde fest, dass der neue Zweck mit dem ursprünglichen Zweck vereinbar und die Abänderung zulässig ist und damit auch der Grundsatz der Zweckbindung in Artikel 5, Absatz eins, Litera b, DSGVO eingehalten worden ist. Im nächsten Schritt zu prüfen, ob sich die Erstbeschwerdegegnerin auf einen Erlaubnistatbestand gemäß Artikel 6, Absatz eins, DSGVO für die geänderte Verarbeitung, hier konkret auf Artikel 6, Absatz eins, Litera f, DSGVO, berufen kann.
Die Datenverarbeitung auf Grundlage von „berechtigten Interessen“ ist unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse (vgl. das Urteil des EuGH vom 11. Dezember 2019, C-708/18 Rz 40 mwN).Die Datenverarbeitung auf Grundlage von „berechtigten Interessen“ ist unter drei kumulativen Voraussetzungen zulässig: i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden, ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse vergleiche das Urteil des EuGH vom 11. Dezember 2019, C-708/18 Rz 40 mwN).
i) Wahrnehmung eines berechtigten Interesses durch den Verantwortlichen oder den bzw. die Dritten, denen die Daten übermittelt werden
Die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen stellen ein berechtigtes Interesse dar (siehe dazu auch das Urteil des EuGH vom 17. Juni 2021, C-597/19 Rz 108 ff bzw. vgl. oben). Dies insbesondere auch im gegenständlichen Fall, da der Beschwerdeführer allfällige rechtliche Schritte ankündigt. Durch die Ankündigung des Beschwerdeführers wird die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen, welche grundsätzlich nicht ausreichen würde (vgl. den Bescheid der Datenschutzbehörde DSB-D123.085/0003-DSB/2018) zu einer greifbaren.Die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen stellen ein berechtigtes Interesse dar (siehe dazu auch das Urteil des EuGH vom 17. Juni 2021, C-597/19 Rz 108 ff bzw. vergleiche oben). Dies insbesondere auch im gegenständlichen Fall, da der Beschwerdeführer allfällige rechtliche Schritte ankündigt. Durch die Ankündigung des Beschwerdeführers wird die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen, welche grundsätzlich nicht ausreichen würde vergleiche den Bescheid der Datenschutzbehörde DSB-D123.085/0003-DSB/2018) zu einer greifbaren.
ii) Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
Die Verarbeitung der gegenständlichen Daten (Lebenslauf, Korrespondenz mit Beschwerdeführer, Bewerbungsunterlagen) ist zur Abwehr der vom Beschwerdeführer allenfalls geltend gemachten Ansprüche erforderlich, da der Erstbeschwerdegegnerin sonst bei ihrer rechtlichen Verteidigung Beweismittel fehlen könnten.
iii) kein Überwiegen der Grundrechte und Grundfreiheiten der vom Datenschutz betroffenen Person über das wahrgenommene berechtigte Interesse
Ein besonders schwerer Eingriff in die Rechte des Beschwerdeführers ist nicht erkennbar.
Demgegenüber steht das Interesse der Erstbeschwerdegegnerin, geltend gemachte Ansprüche des Beschwerdeführers abzuwehren, welche dieser, an Konditionen geknüpft, bereits in seiner Bewerbung ankündigt (vgl. C.1.), weshalb dieser grundsätzlich nach den vernünftigen Lebenserwartungen auch damit rechnen musste, dass diese seine Daten zur Abwehr der angekündigten Ansprüche verarbeiten wird. Auch die datenminimierenden Maßnahmen (vgl. oben, insbesondere die Löschung der personenbezogenen Daten, sobald die jeweiligen Ansprüche nicht mehr geltend gemacht werden können) wirken sich zugunsten der Erstbeschwerdegegnerin aus. Demgegenüber steht das Interesse der Erstbeschwerdegegnerin, geltend gemachte Ansprüche des Beschwerdeführers abzuwehren, welche dieser, an Konditionen geknüpft, bereits in seiner Bewerbung ankündigt vergleiche , C.1.), weshalb dieser grundsätzlich nach den vernünftigen Lebenserwartungen auch damit rechnen musste, dass diese seine Daten zur Abwehr der angekündigten Ansprüche verarbeiten wird. Auch die datenminimierenden Maßnahmen vergleiche oben, insbesondere die Löschung der personenbezogenen Daten, sobald die jeweiligen Ansprüche nicht mehr geltend gemacht werden können) wirken sich zugunsten der Erstbeschwerdegegnerin aus.
Damit überwiegen im gegenständlichen Fall die Interessen der Erstbeschwerdegegnerin gegenüber den Interessen des Beschwerdeführers.
Somit waren die Datenverarbeitungen (Ursprüngliche Verarbeitung zur Bearbeitung der Bewerbung; Weiterverarbeitung zur Abwehr allfällig vom Beschwerdeführer geltend gemachter Ansprüche) rechtmäßig iSd Art. 6 Abs. 1 DSGVO iVm Art. 5 Abs. 1 lit. a DSGVO. Deshalb besteht auch keine Löschungsverpflichtung nach Art. 17 Abs. 1 lit. d DSGVO, wonach personenbezogene Daten bei unrechtmäßiger Verarbeitung zu löschen sind.Somit waren die Datenverarbeitungen (Ursprüngliche Verarbeitung zur Bearbeitung der Bewerbung; Weiterverarbeitung zur Abwehr allfällig vom Beschwerdeführer geltend gemachter Ansprüche) rechtmäßig iSd Artikel 6, Absatz eins, DSGVO in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO. Deshalb besteht auch keine Löschungsverpflichtung nach Artikel 17, Absatz eins, Litera d, DSGVO, wonach personenbezogene Daten bei unrechtmäßiger Verarbeitung zu löschen sind.
Auch nach Art. 17 Abs. 1 lit. a DSGVO liegt kein Anspruch des Beschwerdeführers auf Löschung seiner personenbezogenen Daten vor bzw. wurden diese aus dieser Verpflichtung heraus teilweise bereits gelöscht (Lebenslauf). Dies deshalb, da die personenbezogenen Daten für die Zwecke, für die sie auf sonstiger Weise verarbeitet wurden, noch notwendig sind (vgl. oben die nicht abgelaufenen Verjährungsfristen) bzw. eben bereits aufgrund ihrer nicht mehr vorliegenden Notwendigkeit gelöscht worden sind (Lebenslauf). Die Löschungspflichten nach Art. 17 Abs. 1 lit. b, e und f DSGVO sind nicht einschlägig.Auch nach Artikel 17, Absatz eins, Litera a, DSGVO liegt kein Anspruch des Beschwerdeführers auf Löschung seiner personenbezogenen Daten vor bzw. wurden diese aus dieser Verpflichtung heraus teilweise bereits gelöscht (Lebenslauf). Dies deshalb, da die personenbezogenen Daten für die Zwecke, für die sie auf sonstiger Weise verarbeitet wurden, noch notwendig sind vergleiche oben die nicht abgelaufenen Verjährungsfristen) bzw. eben bereits aufgrund ihrer nicht mehr vorliegenden Notwendigkeit gelöscht worden sind (Lebenslauf). Die Löschungspflichten nach Artikel 17, Absatz eins, Litera b, e, und f DSGVO sind nicht einschlägig.
Bzgl. dem „Widerspruch“ des Beschwerdeführers nach Art. 21 DSGVO hat eine betroffene Person u.a. das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen eine grundsätzlich rechtmäßige Verarbeitung ihrer personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Eine besondere beim Beschwerdeführer gelegene Situation ist gegenständlich nicht ersichtlich und nimmt Art. 21 Abs. 1 S. 2 DSGVO vom Recht auf Widerspruch Verarbeitungen, welche der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen [Anmerkung Bearbeiter/in: vermutliches Redaktionsversehen; zu ergänzen wohl: „dienen,“] aus. Könnte man beispielsweise der Verarbeitung von Beweismitteln widersprechen, wäre gerichtlichen und behördlichen Verfahren jede Grundlage entzogen. Daher trifft auch Art. 17 Abs. 1 lit. c DSGVO nicht zu. Bzgl. dem „Widerspruch“ des Beschwerdeführers nach Artikel 21, DSGVO hat eine betroffene Person u.a. das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen eine grundsätzlich rechtmäßige Verarbeitung ihrer personenbezogenen Daten, die aufgrund von Artikel 6, Absatz eins, Litera e, oder f DSGVO erfolgt, Widerspruch einzulegen. Eine besondere beim Beschwerdeführer gelegene Situation ist gegenständlich nicht ersichtlich und nimmt Artikel 21, Absatz eins, S. 2 DSGVO vom Recht auf Widerspruch Verarbeitungen, welche der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen [Anmerkung Bearbeiter/in: vermutliches Redaktionsversehen; zu ergänzen wohl: „dienen,“] aus. Könnte man beispielsweise der Verarbeitung von Beweismitteln widersprechen, wäre gerichtlichen und behördlichen Verfahren jede Grundlage entzogen. Daher trifft auch Artikel 17, Absatz eins, Litera c, DSGVO nicht zu.
Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers von der Erstbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Art. 17 Abs. 1 lit. a bis f DSGVO besteht und im Übrigen Art. 17 Abs. 1 DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO), was gegenständlich der Fall ist.Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers von der Erstbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Artikel 17, Absatz eins, Litera a, bis f DSGVO besteht und im Übrigen Artikel 17, Absatz eins, DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Artikel 17, Absatz 3, Litera e, DSGVO), was gegenständlich der Fall ist.
Im Ergebnis war die Beschwerde gegen die Erstbeschwerdegegnerin spruchgemäß abzuweisen.
D.3. Zur Zweitbeschwerdegegnerin:
Die Erwägungen und Ausführungen in D.2. im Verhältnis Beschwerdeführer – Erstbeschwerdegegnerin ab der Weiterverarbeitung lassen sich auch auf das Verhältnis Beschwerdeführer - Zweitbeschwerdegegnerin sinngemäß übertragen.
Die Zweitbeschwerdegegnerin hat die personenbezogenen Daten des Beschwerdeführers dementsprechend rechtmäßig von der Erstbeschwerdegegnerin erhalten und verarbeitet diese ebenso rechtmäßig im Interesse der Erstbeschwerdegegnerin nach Art. 6 Abs. 1 lit. f DSGVO. Hinzu kommt bei der Zweitbeschwerdegegnerin das Interesse, ihren Vertrag mit der Erstbeschwerdegegnerin zu erfüllen.Die Zweitbeschwerdegegnerin hat die personenbezogenen Daten des Beschwerdeführers dementsprechend rechtmäßig von der Erstbeschwerdegegnerin erhalten und verarbeitet diese ebenso rechtmäßig im Interesse der Erstbeschwerdegegnerin nach Artikel 6, Absatz eins, Litera f, DSGVO. Hinzu kommt bei der Zweitbeschwerdegegnerin das Interesse, ihren Vertrag mit der Erstbeschwerdegegnerin zu erfüllen.
Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers auch von der Zweitbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Art. 17 Abs. 1 lit. a bis f DSGVO besteht und im Übrigen Art. 17 Abs. 1 DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wie hier der Fall (Art. 17 Abs. 3 lit. e DSGVO).Zusammengefasst waren die personenbezogenen Daten des Beschwerdeführers auch von der Zweitbeschwerdegegnerin nicht zu löschen, da keine Löschungspflicht nach Artikel 17, Absatz eins, Litera a, bis f DSGVO besteht und im Übrigen Artikel 17, Absatz eins, DSGVO nicht gilt, soweit die Verarbeitung erforderlich ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wie hier der Fall (Artikel 17, Absatz 3, Litera e, DSGVO).
Im Ergebnis war die Beschwerde gegen die Zweitbeschwerdegegnerin spruchgemäß abzuweisen.
Insgesamt war daher spruchgemäß zu entscheiden.
Schlagworte
Löschung, Rechtmäßigkeit der Verarbeitung, Widerspruch, Information, Weiterverarbeitung, Unternehmen, Forschungsgesellschaft, Rechtsanwaltspartnerschaft, Stellenbewerbung, Bewerbungsverfahren, Bewerbungsunterlagen, Lebenslauf, CV, vorvertragliche Maßnahme, Kompatibilitätsprüfung, berechtigte Interessen, Interessenabwägung, Geltendmachung Ausübung oder Verteidigung von Rechtsansprüchen, greifbare Möglichkeit rechtlicher Auseinandersetzungen, Verschwiegenheitspflicht, geeignete GarantienEuropean Case Law Identifier (ECLI)
ECLI:AT:DSB:2025:2024.0.835.856Zuletzt aktualisiert am
28.05.2026
