W274 2233705-1/3E
IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch den Richter Mag. LUGHOFER als Vorsitzenden sowie die fachkundigen Laienrichter Prof. KR POLLIRER und Dr. GOGOLA als Beisitzer über die Beschwerde des Magistrats der Stadt Wien, Wiener Wohnen, Rosa-Fischer-Gasse 2, 1030 Wien, vertreten durch Magistratsabteilung 63 - Gewerberecht, Datenschutz und Personenstand, Neutorgasse 15/2. Stock, 1010 Wien, gegen den Bescheid der Datenschutzbehörde, Barichgasse 40 - 42, 1030 Wien, vom 30.03.2020, GZ D 124.1364 2020-0.202.645, Mitbeteiligter XXXX , wegen Verletzung im Recht auf Geheimhaltung, in nicht öffentlicher Sitzung zu Recht:
Der Beschwerde wird nicht Folge gegeben.
Die Revision ist gemäß Art. 130 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
Unter Nutzung eines Formulars der Datenschutzbehörde (im Folgenden: belangte Behörde) übermittelte XXXX (im Folgenden: Mitbeteiligter vor dem Verwaltungsgericht, MB) am 31.8.2019 per E-Mail an diese eine Beschwerde wegen Verletzung im Grundrecht auf Geheimhaltung gemäß § 1 DSG gegen die Stadt Wien - Wiener Wohnen (im Folgenden: Beschwerdeführerin, BF) und brachte vor:
Am 31. August 2019 habe er unter der Tel.Nr. XXXX die BF darüber in Kenntnis gesetzt, dass Kinder eine Scheibe eingeschlagen hätten. Die BF habe darüber eine Schadensmeldung aufnehmen sollen. Einen weiteren Auftrag zur Behebung habe er nicht erteilt, dies liege wohl im Interesse der BF selbst. Die BF habe am Telefon angegeben, man werde einen Notdienst beauftragen und den Schaden beheben lassen.
Kurz darauf habe ihn ein „Elektriker“ angerufen, er sei von der BF beauftragt, den Schaden zu beheben.
Da er generell eine Geheimnummer habe und diese aus Sicherheitsgründen (Bediensteter des Bundes in erhöhtem Gefahrenbereich) gewechselt habe, habe er der BF niemals gestattet, seine Telefonnummer an Dritte (Elektriker) weiterzugeben. Er sei dazu telefonisch auch nicht gefragt worden, noch sei ihm die Weitergabe angekündigt worden, sodass er diese hätte beeinspruchen können. Auf seine telefonische Beschwerde bei der BF sei ihm mitgeteilt worden, dass die BF üblicherweise die Daten abgleiche und an Techniker weitergebe, sodass diese den Melder kontaktieren könnten. Es scheine hier nicht nur der Einzelfall einer unerlaubten Datenweitergabe an Dritte vorzuliegen, sondern ein genereller und fortgesetzter Verstoß gegen geltende Datenschutzbestimmungen.
Die BF nahm über Auftrag der belangten Behörde mit Schreiben vom 02.10.2019 durch die Magistratsabteilung 63, Gewerberecht, Datenschutz und Personenstand, erstmals dazu Stellung und führte zusammengefasst aus, am 31.08.2019 sei die BF unter deren Service- Hotline vom MB kontaktiert worden, da Kinder eine Scheibe einer Wohnung eingeworfen hätten und er die Aufnahme einer Schadensmeldung diesbezüglich begehre. Die BF habe dem MB daraufhin telefonisch mitgeteilt, dass man einen Notdienst beauftragen werde, um den Schaden zu beheben. Kurz darauf sei der MB von einem Techniker kontaktiert worden, der die Telefonnummer des MB von der BF erhalten habe und mit ihm bezüglich der Behebung des Schadens Kontakt aufnehmen habe wollen.
Zwischen der BF und dem MB bestehe ein Mietverhältnis, sodass die Datenverarbeitung zur Erfüllung eines Vertrages im Sinne des Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt sei. Der Vermieter sei verhalten, etwaige Schäden am Bestandobjekt zu beheben. Er könne sich zur Erfüllung seiner vertraglichen Verpflichtungen auch Erfüllungsgehilfen (Techniker) bedienen, die die von ihm geschuldeten Tätigkeiten vornehmen. Die Verwaltung des Bestandobjekts, in dem der MB wohne, erfolge durch die BF. Die Weitergabe der Telefonnummer des MB durch die Hausverwaltung sei im Rahmen der Erfüllung der dem Vermieter aus dem Bestandvertrag obliegenden primären Verpflichtungen - Erhaltung des übergebenen Bestandsobjektes im brauchbaren Zustand – erfolgt. Ohne deren Weitergabe wäre eine Kontaktaufnahme durch den Techniker samt anschließender Behebung des Schadens nicht möglich gewesen, weshalb keine Verletzung der DSGVO zu erkennen sei.
Der MB nahm dazu am 21.10.2019 Stellung und führte aus, der Schaden habe nicht seine Wohnung betroffen, der Schadensort liege an einer anderen Stiege. Die Instandsetzung der Liegenschaft durch die BF habe ohne Kontaktaufnahme mit ihm vonstatten gehen können. Die Weitergabe seiner personenbezogenen Daten sei damit für die Erfüllung des Auftrags nicht notwendig gewesen. Die BF habe eine genaue Schadensbeschreibung vom MB erhalten. Die BF hätte den MB bereits beim Anruf darüber in Kenntnis setzen müssen, dass sie gegebenenfalls seine Daten an Dritte weitergeben wolle, sodass er hätte widersprechen können. Betroffene Schadensmeldende seien durch Mitarbeiter am Servicetelefon der BF regelrecht dazu gezwungen, der Datenweitergabe an Dritte zuzustimmen, da ansonsten laut BF gemeldete Schäden nicht bearbeitet und Mängel nicht behoben werden könnten. Im Übrigen sei der MB durch den Techniker lediglich zu dem Zweck kontaktiert worden, um ihm mitzuteilen, welche Arbeiten geleistet würden. Diese Information sei für den MB unerheblich gewesen. Er sei nicht kontaktiert worden, um den – von außen frei zugänglichen - Schadensort zu finden.
Über Aufforderung nahm die BF am 4.11.2019 erneut Stellung und führte aus, nunmehr sei in Erfahrung gebracht worden, dass es sich beim vom MB gemeldeten Schaden um einen solchen an den allgemeinen Teilen des Hauses, konkret an der Stiegeneingangstür zur Stiege 7, handle. Rechtlich ändere dies nichts, da nach § 8 Abs. 1 MRG iVm § 1079 ABGB eine Anzeigepflicht des Mieters an den Vermieter bestehe, wenn Ausbesserungen am Mietobjekt erforderlich seien, die dem Vermieter oblägen. Diese Anzeigepflicht umfasse nicht nur das Bestandobjekt selbst, sondern auch die allgemeinen Teile des Hauses. Auch in diesen Fällen könne sich der Vermieter Erfüllungsgehilfen zur Behebung der angezeigten Mängel bedienen. Diesen dürfe auch die Telefonnummer des MB übermittelt werden. Die Weitergabe der Telefonnummer des MB sei erforderlich gewesen, um abzuklären, wo sich der Schaden an den allgemeinen Teilen konkret befinde und welche Bereiche von diesem betroffen gewesen seien.
Nach Gelegenheit zum Parteiengehör äußerte sich der MB am 13.11.2019 neuerlich dahingehend, dass bereits im Rahmen der Meldung der Ort des Schadens (Eingangstüre zur Stiege 7) unmissverständlich belegt und auffindbar gewesen sei. Der Erfüllungsgehilfe habe auch lediglich zu dem Zweck den MB angerufen, um mitzuteilen, dass er mit der Schadensbehebung nun beginnen werde. Die Rufnummernweitergabe sei erfolgt, weil die BF nach den bisherigen Erfahrungen die Personendaten des Schadensmelders pauschal und immer dem beauftragten Erfüllungsgehilfen weitergäbe.
Die belangte Behörde übermittelte diese Stellungnahme “samt neuem Sachvorbringen“ der BF zu einer weiteren Stellungnahme:
In dieser führte die BF am 5.12.2019 ergänzend aus, dass durch den Erfüllungsgehilfen des Bestandgebers nur die Benachrichtigung über die erfolgende Wiederherstellung der Mängelfreiheit der allgemeinen Teile des Hauses erfolgt sei, ändere nichts daran, dass die Übermittlung der Daten aus den dem Vermieter erwachsenden Verpflichtungen zur Erfüllung des Mietvertrags durch Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt sei. Der MB übersähe, dass auch der Bestandnehmer der Anzeigepflicht über Mängel an allgemeinen Teilen des Hauses unterliege, die den Bestandgeber zu einem Tätigwerden nach § 1096 Abs. 1 ABGB verhalte. Dieser habe den Bestandnehmer durch seinen Erfüllungsgehilfen von der Erfüllung der ihm obliegenden Verpflichtung in Kenntnis gesetzt. Die Benachrichtigung durch den Vermieter oder seine Erfüllungsgehilfen über die erfolgte bzw erfolgende Behebung von Mängeln am Bestandobjekt oder den allgemeinen Teilen der Liegenschaft sei als wesensimmanenter Bestandteil der aus § 1096 Abs 1 ABGB erwachsenden Verpflichtung zur Erhaltung auch der allgemeinen Teile der Liegenschaft zu sehen. Auch das in Kenntnis Setzen von der erfolgenden Behebung von Mängeln sei vom Rechtfertigungsgrund des Art. 6 Abs. 1 lit. b DSGVO abgedeckt.
Mit dem bekämpften Bescheid gab die belangte Behörde der Beschwerde statt und stellte fest, die BF habe den MB dadurch im Recht auf Geheimhaltung verletzt, indem sie personenbezogene Daten des MB (geheime Telefonnummer) unzulässiger Weise einem beauftragten Unternehmen übermittelt und diesem offengelegt habe.
Die belangte Behörde traf folgende Sachverhaltsfeststellungen (hinsichtlich der Parteienbezeichnungen adaptiert):
„Der MB meldete am 31. August 2019 einen Schaden an allgemeinen Teilen des von ihm bewohnten Bestandobjekts der BF an diese.
Die BF gab in Folge die geheime Telefonnummer des MB an den mit der Behebung des Schadens beauftragten Erfüllungsgehilfen weiter. Der Erfüllungsgehilfe kontaktierte den MB daraufhin telefonisch, um ihm mitzuteilen, dass der Schaden an den allgemeinen Teilen des Bestandobjekts nunmehr behoben werde.“
Rechtlich führte die belangte Behörde aus, der MB habe die BF als den für die behauptete Datenschutzverletzung Verantwortlichen bezeichnet. Bei der BF handle es sich um eine Unternehmung der Stadt Wien im Sinne des § 71 Absatz 1 WStV, der keine eigene Rechtspersönlichkeit zukomme. Unternehmungen bildeten gemäß § 106 Abs. 1 WStV organisatorisch einen Teil des Magistrats, weshalb die Zurechnung der behaupteten Rechtsverletzung zu diesem erfolge.
Nach Darstellung des § 1 Abs. 1 DSG und Art. 4 Z. 1 DSGVO sowie Erwägungsgrund 26 der DSGVO wurde ausgeführt, zwar scheine aus der Perspektive des Erfüllungsgehilfen allein aufgrund der Kenntnis der Geheimnummer nicht per se eine Rückführbarkeit auf den MB gegeben zu sein. Die Möglichkeit einer Identifizierbarkeit, etwa durch Rückfrage bei der BF, erscheine jedoch nicht ausgeschlossen, weshalb vom Vorliegen eines personenbezogenen Datums im Sinne des Art. 4 Z. 1 DSGVO auszugehen sei. Unabhängig von der Beurteilung dieses Erfüllungsgehilfen als eigenem Verantwortlichem oder Auftragsverarbeiter der BF gemäß Art. 4 Z. 7 oder 8 DSGVO sei die Weitergabe der Telefonnummer des MB an den Erfüllungsgehilfen als Offenlegung und somit als Verarbeitung im Sinne des Art. 4 Z. 2 DSGVO zu qualifizieren. Unbeachtlich sei, ob die Weitergabe des personenbezogenen Datums durch die BF auf schriftlich-elektronische oder mündliche Weise erfolgt sei, zumal ein Eingriff in das Grundrecht auf Geheimhaltung in nahezu jeder Form und somit auch durch mündliche Übermittlung erfolgen könne.
Ein schutzwürdiges Interesse an der Geheimhaltung dieses personenbezogenen Datums sei zu bejahen.
Die BF vermiete Bestandobjekte im Rahmen der Privatwirtschaftsverwaltung. Im vorliegenden Fall lasse nichts den Schluss zu, dass die BF nicht im Rahmen der Privatwirtschaftsverwaltung, sondern hoheitlich tätig geworden wäre. Der im § 1 Abs. 2 DSG normierte Eingriffsvorbehalt, wonach ein Eingriff staatlicher Behörden nur auf Basis einer qualifizierten Rechtsgrundlage erfolgen dürfe, komme im Rahmen der Privatwirtschaftsverwaltung nicht zum Tragen.
Zu prüfen sei daher, ob der vorliegende Eingriff durch die Zustimmung des MB, in seinem lebenswichtigen Interesse oder aufgrund überwiegender berechtigter Interessen eines anderen gedeckt gewesen sei.
Die Übermittlung der geheimen Telefonnummer des MB sei weder in seinem lebenswichtigen Interesse noch mit seiner Zustimmung erfolgt. Selbst wenn man den ins Treffen geführten §§ 1096, 1097 ABGB den von der BF vertretenen Inhalt unterstellen würde, läge trotzdem eine Verletzung des § 1 Abs. 1 DSG vor: Es sei nicht ersichtlich, inwieweit die Weitergabe der geheimen Telefonnummer des MB zur Erfüllung der der BF obliegenden Aufgaben - Schadensbehebung an allgemeinen Teilen des Bestandobjekts des MB - erforderlich gewesen sei, zumal der Empfänger der Daten diese bloß verwendet habe, um den MB von der Schadensbehebung zu informieren und somit die zuvor erfolgte Offenlegung der Telefonnummer des MB an den Erfüllungsgehilfen ohne konkrete Veranlassung, wie etwa die Klärung des Orts des Schadens, erfolgt sei.
Die belangte Behörde übersähe nicht, dass das Datenschutzrecht nicht als generelles Kommunikationsverbot konzipiert sei und daher eine Information an den MB als Schadensmelder, dass der Schaden nunmehr behoben werde, durchaus als Serviceleistung der BF als Bestandgeberin anzusehen sei.
Als gelinderes Mittel wäre allerdings eine Bekanntgabe der Telefonnummer des MB an den mit der Schadensbehebung beauftragten Erfüllungsgehilfen etwa erst aus dem konkreten Anlass der Klärung des Orts des Schadens bei Zweifel des Erfüllungsgehilfen in Betracht gekommen. Im Sinne des Transparenzgebots gemäß Art 5 Abs 1 lit DSGVO wäre dabei eine Rückfrage beim MB hinsichtlich der Weitergabe seiner Telefonnummer durchaus geboten gewesen, da selbst in Punkt 2.3 der unter www.wienerwohnen.at/datenschutz.html abrufbaren Datenschutzerklärung der BF davon gesprochen werde, dass die Bereitstellung der personenbezogenen Daten (einschließlich der Telefonnummer) bei Schadensmeldungen bloß freiwillig erfolge.
Insofern liege eine Verletzung des Grundsatzes der Datenminimierung gemäß § 1 Abs. 2 letzter Satz DSG i.V.m. Art. 5 Abs. 1 lit. c DSGVO und damit eine Verletzung im Recht auf Geheimhaltung vor.
Gegen diesen Bescheid richtet sich die Beschwerde des Magistrats der Stadt Wien wegen Rechtswidrigkeit des Inhalts mit dem primären Antrag, in der Sache selbst zu entscheiden und den angefochtenen Bescheid dahingehend abzuändern, dass die Datenschutzbeschwerde abgewiesen werde. Hilfsweise wird ein Aufhebungsantrag gestellt.
Die belangte Behörde legte die Beschwerde samt einer den Verwaltungsakt beinhaltenden Datei dem Bundesverwaltungsgericht am 04.08.2020 vor, wo dieser am 05.08.2020 einlangte. Die belangte Behörde beantragte, die Beschwerde abzuweisen.
Dazu führte sie aus, gemäß Art. 6 Abs 1 lit b DSGVO sei die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person sei, erforderlich sei. An das Kriterium der Erforderlichkeit sei ein strenger Maßstab anzulegen. Der europäische Datenschutzausschuss gehe davon aus, dass eine Berufung auf Art. 6 Abs 1 lit b DSGVO nur dann möglich sei, wenn die Datenverarbeitung objektiv notwendig sei, um den Vertrag zu erfüllen. Den Nachweis für diese Notwendigkeit habe der Verantwortliche zu erbringen. Aufgrund der hier zu beurteilenden Fallkonstellation sei die Datenverwendung zur Erfüllung eines Bestandvertrages nicht objektiv erforderlich gewesen. So hätte die BF vorab Rückfrage hinsichtlich der Weitergabe der Telefonnummer halten können, dies insbesondere im Lichte ihrer Datenschutzerklärung.
Auch aus der Berufung auf einen Anwendungsvorrang des Unionsrechts gegenüber § 1 DSG sei für die BF nichts zu gewinnen, weil nicht ersichtlich sei, dass § 1 Abs 1 DSG die vom EuGH definierten Kriterien betreffend einen weiteren Grundrechtsschutz durch die Mitgliedstaaten nicht erfülle.
Die BF habe daher gegen die Grundsätze der Transparenz und der Datenminimierung verstoßen.
Die Beschwerde ist nicht berechtigt:
Folgender Sachverhalt steht fest:
1. Der MB meldete am 31. August 2019 einen Schaden an allgemeinen Teilen des von ihm bewohnten Bestandobjekts der BF an die Service-Hotline der BF.
2. Die BF gab in Folge die (geheime) Telefonnummer des MB an den mit der Behebung des Schadens beauftragten Techniker weiter. Der Techniker kontaktierte den MB daraufhin telefonisch.
3. Eine Kontaktaufnahme des Technikers mit dem BF war nicht erforderlich, um die Behebung des Schadens zu ermöglichen.
Beweiswürdigung:
Zu 1.: Diese – bereits von der belangten Behörde getroffene Feststellung – ist unstrittig.
Zu 2.: Auch diese Feststellung ist im Ergebnis unstrittig. Die BF merkt in der Beschwerde dazu an, wie auch zu weiteren Feststellungen „erschienen die Sachverhaltsfeststellung und die Beweiswürdigung nicht völlig konsistent“. Die BF bezieht sich – soweit diese Feststellung bezogen auf eine Geheimnummer betroffen ist – darauf, dass die belangte Behörde die diesbezügliche Beweiswürdigung ausschließlich auf das Vorbringen des MB und eine Internetrecherche beschränkte.
Die diesbezügliche Feststellung und Beweiswürdigung der belangten Behörde ist aber unbedenklich: Die BF trat diesem Vorbringen des BF in der Datenschutzbeschwerde in keiner ihrer drei Äusserungen entgegen. Die belangte Behörde konnte die Telefonnummer des BF auch im Rahmen einer online vorgenommenen Recherche bei 2 gängigen Online- Telefonverzeichnissen nicht auffinden. Selbst in der Beschwerde behauptet die BF nicht Gegenteiliges. Ein substantiiertes Bestreiten der Sachverhaltsfeststellungen iSd § 24 VwGVG ist darin nicht zu erblicken.
Zu 3.: Auch diese Feststellung beruht – letztlich – ebenfalls auf dem übereinstimmenden Vorbringen. Zwar behauptete die BF in ihren ersten beiden Äusserungen Gegenteiliges (die Erfüllung der Verpflichtung der BF wäre ohne eine Kontaktaufnahme des Technikers mit dem MB nicht möglich gewesen – SS 2.10.2019, S 2; die Weitergabe der Telefonnummer des MB sei erforderlich gewesen um abzuklären, wo sich der Schaden an den allgemeinen Teilen konkret befunden habe und welche Bereiche von diesem betroffen gewesen seien – SS 4.11.2019, S 2). Nach jeweiliger Bestreitung durch den MB führte die BF zwar in ihrem Schriftsatz vom 5.12.2019 aus, dieser sei „additional“ zu den bereits erstatteten Stellungnahmen. Wenn die BF sodann aber ausführt, „dass nun durch den Erfüllungsgehilfen des Bestandgebers nur die Benachrichtigung über die erfolgreiche Wiederherstellung der Mängelfreiheit der allgemeinen Teile des Hauses erfolgt sei, ändere nichts daran, dass die Übermittlung der Daten in Erfüllung der Verpflichtungen der BF als Vermieterin gerechtfertigt sei und die Bestandgeberin den Bestandnehmer durch ihren Erfüllungsgehilfen von der Erfüllung dieser ihr obliegenden Verpflichtung in Kenntnis gesetzt habe“, gesteht sie damit unmißverständlich zu, dass sie – in Übereinstimmung mit dem Vorbringen des MB – nun auch davon ausgehe, dass die Kontaktaufnahme des Technikers mit dem MB nichts mehr mit der Klärung des Schadensortes zu tun habe. Auch im weiteren Schreiben bezieht die BF ihren Rechtsstandpunkt nur mehr auf das in Kenntnis Setzen von der erfolgreichen Behebung.
In diesen Ausführungen ist eine Modifikation des Vorbringens zu sehen („dass nun durch den Erfüllungsgehilfen des Bestandgebers nur die Benachrichtigung über die erfolgreiche Wiederherstellung der Mängelfreiheit der allgemeinen Teile des Hauses erfolgt sei“), nach der eine Notwendigkeit des direkten Kontakts des Technikers mit dem Anzeiger nicht mehr behauptet wurde.
Zwar bezieht sich die BF in ihrer Beschwerde (S 5) neuerlich auf dieses nicht mehr aktuelle Vorbringen in ihrer Stellungnahme vom 4.11.2019 und möchte unter Hinweis darauf einen Widerspruch zwischen Sachverhaltsfeststellung der belangten Behörde und der Beweiswürdigung aufzeigen. Diese Ausführung läßt aber die oben dargestellte Modifikation des Vorbringens der BF außer Acht. Dass die BF vom oben dargestellten Vorbringen vom 5.12.2019 abgehen wollte, geht aus ihrer Beschwerde aber nicht hervor, weil auch ihre Rechtsausführungen gar nicht auf eine Notwendigkeit der Kontaktaufnahme zur Schadenslokalisierung abzielen.
Somit war – als Präzisierung – die Feststellung zu 3. zu treffen.
Rechtlich folgt:
Die belangte Behörde stellte zunächst zutreffend die Verantwortlicheneigenschaft der BF dar, ebenso dass es sich bei dem gegenständlichen Datum - auch bei der geheimen Telefonnummer - um ein personenbezogenes Datum einer zumindest identifizierbaren natürlichen Person iSd Art 4 Z 1 DSGVO handle. Weiters stelle die Weitergabe dieser Telefonnummer an den Erfüllungsgehilfen eine Offenlegung und somit eine Verarbeitung iSd Art 4 Z 2 DSGVO dar.
Diese Qualifikationen bleiben in der Beschwerde unwidersprochen. Auch das Verwaltungsgericht hält dies für zutreffend.
In weiterer Folge prüfte die belangte Behörde die Zulässigkeit der Datenweitergabe grundsätzlich allein unter dem Aspekt des § 1 Abs 1 und 2 DSG und verneinte – weder seien lebenswichtige Interessen berührt noch sei eine Zustimmung erfolgt – ein überwiegendes Interesse der BF, weil nicht ersichtlich sei, inwieweit die Datenweitergabe zur Schadensbehebung an allgemeinen Teilen erforderlich gewesen sei. Lediglich unter Bezugnahme auf Art 5 Abs 1 lit a und c (Transparenzgebot und Datenminimierung) erachtete die belangte Behörde auch die DSGVO berührt bzw verletzt.
Wesentlicher Beschwerdepunkt der BF ist die Behauptung, aus den sich für die BF aus den §§ 1096 und 1097 ABGB ergebenden Verpflichtungen folge, dass sich der Vermieter Erfüllungsgehilfen zur Behebung der angezeigten Mängel bedienen könne „und diesen daher auch die Telefonnummer desjenigen Mieters übermitteln dürfe, der einen Mangel angezeigt habe“. Somit sei der Rechtfertigungsgrund des § Art 6 Abs 1 lit b DSGVO gegeben.
In ihrer Stellungnahme zur Aktenvorlage ging die belangte Behörde auf Art 6 Abs 1 lit b DSGVO ein, bejahte nunmehr dessen Anwendbarkeit (neben dem DSG) und führte im Wesentlichen aus, selbst bei Unterstellung des von der BF behaupteten Inhalts der §§ 1096 und 1097 ABGB sei daraus nicht abzuleiten, dass die gegenständliche Datenverarbeitung zur Erfüllung des Bestandvertrages objektiv erforderlich gewesen sei, zumal die BF allenfalls Rücksprache mit dem MB hätte halten können.
Dazu ist auszuführen:
Gemäß Art. 4 Z 11 DSGVO ist eine Einwilligung der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der diese zu verstehen gibt, mit der Verarbeitung einverstanden zu sein.
Gemäß Art. 5 DSGVO sind folgende Grundsätze für die Verarbeitung personenbezogener Daten zu beachten:
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
…
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
…
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Gemäß Art. 6 Abs. 1 DSGVO ist die Verarbeitung rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) Die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
…
In welchem Umfang eine Verarbeitung als erforderlich anzusehen ist, ergibt sich anhand einer Einzelfallbeurteilung aus dem aus dem Vertragsinhalt hervorgehenden Vertragszweck (zumindest die essentialia negotii, das sind jedenfalls die Basisdaten der Vertragspartner und der wesentliche Vertragsinhalt) und dem was zur Erfüllung der Vertragspflichten oder der Wahrnehmung von Rechten bzw. für die Durchführung vorvertraglicher Maßnahmen geboten ist. Um dies zu beurteilen, ist nicht bloß die Perspektive des Verantwortlichen einzunehmen, sondern auch die Perspektive des Betroffenen. Es muss ein unmittelbarer Zusammenhang zwischen der Verarbeitung und dem konkreten Zweck des Schuldverhältnisses bestehen. Zu den Pflichten können dabei auch vertragliche Nebenpflichten zählen. Der Maßstab der Erforderlichkeit soll im Privatrechtsverkehr aber nicht iS einer strikten Verhältnismäßigkeitsprüfung zu verstehen sein (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO Rz 36).
Dieses Erforderlichkeitskriterium ist eng auszulegen. Verarbeitungen personenbezogener Daten, die nicht wirklich notwendig sind, können nicht auf diese Grundlage gestützt werden. Sie ist nur zulässig, wenn sie zur Erfüllung der Rechte und Pflichten aus dem Vertrag oder für die Durchführung vorvertraglicher Maßnahmen geboten ist. Die Erforderlichkeit ist jedenfalls erfüllt, wenn der Vertrag ohne die Datenverarbeitung nicht vollständig erfüllt werden kann. Ein Verantwortlicher muss daher den genauen Inhalt und die Intentionen eruieren, warum ein Vertrag abgeschlossen wurde. Für diese so festgestellten Zwecke kann die Verarbeitung der personenbezogenen Daten auf die Rechtsgrundlage der Vertragserfüllung gestützt werden. Die zu berücksichtigende Grenze wird dabei durch die Grundsätze der Datenverarbeitung, insbesondere Art. 5 Abs. 1 lit. b und lit. c DSGVO und Art. 6 Abs. 4 DSGVO bestimmt.
Für jede der in Art. 6 Abs 1 DSGVO angeführten Rechtsgrundlagen (außer der Einwilligung nach lit a) muss die Datenverarbeitung für einen bestimmten Zweck erforderlich sein. Was darunter zu verstehen ist, wird aber nicht ausdrücklich festgelegt. Art. 5 Abs. 1 lit c DSGVO (Datenminimierung) fordert, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen. Für die Erforderlichkeit ist daher entscheidend, ob die Datenverarbeitung für den verfolgten Zweck objektiv geboten ist; also wenn ein unmittelbarer Zusammenhang zwischen der beabsichtigten Verarbeitung und dem konkreten Verwendungszweck besteht. Diese Abwägung ist für jede Datenverarbeitung unter Berücksichtigung der jeweiligen Rechtsgrundlage vorzunehmen. Diesbezüglich hält ErwG 39 DSGVO fest, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. In einer solchen Abwägung ist der Aufwand (zB Zeit, Kosten, Arbeit, mit der Umstellung verbundene Risiken, etc) dem Ausmaß der schonenderen bzw geringeren Datenverarbeitung gegenüber zu stellen. Wenn die Abwägung ergibt, dass andere Mittel für den Verantwortlichen zumutbar sind, dann muss die Verarbeitung von Daten umgestellt werden, also etwa eine neue Software oder sonst eine andere Datenverarbeitung eingeführt werden (Braun/Hasenauer, Die Rechtmäßigkeit der Verarbeitung gemäß Art 6 DSGVO 22 ff).
Gemäß § 8 Abs. 1 MRG ist der Hauptmieter, sofern die Behebung von ernsten Schäden des Hauses nötig wird, bei sonstigem Schadenersatz verpflichtet, dem Vermieter ohne Verzug Anzeige zu machen.
Ebenso normiert § 1097 ABGB bei sonstiger Schadenersatzpflicht eine unverzügliche Anzeigeverpflichtung des Bestandnehmers an den Bestandgeber, wenn Ausbesserungen nötig werden, welche dem Bestandgeber obliegen. Gemäß § 1096 Abs. 1 ABGB ist der Vermieter zur Instandhaltung des Bestandobjekts verpflichtet.
Bei der Beurteilung der Zulässigkeit der Weitergabe der Telefonnummer kann nur der Zeitpunkt der Weitergabe selbst herangezogen werden. Die Art und die Umstände der Verwendung (wozu der Techniker den MB sodann kontaktierte) ist für die Rechtsfrage der Zulässigkeit der Weitergabe ohne Belang.
Zwar ist der BF dahingehend beizupflichten, dass es sich bei der Erhaltungspflicht des Bestandgebers um eine vertragliche Nebenpflicht handelt und vom – aus dem Vertragsinhalt hervorgehenden – Vertragszweck auch die Sicherstellung der Mängelfreiheit des Mietobjekts, mithin der allgemeinen Teile, umfasst ist. Dennoch ist der Begriff der Erforderlichkeit im Sinne der obigen Ausführungen eng auszulegen. Die Verarbeitung personenbezogener Daten ist nur zulässig, wenn sie zur Erfüllung des Vertrages erforderlich ist, etwa wenn der Vertrag ohne Datenverarbeitung nicht vollständig erfüllt werden kann.
Der BF ist auch nicht zu widersprechen, dass sie sich zur Mängelbehebung Erfüllungsgehilfen bedienen darf. Dass sie in diesem Zusammenhang – so ist ihre Behauptung auf S 4 der Beschwerde zu verstehen – diesen Erfüllungsgehilfen ohne weitere Voraussetzungen und somit ohne den Datenschutzbestimmungen zu unterliegen Daten des Mieters, der den Mangel angezeigt hat, übermitteln dürfe, ist daraus aber keineswegs abzuleiten.
Nach den Feststellungen war eine Kontaktaufnahme des Technikers mit dem BF nicht erforderlich, um die Behebung des Schadens zu ermöglichen. Selbst wenn eine solche erforderlich gewesen sein sollte, wäre daraus nicht notwendigerweise eine Berechtigung zur Datenweitergabe an diesen abzuleiten, zumal ja eine Vermittlung über die BF hätte erfolgen können. Grundsätzlich wäre es, sollte die BF im Einzelfall eine direkte Kontaktaufnahme zwischen Techniker und anzeigendem Mieter für notwendig oder zweckmäßig befunden haben, an der BF gelegen gewesen, eine Zustimmung zur Datenweitergabe einzuholen.
Konkrete Gründe dafür, wonach es im Einzelfall objektiv notwendig gewesen wäre, die Daten des MB ohne eine solche Zustimmung an den Erfüllungsgehilfen weiterzugeben, werden in der Beschwerde nicht ansatzweise behauptet. Es ist auch nicht ersichtlich, weshalb im Hinblick auf die dargestellte Anzeigepflicht des Mieters und die Instandhaltungspflicht des Vermieters - gerade im Hinblick darauf, dass der Schadensort der BF offenbar bekannt war – eine Datenweitergabe erforderlich gewesen wäre, somit der Vertrag zwischen der BF und dem MB ohne diese Datenweitergabe nicht vollständig erfüllt hätte werden können.
Ungeachtet dessen ist die BF auch weder dem Transparenzgebot nach Art. 5 Abs. 1 lit a DSGVO noch dem nach Art 5 Abs 1 lit c DSGVO normierten Grundsatz der Datenminimierung nachgekommen, zumal bei einer allfälligen Notwendigkeit einer Kontaktaufnahme des MB durch den Erfüllungsgehilfen ebenso vorab Rückfrage hinsichtlich der Weitergabe der Telefonnummer gehalten werden hätte können und müssen.
Selbst unter Zugrundelegung der Bestimmungen der DSGVO zeigt die BF daher nicht auf, dass die Datenweitergabe zulässig gewesen wäre.
Auf die Ausführungen in der Beschwerde auf S 4 unten und 5 oben wurde bereits auf Ebene der Beweiswürdigung eingegangen. Ergänzend ist zur Frage, ob es sich um eine Geheimnummer handle, auszuführen:
Selbst im Falle, dass es sich um keine Geheimnummer gehandelt hätte, kamen im verfahren keinerlei Anhaltspunkte dafür hervor, dass es sich bei der Telefonnummer des MB um ein allgemein verfügbares Datum gehandelt hätte.
Wie weiters aufgezeigt, kann es auf Umstände, wie die Nummer sodann durch den Techniker tatsächlich verwendet wurde, nicht ankommen.
Gemäß § 24 Abs 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Nach Abs. 4 leg cit kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und dies nicht Art. 6 Abs 1 EMRK und Art. 47 GRC widerstreitet.
Ein entsprechender Antrag wurde von der BF nicht gestellt.
Der Sachverhalt stand unstrittig fest. Weshalb dies auch für die Sachverhaltspunkte 2. und 3. gilt (Präzisierungen gegenüber den Feststellungen der belangten Behörde) und jedenfalls keine substantiierte Bestreitung der Tatsachenfeststellungen in der Beschwerde vorliegt, wurde ober im Rahmen der Beweiswürdigung dargestellt.
Der Ausspruch der Unzulässigkeit der Revision beruht auf dem Umstand, dass es sich bei der Frage, ob die BF im Einzelfall durch Offenlegung der Telefonnummer des MB gegen das Recht auf Geheimhaltung verstoßen hat, um keine Rechtsfrage von grundsätzlicher Bedeutung und somit um keine revisible Rechtsfrage handelt.
Rückverweise
