BVwG W214 2239687-1

Spruch:

W214 2239687-1/16E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende und die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde von XXXX , vertreten durch den Rechtsanwalt Dr. Helmut KRENN, gegen den Bescheid der Datenschutzbehörde vom 30.10.2019, Zl. DSB-D124.1114/0005-DSB/2019, zu Recht erkannt:

A)

Der Beschwerde wird gemäß § 28 Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG), stattgegeben und der Spruch des angefochtenen Bescheids dahingehend abgeändert, dass der Spruch zu lauten hat:

„1. Der Beschwerde wird teilweise stattgegeben und es wird festgestellt, dass die Erstbeschwerdegegnerin die Beschwerdeführerin durch die telefonische Übermittlung ihrer Zahlungsdaten an die Rechtsvertreterin der XXXX in ihrem Grundrecht auf Geheimhaltung verletzt hat.

2. Im Übrigen wird die Beschwerde abgewiesen.“

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 16.07.2019 machte die Beschwerdeführerin eine Verletzung im Recht auf Geheimhaltung geltend. Dazu wurde zusammengefasst vorgebracht, dass die Beschwerdeführerin ohne Wissen ihres Vaters dessen Fahrzeug gelenkt habe, wobei es infolge eines Unfalls zu einem wirtschaftlichen Totalschaden des Fahrzeuges gekommen sei. Der Vater habe bei der XXXX (im Folgenden: Y-Versicherung) die Bezahlung des versicherten Fahrzeugs eingeklagt, die Rechtsvertreterin der Versicherung habe ohne Wissen der Beschwerdeführerin bei der XXXX . (Erstmitbeteiligte vor dem Bundesverwaltungsgericht, Erstbeschwerdegegnerin vor der belangten Behörde) die unten näher bezeichneten Beilagen angefordert, diese auch erhalten und im Prozess vorgelegt. Darüber hinaus habe die Rechtsvertreterin die Einvernahme der bei der Erstmitbeteiligten angestellten XXXX (Zweitmitbeteiligte vor dem Bundesverwaltungsgericht, Zweitbeschwerdegegnerin vor der belangten Behörde) beantragt, welche auch in der entsprechenden Verhandlung vom XXXX .2019 ausgesagt habe, sie habe sich hierbei nicht auf ihre Pflicht auf Verschwiegenheit gemäß § 321 Abs. 1 Z 3 ZPO berufen. Außerdem habe die Zweitmitbeteiligte in der Verhandlung die Frage, wie die Zahlungen bei der Beschwerdeführerin erfolgt seien, damit beantwortet, dass ihr dies nicht bekannt sei. In der letzten Verhandlung habe die Rechtsvertreterin einen (beiliegenden) Aktenvermerk vorgelegt, aus welchem sich ergebe, dass sie mit der Zweitmitbeteiligten telefoniert habe und diese diverse Auskünfte über geleistete Zahlungen behauptet bzw. angegeben habe.

Der Beschwerde beigelegt wurde ein Antrag zur Durchführung von Ausbildungsfahrten, welcher von der Beschwerdeführerin unterfertigt worden sei, eine Bestätigung über diverse von der Beschwerdeführerin absolvierte Schulungen, ein Fahrtenprotokoll, ein Aktenvermerk sowie ein Auszug aus einem Verhandlungsprotokoll.

2. Über Aufforderung der belangten Behörde erstattete die Zweitmitbeteiligte am 19.08.2019 eine Stellungnahme und brachte zunächst vor, dass sie nicht angeben könne was die Rechtsvertreterin der Versicherung in der Verhandlung alles ausgesagt habe, da sie selbst nicht die ganze Zeit anwesend gewesen sei. Vor ihrer Aussage habe niemand die Zweitmitbeteiligte über eine Verschwiegenheitspflicht oder Befreiung von dieser aufgeklärt, auch während ihrer Aussage sei sie nicht darauf hingewiesen worden. Die in der Gerichtsverhandlung vorgelegten Unterlagen seien nicht von der Zweitmitbeteiligten oder einem Angestellten des Erstmitbeteiligten weitergegeben worden, weil sich diese ab dem Prüfungstag bereits bei der Behörde befunden hätten, dies habe sie auch ausgesagt. Der Antrag (zur Durchführung von Ausbildungsfahrten) habe am 19.04.2016 die Erstmitbeteiligte verlassen, der Antrag sei entweder der Beschwerdeführerin oder ihrem Vater übergeben worden, weswegen – nach Annahme der Zweitmitbeteiligten - das diesbezügliche Leck entweder durch die Beschwerdeführerin oder durch ihren Vater entstanden sei. Die telefonischen Auskünfte seien tatsächlich durch die Zweitmitbeteiligte in dieser Form an die Rechtsvertreterin gegeben worden, nachdem die Rechtsvertreterin versichert habe, dass die Zahlungsdaten nicht unter das DSG fallen würden und mit den Auskünften kein Gesetzesverstoß verbunden sei.

3. Die Erstmitbeteiligte gab am 13.09.2019 eine Stellungnahme ab und führte aus, dass die Kundenbetreuung in erster Linie der Zweitmitbeteiligten als Sekretärin obliege. Es könne kein Fehlverhalten der Zweitmitbeteiligten erkannt werden. Vielmehr seien die Beschuldigungen über die Weitergabe von Protokollen haltlos. Aufgrund von anwaltlicher Bedrängung habe die Zweitmitbeteiligte am Telefon lediglich Zahlungen bestätigt, aber nicht weitergegeben, wer diese Zahlungen geleistet habe. Man arbeite seit zwei Jahren mit einem Programm, welches die Identität eines Anrufers erkennen lasse, sodass nur bekannten Personen Informationen am Telefon weitergegeben werden würden.

4. Am 26.09.2019 erstattete die Beschwerdeführerin zur Stellungnahme der mitbeteiligten Parteien ebenfalls eine Stellungnahme und führte aus, dass Unkenntnis des Datenschutzgesetzes nicht vor den Folgen einer Bestrafung schütze, zumal die Zweitmitbeteiligte sowieso eingeräumt habe, dass sie der Rechtsvertreterin telefonische Auskünfte über die Daten gegeben habe. Die Zweitmitbeteiligte habe sohin als Zeugin die Daten der Beschwerdeführerin ohne deren Wissen an die gegnerische Rechtsvertreterin weitergegeben, dies gehe auch aus ihrer Aussage bei Gericht hervor. Der Erstmitbeteiligte bestätige in seiner Stellungnahme vom 13.09.2019 die Vorgehensweise der Zweitmitbeteiligten.

5. Mit dem angefochtenen Bescheid der belangten Behörde wurde die Beschwerde als unbegründet abgewiesen.

Begründend führte die belangte Behörde (nach Wiederholung des Vorbringens der Parteien und des Verfahrensganges) zunächst aus, dass Beschwerdegegenstand die Frage sei, ob die mitbeteiligten Parteien die Beschwerdeführerin dadurch in ihrem Recht auf Geheimhaltung verletzt hätten, indem sie einer dritten Person personenbezogene Daten der Beschwerdeführerin, und zwar Urkunden zur Führerscheinausbildung sowie diverse Auskünfte über geleistete Zahlungen, übermittelt hätten.

Die belangte Behörde stellte unter anderem fest, dass die Beschwerdeführerin beim Erstmitbeteiligten ihre Führerscheinausbildung absolviert habe. Die Zweitmitbeteiligte sei bei der Erstmitbeteiligten als Sekretärin angestellt. Die Beschwerdeführerin habe ohne Wissen ihres Vaters und gegen seine ausdrückliche Anordnung dessen Fahrzeug gelenkt, wobei infolge eines Unfalls ein wirtschaftlicher Totalschaden am Fahrzeug eingetreten sei. Der Vater habe bei der Y-Versicherung die Bezahlung des versicherten Fahrzeuges eingeklagt. Im Zivilprozess seien von der rechtsanwaltlichen Vertretung der Versicherung unter anderem folgende Urkunden vorgelegt worden: ein Antrag auf Durchführung von Ausbildungsfahrten, welcher von der Beschwerdeführerin unterfertigt worden sei (Beilage ./4), eine Bestätigung über diverse von der Beschwerdeführerin absolvierte Schulungen (Beilage ./5) und ein Fahrtenprotokoll, in welchem sämtliche von der Beschwerdeführerin durchgeführten Fahrten verzeichnet seien (Beilage ./7). Diese Urkunden seien spätestens seit dem Prüfungstag ( XXXX .2018) der Beschwerdeführerin nicht mehr beim Erstmitbeteiligten vorhanden. Es könne nicht festgestellt werden, woher bzw. von wem die Rechtsvertreterin der Versicherung diese Urkunden erhalten habe. In der letzten Verhandlung des Zivilprozesses habe die Rechtsvertreterin einen Aktenvermerk zu einem Telefonat mit der Zweitmitbeteiligten vorgelegt.

Rechtlich führte die belangte Behörde aus, dass es sich bei den von der Zweitmitbeteiligten weitergegebenen Daten unzweifelhaft um personenbezogene Daten der Beschwerdeführerin gemäß Art. 4 Z 1 DSGVO handle, da aus den Zahlungsdaten und den zugehörigen Datumsangaben Informationen über die Beschwerdeführerin ableitbar seien. Durch den vorhandenen Personenbezug sei grundsätzlich auch ein schutzwürdiges Interesse der Beschwerdeführerin an der Geheimhaltung iSd § 1 Abs. 1 DSG anzunehmen. Im gegenständlichen Fall seien im Hinblick auf § 1 Abs. 2 DSG keine lebenswichtigen Interessen der Beschwerdeführerin erkennbar und auch eine Zustimmung sei nicht erfolgt. Mit Rücksicht auf überwiegende berechtigte Interessen eines anderen, die eine zulässige Beschränkung des Geheimhaltungsanspruchs ermöglichen würden, habe eine Abwägung zwischen den Interessen der Y-Versicherung, welche die Daten für einen Zivilprozess benötigt habe, und jenen der Beschwerdeführerin (als betroffene Person) ergeben, dass die Zahlungsdaten als Beweismittel zumindest abstrakt und denkmöglich geeignet gewesen seien, im Zivilprozess den Rechtstandpunkt der Y-Versicherung zu untermauern, weswegen deren Rechtsvertreterin daher ein berechtigtes Interesse gehabt habe, diese Zahlungsdaten als Beweismittel für den Zivilprozess von den mitbeteiligten Parteien zu erhalten. Unter Berücksichtigung des vom Vater der Beschwerdeführerin angestrengten Zivilprozesses - in Bezug auf die Zahlung des versicherten Fahrzeuges - gegen die Y-Versicherung und des Umstandes, dass die Beschwerdeführerin das Fahrzeug zum Unfallzeitpunkt, ohne im Besitz eines gültigen Führerscheines zu sein und gegen die ausdrückliche Anordnung des Vaters, gelenkt habe, verwundere es zunächst nicht, dass die Y-Versicherung die Übernahme des Schadens in Höhe von € XXXX ablehne. Im betreffenden Zivilprozess sei es auf Basis von § 9 Abs. 1 RAO Sache der Rechtsvertreterin, ihre Mandantin zu vertreten und zu verteidigen. Nach den Vorschriften über das zivilgerichtliche Verfahren würden die Ermittlung der nötigen Beweismittel und deren Anbieten grundsätzlich den Verfahrensparteien obliegen. Da ein zivilgerichtliches Verfahren also im Wesentlichen von den Verfahrensparteien zu tragen sei, sei es auch notwendig, Beweismittel zu erlangen, worin das berechtigte Interesse eines anderen liege, nämlich der Rechtsvertreterin, welche zwecks Erfahrung von Zahlungsdaten, die sie für die gewissenhafte Rechtsverteidigung der Y-Versicherung im Zivilprozess benötige, bei der Erstmitbeteiligten angerufen habe. In einer Gesamtbetrachtung komme die belangte Behörde daher zu dem Ergebnis, dass der Übermittlung der Zahlungsdaten an die Rechtsvertreterin das überwiegende Interesse zukomme und somit in der fallbezogenen Übermittlung keine Verletzung im Recht auf Geheimhaltung erblickt werden könne. Hinsichtlich der sonstigen Urkunden hätten sich keine Anhaltspunkte ergeben, dass diese von den mitbeteiligten Parteien übermittelt worden wären, sodass ihnen die behauptete Rechtsverletzung auch nicht angelastet werden könne.

6. Gegen diesen Bescheid erhob die Beschwerdeführerin mit Schriftsatz vom 02.12.2019 fristgerecht eine Beschwerde an das Bundesverwaltungsgericht. Darin wurde ausgeführt, dass der Bescheid aus dem Beschwerdegrund der Rechtswidrigkeit des Inhaltes angefochten werde. Zunächst habe die belangte Behörde zu Recht festgestellt, dass es sich bei den weitergegebenen Zahlungsdaten um personenbezogene Daten der Beschwerdeführerin handle und ein schutzwürdiges Interesse der Beschwerdeführerin an der Geheimhaltung bestehe. Allerdings sei die Rechtsansicht der belangten Behörde, wonach letztlich in der Übermittlung der Zahlungsdaten an die Rechtsvertreterin der Y-Versicherung keine Verletzung im Recht auf Geheimhaltung erblickt werden könne, eklatant unrichtig. Wenn auch der Versicherer gemäß Artikel 7 Punkt 2.1. der Allgemeinen Y Bedingungen für die Vollkaskoversicherung (AKI 2015) leistungsfrei werde, wenn der Lenker die kraftfahrrechtliche Berechtigung nicht besitze, bleibe „die Leistungsfrist des Versicherers gemäß Artikel 7 Punkt 2. gegenüber dem Versicherungsnehmer bestehen“, sofern für diesen die Obliegenheitsverletzung ohne Verschulden nicht erkennbar gewesen sei. Nur dieser Punkt sei das Thema des gegenständlichen Prozesses, weil der Vater der Beschwerdeführerin zwar das Fahren mit dem betreffenden Fahrzeug verboten habe, ihr allerdings das Fahren mit anderen Firmenfahrzeugen gestattet habe, weil er davon ausgegangen sei, dass die Beschwerdeführerin die Führerscheinprüfung bestanden habe. Die von der Rechtsvertreterin der Y-Versicherung eingeholten Erkundigungen und vorgelegten Daten seien für das gegenständliche Verfahren vollkommen unerheblich. Diese von der belangten Behörde festgestellte Erheblichkeit könne nicht rein willkürlich angenommen werden, sondern hätte vom Beschuldigten bzw. deren Rechtsvertreterin behauptet und bewiesen/bescheinigt werden müssen. Es werde daher beantragt, den angefochtenen Bescheid zu beheben bzw. abzuändern und festzustellen, dass das Recht der Beschwerdeführerin auf Geheimhaltung der sie betreffenden personenbezogenen Daten durch die mitbeteiligten Parteien verletzt worden sei.

7. Mit Schreiben vom 18.02.2021 legte die belangte Behörde die Beschwerde sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor und gab eine Stellungnahme ab. Darin wurde zunächst darauf hingewiesen, dass es gegenständlich zu einem Protokollierungsfehler gekommen sei, die Beschwerde vom 02.12.2019 sei dem zuständigen Sachbearbeiter erst am 17.02.2021 zur Kenntnis gelangt, als eine von der Beschwerdeführerin als Säumnisbeschwerde bezeichnete Eingabe eingelangt sei. Das Beschwerdevorbringen gegen den Bescheid vom 30.10.2019 werde zur Gänze bestritten und auf den angefochtenen Bescheid und die dort durchgeführte Interessenabwägung verwiesen.

8. Das Bundesverwaltungsgericht übermittelte am 30.08.2021 den mitbeteiligten Parteien die Beschwerde der Beschwerdeführerin im Rahmen des Parteiengehörs.

9. Die Erstmitbeteiligte nahm mit Schriftsatz vom 15.09.2021, eingelangt am 20.09.2021, Stellung und führte aus, dass sie auf die (beigefügte) Darstellung vom 16.09.2019 verweise und bekräftige, dass darüber hinaus keine persönlichen Daten an irgendwelche Personen weitergegeben worden seien. Die betreffenden Unterlagen (Fahrtenprotokoll, Schulungsbestätigungen der Beschwerdeführerin sowie Antrag zur Durchführung von Ausbildungsfahrten) würden zum Teil gar nicht bzw. nur wenige Stunden bei der Erstmitbeteiligten aufliegen und unverzüglich an die vorgeschriebenen Stellen weitergegeben. Überdies würden diese Unterlagen bei der Erstmitbeteiligten nicht in elektronischer Form aufliegen und könnten deshalb auf diesem Weg nicht weitergegeben werden.

10. Die Zweitmitbeteiligte erstattete am 17.09.2021 eine Stellungnahme und führte aus, dass sie bereits alles in ihrer Stellungnahme vom 19.08.2019 zusammengefasst habe. Die telefonische Beauskunftung über die Zahlungsmodalitäten sei von ihr als richtig und auch von der belangten Behörde als rechtskonform bestätigt worden.

11 Aufgrund von Verfügungen des Geschäftsverteilungsausschusses vom 16.12.2021 sowie vom 23.03.2022 wurde die gegenständliche Rechtssache schließlich in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 01.04.2022 einlangte.

12. Am 03.05.2022 übermittelte das Bundesverwaltungsgericht die Beschwerde den mitbeteiligten Parteien sowie die Stellungnahme der belangten Behörde der Beschwerdeführerin und den mitbeteiligten Parteien zur Kenntnis und gab ihnen Gelegenheit zur Abgabe einer Stellungnahme.

13. Hierauf replizierte die Beschwerdeführerin mit Stellungnahme vom 12.05.2022, dass es gegenständlich nur darauf angekommen sei, ob die sogenannte Obliegenheitsverletzung ohne Verschulden erkennbar oder nicht erkennbar gewesen sei. Aus dem – beigefügtem – Urteil des XXXX (im Folgenden: „ XXXX “) zu XXXX , ergebe sich eindeutig, dass im betreffenden Fall die Leistungspflicht des Versicherers bestehen bleibe (Artikel 7, Punkt 2), da für den Versicherten die Obliegenheitsverletzung ohne Verschulden nicht erkennbar gewesen sei. Die Zahlungsdaten als Beweismittel seien daher im gegenständlichen Zivilprozess ohne jegliche Bedeutung gewesen, die Zweitmitbeteiligte hätte niemals Aussagen vor Gericht tätigen dürfen. Sie hätte sich der Zeugenaussage entschlagen können, wenn sie nicht von der Beschwerdeführerin entbunden sei. Die Nichtentbindung unterliege der richterlichen Beweiswürdigung.

14. In ihren Schreiben vom 12.05.2022 und vom 15.05.2022 verwiesen die Zweitmitbeteiligte und der Erstmitbeteiligte vollinhaltlich auf ihre Stellungnahmen vom 17.09.2021 bzw. vom 15.09.2021.

17. Mit Schreiben vom 23.08.2022 wurden seitens des Bundesverwaltungsgerichtes die jeweiligen Stellungnahmen den Verfahrensparteien zur Kenntnis übermittelt.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.

1.2. Die Beschwerdeführerin hat ihre Führerscheinausbildung beim Erstmitbeteiligten absolviert. Die Zweitmitbeteiligte war als Sekretärin beim Erstmitbeteiligten angestellt.

Der Vater der Beschwerdeführerin hatte bei der Y-Versicherung unter anderem einen Mercedes Benz GLE 350d AMG versichert.

Am 29.08.2017 hat die Beschwerdeführerin, die zum damaligen Zeitpunkt ihre Fahrprüfung noch nicht bestanden und daher keinen Führerschein hatte, den Schlüssel des genannten Mercedes an sich genommen und das Auto genutzt, wobei es zu einem Unfall kam und am gegenständlichen Fahrzeug ein Totalschaden eintrat. Ihr Vater hatte keine Kenntnis, dass sie über keinen Führerschein verfügte und mit dem Fahrzeug fuhr, er hatte auch verboten, dass die Beschwerdeführerin alleine mit diesem Auto fährt. Dies war der Beschwerdeführerin auch bewusst.

Der Vater der Beschwerdeführerin klagte daraufhin die Y-Versicherung auf Zahlung von EUR XXXX s.A., unter Berücksichtigung des Restwertes des versicherten Fahrzeugs.

1.3. Im diesbezüglichen Zivilprozess wurden seitens der anwaltlichen Vertretung der Y-Versicherung folgende Unterlagen vorgelegt:

 Beilage ./4 Antrag auf Durchführung von Ausbildungsfahrten, welcher von der Beschwerdeführerin unterfertigt ist,

 Beilage ./5 Bestätigung über diverse von der Beschwerdeführerin absolvierte Schulungen sowie

 Beilage ./7 ein Fahrtenprotokoll, aus welchem sämtliche von der Beschwerdeführerin durchgeführten Fahrten verzeichnet sind.

Die betreffenden Urkunden wurden nicht automationsunterstützt verarbeitet und waren spätestens seit dem Prüfungstag der Beschwerdeführerin ( XXXX .2018) nicht mehr beim Erstmitbeteiligten (und auch nicht bei seiner Mitarbeiterin, der Zweitmitbeteiligten) vorhanden, weil sie an die Führerscheinbehörde übermittelt wurden. Die Beilage 4 wurde bereits am 19.04.2016 der Beschwerdeführerin oder ihrem Vater übergeben. Eine Weiterleitung durch die Mitbeteiligten an die Rechtsanwältin der Y-Versicherung fand nicht statt.

Die Belage 5 wurde der Zweitmitbeteiligten in der Tagsatzung vom XXXX .2019, in der sie als Zeugin geladen und ausgesagt hat, vorgehalten und hat sie dazu auf Befragung der Rechtsanwältin der Y-Versicherung Stellung genommen. Bei dieser Tagsatzung wurde sie auch von der Rechtsvertreterin der Y-Versicherung zu den für den Führerscheinkurs zu leistenden Zahlungen (zu deren Höhe und zu welchen Zeitpunkten diese zu zahlen sind) befragt und hat diese Fragen auch inhaltlich beantwortet. Die Frage nach den Zahlungsmodalitäten (wie die Zahlungen im konkreten Fall erfolgt sind) wurde von der Zweitmitbeteiligten dahingehend beantwortet, dass diese ihr nicht bekannt seien.

Die Zahlungsdaten der Beschwerdeführerin wurden vom Erstmitbeteiligten zumindest teilweise automationsunterstützt verarbeitet und stammen jedenfalls aus einem Dateisystem.

1.4. Am XXXX .2019 rief die Rechtsvertreterin beim Erstmitbeteiligten an und führte ein Gespräch mit der Zweitmitbeteiligten. Sie befragte die Zweitmitbeteiligte zu den Zahlungsdaten und Zahlungsmodalitäten bezüglich der Beschwerdeführerin. Darüber legte sie folgenden Aktenvermerk an, welchen sie in der letzten Tagsatzung des diesbezüglichen Zivilprozesses am XXXX .2019 vorlegte

Aus dem Aktenvermerk (der auf Seite 4 des angefochtenen Bescheides wörtlich wiedergegeben wird) geht hervor, an welchen Tagen wie hohe Zahlungen bezüglich der Beschwerdeführerin getätigt wurden und ob sie bei der Kassa gezahlt oder durch Banküberweisungen getätigt wurden. So wurden am XXXX .2016 EUR 500,-- bei der Kassa gezahlt, am XXXX .2016 EUR 600,-- mittels Banküberweisung, am XXXX .2017 EUR 47,00 für eine CD bei der Kassa bezahlt, am XXXX .2018 EUR 150,-- per Banküberweisung und XXXX .2019 EUR 284,-- per Banküberweisung für die Mehrphasenausbildung bezahlt. Bei der Zahlung an XXXX .2018 handle es sich um eine Endabrechnung. Darin seien der Zusatzantritt von EUR 135,-- und auch die Kosten für die Versäumung einer Fahrstunde inkludiert.

In Bezug auf die drei Banküberweisungen könne die Zweitmitbeteiligte derzeit nicht angeben, von wem diese Zahlungen getätigt worden seien. Dies könne lediglich ihre Chefin nachschauen. Diese befinde sich derzeit auf Urlaub. Die Zweitmitbeteiligte habe zugesagt, ihre Chefin diesbezüglich telefonisch zu kontaktieren und sich dann bei der Anwältin der Y-Versicherung zu melden. Die Angaben, die sie nunmehr telefonisch gemacht habe, könne sie auch via E-Mail bestätigen.

1.5. Mit Urteil des XXXX vom 01.09.2020, zu XXXX , wurde zu Recht erkannt, dass die Y-Versicherung schuldig ist, dem Vater der Beschwerdeführerin EUR XXXX samt 4 % Zinsen seit XXXX .2018, einschließlich der Prozesskosten, binnen 14 Tagen zu Handen seines Klagevertreters zu zahlen. Zwar wurde festgestellt, dass der Vater der Beschwerdeführerin eine Obliegenheitspflicht verletzt habe; entscheidend für die Zahlungspflicht der Y-Versicherung war jedoch, dass der Vater seiner Tochter das konkrete Fahrzeug nicht überlassen hatte, sondern sie dieses während seines Urlaubs ohne dessen Erlaubnis in Betrieb nahm, und dass er nicht wusste, dass sie noch keinen Führerschein besaß.

1.6. Die Beschwerdeführerin hatte bis zum Unfall ein intaktes Verhältnis zu ihren Eltern, dieses wurde durch den Unfall und die Tatsache, dass sie ihren Vater dahingehend angelogen hatte, dass sie die Fahrprüfung bestanden habe, getrübt.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungsakt und dem gegenständlichen Gerichtsakt und sind unstrittig. Das Vorliegen einer Datenverarbeitung ergibt sich bereits daraus, dass die Daten zwecks Auffindbarkeit der jeweiligen Kundendaten zumindest in einem manuellen Dateisystem verarbeitet werden.

Weder im Administrativverfahren noch im verwaltungsgerichtlichen Verfahren haben sich allerdings Anhaltspunkte ergeben, dass die anwaltliche Vertreterin der Y-Versicherung die oben genannten Urkunden (Beilagen ./4, 5 und 7) von den mitbeteiligten Parteien übermittelt worden wären. Vielmehr haben die Mitbeteiligten plausibel ausgeführt, dass die Unterlagen nach bestandener Fahrprüfung unverzüglich an die Führerscheinbehörde bzw. die Beilage./ 4 an die Beschwerdeführerin oder deren Vater weitergeleitet und in weiterer Folge bei der Fahrschule gar nicht mehr vorhanden gewesen seien, zumal diese auch nicht „elektronisch“ vorhanden seien. Daher hätten sie auch nicht in weiterer Folge an die rechtsanwaltliche Vertretung der Y-Versicherung weitergeleitet werden können. Diesem Umstand ist die Beschwerdeführerin auch nicht entgegengetreten und sie hat auch keine mündliche Verhandlung beantragt. Vielmehr hat die Beschwerdeführerin in ihrer Beschwerde an das Bundesverwaltungsgericht den von der belangten Behörde festgestellten Sachverhalt nicht in Frage gestellt, sondern nur dessen rechtliche Würdigung bekämpft.

Die Feststellung zum Urteil des XXXX vom 01.09.2020 beruht auf der von der Beschwerdeführerin vorgelegten Ausfertigung (OZ 12). Daraus ergibt sich auch, dass die Beschwerdeführerin bis zu Unfall ein intaktes Verhältnis zu ihren Eltern hatte. Aus dem Urteil ist auch erschließbar, dass dieses inzwischen – zumindest ihrem Vater gegenüber – getrübt war.

3. Rechtliche Beurteilung:

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF (welcher im Wesentlichen dem bis 24.05.2018 in Geltung gestandenen § 39 DSG 2000 entspricht) entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

3.2. Zu den Prozessvoraussetzungen:

Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

3.3. Zu A)

3.3.1. Rechtslage:

Die relevanten Bestimmungen lauten:

§ 1 Abs. 1 und 2 und § 24 Abs. 1 und 5 DSG lauten:

„§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“

Art. 4 Z 1, 2 und 6, Art. 6 Abs. 4, Art. 57 Abs. 1 lit. f und Art. 77 Abs. 1 DSGVO lauten:

„Art. 4 DSGVO

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

„1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;“

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;;

6. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

Art. 6

Rechtmäßigkeit der Verarbeitung

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

​

Art. 57 DSGVO

Aufgaben

(1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet

f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;“

Art. 77 DSGVO

Recht auf Beschwerde bei einer Aufsichtsbehörde

(1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

3.3.2. Umgelegt auf den gegenständlichen Fall ergibt sich daraus Folgendes:

Zur fallgegenständlichen datenschutzrechtlichen Rolle der Zweitmitbeteiligten:

„Verantwortlicher“ iSd Art. 4 Z 7 DSGVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten […]. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde […] (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 77).

Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(e) und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 87; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 16). Wesentliches Kriterium ist somit stets die Bestimmung von Zweck und Mittel der Verarbeitung.

Der DSGVO liegt im Hinblick auf die Verantwortlicheneigenschaft das Prinzip der rechtlichen Einheit zu Grunde, wonach das Handeln von in einer Einheit beschäftigten Personen, die unter der potenziellen Kontrolle der rechtlichen Einheit stehen, auch dieser zuzurechnen ist (Arnig/Rothkegel in Taeger/Gabel DSGVO-BDSG-TTDSG4 Art 4 Nr. 7 DSGVO, Rz 177).

Dem Verantwortlichen sind „sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane)“ (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO, Rz 83).

Vor dem Hintergrund dessen, dass die Zweitmitbeteiligte – wie oben festgestellt – als Sekretärin des Erstmitbeteiligten im Rahmen von dessen Fahrschule angestellt ist und sohin unter Aufsicht bzw. auf Anweisung die Verarbeitung von diesbezüglichen Daten vornimmt bzw. vornahm, ist nicht ersichtlich, dass die Zweitmitbeteiligte fallbezogen allein oder gemeinsam (mit dem Erstmitbeteiligten) über die Zwecke und Mittel der Verarbeitung der betreffenden personenbezogenen Daten entschieden hätte.

Soweit die Datenschutzbeschwerde der Beschwerdeführerin gegen die Zweitmitbeteiligte gerichtet war, ist sie bereits schon aus diesem Grund von der belangten Behörde berechtigter Weise abzuweisen gewesen.

Zur Stattgebung betreffend der durch den Erstmitbeteiligten zu verantwortenden Übermittlung von Daten:

Zunächst ist festzuhalten, dass es sich bei den verfahrensgegenständlichen Zahlungsdaten unstrittigerweise um personenbezogene Daten handelt, weswegen aufgrund des vorhandenen Personenbezuges grundsätzlich auch von einem schutzwürdigen Interesse der Beschwerdeführerin an der Geheimhaltung dieser Daten auszugehen ist.

§ 1 Abs. 1 DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat-und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit ein schutzwürdiges Interesse daran besteht. Eine Beschränkung dieses Anspruchs ergibt sich grundsätzlich aus Abs. 2 leg. cit. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. den Bescheid der DSB vom 31.10.2018, GZ DSB-D123.076/0003-DSB/2018, RIS).

Das Grundrecht auf Datenschutz bewirkt einen Anspruch auf Geheimhaltung personenbezogener Daten. Darunter ist - von den gesetzlich anerkannten Einschränkungen abgesehen - der Schutz des Betroffenen vor Ermittlung seiner Daten und der Schutz vor der Weitergabe der über ihn ermittelten Daten zu verstehen (vgl. Stärker, Datenschutzgesetz, Anm 2 zu § 1 DSG 2000, S 28, VwGH 2007/05/0266 vom 30.04.2009). Daraus folgt, dass das Grundrecht auf Datenschutz auch einen (bloßen) Ermittlungsschutz umfasst.

Laut dem im Verfassungsrang stehenden Grundrecht des Datenschutzes nach § 1 Abs. 2 DSG sind bei der Verwendung von personenbezogenen Daten Beschränkungen im Anspruch auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Da die Daten aus einer zumindest teilweisen automationsunterstützten Datenverarbeitung, jedenfalls aber aus einem Dateisystem iSd DSGVO stammen und für andere Zwecke übermittelt wurden, findet darüber hinaus auch Art. 6 Abs. 4 DSGVO Anwendung.

§ 1 DSG sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig. Es ist somit eine entsprechende Interessenabwägung zwischen den Interessen der Beschwerdeführerin und eines anderen (in dem Fall die Y-Versicherung bzw. ihrer Rechtsvertretung) vorzunehmen.

Art. 6 Abs. 4 DSGVO regelt die Weiterverarbeitung von Daten zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden.

Unter „Verarbeitung“ ist gemäß Art. 4 Z 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung zu verstehen. Übermittlung (transmission) iSd DSGVO ist eine Unterform der Offenlegung und ist die Mitteilung an individuell bestimmte Adressaten, sei es mündlich, schriftlich, elektronisch oder auf andere Weise. (Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.at).

Somit ist Art. 6 Abs. 4 DSGVO auch auf die genannte (telefonische) Übermittlung aus einer Datenverarbeitung an eine dritte Person anzuwenden.

Im gegenständlichen Fall beruhte die Verarbeitung nicht auf der Einwilligung der Beschwerdeführerin oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten iSd Art. 23 DSGVO. Dies unterscheidet den Sachverhalt auch von einer (im gegenständlichen Fall ohnehin stattgefundener) gerichtlichen Zeugenbefragung, welche auf besonderen Gesetzen basiert, die dem Art. 23 DSGVO entsprechen.

Vielmehr erfolgte die Übermittlung der Daten aufgrund eines Telefonates, bei dem die zuvor als Zeugin geladenen Zweitmitbeteiligte nach deren gerichtlicher Zeugenvernehmung von der Anwältin der Y-Versicherung um die Weitergabe der Daten gebeten wurde (wobei die Zweitmitbeteiligte sogar behauptete, von der Anwältin falsch informiert worden zu sein, dass die Daten nicht schutzwürdig seien). Die Frage einer allfälligen falschen Angabe der Rechtsanwältin hat jedoch hinsichtlich der Beurteilung der Rechtmäßigkeit der Übermittlung – wie noch zu zeigen sein wird – keine Relevanz.

Insofern ist im gegebenen Fall anhand der von Art. 6 Abs. 4 DSGVO vorgegebenen Kriterien eine Interessenabwägung bezüglich der Vereinbarkeit mit dem ursprünglichen Verarbeitungszweck vorzunehmen.

Im gegenständlichen Fall wurden vom Verantwortlichen (der Fahrschule) Kundendaten, die im Zuge eines Fahrprüfungskurses und damit im Rahmen eines Vertragsverhältnisses zwischen der Fahrschule und der Beschwerdeführerin im Rahmen dieses Vertrages anfielen, der Rechtsvertreterin der Y-Versicherung zur Untermauerung des Standpunkts der Y-Versicherung übermittelt, die Gegnerin des Vaters der Beschwerdeführerin in einem zivilgerichtlichen Verfahren war. Zwar handelt es sich im gegenständlichen Fall nicht um besondere Kategorien personenbezogener Daten iSd Art. 9 Abs. 1 DSGVO („sensible Daten“); allerdings liegen die Zwecke der ursprünglichen Verarbeitung durch den Verantwortlichen und der Übermittlung an die Rechtsvertreterin der Y-Versicherung weit auseinander und ist eine Verbindung zwischen den Zwecken nicht erkennbar. Die Übermittlung konnte auch nicht im Interesse der Beschwerdeführerin sein, die durch den verursachten Totalschaden des Wagens bereits familiäre Probleme hatte und deshalb daran interessiert sein musste, dass ihr Vater den Schaden ersetzt bekomme. Insofern war auch nicht absehbar, welche (nachteiligen) Folgen die Übermittlung für die Beschwerdeführerin haben werde. Vorhandene Garantien, wie Verschlüsselung oder Pseudonymisierung, kamen im gegenständlichen Fall nicht in Frage und daher auch nicht zur Anwendung.

Damit kann schon aufgrund dieser Abwägung keine Verarbeitung zu mit der ursprünglichen Verarbeitung vereinbaren Zwecken festgestellt werden. In diesem Zusammenhang ist festzuhalten, dass eine Interessenabwägung nach § 1 Abs. 2 DSG nicht zu einem datenschutzrechtlich „großzügigeren“ Ergebnis führen kann als Art. 6 Abs. 4 DSGVO, da europarechtliche Regelungen den nationalen (auch Verfassungs-)Gesetzen vorgehen und das von der DSGVO vorgegebene Datenschutzniveau durch eine nationale Regelung nicht gesenkt werden darf. Die DSGVO und insbesondere auch die darin verankerten Grundsätze sind vielmehr auch nach Ansicht der belangten Behörde zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen und sinngemäß heranzuziehen (vgl. den Bescheid vom 31. Oktober 2018, GZ: DSB--D123.076/0003-DSB/2018).

Daher würde auch eine Abwägung nach § 1 Abs. 2 DSG zu keinem anderen Ergebnis führen: Diese Abwägung müsste – um eine Datenübermittlung zu rechtfertigen –zum Schluss führen, dass die Daten zur Wahrung eines überwiegenden berechtigten Interesses eines anderen erforderlich sind. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Im gegebenen Fall hatte die Zweitmitbeteiligte bereits als Zeugin im Zivilprozess ausgesagt und wurde zu diesem Anlass von der Rechtsvertreterin der Y-Versicherung zur Höhe der üblichen Zahlungen und wann diese zu tätigen sind befragt. Die Zeugin hat diese Fragen auch inhaltlich beantwortet. Nur die Frage zu den konkreten Zahlungsmodalitäten der Beschwerdeführerin konnte sie nicht beantworten und merkte an, dass diese ihr nicht bekannt seien. Die Rechtsanwältin stellte keine weiteren Fragen und beantragte auch nicht die Beischaffung weiterer Unterlagen.

Die Frage nach über die Zeugenbefragung hinausgehenden konkreten Zahlungen und Zahlungsmodalitäten und darauffolgende Übermittlung an die Rechtsvertreterin der Versicherung für einen anderen Zweck lagen in keinem berechtigtem Interesse der Y-Versicherung oder deren Anwältin, zumal es im anhängigen Zivilprozess um die Frage ging, ob dem Vater der Beschwerdeführerin eine Obliegenheitsverletzung anzulasten sei. Aus den Daten gehen (lediglich) die Höhe der Zahlungen und Zahlungsmodalitäten (Überweisungen oder bar bezahlt) hervor. Ein berechtigtes Interesse an Erhalt der genannten Daten ist nicht erkennbar. Im Übrigen war gar aus diesen Daten auch nicht ersichtlich, ob allenfalls der Vater der Beschwerdeführerin allenfalls die Zahlungen getätigt hat (tatsächlich stellte sich im Zivilprozess heraus, dass die Mutter der Beschwerdeführerin die Beträge bezahlt hatte).

Selbst wenn man der Argumentation der belangten Behörde bezüglich der „Denkmöglichkeit“ folgte und grundsätzlich bejahte, dass für die Y-Versicherung bzw. deren Anwältin ex ante betrachtet die in Rede stehenden Daten „denkmöglicherweise“ notwendig waren, um ihren Standpunkt im Zivilprozess zu untermauern, wäre der Verantwortliche nicht von einer Interessenabwägung zwischen den Interessen der betroffenen Person (Beschwerdeführerin, Kundin des Verantwortlichen) und dem Interesse der Rechtsanwältin der Y-Versicherung entbunden gewesen. Zwar hat die belangte Behörde auf eine Interessenabwägung Bezug genommen, hat aber in keiner Weise ausgeführt, worin konkret die schutzwürdigen Interessen der Beschwerdeführerin liegen, somit ist auch nicht nachvollziehbar, aus welchen Gründen diese geringer wiegen als das Interesse der Anwältin bzw. der Versicherung. Die belangte Behörde ist insbesondere auch nicht darauf eingegangen, dass bereits im Rahmen einer gerichtlichen Zeugenaussage der Zweitmitbeteiligten von dieser die grundlegende Vorgangsweise bei Zahlungen für den Fahrprüfungskurs erklärt wurde und auch Aussagen über deren Höhe getätigt wurden. Da diese Vorgangsweise für alle, also auch für die Beschwerdeführerin galt, stellte sich schon diesbezüglich die Frage nach dem prozessrelevanten Mehrwert der gesonderten nachträglichen Nachforschungen der Rechtsanwältin. Sogar wenn man den Grundrechtseingriff als grundsätzlich berechtigt ansehen würde (was hier aber in Abrede zu stellen ist), erfolgte der Eingriff in das Grundrecht nicht in der gelindesten zum Ziel führenden Art, zumal die genauen Zahlungsmodalitäten – soweit überhaupt deren Relevanz bestand – auch im gerichtlichen Verfahren – jedenfalls transparent für alle Beteiligten und allenfalls auch von der Beschwerdeführerin oder ihren Eltern – erlangt hätten werden können.

Aus den oben genannten Gründen kann somit selbst bei Anerkennung einer „Denkmöglichkeit“, dass die Daten zur Wahrung eines berechtigten Interesses erforderlich sein könnten, in diesem konkreten Einzelfall aufgrund der oben genannten Umstände kein die schutzwürdigen Geheimhaltungsinteressen der Beschwerdeführerin überwiegendes berechtigtes Interesse der (Anwältin der) Y-Versicherung hergeleitet werden und wurde jedenfalls auch der Eingriff in das Grundrecht nicht in der gelindesten, zum Ziel führenden Art vorgenommen.

Soweit die Zweitmitbeteiligte ausführte, dass die Rechtsanwältin der Y-Versicherung behauptet habe, dass es sich bei Zahlungsdaten nicht um schutzwürdige Daten handle, ist Folgendes festzuhalten: Wenngleich für die Zweitmitbeteiligte vielleicht nicht erkennbar war, dass sie diese Daten nicht an die Rechtsvertretung der Y-Versicherung weitergeben hätten dürfen, kommt es im gegenständlichen Verfahren nicht auf das Verschulden an, sondern lediglich auf die hier vorliegende objektiv feststellbare Datenschutzverletzung. Diese war aus den oben ausgeführten Gründen dem Erstmitbeteiligten zuzurechnen, für den die Zweitmitbeteiligte tätig war.

Der Vollständigkeit halber wird festgehalten, auch kleinere Firmen die Grundsätze der DSGVO und des DSG zu beachten haben und ihre Mitarbeiter/innen entsprechend zu schulen haben. Zwar hat die Erstmitbeteiligte auf erfolgte Datenschutzschulungen hingewiesen; insofern wäre aber anzunehmen, dass die-Mitarbeiter/innen zumindest wissen müssten, dass es sich bei Kundendaten um schutzwürdige personenbezogene Daten handelt, die nicht ohne entsprechenden Rechtfertigungsgrund weitergegeben werden dürfen.

Sofern die Beschwerdeführerin nunmehr unter Berufung auf das im Zivilprozess letztlich ergangene Urteil – demzufolge dem Begehren ihres Vaters vollumfänglich entsprochen wurde – vorbringt, die Zahlungsdaten seien als Beweismittel im Zivilprozess ohne jegliche Bedeutung gewesen, so ist zunächst anzumerken, dass im hier gegebenen Fall eine Beurteilung aus der ex-ante-Sicht vorzunehmen war (die allerdings zu dem oben genannten Ergebnis führte).

Dennoch ist es zutreffend, dass die Relevanz der von der Rechtsvertretung der Y-Versicherung ermittelten und dem Zivilgericht vorgelegten Daten auch nicht aus dem genannten Urteil des XXXX erschließbar ist. Zwar werden die vorgelegten Zahlungen und Zahlungsmodalitäten in den Feststellungen genannt, es gibt jedoch keinerlei Anhaltspunkte, wieso diese von Bedeutung für die Entscheidung sein sollten. Entscheidend war, dass der Vater seiner Tochter das konkrete Fahrzeug nicht überlassen hatte, sondern sie dieses während seines Urlaubs ohne dessen Erlaubnis in Betrieb nahm, und dass er nicht wusste, dass sie noch keinen Führerschein besaß.

Das Vorbringen der Beschwerdeführerin, wonach die Zweitmitbeteiligte im Prozess niemals hätte aussagen dürfen, bzw. ihre Anwältin sie darauf hinweisen hätte müssen, dass sie sich der Zeugenaussage entschlagen könne, ist datenschutzrechtlich nicht relevant, ändert aber nichts am rechtlichen Ergebnis der oben beschriebenen Abwägung.

Was die sonstigen Urkunden anbelangt, ergaben sich – wie bereits oben angeführt – keine Anhaltspunkte, dass diese von den mitbeteiligten Parteien übermittelt wurden, vielmehr wurde dies explizit und nachvollziehbar von den Erst- und Zweitmitbeteiligten in Abrede gestellt und auch darauf hingewiesen, dass die Unterlagen unverzüglich nach der bestandenen Prüfung 2018 an die Führerscheinbehörde weitergeleitet bzw. teilweise bereits im Jahr 2016 an die Beschwerdeführerin oder deren Vater weitergeleitet worden waren, weshalb ihnen diese behauptete Rechtsverletzung nicht angelastet werden kann. Diesem Umstand wurde auch vonseiten der Beschwerdeführerin nicht entgegengetreten bzw. wurde dieser von ihr im Beschwerdeverfahren nicht aufgeworfen.

Im Ergebnis war daher der Spruch der belangten Behörde, soweit diese die telefonische Übermittlung der Zahlungsdaten vom Verantwortlichen an die Rechtsvertreterin der Y-Versicherung betrifft, in eine Stattgebung abzuändern.

3.4. Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig. Es wurde auch von der anwaltlich vertretenen Beschwerdeführerin kein Antrag auf Durchführung einer mündlichen Verhandlung gestellt (siehe auch VwGH 27.06.2017, Ra 2017/12/0042).

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Somit konnte von einer mündlichen Verhandlung abgesehen sein.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Im gegebenen Fall weicht die gegenständliche Entscheidung nicht von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Insbesondere handelt es sich bei der gegenständlichen Abwägung um eine einzelfallbezogene Entscheidung, die nicht von allgemeiner Relevanz ist.