Datenschutzbehörde

Namen und Kurzbezeichnungen, insbesondere von politischen Parteien, die aus öffentlich zugänglichen Dokumenten (insbesondere aus dem Gegenstand des betreffenden Untersuchungsausschusses) hervorgehen oder allgemein bekannt sind, wurden nicht pseudonymisiert.]

Die Datenschutzbehörde entscheidet über den Antrag gemäß § 22 DSG iVm § 57 Abs. 1 AVG vom 15. März 2024 von Ulrich A*** (Antragsteller), vertreten durch die L*** & H*** Rechtsanwälte GmbH, S*** Straße **4/3, **** Wien, auf Untersagung der weiteren Speicherung, Aufbereitung und Übermittlung der vom Bundesministerium für Finanzen und Bundesministerium für Justiz bereits an den Untersuchungsausschuss betreffend Zwei-Klassen-Verwaltung wegen Bevorzugung von Milliardären durch ÖVP-Regierungsmitglieder (COFAG-Untersuchungsausschuss) übermittelten Daten sowie jeder weiteren Übermittlung ihn betreffender personenbezogener Daten an den COFAG-Untersuchungsausschuss gegen 1) den Bundesminister für Finanzen (Erstantragsgegner), 2) die Bundesministerin für Justiz (Zweitantragsgegnerin) und 3) den Parlamentarischen Untersuchungsausschuss betreffend Zwei-Klassen-Verwaltung wegen Bevorzugung von Milliardären durch ÖVP-Regierungsmitglieder (COFAG-Untersuchungsausschuss) des österreichischen Nationalrats (Drittantragsgegner) wie folgt

-Der Antrag wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Theodor A*** (Beschwerdeführer) vom 20. Juni 2022 gegen 1) die N*** Medienhaus GmbH, FN: *5*6*7n (Erstbeschwerdegegnerin), vertreten durch die B*** & C*** Rechtsanwälte GmbH, sowie 2) gegen die Bundesministerin für Justiz (Zweitbeschwerdegegnerin) und 3) gegen das Bezirksgericht O*** (Drittbeschwerdegegner), wegen Verletzung im Recht auf Geheimhaltung wie folgt

1)Die Beschwerde gegen die Erstbeschwerdegegnerin und die Zweitbeschwerdegegnerin wird abgewiesen.

2)Die Beschwerde gegen die Drittbeschwerdegegnerin wird infolge Unzuständigkeit zurückgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Veronika A*** (Beschwerdeführerin), vertreten durch Dr. Johanna S***, Rechtsanwältin in **** G***stadt, B***gasse *3, vom 5. Mai 2021, ergänzt am 28. Mai 2021, gegen das Bezirksgericht N*** (Beschwerdegegner) wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Johannes A*** (Beschwerdeführer) vom 31. August 2022 gegen die N*** Verkehrsbetriebe AG (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Dieter A*** (Beschwerdeführer) vom 23. Oktober 2023 gegen den Rechnungshof Österreich (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von 1) Dr. Erich A*** (Erstbeschwerdeführer) und 2) der B***labor GmbH (Zweitbeschwerdeführerin), beide vertreten durch U*** Rechtsanwalts GmbH, vom 26. November 2021 gegen 1) die M*** Verlagsgesellschaft m.b.H. (Erstbeschwerdegegnerin), vertreten durch P*** Rechtsanwälte KG, und 2) das N*** Rundfunkunternehmen (Zweitbeschwerdegegner), vertreten durch L*** Rechtsanwälte GmbH, wegen Verletzung 1) im Recht auf Löschung, 2) im Recht auf Auskunft und 3) im Recht auf Geheimhaltung wie folgt

I.Die Beschwerde der Zweitbeschwerdeführerin gegen die Beschwerdegegner wegen einer Verletzung im Recht auf Löschung wird abgewiesen.

II.Der Beschwerde des Erstbeschwerdeführers gegen die Erstbeschwerdegegnerin wegen einer Verletzung im Recht auf Auskunft wird teilweise stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin den Erstbeschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem sie keine Auskünfte über folgende Information der verarbeiteten personenbezogenen Daten des Erstbeschwerdeführers erteilt hat

a.konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO)

b.über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO)

c.über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO)

d.Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO)

e.falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

III.Der Erstbeschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution dem Erstbeschwerdeführer folgende Informationen zu beauskunften

a.konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO)

b.über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO)

c.über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO)

d.Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO)

e.falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

IV.Der Beschwerde der Zweitbeschwerdeführerin gegen die Erstbeschwerdegegnerin wegen einer Verletzung im Recht auf Auskunft wird stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin die Zweitbeschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt hat, indem sie auf deren diesbezüglichen Antrag nicht reagiert hat.

V.Der Erstbeschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen bei sonstiger Exekution ihrer Reaktionsverpflichtung gegenüber der Zweitbeschwerdeführerin gemäß Art. 12 Abs. 3, Art. 15 Abs. 1 DSGVO iVm § 1 Abs. 3 Z 1 DSG nachzukommen.

VI.Der Beschwerde des Erstbeschwerdeführers gegen den Zweitbeschwerdegegner wegen einer Verletzung im Recht auf Auskunft wird teilweise stattgegeben und es wird festgestellt, dass der Zweitbeschwerdegegner den Erstbeschwerdeführer dadurch in seinem Recht auf Auskunft verletzt hat, indem er keine Auskünfte über folgende Information der verarbeiteten personenbezogenen Daten des Erstbeschwerdeführers erteilt hat

a.konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO)

b.über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO)

c.über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO)

d.Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO)

e.falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

VII.Dem Zweitbeschwerdegegner wird aufgetragen, innerhalb einer Frist von vier Wochen dem Erstbeschwerdeführer folgende Informationen zu beauskunften

a.konkret verarbeiteten (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz DSGVO)

b.über die Zwecke der Datenverarbeitung (Art. 15 Abs. 1 lit. a DSGVO)

c.über die Kategorien personenbezogener Daten, die verarbeitet werden (Art. 15 Abs. 1 lit. b DSGVO)

d.Empfänger oder Kategorien von Empfängern (Art. 15 Abs. 1 lit. c DSGVO)

e.falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 lit. d DSGVO).

VIII.Der Beschwerde der Zweitbeschwerdeführerin gegen den Zweitbeschwerdegegner wegen einer Verletzung im Recht auf Auskunft wird teilweise stattgegeben und es wird festgestellt, dass der Zweitbeschwerdegegner die Zweitbeschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt hat, indem er keine Auskünfte über folgende Information der verarbeiteten personenbezogenen Daten der Zweitbeschwerdeführers erteilt hat

a.Auskunft über die konkret verarbeiteten (Stamm-)Daten (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 DSGVO)

b.Auskunft über die Zwecke der Datenverarbeitung (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. a DSGVO)

c.Empfänger oder Kategorien von Empfängern (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. c DSGVO).

IX.Dem Zweitbeschwerdegegner wird aufgetragen, innerhalb einer Frist von vier Wochen der Zweitbeschwerdeführerin folgende Informationen zu beauskunften

d.Auskunft über die konkret verarbeiteten (Stamm-)Daten (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 DSGVO)

e.Auskunft über die Zwecke der Datenverarbeitung (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. a DSGVO)

f.Empfänger oder Kategorien von Empfängern (§ 1 Abs. 3 Z 1 DSG iVm Art. 15 Abs. 1 lit. c DSGVO).

X.Die Beschwerde der Zweitbeschwerdeführerin gegen die Erstbeschwerdegegnerin wegen einer behaupteten Verletzung im Recht auf Geheimhaltung wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Franz A*** (Beschwerdeführer) vom 13. November 2018 gegen die N*** Marketing GmbH (Beschwerdegegnerin), vertreten durch B*** & C*** Rechtsanwälte, wegen Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde [Anmerkung Bearbeiter/in: gemeint: Beschwerde, Bescheidbeschwerde oder Amtsbeschwerde] des Bundesministeriums für Inneres (Beschwerdeführer) vom 27.10.2021 gegen den Bescheid der Datenschutzbehörde vom 5. Oktober 2021, GZ D124.33435, 2021-0.658.855 (angefochtener Bescheid), wie folgt

-Der Spruch des angefochtenen Bescheides wird dahingehend abgeändert, dass er wie folgt zu lauten hat

1.Der Beschwerde der Beschwerdeführerin wird stattgegeben und es wird festgestellt, dass der Beschwerdegegner die Beschwerdeführerin dadurch im Recht auf Auskunft verletzt hat, indem er die Auskunft vom 19.10.2020 nicht per E-Mail an die Beschwerdeführerin zugestellt hat.

2.Dem Beschwerdegegner wird aufgetragen, innerhalb einer Frist von zwei Wochen dem Auskunftsbegehren der Beschwerdeführerin dadurch zu entsprechen, indem die Auskunft an ihre elektronische Zustelladresse zugestellt wird.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Bernhard A*** (Beschwerdeführer) aus **** K***berg vom 1. August 2018 gegen die N*** (Österreich) GmbH (Beschwerdegegnerin, eingetragen im Firmenbuch zu FN *4*3*8k durch das Handelsgericht Wien) aus **** Wien, vertreten durch Dr. Erich W***, Rechtsanwalt in **** Wien, wegen Verletzung im Auskunftsrecht wie folgt

-Die Beschwerde wird abgewiesen.

Der Name des AMS als Körperschaft öffentlichen Rechts, das nicht Partei dieser Sache war, ist nicht pseudonymisiert worden, da seine gesetzlich festgelegten Aufgaben der Arbeitsvermittlung Teil der Begründung sind, und daher eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens in dieser gemäß § 23 Abs. 2 DSG zu veröffentlichenden Entscheidung nicht möglich war.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dipl. Ing. Richard A*** (Beschwerdeführer) aus **** E***berg vom 1. Dezember 2020 gegen die N*** Personalbereitstellung GmbH (Beschwerdegegnerin) aus **** J***stadt (durch das Landesgericht H**** im Firmenbuch eingetragen zu FN*3*2*0g) wegen Verletzung im Recht auf Löschung wie folgt

1.Der Beschwerde wird Folge gegeben, und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Löschung verletzt hat, indem sie dessen Antrag auf Löschung vom 3. Oktober 2020 nicht nachgekommen ist.

2.Die Beschwerdegegnerin wird angewiesen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution sämtliche von ihr verarbeiteten Daten des Beschwerdeführers zu löschen.

Die Datenschutzbehörde entscheidet über den von der Stadt N*** (Antragstellerin) am 29. November 2023 eingebrachten Antrag gemäß Art. 36 DSGVO betreffend die geplante Verarbeitung von Panoramaaufnahmen des N***er Straßennetzes wie folgt

-Der Antrag auf vorherige Konsultation nach Art. 36 DSGVO wird abgewiesen.

Der Name des Beschwerdegegners als Körperschaft öffentlichen Rechts ist nicht pseudonymisiert worden, da seine gesetzlich definierten Aufgaben der Arbeitsmarktpolitik im Text der Begründung erwähnt werden, und daher eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens in dieser gemäß § 23 Abs. 2 DSG zu veröffentlichenden Entscheidung nicht möglich war.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Heinrich A*** (Beschwerdeführer) vom 17. Februar 2020 gegen das AMS Österreich (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Firma der Beschwerdegegnerin wurde hier nicht pseudonymisiert, da sie gemäß § 3 Z 3 PBVG aus dem Gesetz ableitbar ist. Eine sinnerhaltende Pseudonymisierung war daher nicht möglich. Das Geheimhaltungsinteresse der Beschwerdegegnerin, einer juristischen Person, überwiegt hier nicht das öffentliche Interesse an der gesetzlich durch § 23 Abs. 2 DSG gebotenen Veröffentlichung der Entscheidung.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Michael A*** (Beschwerdeführer) vom 6. Mai 2021 gegen die A1 Telekom Austria AG (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt

1.Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie monatlich personenbezogene Daten des Beschwerdeführers an den Zentralausschuss der Beschwerdegegnerin übermittelt hat.

2.Die Beschwerde wird im Übrigen abgewiesen.

Beschuldigte juristische Person: N*** -Fußballvereinigung (ZVR: *6*7**88*)

Die beschuldigte juristische Person mit Sitz in **** T***dorf, J***straße *7 (im Folgenden: die Beschuldigte), hat als Verantwortliche im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen

I. Die Beschuldigte hat als Verantwortliche in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls von 25.05.2018 bis dato („Tatzeitraum 1“), innerhalb des Bundesgebietes von Österreich („Tatort“), gegen ihre Pflicht nach Art. 25 Abs. 1 DSGVO verstoßen, indem sie keine geeigneten technischen und organisatorischen Maßnahmen getroffen hat, damit im Fall einer erforderlichen Löschung – sei es auf Antrag einer betroffenen Person oder aus eigenem – personenbezogene Daten von Spielern, die an zumindest einem Spiel in der von der Beschuldigten organisierten Liga teilgenommen haben, gänzlich aus der öffentlich einsehbaren Datenbank auf der Webseite https://www.n***.com/ gelöscht werden.

II. Die Beschuldigte hat darüber hinaus als Verantwortliche im Zeitraum von 23.09.2020 bis dato („Tatzeitraum 2“), innerhalb des Bundesgebietes von Österreich („Tatort“), gegen Art. 17 DSGVO verstoßen, indem sie dem Löschungsbegehren von Herrn Roberto B*** vom 23.09.2020 nicht vollständig nachgekommen ist. Der Betroffene hatte gemäß Art. 17 Abs. 1 DSGVO das Recht, dass seine Daten gelöscht werden und die Beschuldigte war verpflichtet, die personenbezogenen Daten des Betroffenen unverzüglich zu löschen. Eine der Ausnahmebestimmungen des Art. 17 Abs. 3 DSGVO lag im konkreten Fall nicht vor. Die Beschuldigte verarbeitet nach wie vor personenbezogene Daten von Herrn Roberto B***, indem sie dessen personenbezogenen Daten unter der URL https://www.n***.com/?action=showPlayer&id=*4*6 auf ihrer Webseite veröffentlicht.

III. Die Beschuldigte hat schließlich im Zeitraum von 11.05.2021 bis dato („Tatzeitraum 3“), innerhalb des Bundesgebietes von Österreich („Tatort“), den Leistungsauftrag in Spruchpunkt 2.b. des rechtskräftigen Bescheides der Datenschutzbehörde vom 10.05.2021, GZ: D124.3076, 2021-0.096.835, welcher ihr nachweislich am 11.05.2021 zugestellt wurde, nicht befolgt, indem sie die personenbezogenen Daten des Betroffenen nicht gelöscht hat oder auf einem nicht öffentlich zugänglichen Bereich gespeichert hat. Dadurch hat die Beschuldigte eine Anweisung einer Aufsichtsbehörde iSd Art. 58 Abs. 2 lit. c DSGVO nicht befolgt.

Verwaltungsübertretungen nach

Ad I.: Art. 25 Abs. 1 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ad II.: Art. 17 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. b DSGVO ABl. L 2016/119, S. 1, idgF

Ad III.: Art. 58 Abs. 2 lit. c iVm Art. 83 Abs. 1 und 6 DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretungen wird gemäß Art. 83 DSGVO folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

1.100

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

12.100

Euro Zahlungsfrist

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [Anmerkung Bearbeiter/in: hier gekürzt] einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt.

Die Datenschutzbehörde entscheidet im Rahmen der Datenschutzüberprüfung gemäß Art. 58 Abs. 1 lit. b DSGVO gegen die Mittelschule NMS N***dorf, E***platz *3, **** N***dorf wie folgt

-Die Verantwortliche verstößt dadurch gegen die DSGVO, indem sie in der Mittelschule N***dorf eine Bildverarbeitung in den Schulräumlichkeiten per Adresse E***platz *3, **** N***dorf betreibt, wobei die Verarbeitung von Bildaufnahmen der Kamera 1 „Erdgeschoß - Gang vor EDV Räumen“, Kamera 2 „2. Stock - Gang von Lehrerzimmer und Direktion“´, Kamera 3 „3. Stock - Gang Richtung Fluchttreppe“ und Kamera 4 „Eingangsbereich“ während des Schulbetriebes entgegen den Bestimmungen des Art. 6 Abs. 1 DSGVO (Rechtmäßigkeit) erfolgt. Der Verantwortlichen wird aufgetragen, binnen einer Frist von zwei Wochen die Bildverarbeitungen von Kamera 1, 2, 3 und 4 zeitlich derart einzuschränken, dass während des Schulbetriebes keine Aufnahmen angefertigt werden bzw. die Kameras während des Schulbetriebes außer Betrieb gesetzt sind.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Botschafter Dr. Theodor D*** (Erstbeschwerdeführer) und Charlotte D***, LL.M. (Zweitbeschwerdeführerin), beide vertreten durch die B*** Rechtsanwälte OG, vom 18. April 2023 gegen die OSZE – Organisation für Sicherheit und Zusammenarbeit in Europa (Erstbeschwerdegegnerin), Ursula G*** (Zweitbeschwerdegegnerin), Irmgard H*** (Drittbeschwerdegegnerin), Otto J*** (Viertbeschwerdegegner) und Paul K*** (Fünftbeschwerdegegner) wegen Verletzung im 1) Recht auf Geheimhaltung, 2) Recht auf Auskunft und 3) Recht auf Löschung wie folgt

1.Die Beschwerde wird hinsichtlich der von den Beschwerdeführern vorgebrachten Verletzung im Recht auf Geheimhaltung, Recht auf Auskunft und Recht auf Löschung durch die Zweitbeschwerdegegnerin, die Drittbeschwerdegegnerin, den Viertbeschwerdegegner und den Fünftbeschwerdegegner abgewiesen.

2.Die Beschwerde wird hinsichtlich der von den Beschwerdeführern vorgebrachten Verletzung im Recht auf Geheimhaltung, Recht auf Auskunft und Recht auf Löschung durch die Erstbeschwerdegegnerin zurückgewiesen.

Der Name der Beschwerdegegnerin ist nicht pseudonymisiert worden, da eine Bearbeitung des Bescheidinhalts, die eine Identifizierung der Beschwerdegegnerin unmöglich gemacht oder doch deutlich erschwert hätte, nur durch weitgehende Beseitigung der Verständlichkeit des Inhalts der Entscheidung möglich gewesen wäre. Dem Geheimhaltungsrecht (§ 1 DSG) und Geheimhaltungsinteresse der Beschwerdegegnerin, einer juristischen Person, deren rechtmäßiges Handeln in der Entscheidung festgestellt worden ist, steht der gesetzliche Auftrag gemäß § 23 Abs. 2 DSG gegenüber, wobei es sich hier um eine Entscheidung von grundsätzlicher Bedeutung für die Allgemeinheit handelt, da einige Rechtsfragen hier erstmals behandelt worden sind. Die Entscheidung war daher, trotz Unmöglichkeit der vollständigen Pseudonymisierung, wegen Überwiegens des allgemeinen Interesses an der Veröffentlichung in die Entscheidungsdokumentation der Datenschutzbehörde aufzunehmen.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Herrn Walter A*** (Beschwerdeführer) vom 14. Februar 2019 gegen die Wikimedia Foundation Inc. (Beschwerdegegnerin), vertreten durch die B*** Rechtsanwälte GmbH in 1010 Wien, wegen der behaupteten Verletzung im Recht auf Löschung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet im Rahmen des amtswegigen Prüfverfahrens gegen die N*** gemeinnützige Wohnbaugesellschaft m.b.H., FN 2*88*3*t, wie folgt

1.Die Verantwortliche verstößt dadurch gegen die DSGVO, indem sie am Standort O***allee *8, 1*** Wien, 30 Videokameras betreibt, konkret die Kameras mit den Nummern 1, 2, 3, 4, 5, 6, 7, 8, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 26, 28, 29, 30, 31, 32, 33, 34 und 38, deren Aufnahmebereiche allgemeine Teile der Liegenschaft erfassen, und hierdurch entgegen dem Grundsatz des Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung) personenbezogene Daten verarbeitet.

2.Der Verantwortlichen wird aufgetragen, innerhalb einer Frist von zwei Wochen bei sonstiger Exekution den Aufnahmebereich der Videokameras mit den Nummern 6 und 17 derart einzuschränken, sodass ausschließlich die Abholstationen des Logistik- bzw. Postunternehmens erfasst werden, jedoch nicht der gesamte Eingangsbereich.

3.Der Verantwortlichen wird die Datenverarbeitung durch die Kameras mit den Nummern 1, 2, 3, 4, 5, 7, 8, 11, 12, 13, 14, 15, 16, 18, 19, 20, 21, 22, 23, 26, 28, 29, 30, 31, 32, 33, 34 und 38 mit sofortiger Wirkung bei sonstiger Exekution untersagt.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Bernhard A*** (Beschwerdeführer) aus **** J***burg vom 2. Mai 2019 gegen die N*** Bank AG (Beschwerdegegnerin, eingetragen im Firmenbuch zu FN 7**03*b durch das ****gericht J***burg) aus **** J***burg wegen Verletzung im Recht auf Geheimhaltung wie folgt

-Der Beschwerde wird Folge gegeben, und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie am 23. April 2019 um 13:41 Uhr das Telefongespräch des Beschwerdeführers unter Verwendung der Rufnummer +43 5 *4*4 *7*2*1mit einem Mitarbeiter der Niederlassung (Filiale) der Beschwerdegegnerin mit der Bezeichnung „Filiale U***zentrum“ in **** J***burg aufgezeichnet hat und die Daten des Gesprächsinhalts verarbeitet (speichert).

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde der A*** KG (Beschwerdeführerin) vom 20. Dezember 2022, verbessert mit Eingabe von 23. Jänner 2023, gegen die 1. N*** Süd GmbH (Erstbeschwerdegnerin), 2. die N*** International GmbH (Zweitbeschwerdegnerin), 3. die N*** Tiefkühl GmbH (Drittbeschwerdegegnerin), 5. das Vertretungsorgan der N*** Süd GmbH (Fünftbeschwerdegegner), 6. das Vertretungsorgan der N*** International GmbH (Sechstbeschwerdegegner) sowie 7. das Vertretungsorgan der N*** Tiefkühl GmbH (Siebtbeschwerdegegner) wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird zurückgewiesen.

Der Name der Österreichischen Post AG wurde nicht pseudonymisiert, da die Verhängung einer „Postsperre“ einen wesentlichen Teil des Beschwerdevorbringens bildet, und die Rolle der Österreichischen Post AG als Universaldienstbetreiber gesetzlich definiert ist (§ 3 Z 1 iVm §12 PMG). Das Geheimhaltungsinteresse der nicht am Verfahren beteiligten Österreichischen Post AG überwiegt hier jedoch nicht das öffentliche Interesse an der gesetzlich durch § 23 Abs. 2 DSG gebotenen Veröffentlichung der Entscheidung.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Pauline A*** (Erstbeschwerdeführerin) sowie ihrer Mandantschaft (Josef B***, Theresia C***, Peter D***, Henriette D***, E***gewerkschaft, Manfred F***, Charlotte G***, Nadine G***, Bernarda I***, Oskar H***, Theo J***, Norbert K***, Ulrich M***, Dorian L***, Bernarda L***, Gerda O***, Emil O***, Waltraud P***, Walter P***, Veronika Q***, Ulrich R***, Sebastian S***, Dorian T***, Carola U***, Manfred V***, Manfred W***, Victoria X***, Victoria Y***, Gustav Z*** und Herta Sch***), zusammengefasst als Zweitbeschwerdeführerin bezeichnet, vom 18. Jänner 2023 gegen die N*** Datenverarbeitung GmbH (Erstbeschwerdegegnerin), vertreten durch die Rechtsanwaltskanzlei Ei*** & We***, und Hon.-Prof. Dr. Walter Ba*** (Zweitbeschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt

1.Die Beschwerde der Erstbeschwerdeführerin wird als unbegründet abgewiesen.

2.Die ergänzende Beschwerde der Erstbeschwerdeführerin vom 9. Mai 2023, in welcher diese vorbrachte, dass die Beschwerde auf den Ausschuss der H***n Rechtsanwaltskammer, den Vizepräsident der H***n Rechtsanwaltskammer Dr. Ernesto Vi***, den geschäftsführenden Gesellschafter der Erstbeschwerdegegnerin Mag. Richard Ei***, die UK*** Bank und die Post AG auszudehnen ist, wird zurückgewiesen.

3.Die von der Erstbeschwerdeführerin für ihre Mandantschaft (Zweitbeschwerdeführerin) eingebrachten Beschwerden werden zurückgewiesen.

4.Der Antrag der Erstbeschwerdeführerin, ein Verwaltungsstrafverfahren gegen die Beschwerdegegner einzuleiten, wird zurückgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Dr. Franziska A*** (Beschwerdeführerin) vom 5. April 2023 gegen die Marktgemeinde N*** (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt

-Der Beschwerde wird stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hat, indem diese trotz Bestehens einer Auskunftssperre eine Meldeauskunft zur Beschwerdeführerin an eine Privatdetektei erteilt hat, ohne die Beschwerdeführerin vorab zu verständigen und ihr Gelegenheit zur Äußerung einzuräumen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Peter A*** (beschwerdeführende Partei), vertreten durch den Verein B***, S***platz *4, **** Wien, ZVR: *3*1*8*44, vom 9. August 2022 gegen die N*** Publishing & Media, Inc. (Beschwerdegegnerin), vertreten durch die C*** Rechtsanwälte GmbH, wegen A) Recht auf Löschung und Mitteilungspflicht im Zusammenhang mit der Löschung, B) des Antrags auf Anordnung gegen die Beschwerdegegnerin, die unrechtmäßigen Verarbeitungen zu beenden und C) des Antrags vom 30. Dezember 2022, eine behauptete Verletzung im Recht auf Geheimhaltung festzustellen, wie folgt

1)Der Beschwerde wird hinsichtlich Punkt A) teilweise stattgegeben und der Beschwerdegegnerin wird aufgetragen, innerhalb einer Frist von vier Wochen die Empfänger, welche die unter Sachverhaltsfeststellung C.4. genannten Daten (dies sind zumindest einzigartige Nutzer-Identifikationsnummern) anlässlich des Websitebesuchs der beschwerdeführenden Partei am 24. September 2021 auf https://www.runningsport***.com/ erhalten haben, über die Löschung der jeweils an sie übermittelten Daten zu informieren. Die Information hat insbesondere an folgende Empfänger zu ergehen: J***Data, The***infoExchange.

2)Die Beschwerde wird hinsichtlich Punkt A) und B) im Übrigen abgewiesen.

3)Die Beschwerde wird hinsichtlich Punkt C) zurückgewiesen.

4)Der Beschwerdegegnerin wird amtswegig aufgetragen, innerhalb einer Frist von 8 Wochen

a.den Cookie-Banner (das Ersuchen um Einwilligung) der Website https://www.runningsport***.com/ (siehe Sachverhaltsfeststellung C.6.) derart abzuändern, dass bei Besuch der Website eine gültige Einwilligung eingeholt wird. Hierfür hat die Beschwerdegegnerin den Cookie-Banner zumindest derart abzuändern, dass auf der ersten Ebene des Cookie-Banners neben der Option „Akzeptieren“ („Accept“) eine optisch gleichwertige Option vorhanden ist, um den Cookie-Banner ohne Abgabe einer Einwilligung zu schließen (etwa „Ablehnen“ oder „Schließen des Cookie-Banners ohne Einwilligung“)

b.ihre Website https://www.runningsport***.com/ derart anzupassen, dass der Widerruf der Einwilligung für die eingesetzten Cookies (siehe Sachverhaltsfeststellung C.6.) und die damit im Zusammenhang stehende Verarbeitung personenbezogener Daten einfach möglich ist. Hierfür hat die Beschwerdegegnerin zumindest einen Hinweis, wo das Widerrufsrecht ausgeübt werden kann, ausdrücklich in die Information im Cookie-Banner (siehe Sachverhaltsfeststellung C.6.) aufzunehmen.

c.ihre Website https://www.runningsport***.com/ (siehe Sachverhaltsfeststellung C.6.) derart abzuändern, dass für die mit analytischen Cookies (insbesondere J***Data Analytics) im Zusammenhang stehende Verarbeitung personenbezogener Daten eine gültige Einwilligung eingeholt wird.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Ulrich A*** (Beschwerdeführer), vertreten durch Dr. Hermann B*** Rechtsanwalts KG vom 15. Februar 2023 gegen die Landespolizeidirektion Oberösterreich (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt

-Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Beschwerdegegnerin den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat indem sie unrechtmäßig seine personenbezogenen Daten im Rahmen einer erkennungsdienstlichen Maßnahme am 12. Januar 2023 erhoben hat.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von 1.) Dr. Robert A*** (Erstbeschwerdeführer) und der 2.) Ediciones B*** (Zweitbeschwerdeführerin) vom 4. April 2022 gegen die N*** Elektronik Gesellschaft.m.b.H. (Beschwerdegegnerin) wegen behaupteter Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Beschuldigte juristische Person: B*** GmbH (FN *5*0*1k)

Die beschuldigte juristische Person mit Sitz in **** I***tal, J***straße *2 (im Folgenden „B***“), hat als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen

I. B*** hat in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO im Zeitraum vom 24.04.2023 bis zumindest 05.06.2023 gegen ihre Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde gemäß Art. 33 Abs. 1 und 3 DSGVO verstoßen, indem sie der Datenschutzbehörde am 24.04.2023 per E-Mail eine Sicherheitsverletzung, die ihr seit 06.03.2023 (18:30 Uhr) bekannt war, verspätet meldete und darüber hinaus die Informationen zur Sicherheitsverletzung im Rahmen der Meldung auf allgemein gehaltene Angaben beschränkte, da sie mit der Meldung lediglich ihre Versicherung zufriedenstellen wollte, um den von ihr behaupteten Schaden ersetzt zu bekommen. Konkret wurden im Rahmen der Meldung die obligatorischen Informationen nach Art. 33 Abs. 3 lit. a und d DSGVO auf allgemein gehaltene Angaben beschränkt, die es der Datenschutzbehörde nicht ermöglichten, die Einhaltung der Verpflichtungen von B*** nach Art. 33 und 34 DSGVO zu überprüfen.

II. B*** hat darüber hinaus in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO im Zeitraum vom 24.04.2023 bis zumindest 05.06.2023 gegen ihre Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde) gemäß Art. 31 DSGVO verstoßen, indem sie den folgenden Aufforderungen zur Stellungnahme im Rahmen des Sicherheitsverletzungs-Verfahrens zur GZ: D084.4838 nicht entsprach

-Aufforderung zur ergänzenden Meldung/Stellungnahme vom 24.04.2023 (GZ: D084.4838 - 2023-0.309.559), zugestellt per E-Mail am 24.04.2023 an „info@b***.at“

-Erneute Aufforderung zur ergänzenden Meldung/Stellungnahme vom 26.04.2023 (GZ: D084.4838 - 2023-0.316.639), zugestellt per E-Mail am 26.04.2023 an „info@b***.at“.

Dadurch hat B*** als Verantwortliche auf Anfrage einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht zusammengearbeitet.

Die beschuldigte juristische Person hat daher im Ergebnis gegen folgende Vorgaben der DSGVO verstoßen

-Die Pflicht zur rechtzeitigen Meldung einer Verletzung des Schutzes personenbezogener Daten an die Datenschutzbehörde gemäß Art. 33 Abs. 1 DSGVO zusammen mit den nach Art. 33 Abs. 3 lit. a und d DSGVO genannten (obligatorischen) Informationen

-Die Pflicht zur Zusammenarbeit mit der Datenschutzbehörde auf Anfrage bei der Erfüllung ihrer Aufgaben gemäß Art. 31 DSGVO

Verwaltungsübertretungen nach

Ad. I.

Art. 33 Abs. 1 und 3 lit. a und d iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ad. II.

Art. 31 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretungen wird gemäß Art. 83 DSGVO folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

590 Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

6.490

Euro Zahlungsfrist

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt.

Beschuldigte juristische Person: N*** Gastronomie GmbH (FN 3*3*68b)

Die beschuldigte juristische Person mit Sitz in **31 K***hausen, O***straße *6/8/*7 (im Folgenden „N***GG“), hat als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen

I. Die N***GG hat in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 31.07.2020 bis 26.09.2022 (im Folgenden „Tatzeitraum 1“) am Standort in **12 K***hausen, M***platz *3 (im Folgenden „Tatort 1“) unrechtmäßig personenbezogene Daten verarbeitet, indem sie am Tatort 1 eine Bildverarbeitungsanlage (Videoüberwachungsanlage) betrieben hat, wobei der Aufnahmebereich der Anlage die Innenräume ihrer Betriebsstätte („Take awayN*** Delivery “) am Tatort 1 (unter anderem Arbeitsplätze der MitarbeiterInnen der N***GG im Küchen- und Abholbereich) erfasste. Die Speicherdauer in Bezug auf die Aufzeichnungen betrug 14 Tage und die Aufzeichnung wurde ständig – dh ohne Unterbrechungen (wie bspw. außerhalb der Betriebszeiten) – durchgeführt. Die Datenverarbeitung durch N***GG war im Ergebnis nicht dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt und konnte auf keine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO gestützt werden.

II. Darüber hinaus hat N***GG in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO in einem nicht näher feststellbaren Zeitraum, jedoch zumindest seit 25.05.2018 (bzw. seit In-Geltung-Tretung der DSGVO) bis 08.03.2023 (im Folgenden „Tatzeitraum 2“) in **31 K***hausen, O***straße *6/8/*7 (Sitz der N***GG – im Folgenden „Tatort 2“), gegen ihre Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten im Sinne des Art. 30 Abs. 1 DSGVO verstoßen, indem sie kein solches Verarbeitungsverzeichnis in der nach Art. 30 Abs. 3 DSGVO genannten Form (schriftlich oder in einem elektronischen Format) geführt hat.

Die beschuldigte juristische Person hat daher im Ergebnis gegen folgende Vorgaben der DSGVO verstoßen

-Die rechtmäßige Verarbeitung personenbezogener Daten auf Basis einer Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO

-Die Pflicht zur Führung eines Verzeichnisses betreffend aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO

-Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise gemäß Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“)

-Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten gemäß Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung)

Verwaltungsübertretungen nach

Ad. I.: Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Ad. II.: Art. 30 Abs. 1 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretungen wird gemäß Art. 83 DSGVO folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

2.000,-

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

22.000,-

Euro Zahlungsfrist

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt.

Beschuldigte juristische Person: H**** Gemeinnützige Wohnungs AG (FN 1*5*9* r)

Die beschuldigte juristische Person mit Sitz in **** R***stadt, W***straße 1*-5*(im Folgenden „H****“), hat als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung(en) begangen

Die Datenschutzbehörde forderte die H**** als Verfahrenspartei bzw. Beschwerdegegnerin im Beschwerdeverfahren zur GZ: D124.5263 mehrmals, konkret mit Schreiben vom

-17. November 2021 (erste Aufforderung zur Stellungnahme, GZ: D124.5263 - 2021-0.803.344), postalisch versendet am gleichen Tag an den Sitz der beschuldigten juristischen Person in „**** R***stadt, W***straße 1*-5*“

-11. April 2022 (erstes Urgenzschreiben, GZ: D124.5263 - 2022-0.260.991), versendet am gleichen Tag nachweislich per RSb an den Sitz der beschuldigten juristischen Person

-03. Juni 2022 (zweites Urgenzschreiben, GZ: D124.5263 - 2022-0.408.549), versendet am 09.06.2022 nachweislich per E-Mail an das E-Mail-Postfach des Datenschutzbeauftragten der Beschuldigten (Erwin.L***@***mail-it.org)

zur Stellungnahme im Beschwerdeverfahren auf und wies dabei jedes Mal ausdrücklich auf die Pflicht zur Mitwirkung gemäß Art. 31 iVm Art. 58 Abs. 1 lit. a und e DSGVO sowie auf die mögliche Einleitung eines Verwaltungsstrafverfahrens (im Falle mangelnder Mitwirkung) hin. Nach dem ersten Urgenzschreiben vom 11.04.2022 hat der zuständige Sachbearbeiter der Datenschutzbehörde am 03.06.2022 mit dem Datenschutzbeauftragten der Beschuldigten telefoniert und ihn über das laufende Beschwerdeverfahren und die mangelnde Mitwirkung der Beschuldigten informiert. Dem Datenschutzbeauftragten wurde konkret mitgeteilt, dass die Datenschutzbehörde bereits zweimal die Beschuldigte zur Stellungnahme aufgefordert hat und bis zum 03.06.2022 noch keine Stellungnahme eingelangt ist. Der Datenschutzbeauftragte führte hierzu ins Treffen, dass es hausinterne Probleme mit der Weiterleitung gab und dass die Datenschutzbehörde ihm die Aufforderung zur Stellungnahme unmittelbar per E-Mail zusenden soll (Erwin.L***@***mail-it.org). Daraufhin wurde am 09.06.2022 die Aufforderung zur Stellungnahme an die angegebene E-Mail-Adresse zugestellt.

Die Beschuldigte hat jedoch auf sämtliche Aufforderungsschreiben der Datenschutzbehörde bis zur Erledigung des Beschwerdeverfahrens mit Bescheid vom 07.07.2022 (GZ: D124.5263 - 2022-0.484.999) nicht reagiert.

Gemessen daran ergibt sich Folgendes

H**** hat in ihrer Rolle als Verantwortliche gemäß Art. 4 Z 7 DSGVO im Zeitraum vom 17.11.2021 bis einschließlich 07.07.2022 in **** R***stadt, W***straße 1*-5*, gegen ihre Mitwirkungspflicht bzw. Pflicht zur Zusammenarbeit mit der Datenschutzbehörde (als zuständige Aufsichtsbehörde) gemäß Art. 31 DSGVO verstoßen, indem sie den oben näher dargestellten Aufforderungen zur Stellungnahme im Rahmen des Beschwerdeverfahrens nicht entsprochen hat. Dadurch hat H**** in ihrer Rolle als Verantwortliche auf Anfrage einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben nicht zusammengearbeitet.

Verwaltungsübertretung(en) nach

Art. 31 iVm Art. 83 Abs. 1 und 4 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung(en) wird nach Art. 83 DSGVO folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

1.000

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

11.000

Euro Zahlungsfrist

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt], lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt.

Beschuldigte juristische Person: C*** Bank AG (FN *3*9*5p)

Die beschuldigte juristische Person mit Sitz in **** I***stadt, T***platz *2 (im Folgenden „C***B“), hat als Verantwortliche gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016, S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung begangen

Die C***B hat in ihrer Rolle als Verantwortliche in einem nicht näher feststellbaren Zeitraum, jedoch jedenfalls zwischen 23.01.2023 bis 20.02.2023, in **** I***stadt, T***platz *2, eine betroffene Person (Frau Dr. Luise O***) in ihrem Recht auf Auskunft gemäß Art. 15 DSGVO verletzt, indem sie auf Antrag der Betroffenen vom 23.01.2023 keine Auskunft im Sinne von Art. 12 iVm 15 Abs. 1 DSGVO zu jenen personenbezogenen Daten erteilt hat, die sie von der Betroffenen zum Zeitpunkt des Eingangs des Auskunftsantrags verarbeitet hat, sondern diesen Antrag intern als Antrag auf Löschung behandelt hat und in Folge die Löschung der Daten vornahm. Darüber hinaus wurden der Betroffenen nur allgemeine Informationen zur Verfügung gestellt. Durch die Löschung der Daten statt Erteilung einer Auskunft wurde die Betroffene in ihrem Recht auf Auskunft verletzt.

Verwaltungsübertretung nach

Art. 15 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. b DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung wird gemäß Art. 83 DSGVO folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

950,-

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

10.450,-

Euro Zahlungsfrist

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt.

Der Name des Beschwerdegegners als Körperschaft öffentlichen Rechts ist nicht pseudonymisiert worden, da seine gesetzlich definierten Aufgaben der Arbeitsmarktpolitik im Text der Begründung erwähnt werden, und daher eine sinnvolle und sinnerhaltende Pseudonymisierung des Namens in dieser gemäß § 23 Abs. 2 DSG zu veröffentlichenden Entscheidung nicht möglich war.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von der A*** & B*** Betriebs GmbH (Beschwerdeführerin), vertreten durch Mag. F***, Mag. T*** Rechtsanwälte OG, vom 21. September 2021 gegen das Arbeitsmarktservice (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wie folgt

1.Die Beschwerde wegen einer Verletzung im Recht auf Geheimhaltung wird als unbegründet abgewiesen.

2.Die ergänzende Beschwerde der Beschwerdeführerin vom 2. November 2022 wegen einer Verletzung im Recht auf Auskunft wird zurückgewiesen.

Der Namen des Beschwerdegegners wurde hier nicht pseudonymisiert, da es sich um eine Körperschaft öffentlichen Rechts handelt, deren Identität aus angewendeten und zitierten Rechtsvorschriften hervorgeht.]

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Herrn Ing. Martin A*** (Beschwerdeführer) vom 23. Dezember 2021 gegen den Dachverband der Sozialversicherungsträger (Beschwerdegegner) wegen der behaupteten Verletzung im Recht auf Geheimhaltung wie folgt

1.Die Beschwerde wird als unbegründet abgewiesen.

2.Der Antrag des Beschwerdeführers, die Datenschutzbehörde möge die Datenverarbeitung gemäß § 22 Abs. 4 DSG untersagen, wird abgewiesen.

3.Der Antrag des Beschwerdeführers, die Datenschutzbehörde möge gegen den Beschwerdegegner eine Geldbuße verhängen, wird zurückgewiesen.

Die Datenschutzbehörde entscheidet über den Antrag der Erna A***, BA, MA (Antragstellerin), vom 6. November 2019 auf Erteilung einer Genehmigung gemäß § 7 DSG zur Verarbeitung personenbezogener Daten für wissenschaftliche Zwecke durch Einsichtnahme in die bei der Bezirkshauptmannschaft N***, Steiermark, verwahrten „Einsatztagebücher Murenkatastrophe im R***tal 201*“ für den Zweck der Fallanalyse im Rahmen der Erarbeitung einer Dissertation

-Der Antrag wird zurückgewiesen.

Beschuldigter: Dr. Dieter N***, geb. am **.**.1960

Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretung(en) begangen

-Sie haben in ihrer Rolle als Verantwortlicher jedenfalls im Zeitraum von 27.09.2022 bis 03.10.2022 besondere Kategorien personenbezogener Daten im Bundesgebiet Österreich unrechtmäßig verarbeitet, indem Sie in Reaktion auf eine W***net-Rezension Gesundheitsdaten von Frau Karina U*** veröffentlicht haben. Dies, ohne dass eine Ausnahme des Verarbeitungsverbotes besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 2 DSGVO vorgelegen ist.

Sie haben dadurch folgende Vorgaben der DSGVO verletzt

-Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO

-Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise gemäß Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“)

-Grundsatz der Verarbeitung von personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke gemäß Art. 5 Abs. 1 lit. b DSGVO („Zweckbindung“)

-Grundsatz der dem Zweck angemessenen und erheblichen sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Verarbeitung von personenbezogenen Daten gemäß Art. 5 Abs. 1 lit. c DSGVO („Datenminimierung“)

Verwaltungsübertretung(en) nach

Art. 5 Abs. 1 lit. a, lit. b und lit. c sowie Art. 9 Abs. 1 iVm Art. 83 Abs. 1 und 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

1.000,00

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

11.000,00

Euro Zahlungsfrist

Wird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft auf das Konto [hier gekürzt] lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Georg A*** (Beschwerdeführer) vom 13. Februar 2023 gegen die Stellungskommission des Militärkommandos Steiermark als Erstbeschwerdegegnerin sowie die Bundesministerin für Landesverteidigung als Zweitbeschwerdegegnerin wegen Verletzung im Recht auf Löschung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Mag. Alfons A*** (Beschwerdeführer) vom 17. Juli 2021 gegen das Landesgericht Wiener Neustadt (Beschwerdegegner) wegen Verletzung im Recht auf Löschung wie folgt

-Die Beschwerde wird zurückgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Walter A*** (Beschwerdeführer), vertreten durch B*** Datenschutzorganisation, M***gasse *3/*4, **** Wien, ZVR: ****, vom 17. August 2022 gegen 1) N1***Medien GmbH (Erstbeschwerdegegnerin), vertreten durch Rechtsanwälte U*** & Partner, L***platz *3, **** Wien, und 2) N2*** Social Media, Inc. (Zweitbeschwerdegegnerin), Sitz: **5 K*** Drv, ****, USA, wegen A) einer Verletzung von Art. 44 DSGVO durch die Beschwerdegegnerinnen und B) einer Verletzung von Art. 5 ff, Art. 28, und Art. 29 DSGVO durch die Zweitbeschwerdegegnerin wie folgt

1.Der Bescheid der Datenschutzbehörde vom 2. Oktober 2020, Zl. D155.028, 2020-0.527.429, wird behoben.

2.Der Beschwerde wegen Beschwerdepunkt A) wird teilweise stattgegeben und es wird festgestellt, dass als Folge der Entscheidung der Erstbeschwerdegegnerin als datenschutzrechtliche Verantwortliche, die N3*** Business Tools „N3*** Login“ und „N3*** Pixel“ auf der Website www.n1***.at zu implementieren, zumindest am 12. August 2020 personenbezogene Daten des Beschwerdeführers (dies sind zumindest einzigartige Nutzer-Identifikations-Nummern, IP-Adresse und Browserparameter) an die Zweitbeschwerdegegnerin in die USA übermittelt wurden (Datenübermittlung), obwohl die Erstbeschwerdegegnerin für diese Datenübermittlung kein angemessenes Schutzniveau gemäß Art. 44 DSGVO gewährleistet hat.

3.Die Beschwerde gegen die Zweitbeschwerdegegnerin wegen der Beschwerdepunkte A) und B) wird abgewiesen.

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Lena A*** (Beschwerdeführerin) vom 10. Mai 2023 gegen die N*** Eisenbahnbetriebs-AG (Beschwerdegegnerin) wegen Verletzung im Recht auf Geheimhaltung wie folgt

-Die Beschwerde wird als unbegründet abgewiesen.

Beschuldigter: Peter A***, geb. am 14.04.198*

Sie haben als Verantwortlicher im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, im Folgenden: „DSGVO“), ABl. Nr. L 119 vom 04.05.2016 S. 1 idgF, nachstehenden Sachverhalt verwirklicht und dadurch folgende Verwaltungsübertretungen begangen

-Sie haben in Ihrer Rolle als Verantwortlicher zumindest im Zeitraum von 13.01.2023 bis 26.01.2023 innerhalb des Bundesgebiets von Österreich unrechtmäßig personenbezogene Daten verarbeitet, indem Sie Kontaktdaten (Name und Telefonnummer) von Frau Melanie O***, Herrn Ernst P*** und fünf weiteren Personen, die Ihnen lediglich aufgrund ihrer Eigenschaft als Dienstnehmer der N*** Straßenbaugesellschaft m.b.H. im Rahmen von Kundenbesuchen bekannt gegeben wurden, auf Ihrem privaten Mobiltelefon gespeichert haben, um diese in weiterer Folge für den Versand politischer Werbung im Zusammenhang mit der Landtagswahl in Niederösterreich 2023 in Evidenz zu halten. Die Verarbeitung konnte auf keinen der im Art. 6 Abs. 1 DSGVO normierten Erlaubnistatbestände gestützt werden. Auch lag keine zulässige Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO vor.

Sie haben daher im Ergebnis folgende Vorgaben der DSGVO verletzt

-Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6 Abs. 1 und 4 DSGVO

-Grundsatz der Verarbeitung von personenbezogenen Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise gemäß Art. 5 Abs. 1 lit. a DSGVO („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“)

-Grundsatz der Verarbeitung von personenbezogenen Daten für festgelegte, eindeutige und legitime Zwecke gemäß Art. 5 Abs. 1 lit. b DSGVO („Zweckbindung“)

Verwaltungsübertretung nach

Art. 5 Abs. 1 lit. a und lit. b, Art. 6 Abs. 1 und 4 in Verbindung mit Art. 83 Abs. 5 lit. a DSGVO ABl. L 2016/119, S. 1, idgF

Wegen dieser Verwaltungsübertretung wird folgende Strafe verhängt

Ferner haben Sie gemäß § 64 des Verwaltungsstrafgesetzes 1991 – VStG zu zahlen

100,00

Euro als Beitrag zu den Kosten des Strafverfahrens, das sind 10% der Strafe, mindestens jedoch 10 Euro

Euro als Ersatz der Barauslagen für

Der zu zahlende Gesamtbetrag (Strafe/Kosten/Barauslagen) beträgt daher

1100,00

Euro Zahlungsfrist

auf das KontoWird keine Beschwerde erhoben, ist dieses Straferkenntnis sofort vollstreckbar. Der Gesamtbetrag ist in diesem Fall binnen zwei Wochen nach Eintreten der Rechtskraft lautend auf die Datenschutzbehörde, einzuzahlen. Als Verwendungszweck möge die Geschäftszahl sowie das Erledigungsdatum[hier gekürzt] angegeben werden.

Erfolgt binnen dieser Frist keine Zahlung, kann der Gesamtbetrag eingemahnt werden. In diesem Fall ist ein pauschalierter Kostenbeitrag in der Höhe von fünf Euro zu entrichten. Erfolgt dennoch keine Zahlung, wird der ausstehende Betrag vollstreckt und im Fall seiner Uneinbringlichkeit die diesem Betrag entsprechende Ersatzfreiheitsstrafe vollzogen.