2020-0.288.477 – Datenschutzbehörde Entscheidung

GZ: 2020-0.288.477 vom 11. Mai 2020 (Verfahrenszahl: DSB-D124.137)

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde des Dipl. Ing.(Univ.) Richard A*** (Beschwerdeführer) aus W***, Deutschland, vom 1. Februar 2019 gegen die Universität [für Kunst] N*** (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt:

 Der Beschwerde wird Folge gegeben , und es wird festgestellt , dass die Beschwerdegegnerin den Beschwerdeführer dadurch, dass sie am 30. Jänner 2019 seine E Mail-Adresse a***@architekt***.de als Bestandteil eines offenen, für alle 56 Empfänger sichtbaren Verteilers (CC-Versand) einer elektronischen Post mit dem Betreff „Zeitplan Professur Architektur“ verwendete, in seinem Grundrecht auf Geheimhaltung personenbezogener Daten verletzt hat.

Rechtsgrundlagen : § 1 Abs. 1 des Datenschutzgesetzes (DSG), BGBl. I Nr. 156/1999 idgF, Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. e, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1; §§ 18 Abs. 1 sowie 24 Abs. 1 und Abs. 5 DSG.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. In seiner datenschutzrechtlichen Beschwerde vom 1. Februar 2019 (mit Ergänzung vom 2. Februar 2019), verbessert im Sinne eines Mangelbehebungsauftrags der Datenschutzbehörde mit Schreiben vom 14. März 2019, brachte der Beschwerdeführer vor, die Beschwerdegegnerin habe bei der Verarbeitung seiner Daten gegen die Art. 5 und 6 DSGVO verstoßen und dadurch sein Grundrecht auf Geheimhaltung personenbezogener Daten verletzt. Konkret sei es im Zuge eines Bewerbungsverfahrens um eine Professur bei der Beschwerdegegnerin am 30. Jänner 2019 zur Versendung einer an ihn gerichteten E-Mail-Antwort (Übermittlung des vorgesehenen Zeitplans für das Verfahren) an 55 weitere Empfänger im „offenen Verteiler“ (CC) gekommen. Dadurch habe er einen Reputationsschaden erlitten und das gesamte Bewerbungsverfahren sei „korrumpiert und neu aufzulegen“ . Das Verfahren müsse wiederholt werden.

2. Die Beschwerdegegnerin hielt dem in ihrer Stellungnahme vom 21. August 2019 Folgendes entgegen: Die Beschwerdegegnerin habe eine Professorenstelle für Architektur ausgeschrieben. Jeder Bewerber, darunter auch der Beschwerdeführer, müsse sich den für das Verfahren zur Berufung auf diese Stelle geltenden Rechtsvorschriften unterwerfen. Gemäß § 9 Abs. 2, 6 und 7 der anwendbaren Satzung für Berufungsverfahren für Universitätsprofessorinnen und Universitätsprofessoren gemäß § 98 UG 2002 der Universität [für Kunst] N*** müsse jeder Bewerber damit rechnen, dass seine Bewerbung öffentlich werde, da dort eine öffentliche Anhörung vorgesehen sei. Die Beschwerdegegnerin führe die Korrespondenz mit den Bewerbern grundsätzlich individuell und per E-Mail, und es sei richtig, dass versehentlich ein Schreiben betreffend Terminplan, wie vom Beschwerdeführer vorgebracht, mit dem sichtbaren Sammelverteiler ergangen sei. Dem Beschwerdeführer könne aber kein Nachteil daraus erwachsen, dass den 54 weiteren Bewerberinnen und Bewerbern um die Stelle auf diese Weise seine Bewerbung bekannt geworden sei.

3. Der Beschwerdeführer hat nach Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens (mit Verfahrensanordnung der Datenschutzbehörde vom 19. Februar 2020, GZ: 2020-0.075.880) keine weitere Stellungnahme abgegeben.

B. Beschwerdegegenstand

4. Auf Grundlage des Beschwerdevorbringens ergibt sich, dass Verfahrensgegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, dass sie in einem laufenden Berufungsverfahren für eine Professorenstelle am 30. Jänner 2019 eine Mitteilung betreffend Terminplan per E-Mail in einer Weise versendet hat, die es den Mitbewerbern ermöglichte, vom Namen und damit von der Bewerbung des Beschwerdeführers um die Stelle Kenntnis zu erlangen.

C. Sachverhaltsfeststellungen

5. Die Beschwerdegegnerin ist eine Universität (Name laut § 6 Abs. 1 Z ** UG 2002), damit gemäß § 4 UG 2002 eine Körperschaft öffentlichen Rechts.

6. Im November 2018 wurde vom Rektorat der Beschwerdegegnerin am Institut R*** eine Universitätsprofessur für Architektur gemäß § 99 Abs.1 UG 2002 im halben Beschäftigungsausmaß zur Ausschreibung gebracht.

7. Der Beschwerdeführer, der von Beruf Architekt ist (Mitinhaber des Architektenbüros u*** a*** in D-**** W***, www.architekt***.de), reichte (unter Bekanntgabe der E-Mail-Adresse a***@architekt***.de) eine Bewerbung um diese Stelle ein.

8. Am 30. Jänner 2019 versandte ein Mitarbeiter der Beschwerdegegnerin eine E-Mail beinhaltend den Zeitplan für das Verfahren zur Berufung auf die ausgeschriebene Professorenstelle mit folgendem Kopf und Verteiler (E-Mail-Adresse des Beschwerdeführers durch Unterstreichung und Fettdruck hervorgehoben):

„Von: S***, Peter peter.s***@uni***.at

Betreff: Zeitplan Professur Architektur

Datum: 30. Januar 2019 09:28

An: S***, Peter peter.s***@uni***.at

Kopie: office@rud***.com, otto.i***@uibk.ac.at, karl.g***@g***-t**.at, h***@o***.archi, theo****@gmail.com, for***@gmail.com, je****@p****.net, karin.s***@gmail.com, office@l****-architektur.at, m***@f-g***.at, architektur@****ecke.cc, office@hhh***.at, robert-v***@****buero.com, architektur@m***-q***.com, z***.arno@gmail.com, u***@trieb***.at, b***@***architekten.com, office@****londo**.at, Atelier L*** office@l***.at, contact@***ons.at, erich@erich-z***.at, d***.hanno@****platz.com, office@***bau.at, c***.janez@o***.at, t@t***.com, office@hoch***.at, U***@construct***.com, info@***brothers.com, y-x@ue***partners.com, office@bau***.space, architektin@****sisters.ch, silvie.e***@utanet.at, paul.o***@gmail.com, re@r****-architects.com, pjotr@trans***.org, office@***-architekten.de, josef.f***@f***-k***-architekten.com, w****@tu***.at, l.korko***@gmx.at, labor@experiment-***.cc, architecture@rosma***.hu, a***@architekt***.de , u***@gmail.com, design@futurelife***.com, wald***@s***.edu, tanja.w***@trans***.edu, office@build***.com, G*** Otto U*** o.u***@***architecture.sk, office@ii***.at, office@urban***.net, hanno.q***@z***.eu, mail@o***-j***.at, *r@g***.at, ***novic@gmail.com, office@daniel-verdi***.it, walter***@***pot.com“

9. Beweiswürdigung : Diese Feststellungen stützen sich zum einen auf rechtlich festgelegte, somit allgemein bekannte Tatsachen, zum anderen auf die auf der Website der Beschwerdegegnerin (URL: https://www.uni***.at/Jobs-Detail.*41**+M***k**c86e3c6.0.html, abgerufen am 8. Mai 2020) noch abrufbare Stellenausschreibung sowie eine Kopie der fraglichen E-Mail, vorgelegt vom Beschwerdeführer als Beilage zur verbesserten Beschwerde vom 14. März 2019 (PDF, Eingangsstück in GZ: DSB D124.137/0002-DSB/2019). Die Feststellungen zur beruflichen Tätigkeit des Beschwerdeführers stützen sich auf dessen Eingaben sowie den Inhalt der Website www.architekt***.de (abgerufen am 9. Mai 2020). Die Tatsachen dieser Beschwerdesache sind zwischen den Parteien insgesamt nicht strittig.

D. In rechtlicher Hinsicht folgt daraus:

Summe :

10. Die Beschwerde hat sich als berechtigt erwiesen.

anzuwendende Rechtsvorschriften :

11. Gemäß Art. 5 Abs. 1 lit. a und c DSGVO (Überschrift: „Grundsätze für die Verarbeitung personenbezogener Daten“ ) müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“) und dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“ ).

12. Gemäß Art. 6 Abs. 1 DSGVO (Überschrift: „Rechtmäßigkeit der Verarbeitung“ ) ist eine Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben (lit. a); die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen (lit. b); die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt (lit. c); die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (lit. d); die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (lit. e); die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt (lit. d). Lit. f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

13. Gemäß § 5 UG 2002 hat die Beschwerdegegnerin ihre Aufgaben gemäß § 3 UG 2002 im Rahmen der Gesetze und Verordnungen weisungsfrei zu besorgen und ist berechtigt, sich ihre Satzung (das sind die gemäß § 19 UG 2002 vorgesehenen Verordnungen) im Rahmen der Gesetze nach Maßgabe des Art. 81c Abs. 1 B-VG selbst zu geben. Den Organen der Beschwerdegegnerin sind auch behördliche Aufgaben übertragen (siehe insbesondere § 46 UG 2002).

datenschutzrechtlicher Status der Beschwerdegegnerin :

14. Die Beschwerdegegnerin ist, wie festgestellt, eine durch Gesetz eingerichtete Körperschaft öffentlichen Rechts , der hoheitliche Aufgaben übertragen sind. Bei der Berufung auf die Stelle eines Universitätsprofessors handelt es sich um ein durch die §§ 98 f UG 2002 und die im Rahmen der universitären Selbstverwaltung beschlossene gesetzmäßige Satzung der Beschwerdegegnerin geregeltes Verfahren. Die Beschwerdegegnerin war daher im Sinne des Art. 6 Abs. 1 letzter Satz DSGVO hier als Behörde in Erfüllung ihrer Aufgaben tätig, dies unabhängig von der Frage, welche Organe im Einzelfall zu entscheiden hatten, und ob diese im Einzelfall durch Bescheid oder andere Akte wie Vertragsabschlüsse tätig wurden.

Für diesen Beschwerdefall folgt daraus weiters :

15. Die Verwendung des als Datenverarbeitung im Sinne von Art. 4 DSGVO zu wertenden elektronischen Kommunikationssystems E-Mail durch die Beschwerdegegnerin ist angesichts des Stands der Technik und in einer Gesamtbetrachtung des rechtlichen Rahmens (vgl. insbesondere § 37 Abs. 1 ZustG) als zulässig anzusehen und kann datenschutzrechtlich auf Art. 6 Abs. 1 lit. e DSGVO gestützt werden, da hier zwar keine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) zur Verwendung dieses elektronischen Kommunikationssystems bestanden hat, die Verarbeitung jedoch für die Wahrnehmung einer Aufgabe (Durchführung des Berufungsverfahrens für die ausgeschriebene Professur mit Bewerberinnen und Bewerbern aus dem In- und Ausland) erforderlich war, die im öffentlichen Interesse lag und in Ausübung öffentlicher Gewalt erfolgte, die der Verantwortlichen übertragen wurde.

16. Daraus folgt, dass keine ausdrückliche Einwilligung (Art. 4 Z 11 DSGVO) des Beschwerdeführers erforderlich war, um seine E-Mail-Adresse rechtmäßig für Zwecke der Kommunikation und Zustellung verarbeiten zu dürfen.

17. Die Beschwerdegegnerin hat als Verantwortliche bei der Verarbeitung jedoch gegen den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO verstoßen. Aus dem festgestellten Sachverhalt und dem Eingeständnis der Beschwerdegegnerin, der Versand sei nur „versehentlich“ in dieser Weise erfolgt, ergibt sich die Schlussfolgerung, dass der Mitarbeiter der Beschwerdegegnerin, der die Nachricht zum Versand gebracht hat, die Haupt-Adressierung – wie für solche Fälle eines Versands an einen Adressverteiler kunstgerecht richtig – zwar an die eigene Adresse vorgenommen hat, es aber aus einem nicht festgestellten und für das Ergebnis dieses Verfahrens auch nicht entscheidenden Grund unterlassen hat, die insgesamt 56 E-Mail-Adressen des Verteilers in das Feld „Blind Carbon Copy – BCC“ einzutragen, wodurch sie den einzelnen Empfängern nicht zur Kenntnis gelangt wären. Stattdessen erfolgt ein Versand durch Eintragung in das Feld „Carbon Copy – CC“, wodurch jedem Inhaber einer der 56 verwendeten E-Mail-Adressen die E-Mail-Adressen der 55 übrigen Empfänger zur Kenntnis gelangten.

18. Im Fall des Beschwerdeführers, der durch eine aus seinem (Familien-) Namen und der Internet-Domain seines Architektenbüros bestehende E-Mail-Adresse identifizierbar war, wurde durch die Zusammensetzung des Verteilers in Verbindung mit dem Inhalt der Nachricht auch offengelegt, dass er sich um die ausgeschriebene Stelle beworben hatte.

19. Für den hier verfolgten Zweck der Verarbeitung ist kein Grund erkennbar, warum nicht die BCC-Zustellung als datensparsamere Methode Verwendung hätte finden können. Die Datenschutzbehörde geht dabei davon aus, dass dies ein einmaliges Versehen war.

20. Anders als von der Beschwerdegegnerin vorgebracht, kommt es hier nicht auf eine Beurteilung der Schutzwürdigkeit des Beschwerdeführers an. Es ist durchaus möglich, dass die hier übermittelten Daten in einem anderen Stadium des Berufungsverfahrens offengelegt hätten werden müssen, etwa im Zusammenhang mit einer öffentlichen Anhörung der in die engere Wahl gelangten Bewerberinnen und Bewerber. Dies ändert aber nichts daran, dass der beurteilte Verarbeitungsvorgang so nicht hätte stattfinden dürfen. Für die Beurteilung der Rechtmäßigkeit des in Beschwerde gezogenen Verarbeitungsvorgangs kann die Frage der Schutzwürdigkeit überdies außer Betracht bleiben, da selbst eine reduzierte Schutzwürdigkeit im Sinne der rein nationalen Verfassungsbestimmung des § 1 Abs. 1 DSG keinesfalls einen klar festgestellten Verstoß gegen den Grundsatz der Datenminimierung des Unionsrechts aufzuwiegen vermag.

21. Die Beschwerdegegnerin hat den Beschwerdeführer daher in seinem Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt, und es waren daher die spruchgemäßen Feststellungen zu treffen (vgl. dazu auch den Bescheid vom 24. Juni 2019, GZ DSB-D124.421/0003-DSB/2019).

22. Abschließend ist anzumerken, da ein diesbezügliches Vorbringen des Beschwerdeführers (ohne ausdrückliche Antragstellung) zur Begründung seiner Beschwerde vorliegt, dass die Beurteilung der Frage, ob das von der Beschwerdegegnerin durchgeführte Berufungsverfahrens rechtmäßig war, nicht im Zuständigkeitsbereich der Datenschutzbehörde liegt.